智能变电站信息安全防护体系研究_许勇刚

智能变电站信息安全防护体系研究

许勇刚　冯　扬　汪　爽

（国网电力科学研究院北京中电普华信息技术有限公司安全中心　北京　１００１９２

）摘　要：本文通过分析现有智能变电站信息系统的安全现状、需求和存在问题，提出信息系统整体安全管控的概念，建设统一管理平台，通过网络设备准入控制系统和运维审计系统的核心手段，实现对外部接入终端的设备安全和操作行为安全进行管控，

从而增强站控层网络安全性，和提升智能变电站信息系统整体安全。关键词：智能变电站；安全防护体系；管理平台；网络设备准入系统；运维审计系统中图分类号：ＴＭ６３３ 文献标识码：Ａ 国家标准学科分类代码：５１０

Ｉｎｆｏｒｍａｔｉｏｎ　ｓｅｃｕｒｉｔｙ　

ｏｆ　Ｓｍａｒｔ　Ｓｕｂｓｔａｔｉｏｎ　Ｐｒｏｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ　ＲｅｓｅａｒｃｈＸｕ　Ｙｏｎｇｇａｎｇ　Ｆｅｎｇ　Ｙａｎｇ　Ｗａｎｇ　

ＳｈｕａｎｇＳｔａｔｅ　Ｇｒｉｄ　Ｅｌｅｃｔｒｉｃ　Ｐｏｗｅｒ　Ｒｅｓｅａｒｃｈ　Ｉｎｓｔｉｔｕｔｅ　Ｂｅｉｊｉｎｇ　

Ｃｈｉｎａ－Ｐｏｗｅｒ　ＩｎｆｏｒｍａｔｉｏｎＴｅｃｈｎｏｌｏｇｙ　Ｃｏ．．Ｌｔｄ　Ｂｅｉｊｉｎｇ　１００１９２Ｃｈｉｎａ　Ｂｅｉｊｉｎｇ　

１００１９２，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：Ｔｈｉｓ　ｐａｐｅｒ　ｔｈｒｏｕｇｈ　ａｎａｌｙｓｉｓｉｎｇ　ｔｈｅ　ｓｅｃｕｒｉｔｙ　ｓｉｔｕａｔｉｏｎ　ｏｆ　Ｓｍａｒｔ　Ｓｕｂｓｔａｔｉｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｙｓｔｅｍ，ｄｅｍａｎｄ　ａｎｄｅｘｉｓｔｉｎｇ　ｐｒｏｂｌｅｍｓ　ｉｎｖｏｔｅ　ｉｎｆｏｒｍａｔｉｏｎ　ｓｙｓｔｅｍ　ｔｏｔａｌｌｙ　ｓｅｃｕｒｉｔｙ　

ｐｒｏｔｅｃｔｉｏｎ　ｔｈｓｉｓ，ｂｕｉｌｄ　ｕｎｉｆｉｅｄ　ｍａｎａｇｅｍｅｎｔ　ｐｌａｔｆｏｒｍ，ｂｙｍｅａｎｓ　ｏｆ　ｄｉｖｅｒｓｅ　ａｄｍｉｓｓｉｏｎ　ｃｏｎｔｒｏｌ　ｓｙｓｔｅｍ　ａｎｄ　ｐｅｒａｔｉｏｎ　ａｎｄ　ｍａｉｎｔｅｎａｎｃｅ　ａｕｄｉｔ　ｓｙｓｔｅｍ　ｃｏｒｅ　ｍｅｔｈｅｌｄ，ｃｏｎｔｒｏｌ　ｔｏ　ｄｅｖｉｓｅｓｅｃｕｒｉｔｙ　ａｎｄ　ｏｐｅｒａｔｉｏｎ　ｂｅｈａｖｉｏｒ　ｓｅｃｕｒｉｔｙ　ｏｆ　ｔｈｅ　ｅｘｔｅｒｎａｌ　ａｃｃｅｓｓｉｏｎ　ｔｅｒｍｉｎａｌ，ｔｈｅｒｅｂｙ　ｅｎｈａｎｃｉｎｇ　ｔｈｅ　ｓｔａｔｉｏｎ　ｃｏｎｔｒｏｌ　ｌａｙｅｒｎｅｔｗｏｒｋ　ｓｅｃｕｒｉｔｙ，ａｎｄ　ｅｎｈａｎｃｉｎｇ　ｔｈｅ　ｏｖｅｒａｌｌ　ｓｅｃｕｒｉｔｙ　

ｏｆ　ｓｍａｒｔ　ｓｕｂｓｔａｔｉｏｎ　ｉｎｆｏｒｍａｔｉｏｎ　ｓｙｓｔｅｍ．Ｋｅｙｗｏｒｄｓ：ｓｍａｒｔ　ｓｕｂｓｔａｔｉｏｎ；ｓｅｃｕｒｉｔｙ　ｐｒｏｔｅｃｔｉｏｎ　ｓｙｓｔｅｍ；ｍａｎａｇｅｍｅｎｔ　ｐｌａｔｆｏｒｍ；ｎｅｔｗｏｒｋｓ　ｄｅｖｉｓｅ　ａｄｍｉｓｓｉｏｎ　ｓｙｓｔｅｍ；ｐ

ｅｒａｔｉｏｎ　ａｎｄ　ｍａｉｎｔｅｎａｎｃｅ　ａｕｄｉｔ　ｓｙｓｔｅｍ　收稿日期：２０１４－

０１１　引 言

变电站作为智能电网发－输－变－配－用－调各个环节中呈上启下的关键环节，是智能电网的核心支撑资源，

直接关乎不同区域电量的供给问题。在符合电力网络统一的安全框架标准，以及智能变电站通信协议要求的前提条件下，建设数字化、集成化和规范化的智能变电站信息系统网络安全防护体系是本体系方案设计的目标。

２　研究现状

２．１　项目背景

智能变电站信息化建设作为国家电网公司智能电网工作的核心内容，

已经启动了试点建设工作。随着智能变电站建设的推进，为保证智能变电站信息系统的安全正常运行，

防止外部终端非法接入信息内网，从而影响电力信息网络，

甚至电力调度网络正常工作。国家电网公司制定了相关制度和规范和部署了一系列网络安全措施，但距离数字化、集成化和规范化的整体监测和安全防护目标，还有很大差距。

２．２　国内外研究现状

目前，国内外智能变电站系统基本都采用了ＩＥＣ６１８５０规约统一建模，在ＩＥＣ６１８５０规约中，将智能变电站系统从工作站到变电站依次划分为站控层、间隔层、过程层三个层面。图１为智能变电站系统架构示意图。

其中，站控层采用ＴＣＰ／ＩＰ的ＭＭＳ协议实现对间隔层主要是实现了信息数字化统一建模和管控。间隔层、过程层采用ＧＯＯＳＥ、ＳＶ规约，在以太网上直接通信。过程层（设备层）基于ＩＥＣ６１８５０标准的变电站普遍采用交换以太网技术，主要是电子互感器及合并单

元［１］

，配置智能化一次设备，自动完成信息采集、测量、控制、保护、计量、检测等功能［２］

，也是智能变电站区别

于普通变电站的关键。对站控层的安全防护是本文的主要内容。

第３

７卷电　子　测　量　技　术

图１　智能变电站系统架构示意图

２．３　问题分析

由于ＩＥＣ６１８５０本身还处在逐步完善阶段。安全防护研究的重点还在业务管理层面，而对网络安全的防护还在起步阶段。所以国内还没有深入研究智能变电站安全防护的有效防护手段和技术工具，智能变电站的安全停留在宽泛的管理制度设计上。

经对河南、浙江等地智能变电站调研，１１０ｋＶ的变电站基本为智能变电站，支持支持ＩＥＣ６１８５０协议。在间隔层设备与站控层的网络连接处采取ＭＭＳ协议通信，或基于ＴＣＰ／ＩＰ网络，

本方案支持对其管控。主要发现了以下问题主要如下［

３］

：１、

变电站层主机、交换机网络访问接入控制缺乏技术手段与管理措施。外来主机设备接入站内操作没有进行安全检查，容易将病毒、木马等恶意代码引入站内系统。

２、

变电站运维现场系统运维无序，缺乏操作监护。对于接入各层网络进行运维调试操作的设备尚没有规范的管控手段。

３、

监控后台、信息一体化平台、状态监测系统等服务器缺乏安全加固措施。

４、

智能变电站内容工作人员，自动化与信息专业的运维人员较少，

对于站内系统的网络计算机系统故障无法自行处理，需要各系统厂家人员至现场进行调试，导致站内网络接入难于管控。２．４　总体要求

针对智能变电站站内运行安全管理所面临的问题，和国家电网信息系统安全规范，构建统一安全防护体系，包括安全管控平台，基于设备网络设备准入和运维操作审计核心子系统，构建站内工作审批、审核和校核的工作机制，减小误操作、违规操作的数量。

３　安全管理平台设计

智能变电站二次系统的防护目标是抵御黑客、病毒、恶意代码、ＳＱＬ非法注入、各种攻击等通过各种形式对变电站二次系统发起的恶意破坏和攻击，

以及其它非法操作，保障智能变电站二次系统正常运行，并相应减少智能变电站一次系统的事故。构建安全防护体系，实现由安全管理平台对安全事件统一管理。该平台包括平台安全、通信防护和集中监控这三个部分组成，主要实现对外网接入终端的安全管理。３．１　平台安全加固

平台是支撑智能变电站系统所有安全功能的软硬件