提升新能源电站电力二次系统安全防护水平的方法

协鑫新能源控股有限公司 胡海松 李发清 华电电力科学研究院有限公司 刘惠娟

电力二次系统是由继电保护、安全自动控制、系统通讯、调度自动化、DCS自动控制系统等组成的系统，是通过各级电力监控系统以及数据网络实现调度的，包括多级别管理信息系统，以及电力数据通信网络和基础设施。随着目前电网和通信网络技术的不断发展，互联网技术也得到了广泛的应用，业务需求逐渐增加并接入到生产控制大区的电力控制系统之中，与此同时，光伏、风电等各种新能源电站与电网各级调度主站的数据交换愈加频繁。相比之下，新能源电站电力二次系统的整体安全防护水平普遍比较薄弱，尤其是区域边界安全、内部防护手段都需进一步提升。

1 新能源电站电力二次系统现状

国家电力监管委员会第5号令《电力二次系统安全防护规定》及《电力二次系统安全防护总体方案》提出了电力二次系统安全防护的相关要求，即做好安全分区、网络专用、横向隔离、纵向认证、综合防御的原则。电力二次系统架构中，主要分为生产控制大区和管理信息大区，其中生产控制大区又分成控制区（安全I区）以及非控制区（安全II区）。目前新能源电站中大都应用综合自动化系统，以及自动化发电控制系统，包括自动电压控制和相量测量等各种不同功能的系统，这些系统均属于控制区。

同时，新能源电站还会应用到功率预测、状态监测系统，包括故障录波装置等，这些均属于非控制区。天气预报系统、生产管理、办公等系统则属于管理信息系统。相对于电力调度数据专用网络，企业数据网、运营商、其他公共数据网络或是远程维护的延申网络一般都列为外部网络，在与外部网络进行数据传输或通信时，其边界防护要求应更加严格。不同的调度机构、新能源电站的部署应严格按照要求实行。

2 目前新能源电站二次系统安全防护工作中存在的问题

边界防护不到位。新能源电站站内的控制区以及非控制区间需做好硬件防火墙的部署和配置，目前大多数新能源电站仍未安排要求部署，且无法满足等保2.0的配置要求。如针对高危端口封堵和telnet、ftp等高风险服务以及低安全域主动向高安全域发起访问的策略控制均没有按照相关的要求执行到位，以致横向边界防火墙并未起到实际的防护作用[1]。部分新能源电站的管理信息大区与外部网络之间未部署防火墙，生产控制大区与管理信息大区甚至外部网络之间的正反向隔离装置未按有关规范部署，造成跨区互联，存在极大的安全隐患。

新站验收不够严格和规范。新能源电站在试运行期间或现场验收时，对部分电力二次系统的安全防护设备的部署和配置把关不严格，如实施过程中没有完善的安全防护方案、网络安全设备配置规范不符合等保2.0以及相关调度机构的要求；电力专用纵向加密认证装置未经过权威机构检测，不支持硬件加密和国产加密算法，无法正常发挥出数据加密和解密的作用，无法保证数据稳定有效地传输[2]。

技术力量薄弱。专业技术队伍力量薄弱，缺乏网络安全专业人才，无法满足日常维护和网络安全事件响应及处置工作。无法有效定期开展数据备份、数据迁移、日志删存、病毒查杀、病毒库和规则库升级、网络安全应急演练等常态化开展的工作。

管理欠缺。缺乏网络安全相关管理制度和规范，缺少执行管理和监督；对国家和行业的相关要求和法律法规敏感度低，解读不清晰，无法有效开展相应的承接工作。未建立健全安全防护方案和技术防护措施，针对互联网攻击、高危漏洞、风险预警反应不够迅速灵敏，处置措施不到位。

3 针对存在的问题提出的解决方案及提升措施

3.1 及时完善电力二次系统的安全防护作业指导书

安防建设时严格按照“安全分区、网络专用、横向隔离、纵向认证”十六字方针执行，制定安全防护总体方案，编制作业指导书，并将防火墙、电力专用加密认证装置、正反向隔离装置、边界路由器、交换机等所有涉及边界的网络安全设备配置规范均纳入指导书；根据业务需求做好最小化访问控制策略[3]；其次，边界接入时绑定设备IP和MAC，防止从内部开始的欺骗和恶意篡改。

3.2 新电站验收投运严格把关

电力二次系统安全防护和其他工程建设过程中做到“三同步”，二次系统的安全防护是电站在对抗网络攻击和入侵的唯一屏障，它与业务系统协同工作成为一个有机的整体，因此安全防护的规划、建设、验收在整个生命周期内都是一个重要部分。验收时应邀请专业人员参与，防止出现漏验和不验的情况[4]，同时能发现并指出安防建设过程中存在的隐患和不足，并提出相应的解决措施。

3.3 安防设备更新换代

随着网络安全形势不断变化，国家及行业对网络安全的防护能力要求也随之变高，部分电站的网络安全设备也会随着运行年限渐渐无法满足要求，比如设备过保、硬件老化、停产、软件版本不再持续更新、不支持扩容、不支持国产化要求、加密算法老旧容易被破解等问题接踵而至，因此在条件允许的情况下，需对网络安全设备进行升级换代，如部分新能源电站的纵向加密认证装置属于低端百兆的设备版本，其版本较低，需做好内核和版本的升级工作。对于暂时无法升级或影响业务的情况下，可根据实际的网络环境选择性增加防病毒网关、准入系统、审计系统、IDS、IPS、WAF、运维堡垒机、态势感知系统、网络安全监测平台等防护手段。

设备安装、升级时，新能源电站需严格按照调度相关机构中批复的电力二次系统安全防护方案实施，相关施工单位根据机房和设备资源，按照相应设备资源的标准化及规范的要求做好标准化方面的建设工作，再依照要求来做好业务分区，并根据不同颜色的网络线缆来做好系统网络的标识，并根据线缆的敷设工艺也就是标识、标牌来进行张贴与悬挂（图1）。

图1 电站典型网络连接图

在做好相关系统调试时需依照“最小化”的相关原则，先将网络路由配置好，再将生产大区的各项业务配置好，并在各项系统中禁止将各种方式与互联网连接；关闭或拆除主机的光盘驱动、USB接口等；系统或设备调试时不得旁路纵向加密认证装置、防火墙、横向隔离装置。在进行自验收阶段的时候，整个新能源电站需组织做好二次系统安全防护的自查，并根据调度机构方面的批复对二次系统的安全防护情况，以及实施方案情况做好系统的检查。

3.4 运用各种安全防护措施

针对VPN用户来说，数据包做好折包检测能更好的保证数据通信方面的安全。对于源于内部网络中存在的不同的各种安全威胁，内网的安全需要充分保证，应用领先的漏洞防护技术针对存在的漏洞提供“虚拟补丁”，让各种攻击能够做到变形、遁形。在比较优异的带宽容量情况优化电力二次系统的安全防护时，在相关的法规要求方面需对新能源电站的信息做好管理大区，并进行横向安全区域的访问与隔离，还要做好纵向安全区的访问控制，这样能够提供基于业务为主，应用以IPSec VPN为主的加密隧道来确保信息管理大区之中的各种类型的业务访问的安全性还有可靠性，也有着一定的优异应用识别能力，对于主流应用的协议采取识别控制的方式，再应用有效的保障业务对网络带宽进行优化，这样能充分保障网络资源得到有效的使用与控制，实现灵活配置高效的管理，可以基于用户的情况做好访问控制并且进行限流，做好网络应用控制，提升整体的内容安全，充分的提高整个新能源电站的IT治理水平。

3.5 加强运行管理，提升技术力量

制定和完善网络安全相关的制度和规范，定期通过培训提升管理人员和维护人员的技术水平；严格按照要求做好日常维护和常态化工作并保存好相关记录；定期组织开展网络安全应急演练。

电力二次安防结构的变更、安防设备的退运、或者是调度业务对二次系统的运维检修工作造成影响，需要办理工作指示，再根据相应的履行签署相应的许可手续，在工作票上也需要填写，使工作内容更加的清晰明了，包括风险点、还有注意事项以及安全措施等，都需要考虑周全，重点做好系统的防护。还要对风险进行分析，并应有更加有效的应对措施，防止由于二次设备检修出现的二次安防事件。分析现场的检修安全风险，考虑管控措施时还需参考新能源电站电力二次系统安防设备的现场。

综上，目前在新能源电站电力二次系统的安全防护工作中，需要坚持的原则就是做好安全分区，保证网络专用，还要进行横向隔离并做好纵向认证；安防系统建设的同步规划、同步设计和同步实施工作；相关的调度工作也要保证维持自动化系统的安全防护，严格按照相关调度机构的防护规定进行执行，这样才能更好地提升新能源电站电力二次安防的整体防护水平。