浅谈新能源发电场站电力二次系统安全防护

中电建新能源集团股份有限公司 李耀曦

1 引言

随着新能源电站的快速发展，保障电站的安全运行成为一个重要的问题。电力二次系统是新能源电站中非常重要的组成部分，包括了计算机监控系统、功率预测系统、电能质量监测系统、调度数据网、综合数据网、AGC、AVC、测控装置、五防系统、保护装置、故障录波装置、TMU 装置、规约转换装置、PMU 装置等。这些系统都需要得到很好的保护，确保电站的正常运行。此外，还需要对向集控中心传输数据的网络系统进行保护，可以确保电站的运行数据不会被外部的恶意攻击者获取，保障电站的运行安全。

2 电力二次系统安全防护原则

2.1 安全分区

在电网二次电网的安全保护系统中，电网的安全划分是其最根本的构成。将发电公司、电网公司、供电公司分为两个区域，在区域范围内，还可以再分为一类安全区（安全区I）和一类不属于安全区的控制区（安全区II），安全分区总设计如图1所示。在控制区内，对于电力二次系统的安全防护需要格外重视。因此，需要采取一系列的措施确保其安全性。首先，应该严格控制区内人员的出入，确保只有授权人员才能够进入控制区。其次，在控制区内应该设置安全防护设施，包括防火、防爆、防雷等措施。此外，应该加强对电力二次系统进行监控和管理，及时排除潜在的安全隐患。在非控制区内，虽然安全性要求没有控制区高，但也需要采取一定的安全措施确保电力二次系统的安全性。二次系统安全分区详情见表1。

表1 二次系统安全分区

2.2 横向隔离

在新能源发电场站的电力二次系统中，应设置相应的安全监测系统。这个系统可以监测电力二次系统的运行状态，检测系统中是否存在潜在的安全隐患，及时发现和排除故障。在监测系统中，可以采用各种各样的技术，例如基于网络的安全监测、基于数据挖掘的安全监测、基于智能算法的安全监测等。这些技术可以在一定程度上提高电力二次系统的安全性能，减少潜在的安全风险。此外，为了进一步增强电力二次系统的安全性，还可以采用身份认证、访问控制、数据加密等措施[1]。

2.3 专用网络及构造

在新能源发电场站电力二次系统中，电力调度数据网是重要的组成部分，其安全防护隔离强度必须得到保障。为了确保数据的安全性和可靠性，需要采取一系列措施加强对电力调度数据网的安全防护。首先，应该建立完善的安全防护体系，包括安全防护策略、安全防护规程、安全防护措施等，从而保障电力调度数据网的安全性。其次，应该加强对电力调度数据网的监控和管理，及时发现和处理网络安全事件，避免网络安全问题的发生。此外，应该对电力调度数据网进行定期的漏洞扫描和安全评估，及时发现并修复漏洞，提高网络的安全防护能力。

3 新能源发电场站可能存在的风险

电力系统安全问题存在多个方面的风险。首先，由于设备厂商保密工作不到位或泄漏，或使用有问题的笔记本电脑和U 盘。这些设备可能会感染病毒或恶意软件，从而导致系统安全风险。其次，计算机监控系统操作系统漏洞未及时修补，可能存在非正版激活系统环境。这样的环境容易受到黑客攻击，从而导致系统被破坏或数据泄漏。再次，电厂运维人员修改系统配置也可能导致安全问题。如果不小心或者有意篡改系统配置，可能会导致系统崩溃或数据损失。最后，杀毒软件未及时更新也存在着潜在的安全风险。如果系统中的杀毒软件没有及时更新，其便可能无法检测到新的病毒或恶意软件，从而无法保护系统安全。

4 新能源电场站防护目标与重点对象

电力实时闭环监控系统及调度数据网络是电力发电厂的重要组成部分。因此场站安全防护工作的重点是保护系统的安全。为此，建立健全发电厂监控系统安全防护体系是总体目标，保护系统免受黑客、病毒、恶意代码等侵害。在场站安全防护工作中，除了预防被攻击外，还需要在系统遭到损害后，迅速恢复绝大部分的功能，防止安全事件引发电力一次系统事故或大面积停电事故。因此，电力发电厂必须高度重视场站安全防护工作，包括物理安全、网络安全和安全管理三个方面。在物理安全方面，要保证场站的门禁、监控等设施运行正常，防止不法分子闯入场站。在网络安全方面，要对电力实时闭环监控系统及调度数据网络等进行隔离、加密等，防止黑客攻击和病毒感染。在安全管理方面，要制定完善的安全策略和安全管理制度，培养员工的安全意识，提高场站的整体安全水平[2]。

5 电力二次系统安全防护措施

5.1 加强被动防御技术

5.1.1 防火墙

作为一种介于内网与外网之间的软硬件组合而成的一种网络安全防御体系，对整个网络的安全起到了至关重要的作用，其具有防止网络攻击，病毒入侵，非法信息过滤，非法入侵等作用[3]。在电网二次设备的安全保护中，大部分企业都把防火墙安装在电网的边缘，充当服务器和网关的角色。分组过滤式防火墙是一种常用的防火墙，通过审计协议类型，源/目标端口，端口等来保证系统的安全性。但是，使用防火墙技术并不能确保整个区域的安全，攻击者还是有可能找到该区域。所以，在传统防火墙基础上，应采用密码技术、认证技术等多种技术手段来保证系统的安全，随着计算机技术的发展，防火墙的性能也在不断提高。

5.1.2 身份认证技术

在电力二次系统中，身份认证技术的应用较为重要。身份认证技术可以通过密码、指纹、人脸识别等方式，对操作人员进行身份认证，确保只有获得授权的操作人员才能够访问系统。同时，身份认证技术还可以对系统进行监控，发现异常操作行为，及时采取措施，保护系统的安全。除此之外，身份认证技术还可以实现权限控制。通过身份认证技术，可以对操作人员的权限进行控制，确保操作人员仅能够进行其所需的操作，避免误操作和恶意操作，保障电力二次系统的安全。

5.2 主动防御技术

5.2.1 陷阱技术

“蜜罐”技术就是人为地设计出一个系统的弱点引诱黑客攻击，此项技术并未提供其他有价值的信息，只是通过“蜜罐”技术引诱黑客进入，因此，一旦有人试图进入“蜜罐”，就会被认定为“非法入侵”。利用“蜜罐”诱使黑客向“错误点”发起攻击，延迟了对“正确点”的攻击，并以此拖延攻击者对“正确点”的攻击，让其无法获得有效信息[4]。

5.2.2 取证技术

取证技术是指在系统被入侵后，通过收集攻击者的信息寻找攻击源，并且为后续的安全措施提供依据。“动态取证”是指通过对网络中的信息进行实时的分析，能够在网络被破坏的情况下，及时切断网络链接，从而达到“诱敌性”的目的，该方法主要是利用IDS 与诱捕技术相结合来实现对数据的即时分析与提取。在动态取证中，可以通过在受保护的主机上安装代理服务器记录黑客的操作、文件的盗取和破坏等行为。这些记录可以帮助了解攻击者的行为模式、攻击手段和攻击目的。同时，也可以利用入侵检测系统收集证据，将计算机取证结合到入侵检测等网络系统结构中进行动态取证[5]。

6 结语

随着新能源电场站的建设和运营，电力二次系统的安全防护策略成了一个重要的话题。在制定安全防护策略时，需要考虑到复杂性和设备通信系统的差异。因为电力二次系统中存在着许多不同的设备和系统，并且这些设备和系统之间的通信方式也各不相同。为了保证安全，需要对每个系统进行分析和评估，制定相应的安全策略。可以根据“安全分区、网络专用、横向隔离、纵向认证”原则制定不同的策略，可以帮助对整个电力二次系统进行分析和评估，从而制定出适合的安全策略。