电力系统二次安全防护

电力系统二次安全防护2023年3月14日北京科东电力控制系统有限责任公司2二滩水电厂异常停机事件；故障录波装置“时间逻辑炸弹”事件；换流站控制系统感染病毒事件；近年世界上大停电事故反映出电力二次系统的脆弱性和重要性。电力二次系统安全事件

2023年3月14日北京科东电力控制系统有限责任公司3二次系统安全防护的由来2000年四川某水电站无故全厂停机造成川西电网瞬间缺电80万仟瓦引起电网大面积停电。其根源估计是厂内MIS系统与电站的控制系统无任何防护措施的互连，引起有意或无意的控制操作导致停机。2001年9、10月间，安装在全国147座变电站的银山公司生产的录波器的频频“出事”，出现不录波或死机现象，严重影响高压电网安全运行。事后分析结论是该录波器中人为设置了“时间限制”或“时间逻辑炸弹”。2023年3月14日北京科东电力控制系统有限责任公司4二次系统安全防护的由来2003年8月14日美国加拿大的停电事故震惊世界，事故扩大的直接原因是两个控制中心的自动化系统故障。若黑客攻击将会引起同样的灾难性后果。这次“814”美国、加拿大大停电造成300亿美圆的损失及社会的不安定。由此可说明电力系统的重要性。2003年12月龙泉、政平、鹅城、荆州等换流站受到计算机病毒的攻击。几年来我国不少基于WINDOWS-NT的电力二次系统的计算机系统,程度不同的受到计算机病毒的攻击。造成了业务损失和经济损失。值得我们严重的关注。有攻击就必须有防护2023年3月14日北京科东电力控制系统有限责任公司5主要风险调度数据网上：明文数据；104规约等的识别，着重保护“控制报文”；物理等原因造成的数据中断不是最危险的；最危险的是旁路控制。窃听篡改伪造2023年3月14日北京科东电力控制系统有限责任公司6优先级风险说明/举例0旁路控制（BypassingControls）入侵者对发电厂、变电站发送非法控制命令，导致电力系统事故，甚至系统瓦解。1完整性破坏（IntegrityViolation）非授权修改电力控制系统配置或程序；非授权修改电力交易中的敏感数据。2违反授权（AuthorizationViolation）电力控制系统工作人员利用授权身份或设备，执行非授权的操作。3工作人员的随意行为（Indiscretion）电力控制系统工作人员无意识地泄漏口令等敏感信息，或不谨慎地配置访问控制规则等。4拦截/篡改（Intercept/Alter）拦截或篡改调度数据广域网传输中的控制命令、参数设置、交易报价等敏感数据。5非法使用（IllegitimateUse）非授权使用计算机或网络资源。6信息泄漏（InformationLeakage）口令、证书等敏感信息泄密。7欺骗（Spoof）Web服务欺骗攻击；IP欺骗攻击。8伪装(Masquerade)入侵者伪装合法身份，进入电力监控系统。9拒绝服务（Availability,e.g.DoS）向电力调度数据网络或通信网关发送大量雪崩数据，造成拒绝服务。10窃听（Eavesdropping,e.g.DataConfidentiality）黑客在调度数据网或专线通道上搭线窃听明文传输的敏感信息，为后续攻击准备数据。电力二次系统主要安全风险2023年3月14日北京科东电力控制系统有限责任公司7系列文件国家经贸委[2002]第30号令：

《电网和电厂计算机监控系统及调度数据网络安全防护规定》。于2002年5月8日公布，自2002年6月8日起施行。国家电力监管委员会第5号令：

《电力二次系统安全防护规定》于2004年12月20日公布，自2005年2月1日起施行。

2023年3月14日北京科东电力控制系统有限责任公司8系列文件《电力二次系统安全防护规定》配套文件：《电力二次系统安全防护总体方案》《省级及以上调度中心二次系统安全防护方案》《地、县级调度中心二次系统安全防护方案》《变电站二次系统安全防护方案》《发电厂二次系统安全防护方案》《配电二次系统安全防护方案》2023年3月14日北京科东电力控制系统有限责任公司9总体安全防护策略在对电力二次系统进行了全面系统的安全分析基础上，提出了十六字总体安全防护策略。安全分区、网络专用、横向隔离、纵向认证2023年3月14日北京科东电力控制系统有限责任公司10电力二次系统安全防护的目标抵御黑客、病毒、恶意代码等通过各种形式对系统发起的恶意破坏和攻击，特别是能够抵御集团式攻击，防止由此导致一次系统事故或大面积停电事故及二次系统的崩溃或瘫痪。2023年3月7日北京科东电力力控制系统有有限责任公司司11安全分区2023年3月7日北京科东电力力控制系统有有限责任公司司12安全区I的典型系统调度自动化系系统（SCADA/EMS）、广域相量量测量系统、、配电网自动化化系统、变电电站自动化系系统、发电厂厂自动监控系系统、继电保保护、安全自自动控制系统统、低频/低压自动减载载系统、负荷荷控制系统等等。典型特点：是是电力生产的的重要环节、、安全防护的的重点与核心心；直接实现现对一次系统统运行的实时时监控；纵纵向使用电力力调度数据网网络或专用通通道。2023年3月7日北京科东电力控制制系统有限责任公公司13安全区II的典型系统调度员培训模拟系系统（DTS）、水库调度自动动化系统、继电保保护及故障录波信信息管理系统、电电能量计量系统、、电力市场运营系系统等。典型特点：所实现现的功能为电力生生产的必要环节；；在线运行，但不不具备控制功能；；使用电力调度数数

据网络，与控控制区（安全区I）中的系统或功能能模块联系紧密。。2023年3月7日北京科东电力控制制系统有限责任公公司14安全区III的典型系统调度生产管理系统统（DMIS）、调度报表系统统（日报、旬报、、月报、年报）、、雷电监测系统、、气象信息接入等等。典型特点：主要侧侧重于生产管理的的系统2023年3月月7日北京科东东电力控控制系统统有限责责任公司司15安全区IV的典型系系统管理信息息系统（（MIS）、办公公自动化化系统（（OA）、客户户服务系系统等。。典型特点点：纯管管理的系系统电力二次次系统安安全防护护总体示示意图上级调度度/控制中心心下级调度度/控制中心心上级信息息中心下级信息息中心实时VPNSPDnet非实时VPNIP认证加密密装置安全区I(实时控制制区)安全区II(非控制生生产区)安全区III(生产管理理区)安全区IV(管理信息息区)外部公共共因特网网生产VPNSPTnet管理VPN防火墙防火墙IP认证加密密装置IP认证加密密装置IP认证加密密装置防火墙防火墙安全区I(实时控制制区)防火墙安全区II(非控制生生产区)安全区III(生产管理理区)防火墙防火墙安全区IV(管理信息息区)专线正向专用用安全隔隔离装置置反向专用用安全隔隔离装置置正向专用用安全隔隔离装置置反向专用用安全隔隔离装置置防火墙防火墙防火墙2023年3月月7日北京科东东电力控控制系统统有限责责任公司司17网络专用用电力调度度数据网网应当在在专用通通道上使使用独立立的网络络设备组组网，采采用基于于SDH/PDH上的不同同通道、、不同光光波长、、不同纤纤芯等方方式，在在物理层层面上实实现与电电力企业业其它数数据网及及外部公公共信息息网的安安全隔离离。电力力调度数数据网划划分为逻逻辑隔离离的实时时子网和和非实时时子网，，分别连连接控制制区和非非控制区区。子网网之间可可采用MPLS-VPN技术、安安全隧道道技术、、PVC技术或路路由独立立技术等等来构造造子网。。电力调调度数据据网是电电力二次次安全防防护体系系的重要要网络基基础。2023年3月月7日北京科东东电力控控制系统统有限责责任公司司18网络专用用SDH（N×2M）SDH（155M）SPDnetSPTnet实时控制在线生产调度生产管理电力综合信息实时VPN非实时VPN调度VPN信息VPN语音视频VPNIP语音视频SDH/PDH传输网电力调度数据网电力企业数据网2023年年3月月7日日北京科科东电电力控控制系系统有有限责责任公公司19横向隔隔离物理隔隔离装装置（（正向向型/反向型型）2023年年3月月7日日北京科科东电电力控控制系系统有有限责责任公公司20横向隔隔离装装置必须通通过公公安部部安全全产品品销售售许可可，获获得国国家指指定机机构安安全检检测证证明，，用于于厂站站的设设备还还需通通过电电力系系统电电磁兼兼容检检测。。专用横横向单单向安安全隔隔离装装置按按照数数据通通信方方向分分为正正向型型和反反向型型。正正向向安全全隔离离装置置用于于生产产控制制大区区到管管理信信息大大区的的非网网络方方式的的单向向数据据传输输。反反向安安全隔隔离装装置用用于从从管理理信息息大区区到生生产控控制大大区单单向数数据传传输，，是管管理信信息大大区到到生产产控制制大区区的唯唯一数数据传传输途途径。。严格禁禁止E-Mail、Web、Telnet、Rlogin、FTP等通用用网络络服务务和以以B/S或C/S方式的的数数据库库访问问穿越越专用用横向向单向向安全全隔离离装置置，仅仅允许许纯数数据的的单向向安全全传输输。隔离设设备实时控制系统调度生产系统接口机机A接口机机B安全岛岛关键技技术-正向型型专用用安全全隔离离装置置内网外网内部应应用网网关外部应应用网网关1、采用非非INTEL指令系系统的的（及及兼容容）双双微处处理器器。2、特别别配置置LINUX内核，，取消消所有有网络络功能能，安安全、、固化化的的的操作作系统统。抵抵御除除DoS以外的的已知知的网网络攻攻击。。3、非网网络方方式的的内部部通信信，支支持安安全岛岛,保证装装置内内外两两个处处理系系统不不同时时连通通。4、透明明监听听方式式，虚虚拟主主机IP地址、、隐藏藏MAC地址，，支持持NAT5、内设设MAC/IP/PORT/PROTOCOL/DIRECTION等综合合过滤滤与访访问控控制6、防止止穿透透性TCP联接。。内外外应用用网关关间的的TCP联接分分解成成两个个应用用网关关分别别到装装置内内外两两个网网卡的的两个个TCP虚拟联联接。。两个个网卡卡在装装置内内部是是非网网络连连接。。7、单向向联接接控制制。应应用层层数据据完全全单向向传输输，TCP应答禁禁止携携带应应用数数据。。8、应用用层解解析，，支持持应用用层特特殊标标记识识别9、支持持身份份认证证10、灵活活方便便的维维护管管理界界面正向专用隔隔离装装置反向型型专用用安全全隔离离装置置安全区区III到安全全区I/II的唯一数据传传递途途径。。反向型型专用用隔离离装置置集中中接收收安全全区III发向安安全区区I/II的数据据，进进行签签名验验证、、内容容过滤滤、有有效性性检查查等处处理。。处理理后，，转发发给安安全区区I/II内部的的接收收程序序。具体过过程如如下：：1.安全区区III内的数数据发发送端端首先先对需需发送送的数数据签签名，，然后后发给给反向向型专专用隔隔离装装置；；2.专用隔隔离装装置接接收数数据后后，进进行签签名验验证，，并对对数据据进行行内容容过滤滤、有有效性性检查查等处处理；；3.将处理理过的的数据据转发发给安安全区区I/II内部的的接收收程序序。2023年年3月月7日日北京科科东电电力控控制系系统有有限责责任公公司24安全区区与远远方通通信的的安全全防护护要求求(一)安全区区Ⅰ、Ⅱ所连接接的广广域网网为国国家电电力调调度数数据网网SPDnet。SPDnet为安全全区Ⅰ、Ⅱ分别提提供二二个逻逻辑隔隔离的的MPLS-VPN。安全全区Ⅲ所连接接的广广域网网为国国家电电力数数据通通信网网（SPTnet），SPDnet与SPTnet物理隔隔离。。安全区区Ⅰ、Ⅱ接入SPDnet时，应应配置置纵向加加密认认证装装置，实现现远方方通信信的双双向身身份认认证和和数据据加密密。如如暂时时不具具备条条件或或业务务无此此项要要求，，可以以用硬硬件防防火墙墙代替替。安安全区区Ⅲ接入SPTnet应配置置硬件件防火火墙。。2023年年3月7日日北京科东电电力控制系系统有限责责任公司25安全区与远远方通信的的安全防护护要求(二)处于外部网网络边界的的通信网关关（如通信信服务器等等）操作系系统应进行行安全加固固，并配置置数字证书书。传统的远动动通道的通通信目前暂暂不考虑网网络安全问问题。个别别关键厂站站的远动通通道的通信信可采用线线路加密器器，但需由由上级部门门认可。经SPDnet的RTU网络通道原原则上不考考虑传输中中的认证加加密。个别别关键厂站站的RTU网络通信可可采用认证证加密，但但需由上级级部门认可可。禁止安全区区Ⅰ的纵向WEB，允许安全全区II的纵向WEB服务。安全区I和安全区II的拨号访问问服务原则则上需要认认证、加密密和访问控控制。2023年年3月7日日北京科东电电力控制系系统有限责责任公司26纵向加密认认证装置/网关加密认证装置位于电电力控制系系统的内部部局域网与与电力调度度数据网络络的路由器器之间，用用于安全区区I/II的广域网边边界保护，，可为本地地安全区I/II提供一个网网络屏障同同时为上下下级控制系系统之间的的广域网通通信提供认认证与加密密服务，实实现数据传传输的机密密性、完整整性保护。。加密认证网网关除具有有加密认证证装置的全全部功能外外，还应实实现应用层层协议及报报文内容识识别的功能能。2023年年3月7日日北京科东电电力控制系系统有限责责任公司27纵向加密认认证网关和和管理中心心的部署路由器国家电力调度数据网络国家电力调度数据网络I/III/II级级调度中心调度中心管理终端纵向加密认证装置国家电力调度数据网络调度中心调度中心管理中心2023年年3月7日日北京科东电电力控制系系统有限责责任公司28纵向认证采用认证、、加密、访访问控制等等技术措施施实现数据据的远方安安全传输以以及纵向边边界的安全全防护。在在生产控制制大区与广广域网的纵纵向交接处处应当设置置经过国家家指定部门门检测认证证的电力专专用纵向加加密认证装装置或者加加密认证网网关及相应应设施，实实现双向身身份认证、、数据加密密和访问控控制。管理理信息大区区应采用硬硬件防火墙墙等安全设设备接入电电力企业数数据网。纵纵向加密认认证是电力力二次安全全防护体系系的纵向防防线。传统的基于于专用通道道的通信不不涉及网络络安全问题题，可采用用线路加密密技术保护护关键厂站站及关键业业务。PKI技术的介绍绍对称密钥体体制：是指指加密密钥钥和解密密密钥为同一一密钥的密密码体制。。因此，信信息发送者者和信息接接收者在进进行信息的的传输与处处理时，必必须共同持持有该密码码（称为对对称密码））。通常,密钥简短，，使用的加加密算法比比较简便高高效。不对称密钥钥体制（公公钥体制））：用户产产生一对公公/私密钥，向向外界公开开的密钥为为公钥；自自己保留的的密钥为私私钥。加密过程：：信息发送送者以信息息接收者的的公钥加密密信息,信息接收者者以其私钥钥解密这加加密信息。。又称为公公钥加密技技术。认证过程：：信息发送送者以自己己的私钥加加密信息，，信息接收收者以信息息发送者的的公钥解密密这加密信信息。因为为任何人都都可以用信信息发送者者的公钥解解密这加密密信息，但但只有知道道信息发送送者私钥的的人才能发发出此加密密信息。安全防护要求求在生产控制大区与与管理信息大区之之间必须设置经国国家指定部门检测测认证的电力专用用横向单向安全隔隔离装置。生生产控制大区内部部的安全区之间应应当采用具有访问问控制功能的设备备、防火墙或者相相当功能的设施，，实现逻辑隔离。。在生产控制大区与与广域网的纵向交交接处应当设置经经过国家指定部门门检测认证的电力力专用纵向加密认认证装置或者加密密认证网关及相应应设施。安全防护要求安全区边界应当采采取必要的安全防防护措施，禁止任任何穿越生产控制制大区和管理信息息大区之间边界的的通用网络服务。。生产控制大大区中的业务系统统应当具有高安全全性和高可靠性，，禁止采用安全风风险高的通用网络络服务功能。依照电力调度管理理体制建立基于公公钥技术的分布式式电力调度数字证证书系统，生产控控制大区中的重要要业务系统应当采采用认证加密机制制。各安全区内部安全全防护的基本要求求（一）对安全区Ⅰ及安全区Ⅱ的要求：禁止安全区Ⅰ/Ⅱ内部的E-MAIL服务。安全区Ⅰ不允许存在WEB服务器及客户端。。允许安全区Ⅱ内部及纵向（即上上下级间）WEB服务。但WEB浏览工作站与II区业务系统工作站站不得共用，而且且必须业务系统向向WEB服务器单向主动传传送数据。安全区Ⅰ/Ⅱ的重要业务（如SCADA、电力交易）应该该采用认证加密机机制。安全区Ⅰ/Ⅱ内的相关系统间必必须采取访问控制制等安全措施。对安全区Ⅰ/Ⅱ进行拨号访问服务务，必须采取认证证、加密、访问控控制等安全防护措措施。安全区Ⅰ/Ⅱ应该部署安全审计计措施，如IDS等。安全区Ⅰ/Ⅱ必须采取防恶意代代码措施。各安全区内部安全全防护的基本要求求（二）对安全区Ⅲ要求：安全区Ⅲ允许开通EMAIL、WEB服务。对安全区Ⅲ拨号访问服务必须须采取访问控制等等安全防护措施。。安全区Ⅲ应该部署安全审计计措施，如IDS等。安全区Ⅲ必须采取防恶意代代码措施。对安全区Ⅳ不做详细要求。其它安全措施防病毒措施：病毒防护是调度系系统与网络必须的的安全措施。建议议病毒的防护应该该覆盖所有安全区区I、II、III的主机与工作站。。病毒特征码要求求必须以离线的方方式及时更新。应当及时更新特征征码，查看查杀记记录。禁止生产控控制大区与管理信信息大区共用一套套防恶意代码管理理服务器。入侵检测IDS：对于生产控制大区区统一部署一套内内网审计系统或入入侵检测系统（IDS），其安全策略的的设

置重在捕获获网络异常行为、、分析潜在威胁以以及事后安全审计计，不宜使用实时时阻断功能。禁止止使用入侵检测与与防火墙的联动。。考虑到调度业务务的可靠性，采用用基于网络的入侵侵检测系统（NIDS），其IDS探头主要部署在：：横向、纵向边界界以及重要系统的的关键应用网段。。其它安全措施使用安全加固的操操作系统：能量管理系统SCADA/EMS、变电站自动化系系统、电厂监控系系统、配电网自动动化系统、电力市市场运营系统等关关键应用系统的主主服务器，以及网网络边界处的通信信网关、Web服务器等，应该使使用安全加固的操操作系统。主机加固方式包括括：安全配置、安安全补丁、采用专专用软件强化操作作系统访问控制能能力、以及配置安安全的应用程序。。关键应用系统采用用电力调度数字证证书：能量管理系统、厂厂站端生产控制系系统、电能量计量量系统及电力市场场运营系统等业务务系统，应当逐步步采用电力调度数数字证书，对用户户登录本地操作系系统、访问系统资资源等操作进行身身份认证，根据身身份与权限进行访访问控制，并且对对操作行为进行安安全审计。其它安全措施远程拨号访问的防防护策略：通过远程拨号访问问生产控制大区时时，要求远方用户户使用安全加固的的操作系统平台，，结合调度数字证证书技术，进行登登录认证和访问认认证。

对于远远程用户登录到本本地系统中的操作作行为，应该进行行严格的安全审计计。安全审计：生产控制大区应当当具备安全审计功功能，可对网络运运行日志、操作系系统运行日志、数数据库访问日志、、业务应用系统运运行日志、安全设设施运行日志等进进行集中收集、自自动分析，及时发发现各种违规行为为以及病毒和黑客客的攻击行为。2023年3月7日北京科东电力控制制系统有限责任公公司37其它安全措施数据与系统备份对关键应用的数据据与应用系统进行行备份，确保数据据损坏、系统崩溃溃情况下快速恢复复数据与系统的可可用性。设备备用对关键主机设备、、网络的设备与部部件进行相应的热热备份与冷备份，，避免单点故障影影响系统可靠性。。异地容灾对实时控制系统、、电力市场交易系系统，在具备条件件的前提下进行异异地的数据与系统统备份，提供系统统级容灾功能，保保证在规模灾难情情况下，保持系统统业务的连续性。其它安全措施安全评估技术：所有系统均需进行行投运前的及运行行期间的定期评估估。已投运的系统统要求进行安全评评估，新建设的系系统必须经过安全全评估合格后方可可投运,运行期间的定期评评估.有的变电站具有电电力数据通信网SPTnet和生产管理系统MIS系统，属于安全区区Ⅲ、Ⅳ的子系统。对于分层分布式的的变电站自动化系系统，由于其核心心部分（测控单元元）是利用串行非非网络通信传递数数据，与站控层局局域网是通过中间间层前置单元在逻逻辑上进行隔离的的，可以认为无安安全风险。纵向网络边界的安安全防护措施：对外通信网关必须须通过具备逻辑隔离功能能的接入交换机接接入部署IP认证加密装置（位位于SPDnet的实时VPN与接入交换机之间间）横向网络边界的安安全防护措施：对内网关必须通过具备逻辑隔离功能能的区内交换机接接入（若交换机不具备逻辑辑隔离功能时，建议部署硬件防火火墙）；安全区Ⅰ与安全区Ⅱ之间必须部署硬件件防火墙（经有关关部门认定核准））。安全管理国家电力监管委员员会负责电力二次次系统安全防护的的监管，制定电力力二次系统安全防防护技术规范并监监督实施。电力企业应当按照照“谁主管谁负责责，谁运营谁负责责”，的原则，建建立健全电力二次次系统安全管理制制度，将电力二次次系统安全防护工工作及其信息报送送纳入日常安全生生产管理体系，落落实分级负责的责责任制。电力调度机构负责责直接调度范围内内的下一级电力调调度机构、变电站站、发电厂输变电电部分的二次系统统安全防护的技术术监督，发电厂内内其他二次系统可可由其上级主管单单位实施技术监督督。安全管理建立电力二次系统统安全评估制度，，采取以自评估为为主、联合评估为为辅的方式，将电电力二次系统安全全评估纳入电力系系统安全评价体系系。对生产控控制大区安全评估估的所有记录、数数据、结果等，应应按国家有