变电站自动化的风险：IEC 61850、远程控制、物理安全（风险项、控制、演练）

变电站自动化的风险：IEC61850、远程控制、物理安全（风险项、控制、演练）本文档提供：IEC61850三类报文攻击面判定表；远程控制操作五处断点检查表；物理安全三层防线配置表；演练剧本转折连锁表；波兰2025年12月事件复盘示例；三套场景检查项增减表。2026-11-06这一节的标题读完你能拿到什么这一节在全文中的功能一、先分清哪类报文出事会直接跳闸，哪类只会让后台“看不见”IEC61850三类报文攻击面判定表；一跳一不跳的分界线划定协议层的风险边界，决定后续检查先动哪条链路二、远方遥控发出去之前，在哪五处停下来核对远程控制五处断点检查表；操作票授权与执行的时间戳对照动作把远程控制的“发令—返校—执行”拆成可逐项打勾的断点三、围墙、门锁、摄像机：入侵者到设备跟前之前能拦住几次物理安全三层防线配置表；周界告警与门禁记录的交叉核对路径在协议层和遥控层之外补上“人到设备跟前”这一层拦截四、演练不演“发现问题”，演“换哪条路”演练剧本转折连锁表；红蓝对抗的观察点与叫停条件把风险项和控制措施转成可重复执行的对抗序列五、一次真实事件的判断连锁：从VPN默认口令到RTU反复重启波兰2025年12月事件复盘示例；变量表与处置变化对照用完整案例展示四轮转折的判断依据如何依次推翻上一轮假设六、三个场景各跑哪些检查项，各留哪些不跑完整版、精简版、极简版检查项增减表；不可让步底线清单按交付对象和时间预算决定跑多少检查项、删哪几项七、判定规则与一处绕不开的矛盾6条决策规则；一处矛盾的四段式权衡把前六节的判定收敛成可执行的如果—则规则八、来源说明信息项、来源层级、核对状态、验证事项对照表标注哪些断言可直接引用、哪些需回到目标数据核对按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。一、先分清哪类报文出事会直接跳闸，哪类只会让后台“看不见”IEC61850把变电站内的通信拆成几条不同的路径，出事后果不在一个量级。MMS走站控层，承载定值读写、遥测遥信上送、控制命令下发，跑在明文TCP端口上，协议本身不携带身份验证和加密。GOOSE走过程层和间隔层之间的快速对等通信，承载跳闸、闭锁、联锁信号；SV承载采样值。GOOSE和SV的内容在当前投运站中普遍缺少可靠的身份验证或加密，报文延迟或丢失会直接扰动保护逻辑。攻击路径的后果差异由此产生。对SV进行协调性的小幅篡改，可以在不触发常规网络层告警的情况下诱发虚假跳闸，或阻止保护正确动作。对GOOSE报文投毒，可以使原本健康的线路延迟跳闸或错误跳闸。MMS的明文无认证特性则意味着，任何能到达TCP端口的主机都可以浏览装置数据模型、读取数值，并在权限允许时对断路器执行控制操作。这三条路径的检查顺序按后果排：先看GOOSE和SV的异常能否被保护装置自身或独立通道捕获，再看MMS的访问入口是否收敛到授权主机。表1IEC61850三类报文攻击面判定表报文类型承载什么攻击形态不修会出什么事第一检查动作什么样算合格SV采样值，距离保护等功能的输入协调性小幅篡改注入虚假数据虚假跳闸或保护拒动，且网络层难以察觉打开保护装置的采样值交叉校验记录，查同一间隔两路独立SV通道在最近30天是否出现过不一致两路SV不一致时保护装置有告警记录，且告警时间戳与运维日志可对照GOOSE跳闸、闭锁、联锁信号报文投毒、重放、延迟注入健康线路延迟跳闸或错误跳闸在站控层交换机镜像口抓取GOOSE报文，核对stNum与sqNum是否在无状态变化时异常递增过去7天GOOSE的stNum只在有对应一次设备变位记录时变化MMS定值读写、遥测遥信、控制命令未授权浏览数据模型、读取数值、执行控制定值被改动或断路器被远方操作而调度无记录在站控层交换机上查TCP端口102的活跃连接，逐条对照授权主机清单每条102端口连接的对端IP都出现在授权主机清单中，无清单外地址示例行：某220kV站，运维人员在表1第三行“第一检查动作”栏记录“2026-10-14抓取GOOSE报文4小时，stNum变化3次，对应断路器变位记录3条；sqNum在无变位区间保持递增但stNum不变，判定通过”。该行同时含日期、报文类型、数值和判定结论，可作为填表深度参照。这三类报文的风险不在同一个防御层解决。MMS的入口收敛靠网络访问控制，GOOSE和SV的完整性靠保护装置自身的交叉校验或独立通道比对。表1的第一检查动作分别落在交叉校验记录、报文计数和连接清单上，目的是一张表之内就能判断先动哪条链路。二、远方遥控发出去之前，在哪五处停下来核对远方遥控的风险集中在“指令离手”到“开关动作”之间。常规站内操作有机械防误、电气防误和微机五防逐层拦截；远方集中遥控模式下，传统机械闭锁和就地电气闭锁不参与遥控命令的实时校核，整个流程中某一步骤出错就可能直接导致误操作。调度端下发的遥控命令经过操作票生成、安全约束校验、通道传输、站端测控执行几个环节，每个环节都有独立的失效方式：操作票可能选错间隔，安全约束可能因拓扑数据陈旧而漏判，通道可能被重放或篡改，测控返校可能被伪造，执行后的遥信确认可能滞后或被屏蔽。五处断点的检查顺序按“离设备由远到近”排：先看操作票的授权范围是否覆盖本次遥控的对象，再看安全约束校验是否基于当前实时拓扑，然后看通道上的遥控报文是否携带可追溯的时间戳与序列号，接着看测控装置返校报文是否来自被控间隔本身，最后看执行后的遥信变位是否在规定时间内回到调度端并与现场状态一致。表2远程控制五处断点检查表断点停在哪里核对不修会出什么事核查动作不合格形态操作票授权本次遥控的间隔、设备双重编号是否在操作票授权行内遥控发到未授权间隔打开操作票系统，取遥控对象双重编号，与操作票“授权操作设备”列逐字比对操作票授权列只写“110kV线路”，未写双重编号安全约束校验校验所用拓扑是否为当前实时拓扑，检修票关联是否生效拓扑变化后校验结论失效，闭锁条件漏判在五防或安全约束系统查看本次校验的时间戳，与最近一次拓扑变更记录的时间比对校验时间早于最近一次拓扑变更时间通道报文遥控报文是否带序列号和时间戳，接收端是否核对重放或伪造的遥控命令被当作新命令执行在调度数据网纵向加密装置或通道监视工具中查遥控报文序列号是否连续序列号字段为空，或同一序列号在24小时内重复出现测控返校返校报文是否来自被控间隔的测控装置，而非其他间隔返校通过但实际对象错误在站控层抓取返校报文，核对源MAC或源IP是否属于被控间隔测控返校报文源地址不在被控间隔测控地址清单中遥信确认执行后规定时间内遥信变位是否回到调度端并与现场一致开关已动但调度画面未变，后续操作基于错误状态记录遥控命令下发时间，查遥信变位到达调度端的时延，再与现场检查记录比对遥信变位时延超过该站设定的阈值，或变位方向与操作票相反示例行：某110kV站执行“拉开112断路器”遥控，操作票授权列填“112断路器（双重编号112）”；安全约束校验时间2026-11-0314:22:07，最近拓扑变更2026-11-0309:10，校验晚于变更；通道报文序列号连续，无24小时内重复；返校源地址为112间隔测控地址；遥信变位2.3秒后到达调度端，方向为分位。五处全部通过。操作票授权和遥信确认这两处断点容易被跳过，因为它们看起来“有系统在管”。实际上，操作票授权列的写法直接决定遥控能不能被拦在发令之前；遥信确认的时延和方向则决定调度员下一步操作是建立在真实状态上还是过期画面上。这两处各写一行判定，遥控流程才算闭环。三、围墙、门锁、摄像机：入侵者到设备跟前之前能拦住几次物理安全的风险传导路径比网络攻击短。一个人翻过围墙、进入主控室、拔掉一根网线或按下就地按钮，不需要任何协议漏洞。物理防线的作用是在入侵者到达设备之前提供足够多次拦截和记录机会：周界拦一次，出入口拦一次，建筑物入口拦一次，设备屏柜再加一次。每次拦截都应当留下可回溯的记录，否则事后无法判断入侵者走到了哪一层。周界的配置按站的重要等级拉开。升压站周界宜安装球型智能摄像机和电子围栏，监视范围覆盖周界四周，实现人员及异物入侵实时告警和周界实时监视。围墙高度和实体构造构成第一道物理屏障，主控制室、开关室等建筑物与室外相通的出入口安装防盗安全门。门禁记录和视频记录是物理防线的“日志”，两者的时间戳必须能互相对照：某人在某时刷开了哪扇门，对应时段该区域的视频中应当出现同一人。表3物理安全三层防线配置表防线配置项不修会出什么事检查动作什么样算合格周界电子围栏或实体围墙，周界摄像机覆盖四角与长边入侵者翻越后无告警，事后无录像可查调取最近30天周界告警记录，随机抽3条，逐一对照同时段对应区域录像每条周界告警在录像中都能找到触发画面，告警时间与录像时间差不超过5秒出入口大门门禁、主控室及开关室防盗门、门禁读卡器尾随进入、无卡进入、钥匙失控取过去7天门禁开门记录，筛出“开门但无刷卡事件”的行不存在无刷卡记录的开门事件，或每一条都有对应的人工放行审批设备近端屏柜锁具、就地操作把手闭锁、摄像机覆盖屏柜正面进入后直接操作设备或拔线查屏柜锁具完好率，抽5面屏柜，看锁芯有无撬痕、是否全部锁闭5面屏柜全部锁闭且锁具无撬痕，摄像机画面可辨认屏柜编号示例行：某220kV站周界检查，2026-10-2203:14电子围栏告警“东侧第3防区”，对应东侧球机录像03:14:03出现一只动物穿越围栏底部，告警触发画面可辨；同日门禁记录中大门06:30有一次“开门无刷卡”，对应值班日志记录“运行人员手动放行检修车辆，审批单编号JW-20261022-03”。两条均判定为有对应记录，通过。物理防线的一个常见漏洞在“开门无刷卡”与“人工放行”的对应关系上。放行审批如果只在纸质日志上写一句“检修车辆”，没有编号、没有时间、没有放行人，门禁记录与视频记录之间的链就断了。表3第二行的判定把“人工放行审批”写成可查的编号，目的就是让每一条无卡开门记录都有可追溯的去向。四、演练不演“发现问题”，演“换哪条路”演练的设计如果停留在“发现异常—上报—恢复”，检验的是流程有没有走完，检验不了判断能力。变电站自动化风险的核心判断发生在信号不完整的时候：看到GOOSE告警，是装置故障还是报文投毒；看到遥控返校正常，是命令真到了正确间隔还是返校报文被伪造；看到门禁记录正常，是没人入侵还是入侵者用了合法卡。演练要逼出的是“试了什么、发现了什么新信息、换哪条路”。红蓝对抗形式能把转折压进一个时间窗口。浙江电网2025年演练设置了地调自动化系统主机感染病毒、主站遭受厂站纵向攻击、厂站重要设备遭遇供应链攻击、安防设备故障四个场景，覆盖邮件钓鱼、纵向渗透、供应链漏洞到硬件故障多类风险，蓝队在场景二中通过便携式堡垒机定位攻击路径、结合网管系统与加密管理工具管控变电站通道。桌面推演形式则适合在较小范围内逐环节卡判断，新乡2024年演练分五个阶段、三个场景，含变电站被恶意程序控制作为跳板、U盘接入县调维护工作站、新能源电站作为跳板三类事件。表4演练剧本转折连锁表轮次看到的信号当时以为问题在哪试了什么新信息推翻了什么换哪条路第一轮某间隔GOOSE告警“通信中断”，但保护装置面板无异常灯交换机端口或光纤故障更换交换机端口、清洁光纤端面，告警未消失同一交换机其他间隔GOOSE正常，端口和光纤排除转向抓取该间隔GOOSE报文，查stNum/sqNum第二轮报文抓取显示stNum在无一次设备变位时连续递增保护装置GOOSE发布逻辑异常重启保护装置GOOSE通信模块，stNum恢复初始值后再次异常递增重启后异常重现，且时间点与站控层某台笔记本接入吻合转向站控层接入设备排查，查笔记本的MAC与端口第三轮笔记本在非授权时段接入站控层交换机运维人员违规接入查笔记本使用人，发现为检修人员，但检修工作票未覆盖该时段工作票时间与接入时间不符，排除“正常运维”解释转向该笔记本的进程和网络连接，查是否运行GOOSE组包工具第四轮笔记本上发现GOOSE组包脚本，目标为该间隔外部入侵者通过运维笔记本植入隔离笔记本、提取脚本哈希，比对站内其他终端脚本哈希在另一台工程师站上也出现，入侵面扩大到工程师站将处置范围从单间隔扩大到站控层全部终端，启动隔离和取证示例行：第一轮“试了什么”栏写“2026-09-1710:05更换站控层交换机3号端口至7号端口，清洁光纤端面2次，GOOSE告警在10:40仍未复归”；第二轮“新信息”栏写“10:52抓包显示stNum从1041连续增至1047，同期一次设备变位记录为0条”。每轮至少含日期、数值或设备名两项具体信息。演练的叫停条件需要事先写死。当蓝队连续两轮转折都未能缩小可疑范围，或红队已经触达真实遥控执行环节时，叫停并转入桌面复盘。叫停条件写在演练方案里，由白队或评估组执行，不由红队自行判断。这一条的作用是防止演练为了“走完剧本”而让真实设备承担不必要的操作风险。五、一次真实事件的判断连锁：从VPN默认口令到RTU反复重启以下案例基于2025年12月29日波兰能源行业协同攻击的公开事件报告整理，人物和操作细节为合理设定的复盘视角【示例案例，细节为合理设定】。该事件的关键判断分叉集中在远程访问入口和固件更新机制两处，第三处转折未越过“保护装置直接操作”，复盘按实际发生的四轮转折展开。起点：某110kV变电站的RTU通过互联网连接的防火墙和VPN集中器暴露在外部，VPN未启用多因素认证，RTU的Web界面使用默认账户“Default”和默认凭据，该账户权限允许固件升级。RTU运行13.5.2版本，安全更新机制自13.2.1起可用但属于可选，该站未启用。第一轮。信号：站端RTU与调度主站之间的遥测遥信间歇性中断，数秒后恢复，重复出现。当时以为问题在通信通道。试了切换备用通道、重启纵向加密装置，中断仍在原RTU上出现。新信息：备用通道切换后中断模式不变，排除通道侧。换哪条路：登录RTU查看运行日志，发现设备在反复重启，重启间隔约40秒。第二轮。信号：RTU日志显示每次重启前有一条“固件校验失败”记录，版本号显示为13.5.3，而台账记录为13.5.2。当时以为问题在存储介质老化导致固件损坏。试了回滚到13.5.2备份，回滚后设备正常启动约2小时，再次进入重启循环。新信息：回滚后2小时内，防火墙日志显示VPN集中器上有一个已建立会话在回滚前就存在，回滚后该会话重新活动。换哪条路：从固件问题转向VPN访问入口，查VPN账户登录记录。第三轮。信号：VPN集中器日志中，一个“Default”账户在事件前3天内有多次登录，来源IP不在运维白名单内；该VPN未启用多因素认证，登录只需口令。当时以为问题在口令泄露。试了立即禁用“Default”账户并断开全部VPN会话，RTU重启停止。新信息：禁用后RTU稳定，但防火墙日志显示事件当天凌晨有一次从同一来源IP向站内另一台串口服务器发起的连接尝试，目标端口对应串口SCADA链路。换哪条路：把排查范围从单台RTU扩大到VPN可达的全部设备，逐台查默认凭据和固件版本。第四轮。信号：串口服务器和另一台RTU同样使用默认凭据，其中一台RTU的固件已被替换为包含非法指令的版本，设备重启循环的根因是恶意固件中的非法指令触发ARM架构异常。当时以为问题只是“口令弱”。试了逐台修改默认凭据、禁用可选更新中的不安全选项、启用安全更新机制。新信息：安全更新机制在13.2.1已可用但未启用，且部分设备版本低于13.7.7，存在可被利用的更新绕过路径。换哪条路：将处置升级为全站VPN可达设备的凭据重置和固件基线核对，同时把“可选安全功能是否启用”列入日常检查项。终点：产出两份东西。一份是VPN可达设备清单，列明每台设备的固件版本、默认凭据是否已改、安全更新机制是否启用；另一份是修复记录，记录每台设备的处置动作和时间戳。RTU恢复通信，遥测遥信回到调度端，事件闭环。表5复盘变量表变量案例中情形如果变量不同处置变化VPN多因素认证未启用，仅口令启用多因素认证第三轮“禁用Default账户”的动作提前到第一轮之前，但固件检查仍需执行默认凭据RTU和串口服务器均使用默认账户全部已改强口令攻击入口收窄，但VPN会话日志仍需按“来源IP是否在白名单”逐条核对安全更新机制13.2.1起可用，未启用已启用恶意固件可能无法写入，但回滚备份的完整性需单独验证固件版本13.5.2，低于13.7.7已升至13.7.7已知更新绕过路径被覆盖，仍需核对更新包签名串口SCADA链路暴露VPN可达串口服务器串口服务器不在VPN可达范围第三轮后“扩大排查范围”的压力降低，但站内横向移动的其他路径需补查变量表中权重较高的是VPN多因素认证和默认凭据两项。前者决定攻击者能不能在第一步就建立会话，后者决定建立会话后能不能直接获得固件升级权限。两项同时缺失时，事件会从“未授权访问”直接跳到“设备不可用”。六、三个场景各跑哪些检查项，各留哪些不跑完整版用于对外交付或监管报送。检查项覆盖表1全部三行、表2全部五处断点、表3全部三层防线，加做表4的全部四轮转折推演。执行序列：跑全量检查清单→按表1至表3的判定栏定位失败项→按表4的连锁逻辑逐轮修复并重跑受影响的上游检查。精简版用于内部决策且时间受限。保留表1第一行（SV交叉校验）和第三行（MMS连接清单）、表2第一处（操作票授权）和第五处（遥信确认）、表3第一层（周界）和第二层（出入口）。删掉的检查项逐项列明：表1第二行GOOSE报文计数核对；表2第二处安全约束校验时间戳比对、第三处通道序列号核对、第四处返校源地址核对；表3第三层设备近端屏柜锁具与摄像机覆盖。精简版删减的依据是：GOOSE报文抓取需要镜像口和抓包工具，在时间受限场景下操作成本高；安全约束和通道序列号的核对依赖调度端和通信班配合，单站值守人员难以独立完成。执行序列：跑精简清单→用表2第一处和表3前两层定位→修复后只重跑失败项。极简版用于个人学习或非风险管理岗位。只保留表2第一处操作票授权核对、表3第二层“开门无刷卡”筛查、表1第三行MMS连接清单中的“授权主机清单是否存在”这一条（不做逐连接比对）。删掉的检查项逐项列明：表1第一行SV交叉校验、第二行GOOSE报文计数；表2第二至第五处全部断点；表3第一层周界告警录像抽查、第三层设备近端检查。极简版的实际动作只剩三个：打开操作票核对双重编号；打开门禁记录筛无刷卡开门；确认站控层有授权主机清单这份文件。三个动作都能在15分钟内完成，但只能回答“入口有没有基本控制”，回答不了“报文有没有被篡改”。表6三套场景检查项增减表检查项完整版精简版极简版不能妥协的底线表1SV交叉校验记录执行执行删去完整版和精简版必须看到两路SV不一致时有告警记录表1GOOSE报文stNum/sqNum核对执行删去删去完整版必须抓到至少一段无变位区间的报文表1MMS102端口连接逐条比对执行执行保留“清单是否存在”授权主机清单本身必须存在且为最新版本表2操作票授权双重编号执行执行执行授权列必须含双重编号，只写电压等级和“线路”不合格表2安全约束时间戳比对执行删去删去完整版校验时间必须晚于最近拓扑变更表2通道序列号核对执行删去删去完整版遥控报文序列号必须非空且无24小时内重复表2返校源地址核对执行删去删去完整版返校源地址必须在被控间隔测控地址清单内表2遥信变位时延与方向执行执行删去完整版和精简版变位方向必须与操作票一致表3周界告警录像抽查执行执行删去每条告警必须有对应录像画面表3门禁无刷卡记录筛查执行执行执行每条无刷卡开门必须有可查的放行审批编号表3屏柜锁具与近端摄像机执行删去删去完整版抽5面屏柜全部锁闭无撬痕表4四轮转折推演执行删去删去完整版至少推到第三轮示例行：某内部决策场景选精简版，执行人删去表1第二行GOOSE报文核对和表2第二、三、四处断点，保留表2第一处和第五处；执行后在“删去项是否影响判定”栏记录“GOOSE未抓包，但SV交叉校验和MMS连接清单未发现异常，判定本次精简版结论覆盖协议层入口；安全约束和通道序列号未核，列入下次完整版补做”。本主题不存在“极简版可以替代完整版”的情形。极简版三个动作只能回答入口文件是否存在，回答不了IEC61850报文是否被篡改、遥控返校是否来自正确间隔。对外交付场景只能走完整版。七、判定规则与一处绕不开的矛盾以下6条规则覆盖本主题最关键的判断分叉点。规则1。如果表1第三行MMS102端口活跃连接中出现授权主机清单之外的地址，则立即在站控层交换机上关闭该端口或将该地址列入阻断，同时提取该主机的进程和网络连接记录；如果该地址属于运维班组临时接入且持有当日工作票，则补录授权后恢复，并在授权清单中增加该地址的临时条目。规则2。如果表2第一处操作票授权列只写电压等级和“线路”而未写双重编号，则遥控发令动作暂停，退回操作票拟写环节补填双重编号；如果操作票系统在发令环节强制校验双重编号且无法绕过，则判定该断点由系统控制，转为抽查历史操作票的授权列完整率。规则3。如果表2第四处返校报文的源地址不在被控间隔测控地址清单中，则判定本次遥控返校不可信，取消本次操作并检查站控层是否存在MAC或IP仿冒；如果源地址属于同一间隔内另一台测控装置且该装置处于检修状态，则按检修变更流程核对后再决定是否继续。规则4。如果表3第二层筛查出“开门无刷卡”且找不到放行审批编号，则将该条记录转入事件调查，调取对应时段录像和门禁读卡器日志；如果审批编号存在但放行人无法说明放行对象，则按同样流程处理，同时补查该时段周界告警记录。规则5。如果演练中蓝队连续两轮转折未能缩小可疑范围，则白队或评估组叫停推演，转入桌面复盘；如果红队已触达真实遥控执行环节且未提前约定隔离措施，则立即叫停并按应急预案处置。规则6。如果VPN可达设备中存在默认凭据且安全更新机制未启用，则将该设备列入最高优先级整改，在整改完成前限制其VPN访问权限到仅必要端口；如果设备版本低于安全更新绕过路径的修复版本，则按同一条处理，不以“暂时没有攻击迹象”为由推迟。矛盾落在“安全更新机制的启用”上。设备厂商将安全更新机制设为可选，理由是启用后更新包的签名校验可能增加升级操作的时间窗口，部分老旧装置在升级期间会短暂退出运行；而风险管理的判定要求是“安全更新机制未启用即视为固件完整性不可验证”。同一台设备，运维侧看到的是“升级窗口拉长、可用性承压”，风险侧看到的是“可选功能未启用、写入路径敞开”。两者在同一台设备、同一个升级动作上指向相反的操作方向：运维倾向于保持可选关闭以压缩停役时间，风险要求打开以堵住固件替换路径。权衡规则写成按设备在电网中的位置分档。110kV及以上并网连接点、承担遥测遥控功能的RTU、