[发明专利]电力二次系统的主动安全防御系统及方法

说明书

技术领域

本发明涉及电力系统的安全防御系统及方法，特别是涉及一种电力二次系统的主动安全防御系统及方法。

背景技术

电力系统包括一次和二次系统，而电力二次系统的安全防护是近十几年才提出来的电力安全防护体系。随着网络技术在电力系统各领域的广泛应用，电力二次系统的安全与其涉及的网络的安全息息相关。具体技术主要涉及电力二次系统的安全分区，每个分区之间的安全防护以及内外网之间的安全防护，尤其是主动防御技术领域。

目前，国内外对电力二次系统的安全防护都在加强建设和不断完善的过程中。相关的技术主要有防火墙技术，反病毒技术，身份认证技术，入侵检测技术（Intrusion Detection Systems），入侵防御技术（Intrusion Prevent System），物理隔离和逻辑隔离，虚拟专用网（Virtual Private Network）等关键技术。

然而，虽然目前国内外对电力二次系统安全进了大量的研究并取得了一定的成果，但距离达到保障电力系统安全的要求还有很大差距。通过对电力二次系统的应用现状及安全需求分析，发现目前电力二次系统安全建设主要存在以下问题：安全防护的目标、策略和体系不够健全，安全防护反应过度反而影响正常业务，没有建立一个针对威胁和资产保护相一致的安全保护体系；另外，目前电力二次系统所采取的一些安全措施大部分是被动防护，图1为现有技术中电力二次系统安全防御体系的一般结构图。如图1所示，目前电力二次系统安全防护的总体原则是“安全分区、网络专用、横向隔离、纵向认证”，以下从这几个方面对其进行简述。

1、安全分区

原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区（又称安全区Ⅰ）和非控制区（又称安全区Ⅱ）。

1.1生产控制大区的安全区划分

（1）控制区（安全区Ⅰ）

控制区的典型业务系统包括电力数据采集和监控系统、能量管理系统、广域相量测量系统、配电网自动化系统、变电站自动化系统、发电厂自动控制系统等，其主要使用者为调度员和运行操作人员，数据传输实时性为毫秒级或秒级，其数据通信使用电力调度数据网的实时子网或专用通道进行传输。该区内还包括采用专用通道的控制系统，如：继电保护、安全自动控制系统、低频（或低压）自动减负荷系统、负荷管理系统等，这类系统对数据传输的实时性要求为毫秒级或秒级，其中负荷管理系统为分钟级。

（2）非控制区（安全区Ⅱ）

非控制区的典型业务系统包括调度员培训模拟系统、水库调度自动化系统、继电保护及故障录波信息管理系统、电能量计量系统、电力市场运营系统等，其主要使用者分别为电力调度员、水电调度员、继电保护人员及电力市场交易员等。在厂站端还包括电能量远方终端、故障录波装置及发电厂的报价系统等。非控制区的数据采集频度是分钟级或小时级，其数据通信使用电力调度数据网的非实时子网。

1.2管理信息大区的安全区划分

管理信息大区是指生产控制大区以外的电力企业管理业务系统的集合。电力企业可根据具体情况划分安全区，但不应影响生产控制大区的安全。在此划分如生产管理区（安全区III）与管理信息区（安全区IV）

2、网络专用

电力调度数据网是为生产控制大区服务的专用数据网络，承载电力实时控制、在线生产交易等业务。安全区的外部边界网络之间的安全防护隔离强度应该和所连接的安全区之间的安全防护隔离强度相匹配。

电力调度数据网划分为逻辑隔离的实时子网和非实时子网，分别连接控制区和非控制区。可采用VPN（virtual private network，虚拟专用网络）技术（包括实时VPN、非实时VPN、生产VPN及信息VPN）、国家电力调度网络SPDnet(state Power Dispatching Network)、国家电力数据通信网SPTnet(State Power Telecommunication Network)、安全隧道技术、静态路由等构造子网。

3、横向隔离

横向隔离是电力二次安全防护体系的横向防线。采用不同强度的安全设备隔离各安全区，在生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔离。电力专用横向单向安全隔离装置作为生产控制大区与管理信息大区之间的必备边界防护措施，是横向防护的关键设备。生产控制大区内部的安全区之间应当采用具有访问控制功能的网络设备、防火墙或者相当功能的设施，实现逻辑隔离。