鄭鐵軍，丁旭元，尹 亮

電力信息及通信技術(shù)

電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)建設(shè)

鄭鐵軍1，丁旭元2，尹 亮3

隨著電力企業(yè)二次系統(tǒng)安全防護(hù)要求的不斷提高，各供電企業(yè)在自動(dòng)化系統(tǒng)主站、變電站安全邊界部署了大量防火墻、隔離裝置、縱向加密裝置等安全防護(hù)設(shè)備，很大程度上提高了二次安全防護(hù)的水平。但安全防護(hù)設(shè)備均分布在自動(dòng)化主站及變電站、新能源廠站等地，運(yùn)維人員在檢查信息的安全狀況時(shí)，只能到安全防護(hù)設(shè)備的安裝現(xiàn)場(chǎng)通過(guò)設(shè)備管理軟件查看設(shè)備的日志文件，其過(guò)程十分繁瑣且工作效率低，無(wú)法實(shí)時(shí)了解自動(dòng)化信息［1］的安全情況。所以各供電企業(yè)急需一種對(duì)各安全防護(hù)設(shè)備實(shí)時(shí)監(jiān)控和統(tǒng)計(jì)的手段，直觀地發(fā)現(xiàn)系統(tǒng)非法地址訪問(wèn)、非法外聯(lián)及防護(hù)設(shè)備硬件運(yùn)行狀況的遠(yuǎn)程集中管控平臺(tái)，以便運(yùn)維人員了解自動(dòng)化系統(tǒng)信息安全運(yùn)行情況，提高二次防護(hù)系統(tǒng)的管控能力。

1 現(xiàn)狀分析及需要解決的問(wèn)題

1.1 現(xiàn)狀分析

傳統(tǒng)的電力信息安全排查工作是通過(guò)運(yùn)維人員到變電站現(xiàn)場(chǎng)對(duì)安全防護(hù)設(shè)備逐個(gè)進(jìn)行登錄并導(dǎo)出日志文件進(jìn)行分析，通過(guò)日志文件的解析，判斷信息事件的發(fā)生，其效率較低，工作量大，容易遺漏安全信息事件。往往信息安全隱患已經(jīng)存在很長(zhǎng)時(shí)間了，運(yùn)維人員還沒(méi)有發(fā)現(xiàn)，造成安全事件的發(fā)生。隨著信息網(wǎng)絡(luò)安全的要求不斷提高，電力系統(tǒng)急需建設(shè)一個(gè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)系統(tǒng)，對(duì)安全防護(hù)設(shè)備［2］日志文件進(jìn)行采集，分析，實(shí)現(xiàn)遠(yuǎn)程管控、監(jiān)視，及時(shí)發(fā)現(xiàn)信息安全告警事件，提高現(xiàn)場(chǎng)安全信息排查工作的效率。

1.2 需要解決的問(wèn)題

電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)系統(tǒng)（以下簡(jiǎn)稱(chēng)監(jiān)視平臺(tái)系統(tǒng)）建設(shè)需要解決以下問(wèn)題：

（1）監(jiān)視平臺(tái)系統(tǒng)采集網(wǎng)絡(luò)不能影響現(xiàn)有的電力數(shù)據(jù)網(wǎng)絡(luò)結(jié)構(gòu)，解決變電站安全防護(hù)設(shè)備日志實(shí)時(shí)監(jiān)視及數(shù)據(jù)通道的經(jīng)濟(jì)性問(wèn)題。

（2）監(jiān)視平臺(tái)系統(tǒng)要與不同廠商的防護(hù)設(shè)備運(yùn)行日志文件兼容，監(jiān)視平臺(tái)應(yīng)有豐富的展現(xiàn)模塊，包括信息告警窗，設(shè)備在線工況圖、密通率數(shù)據(jù)顯示窗等，解決運(yùn)維人員實(shí)時(shí)掌握電網(wǎng)信息安全情況的問(wèn)題。

（3）監(jiān)視平臺(tái)系統(tǒng)的采集結(jié)構(gòu)不能違反“網(wǎng)絡(luò)專(zhuān)用、安全分區(qū)、橫向隔離、縱向認(rèn)證”［3］的二次安全防護(hù)的要求。

2 電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)系統(tǒng)的建設(shè)

電力自動(dòng)化信息業(yè)務(wù)分為實(shí)時(shí)業(yè)務(wù)［4］和非實(shí)時(shí)業(yè)務(wù)2類(lèi)。為平衡安全I(xiàn)區(qū)和安全I(xiàn)I區(qū)［6］的信息數(shù)據(jù)流，防止因數(shù)據(jù)業(yè)務(wù)較大時(shí)造成的系統(tǒng)內(nèi)存占有率較高，影響系統(tǒng)運(yùn)行，應(yīng)將監(jiān)視平臺(tái)服務(wù)器接入至非實(shí)時(shí)區(qū)。自動(dòng)化網(wǎng)絡(luò)在結(jié)構(gòu)上分為廣域網(wǎng)和局域網(wǎng)，廣域網(wǎng)是指地調(diào)接入網(wǎng)絡(luò)；局域網(wǎng)特指調(diào)度自動(dòng)化主站系統(tǒng)的局域網(wǎng)絡(luò)［5］。監(jiān)視平臺(tái)系統(tǒng)應(yīng)能實(shí)現(xiàn)對(duì)廣域網(wǎng)和局域網(wǎng)內(nèi)的安全防護(hù)設(shè)備安全日志進(jìn)行采集、分析，實(shí)現(xiàn)對(duì)整體自動(dòng)化信息網(wǎng)絡(luò)的安全監(jiān)視。

2.1 系統(tǒng)結(jié)構(gòu)及傳輸通道

監(jiān)視平臺(tái)系統(tǒng)結(jié)構(gòu)框圖如圖1所示。各變電站實(shí)時(shí)、非實(shí)時(shí)縱向加密裝置的日志文件經(jīng)站端路由器通過(guò)地調(diào)接入數(shù)據(jù)網(wǎng)上傳至主站端的地調(diào)核心路由器，地調(diào)核心路由器將采集的日志文件發(fā)送至二平面路由器中，二平面路由器將各變電站非實(shí)時(shí)縱向加密裝置的日志文件通過(guò)主站非實(shí)時(shí)縱向加密裝置、二平面非實(shí)時(shí)交換機(jī)上傳至非實(shí)時(shí)數(shù)據(jù)日志采集模塊，最后上傳至監(jiān)視平臺(tái)服務(wù)器進(jìn)行解析。同時(shí)二平面路由器也將各變電站的實(shí)時(shí)縱向加密裝置的日志文件經(jīng)主站實(shí)時(shí)縱向加密裝置、二平面實(shí)時(shí)交換機(jī)上傳至實(shí)時(shí)數(shù)據(jù)日志采集模塊，實(shí)時(shí)數(shù)據(jù)日志采集模塊經(jīng)防火墻將實(shí)時(shí)縱向加密裝置的日志文件發(fā)送至非實(shí)時(shí)數(shù)據(jù)日志采集模后傳送至監(jiān)視平臺(tái)服務(wù)器進(jìn)行解析。局域網(wǎng)內(nèi)的安全防護(hù)設(shè)備日志文件直接上傳至實(shí)時(shí)數(shù)據(jù)日志采集模塊，經(jīng)防火墻發(fā)送至非實(shí)時(shí)數(shù)據(jù)日志采集模塊后再上傳至監(jiān)視平臺(tái)服務(wù)器進(jìn)行解析。這樣就實(shí)現(xiàn)了廣域網(wǎng)和局域網(wǎng)安全防護(hù)設(shè)備的日志采集。監(jiān)視平臺(tái)系統(tǒng)后臺(tái)機(jī)讀取監(jiān)視平臺(tái)服務(wù)器數(shù)據(jù)實(shí)現(xiàn)安全防護(hù)設(shè)備可視化的實(shí)時(shí)監(jiān)視。

圖1 電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)系統(tǒng)結(jié)構(gòu)

2.2 日志采集

2.2.1 廣域網(wǎng)日志采集

在廣域網(wǎng)中，業(yè)務(wù)傳輸過(guò)程如圖2所示。變電站內(nèi)實(shí)時(shí)、非實(shí)時(shí)業(yè)務(wù)數(shù)據(jù)流經(jīng)實(shí)時(shí)、非實(shí)時(shí)縱向加密裝置匯聚至變電站端數(shù)據(jù)網(wǎng)路由器后通過(guò)地調(diào)接入數(shù)據(jù)網(wǎng)絡(luò)發(fā)送至主站核心路由器，業(yè)務(wù)數(shù)據(jù)按照“安全分區(qū)”的要求經(jīng)二平面路由器傳送至實(shí)時(shí)、非實(shí)時(shí)縱向加密裝置分別進(jìn)入實(shí)時(shí)、非實(shí)時(shí)采集模塊后匯入到監(jiān)視平臺(tái)服務(wù)器進(jìn)行分析、處理。所以在廣域網(wǎng)中，對(duì)變電站端縱向加密裝置的安全日志采集、分析也就是對(duì)廣域網(wǎng)的安全信息監(jiān)視。其過(guò)程是在廣域網(wǎng)中的各變電站縱向加密裝置上設(shè)置監(jiān)視平臺(tái)系統(tǒng)的管理中心（采集服務(wù)器）地址，導(dǎo)入管理中心數(shù)字證書(shū)［7］。建立變電站縱向加密裝置與主站縱向加密裝置的密文隧道，并配置相關(guān)的安全策略，通過(guò)syslog（日志）方式將變電站縱向加密裝置日志信息傳輸至監(jiān)視平臺(tái)服務(wù)器進(jìn)行解析，實(shí)現(xiàn)平臺(tái)系統(tǒng)允許符合安全策略的IP地址通過(guò)，攔截非規(guī)劃范圍的IP地址并發(fā)出報(bào)警的功能。

圖2 廣域網(wǎng)日志數(shù)據(jù)采集拓?fù)浣Y(jié)構(gòu)

2.2.2 局域網(wǎng)數(shù)據(jù)日志采集

局域網(wǎng)日志采集是對(duì)主站系統(tǒng)中所有關(guān)鍵服務(wù)器、二次安全防護(hù)設(shè)備例如防火墻、正反向隔離裝置［8］、入侵檢測(cè)裝置（IDS）［9］等通過(guò)Agent代理方式將設(shè)備日志轉(zhuǎn)換為符合電力系統(tǒng)標(biāo)準(zhǔn)格式的日志后，傳輸至監(jiān)視平臺(tái)服務(wù)器并對(duì)日志文件進(jìn)行解析，實(shí)現(xiàn)對(duì)各防護(hù)設(shè)備的運(yùn)行情況及數(shù)據(jù)訪問(wèn)情況的監(jiān)視。

實(shí)現(xiàn)過(guò)程是在相應(yīng)安全防護(hù)設(shè)備上設(shè)置監(jiān)視平臺(tái)系統(tǒng)的管理中心地址（日志采集服務(wù)器地址），配置相關(guān)安全策略、端口號(hào)、相應(yīng)服務(wù)協(xié)議等，有效限制非規(guī)劃IP的訪問(wèn)，當(dāng)有不符合安全策略的IP地址訪問(wèn)時(shí)，監(jiān)視平臺(tái)會(huì)實(shí)時(shí)發(fā)送告警。

圖3 局域網(wǎng)日志采集拓?fù)浣Y(jié)構(gòu)

連接拓?fù)浣Y(jié)構(gòu)如圖3所示。調(diào)度自動(dòng)化系統(tǒng)中所有安全I(xiàn)區(qū)防護(hù)設(shè)備如防病毒系統(tǒng)、正反向隔離裝置、調(diào)度自動(dòng)化系統(tǒng)關(guān)鍵服務(wù)器等與系統(tǒng)主干實(shí)時(shí)交換機(jī)連接，防護(hù)設(shè)備的運(yùn)行日志通過(guò)主干交換機(jī)傳輸至監(jiān)視平臺(tái)實(shí)時(shí)采集模塊中，實(shí)時(shí)采集服務(wù)器通過(guò)I/II區(qū)防火墻與非實(shí)時(shí)采集模塊連接并將采集的日志文件傳輸至監(jiān)視平臺(tái)服務(wù)器進(jìn)行解析、處理。

2.3 數(shù)據(jù)處理

如圖4所示，監(jiān)視平臺(tái)系統(tǒng)在數(shù)據(jù)處理結(jié)構(gòu)上分為數(shù)據(jù)采集層、數(shù)據(jù)處理分析層和數(shù)據(jù)展現(xiàn)層，在數(shù)據(jù)采集層主要是通過(guò)syslog、采集agent日志代理方式將廣域網(wǎng)、局域網(wǎng)的安全防護(hù)設(shè)備日志信息采集至監(jiān)視平臺(tái)系統(tǒng)的數(shù)據(jù)處理分析層中，因安全防護(hù)設(shè)備廠商眾多，設(shè)備日志格式也存在差異，所以監(jiān)視平臺(tái)系統(tǒng)進(jìn)行數(shù)據(jù)處理前需先要對(duì)日志的格式進(jìn)行標(biāo)準(zhǔn)化轉(zhuǎn)換，然后再進(jìn)行日志數(shù)據(jù)的分析、處理。日志格式的轉(zhuǎn)換是通過(guò)平臺(tái)系統(tǒng)中的日志代理模塊進(jìn)行的，該模塊提供開(kāi)放的日志標(biāo)準(zhǔn)接口規(guī)范，不同安全防護(hù)設(shè)備廠商可按照日志接口規(guī)范要求，向代理程序提供動(dòng)態(tài)鏈接庫(kù)，實(shí)現(xiàn)采集日志數(shù)據(jù)格式的統(tǒng)一。監(jiān)視平臺(tái)系統(tǒng)再通過(guò)對(duì)日志信息進(jìn)行分析、處理用于建立防護(hù)設(shè)備的資產(chǎn)庫(kù)，生成相應(yīng)報(bào)表、邏輯計(jì)算、告警判斷等。在數(shù)據(jù)展現(xiàn)層，通過(guò)人機(jī)界面系統(tǒng)的資產(chǎn)管理、指標(biāo)分析、歷史查詢(xún)、告警窗、報(bào)表統(tǒng)計(jì)、系統(tǒng)設(shè)置等模塊實(shí)現(xiàn)對(duì)安全防護(hù)設(shè)備的監(jiān)視、管理等功能，讓運(yùn)維人員直觀，高效地看到安全防護(hù)設(shè)備的告警信息和電網(wǎng)整體的信息安全情況。

圖4 電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)數(shù)據(jù)處理

3 效果評(píng)價(jià)

電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)在寧東電網(wǎng)投入試運(yùn)行后取得如下效果：

（1）平臺(tái)采用現(xiàn)有調(diào)度數(shù)據(jù)網(wǎng)絡(luò)結(jié)構(gòu)，大大降低了傳輸通道的建設(shè)成本，并且實(shí)現(xiàn)了安全防護(hù)設(shè)備的日志實(shí)時(shí)監(jiān)控功能，保證安全防護(hù)設(shè)備接入率100%，安全防護(hù)設(shè)備在線率由69%，提升至100%。

（2）采用日志代理方式采集不同廠商的安全防護(hù)設(shè)備日志文件，保證了日志采集數(shù)據(jù)的兼容性，為平臺(tái)分析、處理數(shù)據(jù)信息提供了強(qiáng)有力的基礎(chǔ)保障，自2016年1月至3月運(yùn)行以來(lái)，通過(guò)對(duì)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)系統(tǒng)的使用，安全信息月消缺率由原20%提高至90%，消除了包括現(xiàn)場(chǎng)安全設(shè)備配置不規(guī)范或未配置、IP未按規(guī)劃要求進(jìn)行配置、安全策略不滿足要求、設(shè)備路由配置不規(guī)范等安全隱患。

（3）二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)系統(tǒng)的建設(shè)過(guò)程中采用分區(qū)密文采集方式，不僅滿足了“安全分區(qū)”的二次安全防護(hù)的要求，而且寧東廣域網(wǎng)密通率由45%提高至97%，主站密通率由54%提升至89%，有效提高了二次防護(hù)系統(tǒng)信息安全防御的管控能力。

4 結(jié)論

（1）電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)通過(guò)現(xiàn)有調(diào)度數(shù)據(jù)網(wǎng)絡(luò)作為日志傳輸通道，可高效的將廠站安全防護(hù)設(shè)備日志文件傳輸至平臺(tái)主站，實(shí)現(xiàn)了遠(yuǎn)程管控，并且不需改變現(xiàn)有調(diào)度數(shù)據(jù)網(wǎng)的結(jié)構(gòu)，大大減少了廠站接入層的建設(shè)投資。

（2）電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)系統(tǒng)通過(guò)日志代理的方式可兼容不同廠商的安全防護(hù)設(shè)備日志文件，提高了二次防護(hù)系統(tǒng)對(duì)安全防護(hù)設(shè)備的兼容性。

（3）電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)系統(tǒng)的實(shí)時(shí)采集和非實(shí)時(shí)采集結(jié)構(gòu)可有效減少數(shù)據(jù)流，提高數(shù)據(jù)處理的速度，并且保證系統(tǒng)的“安全分區(qū)”要求。

［1］ 徐力.中山電力二次系統(tǒng)安全防護(hù)的應(yīng)用研究[D].廣州：華南理工大學(xué)，2011：23-31.

［2］ 王保義.基于安全網(wǎng)關(guān)的電力二次系統(tǒng)安全防護(hù)[J].電力系統(tǒng)通信，2008，20（12）：11-14.

［3］ 李延瑾，楊淑英，任有剛.電網(wǎng)調(diào)度系統(tǒng)二次安全防護(hù)的策略分析[J].現(xiàn)代企業(yè)教育，2012（11）：246.

［4］ 蔡洋，王積榮.電網(wǎng)調(diào)度自動(dòng)化系統(tǒng)的應(yīng)用與發(fā)展[J].中國(guó)電力.2012，24（02）：4.

［5］ 周瑾.論電網(wǎng)調(diào)度自動(dòng)化二次系統(tǒng)的安全防護(hù)[J].北京電力高等專(zhuān)科學(xué)校學(xué)報(bào)：自然科學(xué)版，2011，28（11）：186-186.

［6］ 藏琦，鄒蒨，郭娟莉等，電網(wǎng)調(diào)度自動(dòng)化二次系統(tǒng)安全防護(hù)實(shí)踐[J].電子設(shè)計(jì)工程，2011,19(20):47-49.

［7］ 袁琳，高夏生，趙天虹.電力調(diào)度內(nèi)網(wǎng)安全監(jiān)控平臺(tái)建設(shè)[J].電信科學(xué)，2014，30（1）：199-201.

［8］ 胡燕，辛耀中，韓穎異.二次系統(tǒng)安全體系結(jié)構(gòu)化設(shè)計(jì)方案[J].電力系統(tǒng)自動(dòng)化，2003，27（21）：123-125.

［9］ 秦朝，張濤，林偉民.基于數(shù)字證書(shū)認(rèn)證的電力安全撥號(hào)認(rèn)證系統(tǒng)[J].電力系統(tǒng)自動(dòng)化，2009，33（10）：99-101.

（1.國(guó)網(wǎng)寧東供電公司，寧夏，寧東，750411；2.國(guó)網(wǎng)寧夏培訓(xùn)中心，寧夏，銀川，750011；3.國(guó)網(wǎng)寧夏電力公司電力科學(xué)研究院，寧夏，銀川，750011）

針對(duì)電力企業(yè)二次系統(tǒng)安全防護(hù)存在的問(wèn)題，對(duì)其現(xiàn)狀進(jìn)行分析，采用數(shù)據(jù)分析及采集技術(shù)開(kāi)發(fā)了電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)，并成功應(yīng)用于寧東電網(wǎng)。應(yīng)用結(jié)果表明：電力企業(yè)二次系統(tǒng)安全防護(hù)監(jiān)視平臺(tái)提高了二次防護(hù)系統(tǒng)對(duì)安全防護(hù)設(shè)備的兼容性，實(shí)現(xiàn)了安全防護(hù)設(shè)備實(shí)現(xiàn)了遠(yuǎn)程實(shí)時(shí)監(jiān)控功能，由于不需改變現(xiàn)有調(diào)度數(shù)據(jù)網(wǎng)的結(jié)構(gòu)，大大減少了廠站接入層的建設(shè)投資，經(jīng)濟(jì)效益顯著。

二次系統(tǒng)；調(diào)度數(shù)據(jù)網(wǎng)；信息安全防護(hù)

The construction of the secondary power system safety protection monitoring platform for power enterprise

ZHENG Tiejun1,DING Xuyuan2,YIN Liang3
(1.Ningdong Power Supply Filiale of Stata Grid Ningxia Power Co.,Ningdong Ningxia 750411,China; 2.Training Center of State Grid Ningxia Power Co.,Yinchuan Ningxia 750001,China; 3.Power Research Institute of State Grid NingXia Power Co.,Yinchuan Ningxia 750001,China)

Aiming at the problem of existing in the secondary power system safety protection in power enterprise,analyzes status quo of the system,adopts data analysis and acquisition technology to develop the secondary power system safety protection monitoring platform for power enterprise,and successfully applied in Ningdong power grid.The application result shows that the secondary power system safety protection monitoring platform for power enterprise improves the compatibility of the secondary system for safety protection equipments,realizes remote control of safety protection equipments,needn’t change the structure of current dispatching data network,greatly reduces the construction investment of substation data access layer,the economic benefit is obvious.

secondary system;dispatching data network;information safety protection

TM645.2

A

1672-3643（2017）03-0051-04

10.3969/j.issn.1672-3643.2017.03.010

2017-03-18

鄭鐵軍（1984），男，工程師，工學(xué)碩士，從事電力系統(tǒng)自動(dòng)化運(yùn)維工作。

有效訪問(wèn)地址：http://dx.doi.org/10.3969/j.issn.1672-3643.2017.03.010