摘要：為適應(yīng)電力行業(yè)新的網(wǎng)絡(luò)安全要求，對在線監(jiān)測裝置進(jìn)行了網(wǎng)絡(luò)安全分區(qū)改造，使用新的APN通道，改變以前不安全的明文傳輸方式，采用國密SM1、SM2、SM3、SM4算法加密傳輸，提高了在線監(jiān)測裝置網(wǎng)絡(luò)的安全性及可靠性。

0? ? 引言

為總體提高在線監(jiān)測裝置運(yùn)維的網(wǎng)絡(luò)安全水平，持續(xù)鞏固“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”安全基礎(chǔ)，需全面完成安全分區(qū)和橫縱向邊界防護(hù)改造，強(qiáng)化主機(jī)和應(yīng)用本體安全，落實(shí)物理網(wǎng)絡(luò)安全措施，實(shí)現(xiàn)網(wǎng)絡(luò)安全設(shè)備運(yùn)行狀況實(shí)時監(jiān)控及風(fēng)險預(yù)警。

對于采用無線傳輸方式接入主站的電力系統(tǒng)在線監(jiān)測裝置，從前期設(shè)計(jì)時的考慮和實(shí)際運(yùn)行的情況方面來分析，明文傳輸?shù)耐ㄐ欧绞揭呀?jīng)不符合目前行業(yè)的網(wǎng)絡(luò)安全要求，需要對在線監(jiān)測裝置進(jìn)行網(wǎng)絡(luò)安全分區(qū)改造，以保障電力系統(tǒng)在線監(jiān)測裝置長期運(yùn)行網(wǎng)絡(luò)的安全性及可靠性，保證電力系統(tǒng)的正常運(yùn)行。

1? ? 電力系統(tǒng)在線監(jiān)測裝置無線傳輸分區(qū)改造的總體要求

1.1? ? 分區(qū)改造的原則與思路

在電力通信保障電網(wǎng)安全穩(wěn)定的基本原則和建設(shè)與現(xiàn)有電力通信專網(wǎng)優(yōu)勢互補(bǔ)的、立體式的電力通信保障體系的思路指導(dǎo)下，對于使用移動通信的電力系統(tǒng)在線監(jiān)測裝置，在考慮到網(wǎng)絡(luò)安全性后，以開通專用APN通道無線加密方式將其從舊的運(yùn)行網(wǎng)絡(luò)區(qū)改接到加密的運(yùn)行新區(qū)。

1.2? ? 改造后通信結(jié)構(gòu)

在線監(jiān)測通信網(wǎng)絡(luò)采用專線對卡通信方式，即主站通過公網(wǎng)專線接入，站端用無線電話卡撥號接入，具體通信結(jié)構(gòu)如圖1所示。

該通信結(jié)構(gòu)采用專線接入部署時費(fèi)用比卡對卡接入要高一些，但是專線的接入可以大大緩解通信瓶頸帶寬問題，同時專線的通信時延比卡對卡的要低，能保證通信質(zhì)量。

2? ? 主站端具體改造內(nèi)容

主站內(nèi)無線監(jiān)測接入裝置需加裝加密芯片或加密模塊，站端上傳的數(shù)據(jù)經(jīng)過解密后傳輸。加密后能實(shí)現(xiàn)網(wǎng)絡(luò)安全設(shè)備安全狀況實(shí)時監(jiān)控及告警，具備有效監(jiān)視跨區(qū)互聯(lián)、非法接入、移動介質(zhì)違規(guī)使用等嚴(yán)重安全隱患的能力，具備網(wǎng)絡(luò)安全入侵檢測能力;確保電力監(jiān)控系統(tǒng)邊界網(wǎng)絡(luò)安全設(shè)備覆蓋完整、策略配置安全有效，實(shí)現(xiàn)網(wǎng)絡(luò)安全設(shè)備國產(chǎn)化。此外，設(shè)立安全接入?yún)^(qū)，服務(wù)器通過2G/3G/4G無線網(wǎng)絡(luò)接收端與廠站側(cè)子站設(shè)備2G/3G/4G無線網(wǎng)絡(luò)進(jìn)行加密通信。

2.1? ? 前置機(jī)的安全要求

對于采用公網(wǎng)作為通信信道的前置機(jī)（公網(wǎng)前置機(jī)屬于安全接入?yún)^(qū)），必須采用電力專用的正反向隔離裝置與自動化系統(tǒng)進(jìn)行隔離。公網(wǎng)前置機(jī)與站端之間通信必須采取認(rèn)證及加密等安全措施。

2.2? ? 站端在線監(jiān)測系統(tǒng)接入主站的要求

（1）建立安全接入?yún)^(qū)：依據(jù)網(wǎng)絡(luò)安全防護(hù)要求，需設(shè)立公網(wǎng)安全接入?yún)^(qū)。

（2）網(wǎng)絡(luò)隔離：在安全接入?yún)^(qū)與調(diào)度通信部署電力專用正反向隔離裝置。

（3）無線通信數(shù)據(jù)加密：對于采用雙向認(rèn)證加密措施的無線網(wǎng)絡(luò)通信，需在安全接入?yún)^(qū)邊界及變電站網(wǎng)絡(luò)邊界部署加密認(rèn)證網(wǎng)關(guān)。其中，站端側(cè)無線加密通信網(wǎng)關(guān)兼具加密模塊、通信模塊功能。

3? ? 變電站站端分區(qū)改造內(nèi)容

站端業(yè)務(wù)部分安排站內(nèi)無線監(jiān)測裝置切換且經(jīng)加密模塊加密后，通過無線網(wǎng)絡(luò)APN上傳主站，無線網(wǎng)絡(luò)通信采用雙向認(rèn)證加密的措施，需在安全接入?yún)^(qū)邊界及變電站網(wǎng)絡(luò)邊界部署加密認(rèn)證網(wǎng)關(guān)。其中，站端側(cè)無線加密通信網(wǎng)關(guān)兼具加密模塊、通信模塊功能，模塊電源要求具有ESD保護(hù)、EMC保護(hù)、防浪涌、防反接、過壓保護(hù)、過流保護(hù)功能，通信信號需要使用雙天線收發(fā)，考慮長遠(yuǎn)發(fā)展，公網(wǎng)僅在災(zāi)害及新建變電站通信調(diào)試通道時使用，站端無線加密通信網(wǎng)關(guān)建成獨(dú)立系統(tǒng)。

3.1? ? 裝置改造的配置及具體要求

（1）將站端在線監(jiān)測裝置無線終端替換為加密無線終端。

（2）向電信部門申請專用的APN通道GD”，把通道信息配置進(jìn)現(xiàn)場裝置通信模塊中。

（3）向主站申請分配IP地址，捆綁IP到專用物流電信卡上，實(shí)現(xiàn)?？▽Ｓ?，提高通信安全性。

（4）具體配置如表1所示。

改造后的網(wǎng)絡(luò)拓?fù)鋱D如圖2所示。

（5）安全策略配置如表2所示。

（6）隧道配置如表3所示。

3.2? ? 裝置改造實(shí)施步驟

（1）前期準(zhǔn)備工作：需要確認(rèn)所涉及的裝置設(shè)備通信方式，取得相關(guān)的通信規(guī)約，編寫通信文檔。

（2）改造環(huán)境及范圍確認(rèn)：站端在線監(jiān)測系統(tǒng)現(xiàn)場柜的位置確認(rèn)，相關(guān)電源位置、加密模塊安裝位置確認(rèn)，安裝電源、相關(guān)配線及調(diào)試工具確認(rèn)。

（3）將改造方案報相關(guān)部門審核，明確改造中受影響的業(yè)務(wù)，審核通過后，辦理實(shí)施許可手續(xù)。

（4）辦理物聯(lián)卡，加入專用APN通道，捆綁主站分配的IP地址。

（5）斷開舊在線監(jiān)測系統(tǒng)現(xiàn)場柜無線終端的電源，退出裝置的通信無線終端。

（6）在線監(jiān)測系統(tǒng)現(xiàn)場柜處安裝新的無線加密終端。

（7）加密無線安裝SIM卡：在線監(jiān)測系統(tǒng)現(xiàn)場柜處安裝的無線加密終端中安裝SIM卡。

（8）測試SIM：合上在線監(jiān)測系統(tǒng)現(xiàn)場柜的電源，查看無線網(wǎng)絡(luò)信號強(qiáng)度、查看SIM卡獲取IP地址是否正常。

（9）測試隧道：查看加密證書是否正常、ping通主站采集前置機(jī)IP，測試通道狀況。

（10）設(shè)備配置及備份：對在線監(jiān)測裝置IED的配置及數(shù)據(jù)庫等進(jìn)行整體維護(hù)及備份。

（11）設(shè)備配置修改：在線監(jiān)測裝置IED安裝及啟用通信服務(wù)。

（12）業(yè)務(wù)調(diào)試：調(diào)試在線監(jiān)測終端業(yè)務(wù)，進(jìn)行主站—站端的聯(lián)調(diào)。

（13）業(yè)務(wù)系統(tǒng)功能測試：測試鏈路及通信是否正常，發(fā)送及返回?cái)?shù)據(jù)包是否穩(wěn)定。

測試拓?fù)涫疽鈭D如圖3所示。

（14）報主站工作完結(jié)：設(shè)備狀態(tài)正常，在線監(jiān)測系統(tǒng)上傳主站數(shù)據(jù)正常，觀察30 min，確保系統(tǒng)運(yùn)行穩(wěn)定后，報主站改造完結(jié)。

4? ? 結(jié)語

改造后的在線監(jiān)測系統(tǒng)的通信方式，是基于IPsec VPN加密隧道通信協(xié)議，結(jié)合國密SM1、SM2、SM3、SM4算法與4G無線通信，為變電站端在線監(jiān)測系統(tǒng)提供硬件級動態(tài)加密的數(shù)據(jù)安全通信。該通信方式采用代碼可控的安全操作系統(tǒng)，支持PKI體系的電力數(shù)字調(diào)度證書，主站與終端雙向設(shè)備認(rèn)證和數(shù)據(jù)傳輸加密功能，具有安全度高、兼容性強(qiáng)、穩(wěn)定性好等特點(diǎn)，為電力在線監(jiān)測系統(tǒng)的網(wǎng)絡(luò)安全提供了堅(jiān)實(shí)保障。

[參考文獻(xiàn)]

[1] 闞寶朋.計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)基礎(chǔ)[M].北京：高等教育出版社，2015.

[2] 遲恩宇，王東，楊亞洲.網(wǎng)絡(luò)安全與防護(hù)[M].2版.北京：高等教育出版社，2018.

收稿日期：2021-01-07

作者簡介：梁華（1978—），男，廣東信宜人，電力工程師，長期從事電力系統(tǒng)在線監(jiān)測裝置運(yùn)維及技術(shù)管理、電力工程現(xiàn)場質(zhì)量管控相關(guān)工作。