孟韓琳

（江蘇省高淳中等專業(yè)學(xué)校 江蘇 南京 211300）

0 引言

近些年，隨著信息化的發(fā)展和進(jìn)步，各項(xiàng)技術(shù)也在不斷發(fā)展，給發(fā)電廠自動化技術(shù)發(fā)展提供了一個較大的進(jìn)步空間[1-2]。電力自動化監(jiān)控系統(tǒng)需要融入一個新的發(fā)展態(tài)勢，衍變成一個集計(jì)算機(jī)、通信、互聯(lián)網(wǎng)、電力電子技術(shù)等各種技術(shù)為一體的綜合性系統(tǒng)，具有完善的硬件配置，具有強(qiáng)大的功能，為電力自動化的發(fā)展提供強(qiáng)有力的保障，促進(jìn)電力監(jiān)控系統(tǒng)的信息安全建設(shè)的穩(wěn)定[3]。

電力作為目前工業(yè)需求量最大的能源之一，其在現(xiàn)代工業(yè)中發(fā)揮著至關(guān)重要的作用，隨著各行各業(yè)的企業(yè)自動化水平的提高，監(jiān)控系統(tǒng)也逐漸發(fā)展為電力監(jiān)控自動化系統(tǒng)[4]。雖然電力供應(yīng)可靠性強(qiáng)、安全性高，但隨著當(dāng)前網(wǎng)絡(luò)信息技術(shù)的日趨成熟，各種信息數(shù)據(jù)的安全性也需要得到更高的防護(hù)和保障[5]。

1 電力監(jiān)控自動化系統(tǒng)概述

電力監(jiān)測自動化系統(tǒng)主要包含電力電氣軟件，即歷史數(shù)據(jù)庫XPMS、通信網(wǎng)關(guān)網(wǎng)絡(luò)服務(wù)器、工控自動化組態(tài)XPMS-3000等，它以計(jì)算機(jī)和數(shù)據(jù)通信網(wǎng)絡(luò)為核心來搜集和儲存各種數(shù)據(jù)信息，并監(jiān)督電力系統(tǒng)的運(yùn)行，被廣泛應(yīng)用于企業(yè)、工廠的各類信息管理活動中[6]。電力監(jiān)測自動化技術(shù)系統(tǒng)中的數(shù)據(jù)通信系統(tǒng)軟件通常具有多種用途，依據(jù)運(yùn)用方式可以分為電力生產(chǎn)信息控制、企業(yè)經(jīng)營管理、市場營銷等。其中電力生產(chǎn)信息控制系統(tǒng)相對來說起著更大的作用，因?yàn)榘松a(chǎn)制造進(jìn)度控制、變電站自動化系統(tǒng)、配電自動化系統(tǒng)（DAS）、質(zhì)量和安全管理等，能夠?qū)崿F(xiàn)通信網(wǎng)絡(luò)生產(chǎn)調(diào)度互聯(lián)網(wǎng)就電力信息的傳送。總體來說供電系統(tǒng)業(yè)務(wù)流程具有獨(dú)立、封閉的特性，運(yùn)行中必須設(shè)定物理隔離層來保障電力監(jiān)測自動化技術(shù)的使用效率和可靠性[7]。但在生產(chǎn)管控階段，主要使用吸收電磁波技術(shù)來避免其他電磁波的干擾，是安全防護(hù)的手段之一。

2 電力監(jiān)控自動化系統(tǒng)存在的安全威脅和防護(hù)要求

當(dāng)前的電力監(jiān)控自動化系統(tǒng)封閉性還是較強(qiáng)的，與外界網(wǎng)絡(luò)的連接通常需要嚴(yán)格的權(quán)限控制，但隨著電力監(jiān)控自動化系統(tǒng)近些年與銀行、企業(yè)、電網(wǎng)之間的聯(lián)系越來越密切，應(yīng)用層的數(shù)據(jù)信息也越來越多，導(dǎo)致系統(tǒng)中存在的安全威脅也日漸增多，只靠物理學(xué)方式對互聯(lián)網(wǎng)開展防護(hù)已經(jīng)不能有效解決系統(tǒng)中出現(xiàn)的安全威脅，下面將對當(dāng)前存在的一些系統(tǒng)內(nèi)部風(fēng)險(xiǎn)作簡要介紹并提出一定的防護(hù)要求[8]。

2.1 安全威脅

2.1.1 外部信息的攻擊

外界信息內(nèi)容的攻擊是指供電系統(tǒng)外部的工作人員向系統(tǒng)中非法嵌入惡意流量、推送分布式系統(tǒng)拒絕服務(wù)攻擊或網(wǎng)頁頁面進(jìn)攻命令、木馬病毒、緩沖區(qū)溢出等，導(dǎo)致電力監(jiān)控自動化系統(tǒng)中的應(yīng)用層的網(wǎng)絡(luò)信息不受系統(tǒng)控制，大量信息外泄直接影響系統(tǒng)的信息安全[8]。

2.1.2 內(nèi)部信息的攻擊

內(nèi)部風(fēng)險(xiǎn)信息攻擊通常指的是電力監(jiān)控自動化系統(tǒng)內(nèi)部存在軟件的干擾或自帶植入式病毒等導(dǎo)致了運(yùn)行系統(tǒng)中的電力信息外泄和滲漏，大幅度降低電力監(jiān)測自動化技術(shù)內(nèi)部網(wǎng)工作效率，影響電力監(jiān)控系統(tǒng)實(shí)行監(jiān)管每日任務(wù)[9]。

2.1.3 系統(tǒng)信息自帶風(fēng)險(xiǎn)

電力監(jiān)控系統(tǒng)中的信息本身存在著被暴露到外界環(huán)境的風(fēng)險(xiǎn)，一旦信息被傳播到公網(wǎng)中，那么使用公網(wǎng)的人員便可以瀏覽到系統(tǒng)內(nèi)部的信息，失去了保密性，威脅到系統(tǒng)的內(nèi)部信息安全[10]。

2.2 防護(hù)要求

電力監(jiān)控系統(tǒng)主要包含三大分系統(tǒng)：生產(chǎn)制造控制信息子系統(tǒng)、生產(chǎn)制造信息管理子系統(tǒng)及其網(wǎng)絡(luò)通信子系統(tǒng)，在這三個分系統(tǒng)的組成下，整個系統(tǒng)信息安全防護(hù)方面應(yīng)滿足以下基本要求：

（1）信息安全防護(hù)要把我國頒布的有關(guān)法律法規(guī)和管理?xiàng)l例做為產(chǎn)品執(zhí)行標(biāo)準(zhǔn)，具體來講2017年6月1日在我國宣布施行的《網(wǎng)絡(luò)安全法》就可作為電力監(jiān)測自動化技術(shù)信息安全防護(hù)工作的有力支撐，該政策法規(guī)確立網(wǎng)絡(luò)安全的訴訟地位，有較強(qiáng)的法律認(rèn)可。

（2）系統(tǒng)網(wǎng)絡(luò)信息安全的防范措施需具備可預(yù)測性和保護(hù)性，在安全防護(hù)時(shí)應(yīng)做好物理隔離和協(xié)議安全防護(hù)兩個方面的具體內(nèi)容。物理隔離層面要遵循互聯(lián)網(wǎng)專用型、安全性系統(tǒng)分區(qū)、橫向防護(hù)和豎向認(rèn)證的標(biāo)準(zhǔn)來搭建柵格數(shù)據(jù)狀安全防護(hù)體系，有效預(yù)測并預(yù)防網(wǎng)絡(luò)中存在的異常情況，運(yùn)用先進(jìn)技術(shù)安裝安全防護(hù)系統(tǒng)和預(yù)警裝置來避免信息泄露問題。

（3）對電力監(jiān)控自動化系統(tǒng)的不同層面信息安全防護(hù)。電力監(jiān)控系統(tǒng)包含互聯(lián)網(wǎng)、主機(jī)、應(yīng)用、網(wǎng)頁、數(shù)據(jù)等多個層面，那么信息安全防護(hù)也要根據(jù)層級不同實(shí)施不同的等級保護(hù)，通過制定個性化的安全防護(hù)方案來強(qiáng)化安全防護(hù)管理，強(qiáng)化電力監(jiān)控自動化系統(tǒng)的防惡意攻擊能力和實(shí)時(shí)感知網(wǎng)絡(luò)異常的能力。

（4）細(xì)化信息安全防護(hù)的安全防線。安全防線的設(shè)定應(yīng)達(dá)到系統(tǒng)邊界、網(wǎng)路傳輸邊界、主機(jī)信息安全防護(hù)的要求，因此一定要對這三個層次細(xì)化安全防線的設(shè)置，強(qiáng)化信息安全防護(hù)力度。

3 信息安全防護(hù)技術(shù)的應(yīng)用

電力監(jiān)控自動化信息安全防護(hù)系統(tǒng)主要是集成了SCADA、PAS、DMIS、TMR等自動化技術(shù)。各項(xiàng)集成自動化技術(shù)的系統(tǒng)對于數(shù)據(jù)所需要的實(shí)時(shí)性以及安全系數(shù)要求不同，其中，電網(wǎng)運(yùn)行同步控制系統(tǒng)是電力二次系統(tǒng)安全防護(hù)的重點(diǎn)和關(guān)鍵。因此，該設(shè)計(jì)原則是：第一，務(wù)必明確所有的實(shí)時(shí)電力監(jiān)控自動控制系統(tǒng)的鏈接，應(yīng)該除掉多余鏈接，加強(qiáng)電力監(jiān)控自動化系統(tǒng)所有實(shí)時(shí)性的鏈接；第二，不應(yīng)過度依賴協(xié)議方來實(shí)現(xiàn)對電力監(jiān)控自動化系統(tǒng)的系統(tǒng)安全保護(hù)；第三，由設(shè)備和系統(tǒng)的賣方提供電力監(jiān)控系統(tǒng)的安全保障；四是，根據(jù)完成內(nèi)外部的IDS完成對于電力檢測系統(tǒng)24小時(shí)突發(fā)事件檢測；第五，引進(jìn)物理安全核查，對現(xiàn)有電力檢測接入系統(tǒng)的位置進(jìn)行評定，明確涉及到的安全性關(guān)聯(lián)；第六，全系統(tǒng)應(yīng)當(dāng)與網(wǎng)絡(luò)防火墻以及IP-sec等預(yù)防措施的策略互動執(zhí)行。

3.1 設(shè)置安全隔離

安全隔離的設(shè)置是電力監(jiān)控自動化系統(tǒng)信息安全防護(hù)的基礎(chǔ)工作，主要有防火墻隔離和物理隔離兩種方法[11]。

3.1.1 防火墻設(shè)計(jì)

防護(hù)墻可在電力監(jiān)控自動化系統(tǒng)的內(nèi)外網(wǎng)之間加以設(shè)定來監(jiān)督系統(tǒng)內(nèi)的信息傳輸，根據(jù)采用網(wǎng)絡(luò)層代理移動和數(shù)據(jù)包過濾等手段來保護(hù)內(nèi)部網(wǎng)信息內(nèi)容，具備完善的安全隔離功效，可以預(yù)防故意追蹤和標(biāo)識種類的攻擊，有效防范潛在的破壞性侵入行為[12]。具體功能有：

（1）數(shù)據(jù)包過濾

通過在傳輸層設(shè)定過濾邏輯性來篩選正在通過數(shù)據(jù)文件中的協(xié)議情況、目的地址和原地址等要素，來保證通過網(wǎng)絡(luò)層的數(shù)據(jù)包的安全可靠性。

（2）應(yīng)用級網(wǎng)關(guān)

在網(wǎng)絡(luò)層上創(chuàng)建協(xié)議過濾和分享作用，以服務(wù)合同為支撐對數(shù)據(jù)文件開展過濾，關(guān)鍵使用的是數(shù)據(jù)過濾邏輯性法，進(jìn)行過濾后還能夠?qū)?shù)據(jù)文件實(shí)際情況開展自動化技術(shù)分析和統(tǒng)計(jì)分析進(jìn)而形成數(shù)據(jù)文件過濾匯報(bào)。

（3）代理服務(wù)

創(chuàng)建網(wǎng)絡(luò)防火墻后，防火墻的互聯(lián)網(wǎng)通信鏈路變?yōu)橛?個禁止服務(wù)器代理的鏈接開展聯(lián)連接，同時(shí)也為外部網(wǎng)絡(luò)給予服務(wù)咨詢。這一服務(wù)咨詢可以有效防護(hù)內(nèi)外互聯(lián)網(wǎng)對其通過的數(shù)據(jù)文件展開分析備案產(chǎn)生過濾匯報(bào)，一旦出現(xiàn)惡意攻擊狀況或者問題，服務(wù)咨詢?nèi)^程可隨時(shí)傳出報(bào)警并保存進(jìn)攻印痕。

3.1.2 物理隔離

防火墻在信息安全防護(hù)工作中難以從源頭上解決存在的漏洞，因此對于系統(tǒng)程序本身存在的信息風(fēng)險(xiǎn)需要采用物理隔離的辦法。物理隔離以防火墻的數(shù)據(jù)包過濾為主進(jìn)一步分析，根據(jù)特殊硬件配置對系統(tǒng)中的服務(wù)器與主機(jī)、網(wǎng)絡(luò)與服務(wù)器、網(wǎng)絡(luò)與互聯(lián)網(wǎng)給予物理隔離。在實(shí)施物理隔離時(shí)要把控好設(shè)計(jì)方案、配置優(yōu)化、硬件設(shè)備以及系統(tǒng)信息流向多方面因素，可以通過建立多級訪問機(jī)制來提升物理隔離的安全防護(hù)水準(zhǔn)。

3.2 劃分安全區(qū)

全部系統(tǒng)的安全運(yùn)行必須建立在可靠的應(yīng)用系統(tǒng)基礎(chǔ)之上，電力控制系統(tǒng)必須與辦公系統(tǒng)進(jìn)行必要的隔離；該電力監(jiān)控系統(tǒng)需要互聯(lián)網(wǎng)與公共信息網(wǎng)以及外部網(wǎng)絡(luò)進(jìn)行必要的隔離，通常情況下，進(jìn)行的是調(diào)度SCADA/PAS系統(tǒng)、配電DMS系統(tǒng)電網(wǎng)運(yùn)行過程中數(shù)據(jù)的實(shí)時(shí)監(jiān)控和調(diào)度，但是該系統(tǒng)對于數(shù)據(jù)的準(zhǔn)確性要求比較高。

在電力監(jiān)控自動化系統(tǒng)的信息安全防護(hù)工作中，通常會采取劃分安全區(qū)的方法來對信息安全進(jìn)行更科學(xué)有效的防護(hù)，具體分區(qū)如表1所示：

表1 安全區(qū)劃分（信息實(shí)時(shí)性要求）

（1）安全1區(qū)和安全2區(qū)主要負(fù)責(zé)的是生產(chǎn)控制區(qū)的信息數(shù)據(jù)，要求數(shù)據(jù)傳輸具備較高的實(shí)時(shí)性，可以設(shè)置硬件防火墻來保護(hù)數(shù)據(jù)傳輸通道。需注意在傳輸數(shù)據(jù)連接時(shí)，數(shù)據(jù)無法與外部電力系統(tǒng)連接，只能與電力系統(tǒng)內(nèi)網(wǎng)連接。

（2）在安全1區(qū)和安全2區(qū)根據(jù)網(wǎng)絡(luò)防火墻連接為一體后，安全性3區(qū)一方面根據(jù)調(diào)度指揮信息管理系統(tǒng)（D M I S）與1區(qū)和2區(qū)開展連接，另一方面根據(jù)DMIS與信息管理系統(tǒng)（MIS）連接來給電力行業(yè)有關(guān)部門傳送電力網(wǎng)制造的信息和數(shù)據(jù)。在這里三個緩沖區(qū)中間同樣要構(gòu)建適宜的物理隔離層，而且安全性3區(qū)D M I S也無法直接連接外部的電力系統(tǒng)和內(nèi)部的公共資源安全通道。

（3）電力監(jiān)測自動化技術(shù)中包含著多重網(wǎng)絡(luò)構(gòu)造如硬件配置、互聯(lián)網(wǎng)、通信軟件及其電腦操作系統(tǒng)等。這三個安全區(qū)間都具備網(wǎng)絡(luò)傳輸?shù)募磿r(shí)監(jiān)視設(shè)備，對于處于電力系統(tǒng)內(nèi)網(wǎng)的安全1區(qū)和安全2區(qū)以及處于外網(wǎng)的安全3區(qū)，這個監(jiān)視設(shè)備能夠主動對入侵的外部木馬病毒的攻擊采取相應(yīng)防護(hù)措施。特別是電力監(jiān)控系統(tǒng)里的入侵檢測技術(shù)能夠?qū)?shù)據(jù)庫系統(tǒng)信息內(nèi)容、信息網(wǎng)絡(luò)和系統(tǒng)信息進(jìn)行入侵行為的監(jiān)測，一旦發(fā)現(xiàn)入侵威脅可以迅速發(fā)出警告。電力監(jiān)控系統(tǒng)的安全防護(hù)框架如圖1所示：

圖1 電力監(jiān)控系統(tǒng)的安全防護(hù)框架

3.3 入侵檢測技術(shù)

入侵檢測技術(shù)作為電力監(jiān)控自動化系統(tǒng)中的重要安全防護(hù)技術(shù)可以通過對實(shí)時(shí)事件的列序或積累的記錄進(jìn)行分析便可監(jiān)測出存在的入侵風(fēng)險(xiǎn)，這項(xiàng)技術(shù)主要針對網(wǎng)絡(luò)系統(tǒng)中的異?；顒舆M(jìn)行檢測并傳輸?shù)桨踩芾聿块T，具體檢測辦法如下：

3.3.1 定期搜集數(shù)據(jù)

要對系統(tǒng)用戶的行為相關(guān)數(shù)據(jù)和痕跡進(jìn)行定期搜集與統(tǒng)計(jì)分析，從數(shù)據(jù)報(bào)告中判斷用戶活動是否安全可靠，如果活動行為與用戶操作行為相符，表征的是可靠性和可信度較高。

3.3.2 預(yù)先定義規(guī)則

在電力監(jiān)控系統(tǒng)中，要根據(jù)預(yù)先定義的規(guī)則檢測相關(guān)行為是否真的與規(guī)則相符，若符合規(guī)則描述，則可判定為入侵行為，那么這項(xiàng)技術(shù)就可以有效阻隔攻擊者的入侵，及時(shí)解決口令密碼失竊而帶來的網(wǎng)絡(luò)安全事件。

3.4 設(shè)計(jì)防護(hù)管理

對于信息安全防護(hù)這項(xiàng)工作，防護(hù)管理的作用不容忽視，相關(guān)部門有必要設(shè)計(jì)規(guī)劃專門的安全防護(hù)管理制度來預(yù)防內(nèi)部網(wǎng)的攻擊。一般情況下，安全防護(hù)管理方法設(shè)計(jì)使用的是權(quán)限的方式，可以通過身份認(rèn)證等權(quán)限設(shè)置來限制操作人員的行為，從而確保只有指定的工作人員才能對電力監(jiān)控自動化系統(tǒng)進(jìn)行登錄和操作。由于電力監(jiān)控自動化系統(tǒng)的管理設(shè)計(jì)采取證書技術(shù)、公鑰技術(shù)等將權(quán)限范圍進(jìn)行了設(shè)置，因此在很大程度上可以保護(hù)電力監(jiān)控自動化系統(tǒng)內(nèi)部信息交互和信息流通的安全性。

3.5 信息安全防護(hù)的應(yīng)用

電力監(jiān)測自動化系統(tǒng)內(nèi)信息安全防護(hù)圖見圖2所示。在該圖中，進(jìn)行了安全性系統(tǒng)分區(qū)，主要是以調(diào)度自動化、配電自動化和通信自動化技術(shù)為主導(dǎo)，在電力監(jiān)測中的各類地區(qū)中間配置了網(wǎng)絡(luò)防火墻連接。在進(jìn)行信息安全防護(hù)的監(jiān)管下，電力監(jiān)控的現(xiàn)場是整個系統(tǒng)監(jiān)管的主要內(nèi)容和信息，通過路由器和網(wǎng)絡(luò)防火墻安全防護(hù)后，傳送到配電自動化系統(tǒng)及調(diào)度自動化系統(tǒng)內(nèi)，本轄區(qū)電力供電公司的網(wǎng)絡(luò)信息安全智能管理系統(tǒng)，連接網(wǎng)絡(luò)防火墻和調(diào)度指揮信息管理系統(tǒng)，同樣在網(wǎng)絡(luò)防火墻與物理隔離的作用下，連接到通信自動化技術(shù)區(qū)域，進(jìn)行各區(qū)域電力信息的安全防范，保證生產(chǎn)現(xiàn)場上級領(lǐng)導(dǎo)核心到本轄區(qū)電力供電公司中間電力監(jiān)測自動化技術(shù)內(nèi)的數(shù)據(jù)保持安全的通信，在整個系統(tǒng)運(yùn)行期間并未出現(xiàn)異?，F(xiàn)象。

圖2 信息安全防護(hù)的應(yīng)用案例

4 結(jié)語

隨著電力監(jiān)控自動化系統(tǒng)的應(yīng)用范圍越來越廣，數(shù)據(jù)信息安全的風(fēng)險(xiǎn)漏洞也會隨之增多。在此基礎(chǔ)上，本文詳細(xì)介紹了可行的信息安全防護(hù)技術(shù)的應(yīng)用，希望相關(guān)企業(yè)、行業(yè)可以將其科學(xué)的應(yīng)用到電力監(jiān)控自動化系統(tǒng)中輔助提升電力監(jiān)控自動化水平，有效保護(hù)數(shù)據(jù)信息的安全。