电力系统 二次安全防护基础

电力系统二次安全防护基础

电力二次系统安全事件二滩水电厂异常停机事件；

故障录波装置“时间逻辑炸弹”事件；换流站控制系统感染病毒事件；

近年世界上大停电 事故反映出电力二 次系统的脆弱性和 重要性。2015年3月24日 2

二次系统安全防护的由来 2000年四川某水电站无故全厂停机造成川西电网 瞬间缺电80万仟瓦引起电网大面积停电。其根源 估计是厂内MIS系统与电站的控制系统无任何防护 措施的互连，引起有意或无意的控制操作导致停 机。 2001年9、10月间，安装在全国147座变电站的银 山公司生产的录波器的频频“出事”,出现不录 波或死机现象，严重影响高压电网安全运行。事 后分析结论是该录波器中人为设置了“时间限制” 或“时间逻辑炸弹”。2015年3月24日 3

二次系统安全防护的由来 2003年8月14日美国加拿大的停电事故震惊世界，事故扩 大的直接原因是两个控制中心的自动化系统故障。若黑客 攻击将会引起同样的灾难性后果。这次“814”美国、加拿 大大停电造成300亿美圆的损失及社会的不安定。由此可 说明电力系统的重要性。 2003年12月龙泉、政平、鹅城、荆州等换流站受到计算机 病毒的攻击。 几年来我国不少基于WINDOWS-NT的电力二次系统的计算机 系统,程度不同的受到计算机病毒的攻击。造成了业务损 失和经济损失。值得我们严重的关注。 有攻击就必须有防护

2015年3月24日

主要风险 调度数据网上：明文数据； 104规约等的识别，着重保护“控制报文”; 物理等原因造成的数据中断不是最危险的； 最危险的是旁路控制。 窃听 篡改 伪造2015年3月24日 5

优先级

风险旁路控制 (Bypassing Controls) 完整性破坏 (Integrity Violation) 违反授权 (Authorization Violation) 工作人员的随意行为 (Indiscretion) 拦截/篡改 (Intercept/Alter) 非法使用 (Illegitimate Use) 信息泄漏 (Information Leakage) 欺骗 (Spoof) 伪装 (Masquerade) 拒绝服务 (Availability, e.g. DoS) 窃听 (Eavesdropping, e.g. Data Confidentiality)

说明/举例入侵者对发电厂、变电站发送非法控制命 令，导致电力系统事故，甚至系统瓦解。 非授权修改电力控制系统配置或程序；非 授权修改电力交易中的敏感数据。 电力控制系统工作人员利用授权身份或设 备，执行非授权的操作。电力控制系统工作人员无意识地泄漏口令等敏感信 息，或不谨慎地配置访问控制规则等。

0

电 力 二 次 系 统 主 要 安 全 风 险

1 2 3 4 5 6 7 8 9 10

拦截或篡改调度数据广域网传输中的控制 命令、参数设置、交易报价等敏感数据。 非授权使用计算机或网络资源。

口令、证书等敏感信息泄密。 Web服务欺骗攻击；IP 欺骗攻击。 入侵者伪装合法身份，进入电力监控系统。

向电力调度数据网络或通信网关发送大量 雪崩数据，造成拒绝服务。黑客在调度数据网或专线通道上搭线窃听 明文传输的敏感信息，为后续攻击准备数 据。

2015年3月24日

系列文件 国家经贸委[2002]第 30 号令： 《电网和电厂计算机监控系统及调度数据网络安 全防护规定》。于2002年5月8日公布，自 2002 年 6 月 8 日起施行。 国家电力监管委员会第 5 号令： 《电力二次系统安全防护规定》于 2004 年 12 月 20 日公布，自 2005 年 2 月 1 日起施行。

2015年3月24日

系列文件 《电力二次系统安全防护规定》配套文件： 《电力二次系统安全防护总体方案》 《省级及以上调度中心二次系统安全防护方案》 《地、县级调度中心二次系统安全防护方案》 《变电站二次系统安全防护方案》 《发电厂二次系统安全防护方案》 《配电二次系统安全防护方案》8

2015年3月24日

总体安全防护策略 在对电力二次系统进行了全面系统的安全分析 基础上，提出了十六字总体安全防护策略。 安全分区、网络专用、横向隔离、纵向认证

2015年3月24日

电力二次系统安全防护的目标抵御黑客、病毒、恶意代码等通过各 种形式对系统发起的恶意破坏和攻击， 特别是能够抵御集团式攻击，防止由 此导致一次系统事故或大面积停电事 故及二次系统的崩溃或瘫痪。

2015年3月24日

安全分区(正向型)

生产控制大区

控制区 (安全区 I)

逻辑 隔离 设施

非控制区 (安全区 II)

专用 安全 隔离 装置 专用 安全 隔离 装置

管理信息大区

根据需要设立若 干业务安全区

防 火 墙

纵向加密认证装置

纵向加密认证装置

防火墙

(反向型) 专线实时子网 非实时子网 电力企业 数据网

调度数据网纵向加密认证装置 纵向加密认证装置

(正向型)专用 安全 隔离 装置 专用 安全 隔离 装置

外 部 公 共 因 特 网

防火墙

控制区 (安全区 I)

逻辑 隔离 设施

非控制区 (安全区 II)

根据需要设立若 干业务安全区

防 火 墙

生产控制大区

(反向型)

管理信息大区

2015年3月24日

安全区 I 的典型系统 调度自动化系统(SCADA/EMS)、广域相量测量系 统、 配电网自动化系统、变电站自动化系统、发电厂 自动监控系统、继电保护、安全自动控制系统、 低频/低压自动减载系统、负荷控制系统等。 典型特点：是电力生产的重要环节、安全防护的 重点与核心；直接实现对一次系统运行的实时监 控； 纵向使用电力调度数据网络或专用通道。

2015年3月24日 12

安全区 II 的典型系统 调度员培训模拟系统(DTS)、水库调度自动化系 统、继电保护及故障录波信息管理系统、电能量 计量系统、电力市场运营系统等。

典型特点：所实现的功能为电力生产的必要环节； 在线运行，但不具备控制功能；使用电力调度数 据网络，与控制区(安全区 I)中的系统或功能 模块联系紧密。

2015年3月24日

安全区 III 的典型系统 调度生产管理系统(DMIS)、调度报表系统(日 报、旬报、月报、年报)、雷电监测系统、气象 信息接入等。

典型特点：主要侧重于生产管理的系统

2015年3月24日

安全区 IV 的典型系统 管理信息系统(MIS)、办公自动化系统(OA)、 客户服务系统等。

典型特点：纯管理的系统

2015年3月24日

电力二次系统安全防护总体示意图上级调度/控制中心安全区I (实时控制区) 防 火 墙 安全区II (非控制生产区)正 向 专 用 安 全 隔 离 装置 反 向 专 用 安 全 隔 离 装置

上级信息中心安全区III (生产管理区) 防 火 墙 安全区IV (管理信息区) 防 火 墙

IP认证加密装置

IP认证加密装置

防火墙

防火墙

外 部 公 共 因 特 网

专 线

实时VPN VPN

SPDnet

非实时

生产VPN

SPTnet

管理VPN

IP认证加密装置

IP认证加密装置正 向 专 用 安 全 隔 离 装置

防火墙

防火墙

安全区I (实时控制区)

防 火 墙

安全区II (非控制生产区)

安全区III (生产管理区)

反 向 专 用 安 全 隔 离 装置

防 火 墙

安全区IV (管理信息区)

防 火 墙

下级调度/控制中心

下级信息中心