光伏二次安防屏概述

电力系统二次安全防护的是确保电力信息化系统、电力实时闭环监控系统及调度数据网络的安全，目标是抵御黑客、病毒、恶意代码等通过各种形式对系统发起的恶意破坏和攻击，从而防止一次系统、二次系统事故或大面积停电等事故的出现。二次安全防护是依据电监会5号令以及电监会［2006］34号文的规定并根据电力系统二次系统系统的具体情况制定的，目的是设计规范电力系统计算机监控系统及调度数据网络安全防护的规划、实施和监管，以防范对电力系统计算机监控系统及调度数据网络的攻击侵害及由此引起的电力系统事故，保障电力系统的安全、稳定、经济运行。电力二次系统是由地理上广泛分布于各级发电机、变电站的业务系统通过紧密或松散的联系而构成的复合系统，它的支持环境既包括各调度网络和厂站的异构计算机系统、局域网络，又包括连通各局域网的电力系统行业外联网。因此，电力信息系统安全不同于单纯的计算机系统或通信系统安全，为了确保电力系统业务的安全，必须同时考虑广泛分布而又相互联系的业务系统及其与计算机、通信等基础支持系统间的交互。

二次安防屏设计原则

安全分区
分区防护、突出重点。根据系统中的业务的重要性和对一次系统的影响程度进行分区，重点保护生产控制以及直接生产电力生产的系统。

网络
电力调度数据网SPDnet与电力数据通信网SPInet实现安全隔离，并通过采用MPLS-VPN或IPSEC－VPN在SPDnet和SPInet分别形成多个相互逻辑隔离的VPN实现多层次的保护。

横向隔离
在不同安全区之间采用逻辑隔离装置或物理隔离装置使核心系统得到有效保护。

纵向认证
安全区Ⅰ、Ⅱ的纵向边界部署IP认证加密装置；安全区Ⅲ、Ⅳ的纵向边界必须部署硬件防火墙，目前在认证加密装置尚未完善情况下，使用国产硬件防火墙进行防护。

光伏二次安防屏安全区的划分

●安全区Ⅰ是实时控制区(安全保护的核心)
凡是具有实时监控功能的系统或其中的监控功能部分均应属于安全区Ⅰ。如各级调度的SCADA（AGC/AVC）系统、EMS系统、WAMS系统、配网自动化系统（含实时控制功能）以及电力系统实时监控系统等，其面向的使用者为调度员和运行操作人员，数据实时性为秒级，外部边界的通信均经由SPDnet的实时VPN。

●安全区Ⅱ（非控制业务区）
不直接进行控制但和电力生产控制有很大关系，短时间中断就会影响电力生产的系统均属于安全区Ⅱ。属于安全区Ⅱ的典型系统包括PAS、水调自动化系统、电能量计费系统、发电侧电力市场交易系统、电力模拟市场、功角实时监测系统等。其面向的使用者为运行方式、运行计划工作人员及发电侧电力市场交易员等。数据的实时性是分级、小时级、日、月甚至年。该区的外部通信边界为SPDnet的非实时VPN。

●安全区Ⅲ（生产管理区）
该区的系统为进行生产管理的系统，典型的系统为DMIS系统、DTS系统、雷电监测系统、气象信息以及电力系统生产管理信息系统等。该区中公共数据库内的数据可提供运行管理人员进行web浏览。该区的外部通信边界为电力数据通信网SPInet。

●安全区IV（办公管理系统）
包括办公自动化系统或办公管理信息系统。该区的外部通信边界为SPInet或因特网。

二次安防屏主要设备

●网络安全监测设备
网络安全监测装置用以采集变电站站控层和发电厂涉网区域的服务器、工作站、网络设备和安全防护设备的安全事件，转发至调度端网络安全管理平台的数据网关机，并提供来自网络安全管理平台相关服务调用，同时，支持网络安全事件的本地监视管理。

●防火墙
防火墙产品部署在各安全区之间，所有的访问都将通过防火墙进行，不允许任何饶过防火墙的连接。根据业务流量的IP地址、协议、应用端口号、以及方向的报文过滤等安全策略实现安全区之间的逻辑隔离、报文过滤、访问控制、IP认证加密等功能。从而达到了对电力二次系统进行安全防护的目的。

●安全审计
网络审计系统采用的协议识别和智能关联技术，通过对网络数据的采集、分析和识别，实时动态的监测网络行为、通信内容和网络流量，发现并捕获各种敏感信息、违规网络行为，全面记录网络系统中的各种会话和事件，实现对网络信息的智能关联分析和安全评估。

●防病毒系统
随着电力一次系统规模的扩大，无人值班变电所的全面铺开，电力生产对自动化系统的依赖性越来越大，自动化规模也越来越大，网络越来越复杂。同时自动化系统必须保证24h连续稳定运行，因此必须要有一个确实可行的防病毒解决方案，来确保自动化系统重要业务不受病毒侵害，保证自动化系统的安全、稳定运行。

●入侵检测
入侵检测系统（IDS）采用深度分析技术对网络进行不间断监控，分析来自网络内部和外部的入侵企图，并进行报警、响应和防范，有效延伸了网络安全防御层次。同时，产品提供强大的网络信息审计功能，可对网络的运行、使用情况进行全面的监控、记录、审计和重放，使用户对网络的运行状况一目了然。