電力系統(tǒng)在線監(jiān)測(cè)裝置無線傳輸網(wǎng)絡(luò)安全分區(qū)改造的實(shí)施與應(yīng)用

摘

要：為適應(yīng)電力行業(yè)新的網(wǎng)絡(luò)安全要求，對(duì)在線監(jiān)測(cè)裝置進(jìn)行了網(wǎng)絡(luò)安全分區(qū)改造，使用新的APN通道，改變以前不安全的明文傳輸方式，采用國密SM1、SM2、SM3、SM4算法加密傳輸，提高了在線監(jiān)測(cè)裝置網(wǎng)絡(luò)的安全性及可靠性。關(guān)鍵詞：在線監(jiān)測(cè)；網(wǎng)絡(luò)安全；專用網(wǎng)絡(luò)分區(qū)改造；APN通道；加密傳輸0引言為總體提高在線監(jiān)測(cè)裝置運(yùn)維的網(wǎng)絡(luò)安全水平，持續(xù)鞏固“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”安全基礎(chǔ)，需全面完成安全分區(qū)和橫縱向邊界防護(hù)改造，強(qiáng)化主機(jī)和應(yīng)用本體安全，落實(shí)物理網(wǎng)絡(luò)安全措施，實(shí)現(xiàn)網(wǎng)絡(luò)安全設(shè)備運(yùn)行狀況實(shí)時(shí)監(jiān)控及風(fēng)險(xiǎn)預(yù)警。對(duì)于采用無線傳輸方式接入主站的電力系統(tǒng)在線監(jiān)測(cè)裝置，由前期設(shè)計(jì)時(shí)的考慮和實(shí)際運(yùn)行的情況來分析，明文傳輸?shù)耐ㄐ欧绞揭呀?jīng)不符合目前行業(yè)的網(wǎng)絡(luò)安全要求，需要對(duì)在線監(jiān)測(cè)裝置進(jìn)行網(wǎng)絡(luò)安全分區(qū)改造，以保障電力系統(tǒng)在線監(jiān)測(cè)裝置長期運(yùn)行網(wǎng)絡(luò)的安全性及可靠性，保證電力系統(tǒng)的正常運(yùn)行。1電力系統(tǒng)在線監(jiān)測(cè)裝置無線傳輸分區(qū)改造的總體要求1.1

分區(qū)改造的原則與思路在電力通信保障電網(wǎng)安全穩(wěn)定的基本原則和建設(shè)與現(xiàn)有電力通信專網(wǎng)優(yōu)勢(shì)互補(bǔ)的、立體式的電力通信保障體系的思路指導(dǎo)下，對(duì)于使用移動(dòng)通信的電力系統(tǒng)在線監(jiān)測(cè)裝置，在考慮到網(wǎng)絡(luò)安全性后，以開通專用APN通道無線加密方式從舊的運(yùn)行網(wǎng)絡(luò)區(qū)改接到加密的運(yùn)行新區(qū)。1.2

改造后通信結(jié)構(gòu)在線監(jiān)測(cè)通信網(wǎng)絡(luò)采用專線對(duì)卡通信方式，即主站通過公網(wǎng)專線接入，站端用無線電話卡撥號(hào)接入，具體通信結(jié)構(gòu)如圖1所示。該通信結(jié)構(gòu)采用專線接入部署時(shí)費(fèi)用比卡對(duì)卡接入要高一些，但是專線的接入可以大大解決通信瓶頸帶寬問題，同時(shí)專線的通信時(shí)延比卡對(duì)卡的要低，能保證通信質(zhì)量。2主站端具體改造內(nèi)容主站內(nèi)無線監(jiān)測(cè)接入裝置需加裝加密芯片或加密模塊，站端上傳的數(shù)據(jù)經(jīng)過解密后傳輸。加密后能實(shí)現(xiàn)網(wǎng)絡(luò)安全設(shè)備安全狀況實(shí)時(shí)監(jiān)控及告警，具備有效監(jiān)視跨區(qū)互聯(lián)、非法接入、移動(dòng)介質(zhì)違規(guī)使用等嚴(yán)重安全隱患的能力，具備網(wǎng)絡(luò)安全入侵檢測(cè)能力；確保電力監(jiān)控系統(tǒng)邊界網(wǎng)絡(luò)安全設(shè)備覆蓋完整、策略配置安全有效，實(shí)現(xiàn)網(wǎng)絡(luò)安全設(shè)備國產(chǎn)化。此外，設(shè)立安全接入?yún)^(qū)，服務(wù)器通過2G/3G/4G無線網(wǎng)絡(luò)接收端與廠站側(cè)子站設(shè)備2G/3G/4G無線網(wǎng)絡(luò)進(jìn)行加密通信。2.1

前置機(jī)的安全要求對(duì)于采用公網(wǎng)作為通信信道的前置機(jī)（公網(wǎng)前置機(jī)屬于安全接入?yún)^(qū)），必須采用電力專用的正反向隔離裝置與自動(dòng)化系統(tǒng)進(jìn)行隔離。公網(wǎng)前置機(jī)與站端之間通信必須采取認(rèn)證及加密等安全措施。2.2

站端在線監(jiān)測(cè)系統(tǒng)接入主站的要求（1）建立安全接入?yún)^(qū)：依據(jù)網(wǎng)絡(luò)安全防護(hù)要求，需設(shè)立公網(wǎng)安全接入?yún)^(qū)。（2）網(wǎng)絡(luò)隔離：在安全接入?yún)^(qū)與調(diào)度通信部署電力專用正反向隔離。（3）無線通信數(shù)據(jù)加密：對(duì)于采用雙向認(rèn)證加密措施的無線網(wǎng)絡(luò)通信，需在安全接入?yún)^(qū)邊界及變電站網(wǎng)絡(luò)邊界部署加密認(rèn)證網(wǎng)關(guān)。其中，站端側(cè)無線加密通信網(wǎng)關(guān)兼具加密模塊、通信模塊功能。3變電站站端分區(qū)改造內(nèi)容站端業(yè)務(wù)部分安排站內(nèi)無線監(jiān)測(cè)裝置切換且經(jīng)加密模塊加密后，通過無線網(wǎng)絡(luò)APN上傳主站，無線網(wǎng)絡(luò)通信采用雙向認(rèn)證加密的措施，需在安全接入?yún)^(qū)邊界及變電站網(wǎng)絡(luò)邊界部署加密認(rèn)證網(wǎng)關(guān)。其中，站端側(cè)無線加密通信網(wǎng)關(guān)兼具加密模塊、通信模塊功能，模塊電源要求具有ESD保護(hù)、EMC保護(hù)、防浪涌、防反接、過壓保護(hù)、過流保護(hù)功能，通信信號(hào)的要求需要使用雙天線收發(fā)，考慮長遠(yuǎn)發(fā)展，公網(wǎng)僅用于在災(zāi)害及新建變電站通信調(diào)試通道時(shí)使用，站端無線加密通信網(wǎng)關(guān)建成獨(dú)立系統(tǒng)。3.1

裝置改造的配置及具體要求（1）將站端在線監(jiān)測(cè)裝置無線終端替換為加密無線終端。（2）向電信部門申請(qǐng)專用的APN通道“*****.GD”，把通道信息配置進(jìn)現(xiàn)場(chǎng)裝置通信模塊中。（3）向主站申請(qǐng)分配IP地址，捆綁IP到專用物流電信卡上，實(shí)現(xiàn)專卡專用，提高通信安全性。（4）具體配置如表1所示。改造后的網(wǎng)絡(luò)拓?fù)涫疽鈭D如圖2所示。（5）安全策略配置如表2所示。（6）隧道配置如表3所示。3.2

裝置改造實(shí)施步驟（1）前期準(zhǔn)備工作：需要確認(rèn)所涉及的裝置設(shè)備通信方式，取得相關(guān)的通信規(guī)約，編寫通信文檔。（2）改造環(huán)境及范圍確認(rèn)：站端在線監(jiān)測(cè)系統(tǒng)現(xiàn)場(chǎng)柜的位置確認(rèn)，相關(guān)電源位置、加密模塊安裝位置確認(rèn)，安裝電源、相關(guān)配線及調(diào)試工具確認(rèn)。（3）將改造方案報(bào)相關(guān)部門審核，明確改造中受影響的業(yè)務(wù)，審核通過后，辦理實(shí)施許可手續(xù)。（4）辦理物聯(lián)卡，加入專用APN通道，捆綁主站分配的IP地址。（5）斷開舊在線監(jiān)測(cè)系統(tǒng)現(xiàn)場(chǎng)柜無線終端的電源，退出裝置的通信無線終端。（6）在線監(jiān)測(cè)系統(tǒng)現(xiàn)場(chǎng)柜處安裝新的無線加密終端。（7）加密無線安裝SIM卡：在線監(jiān)測(cè)系統(tǒng)現(xiàn)場(chǎng)柜處安裝的無線加密終端中安裝SIM卡。（8）測(cè)試SIM：合上在線監(jiān)測(cè)系統(tǒng)現(xiàn)場(chǎng)柜的電源，查看無線網(wǎng)絡(luò)信號(hào)強(qiáng)度、查看SIM卡獲取IP地址是否正常。（9）測(cè)試隧道：查看加密證書是否正常、ping通主站采集前置機(jī)IP，測(cè)試通道狀況。（10）設(shè)備配置及備份：對(duì)在線監(jiān)測(cè)裝置IED的配置及數(shù)據(jù)庫等進(jìn)行整體維護(hù)及備份。（11）設(shè)備配置修改：在線監(jiān)測(cè)裝置IED安裝及啟用通信服務(wù)。（12）業(yè)務(wù)調(diào)試：調(diào)試在線監(jiān)測(cè)終端業(yè)務(wù)，進(jìn)行主站—站端的聯(lián)調(diào)。（13）業(yè)務(wù)系統(tǒng)功能測(cè)試：測(cè)試鏈路及通信是否正常，發(fā)送及返回?cái)?shù)據(jù)包是否穩(wěn)定。測(cè)試拓?fù)涫疽鈭D如圖3所示。（14）報(bào)主站工作完結(jié)：設(shè)備狀態(tài)正常，在線監(jiān)測(cè)系統(tǒng)上傳主站數(shù)據(jù)正常，觀察30min，確保系統(tǒng)運(yùn)行穩(wěn)定后，報(bào)主站改造完結(jié)。4結(jié)語改造后的在線監(jiān)測(cè)系統(tǒng)的通信方式，是基于IPsecVPN加密隧道通信協(xié)議，結(jié)合國密SM1、SM2、SM3、SM4算法與4G無線通信，為變電站端在線