導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

配電自動(dòng)化安全防護(hù)設(shè)計(jì)與實(shí)踐

文檔作者：王勝飛１胡　華２趙文杰２陳文雄２李端歡２王興念１文檔來源：１．珠海許繼芝電網(wǎng)自動(dòng)化有限公司２．國網(wǎng)黃石供電公司		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年11月30日
下載地址：點(diǎn)擊這里	文件大小： 1.21 MB 共4頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共4頁]

本文件共4頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：1.21 MB 共4頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會員免費(fèi)）

下一篇：電氣自動(dòng)化及電氣自動(dòng)化技術(shù)的發(fā)展探究

上一篇：配電自動(dòng)化系統(tǒng)安全防護(hù)技術(shù)

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

!"#$
#%
! 　　
配電自動(dòng)化安全防護(hù)設(shè)計(jì)與實(shí)踐
王勝飛１，胡　華２，趙文杰２，陳文雄２，李端歡２，王興念１
（１．珠海許繼芝電網(wǎng)自動(dòng)化有限公司，廣東珠海５１６０９０；
２．國網(wǎng)黃石供電公司，湖北黃石４３５０００）
摘　要：為保證配電自動(dòng)化系統(tǒng)信息安全，遵循“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”的原則，構(gòu)建配電自
動(dòng)化系統(tǒng)安全防護(hù)建設(shè)方案和建立網(wǎng)絡(luò)與信息安全防護(hù)管理體系，針對配電自動(dòng)化系統(tǒng)涉及的主站、終端、通信、網(wǎng)
絡(luò)設(shè)備、安防設(shè)備等環(huán)節(jié)對其進(jìn)行加固，全面提升其安全性。
關(guān)鍵詞：配電自動(dòng)化；信息安全；安全防護(hù)設(shè)計(jì)；安全加固
中圖分類號：ＴＭ７３４
犇犲狊犻犵狀犪狀犱犘狉犪犮狋犻犮犲狅犳犇犻狊狋狉犻犫狌狋犻狅狀犃狌狋狅犿犪狋犻狅狀犛犲犮狌狉犻狋狔犘狉狅狋犲犮狋犻狅狀
ＷＡＮＧＳｈｅｎｆｅｉ１，ＨＵ Ｈｕａ２，ＺＨＡＯ Ｗｅｎｊｉｅ２，ＣＨＥＮ Ｗｅｎｘｉｏｎｇ２，ＬＩＲｕｉｈｕａｎ２，ＷＡＮＧＸｉｎｇｎｉａｎ１
（１．ＺｈｕｈａｉＸｕｊｉｚｈｉＰｏｗｅｒＡｕｔｏｍａｔｉｏｎＣｏ．，Ｌｔｄ．，Ｚｈｕｈａｉ５１６０９０，Ｃｈｉｎａ；
２．ＳｔａｔｅＧｒｉｄＨｕａｎｇｓｈｉＰｏｗｅｒＳｕｐｐｌｙＣｏｍｐａｎｙ，Ｈｕａｎｇｓｈｉ４３５０００，Ｃｈｉｎａ）
犃犫狊狋狉犪犮狋：Ｉｎｏｒｄｅｒｔｏｅｎｓｕｒｅｔｈｅｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙｏｆｔｈｅｄｉｓｔｒｉｂｕｔｉｏｎａｕｔｏｍａｔｉｏｎｓｙｓｔｅｍ，ａｓａｆｅｔｙｐｒｏｔｅｃｔｉｏｎｓｙｓｔｅｍｆｏｒ
ｄｉｓｔｒｉｂｕｔｉｏｎａｕｔｏｍａｔｉｏｎｓｙｓｔｅｍｓｉｓｂｕｉｌｔｂａｓｅｄｏｎｔｈｅｐｒｉｎｃｉｐｌｅｓｏｆ“ｓａｆｅｔｙｐａｒｔｉｔｉｏｎ，ｎｅｔｗｏｒｋｓｐｅｃｉｆｉｃ，ｈｏｒｉｚｏｎｔａｌｉｓｏｌａｔｉｏｎ，
ａｎｄｖｅｒｔｉｃａｌｃｅｒｔｉｆｉｃａｔｉｏｎ”ａｎｄｔｈｅｎｅｔｗｏｒｋａｎｄｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙｐｒｏｔｅｃｔｉｏｎｍａｎａｇｅｍｅｎｔｓｙｓｔｅｍｉｓｅｓｔａｂｌｉｓｈ．Ｔｈｅｍａｉｎ
ｓｔａｔｉｏｎｓ，ｔｅｒｍｉｎａｌｓ，ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，ｎｅｔｗｏｒｋｅｑｕｉｐｍｅｎｔ，ｓｅｃｕｒｉｔｙｅｑｕｉｐｍｅｎｔａｎｄｏｔｈｅｒｌｉｎｋｓｉｎｖｏｌｖｅｄｉｎｔｈｅｄｉｓｔｒｉｂｕｔｉｏｎ
ａｕｔｏｍａｔｉｏｎｓｙｓｔｅｍａｒｅｒｅｉｎｆｏｒｃｅｄｔｏｉｍｐｒｏｖｅｔｈｅｉｒｓａｆｅｔｙ．
犓犲狔狑狅狉犱狊：ｄｉｓｔｒｉｂｕｔｉｏｎａｕｔｏｍａｔｉｏｎ；ｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙ；ｓａｆｅｔｙｄｅｓｉｇｎ；ｓｅｃｕｒｉｔｙｒｅｉｎｆｏｒｃｅｍｅｎｔ
收稿日期：２０１９０３１１
作者簡介：王勝飛（１９８１－），從事配電自動(dòng)化系統(tǒng)方面的應(yīng)用與
實(shí)踐。
０ 引言
配電自動(dòng)化系統(tǒng)是電力、計(jì)算機(jī)、網(wǎng)絡(luò)設(shè)備與技術(shù)
的結(jié)合，主要承擔(dān)著１０ｋＶ 電網(wǎng)的監(jiān)控、控制及故障處
理任務(wù)，在電力系統(tǒng)中發(fā)揮著越來越重要的作用。配電
自動(dòng)化安全涉及電力系統(tǒng)的正常穩(wěn)定運(yùn)行， 影響著國
家、通信、民生工程等諸多重要方面。隨著配電自動(dòng)化
覆蓋率的加大，系統(tǒng)的實(shí)用化［１２］及大數(shù)據(jù)、云計(jì)算、物
聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)與電網(wǎng)的深度融合和信息通信新技術(shù)
的引入與應(yīng)用［３］，“攻擊面”擴(kuò)大，安全防御鏈條越來越
長，網(wǎng)絡(luò)邊界更加模糊，對電網(wǎng)信息安全防御設(shè)計(jì)和管
理提出更高要求。為加強(qiáng)配電自動(dòng)化系統(tǒng)安全防護(hù)，供
電企業(yè)和各廠家進(jìn)一步加強(qiáng)配電自動(dòng)化系統(tǒng)安全防護(hù)設(shè)
計(jì)［４９］，國家電網(wǎng)公司運(yùn)維檢修部制定了《配電自動(dòng)化系
統(tǒng)網(wǎng)絡(luò)安全防護(hù)方案》，對配電主站數(shù)據(jù)采集系統(tǒng)與終端
間的通信網(wǎng)絡(luò)和交互信息進(jìn)行了多層次全方位的安全防
護(hù)設(shè)計(jì)。本文針對配電自動(dòng)化系統(tǒng)建設(shè)，就如何優(yōu)化信
息安全設(shè)計(jì)，建立網(wǎng)絡(luò)與信息安全防護(hù)管理體系，嚴(yán)格
落實(shí)網(wǎng)絡(luò)隔離措施，完善網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施的實(shí)際應(yīng)用
進(jìn)行探索和實(shí)踐， 建立供電企業(yè)全方位的安全防護(hù)
體系。
１ 配電自動(dòng)化系統(tǒng)安全防護(hù)建設(shè)方案
配電自動(dòng)化系統(tǒng)在結(jié)構(gòu)上分成配電主站層、通信網(wǎng)絡(luò)
層、設(shè)備層。配電主站層橫跨生產(chǎn)控制大區(qū)和管理信息大
區(qū)，建設(shè)滿足配電網(wǎng)運(yùn)行監(jiān)控與運(yùn)行狀態(tài)管控需求的相關(guān)
業(yè)務(wù)功能；通信網(wǎng)絡(luò)層在生產(chǎn)控制大區(qū)與配電終端的通信
方式原則上以電力光纖通信為主，對于不具備電力光纖通
信條件的末梢配電終端，采用無線專網(wǎng)通信方式；管理信
息大區(qū)與配電終端的通信方式原則上以無線公網(wǎng)通信為
主，遵循國家電力信息安全防護(hù)相關(guān)規(guī)定構(gòu)建通信信息
網(wǎng)，應(yīng)用ＩＥＣ６０８７０５１０１／１０４、ＩＥＣ６１８５０通信規(guī)約實(shí)現(xiàn)
配電設(shè)備層與配電自動(dòng)化主站間的通信和數(shù)據(jù)傳輸；設(shè)備
層主要包括站所終端（ＤＴＵ）、饋線終端（ＦＴＵ）、各類架
空／電纜故障指示器。為保證配電自動(dòng)化系統(tǒng)信息安全，
根據(jù)《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》和《關(guān)于印發(fā)電力監(jiān)控
系統(tǒng)安全防護(hù)總體方案等安全防護(hù)方案和評估規(guī)范的通
知》的要求，遵循“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向
認(rèn)證”的原則，構(gòu)建配電自動(dòng)化系統(tǒng)安全防護(hù)建設(shè)方案，
如圖１所示。
（１）生產(chǎn)控制大區(qū)。配電主站生產(chǎn)控制大區(qū)配置配電
４７
電氣設(shè)計(jì)　電工技術(shù)
　　!"#$%
!!!"#$%&amp;amp;'()"&amp;amp;()
!"#$%&amp;amp;
'(
)*
+,
-.
/+
,
01
23
45
6
01
23
45
6
!"#
$#
78
45
6
!"#
$#
78
45
6
9:
;4
56
9<
;4
56
%&amp;amp;!
=>?@A
BCDE
7
8
4
5
6
7
8
4
5
6
F
G
/
+
,
F
G
/
+
,
F
G
/
+
,
HI
JK
LM
DE
NOPQ%&amp;amp;
RST
UVT
WVT
=>?@A
BCDE
XI
@A
45
6
JK
LM
DE
YE
45
6
YE
45
6
WVT
WVT
WVT
WVT
9Z
WVT
Z[
45
6
Z[
45
6
@A\]&amp;amp;
WVT
WVT
WVT
WVT
WVT
9Z
WVT
Z[
45
6
Z[
45
6
H^@A\]I_
H`ab H`ab
cdIe
fgh
ijk
=>?@
ABCDE
ld
'
&amp;amp;
45
6
ld
'
&amp;amp;
45
6
=>?
@AB
CDE
PQ
WV
ld
'(
&amp;amp;
45
6
PQ
WV
ld
'(
&amp;amp;
45
6
ldWVT
ldWVT
fmh
nopq
H`ab
cdrI
fmh
9:BCst
cdZuWVv
cdZuWVT
RST
WVT
WVT
'(
&amp;amp;
YE
45
6
'(
&amp;amp;
YE
45
6
9:
;4
56
9:
;4
56
PQ
wx
45
6
PQ
wx
45
6
yz{
)*+,- !./012 3451061*57 !68090 5/ $#!
!!"""#$%&amp;amp;'()*+,-.
加密認(rèn)證裝置，對下行控制命令、遠(yuǎn)程參數(shù)設(shè)置等報(bào)文采
用國產(chǎn)商用非對稱密碼算法（ＳＭ２、ＳＭ３）進(jìn)行簽名操作，
實(shí)現(xiàn)配電終端對配電主站的身份鑒別與報(bào)文完整性保護(hù)；
對配電終端與主站間的業(yè)務(wù)數(shù)據(jù)采用國產(chǎn)商用對稱密碼算
法（ＳＭ１）進(jìn)行加解密操作，保障業(yè)務(wù)數(shù)據(jù)的安全性。安全
接入?yún)^(qū)配置配電安全接入網(wǎng)關(guān)，采用國產(chǎn)商用非對稱密碼
算法實(shí)現(xiàn)配電安全接入網(wǎng)關(guān)與配電終端的雙向身份認(rèn)證；
若采用無線公網(wǎng)，則配置硬件防火墻實(shí)現(xiàn)無線網(wǎng)絡(luò)與安全
接入?yún)^(qū)的隔離。采集應(yīng)用部分與安全接入?yún)^(qū)部署正反向隔
離裝置進(jìn)行隔離。
（２）管理信息大區(qū)。配電主站管理信息大區(qū)采用無線
公網(wǎng)通信方式，經(jīng)防火墻、數(shù)據(jù)隔離組件接入管理信息
大區(qū)前置服務(wù)器。其中防火墻通過設(shè)定訪問控制策略實(shí)
現(xiàn)對應(yīng)用層數(shù)據(jù)流控制；通過數(shù)據(jù)隔離組件進(jìn)行邊界安
全隔離以防止非法鏈接穿透內(nèi)網(wǎng)直接進(jìn)行訪問。配電主
站管理信息大區(qū)加裝配電加密認(rèn)證裝置，對遠(yuǎn)程參數(shù)設(shè)
置、遠(yuǎn)程版本升級等信息采用國產(chǎn)商用非對稱密碼算法
進(jìn)行簽名操作，實(shí)現(xiàn)配電終端對配電主站的身份鑒別與
報(bào)文完整性保護(hù)；對配電終端與主站間的業(yè)務(wù)數(shù)據(jù)采用
國產(chǎn)商用對稱密碼算法進(jìn)行加解密操作，保障業(yè)務(wù)數(shù)據(jù)
的安全性。
（３）配電主站生產(chǎn)控制大區(qū)與管理信息大區(qū)間部署正
反向隔離裝置進(jìn)行隔離，實(shí)現(xiàn)兩大安全區(qū)間的信息隔離。
（４）配電主站生產(chǎn)控制大區(qū)與調(diào)度自動(dòng)化系統(tǒng)（ＥＭＳ）
間通過正反向隔離裝置進(jìn)行隔離；配電主站和ＥＭＳ間采
用ＩＥＣ６０８７０５１０４報(bào)文傳輸方式交互三遙數(shù)據(jù)，采用文
件傳輸方式交互信息和操作數(shù)據(jù)。
（５）配電主站管理信息大區(qū)與其他外部系統(tǒng)采用硬件
防火墻等設(shè)備實(shí)現(xiàn)橫向域間安全防護(hù)。
２ 配電自動(dòng)化系統(tǒng)安全防護(hù)要求與管理
為全面提升安全技術(shù)防護(hù)能力，適應(yīng)新業(yè)務(wù)發(fā)展和網(wǎng)
絡(luò)安全防護(hù)需求，從終端、網(wǎng)絡(luò)、邊界、主機(jī)、應(yīng)用、數(shù)
據(jù)等方面對配電自動(dòng)化系統(tǒng)進(jìn)行優(yōu)化和建立安全體系，提
升配電自動(dòng)化系統(tǒng)安全效能。
２．１ 服務(wù)器、工作站
（１）配電自動(dòng)化系統(tǒng)服務(wù)器、工作站采用符合安全的
國產(chǎn)化設(shè)備，選擇華為、浪潮、曙光等主流廠商設(shè)備。
（２）服務(wù)器與工作站軟驅(qū)、光驅(qū)、ＵＳＢ口、串口、網(wǎng)
口、管理用的外部交互接口采用物理關(guān)閉（如不具備則通
過設(shè)備廠商軟件進(jìn)行關(guān)閉），并采用一次性封貼封閉。
（３）嚴(yán)禁連接未經(jīng)檢測、批準(zhǔn)的存儲、外設(shè)數(shù)據(jù)拷
貝，軟件安裝要經(jīng)過批準(zhǔn)、監(jiān)督，嚴(yán)禁使用未經(jīng)檢測、批
準(zhǔn)的Ｕ 盤、光盤、軟盤、Ｐａｄ、移動(dòng)硬盤等存儲設(shè)備及未
經(jīng)檢測、批準(zhǔn)的光驅(qū)、軟驅(qū)、鼠標(biāo)、鍵盤、無線設(shè)備等外
設(shè)連接配電自動(dòng)化設(shè)備。嚴(yán)禁設(shè)備連接外網(wǎng)、未經(jīng)批準(zhǔn)的
局域網(wǎng)及其他連接過外網(wǎng)的設(shè)備（如手機(jī)、筆記本、Ｐａｄ
等）。
（４）設(shè)備維護(hù)需經(jīng)批準(zhǔn)、監(jiān)督。嚴(yán)禁私自連接服務(wù)
器、工作站等設(shè)備，有維護(hù)需求時(shí)必須履行審批手續(xù)，須
有專門監(jiān)督人員陪同。
（５）維護(hù)工具、維護(hù)設(shè)備必須是經(jīng)過檢測、批準(zhǔn)的專
用設(shè)備，嚴(yán)禁采用個(gè)人、公用維護(hù)設(shè)備。
２．２ 操作系統(tǒng)及軟件
（１）服務(wù)器、工作站必須安裝通過第三安全檢測的國
產(chǎn)化操作系統(tǒng)，目前公司服務(wù)器、工作站安裝凝思操作系
統(tǒng)，并通過離線安裝包及時(shí)對操作系統(tǒng)打補(bǔ)丁和版本升
級，并關(guān)閉服務(wù)器與工作站４４５、ｔｅｌｎｅｔ、ｆｔｐ、ｈｔｔｐ等高危
端口或空余服務(wù)端口，禁用Ａｄｍｉｎ、ｒｏｏｔ等默認(rèn)賬戶，使
用復(fù)雜口令及定期更換口令，開啟日志審計(jì)、數(shù)據(jù)備份，
刪除系統(tǒng)默認(rèn)的路由規(guī)則等方法加固操作系統(tǒng)安全。
（２）配電自動(dòng)化系統(tǒng)支撐軟件采用經(jīng)第三方安全檢測
的數(shù)據(jù)庫軟件，目前公司采用達(dá)夢、金倉數(shù)據(jù)庫軟件。
（３）安裝國產(chǎn)版殺毒軟件， 并定期進(jìn)行全面殺毒工
作，殺毒軟件升級包必須離線安裝；嚴(yán)禁使用、安裝網(wǎng)絡(luò)
下載軟件、個(gè)人提供軟件、公共軟件及其他來路不明軟
件，支撐軟件必須通過正規(guī)渠道購買正版、最新穩(wěn)定版操
作系統(tǒng)。
２．３ 網(wǎng)絡(luò)設(shè)備
（１）配電自動(dòng)化系統(tǒng)網(wǎng)絡(luò)設(shè)備采用國產(chǎn)華為、浪潮、
華三等主流廠商設(shè)備。網(wǎng)絡(luò)設(shè)備間要采用硬件分離，不能
采用邏輯分離，比如交換機(jī)不能通過劃分ＶＬＡＮ 方式實(shí)
現(xiàn)隔離。
（２）封閉網(wǎng)絡(luò)設(shè)備端口。網(wǎng)絡(luò)設(shè)備空余端口通過網(wǎng)絡(luò)
設(shè)備內(nèi)部命令關(guān)閉并粘貼撕毀可容易發(fā)現(xiàn)的一次性封貼。
嚴(yán)格限制和管理管理口、調(diào)試口。
（３）網(wǎng)絡(luò)設(shè)備配置禁用默認(rèn)規(guī)則，使用最小化原則細(xì)
化網(wǎng)絡(luò)配置內(nèi)的ＩＰ、端口、訪問控制列表， 刪除冗余
規(guī)則。
（４）網(wǎng)絡(luò)設(shè)備與接入設(shè)備ＭＡＣ地址綁定，防止其他設(shè)
４８
電工技術(shù)　電氣設(shè)計(jì)
!"#$
#%
! 　　
備非法拔插進(jìn)入網(wǎng)絡(luò)設(shè)備；網(wǎng)絡(luò)設(shè)備賬戶（配置、管理、
審計(jì)）三權(quán)分立，禁用默認(rèn)賬戶和簡單密碼；網(wǎng)絡(luò)設(shè)備管
理采用雙因子認(rèn)證，在調(diào)試維護(hù)網(wǎng)絡(luò)設(shè)備時(shí)，對維護(hù)工具
（如筆記本電腦）的ＩＰ、ＭＡＣ及訪問網(wǎng)絡(luò)設(shè)備的方式進(jìn)行
限制，并存儲訪問記錄，以便校驗(yàn)。
２．４ 通信系統(tǒng)
（１）配網(wǎng)光纖通信網(wǎng)絡(luò)采用專用的通信網(wǎng)絡(luò)， 并對
ＯＮＵ、ＬＴＤ 進(jìn)行安全管理， 主要包括： 在網(wǎng)管機(jī)、
ＯＬＴ、ＯＮＵ 上設(shè)置通信端口離線自動(dòng)關(guān)閉策略，防止通
信端口被非法拔插至攻擊設(shè)備，人工現(xiàn)場確認(rèn)處理后，再
通過網(wǎng)管機(jī)開啟通信端口恢復(fù)正常使用； 在網(wǎng)管機(jī)、
ＯＬＴ、ＯＮＵ 上設(shè)置空余通信端口關(guān)閉、不同通信端口連
接設(shè)備不能相互訪問且只能訪問指定主站ＩＰ、端口策略，
以防止通過通信端口已連接設(shè)備攻擊主站或其他通信端口
連接設(shè)備。
（２）無線公網(wǎng)通信的網(wǎng)絡(luò)優(yōu)先采用ＴＤＳＣＤＭＡ 網(wǎng)絡(luò)，
采?。粒校危郑校?邏輯隔離、訪問控制、認(rèn)證加密等安全
措施，由通信運(yùn)營商做好安全訪問策略；采用４Ｇ 通信模
塊，ＳＩＭ 卡為專用的、固定ＩＰ模式。
２．５ 終端設(shè)備與運(yùn)維
（１）配電終端根據(jù)接入的通信方式、功能不同，配置
不同物理端口，可配置網(wǎng)絡(luò)接口、串口，禁止配置ＵＳＢ、
近距離無線等接口。
（２）加固操作系統(tǒng)， 關(guān)閉配電終端設(shè)備不使用的端
口、服務(wù)及口令，并貼上封條，設(shè)置符合安全要求的用戶
名和口令；工程應(yīng)用中關(guān)閉ｈｔｔｐ、ＥＭａｉｌ、Ｔｅｌｎｅｔ、Ｒｌｏｇ
ｉｎ、ＦＴＰ等高危服務(wù)端口，一般只開放２４０４端口。
（３）啟用終端加密認(rèn)證，進(jìn)行ＩＰ、ＭＡＣ與通信設(shè)備的
綁定。
（４）按照國家電網(wǎng)要求對終端證書進(jìn)行管理。把終端
證書請求文件導(dǎo)出到國網(wǎng)進(jìn)行簽發(fā)后導(dǎo)入主站，把主站的
證書導(dǎo)入到終端。
２．６ 安防邊界設(shè)備
（１）根據(jù)《配電自動(dòng)化系統(tǒng)網(wǎng)絡(luò)安全防護(hù)方案》加裝隔
離裝置、防火墻、加密認(rèn)證裝置、安全接入網(wǎng)關(guān)設(shè)備、數(shù)
據(jù)隔離組件、態(tài)勢感知設(shè)備、ＩＰＳ設(shè)備、ＩＤＳ設(shè)備、漏洞
掃描設(shè)備，進(jìn)行信息隔離、檢測、監(jiān)視，阻斷異常網(wǎng)絡(luò)
訪問。
（２）物理隔離裝置。細(xì)化ＩＰ、端口配置并進(jìn)行ＭＡＣ
綁定；實(shí)現(xiàn)三區(qū)分立并刪除默認(rèn)賬戶，密碼口令設(shè)定須滿
足復(fù)雜度要求，維護(hù)設(shè)備進(jìn)行ＩＰ、ＭＡＣ地址綁定。
（３）防火墻設(shè)備。定期升級固件版本、病毒庫；綁定
被訪問的ＩＰ地址與ＭＡＣ地址，考慮業(yè)務(wù)使用的ＩＰ、端
口，被訪問服務(wù)器業(yè)務(wù)ＩＰ、端口必須限制地址、端口轉(zhuǎn)換
等，細(xì)化防火墻配置策略，以防止真實(shí)ＩＰ、端口暴露，被
惡意使用或攻擊；刪除默認(rèn)賬戶，密碼口令設(shè)定須滿足復(fù)
雜度要求并定期更換。
（４）縱向加密設(shè)備。保證縱向加密設(shè)備人、ＩＣ 管理
卡、設(shè)備三合一安防管理；刪除默認(rèn)賬戶，設(shè)定密碼口令
須滿足復(fù)雜度要求；關(guān)閉遠(yuǎn)程管理功能；內(nèi)外網(wǎng)配置在不
同ＩＰ段地址；細(xì)化具體ＩＰ地址或地址段以滿足最小化應(yīng)
用；根據(jù)業(yè)務(wù)需求對縱向加密設(shè)備密通規(guī)則、隧道最小生
存周期、容量、業(yè)務(wù)ＩＰ、端口、協(xié)議等細(xì)化策略配置，并
對涉及服務(wù)器、路由器或交換機(jī)設(shè)備的業(yè)務(wù)ＩＰ進(jìn)行ＭＡＣ
綁定，ＩＰ與端口進(jìn)行ＮＡＴ轉(zhuǎn)換需符合安防要求。
（５）數(shù)據(jù)隔離組件。對涉及的管理信息大區(qū)前置、防
火墻、路由器及無線終端等方面進(jìn)行管理，主要包括：管
理信息大區(qū)前置服務(wù)器對無線終端ＳＩＭ 卡地址路由規(guī)則設(shè)
置細(xì)化；細(xì)化數(shù)據(jù)隔離組件內(nèi)外網(wǎng)口ＩＰ地址或地址段、
最小化安防配置并滿足業(yè)務(wù)需要；關(guān)閉內(nèi)網(wǎng)網(wǎng)絡(luò)冗余端
口；禁用默認(rèn)賬戶，實(shí)現(xiàn)三區(qū)分立，設(shè)定滿足復(fù)雜度要求
的密碼口令并定期更換。
（６）態(tài)勢感知設(shè)備、ＩＤＳ、ＩＰＳ、漏洞掃描設(shè)備。禁止
默認(rèn)賬戶、超級賬戶并設(shè)置賬戶三權(quán)分立策略，設(shè)定滿足
復(fù)雜度要求的密碼口令并定期更換；禁用空余端口并采用
一次性封貼封閉；定期更新態(tài)勢感知設(shè)備固件程序、智能
檢測與許可證，定期更新ＩＤＳ設(shè)備病毒庫、檢測程序、業(yè)
務(wù)策略需求設(shè)置及許可證，定期更新ＩＰＳ病毒庫、異常特
征庫、業(yè)務(wù)策略需求設(shè)置及許可證；指定專人實(shí)時(shí)檢測、
分析報(bào)警內(nèi)容、異常信息并及時(shí)處理和修復(fù)。
（７）配電加密認(rèn)證裝置。禁止默認(rèn)賬戶、超級賬戶并
設(shè)置賬戶三權(quán)分立，設(shè)定滿足復(fù)雜度要求的密碼口令并
定期更換；禁用空余端口并采用一次性封貼封閉。設(shè)置
訪問ＩＰ白名單、維護(hù)ＩＰ白名單及ＩＰ地址與ＭＡＣ地址綁
定、訪問方式等安防限制； 建立制度嚴(yán)格管理ＵＫｅｙ
使用。
（８）配電安全接入網(wǎng)關(guān)。禁止默認(rèn)賬戶、超級賬戶并
設(shè)置賬戶三權(quán)分立，設(shè)定滿足復(fù)雜度要求的密碼口令并定
期更換；禁用空余端口并采用一次性封貼封閉；細(xì)化終端
訪問主站的ＩＰ地址，保證主站訪問終端的ＩＰ地址、配電
終端與加密證書一一對應(yīng)；設(shè)置機(jī)密認(rèn)證默認(rèn)策略為全部
認(rèn)證，認(rèn)證失敗即阻止聯(lián)通策略，并細(xì)化設(shè)置主站與終端
的業(yè)務(wù)訪問協(xié)議、端口，禁止非業(yè)務(wù)協(xié)議、端口訪問；建
立管理制度管理配電安全接入網(wǎng)關(guān)ＵＫｅｙ的安全應(yīng)用。
２．７ 主站應(yīng)用與管理
（１）配電主站應(yīng)用軟件應(yīng)通過國運(yùn)檢、國調(diào)控、省運(yùn)
檢、省調(diào)控、中國電科院、省電科院組織的工程化、實(shí)用
化驗(yàn)收中的安防驗(yàn)收；通過電力安全測評實(shí)驗(yàn)室組織的公
安部等保測評。
（２）配調(diào)員、維護(hù)員對配電自動(dòng)化訪問要采用雙因子
認(rèn)證；配電自動(dòng)化系統(tǒng)程序、業(yè)務(wù)、人員使用密碼必須符
合密碼復(fù)雜度要求并定期進(jìn)行更換且不能重復(fù)。
（下轉(zhuǎn)第５２頁）
４９
電氣設(shè)計(jì)　電工技術(shù)
　　!"#$%
!!!"#$%&amp;amp;'()"&amp;amp;()
間短路后備保護(hù)動(dòng)作時(shí)間配合整定，若低壓過流保護(hù)動(dòng)作
時(shí)間短于主變壓器相間短路后備保護(hù)動(dòng)作時(shí)間或機(jī)組后備
保護(hù)動(dòng)作時(shí)間，可能導(dǎo)致跳閘范圍擴(kuò)大。
某電站主變壓器后備保護(hù)最長動(dòng)作時(shí)間為３ｓ，機(jī)組
失磁保護(hù)動(dòng)作時(shí)間按躲過系統(tǒng)最大振蕩時(shí)間?。保担?，低
電壓過流保護(hù)動(dòng)作時(shí)間為１ｓ。某年，某電站勵(lì)磁系統(tǒng)改
造后，第一次抽水試驗(yàn)時(shí)根據(jù)以往經(jīng)驗(yàn)未投入“恒功率運(yùn)
行方式”。抽水機(jī)組并網(wǎng)后，勵(lì)磁系統(tǒng)一直處于電流控制
模式，未切換至電壓控制模式。機(jī)組升負(fù)荷過程中，勵(lì)磁
電流未隨之上升，導(dǎo)致機(jī)端電壓下降，機(jī)組從系統(tǒng)中大量
吸收無功功率（機(jī)組容量為３００ＭＷ，最大吸收無功為２７０
ＭＷ），達(dá)到低壓過流保護(hù)動(dòng)作條件，延時(shí)１ｓ后低壓過流
保護(hù)動(dòng)作，將５００ｋＶ 開關(guān)跳閘，同一間隔內(nèi)的機(jī)組也隨
之跳閘。進(jìn)一步分析事故可知，勵(lì)磁系統(tǒng)故障使得機(jī)組處
于低勵(lì)狀態(tài)，失磁保護(hù)已啟動(dòng)，但因失磁保護(hù)動(dòng)作延時(shí)
１．５ｓ，低壓過流保護(hù)延時(shí)１ｓ，故低壓過流保護(hù)先于失磁
保護(hù)動(dòng)作，導(dǎo)致事故擴(kuò)大。該電站低壓過流保護(hù)應(yīng)按照與
主變壓器后備保護(hù)的動(dòng)作時(shí)間配合整定，延時(shí)?。常?，則
動(dòng)作時(shí)間長于失磁保護(hù)動(dòng)作時(shí)間的１．５ｓ，可避免５００ｋＶ
開關(guān)及相鄰機(jī)組跳閘。
②低壓過流保護(hù)動(dòng)作于跳本機(jī)組時(shí)動(dòng)作時(shí)間整定錯(cuò)
誤。低壓過流保護(hù)動(dòng)作于跳本機(jī)組時(shí)，作為機(jī)組的后備保
護(hù)，其動(dòng)作時(shí)間應(yīng)與機(jī)組后備保護(hù)動(dòng)作時(shí)間配合整定。按
照ＤＬ／Ｔ６８４—２０１２《大型發(fā)電機(jī)變壓器繼電保護(hù)整定計(jì)算
導(dǎo)則》４．２．１與主變壓器后備保護(hù)的動(dòng)作時(shí)間配合，低壓過
流保護(hù)動(dòng)作時(shí)間一般?。常担笞笥?，按發(fā)電機(jī)組后備保護(hù)
整定，其動(dòng)作時(shí)間應(yīng)長于失磁保護(hù)動(dòng)作時(shí)間，一般取２ｓ
左右。若低壓過流保護(hù)動(dòng)作時(shí)間整定錯(cuò)誤，則可能導(dǎo)致機(jī)
組發(fā)生故障時(shí)，低壓過流保護(hù)不能迅速切除故障。
４ 結(jié)語
繼電保護(hù)作為切除故障的第一道防線和防止故障擴(kuò)大
造成停電事故的最后一道防線，是保證電力設(shè)備安全和限
制大面積停電最基本、最重要、最有效的手段。在今后的
工作中還需對低壓過流保護(hù)整定和配置進(jìn)行規(guī)范，以期更
好地發(fā)揮其作用，防止故障擴(kuò)大，確保抽水蓄能電站的安
全穩(wěn)定運(yùn)行。
參考文獻(xiàn)
［１］ＤＬ／Ｔ６８４—２０１２大型發(fā)電機(jī)變壓器繼電保護(hù)整定計(jì)算導(dǎo)則
［Ｓ］．
［２］許正亞．發(fā)電廠繼電保護(hù)整定計(jì)算及其運(yùn)行技術(shù)［Ｍ］．北京：
中國水利水電出版社，２０１７．
［３］ＤＬ／Ｔ５５９—２００７２２０ｋＶ～７５０ｋＶ 電網(wǎng)繼電保護(hù)裝置運(yùn)行
整定規(guī)程［Ｓ］．
［４］ＧＢ／Ｔ１４２８５—２００６繼電保護(hù)和安全自動(dòng)裝置技術(shù)規(guī)程［Ｓ］．
［５］高春如．大型發(fā)電機(jī)組繼電保護(hù)整定計(jì)算與運(yùn)行技術(shù)［Ｍ］．２
版．北京：中國電力出版社，２０１０．
（上接第４９頁）
　?。ǎ常┡潆娮詣?dòng)化系統(tǒng)遙控要采用雙席認(rèn)證，必須執(zhí)行
人、監(jiān)護(hù)人同時(shí)認(rèn)證才可進(jìn)行遙控。禁用批量遙控功能，
以防主站被惡性使用。
（４）配電主站機(jī)房內(nèi)無線信號必須進(jìn)行屏蔽處理，機(jī)
房內(nèi)任何設(shè)備滿足不能通過無線方式與外界通信的要求。
（５）進(jìn)入機(jī)房要采用雙因子認(rèn)證，配電主站機(jī)房內(nèi)設(shè)
備一般要求２ｈ巡視一次，有特殊需要時(shí)０．５～１ｈ巡視一
次；巡視人員中必須有監(jiān)督人員，巡視前必須履行審批手
續(xù)；巡視時(shí)需做詳細(xì)記錄。
３ 結(jié)語
在工程建設(shè)時(shí)遵循國家對電力信息系統(tǒng)安全要求，加
強(qiáng)配電自動(dòng)化系統(tǒng)安全防護(hù)設(shè)計(jì)；在運(yùn)維時(shí)對配電自動(dòng)化
系統(tǒng)涉及的主站、通信、配電終端、網(wǎng)絡(luò)設(shè)備、安防邊界
設(shè)備等各環(huán)節(jié)根據(jù)安防需求建立運(yùn)維管理制度。通過在工
程設(shè)計(jì)、運(yùn)行、維護(hù)、管理各環(huán)節(jié)時(shí)刻保證配電自動(dòng)化系
統(tǒng)在安全運(yùn)行狀態(tài)，才能確保配電網(wǎng)的安全、穩(wěn)定、可靠
運(yùn)行。
參考文獻(xiàn)
［１］王良．智能配電網(wǎng)自動(dòng)化應(yīng)用實(shí)踐的幾點(diǎn)探討［Ｊ］．電力系統(tǒng)
保護(hù)與控制，２０１６，４４（２０）：１２１６．
［２］杜嚴(yán)行．面向配電網(wǎng)調(diào)控的ＤＡＳ實(shí)施與應(yīng)用問題探討［Ｊ］．
供用電，２０１７，３４（１０）：６７７１．
［３］崔健，馮斐斐，杜?，等．電力無線通信安全隱患及防護(hù)技術(shù)
［Ｊ］．?dāng)?shù)字通信，２０１５（１０）：８９．
［４］康榮保，張曉，張旭博．一種配電ＳＣＡＤＡ 通信安全防護(hù)系統(tǒng)
的設(shè)計(jì)［Ｊ］．通信技術(shù)，２０１８，５１（５）：１１９３１１９８．
［５］陳路．配電自動(dòng)化系統(tǒng)安全防護(hù)技術(shù)［Ｊ］．電力安全技術(shù)，
２０１６，１８（２）：１２１５．
［６］左高，方金國，向馳，等．配電自動(dòng)化終端設(shè)備中信息安全加
密模塊設(shè)計(jì)［Ｊ］．電力系統(tǒng)自動(dòng)化，２０１６，４０（１９）：１３４１３８．
［７］鄭鐵軍，胡強(qiáng)暉．配電自動(dòng)化主站系統(tǒng)二次安防的設(shè)計(jì)應(yīng)用
［Ｊ］．寧夏電力，２０１５（３）：１９２６．
［８］孫少華，楊林慧，李海龍．青海電力信息網(wǎng)絡(luò)安全防護(hù)體系設(shè)
計(jì)［Ｊ］．青海電力，２０１７，３６（３）：２６２９．
［９］張浩然，耿戰(zhàn)霞，鹿海成．跨正向隔離裝置文件傳輸協(xié)議的設(shè)
計(jì)與實(shí)現(xiàn)［Ｊ］．科技創(chuàng)新與應(yīng)用，２０１７（２４）：１０１１０３．
５２
電工技術(shù)　電氣設(shè)計(jì)

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

03-05