前言：尋找寫作靈感？中文期刊網用心挑選的電鐵牽引變電所網絡安全防護探究，希望能為您的閱讀和創作帶來靈感，歡迎大家閱讀并分享。
摘要：智能化牽引變電所是我國鐵路發展的重要方向，牽引變電所供電及保護設備集成度不斷加強，設備之間需要通過網絡進行大量的數據交換，但目前鐵路內網缺乏保障變電所網絡安全的措施。本文提出利用諧波調制技術對所用電電源進行濾波穩壓，保證網絡防護設備電源的穩定性；將變電所內設備進行安全性分區，采用物理隔離和邏輯隔離的方式保證不同安全分區內的數據交換安全。
關鍵詞：網絡安全防護；安全分區；雙隔離
0引言
隨著“八縱八橫”高速鐵路網逐步建成，我國鐵路逐步進入到智能化發展階段，新技術的應用及快速增長的智能化業務需求與信息安全之間的矛盾不斷顯現。電氣化鐵路牽引變電所供電及保護設備集成度不斷增強，設備之間存在大量的信息交換，但目前鐵路內網缺乏保障變電所供電系統網絡安全的措施，容易遭到黑客及惡意代碼等各種形式的惡意攻擊和破壞，甚至遭受到集團式攻擊，嚴重時可導致電氣化鐵路牽引變電所內網絡系統崩潰，嚴重影響鐵路的正常運行[1]。因此，面對嚴峻的鐵路供電網絡安全形勢，電氣化鐵路牽引變電所網絡的安全防護研究勢在必行?，F階段智能化變電所是我國鐵路發展的主要方向，變電所內設備的高度集成化已成為必然趨勢。設備的高度集成要求設備的數量要降下來，設備的功能要多元化。為加強網絡防護，牽引變電所內部增加普通防火墻，雖然可以解決部分問題，但是，防火墻一般在進行IP包轉發的同時通過對IP包的處理實現對TCP會話的控制，對應用數據的內容不進行檢查。該工作方式無法防止泄密，也無法防止病毒和黑客程序的攻擊[2，3]。如果在防火墻的基礎上增加隔離裝置又與鐵路設備高集成度且功能多元化的要求背道而馳。由于鐵路供電電源電壓波動較大，網絡防火墻等網絡安全設備在此環境下很容易損壞，造成后期維護難度大、故障率高、使用效果不佳等問題。以某變電所為例，電網電能質量差，電壓諧波大，電壓波動范圍達到±30%。本文以電氣化鐵路牽引變電所內部數據傳輸網絡安全為主要研究內容，增強鐵路牽引變電所供電網絡的安全性，下文中簡稱變電所網絡安全；針對牽引所數據傳輸特性，分別對防火墻及網閘功能特性進行研究，開發適用于鐵路牽引所的功能，在此基礎上，提出集防火墻邏輯隔離功能和網閘物理隔離功能為一體的牽引所網絡安全防護方案。另外，針對鐵路牽引變電所所用變側電壓波動大的現狀，對鐵路供電網絡安全防護裝置交流供電的輸入電源模塊進行研究改進，利用諧波調制技術提高供電穩定性，從而增強網絡安全防護的可靠性。
1防護系統構架和總體設計
1.1防護框架。為解決電氣化鐵路牽引變電所網絡防護措施相對薄弱現狀，并且滿足鐵路設備高集成度且功能多元化的同時，又可以適應牽引變電所內惡劣的電源環境，本文提出如圖1所示的牽引變電所網絡安全防護系統架構。牽引變電所網絡安全系統構架包括邏輯隔離、物理隔離、深度過濾和安全通信數據交換4個層面，采用統一、靈活和高擴展性的鐵路牽引所網絡安全防護系統架構，在傳統的防護功能基礎上，高效集成了應用層安全防護功能。1.2防護方案總體設計。1.2.1安全分區。牽引變電所供電調度控制系統安全防護按照安全分區原則劃分為牽引變電所供電系統（生產控制大區）和輔助監控系統（管理信息大區）。牽引變電所供電系統是安全保護的重點與核心，直接實現對供電一次系統的實時監控。牽引變電所供電系統內部根據系統模塊部署，劃分為安全Ⅰ區以及安全Ⅱ區，2個區域之間通過鐵路供電網狀防護裝置進行隔離。輔助監控系統隔離裝置單向采集牽引變電所中數據，通過電力數據網將數據上送給電力調度中心。牽引變電所數據傳輸拓撲結構如圖2所示。1.2.2網絡專用。牽引變電所通過電力調度數據網接入到電力調度中心，實現電力監控數據上傳。牽引變電所中輔助監控系統通過專線網絡接入鐵路調度中心，傳輸通道為專用光纖通道。1.2.3雙隔離模式。牽引變電所綜合自動化系統與輔助監控系統之間設置專用物理隔離，實現從牽引變電所電力監控系統到輔助監控系統的非網絡方式的單向數據傳輸，是牽引變電所電力監控系統到輔助監控系統的唯一數據傳輸途徑。嚴格禁止E-Mail、Web、Telnet、Rlogin、FTP等通用網絡服務和以B/S或C/S方式的數據庫訪問穿越物理安全隔離，僅允許純數據的單向安全傳輸，禁止安全風險高的通用網絡服務穿越該邊界。
2防護系統關鍵技術研究
2.1物理安全。物理設備的可靠工作是一切網絡安全的基礎，為了保證物理設備可靠運行，應在施工中做到以下幾點：墻體砌筑及粉刷時，嚴格按照設計施工，控制施工工藝，保證防水、防火、防潮效果；控制室堅持“隨手關門，人走門閉，鑰匙統一管理”，避免外來破壞及盜竊；部署防盜報警系統，對生產樓進行24小時持續監視，避免異常情況發生；設置柜體等一次系統專用接地和二次設備專用等電位接地措施，所有設備按規范接地。
2.2雙隔離模式。2.2.1邏輯隔離。邏輯隔離包含學習模式、防護模式、警告模式。在學習模式狀態下，業務全通，IAF會智能學習通信中的流量，并自動產生對應的防護規則，管理中心可以采用專家鑒別的方式決定哪些可以通信，哪些不允許通信；在警告模式狀態下，業務全通，IAF會依據系統策略對符合安全策略的放行，對不符合安全策略的通信進行告警，供專業人員參考判斷；在防護模式狀態下，業務按照系統設定的策略進行防護。對于符合策略的進行放行，并記錄日志，對不符合安全策略的通信以及入侵等攻擊行為進行阻斷，并通過日志、郵件等方式告警。2.2.2物理隔離。物理隔離實現2個安全區之間的非網絡方式的安全數據交換，并保證安全物理隔離內外2個處理系統不同時聯通；在安全島硬件上保證從低安全區到高安全區的TCP應答禁止攜帶應用數據，防止病毒和黑客非法訪問；支持表示層與應用層數據完全單向傳輸，即從安全區Ⅲ到安全區Ⅱ的TCP應答禁止攜帶應用數據的工作模式；支持多種工作模式：無IP地址透明工作方式（虛擬主機IP地址、隱藏MAC地址）、網絡地址轉換（NAT）、混雜工作模式，保證標準應用的透明接入；基于MAC、IP、傳輸協議、傳輸端口以及通信方向的綜合報文過濾與訪問控制；防止穿透性TCP連接：禁止內網、外網2個應用網關之間直接建立TCP連接，將內外2個應用網關之間的TCP連接分解成內外2個應用網關分別到隔離裝置內外2個網卡的2個TCP虛擬連接。隔離內外2個網卡是非網絡連接，且只允許數據單向傳輸；提供完備的日志審計功能，如時間、IP、MAC、PORT等日志信息。對通過防護系統進入內網的應用數據及未通過防護系統而被丟失的應用數據進行完整記錄。支持系統告警，支持完備的安全事件告警機制，當發生非法入侵、通信中斷或丟失應用數據時，可通過隔離防護系統專用的告警串口或網絡輸出報警信息，日志格式遵循Syslog標準，方便用戶管理[4，5]。
2.3諧波調制。諧波調制技術采用LC濾波方法濾除電源中的高次諧波，然后進行交直交轉換，保持電源電壓穩定，實現寬范圍為設備供電，保證網絡防護設備在鐵路供電的惡劣條件下穩定運行，從而維持網絡防護系統的穩定性。
3結語
本文針對電氣化鐵路牽引變電所內網安全提出一種防護方案，利用諧波調制技術對網絡防護設備等接入的電源進行濾波穩壓，保證網絡防護電源的穩定性；對牽引所進行安全分區，提出使用雙隔離技術，保證高低兩個安全區網絡數據交換時的數據安全，有利于牽引所內部網絡抵御可能受到的各種攻擊，杜絕不安全事故或事件的發生。
作者:王朋成 單位:中鐵第一勘察設計院集團有限公司
