前言：尋找寫作靈感？中文期刊網用心挑選的變電站網絡立體化信息安全防護模型，希望能為您的閱讀和創作帶來靈感，歡迎大家閱讀并分享。
【摘要】隨著變電站信息化程度的不斷提高以及智能變電站的建設推廣，對變電站網絡的安全穩定運行提出了更高的要求，本文主要針對變電站網絡提出了一種立體化信息安全防護模型，通過對不同類型的業務進行細分，從業務層和傳輸層對變電站網絡的網絡結構、安全策略統籌考慮，根據“分區分域”的信息安全防護原則，對濰坊供電公司所屬變電站網絡實施了改造，取得了良好的效果。
【關鍵詞】變電站網絡；信息安全防護；分區分域
1業務需求及應用場景
進入21世紀以來，隨著信息化的發展，電力企業對信息通信網絡的需求程度越來越高，尤其是隨著智能變電站的發展，電力專網對變電站信息的采集、傳輸、處理模式產生了根本性的變化[1]，變電站信息網絡的網絡流量之多都是空前的，因此研究合理的變電站信息安全模型，從網絡業務分類、網絡結構、安全策略等多種角度綜合應用保障變電站信息安全迫在眉睫。目前，濰坊公司根據變電站氣象監測、電能監測、環境監測、防雷監測、隧道監測等方面的非控制類輔助監測需求，建設了監測網絡承載在線監測系統平臺、變壓器色譜在線監測系統、電能質量在線監測系統、電纜隧道監測系統及變電站智能巡檢機器人等五種輔助監測應用，今后隨著對輔助監測業務的需求增多還將會不斷擴展。針對變電站網絡業務增長的需求，鑒于變電站在電網中所處位置的極端重要性，對其信息網絡架構的設計不能僅僅考慮其便利性，更重要的是確保如何保證變電站信息網絡的安全性，濰坊公司根據分區分域的信息安全防護原則，對涉及變電站的信息網絡進行了改造，按照獨立網絡區域建設的模式，完成了變電站環境監測采集專網的建設，下面將對在網絡建設過程中針對信息安全防護所做的嘗試進行探討。
2變電站網絡面臨的主要信息安全威脅
隨著電力專網的深入發展，接入電力專網的變電站監測及控制系統越來越多，對變電站信息網絡的安全性、可靠性、實時性提出了嚴峻的挑戰。從外部來看，隨著Internet技術的廣泛應用，以網絡為主要傳播途徑的病毒和黑客也日益猖獗。變電站信息網絡安全問題日益突出。變電站信息網絡的安全需求主要包括系統對外來破壞具有健壯性；對操作人員不規范操作具有預防性；系統自身信息具有封閉性以及數據的完整性、機密性和可用性[2~3]。變電站網絡安全威脅主要來自兩方面：變電站內部網絡以及變電站所連接的外部網絡，這里主要是指公司信息內網。對變電站網絡構成的安全威脅主要包括[4~7]：（1）截獲：非法獲取變電站與其他系統之間傳輸的信息及變電站網絡中存儲的信息，信息截獲盡管不會影響信息的傳輸，但往往是變電站網絡系統遭受安全侵害的第一步；（2）中斷：使變電站內部或與其他系統之間的通信中斷，使主站無法了解變電站的運行工況，主站的控制命令也無法正確執行，對無人值守變電站危害較大；（3）篡改：更改變電站與其它系統之間傳輸的信息，使主站得到錯誤的運行工況，威脅電網的安全運行，如果篡改的是遙控命令，修改定值命令等，更有可能造成嚴重的后果；（4）偽造：偽造合法信息發往變電站或主站，可能造成與篡改信息類似的后果；（5）惡意程序：包括計算機里蠕蟲、特洛伊木馬、邏輯炸彈等計算機病毒，將嚴重影響變電站自動化系統運行的正確性、實時性和可靠性，甚至通過數據加密造成數據損壞，可能使運行程序崩潰、數據丟失。針對變電站面臨的內部和外部安全威脅，根據當前以及未來濰坊公司變電站信息網絡可能承載的業務類型，在建設過程中重點考慮了其信息安全防護設計，并針對性的提出了相應的信息安全防護模型。
3信息安全防護模型設計
在我們變電站網絡信息安全防護模型的設計過程中，不僅僅需要考慮變電站網絡承載的不同業務類型，同時考慮到各變電站業務是相同的，但由于地理位置的不同，每一個變電站信息網絡又可以作為一個獨立的個體看待，因此必須考慮各變電站的信息安全防護獨立性，以避免由于一個變電站存在安全威脅而影響整個變電站網絡乃至整個電力內網的安全。為了實現對變電站網絡立體化安全防護，我們設計的信息安全防護模型可以從業務網絡層面和傳輸網絡層面分析。在業務層面，按照獨立網絡區域建設的模式，對涉及變電站的生產辦公網絡進行了功能細分，將變電站輔助監測業務和辦公業務進行分離，單獨組網，完成變電站環境監測采集專網建設，在變電站側實現物理隔離。專網與信息內網采用不同的IP地址規劃，并分別在專網與信息內網的邊界進行防火墻、IPS等安全設備及安全策略的部署，對變電站網絡進行訪問控制。變電站環境監測采集專網內部的不同應用采用vlan劃分的方式進行邏輯隔離。同時根據業務需求的不同，配置了不同的安全訪問控制策略。變電站環境專網具有更強的獨立性，不允許采集專網設備與信息內網用戶互通。通過在與信息內網的邊界防火墻上部署訪問控制策略和對環境專網服務器實現一對一NAT轉換，只允許公司信息內網用戶訪問環境專網服務器，禁止訪問環境監測專網終端設備。在傳輸層面，濰坊公司采用的通道是PTN組網方式，為了更好的在傳輸通道實現業務隔離，我們采用PTN傳輸二層數據的能力，同時為了將各個變電站網絡實現隔離，我們比較了兩種PTN業務模型：ELAN業務模型：是用VPLS技術實現的，VPLS是一種多點L2VPN（L2VPN就是在分組交換網絡中透明傳輸用戶的二層數據）技術，VPLS事例中的所有CE設備都好像在同一個局域網上，因此，它們都可以直接與多點拓撲中的另外一設備通信，而不需要為CE設備建立全網狀點到點的電路。簡言之是多點到多點通信。ETREE業務模型：類似于EPON的點到多點業務，根節點到葉節點，葉節點到根節點可以通信，葉節點之間不能通信。由上面兩種PTN業務模型的分析可以看出，只有E-TREE滿足各變電站網絡獨立的要求，即每個變電站網絡作為葉節點只能與根節點（主站核心交換機）進行通信，各變電站之間不能通信。以上對立體化信息安全防護模型的分析，下面我們將介紹濰坊公司將此模型應用于變電站網絡建設的具體實施方案。
4具體實施方案制訂
將變電站環境監測采集專網分別劃分為網絡邊界區域、核心層、接入層、業務服務器區域。（1）IP地址規劃：分為以下幾個部分：網絡設備互聯地址、網絡設備管理地址、用戶地址等。專網與信息內網采用完全不同的私網地址規劃。（2）vlan規劃：在環境監測采集專網核心交換機規劃vlan，如環境監測專網核心交換機根據承載業務類型的不同規劃VLAN。（3）路由規劃：環境監測專網只允許內網用戶訪問經過一對一NAT轉換后的環境監測專網服務器，配置靜態路由，信息內網核心交換機不配置回傳路由。（4）安全策略規劃：按照信息安全防護模型中的安全策略要求配置。5結語信息網絡是變電站的神經系統，選擇合適的信息安全防護模型對變電站網絡的可靠性、安全性和經濟性起著舉足輕重的作用。因此在設計信息安全防護模型不僅需要考慮變電站信息業務的特點，對變電站網絡獨立性的考慮同樣十分重要。本文通過介紹濰坊公司在變電站專網的建設過程中實現的立體化的信息安全防護模型，已經在實踐中得到了檢驗，取得了良好的效果。
參考文獻
[1]王甜，徐暉，魏理豪，楊浩.電力信息安全保障體系建設研究[J].廣東電力，2010（05）.
[2]高卓，羅毅，涂光瑜，吳彤.變電站的計算機網絡安全分析[J].電力系統自動化，2002（01）.
[3]張馴，李志茹，袁暉，龔波.智能電網信息系統安全防護措施研究與探討[J].電力信息與通信技術，2015（02）.
[4]張道銀.智能變電站信息安全技術研究[J].電力信息與通信技術，2015（01）.
[5]鄒維福，陳景暉，林溫南，施蔚錦，楊偉.智能變電站威脅分析及防護體系設計[J].電力信息與通信技術，2014（02）.
[6]張馴，李志茹，袁暉，等.智能電網信息系統安全防護措施研究與探討[J].電力信息與通信技術，2015，13（2）：110~114.
[7]楊文征，郭創新，曹一家，易永輝.數字化變電站信息安全分析及其防范措施研究[J].機電工程，2007（09）.
作者:譚虎 劉新 劉冬蘭 井俊雙 單位:國網山東省電力公司電力科學研究院