风电企业网络安全防护体系建设探讨

导语：风电企业网络安全防护体系建设探讨一文来源于网友上传，不代表本站观点，若需要原创文章可咨询客服老师，欢迎参考。

风电场的特点是单机容量小、地域分布广、数量庞大、机型繁多。早期的风电场多采用分散化的管理方式。由于风电场多地处偏远，气候环境相对恶劣，信息沟通受到限制，现场人员受到相对孤立的工作环境制约，缺少及时有效的技术支持。加之风力发电尚处于行业初期的高速发展阶段，设备更新换代较快，各种新技术正在不断冲击着我们尚未成熟的生产运维管理体系，分散化管理不利于风电场实现精益化管理和培养高水平技术人才。风电场集中控制中心是一套集计算机软件技术、计算机网络技术、自动监控与远程监控技术、通信技术及相关专业技术于一体的高效、稳定的风电场专业信息管理系统，为电站的正常运行和管理提供技术保障[1]，实现区域集中运行监控和规模化的检修维护，减少在恶劣环境中值守的运行人员，实现人性化管理；通过先进的信息技术能对风机、升压站、风塔、视频监控等设备的实时数据进行采集、处理和分析，充分发挥大数据的优势，进行故障分析和诊断，及时发现风电场运行中存在的问题，为风电场的运行提供依据。通过对不同风电场之间运营数据的多维对比分析，结合天气、人员、资金、库存等因素，进一步优化风电场运营管理模式，实现生产移动应用系统等新技术的应用，使风电场效益最大化[2]。鉴于此优势，各大风电企业都在开展区域风电集控中心建设。但在风电集控中心建设过程中，抵御日新月异的互联网威胁，保护敏感信息安全，进行监控系统的网络安全防护也是不可或缺的。

1风电集控中心的系统结构

风电集控中心的主要功能是实现对风电场的监视、控制和管理，实现“无人值班、少人值守、远程集控、统一调度”的科学管理模式。监控系统应具备与风电场内的风电机组数据采集与建设控制（SCADA）系统、升压站综合自动化系统、电能量计量系统、风功率预测系统通信的能力，并具备遥测、遥信、遥控、遥调等远动功能，以及与电网调度机构交换实时信息的能力。风电集控中心由主站系统、数据通信链路以及子站系统三部分组成[3]，包括但不限于数据通信子系统、数据采集子系统、SCADA子系统、生产管理信息子系统、远程视频/音频子系统、高级应用子系统等。其中，数据通信子系统、数据采集子系统、SCADA子系统为基本子系统，生产管理信息子系统、远程视频/音频子系统、高级应用子系统等可以根据实际情况进行删减，亦可增加其他功能子系统。主站系统部署在集控中心，实现风电企业对所辖子站的信息采集、监视、控制、管理，为运行人员提供人机交互界面。一般由前置采集服务器、运行监控服务器、实时数据库服务器、历史数据库服务器、各种监控业务服务器、磁盘阵列、交换机、路由器等网络设备以及纵向加密装置、隔离装置、防火墙等安全防护设备组成。数据通信链路是为集控中心与风电场提供的电力专用数据网络，承载场站监控等业务。宜选择电力专用通信网络，并采用加密、单向认证等技术保护关键场站及关键业务。当不具备采用电力专线条件时，可采用运营商虚拟专线。子站系统部署在风电场站，实现对风电场站监控系统、风机主控系统、升压监控等数据的采集，并通过专用网络上传到主站系统，同时接收主站指令，完成风机、开关等电气设备的调节与控制。一般由数据采集服务器、交换机、路由器等网络设备以及纵向加密装置，防火墙等安全防护设备组成。

2风电集控中心安全区域划分

按照国家发改委2014年第14号令《电力监控系统安全防护规定》的具体要求，发电企业、电网企业内部基于计算机和网络技术的业务系统应当划分为生产控制大区和管理信息大区。生产控制大区可以划分为控制区（安全区I）和非控制区（安全区II）；管理信息大区内部在不影响生产控制大区安全的前提下，可以根据各企业的不同要求划分安全区。控制区（安全区I）直接实现对电力一次系统的实时监控，纵向使用电力调度数据网络或专用通道，是安全防护的重点与核心；非控制区（安全区II）在线运行但不具备控制功能，使用电力调度数据网络，与控制区中的业务系统或其功能模块联系紧密；管理信息大区是指生产控制大区以外的电力企业管理业务系统的集合[4]。根据风电集控中心的功能定位，也必须按照此规定进行安全区域划分及建设[5]。

3风电集控中心网络安全防护现状

2015年12月23日和2016年12月18日，一年之内乌克兰电网系统遭受了两起由黑客入侵而引发的严重停电事故。其中，前一起被认为是世界上首起公开的针对电网基础设施的网络信息攻击事件[6]，直接造成70万个家庭在圣诞前夜陷入了一片黑暗。2017年，某省能源监管办对当地的风电、光伏电站进行多次现场核查，经核查发现，43个光伏电站、风电场存在重大隐患，经过数月时间后，相关问题及隐患得到及时整改。该省电力调度控制中心在2017年3月28日下午起，将这些新能源电站强制与电网解网，并切断站场与调度数据网的连接。2018年3月28日11时45分，某省电力调度控制中心内网安全监视平台出现大量告警，且告警数量在急剧增加。经分析确认，告警信息为某风电场省调接入网非实时纵向加密认证装置拦截的不符合安全策略的非法访问，发出非法访问的源地址为站内风功率预测服务器，观察一段时间后发现告警数量在不断增加并无减少迹象。从11时45分到14时51分断网，平台共收到告警信息数量为326554条。通过这些真实案例，集控中心及风电场暴露出大量电力监控系统的安全漏洞，主要有以下安全问题。3.1集控中心及风电场生产控制大区内缺少安全防护措施。集控中心和风电场的信息网络安全防护手段主要集中在生产控制大区与管理信息大区的网络边界之间，生产控制大区与电网调度系统网络边界之间，生产控制大区与第三方监管机构网络边界之间，通常使用网络隔离产品与安全加密类产品。但是，在生产控制大区内部缺少有效的网络信息安全防护手段及措施。3.2工业控制系统自身存在漏洞、防护措施薄弱。集控中心和风电场使用的工业控制系统在硬件设计开始时很少考虑安全问题，导致安全漏洞的出现。如施耐德公司的67160型PLC存在IP分片语法拒绝服务漏洞（CNVD-2016-07839），这些高危漏洞的存在给电力行业信息网络安全带来无法估量的安全风险。3.3操作系统存在漏洞。目前大多数集控中心及风电场控制系统的工程师站/操作员站/HMI采用的是Windows平台，Windows平台存在大量的安全漏洞。为保证过程控制系统的相对独立性，同时考虑到系统的稳定运行，通常现场工程师在系统运行后不会对Windows平台安装任何补丁，安全隐患很大[7]。而且在传统观念上认为相对安全的Linux、Unix等系统，近年来也爆发了大量高危漏洞，这些系统在使用的过程中也需要对系统进行漏洞管理工作。3.4应用软件存在漏洞。由于集控中心及风电场使用的SCADA控制软件多为各企业定制化产品，在软件开发阶段缺少安全设计，导致这类软件存在大量的安全漏洞[6]。3.5杀毒软件自身缺陷。为了确保集控中心及风电场工控系统应用软件的可用性，许多工控主机通常不安装杀毒软件。即使安装了杀毒软件，在使用过程中也有很大的局限性，如杀毒软件与其他应用软件兼容性问题、病毒库受到网络限制无法正常更新等问题，都是造成杀毒软件无法在风力发电行业大量使用的原因。而且杀毒软件对新病毒的处理总是滞后的，导致每年都会爆发大规模的病毒攻击，特别是新出现的病毒无法及时进行查杀工作。3.6多种网络途径切入点通过分析多个网络安全事件，恶意攻击主要源于对多种网络入口接入点疏于防护，包括USB接口类移动存储介质、远程维护通道、移动便携式设备等，都可以随意接入到网络中。这些介质、维护通道、便携设备的自身安全问题也会给网络造成安全隐患。3.7安全策略和管理流程漏洞在许多工业控制系统中，以牺牲安全为代价追求可用性是一种常见的现象。缺乏完整和有效的安全政策和管理程序也对工业控制系统的信息安全构成一定的威胁。例如，工业控制系统中任意使用移动存储介质（包括笔记本电脑、USB驱动器等设备），防火墙的访问控制策略松懈等。

4风电集控中心网络安全防护方案

按照“安全分区、网络专用、横向隔离、纵向认证”的建设原则，采用主动防护，综合监控等安全手段，对风电集控中心监控系统进行安全防护建设工作，满足网络、主机、数据库等多方面的安全要求。

作者:张树晓 单位:中国大唐集团新能源科学技术研究院有限公司