摘要：隨著科學技術和網絡技術的發展，我國電力調度自動化系統網絡的建設取得了優異成績的同時，也存在著網絡安全級別較低、實時性，要求較低等多方面的安全隱患。本文按照網絡安全防范體系層次和網絡安全防范體系設計準則，分析了構建調度自動化網絡在安全方面實現的方法，并提出建立電力調度網絡安全機制的解決方案。
　　關鍵詞：電力調度；自動化；網絡建設；安全機制；
　　電力系統的迅猛發展需要完善、先進和實用的電網調度自動化系統來保證。目前國調及網、省調三級調度系統均已配備了電網調度自動化系統，并先于一次系統實現全國聯網。目前電力調度自動化主要完成SCADA功能(從廠站接收遙測、遙信數據，向廠站發送遙控、遙調、對時命令)、PAS功能(網絡建模、網絡拓撲、狀態估計、調度員潮流、負荷預報、靜態安全分析、無功／電壓優化控制)、系統接口(大屏幕、模擬屏、調度數據專網)、WEB服務與DTS功能(控制中心模型模塊、電力系統模型模塊和教員系統模塊，分別實現電力系統仿真操作、電網結構模擬、仿真流程控制及仿真效果考核)等，電網調度自動化系統框架如下圖所示。
　　
　　一、電網調度自動化系統物理層安全分析
　�。ㄒ唬�、環境安全
　　現在調度自動化機房完全能夠滿足國家標準GB5O173-93《電子計算機機房設計規范》、國標GB2887—89《計算站場地技術條件》、GB9361—88《計算站場地安全要求》。機房地板一般采用防靜電地板，機房溫度、濕度都在合理范圍內，環境溫度15℃至30℃；相對濕度10％至75％；火氣壓力86至108kPa。
　�。ǘ�）、設備安全
　　機房電源一般都采用大功率長延時電源，機柜一般采用標準機柜，服務器一般采用雙機冗余，地調和大型集控站基本上采用UNIX服務器，數據采集采用雙通道甚至三通道，在系統發生故障時可自動切換，保障系統的不間斷可靠運行。這里需要特殊說明的是，一定要定期查看UPS電源的狀況，防止電池久用漏液。
　�。ㄈ�）、傳輸介質安全
　　電力企業電磁干擾相對較重，在集控站可能更重一些，因此網線要采用屏蔽雙絞線，RJ45頭要采用屏蔽，RJ45頭。在制作RJ45插頭時要按順序將其排列整齊，緊緊插入RJ45插頭，用壓線鉗壓緊，注意盡量不要將裸露的雙絞線露出RJ45插頭之外，裸漏部分不能超過12MM，否則會造成近端串擾和回波損耗，引起網線通訊質量的下降。
　�。ㄋ模�、視頻監視設備
　　現在l10kV及其以下的變電站采用無人值班，怎么保證變電站設備的安全呢?現在變電站大都采用視頻監視系統，它是一種可靠的防護設備，能對系統運行的外圍環境、操作環境實施監控。
　�。ㄎ澹�、雙機共享磁盤陣列
　　雙機共享磁盤陣列是由兩臺服務器和共享存儲子系統組成的，每臺主機至少安裝兩塊網卡，一塊連接到網絡上，對外提供服務，另一塊相互與另一臺主機連接，用于偵測對方的工作狀況，每臺主機都連接在共享磁盤子系統上。由于早期計算機存儲設備比較昂貴，單個硬盤容量比較少，許多地調系統數據庫服務器采用雙機共享磁盤陣列(商用數據庫安裝在磁盤陣列上)，這在當時代表一種先進的技術，而且節約投資，通過多年運行下來，這種技術在安全性、可靠性不如雙數據庫服務器好，即使每臺服務器采用雙陣列卡，一旦磁盤陣列柜的某個元件損壞，整個系統就會癱瘓，而且這種技術也很難掌握，不符合網絡安全防范體系設計的方便用戶原則。
　　二、網絡層安全實現與防范
　　安全系統是建立在網絡系統之上的，網絡結構的安全是安全系統成功建立的基礎。在整個網絡結構的安全方面，主要考慮網絡結構、系統和路由的優化。網絡結構采用分層的體系結構，利于維護管理，利于更高的安全控制和業務發展。
　�。ㄒ唬�、網絡拓撲
　　網絡拓撲上主要考慮到冗余鏈路，地級以上調度網和大型集控站都采用雙網結構，數據采集通道甚至有2到3條備用鏈路。
　�。ǘ�）、網絡分段
　　網絡分段通常被認為是控制網絡廣播風暴的一種基本手段，但其實也是保證網絡安全的一項重要措施。其目的就是將非法用戶與敏感的網絡資源相互隔離，從而防止可能的非法偵聽，網絡分段可分為物理分段和邏輯分段兩種方式。目前，電力調度自動化局域網大多采用以交換機為中心、路由器為邊界的網絡格局，應重點挖掘中心交換機的訪問控制功能和三層交換功能，綜合應用物理分段與邏輯分段兩種方法，來實現對局域網的安全控制。
　　（三）、路由器、交換機網絡設備安全
　　網絡內的交換機、路由器往往也是攻擊者發起攻擊的對象，一旦交換機、路由器被攻擊，整個網絡就會存在癱瘓的嚴重后果，交換機、路由器內也是軟件系統，依賴的是固有的網絡操作系統IOS，解決它們的安全性問題應從管理終端口令、IOS自身漏洞等多方面來考慮。
　　（四）、網絡主機的操作系統安全和物理安全措施
　　防火墻作為網絡的第一道防線并不能完全保護內部網絡，必須結合其他措施才能提高系統的安全水平。在防火墻之后是基于網絡主機的操作系統安全和物理安全措施。按照級別從低到高，分別是主機系統的物理安全、操作系統的內核安全、系統服務安全、應用服務安全和文件系統安全;同時主機安全檢查和漏洞修補以及系統備份安全作為輔助安全措施。這些構成整個網絡系統的第二道安全防線，主要防范部分突破防火墻以及從內部發起的攻擊。系統備份是網絡系統的最后防線，用來遭受攻擊之后進行系統恢復。在防火墻和主機安全措施之后，是全局性的由系統安全審計、入侵檢測和應急處理機構成的整體安全檢查和反應措施。它從網絡系統中的防火墻、網絡主機甚至直接從網絡鏈路層上提取網絡狀態信息，作為輸人提供給入侵檢測子系統。入侵檢測子系統根據一定的規則判斷是否有入侵事件發生，如果有入侵發生，則啟動應急處理措施，并產生警告信息。而且，系統的安全審計還可以作為以后對攻擊行為和后果進行處理、對系統安全策略進行改進的信息來源。
　�。ㄎ澹�、網絡防火墻技術
　　目前技術最為復雜而且安全級別最高的防火墻是隱蔽智能網關,它將網關隱藏在公共系統之后使其免遭直接攻擊。隱蔽智能網關提供了對互聯網服務進行幾乎透明的訪問,同時阻止了外部未授權訪問對專用網絡的非法訪問。一般來說,這種防火墻的安全性能很高，是最不容易被破壞和入侵的。傳統意義上的防火墻技術分為三大類，“包過濾”、“應用代理”和“狀態監視”，無論一個防火墻的實現過程多么復雜，歸根結底都是在這三種技術的基礎上進行功能擴展的。
　　(1)包過濾技術。包過濾是最早使用的一種防火墻技術，它的第一代模型是“靜態包過濾”，使用包過濾技術的防火墻通常工作在OSI模型中的網絡層上，后來發展更新的“動態包過濾”增加了傳輸層，簡而言之，包過濾技術工作的地方就是各種基于TCP／IP協議的數據報文進出的通道，它把這兩層作為數據監控的對象，對每個數據包的頭部、協議、地址、端口、類型等信息進行分析，并與預先設定好的防火墻過濾規則進行核對，一旦發現某個包的某個或多個部分與過濾規則匹配并且條件為“阻止”的時候，這個包就會被丟棄。適當的設置過濾規則可以讓防火墻工作得更安全有效，但是這種技術只能根據預設的過濾規則進行判斷，一旦出現一個沒有在設計人員意料之中的有害數據包請求，整個防火墻的保護即變成了一種擺設。
　　(2)應用代理技術。由于包過濾技術無法提供完善的數據保護措施，而且一些特殊的報文攻擊僅僅使用過濾的方法并不能消除危害(SYN攻擊、ICMP洪水等)，因此人們需要一種更全面的防火墻保護技術，在這樣的需求背景下，采用“應用代理”技術的防火墻誕生了。一個完整的代理設備包含一個服務端和客戶端，服務端接收來自用戶的請求，調用自身的客戶端一個基于用戶請求的連接到目標服務器，再把目標服務器返回的數據轉發給用戶，完成一次代理工作過程。
　　(3)狀態監視技術。“狀態監視”技術在保留了對每個數據包的頭部、協議、地址、端口、類型等信息進行分析的基礎上，進一步發展了“會話過濾”功能，在每個連接建立時，防火墻會為這個連接構造一個會話狀態，里面包含了這個連接數據包的所有信息，以后這個連接都基干這個狀態信息進行，這種檢測的高明之處是能對每個數據包的內容進行監視，一旦建立了一個會話狀態，則此后的數據傳輸都要以此會話狀態作為依據，例如一個連接的數據包源端口是80，那么在以后的數據傳輸過程里防火墻都會審核這個包的源端口還是不是80，否則這個數據包就被攔截，而且會話狀態的保留是有時間限制的，在超時的范圍內如果沒有再進行數據傳輸，這個會話狀態就會被丟棄。狀態監視可以對包內容進行分析，從而擺脫了傳統防火墻僅局限于幾個包頭部信息的檢測弱點，而且這種防火墻不必開放過多端口，進一步杜絕了可能因為開放端口過多而帶來的安全隱患。
　　企業網絡安全的防范策略目的就是決定一個組織機構怎樣來保護自己。一般來說，安全策略包括兩個部分：一個總體的安全策略和具體的規則。總體安全策略制定一個組織機構的戰略性安全指導方針，并為實現這個方針分配必要的人力物力。一般是由管理層的官員來主持制定這種政策以建立該組織機構的信息系統安全計劃和其基本框架結構。
　　三、結束語
　　綜上所述，隨著現代科學技術的飛速發展，電力調度自動化系統網絡安全隱患已日益突出，這就要求我們電力部門要對此認真對待，深入研究，及時采取安全防護技術手段，建立嚴密的安全管理措施，以確保電力調度系統和電力系統的安全。
　　【參考文獻】
　　[1]高卓，羅毅，涂光瑜．變電站的計算機網絡安全分析[J]．電力系統自動化，2002，26(1)．
　　[2]王先培，熊平，李文武．防火墻和入侵檢測系統在電力企業信息網絡中的應用[J]．電力系統自動化，2002，26(5)．
　　[3]馮登國．網絡安全原理與技術[M]．北京：科學出版社，2003．