[發明專利]面向電力二次系統的安全防護系統

有效

• 申請號: 201310140641.2
• 申請日: 2013-04-22
• 公開（公告）號: CN103269332B
• 公開（公告）日: 2017-02-08
• 發明（設計）人: 周鵬;李建設;鄭志千;周華鋒;胡榮;梁志宏;江澤鑫;胡朝輝;周強峰
• 申請（專利權）人: 中國南方電網有限責任公司;廣東電網公司電力科學研究院
• 主分類號: H04L29/06
• 分類號: H04L29/06;H02J13/00
• 代理公司: 廣州華進聯合專利商標代理有限公司44224
• 代理人: 黃曉慶,王茹

1.一種面向電力二次系統的安全防護系統，其特征在于，包括：部署在生產控制區的應用安全設備及系統，以及部署在生產控制區、生產管理區、管理信息區的安全運維系統，設置在生產控制區與生產管理區之間的正反向隔離裝置，以及設置在生產管理區與管理信息區之間的專用通信網關；所述生產控制區包括電力二次系統實時或準實時業務的業務模塊，所述生產管理區包括對生產控制區的數據進行收集和管理的業務模塊，所述管理信息區包括進行信息管理的業務模塊。

2.根據權利要求1所述的面向電力二次系統的安全防護系統，其特征在于，所述應用安全設備及系統包括安全接入系統、部署在生產控制區的各業務模塊前端的安全控制系統，所述安全控制系統實現對電力二次系統中的服務請求者和服務提供者之間的訪問控制，所述安全接入系統實現對電力二次系統的各類遠程接入進行安全控制。

3.根據權利要求2所述的面向電力二次系統的安全防護系統，其特征在于，所述安全接入系統實現對電力二次系統的各類遠程接入進行安全控制的方式包括：

接收遠程用戶的身份認證請求，對該身份認證請求中的證書進行驗證遠程用戶是否為合法用戶，若為合法用戶，向所述遠程用戶返回驗證通過信息以及連接票據，由所述遠程用戶根據該連接票據與安全接入系統建立加密通道。

4.根據權利要求2所述的面向電力二次系統的安全防護系統，其特征在于，所述應用安全設備及系統還包括部署在生產控制區的各安全區業務模塊前端的應用安全代理，所述應用安全代理進行加解密及對服務請求者的身份合法性進行驗證。

5.根據權利要求4所述的面向電力二次系統的安全防護系統，其特征在于，所述應用安全代理進行加解密及對服務請求者的身份合法性進行驗證的方式包括：

對發出的應用層數據包進行加密和添加身份認證信息；

對接收的應用層數據包進行解密后提取用戶身份認證信息，根據用戶身份認證信息判斷用戶身份的合法性，若合法，將該應用層數據包向安全控制系統發送。

6.根據權利要求4所述的面向電力二次系統的安全防護系統，其特征在于，所述安全控制系統實現對電力二次系統中的服務請求者和服務提供者之間的訪問控制的方式包括：

接收安全應用代理發送的應用層數據包，將該應用層數據包的服務請求者的安全標記與所要調用的服務提供者的安全標記進行比對，根據比對結果判斷是否允許訪問，若允許訪問，將該應用層數據包轉發給所述服務提供者。

7.根據權利要求1所述的面向電力二次系統的安全防護系統，其特征在于，，所述安全運維系統實現對各設備的配置信息進行安全檢測管理，所述安全運維系統實現對各設備的配置信息進行安全檢測管理的方式包括：

將各設備的配置信息與對應的安全配置基線進行比對，在設備的配置信息發生變更或者設備的配置信息在安全配置基線的預設合理范圍之外時，發出告警信息。

8.根據權利要求1至7任意一項所述的面向電力二次系統的安全防護系統，其特征在于，該系統還包括部署在所述生產控制區與調度數據網絡的互聯邊界的縱向加密網關，用于對從生產控制區向調度數據網絡發送的數據包進行加密，對從調度數據網絡發向生產控制區的加密數據包進行解密。

9.根據權利要求1至7任意一項所述的面向電力二次系統的安全防護系統，其特征在于，還包括部署在所述生產管理區與綜合數據網絡的邊界的硬件防火墻，部署在所述管理信息區與綜合數據網絡的邊界的硬件防火墻。

10.根據權利要求1至7任意一項所述的面向電力二次系統的安全防護系統，其特征在于：

所述電力二次系統實時或準實時業務的業務模塊包括：能量管理模塊、繼電保護與故障錄波信息管理模塊、電能量計量模塊、廣域相量測量模塊、調度員培訓模塊；

所述進行信息管理的業務模塊包括：MIS信息管理系統、OA管理信息系統、人力資源管理信息系統。