电力系统网络安全结构，一篇文章全看懂！

电力二次系统安全防护的总体原则是“安全分区、网络专用、横向隔离、纵向认证”。

一、关于安全分区

根据电力二次系统的特点，划分为生产控制大区和管理信息大区。生产控制大区分为控制区（安全区Ⅰ）和非控制区（安全区Ⅱ）。信息管理大区分为生产管理区（安全区Ⅲ）和管理信息区（安全区Ⅳ）。不同安全区确定不同安全防护要求，其中安全区Ⅰ安全等级最高，安全区Ⅱ次之，其余依次类推。

这是三个区之间的安全防护结构简图

一区，为实时区，是控制生厂区。

控制区的传统典型业务系统包括电力数据采集和监控系统、能量管理系统、广域相量测量系统、配网自动化系统、变电站自动化系统、发电厂自动监控系统等，其主要使用者为调度员和运行操作人员，数据传输实时性为毫秒级或秒级，其数据通信使用电力调度数据网的实时子网或专用通道进行传输。该区内还包括有采用专用通道的控制系统，如：继电保护、安全自动控制系统、低频（或低压）自动减负荷系统、负荷控制管理系统等，这类系统对数据传输的实时性要求为毫秒级或秒级，其中负荷控制管理系统为分钟级。

二区，为非实时区，是非控制生产区。

非控制区的传统典型业务系统包括调度员培训模拟系统、水库调度自动化系统、故障录波信息管理系统、电能量计量系统、实时和次日电力市场运营系统等，其主要使用者分别为电力调度员、水电调度员、继电保护人员及电力市场交易员等。在厂站端还包括电能量远方终端、故障录波装置及发电厂的报价系统等。非控制区的数据采集频度是分钟级或小时级，其数据通信使用电力调度数据网的非实时子网。

三区，四区为管理信息大区。

管理信息大区是指生产控制大区以外的电力企业管理业务系统的集合。管理信息大区的传统典型业务系统包括调度生产管理系统、行政电话网管系统、电力企业数据网等。电力企业可以根据具体情况划分安全区，但不应影响生产控制大区的安全。

安全区Ⅰ典型系统：调度自动化系统、变电站自动化系统、继电保护、安全自动控制系统等。

安全区Ⅱ典型系统：水库调度自动化系统、电能量计量系统、继保及故障录波信息管理系统等。

安全区Ⅲ典型系统：调度生产管理系统（DMIS）、雷电监测系统、统计报表、系统等。

安全区Ⅳ典型系统：管理信息系统（MIS）、办公自动化系统（OA）、客户服务系统等。

电力网络安全分区介绍：

​

二、关于调度双平面

双平面：指的是调度一平面和调度二平面。

两个平面属于调度端和厂站端的中间的通讯通道。双平面是通过地调及以上的调度端路由去汇聚起来的。通过不同等级的路由器，进行数据划分传输，最终把数据全部汇集到两个平面里面。

直观理解就是一个A网，一个B网，互为主备关系。属于一种冗余策略，确保当其中一个平面完全奔溃了，另外一个平面依然可以正常工作。

三、纵向加密、横向隔离和防火墙之间的区别

定义：

1.纵向加密：一般是指上级电力调度中心与下级电力调度相连，然后通过纵向加密装置来创建vpn隧道传输实时及非实时的业务数据用的，因为一旦业务数据经过加密（目前常用的算法有两种，rsa和sm2）黑客即便获取了报文也不能破解，因为隧道两端的加解密公钥和私钥是一一对应的，这样就保证了电力网络的相对安全。所以纵向加密所对应的实际的物理物品就是纵向加密装置，一般较多用在电厂侧和光伏电站侧及风电场侧。

2.横向隔离：隔离是为了安全防护，加强数据传输控制。隔离可以用在安全区之间，或者相同安全区的不同安全等级之间。隔离可以进行数据单向传输控制。隔离的本质是数据访问与传输过滤，主机隔离、端口隔离、数据库隔离、文件隔离、服务隔离等。物理隔离装置就是现在大家所说的网闸。安全隔离网闸是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接，并能够在网络间进行安全适度的应用数据交换的网络安全设备。

3.正向隔离：一般指安全等级低的主机访问安全等级高的主机。安全等级高的主机将数据传输给安全等级低的主机。

4.反向隔离：一般指安全等级高的主机访问安全等级低的主机。安全等级低的主机将数据传输给安全等级高的主机。

区别：

纵向加密是指数据包加密后传输。横向隔离是网络隔开，不加密你也访问不到。

纵向加密设备是用在调度中心上下级通信，而横向隔离设备是用在安全一区和二区三区之间通信，两者有着非常明显的区别，一个相当于纵向加密传输，一个相当于安全网闸。

那么物理隔离装置与防火墙的区别呢？

防火墙一般在进行IP包转发的同时，通过对IP包的处理，实现对TCP会话的控制，但是对应用数据的内容不进行检查。这种工作方式无法防止泄密，也无法防止病毒和黑客程序的攻击。无论从功能还是实现原理上讲，安全隔离网闸和防火墙是完全不同的两个产品，防火墙是保证网络层安全的边界安全工具（如通常的非军事化区），而安全隔离网闸重点是保护内部网络的安全。因此两种产品由于定位的不同，因此它们之间不能相互代替。

生产控制大区中的安全I区和II区，上下级用的是纵向加密认证装置，管理信息大区中上下级用的是防火墙，管理区对外用的也是防火墙。