[发明专利]面向电力二次系统的安全防护系统

摘要

一种面向电力二次系统的安全防护系统，包括部署在生产控制区的应用安全设备及系统，以及部署在生产控制区、生产管理区、管理信息区的安全运维系统，设置在生产控制区与生产管理区之间的正反向隔离装置，以及设置在生产管理区与管理信息区之间的专用通信网关；生产控制区包括电力二次系统实时或准实时业务的业务模块，生产管理区包括对生产控制区的数据进行收集和管理的业务模块，管理信息区包括进行信息管理的业务模块。本发明基于电力二次系统的技术特点和部署架构，对电力二次系统进行了重新分区，基于这种安全区的划分进行安全防护的部署，通过不同的层面实现对电力二次系统的纵深防护，提高了电力二次系统的安全性。

主权项

一种面向电力二次系统的安全防护系统，其特征在于，包括：部署在生产控制区的应用安全设备及系统，部署在生产控制区、生产管理区、管理信息区的安全运维系统，设置在生产控制区与生产管理区之间的正反向隔离装置，设置在生产管理区与管理信息区之间的专用通信网关，部署在所述生产管理区与综合数据网络的边界的硬件防火墙，部署在所述管理信息区与综合数据网络的边界的硬件防火墙，以及部署在所述生产控制区与调度数据网络的互联边界的纵向加密网关，所述纵向加密网关用于对从生产控制区向调度数据网络发送的数据包进行加密，对从调度数据网络发向生产控制区的加密数据包进行解密；所述生产控制区包括电力二次系统实时或准实时业务的业务模块，所述电力二次系统实时或准实时业务的业务模块包括：能量管理模块、继电保护与故障录波信息管理模块、电能量计量模块、广域相量测量模块、调度员培训模块；所述生产管理区包括对生产控制区的数据进行收集和管理的业务模块，所述管理信息区包括进行信息管理的业务模块，所述进行信息管理的业务模块包括：MIS信息管理系统、OA管理信息系统、人力资源管理信息系统；所述应用安全设备及系统包括安全接入系统、部署在生产控制区的各业务模块前端的安全控制系统、部署在生产控制区的各安全区业务模块前端的应用安全代理，所述安全控制系统实现对电力二次系统中的服务请求者和服务提供者之间的访问控制，所述安全接入系统实现对电力二次系统的各类远程接入进行安全控制，所述应用安全代理进行加解密及对服务请求者的身份合法性进行验证；所述安全控制系统实现对电力二次系统中的服务请求者和服务提供者之间的访问控制的方式包括：接收安全应用代理发送的应用层数据包，将该应用层数据包的服务请求者的安全标记与所要调用的服务提供者的安全标记进行比对，根据比对结果判断是否允许访问，若允许访问，将该应用层数据包转发给所述服务提供者；所述安全运维系统实现对各设备的配置信息进行安全检测管理，所述安全运维系统实现对各设备的配置信息进行安全检测管理的方式包括：将各设备的 配置信息与对应的安全配置基线进行比对，在设备的配置信息发生变更或者设备的配置信息在安全配置基线的预设合理范围之外时，发出告警信息。