一种智能变电站网络通信安全稳定方法

1.一种智能变电站网络通信安全稳定方法，通过安全审计模块、异常审计模块、通信防御模块实现对智能变电站设备网络通信的实时审计，防御非法及异常情况，在出现非法及异常情况时，实现实时预警功能，其特征在于，所述网络通信安全稳定方法包括以下步骤：
(1)通过网络通信监视模块接入所有进入智能变电站设备的网络通信报文，并将网络通信报文同时提交给异常审计模块和安全审计模块；
(2)异常审计模块按照IEC61850通信规范对MMS、GOOSE、SV网络通信报文进行分析，将不符合规范的网络通信报文即异常报文直接丢弃，并审计结果以日志方式记录后，提交给实时预警模块；
(3)安全审计模块对网络通信报文进行审计，将被明确禁止或不在允许范围的网络通信报文作为影响通信安全的非法报文，进一步通过通信防御模块对所述非法报文进行通信服务拒绝、通信断开处理，所述安全审计模块将非法报文的审计结果和处理措施以日志方式记录，并提交给实时预警模块；安全审计策略是根据智能变电站设备运行要求预设的通信安全策略，包括：通信访问策略、通信控制策略；如果网络通信报文是所述通信访问策略中被明确禁止或不在允许范围的网络通信报文，即为影响安全通信的非法报文，则进一步依据所述通信控制策略确定对该非法报文进行处理；
(4)通过实时预警模块对步骤(2)和(3)中审计发现的预警信息提交给智能变电站设备的信息管理模块。
2.根据权利要求1所述的智能变电站网络通信安全稳定方法，其特征在于：
在步骤(3)中，安全审计策略具体包括：
3.1所述通信访问策略是允许和禁止的通信访问配置，包括通信报文类型、通信地址、通信服务类型；
3.2所述通信控制策略包括通信服务拒绝、通信断开。
3.根据权利要求2所述的智能变电站网络通信安全稳定方法，其特征在于：
在3.1中，通信报文类型为TCP/IP协议栈规范的已有协议类型；对于GOOSE和SV通信，通信地址为应用ID即APPID；对于TCP/UDP通信，通信地址为IP地址；通信服务类型仅针对MMS通信，为IEC61850规范定义的抽象通信服务接口ACSI。
4.根据权利要求2所述的智能变电站网络通信安全稳定方法，其特征在于：
在3.2中，所述通信服务拒绝用于对网络通信服务请求的否定应答；所述通信断开用于对通信会话链接的断开请求。

一种智能变电站网络通信安全稳定方法\n技术领域\n[0001] 本发明涉及一种智能变电站网络通信安全稳定方法，属于电力自动化技术领域，特别是用于智能变电站基于IEC61850通信的设备网络安全性及稳定性的实时监视及防御。\n背景技术\n[0002] 智能变电站使用IEC61850标准通信，定义了站控层、间隔层和网络层等3层网络结构，数据的采集、设备功能的控制等都通过网络通信方式实现，因此存在网络入侵等安全隐患，尤其当智能变电站接入到公用网络通信设施中时要比相对孤立封闭的变电站局域网络更易受网络攻击。\n[0003] 目前在智能变电站中对IEC61850的使用中，包括站控层MMS(制造报文规范)通信、过程层GOOSE(通信模型对象变电站事件)和SV(采样值)通信，都采用没有任何安全防御措施的基本通信机制。另一方面，随着智能变电站发展出现了很多新型设备，如合并单元、智能终端等，除了运行中可能会发生的各种异常通信外，新型设备的应用完善过程中也会存在某些缺陷而导致的异常通信，所有这些异常通信都会导致设备功能不可预知的行为，降低了设备的稳定性。\n[0004] 从网络通信安全和设备稳定运行的角度考虑，有必要对智能变电站设备网络通信的安全稳定进行实时监视及防御，使设备在底层通信环节就抑制和过滤了非法及异常通信，从而提升智能变电站运行的安全性和稳定性。\n发明内容\n[0005] 为了克服上述已有技术的不足，本发明提供了一种智能变电站网络通信安全稳定方法。\n[0006] 本发明所采用的技术方案是：\n[0007] 一种智能变电站网络通信安全稳定方法，通过安全审计模块、异常审计模块、通信防御环节实现对智能变电站设备网络通信的实时审计，防御非法及异常情况，在出现非法及异常情况时，实现实时预警功能，其特征在于，所述网络通信安全稳定方法包括以下步骤：\n[0008] (1)通过网络通信监视模块接入所有进入智能变电站设备的网络通信报文，并将网络通信报文同时提交给异常审计模块和安全审计模块；\n[0009] (2)异常审计模块按照IEC61850通信规范对MMS、GOOSE、SV网络通信报文进行分析，将不符合规范的网络通信报文即异常报文直接丢弃，并审计结果以日志方式记录后，提交给实时预警模块；\n[0010] (3)安全审计模块对网络通信报文进行审计，将被明确禁止或不在允许范围的网络通信报文作为影响通信安全的非法报文，进一步通过通信防御模块对所述非法报文进行通信服务拒绝、通信断开处理，所述安全审计模块将非法报文的审计结果和处理措施以日志方式记录，并提交给实时预警模块；\n[0011] (4)通过实时预警模块对步骤(2)和(3)中审计发现的预警信息提交给智能变电站设备的信息管理模块。\n[0012] 本发明还可以进一步优选以下技术方案：\n[0013] 在步骤(3)中，安全审计策略是根据智能变电站设备运行要求预设的通信安全策略，包括：通信访问策略、通信控制策略；如果网络通信报文是所述通信访问策略中被明确禁止或不在允许范围的网络通信报文，即为影响安全通信的非法报文，则进一步依据所述通信控制策略确定对该非法报文进行处理；具体包括：\n[0014] 3.1所述通信访问策略是允许和禁止的通信访问配置，包括通信报文类型、通信地址、通信服务类型；通信报文类型为TCP/IP协议栈规范的已有协议类型；对于GOOSE和SV通信，通信地址为应用ID即APPID；对于TCP/UDP通信，通信地址为IP地址；通信服务类型仅针对MMS通信，为IEC61850规范定义的抽象通信服务接口ACSI。\n[0015] 3.2所述通信控制策略包括通信服务拒绝、通信断开。所述通信服务拒绝用于对网络通信服务请求的否定应答。所述通信断开用于对通信会话链接的断开请求。\n[0016] 通信防御模块负责向所监视的网络发送报文，包括通信服务拒绝报文、通信断开报文。\n[0017] 与已有技术相比，本发明的有益效果是：使智能变电站设备在底层通信环节就抑制和过滤了非法及异常通信，从而提升了设备功能及运行的安全性和稳定性，尤其当变电站网络接入到公用网络时该方法可以达到有效显著的作用和重要的意义。\n附图说明\n[0018] 图1为本发明的智能变电站网络通信安全稳定方法流程图；\n具体实施方式\n[0019] 下面结合附图和实施例对本发明进一步说明。\n[0020] 在图1中，本发明的智能变电站网络通信安全稳定方法包括以下步骤：(1)网络通信监视模块10作为设备内通信环节的入口，负责监视接入到设备的网络通信报文，同时将报文分别提交到异常审计模块20和安全审计模块30，进行不同逻辑的审计处理。\n[0021] (2)在异常审计模块20中对步骤(1)提交的MMS、GOOSE、SV网络通信报文按照IEC61850通信规范进行分析，包括报文格式的合法性、编码正确性、通信机制的正确性。其中，通信机制的正确性重点针对GOOSE和SV通信进行分析，包括GOOSE的变化上送梯形时间机制、GOOSE突发及重复机制、GOOSE虚变及异常变化、GOOSE超时、SV超时、SV数据跳变。对于不符合规范的通信报文，即异常报文，作为审计结果以日志方式完整记录原始报文及时间后，直接丢弃该异常报文以免被设备功能进一步处理，降低异常报文对设备功能的影响，从而提升设备功能的稳定性。\n[0022] (3)在安全审计模块30中对步骤(1)提交的MMS、GOOSE、SV网络通信报文依据安全审计策略31进行安全审计。安全审计策略31预设了设备运行安全要求的审计内容，即通信访问策略，以及发现安全问题时需要采取的措施，即通信控制策略。如果网络通信报文是通信访问策略中被明确禁止或不在允许范围的网络通信报文，即为影响通信安全的非法报文，则进一步由通信控制策略确定对该非法报文的处理措施。所述非法报文和所述处理措施作为审计结果以日志方式记录原始报文及时间。\n[0023] 通信访问策略从可灵活方便配置角度分为允许和禁止的通信访问配置，每种方式都可包括通信地址、通信报文类型、通信服务类型。对于GOOSE和SV通信，通信地址为APPID，不涉及通信服务类型。对于MMS通信，通信地址为IP地址，通信服务类型为IEC61850规范定义的ACSI，主要包括控制服务、定值服务、写服务等安全威胁较大的各种服务。通信报文类型为TCP/IP协议栈规范的已有协议类型，除了IEC61850规范定义的MMS、GOOSE、SV通信外，常见的还有FTP、HTTP、TELNET等，如果设备不允许或禁止某些通信报文类型，可将其列入通信访问策略配置中。\n[0024] 通信控制策略是在安全审计模块30依据通信访问策略审计后对被明确禁止或不在允许范围的网络通信报文的处理措施，包括通信服务拒绝、通信断开。通信服务拒绝用于对网络通信服务请求的否定应答，如禁止控制服务和定值服务的情况下在网络上发现了对该设备的控制操作或定值操作，则安全审计策略31进行否定应答，从而拒绝相应的操作以确保设备的安全性。通信断开用于对通信会话链接的断开请求，可用于禁止的通信服务被发现时断开通信会话链接，也可用于禁止的通信报文类型的会话拒绝或链接断开，如当安全审计策略31配置了禁止FTP通信，则设备的网络通信中一旦发现FTP任意通信报文则断开对应的链接。\n[0025] 通信防御模块40是对非法报文的处理措施的具体执行，即向所监视网络发送具体的通信报文，包括通信服务拒绝报文、通信断开报文。\n[0026] (4)在步骤(2)和(3)中，如果异常审计模块20或安全审计模块30经过审计发现了异常报文或非法报文，则记录这些报文的详细信息并提交给实时预警模块50。实时预警模块50负责预警信息的管理和转发，如转发到设备的信息管理模块60，可通过信息管理模块\n60进一步转发到设备外的其他系统如监控系统。\n[0027] 以上给出的实施例用以说明本发明和它的实际应用，并且因此使得本领域的技术人员能够实现或使用本发明，本领域普通技术人员可以再不脱离本发明的发明思想的情况下，对上述实施例作出种种修改或变化，因而本发明并不被上述实施例所限，而应该是符合权利要求书提到的创新性特性的最大范围。