基于OPC 技术的电力监控系统网络安全风险预警研究

张逸康，傅亚启

（国网江苏省电力有限公司镇江供电分公司，江苏 镇江 212000）

0 引 言

随着计算机、互联网等技术的优化升级，计算机监控系统应运而生。电力监控系统安全与电力安全密切相关，若缺少有力的网络和数据安全保障，可能会发生重要信息丢失、泄露或更改的危险。随着近些年国家电力网络安全建设的日益深入，大多数电力的原有安全系统需要进行改进。因此，构建以电力监控系统为研究对象的网络安全风险预警平台，对于增强电力网络安全防范能力意义重大。用于过程控制的对象连接与嵌入（Object Linking and Embedding for Process Control，OPC）技术的本质是采用Microsoft的组件对象模型/分布式组件对象模型（Component Object Model/Distributed Component Object Model，COM/DCOM）技术，实现软件复用和交互操作，还可基于Windows 终端平台通过可扩充、面向对象的统一通信协议，支持不同计算机设备之间的融合通信[1]。文章将利用OPC 技术设计电力监控系统网络安全风险预警平台。

1 OPC 服务器技术

计算机监控系统网络安全风险预警平台设计应用OPC 技术，要与监控系统组态软件结合，采集电力系统各设备数据信息，执行OPC 服务器开发任务，并实时显示各用户界面。图1 为OPC 服务器技术用于计算机监控系统架构，可完成各监控设备的相关数据信息采集，通过OPC 接口发布相关数据信息，遵循标准步骤访问数据[2]。OPC 服务器还可在系统标准接口支持下，统一处理不同通信规约间隔层设备。电力计算机监控系统所用OPC 服务器与输入/输出（Input/Output，I/O）设备类似，功能层面则符合OPC 标准，实现OPC 标准接口驱动。

图1 OPC 服务器结构

2 基于OPC 技术的电力监控系统

2.1 系统结构

在电力计算机监控系统设计中应用OPC 技术，基于数据采集与监视控制系统（Supervisory Control And Data Acquisition，SCADA），设计电力监控分层分布式系统，主要包括站控层、通信管理层、间隔层以及过程层，如图2 所示。

图2 基于OPC 技术的电力监控系统架构

在电力计算机监控系统设计中，系统间隔层主要负责向站控层传输所采集的电力系统各设备数据信息，并接收系统发布的相关控制指令。通信管理层则利用RS-485 总线、控制器局域网络（Controller Area Network，CNA）总线与间隔层相连，接收间隔层传输的数据信息，经以太网完成站控层数据交互[3]。站控层提供电力系统运行情况的人机界面，测量、管理、监督与控制电力系统过程性一次系统、间隔层二次系统与其他相关信息，监督管控站负责管理与显示运行信息，方便管理人员操控电力系统设备。工程站负责系统运维功能，收集电力系统各类信息，经以太网上传至远方调度中心，接收中心下达的远程控制与调度指令。

2.2 监控系统模型

基于OPC 技术的电力监控系统选用厂级监控信息系统（Supervisory Information System，SIS）运行平台，从保障数据库安全视角出发，将浏览器/服务器（Browser/Server，B/S）模型对比客户/服务器（Client Server，C/S）模型，发现2 种模型各有优势，最终选择B/S 与C/S 混合模型。利用OPC C/S 服务器建立管理信息系统（Management Information System，MIS）关系数据库，与SIS 数据实时互联，从而减少通信复杂性，保证SIS 和MIS 的独立可靠性。可以在同一台服务器内布置OPC 历史数据服务器与实时/历史数据库，也可将其设置于SIS 的Web 服务器，其中实时/历史数据库与OPC 报警服务器连接。。B/S 与C/S 混合模型可以支持系统经Internet 直接与数据库服务器相连接。管理者拥有用户操作控制权，在确认系统用户合法身份前提下，在服务器数据库内存储用户信息，在给予用户登录授权后，即可一对一识别预防企业数据暴露给外部用户。设置证书颁发机构（Certificate Authority，CA）设计加密算法与密钥，与常规安全指令配合设计多层安全体系，保障电力监控系统的安全性。

2.3 硬件驱动

图3 为基于OPC 技术的电力计算机监控系统硬件驱动的实际驱动流程。在OPC 服务器内，硬件驱动负责通过多线程延迟锁相环（Delay-Locked Loop，DLL）技术，执行各智能仪表所采集数据信息的解析任务，并在此基础上实现系统上位机和硬件设备之间的实时通信。考虑到电力监控系统标准、开放、便捷使用以及简单帧格式等技术优势，遵循Modbus 通信规约，成功建立电力监控现场设备与上位机的数据通信连接。通过半双工连接方式，在主站发出操控指令时，寻址终端便可接收并作出实时响应[4]。

图3 OPC 服务器硬件驱动工作流程

3 电力监控系统安全风险预警平台构建

3.1 软硬件实现

电力监控系统的网络安全风险预警平台中，相关软硬件设计包括主机、网关、日志服务器等，保证平台各硬件设备性能兼容，主机作为电力监控系统虚拟安装，实现对平台入侵行为的全面监控。网关与电力监控系统独立存在，可以隔离威胁入侵。日志服务器负责收集整理各类数据日志，通过数据聚合与关联分析，实时识别威胁入侵行为，达到安全风险预警的目的[5]。

3.2 防火墙设计

目前，防火墙包括基于路由器、通用操作系统、专用安全操作系统3 种，不仅能够支持IP 协议，还可支持IPX、NetBEUI、DECnet 等通用协议。采用抵御攻击如访问控制，提供入侵实时警告功能。应用层提供代理支持，实现实时入侵防范及预警响应功能[6]。一旦平台发生入侵事件，防火墙可迅速响应并阻挡恶意报文，根据实际情况实时调整安全策略，识别、记录、防治入侵手段。此外，要对防火墙安全预警软硬件优化升级，从而更全面的预防入侵。

3.3 安全入侵侦测

安全入侵侦测是在防火墙的基础上，收集、整理并分析电力监控系统的关键信息，以侦测可能的入侵行为迹象。一方面，网络安全模块是一种高速计算机监控系统网络分析工具，通常部署于电力系统网络，如拨号连接、广域网连接等，可以分析电力监控各数据包内容所处环境是否安全，进而确定网络内传输业务是否获得授权。一旦检测到入侵信号，模块便会即刻发出警报，并执行安全措施[7]。另一方面，网络安全模块可支持离线数据分析，经过科学分析生成新规则检测入侵行为，根据反馈信息分析结果自动学习，使得入侵检测功能可以具备智能分析优势，从而适应黑客攻击的多样化特点。高性能安全管理一旦接收入侵预警，可迅速定位入侵位置。

4 系统测试

为了证实基于OPC 技术的电力监控系统网络安全风险预警平台的适用性，选取平台模拟测试中的预警信息，提取安全预警时隙内的全部信息，构建网络安全预警模型，并提取正常时隙内的预警信息作为正常样本。通过对比文章提出方法、支持向量机方法、朴素贝叶斯方法，根据测试获得入侵检测与预警准确度指标，平台准确率可以达到87%，优于支持向量机安全预警方法的准确率，可以获得稳定的系统检测结果（见图4）。

图4 系统检测结果

5 结 论

通过构建基于OPC 技术的电力监控系统网络安全风险预警平台，发挥了OPC 技术的交互操作优势，基于Windows 终端平台通过可扩充、面向对象的统一通信协议，支持不同设备间的通信，达到了与预期相符的安全风险预警目标，即一旦检测到入侵信号，模块便会即刻发出警报，迅速定位入侵行为并执行安全措施，在电力监控系统中具有重要作用。