一种海上风电一体化系统的数据安全接入方法

技术领域

本发明涉及海上风电一体化技术领域，具体为一种海上风电一体化系统的数据安全接入方法。

背景技术

我国海上风电项目建设井喷式发展，但是受海洋恶劣气象环境的影响，海上风电场的安全建设运维工作难度大成本高，可以通过建设海上风电场一体化系统与各个分散子系统的数据与应用的无缝对接，集成风机监控系统、机组配套升压设备监控系统、升压站监控系统、风功率预测系统、有功无功控制系统等，实现海上风电统一监控与运营管理。

参照说明书附图1，现有海上风电一体化监控系统按功能需求分别部署在安全控制大区的I区、II区和信息管理大区的III区。各风电场综自系统、AGC/AVC系统及保信子站系统的数据经过光纤专网接入生产控制大区控制区；功率预测数据、电能量数据经光纤专网接入生产控制大区非控制区；测风塔数据及天气预报数据经过光纤专网接入管理信息大区。

海上风电场一体化系统生产控制大区和生产管理大区，在纵向联接中使用无线通信网或其他外部公用数据网而其安全防护水平低于生产控制大区内其他系统时，需要设立安全接人区。安全接入区与生产控制大区中其他部分的联接处必须设置经国家指定部门检测认证的横向单向安全隔离装置。该要求仅对特定场景下的接入进行了安全接人区设立的要求，并未细化安全接人区本身的实现。

现有的安全接入区存在设计和实现困难、通用性差、传输效率低、安全性不足，并且现有的海上风电一体化系统安全防护性能有待提高的问题。

发明内容

(一)解决的技术问题

针对现有技术的不足，本发明提供了一种海上风电一体化系统的数据安全接入方法，现有的安全接入区存在设计和实现困难、通用性差、传输效率低、安全性不足，并且现有的海上风电一体化系统安全防护性能有待提高的问题。

(二)技术方案

为实现以上目的，本发明通过以下技术方案予以实现：一种海上风电一体化系统的数据安全接入方法，包括以下步骤：

步骤一、对于安全接入区进行安全设计：对于非调度专网方式上送的数据通过设置安全接入区进行数据接入，配置正反向物理隔离装置到安全一区和安全接入区之间；在安全接入区配置通信交换机和外网传输服务器，对接入数据进行初步处理；在安全一区配置内网传输服务器，对穿过正反向隔离的数据进行转换并上送至SCADA前置系统；

步骤二、对于海上风电一体化系统进行以下几个方面的安全防护：场站侧安全防护、网络层安全防护、系统层安全防护与应用防护。

优选的，所述安全接入区与安全一区之间传输的数据涉及以下几个类型：并网状态数据、实时运行数据、电能质量数据、环境数据与管理数据。

优选的，所述场站侧安全防护包括包括风电场本地网络安全防护和采集终端以及通信管理设备安全防护，对采集终端以及通信管理设备上的南向安全接入服务实现终端的轻量级接入认证，并采用国密算法对控制指令进行加密，同时在采集终端以及通信管理设备上部署安全监测模块，并且采集终端以及通信管理设备采用北向安全服务接入软件，实现自身接入身份认证以及数据传输加密，认证和加密过程应采用国产密码算法。

优选的，所述网络层安全防护主要保证通信通道安全，通过部署安全接入网关(VPN)，实现终端的接入身份安全和数据传输安全，部署抗DDOS设备、WAF、IPS、防火墙的安全设备，同时部署未知威胁监测、DNS防护、S6000深度威胁检测探针、IDS等对业务网络流量镜像进行威胁发现和分析。

优选的，所述系统层安全防护，通过安全基线合规与主机安全加固,并部署防病毒防恶意代码程序；采集数据统一经安全接入区接入，前置采用主备实现故障自动切换，前置依据策略分发至各服务，服务采用集群实现高可用。

优选的，所述应用防护包括系统间交互安全防护和手机APP应用安全防护：对登录的用户进行身份标识和鉴别，强制用户首次登录时修改初始口令，用户身份鉴别信息丢失或失效时，采用鉴别信息重置或其他技术措施保证系统安全；使用以角色为基准的访问控制手段，利用ACL，杜绝“非法”用户的越权操作。

优选的，所述安全一区与安全一区之间设置有隔离区，所述安全一区配置一台内网传输服务器，安全接入区配置一台外网传输服务器，隔离区配置一台正向物理隔离和一台反向物理隔离。

优选的，所述外网传输服务器是由模拟公网前置服务器搭建而成，是单独部署应用，内网传输服务器，向下通过正向隔离装置以及反省隔离装置与外网传输服务器进行数据交互，向上与海上一体化系统前置服务器进行通信。

优选的，所述安全一区内SCADA前置系统为客户端与安全接入区的数据流向分为数据上行与下行两个路径，下行数据通过正向物理隔离，采用TCP协议方式；上行数据通过反向物理隔离，采用E文件的方式进行传输，所述安全一区内SCADA前置系统和安全接入区内的终端、厂站进行虚拟直连，按照常规网络数据接入进行处理。

有益效果

本发明提供了一种海上风电一体化系统的数据安全接入方法。具备以下有益效果：

(1)、该海上风电一体化系统的数据安全接入方法，主要包含加密认证装置、正反向隔离装置和通用接入设备。在对现有安全接入区结构和原理分析的基础上，指出了其在实现上的不足。提出的安全接入区采用通用接入设备简化了安全接入区的设计，实现了通信双方的无感接入以及安全接入区的双重隔离和基于国密算法的加密和认证。测试及验证结果证明了该设计的可行性并给出了关键通信和安全参数的测试结果。与现有方案相比，该设计在通用性、性能和安全性上都得到了提高，具有较好的实用性，同时对于现有的海上风电一体化系统进行全面的安全防护，有效提高系统整体的安全性能。

附图说明

图1为现有海上风电一体化监控系统逻辑结构图；

图2为本发明安全接入区与安全一区数据流向框图；

图3为本发明安全接入区与安全一区内SCADA前置系统数据传输简化图；

图4为本发明风电场基础数据模型；

图5为本发明海上风电一体化监控系统模型构成。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1-5，本发明提供一种技术方案：一种海上风电一体化系统的数据安全接入方法，包括以下步骤：

步骤一、对于安全接入区进行安全设计：对于非调度专网方式上送的数据通过设置安全接入区进行数据接入，配置正反向物理隔离装置到安全一区和安全接入区之间；在安全接入区配置通信交换机和外网传输服务器，对接入数据进行初步处理；在安全一区配置内网传输服务器，对穿过正反向隔离的数据进行转换并上送至SCADA前置系统；

其中，安全接入区与安全一区之间传输的数据涉及以下几个类型：并网状态数据、实时运行数据、电能质量数据、环境数据与管理数据。并网状态数据指的是：风机并网点的开关状态数据。包括风电场编号、名称、发电类型、电压等级，状态异常数据等；实时运行数据指的是：包括并网点和公共连接点的实时数据(电压、电流、有功功率、无功功率和功率因数)以及风机的发电电量、上网电量、用网电量等；电能质量数据指的是按区域、发电类型统计电压越限数量、谐波越限数量、三相不平衡数量、电压闪变数量等；环境数据指的是：风机所在位置的环境参数，包括风向、风速、光照温度、和湿度信息、光照、温度、湿度等；管理数据指的是：包括合格率、供电可靠性、开关变位次数、遥测常规统计、单值查询、电量统计、厂站相关统计、通道相关统计、人工操作相关统计等管理数据。

其中，安全一区与安全一区之间设置有隔离区，安全一区配置一台内网传输服务器，安全接入区配置一台外网传输服务器，隔离区配置一台正向物理隔离和一台反向物理隔离。

其中，外网传输服务器是由模拟公网前置服务器搭建而成，是单独部署应用，内网传输服务器，向下通过正向隔离装置以及反省隔离装置与外网传输服务器进行数据交互，向上与海上一体化系统前置服务器进行通信。实现海上一体化系统安全接入公网数据。同时从全局来看，外网传输服务器等于是电力系统安全一区数据采集服务器的外接设备，它的设置加大了安全一区的数据采集区域，安全一区实时系统还承担着数据信息的维护工作。在日常操作过程中，工作人员只需维护安全一区的数据信息，海上风电一体化系统通过正向隔离把安全一区和公网接入区的信息实时同步，方便简洁。

其中，安全一区内SCADA前置系统为客户端与安全接入区的数据流向分为数据上行与下行两个路径，下行数据通过正向物理隔离，采用TCP协议方式；上行数据通过反向物理隔离，采用E文件的方式进行传输，安全一区内SCADA前置系统和安全接入区内的终端、厂站进行虚拟直连，按照常规网络数据接入进行处理。安全接入区与安全一区的SCADA前置系统之间通过隔离区、内、外网传输服务器实现数据传输，可以简化成安全接入区与安全一区的SCADA前置系统之间通过传输黑匣子进行数据传输，传输黑匣子内部的程序构成相对单一和独立，和安全一区的SCADA前置系统、模型、数据库等没有直接的关系，即实现了安全一区和安全接入区之间网络的搬运和镜像。软件部署仅仅需要在内网传输服务器和外网传输服务器部署网络传输程序即可，无需安装配置其他诸如数据库等软件。

海上风电一体化系统信息模型集成：

海上风电一体化系统要集成运行状态监视子系统、AGC/AVC系统、功率预测系统、电能量采集系统、气象预报系统、测风塔系统及保信子站系统数据，可以基于数据类别(遥信、遥测)、采样方式(实时、召测)、通信接口方式(TCP/IP、文件)等进行数据划分，统一建立模型。现有风电场基础数据模型如附图4所示。

(1)模型组建

对于风力发电机组，应包括以下方面：管理风机单元与所接入电力系统间(包括当地的电力系统、开关、断路器和保护单元)的互联互通；监测和控制单个风电机组，励磁系统和逆变器/转换器；监测和控制的辅助系统，如计量表、预测系统；监视设备的物理特性，如温度、压力、气象信息等。

海上风电一体化监控系统的信息模型结构如附图5所示，由多个采集设备模型构成监控子站模型，监控子站模型、环境信息模型、保信子站模型、预测系统模型和AGC/AVC系统模型构成单个风电场模型，多个风电场构成一体化监控系统模型。

(2)信息集成

1)风电场机组信息模型集成

参考IEC61400-25-2风机模型标准，分布式风力发电系统控制模型包括：按功能分别设置出口开关控制器、出口断路器、风机逆变器控制、直流量测、交流量测、风机控制、桨叶控制、传动控制、发电机、有功控制、无功控制和报警信息。

2)监控子站信息集成

将多个风电机组信息模型集成为监控子站模型，主要包括风电机组、变流器、升压站等信息。

3)风电场模型

集成监控子站、AGC/AVC系统、功率预测系统、环境监测系统、保信子站等信息。

步骤二、对于海上风电一体化系统进行以下几个方面的安全防护：场站侧安全防护、网络层安全防护、系统层安全防护与应用防护。其中，场站侧安全防护包括包括风电场本地网络安全防护和采集终端以及通信管理设备安全防护，对采集终端以及通信管理设备上的南向安全接入服务实现终端的轻量级接入认证，并采用国密算法对控制指令进行加密，同时在采集终端以及通信管理设备上部署安全监测模块，并且采集终端以及通信管理设备采用北向安全服务接入软件，实现自身接入身份认证以及数据传输加密，认证和加密过程应采用国产密码算法。通过对采集终端以及通信管理设备上的南向安全接入服务实现终端的轻量级接入认证，防范非法终端接入。同时采用国密算法对控制指令进行加密，确保控制指令在本地网络中安全传输，防范控制指令泄露或被篡改。在采集终端以及通信管理设备上部署安全监测模块，实现本地网络的安全监测，防止攻击者对本地网络及采集终端的渗透。采用北向安全服务接入软件，实现自身接入身份认证以及数据传输加密，认证和加密过程应采用国产密码算法，防范攻击者伪造采集终端接入至网络以及数据在运营商网络传输过程中泄露或被篡改。

其中，网络层安全防护主要保证通信通道安全，通过部署安全接入网关(VPN)，实现终端的接入身份安全和数据传输安全，部署抗DDOS设备、WAF、IPS、防火墙的安全设备，同时部署未知威胁监测、DNS防护、S6000深度威胁检测探针、IDS等对业务网络流量镜像进行威胁发现和分析。通过部署安全接入网关(VPN)，实现终端的接入身份安全和数据传输安全，防止非法终端接入和数据泄露或被篡改；部署抗DDOS设备、WAF、IPS、防火墙等，防止来自互联网的网络攻击；部署未知威胁监测、DNS防护、S6000深度威胁检测探针、IDS等对业务网络流量镜像进行威胁发现和分析。

其中，系统层安全防护，通过安全基线合规与主机安全加固，并部署防病毒防恶意代码程序；采集数据统一经安全接入区接入，前置采用主备实现故障自动切换，前置依据策略分发至各服务，服务采用集群实现高可用。

其中，应用防护包括系统间交互安全防护和手机APP应用安全防护：对登录的用户进行身份标识和鉴别，强制用户首次登录时修改初始口令，用户身份鉴别信息丢失或失效时，采用鉴别信息重置或其他技术措施保证系统安全；使用以角色为基准的访问控制手段，利用ACL，杜绝“非法”用户的越权操作。对登录的用户进行身份标识和鉴别，强制用户首次登录时修改初始口令，用户身份鉴别信息丢失或失效时，采用鉴别信息重置或其他技术措施保证系统安全；使用以角色为基准的访问控制手段，利用ACL，杜绝“非法”用户的越权操作，只允许符合权限范围内的租户访问相应的应用资源，不允许非授权访问。移动APP基于外网移动交互平台开发，主要从移动应用管理、身份鉴别、应用安全等方面进行安全防护。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下。由语句“包括一个......限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素”。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。