01、研究背景

電化學儲能電站電力二次安全防護系統是保證儲能電站網絡安全的主要方式。依據GB 51048《電化學儲能電站設計標準》電力二次安全防護系統設計要求:“接入公共電網的電化學儲能電站應進行二次安全防護設計，應滿足二次系統安全防護的有關規定”。本文參考南方電網企業標準Q/CSG1204009《中國南方電網電力監控系統安全防護技術規范》進行二次安全防護設計，描述了電網側大中型電化學儲能電站的電力二次安全防護系統的系統總體邏輯結構、設備配置方式及設備主要功能等內容。

02、安全防護目標

(資料圖片僅供參考)

電力二次安全防護主要針對網絡系統和基于網絡的生產控制系統。安全防護的總體目標是保護電力監控系統及調度數據網絡的安全，抵御黑客、病毒、惡意代碼等的破壞和攻擊，特別是能夠抵御來自外部有組織的團體、擁有豐富資源的威脅源發起的惡意攻擊，防止電力監控系統的崩潰或癱瘓，以及由此造成的電力系統事故或大面積停電事故。建立電力二次系統網絡安全防護體系，能在二次系統遭到損害后，迅速恢復主要功能，防止電力二次系統的安全事件引發或導致電力一次系統事故以及大面積停電事故，保障儲能電站安全穩定運行。

03、安全防護原則

二次安全防護設計應當堅持“安全分區、網絡專用、橫向隔離、縱向認證”的原則，保障電力監控系統和電力調度網絡的安全。安全防護原則的實施方式如下。

3.1、安全分區

儲能電站二次安全防護系統分為生產控制大區和管理信息大區。

3.1.1、生產大區控制

生產控制大區分為控制區（又稱安全區I）和非控制區（又稱安全區II），生產控制大區是電力監控系統重點防護對象。

控制區是電力監控系統各安全區中安全等級最高的分區，該區中的業務系統與電力調度生產直接相關，有對一次系統的在線監視和閉環控制功能，且具有連續性、實時性的特點以及高安全性、高可靠性和高可用性的要求。該區使用調度數據網絡的實時VPN子網或專用通道與異地有關的控制區互聯。控制區范圍內系統包括調度自動化系統（EMS）、自動發電控制系統（AGC）、自動電壓控制系統（AVC）、安穩控制系統、保護信息子站系統、安全自動控制系統、低頻低周減載系統等。

非控制區是電力監控系統各安全區中安全等級僅次于控制區的分區。該區的業務系統功能與電力生產直接相關，但不直接參與控制。該區使用調度數據網絡的非實時VPN子網或專用通道與異地有關的非控制區互聯。非控制區的典型系統包括故障錄波系統、在線監測系統、電能量計量系統、電能量采集裝置等。

3.1.2、管理信息大區

管理信息大區原則上劃分為生產管理區（安全區Ⅲ）和管理信息區（安全區Ⅳ）。

生產管理區是電力監控系統各安全區中安全等級次于非控制區的分區。該區中的業務系統與電力調度生產管理工作直接相關。該安全區使用綜合數據網與異地有關的生產管理區互聯。生產管理區的典型系統包括生產管理系統、視頻監控系統等。

管理信息區的業務系統主要用于生產管理和辦公自動化。儲能電站暫不考慮設置管理信息區。

3.2、網絡專用

電化學儲能電站采用獨立的網絡設備組網，在物理層面上實現電力調度數據網與綜合業務數據網及外部公共信息網的安全隔離。調度數據網采用MPLS-VPN（多協議標簽交換—虛擬專用網）技術劃分兩個相互邏輯隔離的業務子網，即實時VPN和非實時VPN。實時VPN用于控制區業務系統的遠程數據通信，非實時VPN用于非控制區業務系統的遠程數據通信。

3.3、橫向隔離

電化學儲能電站的生產控制大區與管理信息大區之間設置電力專用橫向安全隔離裝置實現物理隔離。生產控制大區的控制區與非控制區之間采用防火墻實現邏輯隔離。

3.4、縱向認證

電化學儲能電站的在生產控制大區與調度數據網的縱向連接處部署電力專用縱向加密認證網關或加密認證裝置，為上下級調度機構或主站與子站端的控制系統之間的調度數據網通信提供雙向身份認證、數據加密和訪問控制服務。

04、大型儲能電站

二次安全防護系統設計

4.1、配置方案

依據GB 51048《電化學儲能電站設計標準》規定，儲能電站功率大于100MW時，屬于大型儲能電站，大型儲能電站高壓側母線宜采用220kV及以上電壓等級接入電網，因此大型儲能電站二次安全防護按照接入220kV電壓等級設計。

電化學儲能電站可進行充電和放電操作，在充電過程中，儲能電站可視為負荷，在放電過程中，可視為電源。故二次安全防護設計參考220kV變電站以及火電廠的設計方案。

電化學儲能電站二次安全防護系統分為兩個安全大區，即生產控制大區和管理信息大區，其生產控制大區分為控制區和非控制區。生產控制大區內具有縱向、橫向數據通信業務的業務系統匯集接入控制區和非控制區的互聯交換機；互聯交換機通過相應安全強度的安全防護設備橫向連接不同的安全區域，縱向連接調度數據網的不同子網。

橫向和縱向互聯的主要設備包括數據通信機、橫向互聯交換機、橫向互聯硬件防火墻、縱向加密認證網關、調度數據網交換機、調度數據網路由器、正向隔離裝置、反向隔離裝置、縱向防火墻、綜合數據網交換機及路由器。二次安全防護按雙平面配置，即二次安全防護設備雙套配置。

4.2、裝置功能

數據通信機用于業務系統之間的橫向及縱向數據通信。

控制區和非控制區的橫向互聯交換機用于各自區內有縱、橫向數據通信的業務系統的匯集接入、接入系統之間的訪問控制和安全區的橫向及縱向互聯。

橫向互聯硬件防火墻部署在控制區和非控制區之間，在硬件防火墻上配置訪問控制規則，對控制區與非控制區相關業務系統實施訪問限制。

生產控制大區縱向加密認證網關部署在生產控制大區與調度數據網之間，用于本地生產控制大區與遠端生產控制大區相關業務系統或業務模塊之間網絡數據通信的身份認證、訪問控制和傳輸數據的加密與解密，保障系統連接的合法性和數據傳輸的機密性及完整性。

調度數據網交換機和調度數據網路由器用于與調度數據網進行信息交互。

綜合數據網路由器用于與綜合數據網進行信息交互。綜合數據網縱向硬件防火墻部署在綜合數據網路由器和管理信息大區局域網交換機之間，在硬件防火墻上配置訪問控制規則，對管理信息大區相關業務系統實施訪問限制。

正向隔離裝置部署在非控制區與管理信息大區的網絡邊界，用于生產控制大區網絡與管理信息大區網絡的物理隔離，實現生產控制大區有關業務系統以正向單向方式向管理信息大區相關業務系統發送數據。

反向隔離裝置部署在非控制區與管理信息大區的網絡邊界，用于生產控制大區網絡與管理信息大區網絡的物理隔離，實現管理信息大區有關業務系統以反向單向方式向生產控制大區相關業務系統導入數據。

4.3、裝置配置要點

電化學儲能電站二次系統安全區橫向及縱向互聯的配置要點如下：

（1）在控制區互聯交換機上劃分兩個實時業務VLAN（虛擬局域網），其VLAN地址為調度數據網實時VPN的業務段地址，兩個VLAN分別用于控制區不同類別業務系統的接入以及網絡的橫向互聯和縱向互聯。

（2）在非控制區互聯交換機上劃分兩個非實時業務VLAN，其VLAN地址為調度數據網非實時VPN的業務段地址，兩個VLAN分別用于非控制區內不同類別業務系統的接入以及網絡的橫向互聯和縱向互聯。

（3）在控制區互聯交換機和非控制區互聯交換機上使用ACL（訪問控制技術）功能對各VLAN實施訪問控制，避免安全區域內各VLAN間業務系統直接互通。

（4）對于控制區具有橫向數據通信的系統，可將其數據通信機上實時VPN業務段IP地址通過橫向互聯的防火墻轉換為非實時VPN業務段的地址，并且使用防火墻訪問控制功能對轉換后的地址實施訪問限制。

（5）在正、反向隔離裝置上配置內外網的業務系統虛擬訪問地址及相應安全控制規則。

（6）控制區和非控制區各業務系統通信機的網關地址為該機所接入 VLAN 的網關地址；控制區互聯交換機上路由到非控制區業務網段的網關地址為橫向互聯防火墻的內部網口地址，路由到調度數據網實時 VPN 的下一跳地址為調度數據網網絡設備上的實時 VPN 業務段連接地址；非控制區互聯交換機上路由到調度數據網非實時 VPN 的下一跳地址為調度數據網網絡設備上的非實時 VPN 業務段連接地址。

（7）在控制區，若存在某些業務系統同時具有實時類數據（或控制類數據）和非實時類數據的縱向傳輸（如：保信子站，其接收主站下發的設置指令為控制類數據，而上傳主站召喚的錄波數據為非實時類。），為了使控制區的這些業務系統既可使用實時VPN傳輸實時類數據（或控制類數據）又可使用非實時VPN傳輸非實時類數據且不形成VPN之間縱向交叉連接，可采取如下方法：

1）將控制區具有非實時數據傳輸的業務系統通信機外網口IP地址通過橫向互聯防火墻由實時VPN業務段地址轉換為非實時段的地址；

2）通過防火墻對轉換后的地址實施嚴格的訪問控制，其訪問控制策略為，只允許主站有通信需求的非實時VPN業務段地址（主機地址）及業務TCP端口訪問轉換后的地址。

（8）對于使用專線通道的業務系統，應逐步在專線通道上部署加密認證措施。

05、中型儲能電站

二次安全防護系統設計

5.1、配置方案

依據GB 51048《電化學儲能電站設計標準》規定，儲能電站功率在5MW至100MW之間時，屬于中型儲能電站，中型儲能電站高壓側母線宜采用10kV~110kV電壓等級接入電網。

儲能電站二次安全防護系統分為兩個安全大區，即生產控制大區和管理信息大區，其生產控制大區不細分為控制區和非控制區，邏輯上相當于只有控制區，屬于生產控制區的業務系統均置于控制區。在生產控制大區只有控制區的情況下，若控制區存在非實時類數據通信業務，則可通過控制區橫向邊界防火墻連接非實時VPN業務網段，實現控制區的非實時類數據通信可通過非實時VPN進行。

橫向和縱向互聯的主要設備包括數據通信機、橫向互聯交換機、橫向互聯硬件防火墻、縱向加密認證網關、調度數據網交換機、調度數據網路由器、正向隔離裝置、反向隔離裝置、縱向防火墻、綜合數據網交換機及路由器。二次安全防護按雙平面配置，即二次安全防護設備雙套配置。

二次安防系統裝置功能及系統配置要點可參考大型儲能電站方案，僅需刪除非控制區部分內容。

06、總結

大型儲能電站及中型儲能電站二次安防系統均配置生產控制大區與管理信息大區，且安全區內及各安全區之間互聯設備功能相同，區別在于大型儲能電站的生產控制大區設置控制區和非控制區，而中型儲能電站的生產控制大區僅設置控制區，不另設置非控制區。

綜上所述，為保障儲能電站電力監控系統及調度數據網的網絡安全，防止電力監控系統的崩潰或癱瘓，保障儲能電站乃至電力電網安全穩定運行，二次安防系統的配置至關重要。

關注索比儲能官方微信，第一時間獲取行業資訊！