電力專用縱向加密認證裝置作用

A. 為什麼電廠要用橫向隔離裝置和縱向加密裝置

我給你上一張圖你就明白了。主要還是國家的相關要求。

縱向加密回裝置針對的是上下級調答度之間進行的，比如你電廠側的二次業務數據需要上傳到地方電力調度中心或者省級電力調度中心，這個傳輸的過程必須是加密的，否則會容易被黑客獲取而進行破解，一旦加密後，秘鑰與公鑰就是唯一的，即便被黑客獲取也破解不了數據這樣就保證了相對的安全。

橫向隔離裝置針對的是一區二區與三區之間傳輸間才用到的，橫向隔離裝置相當於是安全網閘，數據只能單向傳輸，不能雙向。比如一區二區的業務需要訪問三區外網的話那就加正向隔離裝置，如果反過來三區外網業務需要訪問一區二區內網業務的話那就用反向隔離裝置，這樣黑客即便入侵也沒有反回的數據，所以無法進行竊取數據，在一定程度上保護了電力網路的網路安全。

B. 電力監控系統安全防護規定

第一章總則第一條為了加強電力監控系統的信息安全管理，防範黑客及惡意代碼等對電力監控系統的攻擊及侵害，保障電力系統的安全穩定運行，根據《電力監管條例》、《中華人民共和國計算機信息系統安全保護條例》和國家有關規定，結合電力監控系統的實際情況，制定本規定。第二條電力監控系統安全防護工作應當落實國家信息安全等級保護制度，按照國家信息安全等級保護的有關要求，堅持「安全分區、網路專用、橫向隔離、縱向認證」的原則，保障電力監控系統的安全。第三條本規定所稱電力監控系統，是指用於監視和控制電力生產及供應過程的、基於計算機及網路技術的業務系統及智能設備，以及做為基礎支撐的通信及數據網路等。第四條本規定適用於發電企業、電網企業以及相關規劃設計、施工建設、安裝調試、研究開發等單位。第五條國家能源局及其派出機構依法對電力監控系統安全防護工作進行監督管理。第二章技術管理第六條發電企業、電網企業內部基於計算機和網路技術的業務系統，應當劃分為生產控制大區和管理信息大區。

生產控制大區可以分為控制區（安全區 I）和非控制區（安全區Ⅱ）；管理信息大區內部在不影響生產控制大區安全的前提下，可以根據各企業不同安全要求劃分安全區。

根據應用系統實際情況，在滿足總體安全要求的前提下，可以簡化安全區的設置，但是應當避免形成不同安全區的縱向交叉聯接。第七條電力調度數據網應當在專用通道上使用獨立的網路設備組網，在物理層面上實現與電力企業其它數據網及外部公用數據網的安全隔離。

電力調度數據網劃分為邏輯隔離的實時子網和非實時子網，分別連接控制區和非控制區。第八條生產控制大區的業務系統在與其終端的縱向聯接中使用無線通信網、電力企業其它數據網（非電力調度數據網）或者外部公用數據網的虛擬專用網路方式（VPN）等進行通信的，應當設立安全接入區。第九條在生產控制大區與管理信息大區之間必須設置經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置。

生產控制大區內部的安全區之間應當採用具有訪問控制功能的設備、防火牆或者相當功能的設施，實現邏輯隔離。

安全接入區與生產控制大區中其他部分的聯接處必須設置經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置。第十條在生產控制大區與廣域網的縱向聯接處應當設置經過國家指定部門檢測認證的電力專用縱向加密認證裝置或者加密認證網關及相應設施。第十一條安全區邊界應當採取必要的安全防護措施，禁止任何穿越生產控制大區和管理信息大區之間邊界的通用網路服務。

生產控制大區中的業務系統應當具有高安全性和高可靠性，禁止採用安全風險高的通用網路服務功能。第十二條依照電力調度管理體制建立基於公鑰技術的分布式電力調度數字證書及安全標簽，生產控制大區中的重要業務系統應當採用認證加密機制。第十三條電力監控系統在設備選型及配置時，應當禁止選用經國家相關管理部門檢測認定並經國家能源局通報存在漏洞和風險的系統及設備；對於已經投入運行的系統及設備，應當按照國家能源局及其派出機構的要求及時進行整改，同時應當加強相關系統及設備的運行管理和安全防護。生產控制大區中除安全接入區外，應當禁止選用具有無線通信功能的設備。第三章安全管理第十四條電力監控系統安全防護是電力安全生產管理體系的有機組成部分。電力企業應當按照「誰主管誰負責，誰運營誰負責」的原則，建立健全電力監控系統安全防護管理制度，將電力監控系統安全防護工作及其信息報送納入日常安全生產管理體系，落實分級負責的責任制。

電力調度機構負責直接調度范圍內的下一級電力調度機構、變電站、發電廠涉網部分的電力監控系統安全防護的技術監督，發電廠內其它監控系統的安全防護可以由其上級主管單位實施技術監督。第十五條電力調度機構、發電廠、變電站等運行單位的電力監控系統安全防護實施方案必須經本企業的上級專業管理部門和信息安全管理部門以及相應電力調度機構的審核，方案實施完成後應當由上述機構驗收。

接入電力調度數據網路的設備和應用系統，其接入技術方案和安全防護措施必須經直接負責的電力調度機構同意。

C. 什麼是縱向加密

縱向加密是用的是非對稱加密演算法的硬體機器，是放在網路與遠程網路節點之間的加密。採用認證、加密、訪問控制等技術措施實現電力二次系統數據的安全傳輸以及縱向邊界安全防護的裝置。

縱向加密主要實現配網自動化業務的安全性、保密性和不可否認性。直接對配網終端數據進行保護，支持串口、網口、GPRS無線等多種接入方式。

網路安全設備的其他情況簡介。

網路安全設備為部署在調度內部網與外部網之間、專用網與公共網之間的一組軟體和硬體設備，用於構成內部網與外部網之間、專用網與公共網之間界面上的保護屏障。包括橫向隔離裝置、縱向加密認證裝置、防火牆、防病毒系統、入侵檢測/保護裝置（IDS/IPS）等。

可以通過防火牆設置，使Internet或外部網用戶無法訪問內部網路，或者對這種訪問配備更多的限定條件。在網路系統與外部網路介面處應設置防火牆設備；伺服器必須放在防火牆後面。

D. 電力二次系統安全防護規定

第一章總則第一條為了防範黑客及惡意代碼等對電力二次系統的攻擊侵害及由此引發電力系統事故，建立電力二次系統安全防護體系，保障電力系統的安全穩定運行，根據《中華人民共和國計算機信息系統安全保護條例》和國家有關規定，制定本規定。第二條電力二次系統安全防護工作應當堅持安全分區、網路專用、橫向隔離、縱向認證的原則，保障電力監控系統和電力調度數據網路的安全。第三條電力二次系統的規劃設計、項目審查、工程實施、系統改造、運行管理等應當符合本規定的要求。第二章技術措施第四條發電企業、電網企業、供電企業內部基於計算機和網路技術的業務系統，原則上劃分為生產控制大區和管理信息大區。
生產控制大區可以分為控制區（安全區Ⅰ）和非控制區（安全區Ⅱ）；管理信息大區內部在不影響生產控制大區安全的前提下，可以根據各企業不同安全要求劃分安全區。
根據應用系統實際情況，在滿足總體安全要求的前提下，可以簡化安全區的設置，但是應當避免通過廣域網形成不同安全區的縱向交叉連接。第五條電力調度數據網應當在專用通道上使用獨立的網路設備組網，在物理層面上實現與電力企業其它數據網及外部公共信息網的安全隔離。
電力調度數據網劃分為邏輯隔離的實時子網和非實時子網，分別連接控制區和非控制區。第六條在生產控制大區與管理信息大區之間必須設置經國家指定部門檢測認證的電力專用橫向單向安全隔離裝置。
生產控制大區內部的安全區之間應當採用具有訪問控制功能的設備、防火牆或者相當功能的設施，實現邏輯隔離。第七條在生產控制大區與廣域網的縱向交接處應當設置經過國家指定部門檢測認證的電力專用縱向加密認證裝置或者加密認證網關及相應設施。第八條安全區邊界應當採取必要的安全防護措施，禁止任何穿越生產控制大區和管理信息大區之間邊界的通用網路服務。
生產控制大區中的業務系統應當具有高安全性和高可靠性，禁止採用安全風險高的通用網路服務功能。第九條依照電力調度管理體制建立基於公鑰技術的分布式電力調度數字證書系統，生產控制大區中的重要業務系統應當採用認證加密機制。第三章安全管理第十條國家電力監管委員會負責電力二次系統安全防護的監管，制定電力二次系統安全防護技術規范並監督實施。
電力企業應當按照「誰主管誰負責，誰運營誰負責」的原則，建立健全電力二次系統安全管理制度，將電力二次系統安全防護工作及其信息報送納入日常安全生產管理體系，落實分級負責的責任制。
電力調度機構負責直接調度范圍內的下一級電力調度機構、變電站、發電廠輸變電部分的二次系統安全防護的技術監督，發電廠內其它二次系統可由其上級主管單位實施技術監督。第十一條建立電力二次系統安全評估制度，採取以自評估為主、聯合評估為輔的方式，將電力二次系統安全評估納入電力系統安全評價體系。
對生產控制大區安全評估的所有記錄、數據、結果等，應按國家有關要求做好保密工作。第十二條建立健全電力二次系統安全的聯合防護和應急機制，制定應急預案。電力調度機構負責統一指揮調度范圍內的電力二次系統安全應急處理。
當電力生產控制大區出現安全事件，尤其是遭受黑客或惡意代碼的攻擊時，應當立即向其上級電力調度機構報告，並聯合採取緊急防護措施，防止事件擴大，同時注意保護現場，以便進行調查取證。第十三條電力二次系統相關設備及系統的開發單位、供應商應以合同條款或保密協議的方式保證其所提供的設備及系統符合本規定的要求，並在設備及系統的生命周期內對此負責。
電力二次系統專用安全產品的開發單位、使用單位及供應商，應當按國家有關要求做好保密工作，禁止關鍵技術和設備的擴散。第十四條電力調度機構、發電廠、變電站等運行單位的電力二次系統安全防護實施方案須經過上級信息安全主管部門和相應電力調度機構的審核，方案實施完成後應當由上述機構驗收。
接入電力調度數據網路的設備和應用系統，其接入技術方案和安全防護措施須經直接負責的電力調度機構核准。第十五條電力企業和相關單位必須嚴格遵守本規定。
對於不符合本規定要求的，應當在規定的期限內整改；逾期未整改的，由國家電力監管委員會根據有關規定予以行政處罰。
對於因違反本規定，造成電力二次系統故障的，由其上級單位按相關規程規定進行處理；發生電力二次系統設備事故或者造成電力事故的，按國家有關電力事故調查規定進行處理。

E. 電力系統縱向加密認證裝置應該裝在哪

電力系統專用網路隔離裝置是按照國家經貿委第30號令《電網和電廠計算機監控系統及調度數據網路安全防護的規定》及國家電監會5號令《電力二次系統安全防護規定》的要求，根據《國家電力二次安全防護總體方案 》的部署，針對電力二次系統安全防護體系中安全區I、II與安全區III連接的單向專用安全隔離設備。 裝置除採用基本的防火牆、代理伺服器等安全防護技術之外，關鍵採用了「雙機非網」的物理隔離技術，即裝置可以阻斷網路直接連接，兩個網路不同時連接在設備上；可以阻斷網路邏輯連接，即TCP/IP必須被剝離，將原始數據非網方式傳送；隔離傳輸機制具有不可編程性；任何數據都是通過兩級代理方式完成。
電力系統：電力系統(system)， 由發電、變電、輸電、配電和用電等環節組成的電能生產與消費系統。它的功能是將自然界的一次能源通過發電動力裝置(主要包括鍋爐、汽輪機、發電機及電廠輔助生產系統等)轉化成電能，再經輸、變電系統及配電系統將電能供應到各負荷中心。由於電源點與負荷中心多數處於不同地區，也無法大量儲存，電能生產必須時刻保持與消費平衡。因此，電能的集中開發與分散使用，以及電能的連續供應與負荷的隨機變化，就制約了電力系統的結構和運行。

F. 縱向加密為什麼配2台

這個是根據地方電力調度中心相關要求來確定的，兩台縱向加密的用途分別是實時縱向加密和非實時縱向加密。
對應的業務就是一區業務和二區業務，這樣配置兩台，比如其中一台出現問題的話不會影響另外區段業務的傳輸，如果將實時和非實時業務不分區，那麼如果這台縱向加密出問題的話會直接影響兩個區的業務傳輸。而且有的電站和電廠因為等級較高，還會配置四台縱向加密，因為是兩個平面同時傳輸，地區接入網和省調接入網或者國調接入網，這樣明白吧？

G. 縱向加密對電力通訊規約有什麼要求嗎

沒有要求。
1、縱向加密認證裝置一般用於生產控制大區的廣域網邊界防護。
2、縱向加密認證裝置為廣域網通信提供認證與加密功能，實現數據傳輸的機密性、完整性保護，同時具有類似防火牆的安全過濾功能。

H. 實時縱向加密和非實時縱向加密的區別

縱向加密是用的是非對稱加密演算法的硬體機器，是放在網路與遠程網路節點之間的加密。採用認證、加密、訪問控制等技術措施實現電力二次系統數據的安全傳輸以及縱向邊界安全防護的裝置。

縱向加密主要實現配網自動化業務的安全性、保密性和不可否認性。直接對配網終端數據進行保護，支持串口、網口、GPRS無線等多種接入方式。

網路安全設備的其他情況簡介。

網路安全設備為部署在調度內部網與外部網之間、專用網與公共網之間的一組軟體和硬體設備，用於構成內部網與外部網之間、專用網與公共網之間界面上的保護屏障。包括橫向隔離裝置、縱向加密認證裝置、防火牆、防病毒系統、入侵檢測/保護裝置（IDS/IPS）等。

可以通過防火牆設置，使Internet或外部網用戶無法訪問內部網路，或者對這種訪問配備更多的限定條件。在網路系統與外部網路介面處應設置防火牆設備；伺服器必須放在防火牆後面。

I. 縱向加密裝置和交換機順序

縱向加密裝置、橫向加密裝置、電力路由、交換機、防火牆。
一般情況下，縱向加密認證裝置的外網口、外網口1用於連接路由器，內網口、內網口1用於連接交換機，在實際環境中，根據具體需求進行連接即可。