智能變電站IEC61588時(shí)間同步系統(tǒng)與安全評(píng)估

3.1管理制度安全分析

國(guó)內(nèi)絕大多數(shù)電力生產(chǎn)運(yùn)行人員和設(shè)計(jì)人員沒(méi)有接觸過(guò)IEC61588技術(shù)，行業(yè)內(nèi)缺少相應(yīng)的技術(shù)標(biāo)準(zhǔn)和設(shè)計(jì)規(guī)范加以指導(dǎo)，已投運(yùn)系統(tǒng)仍有不同程度的缺陷，尚未形成典型設(shè)計(jì)方案，加之IEC61588技術(shù)可選參數(shù)非常多，不同廠家可能采用不同參數(shù)配置，為系統(tǒng)聯(lián)調(diào)帶來(lái)很多困難。在IEC61850標(biāo)準(zhǔn)中，未定義時(shí)間同步模型，所以目前時(shí)間同步系統(tǒng)還不能在監(jiān)控后臺(tái)上進(jìn)行管理和監(jiān)控。這些都為基于IEC61588 技術(shù)的時(shí)間同步系統(tǒng)管理帶來(lái)了困難。

目前正在起草的電力行業(yè)標(biāo)準(zhǔn)《電力系統(tǒng)網(wǎng)絡(luò)精確時(shí)間同步技術(shù)規(guī)范》，將在很大程度上對(duì)智能變電站PTP時(shí)間同步系統(tǒng)參數(shù)選擇、網(wǎng)絡(luò)配置、系統(tǒng)建模進(jìn)行了約束，明確系統(tǒng)應(yīng)用，解決系統(tǒng)聯(lián)調(diào)帶來(lái)的問(wèn)題。

3.2設(shè)備安全分析

IEC61588技術(shù)對(duì)設(shè)備硬件處理能力有較高的要求，它不僅需要設(shè)備識(shí)別PTP報(bào)文，并且將識(shí)別的PTP報(bào)文打上時(shí)間戳，之后CPU 還要對(duì)報(bào)文進(jìn)行處理，以獲得準(zhǔn)確的時(shí)間準(zhǔn)確度。下面以boardcom交換芯片為例，介紹PTP 報(bào)文的處理過(guò)程。

圖2是交換機(jī)發(fā)送時(shí)間戳報(bào)文的處理流程。首先交換機(jī)CPU生成Sync報(bào)文，并將它發(fā)送給交換芯片，交換芯片識(shí)別到Sync報(bào)文并優(yōu)先發(fā)送給介質(zhì)訪問(wèn)控制層(MAC)，在MAC出口打上報(bào)文發(fā)送時(shí)間戳，并將發(fā)送時(shí)刻信息返回給CPU，CPU 中斷，讀取時(shí)間戳信息并插入到Follow_Up報(bào)文中再發(fā)送出去。

圖2發(fā)送時(shí)間戳報(bào)文的處理流程

圖3是交換機(jī)接收時(shí)間戳報(bào)文的處理流程。MAC接收到事件報(bào)文并打上時(shí)間戳，分析器從大量報(bào)文中解析PTP同步報(bào)文，并將同步報(bào)文優(yōu)先發(fā)送給CPU，CPU根據(jù)接收到的Sync報(bào)文和Follow_Up報(bào)文，計(jì)算本地時(shí)鐘。

圖3接收時(shí)間戳報(bào)文的處理流程

可以看出，在IEC61588技術(shù)中，CPU 和MAC起到了非常關(guān)鍵的作用，它們承擔(dān)了PTP協(xié)議報(bào)文生成、時(shí)間戳記錄、時(shí)間計(jì)算的作用，而在整個(gè)處理過(guò)程中，其恰恰又是硬件處理的瓶頸，也是系統(tǒng)脆弱性所在。如果系統(tǒng)考慮不完善，會(huì)同時(shí)發(fā)生異?，F(xiàn)象，頻率過(guò)快、sequenceId的不連續(xù)、惡意的協(xié)議攻擊或者網(wǎng)絡(luò)風(fēng)暴等現(xiàn)象都將導(dǎo)致設(shè)備失效，甚至系統(tǒng)癱瘓。PTP系統(tǒng)在網(wǎng)絡(luò)負(fù)載為30Mbit/s情況下的對(duì)時(shí)精度測(cè)試結(jié)果見(jiàn)附錄A圖A2。

3.3網(wǎng)絡(luò)安全分析

智能變電站網(wǎng)絡(luò)結(jié)構(gòu)模型如圖4所示。

PTP技術(shù)可以應(yīng)用于過(guò)程層采樣值(SV)網(wǎng)絡(luò)和面向通用對(duì)象的變電站事件(GOOSE)網(wǎng)絡(luò)，而目前智能變電站應(yīng)用IEC61588技術(shù)存在的安全隱患主要有以下幾種。

1)網(wǎng)絡(luò)隔離不充分

目前，變電站內(nèi)部的網(wǎng)絡(luò)安全通常采用虛擬局域網(wǎng)(VLAN)技術(shù)進(jìn)行安全隔離，這種方法能夠在很大程度上對(duì)網(wǎng)絡(luò)中的安全隱患進(jìn)行防護(hù)。然而，由于IEC61588報(bào)文是一種可以跨越VLAN 的報(bào)文，所以VLAN對(duì)于IEC61588協(xié)議的攻擊起不到防護(hù)作用。網(wǎng)絡(luò)中的任何裝置，只要不進(jìn)行物理隔離，均能夠?qū)W(wǎng)絡(luò)中的其他裝置進(jìn)行攻擊，以占用被攻擊目標(biāo)的CPU資源，導(dǎo)致裝置癱瘓、時(shí)鐘紊亂或者死機(jī)。

2)偽造身份

由于共用網(wǎng)絡(luò)，而VLAN對(duì)于IEC61588協(xié)議起不到隔離作用，變電站中任何一個(gè)設(shè)備只要具備主時(shí)鐘功能，均可以偽造身份，以更高的優(yōu)先級(jí)角色扮演主時(shí)鐘，使真正的主時(shí)鐘處于靜默狀態(tài)，代替主時(shí)鐘工作，以達(dá)到破壞系統(tǒng)穩(wěn)定的目的。

3)網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)不合理

圖5是目前大多數(shù)智能變電站PTP系統(tǒng)采用的組網(wǎng)方式，該方式所有交換機(jī)工作于TC模式，保護(hù)裝置、合并單元、主時(shí)鐘等二次設(shè)備工作于OC模式下。該組網(wǎng)方式的弱點(diǎn)在于對(duì)主時(shí)鐘依賴程度過(guò)高，各間隔無(wú)單獨(dú)擴(kuò)展時(shí)鐘源，無(wú)法達(dá)到守時(shí)能力。

圖6、圖7是本文提出的2種PTP系統(tǒng)組網(wǎng)方案。圖6采用傳統(tǒng)對(duì)時(shí)方案，在總控室至間隔層采用B碼時(shí)鐘方式，間隔內(nèi)部采用PTP對(duì)時(shí)協(xié)議。圖7采用全網(wǎng)PTP對(duì)時(shí)方案，與主時(shí)鐘連接的交換機(jī)采用BC模式，同時(shí)要求交換機(jī)具有守時(shí)功能。2種方案均可以達(dá)到簡(jiǎn)化網(wǎng)絡(luò)設(shè)計(jì)的目的，同時(shí)實(shí)現(xiàn)主控室和間隔層時(shí)間同步系統(tǒng)守時(shí)功能。

4一種基于網(wǎng)絡(luò)仿真技術(shù)的測(cè)評(píng)方法

4.1測(cè)評(píng)指標(biāo)體系建立

評(píng)價(jià)智能變電站PTP時(shí)鐘系統(tǒng)有效性，建立測(cè)評(píng)指標(biāo)非常重要，指標(biāo)體系的建立主要從以下幾個(gè)方面加以考慮。

1)PTP工作原理：協(xié)議一致性、BMC算法正確性、錯(cuò)誤報(bào)文挑戰(zhàn)和報(bào)文回放處理正確性。

2)智能變電站應(yīng)用需求：對(duì)時(shí)精度小于1μs、守時(shí)精度小于1μs/h、時(shí)間抖動(dòng)小于200ns。

3)網(wǎng)絡(luò)對(duì)PTP影響：幀丟失、幀亂序、幀復(fù)制、網(wǎng)絡(luò)風(fēng)暴等均不應(yīng)對(duì)時(shí)間精度產(chǎn)生影響。

4.2測(cè)評(píng)模型

為解決目前智能變電站PTP時(shí)鐘系統(tǒng)應(yīng)用穩(wěn)定性問(wèn)題，國(guó)網(wǎng)電力科學(xué)研究院實(shí)驗(yàn)驗(yàn)證中心研究了一種采用分層控制技術(shù)進(jìn)行模塊化結(jié)構(gòu)設(shè)計(jì)的仿真系統(tǒng)，用于對(duì)智能變電站PTP時(shí)鐘系統(tǒng)進(jìn)行評(píng)估。圖8為基于網(wǎng)絡(luò)仿真技術(shù)的測(cè)試評(píng)估模型。

圖8測(cè)試評(píng)估模型