电力监控系统安全防护：为什么每个并网终端都要谈加密

技术知识库

十六字原则，每一句都在约束什么

安全分区：把电力监控系统按业务重要程度划分为生产控制大区和管理信息大区，生产控制大区再分为控制区（安全 I 区）和非控制区（安全 II 区）。实时控制业务在 I 区，非实时监测在 II 区。分区决定了你的设备该接在哪里、走什么通道。

网络专用：生产控制大区要使用专用的网络设备组网，不能与办公网、互联网混用。

横向隔离：生产控制大区与管理信息大区之间必须部署横向隔离装置，且是单向的——正向隔离允许生产区数据流向管理区，反向只允许极少量特定报文。这道墙是物理级别的，不是防火墙那种逻辑隔离。

纵向加密：生产控制大区与调度主站之间的广域网通道要部署纵向加密认证装置，实现身份认证与数据加密。

对并网终端的实际影响

分布式光伏的四可终端要把数据送到调度主站，走的正是「纵向」这条通道。所以：

• 如果项目要求部署外置纵向加密认证装置，终端本身不加密，数据先到加密装置再出去。这种模式下终端选型相对自由，但要预留接口和机柜空间。
• 如果采用内置加密模块，终端自身完成加密。好处是集成度高、少一台设备、少一个故障点；要求是终端必须支持相应的加密规范。
• 还有一种是传输层加密（如 TLCP），在通信协议层做加密，不依赖专用硬件。远盛 VM105 这类多合一终端就融合了 TLCP 传输层加密功能。

三种方式的合规性认定，各地调度机构的要求不完全一致。在方案阶段就要确认清楚当地要求的是哪一种，否则设备到现场发现加密方式不对，返工成本很高。

户用光伏为什么也要加密

很多人以为户用项目容量小、不重要，不需要加密。实际上要求来自另一个角度：数据一旦上了调度主站的通道，就在生产控制大区的边界上，无论数据来自 3kW 还是 3MW 的电站。

户用场景的特殊困难是不能影响逆变器原有通信——农户可能还需要用厂家 App 看发电量。远盛的处理方式是加装旁路装置：户用光伏加密通信棒（智能通信终端 D200S）在逆变器外增加一路加密通道，采集数据同时发往调度主站，不改变逆变器原有通信功能。

一个常见误区

「我在终端和主站之间开了 VPN，等于加密了」 —— 不等于。纵向加密认证装置是经过检测认证的专用设备，具备特定的密钥管理体系和协议规范。普通 IPSec 或 TLS VPN 在功能上可以做加密，但在合规认定上不能替代纵向加密装置。这一点在验收时会被卡。

实务建议

1. 先问加密方式，再选设备。顺序反了会返工
2. 证书与密钥的申请周期要算进工期。这部分不由设备厂家控制
3. 加密装置的位置影响组屏方案。外置装置需要机柜空间和电源
4. 保留调试通道。加密配置错误时，没有本地调试手段会非常被动