# 二次安防怎么配：纵向加密、正反向隔离、防火墙在分布式场景的取舍

> 不少业主把二次安防当成「买一台加密装置」的事，其实纵向加密、正反向隔离、防火墙是三样各守一道边界的设备，不是三选一。2025 年 1 月 1 日起施行的新版《电力监控系统安全防护规定》（国家发展改革委令第 27 号）把边界划得很清楚：生产控制区与管理信息区之间用电力专用横向单向安全隔离装置，生产控制区联接广域网处用纵向加密认证装置，安全Ⅰ区与Ⅱ区之间、Ⅲ区与Ⅳ区之间用防火墙或相当功能的逻辑隔离设施。分布式光伏项目设备少、分区常被简化，恰恰最容易在这三道边界上配错位置。下面按「每样设备守哪道边界、分布式场景怎么简化、常见误配怎么避」拆开讲。

## 一、先说结论：三样设备守三道不同的边界

二次安防的十六字原则是「安全分区、网络专用、横向隔离、纵向认证」。落到设备上，每样东西的安装位置是固定的，挪了位置就是违规：

| 设备 | 安装边界 | 依据（27 号令） | 起的作用 |
| --- | --- | --- | --- |
| 电力专用横向单向安全隔离装置（正/反向隔离） | 生产控制区 ↔ 管理信息区、安全接入区 | 第九条 | 物理级单向摆渡，正向放行控制区到管理区的数据，反向只放行签名检查后的极少量报文 |
| 纵向加密认证装置（或加密认证网关） | 生产控制区 ↔ 电力监控专用网络广域网 | 第十一条 | 与调度主站双向身份认证＋业务数据加密 |
| 防火墙/访问控制设备 | 安全Ⅰ区 ↔ Ⅱ区、Ⅲ区 ↔ Ⅳ区、安全接入区 ↔ 终端 | 第十条 | 逻辑隔离，按策略做访问控制 |

一句话记法：**隔大区用隔离装置，联广域网用纵向加密，大区内部才轮到防火墙**。三者是「各管一段」的互补关系，任何一样都替代不了另外两样。

## 二、正反向隔离为什么是「物理级」，防火墙为什么不够

正向隔离装置允许生产控制大区的数据流向管理信息大区，反向只允许极少量特定报文通过，且报文要先签名、再由装置做安全性检查后转发——这道墙是物理级别的，不是防火墙那种靠规则匹配的逻辑隔离。27 号令第十五条还明确：任何分区边界上禁止穿越通用网络服务。

为什么Ⅱ/Ⅲ区之间不能用防火墙凑合？因为管理信息大区一侧通常连着互联网（云平台、运维远程接入），攻击面在墙外面；防火墙是软件规则，隔离装置在物理层只摆渡特定格式数据，即使管理区被攻破，控制区也拿不到双向通道。对用了厂家云平台看发电量的分布式光伏项目，这一道正是云平台数据回传调度侧的那条路。

## 三、分布式场景的简化配置：分区可以少，边界不能丢

27 号令第七条允许在满足总体安全要求前提下简化安全区设置，低安全等级业务可以就高放置。实际分布式项目里最常见的是两种简化形态：

**形态一：只有安全Ⅰ区＋安全接入区**。小容量项目（380V 接入点及小容量 10(6)kV 项目）按山东地方标准 DB37/T 4975-2025《分布式光伏直采直控技术规范》，配置支持国产商用密码算法的加密认证设备即可；生产控制区业务模块通过无线公网等非专用网络与终端联接时，必须设立安全接入区（第六条），区内设通信代理模块并加密认证（第十四条），禁止存储重要数据。

**形态二：10(6)kV 并网点或容量 ≥100kW 的项目**，要求配置电力专用纵向加密认证装置或具备同等功能的集成设备，与调度主站做双向身份强认证。站内有本地监控/功率预测等Ⅱ区业务的，Ⅰ/Ⅱ区之间加防火墙；有管理信息大区业务的，Ⅱ/Ⅲ区之间上正反向隔离装置。

还有一条容易被忽略的硬规定：生产控制区**禁止选用具有无线通信功能的产品**（第十三条），特殊业务确需无线的必须走安全接入区。这意味着带 4G 模块的终端如果把 4G 口划在生产控制区内用，验收时会被卡；正确做法是 4G 通道纳入安全接入区或改用内置国密加密的专用终端。

## 四、三种常见误配，验收时最容易卡

**误配一：拿防火墙当横向隔离用。** Ⅱ区到Ⅲ区之间挂一台普通防火墙，看着「隔开了」，但 27 号令第九条要求的是电力专用横向单向安全隔离装置——防火墙不具备物理单向摆渡能力，等保测评和调度验收都不认。

**误配二：反向隔离方向装反。** 反向隔离是低级别区向高级别区传数据的唯一通道，签名→检查→转发有固定流向。现场把正反向装反，轻则数据传不过去查一晚上链路，重则验收直接判不合格。安装前先核对设备铭牌的内外网侧标识。

**误配三：加密方式和容量档次对不上。** 100kW 以上项目用了只支持传输层加密的简易设备，或者小项目堆了整套独立加密装置导致预算翻倍——两种都常见。配置前先确认两件事：并网点电压等级、项目容量，再对照当地调度机构认可的设备形态（独立装置还是集成模块），拿不准就带着接入方案问属地调度。

## 五、验收前的四步自查

1. **画一张分区图**：把每个设备（逆变器、采集终端、加密装置、隔离装置、防火墙、交换机）标进对应安全区，检查有没有「纵向交叉联接」（第七条禁止）。
2. **对边界**：每个分区边界上是什么设备，逐一对照上表；管理信息区到互联网的出口、云平台回传链路单独核对。
3. **查无线**：生产控制区内有没有带无线功能的产品在工作；有，走安全接入区或换设备。
4. **留证书**：纵向加密装置的证书与密钥申请周期要算进工期，这部分不由设备厂家控制；验收材料里设备检测证书齐全才能过。

二次安防不是并网后补课的项目，方案阶段把三道边界画对，比调试阶段返工便宜得多。拿不准分区怎么简化，把项目容量、并网点电压等级、是否上云平台这三个信息报给调度或设备厂家，十分钟就能对出该配哪几样。

---

**相关阅读**：[电力监控系统安全防护：为什么每个并网终端都要谈加密](/knowledge/vertical-encryption/) ｜ [绿电直连项目：数据为什么按两条通道分开送](/knowledge/green-power-direct-connection-data-channel/) ｜ [分布式光伏并网：通信侧联调与验收要准备什么](/knowledge/pv-grid-commissioning-checklist/)