智能變電站IEC61588時(shí)間同步系統(tǒng)與安全評(píng)估

摘要：通過(guò)介紹智能變電站對(duì)時(shí)間同步需求和網(wǎng)絡(luò)時(shí)間協(xié)議的技術(shù)特點(diǎn)、工作原理和組網(wǎng)方式，分析了目前網(wǎng)絡(luò)時(shí)間同步系統(tǒng)在智能變電站應(yīng)用中的優(yōu)勢(shì)與不足。對(duì)于IEC61588網(wǎng)絡(luò)時(shí)間同步系統(tǒng)在系統(tǒng)管理、產(chǎn)品設(shè)計(jì)和網(wǎng)絡(luò)結(jié)構(gòu)上存在的安全隱患，提出了一種基于智能變電站網(wǎng)絡(luò)流量仿真技術(shù)的安全測(cè)評(píng)方法，并利用該方法進(jìn)行了測(cè)評(píng)實(shí)例分析，保證了IEC61588時(shí)間同步系統(tǒng)智能變電站的安全可靠運(yùn)行。

0引言

目前，隨著中國(guó)智能電網(wǎng)的快速推進(jìn)，傳統(tǒng)變電站正逐步向基于IEC61850標(biāo)準(zhǔn)的智能變電站方向發(fā)展，基于網(wǎng)絡(luò)的時(shí)間同步系統(tǒng)在智能變電站有了廣闊的應(yīng)用空間。簡(jiǎn)單網(wǎng)絡(luò)時(shí)間協(xié)議(SNTP)在變電站站控層得到廣泛應(yīng)用，基于IEC61588的精確時(shí)間協(xié)議(PTP)也在智能變電站過(guò)程層得到應(yīng)用。目前，已投運(yùn)的應(yīng)用IEC61588技術(shù)的智能變電站主要有蘇州500kV玉山智能變電站、延安330kV智能化改造變電站、河南淇縣220kV智能變電站、無(wú)錫220kV西徑智能變電站和天津110kV 和暢路變電站。

智能變電站應(yīng)用IEC61588技術(shù)的優(yōu)點(diǎn)主要有：①能夠提供高精度的對(duì)時(shí)性能，對(duì)時(shí)精度小于1μs且能夠滿(mǎn)足合并單元、保護(hù)裝置、智能終端設(shè)備、同步相量測(cè)量裝置(PMU)及行波測(cè)距裝置、雷電波定位裝置等對(duì)時(shí)間精度的需求;②IEC61588技術(shù)是基于以太網(wǎng)技術(shù)發(fā)展而來(lái)的，與智能變電站網(wǎng)絡(luò)結(jié)構(gòu)完全吻合，利用現(xiàn)有網(wǎng)絡(luò)就可以實(shí)現(xiàn)時(shí)間同步對(duì)時(shí)功能，不需要單獨(dú)布線(xiàn)，從而優(yōu)化了變電站網(wǎng)絡(luò)結(jié)構(gòu);③智能變電站采用IEC61588技術(shù)，在系統(tǒng)中只需要保留2臺(tái)主時(shí)鐘，減少了擴(kuò)展裝置的投入，從而減少了系統(tǒng)中運(yùn)行設(shè)備的數(shù)量，降低了設(shè)備成本;④全站采用網(wǎng)絡(luò)時(shí)間同步技術(shù)，使時(shí)間同步系統(tǒng)建模更加方便，有利于變電站二次系統(tǒng)的集中監(jiān)控和管理。

雖然IEC61588技術(shù)在智能變電站應(yīng)用方面有很多優(yōu)點(diǎn)，但現(xiàn)階段仍然存在很多需要解決的問(wèn)題：①I(mǎi)EC61588技術(shù)在智能變電站應(yīng)用的案例不多，經(jīng)驗(yàn)少、產(chǎn)品不成熟、系統(tǒng)運(yùn)行穩(wěn)定性差，存在時(shí)間抖動(dòng)大、抗網(wǎng)絡(luò)風(fēng)暴能力差及長(zhǎng)時(shí)間對(duì)時(shí)失效的現(xiàn)象;②由于IEC61588特殊的工作原理，需要在系統(tǒng)研制過(guò)程中采取足夠的安全防護(hù)措施，降低設(shè)備被惡意攻擊的可能性，而這種安全防護(hù)在現(xiàn)有系統(tǒng)設(shè)計(jì)中均沒(méi)有得到足夠重視，使得產(chǎn)品設(shè)計(jì)存在嚴(yán)重缺陷，系統(tǒng)運(yùn)行存在安全隱患;③應(yīng)用經(jīng)驗(yàn)較少，系統(tǒng)設(shè)計(jì)不合理，雖然已有一些試點(diǎn)智能變電站，但系統(tǒng)內(nèi)深入了解該技術(shù)的人員非常少，存在系統(tǒng)設(shè)計(jì)缺陷(如缺少備用主時(shí)鐘、間隔層缺少守時(shí)系統(tǒng)等);④支持IEC61588技術(shù)的成熟產(chǎn)品不多，造成變電站二次系統(tǒng)總體造價(jià)過(guò)高，阻礙了該技術(shù)在智能變電站中的應(yīng)用，但隨著技術(shù)的成熟和市場(chǎng)的有序競(jìng)爭(zhēng)，該問(wèn)題將逐步得到解決。

本文結(jié)合工程經(jīng)驗(yàn)和實(shí)驗(yàn)室測(cè)試數(shù)據(jù)，對(duì)IEC61588PTP[1]在智能變電站應(yīng)用中存在的安全問(wèn)題和安全防護(hù)措施進(jìn)行了探討，并提出了一種基于變電站網(wǎng)絡(luò)流量仿真的測(cè)試方法，用以評(píng)估系統(tǒng)安全性。

1IEC61588PTP

IEC61588標(biāo)準(zhǔn)主要為滿(mǎn)足測(cè)量?jī)x器和工業(yè)控制所需要的測(cè)量準(zhǔn)確度而產(chǎn)生，在2008年形成了IEEE1588V2，并很快被國(guó)際電工委員會(huì)(IEC)和國(guó)家標(biāo)準(zhǔn)采用，形成IEC61588—2009 和GB/T25931—2010標(biāo)準(zhǔn)。

IEC61588標(biāo)準(zhǔn)中定義了10種類(lèi)型報(bào)文，其中4種為事件報(bào)文，用于產(chǎn)生和通信中同步普通時(shí)鐘(OC)和邊界時(shí)鐘(BC)的時(shí)間信息，其在發(fā)送和接收時(shí)產(chǎn)生精確時(shí)間戳;6種為普通報(bào)文，用于測(cè)量2個(gè)時(shí)鐘之間的鏈路延時(shí)和信息管理。10種報(bào)文均需要由CPU 進(jìn)行處理，并占用CPU 資源，安全防護(hù)考慮不全面，將為系統(tǒng)運(yùn)行帶來(lái)隱患。

IEC61588協(xié)議本身支持源地址可信性認(rèn)證、信息完整性識(shí)別和回放攻擊保護(hù)機(jī)制，已對(duì)安全防護(hù)進(jìn)行了充分考慮。IEC61588協(xié)議的安全性通過(guò)以下2種安全機(jī)制加以實(shí)現(xiàn)。

1)回放保護(hù)機(jī)制：該機(jī)制通過(guò)使用信息認(rèn)證碼來(lái)確認(rèn)接收到的信息是由驗(yàn)證源發(fā)出，在傳輸途中未經(jīng)修改，并且是即時(shí)的(即不是某個(gè)信息的回放)。回放保護(hù)通過(guò)使用計(jì)數(shù)器來(lái)實(shí)施。

2)挑戰(zhàn)—響應(yīng)機(jī)制：該機(jī)制用來(lái)確認(rèn)新信息源的可靠性和真實(shí)性，并對(duì)經(jīng)驗(yàn)證的數(shù)據(jù)關(guān)聯(lián)性進(jìn)行實(shí)時(shí)更新。

2智能變電站PTP系統(tǒng)

2.1PTP時(shí)間同步原理

PTP技術(shù)主要應(yīng)用于智能變電站過(guò)程層，同步模式目前選用二步法、IEEE802.3/Ethernet模式、點(diǎn)到點(diǎn)(P2P)模式。圖1為簡(jiǎn)化智能變電站PTP時(shí)間同步模型。該模型主要由Sync，F(xiàn)ollow_Up，Announce，Pdelay_Req，Pdelay_Resp 和Pdelay_Resp_Follow_Up共6種報(bào)文組成，這也是目前已經(jīng)投運(yùn)智能變電站采用最多的同步模型。

式中：t1為發(fā)送時(shí)間;t4為接收時(shí)間;tD為路徑延遲時(shí)間;tC為駐留時(shí)間。

2.2故障現(xiàn)象

雖然IEC61588在智能變電站中已有一些應(yīng)用，但系統(tǒng)運(yùn)行狀況并不樂(lè)觀，目前已投運(yùn)設(shè)備的故障現(xiàn)象主要集中在以下幾點(diǎn)。

1)協(xié)議理解不統(tǒng)一

系統(tǒng)調(diào)試過(guò)程中，經(jīng)常會(huì)發(fā)現(xiàn)廠家設(shè)備不支持IEEE802.3/Ethernet模式、P2P模式或透明時(shí)鐘(TC)模式，而此系統(tǒng)設(shè)計(jì)并沒(méi)有提出明確要求;在最佳主時(shí)鐘(BMC)算法中，對(duì)Announce報(bào)文的處理理解不統(tǒng)一，靜默主時(shí)鐘是否需要發(fā)送Announce報(bào)文沒(méi)有規(guī)定;交換機(jī)是否需要發(fā)送鏈路延時(shí)請(qǐng)求報(bào)文，從時(shí)鐘是否需要響應(yīng)交換機(jī)發(fā)送的鏈路延時(shí)請(qǐng)求等均沒(méi)有明確規(guī)定。

2)設(shè)計(jì)不合理

由于對(duì)IEC61588理解不足，系統(tǒng)設(shè)計(jì)時(shí)在每個(gè)獨(dú)立的物理網(wǎng)絡(luò)只設(shè)計(jì)了一個(gè)主時(shí)鐘，不能實(shí)現(xiàn)主備互用，降低了系統(tǒng)的可靠性。

3)系統(tǒng)穩(wěn)定性差

抗網(wǎng)絡(luò)流量影響能力差，每隔一段時(shí)間系統(tǒng)就會(huì)發(fā)現(xiàn)對(duì)時(shí)異常信息，甚至發(fā)現(xiàn)長(zhǎng)時(shí)間對(duì)時(shí)失效。

附錄A 圖A1 是某智能變電站投運(yùn)后，IEC61588時(shí)鐘在過(guò)程層正常運(yùn)行與故障運(yùn)行的信息狀況?？梢钥闯觯粨Q機(jī)駐留時(shí)間計(jì)算出現(xiàn)嚴(yán)重錯(cuò)誤，修正域值達(dá)到了億秒并溢出為負(fù)值，該現(xiàn)象的長(zhǎng)時(shí)間出現(xiàn)將導(dǎo)致保護(hù)裝置閉鎖。

3智能變電站IEC61588系統(tǒng)風(fēng)險(xiǎn)分析

3.1管理制度安全分析

國(guó)內(nèi)絕大多數(shù)電力生產(chǎn)運(yùn)行人員和設(shè)計(jì)人員沒(méi)有接觸過(guò)IEC61588技術(shù)，行業(yè)內(nèi)缺少相應(yīng)的技術(shù)標(biāo)準(zhǔn)和設(shè)計(jì)規(guī)范加以指導(dǎo)，已投運(yùn)系統(tǒng)仍有不同程度的缺陷，尚未形成典型設(shè)計(jì)方案，加之IEC61588技術(shù)可選參數(shù)非常多，不同廠家可能采用不同參數(shù)配置，為系統(tǒng)聯(lián)調(diào)帶來(lái)很多困難。在IEC61850標(biāo)準(zhǔn)中，未定義時(shí)間同步模型，所以目前時(shí)間同步系統(tǒng)還不能在監(jiān)控后臺(tái)上進(jìn)行管理和監(jiān)控。這些都為基于IEC61588 技術(shù)的時(shí)間同步系統(tǒng)管理帶來(lái)了困難。

目前正在起草的電力行業(yè)標(biāo)準(zhǔn)《電力系統(tǒng)網(wǎng)絡(luò)精確時(shí)間同步技術(shù)規(guī)范》，將在很大程度上對(duì)智能變電站PTP時(shí)間同步系統(tǒng)參數(shù)選擇、網(wǎng)絡(luò)配置、系統(tǒng)建模進(jìn)行了約束，明確系統(tǒng)應(yīng)用，解決系統(tǒng)聯(lián)調(diào)帶來(lái)的問(wèn)題。

3.2設(shè)備安全分析

IEC61588技術(shù)對(duì)設(shè)備硬件處理能力有較高的要求，它不僅需要設(shè)備識(shí)別PTP報(bào)文，并且將識(shí)別的PTP報(bào)文打上時(shí)間戳，之后CPU 還要對(duì)報(bào)文進(jìn)行處理，以獲得準(zhǔn)確的時(shí)間準(zhǔn)確度。下面以boardcom交換芯片為例，介紹PTP 報(bào)文的處理過(guò)程。

圖2是交換機(jī)發(fā)送時(shí)間戳報(bào)文的處理流程。首先交換機(jī)CPU生成Sync報(bào)文，并將它發(fā)送給交換芯片，交換芯片識(shí)別到Sync報(bào)文并優(yōu)先發(fā)送給介質(zhì)訪問(wèn)控制層(MAC)，在MAC出口打上報(bào)文發(fā)送時(shí)間戳，并將發(fā)送時(shí)刻信息返回給CPU，CPU 中斷，讀取時(shí)間戳信息并插入到Follow_Up報(bào)文中再發(fā)送出去。

圖2發(fā)送時(shí)間戳報(bào)文的處理流程

圖3是交換機(jī)接收時(shí)間戳報(bào)文的處理流程。MAC接收到事件報(bào)文并打上時(shí)間戳，分析器從大量報(bào)文中解析PTP同步報(bào)文，并將同步報(bào)文優(yōu)先發(fā)送給CPU，CPU根據(jù)接收到的Sync報(bào)文和Follow_Up報(bào)文，計(jì)算本地時(shí)鐘。

圖3接收時(shí)間戳報(bào)文的處理流程

可以看出，在IEC61588技術(shù)中，CPU 和MAC起到了非常關(guān)鍵的作用，它們承擔(dān)了PTP協(xié)議報(bào)文生成、時(shí)間戳記錄、時(shí)間計(jì)算的作用，而在整個(gè)處理過(guò)程中，其恰恰又是硬件處理的瓶頸，也是系統(tǒng)脆弱性所在。如果系統(tǒng)考慮不完善，會(huì)同時(shí)發(fā)生異?，F(xiàn)象，頻率過(guò)快、sequenceId的不連續(xù)、惡意的協(xié)議攻擊或者網(wǎng)絡(luò)風(fēng)暴等現(xiàn)象都將導(dǎo)致設(shè)備失效，甚至系統(tǒng)癱瘓。PTP系統(tǒng)在網(wǎng)絡(luò)負(fù)載為30Mbit/s情況下的對(duì)時(shí)精度測(cè)試結(jié)果見(jiàn)附錄A圖A2。

3.3網(wǎng)絡(luò)安全分析

智能變電站網(wǎng)絡(luò)結(jié)構(gòu)模型如圖4所示。

PTP技術(shù)可以應(yīng)用于過(guò)程層采樣值(SV)網(wǎng)絡(luò)和面向通用對(duì)象的變電站事件(GOOSE)網(wǎng)絡(luò)，而目前智能變電站應(yīng)用IEC61588技術(shù)存在的安全隱患主要有以下幾種。

1)網(wǎng)絡(luò)隔離不充分

目前，變電站內(nèi)部的網(wǎng)絡(luò)安全通常采用虛擬局域網(wǎng)(VLAN)技術(shù)進(jìn)行安全隔離，這種方法能夠在很大程度上對(duì)網(wǎng)絡(luò)中的安全隱患進(jìn)行防護(hù)。然而，由于IEC61588報(bào)文是一種可以跨越VLAN 的報(bào)文，所以VLAN對(duì)于IEC61588協(xié)議的攻擊起不到防護(hù)作用。網(wǎng)絡(luò)中的任何裝置，只要不進(jìn)行物理隔離，均能夠?qū)W(wǎng)絡(luò)中的其他裝置進(jìn)行攻擊，以占用被攻擊目標(biāo)的CPU資源，導(dǎo)致裝置癱瘓、時(shí)鐘紊亂或者死機(jī)。

2)偽造身份

由于共用網(wǎng)絡(luò)，而VLAN對(duì)于IEC61588協(xié)議起不到隔離作用，變電站中任何一個(gè)設(shè)備只要具備主時(shí)鐘功能，均可以偽造身份，以更高的優(yōu)先級(jí)角色扮演主時(shí)鐘，使真正的主時(shí)鐘處于靜默狀態(tài)，代替主時(shí)鐘工作，以達(dá)到破壞系統(tǒng)穩(wěn)定的目的。

3)網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)不合理

圖5是目前大多數(shù)智能變電站PTP系統(tǒng)采用的組網(wǎng)方式，該方式所有交換機(jī)工作于TC模式，保護(hù)裝置、合并單元、主時(shí)鐘等二次設(shè)備工作于OC模式下。該組網(wǎng)方式的弱點(diǎn)在于對(duì)主時(shí)鐘依賴(lài)程度過(guò)高，各間隔無(wú)單獨(dú)擴(kuò)展時(shí)鐘源，無(wú)法達(dá)到守時(shí)能力。

圖6、圖7是本文提出的2種PTP系統(tǒng)組網(wǎng)方案。圖6采用傳統(tǒng)對(duì)時(shí)方案，在總控室至間隔層采用B碼時(shí)鐘方式，間隔內(nèi)部采用PTP對(duì)時(shí)協(xié)議。圖7采用全網(wǎng)PTP對(duì)時(shí)方案，與主時(shí)鐘連接的交換機(jī)采用BC模式，同時(shí)要求交換機(jī)具有守時(shí)功能。2種方案均可以達(dá)到簡(jiǎn)化網(wǎng)絡(luò)設(shè)計(jì)的目的，同時(shí)實(shí)現(xiàn)主控室和間隔層時(shí)間同步系統(tǒng)守時(shí)功能。

4一種基于網(wǎng)絡(luò)仿真技術(shù)的測(cè)評(píng)方法

4.1測(cè)評(píng)指標(biāo)體系建立

評(píng)價(jià)智能變電站PTP時(shí)鐘系統(tǒng)有效性，建立測(cè)評(píng)指標(biāo)非常重要，指標(biāo)體系的建立主要從以下幾個(gè)方面加以考慮。

1)PTP工作原理：協(xié)議一致性、BMC算法正確性、錯(cuò)誤報(bào)文挑戰(zhàn)和報(bào)文回放處理正確性。

2)智能變電站應(yīng)用需求：對(duì)時(shí)精度小于1μs、守時(shí)精度小于1μs/h、時(shí)間抖動(dòng)小于200ns。

3)網(wǎng)絡(luò)對(duì)PTP影響：幀丟失、幀亂序、幀復(fù)制、網(wǎng)絡(luò)風(fēng)暴等均不應(yīng)對(duì)時(shí)間精度產(chǎn)生影響。

4.2測(cè)評(píng)模型

為解決目前智能變電站PTP時(shí)鐘系統(tǒng)應(yīng)用穩(wěn)定性問(wèn)題，國(guó)網(wǎng)電力科學(xué)研究院實(shí)驗(yàn)驗(yàn)證中心研究了一種采用分層控制技術(shù)進(jìn)行模塊化結(jié)構(gòu)設(shè)計(jì)的仿真系統(tǒng)，用于對(duì)智能變電站PTP時(shí)鐘系統(tǒng)進(jìn)行評(píng)估。圖8為基于網(wǎng)絡(luò)仿真技術(shù)的測(cè)試評(píng)估模型。

圖8測(cè)試評(píng)估模型

該測(cè)試評(píng)估模型根據(jù)PTP時(shí)間同步原理制定了基本測(cè)試項(xiàng)，主要分為正向(肯定)測(cè)試與反向(否定)測(cè)試：正向測(cè)試重點(diǎn)對(duì)時(shí)間準(zhǔn)確度、協(xié)議符合性、BMC算法、鏈路延時(shí)的計(jì)算能力以及網(wǎng)絡(luò)風(fēng)暴影響進(jìn)行測(cè)評(píng);反向測(cè)試重點(diǎn)對(duì)幀亂序、幀復(fù)制、錯(cuò)誤報(bào)文挑戰(zhàn)以及網(wǎng)絡(luò)數(shù)據(jù)回放等網(wǎng)絡(luò)異常和惡意攻擊事件進(jìn)行測(cè)評(píng)。

4.3合格判定

合格的判斷依據(jù)是滿(mǎn)足IEC61588標(biāo)準(zhǔn)要求和智能變電站應(yīng)用需求，具體體現(xiàn)在以下幾個(gè)方面。

1)協(xié)議和BMC算法正確，能夠正常對(duì)時(shí)并進(jìn)行報(bào)文交互，在網(wǎng)絡(luò)正常情況下，不產(chǎn)生失效等報(bào)警信息。

2)時(shí)間精度小于1μs，并在各種網(wǎng)絡(luò)影響條件下不產(chǎn)生較大抖動(dòng)，具有很好的穩(wěn)定性。

3)隨著時(shí)間精度的劣化，能夠正確輸出時(shí)間質(zhì)量標(biāo)識(shí)信息。

4)在遭遇到惡意攻擊的情況下，能夠正確輸出時(shí)間信息。

4.4測(cè)評(píng)實(shí)例

表1和表2是某智能變電站投運(yùn)前利用上述測(cè)評(píng)模型進(jìn)行整改前后的評(píng)估數(shù)據(jù)，該智能變電站目前運(yùn)行正常。

該測(cè)試評(píng)估模型可以真實(shí)地模擬智能變電站的實(shí)際網(wǎng)絡(luò)環(huán)境，能夠滿(mǎn)足智能變電站時(shí)間敏感性和信息安全測(cè)試需求，大大提高了智能變電站PTP時(shí)間同步系統(tǒng)查找分析問(wèn)題的能力，更有利于智能變電站網(wǎng)絡(luò)優(yōu)化設(shè)計(jì)實(shí)施和PTP時(shí)間同步系統(tǒng)在電力系統(tǒng)中的應(yīng)用。

表1整改前測(cè)評(píng)數(shù)據(jù)

5結(jié)語(yǔ)

IEC61588技術(shù)在電力系統(tǒng)中的應(yīng)用才剛剛起步，雖然已經(jīng)在少數(shù)變電站試點(diǎn)應(yīng)用，但系統(tǒng)運(yùn)行還不穩(wěn)定，相關(guān)產(chǎn)品還存在缺陷，其安全問(wèn)題也沒(méi)有得到足夠認(rèn)識(shí)。

IEC61588要在智能變電站得到應(yīng)用，必須解決安全問(wèn)題和產(chǎn)品質(zhì)量缺陷，并經(jīng)過(guò)嚴(yán)格測(cè)試，否則安全隱患難以消除。本文提出基于網(wǎng)路仿真系統(tǒng)的試驗(yàn)方法，能夠有效解決IEC61588產(chǎn)品測(cè)試的需求，能夠?qū)EC61588產(chǎn)品性能、功能和安全性進(jìn)行全面考核。隨著技術(shù)的進(jìn)步和產(chǎn)品質(zhì)量的完善，IEC61588技術(shù)能夠在電力行業(yè)得到廣泛應(yīng)用。

參考文獻(xiàn)

[1]IEC61588—2009Precisionclocksynchronizationprotocolfornetworkedmeasurementandcontrolsystems[S].2009.

[2]胡永春，張雪松，許偉國(guó)，等.IEEE1588時(shí)鐘同步系統(tǒng)誤差分析及其檢測(cè)方法[J].電力系統(tǒng)自動(dòng)化，2010，34(21)：107-111.HUYongchun，ZHANGXuesong，XUWeiguo，etal.ErroranalysisanddetectionmethodforIEEE1588 clocksynchronizationsystem [J].AutomationofElectricPowerSystems，2010，34(21)：107-111.

[3]于鵬飛，喻強(qiáng)，鄧輝，等.IEEE1588精確時(shí)間同步協(xié)議的應(yīng)用方案[J].電力系統(tǒng)自動(dòng)化，2009，33(13)：99-103.YUPengfei，YUQiang，DENGHui，etal.TheresearchofprecisiontimeprotocolIEEE1588[J].AutomationofElectricPowerSystems，2009，33(13)：99-103.

更多好文：21ic智能電網(wǎng)