APATOR ELKOMTECH S.A.

Transkrypt

1 Komunikacja na podstacji energetycznej i wybrane aspekty bezpieczeństwa w standardzie IEC61850 Krzysztof Kalusiński

2 Grupa Apator SA systemy i urządzenia wspomagające pracę służb energetycznych w zakresie przesyłu oraz dystrybucji energii dystrybucja wyrobów firmy Apator na rynku rosyjskim systemy służące do wspomagania zarządzania majątkiem sieciowym systemy automatyki napędowej i układy rozdzielczo-sterownicze statyczne liczniki energii elektrycznej, aparatura łączeniowa dystrybucja wyrobów firmy Apator na rynku niemieckim Apator Telemetria Apator Metra Miitors jedno- i trójfazowe liczniki energii elektrycznej, przełączniki czasowe George Wilson Industries INDA gazomierze domowe, systemy inteligentnego pomiaru gazu aparatura górnicza Apator Metroteks Teplovodomer wodomierze, ciepłomierze, podzielniki kosztów ogrzewania, systemy zdalnego odczytu wody i ciepła

3 Apator Elkomtech SA Lat doświadczenia i obecności na rynku Pracowników Inżynierów różnych specjalizacji Produktów w ofercie Zrealizowanych projektów (2015) Klientów w ostatnim roku

4 IEC61850 zmiana w podejściu do projektowania stacji elektroenergetycznych

5 Cechy standardu IEC Pierwotnie: - standard obejmujący komunikację na wszystkich poziomach urządzeń automatyki stacyjnej, Obecnie: komunikacja pomiędzy stacjami wszystkich poziomów napięć, farmami wiatrowymi, rozproszonymi źródłami energii, Przyszłość: normy dla komunikacji pomiędzy centrami nadzoru, sterowania ładowaniem samochodów elektrycznych i in., Struktury danych modelujące urządzenia w systemie elektroenergetycznym, wykorzystane w przesyłaniu informacji.

6 Cechy standardu IEC Jednolite sieci informatyczne dla wymiany danych, usług, które są przesyłane w systemach komunikacyjnych wykorzystanie sieci Ethernet i protokołu TCP/IP, Ujednolicenie informacji zgodnej z opisem standaryzowanych typów danych dla urządzeń w stacji (łączników, przetworników pomiarowych, zabezpieczeń, itp.), Ujednolicone konfiguracje opisujące urządzenia na stacji język SCL (Substation Configuration Language), Komunikacja peer to peer i multicast.

7 System automatyki stacji Rozwiązanie standardowe IED1 Protokół komunikacyjny IED 2 Kanał inżynierski Obwody okrężne IED n

8 System automatyki stacji Standard IEC IED1 IED 2 IED n `komunikacja powiązania międzypolowe kanał inżynierski kanał diagnostyczny synchronizacja czasu LAN

9 System automatyki stacji Zalety użycia standardu IEC 61850: redukcja ilości okablowania na stacji, uproszczenie projektu obwodów wtórnych, modyfikacja automatyk nie wymaga zmian w okablowaniu, szybkość i stabilność przy przesyłaniu komunikatów, niezawodność połączeń (właściwa topologia sieci), łatwe wykrycie uszkodzeń oraz sygnałów niewiarygodnych, zdalny dostęp do informacji generowanej na stacji, lepsza diagnostyka i łatwiejsze usuwanie błędów, weryfikacja powiązań pomiędzy urządzeniami (edytor SCL).

10 Interfejsy wymiany danych 1. IED -> koncentrator 2. IED <-> zewnętrzne IED 3. IED <-> IED lokalne 4. IED <-> MU (pomiary) 5. IED <-> łączniki 6. Koncentrator -> IED 7. Koncentrator -> serwis (k.inż.) 8. IED <-> IED międzypolowe 9. Koncentrator <-> koncentrator 10. Koncentrator <-> SCADA

11 Wymagania dla sprzętu sieciowego zgodność ze standardem IEC , IEC , odpowiednia klasa kompatybilności elektromagnetycznej, zgodność z warunkami zasilania stacji energetycznej, niski pobór mocy z zasilania (wydzielanie ciepła), praca w układach redundantnych protokoły STP, RSTP, PRP,HSR redundancja nie jest obowiązkowa wynika z wymagań operatora, redundancja wielopoziomowa np. elementów IED, sieci połączeń komunikacji, aplikacji.

12 Łącza światłowodowe Norma IEC zaleca używanie światłowodowych łącz Ethernet dla osiągnięcia poziomu integralności danych niezbędnego dla realizacji poleceń sterowniczych i innych usług bezpośrednio oddziałujących na procesy stacji. Publikacje IEN Gdańsk zalecają używanie światłowodowych łącz Ethernet dla osiągnięcia minimalnych czasów opóźnień oczekiwanych w komunikacji z wykorzystaniem ramek GOOSE. Norma IEC zaleca łącza światłowodowe dla uniknięcia wpływu zakłóceń EM.

13 Redundantna stacyjna sieć LAN (szyna)

14 Infrastruktura sieciowa PRP i HSR

15 Infrastruktura sieciowa PRP i HSR

16 Przepływ danych pomiędzy urządzeniami Koncentrator 1 IED1 IED2 MU Koncentrator 2 LAN - Szyna stacyjna LAN - Szyny procesu MU MU Router IEDn

17 Obiektowa struktura danych na stacji Aparatura pierwotna Reprezentacja informatyczna LN: XCBR Mode Position stval q t SUBSTATION VOLTAGE LEVEL BAY BAY XSWI XCBR XSWI XSWI XSWI XSWI XSWI

18 Hierarchiczna struktura urządzeń IED IED 1 LD 1 LD N URZĄDZENIE LOGICZNE IED 2 LPHD LN 0 IED N LN N DO 1 WĘZEŁ LOGICZNY DO N DA 1 OBIEKT DANYCH DA N ATRYBUTY DANYCH

19 Sposoby wymiany danych pomiędzy IED Połączenia dedykowane serwer klient (raporty) połączenie zestawiane z odpowiednimi serwerami na podstawie konfiguracji klienta, serwer wysyła raporty spontanicznie, okresowo lub na żądanie klienta, wysyłane dane posiadają czas wystąpienia zmiany.

20 Sposoby wymiany danych pomiędzy IED Komunikaty rozgłoszeniowe (GOOSE, GSSE, SV): GOOSE są ramkami Ethernet o wysokim priorytecie, adresowanymi do określonej grupy odbiorców (subskrybentów), brak konkretnego adresata Brak potwierdzeń, GOOSE są wysyłane zaraz po wystąpieniu zdarzenia, a następnie są okresowo powtarzane z malejącą częstotliwością, aż do wystąpienia kolejnego zdarzenia, Serwer prezentuje wstępnie zdefiniowany zestaw danych natychmiast po każdym zdarzeniu Ograniczanie obszaru rozprzestrzeniania się ramek GOOSE przez wydzielenie z sieci lokalnej wirtualnych podsieci (VLAN).

21 Komunikacja GOOSE - korzyści Redukcja liczby kosztownych i kłopotliwych w eksploatacji obwodów wtórnych Zwiększona niezawodność przy zastosowaniu redundantnych połączeń sieciowych Stałe monitorowanie stanu połączeń i ostrzeganie o ich uszkodzeniach Brak uzależnienia sprzętu i infrastruktury od liczby i rodzajów zastosowanych automatyk Odporność na zakłócenia pod warunkiem zastosowania łączności światłowodowej

22 Komunikacja GOOSE - korzyści Możliwość dołączenia informacji o jakości oraz czasie zmiany poszczególnych sygnałów Możliwość pełnej identyfikacji źródła pobudzenia lub alarmu Możliwość przesyłania wartości analogowych Możliwość połączenia komunikacji GOOSE z konwencjonalnymi obwodami okrężnymi w celu dalszego zwiększenia niezawodności

23 Język opisu konfiguracji stacji (SCL) umożliwia formalny opis zależności pomiędzy systemem automatyki stacji (SAS), a stacją (rozdzielnią), pozwala przesłać opis konfiguracji IED do narzędzia konfigurującego system, a następnie opis konfiguracji całego systemu do narzędzia konfigurującego IED, zapewnia kompatybilność - wymianę opisu konfiguracji między narzędziami, pochodzącymi od różnych producentów.

24 Konfiguracja SCL SSD opis specyfikacji systemu SCD opis konfiguracji stacji SED opis systemu wymiany ICD opis możliwości IED CID opis skonfigurowanego IED IID opis instancji IED IED inteligentne elektroniczne urządzenie

25 Konfiguracja SCL

26 Edytor konfiguracji ExCfgEd zintegrowane środowisko konfiguracji stacji oprogramowanie konfiguracyjne producentów IED Projekt SCL Pliki IID Pliki ICD Plik SSD Plik SCD Edytor konfiguracji ExCfgEd Projekt serwerów IEC61850 Apator Elkomtech Plik IID/ICD Plik CID Plik SCD Plik CID Projekt klienta(ów) IEC61850 Apator Elkomtech IED serwer IED klient

27 Konfiguracja SCL w edytorze ExCfgEd automatyczna generacja plików ICD i IID dla urządzeń Ex, import plików ICD i IID innych urządzeń, edycja plików ICD i IID, edycja pliku opisu topologii stacji wraz z rozmieszczeniem funkcjonalności (plik SSD), automatyczna generacja pliku konfiguracji stacji (plik SCD).

28 Świadectwo zgodności

29 Koncentrator Ex-MST2_EU Ex-MST2_EU Konwerter protokołów IEC IEC DNP3.0 IEC IEC ,103 IEC DNP3.0 ModBus.

30 Sterownik polowy Ex-MST2_LU serwer IEC61850 Ex-MST2_LU Modelowanie IED LD LN0 Telemechanika -skupiona (moduły AI,BI,BO); -rozproszona (konwerter protokołów). LPHD GGIO LD urządzenie logiczne LN0 obowiązkowy węzeł logiczny LPHD - węzeł opisujący urządzenie fizyczne GGIO - uniwersalny węzeł wejść i wyjść

31 Sterownik Ex-MICRO2_NTE serwer IEC61850 Modelowanie IED LD LN0 Telemechanika -skupiona (moduły AI,BI,BO); -rozproszona (konwerter protokołów) LPHD GGIO LD urządzenie logiczne LN0 obowiązkowy węzeł logiczny LPHD - węzeł opisujący urządzenie fizyczne GGIO - uniwersalny węzeł wejść i wyjść

32 Centralna sygnalizacja Ex-SCC2 serwer IEC61850 Modelowanie Telemechanika (moduły BI,BO) IED LD LN0 LPHD GGIO LD urządzenie logiczne LN0 obowiązkowy węzeł logiczny LPHD - węzeł opisujący urządzenie fizyczne GGIO - uniwersalny węzeł wejść i wyjść

33 Rejestrator zakłóceń Ex-BEL serwer IEC61850 Prezentacja bieżących danych w IEC Dostęp do rejestracji w protokole FTP poprzez system plików. Modelowanie Telemechanika (moduły AI,BI,BO) IED LD LN0 LPHD RDRE GGIO LD urządzenie logiczne LN0 obowiązkowy węzeł logiczny LPHD - węzeł opisujący urządzenie fizyczne RDRE węzeł rejestratora zakłóceń GGIO - uniwersalny węzeł wejść i wyjść

34 Zabezpieczenie Ex-BEL serwer IEC61850 Prezentacja danych i funkcji zabezpieczeniowych w IEC Modelowanie IED LD-1 LN0 LPHD GGIO CALH RREC LD-2 LN0 LPHD PSDE XCBR CILO SIMG PTRC XSWI PTOC PTUC PTOV LD-0 LN0 LPHD MMXU LD-3 LN0 LPHD RDRE PTOF PTUF PTUV

35 Zabezpieczenie Ex-fBEL serwer IEC61850 Prezentacja danych i funkcji zabezpieczeniowych w IEC Modelowanie IED LD-1 LN0 LPHD GGIO CALH RREC LD-2 LN0 LPHD PSDE XCBR CILO SIMG PTRC XSWI PTOC PTUC PTOV LD-0 LN0 LPHD MMXU LD-3 LN0 LPHD RDRE PTOF PTUF PTUV

36 Przykłady realizacji

37 1 Uz. Sys. A ROZDZIELNIA 110KV WROCŁAW 3 Linia Sobótka P139 P433 P139 Ex-MST2_LU SC Modbus (10) IEC103 (5) IEC1107 (20) moxa 10 Linia Biskupice P139 P433 P Sprzęgło 21 Uz sys. B Linia Bielany Bielany 19 Linia 16 Linia LG Display LG Display 18 Linia Żórawina 19 Linia żurawina P139 P433 P139 P139 P433 moxa moxa RED 670 P433 P433 P139 P139 moxa 13 Klecina P433 FPW Ex-BEL P139 Ex-MST2_EU KR Ex-MST2_EU KP TS6 Ex-SSC2 TL6

38 Ex- MST2_EU Ex- MST2_EU Ex- MST2_EU Ex- MST2_EU AT1/ Byczyna 1 7SJ Lubocza 1 7SJ Łośnice 7SJ STACJA 220/110KV SIERSZA 7SA 7SD 7SA 7SD 7SA 7SD 7SA P43 7 7VK P43 7 7VK P43 7 7VK 7UT 7SJ 7SJ 7SJ 7SA moxa moxa P43 7 7SJ moxa 7SA 7VK AT SJ 7SJ AT1-10 moxa Sprzęgło UC moxa P63 3 moxa moxa P43 7 7SJ P43 7 7SJ P43 7 7SJ 7SA 7SD 7SA 7SD 7SA 7SJ Byczyna 2 7VK Lubocza 2 7VK 7SJ 7SJ Blok nr 5 7VE Lubocza Ex- 1MST2_EU Ex- MST2_EU Ex- MST2_EU Ex- MST2_EU Ex- MST2_EU TL- 6 TS- 6 TS- 6 7SJ 7SJ Ex- MST2_EU Ex- MST2_EU

39 R110: 5 pól 14 zabezpieczeń Linia Ursus UG2 REF63 0 REL67 0 RED61 5 moxa moxa moxa R15: 50 pól, 56 zabezpieczeń Linia kablowa Linia napowietrzna STACJA 110kV/SN URSUS Ex- BEL Ex- BEL TR1 REF63 0 REF63 0 RET65 0 moxa moxa TR Łącznik szyn REF63 0 REB67 0 PN TR2 REF63 0 REF63 0 RET65 0 DNP3 TPW Linia Piaseczno REF63 0 REL67 0 RED61 5 Centrum zdalne Sprzęgło Ex- MST2_EU Ex- BEL Ex- BEL Ex- BEL Ex- BEL Ex- BEL Ex- BEL Ex- BEL Ex- BEL

40 Automatyki sieciowe

41 Automatyki stacyjne w rodzinie BEL Lokalna rezerwa wyłącznikowa (LRW) w polach zasilających oraz w polu sprzęgła Blokada zabezpieczenia szyn zbiorczych (ZSZ) Samoczynne załączanie rezerwy (SZR) Samoczynne częstotliwościowe odciążanie (SCO) Samoczynne powtórne załączenie (SPZ) po SCO Blokada załączenia na zwarcie

42 Przykład automatyka LRW 1 TR_P1 P_P2 VLAN 1 żądanie URW od sprzęgła żądanie URW od sekcji SZR_P5 VLAN 2 L_P3 L_P4 L_P6 L_P7 TR_P9 8 P_P8 9

43 Przykład automatyka SZR 1 TR_P1 Stan wył. Blok. zał. od zab. Zanik P_P2 napięcia sekcji 1 VLAN 1 Żądanie zał. Żądanie wył SZR_P5 VLAN 2 Żądanie zał. Żądanie wył. L_P3 L_P4 L_P6 L_P7 TR_P9 Stan wył. Blok. zał. od zab. 8 P_P8 Zanik napięcia sekcji 2 9

44 Bezpieczeństwo w zaawansowanych systemach energetycznych

45 Niebezpieczeństwo ataków Rosnące potrzeby biznesowe otwierają sieć systemów SCADA na świat zewnętrzny Infrastruktura krytyczna narażona na ataki hakerskie Infrastruktura krytyczna narażona jest na ataki z wewnątrz

46 Przepisy Ustawa z dnia 26 kwietnia 2007r o zarządzaniu kryzysowym Art. 12a pkt 2 Organy administracji publicznej, posiadacze samoistni i zależni obiektów, instalacji lub urządzeń infrastruktury krytycznej są obowiązani niezwłocznie przekazywać Szefowi ABW, będące w ich posiadaniu, informacje dotyczące zagrożeń o charakterze terrorystycznym dla tej infrastruktury krytycznej, w tym zagrożeń dla funkcjonowania systemów i sieci energetycznych, wodnokanalizacyjnych, ciepłowniczych oraz teleinformatycznych istotnych z punktu widzenia bezpieczeństwa państwa, a także działań, które mogą prowadzić do zagrożenia życia lub zdrowia ludzi, mienia w znacznych rozmiarach, dziedzictwa narodowego lub środowiska. Rozporządzenie Rady Ministrów: nr 540 w sprawie Raportu o zagrożeniach bezpieczeństwa narodowego Nr 541 w sprawie Narodowego Programu Ochrony Infrastruktury Krytycznej Nr 542 w sprawie planów ochrony infrastruktury krytycznej

47 Niebezpieczeństwo ataków Raport o stanie bezpieczeństwa cyberprzestrzeni RP w roku 2014 Rządowy Zespół Reagowania na Incydenty Komputerowe CERT.GOV.PL

48 Niebezpieczeństwo ataków Raport o stanie bezpieczeństwa cyberprzestrzeni RP w roku 2015 Rządowy Zespół Reagowania na Incydenty Komputerowe CERT.GOV.PL

49 Niebezpieczeństwo ataków Coroczny wzrost liczby incydentów: Zgłoszeń w 2014 r Zgłoszeń w 2015 r Faktycznych incydentów w Faktycznych incydentów w

50 Poziomy bezpieczeństwa Serwery WindEx Terminal WindEx Terminal mobilny WindEx TLS 1.2 VPN TLS

51 1. Bezpieczeństwo aplikacji Serwery WindEx Terminal WindEx Terminal mobilny WindEx TLS 1.2 VPN TLS

52 2. Bezpieczeństwo komunikacji Serwery WindEx Terminal WindEx Terminal mobilny WindEx TLS 1.2 VPN TLS

53 3. Dostęp Fizyczny Serwery WindEx Terminal WindEx Terminal mobilny WindEx TLS 1.2 VPN TLS

54 bezpieczeństwo aplikacji dostęp fizyczny bezpieczeństwo komunikacji

55 Bezpieczeństwo komunikacji bezpieczeństwo komunikacji

56 Bezpieczeństwo komunikacji Zabezpieczenie danych przesyłanych pomiędzy: stacjami stacją a systemem SCADA systemami SCADA Dzięki zastosowaniu uwierzytelniania obu stron połączenia szyfrowania danych (poufność przesyłanych danych) uwierzytelniania źródła danych i poleceń (protokoły telemechaniki DNP, 101, 104)

57 Bezpieczeństwo komunikacji IEC/TS Power systems management and associated information exchange Data and communications security Part 5: Security for IEC and derivatives (Bezpieczeństwo danych i łączności w protokołach serii IEC i pochodnych (DNP3)) Dotyczy zabezpieczania transmisji danych przed zagrożeniami typu: fałszowanie adresów, modyfikacja treści komunikatów, powtórne wykorzystanie "podsłuchanych" komunikatów, nieautoryzowany dostęp do funkcji sterownika, przez uwierzytelnianie danych i poleceń sterowniczych. 57

58 Bezpieczeństwo komunikacji IEC/TS Power systems management and associated information exchange Data and communications security Part 3: Communication network and system security Profiles including TCP/IP Określa sposób zastosowania protokołu TLS (SSL) w kanałach łączności zapewniającego: wiarygodność przesyłanych danych (uwierzytelnianie obu stron) poufność danych (szyfrowanie) 58

59 Bezpieczeństwo komunikacji Protokół IEC Norma IEC/TS :2013 dla protokołu IEC/TS wymaga stosowania protokołu TLS w wersji 1.2 (SSL 3.3), wymaga implementacji zestawu szyfrującego TLS_RSA_WITH_AES_128_SHA zaleca implementacje zestawów szyfrujących łączących: szyfrowanie AES-128 lub AES-256, sygnaturę SHA1, SHA2-256 wymaga cyklicznej wymiany kluczy kodujących 59

60 Bezpieczeństwo komunikacji Protokół DNP3.0 Norma IEC/TS :2013 dla protokołu DNP3.0 wymaga stosowania protokołu TLS w wersji nie mniejszej niż 1.0 (SSL 3.1), wymaga implementacji zestawu szyfrującego TLS_RSA_WITH_AES_128_SHA zaleca implementacje zestawów szyfrujących łączących: szyfrowanie AES-128 lub AES-256, sygnaturę SHA1, SHA2-256 wymaga cyklicznej wymiany kluczy kodujących 60

61 Bezpieczeństwo komunikacji Urządzenia Apator Elkomtech Wdrożone obie części normy IEC/TS Part 3: Communication network and system security Profiles including TCP/IP (TLS) Part 5: Security for IEC and derivatives (uwierzytelnianie w kanałach łączności). System WindEx i komputery stacyjne Ex-MST2, Ex-micro2nte oraz inne urządzenia z systemem WX są w pełni przygotowane do prowadzenia łączności z wykorzystaniem szyfrowanego kanału łączności (TLS) i uwierzytelniania otrzymywanych danych i przesyłanych poleceń sterowniczych. 61

62 Bezpieczeństwo komunikacji IEEE 802.1X IPSec IKE2 ESP Zarządzanie certyfikatami SCEP OCSP 62

63 Rozwiązania dla systemów niezgodnych System APATOR ELKOMTECH S.A. Stacja TLS System Stacja TLS APATOR ELKOMTECH S.A. System APATOR ELKOMTECH S.A. Stacja TLS APATOR ELKOMTECH S.A. 63

64 Dziękuję za uwagę