一种电力调度动态网络隔离策略生成方法及系统与流程

本发明属于电力系统安全防护与网络隔离，具体涉及一种电力调度动态网络隔离策略生成方法及系统。

背景技术：

1、随着新型电力系统的建设推进，大量分布式新能源、储能、电动汽车充换电设施等多元主体接入电力调度网络，使得电力监控系统的边界日益模糊、攻击面不断扩大。传统的网络隔离策略主要依赖人工预先配置的静态访问控制列表（acl）和固定分区隔离规则，无法根据实时运行的资产状态、实体行为、威胁情报进行动态调整。

2、目前，电力行业普遍遵循《电力监控系统安全防护规定》（2024年第27号令）提出的“安全分区、网络专用、横向隔离、纵向认证”原则。然而，在实际运行中，当出现网络攻击或异常行为时，现有方案往往采取“一刀切”式的紧急隔离，导致正常调度业务中断，甚至引发连锁故障。例如，南方电网数据平台与安全(广东)有限公司的专利cn122394901a网络隔离策略处理方法、装置、计算机设备、可读存储介质和程序产品，公开了一种网络隔离策略处理方法，但其侧重于静态策略的转换与适配，未涉及基于身份信任和实时风险的动态生成机制。另一篇专利cn120455158b公开了一种面向新型电力系统的智能协同网络安全应急响应装置及方法，其包含了边缘探针采集、数字孪生沙箱推演、sdn策略下发、强化学习闭环优化等先进技术，但其定位是“应急响应”，即在攻击事件发生后进行快速处置，而非在攻击发生前或攻击过程中动态生成和调整隔离策略。因此，需要一种能够在满足电力监控系统合规约束的前提下，根据资产属性、实体身份信任度、实时业务影响等因素，自动生成并动态调整网络隔离策略的方法及系统。

技术实现思路

1、本发明的目的是克服现有电力调度网络中隔离策略静态固化、无法适应动态变化的缺陷，提供一种电力调度动态网络隔离策略生成方法及系统，该方法能够在满足电力监控系统安全分区、横向隔离、纵向认证等合规要求的基础上，基于资产属性、身份验证结果、实时异常行为自动生成并动态调整隔离策略，实现精细化、自适应的网络隔离。

2、本发明的目的是这样实现的：一种电力调度动态网络隔离策略生成方法，其包括以下步骤：获取电力调度网络的实时运行状态数据，所述运行状态数据包括：调度主站与厂站接入终端之间的通信流量数据、各安全分区的资产属性数据、以及实体访问行为数据；基于所述资产属性数据构建目标网络的资产属性数据库，并依据预设的基于角色的访问控制模型，生成针对目标网络的初始网络隔离策略；当接收到目标实体的网络访问请求时，对所述目标实体执行身份验证，获得目标实体对应的实体认证结果；基于所述实体认证结果对所述初始网络隔离策略进行权限绑定，生成针对目标实体的目标隔离策略；将所述目标隔离策略下发至目标网络中的网络设备，并基于网络流量数据识别目标网络内的异常行为，根据所述异常行为对所述目标隔离策略进行动态调整。

3、通过资产感知构建网络的数字孪生画像（初始策略），然后通过身份认证确立访问主体的合法性（权限绑定），最后在网络中执行策略并根据实时流量反馈进行动态微调。改变了传统人工配置防火墙规则的低效模式，打破了静态策略的局限，实现了“千网千面”的自适应防护。

4、进一步的，所述资产属性数据包括：设备所属安全分区、设备业务等级、设备重要程度、设备漏洞信息以及设备间通信关系；所述安全分区按照电力监控系统安全防护要求划分为生产控制区和管理信息区，其中生产控制区划分为安全ⅰ区和安全ⅱ区，管理信息区划分为安全ⅲ区和安全ⅳ区；所述初始网络隔离策略的生成满足以下约束：生产控制区与管理信息区、安全接入区之间的联接处设置电力专用横向单向安全隔离装置；安全ⅰ区与安全ⅱ区之间、安全ⅲ区与安全ⅳ区之间设置具有访问控制功能的设备或防火墙；生产控制区与电力监控专用网络的广域网之间的联接处设置电力专用纵向加密认证装置或者加密认证网关。

5、通过硬编码的方式，强制在策略生成路径中植入“安全分区、横向隔离、纵向加密”的物理和逻辑边界。实施时，在初始策略生成模块中，读取设备的ip地址或vlan id。如果设备属于i区，算法自动判定其不能与iv区直连，必须在策略中加入“阻断”指令；如果检测到跨广域网的通信，自动附加“加密通道”标记。杜绝了因人为配置失误导致的“越界访问”合规风险。

6、进一步的，所述目标实体执行身份验证，具体包括：通过电力调度认证机制基于数字证书对所述目标实体进行身份认证；采集所述目标实体在认证通过后的运行数据和访问行为数据，采用信任评估模型对所述目标实体的信用值进行持续评估，其中所述信任评估模型通过对目标实体的运行数据和访问行为数据与预设标准的偏离程度来评估信用值，偏离程度越高，信用值越低；当所述信用值低于预设阈值时，触发对目标实体的权限降级或隔离。

7、通过在认证后持续监测实体的行为轨迹（如访问频率、指令类型），利用行为分析模型（ueba）计算其实时信用分。如：某调度员上午通过了数字证书认证（初始信任100%）。下午系统监测到他频繁下载大容量历史曲线数据（异常行为），信用分降至50。信任评估模块向策略引擎发送指令，将其账号权限从“全权控制”降级为“只读监视”。有效防御apt（高级持续性威胁）攻击渗透后的横向移动，以及内部人员的违规操作，实现了权限的弹性伸缩，而非简单的“通过/拒绝”。

8、进一步的，生成针对目标实体的目标隔离策略，具体包括：基于设备业务影响程度和设备等级计算设备隔离得分；根据所述设备隔离得分匹配隔离策略等级，其中：

9、当隔离得分大于或等于第一阈值时，执行物理隔离；

10、当隔离得分大于或等于第二阈值且小于第一阈值时，执行逻辑隔离；

11、当隔离得分大于或等于第三阈值且小于第二阈值时，仅执行协议级隔离；

12、当隔离得分小于第三阈值时，不采取隔离措施；

13、其中，所述第一阈值＞第二阈值＞第三阈值，所述阈值为阈值参数，在增强学习中进行优化。

14、摒弃了“非黑即白”的隔离思维，采用基于风险（risk-based）的分级防御。综合考虑资产的重要性（业务影响）和脆弱性（设备等级），计算出一个连续的“隔离得分”，并将其离散化为四个安全级别。

15、实施时：

16、计算：发电机主控系统（高影响）×老旧windows系统（高等级）=高隔离得分。

17、匹配：系统判定得分> 0.8，触发物理隔离（直接拔网线或阻断mac地址）。

18、对比：办公打印机得分< 0.3，判定为不隔离。

19、避免了为了安全而盲目断网，保障了关键调度业务的可用性，将高强度的隔离资源集中在真正重要的设备上。

20、进一步的，将所述目标隔离策略下发至目标网络中的网络设备，具体包括：通过调用sdn控制器或网络策略引擎实现对响应策略的下发与执行，包括：阻断异常设备通信ip、端口及动态更新访问控制列表acl（访问控制列表）策略；或在数字孪生沙箱推演模块中，通过规则驱动与数据驱动结合的攻击建模方式模拟网络攻击行为，评估攻击场景下感染设备的业务影响，并在沙箱中验证目标隔离策略的有效性后，再下发至生产环境。

21、利用sdn（软件定义网络）的集中控制优势，实现策略的秒级下发。同时引入“数字孪生”技术，在实际网络生效前，先在虚拟环境中进行“预演”。策略生成后，不直接下发到生产网，而是输入到数字孪生沙箱。沙箱模拟网络拓扑，注入模拟攻击流量。如果模拟结果显示会导致agc（自动发电控制）业务中断，则回退策略；验证安全后，再通过sdn控制器下发acl。降低了因策略配置错误导致大面积停电事故的风险，sdn实现了策略的动态路由调整，无需人工去机房插拔网线。

22、进一步的，根据所述异常行为对所述目标隔离策略进行动态调整，具体包括：基于网络流量数据，采用时间序列异常检测算法结合设备漏洞知识库与攻击图数据库进行攻击识别与风险分级，输出攻击类型、置信度和潜在影响设备；对于识别出的高风险事件，启动数字孪生沙箱推演，通过网络攻击模拟器生成仿真攻击场景，通过电力业务影响评估器评估潜在业务影响；策略优化模块基于策略执行后反馈的策略成功率、网络重构延迟及通信稳定性变化指标，通过强化学习训练策略生成器，实现检测与响应系统的闭环调优与自适应演进。

23、通过构建一个基于强化学习的马尔可夫决策过程（mdp）。将“异常检测”视为状态（state），将“策略调整”视为动作（action），将“网络稳定性提升”视为奖励（reward），让机器自动寻找最优策略生成算法。实施时，系统在模拟环境中不断进行攻防对抗训练，如果某次生成的隔离策略成功阻断了病毒扩散且未影响正常负荷预测，系统给予正反馈（reward++），该策略生成路径的概率会增加；反之则减少。经过数万次迭代，系统成为防御专家。面对未知的0day漏洞或新型勒索软件，系统能比人类专家更快地生成应对隔离策略，减少了高级网络安全专家的人工干预成本。

24、进一步的，还包括：人机协同接口，用于支持运维人员对生成的目标隔离策略进行审核、异常确认、策略回滚的交互操作；当策略执行后产生非预期的业务中断时，自动触发策略回滚至上一稳定版本的隔离策略，并生成告警信息同步至相应电力调度机构。

25、通过系统推荐策略，人负责最终裁决，并保留紧急刹车（熔断）功能。当策略引擎建议隔离整个220kv变电站网络时，值班长在web界面上看到告警，认为可能是误判，点击“拒绝”。系统自动将该策略回滚至上一版本，并将此次事件记入日志供后续学习。通过人机交互界面，让运维人员理解决策依据，增加信任度。

26、一种电力调度动态网络隔离策略生成系统，其包括：

27、资产信息采集模块，用于获取电力调度网络的实时运行状态数据，所述运行状态数据包括：调度主站与厂站接入终端之间的通信流量数据、各安全分区的资产属性数据、以及实体访问行为数据；

28、初始策略生成模块，用于基于所述资产属性数据构建目标网络的资产属性数据库，并依据预设的基于角色的访问控制模型，生成针对目标网络的初始网络隔离策略；

29、身份验证模块，用于在接收到目标实体的网络访问请求的情况下，对所述目标实体执行身份验证，获得目标实体对应的实体认证结果；

30、策略绑定模块，用于基于所述实体认证结果对所述初始网络隔离策略进行权限绑定，生成针对目标实体的目标隔离策略；

31、策略下发与动态调整模块，用于将所述目标隔离策略下发至目标网络中的网络设备，并基于网络流量数据识别目标网络内的异常行为，根据所述异常行为对所述目标隔离策略进行调整。

32、信任评估模块，用于采集目标实体在认证通过后的运行数据和访问行为数据，采用信任评估模型对目标实体的信用值进行持续评估，当信用值低于预设阈值时，向身份验证模块发送访问控制指令；

33、数字孪生沙箱推演模块，包括网络攻击模拟器和电力业务影响评估器，用于在仿真环境中模拟网络攻击行为并评估潜在业务影响；

34、策略优化模块，用于基于策略执行后反馈信息，通过强化学习训练策略生成器，实现检测与响应系统的闭环调优与自适应演进；

35、人机协同模块，用于提供策略审核、异常确认、策略回滚的交互。

36、进一步的，所述策略下发与动态调整模块具体用于：通过调用sdn控制器或网络策略引擎实现对响应策略的下发与执行，包括阻断异常设备通信ip、端口及动态更新访问控制列表acl策略；基于边缘探针采集模块实时抓取的电力通信数据流，提取协议特征与设备行为特征，生成标准化特征向量，并采用时间序列异常检测算法结合设备漏洞知识库与攻击图数据库进行攻击识别与风险分级；基于攻击识别结果，计算设备隔离得分并匹配隔离策略，根据策略执行后反馈的策略成功率、网络重构延迟及通信稳定性变化指标动态调整隔离策略。

37、本发明的有益效果：通过设备隔离得分与四级隔离等级的匹配，实现了按业务影响程度选择隔离强度，避免“一刀切”导致正常调度业务中断。实现了隔离策略的自动生成与动态调整，避免了人工配置的繁琐与滞后。引入基于数字证书的身份认证与行为信任评估双层机制，能够及时发现内部威胁（如被控终端、违规操作），实现动态权限降级。利用数字孪生沙箱推演和强化学习，使隔离策略生成器能够根据历史执行效果不断优化，提升对未来未知攻击的防御能力。提供策略审核与自动回滚功能，确保在极端情况下不会造成不可逆的业务损失，增强了系统的工程可靠性。