威努特虚拟电厂网络安全防护建设实践总结

虚拟电厂技术应用背景

“电荒”焦虑延续至今已是第三年，在过去的两年中，我们出现过东北地区红绿灯无法运行、四川成都实行“限电令”等严重缺电的现象。中国电力企业联合会统计与数据中心主任王益烜此前透露，“正常气候情况下，预计今年（2023年）全国最高用电负荷13.7亿千瓦左右，比2022年增加8000万千瓦左右。若出现长时段大范围极端气候，则全国最高用电负荷可能比2022年增加1亿千瓦左右。”在如此大的用电压力下，早在“十三五”时期，我国就已经开展了虚拟电厂的试点工作，部署了多个虚拟电厂项目。《“十四五”现代能源体系规划》进一步提出，开展工业可调节负荷、楼宇空调负荷、大数据中心负荷、用户侧储能、新能源汽车与电网能量互动等各类资源聚合的虚拟电厂示范。且在《2030年前碳达峰行动方案》中提出要大力提升电力系统综合调节能力，加快灵活调节电源建设引导自备电厂、传统高载能工业负荷、工商业可中断负荷、电动汽车充电网络、虚拟电厂等参与系统调节。

虚拟电厂概述

“虚拟电厂”最早由Shimon Awerbuch博士在《虚拟公共设施：新兴产业的描述、技术及竞争力》中提出：虚拟公共设施是独立且以市场为驱动的实体之间的一种灵活合作，这些实体不必拥有相应的资产而能够为消费者提供其所需要的高效电能服务。其实，虚拟电厂是一种通过先进信息通信技术和软件系统，实现分布式电源（DG）、储能系统、可控负荷、电动汽车等分布式能源资源（DER）的聚合和协调优化，以作为一个特殊电厂参与电力市场和电网运行的电源协调管理系统。通俗的讲，就是将散落各地的源、网、荷、储等部分，利用先进的技术将其组合成一个整体，形成一个可控稳定的电源。这个电源一方面可以满足用电侧的实时需求，另一方面可以通过结合储能等满足削峰填谷等作用，但整个过程对使用侧是透明的，不可察觉的。

图1 虚拟电厂概念图

虚拟电厂应用示例

上海黄浦区商业建筑虚拟电厂项目

该项目于2019年建成已稳定运行了5年，累计调度超2000幢次，虚拟发电量近50万千瓦时，其中单次最大调度量5万千瓦时。2022年7-8月极端负荷天气下，连续性调度多达15次，累计减峰值负荷电量超16万千瓦时，为超大型城市电力稳定供应精准出力。

南京智慧能源协调控制系统虚拟电厂项目

南京江北新区智慧能源协调控制系统试点运用虚拟电厂模块，通过与分布式光伏、分布式储能及各种可控负荷，参与电网调峰辅助服务市场，按需增减各类能源使用比例。在用电高峰时段，应用虚拟电厂模块最大可下调负荷65w千瓦，缓解负荷高峰时段电网运行压力。

粤港澳大湾区虚拟电厂项目

粤港澳大湾区利用虚拟电厂实现精准削峰，系统整合了深圳龙华区民兴苑V2G充电站，将车载电能返回电网，实现电动汽车与电网互动的迅速调节。目前该系统接入负荷资源超500兆瓦，并接入分布式光伏容量300兆瓦。

虚拟电厂系统结构

虚拟电厂电力监控系统主要分：2个过程、3层结构。

√ 2个过程：上行应用过程、下行应用过程；

√ 3层结构：站控层、过程层和资源层，如下图所示。

图2 虚拟电厂数据流转图

上行应用过程：

主要负责用户侧储能、可中断、可调节的分布式资源“整合”过程，通过智能终端采集各用户资源的功率及状态变量等信息，并预测各用户资源的功率，进而评估各用户资源的可调节能力，所有资源可调节功率将通过优化计算被聚合成为一个总可调节容量，该容量及相关信息上报给电力调度。

下行应用过程：

主要完成分布式资源的“解聚”过程，下发出力计划及实施调节功率需求给虚拟电厂站控层，虚拟电厂站控层执行优化计算及指令分解，并下发到各个分布式用户资源所连接的智能终端。各智能终端分别接收到分配的功率信息，并完成用户资源设备的控制。

虚拟电厂参与需求侧响应、调峰调频、功率平衡等应用功能的视线需要各个逻辑层级在其应用功能上配合协调，各个逻辑层级实现的主要应用功能如下：

虚拟电厂资源层。虚拟电厂用户资源为系统可接入的分布式发电、用户侧储能、各类可中断、可调负荷资源，最典型的类型包括分布式燃机、分布式光伏、用户侧储能、充换电站、楼宇空调系统等，这些资源需要具备一定的灵活可控性，在不影响生产运行的情况下，根据其电力系统中的调节属性，可分为用于调频调峰的资源，如储能、燃机、充换电站，用于调峰的资源，如楼宇空调、压缩机和各类可中断负荷。各用户资源在虚拟电厂系统内进行建模并参与优化调度计算及聚合解聚算法的执行，进而与电网进行互动，实现调频、调峰等目标。

虚拟电厂过程层。主要由智能终端组成，包含协议转换接口、微型纵向加密及通信模块，安装在用户资源现场的数据采集、通信及控制设备柜内，主要功能是对资源的实时运行数据进行采集和测量，并通过通信远程传送至虚拟电厂站控层进行优化调度计算。同时，智能终端接收虚拟电厂站控层下发的控制指令，实现对资源的本地调节控制。

虚拟电厂站控层。上行与电力调度中心通信，接收调度下发的调频、调峰AGC指令，下行主要与智能终端进行数据通信，获取接入用户资源测量数据及用户资源模型建立及运行，基于所采集的数据实现对资源灵活性预测、聚合与解聚的优化计算，并下发优化运行结果自动功率控制（APC）指令至智能终端设备。

虚拟电厂系统网络建设要求

虚拟电厂系统网络建设严格按国家能源局36号文“安全分区、网络专用、横向隔离、纵向认证、综合防护”进行建设。虚拟电厂业务系统网络整体上划分为生产控制大区与管理信息大区。生产控制大区进一步划分为控制区（安全I区）和非控制区（安全II区），并设立安全接入区（使用公用通信网络、无线通信网络以及处于非可控状态下的网络设备与终端等进行通信，其安全防护水平低于生产控制大区内其他系统时，应设立安全接入区），虚拟电厂系统位于生产控制大区的安全I区，与安全接入区之间分别部署正反向隔离装置进行隔离，虚拟电厂系统采用独立的网络设备组网，采用经过国家指定部门检测认证的纵向加密装置与调度机构进行通信。

调度数据网在专用通道上使用独立的网络设备组网，在物理层面上实现与其他数据网及外部公共信息网的安全隔离。虚拟电厂系统与电力调控中心通过电力调度数据网、光通信传输设备采用双点接入，虚拟电厂核心交换机与远动装置或服务器、电力专用纵向加密认证装置，通过路由器实现与电力调度的通信，通信网络、设备专网专用、双冗余配置，安全可靠性高。

以储能接入虚拟电厂为例：

图3 虚拟电厂储能电站接入示意图

虚拟电厂系统安全建设引导

虚拟电厂系统应满足《电力监控系统安全防护规定》（国家发展和改革委员会令2014年第14号）、《电力监控系统安全防护总体方案》国能安全[2015]36号文、《信息安全技术关键信息基础设施安全保护要求》（GB/T 39204-2022）等文件的要求，并且按照《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）开展等级保护相关工作。

首先，虚拟电厂系统接入要满足国能安全[2015]36号文“安全分区、网络专用、横向隔离、纵向认证、综合防护”等相关要求。在综合防护层面，生产控制大区内部部署II型网络安全监测装置、入侵检测系统、日志审计、防恶意代码服务器和运维堡垒机，并在安全接入区也部署II型网络安全装置、防恶意代码服务器，纵向加密装置签发网关，用于对虚拟电厂分布资源安全设备的监视、审核和签发，严格限制业务网网络边界，配置有效防护策略，提高综合防护能力。

图4 虚拟电厂系统安全建设示意图

威努特依靠丰富的电力行业经验和自主研发的全系列工控安全产品，结合电力行业各场景特殊要求，为电力行业客户提供符合相关建设标准的基于纵深防御体系的解决方案和专业的安全服务，至今为止已服务1000多家电力客户。在虚拟电厂演进发展过程中，积极参与虚拟电厂建设项目，研究前沿动态及相关技术，研发出适于电力行业使用的满足特殊要求的安全产品，例如：“单向物理无回流”工控安全监测与审计设备；“硬件级安全策略配置写保护功能”的工业防火墙；集成了新能源工业安全态势平台数据处理技术、数据智能分析技术和数据展示技术的新能源发电行业特色工业安全态势感知平台等。这些产品都能在虚拟电厂发展和建设的进程中提供相应的安全能力。另外，威努特深耕电力二次安防市场，防火墙、入侵检测系统、日志审计、主机卫士等产品均有较高市场占有率且均通过中国电力科学研究院严格检测，符合相关政策标准，适用于电力行业各种场景。

其次，虚拟电厂系统须按照《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）开展等级保护相关工作。在威努特有关电力行业的多个标杆案例中，不但能满足行业合规要求，在等级保护测评中同样也能高分通过。在面对不同要求场景下，威努特为客户提供的解决方案和产品，能够保证有效性、稳定性和适配性。在面对特殊场景时，威努特自主研发的全系列工控网络安全产品，能够满足不同需求。

总而言之，在现有电力行业使用场景和虚拟电厂接入场景下，威努特产品都可以胜任各种需求。在满足合规的同时，为客户提供高性价比、高稳定性、高适配性的安全产品和服务。

虚拟电厂系统总结及展望