太阳能设备为瑞士带来的大停电风险

太阳能行业协会Swissolar呼吁制定具有约束力的网络安全标准。 Keystone / Christian Beutler

在一项最新调查中，专家对瑞士境内数以万计的太阳能发电系统面临的网络攻击表示担忧，并警告，这可能对瑞士整个电网构成威胁。

瑞士正在大规模建设太阳能发电设施。这实际上是能源转型的成功：目前，全国已有33.8万套光伏发电系统投入运行。然而，瑞士国家网络安全测试研究所(NTC)的安全专家发出警告，称这里存在巨大的风险。这是根据瑞士电视台《环视》(Rundschau)节目援引的一份尚未公开发表的研究报告得出的结果。

有安全隐患的设备

引起专家注意的是逆变器，整个太阳能发电系统都由该设备控制；此外它还负责将太阳能板产生的直流电转换为瑞士电网所使用的交流电。因此逆变器是太阳能发电系统的核心部件。

而问题恰恰出在这里。专家指出，由于内置通信模块，大多数逆变器需要持续连接互联网，并接连制造商的服务器。

瑞士国家网络安全测试研究所的安全专家安德烈亚斯·莱西巴赫(Andreas Leisibach)说，这意味着逆变器可以被远程控制。“这种功能既可以被用于正常用途，也可能用于破坏，例如断电或对其进行操控。”

该研究所首次对瑞士太阳能逆变器的网络安全状况进行了分析。结果显示，逆变器之所以令人感到担忧，是因为许多设备都来自少数几家制造商，从而形成了过度集中风险。

来自中国的逆变器

瑞士联邦能源局估计，目前瑞士约有10万套太阳能发电系统配备了来自中国制造商的逆变器。由于相关数据统计工作才刚刚开始，目前仍缺乏完整数据。但中国企业华为和阳光电源(Sungrow)的市场份额如今已超过60%。

瑞士国家网络安全测试研究所创始人拉斐尔·赖舒克(Raphael Reischuk)表示，这种集中风险非常成问题，因为控制逆变器的人，就是控制整个太阳能发电系统，乃至整个电网的人。

他指出，如果中国制造商同时关闭这些满负荷运行的设备，瑞士电网将面临瘫痪。

赖舒克提醒道，虽然这样做，无人能从中获益，但他们依然可能被人指使这样做，指使人有可能是国家行为；也可能是网络犯罪分子。

这并非只是理论上的风险。此前，一家中国制造商曾因销售纠纷，远程关闭美国及其他国家的大量逆变器。被停用设备上显示的信息是：“Not allowed to use”（不允许使用）。

目前，瑞士每两台新安装的逆变器中，就有一台以上来自华为。例如，在伯尔尼，一家名为Clevergie的太阳能企业在州职业学校屋顶安装新的太阳能发电系统上所使用的逆变器就来自华为。

该公司首席执行官卢卡斯·迈斯特(Lukas Meister)表示，这些产品质量可靠，而且价格相对较低。至于数千个类似设备构成的集中风险，无论是个人用户还是整个行业，都无法单独面对。

那么，中国制造商如何回应这些安全担忧？阳光电源并未回应《环视》节目里提出的相关问题；华为则拒绝接受电视采访，但在书面声明中强调，网络安全始终是他们的“最高优先事项”。

华为表示：“我们的系统在瑞士的运行由客户负责。(……)根据需求，这些系统既可以通过安全加密连接接入制造商的管理系统，也可以采用离线模式运行。”不过，瑞士专家认为，离线模式几乎无法使用。

美国和欧洲正在想办法

美国正尝试降低这一风险。总统唐纳德·特朗普已宣布美国高压电网进入国家紧急状态。其中一项措施规定，未来禁止安装来自受到武器禁运或受制裁国家的并网逆变器，其中包括中国。已经安装相关国家此类设备的运营商甚至可能被勒令拆除。

欧盟也已采取行动：使用中国逆变器的项目不再获得补贴资金。欧盟委员会发言人希奥班·麦加里(Siobhan McGarry)警告称，相关风险评估已经证实了这些威胁的存在，其中包括电力生产受到操控的可能性。在实际生活中，这可能意味着电网被远程关闭，由此导致全国性停电。

因为依照法律中国企业有义务配合国家安全机构的工作。因此，一旦发生冲突，中国政府可能迫使相关制造商远程关闭欧洲境内的太阳能发电设施。

情报机构发出警告

瑞士的反应如何？瑞士联邦情报局(NDB)在其安全形势报告中明确警告，如果瑞士对关键基础设施的保护力度低于欧盟国家，那么瑞士很有可能成为网络攻击的首选目标。

即便如此，瑞士的一些政府部门仍在使用中国设备。例如，伯尔尼州建筑局在为州职业学校项目招标时，设定的条件让华为逆变器成为唯一选择。面对媒体的询问，伯尔尼州建筑局表示，招标文件并未指定制造商；但也承认，网络安全因素在招标中“未受到充分考虑”。

此外，该建筑局认为，将中国制造商排除在外属于“歧视”行为，最终起决定作用的应当是“最具优势的报价”。

拉斐尔·赖舒克强调，瑞士国家网络安全测试研究所的这项调查绝非反对扩大可再生能源的发展，而是在呼吁人们在设备选择上更加谨慎。

瑞士联邦能源局也认同这一分析，认为无法排除遭受协作攻击的风险。太阳能行业协会Swissolar持相同看法，呼吁制定具有约束力的网络安全标准，同时建立中央登记系统，记录有多少设备能够被远程控制。

(编译自德文：杨煦冬/dh)