Những nhà máy điện khổng lồ không được quản lý trong đám mây

• Gần đây, một hacker Hà Lan đã có thể kiểm soát 4 triệu hệ thống lắp đặt tấm pin mặt trời. Đây không phải lần đầu tiên.
• Phần lớn các tấm pin mặt trời cho người tiêu dùng và doanh nghiệp được quản lý tập trung bởi một số ít công ty.
• Chỉ riêng tại Hà Lan, các tấm pin này tạo ra sản lượng điện tương đương ít nhất 25 nhà máy điện hạt nhân cỡ trung.
• Ở châu Âu gần như không có quy tắc hay luật lệ nào để quản lý các đơn vị vận hành tập trung này.
• Các nền tảng quản lý dựa trên đám mây này có thể khiến toàn bộ các tấm pin mặt trời bị tắt cùng lúc do bị hack hoặc do sự cố.
• Theo xác nhận gần đây từ các hacker mũ trắng và đơn vị quản lý lưới điện Hà Lan TenneT, đây không phải là một kịch bản mang tính lý thuyết.
• Từng tấm pin mặt trời riêng lẻ không gây ra thiệt hại lớn, nhưng theo thời gian số lượng lắp đặt đã tăng mạnh và việc quản lý tập trung vào một vài nơi.
• Cần loại bỏ khả năng cắt điện ở mức gigawatt từ trung tâm, hoặc phải quản lý các đơn vị vận hành tập trung như các công ty năng lượng.
• Tại Hà Lan, 15GW điện năng đang được điều khiển từ xa, nhưng không ai biết chính xác ai là người kiểm soát.
• Chỉ thị EU NIS2 sắp tới mang lại cơ hội cải thiện, nhưng cần được làm rõ.
• SolarPower Europe cũng kêu gọi áp dụng rõ ràng các quy định NIS2 cho điện mặt trời.

Câu chuyện dài hơn

• Willem Westerhof đã cố gắng thu hút sự chú ý đến vấn đề này từ năm 2016.
• Willem cùng với công ty của mình là Secura đã viết một báo cáo quy mô lớn cho "Topsector Energie" của Hà Lan.
• Lưới điện đồng bộ của châu Âu là một thành tựu lớn, tích hợp phần lớn châu Âu và cả những khu vực xa hơn.
• Lưới điện phải luôn giữ cân bằng. Nếu có quá nhiều điện đi vào mạng lưới, tần số sẽ tăng và có thể xảy ra quá áp.
• Gần đây đã xảy ra các vụ mất điện xuyên quốc gia tại Albania, Montenegro, Bosnia và Croatia.
• Các nhà cung cấp điện quy mô lớn phải tuân thủ các tiêu chuẩn cao. Nhà máy của họ được giám sát, thiết bị phải đáp ứng nhiều yêu cầu và nhân viên phải có chứng chỉ phù hợp.
• Các mạng lưới và nhà cung cấp ở châu Âu liên tục phối hợp để giữ cho lưới điện ổn định và an toàn.

Những gì chúng ta quản lý

• Tấm pin mặt trời được kết nối với lưới điện thông qua inverter. Thiết bị này chuyển đổi điện từ tấm pin sang dạng mà lưới điện có thể xử lý.
• Thiết bị này phải đáp ứng các quy định, và tại Hà Lan chỉ các inverter được Synergrid của Bỉ phê duyệt mới được phép lắp đặt.

Những gì chúng ta không quản lý

• Phần lớn inverter đều được kết nối Internet. Cấu hình này tạo kết nối với nhà sản xuất và tải lên các số liệu thống kê về tấm pin mặt trời cũng như sản lượng điện.
• Chủ sở hữu tấm pin có thể kết nối với nhà sản xuất qua ứng dụng hoặc website.
• Nhà sản xuất có thể bật và tắt tất cả các tấm pin, đồng thời cài đặt phần mềm mới lên inverter.
• Nếu nhà sản xuất bị hack, kẻ tấn công có thể gửi bản cập nhật phần mềm độc hại do chúng kiểm soát tới inverter.

Vậy điều gì sẽ xảy ra?

• Lưới điện rất nhạy cảm. Lượng điện đi vào và đi ra phải bằng nhau một cách chính xác.
• Các nhà sản xuất tấm pin và inverter mặt trời có thể bật và tắt hàng triệu hệ thống lắp đặt.
• Hai hacker mũ trắng người Hà Lan là Wietse Boonstra và Hidde Smit đã có thể sửa đổi phần mềm của các hệ thống điện mặt trời mà không cần sự cho phép của nhà sản xuất.

Ôi, không

• Nếu tồn tại một bảng điều khiển có thể tắt hàng chục lò phản ứng hạt nhân cùng lúc, nó sẽ phải tuân thủ mọi loại quy định an toàn.
• Tấm pin mặt trời và inverter gia dụng lại được xem là thiết bị điện tử tiêu dùng "thông thường", nên hầu như không có kiểm tra hay luật lệ.
• Việc quản lý đã tập trung vào một số ít nhà cung cấp, nhưng họ lại không bị quản lý nghiêm ngặt.

Còn bây giờ?

• Báo cáo Secura gần đây do Topsector Energie của Hà Lan đặt hàng rất hữu ích để hiểu rõ tình hình tệ đến mức nào.
• Các luật mới đang xuất hiện, và NIS2 cùng Cyber Resilience Act có thể buộc các bên này tuân theo những quy tắc nghiêm ngặt hơn.
• SolarPower Europe cũng cho rằng các bên quản lý tập trung cần được đưa vào phạm vi áp dụng của NIS2.

Tóm tắt của GN⁺

• Bài viết này giải thích cách việc quản lý tập trung các tấm pin mặt trời có thể tạo ra rủi ro lớn cho lưới điện châu Âu.
• Bài viết nhấn mạnh mức độ nghiêm trọng của vấn đề khi gần như không có quy định nào đối với các đơn vị quản lý tập trung.
• Các luật mới như NIS2 và Cyber Resilience Act có thể giúp giải quyết vấn đề này.
• Bài viết nhấn mạnh tầm quan trọng của quản lý năng lượng và các vấn đề bảo mật, đồng thời cung cấp thông tin quan trọng cho những người làm trong ngành liên quan.
• Những sản phẩm hoặc dự án có chức năng tương tự bao gồm SolarEdge, Enphase Energy và các bên khác.

[GN⁺]

Ý kiến Hacker News

• Nhận định rằng các tấm pin mặt trời ở Hà Lan tạo ra sản lượng điện tương đương 25 nhà máy điện hạt nhân cỡ trung là phóng đại

  • Nếu nhìn vào dữ liệu sản lượng năng lượng hằng năm thực tế, con số này chỉ vào khoảng gấp 1,5 lần một nhà máy điện hạt nhân trung bình
  • Công suất đầu ra thay đổi đáng kể tùy theo vị trí lắp đặt các tấm pin mặt trời

• Chủ sở hữu tấm pin và inverter có thể kết nối với nhà sản xuất để kiểm tra tình trạng tấm pin

  • Về mặt kỹ thuật, không nhất thiết phải vận hành mọi thứ thông qua máy chủ của nhà sản xuất
  • Cách làm này được chọn vì người tiêu dùng hoặc đơn vị lắp đặt thiếu kiến thức chuyên môn về cấu hình mạng

• Một người dùng sống off-grid tỏ ra không hài lòng vì việc giám sát inverter chỉ khả dụng trực tuyến

  • Người này đã dùng Raspberry Pi để giải quyết vấn đề, nhưng khi ngắt kết nối Internet thì một mạng mới lại được tạo ra
  • Họ đang cân nhắc tháo mô-đun WiFi ra

• Có ý kiến cho rằng cần cẩn trọng với các chính trị gia và người không chuyên kỹ thuật khi họ đề cập đến các tiêu chuẩn kỹ thuật

  • Các vấn đề của hạ tầng IT hiện nay chủ yếu do những người có bằng cấp gây ra
  • Việc buộc doanh nghiệp phải chịu trách nhiệm có thể là khởi đầu để giải quyết vấn đề
  • Ví dụ, nếu khiến các công ty như CrowdStrike phải chịu trách nhiệm pháp lý, những công ty khác cũng có thể sẽ thay đổi

• Có ý kiến cho rằng năng lượng tái tạo có tiềm năng cho sản xuất điện phân tán

  • Tuy nhiên, nó cũng tạo ra các vấn đề bảo mật do đưa vào những điểm nghẽn mới

• Có câu hỏi liệu EU có quy định an ninh mạng đối với các nhà máy điện hay không

  • Không nên cho phép các hệ thống yêu cầu kết nối dữ liệu với bên thứ ba
  • Đã có nhiều trường hợp các dịch vụ như vậy bị lỗi

• Một đơn vị lắp đặt gặp khó khăn khi tách inverter Solaredge khỏi đám mây

  • Họ cho rằng cần có quy định cấm quản trị từ xa
  • Dữ liệu chỉ nên được phép xem từ xa ở chế độ chỉ đọc

• Ở châu Âu có xu hướng nhấn mạnh bằng cấp và chứng chỉ để giảm thiểu rủi ro

  • Điều này phù hợp với các ngành vận động chậm, nhưng không phù hợp với ngành điện mặt trời/điện gió

• Với sản phẩm của Victron, kết nối đám mây là tùy chọn và bị tắt theo mặc định

  • Phần cứng có tính mô-đun và phần mềm tốt hơn các sản phẩm cạnh tranh
  • Cần lựa chọn nhà cung cấp có trách nhiệm

• Có câu hỏi rằng nếu có thể tắt các tấm pin mặt trời, tại sao công ty điện lực lại phải bán phần điện dư với mức lỗ

  • Người viết đặt câu hỏi vì sao không thể chỉ đạo các trang trại điện mặt trời giảm công suất đầu ra theo mức cần thiết