配网智能终端无线网络接人电力系统安全技术研究

引言

近年来,贵州电网配网自动化系统逐步建设,配网智能终端运用无线通信实现了主配网主站系统的信息交换,在建设配网自动化系统时无线通信提供了诸多便利,节省了电网建设经济投资。例如:解决了恶劣条件下记录各电力设备信息采集的难题,代替常规光纤通信实现多媒体系统之间的无线交互等。无线通信技术中的无线接入技术更是解决了电网用户终端与网络连接的数据传送问题。由此可以看出,无线通信技术将在电力系统得到重要应用,它也是构建安全电力通信网的关键组成部分。

与有线通信相比,虽然无线接入技术拥有便捷、高效等众多优势,但其中所蕴藏的安全问题却不可忽视。尤其是对于电力通信这类具有高保密需求的系统而言,接入标准不一致的情况隐藏了较多安全问题与隐患,对于接入的安全可靠性造成了直接影响。本文主要针对当前无线网络接入电力系统时存在的各类安全问题进行分析,并提出了相应的解决措施。

1电力系统中的无线接入技术

1.1背景简介

在配网自动化系统建设过程中,配网智能终端与主站常使用有线(光纤)通信,但是对于贵州电网的配网网架及山区地形来说,全网铺设光纤通信将会投入大量的人力和物力,并且有的偏远山区铺设光纤难度相当大,加之配电变压器的TTU使用有线通信也不合实际,所以贵州电网在建设配网自动化过程中以选择有线与无线通信相结合的方式为宜。配电终端无线通信将会带来很多网络安全问题,其防护重点是对主站系统发送的控制命令和参数设置命令采取安全鉴别和数据验证,防范冒充的主站对终端进行攻击,电气设备被恶意操作,发生大面积停电事故。

1.2无线接入系统的整体构造

无线接入系统构造多样,依据不同用途而产生不同样式的结构。通常情况下,抵达核心网络需要使用接入网与交换网来实现与其他网的交互。无线接入系统介于终端节点与基站中间来传输用户节点数据和业务网数据,其整体构造如图1所示。

1.3无线接入技术的分类与性能指标

依据传输距离的不同,无线接入技术被分为长距离与短距离接入。长距离无线主要适用于用户量较多以及接入信息量较大的智能移动终端,短距离接入则普遍适用于局域网或以太网等拥有较少节点的低速接入网。衡量无线接入技术的性能指标主要包括如下几点:

(1)有效性,主要指传输速率、传输延时和带宽等指标。

(2)可靠性,包括丢包率、误报率等。

(3)可用性,主要涵盖业务通道中断率和平均恢复时长等。

(4)安全性,包括非法用户的接入识别率以及对于不法攻击的阻断率等。

2无线接入技术的特点与安全问题

相较于有线接入技术而言,无线接入技术具有多种特点,主要包括技术种类较多,综合性较强,拓扑结构多样化,具有较高的组网能力,传输速率有限制,稳定与可靠性较差等。依据上述特征,无线接入技术可能存在以下安全问题:

2.1权限辨别次数较多,数据保密性较差

无线接入终端进行连接时,每个信道都可以分配给随机用户,具有临时性特征,因此,任何一次通信都需要对用户身份和权限进行重新鉴定,权限鉴别次数较多。而且,无线接入技术的安全与可靠性较差,偶尔会发生丢包与重传现象。如何降低丢包率和在数据包丢失或被不法人员截获后避免造成信息泄露,成为现今无线接入技术亟待解决的问题之一。

2.2抗干扰问题

无线接入技术包括有针对性干扰和无针对性干扰。无针对性干扰主要指大自然与人为干扰,例如噪声干扰、多址干扰等,有针对性干扰主要用于军事或保密部门。不过,电网系统中的无线接入干扰通常都是不具有针对性的。干扰信号不会对发射源造成任何影响,但是会影响接收源。此时,如何使接收源正确辨别发送源的信号,成为了解决抗干扰问题的关键。

2.3冲突多发与延时

由于网络通道数量有限,如果多个发射源同时向同一通道传递数据就会导致数据冲突,最终致使通信堵塞,从而要再次构建检测信道与链路。而在此过程中,又可能发生多种冲突以及延时误传等问题。

3主要安全解决措施

依据《中国南方电网电力监控系统安全防护技术规范》网络安全防范要求,对当前构建电力配网自动化系统过程中出现的无线接入安全问题,常采用以下三种解决措施:

3.1终端加密

3.1.1加密原理

可将加密模块安装于智能终端的通信模块中,两端分别连接,即一端连接通用分组无线服务等通信设备,另一端连接配电终端设备。配网主站系统首先通过预先装载的主站私钥对遥控命令报文进行签名运算,获得数字签名,之后再通过对称密钥对其进行加密,最后配网主站赋予标准遥控报文通过加密的数字签名与时间戳后,组合形成复合遥控命令报文,其后再借助GPRs无线公网、无线专网的帮助,将报文发送给加密模块。加密模块在获得报文后,使用预装的对称密钥进行破解,其后通过主站公钥验证数字签名,就能初步推断遥控命令信息是否经由主站发出。如不是,则丢弃命令报文:如是,则依据时间戳的有效性,判断报文传输是否超过时效。若超过,则丢弃:未超过,则分析其中的内容并将其以明文的形式传送给配电终端。终端接收信息后,进行远程操控。

3.1.2模块的硬件组成及功能

加密模块的构成部分包括:主CPU处理芯片、双数据通道、同步时钟电路、sD卡电路、直流电源模块及sDRAM存储器。

其中CPU可采用CycloneⅢFPGA芯片EP3C10EL44i7,这类芯片具有较强的配置灵活性,在其内部还可搭设软核处理器,将此前进行加密运算的sM2签名算法库嵌入其中。双数据通道由主站端与配电端网络接口、备用主站端与配电端网络接口组成。sDRAM存储器主要用于记录程序运行时,出现在存储空间的不合理或违规数据。实时时钟电路提供时钟信号,该信号可用于检测时间戳。sD卡插槽可安插用于读取不合法数据及记录加密模块相关参数设置的sD卡。

3.1.3非对称加密算法

在加密模块中所运用到的非对称密钥算法是基于ECC的sM2算法运算库。采用sM2算法,是因为其与配网自动化系统特点一对于计算性能及存储空间具有较高需求相符合。基于ECC算法则是因为嵌入式系统是国内配电终端使用较多的形式,其处理器将计算量作为选择加密算法的首要指标。除此以外,带宽及存储空间也是加密算法的重要性能。ECC下的sM2算法相较于其他非对称加密算法具有如下优点:

(1)具有较强抗干扰性。数位相同的密钥,其抗干扰性明显优于RsA非对称加密算法。

(2)所需计算量较小,因此运算速度较快。

(3)密钥因其尺寸及系统参数较小,仅需占用很少的存储空间。针对加密短消息,sM2算法占用的CPU资源明显少于其他非对称加密算法。

3.2将无线网与办公网隔离

在参考电力系统安全防护总体方案后,应积极对电力系统内的无线网进行分区并隔离,在互联网、DMZ区及1DC区之间要求采用安全边界隔离措施。具体的隔离措施主要包括网络逻辑隔离与网络物理隔离。严禁无线网直接接入办公网络,采用网络逻辑隔离的方式访问DMC区域,而访问单位内部应用系统时必须通过内外网交换平台或移动接入平台介入。

3.3安全接入区

处于生产控制大区内的某些业务系统或其模块需使用公共通信网络、无线通信网或任何非可控的网络设备与终端进行通信时,如其自身安全防护水平明显低于同大区内的其他系统,则须建立安全接入区。在安全接入区内加设用于进行数据采集的公网数据采集服务器,接入区与其他区块之间需加装横向隔离装置。安全接入区使用公共通信网络或无线通信网络时应使用加密认证,以此达到主站与业务终端之间安全隔离、身份认证等目的,如图2所示。

3.3.1安全接入区的具体操作方案

具体的操作方案在于构建横向及纵向的互联方案。横向和纵向的互联设备主要包括公网前置交换机、正反向隔离装置、公用通信网络及加密认证设置,以上设备均可使用冗余备用结构。对于正反向隔离装置,则必须根据业务的不同需求对配置数量进行适当增减,或按照需求排成隔离阵列,如图3所示。

正反向隔离装置发挥着物理隔离的作用,必须安装在生产控制大区与安全接入区的交界处。正向隔离装置可以通过正向单向的方式向处于安全接入区内的业务系统及设备发送关于生产控制大区部分的业务系统数据:反向隔离装置通过反向单向的方式向生产控制区内业务系统导入关于安全接入区内系统和设备的相关纯文本数据。

加密认证设备用于公网前置机同业务终端之间进行数据交互时的身份认证与数据的加密、解密,即可以保证连接的合法性以及传输数据时的安全性,所以需将其安装在公网前置机与公用通信网络之间。

3.3.2横向及纵向互联方案实施的关键

(1)需在正反向隔离装置内预设外网业务系统的虚拟访问地址及相关安全控制细则。

(2)在安全接入区内应有专用的公网前置机,不可与生产控制大区共用。且该台机器应当安装由国家指定部门认证的安全操作系统,采取严格的访问控制措施。

(3)为了更好地提高安全接入区的安全系数,应当通过非对称加密算法下的认证加密技术为控制指令和参数设置指令提供安全保护,从而保证报文的完整性以及子站可以对主站进行正确的身份鉴别。针对发挥重要作用的子站,可以采用双向加密的认证技术,以此实现双向身份鉴别的目的,保证报文的机密性与完整性。

(4)使用公网或无线网进行数据传输时,应主动使用网络自身所提供的各项安全措施。

总而言之,科技不断进步的同时,也对网络信息安全造成了一定影响。所以,针对电力系统中的无线接入技术所带来的安全问题应给予重视,最终促使电网智能化的早日实现。

4结语

配网自动化系统建设采用无线通信虽便捷、高效,但应对终端加密、主站段加密,无线接入须设立安全接入区实现网络安全防护,保障电力系统运行的安全性、可靠性,通过技术手段更好地实现电网智能、高效、绿色发展。