(广东电网有限责任公司中山供电局 中山 528400)
摘要:配电终端与配电主站通过公网传输数据,存在网络风险。通过在主站侧部署主站安全防护设备,和终端侧部署配网安全防护终端实现主站设备和安全终端的身份认证和传输数据信息的加密和访问控制,有效杜绝了黑客攻击,大大提高了系统的安全性。加密认证装置在中山应用效果良好,形成了一系列建设性成果,效果显著。
关键词 加密认证装置;配电自动化
中山供电局配网自动化成套设备逐年增多,配网自动化水平也越来越高,配电终端通信以GPRS无线通信方式传输数据,虽运营商为电力系统开辟专用的VPN通信链路,而网络传输路径仍然是公网,公网数据传输存在窃听、篡改、伪造等不同类型的网络风险。与此同时,国家能源局36号令及南网对配网安全防护的要求配电终端数据在公网中传输必须进行加密处理,不仅是对“一遥”、“二遥”数据进行保护,防止敏感数据被窃取,还是为远程遥控提供安全保障。因此加密认证装置对配电自动化系统电力生产信息网的安全性及可靠性,保证电力系统的正常运作作用重大。
一、加密认证装置介绍
加密认证装置包括配网主站安全防护设备和配网安全防护终端。配网主站安全防护设备(以下简称主站安全设备)是结合国密SM算法所研制应用于电力配网自动化领域的安全通信网关设备,集数据加解密、设备认证、网络隔离、路由、协议识别等功能一体,主要解决电力配网调度数据的安全传输与身份识别问题,为电力安全数据传输提供完整解决方案。设备主要放置于各地市调度主站,用于控制配网终端安防设备的接入,具有稳定性好、配置简单、安全性高、防护能力强等特点,能有效解决数据泄密、身份欺骗、数据篡改、多重攻击等安全问题。
配电自动化系统的终端接入有两种方式,包括无线接入和光纤接入,其中无线接入的运营商包括移动和联通。无线网接入经过路由汇聚经过主站安全设备主站通信。光纤接入直接经过主站安全设备与主站通信。两个接入区均部署两台主站安全设备,采用双机热备运行方式,双机热备特指基于active/standby方式的服务器热备。在同一时间内只有一台服务器运行。当其中运行着的一台服务器出现故障无法启动时,另一台备份服务器会通过软件诊测(一般是通过心跳诊断)将standby机器激活,保证应用在短时间内完全恢复正常使用。
配网安全防护终端(以下简称安全终端)是基于IPsec VPN加密隧道通信协议,结合国密SM算法可选配2G/3G/4G无线通信或光纤通信,为配电终端设备提供硬件级动态加密的数据安全通信保障。模块采用工业级硬件设计与国密局审核的硬加密芯片,采用代码可控的安全操作统,支持SM1/2/3/4算法,支持PKI体系的电力数字调度证书,可实现主站与终端双向设备认证和数据传输加密功能。同时支持移动/电信/联通,可适应不同的网络环境。模块采用隧道模式的“透明”传输的方式,具有安全度高、兼容性强、稳定性好、配置简单等特点,适用于复杂多变、环境苛刻的配电终端工作环境。
二、加密认证装置在中山的应用情况
2.1证书签发管理
为防止黑客对配电终端的入侵,主站加装了加密认证装置后,配电自动化主站系统与配电终端进行信息交互时受到了如下四种保护:1.保证数据是从真正的源发送的,而不是其他人(源认证);2.保证数据在传输的过程中没有被篡改过(数据的完整性);3.保证数据在传输的过程中别人看不懂(数据的私密性);4.保证数据的不可否认性(不可否认性)。主站安全设备与安全终端证书签发过程如(图1):现场按照主站分配好的RTU地址及主站通信ip地址及端口号填写终端通信参数,参数填写完毕后导出终端证书申请,然后发至主站申请证书签发,主站收到证书签发申请后使用证书管理系统进行主证书签发,现场导入经主站签发证书,主站与现场终端调试加密通道通信。
2.2 加密终端增加遥控功能
由于并采用报文密匙加密及身份单向认证进行终端的遥控操作,实现遥控报文的完整性保护和主站身份鉴别,防止黑客对遥控报文的篡改和破坏。配网自动化主站和现场设备的通信由两遥(遥信、遥测)升级到三遥(遥信、遥测、遥控)。相当于增加了主站对安装了安全终端的开关的遥控功能。中山的配网自动化主站截止至2019年5月10日共接入具有遥控功能的馈线自动化终端889个,具有遥控功能的站所终端1269个。缩短了故障复电时间,提高了供电可靠性。
2.3 增加白名单功能
白名单是设置能通过的用户,白名单以外的用户都不能通过。利用白名单功能,解决加密装置加装前存量的明通终端在加密装置加装后的通讯问题。主站加密认证装置安装后,需和终端侧的加密通信模块配合才能通信。由于存量明通终端数量多,不可能短时间内全部更换为加密通信模块。而配电自动化系统需要采集明通终端的遥信、遥测数据,存在与未及时更换通信模块的终端通信的需求。白名单功能很好的解决了这一问题。只要将未及时更换通信模块的终端的通信卡IP加入白名单,主站就可以实现与该IP终端实现明通通信。其他未加入白名单的IP默认走加密通道通信。
图一 证书签发流程
2.4用户管理及相关配置及日志的导出功能
加密认证系统不同岗位人员应配置不同的操作权限,以达到安全防护的目的,采用多角色的权限设置,可有效避免误操作,例如可设置系统管理员权限,安全管理员权限,审计管理员权限等。 系统管理负责系统可所有模块管理,权限可设置为全开放,包括系统管理、证书管理、终端管理、日志管理、防火墙管理。安全管理员一般负责配置主站及终端的安全策略和证书管理,权限一般设置为证书管理、防火墙管理、终端管理。审计人员权限一般仅限于在浏览日志,权限设置为系统管理、日志管理。
加密装置具有配置及日志的导出功能。功能方便实用,例如加密装置中的通过加密隧道传输的IP和不经过加密隧道传输IP可以导出为excle格式文件,方便统计分析。
三、应用效果
加密认证装置安装后,经过一年半的稳定运行,形成了一系列建设性成果,效果显著。
在运行维护方面,结合厂家的说明书进行本地化修编。通过作业表单进行巡视,使得系统运行稳定可靠。
在系统安全防护方面,通过在配电自动化主站系统的生产控制大区与广域网边界安装加密认证装置,实现了主站设备和安全终端的身份认证和传输数据信息的加密和访问控制,有效杜绝了黑客攻击,大大提高了系统的安全性。
在供电可靠性方面,部署加密认证装置后,实现从两遥到三遥的升级,增加主站对安全终端的遥控功能,缩短了故障复电时间,提高了供电可靠性。
参考文献
[1]郑铁军;胡强晖 配电自动化主站系统二次安防的设计应用 宁夏电力 2015年第3期 19-21.
[2]DL/T814-2013配电自动化系统技术规范.
论文作者:张立航
论文发表刊物:《电力设备》2019年第7期
论文发表时间:2019/8/26
标签:终端论文; 主站论文; 通信论文; 装置论文; 数据论文; 证书论文; 功能论文; 《电力设备》2019年第7期论文;