一種多級安全防護的過濾模型在智能配電網通信系統的應用

,

(四川大學電氣信息學院， 四川 成都 610065)

0 引 言

智能電網，又稱為知識型電網或者現代電網，是將現代先進的傳感與測量技術、信息通信技術、控制技術和原有的輸配電基礎設施高度集成而形成的新型電網。國家電網公司提出以特高壓電網為骨干網架、各級電網協調發展的堅強電網為基礎，利用先進的通信、信息和控制技術，構建以信息化、自動化、數字化、互動化為特征的國際領先、自主創新、中國特色的堅強的智能化電網。

智能配電網，作為電力“發、輸、調、變、配、用”的重要環節，是社會公眾感知電網智能化服務的關鍵所在，智能配電網是智能電網的重要組成部分[1-2]。智能配電網需要監測和控制的設備數量更多, 分布更廣。為了實現全面和實時的監控, 成本低廉的無線通信網和分布廣泛的公用因特網將在智能電網通信系統中占有越來越多的比重。與此同時，智能配電網的開放性，電網和用戶雙向互動性增強，大量用戶側接入和訪問，智能采集終端和移動作業終端的廣泛應用和接入，無線公共網絡傳輸通道的應用等對智能配電網的發展提出了新的安全問題。然而關于智能配電網信息安全方面的研究到目前為止并不多[3-5]。

由于智能配電網與終端有良好的交互，大量用戶的接入對信息安全帶來了一定的威脅。因此要過濾非授權的終端，而信息加密是保障電力系統信息安全的核心技術。在信息安全過濾理論上，通過一個綜合加密通信編程實例，提出采用多級信息安全過濾模型和綜合加密技術實現對智能配電網的信息系統的安全防護。

1 信息的安全過濾

信息過濾(information filtering, IF)也就是所謂的信息選擇性傳播。它是通過監控動態的信息源以找到滿足用戶需求的信息或剔除用戶不需要的信息及不合法的終端用戶。安全過濾的主要方法如下。

(1)名單過濾( URL / IP過濾)。建立不良網站的URL或者IP地址列表數據庫, 并對該數據庫進行定期的數據更新, 當用戶訪問這些站點時, 將訪問站點的URL或者IP地址與數據庫列表中的進行匹配, 如果能夠正確匹配,則給予阻斷或封鎖。

(2)分級過濾。根據網頁的內容屬性或其他特征, 并按照一定的分級標準, 建立網站的分級標記, 分級標記可以附在網頁上, 也可以保存在文件或數據庫中, 使用時以分級標記為過濾的依據。

(3)關鍵詞過濾(內容過濾)[6]。該方法是對文本內容、文檔的元數據等進行關鍵詞簡單匹配或者布爾邏輯運算, 對滿足匹配條件的網頁或網站進行的過濾。

2 加密技術

由于電網中含有許多敏感信息，為了防止未授權用戶訪問或獲取電網運行和調度信息的安全性、完整性，只要通過認證、加密功能來實現數據的安全問題。

目前的數據加密技術根據密鑰類型可分為私鑰加密(對稱加密)系統和公鑰加密(非對稱加密)系統。對稱加密系統與非對稱加密相比，在加密、解密處理速度、防范能力、數字簽名和身份認證等方面各有優劣。

2.1 RSA算法

RSA算法是一種非對稱密碼算法[7]，所謂非對稱，就是指該算法需要一對公開密鑰與私有密鑰，使用公開密鑰對數據進行加密，則只有用對應的私有密鑰才能解密。但是速度一直是RSA的缺陷。一般來說只用于少量數據加密。

RSA的算法涉及3個參數，n、e1、e2。其中，n是兩個大質數p、q的積，n的二進制表示時所占用的位數，就是所謂的密鑰長度。e1和e2是一對相關的值，e1可以任意取，但要求e1與(p-1)*(q-1)互質；再選擇e2，要求(e2*e1)mod((p-1)*(q-1))=1。(n，e1)、(n，e2)就是密鑰對。其中(n，e1)為公鑰，(n，e2)為私鑰。RSA加解密的算法完全相同，設A為明文，B為密文，則：A=B^e2 modn；B=A^e1 modn；(公鑰加密體制中，一般用公鑰加密，私鑰解密)e1和e2可以互換使用，即：A=B^e1 modn；B=A^e2 modn。因此RSA的加密速度隨著密鑰長度增加而變慢且運算更為復雜。所以如何提高這些高精度乘除運算的速度是RSA 體制實用化的關鍵問題。

2.2 DES算法

數據加密算法(data encryption algorithm，DEA)是一種對稱加密算法，DES 采用的主密鑰為64bit,其中8 bit為奇偶校驗位, 實際主密鑰為56 bit, 明文分組長度固定為64 bit, 不足加零。解密時用同樣的密鑰將密文作為輸入, 經過一系列相反的步驟得到的輸出即明文。但是密鑰的安全性和管理是它的不足之處。

2.3 RSA & DES綜合加密

基于RSA算法和DES算法兩種典型密碼算法的優缺點[8]。用DES算法作為數據的加密算法對數據加密，用RSA算法作為DES密鑰的加密算法，對DES的密鑰進行加密。要加密的數據量通常很大，而DES算法的加、解密速度效率高，對每個數據分組的處理僅需很短時間就能完成。因此,用DES算法對大量的數據加密不會影響整個系統的效率。DES和RSA綜合加密如圖1所示。

圖1 DES & RSA綜合加密結構圖

在加密、解密的處理效率方面，DES算法優于RSA算法。在密鑰的分配、管理、安全度方面，RSA 算法比DES 算法更加優越。DES和RSA綜合加密算法既能發揮DES算法加密速度快、安全性好的優點，又能發揮RSA算法密鑰管理方便的優點，二者各取其優，揚長避短。

3 智能配電網通信系統模型

從智能化的程度來講，集中控制模式是智能配電網最為理想的控制模式(如圖2所示)，而通信系統是建設智能配電網的一個關鍵環節。智能配電網需依靠有效的通信手段，將控制中心的命令準確地傳送到眾多的終端智能電子設備(intelligent electric device，IED)，并且將終端IED采集的各類實時信息傳送到控制中心。

圖2 智能配電網通信系統結構舉例

4 多級信息過濾防護

該模型包括了第一級的基于Web緩存技術的地址安全過濾和第二級的共享密鑰認證技術和綜合加密技術的安全過濾兩大模塊。其中基于Web緩存技術的地址過濾包含了硬件設備認證子模塊。此模型從硬件認證(設備身份認證)和軟件認證(共享密鑰和綜合加密解密技術)兩個方面, 很好地提高了安全過濾的準確性和保障了電力網絡敏感信息的安全性。

圖3 多級過濾防護模型

4.1 第一級過濾

子站經過簡單的URL(設備的IP地址)的過濾，由于IED的設備的MAC地址或者IP地址是終端設備的唯一標識符。Web高速緩存服務器技術可以緩存子站與終端互相訪問過的對象，這一特點使得可以利用Web緩存技術在子站服務器不忙時啟動地址判別、分析功能, 采用MAC地址或者IP地址判別技術, 使用“MAC判別引擎”或“IP判別引擎”, 并根據預先設定的規則對緩存數據進行判斷, 對主站與終端設備訪問時提供的陌生的IP地址或者MAC地址進行登記,生成攔截“黑名單”添加到數據庫中, 同時對不匹配對象則給予阻斷或封鎖, 這樣在以后正常工作時, 便可在這一級將不良對象過濾掉, 從而實現了“一次掃描, 多次服務”的高效服務模式。從而初步的防止未授權的對象訪問或者獲取非法的調度敏感信息以及各種破壞行為。

該技術采用“事后審計”的方式, 避免了常用的基于“事先判別”的過濾技術中響應時間長、誤判率較高的缺點。

4.2 第二級過濾

MAC 地址雖然是一個網絡硬件設備的標識，一般是固定的，但是可以通過硬件或軟件的方法修改。攻擊者可以利用MAC地址欺騙這一弱點，盜用合法IED的地址，從而進行竊取電力網絡信息或者破壞電力網絡。

設備身份認證成功后由于可能存在MAC地址或者IP地址的偽造，上一級的過濾有可能存在一些沒有被過濾掉的訪問對象及所攜帶的信息。此時進行共享密鑰認證需要終端IED和子站配置相同的共享密鑰。共享密鑰認證的認證過程為：終端IED先向子站發送認證請求，子站會隨機產生一個Challenge包(即一個字符串)發送給終端IED；終端IED會將接收到字符串拷貝到新的數據中，用密鑰加密后再發送給子站；子站接收到該數據后，用密鑰將該數據解密，然后對解密后的字符串和最初給終端IED的字符串進行比較。如果相同，則說明客戶端擁有子站相同的共享密鑰，即通過了Shared Key 認證；否則認證失敗。

終端IED的電力信息用DES加密算法為數據進行加密，用RSA算法作為DES密鑰的加密算法作為終端IED的公開密鑰，而子站保存私用密鑰。對DES算法可以采用ECB(電子密本)或者是CBC(密文分組鏈接)工作方式加密能大大提高加密效率和增強了保密強度。終端IED設備在訪問減輕了終端IED設備的計算和通信開銷，從而簡化了系統實現的復雜度和實施的難度。該加密算法既能發揮DES算法加密速度快、安全性比較高，同時也發揮了RSA算法密鑰管理方便的優點。

由于可能存在MAC地址或者IP地址的偽造，上一級的過濾有可能存在一些沒有被過濾掉的訪問對象及所攜帶的信息。此時訪問過濾方案描述如下。

(1)終端、子站、主站的IED攜帶信息進入信息網。

(2)終端IED和子站進行共享密鑰認證。

(3)終端IED進行共享密鑰認證技術后，將執行如下操作：①對于認證成功的終端IED所攜帶的電力敏感信息進行DES加密，然后對其密鑰用RSA加密作為對應終端IED的公開密鑰，把加密的數據和加密后的密鑰傳送給子站。子站收到終端IED的信息后，子站用保留的私用密鑰先對密鑰進行RSA解密，然后對其加密數據解密。②對于認證失敗的終端，把終端的唯一標識符及其所攜帶的信息添加到敏感數據庫，進行封存過濾。③對于數據解密成功，數據采集端保存數據。否則終止其訪問權，將終端加入敏感數據庫。

5 實例分析

網絡化的通信結構和多種通信技術在同一個網絡中的綜合運用，擴大了網絡的規模，增加了網絡的復雜性，給網絡的運行維護增加了很大的困難。熟知智能配電網通信系統三層網絡模型建立如圖4所示的通信網絡。為了方便演示,服務端采用的是單線程。在VS2010平臺上用c#開發時是一對一(一個服務器對一個客服端)，但不影響在實際中的應用。

圖4 智能配電網通信系統三層網絡模型

信息通信技術給系統帶來保護與控制便利的同時[9]，也帶來了安全隱患。在安全通信領域，訪問控制具有重要的基礎性作用。基于上述通信系統模型，利用該方案，能夠保證非法使用的終端IED無法接入到系統中，從而阻止非法入侵者對系統的惡意攻擊。分析如下。

首先，由于電力自動化系統嚴格的集中化管理等特點，設備身份認證(Authentication) 技術和共享密鑰認證有效保障智能電網的信息安全的可靠度，同時將不合法的終端IED的信息封存在數據庫，提高了攔截效率。

其次，在終端IED經過第一級過濾和公共密鑰認證后，客戶端把需要發送的明文經過綜合加密技術后，信息傳送到服務端，服務端先用私鑰解密加密過的密鑰，經過解密的密鑰再進行解密加密過的數據(如圖5所示)，因此防止了密鑰泄漏問題。電力信息進行綜合加密提高了加密效率和數據的安全性。即使對于有些僥幸不合法的終端IED獲取訪問或者獲取電力敏感信息也是經過綜合加密的信息，在保證信息的安全度的同時也給破解電力信息帶來一定的難度。由于采用多重認證機制，該機制阻止了非授權使用的終端用戶或者設備接入智能配電系統。

圖5 子站和終端綜合加密解密

最后，對于采用的對稱加密算法，不影響數據的實時性。由于多級的過濾非授權的終端，阻止了不法分子的訪問、截獲、篡改電力信息，為配電通信網的安全提供保障措施。

6 結 語

未來智能電網從整體上可以看作是由電力網和信息網構成的相互依存的復合網絡, 其中信息網絡的安全及其對電力系統運行安全帶來的風險不容忽視。在智能配電網通信系統結構設計的基礎上，針對智能配電網存在的信息安全問題，采用基于多級過濾和綜合加密體制，提出了一種適合智能配電網通信系統的信息控制訪問方案。該方案減輕了終端IED設備的計算和通信開銷，同時實現了終端合法性認證問題。盡管只是針對智能配電網而提出，該方案所基于的理論體系可很容易推廣應用到智能電網信息安全的其他層次，從而為解決智能電網信息安全問題提供了一種新思路。

[1] 劉振亞.智能電網技術[M].北京:中國電力出版社, 2010.

[2] 余貽鑫,欒文鵬.智能電網述評[J].中國電機工程學報, 2009, 29 (34): 1-8.

[3] 李文偉，邱利斌．配網自動化及通信系統的規劃建設[J]. 電力系統通信, 2009,30(196): 5-7.

[4] Hamlyn A, Cheung H, Mander T, et al. Computer Network Security Management and Authentication of Smart Grids Operations[C]//IEEE Canada Electrical Power Conference. 2008: 31-36.

[5] BOYER W F,MCBRIDE S. Study of Security Attributes of Smart Grid Systems-Current Cyber Security Issues[EB/OL]. [2009-04-29].http://www.inl.gov/scada/publications/d/securtng the smart grid current issues.pdf.

[6] 蘇貴洋,馬穎華,李建華.一種基于內容的信息過濾改進模型[J].上海交通大學學報, 2004, 38(12): 2030-2034.

[7] 劉曉星, 胡暢霞, 劉明生.公鑰加密算法RSA 的一種快速實現方法[J].微計算機信息, 2006(22):118- 119.

[8] 朱作付, 徐 超, 葛紅美.基于DES 和RSA算法的數據加密傳輸系統設計 通信技術[J].2010,4(43):90-93.

[9] 孫中偉,馬亞寧, 王一蓉,等. 基于EPON的配電網自動化通信系統及其安全機制研究[J]. 電力系統自動化, 2010,34(8): 72-75.

[10] SUN Zhong-wei, HUO Si-tian, MA Ya-ning. Security Mechanism for Smart Distribution Grid[C]//The 2ndIEEE International Conference on Advanced Computer Control. 2010:967-971.

[11] Lim I H, Hong S, Choi M S, et al. Security Protocols against Oyber Attacks in the Distribution Automation System[J]. IEEE Trans on Power Delivery, 2010, 25(1): 448-455.