配網自動化安全防護的發展與實現

秦凱，高志勇

(南京國電南自電網自動化有限公司，南京 210000)

配網自動化安全防護的發展與實現

秦凱，高志勇

(南京國電南自電網自動化有限公司，南京 210000)

隨著配電網的發展，很多不具備光纖通信條件的配電網采用了公網通信的方式，如通用分組無線服務技術(GPRS)等，致使系統可能面臨來自公網系統攻擊的風險，從而影響供電的安全性。介紹了2011及2017年國網發布的安全防護方案，在國電南京自動化股份有限公司配電終端實現這2種安全防護方案，并通過了中國電科院的安全測試。

配網自動化；安全防護；配電終端；SM2算法

0 引言

近年來，隨著國家配網自動化建設改造行動的加大，同時伴隨著信息化的快速發展，電力體制改革和電力市場的開放，加大了電力工控系統和電網安全統一管理的難度。另一方面，電網安全面臨的外部環境進一步惡劣，針對電網關鍵信息基礎設施的攻擊層出不窮，安全形勢日趨嚴峻。

2015年12月23日，黑客對烏克蘭電力系統發起網絡攻擊，導致伊萬諾-弗蘭科夫斯克地區發生大面積停電，是首次公開報道的由黑客攻擊行為而導致的停電事件。2017年5月12日，全球爆發大規模蠕蟲勒索軟件感染事件，僅僅幾個小時內，該軟件攻擊了150個國家近萬臺電腦。

《中華人民共和國網絡安全法》自2017年6月1日起施行，關鍵信息基礎設施保護已成為當前國家電力企業的重點工作。特別是配網終端數量眾多，分布廣，很多終端使用通用分組無線服務技術(GPRS)通信方式接入公網，從而導致面臨更多網絡攻擊的可能。

互聯網的迅速普及和計算機技術的發展，也使得密碼技術取得了巨大的進步[1-3]，按照密碼鑰匙的對稱性作為分類規范，分為非對稱和對稱2種算法類型[4]。本文介紹的2種防護方案都使用了2種加密算法。

1 2011年安全防護方案

2011年國家電網公司發布了《關于加強配電網自動化系統安全防護工作的通知》及《中低壓配電網自動化系統安全防護技術方案》[5]。方案針對配電網系統子站數量大，控制命令間隔時間長等特點，規定采用基于非對稱密鑰技術的單向認證措施，如圖1所示。同時規定：實現遠方控制命令的有效鑒別及加密傳輸；子站僅上傳遙信，遙測數據。防止入侵者通過上行數據注入病毒，穿越調度端前置機進入調度系統網絡。

圖1 2011版安全防護

1.1技術方案

方案使用基于非對稱加密技術的單向身份認證和對稱加密措施，實現對終端的控制命令下發和會話密鑰協商。使用單向身份認證和非對稱加密措施，實現對終端的公鑰檢查及更新，見表1。

表1 2011版安全報文的認證與加密方式

主站端安全模塊采用硬件實現，一般我們使用加密機。子站終端模塊我們一般采用軟件實現。主站與終端間的通信使用國家密碼局推薦的SM2[6]橢圓曲線公鑰密碼算法為簽名和鑒簽算法，主站側

使用加密卡實現簽名，子站側使用軟件方式實現鑒簽，主站與終端協商產生會話密鑰用于對稱加密，主站下行報文先簽名后對稱加密，子站收到報文后先解密后鑒簽，并比較時間戳有效性。

1.2方案實現

在方案的具體實現過程中，我們使用了電科院提供的加密庫，主要函數如下。

(1)void encrypt_epri(unsigned char* in, unsigned int in_len, unsigned char* out, unsigned int* out_len, unsigned int key, int type)。

(2)int SM2_Verify(unsigned char *pucDataInput,unsigned int uiInputLength,unsigned char *pucID, unsigned int uiIDLength,ECCrefPublicKey *pucPublicKey,ECCSignature *pucSignature)。

(3)intSM2_Encrypt(unsignedchar*pucDataInput,unsignedintuiInputLength,ECCrefPublicKey *pucPublicKey, unsigned char *pucRandom,unsigned int uiRandomLength, ECCCipher *pucEncData)。

上面函數(1)完成對稱解密；函數(2)完成SM2驗證運算，用橢圓曲線密碼編碼學(ECC)公鑰對明文和簽名值在指定曲線上進行驗證運算；函數(3)完成SM2加密運算，用ECC公鑰對明文在指定曲線上進行加密運算。具體裝置程序實現流程如圖2所示。

圖2 2011版安全防護驗證流程

1.3方案運行

加密方案實現后運行在國電南京自動化股份有限公司(以下簡稱國電南自)DSL3250系列及DS-6700系列配電終端上，同時支持101，104規約，裝置順利通過中國電科院信通所的安全測試并取得相關資質報告。之后在濟南，揚州，青島等現場運行，能和南瑞，四方，許繼等主要的主站廠家正常通訊。

2 2017年安全防護方案

隨著信息化技術的發展，之前的安全方案已不滿足當前的安全形勢的需要，故根據《電力監控系統安全防護規定》，為提高配電自動化終端的防護水平和標準化設計，制定了新的安全防護方案。此方案滿足以下幾點防護原則。

(1)遵循《電力監控系統安全防護總體方案》及《配電監控系統安全防護 方案》的要求。

(2)利用基于數字證書的雙向認證技術，實現終端和主站之間的雙向身份鑒別[7]。

(3)利用基于對稱密碼算法的數據加密和消息認證技術確保配電業務數據的保密性和完整性。

(4)使用國產密碼算法SM1、SM2、SM3，采用國產安全芯片實現對終端密鑰的存儲、管理以及密碼運算。

2.1終端安全實施方案

終端使用了硬件加密的方式，使用了一片加密芯片，加密芯片使用SPI接口與配電終端CPU相連，同時CPU為加密芯片提供3.3 V電源，如圖3所示。

圖3 2017版安全防護終端硬件與芯片連接方案

按照安全防護原則，在進行正常的101，104業務之前，要取得網關與終端的雙向身份認證以及主站與終端的雙向身份認證，如圖4所示。如進行未認證的操作，終端必須返回相對應的錯誤碼。

圖4 2017版安全防護業務流程

此安全防護方案是基于2016年國家電網發布的配電自動化系統應用DL/T 634.5101—2002[8]，所以重點規定了以下幾種報文的交互過程：(1)遙信遙測報文；(2)遙控報文；(3)遠程參數更新報文；(4)遠程升級報文。

2.2報文定義

在現有的101,104報文基礎上增加了信息安全協議層報文，格式如圖5所示。

圖5 2017版安全協議層報文格式

對報文定義中的101,104規約中各業務對應的業務類型等不一一列舉。

2.3安全方案實現

2017年安全方案比2011年的安全方案復雜很多，方案使用了芯片加密的方式，同時對規約中除了短幀之外的所有報文都進行了加密，并對針對各業務的重要性規定了各自不同的交互流程。程序在實現時我們在正常的規約之上建立1個安全處理層，這樣可以容易地配置終端規約加密或者非加密的通訊方式。同時，在實現上我們封裝了相關的接口函數，如下：

(1)uint_8 SPI_sec_autograph(uint_8 *R1, uint_8 *R2, uint_8 *sign1)//對網關(主站)R1進行簽名，返回簽名和隨機數R2。

(2)uint_16 SPI_sec_check_autograph(uint_8 asKID, uint_8 *sign2)//網關(主站)收到R2后，進行簽名生成sign2，發給終端，終端對之驗簽。

(3)uint_16 SPI_sec_check_iec_autograph(uint_8 asKID, uint_8 *data, int_16 len)//驗證簽名的正確性。

(4)uint_16 SPI_sec_tool_decrypt(uint_8 *buf, int_16 len, uint_8 *R1, uint_8 *toolID, uint_8 **out_buf)//解密維護工具報文，返回解密后的報文長度。

(5)uint_16 SPI_sec_decrypt(uint_8 *buf, int_16 len, uint_8 *R1, uint_8 **out_buf)//解密。

具體實現流程如圖6所示。

圖6 2017版安全防護業務流程

2.4方案實現結果

此方案實現在本公司DS6700系列的配網終端上，后于2017年6月通過電科院配網所的安全測試。電科院的測試不僅測試正常流程，重點測試異常流程與異常報文，這就需要終端返回異常所對應的錯誤碼。由于電科院剛剛開展進行此方案的測試工作，截止到目前，全國還未有相關的現場運行。

3 結束語

由于配網自動化大量使用了新的通信技術與網絡技術，使得自身的安全問題變得更加復雜與緊迫。本文介紹了國網公司2011年及2017年2次發布的安全防護方案，并在本公司配電終端上具體實現了這2個版本的安全防護方案。這幾年來使用2011年安全防護方案的配電終端已經投運在多個現場。2017年方案通過了國網的測試，國網公司還未具體投運使用此種安全防護方案的配電終端，但由于此方案通訊報文基本都是密文，同時也給終端和主站的規約聯調提出了新的挑戰。

[1]YOUN T Y,PARK Y H,KIM C,et al.Weakness in a RSA-based password authenticated key exchangeprotocol[J].Information Processing Letters,2008,108(6):339-342.

[2]WONG K W.A combined chaotic cryptographic and Hashing scheme[J].Physics Letters A.2003,307(5-6):292-298.

[3]WANG Y, LIAO X, XIAO D,et al.One-way Hash function construction based on 2D coupled maplattices[J].Information Sciences.2008,178(5):1391-1406.

[4]WANG Y,LI X,ZHANG B,et al.Meso-damage cracking characteristics analysis for rock and soil aggregatewith CT test[J].Science China Technological Sciences,2014,57(7): 1361-1371.

[5]中國電力科學研究院.中低壓配電網自動化系統安全防護技術方案[Z].2011.

[6]國家密碼管理局.SM2橢圓曲線公鑰密碼算法[Z].2010.

[7]中國電力科學研究院.國網配電終端安全防護實施方案V1.2.0[Z].2017.

[8]配電自動化系統應用實施細則(試行):DL/T 634.5101—2002[S].

TM 76

A

1674-1951(2017)10-0017-03

2017-07-03；

2017-09-18

(本文責編：齊琳)

秦凱(1983—)，男，江蘇啟東人，高級工程師，從事研究配電自動化方面的工作(E-mail:kai-qin@sac-china.com)。

高志勇(1979—)，男，江蘇漣水人，高級工程師，從事研究配電自動化方面的工作(E-mail:zhiyong-gao@sac-china.com)。