安全技術在5G智能電網中的應用

余曉光 余瀅鑫 陽陳錦劍 解曉青

1(華為技術有限公司松山湖研究所 廣東東莞 523808)2(華為技術有限公司西安研究所 西安 710075)(sean.yuxg@huawei.com)

1 智能電網行業介紹

智能電網是指電力通信利用5G等新技術，在電力生產控制過程中實現智能化、無人化、安全化.智能電網無線通信應用場景總體上可分為控制、采集2大類.其中，控制類包含智能分布式配電自動化、用電負荷需求側響應、分布式能源調控等；采集類主要包括高級計量、智能電網大視頻應用[1-2].

將5G技術應用在智能電網的應用場景可細分為以下幾大類.

第1類：利用5G低時延特性和切片等新技術，保護電網差動保護等操作，如智能電網配網差動保護；

第2類：利用5G低時延特性和切片、邊緣計算等新技術，保證電網三遙操作，如智能電網配網自動化三遙；

第3類：利用5G高帶寬特性和切片、邊緣計算等新技術，保證電網業務正常、安全操作，如智能電網無人巡檢、電網應急通信；

第4類：利用5G高帶寬、低時延特性和切片、邊緣計算等新技術，保證電網業務正常、安全操作，如智能電網配網PMU、精準負荷控制；

第5類：利用5G高帶寬、海量連接特性和切片、邊緣計算等新技術，保證電網業務正常、安全操作，如智能電網高級計量.

智能電網的業務分類和場景分類如表1所示：

表1 智能電網的業務和場景分類

2 智能電網的5G安全需求

2.1 行業監管要求和客戶需求

為了加強電力監控系統的信息安全管理，防范黑客及惡意代碼等對電力監控系統的攻擊及侵害，保障電力系統的安全穩定運行，國家發展與改革委員會于2014年發布了《電力監控系統安全防護規定》(國家發展改革委員會2014年第14號令).規定中指出電力監控系統安全防護工作應當落實國家信息安全等級保護制度，按照國家信息安全等級保護的有關要求，堅持“安全分區、網絡專用、橫向隔離、縱向認證”的原則，保障電力監控系統的安全.國家能源局于2015年發布了《電力監控系統安全防護總體方案》(國能安全[2015]36號)[3]，方案確定了電力監控系統安全防護體系的總體框架，細化了電力監控系統安全防護總體原則，定義了通用和專用的安全防護技術與設備，提出了梯級調度中心、發電廠、變電站、配電等的電力監控系統安全防護方案及電力監控系統安全防護評估規范.

2.2 智能電網行業5G主要安全風險

針對以上行業場景與業務特點進行分析，5G智慧電網行業包括如下關鍵安全風險：

1) 增強移動寬帶(eMBB)業務安全.智能化巡檢等場景中，高清視頻下面臨數據泄露/竊取風險、不良信息傳播風險、現有安全設備防護能力不足風險[4].

2) 超高可靠超低時延通信(uRLLC)業務安全.配網差動保護、精準負荷控制等場景中，如發生DDoS攻擊，將對網絡的可靠性、時延造成影響.此外還存在網絡數據傳輸安全風險、低時延導致安全設備部署受限風險等.

3) 大連接物聯網(mMTC)業務安全.評估并降低新型物聯網設備存在的安全新風險；降低智能電網中海量物聯網設備對空口、業務平臺的大規模攻擊風險；評估并有效降低由于安全監管能力不足造成的風險[4].

4) 網絡切片.部分業務場景要求時延極低，可能需要定制專屬切片，應保障專屬切片安全：惡意終端接入切片的安全風險、核心網側的切片隔離不到位風險、切片管理不善導致跨切片攻擊風險等.

5) 邊緣計算.對于部分智能電網中部署的邊緣節點，應保障邊緣節點的安全，對邊緣節點進行安全管控：NFV系統、MEC平臺、MEC編排管理系統、UPF以及ME APP的安全風險.

3 安全技術在5G智能電網的應用

3.1 安全總體框架

針對上述5G新技術應用到電網行業應用的安全風險和需求，需提供安全技術以確保5G電網建設遵從電力行業“安全分區、網絡專用、橫向隔離、縱向認證”的安全要求[3].

智能電網5G安全總體框架如圖1所示：

圖1 智能電網5G安全總體框架

在該框架中，采用層層縱深防御理念來實現智能電網安全分區、網絡專用、橫向隔離要求[5]；采用零信任的基于動態驗證原則實現縱向認證；除此之外，采用全網安全態勢感知和軟硬件自主可控[5]，確保智能電網的總體安全管控.

3.2 安全分區的技術實現

網絡縱深防御理念要求將安全性應用于多個層，其工作原理是為每個層提供不同類型的保護，以便提供阻止攻擊的最佳手段.因此，首先需要將網絡進行安全分區.智慧電網業務主要分為生產控制大區、管理信息大區2大類.可根據智慧電網業務需求按需定制網絡切片，比如可提供生產控制切片、管理信息切片等，并針對每類切片下沉獨立的UPF網元，針對智慧電網業務建設SMF為智慧電網獨享.生產控制大區與管理信息大區實現物理隔離.

1) 生產控制大區，包括生產控制和生產非控制2大類業務.其中生產控制類包括配網自動化實現配網差動保護、配網廣域同步向量測量PMU和配網自動化三遙業務等[1-2].生產非控制類主要是計量業務，實現電能/電壓質量監測、工廠/園區/樓宇智慧用電等.生產控制大區業務的共性特征在于點多面廣，需要全程全域全覆蓋，屬于廣域場景，要求5G網絡提供高安全隔離、低時延、高頻轉發、高精授時等能力，用戶面UPF接入電力生產控制大區的專用MEC.

2) 管理信息大區，包括管理區視頻類和局域專網[6]2大類業務.管理區視頻類包括利用機器人和無人機進行變電站和線路巡檢、攝像頭監控等，屬于廣域場景，要求用戶面UPF接入電力管理信息大區專用MEC.局域專網類實現智慧園區、智能變電站等局域場景電力業務，其特征在于特定區域有限覆蓋，屬于典型的局域專網[6]場景，要求5G網絡提供上行大帶寬、數據本地化處理等能力，其用戶面UPF接入電力管理信息大區專用MEC；后續根據業務需求，在電力園區部署小型化MEC，進一步滿足數據不出場站的安全需求.

3.3 網絡專用方案的技術實現

網絡專用要求所使用的無線專網或者公網實現專用[6]，達到“網關到網關”(甚至“終端到終端”)的專網[6]水平，不與其他業務混用.

1) 生產控制大區業務需與其他業務進行物理隔離.對于個別生產控制大區業務，在使用無線公網、無線通信網絡及處于非可控狀態下的網絡設備和終端進行通信，其安全防護水平低于生產控制大區內的其他系統時，應設立安全接入區，并采用安全隔離、訪問控制、認證及加密等措施.典型業務如配網自動化、負荷管控管理系統、分布式能源調控系統.

對于重要的生產控制大區業務，如配網自動化，在空口將采用RB無線空口資源預留，傳輸網采用FlexE方式進行隔離，核心網可通過VLAN/VXLAN劃分切片，并在物理或虛擬網絡邊界部署硬件或虛擬防火墻來完成訪問控制，基于物理部署來實現切片的物理隔離，保證每個切片都能獲得相對獨立的物理資源[3]，UPF至配電自動化業務主站通過專線連接.

① 無線空口為配電自動化業務提供RB無線空口資源預留，并可開啟業務數據面加密、完整性保護，保證空口數據安全.

② 針對配電終端，采用接入雙向鑒權機制,通過UE的NSSAI(網絡切片選擇輔助信息),為UE選擇正確的切片，保證合法UE接入網絡.

③ 傳輸網為配電自動化業務提供FlexE方式進行隔離.

④ 核心網可通過VLAN/VXLAN劃分切片，并在物理或虛擬網絡邊界部署硬件或虛擬防火墻來完成訪問控制，基于物理部署來實現切片的物理隔離，保證每個切片都能獲得相對獨立的物理資源，提供專用SMF，UPF網元實現與安全接入區安全連接及網絡專用[6].

⑤ 為電網切片與其他切片提供隔離，如部署時可通過VLAN/VXLAN劃分切片，并在物理或虛擬網絡邊界部署硬件或虛擬防火墻來完成訪問控制，以及基于物理部署來實現切片的物理隔離，保證每個切片都能獲得相對獨立的物理資源[7-8]；

⑥ 可提供網絡層的IPSec VPN加密.在5G基站到MEC，UPF邊界防火墻之間使用IPSec加密；智慧電網業務層IPSec VPN加密：5G終端到MEC APP邊界防火墻之間使用IPSec加密，其中IPSec的證書密鑰由智慧電網掌握.

⑦ 在配電加密認證網關邊界部署安全資源池，在智慧電網的安全需求下，通過流調度的方式將特定應用流量在安全資源池內進行安全檢測和防護；可向用戶提供防火墻、WAF、抗DDoS、IDS/IPS等安全能力.

⑧ 管理面的接口都具備認證和鑒權，管理面的傳輸通過TLS加密和完保；NSMF管理功能上，支持分權分域，防止越權運維；流程內的不同節點也支持指定相應的角色.

2) 各大區內部不同業務之間需進行邏輯隔離：可以采用MPLS-VPN技術、安全隧道技術、PVC技術、靜態路由等構造子網，進行邏輯隔離.

3.4 橫向隔離方案技術實現

橫向隔離主要體現在不同分區主站系統之間的隔離，滿足縱深防御的設計理念.

1) 生產控制大區與管理信息大區之間：必須設置國家指定部門檢測認證的電力橫向單向安全隔離裝置，隔離強度應當接近或達到物理隔離.

2) 生產控制大區內部：不同業務之間采用具有訪問控制功能的網絡設備、防火墻等實現邏輯隔離.

3) 安全接入區與生產控制大區相連時，應采用電力專用橫向單向安全隔離裝置進行集中互聯.

傳統網絡承載電力業務時，包括電力專網和公網2大類，專網的物理層主要通過不同波長、時隙、物理纖芯等資源實現物理隔離，專網邏輯層主要通過VLAN，VPN等手段實現邏輯隔離.對于公網，生產控制類業務需接入安全接入區，管理信息類需接入防火墻.如圖2所示：

圖2 5G與傳統網絡承載電力業務的整體差異

相比較傳統網絡，采用5G公網承載電力業務時，引入了全新的端到端網絡切片隔離方案.通過MEC+切片，5G在技術上具備了為業務提供端到端物理隔離和邏輯隔離的能力.在物理隔離層面，無線空口側采用時、頻、空域正交資源塊RB傳輸數據，傳送網側引入了基于FlexE技術的硬隔離方式，使得傳送網具備類似于TDM獨占時隙，業務可實現基于時分的網絡切割，不同FlexE切片之間業務互不影響，核心網側利用網絡功能虛擬化方式為電網分配獨立的物理服務器資源.上述從無線空口→基站→傳送網→核心網的端到端切片技術，為電力行業在物理資源層面上隔離出了一張“無線專網”[6]，滿足電網業務的安全性、可靠性需求.在邏輯隔離層面，5G網絡切片仍然采用VLAN、IP隧道、VPN虛擬機等方式進行業務邏輯隔離[7-8].

3.5 縱向認證的技術實現

5G電力縱向認證，重點聚焦在管、端兩側，通過利用5G提供的統一認證框架、多層次網絡切片安全管理、靈活的二次認證和密鑰能力及安全能力開放等新屬性，進一步提升行業網絡安全性[7-8].

5G電力縱向認證安全增強主要依托EAP-AKA’協議進行增強，包含如下幾方面：

1) 接入認證增強.行業算法替換，實現電網安全終端接入5G網絡的接入認證增強；5G接入認證增強.根據5G的通信機制，電網業務在開卡時，預先分配好DNN(類比公網APN)、網絡切片選擇輔助信息(NSSAI)等屬性，業務上線時，終端首先附著5G網絡，在附著的過程中，完成5G AKA主鑒權，核心網將根據事先分配的DNN，NSSAI等簽約屬性，分配對應的SMF和UPF，建立PDU會話連接.主鑒權的鑒權消息全部采用國密祖沖之算法集(ZUC算法)實施加密和完整性保護.此外，5G通信機制要求用戶數據必須先經過UPF再進行轉發，從而實現了從終端至基站至UPF的傳輸隧道，且不暴露在公網上，保障了用戶通信數據安全.

2) 二次認證技術.電網業務PDU會話建立期間，由智慧電網企業側DN-AAA服務器進行輔助二次認證/授權；USIM卡的主認證能力由運營商提供，電網為了自行對行業終端進行認證和管理，部署AAA服務對終端設備二次認證.5G網絡可以與智能電網的業務側平臺配合，通過二次認證可以實現外部數據網絡的DN-AAA服務器對與其有簽約關系的UE進行認證，然后根據認證成功與否來決定該UE是否被允許接入上述數據網絡.在智能電網領域，電網CPE通常位于無人值守的戶外，其所使用的USIM卡可能被攻擊者竊取，然后插入其他設備中冒充正常CPE接入電網網絡而發起攻擊.二次認證可以解決由于電網客戶終端設備(CPE)所使用的USIM卡被盜而引起的針對電網網絡發起的攻擊.

3) 二次認證網關加密增強技術.具備會話加解密功能，可為通過認證的會話建立加密通道.對于重點防護的調度中心、發電廠、變電站，由于其數據的高度敏感性，應當設置經過國家指定部門檢測認證的電力專用縱向加密認證裝置或加密認證網關及相關設施，實現雙向身份認證、數據加密和訪問控制.縱向加密認證裝置為廣域網通信提供認證與加密功能，實現數據傳輸的機密性、完整性保護，同時具有安全過濾功能.加密認證網關除具有加密認證裝置的全部功能外，還應實現電力系統數據通信應用層協議及報文的處理.

4) 定制5G安全認證終端.使用電網安全芯片結合5G CPE終端，實現物理芯片級認證、加密等安全功能.通過安全模塊中的微處理器MCU連接電力終端、電力安全芯片及5G通信模組.安全模塊采用的安全芯片應具有國密型號，可聯合協議配置選項(protocol configuration option, PCO)及二次認證流程實現二次接入安全、密鑰分發及信息加解密.

3.6 安全管理的技術實現

當前5G智能電網的安全建設側重通過安全產品在邊界提供防護能力，通用的安全態勢感知等產品主要是針對企業網絡、固定網絡的，缺乏對5G移動網元資產、移動網絡業務的安全可見性能力，缺乏網元、網絡的安全威脅的檢測和響應能力，未能實現安全和網絡“規劃、建設、運營”三同步.

因此，需要網絡提供內生網元安全韌性能力、網管內生安全運維能力，來縮短5G網絡的威脅發現時間，提升安全事件的響應速度，確保安全和網絡三同步顯得尤為重要.

電網部署安全態勢感知系統，如圖3所示，用戶側的安全設備具備安全探針功能，能與態勢感知監測預警系統進行集成，支持安全設備信息上報以及安全設備策略下發功能.

圖3 用戶側安全設備與態勢感知系統

網絡安全態勢感知系統從評價指標的角度出發，設置電力切片業務流可采集的數據維度，采用電力切片業務流探針、網管平臺互通等采集方法，通過數據挖掘、機器學習等技術手段分析電力切片業務流與網絡不安全結果之間的關系，構建面向切片業務流數據在內的新網絡安全態勢感知方案[9].

除了上述數據融合、數據感知外，由于電力行業隔離與安全的特殊性需求，電力企業安全態勢感知系統需要運營商通過API接口將安全能力開放給不同電力業務，讓電力企業能便捷地使用移動網絡的安全能力，使網絡安全能力深入地滲透到電力業務的環境中，增強適配性.

4 總 結

本文以探索5G智能電網端到端安全解決方案技術為目標，實現智能電網行業“安全分區、網絡專用、橫向隔離、縱向認證”的安全需求，并基于內生安全、縱深防御等理念在安全管理和技術領域開展5G安全創新研究，在5G智能電網行業具有廣闊的應用前景.