分布式電源信息安全采集技術(shù)研究與實(shí)踐

程　栩， 黃太貴， 程　琦， 吳保文， 王　玉

(1.國(guó)網(wǎng)安徽省電力有限公司調(diào)度控制中心， 安徽　合肥　230022；2.安徽立卓智能電網(wǎng)科技有限公司， 安徽　合肥　230601；3.安徽送變電工程公司， 安徽　合肥　230022)

1　引言

隨著近年來(lái)分布式電源和配網(wǎng)自動(dòng)化系統(tǒng)發(fā)展，大量的分布式光伏電站建成并網(wǎng)運(yùn)營(yíng)。分布式光伏電站大多容量不大(6MW以下)，投資規(guī)模小，現(xiàn)場(chǎng)比較偏遠(yuǎn)，沒有條件敷設(shè)光纖專線。電網(wǎng)調(diào)度部門無(wú)法掌握分布式電源和配電網(wǎng)的相關(guān)信息，困擾著地區(qū)電網(wǎng)的運(yùn)行和管理，也給電網(wǎng)安全帶來(lái)隱患。對(duì)于分布式電源和配電網(wǎng)需要一種成本較低，能夠?qū)崿F(xiàn)發(fā)電和電量數(shù)據(jù)接入電網(wǎng)調(diào)度監(jiān)控并滿足安全防護(hù)要求的信息接入及組網(wǎng)方案。

2　VPN組網(wǎng)

目前我國(guó)移動(dòng)通信4G(第四代移動(dòng)通信技術(shù))覆蓋面積已經(jīng)普及，對(duì)于地理位置偏遠(yuǎn)，建設(shè)費(fèi)用低的分布式電源，采用移動(dòng)通信網(wǎng)絡(luò)運(yùn)營(yíng)商的4G網(wǎng)絡(luò)實(shí)現(xiàn)組網(wǎng)和數(shù)據(jù)傳輸是理想的解決方案。

VPN/VPDN(虛擬/撥號(hào)專用網(wǎng)絡(luò))是在公用網(wǎng)絡(luò)上建立虛擬專用網(wǎng)絡(luò)，進(jìn)行加密通訊的網(wǎng)絡(luò)技術(shù)。由于電力生產(chǎn)數(shù)據(jù)和系統(tǒng)安全的重要性，需要網(wǎng)絡(luò)運(yùn)營(yíng)商在主干網(wǎng)上完成VPN通道的建立，VPN網(wǎng)關(guān)通過(guò)隧道和對(duì)數(shù)據(jù)包的加密和數(shù)據(jù)包目標(biāo)地址的轉(zhuǎn)換實(shí)現(xiàn)遠(yuǎn)程訪問[1]。

VPN/VPDN的隧道協(xié)議主要有幾種，PPTP(點(diǎn)到點(diǎn)隧道協(xié)議)、L2TP(第二層隧道協(xié)議)、IPSec(Internet協(xié)議安全性)和GRE(通用路由封裝協(xié)議)等，其中PPTP和L2TP協(xié)議工作在OSI模型的第二層，又稱為二層隧道協(xié)議；IPSec和GRE是第三層隧道協(xié)議。第二層隧道協(xié)議和第三層隧道協(xié)議的區(qū)別主要在于用戶數(shù)據(jù)在網(wǎng)絡(luò)協(xié)議的第幾層被封裝，這些協(xié)議之間本身并不沖突，可以結(jié)合使用[2]。

在組網(wǎng)上需考慮的安全性層面主要包括隧道的驗(yàn)證，通信雙方的身份驗(yàn)證和通信數(shù)據(jù)的加密，如果基于網(wǎng)絡(luò)運(yùn)營(yíng)商建立的VPN/VPDN自身提供的安全措施，一般企業(yè)用戶應(yīng)該使用IPsec技術(shù)，如果需要實(shí)現(xiàn)安全的VPDN，應(yīng)該采用L2TP+IPsec組合技術(shù)，先使用L2TP封裝第二層數(shù)據(jù)，再使用IPsec封裝對(duì)數(shù)據(jù)進(jìn)行加密和提供完整性保護(hù)，由此保證通信數(shù)據(jù)安全傳送到目的地[3]。

我國(guó)三大移動(dòng)網(wǎng)絡(luò)運(yùn)營(yíng)商(移動(dòng)、聯(lián)通、電信)提供可分配專用的APN(接入點(diǎn)名稱)，僅開通接入VPDN網(wǎng)絡(luò)的SIM卡，利用SIM卡的唯一性，在網(wǎng)絡(luò)側(cè)對(duì)SIM卡和APN進(jìn)行綁定，劃定用戶可接入該系統(tǒng)的范圍，只能訪問客戶專網(wǎng)，限制使用其他的APN訪問互聯(lián)網(wǎng)公網(wǎng)，有效避免非法入侵。可通過(guò)數(shù)據(jù)中心給每個(gè)SIM卡分配特定的用戶ID和IP，其他沒有數(shù)據(jù)中心分配的用戶ID和IP的SIM卡將無(wú)法登錄進(jìn)入系統(tǒng)，系統(tǒng)的安全性進(jìn)一步增強(qiáng)。專網(wǎng)SIM卡對(duì)業(yè)務(wù)也進(jìn)行嚴(yán)格的鑒權(quán)，關(guān)閉語(yǔ)音、短信等無(wú)關(guān)業(yè)務(wù)，得到業(yè)務(wù)唯一性的安全保證。

客戶可自建或與運(yùn)營(yíng)商共享AAA服務(wù)器，GGSN向AAA服務(wù)器提供用戶主叫號(hào)碼，采用主叫號(hào)碼和用戶賬號(hào)相結(jié)合的認(rèn)證方式；用戶通過(guò)認(rèn)證后由AAA服務(wù)器分配企業(yè)內(nèi)部的靜態(tài)IP地址。

2.1　傳統(tǒng)VPDN組網(wǎng)方式

無(wú)線網(wǎng)絡(luò)運(yùn)營(yíng)商給出的VPDN實(shí)現(xiàn)方案是VPN用戶向當(dāng)?shù)鼐W(wǎng)絡(luò)運(yùn)營(yíng)商申請(qǐng)租用一條專線，從就近GGSN節(jié)點(diǎn)架設(shè)至用戶數(shù)據(jù)中心，運(yùn)營(yíng)商在網(wǎng)關(guān)和用戶接入路由器上配置VPDN隧道協(xié)議，實(shí)現(xiàn)VPDN方式。該方式由于用戶需要架設(shè)并租用專線，建設(shè)周期和成本都比較高(根據(jù)申請(qǐng)的帶寬，帶寬越大價(jià)格越高)。該方式組網(wǎng)方式如圖1所示。

圖1　傳統(tǒng)無(wú)線VPDN組網(wǎng)方式

2.2　全無(wú)線組網(wǎng)方案

本文試圖建立一種全無(wú)線的新型組網(wǎng)方式，在電力監(jiān)控中心與分布式電源場(chǎng)站同樣采用無(wú)線方式，組網(wǎng)方式如圖2所示。在電力監(jiān)控中心不需要架設(shè)租用專線，作為與監(jiān)控站點(diǎn)同等地位的APN接入，各個(gè)監(jiān)控站點(diǎn)之間均可通信互聯(lián)。

所有APN的專網(wǎng)IP地址固定，能夠既作為客戶端，也能作為服務(wù)端支持各類基于IP協(xié)議的應(yīng)用，特別是電力專用的各類通信協(xié)議(101102103104MODBUS等)；

移動(dòng)網(wǎng)絡(luò)運(yùn)營(yíng)商提供專用APN(接入點(diǎn)名稱)接入VPDN網(wǎng)絡(luò)的SIM卡，每張SIM卡作為VPDN網(wǎng)絡(luò)接入點(diǎn)連接GGSN，在運(yùn)營(yíng)商HLR(歸屬位置寄存器)或平臺(tái)AAA中配置每個(gè)APN固定IP地址，打通APN間的隧道，每個(gè)APN配置一臺(tái)支持隧道協(xié)議的無(wú)線路由器作為L(zhǎng)NS，GGSN作為L(zhǎng)AC負(fù)責(zé)與LNS之間建立L2PT隧道轉(zhuǎn)發(fā)IP報(bào)文，并在GGSN中關(guān)閉IP地址反欺詐功能，關(guān)閉終端隔離，允許APN之間互訪。

為保證SIM卡的安全，APN的SIM卡與接入終端設(shè)備全球唯一IMEI(移動(dòng)設(shè)備身份碼)綁定，一旦SIM卡離開終端設(shè)備進(jìn)入其他的設(shè)備，該SIM不可用。

圖2　全無(wú)線VPDN組網(wǎng)方式

2.3　優(yōu)劣對(duì)比

電力監(jiān)控中心采用傳統(tǒng)專線方式，能夠保證申請(qǐng)的專線帶寬，但建設(shè)和使用成本比較高，需要網(wǎng)絡(luò)運(yùn)營(yíng)商敷設(shè)專線到電網(wǎng)企業(yè)電力監(jiān)控中心，監(jiān)控中心用戶還需要根據(jù)服務(wù)器架設(shè)位置敷設(shè)網(wǎng)線。全無(wú)線方式組網(wǎng)靈活，監(jiān)控中心側(cè)可以建在調(diào)度中心機(jī)房或者其他任何位置，且搬遷和移位便利。目前運(yùn)營(yíng)商4G網(wǎng)絡(luò)的理論峰值速率可以達(dá)到上行50Mbps，下行100Mbps，但是該理論帶寬受附近基站的終端使用數(shù)量影響，大量移動(dòng)終端通過(guò)同一基站訪問網(wǎng)絡(luò)時(shí)，可能存在網(wǎng)絡(luò)阻塞現(xiàn)象。

表1　優(yōu)劣對(duì)比

3　電力專用

運(yùn)營(yíng)商提供的VPDN隧道用于IP包加密的IPSec協(xié)議支持的DES、3DES、AES等加密算法均不滿足國(guó)家電網(wǎng)信息安全要求的基于國(guó)密算法的認(rèn)證、加密標(biāo)準(zhǔn)，針對(duì)電力監(jiān)控系統(tǒng)安全防護(hù)要求，電力調(diào)度生產(chǎn)及管理系統(tǒng)與網(wǎng)絡(luò)用戶、關(guān)鍵網(wǎng)絡(luò)設(shè)備、服務(wù)器應(yīng)采用電力調(diào)度證書服務(wù)系統(tǒng)統(tǒng)一頒發(fā)的專用數(shù)字證書，在調(diào)度系統(tǒng)和網(wǎng)絡(luò)關(guān)鍵環(huán)節(jié)實(shí)現(xiàn)高強(qiáng)度的身份認(rèn)證、安全的數(shù)據(jù)傳輸以及可靠地行為審計(jì)。電力調(diào)度證書服務(wù)系統(tǒng)遵循一系列國(guó)際上的關(guān)于密碼學(xué)和數(shù)字證書標(biāo)準(zhǔn)，采用國(guó)密加密算法。證書類型包括：人員證書，程序證書和設(shè)備證書，實(shí)現(xiàn)接入用戶的身份認(rèn)證和數(shù)據(jù)傳輸加密[4]。

4　電力監(jiān)控系統(tǒng)安全接入?yún)^(qū)方案

根據(jù)《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定(國(guó)家發(fā)改委[2014]14號(hào)令)》、《電力監(jiān)控系統(tǒng)安全防護(hù)總體方案等安全防護(hù)方案和評(píng)估規(guī)范(國(guó)能安全[2015]36號(hào))》和《Q/GDW 11347-2014國(guó)家電網(wǎng)公司信息系統(tǒng)安全設(shè)計(jì)框架技術(shù)規(guī)范》的要求，生產(chǎn)控制大區(qū)的業(yè)務(wù)系統(tǒng)在與其終端的縱向聯(lián)接中使用無(wú)線通信網(wǎng)、電力企業(yè)其它數(shù)據(jù)網(wǎng)(非電力調(diào)度數(shù)據(jù)網(wǎng))或者外部公用數(shù)據(jù)網(wǎng)的虛擬專用網(wǎng)絡(luò)方式(VPN/VPDN)等進(jìn)行通信的，應(yīng)當(dāng)設(shè)立安全接入?yún)^(qū)[5]，采用基于國(guó)密算法的認(rèn)證、加密等安全防護(hù)措施[6]。

本方案在監(jiān)控中心和監(jiān)控場(chǎng)站部署電力專用縱向加密認(rèn)證裝置，通過(guò)縱向加密裝置建立隧道，縱向加密裝置的隧道同樣基于VPDN第三層IPSec協(xié)議，但加密算法采用的是采用國(guó)家密碼管理局授權(quán)批準(zhǔn)的電力專用密碼算法，支持身份鑒別，信息加密，數(shù)字簽名和密鑰生成與保護(hù)。

部署在電力企業(yè)調(diào)度端的安全接入?yún)^(qū)與分布式電源場(chǎng)站采用全無(wú)線VPDN組網(wǎng)。VPDN的第二層隧道協(xié)議采用運(yùn)營(yíng)商提供的L2PT協(xié)議，第三層IP層的加密認(rèn)證采用縱向加密認(rèn)證裝置自建的IPSec隧道協(xié)議，實(shí)現(xiàn)用戶身份、設(shè)備認(rèn)證以及數(shù)據(jù)的加密傳輸，分布式電源場(chǎng)站側(cè)通信采用電力專用網(wǎng)絡(luò)通信協(xié)議IEC- 60870-104。網(wǎng)絡(luò)拓?fù)浞绞饺鐖D3所示。

圖3　電力監(jiān)控系統(tǒng)安全接入?yún)^(qū)網(wǎng)絡(luò)拓?fù)?/p>

5　安全接入?yún)^(qū)與調(diào)度自動(dòng)化業(yè)務(wù)系統(tǒng)接口

安全接入?yún)^(qū)采集到的分布式電源并網(wǎng)數(shù)據(jù)需要轉(zhuǎn)發(fā)至調(diào)度自動(dòng)化的各項(xiàng)業(yè)務(wù)系統(tǒng)中，如SCADA系統(tǒng)、電能量管理系統(tǒng)等。根據(jù)業(yè)務(wù)系統(tǒng)的不同安全分區(qū)，可將采集的業(yè)務(wù)數(shù)據(jù)根據(jù)不同的安全分區(qū)轉(zhuǎn)發(fā)至業(yè)務(wù)系統(tǒng)。按照電力監(jiān)控系統(tǒng)安全防護(hù)要求，無(wú)線接入的安全接入?yún)^(qū)屬于外網(wǎng)，安全接入?yún)^(qū)與生產(chǎn)控制大區(qū)中其他部分的聯(lián)接處必須設(shè)置經(jīng)國(guó)家指定部門檢測(cè)認(rèn)證的電力專用橫向單向安全隔離裝置[7]。安全接入?yún)^(qū)轉(zhuǎn)發(fā)業(yè)務(wù)數(shù)據(jù)至電力監(jiān)控系統(tǒng)的結(jié)構(gòu)如圖4所示。

圖4　安全接入?yún)^(qū)與調(diào)度自動(dòng)化各業(yè)務(wù)系統(tǒng)接口

6　應(yīng)用情況

本文描述和研究的安全接入?yún)^(qū)系統(tǒng)目前已在安徽省內(nèi)多個(gè)地市供電公司調(diào)度中心部署應(yīng)用，接入分布式光伏電站三百余個(gè)。

分布式光伏電站主要上傳調(diào)度中心數(shù)據(jù)如表2所示。

表2　數(shù)據(jù)類型

遙測(cè)、遙信通過(guò)反向隔離轉(zhuǎn)發(fā)至SCADA系統(tǒng)，遙脈通過(guò)反向隔離轉(zhuǎn)發(fā)至電能量管理系統(tǒng)。

系統(tǒng)界面如圖5所示。

圖5　系統(tǒng)界面

系統(tǒng)包含安全接入?yún)^(qū)接入的分布式光伏電站概覽、場(chǎng)站信息、報(bào)文監(jiān)視、數(shù)據(jù)查詢和報(bào)表管理功能。為電網(wǎng)調(diào)度部門掌握和管理分布式電源提供了一種滿足安全防護(hù)和低成本投資的解決方案。

圖6　廠站信息

圖7　數(shù)據(jù)查詢

7　總結(jié)

本文研究一種采用無(wú)線VPDN技術(shù)用于電力監(jiān)控系統(tǒng)的安全接入?yún)^(qū)建設(shè)方案，適用于大量投資小、位置偏遠(yuǎn)的分布式電源數(shù)據(jù)接入電力監(jiān)控系統(tǒng)，便于電力調(diào)度部門對(duì)于分布式電源及地區(qū)電網(wǎng)的負(fù)荷管理。本方案在采用網(wǎng)絡(luò)運(yùn)營(yíng)商提供的全無(wú)線組網(wǎng)方式便捷靈活的基礎(chǔ)上，針對(duì)電力監(jiān)控系統(tǒng)的安全防護(hù)要求做了專門設(shè)計(jì)，能夠滿足國(guó)家對(duì)于電力監(jiān)控系統(tǒng)的安全防護(hù)要求，在實(shí)際應(yīng)用中取得了良好的效果。

參考文獻(xiàn)：

[1] 吳克河，崔文超，何建平.電力企業(yè)移動(dòng)安全接入平臺(tái)[J].計(jì)算機(jī)系統(tǒng)應(yīng)用，2014,3(7):31-36.

[2] 程思，程家興.VPN中的隧道技術(shù)研究[J].計(jì)算機(jī)技術(shù)與發(fā)展，2010,20(2):156-159.

[3] 李琦，蒙楊，卿斯?jié)h.基于IPSec和L2PT隧道實(shí)現(xiàn)技術(shù)的研究[J].計(jì)算機(jī)科學(xué)，2004,31(4):40- 42.

[4] 徐茹枝，郭建，李衍輝.智能電網(wǎng)中電力調(diào)度數(shù)字證書系統(tǒng)[J].中國(guó)電力，2011,44(1):37- 40.

[5] 中華人民共和國(guó)國(guó)家發(fā)展和改革委員會(huì).電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定:[2014]14號(hào)令[S]. 2014- 08- 01.

[6] 國(guó)家電網(wǎng)公司.國(guó)家電網(wǎng)公司信息系統(tǒng)安全設(shè)計(jì)框架技術(shù)規(guī)范:Q/GDW 11347-2014[S].北京:國(guó)家電網(wǎng)公司, 2014.

[7] 國(guó)家能源局.電力監(jiān)控系統(tǒng)安全防護(hù)總體方案等安全防護(hù)方案和評(píng)估規(guī)范:國(guó)能安全[2015]36號(hào)[S].2015- 02- 04.