電力采集系統(tǒng)安全防護和密碼管理體系

翟峰 馮云 李保豐

摘 要：電力采集系統(tǒng)作為電力行業(yè)用電側(cè)的重要信息系統(tǒng)，是國家電網(wǎng)統(tǒng)一用電保障與用電管理服務(wù)支撐平臺，若其遭受破壞將對用戶用電管理與計量工作造成嚴重的損害。為了保證電力采集系統(tǒng)的自主安全可控，論文從采集系統(tǒng)概述、安全防護方案設(shè)計、密碼管理體系建設(shè)三方面開展研究論述，表明電力采集系統(tǒng)安全防護方案和密碼管理體系對保障電力采集系統(tǒng)安全具有重要的現(xiàn)實意義。

關(guān)鍵詞：電力采集系統(tǒng)；安全防護；密碼管理；密碼應(yīng)用

中圖分類號： T-012 文獻標識碼：A

Security protection and password management system of power acquisition system

Abstract： As an important information system of the power side of the power industry， the power collection system is a supporting platform for the unified power supply and power management and support management of the national grid. If it is damaged， it will cause serious damage to the user's power consumption management and measurement work. In order to ensure the safety of independent controllable power acquisition system， this paper carries out the research from three aspects： collection system， safety protection design， password management system， that power system security protection scheme and password management system has important practical significance to guarantee the safety of power acquisition system.

Key words： power acquisition system； security protection； password management； cryptographic application

1 引言

電力行業(yè)是關(guān)系國民經(jīng)濟命脈和國家能源安全的基礎(chǔ)性行業(yè)，涉及國計民生和基礎(chǔ)信息資源，服務(wù)千家萬戶，社會關(guān)注度高，影響面大，覆蓋發(fā)、輸、配、變、用、調(diào)度六大環(huán)節(jié)，其各環(huán)節(jié)的安全可靠運行尤為重要[1，2]。近年來，國內(nèi)外信息安全形勢日益嚴峻[3，4]，國家先后出臺了《電力監(jiān)控系統(tǒng)安全防護規(guī)定》（發(fā)改委〔2014〕14號令）、《電力監(jiān)控系統(tǒng)安全防護方案》（國能安全〔2015〕36號文）等文件，進一步強調(diào)了電力信息系統(tǒng)安全防護的重要性。密碼技術(shù)是保障網(wǎng)絡(luò)與信息安全的核心技術(shù)和基礎(chǔ)支撐[5]，建立電力系統(tǒng)密碼保障系統(tǒng)，對全面提升電力信息系統(tǒng)安全防護能力有重要意義。

電力用戶用電信息采集系統(tǒng)（以下簡稱“采集系統(tǒng)”）作為電力行業(yè)用電側(cè)的重要信息系統(tǒng)，覆蓋地域廣，從國家層面一直延伸到各鄉(xiāng)鎮(zhèn)供電所，目前已掛裝智能電能表超過4.7億只，采集終端上千萬。采集系統(tǒng)是國家電網(wǎng)統(tǒng)一用電保障與用電管理服務(wù)支撐平臺，若其遭受破壞將對用戶用電管理與計量工作造成較嚴重的損害，因此，基于密碼技術(shù)加強采集系統(tǒng)安全防護，對保障電力系統(tǒng)整體安全、提高電力用戶用電滿意度具有重要的現(xiàn)實意義。

2 采集系統(tǒng)概述

采集系統(tǒng)是對電力用戶的用電信息進行采集、處理和實時監(jiān)控的系統(tǒng)，實現(xiàn)用電信息的自動采集、計量異常監(jiān)測、電能質(zhì)量監(jiān)測、用電分析和管理、相關(guān)信息發(fā)布、分布式能源監(jiān)控、智能用電設(shè)備的信息交互等功能。采集系統(tǒng)分為系統(tǒng)主站、通信信道、終端設(shè)備三層，系統(tǒng)主站同時還與營銷、安監(jiān)、運檢、運監(jiān)、發(fā)策等其他業(yè)務(wù)系統(tǒng)進行交互，網(wǎng)絡(luò)及業(yè)務(wù)流程復(fù)雜；通信方式多樣，包含電力載波、微功率無線、無線公網(wǎng)、無線專網(wǎng)、光纖專網(wǎng)等；終端設(shè)備包含采集設(shè)備、表計設(shè)備和計量現(xiàn)場作業(yè)終端三類。

2.1 總體部署

采集系統(tǒng)采用省公司二級部署方式，且依據(jù)14號令要求，為終端接入設(shè)置營銷安全接入?yún)^(qū)，省級、地市級、縣級、供電所級內(nèi)部用戶基于Web用戶端通過電力企業(yè)數(shù)據(jù)網(wǎng)訪問采集系統(tǒng)主站，總體部署結(jié)構(gòu)圖如圖1所示。

2.2 采集系統(tǒng)主站

采集系統(tǒng)主站主要包括數(shù)據(jù)采集、參數(shù)設(shè)置、控制三類核心業(yè)務(wù)功能。

數(shù)據(jù)采集類業(yè)務(wù)功能：采集系統(tǒng)利用定時自動采集、人工召測、自動上報等多種方式，對電能量數(shù)據(jù)、事件記錄數(shù)據(jù)等多種類型數(shù)據(jù)進行采集，并通過數(shù)據(jù)檢查分析模塊對數(shù)據(jù)進行計算分析與合理性檢查。數(shù)據(jù)采集類業(yè)務(wù)包含在線監(jiān)測、數(shù)據(jù)分析、Web頁面信息發(fā)布等多種功能。

參數(shù)設(shè)置類業(yè)務(wù)功能：營銷、安監(jiān)、運檢等其他業(yè)務(wù)系統(tǒng)可通過采集系統(tǒng)主站下發(fā)批量配置信息，實現(xiàn)批量參數(shù)設(shè)置功能；省、地市、縣、供電所內(nèi)部用戶通過Web服務(wù)器接入采集主站實現(xiàn)點對點的參數(shù)配置。

控制類業(yè)務(wù)功能：采集系統(tǒng)可對采集終端功率、電量與時段等進行定值控制，同時可根據(jù)其他業(yè)務(wù)系統(tǒng)任務(wù)，對電能表進行遠程控制，執(zhí)行遙控、保電、剔除等操作?？刂茍?zhí)行類功能還可實現(xiàn)高壓用戶負控管理、欠費控制管理等業(yè)務(wù)。

2.3 終端設(shè)備

采集系統(tǒng)終端設(shè)備包括采集設(shè)備、表計設(shè)備和計量現(xiàn)場作業(yè)終端三類。采集終端處于采集系統(tǒng)的中間層包括集中器和專變終端，集中器不帶控制功能，專變終端具備負荷控制功能。表計設(shè)備處于采集系統(tǒng)的底層，主要指智能電能表和多功能電能表。智能電能表具備費控功能，屬于帶控設(shè)備。計量現(xiàn)場作業(yè)終端是對電能表和采集設(shè)備進行應(yīng)急搶修與現(xiàn)場維護的移動作業(yè)設(shè)備。采集系統(tǒng)終端設(shè)備共計五種部署方式，如圖2所示。

3 采集系統(tǒng)安全防護方案

采集系統(tǒng)信息安全防護優(yōu)化方案設(shè)計遵循《電力監(jiān)控系統(tǒng)安全防護規(guī)定》（發(fā)改委〔2014〕14號令）、《電力監(jiān)控系統(tǒng)安全防護方案》（國能安全〔2015〕36號文），參考國家信息系統(tǒng)安全等級保護要求[6]和《國家電網(wǎng)公司管理信息系統(tǒng)安全防護技術(shù)要求》[7]制定，旨在降低采集系統(tǒng)被攻擊的風險，提高采集系統(tǒng)整體的安全性。

3.1 防護原則

采集系統(tǒng)安全防護遵循幾個原則。

合規(guī)性原則：符合國家與國家電網(wǎng)公司信息安全要求，符合公司“分區(qū)分域、安全接入、動態(tài)感知、全面防護”的安全策略，設(shè)立營銷安全接入?yún)^(qū)和營銷生產(chǎn)控制域并重點加強邊界防護。

體系化原則：按照國家電網(wǎng)公司信息安全防護要求，從邊界、應(yīng)用、數(shù)據(jù)、主機、網(wǎng)絡(luò)、終端、物理及管理等方面對采集系統(tǒng)進行安全防護設(shè)計。

成熟性原則：為保證采集系統(tǒng)可靠、穩(wěn)定運行，方案優(yōu)先考慮電力行業(yè)或其他行業(yè)成功應(yīng)用的安全技術(shù)與安全產(chǎn)品，新研發(fā)產(chǎn)品需通過國家權(quán)威檢測機構(gòu)的檢測，具備相應(yīng)資質(zhì)，并經(jīng)過試點應(yīng)用流程后方可推廣使用。

風險管理原則：針對系統(tǒng)面臨的風險采取針對性的安全防護措施，降低風險，提高系統(tǒng)安全性能。

3.2 安全風險分析

采集系統(tǒng)涉及多種類型終端、用戶、外部系統(tǒng)接入，存在多個入侵系統(tǒng)路徑，同時業(yè)務(wù)涉及用電控制指令，存在多種方式在產(chǎn)生、傳遞、執(zhí)行等多個環(huán)節(jié)對控制指令進行篡改/偽造/重放[8]。因此，系統(tǒng)面臨邊界、網(wǎng)絡(luò)環(huán)境、應(yīng)用、終端等多個層面安全風險，采集系統(tǒng)風險識別如圖3所示。

3.3 防護措施

采集系統(tǒng)總體安全防護在邊界、數(shù)據(jù)、主機、應(yīng)用、網(wǎng)絡(luò)、終端、安全管理等多層面進行，重點加強邊界防護能力，并利用基于國密算法的密碼技術(shù)進行真實性與機密性保障，同時部署用采系統(tǒng)安全診斷監(jiān)控系統(tǒng)。

（1）邊界防護措施

采集系統(tǒng)邊界包括信息內(nèi)網(wǎng)第三方邊界、信息內(nèi)網(wǎng)縱向邊界等。結(jié)合采集系統(tǒng)自身特點，除信息內(nèi)網(wǎng)第三方邊界外，其他邊界的安全均為常規(guī)安全風險，參照常規(guī)風險的邊界防護方案進行防護，在信息內(nèi)網(wǎng)第三方邊界采取特有安全防護措施。

1）在終端通過運營商無線APN/VPN專網(wǎng)、230MHZ專網(wǎng)、北斗專網(wǎng)和光纖專網(wǎng)等接入采集系統(tǒng)主站時，在其縱向域邊界設(shè)置營銷安全接入?yún)^(qū)。

2）采用安全加密隔離網(wǎng)關(guān)作為信息內(nèi)網(wǎng)與第三方邊界的邊界網(wǎng)絡(luò)隔離設(shè)備進行網(wǎng)絡(luò)隔離。

3）利用密碼機從應(yīng)用層對傳輸數(shù)據(jù)進行加密保護，同時利用安全加密隔離網(wǎng)關(guān)，基于SSL協(xié)議從傳輸層對傳輸數(shù)據(jù)進行加密認證保護。

（2）數(shù)據(jù)安全防護

為了保證敏感信息和關(guān)鍵數(shù)據(jù)的傳輸安全，采集系統(tǒng)采取了傳輸層加密和應(yīng)用層加密的雙層加密保護措施。傳輸層加密是基于SSL協(xié)議，在安全加密隔離網(wǎng)關(guān)和終端（ESAM）之間建立傳輸層加密保護，用于實現(xiàn)終端設(shè)備的接入認證和敏感信息和關(guān)鍵數(shù)據(jù)的傳輸層加密保護。應(yīng)用層加密認證是在各類業(yè)務(wù)前置服務(wù)器（密碼機）和終端（ESAM）之間建立的應(yīng)用層加密保護，主要用于權(quán)限控制，對控制命令、參數(shù)設(shè)置、電價調(diào)整等關(guān)鍵指令進行權(quán)限控制。數(shù)據(jù)安全防護措施如圖4所示。

（3）主機及應(yīng)用安全

采集系統(tǒng)運行所需服務(wù)器（包括虛擬機）操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)部署在各省公司信通機房或營銷部機房，部署于信通機房的主機由國家電網(wǎng)信通公司負責安全管理，部署于營銷機房的主機由營銷人員參照信通公司要求進行安全管理，主機安全管理均滿足等級保護三級的防護要求。

采集系統(tǒng)涉及服務(wù)器端應(yīng)用與客戶端應(yīng)用，在系統(tǒng)服務(wù)器端采取信源真實性保障、應(yīng)用流程管控等手段；在系統(tǒng)客戶端采取嚴格的身份鑒別、權(quán)限管理手段，保證合法的終端用戶訪問，保障采集系統(tǒng)應(yīng)用安全。

（4）網(wǎng)絡(luò)安全防護

網(wǎng)絡(luò)安全分為網(wǎng)絡(luò)設(shè)備安全和網(wǎng)絡(luò)通道安全。采集系統(tǒng)網(wǎng)絡(luò)設(shè)備的安全管理由各省信息通信職能管理部門負責，確定采集系統(tǒng)網(wǎng)絡(luò)設(shè)備的部署和安全配置策略，滿足等級保護三級防護要求，同時通過信息安全網(wǎng)絡(luò)設(shè)備部署、專人定期漏洞掃描、數(shù)據(jù)監(jiān)聽、風險預(yù)警、入侵檢測事件關(guān)聯(lián)分析及自動化處理等防護措施保護網(wǎng)絡(luò)設(shè)備安全。采集系統(tǒng)網(wǎng)絡(luò)通道采用傳輸層和應(yīng)用層的雙層加密保護措施。

（5）終端安全

采集終端處于采集系統(tǒng)的中間層，采集終端設(shè)備上內(nèi)嵌支持SM1、SM2、SM3算法安全模塊；采用數(shù)字證書方式的身份鑒別機制；分別從傳輸層和應(yīng)用層進行加密保護，傳輸層加密實現(xiàn)身份鑒別、密鑰協(xié)商和數(shù)據(jù)加密傳輸，應(yīng)用層加密保證數(shù)據(jù)完整性保護和權(quán)限控制問題。

表計設(shè)備處于采集系統(tǒng)的底層，表計設(shè)備上內(nèi)嵌支持SM1算法的安全模塊；采用挑戰(zhàn)應(yīng)答方式進行身份鑒別；從應(yīng)用層對充值、控制和參數(shù)設(shè)置等關(guān)鍵指令進行加密保護。

計量現(xiàn)場作業(yè)終端安全防護措施參照采集終端實施。

（6）安全診斷監(jiān)控系統(tǒng)

部署安全診斷監(jiān)控系統(tǒng)，監(jiān)控采集系統(tǒng)的安全態(tài)勢，對采集系統(tǒng)受到的網(wǎng)絡(luò)攻擊行為能夠及時告警并阻斷，確保安全危脅不從采集系統(tǒng)擴散到其他系統(tǒng)。采用網(wǎng)絡(luò)隔離設(shè)備對安全診斷監(jiān)控系統(tǒng)和采集系統(tǒng)進行安全隔離和訪問控制，采用數(shù)據(jù)鏡像方式、特征匹配和虛擬執(zhí)行等方式，確保安全診斷監(jiān)控系統(tǒng)分析數(shù)據(jù)的獲取和分析過程不會引入木馬或病毒。

4 采集系統(tǒng)密碼管理體系

電力采集系統(tǒng)密碼管理體系建設(shè)始于2009年，與采集系統(tǒng)同步建設(shè)，是集密鑰管理和數(shù)字證書管理于一體的混合密碼管理體系。電力采集系統(tǒng)密碼管理體系建設(shè)以來，為采集系統(tǒng)提供了優(yōu)質(zhì)的密碼管理服務(wù)，有效保障了采集系統(tǒng)的安全。

4.1 建設(shè)需求

采集系統(tǒng)密碼管理系統(tǒng)第一期建設(shè)為對稱密碼系統(tǒng)，然而隨著采集系統(tǒng)運行環(huán)境的日趨復(fù)雜，針對采集系統(tǒng)的攻擊方式和強度也呈現(xiàn)出上升趨勢，原來只采用單一對稱加密方式已不能有效地適應(yīng)目前用電信息采集系統(tǒng)的安全及業(yè)務(wù)需求。同時，根據(jù)《關(guān)于做好公鑰密碼算法升級工作的函》國密局函〔2011〕7號要求，新投入運行并使用公鑰密碼的信息系統(tǒng)應(yīng)使用SM2橢圓曲線密碼算法，在運系統(tǒng)應(yīng)盡快進行系統(tǒng)升級，并使用SM2橢圓曲線密碼算法?；谝陨闲枨螅瑖译娋W(wǎng)于2011年對用電信息密碼管理系統(tǒng)進行了系統(tǒng)升級，引入數(shù)字證書機制，實現(xiàn)數(shù)字簽名和抗抵賴功能，重新設(shè)計采集系統(tǒng)的主站和終端的身份認證及密鑰協(xié)商協(xié)議，增加SM2算法和SM3密碼雜湊算法，分別用于會話密鑰的協(xié)商和傳輸數(shù)據(jù)的完整性驗證。

4.2 建設(shè)內(nèi)容

國家電網(wǎng)公司用電信息密碼管理系統(tǒng)是基于對稱密鑰管理和非對稱密鑰管理的混合密碼機制建立的密碼系統(tǒng)，分兩期建設(shè)完成。第一期完成了基于SM1密碼算法的對稱密鑰管理系統(tǒng)，密碼系統(tǒng)按三級設(shè)計，兩級部署模式建設(shè)，國網(wǎng)級部署在國網(wǎng)計量中心，網(wǎng)省級和地市級部署在各省電力公司，分別負責根密鑰、省級、地市級和業(yè)務(wù)密鑰的全生命周期管理。第二期按照國家密碼管理局算法國產(chǎn)化要求，建設(shè)了非對稱密鑰管理（KMC）系統(tǒng)和數(shù)字證書管理（CA）系統(tǒng)[9]，并對原終端使用的RSA算法進行升級，支持SM2非對稱密碼算法，實現(xiàn)了包括SM1、SM2、SM3、SM7的所有密碼算法的國產(chǎn)替代[10]，2017年4月，升級后的系統(tǒng)通過安全性審查，用電信息密碼管理系統(tǒng)第二期建設(shè)如圖5所示。

國家電網(wǎng)公司用電信息密碼管理系統(tǒng)作為采集系統(tǒng)安全防護體系中的重要信息安全基礎(chǔ)設(shè)施，可以為安全模塊發(fā)行系統(tǒng)、用電信息采集系統(tǒng)、移動作業(yè)系統(tǒng)、設(shè)備檢測系統(tǒng)、資產(chǎn)管理系統(tǒng)、電動汽車系統(tǒng)等核心業(yè)務(wù)系統(tǒng)提供密碼管理服務(wù)和安全保障。

4.3 密鑰管理

國家電網(wǎng)公司用電信息密碼管理系統(tǒng)的功能包括負責接受來自數(shù)字證書認證中心的密鑰申請，調(diào)用備用密鑰庫中的密鑰并發(fā)送給數(shù)字證書認證中心；同時，監(jiān)控備用庫中密鑰的數(shù)量，根據(jù)預(yù)定策略生成一定數(shù)量的密鑰進行補充，并且在密鑰生成、分發(fā)、更新、撤銷等操作時，負責對各種密鑰庫進行相應(yīng)的維護。

（1）密鑰生成

國家電網(wǎng)公司用電信息密鑰管理中心利用密碼機批量生成密鑰對，從而滿足數(shù)字證書認證中心信任體系對高強度密鑰的需要。生成的密鑰可用于制作用戶加密證書，采用密碼機中的對稱密鑰保護用戶的加密密鑰對，生成后的密鑰以密文保存在數(shù)據(jù)庫中。

（2）密鑰庫存儲

密鑰庫存儲模塊負責密鑰的存儲管理，按照其存儲的密鑰的狀態(tài)，密鑰庫分為備用庫、在用庫和歷史庫等三種類型，密鑰庫中的密鑰數(shù)據(jù)加密存放。

（3）密鑰分發(fā)

數(shù)字證書是分發(fā)密鑰的一種有效方式。由簽發(fā)系統(tǒng)申請密鑰，在國家電網(wǎng)公司用電信息密鑰管理中心生成密鑰以后，由簽發(fā)系統(tǒng)完成對包含密鑰的證書進行簽發(fā)和管理。采用安全通道和加密手段進行傳輸，保證用戶密鑰從密鑰的生成到存儲到用戶證書存儲介質(zhì)中整個過程的安全性。

（4）密鑰備份與恢復(fù)

國家電網(wǎng)公司用電信息密鑰管理中心提供對各管理員密鑰和用戶加密密鑰的安全備份和恢復(fù)功能?？梢岳眉用苁侄螌⒏鞣N密鑰安全地保存到密鑰備份庫。當需要時，可以從備份庫中將所需密鑰恢復(fù)出來。

（5）密鑰歸檔

密鑰更新時需將舊密鑰歸檔，形成用戶密鑰的歷史信息。在發(fā)生糾紛時，可以根據(jù)系統(tǒng)提供的信息進行處理，歸檔的密鑰也可以進行恢復(fù)。

（6）密鑰統(tǒng)計查詢

對滿足權(quán)限的用戶提供密鑰有限信息查詢功能，以滿足用戶在密鑰使用過程中的需要。包括對備用庫、在用庫、歷史庫中密鑰的查詢和統(tǒng)計，按照密鑰類型和類別（已用、未用、撤銷）統(tǒng)計密鑰庫信息。

（7）密鑰銷毀

對已經(jīng)失去作用的密鑰或者不宜繼續(xù)存在的密鑰提供銷毀功能，徹底將這些密鑰從密鑰庫中刪除，并保證被刪除密鑰的不可恢復(fù)性，保證整個體系的安全。銷毀的密鑰包括數(shù)據(jù)庫中的需要銷毀的密鑰和存在USB智能卡、IC卡等介質(zhì)中的密鑰。

5 結(jié)束語

隨著電力用戶用電信息采集系統(tǒng)運行環(huán)境的日趨復(fù)雜，針對采集系統(tǒng)的攻擊方式和強度也呈現(xiàn)出上升趨勢，電力采集系統(tǒng)安全防護方案以及密碼管理體系也面臨著不斷出現(xiàn)的安全升級需求，國家電網(wǎng)公司將始終以需求為導(dǎo)向，堅持以“服務(wù)生產(chǎn)、服務(wù)用戶、服務(wù)管理”為目標，進一步發(fā)揮密碼的核心保障作用，不斷完善電力采集系統(tǒng)安全防護方案，加強密碼管理體系建設(shè)，長久有效地保護采集系統(tǒng)安全，保障我國電力系統(tǒng)的穩(wěn)定運行。

參考文獻

[1] 婁一艇，嚴鈺君，葉明達，戚浩金.電力系統(tǒng)信息安全漏洞運維管理的研究[J].網(wǎng)絡(luò)空間安全，2017， 8（08-09）：61-64.

[2] 王劼，電力信息網(wǎng)絡(luò)中的安全風險源以及預(yù)防控制方法[J].網(wǎng)絡(luò)空間安全，2016，8：81-94.

[3] 曾鳴，李紅林，薛松，曾博，王志杰.系統(tǒng)安全背景下未來智能電網(wǎng)建設(shè)關(guān)鍵技術(shù)發(fā)展方向——印度大停電事故深層次原因分析及對中國電力工業(yè)的啟示[J].中國電機工程學報， 2012， 32（25）：175-181.

[4] 李中偉，佟為明，金顯吉.智能電網(wǎng)信息安全防御體系與信息安全測試系統(tǒng)構(gòu)建 烏克蘭和以色列國家電網(wǎng)遭受網(wǎng)絡(luò)攻擊事件的思考與啟示[J].電力系統(tǒng)自動化，2016，40（8）：147-151

[5] 徐茹枝，王宇飛.面向電力信息網(wǎng)絡(luò)的安全態(tài)勢感知研究[J].電網(wǎng)技術(shù)，2013，37（1）：53-57.

[6] Q/GDW 1595-2014國家電網(wǎng)公司管理信息系統(tǒng)安全等級保護技術(shù)驗收規(guī)范[S].國家電網(wǎng)公司，2014.

[7] Q/GDW 1594-2014國家電網(wǎng)公司管理信息系統(tǒng)安全防護技術(shù)要求[S].國家電網(wǎng)公司，2014.

[8] DL/T 1527-2016用電信息安全防護技術(shù)規(guī)范[S].北京：中國電力出版社，2016.

[9] 電力系統(tǒng)密鑰管理中心安全性設(shè)計報告[R].中國電力科學研究院， 2015，4.

[10] 電力系統(tǒng)數(shù)字證書認證中心安全性設(shè)計報告[R].中國電力科學研究院， 2015，4.