[发明专利]一种用于配电终端串口通信的加密认证装置及其方法

说明书

技术领域

本发明涉及一种加密认证装置，尤其涉及一种用于配电终端串口通信的加密认证装置，同时也涉及基于该装置实现配电终端串口通信的加密认证方法，属于电力通信技术领域。

背景技术

随着国家经济建设的快速发展，电力自动化系统得到广泛应用。具有配电网络控制功能的配电终端大量分散部署在配电网络中。配电主站通过前置机发送指令对各配电终端实现遥测、遥信、遥控等方式的远程管理，从而间接实现对配电网络的控制。近年来，随着电信网络的快速发展，配电终端通过基于串口通信的无线通信单元使用公用的电信网络进行通信，在配电主站建设安全接入区提升相应安全防护能力。

另外，随着网络化、信息化的不断深入，对配电终端安全通信的要求越来越高，相关部门先后发布了相关文件用于规范配电终端安全通信。例如在2011年，《中低压配电网自动化系统安全防护补充规定》中明确要求“无论采用何种远程通信方式，配电网自动化系统应该支持基于非对称密钥技术的单向认证功能，主站下发的遥控命令应带有基于调度证书的数字签名，子站侧或终端侧应能够鉴别主站的数字签名”。

2015年，《配电监控系统安全防护方案》中明确要求“对重要子站及终端的通信可以采用双向认证加密，实现主站和子站间的双向身份鉴别，确保报文机密性和完整性”。另外，明确要求配电网安全防护应从单向认证逐步提高到双向认证的强度，同时需要对原有的安全防护体系及相关安全防护产品进行优化升级。

鉴于此，对于配电终端通信安全的升级进行了大量的研究，但是，现有技术仍存在如下缺点：

1)现有配电终端安全通信技术主要在配电终端设备中实现，主要为软件实现算法，其算法的响应速度慢，占用大量CPU及内存资源，影响配电终端设备工作效率。

2)现有配电终端安全通信技术采用单向认证，其算法为简单的签名算法，在配电终端使用配电主站的公钥对配电主站发送的控制报文中的签名进行验证，标准的通信报文仍为明文，容易被截取收集分析。

3)现有配电终端安全通信技术使用配电主站的公钥不是以证书为载体，公钥的有效期与电子钥匙的安全性无法完全保证。

4)现有配电终端安全通信技术中，配电终端没有相应的密钥安全存储介质，在通信过程中没有使用自己的非对称密钥，配电主站无法对终端身份进行验证，存在伪造终端的风险。

发明内容

针对现有技术的不足，本发明所要解决的技术问题在于提供一种用于配电终端串口通信的加密认证装置及其方法。

为实现上述发明目的，本发明采用下述的技术方案：

一种用于配电终端串口通信的加密认证装置，部署在配电终端与通信单元之间，包括主控芯片、国密算法加密芯片、外部接口、LED显示模块和存储模块；

其中，所述主控芯片分别与所述国密算法加密芯片、所述外部接口、所述LED显示模块和所述存储模块相连接，用于接收配电主站前置机和所述配电终端的报文信息，对其他模块进行统筹管理；

所述国密算法加密芯片对所述主控芯片接收的报文信息进行加密/解密处理。

其中较优地，所述主控芯片包括驱动层、功能接口层和功能逻辑层；所述功能逻辑层获取配电主站前置机或配电终端的报文信息，进行分析后根据处理需求通过所述功能接口层的对应接口找到对应的模块，通过所述驱动层的对应驱动进行处理，将处理后的报文信息通过串口发送到配电终端或配电主站前置机。

其中较优地，所述国密算法加密芯片包括主程序、报文处理程序、调式接口程序、密码算法驱动程序、SPI通信驱动程序和串口通信驱动程序；

当所述主控芯片将报文信息发送到所述国密算法加密芯片时，所述国密算法加密芯片通过所述SPI通信驱动程序的接收中断获取所述报文信息，发送到所述主程序，所述主程序根据类型将所述报文信息发送到所述报文处理程序按照结构进行解析，将解析后的报文信息发送到所述密码算法驱动程序进行加密/解密处理，加密/解密完成后将报文信息发回到所述报文处理程序进行组织处理，然后发回所述主程序，所述主程序调用所述SPI通信驱动程序将报文信息送回到所述主控芯片。

其中较优地，所述存储模块用以保存配电安全交互网关的公钥证书和配电主站单向认证的公钥；

当配电安全交互网关将报文信息发送到所述主控芯片时，所述国密算法加密芯片通过所述配电主站单向认证的公钥对所述报文信息的发送者进行身份认证，通过所述配电安全交互网关的公钥证书对进行会话密钥协商。

其中较优地，所述用于配电终端串口通信的加密认证装置还包括电力专用加密芯片；