[实用新型]一种配电网实时数据通信安全防护装置

说明书

技术领域

本实用新型涉及一种配电网实时数据通信安全防护装置。

背景技术

配电自动化系统主站与子站及终端的通信方式原则上以电力光纤通信为主，主站与主干配电网开闭所的通信应当采用电力光纤。对于不具备电力光纤通信条件的末梢配电终端，采用无线通信方式。无论采用哪种通信方式，都应对控制指令使用基于非对称密钥的单向认证加密技术进行安全防护。

当配电自动化系统采用EPON、GPON或光以太网络等技术时应使用独立纤芯或波长；配电网监控专用通信网络应能与调度数据网络相联，并纳入统一安全管理。

当采用无线公网通信方式时，优先选用TD-SCDMA，且采取（APN+VPN） 逻辑隔离、访问控制、认证加密等安全措施。

按照典型的自动化系统的结构，安全防护分为以下四个部分：

（1）主站的安全防护（PI1）；

无论采用何种通信方式，自动化系统主站前置机应采用经国家指定部门认证的安全加固的操作系统，并采取严格的访问控制措施；

在前置机应当配置安全模块，对控制命令和参数设置指令进行签名操作，实现子站对主站的身份鉴别与报文完整性保护；对重要子站及终端的通信可以采用双向认证加密，实现主站和子站间的双向身份鉴别，确保报文机密性和完整性。对于采用公网作为通信信道的前置机，公网前置机属于安全接入区，必须采用电力专用的正反向隔离装置与自动化系统进行隔离；

（2）子站终端的安全防护（PI2）；

在子站终端设备上配置安全模块，对来源于主站系统的控制命令和参数设置指令采取安全鉴别和数据完整性验证措施，以防范冒充主站对子站终端进行攻击，恶意操作电气设备。为增加安全性，对重要子站及终端可以配置具有双向认证加密能力的安全模块，实现主站和子站终端间的双向身份鉴别和数据加密。

可以在子站终端设备上配置启动和停止远程命令执行的硬压板和软压板。硬压板是物理开关，打开后仅允许当地手动控制，闭合后可以接受远方控制；软压板是终端系统内的逻辑控制开关，在硬压板闭合状态下，主站通过一对一下发报文启动和停止远程控制命令的处理和执行。

子站终端设备不得采用手持终端控制方式。带手持终端控制方式的自动化开关，应将手持终端控制功能屏蔽。

（3）纵向通信的安全防护（PI3）；

配网监控专用通信网络应采用纵向加密认证装置或模块实现纵向通信安全防护。

当采用GPRS/CDMA等公共无线网络时，应启用公网自身提供的安全措施，包括：1）采用APN+VPN或VPDN技术实现无线虚拟专有通道；2）通过认证服务器对接入终端进行身份认证和地址分配；3）在主站系统和公共网络采用有线专线+GRE等手段。

（4）横向边界的安全防护（PI4）。

配电自动化系统主站与管理信息大区进行互联时，应采用经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应当接近或达到物理隔离。生产控制大区内部安全区之间应当采用安全可控的防火墙或者相当功能的防护设施，实现逻辑隔离。

与其他各生产系统不互联，为单一配电自动化系统时，可不考虑横向边界的安全防护。

实用新型内容

本实用新型所要解决的技术问题是提供一种主站前置机采用经国家指定部门认证的安全加固的操作系统，并采取严格的访问控制措施在前置机应当配置安全模块，对控制命令和参数设置指令进行签名操作，实现子站对主站的身份鉴别与报文完整性保护；对重要子站及终端的通信可以采用双向认证加密，实现主站和子站间的双向身份鉴别，确保报文机密性和完整性。

本实用新型是通过以下技术方案来实现的：一种配电网实时数据通信安全防护装置，包括主站，主站包括前置机以及公网前置机，前置机通过专用通信连接子站终端，公网前置机通过无线通信网关连接子站终端，子站终端上传摇信、遥测数据至公网前置机，前置机与子站终端之间针对控制命令采用基于非对称密钥技术的单向认证。

作为优选的技术方案，所述子站终端上配置安全模块，对来源于主站系统的控制命令和参数设置指令采取安全鉴别和数据完整性验证措施。

作为优选的技术方案，对重要子站及终端配置具有双向认证加密能力的安全模块，实现主站和子站终端间的双向身份鉴别和数据加密。

作为优选的技术方案，子站终端设备上配置启动和停止远程命令执行的硬压板和软压板。