[发明专利]一种安全的配电终端及其通讯方法

说明书

一种安全的配电终端及其通讯方法，包括：终端本体和设置于终端本体上的加密模块以及加密模块上内嵌的安全芯片；所述配电终端通过网关与主站通讯连接；所述加密模块用于：分别与网关和主站进行双重双向身份验证；还用于当验证通过后，所述终端与主站在交互业务数据时，基于密码算法对所述业务数据进行分级加解密保护；所述安全芯片用于：为所述加密模块提供密钥。所提方案已在多地市配电自动化系统进行试点应用，效果尚佳，可在不影响业务连续性的情况下，方便地完成在运配电终端的安全功能升级，满足新一代配电自动化系统对终端接入安全性及业务数据传输安全性等方面的要求。

技术领域

本发明涉及配电自动化领域，具体涉及一种安全的配电终端及其通讯方法。

背景技术

随着配电自动化系统向纵横向一体化部署模式的转变，传统的“以控制命令安全防护为主”的措施，已经无法满足新一代配电自动化系统大规模、多边界的安全防护需求：以中国为例，到2020年，中国配电自动化覆盖率的目标将要达到90％。并且考虑到网络攻击技术的演进，配电自动化系统的网络安全面临新的威胁和挑战。

传统技术方案，仅对“遥控命令做安全鉴别”的防护体系面临着升级、改造需求。传统防护方案中，配电终端内嵌鉴签模块，通过预置主站公钥的方式，完成对主站身份认证报文的验签及对主站控制命令、远程参数更新命令的验签操作。

截止2016年底，中国共有20万台配电自动化终端，大部分终端投运时间未达到使用寿命(终端使用寿命为10年～20年)，需在不影响正常业务的情况下，针对不同类型的配电终端，设计安全功能升级方法，逐步完成存量终端升级改造，保证在运的配电终端能满足新一代配电自动化安全防护体系的要求。

发明内容

为了解决现有技术中所存在的上述不足，本发明提供一种安全的配电终端及其通讯方法。

本发明提供的技术方案是：

一种安全的配电终端，所述终端包括：终端本体和设置于终端本体上的加密模块以及加密模块上内嵌的安全芯片；

所述配电终端通过网关与主站通讯连接；

所述加密模块用于：分别与网关和主站进行双重双向身份验证；还用于当验证通过后，所述终端与主站在交互业务数据时，基于密码算法对所述业务数据进行分级加解密保护；

所述安全芯片用于：为所述加密模块提供密钥。

优选的，所述加密模块，包括：

认证单元，用于基于设置的数据证书、密钥和报文格式对网关和主站进行身份验证；还用于在身份验证通过后，将所述数据证书设置到网关和主站中；

加解密单元，用于所述终端发送业务数据给主站时，对业务数据按照等级进行安全加密；还用于主站发送业务数据给所述终端时，对所述业务数据进行解密；

时效单元，用于设置报文的帧转发延时时间。

优选的，所述认证单元，包括：

第一认证子单元，用于加密模块对网关基于数字证书和非对称密码算法以及安全芯片提供的非对称密钥，进行身份验证；

第二认证子单元，用于网关对所述加密模块基于数字证书和非对称密码算法以及安全芯片提供的非对称密钥，进行身份认证；

第三认证子单元，用于所述加密模块对主站基于数字证书和摘要算法以及安全芯片提供的非对称密钥，进行身份验证；

第四认证子单元，用于主站对所述加密模块基于数字证书和摘要算法以及安全芯片提供的非对称密钥，进行身份认证。

优选的，所述加解密单元，包括：

一般加解密子单元，用于加密模块采用对称密码算法对终端发送给主站的业务数据进行加密，并对终端接收的业务数据进行解密；