項(xiàng) 彬 陳 泓 祁 兵

（1.華北電力大學(xué)電氣與電子工程學(xué)院，北京 102206； 2.華北電力大學(xué)控制與計(jì)算機(jī)學(xué)院，北京 102206）

電力是國(guó)家能源的基礎(chǔ)和經(jīng)濟(jì)發(fā)展的驅(qū)動(dòng)力，是我國(guó)經(jīng)濟(jì)社會(huì)快速、穩(wěn)定、可持續(xù)發(fā)展的重要保障，電力系統(tǒng)的安全可靠運(yùn)行對(duì)于維護(hù)社會(huì)穩(wěn)定、經(jīng)濟(jì)發(fā)展具有至關(guān)重要的作用[1]。當(dāng)前，能源問題日益凸顯，節(jié)能減排、綠色能源成為各國(guó)關(guān)注的焦點(diǎn)。如何改造現(xiàn)有的能源利用體系，創(chuàng)建新型的能源消費(fèi)模式，以最大限度地提高電網(wǎng)體系的能源效率是人們共同的目標(biāo)。在經(jīng)濟(jì)技術(shù)發(fā)展和社會(huì)進(jìn)步需求的大背景下，我國(guó)提出了建設(shè)堅(jiān)強(qiáng)智能電網(wǎng)的國(guó)家方案，利用先進(jìn)的技術(shù)提高電力系統(tǒng)的能效，提高電網(wǎng)的安全性可靠性和自動(dòng)化水平。

作為智能電網(wǎng)的重要組成部分，隨著國(guó)民經(jīng)濟(jì)的不斷發(fā)展和電網(wǎng)改革的不斷深入，我國(guó)配電網(wǎng)的自動(dòng)化水平也不斷提高。配網(wǎng)是聯(lián)系電力系統(tǒng)和居民客戶的紐帶，它穩(wěn)定與否，關(guān)系到居民的用電服務(wù)質(zhì)量和電力系統(tǒng)的安全，配網(wǎng)信息安全，在很大程度上決定了電網(wǎng)控制系統(tǒng)的安全，其重要性不言而喻。因此，如何有效的保障配網(wǎng)自動(dòng)化信息安全已成為一項(xiàng)非常緊迫的任務(wù)。電力信息安全問題屬于信息通信技術(shù)領(lǐng)域，采用密碼技術(shù)是有效保障配網(wǎng)信息安全的重要技術(shù)手段。本文對(duì)配網(wǎng)自動(dòng)化通信系統(tǒng)的訪問控制展開研究，基于現(xiàn)代密碼技術(shù)，采用PKI協(xié)議模型，提出一種基于身份認(rèn)證的智能訪問控制方案。

1 密碼技術(shù)簡(jiǎn)介

密碼技術(shù)是保護(hù)信息安全的主要手段之一，是訪問控制、身份認(rèn)證的核心。它是一門結(jié)合數(shù)學(xué)、計(jì)算機(jī)科學(xué)、電子與通信等諸多學(xué)科于一身的交叉學(xué)科，不僅具有保證信息機(jī)密性的信息加密功能，而且具有數(shù)字簽名、身份驗(yàn)證、秘密分存、系統(tǒng)安全等功能[2]。所以，使用密碼技術(shù)不僅可以保證信息的機(jī)密性，而且可以保證信息的完整性和確定性，防止信息被篡改、偽造和假冒。

圖1 加密和解密

圖1是密碼技術(shù)的一個(gè)簡(jiǎn)單圖示，其中消息被稱為明文，用某種方法偽裝消息以隱藏它的內(nèi)容的過程稱為加密，被加密的消息稱為密文，而把密文轉(zhuǎn)化為明文的過程稱為解密。明文用M或P表示，它可能是位序列、語(yǔ)音序列或數(shù)字化的視頻圖像等。密文用C表示，它也可能是二進(jìn)制數(shù)據(jù)。加密函數(shù)E作用于M得到C，可以數(shù)學(xué)公式表示：

相反地，解密函數(shù)D作用于C產(chǎn)生M：

先加密后在解密，原始的明文將會(huì)恢復(fù)，故下面的等式成立：

如果一個(gè)算法的保密性是基于保持算法的秘密，該算法被稱為受限制的算法。受限制的算法但按現(xiàn)在的標(biāo)準(zhǔn)，其保密性已達(dá)不到要求，且其無(wú)法進(jìn)行質(zhì)量控制和進(jìn)行標(biāo)準(zhǔn)化。現(xiàn)代密碼學(xué)用密鑰解決了個(gè)問題，密鑰可以是很多數(shù)值里的任意值。密鑰K的可能值的范圍叫做密鑰空間。加密和解密運(yùn)算都使用這個(gè)密鑰，所有運(yùn)算都依賴密鑰，這樣，加密/解密函數(shù)變成

該函數(shù)特性如圖2所示。

隨著社會(huì)經(jīng)濟(jì)的高速發(fā)展，生活水平不斷提高，人民環(huán)保意識(shí)也在逐漸增強(qiáng)，面對(duì)日益惡化的水體環(huán)境，要求改善和治理河道環(huán)境的呼聲越來(lái)越高。江蘇省常州市委、市政府高度重視水環(huán)境綜合治理，2006年開始實(shí)施清水工程，工程內(nèi)容涵蓋城區(qū)186條河道，整治方向在最初控源截污、清淤活水的基礎(chǔ)上不斷深化，并引入生態(tài)治水的理念，開展城區(qū)河道的生態(tài)修復(fù)示范。通過“控源截污、調(diào)水、疏浚、生態(tài)修復(fù)”等措施，消除了河道黑臭，改善了河道水質(zhì)，美化了河道景觀，部分河道從“龍須溝”變成“水清魚躍、岸綠鳥飛”的景觀河。

圖2 密鑰加密、解密

根據(jù)密鑰K1和K2的值是否相同，又可以分為對(duì)稱密鑰和非對(duì)稱加密。密碼技術(shù)是保證信息安全的一個(gè)首選方法，目前，雖然已經(jīng)有許多關(guān)于電子商務(wù)的安全技術(shù)和標(biāo)準(zhǔn)出現(xiàn)，但多數(shù)情況下，密碼技術(shù)仍是保證信息的機(jī)密性的唯一的方法，基于此，本文將采用基于身份認(rèn)證的密碼體制實(shí)現(xiàn)智能配電網(wǎng)的訪問控制。

2 配網(wǎng)自動(dòng)化

配電網(wǎng)自動(dòng)化是運(yùn)用信息通信技術(shù)、自動(dòng)控制技術(shù)等技術(shù)手段，對(duì)配電網(wǎng)進(jìn)行智能化監(jiān)控與管理，使配電網(wǎng)始終處于安全、可靠、高效的最優(yōu)運(yùn)行狀態(tài)。其最終目的是為了提高供電可靠性和供電質(zhì)量，縮短事故處理時(shí)間，減少停電范圍，減少事故的損失，提高配電系統(tǒng)運(yùn)行的經(jīng)濟(jì)性，降低運(yùn)行維護(hù)費(fèi)用，最大限度提高電力企業(yè)的經(jīng)濟(jì)效益，提高整個(gè)配電系統(tǒng)的管理水平、工作效率以及為用戶服務(wù)的水平。

2.1 主要功能及組成

1）自動(dòng)設(shè)備管理系統(tǒng)

根據(jù)配電網(wǎng)的電壓、功率因數(shù)、電流等參數(shù)，自動(dòng)控制無(wú)功補(bǔ)償電容器的投切、變壓器有載分接開關(guān)分接頭的檔位等功能。

2）配電工作管理系統(tǒng)

網(wǎng)絡(luò)分析、運(yùn)行管理、設(shè)備檢修管理、配電工程設(shè)計(jì)，合理分割變電所配電負(fù)荷，電線負(fù)荷調(diào)整，實(shí)施電線、配電網(wǎng)絡(luò)改造和發(fā)展規(guī)劃等各種設(shè)計(jì)任務(wù)，以及線損計(jì)算等。

3）客戶信息系統(tǒng)

4）負(fù)荷管理系統(tǒng)

負(fù)荷曲線調(diào)整；分類電價(jià)管理、負(fù)荷監(jiān)控、需方發(fā)電管理等。

5）計(jì)量、計(jì)費(fèi)系統(tǒng)

實(shí)現(xiàn)自動(dòng)抄表、自動(dòng)生成賬單、與銀行系統(tǒng)聯(lián)網(wǎng)等。

6）用電營(yíng)業(yè)管理系統(tǒng)

客戶用電申請(qǐng)、業(yè)擴(kuò)報(bào)裝、咨詢服務(wù)、電能計(jì)量、收費(fèi)管理、用電檢查、故障報(bào)修等功能。

2.2 配網(wǎng)自動(dòng)化的網(wǎng)絡(luò)架構(gòu)

目前配電網(wǎng)自動(dòng)化系統(tǒng)典型的體系結(jié)構(gòu)如圖1所示。

從圖3可以看出，配電自動(dòng)化系統(tǒng)一般由主站、子站、底層終端以及他們之間的通信網(wǎng)絡(luò)組成。其中：

主站層：主要設(shè)備包括后臺(tái)服務(wù)器、工作站、網(wǎng)絡(luò)管理系統(tǒng)等，負(fù)責(zé)分析處理由通信匯聚層傳送的各種信息，提供配網(wǎng)自動(dòng)化的決策服務(wù)，主站層內(nèi)部采用高速以太網(wǎng)，實(shí)現(xiàn)實(shí)時(shí)數(shù)據(jù)迅速更新和共享。一般設(shè)置在市級(jí)或地區(qū)級(jí)分局。

圖3 配電網(wǎng)通信架構(gòu)

子站層：是配網(wǎng)自動(dòng)化的中間層，向上與配網(wǎng)主站等各個(gè)系統(tǒng)進(jìn)行計(jì)算機(jī)通信，向下與所轄區(qū)內(nèi)終端設(shè)備進(jìn)行通信，完成終端設(shè)備數(shù)據(jù)的集中和轉(zhuǎn)發(fā)，同時(shí)還完成傳輸數(shù)據(jù)所必要的錯(cuò)誤檢測(cè)、路由選擇、傳輸安全等功能。一般設(shè)置在縣級(jí)分局各變電站。

終端接入層：處于網(wǎng)絡(luò)最底層，包括FTU、TTU等，主要完成對(duì)支線開關(guān)、配電變壓器、配電室、環(huán)網(wǎng)開關(guān)、箱式變等現(xiàn)場(chǎng)信息的采集，經(jīng)過簡(jiǎn)單處理后發(fā)給子站層，并執(zhí)行上級(jí)下發(fā)的控制命令的。一般布置在小區(qū)或者臺(tái)區(qū)變電站等應(yīng)用現(xiàn)場(chǎng)。

通信網(wǎng)絡(luò)部分通常由通信主機(jī)、網(wǎng)絡(luò)設(shè)備、適配器和通信介質(zhì)等組成。

3 配網(wǎng)自動(dòng)化保護(hù)控制方案

隨著配網(wǎng)自動(dòng)化的發(fā)展， 在電力系統(tǒng)中的實(shí)時(shí)數(shù)據(jù)越來(lái)越多，終端接入層和主站層的信息交互不斷增強(qiáng)，電力網(wǎng)絡(luò)的負(fù)荷不斷增大。配網(wǎng)信息安全問題會(huì)直接威脅到電力系統(tǒng)的安全、穩(wěn)定、經(jīng)濟(jì)、可靠的運(yùn)行，如何保證底層終端接入網(wǎng)絡(luò)，防止非法訪問，保證配網(wǎng)自動(dòng)化通信系統(tǒng)的信息安全成為倍受人們關(guān)注的一個(gè)問題。

本文提出了一種基于身份認(rèn)證的密碼體制保護(hù)方案，在該保護(hù)控制方案中，終端要接入網(wǎng)絡(luò)獲取信息時(shí)，有一個(gè)身份認(rèn)證的過程，認(rèn)證成功則允許接入，認(rèn)證失敗則拒絕訪問。身份認(rèn)證是建立安全通信的前提，只有通信雙方相互確認(rèn)身份后才能建立安全的通信連接。因此，身份認(rèn)證在網(wǎng)絡(luò)安全中占據(jù)十分重要的位置。

3.1 身份認(rèn)證

簡(jiǎn)單地說，身份認(rèn)證就是證明自己是誰(shuí)的一種技術(shù)手段，通過提供的信息來(lái)惟一標(biāo)識(shí)你自己區(qū)別于其他事物。隨著網(wǎng)絡(luò)技術(shù)和密碼技術(shù)的不斷發(fā)展，密碼技術(shù)已經(jīng)很廣泛地運(yùn)用于網(wǎng)絡(luò)通信當(dāng)中。

身份認(rèn)證是通過身份認(rèn)證協(xié)議來(lái)完成的。身份認(rèn)證協(xié)議是一種特殊的通信協(xié)議，它規(guī)定了參與認(rèn)證的雙方在身份認(rèn)證過程中交換信息的格式、時(shí)序以及語(yǔ)義。目前大部分采用密碼學(xué)機(jī)制，比如用加密算法來(lái)保證消息的保密性和完整性。常用的身份認(rèn)證協(xié)議包括SSL協(xié)議、SET協(xié)議、Kerberos協(xié)議、PKI協(xié)議等，這里我們采用PKI協(xié)議進(jìn)行重點(diǎn)介紹。

3.2 PK I協(xié)議

PKI（Public Key Infrastructure）即公開密鑰體系，是一個(gè)利用現(xiàn)代密碼學(xué)的公鑰密碼技術(shù)，在開放網(wǎng)絡(luò)環(huán)境中提供數(shù)據(jù)加密以及身份認(rèn)證的技術(shù)框架[3]。一個(gè)完整的PKI系統(tǒng)必須具備身份認(rèn)證機(jī)構(gòu)（CA）、密鑰生成庫(kù)、加密/解密算法、和應(yīng)用接口（API）等基本組成部分。

1）身份認(rèn)證機(jī)構(gòu)（Certificate Authority）：簡(jiǎn)稱CA，是PKI的核心組成部分，也稱作認(rèn)證中心，是PKI應(yīng)用中權(quán)威的、可信任的、公正的第三方機(jī)構(gòu)。

2）密鑰生成庫(kù)：在使用公鑰體制的網(wǎng)絡(luò)環(huán)境中，一對(duì)密鑰包含一個(gè)公鑰和一個(gè)私鑰，它們是一一對(duì)應(yīng)的。公鑰是大家都可知的，而密鑰只有服務(wù)器惟一知曉。通過對(duì)比密鑰是否相同就可以驗(yàn)證身份的合法性。

3）加密/解密算法：根據(jù)系統(tǒng)提供的明文或者密文進(jìn)行加密和解密，根據(jù)算法是否相同可以分為對(duì)稱加密和非對(duì)稱加密。

4）PKI應(yīng)用接口系統(tǒng)： PKI應(yīng)用接口系統(tǒng)是為各種各樣的應(yīng)用提供安全、一致、可信任的方式與PKI交互，確保所建立起來(lái)的網(wǎng)絡(luò)環(huán)境安全可信，并降低管理成本。沒有PKI應(yīng)用接口系統(tǒng)，PKI就無(wú)法有效地提供服務(wù)[4]。

3.3 訪問控制

在配網(wǎng)自動(dòng)化系統(tǒng)當(dāng)中，當(dāng)有終端要接入網(wǎng)絡(luò)訪問相應(yīng)資源的時(shí)候，訪問控制服務(wù)器會(huì)根據(jù)身份認(rèn)證的結(jié)果來(lái)決定下一步操作。目標(biāo)是通信雙方進(jìn)行相互認(rèn)證，從而達(dá)到訪問控制的目的。認(rèn)證過程從終端發(fā)起，具體的過程如下所述：

當(dāng)接入層終端要入網(wǎng)時(shí)，向主站發(fā)送連接請(qǐng)求，請(qǐng)求包里面包含有該終端的PID信息，主站收到終端的連接請(qǐng)求后，自動(dòng)查找PID數(shù)據(jù)庫(kù)，如果該P(yáng)ID不存在，則終止連接，如果存在，那么密鑰數(shù)據(jù)庫(kù)隨機(jī)生成一對(duì)密鑰（K 1，K2）， 并根據(jù)系統(tǒng)采用的加密算法對(duì)公鑰K1加密，然后將結(jié)果發(fā)給終端，終端收到后也根據(jù)自己的私鑰和解密算法對(duì)該密文解密，得到結(jié)果K3，反饋給主站服務(wù)器，主站對(duì)比K 2和K 3的值，若不等，說明終端非法接入，終止連接，若相等，則系統(tǒng)認(rèn)證中心人為該終端具有合法性，系統(tǒng)會(huì)根據(jù)其分配的權(quán)限采取相應(yīng)的動(dòng)作。

圖4 身份認(rèn)證流程圖

4 結(jié)論

基于身份認(rèn)證的密碼技術(shù)已經(jīng)比較成熟，在電子商務(wù)等領(lǐng)域有著廣泛的應(yīng)用。隨著智能電網(wǎng)的快速發(fā)展，配網(wǎng)自動(dòng)化水平不斷提升，配網(wǎng)中電力信息的安全問題日益凸顯。本文針對(duì)智能配電網(wǎng)存在的信息安全問題，采用身份認(rèn)證的密碼體制，提出一種配網(wǎng)自動(dòng)化中通信系統(tǒng)的訪問控制方案。該方案能有效解決配網(wǎng)中主站和終端的身份認(rèn)證問題，對(duì)于提高電力信息安全作用明顯，而且該方案所提供的理論體系可以應(yīng)用到智能電網(wǎng)信息安全的其他層次，為解決智能電網(wǎng)信息安全提供一種新的思路。

[1] 孫中偉,馬亞寧,王一容,等. 基于EPON的配電網(wǎng)自動(dòng)化通信系統(tǒng)及其安全機(jī)制[J].電力系統(tǒng)自動(dòng)化,2010,34(8):72-75.

[2] 徐藝,李武杭,侯雅林.無(wú)源光網(wǎng)絡(luò)技術(shù)在配網(wǎng)自動(dòng)化中的應(yīng)用[J].電網(wǎng)技術(shù),2008,32(8): 95-96

[3] 黨衛(wèi)紅.淺析網(wǎng)絡(luò)身份認(rèn)證技術(shù)[J].濮陽(yáng)職業(yè)技術(shù)學(xué)院學(xué)報(bào)，2005,23(2):27-30.

[4] 王景偉,郭英敏.密碼技術(shù)在信息網(wǎng)絡(luò)安全中的應(yīng)用[J].專題研究,2009,25(5):48-50.