电力用户用电信息采集系统安全防护技术方案.ppt

1、1全面建设电力用户用电信息采集系统，符合国际电网技术全面建设电力用户用电信息采集系统，符合国际电网技术发展的方向，是建设智能电网的重要组成部分；符合经济社会发展的方向，是建设智能电网的重要组成部分；符合经济社会发展的要求，是扩大内需、加快城市和农村电网改造的重要措发展的要求，是扩大内需、加快城市和农村电网改造的重要措施；符合公司发展方式转变的需要，是公司施；符合公司发展方式转变的需要，是公司“SG186SG186”信息系统信息系统工程建设和营销计量、抄表、收费标准化建设的重要基础，是工程建设和营销计量、抄表、收费标准化建设的重要基础，是提升服务能力、实行居民阶梯电价的必然选择，是建设国际一提升

2、服务能力、实行居民阶梯电价的必然选择，是建设国际一流企业的重要保证，将有力支撑公司决策更加及时、科学，推流企业的重要保证，将有力支撑公司决策更加及时、科学，推动公司发展实现历史性跨越。动公司发展实现历史性跨越。根据电力用户用电信息采集系统建设规模的不同，主站可分为集中根据电力用户用电信息采集系统建设规模的不同，主站可分为集中式和分布式两种部署模式。式和分布式两种部署模式。（1 1）集中式部署）集中式部署集中式部署是全省（直辖市）仅部署一套主站系统，一个统一的通集中式部署是全省（直辖市）仅部署一套主站系统，一个统一的通信接入平台，直接采集全省范围内的所有现场终端和表计，集中处理信信接入平台，直接

3、采集全省范围内的所有现场终端和表计，集中处理信息采集、数据存储和业务应用。集中式部署主要适用于低于息采集、数据存储和业务应用。集中式部署主要适用于低于500500万用户的万用户的网省电力公司。网省电力公司。（2 2）分布式部署）分布式部署分布式部署是在全省各地市公司分别部署一套主站系统，独立分布式部署是在全省各地市公司分别部署一套主站系统，独立采集本地区范围内的现场终端和表计，实现本地区信息采集、数据采集本地区范围内的现场终端和表计，实现本地区信息采集、数据存储和业务应用。分布式部署主要适用于用户数量高于存储和业务应用。分布式部署主要适用于用户数量高于500500万的网省万的网省电力公司。电力

4、公司。主站无线专网无线公网光纤居民表居民表电力线载波采集器电力线载波采集器集中器远传多功能电表集中器小无线采集器IC卡预付费表主站管理系统传输通道终端系列主站服务器前置机电力线小无线电表小无线网主站管理系统电力线载波表IC卡预付费表负控终端485线485线485线现状现状风险分析风险分析现状现状风险分析风险分析 主站安全防护现状主站安全防护现状 系统主站已根据电力二次系统安全防护总体方案，采取一定的通用安系统主站已根据电力二次系统安全防护总体方案，采取一定的通用安全防护措施。全防护措施。公网信道安全防护现状公网信道安全防护现状 主站通过专线和移动公司主站通过专线和移动公司 GPRS GPRS

5、网的网的 GGSN GGSN 相连，在移动相连，在移动 GGSN GGSN 网元网元上为电力公司设置一个专用的上为电力公司设置一个专用的APNAPN接入点，从而在终端和电力企业内部网接入点，从而在终端和电力企业内部网络之间构成一条无线虚拟专网（络之间构成一条无线虚拟专网（VPNVPN）通道，满足电力企业提出的内部网）通道，满足电力企业提出的内部网络安全性及数据私密性的要求。络安全性及数据私密性的要求。现状现状风险分析风险分析 采集终端安全防护现状采集终端安全防护现状 目前使用的各种采集终端很少采取有效的安全防护措施。目前使用的各种采集终端很少采取有效的安全防护措施。电能表安全防护现状电能表安全

6、防护现状 普通电子式电能表没有采取安全防护措施。普通电子式电能表没有采取安全防护措施。预付费电能表中的逻辑加密卡安全防护等级较低，预付费电能表中的逻辑加密卡安全防护等级较低，CPUCPU卡使用卡使用3DES3DES算法的安全模块，安全防护等级较高，逐步为多个网省电力公司采用。算法的安全模块，安全防护等级较高，逐步为多个网省电力公司采用。现状现状风险分析风险分析p 窃听p 篡改p 身份伪造窃 听篡 改通信主体身份伪造窃 听篡改通信主体身份伪造p 进一步规范用电信息采集系统安全防护工作，提进一步规范用电信息采集系统安全防护工作，提高系统的总体安全防护能力。高系统的总体安全防护能力。p 保障电网安全

7、稳定运行，确保业务数据安全可靠，保障电网安全稳定运行，确保业务数据安全可靠，提高用电服务质量。提高用电服务质量。p 实现国家电网公司营销业务应用系统安全防护水实现国家电网公司营销业务应用系统安全防护水平的整体提升。平的整体提升。目的目的技术措施技术措施方案设计方案设计方案实现方案实现目的目的防护策略防护策略方案设计方案设计方案实现方案实现电力线载波表主站发卡系统无线专网无线公网光纤用户卡居民表居民表电力线载波采集器电力线载波采集器集中器远传多功能电表集中器小无线采集器IC卡预付费表主站管理系统传输通道终端系列售电系统加密机主站服务器前置机用户卡PSAM加密机用户卡用户卡ESAMESAMESAM

8、ESAMESAMESAMESAMESAMESAM电力线小无线电表ESAMESAM小无线网主站管理系统密钥管理系统IC卡预付费表负控终端485线485线485线目的目的技术措施技术措施方案设计方案设计方案实现方案实现u依据依据电力二次系统安全防护技术方案电力二次系统安全防护技术方案和和电力用户电力用户用电信息采集系统电能信息安全技术规范用电信息采集系统电能信息安全技术规范，对系统的边，对系统的边界、网络、主机进行防护。界、网络、主机进行防护。u采用非对称密钥算法和对称密钥算法的混合密码系统，采用非对称密钥算法和对称密钥算法的混合密码系统，以确保主站和终端通信的安全性。以确保主站和终端通信的安全性

9、。u对称密钥算法主要用于通信数据的加解密。对称密钥算法主要用于通信数据的加解密。u非对称密钥算法主要用于身份鉴别、密钥协商、对称密非对称密钥算法主要用于身份鉴别、密钥协商、对称密钥的更新。钥的更新。目的目的技术措施技术措施方案设计方案设计方案实现方案实现u密钥管理包括：密钥的产生、存储、分发、更新、备密钥管理包括：密钥的产生、存储、分发、更新、备份份/恢复、销毁等整个密钥生命周期的管理，支持在线恢复、销毁等整个密钥生命周期的管理，支持在线和离线的管理。和离线的管理。u对称密钥的管理采用三级密钥管理体系：国网级主密对称密钥的管理采用三级密钥管理体系：国网级主密钥、网省级主密钥、地市级主密钥。密钥

10、采用逐级离散钥、网省级主密钥、地市级主密钥。密钥采用逐级离散的方式，以确保根密钥的安全性。的方式，以确保根密钥的安全性。u非对称密钥主要用于非对称密钥主要用于CACA系统，系统，CACA采用双证书结构。非采用双证书结构。非对称密钥包括签名密钥和加密密钥。对称密钥包括签名密钥和加密密钥。u 在电力用户用电信息采集系统中，所有数据的加解密在电力用户用电信息采集系统中，所有数据的加解密都采用硬件方式实现。都采用硬件方式实现。u 对称密钥算法采用国密算法（国密算法），非对称密钥算法采用国密算法（国密算法），非对称密钥算法采用或算法。对称密钥算法采用或算法。目的目的技术措施技术措施方案设计方案设计方案实

11、现方案实现u主站侧采用国家密码管理局认可的密码机设备实现数据加解密，密主站侧采用国家密码管理局认可的密码机设备实现数据加解密，密码机集成有对称密钥算法和非对称密钥算法。码机集成有对称密钥算法和非对称密钥算法。u专变采集终端和集中器采用国家密码管理局认可的硬件安全模块实专变采集终端和集中器采用国家密码管理局认可的硬件安全模块实现数据加解密。硬件安全模块同时集成有对称密钥算法和非对称密现数据加解密。硬件安全模块同时集成有对称密钥算法和非对称密钥算法。钥算法。u智能电能表内采用国家密码管理局认可的硬件安全模块实现数据加智能电能表内采用国家密码管理局认可的硬件安全模块实现数据加解密。智能电能表采用的硬

12、件安全模块集成有对称密钥算法。本地解密。智能电能表采用的硬件安全模块集成有对称密钥算法。本地费控电能表可以借助费控电能表可以借助CPUCPU卡实现密钥的更新。卡实现密钥的更新。目的目的技术措施技术措施方案设计方案设计方案实现方案实现 20072007年年1 1月至月至20082008年年1 1月，按照国家电网公司科技项月，按照国家电网公司科技项目目“电能采集与运行管理系统研究与应用电能采集与运行管理系统研究与应用”的工作安的工作安排，中国电力科学研究院进行电力负荷管理系统加密排，中国电力科学研究院进行电力负荷管理系统加密认证装置的应用试点研究，包括与终端装置各种通讯认证装置的应用试点研究，包括

13、与终端装置各种通讯模块的软硬件接口和控制模式。模块的软硬件接口和控制模式。试点测试试点测试标准建设标准建设产品研制产品研制上海试点上海试点系统结构图试点测试试点测试标准建设标准建设产品研制产品研制系统结构系统结构p模拟系统的组网方式为模拟系统的组网方式为1 1比比8 8。在松江安装。在松江安装9600bps9600bps基站电基站电台及相关设备，使用一个独立的台及相关设备，使用一个独立的230MHz230MHz单工频率作为模单工频率作为模拟系统的信道。在上海电力公司大楼内安装一套单机版拟系统的信道。在上海电力公司大楼内安装一套单机版主站模拟软件，主站计算机使用主站模拟软件，主站计算机使用USB

14、USB接口连接加密模块，接口连接加密模块，使用串口服务器远程连接松江的使用串口服务器远程连接松江的9600bps9600bps基站电台。在松基站电台。在松江安装了江安装了8 8台台9600bps9600bps终端，终端加装专用通信加密模块终端，终端加装专用通信加密模块所需的接口和固定件，使用所需的接口和固定件，使用I2CI2C总线方式连接加密模块。总线方式连接加密模块。模拟系统采用模拟系统采用Q/GDW130-2005Q/GDW130-2005电力负荷管理系统数据传电力负荷管理系统数据传输规约输规约。试点测试试点测试标准建设标准建设产品研制产品研制系统概况系统概况 2007 2007年年111

15、1月，由华东电力试验研究院对该系统的传输月，由华东电力试验研究院对该系统的传输加密、加解密效率和安全功能进行测试。测试项目包括：加密、加解密效率和安全功能进行测试。测试项目包括：p数据召测响应延时试验；数据召测响应延时试验；p数据召测成功率试验；数据召测成功率试验；p抄表数据传输响应延时试验；抄表数据传输响应延时试验；p不同传输速度下的加密参数响应延时试验；不同传输速度下的加密参数响应延时试验；p不同传输速度下加密前后的控制命令响应延时试验等；不同传输速度下加密前后的控制命令响应延时试验等；p安全功能测试。安全功能测试。试点测试试点测试标准建设标准建设产品研制产品研制系统测试系统测试 系统能提

16、供严密的身份验证、数据加解密、访问控系统能提供严密的身份验证、数据加解密、访问控制、权限划分等安全机制，可以确保系统和数据的安全制、权限划分等安全机制，可以确保系统和数据的安全性和完整性。性和完整性。本项目研究成果可为国家电网公司电能信息采集与本项目研究成果可为国家电网公司电能信息采集与管理系统建设提供设计指导，也可以为电能信息采集与管理系统建设提供设计指导，也可以为电能信息采集与管理系统在数据的高效传输和系统的信息安全方面提供管理系统在数据的高效传输和系统的信息安全方面提供有效的解决方案，提高在运系统的可靠性、安全性，保有效的解决方案，提高在运系统的可靠性、安全性，保障电网的稳定运行。障电网

17、的稳定运行。试点测试试点测试标准建设标准建设产品研制产品研制测试结论测试结论p 20092009年年3 3月月3131日，完成日，完成电力用户用电信息采电力用户用电信息采集系统安全防护体系建设方案集系统安全防护体系建设方案，提交国网公，提交国网公司营销部。司营销部。p 20092009年年7 7月月1515日，国家电网公司企业标准日，国家电网公司企业标准智智能电能表信息交换安全认证规范能电能表信息交换安全认证规范通过专家评通过专家评审审,即将发布。即将发布。p 20092009年年8 8月月3131日，完成制定日，完成制定电力用户用电信电力用户用电信息采集系统电能信息安全防护技术规范息采集系统

18、电能信息安全防护技术规范，已，已提交，即将进行评审。提交，即将进行评审。试点测试试点测试标准建设标准建设产品研制产品研制试点测试试点测试标准建设标准建设产品研制产品研制CEPESAMCEPESAM嵌入式安全芯片是中国电力科学研究院开发的安全认证芯嵌入式安全芯片是中国电力科学研究院开发的安全认证芯片，它采用国密局批准的片，它采用国密局批准的SM1SM1算法算法,可以根据用户需要封装成可以根据用户需要封装成Plug-in Plug-in 规规格格SAMSAM卡或卡或DIP8DIP8的芯片。的芯片。DIP8 DIP8封装的芯片可以作为一个安全存取单元，嵌入到符合智能电能封装的芯片可以作为一个安全存取

19、单元，嵌入到符合智能电能表、终端产品或者其他专用或通用设备中，完成数据的加表、终端产品或者其他专用或通用设备中，完成数据的加/解密、双向解密、双向身份认证、访问权限控制、通信线路保护、临时密钥导出、数据文件存身份认证、访问权限控制、通信线路保护、临时密钥导出、数据文件存储等多种功能。储等多种功能。试点测试试点测试标准建设标准建设产品研制产品研制p完成基于国密局批准的完成基于国密局批准的SM1SM1算法的加密机研制。算法的加密机研制。试点测试试点测试标准建设标准建设产品研制产品研制p研制智能电能表国密研制智能电能表国密SM1SM1算法安全芯片开发套件。算法安全芯片开发套件。试点测试试点测试标准建设标准建设产品研制产品研制p完成智能电表和智能用电终端安全防护检测台完成智能电表和智能用电终端安全防护检测台研制，具备检测条件。研制，具备检测条件。