利用无线公网通讯的安全防护方法
【专利摘要】本发明公开了利用无线公网通讯的安全防护方法，它是主站采用串口电力专用协议的方式与公网隔离；主站与子站实现调度数字证书认证及传输加密；增设安全网关；并将无线公网接收的数据经通讯接口传给SCADA系统实现的。同时采取安全策略对接入访问的范围和资源进行限制。将TCP/IP网络通讯技术、IPSEC安全隧道技术及USBKEY加密认证技术融为一体，在电力系统通信异常情况下应急恢复及临时调试和不具备电力通信条件时的安全接入，为电网调度自动化实时数据的传输提供安全可靠的传输通道。且对现有应用环境与软件无须做出任何改动的情况下确保电力系统的安全运行。具有发明步骤设计合理、安全防护措施得力、工作性能稳定可靠、适合行业进行推广等优点。
【专利说明】利用无线公网通讯的安全防护方法
【技术领域】
[0001]本发明涉及一种通讯网络安全防护方法，尤其是在电力系统通信网通讯异常情况下利用无线公网为电网调度自动化实时数据的传输采取的通讯网络安全防护方法。
【背景技术】
[0002]随着国民经济的飞速发展、人民生活水平的不断提高和科学技术的不断进步，电力行业作为国民经济的命脉，其信息化建设、升级、改造越来越紧迫。但是，审视我国目前电力企业的信息化建设状况，很多地方变电站地理分布不平衡，位置比较分散；光纤通讯、有线电缆、电力载波通讯组网无论在技术上，还是在资金投入产出比上都面临极大压力；远动等自动化系统的通讯组网问题一直困扰着很多地方调度自动化的推广和实施。随着无线公网数据通信业务的成熟和稳定，数据通讯方案的提出使一系列问题迎刃而解，科学、有效地解决了系统的通讯组网难题。但使用无线公网通信，子站可通过公网以TCP/IP方式发起连接，与前置机进行网络通信，外网可以直接连接到主站并可通过其访问调度数据网。由于主站与子站之间的数据通信没有进行身份认证及数据加密，不能抵御外部网络对子站的攻击即黑客攻击。目前上下级主站之间临时借用公共网络进行数据通信，仅采用一些简单的安全防护措施，例如入侵检测及访问限制等，还存在着服务商管理不善等安全风险，这些都将使主站系统带来严重的安全隐患。造成电网无法预计的不良后果。
【发明内容】
[0003]本发明的任务是提供一种利用无线公网通讯的安全防护方法，该方法能在电力系统利用无线公网进行数据通信时有效抵御外部网络对子站的攻击，以及服务商管理不善等原因带来的安全风险，避免系统存在的安全隐患和给电网造成的不良后果。为电网调度自动化实时数据的传输提供安全可靠的传输通道。
[0004]本发明的安全防护方法是主站采用串口电力专用协议的方式与公网网络隔离；主站与子站实现调度数字证书认证及传输加密；增设信关软件构成的安全网关；并将无线公网接收到的数据经通讯接口传输给SCADA系统。
[0005]具体步骤如下:
步骤一:RTU或综自设备的数据经通讯接口发送到子站安全网关；
步骤二:子站安全网关对接收到的数据进行签名和加密；并判断数据是否签名和加密，若是，转入步骤三；若否，则转入步骤一；
步骤三:子站安全网关向主站安全网关发送连接请求，子站安全网关与主站安全网关通过无线公网进行身份认证，若通过认证，则建立安全隧道，转入步骤四；若未通过认证，则转入步骤一；
步骤四:子站安全网关将安全数据通过安全隧道发送到主站安全网关；
步骤五:主站安全网关将接收到的数据进行解签名和解密，判断数据是否解签名和解密，若是，转入步骤六，若否，则转入步骤四的主站安全网关； 步骤六:主站安全网关将安全数据发送到中心无线信关系统；
步骤七:中心无线信关系统利用通讯接口将数据发送到EMS系统前置机。
[0006]本发明的有益效果:本发明可对无线公网通信数据传输过程进行详细的分析，对传输过程中所有安全风险点开展研究，针对各安全风险点采取相应措施，通过数据加密、数字签名、硬件绑定等方式，既满足使用公网通信加密的要求，又可实现系统主站在安全区I的网络隔离，极大地提高了远动系统的安全防护强度，保证数据安全的有效传输。特别是能在电力系统通信网异常的情况下通过多种网络建立应急机密数据通道，为电网调度自动化数据实时传输提供安全可靠的传输通道。从而在无安全隐患的前提下随时随地采用多种方式远程接入，且对现有应用环境与软件无须做出任何改动的情况下确保电力系统的安全运行。具有发明步骤设计合理、安全防护措施得力、工作性能稳定可靠、适合行业进行推广等优点。
【专利附图】
【附图说明】
[0007]图1为本发明工作流程图；
图2为本发明主站功能方框图；
图3为本发明子站功能方框图；
图4为本发明软件结构图；
图5为本发明IPsec协议加密图；
图6为本发明IPsec原理图。
【具体实施方式】
[0008]本发明的利用无线公网通讯的安全防护方法(如图1所示)，是在电力系统通信网发生异常的情况下利用无线公网(GPRS或CDMA)对电网调度自动化数据实时传输提供安全可靠的传输通道的一种防护方法。该方法首先是将RTU或综自设备的数据通过通讯接口RS232或Ethernet方式连接到子站(变电站)安全网关即步骤1，子站安全网关将对接收到的数据进行签名和加密为步骤2，该步骤2同时判断数据是否签名和加密，若是，转入步骤3 ;若否，则转入步骤I的RTU或综自设备。所述步骤2中子站安全网关对接收到的数据进行签名和加密的作法是:对于送出的数据，将这些数据交给IP层作预处理，判断这个包是否应实施IPSec签名和加密，IPSec基本协议模块将数据包的特征提取出来与IPSec中SPD接口的选择符进行对比，找到相应的处理策略(丢弃、应用IPSec、绕过IPSec)，如果需要进行IPSec处理，在SPD中提取对应的安全连接数据库(SADB)中的信息(SAID)，并将数据交给IPSec基本协议模块接口，IPSec基本协议模块通过SAID找到SADB中对这个数据包的具体处理方法(安全协议、加密/认证算法、密钥等)对其进行安全处理。对于需要加密或认证的数据则交由加密认证模块处理后交回IPSec基本协议模块，对其添加外部IP头后交给IP的后续模块处理，网络接口层将输出的包传给与外部相连的无线网络通讯模块。步骤3是主站安全网关对子站安全网关发出的连接请求通过无线公网进行身份认证，所述身份认证的方法是主站安全网关采用电力调度专用数字证书进行身份认证，对子站安全网关进行身份鉴别，同时向子站安全网关表明自己的身份，通过IKE协议双方提供自己的证书，以验证身份是否正确。若通过该认证，则建立安全隧道，转入步骤4 ;若未通过认证，则转入步骤I的子站安全网关。所述步骤4是子站安全网关将安全数据通过安全隧道发送到主站安全网关。然后主站安全网关再将接收到的数据进行解签名和解密实施步骤5，该步骤5对数据进行解签名和解密的方法是对于进入的数据，链路层将它交给IP协议做进入的预处理(如数据包的重组)，同时查看IP头中下一协议头字段是否为ESP头或AH头，如果是，将其交给IPSec处理模块解签名和解密。当IPSec处理完后将没有出错的包交给IP协议做后续处理，IP层后续处理根据内部IP头中的目的地址将其交给传输层或将其交给网络接口层再转发给中心无线信关系统即步骤6。当判断数据是否解签名和解密为否时，则转入步骤4的主站安全网关。最后中心无线信关系统6再利用通讯接口 RS232或Ethernet方式将数据发送到EMS系统前置机完成步骤7。
[0009]如图2所示，主站功能主要包括数据采集，数据解密，数据转发，参数设置，数据显示，报文解析，报文显示。主站系统采集子站发送的数据，将接收到的数据进行解密，并将解密后的数据转发给EMS系统。主站系统还可实现参数设置，查看实时通讯报文，查看实时数据，系统还具备报文解析功能。
[0010]如图3所示，子站功能主要包括数据采集，转发数据加密，参数设置，数据显示，报文解析，报文显示。子站系统采集RTU或综自设备的数据，将接收到的数据进行加密，并将加密后的数据转发给主站系统。子站系统还可实现参数设置，查看实时通讯报文，查看实时数据，系统还具备报文解析功能。
[0011]如图4所示，系统软件结构主要分两大部分，一部分是安全监测，监测程序是否正常运行，并采取相应的手段。一部分是数据采集，主要包括流程监测、控制程序和分析程序。流程监测主要完成对系统工作状态的监视，控制程序主要完成工作模式的转换，分析程序主要完成数据信息的显示。
[0012]如图5所示，IPsec协议为IP数据报提供无连接完整性与数据源认证，并提供保护以避免重播情况。一旦建立安全连接，尽可能为IP头和上层协议数据提供足够多的认证。在主站与子站之间可以提供安全服务。
[0013]如图6所示，IPSec的工作原理是对包过滤防火墙的一种扩展。当接收到一个IP数据包时，包过滤防火墙使用其头部在一个规则表中进行匹配。当找到一个相匹配的规则时，包过滤防火墙就按照该规则制定的方法对接收到的IP数据包进行处理。
[0014]本发明由于采取了以上所述的安全防护措施，既满足了使用公网通信加密的要求，又实现了系统主站在安全区的网络隔离，有效抵御了外部网络对子站的攻击，从而极大的提高了远动系统的安全防护强度，从而使电力系统在通信网发生异常情况下应急恢复及临时调试和不具备电力通信通道条件时的安全接入，确保电网调度自动化数据的实时传输，对电网安全运行起到重要的作用。
【权利要求】
1.一种利用无线公网通讯的安全防护方法，其特征在于:该方法是主站采用串口电力专用协议的方式与公网网络隔离；主站与子站实现调度数字证书认证及传输加密；增设信关软件构成的安全网关；并将无线公网接收到的数据经通讯接口传输给SCADA系统；具体步骤如下: 步骤一:RTU或综自设备的数据经通讯接口发送到子站安全网关； 步骤二:子站安全网关对接收到的数据进行签名和加密；并判断数据是否签名和加密，若是，转入步骤三；若否，则转入步骤一； 步骤三:子站安全网关向主站安全网关发送连接请求，子站安全网关与主站安全网关通过无线公网进行身份认证，若通过认证，则建立安全隧道通道，转入步骤四；若未通过认证，则转入步骤一； 步骤四:子站安全网关将安全数据通过安全隧道发送到主站安全网关； 步骤五:主站安全网关将接收到的数据进行解签名和解密，判断数据是否解签名和解密，若是，转入步骤六，若否，则转入步骤四的主站安全网关； 步骤六:主站安全网关将安全数据发送到中心无线信关系统； 步骤七:中心无线信关系统利用通讯接口将数据发送到EMS系统前置机。
2.根据权利要求1所述的利用无线公网通讯的安全防护方法，其特征在于:所述步骤2中子站安全网关对接收到的数据进行签名和加密的作法是:对于送出的数据，将这些数据交给IP层作预处理，判断这个包是否应实施IPSec签名和加密，IPSec基本协议模块将数据包的特征提取出来与IPSec中sro接口的选择符进行对比，找到相应的处理策略(丢弃、应用IPSecj^S IPSec)，如果需要进行IPSec处理，在SB)中提取对应的安全连接数据库(SADB)中的信息(SAID)，并将数据交给IPSec基本协议模块接口，IPSec基本协议模块通过SAID找到SADB中对这个数据包的具体处理方法(安全协议、加密/认证算法、密钥等)对其进行安全处理，对于需要加密或认证的数据则交由加密认证模块处理后交回IPSec基本协议模块，对其添加外部IP头后交给IP的后续模块处理，网络接口层将输出的包传给与外部相连的无线网络通讯模块。
3.根据权利要求1所述利用无线公网通讯的安全防护方法，其特征在于:步骤3中所述身份认证的方法是主站安全网关采用电力调度专用数字证书进行身份认证，对子站安全网关进行身份鉴别，同时向子站安全网关表明自己的身份，通过IKE协议双方提供自己的证书，以验证身份是否正确。
4.根据权利要求1所述利用无线公网通讯的安全防护方法，其特征在于:所述步骤5中主站安全网关将接收到的数据进行解签名和解密的方法是对于进入的数据，链路层将它交给IP协议做进入的预处理(如数据包的重组)，同时查看IP头中下一协议头字段是否为ESP头或AH头，如果是，将其交给IPSec处理模块解签名和解密，当IPSec处理完后将没有出错的包交给IP协议做后续处理，IP层后续处理根据内部IP头中的目的地址将其交给传输层或将其交给网络接口层再转发给中心无线信关系统。
5.根据权利要求1所述利用无线公网通讯的安全防护方法，其特征在于:所述通讯接口 为 RS232 或 RS485 或 RS422 或 Ethernet。
6.根据权利要求1所述利用无线公网通讯的安全防护方法，其特征在于:所述无线公网为GPRS或CDMA。
7.根据权利要求1所述利用无线公网通讯的安全防护方法，其特征在于:步骤3、4中所述安全隧道是在主站网关和子站网关间建立的通道，经由这两个网关的数据传送均在这个通道中进行，IPSec报文要进行分段和重组操作，再经过多个安全网关才能到达安全网关后面的中心无线信关系统，所述安全隧道在网关之间是以系列的形式生成。
【文档编号】H02J13/00GK104243437SQ201310252267
【公开日】2014年12月24日 申请日期:2013年6月24日 优先权日:2013年6月24日
【发明者】王昊, 许宇辉, 贾克音, 张雷, 滕云学, 孙沃野, 国宾, 李爽, 刘亚静 申请人:国家电网公司, 吉林省电力有限公司四平供电公司