隨著電力無線通信技術(shù)的不斷發(fā)展，通信安全問題越來越受到人們的關(guān)注。根據(jù)國家電監(jiān)會5號令《電力二次系統(tǒng)安全防護規(guī)定》以及《電力二次系統(tǒng)安全防護總體方案》的要求，電力二次系統(tǒng)應(yīng)遵循“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證”十六字方針。
在正常情況下，電網(wǎng)調(diào)度數(shù)據(jù)傳輸通道使用電力專用通信OPGW/ADSS資源等承載，該類型通道復(fù)合在架空線中。但是，當(dāng)電力系統(tǒng)招受異常災(zāi)害，大量OPGW受到嚴重損毀導(dǎo)致電力通信通道中斷，廠站通信中斷設(shè)備不能與主站通信，調(diào)度人員不能及時了解發(fā)電廠和變電站的運行情況，嚴重影響電力系統(tǒng)的安全調(diào)度，迫使電網(wǎng)機構(gòu)采用無線通信、公網(wǎng)通信、衛(wèi)星通信等安全狀況不可控的通信通道。
針對以上情況，本文根據(jù)電力二次系統(tǒng)安全防護的有關(guān)要求，探討在極端情況下電力通信安全防護的相關(guān)技術(shù)難題，為無線通信的推廣提供安全的應(yīng)用平臺。
1無線通信在電力系統(tǒng)的應(yīng)用情況
1.1衛(wèi)星通信應(yīng)急通道
電力系統(tǒng)衛(wèi)星通信系統(tǒng)提供控制主站控制子中心站與每個端站直接通信，構(gòu)成星狀衛(wèi)星通信網(wǎng)絡(luò)，實現(xiàn)端站-子中心站的衛(wèi)星一跳通信方式。
端站的各種業(yè)務(wù)通過通訊端口(IP接口)接入端站，經(jīng)衛(wèi)星通道進入子中心站，子中心站再將數(shù)據(jù)通過通訊端口送入調(diào)度中心的計算機，中心根據(jù)需要對所得到的信息進行加工處理，從而構(gòu)成一個完整的應(yīng)急通信系統(tǒng)。其應(yīng)急通信部分通常包含語音、視頻、數(shù)據(jù)通信等三部分，目前在實際運用的系統(tǒng)中存在與RTU直接相連的數(shù)據(jù)通信應(yīng)用。
1.2電量采集系統(tǒng)無線數(shù)據(jù)通道
電能量采集系統(tǒng)與繼電保護及故障信息管理系統(tǒng)比較相似，其采集終端與主站系統(tǒng)通信采用網(wǎng)絡(luò)通道、專用通道及撥號通道，通常撥號通道是在前兩種方式不能通信時的備用數(shù)據(jù)傳輸通道。
1.3配電及用電網(wǎng)的通信通道
大客戶負荷管理系統(tǒng)將負控系統(tǒng)、電量計量計費、配電自動化系統(tǒng)及配變監(jiān)測等功能合為一體的大型系統(tǒng)。由于該系統(tǒng)具有點數(shù)多、規(guī)模大、電力通信網(wǎng)無法覆蓋、實時性要求小及小數(shù)據(jù)量和電能量數(shù)據(jù)批量抄讀的特點。經(jīng)過對230M負控專網(wǎng)、中壓載波、GPRS網(wǎng)絡(luò)的技術(shù)經(jīng)濟比較，最終采用的是GPRS網(wǎng)絡(luò)。
1.4變電站的無線通信通道
對于部分地理位置偏遠變電站，不具備專網(wǎng)通信(如光纖通信、有線電纜、電力載波等)的條件，因此，不得不選擇“公網(wǎng)”來解決RTU與調(diào)度主站的通信問題。典型的通信流程如下：利用DTU的RS232接口和變電站RTU對接;中國移動提供VPN接入方式，為每個DTU分配一個固定的IP地址;中國移動網(wǎng)絡(luò)通過光纖或者2M方式專線接入調(diào)度通信機房，并在其接入路由器與調(diào)度數(shù)據(jù)網(wǎng)絡(luò)之間加設(shè)防火墻等安全措施;以網(wǎng)絡(luò)或串口方式連接到SCADA系統(tǒng)通信前置機進行數(shù)據(jù)通信。
2無線通信系統(tǒng)安全分析
公用無線通信網(wǎng)是為廣大市民服務(wù)的，根據(jù)用戶不同需求，制訂靈活多樣的通信應(yīng)用方式，并結(jié)合通信低成本等原則設(shè)定的，因此，公用無線通信網(wǎng)的首要目標(biāo)是盈利，其次才是通信可靠安全。現(xiàn)在以應(yīng)用最為廣泛的中國移動GPRS網(wǎng)絡(luò)，分析無線通信網(wǎng)絡(luò)存在的安全隱患。
2.1公網(wǎng)無線通信式
GPRS網(wǎng)絡(luò)支持無線方式的分組包交換功能，其永遠在線，快速傳輸、按流量計費的特點，很好的滿足了用戶在移動狀態(tài)下對數(shù)據(jù)業(yè)務(wù)的需求，其主要具備以下特點：實時性強、建設(shè)成本少、覆蓋范圍廣、系統(tǒng)的傳輸容量大、數(shù)據(jù)傳送效率高和穩(wěn)定性好等。通常GPRS網(wǎng)絡(luò)具備一定的安全性，其采用兩個方面的防護措施：一是每個終端插有一張SIM卡(具備一定的加密認證功能)。二是在GGSN(GatewayGPRSSupportNode，網(wǎng)關(guān)GSN)和企業(yè)路由器之間建立GRE隧道(通用路由協(xié)議封裝)以保證網(wǎng)絡(luò)傳輸?shù)陌踩浴?/p>
2.2無線通信網(wǎng)的風(fēng)險分析
GPRS是基于IP模式的骨干傳輸網(wǎng)，現(xiàn)今的黑客都對基于TCP/IP的傳輸協(xié)議非常熟悉，因此GPRS網(wǎng)絡(luò)更加容易受到黑客攻擊。主要面臨的隱患分析如下：
1)黑客攻擊：主要是指試圖從外部網(wǎng)絡(luò)入侵GPRS系統(tǒng)的人，目的是竊取用戶信息或者破壞GPRS無線通信網(wǎng)絡(luò)，出賣信息來賺錢，也有的是特意顯示他們的入侵通信網(wǎng)絡(luò)的能力。
2)管理人員隱患：管理人員熟識網(wǎng)絡(luò)的設(shè)置和運行情況，對GPRS網(wǎng)絡(luò)的破壞能力很強，應(yīng)對他們訪問內(nèi)部網(wǎng)絡(luò)的權(quán)限要加以限制，避免管理人員對系統(tǒng)造成任何破壞。
3)服務(wù)提供商隱患：服務(wù)提供商提供通信網(wǎng)絡(luò)設(shè)備，并負責(zé)網(wǎng)絡(luò)的建設(shè)和調(diào)試工作，日常的軟件更新和維護如果缺乏監(jiān)管，將對GPRS網(wǎng)絡(luò)造成嚴重的威脅，因此，必須加強對服務(wù)提供商的管理，采用足夠的安全防范措施。
4)合作者隱患：部分網(wǎng)絡(luò)應(yīng)用合作商例如ISP，服務(wù)系統(tǒng)直接與GPRS網(wǎng)絡(luò)相連，直接深入到傳輸網(wǎng)絡(luò)的物理層，合作者掌握了很多網(wǎng)絡(luò)信息和用戶信息，如果他們將信息泄露給一些惡意第三方，將使GPRS網(wǎng)絡(luò)和用戶受到嚴重的安全威脅。
2.3公網(wǎng)無線通信網(wǎng)絡(luò)的安全漏洞
無線通信系統(tǒng)大部分采用數(shù)據(jù)終端單元DTU進行數(shù)據(jù)通信，DTU的功能是將串口數(shù)據(jù)流轉(zhuǎn)換成TCP/IP協(xié)議傳輸?shù)臄?shù)據(jù)流，工作原理如下：
1)數(shù)據(jù)上行傳輸：用戶終端設(shè)備串口上的數(shù)據(jù)通過DTU封裝成IP包，通過GPRS傳輸網(wǎng)絡(luò)平臺發(fā)送到傳輸服務(wù)數(shù)據(jù)中心，數(shù)據(jù)中心系統(tǒng)將IP包進行分包處理。
2)數(shù)據(jù)下行傳輸：數(shù)據(jù)中心系統(tǒng)向在線的DTU發(fā)送一個數(shù)據(jù)IP包，通過GPRS傳輸網(wǎng)絡(luò)平臺發(fā)送給DTU，DTU將封裝IP包數(shù)據(jù)還原處理，最終以串口數(shù)據(jù)流的形式發(fā)送給用戶設(shè)備。
由于DTU沒有采用網(wǎng)絡(luò)安全方面的身份認證和傳輸加密技術(shù)，存在一定的安全漏洞，特別是網(wǎng)絡(luò)傳輸時延較大時，往往生產(chǎn)很多重復(fù)數(shù)據(jù)包，出現(xiàn)數(shù)據(jù)堵塞和掉包現(xiàn)象，往往給黑客攻擊有機可乘，安全性比較脆弱。因此，公網(wǎng)GPRS的傳輸模式應(yīng)用到電力調(diào)度的數(shù)據(jù)傳輸時存在重大的安全隱患，必須采取相應(yīng)的安全防范措施。
3電力通信安全防護技術(shù)
3.1網(wǎng)絡(luò)隔離技術(shù)
面對新型網(wǎng)絡(luò)攻擊手段的出現(xiàn)和電力系統(tǒng)對安全防護的特殊需求，出現(xiàn)了網(wǎng)絡(luò)隔離技術(shù)。網(wǎng)絡(luò)隔離技術(shù)的目標(biāo)是確保隔離有害的攻擊，在可信網(wǎng)絡(luò)之外和保證可信網(wǎng)絡(luò)內(nèi)部信息不外泄的前提下，完成網(wǎng)間數(shù)據(jù)的安全交換。
網(wǎng)絡(luò)隔離技術(shù)是在原有安全技術(shù)的基礎(chǔ)上發(fā)展起來的，它彌補了原有安全技術(shù)的不足，突出了自己的優(yōu)勢。網(wǎng)絡(luò)隔離，主要是指把兩個或兩個以上可路由的網(wǎng)絡(luò)(如：TCP/IP)通過不可路由的協(xié)議(如：IPX/SPX、NetBEUI等)進行數(shù)據(jù)交換而達到隔離目的。由于其原理主要是采用了不同的協(xié)議所以通常也叫協(xié)議隔離(ProtocolIsolation)，隔離概念是在為了保護高安全度網(wǎng)絡(luò)環(huán)境的情況下產(chǎn)生的。
3.2身份認證技術(shù)
身份認證是網(wǎng)絡(luò)系統(tǒng)和計算機驗證操作者身份是否符合條件的過程。計算機網(wǎng)絡(luò)系統(tǒng)構(gòu)建了一個虛擬的網(wǎng)絡(luò)世界，用戶的身份信息是由一組設(shè)定的數(shù)據(jù)代替，計算機系統(tǒng)只能夠識別用戶的數(shù)字信息，并根據(jù)用戶數(shù)字身份的分類進行不同的操作授權(quán)。操作者是否該數(shù)字身份的合法擁有者，如何確保數(shù)字身份不被非法盜用，已經(jīng)成為一個越來越重要的網(wǎng)絡(luò)安全問題。
目前主要的身份認證方式主包括：戶名加密碼方式、USBKey認證方式、數(shù)字IC卡認證方式、動態(tài)口令方式、生物特征認證方式等等。近幾年發(fā)展起來的USBKey身份認證方式是一種便捷、安全的身份認證技術(shù)。
USBKey內(nèi)置了先進的智能卡芯片，可以存儲用戶的數(shù)字證書和密鑰，運用USBKey的內(nèi)置的密碼算法實現(xiàn)用戶身份驗證，解決了易用性和安全性之間的難題。因此，電力無線傳輸可以采用USBKEY身份認證方式解決公網(wǎng)傳輸系統(tǒng)安全性的問題。
3.3傳輸加密技術(shù)
數(shù)據(jù)加密又稱密碼學(xué)，它是一門歷史悠久的技術(shù)，指通過加密算法和加密密鑰將明文轉(zhuǎn)變?yōu)槊芪模饷軇t是通過解密算法和解密密鑰將密文恢復(fù)為明文。
數(shù)據(jù)加密目前仍是計算機系統(tǒng)對信息進行保護的一種最可靠的辦法。它利用密碼技術(shù)對信息進行加密，實現(xiàn)信息隱蔽，從而起到保護信息的安全的作用。傳輸密碼是通信雙方按預(yù)先設(shè)定的規(guī)則進行數(shù)據(jù)交換的一種特殊的保密手段。
密碼技術(shù)早期僅對文字信息進行處理，隨著通信網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，目前已能對數(shù)據(jù)、語音、圖像等進行加密解密。各國政府、大型的企業(yè)使用的密碼編制及解密技術(shù)越來越復(fù)雜，具有高度的機密性。密碼技術(shù)體系的主要類型分為四種：
1)錯亂：根據(jù)固定的圖形和法則，改變文件原來的數(shù)碼位置，使其成為密文。
2)代替：使用固定的代替表，將文件原來的數(shù)碼位置進行規(guī)則替代，使其成為密文。
3)密本：使用預(yù)先編制的相應(yīng)字母或數(shù)字組，代替對應(yīng)的詞組或單詞，使文件成為密文。
4)加亂：使用預(yù)先設(shè)定的一串?dāng)?shù)碼序列作為亂數(shù)，按一定的規(guī)則插入原文件不同位置，結(jié)合成成密文。上述四種基本的密碼技術(shù)，經(jīng)常被混合使用，從而編制出復(fù)雜程度相當(dāng)高的實用密碼。
3.4權(quán)限受控技術(shù)
權(quán)限受控也稱為訪問控制，是按用戶身份及其所歸屬的某預(yù)定義組來限制用戶對某些信息項的訪問，或限制對某些控制功能的使用。訪問控制通常用于系統(tǒng)管理員控制用戶對服務(wù)器、目錄、文件等網(wǎng)絡(luò)資源的訪問。
1)訪問控制的功能主要有以下：防止非法的主體進入受保護的網(wǎng)絡(luò)資源;允許合法用戶訪問受保護的網(wǎng)絡(luò)資源;防止合法的用戶對受保護的網(wǎng)絡(luò)資源進行非授權(quán)的訪問。
2)訪問控制實現(xiàn)的策略：入網(wǎng)訪問控制;網(wǎng)絡(luò)權(quán)限限制;目錄級安全控制;屬性安全控制;網(wǎng)絡(luò)服務(wù)器安全控制;網(wǎng)絡(luò)監(jiān)測和鎖定控制;網(wǎng)絡(luò)端口和節(jié)點的安全控制;防火墻控制。
3)訪問控制的類型包括：自主訪問控制和強制訪問控制。自主訪問控制，是指由用戶有權(quán)對自身所創(chuàng)建的訪問對象(文件、數(shù)據(jù)表等)進行訪問，并可將對這些對象的訪問權(quán)授予其他用戶和從授予權(quán)限的用戶收回其訪問權(quán)限。強制訪問控制，是指由系統(tǒng)(通過專門設(shè)置的系統(tǒng)安全員)對用戶所創(chuàng)建的對象進行統(tǒng)一的強制性控制，按照規(guī)定的規(guī)則決定哪些用戶可以對哪些對象進行什么樣操作系統(tǒng)類型的訪問，即使是創(chuàng)建者用戶，在創(chuàng)建一個對象后，也可能無權(quán)訪問該對象。
4結(jié)論
無線通信技術(shù)發(fā)展日新月異，在電力系統(tǒng)的應(yīng)用越來越廣泛。需要不斷對電力無線通信安全防護的隱患進行分析，以及采用必要的安全防護手段，使無線通信網(wǎng)絡(luò)符合《電力二次系統(tǒng)安全防護規(guī)定》，在電力系統(tǒng)通信網(wǎng)異常的情況下，避免受黑客攻擊的無線通信安全技術(shù)，在電力傳輸網(wǎng)絡(luò)異常的情況下，通過公網(wǎng)GSM、CDMA、GPRS、衛(wèi)星通信等多種無線通信方式，為電網(wǎng)調(diào)度系統(tǒng)提供安全可靠的應(yīng)急數(shù)據(jù)傳輸通道，確保電力系統(tǒng)的安全可靠運行。
京公網(wǎng)安備 11010502049343號