摘要为了实现全面和实时的监控,分布广泛的公用因特网占有在智能电网通信系统中占有更多的比例。智能配电网的开放性为电力系统中公用网络的接入了大量的恶意攻击入口。为了阻止恶意的终端接入到智能配电网通信系统，在智能配电网通信系统层次化结构设计的基础上,本文提出采用多级信息安全过滤模型和综合加密技术实现对智能配电网的信息系统的安全防护。综合加密通信编程实例表明，该方案增强电力网敏感信息安全性和实用性。
【关键词】智能配电网 安全过滤 数据加密 通信
1 引言
物联网的发展是未来智能电网中电力网络发展的方向，物联网是智能电网实现的必要条件，物联网和电力系统的生产、运行、管理、输用等环节紧密联系在在一起。智能电网包括智能输电网和智能配电网 都是智能电网组成部分，智能输电网担当电力系统中输送电能量的任务，智能配电网则是为终端用户输送电量，虽然两个的电压等级有很大的区别，但是它们各自的地位都是不可替代的。智能配电网完成各种配电任务都需要通信网络的支持。然而，随着智能电子设备增多随之而来的数据量的也在不断的增加以及电力信息数据实时性，高速的通信网络环境是智能配电网需要的条件。智能配电网中的电力通信更加的开放，电力网路的入侵接口也随之增加，电力系统的安安全性和可靠性需要经受更严峻的考验。因此，我们需要更迫切地解决智能电网中电力通信网络系统的信息数据安全的问题。
由于智能配电网与终端有良好的交互，大量用户的接入对信息安全带来了一定的威胁。因此我们要过滤非授权的访问终端，而信息加密技术是保障电力系统信息安全的核心技术。在信息安全过滤理论上，通过一个综合加密通信编程实例，提出采用多级信息安全过滤模型和综合加密技术实现对智能配电网的信息系统的安全防护。
1 信息的安全过滤
信息过滤是通过监控动态的信息源以找到满足用户需求的信息或剔除用户不需要的信息以及不合法的终端用户。
1.1 安全过滤的主要方法
1.1.1 主动过滤
过滤系统主动从信息源上为其用户送达相关的信息。用户提前做好过滤准备，可以设置有权或无权访问的对象列表等,便于在信息过滤时根据用户自己设置好的访问对象。
1.1.2 被动过滤
过滤系统不对信息源的信息进行判别和处理,当用户在访问对象时才对信息、数据、图像等信息进行判别分析处理，更具用户的需求是否处理过滤信息。
2 加密技术
由于电网中含有许多敏感信息，为了防止未授权用户访问或获取电网运行和调度信息的安全性、完整性，只要通过认证、加密功能来实现数据的安全问题。
目前的数据加密技术根据密钥类型可分为私钥对称加密和非对称加密)。对称加密系统与非对称加密相比，在加密、解密处理速度、防范能力、数字签名和身份认证等方面各有优劣。
2.1 RSA算法
RSA算法是一种非对称密码算法，所谓非对称，就是指该算法需要一对公开密钥与私有密钥，使用公开密钥对数据进行加密，则只有用对应的私有密钥才能解密。但是速度一直是RSA的缺陷。一般来说只用于少量数据加密。
RSA的算法涉及三个参数，n、e1、e2。其中，n是两个大质数p、q的积，n的二进制表示时所占用的位数，就是所谓的密钥长度。e1和e2是一对相关的值，e1可以任意取，但要求e1与(p-1）*(q-1）互质；再选择e2，要求
（e2*e1）mod((p-1）*(q-1))=1 。
（n，e1）,(n，e2）就是密钥对。其中(n，e1）为公钥，(n，e2）为私钥。RSA加解密的算法完全相同，设A为明文，B为密文，则：
A=BΛe2modn
B=AΛe1modm
2.2 DES算法
数据加密算法（Data Encryption Algorithm，DEA）是一种对称加密算法，DES 采用的主密钥为64bit,其中8bit为奇偶校验位, 实际主密钥为56 bit。解密时用同样的密钥将密文作为输入, 经过一系列相反的步骤得到的输出即明文。但是密钥的安全性和管理是它的不足之处。
2.3 RSA&DES综合加密
基于RSA算法和DES算法两种典型密码算法的优缺点。用DES算法作为数据的加密算法对数据加密，用RSA算法作为DES密钥的加密算法，对DES的密钥进行加密。要加密的数据量通常很大，而DES算法的加、解密速度效率高，对每个数据分组的加密仅需很短时间就能完成。因此,用DES算法对大量的数据加密不会影响整个系统的效率。DES和RSA综合加密如图1所示。
在加密、解密的处理效率方面，DES算法优于RSA算法。在密钥的分配、管理、安全度方面，RSA 算法比DES 算法更加优越。DES和RSA综合加密算法既能发挥DES算法加密速度快、安全性好的優点，又能发挥RSA算法密钥管理方便的优点，二者各取其优，扬长避短。
3 能配电网通信系统模型
智能配电网最为理想的控制模式是集中控制模式（如图2所示），而通信系统是建设智能配电网的一个关键环节。有效的通信方式是智能配电网的前提和支柱，将控制中心的命令有效地准确地传送到繁多的终端智能电子设备（Intelligent Electric Device，IED），并且将终端智能电子设备采集的各种实时信息传送到控制中心。
4 多级信息过滤防护
该模型包括了第一级的基于Web缓存技术的地址安全过滤和第二级的共享密钥认证技术和综合加密技术的安全过滤两大模块。其中基于Web缓存技术的地址过滤包含了硬件设备认证子模块。此模型从硬件认证（设备身份认证）和软件认证（共享密钥和综合加密解密技术）两个方面, 很好地提高了安全过滤的准确性和保障了电力网络敏感信息的安全性。
4.1 第一集过滤
终端IED经过简单的URL（设备的IP地址）的过滤，由于IED的设备的MAC地址或者IP地址是终端设备的唯一标识符。Web高速缓存服务器技术可以缓存子站与终端IED或者终端IED和终端IED访问过的对象，这一特点使得我们可以利用Web缓存技术在子站服务器不忙时启动地址判别、分析功能, 采用MAC地址或者IP地址判别技术, 使用“MAC判别引擎”或“IP判别引擎”, 并根据预先设定的规则对缓存数据进行判断, 对主站与终端设备或者终端设备和终端设备访问时提供的陌生的IP地址或者MAC地址进行登记,生成拦截“黑名单”添加到数据库中, 同时对不匹配的对象则给予阻断或封锁, 这样在以后正常工作时, 便可以在这一级将无权限访问的对象过滤掉, 从而实现了“一次过滤, 多次服务”的高效服务模式。重而初步的防止未授权的对象访问或者获取非法的调度敏感信息以及各种破坏行为。
4.2 第二级过滤
MAC 地址虽然是一个网络硬件设备的标识，一般是固定的，但是可以通过硬件或软件的方法修改。攻击者可以利用MAC地址欺骗这一弱点，盗用合法IED的地址，从而进行窃取电力网络信息或者破坏电力网络。
设备身份认证成功后由于可能存在MAC地址或者IP地址的伪造，上一级的过滤有可能存在一些没有被过滤掉的访问对象及所携带的信息。此时进行共享密钥认证需要终端IED和子站配置相同的共享密钥。共享密钥认证的认证过程为：终端IED先向子站发送认证请求，子站会随机生成一个数据包（字符串）发送给终端；终端将收到一个字符串的最新数据，用一个密钥加密，然后发送到子站；接收到数据后，数据使用密钥解密，最初结束再解密字符串比较未加密前的字符串。如果相同，则说明客户端拥有子站相同的共享密钥，即通过了Shared Key 认证；否则认证失败。
终端的IED的电力信息用DES加密算法为数据进行加密，用RSA算法作为DES密钥的加密算法作为终端IED的公开密钥，而子站保存私用密钥。综合加密工作方式能大大提高加密效率和增强了保密强度。该加密算法既能发挥DES算法加密速度快、安全性比较高同时也发挥了RSA算法密钥管理方便的优点。
由于可能存在MAC地址或者IP地址的伪造，上一级的过滤有可能存在一些没有被过滤掉的访问对象及所携带的信息。此时访问过滤方案描述如下：
（1）终端、子站、主站的IED携带信息进入信息网。
（2）终端IED和子站进行共享密钥认证。
（3）终端IED进行共享密钥认证技术后，将执行如下操作：
（1）对于认证成功的终端IED所携带的电力敏感信息进行DES加密，然后对其密钥用RSA加密作为对应终端IED的公开密钥，把加密的数据和加密后的密钥传送给子站。子站收到终端IED的信息后，子站用保留的私用密钥先对密钥进行RSA解密，然后对其加密数据解密。
（2）对于认证失败的终端，把终端的唯一标识符及其所携带的信息添加到敏感数据库，进行封存过滤。
4）对于数据解密成功，数据采集端保存数据。否则终止其访问权，将终端加入敏感数据库。
5 实例分析
网络化的通信结构和多种通信技术在同一个网络中的综合运用，扩大了网络的规模，增加了网络的复杂性，给网络的运行维护增加了很大的困难。我们熟知智能配电网通信系统三层网络模型建立如图3所示的通信网络。为了方便演示,服务端采用的是单线程。本文在VS2010平台上用c#开发时是一对一（一个服务器对一个客服端），但不影响在实际应用中。
基于上述电力通信系统模型，利用本文方案，能够保证非法使用的终端IED无法接入到系统中，从而阻止非法入侵者对系统的恶意攻击。分析如下：
首先，终端IED与上级相互通信时，以终端IED的唯一标识符作为设备身份认，这样有效地提高智能配电网的信息安全的可靠度，同时对不合法的终端IED的信息封存在SQL数据库，提高了拦截效率。
其次，客户端把需要发送的明文经过综合加密技术后，信息传送到服务端，服务端用RSA创建对象：
rsa调用私钥解密加密过的密钥，此时密钥变成明文，就可以解密信息数据。经过解密的密钥再进行解密加密过的数据，服务端用DES创建对象
Des调用解密算的对数据解密。通过以上多重加密解密过程来防止了密钥泄漏问题。电力信息进行综合加密提高了加密效率和数据的安全性。即使对于有些侥幸不合法的终端IED获取访问或者获取电力敏感信息也是经过综合加密的信息。
最后，对于采用的对称加密算法，不影响数据的实时性。由于多级过滤非授权的终端，阻止了不法分子分子访问、截获、篡改电力信息和隐私，为配电通信网的安全提供保障措施。
6 结语
本文在智能配电网通信系统结构设计的基础上，针对智能配电网存在的信息安全问题，采用基于多级过滤和综合加密体制，提出了一种适合智能配电网通信系统的信息控制访问方案。该方案对接入公网的用户进行初步的信息过滤，利用加密技术对数据加密，不管是拥有权限访问的公网接口用户还是利用欺骗技术绕过过滤系统的非法用户，都不能及时获得数据的真实性，保证信息数据的安全性，提高了电力系统的安全性和可靠性。
参考文献
[1]刘振亚.智能电网技术[M].北京:中国电力出版社,2010.
[2]余贻鑫,栾文鹏.智能电网述评[J].中国电机工程学报,2009,29(34):1-8.
[3]李文伟,邱利斌.配网自动化及通信系统的规划建设[J].电力系统通信,2009,30(196):5-7.
[4]Hamlyn A,Cheung H,Mander T,et al.Computer network security management and authentication of smart grids operations[C].//IEEE Canada Electrical Power Conference.2008:31-36.
[5]BOYER W F,MCBRIDE S.Study of Security Attributes of Smart Grid Systems-Current Cyber Security Issues[EB/OL],2009-04-29.
[6]蘇贵洋,马颖华,李建华.一种基于内容的信息过滤改进模型[J].上海交通大学学报,2004,38(12):2030-2034
[7]刘晓星,胡畅霞,刘明生.公钥加密算法RSA 的一种快速实现方法[J].微计算机信息,2006.22:118-119.
[8]朱作付,徐超,葛红美.基于DES 和RSA算法的数据加密传输系统设计[J].通信技术,2010,4(43):90-93.
[9]孙中伟,马亚宁,王一蓉等.基于EPON的配电网自动化通信系统及其安全机制研究[J].电力系统自动化,2010,34(8): 72-75.
[10]Lim I H,Hong S,Choi M S,et al.Security protocols against cyber attacks in the distribution automation system[J].IEEE Trans on Power Delivery,2010,25(1):448-455.
作者简介
李貌（1988-）男，硕士研究生，研究方向为调度自动化及计算机信息处理。
滕 欢（1965-），女，高级工程师，硕士研究生导师，长期从事电力系统及其自动化科研、教学及工程实践工作。
阳江华（1988-）女，硕士研究生，研究方向为调度自动化及配电自动化。
作者单位
四川大学电气信息学院四川省成都市610065