电力用户用电信息采集系统安全防护技术方案课件

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Header(14pt Bold),(GroupName)K:PowerPnt(NewFolderName)(NewFileName),*,存在风险点及应对控制,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Header(14pt Bold),(GroupName)K:PowerPnt(NewFolderName)(NewFileName),0,电力用户用电信息采集系统安全防护技术方案,中国电力科学研究院,2009,年,9,月,0电力用户用电信息采集系统安全防护技术方案中国电力科学研究,三、安全防护技术方案,二、风险分析,目 录,一、电力用户用电信息采集系统简介,四、主要工作,三、安全防护技术方案二、风险分析目 录一、电力用户用电信息,一、用电信息采集系统简介,全面建设电力用户用电信息采集系统，符合国际电网技术发展的方向，是建设智能电网的重要组成部分；符合经济社会发展的要求，是扩大内需、加快城市和农村电网改造的重要措施；符合公司发展方式转变的需要，是公司,“,SG186,”,信息系统工程建设和营销计量、抄表、收费标准化建设的重要基础，是提升服务能力、实行居民阶梯电价的必然选择，是建设国际一流企业的重要保证，将有力支撑公司决策更加及时、科学，推动公司发展实现历史性跨越。,一、用电信息采集系统简介全面建设电力用户用电信息采集系统,一、用电信息采集系统简介,根据电力用户用电信息采集系统建设规模的不同，主站可分为集中式和分布式两种部署模式。,（,1,）集中式部署,集中式部署是全省（直辖市）仅部署一套主站系统，一个统一的通信接入平台，直接采集全省范围内的所有现场终端和表计，集中处理信息采集、数据存储和业务应用。集中式部署主要适用于低于,500,万用户的网省电力公司。,一、用电信息采集系统简介根据电力用户用电信息采集系统建设,一、用电信息采集系统简介,（,2,）分布式部署,分布式部署是在全省各地市公司分别部署一套主站系统，独立采集本地区范围内的现场终端和表计，实现本地区信息采集、数据存储和业务应用。分布式部署主要适用于用户数量高于,500,万的网省电力公司。,一、用电信息采集系统简介（2）分布式部署,一、用电信息采集系统简介,主站,无线专网,无线公网,光纤,居民表,居民表,电力线载,波采集器,电力线载,波采集器,集中器,远传多功,能电表,集中器,小无线,采集器,IC,卡预付费表,主站管理系统,传输通道,终端系列,主站服务器,前置机,电力线,小无线电表,小无线网,主站管理系统,电力线,载波表,IC,卡预付费表,负控终端,485,线,485,线,485,线,一、用电信息采集系统简介主站无线专网无线公网光纤居民表居民表,三、安全防护方案,二、风险分析,目 录,一、电力用户用电信息采集系统简介,四、主要工作,三、安全防护方案二、风险分析目 录一、电力用户用电信息采集,现状,风险分析,二、风险分析,现状风险分析二、风险分析,现状,风险分析,二、风险分析,主站安全防护现状,系统主站已根据电力二次系统安全防护总体方案，采取一定的通用安全防护措施。,公网信道安全防护现状,主站通过专线和移动公司,GPRS,网的,GGSN,相连，在移动,GGSN,网元上为电力公司设置一个专用的,APN,接入点，从而在终端和电力企业内部网络之间构成一条无线虚拟专网（,VPN,）通道，满足电力企业提出的内部网络安全性及数据私密性的要求。,现状风险分析二、风险分析主站安全防护现状,现状,风险分析,二、风险分析,采集终端安全防护现状,目前使用的各种采集终端很少采取有效的安全防护措施。,电能表安全防护现状,普通电子式电能表没有采取安全防护措施。,预付费电能表中的逻辑加密卡安全防护等级较低，,CPU,卡使用,3DES,算法的安全模块，安全防护等级较高，逐步为多个网省电力公司采用。,现状风险分析二、风险分析,二、风险分析,现状,风险分析,窃听,篡改,身份伪造,窃 听,篡 改,通信主体,身份伪造,窃 听,篡改,通信主体,身份伪造,二、风险分析现状风险分析窃 听篡 改通信主体窃 听篡改通信主,目 录,三、安全防护方案,二、风险分析,一、电力用户用电信息采集系统简介,四、主要工作,目 录三、安全防护方案二、风险分析一、电力用户用电信息采集,三、安全防护方案,进一步规范用电信息采集系统安全防护工作，提高系统的总体安全防护能力。,保障电网安全稳定运行，确保业务数据安全可靠，提高用电服务质量。,实现国家电网公司营销业务应用系统安全防护水平的整体提升。,目的,技术措施,方案设计,方案实现,三、安全防护方案进一步规范用电信息采集系统安全防护工作，提高,目的,防护策略,方案设计,三、安全防护方案,方案实现,电力线,载波表,主站,发卡系统,无线专网,无线公网,光纤,用户卡,居民表,居民表,电力线载,波采集器,电力线载,波采集器,集中器,远传多功,能电表,集中器,小无线,采集器,IC,卡预付费表,主站管理系统,传输通道,终端系列,售电系统,加密机,主站服务器,前置机,用户卡,PSAM,加密机,用户卡,用户卡,ESAM,ESAM,ESAM,ESAM,ESAM,ESAM,ESAM,ESAM,ESAM,电力线,小无线电表,ESAM,ESAM,小无线网,主站管理系统,密钥管理系统,IC,卡预付费表,负控终端,485,线,485,线,485,线,目的防护策略方案设计三、安全防护方案方案实现电力线主站发卡系,三、安全防护方案,目的,技术措施,方案设计,方案实现,依据,电力二次系统安全防护技术方案,和,电力用户用电信息采集系统电能信息安全技术规范,，对系统的边界、网络、主机进行防护。,采用非对称密钥算法和对称密钥算法的混合密码系统，以确保主站和终端通信的安全性。,对称密钥算法主要用于通信数据的加解密。,非对称密钥算法主要用于身份鉴别、密钥协商、对称密钥的更新。,三、安全防护方案目的技术措施方案设计方案实现依据电力二次系,三、安全防护方案,目的,技术措施,方案设计,方案实现,密钥管理包括：密钥的产生、存储、分发、更新、备份,/,恢复、销毁等整个密钥生命周期的管理，支持在线和离线的管理。,对称密钥的管理采用三级密钥管理体系：国网级主密钥、网省级主密钥、地市级主密钥。密钥采用逐级离散的方式，以确保根密钥的安全性。,非对称密钥主要用于,CA,系统，,CA,采用双证书结构。非对称密钥包括签名密钥和加密密钥。,三、安全防护方案目的技术措施方案设计方案实现密钥管理包括：密,三、安全防护方案,在电力用户用电信息采集系统中，所有数据的加解密都采用硬件方式实现。,对称密钥算法采用国密算法（国密算法），非对称密钥算法采用或算法。,目的,技术措施,方案设计,方案实现,三、安全防护方案在电力用户用电信息采集系统中，所有数据的加解,三、安全防护方案,主站侧采用国家密码管理局认可的密码机设备实现数据加解密，密码机集成有对称密钥算法和非对称密钥算法。,专变采集终端和集中器采用国家密码管理局认可的硬件安全模块实现数据加解密。硬件安全模块同时集成有对称密钥算法和非对称密钥算法。,智能电能表内采用国家密码管理局认可的硬件安全模块实现数据加解密。智能电能表采用的硬件安全模块集成有对称密钥算法。本地费控电能表可以借助,CPU,卡实现密钥的更新。,目的,技术措施,方案设计,方案实现,三、安全防护方案主站侧采用国家密码管理局认可的密码机设备实现,目 录,三、安全防护方案,二、风险分析,一、电力用户用电信息采集系统简介,四、主要工作,目 录三、安全防护方案二、风险分析一、电力用户用电信息采集,四、主要工作,2007,年,1,月至,2008,年,1,月，按照国家电网公司科技项目,“,电能采集与运行管理系统研究与应用,”,的工作安排，中国电力科学研究院进行电力负荷管理系统加密认证装置的应用试点研究，包括与终端装置各种通讯模块的软硬件接口和控制模式。,试点测试,标准建设,产品研制,上海试点,四、主要工作 2007年1月至2008年1月，按照,四、主要工作,系统结构图,试点测试,标准建设,产品研制,系统结构,四、主要工作系统结构图试点测试标准建设产品研制系统结构,四、主要工作,模拟系统的组网方式为,1,比,8,。在松江安装,9600bps,基站电台及相关设备，使用一个独立的,230MHz,单工频率作为模拟系统的信道。在上海电力公司大楼内安装一套单机版主站模拟软件，主站计算机使用,USB,接口连接加密模块，使用串口服务器远程连接松江的,9600bps,基站电台。在松江安装了,8,台,9600bps,终端，终端加装专用通信加密模块所需的接口和固定件，使用,I2C,总线方式连接加密模块。模拟系统采用,Q/GDW130-2005,电力负荷管理系统数据传输规约,。,试点测试,标准建设,产品研制,系统概况,四、主要工作试点测试标准建设产品研制系统概况,四、主要工作,2007,年,11,月，由华东电力试验研究院对该系统的传输加密、加解密效率和安全功能进行测试。测试项目包括：,数据召测响应延时试验；,数据召测成功率试验；,抄表数据传输响应延时试验；,不同传输速度下的加密参数响应延时试验；,不同传输速度下加密前后的控制命令响应延时试验等；,安全功能测试。,试点测试,标准建设,产品研制,系统测试,四、主要工作试点测试标准建设产品研制系统测试,四、主要工作,系统能提供严密的身份验证、数据加解密、访问控制、权限划分等安全机制，可以确保系统和数据的安全性和完整性。,本项目研究成果可为国家电网公司电能信息采集与管理系统建设提供设计指导，也可以为电能信息采集与管理系统在数据的高效传输和系统的信息安全方面提供有效的解决方案，提高在运系统的可靠性、安全性，保障电网的稳定运行。,试点测试,标准建设,产品研制,测试结论,四、主要工作 系统能提供严密的身份验证、数据加解密、访,四、主要工作,2009,年,3,月,31,日，完成,电力用户用电信息采集系统安全防护体系建设方案,，提交国网公司营销部。,2009,年,7,月,15,日，国家电网公司企业标准,智能电能表信息交换安全认证规范,通过专家评审,即将发布。,2009,年,8,月,31,日，完成制定,电力用户用电信息采集系统电能信息安全防护技术规范,，已提交，即将进行评审。,试点测试,标准建设,产品研制,四、主要工作2009年3月31日，完成电力用户用电信息采集,四、主要工作,试点测试,标准建设,产品研制,CEPESAM,嵌入式安全芯片是中国电力科学研究院开发的安全认证芯片，它采用国密局批准的,SM1,算法,可以根据用户需要封装成,Plug-in,规格,SAM,卡或,DIP8,的芯片。,DIP8,封装的芯片可以作为一个安全存取单元，嵌入到符合智能电能表、终端产品或者其他专用或通用设备中，完成数据的加,/,解密、双向身份认证、访问权限控制、通信线路保护、临时密钥导出、数据文件存储等多种功能。,四、主要工作试点测试标准建设产品研制CEPESAM嵌入式,四、主要工作,试点测试,标准建设,产品研制,完成基于国密局批准的,SM1,算法的加密机研制。,四、主要工作试点测试标准建设产品研制完成基于国密局批准的SM,四、主要工作,试点测试,标准建设,产品研制,研制智能电能表国密,SM1,算法安全芯片开发套件。,四、主要工作试点测试标准建设产品研制研制智能电能表国密SM1,四、主要工作,试点测试,标准建设,产品研制,完成智能电表和智能用电终端安全防护检测台研制，具备检测条件。,四、主要工作试点测试标准建设产品研制完成智能电表和智能用电终,谢 谢！,电力用户用电信息采集系统安全防护技术方案课件,