0371-63319761
您的当前位置:主页 > 安全研究 > 安全研究 >

电力物联网安全无线组网方案研究及应用

时间:2021-12-08

引文信息
 
蔡勇超,赵振兴.电力物联网安全无线组网研究及应用[J].电力信息与通信技术,2021,19(11):65-70.
 
CAI Yongchao,ZHAO Zhenxin.Research and application of the safe wireless networking scheme of power Internet of Things[J].Electric Power Information and Communication Technology,2021,19(11):65-70.
 
01  研究背景
 
由于网络安全缘故,变电站内无线局域网的应用并未推广,阻碍变电站内各种电力物联网移动智能终端,如巡检机器人、智慧安监摄像头等新兴业务的接入。文章分析了几种常用无线组网方式的利弊,提出基于WAPI网络的无线局域网解决方案,采用集中管理和认证的模式,以提升业务通道安全性,解决了变电站“最后一公里”网络覆盖难题,为电力物联网网络层的规划建设提供参考。
 
02  主要创新点
 
1)基于WAPI的安全无线组网方案总体设计
 
通过在中心机房或网管中心统一部署无线控制器、认证服务器和网管系统,站端只部署无线接入点,业务通过WAPI无线局域网接入变电站综合数据网传输,实现对接入设备的集中管理、集中认证、集中监控。
 
 
图1 基于WAPI的安全无线组网方案总体设计
 
无线接入点AP通过网线和有源以太网(Power Over Ethernet,POE)交换机连接,采用POE模式对AP设备供电,减少电源线的布放。移动应用终端如巡检机器人、移动摄像头等通过互联网安全协议(Internet Protocol Security, IPSec)网关和AP互联,POE交换机将各AP接入点数据汇集后接入变电站综合数据网汇聚层交换机,再经过防火墙、三层交换机等网络设备连接到网管服务器。无线控制器、WAPI证书服务器等部署在网管机房,对每个变电站所有接入WAPI无线局域网的AP和应用终端进行集中统一管理。
 
2)WAPI鉴别过程安全策略
 
WAPI网络协议采用三元对等的安全架构,3个物理实体都有自己的独立身份,并通过数字证书进行身份验证。首先STA和AP之间通过非受控端口建立连接,STA发出接入鉴别请求,AP将鉴别请求转发给鉴别服务器(Authentication Server,AS),然后AS下发数字证书,AP和STA各自解析并安装数字证书,若证书验证通过,则加密通道开启,STA接入网络并通过密钥协商后开始数据通信。
 
STA的证书由用户从鉴别服务单元(Authentication Service Unit,ASU)获取或本地安装,AP的证书在入网前由网络管理员负责安装,AS被认为是可信任的“根”,能够确保颁发的证书是合法的,同时还负责数字证书的发布、销毁和纠错等管理工作,是网络安全运行的核心组件。此外,中间网络设备是指交换机、路由器、防火墙等传统网络传输设备,方便网络的后期扩展和接入。
 
 
图2 WAPI鉴别过程
 
03 解决的问题和意义
 
1)提出一种变电站安全无线组网的方法
 
为解决变电站全域物联网各类业务对无线通信的需求,有效支撑智能电网数字化转型升级,文章设计了基于无线局域网鉴别与保密基础结构(WLAN Authentication and Privacy Infrastructure,WAPI)的无线网络解决方案,运用国家认可并保护的密码算法,采用三元对等安全架构和数字证书进行身份认证,通过在中心机房统一部署无线控制器、认证服务器和网管系统,站端只安装无线接入点,业务通过WAPI无线局域网接入变电站综合数据网,实现对无线设备的集中管理、集中认证、集中控制、集中监视,保障各类接入业务的安全运行。
 
2)实施四个方面的安全管理策略
 
①身份认证管理。所有接入AP的移动终端STA都必须具备鉴别服务器颁发的数字证书,通过变电站综合数据网将STA认证信息、AP管理报文发送至AS和AC。
 
②访问控制策略。首先通过防火墙技术在网络边界、不同区域之间(变电站数据网交换机上联端口),根据具体业务访问控制策略设置相应访问控制规则,默认情况下必须关闭所有除通信外的受控端口。
 
③网络攻击防护。具备入侵检测功能,能够主动检测非授权无线接入设备AP和非授权移动终端STA的接入行为,当未通过认证用户试图访问网络时,临时将该访问用户的源物理地址加入阻塞地址列表中,在一段时间内该源物理地址为非法地址,不能和AP建立连接。
 
④网络安全审计。定期在无线控制器和认证服务器上进行安全审计,对象包括接入无线局域网的所有用户以及重要用户的行为、重要安全事件,审计内容涵盖事件的具体日期、用户身份、事件类型、事件是否成功等信息,并且对审计记录进行定期备份和严密保护,未经许可严禁删除、修改和覆盖。
 
3)对往后变电站无线网络建设提供参考
 
针对变电站智能化移动终端、电力物联网等新兴业务对泛在、安全、快速、灵活无线网络的接入需求,提出比WIFI技术安全等级更高、基于拥有国家自主知识产权的WAPI协议的无线局域网解决方案,采用三元对等双向身份鉴别模式,实现设备的集中管理、集中认证和集中监控,确保网络安全。巡检机器人业务的应用测试表明,该方案能够将视频业务等大容量数据通过“无线局域网+变电站综合数据网”的方式安全传输,形成了变电站站内无线通信技术的接入指引,有效解决变电站“最后一公里”网络覆盖难题,助力电力物联网建设。

原标题:广东电网有限责任公司佛山供电局 蔡勇超,赵振兴:电力物联网安全无线组网方案研究及应用

来源:电力信息与通信技术

Copyright © 2017-2020 冰球突破豪华版官网 版权所有 豫ICP备18011434号-1 豫公网安备 41019702002746号