警變電站計算機處理;如果一致，則報文是由可信IED發出，接收端IED根據報文內容，執行跳閘、故障錄波、閉鎖解鎖等命令。
[0021]以下結合附圖，詳細介紹本發明的內容。
[0022]本發明提出的一種增強智能變電站IED安全性的方法，如圖1中所示，包括變電站站控計算機與IED之間的TLS通道、IED的數字簽名模塊和驗證數字簽名模塊;TLS通道包括TLS模塊，在IED端由TLS模塊完成TLS安全通道的建立和維護，TLS通道有“短連接”工作模式I和“長連接”工作模式2，其中，TLS通道的密碼套件配置為TLS_SM2_WITH_SM4_128_SM3。
[0023]“短連接”工作模式I中，智能變電站內的IED與站控計算機進行完整的TLS三次握手，其中，密鑰交換算法為256位的SM2算法，消息摘要算法為256位的SM3算法，對稱密鑰為128為的SM4算法，三次握手完成后，通信兩端根據協商好的安全參數進行數據傳輸，建立安全的TLS通道。
[0024]“長連接”工作模式2中，通信兩端不再進行新的密鑰協商過程，而是根據“短連接”中協商好的密鑰、TLS會話參數等，保持已經建立好的TLS連接。
[0025]“長連接”工作模式2根據智能變電站實際運行情況，定期進行密鑰更新，即切換至“短連接”工作模式I，通信雙方協商新的TLS安全參數進行數據傳輸。
[0026]“短連接”和“長連接”工作模式相互切換的結構，不僅大大增加了 IED與站控計算機之間數據傳輸的安全性，還根據智能變電站通信的特點，最大限度的保證了數據傳輸的實時性。
[0027]數字簽名模塊包括:SM3報文摘要計算單元Al、SM3報文摘要生成單元A2、SM2私鑰加密單元3、數字簽名生成單元4、擴展的G00SE/SMV報文生成單元5和傳輸單元A6，如圖2所不O
[0028]SM3報文摘要計算單元Al，采用SM3算法對源文件即G00SE/SMV報文進行消息摘要計算，在SM3報文摘要生成單元A2中生成128位的SM3消息摘要;SM2私鑰加密單元3使用發送端IED的SM2私鑰對SM3消息摘要進行加密，在數字簽名單元4中生成256位的密文即數字簽名；擴展的G00SE/SMV報文生成單元5將數字簽名作為擴展字段增加到G00SE/SMV報文的后端，生成新的擴展的G00SE/SMV報文，由傳輸單元A6發送給接收端IED。
[0029]數字簽名驗證模塊包括:傳輸單元B7、SM3摘要計算單元B8、報文摘要生成單元B9、SM2公鑰解密單元10、報文摘要生成單元Cll、比較單元12、執行單元13和告警單元14，如圖3所示。報文摘要生成單元B9中生成的報文摘要Ml和報文摘要生成單元Cl I中生成的報文摘要M2，在比較單元12中進行比較，根據比較結果，相同進入執行單元13，不同則進入告警單元14。
[0030]傳輸單元B7接收傳輸單元A6發送來的擴展的G00SE/SMV報文；
SM3報文摘要計算單元B8對接收到的G00SE/SMV報文不包括數字簽名部分，原始GOOSE/SMV報文采用SM3算法計算消息摘要，在報文摘要生成單元B9中得到256位的報文摘要Ml;同時，SM2公鑰解密單元10利用接收端IED的SM2公鑰，對數字簽名部分進解密，在報文摘要生成單元Cll中得到消息摘要M2;比較單元12中比較Ml和M2值是否相同，如果相同，則進入執行單元13，接收端IED執行G00SE/SMV報文中的相應命令，例如緊急跳閘、啟動故障錄波、啟動閉鎖解鎖等;如果不同，進入告警單元14，上報變電站站控計算機發現不可信的IED，請求站控值班員立即采取措施，同時IH)拋棄接收到的報文。
[0031]綜上，本發明將傳輸層安全協議TLS、數字簽名技術、國密算法、智能變電站IED相結合，把SM2、SM3和SM4算法運用到智能變電站通信場景中，還創新的在智能變電站站控計算機與IED之間設置了TLS安全通道，并提出“長連接”和“短連接”相互切換的工作模式，SP增強了通信安全性也保證了數據傳輸的實時性要求。本發明的增強智能變電站IED安全性的方法的實現對不斷提高我國智能變電站通信安全水平、保證國家利益以及我國自主密碼算法的推廣應用，具有廣泛的現實意義。
【主權項】
1.一種增強智能變電站IED安全性的裝置，IED包括發送端IED和接收端IED，其特征在于，包括TLS安全通道、數字簽名模塊和驗證數字簽名模塊，所述的TLS安全通道包括TLS模塊，利用所述TLS模塊建立所述TLS安全通道，所述發送端IED和接收端IED均通過所述TLS安全通道連接變電站站控計算機;所述發送端IED通過所述數字簽名模塊對GOOSE/SMV報文計算消息摘要，將所述消息摘要加密后作為擴展字段增加到GOOSE/SMV報文的后端，得到擴展的GOOSE/SMV報文;接收端IED收到擴展的GOOSE/SMV報文后，所述驗證數字簽名模塊將所述擴展的GOOSE/SMV報文分為原始GOOSE/SMV報文和數字簽名，利用原始GOOSE/SMV報文和數字簽名分別計算得到報文摘要Ml和報文摘要M2，比較報文摘要Ml和報文摘要M2，如果不一致則為不安全的IED發送來的報文，拋棄這段報文并告警變電站站控計算機處理;如果一致則報文是由可信IED發出，接收端IED根據報文內容執行報文命令。2.如權利要求1所述的增強智能變電站IED安全性的裝置，其特征在于，所述數字簽名模塊包括SM3報文摘要計算單元A( I)、SM3報文摘要生成單元A( 2)、SM2私鑰加密單元(3 )、數字簽名生成單元(4)、擴展的G0DSE/SMV報文生成單元(5)和傳輸單元A(6)，所述SM3算法對GOOSE/SMV報文進行消息摘要計算，所述SM3報文摘要生成單元A用于生成128位的SM3消息摘要，所述SM2私鑰加密單元使用發送端IED的SM2私鑰對所述SM3消息摘要進行加密，所述數字簽名生成單元中生成數字簽名，所述擴展的GOOSE/SMV報文生成單元將數字簽名作為擴展字段增加到GOOSE/SMV報文的后端，得到擴展的GOOSE/SMV報文，所述傳輸單元A將所述擴展的GOOSE/SMV報文發送給接收端IED。3.如權利要求1所述的增強智能變電站IED安全性的裝置，其特征在于，所述數字簽名驗證模塊包括傳輸單元B(7)、SM3報文摘要計算單元B(8)、報文摘要生成單元B(9)、SM2公鑰解密單元(10)、報文摘要生成單元C(ll)、比較單元(12)、執行單元(13)和告警單元(14)，所述傳輸單元B(7)接收所述傳輸單元A(6)發送來的所述擴展的GOOSE/SMV報文，并將所述擴展的GOOSE/SMV報文分為原始GOOSE/SMV報文和數字簽名，所述SM3報文摘要計算單元B(8)對接收到的原始GOOSE/SMV報文采用SM3算法計算消息摘要，所述報文摘要生成單元B(9)利用消息摘要得到256位的報文摘要Ml;所述SM2公鑰解密單元(10)利用接收端IED的SM2公鑰，對數字簽名進行解密，得到解密信息，所述報文摘要生成單元C(Il)利用解密信息生成報文摘要M2，所述比較單元(12)用于對報文摘要Ml和報文摘要M2進行比較，如果報文摘要Ml和報文摘要M2相同，則進入執行單元(13)，接收端IED執行GOOSE/SMV報文中的相應命令；如果報文摘要Ml和報文摘要M2不相同，則進入告警單元(14)。4.如權利要求1所述的增強智能變電站IED安全性的裝置，其特征在于，所述TLS安全通道包括長連接工作模式和短連接工作模式，其中，所述短連接工作模式為KD和變電站站控計算機之間定期更新并交換密鑰，進行一次完整的TLS握手認證過程;所述長連接工作模式為根據協商好的密鑰和TLS會話參數保持已經建立好的TLS連接。
【專利摘要】本發明公開了一種增強智能變電站IED安全性的裝置，IED包括發送端IED和接收端IED，包括TLS安全通道、數字簽名模塊和驗證數字簽名模塊。本發明的增強智能變電站IED安全性的裝置大大改善了目前智能變電站內存在的嚴重的信息安全問題。本發明所述的增強智能變電站IED安全性的裝置的實現對不斷提高我國智能變電站通信安全水平、保證國家利益以及我國自主密碼算法的推廣應用，具有廣泛的現實意義。
【IPC分類】H04L29/06, H02J13/00, H04L9/08
【公開號】CN105656623
【申請號】
【發明人】謝吉華, 嚴童, 溫立超, 駱釗
【申請人】東南大學
【公開日】2016年6月8日
【申請日】2016年1月22日