电力控制指令执行检验方法及系统技术方案

本发明专利技术公开了一种电力控制指令执行检验方法及系统，采用CounTeR加密模式对电力控制指令报文进行分组加密，解决了目前主站与变电站之间控制指令所采用的ECB分组加密模式存在的通信安全隐患；改进IEC

【技术实现步骤摘要】
电力控制指令执行检验方法及系统


[0001]本专利技术涉及电力系统信息物理安全技术，特别是一种电力控制指令执行检验方法及系统。

技术介绍

[0002]随着电力企业数字化转型以及5G、云计算等技术在电力系统的大规模应用，电力企业内外网边界日益模糊，传统基于边界物理隔离的措施将不再成为保证电力企业信息安全的绝对壁垒。电力设备不应自动信任内部或外部的对象，应在授权前对任何试图控制电力设备的对象进行身份验证。因此，以身份为中心的零信任网络成为了电力系统安全认证机制发展的必然趋势。然而，目前电力控制指令传输采用ECB分组加密的方式进行指令加密，虽然具有快速、简单等优点，但是也存在着私密性差、易篡改、易出错、无法抵御重放攻击等不足。与此同时，主站与变电站通信规约多采用IEC104进行报文传输，纵向加密装置一定程度的保证了主站到变电站量测调度数据通道的安全，然而IEC104协议并不具备身份认证及安全保护机制。一旦恶意攻击者在控制指令传输的过程中对其进行篡改或者伪造调度指令发送给变电站，变电站在绝对信任的情况下执行篡改后或者伪造的控制指令，进而操控断路器等电力一次设备，改变电力系统实际运行拓扑结构，极有可能造成电力系统大规模级联故障的发生，严重影响电力系统安全稳定运行。
[0003]然而，目前并没有针对电力控制指令的通信安全问题提出有效的解决方法。考虑到电力控制指令的重要性以及在传输过程中潜在的安全风险，亟需一种电力控制指令执行检验方法及系统，降低变电站执行主站控制指令的安全风险。

技术实现思路

[0004]本专利技术所要解决的技术问题是，针对现有技术不足，提供一种电力控制指令执行检验方法及系统，提高控制指令在传输过程中的安全性。
[0005]为解决上述技术问题，本专利技术所采用的技术方案是：一种电力控制指令执行检验方法，包括以下步骤：
[0006]S1，改进现有IEC104通信协议，增加安全域报文字段，安全域包括发送时间戳、数字签名、主站随机数、变电站随机数、调度证书；
[0007]S2，根据S1中增加安全域后的主站连接报文和增加安全域后的变电站连接应答报文变电站与主站之间进行第一次身份验证；
[0008]S3，根据S2变电站与主站第一次身份验证情况，S1中增加安全域后的主站二次连接报文以及增加安全域后的变电站二次连接报文变电站与主站之间进行第二次身份验证；
[0009]S4，根据S3中变电站与主站的第二次身份验证情况以及S1中的增加安全域后的主站控制指令报文变电站进行主站控制指令检验；若满足指令校验，则执行该主站控制
指令，并返回变电站控制确认报文
[0010]本专利技术改进现有IEC
‑
104规约，增加安全域字段，解决了现有的IEC104通信协议无法进行有效安全认证的不足；采用CounTeR模式对电力控制指令报文进行分组加密，解决了目前主站与变电站之间控制指令所采用的ECB分组加密模式存在的通信安全隐患；构建主站与变电站之间的基于零信任网络的三阶段控制指令执行握手方法，持续对远方控制身份权限进行确认，杜绝非法用户的接入，保证通信双方身份的真实性及业务数据的可追溯性。
[0011]增加安全域后的主站连接报文的表达式如下：其中，m
zl，i
为原主站连接报文，T
zl，i
为主站连接报文的发送时间戳，sign
zl，i
为主站连接报文的主站数字签名，R
zl，i
为主站连接报文的主站随机数，i为主站与变电站电力控制指令编号，zl表示主站连接，
·
||
·
为字符连接。
[0012]本专利技术改进主站连接报文m
zl，i
，增加T
zl，i
、sign
zl，i
以及R
zl，i
，增加安全域后的主站连接报文解决了现有的主站连接报文m
zl，i
无法进行有效安全认证的不足。
[0013]增加安全域后的变电站连接应答报文的表达式如下：m
bl，i
为原变电站连接应答报文，T
bl，i
为变电站连接应答报文的发送时间戳，sign
bl，i
为变电站连接应答报文的变电站数字签名，R
bl，i
为变电站连接应答报文m
bl，i
的随机数，R
zl，i
为变电站接收主站连接报文的随机数，R
zl，i
为主站连接报文的主站随机数，bl为变电站连接。
[0014]本专利技术改进变电站连接应答报文m
bl，i
，增加T
bl，i
、sign
bl，i
、R
bl，i
以及R
zl，i
，增加安全域后的变电站连接应答报文解决了现有的变电站连接应答报文m
bl，i
无法进行有效安全认证的不足。
[0015]增加安全域后的主站二次连接报文的表达式如下：其中，m
zl2，i
为原主站二次连接报文，T
zl2，i
为主站二次连接报文的发送时间戳，sign
zl2，i
为主站二次连接报文的主站数字签名，DS
zk，i
为主站调度证书。
[0016]本专利技术改进主站二次连接报文m
zl2，i
，增加T
zl2，i
、sign
zl2，i
以及DS
zk，i
，增加安全域后的主站二次连接报文解决了主站二次连接报文m
zl2，i
无法进行有效安全认证的不足。
[0017]增加安全域后的变电站二次连接报文的表达式如下：其中，m
bl2，i
为原变电站二次连接应答报文，T
bl2，i
为变电站二次连接应答报文的发送时间戳，sign
bl2，i
为变电站二次连接应答报文的变电站数字签名。
[0018]本专利技术改进变电站二次连接报文m
bl2，i
，增加T
bl2，i
和sign
bl2，i
，增加安全域后的变电站二次连接报文解决了变电站二次连接报文m
bl2，i
无法进行有效安全认证的不足。
[0019]增加安全域后的主站控制指令报文的表达式如下：m
zk，i
为原主站控制指令报文，T
zk，i
为主站控制指令报文的发送时间戳，sign
zk，i
为主站控制指令报文的主站数字签名，R
zk，i
为主站控制指令报文的随机数，DS
zk，i
为主站调度证书。
[0020]本专利技术改进变电站主站控制指令报文m
zk，i
，增加T
zk，i
、sign
zk，i
、R
zk，i
和DS
本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种电力控制指令执行检验方法，其特征在于，包括以下步骤：S1，针对IEC104通信协议，增加安全域报文字段；所述安全域报文字段包括发送时间戳、数字签名、主站发送、变电站随机数、调度证书；S2，根据S1中增加安全域后的主站连接报文和增加安全域后的变电站连接应答报文变电站与主站之间进行第一次身份验证；S3，根据S2变电站与主站第一次身份验证情况，S1中增加安全域后的主站二次连接报文以及增加安全域后的变电站二次连接报文变电站与主站之间进行第二次身份验证；S4，根据S3中变电站与主站的第二次身份验证情况以及S1中的增加安全域后的主站控制指令报文变电站进行主站控制指令检验；若满足指令校验，则执行该主站控制指令，并返回变电站控制确认报文2.根据权利要求1所述的电力控制指令执行检验方法，其特征在于，增加安全域后的主站连接报文的表达式如下：其中，m
zl，i
为原主站连接报文，T
zl，i
为主站连接报文的发送时间戳，sign
zl，i
为主站连接报文的主站数字签名，R
zl，i
为主站连接报文的主站随机数，i为主站与变电站电力控制指令编号，zl表示主站连接，
·
||
·
为字符连接；优选地，增加安全域后的变电站连接应答报文的表达式如下：m
bl,i
为原变电站连接应答报文，T
bl，i
为变电站连接应答报文的发送时间戳，sign
bl,i
为变电站连接应答报文的变电站数字签名，R
bl,i
为变电站连接应答报文的随机数，R
zl，i
为变电站接收主站连接报文的随机数，bl为变电站连接。3.根据权利要求1所述的电力控制指令执行检验方法，其特征在于，增加安全域后的主站二次连接报文的表达式如下：其中，m
zl2，i
为原主站二次连接报文，T
zl2，i
为主站二次连接报文的发送时间戳，sign
zl2，i
为主站二次连接报文的主站数字签名，DS
zk，i
为主站调度证书。4.根据权利要求1所述的电力控制指令执行检验方法，其特征在于，增加安全域后的变电站二次连接报文的表达式如下：其中，m
bl2，i
为原变电站二次连接应答报文，T
bl2，i
为变电站二次连接应答报文的发送时间戳，sign
bl2，i
为变电站二次连接应答报文的变电站数字签名。5.根据权利要求1所述的电力控制指令执行检验方法，其特征在于，增加安全域后的主站控制指令报文的表达式如下：m
zk，i
为原主站控制指令报文，T
zk，i
为主站控制指令报文的发送时间戳，sign
zk,i
为主站控制指令报文的主站数字签名，R
zk，i
为主站控制指令报文的随机数，DS
zk，i
为主站调度证书。6.根据权利要求1所述的电力控制指令执行检验方法，其特征在于，变电站控制确认报
文的表达式如下：m
bz，i
为原变电站控制确认报文，T
bz，i
为变电站控制确认报文的发送时间戳，sign
bz，i
为变电站控制确认报文的变电站数字签名。7.根据权利要求1所述的电力控制指令执行检验方法，其特征在于，步骤S2的实现过程包括：步骤S21，主站根据主站连接报文长度，计算主站连接报文需要加密的段数n
zl，i
，具体计算公式如下：其中，BC
z
为主站连接报文长度，SMC为第一套加密算法可加密内容长度，为向上取整；步骤S22，主站根据所述主站连接报文需要加密的段数n
zl，i
以及主站报文计数器记录数据C
z
，利用公式计算分段计数器数值以及利用公式更新主站报文计数器记录数据C
z
为C
′
z
；h(n
zl，i
)＝n
zl，i
{h|h≤n
zl，i
，h∈N
+
}，N
+
为正整数；步骤S23，主站根据分段计数器数值对增加安全域后的主站连接报文进行分段异或计算，得到用于加密的报文中第n
zl，i
段加密报文具体计算公式如下：其中，为增加安全域后的主站连接报文的第n
zl，i
段报文；为字符异或计算；步骤S24，主站根据用于加密的报文使用第一套加密算法对其进行加密，得到加密后的主站连接报文具体计算公式如下：其中，f(
·
)为第一套加密算法的加密转换函数；步骤S25，变电站根据加密后的主站连接报文的字节大小，判断加密后的主站连接报文的分段数目n
zl，i
，并计算分段计数器数值更新主站报文计数器记录数据C
z
为C
z
′
；步骤S26，变电站根据分段数目n
zl，i
，使用第一套加密算法对加密后的主站连接报文进行解密，得到解密后的分段报文具体公式如下：其中，为解密后的主站连接报文中的第n
zl，i
段报文内容，f
j
为第一套加密算法的解密转换函数；步骤S27，变电站根据解密后的主站连接报文中的第n
zl，i
段报文内容以及分段加密器计数数值得到主站连接报文具体计算公式如下：其中，C1为解密后的主站连接报文中的第1段报文内容对应的分段加密器计数数值；
步骤S28，变电站根据加密后的主站连接报文判断报文的有效性，即当D
Tzl，i
&D
Rzl，i
&D
Szl，i
＝1时，变电站完成对主站身份验证，主站身份验证成功；否则，不满足有效性校验时，变电站拒绝执行该报文，主站身份验证失败；当|T
zl，i
‑
T
′
zl，i
|＜t
d
，D
Tzl，i
＝1；当时，D
Rzl，i
＝1；当sign
zl，i
∈Ω
sign，z
时，D
Szl，i
＝1；T
zl，i
为解密后的主站连接报文中的发送时间戳，T
′
zl，i
为变电站接收到主站连接报文的时间；为变电站数据库中所存储的主站随机数的集合；R
zl，i
为解密后的主站连接报文中的主站连接报文的随机数；Ω
sign，z
为变电站数据库中所存储的主站数字签名的集合；sign
zl，i
为主站连接报文中的主站数字签名；t
d
为系统预设的第1类时间间隔；步骤S29，当变电站完成对主站的身份验证，变电站根据原变电站连接应答报文m
bl,i
，变电站连接应答报文的发送时间戳T
bl，i
，变电站数字签名sign
bl,i
，随机数R
bl，i
，以及主站连接报文的随机数R
zl，i
，生成增加安全域后的变电站连接应答报文并对进行异或加密，将加密后的连接应答报文发送给主站。8.根据权利要求1所述的电力控制指令执行检验方法，其特征在于，步骤S3的实现过程包括：步骤S31，主站根据加密后的变电站连接应答报文解密得到变电站连接报应答文并进行有效性校验，即当D
Tbl，i
&D
Tbl，2，i
&D
Sbl，i
&D
Rzl，2，i
&D
Rbl，i
＝1时，变电站连接报应答文有效；主站根据变电站连接应答报文发送时间戳T
bl，i
以及主站接受变电站连接应答报文的时间T
′
bl，i
，当|T
bl，i
‑

【专利技术属性】
技术研发人员：刘绚，严康，田建伟，张波，
申请(专利权)人：湖南大学，
类型：发明
国别省市：