基于无证书加密的分布式光伏并网轻量化准入方法和系统与流程

本发明属于配电网络安全防护，涉及基于无证书加密的分布式光伏并网轻量化准入方法和系统。

背景技术：

1、近年来，因遭受网络攻击大面积停电的事件时有发生，电力等关键信息基础设施已成为网络攻击的重要目标。随着新型电力系统加速推进，新能源发展呈现出集中式与分布式并举的态势，不同投资主体的光伏等社会资产设备接入电力系统，分布式光伏终端出现爆炸式增长和海量接入。分布式光伏等设备的厂商繁多，安全防护水平参差不齐，且往往直接暴露在户外，受电网控制程度较低，在缺少有效的安全认证及监测感知手段的情况下接入电网边缘物联设备，极有可能发生伪造设备接入攻击业务主站的事件，严重可导致控制指令被篡改等安全事件。因此，当前分布式光伏并网安全防护存在以下技术需求：

2、(1)当前电力系统针对分布式光伏并网的终端设备，主要采用modbus传输协议，在终端本体及通信协议上均未考虑网络安全防护措施，缺少身份认证和数据加密等防护措施的情况下，电力系统存在遭受身份欺骗、中间人攻击等网络安全风险；

3、(2)电力系统当前针对终端准入依赖于基于国密算法的加密芯片，如考虑分布式光伏的终端设备投资成本等方面的因素，电力系统高侵入式的安全防护措施难以实施应用于分布式光伏终端；

4、(3)如借助于证书进行公钥和身份的绑定的方式，将存在复杂的密钥协商过程，需要消耗大量的计算资源和存储空间，考虑分布式光伏终端设备的软硬件资源，难以承载密钥协商及数据加密等计算资源的消耗。

5、综上所述，随着分布式光伏规模化开发，海量终端设备的接入使电力系统边界模糊、攻击暴露面增多。此外电力系统高侵入的认证方法难以在社会资产中推广应用，海量终端缺少安全防护措施直接并网，可能成为攻击跳板直接影响电网安全稳定运行。

技术实现思路

1、为解决现有技术中存在的不足，本发明提供基于无证书加密的分布式光伏并网轻量化准入方法和系统，保证海量分布式光伏终端的安全接入，并实现调控指令和采集数据的可靠传输。

2、本发明采用如下的技术方案。

3、基于无证书加密的分布式光伏并网轻量化准入方法，采用电力系统现场作业手持终端进行密钥管理和分发，实现分布式光伏数据采集器与电力系统边侧融合终端的身份认证和数据加密传输，所述方法包括以下步骤：

4、步骤1、手持终端与融合终端建立通信连接，并依托加密芯片的内置密钥完成双向身份认证；

5、步骤2、手持终端向融合终端分发基于国密算法无证书密钥；

6、步骤3、手持终端与分布式光伏数据采集器建立通信连接，并完成分布式光伏数据采集器的基于国密算法无证书密钥分发；

7、步骤4、在步骤2和步骤3基础上进行光伏数据采集器与融合终端的身份认证和数据加密传输，实现分布式光伏并网轻量化准入。

8、优选地，手持终端与融合终端、分布式光伏数据均采用蓝牙通信的方式连接。

9、优选地，步骤1中，手持终端和融合终端设备内均置有加密芯片，加密芯片存储有电力系统统一密码服务平台分发的密钥，手持终端和融合终端依托设备内置的加密芯片进行身份认证，两者完成双向身份认证，验证通过后，会话有效时长2min，超时后认证失效。

10、优选地，步骤1具体包括：

11、步骤11、手持终端取掌机序列号作hash，对hash的数据进行签名，通过蓝牙通信的方式将签名数据、序列号、证书发送至融合终端；

12、步骤12、融合终端采用根证书验证手持终端发来的证书，从证书中提取公钥，验证签名，然后取自身序列号作hash签名，将签名数据、序列号、证书以及验证的结果发送至手持终端；

13、步骤13、手持终端采用根证书验证融合终端发送来的证书，从证书中提取公钥，验证签名。

14、优选地，步骤2具体包括：

15、步骤21、融合终端将身份验证结果和私钥生成触发报文发送给手持终端；

16、步骤22、手持终端调用国密算法接口，生成私钥申请报文发送给融合终端；

17、步骤23、融合终端调用国密算法接口，生成私钥下发报文发送给手持终端；

18、步骤24、手持终端调用国密算法接口，更新密钥，并将更新结果反馈至融合终端。

19、优选地，步骤3具体包括：

20、步骤31、手持终端与光伏数据采集器建立连接；

21、步骤32、光伏数据采集器把私钥生成触发报文发送给手持终端；

22、步骤33、手持终端调用国密算法接口，生成私钥申请报文发送给光伏数据采集器；

23、步骤34、光伏数据采集器调用国密算法接口，生成私钥下发报文发送给手持终端；

24、步骤35、手持终端调用国密算法接口，更新密钥，并将更新结果反馈至光伏数据采集器。

25、优选地，所述接口为国密算法kgc接口。

26、优选地，步骤4中，基于扩展的dl/t 698.45-2017协议进行光伏数据采集器与融合终端的身份认证和数据加密传输。

27、优选地，步骤4具体包括：

28、步骤41、融合终端获取待下装密钥设备的id及密钥版本；

29、步骤42、光伏数据采集器调用加密算法库提供的接口，获取密钥状态，即算法库状态，获取设备id，并响应给融合终端；

30、步骤43、融合终端根据返回的算法库状态，确认是否下一步操作，密钥分发完毕时，进入下一步；

31、步骤44、融合终端与光伏数据采集器开始身份认证，融合终端调用算法库接口，获取融合终端计算参数；

32、步骤44、光伏数据采集器调用算法库接口，获取采集器计算参数；

33、步骤45、融合终端调用算法库接口，获取密文1，将密文1+tid发送给光伏数据采集器；

34、其中，密文1包括m1和s1，m1通过融合终端的id对随机数rn1加密得到，s1通过采集器私钥ds2对m1进行签名得到；

35、步骤46、光伏数据采集器调用算法库接口，对密文1进行解密，解密失败，回复认证失败；解密成功，则调用算法库接口，获取密文2，并返回给融合终端；

36、其中，解密成功是指采用融合终端私钥ds1对m1解密，获得rn1；

37、密文2包括m2和s2，其中，m2通过采集器的id对随机数rn2加密得到，s2通过融合终端私钥ds1对m2进行签名得到；

38、步骤47、融合终端调用算法库接口，对密文2进行解密，得到rn2。

39、基于无证书加密的分布式光伏并网轻量化准入系统，包括：

40、手持终端与融合终端身份认证模块，用于手持终端与融合终端建立通信连接，并依托加密芯片的内置密钥完成双向身份认证；

41、融合终端密钥分发模块，用于手持终端向融合终端分发基于国密算法无证书密钥；

42、数据采集器密钥分发模块，用于手持终端与分布式光伏数据采集器建立通信连接，并完成分布式光伏数据采集器的密钥分发；

43、光伏数据采集器与融合终端身份认证与数据传输模块，用于进行光伏数据采集器与融合终端的身份认证和数据加密传输，实现分布式光伏并网轻量化准入。

44、一种终端，包括处理器及存储介质；所述存储介质用于存储指令；

45、所述处理器用于根据所述指令进行操作以执行所述方法的步骤。

46、计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现所述方法的步骤。

47、本发明的有益效果在于，与现有技术相比：

48、本发明从分布式光伏并网接受电力系统调控指令的安全需求出发，在保证低成本、低侵入、高可靠的前提下进行基于国密算法无证书密码认证，扩展已有的dl/t 698.45-2017协议，实现电力系统融合终端等边缘设备与分布式光伏采集终端的身份认证与加密传输(本发明不涉及加密传输，可以写身份认证、密钥交换、签名验签)，从而保证电力系统调控指令、采集数据不遭受篡改，为分布式光伏规模化建设提供安全防护技术保障，实现终端轻量化准入的分级认证安全防护。

49、(1)本发明结合分布式光伏业务特点，提出分级认证理念，基于“云、管、边、端”的业务体系，云-边认证仍然沿用电力系统的统一密码服务平台发放数字证书，并依托加密芯片存储，实现双向身份认证；边-端认证考虑到端设备计算资源不足、通信环境不稳定、存储空间有限等问题，提出基于软加密实现轻量化的边端身份认证方法，通过国密算法的无证书软加密，实现分布式光伏采集终端与电力系统边侧设备的身份认证和数据加密传输，可直接使用用户标识和设备参数计算用户公钥，在进行签名验签前，用户之间无需交换公钥证书且密钥量很小，极大降低了系统密钥管理负担，保证了分布式光伏并网安全防护的低成本、低侵入和高可靠；

50、(2)本发明充分考虑具体实施难度，兼容现有操作习惯，提出了利用电力系统现场手持终端分发密钥的方法，选取手持终端选取手持终端为密钥生成中心kgc(keygeneration center)，用来生成部分私钥和用户秘密值的组合，不借助证书来进行公钥和身份的绑定，同时也不完全依靠kgc产生用户私钥，实现无证书密码体系下的密钥管理和分发，手持终端与融合终端及采集器之间采用蓝牙通信，属于近场低风险通信场景，实现改造成本低，实施难度低的目标。

51、(3)本发明的轻量化准入方法的提出，手持终端与电力系统边侧设备依托设备原有基于pki体系的非对称算法密钥实现两者的身份认证；在身份认证成功的基础上，由手持终端向边侧设备发放无证书的密钥，融合终端等边缘设备等具备与分布式光伏采集终端进行认证的密钥。手持终端与分布式光伏采集终端通过蓝牙建立通信，并向光伏采集终端发放无证书密钥，光伏采集终端具备与电力系统边侧设备进行认证的密钥，改善了当前分布式光伏终端网络安全防护缺失的现状，将安全认证覆盖到了电网云、管、边、端整个业务场景，同样可以延伸应用于物联网等业务体系。