CN109344639A - 一种配网自动化双重防护安全芯片、数据传输方法及设备 - Google Patents

Abstract

本发明公开了一种配网自动化双重防护安全芯片，包括接口交互模块、加密认证模块、IPSec模块以及以太网驱动模块；当接口交互模块判断终端主控芯片发送的目标数据为应用层数据时，可以利用加密认证模块对应用层数据进行加密；当接口交互模块判断终端主控芯片发送的目标数据为网络层数据时，通过IPSec模块对网络层数据进行加密；最后通过与IPSec模块连接的以太网驱动模块将加密后的网络层数据发送至通信设备。因此，该系统，不仅可利用加密认证模块对应用层数据进行加密处理，也可利用IPSec模块对网络层数据进行加密处理，进而提高了配网自动化系统的安全性。另外，本发明还公开了一种数据传输方法及设备，效果如上。

Description

一种配网自动化双重防护安全芯片、数据传输方法及设备

技术领域

本发明涉及数据传输安全领域，特别涉及一种配网自动化双重防护安全芯片、数据传输方法及设备。

背景技术

随着配网自动化系统的日益发展，配网业务的自动化水平不断提高，涉及配网自动化系统的网络攻击也逐渐呈指数级增长，面对配网自动化安全防护日益严重的形势，如何在配电终端装置设计低成本、高可靠以及易使用的安全防护措施，成为配网自动化系统是否能稳定可靠运行的关键所在。

配电终端装置目前使用的安全防护措施主要有三种方式，一是通过纯软件方式实现加密；二是通过外挂纵向加密认证装置实现纵向安全防护；三是通过内置安全芯片完成加密认证功能。其中，纯软件加密方式存在管理困难、安全性低、处理性能差等问题，而外挂纵向加密认证装置的方式则存在设备成本较高、体积较大、不能防范物理攻击等问题，所以配电终端装置通过内置安全芯片实现纵向安全防护逐渐成为技术发展的主流。

但是，目前配电终端装置使用的安全芯片均为功能单一的加密芯片，仅能完成数据加解密及签名验证等工作，不能实现网络层链路安全防护功能，在日益严峻的安全风险情况下，单一层面的安全防护措施不足以保证配网自动化系统的安全。

由此可见，如何提高配网自动化系统的安全性是本领域技术人员亟待解决的问题。

发明内容

本申请实施例提供了一种配网自动化双重防护安全芯片、数据传输方法及设备，解决了现有技术中如何提高配网自动化系统的安全性问题。

为解决上述技术问题，本发明提供了一种配网自动化双重防护安全芯片，包括：

接口交互模块、加密认证模块、IPSec模块以及以太网驱动模块；

所述加密认证模块与所述接口交互模块连接，所述接口交互模块与终端主控芯片连接，用于当所述接口交互模块判断所述终端主控芯片发送的目标数据为应用层数据时，对所述应用层数据进行加密；

所述IPSec模块与所述接口交互模块连接，用于当所述接口交互模块判断所述目标数据为网络层数据时，对所述网络层数据进行加密；

所述以太网驱动模块与所述IPSec模块连接，用于将加密后的所述网络层数据发送至通信设备。

优选地，所述接口交互模块与所述终端主控芯片之间具体通过SPI接口协议进行连接。

优选地，所述通信设备具体为光网络单元或无线4G模块。

为解决上述技术问题，本发明还提供了一种与配网自动化双重防护安全芯片对应的数据传输方法，基于上述任意一种配网自动化双重防护安全芯片，包括：

通过接口交互模块接收终端主控芯片发送的目标数据，并确定所述目标数据的类型；

当所述目标数据为应用层数据时，通过加密认证模块对所述应用层数据进行加密处理；当所述目标数据为网络层数据时，通过IPSec模块对所述网络层数据进行加密处理；

通过以太网驱动模块将加密处理后的所述网络数据发送至通信设备。

优选地，所述当所述目标数据为应用层数据时，通过加密认证模块对所述应用层数据进行加密处理具体为：

通过SM1、SM2、SM3、SM4及SM9国密算法对所述应用层数据进行加密处理。

优选地，所述当所述目标数据为网络层数据时，通过IPSec模块对所述网络层数据进行加密处理具体为：

对所述网络层数据进行TCP/IP协议封装处理；

通过所述IPSec模块对所述TCP/IP协议封装处理后的所述网络数据进行加密处理。

优选地，所述通过所述IPSec模块对所述TCP/IP协议封装处理后的所述网络数据进行加密处理具体为：

依据国密标准对所述网络层数据进行加密处理。

为解决上述技术问题，本发明还提供了一种与数据传输方法对应的数据传输设备，包括：

存储器，所述存储器用于存储所述计算机程序；

处理器，所述处理器用于执行所述计算机程序以实现上述任意一种数据传输方法的步骤。

相比于现有技术，本发明所提供的一种配网自动化双重防护安全芯片，包括接口交互模块、加密认证模块、IPSec模块以及以太网驱动模块；当接口交互模块判断终端主控芯片发送的目标数据为应用层数据时，可以利用加密认证模块对应用层数据进行加密；当接口交互模块判断终端主控芯片发送的目标数据为网络层数据时，通过IPSec模块对网络层数据进行加密；最后通过与IPSec模块连接的以太网驱动模块将加密后的网络层数据发送至通信设备。由此可见，应用本安全芯片，不仅可以利用加密认证模块对应用层数据进行加密处理，也可以利用IPSec模块对网络层数据进行加密处理，可以对多种类型的数据进行加密处理，实现数据在网络层上传输时的安全防护，与传统的只能对应用层数据进行加密的安全芯片相比，提高了配网自动化系统的安全性。另外，本发明还提供了一种数据传输方法及设备，效果如上。

附图说明

图1为本发明实施例所提供的一种配网自动化双重防护安全芯片结构示意图；

图2为本发明实施例所提供的一种配网自动化系统结构示意图；

图3为本发明实施例所提供的一种数据传输方法流程图；

图4为本发明实施例所提供的一种数据传输设备组成示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其它实施例，都属于本发明保护的范围。

本发明的核心是提供一种配网自动化双重防护安全芯片、数据传输方法及设备，可以解决现有技术中如何提高配网自动化系统的安全性问题。

为了使本技术领域的人员更好地理解本发明的方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。

图1为本发明实施例所提供的一种配网自动化双重防护安全芯片结构示意图，如图1所示，该芯片包括：

接口交互模块101、加密认证模块102、以太网驱动模块103以及IPSec模块104；加密认证模块102与接口交互模块101连接，接口交互模块101与终端主控芯片连接，用于当接口交互模块101判断终端主控芯片发送的目标数据为应用层数据时，对应用层数据进行加密；IPSec模块104与接口交互模块101连接，用于当接口交互模块101判断目标数据为网络层数据时，对网络层数据进行加密，在实际应用时，在利用IPSec模块104对网络层数据进行加密时，需要先通过协议栈对网络层的数据进行协议封装，然后将协议封装后的网络数据发送至IPSec模块104进行加密处理，IPSec模块104对数据加密的具体过程可参见现有技术；以太网驱动模块103与IPSec模块104连接，用于将网络层数据发送至通信设备。

本申请实施例中的安全芯片部署于配电终端装置内部，与配电终端装置中的终端主控芯片相连。接口交互模块101主要实现安全芯片与终端主控芯片间的接口交互工作，采用SPI口或串口，满足配网自动化业务数据交互的通信能力需求。加密认证模块102主要是在配电终端装置与配电自动化主站之间进行身份认证，以及对重要的数据如遥控信息进行加解密工作。加密认证模块102采用的算法主要有SM1、SM2、SM3、SM4及SM9等国密算法。该模块实现了单一功能安全芯片的数据加解密及签名验证等工作。协议栈通常采用操作系统自带的协议栈或第三方开源协议栈，考虑到配网自动化双重防护安全芯片在资源和功耗方面都有严格的限制，所以选用轻量级的操作系统，未包含TCP/IP协议栈，需移植第三方开源协议栈软件，如LWIP协议栈模块等，可提供完整的TCP/UDP/IP等协议支撑，形成标准IP数据包。IPSec模块104主要分为两个子模块，一是IKE密钥交换子模块；二是ESP加密认证子模块。IKE密钥交换子模块用于动态建立安全联盟，主要规定了密钥交换阶段、模式以及消息格式。密钥交换分为两个阶段，第一阶段使用主模式，建立IKE SA；第二阶段使用快速模式，建立IPSec SA。该子模块的主要工作是在安全芯片中开发符合国密标准的IPSec IKE密钥交换协议，完成多种类型ISAKMP载荷的交互，实现SM2椭圆曲线或SM9密码算法、安全联盟的动态增删以及NAT穿越等功能。ESP加密认证子模块既支持加密也支持认证。根据国密标准，ESP加密认证子模块主要实现SM1和SM4分组密码算法、SM3密码杂凑算法，并通过开发ESP隧道模式实现对整个IP数据包的加密和认证。以太网驱动模块103主要实现安全芯片与通信设备间的以太网接口交互功能，该模块需提供高速的以太网数据传输能力，以满足配网自动化业务高速传输的需求。该模块主要包括协议栈接口处理以及以太网底层驱动两部分。

本申请实施例可以实现对数据的双重安全防护，既可以对不同类型的数据进行安全加密处理，又可以提高网络数据传输的安全性。

为了使本领域技术人员更好地理解本方案，下面结合附图对本申请实施例中的方案进行进一步说明，图2为本发明实施例所提供的一种配网自动化系统结构示意图，如图2所示，配网自动化系统主要包括配电自动化主站200、配电加密认证网关201、通信设备202以及配电终端装置203。配电终端装置203通过以太网与通信设备202连接，继而通过公共网络/专用网络与配电加密认证网关201和配网自动化主站200进行信息交互。配电终端装置203与配电加密认证网关201之间使用IPSec协议实现网络层安全防护，通过安全的管理连接协商建立安全的数据连接，按照协商结果对传输数据进行加解密、签名验证及摘要计算，确保配电终端装置203与配电加密认证网关201在公用网络或专用网络上进行保密而安全的通信。配电自动化主站200使用配电加密认证网关201与配电终端装置203进行身份认证和业务密文交互操作，操作对IEC 101/104的通信规约进行安全扩展，实现对配网自动化业务的安全防护。在实际应用中，通信设备202在配电加密认证网关201侧和配电终端装置203侧各有一个。一个通信模块202与配电加密认证网关201相连，另一个通信模块202与配电终端装置203相连。

本发明所提供的一种配网自动化双重防护安全芯片，包括接口交互模块、加密认证模块、IPSec模块以及以太网驱动模块；当接口交互模块判断终端主控芯片发送的目标数据为应用层数据时，可以利用加密认证模块对应用层数据进行加密；当接口交互模块判断终端主控芯片发送的目标数据为网络层数据时，通过IPSec模块对网络层数据进行加密；最后通过与IPSec模块连接的以太网驱动模块将加密后的网络层数据发送至通信设备。由此可见，应用本安全芯片，不仅可以利用加密认证模块对应用层数据进行加密处理，也可以利用IPSec模块对网络层数据进行加密处理，可以对多种类型的数据进行加密处理，实现数据在网络层上传输时的安全防护，与传统的只能对应用层数据进行加密的安全芯片相比，提高了配网自动化系统的安全性。

考虑到数据传输速度，在上述实施例的基础上，作为优选地实施方式，接口交互模块101与终端主控芯片之间具体通过SPI接口协议进行连接。当然，接口交互模块101与终端主控芯片之间的连接方式并不限于本申请实施例中的方式，还可以采用其它符合要求的协议接口连接，本发明并不作限定。

考虑到通信设备202的硬件成本以及使用便捷性，在上述实施例的基础上，作为优选地实施方式，通信设备202具体为光网络单元或无线4G模块。当然，选用光网络单元或无线4G模块作为通信设备202，只是一种优选地方式，并不代表只有这一种方式。

上文中对于一种配网自动化双重防护安全芯片的实施例进行了详细描述，基于上述实施例描述的一种配网自动化双重防护安全芯片，本发明实施例还提供了一种与该配网自动化双重防护安全芯片对应的数据传输方法。由于方法部分的实施例与配网自动化双重防护安全芯片部分的实施例相互对应，因此方法部分的实施例请参照配网自动化双重防护安全芯片部分的实施例描述，这里不再赘述。图3为本发明实施例所提供的一种数据传输方法流程图，如图3所示，基于上述任意一个实施例所提供的配网自动化双重防护安全芯片，该方法包括以下步骤：

S301：通过接口交互模块接收终端主控芯片发送的目标数据，并确定目标数据的类型。

具体就是通过安全芯片中的接口交互模块接收终端主控芯片发送的目标数据，并判断目标数据是属于什么类型的。具体可通过终端主控芯片发送的数据包头确定接收到的目标数据的类型，详细过程可参见现有技术。

S302：当目标数据为应用层数据时，通过加密认证模块对应用层数据进行加密处理；当目标数据为网络层数据时，通过IPSec模块对网络层数据进行加密处理。

具体就是当安全芯片中的接口交互模块判断接收到的目标数据为应用层数据时，首先利用安全芯片中的应用层数据加密认证模块进行加密处理，然后将加密处理后的应用层数据通过安全芯片中的接口交互模块发送至终端主控芯片以形成网络层数据，再次返回至接口交互模块，具体就是终端主控芯片对加密处理后的应用层数据形成通信规约报文，并设置有标志位以便接口交互模块对再次接收的数据的类型进行判断。当接口交互模块再次接收到数据(网络层数据)时，通过TCP/IP协议栈模块对数据进行协议封装处理，然后利用安全芯片中IPSec模块进行加密处理，实现数据在网络层的安全传输。

S303：通过以太网驱动模块将加密处理后的网络数据发送至通信设备。

当对不同类型的目标数据进行加密处理后，可以通过安全芯片上以太网驱动模块的以太网接口将其发送至通信装置，进而实现终端主控芯片与通信装置之间的数据传输安全性。

为了使本领域技术人员更好地理解本方案，下面对本申请实施例中不同类型数据处理的过程进行详细说明，以配电终端装置向配电自动化主站发送数据为例，具体步骤如下：

第一步，终端主控芯片通过SPI或串口发送明文数据给安全芯片的接口交互模块。

第二步，接口交互模块接收数据后，根据数据类型确定是应用层数据加密还是网络层数据加密，根据流程应首先处理应用层数据加密，所以将明文数据传递给应用层数据加密认证模块。

第三步，应用层数据加密认证模块根据数据类型做相应的加密、签名及摘要计算等处理，将处理后的密文数据返回给接口交互模块。

第四步，接口交互模块将应用层密文数据返回给终端主控芯片。

第五步，终端主控芯片形成通信规约报文，通过SPI或串口再次发送至安全芯片的接口交互模块。

第六步，此时接口交互模块根据形成的通信规约报文判断数据类型是网络层数据，则对通信规约报文进行TCP/IP封装。

第七步，将TCP/IP封装后的IP数据传递给IPSec模块。

第八步，IPSec模块根据国密标准《GM0022-2014IPsec VPN技术规范》的约定，首先通过IKE密钥协商，完成通信链路加密密钥的协商，然后通过ESP隧道模式，完成对IPSecVPN的数据封装，即完成加密处理。IPSec VPN是符合国密IPSec标准协议的，除使用国密标准外，还可采用符合国际标准的IPSec协议，国际标准符合RFC 2401-RFC 2412等一系列的IPSec协议簇，然后将数据传递给以太网驱动模块，以太网驱动模块形成以太网帧，通过以太网口将数据传递给通信设备。当配电终端装置接收到配电自动化主站发来的数据时，其数据传输及处理过程为上述过程的逆过程，在此不再赘述。

本发明所提供的一种数据传输数据传输方法，当接口交互模块判断终端主控芯片发送的目标数据为应用层数据时，可以利用加密认证模块对应用层数据进行加密；当接口交互模块判断终端主控芯片发送的目标数据为网络层数据时，通过IPSec模块对协网络层数据进行加密；最后通过与IPSec模块连接的以太网驱动模块将加密后的网络层数据发送至通信设备。由此可见，应用本方法，不仅可以利用加密认证模块对应用层数据进行加密处理，也可以利用IPSec模块对网络层数据进行加密处理，可以对多种类型的数据进行加密处理，实现数据在网络层上传输时的安全防护，与传统的只能对应用层数据进行加密的安全芯片相比，提高了配网自动化系统的安全性。

为了提高数据传输的安全性，作在上述实施例的基础上，作为优选地实施方式，当目标数据为应用层数据时，通过加密认证模块对应用层数据进行加密处理具体为：

通过SM1、SM2、SM3、SM4及SM9国密算法对应用层数据进行加密处理。具体就是采用国密算法对应用层数据进行加密。当然，在实际应用中，还可采用符合国际标准的加密算法，例如DES、3DES、RSA、MD5以及SHA1等加密或摘要算法等。

在实际应用中，考虑到配电系统数据的通信协议特殊性，在上述实施例的基础上，作为优选地实施方式，当目标数据为网络层数据时，通过IPSec模块对网络层数据进行加密处理具体为：

对网络层数据进行TCP/IP协议封装处理；

通过IPSec模块对TCP/IP协议封装处理后的网络数据进行加密处理。为了进一步提高网络层数据的传输安全性，作为优选地实施方式，通过IPSec模块对TCP/IP协议封装处理后的网络数据进行加密处理具体为：依据国密标准对网络层数据进行加密处理。

上文中对于一种数据传输方法的实施例进行了详细描述，基于上述实施例描述的一种数据传输方法，本发明实施例还提供了一种与该方法对应的数据传输设备。由于设备部分的实施例与方法部分的实施例相互对应，因此设备部分的实施例请参照方法部分的实施例描述，这里不再赘述。

图4为本发明实施例所提供的一种数据传输设备组成示意图，如图4所示，该设备包括存储器401以及处理器402。

存储器401，存储器用于存储计算机程序；

处理器402，处理器用于执行计算机程序以实现上述任意一个实施例所提供的数据传输方法的步骤。

本发明所提供的一种数据传输设备，不仅可以利用加密认证模块对应用层数据进行加密处理，也可以利用IPSec模块对网络层数据进行加密处理，可以对多种类型的数据进行加密处理，实现数据在网络层上传输时的安全防护，与传统的只能对应用层数据进行加密的安全芯片相比，提高了配网自动化系统的安全性。

以上对本发明所提供的一种配网自动化双重防护安全芯片、数据传输方法及设备进行了详细介绍。本文中运用几个实例对本发明的原理及实施方式进行了阐述，以上实施例的说明，只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制，本领域技术人员，在没有创造性劳动的前提下，对本发明所做出的修改、等同替换、改进等，均应包含在本申请中。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个操作与另一个操作区分开来，而不一定要求或者暗示这些实体或者操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”等类似词，使得包括一系列要素的单元、设备或系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种单元、设备或系统所固有的要素。

Claims (8)

1.一种配网自动化双重防护安全芯片，其特征在于，包括：

接口交互模块、加密认证模块、IPSec模块以及以太网驱动模块；

所述加密认证模块与所述接口交互模块连接，所述接口交互模块与终端主控芯片连接，用于当所述接口交互模块判断所述终端主控芯片发送的目标数据为应用层数据时，对所述应用层数据进行加密；

所述IPSec模块与所述接口交互模块连接，用于当所述接口交互模块判断所述目标数据为网络层数据时，对所述网络层数据进行加密；

所述以太网驱动模块与所述IPSec模块连接，用于将加密后的所述网络层数据发送至通信设备。

2.根据权利要求1所述的配网自动化双重防护安全芯片，其特征在于，所述接口交互模块与所述终端主控芯片之间具体通过SPI接口协议进行连接。

3.根据权利要求1所述的配网自动化双重防护安全芯片，其特征在于，所述通信设备具体为光网络单元或无线4G模块。

4.一种数据传输方法，基于权利要求1至3任意一项所述的配网自动化双重防护安全芯片，其特征在于，包括：

通过接口交互模块接收终端主控芯片发送的目标数据，并确定所述目标数据的类型；

当所述目标数据为应用层数据时，通过加密认证模块对所述应用层数据进行加密处理；当所述目标数据为网络层数据时，通过IPSec模块对所述网络层数据进行加密处理；

通过以太网驱动模块将加密处理后的所述网络数据发送至通信设备。

5.根据权利要求4所述的数据传输方法，其特征在于，所述当所述目标数据为应用层数据时，通过加密认证模块对所述应用层数据进行加密处理具体为：

通过SM1、SM2、SM3、SM4及SM9国密算法对所述应用层数据进行加密处理。

6.根据权利要求4所述的数据传输方法，其特征在于，所述当所述目标数据为网络层数据时，通过IPSec模块对所述网络层数据进行加密处理具体为：

对所述网络层数据进行TCP/IP协议封装处理；

通过所述IPSec模块对所述TCP/IP协议封装处理后的所述网络数据进行加密处理。

7.根据权利要求6所述的数据传输方法，其特征在于，所述通过所述IPSec模块对所述TCP/IP协议封装处理后的所述网络数据进行加密处理具体为：

依据国密标准对所述网络层数据进行加密处理。

8.一种数据传输设备，其特征在于，包括：

存储器，所述存储器用于存储所述计算机程序；

处理器，所述处理器用于执行所述计算机程序以实现如权利要求4至7任意一项所述的数据传输方法的步骤。