CN110636052A - 用电数据传输系统 - Google Patents

Abstract

本申请涉及一种用电数据传输系统，包括内置加密处理组件、微控制器以及通信组件的集中器以及包括网关的远程数据中心，集中器中的微控制器将获取的用电数据传输至加密处理组件，并获取加密处理组件对用电数据进行加密处理后回传的加密用电数据，微控制器对加密用电数据组包后传输至通信组件，网关接收通信组件发送的加密用电数据，对加密用电数据进行拆包和解密处理，并将得到的用电数据传输至远程数据中心，实现用电数据的远程加密和封装传输，保证通信安全可靠。

Description

用电数据传输系统

技术领域

本申请涉及电力技术领域，特别是涉及一种用电数据传输系统。

背景技术

随着智能电网技术水平的不断发展，用电信息采集系统的采集方式逐渐由人工方式向远程控制方式转变。

用电数据传输系统是采用了远程数据采集与控制技术的用电信息采集系统，是如今采集系统发展的主要类型。这种采集方式中，集中器与远程数据采集中心通过某种传输方式建立连接，再汇总一定区域内的用电信息通过网络上传到远程数据中心。数据中心也可以通过网络直接控制集中器进而监控一片区域内的用电信息。这种采集系统脱离了人工抄表的方式，以高速的数据传输网络为载体，更高效、快捷。

在正常通信过程中，可能会受到重放攻击，导致通信时应用逻辑发生混乱，使得用电数据传输过程的受到安全威胁。

发明内容

基于此，有必要针对上述技术问题，提供一种能够提高用电数据传输安全性的用电数据传输系统。

一种用电数据传输系统，包括内置加密处理组件、微控制器以及通信组件的集中器以及包括网关的远程数据中心；

所述集中器中的微控制器将获取的用电数据传输至所述加密处理组件，并获取所述加密处理组件对所述用电数据进行加密处理后回传的加密用电数据，所述微控制器对所述加密用电数据组包后传输至所述通信组件，所述网关接收所述通信组件发送的加密用电数据，对所述加密用电数据进行拆包和解密处理，并将得到的用电数据传输至所述远程数据中心。

在其中一个实施例中，所述微控制器包括移植有LwIP(Light Weight InternetProtocol，轻型网络协议)协议的STM32芯片。

在其中一个实施例中，所述微控制器的网络层与所述通信组件的网络层通过IPsec(Internet Protocol Security，互联网安全协议)通道进行通信。

在其中一个实施例中，所述加密处理组件与所述网关基于网络密钥交换协议进行密钥协商，得到会话密钥对。

在其中一个实施例中，所述微处理器调用所述加密处理组件，基于所述网络密钥交换协议，生成密钥协商报文，并通过通信组件发送至所述网关，所述微处理器接收所述网关根据所述密钥协商报文反馈的应答报文，通过报文解析，获得协议数据，并对所述协议数据进行校验，当校验成功时，调用所述加密处理组件，生成密钥协商确认报文，并通过所述通信组件发送至所述网关，建立所述加密处理组件与所述网关的数据的会话密钥对。

在其中一个实施例中，所述微处理器在所述加密用电数据的数据头部加入IPsec信息得到加密报文，并将所述加密报文传输至所述通信组件。

在其中一个实施例中，所述集中器还包括主处理器；

所述通信组件接收所述网关发送的加密报文并传输至所述微处理器，所述微处理器对所述加密报文进行拆包处理后，将拆包得到的数据传输至所述加密处理组件进行解密处理，所述微处理器获取所述加密处理组件回传的解密数据，并发送至所述主处理器。

在其中一个实施例中，还包括设置有缓存区的存储器；

所述主处理器与所述微处理器的通信中断时，所述微处理器将所述加密处理组件回传的解密数据存储于所述缓存区，所述主处理器将携带有所述用电数据的数据发送请求存储于所述缓存区；

所述主处理器与所述微处理器的通信启动时，将所述缓存区中的解密数据发送至所述主处理器，并将所述缓存区中的数据发送请求传输至所述微处理器。

在其中一个实施例中，所述微处理器还用于接收所述主处理器发送的关机信号，执行关机操作。

在其中一个实施例中，所述微处理器还用于接收所述主处理器发送的启动信号，执行上电操作和初始化处理。

上述用电数据传输系统，微控制器获取用电数据，将用电数据传输至加密处理组件，并获取加密处理组件对用电数据进行加密处理后回传的加密用电数据，微控制器对加密用电数据组包后传输至通信组件，网关接收通信组件发送的加密用电数据，对加密用电数据进行拆包和解密处理，并将得到的用电数据传输至所述远程数据中心，通过数据的组包拆包和加解密处理，从而实现用电数据的封装和远程加密传输，保证通信安全可靠。

附图说明

图1为一个实施例中用电数据传输系统的结构示意图；

图2为另一个实施例中用电数据传输系统的结构示意图；

图3为一个实施例中用电数据传输系统的密钥协商的流程图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

在电力系统中，需要对电力用户的用电数据进行采集、处理和实时监控的系统，实现用电数据的自动采集、计量异常监测、电能质量监测、用电分析和管理、相关信息发布、分布式能源监控、智能用电设备的信息交互等功能。其中，部分数据处理过程可以在通过用电信息采集终端进行数据采集并发送至远程数据中心进行分析得到。用电信息采集终端是对各信息采集点用电信息采集的设备，可以实现电能表数据的采集、数据管理、数据双向传输以及转发或执行控制命令的设备。用电信息采集终端按应用场所分为专变采集终端、集中抄表终端、分布式能源监控终端等类型。其中，集中抄表终端又包括集中器和采集器。

在一个实施例中，如图1所示，提供了一种用电数据传输系统，包括内置加密处理组件112、微控制器124以及通信组件126的集中器100以及包括网关220的远程数据中心200。

集中器100中的微控制器124将获取的用电数据传输至加密处理组件112，并获取加密处理组件112对用电数据进行加密处理后回传的加密用电数据，微控制器124对加密用电数据组包后传输至通信组件126，网关220接收通信组件126发送的加密用电数据，对加密用电数据进行拆包和解密处理，并将得到的用电数据传输至远程数据中心200。

在其中一个实施例中，集中器中的加密处理组件、微控制器以及通信组件构成通信模块。集中器通过通信模块中的通信组件与网关进行无线传输，网关对接收的数据进行处理后再发送至远程数据中心的处理器。

微控制器获取用电数据，将用电数据传输至加密处理组件，并获取加密处理组件对用电数据进行加密处理后回传的加密用电数据，微控制器对加密用电数据组包后传输至通信组件，网关接收通信组件发送的加密用电数据，对加密用电数据进行拆包和解密处理，并将得到的用电数据传输至远程数据中心的处理器。

集中器是指收集各采集器或电能表的数据，并进行处理储存，同时能和主站或手持设备进行数据交换的设备。采集器是用于采集多个或单个电能表的电能信息,并可与集中器交换数据的设备。传统的集中器，一般包括主处理器和通信模块，主处理器嵌入式安装在集中器机箱内部，用于汇总数据和控制移动通信模块。通信模块安装在集中器机箱表面，内置通信芯片、加密芯片以及微处理器，集中器的主处理器与通信模块连接，主处理器为通信模块提供电源、控制开关机以及串口通信。

为提高通信安全性，在不改变传统集中器的结构的前提下，在通信模块中增加加密处理组件和微控制器。如图2所示，在其中一个实施例中，微控制器包括移植有LwIP协议的STM32芯片，同时SMT32芯片连接有加密处理组件，加密处理组件可以是具备国密算法的加密芯片，用于对数据进行加解密操作以保证数据的完整性和安全性。在实施例中，微控制器的型号可以是STM32F107。由于STM32芯片中并无操作系统，要想实现信息的传输则需要协议栈的支持，通过在STM32中部署根据业务需求改进的LwIP协议栈，来实现信息的传输。LwIP协议是一种轻型的IP协议，有无操作系统的支持都可以运行，LwIP实现的重点是在保持TCP(Transmission Control Protocol传输控制协议)协议主要功能的基础上减少对RAM(Random Access Memory，随机存取存储器)的占用，它只需十几KB的RAM和40K左右的ROM(Read-Only Memory，只读存储器)就可以运行，这使LwIP协议栈适合在低端的嵌入式系统中使用。在实施例中，STM32芯片截取主处理器发来的需要加密的用电数据，控制加密芯片对用电数据进行加密。

在实施例中，如图2所示，通信组件可以是全网通的通信芯片，提高数据传输的速率和兼容不同的运营商网络的数据业务。在其中一个实施例中，微处理器和通信芯片可以通过30针接口连接，通信接口是UART(Universal Asynchronous Receiver/Transmitter，通用异步收发传输器)。具体可以是4G全网通通信芯片或5G全网通通信芯片等。在应用过程中，通信芯片的选择可以基于费用和速率需求进行选择。

上述用电数据传输系统，微控制器获取用电数据，将用电数据传输至加密处理组件，并获取加密处理组件对用电数据进行加密处理后回传的加密用电数据，微控制器对加密用电数据组包后传输至通信组件，网关接收通信组件发送的加密用电数据，对加密用电数据进行拆包和解密处理，并将得到的用电数据传输至远程数据中心的处理器。通过在集中器中内置微处理器和加密处理组件，通过数据的组包拆包和加解密处理，实现集中器与网关之间的双向身份认证，从而实现用电数据的远程加密传输，保证通信安全可靠。

在其中一个实施例中，微控制器与通信组件通过IPsec(Internet ProtocolSecurity，互联网安全协议)通道在网络层进行通信。

IPsec是一个协议包，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议族。IPsec主要由认证头(Authentication Header，简称AH)、封装安全载荷(Encapsulate Security Payload，简称ESP)以及安全联盟(Security Association，简称SA)协议组成。其中，认证头为IP数据报提供无连接数据完整性、消息认证以及防重放攻击保护；封装安全载荷提供机密性、数据源认证、无连接完整性、防重放和有限的传输流机密性，安全关联提供算法和数据包，提供AH、ESP操作所需的参数。基于互联网安全协议进行开发和设计来实现数据通信，目的是确保IP网络上数据通信的完整性、机密性和身份认证、和传统方式红的基于TCP/IP传输层通信相比，网络层的通信可以实现无感传输，不需要对原有业务功能进行修改，可以兼容现有产品，无缝升级，能够满足客户对终端安全防护的需求，便于推广和应用。采用国密IPsec通道进行通信，主要是由于IPsec协议在网络层为IP业务提供了保障其机密性，完整性以及认证性的安全保护协议标准，IPsec通过引入密码学中的安全机制，为网络层的通信安全进行服务。

在其中一个实施例中，微处理器在加密用电数据的数据头部加入IPsec信息得到加密报文，并将加密报文传输至通信组件。

通过在数据头部加入IPsec信息，将加密用电数据转换为加密报文，发送至通信组件，使得加密报文通过可以网络层进行数据传输，确保数据传输过程的安全性。

在其中一个实施例中，加密处理组件与网关基于网络密钥交换协议进行密钥协商，得到会话密钥对。

会话密钥对是指两个或多个实体协商，共同建立得到的密钥，会话密钥对由每个协议参与者分别产生的参数通过一定的计算得出。只有建立有会话密钥对的协商对象，才能根据会话密钥对，对传输数据进行加解密处理，确保数据传输过程的安全性。通信模块与网关之间的加密通讯，采用非对称加密算法，在双方开始正常通信前，需要进行密钥协商。协商采用网络密钥交换协议IKE，IKE是一种混合型密钥交换协议，它作为IPsec体系结构中的一个重要部分，为AH协议和ESP协议提供了身份认证，协商加密算法和生成会话密钥对等服务。IKE经过两个阶段为IPsec进行密钥协商并建立安全联盟。第一阶段：通信双方彼此间建立了一个已通过身份验证和安全保护的通道，此阶段的交换建立了一个因特网安全关联和密钥管理协议。第二阶段：建立安全联盟SA，产生真正用来加密数据流的密钥，SA用于最终的IP数据安全传输。密钥协商成功后，即可进行通信模块与网关之间的加密通信。

在一个实施例中，微处理器调用加密处理组件，基于网络密钥交换协议，生成密钥协商报文，并通过通信组件发送至网关，微处理器接收网关根据密钥协商报文反馈的应答报文，通过报文解析，获得协议数据，并对协议数据进行校验，当校验成功时，调用加密处理组件，生成密钥协商确认报文，并通过通信组件发送至网关，建立通信组件与网关的会话密钥对。

在其中一个实施例中，如图3所示，密钥协商整体流程图，交互消息的数量为6个，以IP地址作为身份ID，自动生成通信芯片ID和网关ID，交互消息具体描述如下：

消息1：第一个消息由通信芯片向网关发送，携带的参数如：机密机制-DES，散列机制-MD5-HAMC，Diffie-Hellman组-2(即DH-2)以及认证机制-预共享。

消息2：第二个消息由网关向通信芯片发送，当网关通过查找SPD获取到通信芯片发送过来的相关的策略后，将网关策略同样发送给通信芯片，并生成cookie并添加到数据包中，完成策略协商。

消息3：第三个消息由通信芯片向网关发送，发送数据包括DH公共值和Nonce随机数。

消息4：第四个消息由网关向通信芯片发送，网关同样将本端的DH公共值和Nonce随机数发送给通信芯片。

消息5：第五个消息由通信芯片向网关发送，通过预共享、数字签名、加密临时值来实现对网关的验证。双方交换DH公共值后，结合随机数生成一系列的加密密钥，用于双方加密、校验，同时生成了密钥后，通信芯片将公共密钥和身份信息等进行哈希处理，并将哈希值发送给网关进行设备身份验证。

消息6：第六个消息由网关向通信芯片发送，网关将公共密钥和身份信息等进行哈希处理，并将哈希值发送给通信芯片进行设备身份验证，完成密钥协商，得到会话密钥对。

在一个实施例中，集中器还包括主处理器。

通信组件接收网关发送的加密报文并传输至微处理器，微处理器对加密报文进行拆包处理后，将拆包得到的数据传输至加密处理组件进行解密处理，微处理器获取加密处理组件回传的解密数据，并发送至主处理器。

在其中一个实施例中，还包括设置有缓存区的缓存器。

主处理器与微处理器的通信中断时，微处理器将加密处理组件回传的解密数据存储于缓存区，主处理器将携带有用电数据的数据发送请求存储于缓存区。

主处理器与微处理器的通信启动时，将缓存区中的解密数据发送至主处理器，将缓存区中的数据发送请求传输至微处理器。

在其中一个实施例中，集中器主处理器传来信息时，微处理器对信息进行处理，对命令进行转发，对数据进行加密，当有解密完成的数据在缓冲区存放，微处理器将数据转发给集中器主处理器。在一个具体的实施例中，处理流程包括：微处理器检查缓冲区是否有待发送给主处理器的数据，若有则转发给主处理器，检查缓冲区是否有集中器主处理器发来的信息，若有则进行数据加密处理，并通过通信芯片发送至网关，然后判断系统任务是否结束，若否，则继续进行与主处理器的通信任务，若系统结束，启动通信模块断电线程。在实施例中，缓存器可以是微处理器中的内存器件。

在一个实施例中，微处理器调用加密芯片对用电数据进行加密处理后转发给通信芯片，微处理器给通信芯片下发读取命令，保持对网关的接收状态，通信芯片处理流程包括：获取通信芯片通信任务，检查缓冲区是否有待传输给通信芯片的数据，若有则传输至通信芯，检查缓冲区是否有网关发来的信息，若缓冲区为空，给通信芯片下发读取命令，继续接收网关信息，若缓冲区有数据，则根据数据来源，对数据进行处理，包括将网关数据传输至微处理器，或将微处理器数据发送至网关，然后判断系统任务是否结束，若未结束，则继续进行与主处理器的通信任务，若结束，启动通信模块断电线程。

在一个实施例中，通信模块还用于接收主处理器发送的关机信号，执行关机操作。具体来说，微处理器接收主处理器发送的关机信号，执行微处理器、加密处理组件以及通信组件的关机操作。

在一个实施例中，通信模块还用于接收主处理器发送的启动信号，执行上电操作和初始化处理。具体来说微处理器接收主处理器发送的启动信号，分别对微处理器、加密处理组件以及通信组件执行上电操作，然后对微处理器、加密处理组件以及通信组件进行初始化处理。

传统的方案是基于传输层进行通信的，主要考虑的是实现网络通信功能和提高通信效率，缺乏对协议安全问题的考虑，以至于在议的使用过程中，出现各种各样的安全缺陷。例如，IP数据包中的源地址和目的地址可以被任意伪造和篡改，导致很难验证数据的真实来源；在报文传输过程中，数据包中的内容可能被攻击者查看，修改或删除；在正常通信过程中，也可能会受到重放攻击，导致通信时应用逻辑发生混乱，因此，当收到一个数据包时，我们无法判断它所提供的信息是否是真实信息。

在一个应用实例中，为了保障网络通信的安全性，在不改动原设计中机箱的结构的基础上，对通信模块部分进行重新设计，设计方案如下：

基于原有的设计，在通信模块的STM32微控制器中移植了LwIP协议，SMT32微控制器和全网通通信芯片通过IPsec通道实现通信，同时SMT32微控制器与安全加密芯片连接，实现和安全加密隔离网关的双向身份认证，用于对数据进行加解密操作以保证数据的完整性和安全性，并把旧型号移动通信芯片改为新型全网通通信芯片，目的是为了提高数据传输的速率和兼容不同的运营商网络的数据业务。采用国密IPsec通道进行通信，主要是由于IPsec协议在网络层为IP业务提供了保障其机密性，完整性以及认证性的安全保护协议标准，IPsec通过引入密码学中的安全机制，为IP层的通信安全进行服务，实现用电信息的远程加密传输，对通信模块和接入网关之间的连接建立和数据传输采用加密方式，保证通信安全可靠。

数据处理过程包括：主处理器控制集中器初始化完毕，主处理器发送开机信号至通信模块，控制通信模块开机，并控制STM32芯片、加密芯片和通信芯片完成初始化，STM32调用加密芯片，生成密钥协商应答报文，通过IPsec发送至通信芯片后发至网关，通信模块等待网关回传的应答报文，若超过一定时间未收到，重启通信模块，接收到应答报文后，STM32调用加密芯片解析应答报文去掉IPsec相关信息，获取解密数据，判断解密数据的格式等是否正确，若不是正确的应答报文，则重启通信模块；若是正确的应答报文，则记性策略协商，若协商不成功，重启通信模块，若协商成功，STM32调用加密芯片生成密钥协商确认报文，交由通信芯片发送至网关，进行会话密钥对协商。密钥协商完成，STM32判断主处理器是否发来数据，若没有，则控制通信芯片接收报文，若主处理器发来数据，STM32截取有效数据部分，调用加密芯片进行加密，将加密数据通过IPsec通道交由通信芯片发送至网关。通信芯片接收远程数据中心通过网关发来的密文，STM32调用加密芯片解密报文并去掉IPsec头部信息得到明文，将明文交由主处理器进行下一步处理。主处理器发送关机信号至通信模块，通通信模块进行关机操作，通信模块断电，工作结束。在不对原有业务功能修改的情况下，既保证信息安全又能实现信息的无感传输。

在其中一个应用实例中，主处理器发送AT命令和数据，STM32截取出需要加密的数据部分，使用协商好的密钥进行SM1加密运算后，把密文与AT命令重新组合起来再发给通信芯片，网关收到后利用密钥将报文解密再转发给远程数据中心的主处理器。反之同理，通信芯片接收网关发来的密文，STM32将密文交由加密芯片通过SM1解密运算得到明文后，将其转发给集中器的主处理器。

上述方案可以应用于诸多领域，例如，在智能电网领域，可将安全通信技术应用于用电信息采集，使采集终端与数据中心之间的通信安全可靠。由于通信模块是基于互联网安全协议(IPsec)进行开发和设计的，确保IP网络上数据通信的完整性、机密性和身份认证，基于网络层的通信可以实现无感传输，不需要对原有业务功能进行修改。另外通信模块具有体积小、易于布置、易于维护等特点，而移动通信网络具有地理位置覆盖广泛、使用方便、费用低廉等特点，因此，本技术具有很高的推广价值。

本领域技术人员可以理解，图1和图2中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种用电数据传输系统，其特征在于，包括内置加密处理组件、微控制器以及通信组件的集中器以及包括网关的远程数据中心；

所述集中器中的微控制器将获取的用电数据传输至所述加密处理组件，并获取所述加密处理组件对所述用电数据进行加密处理后回传的加密用电数据，所述微控制器对所述加密用电数据组包后传输至所述通信组件，所述网关接收所述通信组件发送的加密用电数据，对所述加密用电数据进行拆包和解密处理，并将得到的用电数据传输至所述远程数据中心。

2.根据权利要求1所述的系统，其特征在于，所述微控制器包括移植有LwIP协议的STM32芯片。

3.根据权利要求1所述的系统，其特征在于，所述微控制器的网络层与所述通信组件的网络层通过IPsec通道进行通信。

4.根据权利要求1所述的系统，其特征在于，所述加密处理组件与所述网关基于网络密钥交换协议进行密钥协商，得到会话密钥对。

5.根据权利要求4所述的系统，其特征在于，所述微处理器调用所述加密处理组件，基于所述网络密钥交换协议，生成密钥协商报文，并通过通信组件发送至所述网关，所述微处理器接收所述网关根据所述密钥协商报文反馈的应答报文，通过报文解析，获得协议数据，并对所述协议数据进行校验，当校验成功时，调用所述加密处理组件，生成密钥协商确认报文，并通过所述通信组件发送至所述网关，建立所述加密处理组件与所述网关的会话密钥对。

6.根据权利要求1所述的系统，其特征在于，所述微处理器在所述加密用电数据的数据头部加入IPsec信息得到加密报文，并将所述加密报文传输至所述通信组件。

7.根据权利要求1所述的系统，其特征在于，所述集中器还包括主处理器；

所述通信组件接收所述网关发送的加密报文并传输至所述微处理器，所述微处理器对所述加密报文进行拆包处理后，将拆包得到的数据传输至所述加密处理组件进行解密处理，所述微处理器获取所述加密处理组件回传的解密数据，并发送至所述主处理器。

8.根据权利要求7所述的系统，其特征在于，还包括设置有缓存区的存储器；

所述主处理器与所述微处理器的通信中断时，所述微处理器将所述加密处理组件回传的解密数据存储于所述缓存区，所述主处理器将携带有所述用电数据的数据发送请求存储于所述缓存区；

所述主处理器与所述微处理器的通信启动时，将所述缓存区中的解密数据发送至所述主处理器，并将所述缓存区中的数据发送请求传输至所述微处理器。

9.根据权利要求7所述的系统，其特征在于，所述微处理器还用于接收所述主处理器发送的关机信号，执行关机操作。

10.根据权利要求7所述的系统，其特征在于，所述微处理器还用于接收所述主处理器发送的启动信号，执行上电操作和初始化处理。

Images