CN110996318B - 一种变电站智能巡检机器人安全通信接入系统 - Google Patents

Abstract

本发明属于电力通信技术领域，具体涉及一种变电站智能巡检机器人安全通信接入系统，包括巡检机器人终端、安全接入单元、安全通道模块、安全接入网关、集控系统；本发明的安全接入网关满足变电站内智能巡检机器人安全接入和视频设备等业务场景。上述业务接入信息内网时，通过安全接入网关实现双向认证、数据加解密、网络隔离以及报文过滤等安全功能。本发明通过对5.8G安全通信接入方法的深化研发，巡检机器人的业务数据通过安全接入单元、安全接入网关传输到集控系统主站，通过建立VPN隧道，辅以国密硬件加密、认证、网络准入控制等措施，保障变电站巡检机器人数据在传输网络下的安全，实现通信资源利用与安全性的双提升。

Description

一种变电站智能巡检机器人安全通信接入系统

技术领域

本发明属于电力通信技术领域，具体涉及一种变电站智能巡检机器人安全通信接入系统。

背景技术

依据《国家电网公司管理信息系统安全防护技术要求》规定，对专控类、作业类、采集类专用终端接入信息内网的边界，应采用国家电网公司专用安全接入装置进行接入。对变电站智能巡检机器人应用安全通信接入方法，通过对安全接入设备与通信模块的分析研究，采用基于数字证书的认证技术及基于国产商用密码算法的加密技术进行安全防护，实现接入认证和数据传输加密，提升智能巡检机器人监控后台和集中管理的安全化水平。

终端作为远程接入的源头和发起者，其安全性直接关系到数据传输的安全，乃至内部应用系统的安全。如果接入终端自身的安全防护策略弱、存在安全漏洞甚至病毒，那么内部的应用系统就存在被攻击的风险。如果对接入终端没有进行完善的身份认证和权限管理，那么将会造成终端对网络资源的非授权访问、滥用甚至破坏，在终端侧安全可靠性难以保证。

网络安全是一个全局概念，安全威胁潜藏在各个环节之中，而现有安全方案在网络威胁面前显得捉襟见肘，而进一步加强安全通信技术，对变电站智能巡检机器人的数据传输安全应用至关重要。

发明内容

为了解决上述问题，本发明提供了一种变电站智能巡检机器人安全通信接入系统，本发明通过对安全接入单元与通信模块的分析与研究，提出智能巡检机器人通信安全接入研究方法，通过5.8G无线专网对变电站巡检机器人业务数据进行传输，通过安全接入单元实现身份认证与数据加密，应用安全接入网关的网络隔离模块实现网络隔离与报文过滤，实现智能巡检机器人的安全通信接入，有效提升信息传输的安全防护能力，通过建设智能巡检机器人终端通信接入网安全平台，合理调度安全通信网资源，对接入网通信线路和设备等资源进行安全认证及加解密，可实现各种设备的安全稳定接入。具体技术方案如下：

一种变电站智能巡检机器人安全通信接入系统，包括巡检机器人终端、安全接入单元、安全通道模块、安全接入网关、集控系统；

所述巡检机器人终端用于巡检变电站；所述安全接入单元用于对巡检机器人终端进行终端认证，对站内接入的巡检机器人终端进行敏感数据标记以及数据加解密；

所述安全通道模块用于传输数据；

所述安全接入网关用于对巡检机器人终端进行身份认证、访问权限控制、数据加解密以及数据过滤；

所述集控系统用于集中控制、管理巡检机器人；

所述巡检机器人终端、安全接入单元、安全通道模块、安全接入网关、集控系统依次连接。

优选地，所述安全接入网关采用协议控制技术，控制站内巡检机器人终端的网络接入准入，所述网络接入准入包括合法接入、受控接入、拒绝非法终端接入。

优选地，所述安全接入网关对登录集控系统的用户进行身份认证，身份认证方式采用双向数字认证方式；根据不同的业务，集中分配、管理用户对巡检机器人终端资源的访问权限；对操作系统用户的权限进行限制，并采用白名单机制控制巡检机器人终端运行的进程和服务；针对巡检机器人中的重要文件和数据加密存储；针对巡检机器人终端的安全威胁和入侵进行检测和控制，对入侵的行为进行有效记录；检测擅自改变巡检机器人终端配置以及破坏其完整性的行为，当巡检机器人终端的安全系统的完整性被破坏时，巡检机器人终端无法接入集控系统；采用权限分散管理机制，去除系统中超级用户，并将其权力分别分配给多个管理员进行系统管理，防止管理员的恶意或偶然操作破坏系统安全，消除系统管理员带来的安全隐患。

优选地，所述安全接入网关通过网络接口对所有连接到无线网络上的安全接入单元进行管理，管理报文在安全接入单元之间通过通信网络进行通讯，采用加密算法对管理报文进行加密。

优选地，所述安全接入网关对安全接入单元进行接入认证，对巡检机器人终端进行认证并实时获取巡检机器人终端的状态、告警信息。

优选地，所述安全接入网关对安全接入单元进行接入认证的具体流程如下：安全接入单元定时自动向安全接入网关发送报文，由安全接入网关依据配置信息对安全接入单元进行认证，依据的配置信息包括安全接入单元的物理地址、IP地址、模块命名信息，接入非法的安全接入单元将产生告警，并屏蔽后续的通信，认证通过的安全接入单元可以正常通信，并可以正常进行配置和运行流程。

优选地，安全接入网关对巡检机器人终端进行认证的具体流程如下：认证通过的安全接入单元可以接收巡检机器人终端的数据，但在巡检机器人终端认证前数据无效，无法转发；接入巡检机器人终端的认证依据包括巡检机器人终端的MAC地址、IP地址、TCP/UDP端口号信息；在确定某个巡检机器人终端接入到某个安全接入单元的特定接口后，如果接口连接中断将产生系统告警，并需要重新对接入巡检机器人终端进行认证；同时出现在其他安全接入单元上的包含相同信息的巡检机器人终端将被屏蔽，并产生系统告警。

优选地，所述安全接入网关采用基于国密算法结合AES算法对数据进行加解密，加密数据包括IP报文所有内容，即对除数据链路层结构以外的所有数据进行加解密。

优选地，所述安全通道模块使用安全通信协议建立安全传输通道，通过5.8G无线专网传输通道传输数据。

优选地，所述安全传输通道采用IPSec-VPN链路级加密，通过点对点IPSec-VPN强逻辑隔离。

本发明的有益效果为：传统机器人系统采用2.4G 无线通信，存在安全性不高、单点运行管理困难等问题，而通信的安全性直接关系到数据传输及内部应用系统的安全，本发明应用的5.8G WIFI抗干扰能力强、传输速率快、灵活性高、可扩展性强，更适合于进行机密数据的传输。

通过对5.8G安全通信接入方法的深化研发，巡检机器人的业务数据通过安全接入单元、安全接入网关传输到集控系统主站，通过建立VPN隧道，辅以国密硬件加密、认证、网络准入控制等措施，保障变电站巡检机器人数据在传输网络下的安全，实现通信资源利用与安全性的双提升。

本发明的安全接入网关满足变电站内智能巡检机器人安全接入和视频设备等业务场景。上述业务接入信息内网时，通过安全接入网关实现双向认证、数据加解密、网络隔离以及报文过滤等安全功能。

基于新型环网协议和交换机架构，通过安全接入终端通信设备实现机器人终端的通信安全接入，基于业务类型进行数据传输通道隔离，可实现基于加密功能模块的数据通道加密，以及针对接入机器人终端设备的安全认证和鉴权，并通过先进的5.8G无线专网实现机器人业务终端的安全接入配置，可以通过标准的配置文件完成机器人终端接入的管理配置，并获取机器人设备接入和网络运行的状态、故障信息，提供可靠性高、安全性强、通信迅速而简便的安全接入平台，满足变电站内智能巡检机器人业务的快速发展需求。

附图说明

图1为本发明的结构示意图；

图2为安全接入单元的架构图；

图3为安全接入网关的架构图；

图4为安全接入单元的环形组网图；

图5为安全接入单元的链形组网图；

图6为安全接入单元的原理图；

图7为安全接入单元的CPU启动流程图；

图8为安全接入单元的CPU运行流程图；

图9为数据上行流程图；

图10为数据下行流程图；

图11为安全防护架构结构示意图；

图12为升级报文的安全交互流程图；

图13为对主站证书和安全接入网关证书进行更新的流程图；

图14为机器人终端验证现场运维工具合法性的流程图；

图15为现场运维工具向机器人终端发送数据处理流程图；

图16为机器人终端向现场运维工具发送数据处理流程图；

图17为智能巡检机器人终端系统安全防护架构图；

图18为基于无线专网的集中器内嵌安全模块结构图。

具体实施方式

为了更好的理解本发明，下面结合附图和具体实施例对本发明作进一步说明：

如图1所示，一种变电站智能巡检机器人安全通信接入系统，包括巡检机器人终端、安全接入单元、安全通道模块、安全接入网关、集控系统；

所述巡检机器人终端用于巡检变电站；所述安全接入单元用于对巡检机器人终端进行终端认证，对站内接入的巡检机器人终端进行敏感数据标记以及数据加解密；

所述安全通道模块用于传输数据；

所述安全接入网关用于对巡检机器人终端进行身份认证、访问权限控制、数据加解密以及数据过滤；

所述集控系统用于集中控制、管理巡检机器人；

所述巡检机器人终端、安全接入单元、安全通道模块、安全接入网关、集控系统依次连接。

安全接入网关采用协议控制技术，控制站内巡检机器人终端的网络接入准入，所述网络接入准入包括合法接入、受控接入、拒绝非法终端接入。

在未做安全防护、隔离措施的原始5.8G无线专网系统中，攻击者可通过非法终端机器人接入测控终端层，连接信息内网窃取终端机器人的数据包；利用伪造的数据包，代替集控主站进行数据通信，对终端进行数据欺骗；还可能编制恶意代码产生网络拥塞，使用黑客技术越权访问，更可直接采用物理破坏和旁路攻击让机器人终端失去控制。安全接入网关对登录集控系统的用户进行身份认证，身份认证方式采用双向数字认证方式；根据不同的业务，集中分配、管理用户对巡检机器人终端资源的访问权限；对操作系统用户的权限进行限制，并采用白名单机制控制巡检机器人终端运行的进程和服务；针对巡检机器人中的重要文件和数据加密存储；针对巡检机器人终端的安全威胁和入侵进行检测和控制，对入侵的行为进行有效记录；检测擅自改变巡检机器人终端配置以及破坏其完整性的行为，当巡检机器人终端的安全系统的完整性被破坏时，巡检机器人终端无法接入集控系统；采用权限分散管理机制，去除系统中超级用户，并将其权力分别分配给多个管理员进行系统管理，防止管理员的恶意或偶然操作破坏系统安全，消除系统管理员带来的安全隐患。

安全接入网关通过网络接口对所有连接到无线网络上的安全接入单元进行管理，管理报文在安全接入单元之间通过通信网络进行通讯，采用加密算法对管理报文进行加密。

安全接入网关对安全接入单元进行接入认证，对巡检机器人终端进行认证并实时获取巡检机器人终端的状态、告警信息。

安全接入网关对安全接入单元进行接入认证的具体流程如下：安全接入单元定时自动向安全接入网关发送报文，由安全接入网关依据配置信息对安全接入单元进行认证，依据的配置信息包括安全接入单元的物理地址、IP地址、模块命名信息，接入非法的安全接入单元将产生告警，并屏蔽后续的通信，认证通过的安全接入单元可以正常通信，并可以正常进行配置和运行流程。

安全接入网关对巡检机器人终端进行认证的具体流程如下：认证通过的安全接入单元可以接收巡检机器人终端的数据，但在巡检机器人终端认证前数据无效，无法转发；接入巡检机器人终端的认证依据包括巡检机器人终端的MAC地址、IP地址、TCP/UDP端口号信息；在确定某个巡检机器人终端接入到某个安全接入单元的特定接口后，如果接口连接中断将产生系统告警，并需要重新对接入巡检机器人终端进行认证；同时出现在其他安全接入单元上的包含相同信息的巡检机器人终端将被屏蔽，并产生系统告警。

终端设备的认证信息可以在网络建设时形成统一配置文件，通过管理系统自动下发，或在网络运行过程中动态进行配置。

安全接入网关采用基于国密算法结合AES算法等方式对数据进行加解密，加密数据包括IP报文所有内容，即对除数据链路层结构（包括MAC目的地址、源地址、VLAN、报文类型及校验）以外的所有数据进行加密。加解密流程由硬件实现，保证最小传输延时。

安全通道模块使用安全通信协议建立安全传输通道，通过5.8G无线专网传输通道传输数据。

安全传输通道采用IPSec-VPN链路级加密，通过点对点IPSec-VPN强逻辑隔离。

一种变电站智能巡检机器人安全通信接入方法，包括以下步骤：

S1：在巡检机器人上集成安全接入单元，在集控系统主站侧设置安全接入网关；通过在巡检机器人上集成安全接入模块，在集控平台侧集成安全接入网关，在接入终端安全、传输通道安全、应用系统安全三个层级形成多维度安全防护，实现变电站巡检数据安全传输,保障电网安全稳定运行。

终端站点为机器人，机器人内部有FTP、视频监控、热成像等数据流，因日常工作状态下机器人处于不断移动中，故所采集的数据传递到安全接入单元上。

S2：安全接入单元对巡检机器人进行终端认证，对站内接入的巡检机器人终端进行敏感数据标记以及数据加密保护；

S3：巡检机器人的数据通过5.8G无线专网传输通道上传至安全接入网关；

S4：安全接入网关上连接集控主站系统，安全接入网关对加密后的数据进行解密，再把数据传输至集控主站系统，设置好相应IP地址后，即可查看视频资源、进行FTP数据测试等。

巡检机器人产生业务应用数据，通过安全接入单元对数据应用层加解密；安全接入单元使用安全通信协议与集控系统主站侧的安全接入网关建立安全通道，保证传输数据的安全。安全接入单元通过与安全接入网关进行密钥交换算法、数据加密算法以及数据完整性检查算法的协商、客户端和服务端的双向认证以及确定会话密钥，建立安全通道，防止数据在传输过程中被窃听、篡改、破坏、插入重放攻击 ，保证数据传输的安全。安全接入单元的架构如图2所示，终端数据接口与巡检机器人连接，安全接入单元通过安全通道模块与安全接入网关连接。

安全接入网关负责与安全接入单元一起建立安全通道，能够保证接入传输的安全和内部被访问的应用系统的安全。同时，安全接入网关对终端的身份进行身份认证，能够提供多种认证方式验证用户的身份，保证终端的可信性。

对于不同安全域的用户，安全接入网关根据相应的规则对用户的访问权限进行控制，赋予用户最小的特权，保证终端只能访问与其自身的角色和权限相对应的内部资源，保证内部应用系统的安全。

安全接入网关实现对网络通信进行数据内容过滤、访问控制以及通信安全审计，通过对网络通信中的数据实施严格的检查和过滤控制措施，提供非法数据检测、网络数据包头检查等内容检查、通信状态和访问行为分析，对网络通信数据进行攻击识别和攻击数据检查、过滤等功能。安全接入网关的架构如图3所示，安全接入网关通过安全通道模块与安全接入模块连接，业务数据接口用于与集控主站系统连接。通过安全接入网关的网络接口可以对所有连接到无线网络上的模块进行管理，管理信息在模块之间通过通信网络进行通讯，采用加密算法对管理报文进行加密，实现对安全接入模块的接入认证，对接入巡检机器人终端的认证，对巡检机器人各功能的配置并实时获取状态、告警等信息。

经认证允许接入的机器人终端数据接入安全接入单元后，根据配置的密钥对报文进行加密，并依据各项功能配置进行处理、转发，由上联（或下联）接口发送到无线通信网络；依据通信网络的配置，安全接入网关接收到加密的报文后，先根据MAC地址、VLAN等信息判断报文合法性，不符合配置的报文丢弃，符合配置的报文依据地址信息选择解密密钥进行解密，再依据解密后的报文信息进行转发，由不同的传输接口发送到机器人终端。

加解密流程采用依据业务独立的密钥，依据是业务终端和主站服务器等终端设备的MAC地址或VLAN组，单一网络上最多可包含1024个密钥组。密钥可以由管理系统自动随机生成，或由管理人员进行配置。

安全通道模块具有默认的初始密钥，可以由用户进行配置更改，在接入网络并正常运行后，可以根据配置自动生成新密钥或由管理人员统一配置新密钥。密钥的配置下发由集控主站系统通过管理报文实时进行，可以配置安全接入网关进行定期自动密钥更新，不需要人为干预，减少工作量，提高安全性。

安全通道模块支持基于802.1P的QoS功能，可以对数据接入端口进行流量控制，流量控制的颗粒度最小可达64K。业务优先级依据报文的优先级位（取值0-7）可分为4个优先级，高优先级数据得到带宽保证。

安全通道模块支持实时的设备和网络运行状态的监测，出现端口连接异常、设备运行异常或数据接入异常都会实时产生告警信息，方便维护管理。同时，网络运行时接收、转发、丢包、流量等实时状态都进行记录，并可以随时查看，为网络配置和维护提供依据。设备具有日志记录功能，所有的配置流程都可以记录并查询，为集控主站管理监测提供依据。

安全接入网关实现了包括视频数据在内的网络层以上的数据安全加密传输及终端接入认证，确保机器人接入网络的安全可信。其主要有严控接入、加密保护、安全分离、攻击阻断等4个主要特点，具体如下：

（1）严控接入：采用协议控制技术，为站内终端提供合法接入、受控接入和拒绝非法终端接入等网络接入准入控制；

（2）加密保护：对站内接入终端的数据进行敏感数据标记和数据加密保护，提供数据敏感标识并建立基于国密SM1/SM2算法的加密网络隧道，实现机器人巡检视频图像数据、机器人控制指令、机器人IP及端口等数据的硬件加密传输。对各种接入终端的数据进行敏感数据标记和数据加密保护，为不同机器人提供数据敏感标识、非对称加密传输等网络隧道加密隔离。

（3）安全分离：通过业务数据识别、网络数据安全交换、通信安全风险控制等措施，确保站内终端产生或接收的数据能够准确地分离传送到机器人集控系统。

（4）攻击阻断：对终端的上下行数据实施严格的检查过滤控制措施，提供非法数据检测、网络数据包头检查等内容检查、状态和行为分析、基于签名的检测和异常检测等方式，对网络通道数据进行攻击识别、攻击数据检查过滤。

安全接入单元基于环网结构，通过级联接口将接入设备与汇聚设备串接成环，实现数据通信，如图4所示，也支持链形组网，如图5所示。

安全接入单元的原理图如图6所示，包括通信接口、管理接口、级联接口、数据接入及交换功能模块、加解密模块、CPU、环网调度模块、环网通信接口。通信接口、管理接口、级联接口、环网通信接口分别为通信数据接入、CPU控制命令传输、级联通信、环网通信提供接口通道；数据接入及交换功能模块进行数据的接入和交换；加解密模块进行数据的加密和解密工作；CPU进行数据的运算和处理；环网调度模块进行数据的调度工作。通信接口、数据接入及交换功能模块、CPU、环网调度模块、环网通信接口、级联接口依次连接，管理接口与CPU连接，加解密模块分别与数据接入及交换功能模块、CPU、环网调度模块分别连接，环网调度模块与数据接入及交换功能模块连接。其中，CPU的启动流程如图7所示，CPU的运行流程如图8所示，数据上行流程如图9所示，数据下行流程如图10所示。

传统交换机组环网时，为避免广播风暴风险，需将一段物理连接链路的逻辑连接断开，具体技术方案包括生成树算法和ERPS协议等，但都需要在OAM管理系统通过软件实现，即使是设备内嵌入式软件，其实时性、稳定性、效率都无法有效提高，并且随网络规模的扩大性能大幅下降。

本发明基于新型环网协议，将环网上各个节点设备分配标识，可以通过标识自动发现网络拓扑，数据根据网络拓扑规划传输路径，在到达原点时自动丢弃，没有广播风暴风险；在网络故障时，线路接口直接快速侦测，所有数据即时向环网反方向传输，并通过拓扑发现自动重新规划后续数据的传输路径。

这种技术方案带来的优势包括：环网故障保护切换时间可以小于毫秒；可以有效扩大单环网的规模；满足跨多节点数据传输的实时性。

变电站巡检机器人终端数据的应用模式以汇聚为主，暂不考虑机器人终端之间的数据交换，因此本发明侧重于规划数据汇聚的传输通道。基于先进的5.8G无线专网通信技术，可以在多端口之间形成传输通道，机器人终端接入的数据在规划的通道传输，不同通道互相隔离，没有交叉，满足数据通信安全性需求。

通过本发明实现数据传输通道的增强功能，满足工业自动化的特定需求，如保护通道功能，即在环网点对点传输的数据可以从环网双向备份传输，转发到目的端口时选择有效数据转发，有效保护重要数据的可靠性，即使环网故障切换时仍无丢帧；另外，基于本发明可以精确获取数据端到端传输延时，可以实现延时累加标记，定时转发数据等功能，为同步数据在数据传输网络的通信提供了可能。

安全接入单元通过数据接口可以获取接入的巡检机器人终端的信息，包括MAC地址、IP地址，如果需要还可以获取其他有关信息，如UDP协议端口等等。可以根据接入的终端的信息认证通过合法机器人终端的接入，或者屏蔽非法终端的通信，并且可以对非法接入进行实时告警。

环网协议支持级联接口数据加密，在级联线路上可以采用密文传输，屏蔽对传输数据的非法偷窃，或者非法通信终端的接入。

机器人终端接入的数据通过建立VPN隧道，辅以国密硬件加密、认证、网络准入控制等措施，保障机器人数据在5.8G无线网传输段的安全，提升机器人终端通信接入网通信资源使用效率和安全接入水平，实现业务安全接入及网络通道安全防护。

本发明采用安全防护架构对无线传输的数据进行安全防护，安全防护架构包括由接入终端安全、传输通道安全和应用系统安全三部分组成，如图11所示，具体如下：

(1)接入终端安全

对登录系统的用户进行身份认证，身份认证方式采用双向数字认证方式。

根据不同的业务，集中分配、管理用户对终端资源的访问权限；由终端设备与访问控制管理系统统一制定资源访问安全策略，同时，对系统关键文件、进程等资源进行强制保护，对操作系统超级用户权限进行限制；并采用白名单机制控制终端设备运行的进程和服务。

针对终端设备中的重要文件和数据采取防护措施，包括文件级、目录级加密存储。

针对终端设备的安全威胁和入侵进行有效的检测和控制，对入侵的行为进行有效记录。

检测擅自改变终端配置以及破坏其完整性的行为，确保安全加固机制不能被旁路。当移动终端安全系统的完整性被破坏时，移动终端无法接入业务系统。

（2）传输通道安全

直接将非法终端阻断，非法终端无法进行任何的攻击尝试，也无法感知任何网络的内容；

采用IPSec-VPN链路级加密：点对点IPSec-VPN强逻辑隔离；

基于IP、硬件识别码、认证证书、网络通信加密算法、数据敏感标识码进行安全数据分离，伪造难度极大；

（3）应用系统安全

采用权限分散管理机制，去除系统中超级用户，并将其权力分别分配给多个管理员进行系统管理，防止管理员的恶意或偶然操作破坏系统安全，消除系统管理员带来的安全隐患。

对各个安全操作系统内核组件进行定制和优化，充分发挥硬件平台的性能，对应用提供最佳支持，构建稳定和高效的计算环境。

程序远程升级之前，集控主站首先需要与智能巡检机器人终端重新进行双向身份认证，并对要升级的程序进行合法性验证，验证正确后，才可以进行升级包下发，程序员升级报文的安全交互流程图如图12所示，具体流程如下：

（1）集控主站对要下发的升级启动命令报文DATA1进行签名，并获得签名结果数据S1，然后用下行数据保护秘钥对升级启动报文DATA1+签名数据进行加密，得到加密结果DATA1’，将DATA1’发送给智能巡检机器人终端；

（2）机器人终端接收到数据之后，首先用下行数据保护秘钥对DATA1’解密，获得DATA1+S1，机器人终端利用DATA1验证主站结果S1的正确性，不正确返回集控主站错误信息；正确执行相关操作，并取机器人终端随机数R，然后机器人终端用上行数据保护秘钥对上行数据进行加密，并利用集控主站认证过程所产生的随机数R1对密文计算MAC，最后将密文+MAC作为报文的数据域上传集控主站；

（3）集控主站对机器人终端上行数据解密并验证MAC,验证正确，主站对要下发的升级执行命令报文DATA2+终端随机数R进行签名，获得签名数据S2，然后用下行数据保护秘钥对DATA2+终端随机数R+S2进行加密，得到加密结果DATA2’，将DATA2’发送给机器人终端；

（4）机器人终端首先用下行数据保护秘钥对DATA2'解密获得DATA2，利DATA2和机器人终端随机数R验证主站签名S2的正确性，不正确返回集控主站错误信息；正确执行相关操作，机器人终端用上行数据保护秘钥对上行数据加密，并利用集控主站随机数R1对密文计算MAC；将密文+MAC作为报文数据域上传给集控主站；

（5）集控主站对机器人终端上行数据解密并验证MAC验证正确，主站对要下发的程序升级包+时间进行签名得到签名结果S3，并将程序升级包+时间+签名结果S3以明文方式分多帧发送给机器人终端；

（6）集控主站发送完程序升级包后，以明文方式发送升级结束指令；

（7）机器人终端接受完全部升级程序包后，以明文方式返回升级结束确认指令

（8）机器人终端接收完成全部升级程序包后，提取升级程序、签名和时间，验证指令时效性正确，并验证升级程序签名结果S3无误后，机器人终端要解析升级程序文件，比对软件特征标签信息，确认特征信息与终端信息一致后，才可以开始进行程序升级；

（9）集控主站发送读取机器人终端软件版本信息，机器人终端返回终端软件版本，主站判断与下载程序的特征是否一致，一致则说明程序升级成功。

集控主站证书、安全接入网关证书在终端未投运之前可通过智能巡检机器人终端的串口配置到终端中，并写入安全芯片。在终端投运后，如需要可对主站证书和安全接入网关证书进行更新，流程图如图13所示，流程如下：

(1)集控主站用主站私钥对要下发的证书标识+证书+时间信息进行签名，获得签名结果S，然后用下行数据保护秘钥对证书标识+证书+时间信息+签名所用秘钥标识进行加密，将解密结果密文发送给机器人终端；

(2)机器人终端首先用下行数据保护秘钥对加密密文进行解密，获得证书标识、证书、时间、签名结果和签名秘钥标识，将证书标识+证书+时间信息作为明文数据，验证集控主站签名的正确性，正确执行相关操作，不正确返回集控主站错误信息；

(3)智能巡检机器人终端证书申请管理

机器人终端投运之前，由终端内安全芯片生成公私秘钥对，导出公钥，由终端或配置工具制成证书请求，由CA制成证书之后，将证书导入主站，由主站下装到智能巡检机器人终端。

(4)智能巡检机器人终端证书远程下载

机器人终端证书申请/更新成功后，可将证书发送到智能巡检机器人终端进行保护。主站将要下发的终端证书以明文方式下发到机器人终端进行保存。

(5)在智能巡检机器人终端硬件设计方案中，加密芯片使用SPI接口与终端CPU相连，同时CPU为加密芯片提供3.3V工作电源。

该流程包括了对CA证书的更新、集控主站证书的更新和安全接入网关证书的更新，每次更新只更新一张证书，不能同时更新多张证书。

在机器人终端和运维工具之间建立数据传输链路后，业务数据传输之前，机器人终端要验证现场运维工具的合法性。流程图如图14所示，认证交互流程如下：

(1)运维工具发起向机器人终端认证申请，将运维工具证书和运维工具ID发给机器人终端；

(2)机器人终端验证运工R具证书的合法性，产生随机数R并发送运维工具；

(3)运维工具对随机数R签名，并将签名结果发送巡检机器人终端；

(4)机器人终端验证运维工具签名的正确性，验证通过完成对运维工具的身份认证并返回确认信息；

(5)超过规定时限无数据交互时机器人终端自动撤销认证结果。

其中，现场运维工具向机器人终端发送数据处理流程如下，流程图如图15所示：

(1)现场运维工具用现场运维下行密钥对发送给机器人数据进行加密，并将加密数据报文发送给机器人终端；

(2)机器人终端用运维工具ID作为分散因子，用现场运维下行密钥对运维工具发送的数据报文解密，获取明文报文数据。

机器人终端向现场运维工具发送数据处理流程如下，流程图如图16所示：

说明如下：

(1)巡检机器人终端用现场运维上行密钥对发送给现场运维工具的数据进行加密，并将加密后的数据报文密文发送给现场运维工具；

(2)现场运维工具用现场运维上行密钥对机器人终端发送的报文密文进行解密，获取明文报文。

本发明可应用于建立智能巡检机器人终端系统安全防护架构，根据最新安全防护要求，巡检机器人终端内嵌安全模块，下装生产密钥和证书，通过生产密钥和证书保证传送数据安全，巡检机器人终端通过5.8G无线专网接入采集系统集控主站的，其上、下行通信必须采用加密通道方式；在前置机和主站之间增设专用隔离网关，对采集终端、集中器进行安全身份识别、访问控制，建立双向加密通道，对用采报文进行解析过滤，实现网络边界的安全隔离。智能巡检机器人终端系统安全防护架构如图17所示。

系统内数据接口主要是针对机器人终端系统。系统内数据接口主要采用信息加密技术实现安全防护。采用的信息加密技术包括对称密钥密码技术和公开密钥密码技术。对称密钥密码技术采用的对称密钥加密算法推荐选用国密SM1算法，公开密钥密码技术采用的非对称密钥加密算法推荐选用国密SM2算法。

主站系统部署高速密码机，在机器人终端部署安全模块，实现应用层数据完整性、机密性、可用性和可靠性保护。

变电站智能机器人终端和集中器中应采用国家密码管理局认可的硬件安全模块实现数据的加解密。专变终端和集中器采用的硬件安全模块应采用同时集成有国家密码管理局认可的对称密钥加密算法和非对称密钥加密算法的安全模块。结合无线专网通信系统建设，设计基于无线专网的集中器内嵌安全模块，模块设计图如下图18所示：

上行通信端口，即集中器上行通信单元接口。处理器为通信模块内置处理器，用于实现处理协议识别、验签、协议转换等工作；安全芯片是与专用隔离装置建立安全通道，将明文数据转换为密文；通信模块用于建立专网通信通道。

机器人智能终端安全芯片，安装在集中器和数据采集设备中，作为设备的安全认证模块，提供安全的硬件平台，模块内置了SM1、SM2等算法，可以实现数据的加密、解密、签名、验签、身份认证、访问权限控制、通信链路保护等多种功能，保证终端设备数据存储、传输、交互的安全性。

本发明不局限于以上所述的具体实施方式，以上所述仅为本发明的较佳实施案例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种变电站智能巡检机器人安全通信接入系统，其特征在于：包括巡检机器人终端、安全接入单元、安全通道模块、安全接入网关、集控系统；

所述巡检机器人终端用于巡检变电站；所述安全接入单元用于对巡检机器人终端进行终端认证，对站内接入的巡检机器人终端进行敏感数据标记以及数据加解密；

所述安全通道模块用于传输数据；

所述安全接入网关用于对巡检机器人终端进行身份认证、访问权限控制、数据加解密以及数据过滤；

所述集控系统用于集中控制、管理巡检机器人；

所述巡检机器人终端、安全接入单元、安全通道模块、安全接入网关、集控系统依次连接；

所述安全接入单元包括通信接口、管理接口、级联接口、数据接入及交换功能模块、加解密模块、CPU、环网调度模块、环网通信接口；通信接口、管理接口、级联接口、环网通信接口分别为通信数据接入、CPU控制命令传输、级联通信、环网通信提供接口通道；数据接入及交换功能模块进行数据的接入和交换；加解密模块进行数据的加密和解密工作；CPU进行数据的运算和处理；环网调度模块进行数据的调度工作；通信接口、数据接入及交换功能模块、CPU、环网调度模块、环网通信接口、级联接口依次连接，管理接口与CPU连接，加解密模块分别与数据接入及交换功能模块、CPU、环网调度模块分别连接，环网调度模块与数据接入及交换功能模块连接；

基于新型环网协议，将环网上各个节点设备分配标识，可以通过标识自动发现网络拓扑，数据根据网络拓扑规划传输路径，在到达原点时自动丢弃，没有广播风暴风险；在网络故障时，线路接口直接快速侦测，所有数据即时向环网反方向传输，并通过拓扑发现自动重新规划后续数据的传输路径。

2.根据权利要求1所述的一种变电站智能巡检机器人安全通信接入系统，其特征在于：所述安全接入网关采用协议控制技术，控制站内巡检机器人终端的网络接入准入，所述网络接入准入包括合法接入、受控接入、拒绝非法终端接入。

3.根据权利要求1所述的一种变电站智能巡检机器人安全通信接入系统，其特征在于：所述安全接入网关对登录集控系统的用户进行身份认证，身份认证方式采用双向数字认证方式；根据不同的业务，集中分配、管理用户对巡检机器人终端资源的访问权限；对操作系统用户的权限进行限制，并采用白名单机制控制巡检机器人终端运行的进程和服务；针对巡检机器人中的重要文件和数据加密存储；针对巡检机器人终端的安全威胁和入侵进行检测和控制，对入侵的行为进行有效记录；检测擅自改变巡检机器人终端配置以及破坏其完整性的行为，当巡检机器人终端的安全系统的完整性被破坏时，巡检机器人终端无法接入集控系统；采用权限分散管理机制，去除系统中超级用户，并将其权力分别分配给多个管理员进行系统管理，防止管理员的恶意或偶然操作破坏系统安全，消除系统管理员带来的安全隐患。

4.根据权利要求1所述的一种变电站智能巡检机器人安全通信接入系统，其特征在于：所述安全接入网关通过网络接口对所有连接到无线网络上的安全接入单元进行管理，管理报文在安全接入单元之间通过通信网络进行通讯，采用加密算法对管理报文进行加密。

5.根据权利要求1所述的一种变电站智能巡检机器人安全通信接入系统，其特征在于：所述安全接入网关对安全接入单元进行接入认证，对巡检机器人终端进行认证并实时获取巡检机器人终端的状态、告警信息。

6.根据权利要求5所述的一种变电站智能巡检机器人安全通信接入系统，其特征在于：所述安全接入网关对安全接入单元进行接入认证的具体流程如下：安全接入单元定时自动向安全接入网关发送报文，由安全接入网关依据配置信息对安全接入单元进行认证，依据的配置信息包括安全接入单元的物理地址、IP地址、模块命名信息，接入非法的安全接入单元将产生告警，并屏蔽后续的通信，认证通过的安全接入单元可以正常通信，并可以正常进行配置和运行流程。

7.根据权利要求6所述的一种变电站智能巡检机器人安全通信接入系统，其特征在于：安全接入网关对巡检机器人终端进行认证的具体流程如下：认证通过的安全接入单元可以接收巡检机器人终端的数据，但在巡检机器人终端认证前数据无效，无法转发；接入巡检机器人终端的认证依据包括巡检机器人终端的MAC地址、IP地址、TCP/UDP端口号信息；在确定某个巡检机器人终端接入到某个安全接入单元的特定接口后，如果接口连接中断将产生系统告警，并需要重新对接入巡检机器人终端进行认证；同时出现在其他安全接入单元上的包含相同信息的巡检机器人终端将被屏蔽，并产生系统告警。

8.根据权利要求1所述的一种变电站智能巡检机器人安全通信接入系统，其特征在于：所述安全接入网关采用基于国密算法结合AES算法对数据进行加解密，加密数据包括IP报文所有内容，即对除数据链路层结构以外的所有数据进行加解密。

9.根据权利要求1所述的一种变电站智能巡检机器人安全通信接入系统，其特征在于：所述安全通道模块使用安全通信协议建立安全传输通道，通过5.8G无线专网传输通道传输数据。

10.根据权利要求1所述的一种变电站智能巡检机器人安全通信接入系统，其特征在于：所述安全传输通道采用IPSec-VPN链路级加密，通过点对点IPSec-VPN强逻辑隔离。

Images