CN113704780A - 一种基于模型驱动的配电网用户侧信息自适应加密方法 - Google Patents

Abstract

本发明提供了一种基于模型驱动的配电网用户侧信息自适应加密方法，包括以下步骤：预先建立识别模型，用于对用户类型进行特征识别；利用识别模型对待传输的数据进行识别，根据识别结果匹配加密等级，选择进行加密或不加密；如需进行加密，则根据识别结果进一步区分加密方式，根据得到的加密方式进行加密，附上用户类型相关信息后传输数据；收到加密信息后，再次根据用户类型判断该加密信息的加密方式并依此解密，如解密不成功，则报错。本发明在配电加密主站侧对各类用户进行模型定义，如用户类别、传输的电气信息以及采用的加密算法等，在配电自动化终端侧定义用户类别以及上传的电气量，可以实现根据不同用户分类动态自适应加密。

Description

一种基于模型驱动的配电网用户侧信息自适应加密方法

技术领域

本发明涉及信息加密领域，特别涉及一种基于模型驱动的配电网用户侧信息自适应加密方法。

背景技术

由于目前安全防护措施相对薄弱以及黑客攻击手段的增强，致使点多面广、分布广泛的配电自动化系统面临来自公网或专网的网络攻击风险，进而影响配电系统对用户的安全可靠供电，同时，当前国际安全形势出现了新的变化，攻击者存在通过配电终端误报故障信息等方式迂回攻击主站，进而造成更大范围的安全威胁。

配电网设备点多面广，设备种类和用户种类多，在配电自动化信息传输中，为了确保信息安全可靠传输，在设备侧和通信链路上需要对信息采用加密传输，传统的对称加密或者非对称加密实现加密功能都在网络层或传输层，对传输的信息不能进行动态选择性的加密，在点多面广的配电自动化网络中信息加密不能实现不同安全等级设备的自适应动态加密。

在IEC61968模型中的顶层类中扩展加密通用Encryption类，该类作用与IEC61968模型顶层类，包括四个固有属性，Algor代表加密采用的算法，Keylength代表加密中密钥的长度，Kind代表加密算法的类型，Version代表加密模块本身的版本号。不同用户采用EnergyComsumer类进行定义，该类中可以按照不同用户类别进行定义。在计量包中UsingPoint 类代表用户的电气量有关信息如有功、无功、电流、电压等。在具体实现中，在配电加密主站侧对各类用户进行模型定义，如用户类别、传输的电气信息以及采用的加密算法等，在配电自动化终端侧定义用户类别以及上传的电气量，可以实现根据不同用户分类动态自适应加密。因此急需一种能够实现自适应加密的方法。

发明内容

针对现有技术不能实现不同安全等级设备的自适应动态加密的问题，本发明提供了一种基于模型驱动的配电网用户侧信息自适应加密方法，在会话层识别不同的信息模型，采用模型驱动的方法来实现动态选择加密，可以实现对不同安全等级的设备进行自适应动态加密。

本发明的技术方案如下。

一种基于模型驱动的配电网用户侧信息自适应加密方法，包括以下步骤：

预先建立识别模型，用于对用户类型进行特征识别；

利用识别模型对待传输的数据进行识别，根据识别结果匹配加密等级，选择进行加密或不加密；

如需进行加密，则根据识别结果进一步区分加密方式，根据得到的加密方式进行加密，附上用户类型相关信息后传输数据；

收到加密信息后，再次根据用户类型判断该加密信息的加密方式并依此解密，如解密不成功，则报错。

目前，出于信息安全、通信成本两方面考虑，一直没有放开架空线路智能开关无线远程遥控操作功能，尤其在安全演练期间无线接入设备一直是配电网最大安全隐患，往往一关了之或投入人海战术。如果想挖掘设备通信资源，提升电力系统控制的潜力，面临最大困难就是无线通信安全问题。而如果将所有信息均采用最高级别的加密，则会浪费大量资源，且效率十分低下，因此这采用模型识别的方式进行自适应的动态加密，以解决上述问题。

作为优选，所述识别模型的建立步骤包括：导入若干种用户类型对应的历史电气信息，对历史电气信息的数值范围和波形图进行特征提取，并导入神经网络模型中训练，得到识别模型。

作为优选，所述加密方式包括一次加密以及二次加密，其中二次加密为在一次加密的基础上，利用量子密钥对一次加密后的信息进行加密。量子加密与传统密码体制相比，具有更高级别的安全性。

作为优选，所述利用识别模型对待传输的数据进行识别，包括：

对网络中目标设备的待传输电气信息进行抽样；将抽样结果输入至识别模型，识别模型进行识别得到用户类型的初选范围，根据设备类型与用户类型的关联关系，从初选模型中筛选出准确的用户类型。每一种用户类型可以是某设备或是某些设备的总称，根据每种用户类型的特征，可以进行模型区分。

作为优选，所述二次加密使用的量子密钥，一次使用后更新，更新步骤包括：

核对量子密钥是否已使用，如已使用则进行更新；如确定进行密钥更新，则从密钥生成单元中导出未经使用的量子密钥，并利用私钥对导出的量子密钥进行签名后，将结果发送给需要更新量子密钥的目标单元；目标单元接收后，利用公钥解密，得到未经使用的量子密钥。

本发明的实质性效果包括：在配电加密主站侧对各类用户进行模型定义，如用户类别、传输的电气信息以及采用的加密算法等，在配电自动化终端侧定义用户类别以及上传的电气量，可以实现根据不同用户分类动态自适应加密。

具体实施方式

下面将结合实施例，对本申请的技术方案进行描述。另外，为了更好的说明本发明，在下文中给出了众多的具体细节。本领域技术人员应当理解，没有某些具体细节，本发明同样可以实施。在一些实例中，对于本领域技术人员熟知的方法、手段、元件和电路未做详细描述，以便于凸显本发明的主旨。

当前，配电自动化强调实时双向交互，业务只关注了主站侧安全防护、终端对主站的认证。由于配电自动化终端数量众多，且未改造的老旧终端无法支持报文加密，因此配电自动化系统中主要采用单向认证的兼容模式，终端侧及接入网汇聚侧亟需有效的安全防护措施。用电信息采集业务同样面临部署地点开放，非法用户通过伪造或者篡改终端的方式窃取数据。因此需要针对密钥遭到截取或泄露、加密保护措施不足通信过程安全控制欠缺、通信遭到监听等情况，深入研究安全防护措施，以防止重要的计量数据被大范围修改。

但如一味强调提高安全性，则必然降低信息传输效率，因此本实施例将为了克服这一问题，提供了新的方案，通过在配电加密主站侧对各类用户进行模型定义，如用户类别、传输的电气信息以及采用的加密算法等，在配电自动化终端侧定义用户类别以及上传的电气量，可以实现根据不同用户分类动态自适应加密。

实施例：

一种基于模型驱动的配电网用户侧信息自适应加密方法，包括以下步骤：

预先建立识别模型，用于对用户类型进行特征识别；

利用识别模型对待传输的数据进行识别，根据识别结果匹配加密等级，选择进行加密或不加密；

如需进行加密，则根据识别结果进一步区分加密方式，根据得到的加密方式进行加密，附上用户类型相关信息后传输数据；

收到加密信息后，再次根据用户类型判断该加密信息的加密方式并依此解密，如解密不成功，则报错。

目前，出于信息安全、通信成本两方面考虑，一直没有放开架空线路智能开关无线远程遥控操作功能，尤其在安全演练期间无线接入设备一直是配电网最大安全隐患，往往一关了之或投入人海战术。如果想挖掘设备通信资源，提升电力系统控制的潜力，面临最大困难就是无线通信安全问题。而如果将所有信息均采用最高级别的加密，则会浪费大量资源，且效率十分低下，因此这采用模型识别的方式进行自适应的动态加密，以解决上述问题。

识别模型的建立步骤包括：导入若干种用户类型对应的历史电气信息，对历史电气信息的数值范围和波形图进行特征提取，并导入神经网络模型中训练，得到识别模型。

加密方式包括一次加密以及二次加密，其中二次加密为在一次加密的基础上，利用量子密钥对一次加密后的信息进行加密。量子加密与传统密码体制相比，具有更高级别的安全性。

利用识别模型对待传输的数据进行识别，包括：

对网络中目标设备的待传输电气信息进行抽样；将抽样结果输入至识别模型，识别模型进行识别得到用户类型的初选范围，根据设备类型与用户类型的关联关系，从初选模型中筛选出准确的用户类型。每一种用户类型可以是某设备或是某些设备的总称，根据每种用户类型的特征，可以进行模型区分。

二次加密使用的量子密钥，一次使用后更新，更新步骤包括：

核对量子密钥是否已使用，如已使用则进行更新；如确定进行密钥更新，则从密钥生成单元中导出未经使用的量子密钥，并利用私钥对导出的量子密钥进行签名后，将结果发送给需要更新量子密钥的目标单元；目标单元接收后，利用公钥解密，得到未经使用的量子密钥。

本实施例的实质性效果包括：在配电加密主站侧对各类用户进行模型定义，如用户类别、传输的电气信息以及采用的加密算法等，在配电自动化终端侧定义用户类别以及上传的电气量，可以实现根据不同用户分类动态自适应加密。

通过以上实施方式的描述，所属领域的技术人员可以了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中可以根据需要而将上述功能分配由不同的功能模块完成，即将具体装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。

在本申请所提供的实施例中，应该理解到，所揭露的结构和方法，可以通过其它的方式实现。例如，以上所描述的关于结构的实施例仅仅是示意性的，例如，模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个结构，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，结构或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是一个物理单元或多个物理单元，即可以位于一个地方，或者也可以分布到多个不同地方。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个可读取存储介质中。基于这样的理解，本申请实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该软件产品存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：U 盘、移动硬盘、只读存储器(read only memory，ROM)、随机存取存储器(random access memory， RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上内容，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (5)

1.一种基于模型驱动的配电网用户侧信息自适应加密方法，其特征在于，包括以下步骤：

预先建立识别模型，用于对用户类型进行特征识别；

利用识别模型对待传输的数据进行识别，根据识别结果匹配加密等级，选择进行加密或不加密；

如需进行加密，则根据识别结果进一步区分加密方式，根据得到的加密方式进行加密，附上用户类型相关信息后传输数据；

收到加密信息后，再次根据用户类型判断该加密信息的加密方式并依此解密，如解密不成功，则报错。

2.根据权利要求1所述的一种基于模型驱动的配电网用户侧信息自适应加密方法，其特征在于，所述识别模型的建立步骤包括：导入若干种用户类型对应的历史电气信息，对历史电气信息的数值范围和波形图进行特征提取，并导入神经网络模型中训练，得到识别模型。

3.根据权利要求1所述的一种基于模型驱动的配电网用户侧信息自适应加密方法，其特征在于，所述加密方式包括一次加密以及二次加密，其中二次加密为在一次加密的基础上，利用量子密钥对一次加密后的信息进行加密。

4.根据权利要求2所述的一种基于模型驱动的配电网用户侧信息自适应加密方法，其特征在于，所述利用识别模型对待传输的数据进行识别，包括：

对网络中目标设备的待传输电气信息进行抽样；将抽样结果输入至识别模型，识别模型进行识别得到用户类型的初选范围，根据设备类型与用户类型的关联关系，从初选模型中筛选出准确的用户类型。

5.根据权利要求3所述的一种基于模型驱动的配电网用户侧信息自适应加密方法，其特征在于，所述二次加密使用的量子密钥，一次使用后更新，更新步骤包括：

核对量子密钥是否已使用，如已使用则进行更新；如确定进行密钥更新，则从密钥生成单元中导出未经使用的量子密钥，并利用私钥对导出的量子密钥进行签名后，将结果发送给需要更新量子密钥的目标单元；目标单元接收后，利用公钥解密，得到未经使用的量子密钥。