[發明專利]一種新能源廠站發電單元采集終端數據安全保障方法及系統

在審

• 申請號: 202010872778.7
• 申請日: 2020-08-26
• 公開（公告）號: CN111988328A
• 公開（公告）日: 2020-11-24
• 發明（設計）人: 張曉娟;劉宇偉;姜雪;石磊;薛謙謙;李珺;羅利;馬少武;李娜
• 申請（專利權）人: 中國電力科學研究院有限公司;國網甘肅省電力公司酒泉供電公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京中巡通大知識產權代理有限公司 11703
• 代理人: 李宏德

1.一種新能源廠站發電單元采集終端數據安全保障方法，其特征在于，從新能源廠站發電單元數據的采集、傳輸和使用流程，進行如下閉環的安全處理，

對采集終端進行安全加固處理，保障采集數據的接入安全；

對采集數據的傳輸采用安全協議，保障采集數據的傳輸安全；

對采集數據的存儲采用安全過濾檢測，交互采用安全交換，保障站控層數據的讀寫安全。

2.根據權利要求1所述的一種新能源廠站發電單元采集終端數據安全保障方法，其特征在于，所述的安全加固處理包括軟件和硬件安全加固；

所述的軟件安全加固包括在采集終端內部采用行為控制技術和終端安全檢查技術進行安全檢查；

所述的硬件安全加固包括增加安全加密芯片、進行硬件安全裁剪、定制硬件模塊實現硬件加固。

3.根據權利要求2所述的一種新能源廠站發電單元采集終端數據安全保障方法，其特征在于，

行為控制技術從系統行為的不同角度出發，監視終端主機中進程的各種行為，并根據系統內置的安全規則進行匹配，如果進程行為觸發相應的系統規則，能夠根據規則設定允許放行或禁止操作；

終端安全檢查技術檢查終端狀態是否合乎安全要求，以及用戶的行為是否合法；當采集終端在訪問站控監控系統資源前，進行終端安全性檢查，不符合安全檢查策略的終端將被禁止訪問系統資源。

4.根據權利要求2所述的一種新能源廠站發電單元采集終端數據安全保障方法，其特征在于，

在嵌入式終端設備內增加終端加密認證裝置，通過終端加密認證裝置中的安全加密芯片，為嵌入式終端設備提供身份認證和通信數據加密的安全功能；

在定制硬件模塊的采集終端中，通過增加安全芯片實現終端安全增強、身份鑒別和數據加解密。

5.根據權利要求1所述的一種新能源廠站發電單元采集終端數據安全保障方法，其特征在于，所述采用安全協議的具體方法包括，通信的雙方首先根據身份認證協議互相驗證對方的合法性，保證只有合法終端才能建立通信通道，在此基礎上利用密鑰交換協議生成一個安全的對稱加密密鑰并利用產生的密鑰對傳輸通道進行加密。

6.根據權利要求5所述的一種新能源廠站發電單元采集終端數據安全保障方法，其特征在于，通信的雙方首先根據身份認證協議互相驗證對方的合法性，采用基于數字證書的雙向身份認證，通過在采集終端里添加終端身份認證模塊，將由權威機構頒發的有效證書存放在終端身份認證模塊里，當采集終端和安全接入系統建立TCP連接之后，終端通過安全協議上報自身信息，安全接入系統通過身份認證模塊解析終端信息并對終端進行認證；

所述的密鑰交換協議采用基于SM2的ECDH安全密鑰交換協議。

7.根據權利要求1所述的一種新能源廠站發電單元采集終端數據安全保障方法，其特征在于，所述的安全過濾是采用數據包過濾技術對流經該系統的每個數據包進行審查；所述的安全交換是通過隔離交換硬件進行非TCP/IP網絡形式的數據安全交換。

8.根據權利要求1所述的一種新能源廠站發電單元采集終端數據安全保障方法，其特征在于，數據包過濾技術是對數據包進行格式審查和保密性檢測，通過系統接收到的規則表進行篩選，過濾器檢查規則表中的每一條規則直至發現數據包中的信息與某規則相符；根據數據包的結構特點，數據包過濾通過分析IP頭和TCP頭的設定信息段進行；

所述的安全交換，通過采用網絡隔離設備，在非TCP/IP網絡形式的數據交換時，從物理層到應用層全部斷開外網機到內網機的網絡。

9.一種新能源廠站發電單元采集終端數據安全保障系統，其特征在于，包括，

用于對采集終端進行安全加固的安全加固模塊；

用于對采集數據的傳輸進行安全協議加密的加密傳輸模塊；

用于對采集數據的存儲進行安全過濾檢測和隔離交互的數據過濾隔離模塊。

10.根據權利要求9所述的一種新能源廠站發電單元采集終端數據安全保障系統，其特征在于，

所述的安全加固模塊包括設置在采集終端中的安全加密芯片和定制硬件；

所述的加密傳輸模塊用于通過身份認證協議互相驗證對方的合法性并建立通信通道，利用密鑰交換協議生成一個安全的對稱加密密鑰并利用產生的密鑰對傳輸通道進行加密；

所述的過濾隔離模塊包括用于對數據包進行格式審查和保密性檢測的過濾模塊，以及用于控制高速存儲硬件的隔離開關；所述的高速存儲硬件分別連接外網機數據緩沖區和內網機數據緩沖區；隔離開關控制高速存儲硬件與內網機數據緩沖區和外網機數據緩沖區中的一個連通，另一個斷開。