電力系統(tǒng)信息安全驗證平臺中廣域網(wǎng)仿真方法

楊 軍 ，周純杰 ，應(yīng) 歡 ，李夢濤 ，楊 軍

（1.國家電網(wǎng)公司，北京 100031；2.華中科技大學(xué) 自動化學(xué)院，武漢 430074；3.中國電力科學(xué)研究院，北京 100192）

實際電力系統(tǒng)站點(diǎn)眾多、分布地域廣，廣域網(wǎng)規(guī)模大、拓?fù)浣Y(jié)構(gòu)復(fù)雜[1]，而且一旦實際網(wǎng)絡(luò)搭建完畢，其架構(gòu)很難更改、可擴(kuò)展性差；相關(guān)參數(shù)配置、調(diào)試等方面也面臨極大的工程難度，不合理的配置可能導(dǎo)致系統(tǒng)的不穩(wěn)定。另外，隨著廣域網(wǎng)承載的應(yīng)用業(yè)務(wù)量和復(fù)雜度不斷增加，面臨的安全威脅也日益凸顯，例如：攔截、未經(jīng)授權(quán)訪問、篡改、偽造、拒絕服務(wù)等[2-3]。因此，在進(jìn)行電力系統(tǒng)網(wǎng)絡(luò)實際搭建之前，需要利用仿真模擬對電力系統(tǒng)廣域網(wǎng)進(jìn)行調(diào)試，降低系統(tǒng)的開發(fā)成本、時間成本，快速、直觀地評價網(wǎng)絡(luò)性能，查看不同威脅對系統(tǒng)的影響，進(jìn)而對電力系統(tǒng)的信息安全防護(hù)提供指導(dǎo)。

目前，對電力系統(tǒng)大規(guī)模、復(fù)雜結(jié)構(gòu)網(wǎng)絡(luò)的研究還停留在對某一站點(diǎn)的網(wǎng)絡(luò)仿真，難以把握電力系統(tǒng)全局狀況。文中，提出一種在電力系統(tǒng)信息安全驗證平臺上基于OPNET的廣域網(wǎng)仿真方法，在對OPNET仿真機(jī)制、建模方法以及仿真中的關(guān)鍵技術(shù)進(jìn)行闡述基礎(chǔ)上，通過OPNET搭建電力系統(tǒng)廣域網(wǎng)仿真場景，并從網(wǎng)絡(luò)性能、常用協(xié)議的兼容性、攻防對抗模擬方面進(jìn)行測試驗證。

1 基于OPNET的廣域網(wǎng)仿真技術(shù)

OPNET是一種采用離散事件驅(qū)動和混合建模機(jī)制的網(wǎng)絡(luò)仿真工具，提供了數(shù)據(jù)統(tǒng)計與分析功能，和比較齊全的基本模型庫[4]，能夠準(zhǔn)確地分析復(fù)雜網(wǎng)絡(luò)的性能和行為，滿足大型復(fù)雜網(wǎng)絡(luò)的仿真需要。

1.1 OPNET仿真機(jī)制

在仿真方面，OPNET采用基于離散事件驅(qū)動的仿真機(jī)制。當(dāng)網(wǎng)絡(luò)狀態(tài)發(fā)生變化時，模擬機(jī)進(jìn)行仿真，仿真中的各個模塊之間通過事件中斷方式傳遞事件信息，提高了模擬機(jī)的計算效率。

在包傳輸方面，OPNET采用基于包的建摸機(jī)制來模擬實際物理網(wǎng)絡(luò)中包的流動，以及網(wǎng)絡(luò)協(xié)議中的組包和拆包過程，生成、編輯任何標(biāo)準(zhǔn)的或自定義的包格式[5]。

1.2 OPNET廣域網(wǎng)仿真模型

圖1 OPNET廣域網(wǎng)仿真網(wǎng)絡(luò)模型Fig.1 OPNET WAN simulation network model

OPNET廣域網(wǎng)仿真網(wǎng)絡(luò)模型如圖1所示，主要包括節(jié)點(diǎn)模型和鏈路模型2個部分。節(jié)點(diǎn)模型使用系統(tǒng)在環(huán)SITL的方法實現(xiàn)虛擬網(wǎng)絡(luò)和真實網(wǎng)絡(luò)的對接，同時實現(xiàn)真實網(wǎng)絡(luò)IP包和虛擬網(wǎng)絡(luò)仿真包的相互轉(zhuǎn)換。鏈路模型主要模擬廣域網(wǎng)的網(wǎng)絡(luò)結(jié)構(gòu)、流量及特性參數(shù)等，實現(xiàn)連接該網(wǎng)絡(luò)的各個節(jié)點(diǎn)間的信息交互。

1.3 OPNET仿真建模方法

OPNET采用3層建模機(jī)制實現(xiàn)網(wǎng)絡(luò)的建模與仿真。最底層為進(jìn)程模型，由狀態(tài)（C/C++語句構(gòu)成）轉(zhuǎn)移構(gòu)成，用于描述節(jié)點(diǎn)內(nèi)部行為規(guī)范，包括決策進(jìn)程和算法；中間層為節(jié)點(diǎn)模型，由協(xié)議棧組成，用于描述網(wǎng)絡(luò)中節(jié)點(diǎn)的工作流程，從應(yīng)用、進(jìn)程、隊列和通信接口對節(jié)點(diǎn)的功能進(jìn)行規(guī)范；最上層為網(wǎng)絡(luò)模型，由大量的節(jié)點(diǎn)以及節(jié)點(diǎn)之間的鏈路組成，用于描述網(wǎng)絡(luò)中節(jié)點(diǎn)間的通信行為，并通過配置網(wǎng)絡(luò)中節(jié)點(diǎn)、鏈路的屬性實現(xiàn)基本通信功能[6]。OPNET三層建模原理如圖2所示。

圖2 OPNET三層建模原理Fig.2 OPNET three-layer modeling principle

其中，網(wǎng)絡(luò)模型是結(jié)合實際網(wǎng)絡(luò)場景需求搭建的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，而網(wǎng)絡(luò)拓?fù)渲泄?jié)點(diǎn)設(shè)備的添加既可以使用OPNET自帶的設(shè)備庫，也可以通過自定義的方式。OPNET三層建模基本原理，是先通過C/C++等編程語言描述節(jié)點(diǎn)的基本功能和狀態(tài)邏輯，建立基于狀態(tài)轉(zhuǎn)移圖的進(jìn)程模型。然后，根據(jù)擬建節(jié)點(diǎn)所需功能，將各進(jìn)程模型按照數(shù)據(jù)包轉(zhuǎn)移流程進(jìn)行連接[7]。

OPNET仿真建模大體分為6個步驟：配置網(wǎng)絡(luò)拓?fù)洹渲脴I(yè)務(wù)→收集統(tǒng)計量→運(yùn)行仿真→調(diào)試模塊再次仿真→發(fā)布結(jié)果和拓?fù)鋱蟾?。其中，步驟1和步驟2屬于創(chuàng)建模型部分即根據(jù)研究的問題和目標(biāo)，建立網(wǎng)絡(luò)、節(jié)點(diǎn)、進(jìn)程及其協(xié)議模型并配置相關(guān)業(yè)務(wù)，其目的是通過對模型的動態(tài)仿真來測試網(wǎng)絡(luò)的行為和性能，獲取網(wǎng)絡(luò)特性參數(shù)等。OPNET提供反映網(wǎng)絡(luò)動態(tài)特性的矢量統(tǒng)計量和捕捉網(wǎng)絡(luò)非動態(tài)行為特征的標(biāo)量統(tǒng)計量。收集統(tǒng)計量即將統(tǒng)計量寫入統(tǒng)計量輸出文件中。在運(yùn)行仿真前需要設(shè)置運(yùn)行參數(shù)；仿真過程中可以利用OPNET交互式調(diào)試工具，隨時中斷正在運(yùn)行的仿真程序；仿真結(jié)束后使用OPNET集成的分析工具，以參數(shù)曲線的形式直觀地顯示仿真結(jié)果并加以分析[8]。

1.4 OPNET廣域網(wǎng)仿真關(guān)鍵技術(shù)

1.4.1 路由冗余技術(shù)

（1）熱備份路由協(xié)議

主動路由器負(fù)責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)包，一旦出現(xiàn)故障，熱備份路由協(xié)議HSRP將激活備份路由器取代主動路由器。HSRP協(xié)議提供了一種決定使用主動路由器還是備份路由器的機(jī)制，并制定一個虛擬的IP地址作為網(wǎng)絡(luò)系統(tǒng)的默認(rèn)網(wǎng)關(guān)地址。如果主動路由器出現(xiàn)故障，備份路由器繼承主動路由器的所有任務(wù)，并且不會導(dǎo)致主機(jī)連通中斷現(xiàn)象[9]。

（2）虛擬路由冗余協(xié)議

采用虛擬路由冗余協(xié)議VRRP可以很好地避免靜態(tài)指定網(wǎng)關(guān)的缺陷。VRRP將局域網(wǎng)的一組路由器組織成一個虛擬路由器，對外表現(xiàn)為一個具有唯一固定IP地址和MAC地址的邏輯路由器。VRRP協(xié)議選出一臺作為主控，負(fù)責(zé)ARP響應(yīng)和轉(zhuǎn)發(fā)IP數(shù)據(jù)包，其他路由器作備份處于待命狀態(tài)。當(dāng)主控路由器發(fā)生故障時，備份路由器能在幾秒鐘的時延后升級為主路由器，切換迅速且無需改變IP地址和MAC地址[10]。

1.4.2 半實物仿真技術(shù)

半實物仿真技術(shù)即在仿真系統(tǒng)中接入實物，以取代相應(yīng)部分的數(shù)學(xué)模型，使其更接近實際情況，從而得到更確切的信息。半實物仿真系統(tǒng)一般由仿真計算機(jī)系統(tǒng)與接口、環(huán)境模擬設(shè)備、被測實物三部分組成。

OPNET中提供了SITL模塊，模塊的工作原理如圖3所示。通過運(yùn)行SITL，網(wǎng)絡(luò)接口接收數(shù)據(jù)包，然后再通過防火墻過濾掉一些不需要的數(shù)據(jù)包轉(zhuǎn)發(fā)到操作系統(tǒng)中。同時，SITL組件從網(wǎng)卡捕獲發(fā)送給SITL模塊的數(shù)據(jù)包，然后將其轉(zhuǎn)發(fā)至仿真環(huán)境中，OPNET仿真內(nèi)核對整個數(shù)據(jù)包進(jìn)行解析，這樣SITL網(wǎng)關(guān)節(jié)點(diǎn)就可以看到完整的以太網(wǎng)幀，并將它們傳遞給仿真環(huán)境的其他部分[11]。

圖3 SITL工作原理Fig.3 SITL working principle

1.4.3 統(tǒng)計量導(dǎo)出方法

OPNET統(tǒng)計量導(dǎo)出的方法包括基于外部模型訪問和基于統(tǒng)計線2種方法?；谕獠磕Ｐ驮L問的導(dǎo)出方法是通過第三方軟件如Visual Studio調(diào)用OPNET庫函數(shù)實現(xiàn)，其適應(yīng)性強(qiáng)并且可以導(dǎo)出全部統(tǒng)計量。而基于統(tǒng)計線的導(dǎo)出方法，通過在OPNET節(jié)點(diǎn)域中添加統(tǒng)計模塊實現(xiàn)，主要有以下步驟：

步驟1 在節(jié)點(diǎn)域中添加模塊與統(tǒng)計線，并對統(tǒng)計線屬性中統(tǒng)計量源、統(tǒng)計量目的、中斷模式、中斷觸發(fā)方式進(jìn)行配置。

步驟2 在進(jìn)程域中參考 《關(guān)鍵函數(shù)參考手冊》，采用C語言實現(xiàn)統(tǒng)計量的文件磁盤存儲。

1.4.4 防火墻和VPN技術(shù)

OPNET路由器支持標(biāo)準(zhǔn)包過濾和擴(kuò)展包過濾，一般配置擴(kuò)展ACL，選擇IP→IP Routing Parameters→Extended ACL Configuration進(jìn)行 ACL的配置，然后通過Interface Information查找對應(yīng)接口的Packet Filter，部署包過濾。

VPN技術(shù)通過在一個復(fù)雜的網(wǎng)絡(luò)中建立一個安全、專用的網(wǎng)絡(luò)來實現(xiàn)對業(yè)務(wù)信息的傳輸和保護(hù)。它無需單獨(dú)建立專用的網(wǎng)絡(luò)，而是在公共網(wǎng)絡(luò)上建立虛擬的網(wǎng)絡(luò)來實現(xiàn)專網(wǎng)的傳輸。在OPNET中，選擇VPN對象模型“IP VPN Config”，鼠標(biāo)右鍵選擇屬性，添加VPN隧道，設(shè)置源路由器以及目的路由器，并添加客戶端以實現(xiàn)VPN的配置。

2 仿真應(yīng)用案例

2.1 電力系統(tǒng)廣域網(wǎng)仿真場景搭建

電力系統(tǒng)廣域網(wǎng)規(guī)模大，覆蓋了全國各省市，一般采取3層結(jié)構(gòu)設(shè)計，如圖4所示，即一級網(wǎng)絡(luò)、二級網(wǎng)絡(luò)和三級網(wǎng)絡(luò)。其中，三級網(wǎng)絡(luò)是城市范圍的網(wǎng)絡(luò)，二級網(wǎng)絡(luò)是省內(nèi)范圍的網(wǎng)絡(luò)，一級網(wǎng)絡(luò)則覆蓋全國各網(wǎng)局和直屬省局。

圖4 電力系統(tǒng)廣域網(wǎng)三層結(jié)構(gòu)Fig.4 Power system WAN three-tier structure

根據(jù)如圖所示結(jié)構(gòu)搭建的包含有一級網(wǎng)絡(luò)、二級網(wǎng)絡(luò)和三級網(wǎng)絡(luò)的電力系統(tǒng)廣域網(wǎng)仿真場景，如圖5所示。

圖5 OPNET廣域網(wǎng)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)Fig.5 OPNET WAN network topology

其搭建步驟如下：

步驟 1 新建工程“File”→“New”→“Project”，選擇空場景Create empty scenario，網(wǎng)絡(luò)規(guī)模Network Scale，地域 World，模型庫選擇 MPLS，SITL 模型庫Model Family。

步驟2 依據(jù)地理位置搭建網(wǎng)絡(luò)。

選擇地勢平坦的梯田作為試驗地點(diǎn)。地膜帶幅為1.2 m，寬窄行距離分別為0.6 m和0.4 m，每壟種植2行作物，株距保持在為35～40 cm，保苗在60 000株/hm2左右，用種量30 kg/hm2。

步驟3 在網(wǎng)絡(luò)節(jié)點(diǎn)間添加鏈路。不同的網(wǎng)絡(luò)節(jié)點(diǎn)，其內(nèi)部設(shè)置的局域網(wǎng)絡(luò)不同。有的包含虛擬客戶端/服務(wù)器，用于仿真電網(wǎng)中SCADA業(yè)務(wù)；有的包含SITL組件，用于仿真實際數(shù)據(jù)通信[12]。

2.2 試驗環(huán)境配置

仿真使用4臺計算機(jī)：2臺作通信主機(jī)，1臺作攻擊注入主機(jī)，1臺作OPNET仿真主機(jī)。試驗環(huán)境整體配置如圖6所示。

圖6 試驗環(huán)境整體配置Fig.6 Overall configuration of experimental environment

3 網(wǎng)絡(luò)性能測試及攻防試驗

3.1 網(wǎng)絡(luò)性能評估

廣域網(wǎng)傳輸信息信道對實時性要求很高，實時性取決于網(wǎng)絡(luò)擁塞程度、網(wǎng)絡(luò)傳輸鏈路時延，可以用網(wǎng)絡(luò)端到端的吞吐量、網(wǎng)絡(luò)時延和時延差來衡量，而可靠性取決于網(wǎng)絡(luò)設(shè)備、傳輸鏈路故障恢復(fù)時間可以用固定包頻下的丟包率來衡量[13]。

主機(jī)PC_A和PC_B通過仿真網(wǎng)絡(luò)進(jìn)行通信，利用ATTKPING和TamoSoft Throughput Test對網(wǎng)絡(luò)丟包以及吞吐率進(jìn)行測試。首先在PC_B中運(yùn)行ATTKPING軟件，用ping PC_A來測試網(wǎng)絡(luò)延時和丟包率。通過測試發(fā)現(xiàn)當(dāng)最大數(shù)據(jù)量為1472時，丟包率為0%，延時在32 ms左右。

在PC_A和PC_B上分別運(yùn)行TamoSoft Throughput Test Client和TamoSoft Throughput Test Server進(jìn)行吞吐率測試。測試結(jié)果如圖7所示，在Qos traffic type為Voice的情況下，TCP上傳時平均吞吐量為 11.37 Mb/s，下載時平均吞吐量為 12.03 Mb/s。

圖7 網(wǎng)絡(luò)voice吞吐率測試結(jié)果Fig.7 Network voice throughput test results

3.2 網(wǎng)絡(luò)協(xié)議兼容性驗證

在電力系統(tǒng)中，常用的協(xié)議有ModBus協(xié)議、IEC60870-5-104規(guī)約、IEC61850規(guī)約、S7協(xié)議、OPC協(xié)議等。通過測試，電力系統(tǒng)常用協(xié)議與OPNET的兼容性見表1。

表1 電力系統(tǒng)常用協(xié)議與OPNET的兼容性Tab.1 Compatibility of power system common protocol with OPNET

3.3 網(wǎng)絡(luò)攻防試驗

3.3.1 OPNET 仿真場景下的攻擊試驗

采用76號工具進(jìn)行TCP SYN Flood攻擊，試驗結(jié)果如圖8所示。當(dāng)網(wǎng)絡(luò)遭受到攻擊時，鏈路請求包速率迅速增大，鏈路響應(yīng)包速率隨之增加，但兩者差值較大即通信出現(xiàn)不同步現(xiàn)象，隨后包速率下降說明攻擊一段時間后客戶端與服務(wù)器之間的通信斷連。

3.3.2 防火墻與VPN仿真試驗

全仿情況下，服務(wù)器通過防火墻與外界網(wǎng)絡(luò)隔離，2臺仿真主機(jī)同時訪問服務(wù)器，計算機(jī)2采用VPN技術(shù)，計算機(jī)1不采用VPN技術(shù)，觀察其結(jié)果。具體實現(xiàn)如下：

圖8 攻擊下網(wǎng)絡(luò)包請求/響應(yīng)速率的對比Fig.8 Comparison of network packet request/response rate under attack

（1）指定用戶概要和部署應(yīng)用

電力系統(tǒng)的業(yè)務(wù)主要有語音業(yè)務(wù)、數(shù)據(jù)業(yè)務(wù)、多媒體業(yè)務(wù)、E-mail等。在OPNET中，添加應(yīng)用對象模型以及概要對象模型。由于OPNET中，沒有多媒體應(yīng)用，使用FTP應(yīng)用替代多媒體應(yīng)用。指定用戶概要和部署應(yīng)用包含3步：配置應(yīng)用、配置概要、部署應(yīng)用。

（2）配置防火墻與VPN

選取xinjiang子網(wǎng)中的防火墻，右鍵選擇屬性，選擇“Proxy Server Information”進(jìn)行配置。在xinjiang子網(wǎng)和huadong子網(wǎng)之間建立VPN通道，xinjiang子網(wǎng)為源路由器，huadong子網(wǎng)為目的路由器，其中客戶端為源路由器的客戶端。

（3）選擇相應(yīng)統(tǒng)計量

選取xinjiang子網(wǎng)節(jié)點(diǎn)局域網(wǎng)內(nèi)防火墻丟包、lasa子網(wǎng)節(jié)點(diǎn)局域網(wǎng)內(nèi)吞吐量、huadong子網(wǎng)節(jié)點(diǎn)局域網(wǎng)內(nèi)吞吐量作為統(tǒng)計量，用于觀察防火墻和VPN的作用效果。

（4）運(yùn)行仿真得到結(jié)果

運(yùn)行仿真，仿真效果如圖9所示。

圖9 防火墻與VPN效果曲線Fig.9 Firewall and VPN effect curve

圖中，計算機(jī)1代表lasa子網(wǎng)的Virt_Attacker，計算機(jī)2代表huadong子網(wǎng)的客戶端。由圖9可見，使用了VPN的計算機(jī)2能夠收到來自服務(wù)器的數(shù)據(jù)響應(yīng)包，未使用VPN的計算機(jī)1無法獲取服務(wù)器數(shù)據(jù)?？梢哉f明，防火墻可以阻止非法的遠(yuǎn)程訪問；VPN能夠透過防火墻對服務(wù)器進(jìn)行訪問。

4 結(jié)語

文中所提出基于電力系統(tǒng)信息安全驗證平臺的廣域網(wǎng)仿真方法，介紹了OPNET仿真機(jī)制、建模方法以及仿真中的關(guān)鍵技術(shù)；通過廣域網(wǎng)仿真場景對網(wǎng)絡(luò)性能進(jìn)行評估，對協(xié)議的兼容性進(jìn)行驗證，對TCP SYN Flood攻擊對廣域網(wǎng)性能的影響以及防火墻和VPN技術(shù)在廣域網(wǎng)中的作用進(jìn)行闡述。該方法為建設(shè)電力系統(tǒng)信息安全驗證平臺提供了技術(shù)支持，也為后續(xù)研究OPNET廣域網(wǎng)仿真的人員提供了方法指導(dǎo)。

[1] 許玲玲．智能電網(wǎng)環(huán)境下廣域網(wǎng)通信系統(tǒng)的研究[D]．保定：華北電力大學(xué)，2011．

[2] 林永峰，陳亮，張國強(qiáng)．配電自動化終端信息安全風(fēng)險測評方法研究[J]．自動化與儀表，2015，30（12）：11-14，58．

[3] 劉松國，韓樹新，李偉忠，等．電梯運(yùn)行狀態(tài)監(jiān)測與故障遠(yuǎn)程報警系統(tǒng)研究[J]．自動化與儀表，2011，26（10）：42-46．

[4] 沈海紅，王進(jìn)，鄭寶玉．基于3種主流網(wǎng)絡(luò)仿真軟件的網(wǎng)絡(luò)仿真探討[J]．江蘇通信，2004，20（4）：5-8．

[5] 朱辰，董銀虎．基于OPNET的網(wǎng)絡(luò)仿真技術(shù)研究及其應(yīng)用[J]．無線電工程，2013，43（3）：12-15，61．

[6] 廖晨淞，童曉陽，王曉茹．OPNET仿真及其在電力系統(tǒng)通信研究中的應(yīng)用[J]．電氣應(yīng)用，2010，29（9）：52-56，91．

[7] Zhao W，Xie J．OPNET-based modeling and simulation study on handoffs in Internet-based infrastructure wireless mesh networks[M]．[s．l．]：Elsevier North-Holland Inc．，2011．

[8] 韋良芬．基于OPNET的網(wǎng)絡(luò)建模與仿真設(shè)計[J]．電腦知識與技術(shù)，2012，8（33）：8073-8075．

[9] 陳偉．利用HSRP熱備份路由技術(shù)提高網(wǎng)絡(luò)可靠性[J]．福建電腦，2015，19（4）：139-140．

[10] 谷寶磊．基于VRRP協(xié)議實現(xiàn)路由冗余和負(fù)載均衡的應(yīng)用研究[J]．智能計算機(jī)與應(yīng)用，2014，4（6）：100-103．

[11] 李洪鑫，張傳富，范超．OPNET半實物仿真機(jī)制研究[J]．信息工程大學(xué)學(xué)報，2011，12（4）：509-512．

[12] Bian D，Kuzlu M，Pipattanasomporn M，et al．Real-time co-simulation platform using OPAL-RT and OPNET for analyzing smart grid performance[C]//Power ＆ Energy Society General Meeting．IEEE，2015：1-5．

[13] 林濤，郭曉，陳恩，等．基于Si4432和GPRS遠(yuǎn)程智能抄表系統(tǒng)的研究[J]．自動化與儀表，2014，29（7）：31-34． ■