面向智能電網(wǎng)的一種新型可信可控網(wǎng)絡(luò)體系架構(gòu)

亢銀柱，劉澤輝

(國(guó)網(wǎng)山西省電力公司電力科學(xué)研究院，山西 太原 030001)

0 引言

在電力技術(shù)飛速前進(jìn)的新世紀(jì)，國(guó)家電網(wǎng)有限公司以特高壓電網(wǎng)為骨干網(wǎng)架，以各級(jí)電網(wǎng)協(xié)調(diào)發(fā)展的堅(jiān)強(qiáng)電網(wǎng)為基礎(chǔ)，利用新型的信息通信技術(shù)，創(chuàng)新性地提出構(gòu)建國(guó)際領(lǐng)先、自主創(chuàng)新、中國(guó)特色的智能電網(wǎng)[1-3]。智能電網(wǎng)的實(shí)現(xiàn)技術(shù)涵蓋了當(dāng)前諸多熱門領(lǐng)域，其中以“互聯(lián)網(wǎng)+”為代表的信息通信技術(shù)是眾多核心技術(shù)之一，是實(shí)現(xiàn)全球能源互聯(lián)網(wǎng)的基礎(chǔ)[4-8]。然而，近年來(lái)，利用電力信息網(wǎng)中的網(wǎng)絡(luò)漏洞對(duì)智能電網(wǎng)進(jìn)行攻擊并破壞物理設(shè)備的事件時(shí)有發(fā)生。

2015年12月23日，烏克蘭當(dāng)?shù)爻鞘须娏υO(shè)施突然不能正常工作，成百上千用戶居民家中停電，城市陷入恐慌當(dāng)中。隨后，烏克蘭安全部門當(dāng)即宣布，這次停電不是因?yàn)殡娏Χ倘?，而是一起針?duì)電力公司的網(wǎng)絡(luò)惡意攻擊事件。安全部門的調(diào)查指出，致使烏克蘭部分地區(qū)停電的“幕后黑手”是一款名為“黑暗力量”（Black Energy）的惡意病毒。2016年1月25日，以色列能源部長(zhǎng)宣布，以色列遭遇到了歷史上規(guī)模最大、影響最為嚴(yán)重的一次網(wǎng)絡(luò)攻擊。事后根據(jù)相關(guān)部門的調(diào)查結(jié)果可知，在此次攻擊事件中網(wǎng)絡(luò)攻擊者利用含有病毒文件的釣魚郵件感染電力局工作人員的辦公電腦，將勒索軟件（Ransomware）植入到辦公系統(tǒng)中。為了防止事態(tài)進(jìn)一步擴(kuò)散，阻止勒索軟件進(jìn)一步在電力信息網(wǎng)中傳播，以色列當(dāng)局被迫關(guān)閉了所有被病毒感染的計(jì)算機(jī)，致使該國(guó)部分電力網(wǎng)絡(luò)關(guān)閉。

由烏克蘭和以色列國(guó)家電網(wǎng)遭受網(wǎng)絡(luò)攻擊事件可以得到啟示[9]：電力系統(tǒng)作為國(guó)家關(guān)鍵性基礎(chǔ)設(shè)施已經(jīng)成為網(wǎng)絡(luò)攻擊的重要目標(biāo)；網(wǎng)絡(luò)攻擊能達(dá)到類似于物理攻擊的效果，從而導(dǎo)致變電站乃至整個(gè)能源供給系統(tǒng)的癱瘓；電力系統(tǒng)中信息基礎(chǔ)設(shè)施的脆弱性客觀存在，傳統(tǒng)的網(wǎng)絡(luò)體系難以完全有效抵御此類網(wǎng)絡(luò)攻擊。

1 新型網(wǎng)絡(luò)體系架構(gòu)模型

隨著電力信息網(wǎng)絡(luò)的快速發(fā)展，電力信息網(wǎng)絡(luò)的規(guī)模不斷擴(kuò)大，網(wǎng)絡(luò)結(jié)構(gòu)呈現(xiàn)多層級(jí)、廣分布的復(fù)雜特點(diǎn)。電力信息網(wǎng)絡(luò)建設(shè)需要一個(gè)相對(duì)傳統(tǒng)網(wǎng)絡(luò)更加安全可靠、可控可管的新型網(wǎng)絡(luò)體系架構(gòu)。本文提出的一種原創(chuàng)可信可控網(wǎng)絡(luò)系統(tǒng)架構(gòu)——標(biāo)簽分離聚類映射網(wǎng)絡(luò)體系架構(gòu)，能夠很好地滿足電力信息網(wǎng)絡(luò)的安全可靠、可控可管需求，并從技術(shù)路線、理論依據(jù)和應(yīng)用場(chǎng)景等多方面對(duì)本系統(tǒng)架構(gòu)進(jìn)行論證。

1.1 標(biāo)簽分離聚類映射網(wǎng)絡(luò)體系架構(gòu)

根據(jù)安全可靠、可控可管的智能電網(wǎng)需求，標(biāo)簽分離聚類映射網(wǎng)絡(luò)體系結(jié)構(gòu)采用身份與位置標(biāo)簽分離聚類映射技術(shù)，完全剝離了傳統(tǒng)網(wǎng)絡(luò)地址所具有的路由系統(tǒng)定位符和主機(jī)身份標(biāo)簽符的雙重功能。

本質(zhì)上，現(xiàn)有網(wǎng)絡(luò)上的一切資源都僅僅是由IP地址來(lái)表示的。正是因?yàn)楝F(xiàn)有體系結(jié)構(gòu)中存在的這種缺點(diǎn)，標(biāo)簽分離聚類映射體系提出將網(wǎng)絡(luò)中標(biāo)簽的身份功能和位置功能分開的解決方案，并且在身份和位置之間建立完善的標(biāo)簽分離聚類映射機(jī)制，能夠使得用戶和交換網(wǎng)中的路由設(shè)備及時(shí)獲知網(wǎng)絡(luò)中的標(biāo)簽對(duì)應(yīng)關(guān)系，作為路由轉(zhuǎn)發(fā)的依據(jù)。標(biāo)簽分離聚類映射體系示意圖如圖1所示。

圖1 標(biāo)簽分離聚類映射網(wǎng)絡(luò)體系示意圖

1.2 身份標(biāo)簽與位置標(biāo)簽定義

1.2.1 身份標(biāo)簽定義

身份標(biāo)簽的長(zhǎng)度可變、格式靈活，并從服務(wù)商無(wú)關(guān)（PI，Provider Independent）地址塊中劃分。各個(gè)用戶可以采用自己的身份標(biāo)簽格式，即各個(gè)用戶的身份標(biāo)簽格式可以自己定義。身份標(biāo)簽用于表示用戶中用戶的身份屬性，在端到端通信等網(wǎng)絡(luò)業(yè)務(wù)中代表對(duì)端身份。用戶可以擁有一個(gè)或多個(gè)身份標(biāo)簽，在通信過(guò)程中根據(jù)業(yè)務(wù)需求使用其中一個(gè)或者多個(gè)。身份標(biāo)簽在用戶移動(dòng)等過(guò)程中不發(fā)生改變。身份標(biāo)簽不能作為位置標(biāo)簽。

1.2.2 位置標(biāo)簽定義

此次研制出的10 kV配電網(wǎng)不停電作業(yè)綜合絕緣抱桿，較傳統(tǒng)帶電作業(yè)用絕緣抱桿相比，有了多方面的功能提升，整套工具更安全、更適用、更方便，體現(xiàn)在以下6個(gè)方面：

位置標(biāo)簽是交換網(wǎng)中網(wǎng)絡(luò)層的標(biāo)簽符，標(biāo)簽分離聚類映射模塊為該用戶網(wǎng)絡(luò)中用戶分配位置標(biāo)簽，形成＜身份標(biāo)簽，位置標(biāo)簽＞映射信息。交換網(wǎng)絡(luò)中的節(jié)點(diǎn)使用位置標(biāo)簽互相通信。已經(jīng)分配給交換網(wǎng)絡(luò)節(jié)點(diǎn)作為網(wǎng)絡(luò)部分標(biāo)簽符的位置標(biāo)簽，不能再被分配給用戶的節(jié)點(diǎn)代表位置信息。

1.3 標(biāo)簽分離聚類映射機(jī)制

標(biāo)簽分離聚類映射機(jī)制是標(biāo)簽分離聚類映射網(wǎng)絡(luò)的核心技術(shù)，它在用戶中引入身份標(biāo)簽表示用戶身份信息，在交換網(wǎng)中引入位置標(biāo)簽表示用戶位置信息，在標(biāo)簽分離聚類映射模塊將用戶和交換網(wǎng)分離，建立標(biāo)簽映射服務(wù)器存儲(chǔ)身份標(biāo)簽與位置標(biāo)簽的映射關(guān)系。圖2為標(biāo)簽分離聚類映射網(wǎng)絡(luò)體系拓?fù)鋱D，下面依據(jù)該圖對(duì)標(biāo)簽分離聚類映射技術(shù)進(jìn)行詳細(xì)介紹。

1.3.1 標(biāo)簽分離聚類映射模塊

標(biāo)簽分離聚類映射模塊負(fù)責(zé)用戶與交換網(wǎng)之間的數(shù)據(jù)轉(zhuǎn)發(fā)，是用戶網(wǎng)絡(luò)接入交換網(wǎng)絡(luò)的接入點(diǎn)。標(biāo)簽分離聚類映射模塊為用戶中的節(jié)點(diǎn)分配＜身份標(biāo)簽，位置標(biāo)簽＞映射關(guān)系。標(biāo)簽分離聚類映射模塊可以從用戶一側(cè)接收源和目的均為身份標(biāo)簽的數(shù)據(jù)包，也可以從交換網(wǎng)一側(cè)接收源和目的均為位置標(biāo)簽的數(shù)據(jù)包。在需要時(shí)，標(biāo)簽分離聚類映射模塊對(duì)數(shù)據(jù)包中的身份標(biāo)簽或位置標(biāo)簽執(zhí)行映射操作。映射操作是身份標(biāo)簽與對(duì)應(yīng)位置標(biāo)簽的替換。在必要的情況下，標(biāo)簽分離聚類映射模塊會(huì)執(zhí)行＜身份標(biāo)簽，位置標(biāo)簽＞映射關(guān)系的查找。在交換網(wǎng)中，只有標(biāo)簽分離聚類映射模塊可以使用身份標(biāo)簽，并且身份標(biāo)簽僅能夠被用來(lái)和用戶中的節(jié)點(diǎn)進(jìn)行通信。

圖2 標(biāo)簽分離聚類映射機(jī)制示意圖

1.3.2 標(biāo)簽映射服務(wù)器

標(biāo)簽映射服務(wù)器用來(lái)維護(hù)＜身份標(biāo)簽，位置標(biāo)簽＞映射信息的全局性數(shù)據(jù)庫(kù)。

標(biāo)簽分離聚類映射網(wǎng)絡(luò)采用了基于網(wǎng)絡(luò)的標(biāo)簽分離聚類映射機(jī)制，標(biāo)簽分離聚類映射過(guò)程在標(biāo)簽分離聚類映射模塊上完成，因此，用戶使用身份標(biāo)簽的方式與傳統(tǒng)互聯(lián)網(wǎng)用戶使用IPv4或者IPv6地址的方式基本一致。通過(guò)身份標(biāo)簽建立通信連接，并作為用戶數(shù)據(jù)報(bào)頭的源地址和目的地址。但是，與傳統(tǒng)互聯(lián)網(wǎng)不同的是，身份標(biāo)簽僅僅代表用戶的身份屬性，始終保持不變。路由器的基本功能仍然是維護(hù)路由表和進(jìn)行數(shù)據(jù)包轉(zhuǎn)發(fā)。標(biāo)簽分離聚類映射模塊是關(guān)鍵設(shè)備，用來(lái)執(zhí)行數(shù)據(jù)包中身份標(biāo)簽與位置標(biāo)簽的映射。在一個(gè)用戶向其通信對(duì)端發(fā)送數(shù)據(jù)的過(guò)程中，當(dāng)標(biāo)簽分離聚類映射模塊從用戶向交換網(wǎng)轉(zhuǎn)發(fā)數(shù)據(jù)包時(shí)，將數(shù)據(jù)包首部中的身份標(biāo)簽映射為位置標(biāo)簽；當(dāng)標(biāo)簽分離聚類映射模塊從交換網(wǎng)向用戶中轉(zhuǎn)發(fā)數(shù)據(jù)包時(shí)，將數(shù)據(jù)包首部中的位置標(biāo)簽映射為身份標(biāo)簽。

2 新型網(wǎng)絡(luò)體系架構(gòu)通信流程

圖3描述了128位標(biāo)簽分離聚類映射網(wǎng)絡(luò)的一次完整的通信流程，接入路由器AR包含了標(biāo)簽分離聚類映射核心模塊。

步驟1：ARA建立本地用戶映射表，在地址池中為用戶A根據(jù)當(dāng)前的路由策略選擇最佳的位置標(biāo)簽，并建立身份標(biāo)簽與位置標(biāo)簽之間的映射關(guān)系。

步驟2：ARA將新增加的映射關(guān)系匯報(bào)至標(biāo)簽映射服務(wù)器，并在標(biāo)簽映射服務(wù)器的本地?cái)?shù)據(jù)庫(kù)中存儲(chǔ)下該條映射關(guān)系。

步驟3：當(dāng)用戶A向用戶B發(fā)送數(shù)據(jù)請(qǐng)求包時(shí)，數(shù)據(jù)請(qǐng)求包的源標(biāo)簽為用戶A的身份標(biāo)簽，數(shù)據(jù)包的目的標(biāo)簽為用戶B的身份標(biāo)簽。

步驟4：當(dāng)ARA收到第一個(gè)用戶A發(fā)給B的數(shù)據(jù)請(qǐng)求包時(shí)，由于在ARA本地映射表中沒有保存用戶B的身份標(biāo)簽與位置標(biāo)簽之間的映射關(guān)系，因此，ARA需要向標(biāo)簽映射服務(wù)器進(jìn)行查詢。

步驟5：當(dāng)標(biāo)簽映射服務(wù)器向ARA返回用戶B的身份標(biāo)簽和位置標(biāo)簽映射關(guān)系后，ARA將該條映射關(guān)系存儲(chǔ)到本地對(duì)端用戶映射表中。

步驟6：ARA將用戶A向用戶B的數(shù)據(jù)請(qǐng)求包中的源和目的身份標(biāo)簽替換為相對(duì)應(yīng)的位置標(biāo)簽，然后把替換后的數(shù)據(jù)請(qǐng)求包轉(zhuǎn)發(fā)出去；交換網(wǎng)中的網(wǎng)絡(luò)交換路由器根據(jù)數(shù)據(jù)包中的位置標(biāo)簽將該數(shù)據(jù)包轉(zhuǎn)發(fā)給ARB。

步驟7：ARB收到ARA發(fā)送來(lái)的數(shù)據(jù)包后，由于是第一次接收到用戶A向用戶B發(fā)出的數(shù)據(jù)請(qǐng)求包，ARB的對(duì)端用戶映射表中沒有存儲(chǔ)用戶A的映射信息，所以向標(biāo)簽映射服務(wù)器查詢。

步驟8：當(dāng)標(biāo)簽映射服務(wù)器向ARB返回對(duì)應(yīng)的映射關(guān)系后，將數(shù)據(jù)請(qǐng)求包中用戶A的身份標(biāo)簽與位置標(biāo)簽之間的映射關(guān)系存儲(chǔ)到本地對(duì)端用戶映射表中。

步驟9：ARB獲取映射關(guān)系后，將源和目的標(biāo)簽由位置標(biāo)簽替換回身份標(biāo)簽，并向用戶B進(jìn)行轉(zhuǎn)發(fā)，最后用戶B收到用戶A發(fā)送的數(shù)據(jù)包。

圖3 標(biāo)簽分離聚類映射網(wǎng)絡(luò)的基本通信流程

以上是標(biāo)簽分離聚類映射網(wǎng)絡(luò)中一次正常的通信過(guò)程，充分體現(xiàn)標(biāo)簽分離聚類映射網(wǎng)絡(luò)的設(shè)計(jì)理念。該方案解決了現(xiàn)有網(wǎng)絡(luò)存在的若干問題，顯示出了其強(qiáng)大的優(yōu)越性。

3 新型網(wǎng)絡(luò)體系架構(gòu)測(cè)試與驗(yàn)證

對(duì)新型網(wǎng)絡(luò)體系架構(gòu)的測(cè)試主要分為兩部分：標(biāo)簽映射服務(wù)器的存儲(chǔ)能力和解析時(shí)延分析。圖4為1個(gè)域內(nèi)的前綴數(shù)目的累積分布函數(shù)，其中橫坐標(biāo)為對(duì)數(shù)坐標(biāo)。由圖4可以看出，約42.52%的自治域只有1個(gè)前綴，也就是42.52%的自治域內(nèi)的映射服務(wù)器只需管理1 000個(gè)＜身份標(biāo)簽，路由標(biāo)簽＞映射對(duì)。因此，從映射服務(wù)器存儲(chǔ)能力上看，新型網(wǎng)絡(luò)體系架構(gòu)是可行的。

圖4 每個(gè)自治域內(nèi)前綴數(shù)目的累積分布函數(shù)

同時(shí)測(cè)試了本地用戶映射信息緩存中的映射條目數(shù)量對(duì)第一個(gè)數(shù)據(jù)包的轉(zhuǎn)發(fā)時(shí)延的影響，如圖5所示。從圖5可以看出，隨著本地用戶映射信息緩存中映射信息條目數(shù)量的增加，兩種情況下的數(shù)據(jù)轉(zhuǎn)發(fā)時(shí)延都呈現(xiàn)增長(zhǎng)趨勢(shì)，主要是由于標(biāo)簽分離聚類映射模塊數(shù)據(jù)處理負(fù)擔(dān)加重和查找映射緩存時(shí)間增長(zhǎng)，但查詢時(shí)延只在毫秒級(jí)。因此，從映射服務(wù)器解析時(shí)延分析上看，新型網(wǎng)絡(luò)體系架構(gòu)是可行的。

圖5 映射信息查詢對(duì)數(shù)據(jù)轉(zhuǎn)發(fā)時(shí)延的影響

4 結(jié)論

我國(guó)的電力通信網(wǎng)絡(luò)已成為世界上最大的電力專用通信網(wǎng)絡(luò)，然而在安全防御機(jī)制、信息數(shù)據(jù)傳輸機(jī)制等方面在國(guó)際研究領(lǐng)域還處于劣勢(shì)。

因此，我國(guó)的電力通信網(wǎng)絡(luò)建設(shè)必須適應(yīng)和滿足我國(guó)的智能電網(wǎng)的建設(shè)和需求。也就是說(shuō)，必須研究適合我國(guó)電網(wǎng)需求的新型可信可控網(wǎng)絡(luò)體系架構(gòu)，為智能電網(wǎng)高效、可靠和穩(wěn)定運(yùn)行奠定技術(shù)基礎(chǔ)。