DB4403-T 341-2023 虛擬電廠終端授信及安全加密技術(shù)規(guī)范

ICS

43.080CCS

T

47DB4403 DB4403/T

341—2023虛擬電廠終端授信及安全加密技術(shù)規(guī)范Technical

for

terminal

and

security

the

power

plant 深圳市市場(chǎng)監(jiān)督管理局 發(fā)

布DB4403/T

—2023 前言

................................................................................. II1

范圍

................................................................................ 12

規(guī)范性引用文件

...................................................................... 13

術(shù)語(yǔ)和定義

.......................................................................... 14

縮略語(yǔ)

..............................................................................25

總體目標(biāo)及要求

...................................................................... 36

網(wǎng)絡(luò)安全要求

........................................................................ 47

安全加密方式

........................................................................58

安全加密要求

........................................................................ 6參考文獻(xiàn)

.............................................................................. 9DB4403/T

—2023本文件按照GB/T

—《標(biāo)準(zhǔn)化工作導(dǎo)則 第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件由深圳市發(fā)展和改革委員會(huì)提出并歸口。源股份有限公司、北京科東電力控制系統(tǒng)有限責(zé)任公司。宇峰、王國(guó)棟。IIDB4403/T

—20231 范圍密方式等技術(shù)要求。加密終端、數(shù)字證書(shū)系統(tǒng)及終端側(cè)安全防護(hù)設(shè)備。2 規(guī)范性引用文件下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中注日期的引用文件，文件。GB/T

13729—2019 遠(yuǎn)動(dòng)終端設(shè)備GB/T

20279 信息安全技術(shù)

網(wǎng)絡(luò)和終端隔離產(chǎn)品安全技術(shù)要求GB/T

22239 信息安全技術(shù)

網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求GB/T

36572 電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)導(dǎo)則GB/T

37934 信息安全技術(shù)

工業(yè)控制網(wǎng)絡(luò)安全隔離與信息交換系統(tǒng)安全技術(shù)要求DL/T

—2022 可調(diào)節(jié)負(fù)荷并網(wǎng)運(yùn)行與控制技術(shù)規(guī)范 第2部分：網(wǎng)絡(luò)安全防護(hù)GM/T

0014—2012 數(shù)字證書(shū)認(rèn)證系統(tǒng)密碼協(xié)議規(guī)范GM/T

0022—2014

IPSec

VPN技術(shù)規(guī)范GM/T

0024—2014

技術(shù)規(guī)范3 術(shù)語(yǔ)和定義下列術(shù)語(yǔ)和定義適用于本文件。3.1電力監(jiān)控系統(tǒng) power

system基礎(chǔ)支撐的通信及數(shù)據(jù)網(wǎng)絡(luò)等。3.2網(wǎng)絡(luò)安全 network

security改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。3.3虛擬電廠 virtual

power

plant等效的對(duì)外功率調(diào)節(jié)服務(wù)，作為一個(gè)特殊電廠參與電力市場(chǎng)和電網(wǎng)運(yùn)行的邏輯實(shí)體。3.4DB4403/T

—2023虛擬電廠管理云平臺(tái)

power

plant

platform一種基于現(xiàn)有調(diào)度控制系統(tǒng)部署的，實(shí)現(xiàn)對(duì)虛擬電廠統(tǒng)一管理的技術(shù)支持系統(tǒng)。3.5可調(diào)節(jié)負(fù)荷 adjustable

load電力系統(tǒng)中具備技術(shù)條件并參與電網(wǎng)調(diào)節(jié)運(yùn)行的負(fù)荷資源，通過(guò)負(fù)荷聚合平臺(tái)接入的負(fù)荷資源。3.6直控負(fù)荷 direct

load調(diào)度控制并上報(bào)相應(yīng)的計(jì)劃申報(bào)信息。3.7負(fù)荷聚合商 load

將某一區(qū)域中各類用電側(cè)負(fù)荷實(shí)時(shí)運(yùn)行信息匯集，進(jìn)行統(tǒng)一管控和運(yùn)營(yíng)的單位或者部門。注：3.8負(fù)荷聚合平臺(tái)load

platform信息系統(tǒng)，3.9虛擬專用網(wǎng)絡(luò)virtual

private

network系統(tǒng)或其他

VPN

共享同一主干網(wǎng)絡(luò)，其通信也是保持分離的。3.10虛擬電廠安全加密終端 virtual

power

plant

security

密終端接入虛擬電廠管理云平臺(tái)，實(shí)現(xiàn)信息交換。3.11終端側(cè)安全防護(hù)設(shè)備 security

protection

of

terminal

side以獨(dú)立硬件設(shè)備、嵌入式芯片或軟件SDK等形式部署于虛擬電廠安全加密終端側(cè)，為業(yè)務(wù)數(shù)據(jù)提供數(shù)據(jù)加密、身份認(rèn)證等網(wǎng)絡(luò)安全防護(hù)措施。3.12虛擬電廠數(shù)字證書(shū)系統(tǒng) digital

certificate

of

virtual

power

對(duì)虛擬電廠安全加密終端側(cè)安全防護(hù)設(shè)備的數(shù)字證書(shū)進(jìn)行全生命周期的過(guò)程管理，實(shí)現(xiàn)證書(shū)簽發(fā)、證書(shū)管理、密鑰管理等功能。4 縮略語(yǔ)下列縮略語(yǔ)適用于本文件。DB4403/T

—20234G：第四代移動(dòng)通信技術(shù)（4th-Generation）5G：第五代移動(dòng)通信技術(shù)（5th-Generation）CA：證書(shū)授權(quán)（

Authority）是由認(rèn)證機(jī)構(gòu)服務(wù)者簽發(fā)，是數(shù)字簽名的技術(shù)基礎(chǔ)保障CRL：數(shù)字證書(shū)撤銷列表（

List），記錄所有在原定失效日期到達(dá)之被撤銷的數(shù)字證書(shū)，供數(shù)字證書(shū)使用方在驗(yàn)證對(duì)?數(shù)字證書(shū)時(shí)查詢使用IPSec：IP安全協(xié)議（Internet

Protocol

Security）OTA：空中下載技術(shù)（Over

the

）PKI

Key

目的是為了管理密鑰和證書(shū)PKCS#10：公鑰加密標(biāo)準(zhǔn)（The

Cryptography

Standards#10）是描述證書(shū)請(qǐng)求的語(yǔ)法SSL：安全套接層（

Socket

Layer）TLS：傳輸層安全

Layer

Security)VPN：虛擬專用網(wǎng)（

Private

Network）5 總體目標(biāo)及要求5.1 總體目標(biāo)虛擬電廠終端授信及安全加密的總體目標(biāo)是抵御黑客、惡意代碼等通過(guò)各種形式發(fā)起的惡意破壞、故。5.2 總體要求5.2.1 應(yīng)滿足

GB/T

22239、GB/T

36572、DL/T

—

等國(guó)家及行業(yè)技術(shù)標(biāo)準(zhǔn)相關(guān)要求。5.2.2 虛擬電廠終端授信及安全加密相關(guān)設(shè)備應(yīng)采用制造和供應(yīng)鏈環(huán)節(jié)無(wú)惡意操縱的硬件，應(yīng)采用經(jīng)過(guò)安全驗(yàn)證且定期更新的操作系統(tǒng)和數(shù)據(jù)庫(kù)，應(yīng)采用密碼算法確保敏感數(shù)據(jù)的存儲(chǔ)和傳輸安全。5.2.3 入侵防范和數(shù)據(jù)安全等方面。5.3 網(wǎng)絡(luò)架構(gòu)虛擬電廠終端授信及安全加密的總體網(wǎng)絡(luò)架構(gòu)如圖1 所示。負(fù)荷聚合平臺(tái)（非公有云部署）生產(chǎn)控制大區(qū)

管理信息大區(qū)互聯(lián)網(wǎng)區(qū)DB4403/T

—2023

負(fù)荷聚合平臺(tái)（公有云部署）

直控負(fù)荷

安全域N

互聯(lián)網(wǎng)域措施

措施

縱向安全加密措施可調(diào)節(jié)負(fù)荷 可調(diào)節(jié)負(fù)荷圖1 總體網(wǎng)絡(luò)架構(gòu)6 網(wǎng)絡(luò)安全要求6.1 安全分區(qū)6.1.1 根據(jù)電力監(jiān)控系統(tǒng)的網(wǎng)絡(luò)安全要求，參與電網(wǎng)運(yùn)行的負(fù)荷聚合平臺(tái)應(yīng)按照業(yè)務(wù)功能劃分相應(yīng)的模塊或未來(lái)將建設(shè)實(shí)時(shí)控制功能的業(yè)務(wù)系統(tǒng)，應(yīng)劃分生產(chǎn)控制大區(qū)和管理信息大區(qū)。6.1.2 生產(chǎn)控制大區(qū)部署與電網(wǎng)側(cè)實(shí)時(shí)調(diào)控功能相對(duì)應(yīng)的功能模塊，涉及負(fù)荷聚合平臺(tái)實(shí)時(shí)監(jiān)控與采平臺(tái)應(yīng)部署于公有云平臺(tái)的不同區(qū)域。6.2 網(wǎng)絡(luò)專用6.2.1 負(fù)荷聚合平臺(tái)或可調(diào)節(jié)負(fù)荷應(yīng)通過(guò)虛擬電廠安全加密終端接入虛擬電廠管理云平臺(tái)。當(dāng)接入云平臺(tái)生產(chǎn)控制大區(qū)時(shí)應(yīng)通過(guò)光纖、

切片網(wǎng)絡(luò)進(jìn)行業(yè)務(wù)數(shù)據(jù)傳輸，當(dāng)接入云平臺(tái)管理信息大區(qū)時(shí)應(yīng)通過(guò)

5G

切片、4G、

等通信網(wǎng)絡(luò)進(jìn)行信息交互。6.2.2 對(duì)部分負(fù)荷聚合規(guī)模較大，其負(fù)荷波動(dòng)可能直接影響電網(wǎng)安全穩(wěn)定運(yùn)行的負(fù)荷聚合平臺(tái)，宜進(jìn)一步在聚合平臺(tái)與虛擬電廠安全加密終端的邊界處部署安全隔離裝置，隔離裝置應(yīng)滿足

GB∕T

37934或

GB/T

20279

的要求。6.3 橫向隔離DB4403/T

—20236.3.1非公有云部署的負(fù)荷聚合平臺(tái)在生產(chǎn)控制大區(qū)和管理信息大區(qū)之間應(yīng)設(shè)置經(jīng)國(guó)家指定部門檢測(cè)之間應(yīng)采用邏輯隔離措施。6.3.2 公有云部署的負(fù)荷聚合平臺(tái)不同安全區(qū)域之間應(yīng)采取隔離措施，隔離強(qiáng)度應(yīng)當(dāng)接近或達(dá)到相應(yīng)的隔離水平。6.4 縱向認(rèn)證6.4.1 通過(guò)虛擬電廠安全加密終端接入虛擬電廠管理云平臺(tái)生產(chǎn)控制大區(qū)時(shí)，應(yīng)采用國(guó)密

IPSec

或國(guó)密

SSL/TLS

等縱向加密認(rèn)證措施實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)募用芎蜕矸菡J(rèn)證功能。6.4.2 通過(guò)虛擬電廠安全加密終端接入虛擬電廠管理云平臺(tái)管理信息大區(qū)時(shí)，應(yīng)采用國(guó)密算法進(jìn)行身份認(rèn)證、訪問(wèn)控制和數(shù)據(jù)加密等安全防護(hù)措施，確保邀約類業(yè)務(wù)的安全性。6.4.3 負(fù)荷聚合平臺(tái)與可調(diào)節(jié)負(fù)荷之間的控制業(yè)務(wù)交互應(yīng)采取縱向安全加密措施，加密算法應(yīng)采用國(guó)密加密算法。6.5 終端本體安全虛擬電廠安全加密終端應(yīng)實(shí)現(xiàn)自身的安全，應(yīng)采用安全、可控、可靠的軟硬件產(chǎn)品。6.6 操作系統(tǒng)和基礎(chǔ)軟件安全試。6.7 可信安全免疫用密碼算法（

等）。

256

128

7安全加密方式7.1 終端側(cè)安全防護(hù)設(shè)備分類7.1.1 加密實(shí)現(xiàn)方式防護(hù)設(shè)備的加密實(shí)現(xiàn)方式具體分為以下三種模式：a) 外置硬件安全加密裝置；b) 嵌入式集成安全加密芯片；c)采用軟件加密

，通過(guò)接口調(diào)用方式實(shí)現(xiàn)安全加密。DB4403/T

—20237.1.2 外置硬件安全加密裝置外置硬件安全加密裝置的要求如下：a) 硬件安全加密裝置與虛擬電廠安全加密終端的通信接口可采用

USB、網(wǎng)口、

或

；b) 應(yīng)具備密鑰安全存儲(chǔ)功能；c) 應(yīng)具備離線、在線更新密鑰功能；d) 應(yīng)具備國(guó)密對(duì)稱加密和國(guó)密非對(duì)稱加密算法；e) 應(yīng)能存儲(chǔ)數(shù)字證書(shū)；f) 應(yīng)通過(guò)國(guó)家密碼管理局認(rèn)可檢測(cè)機(jī)構(gòu)的認(rèn)證檢測(cè)，并取得商用密碼產(chǎn)品認(rèn)證證書(shū)。7.1.3 安全加密芯片安全加密芯片的要求如下：a) 安全加密芯片的通信接口宜采用

SPI

接口；b) 應(yīng)具備密鑰安全存儲(chǔ)功能；c) 應(yīng)具備離線、在線更新密鑰功能；d) 應(yīng)具備國(guó)密對(duì)稱加密和國(guó)密非對(duì)稱加密算法；e) 應(yīng)能夠存儲(chǔ)數(shù)字證書(shū)；f) 應(yīng)滿足國(guó)密二級(jí)要求；g) 應(yīng)具備生成安全真實(shí)的隨機(jī)數(shù)；h) 應(yīng)具備

Flash

和

RAM

防讀取/篡改、芯片防破解。7.1.4 軟件加密

軟件加密的要求如下：a) 應(yīng)支持國(guó)密算法

SM2、

及

SM4；b) 應(yīng)能夠安全存儲(chǔ)密鑰；c) 應(yīng)具備更新密鑰功能；d) 應(yīng)具備國(guó)密數(shù)字簽名功能。7.2 加解密算法要求加解密算法要求如下：a) 身份認(rèn)證宜采用國(guó)密

SM2

數(shù)字簽名算法；b) 業(yè)務(wù)報(bào)文加密宜采用國(guó)密

SM1

或

SM4

對(duì)稱加密算法；c) 在線更新密鑰時(shí)，密鑰應(yīng)加密后進(jìn)行傳輸。7.3 通信協(xié)議要求通信協(xié)議要求如下：a) 對(duì)于

HTTP

業(yè)務(wù)通信應(yīng)采用

HTTPS

協(xié)議進(jìn)行傳輸加密保護(hù)；b) 業(yè)務(wù)數(shù)據(jù)報(bào)文應(yīng)采用身份認(rèn)證、加密等安全防護(hù)措施進(jìn)行傳輸；c) 對(duì)于

業(yè)務(wù)通信宜采用國(guó)密非對(duì)稱算法生成的數(shù)字簽名。8 安全加密要求8.1 安全性要求DB4403/T

—2023安全性要求如下：a) 依據(jù)

GM/T

0022—2014

或

GM/T

0024—2014；b) 能有效防止各類網(wǎng)絡(luò)攻擊，保證設(shè)備自身及終端安全；c) 設(shè)備密鑰應(yīng)由設(shè)備自身產(chǎn)生，其公鑰應(yīng)能被導(dǎo)出，其私鑰應(yīng)有安全保護(hù)措施。8.2 功能要求8.2.1 日志管理數(shù)周期性檢測(cè)、密鑰協(xié)商等事件記錄日志等，日志的記錄及查看由廠家自定義實(shí)現(xiàn)。8.2.2 本地配置證書(shū)系統(tǒng)簽發(fā)的證書(shū)壓縮包文件，以及配置終端側(cè)安全防護(hù)設(shè)備系統(tǒng)參數(shù)。8.2.3 自檢功能外置硬件安全加密裝置應(yīng)具有開(kāi)機(jī)自檢功能，能清晰明確地指示故障或狀態(tài)。8.3 裝置穩(wěn)定性終端側(cè)安全防護(hù)設(shè)備應(yīng)滿足

GB/T

13729—2019

中

的要求，裝置連續(xù)運(yùn)行

72

小時(shí)。8.4 數(shù)字證書(shū)簽發(fā)要求8.4.1 安全性要求虛擬電廠數(shù)字證書(shū)系統(tǒng)的安全性要求如下：a) 依據(jù)

GM/T

0014—2012

及其相關(guān)安全技術(shù)規(guī)范；b) 應(yīng)將管理角色和業(yè)務(wù)操作角色分開(kāi)，每個(gè)角色執(zhí)行系統(tǒng)的一部分功能，相互獨(dú)立、相互制約，管理員有獨(dú)立的安全認(rèn)證機(jī)制，有效保證系統(tǒng)的安全性；c) 支持國(guó)家密碼主管部門批準(zhǔn)的算法

、SM2、SM3、SM4；d) 采用目前先進(jìn)成熟的

PKI

脫離網(wǎng)絡(luò)，獨(dú)立運(yùn)行；e) 恢復(fù)整個(gè)生命周期中的安全；f)設(shè)備在緊急故障情況下的業(yè)務(wù)連續(xù)性保障。8.4.2功能要求虛擬電廠數(shù)字證書(shū)系統(tǒng)的功能要求如下：a) 支持

雙證書(shū)（加密證書(shū)/簽名證書(shū)）、雙中心（CA

認(rèn)證中心/密鑰管理中心）