DB4403T341-2023虛擬電廠終端授信及安全加密技術規(guī)范

ICS43.080

CCST47

DB4403

深圳市地方標準

DB4403/T341—2023

虛擬電廠終端授信及安全加密技術規(guī)范

Technicalspecificationsforterminalauthenticationandsecurity

encryptionofthevirtualpowerplant

2023-06-12發(fā)布2023-07-01實施

深圳市市場監(jiān)督管理局發(fā)布

DB4403/T341—2023

前言

本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結構和起草規(guī)則》的規(guī)定

起草。

本文件由深圳市發(fā)展和改革委員會提出并歸口。

本文件起草單位：深圳供電局有限公司、南方電網科學研究院有限責任公司、深圳市科技創(chuàng)新委員

會、深圳國家高技術產業(yè)創(chuàng)新中心、深圳市建筑科學研究院股份有限公司、深圳特來電新能源有限公司、

南京德睿能源研究院有限公司、南方電網電動汽車有限公司、華為數字能源技術有限公司、萬幫數字能

源股份有限公司、北京科東電力控制系統有限責任公司。

本文件主要起草人：程韌俐、索思亮、史軍、李江南、王滔、楊帆、周保榮、趙文猛、陳立明、匡

曉云、毛田、李蓉、左新兵、李林軍、李雨桐、王冰、韓亞寧、劉杰、李勛、葛靜、孫務本、牛雷、司

宇峰、王國棟。

II

DB4403/T341—2023

虛擬電廠終端授信及安全加密技術規(guī)范

1范圍

本文件規(guī)范了虛擬電廠在終端身份認證及安全加密方面的總體目標及要求、網絡安全要求、安全加

密方式等技術要求。

本文件適用于在虛擬電廠業(yè)務中進行安全加密和身份認證的虛擬電廠安全加密網關，虛擬電廠安全

加密終端、數字證書系統及終端側安全防護設備。

2規(guī)范性引用文件

下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中注日期的引用文件，

僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T13729—2019遠動終端設備

GB/T20279信息安全技術網絡和終端隔離產品安全技術要求

GB/T22239信息安全技術網絡安全等級保護基本要求

GB/T36572電力監(jiān)控系統網絡安全防護導則

GB/T37934信息安全技術工業(yè)控制網絡安全隔離與信息交換系統安全技術要求

DL/T2473.2—2022可調節(jié)負荷并網運行與控制技術規(guī)范第2部分：網絡安全防護

GM/T0014—2012數字證書認證系統密碼協議規(guī)范

GM/T0022—2014IPSecVPN技術規(guī)范

GM/T0024—2014SSLVPN技術規(guī)范

3術語和定義

下列術語和定義適用于本文件。

3.1

電力監(jiān)控系統powermonitoringsystem

用于監(jiān)視和控制電力生產及供應過程的、基于計算機及網絡技術的業(yè)務系統及智能設備，以及作為

基礎支撐的通信及數據網絡等。

3.2

網絡安全networksecurity

網絡系統的硬件、軟件及其系統中的數據受到保護，不因偶然的或者惡意的原因而遭受到破壞、更

改、泄露，系統連續(xù)可靠正常地運行，網絡服務不中斷。

3.3

虛擬電廠virtualpowerplant

通過先進通信技術和軟件架構，實現地理位置分散的各種分布式負荷的聚合和協調優(yōu)化，形成虛擬

等效的對外功率調節(jié)服務，作為一個特殊電廠參與電力市場和電網運行的邏輯實體。

3.4

1

DB4403/T341—2023

虛擬電廠管理云平臺virtualpowerplantmanagementplatform

一種基于現有調度控制系統部署的，實現對虛擬電廠統一管理的技術支持系統。

注：是傳統調度自動化系統功能的外延拓展，具備實時數據采集、日前計劃下發(fā)、實時控制及組織市場交易等功能。

3.5

可調節(jié)負荷adjustableload

電力系統中具備技術條件并參與電網調節(jié)運行的負荷資源，通過負荷聚合平臺接入的負荷資源。

注：常見的可調節(jié)負荷包括但不限于電動汽車（充電樁）、大工業(yè)用戶負荷、空調機組、智能樓宇以及虛擬電廠聚

合的各類負荷、部分中小型分布式新能源、中小型儲能站等。

3.6

直控負荷directcontrolload

不經過負荷聚合平臺，直接接入虛擬電廠管理云平臺并參與電網調節(jié)的負荷資源，可接受電網直接

調度控制并上報相應的計劃申報信息。

3.7

負荷聚合商loadaggregator

將某一區(qū)域中各類用電側負荷實時運行信息匯集，進行統一管控和運營的單位或者部門。

注：聚合方式可以是單一聚合，如容量較大的大工業(yè)負荷；也可以多體聚合，如數量眾多的分布式小負荷。聚合商

可以是社會上各類第三方運營商。

3.8

負荷聚合平臺loadaggregationplatform

為滿足可調負荷參與電網調節(jié)運行和市場運營業(yè)務需求，由負荷聚合商在本地或云端部署的自動化

信息系統，

注：具備對各類用電側負荷資源實時信息接入、實時監(jiān)視、自動功率控制、市場交易申報、協同指令下達、操作控

制、統計查詢、計量計費等功能。

3.9

虛擬專用網絡virtualprivatenetwork

一種在公共通信基礎網絡上通過邏輯方式隔離出來的網絡。它是一組封閉的網絡，即使通信與開放

系統或其他VPN共享同一主干網絡，其通信也是保持分離的。

3.10

虛擬電廠安全加密終端virtualpowerplantsecurityencryptionterminal

一種部署于負荷聚合商或可調節(jié)負荷的終端設備，負荷聚合商或可調節(jié)負荷可通過虛擬電廠安全加

密終端接入虛擬電廠管理云平臺，實現信息交換。

3.11

終端側安全防護設備securityprotectionequipmentofterminalside

以獨立硬件設備、嵌入式芯片或軟件SDK等形式部署于虛擬電廠安全加密終端側，為業(yè)務數據提供

數據加密、身份認證等網絡安全防護措施。

3.12

虛擬電廠數字證書系統digitalcertificatesystemofvirtualpowerplant

對虛擬電廠安全加密終端側安全防護設備的數字證書進行全生命周期的過程管理，實現證書簽發(fā)、

證書管理、密鑰管理等功能。

4縮略語

下列縮略語適用于本文件。

2

DB4403/T341—2023

4G：第四代移動通信技術（4th-Generation）

5G：第五代移動通信技術（5th-Generation）

CA：證書授權（CertificateAuthority）是由認證機構服務者簽發(fā)，是數字簽名的技術基礎保障

CRL：數字證書撤銷列表（CertificateRevocationList），記錄所有在原定失效日期到達之被

撤銷的數字證書，供數字證書使用方在驗證對?數字證書時查詢使用

IPSec：IP安全協議（InternetProtocolSecurity）

OTA：空中下載技術（OvertheAirTechnology）

PKI：公鑰基礎設施（PublicKeyInfrastructure）是提供公鑰加密和數字簽名服務的系統或平臺，

目的是為了管理密鑰和證書

PKCS#10：公鑰加密標準#10（ThePublic-KeyCryptographyStandards#10）是描述證書請求的語

法

SSL：安全套接層（SecureSocketLayer）

TLS：傳輸層安全(TransportLayerSecurity)

VPN：虛擬專用網（VirtualPrivateNetwork）

5總體目標及要求

5.1總體目標

虛擬電廠終端授信及安全加密的總體目標是抵御黑客、惡意代碼等通過各種形式發(fā)起的惡意破壞、

攻擊，以及其它非法操作，防止系統癱瘓和失控，并由此導致的虛擬電廠系統及可調節(jié)負荷一次系統事

故。

5.2總體要求

5.2.1應滿足GB/T22239、GB/T36572、DL/T2473.2—2022等國家及行業(yè)技術標準相關要求。

5.2.2虛擬電廠終端授信及安全加密相關設備應采用制造和供應鏈環(huán)節(jié)無惡意操縱的硬件，應采用經

過安全驗證且定期更新的操作系統和數據庫，應采用密碼算法確保敏感數據的存儲和傳輸安全。

5.2.3虛擬電廠終端授信及安全加密相關設備應具備安全配置和防護能力，包括通信安全、訪問控制、

入侵防范和數據安全等方面。

5.3網絡架構

虛擬電廠終端授信及安全加密的總體網絡架構如圖1所示。

3

DB4403/T341—2023

生產控制大區(qū)業(yè)務虛擬電廠管理云平臺管理信息大區(qū)業(yè)務電

網

DMZ區(qū)側

虛擬電廠

安全加密網關

安全接入區(qū)

光纖/5G5G/4GAPN

虛擬電廠虛擬電廠虛擬電廠虛擬電廠

安全加密安全加密安全加密安全加密本地部

終端終端終端終端

終端側安全署隔離

終端側安全終端側安全

終端側安全防護設備區(qū)域

防護設備防護設備防護設備

負荷聚合平臺（非公有云部署）負荷聚合平臺（公有云部署）用

戶

側

直控負荷生產控制大區(qū)管理信息大區(qū)互聯網區(qū)安全域N互聯網域

縱向安全加密縱向安全加密

措施措施

可調節(jié)負荷可調節(jié)負荷

圖1總體網絡架構

6網絡安全要求

6.1安全分區(qū)

6.1.1根據電力監(jiān)控系統的網絡安全要求，參與電網運行的負荷聚合平臺應按照業(yè)務功能劃分相應的

安全分區(qū)，宜劃分為生產控制大區(qū)、管理信息大區(qū)和互聯網區(qū)等，當負荷聚合平臺包含有實時控制業(yè)務

模塊或未來將建設實時控制功能的業(yè)務系統，應劃分生產控制大區(qū)和管理信息大區(qū)。

6.1.2生產控制大區(qū)部署與電網側實時調控功能相對應的功能模塊，涉及負荷聚合平臺實時監(jiān)控與采

集、生產控制等相關功能。管理信息大區(qū)部署與電網側管理類功能相對應的功能模塊，涉及負荷聚合平

臺邀約管理，計劃申報等相關功能?；ヂ摼W區(qū)用于負荷聚合平臺對下與各類可調節(jié)負荷連接，完成數據

采集與交互相關功能。對于公有云部署的負荷聚合平臺應根據功能劃分相應的安全區(qū)域，不同負荷聚合

平臺應部署于公有云平臺的不同區(qū)域。

6.2網絡專用

6.2.1負荷聚合平臺或可調節(jié)負荷應通過虛擬電廠安全加密終端接入虛擬電廠管理云平臺。當接入云

平臺生產控制大區(qū)時應通過光纖、5G切片網絡進行業(yè)務數據傳輸，當接入云平臺管理信息大區(qū)時應通

過5G切片、4G、APN等通信網絡進行信息交互。

6.2.2對部分負荷聚合規(guī)模較大，其負荷波動可能直接影響電網安全穩(wěn)定運行的負荷聚合平臺，宜進

一步在聚合平臺與虛擬電廠安全加密終端的邊界處部署安全隔離裝置，隔離裝置應滿足GB∕T37934

或GB/T20279的要求。

6.3橫向隔離

4

DB4403/T341—2023

6.3.1非公有云部署的負荷聚合平臺在生產控制大區(qū)和管理信息大區(qū)之間應設置經國家指定部門檢測

認證的電力專用橫向單向安全隔離裝置，隔離強度應當接近或達到物理隔離，管理信息大區(qū)和互聯網區(qū)

之間應采用邏輯隔離措施。

6.3.2公有云部署的負荷聚合平臺不同安全區(qū)域之間應采取隔離措施，隔離強度應當接近或達到相應

的隔離水平。

6.4縱向認證

6.4.1通過虛擬電廠安全加密終端接入虛擬電廠管理云平臺生產控制大區(qū)時，應采用國密IPSec協議

或國密SSL/TLS等縱向加密認證措施實現數據傳輸的加密和身份認證功能。

6.4.2通過虛擬電廠安全加密終端接入虛擬電廠管理云平臺管理信息大區(qū)時，應采用國密算法進行身

份認證、訪問控制和數據加密等安全防護措施，確保邀約類業(yè)務的安全性。

6.4.3負荷聚合平臺與可調節(jié)負荷之間的控制業(yè)務交互應采取縱向安全加密措施，加密算法應采用國

密加密算法。

6.5終端本體安全

虛擬電廠安全加密終端應實現自身的安全，應采用安全、可控、可靠的軟硬件產品。

6.6操作系統和基礎軟件安全

操作系統、數據庫、中間件等基礎軟件應防范存在惡意后門，應合理配置、啟用安全策略。操作系

統和基礎軟件應僅安裝運行需要的組件和應用程序，并及時升級安全補丁，補丁更新前應進行充分的測

試。

6.7可信安全免疫

在虛擬電廠安全加密終端內部，宜逐步采用基于可信計算的安全免疫防護技術，實現對病毒木馬等

惡意代碼的安全免疫。涉及密碼技術的安全設備或防護措施，均應采用國產商用密碼技術，使用國家商

用密碼算法（SM1/SM2/SM3/SM4等）。

注：SM1：對稱密碼算法，使用128比特分組的分組密碼算法，用于密鑰協商數據的加密保護和報文數據的加密保

護；SM2：256比特SM2橢圓曲線密碼算法，用于實體驗證、數字簽名和數字信封等；SM3：密碼雜湊算法，用

于對稱密鑰生成和完整性校驗，輸出為256比特；SM4：對稱密碼算法，使用128比特分組的分組密碼算法，

用于密鑰協商數據的加密保護和報文數據的加密保護。

7安全加密方式

7.1終端側安全防護設備分類

7.1.1加密實現方式

負荷聚合平臺或可調節(jié)負荷通過虛擬電廠安全加密終端接入虛擬電廠管理云平臺，其中終端側安全

防護設備的加密實現方式具體分為以下三種模式：

a)外置硬件安全加密裝置；

b)嵌入式集成安全加密芯片；

c)采用軟件加密SDK，通過接口調用方式實現安全加密。

5

DB4403/T341—2023

7.1.2外置硬件安全加密裝置

外置硬件安全加密裝置的要求如下：

a)硬件安全加密裝置與虛擬電廠安全加密終端的通信接口可采用USB、網口、CAN或RS485；

b)應具備密鑰安全存儲功能；

c)應具備離線、在線更新密鑰功能；

d)應具備國密對稱加密和國密非對稱加密算法；

e)應能存儲數字證書；

f)應通過國家密碼管理局認可檢測機構的認證檢測，并取得商用密碼產品認證證書。

7.1.3安全加密芯片

安全加密芯片的要求如下：

a)安全加密芯片的通信接口宜采用SPI接口；

b)應具備密鑰安全存儲功能；

c)應具備離線、在線更新密鑰功能；

d)應具備國密對稱加密和國密非對稱加密算法；

e)應能夠存儲數字證書；

f)應滿足國密二級要求；

g)應具備生成安全真實的隨機數；

h)應具備Flash和RAM防讀取/篡改、芯片防破解。

7.1.4軟件加密SDK

軟件加密SDK的要求如下：

a)應支持國密算法SM2、SM3及SM4；

b)應能夠安全存儲密鑰；

c)應具備更新密鑰功能；

d)應具備國密數字簽名功能。

7.2加解密算法要求

加解密算法要求如下：

a)身份認證宜采用國密SM2數字簽名算法；

b)業(yè)務報文加密宜采用國密SM1或SM4對稱加密算法；

c)在線更新密鑰時，密鑰應加密后進行傳輸。

7.3通信協議要求

通信協議要求如下：

a)對于HTTP業(yè)務通信應采用HTTPS協議進行傳輸加密保護；

b)業(yè)務數據報文應采用身份認證、加密等安全防護措施進行傳輸；

c)對于OTA業(yè)務通信宜采用國密非對稱算法生成的數字簽名。

8安全加密要求

8.1安全性要求

6

DB4403/T341—2023

安全性要求如下：

a)依據GM/T0022—2014或GM/T0024—2014；

b)能有效防止各類網絡攻擊，保證設備自身及終端安全；

c)設備密鑰應由設備自身產生，其公鑰應能被導出，其私鑰應有安全保護措施。

8.2功能要求

8.2.1日志管理

外置硬件安全加密裝置應提供日志記錄功能，如系統開機、算法啟動自檢、隨機數啟動檢測、隨機

數周期性檢測、密鑰協商等事件記錄日志等，日志的記錄及查看由廠家自定義實現。

8.2.2本地配置

終端側安全防護設備廠商應提供本地配置工具或配置腳本，用于導出證書請求、導入虛擬電廠數字

證書系統簽發(fā)的證書壓縮包文件，以及配置終端側安全防護設備系統參數。

8.2.3自檢功能

外置硬件安全加密裝置應具有開機自檢功能，能清晰明確地指示故障或狀態(tài)。

8.3裝置穩(wěn)定性

終端側安全防護設備應滿足GB/T13729—2019中3.9的要求，裝置連續(xù)運行72小時。

8.4數字證書簽發(fā)要求

8.4.1安全性要求

虛擬電廠數字證書系統的安全性要求如下：

a)依據GM/T0014—2012及其相關安全技術規(guī)范；

b)應將管理角色和業(yè)務操作角色分開，每個角色執(zhí)行系統的一部分功能，相互獨立、相互制約，

管理員有獨立的安全認證機制，有效保證系統的安全性；

c)支持國家密碼主管部門批準的算法SM1、SM2、SM3、SM4；

d)采用目前先進成熟的PKI密碼技術，數字證書的生成、發(fā)放、管理以及密鑰的生成、管理應當

脫離網絡，獨立運行；

e)具有完善的密鑰管理功能，保障密鑰的生成、存儲、使用、更新、廢除、歸檔、銷毀、備份和

恢復整個生命周期中的安全；

f)應具備密鑰、策略和證書等本設備運行配置信息的安全備份和還原功能，確保終端側安全防護

設備在緊急故障情況下的業(yè)務連續(xù)性保障。

8.4.2功能要求

虛擬電廠數字證書系統的功能要求如下：

a)支持SM2雙證書（加密證書/簽名證書）、雙中心（CA認證中心/密鑰管理中心）；

b)提供數字證書申請、簽發(fā)、下載、更新、凍結、解凍、作廢等功能，為數字證書提供完善的生

命周期管理支持；

c)支持CRL的查詢及下載，CRL使用SM3算法簽名；

7

DB4403/T341—2023

d)支持多種數字證書模板，用戶可以通過證書模板管理功能靈活配置各種算法、用途和格式的數

字證書；

e)提供事件級審計功能，對涉及系統安全的行為、人員、時間的記錄進行跟蹤、統計和分析；

f)支持系統備份和恢復，確保關鍵業(yè)務數據在發(fā)生災難性破壞時，系統能夠及時和盡可能完整的

恢復被破壞的數據；

g)易于部署與使用，在監(jiān)控、配置、統計、分析等方面采用可視化的圖形界面呈現和操作方式。

8.4.3證書簽發(fā)接口要求

終端側安全防護設備正常運行的前提是必須擁有設備密鑰及設備證書。設備證書簽發(fā)及加密密鑰分

發(fā)工作由虛擬電廠數字證書系統完成。

8.4.4設備證書簽發(fā)流程

由終端側安全防護設備廠商負責從設備中導出P10簽名證書請求文件，通過郵件或U盤等介

質，離線方式發(fā)送給虛擬電廠數字證書系統管理員。P10簽名證書請求文件必須包含擁有者（CN），可

選包含部門(OU)、組織(O)、城市/地區(qū)(L)、省(S)、國家(C)信息。對于虛擬電廠安全加密網關等電網

側安全防護設備，擁有者（CN）應填寫網關的工作口IP；對于終端側安全防護設備，擁有者（CN）應

填寫其保護的虛擬電廠安全加密終端名稱。

虛擬電廠數字證書系統生成加密密鑰對，并導出對應的證書壓縮包文件，該壓縮包文件包含

根證書、簽名證書、加密證書和受保護的加密密鑰對，證書壓縮包文件定義見8.4.5。

設備廠商獲取該壓縮包文件并導入終端側安全防護設備中，導入方式由設備廠商自行安全地

實施。

8.4.5證書文件要求

虛擬電廠數字證書系統導出的證書壓縮包文件采用ZIP格式，具體內容如表1所示。

表1壓縮包文件內容表

文件名格式描述

CA.cerx.509,der格式根證書

sign.cerx.509,der格式終端側安全防護設備簽名證書

enc.cerx.509,der格式終端側安全防護設備加密證書

受終端側安全防護設備簽名公鑰保護的

encryptedKeyECC加密密鑰對保護結構

加密密鑰對保護結構文件

8

DB4403/T341—2023

參考文獻

[1]Q/CSG212001—2020中國南方電網電力監(jiān)控系統安全防護管理辦法

[2]Q/CSG1204009—2015中國南方電網電力監(jiān)控系統安全防護技術規(guī)范

______________________

9

DB4403/T341—2023

目次

前言..................................................................................II

1范圍.................................................................................1

2規(guī)范性引用文件.......................................................................1

3術語和定義...........................................................................1

4縮略語...............................................................................2

5總體目標及要求.......................................................................3

6網絡安全要求.........................................................................4

7安全加密方式.........................................................................5

8安全加密要求.........................................................................6

參考文獻...............................................................................9

I

DB4403/T341—2023

虛擬電廠終端授信及安全加密技術規(guī)范

1范圍

本文件規(guī)范了虛擬電廠在終端身份認證及安全加密方面的總體目標及要求、網絡安全要求、安全加

密方式等技術要求。

本文件適用于在虛擬電廠業(yè)務中進行安全加密和身份認證的虛擬電廠安全加密網關，虛擬電廠安全

加密終端、數字證書系統及終端側安全防護設備。

2規(guī)范性引用文件

下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中注日期的引用文件，

僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T13729—2019遠動終端設備

GB/T20279信息安全技術網絡和終端隔離產品安全技術要求

GB/T22239信息安全技術網絡安全等級保護基本要求

GB/T36572電力監(jiān)控系統網絡安全防護導則

GB/T37934信息安全技術工業(yè)控制網絡安全隔離與信息交換系統安全技術要求

DL/T2473.2—2022可調節(jié)負荷并網運行與控制技術規(guī)范第2部分：網絡安全防護

GM/T0014—2012數字證書認證系統密碼協議規(guī)范

GM/T0022—2014IPSecVPN技術規(guī)范

GM/T0024—2014SSLVPN技術規(guī)范

3術語和定義

下列術語和定義適用于本文件。

3.1

電力監(jiān)控系統powermonitoringsystem

用于監(jiān)視和控制電力生產及供應過程的、基于計算機及網絡技術的業(yè)務系統及智能設備，以及作為

基礎支撐的通信及數據網絡等。

3.2

網絡安全networksecurity

網絡系統的硬件、軟件及其系統中的數