图3-27所示为配电网自动化系统的典型结构。
配电网自动化系统主站与子站及终端的通信方式原则上以电力光纤通信为主，主站与主干配电网开闭所的通信应当采用电力光纤。对于不具备电力光纤通信条件的末梢配电终端，采用无线通信方式。无论采用哪种通信方式，都应对控制指令使用基于非对称密钥的单向认证加密技术进行安全防护。
当配电网自动化系统采用EPON、GPON或光以太网络等技术时应使用独立纤芯或波长；配电网监控专用通信网络应能与调度数据网络相联，并纳入统一安全管理。
当采用无线公网通信方式时，优先选用TD-SCDMA，且采取（APN+VPN）逻辑隔离、访问控制、认证加密等安全措施。
按照典型的自动化系统的结构，安全防护分为以下四个部分：
1）子站终端的安全防护（PI1）。
2）纵向通信的安全防护（PI2）。
3）主站的安全防护（PI3）。
4）横向边界的安全防护（PI4）。
(www.xing528.com)
图3-27 配电网自动化系统的典型结构
配电网自动化系统使用基于非对称加密技术的单向身份认证措施，实现控制（或参数设置）数据报文的完整性保护和主站身份鉴别，同时添加时间标签（或随机数）保证控制数据报文的时效性。为保持与IEC 60870-5-104、IEC 60870-5-101规约（简称104、101规约）等标准协议的兼容性，可在标准协议的报文之后增加单向认证机制，如图3-28所示。
自动化系统主站使用私钥对整个控制（或参数设置）命令报文和时间戳（或随机数）进行签名，将数字签名尾随在原控制命令报文后形成复合命令报文并发送。
配电终端在收到复合命令报文后，使用预装的主站公钥对复合命令报文中的签名进行验签，并比较时间戳的时效性，如果验证通过，则执行命令。若终端尚不具备安全功能，则仅处理复合报文中的原控制命令报文部分，忽略附加签名。
图3-28 复合报文结构示意图
在实现控制（或参数设置）数据报文的完整性保护、主站身份鉴别和抗重放机制的基础上，还可对复合报文中的控制（参数设置）命令和时间戳（或随机数）等明文部分（或整个复合报文）进行加密，实现数据报文的机密性保护，报文的认证与加密方式见表3-22。这种机制同样可用于测量值、累积量等上行报文的加密。加密过程可采用对称加密算法或非对称加密算法。不具备相应安全功能的终端不处理实现机密性保护的报文。
表3-22 报文的认证与加密方式
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
