面向配电网的量子加密信息安全防护技术研究

钱 锦，李 昂，徐李冰，张 吉

(1.国网浙江省电力有限公司杭州供电公司，浙江 杭州 310000；2.国网浙江省电力有限公司信息通信分公司，浙江 杭州 310000)

0 引言

随着新型电力系统的建设，海量风力发电、光伏及分布式电源等新能源终端的不断接入，使得电源出力的间歇性、波动性加剧，同时传统无线通信方式难以满足电网涉控类业务的安全可靠性要求，增加了电网稳定运行的潜在风险。如何确保电力设备的运行安全以及新能源终端稳定高效的接入是电网成功转型的关键，而5G+量子技术正是解决此类问题的有效手段。

1 概况

当前，国内电网的电力自动化技术应用已具备较高水平，投运各类配电自动化终端50 万余套，其中采用无线公网通信方式有49 万余套，占比96.14 %，采用光纤通信19 000 余套，占比3.86 %，约10 %的终端开关可实现遥控操作[1]。由于信息安全与通信传输的成本问题，导致大多数智能配网设备无法开启无线远程遥控功能，尤其在保电、安全演练等特殊时期，无线接入设备一直是电网管理最大的安全隐患。因此，为提升电力系统控制的潜力，将海量通信资源充分利用起来，就必须进行信息的加固防护。在配电网领域将5G 电力虚拟专网+量子加密信息安全防护技术进行融合，针对配电网业务建立无线安全接入信息安全防护技术体系，不仅能够保障电力系统更加安全可靠的运行，还能有效降低建设和运维成本。

2 配电网量子加密信息安全防护技术方案

2.1 配电网终端情况

配电网终端主要指智能配电网系统中最末端设备，用于实现对电网的监测、控制和管理，是智能电网的重要组成部分之一，其主要通过信息通信技术将配电网中各种数据进行集中管理和处理。配电自动化是利用先进的信息、通信和控制技术，对配电系统进行智能化管理和控制的过程。通过配电自动化系统，可实现对配电网络的实时监测、远程操作、自动调节和故障诊断等，以提高电网的操作效率、可靠性和安全性。

目前，常见的配电网自动化终端主要有配电终端单元(DTU)、馈线终端设备(FTU)及台区智能融合终端设备(TTU)。DTU 主要安装在常规的开闭所/站、户外小型开闭所、环网柜、各类变电站等处，完成对开关设备的位置信号、电压、电流、有功功率、无功功率、功率因数、电能量等数据的采集与计算，并对开关进行分合闸操作，实现对馈线开关的故障识别、隔离和对非故障区间的恢复供电；FTU 是装设在馈线开关旁的开关监控装置，负责在架空线上监控负荷开关的通断；TTU 主要监测并记录配电变压器运行状态，根据低压侧三相电压、电流采样值，定时计算一次电压有效值、电流有效值、有功功率、无功功率、功率因数、有功电能、无功电能等运行技术参数，并记录、保存一段时间[2]。

2.2 电力5G 虚拟专网情况

电力5G 虚拟专网是指在运营商5G 网络中，基于网络切片、多接入边缘计算(multi-access edge computing，MEC)等技术，通过无线传输、承载网、核心网、转发数据等环节虚拟出一张面向电力行业的专用网络，可实现与电力信息通信专网跨域融合，完成电力场景下端到端的业务承载、高可靠的安全隔离以及通信资源管理[3]。5G MEC 是一种移动边缘计算技术，其使得数据处理和存储更近地与用户连接，从而提高移动网络的速度和效率。在电力领域，5G MEC 实现更快的数据传输和更低的延迟，从而支持智能电网的实现。

同时，电力5G 虚拟专网需要满足电力行业基本的安全防护要求，即“安全分区、网络专用、横向隔离、纵向认证”的原则。尤其是电力生产控制类业务，电力5G 虚拟专网需达到等同于物理隔离的网络专用程度，因此生产控制大区相关专属网元要独立部署，以满足电力监控系统安全防护要求(国能安全〔2015〕36 号)。

2.3 量子加密信息安全防护技术

随着量子力学与信息科学的结合，量子信息技术逐渐形成，其中量子加密技术使用较为频繁。量子加密技术通过测量量子物理系统中内秉的随机特性产生真随机数的量子随机数发生器(quantum random number generator，QRNG)，每次输出的密钥随机性是由量子力学基本原理所形成的，相较于其他随机数产生而言更具安全性[4]。因此，利用光量子产生不可预测结果的百变特性，研制出量子加密安全服务平台和加密模块，每次传输的数据都通过该模块进行加密，由于量子密钥“随机生成、一次一变”的特性，可以确保交互指令不易被破解。

2.4 量子加密信息安全防护方案设计

2.4.1 量子加密和配电网改造工程

近年来，我国在量子信息技术领域取得了突破性发展。在具体应用中，不仅有基于有线光纤网络和量子密钥分发技术，通过发射墨子号卫星形成星地一体化传输体系，并形成一定规模的量子密钥分发网络，为用户提供更加安全可靠的点对点量子信息防护手段；还有结合量子密钥分发技术的应用，通过4G/5G 无线通信技术将海量无线终端设备和业务应用接入，提升无线通信网络的整体安全性。

随着国家能源局《新型电力系统发展蓝皮书》以及工信部《5G 应用“扬帆”行动计划(2021—2023 年)》的发布，基于5G 技术的数字化牵引新型电力系统正在全面开展。2022 年，国网浙江省电力有限公司正式启动了配电网5G 通信设备改造工程，推进架空线路智能化升级工作。

2.4.2 基于MEC 的量子加密应用架构组成

现有的量子密钥分发网络由量子密钥分发设备、光量子真随机数发生器、量子安全网关组成。光量子真随机数发生器能够生成海量的量子密钥，这些密钥由密钥管理系统统一进行管理，再通过量子安全服务平台，推送给需要使用量子密钥的配电网业务和终端。基于量子密钥分发网络环境，将量子密钥的应用关口前移，将防护前移至无线安全接入区前，提出基于5G 网络的量子安全服务平台应用模式(见图1)。系统通过量子密钥分发网络生成量子密钥，在量子安全服务平台注册后，通过量子密钥充注方式将量子密钥充注到量子密钥移动介质(TF 卡、U-Key 等等)，再用于量子移动终端。

图1 量子安全服务平台应用模式

5G 电力虚拟专网中通过MEC 部署应用，包括身份认证应用、量子安全服务平台、UPF 网络转发等，并利用5G 特性与运营商进行能力互动，可实现将安全防护关口前移、安全事件的毫秒级快速响应、身份二次鉴权提升安全性等。

3 技术应用

3.1 应用环境设计

配电自动化应用通过使用5G 电力虚拟专网，可实现高可靠的配电网保护，实现故障的快速定位与隔离快速恢复、负荷精准控制、视频监控的高效传输等。在实际使用过程中，整个5G 配电网量子加密环境主要包含部署在MEC 中的量子安全服务平台(应用服务侧)、传输过程中5G 的安全能力交互、配电终端应用的量子加密模块(终端侧)。

量子安全服务平台主要包括量子密钥生成、量子密钥统一调度管理以及两端的量子密钥应用[5-6]。

在应用服务侧，量子密钥生成主要是利用光量子随机数发生器产生不可预测结果的密钥，再进行量子加密，形成最终的加密量子密钥。在量子密钥的统一调度管理过程中，还需要量子密钥管理机、交换密码机、量子密码服务平台以及量子密钥充注系统。量子密钥管理机主要负责管理和存储量子密钥；交换密码机主要负责在传输过程中控制量子密钥的输出与交换；量子密码服务平台主要负责量子密钥的对外调度使用，确保量子密钥可以安全有序地分发至需要使用的应用系统；量子密钥充注系统主要负责将量子密钥通过U 盾/TF 卡等方式进行充注，并在量子加密终端使用[5]，确保初始密钥也得到安全保障。在终端侧，量子加密终端由量子安全网关、量子加密模块和5G 传输终端(如客户端设备CPE 等)，通过利用量子安全加密传输通道，提升5G 终端接入、传输的安全等级，确保电力业务系统网络传输更加安全可靠。

3.2 系统测试

3.2.1 延迟测试

选取配电网DTU 进行测试，用笔记本电脑1 模拟104 主站，笔记本电脑2 模拟本地主站。DTU 终端通过5G CPE 无线连接至本地主站系统，另一端连接至测试笔记本电脑1，做“三遥”(遥测、遥信、遥控)测试，通过104 主站与本地模拟主站收到的相同报文时间差作对比，即可以得到报文延时时间，如图2 所示。同时在主站侧部署5G 环境和5G+量子环境分别进行传输测试。

图2 DTU 终端测试

由测试结果可知：在5G 部署环境下，1 000次测试中最大延迟为121.23 ms，而5G+量子环境下最大延迟为200.23 ms，符合配电网的通信要求。

3.2.2 遥信突变下的延迟测试

DTU 终端通过使用5G CPE 无线连接至本地主站系统，通过遥信突变分析主站报文收到时间与报文生成时间的事件顺序记录(SOE)时标时间差，即可以得到报文延时时间。通过测试得到“三遥”相关数据，如表1、2 和3 所示。

表1 5G DTU 遥信测试

表2 5G DTU 遥测测试

表3 5G DTU 遥控测试

将各项测试得到的报文延时的结果与系统要求的响应时间进行对比，测试结果均符合电力系统响应时间的要求。

4 结论

针对配电网终端无线通信的安全问题，提出了在电力5G 无线网络MEC 环境中引入量子加密防护技术，为配电自动化业务使用“三遥”功能提供安全支撑。试验证明，应用该方案系统响应时间符合电力业务规范要求。后续可通过不断放开“三遥”等功能，大幅缩短故障隔离和恢复送电时间等，也为实现故障快速定位与隔离恢复，以及精准负荷控制、实时视频监控等提供技术支持。