用于低压台区数据信息加密的系统

技术领域

本发明涉及电力系统技术领域，具体涉及一种用于低压台区数据信息加密的系统。

背景技术

随着智能电网建设的推进，我国电网在发电和输电等主线环节实现了高速的集成化、信息化和智能化，部分已经取得国际领先水平。但是在用户低压台区侧，其配电和用电环节的信息化和智能化相对比较薄弱，尤其是在数据信息安全方面。如何对这些数据进行保护成为了行业关注的重要方向，目前行业内暂时还没有低压台区的加密规范。

为此，需要一种技术方案，能够保护低压台区边侧与端侧的数据信息交互及控制信息交互的安全。

发明内容

本申请旨在提供用于低压台区数据信息加密的系统，实现整个台区的实时动态的加密策略的更新，准确有效的完成了整个台区的数据信息、控制信息的安全防护。

根据本申请的一方面，提供一种低压台区数据信息加密的系统，所述加密系统包括边侧和端侧，所述边侧包含边侧融合终端、边侧控制模块和加密芯片，所述端侧包含端侧控制模块、加密芯片和链路终端，所述边侧和多个端侧通过Mesh网进行加密通信，

其中所述边侧控制模块和所述端侧控制模块配置为：

所述边侧控制模块检测链路终端入网信息，根据检测结果下发检测报文；

所述端侧控制模块接收所述检测报文并处理及回复；

所述边侧控制模块收到报文确认回复后发送随机数及签名信息；

所述端侧控制模块接收所述随机数及签名信息并回复；

所述边侧控制模块收到信息确认回复后发送加密证书信息；

所述端侧控制模块接收所述加密证书信息并回复；

所述边侧控制模块接收所述端侧控制模块发送的各项信息后通过总线发送到加密芯片获取秘钥信息；

所述端侧控制模块接收所述秘钥信息后进行解析及存储。

根据一些实施例，所述边侧控制模块和所述端侧控制模块还配置为：

所述端侧控制模块接收所述秘钥信息，进行解析及存储后，将数据通过总线发送到加密芯片上进行加密；

所述端侧控制模块将数据加密后传至所述链路终端，完成数据信息加密。

根据一些实施例，所述边侧控制模块和所述端侧控制模块包括微控制器和Mesh芯片。

根据一些实施例，针对解析检测报文得到加密策略，所述端侧控制模块进一步配置为：

所述端侧检测到下发的报文后先进行报文的解析，检测自身与加密芯片交互是否正常进行回复，若检测正常则收到确认回复，若交互异常则直接收到否认回复。

根据一些实施例，针对发送随机数及签名信息和发送证书信息，所述边侧控制模块进一步配置为：

所述边侧控制模块解析所述端侧发送的检测报文回复结果，若为确认报文，则将自身存储的随机数及签名送出并等待确认回复。

根据一些实施例，所述边侧控制模块将所述加密证书信息通过分帧的方式进行发送。

根据一些实施例，所述端侧控制模块进一步配置为：

所述端侧控制模块对所述检测报文校验无误后，将分帧后的多帧证书信息进行存储并回复确认信息。

根据一些实施例，所述端侧控制模块接收到多帧证书信息后，将信息重新组装后进行回复确认信息。

根据一些实施例，所述端侧控制模块将接收到的所述加密证书信息通过总线发送到自身的加密芯片，接收加密信息并返回所述随机数及签名信息。

根据一些实施例，所述边侧控制模块负责所有端侧的加密策略信息维护，所述端侧控制模块负责维护自身链路的加密策略。

根据一些实施例，所述边侧接收所述端侧发送的各项信息后通过总线发送到加密芯片获取秘钥，包括：

所述各项信息包含加密证书信息、随机数及签名信息。

根据本申请的实施例，通过利用低压台区的Mesh组网架构，实现一边对多个端侧的数据信息安全防护，并且能够实时动态的更新加密的策略。能够完成单个低压台区的完整数据信息的安全防护。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本申请。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍。

图1示出根据示例实施例的低压台区数据信息加密的系统拓扑图。

图2示出根据示例实施例的低压台区边侧工作流程图。

图3示出根据示例实施例的低压台区端侧工作流程图。

图4示出根据示例实施例的单链路的加密策略建立流程示意图。

图5示出根据示例性实施例的计算设备的框图。

具体实施方式

现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本申请将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本申请的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本申请的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本申请的各方面。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

应理解，虽然本文中可能使用术语第一、第二、第三等来描述各种组件，但这些组件不应受这些术语限制。这些术语乃用以区分一组件与另一组件。因此，下文论述的第一组件可称为第二组件而不偏离本申请概念的教示。如本文中所使用，术语“及/或”包括相关联的列出项目中的任一个及一或多者的所有组合。

本申请所涉及的用户信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)，均为经用户授权或者经过各方充分授权的信息和数据，并且相关数据的收集、使用和处理需要遵守相关国家和地区的相关法律法规和标准，并提供有相应的操作入口，供用户选择授权或者拒绝。

本领域技术人员可以理解，附图只是示例实施例的示意图，附图中的模块或流程并不一定是实施本申请所必须的，因此不能用于限制本申请的保护范围。

目前在用户低压台区侧，其配电和用电环节的信息化和智能化相对比较薄弱。尤其是在数据信息安全方面，低压台区涉及大量的数据交换和处理，包括客户信息、用电数据、财务数据等。这些数据的泄露或遭受攻击可能会造成严重的经济和社会影响。如何对这些数据进行保护成为了行业关注的重要方向，目前行业内暂时还没有低压台区的加密规范。

为此，本申请提出一种低压台区数据信息加密的系统，通过Mesh组网架构，实现一边对多个端侧的数据信息安全防护，并且能够实时动态的更新加密的策略，能够完成单个低压台区的完整数据信息的安全防护。

在描述本申请实施例之前，对本申请实施例涉及到的一些术语或概念进行解释说明。

TTU：融合终端，广泛应用于电信和自动化等行业，用于在不同的组件之间提供通信功能。它可以作为连接不同设备的接口，允许数据交换和信号传输。

Mesh：Mesh网络是一种分布式网络架构，其中每个节点都可以与其他多个节点直接通信，而不需要通过中央路由器或者其他中介设备。在这种网络架构下，每个节点既是发送者也是接收者，从而形成了一个自组织、多跳式的网络拓扑结构。这种网络拓扑结构特别适合于覆盖范围广、网络环境复杂的情况。Mesh网络中，代理主要负责协调各个节点间的通信，包括数据转发和路由计算等任务。它还可以提供各种服务，例如身份验证、加密、流量控制等。在Mesh网络中，代理可以根据需要部署在不同的位置，例如网络边缘或者核心节点上。如果部署在网络边缘，它可以作为客户端和服务器之间的桥梁，解决跨越多个网络的通信问题；如果部署在核心节点上，它可以协调所有节点之间的通信，优化网络性能和可用性。

Uart：Uart(Universal Asynchronous Receiver-Transmitter)是一种异步串行通信接口，用于在计算机和其他设备之间发送和接收数据。它使用一根单独的线路传输数据和时钟信号，并通过一个额外的线路进行同步。

Mcu：Mcu(Microcontroller Unit)是一种控制器，也称为单片机，它集成了CPU、RAM、ROM、I/O接口和外设等多种功能模块，可以实现数据处理、定时控制、通讯、中断处理等功能。

SDK：SDK(Software Development Kit)是一个包含软件开发工具、文档和支持文件的集合，它旨在简化应用程序的开发过程，让开发者更容易地创建和调试程序。SDK通常包含了编译器、链接器、库文件、API函数以及其他必要的开发工具。

Esam：ESAM(Embedded Secure Access Module)是一种嵌入式安全控制模块，可保护电子设备和数据免受未经授权的访问和篡改。

SPI：SPI(Serial Peripheral Interface)是一种同步串行通信接口总线，用于在一个总线上同时传输数据和地址信息。SPI使用四根线进行通信：SCK(Serial Clock)、MOSI(Master Out Slave In)、MISO(Master In Slave Out)和SS(Slave Select)。在SPI通信过程中，主设备控制时钟信号，通过向从设备发送命令来读取或写入数据。

下面结合附图对本申请的示例实施例进行说明。

图1示出根据示例实施例的低压台区数据信息加密的系统拓扑图。

参见图1，一个边侧可以对应多个端侧。

根据一些实施例，在边侧，TTU融合终端通过Uart接口，与边侧Mcu控制器进行数据的发送和接收，Mcu通过Uart接口与边侧Mesh组网进行数据的发送和接收。

端侧通过无线网络接收来自边侧的数据，端侧Mesh组网通过Uart接口进行与端侧Mcu控制器进行数据的发送接收，Mcu通过Uart接口与终端通信，端侧Mcu通过SPI总线收发信息数据，在Esam加密芯片中进行数据加密。

根据一些实施例，边侧控制模块检测链路终端入网信息，根据检测结果下发检测报文，端侧控制模块接收所述检测报文后进行处理及回复。

根据一些实施例，边侧控制模块收到端侧的报文确认回复后发送随机数及签名信息，端侧控制模块接收所述随机数及签名信息并回复。

根据一些实施例，边侧控制模块收到端侧回复的信息确认回复后，发送加密证书信息，端侧控制模块接收所述加密证书信息并回复；

根据一些实施例，边侧控制模块接收所述端侧控制模块发送的各项信息后，通过总线发送到加密芯片获取秘钥信息，端侧控制模块接收所述秘钥信息后进行解析及存储。

根据一些实施例，下行报文的加解密流程如下：

边侧Mcu将TTU报文进行解析，若报文中所包含的地址信息已经在边侧Mcu所维护的加密策略地址列表中，则边侧Mcu将报文的数据域内容通过SPI发送至边侧Mcu进行数据加密，并将返回的加密后的数据重新封装并下发。

端侧Mcu接收到TTU的报文后，根据约定好的数据项DI进行报文的解析，拆解出来报文的数据域，并将数据域的内容通过SPI总线发送到端侧加密芯片，加密芯片调用存储的加解密策略进行数据的解密并将结果发送给端侧Mcu。端侧Mcu将数据重新下发至端侧终端。

上行报文的加解密流程与上述下行解密流程基本相同，不在此赘述。

根据一些实施例，边侧产生的秘钥与端侧解析后的秘钥互为匹配秘钥。

图2示出根据示例实施例的低压台区边侧工作流程图。

参见图2，边侧Mcu负责所有端侧的加密策略信息维护。

在S201，检测到入网信息。

根据一些实施例，边侧Mcu检测尾端Mesh模块上行的该链路终端的入网信息，先检测自身所维护的终端地址。

在S203，发送心跳检测报告。

根据一些实施例，边侧检测自身终端地址时若无该地址所对应的加密策略信息，则边侧Mcu通过电力协议376.2报文向端侧下发检测报文。

根据一些实施例，边侧Mcu通过电力协议376.2报文下发检测报文。

在S205，心跳回复确认。

根据一些实施例，边侧收到端侧确认后的报文回复结果，回复确认。

在S207，下发随机数签名信息。

根据一些实施例，边侧确认报文后，将自身存储的边侧加密芯片的随机数及签名发送给端侧Mcu。

在S209，随机数信息确认。

根据一些实施例，边侧收到端侧校验随机数信息无误的回复后，进行随机数信息确认。

在S211，下发证书信息。

根据一些实施例，边侧Mcu检测到端侧发送的随机数及签名信息的确认报文后，则将自身存储的加密芯片证书信息通过分帧的方式发送给端侧。

在S213，证书信息确认。

根据一些实施例，边侧接收端侧返回的证书信息并确认回复。

在S215，根据汇总的各种信息加密芯片产生秘钥。

根据一些实施例，边侧接收到端侧发送的证书、随机数、签名等信息后，将这些信息通过SPI总线发送给边侧的加密芯片，加密芯片产生相应的秘钥信息，边侧将这些秘钥信息通过报文发送至端侧Mcu。

图3示出根据示例实施例的低压台区端侧工作流程图。

参见图3，端侧Mcu负责维护自身链路的加密策略。

在S301，心跳检测报文处理。

根据一些实施例，端侧Mcu检测由边侧Mcu通过电力协议376.2报文下发检测报文并进行处理。

在S303，与加密芯片交互正常。

根据一些实施例，端侧Mcu检测到边侧Mcu下发的报文，先进行报文帧的解析，并检测自身与加密芯片交互是否正常进行回复，若检测正常则回复确认，若交互异常则直接回否认。

在S305，回复心跳确认。

根据一些实施例，端侧收到边侧的检测报文后，校验无误回复确认。

在S307，接收存储随机数等信息。

根据一些实施例，端侧接收到边侧发送的随机数及签名信息等，存储在加密芯片中。

在S309，回复随机数等信息确认。

根据一些实施例，端侧接收到边侧发送的随机数及签名信息的确认报文后进行校验，校验无误后会去确认。

在S311，接收证书信息并存储。

根据一些实施例，端侧接收来自边侧Mcu自身存储的加密芯片证书信息，证书信息通过分帧的方式发送。

根据一些实施例，端侧将多帧证书信息接收并重新组装。

在S313，接收证书信息并存储回复确认。

根据一些实施例，端侧将接收到的边侧id及边侧证书信息校验无误后进行存储并回复确认信息。

根据一些实施例，端侧将接收到的边侧id及边侧证书信息通过SPI发送到自身的加密芯片，并接收加密信息产生并返回的随机数及签名信息。端侧将这些信息通过报文发送给边侧。

图4示出根据示例实施例的单链路的加密策略建立流程示意图。

参见图4所示的加密策略建立流程图，详细描述了边侧与端侧的交互过程。

边侧Mcu检测端侧Mesh模块上行的该链路终端的入网信息，先检测自身所维护的终端地址，若无该地址所对应的加密策略信息，则边侧Mcu通过电力协议376.2报文下发检测报文，端侧Mcu检测该报文并进行处理，处理流程为以下步骤。

端侧Mcu检测到边侧Mcu下发的报文，先进行报文帧的解析，并检测自身与加密芯片交互是否正常进行回复，若检测正常则回复确认，若交互异常则直接回否认。

边侧Mcu解析收到的检测报文回复结果，若为确认报文，则将自身存储的边侧加密芯片的随机数及签名发送给端侧Mcu，端侧收到边侧的随机数及签名信息后并校验无误则回复确认。

边侧Mcu检测到端侧发送的随机数及签名信息的确认报文后，则将自身存储的加密芯片证书信息通过分帧的方式发送给端侧，端侧将多帧证书信息接收并重新组装。校验无误后进行存储并回复确认信息。端侧将接收到的边侧id及边侧证书信息通过SPI发送到自身的加密芯片，并接收加密信息产生并返回的随机数及签名信息。端侧将这些信息通过报文发送给边侧。

边侧接收到端侧发送的证书、随机数、签名等信息后，将这些信息通过SPI总线发送给边侧的加密芯片，加密芯片产生相应的秘钥信息，边侧将这些秘钥信息通过报文发送至端侧Mcu，端侧Mcu进行解析并存储，至此，该链路的加密策略建立完成。

图5示出根据本申请示例实施例的计算设备的框图。

如图5所示，计算设备30包括处理器12和存储器14。计算设备30还可以包括总线22、网络接口16以及I/O接口18。处理器12、存储器14、网络接口16以及I/O接口18可以通过总线22相互通信。

处理器12可以包括一个或多个通用CPU(Central Processing Unit，处理器)、微处理器、或专用集成电路等，用于执行相关程序指令。

存储器14可以包括易失性存储器形式的机器系统可读介质，例如随机存取存储器(RAM)、只读存储器(ROM)和/或高速缓存存储器。存储器14用于存储包含指令的一个或多个程序以及数据。处理器12可读取存储在存储器14中的指令以执行上述根据本申请实施例的方法。

计算设备30也可以通过网络接口16与一个或者多个网络通信。该网络接口16可以是无线网络接口。

总线22可以为包括地址总线、数据总线、控制总线等。总线22提供了各组件之间交换信息的通路。

需要说明的是，在具体实施过程中，计算设备30还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本说明书实施例方案所必需的组件，而不必包含图中所示的全部组件。

本申请还提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述方法的步骤。计算机可读存储介质可以包括但不限于任何类型的盘，包括软盘、光盘、DVD、CD-ROM、微型驱动器以及磁光盘、ROM、RAM、EPROM、EEPROM、DRAM、VRAM、闪速存储器设备、磁卡或光卡、纳米系统(包括分子存储器IC)、网络存储设备、云存储设备，或适合于存储指令和/或数据的任何类型的媒介或设备。

本申请实施例还提供一种计算机程序产品，该计算机程序产品包括存储计算机程序的非瞬时性计算机可读存储介质，该计算机程序可操作来使计算机执行如上述方法实施例中记载的任何一种方法的部分或全部步骤。

本领域的技术人员可以清楚地了解到本申请的技术方案可借助软件和/或硬件来实现。本说明书中的“单元”和“模块”是指能够独立完成或与其他部件配合完成特定功能的软件和/或硬件，其中硬件例如可以是现场可编程门阵列、集成电路等。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置，可通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些服务接口，装置或单元的间接耦合或通信连接，可以是电性或其它的形式。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储器中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储器中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本申请各个实施例方法的全部或部分步骤。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

以上具体地展示和描述了本申请的示例性实施例。应可理解的是，本申请不限于这里描述的详细结构、设置方式或实现方法；相反，本申请意图涵盖包含在所附条款的精神和范围内的各种修改和等效设置。