一种配电物联网接入系统的制作方法

1.本发明涉及物联网领域，特别涉及一种配电物联网接入系统。

背景技术：

2.随着当前社会的技术发展，物联网相关技术也随之发展。当前可以基于物联网技术将配电物联网终端接入网络中，实现配网状态全景感知、配网智能化转型升级。
3.当前需要将配电物联网终端接入电力信息网中，实现和电力信息网中的配电主站实现通信连接，具体可以利用边缘物联代理作为通信连接的中介。但是由于配电物联网终端大多部署于户外、无人看守等安全性较低的环境且自身安全防护能力较弱，存在非法终端接入、敏感信息泄露和被篡改等潜在安全隐患，威胁配电物联网的安全、稳定运行。
4.因此，现在亟需一种具有较高安全性的配电物联网接入系统。

技术实现要素：

5.有鉴于此，本技术的目的在于提供一种配电物联网接入系统，能够满足对配电物联网的高安全性、稳定运行的需求。
6.本技术实施例提供了一种配电物联网接入系统，所述配电物联网包括电力信息网和现场局域网，所述电力信息网中设置有配电主站；所述系统包括：配电物联网安全接入网关、边缘物联代理和目标终端；所述边缘物联代理和所述目标终端设置于所述现场局域网；所述边缘物联代理用于进行安全状态认证以及和所述配电物联网安全接入网关进行互相身份认证，所述安全状态认证用于检测所述边缘物联代理是否存在异常情况；所述配电物联网安全接入网关用于接收所述边缘物联代理进行安全状态认证和身份认证的第一认证结果，根据所述第一认证结果确定所述边缘物联代理是否进行数据接入；所述边缘物联代理和所述目标终端用于进行互相身份认证，所述边缘物联代理用于根据身份认证的第二认证结果确定所述目标终端是否进行数据接入。
7.可选地，所述边缘物联代理包括安全接入应用程序和硬件密码组件，所述硬件密码组件用于存储数字证书和安全策略文件；所述配电物联网安全接入网关用于接收所述安全接入应用程序发送的第一数字证书进行所述边缘物联代理的身份认证；所述安全接入应用程序用于比较所述硬件密码组件存储的第二数字证书和从所述配电物联网安全接入网关接收的数字证书是否一致，以进行所述配电物联网安全接入网关的身份认证；所述安全接入应用程序用于根据所述安全策略文件对所述边缘物联代理是否存在异常情况进行检测，以进行安全状态认证。
8.可选地，所述安全接入应用程序包括安全通信组件和异常感知组件；所述异常感知组件用于根据所述安全策略文件对所述边缘物联代理是否存在异
常情况进行检测，以进行安全状态认证，得到第一认证结果，所述异常情况至少包括是否存在高危端口、异常进程、异常通信或中央处理器过载；所述安全通信组件用于将所述第一认证结果发送至所述配电物联网安全接入网关。
9.可选地，所述异常感知组件用于获取所述硬件密码组件的标识，并和从所述安全策略文件中存储的标识进行比较，确定是否一致；所述异常感知组件用于获取所述中央处理器的利用率和存储占用率，并和从所述安全策略文件中存储的利用率阈值和存储占用率阈值进行比较，确定是否存在中央处理器过载；所述异常感知组件用于获取当前进程信息和端口信息，并和从所述安全策略文件中存储的信息名单进行比较，确定是否存在高危端口和异常进程。
10.可选地，所述系统包括统一认证系统，所述统一认证系统用于接收配电物联网安全接入网关转发的所述第一数字证书，利用所述第一数字证书对所述边缘物联代理进行身份认证。
11.可选地，所述统一认证系统包括数字证书认证模块和标识认证模块；所述数字证书认证模块用于根据所述第一数字证书对所述边缘物联代理进行身份认证；所述标识认证模块用于根据边缘物联代理的标识或目标终端的标识生成秘钥。
12.可选地，所述目标终端包括安全软件；所述边缘物联代理用于接收所述目标终端发送的标识，并和所述标识认证模块生成秘钥中的目标终端的标识进行比较，以进行所述目标终端的身份认证；所述安全软件用于接收所述边缘物联代理发送的标识，并和所述标识认证模块生成秘钥中的边缘物联代理的标识进行比较，以进行所述边缘物联代理的身份认证。
13.可选地，所述配电物联网安全接入网关包括安全密码卡、安全服务组件和安全评估组件；所述安全密码卡用于提供数据秘钥；所述安全服务组件用于和所述边缘物联代理进行数据通信；所述安全评估组件用于提供安全策略文件。
14.可选地，所述第一认证结果为身份认证通过，安全状态认证通过，则所述配电物联网安全接入网关用于确定所述边缘物联代理进行数据接入；所述第一认证结果为身份认证不通过或安全状态认证不通过，则所述配电物联网安全接入网关用于确定所述边缘物联代理不进行数据接入。
15.可选地，所述第二认证结果为身份认证通过，则所述边缘物联代理确定所述目标终端进行数据接入；所述第二认证结果为身份认证不通过，则所述边缘物联代理确定所述目标终端不进行数据接入。
16.本技术实施例提供了一种配电物联网接入系统，配电物联网包括电力信息网和现场局域网，电力信息网中设置有配电主站，系统包括：配电物联网安全接入网关、边缘物联代理和目标终端，边缘物联代理和目标终端设置于现场局域网，边缘物联代理用于进行安
全状态认证以及和配电物联网安全接入网关进行互相身份认证，安全状态认证用于检测边缘物联代理是否存在异常情况，配电物联网安全接入网关用于接收边缘物联代理进行安全状态认证和身份认证的第一认证结果，根据第一认证结果确定边缘物联代理是否进行数据接入，也就是说，通过对边缘物联代理和配电物联网安全接入网关进行身份认证以及对边缘物联代理进行安全状态认证，即能够在进行数据接入前进行身份认证和安全状态认证，提高接入配电物联网的边缘物联代理的安全性，边缘物联代理和目标终端用于进行互相身份认证，边缘物联代理可以根据身份认证的第二认证结果确定目标终端是否进行数据接入，也就是说，通过对边缘物联代理和目标终端进行身份认证，提高接入配电物联网的目标终端的安全性，由此可见，通过提高边缘物联代理和目标终端的接入安全性，从而整体提高配电物联网的安全性，避免配电物联网中边缘物联代理和目标终端被非法入侵，实现配电物联网的高安全性、稳定运行。
附图说明
17.为了更清楚地说明本技术实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
18.图1示出了一种配电物联网的示意图；图2示出了本技术实施例提供的一种配电物联网接入系统的结构示意图；图3示出了本技术实施例提供的另一种配电物联网接入系统的结构示意图；图4示出了本技术实施例提供的一种安全状态认证流程示意图；图5示出了本技术实施例提供的一种北向接入通信流程示意图；图6示出了本技术实施例提供的一种南向接入通信流程示意图。
具体实施方式
19.为了使本技术领域的人员更好地理解本技术方案，下面将结合本技术实施例中的附图，对本技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本技术一部分实施例，而不是全部的实施例。基于本技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本技术保护的范围。
20.在下面的描述中阐述了很多具体细节以便于充分理解本技术，但是本技术还可以采用其它不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本技术内涵的情况下做类似推广，因此本技术不受下面公开的具体实施例的限制。
21.随着当前社会的技术发展，物联网相关技术也随之发展。当前可以基于物联网技术将配电物联网终端接入网络中，实现配网状态全景感知、配网智能化转型升级，其中配电物联网终端可以是智能传感器或智能配电终端。
22.参考图1所示，为一种配电物联网示意图。从图1中可以看出，当前需要将配电物联网终端接入电力信息网中，实现和电力信息网中的配电主站实现通信连接，具体可以利用边缘物联代理作为通信连接的中介。按接入层级，配电物联网终端的接入可分为网络层接入和感知层接入。网络层接入指边缘物联代理连接至电力信息网中，也称为北向接入，感知
层接入指智能传感器、智能配电终端连接到边缘物联代理，也称为南向接入。南向接入的网络通道主要采用无线通信（wireless fidelity，wifi）、紫蜂协议（zigbee）、远距离无线电（long range radio，lora）等现场短距离局域无线网，北向接入的网络通道主要采用电力无线专网或运营商网络接入点名称（access point name，apn）专网。
23.当前针对北向接入，可以进行安全防护，具体的，可以在电力信息网边界部署边界安全接入网关，采用安全套接字协议（secure sockets layer，ssl） vpn或互联网安全协议（internet protocol security，ipsec）vpn技术，对边缘物联代理进行利用同一认证系统发放的数字证书进行强身份认证，对传输的数据进行加密和认证保护，也可以部署边界安全隔离装置，实现电力信息网与外网的隔离，还可以在边缘物联代理上集成内嵌数字证书的安全芯片或安全快闪存储器（trans-flash，tf）卡，安装vpn客户端程序，与边界安全接入网关建立加密数据传输通道，实现北向数据的安全传输。
24.但是北向接入只对边缘物联代理的身份进行认证，未对边缘物联代理的安全状态进行评估，如接入时或接入后边缘物联代理被攻破且安装了恶意程序，则无法及时发现并阻止其对电力信息网进行破坏。
25.此外，由于配电物联网终端大多部署于户外、无人看守等安全性较低的环境且自身安全防护能力较弱，现场短距离无线局域网络自身的认证和加密强度较弱，存在非法终端接入、敏感信息泄露和被篡改等潜在安全隐患，威胁配电物联网的安全、稳定运行。也就是说，当前未对南向接入的配电物联网终端进行安全认证和数据传输的安全防护，存在非法终端接入和数据泄露的风险。
26.因此，现在亟需一种具有较高安全性的配电物联网接入系统。
27.基于此，本技术实施例提供了一种配电物联网接入系统，配电物联网包括电力信息网和现场局域网，电力信息网中设置有配电主站，系统包括：配电物联网安全接入网关、边缘物联代理和目标终端，边缘物联代理和目标终端设置于现场局域网，边缘物联代理用于进行安全状态认证以及和配电物联网安全接入网关进行互相身份认证，安全状态认证用于检测边缘物联代理是否存在异常情况，配电物联网安全接入网关用于接收边缘物联代理进行安全状态认证和身份认证的第一认证结果，根据第一认证结果确定边缘物联代理是否进行数据接入，也就是说，通过对边缘物联代理和配电物联网安全接入网关进行身份认证以及对边缘物联代理进行安全状态认证，即能够在进行数据接入前进行身份认证和安全状态认证，提高接入配电物联网的边缘物联代理的安全性，边缘物联代理和目标终端用于进行互相身份认证，边缘物联代理可以根据身份认证的第二认证结果确定目标终端是否进行数据接入，也就是说，通过对边缘物联代理和目标终端进行身份认证，提高接入配电物联网的目标终端的安全性，由此可见，通过提高边缘物联代理和目标终端的接入安全性，从而整体提高配电物联网的安全性，避免配电物联网中边缘物联代理和目标终端被非法入侵，实现配电物联网的高安全性、稳定运行。
28.为了更好地理解本技术的技术方案和技术效果，以下将结合附图对具体的实施例进行详细的描述。
29.参见图2，该图为本技术实施例提供的一种配电物联网接入系统的结构示意图。
30.本技术实施例提供的配电物联网包括电力信息网和现场局域网，电力信息网中设置有配电主站。
31.本实施例提供的配电物联网接入系统100包括：配电物联网安全接入网关110、边缘物联代理120和目标终端130，边缘物联代理120和目标终端130设置于现场局域网，也就是说，边缘物联代理120和目标终端130利用现场局域网络进行数据通信，例如wifi、zigbee、lora等。
32.目标终端130可以是配电物联网终端，例如智能传感器或智能配电终端。边缘物联代理120可以是服务器节点。
33.配电物联网安全接入网关110可以设置于电力信息网边界。配电物联网安全接入网关110可以包括安全密码卡、安全服务组件和安全评估组件，参考图3所示，其中，安全密码卡可以提供硬件加解密、哈希（hash）运算、签名、验证签名、安全存储等服务，安全密码卡可以包括随机数生成接口，利用随机数生成接口生成的随机数可以生成数据秘钥，安全服务组件可以与边缘物联代理120包括的安全通信组件建立vpn通道，实现数据的安全传输，同时将加密和解密后的数据转发给配电主站，也就是说，安全服务组件可以和边缘物联代理120进行数据通信。安全评估组件可以进行安全策略的制定，生成安全策略文件下发至边缘物联代理120，也就是说，安全评估组件用于提供安全策略文件。
34.在本技术的实施例中，边缘物联代理120利用配电物联网安全接入网关110实现和配电主站的通信连接，具体可以利用电力无线专网或者运营商apn专网进行通信，即北向接入。目标终端130和边缘物联代理120实现通信连接，即南向接入。
35.在本技术的实施例中，在进行北向接入之前或者北向接入时，边缘物联代理120可以进行安全状态认证，安全状态认证用于检测边缘物联代理120是否存在异常情况，以增加边缘物联代理120在进行数据接入时的安全性。
36.具体的，边缘物联代理120的异常情况可以至少包括是否存在高危端口、异常进程、异常通信或中央处理器（central processing unit，cpu）过载。
37.在进行北向接入之前或者北向接入时，边缘物联代理120还可以和配电物联网安全接入网关110进行互相身份认证，经过互相身份认证可以进一步提高边缘物联代理120在进行数据接入时的安全性。
38.在本技术的实施例中，配电物联网安全接入网关110可以接收边缘物联代理120进行安全状态认证和身份认证的第一认证结果，可以根据第一认证结果确定边缘物联代理120是否进行数据接入，这样能够实现在数据接入前对边缘物联代理120的风险因素进行降低，进一步保证了配电物联网的安全运行。
39.具体的，当第一认证结果为身份认证通过，安全状态认证通过，则配电物联网安全接入网关110可以确定边缘物联代理120进行数据接入，当第一认证结果为身份认证不通过或安全状态认证不通过，则配电物联网安全接入网关110可以确定边缘物联代理120不进行数据接入。
40.在本技术的实施例中，在进行南向接入时，边缘物联代理120和目标终端130可以进行互相身份认证，经过互相身份认证可以进一步提高目标终端130在进行数据接入时的安全性，根据身份认证的第二认证结果，边缘物联代理120可以确定目标终端130是否进行数据接入，这样能够实现在数据接入前对目标终端130的风险因素进行降低，进一步保证了配电物联网的安全运行。
41.具体的，当第二认证结果为身份认证通过，则边缘物联代理120可以确定目标终端
130进行数据接入，当第二认证结果为身份认证不通过，则边缘物联代理120可以确定目标终端130不进行数据接入。
42.在本技术的实施例中，边缘物联代理120可以包括安全接入应用程序（application，app）和硬件密码组件，参考图3所示，其中，硬件密码组件用于存储数字证书和安全策略文件，数字证书可以用于进行身份认证，安全策略文件可以用于进行安全状态认证。
43.在实际应用中，硬件密码组件通常为安全芯片或安全tf卡，为安全接入app提供基于硬件的加解密、哈希（hash）运算、签名、验证签名等服务，同时为安全策略文件、数字证书等关键数据提供安全存储。
44.具体的，安全接入应用程序可以根据安全策略文件对边缘物联代理120是否存在异常情况进行检测，以进行安全状态认证。
45.在边缘物联代理120进行自身的安全状态认证时，可以利用安全接入应用程序包括的安全通信组件和异常感知组件进行认证。
46.具体的，异常感知组件可以根据安全策略文件对边缘物联代理120是否存在异常情况进行检测，以进行安全状态认证，得到第一认证结果。安全通信组件用于将第一认证结果发送至配电物联网安全接入网关110。
47.安全接入应用程序进行安全状态认证的具体过程如下：异常感知组件可以获取硬件密码组件的标识，并和从安全策略文件中存储的标识进行比较，确定是否一致，若不一致，则表明第一认证结果存在异常。
48.异常感知组件可以获取中央处理器的利用率和存储占用率，并和从安全策略文件中存储的利用率阈值和存储占用率阈值进行比较，确定是否存在中央处理器过载，若过载，则表明第一认证结果存在异常。
49.异常感知组件可以获取当前进程信息和端口信息，并和从安全策略文件中存储的信息名单进行比较，确定是否存在高危端口和异常进程，若存在，则表明第一认证结果存在异常。
50.由以上可知，异常感知组件可以对边缘物联代理120的软硬件状态进行安全采集与评估，包括采集硬件密码组件状态、硬件通信组件状态、进程信息或cpu运行信息等，并根据预置在硬件密码组件的安全策略文件评估边缘物联代理120是否存在高危端口、异常进程、异常通信、cpu过载等异常情况，并将第一认证结果通过安全通信组件上传至配电物联网安全接入网关110。安全通信组件通过调用硬件密码组件提供的各类密码服务与配电物联网安全接入网关110建立vpn通道，实现数据的安全传输。
51.在实际应用中，安全状态认证可以在边缘物联代理120南向接入时进行，也可以在边缘物联代理120南向接入后，正常运行时周期进行，以实现配电物联网的安全平稳运行。
52.作为一种示例，参考图4所示，为本技术实施例提供的一种安全状态认证流程示意图，安全状态认证可以在边缘物联代理120和配电物联网安全接入网关110进行身份认证之后进行。
53.安全接入app可以从硬件密码组件中读取安全策略文件，并且加载到内存中，安全接入app中的异常感知组件采集硬件密码组件的序列号以及硬件通信组件的序列号，调用硬件密码组件进行哈希运算，将计算得到的哈希值和安全策略文件中的存储值进行比较，
若比较一致则继续接下来的流程，若比较不一致则认为存在异常情况，之后异常感知组件可以采集cpu利用率、存储占用率，并且和安全策略文件中预设的cpu利用率阈值和存储占用率阈值进行比较，若其中之一超过阈值，则认为存在异常情况，若全部没有超过阈值则继续接下来的流程，异常感知组件可以采集当前进程和端口信息，并且和安全策略文件中预存的进程和端口白名单进行逐一匹配，若出现任意一项匹配失败或者未在白名单中查询到，则认为存在异常情况，若全部匹配成功，则异常感知组件将安全状态认证的验证结果发送给安全通信组件，同时可以清除内存中的安全策略信息，安全通信组件可以将验证结果发送给配电物联网安全接入网关110，建立安全vpn通道，进行数据通信，如存在异常情况，异常感知组件可以将安全状态认证的验证结果以及异常信息发送给安全通信组件，安全通信组件可以将验证结果以及异常信息发送给配电物联网安全接入网关110，并且终止通信连接。
54.由此可见，本技术实施例中通过边缘物联代理120包括的硬件密码组件、安全通信组件以及异常感知组件实现对于边缘物联代理120自身是否存在异常情况的安全状态验证，提高边缘物联代理120接入配电物联网的安全性。
55.在本技术的实施例中，在进行北向接入时，可以对边缘物联代理120和配电物联网安全接入网关110分别进行身份认证：配电物联网安全接入网关110可以接收安全接入应用程序发送的第一数字证书进行边缘物联代理120的身份认证。
56.在实际应用中，配电物联网接入系统100还可以包括统一认证系统，其中统一认证系统设置于电力信息网中，统一认证系统可以接收配电物联网安全接入网关110转发的第一数字证书，利用第一数字证书对边缘物联代理120进行身份认证，也就是说，配电物联网安全接入网关110可以不进行第一数字证书的身份认证，而是利用统一认证系统对边缘物联代理120进行身份认证，配电物联网安全接入网关110可以直接接收统一认证系统发送的身份认证结果。
57.具体的，统一认证系统包括数字证书认证模块和标识认证模块，参考图3所示，数字证书认证模块可以实现数字证书的请求审核、发放或认证等，也就是说，数字证书认证模块可以根据第一数字证书对边缘物联代理120进行身份认证。
58.标识认证模块可以实现对于边缘物联代理120的标识或目标终端130的标识的审核，可以基于边缘物联代理120的标识或目标终端130的标识生成秘钥，秘钥包括公钥或私钥，也就是说，标识认证模块可以根据边缘物联代理120的标识或目标终端130的标识生成秘钥。标识可以由唯一标识边缘物联代理120或目标终端130的信息构成，例如可以是边缘物联代理120或目标终端130中的硬件模块的身份标识（identity document，id）或者安全软件（software development kit，sdk）的散列，其中，私钥在出厂阶段预先设置在边缘物联代理120或目标终端130中。
59.安全接入应用程序可以接收配电物联网安全接入网关110发送的数字证书，并和硬件密码组件中存储的配电物联网安全接入网关110的第二数字证书进行比较，也就是说，安全接入应用程序比较存储的第二数字证书和从配电物联网安全接入网关110接收的数字证书是否一致，以进行配电物联网安全接入网关110的身份认证。
60.下面利用一种示例来具体介绍边缘物联代理120北向接入配电主站的过程，参考
图5所示，图5为本技术实施例提供的一种北向接入通信流程示意图，包括以下步骤：（1）边缘物联代理120将自己的数字证书cert
t
使用国产加密（sm3）算法和哈希算法h生成散列h（cert
t
），并用自身的私钥st签名，发送给配电物联网安全接入网关110，请求身份认证。
61.（2）配电物联网安全接入网关110收到身份认证请求后，由配电物联网安全接入网关110中的安全服务组件将cert
t
转发至统一认证系统的数字证书认证模块，进行有效性验证。
62.（3）统一认证系统将数字证书cert
t
是否有效的结果f经电力信息网内部局域网发送给配电物联网安全接入网关110。
63.（4）配电物联网安全接入网关110根据f判断下一步操作，如f为0，代表边缘物联代理120的数字证书cert
t
无效，则终止通信，如f为1，则配电物联网安全接入网关110将自己的数字证书certg使用sm3算法进行散列运算，并将散列值h(certg)用国产加密（sm2）算法和自身的私钥sg进行签名运算，将生成的签名值e
sg
(h(n1，certg))发送给边缘物联代理120中的安全接入app。
64.（5）安全接入app利用边缘物联代理120发放时预存在安全密码卡安全存储区的统一认证系统的公钥验证配电物联网安全接入网关110的数字证书certg，具体利用统一认证系统的公钥计算数字证书的数字签名，并与数字证书中的签名进行比对，如果一致，则说明数字证书是同一个统一认证系统签发的，如验证成功，则进行边缘物联代理120自身的安全状态认证，如自身安全状态认证通过，则由安全通信组件调用硬件密码组件提供的随机数生成接口生成随机数r
t
，连同边缘物联代理120安全状态认证结果的集合ml使用配电物联网安全接入网关110的公钥加密并用自身私钥签名后发送给配电物联网安全接入网关110，如自身安全状态认证发现异常，则只将边缘物联代理120安全状态认证结果的集合ml发送给网关。如配电物联网安全接入网关110的数字证书certg验证失败，则将配电物联网安全接入网关110的数字证书certg验证失败的结果f发送给配电物联网安全接入网关110，并断开与配电物联网安全接入网关110的通信连接。
65.（6）配电物联网安全接入网关110中的网关安全服务组件使用安全密码卡提供的随机数生成接口生成随机数rg，使用边缘物联代理120公钥q
t
加密并用sm2算法和自身私钥s
g 进行签名运算后将e
sg
(h(n2，e
qt
(rg)))发送给边缘物联代理120。
66.（7）边缘物联代理120将r
t 和rg进行异或运算
⊕
得到会话密钥r
t
⊕
rg，将哈希值h(rs⊕rt
)用sm2算法和网关公钥qg加密，将加密运算值e
qg
(n3，h(r
t
⊕
rg))发送给配电物联网安全接入网关110。
67.（8）配电物联网安全接入网关110将自身合成的会话密钥的哈希值与边缘物联代理120发送的哈希值h(r
t
⊕
rg)进行一致性比较，并将比较结果f返回给边缘物联代理120。
68.（9）边缘物联代理120判断f值，若为0则返回步骤（5），重新协商会话密钥，若为1，则进行正常通信，业务数据m用会话密钥加密发送给配电物联网安全接入网关110。
69.（10）配电物联网安全接入网关110使用国产加密（sm1）算法和协商的会话密钥解密得到m，并将m发送给给配电主站。
70.其中，北向接入流程中的通信符号定义如下所示：ni代表通信序列号，i表示第i次通信，防止重放攻击，cert
t
代表边缘物联代理120数字证书，certg代表配电物联网安全接入
网关110数字证书，q
t
代表边缘物联代理120公钥，s
t
代表边缘物联代理120私钥，qg代表配电物联网安全接入网关110公钥，sg代表配电物联网安全接入网关110私钥，ml代表边缘物联代理120安全状态认证结果的集合，r
t
代表边缘物联代理120生成的随机数，rg代表配电物联网安全接入网关110生成的随机数，f代表比对结果，取值为0或1，0代表错误，1代表正确，m代表明文业务数据，e代表密码运算，包括加密、解密、签名、验证签名，h代表哈希运算，||代表分隔符号，
⊕
代表异或运算。
71.由以上叙述可知，只有在经过双向身份认证之后，边缘物联代理120和配电物联网安全接入网关110才开始进行数据通信，这提高了边缘物联代理120接入配电物联网的安全性。
72.在本技术的实施例中，在进行南向接入时，可以对边缘物联代理120和目标终端130分别进行身份认证：边缘物联代理120可以接收目标终端130发送的标识，并和标识认证模块生成秘钥中的目标终端130的标识进行比较，以进行目标终端130的身份认证。
73.在进行边缘物联代理120的身份认证时，可以利用目标终端130中的安全sdk，安全sdk通过软件方式集成至目标终端130，为目标终端130上的数据发送程序提供软件加解密、hash运算、签名、验证签名、随机数生成等服务。
74.也就是说，目标终端130中的安全软件可以接收边缘物联代理120发送的标识，并和标识认证模块生成秘钥中的边缘物联代理120的标识进行比较，以进行边缘物联代理120的身份认证。
75.下面利用一种示例来具体介绍目标终端130南向接入边缘物联代理120的过程，参考图6所示，图6为本技术实施例提供的一种南向接入通信流程示意图，包括以下步骤：（1）目标终端130将通信序列号n0和自己的可信标识ie使用sm3算法生成各自散列值h(n0)和h(ie)，并用自身的私钥se签名e
se
(h(n0)，h(ie))，发送给边缘物联代理120。
76.（2）边缘物联代理120使用sm3算法计算ie的散列值h’(ie)和目标终端130公钥qe=h(p，ie)，使用sm2算法和qe解密e
se
(h(n0)，h(ie))，获得h(ie)，若h’(ie)和h(ie)一致，则目标终端130身份认证通过，边缘物联代理120将通信序列号n1和自己的可信标识i
t
使用自身私钥s
t
签名，并将签名值e
st
(h(n1)，h(i
t
))发送给目标终端130，若h’(ie)和h(ie)不一致，则中断与目标终端130的网络连接。
77.（3）目标终端130的数据发送程序调用安全sdk，使用sm3算法计算i
t
的散列值h’(i
t
)和边缘物联代理120的公钥q
t
= h(p，i
t
)，并用sm2算法和q
t
解密e
st
(h(n1)，h(i
t
))，获得h(i
t
)，若h’(i
t
)和h(i
t
)一致，则目标终端130对边缘物联代理120的身份认证通过，f置为1，若h’(i
t
)和h(i
t
)不一致，则f置为0。目标终端130使用sm3算法分别计算网络序列号n2和f的散列值h(n2)和h(f)，使用sm2算法和自身私钥se签名得到e
se
(h(n2)，h(f))发送给边缘物联代理120。
78.（4）边缘物联代理120判断f的值，若为0，则中断与目标终端130的通信连接，若f 为1，则调用硬件密码组件的随机数生成接口生成随机数r
t
，使用sm2算法和目标终端130公钥qe加密得到e
qe
(r
t
)，用sm3算法计算e
qe
(r
t
)和n3得到h(e
qe
(r
t
))和h(n3)，并sm2算法和自身私钥s
t
签名得到e
st
(h(n3)，h(e
qe
(r
t
)))，连同e
qe
(r
t
)发送给目标终端130。
79.（5）目标终端130使用sm2和sm3算法计算获得r
t
，作为会话密钥，使用国产加密
（sm4）算法将业务数据m及其签名h(m)、n4加密发送给边缘物联代理120。
80.其中，南向接入流程中的通信符号定义如下所示：ni代表通信序列号，i表示第i次通信，防止重放攻击，ie代表目标终端130可信标识，i
t
代表边缘物联代理120可信标识，p代表标识认证模块的公钥，q
t
代表边缘物联代理120公钥，s
t
代表边缘物联代理120私钥，qe代表目标终端130公钥，基于目标终端130的标识ie生成，se代表目标终端130私钥，r
t
代表边缘物联代理120生成的随机数，f代表比对结果，取值为0或1，0代表错误，1代表正确，m代表明文业务数据，e代表密码运算，包括加密、解密、签名、验证签名，h代表哈希运算，||代表分隔符号。
81.由以上叙述可知，只有在经过双向身份认证之后，边缘物联代理120和目标终端130才开始进行数据通信，这提高了目标终端130接入配电物联网的安全性。
82.在本技术的实施例中，为提高电力信息网的安全性，还可以在电力信息网的边界设置边界安全隔离装置，参考图3所示。
83.由以上可知，本技术实施例提供的配电物联网系统，对北向接入进行了增强，既进行基于数字证书的身份认证，也进行接入时和运行过程中异常状态的检查，使得接入配电主站的边缘物联代理的安全性更高，利用基于标识认证的轻量级安全接入机制对南向接入进行安全防护，对目标终端例如智能传感器或智能配电终端的身份进行认证，对数据进行加密，弥补了缺乏南向安全接入机制的缺陷。
84.本技术实施例提供了一种配电物联网接入系统，配电物联网包括电力信息网和现场局域网，电力信息网中设置有配电主站，系统包括：配电物联网安全接入网关、边缘物联代理和目标终端，边缘物联代理和目标终端设置于现场局域网，边缘物联代理用于进行安全状态认证以及和配电物联网安全接入网关进行互相身份认证，安全状态认证用于检测边缘物联代理是否存在异常情况，配电物联网安全接入网关用于接收边缘物联代理进行安全状态认证和身份认证的第一认证结果，根据第一认证结果确定边缘物联代理是否进行数据接入，也就是说，通过对边缘物联代理和配电物联网安全接入网关进行身份认证以及对边缘物联代理进行安全状态认证，即能够在进行数据接入前进行身份认证和安全状态认证，提高接入配电物联网的边缘物联代理的安全性，边缘物联代理和目标终端用于进行互相身份认证，边缘物联代理可以根据身份认证的第二认证结果确定目标终端是否进行数据接入，也就是说，通过对边缘物联代理和目标终端进行身份认证，提高接入配电物联网的目标终端的安全性，由此可见，通过提高边缘物联代理和目标终端的接入安全性，从而整体提高配电物联网的安全性，避免配电物联网中边缘物联代理和目标终端被非法入侵，实现配电物联网的高安全性、稳定运行。
85.以上所描述的系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元及模块可以是或者也可以不是物理上分开的。另外，还可以根据实际的需要选择其中的部分或者全部单元和模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
86.以上所述仅是本技术的优选实施方式，虽然本技术已以较佳实施例披露如上，然而并非用以限定本技术。任何熟悉本领域的技术人员，在不脱离本技术技术方案范围情况下，都可利用上述揭示的方法和技术内容对本技术技术方案做出许多可能的变动和修饰，或修改为等同变化的等效实施例。因此，凡是未脱离本技术技术方案的内容，依据本技术的
技术实质对以上实施例所做的任何的简单修改、等同变化及修饰，均仍属于本技术技术方案保护的范围内。

技术特征：

1.一种配电物联网接入系统，其特征在于，所述配电物联网包括电力信息网和现场局域网，所述电力信息网中设置有配电主站；所述系统包括：配电物联网安全接入网关、边缘物联代理和目标终端；所述边缘物联代理和所述目标终端设置于所述现场局域网；所述边缘物联代理用于进行安全状态认证以及和所述配电物联网安全接入网关进行互相身份认证，所述安全状态认证用于检测所述边缘物联代理是否存在异常情况；所述配电物联网安全接入网关用于接收所述边缘物联代理进行安全状态认证和身份认证的第一认证结果，根据所述第一认证结果确定所述边缘物联代理是否进行数据接入；所述边缘物联代理和所述目标终端用于进行互相身份认证，所述边缘物联代理用于根据身份认证的第二认证结果确定所述目标终端是否进行数据接入。2.根据权利要求1所述的系统，其特征在于，所述边缘物联代理包括安全接入应用程序和硬件密码组件，所述硬件密码组件用于存储数字证书和安全策略文件；所述配电物联网安全接入网关用于接收所述安全接入应用程序发送的第一数字证书进行所述边缘物联代理的身份认证；所述安全接入应用程序用于比较所述硬件密码组件存储的第二数字证书和从所述配电物联网安全接入网关接收的数字证书是否一致，以进行所述配电物联网安全接入网关的身份认证；所述安全接入应用程序用于根据所述安全策略文件对所述边缘物联代理是否存在异常情况进行检测，以进行安全状态认证。3.根据权利要求2所述的系统，其特征在于，所述安全接入应用程序包括安全通信组件和异常感知组件；所述异常感知组件用于根据所述安全策略文件对所述边缘物联代理是否存在异常情况进行检测，以进行安全状态认证，得到第一认证结果，所述异常情况至少包括是否存在高危端口、异常进程、异常通信或中央处理器过载；所述安全通信组件用于将所述第一认证结果发送至所述配电物联网安全接入网关。4.根据权利要求3所述的系统，其特征在于，所述异常感知组件用于获取所述硬件密码组件的标识，并和从所述安全策略文件中存储的标识进行比较，确定是否一致；所述异常感知组件用于获取所述中央处理器的利用率和存储占用率，并和从所述安全策略文件中存储的利用率阈值和存储占用率阈值进行比较，确定是否存在中央处理器过载；所述异常感知组件用于获取当前进程信息和端口信息，并和从所述安全策略文件中存储的信息名单进行比较，确定是否存在高危端口和异常进程。5.根据权利要求2所述的系统，其特征在于，所述系统包括统一认证系统，所述统一认证系统用于接收所述配电物联网安全接入网关转发的所述第一数字证书，利用所述第一数字证书对所述边缘物联代理进行身份认证。6.根据权利要求5所述的系统，其特征在于，所述统一认证系统包括数字证书认证模块和标识认证模块；所述数字证书认证模块用于根据所述第一数字证书对所述边缘物联代理进行身份认证；所述标识认证模块用于根据边缘物联代理的标识或目标终端的标识生成秘钥。
7.根据权利要求6所述的系统，其特征在于，所述目标终端包括安全软件；所述边缘物联代理用于接收所述目标终端发送的标识，并和所述标识认证模块生成秘钥中的目标终端的标识进行比较，以进行所述目标终端的身份认证；所述安全软件用于接收所述边缘物联代理发送的标识，并和所述标识认证模块生成秘钥中的边缘物联代理的标识进行比较，以进行所述边缘物联代理的身份认证。8.根据权利要求1所述的系统，其特征在于，所述配电物联网安全接入网关包括安全密码卡、安全服务组件和安全评估组件；所述安全密码卡用于提供数据秘钥；所述安全服务组件用于和所述边缘物联代理进行数据通信；所述安全评估组件用于提供安全策略文件。9.根据权利要求1-8任意一项所述的系统，其特征在于，所述第一认证结果为身份认证通过，安全状态认证通过，则所述配电物联网安全接入网关用于确定所述边缘物联代理进行数据接入；所述第一认证结果为身份认证不通过或安全状态认证不通过，则所述配电物联网安全接入网关用于确定所述边缘物联代理不进行数据接入。10.根据权利要求1-8任意一项所述的系统，其特征在于，所述第二认证结果为身份认证通过，则所述边缘物联代理确定所述目标终端进行数据接入；所述第二认证结果为身份认证不通过，则所述边缘物联代理确定所述目标终端不进行数据接入。

技术总结

本申请提供一种配电物联网接入系统，通过对边缘物联代理和配电物联网安全接入网关进行身份认证以及对边缘物联代理进行安全状态认证，即能够在进行数据接入前进行身份认证和安全状态认证，提高接入配电物联网的边缘物联代理的安全性，边缘物联代理和目标终端用于进行互相身份认证，根据身份认证的第二认证结果，边缘物联代理确定目标终端是否进行数据接入，也就是说，通过对边缘物联代理和目标终端进行身份认证，提高接入配电物联网的目标终端的安全性，由此可见，通过提高边缘物联代理和目标终端的接入安全性，从而整体提高配电物联网的安全性，避免配电物联网中边缘物联代理和目标终端被非法入侵，实现配电物联网的高安全性、稳定运行。稳定运行。稳定运行。