许继电气股份有限公司的李跃鹏、康婧婧、张健、冀朝强，在2023年第11期《电气技术》上撰文，针对目前高压直流输电中控制保护主机自身安全防护能力弱的问题，提出基于可信平台模块（TPM）安全芯片，使用国密算法SM2、SM3、SM4构建可信根并用于身份认证。系统整体设计从硬件启动和软件启动两方面，通过身份认证和数字签名建立完整的信任链，实现了控制保护主机从硬件启动、系统加载到系统运行全过程的链式可信启动。
实验结果表明，所提方案可识别固件篡改、身份伪造等风险，实现了控制保护主机的安全启动，提高了高压直流输电系统的整体防护水平。
高压直流输电可实现远距离、大容量的电能传输，适合大区电网之间的非同步连接，直流输电已经成为解决我国能源资源和负荷中心逆向分布问题的重要手段，同时可再生能源的跨区接入占比不断提高，直流输电系统安全已成为大电网安全的重要一环。从2010年伊朗“震网”病毒事件，到2015年乌克兰电网大规模停电，再到2019年委内瑞拉电力系统遭到网络攻击出现3次大范围停电事件，以及近几年针对电力系统的网络攻击、远程破坏、勒索病毒等事件表明，电网内部系统受到攻击的风险越来越高，传统的边界防护体系面临严重威胁。作为直流输电“大脑”的控制保护主机通常并不具备安全防护能力，当外部主体的弱安全防护遭受攻击时，安全风险就会传导至电力系统的控制核心区域即控制保护主机，外部攻击者通过窃取未加密的固件，逆向工程获取敏感信息，甚至暴力破解存储芯片，从而伪造、注入或者篡改控制逻辑，引发重大安全事故。为了保证设备的安全启动，有文献提出一种基于安全散列算法1（secure Hash algorithm 1, SHA1）校验固件的方法，但是随着计算机技术和密码技术的快速发展，单一散列算法体系的防护缺点也愈加明显。有文献提出使用商用国密算法对固件进行校验，但是未构建可信根，无法对固件的身份进行验证。为了防止暴力破解存储设备中密钥，有文献使用现场可编程门阵列（field programmable gate array, FPGA）构建安全基石来生成系统密钥，从而保证设备安全启动，但此方法不易于大规模应用。有文献提出一种用于嵌入式设备固件安全更新的广义模型，使用固件加密和数字签名技术来保证嵌入式设备的安全，但是此模型相对简单，也未考虑多级固件加载的问题。结合以上文献，本文提出采用可信平台模块（trusted platform module, TPM）安全芯片，使用国密算法从硬件设计和软件设计两方面构建信任链，实现系统整体的身份认证和可信启动，并在控制保护主机中进行实验验证。TPM安全芯片是指符合TPM标准的安全芯片，满足对数字签名/验证、非对称/对称加解密、数据完成性校验、真随机数生成、密钥生成和管理等功能要求，能够保证敏感数据的机密性、真实性和完整性。由于其特殊的硬件设计，通过物理手段对其进行暴力破解的可能性极低，因此作为可信平台信任根具有极高的可靠性。TPM安全芯片基本结构示意图如图1所示，包括I/O接口、微控制器、密码引擎、随机数生成器、加密存储单元等模块。密码引擎主要用于密钥生成和管理、数据加密和解密，其中安全散列算法（secure Hash algorithm, SHA）引擎支持SHA-1、SHA-256、SHA-512等算法；非对称加密算法RSA引擎支持RSA1024、RSA2048算法；国密算法SM引擎支持国密SM1、SM2、SM3、SM4算法。
直流输电控制保护设备的硬件平台一般由工控机或嵌入式设备构成。图2为一款嵌入式直流输电控制保护装置，它采用紧密耦合的多主处理器结构，使用高速统一的背板总线。装置由处理器板卡、模拟量输入输出、开关量输入输出、触发脉冲、现场总线通信及以太网通信等十几种板卡构成。该装置的特点是可以根据工程需要灵活组态，各个处理器板卡可以分别控制不同的外设板卡，实现特定的控制保护功能。
装置中的处理器板卡是控制、保护的大脑中枢，运行着最为关键的控制逻辑算法。如果处理器板卡遭受攻击，很容易出现电力系统的扰动，甚至出现电力系统瘫痪，因此只有保证处理器板卡的可信安全启动，才能做到装置的安全启动，并更好地构建防护体系。目前，在控制保护设备的硬件设计中，往往忽略硬件的安全启动，侧重于软件的安全加载、执行，但是从近几年的攻击统计数据来看，针对硬件的攻击呈逐渐增长趋势。如果从硬件启动开始保证系统的可信安全加载，就能从根本上隔离外部攻击、保证系统的安全性。硬件设计框图如图3所示。将硬件电源模组分为安全电源模组和普通电源模组，其中安全电源模组负责给TPM安全芯片、复杂可编程逻辑器件（complex programmable logic device, CPLD）、存储模块供电，普通电源模组则负责给处理器和外设供电；系统采用TPM安全芯片作为可信存储、可信度量的基础，TPM存储的国密根证书作为系统惟一身份，是系统可信启动的基石。
处理器通过访问TPM安全芯片的密码引擎，使用高速密码运算服务，为上层安全应用提供底层的算法加速、身份认证、密钥管理和敏感数据保护等服务，同时TPM安全芯片集成了国密算法SM2、SM3、SM4用于身份认证和验签。系统上电开始运行，为了防止基础固件被篡改，验证基础固件的完整性，会将基础固件、对应的国密证书、电子签名打包在一起，由TPM安全芯片对其进行验签来保证处理器运行在可信的环境下。TPM安全芯片同基础固件中的bootrom、一级国密证书、数字签名的关系如图4所示。
- 1）硬件上电启动时刻，系统的安全电源模组优先给TPM安全芯片、CPLD、存储模块供电；TPM安全芯片读取自身存储的国密根证书；CPLD处于等待TPM安全芯片指令状态。
- 2）TPM安全芯片读取存储模块中的基础固件，并对基础固件进行解包，读取对应的bootrom、一级国密证书和数字签名。
- 3）TPM安全芯片使用国密根证书来验证一级国密证书的有效性，再根据一级国密证书中的公钥和摘要算法，使用密码加速引擎对bootrom进行验签；如果验证bootrom通过就执行下一步，如果不通过就停止执行并输出故障信息。
- 4）TPM安全芯片发送启动命令给CPLD，CPLD接收到启动命令后，启动硬件上电时序，使用普通电源模组对处理器和外围设备上电。
该方案的硬件设计保证了板卡的安全可信启动。通常一级bootrom只有几千字节大小，对一级bootrom验签既不影响板卡的启动速度，又能保证系统的安全性。如果一级bootrom验签没有通过，则不允许CPLD启动处理器和外设的上电时序，从根本上抵御暴力更换固件存储器的攻击，从硬件层面抵御硬件级别的攻击。
软件平台整体分为三类：系统软件平台由实时操作系统管理，负责文件系统、网络协议栈及外设I/O的管理；组态软件平台由运行时系统管理，负责多任务调度、中断管理、硬件配置、功能块库调用、语言程序的执行等；应用软件平台是按照直流输电等特定领域的功能逻辑进行的组态程序，如阀组控制、极控、站控等。因此，软件平台需要分多步完成各自的加载、运行，如果其中任一环节无法验证固件的完整性和合法性，都会出现系统的安全问题。随着以新能源为主体的新型电力系统的快速发展，以风光为代表的新能源发电占比逐步提高，海量风、光、储等小型分布式设备接入，直流输电系统网络外联日益普遍[20]，传统直流控制保护系统的安全隐患也随之突显。因此，迫切需要基于安全芯片为信任源，根据软件平台的结构建立一个完整的信任链传递关系，将这种信任关系传递到整个直流控制保护系统，从而确保整个直流控制保护系统的可信。直流控制保护软件平台采用图5所示分层架构，其中基础固件包含bootrom和操作系统OS，对应系统软件平台；运行时固件对应组态软件平台，组态程序对应应用软件平台。在系统启动过程中，为了在固件加载、组态程序加载阶段具备验证文件身份、防止文件被篡改的能力，在每个阶段使用对应的国密证书对固件进行电子签名，同时将固件、对应的国密证书、电子签名在一起打包。固件验证关系如图6所示。
板卡上电，首先完成硬件的可信启动，然后根据以下信任链启动流程完成整个系统的启动。1）处理器上电，开始加载并运行bootrom，bootrom会解析基础固件的打包信息，读取自己的一级国密证书、操作系统OS固件、二级国密证书和数字签名；bootrom使用一级国密证书来验证二级国密证书的有效性，再根据二级国密证书中的公钥和摘要算法，对操作系统OS固件进行验签；如果验证操作系统OS固件通过就执行下一步，如果不通过就停止执行并输出故障信息。2）操作系统OS读取自己的二级国密证书、运行时系统固件、三级国密证书和数字签名；操作系统OS使用二级国密证书来验证三级证书的有效性，再根据三级国密证书中的公钥和摘要算法，对运行时系统固件进行验签；如果验证运行时系统固件通过就执行下一步，如果不通过就停止执行并输出故障信息。3）运行时系统读取自己的三级国密证书、组态程序文件、四级国密证书和数字签名；运行时系统使用三级国密证书来验证四级国密证书的有效性，然后根据四级国密证书中的公钥和摘要算法，对组态程序文件进行验签；如果验证组态程序文件通过就执行，如果不通过就停止执行并输出故障信息。该方案中处理器使用TPM安全芯片中的密码加速引擎，对每级固件进行硬件加速验签，缩短控制保护处理器板卡的启动时间。同时，该方案的软件设计保证软件平台的安全链式可信，保证每一级固件的完整性和身份认证，从根本上抵御远程攻击固件对系统的影响。为了验证本文所提设计方案的有效性和正确性，进行相关实验。实验中的处理器板卡采用飞腾FT2000/4处理器和国民技术可信计算芯片，板卡整体按照硬件可信方案设计，保证硬件级别的安全可信，并在许继HCM5000G直流控制保护装置中进行验证，实验装置如图7所示。
按照控制保护主机的启动过程，实验全面覆盖硬件启动、软件启动的4个不同阶段，分别对硬件级的存储器件和软件级的固件进行篡改，装置上电运行验证系统的可靠性和安全性。实验1：验证硬件启动的安全性。首先更换存储芯片模拟暴力更换存储器，更换的存储芯片已经预烧录普通固件；其次分别篡改基础固件中bootrom、一级证书、数字签名的内容，每个实验重复50次。系统硬件启动测试结果见表1。
实验2：验证软件启动的安全性。篡改固件中的操作系统OS及对应的证书和数字签名、运行时系统及对应的证书和数字签名、组态程序及对应的证书和数字签名，每个实验重复50次。系统软件启动测试结果见表2。
从实验结果可知，该方案能够有效抵御控制保护主机在启动阶段针对硬件、软件的攻击，提高了控制保护主机的安全可信防护水平，为高压直流输电设施的安全运行提供了重要保障。本文针对直流输电控制保护系统结构进行研究，设计了基于TPM安全芯片，使用国密算法SM2、SM3、SM4构建可信根并用于身份认证，从硬件设计、软件设计两方面保证了系统的安全可信。实验证明，使用此方案的控制保护主机整体处于安全可控的可信环境下。控制保护主机的动态可信度量、动态可信管理是后续研究方向。
本工作成果发表在2023年第11期《电气技术》，论文标题为“链式可信启动在高压直流输电控制保护主机中的应用”，作者为李跃鹏、康婧婧 等。 |
