自主可控WAPI技术在智能电网中的应用 - 信息谷 - ICITU

随着智能电网建设和数字化转型的推进，变电站出现了以机器人巡检、移动作业、物联网数据采集为代表的新型业务，这些业务总体呈现出大带宽、移动性、大连接的特点，从而导致变电站内安全的、泛在的、灵活的、宽带的无线终端接入需求的增加。但变电站现有的有线通信方式无法满足移动性需要，而公网4G、WiFi等传统无线通信技术存在公网无线信号覆盖弱、业务访问需穿越内外网、安全性差、流量费用高等问题，限制了物联网平台层与感知层的实时在线直采。因此，需要建设安全、可靠的无线局域网来解决变电站最后一公里无线终端接入问题。

无线局域网鉴别与保密基础架构（Wireless LAN Authentication and Privacy Infrastructure，WAPI）是我国自主可控的无线局域网安全技术标准，采用了无线局域网中身份鉴别、密钥管理和数据传输保护的安全方案，不仅提供了无线局域网数据链路层的安全防护密钥动态协商，有效保障无线局域网链路层数据通信的机密性、完整性以及抗抵赖性，还提供了身份的集中管理能力，从而确保无线局域网可管可控。此外，WAPI无线局域网还具有组网灵活、网络扩展性好、融合性好、兼容性高、通信速率高以及与互联网对接方便等优点。因此WAPI技术满足了各类智能化监测监控系统对无线接入的需求，是变电站无线网络建设的最佳选择。

WAPI系统（如图1）由无线终端（station，STA）、接入点（access point，AP）和鉴别服务单元（Authentication Service Unit，ASU）组成，其中ASU作为可信第三方，负责证书的发放、验证与吊销等，实体为WAPI鉴别服务器（Authentication Server，AS）。AP可分为独立型AP和集中控制型AP ，独立型AP能够独立完成 WLAN 覆盖，独立实现配置、接入控制、无线管理和数据转发等功能，集中型AP需要与接入点控制器（AP Controller，AC）组成统一的系统来完成 WLAN 覆盖，由 AC 实现对其的集中控制管理，与 AC 共同实现配置、接入控制、无线管理和数据转发等功能。STA、AC与AP上都安装有AS发放的证书，作为自己的数字身份凭证。当STA接入无线网络时必须通过AS进行双向身份验证，只有持有合法证书的STA能接入持有合法证书的无线接入点AP。这样不仅可以防止非法STA接入AP访问网络，而且还可以防止拥有合法身份的STA接入非法AP而造成信息泄漏。采用三元对等安全鉴别架构，STA、AP、AS均有自己的独立身份，通过可信第三方AS，不但AP要检查STA的身份是否合法，STA同样也要检查AP的身份是否合法，使 “合法终端接入合法网络”，这就为终端设备提供安全、可靠的无线接入方式，防止非法接入、非法伪造、非法入侵。如图2所示，WAPI身份认证鉴别流程如下。（1）STA开机后关联到AP，AP将自己的证书发送给STA，激活认证过程。（2）STA鉴别AP的证书，通过则向AP发送接入请求，接入请求消息中包括了STA证书。（3）AP收到STA的接入请求，对消息和证书进行鉴别，通过则将AP和STA的证书一并发给AS作鉴别。（4）AS进行AP和STA证书鉴别，向AP发送鉴别结果。（5）AP收到AS鉴别结果，向STA发送接入请求响应，如果结果为通过则，放开通信端口并启动密码协商。（6）STA收到AP的接入请求响应，对消息进行鉴别，若鉴别和结果均成功则开始与AP进行密码协商。

目前，贵州电网公司已在500kV席官变、220kV万松变电站完成WAPI网络建设，首次打通变电站通信“最后一公里”，形成“综合数据网+WAPI网络延伸”的整体通信解决方案，满足了移动业务的接入（站内巡线机器人、智能安全帽、执法记录仪等）以及不便于施工布线的其他业务，同时成功测试接入了无人机、应急会议终端与移动摄像头等新业务。“综合数据网+WAPI网络延伸”的整体通信方案，不仅解决了末端接入的问题，还打通了物联网平台层与感知层的全程通信通道，带来了业务应用方式的变革。现采用WAPI技术后，由于安全性高，巡检机器人采集的视频画面数据可通过综合数据网直接接入物联网平台，运维人员可以远程查看巡视画面，远程控制机器人，实现了物联网平台层与感知层的实时