0 引言

能源問題事關各國經濟社會發展的全局,為了保障能源資源的大范圍優化配置,我國大力推進建設并投運了特高壓交直流電網。信息通信技術是實現電網智能化、互動化和大電網運行控制的重要基礎,為適應電網規模的發展、信息通信范圍的大幅擴張,對電力信息通信的安全性要求更加迫切和嚴
格^[1-2]。而近年來烏克蘭電網大停電等重大安全事件頻發,預示金融、電力、通信等涉及國家安全的信息基礎設施面臨著較大的風險隱患與安全威脅。傳統電力通信傳輸安全主要使用經典保密通信模式、專網專用或者內外網隔離等策略。在經典保密通信模式中應用了各種密碼算法,隨著計算能力的提升,基于傳統安全加密機制的網絡傳輸設備面臨被破解的風險,黑客攻擊帶來的風險巨大且與日俱增。隨著各種集中式、分布式電源的快速建設,電動汽車等柔性負荷逐步接入,電網源-網-荷互動日益頻繁,承載電網各種生產控制業務信息的電力通信網日趨復雜。同時,電力行業內各種“互聯網+”新型業務模式也在不斷涌現,信息內、外網環境更加復雜,同樣面臨著嚴峻的安全威脅。

目前,電力通信網中主流的安全通信方式是利用虛擬專用網技術（Virtual Private Networks,VPN）來保障數據通信的安全性,VPN的安全性仍然依托于密碼算法的支撐,會話密鑰被用在高級加密標準（Advanced Encryption Standard,AES）、數據加密算法（Data Encryption Standard,DES）等加密算法中,以保證通信的機密性、完整性。但是這種安全性是有條件的,其密鑰預交換共享過程依賴于計算復雜度,隨著計算機處理能力的提升,其安全性面臨嚴峻的挑戰^[3-5]。量子保密通信是基于量子密鑰分發（Quantum Key Distribution,QKD）的新型保密通信技術,量子密鑰分發是建立在量子力學原理之上,應用量子力學的海森堡不確定性原理和量子態的不可克隆原理,在收發雙方之間建立一串共享的密鑰,通過“一次一密”（One-Time-Pad,OTD）的加密策略,實現原理上無條件的安全通信^[6-7]。QKD技術是通信技術發展史上的重要里程碑,相較于傳統對稱加密,QKD最顯著作用就是替換其最薄弱的密鑰交換環節^[8],基于量子特性產生和交換密鑰是安全的。

由于量子保密通信技術具有廣闊的應用價值,國內外已經出現了量子保密通信相關商業產品。電力行業已開展量子保密通信技術應用研究以及光量子信號電磁干擾、傳輸損耗等測試分析^[9-10],并分步推進建立電力量子保密通信城域網建設與業務示范應用。量子VPN作為量子保密通信系統的核心設備,是量子密碼與傳統VPN的融合發展,它以共享密鑰作為通信雙方的會話密鑰,對內部傳輸的數據進行加解密。量子密鑰分發與電力通信網融合將會產生新型電力專用的量子保密通信網絡,最大程度提高電網業務數據傳輸的安全性。在電網應用中,量子VPN可承擔電網業務數據的加解密處理任務,其運行性能特征對于滿足電力通信安全可靠、穩定運行的高要求至關重要。由于目前量子VPN在電力行業尚沒有進行大規模工程化的應用實踐,我國尚無相關技術規范和標準,為此需要對其工作機制以及運行的穩定性和可靠性進行研究與測試。本文為使量子保密通信技術能夠適應電網應用工程化、實用化、規模化發展需求,基于商用級的基于偏振調制的量子保密通信系統,研究量子密鑰分發和量子VPN工作原理,建立量子VPN性能測試系統結構與測試環境,深入測試分析量子VPN的吞吐量、時延、加密算法等運行核心性能特征,驗證分析量子VPN對電網業務數據安全傳輸的適應性。

 1 量子保密通信

量子保密通信是以量子密鑰分發（QKD）為核心,基于量子不可克隆原理,通過單光子信號的量子通信協議和“一次一密”的方式,實現用戶間無條件的安全通信,可極大提高通信傳輸網絡的安全水平。量子保密通信系統中的單光子量子信號調制主要有偏振和相位兩種,本文主要針對基于偏振的調制方式。

1.1 基于偏振調制的量子密鑰分發原理

量子密鑰分發是利用單光子不可分割、量子態不可復制的原理特性實現通信雙方間的安全密鑰分發,解決對稱加密算法中密鑰分發的安全性問題,實現傳輸數據的安全加密通信。基于單光子的QKD系統主要以BB84協議作為量子通信協議,雙方之間利用量子信道和可信經典信道來生成安全密鑰^[11]。基于偏振調制的量子密鑰分發原理如圖1所示。

在圖1中,發送端Alice主要由激光器、衰減器、起偏器等部件組成,根據隨機生成的二進制數串,通過起偏器和偏振控制器制備生成不同的偏振態單光子,作為發送的量子比特。接收端Bob通過量子信道接收單光子量子信號,通過分束器后,隨機選擇基矢對光子進行測量,采集模塊獲取單光子的量子態測量結果,在協商信道雙方按照量子通信協議進行篩選、糾纏和保密增強。最終,量子密鑰分發的發送端Alice和接收端Bob通過協商信道進行交互協商,共同產生量子密鑰。在基于單光子的量子密鑰分發中,偏振調制是簡單有效的調節方式,但其偏振方向易受環境影響,一般需要偏振補償^[5]。

圖1 基于偏振調制的量子密鑰分發原理Fig.1 QKD principle with polarization modulation

1.2 基于QKD的量子保密通信系統

目前在國內,基于量子密鑰分發系統的量子保密通信系統已經商用化,其物理鏈路基于光纖,系統主要由量子密鑰終端、量子VPN、用戶終端、通信線路等部分構成。基于QKD的量子保密通信系統如圖2所示。

圖2 基于QKD的量子保密通信系統Fig.2 Quantum secret communication system using QKD

在用戶A進行業務數據傳輸時,發送端的量子VPN按報文流量或者時間周期向量子密鑰終端Alice請求提取密鑰對業務數據進行加密處理,加密密文通過經典信道傳輸給接收端的量子VPN,按照量子通信協議機制,量子密鑰終端Bob提供相同密鑰給量子VPN進行數據的解密處理,最終解密后的數據傳遞至用戶B,實現數據在用戶之間的安全傳輸。

 2 量子VPN工作原理

現有的實際業務數據加密通信場景中,主要采用IPSec VPN網關實現安全接入。量子VPN是將量子保密通信技術與IPSec VPN進行結合的設備,并且是以量子密鑰作為會話密鑰。量子VPN具有密鑰交換功能,量子VPN工作原理如圖3所示。密鑰策略控制器可調節密鑰選擇方式以及密鑰的更新頻率等,因特網密鑰交換（Internet Key Exchange,IKE）在第一階段協商生成工作密鑰,用于保護第二階段的協商過程。密鑰交換第二階段的主要目的是生成會話密鑰,傳統模式下IKE協商出IKE密鑰作為會話密鑰,而在量子VPN中,通過量子密鑰交互管理器能安全連接QKD終端中的量子密鑰資源池,獲取量子密鑰存儲于量子VPN中的量子密鑰池,作為會話密鑰,用于量子VPN網關之間的數據加密通信。一旦量子密鑰池資源不足,量子VPN也可以按照密鑰策略切換控制使用IKE密鑰進行加密。

圖3 量子VPN工作原理Fig.3 Quantum VPN working principle

量子VPN從QKD終端中得到量子密鑰,可直接替換掉IKE中的相應密鑰,之后的過程與原始的協議一樣^[12]。因此,對于傳統VPN進行升級改造即能融合使用量子密鑰,方案可行性高,可以滿足VPN網關到網關的對接或者終端到網關的安全接入,大大提高用戶數據在網絡上的安全傳輸水平。例如,在電網企業中,電力調度中心可以通過量子VPN在CA中心與多個調度分中心的加密管理機之間傳遞非對稱加密算法的私鑰,從而保障CA中心私鑰在線分發傳輸中的安全性、可靠性。

 3 量子VPN測試與分析

3.1 測試結構與方法

本文試驗在不同加密算法、不同數據流量條件下統計測試量子VPN的運行特性,指標采用吞吐量和時延,它們是電網業務數據傳輸的重要性能參
考^[13-15]。測試系統主要由商用級QKD終端、量子VPN和思博倫（Spirent）網絡綜合測試儀（N11U）組成,量子VPN的測試結構如圖4所示。

其中,QKD終端的光量子是基于偏振調制的單向誘騙態（One-Way Decoy）脈沖,工作頻率為40 MHz;量子VPN設備標稱數據吞吐量為500 Mbps（單向）,支持的加密算法包括DES、3DES、AES、SM1、SM4等。綜合測試儀仿真生成不同報文流量數據并存儲測試結果數據,流量數據傳送到量子VPN后使用量子密鑰加密,密文通過經典信道傳輸到對端量子VPN進行解密處理。

圖4 量子VPN的測試結構Fig.4 Testing structure of quantum VPN

為獲取量子VPN的運行特性數據,連接好相關設備后,測試流程如下。

1）配置網絡測試儀參數,在綜合測試儀中設置測試性能特征量,配置數據幀長、連接的量子VPN等參數,本次測試中的幀長配置包括64 B、128 B、256 B、512 B、1 024 B、1 428 B和1 518 B;

2）配置量子VPN參數,在量子VPN中設置加密算法與密鑰長度、密鑰更新頻率等,本次測試中,量子VPN采用的加密算法為AES、SM1、SM4;

3）開始測試,記錄測試數據;

4）如果性能測試未完成,轉步驟1;

5）所有測試項完畢,進行數據統計與評估分析。

3.2 測試數據分析

在本次測試結果中,吞吐量是在量子VPN網關丟包率為0條件下達到的單向最大數據流量,時延是在丟包率為0條件下加解密所消耗的平均時間。

不