0 引言

以電力為中心的城市能源互聯網的發展為供電企業帶來了前所未有的機遇。在互聯網+和能源互聯網不斷推進建設的大背景下,基于以往電網運營強調的用戶供電可靠性保障和供電質量保障,已無法及時了解客戶的內部用電信息及需求,不能滿足互聯網時代客戶的個性化需求。應用互聯網技術,通過建設用戶站集中監控系統,進而升級至能源管理互聯網平臺,可增加與用戶的多樣化交互,并根據電力用戶的差異化需求,通過引導地區新能源發展,指導客戶建立微電網,實現系統化、流程化的能源管理,通過多途徑為用戶提供個性化的整體能源解決方案^[1-3]。

鑒于能源互聯網發展的迫切需求,需要建立一張與其發展相匹配的通信網絡。無線專網的應用是占據城市能源互聯網入口、取得競爭優勢的必要舉措,也將進一步提升城市能源互聯網中通信網絡整體的信息采集和傳輸能力,優化資源配置,提升網絡運行效率。同時,在信息網絡安全越來越重要的大背景下,如何建設好既高效又安全的無線網絡,成為城市能源互聯網研究中的一項重要課題^[4]。

 1 業務需求

1.1 業務內容需求

能源互聯網業務是基于多專業的綜合性信息開展大數據分析,以實現精準定位用戶的差異化需求。能源互聯網業務數據需求面極為廣泛,涉及客戶（尤其是大客戶）信息的方方面面,如設備、線路、用能、生產情況等信息,具體為：在生產管理方面,需收集客戶方生產制造相關的產能信息;在綜合用能信息采集方面,需實時掌握客戶煤、水、電、熱等綜合用能信息;在設備在線監測方面,需對大用戶的線路、設備的運行狀態數據進行實時監測;在用戶移動服務方面,需能夠支撐用戶對于用能信息、節能方案的交互。

為保障能源互聯網為用戶提供專業化的服務,實現高效優質的電力能源服務,還需要對與能源互聯網業務緊密相關的供電公司現有業務進行信息采集工作：

1）配電自動化：采集配電自動化的“二遙”、“三遙”業務數據;

2）移動作業：采集配電工區的移動巡視、移動檢修、配網搶修作業過程中的信息;

3）配電設施、營業廳及充電站/樁視頻監測：包括配電設施、營業廳、電動汽車充電站、分散式充電樁群的視頻信息等。

1.2 無線專網業務帶寬需求

以35 kV、110 kV公用變電站模擬站點預估無線終端數量,計算無線專網基站的無線業務通信帶寬,確?；究赏瑫r滿足覆蓋和帶寬的雙重需求。在站點帶寬需求分析中,能源互聯網按照
128 kbit/s計算,配電自動化按照3 kbit/s計算,移動作業按照語音90 kbit/s、數據512 kbit/s、視頻1 024 kbit/s計算,配電設施、營業廳及充電站/樁視頻監測按照2 048 kbit/s計算。業務帶寬需求見表1所列。

表1 業務帶寬需求Tab.1 Business bandwidth requirements

在單變電站需求帶寬計算中,能源互聯網按照每個站點接入10個移動作業終端,并發比按照100%計算;配電自動化按照站點平均分配到每個基站,并發比按照100%計算;移動作業按照每站下面5個站點,并發比按照語音30%、數據10%、視頻20%計算;配電設施、營業廳及充電站/樁視頻監測按照每站2個站點,并發比按照100%計算。變電站帶寬需求見表2所列。

表2 變電站帶寬需求Tab.2 Bandwidth requirements for substations

由表2可知,單基站匯總帶寬為6.65 Mbit/s,結合業務實時性、可靠性要求,同時考慮到后續業務類型和容量的擴充,計算過程中還需要考慮50%的冗余量,因此基站帶寬設計時考慮為每個變電站統一申請20 Mbit/s帶寬以滿足信息回傳需求。

 2 無線通信系統的選擇

2.1 無線技術的發展

隨著移動通信飛速發展,當前已進入4G網絡時代。TD-LTE是一個由中國主導且具有“國際化”特征的標準,TD-LTE的技術優勢體現在速率、時延和頻譜利用率等多個方面,使得運營商能夠在有限的頻譜帶寬資源上具備更強大的業務提供能力。TD-LTE理論峰值速率在上、下行分別達到了50 Mbit/s和100 Mbit/s。

基于國家能源基礎設施安全方面的考慮,電力行業在城市能源互聯網建設中應以TD-LTE作為首要選擇對象^[5]。TD-LTE技術是對TD-SCDMA的網絡架構優化,采用扁平化結構,取消了RNC節點,同時接入網側僅包含NodeB一種實體,對網絡設計進行了簡化處理,降低了后期維護難度,實現了全IP路由。

2.2 TD-LTE無線通信系統介紹

2.2.1 TD-LTE系統架構

TD-LTE系統^[6-7]由3個部分組成,TD-LTE系統架構如圖1所示。

圖1 TD-LTE系統架構Fig.1 TD-LTE system architecture

TD-LTE系統包括演進型分組核心網（Evolved Packet Core,EPC）、演進型基站（eNodeB）和用戶設備（UE）3個部分,其中EPC負責核心網部分;eNodeB負責接入網部分,也稱E-UTRAN;UE負責用戶終端設備。eNodeB與EPC通過S1接口連接;eNodeB之間通過X2接口連接;eNodeB與UE之間通過Uu接口連接。與通用移動通信系統（Universal Mobile Telecommunications System,UMTS）相比,由于NodeB和RNC融合為網元eNodeB,因此TD-LTE沒有Iub接口。X2接口類似于Iur接口,S1接口類似于Iu接口,但都有較大簡化。

2.2.2 TD-LTE鏈路關鍵技術

由于電力系統的接入業務主要為上行業務,因此與LTE上行相關的主要物理層技術包括單載波頻分多址（Single-Carrier Frequency-Division Multiple Access,SC-FDMA）技術、虛擬多入多出技術以及鏈路自適應技術。

1）SC-FDMA技術。在每個傳輸時間間隔內,基站給每個用戶設備（User Equipment,UE）分配一個獨立的頻段,以便發送數據,使得不同用戶的數據在時間和頻率上分開,保證了小區內同一時刻不同用戶所使用上行載波的正交性,避免了小區內同頻干擾^[8]。上行SC-FDMA信號可以用“頻域”和“時域”兩種方法生成,頻域生成方法又可稱為DFT擴展OFDM（Discrete Fourier Transform-Spread OFDM,DFT-S-OFDMA）,時域生成方法又可稱為交織FDMA（Interleaved FDMA,IFDMA）。目前,DFT-S-OFDMA技術已成為LTE技術的主流方案,該技術方案是在OFDM的IFFT調制之前,對信號進行DFT拓展,系統發射時域信號避免了發送頻域信號帶來的PAPR問題,從而降低PDA的功放成本,有效延長了電池壽命。

2）虛擬多入多出技術。虛擬多入多出（Virtual MIMO）技術在LTE上行時是一種特殊的多用戶MIMO技術,可以看作是一種空分復用技術,可將兩個單天線UE進行配對,實現虛擬MIMO發送。基于此,兩個具有較好正交性的UE可以共享相同的時/頻資源,有效提高了上行系統容量。此外,LTE下行方向也可以采用虛擬MIMO,當用戶終端擁有多個接收天線時,相鄰小區基站可以向用戶終端同時發送數據,組成虛擬MIMO。

3）鏈路自適應技術。鏈路自適應技術的核心是自適應調制和編碼（Adaptive Modulation and Coding,AMC）,LTE對AMC技術的爭論主要集中在是否對一個用戶的不同頻率資源采用不同的AMC（RB-specific AMC）。雖然理論上由于頻率選擇性衰落的影響,這樣做可以比在所有頻率資源上采用相同的AMC配置（RB-common AMC）取得更佳的性能,但仿真中發現這種方法帶來的增益并不明顯,且會帶來額外的信令開銷,因此確定采用RB-common AMC。也就是說,對于一個用戶的一個數據流,在一個傳輸時間間隔（Transmission Time Interval,TTI）內,一個第二層的協議數據單元（Protocol Data Unit,PDU）只采用一種調制編碼組合（但在MIMO的不同流之間可以采用不同的AMC組合）。對于上行鏈路,自適應技術除AMC外,還包括傳輸帶寬的自適應調整和發射功率的自適應調整（Adaptive Power Control,APC）。

2.2.3 TD-LTE射頻拉遠技術

LTE基站eNodeB包括基帶處理單元（Building Base band Unite,BBU）和射頻拉遠單元（Radio Remote Unit,RRU）。BBU部署在110 kV/35 kV變電站內,每個RRU通過收發2根光纖連接BBU。在非級聯模式下,1個BBU的單個業務板最多可支持6個RRU,實現對多個微小區的覆蓋;在級聯模式下,RRU還具有光纖直放站的功能,可以實現進一步的級聯延伸,擴大覆蓋范圍。級聯模式適用于鏈型網絡架構,如較長的10 kV線路覆蓋情況。

RRU及天線通常部署在柱上開關、臺變或環網柜旁,核心網設備部署在縣局或市局控制中心。無線終端CPE通過有線方式（串口或以太網口）連接集中器、配電自動化終端等。射頻拉遠技術原理及應用示意如圖2所示。

圖2 射頻拉遠技術原理及應用示意Fig.2 Principle and application of radio spreading technology

RRU支持最長40 km級聯,級聯需要收發兩根光纖,光纖從一個RRU連接至下一個RRU。在級聯過程中,下一級的RRU收到的數據要經過上一級RRU的匯聚處理,級聯后的傳輸容量取決于光纖容量。

在級聯模式下理論上可接入36個RRU,在不超過40 km情況下,時延影響不大,可正常工作。BBU與RRU之間接口為3GPP定義的CPRI接口,對時間同步要求非常高,必須要用裸光纖進行傳遞。

2.2.4 TD-LTE無線多業務承載技術

無線專網基于無線接入網共享（Radio Access Network Sharing,RAN-Sharing）隔離的虛擬網解決方案,主要包括以下兩種典型方式。

1）基于無線二層VPN技術的虛擬網實現方案。基于無線二層VPN技術的虛擬網業務隔離原理如圖3所示,根據終端種類,將某一無線基站覆蓋區域內同類型的接入終端劃分到一個VLAN內,不同VLAN的終端在無線接入時共享信道資源,不為各種業務分配單獨的專享信道。但是,根據業務實時性和傳輸帶寬的要求,必須在VLAN之間設置接入優先級,同一個VLAN中的所有終端享有相同的接入優先級?；窘邮盏綌祿?解析終端的IP地址和所屬的VLAN即可確定數據業務的類型。該方案在系統擴容增加新的接入終端時不僅需要將新終端的地址重新添加至原有VLAN中,而且還需要考慮是否接近系統容量上限。

圖3 基于無線二層VPN技術的虛擬網業務隔離原理Fig.3 Virtual network service isolation principle based on wireless two layer VPN technology

2）基于頻段或子載波劃分的虛擬網實現方案。在有限的頻段內,將可以利用的子載波按照接入終端的種類、數量、數據傳輸的帶寬要求等進行統計分析,基于頻段或子載波劃分的虛擬網業務隔離原理如圖4所示。在一個基站的覆蓋范圍內,固定分配若干個子載波給不同業務終端使用,各終端可以采用時分多址接入,也可以采用頻分多址接入。由于子載波之間的正交性,頻譜疊加的子載波傳輸信號不會產生干擾,因而能夠保證所有傳輸不同業務子載波的邏輯隔離。基站對收到的基帶信號進行處理時,根據不同頻率即可區分承載的業務數據類型,進而通過不同的物理端口將各類業務上傳到相應大區的主站系統中。

圖4 基于頻段或子載波劃分的虛擬網業務隔離原理Fig.4 Virtual network service isolation principle based on band or subcarrier division

2.2.5 TD-LTE無線安全應用技術

根據相關規定,配電數據屬于“生產控制大區”（即安全Ⅰ、Ⅱ區）,用電數據屬于“管理信息大區”（即安全Ⅲ、Ⅳ區）。因此,配電數據應盡量采用專網傳輸,公網只能采集、不能控制,且兩個大區的數據需要進行物理隔離。

當采用專用無線網絡時,應分別針對無線接入層和管理接入層采用相應的信息安全措施。無線接入層是指從終端到基站之間的空口傳輸過程,管理接入層是指從終端到配電自動化系統之間的總體傳輸過程,無線接入層和管理接入層的安全措施應分別獨立運作（見圖5）。這種雙層安全措施提供了終端與基站、終端與配電自動化系統的雙向鑒權認證,提升了針對仿冒基站的防御能力。

圖5 無線專網安全防護原理Fig.5 Principle of security protection for wireless private network

無線接入層和管理接入層所采用的具體安全措施均包含雙向鑒權認證、安全性激活、信令和數據的機密性及完整性保護。這兩層的安全措施類似,但應采用不同的密鑰以保證各自獨立運作。TD-LTE系統整體安全邏輯模型如圖6所示。

圖6 TD-LTE系統整體安全邏輯模型Fig.6 TD-LTE system overall security logic model

在LTE系統中,每個無線終端設備都與歸屬網絡有簽約關系,歸屬網絡為客戶終端分配一個唯一的標識符和根密鑰,根密鑰由鑒權中心和客戶共享,標識符和根密鑰保存在客戶終端存儲器和鑒權中心。

1）安全分層。TD-LTE的安全邏輯安全分為3個層面：第一層為演進的UTRAN（E-UTRAN）網絡（RRC安全）,即空口安全;第二層為演進的核心網（EPC）NAS信令安全和客戶層保護;第三層為核心網各個實體之間的認證和加解密通信,由于核心網為全IP設計,因此采用目前比較成熟的IPSec等技術。

2）安全功能。TD-LTE系統應用公開、成熟的密碼技術,擁有目前移動通信網絡中最豐富的安全功能結構。TD-LTE安全功能框架如圖7所示。

圖7 TD-LTE安全功能框架Fig.7 TD-LTE security function framework

 3 無線專網的應用

3.1 城市能源互聯網中的無線專網總體安全架構

首先,要建立城市能源互聯網中的無線專網。城市能源互聯網中無線專網系統總體安全架構如圖8所示,根據ITU-T X.805（中文版為YD/T 2386—2011）通信系統通用安全模型,無線專網系統總體分為用戶、控制和管理3個平面,用戶平面包括應用層、網絡層和設備層,控制平面包括傳輸層和設備層,管理平面包括應用層、傳輸層和設備層。LTE系統本身對3個平面以及每個平面的傳輸層和設備層都有安全防護要求或者具體措施,應用平面安全措施由用戶具體實施,包括業務網絡安全措施和業務網絡延伸安全。因此,本文對用戶應用安全進行了專門加強,并與LTE自身安全措施相互融合,構成無線專網的安全防護整體。

圖8 城市能源互聯網中無線專網系統總體安全架構Fig.8 The overall security architecture of the wireless private network system in the urban energy Internet

LTE無線專網安全防護應符合發改委[2014]14號令《電力監控系統安全防護規定》和國能安全[2015]36號文的要求。城市能源互聯網無線專網安全防護總體方案如圖9所示。

圖9 城市能源互聯網無線專網安全防護總體方案Fig.9 The overall security protection scheme for urban energy internet wireless private network

生產控制大區和管理信息大區的業務系統在與其終端的連接中使用電力LTE無線網絡或公用網絡等進行通信的,應設立安全接入區,接入生產控制大區的安全接入區應包含物理隔離部件、前置機和加密認證設備等,接入管理信息大區的安全接入區應包含安全接入平臺和加密認證設備等。

終端設備采用認證加密機制和訪問控制措施建立加密傳輸通道進行信息采集,以保證業務數據的保密性和完整性。

3.2 城市能源互聯網中的無線專網安全增強方案

3.2.1 生產大區業務增強安全防護物理架構

在LTE標準安全防護體系之外,還需額外附加電力終端安全防護措施,在I/II區的業務邊界側部署安全接入網關、業務前置機以及正反向隔離裝置。附加的終端安全防護措施可使所接入的電力業務安全性得到加強^[9-12]。終端配置安全接入模塊與安全接入網關配合,可以實現端到端的安全認證和加密傳輸,進一步增強無線通信的安全性和可靠性。

3.2.2 管理大區業務增強安全防護物理架構

LTE接入層的終端采用專用安全接入模塊與業務邊界側部署的安全接入平臺協同配合,實現終端到業務層邊界的加密傳輸、數據隔離交換以及終端業務層的合法性認證。這種安全防護架構對于進入信息內網的數據提供了較全面的安全防護措施,實現了訪問控制、攻擊檢測、終端認證、傳輸加密等功能。在多業務承載場景中,每種業務都需要相應的安全接入區。

3.2.3 城市能源互聯網無線專網安全措施增強

城市能源互聯網無線專網安全措施增強如圖10所示。

圖10 城市能源互聯網無線專網安全措施增強Fig.10 The enhanced security protection scheme of measures

安全接入平臺的主要功能有3個部分,包括認證、加密、集中監管,安全接入平臺與現場終端的交互過程主要包括認證和加密,每個周期內（一般為24 h或10 000個數據包）只認證一次,對系統的效率和帶寬影響不大。

 4 結語

城市能源互聯網是全球能源互聯網的重要組成部分,城市能源互聯網建設需要堅強有力的無線通信網絡作為支撐。本文對TD-LTE的技術特點進行了分析,結合電力行業針對性地提出了基于TD-LTE的城市能源互聯網無線專網建設方案,整體方案充分考慮電力系統生產大區與信息大區安全措施的特點,在安全措施方面進行了重點加強,具有一定的借鑒意義。