★中廣核數字科技有限公司張智柏，褚瑞，姚紅云，張宏亮

關鍵詞：國密算法；核安保；網絡安全；等級保護；核電廠

核能作為國家能源體系的戰略支柱，其安全運行直接關系國家安全與社會穩定。根據國際原子能機構（International Atomic Energy Agency，IAEA）統計，全球核電站年均遭受網絡攻擊事件超過5000次^[1]。我國《核安全法》第35條明確要求核設施運營單位建立全生命周期網絡安全保障體系，其中商用密碼技術是構建可信基座的核心支撐^[2,3]。核電站實物保護系統承載著訪問控制策略、人員權限等多項高度敏感數據，這些數據一旦泄露或遭篡改，可能直接導致物理屏障失效、控制指令被劫持等嚴重后果，威脅核設施的安全穩定運行^[4]。因此，如何保護核電站實物保護系統中的敏感數據，是當前亟待解決的問題之一。

現代密碼學發展于上世紀70年代，公鑰密碼學思想的提出解決了密鑰分發難題^[5]；基于大數分解難題的RSA（Rivest，Shamir，Adleman，RSA）算法的提出^[6]，首次實現了非對稱加密算法。隨著高級加密標準（Advanced Encryption Standard，AES）、橢圓曲線密碼等的提出，密碼學逐漸被廣泛應用于數字安全通信領域^[7]。密碼技術現已成為網絡信息安全的核心技術之一，其通過加密、認證和完整性校驗三重機制，為敏感數據提供了“防竊取、防篡改、防抵賴”的立體防護。國家商用密碼算法（國密算法）作為我國在密碼核心領域自主研發的技術成果，其安全性和可靠性已得到國際公認^[8]。

1　國密算法及核安保系統

1.1　國密算法

2011年，我國發布了近百項國密標準，覆蓋算法、芯片、協議等。隨著技術標準化的推動，國密算法作為我國自主研發的密碼技術體系，已構建了包含對稱密碼、非對稱密碼、雜湊算法在內的完整技術矩陣，在保障信息安全領域發揮著關鍵作用^[7]。

對稱密碼技術的密鑰機制是使用同一數字密鑰進行加密和解密，如圖1所示。其中SM1、SM4、SM7等國密算法均為對稱密碼技術。對稱密碼技術加密速度快，計算效率高，適合大數據場景下進行加解密。其局限在于密鑰分發需依賴安全通道，易受中間人攻擊威脅。

圖1對稱密碼技術

非對稱密碼技術構建公私鑰體系，公鑰用于加密或驗證簽名，私鑰負責解密或生成簽名，公鑰和私鑰分離，且基于數學難題構建單向安全函數，避免了依賴安全通道的難題，如圖2所示。因此非對稱密碼技術破解難度高，多應用于身份認證、安全密鑰協商等場景。SM2、SM9等算法為非對稱密碼技術^[9]。

圖2非對稱密碼技術

目前，國密算法已被應用在移動支付、電子證件、物聯網、區塊鏈等多個領域，保障了關鍵信息基礎設施安全及經濟建設^[10]。

1.2　核安保系統

按照縱深防御的原則，核電站安全區域劃分為控制區、保護區和要害區。控制區包括所有核電廠相關設施的建筑物，采用單層鐵絲網圍欄作為周界。保護區位于控制區內，包括所有影響核電廠運行的設施。沿保護區周界上設置了周界探測及報警復核手段，進出保護區需通過保護區主出入口（UD），由出入口設施控制通行。要害區位于保護區內，該區域內的設施均與核安全有關，其設備及材料均應嚴防破壞和盜竊，否則將嚴重危及核安全。進出要害區的人員和車輛應嚴格限制^[11]。

對于整個核電站，核電站實物保護（核安保）系統是保障其安全運行、防范惡意破壞和意外風險的核心防線。核安保系統不僅保護核材料和設施本身，更是在保護周邊居民的生命安全、環境穩定以及核電行業的可持續發展。

核安保系統通過監控、邊界劃分及探測報警等手段，監管并預防核電站的非法入侵及攻擊行為。其主要包括四個子系統，分別為門禁控制系統、周界入侵探測系統、視頻監控系統、集成安保管理控制系統。門禁控制系統實現對廠區人員以及車輛的出入管控，周界入侵探測系統完成對各類入侵行為的監測，視頻監控系統完成對各類入侵行為的視頻復核與錄像，集成管理平臺完成對其余三個系統的集成管理。

2　核安保系統密碼應用框架

核安保系統中密碼應用框架如圖3所示，主要分為用戶層、應用層、密碼服務層和基礎設施層。

圖3密碼框架示意圖

基礎設施層主要包括服務器密碼機、簽名驗簽服務器、智能密碼鑰匙、VPN安全網關、動態口令服務器、數字證書認證系統、密鑰管理等密碼設備，向密碼服務層提供基礎密碼服務。其中：

（1）服務器密碼機

用于為應用系統保護和管理加密密鑰，可執行對稱加解密、摘要計算等高強度密碼運算服務。服務器密碼機所有密鑰的生成、存儲和使用均使用硬件完成，防止軟件層面的竊取，同時通過物理防護手段防止篡改。服務器密碼機的固件和操作系統經過數字簽名驗證，可保障應用系統敏感數據存儲的機密性、完整性。

（2）簽名驗簽服務器

用于執行數字簽名生成與驗證，用以保障數據的完整性、真實性和不可否認性。在數字簽名生成階段，用戶使用私鑰對數據進行加密運算，生成數字簽名；在簽名驗證階段，接收方使用簽名者的公鑰對數據進行解密，并進行驗證哈希值是否與原始數據一致，若結果一致，則證明數據未被篡改。簽名驗簽服務如圖4所示。簽名驗簽服務器一般與公鑰基礎設施集成，通過頒發數字證書綁定公鑰與身份，確保簽名者身份合法。其可為目標系統提供數字簽名、驗簽、MAC、雜湊、數字信封、數字證書管理等多項功能，支持SM1/SM2/SM3/SM4國密算法，可解決敏感信息機密性、完整性、有效性和不可否認性等安全性問題。智能密碼鑰匙配發給授權訪問用戶，用于存儲個人證書及公私鑰，實現登錄用戶的身份鑒別。

圖4簽名驗簽服務示意圖

（3）數字證書認證系統

采用非對稱加密技術，用于管理數字證書的生成、分發、驗證和吊銷等操作，確保應用系統中用戶、設備、服務等實體身份的真實性、數據的機密性和完整性。數字證書認證系統對系統中的實體生成一對密鑰，公鑰公開，私鑰進行保密，通過根證書、中間證書逐級簽名，搭建證書信任鏈，可實現身份認證、數據加密、數字簽名、權限控制等功能。

（4）VPN安全網關

為用戶內部網絡數據傳輸建立加密通信隧道，實現設備與用戶、設備與設備之間的安全連接，并通過數據加密和嚴格的身份認證，提供機密性、完整性保護以及數據源鑒別等安全保障，可滿足用戶數據傳輸的安全性需求。

（5）動態口令服務器

通過生成和驗證一次性密碼，使用動態變化的認證憑證提升身份驗證的安全性，確保每次認證時的密碼唯一且有效，用于核心服務器登錄身份鑒別。

密碼服務層由數據加解密、數字簽名、證書、密鑰管理、加密傳輸等服務組成，為應用系統提供對應的密碼服務。密碼服務需要依賴密碼基礎設施實現。密碼服務層提供國密SDF接口以及用于第三方應用集成的SDK開發包等接口服務，用于實現第三方應用系統對密碼服務的集成和調用。

應用層主要面向第三方應用系統，實現數據的機密性、完整性保護。

用戶層主要面向系統管理人員及運維人員，根據業務系統用戶權限分配角色，實現用戶真實身份鑒別。

3　國密算法解決方案應用與分析

核安保系統涉及核電廠全生命周期保護，在安全等級保護的基礎上，從物理和環境安全、網絡和通信安全、設備和計算安全、應用和數據安全四個方面構建安全可靠的密碼防護基線^[12]。

（1）物理和環境安全方面

需要進行物理訪問控制，要對人員進行身份認證和權限管理，嚴格控制不同授權人員進入不同安全等級的區域，避免非授權人員進入物理環境；要對電子門禁記錄數據、視頻監控記錄數據等敏感數據進行數據保護，防止遭到非授權篡改。

核安保系統機房存放計算、存儲、網絡、安全等設備，機房出入人員采用國密算法的智能IC卡和口令的方式進行身份鑒別。對于配套安保管理平臺數據庫，采用數字簽名系統構建數據的完整性保護。對于機房、關鍵區域門禁等重點區域的視頻監控，選擇加密攝像機，通過視頻數據加密和認證功能、數字證書管理等，實現數據防篡改及信源可信，保證監控數據的保密性、真實性和完整性。

（2）網絡和通信安全方面

需要防止非法通信實體從外部接入內部網絡的情況發生，防止網絡邊界被破壞；對于網絡通信鏈路要進行數據保護，防止數據被非授權截取、篡改。

核安保系統為局域網，不涉及與其他系統聯通，且系統核心服務器、安全設備、數據庫均采用本地維護的方式，不涉及遠程運維通道。系統主要涉及攝像機等前端監控設備與核心系統之間的通信信道、操作員站等系統用戶與核心系統之間的通信信道。核電廠中已應用的集成安保管理平臺難以二次開發，選擇基于國密算法的VPN安全網關構建安全傳輸通道，建立SSL安全協議來實現通信數據加密和完整性保護，為業務人員訪問業務系統提供傳輸加密服務。SSL安全協議工作于傳輸層與應用層之間，基于會話對特定數據進行保護，對設備性能要求較低。同時為實現邊界安全傳輸通道建立，采用數字簽名密碼技術對網絡邊界訪問控制信息進行完整性保護。

（3）設備和計算安全方面

主要確保服務器、密碼設備、數據庫管理系統等設備固件安全、密鑰等計算資源得到保護，包括登錄設備用戶身份的真實性、系統資源訪問控制信息和日志的完整性等。

采用ukey、口令及動態口令的方式登錄主、備服務器，ukey采用滿足國密算法的智能鑰匙進行登錄，結合數字證書時間進行身份鑒別，保證用戶身份標識唯一性，防止非授權人員登錄、用戶遠程登錄身份鑒別信息被非授權竊取。密碼設備使用國密芯片，密鑰不離開安全區。對于工作站等通用設備，建立完善的管理制度，由指定的授權人員進行系統資源、日志和程序的訪問及管理。

（4）應用和數據安全方面

應進行訪問控制，防止非授權人員登錄系統；應對身份鑒別數據、門禁數據、視頻監控數據等重要數據進行傳輸和存儲的機密性保護和完整性保護。

核安保系統通過應用服務器密碼機保護訪問控制權限列表不被篡改，同時使用SM4算法對視頻監控中的重要數據進行加密運算，實現數據的加密存儲，調用數據時可進行數據還原。在重點區域使用加密攝像機，實現監控數據傳輸過程的加密。通過VPN安全網關建立安全通信鏈路，實現對集成安保管理平臺數據庫的存儲機密性、完整性保護。

目前，多個核電廠核安保系統已成功應用國產商用密碼的解決方案。在實際應用中，加密攝像機清晰度較高，具有良好的實時性，且對于非授權用戶無法查看監控錄像。VPN加密通道、動態口令登錄等運行狀態良好，有效提高了網絡安全保障能力，完成了對核心數據的完整性、機密性和真實性保護。

4　結論與展望

本文研究了核安保系統國密算法技術的應用框架，分析了當前商用密碼設備在核安保系統中發揮的關鍵作用，闡明了商用密碼技術在四個安全方面發揮的保護作用，證明了其實際部署應用的效果良好。隨著國密算法技術在核安保系統中的實踐驗證，未來其應用場景有望向核電站全場景覆蓋，構建全方位、全周期立體防護體系。

當前密碼應用方案在復雜的工控環境下仍面臨多重挑戰，如傳統算法對實時性要求極高的核電控制系統適配性不足，存在加密延遲影響；對視頻流等大數據加解密時，對設備性能要求較高；密碼系統跨平臺兼容性有待提升，部分老舊設備難以支持新型密碼協議。對此，應推動密碼協議與工控協議的深度融合，加強密碼設備與高精工控系統設備的技術優化，解決設備兼容性問題，逐步加強網絡安全防護能力。

作者簡介：

張智柏（1996-），男，河北承德人，工程師，碩士，現就職于中廣核數字科技有限公司，主要從事核電站網絡安全設計工作。

褚　瑞（1984-），男，工程師，學士，現就職于中廣核數字科技有限公司，主要從事核電站網絡安全總體設計工作。

姚紅云（1997-），女，工程師，學士，現就職于中廣核數字科技有限公司，主要從事核電站網絡安全設計工作。

張宏亮（1984-）男，高級工程師，學士，現就職于中廣核數字科技有限公司，主要從事核電站儀控、網絡安全和核安保設計工作。

參考文獻：

[1] IAEA. Nuclear Security Report 2023[R]. Vienna: IAEA Publications, 2023.

[2] 中華人民共和國核安全法[Z]. 2017.

[3] GB/T 35275 - 2017, SM2密碼算法使用規范[S].

[4] 李爽, 李卓佳. 核電站實物保護系統的設計過程與技術方案要素[C]. 中國核電儀控技術大會, 2011.

[5] Diffie W, Hellman M. "New directions in cryptography," in IEEE Transactions on Information Theory, 1976, 22 (6) : 644 - 654.

[6] Rivest RL, Shamir A, Adleman L. A method for obtaining digital signatures and public - key cryptosystems[J]. Communications of the ACM, 1978, 21 (2) : 120 - 126.

[7] 張峰, 李祥軍, 于樂, 等. 國產密碼的研究與應用[J]. 電信工程技術與標準化, 2020, (12) : 19 - 24.

[8] 李明, 等. 基于SM9的物聯網跨域認證方案[J]. 密碼學報, 2022, 9 (3) : 45 - 56.

[9] 包偉. 對稱密碼體制與非對稱密碼體制比較與分析[J]. 硅谷, 2014, (10) : 1671 - 7597.

[10] 陳思煊, 張愛孌, 沈雷. 數字認證與隱私計算在網絡安全中的應用價值[J]. 網絡空間安全, 2024, 15 (2) : 1674 - 9456.

[11] 姚紅云, 褚瑞, 李紅霞, 等. 基于國產商用密碼的核安保系統解決方案研究[J]. 自動化儀表, 2023, 44 (S01) : 268 - 271.

[12] GM/T 0115 - 2021, 信息系統密碼應用測評要求[S].

[13] GB 35114 - 2017, 公共安全視頻監控聯網信息安全技術要求[S].

[14] GB/T 39786 - 2021, 信息安全技術 信息系統密碼應用基本要求[S].

摘自《自動化博覽》2025年10月刊