1.3. 产品组成
电力系统专用纵向加密认证装置由纵向加密装置（硬件）和本地管理维护
软件（软件）组成。
纵向加密装置：位于电力控制系统的内部局域网与电力调度数据网络的路由
器之间，用于安全区 I/II 的广域网边界保护，可为本地安全区 I/II 提供一个网络
屏障同时为上下级控制系统之间的广域网通信提供认证与加密服务，实现数据传
输的机密性、完整性保护。
本地管理维护软件：为管理、配置纵向加密装置客户端软件，安装在用户
PC 上，采用 C/S 架构。
纵向加密装置需要的证书由第三方证书管理系统颁发。
纵向加密装置符合电力技术规范，可由第三方管理中心统一配置和管理。
1.4. 应用领域
满足电力行业标准，符合国家电力二次系统安全防护体系要求，部署在生产
控制大区 I/II 区，保护电力调度数据传输机密性。
1.5. 标准规范
1) 行业标准：
《电力系统专用纵向加密认证装置技术规范V3.0》 《电力二次系统内网安全监控-审计日志规范》
《GAT 686-2007 信息安全技术 虚拟专用网安全技术要求》二级技术
要求
2) 国密标准：
GM/T 0003-2012《SM2椭圆曲线公钥密码算法》
GM/T 0004-2012《SM3密码杂凑算法》
GM/T 0002-2012《SM4分组密码算法》
GM/T 0015-2012《基于SM2密码算法的数字证书格式规范》
GM/T 0005-2012《随机性检测规范》
2. 主要功能
2.1. 数据加密与认证保护
产品满足《电力系统专用纵向加密认证装置技术规范 V3.0》的技术要求，
支持 RSA、SM2 算法数字证书，纵向加密装置采用数字证书进行身份认证、会
话密钥协商。
纵向加密装置采用国电专用对称密码算法芯片实现 SSF09 算法，使用会话
密钥对关键业务数据进行加密保护。
2.2. 网络配置
纵向加密装置作为接入型网络设备不改变原有网络环境实现业务数据保护。
装置支持 vlan、网络地址、网桥、ARP 绑定、ARP 代理、路由等常见网络配置，
满足多 VLAN、双机双出、双机冗余等多种复杂的网络环境的业务需求。
2.3. 访问控制
纵向加密装置支持限定管理 IP 进行管理，管理时必须插入管理员 KEY、输
入正确的管理员账户及口令才能登录系统。纵向加密装置缺省的策略为丢弃，只有符合配置策略的数据包才进行转发或
者加密处理。
2.4. 证书管理
纵向加密装置支持根证书、远端设备证书、管理中心管理员证书、管理中心
设备证书的添加、删除、修改。
纵向加密壮装置支持根证书链验证，实现对装置证书的交叉认证。
2.5. 流量控制
通过流量控制功能，纵向加密认证装置可以保证优先业务优先通行。
2.6. 抗 DDoS 攻击
通过对业务数据特征值分析，纵向加密装置能够一定程度防御常见的网络攻击,包括ARP
Attack、Ping Attack、Ping of Death Attack、Smurf Attack、Unreachable Host Attack、Lａnd Attack、
Teardrop Attack、TCP Syn Attack、UDP Flood Attck 等。
2.7. 备份与恢复
纵向加密装置支持整机配置备份及恢复，实现配置回滚和装置灾难恢复；
纵向加密装置支持支持隧道、策略保存导出，方便隧道策略规则存档及排查；
纵向加密装置支持支持本地设备证书、远端设备证书、管理中心设备证书保
存导出；
纵向加密装置支持日志保存导出，便于进行日志审计。
2.8. 双机热备功能
纵向加密装置支持双机热备功能，实现双机间配置的自动同步及手动同步、
隧道状态及密钥信息的自动同步，增加网络健壮性。双机装置主动探测自身网络及双机对方装置状态，当主机故障时，保障业务
数据及时切换至备机。
2.9. 管理角色
纵向加密装置支持系统管理员、配置管理员、审计管理员管理。由系统管理
员、安全管理员和审计管理员分别担任系统的常规管理、与安全有关的管理以及
审计管理三个角色，三个角色间相互制约，防止权限过于集中。
2.10.身份认证安全管理
设备之间基于证书认证完成远程管理和会话密钥协商工作，通过根证书验证
实现证书的交叉认证。
管理员持有表征用户身份信息的硬件装置(USBKEY)和数字证书，与登录口
令相结合实现双因子认证登录系统。
2.11.运行状态监控
纵向加密装置 CPU、内存、运行状态每分钟自检一次，并记录日志。日志
以 syslog 形式发送至内网监控平台审阅监控。
纵向加密装置同时提供装置运行状态查询功能，系统管理员可实时查看装置
运行状态。
2.12.日志审计
管理员本地管理所执行的操作行为，记录详细的操作日志，便于安全事件审
计和追踪。
对不符合安全策略的非法访问和 DDOS 攻击数据包进行统计，并及时将日志
信息上报至内网监控平台。2.13.远程监控与管理
产品满足《电力系统专用纵向加密认证装置技术规范 V3.0》的技术要求，
支持管理中心远程管理、支持内网监控平台远程监控。
3. 指标参数
3.1. 性能指标
项目
SJJ1632-A(千兆型)
SJJ1632-B(百兆型)
通信协议
IEEE802.3，TCP/IP
*时间
20000 小时
加密速率(1024 字节)
900Mbps
300Mbps
支持隧道数(对)
2048
1024
加密时延
<1ms
网络接口数
6 个网络接口（100M/1000M 自适应）
控制口
1 个 COM 口（RJ45 形态）
3.2. 电气及环境指标
电气特性
电压
交流 220V
允许偏差
－20％～＋10％
纹波系数
不大于 5％
额定频率
50Hz
环境指标
环境温度
-5℃~+45℃
相对湿度
5%～95%
大气压力
70KPa~106KPa4. 产品特点及关键技术
支持国密规范和电力系统专用纵向加密认证装置技术规范，可和其他符合规
范的纵向加密装置互联互通；
支持链路备份、VLAN、地址借用、桥模式等多种应用环境的部署需求，具有
良好的网络适应性；
支持多机负载均衡和双机热备，增加用户网络的健壮性与稳定性；
完善的管理功能，实现了对纵向加密装置的认证、管理和监控；
采用专业的高性能网络处理器和加密芯片零拷贝技术，确保业务高效处理；
采用数据包特征分析技术，能抵抗包括 Ping Attack、Syn Attack 等 DDos 攻击；
设备支持双进双出链路，满足电力双平面业务需求，实现两个数据通道单独
协商及数据加密。
5. 典型部署
纵向加密装置部署在生产控制大区 I/II 区调度数据网络，保护电力调度数
据传输机密性。调度数据网络为分级网络部署，纵向加密装置常见部署于国调、
省调、地调、县调、厂站及各网调等关键节点。图 3 典型模式部署图
6. 产品资质
1) 取得商用密码产品型号证书；
2) 信息安全检测中心 VPN 二级检测报告；
3) 取得中国电力电力工业电力系统自动化设备质量检测中心电磁兼容
型式试验检测报告；
4) 取得中国电力信息安全实验室信息安全测评报告；
5) 取得国家信息技术安全中心信息技术产品安全性检测报告。
