AP1000核电站的无线网络安全性分析

邓 丽

（三门核电有限公司，浙江 台州 317112）

随着无线通信技术的快速发展，无线电话系统在核电站中得到了越来越广泛的应用。基于WIFI的无线电话系统不仅作为AP1000的首要通信方式，能为工单执行、运行巡检等提供清晰的语音通话和无线定位功能，同时还可以为远程辐射监测系统等提供数据传输，是安全生产的重要通信工具。在国内，无线电话系统作为首个应用的系统，其安全性能和抗电磁干扰性能是众人所关注的方面。

目前，无线通信技术在核电站的广泛应用仍受制于若干关键问题。下面从几个方面探讨AP1000核电站无线网络安全。

1 专用网络

物理隔离目前是抵御网络攻击的最安全手段。物理隔离技术通过中断网络间的连接，不支持TCP/IP协议，不依赖于操作系统，解决了目前网络安全由于操作系统漏洞和TCP/IP协议漏洞所带来的安全问题，有效地防止了恶意代码病毒的入侵。

无线电话系统采用独立的专用网络结构，在厂区内与其它网络做到有效物理隔离，在厂区外无信号覆盖。与EF01自动电话系统、MLS行政办公网系统、RMT远程辐射监测系统的连接均通过防火墙等机制有效隔离。

2 冗余的网络结构

无线网络组织结构对网络的可靠性和稳定性至关重要。AP1000的无线网络是双树形结构，核心交换机采用主备且热备的方式。同时专门部署了网络安全装置包括防火墙、网络准入控制器和集中告警监控服务器。通过统一的集成化平台，可以进行网络准入控制管理、补丁分发、桌面安全策略设置、审计功能、对交换机和服务器状态的综合运行监控等。

3 电磁兼容性

无线电话系统在核电站是否得到应用主要在于其电磁干扰问题。无线基站和手持机发射的电磁波有可能会对核电站敏感的仪控设备造成电磁干扰，如影响仪表的正常读数。因此，为了避免此风险，需要充分做好电磁兼容性的实验室测试和设备工厂测试。在实际使用中，将无线手持机的使用区域划分为限制区和非限制区。在限制区中无线基站和手持机的使用，不得对仪控设备产生干扰。在AP1000的无线电话系统设计规范书中，规定了基站天线和手持机的发射功率不得大于100mW，产生的电场强度在1m处不超过134dBuV/m（3.76V/m）的安全范围[1]。

若无线基站和手持机在最大发射功率下，被测敏感设备没有受到任何的影响，则说明无线电话系统是满足电磁兼容的。

在管理上，可以制定生产区域的无线电话使用的管理程序，规定无线设备在使用时需与EMI/RFI敏感设备之间有一个最小安全距离，并在相关敏感区域或房间张贴敏感设备标识牌，或禁止使用无线设备的标识牌。

4 QoS控制

电磁波空间传播的特性决定了多个无线手持机不能同时占用特定频段的信道，所以无线网络也存在抖动和时延。一般来说，数据传输速率越低，时延越大，抖动越明显。有效防止这两个现象发生的方法是采用QoS（quality of service）控制策略。可以根据通信任务的重要性来制定网络时延控制策略，这样通过无线信道的接入控制来确保高优先级任务的数据先于低优先级任务进行传输[2]。

另外，在AP1000无线电话网络中，也可以在阿尔卡特交换机上配置QoS来控制经过交换机的数据流。配置QoS主要包括配置总体QoS参数，配置QoS端口参数，配置策略和应用配置几个步骤。

目前RMT（远程辐射监测系统）是AP1000的科研项目，它使用了EF03无线电话系统的IP网络作为数据和语音传输通道，将一项辐射工作的所有电子数据汇聚到一起，这些数据包括人员剂量、现场视频、RP人员和工作人员间的通话录音等，作为工作记录和后续优化辐射工作的信息源。

RMT使用无线电话系统的IP网络来传输语音和数据信息，会对其带宽造成占用，通过在无线控制器、核心交换机上设置语音优先的QoS策略，来保证无线电话系统的正常运行。

5 接入安全性

由于无线电话系统使用的是2.4GHz和5GHz的开放信道，相比其他有线电话系统更容易受到外部恶意攻击。出于网络安全的考虑，核电站的重要仪控系统和无线电话系统并无接口。

但是，若无线网络采用最新安全防范技术，其安全性能仍可以得到保证。目前对于AP1000的无线网络，主要通过以下方面来保证其安全性。

① 数据加密：对无线语音和数据进行端到端的加密，防止通话被窃听以及数据被篡改。不仅使用了在802.11中使用的标准wifi加密技术如WEP（无线对等保密）和MAC（媒体接入控制），为了确保安全，此外还使用了FIPS 140-2加密技术。FIPS 140-2加密技术是美国国防部要求所有的军用无线系统必须通过的验证技术。在该模式下运行，可以确保黑客攻击时具备足够的安全性。

② 授权机制：为了防止未经授权的无线终端接入到网络中，在它和无线基站建立连接之前必须进行身份认证。同时，无线控制器可以为无线手持机动态分配IP地址，即每个无线手持机的号码可以不是固定的。

③ 关闭交换机空闲端口：为了防止无线网络被恶意入侵，无线网络的核心交换机、汇聚交换机和接入交换机的空闲端口被关闭。

④ 无线网络控制器+AP授权软件实现集中化的用户认证和数据加密：

无线电话网络选择ARUBA无线控制器+瘦AP的网络架构。ARUBA可以提供身份验证和数据加密功能，并可以通过专用硬件的安全配置，实现整个无线网络安全的集中部署。

Wi-Fi网络使用专用的语音无线SSID，使用WPA2-PSK（AES）+MAC地址相结合的用户认证、加密方式。WPA2-PSK（AES）是目前业界安全级别最高、加密强度最强的认证和加密方式。因此，WPA2-PSK（ASE）+MAC认证方式可有效防止黑客进行的暴力破解、字典攻击等方式的攻击，杜绝非法用户的接入。

⑤ ARUBA无线网络控制器+无线入侵防护软件，实现对无线攻击和非法入侵的防范：

在网络安全方案设计规划之初，就购买并开启、配置和使用ARUBA无线网络提供的无线攻击和入侵检测及保护机制响应模块及LICENSE。

由于绝大部分的无线网络都没有侦测无线入侵的功能，所以当遭受到无线攻击时，通常会被误认为是无线信号受干扰或AP出现不稳定情况。

而在AP1000无线网络中，每一个无线AP都具有多功能性，在为无线用户提供无线接入服务的同时，还可作为实时探测器来检测无线攻击和入侵。与此同时，ARUBA对无线AP收集到的网络攻击信息进行分析，通过其内置的无线攻击模式库，实时检测出异常的无线数据帧。当无线网络中存在无线攻击时，它会记录和显示无线攻击的类型，并对无线攻击做出自动保护响应。

图1 检测出非法APFig.1 Detecting illegal AP

图2 对非法AP定位Fig.2 Locating illegal AP

ARUBA的自动保护系统是目前市场上最卓越和最全面的无线网络安全保护工具。通过其WEB界面，便可实时查看到是否有非法AP位于无线网内。除了对非法AP进行分类和压制，它还能够对非法AP进行定位。

ARUBA能够检测所有无线信道的恶意攻击。如图1所示，ARUBA检测和分类出一个工作在164频道的非法AP。

图2是对非法AP的位置定位，红圈准确标明了非法AP的位置。

⑥ ARUBA无线网络控制器+WIPS模块对无线终端Adhoc模式连接监测：

ARUBA中的WIPS模块（无线入侵防御系统）能够检测并识别工作在Ad-hoc模式下的非法接入的无线接入点，并在界面产生告警。

6 人因管理

无线网络安全涉及到人、技术和操作3个方面，因而真正的安全必须同时重视技术与管理。

首先，从管理制度下手。通过制定核电站的《机房管理程序》《日常巡检管理程序》等管理程序，规定了设备的日常及定期检查项目、流程，严格执行定期巡检制度，对出现的隐患做到及时发现、分析和处理。

其次，对系统本身实行授权用户登陆。只有系统工程师的少数几人知晓系统管理员密码，可对系统进行最高权限的访问和设置，普通用户和巡检用户无权修改系统设置。

再次，定期对数据进行备份。通过定期对核心交换机、汇聚交换机和无线控制器进行数据备份，在一定程度上提高了系统的安全性。

7 结束语

国内无线技术在核电站的应用虽然处于初步阶段，但由于其在应用和经济方面的优势，会有着广阔的发展空间。无线技术可以为语音通话、运行巡检、定位、辐射防护、工单执行等提供必不可少的便利，但出于安全性考虑，国内核电站对新兴技术一直保持保守态度。无线网络安全防护只有将人防和技防相结合，才能在最大程度上确保安全。