电网变电站/换流站多类型巡检设备，如何通过WAPI网络实现安全的数据回传？

电网变电站和换流站的智能化巡检正在大规模推广。布控球、高清摄像机、各类环境传感器（温湿度、水浸、SF6等）被大量部署在站内，采集视频画面和环境数据，通过无线网络回传至后台系统。

这些设备采集的数据有一个共同特点：实时性强、敏感度高。视频画面可能拍到设备状态和表计读数，环境数据可能反映设备运行隐患。如果传输通道不安全，数据在“空气中”被截获或篡改，后台系统看到的就是“假数据”，据此做出的判断和决策可能完全错误。

WAPI网络在变电站巡检中要解决的核心问题，不是“视频传得快不快、传感器数据采集效率高不高”，而是“后台收到的数据是不是设备采集的那个原始数据”——确保数据在无线传输中不被截获、不被篡改、来源可认证。

一、变电站内哪些设备需要无线回传？它们的传输行为有何不同？

变电站内通过WAPI网络回传数据的设备，传输行为可以分为三类：

第一类，周期性上报数据的传感器（如温湿度传感器、水浸传感器、SF6传感器）。这类设备通常按照设定的时间间隔（如每5分钟或每10分钟）上报一次数据，数据量小、传输频率固定、每次上报的数据结构一致（传感器编号+时间戳+读数）。如果传输通道不安全，攻击者可以截获并伪造上报数据——例如把SF6浓度读数从正常值篡改为超标值，或反过来把超标值改为正常值，前者可能导致不必要的跳闸，后者可能延误排险。

第二类，按需传输视频流的摄像头（如布控球、固定摄像机）。这类设备的数据量大、传输持续时间长、传输行为由操作人员远程触发（即操作人员在后台发起“开启某布控球视频流”的指令后，摄像头开始持续回传视频流）。如果传输通道不安全，视频画面可能被截获（泄露现场画面），也可能被注入伪造画面（后台看到的是合成视频而不是真实画面）。

第三类，混合传输的巡检终端（如巡检机器人、手持终端）。这类设备同时涉及双向数据交互——终端通过WAPI网络接收远程控制指令（如“向右转”“停止移动”），同时将采集到的传感数据和视频数据通过WAPI网络上送到后台。如果传输通道不安全，控制指令可能被伪造（第三方向机器人发送恶意指令），也可能被截获（泄露后台的控制逻辑）。

这三类设备的传输行为各不相同，但WAPI网络为它们提供的安全保障是一致的：加密传输（数据在“空气”里是密文）、双向鉴别（终端确认AP合法、AP确认终端合法）、指令防伪造（后台下发的控制指令在链路层得到保护）。

二、Wi-Fi为什么不适合变电站巡检数据的无线回传？

变电站巡检数据在无线传输中面临两个主要风险：被截获和被篡改。Wi-Fi难以有效抵御这两类风险：

（一）被截获风险

Wi-Fi采用的AES加密算法基于境外技术体系，算法本身的安全性不由我方掌控。巡检数据（特别是视频画面和设备状态数据）属于基础设施敏感信息，使用境外密码算法存在合规风险——与《密码法》要求关键信息基础设施采用国产密码技术的规定不相符。

（二）被篡改和伪造指令风险

Wi-Fi的认证机制是单向的（AP验证终端，终端不验证AP）。这个单向认证机制带来的风险在变电站场景中尤为突出——如果有人在变电站内架设一台信号更强的伪装AP（伪基站），巡检终端可能自动切换到伪基站上，之后所有数据（包括后台下发的控制指令）都经过伪基站中转。攻击者可以截获并篡改数据，甚至在后台不知情的情况下向巡检终端下发伪造的控制指令。

从实际操作角度看，Wi-Fi协议栈中存在已知安全漏洞（如KRACK攻击，可导致Wi-Fi加密被破解），在变电站这类关键基础设施中运行Wi-Fi网络，运维人员难以确保所有设备和终端都处于最新安全补丁状态。

三、WAPI在变电站巡检数据回传中提供的安全保障

WAPI网络为变电站巡检数据回传提供的安全能力，可以从数据采集、数据传输、指令下发三个环节来理解：

数据采集环节。终端设备（传感器、摄像头）在接入WAPI网络前，与AP完成双向证书鉴别。只有持有合法证书的终端才能接入网络，防止非法设备冒充传感器向系统注入伪造数据。同时，终端通过验证AP的证书确认AP的身份，确保数据是发给真正的站内AP而不是伪基站。

数据传输环节。巡检数据从终端到AP的无线传输全程采用国密SM4算法加密。数据在空气中以密文形式传输，即使被截获也无法解读。数据传输中的完整性校验机制可防止数据包在传输过程中被篡改——后台收到数据后可验证其完整性，发现篡改即丢弃。

指令下发环节。后台系统通过WAPI网络下发给巡检终端（如布控球的PTZ控制指令、巡检机器人的移动指令）的控制指令，在WAPI链路层受到保护。与Wi-Fi的单向认证不同，WAPI的双向鉴别使终端能确认指令来自合法的AP（即合法的后台系统），防止攻击者通过伪基站下发恶意指令。同时，国密SM4加密可防止控制指令在传输中被截获并逆向分析，避免泄露后台的控制逻辑或操作习惯。

四、从合规角度看WAPI在电网场景中的必要性

《密码法》要求关键信息基础设施运营者使用商用密码进行保护，并应当使用经国家密码管理部门批准的商用密码产品。变电站巡检数据回传涉及关键信息基础设施的运维数据，使用境外密码算法的Wi-Fi不符合该要求。

《网络安全等级保护制度》（等保2.0）对无线接入提出了明确的身份鉴别和访问控制要求。WAPI的三元对等鉴别机制在链路层实现设备身份认证，满足等保对无线接入的鉴别要求。

南方电网已明确采用WAPI技术进行变电站、配电房无线覆盖。电网行业的合规路径已经明确——在变电站场景中，巡检数据回传的无线通道应采用WAPI标准。