OCPP 2.0.1 安全详解：电动汽车充电网络需要了解什么

要点总结

安全通信固然重要，但这只是系统的一部分。运营商还需要证书生命周期管理、固件治理、充电器接入控制、基于角色的访问控制、审计日志、警报和事件响应工作流程。

充电器或 CPMS 可能支持 OCPP 2.0.1，但如果证书静默过期、管理员帐户共享、固件未管理或安全事件被忽略，则部署仍然可能很弱。

优秀的电动汽车充电管理平台应该让运维团队（而不仅仅是协议工程师）能够理解安全机制。充电器信任状态、证书到期时间、固件版本、授权失败事件和配置变更等信息都应该在日常工作流程中清晰可见。

为什么电动汽车充电网络安全至关重要

电动汽车充电器不再是简单的电子设备。它们是联网的终端设备，可以与云平台、移动应用程序、RFID系统、支付网关、车队软件、车辆、楼宇网络，有时还可以与公用设施系统进行通信。

充电站可以接收远程指令、上报计量数据、更新固件、启动或停止充电、执行授权规则并控制重要的电力负荷。因此，网络安全关乎业务、安全和运营连续性。

充电网络薄弱会造成多种风险：

因此，应该在整个生态系统中评估 OCPP 网络安全：充电器硬件、后端软件、证书、用户、固件、站点网络和支持流程。

OCPP 2.0.1 为安全性增加了什么

OCPP 2.0.1 为电动汽车安全充电操作提供了一个比早期 OCPP 实现更现代化的框架。它支持更强大的安全架构、改进的充电器与充电管理系统 (CSMS) 之间的通信、证书相关的工作流程、更完善的设备管理以及更清晰的安全事件可见性。

这 开放收费联盟 OCPP被描述为充电站和充电管理系统之间的开放式通信协议。OCPP 2.0.1在此基础上，提供了更高级的功能，以构建安全、智能且面向未来的充电基础设施。

运营人员应该明白，这些能力只是奠定了基础，而不是完成了一项完整的安全计划。

如果缺少任何一个环节，网络就会持续处于暴露状态。例如，充电器可能在技术上支持基于证书的身份验证，但如果没有监控证书过期情况，运营商仍然可能面临服务中断。通信监控管理系统 (CPMS) 可以记录安全事件，但如果警报被埋没在日志中，运维团队可能无法及时响应。

充电器与 CSMS 之间的安全通信

充电器到 CSMS 的连接是网络运行的主要控制通道。它承载授权消息、状态通知、交易事件、计量值、配置更改、远程命令和固件相关的工作流程。

如果通信信道未得到妥善保护，攻击者可能会根据存在的安全漏洞尝试拦截、篡改或重放信息。因此，安全传输、正确的身份验证和可信的充电器身份是 OCPP 2.0.1 安全性的基础。

运营商应向供应商询问CPMS或CSMS如何处理以下事项：

• 充电器身份验证
• 安全充电器安装
• 证书安装和续期
• 证书撤销
• 加密充电器到后端通信
• 证书过期时的行为
• 充电器更换或重新调试后的恢复
• 运营团队的安全事件可见性

安全的设计应该防止未经授权的充电器加入网络，同时在硬件需要维修或更换时，仍然为合法的技术人员提供清晰的服务路径。

身份验证、授权和身份管理

充电安全涉及同时验证多个身份。

充电站需要被后端系统识别。驾驶员可能需要通过RFID卡、移动应用、车队账户、支付方式或基于车辆的凭证进行授权。运营人员需要在CPMS系统中拥有基于角色的访问权限。在即插即用充电环境中， ISO 15118与证书和合约身份相关的因素又增加了一层复杂性。

这使得身份治理成为一项业务流程，而不仅仅是一项技术职能。

一个实用的充电桩管理系统（CPMS）应该帮助运营商管理用户、权限、充电桩组、资费标准和访问策略，同时避免授予不必要的权限。例如：

• 客服人员可能需要重置充电器，但不应更改支付设置。
• 网站管理员可能需要正常运行时间报告，但不应该编辑全局安全配置。
• 财务用户可能需要导出账单，但不应批准固件更新。
• 现场技术人员可能需要进行故障诊断，但不应访问客户的支付数据。

最小权限原则可以降低出错、内部人员滥用职权和账户被盗用的风险。此外，当系统发生变更时，它还能创建更清晰的审计跟踪。

OCPP 2.0.1 证书管理

OCPP 2.0.1证书管理是高级电动汽车充电网络最重要的安全议题之一。证书有助于建立系统间的信任，但也带来了生命周期责任。

证书的颁发、安装、续期、撤销、审核和故障排除都需要有人负责。小规模部署时，这些工作看起来尚可管理。但网络规模下，证书管理不善可能导致充电桩停机。

运营商不应接受诸如“包含证书支持”之类的模糊说法，而应要求进行工作流程演示。

重要问题包括：

• 充电桩开通时能否提供证书？
• CPMS系统中是否显示证书到期日期？
• 系统能否在证书过期前发出警报？
• 证书可以远程轮换吗？
• 证书吊销是如何处理的？
• 如果充电器提供的证书无效会发生什么情况？
• 证书变更是否会记录在审计日志中？
• 证书状态能否导出用于合规性审查或调查？

许多 OCPP 2.0.1 安全项目成败的关键就在于此。技术证书功能只有在运维团队能够可靠管理的情况下才能发挥作用。

固件、配置和远程操作

固件更新可以修复漏洞、提升充电器性能并解决安全漏洞。但如果管理不善，也可能带来运行风险。

固件更新失败会导致充电器离线。未经授权的固件更新可能造成严重的安全隐患。未经充分测试的更新可能会导致不同型号充电器之间的兼容性问题。

运营商应在部署前制定固件管理流程：

• 谁负责审批固件更新？
• 更新在正式发布前是如何进行测试的？
• 哪些充电桩组会优先收到更新？
• 更新计划何时进行？
• 如何汇报成功或失败？
• 回滚方案是什么？
• 如何跟踪网络中的固件版本？

出于同样的原因，配置安全性也至关重要。计费方案、连接器设置、网络参数、定价规则、本地授权列表和支付相关配置都会影响收入和用户体验。

强大的充电桩管理系统（CPMS）应记录敏感的配置更改，限制高风险操作，并方便地将预期设置与实际充电器行为进行比较。OCPP 数据应成为运行安全遥测数据，而不仅仅是协议流量。

电动汽车充电网络中的常见安全风险

许多电动汽车充电安全问题并非源于罕见的攻击，而是源于薄弱的操作控制措施。

常见风险包括：

• 默认或重用的凭据
• 共享管理员帐户
• 站点网络划分不合理
• 未打补丁的充电器固件
• 过期证书
• 充电器注册流程薄弱
• 未经验证的远程命令
• 缺少审计日志
• 警报不足
• 权限过高的CPMS用户
• 缺乏事件响应程序

公共充电网络也可能面临欺诈、滥用、账单纠纷和客户隐私问题。车队维修站则面临另一种风险：如果充电桩不可用，车辆可能无法投入使用。

最佳防御方案结合了安全的协议功能、安全的产品设计和规范的操作。OCPP 2.0.1 可以支持更强大的安全性，但它无法强制组织审查权限、监控警报或妥善管理证书。

常见误解：支持 OCPP 2.0.1 就意味着网络安全

支持 OCPP 2.0.1 并不意味着部署就一定安全。

充电器可能支持 OCPP 2.0.1，但仍可能存在凭证强度不足、固件版本过旧、证书工作流程不完整或站点网络设计不佳等问题。后端可能支持 OCPP 安全功能，但仍可能无法将重要事件反馈给运维团队。

经营者应该要求提供证据，而不是口号。

有效的证据包括：

• 安全配置示例
• OCPP认证或符合性证明
• 证书生命周期工作流程
• 基于角色的访问控制屏幕
• 安全事件仪表板
• 固件更新日志
• 事件响应文档
• 审计日志导出功能
• 充电器型号兼容性测试

安全声明应该具体且可验证。与其说“OCPP 2.0.1 使充电更安全”，更准确的说法是：“OCPP 2.0.1 提供了更强大的机制，如果实施和管理得当，可以支持更安全的充电器到 CSMS 的操作。”

运营商安全实施路线图

一个切实可行的 OCPP 2.0.1 安全路线图始于资产可见性。

运营商应该知道安装了哪些充电器，它们运行的是哪个固件版本，哪个 OCPP 版本处于活动状态，每个充电器如何连接到后端以及谁有管理权限。

第一步：建立资产登记册

跟踪充电器型号、站点、所有者、固件版本、OCPP 版本、网络路径、证书状态、风险级别和上次测试日期。

步骤 2：安全充电器注册

每个充电桩都应该通过受控流程进行注册，通过后端验证，并分配给正确的站点、资费组和运营负责人。

步骤 3：定义证书和凭证所有权

证书、密码、API密钥和用户权限应有明确的负责人和审核计划。

步骤 4：管理固件和配置

为固件和重大配置变更创建审批、测试、调度和回滚流程。

步骤 5：监控安全事件

安全事件不应湮没在技术日志中。当它们表明存在风险时，应该生成警报、工单或审查任务。

第六步：做好应对突发事件的准备

明确如果服务受到影响，如何隔离充电器、轮换凭证、保存日志、联系现场、通知内部团队以及与客户沟通。

事件流程示例：可疑的充电器行为

想象一下，充电器开始反复发送授权失败事件、意外的配置更改和间歇性通信中断。

功能较弱的系统可能只能显示充电器在线或离线状态。而功能更强大的CPMS系统则应能帮助操作员调查完整的事件时间线。

操作员应该能够查看：

• 近期授权失败
• 上次配置更改
• 当前固件版本
• 证书状态
• 用户或管理员操作
• 相关充电会话
• 网络通信历史
• 安全事件通知

操作员可以据此决定是否重置充电器、锁定某些远程命令、轮换凭证、派遣技术人员或暂时停止使用充电器。

这个例子说明了为什么 OCPP 2.0.1 安全必须与实际运营相结合。只有当团队能够看到、理解并采取行动时，安全事件才能创造价值。

TrendPower的 智能运营管理解决方案 其设计围绕电动汽车充电网络的运行可视性展开，包括监控、故障处理和可扩展的管理工作流程。

采购文件中应包含的安全要求

采购团队应使用操作性语言编写安全需求。这能使供应商评估更加切实可行，并降低出现模糊承诺的风险。

有用的要求包括：

• 安全的充电器到CSMS通信
• 充电器认证
• 基于角色的CPMS访问权限
• 敏感操作的审计日志
• 证书状态可见性
• 证书续期提醒
• 固件更新管理
• 安全事件监控
• 远程诊断
• 配置更改历史记录
• 导出日志以供调查
• 已记录的支持和事件处理程序

要求供应商使用您计划部署的充电器型号演示这些工作流程。通用的幻灯片演示是不够的。

此外，还要索取相关证据，例如 OCPP 认证状态、测试流程、架构图、示例日志、安全文档和支持升级流程。 OCA OCPP 2.0.1认证项目 在评估协议符合性时，可以作为有用的参考点。

应该向CPMS提供商询问哪些问题

在评估 CPMS 或 CSMS 时，要提出与运营直接相关的安全问题。

1. 充电器在加入网络之前如何进行身份验证？
2. 证书是如何颁发、续期和撤销的？
3. 能否通过控制面板监控证书到期日期？
4. 能否为用户分配最小权限角色？
5. 非工程团队是否可以看到安全事件？
6. 风险事件能否触发警报或工作指令？
7. 是否按充电器型号和站点跟踪固件更新状态？
8. 配置变更是否经过审计？
9. 系统如何应对充电器异常行为？
10. 日志是否可以导出以供调查或客户支持？

即使基本的 OCPP 连接有效，隐藏安全细节的 CPMS 也可能难以大规模运行。

部署后需要跟踪的安全KPI

安全性应当可衡量。运营者应制定关键绩效指标 (KPI)，将技术风险转化为管理可见性。

有用的OCPP网络安全KPI包括：

• 充电桩的充电证书将在30天、60天或90天内到期。
• 未解决的安全事件数量
• 管理员登录尝试失败
• 充电器运行的固件落后于政策
• 未知或未经授权的配置更改
• 调查关键警报的平均时间
• 拥有高级权限的用户数量
• 充电桩注册记录不完整的数量
• 固件更新成功率和失败率
• 缺少或过期资产信息的充电器

这些关键绩效指标帮助运营人员从被动故障排除转变为风险管理。

Plug & Charge 和 OCPP 2.0.1 安全性

即插即用充电功能可通过实现电动汽车与充电站之间的自动识别和计费，提升驾驶体验。它还能减少对RFID卡、移动应用程序或人工支付步骤的依赖。

然而，即插即用并不能消除安全运维的必要性。它增加了证书和身份验证工作流程，这些流程必须谨慎管理。 CharIN 即插即用充电指南 有助于了解生态系统如何处理电动汽车自动充电授权问题。

操作人员仍然需要以下控制功能：

• 后端用户权限
• 合同和车辆识别工作流程
• 支付和计费逻辑
• 证书生命周期管理
• 客户支持流程
• 事件响应

因此，Plug & Charge 应该作为更广泛的 OCPP 2.0.1 安全模型的一部分进行评估，而不是作为 CPMS 安全治理的替代品。

专家见解：安全必须对非工程师可见

在实际充电运营中，并非每个人都是协议工程师。站点经理、客户支持团队、现场技术人员、财务团队和高管都会与充电网络性能产生交互。

安全的网络安全管理系统应该能够清晰地展现关键的安全状态：

• 这款充电器可信吗？
• 它的证书快到期了吗？
• 固件最近有更新吗？
• 是否存在异常的授权失败？
• 谁更改了这个配置？
• 某个地点的安全事件是否正在增加？
• 哪些充电器需要优先检修？

当安全问题显而易见时，组织可以在技术问题造成收入损失、停机或客户不满之前做出响应。

结论：将安全性融入运营模式

OCPP 2.0.1 为电动汽车充电运营商提供了更强大的基础，以实现安全的充电器到后端通信、证书管理、安全事件报告和远程操作控制。

但安全性并非仅来自协议，而是来自完整的运行模型：充电器固件、证书、CPMS 工作流程、用户权限、监控、警报、审计日志和人工响应程序。

运营商应同时评估协议能力和运行可见性。合适的充电桩管理系统 (CPMS) 应能帮助您的团队安全地管理充电桩，快速响应问题，并在扩展的同时保持对证书、固件、用户或配置变更的控制。

常问问题

参考文献及延伸阅读

• 开放充电联盟：开放充电桩协议
• 开放收费联盟：安全运营指南
• 开放充电联盟：OCPP 2.0.1 认证
• NIST IR 8473：电动汽车/XFC基础设施网络安全框架规范
• 美国国家可再生能源实验室：电动汽车快速充电基础设施的网络安全
• ISO 15118-1:2013
• CharIN 即插即用
• TrendPower智能运营管理