2021流域水电集控系统设计方案

中国大唐集团广西分公司集控中心设计方案国网电力科学研究院中国大唐集团公司广西分公司2014年8月中国大唐集团广西分公司集控中心设计方案目录1项目概述 图47。图SEQ图\*ARABIC47程控调度交换组网示意图通信电源及综合配线规划通信电源通信电源系统是通信系统的重要组成部分，为了保证通信系统的可靠运行，电源系统必须稳定、可靠，在任何时候都不能中断对通信设备的供电，同时满足通信设备对电源系统供电质量的要求。本工程为完全新建，为了满足通信设备供电需求，在广西集控配置1套通信电源系统。大唐集团广西分公司集控中心通信电源系统配置为：2套通信用-48V/150A高频开关电源，及2组48V/300Ah阀控式密封铅酸蓄电池组，采用交流电源经整流后对蓄电池和设备浮充供电，在交流电源中断后由蓄电池对设备供电的方式。各电站通信电源尽量利用电站内已有的通信电源。如果电站原有通信电源因设备老旧、容量无法满足新增设备的要求时，再考虑重新增加通信电源。综合配线配线设备采用综合配线架，作为通信系统的配线、测试和设备保安用，所有通信光缆、电缆和电话线必须通过配线设备至通信设备，由于音频配线安装和运行中，操作较多，应单独成架。本工程在大唐集团广西分公司集控中心新配置1套综合配线设备，容量为光配48芯、数配120系统、音配2500线。各电站通信配线尽量利用电站内已有综合配线设备。如果电站配线设备不能满足本工程需要，将另外增配配线设备。集控数据网络设计根据集控系统各类业务的需求，大唐集团广西分公司集控中心、流域电站之间的通信通过集控数据网实现，集控数据网包括如下部分：控制区数据网、非控制调度数据网和管理信息大区数据网以及工业电视专用数据网。总体规划集控数据网分为生产控制区与管理信息区：生产控制区业务包括：流域远程实时监控、水调自动化、主设备状态监测；管理信息区业务包括：大坝安全监测与分析评估、信息通信综合监管、主设备状态检修决策支持、生产管理系统等。集控数据网是一个面向实际生产应用的计算机传输网络，是整个工程的基础设施，所以必须确定好系统建立的目标及设计原则，以便最终建成的网络是一个可靠、实用、先进、高效的计算机网络。路由设计在进行路由设计时，可以采用静态路由和动态路由两种方案，结合通信建设的现状，路由设计采用静态路由，但所有路由设备应支持动态路由。计算机网络设计根据电监会[2004]5号令《电力二次系统安全防护规定》及《全国电力二次系统安全防护总体方案》和国家有关部委相关规定的要求，综合对总体网络安全性的考虑，为保障各站点实时、安全、可靠地运行，避免与实时监控无关的数据传输导致网络堵塞，避免无关人员甚至黑客入侵电站实时监控网络，对电站设备的安全和运行进行干扰和破坏，本流域的计算机网络拟采用目前主流的分层分布式系统结构。大唐集团广西分公司集控中心至各个站点的互联采用多业务传输平台(MSTP)组网方案，按多个相对独立的计算机网络设计，其中一个为控制区专用网络，一个为非实时控制系统网络，另一个为其它系统组成的综合信息网络，负责办公自动化、档案管理、数字视频服务、网络电话服务、消防、工业电视等等的需求。网络之间不应直接相联，不同系统之间的数据通信必须采用经国家有关部门认证的专用、可靠的安全隔离设施，例如采用经认证的网关机和防火墙装置、软件包、设置共享数据服务以及其他必须的设施和措施等，避免无关人员入侵电站的计算机监控系统，影响电站的安全运行。安全防护的总体策略调度数据网系统系统应严格执行[2004]电监会5号令《电力二次系统安全防护规定》及《全国电力二次系统安全防护总体方案》的要求，进行安全防护。安全防护的重要措施是强化电力二次系统的边界防护，同时对电力二次系统内部的安全防护提出要求。为保证控制信息和敏感数据的信息安全，电力系统安全防护需要考虑基于TCP/IP的广域网通信的信息安全。电力系统安全防护工作应坚持安全分区、网络专用、横向隔离、纵向认证的原则，保证电力监控系统和电力调度数据网络的安全。安全分区：根据二次系统各业务系统的特性和对一次系统的影响程度进行分区，原则上划分为控制区、非控制区和管理信息大区，所有系统都必须分置于相应的安全区内，纳入统一的安全防护；重点保护实时控制等关键业务。网络专用：建立专用数据网络，与企业数据网络实现物理隔离，各级安全区在纵向上应在相同安全区进行互连。横向隔离：采用不同强度的安全设备隔离各安全区，尤其是在控制区与非控制区、非控制区与管理信息大区之间实行有效安全隔离，隔离强度应接近或达到物理隔离。纵向认证：采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。安全区划分原则按安全防护的规范及规定将调控系统原则上划分为控制区(安全区I)和非控制区(安全区Ⅱ)和管理信息大区。安全区Ⅰ：控制区安全区Ⅰ中的业务系统或功能模块的典型特征为：直接实现对一次系统的监控功能，是电力生产的重要必备环节，实时在线运行，使用电力调度数据网络或专用通道通信。安全区Ⅰ的典型系统包括SCADA/EMS系统、引供水系统中的闸门控制应用等，其主要使用者为调度员和运行操作人员，数据实时性为秒级（或毫秒级），外部边界的通信经由电力调度数据网的实时子网和专用通道。安全区Ⅰ包括电力二次系统中最为关键的系统，是安全防护的重点和核心，安全等级最高。安全区Ⅱ：非控制区安全区Ⅱ中的业务系统或功能模块的典型特征为：所实现的功能为电力生产的必要环节，但不具备控制功能，使用数据网络，在线运行，与安全区Ⅰ中的系统或功能模块联系紧密。安全区Ⅱ的典型系统包括水调系统、继电保护及故障录波管理信息系统、电能量计量系统等，其面向的主要使用者分别为电力调度员、水电调度员、继电保护人员等。在厂站端还包括电能量计量装置、故障录波装置等。安全区Ⅱ的数据采集频度是分钟级、小时级。安全区Ⅲ：管理信息大区管理信息大区内部在不影响生产控制大区安全的前提下，可以根据具体情况划分安全区。调控系统按照目前的规划设计内容，本项目各个子系统及其安全防护区见下表：控制区非控制区管理信息大区（安全Ⅰ区）（安全Ⅱ区）（管理信息大区）1计算机监控系统水情自动测报系统生产信息管理系统2电能量管理系统状态检修决策支持系统3继电保护及故障录波管理信息系统大坝安全检测与分析评估决策支持系统4主设备状态监测工业电视系统5信息通讯综合监管系统业务系统或功能模块置于安全区的规则根据业务系统或功能模块的实时性、使用者、功能、场所、各业务系统的相互关系、广域网通信的方式以及受到攻击之后所产生的影响，分别置于相应的安全区之中。实时控制系统或未来可能有实时控制功能的系统需置于安全Ⅰ区；电力二次系统中不允许把本属于高安全区的业务系统迁移到低安全区域运行；但允许把属于低安全区的业务系统的终端设备放置于高安全等级区域，由属于高安全等级区域的人员控制和使用。某些业务系统的次要功能与根据主要功能所选定的安全区不一致时，可根据业务系统的数据流程将不同的功能模块（或子系统）分置于各安全区中，各功能模块（或子系统）经过安全区之间的通信来构成整个业务系统。与外部边界网络不存在联系的业务系统为孤立业务系统，对其划分规则不作要求，但需要遵守所在安全区的安全防护规定。安全区之间的横向隔离各分区之间采用专用安全隔离装置，达到或接近于物理隔离强度。具体隔离设备的选择不仅需要考虑网络安全的要求，还需要考虑带宽及实时性的要求。所有隔离设备必须是经过国家指定部门检测认证的国产设备。安全Ⅱ区与管理信息大区之间的隔离要求：安全Ⅱ区与管理信息大区之间必须采用电力专用横向单向安全隔离装置。专用横向单向安全隔离装置应该达到接近物理隔离的强度。严格禁止E-mail、Web、Telnet、Rlogin、FTP等通用网络服务和以B/S或C/S方式的数据库访问控制功能穿越专用横向单向安全隔离装置，仅允许纯数据的单向安全传输。专用横向单向安全隔离装置分为正向型和反向型。从安全Ⅱ区往管理信息大区必须采用正向安全隔离装置单向传输；由管理信息大区往安全Ⅱ区的少量单向数据传输必须采用反向安全隔离装置。反向安全隔离装置采取签名认证和数据过滤措施，仅允许纯文本数据通过，并严格防范病毒、木马等恶意代码。安全Ⅰ区与安全Ⅱ区之间的隔离要求：Ⅰ、Ⅱ区之间必须采用国产硬件防火墙、具有访问控制功能的设备或相当功能的设施进行逻辑隔离，应禁止E-mail、Web、Telnet、Rlogin、FTP等安全风险高的通用网络服务穿越安全区之间的隔离设备。安全区与远方通信的纵向安全防护要求安全Ⅰ区与各梯级电站连接时，须采用国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，实现网络层双向身份认证、数据加密和访问控制。若暂时不具备条件，可用硬件防火墙或ACL技术的访问控制代替。管理信息大区应采用硬件防火墙或更高安全强度的设备接入企业数据网。处于外部网络边界的通信网关的操作系统应进行安全加固。根据具体业务的重要程度及信息的敏感程度，对各区的外部通信网关应该增加加密、认证和过滤的功能。传统的基于专用通道的通信不涉及网络安全问题，可采用线路加密技术保护关键业务。各安全区内部安全防护的基本要求禁止在安全Ⅰ区和Ⅱ区部署E-MAIL服务。禁止在安全Ⅰ区部署WEB服务。允许安全区Ⅱ内部采用B/S结构的业务系统，但仅限于业务系统内部使用。允许安全区Ⅱ纵向安全Web服务，经过安全加固且支持HTTPS的安全Web服务器和Web浏览工作站应在专用网段，Web浏览工作站与安全区Ⅱ业务系统工作站不得共用，而且必须由业务系统向Web服务器单向主动传送数据。对于重要业务（如SCADA/AGC）必须采用加密认证机制，对已有系统应逐步改造。应该考虑部署安全审计措施，应该把安全审计与安全网络管理系统、IDS管理系统、敏感业务服务器登录认证和授权、应用访问控制权限相结合。应该采取防恶意代码设施。病毒库和木马库的更新应该离线进行，不得直接从外部互联网下载。网络详细设计生产控制大区数据网流域电站至大唐集团广西分公司集控中心的系统主、备通道利用电力调度SDH传输网和电信公共传输网提供的以太网通道组网方案，应急通道为卫星通道。网络组网采用双路由星形网组网方案，对于不同业务采用VLAN划分，每个传输通道提供六个MSTP以太网口接口,其中五个供实时控制区,一个供非实时控制区使用。实时控制区网络采用三层交换机组网方式搭建，大唐集团广西分公司集控中心配置十台三层交换机，设备采用双电源，用于连接局域网设备。各站点配置两台交换机，形成冗余网络结构，连接网络上的计算机，实现数据交换功能。非实时控制区网络采用路由器和交换机组网方式搭建，大唐集团广西分公司集控中心配置两台路由器和一台骨干级交换机，设备采用双电源，用于连接局域网设备。各站点配置两台路由器和一台交换机，形成冗余网络结构，连接网络上的计算机，实现数据交换功能。管理信息大区网络系统管理信息大区的所有子系统主要包含：生产管理、主设备状态监测与状态检修决策支持、大坝安全监测与分析评估决策支持等，此网络部分应用部分利用电力调度SDH传输网和电信公共传输网提供的以太网通道组网方案,不配置应急通道.。管理信息大区网络采用路由器+交换机组网方式搭建，大唐集团广西分公司集控中心配置一台路由器和一台骨干级交换机，设备采用双电源，用于连接局域网设备。各站点配置一台路由器和一台交换机，连接网络上的计算机，实现数据交换功能。安全物理隔离设备在跨区数据传输链路上布署物理隔离设备。该设备具有如下功能：安全裁剪内核，系统的安全性和抗攻击能力强，数据单向传输控制，割断穿透性的TCP连接，网络数据处理流畅，不会成为网络通信瓶颈。纵向认证加密装置在中心站与各个站点的链路上均配置纵向认证加密装置,须采用国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，实现网络层双向身份认证、数据加密和访问控制。图SEQ图\*ARABIC48集控数据网-实时控制区网络示意图图SEQ图\*ARABIC49集控数据网-非实时控制区及管理大信息区网络示意图项目建设计划项目分期大唐集团广西分公司集控中心建设按照“统一规划、分步实施”的原则完成，全部建设项目分二期完成。一期建设内容完成集控中心机房装修、机房基础设施（时钟、UPS动力配电、大屏显示等）建设、通信网络建设，建成流域远程集中监控系统、流域水调自动化系统、流域经济运行系统，成功接入红水河流域和郁江流域的9个水电厂计算机监控系统和水情水调系统，实现大唐集团广西分公司水电站群远程监控四遥功能，以及流域水电站群联合优化调度功能。机房基础设施：包括动力配电、时钟、调度电话系统、大屏、机房空调、防雷、中控室建设等。通信系统：建设集控中心至广西光纤通信网专线，租用广西光纤通信网建设集控中心通信网络主用通道；租用公网建设集控中心通信网络备用通道；租用卫星信道建设集控中心通信网络应急通道。流域远程集中监控系统：实现对平班、龙滩、岩滩、大化、百龙滩、乐滩、西津、山秀、金鸡滩共9座水电厂的远程集中控制与负荷调节，各水电厂达到“无人值班”（少人值守）的条件。流域水调自动化系统：实现对平班、龙滩、岩滩、大化、百龙滩、乐滩、西津、山秀、金鸡滩共9座水电厂的水雨情信息集中监视与管理，实现流域水电站群的统一调度管理功能。流域经济运行系统：实现平班、龙滩、岩滩、大化、百龙滩、乐滩、西津、山秀、金鸡滩共9座水电厂的联合优化调度，实现流域水电站群经济调度控制。二期建设内容在一期建设成果的基础上，建设集控中心电能量管理系统、继电保护运行及故障信息总站系统、主设备状态监测与状态检修、大坝安全监测、生产管理信息系统、信息通信综合监管系统，成功接入红水河流域和郁江流域的9个水电厂相应自动化系统，实现大唐集团广西分公司集控中心远程“运管一体化”目标。进度计划一期计划表SEQ表\*ARABIC4一期建设计划表序号计划完成时间计划完成工作12014年9月15日合同签订。22015年2月30日完成流域水调自动化系统、流域远程集中监控系统现场部署。320