2022流域水电集控中心网络规划设计方案

流域水电集控中心网络规划设计方案目录23987_WPSOffice_Level11集控数据网络设计 330136_WPSOffice_Level21.1总体规划 35474_WPSOffice_Level21.2安全防护的总体策略 420292_WPSOffice_Level21.3网络详细设计 8集控中心数据网络设计根据集控系统各类业务的需求，大唐集团广西分公司集控中心、流域电站之间的通信通过集控数据网实现，集控数据网包括如下部分：控制区数据网、非控制调度数据网和管理信息大区数据网以及工业电视专用数据网。总体规划集控数据网分为生产控制区与管理信息区：生产控制区业务包括：流域远程实时监控、水调自动化、主设备状态监测；管理信息区业务包括：大坝安全监测与分析评估、信息通信综合监管、主设备状态检修决策支持、生产管理系统等。集控数据网是一个面向实际生产应用的计算机传输网络，是整个工程的基础设施，所以必须确定好系统建立的目标及设计原则，以便最终建成的网络是一个可靠、实用、先进、高效的计算机网络。路由设计在进行路由设计时，可以采用静态路由和动态路由两种方案，结合通信建设的现状，路由设计采用静态路由，但所有路由设备应支持动态路由。计算机网络设计根据电监会[2004]5号令《电力二次系统安全防护规定》及《全国电力二次系统安全防护总体方案》和国家有关部委相关规定的要求，综合对总体网络安全性的考虑，为保障各站点实时、安全、可靠地运行，避免与实时监控无关的数据传输导致网络堵塞，避免无关人员甚至黑客入侵电站实时监控网络，对电站设备的安全和运行进行干扰和破坏，本流域的计算机网络拟采用目前主流的分层分布式系统结构。大唐集团广西分公司集控中心至各个站点的互联采用多业务传输平台(MSTP)组网方案，按多个相对独立的计算机网络设计，其中一个为控制区专用网络，一个为非实时控制系统网络，另一个为其它系统组成的综合信息网络，负责办公自动化、档案管理、数字视频服务、网络电话服务、消防、工业电视等等的需求。网络之间不应直接相联，不同系统之间的数据通信必须采用经国家有关部门认证的专用、可靠的安全隔离设施，例如采用经认证的网关机和防火墙装置、软件包、设置共享数据服务以及其他必须的设施和措施等，避免无关人员入侵电站的计算机监控系统，影响电站的安全运行。安全防护的总体策略调度数据网系统系统应严格执行[2004]电监会5号令《电力二次系统安全防护规定》及《全国电力二次系统安全防护总体方案》的要求，进行安全防护。安全防护的重要措施是强化电力二次系统的边界防护，同时对电力二次系统内部的安全防护提出要求。为保证控制信息和敏感数据的信息安全，电力系统安全防护需要考虑基于TCP/IP的广域网通信的信息安全。电力系统安全防护工作应坚持安全分区、网络专用、横向隔离、纵向认证的原则，保证电力监控系统和电力调度数据网络的安全。安全分区：根据二次系统各业务系统的特性和对一次系统的影响程度进行分区，原则上划分为控制区、非控制区和管理信息大区，所有系统都必须分置于相应的安全区内，纳入统一的安全防护；重点保护实时控制等关键业务。网络专用：建立专用数据网络，与企业数据网络实现物理隔离，各级安全区在纵向上应在相同安全区进行互连。横向隔离：采用不同强度的安全设备隔离各安全区，尤其是在控制区与非控制区、非控制区与管理信息大区之间实行有效安全隔离，隔离强度应接近或达到物理隔离。纵向认证：采用认证、加密、访问控制等技术措施实现数据的远方安全传输以及纵向边界的安全防护。安全区划分原则按安全防护的规范及规定将调控系统原则上划分为控制区(安全区I)和非控制区(安全区Ⅱ)和管理信息大区。安全区Ⅰ：控制区安全区Ⅰ中的业务系统或功能模块的典型特征为：直接实现对一次系统的监控功能，是电力生产的重要必备环节，实时在线运行，使用电力调度数据网络或专用通道通信。安全区Ⅰ的典型系统包括SCADA/EMS系统、引供水系统中的闸门控制应用等，其主要使用者为调度员和运行操作人员，数据实时性为秒级（或毫秒级），外部边界的通信经由电力调度数据网的实时子网和专用通道。安全区Ⅰ包括电力二次系统中最为关键的系统，是安全防护的重点和核心，安全等级最高。安全区Ⅱ：非控制区安全区Ⅱ中的业务系统或功能模块的典型特征为：所实现的功能为电力生产的必要环节，但不具备控制功能，使用数据网络，在线运行，与安全区Ⅰ中的系统或功能模块联系紧密。安全区Ⅱ的典型系统包括水调系统、继电保护及故障录波管理信息系统、电能量计量系统等，其面向的主要使用者分别为电力调度员、水电调度员、继电保护人员等。在厂站端还包括电能量计量装置、故障录波装置等。安全区Ⅱ的数据采集频度是分钟级、小时级。安全区Ⅲ：管理信息大区管理信息大区内部在不影响生产控制大区安全的前提下，可以根据具体情况划分安全区。调控系统按照目前的规划设计内容，本项目各个子系统及其安全防护区见下表：控制区非控制区管理信息大区（安全Ⅰ区）（安全Ⅱ区）（管理信息大区）1计算机监控系统水情自动测报系统生产信息管理系统2电能量管理系统状态检修决策支持系统3继电保护及故障录波管理信息系统大坝安全检测与分析评估决策支持系统4主设备状态监测工业电视系统5信息通讯综合监管系统业务系统或功能模块置于安全区的规则根据业务系统或功能模块的实时性、使用者、功能、场所、各业务系统的相互关系、广域网通信的方式以及受到攻击之后所产生的影响，分别置于相应的安全区之中。实时控制系统或未来可能有实时控制功能的系统需置于安全Ⅰ区；电力二次系统中不允许把本属于高安全区的业务系统迁移到低安全区域运行；但允许把属于低安全区的业务系统的终端设备放置于高安全等级区域，由属于高安全等级区域的人员控制和使用。某些业务系统的次要功能与根据主要功能所选定的安全区不一致时，可根据业务系统的数据流程将不同的功能模块（或子系统）分置于各安全区中，各功能模块（或子系统）经过安全区之间的通信来构成整个业务系统。与外部边界网络不存在联系的业务系统为孤立业务系统，对其划分规则不作要求，但需要遵守所在安全区的安全防护规定。安全区之间的横向隔离各分区之间采用专用安全隔离装置，达到或接近于物理隔离强度。具体隔离设备的选择不仅需要考虑网络安全的要求，还需要考虑带宽及实时性的要求。所有隔离设备必须是经过国家指定部门检测认证的国产设备。安全Ⅱ区与管理信息大区之间的隔离要求：安全Ⅱ区与管理信息大区之间必须采用电力专用横向单向安全隔离装置。专用横向单向安全隔离装置应该达到接近物理隔离的强度。严格禁止E-mail、Web、Telnet、Rlogin、FTP等通用网络服务和以B/S或C/S方式的数据库访问控制功能穿越专用横向单向安全隔离装置，仅允许纯数据的单向安全传输。专用横向单向安全隔离装置分为正向型和反向型。从安全Ⅱ区往管理信息大区必须采用正向安全隔离装置单向传输；由管理信息大区往安全Ⅱ区的少量单向数据传输必须采用反向安全隔离装置。反向安全隔离装置采取签名认证和数据过滤措施，仅允许纯文本数据通过，并严格防范病毒、木马等恶意代码。安全Ⅰ区与安全Ⅱ区之间的隔离要求：Ⅰ、Ⅱ区之间必须采用国产硬件防火墙、具有访问控制功能的设备或相当功能的设施进行逻辑隔离，应禁止E-mail、Web、Telnet、Rlogin、FTP等安全风险高的通用网络服务穿越安全区之间的隔离设备。安全区与远方通信的纵向安全防护要求安全Ⅰ区与各梯级电站连接时，须采用国家指定部门检测认证的电力专用纵向加密认证装置或者加密认证网关及相应设施，实现网络层双向身份认证、数据加密和访问控制。若暂时不具备条件，可用硬件防火墙或ACL技术的访问控制代替。管理信息大区应采用硬件防火墙或更高安全强度的设备接入企业数据网。处于外部网络边界的通信网关的操作系统应进行安全加固。根据具体业务的重要程度及信息的敏感程度，对各区的外部通信网关应该增加加密、认证和过滤的功能。传统的基于专用通道的通信不涉及网络安全问题，可采用线路加密技术保护关键业务。各安全区内部安全防护的基本要求禁止在安全Ⅰ区和Ⅱ区部署E-MAIL服务。禁止在安全Ⅰ区部署WEB服务。允许安全区Ⅱ内部采用B/S结构的业务系统，但仅限于业务系统内部使用。允许安全区Ⅱ纵向安全Web服务，经过安全加固且支持HTTPS的安全Web服务器和Web浏览工作站应在专用网段，Web浏览工作站与安全区Ⅱ业务系统工作站不得共用，而且必须由业务系统向Web服务器单向主动传送数据。对于重要业务（如SCADA/AGC）必须采用加密认证机制，对已有系统应逐步改造。应该考虑部署安全审计措施，应该把安全审计与安全网络管理系统、IDS管理系统、敏感业务服务器登录认证和授权、应用访问控制权限相结合。应该采取防恶意代码设施。病毒库和木马库的更新应该离线进行，不得直接从外部互联网下载。网络详细设计生产控制大区数据网流域电站至大唐集团广西分公司集控中心的系统主、备通道利用电力调度SDH传输网和电信公共传输网提供的以太网通道组网方案，应急通道为卫星通道。网络组网采用双路由星形网组网方案，对于不同业务采用VLAN划分，每个传输通道提供六个MSTP以太网口接口,其中五个供实时控制区,一个供非实时控制区使用。实时控制区网络采用三层交换机组网方式搭建，大唐集团广西分公司集控中心配置十台三层交换机，设备采用双电源，用于连接局域网设备。各站点配置两台交换机，形成冗余网络结构，连接网络上的计算机，实现数据交换功能。非实时控制区网络采用路由器和交换机组网方式搭建，大唐集团广西分公司集控中心配置两台路由器和一台骨干级交换机，设备采用双电源，用于连接局域网设备。各站点配置两台路由器和一台交换机，形成冗余网络结构，连接网络上的计算机，实现数据交换功能。管理信息大区网络系统管理信息大区的所有子系统主要包含：生产管理、主设备状态监测与状态检修决策支持、大坝安全监测与分析评估决策支持等，此网络部分应用部分利用电力调度SDH传输网和电信公共传输网提供的以太网通道组网方案,不配置应急通道.。管理信息大区网络采用路由器+交换机组网方式搭建，大唐集团广西分公司集控中心配置一台路由器和一台骨干级交换机，设备采用双电源，用于连接局域网设备。各站点配置一台路由器和一台交换机，连接网络上的计算机，实现数据交换功能。安全物理隔离设备在跨区数据传输链路上布署物理隔离设备。该设备具有如下功能：安全裁剪内核，系统