2022流域水電集控中心網(wǎng)絡(luò)規(guī)劃設(shè)計方案

流域水電集控中心網(wǎng)絡(luò)規(guī)劃設(shè)計方案目錄23987_WPSOffice_Level11集控數(shù)據(jù)網(wǎng)絡(luò)設(shè)計 330136_WPSOffice_Level21.1總體規(guī)劃 35474_WPSOffice_Level21.2安全防護的總體策略 420292_WPSOffice_Level21.3網(wǎng)絡(luò)詳細設(shè)計 8集控中心數(shù)據(jù)網(wǎng)絡(luò)設(shè)計根據(jù)集控系統(tǒng)各類業(yè)務(wù)的需求，大唐集團廣西分公司集控中心、流域電站之間的通信通過集控數(shù)據(jù)網(wǎng)實現(xiàn)，集控數(shù)據(jù)網(wǎng)包括如下部分：控制區(qū)數(shù)據(jù)網(wǎng)、非控制調(diào)度數(shù)據(jù)網(wǎng)和管理信息大區(qū)數(shù)據(jù)網(wǎng)以及工業(yè)電視專用數(shù)據(jù)網(wǎng)。總體規(guī)劃集控數(shù)據(jù)網(wǎng)分為生產(chǎn)控制區(qū)與管理信息區(qū)：生產(chǎn)控制區(qū)業(yè)務(wù)包括：流域遠程實時監(jiān)控、水調(diào)自動化、主設(shè)備狀態(tài)監(jiān)測；管理信息區(qū)業(yè)務(wù)包括：大壩安全監(jiān)測與分析評估、信息通信綜合監(jiān)管、主設(shè)備狀態(tài)檢修決策支持、生產(chǎn)管理系統(tǒng)等。集控數(shù)據(jù)網(wǎng)是一個面向?qū)嶋H生產(chǎn)應(yīng)用的計算機傳輸網(wǎng)絡(luò)，是整個工程的基礎(chǔ)設(shè)施，所以必須確定好系統(tǒng)建立的目標及設(shè)計原則，以便最終建成的網(wǎng)絡(luò)是一個可靠、實用、先進、高效的計算機網(wǎng)絡(luò)。路由設(shè)計在進行路由設(shè)計時，可以采用靜態(tài)路由和動態(tài)路由兩種方案，結(jié)合通信建設(shè)的現(xiàn)狀，路由設(shè)計采用靜態(tài)路由，但所有路由設(shè)備應(yīng)支持動態(tài)路由。計算機網(wǎng)絡(luò)設(shè)計根據(jù)電監(jiān)會[2004]5號令《電力二次系統(tǒng)安全防護規(guī)定》及《全國電力二次系統(tǒng)安全防護總體方案》和國家有關(guān)部委相關(guān)規(guī)定的要求，綜合對總體網(wǎng)絡(luò)安全性的考慮，為保障各站點實時、安全、可靠地運行，避免與實時監(jiān)控?zé)o關(guān)的數(shù)據(jù)傳輸導(dǎo)致網(wǎng)絡(luò)堵塞，避免無關(guān)人員甚至黑客入侵電站實時監(jiān)控網(wǎng)絡(luò)，對電站設(shè)備的安全和運行進行干擾和破壞，本流域的計算機網(wǎng)絡(luò)擬采用目前主流的分層分布式系統(tǒng)結(jié)構(gòu)。大唐集團廣西分公司集控中心至各個站點的互聯(lián)采用多業(yè)務(wù)傳輸平臺(MSTP)組網(wǎng)方案，按多個相對獨立的計算機網(wǎng)絡(luò)設(shè)計，其中一個為控制區(qū)專用網(wǎng)絡(luò)，一個為非實時控制系統(tǒng)網(wǎng)絡(luò)，另一個為其它系統(tǒng)組成的綜合信息網(wǎng)絡(luò)，負責(zé)辦公自動化、檔案管理、數(shù)字視頻服務(wù)、網(wǎng)絡(luò)電話服務(wù)、消防、工業(yè)電視等等的需求。網(wǎng)絡(luò)之間不應(yīng)直接相聯(lián)，不同系統(tǒng)之間的數(shù)據(jù)通信必須采用經(jīng)國家有關(guān)部門認證的專用、可靠的安全隔離設(shè)施，例如采用經(jīng)認證的網(wǎng)關(guān)機和防火墻裝置、軟件包、設(shè)置共享數(shù)據(jù)服務(wù)以及其他必須的設(shè)施和措施等，避免無關(guān)人員入侵電站的計算機監(jiān)控系統(tǒng)，影響電站的安全運行。安全防護的總體策略調(diào)度數(shù)據(jù)網(wǎng)系統(tǒng)系統(tǒng)應(yīng)嚴格執(zhí)行[2004]電監(jiān)會5號令《電力二次系統(tǒng)安全防護規(guī)定》及《全國電力二次系統(tǒng)安全防護總體方案》的要求，進行安全防護。安全防護的重要措施是強化電力二次系統(tǒng)的邊界防護，同時對電力二次系統(tǒng)內(nèi)部的安全防護提出要求。為保證控制信息和敏感數(shù)據(jù)的信息安全，電力系統(tǒng)安全防護需要考慮基于TCP/IP的廣域網(wǎng)通信的信息安全。電力系統(tǒng)安全防護工作應(yīng)堅持安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證的原則，保證電力監(jiān)控系統(tǒng)和電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)的安全。安全分區(qū)：根據(jù)二次系統(tǒng)各業(yè)務(wù)系統(tǒng)的特性和對一次系統(tǒng)的影響程度進行分區(qū)，原則上劃分為控制區(qū)、非控制區(qū)和管理信息大區(qū)，所有系統(tǒng)都必須分置于相應(yīng)的安全區(qū)內(nèi)，納入統(tǒng)一的安全防護；重點保護實時控制等關(guān)鍵業(yè)務(wù)。網(wǎng)絡(luò)專用：建立專用數(shù)據(jù)網(wǎng)絡(luò)，與企業(yè)數(shù)據(jù)網(wǎng)絡(luò)實現(xiàn)物理隔離，各級安全區(qū)在縱向上應(yīng)在相同安全區(qū)進行互連。橫向隔離：采用不同強度的安全設(shè)備隔離各安全區(qū)，尤其是在控制區(qū)與非控制區(qū)、非控制區(qū)與管理信息大區(qū)之間實行有效安全隔離，隔離強度應(yīng)接近或達到物理隔離。縱向認證：采用認證、加密、訪問控制等技術(shù)措施實現(xiàn)數(shù)據(jù)的遠方安全傳輸以及縱向邊界的安全防護。安全區(qū)劃分原則按安全防護的規(guī)范及規(guī)定將調(diào)控系統(tǒng)原則上劃分為控制區(qū)(安全區(qū)I)和非控制區(qū)(安全區(qū)Ⅱ)和管理信息大區(qū)。安全區(qū)Ⅰ：控制區(qū)安全區(qū)Ⅰ中的業(yè)務(wù)系統(tǒng)或功能模塊的典型特征為：直接實現(xiàn)對一次系統(tǒng)的監(jiān)控功能，是電力生產(chǎn)的重要必備環(huán)節(jié)，實時在線運行，使用電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)或?qū)Ｓ猛ǖ劳ㄐ拧０踩珔^(qū)Ⅰ的典型系統(tǒng)包括SCADA/EMS系統(tǒng)、引供水系統(tǒng)中的閘門控制應(yīng)用等，其主要使用者為調(diào)度員和運行操作人員，數(shù)據(jù)實時性為秒級（或毫秒級），外部邊界的通信經(jīng)由電力調(diào)度數(shù)據(jù)網(wǎng)的實時子網(wǎng)和專用通道。安全區(qū)Ⅰ包括電力二次系統(tǒng)中最為關(guān)鍵的系統(tǒng)，是安全防護的重點和核心，安全等級最高。安全區(qū)Ⅱ：非控制區(qū)安全區(qū)Ⅱ中的業(yè)務(wù)系統(tǒng)或功能模塊的典型特征為：所實現(xiàn)的功能為電力生產(chǎn)的必要環(huán)節(jié)，但不具備控制功能，使用數(shù)據(jù)網(wǎng)絡(luò)，在線運行，與安全區(qū)Ⅰ中的系統(tǒng)或功能模塊聯(lián)系緊密。安全區(qū)Ⅱ的典型系統(tǒng)包括水調(diào)系統(tǒng)、繼電保護及故障錄波管理信息系統(tǒng)、電能量計量系統(tǒng)等，其面向的主要使用者分別為電力調(diào)度員、水電調(diào)度員、繼電保護人員等。在廠站端還包括電能量計量裝置、故障錄波裝置等。安全區(qū)Ⅱ的數(shù)據(jù)采集頻度是分鐘級、小時級。安全區(qū)Ⅲ：管理信息大區(qū)管理信息大區(qū)內(nèi)部在不影響生產(chǎn)控制大區(qū)安全的前提下，可以根據(jù)具體情況劃分安全區(qū)。調(diào)控系統(tǒng)按照目前的規(guī)劃設(shè)計內(nèi)容，本項目各個子系統(tǒng)及其安全防護區(qū)見下表：控制區(qū)非控制區(qū)管理信息大區(qū)（安全Ⅰ區(qū)）（安全Ⅱ區(qū)）（管理信息大區(qū)）1計算機監(jiān)控系統(tǒng)水情自動測報系統(tǒng)生產(chǎn)信息管理系統(tǒng)2電能量管理系統(tǒng)狀態(tài)檢修決策支持系統(tǒng)3繼電保護及故障錄波管理信息系統(tǒng)大壩安全檢測與分析評估決策支持系統(tǒng)4主設(shè)備狀態(tài)監(jiān)測工業(yè)電視系統(tǒng)5信息通訊綜合監(jiān)管系統(tǒng)業(yè)務(wù)系統(tǒng)或功能模塊置于安全區(qū)的規(guī)則根據(jù)業(yè)務(wù)系統(tǒng)或功能模塊的實時性、使用者、功能、場所、各業(yè)務(wù)系統(tǒng)的相互關(guān)系、廣域網(wǎng)通信的方式以及受到攻擊之后所產(chǎn)生的影響，分別置于相應(yīng)的安全區(qū)之中。實時控制系統(tǒng)或未來可能有實時控制功能的系統(tǒng)需置于安全Ⅰ區(qū)；電力二次系統(tǒng)中不允許把本屬于高安全區(qū)的業(yè)務(wù)系統(tǒng)遷移到低安全區(qū)域運行；但允許把屬于低安全區(qū)的業(yè)務(wù)系統(tǒng)的終端設(shè)備放置于高安全等級區(qū)域，由屬于高安全等級區(qū)域的人員控制和使用。某些業(yè)務(wù)系統(tǒng)的次要功能與根據(jù)主要功能所選定的安全區(qū)不一致時，可根據(jù)業(yè)務(wù)系統(tǒng)的數(shù)據(jù)流程將不同的功能模塊（或子系統(tǒng)）分置于各安全區(qū)中，各功能模塊（或子系統(tǒng)）經(jīng)過安全區(qū)之間的通信來構(gòu)成整個業(yè)務(wù)系統(tǒng)。與外部邊界網(wǎng)絡(luò)不存在聯(lián)系的業(yè)務(wù)系統(tǒng)為孤立業(yè)務(wù)系統(tǒng)，對其劃分規(guī)則不作要求，但需要遵守所在安全區(qū)的安全防護規(guī)定。安全區(qū)之間的橫向隔離各分區(qū)之間采用專用安全隔離裝置，達到或接近于物理隔離強度。具體隔離設(shè)備的選擇不僅需要考慮網(wǎng)絡(luò)安全的要求，還需要考慮帶寬及實時性的要求。所有隔離設(shè)備必須是經(jīng)過國家指定部門檢測認證的國產(chǎn)設(shè)備。安全Ⅱ區(qū)與管理信息大區(qū)之間的隔離要求：安全Ⅱ區(qū)與管理信息大區(qū)之間必須采用電力專用橫向單向安全隔離裝置。專用橫向單向安全隔離裝置應(yīng)該達到接近物理隔離的強度。嚴格禁止E-mail、Web、Telnet、Rlogin、FTP等通用網(wǎng)絡(luò)服務(wù)和以B/S或C/S方式的數(shù)據(jù)庫訪問控制功能穿越專用橫向單向安全隔離裝置，僅允許純數(shù)據(jù)的單向安全傳輸。專用橫向單向安全隔離裝置分為正向型和反向型。從安全Ⅱ區(qū)往管理信息大區(qū)必須采用正向安全隔離裝置單向傳輸；由管理信息大區(qū)往安全Ⅱ區(qū)的少量單向數(shù)據(jù)傳輸必須采用反向安全隔離裝置。反向安全隔離裝置采取簽名認證和數(shù)據(jù)過濾措施，僅允許純文本數(shù)據(jù)通過，并嚴格防范病毒、木馬等惡意代碼。安全Ⅰ區(qū)與安全Ⅱ區(qū)之間的隔離要求：Ⅰ、Ⅱ區(qū)之間必須采用國產(chǎn)硬件防火墻、具有訪問控制功能的設(shè)備或相當(dāng)功能的設(shè)施進行邏輯隔離，應(yīng)禁止E-mail、Web、Telnet、Rlogin、FTP等安全風(fēng)險高的通用網(wǎng)絡(luò)服務(wù)穿越安全區(qū)之間的隔離設(shè)備。安全區(qū)與遠方通信的縱向安全防護要求安全Ⅰ區(qū)與各梯級電站連接時，須采用國家指定部門檢測認證的電力專用縱向加密認證裝置或者加密認證網(wǎng)關(guān)及相應(yīng)設(shè)施，實現(xiàn)網(wǎng)絡(luò)層雙向身份認證、數(shù)據(jù)加密和訪問控制。若暫時不具備條件，可用硬件防火墻或ACL技術(shù)的訪問控制代替。管理信息大區(qū)應(yīng)采用硬件防火墻或更高安全強度的設(shè)備接入企業(yè)數(shù)據(jù)網(wǎng)。處于外部網(wǎng)絡(luò)邊界的通信網(wǎng)關(guān)的操作系統(tǒng)應(yīng)進行安全加固。根據(jù)具體業(yè)務(wù)的重要程度及信息的敏感程度，對各區(qū)的外部通信網(wǎng)關(guān)應(yīng)該增加加密、認證和過濾的功能。傳統(tǒng)的基于專用通道的通信不涉及網(wǎng)絡(luò)安全問題，可采用線路加密技術(shù)保護關(guān)鍵業(yè)務(wù)。各安全區(qū)內(nèi)部安全防護的基本要求禁止在安全Ⅰ區(qū)和Ⅱ區(qū)部署E-MAIL服務(wù)。禁止在安全Ⅰ區(qū)部署WEB服務(wù)。允許安全區(qū)Ⅱ內(nèi)部采用B/S結(jié)構(gòu)的業(yè)務(wù)系統(tǒng)，但僅限于業(yè)務(wù)系統(tǒng)內(nèi)部使用。允許安全區(qū)Ⅱ縱向安全Web服務(wù)，經(jīng)過安全加固且支持HTTPS的安全Web服務(wù)器和Web瀏覽工作站應(yīng)在專用網(wǎng)段，Web瀏覽工作站與安全區(qū)Ⅱ業(yè)務(wù)系統(tǒng)工作站不得共用，而且必須由業(yè)務(wù)系統(tǒng)向Web服務(wù)器單向主動傳送數(shù)據(jù)。對于重要業(yè)務(wù)（如SCADA/AGC）必須采用加密認證機制，對已有系統(tǒng)應(yīng)逐步改造。應(yīng)該考慮部署安全審計措施，應(yīng)該把安全審計與安全網(wǎng)絡(luò)管理系統(tǒng)、IDS管理系統(tǒng)、敏感業(yè)務(wù)服務(wù)器登錄認證和授權(quán)、應(yīng)用訪問控制權(quán)限相結(jié)合。應(yīng)該采取防惡意代碼設(shè)施。病毒庫和木馬庫的更新應(yīng)該離線進行，不得直接從外部互聯(lián)網(wǎng)下載。網(wǎng)絡(luò)詳細設(shè)計生產(chǎn)控制大區(qū)數(shù)據(jù)網(wǎng)流域電站至大唐集團廣西分公司集控中心的系統(tǒng)主、備通道利用電力調(diào)度SDH傳輸網(wǎng)和電信公共傳輸網(wǎng)提供的以太網(wǎng)通道組網(wǎng)方案，應(yīng)急通道為衛(wèi)星通道。網(wǎng)絡(luò)組網(wǎng)采用雙路由星形網(wǎng)組網(wǎng)方案，對于不同業(yè)務(wù)采用VLAN劃分，每個傳輸通道提供六個MSTP以太網(wǎng)口接口,其中五個供實時控制區(qū),一個供非實時控制區(qū)使用。實時控制區(qū)網(wǎng)絡(luò)采用三層交換機組網(wǎng)方式搭建，大唐集團廣西分公司集控中心配置十臺三層交換機，設(shè)備采用雙電源，用于連接局域網(wǎng)設(shè)備。各站點配置兩臺交換機，形成冗余網(wǎng)絡(luò)結(jié)構(gòu)，連接網(wǎng)絡(luò)上的計算機，實現(xiàn)數(shù)據(jù)交換功能。非實時控制區(qū)網(wǎng)絡(luò)采用路由器和交換機組網(wǎng)方式搭建，大唐集團廣西分公司集控中心配置兩臺路由器和一臺骨干級交換機，設(shè)備采用雙電源，用于連接局域網(wǎng)設(shè)備。各站點配置兩臺路由器和一臺交換機，形成冗余網(wǎng)絡(luò)結(jié)構(gòu)，連接網(wǎng)絡(luò)上的計算機，實現(xiàn)數(shù)據(jù)交換功能。管理信息大區(qū)網(wǎng)絡(luò)系統(tǒng)管理信息大區(qū)的所有子系統(tǒng)主要包含：生產(chǎn)管理、主設(shè)備狀態(tài)監(jiān)測與狀態(tài)檢修決策支持、大壩安全監(jiān)測與分析評估決策支持等，此網(wǎng)絡(luò)部分應(yīng)用部分利用電力調(diào)度SDH傳輸網(wǎng)和電信公共傳輸網(wǎng)提供的以太網(wǎng)通道組網(wǎng)方案,不配置應(yīng)急通道.。管理信息大區(qū)網(wǎng)絡(luò)采用路由器+交換機組網(wǎng)方式搭建，大唐集團廣西分公司集控中心配置一臺路由器和一臺骨干級交換機，設(shè)備采用雙電源，用于連接局域網(wǎng)設(shè)備。各站點配置一臺路由器和一臺交換機，連接網(wǎng)絡(luò)上的計算機，實現(xiàn)數(shù)據(jù)交換功能。安全物理隔離設(shè)備在跨區(qū)數(shù)據(jù)傳輸鏈路上布署物理隔離設(shè)備。該設(shè)備具有如下功能：安全裁剪內(nèi)核，系統(tǒng)