电力调度自动化系统的分区网络架构

摘要

本发明公开电力调度自动化系统的分区网络架构，由安全Ⅰ区组网模块、安全Ⅱ区组网模块和安全Ⅲ区组网模块组成，每一组网模块包括前端网络单元、本区的业务系统单元，以及与该业务系统单元相连的后端网络单元，其中，所述前端网络单元包括与纵向互联网通过竖井式的独立访问通道相连的前置交换机，该前置交换机与本区的业务系统单元相连；所述后端网络单元包括与业务系统单元相连的核心交换机。采用本发明，满足多业务数据融合和协同带来的对网络通信传输能力和传输安全的更高需求，达到二次安全防护要求，为二次一体化的实施提供安全高效的基础网络。

说明书

技术领域

本发明涉及电力系统安全管理技术，特别是涉及电力调度自动化系统的分 区网络架构。

背景技术

目前，我国电网的调度主站端仅网、省两级就建设了各类系统多达上百套， 厂站端二次设备及系统的部署因为不同的应用需求也非常繁杂。这些广泛分布 在主站端和厂站端的二次系统在功能上能够初步满足当前电网运行的基本要 求，但由于技术发展的阶段性、系统功能目标的单一性，以及专业分工等因素， 系统建设、运行维护和管理的问题也逐渐暴露出来。例如，现有二次系统建设 缺乏统一的协调，网、省、地、县、厂站各层级，监视、控制、保护、分析各 专业系统更多地关注了局部问题，对于全网性、跨专业、跨部门的协同作业要 求既缺乏相应标准的支持，也缺乏统一的技术架构，导致系统功能分散、信息 孤岛现象突出，相互之间的协调控制困难，不同专业的系统及装置缺乏配合， 厂站之间也缺乏配合，协调运行效率低下，难以支持各专业间的协同作业，且 运行维护工作量巨大。

为此，我国结合电网运行特点，充分吸收国际先进理念，开展二次系统一 体化的研究，建设满足复杂大电网运营要求的新一代一体化电网运行智能系统 （operation smart system，OS2）。.

但是，基于一体化电网运行智能系统（OS2）下的二次安全防护技术仍处于 空白，如何在打破信息孤岛的情况下，保障信息安全，成为目前亟待解决的问 题。

发明内容

基于此，有必要针对上述问题，提供一种电力调度自动化系统的分区网络 架构，能够为电网二次一体化实施提供一种安全高效的网络架构。

一种电力调度自动化系统的分区网络架构，由安全Ⅰ区组网模块、安全Ⅱ 区组网模块和安全Ⅲ区组网模块组成，每一组网模块包括：前端网络单元、本 区的业务系统单元，以及与该业务系统单元相连的后端网络单元，其中，

所述前端网络单元包括与纵向互联网通过竖井式的独立访问通道相连的前 置交换机，该前置交换机与本区的业务系统单元相连，用于从所述纵向互联网 采集数据；

所述后端网络单元包括与业务系统单元相连的核心交换机，用于提供本区 的业务系统单元与数据共享单元之间的信息交互，以及跨安全区的业务系统单 元之间的信息交互。

在其中一个实施例当中，所述业务系统单元，包括：

至少一个业务系统，各业务系统单独组建子网，业务系统之间通过所述核 心交换机进行信息交互，实现逻辑隔离。

在其中一个实施例当中，所述数据共享单元包括Ⅰ/Ⅱ区数据中心系统和Ⅲ 区数据中心系统，其中，

所述Ⅰ/Ⅱ区数据中心系统通过横向互联防火墙分别与Ⅰ区的后端网络核心 交换机、Ⅱ区的后端网络核心交换机相连；

所述Ⅲ区数据中心系统通过Ⅲ区交换机与后端网络相连，并与所述Ⅲ区的 核心交换机相连；

所述Ⅲ区交换机与所述Ⅱ区的核心交换机之间还包括正反向隔离装置，用 于所述Ⅰ/Ⅱ区数据中心系统和所述Ⅲ区数据中心系统之间的信息同步；

所述Ⅲ区数据中心系统通过Ⅲ区的核心交换机及Ⅲ区出口防火墙，与外部 网络完成信息交互。

实施本发明，具有如下有益效果：

本发明方案针对以上需求，提出一种电力调度自动化系统分区网络架构的 实现方案，该架构遵从电监会和南方电网的二次安全防护相关标准，并利用最 新的网络防火墙和隔离传输技术，构建一种新型安全高效的组网架构。本架构 由前后台网络组成，前后台网络完全分开，后端网络首先实现了各业务系统各 自组网并与主干网相连，形成安全区内分级结构化网络结构，采用隔离防火墙 技术构建横向Ⅰ、Ⅱ区共享数据访问区，采用高性能隔离传输技术构建跨安全 Ⅰ/Ⅱ、Ⅲ区传输，形成了安全区间满足电力二次安防要求的高速网络架构；前 端网络用于数据采集和纵向数据传输，采用竖井式独立传输通道，既保证了安 全分区要求，又满足了横向高效传输，为二次一体化的实施提供了可靠的基础 支持。

附图说明

图1为本发明电力调度自动化系统的分区网络架构的示意图；

图2为本发明电力调度自动化系统的分区网络架构的跨安全区数据同步示 意图；

图3为本发明电力调度自动化系统的分区网络架构的I/II区数据中心系统结 构示意图；

图4为本发明电力调度自动化系统的分区网络架构的实施例示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明 作进一步地详细描述。

为了提高电网综合运行水平，解决目前电网自动化系统信息孤立、协作困 难等问题，南方电网提出并制定了二次一体化技术标准(OS2)，以整合二次系统， 打通各自动化专业和各级电网之间的壁垒，加强跨业务横向数据交换和协同， 提高电网的综合分析决策和运营能力，同时还必须保证电网运行的信息安全。 因此，对二次系统的网络架构提出了新的挑战，在保证满足二次安全防护要求 的同时，必须提供跨区跨级的高效能通信通道支持。

图1为本发明电力调度自动化系统的分区网络架构的示意图，如图所示， 由安全Ⅰ区组网模块、安全Ⅱ区组网模块和安全Ⅲ区组网模块组成，每一组网 模块包括：前端网络单元、本区的业务系统单元，以及与该业务系统单元相连 的后端网络单元，其中，

所述前端网络单元包括与纵向互联网通过竖井式的独立访问通道相连的前 置交换机，该前置交换机与本区的业务系统单元相连，用于从所述纵向互联网 采集数据；

所述后端网络单元包括与业务系统单元相连的核心交换机，用于提供本区 的业务系统单元与数据共享单元之间的信息交互，以及跨安全区的业务系统单 元之间的信息交互。

本案的电力调度自动化系统分区网络架构基于南方电网二次一体化（OS2） 技术体系标准，严格遵守电监会和南方电网的二次安全防护相关标准，并结合 省级调度系统特点设计，采用后端网络和前端网络分离的结构，前端网络采用 竖井式的独立访问通道,负责数据采集以及纵向业务互联；后端网络主要提供本 单位内部业务交互，各安全区内部业务系统单独组建子网，业务系统之间逻辑 隔离，不允许业务间直接的访问，Ⅰ、Ⅱ区和Ⅲ区分别从后端网络组建生产大 区综合数据中心子网和管理大区综合数据子网，将各业务的数据和服务集中在 此网络，为各业务的数据共享和交互提供支持。

各安全区前后端网络分离：后端网络支持区内分级横向数据交互，安全区 之间（Ⅰ/Ⅱ区与Ⅲ区间）采用高性能的横向隔离传输；前端网络支持竖井式的 独立访问通道，通过各业务系统的前置通信功能接入业务系统。前后端网络无 物理通道，实现分离，前后端网络的数据交换由业务系统来完成，这种架构设 计不仅提高了安全性，降低了纵向入侵的风险，而且减少了前端通道间的干扰 和通信负载，也降低了前后端网络之间的通信干扰。

在其中一个实施例当中，所述业务系统单元，包括：

至少一个业务系统，各业务系统单独组建子网，业务系统之间通过所述核 心交换机进行信息交互，实现逻辑隔离。

各安全区内后端网络的两级结构：各安全区内后端网络核心交换机将本区 网络虚拟成多个独立的子网作为业务子网，用于不同业务系统的接入，从而形 成“核心交换机-业务子网”的两级网络，将本区各业务系统部署在独立的业务 子网里，从而既保证各业务系统之间既保证逻辑隔离，但可与本区的综合数据 网络实现安全访问。这种架构能有效降低网络报文干扰和数据干扰。同时，如 果核心交换机端口不够，也可以连接新的交换机作为延伸，而业务子网的逻辑 划分方式不会受到影响。

（1）网络分级有效降低网络报文。本架构既满足各业务系统内部高速实时 交互要求，又可以通过跨业务系统的后端总线和数据中心DC12子网或数据中心 DC3子网来实现数据共享和服务协同，还可以避免业务之间的海量内部组播和 广播报文对后端主网络和其它业务网络造成影。

（2）数据分级有效降低数据干扰。分层的网络架构使得数据传输也可以分 级结构，通过业务系统的功能设计，将冗余数据和中间数据控制在业务子网的 方位内，有效降低冗余数据和中间数据对后端核心业务网络以及数据中心DC12 子网或数据中心DC3子网的干扰，同时还可提高安全区内不同业务系统之间的 防护水平，防止攻击者利用单个业务系统安全漏洞进入后台网络，进而入侵安 全区内其他业务系统。

图2为本发明电力调度自动化系统的分区网络架构的跨安全区数据同步示 意图。

在其中一个实施例当中，所述数据共享单元包括Ⅰ/Ⅱ区数据中心系统和Ⅲ 区数据中心系统，其中，

所述Ⅰ/Ⅱ区数据中心系统通过横向互联防火墙分别与Ⅰ区的后端网络核心 交换机、Ⅱ区的后端网络核心交换机相连；

所述Ⅲ区数据中心系统通过Ⅲ区交换机与后端网络相连，并与所述Ⅲ区的 核心交换机相连；

所述Ⅲ区交换机与所述Ⅱ区的核心交换机之间还包括正反向隔离装置，用 于所述Ⅰ/Ⅱ区数据中心系统和所述Ⅲ区数据中心系统之间的信息同步；

所述Ⅲ区数据中心系统通过Ⅲ区的核心交换机及Ⅲ区出口防火墙，与外部 网络完成信息交互。

Ⅲ区数据中心(以下简称DC3)：Ⅲ区从后端网络引出子网组建DC3子网， 实现本区内部业务之间的数据共享和跨安全区交互。Ⅲ区数据中心的服务器一 端从与Ⅱ区后端网络通过隔离阵列相联，另一端与Ⅲ区后端网络相连，通过隔 离阵列与DC12实现跨安全区数据同步。Ⅲ区的各业务系统通过DC3实现对本 区数据的存储访问以及对Ⅰ、Ⅱ区同步过来的业务数据的访问。

DC12和DC3之间的高性能安全区隔离和通信技术：包括隔离设备和集中 数据传输方法。

（1）采用网络隔离阵列。DC12和DC3之间的网络隔离传统采用正反向网 络隔离装置，其通信通道有限，并发性能不足，影响了跨安全区的数据交换性 能，本架构采用新型网络隔离设备阵列，让多个隔离设备同时并行、冗余地进 行数据传输，在保证安全性的同时，以提高跨安全区数据在网络间的整体传输 速度。

（2）采用集中数据传输。跨安全区的数据传输，传统上由安全区两侧业务 之间独立进行，既复杂又不利于网络负载的统一调配，客观上也影响了跨区传 输的效率。本架构采用集中数据传输，即数据在DC12和DC3之间传输，各业 务系统直接访问各自安全区的数据中心(DC12或DC3)，而不用关心数据的来源 和去向。由数据中心(DC12或DC3)对跨安全区交换的数据、优先级、同步周期 进行统一配置，按照同步配置执行跨安全区通信，并对网络服务质量和网络负 载均衡进行统一管理，可以大大提高跨安全区数据交换的效率和质量。

图3为本发明电力调度自动化系统的分区网络架构的I/II区数据中心系统结 构示意图。如图3所示，所述Ⅰ/Ⅱ区数据中心系统，包括：

安全策略单元，用于检测Ⅱ区业务系统单元发起的访问，仅允许对属于该 II区业务系统单元的业务范围的数据实现自由访问。

I、II区共享数据中心(以下简称DC12)：二次一体化要求各业务之间的交互 和协作是通过数据中心子网来实现，不仅各安全区内的业务之间交互和协作必 须通过数据中心实现，跨安全区的交互和协作也是如此。从后端网络引出VLAN 子网络组建子网，部署DC2，将I、II区各业务的数据集中在此，同时提供数据 访问接口和安全策略控制。根据电监会和南方电网的二次安全防护标准要求， 通过网络访问控制和逻辑策略控制两个层次，来保证Ⅰ、Ⅱ区数据访问安全。

（1）网络访问控制：DC12子网部署在Ⅰ区后端业务网络防火墙外，并通 过防火墙与Ⅱ区隔离，利用网络防火墙的策略配置，使其安全级别略低于Ⅰ区， 比Ⅱ区高。即与Ⅰ区和ⅠI区之间分别用防火墙隔开，允许Ⅰ区业务完全访问 DC12子网，而但DC12不能主动发起对Ⅰ区业务的任何反向访问；DC12子网 可以完全访问Ⅱ区业务，但Ⅱ区业务必须经网络端口和逻辑安全策略控制访问 DC2子网。

（2）逻辑策略控制：逻辑策略控制主要是针对Ⅱ区业务发起对DC12的访 问，根据安全规范要求，Ⅱ区业务只有对Ⅱ区业务相关数据有完全访问权限， 以及对Ⅰ区开放给Ⅱ区的数据有授权访问。这种安全需求无法通过网络层面（防 火墙）的配置实现，只有DC12提供安全策略控制来过滤Ⅱ区发起的访问。DC12 在数据访问接口外，设置一个安全策略控制模块，所有Ⅱ区业务发起的访问， 都经过此模块，然后再进入数据访问接口。安全策略可以人工或自动配置，设 置Ⅱ区允许对DC12子网中属于II区业务范围的数据实现自由访问，对Ⅰ区开 放给Ⅱ区的数据只读或完全访问，对其他数据不能访问。

DC12存储和管理Ⅰ、Ⅱ区的所有业务数据，为Ⅰ、Ⅱ区的综合利用提供数 据支持，这种架构在满足电监会的安全区规范、保证了实际访问安全的同时， 又为Ⅰ、Ⅱ区之间的数据交换提供了便捷的渠道和手段，提高了综合业务水平， 并且减少了数据中心的硬件投资和数据同步的开销。

图4为本发明电力调度自动化系统的分区网络架构的实施例示意图。

与Ⅰ区的核心交换机相连的Ⅰ区备份系统，用于为Ⅰ区的后端网络进行备 份；与Ⅲ区的核心交换机相连的Ⅲ区备份系统。用于为Ⅲ区的后端网络进行备 份。

与所述Ⅰ区组网模块的前端网络单元相连的纵向互联网为实时VPN网络；

与所述Ⅱ区组网模块的前端网络单元相连的纵向互联网为非实时VPN网 络；

与所述Ⅲ区组网模块的前端网络单元相连的纵向互联网为综合业务数据网 络。

本方案采用各安全区前后台网络分开的网络架构，后端网络支持区内横向 数据交互，区间（Ⅰ/Ⅱ区与Ⅲ区之间）性能集中横向隔离传输，前端网络采用 竖井式的独立访问通道，通过业务系统的前置通信功能接入业务系统。这种架 构设计不仅提高了安全性，降低了纵向入侵的风险，而且减少了前端通道间的 干扰和通信负载，也降低了前后端网络之间的通信干扰。

另外，本方案采用各安全区内的业务系统采用核心业务交换机虚拟成独立 的业务子网，各业务系统之间逻辑隔离，但可与本区的综合数据网络实现安全 访问。这种架构既满足各业务系统之间可以通过跨业务系统的后端总线和数据 中心子网来实现数据共享和服务协同，又可以避免业务之间的内部报文和广播 对后端主网络和其它业务网络造成影响满足各业务系统内部高速实时交互要 求。此外，本架构的数据传输是一种分级结构，分为业务内部的数据和业务对 外共享数据，通过这种分级筛选，可以有效降低冗余数据和中间数据对数据中 心子网的干扰，同时还可提高安全区内不同业务系统之间的防护水平，防止攻 击者利用单个业务系统安全漏洞进入后台网络，进而入侵安全区内其他业务系 统。

综上所述，本方案采用组建“1.5区”生产大区数据中心子网的网络架构， 从控制区后端核心业务网络引出业务网络，部署在Ⅰ区防火墙外，并通过防火 墙与Ⅱ区逻辑隔离，利用网络防火墙的策略配置，使其安全级别略低于Ⅰ区， 比Ⅱ区高。即与Ⅰ区和ⅠI区之间分别用防火墙隔开，允许Ⅰ区完全访问生产大 区数据中心子网，但生产大区数据中心子网不能主动发起对Ⅰ区的任何反向访 问，生产大区数据中心子网可以完全访问Ⅱ区，但Ⅱ区必须经安全策略控制访 问生产大区数据中心子网。跨区安全策略配置方面，可设置Ⅱ区允许对生产大 区数据中心子网中属于II区业务范围的数据实现自由访问，对属于Ⅰ业务范围 的数据不能访问或只读访问。这种架构在实现安全分区规范、保证了实际访问 安全的同时，又为Ⅰ、Ⅱ区之间的数据交换提供了便捷的渠道和手段。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细， 但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域 的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和 改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附 权利要求为准。