D5000智能電網(wǎng)監(jiān)控系統(tǒng)安全接入?yún)^(qū)功能實現(xiàn)

吳昊

緊跟電網(wǎng)系統(tǒng)規(guī)模不斷擴大的步伐，調(diào)度自動化系統(tǒng)需要采集監(jiān)視的數(shù)據(jù)規(guī)模也越來越大，除了采集常規(guī)的電廠和變電站信息，調(diào)度自動化系統(tǒng)也需要接入許多地方小水電等廠站信息，這些小水電站一般都不具備獨立的專用通信通道，需要采用公網(wǎng)方式進行通信。另一方面，隨著信息安全的重要性日益突出，如何通過公網(wǎng)安全地接入這些地方小水電信息，成為調(diào)度自動化系統(tǒng)需要考慮的一個重要問題。

1現(xiàn)狀

伴隨著電力事業(yè)總量不斷增長和高新軟件行業(yè)的興起，電網(wǎng)體系對安全性和穩(wěn)定性的需要逐步提升，電網(wǎng)體系迫切需要高新軟件技術(shù)為電網(wǎng)體系的控制系統(tǒng)提供全新的、能提高電網(wǎng)安全的數(shù)據(jù)調(diào)度解決方案，智能電網(wǎng)監(jiān)控系統(tǒng)是否能持續(xù)有效地運行與數(shù)據(jù)的穩(wěn)定接入和安全傳輸有著密不可分的關(guān)系。為了建立堅固的智能的電力網(wǎng)絡(luò)信息安全接入體系，也為了建立安全接入?yún)^(qū)的主要安全保護屏障，信息安全接入操作系統(tǒng)應(yīng)運而生。信息安全接入操作系統(tǒng)克服了智能電網(wǎng)的多種苛刻條件，使得電力智能工作站有實時監(jiān)控和安全接入的能力，電力能量控制系統(tǒng)會主動防御預(yù)警，是外網(wǎng)與電力內(nèi)網(wǎng)之間數(shù)據(jù)傳輸和交換的技術(shù)保障。

平臺開發(fā)的目的就是為滿足用戶需要，首先多項繁雜的網(wǎng)絡(luò)構(gòu)成其信息通道，其次是物理接入層，這樣安全接入系統(tǒng)就會逐漸變得成熟。再加上一些安全方面的基礎(chǔ)措施，如防火墻、IDS入侵檢測，如果有外網(wǎng)想接入安全區(qū)必須提供身份認證、安全接入，通過對用戶的篩選審核，對這些外網(wǎng)賬戶進行統(tǒng)一監(jiān)管。

D5000智能電網(wǎng)監(jiān)控系統(tǒng)是承載安全接入?yún)^(qū)的平臺，D5000智能電網(wǎng)監(jiān)控系統(tǒng)由安全一區(qū)、安全二區(qū)和安全三區(qū)組成。每個區(qū)的分工不同但都至關(guān)重要：安全一區(qū)是一些核心應(yīng)用，例如系統(tǒng)實時監(jiān)控、專線及網(wǎng)絡(luò)方式的廠站接入和數(shù)據(jù)處理，還有眾多的高級應(yīng)用軟件。安全二區(qū)的作用是實施已有線程的調(diào)度安排和安全排查等一些非實時操作。安全三區(qū)是信息管理大區(qū)，包括調(diào)度的進程管理、發(fā)布Web等功能。

網(wǎng)絡(luò)信息安全規(guī)范明確指出，一區(qū)與二區(qū)與三區(qū)兩兩之間需要十分嚴密的分隔線把它們進行隔離，這就要求在一、二區(qū)之間設(shè)置防火墻，一、三區(qū)之間應(yīng)設(shè)置正反向隔離，絕對不允許它們之間有未經(jīng)授權(quán)的訪問。

許多開發(fā)出來的高級應(yīng)用程序需要的基礎(chǔ)數(shù)據(jù)日漸增多，很多地級市及縣的地方小水電廠站，也有把這些信息接入的迫切需要。地方小水電廠站，大多是地處偏遠或者電網(wǎng)基礎(chǔ)設(shè)施沒有覆蓋到的地方，他們沒有與內(nèi)網(wǎng)專用通道連接的硬件條件和身份權(quán)限，所以接入系統(tǒng)必須采用公網(wǎng)方式，一般來說是用移動GPRS等無線通道，這樣雖然方便但是存在網(wǎng)絡(luò)安全隱患，例如外網(wǎng)可以通過這種連接方式盜取內(nèi)網(wǎng)信息、外網(wǎng)用戶惡意攻擊內(nèi)網(wǎng)，影響內(nèi)網(wǎng)的安全運行等，這樣后果不堪設(shè)想?？紤]到這種現(xiàn)象，D5000系統(tǒng)在接入使用公網(wǎng)方式通信的小水電站時，使用的是智能電網(wǎng)監(jiān)控系統(tǒng)的安全接入?yún)^(qū)方案，這個方案的原理是設(shè)置一個公網(wǎng)信息采集區(qū)，公網(wǎng)方式廠站通過與這個信息采集區(qū)、監(jiān)控系統(tǒng)通信進行信息采集與處理，但為了驗證身份和保證內(nèi)網(wǎng)的信息不被竊取，小水電站所在的公網(wǎng)與安全一區(qū)之間的隔離手段采用的是正反向隔離的方式。

2總體設(shè)計

公網(wǎng)安全接入?yún)^(qū)技術(shù)方案是通過在D5000系統(tǒng)上使用一體化集成的方法來完成。首先要配置2臺及以上的公網(wǎng)前置服務(wù)器，公網(wǎng)是智能調(diào)度自動化系統(tǒng)與遠程終端進行數(shù)據(jù)傳輸?shù)慕橘|(zhì)，傳輸過程中使用加密信息，就達到對小水電等非統(tǒng)調(diào)廠站遙信、遙測數(shù)據(jù)的實時監(jiān)視和控制。

用來數(shù)據(jù)采集的服務(wù)器是由模擬小廠站的公網(wǎng)前置服務(wù)器搭建而成，是一個單獨的應(yīng)用，實時系統(tǒng)和它的連接方式通常稱為正反向隔離。從全局來看，外網(wǎng)的前置服務(wù)器等于是電力系統(tǒng)安全一區(qū)數(shù)據(jù)采集服務(wù)器的外接設(shè)備，它的設(shè)置加大了安全一區(qū)的數(shù)據(jù)采集區(qū)域，一區(qū)實時系統(tǒng)還承擔(dān)著數(shù)據(jù)信息的維護工作。也就是說，在日常操作過程中，工作人員只需維護一區(qū)的數(shù)據(jù)信息，D5000系統(tǒng)通過正向隔離把安全一區(qū)和公網(wǎng)接入?yún)^(qū)的信息實時同步，方便簡潔。由于電力行業(yè)是國民生活的基礎(chǔ)設(shè)施，電力保護行業(yè)具有不容出錯的性質(zhì)，公網(wǎng)數(shù)據(jù)采集服務(wù)器使用的是主機正常工作，備用機器24小時待命的方式多機配置，當主機出現(xiàn)問題時第一時間切到備用設(shè)備，接收無線公網(wǎng)通道傳輸?shù)臄?shù)據(jù)。通信規(guī)約通常使用的是101規(guī)約，也有使用104規(guī)約的。數(shù)據(jù)經(jīng)公網(wǎng)接入前置服務(wù)器處理后，通過反向隔離裝置傳送到內(nèi)網(wǎng)系統(tǒng)。

公網(wǎng)安全接入?yún)^(qū)與小電站通過縱向加密裝置進行數(shù)據(jù)交換，公網(wǎng)接入信息化服務(wù)器通信機房的方式是通過電信運營商提供的網(wǎng)絡(luò)專線，連接到通信機房后再通過無線網(wǎng)絡(luò)連接至公網(wǎng)專用路由器。通信終端為D5000監(jiān)控系統(tǒng)為公網(wǎng)的數(shù)據(jù)交換提供可能，而主站與外網(wǎng)的數(shù)據(jù)交換則是通過專用網(wǎng)線直接連接。如果每個小廠站要連接到通信網(wǎng)絡(luò)，那么每個小廠站的通信終端就必須使用專屬的接入點名稱，小廠站的通信終端通過身份認證后就可以取得公網(wǎng)的私有IP地址。小廠站的通信終端與主站系統(tǒng)相結(jié)合為一個廣域的虛擬專用網(wǎng)絡(luò)，為了實現(xiàn)小廠站與主站的數(shù)據(jù)交換傳輸，自動化終端與主站系統(tǒng)的雙向通信鏈路開發(fā)需提上日程。因為要實現(xiàn)電網(wǎng)系統(tǒng)自動化，所以每個工作站均有一個唯一且固定的IP地址。安全接入?yún)^(qū)遵循電網(wǎng)系統(tǒng)4級系統(tǒng)保護要求，布置國產(chǎn)聯(lián)想服務(wù)器和華為網(wǎng)絡(luò)設(shè)備，采用國產(chǎn)麒麟及凝思操作系統(tǒng)、運用達夢金倉等安全數(shù)據(jù)庫。

3技術(shù)特點

智能電網(wǎng)調(diào)度控制系統(tǒng)D5000的安全接入?yún)^(qū)開發(fā)搭建時主要考慮實時庫與共享內(nèi)存相結(jié)合的技術(shù)，避免跨物理隔離的數(shù)據(jù)表下裝難題，簡單可靠。實時庫是一塊內(nèi)存區(qū)域，它是工作站下裝內(nèi)存的一部分，它的本質(zhì)是內(nèi)存數(shù)據(jù)庫，一種用實時數(shù)據(jù)模型構(gòu)筑的內(nèi)存數(shù)據(jù)庫，是為了更新速率快的數(shù)據(jù)和需要頻繁訪問的數(shù)據(jù)而設(shè)置，可以提高訪問數(shù)據(jù)庫的速率和避免有時間局限的進程。

在實時系統(tǒng)與數(shù)據(jù)庫技術(shù)相互碰撞的情況下，實時數(shù)據(jù)庫走上歷史舞臺，運用數(shù)據(jù)庫這把鑰匙來開實時系統(tǒng)中數(shù)據(jù)管理這把鎖，再合適不過。安全接入?yún)^(qū)的實時數(shù)據(jù)庫存儲的是調(diào)度自動化系統(tǒng)所需要的前置廠站、通道、規(guī)約、量測和參數(shù)等重要信息。為保證跨區(qū)采集數(shù)據(jù)的實時性，安全接入?yún)^(qū)大量采用共享內(nèi)存，用以保存廠站實時傳輸?shù)膱笪暮蛯崟r數(shù)據(jù)等快速變化信息。

由于一區(qū)與安全接入?yún)^(qū)之間設(shè)置了正反向隔離，工程技術(shù)人員沒法通過一塊區(qū)域去訪問另外一塊區(qū)域。但是這樣及其不方便，所以安全接入?yún)^(qū)與安全一區(qū)間搭建實施了多種類型的信息傳輸，實現(xiàn)電網(wǎng)內(nèi)部數(shù)據(jù)透明便于訪問和處理，方便值班人員跨區(qū)監(jiān)視實時數(shù)據(jù)，維護人員有可跨區(qū)維護通道，大大增進了工作效率。這些數(shù)據(jù)交互主要包括：前置配置表、通信廠站表和通道表等配置信息，以及與廠站的通信報文、遙測遙信數(shù)據(jù)等實時信息。

4發(fā)展趨勢

近年來，公網(wǎng)接入需求不斷增加，D5000系統(tǒng)的安全接入?yún)^(qū)技術(shù)已較為成熟，并在湖南、河南和陜西等多地的地區(qū)調(diào)度系統(tǒng)中得到應(yīng)用，為調(diào)度自動化系統(tǒng)的應(yīng)用分析提供了堅實的基礎(chǔ)數(shù)據(jù)支撐。當然，公網(wǎng)安全接入?yún)^(qū)技術(shù)還有一些改進和提高的地方，以適應(yīng)智能電網(wǎng)調(diào)度控制系統(tǒng)發(fā)展的需要。這些方面包括：一是對應(yīng)用支持的范圍更加廣泛，目前僅對SCADA穩(wěn)態(tài)監(jiān)控和PAS高級應(yīng)用的基礎(chǔ)模塊提供數(shù)據(jù)，未來還可以擴展到其他方面，包括配網(wǎng)自動化的應(yīng)用、保信應(yīng)用等領(lǐng)域。再一個是對公網(wǎng)通道的適應(yīng)性還可以更加廣泛，目前僅能適應(yīng)獨占方式的固定IP的通信方式，存在一些局限性。對采用可變IP通信的終端目前只能通過增加轉(zhuǎn)換設(shè)備進行通信，增加了通信成本及系統(tǒng)的復(fù)雜性，未來可以擴展到可變IP的通信方式支持，以適應(yīng)不同通道的要求。

最后公網(wǎng)通道都是租賃通道，一般根據(jù)流量收費，所以需要對公網(wǎng)接入的通信機制進行優(yōu)化，減少不必要的信息交互、節(jié)省費用。

相信在未來，安全接入?yún)^(qū)的天地會越來越廣闊。