电站调度数据网接入及二次系统安全防护工程初步设计报告3

四川省XX县XX、XX电站调度数据网接入及二次系统安全防护工程初步设计设计单位XXXX电力设计咨询有限公司二一二年三月1目录1工程简介42设计总则521设计依据522设计范围523设计原则53业务种类及传输需求分析631业务种类632四川电力调度数据网络传输的信息633网络业务传输需求分析74技术体制75网络拓扑结构86XX、XX梯级电站通信现状97XX、XX梯级电站接入拓扑98厂站业务接入方案1081业务系统接入原则1082远动信息接入1183电能量采集系统/发电计划申报系统129调度数据网设备配置及技术要求1491网络设备的配置原则1492路由器1493三层交换机1894设备机械结构及工艺要求1995环境条件2010机房布置及要求2111通道要求2112水电站二次系统安全防护总体框架要求222121电力二次系统安全防护的特点22122总体安全策略23123总体防护方案2313XX、XX梯级电站二次安防方案27131安全分区27132安全区I安全防护28133安全区II安全防护2914二次系统安全管理体系建设31141建立完善的安全管理组织机构31142安全评估的管理32143工程实施过程中的安全管理32144设备、应用及服务的接入管理33145建立日常运行的安全管理制度3315安全防护产品技术要求36151纵向加密认证装置技术要求36152主机加固软件技术要求37153入侵检测系统技术要求38154漏洞扫描系统技术要求40155安全审计管理平台43156防病毒系统4416投资估算表4531工程简介XX、XX梯级电站位于四川省XXXX县境内，是XX在XX县境内梯级开发的第一、二级电站，均为引水式电站。XX水电站距XX县城约130KM，距平武县城约73KM；电站装机容量224MW，两台机组接成发电机变压器组单元接线,分别接容量为315MVA的主变压器各一台，110KV侧母线采用单母线接线。XX水电站距XX县城约138KM，距平武县城约65KM；电站装机容量222MW，发电机变压器组合为单元接线，分别接容量为90MVA和315MVA的主变压器各一台，90MVA变压器为三圈变压器，110KV侧吸收XX电站电能升压至220KV，105KV侧吸收本电站1机电能，2机与2主变接为单元接线；220KV侧采用单母线接线。梯级电站采用集中控制模式，集控中心设于XX电站内。2006年10月在四川电力调度数据网厂站接入工作会上，四川省调根据四川电网“十一五”二次系统规划，对水电站调度自动化信息接入省调提出了新要求，要求水电站应组织电力调度数据网络（主通道）和常规远动通道（备用通道），以直采直送方式将水电站调度自动化信息传送到四川省调。根据四川电网“十一五”二次系统规划方案，按照电力二次系统安全防护规定和全国电力二次系统安全防护总体方案的要求，为防范对电厂计算机监控系统及调度数据网络的攻击侵害及由此引起的电力系统事故，保障电力系统的安全稳定运行，建立和完善电网和电厂计算机监控系统及调度数据网络的安全防护体系。实施方案应满足电力二次系统安全防护总体方案电监安全200634号文的要求。为适应省调这一最新要求，XX、XX梯级电站按四川电力调度数据网双平面接入要求分别接入四川省级调度数据接入网和XX地级调度数据接入网，数据网设备按双套配置，在XX、XX梯级电站配置接入路由器2台和三层交换机4台。接入方案按国家电网调度数据网第二平面网络4（SPDNET2）总体技术方案的要求执行。同时在电厂侧配置纵向加密认证装置，实现电厂与省调通信的纵向安全防护体系。2设计总则21设计依据（1）四川电网“十一五”二次系统规划；（2）国家电力调度数据网络总体设计技术方案；（3）四川电力调度数据网络初步设计和技术规范书；（4）电力二次系统安全防护总体方案，电监安全200634号文。22设计范围（1）依据四川电力调度数据网一期工程初步设计中所确定的原则和四川省电网公司调度生产现有需求及发展需要，对水电站和调度相关的业务种类、需求及流量进行分析和预测，确定XX、XX梯级电站接入四川电力调度数据网所采用的网络技术体制及接入方案。（2）进行网络拓扑结构、网络方案设计，提出网络功能和业务范围、网络安全、网络管理等方面的要求。（3）提出各类承载业务系统的接入方案。（4）根据业务和性能要求，提出网络设备配置方案及技术指标要求。（5）提出工程的主要设备清册。23设计原则XX、XX梯级电站接入四川电力调度数据网方案规划设计的主要原则如下（1）接入方案应满足电监会5号令的要求，确保电网和电厂计算机监控系统及调度数据网络等电力二次系统的安全。（2）接入方案应满足四川电力调度数据网工程设计中有关厂站接入5的要求。（3）接入方案应满足四川电力调度生产各种业务的需要，并应充分考虑网络技术的发展方向，网络平台应具有高度的灵活性、适应性和良好的可扩展性，以满足目前和未来的网络需求。（4）接入方案应具有良好的服务质量保证机制，满足四川电网调度生产所需的网络功能和承载能力。（5）接入方案应满足XX、XX梯级电站安全、可靠和高效地向四川省调传送相关业务数据的要求。3业务种类及传输需求分析31业务种类（1）调度自动化数据业务调度自动化数据有两类，一类是保证电网安全、稳定、经济运行所必需的电网运行状态的实时监控数据；另一类是EMS系统实现网络分析的高级应用软件所需要的准实时数据。（2）电力市场数据电力市场数据包括公司内部电力市场技术支持系统之间交换的数据，各个系统采集的各自需要的数据，公司交易中心与其它公司交易中心之间交换的数据。这些数据用于电力市场交易、查询、发布和结算，其覆盖面广，信息量大，对数据可靠性、安全性、完整性、准确性均有很高要求。电力市场数据内容主要有电能计量数据、现货交易数据（负荷、电量、报价等）、期货交易数据（负荷、电量、报价等）、市场其它信息等。（3）电能量信息数据、系统继电保护及故障录波信息数据、安全自动装置数据业务以及保护记录的历史数据的非实时数据传输。32四川电力调度数据网络传输的信息四川电力调度数据网络传输的信息可以分为以下二类（1）实时和准实时信息6远动信息水调自动化信息保护故障信息处理系统信息相角监测信息EMS系统之间交换的用于网络分析的准实时数据电力市场实时信息交换通信监测系统信息（2）非实时信息电力市场数据（含电能量计量数据）继电保护类信息安全稳定控制系统数据运方类信息33网络业务传输需求分析上述各类业务信息的传输优先级、传输频度、传输时延、传输的可靠性等要求各不相同，其传输需求的分析结果可参见下表表31各类业务数据传输需求一览表序号业务种类传输优先级传输频度可靠性1实时数据（1）远动数据高秒级高（2）EMS实时数据高秒级高（3）电力市场实时数据高秒级高2非实时数据（1）电能量计量数据较高分钟级高（2）电力市场非实时数据较高分钟级高（3）水调自动化数据较高分钟级高7（4）保护故障数据较高随机高4技术体制在四川电力调度数据网一期工程已经明确电力调度数据网采用IP技术体制，即采用IPOVERSDH技术组网，实现调度数据网和电力综合业务数据网的物理隔离（SDH层面隔离）。该体制具有以下优点（1）符合调度应用特性。电力调度应用系统特性相对较单一，基本是IP业务，从应用特性看，应直接采用IP交换网络。（2）IPSDH网络开销小，传输效率高。（3）网络简洁，设备投资少。（4）网络层次简洁，复杂度低，利于日常运行维护。IP路由设备与SDH/PDH设备接口简单、标准，便于在故障情况下快速定位和故障处理。（5）调度IP业务与其他IP业务之间是物理隔离，网络安全性好，有利于系统整体安全策略的制定和部署。根据IP技术发展的趋势和调度数据网业务的需求，根据国调二次系统安全防护体系的要求，采用基于BGP/MPLSVPN的技术在调度数据网内划分两个VPN实时控制VPN和非控制生产VPN，分别供安全区I（实时控制区）和安全区II（非控制生产区）广域数据传输用。调度数据网采用MPLSVPN实现业务间的安全隔离。路由协议采用OSPF，通过建立多区域并和IP地址规划配合，减少路由表条目，避免路由翻动对区域外网络的影响。5网络拓扑结构（1）分层结构基于业务量的需求和网络可扩展性的原则，考虑网络运行维护要求，四川调度数据网采用三层结构，即核心层、骨干层、接入层。XX、XX梯级电站为接入层节点。（2）标准化和开放性采用的网络技术应符合国际标准及国内标8准，满足信息准确、安全、可靠地交换传输。网络设备应有开放的接口，拥有良好的维护、测量及管理手段，实现统一网管。（3）业务管理能力网络需向用户提供不同类型的服务，应有良好的业务管理能力。（4）统一网管网络采用统一的分级、分权管理能力的网管系统。（5）扩展性考虑到用户数量和业务种类的变化，网络要建成完整统一、组网灵活、易于扩展的网络平台，能随需求变化而扩展。（6）安全可靠性整个网络要安全稳定，支持网络节点的备份和线路保护，提供网络安全防范措施。（7）实时性网络应满足调度业务实时性要求。6XX、XX梯级电站通信现状XX、XX梯级电站的对外通信状况如图61所示。7XX、XX梯级电站接入拓扑目前网省调出于流域安全、电网稳定控制和电力市场水电优先、电能量关口数据获取等原则要求直接从水电站现场的业务系统或采集装置上采集数据，其业务流量模型如图71所示省调地调川北光纤环网水晶变电站小河电站丰岩堡电站图61小河、丰岩堡梯级电站通信网络示意图9图71XX、XX梯级电站业务流量模型按照四川省调拟定四川电力调度数据网接入典型方案的要求，XX、XX梯级电站应考虑配置接入节点设备。如图72所示图72XX、XX梯级电站接入拓扑8厂站业务接入方案81业务系统接入原则根据全国电力二次系统安全防护总体方案的要求根据全国电力二次系统安全防护总体方案的要求，XX、XX梯级电站的各类业务按安全等级划分为2个区，要求建立2个VPN分别进行信息交换安全区I是生产控制区，凡是具有实时监控功能的系统或其中的监控功能部分均属于安全区I，本工程中主要是包括XX、XX梯级电站的计算机监控系统；安全区II是非生产控制区，原则上不具备控制功能的生产10业务和系统中不进行控制的部分均属于安全区II，本工程中主要是包括电能量计量系统、发电计划申报系统终端等。四川调度数据网采用三层结构核心层、骨干层和接入层。省调为核心层，地调为骨干层，XX、XX梯级电站数据网络位于接入层。拟在XX、XX梯级电站设置2套数据专网柜，由SDH设备2M通道将所有信息传至省调、XX地调。厂站接入如图81所示，在厂站各业务接入节点配置接入路由器及三层交换机，采用VLAN技术，每个VPN接入一台三层交换机，两台三层交换机接入厂站路由器。图81厂站业务系统接入方案示意图82远动信息接入通过XX、XX梯级电站站内综合计算机监控系统的主备双通信服务器，采用调度数据网网络传输链路为主通道，常规专线通道为备用通道，通过101、104规约向四川省主调和备调传送相关远动数据信息。图82为远动信息接入示意图11图82计算机监控系统接入方案示意图83电能量采集系统/发电计划申报系统四川电网电力市场支持系统主站设在四川省电力公司调度中心，由统一的网络平台、电量采集系统、发电计划申报管理系统、考核结算系统、信息发布系统、调度自动化系统（EMS）系统组成，是四川电力市场正常运转必不可少的技术基础。省调侧电力市场技术支持系统各子系统建立在一个统一的网络平台上，各子系统通过网络交换机互联，相互交换数据。省调电量采集主站系统采用电力调度数据专网网络数据传输为主，拨号方式数据传输为辅，抄录电站端电量数据。站端发电计划申报管理系统通过电力调度数据专网网络数据传输为主，拨号方式备用的结构访问主站系统，上报和获取计划和其它市场信息。如下图所示12图83电能量采集装置、发电计划申报系统接入9调度数据网设备配置及技术要求91网络设备的配置原则必须具备高可靠性及高冗余性；必须能够提供故障隔离功能；必须具有迅速升级能力；必须具有较少的时延；必须具有良好的可管理性。同时还需要考虑路由器的处理性能；网络的可靠性；网络的扩展能力；网络的安全性。92路由器921路由器基本功能要求路由器设备必须实现以下功能。对于所提供路由器设备，投标人应结合下述功能要求详细进行逐条说明。（1）应支持将IP地址与相应连接到的网络的链路层地址相互映射。例如将IP地址转换成以太网硬件地址等（ARP以及RARP）。13（2）应能支持OSPFV2或/和ISIS和RIPV2等内部网关协议（IGP）与其它同一自治域（AS）中路由器交换路由信息及可达性信息。支持BGP4外部网关协议与其它自治域交换拓扑信息。（3）应能提供系统网络管理和控制机制，包括存储/上载配置、诊断、升级、状态报告、异常情况报告及控制等。并应能提供包括数、字节数、端口、业务类型等信息统计功能。（4）应能提供多种可选物理层传输接口和适配功能。特别是，支持多个E1/G703接口的绑定功能。（5）应能提供组播功能。（6）应能提供虚拟专网（VPN）功能。（7）应能支持MPLS（VPN，TE）。（8）应能支持路由器节点的CQS功能，并且网络具备一定的QOS机制。（9）应能够与其他厂家的路由器设备互联互通，并列出清单（型号）。922路由器接口类型及特性要求9221路由器接口（1）应能支持10/100BASET自适应接口（2）应能支持千兆以太网接口（3）应能支持E1/CE1电接口（4）应能支持STM1光/电接口922210/100BASET接口10MBIT/S以太网接口应符合IEEE8023。100MBIT/S快速以太网接口应符合IEEE8023U。9223千兆比以太网接口1000MBIT/S以太网物理接口可以支持1000BASESX、1000BASELX14以及1000BASET。1000BASESX和1000BASELX接口应符合IEEE8023Z，1000BASET接口应符合IEEE8023AB。支持千兆比以太网接口上的MPLS（MPLSOVERGIGABITETHERNET）。支持优先级设定/映射。当用于局域网时，支持虚拟冗余路由器协议（VRRP）。9224E1电接口E1电接口的物理层特性应符合ITUTI432、G703建议。E1电接口的接口类型应为非平衡式75欧姆BNC接口。支持信道化方式。9225SDH接口STM1光/电接口物理层特性应符合ITUTG957和国标要求。923路由器各层协议及路由协议要求9231链路层协议路由器应能支持地址解析协议（ARP）、反向地址解析协议（RARP）、点到点协议（PPP）；对于核心层、骨干层路由器还应能支持SDH上传送IP的协议，即能支持RFC1619/2615。92311地址解析协议（ARP）实现ARP的路由器必须符合RFC1122中ARP部分。如果仅因为ARP缓存中没有相应的目的地地址，链路层不允许报告目的地不可达差错；链路层应在执行ARP请求/响应序列时缓存数据包，只有在请求无结果后才报告目的地不可达。92312点到点协议（PPP）对点到点协议的实现必须符合RFC1661、RFC1331、RFC1334和RFC1994。9232互联网层协议应能支持IP、ICMP、IGMP等协议9233互联网层转发协议15路由器的包转发过程应符合RFC791、RFC950、RFC922、RFC792、RFC1349互联网层协议；应支持传输控制协议（TCP）、用户数据包协议（UDP）。9234路由协议路由器应支持缺省路由、静态路由，并支持RIPV2、OSPF、BGP4等动态路由协议，并说明是否支持ISIS路由协议。9235MPLS协议路由器应完全支持对MPLS协议。9236区分业务协议（DIFFSERV）路由器应支持区分业务协议。9237排队策略和拥塞控制路由器应提供先进的拥塞控制机制，对不同等级的业务进行不同的处理，设备应该支持为每个队列或用户分配相对独立的带宽资源，为所有的应用提供不同的时延、不同的时延抖动、不同的带宽保证和不同的丢包率等要求，设备的每个物理接口所支持的队列数量不应低于4个。应提供路由器每接口模块能够提供的队列数目、可以实施的队列调度算法、以及队列对性能的综合影响。924接入路由器详细技术指标功能及技术指标参数要求包转发能力200KPPS接口槽数4配置DRAM内存256M配置FLASH内存32M可支持接口类型10/100BASET、E1电路端口、V24冗余电源11最大快速以太接入数量10最大E1接口数量16整机不间断工作时间20万小时时延100S用户协议IP，ATM，FRAMERELAY16路由协议OSPF、BGPV4、BGP4EXTENSION、RIPV2路由器管理/安全协议SNMP、RMONII、在线升级，在线打补丁服务质量流量分类和流量监管CAR/LR、流量整形GTS、拥塞管理PQ/CQ/WFQ/CBQ、拥塞避免WRED网络安全录用户认证、RADIUS认证/计费、IPSEC、IKE、硬件加密卡、防火墙支持（对接口/时间段/MAC地址的过滤、高性能NAT。标记交换LDP、MPBGP流量工程MPLS/TE虚拟专网MPLS/VPN组播PIM，IGMP93三层交换机931基本技术要求千兆比以太网3层交换机具有第3层路由功能，其主要功能包括以下几方面（1）接口功能支持1000BASESX、1000BASELX、1000BASET、100BASEFX、100BASET接口。（2）逻辑链路层功能以太网交换机必须实现一类LLC支持类型1操作。（3）数据帧转发功能交换机在不同端口所连接的被桥接的MAC间交换MAC用户数据帧。（4）数据帧过滤功能交换机为防止数据帧重复，对某些端口上数据帧不转发（丢弃）到其他接口。（5）IP包转发功能按照路由表内容在各端口（包括逻辑端口）间转发数据包并且改写链路层数据包头信息。（6）路由信息维护功能该功能负责运行路由协议，维护路由表。（7）维护决定数据帧转发及过滤的信息交换机必须实现维护数据帧转发/过滤信息。17（8）运行维护功能交换机必须实现运行维护功能。（9）网络管理功能交换机必须实现网络管理接口及协议。（10）任意配置下，所有端口线速交换转发。（11）支持OSPF、RIP等内部网关协议（IGP）。（12）支持8021X认证，提高网络安全性。932详细技术指标功能及技术指标参数要求交换背板容量8G最大转发性能6MPPS处理器内存64M可支持接口类型10/100BASET、百兆光口（单模、多模、GE可扩展千兆模块2固定FE接口数量24路由表容量2K时延线速交换VLAN特性支持基于端口的VLAN，8021QVLAN封装，8021DSPANNINGTREE，最大VLAN数256，支持GVRPMAC地址表8K路由表项8K基本功能端口镜像；优先权/8021P；流量控制/8023X；端口聚集/8023AD，8；堆叠数量16；支持QOS协议特性8021X，RSTP组播协议支持GMRP、PIMDM、PIMSM、IGMPI、GMPSNOOPING等协议生产树协议支持STP/RSTP协议符合IEEE8021DIEEE8021W标准安全分级命令保护机制，ACL过滤设备管理集群管理数量256；SNMP；RMON1/2/3/9；SYSLOG；支持WEB网管，支持MIBII1894设备机械结构及工艺要求（1）设备的总体机械结构应充分考虑安装维护的方便和扩充容量或调整设备数量的灵活性，实现硬件的模块化。机械结构应具有足够的强度和刚度，设备的安装固定方式应具有防振抗震能力，对地面的荷重不应超过400KG/M2，应保证设备经过常规的运输、储存和安装后不产生破损、变形。（2）机箱（包括路由器、交换机）以及所有的部件均应安装在标准机架内。机箱上各种插板、模块均应是嵌入式的，易于插入、拔出，并有定位、锁定装置，插板、模块上应标示有导向。机架上可接触至布线的部位和危险电压的部位，均必须提供罩盖，对高压等危险部位应有特殊标志。（3）设备应有良好的表面处理，表面处理层应是牢固的，易锈、易氧化的部件应进行特殊表面处理，以便设备能长期抗腐蚀、防蛀、防生锈。所有喷塑（漆）部件的表面应光滑平整、色泽一致，不允许有划痕、斑疵、流挂、脱落和破损，所有电镀部件的表面应有金属光泽，不允许有裂纹、锈点、毛刺和缺陷。95环境条件（1）海拔高程至少400米。（2）耐地震能力1）地面水平加速度02G2）地面垂直加速度01G3）地震基本烈度VII（3）工作环境温度191）长期工作条件10352）短期工作条件045（短期工作条件连续不超过48H，每年累计不超过15天）（4）工作相对湿度1）长期工作条件20802）短期工作条件1090（短期工作条件连续不超过48H，每年累计不超过15天）（5）路由器等设备应能适应不同的地域环境条件，并能在无空调条件下运输和存储，而不影响装机开通后的正常运行。对此，投标人应作出相应说明。（6）路由器等设备应具备相应的防尘能力，在机房内粒子直径大于5微米的灰尘（灰尘粒子是非导电、导磁和腐蚀性的）的浓度不大于3X104粒/M3的情况下路由器等设备应不出现故障和性能的下降。（7）路由器等设备应具备相应的抗电磁干扰能力，路由器等设备本身在00110000MHZ频率范围内受到电场强度为140DBUV/M的外界电磁波干扰时，应不出现故障和性能的下降。（8）路由器等设备应采用交流220V供电方式，投标人应详细说明所提供的各类设备所需电源的要求，并给出各种节点、各种设备的功耗和总功耗。（9）采用单相、额定电压为220V的交流电源时，路由器等设备应能在一定的电压变动范围之内正常工作。允许的电压变动范围为1515，50HZ频率55，线电压波形畸变率30。18在扫描的过程中不对目标系统产生破坏性影响，即扫描结束后目标系统不会被改动或破坏，扫描结束后目标系统不会出现死机或者停机现象，扫描过程中应保持目标系统的可用性。19扫描过程可视化，能够实时显示扫描进度和IP地址、漏洞信息。20能够实时在线显示扫描漏洞报表，扫描任务结束后可直接对漏洞结果进行查看。21支持断网续扫功能，并且对已经完成的扫描结果进行保存。22提供漏洞验证功能，对扫描出来的重要漏洞能够模拟黑客行为进行漏洞风险展示。资质要求1产品应具备中华人民共和国公安部的计算机信息系统安全专用产品销售许可证，中国国家信息安全评测认证中心的国家信息安全认证产品型号证书。具备国家保密局涉密信息系统安全保密中心的涉密信息系统产品检测证书。具备中国人民解放军信息安全测评认证中心军用信息安全产品认证证书。产品厂家必须有CMMI3证书，涉密甲级单项软件开发证书。2漏洞扫描厂商应具备多年的漏洞研究经验积累，国际CVE组织成员，能够查看微软操作系统源代码。3产品有5年以上的市场销售时间，是成熟可信产品。424产品要求取得CVE（COMMONVULNERABILITIESANDEXPOSURES，世界漏洞披露组织）正式的兼容认证（CERTIFICATEOFCVECOMPATIBLITY），并提供证明文件。5产品要求为国内开发，具备自主知识产权,必须具备计算机软件著作权登记证书。6漏洞扫描系统必须与入侵检测系统为同一厂家产品。即在同一平台界面上可以进行NIDS和扫描引擎的统一管理、配置、执行任务。入侵检测的事件和漏洞扫描结果统一显示。可对入侵事件和系统漏洞进行综合分析。155安全审计管理平台（1）国内自主研发，系统提供方应拥有所提供系统的全部知识产权，并能够在其上进行进一步开发。（2）平台化设计，功能模块插件化，用户可以自主选择需要的功能模块，或在现有平台上进行客户化定制。（3）平台必须采用业界主流的B/S方式，不需要安装客户端。（4）系统应对I/II区的安全设备、网络设备等的运行工况、日志告警进行集中统一的监控管理。（5）系统应实时接收各类业务系统、网络系统和安全产品（防火墙、IDS、防病毒系统、路由器、隔离装置、交换机、业务主机、机房设施等）的安全事件信息，能对上述信息进行集中存储、查询。（6）系统支持网络（TCP、UDP）、串口等多种通讯方式，采用SYSLOG、SNMP和订制接口等方式采集不同格式的日志信息和告警信息。（7）系统能按照既定规则对接收的安全事件信息进行分析，发生设备异常及异常的安全事件时，能自