安全管控一体——H3C数字发电电厂解决方案

一、电厂信息化建设目标

随着我国电力行业“厂网分开，竞价上网”电力市场的起步和发展，五大发电集团的成立，电厂、电力集团成为一个独立企业，参与市场竞争。作为一个发电企业，在安全性、可靠性约束条件下，追求利润的最大化是它的主要目标。因此电厂的管理重点从传统的计划生产，逐步过渡到基于科学调度和竞价决策的市场化生产。

追求发电企业的最大化利润的方法，从宏观来看，也无非就是两条路：开源和节流。开源是指在每天的电力市场交易竞价中，通过科学的分析本厂的发电成本，预测电网的需量，估计同类电厂的报价，从而报出最有竞争力的价格，实现电厂售电和电价的最大化。节流是指加强电厂的内部科学管理、深挖潜力、降低成本、节能降耗、合理安排机组的启停和检修，将机组的启停次数、机组的检修时间尽量的缩小，实现电厂的成本的最小化。当企业的销售收入最大化，成本最小化时，利润也就趋于最大化。因此需要电厂通过信息化建设来实现以上目标，在电厂信息化建设中主要以应用系统为主，通过应用系统改进管理方式、提高管理水平、提高工作效率、提高工作质量。而要做到这些，就必须采用计算机辅助管理，达到信息加工的自动化，提高信息的准确性、及时性，这就需要有一套符合发电企业生产经营特点的安全、可靠、先进的发电厂信息网络系统。

二、电厂应用系统建设需求分析

目前电厂信息化建设中主要由厂级管理信息系统（MIS）和厂级监控信息系统（SIS）构成。

在市场经济条件下，电力企业最重要的目标之一就是以较少的投人获得最大的产出。要实现这一目标，就需要进行企业管理整体优化，实现管理科学化、规范化，对企业资源诸要素进行优化组合和合理配置，通过纵横协调，使企业人流、物流、资金流、信息流实现合理交换。要使管理科学化真正具有可操作性而不是停留在一般概念或号召上，就应采用计算机辅助管理，使信息加工自动化。使信息传输高速化。建立MIS系统是电厂开发、生产运行的必然要求。

MIS系统是由软件开发商对发电企业的信息化需求深入分析的基础上，开发出的一体化、整体关联、模块化的总体功能模型。它覆盖了发电业务的完整过程如：计划经营管理系统、设备资产管理系统、监控信息系统、工程项目管理系统、物资管理系统、燃料管理系统、安全监察管理系统、人力资源管理系统、财务管理系统、报价决策系统、综合查询系统、办公自动化系统、企业网站系统、集成文档管理、集成报表管理、数据接口管理、信息系统管理。

MIS系统以网络作为信息传递和数据传输的媒体，将涉及到网络设备、接口设备、服务器、计算机终端设备、系统软件和应用软件等连接起来构成完整统一的系统。

SIS系统属厂级生产过程自动化范畴，以分散控制系统DCS为基础，以安全经济运行和提高电厂整体效益为目的，是实现从DCS系统到管理信息系统MIS的桥梁，从而在全厂范围内实现信息共享和管控一体化。

SIS系统采集下层所有机组级/车间级控制系统的生产实时数据，实现性能优化、故障诊断、负荷分配等功能；另一方面，将机组状态信息和性能信息发送给上层的MIS系统。SIS系统处于具有高精度、高速度、高可靠性要求的DCS系统与实时性要求不高的MIS系统之间，是电厂自动化、信息化架构中的过渡层面，起到隔离作用。

为了构建一个高效、稳定、安全的电厂信息网络系统满足各种应用系统的需求，需要具备以下特点：

l 高可靠容错能力

电厂信息系统是一个生产性的应用系统，是运行在安全管控一体的数据网络之上，应用系统的正常运作是依赖于网络系统的高可靠容错性能，特别是在计算机系统逐渐成为企业的关键业务。因网络故障而造成的企业损失通常是随着停顿时间的延长而几何级地增加。网络系统应尽量地增加可靠稳定的元素，并且故障自动修复时间要尽可能的短。

l 可扩充能力

计算机应用正逐渐渗透入发电企业的生产、经营、管理等业务每一个环节。网络无论从单一设备还是从整个系统的角度必须具有很好的扩充能力，以满足不断发展和变化的应用需求，并能随着技术的发展不断升级。

l 可管理能力。

发电厂管理信息系统网络规模庞大，需要网络系统具有良好的可管理性。在统一的网络管理系统上对各种类型的网络设备，各种协议的网络链路进行统一网管。网管系统要具有监测、故障诊断、故障隔离、过滤设置等功能，以便于系统的管理和维护。同时应尽可能选取集成度高、模块可通用的产品，以便于管理和维护。

l 安全性

网络系统应具有良好的安全性，对内部网用户的访问要能够提供较强的控制手段，其中包括对网络上的终端用户采用相应的验证手段，对内网中网络病毒的传播防范手段，以及同外网连接的安全控制手段。

l 数据永续

拥有一个高可靠、可扩展、高性能的存储产品来，满足电厂重要数据存储的需求。实现安全生产、经营管理信息的采集、传输、处理的自动化，满足电厂对信息质量、数量及处理速度的要求，并确保数据的完整、准确、安全与可靠，达到信息资源的共享。

三、数字化发电电厂解决方案

H3C（以下简称H3C）公司专门针对发电行业的特点与应用发展提出“安全管控一体”数字化发电解决方案，提升客户应用价值，帮助客户成功。

按照厂内信息系统所覆盖的内容与业务特点，我们采用了区域化的结构设计思想。采用这样的结构所建设的网络具有良好的扩充性、管理性，因为新的子网模块和新的网络技术能被更容易集成进整个系统中，而不破坏已存在的网络。将整个系统按应用层次的不同分成不同的区域，包括MIS系统和SIS系统两大区域，MIS系统由核心交换区、关键业务区及服务器存储区、生产车间建筑群接入区域、互连网信息发布区、普通楼层办公区、集团广域信息接入区构成，SIS系统生产自动化区域、及网调业务区域等。各个区域均通过接入交换机与核心交换机冗余连接，实现清晰的系统边界。区域之间通过冗余链路/防火墙/专用单向物理隔离器连接，即强化安全边界又实现可控无缝连接。整个系统耦合度低，系统扩展灵活。

电厂机组数量多，为了摆脱低效高能耗，应用的现代化生产控制与管理系统众多，对网络的性能，安全性和可靠性要求更高。

按照数据大集中的理念，整个系统流量基本符合80/20原则，既80%流量集中于数据中心，20%为本地间流量，因此我们建议链路选用万兆到核心，千兆到桌面，三层到接入。

整个网络的核心交换设备采用H3C S9500万兆核心交换机双机组网，其它服务器群采用H3C S7500系列交换机双机，关键服务器通过双链路连接到 S7500。办公区域楼层交换机采用H3C S7500或S5600系列，双万兆链路上联到核心交换机H3C S9500。

SIS系统采用独立设计，两台H3C S7500交换机作为SIS系统的网络核心，DCS和PLC等控制系统网关机连接到二级子交换机H3C S3600，二级子交换机H3C S3600通过千兆光纤连接到核心交换机，实时/历史数据服务器通过千兆光纤/电口连接到核心交换机，SIS工作站、负荷分配站、值长站、维护站都通过百兆双绞线连接到核心交换机。

对于BFS++数据库服务器、实时数据库（PI）系统及其他应用系统采用H3C公司的IX5000高端存储系统作为各个业务应用系统的在线存储系统。采用H3C公司的NeoStor虚拟化引擎实现对应用系统存储系统（包括IX5000和后期可能购买的各种存储设备）的统一管理。另外建设一套近线的备份系统，备份系统选用H3C公司的IX1000存储系统和一套三方磁带库，并采用H3C公司的NeoStor虚拟化引擎进行统一管理。并且在近线备份系统对在线系统复制过来的数据进行连续的时间点备份和从IX1000到第三方磁带库的零干扰备份。如下图：

对于与上级主管信息对接和不同区域之间，部署Secpath防火墙实现信息的安全可控流动，同时核心交换机H3C S9500支持内置SecBlade FW安全模块可以为关键服务器提供保护；在用户接入侧部署H3C公司的端点准入防御方案（EAD，Endpoint Admission Control），解决现有网络安全管理中对用户管理存在的不足，应对网络安全威胁，从而提升网络的整体安全防御能力。

整个网络系统采用H3C公司的Quidview网管软件进行管理，其具有强大的配置管理功能，不仅可以实现用户管理、告警管理以及性能管理等通用网络管理功能，还可以为用户实现设备软件备份与升级、接入设备远程批量配置、VPN性能监视与部署、支持设备告警分析、用户自定义拓扑以及防火墙日志分析等功能。

H3C数字化发电电厂解决方案具有以下特点与优势：

l 高性能

H3C S9500、S7500系列采用全分布式体系结构设计，S9500交换容量可高达720Gbps，并可平滑升级到1.44Tbps，S7500交换容量为384Gbps，同样可以平滑升级到768Gbps，S5600提供高达192/240Gbps的交换容量，支持万兆。

l 高可靠

网络拓扑结构上，在核心层选用了双核心交换机作为整个MIS和SIS系统的核心节点，避免了单节点故障。接入层交换机以双归属的链路分部接入到双核心上，同时通过相邻配线间的迂回链路上进一步保证链路接入的冗余性，提高网络运行在链路上的安全性。

l 高安全

融合了网络中的多个网络设备、组件和技术，并通过多层次的安全策略和流程控制，向用户提供全方位、立体化、端到端的融合安全防护，使得安全渗透到网络的每一个神经末梢，使电厂网络安全不再成为一个问题，使电厂网络真正成为一个安全的网络。

l 可扩展

在实用、可靠的基础上，H3C公司的产品具备技术的前瞻性和弹性架构，可以平滑进行升级提供更高的性能，并且在未来可以集成多媒体语音/视频技术，使整个系统具有相对更长的生命周期，保护用户投资。

l 可管理、可维护

本次配置的NMF网络管理通过图形化界面可以实现设备管理、拓扑管理、故障管理以及集群管理。为网络管理员提供方便的管理手段, 保证网络和用户信息的安全，并可为合理的网络规划提供重要的参考。

l 千兆到桌面

千兆到桌面一个最直接的优点就是带宽大。用户的接入不再只是百兆带宽，现在可以通过千兆直接接入网络，提供10倍于原来的带宽。有了高带宽，应用业务的开展将更为方便与灵活，数据、语音、视频等多种业务在新的高带宽网络中将得到充裕的带宽保证。

l 三层到接入

采用三层到接入的组网模式，将三层功能下移到接入层可以有效解决传统组网模式的弊端：三层转发由接入层设备有效分担，核心交换机的负荷小，接入级二层协议主要在接入层完成，对于核心设备的功能要求简单，且可以简化全网的配置。

l 先进的存储技术

采用IP-SAN存储技术，IP-SAN作为一种崭新的存储架构和新的技术发展趋势，拥有SAN的一切优势，相比FC-SAN，其是一个开放、高性能、高可靠、高可扩展性的存储资源平台。它通过高速以太网络连接服务器和后端存储系统，继承了FC-SAN作为SAN的优点，弥补了FC的不同厂商之间兼容性差、维护和扩容成本高昂等方面的不足。