发明内容
基于此,有必要针对上述问题,提供一种电力调度自动化***的分区网络架构,能够为电网二次一体化实施提供一种安全高效的网络架构。
一种电力调度自动化***的分区网络架构,由安全Ⅰ区组网模块、安全Ⅱ区组网模块和安全Ⅲ区组网模块组成,每一组网模块包括:前端网络单元、本区的业务***单元,以及与该业务***单元相连的后端网络单元,其中,
所述前端网络单元包括与纵向互联网通过竖井式的独立访问通道相连的前置交换机,该前置交换机与本区的业务***单元相连,用于从所述纵向互联网采集数据;
所述后端网络单元包括与业务***单元相连的核心交换机,用于提供本区的业务***单元与数据共享单元之间的信息交互,以及跨安全区的业务***单元之间的信息交互。
在其中一个实施例当中,所述业务***单元,包括:
至少一个业务***,各业务***单独组建子网,业务***之间通过所述核心交换机进行信息交互,实现逻辑隔离。
在其中一个实施例当中,所述数据共享单元包括Ⅰ/Ⅱ区数据中心***和Ⅲ区数据中心***,其中,
所述Ⅰ/Ⅱ区数据中心***通过横向互联防火墙分别与Ⅰ区的后端网络核心交换机、Ⅱ区的后端网络核心交换机相连;
所述Ⅲ区数据中心***通过Ⅲ区交换机与后端网络相连,并与所述Ⅲ区的核心交换机相连;
所述Ⅲ区交换机与所述Ⅱ区的核心交换机之间还包括正反向隔离装置,用于所述Ⅰ/Ⅱ区数据中心***和所述Ⅲ区数据中心***之间的信息同步;
所述Ⅲ区数据中心***通过Ⅲ区的核心交换机及Ⅲ区出口防火墙,与外部网络完成信息交互。
实施本发明,具有如下有益效果:
本发明方案针对以上需求,提出一种电力调度自动化***分区网络架构的实现方案,该架构遵从电监会和南方电网的二次安全防护相关标准,并利用最新的网络防火墙和隔离传输技术,构建一种新型安全高效的组网架构。本架构由前后台网络组成,前后台网络完全分开,后端网络首先实现了各业务***各自组网并与主干网相连,形成安全区内分级结构化网络结构,采用隔离防火墙技术构建横向Ⅰ、Ⅱ区共享数据访问区,采用高性能隔离传输技术构建跨安全Ⅰ/Ⅱ、Ⅲ区传输,形成了安全区间满足电力二次安防要求的高速网络架构;前端网络用于数据采集和纵向数据传输,采用竖井式独立传输通道,既保证了安全分区要求,又满足了横向高效传输,为二次一体化的实施提供了可靠的基础支持。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚,下面将结合附图对本发明作进一步地详细描述。
为了提高电网综合运行水平,解决目前电网自动化***信息孤立、协作困难等问题,南方电网提出并制定了二次一体化技术标准(OS2),以整合二次***,打通各自动化专业和各级电网之间的壁垒,加强跨业务横向数据交换和协同,提高电网的综合分析决策和运营能力,同时还必须保证电网运行的信息安全。因此,对二次***的网络架构提出了新的挑战,在保证满足二次安全防护要求的同时,必须提供跨区跨级的高效能通信通道支持。
图1为本发明电力调度自动化***的分区网络架构的示意图,如图所示,由安全Ⅰ区组网模块、安全Ⅱ区组网模块和安全Ⅲ区组网模块组成,每一组网模块包括:前端网络单元、本区的业务***单元,以及与该业务***单元相连的后端网络单元,其中,
所述前端网络单元包括与纵向互联网通过竖井式的独立访问通道相连的前置交换机,该前置交换机与本区的业务***单元相连,用于从所述纵向互联网采集数据;
所述后端网络单元包括与业务***单元相连的核心交换机,用于提供本区的业务***单元与数据共享单元之间的信息交互,以及跨安全区的业务***单元之间的信息交互。
本案的电力调度自动化***分区网络架构基于南方电网二次一体化(OS2)技术体系标准,严格遵守电监会和南方电网的二次安全防护相关标准,并结合省级调度***特点设计,采用后端网络和前端网络分离的结构,前端网络采用竖井式的独立访问通道,负责数据采集以及纵向业务互联;后端网络主要提供本单位内部业务交互,各安全区内部业务***单独组建子网,业务***之间逻辑隔离,不允许业务间直接的访问,Ⅰ、Ⅱ区和Ⅲ区分别从后端网络组建生产大区综合数据中心子网和管理大区综合数据子网,将各业务的数据和服务集中在此网络,为各业务的数据共享和交互提供支持。
各安全区前后端网络分离:后端网络支持区内分级横向数据交互,安全区之间(Ⅰ/Ⅱ区与Ⅲ区间)采用高性能的横向隔离传输;前端网络支持竖井式的独立访问通道,通过各业务***的前置通信功能接入业务***。前后端网络无物理通道,实现分离,前后端网络的数据交换由业务***来完成,这种架构设计不仅提高了安全性,降低了纵向入侵的风险,而且减少了前端通道间的干扰和通信负载,也降低了前后端网络之间的通信干扰。
在其中一个实施例当中,所述业务***单元,包括:
至少一个业务***,各业务***单独组建子网,业务***之间通过所述核心交换机进行信息交互,实现逻辑隔离。
各安全区内后端网络的两级结构:各安全区内后端网络核心交换机将本区网络虚拟成多个独立的子网作为业务子网,用于不同业务***的接入,从而形成“核心交换机-业务子网”的两级网络,将本区各业务***部署在独立的业务子网里,从而既保证各业务***之间既保证逻辑隔离,但可与本区的综合数据网络实现安全访问。这种架构能有效降低网络报文干扰和数据干扰。同时,如果核心交换机端口不够,也可以连接新的交换机作为延伸,而业务子网的逻辑划分方式不会受到影响。
(1)网络分级有效降低网络报文。本架构既满足各业务***内部高速实时交互要求,又可以通过跨业务***的后端总线和数据中心DC12子网或数据中心DC3子网来实现数据共享和服务协同,还可以避免业务之间的海量内部组播和广播报文对后端主网络和其它业务网络造成影。
(2)数据分级有效降低数据干扰。分层的网络架构使得数据传输也可以分级结构,通过业务***的功能设计,将冗余数据和中间数据控制在业务子网的方位内,有效降低冗余数据和中间数据对后端核心业务网络以及数据中心DC12子网或数据中心DC3子网的干扰,同时还可提高安全区内不同业务***之间的防护水平,防止攻击者利用单个业务***安全漏洞进入后台网络,进而入侵安全区内其他业务***。
图2为本发明电力调度自动化***的分区网络架构的跨安全区数据同步示意图。
在其中一个实施例当中,所述数据共享单元包括Ⅰ/Ⅱ区数据中心***和Ⅲ区数据中心***,其中,
所述Ⅰ/Ⅱ区数据中心***通过横向互联防火墙分别与Ⅰ区的后端网络核心交换机、Ⅱ区的后端网络核心交换机相连;
所述Ⅲ区数据中心***通过Ⅲ区交换机与后端网络相连,并与所述Ⅲ区的核心交换机相连;
所述Ⅲ区交换机与所述Ⅱ区的核心交换机之间还包括正反向隔离装置,用于所述Ⅰ/Ⅱ区数据中心***和所述Ⅲ区数据中心***之间的信息同步;
所述Ⅲ区数据中心***通过Ⅲ区的核心交换机及Ⅲ区出口防火墙,与外部网络完成信息交互。
Ⅲ区数据中心(以下简称DC3):Ⅲ区从后端网络引出子网组建DC3子网,实现本区内部业务之间的数据共享和跨安全区交互。Ⅲ区数据中心的服务器一端从与Ⅱ区后端网络通过隔离阵列相联,另一端与Ⅲ区后端网络相连,通过隔离阵列与DC12实现跨安全区数据同步。Ⅲ区的各业务***通过DC3实现对本区数据的存储访问以及对Ⅰ、Ⅱ区同步过来的业务数据的访问。
DC12和DC3之间的高性能安全区隔离和通信技术:包括隔离设备和集中数据传输方法。
(1)采用网络隔离阵列。DC12和DC3之间的网络隔离传统采用正反向网络隔离装置,其通信通道有限,并发性能不足,影响了跨安全区的数据交换性能,本架构采用新型网络隔离设备阵列,让多个隔离设备同时并行、冗余地进行数据传输,在保证安全性的同时,以提高跨安全区数据在网络间的整体传输速度。
(2)采用集中数据传输。跨安全区的数据传输,传统上由安全区两侧业务之间独立进行,既复杂又不利于网络负载的统一调配,客观上也影响了跨区传输的效率。本架构采用集中数据传输,即数据在DC12和DC3之间传输,各业务***直接访问各自安全区的数据中心(DC12或DC3),而不用关心数据的来源和去向。由数据中心(DC12或DC3)对跨安全区交换的数据、优先级、同步周期进行统一配置,按照同步配置执行跨安全区通信,并对网络服务质量和网络负载均衡进行统一管理,可以大大提高跨安全区数据交换的效率和质量。
图3为本发明电力调度自动化***的分区网络架构的I/II区数据中心***结构示意图。如图3所示,所述Ⅰ/Ⅱ区数据中心***,包括:
安全策略单元,用于检测Ⅱ区业务***单元发起的访问,仅允许对属于该II区业务***单元的业务范围的数据实现自由访问。
I、II区共享数据中心(以下简称DC12):二次一体化要求各业务之间的交互和协作是通过数据中心子网来实现,不仅各安全区内的业务之间交互和协作必须通过数据中心实现,跨安全区的交互和协作也是如此。从后端网络引出VLAN子网络组建子网,部署DC2,将I、II区各业务的数据集中在此,同时提供数据访问接口和安全策略控制。根据电监会和南方电网的二次安全防护标准要求,通过网络访问控制和逻辑策略控制两个层次,来保证Ⅰ、Ⅱ区数据访问安全。
(1)网络访问控制:DC12子网部署在Ⅰ区后端业务网络防火墙外,并通过防火墙与Ⅱ区隔离,利用网络防火墙的策略配置,使其安全级别略低于Ⅰ区,比Ⅱ区高。即与Ⅰ区和ⅠI区之间分别用防火墙隔开,允许Ⅰ区业务完全访问DC12子网,而但DC12不能主动发起对Ⅰ区业务的任何反向访问;DC12子网可以完全访问Ⅱ区业务,但Ⅱ区业务必须经网络端口和逻辑安全策略控制访问DC2子网。
(2)逻辑策略控制:逻辑策略控制主要是针对Ⅱ区业务发起对DC12的访问,根据安全规范要求,Ⅱ区业务只有对Ⅱ区业务相关数据有完全访问权限,以及对Ⅰ区开放给Ⅱ区的数据有授权访问。这种安全需求无法通过网络层面(防火墙)的配置实现,只有DC12提供安全策略控制来过滤Ⅱ区发起的访问。DC12在数据访问接口外,设置一个安全策略控制模块,所有Ⅱ区业务发起的访问,都经过此模块,然后再进入数据访问接口。安全策略可以人工或自动配置,设置Ⅱ区允许对DC12子网中属于II区业务范围的数据实现自由访问,对Ⅰ区开放给Ⅱ区的数据只读或完全访问,对其他数据不能访问。
DC12存储和管理Ⅰ、Ⅱ区的所有业务数据,为Ⅰ、Ⅱ区的综合利用提供数据支持,这种架构在满足电监会的安全区规范、保证了实际访问安全的同时,又为Ⅰ、Ⅱ区之间的数据交换提供了便捷的渠道和手段,提高了综合业务水平,并且减少了数据中心的硬件投资和数据同步的开销。
图4为本发明电力调度自动化***的分区网络架构的实施例示意图。
与Ⅰ区的核心交换机相连的Ⅰ区备份***,用于为Ⅰ区的后端网络进行备份;与Ⅲ区的核心交换机相连的Ⅲ区备份***。用于为Ⅲ区的后端网络进行备份。
与所述Ⅰ区组网模块的前端网络单元相连的纵向互联网为实时VPN网络;
与所述Ⅱ区组网模块的前端网络单元相连的纵向互联网为非实时VPN网络;
与所述Ⅲ区组网模块的前端网络单元相连的纵向互联网为综合业务数据网络。
本方案采用各安全区前后台网络分开的网络架构,后端网络支持区内横向数据交互,区间(Ⅰ/Ⅱ区与Ⅲ区之间)性能集中横向隔离传输,前端网络采用竖井式的独立访问通道,通过业务***的前置通信功能接入业务***。这种架构设计不仅提高了安全性,降低了纵向入侵的风险,而且减少了前端通道间的干扰和通信负载,也降低了前后端网络之间的通信干扰。
另外,本方案采用各安全区内的业务***采用核心业务交换机虚拟成独立的业务子网,各业务***之间逻辑隔离,但可与本区的综合数据网络实现安全访问。这种架构既满足各业务***之间可以通过跨业务***的后端总线和数据中心子网来实现数据共享和服务协同,又可以避免业务之间的内部报文和广播对后端主网络和其它业务网络造成影响满足各业务***内部高速实时交互要求。此外,本架构的数据传输是一种分级结构,分为业务内部的数据和业务对外共享数据,通过这种分级筛选,可以有效降低冗余数据和中间数据对数据中心子网的干扰,同时还可提高安全区内不同业务***之间的防护水平,防止攻击者利用单个业务***安全漏洞进入后台网络,进而入侵安全区内其他业务***。
综上所述,本方案采用组建“1.5区”生产大区数据中心子网的网络架构,从控制区后端核心业务网络引出业务网络,部署在Ⅰ区防火墙外,并通过防火墙与Ⅱ区逻辑隔离,利用网络防火墙的策略配置,使其安全级别略低于Ⅰ区,比Ⅱ区高。即与Ⅰ区和ⅠI区之间分别用防火墙隔开,允许Ⅰ区完全访问生产大区数据中心子网,但生产大区数据中心子网不能主动发起对Ⅰ区的任何反向访问,生产大区数据中心子网可以完全访问Ⅱ区,但Ⅱ区必须经安全策略控制访问生产大区数据中心子网。跨区安全策略配置方面,可设置Ⅱ区允许对生产大区数据中心子网中属于II区业务范围的数据实现自由访问,对属于Ⅰ业务范围的数据不能访问或只读访问。这种架构在实现安全分区规范、保证了实际访问安全的同时,又为Ⅰ、Ⅱ区之间的数据交换提供了便捷的渠道和手段。
以上所述实施例仅表达了本发明的几种实施方式,其描述较为具体和详细,但并不能因此而理解为对本发明专利范围的限制。应当指出的是,对于本领域的普通技术人员来说,在不脱离本发明构思的前提下,还可以做出若干变形和改进,这些都属于本发明的保护范围。因此,本发明专利的保护范围应以所附权利要求为准。