全区数据传输方法 及其在负荷预测中的应用(上)

介绍了连云港地区电力二次系统跨安全区数据传输存 在的问题，提出通过建立跨区数据传输与共享系统解决该类 问题。分析了当前电力二次安全防护系统的结构和物理隔离 装置数据传输的特点，以及如何设计封装各类通信协议进行 数据交换和传输，并给出了在连云港地区负荷预测系统构建 过程中应用跨区数据传输与共享的实例。

引言 根据全国电力二次系统安全防护[1]总体框架及 其核心思想(安全分区、网络专用、横向隔离、纵向 认证)，可将整个电力二次系统分为 2 个大区和 4 个 安全工作区。生产控制大区包括安全 I 区(实时控制 区)和安全 II 区(非控制生产区)；管理信息大区包括 安全 III 区( 生产管理区)和安全 IV 区(管理信息区)。

从横向角度来说，为了强化安全区之间的隔 离，应采用不同强度的网络安全设备(如硬件防火墙及正向、反向电力专用安全隔离装置等)，使各安全 区中的业务系统得到有效的保护。安全 I 区与安全 II 区之间采用硬件防火墙进行隔离；生产控制大区 (安全 I、II 区)与管理信息大区(安全 III、IV 区)之间 采用电力专用隔离装置进行隔离，并严格限制数据 的流向；从安全 I、II 区往安全 III 区单向传输信息 须采用正向隔离装置，由安全 III 区往安全 I、II 区 的单向数据传输必须采用反向隔离装置。安全 III 区与安全 IV 区之间采用硬件防火墙进行隔离[2]。

从通信和数据传输角度看，物理隔离装置单向 传输的特点，使跨区数据交换必须遵循物理隔离装 置数据传输方式，这迫使原有或新增的业务系统需 要进行相应的改造以适应安全防护的要求。而在管 理信息大区的各种管理应用系统，往往又需要从生 产控制大区获得大量数据作为支持。

为方便用户在既有二次安防系统环境下，在管 理信息大区部署新的业务系统，本文设计了开放 的、平台化的数据交换系统，实现了来自不同厂家 的、异构、分散数据(如大量的文件数据和数据库数 据)的交换和整合，并对跨区交互数据进行统一集中 管理，在保障系统间跨区数据交换安全性的前提 下，可应用于电力二次系统安全防护改造中生产控 制区与管理信息区之间的安全数据交换

1 跨安全区数据传输系统

1.1 安全防护横向体系结构

电力二次系统主要包括能量管理系统(energy  management system，EMS)、电能量采集管理系统(power management system，PMS)、调度员培训仿 真(dispatcher training simulator，DTS)、各类量测系 统主站、通信监控管理系统、继电保护信息管理系 统以及调度管理信息系统(dispatching management  information system，DMIS)。按照安全分区原则，上 述系统除 DMIS 外均按功能分别位于生产控制大区 的实时控制区(安全I区)和非实时生产区(安全II区)， DMIS 则位于管理信息大区中的生产管理区(安全 III 区)，以此形成安全防护系统的总体框架(见图 1)。

1.2 跨区数据传输系统设计

在实施安全分区和物理隔离后，整个数据传输 的流程分为 2 部分：1）从内网(安全 I、II 区)至物 理隔离装置(正向)至外网(安全 III 区)，称为正向传 输过程；2）外网(安全 III 区)至物理隔离装置(反向) 至内网(安全 I、II 区)，称为反向传输过程。由于物 理隔离装置的单向传输特点，正反向隔离装置相当 于通信阻塞点[3]，使绝大多数以 TCP/IP 传统通信协 议为基础的网络应用软件不能直接进行跨区部署。 为此在安全 II 区和安全 III 区各设置一个数据代理 平台，封装与正反向隔离装置的通信过程，通过内 外网数据代理平台交换数据，对于业务系统使用者 和部署者来说，在通信上无须考虑正反向隔离装置 的通信协议和工作机制，仍可使用以前通信的方 式，以透明方式进行内外网数据交换[4]。见图 2。

内网到外网(正向)的数据交换可以分为 2 大 类：文件传输和数据库传输。从外网到内网(反向) 的数据交换只能以纯文本文件的格式经过加密和 认证之后传输。从数据类型的角度看，内外网交互 的数据分为实时数据和非实时数据 2 部分。实时数 据主要是由 SCADA 系统产生，非实时数据从内网

其他业务系统产生。同时，考虑到数据库数据与文 件数据间互转、异地文件的存取和数据灵活存储等 应用要求，内外网数据代理平台须满足以下要求： 1）统一数据交换标准与格式；2）内外网数据代理 平台数据同步；3）同一安全区的业务数据库到本 地后台库同步；4）实时数据同步；5）内外网之间 的文件传输[5]；6）支持多种数据传输协议。据此设 计系统软件的结构见图 3

1.3 基于 JAVA 的跨区数据传输系统

跨安全区数据传输系统由内平台和外平台 2 部 分构成，全部采用 JAVA 语言开发，由于 JAVA 语 言的跨平台性，系统支持多类操作系统，便于部署。 系统主要由数据访问控制、通信协议代理、数据统 一平台、数据管理及隔离装置穿越 5 部分构成。数 据访问控制提供与内网各业务系统访问机制，并提 供统一的数据接口；通信协议代理提供了透明方式 的各种通信协议的实现，负责实时数据、非实时数 据的接收和转发；数据统一平台为数据传输系统的 统一数据存储平台，提供了基于标准的可扩展标记 语言(extensible markup language，XML)格式的数 据，以供跨区数据交换；隔离装置穿越提供了与正 反向隔离装置的实际通信过程，负责将内外网基于 数据统一平台的数据进行交换；数据管理提供了对 数据访问控制、数据通信代理、数据统一平台的数 据管理和任务调度。以上 5 部分模块，构成了整个 跨安全区数据传输系统的软件架构