1.工程概況 　　西塘河引水工程是為改善蘇州環(huán)城河水質(zhì)服務(wù)的專項(xiàng)引水工程，全長(zhǎng)18公里，沿線建有一座泵站、7座套閘、11座節(jié)制閘和4座自動(dòng)水質(zhì)監(jiān)測(cè)站。工程建立了計(jì)算機(jī)監(jiān)控系統(tǒng)，用來對(duì)閘站進(jìn)行控制和監(jiān)視，實(shí)現(xiàn)水質(zhì)自動(dòng)在線監(jiān)測(cè)，建立信息數(shù)據(jù)庫(kù)，為蘇州市的水利計(jì)算機(jī)信息化提供基礎(chǔ)信息。系統(tǒng)由計(jì)算機(jī)集控及信息管理中心、計(jì)算機(jī)現(xiàn)地監(jiān)控、視頻安保、水位及水質(zhì)測(cè)量、光纖快速網(wǎng)絡(luò)等幾個(gè)子系統(tǒng)。 　　系統(tǒng)采集整個(gè)工程的各種信息，形成數(shù)據(jù)庫(kù)，包括泵站、套閘、節(jié)制閘的實(shí)時(shí)信息，監(jiān)控對(duì)象的各種歷史數(shù)據(jù)，視頻安保系統(tǒng)的報(bào)警信息，水位及水質(zhì)的各種數(shù)據(jù)，工程概貌以及管理的各種行政信息等等；對(duì)各現(xiàn)地閘門進(jìn)行遠(yuǎn)方監(jiān)視及控制，根據(jù)視頻圖像可以驗(yàn)證操作的正確性；根據(jù)歷史數(shù)據(jù)和水位信息可對(duì)工程的運(yùn)行工況進(jìn)行優(yōu)化和綜合調(diào)度；根據(jù)水質(zhì)信息，可及時(shí)掌握水質(zhì)的變化規(guī)律，以便采取措施保證水質(zhì)的優(yōu)良率；根據(jù)視頻安保信息可以及時(shí)了解管理范圍內(nèi)現(xiàn)場(chǎng)的實(shí)際情況，在有人闖入時(shí)及時(shí)提醒值班人員。 　　2.網(wǎng)絡(luò)設(shè)計(jì)原則與要求 　　2.1網(wǎng)絡(luò)設(shè)計(jì)原則 　　網(wǎng)絡(luò)設(shè)計(jì)從系統(tǒng)的先進(jìn)性、實(shí)用性、開放性、擴(kuò)展性和經(jīng)濟(jì)性等原則出發(fā)，做到既能滿足現(xiàn)實(shí)應(yīng)用，又考慮發(fā)展能保護(hù)投資。網(wǎng)絡(luò)應(yīng)能掛接各種類型的計(jì)算機(jī)，現(xiàn)有的與將來要添置的大中小型主機(jī)、微機(jī)、服務(wù)器、工作站都能進(jìn)網(wǎng)，網(wǎng)絡(luò)應(yīng)能獨(dú)立于所連接的計(jì)算機(jī)等設(shè)備，結(jié)構(gòu)、類型與連接的計(jì)算機(jī)無關(guān)。 　　2.2 網(wǎng)絡(luò)總體要求 　　可靠：網(wǎng)絡(luò)應(yīng)采用層次式星形結(jié)構(gòu)或環(huán)網(wǎng)結(jié)構(gòu)，不會(huì)因?yàn)橐粋€(gè)節(jié)點(diǎn)的故障而使整個(gè)網(wǎng)絡(luò)癱瘓。網(wǎng)絡(luò)設(shè)備的平均無故障時(shí)間MTBF需要達(dá)到10萬(wàn)至100萬(wàn)小時(shí)。 　　方便：網(wǎng)絡(luò)設(shè)備外部的使用接口應(yīng)是即插即用。網(wǎng)絡(luò)應(yīng)有虛擬網(wǎng)絡(luò)功能，即用戶不用改變網(wǎng)絡(luò)的物理結(jié)構(gòu)，就可隨意改變網(wǎng)絡(luò)的邏輯拓?fù)浣Y(jié)構(gòu),調(diào)整實(shí)際配置，重新安排網(wǎng)絡(luò)上的信息流交通。 　　速度：隨著網(wǎng)絡(luò)的擴(kuò)展，節(jié)點(diǎn)數(shù)不斷增加，網(wǎng)絡(luò)上的交通負(fù)載會(huì)加重，因此在建網(wǎng)時(shí)需要考慮提高網(wǎng)絡(luò)的速度，采用高速度的網(wǎng)絡(luò)規(guī)程和品質(zhì)優(yōu)良的交換機(jī)（switch），采用網(wǎng)絡(luò)分流減輕網(wǎng)絡(luò)負(fù)載。把一個(gè)大網(wǎng)劃分成既獨(dú)立又互聯(lián)的若干個(gè)網(wǎng)絡(luò)段，使網(wǎng)絡(luò)上的交通合理分流。在一個(gè)網(wǎng)絡(luò)段中，局部的交通只在本段內(nèi)流動(dòng)，只有發(fā)給其它網(wǎng)絡(luò)段的信息才發(fā)送給其它網(wǎng)絡(luò)段。 　　3.網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì) 　　3.1 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu) 　　西塘河引水工程的監(jiān)控點(diǎn)分布在狹長(zhǎng)河道的兩岸，采用光纖干線環(huán)型網(wǎng)絡(luò)可實(shí)現(xiàn)網(wǎng)絡(luò)的冗余，即任意一個(gè)環(huán)網(wǎng)交換機(jī)都有兩個(gè)連接主干網(wǎng)絡(luò)的線路。在網(wǎng)絡(luò)環(huán)上的任何一個(gè)接點(diǎn)斷開，不會(huì)影響網(wǎng)絡(luò)的正常工作，可靠性較高。信息中心及各分站使用環(huán)網(wǎng)式交換機(jī)，環(huán)網(wǎng)交換機(jī)具有干線網(wǎng)絡(luò)光纖進(jìn)出接口，可以用光纜聯(lián)成一個(gè)封閉的網(wǎng)絡(luò)環(huán)，環(huán)網(wǎng)絡(luò)交換機(jī)本身具有24個(gè)10/100M的自適應(yīng)接口，用以接入現(xiàn)地設(shè)備或網(wǎng)絡(luò)，即現(xiàn)地網(wǎng)絡(luò)為星型拓?fù)浣Y(jié)構(gòu)。 　　3.2 網(wǎng)絡(luò)系統(tǒng)選型 　　目前各種流行的網(wǎng)絡(luò)協(xié)議中，可以作為高速率主干網(wǎng)的技術(shù)有：光纖分布式環(huán)網(wǎng)（FDDI）、快速以太網(wǎng)&千兆以太網(wǎng)和異步傳輸模式（ATM）?？焖僖蕴W(wǎng)是近年來出現(xiàn)的高速網(wǎng)技術(shù)，它是以以太網(wǎng)技術(shù)為基礎(chǔ)升級(jí)發(fā)展而來的。由于快速以太網(wǎng)采用與現(xiàn)有以太網(wǎng)同樣的傳輸協(xié)議和數(shù)據(jù)幀格式，同時(shí)在結(jié)構(gòu)化布線方面又支持同樣的標(biāo)準(zhǔn)，因此通過對(duì)西塘河引水工程網(wǎng)絡(luò)需求和應(yīng)用的分析，西塘河引水工程網(wǎng)絡(luò)系統(tǒng)采用快速以太網(wǎng)技術(shù)和有關(guān)設(shè)備，一方面以滿足目前網(wǎng)絡(luò)應(yīng)用的需求，另一方面將來能平滑地升級(jí)更高速的網(wǎng)絡(luò)主干。 　　3.3網(wǎng)絡(luò)連接 　　3.3.1環(huán)網(wǎng)連接 　　以裴家圩為中心，分南北2個(gè)環(huán)網(wǎng)。在裴家圩中心，選用思科公司生產(chǎn)的WS-C3750G-24T-S以太網(wǎng)交換機(jī)主機(jī)（24個(gè)10/100/1000M）,建成以千兆以太主干網(wǎng)。在各分站，環(huán)網(wǎng)交換機(jī)選用思科公司生產(chǎn)的WS-C2950G-24-EI以太網(wǎng)交換機(jī)主機(jī)（24個(gè)10/100M，2個(gè)GBIC槽）配上2塊WS-G5486千兆單模光接口模塊。 　　考慮到計(jì)算機(jī)網(wǎng)絡(luò)的速度向千兆以太網(wǎng)發(fā)展，布線系統(tǒng)的信息節(jié)點(diǎn)全部為光節(jié)點(diǎn)，可升級(jí)和擴(kuò)展，各網(wǎng)絡(luò)終端出口采用國(guó)際標(biāo)準(zhǔn)的RJ45插座，以統(tǒng)一的線路規(guī)格和設(shè)備接口，使任意信息點(diǎn)都能插接不同類型的終端設(shè)備。 　　3.3.2 計(jì)算機(jī)監(jiān)控及圖像監(jiān)控的網(wǎng)絡(luò)連接 　　信息中心的服務(wù)器、工作站經(jīng)五類線與信息中心的環(huán)網(wǎng)交換機(jī)相連，各分站視頻現(xiàn)地處理器和具有以太網(wǎng)接口的PLC，經(jīng)五類線引至現(xiàn)地環(huán)網(wǎng)交換機(jī)。對(duì)閘首與閘尾之間距離超過100米的潘陽(yáng)、黃花涇船閘采用光纖連接，閘首閘尾配置1對(duì)光電轉(zhuǎn)換器，閘尾配置1臺(tái)8口集線器。這樣，所有設(shè)備均掛接在快速以太網(wǎng)上。 　　3.3.3 泵站測(cè)量系統(tǒng)網(wǎng)絡(luò)連接 　　裴家圩泵站裝有5臺(tái)高壓電機(jī)，包括一座10KV戶內(nèi)變電所，電量及溫度數(shù)據(jù)采集量較大，如果采用PLC模塊來采集，設(shè)備的成本較高。設(shè)計(jì)時(shí)溫度采用3臺(tái)巡檢儀進(jìn)行測(cè)量，電量測(cè)量采用測(cè)量與保護(hù)一體化的繼電保護(hù)裝置，二者均為RS-485/232通信標(biāo)準(zhǔn)。為保證數(shù)據(jù)通信的速度與可靠性，溫度巡檢儀與保護(hù)單元不直接與工作站串口相連，而是通過2只NPort 5230 通用2串口設(shè)備聯(lián)網(wǎng)服務(wù)器（485/ET轉(zhuǎn)換器）與交換機(jī)相連。3臺(tái)溫度巡檢儀與7套保護(hù)單元分別以485/ET轉(zhuǎn)換器為中心組成一個(gè)485網(wǎng)絡(luò)。 　　3.3.4 局域網(wǎng)與廣域網(wǎng)的連接 　　西塘河的局域網(wǎng)系統(tǒng)通過思科的pix515E防火墻和2620xm路由器與廣域網(wǎng)（internet）相連，這樣既保證了網(wǎng)絡(luò)連接的高速性又保證了內(nèi)部網(wǎng)絡(luò)的安全性，工作人員從外網(wǎng)可通過防火墻的vpn功能能訪問本系統(tǒng)的工作站或服務(wù)器，廣域網(wǎng)接入點(diǎn)為信息中心的3750交換機(jī)。 　　4. 網(wǎng)絡(luò)系統(tǒng)安全措施 　　4.1網(wǎng)絡(luò)系統(tǒng)安全 　　（1）西塘河信息管理系統(tǒng)基本安全主要包括網(wǎng)絡(luò)的正常運(yùn)行、網(wǎng)絡(luò)管理、數(shù)據(jù)庫(kù)資料不被竊取、對(duì)用戶帳號(hào)和口令進(jìn)行集中管理、服務(wù)器、PC機(jī)和Internet/Intranet網(wǎng)關(guān)的防病毒保證、提供靈活高效安全的內(nèi)外通訊服務(wù)等。 　?。?）控制查詢系統(tǒng)是西塘河信息管理系統(tǒng)網(wǎng)絡(luò)應(yīng)用的核心，應(yīng)該具有最高的網(wǎng)絡(luò)安全措施，主要包括：訪問控制，確保系統(tǒng)不被非法訪問；數(shù)據(jù)安全，保證數(shù)據(jù)庫(kù)軟硬系統(tǒng)的整體安全性和可靠性，保證數(shù)據(jù)不被來自網(wǎng)絡(luò)內(nèi)部其他子系統(tǒng)（子網(wǎng)段）的破壞；入侵檢測(cè)，對(duì)于試圖破壞系統(tǒng)的惡意行為能夠及時(shí)發(fā)現(xiàn)、記錄和跟蹤；系統(tǒng)服務(wù)器、客戶機(jī)以及電子郵件系統(tǒng)的綜合防病毒措施等。 　　4.2網(wǎng)絡(luò)安全措施 　　網(wǎng)絡(luò)安全是網(wǎng)絡(luò)方案一個(gè)非常重要的內(nèi)容，主要控制用戶在網(wǎng)絡(luò)的TCP/IP及以下層次上與系統(tǒng)中允許訪問的節(jié)點(diǎn)，在指定的TCP或UDP端口上進(jìn)行通信。西塘河信息管理系統(tǒng)，通過網(wǎng)絡(luò)設(shè)備安全、網(wǎng)絡(luò)數(shù)據(jù)流控制和網(wǎng)絡(luò)防病毒安全三個(gè)方面來實(shí)現(xiàn)網(wǎng)絡(luò)系統(tǒng)的安全。 　　4.2.1網(wǎng)絡(luò)設(shè)備安全 　　西塘河信息管理系統(tǒng)中有防火墻、交換機(jī)、路由器、訪問服務(wù)器和外部設(shè)備等，設(shè)備安全措施包括console端口和Telnet訪問限制、SNMP訪問與CDP設(shè)備發(fā)現(xiàn)限制、配置文件保護(hù)等，具體實(shí)施內(nèi)容包括： 　　在設(shè)備上設(shè)定用戶和口令，控制非特權(quán)方式和特權(quán)方式的訪問權(quán)，并且通過設(shè)定口令的加密鑰和網(wǎng)絡(luò)設(shè)備的單向加密機(jī)制，使用權(quán)口令在配置中以加密方式出現(xiàn)，保證口令的安全性； 　　設(shè)定訪問空間時(shí)限，如果管理員在設(shè)定的一段時(shí)間不向設(shè)備發(fā)送指令，路由器等設(shè)備將自動(dòng)終止訪問連接； 　　在設(shè)備上配置訪問控制表，內(nèi)部網(wǎng)絡(luò)上只有維護(hù)工作站和網(wǎng)管工作站可以登錄網(wǎng)絡(luò)設(shè)備，同時(shí)限制所有來自Internet的用戶對(duì)設(shè)備本身的訪問；在內(nèi)部網(wǎng)絡(luò)上只有網(wǎng)管工作站可以使用SNMP訪問； 　　除了Telnet服務(wù)外，在設(shè)備上取消全部IP服務(wù)器功能； 　　利用訪問控制表的LOG功能，定期檢查是否有人試圖攻擊路由器和防火墻等；在與外部網(wǎng)絡(luò)連接的廣域網(wǎng)端口上，不運(yùn)行CDP協(xié)議。 　　4.2.2網(wǎng)絡(luò)數(shù)據(jù)流的控制 　　通過控制電話的主叫號(hào)碼\數(shù)據(jù)流的源和目的IP地址、數(shù)據(jù)流對(duì)應(yīng)的TCP端口，實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)流的控制，具體措施包括： 　　在路由器上，采用CHAP、PAP協(xié)議驗(yàn)證對(duì)方路由器，設(shè)定擴(kuò)展的IP訪問控制表，實(shí)現(xiàn)IP層、傳輸層的安全控制；對(duì)訪問服務(wù)器的拔號(hào)設(shè)備和移動(dòng)用戶的訪問，通過設(shè)置限制拔號(hào)的主叫號(hào)碼，只有合法的ISDN或PSTN號(hào)碼可以拔入到服務(wù)器上； 　　采用防火墻將內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)完全分隔開來，嚴(yán)格控制外部的黑客侵犯內(nèi)部網(wǎng)絡(luò)；在路由器上設(shè)置限制服務(wù)器名字、路由表的廣播；在內(nèi)部網(wǎng)的路由器上取消代理ARP、移動(dòng)IP主機(jī)等功能；在端口上設(shè)定數(shù)據(jù)流過濾，防止內(nèi)部的IP地址欺騙； 　　對(duì)使服務(wù)失效的（Denial of Serve）拒絕服務(wù)攻擊，在路由器、訪問服務(wù)器上設(shè)置TCP攔截，防止惡意的攻擊； 　　嚴(yán)格控制PING、Telnet、Discard、Echo、SNMP、Rsh、Rlogin、Rcp、TraceRT等數(shù)據(jù)流通過網(wǎng)絡(luò)設(shè)備，原則上只允許本系統(tǒng)應(yīng)用需要的應(yīng)用數(shù)據(jù)流才能通過網(wǎng)絡(luò)設(shè)備； 　　通過按功能子系統(tǒng)和網(wǎng)絡(luò)結(jié)構(gòu)劃分虛擬網(wǎng)絡(luò)，通過路由器的訪問控制表來控制對(duì)某個(gè)特定網(wǎng)絡(luò)和主機(jī)的訪問； 　　通過數(shù)據(jù)流的控制，使數(shù)據(jù)流沿著系統(tǒng)功能預(yù)定的方式流動(dòng)，限制非法數(shù)據(jù)的流動(dòng)。 　　4.2.3網(wǎng)絡(luò)防病毒安全 　　西塘河信息管理系統(tǒng)是一個(gè)有多個(gè)網(wǎng)絡(luò)入口的連接點(diǎn)的網(wǎng)絡(luò)，病毒可以由軟盤、U盤、光盤等傳統(tǒng)介質(zhì)進(jìn)入，也可能由電子郵件、網(wǎng)絡(luò)服務(wù)器等進(jìn)入，還有可能從外部網(wǎng)絡(luò)中通過文件傳輸?shù)确绞竭M(jìn)入。所以在不僅在單機(jī)上要防毒，更要加強(qiáng)網(wǎng)絡(luò)的整體防毒措施。西塘河信息管理系統(tǒng)選用國(guó)內(nèi)知名的安全產(chǎn)品瑞星殺毒軟件網(wǎng)絡(luò)版，可實(shí)現(xiàn)遠(yuǎn)程化管理、自動(dòng)化管理和智能化管理。 　　5.網(wǎng)絡(luò)系統(tǒng)軟件 　　5.1 網(wǎng)絡(luò)軟件 　　5.1.1 網(wǎng)絡(luò)操作系統(tǒng) 　　網(wǎng)絡(luò)操作系統(tǒng)是網(wǎng)絡(luò)系統(tǒng)軟件的核心，也是各個(gè)全局性應(yīng)用系統(tǒng)的工作平臺(tái)。數(shù)據(jù)服務(wù)器的操作系統(tǒng)選擇符合開放系統(tǒng)標(biāo)準(zhǔn)，具有多任務(wù)優(yōu)先處理能力，安全達(dá)到C2級(jí)標(biāo)準(zhǔn)的網(wǎng)絡(luò)操作系統(tǒng)，并且保證各類控制器操作系統(tǒng)能夠方便進(jìn)行現(xiàn)場(chǎng)設(shè)備控制及數(shù)據(jù)采集的微機(jī)操作系統(tǒng)。根據(jù)西塘河網(wǎng)絡(luò)及計(jì)算機(jī)系統(tǒng)的特點(diǎn)，本系統(tǒng)選用基于NT架構(gòu)的Windows 2003標(biāo)準(zhǔn)中文版作為網(wǎng)絡(luò)操作系統(tǒng)。 　　5.1.2 數(shù)據(jù)庫(kù) 　　數(shù)據(jù)庫(kù)系統(tǒng)的選擇主要考慮數(shù)據(jù)庫(kù)性能，對(duì)Client/Server結(jié)構(gòu)和Browser/Server結(jié)構(gòu)支持；數(shù)據(jù)庫(kù)開放性，對(duì)異種數(shù)據(jù)庫(kù)互訪的支持；對(duì)異質(zhì)網(wǎng)絡(luò)和異質(zhì)操作系統(tǒng)的支持；對(duì)移動(dòng)計(jì)算和網(wǎng)絡(luò)計(jì)算的支持；易安裝與易維護(hù)。 數(shù)據(jù)庫(kù)是整個(gè)系統(tǒng)的資料集中存儲(chǔ)處，鑒于系統(tǒng)應(yīng)用的實(shí)際情況，為了方便統(tǒng)一管理，整個(gè)系統(tǒng)選用SQL server 2000作為西塘河工程的數(shù)據(jù)庫(kù)。 　　5.2 應(yīng)用軟件 　　西塘河信息管理系統(tǒng)應(yīng)用軟件主要由閘站監(jiān)控子系統(tǒng)單元、視頻監(jiān)視子系統(tǒng)單元、WEB查詢子系統(tǒng)單元和內(nèi)部管理信息子系統(tǒng)單元構(gòu)成。負(fù)責(zé)前端信息采集控制，如閘門監(jiān)控、視頻監(jiān)視、水質(zhì)監(jiān)測(cè)；信息存貯、處理，如數(shù)據(jù)庫(kù)管理、視頻信息管理；網(wǎng)絡(luò)服務(wù)，如網(wǎng)絡(luò)查詢、網(wǎng)絡(luò)調(diào)度等。 　　水質(zhì)站、閘門和泵站控制統(tǒng)一于組態(tài)軟件Intouch，通過Intouch完成數(shù)據(jù)的采集、整理和入庫(kù)；同時(shí)實(shí)施水質(zhì)采集和閘站控制功能。WEB查詢系統(tǒng)在監(jiān)控子系統(tǒng)提供的工情、水情、水質(zhì)信息的基礎(chǔ)上完成信息的發(fā)布；視頻監(jiān)視子系統(tǒng)相對(duì)獨(dú)立，但可通過視頻控件，為閘門控制提供視頻服務(wù)，實(shí)現(xiàn)WEB查詢與視頻監(jiān)控系統(tǒng)的集成；達(dá)到數(shù)據(jù)、圖像一體化顯示的目的。 　　5.3 系統(tǒng)冗余備份 　　西塘河信息管理系統(tǒng)的計(jì)算機(jī)集控和視頻監(jiān)視均采用雙工作站，Intouch控制軟件具有雙機(jī)熱冗余功能。視頻監(jiān)視軟件可以在多臺(tái)計(jì)算機(jī)上同時(shí)運(yùn)行，調(diào)看現(xiàn)場(chǎng)圖像。 　　系統(tǒng)兩臺(tái)服務(wù)器采用SteelEye 公司的LifeKeeper軟件對(duì)數(shù)據(jù)庫(kù)實(shí)行雙機(jī)熱備份。LifeKeeper 是一種支持多種軟、硬件平臺(tái)的高性能容錯(cuò)軟件，使服務(wù)器、操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)以及關(guān)鍵的數(shù)據(jù)及應(yīng)用程序保持連續(xù)不間斷，適應(yīng)各種機(jī)型、網(wǎng)絡(luò)結(jié)構(gòu)、軟件平臺(tái)及應(yīng)用系統(tǒng)。運(yùn)行時(shí)占用系統(tǒng)資源極少，不增加網(wǎng)絡(luò)負(fù)荷，不影響其它應(yīng)用系統(tǒng)的操作。采用純軟件方式實(shí)現(xiàn)雙機(jī)容錯(cuò)，不用增加任何額外硬件投資，對(duì)備機(jī)無硬件配置要求。 　　5.4 內(nèi)部管理網(wǎng)站 　　在上述網(wǎng)絡(luò)環(huán)境基礎(chǔ)上，利用WEB技術(shù)、基于Brower/Server結(jié)構(gòu)，結(jié)合JAVA、數(shù)據(jù)庫(kù)、網(wǎng)頁(yè)制作、Flash、3D、多媒體等技術(shù)，建立一個(gè)網(wǎng)站，將工程介紹、公告信息、公文信息、通訊資料、工程行政管理信息等收集起來并合理分類，按系統(tǒng)或按工作流程進(jìn)行系統(tǒng)開發(fā)，以服務(wù)于工程內(nèi)部的信息管理。 　 作者單位：蘇州市西塘河引水工程管理所 　 地址：江蘇省蘇州市高新區(qū)滸關(guān)鎮(zhèn)九圖村　215151　 Email：THHJ@TOM.COM