系统、数据与权限

01场站

02气象

03交易

04调度

05计量

图 10：系统不是越多越好；每个关键字段要有唯一权威源，控制系统与办公系统之间必须按电力监控安全要求分区防护。

10.1 系统地图

正在绘制业务流程…

图只表达教学关系，真实网络区划、接口和安全边界必须依据现行规定和企业设计实施。

【可核验事实】自2025年1月1日起施行的《电力监控系统安全防护规定》要求落实“安全分区、网络专用、横向隔离、纵向认证”等结构安全原则，并对监测预警、供应链、应急报告和取证提出要求。生产控制系统不能按普通SaaS或办公IT思路直接互联。[来源：SRC-D01-NDRC-POWER-CYBERSECURITY-2024]

10.2 系统及权威字段

系统	主要权威字段	主要用户	不能替代
SCADA/机组控制	实时状态、功率、报警、操作	07/08/17	正式结算电量和会计凭证
气象/预测	预测值、置信区间、版本时间	10/11	事后实际资源真值
调度通信	计划、指令、执行回执	07/12	内部交易授权
交易管理	申报、成交、曲线、限额	10	实时设备安全状态
计量结算	关口电量、结算科目、版本、异议	13/15	设备根因
EAM/CMMS	资产、缺陷、工单、维护和备件消耗	08/18/19	财务资产原值
绿证台账	核发、库存、成交、划转、核销	14/15	物理调度数据
合同采购	合同、变更、订单、验收、索赔	16/18	付款执行
ERP	总账、资产、应收应付、发票、成本	15	秒级运行控制
资金系统	账户、余额、支付、债务和受限资金	15	收入履约判断
主数据/BI	映射、指标、报表和血缘	17/19	原始权威记录

10.3 主数据最小集

主数据	必要字段	变更触发
法人	统一标识、许可、税务、账户、授权	股权、名称、许可或账户变更
项目	项目编码、批次、核准备案、地区、机制资格	容量、业主、方案或政策变化
场站/机组	资产编码、序列、容量、投运、质保、状态	技改、替换、退役
计量点	关口、表计、倍率、时区、产权、校验	表计更换、边界变化
交易单元	市场注册、节点、产品、限额、代理关系	注册、代理、市场规则变化
合同	对手、产品、曲线、价格、担保、期限	补充协议、转让、终止
绿证项目	建档编码、能源类型、核发账户、声明限制	业主、容量、账户变化
供应商	资质、产品、银行、关联方、绩效	资质/账户/制裁与信用变化

10.4 设备和工单状态机

正在绘制业务流程…

任何人不得直接把“检修中”改为“运行中”。系统应校验工作票终结、人员清场、保护恢复、测试和复役授权。

10.5 数据质量六规则

1. 完整：每个时段、机组、计量点是否都有数据或批准替代标记。
2. 及时：预测、可用状态、调度指令是否在业务截止前到达。
3. 一致：容量、单位、时区、正负方向在系统间是否一致。
4. 准确：表计倍率、传感器校准和算法是否受控。
5. 唯一：项目、机组、合同、绿证和结算版本是否重复。
6. 可追溯：谁在何时用什么依据修改，旧版本能否回放。

10.6 权限与职责分离

高风险动作	申请	审批	执行	独立复核
交易限额调整	10	风险/授权负责人	系统管理员配置	15/19
设备远程控制权限	07/08	06/17按制度	17开通	09/审计日志
保护定值变更	技术专责	技术及调度授权	合资格人员	独立试验与复核
计量替代数据	13	结算授权人	13指定人员	15/独立复核
绿证划转	14	环境权益授权人	平台实名用户	15/16
供应商银行账户	供应商/18	独立主数据审批	主数据管理员	15付款前复核
付款	业务/18	预算与业务授权	出纳/资金	会计核销
ERP手工凭证	15制单	财务复核	系统过账	期末审阅

10.7 OT变更最小闭环

变更申请要写业务必要性、受影响资产、风险、测试、调度影响、回退、停机窗口和供应商人员；批准后先在隔离环境或允许条件下测试，执行时双人见证，完成后验证保护、通信、数据和时间同步，最后撤销临时账号并归档配置差异。紧急变更也必须事后补审，不能因为“紧急”永久豁免。

10.8 备份、恢复和降级运行

对象	备份内容	恢复目标	降级方案
控制配置	PLC/保护/SCADA配置与版本	在批准RTO内恢复安全控制	就地控制、限制运行或停机
交易数据	申报、成交、曲线和限额	不错过关键交易/申报窗口	备用终端、电话/规则允许通道
计量结算	原始电量、倍率、结算版本	可重建月度结算	批准的替代数据流程
EAM	资产、工单、备件和历史	不丢失安全和维护证据	受控纸面/离线工单后补录
ERP资金	凭证、应收、账户和支付	防重复付款和漏收	手工清单、暂停非必要支付
绿证	核发、库存、划转和核销	防重复出售与声明	暂停交易直至对账

10.9 经营控制塔的四层看板

控制塔不是把几十个指标堆在大屏上，而是让不同时间尺度的决策看到同一因果链。

层	决策问题	核心信息	刷新频率	决策人
实时安全层	现在是否安全、可调、可控	人员、机组、保护、通信、天气、调度指令	秒/分钟	07/06/12
日内价值层	可用与预测变化怎样影响交易敞口	可用容量、预测置信、合同曲线、价格、偏差	分钟/小时	10/11/12
月度结算层	物理结果怎样变成正式量价和应收	关口计量、结算版本、机制、绿证、发票、回款	日/月	13/14/15
生命周期层	资产是否仍创造风险调整价值	资源、可靠性、寿命成本、技改、债务、合规、减值迹象	月/季/年	01/06/19

实时层不能直接展示未隔离的互联网数据源并允许反向控制；月度层不能用实时估算替代正式结算；生命周期层不能把短期好天气当长期改善。每一层都标明数据截止时间、口径、权威源、置信状态和责任人。

10.10 数据合同与接口故障处理

每个跨系统接口应有一份“数据合同”，至少包含字段含义、单位、时区、正负方向、粒度、主键、允许空值、迟到阈值、质量规则、版本、提供者、消费者和降级方案。例如设备可用容量若从EAM/SCADA传给预测系统，要约定：计划检修和故障谁优先、部分降容怎样表示、状态从何时生效、通信中断是否保持旧值、超过多久必须人工确认。

故障	系统不应做	正确降级	恢复后
气象源迟到	静默沿用旧预测并标成新版本	标记置信下降，启用备用源/人工评估	比较两源并解释偏差
设备状态中断	默认全部可用	采用保守状态或按制度人工确认	回放断点、补发并防重复
交易回执缺失	重复提交直到看到成功	查询幂等状态，按规则联系平台	核对是否产生重复成交
计量数据缺口	手工填平均值且不留痕	触发批准的缺失数据流程	用正式修正做追退补
ERP接口失败	省略当月收入或重复过账	暂存受控队列、人工对账	用唯一业务键去重

接口恢复不等于业务恢复。必须验证断点前后数据连续、顺序、去重、总量和财务影响；若错误数据已进入交易或结算，还要启动更正和通知。

10.11 四类会议与升级门槛

会议	参加岗位	只解决什么	必须升级的信号
班前/交接会	06/07/08/09/12	当班安全、设备、天气、作业和调度	人身红线、关键保护、无人接班
日经营会	06/07/08/10/11/12	昨日损失、今日可用、预测与敞口	重大偏差、长停机、极端天气
月结会	10/12/13/14/15/19	结算版本、收入、应收、现金和差异	表计争议、绿证负库存、逾期应收
月度资产会	01/02/06/08/15/18/19	全寿命损失、技改、预算和风险	共模缺陷、DSCR、许可/场址和减值信号

会议输出必须是“决定—理由—负责人—截止日—验证指标”，而不是一份会议纪要。安全、许可、交易限额、现金契约和绿证双计属于硬升级门槛，不能等下次例会。