SCADA Mimarisi ve IEC 61850 Entegrasyonu
Bu ders; büyük SCADA sistemlerinin katmanlı mimarisini, IEC 61850'nin veri modelini ve haberleşme servislerini (MMS, GOOSE, SV), istasyon ve proses barası mimarisini ve OT siber güvenliğinin temel standartlarını anlatır.
Öne Çıkanlar
- Endüstriyel kontrol ağları çoğunlukla Purdue modeline göre seviyelere (Level 0-5) ayrılır; OT ile IT arasına bir DMZ konur.
- IEC 61850, güç sistemi otomasyonu için veri modeli ve haberleşme servislerini tanımlar: MMS (istemci-sunucu), GOOSE (olay yayını) ve SV (örneklenmiş değerler).
- Mantıksal düğüm (Logical Node) modeli, koruma ve kontrol işlevlerini standart nesnelere eşler (ör. XCBR kesici, PTOC aşırı akım).
- Güç sistemi protokollerinin güvenliği IEC 62351'de, endüstriyel kontrol sistemlerinin ve tesisin siber güvenliği IEC 62443 serisinde ele alınır.
SCADA Katmanlı Mimari
Endüstriyel kontrol sistemleri çoğunlukla Purdue referans modeliyle tanımlanır:
- Level 0 - Fiziksel proses: Sensörler, aktüatörler, motorlar, kesiciler.
- Level 1 - Kontrol cihazları: PLC, RTU, IED (akıllı elektronik cihaz).
- Level 2 - Denetim: Yerel HMI, SCADA sunucusu, veri toplama.
- Level 3 - Operasyon: Historian, MES, batch sunucusu, mühendislik istasyonları.
- Level 4-5 - Kurumsal: ERP, iş zekâsı, bulut ve dış bağlantılar.
Level 3 ile Level 4 arasına endüstriyel DMZ kurulur. OT ağı, IT ağından güvenlik duvarıyla, gerektiğinde tek yönlü veri diyotuyla ayrılır. Trafo merkezi ve fabrika enerji izleme projelerinde bu ayrım, SCADA ve enerji izleme altyapısının ilk tasarım kararlarındandır.
SCADA'nın Bileşenleri
| Bileşen | Rol |
|---|---|
| HMI (istemci) | Operatör arayüzü; alarm, komut, trend |
| SCADA sunucusu | PLC/IED'lerden veri toplama, işleme, HMI'lere dağıtım |
| Historian | Zaman damgalı veri arşivi; trend ve rapor |
| OPC / ağ geçidi | Protokoller arası dönüşüm (ör. Modbus → OPC UA) |
| Web / mobil erişim | Uzaktan izleme; DMZ üzerinden ve yetkilendirmeyle |
| Mühendislik istasyonu | Konfigürasyon ve değişiklik yönetimi |
| Yedek sunucu | Sıcak yedek; otomatik devralma |
Türkiye'de yaygın SCADA yazılımları: Siemens WinCC, AVEVA (eski Wonderware) InTouch/System Platform, ABB 800xA, GE iFIX, Inductive Automation Ignition, Rockwell FactoryTalk.
IEC 61850
IEC 61850'nin ilk bölümleri 2002-2005 arasında trafo merkezi otomasyonu için yayımlandı. Ed.2 ve Ed.2.1 ile kapsamı genişletildi; standart bugün "güç sistemi otomasyonu için haberleşme ağları ve sistemleri" adını taşır. Amacı, farklı üreticilerin cihazlarının ortak bir veri modeli ve yapılandırma diliyle birlikte çalışmasıdır. Üç ana haberleşme servisi vardır:
1. MMS (Manufacturing Message Specification)
İstemci-sunucu mimarisiyle çalışır. HMI, ağ geçidi veya SCADA (istemci), IED'den (sunucu) veri okur, raporları alır ve komut gönderir. Ölçüm değerleri, olay kayıtları ve kontrol komutları için kullanılır. TCP/IP üzerinde çalışır.
2. GOOSE (Generic Object Oriented Substation Event)
Yayıncı-abone mimarisiyle çalışır. Bir IED bir olayı (kesici açtı, koruma çalıştı) yayınlar; abone olan IED'ler bunu alır. Doğrudan katman 2 Ethernet üzerinde taşınır. IEC 61850-5, koruma açma mesajları için 3 ms aktarım süresi öngörür (tip 1A, performans sınıfı P2/P3). GOOSE, IED'ler arasındaki kablolu kilitleme ve açma sinyallerinin yerini alabilir.
3. SV (Sampled Values) ve Proses Barası
Akım ve gerilim trafosu sekonder büyüklüklerinin dijital olarak paylaşılmasıdır. Klasik sistemde her IED akım ve gerilim trafosu sekonderini kabloyla alır. SV mimarisinde birleştirme birimi (merging unit) örnekleri Ethernet'e yayınlar, IED'ler abone olur. Bu yapı saha kablajını önemli ölçüde azaltır. IEC 61850-9-2 LE uygulamasında koruma için 50 Hz'de periyot başına 80 örnek (4000 örnek/s) kullanılır. IEC 61869-9, koruma için frekanstan bağımsız 4800 örnek/s öngörür.
Mantıksal Düğüm (Logical Node) Modeli
IEC 61850'nin temel yaklaşımı, sahadaki işlevleri standart veri nesnelerine eşlemektir. Örnekler:
- XCBR: Kesici
- XSWI: Ayırıcı
- PTOC: Zaman gecikmeli aşırı akım koruması
- PDIF: Diferansiyel koruma
- PDIS: Mesafe koruması
- MMXU: Ölçüm değerleri
- RREC: Otomatik tekrar kapama
- CSWI: Anahtarlama kontrolü
Her mantıksal düğümün standart veri nesneleri ve nitelikleri vardır. Ortak model, farklı üreticilerin IED'lerinin aynı sistemde çalışmasını mümkün kılar. Ancak birlikte çalışabilirlik kendiliğinden oluşmaz; SCL yapılandırması ve fabrika ile saha kabul testleriyle doğrulanır.
İstasyon Barası ve Proses Barası
| Bara | Bağlantı | Servisler | Altyapı |
|---|---|---|---|
| İstasyon barası | IED - HMI - ağ geçidi | MMS, GOOSE | Endüstriyel Ethernet anahtarları; SNTP/PTP zaman senkronu |
| Proses barası | IED - birleştirme birimi | SV, GOOSE | PTP zaman senkronu (IEC 61850-9-3), PRP/HSR yedeklilik |
Yedekli ağ için PRP (Parallel Redundancy Protocol) veya HSR (High-availability Seamless Redundancy) kullanılır. Her iki yöntem de çerçeveleri iki yoldan gönderdiği için tek bir ağ elemanı arızasında kesintisiz (sıfır devralma süreli) çalışır.
SCL (Substation Configuration Language)
IEC 61850-6, istasyonun ve cihazların XML tabanlı SCL dosyalarıyla tanımlanmasını öngörür:
- SSD (System Specification Description): Sistem şartnamesi: tek hat şeması ve istenen işlevler.
- ICD (IED Capability Description): Cihazın yetenekleri (üreticiden gelir).
- IID (Instantiated IED Description): Proje için hazırlanmış tek cihaz tanımı.
- SCD (Substation Configuration Description): İstasyonun tam yapılandırması; tüm IED'ler ve haberleşme.
- CID (Configured IED Description): Cihaza yüklenen yapılandırma.
- SED (System Exchange Description): Projeler arası arayüz bilgisi.
Güncel SCD dosyası, istasyonun haberleşme dokümantasyonunun merkezidir; genişletme ve bakım bu dosya üzerinden yapılır.
Siber Güvenlik: IEC 62351 ve IEC 62443
- IEC 62351: Güç sistemi protokollerinin güvenliği. MMS için TLS ve sertifika tabanlı kimlik doğrulama (62351-3/-4); GOOSE ve SV için mesaj kimlik doğrulama (62351-6). Hangi önlemlerin uygulanacağı proje şartnamesinde ve cihaz desteğine göre belirlenir.
- IEC 62443: Endüstriyel kontrol sistemlerinde bölge ve kanal yaklaşımı, güvenlik seviyeleri, ürün ve entegratör gereklilikleri.
- Ağ ayrımı: DMZ, VLAN, güvenlik duvarı, endüstriyel protokolleri tanıyan saldırı tespit sistemleri.
- USB ve servis portlarının kontrolü, uygulama beyaz listesi.
- Rol tabanlı erişim, merkezi olay kaydı, değişiklik yönetimi.
- Varlık envanteri ve zafiyet takibi: OT ağında aktif tarama dikkatle yapılmalı; pasif izleme araçları tercih edilmelidir.
Örnek: 154/34,5 kV Trafo Merkezi
3 adet 154 kV fider, 2 adet 154/34,5 kV trafo ve 20 adet 34,5 kV fiderden oluşan bir trafo merkezinde her fider için ayrı koruma-kontrol IED'si kullanılır. İstasyon barası PRP ile çift LAN olarak kurulur. Proses barası yeni tesislerde, genellikle HSR veya PRP ile, isteğe bağlı olarak eklenir. HMI'da yedekli sunucu ve istemciler bulunur. Uzak kontrol merkezine bağlantı ağ geçidi üzerinden IEC 60870-5-104 ile yapılır. Ölçüm değerleri MMS raporlarıyla periyodik veya değişime bağlı olarak gönderilir. Koruma açma ve kilitleme sinyalleri GOOSE ile birkaç milisaniyede iletilir.
Bu içerik ileri seviye eğitim amaçlıdır. Gerçek trafo merkezi otomasyon projesi için sertifikalı sistem entegratörü ve yetkili mühendis çalışması gereklidir.