核動力船舶綜合安全信息管理系統設計與技術分析

(中廣核研究院有限公司 廣東 深圳 518000)

引言

目前國內外對核動力船舶(也稱核電船)的研究屬于一個發展潛力巨大的熱門研究領域。其自動化信息技術可以幫助管理監控人員及時快速了解船舶當前的狀態，為事件信息決策提供有效幫助和支持，可節省大量時間。

國外核電船的相關研究較早，綜合安全信息管理系統的技術較為成熟，如美國海軍開發的一種綜合艦載網絡系統(ICAN)已在尼米茲號航母上進行了搭建，提供了艦艇數字化、智能化的網絡平臺，同時具備了多種信息相互協同的潛力[1]。國內核電船的設計開發尚處于起步階段，目前國內幾家公司已投入到核電船的研究當中[2]。

本設計在某核動力實驗船項目的基礎上，以生產應用和市場需求為前提，基于目前成熟的信息技術和開放體系，設計開發出一套滿足核電及船舶安全管理規定的綜合安全信息系統，提供核電船生產及日常事務處理信息化手段。

一、系統功能

綜合安全信息管理系統的本質是采用先進的計算機信息技術、通信技術和網絡技術將各塊信息模塊有機地集成在一起，須滿足核電領域設計相關的安全性、可靠性、冗余性的要求，在傳統船舶信息網的基礎上實現船側、堆側的信息交互，保證各系統的互聯互通和信息共享，實現與廣域網的安全通信，并可提供平臺綜合狀態顯示和日常辦公功能。整個系統最終形成一個開放的集監控、管理、通信、采集、存儲于一體的綜合安全管理系統網絡平臺，達到提高核動力船舶信息網絡安全管理的目的。

本項目核動力船舶綜合安全信息管理系統的主要核心功能需求有：信息集成、生產數據應用、綜合辦公業務、姿態測量、信息傳輸、網絡監控、信息安全、生活保障、外網接入功能[3]。

根據項目的實際需求和設計要求，核動力船舶的綜合安全信息管理系統與普通船舶的主要區別包括：具備核生產運行相關數據的交互，更加考驗系統的安全性與可靠性，且與核生產相關系統須單向通信保證數據流通的可控性；具備本地網、陸地網、廣域網內外網安全切換通信功能；重新建立網絡安全體系的搭建；多網切換訪問采用融合技術實現虛擬化融合配置；相關關鍵核心設備采用熱備冗余的配置設計；網絡架構搭建既滿足海船設計準則，也符合核電設計當中安全相關規范的要求。

二、系統組成與搭建

依據核安全生產設計的安全防護保障要求，建立有針對性的防護策略，合理規劃信息網絡安全架構，配置關鍵信息處理、安全管理等設備一體化部署，配置對終端接入信息網絡的認證和準入訪問資源的管理后端，實現內部終端用戶的管控。

由于平臺信息化業務種類較多，通過分析不同系統的重要等級和具體服務對象的邊界等指標將平臺所需要重新納入本網絡的子系統進行功能劃分，包括重要生產系統、日常相關系統、船運行系統、對外互聯系統等。根據運維與日常數據信息隔離的設計要求將本系統劃分為兩大功能網：運行業務網(內部網)和平臺保障網(外部網)，同時考慮業務網絡的特殊性、安全性要求，將包含的數據中心、平臺動態信息采集及顯示系統、機房集中監控系統、姿態測量系統、定位導航系統等若干子系統劃分為兩個硬軟隔離的網絡，以承擔不同需求和功能的業務，且相互隔離的子系統間的數據可通過計算機網絡系統和數據中心進行相互讀取和傳輸，所以并不屬于傳統意義上的物理性隔離。同時系統具備通信內網與外網接通功能。其架構組成及連接如圖1所示。

圖1 系統架構組成及連接圖

運行業務網除了以上業務功能外，還可提供損管監控系統、輔機監控系統業務，與航空保障系統、平臺裝置與系泊系統、二回路系統、沖擊與應力監測系統、機電綜合監控系統、實驗堆DCS(數據采集系統)系統互連等功能擴展。

數據中心設置兩套服務器/存儲設備分別接入運行業務網、平臺保障網。在此基礎上，通過采用分區設計的模式搭建核電船綜合安全信息管理系統[4]。

平臺綜合安全信息管理系統主要的子系統功能及搭建如下：

(一)數據中心

提供系統集中計算處理和存儲功能。設置公用服務器，為各分系統應用軟件和任務執行提供集中計算處理服務。建立共用存儲設備，具有系統數據的集中存儲能力。

(二)計算機網絡系統

系統作為提供綜合安全信息管理系統的相關底層硬件和軟件服務而搭建的網絡，用于提供接入信息網及業務網的互聯互通以及信息共享等功能，并為平臺綜合信息系統提供網絡安全保障，配置網絡管理、平臺外部網絡接入安全、網絡用戶接入認證、終端安全防護等功能。系統整體架構圖如圖2所示。

圖2 計算機網絡系統整體架構圖

計算機網絡系統整體架構采用分區分域設計模式。從架構上，核心層完成各模塊各分區之間的快速數據交流，二層部署安全策略實現安全防護，接入層交換機為終端提供快速連接通道。分區角度看，可分為平臺辦公網接入區、網絡管理區、平臺內部服務器區、對外互聯區、虛擬桌面區域、生產區域。內部網和外部網融合組網，通過終端虛擬桌面讀取方式實現數據隔離，出口區域通過部署功能齊全的安全管理一體機與船載衛星通信設備進行信息加密的互聯互通，實現與外界網絡包括互聯網的信息交互。考慮設備冗余可靠性、機體性能、擴展能力、支持虛擬化等因素配置，核心層主要是核心交換機設計，搭配二臺核心主機熱備工作。內外網隔離設計采用超融合虛擬桌面技術實現安全內外網的訪問，包括對陸上集團網的訪問控制。虛擬桌面平臺包含用戶層、訪問層、控制層和資源層。訪問層提供虛擬桌面訪問入口、網絡安全隔離、虛擬桌面平臺內部負載均衡等功能。控制層可保證平臺的可擴展性，在邏輯上與資源層分離，同時也是為了網絡安全的需求。

通過分析用戶需求，內外網訪問機制含以下幾種控制手段：

船上用戶訪問互聯網：平臺辦公網與互聯網不能直連，必須通過位于DMZ(隔離緩沖區)緩存安全區的虛擬應用來訪問，實際互聯網數據交互只發生在DMZ區中，確保平臺辦公網和互聯網之間的數據隔離。

陸上集團或外網訪問船上平臺網：通過各自專有衛星鏈路先訪問安全網關的入口，再通過平臺辦公網虛擬桌面訪問船上平臺辦公網的服務器，或者從虛擬桌面上獲取自己的辦公數據。

平臺網訪問集團內網：通過衛星鏈路與集團網實現路由可達，再通過VPN連接到集團網絡或通過訪問集團的虛擬桌面系統實現通信。

(三)平臺動態信息采集及顯示系統

本系統提供船側平臺和核電生產相關數據的集中收集及顯示，供核電相關人員以及船側管理人員在辦公區域進行實時監視機組側內部設備相關運行信息及船側重要系統相關狀態，幫助管理人員及時掌握平臺各重要系統綜合技術狀態，提供綜合報警等信息。

另外本系統可以通過將平臺相關系統實時技術狀態信息根據需要送至實驗堆儀控系統，保證堆側工作人員能對船側運行狀況進行監控跟蹤和了解，以便調整狀態。

(四)核動力生產信息管理系統

核動力綜合信息系統為機組側核電區域生產過程建立實時和歷史數據庫應用平臺，主要為調試、運行、技術支持等生產監管人員提供核電區域生產過程實時管理監控和綜合優化服務。系統與外部的連接通道均通過單向網閘實現數據傳輸及存儲功能，保證核生產相關重要數據的安全控制。核動力綜合信息系統主要包含安全Ⅱ區和信息管理大區兩部分。其中安全Ⅱ區的數據通過鏡像服務器至管理大區進行應用，同時信息管理大區數據可根據需求將部分數據通過平臺信息業務網連接到衛星實時傳輸系統實現對外傳輸。

(五)姿態測量系統

系統采集對象可配置：測量記錄并傳輸平臺的縱傾角、橫傾角、橫搖角度、縱搖角度，垂蕩運動、浪向等數據；讀取顯示平臺風向風速(氣象設備)、航速、航向等數據；測量指定點的數據，包括運動幅值、運動周期、運動加速度；提供測量數據給一回路供生產運行人員進行監測。

三、系統安全防護設計

信息技術一方面極大推動了艦船通信系統的發展，也帶來了信息安全方面的新挑戰，尤其是未來的艦船電力、網控系統必將高度依賴信息技術，所以在構建系統的同時必須高度重視其信息安全問題[5]。

由于核動力船舶綜合安全信息管理系統各系統間內外部路由接口較多，傳輸容量較大，且對堆側核生產保密性要求較高。根據核電廠相關設計規范的要求，需要具備可靠的安全防護手段以滿足核電工程設施的設計要求。通過對系統結構化、模塊化設計思路的分析，采用一體化安全防護措施進行設計，包含集中防護、分等級防護、縱深防護、歸并系統接入等安全服務。

在網絡平臺內網安全隔離及控制設計中，首要考慮核心交換區域安全防護，對于網絡中的基礎設施資產的管理，包括網絡設備、安全設備、服務器和數據庫等，通過堡壘機實現對重要業務資產操作的認證、授權和操作記錄審計具有可靠的安全保障，以及采用運維功能進行集中管理、協議代理和身份授權分離等安全操作。

在用戶接入和安全訪問控制中，為保證數據的安全性，生產網終端所在網絡與內網、互聯網DMZ區首先應通過安全管理一體機的防火墻功能進行隔離，并僅開通必要的IP和端口，保證數據隔離的有效性。

在邊界安全保護設計中，邊界隔離與訪問控制、IPS及上網行為管理等功能由集成性的安全管理一體機整體實現，根據安全策略控制(允許、拒絕、監測)出入網絡的信息流，具有較強的抗攻擊能力，對外可提供服務的業務系統的安全，并進行入侵行為跟蹤分析。

在內網通信安全保護設計中，鏈路冗余設計通過部署兩臺核心交換機堆疊，內部連接部分采用鏈路捆綁的方式，增加內部鏈路的冗余性；同時針對內部關鍵服務器，采用多服務器集群的方式。本項目采用終端準入系統，實現網絡可信接入和用戶的身份鑒別。網絡設備保護(堡壘機)實現對重要業務資產操作的認證、授權和操作記錄審計的要求，降低運維人員管理成本，提高運維效率，通過運維堡壘主機的方式進行集中管理、協議代理和身份授權分離的安全操作。

在終端安全保護設計中，通過部署終端健康檢查和修復系統實現終端安全的集中統一管理，強化終端安全策略，終端安全管理軟件還可滿足接入和外聯的可管理要求，可實現移動存儲設備的認證和設備使用授權。

四、結束語

針對當今核電船的發展現狀，提出了核電船綜合安全信息管理系統。本設計中，基于核電及船舶的安全防護設計原則，采用了集成式設計思路將各模塊化子系統融合到具備采集、監控指揮、服務管理、存儲等服務的信息一體化平臺，有效解決了當前國內核電船中的核船信息一體化困難的問題，為核電船實現平臺綜合安全信息監控與統一管理提供重要幫助。由此可見，以促進信息的流動和控制為前提的核電船綜合安全信息管理系統具有一定的實際研究和推廣價值。