智慧城市云數(shù)據(jù)中心建設技術方案設計

.PAGE.第一章、智慧城市云數(shù)據(jù)中心建設目標根據(jù)《國家電子政務"十二五"規(guī)劃》〔中辦發(fā)〔2006〕18號等文件,以智慧城市建設總體思路為指導,建設智慧城市云數(shù)據(jù)中心,實現(xiàn)統(tǒng)一建設、統(tǒng)一管理、統(tǒng)一使用,為智慧城市和全市〔縣、區(qū)各部門的業(yè)務應用系統(tǒng)提供統(tǒng)一的機房空間、網(wǎng)絡資源、存儲災備、安全保障和運維服務,實現(xiàn)信息基礎資源互通共享,從底層來聯(lián)系整個政府機構內外的異構系統(tǒng)、應用、數(shù)據(jù)庫資源等,打通各個職能部門間的"信息孤島",滿足社會服務與管理,共享基礎數(shù)據(jù)庫、協(xié)同辦公、行政審批與處罰、智慧城管、智慧社區(qū)等應用以及其他職能部門之間無縫的共享和交換數(shù)據(jù)的需要,實現(xiàn)相關部門的資源共享,提升政府的行政效率。1.1、建設統(tǒng)一云數(shù)據(jù)中心作為電子政務統(tǒng)一的基礎資源平臺,包括：網(wǎng)絡資源、計算資源、存儲資源等,并對基礎資源進行池化,使各部門各單位的用戶可以靈活的共享和按需分配。1.2、建設電子政務外網(wǎng)應用的云計算PAAS平臺作為全市〔縣、區(qū)電子政務統(tǒng)一的基礎資源平臺,不僅需要提供IAAS層的基礎設施,還能夠對上層基于SOA架構的電子政務類應用進行一定的能力支撐,包括基本的數(shù)據(jù)庫、中間件等通用的基礎軟件資源和電子政務類公共組件類的軟件資源。各部門各單位不僅可以共享PAAS層資源,而且可以在PAAS平臺的基礎上,簡單、快速的開發(fā)不同功能類的電子政務類應用。1.3、建立統(tǒng)一高效的運維管理平臺建立基礎資源平臺的統(tǒng)一運維管理體系,對機房基礎設施、IT設備、虛擬機、數(shù)據(jù)庫以及上層應用軟件等資源進行統(tǒng)一的檢測、動態(tài)調度和自動化控制管理,簡化運維管理的流程和人工操作,提高基礎管理平臺的運維效率,降低云數(shù)據(jù)中心運行成本。1.4、建立統(tǒng)一的安全保障體系按照國家政務外網(wǎng)統(tǒng)一安全規(guī)劃,參照等級保護的基本要求,建立統(tǒng)一的政務外網(wǎng)安全保障體系,加強安全管理、統(tǒng)一安全策略、統(tǒng)一標準規(guī)范,保障政務外網(wǎng)云數(shù)據(jù)中心和政務業(yè)務系統(tǒng)安全可靠運行。第二章、云數(shù)據(jù)中心需求分析參考國家電子政務和智慧城市等系列標準規(guī)范和成功經(jīng)驗,對云數(shù)據(jù)中心的建設需求進行分類定性分析。2.1云數(shù)據(jù)中心應用需求分析2.1.1全局型應用需求分析全局型應用是指為政府及其部門以及面向社會公眾提供服務的電子政務應用系統(tǒng)。常見的全局型應用系統(tǒng)舉例如下。1. 綜合辦公系統(tǒng)電子政務辦公管理系統(tǒng)是為滿足政務系統(tǒng)需要的共性辦公電子政務運轉系統(tǒng),處理所有的內部電子制文、聯(lián)合征信、節(jié)能減排等各共性應用功能,外部來文與辦文管理的各環(huán)節(jié)工作,同時也是信息采集,調研和研究需要的工作平臺。2. 行政審批服務系統(tǒng)行政審批綜合管理信息平臺,實現(xiàn)信息共享、網(wǎng)上流轉、協(xié)同審批、實時監(jiān)察、信息分析、績效評估等功能；形成一體化的交互式、可跟蹤、可查詢、可監(jiān)督、可評價、可視化的網(wǎng)上審批系統(tǒng)和電子監(jiān)察系統(tǒng),進一步規(guī)范行政審批行為,提高行政審批效率,不斷降低行政管理成本,推動行政管理體制的改革,促進政府職能轉變。3. 信息發(fā)布系統(tǒng)信息發(fā)布系統(tǒng)是以實現(xiàn)信息采集、編輯、發(fā)布和后臺管理為主要功能的信息管理平臺。主要是對站點、欄目和文檔操作進行管理,對站點、欄目和文檔的顯示模板進行管理,對部門、用戶組和用戶權限的操作進行管理,對文檔評論的審批進行管理,定制個人頁面的顯示風格和系統(tǒng)的默認顯示風格,配置系統(tǒng)需要的資源信息,提供查看系統(tǒng)日志的功能。除了以上三種全局型應用系統(tǒng),還有一些公共的IT云數(shù)據(jù)中心,比如：郵件系統(tǒng)、門戶網(wǎng)站系統(tǒng)、地理信息系統(tǒng)等。這些系統(tǒng)要求云數(shù)據(jù)中心能夠為大量的用戶提供穩(wěn)定的高并發(fā)的WEB訪問,而且大部分的訪問類型都是上載、下載文件、圖片甚至包括音視頻文件等等。因此,這類全局型的公共應用需要大并發(fā)、高帶寬、高可靠性以及高存儲等特點的云平臺。2.1.2行業(yè)型應用需求分析行業(yè)型應用是指政府各個部門的各自業(yè)務范疇內所需要的非通用業(yè)務軟件。需要電子政務支撐云平臺、數(shù)據(jù)集成共享與交換平臺以及通用數(shù)據(jù)庫中間件平臺來支撐。與全局型應用類似,這些行業(yè)型應用及其支撐平臺對云數(shù)據(jù)中心同樣有高效性、高可靠性等需求,另外還有如下需求：標準遵循電子政務支撐云平臺既要對上層各個政府部門的行業(yè)應用提供支撐,又要對下層通用平臺和云數(shù)據(jù)中心進行調研和接口,因此要求云數(shù)據(jù)中心的各個組成部分必須兼容業(yè)界通用的相關標準,避免由于標準兼容性問題造成無法連接或者不穩(wěn)定與低效?？蓴U展性電子政務支撐云平臺后續(xù)要逐步支撐全省的電子政務業(yè)務系統(tǒng),因此自身一定具備良好的擴展性。這就要求通用平臺和云數(shù)據(jù)中心都必須具備良好的可擴展性,包括：不停機在線擴展、高指標上限等。靈活性電子政務支撐云平臺作為底層資源為上層電子政務業(yè)務系統(tǒng)調用,因此自身必須具備資源靈活調度與自動化管理的能力,這就要求其下層的通用平臺和云數(shù)據(jù)中心也同樣具備這種靈活性,并且能夠屏蔽大多數(shù)的技術細節(jié),只需調用即可。2.1.3資源型應用需求分析資源型應用需求是指各個政府部門特定的業(yè)務應用需求,不需要云數(shù)據(jù)中心提供任何的PAAS層的相關服務與框架支撐,其上層的所有組件與服務模塊都由該政府部門的業(yè)務應用獨立完成。因此資源型應用僅需要云數(shù)據(jù)中心提供最基本的計算、存儲、網(wǎng)絡和安全方面的資源。這些資源需求包括：虛擬機、物理機、SAN存儲空間、網(wǎng)絡負載均衡、防火墻、公網(wǎng)IP地址、VLAN、安全組、虛擬私有云等。2.2政務云數(shù)據(jù)中心管理需求分析為了維護云數(shù)據(jù)中心的各種系統(tǒng)和應用的平穩(wěn)、高效運行,根據(jù)前文所述業(yè)務應用針對云數(shù)據(jù)中心的管理需求,云數(shù)據(jù)中心的管理系統(tǒng)應當具如下列舉的管理需求。1、能夠對虛擬化環(huán)境、云數(shù)據(jù)中心和物理環(huán)境的性能、事件和配置參數(shù)進行集中監(jiān)控和管理；2、能夠根據(jù)租戶自助的或者管理員手動的指令,自動分配相應的計算、存儲、網(wǎng)絡和安全資源給相應的使用者；3、能夠對提供給租戶的資源提供QOS和SLA的保障；4、能夠對云數(shù)據(jù)中心自身以及底層的機房基礎設施和上層的應用系統(tǒng)進行監(jiān)控、報警和事故處理,具有一定的自動化能力；5、具有統(tǒng)一的門戶,管理員登錄后又可以分為運維側和運營側兩套不同的功能集合,并能夠分權分域；6、具有良好的擴展性,至少包括今后會用到的IT服務流程管理體系〔ITIL標準、運營出租計費系統(tǒng)〔或者與運營商計費系統(tǒng)對接和多個計算中心的統(tǒng)一管理與協(xié)調調度能力；7、具有各種專家知識庫和人工智能的日志、事件分析能力,能夠根據(jù)不同的客戶需求產生不同種類的報表和視圖；8、具有良好的開放性,能夠為云數(shù)據(jù)中心的上層PAAS和業(yè)務應用提供API〔或其他調用接口,以便上層平臺能夠自動化的調用底層基礎資源。2.3云數(shù)據(jù)中心安全需求分析電子政務的業(yè)務應用需要部署政務協(xié)同辦公系統(tǒng)、政府門戶網(wǎng)站群、行政審批系統(tǒng),以及社會服務與管理信息化平臺等,項目建設過程中的安全需求重點包括：在全面的安全保障體系框架基礎上,在保證今后安全平臺可擴展性的條件下,重點關注對云計算基礎設施和各業(yè)務應用系統(tǒng)的安全防護上。安全需求包括：1、安全域的劃分與隔離根據(jù)國家信息安全針對電子政務的等級保護相關政策,云數(shù)據(jù)中心應當進行安全與的劃分,并針對不同等級的安全域進行邏輯隔離,做嚴格的訪問控制策略。2、抵御來自互聯(lián)網(wǎng)的攻擊與威脅由于部分業(yè)務系統(tǒng)需要對互聯(lián)網(wǎng)的公眾提供各種業(yè)務服務和公共信息展現(xiàn),因此云數(shù)據(jù)中心與互聯(lián)網(wǎng)的邊界必須能夠抵御來自互聯(lián)網(wǎng)的攻擊與各種威脅。這些攻擊和威脅包括但不限于：DDOS攻擊、針對網(wǎng)站的入侵攻擊、病毒蠕蟲等惡意軟件的傳播等。云數(shù)據(jù)中心的安全保障體系必須能夠抵御這些來自互聯(lián)網(wǎng)的攻擊與威脅。3. 保障云平臺的安全性對于云數(shù)據(jù)中心,由于采用了虛擬化和多用戶訪問等一系列先進的技術手段,因此必須保障虛擬機隔離和多租戶等一系列云數(shù)據(jù)中心特有的安全問題。4、安全管理需求為了保障云數(shù)據(jù)中心的安全性,必須建立起包含安全事件分析、安全審計、日志分析等獨立的可追溯的安全管理體系,并配合一系列安全策略方針和管理制度。5. 保障數(shù)據(jù)安全性云數(shù)據(jù)中心中數(shù)據(jù)的重要性遠遠大于其他的軟、硬件產品。因為任何產品的失效都可以通過維護和替換來解決,損失的只是時間和金錢。一旦云數(shù)據(jù)中心數(shù)據(jù)安全性受到破壞〔包括：丟失、泄密、被篡改等,則損失是無法彌補的。因此,保障數(shù)據(jù)的完整性、保密性和可用性都是云數(shù)據(jù)中心的重要安全需求。7、系統(tǒng)和數(shù)據(jù)的容災備份考慮云數(shù)據(jù)中心需要支持關鍵電子政務應用,應用可用性和數(shù)據(jù)的安全性非常重要,因此需要建立云數(shù)據(jù)中心的本地容災體系。一般建設首先保證本地高可靠容災,一臺存儲故障不影響云平臺上層業(yè)務體驗,達到存儲自動切換的功能。第三章、云數(shù)據(jù)中心機房建設方案3.1機房建設智慧城市數(shù)據(jù)中心機房包含UPS供電間、聯(lián)合指揮中心、主機房以及各功能辦公室等部分的建設。本方案主要建設的信息設施系統(tǒng)包括：裝修工程、UPS室機房裝飾系統(tǒng)-照明、二次消防改造工程、機房供配電系統(tǒng)、機房柜式七氟丙烷自動滅火、機房內外區(qū)裝飾系統(tǒng)-電氣、機房內外區(qū)裝飾系統(tǒng)-給排水工程、機柜冷通道封閉、環(huán)控系統(tǒng)、計算機網(wǎng)絡系統(tǒng)、暖通系統(tǒng)、綜合布線系統(tǒng)工程等。機房建設必須建立良好的供電系統(tǒng),在這個系統(tǒng)中不僅要解決IT設備〔主機、網(wǎng)絡、主控、電腦、終端等用電的問題,還要解決保障IT設備正常運行的其它附屬設備〔機房空調、新風機、照明系統(tǒng)、安全消防系統(tǒng)等的供配電問題。計算機和網(wǎng)絡設備對交流電源的質量要求十分嚴格,對交流電的電壓和頻率,對電源波形的正弦性,對三相電源的對稱性,對供電的連續(xù)性、可靠性、穩(wěn)定性和抗干擾性等各項指標都要求保持在允許偏差范圍內。機房的供配電應滿足《電子計算機場地通用規(guī)范》GB／T2778-2000的規(guī)定,其供配電系統(tǒng)應為380V/50HZ,采用TN-S系統(tǒng)。供配電系統(tǒng)容量應該按照機房所配備設備情況確定,同時考慮系統(tǒng)擴展、升級的可能,預留備用容量。為提高機房設備的供配電系統(tǒng)可靠性,必需為機房內的IT設備配置交流不間斷電源系統(tǒng)UPS,達到供電可靠不間斷,質量穩(wěn)定無干擾。本方案要求按照2N設計,符合TIER標準,需要引入兩路市電,前端采用1250A/3P斷路器控制。云數(shù)據(jù)中心機房供配電系統(tǒng)應該是一個獨立的系統(tǒng),通常由UPS配電系統(tǒng)、動力配電系統(tǒng)兩部分組成。UPS配電系統(tǒng)負責向網(wǎng)絡通信設備、服務器等IT設備供電采用UPS供電。動力配電系統(tǒng)負責向機房空調系統(tǒng)、機房照明系統(tǒng)和機房維修電源系統(tǒng)。機房動力配電柜應該選用自動的空氣開關,并且與消防系統(tǒng)聯(lián)動,當機房出現(xiàn)嚴重事故或者火警時,能夠立即切斷所有動力電源。3.2機房建設目標云數(shù)據(jù)中心的建設目標是為智慧城市提供基礎設施環(huán)境及搭建基礎管理平臺。同時,建立智能信息化基礎,節(jié)約能源,降低成本,為智慧城市提供提供基礎管理平臺,達到智慧城市未來的發(fā)展要求,滿足系統(tǒng)建設的可靠性、實用性、先進性、開放性、經(jīng)濟性等原則。先進性：各系統(tǒng)將實現(xiàn)數(shù)字化、網(wǎng)絡化、智能化的典型特征,采用代表行業(yè)發(fā)展趨勢國際或國內通行的先進技術。成熟性：各系統(tǒng)以實用為原則,采用成熟的并且經(jīng)過實際工程檢驗的先進技術和產品。開放性：各系統(tǒng)采用開放的技術標準和國際標準的通信協(xié)議,避免在系統(tǒng)互聯(lián)時產生障礙。標準化：各系統(tǒng)的系統(tǒng)設計、系統(tǒng)性能標準等將符合中國的有關標準化的要求?？蓴U展：各系統(tǒng)的設計充分考慮到未來的發(fā)展,在機房未來功能擴展方面留有冗余和預留?？煽啃裕焊飨到y(tǒng)的產品選擇穩(wěn)定可靠,為主要系統(tǒng)設備提供可靠性指標。安全性：各系統(tǒng)充分考慮系統(tǒng)安全、人身安全以及信息傳遞安全等安全性需求。集成性：本智能化工程根據(jù)功能要求、管理和信息共享的要求對智能系統(tǒng)分層次、分階段進行集成,匯集本工程內外信息,對各子系統(tǒng)進行綜合管理。經(jīng)濟性：在實現(xiàn)先進性、可靠性的前提下,系統(tǒng)的配置設計達到性能與價格的深化目標。系統(tǒng)設置除考慮建設時的一次性投資外,還將充分考慮系統(tǒng)運行時的維護成本,并使之達到最小化。3.3建設內容〔一云數(shù)據(jù)中心機房基礎工程建設1、裝修工程裝修工程主要包括：拆除工程、砌筑工程以及天地墻的面層裝修裝飾工程。1拆除工程主要包括：拆除已經(jīng)砌筑的部分隔墻,拆除消防支管等。2砌筑工程主要包括：除樓梯間、電梯間及管井的隔墻以外的所有房間的隔墻。3裝修裝飾工程主要內容包括：機房、UPS室,裝修如下：1樓面：主機房基層找平后鋪設防靜電架空地板,架空地板下地面及墻面應貼刷防塵防潮漆,貼保溫棉,保溫棉的防火等級需達到B1級別。UPS電池室為節(jié)省造價同時達到美觀,地面做防靜電自流平。樓面需根據(jù)設備重量對樓板進行復核,對樓板進行結構加固。2天棚：微孔鋁扣板吊頂內填防火保溫棉。為防止出現(xiàn)結露水主機房天棚下鋪設防火保溫棉。3內墻面：基層找平后采用彩鋼板內填防火保溫棉。4門窗：門均采用甲級防火門,窗戶需進行封堵,受力達到消防氣體火滅規(guī)范的相關要求。2、密閉通道密閉冷通道主要是由服務器機柜、UPS柜、電池柜、配電柜、行級空調、天窗、圍板和端門組成,密閉冷通道可使冷源直接進入到IT設備,提高制冷效率。雙排密封通道主要由端門和天窗組成。密閉通道的端門分為推拉門和雙開旋轉門兩種方案,具體根據(jù)實際情況進行調整,下面方案以雙開旋轉門設計為例。雙開旋轉門外形尺寸是：高×寬×深=2040mm×1380mm×50mm。雙開旋轉門為外開,開門角度110°?？梢员ＷC密封通道系統(tǒng)的獨立性。門板下部安裝密封毛刷,提高模塊的密閉性。密閉通道采用平頂結構方案,包括平頂旋轉天窗和平頂固定天窗。平頂旋轉天窗由側板、頂板、旋轉天窗組成,以單個機柜為擴展模塊單元。旋轉天窗天窗旋轉原理：旋轉天窗采用偏心結構。當觸發(fā)裝置動作后,天窗在重力作用下打開翻轉。旋轉天窗的驅動方式是通過電磁鎖觸發(fā)裝置翻轉。平頂旋轉天窗尺寸：高×寬×深=33mm×600mm×1343mm。平頂固定天窗由側板和頂板組成,以單個機柜為擴展模塊單元。平頂固定天窗外觀如圖所示。平頂固定天窗尺寸：高×寬×深=33mm×600mm×1343mm。3、結構工程如云數(shù)據(jù)中心原設計功能為綜合辦公大樓,大樓建筑按照辦公室功能要求設計,一般來說承重達不到要求,需要進行結構加固設計。機房結構加固設計擬采用鋼結構加固方式,機房設備布置區(qū)域加固到8KN/m2,UPS室設備布置區(qū)域加固到12KN/m2。4、擬選用品牌說明作為智慧城市云數(shù)據(jù)中心項目建設,選擇的各系統(tǒng)設備不僅需要從產品設計是否完全符合相應的國際/國家標準及智能化行業(yè)標準、市場內主流廠家技術標準,而且要從產品制造商的研發(fā)生產實力、產品覆蓋的全面性、產品的物理規(guī)格、性能參數(shù)等諸多技術條件考慮,同時要兼顧產品品牌在本地市場使用的延續(xù)性、用戶良好的口碑以及售后服務保障體系的完備性進行評估選用。〔二供配電系統(tǒng)1、電氣工程根據(jù)機房的特點及要求,應在機房內建立系統(tǒng)設備不停電供電系統(tǒng),按照國家有關標準,即為一級負荷采取一類供電。同時系統(tǒng)電源條件應滿足計算機設備運行的國家標準。按《電子計算機機房建設規(guī)范》〔GB5017493,如下表：電子計算機供電電源質量根據(jù)電子計算機的性能、用途和運行方式<是否聯(lián)網(wǎng)>等情況,可劃分為A、B、C三級<見下表>。項目等級ABC穩(wěn)態(tài)電壓偏移范圍<%>±2±5+7-13穩(wěn)態(tài)頻率偏移范圍<%>±0.2±0.5±1電壓波形畸變率<%>3~55~88~10允許斷電持續(xù)時間<ms>0~44~200200~1500一般云數(shù)據(jù)中心機房按B級標準建設。本機房工程以380V/220V、50Hz、TN-S〔三相五線放射式供電系統(tǒng)為本機房區(qū)域內設備供電。機房內包括計算機通訊設備〔UPS、網(wǎng)絡機柜、列頭柜、操作臺等、照明用電、空調用電、消防用電及普通用電設備市電等組成。此用電方案采用兩路市電專供機房,從不同的變電站引來,符合B級機房的供電要求。因滿足兩個電源不會同時損壞的要求,故本項目機房供電系統(tǒng)不配置后備柴油發(fā)電機組,不間斷電源蓄電池后備時間按照1小時配置。機房通信設備用電、照明空調用電從低壓配電間的不同回路引來。機房采用大樓聯(lián)合接地系統(tǒng),接地電阻小于1Ω,由大樓土建專業(yè)負責地網(wǎng)建設并預留機房接地排。機房供電方式采用三相五線制獨立供電,配電柜由市電UPS輸入柜二臺、UPS并機輸出配電柜一臺、UPS間空調自動切換柜一臺、列頭柜12臺組成,共16臺配電柜。計算機系統(tǒng)、網(wǎng)絡通信設備由雙市電做UPS輸入回路,正常狀態(tài)由市電供電,如市電出現(xiàn)故障,則轉換成UPS供電。精密空調由雙市電組成的雙電源供電,雙市電互為備用自動切換。其它用電設備由市電直接供給。計算機機房內的配電系統(tǒng)應考慮到與應急照明系統(tǒng)的自動切換和消防系統(tǒng)的聯(lián)動,一旦發(fā)生火災,自動關掉精密空調、常用照明、維修插座等大功率動力負載、同時自動開啟排風系統(tǒng)。機房內通信設備負荷：主機房面積按機柜平面規(guī)劃,擺放約100個機柜。單機架功率按4KW考慮,通信設備功率為400KW。主機房和輔助區(qū)與其他房間的空調參數(shù)不同時,宜分別設置空調系統(tǒng)。機房和UPS室采用空調采用機房專用精密空調,以滿足本工程需要。UPS室配置一臺制冷量不小于40KW的下送風上回風專用精密空調,主機房配置制冷量不小于100KW的下送風上回風專用精密空調機組機房內插座、面板開關等采用TCL品牌,機房區(qū)主機采用三孔插座供電,維修插座設二三孔組合插座。機房內所有配線均選用阻燃銅芯塑導線,并實施管槽屏蔽。機房地板下插座均安放在機柜附近,并留有擴充預留備用部分,用清晰的標志加以區(qū)分,方便今后使用。為了防止機房輔助設備在啟動、制動及在正常運行時可能對計算機系統(tǒng)構成的干擾,《電子計算機機房建設規(guī)范》規(guī)定："機房內其它電力負荷不得由計算機主機電源和不間電源系統(tǒng)供電"。因此機房內空調、照明、臨時維修電器等用電設備直接采用市電電源,電源為三相五線。照明系統(tǒng)在火災報警時應有消防聯(lián)動控制回路,在火災報警時自動切斷常用照明,同時開啟應急照明系統(tǒng)?？照{、照明、新風等設備用電開關、插座安裝在墻面上。維修和測試設備采用單相二、三極五孔插座〔市電。機房內市電、UPS電源走線布于活動地板下,分別獨立安裝于各自的金屬線槽〔管內；插座面板也應相互區(qū)別；通信線纜橋架在機柜上明裝。線槽、線管接頭兩端均用6mm2接地線就近連至保護地接地箱上,所有電源線均在金屬管槽內敷設,具有良好的屏蔽效果。為保證電源運行時三相基本平衡,應盡可能將單相負荷均勻分配在各相上,機房低壓配電系統(tǒng)三相負荷不平衡度應控制在5-20%。為防止閃電雷擊產生過電壓帶來的危害,機房電源進線應采用地下直接埋設電纜；機房專用動力配電箱內低壓配電母線上應裝設分級浪涌抑制器,用以消除線路上產生的瞬時高壓尖峰脈沖,造成用電設備及控制電器燒壞。2、機房照明機房內照明的建設按主機房平均照度300—500Lx取值。根據(jù)要求機房主要采用3×36W、600×600mm無眩光隔柵日光燈具,光管采用光色、光指數(shù)好的熒光燈管。光管采用冷色溫〔≥5300k光管,與燈盤相配可產生柔和的效果,不會產生眩光,特別適用于機房照明系統(tǒng)。所有燈盤采用電子鎮(zhèn)流器,由于電子整流器輸出端為高頻電壓,既避免一般單相熒光管產生的交流頻閃效應,也可避免普通鎮(zhèn)流器起動時跳閃的現(xiàn)象,也有節(jié)約能源的效果。根據(jù)實際使用情況及GB50174-93《電子計算機機房建設規(guī)范》,主機房按300Lx的照度進行建設。機房內所用的燈盤和電源線必須采用優(yōu)質格柵燈盤和阻燃銅芯電纜、電線。電源線應采用橋架及金屬保護管?！?所有機房主要采用3×36W、600×600mm光隔柵日光燈具,光管采用光色、光指數(shù)好的進口熒光燈管?！?機房內的應急照明由UPS供電,并設置帶蓄電池的疏散照明?！?燈具配電線徑不小于2.5mm2,接線和接地保護線須與燈具接觸良好；所有照明線都須穿金屬管并留有余量,電源線應通過絕緣墊圈進入燈具,各回路絕緣電阻值不小于0.5MΩ。〔4燈具安裝于天花,光帶應平直、整齊,同一排燈具中心偏差不大于5mm?！?機房內照度建設上能達400LX以上,建設符合國家標準《電子計算機機房建設規(guī)范》GB50174-93中相應的規(guī)定的："機房內在距地0.8m處不低于200LX"的標準。3、UPS系統(tǒng)本項目為XX市智慧城市智能中心項目,本方案是針對XX市智慧城市智能中心項目,提出的UPS供電解決方案。通過該技術方案,合理配置UPS。通信設備負荷：主機房面積共160m2,按機柜平面規(guī)劃,可擺放約100個機柜。單機架功率按4KW考慮,通信設備功率為400KW。因此設置400KVA的模塊化UPS兩臺,組成1+1系統(tǒng),可滿足需求；選用UPS5000-E-400kVA兩臺,備電1小時每臺UPS單獨配置電池組。根據(jù)招標文件需求,單臺ups主機滿足400KVA后備1小時,配置4組12V/110AH蓄電池組的接入,兩臺UPS共配置8組,每組40節(jié),共320節(jié)12V/110AH蓄電池；4、精密空調本項工程需建設主機房機房面積160平方米,冷負荷估算300KW,UPS室面積41平方米,冷負荷估算40KW。區(qū)域房間面積〔㎡冷負荷估算〔kW備注主機房260300包含IT發(fā)熱、新風負荷、維護結構散熱等UPS室4140包含ups、配電柜發(fā)熱和維護結構散熱等基于以上工程情況和需求,對于機房精密空調則有下述基本要求：〔1機房精密空調應穩(wěn)定可靠,通過了嚴格的測試、試驗和認證?！?機房精密空調應能適應單機柜高發(fā)熱量及發(fā)熱量動態(tài)變化的需求。機房精密空調配置內置智能控制模塊的EC室內風機,電子膨脹閥和變頻控制,能實現(xiàn)無極調速的高效低噪音室外風機?！?機房精密空調應能滿足服務器機柜需要,并且不造成能源浪費；同時又能滿足后續(xù)擴容需求。根據(jù)招標文件要求,為了滿足主機房制冷需求,考慮系統(tǒng)的可靠性,現(xiàn)根據(jù)制冷需求,選用先進的精密環(huán)境控制設備。配置如下：序號總冷量要<Kw>送風方式制冷循環(huán)系統(tǒng)〔壓縮機數(shù)量風量〔m3/h加濕量〔kg/h室內機尺寸最大值〔寬×深×高mm1≥50下送風單系統(tǒng)≥14000≥71140×890×19802≥100下送風雙系統(tǒng)≥28000≥102280×890×19805、防雷接地本方案包括以下4個方面的建設：〔1機房內部等電位接地措施〔2機房接地母線的引入〔3電源防浪涌保護〔防雷器的分級安裝建設〔4數(shù)據(jù)網(wǎng)絡設備線路接口防雷保護裝置的安裝建設等電位網(wǎng)：本工程室內接地采用綜合接地方式。在室內的地板上安裝等電位網(wǎng),等電位網(wǎng)選用30*3紫銅排,銅排通過高強度絕緣子固定在地板上；接地匯流排在室內做網(wǎng)狀分布,網(wǎng)格大小以方便設備最近接地為準,最大不超過3.2*3.2平方米；接地匯流排與接地匯接箱〔接地母線排通過50平方專用接地電纜〔2條以上或30*3銅排多處可靠復接。接地匯流排之間連接做可靠焊接。從防雷的要求看,均壓才能避免反擊,而均壓又要求多點接地。從防干擾的要求應該是單點接地,所以只有做好機房的等電位連接,并通過單點連接到直流信號地網(wǎng)上,才能使上述兩項矛盾的要求兼而顧之。在機房按下述方案構成等電位網(wǎng)：機房防靜電地板下面沿墻用3×30mm紫銅排做成縱橫網(wǎng)格狀等電位網(wǎng)。所有設備的"安全保護接地"以及供電電源"交流工作接地"、計算機的"直流信號地"、避雷器的"防雷地"全部連接到等電位網(wǎng)上。將機房所有用電插座接"地"孔全部連到等電位網(wǎng)上。將機房設備外殼全部連到等電位網(wǎng)上。將機房內所有金屬管槽全部連到等電位網(wǎng)上。將機房天花龍骨、地板支架、鋼板墻體及門框金屬體全部連到等電位網(wǎng)上。用多芯銅線絕緣電纜將等電位網(wǎng)與大樓綜合接地點可靠連接。1要求大樓綜合接地點接地電阻≤1Ω電源防浪涌保護〔防雷器的分級安裝建設鑒于機房內設備作為對雷電、浪涌等過電壓非常敏感的信息設備,電源線路的防雷是機房防雷的重點。因為電源線路容易受到外部雷電磁波的感應而攜帶和傳導大量的雷電浪涌高壓。本著對計算機機房電源線路進行系統(tǒng)防護的原則,根據(jù)機房電源和設備自身的特點,我們對電源供電線路采取多級防護措施。有關標準也指出,通常對連接導線超過15米以上的電源線路之間需做一次分級防雷保護。本工程的交流電源系統(tǒng)防雷是指與交流電源有關的各級交流配電部分:從變壓器輸出端到低壓配電開關電源輸入端,以及UPS輸入輸出、分配電屏等各交流電源配電系統(tǒng)實施多級防雷保護。2電源防雷器的配置本期工程電源系統(tǒng)防雷采用多級防護。所采用的電源防雷器為原廠生產的防雷器。第一級防雷箱安裝在配電室主機房主供電線路上,防雷箱為超強型防雷箱〔內置防雷模組,三相五線,帶聲光報警、相電壓指示、雷擊次數(shù)、監(jiān)控和零地保護功能等,數(shù)量：1套。第一級防雷箱采用25m㎡以上多股線纜與供電線路和地排進行連接,引線小于0.5M,越短越好。第二級防雷器安裝機房市電配電柜進線處,防雷器〔內置原裝防雷和NPE模組,三相五線,數(shù)量：1套。第三級防雷器安裝在機房UPS配電柜內〔保護貴重設備中,防雷器〔內置原裝防雷和NPE模組,三相五線。上述相關防雷器中,電源防雷模塊均采用專利的多層石墨間隙放電技術,是目前世界上唯一通過所有國際標準、包括防爆標準的產品；其余的壓敏材料電源模塊也以雙重鍍銀強力壓璜與底座緊密相連；全部防雷模塊均安裝在特制的箱體中,完全符合防爆要求。6、消防滅火系統(tǒng)主機房、UPS電池室。建設方案為：采用管網(wǎng)式獨立柜式七氟丙烷自動滅火系統(tǒng)。主機房設置4個150L瓶柜,UPS電池室設置2個150L瓶柜。防護區(qū)內建設滅火方式為全淹沒滅火。本滅火裝置具有自動、手動及機械應急操作三種方式火災報警控制器可安裝于操作室內,當氣體滅火控制器接收到任何一個防護區(qū)內兩個獨立火災報警信號時,延時30秒,控制器輸出24伏直流電,使電磁閥〔電爆管動作,并啟動相應防護區(qū)內預制滅火裝置。防護區(qū)外門燈顯亮,避免人員誤入,同時控制器接收壓力訊號器反饋信號,控制器面板噴放指示燈亮。手動控制狀態(tài)下,當防護區(qū)發(fā)生火警時,控制器只發(fā)出一個獨立報警信號時,不能輸出動作信號,由值班室人員確認火警后,按下相應防護區(qū)外氣體手動放氣按鈕,即可啟動該裝置,噴放七氟丙烷滅火劑滅火。機械應急操作方式,當某一防護區(qū)發(fā)生火警時,自動和手動控制都失去功能,值班人員可通過預制滅火裝置內的安全梢按下啟動,即可啟動該裝置,噴放七氟丙烷滅火劑滅火。7、火災自動報警系統(tǒng)手動按鈕、緊急啟/停按鈕及手/自動轉換開關安裝在防護區(qū)門外,離地高度1.3～1.5M,工作人員便于操作。探測器水平安裝。氣體滅火控制器應能將火災報警信號、噴放動作信號及故障報警信號反饋至消防控制中心?？刂茖Ь€采用單芯ZR-BV1.0mm,信號傳輸用ZR-BV1.5mm雙絞線,線管接地良好。所有布線應采取穿金屬管保護,并宜暗敷在非燃燒體結構內,如明敷時應外涂防火漆保護。系統(tǒng)布線完畢后將用500V兆歐表對線路進行絕緣測試,其絕緣電阻應大于20兆歐。由消防控制室接地板下引至各消防備的接地線應選用銅芯絕緣軟線,其線芯截面為6MM2。8、綜合布線系統(tǒng)綜合布線系統(tǒng)應滿足本項目信息通信網(wǎng)絡的布線要求,以支持語音、數(shù)據(jù)、圖像等業(yè)務信息傳輸為主,同時也可根據(jù)實際需求支持各相關弱電系統(tǒng)中信息的傳輸。在智慧城市云數(shù)據(jù)中心項目中,綜合布線系統(tǒng)是完成該項目弱電智能化的基礎建設工作,主要包括設備間、各管理間內的設備,弱電井內連接設備間至各管理間的主干線纜以及各管理間至終端點的水平線纜。機房綜合布線系統(tǒng)主要為主要為機房內各智能化設備提供基礎物理鏈路,分別從機房核心機柜敷設24芯室內多模光纖至機房網(wǎng)絡列頭柜,再從網(wǎng)絡列頭柜敷設12芯多模光纖至各分機柜；各接入服務器通過六類非屏蔽雙絞線接入到機房布線系統(tǒng)中。第四章、云數(shù)據(jù)中心整體建設方案4.1設計目標通過建設云數(shù)據(jù)中心,滿足各單位當前政務信息化應用和未來平滑擴展的需求,實現(xiàn)政務信息化資源統(tǒng)一建設、統(tǒng)一使用、統(tǒng)一管理的目標。1、功能方面：虛擬化云平臺,具備自助統(tǒng)一門戶、云資源管理、兼容主流商業(yè)虛擬化軟件,能夠滿足本期項目應用需求；2、性能方面：服務器、云平臺的計算性能、內存容量、整體負載和存儲架構的性能、容量支撐能力,能夠滿足本期的業(yè)務應用和未來3-5年的業(yè)務規(guī)模；3、擴展性方面：虛擬化平臺、服務器、存儲性能和容量擴展能力,能夠滿足從小到大、靈活擴展；4、業(yè)務連續(xù)方面：系統(tǒng)業(yè)務連續(xù)性保障能力,能夠滿足云數(shù)據(jù)中心和物理機集群混合情況下的應用7×24小時不中斷運行；5、數(shù)據(jù)安全方面：數(shù)據(jù)具備保護能力,能夠滿足虛擬機和物理機、各種通用文件系統(tǒng)和數(shù)據(jù)庫的備份和恢復；6、容災擴展能力：能夠滿足虛擬機和物理機混合環(huán)境的數(shù)據(jù)級和應用級同城容災,兼顧保護現(xiàn)有投資和災備切換便捷性。4.2設計依據(jù)依據(jù)國家電子政務外網(wǎng)平臺建設相關的技術性指導文件；依據(jù)電子政務內外網(wǎng)全局性、行業(yè)性和資源型三大類型應用對于支撐平臺的實際需求分析,包括應用支撐平臺計算資源、存儲資源以及云平臺管理的需求分析；依據(jù)電子政務內外網(wǎng)三大類型應用對于數(shù)據(jù)庫系統(tǒng)需求分析,包括數(shù)據(jù)庫系統(tǒng)的安全性和可靠性以及數(shù)據(jù)庫系統(tǒng)對于存儲資源的實際需求分析；依據(jù)電子政務內外網(wǎng)三大類型應用對于數(shù)據(jù)安全和可靠性的需求分析,包括數(shù)據(jù)備份以及未來數(shù)據(jù)容災的需求分析；依據(jù)電子政務內外網(wǎng)三大類型應用對于整個應用支撐平臺架構先進性需求分析,包括易管理、易維護、彈性平滑可擴展以及綠色節(jié)能等需求分析；依據(jù)技術通用性原則,無技術排他性。4.3云平臺整體拓撲圖在數(shù)據(jù)中心部署二層扁平環(huán)境,在二層環(huán)境下虛擬機遷移不改變IP地址。二層扁平化方式降低了網(wǎng)絡復雜度,簡化了網(wǎng)絡拓撲,提高了轉發(fā)效率。二層網(wǎng)絡架構中,采用網(wǎng)絡虛擬化技術,解決鏈路環(huán)路問題,提高了網(wǎng)絡可靠性。在接入交換機中對不同的業(yè)務或對不同的虛擬機加入不同的VLAN做二層轉發(fā)。服務器區(qū)采用物理服務器做數(shù)據(jù)庫服務,虛擬化服務和云平臺提供其他平臺應用類服務,存儲區(qū)采用存儲虛擬化網(wǎng)關實現(xiàn)高端存儲的存儲虛擬化,配合云平臺軟件實現(xiàn)備份容災功能。第五章、網(wǎng)絡虛擬化建設方案5.1設計目標根據(jù)云數(shù)據(jù)中心的實際需求分析,提出以下網(wǎng)絡平臺架構的設計目標。1、高效性：為了滿足云數(shù)據(jù)中心承載的政務信息化應用系統(tǒng)的高并發(fā)訪問、快速的虛擬機遷移和大文件的上傳下載等要求。因此設計一個高帶寬、低延時、快速收斂并避免環(huán)路出現(xiàn)的網(wǎng)絡平臺是一個基本的設計目標。2、高可靠性：基礎平臺的網(wǎng)絡的穩(wěn)定性直接關系到全市〔區(qū)、縣政務信息化服務的可用性。因此高可用性是數(shù)據(jù)中心網(wǎng)絡平臺的設計目標之一,關鍵和核心部分不能出現(xiàn)單點故障。3、可擴展性：隨著后續(xù)越來越多的業(yè)務應用系統(tǒng)遷入云數(shù)據(jù)中心,云數(shù)據(jù)中心的規(guī)模需要根據(jù)業(yè)務應用需求逐步擴大。因此具備良好的擴展能力也是云數(shù)據(jù)中心網(wǎng)絡平臺的設計目標之一,在核心、骨干網(wǎng)絡設備上要留有余量,充分考慮今后業(yè)務應用增加的網(wǎng)絡需求。4、靈活性、易維護性：考慮到云數(shù)據(jù)中心今后所承載的各個行業(yè)電子政務業(yè)務系統(tǒng)的不確定性,需要網(wǎng)絡平臺能夠靈活簡便的對網(wǎng)絡資源進行調配。因此,網(wǎng)絡管理的靈活性和易維護性也是網(wǎng)絡平臺的設計目標之一。通過減少網(wǎng)絡配置節(jié)點、簡化網(wǎng)絡配置,降低網(wǎng)絡管理的人力開銷,從而易于網(wǎng)絡資源的調整和分配。5、先進性：云數(shù)據(jù)中心承載各委辦局不同種類的電子政務應用系統(tǒng),整體架構應當保持穩(wěn)定而不應當頻繁調整。作為基礎平臺的重要組成部分,網(wǎng)絡平臺的架構調整會影響基礎平臺的整體架構。因此在設計網(wǎng)絡平臺的架構的時候,設計目標之一應該是保證網(wǎng)絡架構和采用技術的先進性,3-5年內只做規(guī)模擴充,而不做架構調整。6、安全性：網(wǎng)絡安全是基礎平臺安全架構的一個重要組成部分,因此安全性也是網(wǎng)絡平臺需要考慮的設計目標之一。由于網(wǎng)絡安全域的劃分與隔離很大程度上依賴網(wǎng)絡結構的合理性,因此在設計網(wǎng)絡架構的時候需要考慮整體網(wǎng)絡安全性,便于安全方案進行安全域的劃分和安全域間訪問控制。5.2關鍵技術根據(jù)上述的設計目標,云數(shù)據(jù)中心的網(wǎng)絡平臺的架構設計采用如下的關鍵技術滿足設計目標。1、高效性：云數(shù)據(jù)中心交換機支持縱向維度的異構融合,可以將盒式設備以及AP設備縱向虛擬化為核心交換機的板卡以及端口,實現(xiàn)設備的統(tǒng)一管理。數(shù)據(jù)中心交換機要能支持目前業(yè)界最高的1:16設備橫向虛擬化能力,將一臺物理設備虛擬成多臺獨立的邏輯設備,滿足多業(yè)務區(qū)共享核心交換機的需求；與此同時支持將兩臺或多臺物理核心交換機虛擬為一臺邏輯核心交換機,這樣形成的樹形結構能夠有效的破除環(huán)路,并支持等價鏈路并行轉發(fā),在快速收斂的同時充分利用了全部的鏈路帶寬。2、高可靠性：核心設備的業(yè)務板卡與交換網(wǎng)板采用完全正交設計,使得跨線卡業(yè)務流量通過正交連接器直接上交換網(wǎng)板,從而背板走線降低為零,極大的規(guī)避信號衰減。另外核心設備和關鍵設備均需配備兩臺以上,并通過網(wǎng)絡虛擬化技術虛擬為一臺邏輯設備。參與虛擬化的物理設備同時工作,并自動進行流量的負載均衡。這樣一臺物理設備失效,其網(wǎng)絡流量負荷會自動被其他參與虛擬化的物理設備接管,不會產生單點故障。3、可擴展性：采用核心、接入的二層結構,在核心交換機上預留足夠的萬兆接口和板卡槽位,保證今后有足夠的擴展能力連接更多的接入交換機,從而支持云平臺的擴展性。4、靈活性、易維護性：采用網(wǎng)絡虛擬化技術,把多臺物理設備虛擬成一臺邏輯設備,減少設備節(jié)點,簡化了配置工作。采用業(yè)務平面、管理平臺和存儲平面分離的架構,能夠更容易進行網(wǎng)絡資源的管理和分配以及QOS保障。5、先進性：支持IETF標準協(xié)議TRILL〔TransparentInterconnectionofLotsofLinks,采用TTL避免二層環(huán)路,大幅增強了網(wǎng)絡的穩(wěn)定性,同時加快網(wǎng)絡收斂速度；TRILL組網(wǎng)下,所有數(shù)據(jù)流量基于SPF及ECMP實現(xiàn)快速轉發(fā)。6、安全性：按照網(wǎng)絡承載業(yè)務的功能進行區(qū)域劃分,把不同性質的業(yè)務分布在不同的網(wǎng)絡分區(qū)中。這樣不僅便于后期服務器等計算設備的擴展,而且便于規(guī)劃網(wǎng)絡安全域,并對安全域之間進行訪問控制。采用統(tǒng)一互聯(lián)網(wǎng)出口,并做統(tǒng)一的安全防護,可以有效降低各個部門獨立網(wǎng)絡出口所帶來的互聯(lián)網(wǎng)風險和隱患。5.2.1獨立的三平面遵循國家電子政務相關標準和指南,考慮到網(wǎng)絡今后的可擴展性和靈活性等需求,云數(shù)據(jù)中心建設網(wǎng)絡平臺可分為業(yè)務平面、管理平面和存儲平面三個網(wǎng)絡平面。三個網(wǎng)絡平面相互獨立。業(yè)務平面主要服務對象是為租戶的業(yè)務應用軟件的通訊,管理平臺主要為設備自身、安全系統(tǒng)、運維系統(tǒng)所使用,存儲平面完全是一個封閉的私有網(wǎng)絡,服務器和存儲設備在該平面上進行存儲數(shù)據(jù)的傳送。5.2.2網(wǎng)絡虛擬化和二層結構傳統(tǒng)的數(shù)據(jù)網(wǎng)絡平臺架構一般采用核心—匯聚—接入的三層網(wǎng)絡架構模型,采用這種傳統(tǒng)的網(wǎng)絡架構存在以下幾個方面的問題：網(wǎng)絡的層次較多,處理效率低；多增加了一個匯聚的層面,就會額外增加匯聚設備的處理時延、線路時延等；同時由于網(wǎng)絡節(jié)點數(shù)量增多,也增加了部署成本和設備故障的幾率；由于匯聚層面設備一定存在處理性能和上行帶寬的收斂比,在數(shù)據(jù)中心規(guī)模不斷擴大的情況下,匯聚設備會成為整個網(wǎng)絡的瓶頸,出現(xiàn)擁塞、丟包等問題；在網(wǎng)絡擴容時,不僅僅需要增加接入層的設備,同時也必須考慮到匯聚設備的性能和端口密度能否滿足要求,也需要進行相應的擴容,帶來投資成本的增加。網(wǎng)絡設備之間的STP、LAG、路由處理、安全等相互之間的交互信息,隨著設備數(shù)量的增加,會成幾何級數(shù)激增。隨著云數(shù)據(jù)中心虛擬化的技術的大規(guī)模應用,新的網(wǎng)絡平臺流量模型中,大多數(shù)的流量是在內部服務器之間進行通信,甚至能夠達到整體流量的75%,這種部署架構會導致服務器之間流量需要通過匯聚層甚至核心層設備轉發(fā),效率低下,且性能很差。為了解決上述存在的問題,數(shù)據(jù)中心網(wǎng)絡架構采用扁平化二層網(wǎng)絡架構〔核心層、接入層,使用網(wǎng)絡虛擬化技術,核心交換機承擔核心層和匯聚層的雙重任務。扁平化方式降低了網(wǎng)絡復雜度,簡化了網(wǎng)絡拓撲,提高了轉發(fā)效率。二層網(wǎng)絡架構中,采用網(wǎng)絡虛擬化技術,解決鏈路環(huán)路問題,提高了網(wǎng)絡可靠性,采用二層技術可以在提高帶寬的同時降低網(wǎng)絡延時。核心層：采用網(wǎng)絡虛擬化技術,將兩臺核心交換機虛擬為一臺設備,設備背板共享,交換能力提高。接入層：采用網(wǎng)絡虛擬化技術,將兩臺或多臺接入交換機虛擬為一臺設備,設備背板共享,交換能力提高。核心交換機和接入交換機之間的四條跨框鏈路捆綁為一個Eth-Trunk組,網(wǎng)絡架構變成樹型模式。在TRILL組網(wǎng)下,所有數(shù)據(jù)流量基于SPF及ECMP實現(xiàn)快速轉發(fā),解決了傳統(tǒng)STP協(xié)議中存在的次優(yōu)路徑問題,大大的提高了帶寬的利用率。。扁平化二層網(wǎng)絡架構設計的主要優(yōu)勢在于：簡化網(wǎng)絡管理,降低維護管理成本能夠減少網(wǎng)絡中的交換機和鏈路數(shù)量,從而降低前期購置成本和后期維護成本網(wǎng)絡性能提高,支撐高性能的服務器流量通過減少交換層數(shù)量,流量需要穿越的交換機數(shù)量也會減少,從而可以縮短延遲,提高應用性能網(wǎng)絡利用率提高,支撐云平臺的資源池動態(tài)調度云平臺要求對于計算資源池和存儲資源池任意按需調配。要求網(wǎng)絡能夠適應這種大范圍的調度網(wǎng)絡可靠性提高減化的網(wǎng)絡通過虛擬化技術,可以消除網(wǎng)絡中的可靠性隱患,無需運行spanning-tree協(xié)議,消除網(wǎng)絡的故障收斂時間,從而提高網(wǎng)絡可靠性5.2.3業(yè)務功能分區(qū)網(wǎng)絡總體規(guī)劃應遵循區(qū)域化、層次化、模塊化的設計理念,使網(wǎng)絡層次更加清楚、功能更加明確。這樣在每個區(qū)域內部調整時不會影響其他區(qū)域,而且區(qū)域內部資源調度也更加方便和靈活。依據(jù)這樣的設計理念和設計原則,網(wǎng)絡平臺應根據(jù)業(yè)務性質或網(wǎng)絡設備的作用進行區(qū)域劃分,通常需要考慮以下幾個方面內容：按照網(wǎng)絡架構中設備作用的不同,網(wǎng)絡可以劃分為核心層、接入層,層次化結構也有利于網(wǎng)絡的擴展和維護。綜合考慮網(wǎng)絡服務中數(shù)據(jù)應用業(yè)務的獨立性、各業(yè)務的互訪關系,以及業(yè)務的安全隔離要求,電子政務外網(wǎng)在邏輯上還劃分為外聯(lián)區(qū)〔包括DMZ區(qū)、政務外網(wǎng)服務器區(qū)、網(wǎng)絡核心區(qū)〔包括網(wǎng)絡服務區(qū)、計算區(qū)域〔包括運維管理區(qū)、開發(fā)測試區(qū)、等保二級、等保三級和高安全高敏感區(qū)、存儲區(qū)域〔包括IPSAN區(qū)和FCSAN區(qū)、委辦局接入?yún)^(qū)等。5.3、總體架構云數(shù)據(jù)中心網(wǎng)絡平臺劃分為外聯(lián)區(qū)、網(wǎng)絡核心區(qū)和計算存儲區(qū)。不同的區(qū)域通過防火墻進行邏輯隔離。網(wǎng)絡架構采用扁平化二層網(wǎng)絡架構〔核心層、接入層,使用網(wǎng)絡虛擬化技術,核心層交換機承擔著核心層和匯聚層的雙重任務。核心層采用網(wǎng)絡虛擬化技術,將兩臺核心交換機虛擬為一臺設備,設備背板共享,交換能力提高。接入層采用網(wǎng)絡虛擬化技術,將兩臺或多臺接入交換機虛擬為一臺設備,設備背板共享,交換能力提高。核心交換機與接入交換機的骨干鏈路采用萬兆互聯(lián),服務器采用千兆鏈路接入。各個委辦局光纖接入如下圖所示,各委辦局用戶通過政務外網(wǎng)的光纖,接入云數(shù)據(jù)中心。由于各委辦局的光纖接入均為千兆鏈路,各個委辦局光纖接入交換機上聯(lián)至云計算中心核心交換機萬兆接口,根據(jù)不同光纖承載的委辦局用戶數(shù)的不同,可以在光纖接入交換機和云數(shù)據(jù)中心核心交換機上進行限速和優(yōu)先級設定,優(yōu)先保障重要單位的網(wǎng)絡流量帶寬。第六章、服務器虛擬化設計方案6.1設計目標云數(shù)據(jù)中心需要配置合適的服務器來滿足其強大計算能力的需求,因此針對于計算節(jié)點的設計,本次設計目標是達到MAPSS標準,其中MAPSS原則指的是：M-可管理性〔ManagementA-可用性〔AvailabilityP-性能〔PerformanceS-服務〔ServiceS-節(jié)約總體成本<SavingTCO>6.2方案拓撲服務器區(qū)采用的是高性能物理服務器加虛擬化服務器的方式來解決計算資源的分配問題,由于數(shù)據(jù)庫的低延時和高性能的要求,所以數(shù)據(jù)庫服務器采用單獨的物理機來承載。其他業(yè)務系統(tǒng)由物理服務器進行虛擬化部署。通過虛擬化整合物理服務器,將業(yè)務遷移到云平臺上,可通過資源共享實現(xiàn)最大的利用率,節(jié)約硬件投資和維護成本。6.3物理服務器云數(shù)據(jù)中心有多個應用數(shù)據(jù)庫和基礎庫支撐平臺數(shù)據(jù)庫,由于數(shù)據(jù)庫的低延時和高性能的要求,本次數(shù)據(jù)庫服務器采用單獨的物理服務器來承載,不僅需要能夠滿足當前類型應用的實際需求,同時還需要滿足未來3-5年內應用平滑擴展的需求。數(shù)據(jù)庫服務器主要為上層應用軟件服務,為了方案設計便于計算,并留有一定余量為全局型應用和資源型應用以及后續(xù)準備上線的業(yè)務應用系統(tǒng)來使用。由于數(shù)據(jù)庫業(yè)務對整個服務器的CPU處理性能和內存要求較高,需要保證整個系統(tǒng)的高吞吐和高可靠性,一般建議采用4臺高四路服務器來承載應用數(shù)據(jù)庫,采用4臺高四路服務器來承載基礎庫支撐平臺數(shù)據(jù)庫。一共8臺高四路服務器,單臺采用E7-48008核2.0GCPU、128GB內存、2*300GB15KSAS硬盤、配置8GBFCHBA卡、1GBCacheRaid卡。6.4虛擬化服務器傳統(tǒng)物理服務器系統(tǒng)建設方式粗放、建設模式單一顯然不能滿足數(shù)據(jù)中心建設的需求。虛擬化技術很好地解決了傳統(tǒng)服務器系統(tǒng)建設的問題,通過提高虛擬化服務器利用率大幅度消減物理服務器購置需求、數(shù)量和運營成本；通過利用服務器虛擬化中CPU、內存、I0資源的動態(tài)調整能力實現(xiàn)對業(yè)務應用資源需求的動態(tài)響應,提升業(yè)務應用的服務質量；通過在線虛擬機遷移實現(xiàn)更高的可用性和可靠性以及各種基于資源優(yōu)化或節(jié)能減排策略的跨物理服務器的調度等等。因此,服務器虛擬化技術是云數(shù)據(jù)中心應用和平臺建設的核心解決方案。6.4.1服務器虛擬化技術特點1、分區(qū)：在一個物理系統(tǒng)中,可以支持多個應用程序和操作系統(tǒng)?？稍跀U展或擴張。體系結構中將服務器整合到虛擬機中。計算資源被視為以可控方式分配給虛擬機的統(tǒng)一池。2、隔離：虛擬機與主機和其他虛擬機完全隔離。如果一個虛擬機崩潰,所有其他虛擬機不會受到影響。虛擬機之間不會泄露數(shù)據(jù),而且應用程序只能通過配置的網(wǎng)絡連接進行通信。3、封裝：完整的虛擬機環(huán)境保存為文件,便于進行備份、移動和復制,為應用程序提供標準化的虛擬硬件,可保證兼容性。綜上分析,建議計算資源池采用服務器虛擬化架構。一般建議采用20臺〔數(shù)量根據(jù)實際情況確定高四路服務器來承載虛擬化平臺,單臺采用E7-48008核2.0GCPU、256GB內存、2*300GB15KSAS硬盤、配置8GBFCHBA卡、1GBCacheRaid卡。第七章、存儲虛擬化設計方案7.1方案設計原則根據(jù)一般政府已建成的政務應用系統(tǒng)和將要建設的智慧城市各應用的特點,存儲系統(tǒng)在建設過程中應當遵循如下原則進行：安全可靠性原則系統(tǒng)支持雙活動控制器,滿足高可靠性需求系統(tǒng)器件選擇要考慮能支持7×24小時連續(xù)長時間大壓力下工作；系統(tǒng)具有充分的冗余能力、容錯能力；系統(tǒng)具有專業(yè)的技術保障體系以及數(shù)據(jù)可靠性保證機制；對工作環(huán)境要求較低,環(huán)境適應能力強；確保系統(tǒng)具有高度的安全性,提供安全的登錄和訪問措施,防止系統(tǒng)被攻擊；異常掉電后不丟失數(shù)據(jù),供電恢復后自動重新啟動并自動恢復正常連接；先進性原則系統(tǒng)必須嚴格遵循國際標準、國家標準和國內通信行業(yè)的規(guī)范要求；需符合存儲技術以及IT行業(yè)的發(fā)展趨勢,所選用的產品型號已規(guī)模上量；所有的系統(tǒng)處于先進的技術水平,確保較長時間內技術上不落伍；系統(tǒng)的處理能力要達到業(yè)內領先,對于本次業(yè)務的使用要留有一定的余量,以滿足后續(xù)升級的需求；開放性原則系統(tǒng)必須支持國際上通用的標準網(wǎng)絡存儲協(xié)議、國際標準的應用開放協(xié)議；與主流服務器之間保持良好的兼容性；兼容各主流操作系統(tǒng)、卷管理軟件及應用程序；可以與第三方管理平臺集成,提供給客戶定制化的管理維護手段；滿足今后的發(fā)展,留有充分的擴充余地；各主流廠家的硬盤均可接入；易維護性原則系統(tǒng)支持簡體中文,通俗易懂,操作方便、簡單；系統(tǒng)具有充分的權限管理,日志管理、故障管理,并能夠實現(xiàn)故障自動報警；系統(tǒng)設備安裝使用簡單,無需專業(yè)人員維護；系統(tǒng)容量可按需要在線擴展,無需停止業(yè)務；系統(tǒng)功能擴充需要升級時,支持不中斷業(yè)務升級；支持WEB管理方式或集中管理方式；擴展性原則系統(tǒng)易于擴充；系統(tǒng)選擇標準化的部件,利于靈活替換和容量擴展；系統(tǒng)設計遵守各種標準規(guī)定、規(guī)范；經(jīng)濟性原則綜合考慮集中存儲系統(tǒng)的性能和價格,最經(jīng)濟最有效地進行建設,性能價格比在同類系統(tǒng)和條件下達到最優(yōu)。7.2拓撲結構其設計配置如下：所有業(yè)務集中存儲同時支持FC和IP組網(wǎng)SAS、SATA硬盤混插應用了先進的硬盤休眠技術支持存儲虛擬化支持多節(jié)點集群支持基于存儲網(wǎng)關的鏡像、快照支持基于存儲網(wǎng)關的數(shù)據(jù)復制7.3方案特點由于業(yè)務系統(tǒng)的增長速度越來越快,從硬件的升級換代速度來看,傳統(tǒng)的中低端存儲不能滿足云數(shù)據(jù)中心的需求了,因此數(shù)據(jù)中心建議采用高端存儲〔至少每存儲配置雙控,至少192GB緩存,192G后端磁盤通道,并且配置存儲虛擬化網(wǎng)關實現(xiàn)硬件層面的存儲虛擬化,徹底滿足異構存儲整合、存儲空間統(tǒng)一管理、多級容災系統(tǒng)構建等需求,實現(xiàn)資源整合、統(tǒng)一管理、數(shù)據(jù)遷移和多重數(shù)據(jù)保護,構建安全可靠、管理靈活、高性能、開放的存儲系統(tǒng)。第八章、云數(shù)據(jù)中心安全建設方案8.1安全策略配置原則安全防護一般遵守遵循下列原則：最小授權原則。依據(jù)"缺省拒絕"的方式制定防護策略。防護策略在身份鑒別的基礎上,只授權開放必要的訪問權限,并保證數(shù)據(jù)安全的完整性、機密性、可用性；業(yè)務相關性原則。在保證業(yè)務正常運行、保證效率的情況下分別設置相應的安全防護策略；策略最大化原則。當存在多項不同安全策略時,安全域防護策略包含這些策略的合集,并選取最嚴格的防護策略,安全域的防護必須遵循策略最大化原則。8.2云數(shù)據(jù)中心安全設計傳統(tǒng)數(shù)據(jù)中心網(wǎng)絡安全包含縱向安全策略和橫向安全策略,無論是哪種策略,傳統(tǒng)數(shù)據(jù)中心網(wǎng)絡安全只關注業(yè)務流量的訪問控制,將流量安全控制作為唯一的規(guī)劃考慮因素。而虛擬化數(shù)據(jù)中心的網(wǎng)絡安全模型則需要由二維平面轉變?yōu)槿S空間,即增加網(wǎng)絡安全策略,網(wǎng)絡安全策略能夠滿足虛擬機順暢的加入、離開集群,或者是動態(tài)遷移到其它物理服務器,并且實現(xiàn)海量用戶、多業(yè)務的隔離。根據(jù)云平臺的安全策略要求,一般部署兩臺千兆防火墻做為云數(shù)據(jù)中心的網(wǎng)關,虛擬出相應數(shù)量的防火墻以實現(xiàn)虛擬機隔離、虛擬機遷移策略隨行及不同委辦局訪問數(shù)據(jù)中心采取不同安全策略。8.2.1安全域劃分設計按照安全服務接口層、縱深防御層、安全運行管理層三層安全體系結構,針對不同的安全域進行不同層級的安全防護,安全是整體的安全需要安全設備與網(wǎng)絡設備互相配合協(xié)同。安全域劃分是一種邏輯意義上的劃分,是在建立在數(shù)據(jù)中心網(wǎng)絡結構之上的劃分,不同于單純在防火墻中的安全域劃,通過網(wǎng)絡、設備、業(yè)務的物理隔離和防火墻域劃分,策略配置等完成的功能、業(yè)務等方面的邏輯隔離,云計算虛擬化內部采用VDC實現(xiàn)不同安全子域虛擬機的隔離。根據(jù)數(shù)據(jù)中心的業(yè)務邏輯、安全防護需求和網(wǎng)絡構成特點,將數(shù)據(jù)中心劃分為不同的安全域；再根據(jù)安全域內部的不同安全需求劃分為安全子域,形成安全域與安全子域兩級結構。各個安全域和安全子域的功能劃分如下表所示：安全域安全子域安全子域作用備注公共域Internet外聯(lián)區(qū)主要是與Internet互連委辦局接入?yún)^(qū)主要是與各委辦局互聯(lián)交換域網(wǎng)絡核心區(qū)提供區(qū)域間網(wǎng)絡互聯(lián)內部域核心業(yè)務區(qū)提供核心業(yè)務物理資源區(qū)基于物理設備部署的應用區(qū)域云計算區(qū)基于云計算虛擬化部署的應用區(qū)域云計算區(qū)內部可通過VDC細分為多個子區(qū)域過渡區(qū)核心區(qū)和外聯(lián)區(qū)之間的過渡區(qū)管理域運行管理區(qū)包括計算中心網(wǎng)絡監(jiān)控,安全管理計算中心的管理區(qū),包括云平臺管理平面,服務器、網(wǎng)絡設備等的管理數(shù)據(jù)中心內部安全域的劃分主要采用如下方法：〔1計算中心網(wǎng)絡為"分層分平面"的網(wǎng)絡架構,整體組網(wǎng)分為核心層與接入層兩個層次以及管理、計算、存儲、業(yè)務4個平面。管理和業(yè)務平面隔離：計算、管理在不同的VLAN平面計算和存儲物理隔離：獨立的存儲網(wǎng)絡。應用三層架構平面隔離：可以根據(jù)業(yè)務需要,如把WEB->APP->DB劃分在不同的VLAN平面?！?各業(yè)務區(qū)根據(jù)需要可以劃分為不同的VLAN通過虛擬防火墻實現(xiàn)二層隔離?！?通過在數(shù)據(jù)中心出口應用防火墻來實現(xiàn)對安全區(qū)域的隔離。它可以工作在透明模式,也可以工作在路由模式,方便各種組網(wǎng)需求,主要實現(xiàn)如下的功能：通過防火墻嚴格的ACL策略和連接狀態(tài)檢測進行通信合法性保護隔離內部各個部門,可以為不同的部門設置不同的安全級別,能實現(xiàn)各個部門之間的訪問策略,也可以防范某些內部用戶發(fā)起的針對其他區(qū)域內設備的各種攻擊。防火墻的ACL提供了細粒度的訪問控制功能,實現(xiàn)的粒度包括：源與目的IP地址、源與目的MAC地址,源與目的端口、訪問協(xié)議等。保護計算中心內部的一些重要的服務器,控制各委辦局和外部對這些重要資源的訪問,防范針對這些服務器的各種攻擊。通過部署應用防火墻,對流經(jīng)網(wǎng)絡的報文進行詳細的分析與檢查,探測各種可能的異常情況和攻擊行為。對不同的部門均可以部署在不同的業(yè)務區(qū)中,它們之間可以通過VLAN和虛擬防火墻進行網(wǎng)絡隔離虛擬化中可以采用VDC和安全組方便的實現(xiàn)不同業(yè)務分區(qū)和虛擬機的隔離。8.2.2虛擬機隔離設計通過對防火墻進行虛擬化,分割成多個防火墻實例提供網(wǎng)絡安全服務,對每塊防火墻劃分三個邏輯實例,每一對虛擬防火墻工作在主-主模式,防火墻實例分布在兩臺上面,從而達到負載分擔和冗余備份的能力。不同業(yè)務虛擬機的網(wǎng)關地址各不相同,同一個邏輯集群內的虛擬機只能在VLAN內遷移,如公共服務、智慧城管、協(xié)同辦公三種業(yè)務分別對應在VLAN2、VLAN3、VLAN4內,每組業(yè)務使用獨立的VLAN、接口、路由表及轉發(fā)表,將一臺物理網(wǎng)絡設備邏輯上分割成多臺虛擬設備,增強對計算資源的安全訪問隔離控制能力。防火墻做服務器網(wǎng)關,L2分區(qū)之間互訪必須經(jīng)由防火墻對互訪流量做狀態(tài)檢測,并衛(wèi)生醫(yī)療、環(huán)境治理、GIS之間完全由防火墻實現(xiàn)訪問控制,屬于強隔離措施。若存在部分數(shù)據(jù)庫相互調用可設置允許某一端口IP地址互通。8.2.3各委辦局接入策略控制設計通過虛擬防火墻對不同委辦局接入時采取不同的權限策略,每個委辦局介入時虛擬防火墻系統(tǒng)運行過程中根據(jù)轉發(fā)流的情況動態(tài)申請。如轉發(fā)面會話表、監(jiān)控表、帶寬等資源表現(xiàn)為實時性很高,可能某一個時段僅需要占用少量資源,另一個時段會占用較大資源,甚至全部資源。這樣防火墻管理員為虛擬防火墻分配資源時就可以配置一個保證數(shù)量和一個最大數(shù)量,防止某些虛擬防火墻空閑時,分配的資源浪費掉,通過預留一部分資源為全部虛擬防火墻所共享,大家搶占使用。使得防火墻的整機資源得到高效利用,也可以避免空閑的虛擬防火墻在使用時出現(xiàn)饑餓申請不到資源的情況。刪除虛擬防火墻時,按照一定的順序對各子系統(tǒng)的資源進行回收,保證資源回收干凈。8.2.4虛擬機安全策略動態(tài)遷移設計當虛擬機實現(xiàn)跨服務器遷移時,需要實現(xiàn)虛擬機的安全策略隨行。8.3虛擬防火墻部署優(yōu)勢虛擬防火墻是將一臺物理設備從邏輯上劃分為多臺獨立的虛擬防火墻設備的功能。每臺虛擬防火墻都可以擁有自己的管理員、路由表和安全策略。通過虛擬系統(tǒng)技術,就可以讓部署在云數(shù)據(jù)中心出口的防火墻具備云計算網(wǎng)關的能力,對用戶流量進行隔離的同時提供強大的安全防護能力。為了實現(xiàn)每個虛擬系統(tǒng)的業(yè)務都能夠做到正確轉發(fā)、獨立管理、相互隔離,防火墻主要實現(xiàn)了三個方面的虛擬化：路由虛擬化：每個虛擬防火墻都擁有各自的路由表及會話表,相互獨立隔離。安全功能虛擬化：每個虛擬防火墻都可以配置獨立的安全策略及其他安全功能,只有屬于該虛擬系統(tǒng)的報文才會受到這些配置的影響。配置虛擬化：每個虛擬防火墻都擁有獨立的虛擬系統(tǒng)管理員和配置界面,每個虛擬系統(tǒng)管理員只能管理自己所屬的虛擬系統(tǒng)。通過以上三個方面的虛擬化,使得防火墻的虛擬防火墻功能更加易于使用。8.4DMZ區(qū)域安全設計DMZ區(qū)域主要承載對外服務,而現(xiàn)在主要的威脅來自于互聯(lián)網(wǎng),因此DMZ區(qū)域建設重點在于提供安全可靠的服務。DMZ是為了解決安裝防火墻后外部網(wǎng)絡不能訪問內部網(wǎng)絡服務器的問題,而設立的一個非安全系統(tǒng)與安全系統(tǒng)之間的緩沖區(qū),這個緩沖區(qū)位于數(shù)據(jù)中心內部網(wǎng)絡和外部網(wǎng)絡之間的小網(wǎng)絡區(qū)域內,在這個小網(wǎng)絡區(qū)域內可以放置一些必須公開的服務器設施,如計算中心Web服務器、FTP服務器和論壇等。另一方面,通過這樣一個DMZ區(qū)域,更加有效地保護了內部網(wǎng)絡。在互聯(lián)網(wǎng)接入?yún)^(qū)的出口位置部署專用的鏈路負載均衡設備,鏈路負載均衡與全局負載均衡設備共同實現(xiàn)由內向外和由外向內的出入站流量負載均衡。DMZ區(qū)網(wǎng)絡核心為兩臺防火墻,防火墻工作在路由模式,兩臺防火墻采用雙機熱備方式部署,防火墻上配置DMZ區(qū)的網(wǎng)關。防火墻的