卫生监督所网络硬件和软件维护项目需求书.docx

1、卫生监督所网络硬件和软件维护项目需求书卫生监督所网络、硬件和软件维护项目需求书1. 项目概述上海市卫生局卫生监督所新建业务楼位于常熟路280号，中心机房设在地下二楼，机房中部署有小型机、刀片服务器、机架式、塔式等各类多台服务器，网络设备包括核心交换机、防火墙、VPN以及路由器等，机房环境包括硬盘录像系统、门禁系统、精密空调、舒适空调、UPS、气体消防系统、配电柜等设备。机房配有环境监控系统，分别监控精密空调、电力参数、空调漏水、温湿度，另配配有一套H3C-IMC智能管理平台。于2001年建立了邮件系统，是linux操作系统下的WorldPost 8.0电子邮件系统，为全所职工提供邮件服务。目前

2、，市卫监所整个网络主要由外网、内部局域网（内网）和政务外网组成，外网访问通过租用上海科技网的专线与公众互联网连接，网络拓扑见图1。内外网区域建设现状如下图：以上状况，已不适应上海市卫生局卫生监督所的发展需求，为此，上海市卫生局卫生监督所（以下简称“市卫监所”）将在2010年7月实施网络、硬件和软件维护项目，主要包括：内外网物理隔离、机房监控系统、统一通讯和邮件系统升级建设。1.1. 内外网物理隔离根据上海市政务外网管理中心的要求以及上海市卫生局卫生监督所新建业务楼网络环境的需求，积极配合全市卫生监督综合业务平台的实施，实行内、外网物理隔离，不仅使得信息网络的抗攻击能力大大增强，加大对网络管理的

3、而且有效地防范了信息外泄事件的发生，确保上海市卫生局卫生监督所网络运行安全。1.2. 网络和计算机设备监控系统中心机房虽然已经建立了环境监控系统和网络管理平台，但是这些平台尚未涉及烟感、机柜配电、舒适空调、防雷报警、新风机监测、门禁、视频监控、各类服务器等的监控。需对各平台之间进行整合，辅以声光、email、短信及电话报警等多种方式报警，从而达到24小时适时监测各系统的运行以保障机房环境、应用系统正常运行的需求。1.3. 即时通讯应用软件为满足各级卫生监督机构之间即时通讯的需求，建立能与avaya交换设备之间整合的即时通讯平台。1.4. 邮件系统扩容为提高邮件系统的用户数、功能、安全性和扩展性

4、，同时使邮件系统与其他信息系统之间协同功能的需求也不断增强，因此计划对原有邮件系统进行改造。2. 建设要求2.1. 内外网物理隔离2.1.1. 总体需求根据上海市政务外网管理中心的要求以及市卫监所新建业务楼网络环境的需求，积极配合全市卫生监督综合业务平台的实施，实行内、外网物理隔离，不仅使得信息网络的抗攻击能力大大增强，加大对网络管理的而且有效地防范了信息外泄事件的发生，确保市卫监所网络运行安全。2.1.2. 系统整体结构经过各方专家的充分论证，调整后建设的总体架构如下：说明如下：为了保障网络信息的安全，将采用互联网业务和政务外网两个网络在物理上部署网闸设备进行隔离的方法，在技术上做到：1.在

5、物理存储上隔断两个网络环境，内部网与外部网信息要分开存储；严格限制可移动介质的使用范围及环境，如软盘、优盘、光盘和移动硬盘等。2.布线链路的内外网改造卫生监督员在所内开展业务需要通过内部局域网（内网）访问应用在政务外网的卫生监督综合业务平台，市政务外网管理中心要求各接入单位对政务外网和互联网（外网）进行独立访问，以增强政务外网的安全性与稳定性。因此，需要在网络的基础布线上进行一个区分，将内终端网和外终端网做到隔离。在新建业务楼内部布置了两套网络，这样为实施内、外网分别组网提供了基础的线路保障。在中心机房对内网和外网的布线进行分离，并在大楼内部实现无线网络全覆盖，网络交换和网络安全设备同样分离。

6、3客户端的内外网分离每个业务人员均有1台台式电脑，用于接入内网办公使用。连接互联网（外网）采用笔记本无线上网或专用外网台式机有线上网的方式。对于内网终端非法外联，外网终端非法内联，根据管理策略要求，关闭每个客户端的各种外联或内联途径，强制性地使其成为“信息孤岛”，真正维护内网的封闭性。2.1.2.1. 外网区域的设备（互联网网区域）1、在外网出入口新购一台上网行为管理设备可在P2P流量管理、防止内网泄密、防范法规风险、互联网访问行为记录、上网安全等多个方面实现对互联网访问行为的全面管理。2、增加一台利旧的防垃圾邮件设备旁路在核心交换机旁3、其他市所外网的网络设备包括核心交换机、防火墙、无线控制

7、器、无线AP等设备都利旧4、在外网与内网之间增加一台网闸，实现对邮件系统的访问2.1.2.2. 内网区域的设备（内网区域）市所内网的网络设备都利旧2.1.2.3. 市公共卫生专网区域的设备（政务外网区域）市公共卫生专网的网络设备都利旧2.1.3. 附原有设备清单序号品名品牌型号数量备注1入侵检测天融信Topsentry 30241利旧2防火墙天融信NGFW40003利旧3防火墙天融信NGFW 4000-UF1利旧4防火墙天融信NGFW20001利旧5防火墙华依HY-F2000K1利旧6无线交换机H3CWX3024,S31003利旧7邮件安全网关WebsenseWebsense SurfCont

8、rol RiskFilter1利旧2.1.4. 建设内容与需求根据上述的分析，本项目需要实现如下内容：网络的ip规划，针对卫监所内部局域网，进行整体规划；对客户端进行相应的限制，首先实施MAC地址与IP地址绑定；其次把整个网络按照部门和功能来划分不同的专有网段，实现内部计算机各部门间的相对独立，各功能性的设备独立，信息相对安全。选型、采购、集成上述的2台新购设备，同时要求投标方根据自身对市卫监所系统的理解，在投标方案内配置满足本项目需求的系统集成方案。由于系统的特殊性，因此本项目所采用的系统硬件要求尽可能采用国产和利用已有产品。具体对采购的硬件数量和指标要求请参见下述的“2.1.5 技术指标”

9、章节的内容。本项目实现的市卫监所内外网区域隔离是整个系统有效运行的关键之一，因此必须建立对该系统的有效维护升级保障机制，其包括如下几方面： 建立合理的系统维护机制，保证系统的安全、稳定、高效运行； 建立有效的远程维护和技术支持机制； 建立并制定长期的、可执行的系统维护承诺，要求如下： 配合硬件环境改变件调整时所需配合完成的工作； 系统优化必须实现系统性能经过测试后有性能的提高； 对相关维护的系统整体相关事宜保密； 定期巡视检查，第一时间排除故障的隐患； 必要的培训工作。2.1.5. 技术指标1、 网闸1台 具体技术参数要求序号项目技术参数1产品形态产品采用“2+1”（即双主机系统+DTP物理隔

10、离通道控制系统）体系结构，产品是自主研发，具备DTP物理隔离通道系统证书。2硬件配置机架式机箱，带液晶菜单显示内外网IP地址等整机信息，面板可操控整机复位、关机，机箱高强度钢壳结构3网络接口标配提供6个10/100MBase-TX(RJ45) 自适应以太网接口，可扩展到10个，可支持光纤接口。4管理接口提供1个标准10/100MBase-TX(RJ45) 自适应以太网接口，1个串口。5数据传输速率90M 6系统延时1ms7并发连接数800008内部数据吞吐量5Gbps9平均无故障工作时间50000小时10电源支持冗余电源，支持热插拔。11通讯协议采用特有控制逻辑和专用通讯协议完全控制数据的实时

11、交换。12操作系统采用专用安全操作系统及嵌入式程序控制（ASIC）确保系统本身免受攻击。13功能应用支持支持互联网浏览服务、数据库同步交换、邮件收发、文件的单向或双向交换等功能，软件模块可随时根据需求升级。14数据库同步数据库同步应用可通过灵活的同步机制保证安全等级不同的网络中的数据库系统实现数据同步更新，可提供客户端安全访问网络另一侧的数据库服务器的功能，能够支持ORACLE、MS SQL、SYBASE、MySQL、Access等主流数据库。15文件自动收发具有文件自动收发功能，文件交换服务能够控制单个用户和分组用户的文件收发权限。16身份认证可采用用户名和密码、IP地址、MAC地址等多种组

12、合方式实现客户端访问控制。支持Radius统一身份认证.17应用访问控制可根据来源、目的地、用户特权和时间来控制对特定的 HTTP、SMTP 或 FTP 等资源的访问。18视频支持支持视频会议、流媒体、短信等特殊应用代理以及用户定制协议。19传输方向控制支持单向、双向传输控制。20防病毒支持病毒检查。21单双向访问控制支持单双向数据访问控制。22文件交换防毒安全文件交换模块支持防病毒文件过滤23文件类型过滤支持传输文件类型控制。支持关键字黑白名单过滤等多种附加功能24日志模块日志审计支持分模块日志控制策略25日志管理支持日志浏览、查询、导出、删除26审计员认证单独审计员用户认证27管理界面友好

13、的全中文GUI配置界面28硬件USB钥匙采用硬件USB钥匙加密管理29负载均衡和双机热备支持负载均衡和双机热备30产品证书 1、公安部销售许可证2、国家保密局认证31服务提供三年免费质保2、上网行为管理1台 具体技术参数要求序号项目技术参数1吞吐量300Mbps2并发会话数500,0003网络接口具备至少4百兆电口4并发用户数8005尺寸标准机架尺寸6上 网 优 化上网加速必须支持Cache缓存功能。重复数据支持从Cache缓存中提取并返回给用户，提升网速并节省带宽占用；7支持缓存网页、图片、Flash文件等静态文件；8必须能缓存在线视频数据流；9必须能对指定域名、指定IP优先缓存或禁止缓存；

14、10必须支持以图形化方式直观展示缓存效果和上网加速效果；11内网用户无需更改任何配置即可实现透明缓存和上网加速；12流量管理必须能同时连接四条物理线路，支持上网流量的多线路自动选录效果，同时能对每条链路分别管理流量；13必须支持虚拟线路，实现对多条外网线路分别流控的效果；14必须能基于用户使用的应用类型、网站类型、文件类型划分和分配带宽资源；15网络可视性支持实时监控各链路上行、下行流量，且通过曲线图显示；16必须支持将指定时间段内、指定用户/用户组/应用的上网流速以条带叠加图的形式显示；17必须支持将指定用户/用户组/IP的流量统计/趋势与前一天/前一周/前一月对比并输出报表；18上网安全

15、危险过滤必须能过滤含有木马的危险网页、含有危险脚本的网页；19必须能过滤潜藏了恶意插件的网页和下载的文件20必须能封堵黑客远程遥控、木马远程控制等危险行为；21终端准入必须能检查用户终端操作系统版本和补丁安装情况；22必须能检查用户终端注册表是否存在指定键值；23必须能检查用户终端系统进程和硬盘指定文件情况；24必须能检查用户终端杀毒软件的安装、运行和更新情况；25 上网管理用户识别支持静态账户认证，IP、MAC、IP-MAC绑定等认证方式；26必须支持AD、POP3、WEB、Proxy单点登录，简化用户操作；27必须支持新用户的自动命名、自动归类、自动管理；28上网授权设备必须能实现未知网页

16、的自动识别和自动分类；29必须能封堵SSL加密的钓鱼网站，且放行SSL加密的网银网址；30必须能基于关键字过滤SSL加密论坛、BBS上的发帖行为；31必须内置500条以上的应用识别规则，有效管理网游、炒股、IM聊天等网络行为；32指定用户的指定应用上网时长超限后必须能自动提醒之；33其他要求部署要求支持网关模式、网桥模式；支持多路桥接，即四进四出模式；34资质要求35设备生产商的售后服务体系必须通过ISO9001认证；37服务服务提供三年免费质保2.2. 机房环境监控系统2.2.1. 基础功能要求市卫监所中心机房环境监控系统严格按照机房建设有关技术防范的规定建设实施，采用高标准的监控系统设计原

17、则，系统采用嵌入式Linux监控系统。系统必须满足下列要求:1. 技术先进性：监控设备均选用国内技术最新的专业厂家产品，软硬件均为模块化结构，有利于系统的维护。采用RS232/485、SNMP、TCP/IP和OPC接口，符合国际最新潮流。系统能适应适应大量数据实时处理，并具有强大的网络互联功能。2. 系统实时性：监控系统采用先进的多线程轮询技术，根据所监控设备的多少自动分配线程，实现负载均衡。机房监控所有设备的通讯间隔控制在5秒钟之内，敏感设备数据刷新能力在1秒以内。系统必须准确无误地接收并上报设备运行数据及告警信息。3. 系统可靠性：监控系统的硬件和软件均采用技术成熟的产品，各模块间互相独立

18、，互不干扰，并具有热插拔和主设备倒换功能，在设备更换时不影响整个系统的正常工作，保障系统36524小时不间断运行。采用的嵌入式服务器具有本地数据存储及处理能力。4. 系统开放性：硬件系统的设计采用可靠的电气隔离，保证系统的软硬件在任何情况下，均不影响被监控对象运行的安全性；软件系统的设计对系统管理和维护人员进行多级权限分类以区分限制各级别人员对系统的访问和操作能力，保证系统操作的安全性。系统预留多种对外接口，能向上级集中监控平台提供监控软件的所有监控数据及报警信息。5. 监控系统可扩展性：系统的建设采用模块化结构，具有灵活的多级组网功能，模块化结构有利于扩容与扩展，扩展成本低廉。监控系统前端采

19、集必须采用嵌入式linux监控服务器，嵌入式监控服务器基于TCP/IP网络化监控结构，充分利用内部的局域网，硬件连接简单方便，可达到系统的无限扩展。6. 系统易维护性：软件系统中文化，操作简单方便，日常维护时间少，所有的监控内容均在一个软件平台中察看，具有统一的监控界面，并能在监控中心实现所有机房设备的远程集中管理、维护及升级。7. 监控整个系统的平均无故障时间20000小时；要有十年以上的机房监控实施经验，对于各类智能设备通信协议具有专业的解码能力，要对智能设备解码100%的完整性，对UPS、精密空调的所有数据点(遥测、遥信、遥控)均可纳入监控平台。信号处理接口板的平均无故障时间也在20万小

20、时以上。8. 具备双机热备份监控功能：系统具有双机备份功能，当一台备份机出现故障，可以备份到另一台主机上。9. 抗干扰性：监控系统要有长度校验、校验码验证外，还可以根据实际情况进行多次确认才报警。这样使正常情况下系统的误报率可低于0.1%；当发生通讯错误和故障时系统发出报警信息，提醒值班人员及时排除；当供电意外中断并恢复供应时，各工控设备能自动根据设定重新启动并传输未传数据，同时系统软件也可自动启动和接收数据，保障数据的完整性。10. 报警功能：有屏幕报警、声音报警、电话报警、手机短信报警，电子邮件报警及电话查询功能等。11. 远程浏览：机房场地监控系统必须有客户端软件及Web浏览，要求可在W

21、indows、Unix及Linux等流行操作系统上通过客户端软件及浏览器实时查看监控界面。12. 监控软件接口功能要求a) 要求机房场地监控系统软件能自动把环境设备等监控对象和系统本身的实时运行参数、实时运行状态、报表及事件日志数据发送到信息系统安全运行平台SQL数据库，当场地环境发生事件时，要求通过Socket及Snmp Trap方式通知信息系统安全运行平台。b) 要求机房场地监控系统软件内嵌OPC Server及SNMP Agent。可以集成其它系统：门禁、安防、视频等其它系统。c) 场地环境信息采集、控制及报警系统必须具备不受病毒感染、多级授权、授权数据加密等功能。d) 机房场地监控系统

22、应采用模块化结构，具有功能完备、稳定可靠、中文界面、可组态、多级组网结构、远程升级维护及操作简单等特点。e) 监控系统需要能兼容太保各地已有的机房环境监控系统。13. 安全设定：使用数据库为：LONWEB嵌入式Linux的使用MySql 数据库。数据表内容刷新时间1秒，设备的监控情况及事件日志存储到数据库时间1秒。14. 场地监控系统的使用不影响被监控设备的正常运行，系统的局部故障不影响整个监控系统的正常工作。15. 场地监控系统应采用模块化结构，具有功能完备、稳定可靠、扩展方便，中文界面、可组态、多级组网结构、远程升级维护及操作简单等特点。16. 系统要实现第一时间发现问题、第一时间通知相关

23、人员处理问题的功能，通过机房环境监控系统，应用卓越的监控技术，对各种设备进行集中监控，同时集中收集各种设备监控信息，效率高、速度快，在第一时间内发现问题；同时该系统具有全面、迅速和精确的检测和事件通知技术，在先进数据采集设备的配合下，能够在第一时间内获取到设备的异常信息，通过现场声音、短信、Email、软件界面拓扑图报警形式，来通知相关人员及时到现场处理故障.17. 机房集中监控管理系统主界面以交替显示机房、网络监控，根据监控的实际情况，用LED指示灯表示每个机房的具体位置，一个LED指示灯代表一个机房，点击LED指示灯进入相应机房的监控界面，显示出该机房的详细监控内容,简单操作就能了解到哪些

24、机房实现了哪些监控内容。当某个机房有报警发生时，对应的LED指示灯便呈红色闪烁，并提示报警信息内容，此时，单击LED指示灯，直接进入发生报警的设备监控界面，界面上显示详细的报警内容。18. 机房环境监控系统必须包含日常机房运维功能，能效管理、3D系统展示、资产管理等功能满足系统后期扩展。19. 集中监控系统必须具有网络监控功能，以动态图形化的方式交替显示机房和网络的各种各类监控信息，根据监控的实际情况，双击图形化界面显示出该设备的详细监控内容,简单操作就能了解到实现了哪些监控内容。有报警发生时，对应的画面固定显示故障设备，闪烁报警，并提示报警信息内容，点击设备直接进入发生报警的设备监控界面，界

25、面上显示详细的报警内容，辅以声音、短信和Email。2.2.2. 监控部分要求1. 空调监控子系统a) 现有一台大金vrv舒适空调，投标人提供相应的通讯转换模块及辅件，可以实现对空调的监控及相应数据的采集。 b) 系统可实时、全面诊断空调运行状况，监控空调各部件的运行状态与参数，并可通过软件在系统上远程修改空调设置的各种参数 c) 当监控参数越限或出现异常情况时，系统运行界面自动切换到此空调的状态与报警图上，系统发出语音报警，若发生严重事件，系统即通过电话、email、短信方式告警；d) 在事件窗内可看到该事件的详细报告，双击该事件，显示界面自动切换到相应画面上，报警部位以闪烁或醒目的颜色显示

26、。2. 视频监控子系统a) 系统要兼容用户现有硬盘录像设备，机房内已安装有2支摄像枪； b) 视频系统具有触发录像功能：当有人员在固定摄像头的相应区域活动，即启动录像，当有设备报警或人员活动，即自动对该区域，启动录像；系统可预录五秒，防止事件记录过程的不完整；c) 视频远传功能：管理人员可以察看任意摄像头所在区域的实时视频，远程与本地具有完全一致的功能和界面；d) 视频设备控制功能：管理人员可以控制任意一体化球机或其他相关的视频监控设备，远程与本地具有完全一致的功能和界面；e) 录像浏览功能：管理人员可以浏览任意摄像头、任何时刻的录像内容，并且远程或本地具有一样的功能和界面；3. 门禁管理子系

27、统a) 系统要整合用户现有的门禁系统；4. 漏水监控子系统a) 在机房周围有可能漏水的地方安装漏水检测绳，一旦机房出现漏水，系统即可检测到漏水并启动各种报警；b) 用画面形象地表示漏水监测的位置，报警时，画面上相应漏水的位置指示红色，便于管理人员迅速找到水源，排除故障。5. 消防监控子系统a) 检测消防控制器上的干接点信号，实时监测机房内消防的情况；b) 报警信号用语音、email、电话、短信等方式发出；c) 一旦报警，系统可根据需要联动相关系统，如：联动门禁系统打开门锁，让工作人员逃生；联动视频监控系统进行拍照；延时联动供电系统切断机房电源等。6. 防雷系统监测通过数字量输入模块采集防雷器的

28、触点状态。防雷模块遭到雷击毁坏时，系统会自动记录雷击事件，同时提示应尽快更换防雷模块，以免在无防雷保护的情况下遭受雷击。7. 新风机监测通过数字量输入模块采集新风机的触点状态，当新风机发生堵塞现象后，触点闭合，系统自动记录并报警，提醒操作人员进行检修。2.2.3. 技术指标1、机房环境监控一套 序号指标项技术参数要求1监控功能1）机房漏水检测；2）机房空调状态监控；3）机房气体消防状态监控；4）机房门禁监控；5）机房视频监控；2报警方式1）声光报警；2）手机短信；3）电话语音来电（可选）；4）电子邮件；3实现功能1）实现通过内部局域网登陆访问系统监控界面；2）系统在保持原有线缆及前端采集设备的

29、前提下，支持系统二次开发功能；3）监控主机要求能与UPS设备相连，实现UPS进行实时监控4）系统主机要求采用工控机形式，平均无故障时间大于10000小时，有系统自愈能力，具有较高的稳定性和可靠性。5）系统主机应具有自动记录和储存报警事件的时间、报警内容等日志信息的功能，并能将报警日志信息作为报表打印出来。6）集中监控软件应具有动态图形化用户监控界面、监控参数设置、超限或故障报警、用户管理等功能；实现所有监控数据同一主界面显示；可根据用户机房布局图形象地显示各监控点的位置、类型、参数数值以及是否报警。4稳定可靠性采用工业级主板和嵌入式Linux系统，可以连续运行60000小时以上，并具有系统自愈

30、能力（带有Watchdog）5网络化远程监控系统以网络远程监控为目标，数据采集层、数据管理层、用户界面层相互分离又通过网络互联，形成网络化远处分布式监控和集中管理的多层监控管理模式。6Web化用户界面系统只需通过IE浏览器和网络即可远程监视各种智能设备的运行状况和传感器的实时测量数据，以及查询报警事件的时间和内容等7可扩展性可扩展性强。监控主机通过网络可连接多个监控副机，形成网络化的集散监控系统，即提高了整个系统的性能，又可方便的扩展。8界面图形化根据用户机房实际布局图制成三维图形化的监控界面，形象地显示各监控点的位置、类型、参数数值以及报警状态，形象直观2.3. 网络主机监控系统2.3.1. 部署要求1.软件应支持简体中文操作界面，并根据具体系统要求能够对外向其他系统提供接口。2.国产高可用性软件，具有自主知识产权，面向业务的网管软件系统；3.应用服务器必须建立在已有的Windows2003平台以上；4.集中监测系统中所有的网络设备，包括防火墙、交换机、路由器、线路流量