船舶信息系统融合集成及网络安全合规改造

缪政

（中远海运散货运输有限公司，广东 广州 510220）

引言

IMO 于2017 年6 月MSC98 通过有关海事安全相关决议，将船舶网络安全列为2021 年首次DOC 审核内容。船舶局域网从设计之初就未充分考虑网络安全，安全隔离不到位，防护手段缺失，难以满足相关规范要求。为避免由于网络安全不合规导致船舶被滞留的情况发生，需要对船舶网络安全进行改造。同时，船舶上计算机工作环境复杂，要面对高温、高湿、高盐、晃动、电力不稳定等多种复杂环境。普通的商用服务器对环境要求极其严格，需要工作在计算机机房环境中(温度范围20-25℃，相对湿度范围40%-55%)，在船舶上运行故障率非常高。而且随着VSAT 的成熟推广，船舶由原来的离线状态逐渐转为实时在线状态，这对船舶信息系统的安全性、高可用性、集中管理的要求越来越迫切。传统的每部署一个信息系统就部署一套物理商用服务器的方式，使船舶信息系统的故障风险点不断堆砌积累，既给船舶信息系统运维带来压力，也造成了巨大的成本开销。

针对上述两点，我们从安全合规及服务器融合集成两方面对“XX 海”轮的IT 信息系统进行了改造。

一、船舶网络安全合规改造

网络安全最重要的设计原则就是隔离。对于船舶局域网来说，如果将服务器和用户电脑混在一个网络里，一旦某台电脑中毒或遭受攻击，将很快在全网范围内传播，造成网络瘫痪和数据丢失。而我司船舶局域网恰恰就是典型的未划分安全区域的混杂原始网络。

改造前，“XX海”轮局域网拓扑完全不符合CCS规范要求。为解决此问题，需要将船舶局域网进行安全域划分，划分为服务器安全域和用户办公安全域，各个不同的安全域之间进行逻辑隔离，一旦某个安全域出现问题，可以将安全威胁控制在此安全域内，不会造成全网传播。各安全域之间配置安全策略，严格进行过滤，确保数据安全传输，降低安全风险，满足监管要求。

同时，按照CCS 的网络安全指南要求，船舶需要配备具有IPS（入侵防御系统）、防病毒等安全功能的网关设备。目前船舶上使用的Netgear 路由器不具备此类功能，需要使用UTM（统一威胁防护）设备进行替换[1]。UTM设备除具备传统防火墙功能外，还具备IPS、防病毒等新型安全防护功能，技术成熟，性价比高，能够提供三到七层全面的安全防护，非常适合在船上使用。

船岸数据传输加密隧道方面，随着船上VSAT 网络的成熟，船舶转为实时在线状态，为保障船岸数据传输的安全，防止业务数据被非法窃取，需要进行加密传输。可通过船端UTM 设备与岸端建立IPSec VPN 加密隧道，所有数据均通过该隧道传输，有效保证业务数据传输的安全性[2]。同时，利用该加密隧道，还可以进行船舶局域网远程维护操作，有效降低人力成本。

终端防护方面，目前船上各个电脑均未安装专业的杀毒软件，存在较大安全隐患，也无法满足监管要求。按照统一规划、统一管理、统一部署的思路，在船舶各电脑上安装新一代EDR（终端安全防护）客户端，岸端部署EDR服务端，客户端安装完成后免维护，统一由服务端自动进行安全任务下发。EDR 除具备传统杀毒功能外，还具备漏洞修复、资产管理、安全基线核查等功能。

未来，随着船岸通信技术的进步，我们可以考虑将船端网络安全状况纳入岸端态势感知平台，以更加直观的方式实时展示船舶网络安全态势，加强对船舶网络的掌控力度。

根据上述思路，对“XX 海”轮网络改造后，通过UTM 设备+EDR 终端防护，为船舶提供了一套满足合规、轻量级、性价比高、扩展性好的网络安全拓扑。

二、船舶服务器融合集成

如前文所述，目前我司船舶信息系统所运行的服务器来源各异，品牌各异，有商用服务器、有工控机、甚至还有普通台式电脑充当服务器。各个服务器均为单机运行，一旦损坏，除等待船舶靠泊期间更换以外，别无他法。尤其是商用服务器和台式电脑，由于本身是为岸端环境所设计，运行在船上，故障率尤为高企。针对这个痛点，我们设计了通过虚拟化技术运行在工控机顶级厂商研华所生产的设备上的船舶超融合计算平台方案。

船舶超融合计算平台，采用的是目前业界前沿的超融合架构：在一个4U（服务器物理高度单位）的高密度工控服务器内，放入4 节点高性能计算单元（工作温度0-60℃，相对湿度最大85%），以应对船舶恶劣运行环境。每个单节点均搭载主频3.2Ghz 的英特尔第八代酷睿i7-8700 处理器,6 核双线程，16GB 内存，1TB 固态硬盘。并配备丰富的板卡扩展槽，满足船舶不同信息系统运行的需求[3]。

在此超融合服务器内，采用了虚拟化技术，实现计算能力、存储能力、网络带宽的动态分配。在此平台上可以通过虚拟机部署各种类型的信息系统，不论是基于windows或linux的何种版本开发。由于其采用4节点分布式架构，因此可以实现虚拟机热迁移，故障转移，运行状态检测，虚拟机快照、实时备份等高级功能。分布式存储保障了数据的安全性，不会因硬盘故障而丢失数据，也不会因服务器故障影响业务系统的正常运行。该平台实现了多个船舶应用系统在同一台超融工控服务器上高效稳定的运行，充分发挥硬件资源使用率，实现集中化部署，标准化管理。

改造后能效系统、船员培训系统、应用系统迁移到此平台，替换掉4 台实体服务器，新增8 台虚拟服务器，实际部署虚拟机系统12 台，并还可随着船舶信息系统的不断增加在超融合工控服务器内随时扩展。而对于已经运行的12 台虚拟服务器而言，任何一台虚拟服务器故障，均可以随时恢复。及时超融合工控服务器上物理硬件出现了故障，由于其4 节点分布式架构，任何一个硬件上承载的虚拟服务器均可以实时自动热迁移到其他节点上，对于用户而言，零感知。

在经济性方面，超融合工控服务器更是具有无可比拟的优势。

原“XX 海”轮船舶部署的系统硬件费用估算：能效系统采用两台研华工控机，大约费用3 万元；船员培训系统采用一台工控机一台笔记本电脑，费用约2 万元；航标系统采用台式办公电脑，费用约1 万元。传统部署方式硬件成本总共约6 万元。超融合工控服务器成本约7 万元。

经过对比，传统物理服务器的成本与超融合工控服务器的成本基本持平，略低于超融合工控服务器成本。但是由于本次除替换原物理服务器外，还新增了8 台虚拟服务器，若此8 台虚拟服务器按传统方式进行物理服务器部署，新增物理服务器全部按照成本较低的商用服务器计算。

当新增应用系统增加时，传统物理服务器方式的成本已经飙升至超融合工控服务器成本的2 倍。“XX 海”轮原有物理服务器当中，只有能效服务器分为AB 两台，可以互为备份。其他服务器均为单机运行，一旦故障除更换外别无他法。若从业务连续性的角度考虑，为其配备备份服务器，则成本更是激增。

可见，若传统物理服务器要实现超融合工控服务器同样的安全性和稳定性，成本将激增至3 倍以上。即使不考虑成本问题，也不考虑管理这些服务器的困难程度，单是摆放这些服务器的空间船上根本就无法提供。

有上述对比可知，超融合工控服务器无论是安全性、稳定性、部署灵活性，还是性价比，均远超传统的物理服务器部署方式。

三、总结

本次在“XX 海”轮实施的船舶信息系统集成项目，由安全合规改造和服务器融合集成两部分组成。其中安全合规改造是硬性指标，完全按照CCS指南中关于船舶网络安全的规范进行。经过本次改造以后，“XX 海”轮船舶网络的安全性大幅提升。而服务器融合集成则充分实现了IT 新技术与船舶实际相结合，以绝佳的性价比，大幅提升了船舶信息系统的安全性、稳定性、灵活性，为日后实施智能船舶打下了坚实的基础。