目录

1.港铁AFC云数据中心建设项目设计方案

1.1.项目概述

1.1.1.深圳市城市轨道交通网络总体架构

1.1.2.深圳市轨道交通清分中心概况

1.1.3.深圳市轨道交通AFC系统线网中心（CLC）概况

1.1.4.4号线已开通线路和系统概况

1.1.5.本项目工程概况

1.1.6.本项目AFC系统概况

1.1.7.三期AFC系统需与以下系统接口：

1.1.8.需求理解及分析

1.1.8.1.构建云数据中心

1.1.8.2.业务云化及运维

1.2.项目建设目标

1.2.1.建设云数据中心，提供IaaS和PaaS层云服务

1.2.2.构建云安全防护体系，满足安全等级保护三级要求

1.2.3.部署云运维管理平台，图形化展示业务运行状况

1.3.项目设计原则

1.4.方案设计总体思路

1.5.总体方案架构设计

1.5.1.港铁AFC云平台架构设计

1.5.2.新建云数据中心架构设计

1.6.详细设计方案

1.6.1.云管理平台设计方案

1.6.1.1.云管理平台架构设计

1.6.1.2.IaaS层服务设计

1.6.1.3.PaaS层服务设计

1.6.2.网络资源池设计方案

1.6.2.1.网络资源池总体架构设计

1.6.3.计算资源池设计方案

1.6.3.1.计算资源池需求

1.6.3.2.存储资源池需求

1.6.3.3.计算资源池总体架构设计

1.6.3.4.计算资源池容量规划设计

1.6.3.5.数据库区计算资源规划设计

1.6.3.6.计算资源池服务器虚拟化平台设计方案

1.6.4.存储资源池设计方案

1.6.4.1.FC SAN数据存储设计

1.6.5.安全资源池设计方案

1.6.5.1.物理安全

1.6.5.2.基础安全

1.6.5.3.虚拟化安全

1.6.5.4.多租户安全

1.6.5.5.应用层数据安全

1.6.5.6.云安全部署方案

1.6.5.7.云主机备份

1.6.6.高级运维管理平台设计方案

1.6.6.1.高级运维管理平台总体方案设计

1.6.6.2.高级运维管理平台详细方案设计

1.6.6.3.高级运维管理平台部署方式

1.6.6.4.高级运维管理平台效益分析

1.6.7.业务系统云化迁移设计方案

1.6.7.1.新应用系统虚拟化建设

1.6.7.2.老应用系统虚拟化迁移

1.6.7.3.业务整合迁移

1.6.8.设备及材料表

2.项目实施方案

2.1.工程实施计划

2.1.1.项目人员组织

2.1.2.项目重点、难点说明

2.1.3.项目组织和技术支持结构

2.1.4.项目工程进度列表

2.1.5.项目风险控制措施

2.2.项目实施各环节实施方案

2.2.1.项目规划

2.2.2.项目实施流程

2.2.3.现场安装、调试阶段

2.2.4.现场预验收（SAT1）

2.2.5.系统试运行阶段

2.2.6.竣工验收阶段（SAT2）

2.2.7.系统维护与技术支持

2.3.项目管理

2.3.1.概述

2.3.2.项目管理生命周期

2.3.3.项目管理阶段与实施进度计划

2.3.4.项目协调及沟通管理

2.3.4.1.沟通计划

2.3.4.2.沟通内容

2.3.4.3.报告形式

2.3.4.4.相关工具

2.3.5.项目变更管理

2.3.6.项目风险管理

2.3.7.项目文档管理

2.3.7.1.文档管理

2.3.7.2.版本管理

2.3.7.3.文档管理原则

2.3.7.4.项目安全保密管理

2.4.培训方案

2.4.1.H3C培训总体方案介绍

2.4.1.1.培训理念

2.4.1.2.H3C培训中心介绍

2.4.1.3.培训师资

2.4.1.4.培训体系

2.4.2.培训组织实施

2.4.2.1.培训时间

2.4.2.2.培训地点

2.4.3.免费培训服务说明

2.4.4.国内专业培训机构认证培训

2.4.5.施工现场培训

2.4.6.受训人员要求

2.5.产品供货计划

2.5.1.主要硬件设备清单

2.5.2.软件清单

3.项目实施团队情况介绍

4.项目原厂售后服务

4.1.售后服务方式及具体内容

4.1.1.7*24小时热线远程技术支持服务

4.1.1.1.服务标准

4.1.1.2.服务流程

4.1.1.3.服务内容

4.1.1.4.响应时间

4.1.2.快速现场支持服务

4.1.2.1.服务标准

4.1.2.2.服务流程

4.1.2.3.故障等级说明

4.1.2.4.服务内容

4.1.2.5.响应时间

4.1.3.在线支持服务

4.1.3.1.服务标准

4.1.3.2.服务流程

4.1.3.3.服务内容

4.1.3.4.响应时间

4.1.4.H3C智动协维（驻场）服务

4.1.5.邮件列表服务

4.1.5.1.服务标准

4.1.5.2.服务流程

4.1.5.3.服务内容

4.1.5.4.响应时间

4.1.6.知识库经验共享

4.1.6.1.服务标准

4.1.6.2.服务流程

4.1.6.3.服务内容

4.1.6.4.响应时间

4.1.7.H3C提供最高级别的支撑

4.2.质保期内的升级、优化服务说明

4.3.最终用户的服务责任

4.3.1.免责条款

4.4.质保期后的技术服务

4.5.售后服务承诺

5.H3C云数据中心解决方案精品案例

5.1.1.地铁行业安全设备案例

5.1.1.1.杭州至绍兴城际铁路信号系统信息安全等级保护设备采购项（数据库审计、防火墙、漏扫、堡垒机、入侵防御、安全管理平台等）

5.1.1.2.成都地铁6号线一、二期及成都轨道交通11号线一期信号系统设备集成采购项目（含防火墙、堡垒机、数据库审计、安全管理平台等）

5.1.1.3.警用CCTV系统-西安地铁机场线（防火墙）

5.1.2.地铁行业网络设备及云计算案例

5.1.2.1.深圳地铁NOCC设备采购及集成项目（虚拟化、服务器、交换机等）

5.1.3.金融行业云计算案例

5.1.3.1.2017年杭州联合银行云平台（云计算、虚拟化、分布式存储、SDN、安全设备）

5.1.3.2.2017年湖南农村信用社联合社网站群云平台集成项目（云计算、虚拟化、分布式存储、SDN、安全设备）

5.1.3.3.2017年网联云管理平台项目（云计算、虚拟化、分布式存储）

5.1.3.4.2017年浙江农信私有云项目（云计算）

5.1.3.5.2017年天风证券云项目（网络设备、服务器、云计算、虚拟化、分布式存储、SDN、安全设备）

5.1.3.6.2018年大地保险基础架构私有云项目（云计算、服务器）

5.1.4.AFC系统案例

5.1.4.1.北京地铁7号线AFC（网络设备）

5.1.4.2.杭州地铁2号线东南段CBTC&PIS&CCTV&AFC（网络设备、安全设备）

5.1.4.3.无锡地铁2号线AFC（安全设备）

5.1.4.4.天津6号线AFC（含服务器、小机、存储、光纤交换机、磁带库、备份软件）

5.1.4.5.武汉有轨电车T1-T2号线AFC（含服务器、存储、磁带库、备份软件、光纤交换机）

6.云平台资质

6.1.OpenStack金牌会员证明

6.2.CMMI5认证

6.3.虚拟化软件软件著作权证书

6.4.ITSS云服务能力证明

6.5.可信云多云管理平台解决方案认证

6.6.通过国家标准《信息技术云计算参考架构》标准

6.7.通过《信息技术云计算虚拟机管理通用要求》专业性要求标准验证测试

6.8.通过国家标准《信息技术云计算云资源监控指标体系》基础设施能力类型指标的标准验证测试

7.相关截图证明

7.1.入侵检测系统

7.1.1.设备具有对为高级持续威胁检测设备的联动，并且能提供有效的界面截图；

7.1.2.能够对缓冲区溢出、网络蠕虫、网络数据库攻击、木马软件、间谍软件等各种攻击行为进行检测，需提供界面截图；

7.2.计算虚拟化要求

7.2.1.虚机通过备份实现应急启动，当虚机发生故障时，可以直接使用备份系统中的备份数据启动虚机；虚机应可配置HA，达到秒级切换，用户无感知。

7.3.存储虚拟化要求

7.3.1.支持虚拟机快照，存储卷回滚。

7.3.2.支持不同存储介质划分资源池，性能容量按需分配，配置灵活。

7.3.3.支持虚拟机磁盘加密。

7.3.4.分布式块存储系统支持分布式FC、分布式以太网协议、ISCSI块存储协议，支持NFS、CIFS文件存储协议。

7.3.5.分布式块存储系统支持硬盘生命周期管理功能，硬盘的亚健康检测，硬件告警，生命周期查询功能

7.4.网络虚拟化要求

7.4.1.支持SR-IOV（单根输入/输出虚拟化）直通时虚拟机网络带宽预留，保证虚拟机具有保证的带宽；已经部署成功的虚拟机可充分利用分配给其的带宽资源，但是不能超出；同一物理机运行上的虚拟机，带宽不会抢占。

7.4.2.支持SR-IOV MACVTAP，将VF通过MACVTAP直通方式提供给虚拟机使用。能在VF上设置VLANID；当发起虚机热迁移时，系统会自动选择满足资源的计算节点，并在选择出的目的计算节点上为虚拟机分配对应的VF资源，虚拟机所在源节点在迁移完成后，会释放虚拟机所占用的VF资源。

7.4.3.支持虚机网卡流量镜像功能，将虚机的业务流量引到用作流量镜像的物理网卡上，以实现流量监控。可以在云管理门户上配置用哪些物理网卡作为流量镜像的网卡，并且可配置虚机是否启用流量镜像功能。

7.4.4.支持分布式虚拟交换机；支持VLAN技术实现租户隔离。

7.4.5.虚拟交换机支持端口镜像功能，支持跨计算节点的端口镜像。

7.4.6.支持端口限速、端口组共享限速、网络优先级功能。

7.5.云资源管理技术要求

7.5.1.支持虚拟机分组功能，可以对虚拟机按照各种业务场景进行分组。可以创建或删除分组，可以将虚拟机移入/移出分组，支持分组的嵌套（嵌套层级无限制）。

7.5.2.支持虚机聚合与背离，指定同一个聚合组的虚拟机，在部署时，会尽量落在同一台物理主机上；指定同一个背离组的虚拟机，在部署时，会尽量落在不同物理主机上。

7.5.3.支持物理资源和虚拟资源的统一管理；可管理多种异构的虚拟化平台，包括VMware vCenter，POWER VM，KVM，XEN等

7.5.4.能够管理、调度GPU资源。

7.5.5.提供给最终用户意见反馈的途径，使最终使用人的意见及时收集并处理，形成云服务的闭环，保障云服务的不断提升

7.6.云应用管理技术要求

7.6.1.应用级监控，业务智监控模型包括健康度、繁忙度和可用度，可用度监控支持URL访问和应用进程检测。

7.6.2.支持动态基线技术，系统每日凌晨会采集7天内的每时段健康度、繁忙和可用度指指标计算求平均生成每时段健康度、繁忙度和可用度的告警阀值，利用这种动态的告警阀值机制可有效保障业务稳定高效的运行，减少系统噪声。

7.6.3.支持应用级的弹性伸缩，如DB连接数、TCP连接数、http连接数等，粒度最小到分钟级。

7.6.4.支持应用容灾双活切换流程图形化编排，基于GSLB、DB、APP、第三脚本等抽象为编排对象，简单拖拽图标即可快速和简单的完成容灾倒换的编排定义。

7.6.5.支持应用容灾双活一键切换（包含数据库），通过拓扑图可查看到每个节点的倒换状态，并可快速获取到可能发生的报错信息。

7.6.6.支持容灾双活切换流程引入第三方脚本功能，通过对第三方脚本的集中管理与控制，可实现在整体容灾倒换流程中执行第三方脚本，实现容灾倒换。

7.6.7.具备提供Oracle云化数据库统一管理，通过云应用管理系统可实现云数据库的全生命周期管理以及数据库监控功能。

7.6.8.提供容器云应用管理功能，通过云应用管理系统可实现容器云的管理以及监控功能。容器管理需支持弹性伸缩、垂直扩容、灰度升级、服务发现、服务编排、错误恢复及性能监测等功能

8.交换机入网许可证及检验报告

8.1.云平台核心交换机 S7506E

8.1.1.入网证（首次入网时间2009年）

8.1.2.检验报告

8.2.云平台接入交换机 6800-4C

8.2.1.入网证（首次入网时间2014年）

8.2.2.检验报告

8.3.云平台管理带外接入交换机 5560X-54C

8.3.1.入网证（首次入网时间2016年）

8.3.2.检验报告

8.4.IP存储交换机 6800-2C

8.4.1.入网证（首次入网时间2014年）

8.4.2.检验报告

1.1.1. 港铁AFC云平台架构设计

港铁AFC云数据中心云平台总计架构H3C设计，包含计算、存储、网络、安全等底层基础设施资源池，通过资源池化软件（H3C CAS计算虚拟化、H3C ONEStor存储虚拟化、H3C VCFC网络虚拟化、H3C 安全虚拟化等），将IT基础设施逻辑成资源池，并通过上层云管理平台进行管理，为港铁AFC业务提供IaaS+PaaS层云服务，并提供云安全、云运营和云运维服务。如下图所示：

1.1.2. 新建云数据中心架构设计

深圳地铁4号线AFC系统云化改造工程建设基于云计算技术的融合统一业务平台，承载自动售检票AFC系统的中心计算机系统、车站计算机系统、互联网二维码乘车系统、银联卡乘车等子系统。

1)建设自动售检票AFC系统云平台，相关数据在控制中心集中收集、处理、存储；部署统一的运维管理系统；部署统一的云安全资源池。

2)云平台提供虚拟机和容器资源供业务系统使用。

3)部署云平台安全管理系统，云平台系统应满足三级等保要求。

4)在控制中心统一设置云计算平台展示系统，实现数据分析展示、云平台管理展示、IT系统监控展示等功能。

5)所有网络，安全，服务器等基础设施需要被云平台统一纳管和调用。

本项目融合云平台总体逻辑架构如下图所示，主要由车站的数据采集、接入，骨干传输网络，控制中心的基础设施、云服务、应用服务、展示等各层组成。

图2.1-1 云平台逻辑架构图

1）数据采集层

由车站各类售检票设备组成，如iTVM/TVM、iAGM/AGM、BOM、AVM等，完成各类数据采集上报。

2）接入设备层

由车站接入交换机组成环网，接入各数据采集层设备及工作站。

3）承载层

由中心交换机与车站交换机组成的RRPP骨干环网，环网带宽20G。此外还有第三方支付的出口专线，满足互联网购票的需求。

4）基础设施层

服务器、存储、网络、安全等物理基础设施，构成融合资源池的基础架构。

5）资源池层

资源池层提供基础的计算、存储、安全和网络虚拟化的能力。通过虚拟化软件，对计算、存储、安全、网络等物理资源进行虚拟化，提供统一的计算、存储、安全、网络资源池。云资源池层同时提供本地的基础运维能力，包括对本地基础设施的告警、性能、拓扑和监控等。

6）云服务层

云服务层部署云平台管理软件，匹配业务场景，通过服务目录实现资源的二级运营服务，如通过VDC服务进行资源的灵活分配；VDC内部通过云主机服务、云存储服务、弹性IP服务、物理机服务等提供自助资源发放，实现IaaS。对于上层AFC系统软件的微服务架构，云服务层还必须提供PaaS容器功能。为方便管理，IaaS和PaaS必须在同一平台下提供。

9）展示层

提供HMI、Portal展示服务。

云平台主要承载4号线及后续可能扩容的其他线路AFC业务应用系统。深圳城市轨道交通4号线AFC系统采用云计算模式进行建设，主要采用服务器虚拟化、网络虚拟化、云安全和云计算管理技术构建易于管理、动态高效、灵活扩展、稳定可靠、按需使用的云计算模式的数据中心。

服务器/网络 /存储/安全虚拟化主要为各业务系统提供计算/网络/存储/安全资源服务。

港铁AFC系统原互联网络架构说明：

本次云平台硬件架构设计如下：

整网提供业务区、安全资源和管理区，在安全资源区设置专门的安全资源池，承担云内部的安全防护区域。

如上图，从业务场景化及模块化的角度，设计包含：关键业务区（AFC小型机数据库）、业务区（二维码乘车、金融IC卡、深圳通二维码等）、云管理区（云平台、云运维平台、SDN控制平台、堡垒机等运维安全平台）、测试培训中心（业务测试及业务培训等），技术架构上，包含网络资源池架构、计算资源池架构、存储资源池架构（含对象存储及NAS存储）、安全资源池架构、以及云管理架构。考虑对云数据中心的可视化、强管控，配备一套云运维管理平台，实现对云数据中心的IT基础设施的统一管理。为保证数据可靠性，设计包含容灾解决方案，配备一套备份系统，实现对操作系统、业务数据和虚拟机镜像文件的备份。

文章引用的资料均通过互联网等公开渠道合法获取，仅作为行业交流和学习使用，并无任何商业目的。其版权归原资料作者或出版社所有，本文作者不对所涉及的版权问题承担任何法律责任。若版权方、出版社认为本文章侵权，请立即通知作者删除。