肖 浩 王 創(chuàng)

?

海南核電移動(dòng)信息化基礎(chǔ)架構(gòu)改進(jìn)與應(yīng)用

肖 浩 王 創(chuàng)

海南核電有限公司，海南 昌江 572733

隨著海南核電工程項(xiàng)目的不斷推進(jìn)，各類信息化項(xiàng)目都在如火如荼的建設(shè)或是已經(jīng)投入生產(chǎn)運(yùn)行，從原本的紙質(zhì)審批、紙質(zhì)歸檔到依托系統(tǒng)平臺(tái)的功能實(shí)現(xiàn)業(yè)務(wù)過(guò)程信息化，再到依托數(shù)據(jù)與服務(wù)實(shí)現(xiàn)多客戶終端的展現(xiàn)和利用，海南核電的應(yīng)用系統(tǒng)架構(gòu)的規(guī)劃整體上朝著更為開放、耦合性更低的方向發(fā)展，伴隨著整個(gè)過(guò)程也有著對(duì)于計(jì)算機(jī)網(wǎng)絡(luò)和信息安全等問題的考量，而正是這一系列架構(gòu)層面的改進(jìn)，給我們的信息資源的利用帶來(lái)了更大契機(jī)。旨在闡述在海南核電信息化進(jìn)程中為實(shí)現(xiàn)移動(dòng)應(yīng)用接入規(guī)范化，信息資源利用率最大化，核電廠信息安全風(fēng)險(xiǎn)最小化的目標(biāo)，信息系統(tǒng)架構(gòu)的演化以及當(dāng)前在移動(dòng)開發(fā)大形勢(shì)下海南核電對(duì)于移動(dòng)應(yīng)用安全、應(yīng)用架構(gòu)和系統(tǒng)規(guī)劃方面一些探索。

企業(yè)信息化；移動(dòng)應(yīng)用；信息安全；服務(wù)化

1 概述

應(yīng)用系統(tǒng)架構(gòu)是在特定的歷史條件下產(chǎn)生的，是由系統(tǒng)復(fù)雜性的不斷提升和信息系統(tǒng)管理的需要之間的矛盾催生出來(lái)的產(chǎn)物，與應(yīng)用系統(tǒng)架構(gòu)相關(guān)的內(nèi)容應(yīng)該包括企業(yè)業(yè)務(wù)流程、數(shù)據(jù)、應(yīng)用的功能、服務(wù)器和網(wǎng)絡(luò)、安全設(shè)備等。

經(jīng)過(guò)8年的發(fā)展和建設(shè)，海南核電已經(jīng)邁入到了在運(yùn)電廠的行列，上線的應(yīng)用系統(tǒng)系統(tǒng)數(shù)量多如牛毛，如何管理好這些信息化項(xiàng)目，使之更好地持久地更安全地為電廠的生產(chǎn)和經(jīng)營(yíng)服務(wù)，是我們一直在研究的一項(xiàng)重大課題，抽象地說(shuō)來(lái)，在已有的資源條件下，采用何種架構(gòu)和治理方式對(duì)其進(jìn)行管理。

企業(yè)的信息化在不同的歷史階段適合的應(yīng)用架構(gòu)體系應(yīng)該是不同的，企業(yè)的不斷發(fā)展，業(yè)務(wù)的不斷豐富，數(shù)據(jù)量的不斷積累，網(wǎng)絡(luò)劃分不斷細(xì)化，安全等級(jí)不斷明晰，自然而然地推動(dòng)著應(yīng)用系統(tǒng)的架構(gòu)的逐步演化，使之能承載核心業(yè)務(wù)的運(yùn)轉(zhuǎn)。

2 系統(tǒng)架構(gòu)的演變

從2008年第一個(gè)信息化應(yīng)用內(nèi)部主頁(yè)Home和OutLook郵件系統(tǒng)上線開始，管理片區(qū)和生產(chǎn)片區(qū)各類應(yīng)用系統(tǒng)陸續(xù)投用，隨著信息項(xiàng)目數(shù)量的動(dòng)態(tài)增長(zhǎng)也相繼暴露出一些問題，主要體現(xiàn)在：（1）數(shù)據(jù)備份工作量逐漸增大，此處的數(shù)據(jù)包括數(shù)據(jù)庫(kù)數(shù)據(jù)和實(shí)體文件數(shù)據(jù)；（2）對(duì)于服務(wù)器的監(jiān)控非常不便利，因?qū)哟蝿澐植磺逦鷮?dǎo)致問題診斷過(guò)程缺乏規(guī)范且低效。（3）人員職責(zé)權(quán)限邊界不明，突發(fā)運(yùn)維事件時(shí)運(yùn)維人員要檢查的范圍較大，處理時(shí)如產(chǎn)生環(huán)境配置變更可能會(huì)影響到其他系統(tǒng)的運(yùn)行。（4）應(yīng)用系統(tǒng)缺乏自動(dòng)監(jiān)控或者高可用機(jī)制，宕機(jī)之后系統(tǒng)立即陷入癱瘓。因這類應(yīng)用大多是傳統(tǒng)的客戶端/服務(wù)器應(yīng)用和瀏覽器/服務(wù)器應(yīng)用，此時(shí)我們?cè)谶M(jìn)行設(shè)計(jì)時(shí)，主要考慮以下因素：[1]

可擴(kuò)展性接入。

過(guò)程可管理和追溯。

運(yùn)維工作便于開展。

提高硬件資源的利用率。

核心服務(wù)高可用。

在此階段，我們的應(yīng)用系統(tǒng)邏輯架構(gòu)模型如圖1所示。

圖1 應(yīng)用系統(tǒng)邏輯架構(gòu)模型

規(guī)范化的設(shè)計(jì)和管理后帶來(lái)的效果是立竿見影的，對(duì)于新接入的系統(tǒng)在數(shù)據(jù)庫(kù)實(shí)例、實(shí)體文件存儲(chǔ)、應(yīng)用服務(wù)器部署和管理、系統(tǒng)監(jiān)控層面都能夠做到有效管控，權(quán)責(zé)基本分明。后續(xù)為提高操作系統(tǒng)層面的可管理性和硬件的可維護(hù)性，采用了虛擬化手段對(duì)服務(wù)器進(jìn)行處理，主要的提升體現(xiàn)在：（1）通過(guò)虛擬機(jī)備份的方式解決了絕大部分的數(shù)據(jù)和系統(tǒng)級(jí)備份問題；（2） 提高了系統(tǒng)資源分配的彈性，提高了資源分配的利用率；（3）提供了一個(gè)上層的監(jiān)控平臺(tái)，可以實(shí)時(shí)監(jiān)控虛擬機(jī)狀態(tài)。但是，應(yīng)用系統(tǒng)的邏輯架構(gòu)不變，還是如圖1所示的這種方式。

2015年，海南核電上線了微信綜合服務(wù)平臺(tái)，正式開啟了移動(dòng)信息化建設(shè)，當(dāng)時(shí)在研項(xiàng)目包括微信訂餐和微信訂車應(yīng)用也會(huì)有接入的需求，因?yàn)閼?yīng)用服務(wù)器和騰訊的服務(wù)器有通訊的需求，系統(tǒng)研發(fā)上線之時(shí)條件不足以保證微信應(yīng)用放置在內(nèi)網(wǎng)的絕對(duì)安全，相關(guān)的管理體系亦不健全。將微信訂車的服務(wù)暫時(shí)部署在了外部云服務(wù)器上，應(yīng)用部署架構(gòu)如圖2所示。

圖2 微信應(yīng)用架構(gòu)圖

微信應(yīng)用上線之后，緊接其后需要解決的是數(shù)據(jù)同步問題，海南核電的內(nèi)網(wǎng)和互聯(lián)網(wǎng)在邏輯上是隔離的，當(dāng)有新員工入職或者離職時(shí)，微信訂車應(yīng)用中人員數(shù)據(jù)實(shí)時(shí)進(jìn)行同步很難實(shí)現(xiàn)。此外，因微信訂車項(xiàng)目所部署的服務(wù)器也缺乏基本的安全防范措施，對(duì)于黑客攻擊的防御能力非常之有限，而從圖2中可以看到，人員數(shù)據(jù)和訂座記錄數(shù)據(jù)都屬于較為敏感數(shù)據(jù)，一旦泄漏出去，后果非常嚴(yán)重。為了保障系統(tǒng)數(shù)據(jù)的實(shí)時(shí)同步和同步過(guò)去的數(shù)據(jù)的安全，我們擬將服務(wù)遷回至內(nèi)網(wǎng)中，并重新規(guī)劃新的應(yīng)用系統(tǒng)部署架構(gòu)。

我們系統(tǒng)的架構(gòu)進(jìn)行改造的直接原因是數(shù)據(jù)存放的服務(wù)器本身不安全且數(shù)據(jù)的同步不通暢，那么如果將服務(wù)器遷移進(jìn)內(nèi)網(wǎng)，首先保證了數(shù)據(jù)同步是沒有問題的，但是消息通訊的安全又如何保障呢？顯然的，通訊過(guò)程最好使用HTTS協(xié)議，采用SSL加密的方式進(jìn)行應(yīng)用層數(shù)據(jù)的傳輸；其次，將應(yīng)用服務(wù)器遷移到內(nèi)網(wǎng)后，確保外網(wǎng)中并不存放任何敏感數(shù)據(jù)源；[2]再次，從客戶端所在的外部網(wǎng)絡(luò)于應(yīng)用服務(wù)器通訊的接入點(diǎn)應(yīng)該是被監(jiān)控和采用一定的策略控制起來(lái)的，對(duì)于進(jìn)入內(nèi)網(wǎng)和離開內(nèi)網(wǎng)的報(bào)文的安全性是需要保證的；最后就是系統(tǒng)本身需要非常健康，減少漏洞和降低漏洞被利用進(jìn)行攻擊的風(fēng)險(xiǎn)。

圖3 微信應(yīng)用改進(jìn)架構(gòu)圖

經(jīng)過(guò)進(jìn)一步的論證和研究，采用的架構(gòu)如圖3所示，通過(guò)使用WAF（網(wǎng)絡(luò)應(yīng)用防火墻）和IPS入侵防御系統(tǒng)，將WAF作為應(yīng)用與外界交互的唯一接口，由其來(lái)進(jìn)行請(qǐng)求的反向代理和轉(zhuǎn)發(fā)，控制過(guò)濾掉非法和不安全的，使用WAF后，外部請(qǐng)求一個(gè)唯一的公網(wǎng)IP地址，經(jīng)過(guò)WAF的代理轉(zhuǎn)發(fā)，安全的進(jìn)入并定位到內(nèi)網(wǎng)服務(wù)器的指定主機(jī)，減少了內(nèi)部站點(diǎn)對(duì)外的發(fā)布，減少了公網(wǎng)地址在傳統(tǒng)防火墻中，一對(duì)一使用IP地址的浪費(fèi)；其次在操作系統(tǒng)層級(jí)和應(yīng)用層級(jí)進(jìn)行安全的掃描，包括操作系統(tǒng)漏洞、網(wǎng)絡(luò)設(shè)備漏洞、WEB服務(wù)器漏洞、數(shù)據(jù)庫(kù)服務(wù)器漏洞等，將結(jié)果推送告知系統(tǒng)運(yùn)維人員進(jìn)行漏洞的修復(fù)，保障應(yīng)用系統(tǒng)和數(shù)據(jù)服務(wù)所在的環(huán)境安全。系統(tǒng)改造后，這個(gè)漏洞掃描工作是需要定期進(jìn)行了，健康報(bào)告也是需要定期出具。數(shù)據(jù)安全對(duì)于移動(dòng)應(yīng)用的建設(shè)而言具有一票否決權(quán)，也是移動(dòng)應(yīng)用實(shí)施時(shí)應(yīng)首要考慮的問題。

3 移動(dòng)應(yīng)用接入

目前，我們規(guī)劃的移動(dòng)應(yīng)用包括兩類，一類是手機(jī)端APP，一類是微信應(yīng)用，為了提高信息資源的利用效率，需將現(xiàn)有核心業(yè)務(wù)系統(tǒng)的服務(wù)化，對(duì)服務(wù)的報(bào)文進(jìn)行設(shè)計(jì)，范圍包括人員、各應(yīng)用系統(tǒng)相關(guān)工作項(xiàng)等。我們基于WCF的協(xié)議進(jìn)行WebService API的設(shè)計(jì)，后續(xù)不管開發(fā)任何系統(tǒng)，包括Web系統(tǒng)、手機(jī)App、微信應(yīng)用，只要需要使用到這些WebService API，都可以直接通過(guò)Http的方式遵循指定的服務(wù)契約進(jìn)行調(diào)用，幾乎不需要對(duì)服務(wù)進(jìn)行任何改造，極大提高的代碼的可重用性；使用異步方式，利用服務(wù)端本身的請(qǐng)求隊(duì)列緩沖機(jī)制，使客戶端和服務(wù)端并發(fā)工作，提高了系統(tǒng)的吞吐效率。業(yè)務(wù)過(guò)程服務(wù)化實(shí)際上為移動(dòng)應(yīng)用的接入制定了標(biāo)準(zhǔn)，如人員信息的同步和任務(wù)的獲取等，這些服務(wù)獨(dú)立于應(yīng)用且是全局唯一的，所以我們?cè)诮y(tǒng)一接口的情況下，服務(wù)接口的內(nèi)部維護(hù)和實(shí)現(xiàn)方式的變更對(duì)于應(yīng)用是透明的，它們只關(guān)心對(duì)于何種輸入將產(chǎn)生何種輸出。在此架構(gòu)下，傳統(tǒng)的Web應(yīng)用實(shí)際上只需要在此應(yīng)用對(duì)應(yīng)的專門服務(wù)器所對(duì)應(yīng)的資源和完全個(gè)性化的領(lǐng)域業(yè)務(wù)功能模塊，數(shù)據(jù)請(qǐng)求的方式跟移動(dòng)應(yīng)用一致，也是訪問這些Web服務(wù)接口。對(duì)于微信應(yīng)用而言，顯然是需要跟我們的公眾服務(wù)平臺(tái)進(jìn)行前端入口的集成，可以通過(guò)后臺(tái)配置的方式直接關(guān)聯(lián)；考慮到人員對(duì)于指定公眾服務(wù)號(hào)的openId的唯一性，對(duì)于人員的認(rèn)證和身份識(shí)別也走專門Web服務(wù)接口去包裝而不直接去騰訊的微信服務(wù)器通訊，提高了效率，簡(jiǎn)化了接入步驟。[3]一般情況下，移動(dòng)App采用Hybrid模式進(jìn)行開發(fā)，基于通用平臺(tái)去實(shí)施和之后再基于目標(biāo)的平臺(tái)去打包，保證一套代碼能夠生成適用于多個(gè)環(huán)境的移動(dòng)App，當(dāng)然這也是有條件的，對(duì)于性能和響應(yīng)速度有較高要求的應(yīng)用需要另作處理，需要基于指定平臺(tái)的操作系統(tǒng)走原生開發(fā)的路線。

4 總結(jié)與展望

移動(dòng)信息化項(xiàng)目在企業(yè)信息化實(shí)施過(guò)程中也是一個(gè)非常重要的環(huán)節(jié)，但它也不是孤立的，我們?cè)趥鹘y(tǒng)Web項(xiàng)目實(shí)施階段建設(shè)的許多基礎(chǔ)設(shè)施均可加以改造為我所用，我們通過(guò)通勤車安全乘坐公共微信平臺(tái)等的實(shí)施已經(jīng)邁出了寶貴的一步，我們打造了一個(gè)完整的安全的應(yīng)用運(yùn)行時(shí)環(huán)境，也為后續(xù)系統(tǒng)的安全接入進(jìn)行了完整的設(shè)計(jì)，為后續(xù)項(xiàng)目的接入制定了規(guī)范并指明了方向。服務(wù)化確實(shí)是一個(gè)趨勢(shì)，將所有公共化服務(wù)抽取出來(lái)統(tǒng)一進(jìn)行管理，不單單是對(duì)傳統(tǒng)的Web應(yīng)用而言接入更為方便，移動(dòng)手機(jī)端應(yīng)用也可以請(qǐng)求這些Web服務(wù)獲取數(shù)據(jù)；不管前端采用何種架構(gòu)、如何變化，后端服務(wù)的整體合理規(guī)劃，打造更為完善而通用化的服務(wù)環(huán)境和多種形式的客戶端展現(xiàn)一直是我們努力的方向。

[1]葛遜. 移動(dòng)互聯(lián)網(wǎng)安全管理新趨勢(shì)[J]. 互聯(lián)網(wǎng)天地，2011（11）：12.

[2]閆文婧. 我國(guó)大型企業(yè)信息化及信息管理[J]. 河南科技，2015（15）：222.

[3]信息化，中小企業(yè)成長(zhǎng)必經(jīng)之路[J]. 軟件世界， 2010（2）：29.

Infrastructure improvement and application of HNPC informatization

Xiaohao Wangchaung

Hainan nuclear power Co., LTD.

With the advancement of HNPC project， all kinds of information projects are under construction or have been put into production operation，from the original paper filing to the examination and approval by relying on the process realization of the information system platform business，to the data from the service implementation terminal display and use of more customers，the system architecture of the application of planning are also going through evolution， as a whole toward a more open， lower coupling in the direction of development， with the whole process is also for the computer network and information security considerations， and it is a series of improvement on the level of architecture， has brought a bigger opportunity for the use of information resources.The purpose of this paper is to expound the process of informatization to realize mobile applications access standardization， information to maximize resource utilization， nuclear power plant information security risk minimization，and the evolution of the information system architecture and the current in mobile development situation of HNPC for mobile application security， application architecture and system planning.

Enterprise Information，Mobile Application，Information Security，Web Service

TP311.52

A

1009-6434(2016)09-0072-03

肖浩（1989—），男，漢族，湖南籍，計(jì)算機(jī)科學(xué)與技術(shù)專業(yè)碩士研究生，海南核電有限公司工程師職稱，工學(xué)碩士學(xué)位，從事應(yīng)用系統(tǒng)研發(fā)和運(yùn)維工作，軟件架構(gòu)和移動(dòng)信息化方向。