季克強(qiáng)，李自順，蔡云華，陳玉斌

（1.云南省水文水資源局，云南 昆明 650106；2.云南省水文水資源局紅河分局，云南 蒙自 661100）

隨著互聯(lián)網(wǎng)及信息化技術(shù)的不斷迭代，現(xiàn)有的水文資料遙測(cè)數(shù)據(jù)匯集和交互系統(tǒng)已不適應(yīng)當(dāng)今信息化發(fā)展的需要。智慧水利體系對(duì)水文業(yè)務(wù)、水文服務(wù)提出了更高的要求，設(shè)計(jì)開發(fā)基于“云”架構(gòu)的水文資料在線數(shù)據(jù)系統(tǒng)已勢(shì)在必行。

1 背景

云南省現(xiàn)有的水文資料遙測(cè)數(shù)據(jù)匯集和交互系統(tǒng)由各水文分局以項(xiàng)目的形式各自開發(fā)和建設(shè)，省級(jí)水文遙測(cè)數(shù)據(jù)由各水文分局通過各自的軟件平臺(tái)交互后上傳給省級(jí)平臺(tái)。由于各水文分局水文數(shù)據(jù)接收、交互軟件眾多且沒有統(tǒng)一標(biāo)準(zhǔn)，不僅給管理帶來(lái)困難，而且因數(shù)據(jù)接收服務(wù)器分散部署造成了資源浪費(fèi)。另外，由于設(shè)備的交互環(huán)節(jié)較多，以分局為單元的水文資料數(shù)據(jù)匯集、交互很難形成統(tǒng)一的技術(shù)路徑和數(shù)據(jù)口徑，數(shù)據(jù)溯源時(shí)往往因過程復(fù)雜而中斷，致使數(shù)據(jù)溯源工作難以進(jìn)行。因此，重新部署水文在線數(shù)據(jù)系統(tǒng)，建立全新的信息化體系，實(shí)現(xiàn)全省水文數(shù)據(jù)的融合和統(tǒng)一。

2 系統(tǒng)開發(fā)目標(biāo)

水文資料在線數(shù)據(jù)系統(tǒng)的信息化體系建設(shè)，既要兼顧歷史與現(xiàn)狀，也要符合未來(lái)信息化發(fā)展要求，同時(shí)還要滿足行業(yè)信息安全的要求。因此，需要設(shè)計(jì)開發(fā)全省水文在線數(shù)據(jù)既集中統(tǒng)一又具有差異化、還能體現(xiàn)個(gè)性化的在線數(shù)據(jù)系統(tǒng)。

2.1 實(shí)現(xiàn)五個(gè)統(tǒng)一

（1）平臺(tái)統(tǒng)一。通過“云平臺(tái)”的開發(fā)，實(shí)現(xiàn)全省水文資料在線數(shù)據(jù)在統(tǒng)一的平臺(tái)上運(yùn)行。通過可視化界面，采取分級(jí)授權(quán)的方式，在同一平臺(tái)上完成數(shù)據(jù)管理、數(shù)據(jù)維護(hù)和數(shù)據(jù)應(yīng)用。

（2）標(biāo)準(zhǔn)統(tǒng)一。結(jié)合實(shí)際，建立云南水文遙測(cè)設(shè)備數(shù)據(jù)準(zhǔn)入機(jī)制。在項(xiàng)目建設(shè)中，只有符合標(biāo)準(zhǔn)的產(chǎn)品才可準(zhǔn)入。

（3）口徑統(tǒng)一。統(tǒng)一RTU 數(shù)據(jù)編碼、報(bào)文解析、數(shù)據(jù)入庫(kù)、數(shù)據(jù)交互、數(shù)據(jù)應(yīng)用的口徑，便于在線數(shù)據(jù)的管理、應(yīng)用和存檔。

（4）取數(shù)統(tǒng)一。統(tǒng)一水文在線數(shù)據(jù)收發(fā)標(biāo)準(zhǔn)，提供查看數(shù)據(jù)、維護(hù)數(shù)據(jù)、獲取數(shù)據(jù)的統(tǒng)一入口。

（5）數(shù)據(jù)統(tǒng)一。建立報(bào)文接收、報(bào)文歸集、數(shù)據(jù)核審、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)提取、數(shù)據(jù)轉(zhuǎn)發(fā)為一體的系統(tǒng)應(yīng)用模塊。

2.2 實(shí)現(xiàn)差異化

由于云南省水文資料在線數(shù)據(jù)系統(tǒng)是各分局在不同時(shí)期、采用不同標(biāo)準(zhǔn)建設(shè)完成的，在線數(shù)據(jù)從采集至應(yīng)用各環(huán)節(jié)的形式和方法存在差異，在平臺(tái)設(shè)計(jì)開發(fā)時(shí)需考慮以下因素。

（1）遙測(cè)設(shè)備接收差異化。系統(tǒng)開發(fā)應(yīng)通盤考慮各個(gè)歷史時(shí)期建設(shè)設(shè)備的兼容性，確保目前應(yīng)用的遙測(cè)設(shè)備數(shù)據(jù)能貫通到系統(tǒng)。

（2）應(yīng)用數(shù)據(jù)需求差異化。根據(jù)管理人員、數(shù)據(jù)應(yīng)用人員、數(shù)據(jù)維護(hù)人員、資料整編人員等不同應(yīng)用需求提供差異化的應(yīng)用界面和數(shù)據(jù)系統(tǒng)，在同一平臺(tái)實(shí)現(xiàn)不同的應(yīng)用需求。

（3）數(shù)據(jù)獲取方式差異化。為用戶提供差異化的數(shù)據(jù)獲取方式，系統(tǒng)應(yīng)具有報(bào)表、智能取數(shù)和二次分析等功能。

（4）專題分析差異化。在應(yīng)用過程中，系統(tǒng)可為不同處室、不同分局按需求提供差異化的數(shù)據(jù)和專題分析應(yīng)用場(chǎng)景。

2.3 實(shí)現(xiàn)個(gè)性化

（1）重點(diǎn)指標(biāo)個(gè)性化定制。不同處室和分局可根據(jù)需要定制可視化平臺(tái)中需要展示的重點(diǎn)指標(biāo)及指標(biāo)展現(xiàn)形式。

（2）報(bào)表個(gè)性化維護(hù)?；诖髷?shù)據(jù)分析，根據(jù)實(shí)時(shí)監(jiān)測(cè)數(shù)據(jù)、奇異值數(shù)據(jù)來(lái)源、分局?jǐn)?shù)據(jù)源溯源提供重要報(bào)表的維護(hù)分析。

3 系統(tǒng)總體架構(gòu)

云南省水文資料在線數(shù)據(jù)系統(tǒng)基于“云”架構(gòu)，所有水文測(cè)站的遙測(cè)數(shù)據(jù)直接上傳至“云服務(wù)器”。系統(tǒng)總體架構(gòu)分為5層，即基礎(chǔ)設(shè)施層、數(shù)據(jù)資源層、數(shù)據(jù)平臺(tái)層、應(yīng)用管理層和用戶對(duì)象層?；A(chǔ)設(shè)施層由于需要接收巨量的遙測(cè)數(shù)據(jù)，消耗的硬件資源較多，所以采用“云服務(wù)器”的方式；基礎(chǔ)設(shè)施包括網(wǎng)絡(luò)資源、安全資源、算力資源、存儲(chǔ)資源等，是整個(gè)架構(gòu)的硬件支撐部分。數(shù)據(jù)資源層、數(shù)據(jù)平臺(tái)層、應(yīng)用管理層須根據(jù)云南水文數(shù)據(jù)接收、交互、應(yīng)用的需求實(shí)際進(jìn)行定制化開發(fā)，通過軟件的開發(fā)，實(shí)現(xiàn)“一張網(wǎng)、一個(gè)平臺(tái)、一個(gè)應(yīng)用界面”的系統(tǒng)應(yīng)用格局。系統(tǒng)建立基于Web瀏覽器界面的工作平臺(tái)，通過不同角色的授權(quán)，實(shí)現(xiàn)應(yīng)用功能的可視化操作；同時(shí)，水文遙測(cè)數(shù)據(jù)在平臺(tái)上實(shí)現(xiàn)統(tǒng)一接收、交互、共享、應(yīng)用和管理。云南省水文資料在線數(shù)據(jù)系統(tǒng)總體架構(gòu)，如圖1所示。

圖1 水文資料在線數(shù)據(jù)系統(tǒng)總體架構(gòu)

4 系統(tǒng)數(shù)據(jù)匯集設(shè)計(jì)

4.1 數(shù)據(jù)匯集方案

全省各遙測(cè)站點(diǎn)設(shè)備的RTU 直接將采集的數(shù)據(jù)信息傳輸?shù)绞【謹(jǐn)?shù)據(jù)中心“云平臺(tái)”，14 個(gè)分局管理人員通過Web 在省局融合平臺(tái)進(jìn)行在線數(shù)據(jù)維護(hù)及管理。在線數(shù)據(jù)包括降水、水位、蒸發(fā)等全要素的水文數(shù)據(jù)。省局?jǐn)?shù)據(jù)中心將經(jīng)過報(bào)文解析后的數(shù)據(jù)，通過系統(tǒng)對(duì)奇異值進(jìn)行過濾后，轉(zhuǎn)給測(cè)站進(jìn)行數(shù)據(jù)檢驗(yàn)，確認(rèn)數(shù)據(jù)準(zhǔn)確無(wú)誤后，系統(tǒng)將數(shù)據(jù)保存至在線數(shù)據(jù)原始庫(kù)。

4.2 數(shù)據(jù)匯集架構(gòu)

水文遙測(cè)在線數(shù)據(jù)匯集架構(gòu)是整個(gè)系統(tǒng)平臺(tái)最基礎(chǔ)、最重要的部分，為了確保整個(gè)架構(gòu)的統(tǒng)一完整，采取分層式設(shè)計(jì)，如圖2所示。

圖2 水文遙測(cè)數(shù)據(jù)匯集架構(gòu)

各遙測(cè)站設(shè)備按照水文數(shù)據(jù)采集的通信規(guī)約，通過不同的網(wǎng)絡(luò)傳輸方式將數(shù)據(jù)發(fā)送至省局?jǐn)?shù)據(jù)中心。中心數(shù)據(jù)匯集端自下而上按數(shù)據(jù)接收層、數(shù)據(jù)處理層、數(shù)據(jù)轉(zhuǎn)發(fā)層、數(shù)據(jù)存儲(chǔ)層、省局融合平臺(tái)層5 層進(jìn)行數(shù)據(jù)匯集處理，各層級(jí)之間形成邏輯一致、關(guān)系統(tǒng)一、層層推進(jìn)的數(shù)據(jù)交互模式，從而解決數(shù)據(jù)“打架”、過程“擁堵”的問題。

5 服務(wù)器支撐體系設(shè)計(jì)

5.1 服務(wù)器功能

服務(wù)器是實(shí)現(xiàn)水文資料在線數(shù)據(jù)從采集、接收、交互至應(yīng)用全過程的全部數(shù)據(jù)“算力”保障，其部署既要實(shí)現(xiàn)服務(wù)器分布的邏輯統(tǒng)一，也要保證系統(tǒng)運(yùn)行的穩(wěn)定和通暢，因此系統(tǒng)采取多臺(tái)服務(wù)器分工協(xié)作的方式進(jìn)行部署。水文資料在線數(shù)據(jù)系統(tǒng)服務(wù)器功能，詳見表1。

5.2 “云服務(wù)器”部署

“云服務(wù)器”部署從4 個(gè)方面進(jìn)行：①數(shù)據(jù)接收和處理服務(wù)器：根據(jù)遙測(cè)站點(diǎn)不同通信方式上傳的數(shù)據(jù)，建立GPRS、SMS、物聯(lián)網(wǎng)等接收服務(wù)器。接收服務(wù)器收到報(bào)文后即時(shí)進(jìn)行解碼并傳給數(shù)據(jù)處理服務(wù)器，數(shù)據(jù)處理服務(wù)器一方面對(duì)前端遙測(cè)設(shè)備工作信息進(jìn)行實(shí)時(shí)解析，同時(shí)對(duì)解析后的報(bào)文進(jìn)行分析，對(duì)冒大數(shù)、異常值進(jìn)行攔截并警示，提示測(cè)站管理人員進(jìn)行審核，經(jīng)審核確認(rèn)無(wú)誤后傳輸給數(shù)據(jù)存儲(chǔ)服務(wù)器。②數(shù)據(jù)存儲(chǔ)及轉(zhuǎn)發(fā)服務(wù)器：確認(rèn)后的在線數(shù)據(jù)將存儲(chǔ)在存儲(chǔ)服務(wù)器中，根據(jù)數(shù)據(jù)應(yīng)用的需求，轉(zhuǎn)發(fā)服務(wù)器將數(shù)據(jù)轉(zhuǎn)接給不同用途的應(yīng)用管理服務(wù)器。③中心管理服務(wù)器：根據(jù)不同的應(yīng)用需求，分配權(quán)限給使用人員工作，即系統(tǒng)的應(yīng)用客戶端。④外圍服務(wù)器：包括網(wǎng)管服務(wù)器、VPN 服務(wù)器、備用服務(wù)器等，專門用于提供系統(tǒng)網(wǎng)絡(luò)保障、系統(tǒng)安全、應(yīng)急保障等?！霸品?wù)器”部署情況，如圖3所示。

圖3 “云服務(wù)器”部署

6 網(wǎng)絡(luò)體系設(shè)計(jì)

水文在線數(shù)據(jù)從采集到應(yīng)用需要強(qiáng)大的網(wǎng)絡(luò)來(lái)支撐，所以構(gòu)建一個(gè)完整、系統(tǒng)、安全的網(wǎng)絡(luò)體系是實(shí)現(xiàn)水文在線數(shù)據(jù)成功匯集的基礎(chǔ)保障。

6.1 網(wǎng)絡(luò)部署形式

網(wǎng)絡(luò)部署采用“扁平化”的形式，分為核心層和接入層，其中核心層是數(shù)據(jù)處理、存儲(chǔ)、應(yīng)用的關(guān)鍵環(huán)節(jié)。

組網(wǎng)按照邏輯功能分為互聯(lián)網(wǎng)出口區(qū)、網(wǎng)絡(luò)服務(wù)區(qū)、管理區(qū)、計(jì)算區(qū)和存儲(chǔ)區(qū)5 大區(qū)域?；ヂ?lián)網(wǎng)出口區(qū)主要功能是對(duì)接Internet 線路接入；網(wǎng)絡(luò)服務(wù)區(qū)提供流量統(tǒng)計(jì)、防火墻、負(fù)載均衡、VPN 等增值服務(wù)；管理區(qū)、計(jì)算區(qū)和存儲(chǔ)區(qū)是實(shí)際業(yè)務(wù)所在區(qū)域。

6.2 網(wǎng)絡(luò)部署架構(gòu)

網(wǎng)絡(luò)部署架構(gòu)設(shè)計(jì)分為遙測(cè)站數(shù)據(jù)傳入端、水文數(shù)據(jù)在線管理端、水文數(shù)據(jù)在線交互端3個(gè)部分。遙測(cè)站數(shù)據(jù)傳入端是各測(cè)站遙測(cè)數(shù)據(jù)從遠(yuǎn)端的各站點(diǎn)通過不同的傳輸方式將傳感器采集到的數(shù)據(jù)報(bào)文傳給“云服務(wù)器”接收端，遙測(cè)站數(shù)據(jù)為數(shù)端并發(fā)，在接收端占用網(wǎng)絡(luò)資源較大；水文數(shù)據(jù)在線管理端部署在“云服務(wù)器”運(yùn)營(yíng)商機(jī)房，內(nèi)部網(wǎng)絡(luò)實(shí)現(xiàn)的是本地網(wǎng)絡(luò)交互；水文數(shù)據(jù)在線交互端是省局、分局應(yīng)用的可視化工作平臺(tái)，可采用專網(wǎng)、公網(wǎng)的方式與水文數(shù)據(jù)在線管理端進(jìn)行聯(lián)網(wǎng)。網(wǎng)絡(luò)部署架構(gòu)，如圖4所示。

圖4 網(wǎng)絡(luò)部署架構(gòu)

6.3 網(wǎng)絡(luò)安全保障策略

（1）互聯(lián)網(wǎng)出口安全。使用路由器與Internet網(wǎng)絡(luò)進(jìn)行互聯(lián)，使用BGP(邊界網(wǎng)關(guān)協(xié)議)或者靜態(tài)路由與外部網(wǎng)絡(luò)進(jìn)行互通。可靠性方面通過主備鏈路方式實(shí)現(xiàn)，即采用雙線雙鏈路接入，每線連接一個(gè)運(yùn)營(yíng)商，以保證數(shù)據(jù)中心外聯(lián)線路的可靠性。

（2）Anti-DDoS 流量清洗。用于防止來(lái)自數(shù)據(jù)中心外部的DDoS 攻擊。Anti-DDoS 使用策略路由回注方式將清洗的流量引入路由器中，路由器上使用策略路由將清洗之后的流量牽引到數(shù)據(jù)中心內(nèi)部,以保證數(shù)據(jù)中心內(nèi)部的流量安全。

7 數(shù)據(jù)存儲(chǔ)體系設(shè)計(jì)

7.1 主備式數(shù)據(jù)存儲(chǔ)部署

核心數(shù)據(jù)庫(kù)采用主備方式進(jìn)行部署，即一個(gè)主節(jié)點(diǎn)和一個(gè)備節(jié)點(diǎn)，支持?jǐn)?shù)據(jù)持久化。主備節(jié)點(diǎn)通過數(shù)據(jù)同步的方式保持一致，備節(jié)點(diǎn)對(duì)用戶不可見，不支持客戶端直接讀寫數(shù)據(jù)。當(dāng)主節(jié)點(diǎn)發(fā)生故障，備節(jié)點(diǎn)自動(dòng)升級(jí)為主節(jié)點(diǎn)，無(wú)需用戶操作。

主備節(jié)點(diǎn)具備自動(dòng)切換功能。發(fā)生切換的歷史記錄在TeleMonitor 前臺(tái)界面可查。告警切換過程的配置主備數(shù)據(jù)完全一致，未同步數(shù)據(jù)通過事務(wù)響應(yīng)重新推送，實(shí)現(xiàn)快速路由切換、秒級(jí)檢測(cè)、分鐘級(jí)切換。

7.2 數(shù)據(jù)備份策略

（1）備份機(jī)制。首次備份為全量備份，備份“云服務(wù)器”、文件系統(tǒng)已使用空間；后續(xù)備份均為增量備份，備份上次備份后變化的數(shù)據(jù)，縮短備份時(shí)長(zhǎng)、節(jié)約備份空間。刪除備份時(shí)，僅刪除不被其他備份依賴的數(shù)據(jù)塊，不影響使用其他備份進(jìn)行恢復(fù)。無(wú)論是全量還是增量備份，都可以快速、方便地將數(shù)據(jù)恢復(fù)至備份所在時(shí)刻的狀態(tài)。

（2）備份策略。建立實(shí)時(shí)監(jiān)測(cè)庫(kù)數(shù)據(jù)、核心數(shù)據(jù)庫(kù)數(shù)據(jù)周期性備份的機(jī)制。核心數(shù)據(jù)采用三備份方式，即本地?cái)?shù)據(jù)存儲(chǔ)、“云”存儲(chǔ)主數(shù)據(jù)、“云”存儲(chǔ)災(zāi)備數(shù)據(jù)。

（3）災(zāi)備存儲(chǔ)。核心數(shù)據(jù)在本地?cái)?shù)據(jù)庫(kù)存儲(chǔ)，災(zāi)備備份數(shù)據(jù)通過對(duì)象存儲(chǔ)在異地進(jìn)行“云”存儲(chǔ)。

8 系統(tǒng)安全體系設(shè)計(jì)

系統(tǒng)安全體系包括系統(tǒng)主機(jī)安全、應(yīng)用安全、安全管理、網(wǎng)絡(luò)安全以及數(shù)據(jù)安全等。

8.1 用戶安全管理

應(yīng)做好以下4 項(xiàng)工作：①用戶之間的安全隔離，對(duì)用戶賬號(hào)進(jìn)行管理，記錄用戶身份證號(hào)碼或手機(jī)號(hào)碼，實(shí)現(xiàn)工作賬號(hào)與使用人一一對(duì)應(yīng)；②建立“統(tǒng)一認(rèn)證”系統(tǒng)，強(qiáng)化用戶的賬號(hào)安全管理；③建立基于角色的操作權(quán)限管理，按照用戶的權(quán)限進(jìn)行授權(quán)，實(shí)現(xiàn)一人一賬號(hào)；④建立用戶角色權(quán)限分離機(jī)制，不同用戶和角色只能按權(quán)限范圍訪問所授權(quán)的系統(tǒng)。

8.2 基礎(chǔ)設(shè)施安全保障

數(shù)據(jù)存儲(chǔ)通過KMS 保護(hù)與管理，保證數(shù)據(jù)機(jī)密性及可靠性；通過容災(zāi)備份設(shè)施，確保數(shù)據(jù)安全。

8.3 系統(tǒng)安全架構(gòu)建立完善

建立完善的系統(tǒng)安全架構(gòu)，保障數(shù)據(jù)接收、交互、應(yīng)用全流程的數(shù)據(jù)安全。系統(tǒng)安全架構(gòu)分3 個(gè)層級(jí)，第一層建立系統(tǒng)外圍安全架構(gòu)，即安全網(wǎng)絡(luò)架構(gòu)、安全區(qū)域邊界；第二層建立系統(tǒng)平臺(tái)安全體系，包括虛擬安全體系、數(shù)據(jù)安全體系、API 安全體系，使平臺(tái)運(yùn)轉(zhuǎn)全過程均有系統(tǒng)認(rèn)證安全保障；第三層建立安全組件和安全感知體系，對(duì)涉及安全性操作和入侵情況及時(shí)感知并提出預(yù)警，對(duì)超出安全或保密的行為及時(shí)封裝賬號(hào)，閃退應(yīng)用端服務(wù)。

8.4 基于“云”體系的安全專區(qū)部署

安全專區(qū)為用戶提供單點(diǎn)登陸、自動(dòng)授權(quán)、即開即用、統(tǒng)一管理、彈性擴(kuò)容、能力完善的云安全等一體化合規(guī)解決方案。

針對(duì)“云”用戶場(chǎng)景構(gòu)建安全系統(tǒng)專區(qū)，整合云安全管理中心、云防火墻、終端安全EDR、云數(shù)據(jù)庫(kù)審計(jì)、云日志審計(jì)、云堡壘機(jī)等各類云安全合規(guī)組件，具備云安全防護(hù)能力，滿足等級(jí)保護(hù)防護(hù)需求。

8.5 線下引流場(chǎng)景設(shè)計(jì)

建立基于“云”系統(tǒng)安全專區(qū)VPC，在安全專區(qū)VPC 內(nèi)開通專線服務(wù)，線下機(jī)房通過云專線策略路由接入安全專區(qū)，由安全專區(qū)對(duì)機(jī)房?jī)?nèi)業(yè)務(wù)進(jìn)行安全防護(hù)。

9 結(jié)論

（1）針對(duì)水文在線數(shù)據(jù)匯集分散、應(yīng)用平臺(tái)雜、數(shù)據(jù)交互環(huán)節(jié)多、數(shù)據(jù)安全存在隱患等問題提供系統(tǒng)性解決方案。

（2）采取全新的“云”架構(gòu)設(shè)計(jì)，應(yīng)用“云服務(wù)器”的強(qiáng)大功能，完成系統(tǒng)的升級(jí)改造和軟件開發(fā)，既保留了原有設(shè)施，又規(guī)避了新建項(xiàng)目的重復(fù)投資。

（3）采用“一站式”數(shù)據(jù)匯集模式，減少了系統(tǒng)運(yùn)行及管理環(huán)節(jié)，提升了工作效能。

（4）水文資料在線數(shù)據(jù)系統(tǒng)信息化體系充分考慮了數(shù)據(jù)傳輸、存儲(chǔ)、算力、安全等因素，為平臺(tái)軟件系統(tǒng)構(gòu)建一個(gè)完整、安全、一體化的信息化支撐體系。