潮惠高速公路信息化建设回顾与展望

罗 波

（广东潮惠高速公路有限公司，广东 广州 510000）

0 引 言

广东省潮州至惠州高速公路项目是甬莞高速公路（国家高速G15）的西并行线之一，也是广东省高速公路网规划“九纵五横两环”中“四横”的组成部分，作为沈阳至海口国家高速公路的复线，是粤东地区与珠三角之间第二条高速公路通道。项目自2011年开始筹建开工，2016年底年全面建成通车，建成通车后有效缓解粤东地区交通压力，加强珠三角向粤东地区经济辐射能力，促进粤东地区经济发展及促进泛珠三角区域经济合作等都具有重要作用。信息化建设秉承高速公路“建管养运”理念保持同步建设，回顾十年多来建设与运营，是高速公路信息化系统“从无到有”的建设过程。随着集团数据中心的建成运营，业务逐步迁移上“云”，资源统一整合，高速公路信息化建设也将从“中心化”往“去中心化”发展，从而开始“从有到无”的持续建设。

1 第一阶段，筹建阶段

信息化建设筹备阶段工作重点是提出信息化建设总体目标，设计信息化网络基础架构，同时解决项目筹建到开工阶段的日常办公需要。我们根据信息化建设要求部署一套多线程路由器、防火墙、核心交换机、服务器系统、VPN设备等基础核心硬件。网络方面，满足办公终端的互联网访问和上下级单位的专网文件交换，搭建IPsec VPN，满足业务终端访问上级单位业务系统服务，公网业务选择上下行对等互联网专线和MPLS VPN专线对接上级单位，服务器系统内部署办公需要的软件系统，如OA办公自动化系统，门户系统、公文交换系统，拓扑见图1。

图1 信息化网络基础架构

2 第二阶段，项目建设阶段

潮惠高速建设项目2013年8月全面开工，根据筹建期信息化建设的规划，结合信息化系统的运行状态，预测建设项目将产生10TB的基础数据，我们建立一套服务器平台和存储平台替换原有的服务器系统，物理算力单位元采用高性能服务器双机热备，采用VMwarev Sphere架构的虚拟化技术承载各不同业务的操作系统。有效减少物理服务器的数目，降低硬件采购成本，更有效地利用基础设施；提供实时的远程管理和维护，快速地备份与服务转移，提高可用性、安全性以及稳定性。

存储单元采用IP SAN存储技术为核心的集中式存储架构，实现统一数据存储同时还可根据业务系统数据的重要等级和读写速度需求，合理配置具有冗余能力的磁盘阵列。鉴于项目建设全面开工，信息化系统在原业务系统基础上增加了高速公路项目建设业务相关系统，分别为HCS建设项目管理系统、HDS建设项目档案管理系统、建设项目安全生产管理信息系统、建设项目施工监控系统等。信息化系统使用群体已不是之前的单位内部人员，项目建设的各类参建单位变成了信息化系统的使用者。由于各类参建单位的地理位置分布于道路建设沿线，横跨五市十县，不同于之前单位内部人员在同一物理环境办公，这对信息化系统可用性、安全性提出新的要求。为满足各类人员的信息化业务需求，同时保证数据传输的完整性和安全性，我们采用了SSL VPN技术，实现外部人员信息化业务需求，既满足业务人员信息业务需求，同时满足系统安全要求。秉承“建管养运”一体化建设理念，监控中心计算机系统在主体项目建成前提前完工并投入使用，我们部署了施工视频监控系统，实现特殊结构物施工现场的实时视频以大屏方式展示在监控中心，项目管理人员实现远程监控项目建设情况。施工影像系统、沥青监测系统满足了施工工序审计需求，对施工工艺工序、施工材料的控制和管理闭环提供技术保障。

除了满足项目建设的信息化需求，机电系统建设也是信息化建设的重点内容，构建高速公路生产运营网络，承载高速公路通信体系、收费体系、监控体系、隧道机电体系，通过建立光纤管道资源链接沿线站点和相邻路段，形成城际级别的广域网。根据数据带宽性质和数据业务属性，建立视频万兆环网和数据骨干网，分别承载道路沿线1080P监控视频和收费、监控业务数据及控制指令，其中数据骨干网采用波分复用技术，根据业务数据属性作物理隔离，有效节省光纤资源和接入设备。收费站均采用光环网结构链接各类机电设备终端，承载车道级收费系统和站级收费系统，通过数据骨干网连接至路段收费管理中心和省联网收费运营平台机构。道路和隧道监控实时图像通过区间光缆汇聚就近收费站，再经过万兆环网链接监控中心。

3 第三阶段，项目建成运营

潮惠高速于2016年12月底全面建成通车，信息化系统在原基础继续扩展，用户群体进一步扩大，包括高速公路运营者、原项目建设人员及参建单位人员、沿线地方交管部门等。业务系统增加了两大业务板块，分别为联网收费系统和监控一体化平台，办公网系统新增了HOS高速公路运营管理系统。信息化系统按业务范围划分为收费业务网络、监控业务网络、办公业务网络，配套设施包括骨干网通信传输设备、视频万兆网网络交换设备、运营商业务线路、链路连接设备（交换机、路由器、防火墙、VPN网关等）和传输介质等，见图2。算力单元沿用VMware虚拟化品牌，成熟稳定，由于收费系统和监控系统存在业务上的数据交互，我们依托机电三大系统整合以及与安全设施系统整合课题，打通收费业务网络和监控业务网络形成生产网。

图2 信息化系统网络组成示意图

系统整合立足于提升潮惠高速营运管理水平，分析潮惠高速机电三大系统现状，破解设备堆砌、利用率不高，各子系统之间信息互相利用率不高，软件系统未能整合机电系统资源等问题，整合机电三大系统的前端、信息传输以及系统终端开发，开发建立监控一体化平台软件，协调监控设备厂家提供通信接口协议，节约建设成本，又充分提高系统的融合应用效率。实现交通控制、事件管理、对讲广播、监控视频管理、机电养护管理、应急管理、电力监控、通信管理系统的动态数据交换，实现一套软件，基本覆盖所有监控设备，结束监控中心多套监控业务系统局面，推进营运管理工作中信息化水平。机电三大系统的深度融合和数据交互挖掘，最大限度提高了高速公路的安全、高效、快捷和畅通，更好服务于公众。

地方交管部门、执法局在国家重大节假日保持属地实时管理需要，需查阅道路车流情况，基于生产网络服务不对外原则，我们在办公网和生产网之间部署双网卡服务器作为视频联网监控系统，再以端口映射和客户端方式服务于属地交管、执法部门和业务相关人员。鉴于信息化系统仍需服务建设结算人员和原建设参建单位，考虑到人员复杂性，在SSL VPN技术基础上增加双因子验证技术。

2017年6月1日《网络安全法》正式实施，我们开始对信息化系统进行信息安全等级保护工作，信息化工作重心从业务驱动转为业务、安全双驱动，同时开展网络安全建设，严格按照定级备案、测距测评、测距整改、终验的工作基本流程有序开展，我们对系统运行的核心系统，如联网收费系统，监控系统，OA办公自动化系统进行定级备案，邀请有资质的测评机构，对公司备案的信息化系统及业务网络形成等级测评，形成差距性测评报告。我们根据差距测评报告对信息化系统进行多维度专项整改，分别是机房物理安全，网路安全、主机安全、应用数据安全、制度建设，在等保安全整改工作中，遇到一些共性问题和技术难题，例如在应用系统发现存在明文传输风险，需通过协调软件开发商进行督促整改；视频联网监控系统的互联网端口映射风险，通过减少互联网暴露面，应用发布封装技术予以加固保护。完善公司信息化和网络安全制度，规范用户行为安全，对网络做好基本分层和用户权限分级管理；系统和用户的密码复杂度要求和更换周期，需要全员配合，借此机会我们同时开展了全员网络安全意识培训，更好提高全员网络安全意识和基本防护能力。在管理方面加强技术外包的运维管理，签订相关网络信息安全与保险协议，明确责任同时等保工作也顺利完成终验。

4 第四阶段，撤销高速公路省界站工程

2019年政府工作报告提出，深化收费公路制度改革，加快收费清单“一张网”建设，让收费公开透明。取消高速公路省界收费站项目，联网收费系统迎接重大变革，信息化系统在原有规模基础上新增56个门架系统，收费核心算力设备由原来的高性能服务器+集中式存储架构更换为超融合架构，网络安全方面对信息化系统提出更高要求，梳理网络资产，厘清收费业务网和监控网的数据交互，要求无关业务的数据原则上禁止交互，引入安全运维技术，规范运维流程。建设网络安全中心，解决运维单位权限过高的问题，运维审计不足的问题，安全策略不足等问题。部署补丁测试环境和补丁发布服务器，解决补丁修复导致的系统不稳定。态势感知系统，实现路段中心网络设备、收费站系统、ETC门架系统等网设备的安全数据采集汇总、综合分析和评估网络安全威胁与异常等功能，形成路段完整的网络拓扑结构和实时异常告警功能，并支持省中心态势感知平台对接功能，更好地保障信息系统安全、稳定运行。

鉴于中美贸易摩擦，加上外部环境不稳定，高精尖科技的技术封锁，自主可控技术成为国家重要战略目标，我们引入华为FusionSphere云操作系统、中科曙光StackCube超融合系统超融合架构等自主可控计算单元取代原信息化系统使用的VMware虚拟化品牌。相比原信息化系统计算存储虚拟化技术，超融合架构在提供存储的同时，也提供计算能力，这不仅大量降低电力成本，其空间优势也有效节省机房资源，同时也将计算放在离存储更近的地方，达到最优的性能。超融合架构采用的全分布式的组件，具有原信息化系统无法实现的横向扩展优势，可以像加火车车厢的方式扩展集群规模和性能，比对见表1。

表1 超融合架构与集中式存储架构对比表

5 第五阶段，集团数据中心建立和后续展望

2021年10月，广东省交通集团大数据中心建成并投入运营，依托数据中心为高速公路“建管养运”业务提供数据支撑，为未来智慧高速、车路协同、物联网提供基础环境。

为确保办公网业务数据传输的安全性、完整性和稳定性，首要工作就是路段办公网络与数据中心进行组网对接改造，利旧原VPN设备通过IPsec加密传输，数据骨干网+互联网专线的主备双链路模式对接数据中心，见图3。忙时线路网络平均延时控制在40 ms正负偏差5 ms，丢包率6%，平均抖动率8.0%。保证业务系统迁移上云后，路段访问数据中心服务的网络传输质量。互联网数据流、办公业务数据流、收费业务数据流、监控业务数据流及后期其他业务数据流通过独立的防火墙实现逻辑隔离。

图3 路段中心与数据中心组网示意图

依托数据中心，建立机电系统数字监测和运行支撑平台，整合路段一体化监控平台、网络安全态势感知平台、骨干网网管系统、机电运维管理平台等，通过主动发起TCP请求的方式建立连接，单向发送数据至数字监测和运行支撑平台。对集团所属路段的机电系统关键设备、核心业务数据、关键运营参数和网络安全进行统一监测和预警，全面掌握系统运行状态，为路段机电系统运维提供技术支持和业务指导。数据采集的单向传输模式既保持各业务系统网络的逻辑隔离和网络边界的完整性，又方便各路段单位通过办公网访问，同时保留系统推送监测、预警信息至互联网的扩展需要。集团数据中心整体架构见图4。

图4 集团数据中心整体架构图

集团数据中心的建设完成及投入使用后，将极大提升高速公路运营管理的信息化水平和管理效率。后续工作将聚焦以下两个方面：一是将大力推动路段中心及沿线基础设施建设。路段中心建设模式将逐步向边缘计算发展，在车路协同、物联网、IPV6、北斗卫星通信等技术加持下，构建数字化的采集体系、网络化的传输体系和智能化的运营体系，加强网络安全和信息系统同步建设，加强对交通基础数据全生命周期管控，聚焦信息基础设施设备自主创新、安全可控，打造数字化、网络化、智能化高速公路生态体系，更好服务于广大司乘人员。二是将大力推进数据资源整合及数据资源挖掘利用。数据中心建成后，将会产生大量的办公业务数据、收费业务数据、监控业务数据等数据资源，形成海量的数据资源池，后期将大力整合上述数据资源，运用大数据、人工智能、云计算等先进技术，开展多源数据融合及数据挖掘工作，充分发挥数据资源价值，服务办公、交通管理、监控管理等业务，通过先进算法及技术提升各项业务工作效率和管理水平。