原标题：三级数据中心体系架构+网络安全模型，构建中车集团数智化发展新格局

  2022年，科学技术创新，聚焦变革。数字化的经济的蓬勃发展，是后疫情时代全球经济结构重塑、全球竞争格局改变的必然趋势。跟着社会各领域数字化发展加快，新技术、新业态、新模式不断涌现，积极推动着各行各业的变革与创新，CIO们正在努力打造数字化的经济新优势，共铸辉煌与荣耀的征途中，乘风破浪，步履不停！

  CIO时代、新基建创新研究院年度特别策划“2022·听见数智时代”栏目真正开始启动。邀请各行业专家参与访谈，共话数字化转型与升级道路上的新策略、新思考、新洞见，以期为产业数字化转型、科学技术创新及应用提供经验借鉴。

  本期邀请到的是中车信息技术有限公司副总经理韩毅斌，与我们大家一起聊一聊智能制造业在数智化发展中的新方向。

  主要负责中国中车数字化转型体系设计，工业互联网、业务信息系统、信息化基础设施和网络安全项目建设管理。

  主持或参与了多项先进制造领域国家863课题和国家级科技支撑计划项目，多次荣获国家级、省部级科研成果奖项，发表多篇学术论文、论著。制造业企业信息化建设和网络安全领域专家。

  中车集团在“十四五”规划期间的战略定位，可概括成“一核、两商、一流”。即成为以轨道交通装备为核心，具有全球竞争力的世界一流高端装备制造商和系统解决方案提供商。

  集团计划在“十四五”期间，在市场方面，通过传统轨道交通、城市轨道交通、战略新兴起的产业打造三个千亿规模的业务板块；在经营管理方面，实现一流的经营业绩、一流的业务结构、一流的管理体系、一流的企业形象和一流的党建引领；在数字化建设应用方面，以推进企业研发设计、经营管理、生产制造、客户服务、产品全生命周期的数字化和新模式应用为主要任务，推进信息化体制改革，加大新一代信息技术的推广应用力度，同时，加强工业软件的安全可控能力建设，不断的提高IT技术架构、数据标准和网络安全治理能力，促进企业管理变革、技术创新，实现重塑商业模式。

  同时，研发设计、经营管理、生产制造、客户服务等四个领域也是中车集团“十四五”期间信息化和数字化的重要发力方向。希望以打造数字化创新驱动为代表的高水平发展引擎，打造一体化的信息化体系，将中车集团打造为世界一流企业贡献自己的力量。

  中车集团自“八五”期间利用“八五重投”资金就设立了信息化专项预算，开始了集团的信息化建设。在“十二五”之前的信息化建设中，基本是各个企业的各自为战，企业又多以业务部门为主体各自为战，建立以满足部门级应用的烟囱系统。在“十三五”期间集团组织制定了整体信息化规划，规划了五大类、32个项目来统筹指导全集团信息化建设、应用与发展，基本实现了信息系统对主营业务的全覆盖，并通过PLM、ERP、MES、MRO、SRM等5大核心系统的集成，打通了设计、工艺、制造、服务与供应链体系，初步实现了业务协同、流程打通和数据共享。

  第一大类设计研发信息化。将设计BOM到工艺BOM传到企业ERP里面，形成设计到生产的正向输入。

  第二大类经营管理信息化。核心企业引入ERP系统，以MRP计划实现生产计划的贯通，并将生产调度计划传到MOM和MES，实现用PLM、ERP加MES构成的集团核心企业生产制造主体。

  第三大类是生产制造信息化。将MOM、MES的作业计划与现场的物联网实现自动化控制和作业下达，甚至是逆向变更等形成闭环，建造人机一体化智能系统体系。

  第四大类商业活动信息化。建立全集团统一的电子采购平台、供应商管理系统，与企业的ERP系统、招标机构的系统、供应商的生产和销售进行集成，实现流程的打通和数据的共享。

  第五大类信息化基础设施+网络安全保障。以NNI方式运用MPLS VPN技术建成了中车全球广域环网，根据公司应用实际制定合理的SLA，实现了全世界内机构的专线网络连接，各企业办公内网按照安全等级实行分级、分区、分域的管理，与互联网实现逻辑强隔离，在实现网络高效互通的同时，有效提升了集团整体网络安全防护水平。

  其中，集团三级数据中心的体系架构和网络安全模型，已做到业务类型全覆盖和经营实体全覆盖。总部将383家子公司统一使用安全模型，将信息安全的短板拉齐实现全覆盖。目前，中车集团信息化建设取得了较好成效，为新技术、新应用、新模式的拓展打下了坚实基础，提供了很好的帮助。

  原则一：顶层规划、一体管控。加强信息化顶层设计和统筹规划，综合考虑集团总部及所属企业信息化历史现状，存量贯标、增量统一，强化既有信息系统和数据标准化建设，逐步规范信息系统应 用水平，实现相互连通和信息共享。发挥中车信息公司平台作用，按照集团整体信息化规划统一信息系统的架构设计、建设和实施。

  原则二：突出重点、协同发展。聚焦核心业务，集中力量建设重点项目，形成示范效应和带动效应；根据制造类企业与非制造类各类企业数字化发展水平和提升路径的差异化，鼓励发挥自身优势先行先试，迭代创新，企业间加强交流合作，促进不同发展水平企业共同发展。

  原则三：深层次地融合、立体赋能。大力推进新一代信息技术的融合创新，深入推动两化融合体系建设，打造企业基于信息化条件下的新型能力，对公司进行立体赋能，不断的提高企业数字化智能化水平。

  原则四：底线思维、自主可控。强化网络安全意识，严格风险防控，构筑全场景信息安全防护体系，保障企业基础信息网络和重要信息系统的安全，营造规范健康的网络环境，为企业加快数字化发展提供安全保障。

  集团领导对于中车信息的成立寄予了很高的期望，给出了“三者一基地”的定位即中车信息化项目的建设者，信息化资产的拥有者，轨道交通装备制造业信息技术的引领者，和两化融合人才的培育基地。处于成长期的中车信息，数字化赋能于集团信息化建设和数字化发展的作用凸显。中车信息作为战略平台型公司，整合国内外先进的信息技术和解决方案，融合到企业的业务中，提供性价比最高的服务。

  在目前的发展和建设中，以总部为核心，集团总部所有的信息化建设，全部由信息公司投资形成资产，再以服务的形式向总部提供。最大限度让信息公司在建议中实现发展，提升能力的同时打造产品。

  各企业的信息化项目均围绕中车工业互联网和中车的三级数据中心体系：一个体系、两大基础设施、两级应用架构和五大赋能引擎展开。随信息公司的能力逐步地加强，对内部企业的支撑和赋能作用也在逐步的提升，未来信息公司将会承担全集团的信息化建设使命和任务。

  现阶段，中车信息公司基于“产业数字化+数字产业化”定位，先内后外，以内为主是主要发展路径。目前以服务主业、服务系统内的成员企业为主。未来，中车信息肯定会“走出去”，希望未来将信息化打造成为中车经济发展的新的增长极。

  中车集团拥有全球离散制造业最全的工业场景，在整合外部资源给内部提供服务中，不断打磨着机械制造业数字化解决方案，这也是将管理思想和信息技术融合成一个完整的解决方案的过程。

  未来，数字化发展一定是融合于管理理念和过程的。中车信息在对外提供信息化的产品、系统，包括解决方案时，更多的对外输出是代表着中车集团的先进设计、生产和管理理念。因此，在产品输出中，中车信息将管理理念通过数字化产品封装后打包成一体为目标客户提供服务。

  在产业链体系的打造中，结合中车集团的产业链发展定位，把协同设计平台延伸到供应商；在供应链体系打造中，通过信息化手段来整合资源，通过采购平台与供应商生产计划，与客户的生产系统、交付系统来进行联动，实现相互之间长期计划、滚动计划的可见，从而形成产业链有序有效的互动。并通过现代物流，降低损耗和浪费提高我们全社会的价值体系。

  在此基础上，孵化建立类金融服务体系。解决中小供应商发展的过程中的金钱上的压力，以应收账款和合同为保障，为其提供供应链金融的融资渠道，带动其发展，也为中车集团自身提供全新收益渠道，为中车资金池向供应链延伸。在此过程中，不能离开信息化手段和信息系统的保障，这也是中车信息对外发展的重要抓手。

  据了解，中车信息公司计划打造三层数据中心体系架构来满足集团的管理、研发和运营需求。

  5中国中车集团的三级数据中心的建设和落地情况，在建设过程中都遇到了哪些挑战？

  中车集团是一个“先有儿子，后有老子”的战略管控型的集团企业，在以往的信息化建设，包括基础设施的建设和投入都以企业为主体自行建设。在2016年的数据统计中，全集团的在用数据中心机房达98个，但部分机房的使用率不足30%，也有部分使用率接近饱和，还在不断地去扩建。这种投入分散加之技术应用五花八门，造成了大量的资源浪费。加上公安部的常态化演习行动，给安全防守上带来重大的困难和压力。因此，在我任职集团系统管理处处长时，在学习了先进经验后，提出了以业务和应用为核心的“三级数据中心体系”理念。

  所有的基础设施和信息系统建设思路都必须围绕着内部的业务和应用需要进行。“三级数据中心体系”的基础是业务系统的整合，也就是将所有的信息系统，向中车集团总部和二级公司去集中。而三级和以下的单位不允许再建信息系统。

  对于时延和网络要求不高的信息系统，全部向集团层面集中，统一部署；对于时延要求比较高的，边缘层的系统向二级企业或者生产制造工厂、基地和设计研发中心去集中，用应用部署理念设计出三级数据中心的架构。

  第一级是核心数据中心。计划在国内建成两个互为主备。主要承载集团所有的管理类应用，产品数据的大数据分析类的应用及仿真实验分析类的应用，并给其他数据中心提供容灾备份。目前，正在依托青岛的轨道交通产业园，建设国内第首个核心数据中心。

  第三级是边缘层数据中心。以研发类和生产现场边缘计算类的应用为主，也称为生产制造基地或研发中心。对于时延、抖动、丢包等网络质量发展要求比较高的敏感应用，允许企业建立本地的数据中心机房，承载一些边缘层的应用。第三级数据中心的整合是我们近年来持续开展的工作，基本上已经结合数据中心的整合和互联网出口的统一设计，实现了所有应用系统向二级公司集中的理念。

  为什么会建设二级区域数据中心呢？经过评估，第二级区域中心更多是指欧洲、非洲、阿拉伯地区、亚太和美洲等几大海外的区域，建立这个区域中心主要为解决中车集团在当地的一些法律和法规、数据不能离岸的问题。

  三级数据中心的一和三为实，以自建为主；二为虚，更多以租赁为主，主要依托于海外运营商资源，也可租赁兄弟央企的数据中心资源。由于近两年的疫情影响和中美贸易危机，海外各方面的布局和发展，对于这方面的需求并不高，所以，第二级数据中心还没有实质化的进展。

  目前，在基础设施层采取运营商的全球MPLS专用网络体系，与中信集团及其成员企业中企通信合作建立了全球统一张网，并提出“去中心化”理念，将所有节点全部上环组建网络，整合互联网出口和数据中心，形成了现有的IT基础设施架构，同时通过中企通信丰富网络资源和广泛覆盖，实现全球化格局。

  在计算和存储方面，网络层采取了“一云多心”的两级部署的云体系架构。通过集团统一选用的云管理平台，管理集团层和子企业层的虚拟化子云。“一云多心”架构可整合和调度全集团的计算和存储资源，实现资源最大化利用，并保障网络安全。

  在容灾备份层面，将青岛大数据中设计成为全世界统一的灾备中心，将二级单位边缘数据中心的核心数据通过专线网络备份到青岛。容灾备份体系都由集团统一部署和设计，既包括集团数据中心和企业各子数据中心的本地备份，也包括集团数据中心和企业数据中心之间的异地容灾备份，根据应用的重要程度和RPO时间去实现其应用级和数据级的容灾备份。

  在数据中心的机电领域，依照国家最新“双碳”要求和节能减排要求，使用保障最优PUE值的技术方法，包括风水气电都进行相对有效控制，建立一套基于ITSM的运维体系，将所有机电设施从监控到智能化机器人自动化的巡检，业务系统和应用的运维，底层基础设施的运维，全部整合到一个系统中，提升整体IT服务的效率和水平。

  中车集团下属的实体承载着经营主体任务，集团到子公司间的网络连通，包括公文的上传下达，指标的梳理分析，抽取挖掘，以及整个广域专网和在广域专网上建立视频会议网络，依赖性非常高。

  2009年，国资委提出了“内外网隔离”概念，为了能够更好的保证网络的稳定性和安全性，我们租用了基础运营商的专线，来替代基于互联网的VPN，将办公内网和员工访问互联网进行了彻底分离。

  同时，基于2015年南北车合并时的契机，集团下属株洲所的上市公司时代新材，收购了德国采埃孚集团旗下的制造汽车橡胶件的境外公司BOGE。BOGE是一家全球化公司，在欧洲、巴西、中国、澳洲等地都有自己的制造工厂，他们使用的是SaaS化云服务，基于MPLS 专用网络的管网技术，通过运营商的POP点上环，根据原目的和路由协议来实现按需访问。因此，就需要找到一家运营商解决全球网络连接的问题，有明确的目的性地对网络应用和流量一体化管理、分析，实现网络带宽的弹性扩展。

  中车集团也基于这个先进的理念组建了境外环网。但与海外连接中，涉及到各地区、各国家不同的法律和法规、不同的风俗人情文化特点和不同的运营商，包括他的服务条款、法律条款等，整合难度极大，并会消耗非常大的精力。

  因此，我们采纳了中企通信“交钥匙工程”的解决方案，运用技术驱动的先进性，组建成全球环网。依照运营商NNI的模式，由中企通信主导网络建设，并与其他运营商形成资源整合，然后基于所有运营商的网络之上建立一层MPLS。同时，采用中企通信TrustCSI UTM统一威胁管理服务为中车集团提供托管式网络防御，对整个网络时延、抖动、丢包、中断率等各个参数指标提出具体实际的要求、落实具体保障措施，同时也实现了去中心化。

  中企通信是中信集团成员企业，全称“中企网络通信技术有限公司”，拥有一站式、一体化“云、网、安”资源、方案及服务交付能力，多年以来坚持践行国家发展的策略，借势母公司中信国际电讯CPC及集团优势，为中大型央企、国企、集团型企业及全球化企业稳步迈入“数字丝路”铺设了安全、高效、快速的网络高速公路。

  经过多年的应用，无论是从中车集团的业务人员，还是信息部门，对中企通信所提供的网络服务反馈都很好。下一步，为保障和加强安全性，我们还计划组建第二套环网，并将整合基础运营商资源构建。

  中车集团在网络安全上的部署是通过顶层设计、统一建设理念，搭建整体的网络安全防御体系。

  首先制定了“十四五”中车网络安全专项规划，提出了一个愿景、一个目标、三个原则，并搭建了统一的标准架构。

  第2个“3”是通过三套网络安全运行体系：一是依托青岛大数据中心建立统一的网络安全管理运维平台，二是建立全集团统一的网络安全监测预警平台，三是建设网络安全应急处置平台，通过这三套体系来保障网络安全的运行有序。

  “5”指的是在等保安全基础上，通过安全分区、区域边界管理、计算环境管理、应用场景管理来建立办公类模型、境外模型、制造业模型、数据中心模型、类金融企业模型，等五大网络安全防护模型，实现对集团全级次不同规模、不同业务、不同地域企业的标准化管理，以此来实现全覆盖的“技防可信”。

  “6”指的是统一建设六项重点工程，保障集团网络安全标准体系和技术体系的有效落地。一是网络安全制度和标准建设工程，二是网络安全运营中心建设工程，三是安全通信网络与区域边界改造工程，四是安全计算环境的改造工程，五是容灾备份体系，六是物联网和人机一体化智能系统的工控安全防护体系建设工程。

  一是业务驱动，整体保障。从全局防护的方面出发，整体实施，达到防护体系的全局一致，杜绝短板。

  二是统一规划，急用先行。按照轻重缓急，有序地实施，优先解决过程中的紧迫问题。

  三是双轮驱动，推进部署。安全是发展的前提，发展是安全的保障，网络安全应与信息化同步规划、建设、运行，应将网络安全和运维融合推进。

  四是技管并重，内外兼顾。应建立标准的制度体系规范，来保障技术的应用，不闭门造车，不断将内部人员与外部厂商融合，应学习外部的前沿成果、优秀的解决方案、别的企业的先进理念和实践经验，并与自身需求和真实的情况相融合，建立更好的网络安全保障体系。

  国家“十四五”规划，明白准确地提出“两步走”，即到2025年，规模以上制造业企业大部分实现数字化网络化，重点行业骨干企业初步应用智能化；到2035年，规模以上制造业企业全面普及数字化网络化，重点行业骨干企业基本实现智能化。

  中企通信作为以智能科技驱动的数字化赋能者，累积了超过20多年的行业及客户服务经验，长期以来为诸多制造业客户提供高品质的一站式“云网安”服务，服务涵盖大部分企业ICT关键领域，包括中企通CeOne-CONNECT专用网络服务、TrustCSI信息安全管理服务、中企云时代SmartCLOUD云计算管理服务，DataHOUSE云数据中心四大旗舰服务及一系列增值服务。同时，依托于ICT关键领域服务，积极拥抱创新科技，打造ICT-MiiND策略，该策略将数十年的行业经验与创新科技包括人工智能（AI）、增强现实（AR)、大数据、物联网（IoT）、区块链和5G等相结合，能够为广泛的制造业客户提供至关重要的基础设施支撑。

  中企通信南中国区销售总经理郭远达表示，联合母公司中信国际电讯CPC，中企通信服务覆盖全球160个国家逾160个网络节点，在“一带一路”沿线、RCEP成员国、粤港澳大湾区等区域形成了独特优势覆盖，这是许多走向世界的制造业客户很看重的一个资源优势。这些广泛的资源覆盖能够与中车集团全球化视野保持一致，助力其更好的拓展海外业务，实现快速的互联互通。

  一直以来，中车集团将央企社会责任扛在肩上，也是“一带一路”建设中的“排头兵”，更将在“十四五”发展蓝图之下，传承优良传统，努力接续奋斗，擦亮国家名片，开启崭新征程，加快建设受人尊敬的世界一流中车，为建设社会主义现代化强国和实现中华民族伟大复兴作出中车贡献。未来，中企通信将发挥好与中信集团及母公司中信国际电讯CPC的协同效应，利用自身国际化的优势，赋能中车集团及更多制造业客户更好的拓展国际上的影响力，提速中国“智造”。