广播音频制播网络系统的安全性设计

王文举　袁正义

摘要：安全播出是广播电视的生命线，该制播网络系统利用先进的网络安全技术，建设功能完善、技术领先的软、硬件支撑平台，保障电台各项业务的安全运行，网络系统的安全性设计大大保障了广播音频制播网络系统的安全。

关键词：安全；冗余；制播网络系统

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）13-3126-04

Safe Design of Production and Broadcasting Network System ahout Broadcasting Audio

WANG Wen-ju，YUAN Zheng-yi

（Anhui Radio and TV Station，Hefei 230071，China）

Abstract：Safety broadcasting is the lifeline of radio and television，the broadcasting network system uses the advanced network security technologies，building well-functioning， leading Technology soft and hardware platform，ensuring the safe operation of radio business，safe design of network system greatly guarantees the security of production and broadcasting network system ahout broadcasting audio.

Key words：Safe； Redundant；Production and broadcasting network system

广播音频制播网络系统作为广播技术系统的重要组成部分，涉及到广播各项主要业务系统，包括节目生产、编审、播出、归档、存储和管理等方面的业务，通过核心网络系统的建设，实现全网音频编辑、处理、存储和传输的数字化、网络化。

作为核心业务系统，安全稳定是整个系统建设目标的重中之重，安全稳定才是整个系统能够充分发挥职能，完成相应节目生产、播出等任务的基础，因此在系统设计中，全系统规划安全措施，从数据级、链路级、模块级、设备级确保系统全冗余设计，提高系统的安全稳定性。

1 系统安全设计目标

1） 满足《广播电视安全播出管理规定62号令实施细则》一级要求。

2） 满足《广播电视相关信息系统安全等级保护》三级防护要求。

3） 提供了完善的应急方案，同时具备快捷和安全的应急操作。

4） 采用稳定、成熟的先进技术和高质量的设备，核心设备配置在线热备及配置双电源。

5） 主干链路具备备份通道，满足冗余要求。

6） 整个架构的网络、设备、数据、播出均无单节点。

7） 具备严格的监控和管理手段，对系统运行过程中的各关键因素进行实时监控。

8） 确保7*24小时在线运维。

2 系统安全总体考虑

系统的安全是广播技术系统建设的重中之中，为了保护新中心技术系统的安全，从基础网络链路、服务器、存储安全、运维安全等几方面进行综合考虑，确保业务网络7*24小时无故障工作。系统安全体系结构如图1。

系统中制作网络与播出网络分离设计，系统划分为播出网基础网络、制作资料库网基础网络，且两个区域间需要实现安全、可靠、快速的IP通信。在制作网和播出网两物理网络之间架设硬件防火墙，进行有隔离控制与安全控制，硬件防火墙具备IDS、病毒防护、信息审计等功能，可有效进行网络故障的隔离，两个网络互不影响，既可以进行信息互通，又具备内容过滤和入侵监测功能。而播出网与制作网主干平台则各配置2台主干交换机，满足各种网络内数据交换。如图2。

2.1 网络链路的冗余

2.1.1 核心交换机链路冗余

基础网络平台是制播网的核心与关键，网络平台的安全性、可靠性、冗余性是网络链路设计考虑的重要因素。

网络级冗余性可以利用双宿主设计自动绕过故障链路或设备，播出网、制作网络各配置2台Cisco Catalyst 4507核心交换机，主备冗余链路能够使用智能协议保持网络可靠性。

Cisco? Catalyst? 4500系列交换机支持网络永续性，例如UDLD、Cisco EtherChannel?技术、多组HSRP、单VLAN生成树、快速Uplink和Backbone、802.1s/w、根防护/BPDU防护、PortFast、思科快速转发负载平衡和OSPF快速融合。

2.1.2核心交换机配置冗余

Cisco Catalyst 4507核心交换机配置双引擎、交流双电源。包括LAN交换机内能够防止交换机本身和相连网络设备出现网络故障或遭受攻击，以保持连续网络访问的各种机制。

Cisco Catalyst 4507状态化切换（SSO）能够实现冗余交换管理引擎之间第二层协议信息之间的同步。借助SSO，能够在不到一秒的时间里恢复到备用交换管理引擎。通过Cisco IOS? 软件，所有Cisco Catalyst交换管理引擎，都支持备用交换管理引擎。利用SSO，链路不需重设，因而保留了IP电话呼叫。由于不需要学习MAC地址，因而消除了以前已知地址的泛洪。生成树不会再收敛，从而有效防止了第二层再收敛。无论是故障恢复之前、之中还是之后，所有Catalyst集成式安全特性都能正常运作。另外，由于不需要重设链路，还能显著减少第三层收敛。endprint

交换管理引擎上行链路冗余性由主交换管理引擎维护，如果交换管理引擎发生故障，相连的上行链路仍能保持正常运作。

负载共享电源（1+1）能够在电源发生故障时不间断用户服务。

N+1风扇能够在风扇架上的某个风扇发生故障时不间断用户服务。

因没有有源组件，所有机箱中的无源背板都能防止网络中断。

功能透明的线卡的组件数量有限，因而MTTR极高。线卡都能够热插拔，而且不会影响机箱中的其它线卡。

思科快速转发能够防止可变IP信息攻击。端口安全、DHCP侦听、ARP检测和IP源防护能够防止黑客从第二层及以上发动拒绝服务（DoS）攻击或破坏网络。

速率限制以出口和入口限速器的方式出现，可以控制每个VLAN的流量，防止DoS攻击。只有Supervisor Engine V-10GE支持基于用户的速率限制。

802.1X及其扩展特性能够防止非法用户和设备接入网络，例如恶意接入点。硬件Netflow可用于主动发现网络流量异常，并采取相应措施。它使用的访问控制列表可以在交换端口和路由端口上提供，以便进行第二到七层流量控制。

2.1.3接入交换机Cisco Catalyst WS-C3560-X

制作、资料库网由于节目制作、编排等工作站分布在不同楼层，每个楼层配置Cisco Catalyst WS-C3560-X接入交换机，接入交换机器分布编辑制作区和录制区。并配置1台相同规格的交换机作为冷备份。

Cisco Catalyst 3560-X可配置冗余双电源，可提供网络的无间断连接性，以及可扩展性、安全性。Cisco Catalyst 3560-X配置24个千兆/百兆以太网端口，2个1000Base-X SFP千兆以太网端口（Combo）可满足各楼层工作站接入要求。

2.1.4防火墙NFGW4000

防火墙设备采用网络安全卫士天融信 NFGW4000系列，两台防火墙在线热备，一台出现问题，另外一台自动接替使用，不影响网络的使用。

2.2服务器双机热备，安全冗余

对于关键设备，如：播出服务器、制作服务器、资料库服务器、存储池等，采用双机热备技术手段加以保障，实现智能检测、自动切换，以确保制播网络系统的业务连续性、稳定性运行。对于工作站安全，采用域策略安全管理，限制用户工作站对操作系统部分权限方式，以更好的保护工作站系统的安全。

在考虑服务器的安全设计时，除了自身的安全设计外（冗余电源、冗余风扇、RAID磁盘阵列），另一个重点就是服务器的双机热备份设计。双机热备针对的是服务器的故障，

服务器的故障可能由各种原因引起，如设备故障、操作系统故障、软件系统故障等等。一般地讲，在技术人员在现场的情况下，恢复服务器正常可能需要几分钟、几小时甚至几天。从实际经验上看，除非是简单地重启服务器（可能隐患仍然存在），否则往往需要几个小时以上。而如果技术人员不在现场，则恢复服务的时间就更长，

而对于广播音频播出、制作等重要系统而言，是绝对不允许出现播出中断情况发生的，因此，就需要通过双机热备，来避免长时间的服务中断，保证系统长期、可靠的服务。

系统中，对于播出、制作等重要的服务，配置两台服务器，采用互备、主从、并行等不同的方式，共同执行同一服务。当一台服务器出现故障时，可以由另一台服务器承担服务任务，从而在不需要人工干预的情况下，自动保证系统能持续提供服务。

服务器具备2个双端口多功能千兆服务器网卡，可提供4个1000M网口，并进行绑定，实现负载均衡，确保链路可靠，并提供高速传输带宽。其中一块网卡出现故障的情况下，另一网卡能够保证数据的不间断传输，网络正常连接。

2.3数据库及文件存储安全

制播网络系统数据主要包括数据库数据和音频数据，保障数据的安全就是对数据库数据和音频数据做好冗余备份，在故障情况下可以快捷恢复对数据的正常访问，另外从数据存取方式上保障数据的安全。

1） 音频数据备份

音频数据包括播出网数据、制作网数据、资料库数据；播出存储采用三台磁盘柜冗余设计，制作、资料库存储采用四台磁盘柜冗余设计，数据在磁盘柜上做冗余存储；通过网络直接读取和访问音频数据，由集群存储系统提供写入和读取的控制，任何一台磁盘柜损坏不会影响音频文件的访问，从而保障音频数据的安全；

2） 数据库备份

服务器器两两互备，在每台服务器上都有数据库的镜像，任何一台服务器故障，备份数据库仍在，从而保障数据库的安全。

3） 数据存取方式

系统采用SOA三层构架方式，通过WebService 服务，使用文本格式的Soap 协议和Http 协议，实现站点对制作、播出数据库的读写访问；通过FTP 服务，实现站点对音频文件的上传和下载；通过流媒体服务器，站点以流的方式审听存放于存储上的音频文件。制作、编排、采集、审核、检索下载等站点通过WebService+FTP+流媒体服务器来访问服务器，而不是采取传统的共享目录的方式直接存取这些服务器上的数据，数据交换更透明、安全。

播出网与制作、资料库网分别配置EMC Isilon存储数据池，采用群集体系架构，其中播出网数据存储配置3个横向扩展存储平台节点，每个节点自带CPU、磁盘和前后连接端口，磁盘柜之间通过冗余交换机相连，组成一个（N+1）的访问存储池。3台存储节点均为冗余配置，每个磁盘柜的每个端口都可以同时访问所有数据，任何一个节点损坏，存储池不受影响照样工作，实现节点的物理容灾备份。音频数据直接通过网络读取和访问，由集群存储系统提供写入和读取的控制。

制作、资料库网数据存储配置4个横向扩展存储平台节点，每个节点自带CPU、磁盘和前后连接端口，磁盘柜之间通过冗余交换机相连，组成一个（N+1）的访问存储池。4台存储节点均为冗余配置，每个磁盘柜的每个端口都可以同时访问所有数据，任何一个节点损坏，存储池不受影响照样工作，实现节点的物理容灾备份。音频数据直接通过网络读取和访问，由集群存储系统提供写入和读取的控制。endprint

采用数据池进行制播网络音频文件安全存储，数据的安全性得到充分保证。同时，数据池技术可在损坏的硬盘或者节点维修好或新更换的硬盘后重新接入系统，通过简单配置后就能恢复系统数据的镜像，而不影响系统的所有应用。

2.4工作站安全

方式一：对于播出工作站，采用主备冗余设计，具备自动故障切换能力，确保某台工作站状态异常情况下，可切换至备播出站播出，实现不间断运行。

方式二：对于工作站系统，采用域安全策略，限制用户策略访问，采用Windows 域管理方式，对域用户帐户的密码策略的相关限制，实现工作站操作系统安全。

方式三：屏蔽光驱、USB口等，保证硬件层面的安全。

方式四：系统补丁，保证系统层面安全。

图3 域安全策略图

2.5播出安全设计

播出护安全是广播技术部分的重要工作任务，在系统日常运行中，需要采取各项措施，保证系统的安全、稳定运行。以下列举了播出中的几点重要措施。

2.5.1文件质量监测分析

在节目输出时，包括对所有录制站新发节目时，对音频文件进行质量审核，检查文件格式、相位、电平、大块静音、故障帧等参数进行自动监测与分析，是否合格，以保证输出节目的质量。自动判断修改过的节目，及时分析处理，对音频文件的电平、相位进行校正和归一化处理。

2.5.2节目单编排监测报警

对播出系统各频道节目单的编排情况实时监测和报警，当进行节目编排时候，包括对系统节目编排不足，未编排、数据记录和音频文件不符、音频文件丢失等异态将相应报警提示信息。报警方式可选择包括通过屏幕、语音和短消息等手段。

2.5.3多库多指向自动切换

主备节目库之间自动进行增量同步，保证各个频道的主数据库以及音频文件，与备数据库和备份音频文件保持完全的同步，从而保证了整个播出系统得所有播出内容具有双重的热备。

2.5.4主备播出服务

系统中，每个频道直播间都配置了一主一备两台播出站，其中备播站通过心跳线监测主播的播出，正常情况下，备播站处于哑音的状态，当备播站监测到主播站出现故障自动从静音状态变为放音，保证播出。

2.5.5本地播出出服务

播出系统配置相关的调度机制，能及时的把播出服务器上关于播出的新的变动调度到播出站本地，保证当服务器或整个网络都失效的时候，播出站仍然可以依靠本地的节目继续播出。播出站播出的时候，优先播放调度到本地的节目，当网络中断的时候，已经调度到本地的节目可以继续播放完成。在程序继续播出的情况下，整个程序由网络播放的状态直接转换为本地播放的状态。确保网络、服务器出问题后，直播站工作的连续性，特别保障了所有的广告与所有的节目版头以及已经录播节目的安全连续播出，使播出不会由此遭到中断，保障了在网络系统瘫痪情况下能应急播出。

2.5.6 网路中断的情况下的本地播出

对于事先不在播出单上而是由主持人临时查询后播放的节目，由于不会有调度到本地播放的过程，播出程序需要有相应的缓冲机制，在播放的同时，对该文件进行本地缓存。保证在短暂的网络堵塞情况下，播出不会中断。而且经过短暂的缓冲，可以把正在播放的节目缓存到播出站本地，这个时候网络中断了，也不会影响该音频的播放。

安全播出是广播电视的生命线，该制播网络系统利用先进的网络安全技术，建设功能完善、技术领先的软、硬件支撑平台，实现电台各项业务的安全运行，网络系统的安全性设计大大保障了广播音频制播网络系统的安全。

采用数据池进行制播网络音频文件安全存储，数据的安全性得到充分保证。同时，数据池技术可在损坏的硬盘或者节点维修好或新更换的硬盘后重新接入系统，通过简单配置后就能恢复系统数据的镜像，而不影响系统的所有应用。

2.4工作站安全

方式一：对于播出工作站，采用主备冗余设计，具备自动故障切换能力，确保某台工作站状态异常情况下，可切换至备播出站播出，实现不间断运行。

方式二：对于工作站系统，采用域安全策略，限制用户策略访问，采用Windows 域管理方式，对域用户帐户的密码策略的相关限制，实现工作站操作系统安全。

方式三：屏蔽光驱、USB口等，保证硬件层面的安全。

方式四：系统补丁，保证系统层面安全。

图3 域安全策略图

2.5播出安全设计

播出护安全是广播技术部分的重要工作任务，在系统日常运行中，需要采取各项措施，保证系统的安全、稳定运行。以下列举了播出中的几点重要措施。

2.5.1文件质量监测分析

在节目输出时，包括对所有录制站新发节目时，对音频文件进行质量审核，检查文件格式、相位、电平、大块静音、故障帧等参数进行自动监测与分析，是否合格，以保证输出节目的质量。自动判断修改过的节目，及时分析处理，对音频文件的电平、相位进行校正和归一化处理。

2.5.2节目单编排监测报警

对播出系统各频道节目单的编排情况实时监测和报警，当进行节目编排时候，包括对系统节目编排不足，未编排、数据记录和音频文件不符、音频文件丢失等异态将相应报警提示信息。报警方式可选择包括通过屏幕、语音和短消息等手段。

2.5.3多库多指向自动切换

主备节目库之间自动进行增量同步，保证各个频道的主数据库以及音频文件，与备数据库和备份音频文件保持完全的同步，从而保证了整个播出系统得所有播出内容具有双重的热备。

2.5.4主备播出服务

系统中，每个频道直播间都配置了一主一备两台播出站，其中备播站通过心跳线监测主播的播出，正常情况下，备播站处于哑音的状态，当备播站监测到主播站出现故障自动从静音状态变为放音，保证播出。

2.5.5本地播出出服务

播出系统配置相关的调度机制，能及时的把播出服务器上关于播出的新的变动调度到播出站本地，保证当服务器或整个网络都失效的时候，播出站仍然可以依靠本地的节目继续播出。播出站播出的时候，优先播放调度到本地的节目，当网络中断的时候，已经调度到本地的节目可以继续播放完成。在程序继续播出的情况下，整个程序由网络播放的状态直接转换为本地播放的状态。确保网络、服务器出问题后，直播站工作的连续性，特别保障了所有的广告与所有的节目版头以及已经录播节目的安全连续播出，使播出不会由此遭到中断，保障了在网络系统瘫痪情况下能应急播出。

2.5.6 网路中断的情况下的本地播出

对于事先不在播出单上而是由主持人临时查询后播放的节目，由于不会有调度到本地播放的过程，播出程序需要有相应的缓冲机制，在播放的同时，对该文件进行本地缓存。保证在短暂的网络堵塞情况下，播出不会中断。而且经过短暂的缓冲，可以把正在播放的节目缓存到播出站本地，这个时候网络中断了，也不会影响该音频的播放。

安全播出是广播电视的生命线，该制播网络系统利用先进的网络安全技术，建设功能完善、技术领先的软、硬件支撑平台，实现电台各项业务的安全运行，网络系统的安全性设计大大保障了广播音频制播网络系统的安全。

采用数据池进行制播网络音频文件安全存储，数据的安全性得到充分保证。同时，数据池技术可在损坏的硬盘或者节点维修好或新更换的硬盘后重新接入系统，通过简单配置后就能恢复系统数据的镜像，而不影响系统的所有应用。

2.4工作站安全

方式一：对于播出工作站，采用主备冗余设计，具备自动故障切换能力，确保某台工作站状态异常情况下，可切换至备播出站播出，实现不间断运行。

方式二：对于工作站系统，采用域安全策略，限制用户策略访问，采用Windows 域管理方式，对域用户帐户的密码策略的相关限制，实现工作站操作系统安全。

方式三：屏蔽光驱、USB口等，保证硬件层面的安全。

方式四：系统补丁，保证系统层面安全。

图3 域安全策略图

2.5播出安全设计

播出护安全是广播技术部分的重要工作任务，在系统日常运行中，需要采取各项措施，保证系统的安全、稳定运行。以下列举了播出中的几点重要措施。

2.5.1文件质量监测分析

在节目输出时，包括对所有录制站新发节目时，对音频文件进行质量审核，检查文件格式、相位、电平、大块静音、故障帧等参数进行自动监测与分析，是否合格，以保证输出节目的质量。自动判断修改过的节目，及时分析处理，对音频文件的电平、相位进行校正和归一化处理。

2.5.2节目单编排监测报警

对播出系统各频道节目单的编排情况实时监测和报警，当进行节目编排时候，包括对系统节目编排不足，未编排、数据记录和音频文件不符、音频文件丢失等异态将相应报警提示信息。报警方式可选择包括通过屏幕、语音和短消息等手段。

2.5.3多库多指向自动切换

主备节目库之间自动进行增量同步，保证各个频道的主数据库以及音频文件，与备数据库和备份音频文件保持完全的同步，从而保证了整个播出系统得所有播出内容具有双重的热备。

2.5.4主备播出服务

系统中，每个频道直播间都配置了一主一备两台播出站，其中备播站通过心跳线监测主播的播出，正常情况下，备播站处于哑音的状态，当备播站监测到主播站出现故障自动从静音状态变为放音，保证播出。

2.5.5本地播出出服务

播出系统配置相关的调度机制，能及时的把播出服务器上关于播出的新的变动调度到播出站本地，保证当服务器或整个网络都失效的时候，播出站仍然可以依靠本地的节目继续播出。播出站播出的时候，优先播放调度到本地的节目，当网络中断的时候，已经调度到本地的节目可以继续播放完成。在程序继续播出的情况下，整个程序由网络播放的状态直接转换为本地播放的状态。确保网络、服务器出问题后，直播站工作的连续性，特别保障了所有的广告与所有的节目版头以及已经录播节目的安全连续播出，使播出不会由此遭到中断，保障了在网络系统瘫痪情况下能应急播出。

2.5.6 网路中断的情况下的本地播出

对于事先不在播出单上而是由主持人临时查询后播放的节目，由于不会有调度到本地播放的过程，播出程序需要有相应的缓冲机制，在播放的同时，对该文件进行本地缓存。保证在短暂的网络堵塞情况下，播出不会中断。而且经过短暂的缓冲，可以把正在播放的节目缓存到播出站本地，这个时候网络中断了，也不会影响该音频的播放。

安全播出是广播电视的生命线，该制播网络系统利用先进的网络安全技术，建设功能完善、技术领先的软、硬件支撑平台，实现电台各项业务的安全运行，网络系统的安全性设计大大保障了广播音频制播网络系统的安全。