中华人民共和国邮政行业标准 邮政金融计算机网络系统工程 设计规范（储蕃部分） YZ/T 0115--2005 条文说明 28 编制说明 邮政金融计算机网络系统工程设计规范（储蓄部分）是根据国 家邮政局国邮【2004】271号文《关于下达国家邮政局2004年第一 批新技术开发项目计划（邮政标推类）的通知》（本项目计划编号 为B200422），对原邮电部于1997年9月发布的《邮政金融计算机网 络系统工程设计替行规定》（YD5042-97）的修订。 随书邮政储蓄业务的发展以及计算机和通信技术的不断进步， 原设计暂行规定已不能指导目前邮政储蓄计算机网络工程的设计。 本规范是在参阅了大量的邮政储蓄网络的技术方案、工程设计，总 结了多年来邮政储鑫计算机网络的建设经验，结合目前技术进步情 况编制的。 本规范主要对邮政金融计算机网络系统（储蓄部分）的工程设 计进行规范，包括邮政金融计算机网络系统的总体要求、系统建设 方案、主机设备配置原则及标准等。主要适用于邮政金融计算机网 络系统（储蓄部分）的方案规划、可行性研究及工程设计。 中讯邮电咨询设计院于2004年8月中旬接到任务后，立即组成 项目组，根据国家邮政局业务主管部门对项目编写范围、深度、格 式及时间进度的要求，明 根据《全国邮政金 融计算机网技术体制》和 系统储蓄应用软件 统一版本工作技术方案》。 九系统（储蓄部分） 的设计规范，设计规范包 储蓄部分）的总体 建设方案、网络结构、省中心（全国中心）、汇接点、网点的设备配 置及相关技术要求。 项组随后开始收集资料，并对河南、广东等省份的邮政储蓄 计算机系统统一版本工程建设情况进行现场调研。至8月底前，项 目组多次与国家邮政局、统一版本建设的省局、系统开发商及本项 目的归口单位国家邮政局科学研究规划院等就本项目的相关工程技 29 术问题进行了交流，得到了上述部门与单位的多方协助，在此基础 上，项目组初步完成了文本编制工作，经内部讨论和审核后进一步 修改完善，最后形成了本规范的征求意见稿。根据邮政行业标准管 理办法的要求，中讯邮电咨询设计院项目组将向国家邮政局计划财 务部（科技处、计划处、工程管理处）、信息技术局、科学研究规划 院邮政标准化技术归口办公室和河南、广东、江苏省邮政局以及北 京市邮政管理局等单位寄送了征求意见稿。2004年12月，国家邮政 局和各省邮政局对本规范的意见陆续返回，·项目组根据意见对设计 规范进行了修改，最终形戒《邮政金融计算机网络系统工程设计规 范》（储书部分）的报批稿。 本规范与原规范相比修改和增加的内容较多，无法按原规范条 文顺序和内容进行解释和说明，现就修订后内容按新条文顺序作如 下说明。 30 1总则 1.0.7在邮政储蓄网的建设中，网络结构、软件设计和数据库设计 是以省数据集中的模式进行设计，但应考虑多省集中的模式，为数 据大集中奠定基础。 目前，邮政金融计算机网（储蓄部分）是以省集中模式建设， 但国内外的建设情况表明，金融网的建设最终都是数据大集中的模 式，因此邮政金融计算机网在规划、设计时应考虑到以后数据大集 中的模式。 31 3 系统方案 3.3系统通信 3.3.3通信带宽测算应按下列方式确定： 1通信带宽的测算主要是计算省中心对汇接点之间的带宽，省 中心对全国中心的广域通信主要采用综合网广域网，通信带宽一般 采用2Mbit/s。 2根据日均交易量计算将依据以下条件：对于省中心业务系统 而言，一笔交易由交易请求包和交易响应包两个交易包组成。其中， 上传包（交易请求包）一般小于1kbyte；下传包（交易响应包）中， 50%小于1kbyte，一般是普通账务类的交易；30%介于1kbyte~ 1.5kbyte之间，一般是单笔管理交易或普通查询交易；20%大于 1.5kbyte，一般为多笔查询、打印类交易，如明细查询、流水查询， 或者是报表、批量文件类的交易。综合考虑每日交易发生的频度及 峰值情况，取数据包的大小为（1+1.5）Kbyte。 3计算事后监督系统所占带宽将依据以下条件： 1）假设全天交易量花6h完成； 2）对于事后监督系 个数据包组成，其 中，上传数据包小于1kh 均值为1.5kbyte，即 (1k+1.5k) byteo 32 5安全保密 5.0.3为确保邮政储蓄计算机网络系统的网络访问安全，系统需要 采用的安全手段主要有访问控制（含VLAN）、防火墙、线路备份、 入侵检测及安全审计等。 1访问控制：用于对邮政储蓄计算机网络系统资源的访问，防 止未经授权而利用网络访问系统资源，利用已得到鉴别的身份或利 用有关的信息，按事先确定的规则实施访问权的控制。 2防火墙：一组计算机硬件和软件的结合体，在外部网与邮政 储蓄计算机网络系统之间建立起一个安全网关，从而保护内部系统 免受非法用户的侵害，同时具有IP地址转换功能，以便对外有效屏 蔽网络内部IP地址，提高网络的安全性。 3人侵检测：在网络安全管理中，除使用一般的网管软件和系 统监控管理软件外，还应使用网络监控设备或实时人侵检测设备， 以便对进出各级局域网的常见操作进行实时检查、监控、报警和阻 断，从而防止针对网络的攻击与犯罪行为。 4安全审计：在邮政储蓄计算机网络系统中，需设置对信息包 及信息包内容监管的系统和设备．用以楼测信息包的异常来源和去 问，对信息包的内容进行 5.0.5数据安全主要包括 备份等方面。 3密钥的管理：邮i 中心的密钥分为三 层，第一层为主密钥，第 三层为数据密钥。其 中数据密钥主要用于对数据进行加密和解密，它受次主密钥的保护， 而次主密钥受主密钥的保护。数据密钥有MAC密钥、敏感数据密钥 和关键数据密钥等。 1）全国中心的密钥管理：全国中心主密钥由全国中心负责产 生、保存和载人。全国中心到各省中心的次主密钥在全国中心产生， 并由全国中心向各省中心分发。全国中心负责与其直接相连接的省 33 中心间的数据密钥的产生和分发。全国中心将根据需要定期或不定 期地向省中心发送重置数据密钥的交易，并传送所产生的密钥；也 可根据省中心发来的申请重置数据密钥的请求产生新密钥，并分发 给省中心。 2）省中心的密钥管理：省中心的主密钥在各省中心产生，次主 密钥由全国中心分发。省中心负费与其相连接的地市、市县局和网点 的数据密钥的产生和分发。省中心将根据需要定期或不定期地向地 市、市县局和网点发送重置数据密钥的消息，并传送所产生的密钥。 34