量子城域网建设设备系列（三）：网络管理系统（NMS）

在量子保密通信网络中，需要对整个网络的设备进行集中管理和统一维护。主要包括对设备的状态监控、异常告警的采集分析、拓扑管理、设备参数配置、业务策略控制等功能。基于这些需求，在实际的工程应用中，我们通常采用量子网络管理系统（Network Management System）实现上述功能。本文我们就对NMS进行初步的综合性介绍。

1.NMS的基本概念

老规矩，先看实物，下图为国盾量子研发的量子网络管理系统。网络管理系统由硬件平台和软件系统组成，硬件一般来说均为机架式产品，可以根据软件部署及接口需求采购标准产品。对于厂家来说，主要工作为管理系统的研发。

此系统主要解决的是量子保密通信网络，尤其是融合经典设备的量子保密通信网络的安全统一接入、综合监控以及自监控管理的方法与技术实现。QKDN 网络管理应支持量子保密通信网络的拓扑管理、配置管理、资源管理、故障管理、性能管理、维护管理和安全管理，管理对象为量子保密通信网络的网元设备及其组成的网络和网络上的业务。

2.NMS的用途与用法

我们还是基于整个QKDN的架构对NMS的用途和用法进行讨论，QKDN架构图如下。

QKDN 网络管理采用分层管理模式，从逻辑功能上划分为网元管理系统(EMS)、网络管理系统(NMS)。其中EMS系统为各个厂家的管理系统，可以对本厂家的QKDN设备进行配置、操作和维护，而NMS是可以管理不同厂商的QKDN网络，实现整个网络上业务的管理和监控。其中网络管理系统按照分层架构可以划分为QKDN控制层管理功能、密钥管理层管理功能、量子层管理功能、跨层管理功能。

在QKDN的管理层中，QKDN 网管系统负责整个 QKDN 的故障管理、配置管理、计费管理、性能管理和安全性管理(FCAPS)，并支持与用户网络网管系统的对接。它包含以下功能模块。

故障管理功能：负责监视、检测、诊断及修复QKDN 发生的故障问题。在发生故障时，还可向QKDN控制器提供支持，以根据需要对密钥中继路径进行路由选择和重路由控制；
配置管理功能：负责管理QKDN 资源的提供、配置和发现，以及QKDN拓扑结构的获取和管理。当 QKDN 支持密钥中继功能时，它也可协助QKDN控制器来提供密钥中继路由；
计费管理功能：负责统计密钥提供服务的使用情况以及对计费系统提供支持；
性能管理功能：负责监视和分析QKDN管理资源的性能状态。它还支持 QoS保障、QoS策略管理和 OKDN 性能信息的可视化展示；
安全管理功能：负责从QKDN采集或接收与安全相关的管理信息，支持密钥生命周期管理，并管理 QKDN 中的身份鉴别、权限管理、访问控制等安全功能。

QKDN 网管系统将分别针对量子层、密钥管理层和 QKDN 控制层的需求执行基于FCAPS 的管理功能，具体包括如下要求。

QKDN 控制层管理功能：QKDN 网管系统应为QKDN 控制层中的网元及功能模块提供 FCAPSa)管理功能。该功能还负责辅助QKDN控制器在发生故障和/或性能出现问题时控制密钥中继路由的提供和重选；
密钥管理层管理功能：OKDN网管系统应为密钥管理层中的网元及功能模块提供FCAPS管理b)功能，该功能还负责辅助QKDN控制器进行密钥生命周期管理；
量子层管理功能：QKDN网管系统应为量子层中的网元及功能模块提供FCAPS管理功能；
跨层管理编排功能：QKDN网管系统应支持对QKDN控制层、密钥管理层和量子层的网元及功能模块的管理决策和执行进行统一的协调编排。该功能还负责与其他OKDN外部的网管功能(特别是用户网络网管系统)进行管理信息交互。

3.NMS实现原理

在这里我们结合实际的NMS系统专利，对其实现原理进行讨论。该系统的结构示意图如下图所示。

可以看出，本系统主要包括统一接入模块、自监控代理模块、综合拓扑模块等，主要实现整个网络的拓扑管理功能（拓扑视图、拓扑自动发现、网络监视、拓扑信息同步与存储），配置管理功能（网元管理、业务配置管理、密钥输出策略配置管理、网络配置数据管理），资源管理功能（网元&板卡和端口管理功能、IP资源管理、业务信息管理、资源预警、资源数据报表管理），故障告警功能（告警信息、告警类型&级别和状态、告警原因、告警处理等），性能管理功能（性能监测、性能查询和分析统计、端到端性能管理），维护管理功能（软件或配置文件更新、设备日志、设备重启），安全管理功能（权限管理、系统日志等）；具体模块描述为：

统一接入模块：通过CORBA、REST、SNMP等多种接口协议对量子、数通、传输等不同厂商设备管理系统进行统一接入，并将量子与经典网络的配置、告警、性能等管理信息通过API上报采集处理模块；
自监控代理模块：识别支持的服务器架构及操作系统，并通过命令行接口获取量子设备管理系统自身服务器的配置数据、告警信息、性能参数等管理信息；
采集处理模块：主动定期采集、同步量子与经典网络的配置数据、告警信息、性能参数等管理与监控信息，并进行适配、分析与处理；能够进行故障处理、压缩，以及性能指标报表统计、门阀值越限分析和预警，智能化巡检等；
量子存量管理模块：负责量子网络的设备、插板、端口、软件、面板图等存量信息的管理功能，存量规模报表呈现，以及进行存量信息手工同步等功能；
经典存量管理模块：负责经典网络的设备、插板、端口、面板图等存量信息的管理功能，存量规模报表呈现，以及进行存量信息手工同步等功能；
故障监控模块：负责量子和经典网络、链路异常等故障信息的订阅、管理与监控等功能，以及故障标准化、故障策略管理、告警操作(确认、派单等)、光声控制等功能。故障信息括：时移攻击、强光攻击、探测器异常、量子信道链路异常、成码率过低、密钥量不足、光丢失、经典链路中断等。
智能巡检模块：负责性能巡检指标、对象、策略设置，性能巡检任务制定，性能巡检报表展示。性能指标或报表包括量子网络状态、成码率、错误率、量子密钥使用情况，经典光功率、流量，CPU、内存、硬盘使用率等；
综合拓扑模块：负责量子与经典网络拓扑视图管理与展示，首创综合拓扑订阅，使量子与经典网络能够同时展示与监控，全景拓扑与局部拓扑任意切换，大大提高运维效率。
自监控管理模块：负责自身服务器主机的配置数据、告警信息、性能参数、日志信息等管理信息的呈现与监视。配置数据包括：服务器主机信息，CPU、内存、硬盘、网卡等配件信息；告警信息包括CPU负载、内存使用率、硬盘使用率过高，应用进程、文件系统异常等；性能参数包括：包括CPU负载、内存利用率、硬盘利用率，应用进程、文件系统、磁盘空间和吞吐等；安全管理信息包括：入侵、漏洞等安全事件、错误日志等；
安全管理模块：负责系统用户、角色与权限管理，以及系统的日志审计管理；负责密码安全体系和数据加密体系管理，使用CORBA SSL、REST SSL、SNMP V3接口，SM4加密算法等软件安全技术，结合密码卡硬件，进行系统安全认证和数据传输加密，大大的提高系统的安全性和稳定性。