项目需求书

为落实事业单位机构改革的有关任务，原市电子认证中心整建制并入市大数据管理中心，市电子政务电子认证基础设施迁移至新机房，需保障系统迁移期间不影响电子政务电子认证服务的正常开展。

第一包：天津市电子政务电子认证基础设施迁移服务

属于软件和信息技术服务业

一、服务保障要求

保障现有CA系统（位于天津市南开区水上公园北道26号）迁移至目的机房过程中的安全稳定运行。

1、机房改造

CA系统搬迁至39号院内机房（天津市河西区友谊路39号），相关屏蔽机房、主机房、服务区的基础环境需按照《电子政务电子认证服务管理办法》（国密局发〔2009〕7号）、《基于SM2密码算法的证书认证系统密码及其相关安全技术规范》等文件要求进行改造（此文件从天津市政府采购中心网本项目公告附件下载），涉及门禁、监控等系统，主要包括普通机房RA系统管理区改造；CA系统屏蔽机房改造；服务区改造；门禁、监控系统部署。

（1）普通机房RA系统区改造：在普通机房中建设独立RA系统区域，规划RA区域面积12平方米，采用12mm防火钢化玻璃材质建设，玻璃隔断底部采用40方钢与地面连接，玻璃隔断高度2米；部署一套门禁设备（包括人体特征鉴别与识别卡一体机、门锁、开关按钮、线路等）和一套监控设备（硬盘录像机、监控硬盘、1个摄像头、线路等）。

（2）CA系统屏蔽机房改造：屏蔽机房面积28平方米，在屏蔽机房部署一套门禁设备（包括人体特征鉴别与识别卡一体机、门锁、开关按钮、线路等）、一套独立监控设备（包括硬盘录像机、监控硬盘、2个摄像头、线路等）和一套入侵报警设备（包括探测器、报警主机、声光报警器、线路等），其中报警设备的声光报警器安装在值班室。监控、门禁、报警系统采用机房UPS电源供电。

（3）服务区改造：在机房所在大楼一层办公区，规划一间办公室，作为服务区。服务区改造包括一套门禁设备（包括人体特征鉴别与识别卡一体机、门锁、开关按钮、线路等）和一套监控设备（包括2个摄像头、线路等，与RA系统区域监控共用硬盘录像机）。

（4）门禁、监控系统部署：在机房建立新的独立的门禁系统，规划三套门禁设备（包括人体特征鉴别与识别卡一体机、门锁、开关按钮、线路等，支持身份识别卡和人体特征鉴别）。根据机房新的规划用途，重新调整机房现有视频监控摄像头的安装位置。

相关改造需购置设备参数要求如下：

序号	名称	技术要求	单位	数量
1	200万半球摄像机	200万像素，支持H.265存储编码、网线供电、录音、移动侦测，红外夜视30m	台	4
2	8口POE交换机	8个千兆PoE电口，1个千兆电口，1个千兆光口，MDI/MDI-X自适应，包转发率不小于14.88Mpps，交换容量不小于20Gbps	台	3
3	硬盘录像机	8路视频接入路数，2个SATA接口盘位，网络输入带宽不小于80MBPS，支持H.265/SMART265视频解码； 视频存储时间不小于90天。	台	2
4	监控专用硬盘	监控级硬盘 5900转 64M缓存 4TB	块	4
5	显示器	屏幕尺寸不小于21英寸，分辨率1920*1080，屏幕刷新率75Hz，屏幕比偶16:9 ★具备中国节能产品认证证书，提供证书扫描件	个	2
6	人体特征鉴别与识别卡一体机（人脸识别）	液晶触摸显示屏不小于7英寸，屏幕比例9：16，屏幕分辨率不低于600*1024； 200万宽动态双目摄像头，面部识别距离0.3-2米，支持照片视频防假，支持远程视频预览，星光级图像传感器； 设备支持人脸库数量不小于10000个，人脸比对时间<0.2s/人； 内置读卡模块，采用屏下刷卡设计，支持IC卡、CPU卡、二三代身份的证序列号识别。	套	5
7	防火玻璃隔断	12mm防火钢化玻璃，防火时间90分钟	平方米	30

2、设备搬迁

在CA系统迁移过程中保障CA系统的正常、稳定运行，搬迁完成后正常提供身份认证服务。

搬迁所有CA系统设备（3个机柜）及备件设备至39号院新址机房机柜，包括服务器、网络设备、安全设备、密码设备、USBkey等相关物品；做好网络、安全、服务器设备的搬迁前信息调研和准备、制定搬迁实施及应急处置方案编制、设备调试、运行保障等服务内容，互联网出口迁移并提供光纤跳线等辅料和网络、安全、服务器等设备的搬迁过程备件服务。

需迁移的现有设备清单：

序号	设备名称	设备品牌	单位	数量
一、机柜设备清单
1	CA系统（软件）	格尔 SZT0901	套	1
2	服务器	华为	台	3
3	服务器	曙光	台	7
4	服务器	五舟	台	2
5	防火墙	启明星辰	台	1
6	防火墙	天融信	台	1
7	交换机	H3C	台	1
8	认证网关	格尔	台	1
9	密码机	三未信安	台	4
10	密码机	卫士通	台	3
11	VPN	天融信	台	3
12	安全设备	网神	台	2
13	磁带机		台	1
14	磁盘阵列		台	1
二、库房设备清单
1	服务器	五舟	台	2
2	防火墙	天融信	台	1
3	防火墙	网神	台	1
4	交换机	华为	台	3
5	认证网关	格尔	台	7
6	液晶显示器		台	8
7	机箱		台	2
8	USBkey	龙脉、飞天诚信	个	2.5万

3、CA系统迁移

将CA系统相关设备从现有机房搬迁至39号院机房的屏蔽机房、主机房，保障设备正常运行。监控设备状态，保障CA系统正常服务，当发现设备故障时，运维工程师到用户现场进行故障诊断及故障排除。在CA系统搬迁过程中，提供专人现场值守、保障设备正常运行。

★现有CA系统为格尔SZT0901，须提供原厂实施迁移服务，需制定CA系统软件迁移调试方案，实施CA系统上下线、数据备份、系统恢复、故障处理、迁移软件二次定制开发，修改完善二级证书系统信息并部署实施，重新与KM系统对接等联调。

完成各个分支节点调试，恢复CA系统业务服务及试运行，包括互联网出口配置、与各RA中心联调、CA系统测试、远程运维管理测试等服务。

（二）运行维护要求

1、提供CA系统迁移过程中的设备监控、故障处理、配置维护、应急处置等维保服务。

（1）运维服务人员监控服务器运行状态、资源使用情况，包括监控记录CPU、内存、磁盘使用情况，排查异常进程等，发现问题及时处理。进行服务器安全性和性能检查，查验系统账号、端口开放情况、报警日志、安全策略和系统服务状态等，发现问题及时处理。除上述维护操作外，还需根据CA系统搬迁需求提供参数调整、设备调试等工作，增加主、从LDAP服务器并部署系统、调试服务。

（2）服务人员监控网络及安全设备运行状态，包括设备CPU、内存运行状态等，并记录准确状态数值。如果有异常情况，及时通知用户相关负责人，并配合查找出现该现象的原因。

制定网络和安全设备的访问控制、入侵检测、病毒防护等安全策略，安全策略须根据实际防护效果进行修改完善；监控设备运行状况、网络流量和用户行为，当发现网络阻塞或中断等问题时，及时组织处理；网络与安全设备配置应有详细的过程和内容记录。

（3）对安全防范系统进行检查、维护。

对机房的监控系统、门禁系统运行状况检查，确保机器正常运行。同时检查监控系统通风、散热、净尘、供电等设施。

对视频监控、门禁系统的传输线路质量进行检查，处理故障隐患。

对易吸尘部份每季度定期清理一次，会有灰尘被吸附在监视器表面，影响画面的清晰度，要定期擦拭监视器，校对监视器的颜色及亮度。

（4）对综合布线系统进行检查、维护。

维护机房综合布线情况，维护内容包括：

清理废弃的网线；

更换接触不良的线缆接头；

对新上架设备的线缆进行规范捆扎；

对新增设备按结构化布线标准布放网线、光纤。

2、项目实施验收后，针对机房改造涉及的门禁、监控系统提供1年的维护服务。

3、电子政务电子认证服务机构认定

迁移后，按照《基于SM2密码算法的证书认证系统密码及其相关安全技术规范》配合完善电子政务电子认证基础设施；按照国家密码管理局相关要求，配合完成电子政务电子认证服务机构认定工作。

加注“★”号条款为实质性条款，不得出现负偏离，发生负偏离即做无效标处理。

 

 

 

 

 

 

第二包：天津市电子政务电子认证基础设施迁移设备

属于工业

一、采购设备要求

按照国家密码管理局要求，电子政务电子认证基础设施迁移过程中，电子政务电子认证服务应保持连续、稳定、可持续，因此迁移前需搭建一套过渡系统提供保障服务。过渡系统遵循最小化原则建设，部署CA、RA系统各需服务器1台，为保障CA、RA系统间数据交换安全合规需密码机1台，与现使用的三未信安密码机形成冗余备份。

按照《基于SM2密码算法的证书认证系统密码及其相关安全技术规范》要求，“CA系统中与关键业务相关的主机、密码设备、在服务网段和核心网段中的服务器应采用双机热备份或双机备份措施”。迁移后，密码机部署至RA系统中形成双机备份，解决单点风险。参考标准规范附录A的网络结构，主、从LDAP系统分别独立部署在两台服务器上，解决主LDAP系统与CA备机系统和从LDAP系统与RA备机系统共用服务器的问题。

服务器及密码机的具体参数要求如下：

序号	名称	技术要求	单位	数量
1	密码机	1、体系结构：专用硬件设备； 2、算法要求：支持SM1、SM2、SM3等国产密码算法； 3、平均故障间隔时间：MTBF≥10,000小时； 4、可维护性：MTTR≤30分钟； 5、性能指标： （1）SM1对称密码算法（128位）密钥加/解密速率：＞300 Mbps； （2）SM2算法(256位）：签名速率700次/秒，验签速率450次/秒； （3）SM3算法运算速率：＞50Mbps； （4）平均故障间隔时间(MTBF)：＞30000小时； （5）支持的最大并发数：＞500。 6、业务功能： （1）支持SM1/AES/3DES对称密码算法； （2）支持SM2非对称密码算法，提供数字签名、验签接口； （3）支持SM3/SHA-256等散列算法； （4）支持对称、非对称密钥的产生，存储和销毁，保证密钥在生存周期的各个环节的安全性； （5）配备物理噪声源随机数产生器； （6）提供访问权限控制，密码机防拆、防撬结构设计，保证物理安全； （7）实时监控系统安全日志； （8）支持热备份、负载均衡； （9）支持Sco Unix、AIX、HP-UNIX、Linux、Windows等操作系统平台API； （10）提供JAVA、C等程序语言API。 7、功耗：≤300W； 8、其他： （1）提供定制服务，实现密钥迁移，并提供现场技术支持； （2）支持与现有服务器密码机设备实现双机热备。	台	1
2	服务器	实配2颗CPU，单颗主频≥2.1Ghz，核数≥12核； 实配1个 32GB DDR4-2933内存； 实配2 块 600GB 10K SAS硬盘； 实配SAS RAID卡； 实配千兆电端口≥4； 实配交流电源数量≥2；	台	2

二、运行维护要求

1、完成所投设备安装调试及上线试运行工作，配合第一包中标供应商完成系统对接。

2、完成所投密码机与现有密码机实现双机热备部署，与现有密码机进行密钥同步。

3、本项目所投设备提供3年原厂质保服务。

加注“★”号条款为实质性条款，不得出现负偏离，发生负偏离即做无效标处理。