物理隔离内网无外网实现国产时钟服务器授时建设方案

物理隔离内网无外网实现国产时钟服务器授时建设方案

——面向涉密、军工、油气与电力场景的离线闭环授时工程要点

摘要：在军工、涉密信息系统、油气场站、变电站等关键基础设施中，大量业务网络执行严格物理隔离管控，禁止接入互联网，无法使用公网NTP授时源，部分场景还存在GPS使用限制。本文围绕纯北斗、全国产化时钟服务器搭建离线闭环授时体系，依次梳理合规边界、总体架构、天馈工程设计、协议选型、失锁守时、时间溯源、运维告警与验收计量要求，解决隔离内网无外网、无公共授时源条件下的时间基准统一难题，为方案设计、集成实施与项目验收提供参考。

关键词：国产时钟服务器，时钟同步服务器，ntp时钟源服务器，北斗ntp时钟服务器

一、场景约束与合规边界：隔离内网为什么不能依赖公网授时

常规信息化系统的时间同步大多直接调用互联网公共NTP服务器，由若干公网时间源承担全网校时任务。这种模式在物理隔离专网中并不成立：隔离的核心要求是网络链路与外网零连通，不存在跨网摆渡通道，公网授时源也就天然无法接入。一旦强行保留一条通往公网的时间链路，隔离本身即被打破，这是方案设计的第一条硬边界。

从自主可控角度看，境外卫星系统和境外时间源存在信号欺骗、干扰压制以及供应链层面的不确定性，关键基础设施对整机国产化的时序设备存在刚性需求；从合规角度看，等级保护对日志审计、事件追溯与故障研判都要求全网时间基准统一，时间证据可信。时间偏差过大会导致告警时序错乱、审计记录失效、事故复盘无法举证，这类问题在事后追责阶段往往比精度指标更难弥补。

工程上最常见的误区是“接上北斗天线就等于完成授时”。实际并非如此：卫星信号只是原始的时间输入，隔离内网真正要构建的是“信号接收—本地守时—内网分发—可计量溯源”的完整闭环。只解决第一环，一旦天线被遮挡、馈线老化或者受到干扰，内网立刻失去时间基准，而且没有任何本地备份手段可用。

因此，隔离内网的授时设计需要同时满足三项约束：全程不依赖任何外网时间源；卫星工作模式可按管理要求限定为单北斗；时间基准能够以计量证书和运行日志的形式完成溯源与举证。以下各章围绕这三项约束展开。

二、总体架构：一级母钟、二级子钟与终端的三级时间分发

整套方案以北斗授时的一级母钟作为隔离内网**的时间基准源，按“基准层—分发层—终端层”三级组织，全部设备与链路均部署在内网侧，不设任何对外通信通道。

基准层（一级母钟）。核心设备为整机全国产化的企业级授时服务器，负责接收卫星信号、解算标准时间，并经内部驯服算法校准本地时频源，向下提供网络授时服务。以同步天下SYN2036型NTP时钟服务器为例，其接收机可通过串口指令切换单GPS、单北斗、GPS北斗混合等卫星工作模式，从而满足仅接收北斗信号的管理要求；整机采用双核ARM处理器、512MB内存与4GB存储，NTP请求处理能力大于每秒16000次，用户容量支持数万台客户端，属于一级企业级授时设备；同时输出1PPS秒脉冲与RS232串口TOD时间信息，前面板可显示年月日时分秒、收星颗数与工作状态，在无外网运维通道的隔离机房中便于现场巡检。

分发层（二级子钟或边界时钟）。跨楼栋、多机房或大型园区场景，在一级母钟之下增设二级子钟或PTP边界时钟。一级母钟向二级子钟授时，二级子钟再向本区域终端分发，主干网的流量抖动和链路拥塞因此被隔离在局部时间域内，不会传导到全网。油气联合站、大型变电站、涉密园区多机房组网属于典型适用场景；终端数量少、拓扑扁平的小规模隔离内网，可由一级母钟直接面向终端，不必为架构完整而强行增加层级。

终端层。终端层包含服务器、工控设备、安全设备、数据库、存储以及安防子钟等各类节点，通过NTP或IEEE 1588 PTP接收时间信号，统一对齐内网基准。终端侧的重点不是逐台配置，而是通过批处理方式统一**时间服务器地址与同步间隔，避免漏配节点成为运维盲区。

三级架构的划分依据是精度与故障域的差异，而不是设备数量。基准层承担**可信时间源，分发层承担故障隔离与流量收敛，终端层承担逐点对齐。三层职责清晰，后续的天馈、协议、守时与验收设计才能各自对应到具体位置。

三、前端信号接收与天馈工程：决定母钟能否稳定驯服

北斗信号属于弱信号，而隔离机房多位于室内、地下或机柜间，天馈工程因此成为隔离授时项目最高频的故障来源。母钟精度指标再高，若天线安装位置不当或馈线损耗过大，实际表现也会明显劣化。

天线选址。天线应选用北斗授时专用天线，安装在视野开阔、无遮挡的位置，避开金属顶棚、女儿墙阴影、高压线缆与大功率射频设备。工程标配通常为带安装支架的蘑菇头天线，安装后需在母钟本地查看收星颗数与信噪比，作为后续验收的前置记录。

馈线损耗。馈线长度必须与损耗核算绑定。常见做法是按现场条件选用固定长度的成品馈线，超过一定距离后改用更低损耗规格或增加有源放大；若使用有源天线，还需确认馈线供电与设备端口匹配。线缆长度不足或过长都会引入问题，前者迫使天线移位至遮挡区，后者抬高损耗并降低信噪比。

屏蔽与接地。涉密与强电磁环境中的天线线缆应加装屏蔽套管，屏蔽层单点接地，避免形成地环路把干扰引入接收机。机房内设备接地与建筑等电位接地体可靠连接，天馈接地与设备接地不得随意混接。

防雷。防雷分为直击雷防护与信号浪涌防护两部分：室外天线支架纳入建筑直击雷保护范围，天馈线入口加装专用天馈避雷器，接地引下线独立敷设。雷击损坏往往同时击穿接收模块与网口，事后难以判断故障起点，因此避雷器应作为设计的固定项而不是可选项。

天馈施工完成后应留存三项记录：天线安装位置与朝向照片、馈线长度与损耗核算表、接地电阻测试值。这三项资料在涉密与电力项目验收中经常被抽查，缺失时需要返工补测。

四、授时协议选型：NTP与PTP在隔离内网的适用边界

隔离内网虽然离线，仍需按业务精度要求选择同步协议。两种协议并非替代关系，混选、混用都会带来额外风险。

NTP的适用面。NTP部署简单、兼容性最好，可覆盖服务器、防火墙、操作系统、数据库等绝大多数IT设备，同步精度处于毫秒级，能够满足日志审计、运维追溯与业务系统时间对齐需求，是涉密内网与办公隔离网的**。设备侧应完整支持NTP v1至v4、SNTP标准协议，并兼容Windows、Linux、UNIX等多种操作系统的校时方式，避免出现个别系统无法接入的情况。

PTP的适用面。IEEE 1588 PTP可达到微秒乃至纳秒级同步，适用于电力保护装置、工业控制系统、高速采集设备等实时控制业务。PTP对链路有额外要求，沿途交换机需支持PTP透传或透明时钟功能，并具备相应的抖动补偿能力，否则精度优势无法体现。

组网原则是“一次规划、分域实施”：普通IT业务以NTP为主；工业控制、继电保护、高速采集节点单独组成PTP时间域，与NTP域在逻辑上隔离，避免两类报文互相干扰。母钟需同时具备NTP与PTP输出能力时，应通过独立端口或独立网口输出，而不是在同一端口混合承载。

表1　NTP与PTP在隔离内网中的选型对比

五、卫星失锁后的守时能力：离线场景的核心保障

北斗信号受天气、遮挡、电磁干扰与人为压制影响，存在临时失锁的可能。公网NTP场景下失锁影响有限，换一个时间源即可恢复；隔离内网没有备用外部时间源，失锁后的守时能力直接决定整套系统可用性，这是离线方案与常规方案最本质的差别。

卫星信号丢失后，母钟停止驯服，切换至内置时钟源自主运行，依靠此前长期驯服积累的漂移模型对钟源固有偏差进行修正，继续输出时间信号。母钟在此阶段不再有外部参考，只能依靠本地时基维持精度，工程上称之为保持（Holdover）状态。

时钟源等级。内置时钟源的等级决定可维持的失锁时长。标配的温补晶振成本低、体积小，适合短时失锁与预算受限场景；驯服恒温晶振的短期稳定度更好，可覆盖数小时至数天量级的失锁；铷原子钟的长期稳定度最优，适合数天至数周的高精度离线守时。具体偏差曲线与保持时长必须以厂家实测数据或第三方测试结果为准，不能仅按类型名称判断。

表2　常见内置时钟源的适用边界对比

选型方法是从业务倒推：先明确业务可接受的最大时间偏差，再估算该站点可能出现的连续失锁时长，最后据此选择时钟源等级。只看卫星正常状态下的授时精度、忽略失锁指标，是隔离项目中最常见的选型失误。

设备层面的可靠性设计同样重要。软硬件看门狗可在程序异常或死机时自动复位，避免失锁状态叠加系统宕机；双电源无缝切换可消除单路供电故障造成的服务中断。这两项在隔离机房中往往无法快速到场处理，属于应以设计手段提前消除的风险。

六、时间溯源链路：离线系统如何对接国家授时体系

隔离内网全程离线，却仍需回答一个绕不开的问题：内网时间凭什么被认为准。溯源设计分为在线计量标定与离线运行两个阶段，二者缺一不可。

第一阶段：入网前标定。设备进入隔离专网之前，在具备资质的计量环境中，用可溯源至国家标准时间频率的测试设备对母钟进行校准，比对1PPS与串口时间输出，出具计量证书，完成设备本体溯源。这一步在物理上发生在“入网之前”，因此不与隔离要求冲突。

第二阶段：离线运行。设备迁入隔离内网后不再对外通信，依靠标定后的接收能力与守时单元持续运行。北斗系统时间本身溯源至国家标准时间，母钟接收北斗信号即间接与国家标准时间对齐；运行期间通过本地日志记录授时事件，形成可核查的运行证据链。

溯源台账应包含计量证书、校准记录、天线与接地施工记录、运行日志导出件，并按周期安排复校。复校需要将设备或参考标准移出隔离区，属于必须提前纳入年度计划的动作，而不是故障后的补救措施。缺少台账的项目，即使精度达标，也常在测评阶段被判定为“无法举证”。

七、运维监测、告警机制与安全加固

隔离内网没有外网运维通道，所有状态感知必须在内网本地完成。母钟应提供网页管理、加密远程登录与网管协议接口，接入内网既有运维平台，避免形成只能现场查看的黑盒设备。

监测指标应覆盖四类：卫星状态类，包括收星颗数与信噪比；时钟状态类，包括驯服状态、保持状态与本地偏差；服务状态类，包括请求量、会话数与响应时延；设备状态类，包括电源、温度与运行时长。四类指标同时具备，才能在故障初期区分“信号问题”与“设备问题”。

告警设计建议分级：卫星失锁、时间超差、设备故障分别触发不同级别，并通过干接点输出接入机房动环或声光告警，保证在无网络通道时仍能被人感知。告警信息仅在内网转发，不得配置任何外发通道。

安全加固方面，应启用访问控制与防火墙策略，开启SYN-flood防御，限制可发起授时的源地址范围；管理入口使用加密协议，关闭不必要的服务端口；固件升级与参数备份通过内网本地完成，并留存升级记录。母钟作为全网时间源，一旦被攻陷将影响所有下游节点，其安全等级不应低于同级网络设备。

日常运维以“看趋势、留证据”为主：定期核查天线外观、馈线与接头、接地状况；抽样比对关键终端的同步偏差；按月导出运行日志与告警记录归档。日志容量应按最长审计周期估算，避免关键时段记录被覆盖。

八、项目验收与计量核查要点

验收分为功能性测试、精度测试与资料核查三部分，三者都通过才构成完整验收。

功能性测试。验证卫星驯服是否正常、失锁后能否自动转入保持状态、恢复后能否自动重新驯服；验证NTP与PTP分发功能、双机或双网口冗余切换是否有效；同时验证网络隔离特性，确认设备不存在主动向外发起的连接。这一项在涉密项目中通常由测评方单独核查。

精度测试。用时间频率测试设备比对母钟的1PPS输出与串口时间信息，记录秒脉冲同步误差；对下游典型终端抽样测量同步偏差，核对其是否落在设计指标内。测试应覆盖卫星正常、临时失锁、恢复驯服三种状态，只测正常状态不足以说明系统可用性。

资料核查。重点核查计量校准证书、天馈与防雷接地施工记录、系统架构图、安全配置说明、运行日志与运维台账。涉密、电力、油气项目的退回意见多集中在这一环节，而非设备性能本身。

九、方案局限性与优化方向

本方案能够解决零公网隔离内网的时间基准统一问题，但仍有明确边界，需在方案阶段如实说明。

单北斗接收对可视卫星条件更敏感，密闭地下空间、隧道与强遮挡站点的收星质量较差，需要外引天线或适当提高守时等级；铷钟等高稳定钟源成本明显上升，应在预算与精度需求之间权衡；溯源复校依赖离线送检，无法远程自动完成，必须纳入年度计划。此外，仅接收北斗特定频点的接收机在选型时需与当地信号覆盖情况一并确认。

优化方向有三条：一是基准层采用双机冗余或双母钟集群，通过互为备份的授时地址消除单点失效；二是供电与告警全部按冗余配置，把可预见的硬件故障转化为可切换事件；三是按站点环境定制宽温机型与光口输出，适应户外机柜、无人站房等边缘部署条件。

参考文献

[1] 全国信息安全标准化技术委员会. GB/T 22239—2019 信息安全技术 网络安全等级保护基本要求[S]. 北京: 中国标准出版社, 2019.

[2] 全国信息安全标准化技术委员会. GB/T 39786—2021 信息安全技术 信息系统密码应用基本要求[S]. 北京: 中国标准出版社, 2021.

[3] MILLS D, DEL MAR S, DICKENS J, et al. RFC 5905: Network Time Protocol Version 4: Protocol and Algorithms Specification[S]. IETF, 2010.

[4] MILLS D. RFC 2030: Simple Network Time Protocol (SNTP) Version 4 for IPv4, IPv6 and OSI[S]. IETF, 1996.

[5] IEEE. IEEE 1588—2019 Standard for a Precision Clock Synchronization Protocol for Networked Measurement and Control Systems[S]. New York: IEEE, 2019.

[6] 中国人民解放军总装备部. GJB 2991A—2008 时间同步系统通用规范[S]. 北京: 中国标准出版社, 2008.

[7] 中国科学院国家授时中心. 北斗授时与时间频率溯源技术资料[R]. 西安: 中国科学院国家授时中心.