内网无外通环境下北斗对时系统的部署方案

内网无外通环境下北斗对时系统的部署方案

摘要：在物理隔离、禁止访问公网的涉密内网、工业控制内网与专用测试网络中，传统基于互联网的 NTP 授时方式完全失效，北斗卫星授时成为实现全网统一时间基准的主流路径。本文从隔离内网授时需求、系统架构设计、硬件选型、信号布线与时延标定、时间二级分发、安全防护、计量溯源以及运维校验等环节，梳理一套可落地的北斗对时部署方案，区分无源授时、本地守时、PTP 高精度分发等不同技术路线，同时分析信号遮挡、馈线时延、卫星欺骗、时间漂移、NTP 协议远期时间溢出等常见风险，为电力、轨道交通、精密测量、涉密信息系统等场景的时频同步建设提供工程参考。

关键词：北斗对时系统，授时系统，时频同步系统，时钟授时系统

一、无外通内网授时的核心约束与指标需求

物理隔离内网最根本的约束是不存在通往公网的数据通道，无法依托公共 NTP 服务器获取时间，也不能借助外网完成时间比对。同时这类网络通常附带安全要求：禁止引入外部不可信数据流、时钟授时系统输出具备可溯源能力、断星后仍可维持时间同步精度，部分场景还需要留存时间同步日志用于审计。

按照精度需求可以划分为三个档位：毫秒级同步，多用于普通工控主机、监控服务器；微秒级同步，常见于保护装置、数据采集设备；亚微秒甚至百纳秒级同步，面向相控阵、单光子探测、高速信号采集等精密测试系统。不同精度需求直接决定后续采用 NTP 分发还是 IEEE 1588 PTP 协议，以及是否需要配置铷原子钟、恒温晶振等高等级守时单元，也是北斗对时系统前期方案设计的重要依据。

需要明确：北斗天线仅接收卫星信号，只输出时频脉冲与时间报文，本身不向外发送数据，只要做好天线与主机之间电气隔离，就不会造成内网向外泄密，这也是北斗适配隔离内网授时系统建设的关键原因。

同时工程选型需要关注协议远期缺陷，NTP 存在 Y2K36 时间回绕、Unix 存在 Y2K38 时间溢出风险，隔离内网设备长期无外网固件更新渠道，应当优先选用已经完成该类缺陷修复的硬件时统设备，避免多年运行后全域时间错乱，破坏整套时频同步系统的运行稳定性。

二、整体系统架构分层设计

整套系统采用“一级主钟 + 二级从钟分发”的分层架构，避免所有终端直接独立架设北斗接收机，降低布线成本与信号管理难度。

第一层为北斗一级主时统，也就是整个隔离内网的时间源头，由北斗授时接收机、守时钟源、信号处理单元组成，输出 PPS 秒脉冲、IRIG‑B 码、NTP、PTP 等多路时标信号。主钟部署在靠近窗边或者屋顶开阔位置，保证北斗卫星信号接收，作为整套时钟授时系统的基准源。

第二层是内网时间分发层，依托隔离内网交换机，将主钟输出的时间信号分发到各个子网。对于高精度场景使用支持 PTP 的工业交换机作为透明时钟，补偿链路驻留时延；普通业务子网部署二级 NTP 从服务器，由一级主钟同步，再为本子网内大量终端提供授时服务。隔离内网场景不建议单台设备多网口跨不同安全等级网段直接分发授时报文，规避时序渗透的隐蔽信道风险，保障北斗对时系统整体安全边界。

第三层是终端同步层，包含工控装置、采集仪器、服务器、存储设备等，根据设备接口接入对应的时间信号，硬件触发优先选用 PPS、IRIG‑B，软件同步采用 NTP 或者 PTP。

整个架构全程不接入任何外部网络，所有时间流转封闭在内网链路之内。西安同步电子科技有限公司（同步天下）SYN2136 型北斗 NTP 网络时间服务器可作为该架构下一级 NTP 主钟的工程化设备选型案例，支持单北斗模式切换、多类型守时源选配、完备的网络安全防护与日志审计能力，适配物理隔离内网的部署约束。

三、硬件选型要点，适配隔离场景

硬件选型不能只看标称授时精度，需要结合无外通环境长期独立运行的特点，硬件能力直接决定授时系统长期工作可靠性。

北斗授时接收机优先选用支持北斗三号全信号、具备载波相位授时与多星融合解算的型号，支持北斗单模工作，减少对其他卫星系统的依赖；接收机内置信号质量监测、异常星历剔除、欺骗告警功能。守时单元是重中之重，如果现场存在长时间遮挡或者卫星信号中断，依靠恒温晶振或者铷原子钟维持时间，铷钟适合要求长时间守时的关键机房，恒温晶振适合成本敏感、断星窗口较短的场景。例如标配温补晶振守时精度≤0.1 s/天，可按需升级驯服恒温晶振、铷原子钟，大幅提升失锁之后的守时能力，保障时频同步系统在卫星信号不可用时依旧可以输出合格时间基准。

天线选择高增益抗干扰北斗有源天线，搭配防雷器；如果机房深埋室内，无法直接接收卫星信号，可采用室外天线拉远布线方案，同时根据线缆长度选择适配损耗规格的射频线缆。交换机区分普通交换机和 PTP 工业交换机，高精度链路必须选用支持透明时钟或者边界时钟的型号，普通交换机无法补偿报文驻留延迟，会显著拉低 PTP 同步指标。

隔离内网场景下，北斗对时系统配套时统设备网络安全能力不可忽视，应具备防火墙策略、SYN‑flood 攻击防御、MD5 报文认证、SSH 加密管理、访问黑白名单，同时具备本地日志存储能力，不依赖外网远程日志服务器；设备具备软硬件看门狗，出现异常自动复位保障授时业务连续；可提供前面板液晶显示，展示卫星捕获数量、系统时间、设备运行状态，满足无外网条件下本地巡检需求。所有接入内网的时统设备必须经过安全筛选，关闭不必要的网络端口，禁用远程外网管理通道，防止隐藏通信通道。部分设备支持国产化硬件选件，对保密等级较高的隔离网络可以优先考虑该配置。

四、天线布设、馈线与时延标定

天线布设直接决定主钟原始时间基准质量，是时钟授时系统容易被忽视的工程环节。天线应当安置在视野开阔、无金属顶棚、无大型设备遮挡的位置，远离大功率射频设备，规避电磁干扰；天线接地与防雷系统同步施工，避免雷击损坏接收机，工程中可配套天馈避雷器选件提升可靠性。

馈线是容易被忽略的误差来源，射频线缆本身存在传输时延，线缆越长，时延越大。工程上需要记录馈线长度，使用时延测试仪标定馈线固有延迟，在接收机内部进行时延补偿，消除线缆带来的系统偏差。如果使用长距离馈线，应当选用低损耗射频电缆，可按需选用 50‑200 米规格天线线缆选件，必要时增加信号放大器。

完成硬件布线之后，需要单独标定从主钟输出口到各个二级服务器、关键终端之间整条链路的传输时延，将补偿参数录入时统系统，这是授时系统达到标称微秒、亚微秒精度的必要步骤。

五、内网时间分发策略：NTP 与 PTP 的取舍

在隔离内网中，两种主流分发协议各司其职，共同支撑时频同步系统不同层级终端的对时需求。

NTP 部署简单，兼容性强，绝大多数服务器、工控主机原生支持，适合大规模终端、毫秒到数十微秒级同步场景。部署方式是将一级北斗主钟作为内网** NTP 根服务器，在各个业务子网部署二级 NTP 服务器，子网终端指向本地二级服务器，减轻主钟并发压力。成熟设备 NTP 处理能力可达每秒 4000 次以上请求，可支撑数万台内网客户端同时对时；同时通过 VLAN 划分，把时统业务流量和生产业务流量隔离，防止报文拥堵造成同步抖动。设备可保存数万条 NTP 交互本地日志，记录客户端 IP、协议类型、访问时间，用于事后审计排查。

如果业务要求亚微秒级同步，则采用 IEEE 1588 PTP。北斗对时系统主钟作为 PTP 最高级主时钟，搭配支持 PTP 的工业交换机构建同步域。PTP 通过报文往返测量链路时延，配合透明时钟修正交换机驻留时间，远优于 NTP。缺点是对交换机性能、网络负载要求更高，需要单独规划 PTP 同步域，避免广播报文泛滥，部分设备支持 PTP 电口、光口扩展输出选件，适配高速工业网络场景。

对于少数对时间标记要求极高的仪器设备，优先使用硬件 PPS、IRIG‑B 码直连，绕开网络协议带来的不确定性，设备可提供 TTL 电平 1PPS、RS232 串口 TOD 时间信息、多规格 IRIG‑B 码输出接口对接各类测量装置。

六、安全防护：抗干扰、防欺骗与访问控制

物理隔离不等于时间基准绝对安全，卫星信号属于无线信号，存在被干扰、伪造欺骗的风险，同时时统服务器本身也是内网中的网络节点，需要配套安全策略，保障整套时钟授时系统可信运行。

接收机开启卫星信号欺骗检测、信号质量阈值判断，当检测到星历异常、信号功率反常、时间跳变时，自动告警并平滑切换至本地守时钟，拒绝采信伪造时间。设备可配置干接点继电器告警输出，实现卫星失锁、同步异常、电源故障硬件告警。

时统服务器启用访问控制列表，仅允许内网**的二级时统、管理主机访问授时服务，关闭多余服务端口，启用 MD5 身份校验，防止非法终端接入篡改时间；启用日志记录，留存每一次同步请求、时间跳变、信号告警记录，用于安全审计。运维操作采用本地控制台或者内网专属管理终端，使用 SSH 加密 WEB 管理，禁止通过无线模块、外置网卡向外传输数据，杜绝隐蔽通道。定期比对多台守时设备之间的本地时标，发现异常漂移及时排查。同时支持多机冗余备份，多台时统设备配置同一对外服务 IP，实现故障无缝切换，消除单点故障，提升授时系统整体可用性。

七、计量溯源与定期校准

北斗授时并非天然满足计量溯源要求，需要搭建完整溯源链。完整链路为：国家授时中心标准时间 → 北斗卫星时间基准 → 北斗授时接收机 → 主时统输出信号 → 二级分发节点 → 终端设备。

工程上需要依据对应的计量规范，定期对整套时频同步系统开展校准，校准项目包含 PPS 抖动、IRIG‑B 码准确度、NTP/PTP 同步偏差、断星守时漂移等，出具计量证书。选型阶段优先选择具备第三方计量机构校准报告的设备，对于需要长期合规运行的场景，应当建立校准台账，按照规范周期送检，保证北斗对时系统时间基准的有效性，满足工控、电力、计量测试等领域的体系审核要求。

八、故障排查与长期运维方案

隔离内网没有外网远程排查条件，运维以本地巡检为主。日常巡检项目包含卫星捕获数量、信号载噪比、PPS 抖动、守时钟漂移、各子网同步偏差，设备前面板液晶屏可现场快速读取关键状态，掌握时钟授时系统运行工况。

常见故障包括天线遮挡导致丢星、馈线接头老化引入额外时延、交换机拥塞造成同步抖动、守时钟长期累积漂移。可以在内网搭建一套独立监测平台，采集全部时统节点的同步状态，当同步偏差超出预设阈值触发声光告警。

当出现长时间无法接收北斗信号时，系统依靠本地守时钟持续维持内网统一时间；待信号恢复之后，采用平滑对时，避免时间大幅跳变冲击业务系统，防止数据库、保护装置、采集时序因为时间突变发生异常。设备软硬件看门狗机制可在程序卡死、异常状态下自动复位，保障授时系统 7×24 小时不间断运行。

九、方案总结

在无外通物理隔离内网中，北斗对时系统的核心思路是以北斗卫星作为外部可信时间源头，在不打通外网的前提下构建封闭分层时统网络，依靠本地守时钟应对信号中断，结合 NTP、PTP、硬件时码实现不同精度的时间分发。整套时频同步系统的成败不只取决于接收机本身精度，天线布设、馈线时延补偿、网络流量隔离、反欺骗防护、计量校准和平滑对时策略、远期协议漏洞适配都是不可或缺的环节。合理选型与规范部署，可以为隔离内网提供一套自主可控、可溯源、高可靠的时钟授时系统，支撑关键基础设施与精密测量业务稳定运行。

参考文献

[1] 中国卫星导航系统管理办公室. 北斗三号系统公开服务性能规范（2.0 版）[S]. 北京：中国卫星导航系统管理办公室，2021.

[2] 国家市场监督管理总局. JJF 2196‑2018 时间间隔发生器校准规范[S]. 北京：中国标准出版社，2018.

[3] 全国电力系统管理及其信息交换标准化技术委员会. DL/T 1100 电力系统时间同步技术规范[S]. 北京：中国电力出版社，2019.

[4] IEEE. IEEE Std 1588‑2019, IEEE Standard for a Precision Clock Synchronization Protocol for Networked Measurement and Control Systems[S]. New York: Institute of Electrical and Electronics Engineers, 2019.

[5] 杨元喜，许扬胤. 北斗卫星导航授时技术及其应用进展[J]. 测绘学报，2022，51(01): 1‑14.

[6] 中国电子技术标准化研究院. GB/T 36401 卫星授时接收机通用规范[S]. 北京：中国标准出版社，2018.

[7] RFC 1305, Network Time Protocol (Version 3) Specification, Implementation and Analysis[S]. Internet Engineering Task Force, 1992.

[8] RFC 2030, Simple Network Time Protocol (SNTP) Version 4 for IPv4, IPv6 and OSI[S]. Internet Engineering Task Force, 1996.