（计算机应用技术专业论文）通信机房远程监控管理技术的研究与实现.pdf

摘要 随着我国电信事业的快速发展，相关通信部门设置了越来越多的无人值守的 通信基站。根据相关统计数据，网络故障很大部分是通信基站机房的动力系统中 断或者是机房温、湿度环境变化异常导致基站设备无法正常工作；另外由于通信 机房与总公司或分公司之间的距离很远，各机房巡检工作是否按计划执行很难准 确地把握，因此需要对各机房动力及环境参数进行远程集中监控，同时对巡检工 作进行监督，保证其正常工作，使维护和管理从人工被动看守的方式向计算机集 中控制和管理模式转变。 本文首先根据应用需求，完成了系统前置机的功能设计和软件设计。实现了 系统的动力环境检测信息、安全防范告警信息、巡检管理信息、远程控制和管理 信息等的实时采集和传输；实现了告警信息与视频监控信息的联动。在此基础上， 针对现场设备可能出现的死机、应用程序意外退出等问题，研究了基于英特尔主 动管理技术( i n t e l a m t ) 的系统设备的远程监控管理技术。利用英特尔a m t 硬件技术，实现运行于操作系统之下的远程管理，可以在任何操作系统下实现远 程的开关机、复位、系统重启、重新安装系统、通过命令行界面查看系统故障等 功能。解决了软件管理方案在操作系统故障时即无法工作的问题，大幅拓宽了管 理功能的范围，使监控系统从业务到设备都能实现高效的管理。 本系统已经进入实地测试阶段，受到了使用单位和操作人员的好评，一致反 应该系统具有使用简单、界面友好：可靠性高等特点，大大提高了发现故障的及 时性和准确性，保证了巡检工作的正常进行，缩短了设备故障历时，降低设备故 障率，确保了整个通信网络的稳定运行。 关键词：无人值守；通信机房；远程监控管理；英特尔主动管理技术( a m t ) 分类号：t p 3 1 9 | 1 1 a b s t r a c t w i t l lt h ef 破d e v e l o p m e n to ft h et e l e c o m m u n i c a t i o n si no u rc o u n t r y , m o r e a n dm o r e t d e c o m m u l l i c a l i o nm 配h i n er o o m sh a v eb e a n s e tu p a c c o r d i n gt ot h es t a t i s t i c a ld a t a ， 恤n e t w o r kf a u l t sa r em a i n l yc a u s e db yt h ep o w e r i n t e r r u p t i o no rr o o mt e m p e r a t u r ea n d h 1 1 i n i d i t 、，c h a n g e si nt h ee n v i r o n m e n t m o s to f t h et e l e c o m m u n i c a t i o nm a c h i n er o o m s a r cd i s t a n t 舶mm ec o 印o r a t i o n ，s oi t sd i f f i c u l tt om a s t e rt h ec o n d i t i o n so fp a t r o l l i n 辱 s oi t ，sn e c e s s a r yt om o n i t o rt h em a c h i n er o o m s p o w e ra n de n v i r o n m e n t a lp 删e t c r s c e i l 砌l v 鼬ds u p e r v i s et h ei n s p e c t i o nw o r k , e n s u r i n gt h en o r m a lw o r ko tm a c h l n e r o o m s ，m a k i n gat r a n s i t i o nf r o mt h em a i n t e n a n c ea n dm a n a g e m e n to fp a s s t v eg u ：1 r d st 0 t h ec o n t r o la n dm a n a g e m e n to fc o m p u t e rm o d e l s h 1t h i sp a p e r ，id e s i g n e dt h es o f t w a r eo ft h ec o l l e c t i o nd e v i c e ii m p l e m e n t e dt h e i n f o m a t i o nc o n e c t i o na n dt r a n s m i s s i o n o ft h ed y n a m i ce n v i r o n m e n t a lm o n i t o r i n g i n f o 衄a t i o n ，s e c u r i t ya l e r t s ，p o l l i n gi n s p e c t i o ni n f o r m a t i o na n dr e m o t ec o n 仃o i a n d m a n a g 锄锄ti n f o r m a t i o n o nt h eb a s i so ft h i ss y s t e m ，a i m i n g a tt h ep o s s i b l ep r o b l 锨s o ff i e l de q u i p m e n t ss u c ha ss y s t e mc r a s h e sa n da p p l i c a t i o n sw i t h d r a w , is t u d i e d t h e m o l l i t o 曲ga 1 1 dm a i l a g e m e n to fm o n i t o r i n gs y s t e me q u i p m e n t sb a s i n go n i n t e la c 乜v c m a n a g e m e n tt e c h n o l o g y ( i n t e l n m t ) b a s e do nh a r d w a r ew h i c h i ss u p p o r ti n t e l a m t , id e s i g nt h er e m o t em a n a g e m e n ts y s t e mr u n n i n gu n d e r o s s ot h es y s t e i i l1 sn o t d 印e 1 1 d c i l to nt h eo p e r a t i n gs y s t e ma n da b l et or e m o t ep o w e r o no ro f f , r e b o o t ，i n s t a l l o s ，c h e c km cs y s t e i i im a l f u n c t i o nb y s e r i a lo v e rl a n ，e t c t h e r e f o r e ，t h es y s t e ms o l v 懿 m ep f o b l 锄t h a ts o f t w a r es o l u t i o nc a n tw o r kw h e n o si sb r o k e n 。d o w n i ts u b s t a n t i a l l y 协a d e l l st h es c o p eo fm a n a g e m e n tc a p a b i l i t i e s t h e r e f o r e ，t h em o n i t o r i n gs y s t 锄咖 a c h i e v ee f f i c i e n tm a n a g e m e n t o nb o t ho p e r a t i o na n de q u i p m e n t s 1 h es v s t e i i lh a se n t e r e di n t ot h es t a g eo ft h ef i e l dt e s t ，i t h a sg o tt h ec i o n s l s 眦 p r a i s e 6 o mt h eo p e r a t o r s ，w i t h i t se a s y - u s e ，f r i e n d l yi n t e r f a c e , h i g hr e l i a b i l i t y c h a r a c t 耐s t i c s i th a sg r e a t l yi m p r o v e dt h et i m e l i n e s sa n da c c u r a c y o ff i n d i n gf a u l t s ，锄d 哪u 谳i n s p e c t i o nn o r m a l ，t h u ss h o r t e n t h ee q u i p m e n tf a i l u r el a s t e d ，l o w e r e dd o w n 龇 f a i l u r er a t eo fe q u i p m 吼e n s u r e d t h es t a b i l i t yo ft h ee n t i r et e l e e o m m u n i c a t i o 璐 n e t w o r kr u n n i n g k e y w o r d s ：u n a t t e n d e d ；t e l e c o m m u n i c a t i o nm a c h i n e r o o m ；r e m o t em o n i t o r 锄d m a n a g e ；i n t e l a c t i v em a n a g e m e n t t e c h n o l o g y ( a m t ) c 1 a s s n o ：t p 3 1 9 学位论文版权使用授权书 本学位论文作者完全了解北京交通大学有关保留、使用学位论文的规定。特 授权北京交通大学可以将学位论文的全部或部分内容编入有关数据库进行检索， 并采用影印、缩印或扫描等复制手段保存、汇编以供查阅和借阅。同意学校向国 家有关部门或机构送交论文的复印件和磁盘。 ( 保密的学位论文在解密后适用本授权说明) 学位论文作者签名： 意博 签字日期：z 口d 8 年月日 翩签酒 独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作和取得的研 究成果，除了文中特别加以标注和致谢之处外，论文中不包含其他人已经发表或 撰写过的研究成果，也不包含为获得北京交通大学或其他教育机构的学位或证书 而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作 了明确的说明并表示了谢意。 学位论文作者签名：意博签字日期：z 矿 年月日 致谢 本论文的工作是在我的导师张宁副教授的悉心指导下完成的，张宁老师严谨 的治学态度和科学的工作方法给了我极大的帮助和影响。在此衷心感谢三年来张 宁老师对我的关心和指导。 张宁老师悉心指导我们完成了实验室的科研工作，在学习上和生活上都给予 了我很大的关心和帮助，在此向张宁老师表示衷心的谢意。 侯亚欣老师和宋晓红老师对于我的科研工作和论文都提出了许多的宝贵意 见，在此表示衷心的感谢。 在实验室工作及撰写论文期间，文波、桑彩霞、韩杨等同学分别对我论文中 的部分研究工作给予了热情帮助，在此向他们表达我的感激之情。 另外也感谢我的父母，他们的理解和支持使我能够在学校专心完成我的学业。 1 引言 1 1 选题背景 随着我国电信事业的快速发展，网络覆盖的不断完善，各通信公司设置了越 来越多的通信机房。这类机房数目多，设备类型相对统一、简单，地理分布上相 当分散。它们的正常运作需要稳定的电源、传输及适当的环境等条件，这主要取 决于各机房动力和环境的稳定性及可靠性。但是，由于机房设置点多面广，所以绝 大多数没有配备专人值班，因此，如果设备出现异常情况就很难及时发现和排除， 容易产生故障，甚至造成局部通信网络的通信中断，导致通信公司经济和信誉上受 到损失。 为保证移动通信网的正常运行，就必须保证通讯基站内通讯设备的安全、稳 定、可靠运行。传统的维护方式是由工作人员定期巡检，手工记录基站设备状况 及动力环境参数，提交到总公司。这种情况下基站动力、环境异常不能在第一时 间被发现得到及时处理。随着网络规模的不断扩大，单纯采用人工对各个移动基 站进行巡检维护的工作方式已远远跟不上高速发展的通信业务需求。对通信系统 中所有基站的配电设备、蓄电池、空调等多种设备和环境进行计算机化的监视、 控制和管理已经成为必然的需求。因此，对机房动力及环境进行实时远程监控的 系统快速的发展了起来，这类系统普遍采用最新的计算机技术、网络技术及监控 技术，通过实施监控增加对各站电源和环境的巡视，做到对设备故障反应迅速、 判断准确，以及有目的性的维护，提高生产效率，增强设备可靠性，从而有效地 保障整个移动通信网的安全稳定运行。圆 四川省铁通公司有着同样的对远程监控的系统的需求，铁通公司运营着两个 通信网络，一个是为普通居民提供通信服务的通信网络( 简称公网) ，一个是专为 铁路提供服务的通信网络( 简称专网) 。按照需求，通信机房内的各个设备的运行 情况需要能被实时的监控，对于严重的告警事件，还需要能够保存并查看各个监 控点的图像口1 。对机房环境设备的监控主要涉及以下几个方面的内容h 1 ：对配电系 统的监视；对u p s 工作状态的监视；对空调工作状态的监视；对机房的温湿度参 数、漏水、烟雾情况等进行监测、报警；对门禁系统、消防系统、保安系统等进 行管理；对机房巡检计划安排、修改、执行等的管理。嘲 1 2 远程监控技术概述 本节首先介绍远程监控技术，然后介绍其发展及国内外在这一领域的研究现 状，最后简单分析现有系统存在的问题。 1 2 1 远程监控技术概述 监控系统是集计算机技术、控制技术、网络技术为一体的产品，具有控制功 能强、操作简便和可靠性高等特点，它可以方便地用于工业装置的生产控制和经 营管理。目前监控系统的含义是比较统一的，是指具有数据采集、监视、控制功 能的计算机系统，即监控和数据采集系统，也是人们常说的s c a d a ( s u p e r v i s o r y c o n t r o la n dd a t aa c q u i s i t i o n ) 系统n 1 ，计算机监控系统是以控制计算机为主体， 加上检测装置、执行机构，与被监测控制的对象共同构成的整体。在这个系统中， 计算机直接参与被监控对象的检测( m o n i t o r ) 、监督( s u p e r v i s e ) 和控制 ( c o n t r 0 1 ) 。一般监控系统都具有一下特点：实时性、可靠性、可维护性、数据 自动采集处理、通信功能、自动运行与报警、管理功能。 远程实时监控是指本地计算机通过网络系统对远端的设备进行监测和控制， 包括设备的远程数据采集、远程监控和远程维护。能够实现远程监控的计算机软 硬件系统称为远程监控系统。监控技术大致经过了如下三个阶段：第一个阶段是单 机监控系统，主要是针对单台成者单一类型的设备进行监控，系统是封闭的，状 态信息仅仅供内部使用；第二个阶段是集中式监控系统，由多台计算机组成，其 中一台计算机控制其他多台计算机进行监控；第三个阶段是网络范围内的远程监 控系统。i n t e r n e t 的发展为各行各业带来了全新的理念，对传统监测与控制的功 能进行了大大的扩展p 1 ，当前，远程监控系统的使用范围十分广泛。 远程监控系统所实现的主要功能如下： 采集与处理功能：主要是对各种模拟或数字量进行检测、采样和必要的预处 理，并且以一定的形式输出，如打印报表、显示屏和电视等，为管理人员提供详 实的数据，帮助他们进行分析，以便了解情况； 监督功能：将检测到的实时数据、还有管理人员发出的指令和输入的数据进 行分析、归纳、整理、计算等二次加工，并分别作为实时数据和历史数据加以存 储； 2 管理功能：利用己有的有效数据、图像、报表等进行分析、故障诊断、险情 预测，并以声光电的形式对故障和突发事件报警； 控制功能：在检测的基础上进行信息加工，根据事先决定的控制策略形成控 制输出，直接作用于生产过程。 基于b s ( 浏览器服务器) 和c s ( 客户端服务器) 的远程监控系统是以网 络作为通信平台的监控系统，以h t t p 技术为基础，具有简单、高效等优点，已经 成为信息网络的一种最普遍应用的信息交互平台。利用网络通信技术、s o c k e t 技 术、数据采集技术及面向对象等软件技术实现了整个系统的系统管理、用户管理、 设备监控数据显示及报警等模块，其优点是充分利用了现有的局域网资源和广域 网资源，以最高的性能价格比，以信息的实时获取和实时控制为中心，实现信息、 资源及任务的综合共享和全局一体化的管理。例如：监控系统将设备运行情况提 供给服务器，并由服务器发送到各个节点客户机，工作人员在客户机端( 一般为远 端) 便可了解整个系统的工作状态及运行情况。 通过远程监控可以实现现场运行数据的实时采集和快速集中，获得现场监控 数据，为远程故障诊断技术提供了物质基础；通过远程监控，技术人员无须亲临 现场或恶劣的环境就可以监视并控制生产系统和现场设备的运行状态及各种参 数，使受过专业训练的人员虚拟地出现在许多监控地点，方便地利用本地丰富的 软硬件资源对远程对象进行高级过程控制，以维护设备的正常运营，从而减少值 守工作人员，最终实现远端的无人或少人值守，达到减员增效的目的。 1 2 2 国内外发展现状 当前市场上做类似产品的有中兴通讯e g u a r d 集中监控解决方案畸儿7 1 和艾默生 网络能源公司的动力设备、机房环境及安全监控系统n 1 1 。 e g i l a r d 集中监控解决方案采用分布式计算机控制系统结构，以多级监控中心 自下而上逐级汇接而成，每个级别的监控中心连接成一对多的监控系统网络。系 统结构可分为监控中心、传输线路及现场监控单元。 监控中心主要功能为实时监控基站的动力设备及环境量，对基站、机房上报 的各种信息进行智能分析处理，实现告警联动。 现场监控单元，负责采集基站的动力设备及环境参量的数据并将数据定期上 报监控中心( 告警信息实时上报) ，同时接收并执行监控中心发送来的遥控命令。 现场监控单元可对高低压配电设备、油机、整流器、蓄电池、空调、环境参量等 3 j e立交道态堂亟堂位途塞 曼i直 进行监控，可以转换智能油机、智能开关电源、智能空调等智能设备的监控协议， 并对其他监控系统提供透明传输接口。基站监控单元主要由各种监控模块及通讯 设备组成。 艾默生网络能源开发的动力设备、机房环境及安全监控系统适用于对通信局 站内各种动力设备( 通信电源、电池、u p s 、油机、低压配电) 、空调设备及其环 境( 门禁、温度、湿度、烟感、水浸、红外、场景) 等进行实时监控和统一管理， 以保障电信系统正常运行。 除上述的典型产品外，还有很多公司也开发出了功能类似的远程监控系统。 1 2 3 现存的一些问题 目前的远程监控系统越来越多的在机房中加入嵌入式的设备剀和各种传感 器，采集各种数据，并发送到管理端进行处理嘲。为了提供更多的功能，嵌入式 的设备越来越复杂n 训。例如在本系统中就使用了威盛的嵌入式工控主板和w i n d o w s 2 0 0 0 操作系统。 在这种情况下，就需要对嵌入式设备中可能出现的硬件故障和软件问题( 包 括操作系统和应用软件) 如应用程序意外退出，进程非法关闭，系统崩溃， 感染病毒等一实现有效的监控和管理。目前，基于软件的管理应用，一旦操作 系统故障即无法工作。而且，由于通信机房数量众多，位置分散，绝大部分机房 无人值守，所以即使只是开关机、重新启动系统这种简单的操作，执行起来也相 当费时费力。而且，本系统也用于监控铁通公司的公网机房，这一部分的网络传 输是通过i n t e r n e t 进行的，面临着更加严重的病毒、非法入侵等安全问题。 在本监控管理系统中，前置机设备( i s 细介绍见下文) 的硬件和软件面临着 如下可能遇到的问题： 硬件设备故障由于该设备用于无人值守的通信机房，在出现硬件设备故 障时，监控中心难以发现并及时做出处理； 操作系统故障前置机端使用的是w i n d o w s 2 0 0 0 操作系统，可能会出现各 种原因引起的死机、系统崩溃、系统文件被破坏等操作系统故障； 应用软件故障前置机端运行的应用程序担负着监控中心与现场监控单元 通信的任务，一旦软件出现异常，监控中心无法及时发现，就会导致该机 房监控单元与系统通信中断的问题； 病毒和安全问题设备接入网络就面临着病毒防范和安全问题，尤其是本 系统中的部分监控单元( 公网部分) 是通过i n t e r n e t 与监控中心连接的， 4 面临的情况更为严重。 综上，在有设备处于大量无人值守通信机房的情况下，纯软件管理和安全解 决方案己无法在基本限制范围内取得效果：它们无法管理或保护软件关闭或操作 系统出现故障的电脑。若想让管理维护人员借助现有资源从事更多工作，一个重 要的能力便是使其能够在任何电源或操作系统状态下远程管理并有效保护电脑。 针对上述问题，我们可以引入英特尔公司开发的主动管理技术( a c t i v e m a n a g e m e n tt e c h n o l o g y ，i n t e l a m t ) 来解决。由于它不依赖于操作系统和设备 的电源状态，所以能够有效的解决上述问题，而且该技术还可以对设备的故障进 行远程的诊断和部分修复工作，减少现场维护的次数，大幅提高工作效率。 1 3 论文主要内容介绍 本论文主要以作者在课题中承担的工作为基础，以四川铁通通信机房实时监控 管理系统为应用背景，分章节对系统中用到的技术、架构设计、方案设计及现场 测试进行了详细的分析归纳，主要内容如下： 第一部分：引言 对远程监控技术及国内外在该领域的现状进行了简单分析和研究，分析其现 存的一些问题，提出了课题选题背景及研究意义。 第二部分：相关技术介绍 对系统实现过程中用到的英特尔 主动管理技术( a m t ) 等相关技术做了深入 介绍和研究。 第三部分：通信机房远程监控业务的设计与实现 这部分是系统主要功能的设计与实现。首先对系统的整体进行介绍，给出了 系统的总体设计和整个系统的功能，然后具体介绍了作者在项目中承担的部分， 包括通信流程、模块设计和具体实现等工作内容。 第四部分：远程监控系统设备的远程管理的设计与实现 这部分是对系统中嵌入式设备的辅助管理的设计与实现。针对现有的远程监 控系统存在的问题，提出了以英特尔 主动管理技术( a m t ) 来实现对监控系统设 备的远程管理的设计方案与实现方法。 第五部分：现场应用测试 介绍了系统在现场应用中的测试情况。 第六部分：结论 对全文进行总结，总结出与一般的监控系统相比，本系统具有的优点，并对 未来要继续展开的工作进行了展望。 2 相关技术介绍 本章介绍了i n t e l 主动管理技术( a c t i v em a n a g e m e n tt e c h n o l o g y 英特尔 a m t ) 和相关的远程管理技术等。 2 1远程管理技术的发展 远程管理的发展主要经历了如下几个技术阶段。 1 9 9 7 年，网络唤醒技术( w 妇o i l _ u 烈) 出现了。网络唤醒技术提供了远程 唤醒计算机的功能，它是i b m 公司和i n t e l 公司于1 9 9 6 年l o 月成立的先进管理性 联盟( a d v a n c e dm a n a g e a b i l i t y a l l i a n c e ) 的一项成果，它可以让管理员在非工作时 间远程唤醒计算机，并使它们自动完成一些管理服务，例如软件的更新或者病毒 扫描。它也是w i r e df o rm a n a g e m e n t 基本规范中的一部分。 1 9 9 9 年，局域网告警技术( a l e r to nl a n ) ，舢e f to nl a n 是一种由i b m 和i n t e l 共同开发的先进技术，当出现硬件或操作系统故障时，或者有出现故障的趋势时， 系统可以马上向网络管理员发送报警信息。即使当系统的电源已经关闭或者没有 操作系统的情况下，a l e r to l ll a n 技术也可以发出报警信息。 2 0 0 1 年7 月，分布式管理工作小组( d i s t r i b u t e dm a n a g e m e n tt a s kf o r c e ， d m t f ) 发布报警标准格式( a 1 e r ts t a n d a r df o r m a t ，a s f ) 1 0 3 规范，该规范对报警 和远程控制接口进行了定义j 用以在没有操作系统的情况下对网络计算机进行管 理。这种情况包括操作系统不活动或不可操作的，或者系统处于低耗睡眠状态的 联网计算机。可使i t 经理使用具备行业标准的远程管理协议和应用程序，独立于 操作系统来远程监控网络计算机。报警有两种基本类型：向当前计算机用户本地 报警和向管理应用程序远程报警。如果感应器( 如温度、电力、风扇以及机箱侵 入感应器等) 检测到一些主要环境事件，a s f 就会发出远程报警。在没有操作系 统的环境下，a s f 还担负了其它报警任务，包括密码无效、系统心跳和启动失败 指示等。如有事件发生，a s f 就会发送平台事件陷阱( p e t ) 。另外，a s f 还具备 远程控制和系统查询功能。2 0 0 3 年6 月，d m t f 发布了增强的a s f 2 0 规范。 2 0 0 5 年，英特尔公司随着博锐( v p r o ) 平台退出了主动管理技术( a m t ) 。 2 2 英特尔 a m t 技术 i n t e l 主动管理技术( a m t ) 是获得博锐( v p r o ) 认证的电脑将支持两项关键 6 的技术之一( 另一项是i n t e l 虚拟技术( v i r t u a l i z a t i o nt e c h n o l o g y ) ) 。自从2 0 0 5 年 以来，i n t d 主动管理技术现在已经发展了多个版本，有a m t l 0 ，a m t 2 0 ，a m t 2 5 和a m t 3 0 。其中a m t 3 0 是最新的版本，功能最为强大。 2 2 1a m t 技术简介 首先简单介绍一下i n t e l 博锐( v p r o ) 平台。博锐是i n t e l 发布的一个平台品牌， 主要关注于商用电脑的安全性和可管理性。博锐平台配备的硬件主要是i n t e l 的 c o r e 处理器、i 9 7 5 x 、i 9 6 5 系列芯片组、新的i n t e lg i g a b i te t h e m e t 芯片( 包括特 制的硬件功能) 。在主动管理技术、虚拟技术以及硬件平台的支持下，博锐品牌的 电脑将具有可管理性、高安全性和高效节能的特点。 作为博锐平台的关键技术之一，英特尔 主动管理技术( 英特尔 a m t ) 是 在其中嵌入的一项功能，它增强了1 1 组织管理企业计算设施的能力。英特尔 a m t 可独立于平台处理器和操作系统运行。即使平台已经关闭，但只要平台仍与电源 线和网络连接，远程平台管理应用仍可安全访问英特尔 a m t 。独立软件开发商 ( i s v ) 可以使用应用编程接u ( a p i ) 来构建充分利用了英特尔 a m t 特性的应用。 i n t e l 主动管理技术具有以下三个重要特点n 别： 高有效性的带外( o u to fb a n d o o b ) 远程管理，由于是a m t 的硬件部 分是工作于辅助电源下的，所以只要终端电脑连接了电源，就可以在其各 种电源状态和健康状态下实现远程管理，例如电源关闭或操作系统崩溃的 状态。 独立于操作系统，a m t 的固件部分( a g e n t ) 是运行在操作系统之外的，所 以它支持任何操作系统。不管是否安装了操作系统，也无论操作系统的健 康状态，基于a m t 技术的远程管理都可以正常运行，而且操作系统是无法 修改a m t 的相关设置的。 具有防篡改的功能，英特尔 a m t 的固件部分( a g e n t ) 是绑定在硬件设备 中的，只能通过限定的权限配置，终端电脑的用户是无法对其进行修改或 者禁用。 基于以上的特点，i n t e l 主动管理技术可以在多个方面起到重要作用。以下用 例展示了英特尔a m t 作为平台管理和保护工具的一些强大功能。 远程电源管理 由于英特尔 a m t 技术是基于硬件平台和其上的固件实现的，可以工作于 辅助电源之下，所以只要终端电脑连接了电源和网络，管理软件可以远程 的实现开关机、重启等操作，无需现场操作。 7 发现所有计算资产 英特尔 a m t 在非易失性内存中存储硬件和软件信息( 英特尔a m t 自 动存储硬件信息。必须具有运行于主机平台上的软件代理才能获取和存储 软件资产信息。) 通过英特尔a m t 的内置可管理性，i t 人员甚至能够在 电脑已关机的情况下发现硬件和软件资产。 无论系统处于何种状态，均可远程修复系统 英特尔 a m t 的内置可管理性提供带外管理功能，可支持i t 人员在操作系 统出现故障后远程修复系统。报警与事件日志功能能够帮助i t 人员快速检 测问题，减少停机时间。由于能够远程诊断和重启系统，因此r r 部门现场 提供支持的需求大为减少。 保护系统使其免受恶意软件的攻击 借助于英特尔 a m t ，能轻松保持整个企业中软件和病毒防护程序的一致 性和及时更新，从而有助于保护您的网络。第三方软件能够在非易失性内 存中存储版本号或策略数据，以便在非工作时间进行恢复或更新。 控制恶意软件和平台误用的影响 过滤威胁并隔离电脑。基于硬件的可编程过滤器会检查电脑网络流量来识 别威胁，同时基于硬件的“开关 可以断开网络数据路径( 或设置速率限 制) ，以更快速地遏制该威胁的蔓延。具有系统防御功能的英特尔 a m t 通 过遏制托管客户端上的病毒爆发和软件篡改，并将受感染的网络元素与其 他网络元素隔离，从而降低病毒感染的几率。代理存在功能可检测防病毒 或软件库存程序等关键应用程序是否正在运行。如果未运行，英特尔 a m t 可以立即向i t 控制台发送报告，必要时还会隔离该平台，直到i t 技术人员 解决此问题为止。 除了上面提到的，第三方开发的基于英特尔 a m t 技术的管理软件还可以实 现更多的功能。 2 2 2a m t 的架构 英特尔 a m t 的架构由实现产品功能的固件和固件执行所处的硬件环境组 成，它还包括安全和网络环境以及英特尔 a m t 软件开发套件( s d k ) 的元素n 幻。 图2 - 1 为英特尔a m t 概念结构图。 e 塞銮适厶堂亟堂位途塞担苤撞丕佥型 黪甓黪= 筵转絮r t 4 t 鬻绛；鍪毒= 攀内稆鬻势鬟l 鬻= 缓秀，鬻翻， 麓镑承a 鹣了薅绺辨毖耱辫。甏绣餐鑫缱彳鬻霰蓐。缓捧裙霪j 事荔臻露。 图2 1 英特尔a m t 概念结构 f i g 2 - 1i n t e l a m ts t r u c t u r e 硬件平台构架 英特尔a m t 是英特尔博锐平台的一个组件。它使用了许多英特尔博锐 一 平台构架中的元素。图2 2 以2 0 版为例，显示了这些元素之间的关系。 英特尔a m t 的功能包含在固件中( m ef w ) 。固件映像存储在闪存中。 按照o e m ( 原始设备制造商) 平台提供商的实施方式，使用英特尔管理引 擎( 英特尔m e ) b i o s 扩展启用英特尔a m t 功能。 开机时，固件映像会被复制到双倍数据速率( d d r ) 随机存储器( 删) 中。 固件在英特尔m ea r c 处理器上执行，在执行期间将一小部分d d rr a m ( 插槽0 ) 用于存储。必须填充并开启r a m 插槽0 才能运行固件。 英特尔a m t 在闪存( m e 数据) 中存储以下信息：o e m 可配置参数；设置 与配置参数，如密码、网络配置、证书和访问控制列表( a c l ) ；其他配置信息， 例如警报列表和系统防御功能策略；启动时b i o s 捕获的硬件配置。 英特尔a m t 还可管理第三方数据存储( 3 p d s ) ，独立软件开发商( i s v ) 可 将其用于本地存储对其应用程序至关重要的信息。 闪存还可包含b i o s 可执行代码( b i o s ) ，以及英特尔8 2 5 6 6 d m 千兆网络连 接( g b en t w kf w ) 的可执行代码。 o e m 在制造过程中激活了一种硬件机制，可保护闪存以免受到未授权主机访 问。 9 e 塞蛮垣太堂亟堂位迨塞担苤撞盔金型 图2 2 英特尔a m t 2 0 版架构 f i g 2 2i n t e l a m tr e l e a s e2 0a r c h i t e c t u r e i c h 8 接口控制器可保存应用于传入和传出网络流量的筛选器定义。其中包括 内部定义的筛选器和使用系统防御功能和代理存在功能定义的应用程序筛选器。 英特尔8 2 5 6 6 干兆网络连接会识别带外( o o b ) 网络流量( 定位到英特尔 a m t 的流量) ，并将其路由到英特尔m e 而不是c p u 。 与英特尔a m t 交互的元素为： b i o s 可用于初始化英特尔a m t 或者将其重置为初始状态。它捕获平台 硬件配置信息，并将信息存储在n v m 中，以便英特尔a m t 在带外提 供这些信息。 i c h 8 传感器功能可检测各种平台传感器状态，例如温度、风扇状态和机 箱完整性。可以对英特尔a m t 进行配置，使其在任何选定传感器的状 态发生变化或超过阈值时存储和或转发警报。 在c p u 上运行的软件代理( 通常由管理i s v 编写) 可以在英特尔a m t l o 中注册，并使用“心跳将其存在情况报告给英特尔 a m t 和管理控制 台。英特尔a m t 可监视心跳，并可在代理执行出现问题时采取行动。 c p u 中的i s v 应用程序可使用与主机操作系统兼容的专用驱动程序与英 特尔a m t 进行本地通信。 英特尔 a m t2 5 版的硬件架构与2 0 版有较大差别，主要是扩展了对无线移 动设备的主动管理功能。相对于2 0 版，它具有如下的新特性： 支持辅助的无线网络接口。英特尔 a m t 的带外管理可以通过此接口实 现。系统防御的包过滤同样可以在此接口上实现。 支持8 0 2 1 xe a p 选项，由此英特尔a m t 可以在操作系统不活动的情况 下继续处理带内( i n - b a n d ) 和带外( o o b ) 的无线传输。 检测是否有网络是否有存在无线连接。 用户通知功能，允许注册并接收本地c p u 的报警消息。英特尔 a m t2 5 版还包含了用户通知服务( u s e rn o t i f i c a t i o ns e r v i c e u n s ) ，一个定义英 特尔 a m t 报警( 例如系统防御报警) 集合的w i n d o w s 服务。当收到英 特尔 a m t 的报警时，u n s 在w i n d o w s 事件日志中把该报警记录下来， 以供浏览。 支持思科网络访问控制( n a c ) 标准。这个版本包含了一个可以捕获状态 信息并发送到思科n a c 设备的插件。 英特尔 a m t 3 0 版的架构与2 0 版的架构类似。其中m c h 被升级为b e a r l a k e m c h ，i c h 8 接口控制器被升级为i c h 9 接口控制器。这些硬件的改变，结合新版 本的固件，能够支持所有英特尔a m t2 5 版的特性( 除去无线和移动特性) ，并 且提供了以下新增功能， 启发式的系统防御：一项发现并阻止蠕虫攻击扩散的基本功能，可以在被 管的电脑的蠕虫蔓延到整个网络之前予以发现并阻止。 支持w s 管理( 提供管理的网络服务 w e bs e r v i c e sf o rm a n a g e m e n t ) 功能； 这个标准提供了管理英特尔 a m t 平台的一个方法，可以作为之前版本 中基于s o a p 的a p i 的补充。 远程配置功能：在保证英特尔 a m t 设备安全性的同时简化了系统的安 装和配置处理。 远程访问 英特尔 a m t 有以下两个接口：远程接口和本地接口远程接口通过主板内 建局域网( u 蝌o n m o t h c r b o a r d ) 网络连接发送和接收流量。只能通过远程接口 配置英特尔 a m t 固件功能，因此本地用户或应用程序无法更改关键设置。 远程应用程序可以使用两种方法与英特尔 a m t 通信： 1 简单对象访问协议( s o a p ) 消息 s o a p 是一种用于在非集中、分布式环境中交换信息的轻型网络协议。它是 一种基于x m l 的协议，由三部分组成： 一个定义框架的封套，用于描述消息的内容以及如何对它进行处理 一组表示应用程序定义的数据类型实例的编码规则 一个表示远程过程调用和响应的约定 英特尔a m t 编程接口是英特尔a m t 固件提供的基于s o a p 的a p i ，可 与远程主机上运行的i s v 管理控制台软件进行通信。在w e b 服务描述语言( w s d l ) 中对a p i 进行了描述。每个固件服务( 也称为接口) 都有一个w s d l 文件。 2 专用重定向协议 使用英特尔 a m t 功能，i s v 应用程序可以对平台进行配置，从而将控制台 文本发送到远程目标，并从远程来源接收键击。这称为l a n 串行功能。通过重定 向平台i d e 接口，也可以将平台配置为从远程软盘或c d 中读取数据，或将数据 写入到远程软盘或c d 。这些功能都使用专用协议。s d k 中包含的重定向库可实现 此协议。 本地访问 在平台上本地运行的应用程序与英特尔a m t 2 0 版之间的通信方式与远程 应用程序采用的方式相同，即通过h t t p 上的s o a p 。如下文中图2 3 所示，本地 应用程序向本地英特尔 a m t 主机名发送s o a p h t r p 消息时，侦听指向该主机 名的流量的本地管理服务( l m s ) 会截获消息，并将消息路由到英特尔 管理引 擎接口。 l m s 具有以下优势：它将本地接口和远程接口统一为基于w s d l 的接口，从 而简化了a p i ；它利用了所有的h t t p 内置优势，包括用户名和密码身份验证，以 及使用h t t p s 添加基于证书的身份验证和加密的可能性。 此接口包含一个基于连接的多线程驱动程序，该驱动程序可以与英特尔 m e 进行通信，与此同时，并行驱动程序可以接收信息并将信息传递给英特尔 a m t 嵌入式i p 堆栈。 1 2 通邋i c h 8 至登h c h 上能 溺域溺擅口英特尔固管罐耋l 棼 图2 - 3 将本地消息路由到英特尔 a m t f i g 2 - 3r o u t i n gl o c a lm e s s a g e st oi n t e l a m t 身份验证和授权 i t 管理员可以配置基于证书的身份验证，也可选择相互身份验证。英特尔 a m t 具有用于授权所有访问请求的访问控制列表。英特尔 a m t 可以使用 m i c r o s o f ta c t i v ed i r e c t o r y 的k e r b e r o s 选项简化授权过程。远程设置与配置服务器 是英特尔a m t 能够安全运行的前提条件。 配置英特尔 a m t 安全模型 英特尔 a m t 平台和安装与配置( s & c ) 服务器启动时都带有两条共享信息 平台d 和预共享密钥( p s k ) 。英特尔 a m t 和设置与配置服务器之间的首 次通信是一条未加密的h e l l o 消息，它从英特尔 a m t 发往包含平台标识符的服务 器。之后，s & c 服务器使用p s k 和t l s p s k 协议对配置流量进行身份验证和加 密，从而执行设置与配置过程。s & c 服务器将证书下载到英特尔 a m t 平台，该 平台将证书存储在非易失性内存中。证书可追溯到某个企业证书颁发机构，英特 尔 a m 使用这些证书来对管理控制台应用程序进行身份验证。如果将英特尔 a m t 配置为使用相互身份验证，则s & c 服务器必须为每个与英特尔 a m t 通 信的应用程序提供客户端证书。 s & c 服务器还可以建立访问控制列表，启用某些英特尔 a m t 功能和配置设 备设置。设置与配置过程结束时，此过程中生成和使用的密钥将被删除。所有后 续通信均会将证书和传输层安全( t l s ) 用于身份验证、保密性( 加密) 和完整性 ( 相互身份验证) 。如下文中所述，英特尔a m t 使用访问控制列表执行授权。h t t p 摘要身份验证用于h t p 上的s o a p 通信。重定向功能使用安全套接字层( s s l ) 在远程控制台和英特尔 a m t 平台之间建立安全连接。 访问控制列表和领域 英特尔 a m t 访问控制列表( a c l ) 用于管理用户对设备中相应功能的访问 权限。a c l 条目包括用户i d 和用户具有访问权限的领域列表。要使用与某个领域 相关的功能，必须具有相应的访问权限。在表中，每个接口