设计数据不上云、不出内网，重工企业的合规远程设计方案

重工企业的信息安全要求，比一般制造业严苛得多。

船舶设计院不能把船体结构图传到公有云。航空零部件供应商的 CAD 模型，受到军民两用技术出口管制的约束。核电站设备制造商的设计数据，必须在完全隔离的内网环境中处理。能源勘探公司的地质数据，是价值数十亿的核心资产，绝对不能离开受控网络。

这些企业有一个共同的困境：既需要支持设计师远程办公，又无法允许设计数据出内网。

这两个需求，在传统 IT 架构下是直接冲突的。

---

为什么传统远程方案不符合合规要求

重工企业通常会考虑以下几种远程办公方案，但每一种都有合规层面的根本缺陷：

VPN + 远程访问文件服务器

设计师通过 VPN 连接到公司内网，访问文件服务器下载图纸，在本地工作站打开 SolidWorks 或 CATIA 工作，完成后上传回去。

合规问题：设计文件在传输过程中经过了公共互联网，且在设计师的本地设备上留有完整副本。本地设备的安全等级远低于公司内网，如果设备丢失、被盗或感染病毒，数据安全无法保障。VPN 只解决了传输加密，没有解决数据落地的问题。

公有云桌面（AWS WorkSpaces、Azure Virtual Desktop 等）

把桌面环境搬到公有云，设计师在任何地方登录使用。

合规问题：数据存储在境外云服务商的服务器上。对于涉及军工、核电、船舶等领域的重工企业，这类数据的境外存储本身可能违反相关法规（如《数据安全法》、《保密法》、武器装备科研生产许可管理）。即使使用国内云厂商，数据在第三方基础设施上存储，也难以满足部分涉密项目的管控要求。

TeamViewer / 向日葵等远程控制软件

直接远程控制办公室的工作站，画面实时传输到设计师的终端。

合规问题：这类软件的服务器中转节点通常在境外，连接数据经过第三方服务器，存在被截获的风险。同时，这类软件的使用往往绕过了企业 IT 管控，属于"影子 IT"，在安全审计中是明确的违规项。

---

合规远程设计的正确架构

符合重工企业合规要求的远程设计方案，必须满足以下几个核心条件：

数据不离开企业自有基础设施：设计文件、BIM 模型、工程图纸，全部存储和处理在企业自建的服务器上，不经过任何第三方云服务商。

远程传输的是画面，不是数据：设计师的终端只接收画面流，没有任何设计文件在本地存储。即使终端设备丢失，数据安全不受影响。

接入身份可验证、行为可审计：每一次远程连接有明确的身份认证，操作行为有完整日志，满足安全审计要求。

网络路径完全自主可控：连接不经过任何第三方服务器中转，所有流量在企业自建的网络边界内完成转发。

ShareStation 工作站虚拟化方案 + 自建桌面网关，是目前能同时满足以上四个条件的私有化部署方案。

---

方案架构详解

整体架构

[设计师终端]──互联网──[企业自建桌面网关]──内网──[GPU 服务器集群]
                                                        ↑
                                               [设计文件存储（内网 NAS）]

整个链路中，没有任何第三方节点。桌面网关部署在企业自有的 DMZ 区，使用企业自己的公网 IP。设计师的终端连接到企业自己的网关，网关将连接转发到内网的 GPU 服务器，画面实时回传。

设计文件始终在内网的 NAS 存储系统中，不参与任何网络传输。

核心组件

GPU 服务器集群

承载所有虚拟工作站的计算和图形资源。支持 CATIA、Pro-E、SolidWorks、NX/UG、ANSYS 等重工行业主流设计软件。服务器部署在企业机房，数据主权完全归属企业。

推荐配置（支持 20–40 名设计师并发）：

配置项	规格
服务器	双路至强，4 路或 8 路 GPU 服务器
GPU	NVIDIA L20（48 GB）或 A10（24 GB），按并发规模配置
内存	512 GB – 1 TB DDR5
存储	企业级 NVMe SSD + 大容量 HDD 阵列
网络	万兆内网 + 专线或优化网络连接外网

DoraCloud 桌面虚拟化管理系统（高级版）

管理所有虚拟工作站的创建、分配、监控。支持按项目、按角色划分桌面池和文件访问权限。提供完整的操作日志和访问审计。

自建桌面网关

部署在企业 DMZ 区，作为唯一的外网接入点。支持 SSL/TLS 加密传输，支持与企业现有 AD 域账号体系集成，支持接入 IP 白名单管控。

终端

设计师使用笔记本或任意 PC 安装 DoraClient 接入，或使用朵拉云 JC36 云终端接入。终端无需高配置，画面解码即可，本地不存储任何设计数据。

---

重工行业的四个典型场景

场景一：异地设计中心接入总部算力

重工企业在多个城市设有设计分中心，但高性能 GPU 服务器集中部署在总部机房。

各分中心设计师通过专线或加密互联网通道接入总部桌面网关，使用总部 GPU 服务器上的虚拟工作站工作。设计数据集中在总部存储，各分中心只有画面，没有数据。

总部 IT 团队统一管理所有设计师的桌面环境和权限，无需在各分中心分别配置工作站和维护团队。

场景二：供应商受控访问

重工企业与外部供应商存在大量联合设计场景——发动机制造商需要和机体设计方协同，船舶设备供应商需要和船厂设计院确认接口尺寸。

传统做法是把图纸发给供应商，但这意味着数据离开了企业管控范围。

ShareStation 方案下，企业为供应商工程师创建受限的访问账号，设置可访问的项目范围、文件权限（只读或可编辑）、访问时效（如项目周期内有效）。供应商工程师通过桌面网关远程登录，在虚拟桌面里查看和操作图纸，操作行为完整记录在企业的审计日志里。

供应商看到了画面，没有拿到文件。项目结束，账号注销，访问即止。

场景三：驻场工程师远程支持

大型重工项目往往需要设计工程师在施工现场或客户现场长期驻场。驻场期间需要频繁修改图纸、与设计院后方协同。

驻场工程师携带笔记本电脑，通过 4G/5G 或现场网络接入公司桌面网关，登录自己的虚拟工作站，修改在服务器上的图纸，保存后立即对后方协同人员可见。不需要通过邮件或即时通讯传输文件，版本统一，修改可追溯。

场景四：涉密项目的隔离访问

部分重工项目（如军工配套、核电、航天）对信息安全有更严格的要求，需要实现项目级的访问隔离——参与 A 项目的设计师，物理上无法访问 B 项目的文件。

DoraCloud 支持按项目创建独立的桌面池，分配专用的存储空间。不同项目的设计师账号，在系统层面完全隔离，不存在误访问或越权访问的可能。管理员可以设置：某个账号只能在指定 IP 段登录（如只在公司内网，不允许外网接入），满足高密级项目的访问管控要求。

---

合规性核查清单

以下是重工企业在评估远程设计方案时，建议对照检查的合规要点：

合规要求	ShareStation 方案
设计数据不离开企业自有基础设施	✅ 私有化部署，数据在企业自建服务器
远程传输不经过第三方服务器	✅ 自建桌面网关，流量完全自主
终端不留存设计文件	✅ 终端只接收画面，本地无数据
访问身份可验证	✅ 账号 + 密码，支持对接企业 AD 域
操作行为可审计	✅ 完整访问日志，含登录 IP、时间、操作记录
支持接入 IP 白名单	✅ 桌面网关可配置允许接入的 IP 范围
账号权限分级管控	✅ 按项目、角色、文件目录分配权限
离职账号立即失效	✅ 管理员注销即时生效
数据存储在境内	✅ 私有化部署，存储位置由企业自主决定
支持信创平台（可选）	✅ DoraCloud 信创版支持银河麒麟 + 国产 CPU

---

与公有云方案的核心差异

一些企业在评估时会比较私有化部署和公有云桌面方案。以下是核心差异：

维度	ShareStation 私有化	公有云桌面（AWS/Azure/阿里云）
数据存储位置	企业自建机房，完全自主	云厂商数据中心，第三方管理
数据主权	完全归属企业	受云服务条款约束
合规适用性	适合军工、核电、涉密项目	通常不符合高密级项目要求
网络路径	企业自建网关，全程自主	经过云厂商基础设施
运营成本模式	一次性硬件 + 软件永久授权	按月/年订阅，长期成本高
5 年 TCO	通常更低（无持续订阅费）	随使用规模线性增加
定制化能力	高，可按需配置	受云产品功能限制
IT 自主管控	完整，企业自主运维	部分功能依赖云厂商

对于有明确合规要求的重工企业，私有化部署不只是一个选项，而是唯一符合要求的路径。

---

小结

重工企业的远程设计合规困境，根源在于"远程访问"和"数据不出内网"的天然矛盾。传统远程方案（VPN 传文件、公有云桌面、第三方远程控制）都以不同方式妥协了其中一端。

ShareStation 私有化部署方案通过"传画面、不传数据"的架构，在不让设计数据离开企业内网的前提下，实现了设计师在任何地方的远程接入。自建桌面网关确保了网络路径的完全自主可控，满足军工、核电、船舶等高密级行业的合规要求。

这不是一个妥协方案，而是在合规框架内解决远程设计需求的完整答案。

---

关于 ShareStation

ShareStation® 是深圳市朵拉云科技有限公司针对设计行业推出的工作站虚拟化方案，支持 CATIA、Pro-E、SolidWorks、NX/UG、ANSYS 等重工行业全系设计软件，私有化部署，数据主权完全归属企业。已在船舶、重工机械、能源等行业完成规模化部署，累计服务超过 5 万桌面云用户。

DoraCloud 信创版支持银河麒麟操作系统 + 飞腾、鲲鹏、龙芯、海光等国产 CPU，满足信创合规要求。

支持的 vGPU 技术：NVIDIA GRID vGPU（A10、L20、RTX 系列）、Intel SR-IOV Graphics。
支持的虚拟化平台：Proxmox / KVM、Hyper-V、VMware、LibVirt（信创）。