1. 方案定位
本方案面向城市副中心项目的人脸识别系统建设，重点解决设备接入、人员权限、识别记录、小程序及管理端访问、现有人脸平台对接、云资源部署和上线验收等问题。
本次现场沟通的目标不是直接确认所有实施细节，而是与客户共同确认以下关键边界：
- 系统部署在政务外网或合规云资源中的具体环境。
- 56台起步设备的接入方式、网络网段、点位和厂商协议。
- 小程序、管理端、设备端、现有人脸平台之间的数据链路。
- 域名、HTTPS证书、固定出口IP、白名单、端口开放和安全组策略。
- 人员名单、组织架构、人脸照片、采集授权、数据留存周期和权限范围。
- 上线前测试、验收指标、运维责任和故障响应机制。
2. 建设目标
2.1 业务目标
系统建设后，应形成一个统一的人脸识别接入与管理平台，支撑城市副中心服务中心对人员、设备、权限、识别记录和小程序访问进行统一管理。
主要目标如下：
- 统一接入人脸识别设备，支持设备在线状态、点位、参数和识别记录管理。
- 统一维护人员信息、组织架构、权限范围和人脸照片数据。
- 支持小程序或管理端通过HTTPS安全访问业务系统。
- 支持与现有人脸平台对接；如客户确认不对接现有人脸平台，则按独立建设模式实施。
- 支持识别记录、操作日志、接口日志和异常记录留存，满足后续审计、追溯和运维需要。
2.2 技术目标
- 入口统一：外部访问统一走HTTPS入口，通过SLB/ELB、WAF、白名单和安全组控制访问范围。
- 内外隔离：数据库、缓存、后台管理端口不直接暴露公网。
- 高可用部署：应用服务器和数据库按双节点或高可用模式规划，降低单点故障风险。
- 权限可控：按角色、组织、设备点位和业务范围配置访问权限。
- 数据可追溯：人员、设备、识别记录、接口调用、登录操作和配置变更保留日志。
- 便于运维：提供部署文档、配置说明、故障排查清单和日常巡检项。
3. 总体架构
3.1 架构说明
系统整体采用“统一入口 + 应用服务 + 数据服务 + 可选存储/缓存 + 平台对接”的架构。
设备端、小程序和管理端通过政务外网域名或专线/VPN入口访问HTTPS入口。HTTPS入口后方通过WAF、白名单、安全组和SLB/ELB进行访问控制和负载分发。业务请求进入应用服务器ECS后，由应用服务访问RDS数据库、OSS对象存储和Redis缓存。数据库、缓存和内部管理端口仅允许应用服务器内网访问。
如客户已有统一人脸平台，系统通过API或SDK方式与现有人脸平台进行数据同步和识别结果对接。如客户不使用现有人脸平台，则由本系统独立维护人员、人脸照片、设备和识别记录。
3.2 推荐网络链路
网络开放原则：
- 对外入口原则上只开放HTTPS 443端口。
- 设备端如需专线、VPN或固定出口IP访问，应由客户网络方提供网段和白名单。
- 数据库、缓存、管理后台端口不对公网开放。
- 第三方平台接口通过白名单、签名、Token、专线或VPN等方式控制访问。
- 上线前需完成端口清单、安全组、路由、防火墙、NAT和白名单的联合确认。
4. 推荐资源配置
| 资源 | 推荐配置/数量 | 用途 | 现场需确认 |
|---|---|---|---|
| ECS应用服务器 | 2台，16核/32GB/1TB，openEuler | 部署业务系统、接口服务、设备接入服务，配合SLB实现负载均衡 | 云厂商、操作系统版本、是否已有资源池 |
| RDS数据库 | 2台高可用实例，1主1备，16核/32GB/200GB SSD | 保存人员、组织、设备、识别记录、权限、日志等核心数据 | 数据库类型、备份周期、保留周期、是否允许公网访问 |
| SLB/ELB负载均衡 | 1套 | 统一HTTPS入口、双机负载、故障切换 | 是否由客户云平台提供，证书绑定方式 |
| WAF/安全网关 | 1套，按客户云资源能力配置 | 防护公网入口，限制非法访问 | 是否已有政务云WAF或安全网关 |
| OSS对象存储 | 可选，按图片与附件留存周期测算 | 存储人脸照片、附件、备份文件，降低ECS磁盘压力 | 是否允许使用对象存储，照片留存周期 |
| Redis缓存 | 可选，4核/8GB起步 | 会话缓存、热点数据、限流、削峰 | 是否纳入首期，是否由建设单位自建 |
| 带宽/IP/端口 | 100M-300M，固定出口IP，公网原则仅443 | 支撑设备、小程序、管理端访问 | 实际并发、固定出口IP、白名单、端口清单 |
| 备份与日志存储 | 按30天、90天或客户合规要求配置 | 数据库备份、操作日志、接口日志、异常日志 | 留存周期、审计要求、日志导出方式 |
资源说明：
- 如果客户云资源已固定，应以客户实际资源为准进行适配和压测。
- OSS、Redis为可选项。如客户不提供云产品，可由建设单位在应用服务器或独立服务器上自建替代能力，但需确认可用性和运维责任。
- 200GB数据库容量为起步建议，最终需根据人员规模、识别记录频率、照片尺寸、留存周期和日志粒度测算。
5. 核心功能范围
5.1 人员与组织管理
- 支持组织架构导入、维护和调整。
- 支持人员基础信息维护，包括姓名、工号、部门、身份类型、权限范围等。
- 支持人脸照片导入、采集、更新和失效处理。
- 支持人员离职、权限变更、照片过期、重复人员等异常处理。
现场需确认：
- 人员数据来源是客户提供Excel、现有人脸平台接口、统一身份平台，还是其他系统。
- 人脸照片是否已有历史数据；如需重新采集，需确认采集方式、授权方式和责任方。
- 组织架构的主数据归属和更新频率。
5.2 设备接入管理
- 支持56台起步设备接入。
- 支持设备编号、点位、楼层、区域、IP、厂商、型号、协议版本等信息维护。
- 支持设备在线状态、最近心跳、异常状态和基础运行日志查看。
- 支持设备参数配置、重启、同步和接入测试记录。
现场需确认：
- 设备厂商、型号、协议、固件版本和接口文档。
- 设备所在网段、固定IP规划、是否跨楼层或跨区域。
- 设备接入是主动上报、平台拉取，还是厂商平台中转。
- 设备厂商是否提供联调人员、账号、测试环境和故障响应。
5.3 权限与识别记录
- 支持按人员、部门、区域、设备点位配置通行或识别权限。
- 支持识别记录留存，包括人员、设备、时间、结果、照片或截图索引、异常原因等。
- 支持按时间、人员、设备、区域、识别结果查询和导出。
- 支持异常记录标记，例如未授权、照片缺失、设备离线、接口失败、重复人员等。
现场需确认：
- 是否需要通行控制，还是仅做识别记录和身份核验。
- 识别记录留存周期和导出审批要求。
- 人脸照片、识别照片、日志是否涉及脱敏展示。
5.4 小程序与管理端
- 小程序通过HTTPS访问业务接口。
- 管理端通过政务外网域名或专线/VPN访问。
- 支持用户登录、角色权限、菜单权限和操作日志。
- 小程序合法域名、接口域名、证书和平台配置需上线前完成。
现场需确认：
- 小程序主体、管理员、上线审批流程和发布时间窗口。
- 是否已有政务外网域名；如没有，需确认域名申请、备案和证书办理责任方。
- 管理端访问是否只允许固定办公网络、VPN或特定IP。
5.5 现有人脸平台对接
如客户已有现有人脸平台，本系统建议采用“先确认平台能力，再确定对接范围”的方式实施。
可能的对接范围包括：
- 人员基础信息同步。
- 人脸照片同步。
- 设备信息同步。
- 识别记录同步。
- 权限下发或权限校验。
- 异常状态、错误码和失败重试。
现场需确认：
- 现有人脸平台名称、厂商、部署位置和接口负责人。
- 是否提供API、SDK、数据库视图或文件导入导出。
- 是否有测试环境和正式环境。
- 认证方式、签名规则、Token有效期、QPS限制和IP白名单。
- 错误码、重试机制、接口超时、幂等规则和数据对账方式。
如果客户无法提供现有人脸平台接口，则首期可按独立建设模式实施，后续预留接口扩展能力。
5.6 会议补充与技术选型结论
| 议题 | 会议结论 | 后续动作 |
|---|---|---|
| 移动端方案 | 提供小程序和H5两种方案，面向约1500名政府人员，用户使用手机连接政务外网。 | 明天下午完成产品对焦，明确访问入口、账号体系、上线审批和使用边界。 |
| 人脸照片对接 | 现场存在人脸闸机系统，需与闸机系统对接，同步人脸照片至本系统。 | 与闸机供应商确认照片导出方式、字段、照片质量、授权边界和增量同步机制。 |
| 内部通信协议 | 内部通信不采用HTTPS作为主要方案，确定采用MQTT协议，以适配多服务器场景并提升速度。 | 确认MQTT Broker部署方式、Topic规划、QoS等级、认证方式、消息重试和日志追踪。 |
| 下周重点工作 | MQTT对接与产品对齐定为下周重点，推动开发侧任务启动。 | 下周完成开发侧任务拆分、接口定义、联调计划和责任人确认。 |
补充说明：
- 移动端需同时准备小程序方案和H5方案，现场沟通时重点比较上线审批、政务外网访问、账号登录、兼容性和后续运维成本。
- 人脸照片同步应优先复用闸机系统已有数据，减少重复采集；涉及照片授权、导出权限、照片质量和数据更新周期的事项需由客户与闸机供应商共同确认。
- MQTT作为内部通信协议后，需要补充服务端部署拓扑、消息主题命名、消息幂等、异常重试、离线补偿和运维监控方案。
5.7 技术团队需销售推进事项与时间节点
本部分已拆分为独立页面，便于销售/商务团队直接转发和推进客户确认。
打开独立页面：城市副中心项目技术团队需销售推进事项与时间节点
6. 安全与合规设计
6.1 网络安全
- 外部入口统一使用HTTPS。
- 仅开放必要端口，原则上公网仅开放443。
- 数据库、缓存、内部接口和管理端口不对公网开放。
- 对设备端、平台端和管理端分别配置IP白名单。
- 通过安全组、防火墙、NAT、路由策略和WAF形成多层访问控制。
6.2 数据安全
- 人脸照片、识别记录、人员信息属于敏感数据，应明确采集授权、使用范围、留存周期和删除机制。
- 数据传输使用HTTPS或专线/VPN。
- 数据库启用备份策略，备份文件按客户要求设置保留周期和访问权限。
- 后台展示时建议对敏感字段做脱敏展示。
- 重要操作保留操作日志，包含操作人、时间、IP、对象和结果。
6.3 权限控制
- 按角色配置菜单、数据和操作权限。
- 建议至少区分系统管理员、业务管理员、运维人员、只读查看人员等角色。
- 账号开通、停用、密码策略和权限变更需形成管理制度。
- 涉及批量导入、导出、删除和权限下发的操作建议增加二次确认和日志留存。
7. 实施计划
| 阶段 | 主要任务 | 责任方 | 输出物 |
|---|---|---|---|
| 现场确认 | 确认资源、网络、域名、证书、设备、人员数据、平台接口和验收口径 | 服务中心牵头，建设单位配合 | 现场确认纪要、待办清单、责任人 |
| 环境准备 | 开通ECS、RDS、SLB、WAF、安全组、域名、证书、白名单 | 服务中心/网络方/云平台方 | 资源清单、网络开通记录、账号权限 |
| 系统部署 | 部署应用、数据库、接口服务、日志、备份和基础配置 | 建设单位 | 部署记录、配置文档、初始账号 |
| 数据准备 | 整理组织架构、人员名单、人脸照片、设备清单和点位信息 | 服务中心提供，建设单位导入 | 数据导入模板、导入结果、异常清单 |
| 接口联调 | 联调设备、现有人脸平台、小程序、管理端和第三方接口 | 建设单位/设备厂商/平台方 | 联调记录、问题清单、接口日志 |
| 测试验证 | 功能测试、网络测试、权限测试、安全测试、备份恢复验证 | 建设单位，客户参与确认 | 测试报告、整改记录 |
| 试运行 | 小范围用户和设备试运行，观察稳定性和异常 | 服务中心/建设单位 | 试运行报告、优化项 |
| 上线验收 | 按确认的验收标准进行检查和签收 | 服务中心组织，建设单位配合 | 验收报告、交付文档、培训记录 |
建议现场确认后形成《技术确认纪要》，并在纪要中明确每个待办事项的责任方和完成时间。
8. 测试与验收建议
8.1 功能验收
| 验收项 | 建议验收方式 | 通过标准 | 状态 |
|---|---|---|---|
| 设备接入 | 抽查设备在线状态、点位、识别记录 | 设备清单范围内可正常接入，异常设备有原因记录 | 待现场确认 |
| 人员导入 | 导入人员、组织架构、人脸照片 | 导入成功，异常数据可追踪和修正 | 待现场确认 |
| 权限配置 | 配置不同角色和人员权限 | 权限生效，越权访问被拦截 | 待现场确认 |
| 识别记录 | 产生、查询、导出识别记录 | 记录字段完整，时间、设备、人员可追溯 | 待现场确认 |
| 小程序访问 | 小程序访问接口和业务页面 | HTTPS正常，合法域名配置完成 | 待现场确认 |
| 平台对接 | 与现有人脸平台联调 | 接口调用成功，失败有重试和日志 | 如有则确认 |
| 日志与备份 | 查看操作日志、接口日志和备份 | 日志可查询，备份策略生效 | 待现场确认 |
8.2 性能与稳定性验收
由于当前缺少最终并发量、设备上报频率、人员规模和留存周期，以下指标建议作为现场讨论口径，不作为未确认承诺：
- 系统可用性目标：待确认。
- 设备在线率统计口径：待确认。
- 接口成功率统计口径：待确认。
- 人员/照片导入成功率口径：待确认。
- 识别记录留存周期：待确认。
- 备份恢复目标时间：待确认。
现场建议明确每个指标的计算公式、样本范围、测试周期、异常排除规则和客户签收方式。
9. 运维与交付
9.1 运维责任
| 运维事项 | 服务中心 | 建设单位 | 第三方/平台/网络方 |
|---|---|---|---|
| 云资源与账号 | 审批和授权 | 使用和配置 | 开通与资源侧支持 |
| 网络与白名单 | 提供网络策略和审批 | 提交端口/IP需求 | 配置路由、防火墙、NAT |
| 应用系统 | 使用确认和问题反馈 | 部署、升级、故障处理 | 按需配合 |
| 设备接入 | 现场协调和设备清单确认 | 接入配置和联调 | 设备协议、固件、账号支持 |
| 数据授权 | 提供授权依据和使用范围 | 按授权导入和管理 | 按需提供接口或模板 |
| 备份与日志 | 确认保留周期和审计要求 | 配置和导出 | 提供云平台备份能力 |
9.2 交付文档
建议项目上线前提交以下交付物：
- 系统部署说明。
- 网络端口与白名单清单。
- 设备接入清单。
- 人员与组织数据导入模板。
- 接口联调记录。
- 测试报告。
- 上线确认单。
- 用户操作手册。
- 运维手册。
- 培训签到和培训记录。
- 验收报告和客户签收页。
10. 风险与应对
| 风险 | 影响 | 建议应对 |
|---|---|---|
| 云资源未按期准备 | 影响部署和联调 | 现场确认资源责任方、开通周期和备用方案 |
| 域名/证书/白名单未完成 | 影响小程序和管理端访问 | 提前提供域名、证书、IP、端口清单 |
| 设备协议或厂商支持不足 | 影响56台设备接入 | 要求设备厂商提供接口文档、测试账号和联调人员 |
| 人员照片和授权不完整 | 影响建库和合规 | 明确照片来源、采集授权、导入模板和异常处理 |
| 现有人脸平台接口不明确 | 影响对接范围和工期 | 现场确认是否对接、接口方式、测试环境和负责人 |
| 验收指标不明确 | 影响签收和后续争议 | 现场确认指标、公式、样本、测试周期和签收方式 |
| 网络安全策略过严或变更频繁 | 影响联调和上线 | 建立网络变更窗口和联调问题响应机制 |
11. 现场沟通确认清单
11.1 客户需确认
- 部署环境：政务外网、政务云、专有云或其他合规资源。
- 云资源：ECS、RDS、SLB、WAF、OSS、Redis是否由客户提供。
- 网络：专线/VPN/固定出口IP、设备网段、管理端访问范围、白名单。
- 域名与证书：是否已有政务外网域名、备案主体、HTTPS证书。
- 设备：56台设备清单、点位、IP、厂商、型号、协议和联调负责人。
- 人员数据：组织架构、人员名单、人脸照片、采集授权和更新机制。
- 小程序：主体、合法域名、上线审批、发布窗口。
- 现有人脸平台：是否对接、接口文档、测试环境、账号、QPS限制和负责人。
- 安全合规：数据留存周期、权限范围、日志留存、备份策略。
- 验收：验收指标、测试样本、测试周期、异常排除规则和签收人。
11.2 建设单位需准备
- 推荐资源配置表。
- 网络端口和白名单需求表。
- 设备接入字段模板。
- 人员和组织导入模板。
- 现有人脸平台接口需求清单。
- 上线测试和验收清单。
- 运维交付物清单。
12. 现场建议话术
建议开场口径：
“今天我们重点不是把所有技术细节一次讲完，而是把系统能不能部署、能不能联网、能不能接设备、能不能拿到人员和人脸数据、是否需要对接现有人脸平台、以及上线如何验收这几件事确认清楚。确认后我们会形成技术确认纪要，把资源、网络、数据、接口、验收和责任方逐项落下来。”
建议对资源口径：
“当前方案按2台应用服务器、2台高可用数据库、1套负载入口作为起步建议。最终配置可以根据贵方现有云资源调整，但数据库、缓存和内部管理端口建议不开放公网，外部入口原则上只开放HTTPS。”
建议对对接口径：
“如果贵方已有统一人脸平台，我们优先按接口或SDK对接，不重复建设主数据；如果暂时没有接口或接口周期较长，首期可以按独立建设模式落地，同时预留后续对接能力。”
建议对验收口径：
“验收指标建议今天先确定口径，例如设备接入范围、人员导入范围、识别记录字段、接口成功率统计方式、日志和备份策略。没有公式、样本和测试周期的指标，我们不建议写成硬承诺，避免后续验收口径不一致。”
13. 结论
城市副中心项目人脸识别系统建议以“统一入口、内外隔离、双机高可用、最小端口开放、权限可控、日志可追溯、验收可量化”为建设原则。
现场沟通的关键成果应是形成一份客户确认的技术边界清单，包括资源、网络、域名证书、设备、人员数据、现有人脸平台、上线窗口、验收指标和各方责任。只要这些前置条件确认清楚，后续部署、联调、试运行和验收就能进入可计划、可跟踪、可签收的实施状态。