行业数据中心的演进方法论及最佳实践，超融合私有云的方式来建设，使用扩展能力强，功能丰富的私有云超融合基础架构方案，来满足医院业务系

　　算平台切入，通过云计算技术充分利用超融合基础设施资源，提供基于超融合基础设施的基础设施即服务的云计算服务。

　　方案设计中我们将遵循以下总体原则：以医院业务需求为导向，超融合架构最终还是要为医疗业务服务的，因此在架构设计上一定要以医疗业务的需

　　，在医院基础架构建设时，应符合国际、、医疗卫生行业标准、规范和医院自身的发展规划。提高资源利用率现已经部署了大量的服务器，资源使用

　　率低是较突出的一个问题。要充分发挥超融合架构的这一最大的特点，在保证性能的前提下进行合理设计。在同一设备中合理分配计算、存储和网络

　　态、灵活、具有弹性的IT基础架构。要考虑在医疗业务系统实时运行过程中，计算资源和存储资源的同时动态调整和扩展的问题，避免对现有生产

　　业务系统的高可用性和安全性是医院业务得以持续运行的保障。在超融合架构设计中，应该以软件定义技术为主，结

　　构超融合的分布式架构的特点，解决系统单点故障问题和性能瓶颈等问题，在满足业务系统可用性的同时保证医院系统运行安全和数据安全。

　　超融合架构在数据中心，以软件定义为解决方案，使用通用的X86服务器+虚拟化软件建设计算、分布式存储和网络

　　等资源池，极大地简化了数据中心的基础架构。而且通过软件定义资源池为分布式架构，可以实现无单点故障、无单点瓶颈、横向自动弹性扩展、性

　　能线性增长等能力。通过统一的云平台来管控超融合基础设施，来管理调度计算资源、存储资源、网络资源。

　　和交换机。在软件定义层，采用超融合AStack来实现软件定义计算、软件定义存储、软件定义网络。

　　业务系统进行评估，按照评估结果，将适合的业务系统和数据迁移至超融合平台，打破原有竖井式的纵向扩展架构。为了保证HIS/PACS等核

　　心业务数据库的性能和数据的实时性，需要对先对超融合做详细的POC测试，确定满足条件后再进行迁移。

　　议淘汰的设备：服役超过5年以上的服务器，不建议继续使用，可以进行淘汰处理，避免潜在的安全隐患，同时还可以降低整体能耗成本。

　　合的设备：可以利旧整合的服务器主要有两种解决方案。首先，可以用于开发测试，但是需要注意的是，对于这部分资源最好单独建设一个资源分区

　　，不要和生产资源混合在一个资源池里，做好安全隔离，避免互相影响。其次，可以选择部分性能比较好，未过保修期（通常服务器保修年限为三年

　　）且具有整合价值的服务器，然后部署超融合系统，加入到超融合系统群集当中。但是仍然建议单独设计一个资源池，不要与新采购的超融合系统混

　　用一个资源池，同样做好安全隔离。因为老旧的服务器，即使部署了相同超融合系统软件，由于其CPU型号比较旧，而且型号不统一，很难和新采

　　合管理功能，是云平台管理的核心，在同一个web界面提供云资源管理、云运维管理和云服务管理的功能。在采购新的超融合系统以后，要求必须

　　能够和现有的云管理平台兼容，能够进行二次开发和对接。或者直接采用超融合系统的云管理整合原有的虚拟化资源，但是绝不能同时出现多个云管

　　是对现有医院业务系统进行梳理，对医院的业务系统进行评估和分类，选择适合部署在超融合系统之上的系统。主要包括以下几个方面的工作：

　　业务系统进行分析，选择适合迁移到超融合架构的应用。建议优先从非核心的系统开始尝试部署，然后逐渐扩展到其他核心业务系统。

　　系统资源的使用量，包括计算、存储、网络和安全资源等。根据分析出的需要迁移的业务系统资源量，评估现有机房的物理环境和网络环境，是否能

　　，财务管理系统，后勤管理系统，药库管理系统，医疗设备管理系统，门诊、手术及住院预约系统，病人住院管理系统等。医疗管理系统。也是核心

　　业务系统，主要包括门诊、急诊管理系统（HIS），影像文件系统（PCAS）、病案管理系统，医疗统计系统，血库管理系统等。

　　统。包括医疗质量评价系统，医疗质量控制系统等。各种辅助系统。如医疗情报检索系统，医疗数据库系统等。以上业务系统，除了大型三甲医院的

　　核心HIS和PACS数据库外，其实大多数医院的系统都适合迁移至超融合系统，对于业务系统的最终选择，还是需要分析其运行和使用的现状，

　　对于PACS等大容量系统，采用大容量一体机来进行部署。大容量超融合一体机支持平滑横向扩展，数据支

　　超融合平台基于异构虚拟化技术，原生支持KVM虚拟化技术，并支持VMwarevCenter虚拟化接管功能，满足医院用户数据中心异构虚

　　通过虚拟化技术，超融合为用户提供云主机的基础运行环境。用户获得云主机后，可安装合适的业务应用

　　系统，并通过Web界面可对云主机执行众多的生命周期管理操作，包括停止、启动、快照、克隆和加载/卸载数据云盘等操作。云主机包含vCP

　　统并行而设计的。因此CPU厂商如AMD和Intel都需要重新设计CPU，增加虚拟化特性，以解决问题。超融合采用开源KVM技术，已经

　　开始充分利用芯片厂商在处理器架构中构建的硬件辅助功能，以提高系统运行效率，降低Hypervisor带来的系统开销。

　　CPU逻辑虚拟出vCPU，使得在物理硬件之上同时运行多个操作系统成为可能。KVM依靠CPU硬件辅助虚拟化技术，KVM本身分为两部分

　　，分别是运行于Kernel模式的KVM内核模块和运行于User模式的Qemu模块，这两块运行于CPU的根模式；虚拟机操作系统运行于

　　CPU的Guest模式也就是非根模式，特权指令受到KVM的严格监控，如果运行到特权指令，则会自动跳转到根模式。

　　技术的支持，KVM中的每个虚拟机可具有多个虚拟处理器vCPU，每个vCPU对应一个Qemu线程，vCPU的创建、初始化、运行以及退

　　出处理都在Qemu线程上下文中进行，需要Kernel、User和Guest三种模式相互配合。

　　存虚拟化，让虚拟机使用一个隔离的、从零开始且具有连续的内存空间，KVM引入一层新的地址空间，即虚拟机物理地址空间(GuestPhy

　　sicalAddress,GPA)，这个地址空间并不是真正的物理地址空间，它只是宿主机虚拟地址空间在虚拟机地址空间的一个映射。对虚

　　拟机来说，虚拟机物理地址空间都是从零开始的连续地址空间，但对于宿主机来说，虚拟机的物理地址空间并不一定是连续的，虚拟机物理地址空间

　　选择云盘挂载，支持手工指定集群、宿主机、主存储，支持注入用户自定义信息如密码、用户创建、SSHkey。

　　拟机的全生命周期管理。支持按镜像创建虚拟机，也可以根据ISO自定义虚拟机操作系统；支持对虚拟机配置进行调整，如在线调整CPU、内存

　　，添加虚拟磁盘，添加虚拟网卡等；支持虚拟机挂起和恢复，虚拟机挂起时，会释放虚拟机的计算资源，将虚拟机内存数据保存在存储磁盘，执行恢

　　复操作时再从存储磁盘读回虚拟机内存。支持删除指定虚拟机，删除时将解绑IP，回收虚拟机的相关资源；支持回收站功能，删除的虚拟机将在回

　　虚拟机克隆虚拟机在线克隆，不影响正在运行的业务，可以选择克隆数量进行批量克隆，可以选择主存储和亲合

　　超融合支持在线将虚拟机创建为镜像，并通过镜像库方式来管理镜像花刺代理ip软件下载，创建镜像可以选择不同的镜像库。支持将虚拟机镜像导出

　　超融合支持对虚拟机进行快照，对磁盘当前时间点的数据进行冻结。快照适用于一些有风险的操作，比如虚拟机操作系统升级

　　盘，无需停机，不影响业务的运行。操作系统可以立刻识别到云硬盘，添加完毕后马上可以使用。修改计算规格支持在线修改虚拟机的计算规格，增

　　加vCPU和内存数量，即纵向扩容。当监控到虚拟机资源利用率较高时，可以在线修改虚拟机的计算规格，增加虚拟资源，降低资源的利用率，保

　　控制台密码支持设置控制台密码，在打开云主机控制台时加一层防护，使得云主机的访问更加安全，防止随意打开控制台随意操

　　存储迁移云主机支持关机状态下跨共享存储的数据迁移，保证更好的数据连续性，目前支持跨Ceph存储迁移、跨NFS存储迁移。

　　性能方面比社区版Ceph高出3倍以上，满足高IO吞吐业务场景，支持对象存储、块存储访问类型。它提供一个单一的存储平台，可以处理对象

　　、块的数据存储。它的高扩展性可以达到PB级，它还拥有高容错性和高一致性数据冗余机制。使用Ceph作为存储方案，其中所有服务器的SS

　　D硬盘组建独立的SSD存储池Pool，所有服务器SAS硬盘组建为独立的SAS存储池Pool。在该场景下，同一个Ceph集群里存在传

　　统机械盘组成的存储池，以及SSD组成的快速存储池，可把对读写性能要求高的数据存放在SSD池，而把其他备份数据等一些要求低的数据存放

　　DD），各存储池的IO访问隔离，并独自扩容伸缩。不同速度的存储池，满足不同业务系统对存储访问的性能与容量要求。

　　式存储产品既具备有互联网化高度可扩展性的基因，又有着医院关键业务友好特性，作为一款成熟存储软件产品，其优势特性主要体现在以下方面：

　　ASDS企业级分布式存储的核心代码架构基于业内领先的强一致性哈希算法，在关键环节进行了深度代码优化，包括对

　　网络、磁盘处理效率、数据分层与缓存机制等，使得存储系统能够胜任高并发、高输入输出效率的需求。与主流NVMe闪存技术相结合，通过SP

　　DK新协议栈优化IO路径，突破单节点数千IOPS的瓶颈，通过配置不同性能的通用硬件，无缝适应冷热数据切换等各种应用场景的性能需求。

　　服务质量保证分布式存储系统是一个复杂的集群化系统，每个层次、部件都可能涉及到不同厂商的软硬件产品，节点掉电失效、硬盘故障、网络抖

　　动等数据中心的常态故障常常导致分布式存储集群处于长久或暂时的数据不一致状态，ASDS企业级分布式存储提供了后台自动一致性数据校验功

　　同时ASDS企业级分布式存储支持数据恢复QoS（QualityofService）设置，对于长时间段的副本丢失，系统需要

　　数据重建恢复处理，用户可以对数据恢复进行多种策略选择，在进行恢复保障数据一致的同时，合理调整其优先级以适配不同业务性能。支持块服务

　　的在线卷级QoS设置，用户可对存储卷设定IOPS阈值限制，以及性能突发状况时的限制，以保证存储各客户端取得一致的性能体验。支持对存

　　储卷QoS进行实时更改，更好地帮助管理员和上层应用开发人员动态调配性能资源，以应对潮汐式的应用场景。

　　级分布式存储在具备先进功能特性的同时，特别对系统的可靠性进行了特定优化。借助研发团队丰富的生产经验，产品不仅规避了传统分布式存储系

　　统中对可靠性造成威胁的诸多潜在缺陷，而且对关键IO路径和管理控制模块皆进行了冗余设计。同时，通过拓扑规划功能对存储集群支持多种安全

　　级别的数据安全保护，如支持服务器级别、机架级别、数据中心级别的故障域。使存储系统可靠性及持续在线特性得到有效保证。

　　性极大增强阻止医院客户采用分布式存储系统的另一个重要原因是运维成本的不可控性。ASDS企业级分布式存储丰富的可视化管理功能和体贴的

　　管理流程帮助用户解决了这一难题——基于Web的可视化安装和扩容使得用户能快速精确地掌控分布式存储底层复杂的硬件；存储池的分层设计让

　　用户轻松应对资源规划与关键应用分区；丰富的RESTfulAPI、命令行、磁盘S.M.A.R.T.、容量预警、历史监控、日志和告警等

　　功能帮助用户迅速定位并解决存储集群系统中的各种突发状况。用户只需具备传统存储管理员的入门级基础，即可胜任系统的安装部署、日常管理、

　　、EC、多副本、故障域等功能帮助轻松构建高级别的数据保护机制；精简配置（ThinProvisioning）、空间回收、分级存储等功

　　e，其中RamReadCache采用使用的增强型预读算法，提升系统读性能；SSDR/WCache提供智能IO合并算法和热点数据分析

　　设置合适网络服务，减轻与日俱增的云主机数量带来的网络不可控难题。自动化网络服务，是产品核心技术之一。目前，超融合提供对以太网的自动

　　化管理，包括扁平网络和云路由网络。基于以太网提供DHCP、弹性IP、端口转发、负载均衡、IPsec隧道VPN和安全组等服务功能，可

　　扁平网络是指云平台提供纯二层的网络服务，三层功能由外部物理网络提供。扁平网络的架构图如下所示：

　　VPC网络是是基于VPC路由器和VPC网络共同组成的自定义私有云网络环境，帮助医院用户构建一个逻辑隔

　　可用设计方案。每台服务器使用双电源，接入两路交流电，保证在一路电源断电的情况下仍然能够正常工作。

　　卡交叉做bond来保证数据传输的高可靠性。不同的管理节点分开部署到不同的机柜，避免了机柜整体掉电平台管理无法使用的情况。使用两块磁

　　节点若出现宕机，管理服务将不可用，直接影响到平台的运维管理、监控报警、租户访问、自动化任务执行等，对平台或租户的运维工作产生较大影

　　HA进程负责监控MN节点上的关键服务（管理节点进程，UI进程，MySQL），当任何一个服务宕机时，立即通过keepal

　　并为一个具有共享资源池的集群，并持续对集群内所有的服务器主机与虚拟机运行状况进行检测，一旦某台服务器发生故障，超融合会持续进行检测

　　，确定此服务器宕机后，会立即在集群内另一台服务器上重启所有受影响的虚拟机，保证业务的连续性。超融合虚拟机高可用方案不需要专门的备用

　　硬件，也不需要集成其他软件，就可以将停机时间和IT服务中断时间降到最低程度。同时避免单一操作系统或特定于应用程序的故障切换解决方案

　　（1）管理节点在指定时间内，使用存储网络IP周期性的使用nmap扫描物理机端口，如果某次扫描成功，则认为物理

　　（2）管理节点通知集群内监控的物理机通过存储网络IP使用nmap扫描疑似宕机物理机。如果某次扫描

　　合云平台的运行，产生大面积影响。超融合采用分布式存储，基于分布式存储多节点、多副本的能力，可以实现存储硬盘级别、节点级别、机柜和机

　　ASDS企业级分布式存储基于Ceph分布式存储方案开发，并对Ceph做了配置优化以达到医院生产环境要求。用户可以

　　通过超融合云平台使用云存储创建、删除、云主机挂载、云存储卸载、云存储查询、云存储QoS等服务。采用全分布式存储架构，整个存储系统没

　　有单点故障，并且，通过系统的多副本技术，可以根据用户需要设置数据副本数量和复制策略，把数据同时存在于多台服务器、多个机架、多个数据

　　Ceph由多个独立的x86服务器实现，所有节点是完全对称架构，无主次之分，可以在不停机的情况下

　　动态增加/删除存储节点，实现存储容量和性能的动态扩展，“对称”意味着各节点可以完全对等，能极大地降低系统维护成本，且无单点故障。支

　　持理论上无限水平扩展，支持PB级别的大规模存储。ASDS企业级分布式存储支持用户数据按照设定的1-6副本进行冗余存储。如下图所示，

　　以3个节点组成一个资源池，存储数据为两副本的简单模型为例，任意1个节点上的主副本数据，其备副本数据会均匀分布在其他节点上，单点故障

　　三副本场景下，在一个资源池内，出现两个节点或两块磁盘同时故障，整个系统不会丢失数据，不影响业务正常使用。

　　指有共同单点故障的服务器（如同一个机架）组成，数据副本分布到不同故障域，保障数据安全。可以为机架、服务器、硬盘提供故障恢复能力。无

　　论磁盘、服务器发生硬件故障，甚至整个机架出故障，也不会造成停机或数据丢失。下图每个机架设置成一个故障域，如果创建一个2副本存储池，

　　则不同副本数据一定会自动化分放在不同的机架里，这样即使机架A出现故障，也不会停机或数据丢失。

　　选举算法，Paxos算法保证系统正常工作的前提是正常工作的节点数占整个节点数的半数以上。三个Cephmonitor节点分别装在三个

　　不同的节点上，允许1个节点宕机；如果Ceph的monitor节点超过半数宕机，Paxos算法就无法正常进行仲裁(quorum)，此

　　据库（以下简称数据库）的定时备份数据。同时本地备份服务器支持主备无缝切换，有效保障业务连续性。

　　数据损坏等情况，可将本地备份服务器中的备份数据还原至本地；当集群整体发生灾难时，完全可依赖本地备份服务器重建集群并恢复业务。

　　支持将异地机房的存储服务器作为异地备份服务器，用于存放本地云主机/云盘/数据库的定时备份数据。备份数据需通过本

　　当发生本地数据误删，或本地主存储中数据损坏等情况，可将异地备份服务器中的备份数据还原至本地。当

　　公有云备份服务器，用于存放本地云主机/云盘/数据库的定时备份数据。备份数据需通过本地备份服务器同步至公有云备份服务器。

　　数据误删，或本地主存储中数据损坏等情况，可将公有云备份服务器中的备份数据还原至本地。当本地数据中心发生灾难时，可依赖公有云备份服务

　　也存在较大的波动，这就要求医院IT基础架构能够支撑这样的弹性扩展需求，IT部门面临很大的挑战.传统的解决方案有两种方式，静态和动态

　　部署：前者指按照峰值来规划并部署，但是一次性投入很大，而且平时资源利用率很低；后者指在峰值到来之前进行扩容，峰值过后回收资源，这使

　　机作为业务服务器提供给部门使用，可以实现更细粒度的资源使用；同时，和传统物理机相比较，虚拟机的部署更为方便快捷，而且可以在不同物理

　　机之间迁移，提高了资源调度的灵活性。因此，部署了云业务环境的医院可以采用动态部署方式来应对突发性需求。超融合推出了“面向应用的云动

　　态资源扩展解决方案”——弹性伸缩组，整合云主机负载监控、云主机管理和负载均衡，自动化的实现上述三个系统的关联部署，能够根据云主机的

　　，可根据用户业务的负载变化，按照预定义的策略，自动调整伸缩组内云主机的数量，提高云平台资源的使用效率，降低运维成本，保证业务平稳运

　　动减少云主机；提供监控报警触发弹性伸缩，可自定义接收端类型，包括：邮箱、钉钉、HTTP应用。

　　伸缩组内云主机的健康状态，自动移除不健康云主机并创建新的云主机，确保组内健康云主机数不低于设置的最小值；提供两种健康检查机制触发弹

　　性自愈：负载均衡健康检查、云主机健康检查，若伸缩组配置了负载均衡功能，建议选择负载均衡器自带的健康检查机制。

　　负载均衡器自带的健康检查机制，需设置健康检查宽限时间（伸缩组内云主机创建启动后的一段时间），在该时间内，云主机相关应用服务可能仍在

　　启动中，伸缩组不进行负载均衡健康检查，超过该时间，将基于负载均衡健康检查机制监控云主机健康状态。

　　康状态，若检测到云主机处于不健康状态（包括：停止状态、未知状态、已删除状态），将自动移除不健康云主机并创建新的云主机，确保组内健康

　　大时，如果持续一定的时间超过触发条件阈值，则根据预先设定的步长，一次性扩展特定数量的虚拟机。当执行完一次扩展以后，伸缩组会处于锁定

　　性移除特定数量的虚拟机。当执行完一次收缩以后，伸缩组会处于锁定的状态，需要等待一个冷却时间再进行下一次收缩。

　　构建医院大数据平台，对接医院各医疗业务系统，抽取分散的数据，通过大数据平台的对比，转换、质量等数据治理工作构建医院大

　　数据仓库，为数据分析和AI学习提供统一数据API接口，经过大数据平台数据建模，模型训练等工作为医院提供院长驾驶仓等数据可视化服务，

　　nit）直接分配给特定的虚拟机来提升虚拟机的处理能力，以满足客户对于图像视频处理、AI计算等高性能处理的需求。

　　功能对GPU进行区分管理，比如训练和推理。当用户在超融合云平台中使用机器学习时，用户可创建训练集群，并在集群中统一配置比如V100

　　，当训练完成以后再将特征模型转移到专有的推理T4（生产）集群中上线。另外，再配合GPU规格的高可用，当某一集群的物理机出现故障时，

　　云主机可快速迁移至同集群中的另一个物理机上并自动挂载GPU，可保证训练、推理任务的连续性，极大地提高生产效率。

　　等保2.0编订过程中，最重要的一个变化，是从条例法规提升到法律层面，2017年6月1日正式施行

　　的《网络安全法》明确要求，“施行网络安全等级保护制度”，“针对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要

　　0标准在1.0标准的基础上，注重全方位主动防御、安全可信、动态感知和全面审计，实现了对传统信息系统、基础信息网络、云计算、大数据、

　　物联网、移动互联和工业控制信息系统等保护对象的全覆盖。在设计架构上，等保2.0充分体现了“一个中心三重防御“的思想，一个中心指“安

　　全管理中心”，三重防御指“安全计算环境、安全区域边界、安全网络通信”，同时等保2.0强化可信计算安全技术要求的使用。

　　.0在安全体系建设方面，从被动防御的安全体系向事前预防、事中响应、事后审计的动态保障体系转变，通过等保2.0，旨在构建覆盖关键基础

　　设施安全的风险管理体系、安全管理体系、安全技术体系、网络信任体系，共同构建网络安全综合防御体系。

　　体系以及等级保护标准体系的构建，形成企事业单位、各级机构的全面网络安全保护，从法律和标准层面确定网络安全综合防御体系的指导方向。

　　等保1.0标准为信息系统进行网络安全建设提供了建设依据，在推进过程中，包括税务、教育、光电、金融、烟

　　草等行业也专门出台了行业标准进行进一步规范和指导，但随着新技术的不断发展、网络安全整体呈现新形势、安全方面不断产生新需求、亟待扩大

　　大部分单位只为合规而开展等保，通过对标和设备堆叠达到合规的效果，但缺少体系性考虑和真正有效的风险处置能力，无法真正提

　　传统等保要求以被动防御为主，对事前、事中和事后的闭环安全保障能力要求较少，大部分等保合规系统遭受攻击后，难以主动

　　信息技术的快速发展和迭代，导致等级保护缺少对新技术的安全要求，使云计算、大数据、物联网等一系列新技术应

　　APT、邮件钓鱼、虚拟机逃逸、物联感知设备挟持等新的安全威胁和新的攻击手段带来了很多新的安全风险，

　　、实施环节四个内容具有较大变化，本方案有关法律法规的要求在2.1章节中有部分阐述。本方案将主要针对安全体系、实施过程和标准要求进行

　　等级保护对象整体安全保护能力的要求”中，明确要求“应考虑一下总体性要求”“构建纵深的防御体系”“采取互补的安全措施”“保证一致的安

　　安全技术体系和安全管理体系，构建具备相应等级安全保护能力的网络安全综合防御体系。应依据网络安全等级保护政策和标准，开展组织管理、机

　　制建设、安全规划、安全监测、通报预警、应急处置、态势感知、能力建设、监督检查、技术检测、安全可控、队伍建设、教育培训和经费保障等工

　　由此以及具体的技术控制项的调整，可以确定，等保2.0由1.0防御审计的被动保障向感知预警、动态防护、安全监测、应急响应的主

　　系统”，调整为“基础信息网络、工业控制系统、云计算平台、物联网、使用移动互联技术的网络、其他网络以及大数据等多个系统平台”,并会在

　　制项内容进行精简合并，但总评分要求从60分以上，基本符合调整为75分以上基本符合，提高了符合要求。同时微调测评时间间隔，将第三级系

　　等保2.0的具体类目变化中，值得关注的变化是在等保二级以上要求中，将1.0的管理制度中的“安全管理中心”独立为一个要求大

　　类，包括“系统管理、审计管理、安全管理、集中管控“等，为了满足等保2.0的核心变化——从被动防御转变为主动防御、动态防御。同时完善

　　，在“一个中心三重防御”的思想下，进行具体技术和服务拆分，对技术控制项及管理控制项进行二次分解，建议在整体控制项要求中，根据技术和

　　理环境选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护 机房建设、物理安全策略

　　电子门禁系统、视频监 控系统、防雷保安器、火灾自动消防系统、水敏感检测仪、静电消除器、中央空调、防静电设施、稳压器、UPS、冗余

　　安全通信网络 网络架构 网络架构优化、安全区域划分、安全产品集成、带宽控制、设备冗余 防火墙、流控、设备冗余

　　安全计算环境 身份鉴别 包括操作系统安全加固、数据库安全加固、中间件安全加固、网络设备安全配置加固、应用安全、数据安全 双因素、P

　　级增加）、资产管理（三级增加）、网管系统（三级增加）、大数据安全分析（三级增加）、态势感知（三级增加）

　　管理 安全管理体系建设、安全管理组织机构搭建、安全技术规范建设、安全运维体系建设、应急响应体系建设 构建安全管理体系

　　集中的安全管理，划分统一的安全运维区，将已建的网关、安管、运维堡垒机、综合日志审计等系统进行统一管理。

　　建立统一的大数据架构的安全管理中心，实现企业级安全态势感知，新建并整合已有的安全能力，最终实现“建立统一的支撑平台”“进行集中的安

　　各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求。 符合

　　随着互联网络规模不断扩大、应用更加广泛，各种网络攻击、信息安全事故发生率也不断攀升。为了应对新型安全挑战，每个中大型企业和组织

　　先后部署了防火墙、UTM、IDS、IPS、漏洞扫描系统、防病毒系统、终端管理系统、WAF、DB-AUDIT等安全设备，构建起了一道

　　道安全防线。然而，这些安全防线都仅仅抵御来自某个方面的安全威胁，形成了一个个“安全防御孤岛”，无法产生协同效应。更严重些，复杂的I

　　T资源及其安全防御设施在运行过程中不断产生大量的安全日志和事件，形成了大量“信息孤岛”。有限的安全管理人员面对这些数量巨大、彼此割

　　裂的安全信息，操作着各种产品自身的控制台界面和告警窗口，显得束手无策，工作效率极低，难以发现真正的安全隐患。另一方面，企业和组织日

　　益迫切的信息系统审计和内控要求、等级保护、法律法规要求，以及不断增强的业务持续性需求，也对客户提出了严峻的挑战。

　　作为信息系统的综合性管理平台，通过对客户网络设备、安全设备、主机和应用系统日志进行全面的标准化处理，及时发现各种安全威胁、异常行为

　　事件，为管理人员提供全局的视角，确保客户业务的不间断运营安全。综合日志审计平台通过基于国际标准化的关联分析引擎，为客户提供全维度、

　　跨设备、细粒度的关联分析，透过事件的表象真实地还原事件背后的信息，为客户提供真正可信赖的事件追责依据和业务运行的深度安全。产品同时

　　提供集中化的统一管理平台，将所有的日志信息收集到平台中，实现信息资产的统一管理，监控资产的运行状况，协助用户全面审计信息系统整体安

　　综合日志审计平台旨在实现网络资产安全状况的统一管理，使企业的利益受损风险降低，广泛适用于政府、金融、运营商、公安、电力能

　　000多种设备的日志接入。日志接入兼容性能力强。覆盖主流硬件设备、主机及应用，保障日志信息的全面收集。实现信息资产（网络设备、安全

　　以选配各种RAID级别进行数据冗余和安全保障。系统拥有多项自主知识产权的存储加密机制和查询机制，十分合适等保、密保等行业的应用要求

　　智能关联分析 自研高效关联分析引擎，具备多项核心专利技术。 实现全维度、跨设备、细粒度关联分析，内置众多的关联规则，支持网

　　扫描工具的漏洞管理分析，可结合日志和资产进行关联分析。 支持收集和管理来自各种Web漏洞扫描、主机漏洞扫描工具、网络漏洞扫描工具的

　　的要求。如《网络安全法》、《信息安全等级保护管理办法》、SOX法案等。具备1000+相关法案的审计报表。

　　d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。

　　8.1.5.1 系统管理 a)应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进

　　b)应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统

　　力普及，企业信息化内控建设方面存在一定的滞后性，信息化设备的运维方面存在众多的安全隐患，如系统账号滥用、弱密码、越权访问、权限管理

　　混乱、运维过程不透明、误操作、恶意数据泄露等众多安全问题，运维的服务器普遍存储着各种重要的业务数据，业务的稳定安全运行至关重要，运

　　维过程中一旦误操作或者遭受恶意操作，没有任何访问控制和审计，将会导致事中无法管控、事后无法追溯调查取证，存在着极大的管理风险，随着

　　对网络安全的重视，企业运维内控也变得日趋重要，如何管控内部各种运维人员的日常操作行为已经是信息化建设和管理必须重点考虑和解决的问题

　　运维审计与风险控制系统（简称：DAS-USM或堡垒主机）是结合安全运维管理理论和实际运维需求，研发的专注解决运维内控合规审计的

　　产品，满足各类法令法规（如信息安全等级保护、PCI、SOX塞班斯、ISO27001等）对运维管理的要求，并符合4A（认证Authe

　　事业单位运维提供完整的运维审计日志信息，通过资产管理、账号管理、身份认证、资源授权、审计回放等功能增强运维管理的安全性，广泛适用于

　　运维协议 目前已经支持SSH、RDP、VNC、FTP、SFTP、Telnet等六种协议近200个协议版本，兼容目前数据中

　　式保证用户访问的合法性，确保账号无法盗用。 同时支持同第三方认证平台AD/LDAP/RADIUS的认证对接。

　　智能学习建模方式，建立运维人员的权限模型，智能完成授权，并自动添加资产和账号。大大减少部署工作量，保障系统快速有效上线。

　　入 支持Web单点登录、C/S登录、网关代理、WebH5运维等四种方式运维接入，能友好的兼容各种终端、各种环境、各种不同使用习惯的

　　文件传输审计 可以完整保存SFTP、FTP、SCP、RZ、SZ、RDP协议传输的文件，支持细粒度的文件审计控制，

　　、DB2等主流数据库的运维操作进行运维访问控制和审计，用户运维体验、审计完整性和细粒度有较为明显的技术优势。

　　统内置丰富的报表统计，包含操作重要性、异常用户、行为告警、会话数量、法律法规符合性等维度统计的多种报表，报表形式包含柱状图、饼图、

　　互联网出口区，应部署防火墙进行总体网络出口防护，建议双机部署，并根据自身实际带宽，配合合适的抗Ddos攻击设备或云防。

　　分可进一步拆分，需要通过防火墙进行隔离，在此区域，提供web服务的服务器，建议部署防篡改系统及部署WAF进行统一防护，并在各服务器

　　主机部署EDR终端管理系统，在此区域内，数据库服务器建议部署数据库审计进行日志收集、邮件服务器建议部署邮件审计进行日志收集，包括W

　　EB服务器、数据库服务器、邮件服务器在内的多类服务器，通过综合日志审计系统进行日志统一汇总。

　　，将内部流量和外部流量输出给DPI、APT、NTA等流量采集和分析设备，建议考虑专用分光设备进行流量集中采集和分发。

　　区，在此区域内，建议部署大数据架构的ailpha大数据分析平台和态势感知平台，进行统一日志分析、调度管理。部署运维堡垒系统，进行统

　　.1.3.3 入侵防范 a)应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为； 符合

　　d)当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警 符合

　　1.3.4 恶意代码和垃圾邮件防范 a)应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新； 符合

　　IPS高级持续性威胁，是利用先进的攻击手段对特定目标进行长期持续性的网络攻击的攻击形式。通常由具备背景或组

　　织背景的黑客团体发起，他们组织严密、目标明确、手段高超、危害巨大。APT攻击中针对被攻击目标对象的特定应用和系统，往往会制作或投放

　　包含针对性的0day漏洞利用的恶意代码样本，传统的杀毒软件、防毒墙、IPS、IDS、防火墙等设备都只能检测基于已知安全漏洞及恶意代

　　获取权限、命令与控制、数据盗取整个APT攻击链中的攻击行为都具备检测能力。同时基于双向流量的解析机制，实时发现由外到内和由内到外的

　　网络攻击行为。产品基于丰富的特征库、全面的检测策略、智能的机器学习、高效的沙箱动态分析、海量的威胁情报，能实时发现网络中发生的各种

　　已知威胁和未知威胁，检测能力完整覆盖整个APT攻击链。产品广泛适用于“政府、行业、金融、证券、公安、教育、税务、电力、电子商务”等

　　具备全面的攻击检测能力 通过对网络全流量的深度解析，实时发现Web攻击、恶意病毒样本、勒索病毒

　　爆发、挖矿行为、内部主机受控、暴力破解、隐蔽信道数据传输、弱口令、邮件社工类攻击等APT攻击，实时检测已知和未知风险。

　　包括0day漏洞利用威胁在内的恶意代码样本 内置国际领先的反病毒引擎，同时内置静态分析引擎和动态沙箱引擎，准确提取恶意代码样本中内

　　据并进行深度挖掘和关联分析，对攻击源和攻击目标进行长周期内的威胁情况分析、攻击溯源和攻击过程可视化展现，并绘制攻击路线图以进行快速

　　分析当前安全防护的弱点 传统安全防护产品都是基于特征的，极易出现绕过攻击，APT通过及时发现绕过攻击，然后针对系统防

　　对受控主机的全面监测和发现能力 产品集成了多种C&C回连行为的检测机制，能全面和准确发现受控主机、回连方

　　快速又高效的文件沙箱检测能力 文件沙箱具备多项专利，能在文件沙箱动态模拟运行恶意样本后近似零开销恢复沙

　　箱环境，同时在文件沙箱中能同时模拟运行多个样本而互不干扰，极大提升文件沙箱的检测能力，发现未知威胁。

　　8.1.3.2 访问控制 a)应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控

　　在面对日益增长的应用和流量以及网络安全的需求下，传统的网络防火墙已经无论在功能还是在性能方面都显得力不从心。通过部

　　署下一代防火墙，对重要节点和网段进行边界保护，可以对所有流经防火墙的数据包按照严格的安全规则进行过滤，将所有不安全的或不符合安全规

　　则的数据包屏蔽，防范各类攻击行为，杜绝越权访问，防止非法攻击，抵御可能的DOS和DDOS攻击。通过合理布局，形成多级的纵深防御体系

　　防火墙功能防火墙实现不同安全域之间的访问控制，可以达到等级保护中要求根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控

　　的功能模块嵌入，采用串联的方式在边界接入区进行部署，对网络上的各种攻击进行实时阻断，该设备具有bypass的功能，既使出现软件或硬

　　以及缓冲区溢出攻击和漏洞攻击；封堵主流的高级逃逸攻击；检测和防御主流的异常流量，含各类Flood攻击；提供用户自定义攻击特征码功能

　　，可指定网络层到应用层的对比内容；提供虚拟补丁功能，让没有及时修补漏洞的客户，能够保障网络安全正常运行。

　　为下一代防火墙的功能模块嵌入，在内外网边界接入区和内网服务器区边界进行部署。配合先进的防病毒引擎，能够精准识别并清除流行木马和顽固

　　病毒。病毒检测引擎针对非缓存流检测模式进行了全面结构调整和优化，使DAS-Gateway的病毒检测率和处理性能获得质的突破：在保持

　　300万以上种病毒。可以根据不同的源IP地址、目的IP地址、服务、时间、接口、用户等，采用不同的病毒防御策略。

　　文件病毒、恶意网页代码、木马后门、蠕虫等多种类型的病毒特征库定时更新，支持病毒库本地升级，病毒库可实时在线升级。支持基于病毒防护策

　　代码防范 应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。 符合

　　安全审计 a)应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； 符合

　　1.1.7 恶意代码防范管理 a)应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等； 符合

　　与加固、网络防护与加固等功能的主机安全产品，通过使用的文件诱饵引擎，有着业界领先的勒索专防专杀能力；通过内核级东西向流量隔离技术，

　　实现网络隔离与防护；拥有补丁修复、外设管控、文件审计、违规外联检测与阻断等主机安全能力。目前产品广泛应用在服务器、桌面PC、虚拟机

　　内大量扩散，对主机上安装的杀毒软件无法及时全部配置检测任务。杀毒软件无法处理未知的勒索病毒变种，勒索病毒变种繁多，杀毒软件依赖规则

　　策的未知类型勒索病毒，主机卫士EDR采用诱饵引擎，在未知类型勒索病毒试图加密时发现并阻断其加密行为，有效守护主机安全。

　　端安全态势，服务器、PC和虚拟机等终端安装了客户端软件后，上传病毒木马、违规外联、安全配置等威胁信息到管理控制中心。用户在管理控制

　　中心可以看到所有安装了客户端软件的主机，包括服务器、PC和虚拟机的安全态势，并进行统一任务下发，策略配置。

　　主机卫士EDR包含传统杀毒软件的病毒查杀、漏洞管理、性能监控功能，在系统防护方面还可做到系统登录防护、系统进程防护、文件监控，还支

　　示内网所有流量和主机间通信关系，梳理通信逻辑，上帝视角对策略进行规划，便于用户第一时间发现威胁，一键清除威胁。

　　，补丁管理。主机卫士EDR可将人类语言转化为具体安全配置，明确、有效的进行主机防护。主程序、病毒库、漏洞库、补丁库、Web后门库、

　　据安全管理制度的基本要求制定各类管理规定、管理办法和暂行规定。从安全策略主文档中规定的安全各个方面所应遵守的原则方法和指导性策略引

　　和相关人员对安全管理制度体系的合理性和适用性进行审定，定期或不定期对安全管理制度进行评审和修订，修订不足及进行改进。

　　根据基本要求设置安全管理机构的组织形式和运作方式，明确岗位职责；设置安全管理岗位，设立系统管理员、网络管理员、安全

　　管理员等岗位，根据要求进行人员配备，配备专职安全员；成立指导和管理信息安全工作的委员会或负责人小组，其最高负责人由单位主管负责人委

　　统定级、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统备案、等级评测、安全服务商选择

　　等方面。从工程实施的前、中、后三个方面，从初始定级设计到验收评测完整的工程周期角度进行系统建设管理。

　　根据基本要求进行信息系统日常运行维护管理，利用管理制度以及安全管理中心进行，包括：环境管理、资产管理、介质管理、设备管理、监控管理

　　和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理等，使

　　估方式，主要是模拟黑客的攻击方法对系统和网络进行非破坏性质的攻击性测试，目的是侵入系统，获取系统控制权并将入侵的过程和细节产生报告

　　具扫描具有很好的效率和速度，但是存在一定的误报率，不能发现高层次、复杂的安全问题；渗透测试需要投入的人力资源较大、对测试者的专业技

　　能要求很高（渗透测试报告的价值直接依赖于测试者的专业技能），但是非常准确，可以发现逻辑性更强、更深层次的弱点。

　　针对客户应用及数据库系统进行漏洞扫描以及人员评估。漏洞扫描主要依靠带有安全漏洞知识库的网络安全扫描工具对信息资产进行基于

　　网络层面安全扫描，其特点是能对被评估目标进行覆盖面广泛的安全漏洞查找，并且评估环境与被评估对象在线运行的环境完全一致，能较真实地反

　　在安全巡检或渗透测试服务结束后，根据针对客户WEB应用系统及数据库进行风险评估过程中的脆弱性识别和分

　　固初步包括WEB应用系统加固、数据库应用安全加固、主机安全加固等。除此之外，我们还将提供网络架构改进建议、设备安全加固等网络层面的

　　7×24小时全天候应急响应，承诺4小时内响应，并快速到达事件现场，协助进行业务恢复，尽可能降

　　施和行动，其目的是快速恢复系统的保密性、完整性和可用性，阻止和降低安全威胁事件带来的严重性影响。

　　黑客入侵事件误操作或设备故障事件但通常在事件爆发的初始很难界定具体是什么事件。通常根据安全威胁事件的影响程度来分类：

　　造成独立个体的不可用，安全威胁事件影响弱。局部损害：造成某一系统或一个局部网络不可使用，安全威胁事件影响较高。整体损害：造成整个网

　　络系统的不可使用，安全威胁事件影响高。当入侵或者破坏发生时，对应的处理方法主要的原则是首先保护或恢复计算机、网络服务的正常工作；然

　　后再对入侵者进行追查。因此对于客户紧急事件响应服务,主要包括准备、识别事件（判定安全事件类型）、抑制（缩小事件的影响范围）、解决问

　　具体应急响应过程如下：事件发现：机房值班人员、网络管理员、系统管理员或者其他发现可疑问题的人员应该详细记录

　　接到电话或应急响应申请单，需立即向来电人员或申请人员进行电话沟通，明确其应急响应服务需求，填写724小时应急响应值班记录，并将值

　　判断是否为紧急安全事件：安全咨询部主管收到值班人员提交的值班记录和应急响应申请单，根据客户信息系统安

　　安全应急工程师进行应急处理操作前，与客户确认服务需求并签订保密协议，客户签署应急响应服务合同。

　　安全事件；防火墙攻击安全事件；病毒与木马攻击安全事件；网站页面篡改安全事件；数据库内部误操作。

　　以电话、邮件的方式向用户提供可疑事件分析、漏洞信息深入解释、安全建议等各类安全相关问题的咨询。

　　根据目前的信息安全形势，向用户提供实时的应用安全相关漏洞的安全通告以及解决方案。通过安全通告服务，将实

　　核制度、账号口令管理办法、服务器防病毒日常维护制度、补丁加载管理办法、安全事件应急响应实施细则等。

　　经过全面检测、分析、防护和加固，根据系统运行状况，提供系统安全报告。服务报告应该得到客户和内部管理层共同的认可和记录。服务监控和报

　　告包括所有服务可测量的方面，提供现在和过去的分析。服务报告应该快速，简洁，可靠和干净。它们应该准确的反映被服务者的需求并且足以被用

　　作为支持决定的工具。有效的报告应该说明发生了什么事件预测报告应该能够给予对重要事件预先警告，从而在事件发生之前做出行动。工作量和系

　　列信息，如：事故，问题，变更和任务，分类，场所，用户，趋势，优先权调整，服务项目。报告包括每个流程的信息，如：事故的数量，最常涉及

　　我公司长期与相关设备提供公司合作，有良好的商业信誉，熟知设备定购的工作流程，能够良好的协调货物的生产运输情况。在设备到货期间，我们

　　将保持与厂商的联系，密切跟踪货物的运输情况，向用户及时通报货物的到货情况。在整个运输过程中，我们将严格按标准保护措施进行包装，确保

　　内，一份单独交给用户。每个产品包装箱内都必须包括一份详细的装箱单，并应与交付用户的装箱单相一致。

　　通，了解用户的网络现状（现有设备及应用软件运行情况），通过对实施方案的技术细节进行分析、探讨和论证，修订系统配置参数，向用户提交安

　　为配合项目的实施，我们向用户提供必要的技术培训。培训分系统培训和产品培训。（详见培训计划部分）

　　训效果，达到预期目的，我们将在授课期间通过培训效果跟踪表及时了解培训中出现的偏差，对技术人员提出的问题进行及时解答，以实现技术的转

　　员分工，布置工作任务。对工程实施小组人员进行内部培训、统一作业方法，说明注意事项，务求参加项目的有关人员清楚系统的整体结构、方案设

　　计的详细内容、施工的具体任务、设备的调试方法，由技术实施负责人对技术人员进行技术交底，交底内容包括：工程施工进度计划，分项工程的调

　　同共同开箱验收，根据设备装箱清单，检查设备外观、型号、版本号及随机附件，做好验收记录。对不合格货物进行更换。

　　我们将派出具有丰富工程经验的工程师到达用户现场，完成设备和系统安装调试与测试验收工作。在实施工程中我们将遵守现场的规章制度，如需加

　　班，将提前通知用户，以便准备和配合。在施工过程中做好设备的安装调试记录并定期向项目主管部门通报工程进度。

　　联调完成后，要对系统进行优化。及时解决联调阶段出现的问题，消除系统运行中的隐患。随后进行工程自

　　验收，自检通过后将所有工程文档整理成册，随自检报告和拟定的验收内容、标准、程序等验收报告一并提交用户，完成验收的准备工作。

　　用户项目负责人小组、集成商、监理单位和有关技术专家组成的验收小组，从系统的实用性、功能性、稳定性、可维护性、灵活性、可操作性及系统

　　系统可维护性验收：检查包括设备的可维护性和整个系统的可维护性；系统的灵活性验收：检查系统是否方便用户维护，是否在先进性的基

　　备未来升级和可扩充性，是否利于系统平台迁移等；系统文档验收：检查验收文档是否齐全、规范、准确、详细。主要文档包括：

　　文件类文档、安装计划类文档、设备测试类文档和系统配置类文档。验收完成后，最终形成工程验收结论。

　　0执行的中小企业，具有先进的客户关系管理(CRM)系统，具有极强的服务质量管理能力。我们非常重视质量保证工作，在我公司的系统集成工

　　项目管理方法，采用国际项目管理协会PMI的标准项目管理方法，把项目管理归纳为范围管理、时间管理、成本管理、质量管理、人力资源管理、

　　风险管理、采购管理、沟通管理和整体管理等九大知识领域。形成了我公司独有的《我公司系统集成项目管理规范》。

　　构（WorkBreakdownStructure，WBS）明确项目的工作内容，这样不仅定义了工作内容，同时也定义了工作任务之间的关

　　系，明确了工作界面。项目的WBS是对工作计划、进度、费用、技术状态进行部署和跟踪控制等管理活动的基础。因此对系统集成项目进行科学规

　　力成熟度模型）建立了一套成熟的、可度量的安全工程过程。定义了一个安全工程过程应有的特征，这些特征是完善的系统集成工程的根本保证。使

　　节的工程活动，包括概念定义、需求分析、设计、开发、集成、安装、运行、维护及更新项目，并不断改进工程实施的现状，达到提高可用性、可靠

　　重要的质量保证措施就是明确项目组各个人员的质量责任和义务，通过对个体工作质量的控制来达到控制整体质量的目的。项目经理质量责任项目经

　　理的质量责任主要是，遵守项目管理规范，贯彻质量方针、目标，执行质量体系文件的各项有关规定和要求，确保设计工作始终处于受控状态；积极

　　运用优化设计技术和可靠性、可维护性、安全性等工程技术，确保设计满足质量要求；为产品研制、物资采购、系统安装、调试、检验等活动提供技

　　同时保证项目的成功，保证项目按时、在预期内达到预期的效果，对各种项目资源进行适当的管理和充分有效的使用，进行及时有

　　效的沟通，及时商讨项目进展状况，以及对可能发生的问题进行预测，保证项目的整体性，协调项目中的各个角色和各种关系，为成员创造良好的工

　　项目质量师Q/A质量责任质量师配合项目经理开展工作，其主要职责和权利是：制订本项任务的质量工作计划，并贯彻实施；负责对工

　　程任务的全过程的质量活动进行监督检查，参与设计评审和重要的质量活动，其质量业务工作受公司质量部的指导监督。

　　理的质量责任就是协调和客户在商务方面的事情，和客户在项目发生之前进行谈判，前瞻性的解决项目实施中可能发生的问题。并保证项目在实施到

　　施的工作，负责研究所需的整体解决方案的设计和实施解决方案，协助项目经理保证集成服务状态与品质保证，因此，技术顾问的要对整个方案设计

　　施工作，负责系统解决方案的实施，是系统集成工作重要的一环，承担着工程实施工作的质量保证责任。

　　评审的控制要求：合同的各项要求明确，并形成文件合同规定的要求合理，符合有关法律法规，双方的风险和利益适宜任何与不一致的合同要求或双

　　计和可靠性、可维护性技术，开展设计工作；应执行设计文档和技术文件的审查制度，保证设计质量满足规定要求；

　　过程控制的实施要点是，制定并执行文件化的过程控制程序，对系统质量形成过程的4M1E五个基本要素实施全面控制

　　对生产、安装和服务的方法制定相应的程序文件。现场使用的所有技术文件均应文文一致、完整、清晰并

　　使用合适的生产、安装和服务设备，并安排适宜的工作环境。严格按有关标准/法规、质量计划和程序文件的规定操作。对适宜的过程

　　控制参数和产品特性进行监视和控制。需要时，对某些过程和设备是否满足要求进行认可。操作人员的技术水平必须满足规定的要求，并持有考核合

　　各实施小组要严格执行实施过程中的自检、互检、专检制度，实施过程中要做到“以预防为主”，将质量隐患

　　消灭在实施过程中，实施人员在分部、分项工程完成后，首先进行自检，再由班组长进行互检合格后，通知专职质量师进行专检。

　　全面开展分部、分项实施前，组织技术熟练的实施人员按实施文档和实施规范进行典型分项工程的操作示范。经专职质量师检验认可后，进行样板交

　　专职质量师发现违反实施程序，不按设计文档和规范规程实施，系统和设备不符合质量要求时，首先向项目经理部负责人反

　　映，限期解决，如影响到实施质量时应填写技术质量通知单，一式三份，写明主要问题和解决意见，实施小组一份，质量师一份，并报项目经理根据

　　公司有关质量奖惩规定进行处理，并责成实施小组提出纠正措施，限期整改。如是严重危害工程质量行为应上报公司质量部。

　　主要是对实施前或实施过程中的重要技术工作、部位进行检查或核实，一般工程部位由班组长负责，质量师参加签署检查意见，重点工程及重要实施

　　故和特殊项目质量事故由公司质量部组织有关部门进行检查处理。处理质量事故必须本着“三不放过”的原则办事。事故应按有关规定及时逐级上报

　　a.项目验收是在修复验收预检存在的问题基础上，由项目经理部并报请客户进行交付使用前的正式验收。

　　备的条件：验收预检时提出的问题全部解决各分系统试运行达到设计要求并具备客户使用条件各系统工程技术资料齐全，全部分类整理装订线册，达

　　进行工程自验收，自检通过后将所有工程文档整理成册，随自检报告和拟定的验收内容、标准、程序等验收报告一并提交用户，完成验收的准备工作

　　成立由用户项目负责人小组、监理单位和有关技术专家组成的验收小组，从系统的实用性、功能性、稳定性、可维护性、灵活性、可操作性及系

　　系统可维护性验收：检查包括设备的可维护性和整个系统的可维护性；系统的灵活性验收：检查系统是否方便用户维护，是否在先进性的

　　基础上具备未来升级和可扩充性，是否利于系统平台迁移等；系统文档验收：检查验收文档是否齐全、规范、准确、详细。主要文档包括：

　　件类文档、安装计划类文档、设备测试类文档和系统配置类文档。验收完成后，最终形成工程验收结论。

　　实施结束后，进入工程维护期，我们会一如既往地为用户提供技术支持和技术服务。有关论述详见技术支持和售后服务部分。

　　成立以项目经理为组长，技术负责人和交付负责人为副组长的质量管理组织机构，明确各级管理职责，管交付必

　　第一责任人，在合同环境下手公司法定代表人委托，并代表公司向唐山港集团作出质量承诺；组织开展质量体系活动，确立项目质量目标，组织编制

　　，按ISO9002系列抓好质量管理，认真组织QC小组活动；认真落实安全措施；遵守测量、测试等专项工作规范；根据本项目的工期要求组织

　　应采用先进的质量管理模式和科学的质量管理体系和流程，并根据项目自身特点选用合适的质量控制规程。

　　由项目经理制订质量控制计划，项目质量控制组进行审核。审核方面包括：质量控制措施是否足够、各个成员的质量责任是否明确合理，测试方法是

　　为了加强项目质量管理和界定产品质量标准，本公司将制订适应于项目的检查验收规定和质量评定标准，确保

　　本项目中，应实行两级检查、两级验收制度。一级检查、二级检查和一级验收由本公司实施小组组织完成；二级验收由用户组织实施。

　　各级检查验收严格按项目实施中制订的相应的检查验收规定和质量评定标准执行。对实施和验收过程中出现的重大技术问题，将上报用户协调处理，

　　力测试结果调整系统配置。项目实施后进行一定时间的试运行，在试运行期间要重点监控网络环境的运行情况、监测策略的验证和业务应用系统运行

　　方将整个实施过程分为多个阶段，每个阶段根据具体任务分为多个环节。工程实施层由我方的项目实施团队完成，同时协调供货商提供产品技术咨询

　　为了保证整个项目实施的质量和进度，本项目将参考并遵守一些国际上最新的相关信息系统集成工程标准和最新的研究成果，如

　　SSE-CMM安全工程能力成熟度模型、我公司项目管理规范等项目管理方法。特别是在项目管理中突出“沟通管理”，达到项目过程的可控性。

　　为了保证能够按照工程进度实施，双方项目组需要在进行项目实施之前举行会议，予以讨论，正式形成文字材料，即书面确定双方项目组的职责和

　　工作对客户工程正常运行的可能影响降低到最低限度，不会对现有网络的运行和业务的正常提供产生显著影响。

　　项目负责人小组由网络中心负责人、我公司高层联合组成，在项目进行关键阶段与项目管理组举行会议，检查项目

　　，具体体现在对项目目标有一个全局的观点，并组织会议制定计划和报告项目的进展，并对不确定环境下对不确定问题组织集体讨论决策，在必要的

　　按时完成，在预期日期内达到预期的效果对各种项目资源进行适当的管理和充分有效的使用进行及时有效的沟通，及时商讨项目进展状况，以及对可

　　能发生的问题进行预测保证项目的整体性，协调项目中的各个角色和各种关系，为成员创造良好的工作环境。

　　选派、组织掌握计算机知识或熟悉业务的管理人员和技术人员，组成专职的项目办，配合我公司进行合同的实施。其责任和义务有：

　　过程，协助我公司做好需求调研、方案设计及现场等工作，对各项业务的需求报告及时确认，组织相关部门参加各阶段验收工作。

　　配合我公司开展工作，保证我公司及时得到业务相关的技术资料、数据资料，提供业务咨询，并提供现场安装的条件和支持。

　　，前瞻性的解决项目实施中可能发生的问题。并保证项目在实施到不同的阶段，和客户之间项目上的商务条款可以得以落实。

　　我公司技术顾问的职责包括：主要从技术的角度负责人整个服务现场实施的工作，负责与客户相关人员沟通协调负责研究所需的网络工程解

　　职责包括：负责系统集成解决方案的实施；负责软件的安装、调试和验收；准备工程文档资料准备项目成果资料。

　　供品质监控与指导协助项目经理开发与管理项目的预算和投入人天工作日记录系统集成的预期值与实际实现值之间的差异，审计项目工作程序的合理

　　由于客户信息化建设项目实施可能涉及的范围、时间及效果都不可能在项目开始时完全确定，因此，在项目进行过程中也相应会出现大量

　　客户信息化建设项目的推进和项目的成功带来负面影响。风险一旦发生，它的影响是多方面的，如导致项目产品/服务的功能无法满足客户的需要、

　　项目费用超出预算、项目计划拖延或被迫取消等，其最终体现为客户满意度的降低。因此，识别风险、评估风险并采取措施应对风险---即风险管

　　断发展变化的过程中，因此风险识别也贯穿于整个项目实施的全过程,而不仅仅是项目的开始阶段。风险识别不是一次性的工作，而需要更多系统的

　　、横向的思维。几乎所有关于项目的计划与信息都可能作为风险识别的依据，如项目进度计划、安装结构、项目组织结构、项目范围、类似项目的历

　　的。“风险分析”即通过分析、比较、评估等各种方式，对确定各风险的重要性，对风险排序并评估其对项目可能后果，从而使项目实施人员可以将

　　风险值（预期值EMV）：风险值=风险概率×风险影响，是对风险对项目造成的影响的最直接评估，它

　　施降低“风险概率”或“风险影响”,从而达到降低风险值的结果；转移：即将风险转移到另一方，如购买保险、分包等；接受：即对该风险不采取

　　拟采取应对措施的可能成本、项目管理人员对待风险的态度（效用函数）类型等各方面，不可一概而论。风险应对计划是针对已识别的风险进行的；

　　对于未知-未知的风险，不可能预选制定相应的应对计划或应急计划，因此，可以利用管理储备来应对。

　　要包括以下几方面的任务：在项目进行过程中跟踪已识别风险、监控残余风险并识别新风险：随着项目的实施以及风险应对措施的执行，各种对项目

　　的影响因素处于不断变化的过程中，因此，需要在整个项目过程中，时刻监督风险的发展与变化情况，确定伴随某些风险的消失而来的新的风险并制

　　定相应的处理措施。保证风险应对计划的执行并评估风险应对计划执行效果。评估的方法可以是项目周期（阶段）性回顾、绩效评估等。

　　预案，当出现问题时，应及时启动预定的应急处理方案进行处理。应急处理预案应根据事件的严重程度、紧急程度和事件类别，分别规定告警、报告

　　、保护、处置、善后、总结等处理流程、措施和时限要求。系统恢复正常运行后，应急处理过程进行总结，总结中应详细记录事件起因、处理过程、

　　2)确定故障等级；通知相关人员（系统管理员、数据库管理员、安全管理员等），重大事故及时报告负

　　二控制点：服务器存储设备及软件系统安装调试完毕，包括其他和整体工程进度无关的各项工程全部实施完毕。

　　项目的工程项目总负责人召集我公司的技术工程师和用户代表，形成一个详细的工程管理计划。在得到用户方面的同意之后，项目总负责人将组织有

　　2、作为我方负责统一协调双方工程合作关系的代表，在必要时，工程项目总负责人将向用户提出召集项目工程讨论会的请求。

　　3、在整个工程实施中，会遇到许多大范围的、与交叉作业相关的工程技术问题，我公司将采用有效的措施以确保所有交叉相关细节在设备进行现场

　　安装和割接以前进行预处理。这种工作程序将取决于工程管理计划文件的准确性和详细性。该计划是在工程项目负责人和有关技术工程师对工程细节

　　进行详细研究、对所有安装现场进行详细调查之后所产生的关键性技术文件。工程管理计划书包括以下内容：

　　。按照该文件的精神和具体内容对整个工程中各个具体工程细节进行微调以确保整个工程能够顺利、按时完成。

　　因素是用户的工程管理人员以及我公司各方面进行合作的密切性和一致性。相互之间的合作和理解是工程实施成功的另一个重要基石。通过工程协调

　　会的方式可以为参与工程的各个有关方面有机会面对面地交流各自负责工作的进展状况。为了确保整个工程的顺利实施，我们衷心希望用户有关方面

　　的负责人员能够对工程协调会提供有利的支持，并且能够出席工程重要阶段的工程协调会议，以便我公司能够通过该工程协调会向用户有关方面提出

　　收、售前和售后服务中将严格按照的招标文件要求进行。同时，凭借我们的良好信誉及本着对用户认真负责的态度，对本次中的关键设备和技术服务

　　，如IBM、华为、博科、锐捷、科华、施耐德、德力西公司的网络及机房设备，得到了有关公司的质量保障和技术支持。同时我们也对其他一些附

　　.在项目组织系统中，任命了项目总负责人、项目经理、各专业负责人，对产品质量和可靠性全面负责；

　　控制手段：对客户需求特点、功能特点、技术难度进行全面细致的分析，对设计方案进行认真的评审，制定完善的调试方案。

　　积极采用国际标准及通用标准：大力推行通用化、系列化、模块化设计，最大限度地采用标准件、通用件，以提高产品的可靠性和可维修性。

　　对采购的器材和设备实行质量控制。工程任务中所需的产品，全部从设备厂商指定总代理采购，并严格执行入库复检程序。

　　目实施管理计划，主要调试工作由我公司技术工程师现场调试，用户单位技术人员配合；我公司的资深技术工程师提供后台支持和整体调控；如IB

　　M、华为、博科、锐捷、科华、施耐德、德力西公司的网络及机房设备等设备厂商公司提供背靠背的技术支持体系和技术支持服务。三级技术保证措

　　6.在施工过程中严格质量控制，设立技术督导员，全面负责施工中的质量工作；施工人员均经过技术培训，合格后

　　统工程，积累了丰富的工程施工和管理经验。凭借雄厚的技术优势及工程经验，能够充分满足本工程从工程规划、工程设计到工程实施、安装调试等

　　有力的资金保障——公司资金实力雄厚，能够满足工程需要。可靠的供货渠道——鉴于公司骄人的业绩、良好的信誉和雄厚的资金

　　在与设备厂商长期的合作中建立了良好的合作伙伴关系，供货渠道顺畅，进货流程熟悉。这样，就能够留出比较充裕的时间用来进行设备的

　　—严格履行合同条款是公司注重信誉的表现，在公司承揽的各项工程建设项目中，均按合同要求按时、按质圆满完成。

　　从项目终验完成之日起，乙方为客户指定统一的技术接口人，提供为期三年的免费技术支持，该免费服务包括：

　　的技术问题。乙方协助客户进行远程或现场维护服务，保证系统的正常运行。乙方为客户提供远程或现场系统升级服务，包括系统升级（大小版本）

　　、调试以及相关客户化程序和接口程序的重新测试。客户工程师遇到无法自行解决的系统问题时，乙方技术工程师应向客户提供必要的技术支持服务

　　，解答用户提出的问题，直至问题解决完毕。技术支持服务目标：保障信息化系统365724小时不间断地运行。系统故障技术处理：接到故

　　障报修通知后，我司人在2小时内响应、4小时到达现场，一般故障8小时内排除故障，恢复正常；重大故障24小时内排除故障、恢复正常。如遇

　　系统技术问题，我司承诺组织力量在48小时内解决。技术支持服务时间及费用：自最终验收合同交付使用之日起计算,在规定的售后服务期内，我

　　系统运行情况报告和分析。技术支持方式：为信息化系统提供远程技术支持，提供免费的售后服务热线，

　　热线支持：指技术工程师及研发中心开发人员通过电话方式提供技术问题解决的过程，提供724小时紧急支持热线服务。

　　程服务：指技术工程师通过网络远程协助用户解决问题的过程。提供远程维护服务，服务时间8:00-20:00。

　　统崩溃，无法启动或拒绝连接等原因导致客户无法获得任何系统服务，并对客户业务的正常运行造成重大影响。 7×24电话联系，一个小时内予

　　2级 系统主要功能不能正常工作，并对客户业务的正常运行造成较大影响；主系统不稳定，并有周期性的中断。

　　或支持，对客户的业务运作几乎无影响；非主系统故障。 7×24电话联系，一个工作日内予以响应并协助进行问题处理

　　随着IT技术的不断发展以及计算机相关产品的不断普及，用户对这些高科技的事物越来越熟悉，因此IT公司的竞争就从技术层面的竞争转

　　到管理、服务方面的竞争。可以说服务已经成为许多公司对外宣传的一个重点，但是真正能够将服务承诺落实到实际的的确不是很多，毕竟服务尤其

　　。也就是说我们的服务不仅是满足客户提出的要求，而是设身处地为用户着想，对我们销售的产品主动上门服务，发现问题及时解决，最大限度地使

　　服务的基础，没有这样的基础，就无法保证服务的及时和有效，所以我们建立了“点对点服务”的服务保障体系，设立了专门的服务电话，配备专门

　　的服务工程师处理客户问题并有专人对我们的服务情况进行回访，从而保证我们的服务能够及时、有效。

　　前期服务的范畴。一般的公司为了取得项目的签订权，都比较重视前期服务，提供一些很便利的条件，我们当然也不例外，但是我们在此过程中，更

　　多一些诚意，多一些心意，多一份为用户的考虑。一切问题的出发点都从客户的角度出发，效果自然不可同日而语。售前服务的内容主要包括：

　　实施计划，该计划：包括设备的采购周期、对设备安装现场的要求以及工期的预排等等。施工计划需要征求客户的意见后才能确定，然后我们会严格

　　由于我们的项目实施是在用户的现场，需要客户的有关人员进行配合，通过提供实施进度报告，客户一方面能够了

　　解我们项目的进展情况并对我们的工程质量进行阶段性检查；另一方面对下一步的实施工程也能得到客户更加到位的配合。

　　程大部分内容是在客户现场进行，因此不可避免地将会对客户的正常的工作、学习造成些许负面影响，如噪声、环境污染等等。对此项目经理在项目

　　实施之前会征求客户的意见，合理安排工程计划，力争将工程实施对客户的影响降到最低，并且在项目实施过程中会不断接受客户提出的建议，对施

　　具体负责，公司拥有专职客户服务车辆，所辖的客服工程师均有多种移动及固定联系方式，在各层面保证了客户的服务需求能及时得到响应和满足。

　　客户支持中心724小时为用户及时提供各种问题的技术咨询服务。建立完备的“客户档案管理制度”来对用户

　　备的技术服务，包括安装、调试、检验、培训、合同和技术支持等，均由原厂直接提供，原厂实施；我方提供售后服务，对本次涉及的产品提供免费

　　的本地化维护服务。合同期间由专门人员负责技术支持和维护。在合同期内，如果系统发生故障，我方承诺调查故障原因并免费维修或更换，同时我

　　我方协助用户及时解决不影响相关考核指标。同时，我方承诺系统运行效率满足集团公司相关规范的要求和公司业务处理的速度要求。

　　安排，结合项目建设目标，开展设备初次的安装部署、功能调试、测试验收，直至产品正式验收，进入正式维保阶段。

　　除消耗品以外的所有设备。同时，在合同期内，如果系统发生故障，我方承诺调查故障原因并修复直至满足最终验收指标和性能的要求，或者更换整

　　4小时的服务。我方在用户产品使用地具有完善的售后团队。拥有本地化技术支持队伍，拥有经验丰富、技术扎实的工程师，配备先进的测试仪器，

　　我方将在接到通知后的1小时内响应，以确定坏损件情况，就排除故障或修理、更换坏损件的设备做出决定并立即书面通知用户。我方承

　　我方具备备件供应能力，以适应维修需求。我方本部设在，拥有充分的硬件资源和人力技术资源，提供充足的本地化

　　在合同期结束前，须由我方工程师和客户代表进行一次全面检查，任何缺陷讲由我方负责修理，在修理之后，我方将缺陷原因、修理

　　另外，我方承诺在合同期内及时补充备件，使客户的备件库在合同期内是充足和完备的，同时我方承诺当产品出现

　　期内由于软件升级而引起硬件变动所发生的费用也由我方负责承担。同时。针对各种系统的补丁升级信息，我方提前通知用户并且对升级的可行性和

　　为了更好的掌握系统的运行情况，更好的服务。服务期间，我方承诺对用户系统硬件、软件进行每月检查和分析，

　　并向提交检查报告，保证系统安全正常的运行，并提出系统优化建议。同时，以便全面检查硬件设备的损耗并进行免费的检测和保养；对系统的软件

　　系统进行必要的维护性整理，消除故障隐患；全面核对并更新用户的环境信息，保证信息的准确性和服务的高效性。

　　每月将主动打电话询问了解用户的系统运行情况及我方人员的服务态度，并对不同情况做出相应快速处理。

　　方对用户公布投诉电话并保证投诉电话的畅通。接到用户的投诉后，将由分管经理直接落实并监督管理部门和服务网点技术人员的维护工作直至使用

　　为了对工程项目提供优质的服务，根据我方对用户的服务宗旨和质量文件，特制定了下述初步上线后服务计划，并乐意接受客户的指导和管理，不断

　　我方将按照前述公司有关规范规定定期主动调查系统的运行情况和服务满意度，以及用户新需求情况。我方将调查结果反馈用

　　客户可以制定调查表，独立调查我方系统运行的情况和服务的质量，我方有信心以一贯的优质服务接受监督。

　　情况，我方将向用户提供及时的系统升级工作，并根据客户的统一要求和部署，每年下发新版本的系统操作和培训手册。

　　凡购买软件升级与更新服务的用户，免费享有此产品通告服务。我方将通过邮件方式免费提供产品的最新动态信息，帮助用户及时了解新产品的

　　信息、产品新版本的发布信息、产品新功能、新特点以及时效性很强的特征库的升级通知等，帮助用户的安全管理员或者系统管理员更好地进行产品

　　承诺按周对发生的最新安全事件、安全资讯进行整理和搜集，提供当前最新的安全信息，每周第一个工作日提供。

　　位提供事件的监测发现与第一时间通知的经验，包含黑客入侵事件。一般事件半小时间内安全告警通知并提供解决建议；重要事件5分钟内安全告警

　　在线方式开展工作，必须上门处理；确定非硬件本身问题，因网络环境特殊导致故障；合同期内，免费对所提供的产品进行现场维护和维修；

　　事项：为保障快速解决问题,上门服务之前用户需提供以下信息：购置的业务合同号、联系人电话号码、故障说明、网络拓扑和网络环境故障前网络

　　设立专项组与需求方对口联系，同时在人员发生变动时，我方作出书面说明，并保证相关工作的正常交接和完成对新人的培训，确保业务技术支持的

　　3、备件服务：在遇到重大故障，我方将提供系统任何所需更换的备件。如在合同期内用户设备出现故障，我方将无

　　障或使用疑难时可直接拨打售后服务中心热线电话，客服接线员会热情接待任何一个用户的来电，详细询问情况并填写故障登记表，然后将故障情况

　　2、售后服务中心主任会根据故障登记表及用户提交的故障问题内容将故障登记表转至相应的工程师或者我方售后技术支

　　3、售后服务中心的工程师在仔细研究用户的故障申告之后会首先做出电话响应，从用户申告到电话响应的时间我方的承诺是30分钟之

　　内。电话响应的目的是为了进一步了解故障表现，确认故障可能存在的部位及原因。在电话交流能确定维修内容的情况下，工程师员携带相关工具及

　　配件前往；在电话交流不能确定维修内容的情况下，工程师将根据故障现象携带相关工具配件及备用机前往。现场响应的时间我方的承诺是1小时以

　　内，24小时内解决。同时提供邮件、传真等方式的技术咨询，我方工程师将在接收到疑问的30分钟内给予回复和响应。

　　为用户解决。当时不能解决的，在得到用户同意后为用户提供与原产品功能相一致的备用配件，并负责安装到位，调试成功。设备维修时间将根据故

　　因、故障排除方案及相应的设备的费用等，在得到用户的书面确认同意后，立即为用户解决。当时不能解决的，在得到用户同意后为用户提供与原产

　　品功能相一致的备用机，并负责安装到位，调试成功。设备维修时间将根据故障及设备情况与用户协商，必须得到用户的认可。合同期以外的维修服

　　务，公司只收取相应的更换设备的成本费用，上门服务及提供备件的项目不收取用户任何费用。维修后设备自产品修好之日起，按相关规定提供维修

　　7、简单的故障维修由我方负责，所用设备必须是我方认可的设备。维修难度相对较大的或我方不具备维修能力的，我方负责送

　　故障或已经停机、停运行，核心业务工作受到严重影响，如果不能尽快实现系统恢复，会给带来非常严重的损失。必须采取相应的急救和补救措施，

　　门负责人等组成，负责应急行动期间技术人员、业务人员的运作协调，按照应急预案合理部署应急策略，保证应急行动顺利完成。

　　技术保障组由系统管理维护人员和我方项目组工程师组成，按照应急指挥组的指挥调遣，进行应急救援操作，并解决遇到的技术问题。

　　2我方承诺所提供的软件是能确保全网正常运行所需的管理、运营、维护等有关的全部软件,且为成熟稳定的最新版本。

　　提供最新版本的软件，但该软件是经过测试正式推出的，其可靠性、稳定性经过严格验证的。同时要保证网络安全可靠及扩容和版本升级方便。

　　.4我方承诺所提供的系统软件、应用软件具有合法的使用权，自己开发的软件将和用户方明确版权问题。

　　1.6我方承诺的设备的系统数据的访问、存储、传输是安全、可靠的，关键数据（例如用户密码等）的

　　术，我方将与客户共同协商选定标准。一旦相应的相关标准确立，我方承诺在一年内无偿过渡到客户要求相应的相关标准及行业标准。

　　承诺对运行系统进行所有适当的配置更改而不影响在线我方的产品的配置数据与处理程序有相对的独立性，我方承诺配置数据的任何

　　1.10我方承诺的设备具备99.999％的总体可用性（软、硬件）；例行维护时间不计算在内；系统无故障

　　1.14我方承诺设备到达安装现场后的四周内完成各节点设备的安装、调测以及整个网络的联调工作。

　　等服务。本次项目的设备的技术服务，包括安装、调试、检验、培训、合同和技术支持等，均由原厂直接提供，原厂实施；我方提供售后服务，对本

　　次涉及的产品提供免费的本地化维护服务。合同期间由专门人员负责技术支持和维护。在合同期内，如果系统发生故障，我方承诺调查故障原因并免

　　自身问题，发生故障，我方协助用户及时解决不影响相关考核指标。同时，我方承诺系统运行效率满足集团公司相关规范的要求和公司业务处理的速

　　术工程师按照工程进度安排，结合项目建设目标，开展设备初次的安装部署、功能调试、测试验收，直至产品正式验收，进入正式维保阶段。

　　同期内，我方提供合同除消耗品以外的所有设备。同时，在合同期内，如果系统发生故障，我方承诺调查故障原因并修复直至满足最终验收指标和性

　　。我方承诺提供724小时的服务。我方在用户产品使用地具有完善的售后团队。拥有本地化技术支持队伍，拥有经验丰富、技术扎实的工程师，

　　书面通知用户。我方承诺在接到通知后的4小时内排除上述故障。我方在接到用户通知后立即提供解决方案，并立即派遣工程技术人员用最快捷的交

　　通工具前往现场，并承诺在24小时内恢复合同的正常运行，所有发生的费用由方承担。如因我方原因造成合同设备重大通信故障，我方愿意依照本

　　在合同期结束前，须由我方工程师和客户代表进行一次全面检查，任何缺陷讲由我方负责修理，在修理之后，我方将缺陷原因、修

　　另外，我方承诺在合同期内及时补充备件，使客户的备件库在合同期内是充足和完备的，同时我方承诺当产品出

　　同期内由于软件升级而引起硬件变动所发生的费用也由我方负责承担。同时。针对各种系统的补丁升级信息，我方提前通知用户并且对升级的可行性

　　为了更好的掌握系统的运行情况，更好的服务。服务期间，我方承诺对用户系统硬件、软件进行每月检查和分析

　　，并向提交检查报告，保证系统安全正常的运行，并提出系统优化建议。同时，以便全面检查硬件设备的损耗并进行免费的检测和保养；对系统的软

　　件系统进行必要的维护性整理，消除故障隐患；全面核对并更新用户的环境信息，保证信息的准确性和服务的高效性。

　　息系统建设的的好坏不是以其投资规模和技术先进性作为衡量的标准，网络系统是否能够真正地为用户带来工作、学习上的帮助，提高客户的竞争力

　　以及其工作的效率是衡量一个网络系统建设是否成功的标准。保证客户用好网络的一个关键就是对系统的维护人员、操作人员进行系统的培训，使其

　　对于整个系统有一个清醒的认识从而能管好、用好网络系统。我公司极其重视用户培训，并在这方面做过大量工作，为很多单位的计算机技术的普及

　　创造了良好的人才基础。随着系统集成及设备采购项目的不断增多，我们承担了更多医疗行业用户的项目，不但为他们提供了优良的集成服务，也根

　　据他们的实际需要，提供了不同的培训方式与内容。今后，我公司将利用这方面的优势，积极为用户服务。为使用户的技术人员能尽快熟识产品结构

　　客户的技术人员可以系统地了解网络系统的架构、实现原理、使用方法及管理方式。达到能够熟练安装、调试、故障诊断等，并可以处理一般常见问

　　培训的对象主要分为客户的管理人员、使用人员、系统管理员、操作员。我公司制定了全面的知识转移计划，包

　　括但不限于软件产品的管理和使用培训支持。我公司对项目实施阶段的参与者及项目最终的使用和运维团队进行全面、有效的知识转移。

　　2 系统安装和维护现场培训 3 3年以上培训经验 客户技术人员 针对系统安装部署、系统配置等进行详细介绍

　　从信息系统的建设来看，项目实施过程中出现的大多数问题都发生系统的使用环节。因此，建立有效、高质量的培训体系就显得尤为重要。我

　　公司公司非常清楚的认识到这一点，建立了完善的用户培训体系和文档提交制度。我们希望通过培训为贵院培养出一批合格的系统应用、技术管理和

　　则；坚持把知识培训与学员实际工作需要紧密结合起来；坚持以学员为主体，以讲师为主导，积极运用参与式教学，把自学、面授、研讨等方法有效

　　地结合起来，达到经验共享的目的；坚持做到按需施教、学以致用，培训工作必须按照实际需要进行有针对性地培训；通过全员、分布及单一培训相

　　用。通过培训使系统维护人员和系统管理人员能对应用软件进行维护、调试和管理；能对系统硬件设备和网络系统进行维护和管理；能够熟悉使用操

　　培训的目的在于使负责人对整个系统有一个总体的、宏观的认识，并且掌握系统有关功能的使用。使系统顺利建设、高效运行、管理

　　系统管理员是负责整个系统的运行维护，对他们进行完整的系统的培训，对于系统应用软件的正常运行，起着非常

　　①理论课程与上机实践相结合坚持理论培训和上机实践相结合，营造支持性的培训工作环境，保证受训者

　　有操作人员对系统有一个整体认识；通过单向传授解决单一操作人员个性化应用；而交互方式则带动受训群体得到最大程度的提高。

　　长期目标相结合对系统管理人员我们不但要制定短期的培训计划，同时还要充分考虑知识的传授和掌握的实践过程循序渐进，制定多阶段的培训方案

　　所有的培训记录都应该被文档化管理，因此我们要求无论那种形式的培训都应该有相关人员的签字确认。项目经理在项目验收时必须提交用

　　IPv4/IPv6双协议栈的同时，配合智能路由和DDNS等，可在802.1Q、RIP、OSPF等各种复杂的网络环境中灵活组网；具备

　　与第三方系统对接，数据共享，提升业务价值。安全网关产品具备优秀的适应性，适用各种复杂场景，更符合业务需要。

　　搜索检测引擎，配合高性能的处理器，多业务并行处理，确保安全网关在各种大流量、复杂应用的环境下，仍能具备快速高效的业务处理和防护能力

　　安全网关产品集防火墙、负载均衡、入侵防御、病毒过滤、应用识别、行为控制、VPN接入、业务可视、安全认证等功能于一体，为用户提供

　　访问攻击瘫痪企业网络；木马、病毒等恶意软件也经常通过邮件、恶意的Web网页、文档下载等应用层途径使得病毒的危害范围和扩散速度加大。

　　安全网关具备超过4000种预定义攻击特征的入侵防御功能和海量病毒特征独特实时病毒拦截技术以及高效引擎的病毒防护功能，实时的对流量进

　　行分析，从数据链路层到应用层有效的阻断网络中的攻击和病毒行为，全方位的立体保护用户的关键数据，避免机密文件泄露和经济损失。

　　员工上班时间进行业务无关的行为无疑会降低职工的办公效率，如果不慎发表不正当言论，将会给企业单位带

　　来舆论风险，对形象声誉造成负面影响。安全网关产品采用DPI/DFI融合识别技术，通过对用户流量进行全面的分析，能够深入识别应用的内

　　置动作，例如针对微信可识别控制多达12种行为动作。使用安全网关产品能够避免员工上网娱乐的同时，帮助企业单位及时拦截不良言论，通过应

　　未能有效的利用起来，带宽资源白白的被浪费掉。安全网关能帮助组织管理者透彻了解组织当前、历史带宽资源使用情况，并据此制定带宽管理策略

　　，验证策略有效性。不但可以在工作时间保障核心用户、核心业务所需带宽，限制无关业务对资源的占用，亦可以在带宽空闲时实现动态分配，以实

　　现资源的充分利用，提升用户使用网络的体验。流量限额和时长限额区分用户权限，实现差分服务，助力营销。

　　网络设备由于自身的专业性，非网络人员较难理解策略和日志的作用，日常管理和维护往往需要专业的网管人员；分支上线、分支业务变

　　更，运维人员需要逐个分支进行配置，运维工作量大，周期较长。安全网关采用一体化安全策略，管理员只需要通过一条策略便可针对应用、网址、

　　入侵防御、病毒查杀等内容进行统一管控，使用方便，维护简单。在大规模部署时，可配合集中管理系统对分布部署的安全网关进行零配置上线、统

　　一策略管理、业务变更自学习、攻击事件监控、攻击事件分析、报表分析等。极大的降低了网络的更换难度，简化了运维的任务。

　　安全网关采用最新最先进的多核硬件架构，在硬件架构上运行自主知识产权的安全OS，高效的并行调度算法和内存管理机制

　　提高了流量转发报文的性能。另外，将CPU处理的数据根据其特性分为DataPlane（数据面）和ControlPlane（控制面）两

　　类，简称DP和CP。在多核系统一部分CPU专职CP工作，大部分CPU专职DP工作。这样就避免了因系统调度，导致设备转发性能降级或者

　　个模块以进程的方式存在，数据包每通过一个模块都要重复对数据的解析。增加了数据包在系统停留的时间，从而造成了网络延迟大的问题。

　　的设备则将网络层处理与应用处理分别在两个进程上实现，这样就出现了数据包多次拷贝的情况，增加了内存访问次数，降低了系统性能。

　　全网关的DP主要处理转发相关的工作，通过对数据包一次解析，按层次由对应模块处理，可以节省不同模块间重复解析数据包所消耗的资源，从而

　　用户网络用户中，实现用户数据的转发，为用户网络提供安全防护；设备支持通过透明桥接模式串接在用户网络中，不做为网关设备，只对出入网络

　　的流量进行检测或者阻断；设备支持路由和桥接混合的模式（混合模式）接入到网络中；设备支持以旁挂的形式接入到网络中，对网络出口的镜像流

　　静态路由已经无法满足企业网络实时自适应网络结构变化的需求。安全网关产品为用户而丰富的路由协议，支持静态路由、策略路由、ISP路由，

　　务需求，企业通常存在两个或两个以上的网络出口，多出口提升了网络出口稳定性同时又带来了多链路带宽利用率低、多链路带宽差异大、各运营商

　　网络质量差异、内网应用对带宽需求差异等问题；以上诸多问题只需通过安全网关提供的链路负载均衡即可迎刃而解。具体实现主要基于以下几点：

　　实时监测每条出口链路的逻辑连通性，即使端口处于UP状态，但可能由于远端故障导致的检测报文超时，安全网关同样会执

　　能力，将网络中各种应用进行准确分类和精细识别，让不同的应用分别使用不同的出口线路，保证重要业务不中断。

　　代理技术，完成对客户dns流量的无感知代理，从而保证客户的dns请求得到最快，最稳定的响应，大幅度提升客户的上网感受。

　　l安全网关拥有优化过的NAT性能。支持源地址和目的地址转换，支持动态和静态的地址转换。此外支持NAT44，可生成和维

　　护用户地址映射表，实现运营商级NAT转换；并实现用户溯源关系向AAA服务器和日志服务器上报。

　　4具备更高的性能、稳定性和安全性。NAT44能够支持用户规模更大、承载流量大、业务稳定性要求更高的服务要求。

　　DDNS（DynamicDomainNameServer）是动态域名服务的缩写。动态域名服务是将用户的动态IP地址映射到一

　　个固定的域名解析服务上，用户每次连接网络的时候客户端程序就会通过信息传递把该主机的动态IP地址传送给位于服务商主机上的服务器程序，

　　域名服务提供了解决方案，它可以自动更新用户每次变化的浮动IP，然后将其与网络域名相对应，这样其他上网用户就可以透过网络域名来交流了

　　安全网关提供动态域名服务功能。可解决动态IP地址场景下管理，以及IPsecVPN场景使用域名连接等问题。

　　在传统网络中，如果网络中有较多的网络部署划分，就可能需要部署多台出口路由设备，不仅建设成本高，而且占用更多宝贵的机房空间，维

　　安全网关迎合网络时代潮流，自主开发了VRF功能。安全网关可以将不同的端口加入创建的VRF组中，每个VRF

　　组之间可以独立控制和转发，相互隔离，可以看做是不同的路由器，可以使用相同的或者是重叠的IP地址而不会产生冲突。

　　互联网在快速发展的同时，也催生了一些安全隐患。黑客们可以轻易地通过拒绝访问攻击瘫痪企业网络；木马、病毒等恶意软件也经常通过邮件、

　　造了一支资深的攻击特征库团队和安全服务团队，在蠕虫、后门、木马、间谍软件、Web攻击、拒绝服务等攻击的防御方面具备了完善的检测、阻

　　断、限流、审计报警等防御手段，并随时关注业界最新发现的安全漏洞和接收用户反馈的攻击特征，并在第一时间做出响应和提供更新，实时完善攻

　　和预警Web服务器的攻击，包括网页防爬虫、网页防篡改、HTTPS防护、DDoS攻击防护、Web攻击过滤、漏洞防护自学习等

　　网络类威胁，包括安全漏洞、木马后门、可以行为、CGI访问、CGI攻击、缓存溢出、拒绝服务、蠕虫病毒、网络数据库攻击、间谍软件、安全

　　Web应用防火墙不但可以帮助用户进行Web安全防御，提高网站安全性，而且集成了网络爬虫识别和过滤、网站资源盗链防护、内容关键字过滤

　　、HTTP协议合规性和URL参数合规性检查等功能，可以帮助用户对网站的访问进行过滤和优化，提高网站运营的稳定性和服务质量。

　　防护引擎能有效抵御各种注入式攻击，包括SQL注入、系统命令注入、LDAP注入、SSI注入、邮件注入、请求体PHP注入等攻击；对于常

　　见的XSS攻击的防护结合基于语义分析和攻击指纹两种方式，相比传统只基于攻击指纹的检测方法，检测准确率更高，误报率更低，防逃避能力更

　　强；为了检测出恶意攻击者对WEB站点的扫描行为，WEB防护引擎支持多种检测方式，多种扫描方式，同时也具备检测恶意爬虫的能力，其中包

　　等。其它的防护还包括会话劫持检测、木马检测等。WEB防护引擎里面还集成了一些高级防护功能，精确访问控制的自定义规则功能、防盗链、C

　　SRF攻击检测、CC攻击防护、应用隐藏、防篡改。这些高级防护能够对WEB站点资源进行保护、防止HTTPFLOOD攻击、内容防泄漏等

　　安全网关拥有海量病毒特征库，配合先进的防病毒引擎，能够精准识别并清除流行木马和顽固病毒。病毒检测引擎

　　针对非缓存流检测模式进行了全面结构调整和优化，使安全网关的病毒检测率和处理性能获得质的突破：在保持高病毒检测率的同时，系统性能下降

　　采用高效的病毒防御引擎和知名病毒厂商特征库，可检测不少于300万以上种病毒。可以根据不同的源

　　虫等多种类型的病毒特征库定时更新，支持病毒库本地升级，病毒库可实时在线升级。支持基于病毒防护策略设置阻断、清除、记录日志。

　　主机安全及管理系统是一款集成了丰富的系统加固与防护、网络加固与防护等功能的主机安全产品。业界独有的高

　　级威胁模块，专门应对攻防对抗场景；主机安全及管理系统通过使用的专利级文件诱饵引擎，有着业界领先的勒索专防专杀能力；通过内核级东西向

　　流量隔离技术，实现网络隔离与防护；拥有补丁修复、外设管控、文件审计、违规外联检测与阻断等主机安全能力。目前产品广泛应用在服务器、桌

　　可查看所有资产病毒查杀情况。可在此对所有资产批量进行病毒扫描（快速扫描/全盘扫描/自定义扫描）、停止扫描、处理病毒。并且支持全

　　支持多种压缩包、自解压包、符合文档、媒体文件、加密脚本、电子邮件、邮箱文件、可提取文档中嵌入的其它资源，如：宏、脚本、可执行程序

　　除到删除队列。支持部分病毒感染文件的修复功能，对于二进制文件可剥离感染部分，保证应用正常使用。自研免疫引擎通过强制访问控制技术免疫

　　默认划分为Windows服务器组，Linux操作系统默认划分为Linux服务奇组，其他的为系统默认组。

　　有资产的移动存储设备进行管控及审计。支持管理员对入网的移动存储介质进行注册，并且对已注册的移动介质进行管理。可以有效防止数据外泄以

　　资产评估：对资产的整体风险进行评估，并且给出风险数值，满分为100分。勒索评估：检查系统中的弱口令、系

　　为了提高来源身份的可靠性，防止身份冒用；DASUSM可以利用以下认证机制实现：内置了手机APP认证（谷歌动态口令验

　　证）、OTP动态令牌、USBkey双因素认证引擎提供了短信认证、AD、LDAP、RADIUS认证的接口支持多种认证方式同时使用、多

　　H3C/华为等）、文件服务器、web系统、数据库服务器（协议代理，无需应用中心）、虚拟服务器、远程管理服务器等等。

　　人员客户端登录运维，适用于习惯使用本地客户端工具登录DASUSM再登录目标主机的运维人员批量自动登录运维，适用于习惯一次性登录多台

　　目标主机的运维人员网关透明登录运维，适用于习惯使用本地客户端工具直接登录目标主机的运维人员Openssh代理登录运维，适用于习惯用

　　苹果系统、安卓系统、ubuntu、linux/unix的PC终端登录目标主机的运维人员，以及自动化运维等复杂场景。

　　基于H5技术，实现浏览器客户端运维，无需安装本地工具，直接支持浏览器打开运维界面操作支持ss

　　术：自动收集主机的IP、协议、端口号、账户、密码等信息，并且可以学习到运维人员的权限关系，进一步实自动授权。特别适用与前期对授权关

　　运维人员只需通过DASUSM成功登录一次目标主机即可自动录入主机信息，这大大减轻了管理员配置主机

　　要的任务。一旦发生密码遗失和泄露，将带来的风险无法估量。DASUSM提供了完善的自动改密功能，可以实现：

　　对于复杂的用户环境和需求，运维审计系统支持混合云管理和集群管理模式：混合云管理，解决多个本地网络不互通，管理云上主机不方便等问题，

　　体现了产品的审计能力。不仅实现了对所有操作会话的在线监控、实时阻断、日志回放、起止时间、来源用户、来源IP、目标设备、协议/应用类

　　SZ传输的文件完整备份在DASUSM中，为上传恶意文件、拖库、窃取数据等危险行为起到了查询依据。

　　全面适配六大国产化平台，支持国密算法加密，保障数据安全集成具备《商用密码产品认证证书》的动态口令卡，保障身份鉴别安全。

　　不断的连接检查和完整性检查以及可自定义的缓存功能，可确保平台接收到所有数据，并对传输链的各个环节进行监控；可配置过滤和聚合功能

　　、异常)、各种行为事件日志(内控、违规)、各种弱点扫描日志(弱点、漏洞)、各种状态监控日志(可用性、性能、状态)、安全视角的事件描

　　活，仅当接收到对应的日志后，规则才会被激活，同时支持未识别日志水印处理，采用多级解析功能和动态规划算法，实现灵活的未解析日志事件处

　　理，同时支持多种解析方法（如正则表达式、分隔符、MIB信息映射配置等）；日志解析性能与接入的日志设备数量无关。

　　综合日志审计平台的关联分析引擎本系统的最大亮点之一。综合日审计平台的关联引擎采取了In-Memory的设计，全内存运算方式

　　保证了事件分析极高的效率和实时性，这和一般的日志审计产品通过SQL查询方式提供关联分析能力有巨大差别，无论在分析速度、分析维度、灵

　　化之上的关联规则，适应性强可定制性强，几乎可根据通用事件的任何字段进行关联基于逻辑表达式，可以进行复杂关联时序宽容，无惧乱序。

　　系统具有对自身的维护配置功能，如：系统参数设置、系统日志管理等。硬件系统采用模块结构，保证系统内存、C

　　PU及储存容量的扩展；硬件配置的升级不会引起软件的修改和开发；每个组件都可以横向扩展，通过增加设备满足业务需求。

　　综合日志审计平台系统根据的网络安全经验，总结出了通用标准的安全事件归一化格式和分类体系结构。综合日志审计平台可以

　　各种安全事件日志(攻击、入侵、异常)各种行为事件日志(内控、违规)各种弱点扫描日志(弱点、漏洞)各种状态

　　安全视角的事件描述：事件目标对象归类、事件行为归类、事件特征归类、事件结果归类、攻击分类、检测设

　　综合日志审计平台系统采取分布式设计，将系统分为采集器、通讯服务器、关联分析引擎和管理中心四个部分。四个部分可以分布式部署，也可以组合部署，最大程度上兼顾了系统的可扩展性和灵活性；另外基于HTTPS的通讯模式，使跨互联网部署成为了可能，异地监控不再需要昂贵的专线私网模式。可以适用于从大型行业级网络环境到寥寥数台设备的中小企业。

　　综合日志审计平台系统采用了安全策略与基础系统分离的设计架构，将事件格式分析规则、关联分析规则、报警规则、综合报表规则等策略内容独立出来，变成可以独立演进、独立配置、独立升级的内容（称为Content），由经验丰富的专门团队根据安全经验专门定制开发，这种模式具有非常强的反馈速度和适应性。

　　AStack是下一代开源的云计算IaaS（基础架构即服务）软件。它主要面向未来的智能数据中心，通过提供灵活完善的APIs来管理包括计算、存储和网络在内的数据中心资源。用户可以利用AStack快速构建自己的智能云数据中心，也可以在稳定的AStack之上搭建灵活的云应用场景，例如VDI（虚拟桌面基础架构）、PaaS（平台即服务）、SaaS（软件即服务）等。

　　AStack提供了对企业数据中心基础设施的计算、存储、网络等资源的管理，底层支持KVM和VMware虚拟化技术，支持DAS/NAS/SAN/DFS等存储类型，支持本地存储、NFS存储、SAN存储、分布式块存储，支持VLAN/VXLAN等网络模型。

　　AStack的核心云引擎，使用消息总线同数据库MariaDB及各服务模块进行通信，提供了云主机管理、物理主机管控、存储调度、网络功能、账号计费、实时监控等功能。AStack还提供了Java和Python的SDK，且支RESTfulAPIs进行资源调度管理。基于AStack打造的专有云管理平台充分体现专有云的4S优势，即：简单Simple、健壮Strong、弹性Scalable、智能Smart。

　　?AStack使用消息总线进行各服务的通信连接，在调用服务时，源服务发消息给目的服务，并注册一个回调函数，然后立即返回；一旦目的服务完成任务，就会触发回调函数回复任务结果。异步消息可以并行处理。

　　?AStack服务之间采用异步消息进行通信，对于服务内部，一系列相关组件或插件，也是通过异步方法来调用，调用方法与异步消息一致。

　　?AStack采用的插件机制，给每个插件设置相应的代理程序。AStack为每个请求设置了回调URL在HTTP的包头，任务结束后，代理程序会发送应答给调用者的URL。

　　?基于异步消息、异步方法、异步HTTP调用这三种方式，AStack构建了一个分层架构，保证了所有组件均能实现异步操作。

　　?基于全异步架构机制，单管理节点的AStack每秒可并发处理上万条API请求，还可同时管理上万台服务器和数十万台云主机。

　　?AStack的计算节点代理、存储代理、网络服务、控制台代理服务、配置服务等，均不依赖其他请求，一次请求可包含所有信息，相关节点无须维护存储任何信息。

　　?AStack使用一致性哈希环对管理节点、计算节点或者其他资源以UUID为唯一ID进行认证的哈希环处理，消息发送者无需知道待处理消息的服务实例，服务也无须维护、交换相关的资源信息，服务只需单纯的处理消息即可。

　　?无状态服务机制让系统更为健壮，重启服务器不会丢失任何状态信息，数据中心的弹性扩展和伸缩性维护更为简单。

　　?一致性哈希算法保证了同一资源的所有消息均被同一个服务实例来处理。这种聚合消息到特定节点的方法，降低了同步与并行的复杂度。

　　?AStack使用工作队列来避免竞争锁的问题，串行任务以工作队列的方式保存在内存中，工作队列可对任意资源的任意操作进行并行处理来提高系统并行度。

　　?AStack使用消息总线对各服务进行隔离控制，例如，云主机服务、身份认证服务、快照服务、云盘服务、网络服务、存储服务等。所有的微服务都集合在管理节点的进程内，各服务之间利用消息总线进行交互，所有消息发送到消息总线后，再通过一致性哈希环选择目的服务进行转发处理。

　　?进程内微服务，以星状架构实现各服务独立运行，将高度集中的控制业务进行解耦，实现了系统的高度自治和高度隔离，任何服务出现故障并不影响其他组件。可靠性与稳定性得到有效保障。

　　?AStack支持策略模式和观察者模式进行插件设计。策略插件会继承父类的接口然后执行具体实现；观察者插件，会注册listener进行监控内部的业务逻辑的事件变化，当应用内部发现事件时，插件会对此事件做出自响应，在插件自身的代码里执行相应的业务流。

　　?AStack工作流基于XML对每个工作流程进行清晰定义，在任何步骤出现错误均可按照原本执行路径进行回滚，清理掉执行过程的垃圾资源。

　　?AStack使用CascadeFramework对资源管理进行瀑布状的级联操作，对资源进行卸载或者删除时，会对相关的资源进行级联操作。

　　?AStack使用Ansible进行无代理的全自动化安装依赖、配置物理资源，部署代理程序，全过程对用户透明，无须额外干预，可透过重连代理程序对代理进行升级。

　　AStack在本质上是云资源的配置管理系统。AStack管理的相关资源在结构上如图3:AStack资源结构所示：

　　?主存储：用于存储云主机磁盘文件（包括：根云盘、数据云盘、根云盘快照、数据云盘快照、镜像缓存等）的存储服务器。支持本地存储、NFS、SharedMountPoint、SharedBlock、Ceph类型。

　　?云主机：运行在物理主机上的虚拟机实例，具有独立的IP地址，可以访问公共网络，运行应用服务，是AStack的核心组成部分。

　　?镜像：云主机或云盘所使用的镜像模板文件，镜像模板包括系统云盘镜像和数据云盘镜像，其中系统云盘镜像支持ISO和Image类型，数据云盘镜像支持Image类型。

　　?网络服务：给云主机提供的各种网络服务，主要包括VPC防火墙、安全组、虚拟IP、弹性IP、端口转发、负载均衡、IPsec隧道、流量监控等。

　　?VPC防火墙：负责管控VPC网络的南北向流量，通过配置规则集和规则来管控网络的访问控制策略。

　　?安全组：给云主机提供三层网络防火墙控制，控制TCP/UDP/ICMP等数据包进行有效过滤，对指定网络的指定云主机按照指定的安全规则进行有效控制。

　　?云路由规格：定义云路由器（普通云路由器、VPC路由器或ARM云路由器）使用的CPU、内存、云路由镜像、管理网络、公有网络等。

　　?云路由器：作为定制的Linux云主机提供分布式DHCP、DNS、SNAT、路由表、弹性IP、端口转发、负载均衡、IPsec隧道等网络服务。

　　?VPC路由器：基于云路由规格直接创建的路由器，拥有公有网络和管理网络，是VPC的核心。提供各种网络服务，包括：DHCP、DNS、SNAT、路由表、弹性IP、端口转发、负载均衡、IPsec隧道、动态路由、组播路由、VPC防火墙、Netflow等。

　　?祖先和后裔关系：一个资源可以是另一个资源的直系祖先或者直系后裔。例如集群和云主机，区域和物理主机。

　　?朋友关系：一些资源与资源之间没有以上三种关系，但是这些资源在某些情境下需要分工合作，这时它们是朋友关系。例如主存储和镜像服务器，区域和镜像服务器。

　　?删除：删除资源，AStack使用的瀑布框架级联机制，使得父资源被删除后，相关子资源和后裔资源均会被删除。