## 系统集成方案
### 1、系统集成要求（3.1.2.3）
#### 1.1 集成目标与总体技术方案
系统集成在本项目中要达成的目标有三个，彼此是前后相承的关系：把分散在招标方十七套业务系统与设备侧控制系统中的业务事实按授权范围取得出来；把本项目采购的通用服务器、接入连接器、服务器密码机与现场感知检测设备连成一条可运行的加工产线；使数据集与其元数据在落地、流转、对外交付的每一个环节都经过国密算法处理。三个目标对应三条集成线索，各自的责任构成与交付物不同，口径不混用。
**第一条线索是与两个平台之间的加解密集成。** 招标文件要求与数据集加工生产平台集成实现指定数据集的加解密（b0795）、实现用户信息与企业信息等关键数据的加解密（b0796、b0797），并与数据集运营服务管理平台集成实现数据集元数据的加解密（b0798）。技术落点是服务器密码机与两个平台之间的密码服务层：业务模块不直连密码机、不持有密钥、不自行实现算法，加解密在密码服务层统一完成。集成职责完全在我方，交付物是加解密调用链配置、《字段分级与加密策略表》、密钥标识分配表与全链路往返验证记录。
**第二条线索是与招标方关联业务系统的接口集成。** 招标文件要求与数据集加工生产实施服务关联的 CRM、ERP、SCM、QMS、WMS、MES、LMS、EMS、SOS、EAM、PLM、SCADA、OA 等集成（b0799、b0800），3.2.2.1 下十七个子条对每一套系统进一步提出数据与接口条件（b0808–b0908）。这条线索是双方配合事项：招标方按 3.2.2.1 各条提供数据库连接信息、接口信息或文件传输信息、数据字典与业务低峰时段，我方承担接口开发、通道搭建、联调与验收。交付物是《接口契约》《接口台账》与逐系统联调报告。
**第三条线索是本项目采购或开发的软硬件之间的集成。** 招标文件 3.2.5 将这一范围界定为「仅针对本项所采购或开发的软硬件之间的集成」（b1208），四项具体工作为通用服务器上数据集加工生产平台的安装与适配（b1209）、接入连接器上数据集运营服务管理平台的安装与适配（b1210）、服务器密码机的国密算法调试（b1211）、采购硬件的网络连接与适配（b1212）。这条线索的责任完全在我方，交付物是可签字确认的安装调试记录与验收单。
三条线索共用一套集成底座：同一层对象标识映射与时间基准、同一本接口台账、同一个密码服务层、同一套对账与门控规则。底座的设计见 1.5 至 1.8；第（1）至（3）项的加解密集成见 1.9；第（4）项的业务系统接口集成见 1.10 与 1.11；第（5）项「其余集成按招标方项目实施要求执行（如有）」的受理与评估口径见 1.13（b0801）。本项所采购或开发软硬件之间的安装、适配与调试按 3.2.5 的服务要求在第 2 章落实，网络侧的责任划分、网段与访问策略按 3.4 在第 3 章落实。
##### 1.1.1 集成范围的全面性
集成范围的全面性在本项目中不是一句概括，而是四张可以逐条点名的清单：对象清单、层次清单、过程清单与异常清单。四张清单之外不留「其余视情况处理」的空白项；确实未决的，以有编号、有责任方、有到位时限的未决事项形态存在，不沉默消失。
**对象上不漏。** 需要对接的对象分四类，逐类有名有数：招标方既有业务系统十七套，其中安全监管平台按原文规定为单向取数（b0907）；本项目建设的两个平台，即数据集加工生产平台与数据集运营服务管理平台；本项目采购的密码与承载设备，即服务器密码机、通用服务器与接入连接器；现场感知检测设备四十二台，含熔池相机、在线高温热成像与在线热成像三类。对象的颗粒度落到接口一级：十七套系统合计划分一百零一个接口，逐个有编号、通道类型、增量方式、责任方与联调判据（图 1-7、表 1-8），感知检测设备的取流与测温接口另有规格与验证口径（表 2-13），密码服务侧为十一个接口（表 1-3），平台、工具链、治理与运营侧的内部接口单列（表 2-7）。清单以接口台账为准（1.8），台账条目与《集成前置条件申请清单》的条目逐条对应。
**层次上不断。** 集成按接入、通道、落地与对账、密码服务、运营与交付五层设计（1.5），每层有独立的失效模式与独立的验收判据，并由四级测试中的相应一级承接：接入层与通道层对应连通性测试与接口契约测试，落地与对账层对应数据一致性测试，运营与交付层对应端到端业务测试（2.10.1），密码服务层另有国密调试项与验收判据（表 2-10）。任一层的判据未通过，其上层不开始验收。
**过程上不缺。** 集成工作自现场勘察与接口确认起，经平台安装适配与单系统连通、批量接入与集成联调，至试运行与终验支撑，四个阶段各设进入与退出判据，退出判据未满足不进入下一阶段（2.8.1）。阶段之间与阶段之内的衔接事项各有专条：部署拓扑、环境与版本矩阵、账户权限与证书密钥、配置变更控制、安装顺序与健康检查（2.2），数据迁移、切换、备份与回滚（2.9），接口变更与冻结（2.8.4），验收组织与问题项闭环（2.10.4），集成交付文档移交（2.10.5）。网络侧的责任分界、分区划分、端口与带宽（第 3 章）与硬件侧的点位勘察、安装校准、质保落实（2.6）同在过程清单之内，按双方责任分界逐项落实，不作为他方事项略去。
**异常上不空。** 异常路径与正常路径同等对待。八类异常场景——正常路径、数据异常、断网、重复投递、超时、权限不足、证书失效、版本不兼容——逐类设计用例，每条写明前置条件、执行步骤、预期结果、留存证据与缺陷复测要求（2.10.3、表 2-18）；接口侧的错误码分类、失败补偿与审计口径按密码服务与源系统两侧分别列明（表 1-4、表 1-7）。
**覆盖程度的衡量与回退。** 全面性以接口台账的要素齐备程度衡量。一条接口的要素为八项：字段映射、调用时序、鉴权方式、限流阈值、幂等口径、错误码、失败补偿与审计。首期基线是第一阶段结束时十七套系统的接口契约均已编写并通过评审，八项要素的齐备比例不低于八成，未齐备项在契约中写明定稿时限；其后随第二阶段的实测结论回写，逐步接近八项齐备。到定稿时限仍不能齐备的，按 1.13 的受理与评估流程提交书面变更，由双方确认替代方式并在台账标注，相应数据范围所受影响一并书面评估，不以空缺项带入联调。
##### 1.1.2 技术选择的合理性
本方案的每一个技术选择都给出判定条件、被比较的备选方案与需要承担的代价，使选择可以被复核，而不是凭实施偏好确定。影响面最大的五项选择如下。
**只读接入而非双向对接。** 备选方案是在源系统上做联机查询或与源系统做双向同步。选定只读接入加落地解耦的判定条件有两条：业务低峰时段每日按五小时计（b0814 等十六处），加工链路若直接依赖源系统的联机响应，一次重算就可能波及生产系统；十七套系统分属不同时期建成，写入路径一旦开放，故障责任难以界定。代价是需要一份额外的落地存储与一套增量对账机制，本方案以行数、主键、关键字段校验和三类对账承担这一代价（1.5、2.9.2）。判据是源系统侧不存在可写路径，安全监管平台一处另以反向连通性测试确认（1.6）。确需回写的工艺与定额建议属场景验证阶段事项，由招标方逐次书面确认后以独立接口实现，不与取数通道混用（1.4）。
**按系统建通道而非按数据集建通道。** 十七套系统每套只建一条物理通道，通道之上按业务对象划分逻辑接口，四类数据集共享同一批通道。两种做法的工作量可以直接比较：按系统对接是十七次，按数据集对接是六十余次。代价是通道成为多类数据集的公共依赖，故在通道层逐接口设置调度窗口、单批上限、重试次数与告警阈值（1.5），并以接口冻结机制控制变更的影响面（2.8.4）。
**通道类型由源系统能提供什么决定。** 四类通道按优先级一至四排序，每类写明适用条件、增量方式与不可用时的转向（表 1-2）。逐系统的判定在现场勘察阶段完成并写入接口契约，不留「视情况而定」；主用与备用两条通道同时写入契约，切换由双方技术负责人书面确认后执行，不由实施人员现场改定（1.4）。增量识别同样按源系统能力分三档逐接口写明，有变更标识的用增量水位，仅有主键的用主键区间轮转比对，两者皆无的按低峰窗口做快照差分（1.5）。
**加解密集中在密码服务层而非各模块分散实现。** 判定条件是受测边界与密钥扩散范围：集中实现使商用密码应用安全性评估有一个明确的受测对象，业务模块只声明字段类别与密钥标识，不持有密钥、不自行实现算法（1.5、1.9.2）。代价是密码服务层成为公共依赖，而本项目密码机为一台（b2150r02），故配三档降级与多设备接入位预留，把单点故障的影响限制在批量任务延迟与实时解密受限（2.5.1），并在交付文档中写明该限制与补强建议。
**对象标识用映射层而非统一改造源系统编码。** 判定条件是不改动源系统这一前提：统一编码需要十七套系统同步改造，既超出本项目范围，也直接影响生产。映射层只建在落地区，以招标方业务上已稳定使用的施工号、图号与版次、工单号与工序号、物料编码与批次号、设备台账与测点编码、炉次号、焊道标识为骨架（1.7）。判据是可核对的施工号串链：首批不少于十个施工号由双方业务人员联合核对，通过率有基线、有复核节奏、未串通的记录逐条进缺口清单（1.12）。
**选择的复核与变更。** 以上选择不作一次性锁定。每一项在接口契约评审会上由双方确认，联调阶段以实测数据验证，实测结论回写契约并固化为该接口的基线（1.4）。首期基线是第一阶段结束时十七套系统均有主用、备用通道各一条写入契约；其后随第二阶段实测，逐步以实测结论替换勘察结论；两条通道均不可得的，按招标文件 3.1.2.3 第（5）条提交书面变更，由招标方指定实施方式（b0801）。
##### 1.1.3 实施路径的可行性
可行性要回答的是：在招标方现场的实际约束下，这条路径能不能按期走通。本方案对约束不作回避，逐项给出与之匹配的安排，并给出达不到时的退路。
**前置条件的不确定性是可控的。** 集成能否开工取决于连接信息、数据字典、业务低峰时段、授权审批四类前置条件（表 1-1），其中多数在本阶段尚未交付。本方案不以推测填补，按调查、选型、验证、责任与时限四步处理（1.4）：项目启动后五个工作日内提交《集成前置条件申请清单》，招标方在十个工作日内逐项反馈到位时间或说明替代途径；同期对每套系统以最小权限账号做连通性预演，结果按红黄绿三色记入《集成现状勘察报告》，红色项在第一阶段即升级到双方项目负责人，不拖到开发阶段才暴露（2.8.1）。
**工期与窗口是算得过来的。** 建设周期为合同正式签署后至 2028 年 5 月（b2155、b2156）。首次全量取数受低峰窗口约束，每窗口按五小时计，十七套系统不并发压上，按四个批次排期，批次之间允许重叠但首次全量取数窗口不重叠，主数据管理平台与设备编码基准先行（2.8.1）。全量作业按主键区间或时间区间分片，每片独立提交、独立记录水位，窗口结束时未完成的片下一窗口从断点续做（2.9.1）；各系统的单位时间取数速率在第一阶段实测，据此倒推所需窗口数并纳入排期，不把窗口是否够用留到实施期再发现。
**能力与资源是现成的。** 两个平台以已有产品底座作项目化配置与适配（1.2），不在本项目内从零构建；部署过程脚本化、参数化，环境相关项集中在配置文件，数据库访问层与具体数据库产品解耦（2.7），使后续操作系统或数据库替换的工作量集中在环境适配与数据搬迁。安装顺序与健康检查逐步可核（表 2-6），环境与版本矩阵在安装前确定并冻结（表 2-2），账户、权限、证书与密钥在同一处登记与轮换（表 2-3、表 2-4）。
**结果是可验证的。** 可行与否最终由可核对的结果证明，而不由陈述证明。四级测试逐层推进并各有判据（2.10.1、表 2-17）；八类异常场景逐条留证并复测（2.10.3）；焊接施工号链跨七套源系统与本项目感知设备的九个接口做端到端联调，十项核对记录由我方集成人员与招标方工艺、生产、质量三方业务人员共同签字（1.12、表 1-9、表 1-10）；热处理炉次链与设备运维链按同一方法各取不少于十个样本组织联调。
**走不通时有退路。** 迁移与切换设备份、回滚触发条件、回退操作与恢复后重放，并划定生产环境保护与授权边界（2.9.4、2.9.5、2.9.6、表 2-16）；集成风险逐项登记影响、等级、应对与回退口径，覆盖接口开放配合、字典缺失、窗口不足、设备联网范围、密码机单点、服务器配置与到场、源系统数据冲突、时间对齐失败等十项（2.11、表 2-19）。
**阶段性指标与回退。** 首期基线是第二阶段结束时十七套系统各自至少一个接口完成端到端取数并通过对账，四十二台现场设备逐台联调通过，平台各模块健康检查通过并经招标方功能评审；其后趋向第三阶段的常态运行目标，即各系统的全部接口按契约投入运行且连续七日对账通过、施工号串联核对达到约定基线、时间对齐误差在约定范围。达不到时的处理是：不扩大取数范围，先补齐对象标识映射规则与缺失的前置条件再复核；受影响的系统按招标文件 3.1.2.3 第（5）条确认替代交付方式（b0801），其对相应数据集规模的影响书面评估并反馈招标方，数据集的数据卡如实记录实际覆盖范围，不以推算值替代实测值。
#### 1.2 承诺主体与平台底座
每一项集成工作都给出输入（需要谁提供什么）、产出（交付什么文件）、验收人（谁签字）、不通过时的处理路径。涉及招标方现有系统的技术细节，凡尚未取得接口文档的，按 1.4 所列的调查、选型、验证、责任与时限四步处理：先以最小权限账号完成连通性调查，再按通道选型规则在主用与备用两条通道中择一，联调阶段以实测数据验证，责任人与到位时限纳入双方项目周例会跟踪。接口契约中的每一项能力以实测结果为准，未经实测的设备与系统侧能力描述不写入契约，也不作为数据集的口径依据。
本方案的承诺主体为中国移动。本方案所交付的数据集加工生产平台与数据集运营服务管理平台，以我方自主可控的产品底座（天地奔牛煤机装备数据智能平台，以下简称奔牛数据智能平台）为基础建设，按招标文件要求的功能清单做项目化配置与适配。
#### 图 1-1 系统集成总体范围与两类集成的责任边界
图 1-1 系统集成总体范围与两类集成的责任边界。数据来源：招标文件 3.1.2.3（b0794–b0801）、3.2.2.1（b0807）、3.2.5（b1207–b1212）、3.3.2（b2152）、3.4（b2153、b2154）。
#### 1.3 集成的现场技术条件
招标方的信息化底座已经铺到设计与工艺、生产计划与工单、质量检验、库存与物流、项目与商机、公文与合同、设备过程参数、在役装备运维各个业务面，业务事项基本都有系统承载。本项目的集成因此不是补建系统，而是按已授权范围把各系统中已经存在的业务事实按统一的业务对象组织出来，供数据加工链路调用。这一判断直接决定了集成的技术选择：以只读取数为主，不改动源系统的业务逻辑、不回写业务数据、不替换任何一套既有系统。
与这一判断相对的是三个必须在集成阶段解决的现场困难，它们也是数据集加工生产真正的卡点。
**第一个困难是跨系统追同一件事要靠人工对账。** 一个施工号下的产品，设计信息在产品全生命周期管理系统，工单与报工在制造执行系统，检验记录在质量管理系统，物料与库存在企业资源计划与仓储系统，焊接与热处理的过程参数在数据采集与监控系统与热处理群控系统。
这些系统各自的编码规则不一致，同一个零件在不同系统里的标识可能不同。如果集成只做「把每套系统的表抽出来」，抽完仍然是十七个孤岛，数据集无法形成以物理工件为中心的完整样本。因此本方案把对象主键贯通与时间基准统一放在集成设计的第一位，详见 1.7。
**第二个困难是非结构化资料取不出来。** 招标文件对 PLM 系统明确要求提供工艺图纸（PDF）、CAD 图纸（DWG/DXF）、工艺卡片（PDF）等非结构化数据以支撑数据标注和模型训练（b0873、b0874、b0875），对 CRM 要求提供招标投标文件、资质文件、业绩合同等非结构化数据（b0810、b0811、b0812），对 QMS 要求提供质量报告、检验数据、产品质量档案、质量知识（b0832、b0833），对 SOS 要求提供设备档案、维修记录、诊断报告、故障案例（b0860、b0861、b0862），对 OA 要求提供十一类管理制度与九类合同文档（b0886、b0887）。
现场情况是原生图纸不支持整批导出，历史图纸约六十三万张，且每一张图纸历史上都配有一张已审核签发的工艺卡片，这一配对关系存在于人的记忆与文件目录里而不在数据库字段里。集成方案必须为文件类资产单独设计通道，并把「文件与业务对象的配对」作为接口的一部分交付，而不是只把文件拷出来。
**第三个困难是时序数据与业务事件没有统一时间基准。** SCADA、EMS、热处理群控与设备远程运维侧的数据都是时序数据，采样周期通常为秒级；而工单、炉次、检验记录是事件型数据。两者若不在同一时间基准上，焊接参数流就对不上具体焊道，热处理曲线也对不上具体炉次与装炉工件。集成阶段必须把时间同步作为硬性验收项，而不是留到数据加工阶段再补。
#### 1.4 集成前置条件、责任矩阵与接口未定时的处理路径
招标文件在十七个子条里对每一套系统都提出了同一组条件，这组条件构成本项目集成工作能否按期开展的前提。我方在此把它们归并成四类，并给出接收标准与缺失时的处理方式。
**连接信息类。** CRM、QMS、SOS、PLM、OA、久其系统、主数据管理平台、热处理群控七处要求提供「数据库连接信息、API 接口信息或 FTP 信息」（b0813、b0834、b0863、b0876、b0888、b0893、b0898、b0904）；ERP、SCM、WMS、MES、LMS、EMS、EAM、SCADA八处要求提供「数据库连接信息或 API 接口信息」（b0820、b0827、b0840、b0845、b0851、b0856、b0869、b0882）。
两类表述的差别在于是否包含文件传输通道，与各系统是否承载非结构化数据相对应。我方的接收标准是：数据库通道需提供只读账号、实例地址、端口、字符集与可访问对象清单；接口通道需提供接口地址、鉴权方式、请求与响应示例、限流阈值；文件通道需提供服务地址、目录结构、命名规则与保留策略。
**数据字典类。** CRM、ERP、SCM 三处明确要求提供数据字典或数据库设计说明书（b0815、b0822、b0829）。字典是接口契约能否成立的依据，没有字典就只能靠抽样反推字段含义，反推结果不可作为数据集的口径依据。对招标文件未明确要求字典的系统，我方在需求确认阶段统一申请，取不到完整字典的以「字段样例 + 业务确认记录」替代，并将该替代事实记入接口登记台账。
**低峰窗口类。** 十七个子条中有十六处要求提供业务低峰时段并举例为零点至五点（b0814、b0821、b0828、b0835、b0841、b0846、b0852、b0857、b0864、b0870、b0877、b0883、b0889、b0894、b0899、b0905）。这一条对集成实施的影响是直接的：首次全量取数与大批量文件搬迁只能安排在低峰窗口内，每个窗口按五小时计，须按系统排期而不是并发压上。2.8 的实施排期即按此约束编制。
**授权与审批类。** 招标文件未单列此条，但只读账号的开立、网络策略的放通、文件目录的授权在实际执行中都需要招标方内部审批。我方在项目启动后三个工作日内提交一份《集成前置条件申请清单》，逐系统逐项列明所需权限、申请理由与期望到位时间，由双方项目负责人确认后纳入进度跟踪。
**接口条件未知时的调查、选型、验证与时限。** 招标文件要求招标方提供的连接信息、数据字典与业务低峰时段在本阶段尚未交付，十七套系统的接口形态因而存在未定项。本方案不以推测填补，按四步处理，每一步有责任方与时限。
第一步是调查。项目启动后五个工作日内，我方提交《集成前置条件申请清单》，逐系统逐项列明所需权限、申请理由与期望到位时间；招标方在十个工作日内逐项反馈到位时间，或说明不可提供的原因与可替代途径。同期我方对每一套系统申请一个最小权限账号做连通性预演，确认网络可达、账号可用、数据可见，预演结果按红黄绿三色记入《集成现状勘察报告》：绿为通道与账号均已具备，黄为通道具备但权限或字典待补，红为通道形态尚未确定。
第二步是选型。按 1.6 的通道选型规则，依据调查结论为每一套系统确定主用通道与备用通道各一条，连同判定理由写入《接口契约》。主用通道不可得时按表 1-2「不可用时转向」一列切换，切换决定由双方技术负责人书面确认后执行，不由实施人员现场改定。两条通道均不可得的，按招标文件 3.1.2.3 第（5）条的口径提交书面变更，由招标方指定实施方式（b0801）。
第三步是验证。通道选定后在第二阶段完成点对点连通测试与接口契约测试，以实测数据核对字段、类型、增量推进与限流行为，实测结论回写接口契约并固化为该接口的基线。源系统侧的接口能力、设备侧的取流与测温能力，均以我方在现场实测到的结果为准。
第四步是责任与时限。每一项未决条件在《集成前置条件申请清单》中有唯一编号、责任方、期望到位时间与当前状态，纳入双方项目周例会的固定议题；逾期未到位的由双方项目负责人升级处理，并按 2.11 的回退口径评估其对排期与数据集规模的影响，评估结论书面反馈招标方。
**对既有业务系统的操作权限边界。** 我方对招标方既有业务系统的操作权限边界是只读：不改动源系统的业务逻辑、不回写业务数据、不替换任何一套既有系统。确需回写的情形只有一处，即数据加工产出的工艺与定额建议回填到相关系统，这属于场景验证阶段的事项，由招标方逐次书面确认后以独立接口实现，不与本期取数通道混用。
| 前置条件 | 招标文件依据 | 提供方 | 接收标准 | 到位时点 | 缺失时的处理 |
|---|---|---|---|---|---|
| 数据库只读账号与连接信息 | b0813、b0820、b0827、b0840、b0845、b0851、b0856、b0869、b0882 等 | 招标方 | 实例地址、端口、只读账号、可访问对象清单、字符集 | 需求确认阶段结束前 | 转 API 或文件通道；均不可得时按 b0801 提变更 |
| API 接口地址与鉴权材料 | 同上 | 招标方及其系统运维方 | 接口地址、鉴权方式、请求响应示例、限流阈值 | 需求确认阶段结束前 | 转数据库只读视图 |
| 文件传输服务信息 | b0813、b0834、b0863、b0876、b0888、b0893、b0898、b0904 | 招标方 | 服务地址、目录结构、命名规则、保留策略 | 单系统连通前 | 改为现场介质交付并登记 |
| 数据字典或数据库设计说明书 | b0815、b0822、b0829 | 招标方 | 表与字段清单、取值域、主外键关系 | 接口契约评审前 | 以字段样例加业务确认记录替代并登记 |
| 业务低峰时段 | b0814、b0821 等十六处 | 招标方 | 每日可用窗口、例外日历 | 首次全量取数前 | 缩减单批量、延长批次数 |
| 网络可达与安全策略 | b2154 | 招标方 | 网段、路由、策略放通工单 | 单系统连通前 | 由我方提交策略申请并跟踪 |
| 设备接入点位与供电 | b2152r03–r06 | 双方共同确认 | 点位表、端口号、PoE 或独立供电方式 | 设备到场前 | 调整点位或增配供电辅材 |
| 通用服务器配置与到场时间 | b1209 | 招标方供货安排 | 机型、CPU 架构、内存、存储、网口数 | 平台安装启动前 | 按《平台部署基线要求》的分档建议先行排期，配置确认后按实配重做容量核算 |
表 1-1 集成前置条件与责任矩阵。数据来源：招标文件 3.2.2.1 各子条、3.2.5（b1207–b1212）、3.3.2（b2152）、3.4（b2154）。
#### 图 1-2 集成前置条件流转与阻塞点
图 1-2 集成前置条件流转与阻塞点。数据来源：招标文件 3.2.2.1 各子条对连接信息、数据字典与低峰时段的要求，3.1.2.3 第（5）条变更口径（b0801）。
#### 1.5 集成总体设计原则与五层参考架构
本方案在集成层面遵循四条原则，每一条都针对前一章列出的具体困难，不作一般性表述。
**只读优先，落地解耦。** 对招标方既有系统一律采用只读接入，取数后立即落到本项目的数据落地区，后续的解析、标注、质检全部在落地区完成，不在源系统上做联机查询。这样做的理由是现场的业务低峰窗口有限且报工时点本身有滞后，如果加工链路直接依赖源系统联机响应，一次重算就可能影响生产系统。落地解耦的代价是需要一份额外的存储与一套增量对账机制，收益是源系统的可用性不受本项目影响。
**一次对接，多次复用。** 十七套系统每一套只建立一条物理通道，通道之上按业务对象划分逻辑接口。四类数据集（供需计划、产品工艺设计、制造过程、产品质量）共享同一批通道，不为每类数据集各建一套接入。这一点对工期影响明显：按系统建通道是十七次对接，按数据集建通道则是六十余次。
**加解密在边界处统一完成。** 数据集本体、用户与企业信息、数据集元数据三类加解密需求（b0795、b0796、b0797、b0798）不在各业务模块里分散实现，而是统一由密码服务接入层调用服务器密码机。模块只声明「这个字段属于哪一类、用哪一个密钥标识」，不持有密钥、不自行实现算法。这样做使国密算法的调试与后续的商用密码应用安全性评估有一个明确的受测边界。
**接口资产化。** 每一条接口在建立时即登记到接口台账，记录来源系统、对象、字段映射、鉴权方式、调度窗口、责任人、版本与变更记录。台账随项目交付，使招标方在项目结束后能够自行维护与扩展，而不是把集成知识留在实施人员的记忆里。
本方案的集成架构分五层，自下而上为：接入层、通道层、落地与对账层、密码服务层、运营与交付层。分层的依据是每一层有独立的失效模式与独立的验收判据，便于定位问题，也便于按层验收。
**接入层**面向源系统与现场设备，承担协议适配。管理类系统走数据库只读视图或 REST 接口；文件类资产走文件传输或共享目录；时序类系统走历史数据接口或时序库读取；现场感知设备走厂商提供的软件开发工具包（SDK）取带时间戳的原始帧。接入层不做任何数据变换，只负责「取得到、取得全、取得准」。
**通道层**承担调度、增量识别、限流与重试。每条通道配置调度窗口、单批上限、失败重试次数与告警阈值。增量识别按源系统能力分三档：有时间戳或变更序号的用增量水位；无变更标识但有主键的用主键区间轮转比对；两者都没有的按低峰窗口做全量快照并与上一快照做差分。三档的选择在接口契约中逐接口写明，不留「视情况而定」。
**落地与对账层**把取到的数据落到数据落地区，并执行三项对账：行数对账、主键对账、关键字段校验和对账。对账不通过的批次不进入加工链路，自动转入待处理队列并通知责任人。这一层是集成与数据加工之间的交接点，交接判据就是对账结果。
**密码服务层**向上提供统一的加解密、哈希与签名验签接口，向下封装服务器密码机。接口形态按招标文件 3.1.2.1 的要求支持软件开发工具包与 RESTful 两种调用模式（b0724、b0725），加解密策略支持「一文一密」「一数据一密」（b0726、b0727、b0728）。该层的功能要求由安全方案一节给出；在集成链路中，该层承担密钥标识分配、算法参数固化、调用审计与降级调度，其调试项与验收判据见 2.5.2。
**运营与交付层**部署在接入连接器上，承载数据集运营服务管理平台的对外功能：登记注册、挂牌展示、交付下载、审核管理、日志审计与存证。它是数据集离开本项目边界的唯一出口，所有对外交付都经此出口并留审计记录。
#### 图 1-3 五层集成参考架构与数据流向
图 1-3 五层集成参考架构与数据流向。数据来源：招标文件 3.1.2.1 密码应用服务要求（b0724–b0728）、3.1.2.3（b0794–b0798）、3.2.4 对外接口要求（b1206）、3.2.5（b1207–b1212）。
#### 1.6 四类接入通道的选型规则
十七套源系统的接入方式不由偏好决定，而由源系统能提供什么决定。本方案给出明确的选型顺序与判定条件，现场勘察时按此逐系统判定并记入接口契约。
| 通道类型 | 适用条件 | 优先级 | 增量方式 | 典型适用系统 | 不可用时转向 |
|---|---|---|---|---|---|
| 数据库只读视图 | 源系统允许开只读账号；表结构稳定；有时间戳或变更序号 | 1 | 增量水位 | ERP、WMS、EAM、LMS、MES | 接口通道 |
| REST 或 WebService 接口 | 源系统已有开放接口或可由其运维方新增；数据量中等 | 2 | 接口自带增量参数 | CRM、QMS、久其系统、主数据管理平台 | 数据库只读视图 |
| 文件传输或共享目录 | 承载非结构化资产；或源系统不开放联机访问 | 3 | 目录增量扫描加指纹比对 | PLM、OA、CRM 附件、QMS 报告、SOS 档案 | 现场介质交付并登记 |
| 时序数据读取 | 数据为秒级采样的测点序列；有历史数据查询能力 | 4 | 按时间区间拉取并去重 | SCADA、EMS、热处理群控、设备运维侧 | 由设备侧转发至本项目采集节点 |
| 设备软件开发工具包 | 本项目新增的感知与检测设备 | — | 按触发或固定帧率推送 | 熔池相机、在线高温热成像、在线热成像 | 改为本地缓存后批量回传 |
表 1-2 接入通道选型规则。数据来源：招标文件 3.2.2.1 各子条对连接方式的规定（b0813、b0820、b0827、b0834、b0840、b0845、b0851、b0856、b0863、b0869、b0876、b0882、b0888、b0893、b0898、b0904）、3.3.1 硬件技术参数对 SDK 的要求（b2150r04、b2150r05、b2150r06）。
需要说明的是，招标文件对安全监管平台的规定与其余十六套不同：「平台与安全监管平台单向集成，即平台从安全监控平台获取数据」（b0907）。单向集成在实现上意味着我方侧不开放任何可被该平台写入的接口，取数方向与权限在网络策略与接口契约两处同时固化，并在联调阶段以反向连通性测试确认不存在可写路径（b0906、b0907、b0908）。
#### 1.7 对象主键贯通与时间基准统一
这一节处理 2.1 所述的第一个与第三个困难，是本方案在集成设计上与通用数据汇聚方案最主要的差别。
**对象主键贯通。** 本方案不试图统一各源系统的内部编码，而是在落地区建立一层对象标识映射。映射以招标方业务上已经稳定使用的标识为骨架：合同与项目侧以施工号为主键，设计与工艺侧以图号与版次为主键，生产执行侧以工单号与工序号为主键，物料侧以物料编码与批次号为主键，设备侧以设备台账编码与测点编码为主键，热处理侧以炉次号为主键，焊接侧以焊道标识为主键。
每一条落地记录在入库时解析出它所属的一个或多个对象标识，写入映射表。主数据管理平台提供的组织机构、人员、物料编码等结构化数据（b0896、b0897）正是这一层映射的基准来源，因此主数据管理平台的接入排在十七套系统的首位。
映射建立的判据是可核对的：对任选一个施工号，能够在落地区把该施工号下的图纸、工艺卡、工单、报工记录、检验记录、物料批次、热处理炉次串成一条链，并与招标方业务人员在生产系统中查到的结果逐项核对一致。首批以不少于十个施工号作为样本做联合核对，核对通过率的初期基线按不低于 85% 设定，随映射规则迭代逐步接近业务可接受水平；未串通的记录逐条记录原因，形成映射缺口清单，而不是以平均值掩盖个案。
**时间基准统一。** 全项目采用统一的网络时间源，本项目各节点与现场感知设备在安装阶段完成对时并纳入监控。时序数据按统一的时间精度与时区口径落地，事件型数据保留源系统时间与落地时间两个时标。
焊接与热处理两类场景对时间对齐的要求最高，工程上按「秒级对齐、毫秒级留痕」执行：设备侧按秒级采样，图像与温度帧带毫秒时间戳，对齐误差的初期控制目标为不超过两个采样周期，并在联调阶段用已知时点的人工标记事件做对齐验证。对时失效（如设备断网后时钟漂移）时，该设备数据转入待校正队列，由对齐校正程序按相邻时标重建后再进入加工，不直接丢弃也不直接采信。
#### 图 1-4 对象主键贯通与时间基准统一
图 1-4 对象主键贯通与时间基准统一。数据来源：招标文件 3.2.2.1.15 主数据管理平台要求（b0896、b0897）、3.2.2.1.12 SCADA 时序数据要求（b0880、b0881）、3.2.2.1.16 热处理群控时序数据要求（b0902、b0903）；工序道数与历史图纸数量口径见本卷事实口径（备料工序 28 道、历史工艺样本 63 万张）。
#### 1.8 集成元数据与接口台账
接口台账是集成交付物中最容易被忽视、但对招标方后续运维价值最高的一项。台账以接口为行，字段包括：接口编号、源系统、业务对象、通道类型、鉴权方式、字段映射版本、增量方式与水位字段、调度窗口、单批上限、重试策略、对账规则、数据分级与加解密要求、责任人角色、启用日期、变更记录。
台账与数据血缘联动：落地区每一个批次记录其来源接口编号与接口版本，数据集的数据卡据此可回溯到具体接口与具体批次。这使得数据集出现质量问题时，归因可以一直追到源系统的某一次取数，而不是停在「数据有问题」。接口版本变更时，受影响的下游数据集在台账中可直接列出，为是否需要重新加工提供判断依据。
台账以文件与平台两种形态交付：平台内可维护、可导出，同时在终验时提供一份加盖我方公章的纸质与电子版本，列入 2.10.5 的集成交付文档清单。
#### 1.9 数据集、关键数据与元数据的加解密集成（第（1）至（3）项）
密码产品的功能要求、合规测评安排与整体安全体系由安全方案一节给出。本节落实集成侧的四件事：三类加解密对象各自的处理口径、密码服务的调用链与密钥流向、加解密与数据集交付的衔接、密码服务接口的调用规格与错误处理。服务器密码机的调试工作与验收判据按 3.2.5 第（3）项在 2.5 落实，两处取同一条调用链与同一套判据。
##### 1.9.1 三类加解密对象与各自的处理口径
招标文件把加解密要求分成三条，分别指向不同的数据对象，处理口径不同，不能用同一套策略覆盖。
**第一类是指定数据集的加解密**（b0795）。对象是加工生产平台产出的数据集文件与数据集切片，特点是单体大、批量多、以文件形态存在。本方案对这一类采用「一文一密」策略（b0727）：每一个数据集文件在落地或归档时由密码服务层生成一个数据密钥，用该密钥以 SM4 算法加密文件内容，数据密钥本身由密码机内的主密钥加密后与文件元信息一同存放。
读取时按密钥标识向密码服务层申请解密数据密钥，再在内存中解密文件内容。采用这一策略的原因是数据集是按份交付、按份授权的，一文一密使单份数据集的授权撤销与密钥销毁可以独立执行，不牵动其他数据集。
「指定数据集」的范围不由我方自行判定。本方案在数据分级规则中给出可操作的判定条件：涉及个人信息、敏感地理信息、重要行业数据、企业秘密数据的数据集（对应 3.2.1 服务采购清单中安全合规建设条款所列的四类，b0804r06）一律加密；其余数据集由招标方在数据集登记时逐项勾选是否加密。判定结果记入数据集元数据，加解密动作随之自动生效，不依赖人工记忆。
**第二类是用户信息、企业信息等关键数据的加解密**（b0796、b0797）。对象是平台内的账号、联系方式、企业资质与交易相关信息，特点是单体小、字段级、需要支持按条件检索。本方案对这一类采用「一数据一密」策略（b0727）的字段级实现：对需要加密且不需要检索的字段直接做 SM4 字段加密；对需要等值检索的字段（如手机号、统一社会信用代码）同时存储 SM3 哈希值用于匹配，密文用于展示与导出；对需要范围检索的字段不加密而改为脱敏存储，原值放入独立的受控表并单独加密。
这一区分很关键：如果对所有字段一律加密，平台的查询功能会大面积失效；如果一律不加密，又不满足招标文件要求。字段级加密方案以《字段分级与加密策略表》形式交付，逐字段列明分级、是否加密、是否存哈希、是否脱敏、谁可解密。
**第三类是数据集元数据的加解密**（b0798）。对象是运营服务管理平台中的数据集目录与元数据，特点是既要对外展示以支撑挂牌与检索，又包含不宜公开的内部字段（如来源系统、加工参数、成本信息）。本方案把元数据分为公开部分与受控部分：公开部分明文存储并参与检索与挂牌展示；受控部分字段级加密，仅在授权角色查看时解密；元数据整体生成 SM3 摘要并签名，用于防篡改校验与区块链存证。这样处理使元数据既可用又可控，且存证的对象是摘要而不是元数据原文，避免敏感内容上链。
##### 1.9.2 加解密调用链与密钥流向
调用链按「业务模块 → 密码服务层 → 服务器密码机」三段固定，业务模块不直连密码机、不持有密钥、不实现算法。密码服务层对上以软件开发工具包与 RESTful 两种模式提供接口（b0724、b0725），对下按《密码设备应用接口规范》（GM/T 0018-2012）调用密码机，密码机型号符合《服务器密码机技术规范》（GM/T 0030）（b2150r02）。
密钥分三层：密码机内的主密钥，由密码机硬件保护、不出设备；业务密钥，按用途与数据分级划分，由主密钥加密后存储于密码服务层的密钥库；数据密钥，一文一密或一数据一密生成，由业务密钥加密后随数据存放。三层结构的作用是把密钥轮换的影响面限制在一层之内：数据密钥随数据生命周期自然失效，业务密钥按周期轮换且不需重加密全部数据，主密钥在设备生命周期内保持不变并按规程备份。
##### 图 1-5 国密加解密调用链与三层密钥流向
图 1-5 国密加解密调用链与三层密钥流向。数据来源：招标文件 3.1.2.1 密码应用服务要求（b0724–b0732、b0737、b0742）、3.1.2.3（b0795–b0798）、3.3.1 服务器密码机技术参数（b2150r02）、3.2.5（b1211）。
##### 1.9.3 加解密与数据集交付的衔接
数据集对外交付时的加密口径与存储加密不是同一件事，容易混。本方案的口径是：存储加密解决落地数据的静态保护，交付加密解决交付包在接收方手上的受控使用。交付包在第二台连接器上生成，按接收方的授权范围选取数据集切片，用一次性数据密钥加密成包，包的密钥按接收方注册的公钥（SM2）封装；交付记录含包摘要（SM3）与交付时间，摘要上链存证（b2150r03 区块链存证）。接收方凭自身私钥解封数据密钥后解密包体。授权撤销时后续交付即停止，已交付包的有效期由交付协议约定，这一点在交付流程中写明而不靠技术手段事后收回。
传输通道按招标文件 3.1.2.2.3 安全性要求使用 SSL 协议作为 Web 应用的基础安全协议保护传输与存储中的敏感数据（b0760、b0761），并按「数据和文档的安全保密技术符合国家相关技术要求」执行（b0762）。
##### 1.9.4 密码服务接口的调用规格、限流、幂等与错误处理
加解密集成能否通过验收，取决于接口规格是否被双方同样理解。本方案把密码服务层对上提供的接口按用途固定为十一个，逐个写明调用方、入参与返回要点、幂等键与限流口径，写入《密码服务接口说明》并随平台交付。接口形态按招标文件 3.1.2.1 的要求同时支持软件开发工具包与 RESTful 两种调用模式（b0724、b0725）。
| 接口 | 调用方 | 入参要点 | 返回要点 | 幂等键 | 限流与超时口径 |
|---|---|---|---|---|---|
| 数据密钥申请 | 加工生产平台落地与归档模块 | 数据分级、用途标识、业务密钥标识 | 密钥标识、密钥密文、算法与模式 | 业务对象标识＋版本 | 按批作业并发上限配置，单次超时后重试三次 |
| 数据密钥解封 | 加工生产平台、运营服务管理平台 | 密钥标识、调用主体与授权凭据 | 明文数据密钥（仅驻内存） | 密钥标识＋调用流水号 | 按并发会话数限流，超限排队不丢弃 |
| 文件流加密 | 数据集归档、交付包生成 | 数据密钥标识、分片大小、算法模式 | 密文流、分片摘要、完整文件摘要 | 文件摘要＋密钥标识 | 按分片并发度限流，分片失败仅重传该片 |
| 文件流解密 | 数据集读取、交付包校验 | 密钥标识、分片范围 | 明文流、校验结论 | 文件摘要＋分片序号 | 同上 |
| 字段加密 | 平台各业务模块经密码服务层 | 字段分级标识、业务密钥标识、明文 | 密文、密钥版本 | 表＋主键＋字段名＋数据版本 | 高频小字段按批合并调用 |
| 字段解密 | 平台各业务模块经密码服务层 | 密文、密钥版本、调用主体 | 明文（仅驻内存） | 同上 | 结果可按会话缓存，缓存期在配置中固化 |
| 可检索哈希计算 | 需按条件检索的受控字段 | 明文、加盐策略标识 | 哈希值 | 明文摘要＋盐版本 | 与字段加密同批调用 |
| 签名 | 存证上链、交付包签发、审计落盘 | 待签摘要、签名密钥标识 | 签名值、证书标识、时间戳 | 摘要＋密钥标识 | 按签名速率标称值的安全余量配置 |
| 验签 | 交付包接收校验、存证验证 | 签名值、原文摘要、证书标识 | 验签结论 | 不涉及写入，天然幂等 | 同上 |
| 密钥轮换 | 密码服务层运维作业 | 密钥层级、轮换范围、生效时点 | 新密钥版本、受影响对象清单 | 轮换批次号 | 仅在维护窗口内执行，与批量作业互斥 |
| 密钥销毁 | 授权撤销、数据集下架 | 密钥标识、销毁依据单号 | 销毁回执、审计流水号 | 销毁依据单号 | 需双人复核方可执行 |
表 1-3 密码服务接口清单与调用规格。数据来源：招标文件 3.1.2.1 密码应用服务要求（b0724–b0728）、3.1.2.3 第（1）至（3）项（b0795–b0798）、3.3.1 服务器密码机技术参数（b2150r02）。
**调用时序。** 一次数据集文件的加密落地按五步执行：加工链路完成一个数据集文件的产出并计算明文摘要；向密码服务层申请数据密钥，密码服务层经密码机生成数据密钥并用业务密钥封装；加工链路分片调用文件流加密，逐片回写密文与分片摘要；全部分片完成后写入密钥标识、算法标识与完整文件摘要三项元信息；最后把该文件的加密事实写入接口台账与数据血缘。读取时序相反，且解密仅在内存中进行，不落明文临时文件。
**失败补偿。** 加解密调用失败按三类补偿：瞬时类（连接超时、会话失效）由密码服务层自动重试并重建会话，业务侧无感；分片类（单片加密或传输失败）仅重传该片，不重做整文件；作业类（密码机不可用）由批量任务入队等待，实时读取请求返回明确的业务提示而不是超时等待，设备恢复后队列任务按幂等键自动续跑，不重复不丢失。三类补偿的触发条件、重试次数与告警对象在密码服务层的配置项中固化，变更留痕。
| 错误码段 | 含义 | 调用方处理 | 可否重试 | 升级与审计 |
|---|---|---|---|---|
| 连接类 | 密码机不可达、会话建立失败 | 重建会话后重试，超过阈值转降级 | 可 | 连续失败达阈值告警至运维角色，记入可用性台账 |
| 鉴权类 | 调用主体未授权、凭据过期 | 停止调用并申请凭据更新 | 否 | 即时告警至安全管理角色，记入安全审计 |
| 参数类 | 密钥标识不存在、算法模式不支持 | 停止调用并校正配置 | 否 | 记入缺陷库，作为契约测试用例补充 |
| 密钥类 | 密钥版本已轮换、已销毁 | 按密钥标识重新解析版本；已销毁的按授权撤销处理 | 条件可 | 记入密钥管理审计流水 |
| 容量类 | 超出并发或速率限制 | 排队等待并下调并发度 | 可 | 累计超限次数进入容量评估 |
| 完整性类 | 摘要校验不一致 | 丢弃该片并重传，连续失败停止该批 | 条件可 | 即时告警，批次标记为不可信并复核 |
表 1-4 密码服务错误码分类、失败补偿与审计口径。数据来源：招标文件 3.1.2.1 密码应用服务要求（b0709–b0711、b0724–b0728）、3.1.2.2.4 可靠性要求（b0764–b0769）。
**审计。** 密码服务层的每一次调用写一条审计记录，字段为调用流水号、时间戳、调用主体与角色、接口名、数据对象标识、密钥标识与版本、算法与模式、返回码、耗时、调用来源网段。审计记录与业务日志分离存放，落在第三台接入连接器的审计与存证侧，审计账号与业务账号分离，审计记录本身按招标文件的完整性要求做签名保护，不可由业务管理员修改或删除。
#### 1.10 与关联业务系统的接口集成（第（4）项）
本节落实接口的建立、连通与验收：通道搭建、鉴权、字段映射、调用时序、限流、幂等、错误码、失败补偿与审计，以及逐系统的联调判据与回退口径。各系统应提供的数据范围、采集频次、增量策略与数据落地后的解析加工，由数据资源采集接入一节给出，口径以招标文件原文为共同依据。
##### 1.10.1 统一接入规范
十七套系统分属不同年代、不同技术栈，若每套系统各建一套做法，联调与运维都无法收敛。本方案先定一套统一接入规范，再逐系统落规范。规范包含七项内容，每一项都是接口契约中的必填栏。
**连接与协议。** 按 1.6 的通道选型规则确定通道类型，并在契约中写明连接地址、端口、协议版本。数据库通道一律使用只读账号并限定可访问对象；接口通道约定接口地址、方法、报文格式与字符编码；文件通道约定服务地址、目录、命名规则。
**鉴权与凭据管理。** 账号与密钥由招标方开立后交我方项目组统一保管，不下发到个人；凭据在平台配置中加密存储，调用时由密码服务层解密（见 1.9）。凭据轮换周期在契约中约定，轮换由招标方发起、我方配合。
**增量标识。** 逐接口写明增量字段与水位推进规则，三档方式（增量水位、主键区间轮转、快照差分）必选其一，不写「视情况而定」。选择第三档的接口须同时写明全量快照的体量与所需窗口时长。
**调度窗口与限流。** 首次全量与大批量文件搬迁安排在招标方提供的业务低峰时段内（十六处子条统一举例为零点至五点，b0814 等），每个窗口按五小时计；日常增量按业务容忍度安排在非高峰时段，并设置并发连接数上限与单批行数上限，避免对源系统造成额外负载。
**字段映射与字典。** 以招标方提供的数据字典或数据库设计说明书（b0815、b0822、b0829）为依据建立字段映射表，逐字段记录源字段名、类型、取值域、空值含义、目标字段与转换规则。字典缺失的以字段样例加业务确认记录替代，并在映射表中标注为「样例反推」，该标注随数据血缘保留，使后续数据集的口径争议可以追到源头。
**对账规则。** 每个接口定义行数对账、主键对账与关键字段校验和对账三类规则中至少两类，并约定容差。对账不通过的批次不进入加工链路。
**异常与通知。** 定义异常分级（连接失败、鉴权失败、超时、数据格式异常、对账不通过、水位倒退）与各级的重试次数、告警对象与升级时限。告警按角色而不是按个人配置。
##### 1.10.2 十七套系统接口清单总表
下表按招标文件 3.2.2.1 的子条顺序逐系统列出集成要点。「数据形态」一列区分结构化、非结构化与时序三类，决定通道组合；「招标方须提供」一列直接对应招标文件原文要求，是前置条件跟踪表的来源。
| 序 | 系统 | 主要业务事实 | 数据形态 | 建议通道 | 招标方须提供（单元） | 逐系统小节 |
|---|---|---|---|---|---|---|
| 1 | CRM 客户关系管理 | 客户、商机、报价、合同、订单、回款；招投标文件、资质文件、业绩合同 | 结构化 + 非结构化 | 接口 + 文件 | 连接/接口/FTP（b0813）、低峰时段（b0814）、数据字典（b0815） | 1.11.1 |
| 2 | ERP 企业资源计划 | 组织、人力、物料、采购、销售订单、成本核算、应收应付、凭证、资产、资金 | 结构化 | 数据库只读视图 | 连接或接口（b0820）、低峰时段（b0821）、数据字典（b0822） | 1.11.2 |
| 3 | SCM 供应链管理 | 供应商档案与评估、采购计划与订单、订单下达、供货履约、付款计划 | 结构化 | 接口 + 数据库只读视图 | 连接或接口（b0827）、低峰时段（b0828）、数据字典（b0829） | 1.11.3 |
| 4 | QMS 质量管理 | 制程/进厂/出厂/成品检验、质量台账；质量报告、检验数据、质量档案、质量知识 | 结构化 + 非结构化 | 接口 + 文件 | 连接/接口/FTP（b0834）、低峰时段（b0835） | 1.11.4 |
| 5 | WMS 仓储管理 | 仓库、库区、货位、物料、批次、到货单、入库单、出库单 | 结构化 | 数据库只读视图 | 连接或接口（b0840）、低峰时段（b0841） | 1.11.5 |
| 6 | MES 制造执行 | 焊丝牌号、焊丝直径、生产工单、生产进度 | 结构化 | 数据库只读视图 | 连接或接口（b0845）、低峰时段（b0846） | 1.11.6 |
| 7 | LMS 物流管理 | 物流需求、运单、调度结果、装卸、取货、送达、运输时间 | 结构化 | 数据库只读视图 | 连接或接口（b0851）、低峰时段（b0852） | 1.11.7 |
| 8 | EMS 能源管理 | 能耗监控、能耗统计、能耗分析 | 时序 | 时序读取 | 连接或接口（b0856）、低峰时段（b0857） | 1.11.8 |
| 9 | SOS 设备远程运维 | 健康状态时序；运维计划、报警处置、售后工单、备件消耗；设备档案、维修记录、诊断报告、故障案例 | 时序 + 结构化 + 非结构化 | 时序读取 + 接口 + 文件 | 连接/接口/FTP（b0863）、低峰时段（b0864） | 1.11.9 |
| 10 | EAM 设备资产管理 | 设备台账、设备档案、设备点检、维修工单、作业计划 | 结构化 | 数据库只读视图 | 连接或接口（b0869）、低峰时段（b0870） | 1.11.10 |
| 11 | PLM 产品生命周期管理 | BOM 编号、工序数据、变更、零部件信息；选型方案、工艺图纸、CAD 图纸、工艺卡片 | 结构化 + 非结构化 | 接口 + 文件 | 连接/接口/FTP（b0876）、低峰时段（b0877） | 1.11.11 |
| 12 | SCADA 数据采集与监控 | 电流、电压、温度、湿度、运行状态、焊接电流/电压、送丝速度、气体流量 | 时序 | 时序读取 | 连接或接口（b0882）、低峰时段（b0883） | 1.11.12 |
| 13 | OA 协同办公 | 11 类管理制度、9 类合同文档 | 非结构化 | 文件 + 接口 | 连接/接口/FTP（b0888）、低峰时段（b0889） | 1.11.13 |
| 14 | 久其系统 | 营业收入、利润、成本、资产负债等指标 | 结构化 | 接口 | 连接/接口/FTP（b0893）、低峰时段（b0894） | 1.11.14 |
| 15 | 主数据管理平台 | 组织机构、人员、物料编码 | 结构化 | 接口 | 连接/接口/FTP（b0898）、低峰时段（b0899） | 1.11.15 |
| 16 | 热处理群控系统 | 当前/设置温度、电流/电压、加热/冷却时间、冷却水温度、淬火液温度、淬火水温、温控测量值 | 时序 | 时序读取 + 文件 | 连接/接口/FTP（b0904）、低峰时段（b0905） | 1.11.16 |
| 17 | 安全监管平台 | 安全监管数据、生产过程监控数据 | 结构化 + 时序 | 单向取数 | 按单向集成要求配置（b0907） | 1.11.17 |
表 1-5 十七套业务系统接口集成要点总表。数据来源：招标文件 3.2.2.1.1 至 3.2.2.1.17 各子条原文（b0808–b0908）、3.1.2.3 第（4）条（b0799、b0800）。
##### 图 1-6 十七套源系统按数据形态归并为四类接入通道
图 1-6 十七套源系统按数据形态归并为四类接入通道。数据来源：招标文件 3.2.2.1.1 至 3.2.2.1.17（b0808–b0908）、3.2.2.1 总述（b0807）。
##### 1.10.3 源系统接口的字段映射、调用时序、鉴权、限流、幂等与审计
1.10.1 列出的七栏是每一条接口契约必须填满的内容，其技术取值按通道类型分列如下。十七套系统的接口形态不同，但以下八项规格一体适用，逐接口在《接口契约》中取值，不逐系统另立体系。
| 规格项 | 数据库只读视图通道 | 接口通道 | 文件传输通道 | 时序读取通道 |
|---|---|---|---|---|
| 字段映射 | 源表与字段名、类型、取值域、空值含义、目标字段、转换规则，以数据字典为依据；字典缺失的标注「样例反推」 | 报文字段路径、类型、枚举取值、必填性、目标字段与转换规则 | 目录与命名规则解析出的业务标识、文件类型、与业务对象的配对字段 | 测点编码、物理含义、单位、量程、采样周期、所属设备台账编码 |
| 调用时序 | 建连、按水位查询、分页读取、落地、对账、推进水位、断连 | 取令牌、按增量参数请求、分页拉取、落地、对账、推进水位 | 目录扫描、指纹比对、配对信息获取、分批搬迁、摘要校验、格式检查 | 按时间区间请求、按测点与时间戳去重、落地、缺点统计、推进区间 |
| 鉴权 | 只读账号与口令，口令在平台配置中加密存储，调用时由密码服务层解密 | 令牌或签名鉴权，凭据集中保管不下发到个人 | 文件服务账号与目录级授权 | 接口账号或设备侧授权，按测点范围限定 |
| 限流 | 并发连接数上限、单批行数上限、查询超时时间 | 并发请求数上限、每秒请求数上限、单次返回条数上限 | 并发传输数上限、单批文件数与总字节上限 | 单次时间区间跨度上限、并发测点数上限 |
| 幂等 | 幂等键为主键或主键＋版本；同批次重投落地结果一致 | 幂等键为业务单号＋更新时间；重复报文按幂等键覆盖同版本 | 幂等键为文件摘要；相同摘要只追加引用记录不重复搬迁 | 幂等键为测点编码＋时间戳；重复点保留最后写入值并记重复次数 |
| 错误处理 | 连接失败、鉴权失败、超时、结果集超限四类分别处置 | 另含限流拒绝与报文格式异常两类 | 另含目录不可达、文件被占用、摘要不一致三类 | 另含区间无数据、采样中断、时钟漂移三类 |
| 失败补偿 | 按水位回退至上一已确认位点重取，不跨位点跳过 | 同左，并对已消费未落地的报文按幂等键重投 | 仅重传失败文件，不重做整批 | 按缺点区间定向补取，补不到的标记区间不可用 |
| 审计 | 每批次记录接口编号与版本、水位区间、行数、耗时、对账结论、责任角色 | 同左，另记请求数与限流命中次数 | 同左，另记文件数、字节数与摘要校验结论 | 同左，另记测点数、理论点数、缺点率 |
表 1-6 源系统接口的统一技术规格。数据来源：招标文件 3.2.2.1 各子条对连接方式、数据字典与低峰时段的规定（b0813–b0905）、3.1.2.2.4 可靠性要求（b0764–b0769）。
**错误码与异常分级。** 1.10.1 定义的六类异常对应六个错误码段，每一段的重试次数、告警对象与升级时限在接口台账中逐接口取值，告警按角色配置而不按个人配置。
| 错误码段 | 触发条件 | 重试口径 | 告警对象 | 升级时限 | 对批次的处置 |
|---|---|---|---|---|---|
| 连接类 | 网络不可达、端口不通、服务未响应 | 指数退避重试三次 | 集成运维角色 | 连续失败超过一个调度周期即升级 | 该批次不入链路，转待处理队列 |
| 鉴权类 | 账号失效、口令过期、令牌被撤销 | 不重试 | 集成运维角色与招标方接口人 | 二小时内升级 | 暂停该接口直至凭据更新 |
| 超时类 | 查询或传输超过约定时限 | 缩小单批量后重试二次 | 集成运维角色 | 同日升级 | 分片续取，不整批重来 |
| 格式类 | 字段缺失、类型不符、编码异常 | 不重试 | 集成开发角色 | 同日进入缺陷库 | 该批次隔离留样，供契约修订 |
| 对账类 | 行数、主键或校验和对账不通过 | 定向补取后复核一次 | 集成开发角色与数据加工责任角色 | 二十四小时内闭环 | 不进入加工链路 |
| 水位类 | 水位倒退、源数据被回溯修改 | 按回溯范围重取 | 集成开发角色 | 同日升级 | 受影响批次重新落地并标记版本 |
表 1-7 源系统接口的错误码、失败补偿与审计口径。数据来源：招标文件 3.2.2.1 各子条（b0808–b0908）、3.1.2.2.4 可靠性要求（b0764–b0769）、3.1.2.2.3 安全性要求（b0760–b0762）。
**审计落点。** 接口调用的审计记录与数据血缘在落地区合并为一条链：每一个落地批次记录其接口编号、接口版本、水位区间、取数时间、行数或文件数、对账结论与执行账号；数据集的数据卡回指到批次。数据集出现质量问题时，归因可一直追到源系统的某一次取数。审计记录的保存期与平台审计日志一致，不随批次清理而删除。
##### 1.10.4 接口划分、联调判据与回退口径总表
十七套系统的接口划分、增量方式、联调判据与前置条件不具备时的回退口径汇总于下表。涉及具体表名、字段名与接口名的内容，在接口文档到位后于《接口契约》中逐一落定；本阶段给出接口的划分口径与数量量级，划分数待契约评审后以契约为准。
表 1-5 解决范围问题——取哪些系统、走哪类通道；下表解决可实施性问题——每套系统划几个接口、
靠什么判定接通了、接不通退到哪一步。**十七套系统合计划分 101 个接口**，这是集成工作量的
计量单位，也是 2.10 集成测试的用例基数。逐系统的用途、招标方应提供的内容、接入做法、
联调判据与回退口径见 1.11.1 至 1.11.17。
表 1-8 十七套源系统的接口划分、增量方式、联调判据与回退口径
| 系统（条款） | 接口划分 | 增量方式 | 联调验收判据要点 | 前置不具备时的回退 |
|---|---|---|---|---|
| CRM（3.2.2.1.1） | 结构化 6＋文件 3＝**9** | 单据最后更新时间为水位，低峰窗口首次取全量后按日增量 | 6 个结构化接口各取一业务日与系统界面逐单核对，单据数与关键金额一致；3 个文件接口验可打开、格式符合、配对关系可解析 | 接口通道不可用转数据库只读视图；文件服务不可用改按批次现场介质交付并登记台账 |
| ERP（3.2.2.1.2） | 只读视图 **10** | 按会计期间与更新时间 | 各取一会计期间，行数与财务或业务台账口径一致；物料编码与主数据平台完全匹配，不匹配逐条列出；凭证与应收应付金额合计与系统报表一致 | 只读账号不可得转 API 接口；两者均不可得按 `b0801` 提交变更，由招标方指定实施方式 |
| SCM（3.2.2.1.3） | 接口为主、只读视图为辅 **7** | 按业务对象更新时间 | 各取一季度，采购订单与 ERP 同期订单交叉比对，差异率在容差内且原因可解释；供货履约可关联采购订单；付款计划可关联合同 | 按 1.10.1异常分级处置；两系统数据冲突提交双方业务部门裁定，不由我方自行取舍 |
| QMS（3.2.2.1.4） | 结构化 5＋文件 3＝**8** | 按检验记录时间 | 各取一月，检验记录条数与系统报表一致；关联字段（工单号、工序号、图号、批次号）完整率形成基线并逐月跟踪；文件可解析出工单或零件标识 | 关联字段在源系统确实不存在的，双方确认可替代关联路径（如经交检批次反查工单），并在台账记录该路径的可靠性等级 |
| WMS（3.2.2.1.5） | 只读视图 **8** | 主数据 5 项按日全量快照；单据 3 项按单据时间增量 | 主数据接口记录数与维护界面一致；单据类取一月，出入库数量合计与报表一致；物料编码匹配主数据；批次号可关联采购订单或生产工单 | 只读账号不可得转接口通道；批次号关联不上的记录列入缺口清单，由业务部门判定是否纳入数据集范围 |
| MES（3.2.2.1.6） | 只读视图 **4** | 报工时间与工单更新时间为水位 | 取一月工单数与系统报表一致；工序流转记录可按工单串成完整序列；焊丝牌号与直径的字段完整率形成基线 | 完整率低于可用门限时由业务部门确认是否后续补录，数据集覆盖范围按实际可用数据调整并在数据卡说明 |
| LMS（3.2.2.1.7） | 只读视图 **5** | 运单更新时间为水位 | 取一季度运单数与系统报表一致；时效链完整的运单占比形成基线；运单可关联销售订单或项目 | 只读账号不可得转接口通道；无法关联订单的运单由业务部门确认关联路径 |
| EMS（3.2.2.1.8） | 时序 **3**（监控测点序列、统计结果、分析结果） | 按时间区间拉取，以测点加时间戳为键去重 | 取一周时序，点数与采样周期乘测点数的理论值比较，缺点率形成基线；能耗统计结果与由原始测点序列重算的结果在容差内一致 | 时序接口不可用时由能源管理侧按约定周期导出文件转文件通道 |
| SOS（3.2.2.1.9） | 时序 1＋接口 4＋文件 4＝**9** | 时序按测点与时间区间，其余按更新时间 | 取一季度，报警记录可按设备与时间窗关联到处置记录与售后工单的比例形成基线；文件可解析工单号与设备编码；时序缺点率与测点可信度形成基线 | 关联比例低于门限时不调整数据，把未关联报警作为独立数据子集保留并在数据卡说明，供后续补标注 |
| EAM（3.2.2.1.10） | 只读视图 **5** | 台账按日全量快照，其余按更新时间增量 | 台账记录数与维护界面一致；设备层级关系完整、无孤立节点；SCADA 与群控侧测点可按台账编码归属到设备的比例形成基线；维修工单可关联设备与故障现象 | 测点无法归属的由设备管理部门在勘察阶段逐点补充对应关系，结果记入接口台账的映射表 |
| PLM（3.2.2.1.11） | 结构化 4＋文件 4＋工序字典 1＋配对清单 1＝**10** | 按变更记录与版次 | BOM 与零部件取一批施工号，零件数与系统查询一致；图纸文件可打开且 DWG/DXF 副本可被解析工具读出图元；配对清单可按图号反查工艺卡；工序字典条目与工艺部门确认版本一致 | 原生格式不可批量读取时退到 PDF 转换件加 DWG/DXF 可读副本两者都取，并在数据卡注明解析能力限制；配对清单不可得时另行建立 |
| SCADA（3.2.2.1.12） | 时序 **4** 个测点组，另加工件与焊道归属解析层 | 按测点与时间区间 | 取一周，缺点率形成基线；测点可按 EAM 台账编码归属到设备；焊接参数段的工件与焊道归属正确率达到基线（初期按不低于 80% 设定） | 时序接口不可用时由设备侧按周期导出文件；采集范围不足的设备列入扩展清单，由双方按场景优先级排期 |
| OA（3.2.2.1.13） | 文件 3＋接口 3＝**6** | 按文档生效与废止状态变更 | 11 类管理制度与 9 类合同文档的目录结构与招标文件所列类别一一对应，缺类逐类列出；每份文档在落地区都有元信息，缺失的不进问答语料库而进待补队列；访问控制可映射本项目角色模型；抽取一批已废止文档验证状态被正确识别 | 元信息无法从系统取得时，退而由正文首页信息与命名规则抽取，结果经文档管理部门抽样确认，通过率形成基线 |
| 久其（3.2.2.1.14） | 接口 **3** | 报送期间加报送版本为水位，同期后续版本追加落地不覆盖历史 | 取近三个报送期间，指标数值与财务部门报表逐项一致；指标字典覆盖所取全部指标，无字典的逐条列出；同一指标多版本的版本标识正确 | 接口不可得时按报送期间以文件形式交付并登记；无字典的指标暂不纳入对外数据集，在数据卡说明原因 |
| 主数据管理平台（3.2.2.1.15） | 接口 **4**（组织、人员、物料编码、编码映射关系） | 按主数据变更 | 组织机构记录数与层级关系与维护界面一致；物料编码总数与分类数一致；ERP 与 WMS 侧物料编码可与主数据编码匹配，不匹配逐条列出并说明原因；人员接口去标识规则生效，落地区无可直接识别个人的字段 | 编码映射关系不可得时由我方按业务规则在落地区建立，建立规则与例外清单提交业务部门确认后生效 |
| 热处理群控（3.2.2.1.16） | 时序与接口 **4**（炉次工单与开完工、工艺程序下发、炉台温度与电气测点、冷却与淬火介质测点） | 按炉次时间窗切分 | 取一月炉次记录，炉次数与系统查询一致；每炉次可切出完整温度曲线且曲线时长与开完工时间差一致；炉台编号可按 EAM 台账编码归属到设备；群控温控测量值与同炉次热成像数据的时间对齐误差在约定范围内 | 时序接口不可用时由设备侧按炉次导出文件；装炉工件清单若在 MES 或纸质记录中，按实际载体另行取数并在台账说明来源 |
| 安全监管平台（3.2.2.1.17） | **2**（安全监管数据、生产过程监控数据） | 按结构化事件与时序监控两分支分别预留 | 具体内容与形态待接口文档到位后确定，本阶段按两种形态分别预留处理分支 | 涉及人员与作业场所的字段在落地前按去标识规则处理，规则由安全方案一节给出 |
表 1-8 数据来源：各行内容取自 1.11.1 至 1.11.17 各小节的接入做法、联调判据与回退口径，
不另立新口径；接口划分数为本阶段的划分量级，待《接口契约》评审后以契约为准。
招标方须提供的前置条件与对应单元见表 1-5。
##### 图 1-7 十七套源系统的接口划分与联调验收路径（合计 101 个接口）
图 1-7 十七套源系统的接口划分与联调验收路径。数据来源：表 1-5 与下表逐系统接口划分列；接口总数 101 个与 2.10 集成测试用例基数一致。
##### 1.10.5 非结构化文件通道的专门处理
招标文件在五套系统上要求非结构化数据：CRM 的招投标文件、资质文件、业绩合同（b0810–b0812），QMS 的质量报告、检验数据、产品质量档案、质量知识（b0832、b0833），SOS 的设备档案、维修记录、诊断报告、故障案例（b0860–b0862），PLM 的选型方案、工艺图纸、CAD 图纸、工艺卡片（b0873–b0875），OA 的十一类管理制度与九类合同文档（b0886、b0887）。文件通道在十七套系统中出现频次最高，也是最容易做成「把文件拷过来就算完」的一处，因此单列一节讲清处理链。
文件通道的处理链分六步。**第一步是目录扫描与清单生成**：按契约约定的目录范围扫描，生成含路径、文件名、大小、修改时间的清单。**第二步是指纹计算与去重**：对每个文件计算 SM3 摘要，与落地区已有摘要比对，相同摘要的文件不重复搬迁，只追加一条引用记录。
这一步在本项目中价值明显——历史图纸与工艺卡在不同目录下存在同一文件多副本的情形，按摘要去重可以显著减少搬迁量与存储量。**第三步是配对信息获取**：按 7.3 各节约定的方式取得文件与业务对象的对应关系，没有配对信息的文件进入待配对队列。
**第四步是搬迁与完整性校验**：在低峰窗口内分批搬迁，搬迁后重算摘要并与源侧比对，不一致的重传。**第五步是格式与可读性检查**：按文件类型做可打开性检查，PDF 检查是否为可提取文本的版本或需要走图像识别分支，DWG/DXF 检查是否可被解析工具读取图元，Word 检查版本兼容性。检查结果写入文件元信息，供数据加工阶段选择解析路径。**第六步是加密与登记**：按 1.9的一文一密策略对需加密的文件加密，并登记到数据资产目录。
##### 图 1-8 非结构化文件通道处理链
图 1-8 非结构化文件通道处理链。数据来源：招标文件 3.2.2.1 各子条关于非结构化数据的要求（b0810–b0812、b0832、b0833、b0860–b0862、b0873–b0875、b0886、b0887）、3.1.2.3 加解密要求（b0795）。
##### 1.10.6 时序数据通道的专门处理
招标文件在四套系统上要求时序数据：EMS 的能耗监控、统计、分析（b0855），SOS 的健康状态（b0860），SCADA 的设备与焊接工艺参数（b0880、b0881），热处理群控的温度与介质参数（b0902、b0903）。时序通道的处理口径在 1.11.8 已给出要点，此处补充三项全局约定。
**采样周期与存储策略的对应。** 现场的测点采样周期通常为秒级。按秒级原样长期存储，存储量与查询成本都会很快不可持续。本方案按用途分层存储：原始精度数据保留在热存储区，保留期按场景需求确定（焊接与热处理两类场景对原始精度依赖最强，保留期最长）；超过保留期的数据按统计降采样后转入温存储区，降采样保留均值、极值、方差与采样点数四项，使统计类用途仍可用；数据集一旦基于某段原始数据构建完成，该段原始数据按数据集版本的归档策略单独留存，不随降采样策略变动。这一安排保证数据集的可复现性不被存储策略破坏。
**缺点、跳变与重复点的统一处理。** 缺点保留为空并记录缺点区间，不在集成阶段插值。跳变（相邻点数值差异超过物理合理范围）标记为可疑但不修改，由数据加工阶段按场景判定。重复点按测点加时间戳去重，保留最后写入的值并记录重复次数。三类情形的统计结果构成时序接口的质量基线，逐月跟踪。
**测点台账与变更管理。** 每一个测点在接口台账中有一条记录，含测点编码、物理含义、单位、量程、采样周期、所属设备台账编码、启用与停用日期。测点的新增、停用、含义变更按变更流程处理，变更前后的数据在落地区以测点版本区分，不混为一条序列。现场情况是设备联网范围有限、仅覆盖部分车间的部分设备，因此测点台账在项目期内会持续增长，变更管理不是可选项。
#### 1.11 逐系统接口集成方案
##### 1.11.1 与 CRM 系统集成（3.2.2.1.1）
CRM 系统在本项目中服务于供需计划数据集：客户与商机信息、报价与合同、订单与回款构成需求侧的事实基础，招投标文件与业绩合同则是通用场景中标书问答与合同审查的语料来源（b0808）。招标文件要求该系统提供营销相关业务原始数据（b0809），具体为客户、商机、报价、合同、订单、回款等结构化数据，以及招标/投标文件（PDF/Word）、资质文件（PDF/JPG）、业绩合同（PDF/JPG）等非结构化数据（b0810、b0811、b0812）。
现场情况是该系统正在上线、历史数据较少，这对集成的影响是两方面的：结构化数据的增量通道要在系统数据量增长过程中保持稳定，不能依赖一次性全量；非结构化附件的数量在项目期内会持续增加，文件通道需要支持长期增量扫描。
本方案对该系统建立两条通道。结构化部分走接口通道，按六个业务对象划分接口：客户主档、商机、报价、合同、订单、回款。每个接口以业务单据的最后更新时间为增量水位，低峰窗口内首次取全量，之后按日增量。非结构化部分走文件通道，按文件类型划分三个接口：招投标文件、资质文件、业绩合同。
文件通道的关键不在搬文件，而在搬配对关系——每个文件必须带上它所属的客户编号、项目编号或合同编号，否则文件进了落地区也无法与结构化事实关联。因此文件接口的契约中除目录与命名规则外，必须包含一份「文件与业务对象对应关系」的取数方式，可以是附件表的数据库视图，也可以是导出清单文件。
招标文件要求该系统提供数据库连接信息、API 接口信息或 FTP 信息（b0813）、业务低峰时段（b0814）与数据字典或数据库设计说明书（b0815）。我方在接口契约评审前接收这三项，字典缺失时按 1.10.1的替代口径处理并标注。
联调与验收判据：六个结构化接口各取一个业务日的数据，与招标方在系统界面查询结果逐单核对，单据数与关键金额字段一致；三个文件接口各取一批文件，验证文件可打开、格式与招标文件所列一致、配对关系可解析；全部接口通过对账规则。不通过的处理：结构化接口若接口通道不可用，转为数据库只读视图；文件接口若文件传输服务不可用，改为按批次的现场介质交付并登记在接口台账中。
##### 1.11.2 与 ERP 系统集成（3.2.2.1.2）
ERP 系统是本项目物料与成本口径的基准来源，在供需计划数据集中承担需求计划、采购订单与库存账的事实供给，在产品质量与制造过程数据集中提供成本核算的对照口径（b0816）。招标文件要求该系统提供财务、采购、核算等相关业务原始数据（b0817），具体为组织、人力、物料、采购、销售订单、成本核算、应收应付、凭证、资产、资金等结构化数据（b0818、b0819）。
现场情况是该系统在用、录入规范、数据质量相对较好，但需求运算未启用，储备量仍由生产管理人员按经验估算。这一事实对集成的意义是：取到的需求计划数据反映的是人工判断结果而非系统运算结果，数据集的数据卡中须注明这一来源性质，否则后续用作训练样本时会对数据含义产生误解。该注记在落地阶段由接口台账的「口径说明」栏承载。
本方案对该系统走数据库只读视图通道，这是十项数据域中九项都是标准表结构、且该系统允许开只读账号的自然选择（b0820）。按数据域划分十个接口：组织、人力、物料主数据、采购、销售订单、成本核算、应收应付、凭证、资产、资金。涉及人力与人员信息的接口，取数范围仅限数据集建设必需的字段，个人敏感字段在落地前即在视图层完成去标识，这与安全合规要求中对个人信息去标识化的规定一致（b0804r06），具体规则由安全方案章节给出。
招标文件要求该系统提供数据库连接信息或 API 接口信息（b0820）、业务低峰时段（b0821）与数据字典或数据库设计说明书（b0822）。ERP 的字典对本项目尤为重要：物料编码规则、计量单位、成本要素的取值域是跨系统关联的基础，字典缺失会直接影响对象标识映射的建立。
联调与验收判据：十个接口各取一个会计期间的数据，行数与招标方财务或业务部门提供的台账口径一致；物料编码能够与主数据管理平台的编码完全匹配，不匹配的逐条列出；凭证与应收应付类接口的金额合计与系统报表一致。不通过的处理：只读账号不可得时转 API 接口通道；两者均不可得时按 b0801 提交变更，由招标方指定实施方式。
##### 1.11.3 与 SCM 系统集成（3.2.2.1.3）
SCM 系统提供供应链协同侧的事实，是供需计划数据集中采购履约与供应商评估部分的主要来源（b0823）。招标文件要求该系统提供供应链协同相关业务原始数据（b0824），具体为供应商档案、供应商评估、采购计划、采购订单、订单下达、供货履约、付款计划等结构化数据（b0825、b0826）。
这套系统与 ERP 在采购域存在数据重叠——采购订单在两边都可能有记录。集成设计必须先解决「以谁为准」，否则落地区会出现两份不一致的采购事实。本方案的处理是在接口契约阶段与招标方业务部门明确主次：以单据发起系统为权威源，另一侧作为补充字段来源，映射表中逐字段标明权威来源。这一约定写入接口台账的口径说明，数据集的数据卡据此描述采购事实的来源。
本方案走接口通道为主、数据库只读视图为辅，按七个业务对象划分接口：供应商档案、供应商评估、采购计划、采购订单、订单下达、供货履约、付款计划。供应商评估类数据往往含评分与评语，评语为短文本，纳入非结构化处理的轻量分支，不单建文件通道。
招标文件要求该系统提供数据库连接信息或 API 接口信息（b0827）、业务低峰时段（b0828）与数据字典或数据库设计说明书（b0829）。
联调与验收判据：七个接口各取一个季度数据，采购订单与 ERP 侧同期订单做交叉比对，差异率在约定容差内且差异原因可解释；供货履约记录能够关联到采购订单；付款计划能够关联到合同。不通过的处理：按 1.10.1异常分级处置，涉及两系统数据冲突的提交双方业务部门裁定，不由我方自行取舍。
##### 1.11.4 与 QMS 系统集成（3.2.2.1.4）
QMS 系统是产品质量数据集的核心来源（b0830）。招标文件要求该系统提供质量管控相关业务原始数据（b0831），具体为制程检验、进厂检验、出厂检验、成品检验、质量台账等结构化数据，以及质量报告、检验数据、产品质量档案、质量知识等非结构化数据（b0832、b0833）。
现场情况是该系统新上线、正在推行，缺陷描述为文字且未与工艺参数关联。这正是质量数据集要解决的问题，也决定了集成阶段必须把「检验记录与工件、工序的关联字段」作为取数的必选项而不是可选项：如果只取检验结论而不取其关联的工单号、工序号与零件图号，数据集就无法把质量结果与制造过程对应起来，后续的质量归因就失去基础。
本方案建立两条通道。结构化部分走接口通道，按五个业务对象划分：制程检验、进厂检验、出厂检验、成品检验、质量台账。每个接口必含关联字段组（工单号、工序号、零件图号、物料批次号），缺失任一项的记录在落地时标记为「弱关联」，进入待补关联队列而不是直接丢弃。非结构化部分走文件通道，按三类划分：质量报告、产品质量档案、质量知识文档；检验数据按其实际形态归入结构化或文件通道，在契约中逐项判定。
另需说明一处现场事实：纸质检测报告数量可观但尚未数字化。这部分资料不在 QMS 系统内，不属于本接口范围，其数字化安排由数据加工生产相关章节处理，接口台账中记录该缺口来源，避免在数据集规模核算时重复计算。
招标文件要求该系统提供数据库连接信息、API 接口信息或 FTP 信息（b0834）与业务低峰时段（b0835）。
联调与验收判据：五个结构化接口各取一个月数据，检验记录条数与系统报表一致，关联字段完整率形成基线并逐月跟踪改善；三个文件接口验证文件可打开且能解析出关联的工单或零件标识。不通过的处理：关联字段在源系统确实不存在的，由双方确认以可替代的关联路径（如通过交检批次反查工单）建立，并在台账中记录该路径的可靠性等级。
##### 1.11.5 与 WMS 系统集成（3.2.2.1.5）
WMS 系统提供仓储侧的实物事实，服务于供需计划数据集中的库存与物料流转部分（b0836）。招标文件要求该系统提供仓储相关业务原始数据（b0837），具体为仓库、库区、货位、物料、批次、到货单、入库单、出库单等结构化数据（b0838、b0839）。
这套系统的数据对本项目有一个特殊价值：它是账实对照的实物一侧。ERP 的库存账与 WMS 的实物库存若存在差异，差异本身就是供需计划场景要处理的对象。因此集成设计不做「取一边、算一边」的简化，两侧都取，差异在落地区显式计算并保留，不在集成阶段抹平。
本方案走数据库只读视图通道，按八个对象划分接口：仓库、库区、货位、物料、批次、到货单、入库单、出库单。前五项为主数据类，变化频率低，按日全量快照；后三项为单据类，按单据时间增量。
招标文件要求该系统提供数据库连接信息或 API 接口信息（b0840）与业务低峰时段（b0841）。
联调与验收判据：主数据类接口的记录数与系统维护界面一致；单据类接口取一个月数据，出入库数量合计与系统报表一致；物料编码与主数据管理平台编码匹配；批次号能够关联到采购订单或生产工单。不通过的处理：只读账号不可得时转接口通道；批次号关联不上的记录列入缺口清单，由业务部门判定该批次是否纳入数据集范围。
##### 1.11.6 与 MES 系统集成（3.2.2.1.6）
MES 系统提供生产制造过程事实，是制造过程数据集的主干来源（b0842）。招标文件要求该系统提供生产制造过程相关业务原始数据（b0843），具体为焊丝牌号、焊丝直径、生产工单、生产进度等结构化数据（b0844）。
招标文件在此处列出的字段中，焊丝牌号与焊丝直径两项值得单独说明：它们是焊接工艺参数与材料信息的交汇点，在焊接场景的数据集里是关键特征。但这两个字段在 MES 中是否逐工单维护、维护完整度如何，需要在勘察阶段实测，不能假定可用。本方案在接口契约中为这两个字段单列完整率统计，并把完整率作为该接口的质量基线之一。
现场情况是该系统在用、已实现跨分厂跨工序多路线管控，但报工时点相对实际作业有滞后。这一滞后对时间对齐有直接影响：报工时间不能当作工序实际完成时间用于与设备时序数据对齐。本方案的处理是报工记录保留系统报工时间，同时在落地区标记其「非实测时间」属性，设备时序数据的对齐以 SCADA 与热处理群控侧的实际信号为基准，报工时间仅用于工序归属判断。
本方案走数据库只读视图通道，按四个对象划分接口：生产工单、工序流转与报工、生产进度、焊接材料信息（含焊丝牌号与直径）。增量以报工时间与工单更新时间为水位。
招标文件要求该系统提供数据库连接信息或 API 接口信息（b0845）与业务低峰时段（b0846）。
联调与验收判据：取一个月工单数据，工单数与系统报表一致；工序流转记录能够按工单串成完整序列；焊丝牌号与直径的字段完整率形成基线。不通过的处理：字段完整率低于可用门限时，由业务部门确认是否在后续作业中补录，数据集的覆盖范围按实际可用数据调整并在数据卡中说明。
##### 1.11.7 与 LMS 系统集成（3.2.2.1.7）
LMS 系统提供物流管理事实，服务于供需计划数据集中的交付时效部分（b0847）。招标文件要求该系统提供物流管理相关业务原始数据（b0848），具体为物流需求、运单、调度结果、装卸、取货、送达、运输时间等结构化数据（b0849、b0850）。
这套系统的数据在本项目中主要用于两处：一是把交付时效与订单履约关联，形成供需计划场景中的交付风险特征；二是为运输时间提供实测分布，替代按经验估计的提前期。因此取数的重点不是运单本身，而是运单上的时间戳序列——需求下达、调度确认、取货、装卸、送达各节点的时间，构成一条可计算的时效链。接口契约中逐节点列明时间字段，缺少中间节点的运单在落地区标记为「链条不全」并单列统计。
本方案走数据库只读视图通道，按五个对象划分接口：物流需求、运单、调度结果、装卸与取货记录、送达与运输时间。增量以运单更新时间为水位。招标文件要求该系统提供数据库连接信息或 API 接口信息（b0851）与业务低峰时段（b0852）。
联调与验收判据：取一个季度运单数据，运单数与系统报表一致；时效链完整的运单占比形成基线；运单能够关联到销售订单或项目。不通过的处理：只读账号不可得时转接口通道；无法关联订单的运单由业务部门确认关联路径。
##### 1.11.8 与 EMS 系统集成（3.2.2.1.8）
EMS 系统提供能源能耗侧的时序事实，在制造过程数据集中承担工序能耗特征（b0853）。招标文件要求该系统提供能耗监控、能耗统计、能耗分析等时序数据（b0854、b0855）。
时序数据的集成与结构化数据的差别在三处：取数方式按时间区间而非按单据、数据量按采样周期乘测点数估算、缺点与重复点是常态而不是异常。本方案据此在时序通道上固定三项处理：按时间区间拉取并以测点加时间戳为键去重；缺点不插值填补，保留为空并记录缺点区间，是否插值由数据加工阶段按场景决定；采样周期与测点清单在契约中逐测点写明，测点新增或停用按变更流程更新。
能耗数据要对工序有意义，必须能归到用能对象上。本方案在接口契约中要求测点清单含用能对象标识（车间、产线、设备或炉台），缺少该标识的测点先取数、后由业务部门补充归属，归属未明的测点数据不进入与工序关联的数据集分支。接口按三类划分：能耗监控测点序列、能耗统计结果、能耗分析结果。后两类为系统已加工结果，作为对照口径取用而非主数据来源。
招标文件要求该系统提供数据库连接信息或 API 接口信息（b0856）与业务低峰时段（b0857）。
联调与验收判据：取一周时序数据，点数与按采样周期乘测点数的理论值比较，缺点率形成基线；能耗统计结果与由原始测点序列重算的结果在约定容差内一致。不通过的处理：时序接口不可用时，由能源管理侧按约定周期导出文件转文件通道。
##### 1.11.9 与 SOS 系统集成（3.2.2.1.9）
SOS 系统承载设备远程运维事实，服务于产品质量数据集与售后服务场景（b0858）。招标文件要求该系统提供健康状态时序数据，设备运维计划、报警处置、售后工单、备件消耗等结构化数据，以及设备档案（Word）、维修记录（PDF）、诊断报告（PDF/Word）、故障案例（PDF/Word）等非结构化数据（b0859、b0860、b0861、b0862）。
这是十七套系统中数据形态最复杂的一套，三类形态都有，且现场存在一个明确的困难：报警不少、故障标签很少，报警与真实故障之间缺少可核对的证据；该系统与设备远程运维侧的事件尚未打通。集成设计因此把「报警—处置—工单—备件—维修记录」的串联作为取数的核心目标，而不是把五类数据各自取回了事。串联的键是设备台账编码加事件时间窗，接口契约中明确要求各类数据都携带设备编码，维修记录类文件要求携带其对应的工单号。
本方案建立三条通道，共九个接口：时序通道一个接口（健康状态测点序列，按测点与时间区间取数）；接口通道四个（运维计划、报警处置、售后工单、备件消耗）；文件通道四个（设备档案、维修记录、诊断报告、故障案例）。
招标文件要求该系统提供数据库连接信息、API 接口信息或 FTP 信息（b0863）与业务低峰时段（b0864）。
联调与验收判据：取一个季度数据，报警记录能够按设备与时间窗关联到处置记录与售后工单的比例形成基线；文件接口取一批维修记录，能够解析出工单号与设备编码；时序接口的缺点率与测点可信度统计形成基线。不通过的处理：关联比例低于门限时不调整数据，而是把未关联报警作为独立数据子集保留并在数据卡中说明，供后续补标注使用。
##### 1.11.10 与 EAM 系统集成（3.2.2.1.10）
EAM 系统提供设备资产侧的基准事实，是设备维度对象标识的来源（b0865）。招标文件要求该系统提供设备台账、设备档案、设备点检、维修工单、作业计划等结构化数据（b0866、b0867、b0868）。
该系统的设备台账编码是本项目设备维度的主键基准。SCADA 测点、热处理炉台、焊接机器人、SOS 健康状态测点都需要归到台账编码上，否则设备侧的时序数据无法与设备属性关联。因此本方案把该系统的接入排在设备类系统的首位，并在接口契约中要求台账接口提供完整的设备层级关系（车间—产线—设备—部件）。
本方案走数据库只读视图通道，按五个对象划分接口：设备台账、设备档案、设备点检、维修工单、作业计划。设备台账按日全量快照（变化频率低但影响面大），其余按更新时间增量。
招标文件要求该系统提供数据库连接信息或 API 接口信息（b0869）与业务低峰时段（b0870）。
联调与验收判据：设备台账记录数与系统维护界面一致；设备层级关系完整、无孤立节点；SCADA 与热处理群控侧的测点能够按台账编码归属到设备的比例形成基线；维修工单能够关联到设备与故障现象。不通过的处理：测点无法归属的，由设备管理部门在勘察阶段逐点补充对应关系，补充结果记入接口台账的映射表。
##### 1.11.11 与 PLM 系统集成（3.2.2.1.11）
PLM 系统是产品工艺设计数据集的主干来源，在本项目中的权重最高（b0871）。招标文件要求该系统提供研发设计相关业务原始数据（b0872），具体为 BOM 编号、工序数据、变更、零部件信息等结构化数据，以及选型方案（PDF/Word）、工艺图纸（PDF）、CAD 图纸（DWG/DXF）、工艺卡片（PDF）等非结构化数据，支撑数据标注和模型训练（b0873、b0874、b0875）。
这套系统的集成难点集中在非结构化资产上。现场情况是原生图纸不支持整批导出；历史图纸约 63 万张，每一张历史上都配有一张已审核签发的工艺卡片，这一配对关系存在于文件目录与人的记忆中而不在数据库字段里。备料分厂的工序集合现掌握口径为 28 道，以工艺部门确认的正式工序字典为准。这三件事决定了本系统的接口设计。
第一，图纸取数不能走界面导出，必须走后端文件通道。本方案在接口契约中要求提供图文档的存储路径或文件服务访问方式，以及图号、版次、文件路径三者的对应清单；在原生格式确实无法批量读取的情形下，退而取其 PDF 转换件并同时取 DWG/DXF 原件的可读副本，两者都取、都登记，由数据加工阶段按解析能力选用。
第二，图纸与工艺卡片的配对关系必须作为独立接口交付。本方案单列一个图纸与工艺卡配对清单接口，内容为图号、版次、工艺卡编号、签发状态、签发日期。这是 63 万张历史样本能否形成成对监督样本的决定性条件，其重要性高于任何单一文件通道。配对清单若在系统中不存在，退而由文件目录结构与命名规则推断，推断结果须经工艺部门抽样确认，确认通过率形成基线并在数据卡中如实记录。
第三，工序字典须作为参考数据取入。本方案在接口清单中单列工序字典接口，取备料分厂正式工序字典的全量，作为工艺数据标注的标签体系依据。
本方案在该系统上建立两条通道，共十个接口：结构化四个（BOM、工序数据、变更记录、零部件信息），文件四个（选型方案、工艺图纸、CAD 图纸、工艺卡片），参考数据一个（工序字典），配对清单一个。招标文件要求该系统提供数据库连接信息、API 接口信息或 FTP 信息（b0876）与业务低峰时段（b0877）。
联调与验收判据：BOM 与零部件接口取一批施工号，零件数与系统查询一致；图纸文件接口取一批图号，文件可打开、DWG/DXF 副本可被解析工具读取图元；配对清单能够按图号反查到工艺卡；工序字典条目与工艺部门确认版本一致。不通过的处理：原生格式不可得时按上述第一条退到 PDF 加可读副本并在数据卡中注明解析能力限制；配对清单不可得时按第二条处理。
##### 1.11.12 与 SCADA 系统集成（3.2.2.1.12）
SCADA 系统提供工业设备工况与物联网侧的时序事实，是制造过程数据集中焊接与设备运行特征的主要来源（b0878、b0879）。招标文件要求该系统提供设备电流、电压、温度、湿度、设备运行状态、焊接电流/电压、送丝速度、气体流量等时序数据（b0880、b0881）。
现场情况是采集覆盖部分车间与部分设备，实时采集能力不足；焊接参数流与工件、焊道无对应。前者决定了取数范围要分批扩展，首期以试点产线与试点车间所需设备为准，扩展清单以现场勘察结论为准；后者决定了本系统的集成必须与 MES 的工单工序、现场感知设备的触发信号三方联动，否则取到的参数流只是一串无归属的曲线。
本方案的处理是在时序通道之上增加一层工件与焊道归属解析：以工位开工与完工信号划分时间段，以 MES 工序流转确定该时间段对应的工单与工序，以焊接工位编号确定设备，三者交叉得出该段参数流所属的工件与焊道。归属解析的正确率在联调阶段用已知作业记录抽样验证，初期基线按不低于 80% 设定，随信号与规则完善逐步接近业务可用水平；未能归属的参数段保留为无归属子集，不强行归属。
本方案按测点组划分四个接口：焊接工艺参数组（焊接电流、电压、送丝速度、气体流量）、设备电气参数组（电流、电压）、环境参数组（温度、湿度）、设备运行状态组。招标文件要求该系统提供数据库连接信息或 API 接口信息（b0882）与业务低峰时段（b0883）。
联调与验收判据：取一周数据，点数与理论值比较的缺点率形成基线；测点能够按 EAM 台账编码归属到设备；焊接参数段的工件与焊道归属正确率达到基线。不通过的处理：时序接口不可用时由设备侧按周期导出文件；采集范围不足的设备列入扩展清单，由双方按场景优先级排期，不在本期强行要求全覆盖。
##### 1.11.13 与 OA 协同办公系统集成（3.2.2.1.13）
OA 协同办公系统承载协同办公相关的文档资产，是五个通用场景（制度问答、技术问答、标书问答、经营数据问答、合同合规审查）的语料基础（b0884、b0885）。招标文件要求该系统提供十一类管理制度（PDF）、九类合同文档（PDF/Word）等非结构化数据（b0886、b0887）。
这套系统的集成与其他十六套有一个本质差别：取的几乎全是文档，而文档的价值取决于三件随文档一起存在的信息——版本状态、生效范围与访问控制。制度问答场景的要求是「给出结论、条款出处与版本状态」，如果集成时只把 PDF 搬过来而不带版本与废止状态，问答就可能答出已废止的制度条款，这类错误在合规场合的代价不可接受。因此本方案把文档元信息列为与文档本体同等重要的取数对象。
本方案在该系统上建立两条通道，共六个接口。文件通道三个：管理制度文档（按十一类分别组织目录）、合同文档（按九类分别组织目录）、其他归档资料。接口通道三个：文档目录与元信息（文档编号、标题、分类、版本号、生效日期、废止日期、状态、密级）、文档审批与流转记录（用于判断文档是否已正式生效）、访问控制信息（用于在数据集与问答场景中继承原有的可见范围）。
现场另有两类事实需在接口中体现：OA 还承载不合格品票与改造方案的流转，这部分流转记录对产品质量数据集有价值，本方案在接口通道中单列为一个流转单据接口；企业文档类资料（标准、技术手册、工程资料、外部资料归档）与制度、合同不在同一目录体系下，按其实际组织方式归入其他归档资料接口并在契约中写明目录范围。
招标文件要求该系统提供数据库连接信息、API 接口信息或 FTP 信息（b0888）与业务低峰时段（b0889）。文档类数据的首次全量搬迁体量可能较大，本方案按文档类别分批进入低峰窗口，每批完成后即做一次目录对账，不等全部搬完再核对。
联调与验收判据：十一类管理制度与九类合同文档的目录结构与招标文件所列类别一一对应，缺类的逐类列出；每一份文档在落地区都有对应的元信息记录，元信息缺失的文档不进入问答语料库而进入待补队列；访问控制信息能够映射到本项目的角色模型；抽取一批已废止文档验证其状态被正确识别。不通过的处理：元信息无法从系统取得时，退而由文档正文的首页信息与文件命名规则抽取，抽取结果须经文档管理部门抽样确认，确认通过率形成基线。
##### 1.11.14 与久其系统集成（3.2.2.1.14）
久其系统是招标方既有的经营指标报送系统，提供经营相关指标数据（b0890）。招标文件要求该系统提供营业收入、利润、成本、资产负债等指标数据（b0891、b0892）。
这套系统的数据特点是「已加工的指标」而非原始业务数据：指标是按报送口径汇总后的结果，有报送期间、报送版本与审核状态。集成设计因此有两个要点。第一，必须取到口径定义而不只是数值。同一指标在不同报送期间可能因口径调整而不可直接比较，若数据集中只存数值不存口径版本，用于经营数据问答时就会给出错误的趋势结论。
本方案在接口契约中要求提供指标字典（指标编码、名称、计算口径、单位、口径版本、生效期间），作为指标数据接口的必备伴随数据。第二，必须区分未审核、已审核与调整后三种状态的数据，问答场景一律以已审核或调整后数据为准，未审核数据不进入对外可见的数据集。
本方案走接口通道，按三个对象划分接口：经营指标数值（按指标、期间、组织维度）、指标字典、报送与审核状态。指标数据的增量以报送期间加报送版本为水位，同一期间的后续版本以追加方式落地，不覆盖历史版本，使指标的修订过程可追溯。
招标文件要求该系统提供数据库连接信息、API 接口信息或 FTP 信息（b0893）与业务低峰时段（b0894）。
联调与验收判据：取近三个报送期间的指标数据，与招标方财务部门提供的报表数值逐项一致；指标字典覆盖所取全部指标，无字典的指标逐条列出；同一指标多版本数据的版本标识正确。不通过的处理：接口不可得时按报送期间以文件形式交付并登记；指标字典缺失的指标暂不纳入对外数据集，在数据卡中说明原因。
##### 1.11.15 与主数据管理平台集成（3.2.2.1.15）
主数据管理平台提供组织、人员、物料等主数据（b0895），在本项目中的地位已在 1.7 说明：它是对象标识映射层的编码基准来源。招标文件要求该平台提供组织机构、人员、物料编码等结构化数据（b0896、b0897）。
本方案把这套平台的接入排在十七套系统的最前面。理由是实际执行顺序上的依赖：如果没有统一的组织、人员与物料编码，其他系统取回的数据在落地区就只能按各自的内部编码存放，后续再做归一是二次返工。因此在实施排期中，主数据接入与对象标识映射的建立构成第二阶段的第一道工序。
本方案走接口通道，按四个对象划分接口：组织机构（含层级关系与有效期）、人员（仅取数据集建设必需字段，个人敏感字段在视图层去标识）、物料编码（含分类、规格、计量单位、替代关系）、编码映射关系（主数据编码与各业务系统内部编码的对应关系，若该平台维护此类映射）。第四个接口是本方案特别申请的内容：若主数据管理平台已经维护了与业务系统的编码映射，则对象标识映射层可直接复用，工作量显著下降；若未维护，则由我方在落地区按业务规则建立并提交业务部门确认。
主数据的变更对下游影响面大，接口设计上按日全量快照加变更日志双轨：全量快照保证一致性，变更日志保证可追溯。组织机构与物料分类的调整在落地区保留历史版本，使历史数据仍按当时的组织与分类口径可解释。
招标文件要求该平台提供数据库连接信息、API 接口信息或 FTP 信息（b0898）与业务低峰时段（b0899）。
联调与验收判据：组织机构记录数与层级关系与招标方维护界面一致；物料编码总数与分类数一致；ERP 与 WMS 侧的物料编码能够与主数据编码匹配，不匹配的逐条列出并说明原因；人员接口的去标识规则生效，落地区不存在可直接识别个人的字段。不通过的处理：编码映射关系不可得时由我方按业务规则建立，建立规则与例外清单提交业务部门确认后生效。
##### 1.11.16 与热处理群控系统集成（3.2.2.1.16）
热处理群控系统提供生产与开炉相关事实，是制造过程数据集中热处理工艺特征的主要来源（b0900）。招标文件要求该系统提供当前/设置温度、电流/电压、加热/冷却时间、冷却水温度、淬火液温度、淬火水温、温控测量值等时序数据（b0901、b0902、b0903）。
这套系统与本项目新增的在线高温热成像设备、在线热成像设备在同一物理过程上采集数据，是集成设计中最需要讲清对应关系的一处。热处理场景要建立的是「一炉次一档案」：装炉工件清单、材料批次与来源厂家、码装方式与装炉量、设定程序、实际温度曲线与检验结论串在一起。这意味着群控系统的时序数据必须能够按炉次切分，而不是只给一条连续曲线。
本方案的处理分三步。第一步，取炉次工单与开完工记录作为切分依据，接口契约中要求提供炉次号、炉台编号、开炉时间、完工时间、设定工艺程序编号。现场情况是炉次级记录可追溯，这一条具备实现基础。第二步，按炉次时间窗从时序接口拉取该炉台的测点序列，形成炉次级曲线。
第三步，把同一炉次时间窗内的热成像设备数据（本项目新增，见 2.6）按炉台与时间对齐并挂到同一炉次上，形成群控测量值与红外测温的双通道对照。双通道对照的价值在于互为验证：群控侧的温控测量值是接触式或炉内测点的读数，热成像侧是工件表面的辐射测温，两者在同一炉次上的偏差本身是数据质量的指标。
本方案按四个接口划分：炉次工单与开完工记录、工艺程序下发记录、炉台温度与电气测点序列、冷却与淬火介质测点序列（冷却水温度、淬火液温度、淬火水温）。招标文件要求该系统提供数据库连接信息、API 接口信息或 FTP 信息（b0904）与业务低峰时段（b0905）。
联调与验收判据：取一个月炉次记录，炉次数与系统查询一致；每个炉次能够切出完整的温度曲线，曲线时长与开完工时间差一致；炉台编号能够按 EAM 台账编码归属到设备；群控温控测量值与同炉次热成像数据的时间对齐误差在约定范围内。不通过的处理：时序接口不可用时由设备侧按炉次导出文件；装炉工件清单若不在群控系统而在 MES 或纸质记录中，按实际载体另行取数并在接口台账中说明来源。
##### 1.11.17 与安全监管平台集成（3.2.2.1.17）
安全监管平台的集成方式与其余十六套不同。招标文件规定「平台与安全监管平台单向集成，即平台从安全监控平台获取数据」（b0906、b0907），须包括的数据为安全监管数据与生产过程监控数据（b0908）。
单向集成在工程上不是一句声明，而是要在三个层面同时固化，否则「单向」只是设计意图而非实际状态。第一层是网络策略：现场采集网段与该平台之间只放通我方侧向该平台发起的连接，反向连接在防火墙策略中显式拒绝；该策略由招标方网络管理部门实施，我方提交策略申请并在联调阶段验证。第二层是接口形态：我方侧不为该平台提供任何可写接口，不开放回调地址、不注册订阅端点；取数一律由我方按调度主动拉取。第三层是账号权限：该平台侧为我方开立的账号为只读，我方侧不为该平台开立任何账号。
本方案按两个接口划分：安全监管数据接口、生产过程监控数据接口。两类数据的具体内容与形态需在接口文档到位后确定，本阶段按结构化事件与时序监控两种形态分别预留处理分支。安全监管数据涉及人员与作业场所信息的可能性较高，本方案在落地前即按去标识规则处理涉及个人与敏感场所的字段，处理规则由安全方案章节给出。
联调与验收判据：两个接口按调度正常取数；反向连通性测试确认不存在可从该平台访问我方侧的路径；取回数据中的个人与敏感字段已按规则去标识。不通过的处理：反向连通性测试发现可写路径时，暂停该接口取数直至网络策略整改完成，不以「暂不使用」替代策略整改。
#### 1.12 典型业务链的联调输入输出与核对记录
逐接口通过契约测试与对账，并不等于跨系统的业务链条可用。本方案在第三阶段以业务链为单位组织联调，并以「焊接施工号链」作为首条必过的典型链。该链跨七套源系统与本项目新增的现场感知设备，是四类数据集中制造过程与产品质量两类的共同骨架，链路一旦打通，其余链条按同一方法复用。
**链条定义与联调输入。** 任选一个已完工的施工号作为输入，自产品全生命周期管理系统取其图纸与工艺卡，自制造执行系统取其工单、工序与报工，自数据采集与监控系统取对应工位与时段的焊接参数流，自本项目熔池相机取同时段的图像帧，自热处理群控系统取该工件所在炉次的温度曲线，自本项目热成像设备取同炉次的红外测温序列，自质量管理系统取该工件的检验记录，自仓储与企业资源计划系统取其物料批次与成本口径。输入参数只有三项：施工号、作业时间窗、炉次号，其余由对象标识映射层解析得到。
| 序 | 参与接口 | 调用输入 | 期望输出 | 核对对象 | 判据 |
|---|---|---|---|---|---|
| 1 | 主数据编码与编码映射接口 | 施工号 | 该施工号涉及的物料编码、组织与人员编码 | 主数据维护界面 | 编码可解析、无孤立编码 |
| 2 | 产品生命周期管理系统 BOM 与零部件接口、图纸与工艺卡文件接口 | 施工号 | 零部件清单、图纸文件、工艺卡文件及其配对关系 | 系统查询结果 | 零件数一致；图纸可打开；每张图纸可反查工艺卡 |
| 3 | 制造执行系统工单与报工接口 | 施工号 | 工单、工序流转序列、报工记录、焊丝牌号与直径 | 系统报表 | 工单数一致；工序可串成完整序列 |
| 4 | 数据采集与监控系统时序接口 | 工位编号、作业时间窗 | 焊接电流、电压、送丝速度、气体流量序列 | 设备侧历史曲线 | 缺点率在基线内；参数段可归属到具体焊道 |
| 5 | 熔池相机取流通道 | 工位编号、外触发信号、作业时间窗 | 带时间戳的原始帧序列 | 采集节点落地文件 | 帧时间戳与焊接参数时标对齐误差不超过两个采样周期 |
| 6 | 热处理群控系统炉次与测点接口 | 炉次号 | 炉次工单、开完工记录、炉台温度与电气测点序列 | 系统查询结果 | 曲线时长与开完工时间差一致 |
| 7 | 热成像设备取流通道 | 炉台编号、炉次时间窗 | 逐像素原始温度序列与超温报警记录 | 采集节点落地文件 | 与群控温控测量值在同炉次上的偏差在约定范围内 |
| 8 | 质量管理系统检验记录接口与质量档案文件接口 | 施工号、工单号 | 制程与成品检验记录、质量报告文件 | 系统报表 | 检验记录可关联工单号、工序号与零件图号 |
| 9 | 仓储与企业资源计划系统只读视图接口 | 施工号、物料编码 | 物料批次、出入库单据、成本核算口径 | 台账与报表 | 批次可关联采购订单或生产工单 |
表 1-9 焊接施工号链的联调接口调用与输入输出。数据来源：招标文件 3.2.2.1.4、3.2.2.1.5、3.2.2.1.6、3.2.2.1.11、3.2.2.1.12、3.2.2.1.15、3.2.2.1.16 各子条（b0830–b0841、b0842–b0846、b0871–b0877、b0878–b0883、b0895–b0899、b0900–b0905）、3.3.1 感知设备技术参数（b2150r04–b2150r06）。
**联调输出与核对记录。** 九个接口的输出在落地区汇成一份施工号级的串联结果，核对由我方集成人员与招标方工艺、生产、质量三方业务人员共同完成，逐项在《业务链联调核对记录》上签字。核对记录的字段是固定的：核对项、核对方法、数据来源两侧、核对结论、差异说明、处置意见、核对人与日期。
| 核对项 | 核对方法 | 判据 | 不一致时的处置 |
|---|---|---|---|
| 零件与图纸齐套 | 落地区零件清单与系统查询结果逐条比对 | 零件数一致，每个零件有图纸或有明确的无图说明 | 缺图零件列入缺口清单，由工艺部门确认是否历史即无 |
| 图纸与工艺卡配对 | 按图号反查工艺卡，抽取一批人工复核 | 配对关系可解析，抽样复核无错配 | 配对信息不可取的，按文件目录与审核记录建立替代配对路径 |
| 工单与工序串联 | 按工单号串出工序流转序列 | 序列无断点，报工时间单调 | 断点逐条登记，由生产管理部门确认是否为系统外流转 |
| 焊接参数与焊道归属 | 以工序起止时间切分参数流并归属到焊道 | 归属正确率达到初期基线（不低于 80%），逐季复核提升 | 未能归属的参数段独立保留，不强行归属 |
| 图像帧与参数流对齐 | 以已知时点的人工标记事件做对齐验证 | 对齐误差不超过两个采样周期 | 重新对时并校正该时段历史数据 |
| 炉次与温度曲线切分 | 按开完工时间切分群控测点序列 | 曲线时长与开完工时间差一致 | 时间差超限的炉次标记为待核，由设备部门确认 |
| 群控与红外测温对照 | 同炉次双通道数值比对 | 偏差在约定范围内 | 超限的做发射率与反射温度参数复校 |
| 检验记录关联 | 按工单号、工序号、零件图号三键关联 | 关联字段完整率形成基线并逐月跟踪 | 关联字段源系统确无的，经交检批次反查工单作为替代路径 |
| 物料批次与成本口径 | 批次反查采购订单或生产工单，成本与报表核对 | 批次可关联，金额合计与系统报表一致 | 账实差异保留不抹平，提交双方业务部门裁定 |
| 全链可追溯 | 自数据集样本回指到接口编号与批次 | 任一样本可回溯到具体接口与具体批次 | 血缘断点所在环节停止供数直至补齐 |
表 1-10 焊接施工号链的联调核对记录口径。数据来源：招标文件 3.2.2.1 各子条对数据内容的规定、3.1.2.2.4 可靠性要求（b0764–b0769）；工序道数与历史图纸数量口径见本卷事实口径（备料工序 28 道、历史工艺样本 63 万张）。
**样本量与复核节奏。** 首批以不少于十个施工号作为联调样本，覆盖不同产品系列与不同焊接工位，核对通过率的初期基线按不低于 90% 设定，未通过的逐条登记原因并在下一轮复核；通过率低于基线时不扩大取数范围，先补齐对象标识映射规则再复核。热处理炉次链与设备运维链按同一方法各取不少于十个样本组织联调，核对记录随《集成联调报告》一并提交。
#### 1.13 其余集成的受理与评估（第（5）项）
招标文件 3.1.2.3 第（5）条规定「其余集成按招标方项目实施要求执行（如有）」（b0801）。本方案对这一条的处理口径是：建立一条明确的集成需求受理与评估流程，使新增集成需求有章可循，不以口头约定推进。
流程分四步。招标方提出集成需求并说明业务目的与数据范围；我方在五个工作日内给出评估意见，内容包括技术可行性、所需前置条件、工作量估算与对既有进度的影响；双方就是否纳入本期范围、纳入方式与排期达成一致并形成书面记录；按 1.10.1 的统一接入规范执行并纳入接口台账。
需要说明责任边界的一处：招标文件 3.2.5 已把本项集成服务的范围限定为「仅针对本项所采购或开发的软硬件之间的集成」（b1208），3.1.2.3 第（4）条列举的业务系统集成属于数据资源建设服务的组成部分。因此第（5）条所指的「其余集成」，若属于数据集加工生产所需的数据接入，按 1.10.1 的统一接入规范纳入；若属于本项目采购范围之外的第三方系统之间的集成改造，由双方另行商定实施方式。这一区分在项目启动会上明确并记入会议纪要，避免在项目中期产生范围争议。
### 2、系统集成服务要求（3.2.5）
招标文件把本项集成服务的范围界定为「仅针对本项所采购或开发的软硬件之间的集成」（b1207、b1208），四项工作分别是通用服务器上数据集加工生产平台的安装与适配（b1209）、接入连接器上数据集运营服务管理平台的安装与适配（b1210）、服务器密码机国密算法的调试（b1211）、采购硬件的网络连接与适配（b1212）。四项工作的责任全部在我方，交付物是可签字确认的安装调试记录与验收单，并与第四章付款条件所列的《硬件安装调试完成确认单》《软件试运行确认单》对齐（b0530）。
#### 2.1 服务范围与交付责任
招标文件把本项集成服务的范围明确限定为「仅针对本项所采购或开发的软硬件之间的集成」（b1208）。本项服务的工作对象是本项目采购的通用服务器、三台接入连接器、一台服务器密码机与现场感知检测设备，以及本项目开发的数据集加工生产平台与数据集运营服务管理平台。与招标方既有业务系统之间的接口集成按 3.1.2.3 第（4）项在 1.10 与 1.11 落实。
通用服务器的供货安排以招标方最终确认为准，我方按 b1209 承担其上数据集加工生产平台的安装与适配工作。为使安装不因配置口径不明而返工，我方在需求确认阶段提交一份《平台部署基线要求》，列明操作系统版本与内核参数、数据库版本与初始化参数、中间件版本、磁盘分区与挂载方式、网络与端口清单、时间同步与日志外送要求，并以此与实际到场的服务器配置做一次核对。实际配置与基线不一致时，按核对结论调整部署形态（如将部分组件合并部署或增加本地缓存），调整结论写入《安装适配方案确认单》由双方签字，不在安装过程中临时决定。
#### 2.2 部署拓扑、环境版本矩阵与配置基线
安装与适配能否一次做对，取决于动手之前是否已有一份双方确认的基线。本方案在需求确认阶段提交《平台部署基线要求》，内容为六项：部署拓扑与组件关系、环境与版本矩阵、账户与权限、证书与密钥、配置项与变更控制、安装顺序与健康检查。基线经招标方确认后方行安装，安装过程与基线不一致的部分逐项记录并回签。
##### 2.2.1 部署拓扑与服务器、组件的对应关系
本项目的部署分四个区：机房计算区承载通用服务器上的数据集加工生产平台；机房出口区承载三台接入连接器上的数据集运营服务管理平台；机房密码区承载服务器密码机；车间采集区承载现场感知检测设备与采集节点。四个区的边界即网络分区边界，分区与访问策略见 3.2。
| 部署单元 | 承载设备 | 运行组件 | 对上依赖 | 对下依赖 | 单元故障的影响面 |
|---|---|---|---|---|---|
| 加工计算单元 | 通用服务器 | 采集调度、通道执行、落地与对账、加工链路计算组件（容器化） | 数据库单元、密码服务单元 | 源系统接口、采集节点 | 加工批次延迟，已落地数据不受影响 |
| 数据库单元 | 通用服务器 | 国产数据库实例、归档与备份代理（物理机本地部署） | 无 | 存储 | 加工与落地全部暂停，按备份策略恢复 |
| 密码服务单元 | 通用服务器 | 密码服务层（软件开发工具包与 RESTful 双模式）、密钥库 | 密码机 | 无 | 加解密降级，按 1.9 的三档降级执行 |
| 密码设备单元 | 服务器密码机 | 国密算法运算、主密钥保护、三员分离管理 | 无 | 无 | 触发密码服务单元降级 |
| 接入与资源单元 | 第一台接入连接器 | 数据接入、数据资源、数据登记、配置中心 | 加工计算单元 | 数据库单元 | 数据集投递暂停，已上架数据集可继续交付 |
| 交付与审核单元 | 第二台接入连接器 | 数据接口、数据交付、审核管理、访问控制、对外对接适配 | 接入与资源单元 | 数据库单元 | 对外交付暂停，按 2.4 的故障接管验证切换 |
| 审计与存证单元 | 第三台接入连接器 | 系统日志、日志分析、日志审计、区块链存证、运行监测管理 | 前两台 | 存证服务 | 审计采集暂停，业务不中断，恢复后补采 |
| 采集节点单元 | 车间采集节点 | 设备软件开发工具包集成、原始帧与温度序列缓存、上行调度 | 加工计算单元 | 感知检测设备 | 现场数据本地缓存，恢复后批量回传 |
表 2-1 部署单元、承载设备与组件依赖关系。数据来源：招标文件 3.2.5（b1209–b1212）、3.3.1 硬件采购清单（b2150r02–b2150r06）、3.2.1 服务采购清单运营平台模块清单（b0804r04）、3.1.2.2.5 运行要求（b0774–b0780）。
##### 图 2-1 加工生产平台与运营服务管理平台的部署拓扑
图 2-1 加工生产平台与运营服务管理平台的部署拓扑。数据来源：招标文件 3.2.5（b1209–b1211）、3.3.1 接入连接器功能要求（b2150r03）、3.2.4.7 对外接口要求（b1206）、3.1.2.2.5 运行要求（b0774–b0776）。
##### 2.2.2 环境与版本矩阵
招标文件规定系统基于正版操作系统与数据库管理系统部署，正版许可由投标方提供，不允许使用免费版数据库管理系统部署核心系统（b0774–b0776）；支持本地化与私有云部署，支持物理机与虚拟化等多种部署方式（b0779、b0780）；国产化要求规定支持国产化服务器、中央处理器、存储、网络设备，支持国产化操作系统与国产化数据库（b0788–b0793）。本方案据此形成版本矩阵，矩阵中的每一行在安装前确定取值、在兼容性验证阶段逐行实测并记录结论，作为《国产化栈适配报告》的上半部分。
| 层次 | 组件 | 版本口径 | 承载单元 | 验证方式 | 变更控制 |
|---|---|---|---|---|---|
| 固件 | 服务器与连接器固件、密码机固件 | 同型号设备固件版本统一，以到场批次中的最高稳定版为准 | 全部计算与设备单元 | 版本清点与自检告警核查 | 固件升级走变更流程，升级前后各做一次健康检查 |
| 操作系统 | 国产操作系统（按 3.1.2.2.7 所列范围选型） | 主版本与内核版本在全部同类单元上一致，正版许可随安装提交 | 通用服务器、接入连接器 | 组件级兼容性验证逐项记录 | 主版本不在项目期内变更，补丁按安全基线月度评估 |
| 数据库 | 国产数据库（正版，非免费版） | 版本、字符集、归档模式、初始化参数统一 | 数据库单元 | 实例可用性与备份恢复演练 | 版本升级须先在验证环境跑完回归用例 |
| 中间件与运行时 | 国产中间件、容器运行时、消息与调度组件 | 版本与资源配额在基线中固化 | 加工计算单元、连接器各单元 | 组件自检与配额生效核查 | 镜像以摘要锁定，不使用浮动标签 |
| 密码支撑 | 密码服务层、密码设备接口库 | 接口库版本与密码机固件配套，按《密码设备应用接口规范》实现 | 密码服务单元 | 接口函数逐项连通与标准向量验证 | 接口库更换须重跑算法符合性用例 |
| 平台组件 | 加工生产平台各模块、运营服务管理平台各模块 | 同一发布版本号，模块间版本不交叉 | 加工计算单元、连接器各单元 | 模块健康检查与功能评审 | 按版本发布，支持回滚到上一稳定版本 |
| 设备侧 | 感知检测设备软件开发工具包与驱动 | 与设备型号配套，版本随设备台账登记 | 采集节点单元 | 取流与逐像素温度读取实测 | 工具包升级后重做取流验证 |
| 时间源 | 网络时间服务 | 全项目单一时间源，层级与同步周期在基线中固化 | 全部单元与现场设备 | 对时偏差监控 | 时间源变更须双方书面确认 |
表 2-2 环境与版本矩阵。数据来源：招标文件 3.1.2.2.5 运行要求（b0774–b0780）、3.1.2.2.7 国产化要求（b0788–b0793）、3.2.5（b1209–b1212）、3.3.1 硬件技术参数（b2150r02–b2150r06）。
国产化栈上的适配工作按三步推进，不以「能装上」为完成标志。第一步做组件级兼容性验证，逐个组件在目标操作系统与处理器架构上跑通并记录版本矩阵的实测列；第二步做性能基线测量，用本项目真实样本（工艺卡文件、图纸文件、热成像帧序列各取一批）测量单位时间处理量，找出需要替换实现的组件；第三步做针对性优化，对文档解析、图像解码、向量计算三类对指令集与数学库敏感的负载，替换为与目标架构匹配的实现并复测。三步的结论合成《国产化栈适配报告》，交招标方确认。
##### 2.2.3 账户、权限、证书与密钥
账户与权限按最小必要与职责分离两条原则设定，逐类账户在基线中列明用途、授予范围、保管方式与轮换周期；个人不持有共享口令，口令与密钥集中保管并在平台配置中加密存储，调用时由密码服务层解密。
| 账户类别 | 用途 | 授予范围 | 保管与下发 | 轮换周期 | 审计要求 |
|---|---|---|---|---|---|
| 系统管理员 | 操作系统与中间件运维 | 仅限所辖单元，不跨区 | 按人分配、不共享 | 按安全基线定期更换 | 操作全程留痕，审计员可查 |
| 安全管理员 | 权限配置、策略配置 | 不具备业务数据读取权 | 按人分配 | 同上 | 与系统管理员互不兼任 |
| 审计管理员 | 审计日志查阅与导出 | 只读，不可修改或删除审计记录 | 按人分配 | 同上 | 审计账号部署在第三台连接器 |
| 密码机操作员 | 密钥生成、轮换、销毁 | 需与管理员、审计员三员分离 | 按人分配，敏感操作双人复核 | 同上 | 操作记入密钥管理审计流水 |
| 平台服务账号 | 组件间调用 | 按接口粒度授权 | 不可交互登录，凭据由配置中心下发 | 按配置项约定周期自动轮换 | 调用流水全量审计 |
| 源系统只读账号 | 对招标方业务系统取数 | 只读，限定可访问对象清单 | 由招标方开立后交我方项目组统一保管 | 由招标方发起、我方配合 | 每批次记录执行账号 |
| 设备接入账号 | 感知检测设备取流 | 限定设备与测点范围 | 随设备台账登记 | 工具包升级或设备更换时更新 | 取流记录含设备编号 |
| 对外交付账号 | 数据集接收方 | 按授权数据集范围与有效期 | 由审核流程开立 | 授权到期自动失效 | 交付与下载全量审计 |
表 2-3 账户类别、权限范围与轮换口径。数据来源：招标文件 3.1.2.1 身份认证与密码应用服务要求（b0724–b0732）、3.1.2.2.3 安全性要求（b0760–b0762）、3.3.1 接入连接器功能要求（b2150r03）。
证书与密钥按用途分列，各自的签发主体、有效期与到期更换责任在基线中写死，不留到到期当天处理。
| 对象 | 用途 | 签发或生成 | 有效期口径 | 到期与吊销处理 | 存放位置 |
|---|---|---|---|---|---|
| 平台服务端证书 | 对外服务与管理界面的传输加密 | 按招标方证书体系签发 | 覆盖项目建设期，到期前一个月更换 | 更换走变更流程，更换后重做连通验证 | 平台配置，私钥由密码服务层保护 |
| 客户端与服务间证书 | 组件互信、连接器之间互访 | 项目内统一签发 | 同上 | 吊销后相关调用立即失效并告警 | 配置中心统一下发 |
| 存证节点证书 | 区块链存证的信任关系建立 | 按存证服务要求签发 | 同上 | 更换后重做存证写入与验证 | 第三台连接器 |
| 签名证书 | 交付包签发、审计记录签名 | 由密码机生成密钥对 | 同上 | 更换后历史签名按原证书验签 | 密码机内，私钥不出设备 |
| 主密钥 | 保护业务密钥 | 密码机内生成 | 不出设备，按密码机管理规程 | 轮换在维护窗口执行，与批量作业互斥 | 密码机内 |
| 业务密钥 | 按用途与数据分级划分 | 由主密钥加密后存储 | 按用途设定轮换周期 | 轮换后旧版本保留供历史解密 | 密码服务层密钥库 |
| 数据密钥 | 一文一密、一数据一密 | 随数据生成 | 随数据生命周期 | 授权撤销时按密钥标识销毁 | 由业务密钥加密后随数据存放 |
表 2-4 证书与密钥清单及到期处理口径。数据来源：招标文件 3.1.2.1 密码应用服务要求（b0724–b0728、b0737、b0742）、3.1.2.2.3 安全性要求（b0760–b0762）、3.3.1 服务器密码机技术参数（b2150r02）。
##### 2.2.4 配置项与配置变更控制
部署过程全部脚本化与参数化，配置项按三类分别管理，使操作系统、数据库或中间件发生替换时只改配置不改代码——这也是招标方替换服务器操作系统或数据库管理系统时我方须无条件配合完成迁移与数据切换这一义务的工程前提（b2191、b0603）。
| 配置类别 | 典型配置项 | 存放位置 | 变更审批 | 回滚方式 | 变更留痕 |
|---|---|---|---|---|---|
| 环境相关 | 主机名与地址、端口、数据库连接串、存储路径、时间源地址 | 配置中心，按环境分组 | 我方技术负责人审批 | 切回上一版本配置并重启相关组件 | 版本号、变更人、变更时间、变更原因 |
| 安全相关 | 鉴权方式、凭据标识、密钥标识、证书路径、访问控制策略 | 配置中心，敏感项加密存储 | 双方安全责任人共同审批 | 同上，并重做连通与权限验证 | 同上，另记审批单号 |
| 集成相关 | 接口地址、增量水位字段、调度窗口、并发与批量上限、重试与告警阈值、对账容差 | 接口台账与配置中心联动 | 双方技术负责人审批 | 按接口版本回退并重做回归验证 | 接口版本号随落地批次记录 |
| 业务相关 | 数据分级规则、字段加密策略、数据集登记项、审核流程节点 | 平台内可维护 | 招标方业务责任人确认 | 按策略版本回退 | 策略版本随数据卡记录 |
表 2-5 配置项分类与变更控制。数据来源：招标文件 3.1.2.2.2 开放性要求（b0752–b0755）、3.1.2.2.1 基本要求（b0746–b0750）、第五章配合义务条款（b2191）、第四章配合义务条款（b0603）。
##### 2.2.5 安装顺序与健康检查
安装按自下而上的顺序执行，每一层安装完成即做本层健康检查，检查不通过不进入下一层。健康检查项同时纳入日常巡检，巡检脚本随集成运维手册交付。
逐层设卡的理由是故障能否定位。由设备、网络、系统软件、密码服务到平台组件层层叠起的栈，若到了上层才发现异常，难以分清是本层配置有误还是下层条件本就不成立；每层设一道检查，则把失效锁定在它产生的那一层，责任落点也随之清楚。表 2-6 按依赖关系自下而上列十一层：「前置条件」一列是进入该层的门槛，「健康检查项」一列是须留证的动作，「通过判据」一列是判定，末列是不通过时的退路。
判据的取值有三路来由。双路供电、带外可达、备份可恢复取自可靠性要求与运行要求（b0764–b0769、b0774–b0780）；版本、分区挂载、内核参数与资源配额以 2.2.2 的版本矩阵为准，判据即「与矩阵一致」，不另立标准；权限收敛、端口最小化、日志外送按安全加固的通行工程口径。其中第七层与第十一层最关键：前者证明密码服务与密码机之间的加解密往返可用，是其后全部涉密数据流的前提；后者以一条样例数据集走完自投递至对外交付的全链路，是整栈能否交付的综合判定。
安装完成度按三段式把握：首期基线为十一层逐层留有检查记录、关键层的通过判据经招标方现场确认；趋向为检查项逐步转为可重复执行的巡检脚本、日检结果可回溯比对；某一层因现场条件暂不具备而无法当期验证的，记为挂起项、不计入已完成层数，并在《硬件安装调试完成确认单》中单列其验证时限（b0530）。
| 序 | 安装层次 | 前置条件 | 健康检查项 | 通过判据 | 不通过时的处理 |
|---|---|---|---|---|---|
| 1 | 设备上架与供电 | 到货验收通过、机位与供电确认 | 双路供电分别断电测试、带外管理可达 | 单路断电业务不中断 | 整改供电路由后复测 |
| 2 | 网络接入 | 交换机端口与策略已开通 | 端口状态、链路带宽、分区策略生效 | 按 3.2 的分区策略逐条验证通过 | 提交策略申请并跟踪 |
| 3 | 时间同步 | 时间源地址已确定 | 各节点与设备对时偏差 | 偏差在基线约定范围内 | 重新对时并校正历史数据 |
| 4 | 操作系统 | 正版许可到位 | 版本、分区挂载、内核参数、服务自检 | 与版本矩阵一致 | 按基线重做安装 |
| 5 | 数据库 | 操作系统检查通过、正版许可到位 | 实例状态、字符集、归档、备份恢复演练 | 备份可恢复 | 调整初始化参数后重做 |
| 6 | 中间件与运行时 | 数据库检查通过 | 组件自检、资源配额、镜像仓库连通 | 配额生效、镜像可拉取 | 核对版本矩阵后重装 |
| 7 | 密码服务与密码机对接 | 密码机调试完成（见 2.5） | 接口函数连通、加解密往返 | 往返结果与原文一致 | 排查密钥标识与算法参数 |
| 8 | 平台组件 | 上述各层检查通过 | 各模块健康检查、服务注册、依赖探活 | 全部模块健康 | 按模块定位并整改 |
| 9 | 单元间连通 | 平台组件健康 | 加工侧与运营侧双向通道、三台连接器互访 | 按契约通过 | 核对配置项与网络策略 |
| 10 | 安全加固 | 单元间连通通过 | 账号权限收敛、端口最小化、日志外送、补丁 | 高危项清零 | 中低危项出具处置说明 |
| 11 | 端到端自检 | 以上全部通过 | 一条样例数据集自投递至对外交付的全链路 | 全链路通过且审计记录完整 | 逐段定位后复测 |
表 2-6 安装顺序与健康检查。数据来源：招标文件 3.2.5（b1209–b1212）、3.1.2.2.5 运行要求（b0774–b0780）、3.1.2.2.4 可靠性要求（b0764–b0769）、第四章付款条件（b0530）。
##### 2.2.6 平台、工具链、治理与运营侧的内部接口规格
本项所开发软件之间的接口与源系统接口同样需要契约。加工生产平台、专项智能工具链、数据治理管控与运营服务管理平台四者之间的接口按下表固化，接口清单随《接口台账》交付。
| 接口类别 | 接口清单 | 调用方向 | 字段与时序要点 | 鉴权与限流 | 幂等与失败补偿 | 审计 |
|---|---|---|---|---|---|---|
| 加工生产平台与工具链 | 任务下发、样本领取、结果回写、置信度与人工介入回写、血缘写入 | 平台调用工具链，工具链回写平台 | 任务标识、样本批次、工具链版本、参数快照、结果与置信度；按任务编排时序串行或并行 | 服务账号按接口粒度授权；按任务并发上限限流 | 幂等键为任务标识＋样本批次；失败任务按批重投，结果以最后成功版本为准 | 每次任务记录工具链版本与参数快照 |
| 加工生产平台与治理管控 | 质检门控调用、质量指标回传、错样归因回流、标准与规则下发 | 双向 | 门控规则标识与版本、指标项与取值、归因结论与回流目标环节 | 服务账号授权；门控调用同步、指标回传异步 | 幂等键为批次标识＋规则版本；门控失败批次不进入下一环节 | 门控结论与规则版本随批次留存 |
| 加工生产平台与运营平台 | 数据集投递、元数据同步、版本与状态同步、下架与撤回 | 加工侧推送，运营侧回执 | 数据集标识、版本、分级、密钥标识、元数据公开与受控两部分 | 服务账号授权；投递按并发与单包体积限流 | 幂等键为数据集标识＋版本；回执缺失的按幂等键重投 | 投递与回执全量记录，进数据卡 |
| 运营平台与存证及对外 | 登记注册、确权存证、挂牌展示、对外接口发布、交付与下载、对接适配 | 运营侧对外 | 登记项、存证哈希与算法、交付包标识与授权范围 | 对外接口按鉴权与限流配置（b1206） | 幂等键为交付单号；交付失败按断点续传重试 | 交付与审计记录落第三台连接器 |
表 2-7 平台、工具链、治理与运营侧的内部接口规格。数据来源：招标文件 3.2.1 服务采购清单（b0804r02–b0804r04）、3.2.4.7 对外接口要求（b1206）、3.2.5（b1209、b1210）、3.3.1 接入连接器功能要求（b2150r03）。
#### 2.3 通用服务器上数据集加工生产平台的安装与适配（第（1）项）
**现场约束决定安装方式。** 招标文件 3.1.2.2.5 运行要求规定系统基于正版操作系统与数据库管理系统部署，正版许可由投标方提供，不允许使用免费版数据库管理系统部署核心系统（b0774、b0775、b0776）；支持本地化与私有云部署，支持物理机与虚拟化等多种部署方式（b0779、b0780）；3.1.2.2.7 国产化要求支持国产服务器、CPU、国产操作系统与国产数据库（b0788、b0790、b0792）。
本方案据此采取「物理机 + 容器化应用」的部署形态：数据库与密码调用相关组件以物理机本地部署保证性能与可审计性，加工链路的计算组件以容器方式部署便于扩缩与版本回滚。这两类组件的边界在部署方案中固化，不混放。
**适配的实质内容不是装软件，而是在国产软硬件栈上把性能与兼容性调到可用。** 在国产处理器架构上，加工链路中的文档解析、图像解码、向量计算三类负载对指令集与数学库敏感，直接沿用通用构建往往可以运行但性能不足。
我方的适配工作按三步推进：第一步做组件级兼容性验证，逐个组件在目标操作系统与处理器架构上跑通并记录版本矩阵；第二步做性能基线测量，用本项目真实样本（工艺卡 PDF、DWG 图纸、热成像帧序列各取一批）测量单位时间处理量，与我方在通用架构上的参考值比较，找出需要替换实现的组件；第三步做针对性优化，包括重编译关键库、调整线程与内存参数、必要时替换为对目标架构有原生支持的实现。三步的产出是一份《国产化栈适配报告》，含版本矩阵、性能基线与优化前后对比，列入交付文档。
**安装与适配的工作分解。** 下表按工序给出步骤、输入、产出与判据。表中「判据」一列是双方签字确认的依据，不通过的步骤不进入下一步。
| 序 | 步骤 | 输入 | 主要动作 | 产出 | 通过判据 |
|---|---|---|---|---|---|
| 1 | 到场验收 | 服务器与配件、装箱清单 | 开箱、清点、外观与序列号核对、通电自检 | 到货验收记录 | 清单一致、自检无硬件告警 |
| 2 | 固件与基础配置 | 厂商固件包、基线要求 | 固件版本统一、磁盘阵列配置、带外管理启用 | 固件与阵列配置单 | 版本一致、阵列状态正常 |
| 3 | 操作系统安装 | 正版国产操作系统介质与许可 | 安装、分区挂载、内核参数、时区与时间同步 | 操作系统安装记录 | 对时偏差在约定范围、分区符合基线 |
| 4 | 数据库部署 | 正版国产数据库介质与许可 | 安装、实例初始化、字符集与归档配置、备份策略 | 数据库部署记录 | 实例可用、备份可恢复演练通过 |
| 5 | 中间件与运行时 | 中间件介质、容器运行时 | 安装、资源配额、镜像仓库对接 | 中间件部署记录 | 组件自检通过、配额生效 |
| 6 | 平台组件安装 | 加工生产平台安装包 | 按模块安装、配置文件生成、服务注册 | 平台安装记录 | 各模块健康检查通过 |
| 7 | 兼容性验证 | 版本矩阵模板 | 逐组件在目标架构上功能验证 | 国产化栈适配报告（上） | 组件清单无阻塞项，受限项有替代方案 |
| 8 | 性能基线测量 | 本项目真实样本批 | 文档解析、图像解码、向量计算三类负载实测 | 国产化栈适配报告（下） | 达到部署基线约定的处理量下限 |
| 9 | 安全加固 | 加固基线清单 | 账号与权限收敛、端口最小化、日志外送、补丁 | 安全加固记录 | 高危项清零，中低危项有处置说明 |
| 10 | 密码服务对接 | 密码机接口信息 | 调用链配置、密钥标识分配、连通验证 | 密码对接记录 | 加解密往返测试通过（详见 1.9 与 2.5） |
| 11 | 与运营平台连通 | 连接器部署信息 | 数据集交付与元数据同步通道配置 | 连通测试记录 | 双向通道按契约通过 |
| 12 | 安装调试确认 | 以上全部记录 | 汇总、整改闭环、双方复核 | 《硬件安装调试完成确认单》附件 | 招标方签字确认 |
表 2-8 通用服务器上数据集加工生产平台的安装与适配工作分解。数据来源：招标文件 3.1.2.2.5 运行要求（b0774–b0780）、3.1.2.2.7 国产化要求（b0788–b0793）、3.2.5（b1209）、第四章付款条件中关于《硬件安装调试完成确认单》《软件试运行确认单》的规定（b0530）。
表中第 12 步对应第四章付款方式中第二次付款所需的《硬件安装调试完成确认单》与《软件试运行确认单》（b0530），我方按此口径组织材料，使集成成果与合同节点对齐。
#### 2.4 接入连接器上数据集运营服务管理平台的安装与适配（第（2）项）
**三台连接器的角色划分。** 招标文件采购清单给出接入连接器三台，并列明其须适配的功能要求：数据接入、数据资源、数据登记、数据接口、数据交付、审核管理、系统日志、日志分析、日志审计、身份管理、配置中心、区块链存证、运行监测管理、访问控制（b2150r03）。三台设备不作等同部署，本方案按职责分离的原则划分：
第一台承担**接入与资源侧**职责，运行数据接入、数据资源、数据登记、配置中心四组功能，是数据集从加工侧进入运营侧的入口；
第二台承担**交付与审核侧**职责，运行数据接口、数据交付、审核管理、访问控制四组功能，是数据集对外交付的出口；
第三台承担**审计与存证侧**职责，运行系统日志、日志分析、日志审计、区块链存证、运行监测管理五组功能，并对前两台形成独立的审计视角。
这样划分的理由有两条。一是审计与被审计分离：如果审计日志与业务功能部署在同一台设备上，日志的独立性在商用密码应用安全性评估与等级保护测评中都会被质疑。二是入口与出口分离：数据集进入与对外交付走不同设备、不同账号体系，使越权交付在物理上多一道障碍。三台设备的网络策略按角色分别配置，仅开放必要端口。
**连接器功能与运营平台模块的落位关系。** 招标文件 3.2.1 服务采购清单列出数据集运营服务管理平台的十六个功能模块（b0804r04），3.2.4 又按六组功能要求展开。连接器上的十四项适配功能与平台模块不是一一对应关系，而是「平台模块的对外部分落在连接器上」。下表给出落位关系，平台模块本身的功能、界面与流程由运营平台章节详述。
| 连接器适配功能（b2150r03） | 对应平台模块（b0804r04） | 部署设备 | 本项目负责的集成工作 |
|---|---|---|---|
| 数据接入 | 数据集上传、数据集动态更新 | 第一台 | 与加工生产平台之间的数据集投递通道与校验 |
| 数据资源 | 数据集目录、数据集元数据 | 第一台 | 元数据同步通道与加解密调用配置 |
| 数据登记 | 登记注册、数据集确权 | 第一台 | 登记信息结构与存证接口对接 |
| 配置中心 | 平台配置 | 第一台 | 配置项集中管理与变更留痕 |
| 数据接口 | 对外接口 | 第二台 | 对外接口发布、限流与鉴权配置（b1206） |
| 数据交付 | 数据集下载、数据集服务、数据集检索与预览 | 第二台 | 交付通道、断点续传、交付包加密配置 |
| 审核管理 | 交易合同管理、交易费用管理 | 第二台 | 审核流程节点与状态回写配置 |
| 访问控制 | 数据集权限管理 | 第二台 | 角色与权限模型落地、最小权限核查 |
| 系统日志 | 全流程审计管理 | 第三台 | 日志采集范围与格式统一 |
| 日志分析 | 全流程审计管理 | 第三台 | 分析规则与告警阈值配置 |
| 日志审计 | 全流程审计管理 | 第三台 | 三员分离的审计账号配置 |
| 区块链存证 | 数据集确权、数据集挂牌展示 | 第三台 | 存证上链字段、哈希算法与验证接口 |
| 运行监测管理 | 平台服务与 SLA 保障 | 第三台 | 监测指标采集与服务质量报告生成 |
| 身份管理 | 数据集权限管理 | 三台共用 | 统一身份与双因素认证对接（b0729–b0732） |
表 2-9 接入连接器适配功能与运营平台模块的落位关系。数据来源：招标文件 3.3.1 硬件采购清单接入连接器功能要求（b2150r03）、3.2.1 服务采购清单运营平台模块清单（b0804r04）、3.2.4.7 对外接口要求（b1206）、3.1.2.1 身份认证要求（b0729–b0732）。
**连接器的安装与适配步骤**与通用服务器同构，差别在三处：一是三台设备需按角色分别安装不同的功能组件集，安装前先完成角色分配确认；二是区块链存证功能需与存证服务建立信任关系，涉及证书与节点配置，这一步单独验证；三是三台之间需做故障接管验证——第二台（交付出口）故障时，对外交付能力按降级口径由第一台临时承担只读交付，交付审计仍由第三台记录。降级演练作为安装适配的收尾动作执行一次并记录。
**与国家数据基础设施对接的接口预留。** 招标文件 3.2.4.7 要求支持与国家数据基础设施的对接能力，按其接入规范预留统一目录标识登记、统一身份注册与标准接口互联互通的对接接口，并视其开放进度支持数据集标识的注册与解析对接（b1206）。
本方案在第二台连接器上以独立的对接适配模块实现这一预留：接口按目录标识登记、身份注册、标识注册与解析三组定义，当前以本地模拟端点完成自测，并保留配置化的目标端点地址与协议参数。国家数据基础设施相关规范发布或开放后，按配置切换至真实端点并重新联调，不需改动平台内部结构。这一安排使「预留」是可验证的而不是声明式的：自测报告与配置项清单列入交付文档。
#### 2.5 服务器密码机国密算法的调试（第（3）项）
##### 2.5.1 调试的工作内容与方法
调试不等于「装上驱动能调通」。招标文件给出的密码机性能指标是明确的量值（b2150r02），调试工作须证明在本项目的实际调用形态下这些能力被正确用上，且平台的性能指标没有因此被破坏。本方案把调试分为五组。
**第一组：设备与接口连通调试。** 完成密码机机架安装、双电源接入、网口配置（4 电口 + 4 光口按管理面与业务面分离配置）、管理员与操作员账号开立、三员分离配置。随后以厂商提供的接口库完成最小调用验证，逐一验证《密码设备应用接口规范》中本项目使用到的接口函数。产出为《密码机安装与接口连通记录》。
**第二组：算法符合性调试。** 对 SM2、SM3、SM4 三类算法逐一做标准向量验证：使用国家标准给出的测试向量，验证密码机输出与标准值一致；对 SM2 签名验签做正反向验证（正确签名验签通过、篡改后验签失败）；对 SM4 验证 ECB、CBC、OFB 三种模式与填充方式一致性（b2150r02）；对 SM9 与 SM1 按实际启用范围验证。
另对国际算法 RSA2048/RSA4096 与 AES、3DES、SHA256/384/512 做可用性验证，作为兼容性储备而非主用路径。产出为《算法符合性测试记录》，含测试向量、预期值与实测值对照。
**第三组：性能与并发调试。** 按采购参数逐项实测并与标称值比对：SM2 密钥对生成、签名、验签速率，SM3 与 SM4 吞吐，SM1 吞吐（b2150r02）。实测在两种条件下各做一轮：空载条件下的峰值能力，以及与平台真实负载叠加条件下的可用能力。第二轮更重要——它回答的是「加密之后平台还能不能达到承诺的响应时间」。
对照的指标是招标文件 3.1.2.2.6 性能要求中的登录响应时间、简单与复杂页面操作响应时间（b0784、b0785、b0786）以及 3.1.2.2.5 的页面与报表响应时间（b0781），验证加解密引入的额外时延在这些指标的余量之内。超出余量时的处理顺序是：先调整批量与并发参数，再对高频小字段改用本地缓存解密结果（缓存不落盘、设置生存期），仍不满足时将该字段的加密策略由字段级改为表级或改为脱敏存储，策略变更须经招标方确认并记入字段策略表。
**第四组：高可用与降级调试。** 本项目采购密码机一台（b2150r02），单设备即为单点。招标文件 3.1.2.1 要求密码服务具备负载与调度能力，通过虚拟密码网关实现动态调度，防止密码服务单点故障导致应用瘫痪（b0709、b0710、b0711）。
本方案在密码服务层实现三档降级：一档为连接级重试与会话重建，应对瞬时抖动；二档为队列缓冲，密码机不可用期间对非实时的批量加密任务入队等待，对实时读取请求返回明确的业务提示而不是超时；三档为预留第二台密码机的接入位，密码服务层以配置方式支持多设备分组与调度，招标方后续增配设备时无需改动业务代码。降级演练作为调试的必做项执行并记录，演练内容包括拔网线、关闭服务、模拟超时三种情形下的平台表现与恢复时间。
需要讲清的是本方案在此处的边界：一台密码机的硬件冗余仅限设备内部的冗余电源（b2150r02），设备级冗余需要第二台设备。本方案通过软件侧的降级与接入位预留把单点故障的影响从「平台瘫痪」降到「批量任务延迟、实时解密受限」，并在交付文档中写明这一限制与补强建议，由招标方决定是否增配。
**第五组：兼容性与证明材料核验。** 招标文件要求密码产品支持与国产化操作系统、CPU、数据库、中间件适配兼容并提供兼容性互认证明材料（b0735、b0736、b0738、b0739），支持针对不同厂商密码机设备的集成并提供不少于三家厂商密码设备的互认证明材料（b0740、b0741），且须具有国家密码管理局颁发的《商用密码产品认证证书》（b0737、b0742）。
本方案在调试阶段同步核验这些材料是否齐备、是否在有效期内、覆盖的产品型号是否与到场设备一致，核验结果列入《密码合规材料核验表》。材料清单、提交时点与两次核验的口径见 2.5.3。
##### 2.5.2 调试项与验收判据
密码机「装上能调通」不构成验收结论。2.5.1 的五组工作要能被逐条判定，须把每一项拆到有方法、有判据、有不通过时的去向，否则调试记录只是过程留痕，不足以支撑验收单的签署。表 2-10 即把五组工作展开为可逐条签认的二十个调试项，「组」一列与 2.5.1 的五组一一对应。
判据的取值分三路。一、二组取自国家标准给出的算法测试向量与《密码设备应用接口规范》的函数集，是对错分明的符合性判定，没有容差可言。三组取自采购参数标称值（b2150r02）与平台响应时间指标（b0781、b0784–b0786）：前者判设备本身是否达标，后者判加解密引入的时延是否侵蚀了平台的性能余量，后一问比前一问更要紧。五组的判据是材料份数与覆盖型号，取自 b0735–b0742 的条款。
读表时，「通过判据」一列是验收签认的依据，「不通过时的处理」一列同时划分责任：写明由供货方处理或更换型号的属货不对板，写明调整参数、完善分支的属我方整改。三组的叠加负载一行与四组的设备不可用降级一行最关键——前者决定加密之后平台还能否兑现响应时间，后者决定单台密码机的单点风险是否已由软件侧兜住。
调试结论按三段式把握：首期基线为一、二、五组逐项通过，三、四组在空载与叠加负载两种条件下均留有实测记录；趋向为叠加负载条件下的平台响应时间稳定落在指标余量之内；余量不足时按 2.5.1 第三组所列顺序先调批量与并发、再调字段加密策略，策略变更报招标方确认并记入字段策略表，受影响字段的加密强度变化在交付文档中写明。
| 组 | 调试项 | 方法 | 通过判据 | 不通过时的处理 |
|---|---|---|---|---|
| 一 | 机架安装与供电 | 上架、双路供电、带外管理 | 双电源分别断电均不中断服务 | 整改供电路由后复测 |
| 一 | 网口与面分离 | 管理面与业务面分网段配置 | 管理面不可从业务网段访问 | 调整网络策略后复测 |
| 一 | 三员分离 | 管理员、操作员、审计员分账号 | 任一角色无法单独完成敏感操作 | 重配权限矩阵 |
| 一 | 接口函数连通 | 按 GM/T 0018-2012 逐函数调用 | 本项目使用的函数全部返回正常 | 升级接口库或调整调用方式 |
| 二 | SM2 标准向量 | 国标测试向量比对 | 输出与标准值一致 | 联系供货方更换固件版本 |
| 二 | SM2 签名验签 | 正反向验证 | 正确签名通过、篡改后拒绝 | 排查摘要与编码口径 |
| 二 | SM3 标准向量 | 国标测试向量比对 | 输出与标准值一致 | 同上 |
| 二 | SM4 多模式 | ECB / CBC / OFB 与填充一致性 | 各模式加解密往返一致 | 统一填充与初始向量口径 |
| 二 | SM9 与 SM1 | 按启用范围验证 | 启用功能可用 | 记录未启用范围并说明 |
| 二 | 国际算法兼容 | RSA、AES、3DES、SHA 系列可用性 | 可调用且结果正确 | 列入受限项 |
| 三 | 空载性能 | 按标称指标逐项压测 | 不低于采购参数标称值 | 由供货方处理 |
| 三 | 叠加负载性能 | 与平台真实负载同时运行 | 平台响应时间仍在 b0781、b0784–b0786 指标内 | 按 2.5.1 第三组所列顺序调整策略 |
| 三 | 大文件加密吞吐 | 以本项目数据集样本批实测 | 单批加密耗时在批处理窗口内 | 调整分片大小与并发度 |
| 四 | 连接抖动恢复 | 模拟网络超时与会话中断 | 自动重试后业务无感 | 调整重试与超时参数 |
| 四 | 设备不可用降级 | 停止密码机服务 | 批量任务入队、实时请求返回明确提示 | 完善降级分支 |
| 四 | 恢复后续跑 | 恢复设备服务 | 队列任务自动续跑、无重复无丢失 | 补齐幂等与断点逻辑 |
| 四 | 多设备调度预留 | 配置虚拟分组（单设备情形下验证配置可生效） | 配置项生效、扩容无需改代码 | 补齐配置项 |
| 五 | 兼容性互认材料 | 核验操作系统、CPU、数据库、中间件各类材料份数 | 份数与覆盖型号满足 b0735–b0739 | 由供货方补齐 |
| 五 | 多厂商互认材料 | 核验不少于三家密码设备互认材料 | 满足 b0740、b0741 | 由供货方补齐 |
| 五 | 商用密码产品认证证书 | 核验证书真实性与有效期 | 满足 b0737、b0742 | 更换合规型号 |
表 2-10 国密算法调试项与验收判据。数据来源：招标文件 3.1.2.1 密码应用服务要求（b0709–b0742）、3.1.2.2.5/3.1.2.2.6 性能要求（b0781、b0784–b0786）、3.3.1 服务器密码机技术参数（b2150r02）、3.2.5（b1211）。
##### 2.5.3 密码认证、兼容与型号证明材料的提交与两次核验
招标文件要求密码产品支持与国产化操作系统、中央处理器、数据库、中间件适配兼容并提供兼容性互认证明材料（b0735、b0736、b0738、b0739），支持针对不同厂商密码机设备的集成并提供不少于三家厂商密码设备的互认证明材料（b0740、b0741），且须具有国家密码管理局颁发的《商用密码产品认证证书》（b0737、b0742）。这三类材料是投标阶段即须提供的证明件，不是调试阶段才核验的现场事项。
本方案的处理是一套材料、三处引用、两次核验。材料由硬件配置一节的选型确认与安全方案一节的密码合规两处共同依据的同一份清单构成：《商用密码产品认证证书》按认证证书载明的型号提交，不以同系列产品替代；兼容性互认证明按操作系统、中央处理器、数据库、中间件四类各不少于三份提交，按从严口径执行；多厂商密码设备互认证明不少于三家。本节不另立清单，引用同一份材料，使三章的型号、证书编号与有效期口径一致。
两次核验的时点与责任如下。第一次在投标阶段：证明材料随技术文件提交，证书编号、出具方、出具日期与覆盖型号在提交前逐份核对，核对结论记入《密码合规材料核验表》。第二次在到货与调试阶段：到场设备的实际型号、序列号与证书载明型号逐台比对，证书有效期与项目建设期的覆盖关系复核一次，兼容性互认材料覆盖的软硬件型号与现场实配环境逐项比对，比对结论回写同一张核验表。
| 材料 | 招标文件依据 | 提交时点 | 第一次核验（投标阶段） | 第二次核验（到货与调试阶段） | 不一致时的处理 |
|---|---|---|---|---|---|
| 《商用密码产品认证证书》 | b0737、b0742 | 随技术文件提交 | 证书编号、出具方、认证范围与有效期逐项核对 | 与到场设备型号、序列号逐台比对 | 更换为证书覆盖的合规型号，不以同系列替代 |
| 操作系统兼容性互认证明 | b0735、b0738 | 同上 | 份数与覆盖型号核对，按不少于三份执行 | 与现场实配操作系统版本比对 | 由供货渠道补齐，缺项不进入适配结论 |
| 中央处理器兼容性互认证明 | b0735、b0738 | 同上 | 同上 | 与现场实配处理器架构比对 | 同上 |
| 数据库兼容性互认证明 | b0736、b0739 | 同上 | 同上 | 与现场实配数据库版本比对 | 同上 |
| 中间件兼容性互认证明 | b0736、b0739 | 同上 | 同上 | 与现场实配中间件版本比对 | 同上 |
| 多厂商密码设备互认证明 | b0740、b0741 | 同上 | 厂商家数与设备型号核对，不少于三家 | 与密码服务层的多设备调度配置比对 | 同上 |
表 2-11 密码认证、兼容与型号证明材料的提交与两次核验。数据来源：招标文件 3.1.2.1 密码应用服务要求（b0735–b0742）、3.3.1 服务器密码机技术参数（b2150r02）、3.3.2 硬件配套技术服务要求（b2152r02）。材料与硬件配置一节的选型确认、安全方案一节的密码合规取同一份清单与同一口径。
#### 2.6 采购硬件的网络连接与适配（第（4）项）
##### 2.6.1 需要接入网络的硬件及其接入特征
本项目采购并需完成网络连接与适配的硬件分两类。第一类是机房侧设备：通用服务器、三台接入连接器、一台服务器密码机。第二类是现场侧设备：熔池相机十五台、在线高温热成像设备六台、在线热成像设备二十一台，共四十二台（b2150r04、b2150r05、b2150r06）。
两类设备的接入特征差别很大，不能用一套方案覆盖。机房侧设备数量少、位置集中、带宽需求大、要求管理面与业务面分离；现场侧设备数量多、分散在焊接产线与热处理车间、工作环境温度范围宽（熔池相机工作温度 -10℃～60℃，防护等级不低于 IP65，b2150r04）、接口形态多样（千兆以太网或 PoE 供电，部分设备同时具备 RJ45 网口与 RS485 工业通讯接口，b2150r05、b2150r06）。
现场侧设备的部署位置由业务决定：在线高温热成像设备用于热处理加热过程测温与拍照，每台淬火机床配两台，共六台；在线热成像设备用于热处理淬火后温度测量与焊接前温度测量，每台淬火机床两台共六台，焊接前温度测量每个焊接机器人配一台共十五台（b2150r05、b2150r06）；熔池相机十五台布置在焊接工位用于观察电弧、熔池、焊丝与坡口边缘（b2150r04）。因此现场接入点位的确定必须与设备安装点位同步进行，不能先定网络再找位置。
##### 2.6.2 点位勘察、安装接线与调试校准
**点位勘察与接入点位表。** 设备到场前完成一轮现场勘察，逐台确定安装位置、就近可用的接入交换机与端口、供电方式（PoE 或独立供电）、线缆走向与长度、是否需要防护管槽与支架。勘察结果形成《设备接入点位表》，每行一台设备，列明设备编号、安装位置、接入交换机与端口、供电方式、线缆规格与长度、辅材清单、责任方。
这张表是与招标方网络管理部门确认责任分界的依据，也是辅材采购的依据——招标文件要求我方提供全套安装辅材、支架、线缆及配套配件（b2152r03–b2152r06），辅材数量就按此表核定。
| 设备 | 数量 | 接口形态 | 供电方式 | 采集模式 | 带宽测算口径 | 时间同步方式 |
|---|---|---|---|---|---|---|
| 熔池相机 | 15 台 | 千兆以太网 / PoE | PoE 优先，不足则独立供电 | 外触发同步，按工位开工信号启停 | 按分辨率 ≥1280×960、帧频 ≥50 fps 与压缩比估算单台峰值，按同时作业工位上限汇总 | 网络时间同步 + 外触发信号对齐 |
| 在线高温热成像 | 6 台 | RJ45 / RS485 | 独立供电 | 按炉次开炉信号启停 | 按红外分辨率 ≥384×288 全辐射流估算 | 网络时间同步 |
| 在线热成像 | 21 台 | RJ45 / RS485 | 独立供电 | 淬火后与焊接前按节拍触发 | 同上，按触发占空比折算 | 网络时间同步 |
| 通用服务器 | 以招标方供货安排确认的数量为准 | 多网口 | 机房双路市电 | 常时在线 | 按加工链路批量取数与数据集投递峰值估算 | 网络时间同步 |
| 接入连接器 | 3 台 | 多网口 | 双冗余热插拔电源（b2150r03） | 常时在线 | 按对外交付并发与审计日志流量估算 | 网络时间同步 |
| 服务器密码机 | 1 台 | 4 电口 + 4 光口（b2150r02） | 冗余电源 | 常时在线 | 按加解密调用速率与报文大小估算 | 网络时间同步 |
表 2-12 硬件网络接入与带宽测算口径。数据来源：招标文件 3.3.1 硬件采购清单技术参数与数量（b2150r02–b2150r06）、3.2.5（b1212）、3.4（b2154）。通用服务器数量以招标方供货安排为准。
**安装、接线、调试与校准。** 这部分工作由我方驻场人员执行，内容包括支架安装与角度调整、线缆敷设与标识、网口与供电接入、设备上电与参数配置、取流验证、校准与联调。其中校准对两类设备的要求不同：熔池相机需完成窄带滤光或主动近红外照明条件下的成像校准，使电弧、熔池、焊丝、坡口边缘在同屏可辨（b2150r04）；热成像设备需完成发射率、反射温度、大气透过率三项参数补偿设置，并按测温精度要求（±2℃ 或 ±2% 读数取较大值）做校准核验（b2150r05、b2150r06）。校准结果逐台记录，形成《设备安装校准记录》。
##### 2.6.3 感知检测设备的接口规格与取流验证
招标文件要求熔池相机须提供可直接获取带时间戳原始帧的软件开发工具包（b2150r04），在线高温热成像与在线热成像设备须支持通过软件开发工具包读取每个像素的原始温度数据，并支持 ModbusRTU/TCP 等协议输出，具备超温报警输出能力与 RJ45、RS485 等工业通讯接口（b2150r05、b2150r06）。设备侧的接口规格按下表固化，逐台在取流验证时实测取值，未经实测的能力不写入接口台账。
| 规格项 | 熔池相机 | 在线高温热成像 | 在线热成像 |
|---|---|---|---|
| 接口清单 | 取流接口、外触发同步接口、参数配置接口、状态与心跳接口 | 取流接口、逐像素温度读取接口、测温区域配置接口、超温报警输出、状态与心跳接口 | 同左 |
| 字段映射 | 帧序号、帧时间戳、分辨率、曝光与增益参数、工位编号 | 帧时间戳、逐像素温度矩阵、发射率与反射温度与大气透过率参数、测温点线区域读数、炉台编号 | 同左，另含焊前测温工位编号 |
| 调用时序 | 工位开工信号触发采集，按外触发同步取帧，停工信号停止 | 炉次开炉信号触发采集，按炉次时间窗取帧，完工信号停止 | 淬火后与焊接前按生产节拍触发 |
| 鉴权 | 设备接入账号，按设备与工位范围限定 | 同左，按炉台范围限定 | 同左 |
| 限流 | 按采集节点的并发取流路数与本地缓存容量设定 | 同左 | 同左 |
| 幂等 | 幂等键为设备编号＋帧时间戳；重复帧按键去重 | 幂等键为设备编号＋帧时间戳；重复读数保留最后值 | 同左 |
| 失败补偿 | 断网期间本地缓存，恢复后按帧时间戳批量回传，不覆盖已回传帧 | 同左 | 同左 |
| 审计 | 取流记录含设备编号、工位、时间窗、帧数、缺帧数 | 另含炉次号与超温报警次数 | 另含触发次数与占空比 |
| 验证口径 | 实测取到带时间戳原始帧，帧率与分辨率达到技术参数要求 | 实测读到逐像素原始温度数据，测温点线区域数量达到要求 | 同左 |
表 2-13 感知检测设备的接口规格与验证口径。数据来源：招标文件 3.3.1 硬件采购清单技术参数（b2150r04–b2150r06）、3.2.5（b1212）。
取流验证是现场设备数据能否进入数据集加工链路的实际关口：在采集节点上完成工具包集成后，逐台验证能够取到带时间戳的原始帧与逐像素温度数据，验证超温报警输出可被采集节点接收，验证外触发同步在实际生产节拍下不丢帧。验证不通过的设备不计入可用设备清单，整改后复测。验证结论连同实测帧率、缺帧率与对时偏差记入设备台账，与质保起算依据一并移交。
##### 2.6.4 质保与配套服务在集成阶段的落实
招标文件对硬件的质保要求是整机质保期不少于十二个月，服务器密码机须提供安装调试服务，其余四类设备须提供全套安装辅材、支架、线缆及配套配件，并负责现场安装、接线、调试、校准与系统联调（b2152r02–b2152r06）。本项集成工作与质保条款的衔接点有三处：
一是安装记录即质保起算依据。每台设备的安装校准记录含到场日期、安装日期、调试通过日期与序列号，质保期按招标方确认的验收日期起算，记录随设备台账一并移交。
二是辅材清单随点位表核定并一次性交付。辅材不作消耗性补充承诺之外的二次计费，清单与实物在终验时清点。
三是联调责任到设备级。单台设备的联调通过判据是：网络可达、工具包取流正常、时间同步偏差在约定范围、校准参数生效、数据能够进入落地区并通过对账。未通过的设备不计入交付数量，整改后复测。
设备的具体型号、技术参数与质保商务条款由硬件选型与配置一节给出。
#### 2.7 安装适配阶段的约束与配合义务
招标文件 3.1.2.2.1 基本要求规定，涉及的第三方软件必须有原厂授权、无产权纠纷，投标方须提供原厂正版软件授权书与售后服务承诺书（b0746、b0747、b0748）；系统所有功能必须经招标方评审通过后才能上线，评审不通过须及时整改且不影响整体进度（b0749、b0750）。
这两条在安装适配阶段的落实方式是：操作系统、数据库、中间件及平台组件的授权材料在平台安装启动前一次性提交并登记；每一个模块在健康检查通过后进入招标方的功能评审，评审意见以问题清单形式管理，逐条整改、逐条回签，整改期间不占用后续阶段的既有工期，由我方自行加派人力消化。
招标文件另规定，在招标方进行服务器操作系统、数据库管理系统替换时，投标方须无条件配合完成系统迁移和数据切换，招标方不再支付相关费用（b2191）。本方案为此在安装阶段即做两项准备：一是部署过程全部脚本化与参数化，操作系统与数据库的版本、路径、连接串等环境相关项集中在配置文件中，不散落在代码里；二是数据库访问层与具体数据库产品解耦，不使用无法移植的专有特性。这两项准备使后续迁移的工作量集中在环境适配与数据搬迁，而不是改造应用。
#### 2.8 集成实施步骤与进度安排
建设周期为合同正式签署后至 2028 年 5 月（b2155、b2156）。
##### 2.8.1 四个阶段与进入退出判据
集成工作按四个阶段推进。每个阶段设进入判据与退出判据，退出判据未满足不进入下一阶段，这与招标文件「阶段验收要求：甲方确认无误后方可进入下一阶段」的规定一致（b2116）。
**第一阶段：现场勘察与接口确认。** 内容包括十七套系统的现状勘察、通道类型判定、前置条件申请、接口契约编写与评审、现场设备接入点位勘察、网段规划建议提交。进入判据是项目启动会完成、双方接口人确认。退出判据有四项：《集成前置条件申请清单》已提交且招标方已逐项反馈到位时间；十七套系统的《接口契约》已评审通过（契约中允许存在待定项，但待定项须有明确的定稿时限）；《设备接入点位表》已双方签字；网段规划建议已提交招标方。
本阶段最关键的不是写文档，而是把「哪些系统的接口文档拿不到」这件事在最早的时间点暴露出来。本方案的做法是在勘察阶段对每一套系统做一次连通性预演：即使接口文档未到位，也先申请一个最小权限账号做一次手工连通测试，确认网络可达、账号可用、数据可见。预演结果形成红黄绿三色清单，红色项立即升级到双方项目负责人，不等到开发阶段才发现连不上。
**第二阶段：平台安装适配与单系统连通。** 内容包括通用服务器与接入连接器上的平台安装适配（2.3、2.4）、密码机安装与国密调试（2.5）、现场硬件安装与网络接入（2.6）、主数据管理平台接入与对象标识映射建立、其余十六套系统逐套点对点连通。进入判据是第一阶段退出判据满足、硬件到场。退出判据是：平台各模块健康检查通过并经招标方功能评审（b0749）；国密调试验收单各项通过；四十二台现场设备逐台联调通过；十七套系统各自至少一个接口完成端到端取数并通过对账。
本阶段的排期受两个硬约束控制。一是低峰窗口：首次全量取数只能在零点至五点的窗口内进行（b0814 等十六处），按每窗口五小时计，十七套系统不可能并发压上，必须排队。二是主数据优先：主数据管理平台的接入与对象标识映射须先于其他系统的大批量取数完成，否则落地数据无法归一。
本方案据此把本阶段细分为四个批次：第一批为主数据管理平台与 EAM（编码与设备基准）；第二批为 PLM、MES、QMS（工艺与制造主线）；第三批为 ERP、SCM、WMS、LMS、CRM、久其系统（经营与供应链）；第四批为 SCADA、EMS、热处理群控、SOS、OA、安全监管平台（时序与文档）。批次之间允许重叠，但每批的首次全量取数窗口不重叠。
**第三阶段：批量接入与集成联调。** 内容包括各系统全量与增量取数的常态化运行、对象标识映射的扩展与核对、时间基准对齐验证、加解密策略的全链路验证、运营服务管理平台的对外交付通道联调、与国家数据基础设施对接接口的自测（b1206）。进入判据是第二阶段退出判据满足。退出判据是：十七套系统的全部接口按契约投入运行且连续七日对账通过；施工号串联核对达到约定基线；时间对齐误差在约定范围；加解密往返测试与性能叠加测试通过；交付通道完成一次完整的数据集交付演练。
**第四阶段：试运行与终验支撑。** 内容包括集成链路的稳定性观察、问题项整改闭环、交付文档定稿、集成类交付物移交、终验材料准备。进入判据是第三阶段退出判据满足。退出判据是《软件试运行确认单》与《硬件安装调试完成确认单》经招标方签字（b0530），所有问题项整改验收合格（b0536），终验收报告中与集成相关的内容经双方确认（b0532）。
##### 图 2-2 集成实施四阶段与关键里程碑
图 2-2 集成实施四阶段与关键里程碑。数据来源：招标文件第 4 章项目建设周期（b2155、b2156）、3.2.2.1 各子条低峰时段要求（b0814 等）、评分表项目实施计划要求（b0496r05）、阶段验收要求（b2116）、第四章付款条件（b0530）。
##### 2.8.2 阶段交付物
阶段验收要判定的是「这个阶段是否已经完成」，判定依据不能是工作汇报，只能是交得出手、可被签收的实物。表 2-14 因此把 2.8.1 四个阶段的退出判据逐条折算为交付物：退出判据说《接口契约》已评审通过，对应的便是第一阶段那一行的接口契约及其附带的字段映射表、增量方式与对账规则。
清单的构成有三类来由。挂在付款与验收节点上的，取自第四章付款条件（b0528、b0530、b0532、b0536）与阶段验收要求（b2116），如第四阶段的两份确认单与问题项整改闭环记录；证明某项技术工作确已完成的，来自本阶段各条的工作内容，如国密调试验收单、设备安装校准记录、逐系统连通测试记录；为招标方日后自主运维与二次开发留底的，取自开放性要求（b0752–b0755），即接口台账与集成运维手册。
读表时，「接收与确认」一列最值得留意：写「签字」的挂在阶段退出或付款节点上，缺一件该阶段即不得退出；写「确认」的是过程件，用于留证与追溯。「形式」一列标为「文档 + 平台」的接口台账是其中唯一一件既在平台内可维护、又须出具加盖公章导出版本的交付物，因为它同时承担运行态查询与合同态证明两重用途。
交付节奏按三段式把握：首期基线为每一阶段的交付物在该阶段退出评审前提交、签字件逐件取得；趋向为交付物随工作完成即入库登记，阶段末只做汇总核对而非集中补写；因招标方侧前置条件未到位而确实无法完成的交付物，不以形式件替代，在阶段退出评审中单列并约定补交时限，未满足退出判据的事项不带入下一阶段。
| 阶段 | 交付物 | 形式 | 接收与确认 |
|---|---|---|---|
| 一 | 集成现状勘察报告（含十七套系统连通性预演红黄绿清单） | 文档 | 双方项目负责人确认 |
| 一 | 集成前置条件申请清单 | 文档 | 招标方逐项反馈到位时间 |
| 一 | 十七套系统接口契约（含字段映射表、增量方式、对账规则） | 文档 | 双方技术负责人评审签署 |
| 一 | 设备接入点位表 | 文档 | 双方现场负责人签字 |
| 一 | 网段与地址规划建议 | 文档 | 招标方网络管理部门确认 |
| 一 | 平台部署基线要求 | 文档 | 招标方确认 |
| 二 | 安装适配方案确认单 | 文档 | 双方签字 |
| 二 | 操作系统 / 数据库 / 中间件 / 平台安装记录 | 文档 | 招标方确认 |
| 二 | 国产化栈适配报告（版本矩阵 + 性能基线） | 文档 | 招标方确认 |
| 二 | 密码机安装与接口连通记录 | 文档 | 招标方确认 |
| 二 | 算法符合性测试记录 | 文档 | 招标方确认 |
| 二 | 国密调试验收单 | 文档 | 招标方签字 |
| 二 | 设备安装校准记录（逐台） | 文档 | 招标方现场确认 |
| 二 | 单系统连通测试记录（逐系统） | 文档 | 双方技术负责人确认 |
| 三 | 集成联调报告（含对账结果、施工号串联核对、时间对齐验证） | 文档 | 招标方确认 |
| 三 | 加解密全链路验证报告（含性能叠加测试） | 文档 | 招标方确认 |
| 三 | 对外交付通道演练记录 | 文档 | 招标方确认 |
| 三 | 国家数据基础设施对接接口自测报告 | 文档 | 招标方确认 |
| 四 | 接口台账（平台内可维护 + 加盖公章的导出版本） | 文档 + 平台 | 招标方接收 |
| 四 | 集成运维手册与二次开发说明 | 文档 | 招标方接收（b0752、b0753） |
| 四 | 硬件安装调试完成确认单 · 软件试运行确认单 | 文档 | 招标方签字（b0530） |
| 四 | 问题项整改闭环记录 | 文档 | 招标方确认（b0536） |
表 2-14 集成工作各阶段交付物。数据来源：招标文件 3.1.2.2.2 开放性要求（b0752–b0755）、第四章付款条件（b0528、b0530、b0532、b0536）、第五章阶段验收要求（b2116）。
##### 2.8.3 现场驻场与窗口管理
集成工作中必须在现场完成的内容有三类：硬件安装接线与校准、设备侧工具包取流验证、涉及源系统的首次连通与排障。服务地点为宁夏石嘴山市大武口区金工路 1 号（b0108r07），现场作业按招标方的厂区管理规定执行。
本方案对现场工作的组织安排有三点约定。第一，驻场人员的作业内容按《驻场作业计划》逐周提报，经招标方确认后实施，避免临时进场影响生产。第二，涉及生产设备的作业（如焊接工位相机安装、热处理炉台测温设备安装）安排在设备计划停机窗口内，由招标方生产管理部门排定，我方配合；不具备停机窗口的工位按先易后难顺序推进，不强求同步完成。第三，低峰窗口内的取数作业采用远程方式执行、现场留值班联络人的方式，减少夜间现场作业量，但首次连通与异常排障仍安排现场在位。
##### 2.8.4 接口变更与冻结
接口在项目期内会变。源系统升级、字段含义调整、测点增减都会影响已建成的接口。本方案的变更管理口径如下：
接口契约一经双方签署即进入受控状态，任何一方发起变更都走书面变更流程，内容包括变更原因、影响范围（受影响接口与下游数据集）、实施方案与回归验证计划。接口台账记录每一次变更的版本号与生效日期，落地区的批次记录其使用的接口版本，使变更前后的数据可区分。
在第四阶段试运行开始前两周设接口冻结期，冻结期内不接受非阻塞性变更，阻塞性变更经双方项目负责人共同批准后实施并重做回归验证。设冻结期的目的是让试运行观察到的是一个稳定状态的集成链路，而不是一边改一边观察。
#### 2.9 数据迁移、切换、备份与回滚
集成阶段的数据搬运分两类：一类是源系统历史数据的首次全量迁移与其后的持续增量，另一类是平台自身在版本更替或环境替换时的数据切换。两类都在招标方的生产环境边缘作业，本节把迁移、对账、切换、冻结、备份、回滚与恢复后重放逐项写明，并划定生产环境保护与授权的边界。
##### 2.9.1 全量迁移与增量迁移
全量迁移只在首次接入时执行一次，安排在招标方提供的业务低峰时段内（十六处子条统一举例为零点至五点，b0814 等），每个窗口按五小时计。全量作业按主键区间或时间区间分片，每片独立提交并独立记录水位，窗口结束时未完成的片不回滚已完成的片，下一窗口从断点续做。单片的体量按首次实测速率倒推确定，使单片在窗口内必定完成。
增量迁移在全量完成后转入常态化运行，按三档方式之一执行：源系统有时间戳或变更序号的用增量水位；无变更标识但有主键的用主键区间轮转比对；两者都没有的按低峰窗口做全量快照并与上一快照做差分。选择第三档的接口在契约中同时写明全量快照的体量与所需窗口时长。增量作业的调度窗口、并发连接数上限与单批行数上限在接口台账中逐接口取值，避免对源系统造成额外负载。
文件类资产的迁移按指纹先行：先扫描目录生成清单并计算摘要，与落地区已有摘要比对，相同摘要只追加引用记录不重复搬迁；再按批搬迁并在搬迁后重算摘要与源侧比对。历史图纸与工艺卡在不同目录下存在同一文件多副本的情形，按摘要去重可显著减少搬迁量与存储量。
##### 2.9.2 一致性对账
每一个迁移批次执行三类对账中至少两类并约定容差：行数对账比对批次行数与源侧统计；主键对账比对主键集合的差集；校验和对账比对关键字段的聚合值。文件批次另做摘要一致性对账，时序批次另做点数与理论值的缺点率对账。对账不通过的批次不进入加工链路，自动转入待处理队列并通知责任角色。
对账不以「差异率低于某值即通过」为唯一判据：差异必须能够逐条解释，解释不通的差异按缺陷管理流程处理。跨系统的重叠数据域（采购域与库存域）不在迁移阶段抹平差异，两侧都取，差异在落地区显式计算并保留，由双方业务部门裁定权威来源。
| 对账类别 | 适用批次 | 比对口径 | 容差 | 不通过时的处置 |
|---|---|---|---|---|
| 行数对账 | 结构化批次 | 落地行数与源侧同条件统计 | 按接口在契约中取值 | 定位缺失区间并定向补取 |
| 主键对账 | 结构化批次 | 主键集合差集 | 差集为空或可逐条解释 | 逐条排查后补取或登记 |
| 校验和对账 | 含金额、数量、工时等关键字段的批次 | 关键字段聚合值 | 按接口在契约中取值 | 排查类型精度与口径差异 |
| 摘要对账 | 文件批次 | 搬迁前后文件摘要 | 必须完全一致 | 重传该文件 |
| 缺点率对账 | 时序批次 | 实到点数与采样周期乘测点数的理论值 | 按测点在基线中取值 | 定向补取，补不到的标记区间不可用 |
| 串联对账 | 业务链批次 | 施工号、作业时段、炉次三类链条的串连通过率 | 按 1.12 的基线取值 | 补充映射规则，不强行归属 |
表 2-15 迁移批次的一致性对账口径。数据来源：招标文件 3.2.2.1 各子条（b0808–b0908）、3.1.2.2.4 可靠性要求（b0764–b0769）。
##### 2.9.3 切换窗口与冻结
涉及平台自身的数据切换（版本更替、环境替换、数据库迁移）按窗口作业，窗口在双方项目周例会上提前两周排定并书面确认。窗口内的作业顺序固定为：停止新批次调度、等待在途批次完成、做切换前备份、执行切换、做切换后校验、恢复调度。窗口时长按演练实测时长的一点五倍预留，超出窗口的按回滚处理而不是延长窗口。
冻结期有两处。一处是接口冻结：在第四阶段试运行开始前两周设接口冻结期，冻结期内不接受非阻塞性变更，阻塞性变更经双方项目负责人共同批准后实施并重做回归验证。另一处是切换冻结：切换窗口开始前二十四小时起，相关单元的配置项与版本冻结，不接受任何变更，使切换面对的是一个确定的状态。
##### 2.9.4 备份、回滚触发与回退操作
备份在切换之前完成并验证可恢复，不以「有备份文件」为完成标志。回滚的触发条件在窗口开始前写定并经双方确认，触发即执行，不在窗口内临时讨论是否回滚。
| 环节 | 备份内容 | 回滚触发条件 | 回退操作 | 回退后验证 | 责任与确认 |
|---|---|---|---|---|---|
| 数据库版本或实例切换 | 全量备份＋归档日志，恢复演练通过 | 切换后校验未通过，或窗口时长超出预留上限 | 停止应用、按备份恢复实例、校验一致性、回切连接配置 | 核心表行数与校验和与切换前一致 | 我方执行，招标方数据库责任人确认 |
| 平台版本发布 | 上一稳定版本镜像与配置快照 | 模块健康检查不通过，或关键业务用例失败 | 按镜像摘要回滚到上一稳定版本，配置同步回退 | 全部模块健康检查通过并重跑关键用例 | 我方执行并留记录 |
| 接口契约变更 | 变更前的契约版本与映射表 | 回归验证未通过，或下游数据集受影响面不可控 | 接口版本回退，受影响批次标记并按原版本重取 | 对账通过且血缘可区分版本 | 双方技术负责人共同确认 |
| 操作系统或数据库替换 | 部署脚本、参数化配置、数据全量备份 | 迁移后数据校验不通过 | 按脚本在原环境重建并恢复数据 | 数据校验与性能基线复测通过 | 按招标文件配合义务执行（b2191、b0603） |
| 现场设备配置变更 | 设备参数与校准值快照 | 取流验证不通过或测温偏差超限 | 恢复快照参数并重做校准 | 取流与对时验证通过 | 我方驻场执行，现场负责人签字 |
表 2-16 备份、回滚触发条件与回退操作。数据来源：招标文件 3.1.2.2.4 可靠性要求（b0764–b0769）、3.1.2.2.1 上线评审要求（b0749、b0750）、第五章配合义务条款（b2191）、第四章配合义务条款（b0603）。
##### 2.9.5 恢复后重放
回退或故障恢复之后，中断期间的数据不靠人工补录，按两条路径自动重放。一条是水位重放：按接口的最后已确认水位重新取数，水位之后的批次按幂等键重做，落地结果以幂等键去重，不重复不丢失。另一条是队列重放：中断期间入队的批量加密任务、数据集投递任务与审计采集任务在服务恢复后按入队顺序自动续跑，续跑结果与中断前已完成部分按幂等键合并。
现场设备在断网期间由采集节点本地缓存原始帧与温度序列，恢复后按帧时间戳批量回传，已回传的帧不被覆盖。重放完成后重做一次对账，对账通过方视为恢复完成；对账不通过的区间标记为不可用并登记，不以插值或估算填补。
##### 2.9.6 生产环境保护与授权边界
在招标方生产环境内作业遵守三条边界。第一条是只读：对既有业务系统的取数一律使用只读账号并限定可访问对象清单，不改动源系统的业务逻辑、不回写业务数据、不替换任何一套既有系统；确需回写的工艺与定额建议属于场景验证阶段事项，由招标方逐次书面确认后以独立接口实现，不与本期取数通道混用。
第二条是不加负载：首次全量与大批量文件搬迁只在招标方提供的低峰窗口内进行，日常增量设并发连接数与单批行数上限，联调期间实测源系统的负载增量并与招标方运维方共同确认在约定范围内；超出的立即下调并发与批量，不以「只影响一次」为由继续执行。
第三条是授权在先：任何一次进入生产环境的作业都有对应的书面授权——只读账号的开立、网络策略的放通、文件目录的授权、停机窗口的排定，均由招标方相应责任部门审批后执行，审批单号记入《集成前置条件申请清单》与作业记录。涉及生产设备的现场作业按《驻场作业计划》逐周提报并经招标方确认，安排在设备计划停机窗口内，不临时进场。
#### 2.10 集成测试与验收
##### 2.10.1 四级测试
集成的测试不是一次总联调，而是四级逐层推进。分级的意义在于把问题定位在尽可能小的范围内：连通性问题不必动用业务人员，业务一致性问题不必怀疑网络。
**第一级 连通性测试。** 对象是每一条物理通道。内容包括网络可达、端口开放、账号可登录、基础查询可执行、文件目录可列出、时序接口可返回数据。判据是全部通道一次性测试通过，失败的通道定位到网络、账号、策略三类原因之一并闭环。这一级的测试脚本化并纳入日常巡检，每日自动执行一次，结果进监控面板。
**第二级 接口契约测试。** 对象是每一个逻辑接口。内容包括字段是否齐全、类型是否匹配、空值与异常值是否按约定处理、增量水位是否按约定推进、限流是否生效、重试是否幂等。判据是逐接口的契约测试用例全部通过。这一级的关键用例有三个容易被漏掉：水位倒退（源系统数据被回溯修改时水位是否能正确处理）、重复投递（同一批次重复执行是否产生重复数据）、长字段与特殊字符（中文、全角符号、换行符在跨系统传输中是否失真）。本方案把这三类用例列为必测。
**第三级 数据一致性测试。** 对象是每一个接口的落地结果。内容是行数对账、主键对账、关键字段校验和对账三类规则的执行，以及与源系统报表或业务人员查询结果的抽样核对。判据是对账在约定容差内通过，抽样核对的差异能够逐条解释。本方案不以「差异率低于某值即通过」作为唯一判据，而要求差异必须可解释——不可解释的差异无论比例多低都视为不通过，因为它意味着对数据含义的理解存在偏差。
**第四级 端到端业务测试。** 对象是跨系统的业务链条。内容是以业务对象为起点验证全链路：任选一个施工号，验证能够串出图纸、工艺卡、工单、报工、检验记录、物料批次、热处理炉次；任选一个焊接工位的一个作业时段，验证能够串出工单工序、焊接参数流、熔池图像帧、焊前测温数据；任选一个炉次，验证能够串出炉次工单、温度曲线、热成像数据、检验结论。判据由招标方业务人员参与确认，首批样本量按第 3.4 节约定（施工号不少于十个），其余两类各不少于十个样本。
##### 图 2-3 四级测试门控与回退路径
图 2-3 四级测试门控与回退路径。数据来源：招标文件第四章验收标准与测试要求（b0540、b0544–b0547）、付款条件（b0530、b0532、b0536）、第五章阶段验收要求（b2116）、3.1.2.2.1 功能评审要求（b0749、b0750）。
##### 2.10.2 集成类测试用例与判据
集成测试要回答的是「测到什么程度才算测过」。表 2-17 列出的二十类用例不是穷举，而是沿集成链路上实际会出问题的环节反推得来：通道是否通、契约字段是否齐、取数口径是否对、落地结果是否可对账，文件与时序两类数据形态各自特有的完整性问题，加解密与降级两类涉密链路问题，以及单向性与交付通道两条合规项。
判据的取值分两类。可以一次定死的就写死：解密结果与原文一致、文件摘要一致、主键差集为空或可解释、反向不存在可写路径（b0907）、平台响应仍在 b0781、b0784–b0786 指标之内。不能一次定死的则不在此处一刀切，而在各接口契约中逐接口约定——行数与校验和对账的容差、时序缺点率基线、对象串联通过率基线均属此类，因为源系统的数据质量与采集条件各不相同，统一阈值要么宽到失去判别力，要么严到无一接口可过。
读表时，「用例要点」一列是动作，「通过判据」一列是判定，末列是缺陷归因后的处置方向。三组行值得重点看：行数、主键、校验和与文件完整性四行是数据可信与否的底，不过这四行，其后的加工与评测都失去依据；时间对齐与对象串联两行决定多源数据能否拼成一条链，直接关系到多模态数据集的可用性；性能叠加与降级恢复两行把 2.5 的国密调试结论放到真实负载下再验一次。
测试结论按三段式把握：首期基线为全部用例在第三阶段执行一轮并逐条留证、阻塞级缺陷清零；趋向为接口冻结后再回归一轮，且连续七日对账落在约定容差之内；对账持续超差或串联通过率低于约定基线的接口，暂不扩大其取数范围，先补映射规则与前置条件，并在相应数据集的数据卡中如实记录覆盖范围。
| 测试类别 | 用例要点 | 通过判据 | 不通过时的处理 |
|---|---|---|---|
| 通道连通 | 网络可达、端口、账号、基础查询 | 全部通道通过且纳入每日巡检 | 按网络/账号/策略三类定位并闭环 |
| 字段完整性 | 契约字段逐项存在、类型匹配 | 无缺字段、类型无隐式转换 | 更新契约或请源系统补字段 |
| 空值与异常值 | 空值含义、越界值、非法编码 | 按契约约定落地，不静默丢弃 | 补齐处理分支 |
| 增量水位 | 正常推进、水位倒退、源数据回溯修改 | 不漏不重，回溯数据可被重新取回 | 改为快照差分或缩短增量周期 |
| 幂等与重投 | 同批次重复执行 | 落地结果一致，无重复数据 | 补齐幂等键与去重逻辑 |
| 特殊字符 | 中文、全角符号、换行、超长字段 | 落地值与源值完全一致 | 统一字符集与截断策略 |
| 限流与负载 | 并发连接上限、单批行数上限 | 源系统负载增量在约定范围内 | 下调并发与批量 |
| 行数对账 | 批次行数与源侧统计比对 | 在约定容差内 | 定位缺失批次并补取 |
| 主键对账 | 主键集合差集 | 差集为空或可解释 | 逐条排查 |
| 校验和对账 | 关键字段聚合值比对 | 在约定容差内 | 排查类型精度与口径 |
| 文件完整性 | 搬迁前后 SM3 摘要 | 摘要一致 | 重传该批 |
| 文件可读性 | PDF 文本可提取性、DWG/DXF 图元可读 | 结论写入元信息，不可读项有替代路径 | 转图像识别或请源侧提供可读副本 |
| 时序完整性 | 点数与理论值、缺点区间、重复点 | 缺点率在基线内且缺点区间已记录 | 补取或标记该区间不可用 |
| 时间对齐 | 以已知时点人工标记事件验证 | 误差不超过两个采样周期 | 重新对时并校正历史数据 |
| 对象串联 | 施工号 / 作业时段 / 炉次三类链条 | 串连通过率达到约定基线，缺口逐条登记 | 补充映射规则，不强行归属 |
| 加解密往返 | 三类加解密对象逐类往返 | 解密结果与原文一致 | 排查密钥标识与算法参数 |
| 性能叠加 | 加解密与平台真实负载同时运行 | 平台响应仍在 b0781、b0784–b0786 指标内 | 按 2.5.1 第三组顺序调整策略 |
| 降级与恢复 | 密码机不可用、连接器故障、设备断网 | 按约定降级，恢复后自动续跑无重复无丢失 | 完善降级分支与断点逻辑 |
| 单向性 | 安全监管平台反向连通性 | 不存在可写路径 | 暂停取数直至策略整改完成 |
| 交付通道 | 完整数据集交付演练 | 交付包可被接收方解密、审计记录完整 | 排查密钥封装与审计落点 |
表 2-17 集成类测试用例与判据。数据来源：招标文件 3.1.2.2.3 安全性要求（b0760–b0762）、3.1.2.2.4 可靠性要求（b0764–b0769）、3.1.2.2.5/3.1.2.2.6 性能要求（b0781、b0784–b0786）、3.1.2.3（b0795–b0798）、3.2.2.1.17（b0907）、3.2.5（b1209–b1212）。
##### 2.10.3 异常场景专项测试
正常路径跑通只证明接口可用，不证明集成可靠。本方案对八类异常场景逐类设计用例，每一条用例写明前置条件、执行步骤、预期结果、留存证据与缺陷复测要求。用例在第三阶段执行一轮，接口冻结后在第四阶段试运行前重做一轮回归。
| 场景 | 前置条件 | 执行步骤 | 预期结果 | 留存证据 | 缺陷复测 |
|---|---|---|---|---|---|
| 正常路径 | 通道、账号、字典齐备，水位已初始化 | 按调度窗口执行一次完整增量作业 | 落地行数与对账结论一致，水位正确推进 | 批次记录、对账报告、水位变更记录 | 不涉及 |
| 数据异常 | 构造空值、越界值、非法编码、超长字段与全角符号样本 | 将样本置入测试通道后执行作业 | 按契约约定落地或隔离，不静默丢弃，落地值与源值完全一致 | 隔离样本留档、落地值与源值比对记录 | 补齐处理分支后重跑该用例与对账用例 |
| 断网 | 通道运行中，具备网络策略临时阻断手段 | 作业执行中阻断链路，持续超过一个重试周期后恢复 | 作业按水位回退至上一确认位点，恢复后自动续跑，现场设备本地缓存后回传 | 告警记录、续跑日志、缓存回传记录 | 补齐断点逻辑后重跑断网与重放用例 |
| 重复投递 | 已完成一个批次 | 对同一批次重复执行两次 | 落地结果一致，无重复数据，幂等键生效 | 两次执行的落地行数与主键差集 | 补齐幂等键与去重逻辑后重跑 |
| 超时 | 可调整查询或传输超时阈值 | 将单批量调至触发超时，再按补偿口径缩小批量重试 | 超时被捕获并告警，缩小批量后成功，无部分落地残留 | 超时告警、重试记录、残留检查结论 | 调整批量与超时参数后重跑 |
| 权限不足 | 具备可降级权限的测试账号 | 以缺少对象权限的账号执行作业 | 返回鉴权类错误码，不重试，立即告警并暂停该接口 | 错误码记录、告警记录、暂停操作记录 | 凭据更新后重跑连通与契约用例 |
| 证书失效 | 具备可设定短有效期的测试证书 | 使服务端或客户端证书过期后发起调用 | 调用被拒绝并告警，不降级为明文传输，更换证书后恢复 | 拒绝记录、告警记录、证书更换记录 | 更换证书后重做连通与加解密往返用例 |
| 版本不兼容 | 具备上一版本的接口库或平台组件 | 以不匹配的接口库版本或平台版本发起调用 | 版本校验拦截并提示，不产生半成功状态 | 版本校验日志、拦截记录 | 按版本矩阵校正后重跑模块健康检查与关键用例 |
表 2-18 异常场景专项测试用例。数据来源：招标文件 3.1.2.2.3 安全性要求（b0760–b0762）、3.1.2.2.4 可靠性要求（b0764–b0769）、3.1.2.3（b0795–b0798）、3.2.5（b1209–b1212）、招标文件第四章验收标准与测试要求（b0540、b0544–b0547）。
缺陷按阻塞、重要、一般三级登记，每一条缺陷记录其触发用例、复现步骤、根因、修复方案、复测用例与复测结论。复测范围按变更影响面确定：修改通道执行逻辑的重跑连通与契约两级用例；修改落地或对账逻辑的重跑一致性用例并重做受影响批次的对账；修改加解密或证书配置的重跑加解密往返与性能叠加用例。影响到下游数据集的，同时评估是否需要重新加工相应批次，评估结论记入接口台账。
##### 2.10.4 验收组织与问题项闭环
招标文件规定，乙方按合同及附件要求完成建设后，系统所有功能上线试运行无问题后方可申请终验收；验收不合格应继续完善直至合格；验收前须按甲方提出的整改要求完成优化改进，整改费用由乙方承担，未按要求整改的不予验收（b0545、b0547）。据此，本方案的验收组织安排如下：
集成工作的验收分阶段验收与终验支撑两层。阶段验收按 2.8 的阶段退出判据组织，每阶段提交该阶段交付物并由招标方确认（b2116）。终验支撑指配合项目整体终验，提供集成相关的全部记录与报告。
问题项按阻塞、重要、一般三级管理。阻塞项指导致接口不可用或数据不可信的问题，发现后立即停止该接口的取数并进入整改；重要项指影响数据完整性或可解释性但不影响链路运行的问题，限期整改；一般项指文档、告警配置、操作便利性一类问题，纳入试运行期整改。阶段验收的门控是阻塞项清零、重要项整改完成；一般项允许带入下一阶段但须有明确时限。
整改采取「原因定位—方案确认—实施—复测—回签」五步闭环，每一步留记录。复测范围按变更影响面确定，影响到下游数据集的，同时评估是否需要重新加工相应批次，评估结论记入接口台账。
##### 2.10.5 集成交付文档清单
招标文件 3.1.2.2.2 开放性要求规定须提供二次开发手册、数据结构、数据模型和数据字典，并免费提供二次开发技术指导服务，还须提供完整的用户手册和在线帮助文档，包括常见问题解答、最佳实践和开发指南（b0752、b0753、b0754、b0755）。集成侧对应的交付文档如下，其中前三项是招标方后续自行维护与扩展集成的直接依据：
接口台账与接口契约汇编，含十七套系统的全部接口定义、字段映射表、增量方式、对账规则与变更历史；集成运维手册，含通道监控、告警处置、常见故障排查步骤、水位修正与批次重跑操作；二次开发说明，含对象标识映射的扩展方法、新增源系统的接入步骤、密码服务层的调用示例与接口文档；国产化栈适配报告；国密调试记录与验收单；设备安装校准记录与接入点位表；集成联调报告与端到端业务测试记录；加解密全链路验证报告；国家数据基础设施对接接口自测报告；集成类问题项台账与整改闭环记录。
全部文档为中文版（b0745），电子版与加盖公章的纸质版各一套，电子版同步在平台内可检索。
#### 2.11 集成风险与应对
集成是本项目与招标方既有环境耦合最深的环节，风险主要来自前置条件与现场条件，而不是技术方案本身。以下逐项列明风险点、判断依据、我方应对与回退口径。风险等级按对工期与数据集规模的影响程度划分。
**源系统接口开放的配合程度。** 本项目需要对接十七套系统，这些系统由不同时期建成，其运维与技术支持的责任主体不尽相同。接口开放涉及源系统侧的配置、测试与可能的接口开发，配合不到位会直接造成取数延期。
我方的应对分三层：第一层是在第一阶段做连通性预演，把配合问题在最早时点暴露（见 2.8.1）；第二层是对每一套系统准备两条可行通道（见 1.10.1 与表 1-2），一条不通走另一条；第三层是把前置条件到位情况纳入双方项目周例会的固定议题，逾期未到位的由双方项目负责人升级处理。回退口径是：某套系统在约定时限内确实无法开通接口时，由双方按 b0801 的流程确认该系统的数据以何种替代方式进入（如由招标方按周期导出文件交付），并评估对相关数据集规模的影响，评估结论书面记录。
**接口文档与数据字典的完备程度。** 招标文件对 CRM、ERP、SCM 三套系统明确要求提供数据字典或数据库设计说明书（b0815、b0822、b0829），其余系统未明确。字典缺失时只能靠样例反推字段含义，反推结果存在误解风险，且这种误解会一路传导到数据集的口径上。
我方的应对是：字典缺失的接口在台账中标注「样例反推」，该标注随数据血缘保留；反推结果须经招标方业务部门抽样确认后方可用于数据集构建；未经确认的字段不进入对外发布的数据集。这一安排的代价是部分字段的启用会延后，收益是数据集的口径有据可查。
**业务低峰窗口的实际可用时长。** 招标文件在十六处举例低峰时段为零点至五点（b0814 等），实际可用时长受招标方生产排班影响，连续生产的车间可能没有真正的低峰。我方的应对是把首次全量取数的批量设计成可中断、可续传的形式：按主键区间或时间区间分片，每片独立提交，窗口结束时未完成的片次下一窗口续做，不要求一个窗口内完成一套系统。同时在第一阶段即实测各系统的单位时间取数速率，据此倒推所需窗口数并纳入排期，避免在实施期才发现窗口不够。
**现场设备联网范围与采集能力。** 现场情况是设备联网仅覆盖部分车间的部分设备，实时数据采集能力不足。这对制造过程数据集的规模有直接影响。我方的应对是在第一阶段完成一次采集范围勘察，形成现有可取测点清单与需扩展测点清单，按场景优先级排出扩展顺序，首期以试点炉型、试点产线与试点车间所需设备为准。扩展涉及的设备侧改造不在本项目集成范围内，由双方另行商定。回退口径是：首期采集范围内可得的测点数据构成数据集的实际基础，数据集的数据卡中如实记录覆盖范围，不以推算值替代实测值。
**服务器密码机的单点问题。** 本项目采购密码机一台（b2150r02），设备级冗余需第二台设备。我方已在 2.5.1 第四组给出三档降级与多设备接入位预留的处理，把单点故障的影响限制在批量任务延迟与实时解密受限，并在交付文档中写明该限制与补强建议。该项风险的最终处置取决于招标方是否增配设备，我方在方案中不以单台设备承诺设备级高可用。
**通用服务器的配置与到场时间。** 本项目须完成通用服务器上数据集加工生产平台的安装与适配（b1209）。服务器的供货归属与配置以招标方最终确认为准（见 2.1）。配置低于部署基线时，加工链路的并发处理能力会受限。我方的应对是在《平台部署基线要求》中给出分档配置建议与各档对应的处理能力口径，使配置与能力的对应关系在安装前即明确；实际配置确定后重做一次容量核算，核算结论书面确认。
**源系统之间的数据冲突。** ERP 与 SCM 在采购域、ERP 与 WMS 在库存域都存在数据重叠，重叠处的数值不一致是常态。我方的口径已在 1.11.3 与 1.11.5 给出：不在集成阶段抹平差异，由双方业务部门裁定权威来源，差异本身保留并作为供需计划场景的输入。这一处理避免了集成阶段的技术选择替代业务判断。
**时间对齐失败对焊接与热处理数据集的影响。** 焊接参数与工件焊道的归属解析、热处理炉次与温度曲线的切分都依赖时间对齐。对齐失败会使这两类数据集的样本无法形成有效配对。我方的应对已在 1.7 与 1.11.12、1.11.16 给出：初期基线按可实现水平设定（焊道归属正确率不低于 80%），未能归属的数据保留为无归属子集，不强行归属也不丢弃；随信号接入与规则完善逐步接近业务可用水平。
**操作系统与数据库替换的配合义务。** 招标文件规定招标方替换服务器操作系统或数据库管理系统时，我方须无条件配合完成迁移和数据切换且不再支付费用（b2191、b0603）。我方已在 2.7 给出两项前置准备（部署脚本化参数化、数据库访问层解耦），使该义务的实际工作量可控。
| 风险 | 影响 | 等级 | 应对 | 回退口径 |
|---|---|---|---|---|
| 源系统接口开放配合不到位 | 取数延期、数据集规模受限 | 高 | 连通性预演、双通道准备、周例会升级 | 按 b0801 确认替代交付方式并评估规模影响 |
| 接口文档与数据字典缺失 | 字段含义误解、口径不可追溯 | 高 | 样例反推 + 业务确认 + 血缘标注 | 未确认字段不进入对外数据集 |
| 低峰窗口实际时长不足 | 首次全量取数延期 | 中 | 分片可中断可续传、实测速率倒推窗口数 | 延长批次数，不压缩校验环节 |
| 现场设备联网范围有限 | 制造过程数据集覆盖受限 | 中 | 勘察形成可取与待扩展测点清单、按场景排序 | 数据卡如实记录覆盖范围 |
| 密码机单点 | 批量加密延迟、实时解密受限 | 中 | 三档降级 + 多设备接入位预留 | 文档写明限制与补强建议 |
| 通用服务器配置或到场不确定 | 并发处理能力受限、安装延期 | 中 | 部署基线分档 + 实配后重做容量核算 | 按实配能力调整并发与排期 |
| 源系统间数据冲突 | 落地数据不一致 | 中 | 业务部门裁定权威来源、差异保留 | 不由技术侧取舍 |
| 时间对齐失败 | 焊接与热处理样本无法配对 | 中 | 统一时间源、触发信号对齐、归属解析基线 | 无归属子集独立保留 |
| 操作系统或数据库替换 | 迁移工作量 | 低 | 部署脚本化、访问层解耦 | 按 b2191 无条件配合 |
| 现场作业窗口与生产冲突 | 设备安装延期 | 低 | 驻场作业计划周报、停机窗口内作业 | 按先易后难推进，不强求同步完成 |
表 2-19 集成风险登记与回退口径。数据来源：招标文件 3.2.2.1 各子条前置条件要求、3.1.2.3 第（5）条（b0801）、3.3.1 密码机数量（b2150r02）、3.2.5（b1209）、第四章配合义务条款（b0603）、第五章配合义务条款（b2191）。
#### 图 2-4 集成风险传导路径与缓解点
图 2-4 集成风险传导路径与缓解点。数据来源：招标文件 3.2.2.1 各子条前置条件要求、3.1.2.3 第（5）条（b0801）、3.2.5（b1207–b1212）。
### 3、网络部分（3.4）
招标文件规定「本项目涉及的网络建设工作由招标方负责（硬件安装部分除外），不影响项目系统上线」（b2153、b2154）。这一条对集成工作的意义有三层：网络侧的建设责任归属明确；「硬件安装部分除外」的边界需要指到具体物理点，否则现场容易扯皮；「不影响项目系统上线」是对双方共同的约束，需要有可执行的保障安排而不只是一句期望。据此，网络侧的工作在责任划分与分界点、网段划分与网络分区、端口与访问控制、带宽承载确认、现场接入拓扑、网络侧前置条件与上线保障六处分别落定。
#### 3.1 网络建设责任划分与分界点
据 3.4 的规定划分三段责任。网络侧的交换机、网段规划、链路开通、防火墙策略由招标方负责；本项目采购硬件的安装、接线、调试、校准与系统联调由我方负责，这与 3.3.2 硬件配套技术服务要求中「提供全套安装辅材、支架、线缆及配套配件，负责现场安装、接线、调试、校准、系统联调」的规定一致（b2152r03、b2152r04、b2152r05、b2152r06），服务器密码机另按「须提供安装、调试服务」执行（b2152r02）；两段之间的交界点是设备侧网口到接入交换机端口之间的物理链路与端口配置。
交界点的定义落到具体物理点：从接入交换机端口（含端口配置、虚拟局域网划分、链路带宽、安全策略）向上游的一切，由招标方负责；从交换机端口到设备网口之间的线缆、水晶头、管槽、支架、标识，以及设备侧的网络参数配置，由我方负责并提供全套辅材。采用以太网供电的设备，交换机侧的供电能力由招标方提供，我方在勘察阶段核实该能力是否具备，不具备的改为独立供电并在点位表中注明。
分界点在《设备接入点位表》中逐台体现，由双方现场负责人共同签字。签字后的点位表作为后续争议的处理依据，也作为终验时清点安装质量的清单。点位表每行一台设备，列明设备编号、安装位置、接入交换机与端口、供电方式、线缆规格与长度、辅材清单、责任方。
#### 3.2 网段划分与网络分区
本方案按用途划分四个网段，对应 2.2.1 的四个部署区：机房业务网段承载平台内部通信与数据集流转；机房管理网段承载带外管理与密码机管理面；现场采集网段承载感知设备到采集节点的数据上行；对外交付网段承载连接器的对外服务。网段之间按最小必要原则放通，分区策略逐条在防火墙上固化并在联调阶段逐条验证。
| 分区 | 承载内容 | 允许的入向 | 允许的出向 | 禁止项 | 策略实施方 |
|---|---|---|---|---|---|
| 机房业务区 | 加工计算单元、数据库单元 | 来自现场采集区的上行数据、来自管理区的运维访问 | 至源系统取数通道、至密码区的加解密调用、至出口区的数据集投递 | 不可由对外交付区发起入向连接 | 招标方实施，我方提交申请并验证 |
| 机房密码区 | 密码服务单元、密码设备单元 | 仅来自业务区与出口区的密码服务调用 | 无业务出向 | 管理面不可从业务网段访问 | 同左 |
| 机房出口区 | 三台接入连接器 | 来自业务区的数据集投递、来自外部的对外服务访问 | 至密码区的加解密调用、至存证服务 | 不可直接访问源系统与现场采集区 | 同左 |
| 现场采集区 | 采集节点与感知检测设备 | 仅来自采集节点的设备取流 | 仅向业务区的采集服务单向发起 | 不允许反向访问现场设备以外的任何资源 | 同左 |
| 管理面 | 带外管理、密码机管理口 | 仅来自指定运维终端网段 | 无 | 与业务面物理或逻辑分离，不共网段 | 同左 |
| 源系统侧 | 招标方十七套业务系统 | 我方取数通道单向发起 | 无向我方发起的连接 | 安全监管平台方向固化为单向取数（b0907） | 招标方实施，我方以反向连通性测试验证 |
表 3-1 网络分区与访问策略。数据来源：招标文件 3.4（b2153、b2154）、3.2.2.1.17 安全监管平台单向集成（b0906、b0907）、3.1.2.2.3 安全性要求（b0760–b0762）、3.3.1 硬件技术参数（b2150r02、b2150r03）。
网段规划与地址分配由招标方网络管理部门最终确认，我方提交规划建议并配合实施（b2154）。规划建议含网段用途、地址容量测算、虚拟局域网划分建议与跨段放通清单，容量测算按本项目设备数量加三成余量计。
#### 3.3 端口、协议与访问控制清单
跨段放通按「最小端口、明示协议、双向成对登记」的口径申请，每一条放通在《跨段放通清单》中有唯一编号、申请理由、源与目的、协议与端口、有效期与责任人，联调通过后锁定，变更走变更流程。我方侧组件的端口在部署基线中固化；招标方侧源系统与网络设备的端口以其提供的连接信息为准，不预设取值。
| 通信对 | 协议 | 端口口径 | 加密与鉴权 | 方向 | 备注 |
|---|---|---|---|---|---|
| 取数通道至源系统数据库 | 数据库专有协议 | 以招标方提供的连接信息为准 | 只读账号，口令加密存储 | 我方单向发起 | 限定可访问对象清单 |
| 取数通道至源系统接口 | HTTPS | 以招标方提供的接口信息为准 | 传输层加密，令牌或签名鉴权 | 我方单向发起 | 按限流阈值配置 |
| 取数通道至文件服务 | 加密文件传输协议 | 以招标方提供的服务信息为准 | 服务账号与目录级授权 | 我方单向发起 | 仅限约定目录 |
| 采集节点至感知检测设备 | 设备工具包私有协议、ModbusTCP | 设备默认端口，按部署基线固化 | 设备接入账号，按设备范围限定 | 采集节点单向发起 | 串行接口按 RS485 规格接入 |
| 采集节点至加工计算单元 | HTTPS | 平台默认端口，按部署基线固化 | 服务账号与双向证书 | 采集节点单向发起 | 断网时本地缓存 |
| 平台组件之间 | HTTPS、消息协议 | 同上 | 服务账号与双向证书 | 按组件依赖方向 | 镜像与配置由配置中心下发 |
| 平台至密码服务层 | HTTPS 或工具包本地调用 | 同上 | 服务账号授权，调用全量审计 | 平台单向发起 | 工具包模式为本地调用不出网段 |
| 密码服务层至密码机 | 《密码设备应用接口规范》规定的接口 | 设备业务口默认端口 | 设备侧账号与三员分离 | 密码服务层单向发起 | 管理口与业务口分网段 |
| 连接器对外服务 | HTTPS | 平台默认端口，按部署基线固化 | 传输层加密，接收方身份鉴权与授权范围校验 | 外部发起 | 按对外接口要求配置限流（b1206） |
| 全节点至时间服务 | 网络时间协议 | 标准端口 | 按时间源要求 | 节点单向发起 | 全项目单一时间源 |
| 全节点至日志与监测 | 日志协议、监测采集协议 | 平台默认端口，按部署基线固化 | 服务账号 | 节点单向发起 | 落第三台连接器 |
| 带外管理 | 管理协议 | 设备默认端口 | 独立管理账号 | 指定运维终端发起 | 仅限管理面网段 |
表 3-2 端口、协议与访问控制清单。数据来源：招标文件 3.2.2.1 各子条对连接方式的规定（b0813–b0905）、3.1.2.1 密码应用服务要求（b0724–b0732）、3.2.4.7 对外接口要求（b1206）、3.3.1 硬件技术参数（b2150r02–b2150r06）、3.4（b2154）。
#### 3.4 链路带宽需求与网络侧承载确认
现场感知设备是本项目新增的主要带宽消耗源，带宽测算必须在网络策略申请之前完成，否则容易出现设备装好了但链路带宽不够的情形。逐设备的接口形态、采集模式与带宽测算口径见表 2-12。
测算结论的使用方式是：按同时作业设备数上限汇总现场采集网段的峰值带宽需求，连同三成余量写入《网段与地址规划建议》，提交招标方网络管理部门确认链路是否具备承载能力。确认结果分三种并各有处置：具备承载能力的按规划实施；需扩容的由招标方安排扩容并排入进度，我方在扩容完成前按降低帧率或缩短采集时窗的方式先行接入试点设备；短期不具备扩容条件的，改为采集节点本地缓存加低峰窗口批量回传，并在数据卡中记录该时段数据的时效性口径。
触发式采集是把峰值压下来的主要手段：焊接设备按工位开工信号与外触发同步采集，热处理设备按炉次开炉信号采集，非作业时段仅上传心跳与低频抽帧。这一设计把现场网段的平均带宽需求压到峰值的一小部分，峰值出现在多工位同时作业时段。
#### 3.5 现场感知设备的网络接入拓扑
#### 图 3-1 现场感知设备网络接入拓扑与责任分界
图 3-1 现场感知设备网络接入拓扑与责任分界。数据来源：招标文件 3.3.1 硬件采购清单（b2150r02–b2150r06）、3.3.2 硬件配套技术服务要求（b2152r02–b2152r06）、3.2.5（b1212）、3.4（b2153、b2154）、3.2.2.1.17 安全监管平台单向集成（b0907）。
#### 3.6 网络侧前置条件与「不影响项目系统上线」的保障
招标文件在 3.4 中同时规定网络建设由招标方负责与「不影响项目系统上线」（b2154）。这两句合起来是对双方的共同约束：网络侧的工作不在我方责任范围内，但其到位时点会直接影响上线节奏，因此需要把依赖关系前置管理，而不是等到上线前才发现链路未通。
| 网络侧前置条件 | 提供方 | 接收标准 | 到位时点 | 未到位时的处理 |
|---|---|---|---|---|
| 厂区网段规划与地址分配确认 | 招标方网络管理部门 | 网段用途、地址段、虚拟局域网划分的书面确认 | 第一阶段退出前 | 我方按建议稿先行配置实验网段，确认后一次性切换 |
| 接入交换机端口与以太网供电能力 | 招标方 | 逐点位的端口号、速率、供电能力确认 | 设备到场前 | 供电不具备的改独立供电并在点位表注明 |
| 跨段放通工单 | 招标方 | 按《跨段放通清单》逐条放通并回执 | 单系统连通前 | 由我方提交策略申请并在周例会跟踪升级 |
| 链路带宽承载确认 | 招标方 | 现场采集网段峰值带宽的承载结论 | 现场设备批量接入前 | 按 3.4 的三种处置分别执行 |
| 与源系统之间的网络可达 | 招标方 | 逐系统的可达性与策略放通回执 | 单系统连通前 | 转由招标方指定的中转方式，或按变更流程处理 |
| 安全监管平台方向的单向策略 | 招标方 | 反向连接显式拒绝的策略回执 | 该接口联调前 | 反向连通性测试发现可写路径的，暂停取数直至整改完成 |
表 3-3 网络侧前置条件与到位时点。数据来源：招标文件 3.4（b2153、b2154）、3.2.2.1 各子条（b0813–b0907）、3.3.2 硬件配套技术服务要求（b2152r02–b2152r06）。
保障安排有三条。第一条是前置暴露：第一阶段的连通性预演对每一套系统申请最小权限账号做一次手工连通测试，网络不可达的在最早时点进入红色清单并升级，不留到批量接入阶段。第二条是解耦排期：平台安装适配、密码机调试与机房侧单元的联调不依赖现场网段的扩容进度，现场设备接入按试点先行、分批扩展的顺序推进，使网络侧的局部延迟不阻塞整体上线。第三条是书面跟踪：网络侧的每一项依赖在《集成前置条件申请清单》中有唯一编号、责任方、期望到位时间与当前状态，纳入双方项目周例会的固定议题，逾期由双方项目负责人升级处理。