系统、数据、权限与数字化设施

01物业数字控制室把资产

02工单

03楼宇监控

04人员排班

05供应商和财务数据按权限连接

图9：数字化不是给大楼加一块屏，而是让每个报警、工单、作业、验收和付款都能追溯，同时限制不该看数据的人。

替代文本： 设施控制室内，工程、客服、财务与数据人员查看不同权限的屏幕，楼宇设备、工单、门禁、排班和账务以安全连接线关联。

10.1 核心数据模型

正在绘制业务流程…

真实系统还会有业主、住户、租户、访客、设备点位、备件、作业许可、风险、投诉、合同变更、供应商订单和客户资金。关键不是堆字段，而是稳定ID、明确所有人、状态机和引用关系。

10.2 系统分层

层	系统	解决问题	失效时最低连续方案
现场控制	BMS、消防/安防接口、设备控制	监视报警和受控操作	本地控制、人工巡查、应急值守
服务执行	IWMS/CMMS、服务台、移动工单	资产、计划、派工和证据	编号纸单/离线表、恢复后双录
人员供应商	HR排班、门禁、采购	谁有资格、谁能进、谁来作业	受控名册、临时授权、人工验真
商业财务	CRM、合同、ERP、税票、银行	承诺、计费、应收应付和现金	已签合同快照、应急付款双签
数据治理	MDM、BI、日志、备份	一致口径、审计、分析和恢复	最近可用快照、恢复优先级

10.3 资产数据的最低字段

资产ID、名称、类型、位置、系统归属、制造商/型号/序列、投运日、产权/责任方、关键性、风险、运行参数、法定检验、保修、维护策略、供应商、备件、父子关系、当前状态、最后维护、下次维护、图纸说明书链接、停用/报废日。缺少字段用“未知并待核验”，不能凭经验填假数据。

10.4 最小权限矩阵

角色	可读	可写/审批	明确禁止
服务台	请求人必要信息、空间、工单	创建、分级、调度、沟通	看全量薪资、银行、未授权录像
工程师	分配资产、历史、作业资料	作业参数、用料、结果	改合同价、自己批准高危作业
项目经理	项目服务、人员、供应商、预算摘要	运营批准、月报	改银行回单、单人付款、删事件
EHS	风险、资格、作业、事件	停工、许可审查、CAPA验证	为赶工跳过控制
财务	合同计费、验收、税票、银行	账单、核销、付款复核	改工单原始时间、单人改供应商账户
客户用户	本主体/本区域请求和约定报告	提交、确认、授权范围内审批	看其他住户/租户/项目数据
IT管理员	技术配置、日志、身份	受控开权、恢复	无工单读取业务内容或删除审计日志

10.5 门禁、访客、视频和生物识别

项目先做“字段—目的—主体—地点—合法基础—权限—保存期—共享方”清单。为一次维修访问收集身份证明，不等于可以用于营销；人脸或其他敏感个人信息不能因为设备自带功能就默认启用；监控调阅应有事件或授权，导出带水印、用途、领取人和销毁日期；总部BI优先使用汇总或去标识数据，不默认复制原始轨迹。

【可核验事实】个人信息保护法、数据安全法和网络数据安全管理条例为大陆个人信息处理、数据分类分级、安全保护、委托处理和网络数据活动提供法律制度入口。[SRC-NPC-PIPL-2021][SRC-NPC-DATA-SECURITY-LAW-2021][REG-NET-DATA-2024] 具体项目还要核对公共安全、物业、行业、客户和设备适用规则。

10.6 数据质量十条硬规则

项目、空间、资产、合同和供应商ID唯一；设备状态只有受控枚举；工单事件时间不可覆盖；SLA暂停必须有原因和证据；人员资格与派工联锁；离职触发所有系统撤权；合同版本与计费项一一对应；银行回单不可由项目覆盖；客户资金账户不可与经营资金混淆；重大事件与普通工单关联但独立状态；删除与匿名化有审批和日志。

10.7 接口与对账

BMS报警创建工单要幂等，重复报警关联同一事件；HR人员状态同步门禁和移动工单；CMMS验收可触发采购收货但不能自动付款；合同变更更新计费计划须保留生效日；银行回单按客户、金额、附言和虚拟账号匹配，低置信度进入人工认领。每个接口规定源系统、目标、频率、失败告警、重试、补录和每日对账总数。

10.8 业务连续与灾难恢复

系统恢复优先级跟生命安全和业务依赖走：现场消防与设备安全不应依赖互联网云端单点；服务台失效可用应急号码和受控纸单；门禁失效有人工核验与受控常开/锁闭策略；财务系统失效只允许严格授权的紧急付款。备份要做恢复演练，记录RTO、RPO和未恢复对象；“供应商说有备份”不是证据。

10.9 AI、算法和数字孪生边界

AI可归类工单、预测故障、优化排班、识别能耗异常和生成月报草稿，但输出要可追溯到原始数据并由责任人复核。不得自动降级火警、困梯或泄漏；不得以模型评分自动拒绝住户必要服务；不得为KPI自动关闭工单；不得未经授权把图纸、录像、住户或客户数据发送到公共模型。数字孪生是决策辅助，不是现场隔离、复验和法定检查的替代品。