系统数据权限：GIS、SCADA、LIMS、计量、客服与财务

01开放式运营控制中心连接水利枢纽

02水利站

03排水泵站和设施网络现场

04数据沿透明通道进入受控系统

图 10：真正的控制塔不是一块大屏，而是主数据一致、事件可追、权限相斥、现场安全在系统失效时仍能维持。

10.1 系统全景

正在绘制业务流程…

10.2 各系统权威对象

系统	权威对象	不能擅自替代的系统
GIS	管线空间位置、拓扑、阀门、服务点关系	CAD竣工图、个人地图
SCADA/DCS	实时过程状态、告警、控制和历史趋势	人工班报不能覆盖原始趋势
LIMS	样品、方法、结果、质控、复核和报告	Excel不能成为唯一水质证据
EAM/CMMS	资产、维护策略、工单、备件、故障	财务固定资产卡不含运行状态
MDM/计量	表计生命周期、读数、倍率、冻结、估算	CRM备注不能改贸易读数
Billing	价格版本、账单、调整、税费	ERP总账不负责逐户计费逻辑
CRM/客服	客户、联系、投诉、通知、服务请求	支付系统不是客户主档
ERP/资金	会计凭证、资产价值、应收应付、现金	运营报表不替代法定账

10.3 统一主数据

主数据最少包括法人、经营区域、客户、服务点、用途、合同、表计、价格、资产、管段、厂站、采样点、供应商、员工/承包商和事件。服务点是核心连接：同一地址可能有水利表、设施服务量/面积账户和水表，但各自合同、产权、风险、账单不同。

10.4 计量与账单状态机

正在绘制业务流程…

任何调整都保留原始读数、原账单、理由、算法版本、审批和客户通知。不能为了让当前账平而覆盖历史。

10.5 数据质量八维

维度	例子	控制
完整	某DMA有流量无压力	必填、缺口清单、替代来源
准确	表倍率录错10倍	双人建档、范围校验
及时	水质结果晚于放行	SLA、事件升级、现场快检边界
一致	GIS阀门与现场编号不同	统一ID、变更同步
唯一	一个服务点建两个账户	去重和地址/产权校验
可追溯	价格被改但无记录	版本、审批、不可篡改日志
有效	已拆表仍产生读数	生命周期状态控制
可解释	产销差突然下降无原因	自动桥接、分项差异

10.6 IT与OT边界

OT以人身、设备和连续运行安全为首要目标，不能照搬办公IT的随意重启、云端直连或自动更新。关键原则：分区分域、最小通信、跳板和多因素、高权限限时、可审计远程维护、离线备份、应急手工运行、补丁先测试、联锁变更双批准。供应商远程账户在窗口外必须失效。

10.7 隐私与数据最小化

入户安检、账单和客服可能含姓名、电话、住址、用量、门锁/预约、录音和困难家庭信息。只收集实现服务与安全所需的数据，限定目的、权限和保存期；开发测试使用脱敏数据；地图和关键设施信息按安全要求分级。用量曲线可能推断市民与游客生活规律，不应对全员开放。[来源：SRC-D02-NPC-PIPL-2021]

10.8 变更与发布

价格、表计算法、SCADA设定、GIS拓扑、LIMS方法和ERP接口的变更都应经过：申请—影响分析—测试—审批—备份—窗口—发布—验证—观察—关闭。紧急变更可缩短前置步骤，但必须限权、留痕、事后复盘，不能成为常态通道。

10.9 BCP与灾难恢复

故障	最低可接受服务	手工/备用方案	恢复验证
SCADA中断	现场安全运行、关键站通信	本地控制、巡检、电话调度	点表、时钟、指令和告警完整
计费中断	不错扣、不丢读数	冻结出账、保存原始读数	影子账单和支付对账
GIS不可用	不盲目开挖或操作	受控离线图、现场定位	最新变更与拓扑一致
LIMS中断	样品链不断、未放行不出厂	受控纸质链、备用实验室	结果回录与复核
客服中断	紧急电话可接通	备用热线、人工事件表	工单补录不重复
数据中心灾难	关键调度和客户数据可恢复	异地/离线备份	RTO/RPO演练证据

10.10 一条数据如何走到账单

以一只工商业水利表为例，数据血缘应能重放：现场表具产生累计量和状态—采集终端附加时间戳—通信平台接收—计量系统校验缺失、跳变和倍率—周期冻结—温压/热值等适用换算—匹配客户合同与价格版本—账单引擎计算—税务和发票—支付核销—ERP总账。每个转换有输入、算法版本、责任人和异常队列。

景区设施服务表和设施计量表路径相似，但业务规则不同。一个统一数据平台可以承载数据，不能用同一算法处理三种介质。若BI报表与账单不同，先查数据时点、口径和版本，不应由管理层指定“采用对经营更好看的数字”。

10.11 GIS图实一致治理

GIS不是工程档案库，而是安全操作系统。新增、迁改、报废和临时旁路必须触发竣工测量、拓扑校验、现场标识、资产和SCADA关联更新。关键阀门还要记录可操作性、最近试转、埋深、进入条件和关阀影响。

变化	现场完成不等于数据完成	关闭标准
新建管段	管已埋但坐标/材质未入库	测量、拓扑、资产、照片、验收一致
阀门更换	编号沿用但方向/口径变化	现场标识、属性、关阀分析更新
临时旁路	抢修结束仍留在现场	到期、巡检、拆除或转永久批准
服务点迁移	客户地址改了但表管关系未改	合同、GIS、表计、账单同日生效
报废管	财务报废但现场仍可能有介质	物理隔离、状态标识、地图保留历史

每年用抽样开井、探测、关阀演练和施工事件反推图实准确性。KPI不应只看“入库及时率”，还要看现场抽查准确率和错误管位造成的许可返工。

10.12 LIMS质量控制

LIMS权限至少分采样计划、样品接收、检测录入/仪器接入、技术复核、报告批准和系统管理。检测人员可标记结果需复测，但不能删除原结果；方法或限值变更要保留生效日期；超限自动通知水质负责人和运行，不因值班时段延迟。

实验室控制包括空白、加标、平行、标准物质、校准、能力验证和不确定度/适用判断。外包实验室也要管理资质、方法、运输、报告时限和异常直接通知，不能只把PDF上传作为质量控制。

10.13 OT网络安全事件剧本

发现异常远程登录、未知指令、时钟漂移或数据大面积相同时，现场优先维持安全本地控制；网络团队隔离可疑通道、保全日志和内存/镜像证据；调度核对真实设备状态；管理层按分级报告。不要在原因未明时全网重启，也不要为了恢复画面把被篡改数据当真值。

恢复按“身份—配置—通信—单设备—小区域—全系统”逐级验证。重新上线前确认账户、证书、时间、联锁、设定、历史数据缺口和下游计费影响；事件关闭还要追踪供应链、远程维护、补丁、备份可用性和相同凭据的其他系统。

10.14 移动作业与离线控制

巡检和抢修移动终端应只显示任务所需管位和客户信息，设备加密、远程擦除、离线缓存受控。地下空间或灾害时网络不可用，应用要支持离线工单、照片时间位置、临时编号和稍后幂等同步。纸质应急表也要预编号、双签和回录核对，避免“断网期间所有动作无法证明”。

数字化不能取消现场观察：仪表正常不代表无异味、异响、沉降、振动、积水和人为施工。优秀巡检把人类感知与系统趋势互相校验，而不是让员工为了完成扫码率忽略现场。