门禁断网备用通行方案

门禁断网备用通行方案1.总则本方案的核心目标是在网络中断的极端情况下，构建一套“降级不降安全、离线不离管控”的应急通行机制，确保园区/楼宇在失去中央服务器连接时，既维持业务连续性，又守住物理安全底线。1.1编制目的当门禁系统因交换机故障、光纤被挖断、服务器宕机或核心网络攻击导致TCP/IP通信链路中断时，现场门禁控制器将无法实时校验权限与上传日志。若缺乏备用手段，将导致人员滞留、安全隐患敞口或审计数据丢失。本方案旨在通过技术冗余与管理流程的闭环，解决断网状态下的身份认证、通道控制及数据恢复问题。1.2适用范围本方案适用于基于IP架构的门禁一卡通系统，涵盖以下场景：局部网络中断：单栋楼宇或楼层交换机故障，影响该区域控制器（ACU）与服务器通信。全局网络中断：核心汇聚层设备故障或互联网专线中断，导致所有ACU离线。系统瘫痪：中央数据库服务器宕机或主控软件不可用。1.3基本原则安全优先原则：断网期间的安全等级不得低于联网状态，严禁通过“长通电”或“机械常开”方式牺牲安全换取通行效率。数据完整性原则：离线期间产生的所有通行记录必须存储在本地，待网络恢复后自动上传，确保审计轨迹不丢失。最小权限原则：断网期间仅开放白名单内人员的常规权限，暂停临时卡、访客卡及远程授权功能。2.风险分析与场景界定只有精准识别网络中断带来的风险演化路径，才能设计出针对性的阻断措施，避免“救急”变成“敞开大门”。2.1风险演化路径黑名单失效风险：中央服务器下发撤销指令（如离职人员卡挂失）因断网无法到达控制器→被撤销权限人员刷卡→控制器依据本地过期缓存误判为合法→非法入侵发生。反潜回（APB）失效风险：控制器失去全局状态同步→人员进入A区（记录在本地）→网络中断→从B区再次进入（因无法查询A区状态）→APB策略失效→安全漏洞。数据溢出风险：断网时间过长→本地缓存日志（Buffer）达到存储上限（如10万条）→新记录覆盖旧记录→审计链断裂（最早时段的通行证据丢失）。2.2断网场景分级根据影响范围与恢复时长，将断网事件分为三级：Ⅲ级（局部断网）：单一楼层或区域交换机故障。影响范围<10%门禁点。预期恢复时间<30分钟。Ⅱ级（区域断网）：汇聚交换机故障或光缆中断。影响范围10%~50%门禁点。预期恢复时间30分钟~4小时。Ⅰ级（全网瘫痪）：核心服务器宕机或核心网络设备故障。影响范围100%。预期恢复时间>4小时。3.技术冗余与备用策略技术层面的备用策略必须优先依赖设备自身的离线计算能力，而非人工干预，以最大化响应速度并降低人为失误。3.1控制器离线模式（首选策略）门禁控制器（ACU）必须具备“离线缓存”与“脱机运行”能力，这是应对断网的第一道防线。白名单下发机制：系统正常时，中央服务器必须将全量或增量白名单（含卡号、权限组、有效期）下发至控制器本地存储。要求：控制器本地存储容量应支持至少50,000个用户权限及100,000条脱机记录。动作：IT运维人员需每日检查控制器心跳，若心跳丢失>5分钟，立即触发网络诊断。脱机验证逻辑：刷卡动作发生→控制器接收CardID→检索本地数据库→校验有效期与权限组→驱动电锁动作。必须：本地验证响应时间≤200严禁：断网后控制器自动切换为“常开”模式。时钟同步机制：控制器内置RTC（实时时钟芯片）需配备纽扣电池（CR2032）或超级电容后备电源。要求：断网72小时内，控制器时钟漂移量≤23.2物理机械钥匙（备用策略）当控制器硬件故障或离线白名单异常（如下发失败）导致电子门禁完全失效时，启用机械钥匙覆盖。管理要求：机械钥匙仅授权给安保主管、楼层经理及物业值班长。实行“双人双钥”或“领用登记”制度。场景：仅用于紧急逃生、火灾报警联动后的复位、或电子锁具故障维修。3.3移动端离线通行（补充策略）对于已部署蓝牙或NFC手机门禁的用户，利用手机本地算力实现离线通行。技术逻辑：手机App预先下载动态密钥或有效凭证。刷门时，手机与读卡器通过蓝牙（BLE）近场通信，完成本地哈希运算验证。优势：不依赖控制器白名单实时更新，利用App端的时效性校验。限制：仅适用于支持BLE的智能读头，且需手机端开启蓝牙与定位服务。4.应急响应处置流程处置流程必须按时间轴精确划分阶段，将模糊的“处理故障”转化为可执行的“发现-验证-授权-恢复”闭环动作。4.1故障发现与初判（T+0~T+5min）监控报警：门禁平台通过SNMPTrap或Heartbeat机制检测到设备离线。现场确认：安保人员或前台接到报告（如员工刷卡无反应或红灯常亮）。动作：现场人员观察读头状态：若读头显示“网络断开”图标或LED红绿交替闪烁，确认为断网模式。尝试ping测试：IT人员ping控制器IP（如192.168.1.100）。若Ping通：平台故障，重启平台服务。若Ping不通：网络链路或控制器故障，转入4.2节。4.2离线模式启用与告知（T+5~T+15min）信息发布：行政部/物业部通过企业微信、钉钉或邮件广播：“【系统通知】门禁系统网络故障，目前启用离线验证模式，请刷卡通行。如有异常请联系安保部138******。”现场疏导：在受影响出入口放置临时立牌：“网络维护中，请刷卡通行”。安保人员驻守核心通道（如数据中心、财务室），协助人工核验。4.3特殊权限处理（T+15min~恢复）断网期间，系统暂停下发新权限，特殊需求需走人工审批流。访客通行：严禁：在断网状态下尝试远程下发临时密码或人脸。替代方案：安保人员核对访客预约单（纸质或离线截图）→登记身份证信息→领用临时物理IC卡（预先授权的“万能访客卡”）→人工开门陪同进入。黑名单紧急封锁：若发生离职人员暴力闯入风险，安保主管应立即携带编程器或笔记本直连控制器→通过RS485/USB接口连接→手动删除该CardID。4.4网络恢复与数据同步（恢复阶段）恢复动作：IT排除网络故障→链路恢复→控制器自动连接服务器。数据上传：控制器检测到TCP/IP连接建立→立即触发“缓存上传”指令→将断网期间存储的N条记录上传至中央数据库。验证：管理员在平台查询“离线补传记录”，核对上传数量与现场登记数量是否一致。时间校准：服务器立即向控制器下发NTP对时指令，修正时钟漂移。5.分级响应与权限管控断网期间的权限管控必须比联网状态更严格，通过物理手段和双人规则弥补技术审计的缺失。5.1通用管控措施反潜回（APB）策略降级：若系统跨区域APB依赖服务器计算，断网时必须自动切换为“区域内APB”或“仅防潜回提示”模式，防止把人困在中间区（防尾随即可，不强制锁定）。报警屏蔽：屏蔽“网络中断”报警，避免蜂鸣器持续噪音干扰；但必须保留“门超时未关”、“强行撬门”等本地硬件报警。5.2重点区域特别管控针对数据中心、财务室、金库等高风险区域，执行“一人一卡+人工复核”。一级区域（数据中心/机房）：断网期间，刷卡仅作为第一重验证。必须：触发联动CCTV抓拍并推送到安保值班大屏（若视频网络正常）。必须：进入需由机房值班人员现场确认并签字。严禁：仅凭刷卡记录作为进入依据。二级区域（财务室/高管区）：维持原有刷卡逻辑，但需启用“双人规则”配置（若控制器支持本地双人规则）。若控制器不支持，改为“刷卡+门卫遥控确认”（若对讲网络可用）或“刷卡+物理钥匙”。6.数据恢复与审计闭环网络恢复后的首要任务不是庆祝系统上线，而是全量数据的回传与完整性校验，确保离线期间的安全真空被完全填补。6.1数据完整性校验比对逻辑：设断网时长为T小时，该区域平均通行速率为λ人/分钟。预估记录数E=实际上传记录数A。判据：若|A日志修补：检查上传记录的“EventType”字段，确保所有“DoorForcedOpen”、“DoorHeldOpen”等安全事件已完整入库。6.2审计追溯人工记录补录：将断网期间使用的《访客登记表》、《特殊通行审批单》录入系统，备注“断网补录”。异常行为分析：安保部在恢复后24小时内，回放断网时段的高风险区域监控录像。重点核查：多次刷卡失败（可能是在试探权限）、长时间滞留、非授权时段通行。7.培训与演练没有经过演练的应急预案只是纸面上的幻想，定期的实战测试是检验方案有效性的唯一标准。7.1培训内容全员培训：告知员工断网时只需正常刷卡，不要慌张拍打读头。关键岗位培训：IT人员：掌握交换机配置、控制器IP修改、RS485调试助手使用。安保人员：掌握机械钥匙保管流程、物理开门时机、异常人员盘查话术。7.2演练计划桌面推演（每季度）：模拟核心交换机宕机，演练指挥调度流程与信息发布流程。实战测试（每半年）：拔掉测试区域门禁控制器网线。验证读头显示状态、刷卡反应速度、门锁动作是否正常。恢复网线，验证日志是否自动上传。指标：离线率100%恢复，日志丢失率0%。8.附录8.1应急物资清单物资名称规格/型号存放位置数量检查周期机械备用钥匙钥匙/锁具配套安保部保险柜2把/门每月USB转RS485转换器-IT弱电间2个每季度离线读卡器测试卡MifareClassic1K前台5张每月临时断网提示牌A4硬塑/立架各出入口10个随时8.2断网期间特殊通行登记表（样表）区域：\\\\\\\\\\日期：202X年\\月\\日断网开始