地理信息公共服务平台运维管理制度

地理信息公共服务平台运维管理制度1适用范围与核心目标地理信息公共服务平台的运维质量直接决定政务地理信息共享效率、公众位置服务体验与涉密地理信息安全底线，绝非简单的系统值守与故障抢修。本制度覆盖省、市、县三级节点的平台全栈运维范畴，包括涉密内网节点、政务外网节点、互联网节点三类部署环境，涉及基础设施层、数据层、服务层、应用层全链路管理对象，适用主体包括各级自然资源主管部门运维管理岗、驻场运维服务团队、第三方技术支撑单位、接入平台的政务部门数据供稿单位。运维工作严格遵循《中华人民共和国测绘法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国保守国家秘密法》《地理信息公共服务平台管理办法》《公开地图内容表示规范》《网络安全等级保护基本要求》（GB/T22239-2019）的法定要求，核心管控目标为：平台整体年服务可用性≥99.9%（年累计停机时长不超过8.76小时），核心矢量、遥感影像数据现势性不超过12个月，重点区域地名地址数据现势性不超过6个月，网络安全等级保护三级合规项100%达标，涉密地理信息数据零泄露，故障响应时效满足分级SLA要求。2运维组织架构与责任划分运维责任悬空、跨团队推诿是平台服务中断后迟迟无法恢复的首要诱因，必须通过RACI矩阵明确全链路的决策、执行、协同、告知责任，杜绝“谁都管、谁都不管”的真空地带。省级平台成立运维领导小组，由省自然资源厅分管副厅长任组长，成员包括厅地理信息管理处、科技与信息化处、省地理信息中心、省网络安全应急指挥中心相关负责人，每季度召开1次运维工作例会，会后24小时内下发会议纪要并跟踪决议落地。领导小组下设三个专职执行组：基础设施运维组：由省地理信息中心基础设施科+云服务商驻场团队组成，负责服务器、存储、网络、机房配套设施、安全硬件的日常运维，核心职责为保障基础资源可用性，磁盘使用率超过70%触发扩容预警，超过85%必须在3个工作日内完成容量扩容——地理信息影像切片数据体量极大，单存储节点容量通常在8PB以上，预留15%存储空间是操作系统写缓存、磁盘坏块重映射、临时切片生成的必要安全冗余，一旦磁盘使用率超过90%，会触发文件系统只读保护，直接导致所有瓦片服务无法读取，引发全平台服务中断。数据与服务运维组：由省地理信息中心数据部+测绘技术支撑单位组成，负责数据更新、服务发布、切片优化、接口调试，核心职责为保障WMTS、WMS、WFS、地名地址查询、路径规划等核心服务的响应时间≤200ms（政务外网环境）、≤500ms（互联网环境）。安全运维组：由省网络安全应急指挥中心+等保测评驻场团队组成，负责安全监测、漏洞修复、应急响应、日志留存，严格落实网络日志留存不少于6个月的法定要求，日志完整性、可追溯性需满足公安、网信部门的检查标准。全流程运维责任RACI矩阵如下：运维工作事项执行角色(R)负责角色(A)审批角色(C)告知角色(I)日常巡检作业值班运维人员各专业组组长运维办主任运维领导小组成员常规数据更新发布数据运维组数据组组长地理信息管理处所有平台服务调用方一般配置变更对应专业运维岗专业组组长运维办主任受影响范围用户重大架构调整/核心版本升级全运维团队运维办主任运维领导小组组长全省所有平台用户Ⅰ级故障处置全运维团队+技术支撑单位值班长运维领导小组组长省网信办、公安厅、自然资源部主管司局高危漏洞修复安全运维组安全组组长网安中心负责人所有运维相关人员特权账号操作授权运维人员安全组组长运维办主任安全审计岗3日常运维作业规范日常运维的标准化程度决定了80%以上故障的发生概率，靠运维人员个人经验“拍脑袋”操作、无记录巡检、无审批变更，是引发平台大面积服务中断的核心人为原因。3.1分级巡检作业要求巡检工作实行日检、周检、月检三级机制，所有巡检记录必须实时录入运维管理系统，严禁事后补填、虚假填报——事后核查发现故障点在巡检覆盖范围内但未被及时发现的，扣除驻场团队当月10%运维服务费。每日巡检（每日早9:00、晚18:00各1次，由当日值班运维人员执行）基础设施层检查项包括：云主机CPU平均使用率（阈值≤75%）、内存平均使用率（阈值≤80%）、磁盘IO等待时间（阈值≤20ms）、公网/专网带宽利用率（阈值≤70%）、网络设备端口状态、UPS浮充电压偏差（阈值≤±2%）、机房温湿度（温度22±2℃，相对湿度45%~65%）；服务层检查项包括：随机抽查100个核心区域WMTS瓦片（错误率必须为0）、WMSGetMap接口响应时间、地名地址服务匹配准确率（抽查50条标准地址，匹配准确率≥95%）、空间数据库主从同步延迟（阈值≤1s）；安全层检查项包括：WAF攻击告警、IDS异常外联告警、杀毒软件病毒库版本（必须为最近24小时内更新版本）、异常账号登录告警。巡检发现异常后10分钟内必须生成故障工单，推送对应责任组处置。每周巡检（每周五下午由各运维组组长带队执行）核心检查项包括：备份数据完整性校验（随机抽取上周3份全量备份做恢复测试，恢复成功率必须为100%）、全资产漏洞扫描（用Nessus扫描所有服务器、网络设备，高危漏洞必须72小时内修复）、服务访问日志分析（统计TOP10调用来源，对单IP每秒请求数超过50次的异常爬虫流量自动封禁24小时）。每月巡检（每月最后1个工作日由运维领导小组带队执行）核心检查项包括：容灾系统切换预演、存储阵列硬盘健康状态、机房消防系统有效性、等保合规项自查、运维账号权限梳理，连续30天未登录的僵尸账号一律自动禁用。3.2变更管理规范所有平台变更（包括服务发布、配置修改、版本升级、网络策略调整、硬件更换）必须严格执行“申请-测试-审批-实施-验证-回滚”的全流程管控，严禁未审批直接在生产环境操作。具体管控要求为：变更申请：变更发起方填写《平台变更申请单》（附件1），明确变更内容、影响范围、实施时间、回滚方案。影响全平台服务的重大变更（如核心数据库升级、域名切换、出口网络调整）必须安排在凌晨0:00-4:00业务低峰期实施，且提前3个工作日在平台门户网站发布公告告知所有用户；测试验证：所有变更必须先在仿真环境（与生产环境配置1:1一致，数据量不低于生产环境30%）完成全流程测试，连续运行24小时无异常才可提交审批，严禁未测试直接在生产环境验证；分级审批：一般变更（如单个非核心服务更新、单台服务器配置调整）由对应运维组组长审批即可，重大变更必须经运维领导小组签字审批；实施管控：变更实施时必须有2名运维人员在场，1人操作1人复核，全程通过堡垒机录屏留存，严格按照申请单列明的步骤执行，严禁临时加塞未审批的操作内容；回滚机制：变更完成后连续观察30分钟服务状态，若出现服务异常且10分钟内无法定位根因，必须立即执行回滚方案将系统恢复到变更前状态，严禁在生产环境边排查边改导致故障扩大。方案执行优先级：优先选择业务低峰期实施变更，提前通知所有受影响用户；若因紧急故障处置需要临时变更，必须先电话报备运维领导小组值班领导获得口头同意，操作后24小时内补填变更申请单；严禁在工作日9:00-18:00用户高峰期实施影响核心服务的变更。未按流程执行变更引发服务中断的，由变更发起方承担全部责任。3.3数据更新与质量管理规范数据现势性与准确性是地理信息公共服务平台的核心价值，数据更新不及时、坐标偏移、属性错误会直接导致政务部门决策失误、公众导航出错，甚至引发耕地保护、执法巡查等工作的责任纠纷。数据更新周期严格执行以下标准：省级核心矢量数据（道路、水系、居民地、行政区界线）每年全域更新1次，优于0.5米分辨率遥感影像每6个月更新1次，重点城市建成区优于0.2米分辨率影像每年更新2次，地名地址数据每3个月增量更新1次，防汛救灾、疫情防控、森林防火等应急专题数据必须在接到供稿单位正式数据后4小时内完成校验发布。所有入库数据必须经过三级质量校验：一是坐标系统校验，统一采用2000国家大地坐标系（CGCS2000），与标准控制点的平面位置中误差不得超过图上0.1mm（1:10000比例尺对应实地1m，1:5000比例尺对应实地0.5m），严禁非CGCS2000坐标系数据直接入库；二是拓扑校验，全面排查面要素重叠、线要素断链、要素悬挂节点等拓扑错误，拓扑错误率必须为0；三是属性校验，检查地名地址名称、行政区代码、道路等级等属性字段完整性，属性字段缺失率≤0.1%。数据发布采用灰度机制：校验通过的数据完成金字塔切片预生成（互联网节点瓦片采用PNG格式，覆盖1-18级，政务内网节点支持到20级）后，先通过压测验证（单节点1000QPS并发下响应时间≤200ms，错误率≤0.01%），再切20%流量观察24小时无异常后全量发布——地理信息服务流量具有极强的空间集聚性，核心城区瓦片调用量占全平台总调用量的60%以上，灰度发布可将切片缺失、样式错误等问题的影响范围控制在最小。方案优先级：优先采用预切片+边缘节点缓存的服务架构；应急场景来不及全量预切片时，可临时采用动态切片+本地缓存方案，响应时间阈值放宽至1s，但必须在72小时内完成全量预切片切换；严禁未做坐标校正、未取得地图审核审图号直接发布公开地图服务。4故障分级响应与处置流程故障处置的核心目标不是“修好系统”，而是以最快速度恢复服务、缩小影响范围，分级响应机制缺位、处置权限不清、无回退预案是导致小故障演变为大面积服务中断的关键原因。故障按照影响范围、中断时长、安全风险分为三级，每级明确判定标准、启动权限、响应时效：Ⅰ级（重大故障）判定标准：平台全节点（内网/政务外网/互联网）核心服务中断超过30分钟，或发生涉密数据泄露、首页被篡改、平台被植入违法信息等安全事件，影响范围覆盖全省所有用户。启动权限：由运维领导小组组长第一时间启动Ⅰ级响应，2小时内上报省自然资源厅、省网信办、省公安厅网安总队。处置要求：值班人员接到告警后5分钟内通知对应运维组组长，所有相关运维人员必须在30分钟内到达现场（远程值守人员10分钟内接入运维堡垒机通道），优先采用容灾系统切换、服务版本回退的方式恢复核心服务，严禁在故障状态下耗费大量时间排查根因而不优先恢复服务。服务恢复后24小时内形成故障复盘报告，明确故障原因、影响范围、处置过程、整改措施、责任追究结果。Ⅱ级（较大故障）判定标准：单个网络域节点核心服务中断，或非核心服务全节点中断，影响范围覆盖单网络域用户，服务中断时长在10-30分钟之间，无涉密数据泄露风险。启动权限：由运维办主任启动Ⅱ级响应。处置要求：值班人员10分钟内通知对应运维组，运维人员15分钟内介入处置，2小时内恢复服务，服务恢复后12小时内形成故障处置记录报送运维领导小组。Ⅲ级（一般故障）判定标准：局部服务异常（如个别区县瓦片缺失、单个接口响应超时、单台服务器非核心告警），不影响平台整体可用性，用户感知不明显。启动权限：由值班长启动Ⅲ级响应。处置要求：运维人员30分钟内介入处置，4小时内修复，修复后记录到运维台账，在每周运维例会上做统一汇总分析。故障处置严格执行“三严禁”要求：一是严禁瞒报、迟报故障，Ⅰ级故障超过30分钟未上报领导小组的，追究值班人员直接责任；二是严禁在故障处置过程中随意执行重启核心数据库、格式化存储、删除操作日志等不可逆操作，此类操作可能将故障影响从“服务中断”扩大为“数据永久丢失”，恢复时间从小时级拉长到天级，确需执行的必须经运维组组长确认数据已完成备份、操作后果明确后方可实施；三是严禁对外发布未经核实的故障原因与恢复时间，所有对外告知信息必须经运维领导小组审核后统一发布，避免引发舆情。每季度开展故障根因分析（RCA），对季度内重复出现2次以上的同类故障，必须从监控阈值、流程机制上做系统性优化，形成“故障处置-根因分析-流程优化-效果验证”的PDCA闭环，杜绝同类问题反复发生。5网络安全与数据安全运维规范地理信息数据属于高敏感数据，尤其是高精度坐标、军事设施、关键基础设施位置等信息一旦泄露，会直接危害国家安全，安全运维绝不是“装个防火墙就完事”的表面工作，必须贯穿数据全生命周期。5.1网络边界安全管控严格落实三网物理隔离要求，涉密内网节点、政务外网节点、互联网节点之间必须部署物理隔离单向光闸，严禁违规跨网连接、跨网拷贝数据。跨网数据交换严格遵循“涉密数据不出内网、敏感数据不出政务网、公开数据才可上互联网”的原则，所有跨网数据必须经过内容审核、脱敏处理：互联网节点发布的影像数据分辨率不得优于0.5米，不得标注军事禁区、军事管理区、涉密单位的位置与属性信息，所有公开服务必须依法取得地图审核审图号。违规跨网拷贝的风险演化路径为：个人U盘跨网交叉使用→摆渡木马从互联网带入涉密内网→高精度地理信息数据被窃取→通过隐蔽通道外传→危害国家安全，违反者按照保密法律法规追究责任。互联网出口必须部署下一代防火墙（NGFW）、Web应用防火墙（WAF）、入侵防御系统（IPS）、抗DDoS设备，对SQL注入、XSS跨站、路径遍历、高频爬虫等攻击行为实时拦截。涉密机房实行出入登记制度，进入涉密机房必须经运维办主任审批，由机房管理人员全程陪同，严禁携带手机、U盘、移动硬盘等具有存储、拍照功能的个人设备进入，个人物品统一存放在机房外储物柜。5.2数据备份与容灾管理严格落实“三地三中心”容灾架构要求，即生产中心、同城灾备中心（距离生产中心≥30公里）、异地灾备中心（距离生产中心≥300公里），备份策略为：核心数据库每日做增量备份，每周做全量备份，备份数据采用AES-256算法加密存储，备份介质异地存放。核心服务恢复点目标（RPO）≤15分钟，恢复时间目标（RTO）≤1小时，即生产中心完全瘫痪时，灾备中心最多丢失15分钟的数据，1小时内可接管所有核心服务。方案优先级：优先采用实时同步的块级容灾；若异地容灾链路带宽不足，可采用定时增量备份+每日全量同步方案，RPO可放宽至24小时，但必须保障核心服务RTO≤4小时；严禁只做本地磁盘备份、无异地容灾的单点备份方案，本地发生火灾、雷击等灾害时会导致数据全量丢失。每季度开展1次容灾切换演练，验证备份数据完整性与灾备系统可用性，严禁备份系统“只备不用”——备份数据不做定期恢复测试，真实故障发生时可能出现备份损坏、系统无法启动的问题，完全丧失容灾作用。5.3账号与权限管理所有平台操作账号实行最小权限原则，按照岗位职责分配权限，严禁超范围授权。特权账号（root、数据库sysadmin、平台管理员账号）实行双人双锁管理，密码长度不低于16位，包含大小写字母、数字、特殊字符，每90天强制更换，特权账号所有操作全程通过堡垒机录屏审计。临时运维账号必须设置有效期（最长不超过7天），到期自动回收，严禁给外包人员分配长期管理员权限。每季度开展一次全账号权限梳理，清理离职人员账号、长期未登录的僵尸账号——特权账号权限失控会引发内部人员违规下载涉密数据、恶意删除核心数据的风险，过往行业案例中曾出现运维人员因离职纠纷利用未回收的管理员账号删除核心数据库，导致平台服务中断3天的事件，必须通过常态化权限梳理堵塞管理漏洞。6运维考核与持续改进运维服务质量不能靠运维团队的自觉性保障，必须通过可量化的考核指标形成约束，持续迭代优化运维流程，避免制度“挂在墙上、落在纸上”。驻场运维团队考核每季度开展一次，考核结果与运维服务费直接挂钩，核心考核指标包括：一是服务可用性，核心服务可用性达到99.9%得满分，每低0.01个百分点扣2分，可用性低于99.5%直接判定为考核不合格；二是响应时效，Ⅰ级故障响应时间不超过5分钟、Ⅱ级不超过10分钟、Ⅲ级不超过30分钟，每超时1次扣1分；三是数据质量，数据更新周期符合要求，坐标偏差、拓扑错误、属性错误率每超出阈值0.1个百分点扣1分；四是安全合规，全年发生涉密数据泄露、重大网络安全事件的，考核直接不合格，扣除全年20%运维服务费，并按照合同约定追究违约责任；五是流程合规，每发现1次未走变更流程操作、巡检记录造假、绕开堡垒机登录生产服务器的情况扣2分。考核得分90分以上的全额支付季度运维费，80-89分的扣除10%季度运维费，70-79分的扣除20%，低于70分的要求运维单位限期1个月整改，整改不到位的终止运维服务合同。建立持续改进机制：每月召开运维质量分析会，对当月发生的故障、告警、用户投诉做分类统计，分析高频问题根因，例如发现瓦片缺失故障占比达到30%时，要上线切片自动校验脚本，在切片发布前自动检测缺失瓦片，从流程上避免同类问题重复发生；每半年面向接入平台的政务部门、公众用户开展一次满意度调研，收集服务使用中的问题，针对性优化服务性能、补充缺失数据，形成持续迭代的良性循环。7特殊时段应急保障要求在汛期、重大活动、节假日等特殊时段，平台作为应急指挥的核心地理信息支撑，运维保障等级必须高于日常要求，容不得半点疏漏。特殊保障时段（每年汛期6-9月、全国两会、省级重大活动、春节/国庆等法定节假日）启动7*24小时双人值班机制，值班人员必须在机房现场值守，不得仅安排远程值守。保障时段启动前3天完成全平台安全检查、漏洞修复、备份验证，核心服务器资源预留30%以上冗余，提前对接云服务商、网络运营商预留应急带宽，安排安全厂商技术人员现场驻点。保障时段内暂停所有非紧急变更操作，每日早8:00、晚20:00各报送一次平台运行状态，一旦发生故障按照“先处置、后汇报”的原则第一时间恢复服务，Ⅰ级故障必须10分钟内报送运维领导小组。针对防汛、森林防火、地震等应急场景，建立应急数据快速发布绿色通道，接到应急指挥部门的地理信息数据需求后，1小时内完成应急专题数据的制作、校验、发布，为应急指挥提供实时地理信息支撑。8附则本制度是平台运维全流程的强制性执行依据，所有参与平台运维的单位与人员必须严格遵照执行，原有运维相关规定与本制度要求不一致的，以本制度为准。本制度自发布之日起施行，由省自然资源厅地理信息管理处负责解释。附件1：平台变更申请单模板字段填写内容申请单号（按年份+月份+序号自动生成，如202X0XX001）申请单位/部门申请人/联系电话申请时间变更类型□硬件调整□网络策略□数据更新□服务发布□版本升级□安全配置变更具体内容影响范围评估计划实施时间仿真环境测试结果回滚方案专业组组长审批意见签字：日期：运维办/领导小组审批意见签字