监狱、戒毒所移动警务通系统建设方案

根据《司法行政移动执法系统技术规范》SF/T0049­—2020制定

目录

前言

1  范围与适用

2  规范性引用文件与建设原则

3  建设背景、目标、内容

4  总体技术框架

5  监狱戒毒所警务通终端要求与选型

6  终端安全管控与应用平台前台系统

7  终端网络接入安全体系

8  终端安全管控与应用平台后台系统

9  下载功能与报价简表

前言

本方案是根据《司法行政移动执法系统技术规范》SF/T0049­—2020版，结合几年来诸多智慧监狱智慧戒毒警务通系统建设案例，同时考虑到建设单位实际情况、个性需求和行业发展，而提炼总结的；本方案采取的是《司法行政移动执法系统体系框架Ⅱ型》架构，专门针对于司法体系内监狱和戒毒所等涉及到监所管理的单位。

为保持与《司法行政移动执法系统技术规范》的一致性，本建设方案的文本结构尽可能与上述规范保持一致，提供完整的移动警务执法各个子系统的建设方案；本方案是完整的移动警务通方案，如果仅需升级已有警务通系统，或建设一个简易的警务通安全管控系统，请看本方案第五、第六和第八章节或者本网站发布的其他安全管控方案。

为保持与建设单位的实际情况想结合，考虑到业主的个性需求和行业日新月异的发展，本方案会提供多种满足需求的方法方式和产品供选择，在项目实施中业主单位可以按需选择不同的终端和方式方法；

本方案主要围绕华为终端、荣耀终端和LOXO终端（自有品牌三防终端）而深度定制开发的，支持华为全系列终端（手机、平板），支持荣耀全系列终端（手机、平板），支持LOXO品牌终端，暂不支持其他终端。

1  范围与适用

范围：

本方案包括了：监狱戒毒所警务通系统的总体、终端选型、终端管控平台、终端安全接入、系统组网、非法终端侦测、应用开发与信创、应用市场与移动应用等部分。

适用：

本方案是根据《司法行政移动执法系统体系框架Ⅱ型》制定的，适用于司法体系内监狱和戒毒所单位，涉及监所内外，行政办公等模式与场景。

手机管控，本方案同时支持双模式和双模式三场景两种架构，为简单便于理解，本方案重点介绍双模式的情形。

手机选型，本方案同时支持华为，荣耀的单系统手机，双系统手机，和LOXO定制机型。

2  规范性引用文件与建设原则

本系统建设引用或遵循了以下规范性文件：

SF/T 0008  全国司法行政信息化总体技术规

SF/T 0028—2018  智慧监狱 技术规范

SF/T 0049—2020  司法行政移动执法系统技术规范

GB/T 20279—2015  信息安全技术网络和终端隔离产品安全技术要求

GB/T 25070  信息安全技术 网络安全等级保护安全设计技术要求

GB/T 34975—2017  信息安全技术 移动智能终端应用软件安全技术要求和测试评价方法

GB/T 34976  信息安全技术 移动智能终端操作系统安全技术要求和测试评价方法

GB/T 35282  信息安全技术 电子政务移动办公系统安全技术规范

GM/T 0034  基于SM2密码算法的证书认证系统密码及其相关安全技术规范

本系统建设遵循了以下原则：

集成化：系统应用系统不是独立的系统，它实现PC系统在系统端应用延伸的集成。

标准化：系统应用系统从应用功能、内容组织、界面风格、上下互联、网络支撑、安全管理等各个方面，都必须遵照标准化原则，统一规划，规范建设。

部署方便：系统应用系统作为移动信息化的延伸，可快速部署和扩展，保持执法通的完整性和独立性，降低实施成本。

易操作性：系统应用平台保证在功能和人机交互界面上贴近用户使用习惯，功能模块和功能按钮说明定义清晰、命名直观，达到简单易用、提高工作效率的目的。

扩展性强：采用符合国际标准和适应国际发展潮流的移动化信息系统技术、可平滑扩展的系统硬件体系结构、开放式的系统软件平台、模块化的应用软件结构，确保系统在处理能力和业务功能方面可灵活扩充，并可与其它系统进行无缝集成。

安全性高：平台能提供有效的安全保障，具备完善的身份认证、访问控制、日志管理、系统审计、数据加密等安全保密机制，保证网络系统、主机系统和应用系统的安全，提供完整的安全保密。

3  建设背景

建设背景：

监狱戒毒所（以下以监狱为例）担负着改造犯人管理学员的重任，其监管区必须是一个“封闭的，独立的” 区域，对信息安全有特殊的要求，必须严格区分监区周界内外对信息安全的不同要求。其信息安全，是以周界为划分的，有的信息数据是杜绝带出监区的，而有的信息数据又是严禁带监入区的。（相比较而言，公安系统的数据安全是按照人的职务权限划分的），同时监狱也存在行政办公区域和人员，其对信息安全的要求又与监区内不一样。这就是监狱移动警务通系统建设的信息安全的特殊性。信息安全涉及到终端使用，数据采集与存储，传输网络，系统组网等诸多方面。同时，向科技要警力，执法阳光化，落实”互联网+警务“，实现执法的移动化，优化一线警察的现场执法模式，拓展一线警察的工作广度、减轻执法难度、规避执法风险、严格依法执勤执法的目的，建设移动警务执法系统也是必有趋势。在这一背景下，结合诸多建设经验，形成本建设方案。

4  总体技术框架

司法行政移动执法系统体系框架Ⅱ型

适用范围：司法体系内监狱和戒毒所等单位。      

包括三层结构：终端设备层、网络支撑层和移动应用层      

终端设备层由通用终端和专用终端组成；

通用执法终端具有执法模式（或称工作模式）和非执法模式（或称普通）两种模式，并能够互相切换，其中进出监区需要强制切换，行政办公人员不进入监区，可以手动切换；

专用执法终端应支持执法单一模式，始终保持在执法模式，但离开监区或者离开监狱工作场所，该终端自动锁死。

网络支撑层：

在非执法模式下，通用执法终端由移动网络连接到互联网；在执法模式下，通用终端和专用终端均由虚拟无线专用网络或移动执法无线专网连接到监狱/戒毒业务内网，可由虚拟无线专用网络或移动执法无线专网连接到电子政务外网。

移动应用层：

移动应用层支持司法行政移动执法终端的移动应用，包括办公移动应用、司法移动应用、行政移动应用、管理移动应用和大数据移动应用等。移动应用的分发，管理均由管控平台控制。

5  监狱戒毒所警务通终端要求与选型

5.1  终端通用技术要求

 终端技术要求主要分为基本硬件、操作系统、工作模式等三个方面。该要求与终端选型、终端管控、应用平台密切相关。

5.1.1  终端基本硬件要求

 具备入网许可证，型号核准证，3C认证，IP65及以等基本资质

 国产终端

 具备可信根，可信根具有板载独立可信芯片、密码芯片及可信执行环境结合配套固件

5.1.2  终端操作系统要求

通用执法终端应支持双操作系统（双域），支持执法模式（工作模式）和非执法模式（普通模式）；执法模式操作系统宜采用具有自主知识产权的国产操作系统；两个系统应独立运行，可相互切换；两个系统应分别有独立的、差异化的人机交互界面，包括但不限于系统桌面、状态栏、快捷面板、锁屏和安装应用界面。

专用执法终端可采用单操作系统，仅支持执法模式；

司法行政移动执法终端禁止刷机成普通消费者版本；系统可通过空中下载（OTA）进行升级，升级包具备合法性校验功能。

5.1.3   终端工作模式要求

通用执法终端应支持非执法模式和执法模式，执法模式宜包含行政场景、执勤场景和押运场景。两个模式和三个场景都应具备后台和自动切换能力，自动切换能力应不受关机和重启影响。（此处仅介绍管控程度与切换要求，终端各个模式的特点在本方案第六章详细介绍）。终端模式/场景与管控要求：

终端模式切换示意图与详细说明：

模式切换流程一般如下说明，也可以在实施中按需定制切换流程：

①②③，任何情况下，终端带入监区，自动强制切换到监区场景；即使是普通模式关机状态下带入监区后，再监区再开机，通过感知物联网信标，终端仍然强制、自动的进入监区模式。通过门禁刷卡开启AB门的B门进入监区，也可以切换到监区模式，但是如果尾随进入监区或者通过车辆通道进入监区，就有不切换的风险。

④，离开监区，自动强制切换到工作模式/行政场景；终端带来监区，出了监区大门就是监狱行政场景，故自动切入行政场景。

⑤⑥，工作模式/行政场景与普通模式，干警可以根据需要手动切换。

⑦⑧，工作场景和普通模式下，可以根据押解任务进度自动强制切换或后台/指挥中心换到押解场景；

⑨，押解场景下，可以根据押解任务进度自动强制切换或者后台/指挥中心切换到行政场景。

5.2  终端安全技术要求

安全技术体系应包括硬件安全、操作系统安全、应用层安全、外围接口安全、网络连接安全、用户数据安全和隔离安：

5.2.1  硬件安全：要求电路安全可控，无未知组件，启动引导安全可控；

5.2.2  操作系统安全：防止超级管理权限被非法获取，没有高危漏洞，代码可控等；

5.2.3  应用层安全：预装司法安全组件不可被卸载删除，禁止安装非法应用程序，司法程序自启动保活；

5.2.4  网络接入安全：预置ip访问策略，预置并固化专网接入策略，Wlan管控；

5.2.5  外围接口安全：蓝牙、USB、Nfc、SIM卡槽、位置模组、热点、摄像头等通电断电、禁用启用，打开关闭的管理配置；

5.2.6  本地数据安全：用户信息的保护，支持数据删除功能，终端锁定和数据销毁功能，模式切换中删除临时数据；

5.2.7  隔离安全：运行中各个模式进程相互隔离，由此数据相互隔离，各个模式应用相互隔离。

5.3  终端选型

终端的选型是警务通项目中最重要的选择之一，是用户体验的直接提现。满足司法警务通系统要求的警务通终端有很多，从品牌分类，主要有一线大品牌手机（通过OTA升级司法定制版本操作系统），和专用行业机之分；从操作系统看，主要有单系统双域的行业定制系统与双系统之分。本方案可以适配华为品牌、荣耀品牌政企定制系统和双系统，以及LOXO品牌行应定制机型。

5.3.1  通用执法终端选型

通用执法终端，从工作区域上看，就是在监狱戒毒所的监区内和监区外，有两种工作模式；同时，监区外的工作模式，可以根据警察工作岗位，接入网络，应用业务不同，划分不同的工作场景的。不同模式，不同场景，可以更加规则进行强制或者主动的切换。从外观形态上看，通用执法终端就是一个普通手机。从手机硬件参数看，也基本一样。

通用执法终端选型，从操作系统上看，一类是双系统手机，两个系统，一个是监外模式（也叫普通系统），一个是监区模式（也叫安全系统），两个系统是独立的，都能上互联网；通过对安全系统安装管控软件（也就是第六章的介绍的安全管控组件），对安全系统进行管控，从而达到终端的安全要求。

另一类是单系统手机，经原厂OTA升级为司法定制版本操作系统，通过对手机进行管控（也就是第六章的介绍的安全管控组件），使终端具备两个工作模式，一是监区模式（也就工作模式），二是监外模式（也就普通模式），监外模式也可以划分不同的工作场景。这个两个模式的进程是完全独立的隔离的，访问网络、应用app等也是独立的。在监区模式，无法对监外模式进行任何操作，监区模式本地数据自动上传后台，本地不保存工作数据。在监外模式，也无法对监区进入任何操作。本方案支持的单/双系统终端，在本网站可以查询到。通用终端选型对比表如下图：

5.3.2  专用执法终端选型

专用执法终端越来越受到重视，一部手机，只做移动执勤执法用，只能通过VPDN链接专网，只能安装单位推送的APP，只能访问固定的IP，只能接拨白名单电话，所以也只需要一个工作模式。而且考虑到安全需要，可以通过蓝牙信号、位置信息或者网络信号设置电子围栏，只有专用执法终端被带离设定区域，就自动的锁死无法使用。

专用执法终端的选型，从软件系统看，只能选择具有开放接口能力的单系统手机（通过接口能力，实现5.2节和6.3节所要求的安全管控等）。从硬件形态看，目前满足这个要求的终端有两大类，一类是华为品牌和荣耀品牌等大品牌手机，升级为司法定制版本操作系，就可以满足上述要求。另一类是传统的行业定制机，看起来像砖头一样。随着品牌机的续航能力和三防等级的不断提高，行业定制机型优势越来越不明显了。本方案支持的专用终端，在本网站可以查询到。

6  终端安全管控与应用平台前台系统

终端安全管控与应用平台分为手机端和服务器端，安全监控组件运行于执法终端，与服务后台构成一个封闭的终端管控平台，实现安全管控的功能；同时结合监狱（戒毒所）的业务应用场景需求，在手机端通过工作桌面，集合各种狱务系统，关联报警、IM、通讯、位置等服务，形成一个有机移动应用管理平台。终端安全管控与应用平台是本方案的核心组成部分。

6.1  安全管控组件运行环境

安全监控组件：负责终端注册、终端登录、管控策略解析执行及结果上报、终端信息采集上报、安全事件监测上报和模式切换上报等；

终端安全管理子系统：负责终端管控策略的制订、下发及结果展示，终端信息和安全事件的汇总展现；

终端安全管控数据库：独立于终端安全管理子系统的标准信息汇总、分析及服务子系统，负责策略执行结果、安全事件、终端信息和终端安全管理子系统日志等的汇总，以及以汇总信息为基础的标准数据服务。

6.2 安全管控组件的运行

预装安全监控组件，应随终端启动而自动运行，不能被用户或其他终端应用强行终止、修改和卸载。安全监控组件应至少在启动过程中进行必要文件的完整性检查，具备管控策略来源可信的验证能力，策略执行应不受干扰而中断，策略管控应正确有效且不可被旁路，安全监控组件与终端安全管理子系统、终端安全管控数据库之间的通讯均应采用加密方式，包括但不限于使用HTTPS协议。

终端预装安全监控组件，采集并提交终端软硬件信息，包括但不限于终端厂商、终端品牌、终端型号、终端标识组件版本、SIM卡标识、终端密码模块编号、数字证书序列号和用户标识，验证通过则终端登录，失败则应显示原因。

6.3  对终端的安全管控措施

通过对终端硬件软件的深度开发，实现对终端的安全管控措施，包括终端硬件模组的管控，终端基本功能的管控，终端应用APP的管控，终端模式切换和电子围栏的管控，终端远程控制与配置的管控等，确保终端的数据安全、传输安全、应用安全。

6.3.1  对终端硬件模组的管控措施 

ØWLAN 控制： ①WLAN禁用/启用；  ②WLAN白名单，非白名单无法接入； ③仅WLAN指纹扫描，但无法接入 WLAN无线网络。

Ø移动数据网络控制： ①强制关闭：强制关闭终端的移动数据网络，且不允许开启； ②强制开启：强制开启终端的移动数据网络，且不允许关闭； ③不管控：允许用户自主控制终端移动数据网络的开关。

Ø蓝牙控制应支持以下方式： ①蓝牙模组供电/断电 ②强制禁止：不允许终端使用蓝牙功能，且不许开启； ③强制启用：强制终端开启蓝牙，且不许关闭 ④受限使用：宜支持接入指定的蓝牙设备。

ØNFC控制： ①禁止使用：不允许终端使用NFC功能； ②强制开启：强制开启终端的NFC功能，且不允许关闭； ③不管控：允许用户自主控制NFC功能的开关。 

Ø定位服务控制： ①禁止使用：禁止终端开启和使用定位服务； ②强制开启：强制开启终端的定位服务，且不允许关闭； ③不管控：允许用户自主开关和使用定位服务。 

ØUSB工作模式控制： ①仅充电：仅允许充电模式，不允许使用其它模式； ②不管控：允许终端使用硬件所支持的所有USB工作模式; ③受限使用：根据不同的场景，按照后台设定的测量，自动识别USB的工作模式。

Ø扩展存储访问控制： ①禁止使用：不允许终端对扩展存储进行读、写操作； ②受限使用：仅允许终端对扩展存储进行读操作； ③不管控：允许终端对扩展存储进行读、写操作。

Ø摄像头控制： ①摄像头控制对终端所有摄像头进行统一控制： ②禁止使用：不允许终端使用摄像头； ③不管控：不对终端使用摄像头进行控制。

Ø麦克风控制： ①禁止使用：不允许终端使用麦克风； ②不管控：不对终端使用麦克风进行控制。

Ø扬声器控制： ①禁止使用：不允许终端使用扬声器； ②不管控：不对终端使用扬声器进行控制。

Ø闪光灯控制： ①禁止使用：不允许终端使用闪光灯； ②不管控：不对终端使用闪光灯进行控制。

6.3.2 对终端基本功能的管控措施 

Ø通话功能控制： ①禁止使用：不允许终端拨打和接听电话； ②受限使用：只允许拨打和接听准许列表中的电话号码； ③不管控：不对终端拨打和接听电话进行控制。

Ø短信（含彩信）功能控制： ①禁止使用：不允许终端发送和接收短信（含彩信）； ②受限使用：只允许发送和接收准许列表中的电话号码清单； ③不管控：不对终端发送和接收短信（含彩信）进行控制。

ØAPN 管理功能控制： ①禁止使用：不允许用户增加、删除、修改、查看APN配置以及选择APN； ②受限使用：仅允许用户查看APN配置，但不允许其他操作； ③不管控：不限制用户对APN配置的管理操作。

Ø网络访问规则控制 ①禁止使用：不允许访问； ②受限使用：仅允许访问白名单IP域名，同时按照工作场景自动调整； ③不管控：对网络访问不管控。

Ø锁屏密码方式控制： ①启用混合密码方式：强制要求设置数字、字母混合的具有指定长度的解锁密码； ②启用纯数字密码方式：强制要求设置仅包含数字的具有指定长度的解锁密码； ③启用生物识别技术：强制要求开启生物识别技术，如：指纹识别、虹膜识别和人脸识别等； ④不管控：对锁屏密码方式不进行控制，允许用户自行选择。

Ø恢复出厂功能控制： ①禁止使用：不允许用户通过系统菜单对终端进行恢复出厂操作； ②不管控：允许用户通过系统菜单对终端进行恢复出厂操作。

Ø开发调试模式控制： ①禁止使用：不允许终端使用USB调试模式； ②不管控：不限制终端对USB调试模式的使用。

Ø应用ADB方式安装/卸载功能控制： ①禁止使用：不允许使用ADB方式安装/卸载终端应用； ②开放使用：允许使用ADB方式安装/卸载终端应用。

Ø截屏功能控制： ①禁止使用：不允许终端使用截屏功能； ②不管控：不对终端截屏功能进行控制。

Ø网络共享功能控制： ①禁止使用：不允许终端使用网络共享功能； ②受限使用：网络共享功能启用后，仅允许准许设备列表中指定的设备通过蓝牙接入共享网络，列表描述了接入设备的蓝牙MAC地址。

Ø时间设置功能控制： ①强制使用网络时间：强制同步移动通讯网络时间，不允许用户或应用修改本地时间及时间来源； 不管控：允许用户或终端应用修改本地时间，或设定时间来源

Ø系统升级功能控制: ①禁止使用：不允许用户通过系统菜单对当前系统/使用模式进行升级操作； ②不管控：允许用户通过系统菜单对当前系统/使用模式进行升级操作。

Ø应用静默安装/卸载接口控制： ①禁止使用：不允许任何终端应用调用应用静默安装/卸载接口； ②授权使用：仅允许授权列表中的终端应用调用应用静默安装/卸载接口，授权列表应包含但不限于被授权应用的包名和签名证书指纹值； ③开放使用：允许所有应用调用应用静默安装/卸载接口。

6.3.3  对终端应用APP的管控措施 

Ø应用强制安装控：自动下载并静默安装列表中的终端应用，强制安装白名单应包含但不限于应用包名、签名证书指纹值和应用下载地址。

Ø应用运行控制： ①禁止运行：不允许运行列表中的终端应用，禁止运行列表应包含但不限于应用包名和签名证书指纹值； ②强制运行：强制运行列表中的终端应用如已安装则强制运行，并保护其运行不被用户或其他应用中断，强制运行列表应包含但不限于应用包名、签名证书指纹值、应用组件或服务。

Ø应用更新控制：支持以列表形式控制应用的强制更新。对于满足列表条件的应用，应自动下载并静默更新。强制更新列表应包含但不限于应用包名和签名证书指纹值、更新包下载地址。

Ø应用卸载控制： ①禁止卸载：不允许卸载列表中的终端应用，禁止卸载列表应包含但不限于应用包名和签名证书指纹值； ②强制卸载：静默卸载列表中的终端应用，强制卸载列表应包含但不限于应用包名和签名证书指纹值。

Ø应用安装白名单控制： ①禁止安装：不允许安装列表中的终端应用，禁止安装列表应包含但不限于应用包名和签名证书指纹值； ②允许安装：仅允许安装列表中的终端应用，允许安装列表应包含但不限于应用包名和签名证书指纹值。

Ø应用保活控制：处于运行状态的终端，对后台推动的白名单应用保持激活状态。

Ø全程水印接口：支持配置全程水印接口，可配置全程水印的显示内容和显示位置，且全程水印一旦开启，在移动执法终端任何显示页面背景均应显示背景水印内容，包括桌面、所有系统应用和第三方应用运行时的页面显示。

6.3.4  对终端的远程控制与配置的管控

Ø终端锁定/解锁：接收到终端锁定/解锁指令时，应执行对终端的锁定或解锁操作。 

Ø数据擦除：应执行对终端的恢复出厂操作以及外部存储格式化操作。 

Ø终端重启：接收到终端重启指令时，应执行对终端的重新启动操作。

Ø终端关机：接收到终端关机指令时，应执行对终端的关机操作。 

Ø定位信息上报：接收到定位信息上报指令时，应采集终端当前定位信息，并上报至终端安全管控数据库。 

ØWLAN 配置推送：接收到WLAN配置推送指令时，应将指令中包含的WLAN配置更新至本机配置中。 

ØVPN 配置推送：接收到VPN配置推送指令时，应将指令中包含的VPN配置以覆盖方式更新至终端VPN客户端。

ØAPN 配置推送：接收到APN配置推送指令时，应将指令中包含的APN配置更新至本机配置中。APN配置条目以APN名称作为唯一标识。 

Ø运行状态上报：接收到运行状态上报指令时，采集当前运行状态，并上报至终端安全管控数据库；当前运行状态包括但不限于CPU使用率、运行内存使用率、内置存储使用率、WLAN无线网络使用率和移动数据网络使用率。 

Ø安全监控组件的升级：支持具有提醒的强制升级；升级失败，应及时上报升级失败日志。

6.4  对终端工作模式定制与模式切换的管控措

6.4.1  通用终端工作模式的定制

选择了具有开放接口能力的终端，适配功能强大的管控组件，其目的就是定制监狱戒毒所通用警务通的工作模式与工作场景，以适应其特定的工作要求。双系统手机的安全系统，也是可以上互联网的，也是可以任意安装APP的，也需要适配安全组件，才能满足监狱戒毒所的应用要求（双系统手机本质是一个手机两个独立的系统，这两个系统仅仅界面有些差别）。单系统手机适配安全组件，首先是把手机划定为两个工作模式，再按需要对各个模式进行管控。所以，单系统的安全管控组件对工作模式和普通模式都进行管控，而双系统手机仅仅对安全系统进行管控。对工作模式的定制，取决于安全管控组件，而不是手机的操作系统。不管选择哪种手机，监狱的需求基本差不多，故定制工作模式的效果都是一样的。

工作模式，有时称为执勤模式/安全模式/执法模式，一般是指终端在监区内的工作模式（有些项目里把工作模式进一步细分为多个场景，由于篇幅有限，本方案把重点监区内的场景）。终端在工作模式，结合司法业务的需求，定制独立的工作界面，仅能连接指定的网络，仅能访问白名单的IP，仅能使用白名单APP，仅能接拨指定的电话，USB仅充电功能，本地数据自动上传后台系统，各模组外设的开启禁用在后台按需配置，在具体项目中，对6.3章节的管控能力，按需勾选。

普通模式，又称为非执勤模式/生活模式，一般指手机在监区外，非工作状态的的模式，此时终端可以作为一个普通的手机使用。生活模式与执勤模式的对比表：

6.4.2  通用终端工作模式切换的管控

通用警务通终端各个模式/场景，都有对应的应用环境，不同的环境对应不同的模式，并且随着环境的变化，按照规则进行模式切换。

模式切换最基本的原则有：首先是用户进行重启，关机等正常操作，甚至是故意“破坏性”操作，终端都不会突破规则改变当前模式，如在监区内，用户任何操作终端始终在监区模式，都不会退出监区模式；

其次终端应该是根据预先设定的策略自动或者被动进行模式切换，这个策略在项目实施中设定，如终端带入监区，终端强制切入监区模式，哪怕是普通模式关机，带入监区后，只要终端开机，也会被动切换到监区模式。退出监区亦然。

再次，终端模式切换，都按照预设策略切换并把每次模式状态上报后台。

根据终端工作模式和应用场景的不同，在模式切换的策略中，既有强制性，如进出监区的模式切换，是强制的，用户无感知无法干预的；也有灵活性，如行政场景与普通模式的切换，用户根据需要手动切换。强制的模式切换，一般与物联网电子档围栏相关，如关联监区内外的蓝牙、NFC、WLAN、基站和位置信息。关于模式切换的策略，在5.1.3《终端工作模式要求》做了详细介绍。常见的做法如下，以某监狱项目为例：

该监狱用的华为单系统手机，定制了监区模式，普通模式和行政场景。监区模式就是监内使用，普通模式就是监外使用，但是在监区外，有时需要使用到OA,于是设置了一个行政场景。模式切换策略是：①手机任何状态进入监区，通过门禁和蓝牙基站，强制切换到监区模式；②终端退出监区，通过门禁和蓝牙建站强制切换到行政场景；③行政场景与普通模式，通过桌面切换图标手动改切换。

实施措施为：在监区内外部署若干大功率蓝牙基站，手机感知到监区内的蓝牙Mac，自动切入监区模式，感知到监区外的蓝牙Mac，自动切入行政场景。（手机蓝牙无法关闭）。同时，用手机刷AB门之间的十字闸门禁，实现模式切换（门禁融合切换，解决不了通过车辆通道进出的问题，所以又建设了蓝牙物联网电子围栏）。干警手动切换，只需要在普通模式很行政场景个做一个软切换按钮。

6.4.3  专用终端的工作模式定制

专用终端仅有一种工作模式，类似于通用终端的工作模式。如果专用终端采取定制三防机，一般是按需定制系统，以满足安全需要。在一线大品牌（如华为、荣耀等）手机开放接口能力的后，普通手机经MDM管控，同时结合监狱业务需，适配安全管控应用平台后，实现单一安全模式，作为行业执法终端的做法，越来越受到用户青睐。

专用终端手机只需单系统手机，通常是华为或荣耀手通过OTA升级到司法定制系统，然后定制安全工作模式，具体要求与做法可以参考6.4.1《通用终端工作模式的定制》的工作模式定制。由于专业终端只有一种模式，又考虑到使用安全需要，一般的做法是，开机登录系统密钥+登录工作模式的用户认证和设备鉴权等安全措施，确保只能由对应的干警使用。同时对使用环境做出限制，设置各种电子围栏。例如位置围栏，离开监狱gps范围，终端禁止使用；例如离开监狱覆盖的WIFI热点范围，终端禁止使用等。

随着手机的普及，专用终端在公安和司法领域是使用越来越多，单独一个手机，只做执法办公使用，安全、可靠、实用，项目落地也简单、高效。

7  终端网络接入安全体系与组网

7.1  接入体系架构

司法行政移动执法系统网络接入安全体系通过终端加固、信道加密、认证接入、接入前置设备、网闸隔离、接入控制设备和访问控制，构建包括司法行政移动执法终端、移动执法无线专网或虚拟无专用网络、司法行政移动执法网接入区、安全边界和司法行政移动执法专网的网络接入安全体系架构。

终端接入常见的方式，有些单位是租用运营商VPDN，有些单位是监狱通过加密WIFI，有些戒毒所直接通过双向物理隔离网站和防火墙接入自有机房。安全接入系统一般不是警务通项目建设的范畴，但又相关，故本方案从简介绍。

7.2  网络结构和内容

司法行政移动执法系统组网从网络结构：

 ①  移动执法专网（监狱/戒毒内网）：各监狱/戒毒所自建或统一筹建的本地移动执法网络；

 ②  司法行政移动执法网接入区：完成对接入移动执法专网的司法行政移动执法终端的审计、认证，以及电子政务外网与监狱/戒毒移动执法专网的数据隔离共享；

③  电子政务外网：通过电子政务骨干网实现全国互联；

④  移动执法无线专网或虚拟无线专用网络：通过移动执法无线专网或虚拟无线专用网络将司法行政移动执法终端连接到司法行政移动执法网接入区，也可通过虚拟无线专用网络将司法行政移动执法终端连接到电子政务外网。

8  终端安全管控与应用平台后台系统

后台系统部署在监狱机房，主要是系统管理员，监狱信息科，指挥中心使用。其主要功能有基础数据管理，用户管理、设备管控，应用管理，通知通报、交互信息管理、日志管理等等模块，几个常用功能截图如下。

后台设备管控界面和功能：

后台应用白名单界面和功能：

后台电话白名单界面和功能：

后台日志、网络、IIP等界面：

警务通安全管控与应用平台的后台系统，主要功能分为两类，一是手机管控部分，二是结合诸多的案例实践，总结了监狱戒毒所在警务通应用方面的痛点，开发了与“应用”相关的管理后台。基本覆盖了监狱戒毒所的全部需求。

9  下载功能与报价简表

请点击下载

司法警务通产品架构与功能简介.xlsx

安全管控与应用平台--报价简表.xlsx