华中药业移动信息化解决方案.doc

华中药业移动信息化解决方案华中药业移动信息化解决方案中国移动通信集团湖北有限公司襄阳市分公司 3月目录1 概述42 现状分析52.1 现状52.2 需求分析52.2.1 总体需求52.2.2 详细需求63 解决方案63.1 系统架构63.2 功能架构74 方案应用94.1 手机客户端功能94.2 短信功能94.3 移动化适配技术94.4 邮件推送应用144.5 安全解决方案154.5.1 专线接入154.5.2 VPDN拨号154.5.3 内外网安全隔离164.5.4 应用系统安全18图表目录图目录图 31 移动办公系统组网架构8图 32 移动办公系统组网架构8图 41 移动化应用插件11图 42 “移动办公”手机客户端界面示意11图 43 Pushmail示意图12图 44 移动专线接入示意图13图 45 端到端的VPDN通道13图 46 防火墙安全访问控制14图 46 网闸组网方案151 概述中国移动的移动办公业务满足现代企业办公的热点要求和发展要求，提供以企业短信、企业彩信、移动邮件为主的基础移动通信应用，以及办公管理、信息管理等应用为主的移动化延伸应用。同时，移动办公还能面向企业的协同办公、专业办公需求、提供移动ERP、移动CRM以及企业行业应用的移动协同等更丰富、更复杂的综合移动办公业务功能。基于3G互联网手机的移动办公系统，既摆脱了以往的基于定点办公的局限性，又摆脱了基于笔记本电脑基于移动办公的携带不便，实现办公信息以无线方式进行流转，无论人员身处何处，都能够很方便地进行日常办公，从而实现比传统模式更加便捷、灵活、高效的协作方式，为企业提供信息共享和信息集成的办公平台。中国移动移动办公系统完全遵循相关业务规范开发，能够完全满足移动办公业务需求。中国移动在移动办公领域经过长期的市场调研与实践，广泛与政府、工商、金融、电力、钢铁、物流、医药、卫生等各种行业展开合作，提供一系列有针对性的、便捷高效的优秀行业应用解决方案，塑造了一大批移动信息化成功应用案例，帮助政府部门和集团企业取得了更大发展。2 现状分析2.1 现状华中药业业务规模大，员工数量多，经过多年的信息化建设，华中药业在办公自动化方面已基本实现信息化改造，实现了网上公文的上传下达、邮箱、通知公告、新闻等应用。信息化改造不但给华中药业带来了工作效率的提升，也从侧面对员工的生产、生活带来了便利。但随着员工对信息化系统依赖程度的提升，基于固网的信息化系统也从侧面约束了华中药业日常工作的开展，经常出差或驻外的管理人员及一线业务人员要实现网上办公很不方便，有时反而会被固网应用系统困在了办公室里。对于业务较为分散的部门，特别像华中药业这样业务流程较为复杂，基于固网的应用系统已经无法满足企业正常办公、监管和维护的工作需要，日常公文和业务信息的查询和反馈的不及时，将造成人员信息沟通不畅甚至不对等，进而影响到华中药业的工作效率。集团日益复杂化的业务系统以及人员对移动办公需求的不断提高，使得华中药业部署移动办公的需求日益迫切。伴随着无线通信技术的不断革新和企业信息化建设的快速发展，现代办公模式也在发生着不断的变化，实时性、移动性、互动性成为现代办公的主要特点。“移动办公”作为无线通信业与信息产业结合的产物应运而生，成为继电脑无纸化办公、互联网远程化办公之后的新一代办公模式。“移动办公”以手机终端为载体，利用无线网络和宽带网络与企业信息化系统进行连接，建立起一套可移动化应用的信息系统，帮助用户摆脱时间和场所的限制，实现随时随地随意的高效迅捷办公。医药是一个竞争激烈行业，为了提升企业的核心竞争力，就要求提升运营效率，增进企业内部的信息沟通与管理。2.2 需求分析2.2.1 总体需求医药行业的信息化建设已全面展开，打造了成熟的企业信息化平台，涵盖办公、邮件、公文、新闻、通知公告、通讯录等各个环节，有效提升了医药行业的标准化经营管理。面对日趋激烈的市场竞争，医药行业对信息技术工作产生了新的需求：在确保企业信息安全的前提下，对企业信息系统进行移动化延伸和扩展，从而摆脱对固定办公场所和固定网络的信息化业务系统的依赖，真正实现随时随地随意办公外部需求。2.2.2 详细需求1、领导的会议日程比较繁忙，外出期间领导希望经过手机收到会议提醒、会议改期通知，以免耽误重要会议；2、电子邮件是现在办公的重要手段，领导希望不在办公室的时候也能够查看、回复重要邮件；3、领导外出时，需要不受场地和网络局限签批重要文件。待批公文到达时，领导将收到提醒短信，领导能够根据公文标题和摘要决定是否登陆移动办公系统、签批重要文件。4、员工或领导外出时，不必携带纸质通讯录，也不必在手机上存储大量联系人，只需要登录办公系统就能够随时查看同事、客户的通讯录信息。5、随时随地都能够查看公司的通知公告，新闻等，及时了解信息。3 解决方案针对华中药业的上述需求，中国移动能够提供全套“移动办公”解决方案，将医药行业已有的企业信息系统与手机移动化优势结合起来，利用手机终端构建规范统一的移动信息化平台。中国移动“移动办公”解决方案包括以下三个部分：手机适配方案对医药行业已有信息系统进行手机适配，实现移动化延伸短信推送方案借助运营商提供的移动化服务，提供方便的短信、彩信群发邮件推送方案结合医药行业已有邮件系统，实现移动邮箱功能3.1 系统架构基于中国移动移动办公业务设计的解决方案，只要有GSM/TD-SCDMA无线网络信号覆盖的地方，就能够利用手机等移动终端设备审批公文、查看公告、发布信息、实现通讯录管理，进行信息沟通和数据传递，提高企业内外办公的工作效率。网络结构图如下：图 31 移动办公系统组网架构3.2 功能架构MAS系统功能架构如下图所示：图 32 移动办公系统组网架构1）业务处理模块对从企业IT系统接收到数据信息进行处理，可包括信息处理及路由、用户认证、业务调度、日志处理和QoS控制等功能。l 用户认证模块： 对使用本平台的用户（管理员和企业用户）进行认证和鉴权；l 业务调度模块： 对预约服务和周期性的服务进行自动调度、对大量并发的需求进行调度；l 排队调度、对因偶然因素而失败的操作，进行重新尝试；l 日志处理模块： 包括用户访问日志处理、用户操作日志管理；l QoS管理模块：包括管理和限制各项业务的所使用的系统限额，调节各项业务的资源；l 运行优先级，保障各项服务的顺畅，使系统资源得到最大的利用。2）通信接口模块经过业务引擎提供的接口协议，实现服务器和业务引擎之间的数据通信，包括短信、彩信、Wappush、邮件推送、协同通信等。3）管理模块完成系统的自管理和服务，应包括网管接口和认证鉴权接口，可包括业务导航、路由管理、业务管理、数据管理、应用发布、统计分析、地址本管理、系统配置管理等。通信能力支持：系统支持的通信能力包括：短信收发能力、彩信收发能力、WAP通信能力、WEB通信能力、通信能力控制、失败重传机制、上行缓存队列溢出处理功能。4 方案应用4.1 手机客户端功能 一、公文审批及时查阅审批公文，提高公文流转效率，为领导的管理工作带来帮助；具体实现的功能模块如下：二、移动邮箱邮件被推送到手机上，以方便用户及时查阅回复。附件支持两种查阅方式：在线浏览和下载至手机离线阅读；三、企业公告实时发布企业信息系统的各类公告，便于外出时了解企业动态，也方便领导管理；四、企业通信录实时获取最新的企业内部人员联系方式。联系方式变更时，只需在企业通信录上更新，企业内部人员都能够得到更新后的信息；五、会议管理当公司要举行会议时，会议管理员在系统中创立会议。会议创立后，系统会自动将会议通知发送到与会者手机上，与会者能够经过会议管理功能查看会议的详细信息，包括：会议时间、会议地点、会议议题、会议准备材料。4.2 短信功能公文到达通知新公文到达时，发送提醒短信给客户，短信内容包括公文名称、等级、内容摘要等，客户能够根据短信内容决定是否登陆客户端即时签批；邮件到达通知新邮件到达时，能够发送提醒短信给客户，短信内容包括发件人、邮件主题等；会议日程提醒根据日程表中记录的会议安排，提前发送提醒短信给客户，便于客户合理安排时间，以防止用户由于事务繁忙耽误重要会议；会议改期通知会议改期时经过短信及时通知与会者，当客户外出办公时短信通知是最高效且普遍适用的方式；企业公告发布企业信息系统中有新的公告发布时，发送短信给客户，简单内容能够直接包含在短信内，复杂内容提供摘要，提醒用户登录客户端查看；4.3 移动化适配技术经过在移动办公MAS服务器上集成移动化应用插件，能够实现企业现有信息系统基本保持不变的情况下，将现有PC应用延伸到手机，实现经过手机登录现有IT系统，如下图所示：图 41 移动应用引擎移动应用引擎支持多种数据接口方式，实现手机应用与现有系统耦合。根据华中药业的系统特点，适合页面解析、转换的接口模式以下是手机客户端适配后使用界面示意图：图 42 “移动办公”手机客户端界面示意以下是手机WAP方式范围适配后界面示意图：使用该方案能够解决绝大部分B/S架构IT系统的手机移动化应用要求，而且无需对现有系统进行更改，可操作性高。如果系统中采用了微软ActiveX等专有控件，则需要现有系统厂商提供配合，以开放接口技术等方式配合完成适配工作。经过适配技术实现的手机审批功能如下：日常工作审批功能模块说明讨论沟通指定的讨论人经过手机填写讨论意见请示与批复请示与批复审批出差申请出差申请审批新闻及公告新闻及公告查阅日常请示日常请示审批借条借条确认、归还确认公司办事务审批功能模块说明公司办资料报送公司办资料报送手机审批一般办公物资维修一般办公物资维修手机审批复印、打印申请复印、打印手机办公用品领用办公用品领用手机审批计算机相关设备及软件采购计算机相关设备及软件采购手机审批发送传真发送传真手机审批车辆调派车辆调派手机审批计算机及相关设备维修申请计算机及相关设备维修申请手机审批公司通知功能模块说明通知通知发布手机审批费用相关功能模块说明付款申请付款申请手机审批考勤相关功能模块说明请假申请请假申请手机审批合同管理功能模块说明合同审查及用印申请合同审查及用印申请手机审批采购管理功能模块说明管理部门物资采购申请管理部门物资采购申请手机审批档案管理功能模块说明档案借阅档案借阅手机审批档案归档档案归档手机审批质管资料借阅申请质管资料借阅申请手机审批法律事务功能模块说明授权申请授权申请手机审批案件呈报案件呈报手机审批生产事务功能模块说明生产用设备采购设备维修申请手机审批设备维修申请设备维修申请手机审批生产事务功能模块说明生产用设备采购设备维修申请手机审批设备维修申请设备维修申请手机审批介绍信功能模块说明华中药业接待外来人员华中药业接待外来人员手机审批4.4 邮件推送应用经过移动办公MAS提供的邮件推送能力，能够实现端到端的Pushmail能力。区别于传统的“Pull”型收取邮件方式，Pushmail能够在用户邮件服务器收到新邮件后第一时间主动将邮件推送到用户端的手机终端，无需手机一直在线。图 43 Pushmail示意图l 支持POP3/SMTP、IMAP4、Exchange、Domino等各种内外网邮箱系统；l 真正的离线Pushmail，无需手机一直在线，省电省流量；l 支持附件的在线预览方式，提供更强大的附件能力支持；l 提供灵活的邮件推送策略，满足不同场景的应用需求。4.5 安全解决方案4.5.1 移动专线接入企业可申请采用物理专线方式将企业侧的MAS服务器接入移动网络。图 44 移动专线接入示意图SDH/E1专线接入具有可靠、简单、高效、安全、时延小的特点。l 能提供高性能的点到点通信，通信保密性强，特别适合保密性要求的客户需要；l 传输质量高，网络时延小，信道固定分配，充分保证了通信的可靠性，保证用户的带宽不会受其它用户的影响。4.5.2 VPDN拨号（移动专用接入点cmmail）移动办公业务手机客户端一般采用WAP或客户端接入MAS服务器，如果企业希望有更高的通信私密性，能够经过在企业侧部署LNS，在手机客户端到MAS服务器之间实现VPDN方式接入。图 45 端到端的VPN通道采用这种方式，要求企业侧部署LNS，包括路由器、认证服务器、防火墙等设备，而且要求手机终端必须支持VPN拨号方式。4.5.3 内外网安全隔离（网闸设备）方案中的MAS服务器需要同时连接企业内部信息系统和外部移动网络，因此需要考虑内外网的安全隔离问题。中国移动建议将MAS服务器部署在企业内部边界防火墙的非军事区（DMZ）内，并置于防火墙的安全保护之下。图 46 防火墙安全访问控制l 经过防火墙的NAT功能将MAS服务器的内网地址静态映射成可与电信运营商通信的外网地址。l 经过边界防火墙能够有效地限制移动通信网络侧只能访问MAS服务器的相应端口和服务。l 经过防火墙的安全策略可拒绝和阻断来自广域网、专线和政企内网的非授权访问和攻击。同时，MAS服务器作为部署在政企内部的一个独立服务器单元，可进一步将其置于企业其它安全系统的保护之下，如经过企业网内现有的入侵检测系统、漏洞扫描系统和网络防病毒系统对MAS服务器制定其安全访问、安全保护的策略和规则。对于华中药业，为了避免信息外泄和网络病毒侵扰等网络危害，内部信息系统网络可能是与外网完全物理隔离的，之间没有任何的信息交互。这种情况下，单纯使用防火墙的安全访问控制这种逻辑隔离已经不能满足内外网的隔离需求，需要引入具备更高安全等级的物理隔离网闸解决方案。图 47 网闸组网方案当内网数据需要发送到移动网络时，网闸主动向内网服务器数据交换代理发起数据连接请求，并发出“写”命令，将写入开关合上，并把所有的协议剥离，将原始数据写入网闸内的存储介质中。一旦数据完全写入网闸的存储介质，立即中断与内网的连接，转而发起对外的数据连接请求，当MAS服务器收到请求后，发出“读”命令，将网闸存储介质内的数据导向MAS服务器。MAS服务器收到数据后，按TCP/IP协议重新封装接收到的数据，交给应用系统，完成单向信息交换。内外网安全隔离与数据是经过两个相互独立的单向通道进行，即外网到内网单向迁移通道和内网到外网单向迁移通道。网闸可支持数据库访问、FTP访问、HTTP访问等多种应用类型，能够满足短信、彩信、Pushmail、移动OA等移动办公业务需求。4.5.4 应用系统安全1）多重身份验证对于移动办公业务，能够提供高安全的用户名、手机号和密码的三重绑定，保证用户账号和手机号实行绑定。对于更高安全的需求，还能够实现手机机体（SIM卡IMSI号或手机ESN号）与用户账号的绑定。ESN是手机的身份识别码，俗称串码，和手机号码没有关系；IMSI是网络接入识别码，是一个手机号码的唯一身份证明。当用户的域内SIM卡在PDSN上登录时，PDSN需核对SIM卡的IMEI号码及用户名及密码，正确无误后，将分配域内SIM卡指定的私网IP地址。当用户开通移动办公业务时，MAS服务器登记其SIM卡的IMSI号，当用户手机登录MAS时，同时对其系统账号和获取到的IMSI号进行匹配验证，同时验证经过后，才能使用MAS业务。2）高强度密码和强制密码输入用户每次登录系统，均需强制输入密码，不允许在手机端保存密码；设置用户密码有效期，超过有效期后，可强制用户修改密码；设置用户密码的长度范围，同时能够设定限制用户密码必须同时包含字母和数字；设置登录错误次数限制，只允许用户每次登录尝试可设定次数的密码，超出规定的次数，将自动在一段时间内中止登录系统，以防止对用户密码的穷举攻击。3）停用锁止当用户手机丢失，可报告管理员，由管理员在系统中将丢失手机列入黑名单，系统锁定用户所有的数据，并阻止用户登录。保证用户的机密信息不会泄漏。4）炸弹消息当用户丢失手机或手机使用权发生更变的时候，移动办公产品可发出炸弹消息，利用炸弹消息清空用户手机中移动办公相关的所有资料。5）离线数据加密移动办公产品手机客户端上保存的离线数据（如邮件、帐户信息、通讯录等）支持128位高强度AES加密存储，确保了数据的保密性和完整性，防止数据被非法获取或篡改。