简述内蒙古广电网络悦·互动平台SP、CP专区内容管控方案

程宏刚 娜 仁

1.2.内蒙古广播电视网络集团有限公司 内蒙古 呼和浩特市 010010

内蒙古广电网络在传播主流舆论和发展先进文化、维护意识形态安全和网络安全方面承担着重要职责，发挥着重要作用，是党和政府声音传入千家万户的主渠道，是满足人民美好生活需要的主阵地，是党和政府与人民群众密切联系的重要纽带。肩负着社会公益职能，公信力强、覆盖面广、用户群体大。随着内蒙古广电网络用户数量不断上涨，增值性业务不断接入，悦·互动平台SP、CP 专区应用急剧增多，因此，SP、CP 专区节目内容安全管控尤为重要。内蒙古广电网络集团消息安全管控系统具备节目审核、上下线、紧急关停的秒级防护手段，当发生内容播出安全事故时，可以第一时间采用最有效的方式解决出现的播出问题。

图1 悦·互动点播平台

1 概 述

目前，悦·互动点播平台共有37个业务专区，其中公共文化服务专区8 个、自建专区3 个、合作专区26个。悦·互动点播平台正在被打造成为一个集4K 板块、影视板块、教育板块、少儿板块、老年版块、娱乐版块等于一体的多元化、时尚化、智能化、便捷化的互动点播平台。

悦·互动点播平台目前采取科学的安全管控机制和先进的技术管理手段，将合作运营商的节目内容注入到内蒙古广电网络媒资库中，对节目内容进行严格审核，审核无问题后上线，对版权即将到期的节目或违反播出政策的节目及时下线。做到可管可控，保障播出安全。

1.1 系统主要功能

该系统主要由实时消息服务系统进行控制，运维人员发现故障后，可采用web 后台管理系统，一键紧急关停等：

实现点播内容类的一键下架，如用户正在播放该影片，则将直接退出播放器；实现SP APK的一键关停/退出；实现用户终端分组管控，可依照不同条件进行终端分组，同时根据不同终端分组实现以上功能；提供web后台管理界面，方便运维人员的操作与管理。

1.2 建设原则

1.2.1 高并发原则

系统采用服务无状态设计，有状态配置可通过配置中心实现无状态，以便于后期水平扩展；采用拆分设计，可依据系统维度、功能维度、数据读写维度等进行拆分，以提高系统性能和可靠性；采用服务化架构，如可为不同的业务方提供服务分组、隔离、限流、黑名单、超时时间、重试机制、服务路由、故障补偿等，以提高系统服务的质量；系统采用消息队列实现服务解耦、异步处理、流量削峰或缓冲等；采用数据异构或数据闭环的方式，实现数据的自我控制，当某个模块出问题时不影响其它模块。

系统支持多级缓存，如接入层缓存、逻辑层缓存、应用层缓存、数据分布式缓存等；支持并发化设计，如数据的并发获取等。

1.2.2 高可用原则

系统支持降级，高并发情况下可保证核心功能稳定运行，次要功能可由同步改为异步策略或屏蔽功能；支持限流，可防止恶意请求攻击或超出系统峰值；支持流量切换，可自动屏蔽故障机器；支持回滚，当前发布版本失败时，可随时快速回退到上一个稳定版本。

1.2.3 安全可靠性

具备完整的操作权限管理功能和完善的系统安全机制，能够对每个操作员的每次操作有详细的记录。确保消息发布的安全与完整性，在系统出现问题时，必须保证系统数据的完整、可恢复以及消息发布的完整性。

确保系统在运营过程中管理的各种资料的信息安全、系统与其它相关系统信息交换过程的安全等。

系统必须满足运营级的可靠性指标，保证系统7×24 小时的不间断服务；系统具备平滑升级的能力，在升级过程中，必须保证业务不间断。在升级出错时，系统可回退处理；具备数据监控管理机制，可查看并记录每个消息数据的相关信息。

1.2.4 接口标准性

系统必须提供与第三方系统对接的统一、稳定接口，实现统一接口协议的处理，带宽等资源占用小。

接口要求具备与各种消息系统的对接能力，能够适应不同消息业务的特性和功能，能够采用统一的模型完成对多类消息业务的融合处理，能够支持多级分区域管理需求。

接口交互功能与核心业务功能分离，实现单独的接口组件，保证核心业务代码不与接口直接相关。

2 系统设计

2.1 系统框架

如图2 所示，整个方案主要包括内容应用、消息管理、消息系统和终端这四大部分组成。其中消息系统为整个系统核心，所有内容应用指令都通过它进行服务。

图2

消息管理：消息的生产平台，可接受第三方平台（如：BOSS） 和平台其他业务系统（如：AAA 模块、媒资模块）的消息同步，负责消息用户组、消息内容、消息投递规则、消息行为动作等数据的生产维护。

消息投递平台：根据消息投递规则，将消息管理平台生产的消息投递到消息系统。

消息系统：接收消息投递平台投递的消息，提供消息服务给终端，进行应用的实现。

终端消息中间件：获取消息系统推送的消息并做最终的终端呈现。

图3

2.2 流程设计

2.2.1 建立消息通道

当调用连接过后，会通过网络状态监听，确认有网络接入，并且连接成功。连接成功过后，加入可重入的机制，在发送或者消息时能够让系统同时处理，提高处理数据的效率。

开放统一接口给外部使用，让整个收/发消息都通过可重入队列执行，保证处理消息在子线程，回掉到外部时在主线程。

2.2.2 心跳监测

当连接创建成功后，将开启一个轮询线程，每隔一段时间发送心跳消息给服务器端，用以维持长连接。

TCP 协议为了节约网络流量，在一定时间内如果没有与服务器通信，会断开连接。

2.2.3 消息通道重连

当消息通道出现与终端或服务终端的情况时，消息系统会再次发送重连消息到对应系统。

例如终端系统，收到重连消息后，则与服务端再次建立长连接，避免因网络等问题出现终端后，无法进行控制。

图4

2.2.4 消息发送

由消息管理系统首先控制发布终端、实时/定时、指令类型等；通过消息发布系统，完成待发送消息的封装；根据配置策略，完成消息发送。

图5

2.3 消息SDK设计

消息SDK主要负责接收及分发消息，内部实现了初始化、建立连接、保持心跳、收发消息、解密消息等功能。第三方APK直接集成消息SDK，无需关注消息系统内部业务，即可轻松实现消息的收发，及相关业务。

将消息SDK 通过jar/aar 的方式引入到代码中。

在应用启动后，对SDK进行初始化操作，传入必要参数，设置相关监听函数。

在相关监听函数中，接收消息。

根据接收到的消息类型，实现对应的业务逻辑，消息的类型，主要包括普通消息和命令消息。

普通消息，可用于实现活动通知、公告等业务，用于弹窗展示或用于消息列表展示。

命令消息，可用于实现发送关闭APP、媒资下线通知、抓取日志、清理缓存等业务。

2.4 终端交互

现需终端程序与消息服务中间件建立起连接，为了实现客户端消息的正确接收，客户端在建立起消息服务中间件的连接之后，终端信息进行上报。具体的交互流程如下：

3 系统功能设计

3.1 系统功能（详见下页表格）

序号类别备注功能模块1 2 3 4 5 6 7 8 9 10定义内容下架内容的搜索异常内容紧急下架异常内容快速搜索用户终端异常内容播放关停内容关停异常内容关停后，终端将提示节目暂时不可用。1. 平台下架异常内容2. 发送通知3. 终端若正在播放该异常内容，收到通知后退出播放并提示节目不可用。SP 牌照方异常内容APK 关停退出信息提示APK关停平台1. 平台通知APK退出2. 平台禁用SP 3. 终端SP 认证不通过，无法进入APK。4. 平台启用SP，终端认证通过，正常展示。关停备查对关停相关信息的记录，和对关停记录的查询。系统支持按地区、IP号段进行分组控制。终端分组管理消息发送管理支持多维度的发送模式：发送时间、发送范围、消息级别。支持媒资一键关停提醒、普通消息推送等。消息分类管理终端集成消息SDK集成支持launcher对接、SP对接。11平台对接SP内容平台给对应SP发送内容下线指令终端开发APK，APK 内部集成消息SDK，并提供两个接口：1. 给SP（APK）发广播，传递消息内容。2. 给SP（WEB）提供轮询接口，SP主动轮询消息。SP 终端通过平台同步的下线状态更新终端界面，不再展示下线内容。

3.2 内容下线

在平台运营过程中，有时会出现媒资视频播放卡顿、内容非法等情况，需要立即下线媒资节目，并让正在播放异常媒资视频的终端立即停止播放。此时可通过消息引擎为所有终端用户推送一键关停消息，将需要立即停止播放的媒资视频的信息推送给终端，终端收到消息后，如若发现当前正在播放异常媒资视频，则立即强制停止播放。以此实现平台对终端播放内容的实时管控。

3.3 APK关停

APK 关停功能，由管理平台设置消息指令策略，由消息服务器封装指令信息发送至终端，终端系统采用结束当前APK进程方式，进行关闭，成功关闭后，后台管理系统会同步该APK 的状态。

图6

3.4 系统安全

3.4.1 网络安全

网络上将从物理上将各个网段进行隔离，相互之间不可进行访问，服务器的管理网络、信令交互、与单位内部交互、与CP/SP业务交互、用户业务交互、用户视频流交互都进行独立，且默认不开相互访问；在与用户业务交互、与CP/SP 业务交互的网络处增设防火墙，防火墙只开放特定业务端口的访问。

对公网用户提供服务的服务器进行单独部署，从物理网上与内网业务网段进行隔离，后端数据库服务器、缓存服务器与内网业务服务器共用。

物理布线及服务器上架过程中将相同业务服务器上架到不同机柜中，从物理上保障及时服务器A/B 两路供电都断掉的情况下仍然有一半服务器可以正常提供服务。

3.4.2 系统安全

图7

系统安全可以从业务服务监听地址、端口、操作系统防火墙、业务软件访问限制、业务管理员密码多个维度进行控制，服务监听端口只在特定的网络上进行端口监听，例如数据库服务、缓存服务只在服务器信令交互网络上进行监听，其他网段将无法探测以及扫描到该服务端口，只提供本机访问的服务只在本机回环地址上进行监听，除本机外的任何主机均无法探测、扫描和访问该服务，管理用业务服务只在管理网络地址上进行监听。

系统超级管理员密码30天定期修改，且由特定人员掌控；普通运维人员使用分配到个人账号进行登录维护管理。

业务软件对访问进行限制，例如WEB 服务将限制部分特定业务目录只允许管理员访问。

缓存服务器、数据库服务器只在服务器间信令交互网络上提供服务。

中间PHP、HAPROXY 只在本机回环地址上提供服务。

系统防火墙只配置特定业务端口的开放，数据库服务器、缓存服务器将配置只允许业务服务器才可访问。

3.4.3 防篡改

在现有情况下，对于计算机系统中存储的数据，在数据被非授权变更的情况下，不能做到实时的发现、通知、以及恢复被变更的数据。我集团使用了一套安全稳定的防篡改监控系统，在数据被非授权变量的情况下，能实时发现变更、发送通知、甚至恢复被篡改的数据。系统分为三个子系统：配置中心、监听程序和数据源采集。

配置中心用于配置需要监控的对象（目录、文件），对异常变更的恢复方式，日志上报、报表查看等功能。

监听程序运行在需要监控的主机上，每分钟上报心跳，监听基于系统内核inotify 事件、实时发现被监控目标的异常更改、执行通过配置中心配置对各种监控对象的处理方式、如忽略、告警、恢复等。

数据源存储标准数据、用于恢复被监控对象的异常修改。

4 终端集成

4.1 方案一：Launcher对接

launcher 应用需集成消息SDK。

在CMS 平台编辑指令消息，编辑接收方（可指定某一用户或某一设备进行发送，也可全部发送），编辑相关参数（指定关闭APP 的包名等），编辑消息发送时间（可立即发送、也可定时发送），编辑完成，发送消息。

消息SDK接收到消息后，先对消息进行解密，将指令消息吐给launcher应用。

launcher 应用接收消息，对消息进行解析，获取需关闭APP的包名，关闭制定包名APP（可发送广播由APP 自己关闭，也可通过包名直接关闭APP）

图8

图9

4.2 方案二：SP-APK对接

sp应用需集成消息SDK。

在CMS 平台编辑指令消息，编辑接收方（可指定某一用户或某一设备进行发送，也可全部发送），编辑消息发送时间（可立即发送、也可定时发送），编辑完成，发送消息。

消息SDK接收到消息后，先对消息进行解密，将指令消息吐给launcher应用。

sp 应用接收消息，对消息进行解析，保存数据，释放资源，关闭当前应用。

目前，内蒙古广电网络悦·互动平台SP、CP 专区内容管控系统正在运行中，随着数字技术的不断进步和内容管控要求的不断严格，内容管控系统将继续优化和完善，做到对节目内容的精准审核和安全管控，将健康丰富、积极向上、优质安全的节目内容传播到千家万户，提升全区用户的收视品质。