第3章 No.087

系统权限的集中风险：技术人员的权限分配与备份

"系统密码只有一个人知道"——平时是效率，出事后是风险。那个掌握密码的技术员离职了，系统进不去了，参数改不了了。设备还在运行，但控制它的钥匙被带走了。

#工商业储能 #EMC合同 #系统权限 #权限集中 #人员离职 #数据安全

3:4 封面图 · 1080×1440px · 点击放大

储光者说

“系统密码只有一个人知道”——这句话，平时是效率，出事后是风险。

那个掌握密码的技术员离职了，系统进不去了，参数改不了了，故障排查无从下手。设备还在运行，但控制它的钥匙被带走了。

合同里通常写”服务商负责系统运维”，不写权限管理的规则。谁有密码、权限怎么分配、人员变动时怎么交接——没有一条被约定。设备可以换人，但系统的控制权不能悬空。

问题所在

储能系统的日常运维，涉及多个层级的操作权限：EMS平台的登录密码、BMS的调试接口、PCS的本地控制权限、通信模块的配置入口。这些权限的分配和管理，在运维实践中往往高度集中——一个核心技术人员掌握大部分权限，其他人员只在需要时向其询问。

这种集中的好处是效率高，责任清晰。但风险同样集中。核心人员离职时，如果交接不规范，系统的控制权就会出现真空。新接手的人进不了系统，不知道之前的参数配置逻辑，甚至连某些接口的存在都不清楚。设备在物理上正常运行，但在数字层面已经失联。

更深层的问题是，权限集中可能演变成一种事实上的锁定。当业主想更换运维服务商时，原服务商的技术人员可能不配合交接系统权限。没有密码，没有文档，没有交接，新服务商无法接入系统。设备还在，但控制权被原服务商的人带走了。这种隐性的锁定，让合同到期后的服务商更换变得极其困难。

一个具体场景

某项目服务商的一位核心技术人员离职。该人员负责EMS平台的日常操作和BMS接口的调试工作，系统密码和接口文档都在他个人手中。离职时，服务商未能要求其完成系统权限的完整交接。两周后，设备出现参数异常需要调整，新接手的运维人员发现自己无法登录EMS后台，之前的配置逻辑没有文档记录，只能通过重启设备尝试恢复默认设置。设备停运三天，收益损失约1.2万元。

如果合同约定了”服务商应建立系统权限管理制度，至少两名技术人员掌握核心系统权限。权限变更时，服务商应在5个工作日内书面通知业主，并确保备选人员具备独立操作能力。服务商应在合同签署后30日内向业主提交系统权限清单和人员备份方案”，技术员离职就不会演变成系统失控。

两种条款

常见写法：

“服务商负责储能系统的日常运维。”

替代方案：

“服务商应建立系统权限管理制度，核心系统（包括EMS平台、BMS调试接口、PCS控制权限）的访问权限不得由单一人员独占。至少两名技术人员应掌握核心权限，并具备独立操作能力。权限人员变更时，服务商应在5个工作日内书面通知业主，并在30日内完成新老权限的完整交接。服务商应在合同签署后30日内向业主提交系统权限清单、权限人员名单和人员备份方案。因权限交接不当导致设备停运或收益损失的，由服务商承担相应责任。”

差异核心：常见写法把运维当成一个笼统的义务，权限管理作为运维的内部细节被完全忽略。替代方案做了三件事——强制权限至少双人持有，要求人员变更时书面通知和限期交接，锁定交接不当的责任归属。核心逻辑是：系统权限是设备控制权的钥匙。钥匙的保管和交接，是运维义务的基础设施，不应该是一两个人的私人事务。

适用性判断

三问自检：

合同里有没有系统权限管理的条款？ → 没有的话，权限分配完全由服务商内部决定。业主不知道谁有密码、有几个人有密码、人员变动后谁来接。
权限人员变更时，业主会不会收到通知？ → 没有通知义务的话，核心人员离职对业主是隐形的。直到设备出问题需要权限操作时，才发现没有人能进系统。
有没有权限清单和人员备份方案？ → 没有的话，业主对系统的控制权结构一无所知。合同到期更换服务商时，权限交接没有依据。

一句话总结

设备在运行，控制权不能悬空。密码的交接，也需要合同管。

谈判参考话术

对方说”权限管理是我们内部的事，写进合同太琐碎了”：

“权限管理确实是内部事务，但权限交接的后果影响业主。核心人员离职导致系统进不去、设备停运，这种风险由业主承担，这不合理。我们建议合同只约定三条：至少两人持权限、人员变更5个工作日内通知、30日内完成交接。这三条是任何专业运维团队都应该做到的基本管理规范。不是干涉内部事务，是让基本的运维连续性有合同保障。”

如果对方继续说：“有些系统接口是厂商限定单人授权的，没法做到双人持有。”