基于RBAC 的成品油协同监管访问控制模型*
2014年2月08日 09:44 作者:李晓辉,贺 冬,王 炯,彭本辉
基于RBAC 的成品油协同监管访问控制模型*中国论文网*Gej"b x kvU
李晓辉,贺 冬,王 炯,彭本辉
){ Z B\
m
bwbI:aD0（国富通信息技术发展有限公司, 北京,100176）中国论文网/k"W1H)v/s%i
摘要：石油流通市场的有效监管对于维护该市场的健康、平稳发展有着重要意义。针对成品油协同监管过程中的访问控制问
S$N5A+j%n8~4v Q)w0题进行分析，提出基于RBAC 模型的二元访问控制模型。该模型作为核心应用支撑，被应用于成品油协同监管服务平台的建设中国论文网9l}
i.a `({
中，实现了信息资源在访问范围和访问操作维度上的分离控制，提高了访问控制的有效性、便捷性、安全性和灵活性。中国论文网/e-aC4t,^ z*R&i3I
关键词：协同监管；RBAC ；二元访问控制模型中国论文网mZ k {}:Uj
随着我国政治体制改革不断深入，我国政府管理模式逐渐
*kP*Xi1{0趋向“大社会小政府”模式，政府职能从“管制型政府”向“服务
-m2h
J9r"V(u1O
P0型政府”不断转变，以进一步适应和推动具有中国特色社会主义中国论文网.H bs g P&^ p b2r8v
国家的经济、社会、文化、政治和生态的可持续发展。石油作为国中国论文网,HY
K W%E ^
家重要战略性能源，其市场监管呈现协同化、动态化和层次化特
tt2M0c@+R o4A\ v0征。
Y.E$} qy6c1@^ X0为保证全国成品油流通市场的健康稳定运行和发展，国家中国论文网 M } S9X+? R `#P;D
石油行业主管部门特立项建立基于物联网技术的成品油协同监中国论文网 Y vi5fDN
管大型应用服务平台，为我国成品油市场监管提供信息化支撑。中国论文网
L-m}
`N
v}
k b
针对成品油协同监管访问控制中的协同性、柔化性等方面问题，中国论文网5m4Blz RK;i ? cCp
基于RBAC 模型建立以二元访问模式为核心的访问控制模型，实
Rwq7X!Tk!M&`F0现了信息资源在范围和操作两个控制维度的上的分离控制，提中国论文网7@ ^&S g!m:T-P
高了协同监管访问控制的适用性和灵活性。
q2m]~[/O01 成品油协同监管
)Vs'GyX,BY*_2F01.1 协同监管体系
:F+Z[%a:R y
z
ZE0随着中国经济的快速稳步发展，各生产、生活领域对于石油中国论文网#N8h U.R\0^9c
产品，特别是成品油的需求量不断增大。成品油作为重要的战略
Y,H9P(eTW0性能源，对社会经济的影响不断加强。我国成品油市场监管中，中国论文网*R o
XH4o#S
存在监管主体多元化、监管内容重叠化、监管流程协同化和监管中国论文网l kh&?? t9NJ kh
政策灵活化等方面特征。我国成品油市场主管部门主要包括商
lt2x8l S$As0务部及各级地方商务主管部门、发改委，行业管理的其他相关管中国论文网C&_ oZ.To j%u?
w
理部门还包括质检、工商、税务等部门。中国论文网8D4^D V3YQB
我国成品油协同监管以商务部及各级地方商务部门为主
b ^y s%t~V0线，形成了纵贯国家、省、地市三级商务管理部门，横联发改委、中国论文网O+h@-yu;d3l8\%\
质检、工商等相关管理部门的协同监管体系框架。该体系框架如
_z*YlYC}P0图1 所示。中国论文网0i0Wks1}
图1 成品油协同监管体系框架中国论文网ht7CVZHF
Fig.1 Refined oil synergetic management framework
b } H:\{JGd;e0上述体系框架中，根据协同监管主体之间的职能划分关系，中国论文网Tf zG Bz
H
协同监管行为分为内部协同监管行为和外部协同监管行为两中国论文网.N_d&n*J
类。内部协同监管行为是指同一政务职能领域内的不同层级监
K lxAb nW0管主体之间的协同监管。在内部协同监管中，各监管主体之间的
O;}3UX ^9e0监管行为呈强耦合和互斥关系，并呈现层次性、范围化等特征。
y:H
J\]3WY0外部协同监管行为是指不同政务职能领域的同级监管主体之间中国论文网"uq0z1?s$_
的协同监管。在外部协同监管中，各监管主体的监管行为相对比
6~
r!_FQs_7ua0较独立，呈松耦合关系。中国论文网 wh OxE
1.2 协同监管平台中国论文网%^T n N L3k7C
W
结合国家、省、地市各级商务管理部门和其他相关行业管理中国论文网]B*f }&Q(e4T:v'A
部门对成品油市场发展和监管的需求，商务部特立项建立基于中国论文网 jD
h:{e"j$vQ
物联网技术的成品油协同监管大型应用服务平台—成品油协同中国论文网W _5h!uI j
监管服务平台，被列为科技部国家科技支撑计划重点项目（课题中国论文网aO n&R5K p
编号2011BAH17B03）。成品油协同监管服务平台的系统架构如中国论文网 ~'wO ]"xn b3t&i
图2 所示。中国论文网'ne Q4k W^2Ds
图2 成品油协同监管服务平台系统架构
/M@.lobJ8G&` s0F i g . 2 S y s t e m a r c h i t e c t u r e o f r e f i n e d o i l
Vni l-s&l~0management platform中国论文网'noU,[ C sq'i
在建立科学、有效的监管指标体系基础上，该项目重点研究
pW A5EK#H:k9n G
k0协同监管、动态数据采集、智能决策分析等方面关键技术，构建中国论文网 wn O;eo0dj i
^&T-Qt
纵向贯通国家、省、地市三级商务管理部门，横向协同发改委、税中国论文网L7pUsR
务等相关部门的国家级成品油协同监管平台。成品油协同监管
!?;y] \
I{:V*x0平台面向各级商务主管部门、相关部委及成品油企业，基于物联
V`L4[7p.\zwt)n(? v0网技术实时采集成品油存量数据，建立存量库、企业库、预警库
;fl zMG zT&x0和法规库等数据库，提供存量预警、辅助决策、监管服务、门户服中国论文网'S3E*M*o m[ v/?#a s"F
务、审批许可、公共服务等协同监管服务。中国论文网o'Ia AY9A,y9E r
2 RBAC 访问控制模型
8Hj D@i }*g%fZ02.1 RBAC 概述中国论文网\ f?
N;D+Q#V
访问控制（Access Control）是在存在多个信息干系主体中国论文网7Ae2S%p L
的系统中，根据各信息干系主体的功能身份，对系统信息资源中国论文网0q2{/Pq&b9d Pc2_ l
进行授权、控制和统一管理的规定和机制。目前国际通用的访
c^Z c3z"K#e0问控制模型主要为三种：自主访问控制模型（Discretionary中国论文网*B T#X c+aJ TY
Access Control, DAC）、强制访问控制模型（Mandatory
g+]hpY9D J;M0Access Control, MAC）和基于角色的访问控制模型（Roles中国论文网9m|&D ~;f6KjC9Q
based Access Control, RBAC）。
e
d5QC^ {#KV0RBAC 模型作为一种能够有效实施系统权限的访问控制方
JV"X
h6g-ex7o ~T0式，引入角色的概念，真实地反映了系统的授权和责任，能够较中国论文网k9B(o
y
~%G;ihm9d
Z
好的保障系统信息资源的可控访问。自从1992 年RBAC 模型提
\W6` i1`Z1u0|0出以来，经过了不断地发展和改进，其中比较有代表性的RBAC
U~"S&T7VDB2av0模型包括RBAC96、ARBAC97 和ARBAC02 等。RBAC96 模型是一
.I+fN k)j7?T&}J0种应用广泛的基础访问控制模型，该模型提出了RBAC 访问控制
})[ e2n2z g.x} T0的最小规则集合，定义了用户、角色、会话、访问权限及其映射
z+ILK0n|%|1O0关系等模型基本要素，并在角色继承、继承约束等方面进行了扩
/_w0Y GX%SK5V0展。基于RBAC96 模型，提出了一种用RBAC 管理RBAC 的模型，中国论文网D
?
A.e J;C
称为ARBAC97 模型。该模型的主要特点是利用RBAC 思想管理中国论文网2M R(gY t0m |5S
用户- 角色、权限- 角色、角色关系三组指派关系，相应地定义
)q1rz ARF{0URA97、PRA97 和RRA97 三个子模型，实现了RBAC 模型管理的中国论文网r;V f1{3[3E/zC
自包含特性。ARBAC02 是ARBAC97 的一种改进模型，该模型通
K
hi0x"p D S ]0过引入组织结构、用户池、权限池等概念，提高了指派的效率和中国论文网)o H.F)pZ_V"gZ@
安全性。
g)}2[._ Y"t Z#i L02.2 RBAC96 模型中国论文网0U wW3~ _ v D
RBAC96 模型是RBAC 的基础模型，定义了基于角色访问控中国论文网@c@b,\
制的基本要素和控制思想，是本文成品油协同监管协同访问控
j3mk5q!e0x g.G*w0制模型的改进基础。中国论文网)d/J8A IYF
RBAC96 模型确定了RBAC 的核心思想：在用户和权限之中国论文网"h&JqpB.SG0}sC
间引入角色的概念，权限首先被赋予角色，为用户赋予相应中国论文网R%X4`"I CN3e/[1K
的角色，通过角色授权来控制用户对系统信息资源的可控访中国论文网I H!Qzb'DU W y
问。RBAC96 模型按照其演进路径，被分为四个模型—RBAC0、
]y.HYA0RBAC1、RBAC2、RBAC3。其中，RBAC0 是核心基础模型，定义了中国论文网B8W+b4?*C.u!V
R
用户、角色、操作、权限和客体等要素和“用户- 角色”、“权限-中国论文网&oU*A }#s3D E
角色”两组授权关系。RBAC1 和RBAC2 分别基于RBAC0，从角色
l2G!n_E x0继承和约束两个角度对模型进行扩展，二者改进部分是独立的。中国论文网 mA%v ["DRO
RBAC3 整合RBAC1、RBAC2 的改进特征，建立统一模型。RBAC96中国论文网/w t ZS+y"`4ul
模型框架如图3（a）所示，RBAC96 模型如图3(b) 所示。
H/A_7Vp3e#P p\0上述RBAC96 模型中的主要组件定义如下:
G-a ^*tF
u0● 定义为有限集，分别表示用户、角色、权限和会
0C)`6vx } ~0o0话集合。
Z"bL'ue0● 定义为一个P 和R 上的二元关系，表示权中国论文网C&s,] O/wm4[|8L/O
限和角色之间的多对多分配关系。中国论文网 q*{
N Bm)DTt
● 定义为一个U 和R 上的二元关系，表示用中国论文网 Qu.llyJ
户和角色之间的多对多分配关系。中国论文网2MA z-K?#c1R
s
● 定义为一个R 上的偏序关系，表示角色之
yg1G5A6_ O`#Ht0间的继承关系。
9v ],`^8p0● 定义为一个S 到U 的函数映射，每一个会
@ X*Y;y F?0话对应单一的用户。
$G[ ul#y9e0● 定义为一个S 到幂集的函数映射，一
I~!Oc w'H;~T
L0个会话对应角色。
E8oP:l.m$so03 成品油协同监管二元访问控制模型中国论文网o x t g[ u$uH,_B h
3.1 问题分析中国论文网$A|US3DT%j"O!F
成品油协同监官服务平台的研究和设计中，访问控制组
1_4X-?J4B/f
I.N0件作为信息协同模型的核心组件，针对关键性业务问题，基于
L5V@u+}GY.i2~_ @0RBAC96 模型进行扩展，建立具备良好业务适应性、灵活性和科
g9~ @
p$lH,m2l;q0学性的成品油协同监官服务访问控制模型。中国论文网[-r.a t ]5nh)M
在深入充分调研的基础上，重点分析和研究了成品油协同中国论文网} zN)v{Q]|
监管服务实施中的访问控制主客体、访问控制映射模式和访问
#KF fn$@v4gr h0控制灵活性等方面问题。
:f @$Z
q k2v"|01) 访问控制主客体中国论文网A8y2L-KKn @
成品油协同监管服务中，实施访问控制的客体是各地区的
#j P+r S Unc0成品油企业信息、法规信息、存量信息和决策信息。访问控制客中国论文网 lz3u?Ng }.Y)gs
体具有明显的地域层次性，按照全国、省、地市三级进行地域归中国论文网&l{GwH(M
属。成品油协同监管主体主要包括国家、省、地市三级商务管理中国论文网{|j$mu+LQ i
部门，其访问权限与其行政职责对应，同时受其所辖地域范围约中国论文网4N3Ct-JZfJ}
束，具有地域层次性和行政层次性的两重性特征。中国论文网*h?!o6[N3a)BN
2) 访问控制映射模式中国论文网)CS"z1}FD6I0d
访问控制映射关系主要包括“用户- 角色”和“权限- 角色”中国论文网/X K'P9k'k
两类，而“权限- 角色”映射关系的设计是成品油协同监管访问中国论文网 ~I.N3d"o
控制的关键所在。成品油协同监管服务受协同主体两重性影响，
7DIW-x#K&gVd0其访问控制内容也包括访问对象和访问操作两个维度。其中，访中国论文网2[K3K.G U&o1?4k
问对象主要受地域范围约束，访问操作主要受行政职责约束。
+Jh D&np[,}6U03) 访问控制灵活性中国论文网
}
cD ?L1~
随着国内外石油市场不断变化，我国成品油行业监管不断中国论文网(a*u&Cm1v.\
@`r;S
调整和优化，行业审批权限呈现下放的趋势，新政策的应用试点
;B3f3C FQ P.T2t H&_0也在酝酿中。在行业政策调整过程中，各级监管主体的权限会发中国论文网e-}5_s/S
生迁移现象，这要求访问控制模型具备灵活调整“权限- 角色”
EY@9x ^
?*h j0映射关系的能力。
_$WBXNX1K|x03.2 概念定义
N p[1my qA+a8w0定义1 地域范围E 定义为基本地域集合D 的幂集上的
"x_-B~
o(q@"V&P1?0一个子集，表示具有层次性结构的地域区划范围。若且
/FC P1~0p(^a${ x"Sc0，则称为的上级区划范围， 为的下级区划范中国论文网)z,`%sij4]4j!F
围。中国论文网Gn&X0I|4a{(A
定义2 角色R 定义为一个有限集合，表
$vx:I0c_$f2s(bz0示组织中的一个具有某种职责的权力/ 责任集合。
XP+q
j`6@0定义3 二元角色定义为一个二元组的有限中国论文网%a%Ev#n
yhX
集合。其中， ，分别表示角色的地域管辖属性和职中国论文网5E$Y%cRW4@ L)m
责属性。中国论文网!\ YNmNBP a
定义4 权限P 定义为集合，中国论文网6y x+nkm9h&F VfR
表示对特定客体的特定访问操作模式的许可。其中，中国论文网6w,{ \e ^ v
，表示访问对象的集合；
p0Y!P(F\)a0，表示访问操作的集合。
$s+Lf]2qw](`p(d0定义5 二元权限定义为集合中国论文网$B f|]Vub
，表示特定地域范
3Ug&Ur*J6d:m S8T o+a0围s 约束下的特定客体的特定访问操作模式的许可。其中，
o?p6QM6B*E6^&S0，表示在地域范围e 约束下的访问对象的集中国论文网(]3_ O.^ N"S
合，满足； ，表示访问中国论文网P*K
z2t BT
操作的集合。中国论文网#U7{ i H B&Pv\T
定义6 访问许可函数定义为，
o$Uz2A cg hS0，其中，表示二元角色拥有二元中国论文网h:y%[
I c9r
权限，则函数值为真（ ），否则为假（ ）。中国论文网 h}i:r4z
3.3 模型描述中国论文网m)y1avtVG6s
成品油协同监管二元访问控制模型继承了RBAC96 的基本
fG5m@1jEMw0元素定义，以协同监管实际需求为导向，引入二元角色和二元权中国论文网d*dL
H N
?/o2q9~W
限的概念，实现了范围和操作维度的分离访问控制，增强了访问
X$~/_E j3L-P0控制的灵活性和适用性，为成品油协同监管服务提供了有力的中国论文网 ~
h uO(O G
基础模型支撑。基于RBAC 的二元访问控制模型如图4 所示。中国论文网 ZY5MROX-| u)B
图4 基于RBAC 的二元访问控制模型
m j,v;qgf;H-f$J0Fig.4 Two dimension access control model based on
G6yP8~5}(v H0RBAC
[h;y9K#vU0上述模型继承了传统RBAC96 中的用户、会话、约束、权限
w V$B7\5M8p0u0等概念，包含了地域范围、二元角色、二元权限和访问许可矩阵中国论文网x pm*u h$s M y
等核心组件。中国论文网/y+m
L8KUG wA
1) 地域范围中国论文网 V5L)c;J5fr
根据成品油协同监管体系框架的层级设定，建立覆盖全中国论文网'^Z_ k
C n,EE
国的国家、省、地市的三级地域范围组件。设基本地域集合
I8pGY7v@0，其中是某地市级地域。地域范围定义
6`][~}0为地市级地域集合D 的幂集上的一个子集，其中包含的元素
Q{'s5[0qr{ o*p0分为国家、省、地市三个层次级别。
{+H }5CXa7e8bB
KJUW0地市级元素定义为，表示地市级别的地域范围。国家级
[D t$@
Nk8[l [0元素定义为全集D，表示全国地域范围。省级元素定义为D 的一中国论文网tLa1WT
个子集。省级元素集合满足：中国论文网u-@a0g_O}
，且。中国论文网v/[y4jtMu
2) 二元角色中国论文网o Cq'C?%I$}$ZKJ
二元角色是二元组的有限集合， 分
\A1S.K'C/Tf.j0别表示角色的地域管辖属性和职责。地域管辖属性既体中国论文网|)euSV G6Q2R
现了该二元角色可访问信息资源的地域范围约束，也体现了该中国论文网*DZ,@ F[.u:R"Y,w
二元角色职责的管理级别（国家级、省级、地市级）。中国论文网:A7{$A paTl F
3) 二元权限
:hQ;N2x,yP0二元权限表示某个地域范围e 约束下的信息资源访问
^:V:F!vk
B8a5A5~0范围和访问操作。二元权限定义为。其中，中国论文网 R0E]:g8r{;b
，表示地域范围约束下的可访问资源集合；
4d m@_1\M"d0，表示访问操作的集合。
dI2iZ"s:c+x04) 访问许可矩阵中国论文网1b%^!E;GL+~ P
访问许可矩阵G 表示二元角色和二元权限之间是否具有分
@$kDS
yO0配关系，用访问许可函数量化表示。
x$a/zD!z.t{b5p!R0色不拥有权限。G 满足以下约束：
n
As?q R$H{Kge0a) 地域范围约束中国论文网#I
XY0Z&X e1Y]7C"L
设二元权限, , 设
Op,eA)j9y0二元角色， 的必要条件是： 。地
m wS.bB3l`0域范围约束表示某个二元权限仅能被具有该权限的地域属性或
8k Qx E}.n oC0上级地域属性的二元角色所拥有。中国论文网)@ A4`8U&\5{ t5R
b) 权限互斥约束
3i pb6Q&u&Hs
W j5q0在访问许可矩阵G 中，对于任意一个，所有的访问许可中国论文网6bg.hg%^\ D`9Zp)g
函数中有且仅有一个访问许可函数的值
6Q
i-ydw0为真（ ）。权限互斥约束表示某个二元权限（主要是行政审
-| P
i s3r\:o0O0批类权限），仅被赋予单一的二元角色。
g s#R"y[7zu04 应用中国论文网 P!Z%A^ WZt&X7L-z
为保障国家能源安全、加强我国成品油流通市场的健康、稳中国论文网TbejW g!?
定运行和发展，国家行业主管部门会同相关管理部门开展基于中国论文网}@Q'^p M1Dwu3c
物联网技术的成品油协同监管关键技术研究和平台建设。平台
_,I}2_ ?a9M U0建设基于“纵贯三级商务主管部门，横联其他相关管理部门”的中国论文网aC ~| X6~ @
成品油协同监管服务体系框架，以“基于RBAC 的二元访问控制中国论文网,Fo,]
N*YL i|
模型”为核心模型支撑，实现不同职责的不同角色之间的信息资
}U#Y%vF Y9D(l0源访问控制和协同监管行为。
%S(H ["G,uL9M,~M~0作为成品油协同监官服务平台的重要应用支撑系统，二元
u sW k%fy)nf2`0访问控制模型以国家、省、地市三级地域范围组件为基础，以二中国论文网x3dg o~C|
元角色（地域约束下的经办、主管处长、司领导和部领导等）和
dzK-X!_0M8B-F0二元权限（地域约束下的材料接收、初审、终审、发证、辅助决策
O8p8wm o4U2i/}0等）为核心，以访问许可矩阵及变换为重点，实现了地域范围和
z1e3w BsL{0操作权限两个维度的分离访问控制。成品油协同监官平台的二
3~Q r YwEAY)Y1x0元访问控制模型实现模型（实体- 联系模型）如图5 所示。
^)c S9h2w
{;WeGJ0以行业主管部门对成品油协同监管服务的实际需求为导中国论文网#o^BrI"k(_e
向，针对协同监管中的安全性、高效性、灵活性和适用性等方面中国论文网7eItC#F$i6WU
要求，基于RBAC 的二元访问控制模型能够较好的以较低成本
S:EC/k Z0和简洁的配置实现成品油协同监管中的信息资源访问控制，“范中国论文网Y3A)p S6T vF0w
围- 操作”维度上的二元访问控制模式使得协同监管具备了极中国论文网6H7^(M-ei7X!k
大的灵活性，满足了调整和优化进程中的协同监管业务的柔韧
yL)S-V TR0性需求。特别是针对应用示范和业务调整过程中的职责下放等
y q/U9}zhUm(NJ%A0职能主体调整等业务规则变化，通过配置访问控制矩阵或进行中国论文网-x L"p|!l3r @E4S
简单矩阵元素运算的方式，实现了业务协同监管规则调整条件中国论文网 c w'V] O;Z
下的“随需而变”。
~ ^ {T3l5VF,\'H05 结束语
_P AH/^0基于对成品油协同监管存在的问题和解决模式的深入分中国论文网z j(Ld)yV
M F
析，提出访问范围和访问操作维度分离的二元访问控制模型，应
?-^;N'PIe#D}bi0用于成品油协同监管服务平台的建设和实施中，在访问控制系
An|+j |Fr0统的需求适用性、业务灵活性和操作便捷性方面取得了良好的中国论文网 h} ?
gM@2B#i |2{
社会经济效益。石油作为我国重要的战略性能源，其流通市场监
6qkN1b F%?0管需求和模式具有普适性。对于具有地域层级性特征和业务柔
7W~&~(FZ!o]0韧性需求的其他领域，二元访问控制模型经过少量特化或改进，
B3V0w BB
\3bQz {0可满足更多协同监管以及其他类型的访问控制业务需求，具有
([IJ ` E_#RU0进一步推广和研究的潜力和价值。中国论文网#T~1J
L0bG
参考文献中国论文网/[%nzF-DU y,C
[1] 李晓辉，王炯，蔡啸. 成品油协同监管平台部署模式研究与中国论文网
?3k@
_2|'k;C;q
设计[J]. 电子测试,2013,179(17):62-67.中国论文网cL T2v1P%q-E
[2] 国佳. 信息生态系统下的企业信息协同模式研究[D]. 吉林：
^(W6PBn*@3v6j0吉林大学,2009.中国论文网 [:XR'D d:P-w
[3] 吴波，王晶. 基于基本RBAC 模型的权限管理框架的设计与
q4_,v v4e kgQE0实现[J]. 计算机系统应用,2011,20(4):50-54.
U
B K*\V'X
C U*w
FL0[4] FERRAIOLO D F,SANDHU R,GUIRILA S,et al.Proposed中国论文网 B
j,J v0X ^
NIST standard for role-based access control[J].中国论文网 A!J3Qyvz
ACM Trans on Information and System Security,中国论文网-eB)_&Q Y[;m:`
2001,4(3):224-274.中国论文网3r;R.a~R E b6A8Iu
[5] 胡迎松，李光军. 基于角色与向量矩阵的访问控制模型[J].中国论文网%T0i+n&Z k&N~
计算机工程,2005,31(1):111-112.
;_.I v4wo G|o#m9{x0
发给朋友
分享到朋友圈
回顶部