本發(fā)明涉及智能電網(wǎng)控制領(lǐng)域，尤其涉及一種智能電網(wǎng)用戶訪問授權(quán)控制方法。
背景技術(shù)：
作為物聯(lián)網(wǎng)的一個分支，智能電網(wǎng)是一個重要的公眾應(yīng)用網(wǎng)絡(luò)。電力工業(yè)是國家經(jīng)濟(jì)發(fā)展中最重要的基礎(chǔ)能源產(chǎn)業(yè)，為國民經(jīng)濟(jì)的持續(xù)發(fā)展起著極為重要的作用。隨著世界經(jīng)濟(jì)的發(fā)展、氣候變化的加劇和各國能源政策的調(diào)整，電網(wǎng)與電廠、政府、客戶等群體間的關(guān)系更加緊密，客戶對電能質(zhì)量的要求不斷提高，可再生能源逐漸成為重要的電源形式，世界能源正在向清潔化、低碳化、高效化的新趨勢發(fā)展，在此背景下，國家提出了建設(shè)統(tǒng)一堅強(qiáng)智能電網(wǎng)的戰(zhàn)略目標(biāo)。智能電網(wǎng)以特高壓電網(wǎng)為骨干網(wǎng)架、各級電網(wǎng)協(xié)調(diào)發(fā)展，貫穿發(fā)電、輸電、變電、配電、用電、調(diào)度六個環(huán)節(jié)，具有信息化、自動化、互動化特征。智能電網(wǎng)用戶訪問授權(quán)系統(tǒng)是智能電網(wǎng)連接外部網(wǎng)絡(luò)的一道防火墻，與安全接入技術(shù)緊密相聯(lián)，聯(lián)合提高對遠(yuǎn)程訪問終端系統(tǒng)環(huán)境的認(rèn)證控制能力，盡可能杜絕非法、不可信環(huán)境接入，約束用戶的訪問權(quán)限和降低系統(tǒng)風(fēng)險。智能電網(wǎng)將信息技術(shù)、通信技術(shù)、計算機(jī)技術(shù)與原有的輸配電基礎(chǔ)設(shè)施高度集成形成新型電網(wǎng)，具有提高能源效率、減少對環(huán)境的影響、提高供電安全性和可靠性、減少輸電網(wǎng)電能損耗等優(yōu)點(diǎn)。智能電網(wǎng)的關(guān)鍵技術(shù)涉及諸多領(lǐng)域，也是物聯(lián)網(wǎng)的一個重要應(yīng)用。
然而，智能電網(wǎng)具有的“信息化、自動化、互動化”特點(diǎn)，及其運(yùn)行、服務(wù)過程中信息數(shù)據(jù)交互性的大量增加，智能電網(wǎng)面臨著大量的安全風(fēng)險和安全挑戰(zhàn)。在智能電網(wǎng)中，如何保障各應(yīng)用系統(tǒng)間的信息安全訪問等安全問題成為智能電網(wǎng)發(fā)展應(yīng)用中迫切需要解決的問題。由于智能電網(wǎng)信息集成的復(fù)雜性，將已有的接入控制技術(shù)直接用于智能電網(wǎng)在安全性上會存在如下缺陷：(1)目前，應(yīng)用系統(tǒng)中大多都是采用基于角色的訪問控制(RBAC)模型的接入控制技術(shù)，但RBAC在跨域訪問的安全性上存在不足。因為RBAC在角色映射時可能存在角色“滲透”、“隱蔽提升”、“沖突關(guān)聯(lián)”等安全問題。(2)基于屬性的訪問控制(ABAC)是將實體的屬性貫穿于訪問控制策略、模型和實現(xiàn)機(jī)制三個層次以實現(xiàn)訪問授權(quán)，該方法能夠靈活的控制主客體的訪問粒度，能彌補(bǔ)RBAC模型的不足。但是屬性的劃分較為復(fù)雜，且沒有考慮角色所處的環(huán)境(如物理位置、網(wǎng)絡(luò)位置等)對訪問控制的影響進(jìn)行分析。(3)基于行為的訪問控制綜合了角色、時態(tài)狀態(tài)和環(huán)境狀態(tài)等相關(guān)信息，可以靈活的處理各種訪問控制問題，但是角色、時態(tài)、環(huán)境之間的約束關(guān)系和管理策略還有待進(jìn)一步的研究。(4)與上下文相關(guān)的訪問控制有基于位置的訪問控制和基于時態(tài)的訪問控制兩種，該類訪問控制技術(shù)能根據(jù)用戶的當(dāng)前位置或時態(tài)約束條件來判斷哪些用戶是有效的，并能實現(xiàn)空間職責(zé)隔離限制、基于位置的時序限制等，但各種因素的相互影響有待進(jìn)一步研究。
技術(shù)實現(xiàn)要素：
本發(fā)明的目的是為了解決現(xiàn)有技術(shù)中存在的缺點(diǎn)，而提出的一種智能電網(wǎng)用戶訪問授權(quán)控制方法。
為了實現(xiàn)上述目的，本發(fā)明采用了如下技術(shù)方案：
一種智能電網(wǎng)用戶訪問授權(quán)控制方法，包括以下步驟：
S1、按照系統(tǒng)結(jié)構(gòu)部署智能電網(wǎng)系統(tǒng)，智能電網(wǎng)系統(tǒng)包括智能電網(wǎng)接入終端、智能電網(wǎng)數(shù)據(jù)控制中心和智能電網(wǎng)調(diào)度中心，智能電網(wǎng)接入終端與智能電網(wǎng)數(shù)據(jù)控制中心通信，智能電網(wǎng)數(shù)據(jù)控制中心與智能電網(wǎng)數(shù)據(jù)庫和智能電網(wǎng)調(diào)度中心通信；其中智能電網(wǎng)數(shù)據(jù)控制中心包括檢測與認(rèn)證模塊、信任度計算模塊、訪問粒度分配模塊常用權(quán)限集計算模塊和高級權(quán)限分配模塊；
S2、對智能電網(wǎng)系統(tǒng)進(jìn)行初始化：數(shù)據(jù)所有者可以授權(quán)用戶訪問數(shù)據(jù)，并且將授權(quán)集發(fā)送至授權(quán)中心；分別將每個用戶的屬性集合映射為一個可以用hash函數(shù)進(jìn)行運(yùn)算的值；初始化一個數(shù)組，授權(quán)中心選擇多個相互獨(dú)立的hash函數(shù)，分別對授權(quán)集合中的各個元素進(jìn)行多次hash運(yùn)算，所得結(jié)果映射到一定的范圍中得到一個新的位數(shù)組；
S3、智能電力終端向認(rèn)證服務(wù)器申請安全接入認(rèn)證，如果智能電力終端未注冊，則認(rèn)證服務(wù)器要求智能電力終端提交注冊信息，并根據(jù)注冊信息向智能電力終端返回用戶身份識別碼；智能電力終端完成安全接入認(rèn)證后，收集權(quán)限憑證信息并加密發(fā)送給接入控制組件；
S4、檢測與認(rèn)證模塊將通過認(rèn)證的智能電網(wǎng)接入終端的認(rèn)證信息發(fā)送給智能電網(wǎng)數(shù)據(jù)控制中心的信任度計算模塊，信任度計算模塊結(jié)合智能電網(wǎng)接入終端的認(rèn)證信息對智能電網(wǎng)接入終端進(jìn)行信任度計算，并將計算結(jié)果發(fā)送給訪問粒度分配模塊；
S5、訪問粒度分配模塊根據(jù)信任度計算模塊的計算結(jié)果分配相應(yīng)的訪問粒度給該智能電網(wǎng)接入終端，并將該訪問粒度傳遞給常用權(quán)限集計算模塊；
S6、屬性判斷：如果有用戶對數(shù)據(jù)好奇，需要向授權(quán)中心發(fā)送訪問請求，并且提交自身的屬性集合到授權(quán)中心；由授權(quán)中心對用戶的屬性值進(jìn)行比對；如果判斷該用戶屬于授權(quán)集，則返回可以解密數(shù)據(jù)的密鑰；否則，返回空值，用戶無法獲得密鑰；
S7、常用權(quán)限集計算模塊根據(jù)傳遞來的訪問粒度計算出的常用權(quán)限直接授權(quán)給獲得該訪問粒度的智能電網(wǎng)接入終端，從而實現(xiàn)對智能電網(wǎng)數(shù)據(jù)庫常規(guī)數(shù)據(jù)的快速訪問；
S8、加解密模塊對加密消息進(jìn)行解密，將身份識別碼與資源數(shù)據(jù)庫中身份識別碼匹配，如果身份識別碼不存在則拒絕進(jìn)行授權(quán)，如果身份識別碼存在則將其發(fā)給角色隸屬計算模塊，并將備份的加密消息發(fā)送給認(rèn)證服務(wù)器；
S9、高級權(quán)限分配模塊在完成審計后根據(jù)通過審計的智能電網(wǎng)接入終端的粒度信息將相應(yīng)的高級權(quán)限分配給該智能電網(wǎng)接入終端，使之獲得相應(yīng)的智能電網(wǎng)數(shù)據(jù)庫訪問權(quán)限或與智能電網(wǎng)調(diào)度中心通信的權(quán)限。
對檢測與認(rèn)證模塊對智能電網(wǎng)接入終端的接入請求進(jìn)行檢測與認(rèn)證的步驟為：
S1、檢測與認(rèn)證模塊首先檢測智能電網(wǎng)接入終端的接入請求；
S2、檢測與認(rèn)證模塊對發(fā)送接入請求的智能電網(wǎng)接入終端進(jìn)行身份認(rèn)證，若身份不合法就拒絕該智能電網(wǎng)接入終端接入智能電網(wǎng)；
S3、如果身份認(rèn)證合法，檢測與認(rèn)證模塊對該智能電網(wǎng)接入終端的接入時間、地點(diǎn)和終端的接入記錄進(jìn)行檢測，并將檢測到的數(shù)據(jù)進(jìn)行加密封裝；
S4、檢測與認(rèn)證模塊將檢測封裝的數(shù)據(jù)發(fā)送給信任度計算模塊。
檢測與認(rèn)證模塊對發(fā)送接入請求的智能電網(wǎng)接入終端進(jìn)行身份認(rèn)證，其方法為：身份注冊模塊對用戶基本注冊信息進(jìn)行格式的正則檢查，如果格式不正確則檢查失敗，如果格式正確則對用戶高級信息與資源數(shù)據(jù)庫用戶信息進(jìn)行比對核查，如果核查通過則檢查通過，如果核查失敗則檢查失敗。
對所述高級權(quán)限分配模塊的權(quán)限分配步驟為：
S1、高級權(quán)限分配模塊檢測粒度的分配請求；
S2、高級權(quán)限分配模塊檢測粒度的分配信息；
S3、高級權(quán)限分配模塊根據(jù)粒度信息對接入終端再次進(jìn)行權(quán)限分配認(rèn)證，以確定該終端是否能訪問該粒度所擁有的高級權(quán)限；
S4、高級權(quán)限分配模塊根據(jù)粒度信息及其權(quán)限范圍將對應(yīng)粒度的訪問權(quán)限范圍內(nèi)的權(quán)限授予該訪問粒度，使之可以使用這些權(quán)限對智能電網(wǎng)數(shù)據(jù)庫操作或者完成與調(diào)度中心的通信。
一種智能電網(wǎng)用戶訪問授權(quán)控制方法，步驟S2中對智能電網(wǎng)系統(tǒng)進(jìn)行初始化的算法包括如下步驟：
S1、數(shù)據(jù)所有者可以授權(quán)用戶訪問數(shù)據(jù)，并且將其用來加密數(shù)據(jù)的私鑰和授權(quán)集一起發(fā)送至授權(quán)中心；
S2、授權(quán)中心將每個用戶的屬性集映射為一個可以用hash函數(shù)進(jìn)行運(yùn)算的值xi；
S3、初始化一個數(shù)組，授權(quán)中心選擇m個相互獨(dú)立的hash函數(shù)，分別對授權(quán)集合中的每個元素xi進(jìn)行m次hash運(yùn)算，所得結(jié)果映射到一定的范圍中得到一個新的位數(shù)組；對任意一個元素x，第i個哈希函數(shù)映射的位置Hi就會被置為1；如果一個位置多次被置為1，那么只有第一次會執(zhí)行，后面幾次將不會對其做任何操作。
與現(xiàn)有技術(shù)相比，本發(fā)明的有益效果是：
1、本發(fā)明避免了傳統(tǒng)屬性加密方案中復(fù)雜的算法操作訪問控制結(jié)構(gòu)，能夠同時對不同長度的確定位串進(jìn)行查找匹配，并且所要求的存儲空間較小，具有快速高效的特點(diǎn)。此外，當(dāng)數(shù)據(jù)文件較大時，ABE算法的復(fù)雜性會限制其在加密過程的應(yīng)用，本發(fā)明則不存在這個問題。本發(fā)明對于提高智能電網(wǎng)屬性訪問控制機(jī)制的效率很有益。
2、本發(fā)明基于智能電網(wǎng)用戶特性和數(shù)據(jù)特性，用簡潔、高效的加工、加密方式對用戶信息進(jìn)行處理，然后才將用戶信息進(jìn)行傳輸，保障了用戶信息在網(wǎng)絡(luò)傳輸過程中的安全性，實現(xiàn)了智能電網(wǎng)用戶訪問授權(quán)過程的可信。層次式的結(jié)構(gòu)使得系統(tǒng)容易組建和部署，同時使得系統(tǒng)分工明確，提高了系統(tǒng)的計算效率。
具體實施方式
下面將對本發(fā)明實施例中的技術(shù)方案進(jìn)行清楚、完整地描述，顯然，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實施例。
一種智能電網(wǎng)用戶訪問授權(quán)控制方法，包括以下步驟：
S1、按照系統(tǒng)結(jié)構(gòu)部署智能電網(wǎng)系統(tǒng)，智能電網(wǎng)系統(tǒng)包括智能電網(wǎng)接入終端、智能電網(wǎng)數(shù)據(jù)控制中心和智能電網(wǎng)調(diào)度中心，智能電網(wǎng)接入終端與智能電網(wǎng)數(shù)據(jù)控制中心通信，智能電網(wǎng)數(shù)據(jù)控制中心與智能電網(wǎng)數(shù)據(jù)庫和智能電網(wǎng)調(diào)度中心通信；其中智能電網(wǎng)數(shù)據(jù)控制中心包括檢測與認(rèn)證模塊、信任度計算模塊、訪問粒度分配模塊常用權(quán)限集計算模塊和高級權(quán)限分配模塊；
S2、對智能電網(wǎng)系統(tǒng)進(jìn)行初始化：數(shù)據(jù)所有者可以授權(quán)用戶訪問數(shù)據(jù)，并且將授權(quán)集發(fā)送至授權(quán)中心；分別將每個用戶的屬性集合映射為一個可以用hash函數(shù)進(jìn)行運(yùn)算的值；初始化一個數(shù)組，授權(quán)中心選擇多個相互獨(dú)立的hash函數(shù)，分別對授權(quán)集合中的各個元素進(jìn)行多次hash運(yùn)算，所得結(jié)果映射到一定的范圍中得到一個新的位數(shù)組；
S3、智能電力終端向認(rèn)證服務(wù)器申請安全接入認(rèn)證，如果智能電力終端未注冊，則認(rèn)證服務(wù)器要求智能電力終端提交注冊信息，并根據(jù)注冊信息向智能電力終端返回用戶身份識別碼；智能電力終端完成安全接入認(rèn)證后，收集權(quán)限憑證信息并加密發(fā)送給接入控制組件；
S4、檢測與認(rèn)證模塊將通過認(rèn)證的智能電網(wǎng)接入終端的認(rèn)證信息發(fā)送給智能電網(wǎng)數(shù)據(jù)控制中心的信任度計算模塊，信任度計算模塊結(jié)合智能電網(wǎng)接入終端的認(rèn)證信息對智能電網(wǎng)接入終端進(jìn)行信任度計算，并將計算結(jié)果發(fā)送給訪問粒度分配模塊；
S5、訪問粒度分配模塊根據(jù)信任度計算模塊的計算結(jié)果分配相應(yīng)的訪問粒度給該智能電網(wǎng)接入終端，并將該訪問粒度傳遞給常用權(quán)限集計算模塊；
S6、屬性判斷：如果有用戶對數(shù)據(jù)好奇，需要向授權(quán)中心發(fā)送訪問請求，并且提交自身的屬性集合到授權(quán)中心；由授權(quán)中心對用戶的屬性值進(jìn)行比對；如果判斷該用戶屬于授權(quán)集，則返回可以解密數(shù)據(jù)的密鑰；否則，返回空值，用戶無法獲得密鑰；
S7、常用權(quán)限集計算模塊根據(jù)傳遞來的訪問粒度計算出的常用權(quán)限直接授權(quán)給獲得該訪問粒度的智能電網(wǎng)接入終端，從而實現(xiàn)對智能電網(wǎng)數(shù)據(jù)庫常規(guī)數(shù)據(jù)的快速訪問；
S8、加解密模塊對加密消息進(jìn)行解密，將身份識別碼與資源數(shù)據(jù)庫中身份識別碼匹配，如果身份識別碼不存在則拒絕進(jìn)行授權(quán)，如果身份識別碼存在則將其發(fā)給角色隸屬計算模塊，并將備份的加密消息發(fā)送給認(rèn)證服務(wù)器；
S9、高級權(quán)限分配模塊在完成審計后根據(jù)通過審計的智能電網(wǎng)接入終端的粒度信息將相應(yīng)的高級權(quán)限分配給該智能電網(wǎng)接入終端，使之獲得相應(yīng)的智能電網(wǎng)數(shù)據(jù)庫訪問權(quán)限或與智能電網(wǎng)調(diào)度中心通信的權(quán)限。
對檢測與認(rèn)證模塊對智能電網(wǎng)接入終端的接入請求進(jìn)行檢測與認(rèn)證的步驟為：
S1、檢測與認(rèn)證模塊首先檢測智能電網(wǎng)接入終端的接入請求；
S2、檢測與認(rèn)證模塊對發(fā)送接入請求的智能電網(wǎng)接入終端進(jìn)行身份認(rèn)證，若身份不合法就拒絕該智能電網(wǎng)接入終端接入智能電網(wǎng)；
S3、如果身份認(rèn)證合法，檢測與認(rèn)證模塊對該智能電網(wǎng)接入終端的接入時間、地點(diǎn)和終端的接入記錄進(jìn)行檢測，并將檢測到的數(shù)據(jù)進(jìn)行加密封裝；
S4、檢測與認(rèn)證模塊將檢測封裝的數(shù)據(jù)發(fā)送給信任度計算模塊。
檢測與認(rèn)證模塊對發(fā)送接入請求的智能電網(wǎng)接入終端進(jìn)行身份認(rèn)證，其方法為：身份注冊模塊對用戶基本注冊信息進(jìn)行格式的正則檢查，如果格式不正確則檢查失敗，如果格式正確則對用戶高級信息與資源數(shù)據(jù)庫用戶信息進(jìn)行比對核查，如果核查通過則檢查通過，如果核查失敗則檢查失敗。
對所述高級權(quán)限分配模塊的權(quán)限分配步驟為：
S1、高級權(quán)限分配模塊檢測粒度的分配請求；
S2、高級權(quán)限分配模塊檢測粒度的分配信息；
S3、高級權(quán)限分配模塊根據(jù)粒度信息對接入終端再次進(jìn)行權(quán)限分配認(rèn)證，以確定該終端是否能訪問該粒度所擁有的高級權(quán)限；
S4、高級權(quán)限分配模塊根據(jù)粒度信息及其權(quán)限范圍將對應(yīng)粒度的訪問權(quán)限范圍內(nèi)的權(quán)限授予該訪問粒度，使之可以使用這些權(quán)限對智能電網(wǎng)數(shù)據(jù)庫操作或者完成與調(diào)度中心的通信。
一種智能電網(wǎng)用戶訪問授權(quán)控制方法，步驟S2中對智能電網(wǎng)系統(tǒng)進(jìn)行初始化的算法包括如下步驟：
S1、數(shù)據(jù)所有者可以授權(quán)用戶訪問數(shù)據(jù)，并且將其用來加密數(shù)據(jù)的私鑰和授權(quán)集一起發(fā)送至授權(quán)中心；
S2、授權(quán)中心將每個用戶的屬性集映射為一個可以用hash函數(shù)進(jìn)行運(yùn)算的值xi；
S3、初始化一個數(shù)組，授權(quán)中心選擇m個相互獨(dú)立的hash函數(shù)，分別對授權(quán)集合中的每個元素xi進(jìn)行m次hash運(yùn)算，所得結(jié)果映射到一定的范圍中得到一個新的位數(shù)組；對任意一個元素x，第i個哈希函數(shù)映射的位置Hi就會被置為1；如果一個位置多次被置為1，那么只有第一次會執(zhí)行，后面幾次將不會對其做任何操作。
以上所述，僅為本發(fā)明較佳的具體實施方式，但本發(fā)明的保護(hù)范圍并不局限于此，任何熟悉本技術(shù)領(lǐng)域的技術(shù)人員在本發(fā)明揭露的技術(shù)范圍內(nèi)，根據(jù)本發(fā)明的技術(shù)方案及其發(fā)明構(gòu)思加以等同替換或改變，都應(yīng)涵蓋在本發(fā)明的保護(hù)范圍之內(nèi)。