CN104137007B - 用于针对楼宇自动化和控制系统的访问判决评估的系统和方法 - Google Patents

Abstract

本发明涉及一种用于楼宇自动化和控制系统中的访问判决评估的方法，所述方法包括：将访问请求从访问设备（10）发送到受访设备（20）；将询问是准许还是拒绝所述访问请求的评估请求从所述受访设备（20）发送到中央判决评估装置（30）；在所述中央判决评估装置（30）处使用一个或多个中央访问控制策略对所述评估请求进行评估，以便得到关于是准许还是拒绝访问请求的判决；在中央判决评估装置（30）处将被用于评估的一个或多个中央访问控制策略推导成设备特定的访问策略；将判决和设备特定的访问策略从中央判决评估装置（30）发送到受访设备（20）；以及在受访设备（20）处存储设备特定的访问策略。

Description

用于针对楼宇自动化和控制系统的访问判决评估的系统和 方法

技术领域

本发明涉及用于楼宇自动化和控制系统中的访问判决评估的方法。本发明还涉及楼宇控制系统中的访问判决评估系统、访问判决评估系统中的中央判决评估装置和访问判决评估系统中的受访设备。

背景技术

楼宇自动化和控制系统（BACS）正在被部署到商业楼宇中以使得能对楼宇中的各种智能系统（比如HVAC（加热、通风和空调）、安全、访问和照明系统）进行监视和控制。BACS提供了基于楼宇中的能量、安全和用户需求对各种系统的集成控制。使用连接到传感器（其提供实时状态）和执行器（其提供实时控制）的智能网络的各种控制器来实现控制。用户能够从显示器读取状态并根据其偏好而使用开关来改变设置。从附接到楼宇网络的监控器对BACS进行配置和管理，其使得能对各种情况下的系统行为进行精确定义。此外，在运行期间能够从后端管理服务器或通过比如web浏览器的远程接口来控制BACS。

传统上，BACS中的各种系统一直是独立的，由不同的人员负责系统运行和维护。然而，随着无线网状网开放标准（比如Zigbee、蓝牙、NFS，等等）和基于IP的通信在楼宇控制网络中的出现，各种系统之间的壁垒大部分被移除，并且这创建了更为紧密集成的系统。因此，导致新功能性的功能级别的集成已经变得简单得多。然而，这要求能够向各种系统的运行和维护所有者确保其安全性和访问权。

BACS领域的当前趋势揭示出，尚未做出足够的工作来设计BACS而同时考虑足够的信息安全需求。目前，BACS安全性是通过使系统彼此在物理上隔离以防止未授权访问来实现的。然而，在集成的和基于开放标准的BACS中，这对以下的访问控制（包括鉴别和授权）提出了新要求，即：对于不同智能楼宇系统所提供和消耗的所有服务的访问控制。

当安全性攻击可以导致不想要的后果时，信息在BACS中的合适流动就成为关注的问题。这些不想要的后果形形色色，从简单的侵犯隐私（例如对于特定办公室房间的趋势的窥探）到威胁生命的情形（例如受损害的通风系统）。

访问控制机制得以充分研究并被应用于计算机网络中。然而，由于各种约束，例如用户在操作中感知的延迟（例如当操作灯时来自开关的延迟）、存储器和计算上受约束的设备、系统中潜在地大量的设备、共享的低吞吐量通信链路、可能的紧急情况（比如火灾），这样的访问控制机制不能直接应用于BACS。

这要求用于BACS的访问控制系统具有以下要求：低等待时间操作（以最小化用户在操作中感知的延迟）、资源高效的实现（由于存储器和计算上受约束的设备）、可伸缩设计（由于大量设备）、通信高效（由于共享的低吞吐量通信链路）和容错（由于可能的紧急情况）。

用于分布式系统的授权领域中的研究现状（BACS是分布式系统的示例）可以分成用于访问控制系统的集中式和分布式方法。下面将简单讨论集中式方法和分布式方法，对于集中式和分布式方法的更为详细的讨论请进一步参见下文的详细描述。

在集中式方法中，中央判决点是网络中的单独的实体。对于两个设备之间的每个访问控制请求，必须通过中央判决点基于上下文（context）信息做出判决。此处上下文意味着位置、时间、情况（紧急、正常，等等）、房间中的人数、环境情况（温度、通风水平，等等）和与做出特定访问控制判决相关的其他信息。集中式方法提供了可被增加到网络的设备数目方面的可伸缩性；然而，由于低吞吐量链路上的通信开销，特别是对于简单的访问请求，它严重妨碍了效率。

在分布式方法中，对策略的评估和存储本地地发生在不同的设备中而无需牵涉集中式判决点，并且集中式判决点不会出现在使用分布式方法的系统中。分布式方法减少了通信开销和等待时间。然而，这种类型的授权的问题是：由于需要复制在不同上下文中所需的各种访问控制策略，所以它是不可伸缩的。当前，BACS中使用的比如传感器和执行器的设备没有足够的存储器资源来存储用于网络中所有相关设备和用户的规则。

发明内容

本发明的目的是分别克服集中式方法和分布式方法的以上问题。

在本文档中，使用用于访问控制系统的以下术语：

鉴别：核实用户、过程或设备的身份，经常作为允许访问信息系统中的资源的先决条件。

授权：准许给用户、程序或过程的访问特权或者准许那些特权的动作。

访问：与系统进行通信或以别的方式进行交互、使用系统资源来处理信息、获得系统所包含的信息的知识、或者控制系统部件和功能的能力和手段。

访问控制：准许或拒绝用于获得并使用信息和相关的信息处理服务的特定访问请求的过程。

访问控制系统：设计用来检测和拒绝对信息系统的未授权访问和许可对信息系统的授权访问的安全性防护措施（即，硬件和软件特征、物理控制、操作过程、管理过程及其各种组合）。

访问控制策略（在本文档中也被称为策略）：用于规定对资源的访问的一组准则。

上下文源是被布置成给出上下文信息（例如位置、时间、情况（紧急，正常，等等）、房间中的人数、环境情况（温度、通风水平，等等）和与做出特定访问控制判决相关的其他信息）的源。上下文源的一些非限制性示例为：日历服务、人员计数器、温度计、光强度测量设备、氧气水平测量设备、空气流量计、压力传感器和湿度传感器。

访问设备是这样的设备，即：其被布置成访问楼宇自动化和控制系统中的设备以便控制楼宇自动化和控制系统中该设备的功能。访问设备可以例如是手持计算设备（例如智能电话、PDA或平板电脑）、包括RFID芯片的设备、开关、运动传感器、光设备（控制其他光设备以创建场景）等等。

受访设备是正被访问或可由访问设备访问的设备。受访设备是楼宇自动化和控制系统中施行楼宇自动化和控制系统的功能的设备。受访设备的一些非限制性示例为：照明设备、空调、遮光帘、电子锁和空气加湿器。

根据本发明的第一方面，上面提及的目的通过用于楼宇自动化和控制系统中的访问判决评估的方法来实现。所述方法包括：将访问请求从访问设备发送到受访设备；将询问是准许还是拒绝所述访问请求的评估请求从所述受访设备发送到中央判决评估装置；在所述中央判决评估装置处使用一个或多个中央访问控制策略对所述评估请求进行评估，以便得到关于是准许还是拒绝所述访问请求的判决；在所述中央判决评估装置处从被用于评估的所述一个或多个中央访问控制策略推导出设备特定的访问策略；将所述判决和所述设备特定的访问策略从所述中央判决评估装置发送到所述受访设备；以及在所述受访设备处存储所述设备特定的访问策略。

根据该方法，提供了可伸缩（即在能够被增加到网络的设备数目方面）的用于BACS的访问控制系统。此外，通过允许将访问控制策略部署到被请求的受访设备，当访问设备想要在对于受访设备的后续访问请求中访问其资源时，通信开销和等待时间被最小化。

所述方法可以进一步包括：将后续访问请求从访问设备发送到受访设备；以及在所述受访设备处评估所述后续访问请求是否与存储在所述受访设备中的所述设备特定的访问策略相匹配，如果匹配，则在所述受访设备处基于所述设备特定的访问策略来判决是准许还是拒绝所述后续访问请求。

推导设备特定的访问策略的步骤可以进一步包括：推导出用上下文属性作为变量的设备特定的访问策略以使得受访设备能够评估在不同上下文中来自访问设备的后续访问请求。这最小化了当上下文已经改变时用于对新访问请求作出判决的、与中央判决评估装置的通信。

判决是准许还是拒绝后续访问请求的步骤可以进一步包括：从上下文源请求上下文信息。

所述方法可以进一步包括：在中央判决评估装置处对设备特定的访问策略进行编码。通过对设备特定的访问策略进行编码，其尺寸可以被减小且因此楼宇自动化和控制系统中要传输的数据量被减少，而且还减少了需要被存储在受访设备上的策略数据的量。

设备特定的访问策略可以被存储在受访设备的本地存储器中，其中本地存储器是仅能够存储固定量的设备特定的访问策略的尺寸受约束的本地存储器。

存储在本地存储器中的设备特定的访问策略可以被划分优先级，其中设备特定的访问策略由受访设备在本地划分优先级或者由中央判决评估装置集中地划分优先级。通过对设备特定的访问策略划分优先级，可以确保：尽管受访设备的存储器是有限的，但最重要的设备特定的访问策略仍然被存储在受访设备上。进一步地，可以确保：如果最重要的设备特定的访问策略具有高优先级，则它们可以在受访设备上被快速地找到。

存储在受访设备处的设备特定的访问策略可以通过与中央判决评估装置处的一个或多个中央访问控制策略进行同步而被更新，其中利用在中央判决评估装置处的推导期间被增加到设备特定的访问策略的附加属性来控制设备特定的访问策略的更新。因此，可以确保设备特定的访问策略代表中央判决评估装置处的当前访问控制策略，这是因为中央访问控制策略能够在中央判决评估装置处随时间而改变。因此，通过将设备特定的访问策略与中央访问控制策略进行同步，设备特定的访问策略将被更新以反映当前的中央访问策略。

所述方法可以进一步包括：创建访问设备与受访设备之间和受访设备与中央判决评估装置之间的被鉴别的信道。通过鉴别楼宇自动化和控制系统中的设备之间的通信，确保避免未授权的访问。因此，只有这样的设备才能够相互访问，即它们必须得是楼宇自动化和控制系统的成员。

根据本发明的第二方面，上面提及的目的通过楼宇控制系统中的访问判决评估系统来实现。访问判决评估系统包括：访问设备；受访设备，包括存储一个或多个设备特定的访问策略的本地存储器、匹配点和策略判决点；以及中央判决评估装置，包括一个或多个中央访问控制策略的数据库、访问策略判决点和访问策略推导器，其中访问设备被布置成将访问请求发送到受访设备，其中受访设备的匹配点被布置成评估访问请求以查看访问请求是否与存储在本地存储器中的设备特定的访问策略相匹配，如果匹配，则受访设备的策略判决点被布置成基于匹配的设备特定的访问策略来判决是准许还是拒绝访问请求，如果不匹配，则受访设备被布置成将询问是准许还是拒绝访问请求的评估请求发送到中央判决评估装置，其中中央判决评估装置的访问策略判决点被布置成使用一个或多个中央访问控制策略对评估请求进行评估以便得到关于是准许还是拒绝访问请求的判决，其中中央判决评估装置的访问策略推导器被布置成从被用于评估的一个或多个中央访问控制策略推导出被导出的设备特定的访问策略，并且其中中央判决评估装置被布置成将判决和导出的设备特定的访问策略发送到受访设备。

访问策略推导器可以进一步被布置成推导出用上下文属性作为变量的设备特定的访问策略以使得受访设备能够评估在不同上下文中来自访问设备的后续访问请求，并且其中受访设备的策略判决点被布置成通过从被包括在访问判决评估系统中的上下文源请求上下文信息来判决是准许还是拒绝后续访问请求。

根据本发明的第三方面，上面提及的目的通过访问判决评估系统中的中央判决评估装置来实现，该访问判决评估系统包括访问设备、受访设备和中央判决评估装置。中央判决评估装置包括：一个或多个中央访问控制策略的数据库；访问策略判决点，被布置成使用存储在数据库中的一个或多个中央访问控制策略评估来自受访设备的评估请求以便得到关于是准许还是拒绝被从访问设备发送到受访设备的访问请求的判决，以及访问策略推导器，被布置成从被用于评估的一个或多个中央访问控制策略推导出设备特定的访问策略，其中中央判决评估装置被布置成将判决和设备特定的访问策略发送到受访设备。

访问策略推导器可以进一步被布置成推导出用上下文属性作为变量的设备特定的访问策略以使得受访设备能够评估在不同上下文中来自访问设备的后续访问请求。

根据本发明的第四方面，上面提及的目的通过访问判决评估系统中的受访设备来实现，该访问判决评估系统包括访问设备、受访设备和中央判决评估装置。受访设备包括：存储一个或多个设备特定的访问策略的本地存储器、匹配点和策略判决点，其中匹配点被布置成评估来自访问设备的访问请求以查看访问请求是否与存储在本地存储器中的设备特定的访问策略相匹配，如果匹配，则策略判决点被布置成基于匹配的设备特定的访问策略来判决是准许还是拒绝访问请求，如果不匹配，则受访设备被布置成将询问是准许还是拒绝访问请求的评估请求发送到中央判决评估装置。

本地存储器可以是仅能够存储固定量的设备特定的访问策略的尺寸受约束的本地存储器。

应当注意，本发明涉及权利要求中记载的特征的所有可能组合。

附图说明

参照示出本发明的实施例的附图，现在将更为详细地描述本发明的这个和其他方面。

图1示出使用分布式方法的访问控制系统的部件。

图2示出图1的访问控制系统中的通信路径。

图3示出使用集中式方法的访问控制系统的部件。

图4示出图3的访问控制系统中的通信路径。

图5示出根据本发明的访问控制系统的部件。

图6示出图5的访问控制系统中的通信路径。

具体实施方式

将结合图1和2来讨论上面提及的分布式方法。假定访问设备10能够发现受访设备20并因此知道受访设备20的地址和服务。鉴别是访问控制过程中的第一个步骤，步骤70。因为访问设备10和受访设备20具有有限的资源，我们将假定将对称密钥加密和/或高效的哈希函数用于模糊（obfuscation）。使用本领域技术人员已知的若干方法中的一个方法来施行相互鉴别。一旦确立了相互鉴别，访问设备10通过将访问请求发送到受访设备20而尝试访问受访设备20提供的某种服务，步骤72。此后，受访设备20使用存储在受访设备20中的访问控制策略AP来评估访问请求并判决访问设备10是否被允许施行其请求的动作。因此，策略判决点DP位于受访设备20本身中。判决之后接着是执行。判决的结果被发送回到访问设备10，步骤74。由于策略判决点DP所位于的设备与我们想要使用策略执行点EP施行该执行所在的设备相同，所以执行是相当简单（trivial）的。将设备作为策略判决点DP运行的过程将使用策略执行点EP把访问判决通知到作为服务提供者运行的过程。

对于设备的监视和管理，重复相同的方案。设备将包含用于域监视器、自动机、维护器等等的合适的访问控制规则。当域监视器、自动机或维护器想要在设备上执行某些动作时，应用上面讨论的用于判决和执行的方案。

在集中式方法中，如图3和4所示，中央判决评估装置30是网络中的单独的实体。对于访问设备10和受访设备20之间的每个访问请求，中央判决评估装置30必须基于上下文源40提供的上下文信息来做出判决。此处上下文意味着位置、时间、情况（紧急、正常，等等）、房间中的人数、环境情况（温度、通风水平，等等）和与做出特定访问控制判决相关的其他信息。据此，当访问设备10想要与受访设备20通信时，由于密钥仍然在访问设备10和受访设备20中，所以鉴别阶段将与分布式方法中的鉴别阶段相同。在访问设备10与受访设备20之间的相互鉴别之后，需要进行受访设备20与中央判决评估装置30之间的相互鉴别。访问设备10与受访设备20之间和受访设备20与中央判决评估装置30之间的相互鉴别在图4中图示为步骤80。一旦确立了相互鉴别，访问设备10通过将访问请求发送到受访设备20而尝试访问受访设备20提供的某种服务，步骤82。受访设备20随后将评估请求发送到中央判决设备30，步骤84。中央判决评估装置30使用存储在中央判决评估装置30中的访问控制策略AP来对评估请求进行评估以便得到关于是准许还是拒绝来自访问设备10的访问请求的判决。因此，根据集中式方法，策略判决点DP被集中放置在中央判决评估装置30中。判决被发送到受访设备20，步骤86，并且执行是以与分布式方法中相同的方式发生的，且判决的结果被发送回到访问设备10，步骤88。

对于上面讨论的方案的简单修改也是可能的。这样的修改是使得由访问设备10做出的访问请求能够到中央判决评估装置30。通过这样做就不需要访问设备与受访设备20之间的相互鉴别的步骤。这背后的逻辑是简单的，如果访问设备10已经知道它不能在受访设备20上执行某些动作，则它将不会首先向受访设备20鉴别其自身。

现在将在下文中参照附图（其中示出了本发明当前优选的实施例），更充分地描述本发明。然而，本发明可以以许多不同的形式体现并且不应当被解释为限于在此阐述的实施例；相反，这些实施例是为了透彻和完整而被提供的，并且用于向本领域技术人员充分地传达本发明的范围。

本发明提出了新的访问控制方法，该访问控制方法记为混合访问判决评估（HADE），并利用集中式和分布式方法两者的优点但克服了它们的缺点。HADE技术依赖于集中式判决点来（从集中定义的访问控制策略）推导和编码与特定设备相关的访问控制策略，该访问控制策略可以被本地地高速缓存在设备上并因此被称为设备特定的访问策略。这些设备特定的访问策略被如此生成以使得能够在不同的、比如位置、时间、情况（紧急、正常，等等）、房间中的人数、环境情况（温度、通风水平，等等）的上下文中进行它们的评估。这最小化了用于在不同上下文中对新访问请求作出判决的、与中央判决点的通信。

参照图5和6，将讨论混合访问判决评估（HADE）的方法。楼宇控制系统由各种设备（例如传感器、执行器和用户接口）组成，这些设备由受信任的管理机构投入（commissioned）到系统中运行。因此，在投入运行之后，设备被绑定到单个信任点以使得能进行安全鉴别。该信任点可以是物理的服务器，其能够作为域内的受信任节点来创建用于鉴别的鉴别令牌或预配置的秘密密钥。

图5中示出根据本发明的、使用HADE的楼宇自动化和控制系统中的访问判决评估系统60的主要组成部分。

访问判决评估系统60包括访问设备10、受访设备20和中央判决评估装置30。

尽管如图5中公开的访问判决评估系统60仅包括一个访问设备10和一个受访设备20，但是应当理解，取决于访问判决评估系统60的设计，可以存在多个访问设备10和受访设备20。此外，访问判决评估系统60还可以包括一个或多个集中式判决评估设备30。

中央判决评估装置30包括策略管理器32、访问控制策略数据库33、访问策略判决点34、访问策略推导器36和访问策略编码器38。

策略管理器32被布置成基于来自管理界面55的输入来管理存储在访问控制策略数据库33中的中央访问控制策略。这由任何有职责、但不限于楼宇的操作或维护管理员的人员通过以下方式完成，即：在该人员的合适的鉴别之后，通过物理地附接到中央评估装置30的终端或者从具有到中央评估装置30的网络连通性的任何终端远程地来完成。该人员将被呈现给策略管理界面，其中可以编辑或删除现有策略，并且可以基于适用于该人员的授权规则来增加新的策略。基于该人员的授权规则和策略管理界面中的改变，策略管理器32在访问策略数据库33中施行适当的改变。

访问控制策略数据库33包括中央访问控制策略。每个中央访问控制策略是用于规定对BACS中受访设备的资源的访问的一组准则。

访问策略判决点34被布置成使用访问控制策略数据库33的中央访问控制策略中的一个或多个来评估源自受访设备20的评估请求以便得到关于是准许还是拒绝来自访问设备10的访问请求的判决。此外，中央判决评估装置30被布置成与放置于访问判决评估系统60中的上下文源40进行通信。当对评估请求进行评估时，访问策略判决点34进一步被布置成从上下文源40请求上下文信息以使得基于该上下文情况得到判决。

访问策略推导器36被布置成将被用于对评估请求进行评估的策略推导成设备特定的访问策略。此外，访问策略推导器36进一步被布置成推导出用上下文属性作为变量的设备特定的访问策略以使得受访设备20能够评估在不同上下文中来自访问设备10的后续访问请求。

访问策略编码器38被布置成在设备特定的访问策略被发送到受访设备20之前对它进行编码。通过这样做，减少了通信开销。

相应地，访问策略推导器36与访问策略编码器38一起被布置成从存储在访问控制策略数据库33中的集中定义的访问策略推导和编码设备特定的访问策略。设备特定的访问策略仅包括对于受访设备20有效的相关规则。因此，设备特定的访问策略可能在尺寸上是小的。进一步地，设备特定的访问策略被编码以使它们能够被压缩以便传输和在受访设备20上存储。举例来说，压缩可以是将基于可扩展标记语言（XML）的策略编码成更小的基于JavaScript对象表示法（JSON）或基于二进制类型长度值（TLV）的策略。

因此，中央判决评估装置30被布置成推导和编码特定于受访设备20的访问策略，以使得当访问设备10在后续请求中想要访问其资源时，分布式访问判决能够最小化通信开销和等待时间。

因此，集中式判决评估设备30被布置成：推导和编码特定于受访设备20的访问策略；将所推导和编码的特定于受访设备20的访问策略分发到受访设备20。通过这样做，使得能进行分布式访问判决。这最小化了当访问设备10在对受访设备20的后续访问请求中想要访问其资源时的通信开销和等待时间。

此外，在中央判决评估装置30中推导的设备特定的访问策略保留了需要被评估以使其保持灵活的上下文变量。这减小了当上下文已经改变时在受访设备20与中央判决评估装置30之间用于后续访问请求的通信开销。

受访设备20包括设备特定的访问策略的数据库22、匹配点24、策略判决点26和策略执行点28。

设备特定的访问策略的数据库22包括在中央判决评估装置30处被推导的设备特定的访问策略。设备特定的访问策略的数据库22是本地存储器。正常地，本地存储器是仅能够存储固定量的设备特定的访问策略的、尺寸受约束的本地存储器。作为非限制性示例，用于这样的设备的SRAM存储器尺寸可以是512字节，仅其一部分（比如100字节）可以被用作用于设备特定的访问策略的本地存储器。然而认识到，可以使用其他存储器尺寸。

设备特定的访问策略被存储在受访设备20的本地存储器22中。将设备特定的访问策略高速缓存在尺寸受约束的设备上的方法可以基于多种高速缓存技术，该多种高速缓存技术确保被频繁使用的策略和重要（紧急情况相关）的策略以更高的优先级被保留。并非限制，这样的技术的一些示例为：

置换最不频繁使用的策略，

置换自高速缓存以来未被使用达最长时间的策略，

在置换属于物理地固定的访问设备的策略之前，置换属于移动访问设备的策略。

可以使用在受访设备20上被本地定义的优先级来执行将设备特定的访问策略保留在本地存储器22中的判决，该优先级防止某些重要的设备特定的访问策略（比如紧急情况相关的设备特定的访问策略）被置换。这对于在紧急情况下关键的受访设备（比如走廊灯、通风系统，等等）来说是有重大意义的。重要的是，它们能够立即响应紧急情况访问请求。因此，可以向这样的设备提供将在本地被执行的优先级规则，这些优先级规则能够压倒（over-rule）相冲突的任何集中式高速缓存优先规则。

中央判决评估装置30在设备特定的访问策略的推导期间能够增加附加属性（比如“高速缓存优先级”属性），该附加属性帮助受访设备20对将被保留在其本地存储器22中的设备特定的访问策略划分优先级。

高速缓存设备特定的访问策略的判决还可以基于设备的制造者或操作者在该设备上定义的本地策略来完成。这样的策略基于操作环境的预先存在的知识而被确定，其中操作的管理员知道哪种请求需要最小等待时间，虽然它们是不频繁的。其他方面可以是策略类型，因为例如紧急情况判决（比如火灾）可以总是被高速缓存以防止关键时刻期间的网络瓶颈，并且其可以是容错的。

因此，将设备特定的访问策略高速缓存在设备的本地存储器中的判决可以基于多个方面或其组合而做出。

设备特定的访问策略仅代表在中央判决评估装置30处的当前访问控制策略，但是访问控制策略在中央判决评估装置30处能够随时间而改变。因此，设备特定的访问策略需要被有规律地更新以便与中央判决评估装置30处的中央访问控制策略同步。受访设备20可以基于由中央判决评估装置30在推导期间对于例如“生存时间”属性而增加的附加属性来被更新。利用发行-预订模型或者对于被更新的策略的显式请求，可以增加比如指定受访设备20如何做完更新的“更新通信”的附加属性。

匹配点24被布置成将来自访问设备10的新访问请求与受访设备20的本地存储器22中的设备特定的访问策略中的任一个相匹配。如果未发现匹配，则受访设备20被布置成将评估请求发送到中央判决评估装置30。如果发现匹配，则受访设备20的策略判决点26被布置成做出准许或拒绝来自访问设备10的访问请求的判决。

策略执行点28被布置成执行准许或拒绝来自访问设备10的访问请求的判决。关于准许或拒绝该请求的判决可以在集中式判决评估设备30处或在受访设备20自身处做出。

此外，基于当前上下文信息在受访设备20上对设备特定的访问策略进行评估。因此，受访设备20被布置成与上下文源40进行通信以在已鉴别的信道上接收上下文信息。还可以在不同的模型（比如：发行和预订上下文信息或显式的上下文信息请求）下施行上下文通信。进一步地，上下文信息的类型（例如紧急火灾）或上下文源40为受访设备20提供了附加信息以对某些设备特定的访问策略在其本地存储器22中的保留划分优先级。

在图6中示出当访问设备10发送对于受访设备20上的特定资源的访问请求时的通信步骤。第一个步骤100是创建访问设备10与受访设备20之间的被鉴别的信道，这利用预先共享的秘密、比如Kerberos密钥分发（参见例如Neuman, B.和Ts'o, T. Kerberos的: Anauthentication service for computer networks. Communications Magazine, IEEE32, 9(1994), 33-38）的其他密钥分发机制或者用于创建设备之间的被鉴别信道的任何其他合适的方法来完成。由此，创建访问设备10与受访设备20之间和受访设备20与中央判决评估装置30之间的被鉴别信道。此后，施行以下步骤：

访问设备10将被鉴别的访问请求发送到受访设备20上的执行点，步骤102。

受访设备20检查新的访问请求是否与其本地存储器中的设备特定的访问策略中的任一个相匹配。如果未发现匹配，则受访设备20将评估请求发送到中央判决评估装置30，步骤106。

中央判决评估装置30不仅对该评估请求进行评估，而且将被用于评估的一个或多个中央访问控制策略推导和编码成设备特定的访问策略。这些被发送回到受访设备20，步骤110。

一接收到设备特定的访问策略，受访设备20就将其存储在它的设备特定的访问策略的数据库22中。如果数据库22已经满了，则受访设备20使用（上面讨论的）多种技术中的任一种来判决现有设备特定的访问策略是否可以被新的策略置换。

准许访问受访设备20的资源的判决由它的策略执行点24执行并且反馈被发送回到访问设备10，步骤118。

步骤120，在来自访问设备10的后续访问请求（其可以基于所高速缓存的设备特定的访问策略而被判决）中，基于本地存储在受访设备20处的设备特定的访问策略，判决由受访设备20其自身执行，从而顾及了分布式控制。在该评估期间，受访设备20可以从已鉴别的上下文源40要求上下文信息。反馈被发送回到访问设备10，步骤126。

下面将简要讨论用于本发明的示例性应用场景。一个示例性应用场景是在办公室楼宇中照明与遮光帘和HVAC的集成。众所周知，收获（harvest）日光能够提高照明的能量效率。这要求当存在足够的日光时，遮光帘能够打开并且还使得灯暗下来。然而，这应当只有在房间被占用时才进行，因为打开遮光帘可以导致空调的能量被浪费。这要求在本地（房间）级别的两个系统之间的、顾及相互控制的紧密交互。该控制可以附加地被这样一些用户影响，即：其希望推翻（override）改变或对照明水平具有特定的偏好。于是用户可以从安装在房间内的用户界面，或者更灵活地，可以利用他们的智能电话进行控制。这显示了需要系统之间的合适的鉴别和授权要求而不造成通信瓶颈和操作中的等待时间。因此，中央判决点被用于创建策略，该策略使该系统投入运行以允许设备和用户的智能电话设备的房间级别的控制。房间中被控制的设备（灯、遮光帘，等等）中的每一个设备具有执行引擎和用于高速缓存设备特定的访问策略的本地存储器。这顾及了当设备知道设备特定的访问策略被后端管理系统使能时设备之间的低等待时间的直接控制请求。顾及到办公时间和周末期间设备的不同行为，可以使得附加的上下文可用于例如，时间和日历服务。

本领域技术人员认识到，本发明绝非限于上面描述的优选实施例。与之相反，在所附权利要求书的范围内，许多修改和变型是可能的。

举例来说，中央判决评估装置30的策略管理器32、访问控制策略数据库33、访问策略判决点34、访问策略推导器36和访问策略编码器38可以是如图5中图示的单个设备的组成部分。然而，中央判决评估装置30的策略监控器32、访问控制策略数据库33、访问策略判决点34、访问策略推导器36和访问策略编码器38中的一个或者多个可以被布置为构成中央判决评估装置30的特定设备。

此外，楼宇控制系统中的访问判决评估系统可以包括一个或多个上下文源，不同的上下文源给出关于不同上下文的反馈。

此外，受访设备20和/或中央判决设备30的功能可以由硬件、软件及其组合来实现。

此外，在实践所要求保护的发明时，通过研究附图、公开内容和所附的权利要求书，本领域技术人员能够理解和实现对于所公开的实施例的变型。在权利要求书中，词语“包括”不排除其他元件或步骤，并且不定冠词“一个”或“一”不排除多个。仅仅是在相互不同的从属权利要求中记载了某些措施的事实并不表明这些措施的组合不能被用来获益。

Claims (17)

1.用于楼宇自动化和控制系统中的访问判决评估的方法，所述方法包括：

将访问请求从访问设备（10）发送到受访设备（20）；

将询问是准许还是拒绝所述访问请求的评估请求从所述受访设备（20）发送到中央判决评估装置（30）；

在所述中央判决评估装置（30）处使用一个或多个中央访问控制策略对所述评估请求进行评估，以便得到关于是准许还是拒绝所述访问请求的判决；

在所述中央判决评估装置（30）处从被用于评估的一个或多个中央访问控制策略推导出设备特定的访问策略；

将所述判决和所述设备特定的访问策略从所述中央判决评估装置（30）发送到所述受访设备（20）；

在所述受访设备（20）处存储所述设备特定的访问策略；以及

在所述受访设备处基于所述设备特定的访问策略来判决是准许还是拒绝后续访问请求。

2.根据权利要求1的方法，还包括：

将后续访问请求从所述访问设备（10）发送到所述受访设备（20）；

在所述受访设备（20）处评估所述后续访问请求是否与存储在所述受访设备（20）中的所述设备特定的访问策略相匹配，如果匹配，则在所述受访设备（20）处基于所述设备特定的访问策略来判决是准许还是拒绝所述后续访问请求。

3.根据权利要求1的方法，其中推导所述设备特定的访问策略的所述步骤还包括：推导出用上下文属性作为变量的设备特定的访问策略以使得所述受访设备（20）能够评估在不同上下文中来自所述访问设备（10）的后续访问请求。

4.根据权利要求2的方法，其中判决是准许还是拒绝所述后续访问请求的所述步骤还包括：从上下文源（40）请求上下文信息。

5.根据权利要求2的方法，其中推导所述设备特定的访问策略的所述步骤还包括：推导出用上下文属性作为变量的设备特定的访问策略以使得所述受访设备（20）能够评估在不同上下文中来自所述访问设备（10）的后续访问请求。

6.根据权利要求3的方法，其中判决是准许还是拒绝所述后续访问请求的所述步骤还包括：从上下文源（40）请求上下文信息。

7.根据权利要求1-6中任一项的方法，还包括：在所述中央判决评估装置（30）处对所述设备特定的访问策略进行编码。

8.根据权利要求1-6中任一项的方法，其中所述设备特定的访问策略被存储在所述受访设备（20）的本地存储器（22）中，其中所述本地存储器（22）是仅能够存储固定量的设备特定的访问策略的尺寸受约束的本地存储器。

9.根据权利要求8的方法，其中存储在所述本地存储器（22）中的所述设备特定的访问策略被划分优先级，所述设备特定的访问策略由所述受访设备（20）在本地划分优先级或者由所述中央判决评估装置（30）集中地划分优先级。

10.根据权利要求1-6中任一项的方法，其中存储在所述受访设备（20）处的所述设备特定的访问策略通过与所述中央判决评估装置（30）处的一个或多个中央访问控制策略进行同步而被更新，其中利用在所述中央判决评估装置（30）处的推导期间被增加到所述设备特定的访问策略的附加属性来控制所述设备特定的访问策略的更新。

11.根据权利要求1-6中任一项的方法，还包括：创建所述访问设备（10）与所述受访设备（20）之间和所述受访设备（20）与所述中央判决评估装置（30）之间的被鉴别的信道。

12.楼宇控制系统中的访问判决评估系统，所述访问判决评估系统包括：

访问设备（10）；

受访设备（20），包括存储一个或多个设备特定的访问策略的本地存储器（22）、匹配点（24）和策略判决点（26）；以及

中央判决评估装置（30），包括一个或多个中央访问控制策略的数据库（33）、访问策略判决点（34）和访问策略推导器（36），

其中所述访问设备（10）被布置成将访问请求发送到所述受访设备（20），

其中所述受访设备（20）的所述匹配点（24）被布置成评估所述访问请求以查看所述访问请求是否与存储在所述本地存储器（22）中的所述一个或多个设备特定的访问策略中的一个相匹配，如果匹配，则所述受访设备（20）的所述策略判决点（26）被布置成基于所述匹配的设备特定的访问策略来判决是准许还是拒绝所述访问请求，如果不匹配，则所述受访设备（20）被布置成将询问是准许还是拒绝所述访问请求的评估请求发送到所述中央判决评估装置（30），

其中所述中央判决评估装置（30）的所述访问策略判决点（34）被布置成使用一个或多个中央访问控制策略对所述评估请求进行评估以便得到关于是准许还是拒绝所述访问请求的判决，其中所述中央判决评估装置（30）的所述访问策略推导器（36）被布置成从被用于评估的所述一个或多个中央访问控制策略推导出被导出的设备特定的访问策略，以及

其中所述中央判决评估装置（30）被布置成将所述判决和所导出的设备特定的访问策略发送到所述受访设备（20）。

13.根据权利要求12的访问判决评估系统，其中所述访问策略推导器（36）还被布置成推导出用上下文属性作为变量的所导出的设备特定的访问策略以使得所述受访设备（20）能够评估在不同上下文中来自所述访问设备（10）的后续访问请求，并且其中所述受访设备（20）的所述策略判决点（26）被布置成通过从被包括在所述访问判决评估系统中的上下文源（40）请求上下文信息来判决是准许还是拒绝后续访问请求。

14.访问判决评估系统中的中央判决评估装置（30），该访问判决评估系统包括访问设备（10）、受访设备（20）和所述中央判决评估装置（30），所述中央判决评估装置（30）包括：

一个或多个中央访问控制策略的数据库（33）；

访问策略判决点（34），被布置成使用存储在所述数据库（33）中的一个或多个中央访问控制策略评估来自所述受访设备（20）的评估请求以便得到关于是准许还是拒绝被从所述访问设备（10）发送到所述受访设备（20）的访问请求的判决；以及

访问策略推导器（36），被布置成从被用于所述评估的所述一个或多个中央访问控制策略推导出设备特定的访问策略，其中所述中央判决评估装置（30）被布置成将所述判决和所述设备特定的访问策略发送到所述受访设备（20）以使得所述受访设备能够基于所述设备特定的访问策略来判决是准许还是拒绝后续访问请求。

15.根据权利要求14的中央判决评估装置（30），其中所述访问策略推导器（36）还被布置成推导出用上下文属性作为变量的设备特定的访问策略以使得所述受访设备（20）能够评估在不同上下文中来自所述访问设备（10）的后续访问请求。

16.访问判决评估系统中的受访设备（20），该访问判决评估系统包括访问设备（10）、所述受访设备（20）和中央判决评估装置（30），所述受访设备（20）包括：

存储一个或多个设备特定的访问策略的本地存储器（22）；

匹配点（24）；以及

策略判决点（26），

其中所述匹配点（24）被布置成评估来自所述访问设备（10）的访问请求以查看所述访问请求是否与存储在所述本地存储器（22）中的所述一个或多个设备特定的访问策略中的一个相匹配，如果匹配，则所述策略判决点（26）被布置成基于所述匹配的设备特定的访问策略来判决是准许还是拒绝所述访问请求，如果不匹配，则所述受访设备（20）被布置成将询问是准许还是拒绝所述访问请求的评估请求发送到所述中央判决评估装置（30）。

17.根据权利要求16的受访设备（20），其中所述本地存储器（22）是仅能够存储固定量的设备特定的访问策略的尺寸受约束的本地存储器。