CN106789996A - 一种智能电网用户访问授权控制方法 - Google Patents

Abstract

本发明公开了一种智能电网用户访问授权控制方法，包括部署智能电网系统；智能电网调度中心负责按照智能电网数据控制中心的实际需求给数据控制中心配电；智能电网数据控制中心的检测与认证模块完成接入认证后向信任度计算模块发送检测认证信息，信任度计算模块对检测认证信息进行信任度计算处理并向访问粒度分配模块传递信任度计算结果，智能电力终端完成安全接入认证后向接入控制组件发送权限凭证信息，接入控制组件对凭证信息计算处理并将结果发送给认证服务器进行角色认证和授权。本发明大大降低了程序对服务器内存的要求，同时提高了匹配效率，降低了智能电网中海量数据的属性加密复杂度。

Description

一种智能电网用户访问授权控制方法

技术领域

本发明涉及智能电网控制领域，尤其涉及一种智能电网用户访问授权控制方法。

背景技术

作为物联网的一个分支，智能电网是一个重要的公众应用网络。电力工业是国家经济发展中最重要的基础能源产业，为国民经济的持续发展起着极为重要的作用。随着世界经济的发展、气候变化的加剧和各国能源政策的调整，电网与电厂、政府、客户等群体间的关系更加紧密，客户对电能质量的要求不断提高，可再生能源逐渐成为重要的电源形式，世界能源正在向清洁化、低碳化、高效化的新趋势发展，在此背景下，国家提出了建设统一坚强智能电网的战略目标。智能电网以特高压电网为骨干网架、各级电网协调发展，贯穿发电、输电、变电、配电、用电、调度六个环节，具有信息化、自动化、互动化特征。智能电网用户访问授权系统是智能电网连接外部网络的一道防火墙，与安全接入技术紧密相联，联合提高对远程访问终端系统环境的认证控制能力，尽可能杜绝非法、不可信环境接入，约束用户的访问权限和降低系统风险。智能电网将信息技术、通信技术、计算机技术与原有的输配电基础设施高度集成形成新型电网，具有提高能源效率、减少对环境的影响、提高供电安全性和可靠性、减少输电网电能损耗等优点。智能电网的关键技术涉及诸多领域，也是物联网的一个重要应用。

然而，智能电网具有的“信息化、自动化、互动化”特点，及其运行、服务过程中信息数据交互性的大量增加，智能电网面临着大量的安全风险和安全挑战。在智能电网中，如何保障各应用系统间的信息安全访问等安全问题成为智能电网发展应用中迫切需要解决的问题。由于智能电网信息集成的复杂性，将已有的接入控制技术直接用于智能电网在安全性上会存在如下缺陷：(1)目前，应用系统中大多都是采用基于角色的访问控制(RBAC)模型的接入控制技术，但RBAC在跨域访问的安全性上存在不足。因为RBAC在角色映射时可能存在角色“渗透”、“隐蔽提升”、“冲突关联”等安全问题。(2)基于属性的访问控制(ABAC)是将实体的属性贯穿于访问控制策略、模型和实现机制三个层次以实现访问授权，该方法能够灵活的控制主客体的访问粒度，能弥补RBAC模型的不足。但是属性的划分较为复杂，且没有考虑角色所处的环境(如物理位置、网络位置等)对访问控制的影响进行分析。(3)基于行为的访问控制综合了角色、时态状态和环境状态等相关信息，可以灵活的处理各种访问控制问题，但是角色、时态、环境之间的约束关系和管理策略还有待进一步的研究。(4)与上下文相关的访问控制有基于位置的访问控制和基于时态的访问控制两种，该类访问控制技术能根据用户的当前位置或时态约束条件来判断哪些用户是有效的，并能实现空间职责隔离限制、基于位置的时序限制等，但各种因素的相互影响有待进一步研究。

发明内容

本发明的目的是为了解决现有技术中存在的缺点，而提出的一种智能电网用户访问授权控制方法。

为了实现上述目的，本发明采用了如下技术方案：

一种智能电网用户访问授权控制方法，包括以下步骤：

S1、按照系统结构部署智能电网系统，智能电网系统包括智能电网接入终端、智能电网数据控制中心和智能电网调度中心，智能电网接入终端与智能电网数据控制中心通信，智能电网数据控制中心与智能电网数据库和智能电网调度中心通信；其中智能电网数据控制中心包括检测与认证模块、信任度计算模块、访问粒度分配模块常用权限集计算模块和高级权限分配模块；

S2、对智能电网系统进行初始化：数据所有者可以授权用户访问数据，并且将授权集发送至授权中心；分别将每个用户的属性集合映射为一个可以用hash函数进行运算的值；初始化一个数组，授权中心选择多个相互独立的hash函数，分别对授权集合中的各个元素进行多次hash运算，所得结果映射到一定的范围中得到一个新的位数组；

S3、智能电力终端向认证服务器申请安全接入认证，如果智能电力终端未注册，则认证服务器要求智能电力终端提交注册信息，并根据注册信息向智能电力终端返回用户身份识别码；智能电力终端完成安全接入认证后，收集权限凭证信息并加密发送给接入控制组件；

S4、检测与认证模块将通过认证的智能电网接入终端的认证信息发送给智能电网数据控制中心的信任度计算模块，信任度计算模块结合智能电网接入终端的认证信息对智能电网接入终端进行信任度计算，并将计算结果发送给访问粒度分配模块；

S5、访问粒度分配模块根据信任度计算模块的计算结果分配相应的访问粒度给该智能电网接入终端，并将该访问粒度传递给常用权限集计算模块；

S6、属性判断：如果有用户对数据好奇，需要向授权中心发送访问请求，并且提交自身的属性集合到授权中心；由授权中心对用户的属性值进行比对；如果判断该用户属于授权集，则返回可以解密数据的密钥；否则，返回空值，用户无法获得密钥；

S7、常用权限集计算模块根据传递来的访问粒度计算出的常用权限直接授权给获得该访问粒度的智能电网接入终端，从而实现对智能电网数据库常规数据的快速访问；

S8、加解密模块对加密消息进行解密，将身份识别码与资源数据库中身份识别码匹配，如果身份识别码不存在则拒绝进行授权，如果身份识别码存在则将其发给角色隶属计算模块，并将备份的加密消息发送给认证服务器；

S9、高级权限分配模块在完成审计后根据通过审计的智能电网接入终端的粒度信息将相应的高级权限分配给该智能电网接入终端，使之获得相应的智能电网数据库访问权限或与智能电网调度中心通信的权限。

对检测与认证模块对智能电网接入终端的接入请求进行检测与认证的步骤为：

S1、检测与认证模块首先检测智能电网接入终端的接入请求；

S2、检测与认证模块对发送接入请求的智能电网接入终端进行身份认证，若身份不合法就拒绝该智能电网接入终端接入智能电网；

S3、如果身份认证合法，检测与认证模块对该智能电网接入终端的接入时间、地点和终端的接入记录进行检测，并将检测到的数据进行加密封装；

S4、检测与认证模块将检测封装的数据发送给信任度计算模块。

检测与认证模块对发送接入请求的智能电网接入终端进行身份认证，其方法为：身份注册模块对用户基本注册信息进行格式的正则检查，如果格式不正确则检查失败，如果格式正确则对用户高级信息与资源数据库用户信息进行比对核查，如果核查通过则检查通过，如果核查失败则检查失败。

对所述高级权限分配模块的权限分配步骤为：

S1、高级权限分配模块检测粒度的分配请求；

S2、高级权限分配模块检测粒度的分配信息；

S3、高级权限分配模块根据粒度信息对接入终端再次进行权限分配认证，以确定该终端是否能访问该粒度所拥有的高级权限；

S4、高级权限分配模块根据粒度信息及其权限范围将对应粒度的访问权限范围内的权限授予该访问粒度，使之可以使用这些权限对智能电网数据库操作或者完成与调度中心的通信。

一种智能电网用户访问授权控制方法，步骤S2中对智能电网系统进行初始化的算法包括如下步骤：

S1、数据所有者可以授权用户访问数据，并且将其用来加密数据的私钥和授权集一起发送至授权中心；

S2、授权中心将每个用户的属性集映射为一个可以用hash函数进行运算的值xi；

S3、初始化一个数组，授权中心选择m个相互独立的hash函数，分别对授权集合中的每个元素xi进行m次hash运算，所得结果映射到一定的范围中得到一个新的位数组；对任意一个元素x，第i个哈希函数映射的位置Hi就会被置为1；如果一个位置多次被置为1，那么只有第一次会执行，后面几次将不会对其做任何操作。

与现有技术相比，本发明的有益效果是：

1、本发明避免了传统属性加密方案中复杂的算法操作访问控制结构，能够同时对不同长度的确定位串进行查找匹配，并且所要求的存储空间较小，具有快速高效的特点。此外，当数据文件较大时，ABE算法的复杂性会限制其在加密过程的应用，本发明则不存在这个问题。本发明对于提高智能电网属性访问控制机制的效率很有益。

2、本发明基于智能电网用户特性和数据特性，用简洁、高效的加工、加密方式对用户信息进行处理，然后才将用户信息进行传输，保障了用户信息在网络传输过程中的安全性，实现了智能电网用户访问授权过程的可信。层次式的结构使得系统容易组建和部署，同时使得系统分工明确，提高了系统的计算效率。

具体实施方式

下面将对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。

一种智能电网用户访问授权控制方法，包括以下步骤：

S1、按照系统结构部署智能电网系统，智能电网系统包括智能电网接入终端、智能电网数据控制中心和智能电网调度中心，智能电网接入终端与智能电网数据控制中心通信，智能电网数据控制中心与智能电网数据库和智能电网调度中心通信；其中智能电网数据控制中心包括检测与认证模块、信任度计算模块、访问粒度分配模块常用权限集计算模块和高级权限分配模块；

S2、对智能电网系统进行初始化：数据所有者可以授权用户访问数据，并且将授权集发送至授权中心；分别将每个用户的属性集合映射为一个可以用hash函数进行运算的值；初始化一个数组，授权中心选择多个相互独立的hash函数，分别对授权集合中的各个元素进行多次hash运算，所得结果映射到一定的范围中得到一个新的位数组；

S3、智能电力终端向认证服务器申请安全接入认证，如果智能电力终端未注册，则认证服务器要求智能电力终端提交注册信息，并根据注册信息向智能电力终端返回用户身份识别码；智能电力终端完成安全接入认证后，收集权限凭证信息并加密发送给接入控制组件；

S4、检测与认证模块将通过认证的智能电网接入终端的认证信息发送给智能电网数据控制中心的信任度计算模块，信任度计算模块结合智能电网接入终端的认证信息对智能电网接入终端进行信任度计算，并将计算结果发送给访问粒度分配模块；

S5、访问粒度分配模块根据信任度计算模块的计算结果分配相应的访问粒度给该智能电网接入终端，并将该访问粒度传递给常用权限集计算模块；

S6、属性判断：如果有用户对数据好奇，需要向授权中心发送访问请求，并且提交自身的属性集合到授权中心；由授权中心对用户的属性值进行比对；如果判断该用户属于授权集，则返回可以解密数据的密钥；否则，返回空值，用户无法获得密钥；

S7、常用权限集计算模块根据传递来的访问粒度计算出的常用权限直接授权给获得该访问粒度的智能电网接入终端，从而实现对智能电网数据库常规数据的快速访问；

S8、加解密模块对加密消息进行解密，将身份识别码与资源数据库中身份识别码匹配，如果身份识别码不存在则拒绝进行授权，如果身份识别码存在则将其发给角色隶属计算模块，并将备份的加密消息发送给认证服务器；

S9、高级权限分配模块在完成审计后根据通过审计的智能电网接入终端的粒度信息将相应的高级权限分配给该智能电网接入终端，使之获得相应的智能电网数据库访问权限或与智能电网调度中心通信的权限。

对检测与认证模块对智能电网接入终端的接入请求进行检测与认证的步骤为：

S1、检测与认证模块首先检测智能电网接入终端的接入请求；

S2、检测与认证模块对发送接入请求的智能电网接入终端进行身份认证，若身份不合法就拒绝该智能电网接入终端接入智能电网；

S3、如果身份认证合法，检测与认证模块对该智能电网接入终端的接入时间、地点和终端的接入记录进行检测，并将检测到的数据进行加密封装；

S4、检测与认证模块将检测封装的数据发送给信任度计算模块。

检测与认证模块对发送接入请求的智能电网接入终端进行身份认证，其方法为：身份注册模块对用户基本注册信息进行格式的正则检查，如果格式不正确则检查失败，如果格式正确则对用户高级信息与资源数据库用户信息进行比对核查，如果核查通过则检查通过，如果核查失败则检查失败。

对所述高级权限分配模块的权限分配步骤为：

S1、高级权限分配模块检测粒度的分配请求；

S2、高级权限分配模块检测粒度的分配信息；

S3、高级权限分配模块根据粒度信息对接入终端再次进行权限分配认证，以确定该终端是否能访问该粒度所拥有的高级权限；

S4、高级权限分配模块根据粒度信息及其权限范围将对应粒度的访问权限范围内的权限授予该访问粒度，使之可以使用这些权限对智能电网数据库操作或者完成与调度中心的通信。

一种智能电网用户访问授权控制方法，步骤S2中对智能电网系统进行初始化的算法包括如下步骤：

S1、数据所有者可以授权用户访问数据，并且将其用来加密数据的私钥和授权集一起发送至授权中心；

S2、授权中心将每个用户的属性集映射为一个可以用hash函数进行运算的值xi；

S3、初始化一个数组，授权中心选择m个相互独立的hash函数，分别对授权集合中的每个元素xi进行m次hash运算，所得结果映射到一定的范围中得到一个新的位数组；对任意一个元素x，第i个哈希函数映射的位置Hi就会被置为1；如果一个位置多次被置为1，那么只有第一次会执行，后面几次将不会对其做任何操作。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，根据本发明的技术方案及其发明构思加以等同替换或改变，都应涵盖在本发明的保护范围之内。

Claims (5)

1.一种智能电网用户访问授权控制方法，其特征在于，包括以下步骤：

S1、按照系统结构部署智能电网系统，智能电网系统包括智能电网接入终端、智能电网数据控制中心和智能电网调度中心，智能电网接入终端与智能电网数据控制中心通信，智能电网数据控制中心与智能电网数据库和智能电网调度中心通信；其中智能电网数据控制中心包括检测与认证模块、信任度计算模块、访问粒度分配模块常用权限集计算模块和高级权限分配模块；

S2、对智能电网系统进行初始化：数据所有者可以授权用户访问数据，并且将授权集发送至授权中心；分别将每个用户的属性集合映射为一个可以用hash函数进行运算的值；初始化一个数组，授权中心选择多个相互独立的hash函数，分别对授权集合中的各个元素进行多次hash运算，所得结果映射到一定的范围中得到一个新的位数组；

S3、智能电力终端向认证服务器申请安全接入认证，如果智能电力终端未注册，则认证服务器要求智能电力终端提交注册信息，并根据注册信息向智能电力终端返回用户身份识别码；智能电力终端完成安全接入认证后，收集权限凭证信息并加密发送给接入控制组件；

S4、检测与认证模块将通过认证的智能电网接入终端的认证信息发送给智能电网数据控制中心的信任度计算模块，信任度计算模块结合智能电网接入终端的认证信息对智能电网接入终端进行信任度计算，并将计算结果发送给访问粒度分配模块；

S5、访问粒度分配模块根据信任度计算模块的计算结果分配相应的访问粒度给该智能电网接入终端，并将该访问粒度传递给常用权限集计算模块；

S6、属性判断：如果有用户对数据好奇，需要向授权中心发送访问请求，并且提交自身的属性集合到授权中心；由授权中心对用户的属性值进行比对；如果判断该用户属于授权集，则返回可以解密数据的密钥；否则，返回空值，用户无法获得密钥；

S7、常用权限集计算模块根据传递来的访问粒度计算出的常用权限直接授权给获得该访问粒度的智能电网接入终端，从而实现对智能电网数据库常规数据的快速访问；

S8、加解密模块对加密消息进行解密，将身份识别码与资源数据库中身份识别码匹配，如果身份识别码不存在则拒绝进行授权，如果身份识别码存在则将其发给角色隶属计算模块，并将备份的加密消息发送给认证服务器；

S9、高级权限分配模块在完成审计后根据通过审计的智能电网接入终端的粒度信息将相应的高级权限分配给该智能电网接入终端，使之获得相应的智能电网数据库访问权限或与智能电网调度中心通信的权限。

2.如权利要求1所述的一种智能电网用户访问授权控制方法，其特征在于，对检测与认证模块对智能电网接入终端的接入请求进行检测与认证的步骤为：

S1、检测与认证模块首先检测智能电网接入终端的接入请求；

S2、检测与认证模块对发送接入请求的智能电网接入终端进行身份认证，若身份不合法就拒绝该智能电网接入终端接入智能电网；

S3、如果身份认证合法，检测与认证模块对该智能电网接入终端的接入时间、地点和终端的接入记录进行检测，并将检测到的数据进行加密封装；

S4、检测与认证模块将检测封装的数据发送给信任度计算模块。

3.如权利要求2所述的一种智能电网用户访问授权控制方法，其特征在于，检测与认证模块对发送接入请求的智能电网接入终端进行身份认证，其方法为：身份注册模块对用户基本注册信息进行格式的正则检查，如果格式不正确则检查失败，如果格式正确则对用户高级信息与资源数据库用户信息进行比对核查，如果核查通过则检查通过，如果核查失败则检查失败。

4.如权利要求1所述的一种智能电网用户访问授权控制方法，其特征在于，对所述高级权限分配模块的权限分配步骤为：

S1、高级权限分配模块检测粒度的分配请求；

S2、高级权限分配模块检测粒度的分配信息；

S3、高级权限分配模块根据粒度信息对接入终端再次进行权限分配认证，以确定该终端是否能访问该粒度所拥有的高级权限；

S4、高级权限分配模块根据粒度信息及其权限范围将对应粒度的访问权限范围内的权限授予该访问粒度，使之可以使用这些权限对智能电网数据库操作或者完成与调度中心的通信。

5.如权利要求1所述的一种智能电网用户访问授权控制方法，其特征在于，步骤S2中对智能电网系统进行初始化的算法包括如下步骤：

S1、数据所有者可以授权用户访问数据，并且将其用来加密数据的私钥和授权集一起发送至授权中心；

S2、授权中心将每个用户的属性集映射为一个可以用hash函数进行运算的值xi；

S3、初始化一个数组，授权中心选择m个相互独立的hash函数，分别对授权集合中的每个元素xi进行m次hash运算，所得结果映射到一定的范围中得到一个新的位数组；对任意一个元素x，第i个哈希函数映射的位置Hi就会被置为1；如果一个位置多次被置为1，那么只有第一次会执行，后面几次将不会对其做任何操作。