安全支撑平台范文

安全支撑平台范文（精选8篇）

安全支撑平台 第1篇

1安全需求分析

基于以上原因, 本次CA身份认证系统的建设以满足业务应用安全需求为出发点, 实现如下的安全功能服务:

(1) 统一身份标识:基于PKI/CA系统能够为网络中硬件设备以及信息系统内的各种人员签发可信的证书, 从而保障人员身份信息以及设备身份信息可信问题。

(2) 统一身份管理:可以结合账户管理服务创建统一的账户管理机制和平台, 面向不同的应用系统和用户, 提供统一的、一致的身份管理和身份认证服务。

(3) 统一的安全认证:基于数字证书的统一身份认证。只有通过身份认证后, 用户才能根据自身权限, 实现对业务系统的访问。

(4) 高强度访问控制:采用数字证书、密钥等的安全认证方式, 可提高访问控制安全强度。

(5) 集中授权和审计:跨系统、跨区域、跨组织的用户无法有效进行集中的授权管理和审计分析,

(6) 责任认定:系统需要为业务系统提供统一的责任认定服务。

(7) 数据保全服务:需要对业务系统涉及的重要数据提供数字信封、数字签名服务, 使得任何非法的数据修改过程能够被及时发现;

(8) 采用SSL技术保护隧道传输安全, 避免数据传输过程中被窃取、盗用或篡改。

(9) 单点登录:一KEY登陆, 全网畅游。

2体系框架设计

以数字证书为基本认证要素, 以密码技术为核心, 构造可以满足全面防护的、综合性、完善的、可操作实施的安全保障体系。核心组件是:以服务总线为基础, 以集中管理为核心, 以统一规范为标准, 以安全环境为依托, 从多个层面为信息系统提供安全服务支撑。该体系的提出是为了应用提供安全的支撑服务, 采用集中统一管理各项安全子系统, 各项安全策略, 对人、设备以及业务资源进行统一注册、标识, 授权及安全事件分析, 最终形成完整的管理体系, 同时为平台提供认证、授权、监控、审计、实施访问控制策略等服务。

(1) 安全环境:提供基于密码技术的基础服务, 为应用系统及安全服务提供可靠的安全支持环境;

(2) 安全服务:在安全环境的支持下, 通过统一管理, 集中调用, 形成对应用的安全支撑;

(3) 安全应用:以密码技术为基础, 实现安全可靠的应用系统, 与现有业务系统形成有效互补;

3功能模块设计

3.1身份鉴别及访问控制子系统

基于数字证书, 结合数字信封技术, 通过应用系统与电子认证基础设施的交互, 完成登录行为的强身份认证, 同时根据认证结果核对该用户的可信访问权限, 完成对访问客体准入的鉴权控制。

3.2安全传输子系统

利用密码算法特性, 采用加解密技术, 对网络传输信道进行安全加密, 确保数据在传输过程中的安全, 同时规范调用方式及接口, 解决接口差异化现象, 并实现全程安全处理的透明化。

3.3安全存储子系统

基于PKI/CA加密技术, 结合用户已有的文件服务器或NAS设备即可组成完整的安全存储系统。客户端完成文件加密, 解密等运算。服务器负责控制, 调度。客户端和服务器通讯的网络中, 文件也是加密传输, 加密存放。

3.4密码服务子系统

通过对服务接口的封装及转换, 消除密码接口的差异性, 屏蔽运算的复杂性, 提供标准化服务, 服务内容包括:数字信封、数据加解密等。

3.5电子标签子系统

以密码技术为主, 对网络资源, 如安全服务、安全设备、调用接口等安全实体进行标识, 以确定其真实及合法性, 通过安全标签服务, 提供业务层调用安全服务的唯一标示及可信凭证。

3.6目录服务子系统

以安全手段对目录服务进行提升, 定义格式、存储、命名等标准, 并对业务层及安全层系统提供统一的下载同步接口, 规范目录服务的使用, 体现目录服务权威性和严密性, 并且通过对访问主体实行身份鉴别及访问控制等手段, 确保目录服务的安全性。

3.7责任认定子系统

以数字签名为基础, 基于数字证书来实现对相关数据操作过程行为的签名及验证, 保障业务系统中数据的完整性, 实现业务流程处理环节的抗抵赖及司法取证。

4接口规范设计

4.1服务调用接入规范

定义客户终端调用服务的接口框架及调用流程, 指导安全客户端接入终端服务组件。

4.2应用接入规范

定义应用系统统一服务接口规范, 实现应用系统接入的统一性。

4.3系统接入规范

定义接入安全系统统一服务接口规范, 实现所有系统接入的统一管理、审计。

5建设效果预测

(1) 符合国家政策要求:快速应对应等级保护、分级保护的相关技术要求点。

(2) 满足业务安全需求:快速应对应用系统对业务安全方面的诉求。

(3) 提高应用系统及操作人员的工作效率。

(4) 降低系统运维管理成本:协助运维人员能更直观的掌握系统的运行情况、更轻松的管理网络资源, 从而减少运维管理成本。

(5) 提供管理决策支持:应用安全支撑平台从管理者视角, 以网络体系责任人的高度, 对系统信息进行采集、汇总、整理、分析, 化简为珍, 提供符合决策支持的参考信息。

摘要：PKI应用安全支撑平台将以简化应用的开发改造、统一应用的安全规范、集中应用的安全管理、提高应用的安全保障为目标, 为核电公司各种网络应用系统提供全面的安全支撑服务。应用安全支撑平台旨在快捷、集中、完整、规范、高效的协助应用系统实现应用安全要求。

关键词：PKI/CA,数据加密,数字签名

参考文献

[1]尹晓晖.PKI技术在应用系统中的应用[J].信息安全与通信保密, 2008 (03) :41-43.

[2]宋福英.基于PKI/CA的OA系统安全设计[J].甘肃科技, 2015, 31 (5) .

[3]王丽华.PKI体系在电子政务中的应用[J].科技经济市场, 2015 (11) :194-195.

[4]王雪玉.身份认证新技术密码自己掌握[J].金融科技时代, 2016 (2) .

[5]彭涛, 何鸣强.PKI应用改造的探索[J].电脑编程技巧与维护, 2016 (1) .

质量创新见端倪 平台支撑大梦想 第2篇

成立初期 苦尽甘来

绍兴检测的成立看似水到渠成，实则一波三折。对于中国轻纺城这样一个面料集散中心，柯桥乃至绍兴都是各检测机构的兵家必争之地。2009年，国家纺织面料馆落户于中国轻纺城创意大厦。“那时就想创办一个检测中心，一方面为面料馆的面料保驾护航，另一方面也希望中国轻纺城面料的品质得到提升。”中国纺织工业联合会检测中心绍兴市纺信检验技术服务有限公司总经理谢凡告诉记者。

虽然这个想法很有意义，但现实却很残酷。绍兴的检测市场竞争十分激烈，绍兴检测想要从他们老牌检测机构口中分得一杯羹实在是很困难。就这样，创办绍兴检测的想法渐渐被搁置。

转折点出现在两年后，也就是2011年的5月下旬。“我们突然接到任务，要求大家在7月22～23日召开的全球纺织服装供应链大会前完成绍兴检测的准备工作。”谢凡回忆说，“当时绍兴检测还在筹建期，什么都没有，实验室需要装修，仪器设备也需要购买，更加严峻的是这些工作还要求十个工作人员在两个月内完成。”

谈起这段艰辛的往事，综合行政部主任沈殷也深有同感。沈殷从2009年起就在国家纺织面料馆工作，2011年绍兴检测成立时就来到了这里。“当时真是拿着设计图，一点点看着施工。可以说，这里的一砖一瓦都饱含着我们的心血。”据沈殷介绍，虽然十个人一起日夜赶工，但是无奈时间太紧，直到绍兴检测剪彩的那天上午，大家都还在紧张的筹备当中，其中也包括总经理谢凡。“因为剪彩前一天最后一批设备刚刚到，刚刚装完仪器，地上还有不少装修遗留的比较难清除的污迹。”谢凡解释道。在这十个人的共同努力下，紹兴检测终于顺利启程。

2011年7月，绍兴检测正式成立。正如一开始担心的那样，在竞争激烈的绍兴检测市场，年轻的绍兴检测团队步履维艰。“绍兴检测初来乍到，没有知名度，业务十分不理想。而且一开始的检测人员和资金配备都不是很充足，情况有些捉襟见肘。”回忆起当时的情境，谢凡也颇为感慨。

但令人欣慰的是这个年轻的团队凭借着乐观的心态和超强的团队凝聚力，互相帮扶着走过了那段艰辛的岁月。“虽然刚开始的时候业务比较少，但是凭借着中国纺织工业联合会检测中心（以下简称中纺联检）的帮助，不时会有大业务上门。由于我们检测人员比较少，遇到大业务，有时候需要加班到深夜，但是结束后，大家会互相搭车回家，同事间的关系非常融洽。”

实验室主管杨道鹏也是从那个时期成长起来的，谈起刚开始的那段蛰伏期，杨道鹏表示自己获益颇多。从一开始负责物理检测的小员工，到如今成为整个实验室的主管，绍兴检测对杨道鹏有着不一样的意义。“其实创建初期，检测人员都在培训阶段，我自己也是一样，一开始拿一些样品练手，自己做测试，不断积累经验。随着经验的增加，我也慢慢开始带新人，负责的工作范围也越来越广。其间，我还做过流程管理，现在主要是负责整个实验室的管理。”杨道鹏还向记者透露自己刚刚同一位绍兴当地女孩结婚，成了一个名副其实的新绍兴人。

创新理念 打破误区

经过两年的漫长等待，蛰伏已久的绍兴检测终于迎来了高速发展时期。市场总监刘晓军就是在这一年来到这里的。工作中，刘晓军发现自己对检测的理解和绍兴检测所宣扬的理念惊人的一致，就像是一匹千里马终于遇见了自己的伯乐，“策马奔腾”起来。

刘晓军认为，检测的目的不仅仅是为了产品能够合格，更主要的是通过提高品牌的性价比来满足消费者的需求。这跟绍兴检测旨在提高面料品质的初衷不谋而合。而绍兴检测的主要客户群就是浙江区域内的品牌女装，同时也会辐射一些面料企业。对品质的不断追求成为了双方合作的一个纽带。

任何一种创新的理念想要得到大众的认可，必然需要经过一段漫长的过程。对大多数的服装企业负责人而言，来绍兴检测，他们要的是一个检测结果，只要检测通过了，相关部门别找企业麻烦就行。而对于绍兴检测提出的检测理念，很多企业不以为然。

为了推广自己的理念，刘晓军和市场部的同事们经常去一些品牌企业拜访，发放宣传单，同时也在积极寻求中纺联检的帮助。凭借着坚持不懈的努力，一些思想开放的品牌女装企业慢慢开始接受绍兴检测的理念。

女装品牌红袖从2013年起就开始和绍兴检测合作，其品质管理部经理朱才银表示，绍兴检测的理念和自己不谋而合。“红袖选择绍兴检测最大的原因就是因为理念上的一致性，如果检测出来的产品不合格，我们可以选择退货。但作为品牌女装，我们检测的最终目的就是为了更好地满足消费者的需求。”朱才银如是说。

刘晓军表示，虽然有些企业家已经开始转变观念，但是大多数的服装企业负责人还是抱持既有观念，一旦检测出现问题，就希望用后续工艺来改善检测结果。但事实上，后续工艺是无法改变的，检测的目的是为了发现问题后去改进前道工艺。“比如说服装在检测过程中出现问题，我们就需要从面料层面去寻找问题。但是我们推崇的这种改进并不是盲目的，也不是一味地追求服装品质上的完美，而是需要在成本和质量之间寻找一个平衡点。”刘晓军告诉记者。

众所周知，国家有一个统一的检测标准，这个检测标准就像是一双鞋但是要适合众多规模不一的服装企业的“脚”，势必有些企业会感到不合“脚”。“所以我们在检测的过程中，会根据企业客户需求来设定差异化的检测标准。”刘晓军说，“比如一件价格200元的裙子和一件标价2000元的裙子，国家标准一样，但是品牌客户群完全不同，购买2000元裙子的消费者对服装的要求显然要高于200元的消费者。如果我们使用同样的国家标准，显然无法满足拥有2000元消费能力的消费者，那么对其品牌企业而言，可能会带来一系列的换货、退货的麻烦。”

nlc202309031403

绍兴检测通过创新理念，打破传统服装企业和面料生产商在检测目的上的误区，渐渐打开了江浙区域的检测市场。“和刚成立的时候相比，我们实验室的工作忙多了，如果说以前是‘和平时期’，那么现在就像是‘战争时期’，随着业务量渐渐变大，客户的要求也越来越多，实验室的检测人员队伍也在不断扩大，原来整个中心只有10个人，现在仅实验室就有22人。”杨道鹏告诉记者。

狠抓数据 提升服务

年轻队伍对数据的追求近乎苛刻。为了保证检测数据的准确性，实验室特意设立了三条措施。“第一条是内部质量控制。我们会和其他不同的实验室进行同一个项目的比对，通过比对结果来做出判断和调整；第二条是不定期留样再测。主要是把一些比较稳定的样品留下来做不定期检测；第三条是通过标准物质的检测结果来判断实验室检测结果的准确性。”杨道鹏解释道。

此外，據杨道鹏介绍，绍兴检测一年会参加十次左右的全国性检测能力验证。今年上半年就已经参加了五次，绍兴检测所有的检测结果都在能力验证规定的标准之内。这些年轻的工作人员对数据准确性的“疯狂”追求同样得到了客户的认可。

卓尚服饰（杭州）有限公司从2012年就开始和绍兴检测合作，其品质管理部主管莫波对绍兴检测的检测报告评价很高，说道：“绍兴检测的报告含金量很高，检测数据非常准确，鲜有错误。”

确保数据的准确是留住客户的基本要求，周到的服务态度才是绍兴检测这匹黑马能够脱颖而出的关键。想客户所想，急客户所急是绍兴检测一直坚持的服务理念。

据刘晓军介绍，曾有个客户因为自己工作人员的失误，在送检的过程中把本来应该检测的纤维含量错选成了甲醛含量，但是工厂却等着检测结果开工，结果其领导直接放话，如果第二天拿不到正确的检测结果，该工作人员就要直接走人。“这个工作人员焦急地找到我们，希望能够帮助他。”为了帮助这个客户渡过难关，刘晓军马上召集了团队成员，经过讨论，大家一致同意为这个客户通宵加班。在团队的合力协作下，第二天上午检测结果就出来了。“现在这家企业已经是我们的忠实客户了，公司的领导很信赖我们。”每每谈及此事，刘晓军都颇为自豪。这背后也离不开大家点滴的努力，就像刘晓军的手机24小时都是开机状态，客户有任何疑问随时都可以找到他。

新标准发布会、检测沙龙、专业研讨会等形式多样的培训活动作为绍兴检测的附加服务提高了客户的满意度。“公司经常会安排相关员工参加，通过这些培训活动，不仅可以学习到最新的检测知识，还可以认识很多同行，大家互相交流探讨，不仅让我们工作人员提升不少，其实对企业帮助更大。”莫波告诉记者。

安全支撑平台 第3篇

电力二次系统是指各级电力监控系统和调度数据网络以及各级管理信息系统和电力数据通信网络构成的大系统[1],也是电力异构二元复合网络的关键节点。当电力信息网受到有意或者无意攻击时, 信息网的故障可能会通过电力二次系统穿越信息网边界,波及电力物理网,进而导致故障在电力网出现连锁反应,在一些极端情况下,故障在两者之间交替传播,严重威胁电网安全运行[2]。

随着电力二次系统安全防护系统工作的深入开展,众多学者在安全防护体系方面做了大量的研究工作[3-6]。然而,现行支撑电力信息网的电力二次系统都具有自己的安全防护体系,对用户身份认证、资源授权、安全审计、用户管理等难以统一。一方面, 当用户角色以及资源需要改变时,电力公司业务运作变得不够顺畅,导致业务流程被割裂,需要过多的人工介入,效率下降,数据一致性降低,使电力二次应用系统失去了应有的作用。另外一方面,安全防护体系公钥算法大多采用RSA算法。随着全球范围内密码技术的发展和计算能力的提升,现有的基于1 024bit的RSA算法的密码体系已不能满足当前和今后的安全应用需求,尽管增加RSA算法密钥长度可以提高原有系统的安全性,但是密钥长度的增加会导致加解密速度降低、硬件实现复杂、基于RSA的传输协议在实际应用中存在不可忽视的时延,影响了服务质量[7],除此之外,欧美等国也限制密钥长度大于1 024bit的RSA程序出口。全面采用国产通用算法,这是国家的要求,建立和发展基于国产通用算法的商用密码支撑体系和应用体系是关系国家信息安全的重要措施。2011年国家密码管理局下发了《关于做好公钥密码算法升级工作的函》 (国家密码管理局函〔2011〕7号),规定2011年7月1日以后投入运行并使用公钥密码的信息系统应使用SM2算法;同时,规定从2011年2月28日起在建和拟建公钥密码基础设施的电子认证系统和密钥管理系统应使用SM2算法,新研制的含有公钥密码算法的商用密码产品必须支持SM2算法,实现SM2算法逐步取代RSA算法,建立基于国产算法的密码支撑体系。因此,针对电力公司这种关系国计民生、社会稳定的企业,更加需要采用国产算法密码支撑体系,增强电力信息网的安全,防止有害信息和恶意攻击对电力网的干扰而引发的重大生产事故,保证电力生产和调度自动化系统的安全运行。

为此,本文提出了一种基于SM2算法密码体系的安全支撑平台的设计和实现方案。由于当前处于RSA算法向SM2算法过渡的时期,为了节约用户的硬件投资,减少系统的管理工作量,该平台同时支持RSA和SM2两种算法的密码体系混合使用,这样既不影响现有的业务,又可以满足政策的要求,并逐步淘汰RSA算法的密码体系,最终符合国家密码管理局密码管理规范的要求。基于该方案设计开发的安全支撑平台已经在某省级电网成功投入应用。

1椭圆曲线加密

椭圆曲线密码学(elliptic curve cryptography, ECC)是基于椭圆曲线离散对数问题的一种公钥密码算法[8],国产SM2算法是具有中国自主知识产权并由国家密码管理局发布的公钥密码算法,是ECC算法的一种[9]。相对于RSA算法,SM2算法具有以下优点[10]:①安全性能提高,160bit的SM2算法的安全性与1 024bit的RSA算法相当,而210bit的SM2算法的安全性则与2 048bit的RSA算法相当;②在速度方面,不论是在密钥生成、认证及密钥协商方面,SM2算法相比RSA算法都有非常突出的优势;③存储空间小,SM2算法的密码一般为192~256bit,RSA算法的密码一般需要为1 024~ 4 096bit;④国产算法,无国外可利用的后门。SM2算法和RSA算法的安全性能和速度性能如表1和表2所示,其中破译所需时间的单位年表示运算速度为106次/s的计算机连续运行一年。

为了提高电力二次系统认证平台的安全性,现行的及下一代认证平台和密钥管理系统必须使用国产SM2算法。下文涉及的加密设备(USBKey及加密卡)中都内置SM2算法,实现对用户身份的认证, 杜绝密钥在客户端内存中出现的可能性。

2安全支撑平台的设计

针对电力二次系统缺乏集中管理和审计,本文设计了一种安全支撑平台,通过在电力二次系统之前部署一个这样的安全支撑平台作为应用网关,由平台提供安全可靠的身份认证、严格有效的访问控制与权限管理以及进行安全审计日志记录,并对用户信息及系统资源进行管理等功能。安全支撑平台系统结构和部署如图1所示。图中所示的轻量目录访问协议(LDAP)数据库用来存取用户信息和访问控制策略信息;①,②,③分别表示可信的第三方证书授权中心(CA)为用户、管理员和安全支撑平台颁发公钥证书;④表示安全支撑平台身份认证模块查询用户信息;⑤表示安全支撑平台授权管理模块查询用户角色信息;⑥表示安全支撑平台安全审计模块查询用户访问日志信息;⑦表示安全支撑平台资源管理模块查询电力二次系统的资源域等相关信息。

用户通过电力信息网访问电力二次系统应用服务时,首先要通过安全支撑平台的身份认证并根据用户角色确定其访问权限后,才能访问相应的电力二次系统应用服务。系统管理员通过电力信息网来配置安全支撑平台和用户信息,完成添加、删除用户等操作,第三方CA为用户、管理员和服务器颁发公钥数字证书(PKC),并提供证书撤销列表(CRL)服务。LDAP数据库一方面为安全支撑平台提供用户信息和访问控制策略,另一方面实时更新CRL以确保用户身份的有效性。MySQL数据库一方面存储审计日志以及各个电力二次系统应用授权码等相关信息,另一方面实时更新应用授权码等信息,确保电力二次系统与用户身份映射的有效性。

安全支撑平台应用Web Services技术将身份认证、授权管理、安全审计及用户管理等功能封装为Web服务[11],利用LDAP数据库存储的用户身份、 角色和访问控制等信息和MySQL数据库存储安全审计日志以及各个电力应用系统的信息,方便电力二次应用系统的整合集成调用,从而实现统一认证、 统一管理、统一授权和统一审计。

3安全支撑平台中SM2算法的应用

3.1存在的问题

上述构建的安全支撑平台要支持国家商用SM2算法的数字证书,需要考虑两个方面的内容[12],即电力公司的公钥基础设施(PKI)系统是否可以发放支持SM2算法的数字证书,以及电力二次应用系统是否可以使用支持国家商用SM2算法的数字证书。对于是否可以发放支持国家商用SM2算法的数字证书,主要与可信第三方CA中心关联; 对于是否可以使用支持国家商用SM2算法的数字证书,主要与数字证书和电力系统应用业务的整合集成相关。

1)电力公司PKI系统是否可以发放支持SM2算法的数字证书。目前根据国家商用密码建设来看,支持SM2椭圆曲线算法的加密卡和USBKey以及加密设备的标准调用接口、证书格式等相关的标准规范基本制定完成,对于发放支持SM2椭圆曲线算法的数字证书的条件已完全具备。

2)电力二次系统是否可以使用支持国家商用SM2算法的数字证书。现有基于RSA算法的安全支撑平台与电力应用系统集成整合,可以细分为客户端和服务器端两个部分:①对于客户端而言,应用环境是基于浏览器/服务器(B/S)架构,用户通过IE浏览器访问系统资源时,通过调用Microsoft定义的加密应用程序接口(CryptoAPI)调用加密服务提供者(CSP)组件接口,对客户端USBKey硬件加密设备进行调用,实现客户端的加密、解密、签名、验证等操作;②对于服务器端(安全支撑平台或电力二次应用系统)而言,其Web服务器(例如Apache、互联网信息服务(IIS)等)可以通过安全套接层(SSL)协议与客户端实现传输信息的加解密,间接地实现身份认证,服务器一般调用标准的PKCS#11接口实现硬件加密卡的访问,提供加密、解密、签名、验证的服务。然而CSP和PKCS#11两类标准的接口中每个密码算法均是以国际标准化组织(ISO)建立的对象标识符(OID)值来进行区分,应用系统通过传递不同的OID值对不同的密码算法进行应用。因为国家密码管理局颁布的SM2算法是中国自有算法,加之Microsoft的Windows操作系统的垄断, SM2算法还没有被CSP和PKCS#11等标准接口包容,电力二次应用系统无法利用SSL安全传输通道传递算法OID值的方式实现对SM2算法的调 用,使得支持SM2算法的数字证书无法直接在上述应用环境中使用,进而给现有安全支撑平台升级实现SM2算法带来了相应的困难。表3为RSA算法、国际ECC算法及国产SM2算法的OID值。

3.2解决方案

电力二次系统业务资源需要操作系统作支撑, 然而主流的办公操作系统是Microsoft的Windows操作系统。Windows操作系统目前还不支持SM2算法数字证书的OID值,所以要求Windows操作系统支持中国颁布的SM2算法数字证书,使SM2算法数字证书得到全面的应用还比较困难。针对SM2算法数字证书的特殊性,结合对原有数字证书系统进行少量代码改造的原则,在客户端通过国家密码局颁发的加密设备应用接口规范实现客户端USBKey的调用,通过浏览器插件的方式实现接口包的下载,而不再借助Microsoft的CSP接口或国际PKCS#11标准接口。在服务器端,因为SSL协议不支持SM2算法,如果安全传输通道继续采用SSL协议,需要而且只能对OpenSSL(支持SSL协议的一种开源软件库)进行改造,虽然通过改造OpenSSL可以实现安全支撑平台升级SM2算法数字证书,但是会带来以下两个问题。

1)改造OpenSSL需要修改大量源代码,工程量极大,而且这种方案只针对Apache架构的服务器, 对IIS服务器或者其他服务器不适用。

2)基于SM2算法的加密卡是国家密码管理局制定的接口标准,OpenSSL需要调用PKCS#11标准接口的加密设备,因此,需要对加密接口进行相应的转换,需要相应组件对加密设备进行调用。

鉴于上述情况,加密通道不采用标准的SSL协议实现,而是基于组件技术自行设计安全传输通道, 实现现有的安全支撑平台升级支持SM2算法。通过这种改变调用的方式,从而使电力应用系统可以使用SM2椭圆曲线算法的数字证书。

基于组件的开发技术是以嵌入后可立即使用的即插即用型概念为核心,以可重用为目的设计、封装的软件技术[13]。通过采用安全组件技术改变对加密设备的调用方式,完成电力二次应用系统的PKI系统升级,实现SM2算法的数字证书。下面重点介绍客户端、应用系统及安全支撑平台部署相关安全组件的设计。

3.2.1客户端的iMidWare安全组件

iMidWare安全组件主要实现对SJK1134型USBKey进行调用完成用户身份认证,主要功能包括:建立用户端与平台的可信会话,管理用户认证会话及重定向,实现对加密设备的访问。

客户端部署iMidWare安全组件之后,客户端如图2所示包括SJK1134型USBKey和iMidWare安全组件、浏览器。

3.2.2电力二次应用系统的iAccount安全组件

iAccount安全组件主要实现对SJK0817-B型加密卡调用和对访问用户进行身份认证。iAccount组件为各种电力二次应用系统提供安全可靠的应用接入开发接口,是实现各种异构电力二次应用信息系统的基础。iAccount组件主要实现建立电力应用服务器与安全支撑平台的可信加密通信,管理用户认证会话及重定向,维护用户认证用户信息,为电力应用系统提供安全审计接口及资源授权接口。

系统管理员将电力应用服务资源映射成应用授权码,并将应用授权码存储于安全支撑平台及电力二次应用系统中,当用户对服务发起访问时, iAccount组件通过资源授权接口将应用授权码传递给安全支撑平台进行验证,确保授权用户能合法访问。

电力二次应用系统部署iAccount安全组件之后,电力二次应用系统如图3所示,包括SJK0817-B型加密卡、iAccount安全组件、电力二次应用系统Web服务资源。

3.2.3安全支撑平台及iServer安全组件

iServer组件是Web服务提供者对服务请求者的身份验证的接口程序,是一个能够处理用户访问的底层服务程序模块,主要实现处理用户对计算机或网络资源访问的请求,对用户身份和操作授权进行验证,通过检索资源授权库来决定用户的资源访问权限,同时对用户在电力应用系统中的活动进行行为记录。

部署iServer安全组件之后,安全支撑平台如图4所示,包括SJK0817-B型加密卡、iServer安全组件、核心服务模块。核心服务模块除了包括AAAA服务引擎之外[11],还包括支撑服务程序。 支撑服务程序是其他基本功能模块的安全控制程序,负责其他模块之间的调度,同时又是远程网络安全访问的提供者。

3.3安全支撑平台的升级

采用SM2算法的安全支撑平台进行单点登录设计时,通过客户端浏览器部署iMidWare组件,安全支撑平台部署iServer组件,电力二次应用系统部署iAccount组件,实现自行设计安全传输通道替换原有安全支撑平台两个链路上的SSL协议加密通道,完成安全支撑平台升级,支持SM2算法数字证书。

1)安全支撑平台与客户端的安全传输通道。客户端通过iMidWare组件和统一安全支撑平台iServer组件,替换这条链路上的SSL协议加密通道。两者在安全传输通道进行双向身份认证,安全支撑平台将根据当前用户会话信息、用户基本信息、 随机序列值等生成一次性凭证票据,由安全支撑平台证书签名后传递给用户端iMidWare安全组件。

2)安全支撑平台与电力应用系统的安全传输通道。为了达到平台升级支持SM2算法,在安全支撑平台与电力应用系统分别部署iServer组件和iAccount组件,电力应用系统调用iAccount安全套件的证书认证接口来首先验证一次性凭证签名的合法性以及应用授权系统授权码的合法性。验证通过,安全支撑平台将用户属性信息和应用扩展信息(如账号、组织、单位等)签名加密后返回给电力二次应用系统。

基于SM2算法的安全支撑平台的架构及访问流程如图5所示。

1)访问用户在客户端插入带SM2算法的USBKey,通过HTTP协议及数字证书登录电力二次系统,发起对电力二次系统的访问。

2)电力二次系统服务器调用iAccount套件证书,认证接口判断此访问是否经过认证,如没有通过认证,通知客户端的iMidWare组件自动重定向至安全支撑平台。

3)安全支撑平台将根据提交的SM2算法数字证书验证用户,检查CRL、证书有效性、用户角色、 用户权限等信息,并在认证日志中记录用户名、IP地址、时间、电力二次系统名称、登录方式、认证状态等信息。

4)SM2算法数字证书认证通过后,安全支撑平台将根据当前用户会话信息、用户基本信息、随机序列值等由服务器证书签名生成一次性凭证,传递给客户端。

5)客户端通过iMidWare组件自动重定向客户端至电力二次系统,并提交这个一次性签名凭证。

6)iAccount套件证书认证接口首先验证一次性签名凭证,验证通过以后,将应用授权码和一次性签名凭证传递给安全支撑平台,以验证当前会话用户访问签名凭证的合法性以及电力二次应用系统授权码的正确性。

7)验证通过后,安全支撑平台获取用户信息并进行加密,将加密用户信息签名后返回给电力二次应用系统,随即销毁一次性签名凭证。应用系统得到签名的用户信息后,验证该信息的真实性,通过后,解密用户信息,然后根据该用户信息登录电力二次系统。

8)确认用户身份,允许用户正常访问。

4集成应用及功能测试

该平台已在多个某省级电网投入运行,下面以为电网公司的电力营销支撑系统(包括营销信息管理系统、客户服务管理系统、营销质量管理系统、营销决策支持系统等)及周边的其他电力应用信息系统(负荷管理信息系统、能量采集系统等)构建“大营销”背景下的电力营销综合应用平台为例,说明安全支撑平台是如何在实际应用中解决多个电力信息系统集成问题,并对集成整合后的电力营销综合应用平台进行前后台功能测试。

电网公司的营销支撑系统及周边信息系统按照图5所示,分别调用iAccount组件接口,实现营销支撑系统及周边异构信息系统集成,完成电力营销综合应用平台的建设。构建的电力营销综合应用平台如图6所示。

4.1集成整合前台登录测试

本文是基于数字证书的认证方式对访问用户进行身份认证,对电力营销综合应用平台进行前台登录测试,主要是验证访问合法用户是否能正常登录电力营销综合应用平台、防止非法用户进入,验证是否可以实现SM2数字证书的认证方式和用户在登录及操作时产生的用户信息能否正常保存在数据库中。通过获取链路中数字证书的公钥参数值,即OID值1.2.156.197.1.301(如附录A图A1所示),说明构建的电力营销综合应用平台可以升级实现SM2数字证书认证方式。

4.2安全支撑平台功能测试

安全支撑平台借助于Web方式,对平台的身份认证、授权管理、安全审计、用户管理等功能进行测试,验证是否达到预期设计的安全应用需要。

4.2.1后台登录测试

安全支撑平台的后台登录测试主要包括对合法用户的正常识别和杜绝非法用户,其认证的Web界面如附录A图A2所示。通过查看平台的审计中心的访问认证日志(如附录A图A3所示),用户在访问电力应用系统或者安全支撑平台时,必须先通过安全平台的认证,才能对相应的资源进行访问和操作。

4.2.2授权管理测试

安全支撑平台的授权管理测试包括资源域的添加、资源域的编辑、资源域状况等内容。授权管理通过管理员对用户角色添加资源域,实现资源的访问权限控制,其授权的Web界面如附录A图A4所示,对用户授权的资源经测试用户能正常访问,反之则不能访问。

4.2.3安全审计测试

安全支撑平台的安全审计功能测试主要包括查看和管理访问认证、资源授权等日志功能。经测试合法的安全审计员可以查看访问用户对系统资源的访问情况或管理员对用户授权管理情况等日志,而非审计人员不能操作安全审计中心的任何资源,进而无法篡改审计日志。附录A图A3描述了访问认证日志情况,图A5描述了资源授权日志情况。

4.2.4用户管理测试

安全支撑平台用户管理功能测试主要包括对角色管理、用户组管理及用户信息管理功能进行测试, 用户管理员通过角色管理模块为系统管理员提供增加新角色、删除角色、修改现有角色的描述等操作。

实践表明,安全支撑平台为电力二次系统安全防护监管提供了有效的技术手段。一方面,运行人员可以通过安全支撑平台全面掌握电力二次系统安全状态,及时发现安全隐患;另一方面,安全支撑平台为电力二次系统提供了完备的、标准化的基础信息,便于进行安全审计。

5结语

通过统一安全支撑平台,将每个区目前分散的各个电力二次应用系统进行异构集成整合,实现用户统一身份认证、统一管理和统一授权以及统一审计,既能有效地保护电力二次应用系统又极大地简化了应用中访问控制和权限管理系统的开发与维护,并减小了管理成本和降低了复杂性。其次,本文采用国产SM2公钥算法,安全性更高,保证国家层面上的信息安全。因此,本设计既满足了电力二次系统的安全管理,又实现了信息安全产品的国有化, 具有重要的现实意义。

附录见本刊网络版(http://aeps.sgepri.sgcc. com.cn/aeps/ch/index.aspx)。

摘要：针对电力二次系统安全防护体系缺乏集中管理和审计,且现有的安全体系公钥算法均采用RSA算法的现状,提出了基于国产SM2密码体系的安全支撑平台的设计和实施方案。分析了安全支撑平台应用SM2算法存在的问题,提出了一个采用组件技术构建自行研制的安全加密通道的方案,使得安全支撑平台能支持实现SM2算法,并对集成整合后的安全支撑平台的应用功能进行了测试分析。结果表明,该平台可以实现电力二次系统应用之间的无缝整合,使它们相互间形成一个有机整体,提供安全的身份认证、有效的访问控制与权限管理、安全审计日志记录,并对用户信息及系统资源进行管理服务,实现对用户身份和访问权限的集中管理和控制。该平台已在某省级电网正式投运,得到了实际工程应用的验证。

安全支撑平台 第4篇

2014年4月30日, 国家安全监管总局办公厅发布关于开展安全生产科技支撑平台创建工作的通知 (安监总厅科技[2014]51号) 。为有序推进《安全生产科技“十二五”规划》各项重点工作, 强化安全生产科技支撑保障能力建设, 根据《国家安全监管总局关于加强安全生产科技创新工作的决定》 (安监总科技[2012]119号) 和《安全科技支撑平台建设与管理暂行办法》 (安监总厅科技[2014]35号) 等规定, 国家安全监管总局决定开展安全生产科技支撑平台创建工作。总体目标:坚持深化改革, 实施创新驱动发展战略, 加快安全生产科技保障能力建设, 着力提高原始创新、集成创新和引进消化吸收再创新能力, 着力构建企业为主体、市场为导向、产学研相结合的技术创新体系。整体规划:紧紧围绕有效防范和坚决遏制重特大生产安全事故, 切实解决安全生产科技重大问题, 在全国创建九大类150个安全科技支撑平台, 初步形成门类齐全、支撑有力、覆盖全国的安全生产科技支撑体系。

水利信息系统应用支撑平台探讨 第5篇

水利信息 系统应用 支撑平台 起步较早 , 在2003年开始建设的国家防汛抗旱指挥系统一期工程中, 水利行业就已开展了应用支撑平台的探索研究并得到应用, 其后, 在水利电子政务系统、国家水资源监控能力建设项目、全国水土保持监测与网络管理系统、水利财务管理信息系统等多个大型项目中均设计并开发了各自项目的应用支撑平台。

随着信息化建设工作的不断推进, 信息化管理工作体制机制的不断完善, 云技术应用的日趋成熟, 对应用支撑平台提出了新的需求, 也为不同业务应用间的业务协同、信息资源整合共享提供了条件, 使原有的以各项目为单位开发的烟囱式系统向扁平化共享过渡成为可能。

水利应用支撑平台经过多年实践, 已发生了悄然变化, 原有各业务系统的应用支撑平台中大而全功能变得更为集中统一, 突出重点, 逐渐整合为水利信息系统统一的应用支撑平台, 实用化地划分为通用工具和应用2大服务类组件, 重点实现统一通用工具、数据交换服务、用户管理服务、地图服务等功能。

1 应用支撑平台定位

1.1 应用支撑平台纵向关系位置

水利信息化综合体系主要由水利信息基础设施、业务应用体系和保障环境3部分组成, 框架如图1所示。水利信息化保障环境由水利信息化标准体系、安全体系、建设及运行管理、落实建设与运行维护资金和人才队伍培养等要素构成;水利基础设施主要包括机房环境、计算资源、存储资源、网络资源及水利数据中心;业务应用由应用支撑平台和业务应用2部分组成, 应用支撑平台指公用业务处理逻辑, 以公共服务的方式由数据中心统一管理, 业务应用完成非公用业务处理和实现应用的系统表示。

应用支撑平台位于水利信息基础设施中的水利数据层之上, 水利业务应用体系中的水利业务应用之下, 起到承上启下作用。采用面向服务体系架构, 构建统一应用支撑平台, 主要对防灾减灾、水资源管理、水土保持等水利核心业务, 以及电子政务等重要政务进行整合, 将各种业务和政务应用中通用的系统功能进行复用, 形成组件, 并在此基础上封装成可以调用的服务, 通过服务的调用和再封装等技术, 实现水利业务应用的协同, 为水利业务应用提供公共开发和运行环境。应用支撑平台是水利信息资源形成整合共享的关键措施, 可有效避免各应用对通用资源的重复购置及开发, 具有领域内公共资源、共享服务的特质。

1.2 应用支撑平台横向关系位置

应用支撑平台由国家防汛抗旱指挥系统、国家水资源监控能力建设、水土保持管理系统、水利工程建设管理系统、水利财务管理信息系统等应用支撑平台功能的交集部分构成, 并根据各业务系统应用支撑平台的自身特点, 充分发挥所长, 各有侧重地实现水利信息系统应用支撑平台的通用服务。各业务系统的应用支撑平台更为强调业务的个性化需求, 是水利信息系统应用支撑平台的补充延伸。

2 应用支撑平台组成及主要功能

应用支撑平台采用面向服务体系架构, 由底层的通用工具服务类和上层的通用应用服务类组成, 水利信息系统应用支撑平台构成框架如图2所示。通用工具服务类指具有通用成熟性的第三方产品, 如GIS、报表工具、全文检索、工作流引擎等工具组件。通用应用服务类主要对防汛抗旱、水资源管理、水土保持等水利核心业务, 以及电子政务等重要政务进行整合抽取后, 经过再加工, 符合其通用性要求, 形成统一的数据交换、地图服务和用户管理服务组件。

2.1 统一用户管理服务组件

以水利现有身份认证体系为基础, 遵照相关的用户管理标准规范 (组织机构代码、人员属性编码等) , 建立分布式的用户管理目录体系, 分级维护人员的基本属性、社会属性、角色信息, 并实现各级之间、政务内网与业务网之间用户身份信息的统一性和唯一性。建立的统一用户管理作为各业务应用的用户信息来源, 保障用户信息的准确性、权威性, 为后续的统一授权、责任鉴别奠定基础。各应用用户信息来自于统一用户管理系统, 并根据需要在此基础上管理和维护各自专有信息。新建应用必须采用统一用户管理系统, 已建应用应在升级改造时采用统一用户管理系统。用户管理内容除公民身份号码、姓名、所属机构等基本信息外, 还应包括实现入门级授权需要的应用与数据资源等访问授权信息。

2.2 统一地图服务组件

水利“一张图”的信息内容包括国家基础地理、水利基础和业务信息。国家基础地理信息包括水系轴线、水系岸线、湖泊、居民地、地名、铁路、公路、国界、省界、地市界、县界和地形等;水利基础包括了1~6级流域、水文站、水库、水电站、水闸、泵站、堤防、引调水工程、农村供水工程、灌区、渠道、地下水取水井和涉水组织机构等;水利业务信息包括支撑各业务系统应用, 具有鲜明业务特点的空间信息。水利“一张图”按OGC标准进行组织, 提供包括网络地图切片服务 (WMTS) 、网络地图服务 (WMS) 、网络要素服务 (WFS) 和数据处理服务 (WPS) 等, 各水利业务应用根据需要, 分别调用基础和专业服务, 聚合形成符合专业特点和应用需求的特定地图服务。

2.3 统一数据交换组件

统一数据交换主要是通过数据交换平台的建设, 构建统一的数据交换框架, 规范交换流程和方法, 形成统一数据交换机制, 实现水利部、流域机构、省级等不同节点间的数据交换和政务内网与业务网之间的数据交换, 构建三级两域的交换总体布局。支持常规数据、大文件数据、同构数据库等数据的交换。各业务应用仅需调用应用支撑平台上注册的数据交换组件, 开发各自的业务应用适配器。

2.4 统一通用工具组件

构建应用支撑平台中的开发应用引擎, 将GIS引擎服务、报表工具、全文检索引擎、工作流引擎等第三方通用工具进行复用管理, 支持按照业务需求以服务注册方式增加通用工具类型。

2.5 服务注册管理模块

对应用支撑平台提供的各类功能和服务组件进行注册、发布和管理等。

2.6 监控运行管理模块

监控运行管理模块主要包括平台运行、业务系统、服务运行、用户等的状态监控, 以及系统软件、业务告警等的监控与管理功能。

3 应用支撑平台服务方式

应用支撑平台主要通过服务管理将包含的各类功能或组件服务化, 并且通过服务管理管理各类服务。水利业务应用服务按照服务注册中心、请求者、提供者3个角色, 遵守具体的技术规范, 进而实现分布式资源的共享和服务。水利信息系统应用支撑平台服务管理模式架构如图3所示。应用支撑平台中的统一数据交换、地图服务和用户管理服务及统一通用工具组件相当于服务提供者, 把包含有服务接口、访问地址及对服务内容的语义描述等相关元素发布到服务注册中心;服务注册中心帮助服务请求者发现和定位合适的服务, 并提供服务寻址功能;水利业务应用作为服务请求者, 通过应用支撑平台中的服务注册中心发起请求间接获得服务描述, 或者从服务提供者处直接获得服务描述, 按照服务描述接口和地址约定实现与服务提供者的服务交互。

应用支撑平台SOA并不是一种现成的技术, 而是一种将软件组织在一起的抽象概念, 是一种在计算环境中设计、开发、部署和管理离散逻辑单元的模型, 主要依赖于用XML和Web Services实现。因此, SOA处于战略的角色, Web Services处于战术角色。

4 基于水利云的应用支撑平台构建

4.1 基于Paa S系统的应用支撑平台条件分析

目前水利部在计算、存储资源等基础设施方面, 已逐渐按照云平台模式进行架构, 在政务内网、业务网内分别采用了4台8路10核服务器 (共计320核) 经过虚拟化技术构建了计算资源池, 提高核心服务器的复用率及动态配置能力, 从而节约后续购置、运行和管理成本, 搭建起了水利基础设施云 (Iaa S系统) , 解决了基础资源的统一管理, 但对如何搭建基于云化的应用支撑平台还处于初步探讨和试点阶段。

应用支撑平台作为业务应用的开发、运行环境的平台, 如何继续在水利基础设施云上发挥作用, 实现软、硬件资源的动态调配成为亟需解决的问题。主要从以下2个方面进行分析处理:

1) 从应用支撑平台云化适用性角度开展了业务和技术属性2个维度分析。业务属性主要考虑业务量突发特征、业务流程的处理串/并行工作机制、业务对资源需求量增长趋势等因素;技术属性主要分析是否存在特殊硬件依赖、负载特点、计算吞吐量、云化迁移工作量, 以及应用厂商对应用平台虚拟化的技术支撑程度等因素。

2) 在分析基础上, 应用支撑平台云化迁移策略, 采取由表及里稳健推进方式, 优先支撑基于标准化B/S架构开发, 并具有重复性及标准化任务的处理应用、可拆分的海量计算任务处理应用、业务忙闲分布不均匀且业务峰值明显的应用和可集中整合的业务特征。应用支撑平台云化的技术重点要解决具有通用工具和应用服务类组件的云化部署。

4.2 基于Paa S系统的应用支撑平台的架构组件

基于Paa S系统的水利信息应用支撑平台架构如图4所示, 通用Iaa S接口适配下层Iaa S系统, 为基于Paa S系统应用支撑平台提供公共资源 (硬件和软件资源池) 支持。事件驱动管理, 对事件及事件接收和发送进行管理, 同时也管理事件处理方式。资源仓库中存储着通用工具和应用服务类组件, 但由于通用应用服务类组件需要按照云架构进行改造, 难度较大, 目前在试点阶段仅考虑通用工具类中的部分内容, 如应用服务器类 (Weblogic, IIS) , 应用开发语言支持类软件 (.NET、标准EXE和DLL) 。应用环境管理, 提供部署应用, 应用生命周期和访问路由等管理。资源仓库管理就是管理经过云化的通用工具和应用服务类的组件及应用包。部署应用时, 部署模块会根据版本等信息, 从资源仓库拉取相应的模板、应用包和通用组件, 然后按照模板完成应用部署。通用监控管理, 提供监控项、监控策略、结合策略的告警等管理;同时也提供对系统和应用日志的管理能力。

4.3 基于Paa S系统的应用支撑平台应用

4.3.1 业务应用部署

在业务应用与应用支撑平台处于松耦合关系下, 可直接采用业务应用部署模式。业务用户首先需要在基于云化的应用支撑平台管理模块中, 填写应用相关信息 (名称、描述、类型等) ;选择应用所依赖的环境规格及与此应用相适配的应用模板;设置应用日志路径及弹性伸缩策略;最后, 上传业务应用包。

应用支撑平台根据用户提供的各种应用属性配置, 先申请一定规格的环境资源, 再通过虚拟机中的1个Paa S代理, 从资源仓库中拉取应用部署所需的实体文件 (如通用服务类组件、通用工具类组件、应用模板、应用包等) , 接下来Paa S代理按照应用模板部署应用。

4.3.2 任务调度

在业务应用与应用支撑平台处于紧耦合关系下, 可采用任务调度模式。结合水利工作, 以气象业务为例, 通过事件驱动管理, 将应用调度作为事件管理起来。任务调度系统触发应用任务执行事件, 事件驱动系统模块接收事件, 并根据事件处理的设置触发“启动应用”的事件, 具体步骤如下:

1) 将结合应用支撑平台监控系统数据, 分析应用的历史执行情况, 判断本次调度前是否需要对虚拟机进行纵向的弹性伸缩。若需要, 则按照一定规则对资源进行伸缩。

2) 启动虚拟机, 在虚拟机启动成功后启动应用。应用将一直执行, 直到“停止应用”事件的触发。停止应用时, 先记录应用执行的结果, 作为下次“启动应用”事件触发时是否需要进行弹性伸缩的依据之一;接下来依次停止应用和虚拟机, 释放资源, 结束整个调度过程。

5 结语

建设水利信息系统统一的应用支撑平台, 是水利信息资源整合共享的关键措施, 将为水利信息化健康发展提供有力的基础支撑。业务应用开发建设要基于水利信息系统统一的应用支撑平台, 按照水利信息化标准规范要求, 实现统一用户管理、地图服务、数据交换, 确保水利信息系统的互联互通、信息共享、业务协同。

虽然目前进行了基于水利云的应用支撑平台工作, 但很多理论和方法还需要进一步实践、深化和完善, 应用支撑平台云化工作才刚刚起步, 还存在诸多不足之处, 这也是未来需要深入研究的方向。

参考文献

[1]水利部信息化工作领导小组办公室.水利信息化顶层设计[R].北京:水利部信息工作领导小组办公室, 2009.

[2]蔡阳.国家防汛抗旱指挥系统技术丛书:应用支撑与数据汇集平台[M].北京:中国水利水电出版社, 2012:9-23.

搭建网络教师共同体支撑平台 第6篇

建构主义发展了学习共同体这一独特而新颖的教学范式。有人将这一范式引入教师专业发展领域,提出教师共同体概念。但是,早期关于教师共同体的研究,主要都局限于在校本研究这样一个很小的范围内。我们认为,利用网络来组织教师共同体,不失为一个很新颖而且极具发展前景的思路。

对支持教师共同体的各种网络交流平台的分析

1.WIKI、电子邮件等传统形式

WIKI是一种支持群体式写作的超文本系统。它同电子邮件一样,在交流领域发挥着不可替代的作用。但是,二者的主要作用定位于交流,其主要功能非常有限。加之,WIKI虽然是超文本系统,但是使用起来并不容易上手,需要进行专门的学习;电子邮件只能提供相互传送文件,交互性不强,时效性太慢。二者的功能显然都不足以承担教师共同体的目

2.论坛、聊天室形式

有人建立了一个论坛,或者在论坛基础上增加聊天室板块,就说搭建了教师共同体平台。这其实有误区。论坛是用来发布公告的,是一种非实时交流平台。因此,论坛的话题排列一般是以发表(最后回复)时间排序。时间久了之后,想找一篇以前很有价值的话题就很难了,而很多无用的话题也会令人眼花缭乱。聊天室是实时的,但很多有用的信息来得快,去得也快。所以,单单用这二者来搭建教师共同体平台缺乏稳定性,也是不合适的。

3.精品课形式

讲课实况被认为是一名教师隐性知识的最好体现。近年来,国家斥巨资支持精品课建设,其目的是为了实现优质资源共享。但是,精品课的质量难以规范保证,良莠不齐,这也使得某些课程流于形式,所讲的内容无法从学生实际水平和需要出发。观者看了之后收益不多,自然对精品课也就兴味索然了。

4.教育博客

教育博客是博客在教育领域内的应用。自引入以来,教师们热情高涨,人人趋之若鹜。有很多教师在博客上写反思日志,大家纷纷跟帖讨论。无论讨论进行得如何激烈,跟帖者也只能把自己的想法附于后面,而无权将自己有建设性的意见添入主题。更何况随着讨论时间的推移,页面也随之加长。尽管日志可以按日期加以检索,但想找到自己曾发表或跟帖的内容确实不是一件容易事。

网络教师共同体支撑平台的设计

基于对上面各种平台形式的分析之后,笔者拟描述一种如下图的平台,既能发挥以上各种平台的优势,又能在相互结合的过程中弥补各自的不足;既能体现共同体的特点,又能实现共同体的基本目标并达到理想的效果。

1.综合首页

综合首页是平台的整体外观。作为一个平台,首先必须吸引人。在设计的过程中,要注重美观和全面。我们可以看到,所有的模块都通过“调用”指向了综合首页。在综合首页上,通过设置容器,把文章系统的文章、论坛的帖子以及博客里面的日志都调到这里显示。访客打开首页之后,就可以在这里了解到整个平台的所有内容,既方便又综合。另外,通过一定的技术,还可以控制被调用内容的显示方式,可以是按照时间显示,也可以按照人气显示,还可以按照指定等级(质量高的资料等级也高)来显示,这样能够弥补好资料不好找的缺憾。

2.文章系统

这里的文章系统是广义的文章系统。应用于教师共同体平台,至少可以有三种形式:第一种是公告和新闻形式,发布管理员公告或采集来的教育业内新闻;第二种是教师的精品课视频;第三种是成员发表的思维导图。通过上图可以看到,文章系统和平台的其他一级子结点都有联系。当访客浏览了文章系统的新闻、视频或教师的思维导图之后,如果希望评论,可以在新闻、视频或思维导图网页下部专设的快速评论框发表评论。在发表评论的时候,可以选择将评论顺便发布到论坛或者个人博客里。这样,对于文章系统的评论不仅在本板块可以看到,在论坛或者博客里同样也可以看到,无疑增加了对同一话题的交流机会。

3.论坛模块

论坛主要用于面向集体的非实时交流。当然,我们也可以增加一个实时的聊天室功能,在论坛中加一个插件就可以实现,较为简单。帖子一般是按照发表(最后回复)时间来排列的。我们可以在论坛中选择比较积极负责的人作为版主,对于好的帖子进行总结,提高等级,并且可以设计会员参与帖子的评分,通过点击特定按钮来增加自己感兴趣帖子的等级值。帖子的等级升高,自然就可以在首页显示了,教师参与性也随之提高。使用数据挖掘技术,在发帖的时候添加自己帖子的标签(即帖子的关键字),也可以达到帖子归类的目的,即含有相同标签帖子的数目会在论坛首页显示,并且通过超链接的方式,快捷到达。

4.博客模块

博客往往具有私密性,因此我们设计了“圈子”。“圈子”是博客主人们因为共同的话题而组成的小型组织。在博客发表日志的时候,可以选择是否将日志顺便发布到“圈子”中,便于今后检索。对日志的评论,都是从论坛中调用的,既节省了平台空间,还增加了交互性。同样,对于大家都感兴趣(得到评论很多)的日志,也会因为等级高而显示在首页上。

5.文件区

设置文件区,对文件进行集中管理,既有利于教师们进行知识共享,又方便检索。发布文件的时候,也可以选择文件所属的类型。通过不同的类型标签,很容易找到自己要找的文件。与其他板块相同,文件页面底部也有快捷评论区。

智慧流域研究的云平台支撑 第7篇

关键词：智慧流域,云计算,物联网,大数据

一、智慧流域的概念

智慧流域是指把新一代IT技术充分运用于流域综合管理, 把传感器嵌入和装备到流域各个角落的自然系统和人工系统的各种物体中, 并通过普遍连接形成流域物联网;而后通过云计算将流域物联网整合起来, 以多源耦合的气象水文信息保障平台、二元水循环及伴生过程数值模拟平台、水资源数值调控平台、流域数据同化系统平台、流域虚拟现实系统平台等为支撑, 并将其与数字流域耦合起来, 完成数字流域与物理流域的无缝集成, 使人类能以更加精细和动态的方式对流域进行规划、设计和管理, 从而达到流域的“智慧”状态。

二、智慧流域研究的主要内容以及意义

智慧流域研究包括智慧流域框架体系研究、流域立体监测网应用研究、流域专业模型集成以及三维仿真、云存储云服务技术研究。

云计算服务方式可以支撑智慧流域的存储、建模、处理等各环节。实现智慧流域云计算功能, 解决信息孤岛与重复建设的问题, 充分利用网络取得远方的计算资源, 通过后端的大型云计算中心同时为众多用户服务。

三、云平台对智慧流域的支撑作用

3.1物联网

物联网是通过射频识别 (RFID) 、红外感应器、全球定位系统、激光扫描器等信息传感设备, 按约定的协议, 把任何物品与互联网相连接, 进行信息交换和通信, 以实现智能化识别、定位、跟踪、监控和管理的一种网络概念。其关键技术有传感器技术、RFID标签和嵌入式系统技术。

通常, 物联网的开展步骤首先是对物体属性进行标识, 接着通过识别设备完成对物体属性的读取, 并将信息转换为适合网络传输的数据格式, 最后将信息经网络传输到信息处理中心, 由处理中心完成相关计算。

智慧流域根据实际需求, 在物联网的感知层采用以传感器网络、RFID、视频监控等新技术, 按流域立体监测网要求布设传感装置, 通过互联网信道传输数据到数据中心。

物联网对于智慧流域的应用最核心的是对于水资源数据的采集监测以及将采集监测的数据传输至后端云平台。水资源数据的采集主要是结合长江流域内河段、支流、小流域特点, 重点采集水文、水生态、水环境和气象数据。水文数据则主要包括降水、蒸发、径流 (水位, 流量, 流速) , 泥沙含量, 水质, 土壤含水量等;水生态数据主要包括水体的溶氧、PH值、氨氮含量、亚硝酸氮含量等;水环境数据主要指各类污染的相关数据, 气象数据包括气压、气温、湿度、风向、风速、降水量、雪深、雪压、日照、地温、水温等。

3.2大数据

大数据技术, 是指所涉及的资料量规模巨大到无法通过目前主流软件工具, 在合理时间内达到撷取、管理、处理、并整理成为帮助企业经营决策更积极目的的资讯。大数据技术的战略意义在于对这些含有意义的数据进行专业化处理。

大数据的特点有四个层面, 即Volume (大量) 、Variety (多样) 、Velocity (高速) 、Value (价值) 。

从技术上看, 大数据与云计算的关系密不可分。它的特色在于对海量数据进行分布式数据挖掘, 但它必须依托云计算的分布式处理、分布式数据库和云存储、虚拟化技术。

对于智慧流域研究, 大数据的4V特性体现在其一, 大量的实时或非实时采集的地理信息、野外观测数据、云图、水文信息等, 包括众多数据的历史积累量;其二, 智慧流域的研究与建设涉及的数据类型繁多, 如各类水资源数据等;其三, 面对通过复杂的数学模型进行各类数据的处理、分析、仿真等, 其高速的处理速度;其四, 提供有价值的结果数据或者提炼出用户需要的数据。

3.3云计算

智慧流域是流域研究的长期演进过程, 而在建设过程中所采用的云计算技术是这个过程中一项关键技术, 可以加速和帮助实现智慧流域。

通过云计算, 将流域或河流模拟程序拆分成无数个较小的子程序, 通过网络交由分布式计算机所组成的庞大系统搜索、计算分析之后将处理结果回传给用户, 整个计算过程只需要几秒就能完成。这意味着对局部河段或者流域干流的高精度的三维模拟从理想变成现实。

云存储是以数据存储和管理为核心的云计算系统。通过云存储技术, 流域中的原型观测、实验数据和数学模型计算的历史数据和实时数据以及流域管理的自然、社会、经济等数据的存储将不再受制于硬盘空间。

云平台不仅可以提供强大的数据处理分析能力, 提供大量的存储资源, 而且能为社会公众用户与专业用户, 包括研究人员提供在互联网环境中的云访问, 使其可以获取智慧流域计算统计的成果数据及原始数据, 该数据的展现形式可以根据实际研究和应用的需求表现为图、表、文档以及三维仿真等。

四、智慧流域对云平台的资源需求

云平台配置的网络设备包括交换机、防火墙和负载均衡设备, 将智慧流域系统部署在云平台上, 可考虑利用云平台的防火墙实现智慧流域系统的地址转换, 将智慧流域平台的内部私网地址转换为公网地址。针对智慧流域所需要的分布式的高速数据处理, 将业务合理的分配到多个虚拟机上进行计算, 云平台可以通过负载均衡设备实现业务的负荷分摊。

云平台可为智慧流域提供资源动态伸缩, 实现基础资源的网络冗余, 即智慧流域系统的任一资源节点异常宕机 (虚拟机或物理机) , 都不会导致智慧流域业务的中断, 也不会导致用户数据的丢失。同时, 云平台可根据智慧流域的系统软件部署特点, 为不同的软件模块按精简模式或是厚置备模式分配虚拟机资源。

精简模式, 即是按实际需要分配的CPU、内存资源分配虚拟机资源, 可提高资源利用率;利用虚拟化的精简模式, 可以先分配一个最大化的虚拟资源, 但是该虚拟机的实际资源为实际使用的大小, 根据业务的实际资源占用率的增大而增大。

而虚拟化的厚置备模式, 相对来说, 资源的占用则比较固定, 不会因云平台其他业务的并发量的增大而受到影响。对于与业务关联度高的服务器, 可考虑按厚置备模式由云平台分配虚拟机资源;而对于与业务关联度相对较低的服务器, 可考虑按精简模式由云平台分配虚拟机资源。

考虑到智慧流域系统的不断发展和完善, 为实现其快速、平滑的可扩展性, 建议智慧流域系统部署在云平台后, 采用集群版本部署, 核心服务器采用N+1集群部署。如此, 通过云平台不仅能实现硬件资源的可靠备份, 而且可以实现软件和应用的可靠备份。当智慧流域系统的虚拟机因硬件问题出现宕机时, 云平台可立即通过虚拟化软件的漂移技术在其他物理机上进行重建, 使业务不中断。

针对智慧流域具有数据量大的特点, 云平台可为智慧流域提供可靠的存储资源。在智慧流域发展的初期, 建议云平台为智慧流域提供SAN存储, 不同的数据采用不同的RAID方式, 核心数据建议采用RAID0+1方式部署, 非核心的数据采用RAID5方式部署。当智慧流域发展到一定阶段时, 若SAN存储难以满足其存储空间或者读取速度时, 可考虑在云平台上采用分布式的存储方式。

五、小结

构建智慧流域需要物联网作为数据传输环境, 需要大数据技术完成气象、水文、空间地理、工程设施等数据的综合处理与分析, 更需要在分析计算、成果发布、信息服务等方面得到云平台的支撑;数据处理是管理智慧流域运作的基础。要研究智慧流域中涉及多源海量数据组织、数据处理以及数据服务模式;实现智慧流域云存储, 动态分配和部署共享的存储资源。创建基于Arc GIS Server为智慧流域服务的私有云, 为流域用户提供一个地理信息资源整合利用的平台。

参考文献

[1]蒋云钟.冶运涛.王浩.智慧流域及其应用前景.系统工程理论与实践.2011.31 (6)

等级保护工作支撑平台的设计与应用 第8篇

自1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定我国“计算机信息系统实行安全等级保护”以来, 经过了十几年的发展, 目前等级保护的组织体系、标准体系、技术体系建设已日趋成熟, 随着2007年《信息安全等级保护管理办法》 (公通字[2007]43号) 的实施、2010年国家信息安全等级保护安全建设指导专家委员会的成立以及每年一次等级保护大会的召开, 从国家重视到地方实施, 等级保护已经从国家政策层面成功落地, 标志着信息安全等级保护工作即将进入到一个新的发展阶段。

随着等级保护工作的不断深入和开展, 根据国家颁布的政策文件和标准规范, 各重点行业也加强了对等级保护工作的研究力度, 制定并下发了符合本行业安全需求的等级保护行业标准、行业等级保护实施方法等标准和文件, 用以指导本行业的等级保护工作。如, 电子政务、电力行业、通信行业、广电行业、教育行业、水利行业、税务行业、医疗行业、金融行业、证券行业等。比较典型有, 国家税务总局在2007年、2011年先后下发了《税务信息系统安全等级保护定级工作指南》、《税务系统信息安全等级保护基本要求》和《税务系统信息安全等级保护实施指南》等税务行业标准;国家广播电影电视总局2011年发布了《广播电视相关信息系统安全等级保护定级指南》和《广播电视相关信息系统安全等级保护基本要求》等广电行业标准;中国人民银行2012年正式发布了《金融行业信息系统信息安全等级保护实施指引》、《金融行业信息系统信息安全等级保护测评指南》和《金融行业信息安全等级保护测评服务安全指引》等金融行业标准。

根据《关于开展信息安全等级保护安全建设整改工作的指导意见》 (公信安[2009]1429号) 的文件要求, 各个行业完成定级工作后, 正在积极开展系统安全建设和整改、等级测评和监督检查等后续工作。

等级保护工作遇到的问题

由于每个行业在国家政治、经济、民生、军事等活动中的职能不同, 所以信息系统发挥的作用对行业职能工作影响不同, 信息和信息系统被破坏后对等级保护客体的影响也有所不同, 各行业的信息系统有不同的安全性和时效性, 体现了信息安全保障工作的专业性和复杂性。作为专业的信息安全服务和等级测评机构, 在协助政府、金融、教育、医疗、税务等行业单位进行等级保护工作开展的过程中发现, 各行业单位、主管部门和监管部门在开展等级保护工作的过程中都不同程度遇到了诸多实际操作问题, 主要如下:

1运营使用单位。大多数单位不了解等级保护工作如何开展;不熟悉、不理解相关标准要求;缺乏有效的工作手段来应对等级保护测评检查;缺乏相关的专业知识和解决方案, 不知道如何进行建设和整改;无法清晰地向主管部门汇报等级保护建设的相关工作、当前各个信息系统的合规情况。

2主管部门。无法有效地统计、分析、汇总下属各单位的相关信息, 不知道各下属单位有多少信息系统做过安全建设整改;不了解哪些单位等级保护工作卓有成效;不能指导下属单位下一步等级保护工作重点是什么。

3监管部门。不知道各行业等级保护工作现状如何?不知道各行业等级保护工作进度如何?不知道各行业等级保护工作开展效果如何?

信息安全等级保护工作是国家信息安全保障工作的基本制度、基本策略、基本方法, 是一项系统性、长期性、持续性的工作。等级保护工作的开展是伴随着信息系统生命周期的一个不断循序渐进的过程, 在建立起一个有效的安全策略和防护体系后, 为确保信息系统在不断发展的同时符合相应等级的安全要求, 需要进行不断检查、反复验证安全措施的有效性。等级保护的建设是个长期的过程, 一项复杂庞大的系统工程, 涉及多个部门机构和单位, 需要花费大量的人力、物力、财力、时间和精力。因此建立一个高效的、可共享的、流程化的等级保护工作支撑平台, 将等级保护复杂的规则、复杂的安全措施要求和设计等操作流程以知识库的形式存入系统, 就成为了解决等级保护可操作性的有效手段。

等级保护工作支撑平台设计

当前等级保护各个工作环节有效落地存在许多困难, 而目前的安全管理产品只能解决部分技术和流程管理问题, 缺乏对整个等级保护体系建设的支撑。管理支撑平台融合了等级保护与其他信息安全标准体系, 是信息安全保障体系建设实施的重要辅助性支撑工具, 采用组件化与模块化技术设计, 可以满足不同行业单位的等级保护体系化建设要求、不同行业主管部门的等级保护建设管理要求和等级保护监管部门的监督管理要求。

等级保护工作支撑平台是专为等级保护项目的建设过程提供工具和知识支持的系统平台。以等级保护的系统定级、系统备案、建设整改、等级测评、监督检查的全流程为中心, 包括平台管理、定级&备案、现状调研、风险评估、差距分析、体系设计、体系建设、等级保护测评、风险管理、统计分析、报表生成和知识库管理等功能模块, 提供等级保护流程管理、过程数据信息管理、表单方案报告自动生成管理和数据汇总分析管理, 从而完成组织单位信息系统的等级保护体系化建设工作, 以及后续的监管工作要求。平台整体设计如下图所示。

信息安全等级保护工作支撑平台的架构分为用户访问层、业务管理层、基础数据层和接口层四层。用户访问层主要为行业单位、行业主管部门、监管部门等用户提供不同的访问入口和不同系统界面;业务管理层提供包括等级保护工作管理、工作任务管理、数据统计与分析中心、系统管理中心等管理功能;基础数据层维护等级保护工作所需的各类基础信息与数据;系统接口层负责与其它安全管理系统或等级保护备案管理系统的数据共享和交互。

信息安全等级保护工作支撑平台的核心功能是等级保护工作管理模块。其中定级备案管理主要完成重要信息系统的定级备案信息维护与管理, 包括备案信息填报、备案信息查询、备案信息统计、备案信息表的导出和导入、备案附件信息管理、备案数据采集工具等。安全建设整改管理主要完成已备案信息系统安全建设整改活动的管理, 系统将安全建设整改分为工作部署、现状分析、整改方案设计、整改实施、整改结果分析五个工作步骤, 实现了安全建设整改活动的全程监控。等级测评管理模块主要负责由第三方测评机构主导实施的等级测评活动的组织和管理, 包括测评机构管理、测评流程管理、测评结果汇总与记录、测评活动监控等功能。安全检查管理提供对安全自查、主管部门检查和公安机关检查等安全检查活动情况的跟踪记录管理, 包括监督检查制度管理、安全自查管理、主管部门检查管理、监督检查信息记录、监督检查数据查询与统计、监督检查数据导入导出等功能。

管理支撑平台的价值和作用

1等级保护工作支撑平台在实际工作环境中将为我们解决前文提到的各类问题并展现许多有用的价值, 主要有以下:

1.1丰富的知识库。等级保护工作支撑平台知识库包括等级保护政策标准库、安全要求指标库、安全实践参考库、安全技术方案库、安全管理制度库、安全整改方案库、安全意识方案库等信息安全相关知识经验。

1.2多样的效果展示。等级保护工作支撑平台在等级保护各个阶段工作中都包含统计分析模块, 通过图形化、多视角地汇总、统计、报告相关信息, 可以直观地呈现、展示等级保护工作的状态和效果。

1.3集中的数据管理。等级保护工作支撑平台中的基础信息、定级备案、测评管理等模块全面管理等级保护业务数据。信息化平台使得业务数据可以汇总、管理、共享、查询。用户不再为汇集、整理大量的等级保护资料、合规证据等数据而苦恼。

1.4清晰的展现系统合规状态。等级保护工作支撑平台中的差距评估模块致力于解决运营使用单位对信息系统当前状况不了解不清楚的问题。差距评估结果能够准确的反映出信息系统与等级保护要求之间差距, 为后续的整改建设、应对测评检查提供依据。同时, 周期性的差距评估结果能够体现出信息系统合规程度不断提高的过程, 从而很好的展现等级保护工作的效果。

1.5有效的保障等级保护工作落实。等级保护工作支撑平台中的整改规划模块将提供大量等级保护整改工作相关的知识库, 结合安全需求, 可以形成完善的整改规划, 使得用户不再感觉整改工作没有头绪、无从下手。整改落实模块帮助用户将各项工作任务落实到具体责任部门, 通过任务进度跟踪来实时监控任务执行情况, 督促落实, 帮助安全部门协同各部门共同做好等级保护建设工作。

1.6集中的监督管理。等级保护工作支撑平台基于B/S架构的信息管理系统, 支持分布式部署, 支持多角色用户使用。可以随时汇总、统计、监督、检查各行业、各单位的信息系统定级备案、差距评估、整改规划、整改落实、测评结果等方面的工作开展情况, 主管部门和监管部门不再担心无法统计数据, 无法展现工作成果。

2等级保护工作支撑平台作为等级保护工作开展所依赖的基础支撑工作平台, 其作用主要体现在如下几个方面:

2.1等级保护工作管理信息化。等级保护工作支撑平台可对各种信息安全等级保护基础数据实现集中存储和管理, 保证了数据的完整性和一致性, 为行业等级保护工作的开展提供了可靠的数据支持。通过数据的集中管理与统计分析, 使得数据处理和工作部署实施的自动化程度大大增强, 有效提高了等级保护工作的效率。

2.2等级保护工作管理流程化。等级保护工作支撑平台为信息安全等级保护的多个工作环节提供了基于工作流引擎的工作流程管理功能。通过流程定制, 行业管理人员可按照统一的工作流程开展等级保护工作, 避免了不同单位、不同管理人员执行等级保护工作的随意性, 促进了等级保护工作的标准化和规范化。

2.3等级保护工作管理常态化。等级保护工作支撑平台是一个以等级保护为核心的信息安全管理的基础工作平台。通过该系统, 行业等级保护工作人员可将等级保护工作融入日常信息安全管理工作中, 有效促进各行业等级保护工作管理的常态化。

结束语

等级保护工作支撑平台覆盖了信息系统运营使用单位、行业主管部门、监管部门在等级保护建设工作的全生命周期管理。从基础信息收集开始, 信息系统定级备案;之后进行差距评估, 形成安全建设需求, 制定整改规划;其次进行整改建设工作落实;而后是主管部门和监管部门监督测评检查;测评检查的结果又会与差距评估结果一起形成新的建设需求, 重新制定整改规划, 进行整改建设工作, 直到信息系统废止。实现了信息安全管理工作的PDCA循环, 用户只需要按照系统各模块逐步开展工作, 即可顺利完成等级保护建设的常态化工作。