引言
電力市場運營系統(tǒng)的安全訪問控制目標就是保障合法用戶能夠訪問*范圍內的業(yè)務應用和市場信息，同時拒絕非法用戶進入系統(tǒng)，保障數(shù)據(jù)在傳輸過程中不被竊取和篡改。
電力市場覆蓋范圍廣，市場成員分散，市場中用戶類型眾多，訪問權限各不相同。例如:各市場成員的交易人員能夠查詢市場信息，代表所屬市場成員申報*范圍內的交易數(shù)據(jù);市場成員的管理人員則能夠對下屬的交易人員和競價單元進行管理;電力市場交易中心的交易人員能夠對*范圍內的某一類或者幾類交易進行撮合和干預;結算人員則根據(jù)各類交易結果和執(zhí)行結果進行考核結算。市場成員與交易中心之間交互的數(shù)據(jù)可以分為公共信息和私有信息2類。公共信息對所有市場成員開放;而私有信息只對相應的市場成員開放;例如市場成員的交易申報信息、中標信息和結算信息等。市場私有信息屬于商業(yè)機密，必須確認訪問者具有合法身份，并保證數(shù)據(jù)傳輸過程中不被竊取。
此外，用戶訪問權限不僅與業(yè)務功能相關，還與數(shù)據(jù)相關，同樣是數(shù)據(jù)申報人員，但能夠申報的競價單元不同。各類用戶的權限設置與市場規(guī)則有關，規(guī)則變化也會導致用戶權限的調整。電力市場中用戶的多樣性和市場信息的保密性，要求電力市場運營系統(tǒng)具有靈活而嚴格的安全訪問控制機制。本文以實際運行的基于Java2平臺企業(yè)版（J2EE）架構的區(qū)域電力市場運營系統(tǒng)為例，探討安全訪問控制的設計和實施。
一、安全訪問控制的整體結構
電力市場運營系統(tǒng)的安全性可以分為硬件設備安全性、系統(tǒng)軟件安全性和應用軟件安全性3個方面。安全防護猶如木桶，任一方面的安全漏洞都會導致系統(tǒng)安全訪司控制的失敗。硬件設備安全性主要是指采用的通信網(wǎng)絡、交換機、路由器、防火墻、IP認證加密裝置、安全隔離裝置、數(shù)據(jù)庫服務器、應用服務器和各類工作站符合相應安全標準;系統(tǒng)軟件安全性是指采用的操作系統(tǒng)軟件、數(shù)據(jù)庫管理軟件、中間件支撐軟件符合相應安全標準;應用軟件安全性是指應用軟件具有嚴格的用戶*和身份驗證機制，能夠對交換的重要數(shù)據(jù)進行加密傳輸。電力市場運營系統(tǒng)安全訪問控制的整體結構如圖1所示。
采用安全的通信網(wǎng)絡設備和主機設備是系統(tǒng)安全控制的重要基礎，高安全性的通信網(wǎng)絡設備能夠消除大量的安全隱患。通過專網(wǎng)和虛擬專網(wǎng)技術使電力市場運營系統(tǒng)與其他業(yè)務系統(tǒng)物理隔離或邏輯隔離，通過防火墻、IP認證加密、物理隔離設備限制系統(tǒng)的接人設備和通信端口。在系統(tǒng)內部和接人網(wǎng)關部署入侵檢測探頭，檢測系統(tǒng)存在的安全隱患，有助于不斷提高系統(tǒng)的安全防護性能[3"5]。
操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)和中間件等應用支撐系統(tǒng)的安全漏洞是電力市場運營系統(tǒng)的另一個安全隱患。由于系統(tǒng)軟件集成了大量的服務，對外開放的通信端口和缺省用戶等信息相對公開，易受攻擊。系統(tǒng)重要應用盡可能采用安全性能較高的操作系統(tǒng)，更改數(shù)據(jù)庫系統(tǒng)和中間件系統(tǒng)的缺省用戶設置，關閉不需要的底層服務和偵聽端口。定時升級系統(tǒng)軟件的安全補丁，修補安全漏洞，并部署防病毒軟件。
硬件層和系統(tǒng)軟件層的安全防護可以通過采用符合安全標準的第三方產品及合理部署來實現(xiàn)，其安全防護一旦被攻破，應用層的權限管理和加密傳輸則成為zui后一道安全屏障。即使硬件層和系統(tǒng)軟件層是安全的，也需要應用層的權限管理來控制各用戶進行*范圍內的業(yè)務操作和管理，訪問*范圍內的各類市場保密信息。應用層的安全防護是電力市場運營系統(tǒng)的重要組成部分，本文將重點探討J2EE架構的應用層安全訪問控制方案及實施。
二、應用層安全訪問控制方案
電力市場運營系統(tǒng)采用RSA（Rivest-shamir-adleman）加密算法和數(shù)據(jù)加密標準（DES）算法對系統(tǒng)中的私有市場信息進行加密傳輸，通過通信服務、與應用服務和客戶端集成的通信終端，屏蔽傳輸數(shù)據(jù)的加密、解密過程，加密算法的變更與應用無關。
電力市場中權限劃分多樣，并受市場規(guī)則影響，因此，要求系統(tǒng)的權限管理模塊充分靈活，能夠適應系統(tǒng)權限和角色的變更需求。傳統(tǒng)的權限管理模塊大多以客戶端控制用戶登錄、身份校驗和*訪問，權限管理和業(yè)務邏輯捆綁在一起。系統(tǒng)應用功能的增加、用戶類型和訪問權限的變更都會導致客戶端應用程序的改動，應用開發(fā)人員必須熟悉系統(tǒng)權限管理邏輯。為了滿足權限靈活配置，適應電力市場業(yè)務頻繁變更，減少權限配置變化帶來的工作量，要求業(yè)務邏揖與權限管理分離，這樣，應用服務開發(fā)人員只需要關心應用服務的業(yè)務邏輯實現(xiàn)。針對上述需求，本文提出了J2EE內嵌權限管理、動態(tài)代理和控制中心3種應用層安全訪問控制方案。
2.1基于J2EE內嵌的權限管理
在J2EE架構中，每個應用模塊都以組件的形式存在，運行在相應的容器之中。容器作為組件的運行環(huán)境，能夠管理組件的生命周期，截獲外部應用對組件的訪問請求，識別訪問者的身份信息。
J2EE支持聲明式的權限管理模式，組件開發(fā)人員并不需要了解組件的安全訪問要求，而是在組件組裝發(fā)布時由發(fā)布人員確定組件各業(yè)務方法的訪問權限，設定用戶與系統(tǒng)實際操作人員的對應關系。安全信息保存在組件附帶的可擴展置標語言（XML）配置文件中，與組件代碼分離，發(fā)布人員可以根據(jù)需要隨時更改組件的安全配置，只需重新發(fā)布即可。當被訪問的組件需要訪問該容器中其他組件或者其他容器中的組件時，組件能夠傳遞用戶的身份信息。J2EE規(guī)范要求所有應用服務器具有一系列系統(tǒng)安全防護措施，而不需要做任何編程工作。通信雙方可以采用基于數(shù)字證書的安全套接層（SSL）協(xié)議進行信息交互，并具有身份認證、資源訪問控制、數(shù)據(jù)完整性、機密性、基于數(shù)字簽名的防抵賴和審計等安全措施。
J2EE應用服務器提供的可配置的權限管理和安全管理給電力市場運營系統(tǒng)帶來了靈活的系統(tǒng)訪問控制，管理人員可以靈活調整訪問策略。
J2EE規(guī)范允許定義每一個業(yè)務方法的*訪問角色，由角色與實際環(huán)境中的用戶相對應。這種安全訪問機制的缺點是，當調整業(yè)務函數(shù)的權限定義時需要中斷應用運行，重新發(fā)布變動后的應用。這種訪問方式*由容器實施和控制，應用本身并不能截獲訪問信息，因此難以對系統(tǒng)的訪問信息進行記錄和統(tǒng)計分析。
2.2動態(tài)代理
動態(tài)代理安全訪問控制利用Java提供的反射機制，通過動態(tài)代理實現(xiàn)應用邏輯與權限管理的分離。客戶端對應用服務的訪問并不是直接調用應用服務，它對應用服務的每一個訪問請求都由動態(tài)代理截獲。動態(tài)代理在訪問應用服務前，首先將客戶端的用戶身份信息和待訪問的應用服務及業(yè)務方法發(fā)送到權限管理服務，由權限管理服務對用戶身份進行校驗。如果用戶具有訪問權限，動態(tài)代理將訪問請求發(fā)送到相應的應用服務，并將執(zhí)行結果返回客戶端。否則，則向客戶端返回權限校驗失敗信息，阻斷對應用服務的調用。動態(tài)代理安全訪問控制的邏輯結構如圖3所示。
動態(tài)代理安全訪問控制方式不改變客戶端的調用方式，應用開發(fā)人員不需要了解系統(tǒng)的權限配置，權限的校驗控制過程對用戶透明。應用服務模塊增加和變更后，只需根據(jù)訪問權限配置的要求在權限管理模塊進行角色和用戶配置，對應用服務和客戶端軟件的開發(fā)沒有任何影響。
從圖3可以看出，動態(tài)代理的安全訪問控制是在客戶端實現(xiàn)的。客戶端軟件一旦被反編譯等方式破譯，就可以繞過動態(tài)代理，直接訪問應用服務。在電力市場中，有的客戶端應用可能由市場成員自主開發(fā)，由客戶端控制訪問權限則不再可信。此外，動態(tài)代理模式中，動態(tài)代理會頻繁地遠程訪問權限管理服務，造成執(zhí)行效率低下。如果對系統(tǒng)的訪問日志進行記錄和統(tǒng)計，需要頻繁地遠程訪問日志服務。
2.3控制中心控制中心方式由動態(tài)代理方式發(fā)展而來，也是利用Java提供的反射機制。與動態(tài)代理方式不同之處在于動態(tài)代理和應用服務之間增加了一個控制中心，通過控制中心截獲客戶端對應用服務的調用請求，實現(xiàn)應用邏輯與權限管理的分離。客戶端對應用服務的訪問請求首先被動態(tài)代理截獲，由動態(tài)代理將訪問發(fā)送到控制中心，控制中心將客戶端的用戶身份信息、待訪問的應用服務及業(yè)務方法發(fā)送到權限管理服務，由權限管理服務對用戶身份進行校驗。如果用戶具有訪問權限，控制中心則將訪問請求發(fā)送到相應的應用服務，并將執(zhí)行結果返回動態(tài)代理，由動態(tài)代理將結果送回客戶端。否則，控制中心則向動態(tài)代理發(fā)送權限校驗失敗信息，阻斷對應用服務的調用，并由動態(tài)代理將異常信息傳送到客戶端。控制中心安全訪問控制的邏輯結構如圖4所示。
與動態(tài)代理安全訪問控制方式一樣，控制中心安全訪問方式不改變客戶端的調用邏輯，應用開發(fā)人員也不需要了解系統(tǒng)的權限配置方式，權限的校驗控制過程對用戶透明。用戶、角色和訪問權限的變化只需在權限管理模塊配置，對應用服務和客戶端軟件的開發(fā)沒有任何影響。對訪問的控制由客戶端的動態(tài)代理轉移到服務端的控制中心，客戶端代碼的泄漏不會對系統(tǒng)的安全性帶來任何影響，也允許由第三方開發(fā)客戶端應用。控制中心在接受客戶端調用請求的同時，通過調用位于同一容器中的日志服務，提高了訪問記錄和統(tǒng)計的效率。控制中心方式能夠適應面向服務架構（SOA）的電力市場運營系統(tǒng)建設，并向市場成員和監(jiān)管機構提供基于WebServices方式的遠方訪問服務。
鑒于控制中心方式的上述優(yōu)點，在實際投運的電力市場運營系統(tǒng)中采用了控制中心方式的安全訪問控制。
三、技術實現(xiàn)和應用案例分析
3.1控制中心的技術實現(xiàn)
考慮跨平臺等多種原因，系統(tǒng)采用了J2EE軟件架構。各應用服務封裝為一系列企業(yè)Java組件（EJB）模塊，部署在各個J2EE應用服務器中，對外提供本地調用接口，應用服務與客戶端之間的通信服務部署在Web容器。
如圖5所示，控制中心采用無狀態(tài)會話EJB技術實現(xiàn)，提供遠程調用接口，支持并發(fā)訪問。權限管理模塊也采用無狀態(tài)會話EJB技術實現(xiàn)，提供本地調用接口，接受控制中心的權限校驗調用請求。日志服務和訪問統(tǒng)計等其他服務也都采用會話EJB技術實現(xiàn)，只提供本地調用接口，接收控制中心和同一容器中各應用服務模塊的調用。
由于控制中心是客戶端和服務器端應用之間的必經(jīng)通道，為了提高系統(tǒng)響應速度和訪問效率，控制中心緩存了對各應用服務和權限管理服務的連接，減少了訪問環(huán)節(jié)。
基于控制中心安全訪問控制方式的區(qū)域電力市場運營系統(tǒng)在WebLogic，WebSphere和Jboss等主流J2EE應用服務器上運行測試正常，并己投入現(xiàn)場運行。由于將應用服務與權限管理*分離，支持應用的分布并行開發(fā)，極大地提高了系統(tǒng)開發(fā)進度和需求響應速度。
3.2應用案例分析
以數(shù)據(jù)申報和交易計劃編制為例進行分析。數(shù)據(jù)申報應用的用戶主要為市場成員，分布在整個市場范圍內;交易計劃管理的用戶則為交易中心內的各交易管理人員。應用開發(fā)人員并不關心數(shù)據(jù)申報服務和計劃管理服務由誰使用，只負責應用算法的實現(xiàn)，并將應用模塊提供的各項服務和調用接口提交給系統(tǒng)管理人員，由系統(tǒng)管理人員將各應用模塊提供的服務注冊到權限管理，并對各類用戶*。
用戶訪問各應用和市場信息時，客戶端應用調用受訪服務前，首先接收用戶的身份信息，獲取應用服務的本地動態(tài)代理。如果用戶具有相應服務的訪問權限，客戶端能夠像本地方式一樣調用受訪服務;否則，動態(tài)代理則向客戶應用拋出無訪問權限的應用異常。
在系統(tǒng)實際運行時，由于各市場成員的交易人員具有數(shù)據(jù)申報權限，能夠申報各類交易數(shù)據(jù)，而計劃編制人員雖然能夠撮合交易，但不能進行報價。在系統(tǒng)調試階段，通過將申報權限授予計劃編制人員，計劃編制人員可以同時進行數(shù)據(jù)申報和交易撮合，對系統(tǒng)的正確性進行驗證，而不需要任何應用變更。
四、結語
電力市場的信息保密性、用戶多樣性和訪問權限多變性，要求支持市場運營的電力市場運營系統(tǒng)必須具備嚴格而且靈活的安全訪問控制機制。本文描述了硬件層、系統(tǒng)軟件層和應用軟件層相協(xié)調的安全訪問控制的整體結構，設計了J2EE內嵌權限管理、動態(tài)代理和控制中心3種應用層用戶訪問控制方案。其中，控制中心管理方式能夠實現(xiàn)服務端的安全訪問控制，支持客戶端的第三方開發(fā)和面向服務的電力市場運營系統(tǒng)架構。采用控制中心安全訪問控制方式的電力市場運營系統(tǒng)己經(jīng)投人現(xiàn)場運行，結果表明，該安全訪問控制方式能夠將權限管理與應用開發(fā)*分離，使應用開發(fā)人員專注于市場業(yè)務邏輯實現(xiàn)，快速響應市場交易模式和訪問邏輯變化。
