一种基于CIM模型区域路径的区域权限控制方法、装置及系统

摘要

本发明公开一种基于CIM模型区域路径的区域权限控制方法、装置及系统，其中，基于CIM模型区域路径的区域权限控制方法包括在CIM模型中预设能确定区域信息的区域类型及其记录区域信息的区域属性；基于CIM模型构建系统中区域类型与非区域类型的区域路径列表，并根据相互的关联关系生成适配的区域路径排序；按照区域路径排序获取区域对象的区域信息；根据对象的区域信息进行过滤，去除客户端无权访问的对象及其关联关系。该装置用于实现上述方法。本发明根据多条对象遍历路径推演对象区域所属，根据访问客户端的IP地址获取可访问的区域白名单，过滤不可访问的数据，透明地实现带有区域数据访问安全控制的CIS接口数据访问。

说明书

技术领域

本发明涉及电网调度通信领域，特别涉及一种基于CIM模型区域路径的 区域权限控制方法、装置及系统。

背景技术

IEC 61970系列标准提出了CIM模型和CIS接口，是电力系统管理及其 信息交换领域的重要标准。CIM模型定义了信息交换的语义，CIS接口明确 了信息交换的语法。随着IEC61970系列标准的成熟，越来越多的系统采用 CIS接口进行数据的访问。

随着电力业务的发展，电力系统中管理的数据越来越多，越来越复杂， 数据已经成为重要的“资产”，对数据安全的要求也越来越迫切，主要是防止 非法用户访问和合法用户误操作，因而对权限访问控制的要求越来越严格。

由于电力系统的业务与电网、设备、用户的地理区域分布密切相关，因 而需要对不同的用户设定不同的区域数据访问权限，各用户只能按照设定的 权限访问特定的一个或多个区域范围内的数据。

CIS接口中并没有针对数据对象的安全控制，通过CIS接口进行数据访问 时，可以访问到服务器管理的所有的对象数据，无论这些对象属于哪个区域。 为了实现区域权限的限制，已有的实现方式是对系统中的每个对象都添加区 域冗余信息，即每个对象中都带有其所属区域信息。在进行CIS接口数据访 问时，通过访问对象附加的区域信息进行过滤，这种方式在实际使用中体现 出一些问题：

(1)电力系统中数据量较大，冗余的区域信息会造成大量空间的浪费；

(2)由于业务需要(例如设备检修后更换了使用区域)，增加冗余的区 域信息会导致维护工作量变大。

发明内容

本发明的主要目的是提出一种基于CIM模型区域路径的区域权限控制方 法，旨在克服以上传玄参的区域权限控制技术存在的问题。

为实现上述目的，本发明提出的一种基于CIM模型区域路径的区域权限 控制方法，包括如下步骤；

S10在CIM模型中预设能确定区域信息的区域类型及其记录区域信息的 区域属性；

S20基于CIM模型构建系统中非区域类型与区域类型的区域路径列表， 并根据相互的关联关系生成最匹配的区域路径排序；

S30通过所排序的最匹配的区域路径获取区域对象的区域信息；

S40根据对象的区域信息进行过滤，去除客户端无权访问的对象及其关联 关系。

优选地，所述S10包括：

S101在CIM模型中选择带有区域信息的CIM类型及该类型下用于记录 区域取值信息的CIM属性；

S102根据系统业务需要设定所选择的CIM类型中一个或多个为区域类 型，以其CIM属性为该区域类型的区域属性。

优选地，所述S20包括：

S201根据CIM模型中的继承层次和关联关系，查找各非区域类型与所预 设的区域类型之间的区域路径，生成非区域类型到达各区域类型的区域路径；

S202根据所述区域路径，构建CIM类型的区域路径列表；

S203按区域路径的长度排序，以短路径在前原则对CIM类型的区域路径 列表进行排序，生成适配的区域路径排序。

优选地，所述S20还包括S204：若遇到区域路径的长度相等情况，以选 择区域类型的顺序对CIM类型的区域路径列表进行排序，生成适配的区域路 径排序。

优选地，所述S30包括：

S301通过所排序的最匹配的区域路径查找具体对象所关联的区域对象；

S302读取所查找的区域对象的区域属性取值；

S303获取区域对象的区域信息。

本发明还公开了一种基于CIM模型区域路径的区域权限控制装置，包括：

预设模块，用于在CIM模型中预设能确定区域信息的区域类型及其记录 区域信息的区域属性；

生成模块，用于基于CIM模型构建系统中区域类型与非区域类型的区域 路径列表，并根据相互的关联关系生成最匹配的区域路径排序；

获取模块，用于通过所排序的最匹配的区域路径获取区域对象的区域信 息；

过滤模块，用于根据对象的区域信息进行过滤，去除客户端无权访问的 对象及其关联关系。

优选地，所述预设模块包括：

选择单元，用于在CIM模型中选择带有区域信息的CIM类型及该类型下 用于记录区域取值信息的CIM属性；

设定单元，用于根据系统业务需要设定所选择的CIM类型中一个或多个为 区域类型，以其CIM属性为该区域类型的区域属性。

优选地，所述生成模块包括：

第一生成单元，用于根据CIM模型中的继承层次和关联关系，查找各非 区域类型与所预设的区域类型之间的区域路径，形成非区域类型到达各区域 类型的区域路径；

第二生成单元，用于按区域路径的长度排序，以短路径在前原则对所形 成的区域路径的网状关联进行排序，生成特定CIM类型的区域路径列表。

优选地，所述获取模块包括：

查找单元，用于通过所排序的最匹配的区域路径查找具体对象所关联的 区域对象；

读取单元，用于读取所查找的区域对象的区域属性取值；

获取单元，用于获取区域对象的区域信息。

本发明还公开了一种基于CIM模型区域路径的区域权限控制系统，包括服 务器，还包括如权利要求5-8所述基于CIM模型区域路径的区域权限控制装置， 该装置用于实现如权利要求1-4所述基于CIM模型区域路径的区域权限控制方 法。

本发明技术方案通过预设区域类型及其记录区域信息的区域属性，再在 CIM模型生成适配的区域路径排序，再通过区域路径排序获取区域对象的区域 信息，再根据对象的区域信息进行过滤，去除客户端无权访问的对象及其关 联关系。通过本方案，可以不必为每个对象设定所属区域信息，而是根据多 条对象遍历路径推演对象区域所属，根据访问客户端的IP地址获取可访问的区 域白名单，过滤不可访问的数据，透明地实现带有区域数据访问安全控制的 CIS接口数据访问。本发明的有益效果体现在：1、只需要设定区域类型和区 域属性，自动分析CIM类型的区域路径，不需人工干预，防止人工操作产生的 错误；2、减少了为支持区域过滤增加的冗余数据，降低数据占用的空间；3、 在线过滤可访问的数据，对客户端透明；4、以客户端IP地址作为权限认证的 标识，避免用户密码泄露产生的安全问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实 施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面 描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲， 在不付出创造性劳动的前提下，还可以根据这些附图示出的结构获得其他的 附图。

图1为本发明基于CIM模型区域路径的区域权限控制方法一实施例的方法 流程图；

图2为所述S10步骤的一实施例的方法流程图；

图3为所述S20步骤的一实施例的方法流程图；

图4为所述S20步骤的另一实施例的方法流程图；

图5为所述S30步骤的方法流程图；

图6为本发明基于CIM模型区域路径的区域权限控制装置一实施例的功能 模块图；

图7为所述预设模块的功能细化图；

图8为所述生成模块的功能细化图；

图9为所述获取模块的功能细化图；

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步 说明。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行 清楚、完整地描述，显然，所描述的实施例仅仅是本发明的一部分实施例， 而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有 作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明，若本发明实施例中有涉及方向性指示(诸如上、下、左、右、 前、后……)，则该方向性指示仅用于解释在某一特定姿态(如附图所示)下 各部件之间的相对位置关系、运动情况等，如果该特定姿态发生改变时，则 该方向性指示也相应地随之改变。

另外，若本发明实施例中有涉及“第一”、“第二”等的描述，则该“第 一”、“第二”等的描述仅用于描述目的，而不能理解为指示或暗示其相对重 要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二” 的特征可以明示或者隐含地包括至少一个该特征。另外，各个实施例之间的 技术方案可以相互结合，但是必须是以本领域普通技术人员能够实现为基础， 当技术方案的结合出现相互矛盾或无法实现时应当认为这种技术方案的结合 不存在，也不在本发明要求的保护范围之内。

如图1-9所示，本发明提出的一种基于CIM模型区域路径的区域权限控 制方法，包括如下步骤；

S10在CIM模型中预设能确定区域信息的区域类型及其记录区域信息的 区域属性；

S20基于CIM模型构建系统中非区域类型与区域类型的区域路径列表， 并根据相互的关联关系生成适配的区域路径排序；

S30按照区域路径排序获取区域对象的区域信息；

S40根据对象的区域信息进行过滤，去除客户端无权访问的对象及其关联 关系。

IEC 61970系列标准提出了CIM模型和CIS接口，是电力系统管理及其 信息交换领域的重要标准。CIM模型定义了信息交换的语义，CIS接口明确 了信息交换的语法。随着IEC61970系列标准的成熟，越来越多的系统采用 CIS接口进行数据的访问。电力系统的业务与电网、设备、用户的地理区域分 布密切相关，因而需要对不同的用户设定不同的区域数据访问权限，各用户 只能按照设定的权限访问特定的一个或多个区域范围内的数据。本发明基于 CIM模型对CIS接口的数据访问对象完成的区域权限控制方法。

本发明技术方案通过预设区域类型及其记录区域信息的区域属性，基于 CIM模型生成适配的区域路径排序，再通过区域路径排序获取区域对象的区域 信息，再根据对象的区域信息进行过滤，去除客户端无权访问的对象及其关 联关系。通过本方案，可以不必为每个对象设定所属区域信息，而是根据多 条对象遍历路径推演对象区域所属，根据访问客户端的IP地址获取可访问的区 域白名单，过滤不可访问的数据，透明地实现带有区域数据访问安全控制的 CIS接口数据访问。

优选地，所述S10包括：

S101在CIM模型中选择带有区域信息的CIM类型及该类型下用于记录 区域取值信息的CIM属性；

S102根据系统业务需要设定所选择的CIM类型中一个或多个为区域类 型，以其CIM属性为该区域类型的区域属性。

优选地，所述S20包括：

S201根据CIM模型中的继承层次和关联关系，查找各非区域类型与所预 设的区域类型之间的区域路径，生成非区域类型到达各区域类型的区域路径；

S202根据所述区域路径，构建CIM类型的区域路径列表；

S203按区域路径的长度排序，以短路径在前原则对CIM类型的区域路径 列表进行排序，生成适配的区域路径排序。

优选地，所述S20还包括S204：若遇到区域路径的长度相等情况，以选 择区域类型的顺序对CIM类型的区域路径列表进行排序，生成适配的区域路 径排序。

优选地，所述S30包括：

S301通过所排序的适配的区域路径查找具体对象所关联的区域对象；

S302读取所查找的区域对象的区域属性取值；

S303获取区域对象的区域信息。

在本发明实施例中，本发明的S10步骤是根据系统在基于CIM模型构建 系统中各个CIM类的区域路径，区域路径是指系统中的一个类，经过与其他 类型的关联，到达描述区域信息类型的路径；区域类型指能确定区域信息的 CIM类型，这些区域类型中有用来记录区域信息的CIM属性，而CIM模型 类型之间是网状结构，非区域类型和区域类型之间会有直接的或间接的关联 关系。选择带有区域信息的CIM类型和该类型下用于记录区域取值信息的 CIM属性，根据系统在用CIM模型包括的类的不同，带有区域信息的CIM类 型可能不同，故根据电力系统的业务需要确定一个或多个区域类型。例如， 一般的区域类型为直接使用IEC 61970 CIM11版本之后的 SubGeographicalRegion类，选择SubGeographicalRegion.name作为记录区域取 值信息的CIM属性；或者在使用IEC 61970CIM10的系统中，指定控制区 (ControlArea，包括主控制区和子控制区两个子类)作为“区域类型”，选择 ControlArea.name属性作为记录区域取值信息的CIM属性。再如，Bay的区域路径有一条直接是包含VoltageLevel的Bay.VoltageLevel.Substation.Region； 另一条是不包含VoltageLevel的，即Bay.Sustation.Region，这是因为变电站中 的间隔大多数是包含在电压等级区中的，但也有变电站直接包含的一些间隔。

本发明的S20步骤是根据类型的继承关系和关联关系，自动推演出“非 区域类型”的CIM类型到达“区域类型”可用的路径，进一步找出非区域类 型和区域类型最匹配的那个。例如区域类型A、B、C，非区域类型a可能和 这三个类都有关联，和A有直接关联，和B、C有间接的关联，这一步就是 推断出最直接的关联，A作为其区域类型，a到ABC都有关联，假设到A是 直接关联，记路径长度为1，到B间接关联，假设为2，到C也是间接关联， 假设为3，这样就根据路径长度形成一个查找的顺序，优先查找A，如果找不 到，找B，还找不到，再找C。优先查找A，如果找不到，找B，还找不到， 再找C，如此类推。再如，分析各“非区域类型”的区域路径。根据CIM模 型中的继承层次和关联关系，查找上一步中选择的“非区域类型”与区域类 型间的路径，形成“非区域类型”到达区域类型可用的区域路径。采用如下 的分析步骤：

(1)以区域类型及其基类为起点，查找关联的CIM类。如果通过一条关 联能够到达某CIM类型(设为ClassA)，则该关联就是ClassA的区 域路径(ClassA通过该关联到达区域类型)，记为“ClassA-区域路径”； (例如区域类型SubGeographicalRegion关联到Substation类,则 Substation.Region为Substation类的区域路径)

(2)以ClassA及其基类为起点，查找关联的CIM类型。如果通过一条关 联能够到达某CIM类型(设为ClassB)，则该关联就是ClassB的溯 源路径，记为“ClassB-Up路径”，则ClassB的区域路径为“ClassB-Up 路径+ClassA-区域路径”；(例如Substation类关联到VoltageLevel类， 则VoltageLevel.Substation记为VoltageLevel的“Class-Up路径”，VoltageLevel类的区域路径为VoltageLevel.Substation.Region)

(3)继续以ClassB及其基类为起点，查找关联的CIM类型。确认溯源路 径后，再合并上一级的区域路径得到当前类的区域路径。

通过上述操作可以找出所有区域类型到达非区域类型的类的区域路径，

本发明的S20步骤是排序区域路径形成区域路径列表。根据所述S20查 找到的每个CIM类型的多条区域路径，按照区域路径的长度进行排序(短路 径在前)，形成特定CIM类型的区域路径列表。通过以上操作，根据设定的区 域类型，自动分析出一个特定的CIM类型到区域类型的多条可用区域路径， 并按照区域路径的长度进行排序(短路径在前)。特别地是，在初始选择区域 类型时，会有个顺序，例如选择A C B作为区域类型，如果如a与B、C都是直接关联，那根据初始选择区域类型时的顺序A、C、B选择，优先选择 C。也就是说如果路径长度相同时，按照选择区域类型的顺序进行排序。CIM 对象所属区域的决断依赖于CIM模型抽取的经排序的路径配置。

本发明的S30步骤是根据数据访问期间获取的CIM对象信息，通过CIM 对象的CIM类型查找到CIM类型的区域路径列表，继而查询对象所关联的区 域对象，读取区域对象中的区域信息，从而获取对象的区域信息。先获取CIM 对象的CIM类型，根据CIM类型获取区域路径列表，即获取从上述生成的与 此CIM类型相关的区域路径列表，再根据区域路径列表获取区域对象，根据 所获取的区域路径列表，逐条路径查找对象所关联的区域对象，如果查找到， 则查找过程终止，再根据查找到的区域对象读取区域信息。

本发明的S40步骤是根据对象的区域信息进行过滤，客户端可访问的对 象范围受其所在区域的约束，通过IP地址识别客户端所在区域。去除客户端 无权访问的对象及其关联关系，具体来说，首先获取客户端访问的IP地址， 通过IP地址确定可访问的区域信息。根据CIS接口的请求，获取客户端访问 的IP地址，根据系统配置中该IP地址的访问权限设定，确定客户端可访问的 区域权限；其次根据所获取的对象的区域信息，去除客户端无权访问的对象； 再者，根据区域信息过滤关联数据。即对于不可访问的对象，去除与其他对 象的关联关系。本步骤中，如果客户端访问的目标数据所属类没有可用的区 域路径，则表明该类型的对象数据是开放访问的，不需要对这部分数据应用 过滤筛选。本发明通过CIS接口向客户端传送的数据内容由其所属区域作为 过滤条件在线过滤。

本发明还公开了一种基于CIM模型区域路径的区域权限控制装置，本发 明提供的基于CIM模型区域路径的区域权限控制方法以上述实施例的操作方 法实现。本发明提供的基于CIM模型区域路径的区域权限控制装置用以实现 上述方法，因此至少具有上述实施例的技术方案所带来的所有有益效果，在 此不再一一赘述。

本发明的装置包括：

预设模块10，用于在CIM模型中预设能确定区域信息的区域类型及其记 录区域信息的区域属性；

生成模块20，用于基于CIM模型构建系统中区域类型与非区域类型的区 域路径列表，并根据相互的关联关系生成最匹配的区域路径排序；

获取模块30，用于通过所排序的最匹配的区域路径获取区域对象的区域 信息；

过滤模块40，用于根据对象的区域信息进行过滤，去除客户端无权访问 的对象及其关联关系。

优选地，所述预设模块10包括：

选择单元101，用于在CIM模型中选择带有区域信息的CIM类型及该类 型下用于记录区域取值信息的CIM属性；

设定单元102，用于根据系统业务需要设定所选择的CIM类型中一个或多 个为区域类型，以其CIM属性为该区域类型的区域属性。

优选地，所述生成模块20包括：

第一生成单元201，用于根据CIM模型中的继承层次和关联关系，查找 各大非区域类型与所预设的区域类型之间的关联，形成非区域类型到达各区 域类型的区域路径；

构建单元202，用于根据所述区域路径，构建CIM类型的区域路径列表；

第二生成单元203，用于按区域路径的长度排序，以短路径在前原则对CIM 类型的区域路径列表进行排序，生成适配的区域路径排序。

优选地，所述获取模块30包括：

查找单元301，用于通过所排序的最匹配的区域路径查找具体对象所关联 的区域对象；

读取单元302，用于读取所查找的区域对象的区域属性取值；

获取单元303，用于获取区域对象的区域信息。

本发明还公开了一种基于CIM模型区域路径的区域权限控制系统，包括服 务器，还包括如上述所述基于CIM模型区域路径的区域权限控制装置，该装置 用于实现如上述所述基于CIM模型区域路径的区域权限控制方法。

以上所述仅为本发明的优选实施例，并非因此限制本发明的专利范围， 凡是在本发明的发明构思下，利用本发明说明书及附图内容所作的等效结构 变换，或直接/间接运用在其他相关的技术领域均包括在本发明的专利保护范 围内。