机动车环保检验平台项目申请建设可行性分析报告.doc

机动车环保检验平台

机动车环保检验运营平台
项目建议书

修订记录

目录
1. 项目背景及必要性 5
1.1 项目背景 5
1.2 需求分析 7
2. 项目建设目标和主要内容 8
2.1 项目目标 8
2.2 建设内容 10
2.2.1 系统建设总体架构 10
2.2.2 应用系统建设方案 14
2.2.3 平台软件建设方案 17
2.2.4 硬件选购方案 17
2.2.5 基础设施建设 18
2.3 安全系统建设方案 18
2.3.1 安全设计模型 19
2.3.2 系统安全方案 21
2.3.3 安全方案小结 24
2.4 备份系统建设方案 26
2.4.1 数据容灾备份级别 26
2.4.2 数据级容灾 26
2.4.3 应用容灾备份级别 27
2.4.4 业务容灾备份级别 27
2.4.5 实际灾备方案 27
3. 项目的技术基础、特点和实施条件 28
3.1 技术基础和先决条件 28
3.2 系统特点 29
4. 项目建设单位及人员 31
4.1 项目建设单位 31
4.2 建设单位简介 31
5. 项目进度 32
6. 效益分析 33
6.1 社会效益 33
6.2 经济效益 33

1. 项目背景及必要性
1.1 项目背景
机动车辆或其他设备在工作过程中所排放出的废气。在现代文明的今天，汽车已经成为人类不可缺少的交通运输工具。自从1886年第一辆汽车诞生以来，它给人们的生活和工作带来了极大的便利，也已经发展成为近现代物质文明的支柱之一。但是，我们也应该看到，在汽车产业高速发展、汽车产量和保有量不断增加的同时，汽车也带来了大气污染，即汽车尾气污染。
在我国大中型城市，汽车尾气排放已成为主要的大气污染源。有资料表明山东目前汽车保有量达783.50多万辆，然而随着经济的迅速发展和社会需要的增加，在今后10～15年内，山东汽车保有量将以年均9%的速度增长。由此可见，减少汽车尾气排放物的紧迫性。
汽车尾气不仅气味怪异，而且令人头昏、恶心，影响人的身体健康。在车辆不多的情况下，大气的自净能力尚能化解汽车排出的毒素。但随着汽车数量的急剧增加，交通拥堵成了家常便饭，汽车本应具备的便捷、舒适、高效的优势逐渐被过多的车辆所抵消。“汽车灾难”已经形成，由此带来的汽车尾气更是害人不浅。
科学分析表明，汽车尾气中含有上百种不同的化合物，其中的污染物有固体悬浮微粒、一氧化碳、二氧化碳、碳氢化合物、氮氧化合物、铅及硫氧化合物等。一辆轿车一年排出的有害废气比自身重量大3倍。英国空气洁净和环境保护协会曾发表研究报告称，与交通事故遇难者相比，英国每年死于空气污染的人要多出10倍。经过分析汽车尾气中包含有大量有害物质。
固体悬浮颗粒：固体悬浮颗粒的成分很复杂，并具有较强的吸附能力，可以吸附各种金属粉尘、强致癌物苯并芘和病原微生物等。固体悬浮颗粒随呼吸进入人体肺部，以碰撞、扩散、沉积等方式滞留在呼吸道的不同部位，引起呼吸系统疾病。当悬浮颗粒积累到临界浓度时，便会激发形成恶性肿瘤。此外，悬浮颗粒物还能直接接触皮肤和眼睛，阻塞皮肤的毛囊和汗腺，引起皮肤炎和眼结膜炎，甚至造成角膜损伤。
一氧化碳：一氧化碳与血液中的血红蛋白结合的速度比氧气快250倍。一氧化碳经呼吸道进入血液循环，与血红蛋白亲合后生成碳氧血红蛋白，从而削弱血液向各组织输送氧的功能，危害中枢神经系统，造成人的感觉、反应、理解、记忆力等机能障碍，重者危害血液循环系统，导致生命危险。所以，即使是微量吸入一氧化碳，也可能给人造成可怕的缺氧性伤害。
氮氧化物：氮氧化物主要是指一氧化氮、二氧化氮，它们都是对人体有害的气体，特别是对呼吸系统有危害。在二氧化氮浓度为9.4毫克/立方米的空气中暴露10分钟，即可造成人的呼吸系统功能失调。
碳氢化合物：目前还不清楚它对人体健康的直接危害。但当氮氧化物和碳氢化合物在太阳紫外线的作用下，会产生一种具有刺激性的浅蓝色烟雾，其中包含有臭氧、醛类、硝酸脂类等多种复杂化合物。这种光化学烟雾对人体最突出的危害是刺激眼睛和上呼吸道黏膜，引起眼睛红肿和喉炎。1952年12月，伦敦发生光化学烟雾，4天中死亡人数较常年同期多4000人，45岁以上的死亡最多，约为平时的3倍；1岁以下的约为平时的2倍。
铅：铅是有毒的重金属元素，汽车用油大多数掺有防爆剂四乙基铅或甲基铅，燃烧后生成的铅及其化合物均为有毒物质。城市大气中的铅60%以上来自汽车含铅汽油的燃烧。人体中铅含量超标可引发心血管系统疾病，并影响肝、肾等重要器官的功能及神经系统。由于铅尘比重大，通常积聚在1米左右高度的空气中，因此对儿童的威胁最大。
尾气在直接危害人体健康的同时，还会对人类生活的环境产生深远影响。尾气中的二氧化硫具有强烈的刺激气味，达到一定浓度时容易导致“酸雨”的发生，造成土壤和水源酸化，影响农作物和森林的生长。近100年来，气候变暖已成为人类的一大祸患。冰川融化、水位上涨、厄尔尼诺现象、拉尼娜现象等都对人类的生存带来了严峻的挑战。而二氧化碳则是地球变暖的罪魁祸首。
进行汽车尾气治理,虽然技术上已不存在多少问题,但因其涉及面大、成本投入较高,对相关主体特别是车主会造成一定的经济压力。但考虑到汽车尾气治理所带来的广泛、持久和多层面生态、社会、经济效益,这种成本投入是值得的,也是必须的。
生态效益。治理汽车尾气将通过减少污染物排放而极大地改善大气质量（特别是城市汽车密集地区）并进而提高整个生态环境质量,这种生态效益虽然很难准确测算,但可通过对几种主要污染物CO、HC、NO2的排放情况的检验测算做出相应的估值,以下以国家中等城市为例。
按国家标准GB1476.5-93即怠速法计算:CO:每辆车一秒钟的排放量为:47500×25/24.45=54.4克,50万辆车一年（按300天,每天运行1小时）的排放量为:54.4克×50万×3600×300=2940万吨。HC:按国际以平均分子量C1、C2、C3烷烃、烯烃、炔烃、低烃类平均分子量为34。每辆车一秒种的排放量为2224.9毫克,50万辆车一年的排放量为:2224.9毫克×50万×3600×300=120万吨,CO和HC两项合计为3060万吨,若所有汽车都进行尾气治理,平均净化率按80%计算,仅仅一个中型城市每年可减少致污尾气排放量:3060万吨×80%=2448万吨。
由以上计算可知,尾气治理将绝大部分致污尾气净化掉而极大地降低了城市大气污染,从而产生出巨大的生态效益。
社会效益。城市尾气治理除极大地改善城市大气生态外,还会带来良好的社会效益。 一是提升城市形象,强化其召唤力和吸引力。通过有力的生态文明行为优化城市生态环境质量,展示城市生态管理成就,由此在社会上产生良好影响力并进而对有关人才、投资、外来消费群产生吸引力。 二是改善城市公众的生态意识,提高其生态文明素质。有关人群特别是车主的广泛参与使汽车尾气治理成为大众身体力行的环保运动。 三是培养城市公民意识。在实施汽车尾气治理过程中,接受公众举报、监督、利用有关部门、社会群体的配合,这将会使更多城市居民培养起公众参与意识。
经济效益:进行汽车尾气治理也会产出（直接、间接）相应的经济效益。一是生态环境好转、城市形象提升后将改善投资环境从而促进招商引资工作。二是生态质量的提高将使房地产、旅游、宾馆饭店等相关产业的商品质量随之提高,需求扩大。三是与汽车尾气治理相关的产品生产和服务提供将因此而发展起来,创造出相应的就业机会和经济产出。

1.2 需求分析
为积极应对汽车保有量持续增长带来的环境问题，有效控制汽车尾气污染，改善空气质量，保障市民健康，按照省环保部门的部署，将利用高科技手段对全省境内所有汽车，汽车尾气实时集中监控评测。一是通过尾气监测，加快老旧车量的更新和淘汰。二是加大推广使用国Ⅲ标准车用燃油力度，促进车辆和表范围内减少尾气排放量。三是积极响应并贯彻执行国家新车排放标准。根据国家机动车污染物分阶段排放控制标准的要求，在新车销售、注册登记（挂牌）、外地车转入登记等方面，同步实施国Ⅳ机动车污染物排放控制标准；四是配合大范围增加清洁燃料汽车使用需求。在公交、出租等行业推广使用清洁燃料，加快加气站建设；五是配合政府职能部门，组织开展联合执法行动。应用高科技手段实时机动车污染专项治理活动。六是提高车辆维修检测机构集体维修水平。七是促进环保检验机构服务标准化。继续加强环保检验机构规范化建设，提升便民服务水平；
Ø 建设全省汽车尾气排放监控检测平台。通过平台对汽车尾气排放检测情况进行在线监控，对采集数据进行集中管理和分析。
Ø 建立各地方汽车尾气检测中心（站），提供地区汽车尾气检测场所，对到所车辆进行尾气在线检测。
Ø 编制全省统一的尾气检测数据采集标准，和现场标准化检测作业流程。对操作管理人员进行上岗培训。实现服务、管理标准化，透明化。
Ø 研制手持汽车抽检无线查询接口，以便与平台实时通信，获得车辆最新尾气监测信息。配合公安、交管部门统一执法。
Ø 制定统一检测报告以及检测标志。统一采集管理尾气检测视频。规范检测形式和执法标准。
Ø 通过平台提供格式化统计报表和分析数据，为政府职能部门管理提供信息。

2. 项目建设目标和主要内容
2.1 项目目标
网络目标：采用平台统一网络传输技术以及数据标准，实现各环检机构环检设备能够统一载体、统一方式统一格式进行数据交互和传输。

存储目标：在省环保厅设立省级机动车检测中心数据库，各环检机构分别设立独立的子数据库，环检机构的子数据库的管理权归省级中心数据库。各条检测线的检测信息上传至本环检机构子数据库，并实时上传至省中心数据库。在省中心数据库与环检机构子数据库之间网络出现故障时，要保证数据存储在环检机构子数据库中，并在恢复后重新上传。

环监机构应用目标：环检机构计算机联网应具备的功能
（1）存储──存储（手工输入的）或查询（数据库中存在的）车辆信息，存储检测结果以及检测现场摄制图象等。检测结果和图象的保存时间应在2年以上。
（2）数据处理──处理检测数据，打印检测报告单和环保标志。
（3）传输──接收各检测线检测设备输出的信息与数据；向各检测线传送下发各类通知；向上一级（省数据中心）传输信息与数据；接收上一级（省数据中心）传输下达的通知或指令，并自动下达到相应的检测线或进行相应的操作。
（4）安全保护和安全操作──检测设备的操作控制程序和联网设计必须具备数据安全保护功能，防止人为改动。检测设备必须设置网络联接密码，每一名持证上岗检测人员确定唯一操作密码，只有在输入正确密码后才能进行检测。对被取消检测资格的检测人员的操作密码要进行锁定，终止其操作权限。应当设置检测标准、系统参数等数据修改的访问权限，防止更改检验报告。
（6）管理——具备环检机构的日常基本管理功能，包括操作人员管理、检测设备管理和检测报告、标志管理等。

省中心应用目标：省数据中心网络应具备的功能
（1）存储──存储所有环检机构传输上来的原始检测结果和初级统计结果。
（2）处理、计算和统计──接收各环检机构上传的检测数据自动判定检测结果是否合格，同步下发合格标志编码或检测报告编码；按照不同车型归纳计算各污染物的排放因子；统计各车型的年、季、月排放总量；对检测结果进行分析、汇总。
（3）网络远程监控──通过对测试时间、车辆信息和检测数据的分析处理，寻找检测中的非正常现象。发现疑点时系统应向数据中心和检测线同时显示警告，并要求事发环检机构作出解释，提出处理纠正意见。否则，网络将终止其操作发标志或打印报告。
（4）配合视频监控──视频监控与过程数据监控需同时进行，视频监控应包括检测工位和计算机操作工位。
（5）与M站(维修)联网──留有与M站(维修)联网的网络接口，条件成熟时，形成I/M整体网络。省数据中心在通过网络掌控环检机构的同时，也能够掌控所辖范围内车辆维修情况。
（6）智能化专家系统──根据数据的分析统计结果，总结全省机动车排放污染的特点和规律，向省环保厅提出管理建议。
（7）无线网络接口——具备无线网络接口，方便于车辆抽测时可通过手持终端与省数据中心网络联系。

统计分析目标：检测数据的统计分析
省机动车检测数据中心数据库应有方便的使用操作界面。数据库应具备检索、计算、排序、查询、生成统计报表等功能。
每年（或季度）对各类机动车的检测情况进行统计汇总，发布车辆检测数据统计分析报告。主要的统计内容：
检测的车辆数目；
首次检测不合格车辆数量及百分比；
根据车型年份对某时间段的车辆的检测合格率作统计；
第一次维修保养后参加复检的车辆数量及百分比；
复检合格的车辆数量及百分比；
经过维修，最终未通过检测的车辆数量；
首次达标率；
最终达标率。

IM卡系统目标：建立机动车IM卡系统。
每部车辆均拥有专属的车辆信息IM卡，包括车辆的检测和维修记录。车辆行驶到省内任何地方，公安、交通和环保部门的执法人员均可通过读卡机掌握该车辆的I/M情况。

安全、完善目标：计算机联网控制系统不得改变检测仪器设备的测试原理、分辨力和检测结果，保障检测数据的真实性。网络系统应具备良好的可升级性，当检测方法、标准等发生重大变化时，能够以较低的成本进行相应的改造。

2.2 建设内容
2.2.1 系统建设总体架构
机动车环保检验平台可以有效解决目前机动车环保检验管理工作中遇到的诸多问题，可通过实时监测、感知做到随时掌握机动车检验管理实时信息；通过预警、控制来提高机动车环保检验管理智能化水平；并能通过对监测数据的统计分析，对机动车排放污染管理进行指导优化，并通过各种服务模式进一步提高社会效益和经济效益。
机动车环保检验平台逻辑架构图如下：
感知层
传输层
应用层
机动车环保检验平台

… …

机动车环保检验平台应用平台基于物联网三层架构设计，感知层包括：监测数据采集和，I/M卡读取单元和视频图像采集处理单元等。
传输层为基础数据通信平台，可将感知层获取的信息无障碍、高可靠性、高安全性地进行传送并进行实时整合，通过互联网、移动通信网（GPRS网络、3G网络）、专用计算机网络等多种网络形式，能够灵活快速、无缝可靠地将感知数据传输至系统数据处理中心；通过专用网关提供有线（TCP/IP）方式、无线(GPRS/CDMA等)方式通过VPN方式构架专用网络，传输数据到数据中心，一方面实现了对各子系统的分布式数据采集与传输，同时彻底阻断了系统的控制网络与互联网络的直接网络连接，从根本上保证了子系统的网络不会受到来自外网数据的攻击，为各子系统的生安全运行提供了保障。；
应用层由省、环检机构两级应用服务平台和数据中心构成，应用层面向省多级用户提供统一权限管理的应用平台，并构建不同级别的监控系统和数据中心，省级平台以实时监管为主要目标，功能设计上更多考虑的是数据管理，检测结果判定、宏观监管，事件预警、数据统计分析和决策支持；环检机构平台以实时监控和业务管理为基础，主要包括车辆信息管理，检测设备管理、日常业务管理和省级中心指令的事件响应管理等。在这个系统整体支撑环境上，省级平台通过数据分析工具，结合模型模拟，对大量实时和历史数据进行分析，评测与关联性分析，全面提升机动车环检管理、服务管理和分析决策的智能化程度。
机动车环保检验平台的网络拓扑图如下：

由上图，省级数据中心平台通过VPN专网和环检机构平台连接，接收环检机构平台的测试数据，并下发监测判定结果数据、通知或指令；同时还可以通过无线VPN网络和手持设备、读卡设备等连接，接收或下发相关数据。
环检机构平台通过内部网络连接监测管理柜，监测管理柜中包括数据采集器，可通过有线（以太网、485总线、Modbus总线等）、无线（Zigbee通讯等）方式与检测采集通讯模块进行连接；监测管理柜还可建立环检机构数据中心和视频管理中心，并连接对应的图像采集设备。

2.2.2 应用系统建设方案
2.2.2.1 省数据中心平台建设

由上图，我们可看出机动车环保检验省级平台逻辑框架主要包括六大应用平台、一个数据中心和六大保障体系。
六大应用平台：数据管理平台、业务管理平台、统计分析和智能专家平台、配置管理平台、网络远程监控平台和服务平台。
一个数据中心：机动车环保检验省级平台数据中心是整个系统的数据核心，负责管理包括实时环保检测数据、过程处理数据、车辆信息数据、业务规则数据、决策支持数据、历史分析数据等在内的所有系统数据。
六大保障体系：包括运行管理体系、标准规范体系、安全保障体系、政策法规体系、统一身份认证体系和运维保障体系，为六大平台和数据中心提供支撑保障。
数据管理平台包括车辆信息管理、检测数据管理、检测结果判定和数据平台上传管理等模块，可基于环检机构上报的检测数据，再根据业务设定的检测指标判定监测结果是否合格，并同步下发合格标志编码或检测报告编码到环检机构平台；
业务管理平台包括检测指标管理、合格标志和检测报告管理，以及包括操作人员管理在内的日常业务管理。
统计分析和智能专家平台包括统计分析、决策支持、智能化专家系统和报表展示；可实现根据检索、计算、排序、生成统计报表的功能，并可按照每年（季度）对各类机动车的检测情况进行统计汇总，发布车辆检测数据统计分析报告；同时也可对检测结果进行分析、汇总；并可根据数据的分析结果，总结全省机动车排放污染的特点和规律，并进行近一步的分析挖掘，从而实现决策支持功能。
服务平台包括数据共享服务和信息服务，提供用于学术交流的行业数据资料库和信息库，并可支持基于I/M网络的，涉及车辆检测维修的全面管理和服务。
配置管理平台可以配置、维护和优化现有管理方法和流程，建立一个统一基础管理平台。主要包括设备管理、信息管理、数据管理和消息管理等。通过配置管理平台可以对现有的资源进行整合，将所有资源统一在一个合理规划的架构，通过采用先进的网络和计算机技术接入各应用单元，使各单位可以共享公共资源，加快信息的传递和安全管理，可以实现对省级、环检中心的数据库进行统一管理和配。
网络远程监控平台包括异常分析处理和监测预警管理，可通过对测试时间、车辆信息和检测数据的分析处理，寻找检测中的非正常现象。发现疑点时系统应向数据中心和检测线同时显示警告，并通过告警机制要求事发环检机构及时处理和响应告警信息，对异常情况进行说明解释，提出处理纠正意见。否则，网络可根据分级告警的系统设定，按预定流程终止其操作发标志或打印报告。
2.2.2.2 环检机构平台建设

由上图可知，机动车环保检验机构平台逻辑框架主要包括监控管理、数据管理和环检机构业务管理。
监控管理包括设备管理、事件管理、数据上报和指令响应。设备管理包括检测设备和数据采集设备管理的管理；另外可实现检测数据的上报和接收省级平台的指令或通知，并根据不同的事件进行不同的系统响应和处理。
数据管理包括业务数据管理，告警查询处理、数据传输管理和图像数据管理。业务数据管理是指管理车辆信息、检测数据信息、检测结果信息等业务相关信息；告警查询处理是指响应和处理来自省级平台的告警信息，并将处理结果上报；数据传输管理，是指数据传输接口管理和配置，上传和下达的数据信息都通过加密封装的方式进行安全、有效、实时的传输；图像数据管理是指管理检测现场摄制的图像。
环检机构业务管理是指环检机构的日常基本管理功能，包括操作人员管理、车辆信息管理、检测报告、标志管理已经业务配置管理。

2.2.3 平台软件建设方案

表 21 平台软件列表及用途说明
序号
系统支撑软件名称
数量
用途说明
1
操作系统
若干
采用UNIX、WINDOWS两种操作系统，其中数据库服务器操作系统使用硬件自带的UNIX操作系统。
2
数据库软件
1+N
数据库软件是数据存储使用的基础平台，保存数据中心所有资源库数据，为各种应用系统的使用提供数据支撑。该软件部署在数据库服务器上，数据存储在磁盘阵列中。
3
应用中间件软件
1+N
各种开发的应用软件部署在应用中间件平台上供用户使用。该软件部署在应用系统服务器上。
4
网络管理软件
1+N
网络管理，带宽控制。
5
备份软件
1
定期对系统的重要数据进行备份，出现异常情况时，如有必要进行数据的恢复。该软件部署在备份服务器上，备份数据保存在磁带库中。
6
存储管理软件
1
分级存储管理，定期对系统的重要数据进行备份，出现异常情况时，如有必要进行数据的恢复。该软件部署在备份服务器上，备份数据保存在磁带库中。
7
BPM
1
为业务管理平台提供工作流程管理。
8
数据仓库和商业智能软件
1
进行综合数据汇总、分析、运算加工和提取，实现数据动态分析、多维展示和决策支持
9
定制开发应用平台软件
2
为省级平台和环检机构平台定制开发应用软件
10
LDAP
1
为应用平台提供统一认证管理

2.2.4 硬件选购方案

表 22 硬件配置列表
序号
硬件名称
用途说明
1
数据库服务器
省级平台采用两台数据库服务器形成双机热备，保证高可靠性、可用性。用于部署数据库软件，为各类应用系统提供数据服务。
2
应用系统服务器
用于部署各种应用系统，包括：车辆监控系统、信息发布系统等。
3
数据上传和交换服务器
用于部署多模式异构数据交换平台，用于外部数据的各种交换。
4
数据备份服务器
用于部署备份软件，为定时进行数据备份及灾难时的数据恢复提供硬件支持。
5
光纤交换机
用于主机系统与磁盘阵列之间的连接。
6
磁盘阵列
用于存储数据中心的所有数据。
7
光纤磁带库
用于存储备份软件定时备份的数据。
8
42U标准机柜
配套KVM，PDU，液晶套件等。用于安放机架式服务器、存储设备及网络安全设备。
9
LDAP服务器
用于CA中心的目录服务器
10
信息点网络交换机
用于信息点网络集成（每个信息的1台）
11
短信服务器
用于收、发短信的服务器
12
信息点办公设备
用于信息点的信息采集的计算机、电话、传真、打印机、复印件等办公设备。
13
信息点空调及办公家具
用于信息的日常办公
14

15

2.2.5 基础设施建设
本项目的的基础设施建设包括总机房建设、信息点建设和网络建设三大部分。

2.3 安全系统建设方案
随着信息时代的到来，互联网技术日新月益的不断发展，利用互联网进行攻击的技术手段也越来越多。而网络攻击技术新、变化快，往往会在短时间内造成巨大的破坏，同时由于互联网的传播使黑客技术具有更大的普及性和破坏性，会给网络造成很大的风险；同时来自于企业内部的攻击也需要非常注意，根据国外权威机构统计，全球70%的攻击来自于内部。因此考虑安全问题时应从整体的角度分析，必须通过网络整体的安全性规划来加强网络安全集中监管的能力和水平，降低系统网络的运行风险。
因此我们需要从下面三个方面来考虑系统安全：
用户安全：提供用户名和密码验证方式，对用户登陆系统提供身份验证，并且每个用户名及密码具有唯一性。
操作安全：多层的安全控制机制确保只有经过授权的用户才能访问系统资源；提供对于目标操作对象，如功能菜单、功能点、工作流程与表单等的权限控制。
数据安全：采用通用的数据接口访问数据库，采用大型关系数据库和安全加密机制，并且在配置数据库时需要密码支持，该密码与安装数据库时设置的密码保持一致,并且密码不可为空，可确保数据不会被非法用户所获取。数据集中保护，集中备份，保护系统中的数据安全、有效，不会意外丢失。
2.3.1 安全设计模型
基于安全风险分析和安全方案设计原则，我们应该在基于如下的安全构造模型，对系统安全方案进行了审慎的整体设计。
信息系统安全保护的是主体对客体的访问过程。首先需要对主体和客体进行身份认证，然后是将整个访问过程置于访问管理之下，并依靠加密、防恶意代码和加固等技术手段实现访问控制，为了配合系统安全的落实于实现，还需对整个访问过程进行必要审核跟踪和监控，并能对意外安全事件进行响应和恢复。安全模型如下图所示：
图 安全设计模型图

根据以上安全设计的指导模型，结合IT系统的分层化构建的趋势和特点，安全方案设计时应从IT系统的物理层、网络层、系统层、应用层、数据层对这8个安全领域的问题予以关注和解决。由此细化成如下的矩阵模型结构：
图 安全设计矩阵模型

身份认证
身份认证（Identity and Authentication Management）是通过对信息系统使用过程中的主客体进行鉴别，确认主客体的身份，并且给这些主客体赋予恰当的标志、标签、证书等。认证为下一步的授权工作打下基础。认证解决了主体本身的信用问题和客体对主体的访问的信任问题。是对用户身份和认证信息的生成、存储、同步、验证和维护的全生命周期的管理。
身份认证一般在系统层、数据层和应用层来加以实现的。
访问管理
访问管理（Access Management）指对各类系统资源的授权管理和访问控制。其中授权是指根据认证得到的主体的信息来判断该主体拥有怎样相应的权限，并将该权限赋予主体称之为授权。认证是授权的基础和依据，而主体经过了第一步的身份认证之后，都应遵循“不可旁路”的要求，必须通过授权这个关口才能进行任何的访问。
访问控制是指在主体访问客体的过程中，根据预先设置好的访问控制手段或规则，对访问过程中可能出现的安全问题加以有效地控制。保证主体对客体访问过程中的安全性。
访问控制通常由应用系统的支撑平台或者应用系统来控制实现。
加密
加密（Cryptograghy）是指通过使用对称加密、公钥加密、单向散列等手段，对各系统中数据的机密性、完整性进行保护，并提高应用系统服务和数据访问的抗抵赖性。
加密控制一般设计到网络传输、数据存储等环节，均是通过安全算法，将敏感信息进行乱码后进行传输和存放，防止信息泄密。
防恶意代码
恶意代码泛指能够在某个信息系统上执行未被授权操作的软件或固件。恶意代码可以分为五大类：病毒、蠕虫、特洛伊木马、移动代码、逻辑炸弹。各类恶意代码有不同的特点。防恶意代码（Anti-Malicode）就是通过建立预防、检测、隔离和清除机制，保护系统的安全。
防恶意代码的最好方法时选择合适的操作系统、增加对网络的安全管理、设置严格的安全策略来实现的。
加固
加固（Hardening）是指对客体（信息系统自身）的弱点进行加固的一种安全保护手段，是通过实施安全漏洞扫描、渗透性测试、安全补丁、关闭不必要的服务、对特定的攻击、风险产生的立即识别等技术或管理方法确保和增强系统自身的安全。加固的目的是尽量将系统自身弱点造成安全事故的可能性降至最低。
该部分安全方案设计会涉及到网络和应用系统。
监控
监控（Monitoring）是指管理主体对客体的访问过程中，通过各类技术手段，对于主体的各种访问行为进行监控。确保主体在对客体的访问过程中的安全。
安全主要靠管理，作为安全管理的必要支持，安全方案应考虑在网络层、系统层和应用层能对系统的运行进行监控。
审核跟踪
审核跟踪（Audit Trail）是指一系列关于操作系统、应用和用户活动相关的计算机事件。它能够增进计算机系统的可审计性。对于一个计算机系统可能有几个审核跟踪，每个都针对特定的相关活动类型。对审核跟踪的记录可以保存在日志文件或相关的日志数据库中。
安全主要靠管理，作为安全事后的管理手段，安全方案应考虑在网络层、系统层和应用层设计用于操作审计的技术支持手段。
备份恢复
信息安全的预防、保护控制措施不可能完全避免意外安全事件的发生，我们必须采取相应的措施最大限度地降低一旦发生的信息安全事件对业务造成的影响。我们应根据不同的业务需求和不同的信息资产价值，建立相应的响应恢复机制。这方面的技术主要表现在冗余、备份、容错等方面。
2.3.2 系统安全方案
遵照以上安全方案设计模型，根据业务应用环境和IT需求状况，建议系统安全体系的构建应从网络安全、系统安全、应用安全、数据安全等4个层次来保障身份认证、访问控制、信息加密、防恶破坏、安全加固、系统监控、审核跟踪、备份恢复等8个方面的安全控管。安全方案如下：

图 安全设计分层方案

2.3.2.1 数据传输安全
系统数据传输的安全性可采用下面的设计方式：
（1）通讯方式
数据采集装置与数据中心之间的数据通讯应使用基于IP协议的数据网络，在传输层使用 TCP协议。数据中心为服务器端，建立 TCP监听，接收来自数据采集装置的链接。数据采集装置为客户端，不启动 TCP监听。数据采集装置启动后向设定好的数据中心发起 TCP连接，TCP连接建立后保持连接状态不主动断开，数据采集装置定时向数据中心发送心跳包并检测 TCP连接的状态，一旦连接断开则重新建立连接。
（2）身份认证
采集装置与数据中心建立连接后，数据中心需对数据采集装置通过 MD5算法进行身份认证，认证过程如下：
TCP连接建立成功后，数据采集装置向数据中心发送身份认证请求；
数据中心向数据采集装置发送一串由数据中心随机生成的随机序列；
数据采集装置将接收到的随机序列和本地存储的认证用密钥串合并为一连续串，计算该串的 MD5值并发送至数据中心；
数据中心将随机序列和本地存储的认证用密钥串合并为一连续串，计算该串的 MD5值并与接收到的 MD5值进行比较，若相同则发送认证成功至数据采集装置，否则发送认证失败至数据采集装置；
认证用密钥串在数据采集装置和数据中心中都存储在本地文件系统上，可手动进行认证用密钥串的更新。
2.3.2.2 应用安全措施
应用安全措施主要涉及到身份认证、访问管理、加密、防恶、加固、监控、审核跟踪、备份恢复等全部8个安全方面的安全解决手段。
首先，应用系统必须对用户的身份进行验证，并按照用户身份赋予不同的操作权限，然后就是围绕信息的保密传递、防篡改、防失误、安全增强等方面构筑系统的安全防护措施，最后，还需要提供用于安全检测和响应的监控、审计和恢复等措施，以便对系统安全进行掌握和控制。
应用系统本身构建在基础设施、网络和支撑系统之上，而这些IT层面已经提供若干层次的安全级别，如用户级，交易级，资源级。应用解决方案采用了B/S架构体系，借助于Web应用服务器提供的安全管理机制可以实现对各种应用资源，如Java Servlet程序，Html页面等都进行授权访问控制。因此只有授权的用户才可以访问。
来自浏览器的各种业务请求是通过Web应用服务器的应用（Java Servlet程序）调用主机集中处理程序，它是一个交易处理程序,用于分析上来的请求，并与应用系统连接。浏览器用户不会直接调用主机交易程序，而是通过程序连接程序。因此交易服务器没有特别的安全控制。连接主机应用所需的用户名称和密码由呼叫主机交易的Web程序统一指定，并不代表真正的用户。
值得指出的是，不论是Web应用服务器上的资源，还是主机交易服务器上的资源，都被防火墙保护在内部网内。
系统也应采取相应的措施，进一步保证系统的整体安全性。在系统应用软件采取了如下安全措施：
Ø 定义用户和组并赋予它们存取资源的权限
Ø 数据库表加密及访问控制
Ø 通报系统访问次数检测证书UID并核对登录密码
Ø 设置交易密码
Ø 首次登录强制性修改密码
Ø 密码以乱码形式存放
Ø 设置会话密码
Ø 审核用户交易请求
2.3.2.3 对数据库操作的控制
所有的数据库操作以交易方式提供，不允许手工直接对表操作。在BROWSER中加入数据表维护的操作，并记录相应的日志。
更加严格的数据库操作控制，建议集成数据库安全网关设备拒绝对数据库的异常操作，使用CA认证系统认证数据库用户防止非法用户访问数据库。
2.3.2.4 库表采用签名校验
为了防止非法篡改数据库，我们在库表设计时对关键库表设置了dac校验字段。这种设计的基本思路是防止技术人员对业务数据的非法篡改，实现方法是对一个关键库表的几个关键字段进行加密运算得出dac校验码存放在dac字段中。一旦有人对数据库进行更改，则dac校验出错，数据库拒绝访问。
2.3.3 安全方案小结
综上所述，按照ISO在其安全框架文件中，定义的开放环境下系统安全功能，对系统内部各对象的保护方法，保证系统间通信规则，根据安全的设计目标和原则，我们在方案中建议如下安全措施：
身份识别（认证）
是验证通信双方身份的有效手段，用户向其系统请求服务时，要出示自己的身份证明，最简单的方法是输入UserID和Password。而系统应具备查验用户的身份证明的能力。身份判别是安全系统最重要功能之一，UserID和Password是最常用也最方便的身份认证方法，也是最不安全的。原因是用户为了便于记忆而使用了生日、电话号码等Password，使得Password很容易猜出。因此Password的管理也成了安全系统非常重要的工作。在服务系统中，考虑信息、管理、业务及交易等系统的多层次、跨地域，情况复杂，我们建议应用数字证书和USBKEY。
要实现身份认证的安全需求，就必须建立一种信任及信任验证机制，即每个网络上的实体（例如个人、企业等）必须有一个可以被验证的数字标识，这就是“数字证书（Certificate）”。数字证书是各实体在网上信息交流及商务交易活动中的身份证明，具有唯一性。
证书基于公钥密码体制，它将用户的公开密钥同用户本身的属性（例如姓名，单位等）联系在一起。这就意味着应有一个网上各方都信任的机构，专门负责对各个实体的身份进行审核，并签发和管理数字证书，这个机构就是认证中心CA。CA用自己的私钥对所有的用户属性、证书属性和用户的公钥进行数字签名，产生用户的数字证书。
CA认证系统在整个网上系统中占有举足轻重的地位，每一个网上系统的用户和都需要一张由CA签发的数字证书，作为在网上系统中处理业务交易的身份凭证。
存取权限控制
防止非法用户进入系统及防止合法用户对系统资源的非法使用是存取控制的基本任务。在服务系统中，业务管理、用户管理、工作控制、以及财务、交易信息等都是极其敏感的资源，存取权限控制将在资源访问方面对这些敏感资源进行保护。
数字签名
服务系统中的数字签名可用于敏感信息、交易数据的确认，其目的主要有两个：数据的完整性和不可否认性。数据完整性是保证数据在传输和存放中没有被修改，避免用户或主机被 伪信息欺骗；不可否认性是对用户所做事情的认定，用户不能抵赖所做过的事情。
跟踪审计和信息过滤
系统应不断地收集和积累有关的安全事件记录加以分析，有选择地对其中的某些节点或用户进行跟踪审计，以便对发现或可能产生的破坏性行为提供有力的证据。
密钥管理
信息加密是保障信息安全的重要途径，以密文方式在相对安全的信道上传递信息，可以让用户比较放心地使用网络，如果密钥泄露或居心不良者通过积累大量密文而增加密文的破译机会，都会对通信安全造成威胁。因此，对密钥的产生、存储、传递和定期更换进行有效地控制而引入密钥管理机制，对增加网络的安全性和抗攻击性也是非常重要的。
安全通信
通信的安全性主要依靠加密技术，包括在网络OSI参考模型的多个逻辑层次上的加密，总的来说可以理解为对信息的加密和对信道的加密，来保证通信中信息的安全性和通信线路的安全性。在信息系统中，各级网络之间的通信，根据