0.   引言

煤礦安監(jiān)數(shù)據(jù)涵蓋范圍廣，包含煤礦基本信息、政策法規(guī)信息、監(jiān)管監(jiān)察信息等，具體涉及人事管理、事故管理、行政執(zhí)法、應(yīng)急避難、隱患報送等方面的業(yè)務(wù)數(shù)據(jù)。一般采用行業(yè)內(nèi)部開發(fā)的云平臺對該類數(shù)據(jù)進(jìn)行管理和使用[1-3]，以云存儲作為數(shù)據(jù)存儲手段。目前，在國家法律和行業(yè)標(biāo)準(zhǔn)層面，如《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《網(wǎng)絡(luò)安全等級保護(hù)條例》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等都對云數(shù)據(jù)安全保障提出了明確要求，建立了煤礦安監(jiān)云數(shù)據(jù)分類分級保護(hù)制度[4] 。煤礦安監(jiān)信息涉及公民個人維度、公共管理維度、信息傳播維度及行業(yè)領(lǐng)域維度，分類應(yīng)依據(jù)數(shù)據(jù)自身的共享開放要求，分級則應(yīng)根據(jù)用戶層級劃分。在分類分級層面加強煤礦安監(jiān)云數(shù)據(jù)的安全保障，避免出現(xiàn)數(shù)據(jù)安全問題及后續(xù)帶來的職責(zé)不清等問題[5]，這既是云平臺自身發(fā)展的客觀要求，也是滿足國家和行業(yè)監(jiān)管的需要。因工作需要，各級工作人員需經(jīng)常訪問平臺內(nèi)煤礦安監(jiān)云數(shù)據(jù)，執(zhí)行對云數(shù)據(jù)的增加、修改、刪除等行為，并基于平臺云數(shù)據(jù)開展后續(xù)監(jiān)管監(jiān)察工作，存在數(shù)據(jù)泄露、篡改的風(fēng)險，因此，需要對煤礦安監(jiān)云數(shù)據(jù)的安全訪問進(jìn)行深入研究。

目前對煤礦安監(jiān)云數(shù)據(jù)安全訪問的研究主要集中在用戶權(quán)限策略的安全存儲和訪問控制功能實現(xiàn)2個方面。劉敖迪等[6]綜述了區(qū)塊鏈在信息安全領(lǐng)域的研究進(jìn)展，提出了一種基于區(qū)塊鏈的分布式大數(shù)據(jù)訪問控制機制(Blockchain-Based Access Control Mechanism for Big Data Environment，BBAC?BD)，并驗證了該機制的有效性。史錦山等[7]總結(jié)了去中心的區(qū)塊鏈訪問控制模型和有中心的區(qū)塊鏈訪問控制模型并分析了其性能優(yōu)勢。王秀利等[8]提出了應(yīng)用區(qū)塊鏈的數(shù)據(jù)訪問控制與共享模型，利用屬性基加密對企業(yè)數(shù)據(jù)進(jìn)行訪問控制與共享，達(dá)到了細(xì)粒度訪問控制及安全共享的目的。付永貴等[9]將區(qū)塊鏈用于數(shù)據(jù)庫訪問控制，通過對訪問者身份、權(quán)限及行為的強化認(rèn)證與監(jiān)管，提高了數(shù)據(jù)庫訪問控制能力。上述基于區(qū)塊鏈的數(shù)據(jù)訪問控制研究為實現(xiàn)煤礦安監(jiān)云數(shù)據(jù)安全訪問提供了新的思路，但對于存放在云平臺上的云數(shù)據(jù)訪問控制安全性研究還不足：一方面，現(xiàn)有的訪問控制方法對業(yè)務(wù)數(shù)據(jù)在管理和使用過程中的個性化安全需求考慮不足；另一方面，缺少針對數(shù)據(jù)安全管控維度的安監(jiān)云數(shù)據(jù)分類分級策略。

針對上述問題，為滿足煤礦安監(jiān)云數(shù)據(jù)的安全保障需求，提出了一種基于區(qū)塊鏈的煤礦安監(jiān)云數(shù)據(jù)安全訪問模型。通過對煤礦安監(jiān)云數(shù)據(jù)屬性和訪問對象的分析，設(shè)計了基于用戶層級和數(shù)據(jù)屬性的訪問權(quán)限模型，符合煤礦安監(jiān)云數(shù)據(jù)在安全保障方面分類分級的需要；基于區(qū)塊鏈工作原理設(shè)計了4層架構(gòu)的訪問控制模型，實現(xiàn)了基于用戶權(quán)限的安全訪問控制，并對存儲在區(qū)塊鏈上的權(quán)限信息增加隱私保護(hù)功能，進(jìn)一步增強了煤礦安監(jiān)云數(shù)據(jù)的安全性。

1.   基于用戶層級和數(shù)據(jù)屬性的訪問權(quán)限模型

受相關(guān)制度要求，煤礦安監(jiān)云數(shù)據(jù)管控十分嚴(yán)格，訪問權(quán)限的設(shè)計應(yīng)滿足分類分級和安全性方面的需求。數(shù)據(jù)訪問者可以分為國家級、省級、市級、煤礦/個人4個層級，其中數(shù)據(jù)所有者和使用者分布在不同層級；從數(shù)據(jù)本身來看，涉及煤礦/個人的隱私信息、國家政策法規(guī)及決議決策信息等，種類繁雜且安全需求各不相同。因此，數(shù)據(jù)訪問權(quán)限不能簡單地用角色定義，也不能全部依賴規(guī)則來動態(tài)生成。本文從煤礦安監(jiān)云數(shù)據(jù)自身屬性入手，設(shè)計了基于用戶層級和數(shù)據(jù)屬性的訪問權(quán)限模型。

1.1   數(shù)據(jù)訪問屬性分析

根據(jù)實際需求對數(shù)據(jù)的訪問屬性進(jìn)行分析。首先根據(jù)數(shù)據(jù)所有者的身份及數(shù)據(jù)自身的共享和開放屬性，劃分細(xì)粒度權(quán)限；然后基于用戶層級，梳理不同用戶類別可以具備的細(xì)粒度權(quán)限；最后由不同細(xì)粒度權(quán)限集合構(gòu)成各用戶角色。其中用于權(quán)限設(shè)計的數(shù)據(jù)訪問屬性包括數(shù)據(jù)來源、數(shù)據(jù)所有者、用戶層級、數(shù)據(jù)屬性等，如圖1所示。

圖  1  數(shù)據(jù)訪問屬性

Figure  1.  Data access attribute

（1） 數(shù)據(jù)來源為煤炭行業(yè)安全監(jiān)管監(jiān)察真實數(shù)據(jù)。

（2） 數(shù)據(jù)所有者分為應(yīng)急管理部職能部門和資源提供方。應(yīng)急管理部職能部門包括辦公廳、安全監(jiān)察司、政策法規(guī)司等；資源提供方包括辦公廳、省級及以下應(yīng)急管理機構(gòu)、應(yīng)急救援機構(gòu)等。

（3） 用戶層級包括國家級、省級、市級、煤礦/個人4個等級。依照歸屬部門和數(shù)據(jù)來源的要求，各層級用戶的數(shù)據(jù)訪問權(quán)限大小各不相同。

（4） 數(shù)據(jù)屬性根據(jù)煤礦安監(jiān)云數(shù)據(jù)實際情況進(jìn)行細(xì)分，如圖2所示。

圖  2  數(shù)據(jù)屬性描述

Figure  2.  Data attribute description

根據(jù)煤礦安監(jiān)云數(shù)據(jù)在共享和開放方面的要求，結(jié)合圖2數(shù)據(jù)屬性，劃分出11種數(shù)據(jù)屬性，見表1。

表  1  煤礦安監(jiān)云數(shù)據(jù)屬性

Table  1.  Coal mine safty supervision cloud data attribute

編號	屬性描述	含義
1	不予共享、不開放	在任何條件下都不予共享且不向社會開放
2	不予共享、平臺共享、不開放	存儲在共享平臺上，任何條件下都不予共享且不向社會開放
3	有條件共享、工作參考、平臺共享、不開放、批復(fù)后可開放	在共享平臺上以工作參考條件進(jìn)行共享，一般不向社會開放，有特殊需求可在 批復(fù)后開放
4	有條件共享、工作參考、平臺共享、不開放	在共享平臺上以工作參考條件進(jìn)行共享，任何條件下都不向社會開放
5	有條件共享、平臺共享、不開放	僅允許平臺內(nèi)部共享，任何條件下都不向社會開放
6	有條件共享、平臺共享、開放	在共享平臺上有條件共享，無條件向社會開放
7	無條件共享、工作參考、平臺共享、不開放	在共享平臺上向有工作參考需求的用戶無條件共享，任何條件下都不向社會開放
8	無條件共享、工作參考、平臺共享、開放	在共享平臺上向有工作參考需求的用戶無條件共享，無條件向社會開放
9	無條件共享、平臺共享、不開放	在共享平臺上無條件共享，任何條件下都不向社會開放
10	無條件共享、平臺共享、批復(fù)后可開放	在共享平臺上無條件共享，在批復(fù)后可向社會開放
11	無條件共享、平臺共享、開放	在共享平臺上無條件共享，無條件向社會開放

1.2   數(shù)據(jù)訪問對象分析

煤礦安監(jiān)云數(shù)據(jù)包含具體字段、數(shù)據(jù)所有者及其他相關(guān)信息。由于結(jié)構(gòu)復(fù)雜，數(shù)據(jù)量龐大，不便直接進(jìn)行訪問分析，所以要先根據(jù)數(shù)據(jù)屬性對煤礦安監(jiān)云數(shù)據(jù)進(jìn)行分類分級，再研究云數(shù)據(jù)訪問過程。

本文以煤礦安監(jiān)云數(shù)據(jù)的11種數(shù)據(jù)屬性作為條件，分別篩選出每種屬性包含的數(shù)據(jù)字段名并進(jìn)行4級分類：第1級編號為001?013，共13組數(shù)據(jù)；第2級編號為001?042，共42組數(shù)據(jù)；第3級編號為001?059，共59組數(shù)據(jù)；第4級編號為001?317，共317組數(shù)據(jù)。權(quán)限管控粒度到第4級，即最小查詢單位是第4級數(shù)據(jù)，待訪問數(shù)據(jù)的查詢編號由1—4級串聯(lián)構(gòu)成。每一條數(shù)據(jù)都有唯一編號，在查詢數(shù)據(jù)時，根據(jù)編號即可準(zhǔn)確對應(yīng)到某一條或某一組數(shù)據(jù)。圖3為“數(shù)據(jù)屬性1：在任何條件下都不予共享且不向社會開放”包含的數(shù)據(jù)及數(shù)據(jù)所有者。該組數(shù)據(jù)在任何條件下都不予共享且不向社會開放，因此訪問者只能是數(shù)據(jù)所有者。例如，當(dāng)“事故調(diào)查司”用戶查詢第4級數(shù)據(jù)“行政復(fù)議申請書信息”時，云平臺根據(jù)編號004039011094訪問到一組具體數(shù)據(jù)并返回給“事故調(diào)查司”用戶；當(dāng)其查詢第3級數(shù)據(jù)“行政執(zhí)法應(yīng)訴”時，根據(jù)編號004039013即可查詢到。在煤礦安監(jiān)云數(shù)據(jù)訪問過程中，4級編號查詢法相較于文字查詢效率更高，比模糊查詢法更準(zhǔn)確，且增減數(shù)據(jù)字段時只需在當(dāng)前級別進(jìn)行添加、刪除，避免了大范圍變動。

圖  3  數(shù)據(jù)訪問對象示例

Figure  3.  Data access object example

1.3   訪問權(quán)限模型設(shè)計

訪問權(quán)限模型根據(jù)用戶層級和數(shù)據(jù)屬性劃分訪問權(quán)限，訪問權(quán)限生成規(guī)則見表2。首先根據(jù)11種數(shù)據(jù)屬性劃分細(xì)粒度權(quán)限；然后根據(jù)用戶層級梳理細(xì)粒度權(quán)限，并進(jìn)行勾選；最后結(jié)合以上2步結(jié)果構(gòu)成用戶角色。訪問權(quán)限模型的用戶角色根據(jù)用戶層級和所要訪問的數(shù)據(jù)屬性共同決定，結(jié)合角色與權(quán)限對應(yīng)及權(quán)限動態(tài)生成的設(shè)計理念，不同層級的用戶在訪問不同數(shù)據(jù)時權(quán)限不同，權(quán)限直觀且易于管理，具有動態(tài)靈活的特點，適合煤礦安監(jiān)云數(shù)據(jù)的安全訪問需要。

表  2  基于用戶層級和數(shù)據(jù)屬性的訪問權(quán)限生成規(guī)則

Table  2.  Generation rules of access authority based on user hierarchy and data attributes

數(shù)據(jù)屬性

用戶層級

訪問 屬性1

訪問 屬性2

訪問 屬性3

訪問 屬性4

訪問 屬性5

訪問 屬性6

訪問 屬性7

訪問 屬性8

訪問 屬性9

訪問 屬性10

訪問 屬性11

角色

國家級

用戶1

√

√

√

√

√

√

√

√

√

√

√

角色A

用戶2

√

√

√

√

√

角色B

省級

用戶3

√

√

√

√

√

√

角色C

用戶4

√

√

√

√

√

角色D

市級

用戶5

√

√

√

√

角色E

用戶6

√

√

√

√

角色F

煤礦/個人

用戶7

√

√

角色G

用戶8

√

角色H

2.   基于區(qū)塊鏈的煤礦安監(jiān)云數(shù)據(jù)訪問控制模型

2.1   訪問控制模型總體架構(gòu)

由于煤炭行業(yè)的特殊性及相關(guān)云數(shù)據(jù)的機密性，基于區(qū)塊鏈的煤礦安監(jiān)云數(shù)據(jù)訪問控制模型采用私有鏈結(jié)構(gòu)或煤炭行業(yè)聯(lián)盟鏈結(jié)構(gòu)，防止無關(guān)用戶或惡意用戶未經(jīng)許可注冊訪問。該模型分為數(shù)據(jù)層、職能層、合約層和應(yīng)用交互層4層區(qū)塊鏈架構(gòu)，如圖4所示。

圖  4  基于區(qū)塊鏈的煤礦安監(jiān)云數(shù)據(jù)訪問控制模型架構(gòu)

Figure  4.  Blockchain based cloud data access control model architecture for coal mine safety supervision

（1） 數(shù)據(jù)層：用于存儲區(qū)塊鏈結(jié)構(gòu)和云數(shù)據(jù)。為了保障區(qū)塊鏈運行效率和煤礦安監(jiān)云數(shù)據(jù)安全，將權(quán)限信息上鏈存儲，煤礦安監(jiān)云數(shù)據(jù)采用鏈下存儲方式，區(qū)塊鏈上僅存儲數(shù)據(jù)地址。

（2） 職能層：包括網(wǎng)絡(luò)職能和共識職能。網(wǎng)絡(luò)職能承擔(dān)區(qū)塊鏈網(wǎng)絡(luò)中節(jié)點間的信息交換工作，包括點對點通信機制、廣播機制和驗證機制。共識職能采用權(quán)益證明機制對網(wǎng)絡(luò)中節(jié)點進(jìn)行一致性檢驗，并創(chuàng)建新的區(qū)塊，以維持整個區(qū)塊鏈的正常運轉(zhuǎn)。

（3） 合約層：部署智能合約，實現(xiàn)訪問控制功能。用戶申請訪問觸發(fā)智能合約，合約自動執(zhí)行調(diào)用數(shù)據(jù)層的屬性信息，判斷用戶具有的權(quán)限和能訪問的數(shù)據(jù)，從而控制用戶的數(shù)據(jù)訪問情況。

（4） 應(yīng)用交互層：封裝了區(qū)塊鏈的應(yīng)用場景，是存儲區(qū)塊鏈和用戶之間的接口，即用戶在應(yīng)用交互層完成注冊、登錄、訪問的活動。一般權(quán)限管理功能在應(yīng)用交互層實現(xiàn)，但為了進(jìn)一步保障權(quán)限信息的安全，在數(shù)據(jù)層存儲權(quán)限信息，在合約層實現(xiàn)權(quán)限判別功能。

區(qū)塊存儲結(jié)構(gòu)如圖5所示，其中區(qū)塊頭包含版本號、前后區(qū)塊哈希、時間戳、隨機數(shù)、Merkle根等信息，用于確定區(qū)塊位置及合法性。區(qū)塊體用于存儲具體數(shù)據(jù)，在本模型中數(shù)據(jù)包括權(quán)限信息及煤礦安監(jiān)云數(shù)據(jù)地址信息。

圖  5  區(qū)塊存儲結(jié)構(gòu)

Figure  5.  Block storage structure

2.2   基于區(qū)塊鏈的權(quán)限訪問控制

權(quán)限訪問控制由區(qū)塊鏈系統(tǒng)實現(xiàn)，其安全保障的核心是權(quán)限信息的安全管理，基于區(qū)塊鏈的權(quán)限訪問控制過程如圖6所示。由于區(qū)塊鏈上所有數(shù)據(jù)（包含智能合約代碼及各種邏輯規(guī)則）公開透明，權(quán)限信息在存儲時應(yīng)注意隱私保護(hù)。當(dāng)有節(jié)點掃描全部區(qū)塊時，返回的權(quán)限信息應(yīng)是進(jìn)行加密或是匿名化處理過的密文信息。用戶申請訪問時，智能合約申請調(diào)用權(quán)限信息，進(jìn)行解密或去匿名化操作，得到明文屬性信息，并提取所需屬性集合反饋給智能合約進(jìn)行權(quán)限判別。

圖  6  基于區(qū)塊鏈的權(quán)限訪問控制過程

Figure  6.  Access authority control process based on blockchain

合約層主要依靠權(quán)限請求合約和權(quán)限判別合約2個智能合約實現(xiàn)權(quán)限請求及判別功能。

權(quán)限請求合約流程如圖7所示，步驟如下：

圖  7  權(quán)限請求合約流程

Figure  7.  Flow of authority request contract

（1） 輸入用戶訪問請求(包含用戶角色及請求訪問的數(shù)據(jù))，并對請求進(jìn)行解析。

（2） 遍歷權(quán)限存儲區(qū)塊，尋找權(quán)限屬性集合。

（3） 判斷區(qū)塊頭部Merkle根值和解析權(quán)限請求后的flag是否相等，當(dāng)二者相等時，提取對應(yīng)權(quán)限屬性集合，否則重復(fù)步驟（2）和步驟（3）。

權(quán)限判別合約流程如圖8所示，步驟如下：

圖  8  權(quán)限判別合約流程

Figure  8.  Flow of authority discrimination contract

（1） 輸入權(quán)限請求合約中獲取的權(quán)限屬性集合。

（2） 對密文進(jìn)行解密，得到明文的屬性字符串。

（3） 將明文字符串按照“用戶層級”“數(shù)據(jù)”“數(shù)據(jù)屬性”進(jìn)行分割。

（4） 按照訪問權(quán)限生成規(guī)則，通過步驟（3）得到權(quán)限結(jié)果并返回，用于授權(quán)。

2.3   權(quán)限信息安全存儲技術(shù)選擇

基于應(yīng)用背景及訪問控制模型對于權(quán)限信息的存儲需求，應(yīng)選擇具備匿名化、可逆及高實時性的技術(shù)對權(quán)限信息進(jìn)行隱私保護(hù)。目前主要有3類隱私保護(hù)技術(shù)可用于權(quán)限信息安全存儲，分別是基于對稱加密的隱私保護(hù)技術(shù)、基于數(shù)據(jù)失真的隱私保護(hù)技術(shù)、基于可逆置換算法的隱私保護(hù)技術(shù)。3種隱私保護(hù)技術(shù)針對云數(shù)據(jù)權(quán)限訪問控制在安全性、實時性2個方面的性能比較結(jié)果見表3。從表3可看出，基于對稱加密的隱私保護(hù)技術(shù)在兼顧安全性和實時性需求的同時能夠適用于區(qū)塊鏈系統(tǒng)的數(shù)據(jù)通信，因此選擇該技術(shù)實現(xiàn)權(quán)限信息安全存儲。

3.   對比分析

3.1   訪問權(quán)限模型對比分析

為驗證本文設(shè)計的基于用戶層級和數(shù)據(jù)屬性的訪問權(quán)限模型的正確性，從模型特點、優(yōu)劣勢及與安監(jiān)云數(shù)據(jù)是否適配3個方面將本文訪問權(quán)限模型與目前應(yīng)用最多的2種訪問權(quán)限模型?基于角色的訪問控制（Role-Based Access Control，RBAC）模型和基于屬性的權(quán)限驗證（Attribute-Based Access Control，ABAC）模型[10]進(jìn)行對比，結(jié)果見表4。

基于用戶層級和數(shù)據(jù)屬性的訪問權(quán)限模型具有2個方面優(yōu)勢：① 將權(quán)限管理與煤礦安監(jiān)云數(shù)據(jù)分類分級和安全需求掛鉤，便于管理和應(yīng)用。② 兼顧了基于角色和基于屬性的訪問權(quán)限模型的優(yōu)點，同時避免了權(quán)限信息占用過多存儲空間、權(quán)限變動受限及計算開銷大等帶來的不利影響。

3.2   訪問控制模型安全特性對比分析

為驗證本文依據(jù)區(qū)塊鏈自身安全性構(gòu)建的訪問控制模型的優(yōu)勢，從訪問控制的實現(xiàn)安全、權(quán)限管理及適用場景3個方面將本文訪問控制模型與目前常用的基于第三方的訪問控制模型進(jìn)行對比，結(jié)果見表5。

從訪問控制的實現(xiàn)安全方面來看，本文訪問控制模型基于區(qū)塊鏈自身安全性，安全性能夠得到保障，基于區(qū)塊鏈存儲權(quán)限信息可防止非法篡改，對于鏈上的數(shù)據(jù)采取隱私保護(hù)機制可防止非法獲取，而基于第三方的訪問控制模型安全性和可靠性較低。從權(quán)限管理方面來看，本文訪問控制模型權(quán)限信息存儲在區(qū)塊鏈上，采用隱私保護(hù)機制對權(quán)限進(jìn)行保護(hù)，通過智能合約管理權(quán)限信息，保障了訪問控制功能使用的安全；基于第三方的訪問控制模型權(quán)限管理通過數(shù)據(jù)庫完成，目前針對數(shù)據(jù)庫的攻擊層出不窮，權(quán)限信息安全難以保證。從適用場景來看，本文訪問控制模型利用區(qū)塊鏈技術(shù)可與眾多技術(shù)結(jié)合，能夠滿足更多場景下的訪問控制需求；基于第三方的訪問控制模型要根據(jù)訪問控制設(shè)計思路應(yīng)用，特點鮮明的應(yīng)用場景往往要進(jìn)行功能定制，成本較高，應(yīng)用范圍較小。

4.   結(jié)語

針對煤礦安監(jiān)云數(shù)據(jù)的訪問安全問題提出了一種基于區(qū)塊鏈的安全訪問模型，該模型包括訪問權(quán)限模型和訪問控制模型?；谟脩魧蛹壓蛿?shù)據(jù)屬性設(shè)計了訪問權(quán)限模型，根據(jù)數(shù)據(jù)安全在分類分級方面的要求，為安監(jiān)云數(shù)據(jù)劃分訪問權(quán)限，同一層級和同一數(shù)據(jù)屬性分類下的數(shù)據(jù)擁有一類權(quán)限，實現(xiàn)了分類分級的安全管控；依據(jù)區(qū)塊鏈分布式實現(xiàn)、全程透明、防篡改等優(yōu)勢構(gòu)建了訪問控制模型，實現(xiàn)了分布式訪問控制，利用智能合約保障訪問控制安全，采用加密技術(shù)增強對權(quán)限信息的安全保護(hù)。對比分析結(jié)果表明：與常用的RBAC模型和ABAC模型相比，基于用戶層級和數(shù)據(jù)屬性的訪問權(quán)限模型實現(xiàn)了對煤礦安監(jiān)云數(shù)據(jù)更細(xì)粒度的訪問權(quán)限劃分，用戶權(quán)限直觀，權(quán)限生成規(guī)則簡單；與基于第三方的訪問控制模型相比，基于區(qū)塊鏈的訪問控制模型利用智能合約進(jìn)行訪問控制，能夠增強煤礦安監(jiān)云數(shù)據(jù)的安全性，為云數(shù)據(jù)安全問題提供了新的解決思路。基于區(qū)塊鏈的安全訪問模型能夠解決煤礦安監(jiān)云數(shù)據(jù)在安全管控維度的分類分級不清晰及保密性不強等問題，提高了云數(shù)據(jù)的安全性。

來源：工礦自動化