准入系统范文（精选9篇）
准入系统 第1篇
随着科技与经济的发展,减少交通拥堵是各国政府致力解决的难题之一。智能交通能在多方面增强交通基础设施,如利用每个交叉路口的传感器接收信息并建立实时交通图,驾驶员通过此信息可以找到通往目的地的最佳路径。智能交通的智慧节点与交通灯结合,通过优化交通灯工作状态,提高道路车辆吞吐量。因智能交通需在所有交叉路口设置智能节点,如果用有线技术传输实时数据需要大规模开挖路面,铺设通信光缆以及连接交叉路口至控制室的各种设备,成本过大,因此,需在智能交通中采用无线网技术[1]。在无线网技术中任何一个节点发送数据都会竞争信道,从而影响其它节点的正常通信。为防止新的数据流消耗过多资源影响到正常通信,引入了准入控制,然而,智能交通的独特性给无线网中的准入控制带来了挑战。
挑战一:智能交通因需要覆盖整个城市,无线拓扑非常广,无线结点众多,这对于通过单纯广播方式完成准入控制代价是巨大的。假设结点传输范围R为传输范围内的结点密度,传统的准入控制规定每一结点收到路由寻找消息后,要将此消息再次转发给其传输范围内的所有节点,以此类推到经过n跳到达目标结点时会收到路由寻找信息,因此在整个路由寻找阶段,路由寻找信息将被发送n次。由此可发现,仅通过单纯广播来实现路由寻找的通信代价是巨大的;挑战二:早晚高峰时间交通状况较复杂,数据突发情况多,这时多个发送结点同时分享相同资源节点和目标节点可能性增大,不同数据流在相同结点进行准入控制以及资源预留的时间间隔变短,这时如果较低优先级的数据流通过了准入控制并产生了资源预留,高优先级的却因资源已被预留而被拒绝准入,这将对服务质量产生极大影响。
为解决上述问题,本文通过改进路由寻找阶段和路由回复阶段的准入控制,来适应智能交通系统对无线网的新要求。
2 文献综述
目前在准入控制算法中最常用的是DSR动态路由寻找,见参考文献[3-4],[6],[8-9],[11]。它采用单纯的广播方法发送路由寻找请求,但是在传输范围广的情况下传输代价很大,这显然不适合智能交通。在路由回复阶段,带宽预测有3种不同的研究:1用空闲的带宽作为评估可用带宽的标准,这个方法不支持优先级[2,3]。然而在智能交通中,通信数据拥有优先级,比如交通指示灯数据比实时视频数据重要,需要优先保证其通信[4,5,6,7];2通过估计信道的访问时间来估计可用带宽数,然而在新数据流还没到达前可用带宽的预估数是大于实际的[8,9,10,12];3根据本地通信状况如竞争窗口大小、帧大小以及网络拥塞忍耐状况确定可用带宽[11]。这个方法的好处在于它权衡了本地通信状况以及对邻居节点的影响,给出了可用带宽预估方法。但是,这几种方法都忽视了数据突发情况下资源预留对可用资源预估的影响,这种缺陷对于具有数据突发特性的智能交通来说是致命的。为解决以上问题,本文提出了FACP算法。
3 FACP算法
无线准入控制由路由寻找和路由回应两部分组成。传统的无线准入控制在路由寻找过程中都采用了DSR动态路由算法。此路由算法是:发送者广播路由寻找请求,传输范围内的所有接受者收到请求信息并检测自身是否为目标节点,不是则将地址放入路由记录并再次广播,直至到达目标节点。由于智能交通智慧节点多且覆盖范围广,仅靠广播方式寻找路由通信代价是巨大的。
传统路由在回应阶段忽视了数据突发情况下对可用带宽预估的改变因素,数据突发情况下多个发送节点几乎同时分享相同资源点和目标节点间的路径和节点可能性增大,低优先级因比高优先级早到一点点时间通过准入控制并将资源预留,然而早到时间不足以发送完低优先级数据流,此时高优先级数据流却因资源已被低优先级预留而被大大延迟,降低了服务质量。本文提出的FACP算法在路由寻找和路由回应阶段分别采用初级筛选功能和预留淘汰的准入控制方法。
3.1 路由寻找阶段
路由寻找的目标是找到发送节点与目标节点间拥有足够资源的路由提供给数据流。作为拓扑结构复杂且拓扑范围广的智能道路,需要查找更准确代价更低的路由寻找方法。FACP在路由寻找阶段通过初级准入控制完成了筛选功能,解决了传统准入控制在路由阶段的不足。初级准入控制指为了减少不必要的广播转发,淘汰不符合初级准入条件的节点,以达到准确查找节点且代价更低的目的。新数据流对网络的负载预估Unew与节点数n有关(即Unew=nRnew,Rnew是新数据流要求速率),n为该结点传输范围内满足路由路径上的结点数量,公式表示为n=Total△∩Route△。Total△表示△的传输范围内节点总数量,Route△表示△的传输范围内新数据流路由经过的节点数量。因在路由阶段路由路径还未确定,n保守地设为1,即Unew=Rnew,此时对数据流负载的初期预估比实际要小,淘汰那些连初期负载预估都满足不了的资源节点,以避免这些节点作无谓的广播,按照这种预估作为准入控制的标准称为初级准入控制。在路由寻找阶段,每个节点通过广播方式已经收集到邻居节点通信状况信息,其中包括WXi竞争窗口大小、LXi帧大小、RXi数据速率、ηr*拥塞忍耐状况等,这些数据都保存在节点的缓存中,当周围节点通信状况发生变化时才更新。当收集完邻居节点的通信后,节点根据这些信息预估出可用资源。参考文献[11]算法可以在路由寻找信息到达节点之前就完成可用资源预估发送节点广播路由寻找信息,信息包括新数据流要求速率、路由信息等,节点收到路由寻找信息后,比较可用资源预测信息是否大于新数据流负载的初期预估,满足条件则将路由地址加入路由信息并继续广播路由寻找信息,以此类推直至达到目标节点。当不能满足要求时,则直接丢弃路由寻找信息。初级准入控制通过淘汰一些节点来实现减少路由广播次数、减少数据传播代价、加快路由寻找速度的目的。
3.2 路由回复阶段
路由寻找信息到达目标节点后,标志着路由寻找阶段的结束和路由回复阶段的开始。目标节点根据先前路由寻找阶段确定的路由,发送路由回复信息,其中包含路由信息、新数据流速率、数据流的优先级等。路由结点收到信息后,开始进行准入控制。由于此阶段路由已经确定,因此此时新数据流对网络负载预估是准确的。将可用资源的预估与流量对网络负载预估进行对比,进行准入控制,使新数据流不影响到比它优先级高的数据流正常通信。
网络负载预估Unew=nRnew,n根据传输范围结点数与路由结点数取交集所得。本地可用资源预估表示在不影响邻高优先级节点通信的情况下本地可用带宽大小,后一项考虑了智能道路中突发状况下已经被高优先级预约了的带宽大小,表示与新数据流优先级相同或优先级更高的数据预留带宽总和,其中p=1为优先级最高,p=n为优先级最低。p=k为新数据流的优先级等级。这些已预留的数据带宽是经过该节点并已通过准入控制但还未发送完的高优先级数据流。在早晚高峰、道路状况复杂的情况下,此项数据会增大而大大影响到对可用资源的预估。从公式中可以看出本地可用资源预估Anew未涉及所有资源预留,会导致节点在有充足带宽的情况下也将低优先级的数据预留淘汰,因此需要进一步改进算法。
这个关于x的不等式能满足新数据流的负载预估保留的最低资源预留优先级。当最低资源预留优先级x∈[1,k],说明新数据流的加入需要淘汰优先级比自己高的资源预留才能通过准入控制,这将导致流经该节点的高优先级数据流阻塞,影响到服务质量,因此该新数据流不满足准入控制需要,该路由回复信息要丢弃。当最低预留优先级x=k时,表明新数据流的加入需要淘汰该节点预留优先级比它低的k+1至n的数据流。当x∈(k,n),说明只需淘汰x+1至n的数据流预留就能通过准入控制,不需要淘汰所有比新数据流优先级低的资源预留,达到充分利用节点资源的目的。当x∈(n,+∞),说明该节点通过准入控制并且节点有充分的带宽资源,不需要淘汰任何资源预留。资源预留淘汰机制过程如下:当确定好需要淘汰的预留资源时,节点根据这些数据流的路由信息发送节点撤销指令,并要求过一段时间之后重新进行准入控制。为保证资源预留的实时准确性,通过准入控制的新数据流,更新该节点的资源预留Uk=Uk+Unew,并继续根据路由信息进行转发直至到达发送节点,完成整个准入控制。图1为整个准入控制的工序流程。
图1 准入控制工序流程
4 模拟与分析
模拟数据如下:有100~300个结点随意分配在10×10至1 000×1 000的范围内,通信范围为300m,载波监听范围为600m,信道带宽为4mbps。本文通过以下3个方面检测FACP算法的优势与性能:1通过节点数量固定拓扑范围变化检测;2拓扑范围固定增加节点密度检测;3通过相同时刻数据流突发变化检测FACP的优势。
实验一:将FACP与传统的DSR在控制开销比率上进行对比。控制开销比例是整个准入控制中通信开销大小与数据流对网络的负载大小之比。从图2可以看出,当节点拓扑范围10×10时,控制开销几乎可以忽略。因为这时发送节点和目标节点距离很近,只需要一跳就能完成,所以此时FACP与传统DSR寻找路由的准入控制效果是一样的。然而随着拓扑范围越来越大,跳数增加导致转发次数增加最终引起的控制开销也明显增大。FACP在路由寻找过程中筛选不必要跳数的优势也就愈加明显。
实验二:考察不同节点密度下,控制信息的变化数。由图3可看出,随着节点密度的增加,控制信息转发的次数也不断增多,相较于传统DSR寻找路由,采用FACP算法的控制信息发送次数则大大减少,这是因为FACP在路由寻找过程中筛选出了不符合初级准入控制的结点,减少了控制信息发送的次数。
图2 控制开销比率对比
图3 控制信息发送次数对比
实验三:通过与MPARC[10]和CACP算法[11]进行对比,考察相同时刻数据流突发程度变化对PDR影响的程度。由图4可以看出,网络中同时产生的数据流条数为0~40时,CACP、MPARC和FACP的数据到达率都是相同的,这是因为网络未饱和时准入控制的效果未显现。而到40条数据流以后,网络开始出现一定拥塞,CACP数据到达率下降最快,这是因为CACP估算信道时对数据流优先级一视同仁,这时FACP与MPRARC数据到达率一样,因为这时数据流并未足够的多。而到60条数据流时,数据突发随之开始,FACP效果开始显现,FACP算法的数据到达率具有较好的稳定性。
图4 PDR对比
5 结语
拓扑范围广、数据突发性高是目前无线网络在智能交通应用时所面临的难题。本文通过在路由寻找阶段增加初级准入控制,致使不满足初级数据流要求的结点淘汰,以此解决拓扑范围广引起的控制开销大的问题。本文还通过路由回复阶段将资源预留淘汰功能放入准入控制中,使数据突发情况下节点的可用带宽被低优先级数据流预留的情况得以解决。实验表明,采用控制开销比率、控制信息数量和数据到达率的方式,使FACP在拓扑范围广和数据突发情况下表现优异。
摘要：无线网络传输数据因具有低成本高效率的优点,在智能交通领域得到广泛应用。然而智能交通拥有数据突发性强和拓扑范围广的特点,为无线网的准入控制带来了巨大挑战。采用FACP算法(Filtering-Aware Admission Control Protocol),在准入控制路由寻找阶段增加初级准入控制,以减少数据传输范围,并在路由回复阶段将资源预留淘汰功能放入准入控制以解决数据突发问题。与传统的DSR、CACP准入控制等算法进行对比实验,结果表明,采用FACP算法较现有的准入控制具有更大的优势。
关键词：智能交通,无线网,准入控制,路由寻找阶段,路由回复阶段
参考文献
[1]U S.Department of Transportation.ITS Overview[EB/OL].http://www.its.dot.gov/its verview.htm,2008.
[2]MICHAEL G BARRY,ANDREWT.Distributed control algorithm for service differentiation in wireless packet networks[J].IEEE INFOCOM,2001,26(10):439-502.
[3]D MALTZ.Resource management in multi-hop Ad hoc networks[J].Technical Report CMU CS 00-150,2000,623(8):123-231.
[4]AGRAWAL S,CHAPORKAR P UDWANI.All admission control for real-time applications in wireless network[J].IEEEINFOCOM,2013,45(7):330-334.
[5]AIK-TUAN LEE,GERLA M.Performance evaluation of wireless network coding in TDMA networks[J].IEEE INFROCOM,2012,9(3):1-6.
[6]BRUHADESHWAR B.A fully dynamic and self-stabilizing TDMA scheme for wireless Ad-hoc networks advanced information networking and applications(AINA)[C].24th IEEE International Conference,2010:706-812.
[7]QING JIN ZENG.A cross-layer based TDMA protocol for wireless biomedical sensor networks biomedical engineering and informatics(BMEI)[C].5th International Conference,2012:340-456.
[8]MANTHOS KZANTZIDIS,MARIO GERLA,SUNG-JU LEE.Permissible network feedback for adaptive multimedia in aodvmanets[C].IEEE Conference,2001:56-123.
[9]HONG PENG WANG.Node-to-node available bandwidth estimation in ad hoc networks computer and electrical engineering[C].International Conference,2008:701-705.
[10]CABELLOS APARICIO A.A novel available bandwidth estimation and tracking algorithm[C].IEEE International Conference2008,8(7):87-94.
[11]YALING YANG.Throughput guarantees for multi-priority traffic in Ad hoc networks[J].IEEE International Conference on Mobile Ad-hoc and Sensor Systems,2004,30(1):410-500.
准入系统 第2篇
1.全国股份转让系统是进行股票公开转让的全国性证券交易场所，公司进入该证券交易场所必须符合的条件之一是依法设立且存续满（C）年。A.四B.三C.二D.一
二、多项选择题
2.境内符合条件的股份公司可以申请在全国中小企业股份转让系统挂牌，进行（ABCD）等。
A.股权融资
B.并购重组
C.公开转让股份
D.债权融资
3.根据《全国中小企业股份转让系统业务规则（试行）》，股份有限公司申请股票在全国股份转让系统挂牌，不受股东所有制性质的限制，不限于高新技术企业，应当符合下列条件（ABCDE）。
A.依法设立且存续满两年
B.业务明确、具有持续经营能力；公司治理机制健全、合法规范经营
C.主办券商推荐并持续督导
D.股权明晰、股票发行和转让行为合法合规
E.全国股份转让系统公司要求的其他条件
三、判断题
4.在全国中小企业股份转让系统申请挂牌的公司、挂牌公司以及主办券商均为信息披露的义务人，其中主办券商是信息披露的第一责任人。（正确）正确错误
5.在全国中小企业股份转让系统申请挂牌转让的股份有限公司，是从有限责任公司按原账面净资产值折股整体变更为股份有限公司的，存续时间可以从变更为股份有限公司之日起计算。（正确）正确错误
6.根据《全国中小企业股份转让系统股票挂牌条件适用基本标准指引（试行）》，公司须经主办券商推荐，双方签署了《推荐挂牌并持续
督导协议》。（正确）正确错误
7.根据《全国中小企业股份转让系统业务规则（试行）》，挂牌公司是纳入中国证监会监管的非上市公众公司，股东人数可以超过200人。股东人数超过200的股份有限公司，直接向全国股份转让系统公司申请挂牌。（正确）正确错误
8.根据《全国中小企业股份转让系统股票挂牌条件适用基本标准指引（试行）》，在区域股权市场及其他交易市场进行权益转让的公司，申请股票在全国股份转让系统挂牌前的发行和转让等行为应合法合规。（正确）正确错误
9.根据《全国中小企业股份转让系统股票挂牌条件适用基本标准指引（试行）》，合法合规经营是指公司及其控股股东、实际控制人、董事、监事、高级管理人员须依法开展经营活动，经营行为合法、合规，不存在重大违法违规行为。（正确）正确错误
安全多播准入控制系统的研究与实现 第3篇
随着网络技术的飞速发展,Internet网络环境下由多方参与的应用正日益兴起。这些应用通常采用一对多或者多对多的传输方式,数据量大,带宽要求高。因此,多播(Multicast)技术得到了广泛的应用。多播可以节约带宽,减轻服务器和路由器的负载,具有广泛的应用领域。
1 安全多播准入控制的研究现状及发展
1.1 多播安全准入控制面临的问题
多播是Internet上一种有效的面向群组应用的通信机制。现有多播模型具有组成员关系开放性、多播源的任意性和组内信息不可区分性这三个基本特点,这些特性会带来商业化多播服务所不能容忍的一系列安全问题和隐患,包括多播组内容偷听、窃取,多播源身份冒充,拒绝服务攻击等问题。而多播组用户的不可知性和不可管理性是导致这些安全问题的根本原因,因此需要一套完善的多播组用户控制机制来管理和控制组内的通信。针对不同的安全问题,多播组用户控制机制中包含的研究领域有:多播接收者准入控制、多播源准入控制、多播组密钥管理、多播源身份鉴别和多播组指纹识别技术等。多播接收者准入控制是本文研究的重点。
1.2 基于传统IGMP协议的多播准入控制
(1)Ishikawa等人提出的方案
Ishikawa,Yamanouchi和Takahashi等提出的方案[1]采用挑战/应答协议实现子网路由器对发送者和接收者的鉴别。主要问题:①对多播子网路由器来说开销太大,需要在主机和多播路由器之间进行多次反复的挑战/应答握手。①多播系统的可伸缩性降低。
(2)Ballardie等人提出的方案
Ballardie和Crowcroft第一次指出了多播系统中IGMP存在的准入控制问题,并提出了相应的对策[2,3]。该方案要求接收者在加入多播组之前必须通过授权。该方案主要问题:①未授权用户在申请授权戳时可能存在IP地址假冒问题。②未授权用户可假冒授权戳。③授权戳内的多项内容是冗余的。
(3)Hardjono等人提出的方案
Hardjono和Cain提出的方案[4]利用已经建立的GKM协议基础设施[5],当接收者被密钥服务器鉴别完毕后,密钥服务器不仅向接收者传送组通信相关的密钥,而且同时向接收者传送Access Token(类似数字证书,由密钥服务器签名)[6]。该系统存在以下问题:①Access Token可伪造。②Token列表维护开销大。
1.3 基于角色的多播准入控制
RBAC(Role-Based Access Control)[7,8]的核心思想就是将访问权限与角色相联系,通过给用户分配合适的角色,让用户与访问权限相联系。
基于角色的多播准入控制体系结构[9]由六个基本组件构成:应用层多播软件,基于角色的准入控制系统,系统检测和日志分析,多播-RBAC服务器,数据库及成员结点。该方案有以下几个优点:①通过角色配置用户和权限,增加了灵活性。②支持多管理员的分布式管理。③支持由简到繁的层次模型,适合各种安全需要。④完全独立于其它安全手段,是策略中立的。使得该准入控制模型在不同的应用背景下都能得到应用。
1.4 基于IEEE 802.1x协议的多播准入控制
IEEE 802.1x[10]是IEEE 2001年6月通过的基于端口的准入控制协议议,IEEE 802.1x协议的系统模型包括三个重要的部分:客户端、认证系统、认证服务器。该方案优点:①802.1x协议为二层协议,设备要求低,成本低。②对多播业务的支持性好。③在二层网络上实现用户认证,具有很高的安全性。缺点:①多用户可共享一个端口存在安全隐患。②需要特定客户端软件支持,需要交换机等网络设备支持该功能。
1.5 应用层多播准入控制
该方案运行在现有网络协议上,无需对路由协议进行进行修改。它主要通过一个称为NetWrapper的管理设备对网络设备进行配置,从而达到准入控制的目的。该方案主要包括四个部分,Service portal:类似一台NAS-client。NAS(network Access Server)发送认证请求信息给Radius服务器并接收确认信息。Radius被用来存储用户认证信息、收集计费信息。Access control list用来控制允许或拒绝用户端设备接收多播信息。NetWrapper是结合了Radius认证和修改准入控制列表的一个功能实体。在该方案中NetWrapper通过Telnet连接来配置准入控制列表。
2 基于IGMP协议的安全多播准入控制
根据多播安全的实质可以分成3个部分:多播分发树安全;端到端数据安全;子网内的组成员准入控制[11]。本论文研究重点是子网内的组成员准入控制。本方案的多播准入控制系统由多播管理中心(Multicast Manager,MM)和子网路由器(Leaf Network Router,LNR)两部分组成。多播管理中心是该体系结构里的核心部分,存储已经注册的多播地址信息,定义和检查多播控制策略;子网路由器部署在各个第一跳路由器上,它负责拦截子网内的IGMP请求报文并转发给多播管理中心处理。
2.1 接收者访问控制
如图1所示,接收者准入控制的处理流程如下:
(1)子网上的用户想加入多播组接收多播信息,向LNR发送IGMPv3请求报文。请求报文被LNR上位于IP多播层与IGMP处理层之间的子网路由器控制单元截获。为了避免处理多个相同的请求报文,子网路由器控制单元存储并维护一个转发表,记录条目形式为R=>FR,这里R代表从本地网络上接收的请求报文,FR代表经过MM过滤处理后的报告(如果需要完全过滤掉R,则FR为空)。处理报文R的过程中,后续收到的相同报文都被丢弃。
(2)LNR将用户的IGMP请求报文以单偿的方式转发给MM。
(3)MM收到LNR的转发报文,检查报文内容,然后查询本地策略数据库,与多播管理员定义的策略进行匹配比较。
(4)根据策略,MM给LNR发回一个包含转发接收者请求与接收权限交集的信息FR;LNR收到MM处理后发送回来的信息FR,在转发表中构建规则R=>FR,当接收到的IGMPv3请求报文R跟转发表中的条目R=>FR相匹配,报文FR就被传送到本地的IGMP处理单元。
(5)MM给LNR发回一个决策控制信息,决定是否允许用户加入多播组,LNR收到MM返回的决策信息,对用户的IGMP请求报文作相应的处理。
2.2 发送者访问控制
如图1所示,发送者访问控制的处理流程如下:
(1)子网上的用户通过LNR向多播组发送数据流。当LNR探测到一个新的多播数据流,通信控制处理单元就把它截获。类似于前面的IGMP报文处理,数据流的主要信息(<发送者,多播组>)作为记录条目存储在LNR的转发表中。
(2)用一个被称为SEND的新的IGMPv3消息把有关数据流的信息转发给MM。本文在这里对接收者和源发送者采用相同的IGMPv3格式来处理。
(3)MM接收到转发消息,检查报文内容,然后查询本地策略数据库,与多播管理员定义的策略进行匹配比较,判断是否允许源发送者向多播组发送信息。
(4)根据策略,如果允许源发送,MM向LNR发送一个SEND的决策消息;如果拒绝源发送,MM向LNR发送一个NOSEND的决策消息。
(5)LNR收到MM处理后返回的信息,把它存储在LNR转发表的出口处。如果响应是NOSEND,那么它会触发一个过滤工具来丢弃源通信信息,或者直接修改MFIB(Multicast Forwarding Information Base,多播转发信息库)拒绝转发从这个源发来的数据包。
3 安全多播准入控制原型系统的设计实现
3.1 系统结构
本文提出的基于IGMP协议的安全多播准入控制系统的结构图2所示。它主要由两个大的单元模块组成:子网路由器IGMP报文控制单元和多播管理中心准入控制单元。
根据功能的细分,子网路由器IGMP报文控制单元又可以分为3个子模块。
(1)截包模块:主要负责拦截用户的IGMP请求报文,
(2)抓包与转发包模块:捕获IGMP请求报文,并转发给MM处理。
(3)IGMP报文处理模块:根据MM返回的决策信息,对IGMP请求做相应处理。
多播管理中心准入控制单元由后台数据库和4个子模块组成。
(1)策略数据库:存储管理员定义的策略信息。
(2)接收报文模块:负责接收LNR转发过来的IGMP请求报文。
(3)分析报文模块:检查接收到的IGMP请求报文内容,与数据库中定义的策略进行匹配,做出决策。
(4)转发报文模块:返回决策信息给LNR。
(5)策略模块:增加、修改、删除、查询策略。
3.2 系统工作流程
在一个网络上的主机,当它希望加入一个多播组时,向子网路由器(LNR)发送一个IGMP请求,LNR收到IGMP请求报文后,并没有立刻作处理,而是将报文转发给多播管理中心(MM)。
MM存储和维护一个策略数据库,当收到LNR转发过来的IGMP请求报文时,查询策略数据库,跟相应的规则进行匹配,判断申请加入多播组的主机是否合法。对于合法的主机,MM把决策结果返回给LNR,LNR收到MM的返回结果后,允许该主机加入到相应的多播组;对于非法主机,MM丢弃其IGMP请求报文,从而拒绝非法主机加入该多播组,结束多播准入控制。
3.3 子网路由器模块的实现
3.3.1 抓包与转发包模块
对于本文系统,LNR把IGMP请求报文拦截下来然后转发给MM是实现准入控制功能的一个前提,要捕获数据包,必须使用数据链梅访问技术。本文用基于BPF(BSD Packet Filter)Libpcap设计出高效的包捕获应用系统。通过调用Libpca的pcaploop()函数不断捕获IGMP请求包,一旦捕获自动调用回调函数ethernetprotocolpacketcallback()处理捕获的IGMP请求包,处理完成之后,调用pcapsendpacket()函数,把包转发给管理中心。该过程需要修改IGMP请求数据包,如表1所示。
3.3.2 截包模块
在本文系统的设计中,拦截IGMP请求数据包是该部分设计的一个难点。大部份开源的程序如Tcpdump,只能做到监听、复制数据包的一个副本,而不能彻底地把包拦截下来。如果没有把数据包彻底拦截下来导致LNR对IGMP请求报文进行正常的处理,那么MM的决策判断处理就没有意义。
经过调研和实验之后,本文采用Netfilter内核包过滤器拦截数据包[12,13,14]。在Netfilter中,协议栈每种协议都定义了若干个钩子(HOOK),如IPv6和IPv4均定义了5个钩子,而对应协议的数据包将按照一定的规则通过这些钩子,每一个钩子都是处理函数挂载点。内核模块则可以在各个钩子上注册处理函数,以操作经过对应钩子的数据包。函数处理后,根据一定的策略返回给内核进行下一步的处理。
为了使其它内核模块能够操作数据报,Netfilter为我们提供了接口 nfregisterhook(struct nfhookops *reg),函数原型在netfilter.h,定义在netfilter.c,返回值为int类型,注册成功返回零,失败则返回一个负值,参数reg为 nfhookops结构体类型指针。在内核模块初始化的时候调用这个接口来注册处理函数,而函数指针则保存在reg指针所指向的 nfhookops。
3.4 多播管理中心模块的实现
多播管理中心包括两大子系统:多播数据包处理子系统和多播策略后台管理子系统。多播数据包处理子系统包含接收报文模块、分析报文模块、转发报文模块。多播策略后台管理子系统包括添加策略模块、修改策略模块和删除策略模块。
3.4.1 接收报文模块
本模块主要是通过数据包捕获技术实现接收来自LNR数据包的功能。接收过来的数据包是LNR转发过来的主机申请加入多播组的IGMP请求报文。在本模块的开发中,本文采用Windows平台下专业的网络数据包捕获开发包WinPcap[15]来编程实现数据包的捕获功能,它具有为Win32应用程序提供访问网络底层的能力。
3.4.2 分析报文模块
本模块主要实现的功能是对接收到的数据包进行分析,并通过查询数据库的规则进行匹配,进而产生处理的结果。其中,对数据包分析工作的目的是获取请求主机的IP以及希望加入的多播组的地址,然后跟数据库的规则记录进行匹配,如果匹配是允许加入多播组的,则产生结果标志Y,否则产生结果标志N。
报文分析模块的输入数据是捕获到的IP数据包,分析出来的数据则是IP数据包中的源地址IP和多播IP。
获得从数据包中分析出来的IP地址后,通过ADO编程查询Access数据库,读取规则记录,数据库中的匹配规则是一些三元组(源地址,多播地址,规则),其中规则定义为允许或拒绝。进行查询匹配操作后,返回分析结果标志,允许加入多播组返回Y,拒绝则返回N。
3.4.3 转发报文模块
本模块主要是实现将经过分析的IGMP数据包转发给LNR的功能。当分析处理结果标志为Y时,发送一个包含有隐含源请求主机IP信息的IGMP请求数据包给LNR;若分析处理结果标志为N时,则不必转发IGMP请求数据包给LNR。
本模块的编码实现主要有两大要点:一是如何实现封装包含源请求主机地址的IGMP数据包;二是如何实现数据包的转发功能。
对于第二个问题,可以通过调用WinPcap库函数pcapsendpacket()来实现。而对于第一个问题,需要作深入的讨论。
如果是采用基于IP层的数据包封装方法,那么就需要将数据包的源IP地址变成多播管理中心(MM)的IP地址,如不做相应的处理,子网路由器(LNR)就会认为是错误包而丢弃或者对接收到的转发包误判断为MM请求加入多播组,这将是一个非常严重的问题。
基于上述缘由,本文采用了基于MAC层封装数据包的方法。因为数据包的封装是基于MAC层数据帧的封装,可以通过把源MAC地址设置为MM的MAC地址来实现。这样,LNR既不会误处理申请用户的请求,主机也能成功加入多播组。封装的整个数据包结构如表2所示:
本模块的输入数据有3个:分析结果标志(Yes/No),接收到的IGMP数据包,MM端的MAC地址,ER端的MAC地址。输出数据为:当分析结果标志为Y时,输出一个IGMP请求包;当分析结果标志为N时,丢弃IGMP请求包。
3.4.4 多播策略后台管理子系统
该模块主要实现后台管理数据库策略规则的添加、删除、修改等操作。其中数据库保存了准入控制策略的数据,以提供给数据包处理子系统进行准入控制的判断。
4 系统测试与评价
4.1 测试环境
本文在一台装有Fedora Code 6的Linux主机上安装路由软件XORP,成功搭建了支持IPv4多播的路由器。
硬件环境:一台Linux多播路由器(CPU:P4 2.8G 内存:512MB)、两台客户端PC机(CPU:C3 633MHz 内存:256MB)、一台多播管理中心(CPU:P3 733MHz 内存:256MB).
软件环境:Fedora Code 6 Linux OS、Windows XP SP2、XORP package、libpcap package、winpcap package、Microsoft Office Access 2003等。
4.2 测试试验
测试分功能测试和性能测试两部分。功能测试重点测试安全多播准入控制的接收者准入控制功能,包括:接收者能否加入多播组、子网路由器(LNR)能否正常转发接收者申请加入多播组的IGMP请求报文、多播管理中心(MM)能否根据管理策略决定接收者能否加入多播组。性能测试则测试在大数据量情况下系统性能情况。
4.3 测试结果
经过多次测试试验,多播路由功能正常,可实现接收者准入控制功能。在发包延时相同的情况下(50ms),多播管理中心处理IGMP请求的平均时间随着发包数量的增多而增加。当发包数量超过1000个时,多播管理中心处理IGMP请求的平均时间增加较为缓慢,大致趋于稳定(110ms),说明多播管理中心在负载较高时仍能保持较好的性能。
测试结果表明该系统实现了多播接收者准入控制的功能,具有较高的实际应用价值;同时,在中小规模用户数的情况下也表现出了较为出色的性能。
5 结束语
IP多播技术有广泛的应用范围,而不同的应用对于安全性有不同的需求。本文实现的基于IGMP的安全多播准入控制模型适用于中小用户规模并且对安全性要求较高的多播应用场合,如视频会议、股票交易、计费视频点播和机密数据资料分发等。
多播要做到安全实用仍然是一个比较难的问题,要想完善和丰富该领域,仍然需要做大量的工作。根据我们对本领域的研究体会,认为该系统在以下几个方面还需继续完善:
(1)多播发送者准入控制的实现。
(2)多播源认证的实现。
(3)多播统计(如计费)的实现。
(4)将现有模型从IPv4环境迁移到IPv6环境。
准入制度 第4篇
第一章 总
则
第一条 为加强农产品质量安全监督管理，维护公众健康和生命安全，根据《中华人民共和国农产品质量安全法》、《国务院关于加强食品等产品安全监督管理的特别规定》等有关法律、法规的规定，结合本省实际，制定本办法。
第二条 本市行政区域内的批发市场、农贸市场等各类市场和超市、配送中心等各类市场主体销售农产品的经营活动，应当遵守本办法。
第三条 本办法所称农产品，是指来源于农业的初级产品，即在农业活动中获得的植物、动物、微生物及其产品。
本办法所称农产品市场准入，是指按照法律、法规、规章的规定，对经认证的无公害农产品、绿色食品、有机农产品和符合国家质量安全标准要求的农产品准予销售，对未经认证或者经检测不符合国家质量安全标准的农产品禁止销售的管理制度。
第四条 县级以上人民政府统一领导、协调本行政区域内的农产品市场准入工作，建立健全农产品市场准入制度并推进其实施。
第五条 县级以上人民政府农业行政主管部门负责本行政区域内的农产品市场准入的监督管理工作。
县级以上人民政府工商、卫生、质监、商务等有关部门按照各自职责，做好农产品市场准入的相关工作。
第六条 农产品市场准入，按照统一规划，分步实施，逐步推进，不断完善的原则，分品种、分阶段、分步骤进行。在市社区内的批发市场、超市和配送中心销售的蔬菜、果品及其他农产品，实行市场准入，具体准入品种由社区的市人民政府根据当地实际规定。
第二章 包装标识与检测
第七条 按照国家和自治区规定应当包装或者附加标识的农产品，经包装或者附加标识后方可上市销售。
第八条 包装上市的农产品，应当在包装上标注或者附加标识，标明品名、产地、生产者或者销售者名称、生产日期。有分级标准或者使用添加剂的，还应当标明产品质量等级或者添加剂名称。
不能包装的农产品，应当采取附加标签、标识牌、标识带、说明书等形式标明农产品的品名、生产地、生产者或者销售者名称等内容。
第九条 销售获得无公害农产品、绿色食品、有机农产品等质量标志使用权的农产品，应当标注相应标志和发证机构。
第十条 符合下列条件之一的农产品，可以免检进入市场销售：
（一）在认证有效期内的无公害农产品、绿色食品、有机农产品，凭认证标识；
（二）经法定检测机构检验符合国家质量安全标准的同一批农产品，凭有效的合格证明；
（三）与农产品销售市场签订销售合同的无公害农产品认定产地生产的农产品，凭产地证明和销售合同；
（四）农产品批发市场送销的农产品，凭市场主办单位出具的产地证明和检测报告；
（五）其他符合质量安全标准的农产品，凭县级农业行政主管部门或者乡镇政府、村委会、农民专业合作经济组织等出具的产地证明和检测报告；
第十一条 批发市场、农贸市场、超市、配送中心应当设立或者委托农产品质量安全检测机构，对进入市场销售的农产品质量安全状况进行抽查检测并公示检测结果，发现不符合国家质量安全标准的农产品，不得允许进入该市场销售，也不得转销其他市场或者其他经营者，并依法向农业行政主管部门报告。农产品检测证书、检测结果在经营场所的显著位置公示。
第十二条 批发市场和农贸市场的销售者、超市、配送中心必须建立农产品进货检查验收制度，审验供货商的经营资格，验明产品的合格证明和产品标识，并建立进货台账和销售台账，如实记录产品品种、规格、数量、流向等内容。进货台账和销售台账保存期限不得少于两年。销售者应当向供货商按产品生产批次，索要符合法定条件的检验机构出具的检验报告或者由供货商签字或者盖章的检验报告复印件；不能提供检验报告或者检验报告复印件的农产品或者经查验不符合农产品质量安全标准的农产品，不得销售。
第十三条 饭店、餐馆和学校食堂、幼儿园食堂、机关食堂、送餐中心等集体配餐、用餐单位应当建立并执行进货检查验收制度，建立健全索票索证制度，不得采购检测不合格或者来路不明的农产品。
第十四条 农产品生产企业应当对其生产的农产品的质量负责，发现其生产的农产品存在安全隐患，可能对人体健康或者生命安全造成损害的，应当向社会公布有关信息，通知销售者停止销售，告知消费者停止使用，主动召回农产品，并向农业行政主管部门报告。
销售者发现其销售的农产品存在安全隐患，可能对人体健康和生命安全造成损害的，应当立即停止销售该农产品，通知生产企业或者供货商，向工商行政管理部门报告，并及时采取退回供货商或者销毁、无害化处理等有效措施。
第三章 保障体系建设
第十五条 县级以上人民政府农业行政主管部门应当根据本地实际，不断完善农产品质量安全检验检测体系、农产品质量安全监管体系，健全各项管理制度。
第十六条 批发市场、农贸市场等各类市场和超市、配送中心等各类市场主体应当建立健全农产品进货检查验收、质量抽检、问题农产品主动召回、不合格农产品清退、保存购销台账和质量追溯等制度，配备农产品质量安全监督员。
县级以上人民政府农业、工商等监督管理部门应当加强对农产品质量安全监督管理人员的业务培训。
第十七条 农产品生产企业、农民专业合作经济组织应当建立农产品生产档案，完整记录农业投入品使用、病虫害防治等情况。
第十八条 鼓励农产品生产企业、农民专业合作经济组织制定、实施严格的企业内控标准，开展农产品产地认定和农产品质量认证工作，生产高标准的优质农产品。
第四章 监督检查
第十九条 县级以上人民政府农业行政主管部门应当对实行市场准入的农产品进行质量安全监督抽查。省人民政府农业行政主管部门应当及时发布监督抽查结果。
第二十条 县级以上人民政府农业行政主管部门在农产品质量安全监督检查中，可以对生产、销售的农产品进行现场检查，调查了解农产品质量安全的有关情况，查阅、复制与农产品质量安全有关的记录和其他资料；对经检测不符合质量安全标准的农产品，依法查封、扣押，监督进行无害化处理或者集中销毁。
第二十一条 县级以上人民政府农业、工商等监督管理部门在监督检查或者市场抽查检测中发现不符合质量安全标准的农产品时，应当及时查明责任人，依法予以处理或者提出处理建议。
第五章 法律责任
第二十二条 县级以上人民政府农业、工商等有关监督管理部门及其工作人员不依法履行监督职责，或者玩忽职守、滥用职权、徇私舞弊的，依法给予行政处分；构成犯罪的，依法追究刑事责任。
第二十三条 违反本办法第七条、第八条、第九条规定，销售的农产品未按照规定包装或者未附加标识的，由县级以上人民政府农业行政主管部门责令限期改正；逾期不改正的，可以处二千元以下罚款。
第二十四条 违反本办法第十一条规定，批发市场、农贸市场、超市、配送中心未按规定进行抽查检测和公示检测结果的，由县级以上人民政府农业行政主管部门责令改正；逾期不改正的，可以处二千元以上二万元以下罚款。
第二十五条 违反本办法第十三条规定，采购检测不合格或者来路不明的农产品的，由县级以上人民政府卫生行政主管部门责令限期改正；逾期不改正的，可以处二千元以下罚款。
第二十六条 违反本办法第十四条规定的，由县级以上人民政府农业、工商、卫生、质监、商务等监督管理部门依据各自职责，责令生产企业召回产品，销售者停止销售，对生产企业并处货值金额三倍的罚款，对销售者并处一千元以上五万元以下罚款；造成严重后果的，由原发证部门吊销许可证照。
第二十七条 违反本办法第十六条第一款规定的，由县级以上人民政府农业或者工商行政管理部门责令限期改正；逾期不改正的，可以处五百元以上一万元以下罚款。
准入系统 第5篇
对于支持802.1x[1]的交换机而言,其端口分为两种:受控端口、非受控端口。受控端口通常认为是业务流端口;而非受控端口则认为是认证流端口。802.1x的准入控制技术主要是通过业务和认证的分离来达到准入控制的目的。在用户未通过认证之前,交换机只开放认证流端口,只进行接入点的身份信息认证。如果接入点通过身份认证,则对其开放业务流端口,使接入点真正感觉到接入到网络当中。反之,业务流端口不对接入点开放,这样就无法接入到网络。这样做的目的很明显,业务流是条件式开放的,而且认证流和业务流是分离开来的,各司其职。
802.1x协议为二层协议[2](OSI模型的L2),不需要达到三层,所以对于网络现有设备的总体性能要求并不高,具有比较好的兼容性;同时在组网时可以有效降低企业成本,不需要更新或者替换原有的设备。另外在网络部署上相对比较容易,不受其他因素的制约,作为IEEE的准入控制标准,大多数的网络产品都是支持802.1x的,而且802.1x采用业务流和认证流分离的技术,在认证手段上采用EAPOL协议。而EAPOL协议具有一定的扩展性和适应性,不但可以实现对传统AAA认证系统的兼容,同时可以根据实际的需要选择认证的算法。
综合IEEE802.1x的技术特点,其具有的优势可以总结为以下几点:
(1)高适应性:由于802.1x为二层协议,对于多数网络是可以采用的主流准入控制技术,而诸如DHCP等准入控制技术会受到网络设备等因素的制约。
(2)易于部署:可以在L3[3](三层)、L2(二层)上实现,结合EAPOL协议可以保留原有的AAA认证服务器架构。
(3)安全可靠:由于采用业务流和数据流分离技术,并且通过EAPOL协议进行身份认证,802.1x是比较安全的。
(4)行业标准:IEEE标准,不仅在硬件上得到多数厂商的支持(如思科华为等),操作系统方面,windows xp就有内置的802.1x认证的模块,linux也支持802.1x协议。
(5)跨平台性:由于控制流和业务流完全分离,采用不同的操作系统是可以实现不同的模块功能的。这样在设计方面更为灵活多变。
对于一个采用802.1x技术的准入控制系统而言,其总体架构如图1所示。
802.1x认证流程[5]为:
(1)客户端请求802.1x信息认证。
(2)交换机通过认证信息,然后认证服务器对信息进行认证。成功,则转入步骤(3);失败则转入步骤(1)。
(3)判断接入点的策略是否匹配,主要检查杀毒软件、系统补丁等安全信息。成功则转入步骤(4);失败则转入步骤(5)。
(4)策略匹配也符合要求则能接入到受保护网络。
(5)策略匹配不符合要求,首先需要修复资源,其次转入步骤(1)。
2 系统总体设计
基于802.1x的准入控制系统总体采用C/S[5]架构,各个模块相关独立。客户端以认证为主,管理端以控制为主。具体架构如图2所示。
管理员平台是整个系统的核心之所在,其中策略的配置,系统的配置和应用都是在这里进行的。
客户端主要是加载探针程序来完成到管理员平台的通信,通过802.1x认证来完成网络的接入。
行为控制模块:主要有移动磁盘控制、拨号连接控制、内外网切换、文件共享控制、输入输出设备控制、非法外联控制、打印控制、光驱控制等功能。
实时监控模块:主要有屏幕监控、进程监控、网络连接监控、网页访问监控、桌面应用监控等子模块。
终端控制模块:负责消息发送、系统重启、桌面锁定等。
系统加固模块:包括增强操作系统认证、安全工作区、自解密文档等。
3 系统部分模块设计
3.1 802.1x的准入控制模块的设计
基于以下原因,本系统采用动态密码的方式进行认证,而没有采用常规的认证方式:
(1)系统另外具有手机告警、令牌等功能,动态密码和手机短信模式以及令牌技术比较容易结合。
(2)除了MD5认证模式之外,其他的认证技术的成本相对都比较高,认证技术过于复杂,实现和部署难度较大,缺乏对于其他模块的耦合性。
动态密码又称一次性密码[6],根据参数分为以下几种类别:
(1)挑战/应答式。实现机制是当终端需要输入密码时,可以向服务器端发送一个申请,然后服务器发送一个随机生产的密码给终端,这种机制基于双方完全处于可信通信状态中,同时对于线路的畅通性要求比较高。一旦线路发生堵塞或者障碍,发送给客户端的密码不够及时,就不能及时生效。同时由于无线通信存在的问题,容易被第三方截获。手机PDA基本是采用这种机制,因为客户并不是每时每刻都需要密码,这样能缓解服务器的压力,服务器只是在客户需要时提供这样的服务。
(2)基于时间同步。这种实现机制的主要原理是服务器端和客户端都在运行一段预先设定生成动态密码的程序。客户端和服务器端需要同步,服务器必须在每个动态密码生成周期做来自所有的客户端的动态密码的计算。在该机制下服务器和客户端不存在通信,智能卡除非丢失,否则不会被第三方截获。同时使用起来不易受到其他因素的干扰。
(3)事件同步。这种方式以挑战/应答式为基础,将单向的前后相关序列作为系统的挑战系统,以节省用户输入挑战信息的麻烦。但当用户的挑战序列与服务器发生偏差后,需要重新同步。
在实际的计算机应用中,动态密码的产生往往取决于srand()[6,7]函数中的参数,即随机数种子。采用什么样的方式生成随机数种子是关键,为简单起见,本系统通过平方剩余的方法来产生随机数种子。此时,各个组件相应功能如下:
客户端:将用户的认证信息发送至认证中心,从而引起动态密码挑战式请求。
认证中心:主要是负责各个组件的通信,将需要进行认证的随机位以及对应的随机位密码发送给客户端以及认证服务器,完整动态密码发送给数据库服务器。
动态密码生成器:主要是响应客户端的动态密码请求,生成相应的动态密码。
数据库服务器:用于存储动态密码生成器生成的具有时效性的完整的动态密码,同时也存储用户的相关信息,便于认证服务器完成认证。
认证服务器:用于接收动态密码生成器产生的动态密码,同时完成对用户身份的认证。
对于一个完全采用动态密码的802.1x的认证流程过程如图3所示。
(1)首先用户请求802.1x准入请求,发出动态密码挑战,此时用户还没有密码。
(2)相应动态密码挑战,作出应答。生成相应的动态密码然后通过手机短信、令牌等方式发送给需要请求的用户。
(3)对于短信接收到的动态密码是有时限的(一般称之为周期,如1分钟),如果在周期内输入动态密码转入步骤(4),不在周期内输入转入步骤(1)。由于实际认证所花费的时间非常快,这里忽略认证所花费的时间。
(4)输入动态密码请求认证。
(5)AAA服务器完成信息的认证,成功则转入步骤(6);否则转入步骤(1)。
(6)802.1x请求完成认证,交换机开发业务流端口。计算机终端接入到网络。
3.2 增强操作系统身份认证模块设计
增强操作系统身份认证模块针对传统的操作系统身份认证不安全性而设计。对于一个XP系统而言,破解系统的登录密码相对来说比较容易,只要足够的耐心就能完成密码的破解。例如,Windows XP的密码存放在系统所在的 window/system32/config/下SAM文件中,SAM文件即账号密码数据库文件。当登录系统的时候,系统会自动地和Config中的SAM自动校对,如发现此次密码和用户名与SAM文件中的加密数据符合,就会顺利登录;如果错误则无法登录。既然如此:采用删除SAM文件或尝试其他的办法,是能够达到破解密码目的的。
增强操作系统认证在用户登录主机操作系统时,需要令牌(Key)进行验证。这样可以有效地防止在非本人或者非本人允许的情况下登录主机,管理员在策略配置中选择增强操作系统认证插件,就可以进行配置。使用该策略的每个客户端有自己唯一的令牌,在管理员端主机插入令牌(Key),通过管理员平台的“分发令牌”功能,将令牌绑定到用户,在安装探针时设定口令。用户登录主机如果想登录操作系统,除了需要系统本身的密码,需要在USB口插入令牌(硬件)以及输入自己设置的令牌口令才能登录,多了两重保护,加强了操作系统的安全性。
3.3 网络与共享模块的设计
在实际的网络环境中网络与共享往往会带来一定的风险,甚至可以让黑客抓住入侵机会。例如ipc$入侵就是利用NT操作系统存在ipc$共享管道的形式传送木马从而控制住主机的。另外随着3G时代的发展,网络终端连接外网的形式变得更为复杂多变,通过3G手机上网或者WiFi上网往往缺乏足够的控制手段,对此一方面需要在管理层面加以限制,另一方面对于这样的形式加以监控和限制,该模块的配置如图4所示。
管理员在策略配置中选择拨号连接控制插件。启用该选项,填入适当的控制轮询间隔时间(心跳时间,表示询问的周期),能够禁止用户的拨号上网(主要是针对3G上网以及WiFi上网)行为。在行为控制的策略配置中增添了违规处理方式的选项,勾选之后,当应用该策略的用户有违规操作时,则执行相应的违规处理方式:其中包括:
(1)日志和告警:用户有违规操作时,向管理员GUI发送告警信息并在数据库中记录违规日志,以便日后查看,这也是一种取证的方式。
(2)锁屏:用户有违规操作时,锁定计算机屏幕。解锁该计算机需要发功认证码给管理端生成解锁码,根据解锁码完成解锁该计算机。或者直接重启可以完成自行解锁。此手段主要是防止“非法”操作的持续性。
(3)解锁口令错误超过5次重启计算机。
启用插件之后,进行拨号上网会被阻断。意味着该计算机无法使用其他形式的拨号上网形式。
共享的行为控制和拨号差不多,在此简单地略过,因为对于气象局而言具备专用的ftp服务器对于网络共享使用的相对较少。
4 系统实验与分析
测试硬件平台分别为P7350、P45+IH10T6600和p45+IH10。测试结果如表1所示。由表1可见,该系统在Windows xp和Windows vista环境下能够成功运行。
实验中,相对于动态密码周期而言,挑战应答式的动态密码延时时间比为7.83%,对于身份认证占用的时间比为38.33%,在实际的应用中完全满足身份认证的可靠性需要。
5 结束语
之所以提出基于802.1x的准入控制解决方案,是因为现有的设备对于802.1x的兼容性较好,另外一方面802.1x具有最强的端口认证特点。本文分析了基于802.1x准入控制技术的优势,讨论了其认证流程,给出了基于802.1x的准入控制系统总体架构,较详细阐述了部分模块的设计。实验表明,本文设计的基于802.1x的准入控制系统完全满足身份认证等准入控制需要。
参考文献
[1]IEEE Std 802.1X-2001[S].IEEE standard for Local and metropoli-tan area network-Port-Based Network Access Control.IEEE-2001.
[2]Rigney C,Willens S,Rubens A,et al.IETF RFC2865,Remote Au-thentication Dial In User Service(RADIUS)[Z].June.IETF,2000.
[3]蔡昭权.二层交换机的攻击分析与防范技术的研究[J].网络安全技术与应用,2005(7):31-33.
[4]Kuang-Hui Chi,Ji-Han Jiang,Li-Hsing Yen.Cost-EffectiveCaching for Mobility Support in IEEE802.1X Framework[J].Mo-bile Computing,2006,5(11):1547-1560.
[5]凤琦,王震宇,李向东,等.基于802.1X的可信网络连接技术[J].计算机工程,2009,35(5).
[6]KT Ng,WN Chau,YM Siu.An internet security system for E-Com-merce[J].IEEE Computer,2002,6(2):2268-2472.
准入系统 第6篇
802.1X协议起源于802.11协议, 后者是标准的无线局域网协议。802.1X协议的主要目的是为了解决无线局域网用户接入认证问题, 但由于它的原理对于所有符合IEEE 802标准的局域网具有普适性, 因此后来他在有线局域网中也得到了广泛的应用。
802.1x协议是一种基于端口的网络接入控制协议。“基于端口的网络接入控制”是指在局域网接入控制设备的端口这一级对所接入的设备进行认证和控制。连接在端口上的用户设备如果能通过认证, 就可以访问局域网中的资源;如果不能通过认证, 则无法访问局域网中的资源——相当于连接被物理断开。
802.1X认证过程
802.1X的认证体系分为三部分结构:Supplicant System客户端、Authenticator System, 认证系统、Authentication Server System认证服务器。
1.当用户有上网需求时打开802.1x客户端, 输入已经申请、登记过的用户名和口令, 发起连接请求。此时, 客户端程序将发出请求认证的报文给交换机, 开始启动一次认证过程。2.交换机收到请求认证的数据帧后, 将发出一个请求帧要求用户的客户端程序发送输入的用户名。3.客户端程序响应交换机发出的请求, 将用户名信息通过数据帧送给交换机。交换机将客户端送上来的数据帧经过封包处理后送给RADIUS服务器进行处理。4.RADIUS服务器收到交换机转发的用户名信息后, 将该信息与数据库中的用户名表相比对, 找到该用户名对应的口令信息, 用随机生成的一个加密字对它进行加密处理, 同时也将此加密字通过RADIUS Access-Challenge报文传送给交换机, 由交换机传给客户端程序。5.客户端程序收到由交换机传来的加密字后, 用该加密字对口令部分进行加密处理, 并通过交换机传给RADIUS服务器。6.RADIUS服务器将加密后的口令信息和自己经过加密运算后的口令信息进行对比, 如果相同, 则认为该用户为合法用户, 反馈认证通过的消息。交换机将端口状态改为授权状态, 允许用户通过该端口访问网络。如果用户名和口令不正确, 则将该端口状态改为非授权状态, 将将该端口跳转到guest-vlan.7.客户端也可以发送EAPo L-Logoff报文给交换机, 主动终止已认证状态, 交换机将端口状态从授权状态改变成未授权状态。
802.1X认证技术优点
1、实时认证:终端计算机每登陆一次网络, 均需要经过交换机、radius服务器的认证。
2、精确控制:精确实现对终端计算机的认证控制, 任何未经认证的计算机无法进入工作区网络。
3、强制安装:确保网络中每台计算机强制安装安全客户端程序进行安全管理。
4、真正意义上的准入控制:802.1x协议认证流程经过网络交换设备、认证服务器系统、终端安全系统三个层次的验证, 外来设备或入侵计算机在没有安装认证客户端程序, 不知道认证密码口令情况下无法接入网络。
802.1X准入控制技术的实际应用
1.功能概述
为解决桌面终端管理存在的问题, 有效防护计算机终端安全。新疆电力公司结合自身网络体系结构, 部署实施了基于802.1X准入控的桌面管控系统。通过该系统可有效保护整个企业内部网络, 包括可管理的 (企业台式机、手提电脑、服务器) 以及不可管理的 (外部访客、合作伙伴、客户) 终端等。能够强制提升网络终端安全的防护能力, 有效保护企业内部数据的安全性。其特点主要有以下几方面:
(1) 网络准入身份认证
支持802.1X协议接入认证:通过对支持此协议的交换机进行管理, 配合RADIUS服务器和认证客户端, 利用交换LAN架构的物理特性, 实现LAN端口的设备认证。
系统认证方式支持单用户、多用户、域用户等认证模式, 保证终端设备必须安装认证客户端才能接入网络。
绑定认证控制:支持交换机端口同计算机MAC/IP绑定功能。
(2) 完整性安全检查
支持操作系统 (操作系统、IE、应用程序、反病毒升级库等) 补丁完整性检测。
支持防病毒软件/主机防火墙 (业界主流厂家) 的安全检测, 并能进行新软件动态增加, 必要时可以远程开关/管理主机安全软件。
支持自定义安全项检测 (如进程、服务、软件、文件等) 。
支持安全状态检测 (如口令强度、权限、注册表安全等) 。
支持多种安检失败处理方式, 如直接进入正常工作区, 或者进入正常工作区后间隔提示用户安全失败。支持当安检失败时直接进入修复VLAN, 或者安全失败后隔离出网络。
支持自定义周期完整性安全检查, 确保工作区域终端的实时安全性。
(3) 安全修复
VLAN隔离修复:系统对于未通过安全检查的终端, 自动将其隔离到修复VLAN, 进行安全修复, 修复过程中只能与特定服务器通讯, 访问资源受限。
当终端安全检查未通过时, 管理员可以自定义URL, 强制终端计算机进行安全修复。
体系结构
1.策略服务器:系统策略管理中心, 提供系统的参数配置和安全策略管理, 安全策略管理包括802.1x协议接入认证、安全检查策略定义的配置、策略制订分发、网络分组、认证客户端配置、数据报表输出等任务。
2.认证客户端:安装在终端计算机, 根据用户名和密码向认证服务器发起认证, Agent内置主机安全策略中心, 能够根据策略服务器分发的安全策略对终端主机进行安全检查, 依据获取的主机的安全状态, 配合交换机认证系统, 实现工作区、隔离区、修复区的自动切换。
3.Radius认证服务器:用于接收客户端认证请求信息数据包并进行验证, 根据网络环境可使用微软的IAS, CISCO ACS或LINUX FREE RADIUS等系统。
4.Radius认证系统 (交换机) :支持802.1x的网络设备 (交换机) , 由该认证系统接收认证客户端的认证请求数据包与Radius认证服务器完成认证过程。
系统部署方式
分别划分出访客VLAN、工作VLAN、隔离VLAN三个区域, 在访客VLAN安装强制网关服务器, 实现对终端的强制重定向注册。强制网关服务器工作原理是基于DNS/HTTP/ARP重定向等技术, 实现对终端访问的URL访问地址定向。DNS重定向:抓取网络内计算机的DNS请求包, 并判断是否注册客户端。如果注册则不进行重定向, 否则将对该请求包的源地址返回DNS包进行重定向, 让未注册的计算机只能访问指定的DNS地址进行注册。
对于未安装认证客户端的访客计算机, 系统自动将其划归到访客VLAN, 当终端通过DNS/HTTP/ARP方式访问网络时, 将被自动重定向至客户端安装页面进行强制安装。
将Autogate服务器架设在GUEST VLAN内, 对VLAN内的未注册计算机进行DNS和ARP重定向。计算机注册好后会执行策略通过认证。
用户无论从VPN或者HUB、无线方式接入网络, 未安装客户端的终端, 通过DNS/HTTP/ARP方式, 始终能够被重定向至客户端程序安装页面进行强制安装, 客户端程序安装支持密码认证安装。
系统支持802.1X离线策略, 当用户计算机带出网络时, 可以主动关闭802.1X认证功能。
再生铅行业准入条件 第7篇
一、项目建设条件和企业生产布局
(一) 新建或者改、扩建再生铅项目必须符合国家产业政策和规划要求, 符合本地区城乡建设规划、生态环境规划、土壤环境保护规划、土地利用总体规划和主体功能区规划等要求。各省 (自治区、直辖市) 根据资源、能源状况和市场需求情况, 要依据产业布局和国家相关规划严格审批再生铅项目, 抑制盲目扩张。
(二) 在国家法律、法规、规章及规划确定或县级以上人民政府批准的自然保护区、生态功能保护区、风景名胜区、饮用水水源保护区等需要特殊保护的地区, 大中城市及其近郊, 居民集中区、疗养地、医院, 以及食品、药品等对环境条件要求高的企业周边1公里内, 在《重金属污染综合防治“十二五”规划》划定的重点区域和因铅污染导致环境质量不能稳定达标区域内不得新建再生铅项目。已在上述区域内生产运营的再生铅企业要根据该区域有关规划, 依法通过搬迁、转停产等方式逐步退出。
(三) 再生铅企业厂址选择应符合本地区大气污染防治、水资源保护、自然生态保护的要求。
二、生产规模、工艺和装备
(一) 新建再生铅项目必须在5万吨/年以上 (单系列生产能力, 下同) 。淘汰1万吨/年以下再生铅生产能力, 以及坩埚熔炼、直接燃煤的反射炉等工艺及设备。鼓励企业实施5万吨/年以上改扩建再生铅项目, 到2013年底以前淘汰3万吨/年以下的再生铅生产能力。
(二) 再生铅企业必须整只回收废铅蓄电池, 执行《危险废物贮存污染控制标准》 (GB18597) 中的有关要求, 禁止对废铅蓄电池进行人工破碎和露天环境下破碎作业, 严禁直接排放铅蓄电池破碎产生的废酸液。企业应采用机械化破碎分选处置废铅蓄电池的工艺、技术和设备, 预处理过程中采用水力分选的, 必须做到水闭路循环使用不外泄。对分选出的铅膏必须进行脱硫预处理或送硫化铅精矿冶炼厂合并处理, 脱硫母液必须进行处理并回收副产品。
(三) 再生铅企业不得直接熔炼带壳废铅蓄电池, 不得利用坩埚炉熔炼再生铅, 应采用密闭熔炼、低温连续熔炼、新型节能环保熔炼炉等先进工艺及设备, 并在负压条件下生产, 防止废气逸出。同时应具备完整的废水、废气净化设施、报警系统和应急处理等装置。企业应严格执行《废铅酸蓄电池处理污染控制技术规范》 (HJ 519) , 确保废水、废气等排放符合国家相关环保标准。
三、能源消耗及资源综合利用
(一) 利用原生矿合并处理含铅废料的企业能源消耗及资源综合利用指标, 应参照《铅锌行业准入条件》 (2007年第13号公告) 有关要求执行。
(二) 单独处理含铅废料的新建、改建、扩建再生铅项目综合能耗应低于130千克标准煤/吨铅, 铅的总回收率大于98%, 废水实现全部循环利用。
(三) 现有再生铅企业综合能耗应低于185千克标准煤/吨铅, 铅的总回收率大于96%, 冶炼弃渣中铅含量小于2%, 废水循环利用率应大于98%。现有再生铅企业综合能耗指标应在2013年底前达到新建项目标准。
四、环境保护
(一) 新建和改扩建项目应严格执行《环境影响评价法》, 未通过环境影响评价审批的项目一律不准开工建设。按照环境保护“三同时”的要求, 建设项目配套环境保护设施并依法申请项目竣工环境保护验收, 验收合格后方可投入生产运行。现有企业应按照《清洁生产促进法》定期开展强制性清洁生产审核, 并通过评估验收, 两次审核的时间间隔不得超过两年, 位于《重金属污染综合防治“十二五”规划》中重点区域的重点企业及环境风险较大的再生铅企业应当购买环境污染责任保险。现有熔炼设施的生产过程中, 应采取有效措施去除原料中含氯物质及切削油等有机物。鼓励企业封闭化生产。
(二) 从事涉铅危险废物收集、贮存、利用和处置废铅蓄电池的经营单位应按照《危险废物经营许可证管理办法》的有关规定向省级环保部门申请领取危险废物经营许可证, 并符合《废铅酸蓄电池处理污染控制技术规范》 (HJ 519) 的相关要求。禁止无经营许可证或者不按照经营许可证规定从事废铅蓄电池收集、贮存、利用和处置的经营活动。废铅蓄电池外壳应经过彻底清洗后, 满足环保标准《废塑料回收与再生利用污染控制技术规范》 (HJ/T364) 的要求后方可再生使用。
(三) 再生铅企业要制定完善的环保规章制度和重金属环境污染应急预案, 具备相应的应急设施和装备, 定期开展环境应急培训和演练。生产废水、废气排放符合国家规定的环保标准要求, 工人洗衣、洗浴、车间冲洗废水等应单独收集处理。再生铅企业生产的废渣、燃煤炉渣等必须进行无害化处理。要规范物料堆放场、废渣场、排污口的管理, 新建、改扩建再生铅项目要同步建设配套在线监测设施并与当地环保部门联网, 现有再生铅企业应在2013年底前完成。再生铅企业必须具有完善的自行监测能力, 要建立自行监测制度, 按照要求制定方案, 对所有排放的污染物定期开展监测, 特别是要建立铅污染物的日监测制度, 每日向公众发布自行监测结果, 每月向当地环境保护行政主管部门报告。排放二恶英的企业和单位应至少每年开展一次二恶英排放监测, 并将数据上报地方环保部门备案。
(四) 废气中铅尘应采用自动清灰的布袋除尘技术、静电除尘技术、湿法除尘技术等进行处理, 生产车间必须有良好的排风系统, 应建有通风除尘系统对车间内含铅烟气进行收集处理, 鼓励企业将收尘灰返回熔炼系统处理。废水、废气等排放要符合国家规定的环保标准要求。再生铅企业产生的废弃渣, 废水处理系统产生的泥渣, 除尘系统净化回收的含铅烟尘 (灰) , 防尘系统中废弃的吸附材料、燃煤炉渣等必须进行无害化处理。鼓励企业将沉淀泥进行无害化处理。对于没有处置能力的再生铅企业, 要求其产生的废渣及污泥等危险废物必须委托持有危险废物经营许可证的单位进行安全处置, 严格执行危险废物转移联单制度。含铅量大于2%的水处理泥渣、铅烟尘 (灰) 必须要经过二次处理。生产过程中的废弃劳动保护用品应按照危险废物进行管理。
(五) 厂界噪声符合《工业企业厂界环境噪声排放标准》 (GB12348) 。
五、安全、卫生与职业病防治
(一) 新建、改建、扩建项目安全设施和职业危害防治设施必须与主体工程同时设计、同时施工、同时投入生产和使用;企业应当遵守《安全生产法》、《职业病防治法》等法律法规, 执行保障安全生产的国家标准或行业标准。再生铅企业的作业环境必须满足《工业企业设计卫生标准》 (GBZ1) 和《工作场所有害因素职业接触限值》 (GBZ2.1) 的要求。
(二) 企业应当有健全的安全生产和职业卫生组织管理体系, 建立完善职业病危害检测与评价、职业健康监护、职业病危害警示与告知、培训、检查等职业卫生管理制度。
(三) 企业应当有职业病危害防治措施, 对重大危险源有检测、评估、监控措施和应急预案, 并配备必要的器材和设备。铅冶炼作业场所达到国家卫生标准。
(四) 对再生铅企业关键生产环节推行岗位技能培训, 实行持证上岗制度, 主要包括废酸水处理、含铅废弃物处理、废弃物清除、空气污染防治、职业灾害急救、铅作业技术等关键岗位。要求2013年底前, 再生铅企业关键岗位技术人员经过培训并取得人力资源和社会保障部颁发的相关工种职业技能鉴定等级证书资质的比例不低于企业总人数的10%。
(五) 企业用工制度要符合《劳动合同法》规定。
六、监督与管理
(一) 工业和信息化部、环境保护部按照本准入条件, 组织对再生铅生产企业进行核查。未列入环境保护部环保核查公告名单的企业, 不予通过准入条件审查。对符合准入条件的生产企业以联合公告的形式定期向社会发布。
(二) 对不符合规划布局、生产规模、工艺装备、资源利用、环境保护、安全卫生等要求的再生铅项目, 有关部门不予核准或备案, 国土资源管理、环境保护、质检、安监等部门不得办理有关手续, 金融机构不得提供贷款和其它形式的授信支持。
(三) 各省 (自治区、直辖市) 工业主管部门负责对本地再生铅生产企业执行准入条件情况进行监督检查。有关行业协会等中介机构要协助做好本准入条件的实施工作, 加强行业协调和自律管理。
七、附则
(一) 再生铅是指以含铅废料为原料, 主要是废铅蓄电池金属态铅废料等经过冶炼加工工艺而生产出再生铅产品的生产经营活动。再生铅行业包括废铅蓄电池等含铅废料的回收利用。
(二) 本准入条件适用于中华人民共和国境内 (台湾、香港、澳门地区除外) 所有类型的再生铅企业和项目。
“主动防御”提升准入门槛 第8篇
——Pyramid Research日前发布的一份报告显示, 到2011年底, 中国将超越日本成为亚洲规模最大的光纤市场, 其分析师认为, 中国光纤接入线路增多的主要动力之一是政府对于光纤部署的承诺。
近期, 三大运营商继续加强在固网宽带领域的投入与布局, 一方面FTTx集采与建设有序进行, 另一方面, 以中国联通、中国电信为代表的运营商积极启动了多地的免费宽带提速举措。
相关运营商人士表示, 目前持续升温的宽带提速计划并非源自被动的“用户驱动”或者“业务驱动”, 而更多体现了运营商对于未来竞争格局的主动防御——不仅为了增强远期的融合市场竞争力, 也为了增强近期的行业内竞争力。
目前, 运营商普遍认为广电及电网方面并未对其形成有效威胁, 但是未雨绸缪不可或缺。运营商期望通过宽带提速进一步提升行业准入门槛, 为随时可能到来的行业内、外竞争做好准备。
“宽带提速”持续升温
事实上, 各大运营商自全业务运营之初就加速了其宽带提速实践。2009年中国联通在全国范围内投资上百亿元 (人民币, 下同) , 启动了宽带升级提速工程, 当时计划2009年大部分地区带宽达到2M, 2010年达到4M, 2011年达到8M。而中国电信也在加紧推进“光进铜退”, 自去年年末在深圳推出50M小区宽带后, 中国电信今年在深圳再次推出了100M小区宽带。中国移动于去年年末进行了首次FTTx集采, 并已在江苏、浙江等地实现了重点部署。而今年逐渐明朗的三网融合产业政策以及工信部、发改委等7部门联合印发的《关于推进光纤宽带网络建设的意见》 (下称《意见》) 等则进一步加快了宽带提速实践的进展。
不仅通过政策进行产业引导, 不少相关部门还在实际的宽带建设项目中“牵线搭桥”。此前, 上海市经济信息化委员会分别与上海移动、上海电信、上海联通签署了2010年度服务合作协议, 三大运营商将在沪累计投资110亿元, 而这其中推进宽带基础网络建设成为签约重点。据了解, 今年上海国际互联网出口带宽将从200G增至500G, 增幅近250%;上海的城域网出口带宽也将从1200G增至2000G, 扩容三分之二左右。
近期, 中国联通、中国电信还在各地力推“免费宽带提速举措”。各地联通免费宽带提速的方案略有不同, 但形式多为若客户预存包年费用, 则原有宽带512K、1M速率可以免费升速为2M, 原有2M速率可以免费升级为4M。而中国电信也在全国各地实施了宽带提速优惠, 例如广东电信某地市公司曾宣布, 2010年4月30日前入网的4M宽带老客户将免费升级到6M;2010年5月1日之后入网的4M宽带老客户一次性交100元可升级到6M;2M、3M客户一次性交200元可以提速到4M。
下一阶段, 运营商仍将继续推进宽带领域建设。中国电信近期将启动对FTTH的一个新的集采项目, 以助力其100万FTTH用户的年底目标实现。
“技术、战略”双驱动
运营商对“宽带提速”如此持续、执着地追求, 其战略层面的考量是主要驱动力。中国电信集团李姓人士向记者表示, 目前在固网宽带领域, 电信运营商面临的竞争仍以行业内竞争为主, 来自广电或电网方的竞争压力相对较小, 但这并不意味着电信运营商全无担忧。
“虽然现阶段而言, 强有力的对手与威胁并未真正出现, 但我们有一种‘山雨欲来风满楼’的危机感, 必须主动做些什么。”前述中国电信受访人士表示, “由于明确的目标并未出现, 我们首先想到的就是加强自己的‘管道优势’, 只有这样未来才有基本的竞争力。”
而中国移动研究院陈姓受访专家则指出, “宽带提速”主要是出于提高行业准入门槛的考虑。“运营商未来在宽带领域的竞争对手无疑会增多, 无论竞争对手是谁, 目前我们要做的就是进一步提高行业准入门槛, 而方式就是提升用户的宽带业务体验, ”该专家表示, “一旦用户认可了目前的高满意度及性价比的服务, 那么对于未来想进入该行业的企业来讲, 市场会要求他们至少以同样的成本为用户提供与我们相似的服务。而这无疑是有一定难度的。”
广电、电网暂未构成威胁
目前而言, 电信运营商进行“宽带提速”更多源于主动防御的考虑, 受访运营商人士表示, 短期内广电、电网方面“不是一个迫切的威胁”。
“来自广电、电网的远期竞争不是‘宽带提速’最直接的驱动力。以广电为例, 目前其宽带业务仍受制于内容、IP地址、码号管理、全国互联互通等因素, 暂不会对电信方构成有力威胁, ”前述中国移动研究院陈姓受访人士认为, “而对于电网方而言, 虽然在单点实验局上已获成功, 但目前并未看到其大规模的成功应用案例, 我认为这一方若想在可用性上与运营商达到同等级别还有运营、服务等诸多问题需要解决。”
医院耗材准入条件的管理 第9篇
1 建立产品准入的管理体系
1.1 耗材分级
根据医院耗材数据库中使用耗材的全部资料, 以耗材单价进行分类, 分为高、中、低额耗材[1], 单价在2000元以上的为高额耗材, 单价在100元以下的为低额耗材, 其中低额耗材用量最大, 约占80%, 大部份为医院常用的耗材, 高额耗材用量最少, 主要为手术工具、介入和手术材料, 多为专科耗材, 对操作技术要求较高, 使用者对耗材的品质及个人的使用习惯性都有一定的要求, 存在一定的主观因素。
1.2 耗材准入管理架构
建立产品准入分级管理体系[2], 明确职能, 由主管院长领导, 医疗器械管理委员会负责评定争议性的耗材问题或投诉, 参与招投标工作;监督管理委员会负责纪检督导, 财务审计, 质量检查, 保证耗材准入公平、公正、合理;职能部门负责产品准入的具体运作组织工作;使用科室成立核心管理小组, 负责论证产品使用的需要性和合理性。
1.3 耗材准入的流程
耗材使用者在域网上下载《申购表》, (见表1, 表2) 并按要求填写使用理由, 使用科室核心小组论证产品使用的需要性和合理性;职能部门对产品进行市场调查, 了解产品的品质和作用, 分析产品的社会效益、经济效益、性价比和差异性, 医疗市场的使用情况, 核定收费和医院的成本比例等, 进行综合评价, 报请院领导审批;准入审批通过后, 根据耗材的具体情况, 以招标、议价、比价和跟标等形式采购耗材。在耗材使用一段时间后, 肯定了耗材的质量没问题, 有一定的临床价值, 即可纳入科室常规使用的耗材管理[3]。耗材准入原则是以医院的利益为根, 以病人的利益为本, 与供应商互助共赢。
1.4 耗材准入的支持条件
产品准入是产品流通的大门, 是控制成本, 提高效益的重要环节。由于耗材具有专业性、技术性, 人为性、习惯性、不稳定性等特点, 因而准入和使用耗材都有一定的风险性。要求职能部门尽忠职守, 事实求是调查和分析准入耗材的具体情况, 为领导提供可靠的审批依据, 保证医院流通产品的可靠性。职能部门对审批通过的耗材按流程准入, 对没通过审批的耗材不予准入, 并把结果反馈给申购科室, 最终解释权归属领导。
1.5 耗材准入的管理
1.5.1 医用耗材准入必须满足的基本条件
准入产品必须有厂家 (供应商) 营业执照, 生产 (经营) 许可证和产品注册证, 并附医疗器械产品注册登记表。
1.5.2 医用耗材准入的原则
一次性使用的耗材满足质量要求的, 价低优先准入。重复使用的治疗工具, 以耐用、实用和易用优先准入。
1.5.3 医用耗材准入的论证条件
(1) 对技术难度较高, 为保证治疗的顺利进行, 或新开展项目必须要用的耗材。 (2) 自费项目, 病人有经济能力承担并要求使用的耗材, 如进口的人工髋关节、心脏起搏器。 (3) 医疗保险的项目, 国产耗材病人偿付10%, 进口耗材病人偿付40%, 要求是在保证病人基本医疗的前提下, 严格控制医疗保险的病人使用高额耗材。 (4) 国家新的规范要求必需使用的产品, 按要求使用, 这类产品基本为质控产品, 是防范医疗风险和提高医疗质量所需要的, 如2009年6月开始要求消毒产品使用的批量指示卡。 (5) 同等档次的产品, 价格优惠, 科室认可产品质量的, 可以更换使用。 (6) 产品的性能较好, 但进货价比原用产品的价格稍微高, 性价比高, 可根据具体的治疗需要和收费情况适当考虑使用。 (7) 能产生很好的经济效益和社会效益的耗材, 如同一检验项目而不同检测方法的定量和定性对比, 定量检测收费较高, 定性检测收费较低, 定量检测更能反映病情, 避免了多用药或不当的治疗, 且医疗保险不超标, 病人有能力承担, 合适的病人可以使用。 (8) 医院全成本的项目, 直接成本比例30%以下, 申购科室有充分的使用理由, 病人负担不重, 可以考虑使用。 (9) 流动性大的耗材, 因容易出现管理漏洞, 对科室不善管理的不予准入, 如:一凉贴、治疗贴等。 (10) 由于医学学科的发展, 有的耗材已更新换代停止生产, 新生代的产品质量提高, 价格也高, 部分可停用或代用。
职能部门以产品准入论证条件为依据, 对使用科室申购的产品进行审核, 填写《耗材准入调查分析表》 (见表3) , 提请领导审批, 并与各部门和使用科室沟通, 协调解决问题。
2 耗材准入管理的效果
科室在使用耗材过程中出现问题, 要求填写《耗材质量投诉表》, 详细描述耗材使用的过程和结果, 提出意见反馈给管理部门。管理部门要求供货商提出处理意见, 客观地综合使用者和供货商的意见, 并提交医疗器械管理委员会讨论, 讨论结果报院领导审查。出现群体事件立即停止使用, 并按规定上报食品药品监测管理局, 协助调查事件。
管理部门跟踪产品的使用情况, 测算产品终端使用率, 调查产品使用中的质量。对管理不善, 使用有漏洞, 质量存在问题的耗材进行处理或停止使用, 防范风险。我院09年准入医用耗材新品种96个, 其中医疗器械45个, 体外诊断试剂51个。准入的新产品都是专科产品, 体外诊断试剂和眼科镜片、镜架是专机专用或是招标选取的产品, 其它审批准入医疗器械的品牌都是使用科室选定的, 通过招标、跟标或货比三家引进产品。回访这些产品的使用, 主要问题是包装袋封口粘性不好, 多酶清洗效果欠佳, 并已更换这些品牌的产品。2009年院内和区内感控监测的耗材结果都合格。
使用科室对申购产品的使用负责, 先适量试用, 按需采购, 按需供应, 少补防多, 耗材购进后即全部发给使用科室, 物流中心不存货。盘点科室二级库储存的耗材, 存量适当, 周转慢的是抢救车备用的耗材 (气管插管、气管套管和吸痰包等) 。2009年1-10月份物流中心耗材平均库存品种约500个, 其中体外诊断试剂库存16个品种, 医疗器械库存48个品种, 卫材库存56个品种, 后勤物资库存380个品种。10个月以平均17万元/月的库存资金周转了106次, 没有损耗产品, 充分减少了库存管理费用, 提高资金周转率。
3 体会
通过市场调查分析和以耗材准入条件为依据确定耗材的准入, 以制度规范耗材准入, 使管理部门进货有据可依, 使用部门有理可说, 改变原来谁说得有理便准入的情况, 避免耗材准入不规范, 买多用少, 积压产品, 过期报废的情况。
评估耗材准入的条件, 控制耗材的准入, 因人施治, 因病用材, 真诚为病人服务。这对保护患者权益, 控制医疗保健费用的过快上涨, 保障全民卫生保健计划的落实, 维护公认的伦理价值准则有积极的作用, 虽然我们在实际操作中获得了很多成功经验, 但也存着评估本身的不确定性[4]。
耗材准入条件受较多因素的影响[5], 不同级别的医院, 不同层次要求的病人, 不同的阶段都存在一定的差异性。没有标准的准入条件, 只有适合实际需求的准入条件。准入条件在不断的变化中, 在实践改进中, 渐成新的准入条件, 但一定时间内定下的准入条件必须严格执行, 否则将失去准入条件管理的意义。
参考文献
[1]汤志卫.做好医用耗材准入管理工作[J].医疗设备信息, 2006, 21 (4) :29-30.
[2]彭平冀, 陈广斌, 魏佳.医院植入性医疗器的准入管理[J].医疗设备信息, 2006, 21 (9) :71-72.
[3]刘广东, 郑部, 石青龙, 等.实施外科手术分级准入管理的实践[J].中国医院, 2008, 12 (12) :68-70.
[4]郑玉宝, 李大平.国外医疗技术准入制度比较[J].中国医院管理, 2006, 26 (4) :15-17.