Sybase助力国家水上安全监督系统案例

针对海事局部中心系统大型的数据处理系统，应结合子系统不同的实现机制，采用不同的体系结构。另外，在用户接口层和业务功能层之间，需要存在通信接口层或中间件，将客户端的业务请求通过网络或其他途径（如消息队列）传递给业务功能层。因此，应用软件体系主要是以交易中间件为基础框架的三层客户机/服务器模式，即整个应用分成用户接口、业务功能、系统平台三层，现说明如下。

用户接口：是应用系统的第一层，是系统与最终用户之间的界面层，其主要功能是控制交易界面，输入各种交易所需的数据，向第二层--业务功能层提交交易请求，同时处理接收到的处理结果（显示或打印等）。这一层一般采用图形操作环境（即GUI-图形用户接口），为用户提供友好、灵活的操作方式和多种操作功能，以完成相应的业务处理操作和管理工作。

业务功能：是应用系统的中间层，其功能是接收用户接口层传来的交易请求的指令和数据，对指令进行识别，对数据进行处理，向数据库提交数据检索、增删改等操作请求，实现业务的处理逻辑，完成整个交易的处理，并将处理结果返回到第一层。

系统平台：它是应用系统的最底层，包括数据库系统、网络和操作系统等。它负责管理应用系统的数据资源，完成数据的检索、增删改等操作。

其中，业务功能层在整个系统中起着重要作用：

负责维护用户接口与业务功能之间的通讯联结。

负责建立和保持业务功能和数据库之间的联结。

负责负载平衡，交易调度，提高系统的性能。

保证交易的一致性、完整性。

屏蔽硬件、网络、数据库的异构性，向应用层提供统一的访问接口。

水监信息系统是覆盖分布在部海事局、全国范围内19个直属海事局等的分布式处理计算机网络系统。各直属海事局与部海事局的计算机应用系统之间需要进行大量的数据信息交换，以部海事局为中心构成一个协作运行的系统；另外，构成直属海事局计算机系统的七个子系统既能够彼此独立运行，也能够彼此交换数据，实现信息一次采集，信息共享的目标。所以，从数据信息交换和应用上看，水监系统是一个全局和局部都能够实现数据共享和交换的信息交换平台，这是系统内信息共享和综合利用的基础，也是应用系统实现灵活的管理、维护和扩充的基础。水监信息系统的数据存储、采集和更新机制采用定期更新和实时更新相结合的方式进行：集中存储的数据采用定期更新的方式，即各直属海事局每隔一定的时间段将集中存储的数据汇总到部海事局，统一更新集中存储的数据；各直属局日常业务处理过程中产生的数据，其使用者在本局，因此实时产生，实时存储在当地海事局。因此，为了实现海事信息的共享，对业务数据传输的可靠性、一致性和安全性提出了更高的要求。

此外，由于水上安全监督系统中涉及的数据与日常业务密切相关，任何数据的丢失、被非法访问及修改，都可能造成日常业务的停顿、资金流失、泄漏业务信息等事故，给水监业务带来极大的影响，严重损害海事局的声誉，甚至造成无法挽回的经济损失。因此系统的安全与保密是非常重要的。

在Internet/Intranet体系结构日益流行的今天，SYBASE在其适应性组件结构ACA（Adaptive Component Architecture）中特别考虑了基于网络的数据库应用的安全问题。通过在Open Client、Open Server这两种客户、服务器端间增加了安全控制层、目录控制层，用于对商业安全服务、命名服务的支持。

通过目录控制层DCL（Directory Control Layer）支持商业命名服务，使客户、服务器之间的定位、识别受控于商业命名服务提供的网络服务，而不仅仅用明码的Interfaces / SQL.ini文件。      主要安全特色可概括为四个方面：

1、随意存取控制DAC(Discretionary Access Controls)：给对象属主以限制对象存取的控制机制，通常是用GRANT和REVOKE命令。由于这种类型的控制取决于对象属主的意向，故称随意存取控制。

身份和验证控制(Identification and Authentication Controls)：确保只有合法用户才能注册到系统。

2、角色的划分(Division of Roles)：允许给特定用户赋予特权角色，以便只有特定用户才能执行特定任务。ASE的角色分两类：一类是预定义角色(或称系统角色)，如System Administrator和 System Security Officer；另一类是用户自定义角色(user-defined roles)，是由有System Security Officer权限的用户定义的。

审计(Auditing)：提供了审计事件的能力，例如登录、系统启动、远程过程调用、访问数据库对象以及特定用户或特定角色的行为。

3、审计服务器范围的有关安全的事件。

提供了代理授权机制为多层应用系统提供了改良的安全性和审计。通过代理授权，允许一个用户得到其他用户的身份，并获得在其他用户权限范围内工作的权利。当一个用户被代理授权后，该用户可以通过执行命令成为其他用户。

应用软件可利用SYBASE产品编写数据应用的安全层。Sybase通过网络和数据库的单一登录用户标识ID增强了DBMS的安全性，减 少管理的复杂性；提供密码和网络数据加密机制，增强网络间数据的安全性。

4、在数据库、表和字段三个级别上设置存取权限的特性

限制用户在数据库内创建新的表

限制用户对某个特定的表只能增加，不能修改和删除

限制用户对某个表只能检索，不能增、删、改

限制用户只能对特定表中的某个字段操作

上述安全措施能有效防止对数据库中数据的非法存取。

第四部分：系统实施效果

试运行的结果证明，水监信息系统的可以达到为领导提供各种信息和辅助决策的目的。水监信息系统可以实现提高办公效率、快速获取信息、规范管理行为、加强内部管理、支持廉正建设等，从外部来讲，这不仅可以加快港口生产周转效率，而且还可以提高船舶运输管理的质量，改善港口作业环境，促进港口的国际竞争力，从而全面提高港口生产效率，有利于国家、企业的经济利益；从内部来讲，通过水监信息系统的建设，将能完成水监系统间的协同工作，做了建设前做不到的事情，提高了水监系统的整体管理效益。如果按照社会效益是直接效益的10倍的一般原则考虑，建设水监信息系统的价值将远远大于其自身价值。