CN105551177A - 使用bim的访问控制***中的物理和逻辑威胁分析 - Google Patents

Abstract

本发明涉及使用BIM的访问控制***中的物理和逻辑威胁分析。一种装置包括：具有多个不同部分的受防护区域的建筑物信息模型(BIM)，所述BIM体现在存储器中；标识受防护区域的具有不同安全级别的部分的处理器；以及基于在安全级别与由BIM定义的受防护区域的物理特性之间的相互作用而向用户警告安全性弱点的处理器。

Description

使用BIM的访问控制***中的物理和逻辑威胁分析

技术领域

本申请涉及安全***，并且更具体地，涉及这样的***的配置。

背景技术

已知用以保护受防护区域内的人和资产的***。这样的***典型地基于使用一个多个传感器，所述传感器检测受防护区域内的威胁。

对人和资产的威胁可以源自任何数量的不同来源。例如，火灾可能夺去变成被火灾困在家中的居住者的生命或使居住者受伤。类似地，来自火灾的一氧化碳可能在人们睡眠时夺去他们的生命。

替代地，诸如夜贼之类的未经授权的侵入者可能呈现对受防护区域内的资产的威胁。也已经已知侵入者伤害或杀害居住在该区域内的人。

在侵入者的情况下，可以基于受防护空间的不同使用而在不同区域中安置并使用传感器。例如，如果人在平常一天的某些部分内在场并且在其它时候不在场，那么可以沿空间的周边安置一些传感器以在空间被占用时提供保护，而在空间未被占用时可以在空间内部里安置并使用附加的传感器。

在大多数情况下，威胁检测器连接到本地控制面板。在经由传感器中之一检测的威胁的情况下，控制面板可以发出本地可听到的警报。控制面板还可以向中央监控站发送信号。

虽然安全***很好地起作用，但它们有时难以设置和使用，尤其是当涉及大量传感器和不同安全级别时。因此，存在对于加快这样的过程的更佳方法的需要。

附图说明

图1图示了根据于此的安全***的框图；

图2是图1的安全***的安全分析***的框图；

图3是在图2的***下的威胁建模的概述；

图4是由图2的***使用的物理风险墙体强度规则；

图5是由图2的***使用的走道限制规则；以及

图6是由图2的***使用的认证与持卡人比率规则。

具体实施方式

虽然公开的实施例可以采取许多不同形式，但其特定实施例在附图中被示出并将在本文中被详细描述，其中理解到本公开内容要被视为其原理的例示以及实践所述原理的最佳模式，而并非旨在将申请或权利要求限制于所说明的特定实施例。

图1图示了根据所说明的实施例而一般性示出的安全***10的简化框图。安全***内包括的是多个传感器12、14，所述传感器检测受防护区域16内的威胁。

受防护区域可以划分成多个不同的安全区20、22、24、26。安全区之一(例如安全区20)可以是默认级别，所述默认级别表示相对最低的安全级别，并且其覆盖受防护区域16的整个区域。其它区(例如区22、24、26)可以要求不同的、较高的安全级别。在这方面，较低的安全级别可以仅要求基本认证级别，以便用于经授权的人员进入该区域(例如访问卡)。其它的、较高的安全级别可以要求附加的认证级别。除了访问卡之外，附加的认证级别可以意指录入个人标识号(PIN)和/或验证生物学参数(例如指纹扫描、虹膜扫描等)。

传感器可以以适于威胁检测的多种不同形式中的任一个来体现。例如，至少一些传感器可以是限制开关，其安置在提供到受防护区域中的进入或从受防护区域的外出的一个或多个门或窗上。

可替换地，传感器可以包括一个或多个被动红外(PIR)检测器，所述检测器检测已经能够越过围绕受防护区域或其区中任一个区的物理屏障(例如墙体、栅栏等)的侵入者。PIR传感器可以安置成紧邻提供到受防护区域中的进入的门或窗或者安置在受防护区域内部里的任何地方。

可替换地，传感器可以体现为一个或多个安全相机。安全相机可以包括运动检测能力。

传感器还可以体现为用于读取访问卡的一个或多个读卡器、小键盘和/或扫描人的物理参数(例如指纹、虹膜等)的生物测定扫描器。读卡器可以安置在受防护区域外部和/或紧邻对于任何区的入口。为了进入受防护区域，经授权用户可以向扫描器呈现访问卡。在认证了经授权用户时，读卡器可以电激活门上的锁，从而提供到受防护区域中的访问。

生物测定读取器可以单独或与读卡器组合地使用。例如，在人员尝试从具有较低安全级别的区域进入较高安全级别的区域的情况下，于是可以仅需要生物测定扫描来认证用户，以便从较低安全级别进入较高级别中。另一方面，如果门用以提供从受防护区域外部到具有较高安全级别的区中的直接进入，那么读卡器和小键盘或生物测定读取器可以与读卡器组合地使用。

安全***可以包括监控传感器的控制面板18。控制面板可以位于受防护区域内，如图1中所示，或者位于别处。

在控制面板内包括的可以是一个或多个处理器装置(编程的处理器)30、32，其每一个都在从非暂时性计算机可读介质(存储器)38加载的一个或多个计算机程序34、36的控制下操作。如本文使用的，通过计算机程序的步骤执行的参照也是对执行该步骤的处理器的参照。

例如，警报处理器可以监控对受防护区域内的侵入者进行检测的传感器。在检测到传感器之一的激活时，警报处理器或相关处理器可以构成警报消息并将其发送到中央监控站28。中央监控站可以通过召唤警方来进行响应。

可替换地，控制面板的访问处理器可以监控紧邻进入每一个受防护区域中的入口正门(门)而定位的读卡器、小键盘和生物测定读取器中的每一个。在检测到适于寻求进入到其中的区的身份的标记时，访问处理器可以激活电锁，从而提供到该区中的访问。

在控制面板的存储器内包括的可以是与受防护区域的每一个区相关联的相应文件40、42。文件可以包括区的标识符、用于进入区的准则、被允许进到区域中的人员列表和用于每一个人员的标识数据。在要求访问卡的区的情况下，每一个人员的数据可以仅仅包括从人员的访问卡读取的标识数据。认证可以仅仅是唯一代码或者它还可以包括经授权的人员的经编码的图像。如果区具有要求PIN的提高的安全级别，那么文件还可以包括经授权用户的PIN。类似地，如果区要求生物测定参数，那么文件可以包括对应的生物测定参数的表示。

在向读卡器呈现访问卡以便进入到区中时，访问处理器可以将从访问卡读取的数据与被授权用于进入该区中的人员的对应数据相比较。如果要求PIN或生物测定参数，那么处理器可以提示人员提供所请求的信息。如果来自卡的信息和从入口点读取的PIN和/或生物测定信息二者都与经授权用户的信息匹配，那么处理器可以激活锁，从而提供到该区中的访问。

受防护区域可以由体现为被保存在存储器内的文件50的建筑物信息模型(BIM)来定义。BIM可以将受防护区域和每一个区定义为地理坐标的集合。例如，每一个物理屏障(例如栅栏、墙体、隔开物等)的位置可以由地理坐标的范围或地理坐标以及从地理坐标的偏移集合来定义。在包括一个或多个建筑物的受防护区域的情况下，每一个建筑物的坐标可以包括三维(3D)坐标系，所述坐标系定义墙体、入口、不同楼层中每一个的位置以及该建筑物内每一个传感器的位置。BIM还可以包括一个或多个描述符，所述描述符提供对以下各项的指示：分隔各区的每一个屏障或隔开物的物理能力、如何可以移除屏障以及屏障内存在的任何通道开口。例如，如果屏障包括玻璃窗，那么BIM可以包括该窗的抗冲击性的指示符。类似地，BIM可以包括受防护区域内的每一个走廊以及每一个安全区的周界的地理坐标。

在***的初始激活之后，用户或其他经授权人员可以使用用户接口44以录入对于每一个安全区的经授权人员的列表和每一个区的安全级别。在通过键盘48录入每一个人员的标识符时，用户可以通过显示器46确认信息的准确性。在每一个区具有不同安全级别的情况下，用户可以录入任何附加的认证要求。

用户还可以将唯一的访问卡分发给被授权使用受防护区域的每一个人员。访问卡可以包括人员的标识符。

访问卡可以通过向读卡器呈现卡而提供到受防护区域的最低级别安全区中的访问。被授权进入具有提高的安全级别的区的人员可以将访问卡呈现给提供到较高安全性的区中的访问的读卡器，并被提示录入PIN或生物测定参数。在初始使用期间，可以假定卡由经授权用户拥有。作为结果，通过小键盘接收的PIN或通过生物测定读取器接收的生物测定参数可以被保存到文件40、42作为经授权用户的有效指示符。此后，从用户的对PIN的任何后续录入或生物测定参数的接收将与文件40、42的内容相比较。如果发现匹配，则允许访问。

安全***还包括安全分析***100(图2)，所述安全分析***包括一个或多个处理器，所述处理器检测安全***内的弱点。如本文使用的，安全性弱点是安全***或其物理组件中基于不同安全级别的使用的任何物理或逻辑缺陷。安全性弱点可以体现为安全***的多个不同缺点中的任何一个或多个(例如，受防护区域的部分或区之间的间隔物缺乏物理强度，如仅通向具有不同安全级别的一部分的走道或走廊，如在受防护区域的总的经授权用户与具有相对较高安全级别的一部分内的经授权用户的数量之间的不匹配、访问矛盾等)。

图2是根据所说明的实施例而一般性示出的安全分析***的简化框图。在所说明的实施例下，分析引擎可以访问多个不同资源(例如BIM文件、不同安全区的访问控制配置、威胁规则等)以标识潜在的威胁。任何经标识的威胁可以作为对用户有益的提示而在显示器上可视化。

图3描绘了由安全分析***执行的建模的概述。如所指出的，第一步骤可以是标识受防护区域内的具有不同安全级别的各区。基于不同的安全级别，可以从规则资源中为每一个区检索多个规则和标准。例如，一个规则可以基于相邻区中的安全级别而要求高度防护的房间具有最小物理强度级别。在这方面，靠近高安全级别的低安全性的开放访问区域可以导致多个中等安全标记被设置，其要求应用其它安全规则。类似地，分隔高安全性区域与低安全性区域的低强度墙体的存在可以设置高安全性标记。

类似地，可以标记仅能够通过提高的安全性的区域来被访问的区域以供进一步处理。例如，仅可以通过高安全性区域而被访问的房间也可以被建模为高度受防护的房间。如果访问控制配置资源为房间指示低安全级别，那么可以用高安全性指示符来标记房间以供进一步处理。

通常，安全分析***的分析引擎可以包括多个不同处理器，所述处理器通过比较安全***的设置与受防护区域的物理布局(如由BIM定义的)来检测弱点。例如，图4描绘了在检查物理风险规则情况下可以执行的一组步骤。

在这方面，安全分析***可以包括第一处理器，所述第一处理器标识或仅仅检索先前标识的具有不同安全级别的区。区可以经由每一个区的地理坐标而与来自BIM文件的信息相互关联。可以分别分析与一个区和另一个区之间的每一个隔开物有关的信息。在分析每一个隔开物时，处理器可以针对相邻隔开物而进行查询。在标识每一个隔开物时，处理器确定相邻区域是否要求针对进入的较低(或较高)授权。如果是这样，那么处理器查询或以其它方式检索分隔安全级别的材料的标识。一旦已经标识了材料，处理器就查询或以其它方式确定隔开物的物理强度是否大于针对所配置的条件所要求的强度。如果不是，那么处理器报告该欠缺作为安全风险。

例如，一旦已经标识了在安全区之间的划分线，威胁处理器就可以从BIM文件检索材料信息，以便基于从一组阈值文件52、54检索的一个或多个阈值，通过比较划分那些安全区的物理屏障(例如墙体)的物理特性，来评估未授权的侵入者突破到区中的威胁。例如，如果由玻璃窗划分受防护区域内的不同安全区，那么威胁处理器可以检索玻璃窗的玻璃的冲击评定(impactrating)，并将冲击评定与阈值文件内的玻璃冲击阈值相比较。如果任何窗的评定都不满足用于该安全级别差异的所要求的阈值，那么威胁处理器可以向用户显示威胁指示符。威胁指示符可以包括受防护区域的地图，其标识威胁的位置和威胁的类型(例如安全区之间的玻璃间隔物或隔开物的不充分的抗冲击性)。

可替换地，相同或不同的威胁处理器可以针对不适当的安全评定而分析安全区的边界。例如，图5描绘了可以经由隔开物规则而激活的规则子集。图5的过程可以与图4的过程同时地或者附加于图4而执行。在这方面，处理器可以标识各区之间的每一个隔开物，并且确定隔开物是否分隔安全区与通向大厅的通路。如果是这样，那么通路是否具有比隔开物另一侧的房间更低的安全级别。如果是这样，那么处理器经由警告而向用户标识潜在风险，并继续进行到循环的下一个隔开物。可替换地，如果走廊56被包括在第一安全区20内，但仅通向较高安全性的区域(即区22、24、26)，那么威胁处理器也可以向用户呈现警告。在此情况下，警告可以包括示出走廊的地图以及提示，所述提示向用户通知：基于相邻区域的评定，走廊具有不适当的安全评定。

图6描绘了由相同或相似处理器实现的另一过程。在图6中，处理器首先标识不同安全性的区域，并且然后检索能够访问那些区域中每一个区域的人员的相应列表。作为第一步骤，处理器可以确定受防护区域内安全区的数量大于二。接下来，处理器可以确定能够访问较高安全性的区的人员的数量或人员的百分比。所述数量或百分比可以与阈值水平(例如30％)相比较。如果所述数量或百分比大于阈值，那么处理器创建潜在安全风险的通知并将其发送给用户。在此情况下，处理器可以建议缓解动作，例如减少被准许访问区域的人员的数量或改变区的安全评定。

通常，访问控制***在防护建筑物内部的不同区域中起到至关重要的作用。它们通过要求认证和授权来限制可访问性。在建筑物内通常存在某些区域，所述区域由于该区域内部的资产价值而需要用于访问的额外安全级别。通常，这样的高安全性区域需要仅由少数人员可访问。除了读卡器之外，可以要求用于接收机密PIN或生物测定参数(例如虹膜、指纹等)的附加机制。

在当前***的情况下，用户必须在设置期间手动评估对高安全性区域的可能威胁。在传统***的访问控制软件中，***管理员必须为通向高安全性区域的门/读取器配置较高的认证级别(例如访问卡加PIN，访问卡加生物测定等)。在具有许多门的较大建筑物的情况下，***管理员可能遗漏一些高安全级别或区域。

另外，许多建筑物具有易于破坏的不牢固的隔开物(例如玻璃、胶合板等)。这些区域对于管理员而言难以在安全***的配置期间进行标识。

图1的***通过将来自建筑物信息模型(BIM)的信息与访问控制信息相比较来标识潜在威胁。这些威胁可以是(例如)：1)与高度安全区域相邻的不牢固的墙体；2)通向高安全性区域的开放式走廊；3)被指派给高安全性区域的低级别认证，等等。所提出的***分析门的配置以及访问级别，并且向负责高安全性区域的用户显示可能的逻辑和物理威胁。***基于威胁的严重性而将所标识的威胁分类为低、中或高。另外，***建议针对那些威胁的缓解动作。

图1的***具有分析引擎，所述分析引擎读取每一个区的访问控制配置并从BIM取得输入来评估威胁。***执行规则集并产生威胁列表。每一个规则取某些参数并将预定义的条件应用于参数，并且在条件未达成时报告威胁。这在图中被示出。

规则中的至少一个是物理风险墙体强度规则。在这个规则下，在高度安全区域与开放区域(具有低级别安全许可的任何人可以访问的地方)之间的由诸如纸板、玻璃等不牢固的材料制成的墙体区段被视为威胁(例如参见图4)。

规则中的另一个可以是走道限制规则。在这个规则下，如果存在通向相对较高安全级别的房间的走道/走廊，并且如果存在可以进入走廊但不能进入任何房间的某人，那么该情形被视为威胁(例如参见图5)。

规则中的另一个可以是认证与持卡人比率规则。在这个规则下，能够访问每一个高度安全区域的人员的总百分比与阈值相比较，因为在与其它位置相比较时，高度安全区域应具有访问权限的较低百分比。在能够访问高度安全区域的人员与不能访问高度安全区域的那些人员的数量方面应存在明显差异。比如说，一般能够访问受防护区域的人员的总数目中的仅5％应当在任何给定时间能够访问每一个较高安全性的区。如果***管理员通过失误而试图提供由多于5％的人员到一个或多个高安全性的区中的访问，那么这个规则将使得***把该动作作为威胁通知给用户(例如参见图6)。

规则中的另一个可以是认证矛盾规则。在这个规则下，矛盾可以标记风险。例如，假定存在全部通到单个房间中的、具有不同认证级别(例如级别1、级别2、级别3)的两个门。在此情况下，威胁处理器可以标识进入单个区中的全部入口，比较每一个卡、PIN和/或生物测定读取器的安全级别以确保它们全部要求相同的可靠性(authenticity)标记。如果它们不是，则处理器生成向用户的警告。

另一规则集可以形成认证矛盾规则的一部分。在此情况下，规则可以形成群组访问矛盾规则。在此情况下，处理器可以确定是否存在由用户针对特定区域所定义的处于矛盾的任何访问控制***要求。例如，假定存在两个规则：一个规则允许一群组的人进入一个位置中，并且另一个规则限制另一群组的人以避免该位置。如果有人存在于这两个群组中等等，则这样的配置将被视为威胁。

另一规则集可以形成冗余规则。在这个规则下，如果存在针对相同一组人准许访问相同一组位置的任何冗余配置规则，那么通知用户。

通常，由图1的***提供的解决方案自动标识建筑物中多个可能的物理/逻辑威胁中的任一个以及应采取的动作，其否则对于***管理员而言将不可能明确或容易地进行标识。通过使用本文所述的***，***管理员可以容易地确定是否恰当地配置了全部高度受防护的区域。在这方面，预定义的规则趋向于消除频繁出现的人为错误。

图1的***可以用于多个不同的环境和位置中的任一个中。例如，***可以使用在建筑物中，以用于访问控制***的初始试运行和配置或者当存在对于修改的任何需要时。***可以用于建议建筑物中的可替换的访问控制配置，以使得恰当地护卫受防护的区域。***还可以用于评估在具有预先存在的访问控制***的建筑物中的威胁。在可能具有大量房间或门的大型工业区域、多层商业/住宅建筑物和购物中心的情况下，***也可以具有相当大的价值。

通常，***包括：具有多个不同部分的受防护区域的建筑物信息模型(BIM)，所述BIM体现在存储器中；标识受防护区域的具有不同安全级别的部分的处理器；和基于在安全级别与由BIM定义的受防护区域的物理特性之间的相互作用而向用户警告安全性弱点的处理器。

可替换地，***包括：具有受防护区域的安全***，所述受防护区域具有各自带有不同安全级别的多个不同部分；受防护区域的建筑物信息模型(BIM)，其体现在安全***的存储器中；安全***的分析引擎，其标识受防护区域的具有不同安全级别的部分以及在具有不同安全级别的各部分之间的相应隔开物；分析引擎的处理器，其分析每一个隔开物的情境(context)，并且将所述情境与同情境有关的多个规则中的相应规则进行比较；以及以下处理器，所述处理器基于在安全级别与由BIM定义的受防护区域的物理特性之间的相互作用而向用户警告安全性弱点。

可替换地，***可以包括：安全***；具有多个不同部分的受防护区域的建筑物信息模型(BIM)，所述BIM体现在安全***的存储器中；为所述多个不同部分中的每一个部分定义最小安全级别的多个规则；安全***的分析引擎，其标识受防护区域的具有不同安全级别的部分以及所述多个规则中适用于具有不同安全级别的各部分之间的隔开物的至少一个相应规则；分析引擎的处理器，其分析每一个隔开物的情境，并且将所述情境与同情境有关的所述多个规则中的至少一个相应规则相比较；以及以下的处理器，所述处理器基于在安全级别与受防护区域的至少一个相应规则之间的相互作用而向用户警告安全性弱点。

根据前文，将观察到众多变型和修改可以在不脱离其精神和范围的情况下被实现。要理解的是，没有任何关于本文所说明的特定装置的限制是所意图的或应当被推断出。当然，意图是由所附权利要求覆盖如落入权利要求的范围内的所有这样的修改。此外，图中所描绘的逻辑流不要求所示的特定次序或顺序的次序来实现合期望的结果。可以提供其它步骤，或可以从所述的流程中去除步骤，并且其它组件可以被添加到所述实施例或从所述实施例中移除组件。

Claims (10)

1.一种装置，包括：

具有多个不同部分的受防护区域的建筑物信息模型(BIM)，所述BIM体现在存储器中；

标识受防护区域的具有不同安全级别的部分的处理器；以及

基于在安全级别与由BIM定义的受防护区域的物理特性之间的相互作用而向用户警告安全性弱点的处理器。

2.如权利要求1中所述的装置，其中，安全性弱点此外包括在具有不同安全级别的部分之间的间隔物的任何一个或多个物理强度，仅通向具有不同安全级别的一部分的走道或走廊，在受防护区域的总的经授权用户与具有相对较高安全级别的部分内的经授权用户数量之间的不匹配，以及访问矛盾。

3.如权利要求2中所述的装置，其中，基于间隔物的物理强度而警告用户的处理器此外包括以下处理器：所述处理器将分隔受防护区域的两个部分的窗的抗冲击性与阈值最小冲击级别相比较。

4.如权利要求2中所述的装置，其中，基于间隔物的物理强度而警告用户的处理器此外包括以下处理器：所述处理器标识分隔受防护区域的具有不同安全级别的两个部分的或容易可移除的间隔物不存在。

5.如权利要求2中所述的装置，其中，基于受防护区域的总用户与具有相对较高安全级别的部分内的用户数量之间的不匹配而警告用户的处理器此外包括以下处理器：所述处理器检测具有相对较高安全级别的部分内的经授权用户的数量等于或大于在邻接区域中的经授权用户的数量。

6.如权利要求2中所述的装置，其中，基于受防护区域的总用户与具有相对较高安全级别的部分内的用户数量之间的不匹配而警告用户的处理器此外包括以下处理器：所述处理器检测具有相对较高安全级别的部分情况下的经授权用户的数量等于或大于邻接区域中的经授权用户数量的预定阈值或百分比。

7.如权利要求2中所述的装置，其中，基于访问矛盾而警告用户的处理器此外包括以下处理器：所述处理器检测是仅作为群组被允许进入到受防护区域的部分中的用户的第一群组以及从该部分被拒绝接纳的第二群组二者的成员的用户。

8.如权利要求2中所述的装置，此外包括以下处理器：所述处理器为受防护区域的所述多个不同部分中的每一个确定访问准则。

9.如权利要求1中所述的装置，其中，用于相对最低安全级别的访问准则此外包括有效访问卡的呈现。

10.如权利要求9中所述的装置，其中，用于最低级别以上的较高安全级别的访问准则此外包括访问卡与一个或多个个人标识号以及由生物测定读取器读取的用户的生物测定参数。