软件学报 ISSN 1000-9825, CODEN RUXUEW Journal of Software,2014,25(6):1273?1290 [doi: 10.13328/https://www.doczj.com/doc/d91330977.html,ki.jos.004414] ?中国科学院软件研究所版权所有 .
E-mail: jos@https://www.doczj.com/doc/d91330977.html, https://www.doczj.com/doc/d91330977.html, Tel/Fax: +86-10-62562563
一种可信终端运行环境远程证明方案
谭 良 1,2, 陈 菊 1
1 2
?
(四川师范大学 计算机学院 ,四川 成都 (中国科学院 计算技术研究所 ,北京
610068)
100190)
通讯作者 : 谭良 , E-mail: jkxy_tl@https://www.doczj.com/doc/d91330977.html,
摘
要:
可信终端的远程证明无论是基于二进制的证明方案还是基于属性的证明方案,针对的均是终端的静态环
境,反映的是终端的软件配置结构,并不能证明终端运行环境的真正可信.针对这一问题,提出了一种终端可信环境 远程证明方案.针对静态环境,该方案考虑了满足可信平台规范的信任链以及相关软件配置的可信属性证明;针对动 态环境,该方案考虑了终端行为的可信属性证明.并分别给出了信任链、平台软件配置和终端行为等属性证明的可 信性判定策略和算法,以及终端运行环境远程证明的综合性判定策略和算法.另外,在 Windows 平台上,设计和实现 了该方案中的两个核心实体:证明代理和验证代理,并设计了证明代理和验证代理之间的通信协议.最后,介绍了该 方案在 Windows 平台上的一个典型应用案例以及证明代理在该应用实例中的性能开销.应用实例验证了该方案的 可行性. 关键词: 可信计算;远程证明;属性证明;终端行为;证明代理;验证代理 中图法分类号: TP309
中文引用格式 : 谭良 , 陈菊 . 一种可信终端运行环境远程证明方案 . 软件学报 ,2014,25(6):1273?1290. https://www.doczj.com/doc/d91330977.html,/ 1000-9825/4414.htm 英文引用格式 : Tan L, Chen J. Remote attestation project of the running environment of the trusted terminal. Ruan Jian Xue Bao/Journal of Software, 2014,25(6):1273?1290 (in Chinese). https://www.doczj.com/doc/d91330977.html,/1000-9825/4414.htm
Remote Attestation Project of the Running Environment of the Trusted Terminal
TAN Liang1,2,
1 2
CHEN Ju1
(College of Computer, Sichuan Normal University, Chengdu 610068, China) (Institute of Computing Technology, The Chinese Academy of Sciences, Beijing 100190, China)
Corresponding author: TAN Liang, E-mail: jkxy_tl@https://www.doczj.com/doc/d91330977.html, Abstract: Remote attestation, whether binary-based or property-based, mostly undertakes the static environment of the trusted terminal
where only part of software configurations in the trusted terminal are demonstrated, leaving trustworthiness of the dynamic running environment unproved. To resolve the problem, a new property-based remote attestation project for the dynamic running environment of the trusted terminal is presented. The project focuses not only on trusted chain and software configuration for the static environment of the trusted terminal, but also on the behaviors of the trusted terminal for the dynamic environment. Moreover, the decidability and algorithm for the trustworthiness of each property by each specific trusted policy is analyzed, and the comprehensive decision strategy is put forward. After that, attestation agent and verification agent which are critical entities in the project, are designed and implemented on Windows, and the communication protocol between them are designed too. Finally, an application case of the project on Windows is introduced, the performance of attestation agent in this application is studied, and the feasibility of the project is demonstrated. Key words: trusted computing; remote attestation; property attestation; behaviors on terminal; attestation agent; verification agent
当前,基于 TPM[1]和 TCM[2]构建可信计算环境已经成为可信计算的研究热点.基于 TPM/TCM 的可信度量、
?
基金项目 : 国家自然科学基金 (60970113); 四川省青年科技基金 (2011JQ0038) 收稿时间 : 2012-05-20; 修改时间 : 2012-07-23; 定稿时间 : 2013-03-11
1274
Journal of Software 软件学报 Vol.25, No.6, June 2014
报告和远程证明功能实现了通信双方信任关系建立 ,因此成为了构建分布式可信计算环境的核心功能 .目前 , 关 于远程证明的研究主要包括基于实体标识的二进制证明[3?7]和基于属性的远程证明[8?14]. 在二进制证明过程中 , 证明请求包含一系列关于被证明系统中当前运行实体的声明 ,其中 ,每个实体都通过 度量机制生成的唯一性标识来表示 . 接收到证明请求后 ,验证方基于表示实体标识间信任传递关系的信任链组 成的可信策略,从而确定被证明系统状态是否可信.TCG 体系中,远程证明的主要作用是针对平台部件的完整性 进行测量 , 包括检查部件代码内容的非授权篡改以及鉴别部件的提供者身份 ,实质是一种基于二进制的完整性 验证 . 其优点是证明过程简单、可靠 , 不需要可信第三方的参与 , 而验证方则能够可靠地构建起证明平台上从硬 件信任根开始的信任链 .但是 ,它最大的缺点是对平台配置隐私的暴露 ,证明过程中要求出示整个平台配置的完 整性度量值. 针对二进制证明的上述缺点 , 研究者们设想从抽象的属性或者语义上去理解和构建证明平台 . 基于属性的 远程证明中 , 证明方只需要根据验证方的目标属性给出相应的属性声明 , 不需要将实体唯一性标识暴露给验证 方 ;同时 ,由于系统中运行实体的唯一性标识也可认为是系统的属性之一 ,因此基于属性的远程证明在保护系统 隐私的同时也提高了证明方案的灵活性 .但基于属性的远程证明只有抽象的概念模型 , 难以度量、比较和推导 , 从而无法构建类似二进制度量的信任链传递信任的功能. 值的注意的是 ,无论是二进制证明方案还是基于属性证明方案 ,针对的均是终端的静态环境 ,即反映的是终 端的软件配置结构 , 并不能证明终端运行环境的真正可信 . 例如 , 即使是经过度量的应用程序 , 也不可能保证终 端整个运行环境的可信 , 因为对应用程序进行完整性度量只能保证该应用程序没有被恶意程序修改 ,但不能保 证该应用程序本身是否破坏终端的运行环境 ,如泄露内存、劫持网络、破坏文件等 ;再如 ,即使终端配置有符合 可信策略的软件 , 但如果这个软件本身存在漏洞 , 终端的运行环境也会存在被破坏的可能 . 针对这一问题 , 本文 提出了一种新的终端可信环境远程证明方案 . 该方案不仅考虑了满足可信平台规范的信任链以及相关软件配 置的可信属性证明 , 而且针对运行环境考虑了终端行为的可信属性证明 , 并分别给出了信任链、相关软件配置 和终端行为等属性证明的可信性判定策略和算法以及终端运行环境远程证明的综合性判定策略和算法,从而证 明终端运行环境的真正可信. 本文第 1 节给出相关工作的描述.第 2 节给出基于属性的远程证明模型.第 3 节给出本模型中可信策略的 可判定性定理及证明.第 4 节给出终端运行环境的远程证明方案在 Windows 平台上的实现.第 5 节给出终端运 行环境远程证明方案的应用案例研究.第 6 节是比较与评价.最后是本文的总结.
1
相关工作
终端远程证明最初是由 TCG 组织给出的[1],TCG 组织一直是这一工作积极的主导者和推动者.在 TCG 的
远程证明过程中 , 主要包括证明方与验证方 , 假设平台使用者想要向验证方证明自己的平台上有一个合法的 TPM,并利用这个 TPM 对平台的 PCR(platform configuration register)进行签名,实现向第三方证明其平台的合法 性.最直接的方法是:平台用 EK 私钥对 PCR 签名并发送给验证方,验证方验证签名后信任平台为一个可信平台, 且其配置信息 PCR 为可信.上述方法的问题在于:平台使用者的 EK 固定,当他/她与不同的验证方多次进行上述 协议时,其交易记录可被第三方关联起来(linkable),从而无法保护平台使用者的隐私.TCG 组织在 TPM 规范 1.1 版本中提出了以(privacy CA)认证 ID 密钥 (attestation identity key,简称 AIK)的方案来解决上面的问题.在该方案 中,平台不再以 EK 作为签名的密钥,而是每次临时生成一个新的 AIK 作为签名密钥.为了证明 AIK 的合法性, 平台必须首先向隐私 CA 申请一个 AIK 证书.当隐私 CA 收到平台的申请后,隐私 CA 用自身的私钥对 AIK 签 名 .平台获得这个签名后可以发送给第三方的验证者 ,验证者根据隐私 CA 的公钥验证 AIK 是否合法 ,合法的 AIK 对 PCR 的签名被视为 TPM 的合法签名.Privacy CA 方案的致命缺陷在于:其必须在保证 PrivaCy CA 可信 的同时,还必须有高响应能力,所以其应用必将成为可信平台验证的瓶颈.TCG 定义 TPM 规范 1.2 版中提出了直 接匿名认证(direct anonymous attestation,简称 DAA)协议[15],该协议在实现 TPM 芯片认证的同时,保证了认证的 匿名性 ,验证方无法得到芯片的唯一标示 . 但该协议非常复杂 ,包含 4 次零知识证明 ,运算量非常大 , 包括大量的
谭良 等:一种可信终端运行环境远程证明方案
1275
模指数运算,因此,该协议还缺乏实用性.目前,对该协议的优化工作是一个研究热点[16?27]. 除此以外,国内外众多研究机构和学者提出了许多不同的远程证明方法.从遵循 TCG 规范的直接二进制证 明,到基于高级语言的语义证明;从嵌入式设备的基于软件证明,到 Web Service 的证明.在这众多的证明方法中, 研究成果最多的还是基于实体标识的二进制证明(binary attestation)[3?7]和基于属性的远程证明[8?14]. 在实体标识的二进制证明方面,IBM 研究院提出了完整性度量方案 IMA[4],该方案对于 Linux 系统加载的 可运行实体进行度量 , 从而生成该实体的唯一性标识符 . 在证明时 , 验证方以可信计算平台作为信任根 , 从而建 立对于证明方包含实体标识的判定.基于 IMA 方案,Jager 等人提出了基于策略规约的远程证明方案 PRIMA[5], 该方案基于 C-W 信息流模型对远程证明过程中需证明的实体进行规约,从而在一定程度上防止了远程证明过 程中平台配置的隐私暴露. 基于属性的远程证明方面,2004 年,德国波鸿鲁尔大学的 Sadeghi 等人提出了基于属性的远程证明概念和 模型
[10]
,给出了基于属性的远程证明方案的软硬件实现方法,该方法在可信引导程序 Trusted Grub 的基础上对
基于属性的远程证明方法、属性验证和撤销等实现技术进行了研究 .随后 ,为了从框架上解决远程证明过程中 隐私泄露问题 , 同时保证证明方案的灵活性 ,Poritz 等人率先从体系架构层次提出了基于属性的远程证明 [11],在 该框架中,Poritz 等人讨论了基于属性远程证明在隐私保护、 扩展性等方面的优点.在属性证明的实现方面,波鸿 鲁尔大学利用在线可信第三方颁发了属性证书 , 实现了引导过程中的二进制度量转换为属性 ,基于属性实现了 系统的证明和封装.该方案建立在在线的可信第三方基础上,便于完整性管理和安全属性管理,并采用 CRL 验证 属性的撤销 .随后 ,他们又对这个方案进行改进 ,实现了基于属性的系统引导器解决属性证明过程中的属性证书 的版本回滚问题.在协议方面,Chen 提出了基于属性的远程证明协议(简称 PBA 协议)[9].文献[26]提出了使用远 程证明扩展 SSL 协议的方案,通信终端通过协商安全参数和在 SSL 协议上证明平台配置,以此达到建立远程可 信通道 . 该方案的提出 , 为基于现有通信协议实现远程证明过程中证明请求的发送给出了很好的解决方法 . 文献 [13] 提出了一种基于属性的远程证明模型 . 该模型将传统远程证明中信任链模型扩展为信任图 , 使得模型能够 表达更为灵活的可信策略 ; 文献 [14] 基于可信计算中的二进制系统完整性测量模型 , 增加证书权威和可信属性 权威,提出一种属性远程证明系统完整性测量模型,并利用谓词逻辑证明其可信性.
2
终端运行环境的远程证明方案
终端运行环境的远程证明方案包含 5 个实体:证明代理、验证代理、属性证书颁发中心、可信策略库管理
方和服务提供方.验证过程如图 1 所示.其中, (1) (2) 证明代理将终端完整性测量值、软件配置以及终端用户行为发送给验证代理; 验证代理根据完整性测量值、软件配置结构以及终端用户行为,对照其可信策略库中的安全策略,包 括平台组件属性及完整性特征值、软件配置目录结构以及恶意行为特征 . 如果均满足可信策略库的 属性安全策略,则向属性证书颁发中心申请一个终端运行环境的可信属性证书; (3) (4) 属性证书颁发中心颁发终端运行环境的可信属性证书,并返回给证明代理; 终端向服务方证明自己的可信属性,并获得服务方资源.
在此远程证明过程中,证明代理的主要功能是获取 TPM 的 PCR 二进制标示、软件配置以及终端环境中的 用户行为 ;验证代理的主要功能是基于可信策略库对证明代理收集的信息进行确认 ,包括满足可信平台规范确 认、软件配置确认、行为确认以及属性证书申请 ;属性证书颁发中心的主要功能是颁发和管理属性证书 .显然 , 此远程证明过程不仅具有基于属性的远程证明方案的所有优点 , 如 :(1) 易实现复杂开放网络环境下的异构平 台之间的验证 ;(2) 无论厂商是谁 , 具备相同属性的任何配置均被赋予相同的属性证书 ;(3) 避免直接暴露平台 配置给未知验证方 ,使恶意对手攻击平台更容易等等 ,而且还具有如下特征 :①增加了对终端环境用户行为的可 信属性证明 , 使得该远程证明方案不仅能证明终端的静态环境可信 , 而且通过对终端活动进程的行为属性分析 远程证明终端的动态环境可信 ;②远程证明过程中 ,证明代理、验证代理、可信策略库、证书颁发中心和服务 方的关系更加具体明确.
1276
Journal of Software 软件学报 Vol.25, No.6, June 2014
可信终端 PCR 请求 PCR 值 主体行为 软件配置 TPM 的 PCR 证 明 代 理 配置请求 软件配置 行为请求 行为
验证代理 满足可信平台规范 确认 配置确认 行为确认 恶意行为描述 PCR 描述
可信策略库
二进制标识库 配置描述 软件目录
恶意行为库
可信属性证书 可信证书申请
可信属性证书
证书申请
可信属性证书
可信第三方
服务提供方
属性证书颁发中心
Fig.1
Remote attestation project of the running environment of the trusted terminal 图1 终端运行环境的远程证明过程方案
值得注意的是 , 在一个安全域中 ,验证代理、可信策略库以及属性证书颁发中心通常可以看成为可信第三 方.一方面,它们接受此域中各个可信终端无条件信任,接收来自可信终端的 PCR 二进制标示、软件配置以及终 端环境中的用户行为 , 并保证这些信息不被泄漏 ; 另一方面 , 它们接受此域中各种服务提供方无条件信任 , 均把 它们发出的属性证书作为获得服务的主要凭证和相关授权的主要凭证 ; 第三 , 验证代理、可信策略库以及属性 证书颁发中心本身是安全可靠的.
3
终端运行环境远程证明的判定策略
终端运行环境远程证明方案的核心是判定问题 . 判定依赖于具体的策略 , 而策略必须与终端实际环境相吻
合.因此,必须详细分析终端环境的信任链传递、软件配置和用户行为,为远程证明的判定策略提供基础保证.为 了便于叙述,我们先形式化定义软件组件、属性、属性集等基本概念. 定义 1. 终端环境的软件组件定义为 ci={(ci-code,ci-d-code,ci-cofile),(ci-f,ci-v,ci-o)},其中 ,(ci-code,ci-d-code,ci-cofile) 表示 软件的代码特征,ci-code 代表软件 ci 的源代码,ci-d-code 代表软件 ci 的依赖,如其依赖的静态库、动态库或第三方代 码库,ci-cofile 代表软件 ci 的策略配置文件.(ci-f,ci-v,ci-o)表示软件 ci 的功能特征,ci-f 表示 ci 的功能,ci-v 表示测组件 ci 的版本号,ci-o 表示软件组件 ci 的其他相关属性,比如软件名、开发者、发布时间等. 依据定义 1,软件组件集为 C={c1,c2,…,cn,…}. 定义 2. 属性是指软件组件满足某一功能要求而具有的内在特征,形式化为 pi;属性集 P 是指包含各种属性 的集合,即 P={p1,p2,…,pn,…}. 我们用 ptpm 表示终端运行环境满足信任链传递的可信平台规范属性,psoft-configration 表示终端运行环境满足 一定可信策略需要的软件配置属性 ,pbehavior 表示终端运行环境满足一定可信策略需要的用户行为属性 .下面将 分析属性 ptpm,psoft-configration 和 pbehavior 及其判定策略. 3.1 属性ptpm的分析与判定 属性 ptpm 的实质含义是指终端系统满足基于完整性测量的信任链传递.从第 2 节的分析可以看出,在本方案 的远程证明过程中,证明代理 TAgent 运行在被验证平台上,起着非常重要的作用.为了保证 TAgent 可信,我们扩展终
谭良 等:一种可信终端运行环境远程证明方案
1277
端的信任传递过程为 CRTM→BIOS→OS Loader→OS→TAgent→Application. 如图 2 所示,将 TAgent 作为可信平台链式度量的重要一环.这种方式是可行的,TAgent 的度量可由 OS 主导完成, 并由 OS 将 TAgent 程序作为第 1 个应用程序首先启动.
Option ROMS
Hardware
Memory
CRTM
BIOS
OS loader
OS
Agent
Application 度量 存储度量值 日志 报告
信赖度量 核心根
TPM
Fig.2 图2
Measurement of attestation agent by TPM 基于 TPM 的证明代理 TAgent 的可信度量
在图 2 中,实现信任传递的相关参数主要包括: (1) (2) 系统配置:将完整性测量组件的哈希值存入 TPM 的 24 个 PCR 中; 存储测量值日志(storage measurement log,简称 SML),其中包含了存储在 TPM 中的所有测量值的事 件结构以及被测量的软件组件的(ci-f,ci-v,ci-o). 为了详细描述系统完整性测量模型,我们定义信任根、完整性测量组件两个概念以及测量函数、完整性验 证函数和完整性传递函数. 定义 3. 信任根集(trusted root set)为一个由特殊属性组成的集合,包含所有其可信性无需进行证明的属性, 形式化表示为 TRS={r|r∈P}. 根据定义 3,由图 2 可知,可信终端的信任根集只有一个元素,即具有 “首先启动、防被物理攻击以及能度量 BIOS 等功能”的 CRTM,即 TRSt={CRTM}. 定义 4. 完整性测量组件集 I={i1,i2,…,in,…},其中,in∈C. 由图 2 可知,终端的完整性测量组件集 It={CRTM,BIOS,OS Loader,OS Kernel,TAgent,Applications},显然,It?C. 定义 5. Measure(in,in+1,PCRn+1,smln+1)表示在完整性测量过程中,in 对 in+1 的完整性进行测量,其增量哈希值 存储于 PCRn+1,相对应的存储测量值日志为 smln+1,n 是正整数且 0≤ n≤23. 定义 6. 完整性验证函数 Verify(in,in+1,PCRn+1,LPCRn+1)表示将 in 对 in+1 的完整性测量值 PCRn+1 与可信策略 库中对应的标准 LPCRn+1 进行比较.如果完全匹配,返回 true;否则,返回 false. 定义 7. 完整性传递函数 Integrity(in,in+1)表示完整性能够从 in 有效地传递至 in+1,而不遭受破坏与损失. 根据以上定义,我们得出属性 ptpm 的判定算法,如图 3 所示. 图 3 算法首先判断信任根集是不是空,然后判断信任根集里的信任根是不是唯一.如果这两个条件均成立, 则调用 measure 函数对 CRTM→BIOS→OS Loader→OS→TAgent 进行完整性测量,并调用完整性验证函数 Verify 进行验证,如果成立,则调用 Integrity 进行完整性可信传递,然后输出为 ptpm,表示终端运行环境满足信任链传递 的可信平台规范属性;否则,输出 NULL.
1278
Journal of Software 软件学报 Vol.25, No.6, June 2014
算法 1. 属性 Ptpm 的判定算法 Check-trusted Platform Specification (It). 输入 :It; 输出 :ptpm 或 NULL. 1. IF (TRSt==?) OR (|TRSt|==0) THEN return NULL ENDIF; //|It|表示集合 It 的元素个数 2. IF (|TRSt|==1) AND CRTM in TRSt THEN //判断信任根是否存在且唯一 3. i1=CRTM 4. FOR n=1 to |It| DO 5. Measure(in,in+1,PCRn+1,smln+1) 6. IF (Verify(in,in+1,PCRn+1,LPCRn+1)==true) THEN 7. Integrity(in,in+1); 8. ELSE 9. RETURN NULL; 10. ENDIF 11. RETURN ptpm 12. ENDFOR 13. ENDIF
Fig.3
Decidability algorithm of Ptpm 属性 Ptpm 的判定算法
图3 3.2 属性psoft-configration的分析与判定
属性 psoft-configration 的实质含义是指终端运行环境的软件配置满足一定可信策略. 为 了 详 细 分 析 属 性 psoft-configration, 我 们 首 先 定 义 平 台 软 件 配 置 、 基 本 配 置 等 基 本 概 念 以 及 Draw(), Search-property()和 Verify_softwareconfiguration()函数. 定义 8. 平台软件配置是一个平台运行的软件序列,记为 σ={c1,c2,…,cm},其中,ci∈C.显然,σ?C. 一个平台在不同任务要求下可能运行不同的软件 ,也可能以不同的顺序运行软件 .因此 , 可能有多个不同的 软件配置,所有的平台软件配置记为 C 的幂集 P(C).
σ 一个配置 σ={c1,c2,…,cm}中,若 ci 在 cj 的前面执行,记为 ci ?? →cj.
σ σ σ → c j ?? → ... ?? → ck ,那么τ=? ci,cj,…,ck? 是σ的一个平台基本 定义 9. 设 σ是一个配置,ci,cj,…,ck∈C 并且 ci ??
软件配置.
σ → cn ,因此? c1,cn? 也是 σ的一个基本配 例如 , 对于配置 σ=? c1,c2,…,cm? ,? ci? (1≤ i≤ n)是 σ的基本配置 ; 由于 c1 ??
置 .平台基本软件配置与软件配置不同基 ,平台基本软件配置是一个有序集合 .如果去掉平台基本软件配置的有 序性,则有τ?σ. 属性 psoft-configration 由终端运行环境中满足一定可信策略需要的基本软件配置提供,验证代理将证明代理获 得的平台基本软件配置转换成对应的属性 psoft-configration.值的注意的是,属性 psoft-configration 与平台的绑定不是直 接到单个软件 , 而是绑定到每个平台基本软件配置上 ,因为许多属性是由几个软件按照一定顺序运行才提供的 . 比如,SELinux 提供 MLS 支持需要完整的 Linux 内核基础上装载 LSM 钩子模块,然后再装载 MLS 模块才能使 得配置具有 MLS 能力.因此说,平台基本软件配置? kernel,LSM,MLS? 提供 MLS 属性. 定义 10. Draw(Processes)表示从平台的 Processes 列表中获取平台基本软件配置. 定义 11. Search-property(p)表示从可信策略库中查询属性 p 对应的平台基本软件配置. 定义 12. 软件配置验证函数 Verify_softwareconfiguration(τ1,τ2)的功能是验证平台基本配置τ1,τ2 是否匹配: 如果匹配,返回 ture;否则,返回 false. 根据以上定义,我们得出属性 psoft-configration 的判定算法,如图 4 所示. 图 4 算法首先判断终端平台的已启动进程列表是不是空,如不是空,就从该进程列表中获取平台基本软件 配置 , 将此基本软件配置与可信策略库中需要的基本软件配置进行比较 : 如果匹配 ,则输出为 psoft-configration,表示 终端运行环境满足一定可信策略需要的软件配置属性;否则,输出 NULL.
谭良 等:一种可信终端运行环境远程证明方案
1279
算法 2. 属性 Psoftware-configuration 的判定算法 Check-softewareconfigration(Processes). 输入 :Processes; 输出 :Psoftware-configuration 或 NULL. 1. IF (Processes==?) THEN return NULL ENDIF 2. α1=Draw(Processes) 3. IF (α1==?) THEN return NULL ENDIF 4. α2=Search-property(psoft-configration) 5. IF (α2==?) THEN return NULL ENDIF 6. IF (Verify_softwareconfiguration(α1,α2)) THEN 7. RETURN psoft-configration; 8. ELSE 9. RETURN NULL; 10. ENDIF
Fig.4
Decidability algorithm of Psoftware-configuration 属性 Psoftware-configuration 的判定算法
图4 3.3 属性pbehaviour的分析和判定
属性 pbehavior 的实质含义,是指终端运行环境中的主体行为满足一定可信策略.为了详细描述主体行为属性, 我们首先定义与主体行为相关的基本概念. 定义 13(基本变量). S 为主体集合,也可看作是用户和用户启动的进程集合,在此,把已启动的进程称为活动 主体;O 为客体集合,对于单个客体 o,有 o∈O,客体可以是文件、程序、设备等资源. 定义 14(行为集合). 行为集 B=(S×O×A),?b∈B 表示主体对客体的操作行为.S={s1,s2,…,sm,…}表示该状态下 所有行为主体集合 . 在终端系统中 , 主体包括用户和进程 , 用户启动程序后产生进程 , 进程代表用户执行访问操 作,O={o1,o2,…,om,…}表示行为的客体集合,A={r,w,e}表示访问操作集合,包括读、写和执行. 定义 15. 恶意行为特征是指破坏终端运行环境的主体行为表现出来的特征,用 ri 表示 ,其中,i 是正整数;恶 意行为特征集是所有恶意行为特征的集合,记为 R={r1,r2,…,rm,…},其中,m 是正整数. 对于确定的终端运行环境 ,恶意行为普遍存在共同属性 ,无论是内部威胁、恶意代码和还是病毒 ,最终表现 出来的恶意行为特征可以概括为自传播性(感染文件、自我复制等)、自激活性(注册启动项、文件关联)、自保 护性 (隐藏目录、守护进程 )、破坏性 (篡改破坏文件、破坏主机相关设备等 )、非法连接性 (非法连接并发起网 络攻击等).这里 ,我们可以用 r1 表示自传播性,可以用 r2 表示自激活性,可以用 r3 表示自保护性,可以用 r4 表示破 坏性,可以用 r5 表示非法连接性,则终端运行环境恶意行为特征 R={r1,r2,r3,r4,r5}. 定义 16. 行为记录函数 RecordAct(si,x,o,t)表示在 t 时刻将主体 si 对 o 执行的动作 x 记录到系统日志 log 中. 定义 17. Get-Badbehavior(si,log)表示从系统日志 log 中获取平台主体 si 的行为集. 定义 18. h(si,x,o)表示根据主体 si 的行为? si,x,o? 计算恶意行为指数. 用 h = {hr1 ( si , x, o), hr2 ( si , x, o), hr3 ( si , x, o), hr4 ( si , x, o), hr5 ( si , x, o)} 表示主体 si 的行为? si,x,o?对终端运行环境的恶 意影响 ,其中 , hr1 ( si , x, o), hr2 ( si , x, o), hr3 ( si , x, o), hr4 ( si , x, o) 和 hr5 ( si , x, o) 分别表主体行为? si,x,o? 体的自传播指数、自 激活指数、 自保护指数、 破坏指数以及非法连接指数.值为 0 表示对系统无影响;值越大,表示影响越大.用 α,β,χ, δ 和γ分别表示自传播指数、自激活指数、自保护指数、破坏指数以及非法连接指数在计算主体行为恶意指数中 所体现的权重,则主体行为? si,x,o? 的恶意行为指数为 h( si , x, o) = α hr1 ( si , x, o) + β hr2 ( si , x, o) + χ hr3 ( si , x, o) + δ hr4 ( si , x, o) + γ hr5 ( si , x, o). 当终端运行环境中的任意主体 si 的恶意行为指数超过设定的安全阈值 H 时,终端运行环境就不满足属性
pbehavior.根据以上定义,我们得出属性 pbehavior 的判定算法,如图 5 所示.
图 5 算法首先判断终端平台的行为日志是否为空,如果不为空,调用 Get-Badbehavior 函数从系统行为日志
log 中获取平台主体 si 的行为集,并计算其恶意行为指数,如果没有超过安全阈值,则输出为 pbehavior,表示终端运
行环境中的主体行为满足一定可信策略的需要;否则,输出 NULL.
1280
Journal of Software 软件学报 Vol.25, No.6, June 2014
算法 3. 属性 pbehavior 的判定算法 Check-behavior(log,H). 输入 :log, H; 输出 :pbehaviorn 或 NULL. 1. IF (log==?) THEN return NULL ENDIF 2. IF (Get-Badbehavior(s,log)==?) return NULL 3. ELSE 4. FOR i=1 to m DO //m 表示终端环境的进程数 5. FOR j=1 to |Get-Badbehavior(si,log)| Do 6. h =h ( s i, x j,o ) 7. IF h≥ H THEN return NULL 8. ENDFOR 9. ENDFOR 10. RETURN pbehavior 11. ENDIF
Fig.5
Decidability algorithm of pbehaviour 属性 pbehaviour 的判定算法
图5 3.4 终端运行环境远程证明的综合判定策略
在终端运行环境的远程证明方案中 , 存在一个被所有其他计算实体信任并且自身安全能够得到保证的属 性证书颁发中心 TPA(trusted property authority),它的主要作用是发布与可信策略相对应的属性证书. 定义 19. 可信属性证书是一种轻量级的数字证书,这种数字证书不包括公钥信息,只包含证书所有人 ID、 发行证书 ID、签名算法、有效期以及可信属性 ptpm,psoft-configration,pbehavior,它是由属性证书颁发中心 TPA 签发的 标志实体属性信息的一系列数据的集合. 在某一可信安全域中,可信属性证书是获得服务的主要凭证和相关授权的主要凭证. 定义 20. 属性证书颁发函数 Cert(p)的功能是属性证书颁发中心为属性 p 颁发属性证书. 综合判定策略:如果终端运行环境具有属性(ptpm,psoft-configration,pbehavior),属性证书颁发中心 TPA 向终端颁发 满足属性(ptpm,psoft-configration,pbehavior)的属性证书,即:
Cert((ptpm,psoft-configration,pbehavior)),
则终端运行环境是可信的. 根据算法 1~算法 3 定义的函数 =Check-trusted Platform Specification,Check-softewareconfigration 和 Check-
behavior,我们得出终端运行环境是否可信的综合判定算法,如图 6 所示.
算法 4. 终端运行环境可信综合判定策略算法 check-whole(). 输入 :It, Processes, log, H; 输出 :Property-Certificate 或 NULL. 1. P1=Check-trusted Platform Specification(It) 2. IF (P1==ptpm) THEN 3. P2=Check-softewareconfigration(Processes) 4. IF (P1==psoft-configration) THEN 5. P3=Check-behavior(log,H) 6. IF (P3==pbehavior) THEN 7. Property-Certificate=Cert((ptpm,psoft-configration,pbehavior)) 8. ELSE 9. return NULL 10. ENDIF 11. ELSE 12. return NULL 13. ENDIF 14. ELSE 15. return NULL 16. ENDIF
Fig.6
Combined decidability algorithm 图6 综合判定算法
谭良 等:一种可信终端运行环境远程证明方案
1281
图 6 算法首先判断终端平台是否满足属性 ptpm,然后判断是否满足属性 psoft-configration 和属性 pbehavior.如果这 几个属性都满足,则调用 Cert 为该终端颁发可信属性证 Property-Certificate,表示终端运行环境是可信的(基于 可信策略);否则,输出 NULL.
4
终端运行环境的远程证明方案在 Windows 平台上的实现
终端运行环境的远程证明方案中 , 证明代理与验证代理是两个核心实体 . 本节主要介绍证明代理与验证代
理在 Windows 平台上的实现. 4.1 证明代理的设计与实现 4.1.1 证明代理的需求规定 终端运行环境的远程证明方案中 , 证明代理运行在可信终端 , 通过接受来自验证代理的命令对终端动态运 行环境里 PCR 值、软件配置信息以及用户行为信息进行收集,为验证方依据可信策略库来评估终端运行时环 境提供依据.因此,证明代理应该具有如下的功能需求和非功能需求. 功能需求包括:
? ? ? ?
4.1.2
协议管理.验证发送命令,证明代理解析协议并完成相应的功能; 信息收集.主要是收集终端运行环境里 PCR 值、软件配置信息以及用户行为信息; 信息签名与加密.代理需要对信息签名,保证来源可信;也需要对信息加密,保证传输可信. 可信保障机制,保障代理服务端静态可信和动态可信. 证明代理的体系结构
非功能需求包括:
在 Windows XP 平台上,我们用 Jtpm 模拟 TPM(Jtpm 是一个具有 TPM 功能的中间件平台),开发了终端运行 环境远程证明方案中的证明代理.证明代理是一个 deamon 服务程序,没有用户界面.服务程序的体系结构如图 7 所示 . 当终端启动时 , 证明代理自动启动 . 证明代理通过读取配置文件和相关本地文件进行一系列的初始化工 作,并启动证明代理线程.证明代理在和验证代理建立连接时,我们并没有选择典型的一个 Socket 主线程开多个 子线程的服务器模型,而采用 Socket 非阻塞模式的 Select 模型来将证明代理服务器设计成只有一个线程、 而该 线程中包含了多条连接的服务器模型 .当证明代理监听到验证代理的连接请求时 ,建立连接 , 并创建新的套接字 对象.建立连接完成,一方面,证明代理接收来自验证代理转发的指令,调用指令实施模块进行指令解析、存储、 转发或执行等功能,在辅助文件和 TPM 的帮助下进行 PCR 值、终端进程列表以及用户行为的收集;另一方面, 证明代理将收集的信息存储于本地,并反馈信息给验证代理. TPM 及证明代理之间的关系如图 8 所示.由图 8 可以看出,证明代理与 TPM 之间由 TSS 链接.TSS 由 3 个 逻辑组件构成:TCG 设备驱动程序库(TDDL)、TCG 核心服务(TCS)、 TCG 服务提供者 (TSP).
? ? ?
TDDL 为 TPM 定义了标准接口(TDDLI)以及提供了用户模式和内核模式之间的转换; TCS 提供了标准接口(TCSI)以及管理 TPM 的资源; TSP 为应用程序提供了丰富的面向对象的接口(TSPI).
证明代理通过 TSP 对 TPM 进行访问.TSP 通过接口 TSPI 接收来自收集代理的命令参数,TSP 做了相应的 操作、处理后,将命令进一步封装成包,通过 TCSI 交给 TCS;TCS 做了相应的操作、处理后,将包转化成 TPM 能 够识别的字节流,经由 TDDL 和 TDD 交送给 TPM.TDD 主要负责接收 TDDL 发送过来的字节流并且将其转发 给 TPM,待 TPM 处理完后再将信息传回.
1282
Journal of Software 软件学报 Vol.25, No.6, June 2014
验证代理 证明代理功能模块 辅助文件 Socket 建立连接 其他 证明代理
服务器线程 软件 CPR值 配置 获取 获取 模块 模块 用户 行为 获取 模块 接收信息 协议解析
文件
配置文件 发送信息 存储信息 策略配置文件解析 策略文件
加密 签名 数据存储 TPM 套接字对象集合
Fig.7
Architecture of server of a trusted attestation agent 图7 可信代理服务端的模块结构
证明代理
TSPI TSS TSP 上下文管理 TCSI 上下文管理 TCS 密钥、证书管理 TDDLI TSS 用户模式 内核模式 表示命令参数 表示字节流 TDDL TCS TPM字节流产生器 审计管理 PCR事件管理 TPM对象管理 策略对象管理
TDD TPM
表示命令参数包 表示命令调用结果
Fig.8
Mechanism of TPM and attestation agent 图8 TPM 及证明代理之间的关系
4.2 验证代理的设计与实现 4.2.1 验证代理的需求规定 终端运行环境的远程证明方案中 , 验证代理是一个运行在网络中的应用程序 , 通常和服务提供方处于同一
谭良 等:一种可信终端运行环境远程证明方案
1283
个安全域.验证代理通过向证明代理发送命令,包括 PCR 值获取命令、软件配置获取命令以及用户行为获取命 令等来获取证明代理所在终端的相关信息 ,并通过可信策略库对此类信息进行分析和处理 . 如果终端运行环境 满足可信策略库确定的策略 , 验证代理需要向属性证书办法中心申请属性证书 ,并转发给证明代理所在的可信 终端.因此,终端运行环境的远程证明方案中,验证代理应该具有如下主要功能需求,包括:
? ? ? ? ? ?
4.2.2
命令管理.验证代理向证明代理发送命令,收集相关信息; 信息接收与处理.主要接收来自证明代理的 PCR 值、软件配置信息以及用户行为信息,并对这些信息 进行处理; PCR 属性验证.根据可信策略库中的 PCR 属性描述对终端 PCR 值进行验证; 软件配置验证.根据可信策略库中的软件配置描述对终端软件配置进行验证; 用户行为验证.根据可信策略库中的恶意行为描述对终端用户行为验证进行验证; 综合判定.综合判定终端运行环境是否可信. 验证代理的体系结构
如图 9 所示为终端运行环境的远程证明方案中验证代理的模块结构,从验证代理的体系结构可以看出,该 验证代理主要包含建立连接模块和验证代理主线程模块 . 建立连接模块的作用与证明建立连接模块的作用相 同 .由于一个验证代理需要收集证明代理所在终端的多项内容 , 因此验证代理使用了多线程 , 主线程可以生成多 个子线程 , 一个子线程收集证明代理所在终端的一类信息 .验证代理子线程包含发送命令模块、接收信息与处 理模块、PCR 属性验证模块、软件配置验证模块、用户行为验证模块、综合判定模块、协议解析模块以及属 性证书申请模块 . 命令管理模块的功能是发送命令信息给证明代理 ;信息接收和处理模块的功能是接收证明代 理发送来的信息 ,并对信息进行处理 ;PCR 属性验证模块的功能是根据可信策略库中的 PCR 属性描述对终端 PCR 值进行验证 ;软件配置验证模块的功能是根据可信策略库中的软件配置描述对终端软件配置进行验证 ;用 户行为验证模块的功能是根据可信策略库中的恶意行为描述对终端用户行为验证进行验证 ; 综合判定模块的 功能是综合判定终端运行环境是否可信 ;协议解析模块的功能是处理证明代理与验证代理之间的通信工作 ;属 性证书申请模块的功能是申请属性证书.
证明代理 验证代理 建立连接 其他
验证代理主线程 验证代理子线程 ... 验证代理子线程 发送命令 PCR属性验证 行为属性验证 策略文件解析 信息接收与处理 配置属性验证 协议解析 属性证书申请 可信策略库 策略 文件 配置 文件
Fig.9
Architecture of verificaiton agent 图9 验证代理模块结构
1284
Journal of Software 软件学报 Vol.25, No.6, June 2014
为了便于呈现验证代理的验证结果,我们通过 Web 服务器调用验证代理的相关接口.用户可以通过浏览器 直观看出验证代理的相关验证结果. 验证代理结果呈现的运行界面如下图 10 所示.
Fig.10
Property-Based verification system of the trusted terminal 图 10 可信终端运行环境属性验证系统
4.3 证明代理与验证代理通信协议的设计 在证明代理和验证代理共同约定了一种通信协议 ,使得它们在交换信息时遵循统一的规则 . 该协议的具体 包格式如图 11 所示,该协议包只包含 Type 和数据段两段:.
Type (32bit) Data
Fig.11
Communication protocol between attestation agent and verification agent 图 11 证明代理与验证代理的通信协议
Type:表示的是验证代理所选择的指令 . 由于证明代理需要获取 PCR 值、软件配置和用户行为信息 ,因此 Type 段的设计如图 12 所示.即 Type 共 32 位、4 个字节,高 30 位保留,用于证明代理日后的功能扩展.用低 4 位 比特的二进制来表示不同的指令,见表 1. Data:用来填充与协议相关的数据.当证明代理要发送一个指令的相应反馈结果时,就将其填充到 data 字段. 例如获取 PCR 信息时,证明代理必须将终端的 PCR 值发送给验证代理. Table 1 Kind of communication protocol 表1
消息标识 00 01 10 11
通信协议种类
操作描述 接收命令准备 获取 PCR 信息 获取软件配置信息 获取用户行为信息
谭良 等:一种可信终端运行环境远程证明方案
1285
5
终端运行环境的远程证明的应用案例研究
本节以一个开放的局域网为实验环境分析本文提出的终端运行环境的远程证明方案 . 在该实验环境中 ,我
们选用 4 台计算机 , 其中 , 一台普通 PC, 基本配置为 Windows vista home basic @2007 service pack 1,CPU: Intel(R)Core(TM)2 Duo CPU T6670 @2.20GHz,1.0GB RAM,用于部署证明代理,该机器上配置 Jtpm;第 2 台为服 务器,基本配置为 Windows XP Professional 2002 Service pack 3,CPU:Intel(R)Core(TM)2 Duo CPU E7500@ 2.93GHz,2.0GB RAM, 用于部署验证代理 ; 第 3 台为服务器 , 基本配置为 :Ubanq2,CPU:Intel(R)Core(TM)2 Duo CPU E7500@2.93GHz,2.0GB RAM, 用 于 部 署策 略 数 据 库 和 小 型 开 源 CA, 最 后 一 台 也 为 服 务 器 , 基 本 配 置 为:Ubanq2,CPU:Intel(R)Core(TM)2 Duo CPU E7500@2.93GHz,2.0GB RAM, 用于部署 Web 服务.本实验的基本 思路是:终端在访问 Web 服务之前,需要向 Web 服务器证明自己满足访问 Web 服务器的可信策略.本实验也可 以应用于实现网络可信接入等这类开放的分布式计算环境中. 5.1 证明代理的设计与实现 终端是满足可信计算平台规范的终端 .在访问某一服务时 ,该服务必须满足可信策略库中的访问策略 ,包括 满足可信计算平台规范策略、软件配置策略(包括 Linux 本地安全服务已运行、Linux 安全补丁已安装、Linux 防火墙已开启等等 )以及终端用户行为可信策略 ,该可信策略是服务访问决策点判定终端是否可以访问服务时 的判定依据 .需要注意的是 ,本节给出的可信策略表示了访问服务时服务管理员对于网络安全要求的定义 , 根据 安全要求不同,可以定义各类可信策略实例.图 12 给出了在终端系统中满足可信策略的实体图,其中,信任根是 系统符合可信计算平台规范.
服务可信访问
Symatic NIS 网络防火墙 已安装
Windows KB898461补丁 已安装
Windows KB34740补丁 已安装
证明代理
Windows本地安全 服务LSA已启动 Windows自动扇 区可信
用户行为收集
主引导记录可信
CRTM、BIOS 可信 终端可信平台
Fig.12
State diagram for the trusted service access on the trusted terminal 图 12 可信服务访问的终端运行环境的状态图
1286
Journal of Software 软件学报 Vol.25, No.6, June 2014
该实体图描述了在服务访问点处终端的硬件、固件以及软件属性的定义以及属性间的信任关系和用户行 为的信任关系,例如根据可信策略,可以看出,只有当系统同时安装有操作系统补丁、运行防火墙软件,并且用户 无恶意行为时,才可以认为该系统处于安全状态,可以访问该服务. 图 13 给出了根据一次服务访问时可信策略,利用评估过程得出的对于平台满足各个安全属性的验证结果.
Fig.13
Property verification by our project for the trusted service access on the trusted terminal 图 13 可信服务访问的终端运行环境属性验证
根据服务访问系统中可信策略定义可以看出 : 传统二进制远程证明过程在能力上无法满足此类远程证明 要求,例如对于图 13 中定义的信任关系,当系统同时安装有操作系统补丁、 并且运行防火墙软件时,可以认为该 系统处于安全状态 ;对于已有的属性证明方案 ,在能力上无法满足终端用户行为可信属性证明的要求 , 例如对于 图 13 中定义的信任关系 ,当系统中的用户无恶意行为时 ,则可以认为该系统处于安全状态 .通过本文提出的用 户行为属性判定策略,可以证明终端运行环境的用户行为可信.
谭良 等:一种可信终端运行环境远程证明方案
1287
5.2 证明代理在终端中的性能分析 证明代理在一定程度上会影响终端的性能,我们将从启动时间、CPU 负载、内存消耗等方面对此进行详细 的讨论.而验证代理运行在第三方,对终端运行环境和服务访问的影响很小,本文不予讨论. 图 14 所示为终端在使用了证明代理和没有使用证明代理情况下的启动时间对比(深色为没有使用可信证 据收集代理,浅色为使用的情况),其中,代理文件的大小为 1.28MB,这里的启动时间是指终端的证明代理开始执 行到加载完毕开始执行的时间间隔.在一次系统启动之后,我们连续 4 次启动证明代理,这 4 次执行的时间如图 14 所示 , 其中 , 横坐标为启动次数 , 纵坐标为执行时间 ( 单位 :s). 实验是在如下的环境中进行的 :Windows XP Professional 2002 Service pack 3,CPU:Intel(R)Core×2 Duo CPU E7500@2.93GHz,2.0GB RAM.从实验结果可以 看出:在使用了证明代理的情况下,代理程序第 1 次启动的时间显著地增加了,这部分增加的时间是用于完成对 代理文件的度量;在第 2 次启动开始,由于代理文件没有发生改变,而且度量值是直接在高速缓存中获得的,所以 之后的启动时间与没有使用可信证据收集代理时的启动时间是基本相同的.这个结果与文献[17]相似.
0.5 0.4 Time (s) 0.3 0.2 0.1 有证明代理 无证明代理
1
2 3 初始化序列
4
Fig.14
Initiation time for server of the trust attestation agent 图 14 可信代理服务端启动时间
为了测试终端 CPU 负载 ,我们首先关掉终端所有无关的应用进程,待其稳定后测试 CPU 的利用率.如图 15 所示,图中显示的是在 4 个不同的时间点 CPU 的利用率(间隔 5min).从该图可以看出,关闭所有应用程序,此时 CPU 值在 0~2%之间浮动,CPU 的利用率几乎为 0.
CPU 使用率 CPU 使用记录 CPU 使用率 CPU 使用记录
0% CPU 使用率 CPU 使用记录
2% CPU 使用率 CPU 使用记录
0%
1%
Fig.15
CPU performance of terminal when server of the trusted attestation agent shuts down 图 15 未开启可信代理服务端时终端 CPU 的性能
然后启动证明代理,待其稳定后再测试 CUP 的利用率.如图 16 所示,图中显示的是在 4 个不同的时间点
1288
Journal of Software 软件学报 Vol.25, No.6, June 2014
CPU 的利用率(间隔 5min).从该图可以看出,启动监控代理后 CPU 的利用率变动范围在 3%~6%,常在 3%~6%之 间波动.也就是说,收集代理给 CPU 带来低于 6%的开销.
CPU 使用率 CPU 使用记录 CPU 使用率 CPU 使用记录
4% CPU 使用率 CPU 使用记录
4% CPU 使用率 CPU 使用记录
6%
3%
Fig.16
CPU performance of terminal when server runs 开启代理服务端时终端 CPU 的性能
图 16
为了测试内存消耗,我们首先关掉终端所有无关的应用进程,测试内存占用率,如图 17 所示;然后启动证明 代理,再次测试内存占用率.从前后两个图可以直观看出:证明代理带来的内存开销为 7M,非常小,对终端内存的 使用几乎没有影响.
内存 内存 内存 内存
765MB
768MB
765MB
768MB
内存
内存
内存
内存
772MB
775MB
772MB
775MB
Fig.17
Memory expense of terminal when sever of the trusted attestation agent runs and shuts down 图 17 未开启和开启可信代理服务端时终端内存开销
6
比较与评价
目前,为了促进远程证明方案的实用化,众多研究机构和学者提出了许多不同的远程证明方法.从遵循 TCG
规范的直接二进制证明,到基于高级语言的语义证明;从嵌入式设备的基于软件证明,到 Web Service 的证明.在 这众多的证明方法中 , 研究成果最多的还是基于实体标识的二进制证明和基于属性的远程证明 . 本方案与已有 基于实体标识的二进制证明和基于属性的远程证明方案相比,具有如下特点: (1) 与已有的基于实体标识的二进制证明相比 , 本方案克服了基于实体标识的二进制证明的最大缺点 : 对平台配置隐私的暴露,证明过程中不再要求出示整个平台的配置的完整性度量值;
谭良 等:一种可信终端运行环境远程证明方案
1289
(2)
与已有的基于属性的远程证明方案相比 , 本方案不仅包括了满足可信计算平台规范的属性判定和软 件配置的属性判定 , 而且还包括终端用户行为的属性判定 . 因此 , 本方案不仅可以判断终端的静态环 境可信,还可以判定终端的动态环境是否可信,为服务访问或网络接入提供更高的可信保障;
(3)
本方案在 Windows 平台上实现了证明代理和验证代理 ,并进行了实际的案例研究 ,最后分析了证明 代理在终端的性能开销.方案完整详细,具有较高的参考价值.
7
总
结
本文首先提出了终端运行环境远程证明的总体方案,分别介绍了属性 ptpm、 属性 psoft-configration 和属性 pbehavior 的判定策略以及终端运行环境远程证明的综合判定策略 . 然后 , 详细介绍了终端运行环境的远程证明方案在 Windows 平台上的实现,包括证明代理与验证代理的设计与实现以及它们之间的通信协议;其次,我们将证明代 理与验证代理应用于可信服务访问 ,并对证明代理在终端中的性能分析 ;最后 ,将本方案与已有基于实体标识的 二进制证明和基于属性的远程证明方案进行了比较. 我们下一步的工作将在两个方面展开 :一是开发本方案的实际产品适用系统 ;二是寻找更优化的终端运行 环境远程证明方案. References:
[1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14] [15] Trusted Computing Group. TPM main specification, version 1.2. 2003. https://www.doczj.com/doc/d91330977.html, Functionality and Interface Specification of Cryptographic Support Platform for Trusted Computing. 2007 (in Chinese). Garfinkel T, Pfaff B, Chow J. Terra: A virtual machine-based platform for trusted computing. In: Proc. of the 19th ACM Symp. on Operating Systems Principles. 2003. [doi: 10.1145/945445.945464] Sailer R, Zhang X, Jaeger T. Design and implementation of a TCG-based integrity measurement architecture. In: Proc. of the 13th Conf. on USENIX Security Symp. 2004. Trent T, Sailer R, Shanker U. PRIMA: Policy-Reduced integrity measurement architecture. In: Proc. of the 11th ACM Symp. on Access Control Models and Technologies. 2006. [doi: 10.1145/1133058.1133063] Peinado M, Chen Y, England P. NGSCB: A trusted open system. In: Proc. of the Australasian Conf. on Information Security and Privacy. 2004. [doi: 10.1007/978-3-540-27800-9_8] Shi E, Adrian P, Doom LV. BIND: A fine-grained attestation service for secure distributed systems. In: Proc. of the 2005 IEEE Symp. on Security and Privacy. 2005. [doi: 10.1109/SP.2005.4] Kuhn U, Selhorst M, Stuble C. Realizing property-based attestation and sealing with commonly available hard-and software. In: Proc. of the 2007 ACM Workshop on Scalable Trusted Computing. 2007. [doi: 10.1145/1314354.1314368] Chen L, Landfermann R, Lohr H. A protocol for property-based attestation. In: Proc. of the 1st ACM Workshop on Scalable Trusted Computing. 2006. [doi: 10.1145/1179474.1179479] Sadeghi AR, Stubl C. Property-Based attestation for computing platforms: Caring about properties, not mechanisms. In: Proc. of the 2004 Workshop on New Security Paradigms. 2004. [doi: 10.1145/1065907.1066038] Poritz J, Schunter M, Herreweghen EV. Property attestation-scalable and privacy-friendly security assessment of peer computers. Technical Report, RZ 3548, IBM Research, 2004. Sheehy J, Coker G, Guttman J. Attestation: Evidence and trust MITRE. Technical Report, MTR080072, 2008. Yu AM, Feng DG, Wang D. Property-Based remote attestation model. Journal on Communications, 2010,31(8):1?8 (in Chinese with English abstract). Cui YL, Shen CX. Credibility attestation of integrity measurement in property remote attestation. Computer Engineering, 2010, 36(21):11?16 (in Chinese with English abstract). [doi: 10.3969/j.issn.1000-3428.2010.21.004] Gu L, Guo Y, Wang H, Zou YZ, Xie B, Shao WZ. Runtime software trustworthiness evidence collection mechanism based on TPM. Ruan Jian Xue Bao/Journal of Software, 2010,21(2):373?387 (in Chinese with English abstract). https://www.doczj.com/doc/d91330977.html,/1000-9825/ 3789.htm [doi: 10.3724/SP.J.1001.2010.03789]
1290
Journal of Software 软件学报 Vol.25, No.6, June 2014
[16] [17] [18] [19] [20] [21] [22] [23] [24] [25] [26] [27]
Brickell E, Camenisch J, Chen LQ. Direct anonymous attestation. In: Proc. of the 11th ACM Conf. on Computer and Communications Security. 2004. 132?145. Ge H, Tate SR. A direct anonymous attestation scheme for embedded devices. In: Proc. of the Public Key Cryptography (PKC 2007). 2007. 16?30. [doi: 10.1007/978-3-540-71677-8_2] Brickell E, Chen LQ, Li JT. Simplified security notions for direct anonymous attestation and a concrete scheme from pairings. Int’l Journal of Information Security, 2009,8(5):315?330. [doi: 10.1007/s10207-009-0076-3] Brickell E, Chen LQ, Li JT. A new direct anonymous attestation scheme from bilinear maps. In: Proc. of the Trusted ComputingChallenges and Applications (TRUST 2008). 2008. 166?178. [doi: 10.1007/978-3-540-68979-9_13] Chen LQ, Morrissey P, Smart NP. Pairings in trusted computing. In: Proc. of the Pairings in Cryptography (Pairing 2008). London: University of London, 2008. 1?17. [doi: 10.1007/978-3-540-85538-5_1] Chen LQ, Morrissey P, Smart NP. DAA: Fixing the pairing based protocols. Cryptology ePrint Archive, Report 2009/198, 2009. https://www.doczj.com/doc/d91330977.html,/2009/198 Chen LQ, Li JT. A note on the Chen-Morrissey-Smart direct anonymous attestation scheme. Information Processing Letters, 2010, 110(12):485?488. [doi: 10.1016/j.ipl.2010.04.017] Chen X, Feng D. Direct anonymous attestation for next generation TPM. Journal of Computers, 2008,3(12):43?50. Brickell E, Li JT. Enhanced privacy ID from bilinear pairing. Cryptology ePrint Archive, Report 2009/095, 2009. http://eprint.iacr. org/2009/09 Chen LQ. A DAA scheme requiring less TPM resources. In: Proc. of the 5th China Int’l Conf. on Information Security and Cryptology. 2009. 350?365. [doi: 10.1007/978-3-642-16342-5_26] Brickell E, Li JT. A pairing-based DAA scheme further reducing TPM resources. In: Proc. of the 3rd Int’l Conf. on Trust and Trustworthy Computing. 2010. 181?195. Yacine G, Ahma-Reza S, Patrick S. Beyond secure channels. In: Proc. of the ACM Workshop on Scalable Trusted Computing. 2007. [doi: 10.1145/1314354.1314363]
附中文参考文献:
[2] 国家密码管理局 .可信计算密码支撑平台功能与接口规范 .2007. [13] 于爱民 ,冯登国,汪丹 .基于属性的远程证明模型 .通信学报 ,2010,31(8):1?8. [14] 崔艳莉 ,沈昌祥.属性远程证明中完整性测量的可信性证明 .计算机工程 ,2010,36(21):11?16. [doi: 10.3969/j.issn.1000-3428.2010. 21.004] [15] 古亮 ,郭耀,王华等 .基于 TPM 的运行时软件可信证据收集机制 .软件学报 ,2010,21(2):373?387. https://www.doczj.com/doc/d91330977.html,/1000-9825/ 3789.htm [doi: 10.3724/SP.J.1001.2010.03789]
谭良 (1972 － ), 男 , 四川泸县人 , 博士 , 教授 ,
陈菊 (1987 － ),女 , 硕士 , 主要研究领域为网
主要研究领域为可信计算 ,网络计算 . E-mail: jkxy_tl@https://www.doczj.com/doc/d91330977.html,
络安全 . E-mail: ccchenjulin@https://www.doczj.com/doc/d91330977.html,
视频会议终端 操作手册
目录 1. 产品概述 (1) 2. 系统主要功能及特色 (1) 2.1主要功能 (1) 2.2突出特点 (1) 3. 系统简介 (2) 3.1 欢迎界面 (2) 3.1.1 欢迎界面概览 (2) 3.1.2 欢迎界面详细介绍 (3) 3.2 主界面 (7) 3.2.1 主界面概览 (7) 3.2.2 主界面详细介绍 (8) 3.3 窗口布局 (9) 3.3.1 窗口布局设置 (9) 3.4 用户角色 (11) 3.5 接收视频 (12) 3.6 发言权 (12) 3.6.1 发言权说明 (12) 3.6.2 申请发言权 (12) 3.6.3 释放发言权 (13) 3.7 主讲权 (15) 3.7.1 主讲权说明 (15) 3.7.2 申请主讲权 (15) 3.7.3 释放主讲权 (16) 3.8 数据功能 (17) 3.8.1 文字交流 (17) 3.8.2 电子白板 (18) 3.8.3 屏幕共享 (20) 3.8.4 媒体共享 (20) 3.8.5 文档列表 (22) 3.8.6 文件的发送 (23) 3.8.7 文件的接收 (25) 3.8.8 会议录制 (25) 3.8.9 本地监控 (27) 3.9 会议管理 (28) 3.9.1 申请/放弃主席权限 (28) 3.9.2会议室锁定/解锁 (29) 3.9.3 敲门功能 (30) 3.9.4 全场静音功能 (31) 3.9.5 会场字幕功能 (31) 3.9.6 允许保存白板功能 (32) 3.9.7保留主讲视频 (33) 3.9.8允许/关闭会议录制功能 (33)
3.9.9 设置视频字幕参数 (34) 3.9.10文字聊天管理 (35) 3.9.11 用户管理功能 (35) 3.9.12 广播视频功能 (37) 3.9.13私聊功能 (37) 3.10 视频相关功能 (38) 3.10.1显示视频信息 (38) 3.10.2操作 (38) 3.10.3全屏 (38) 3.10.4关闭视频 (38) 3.10.5更多功能 (39) 3.11系统设置 (39) 3.11.1 音频设置 (39) 3.11.2 视频设置 (40) 3.11.3 录制设置 (40) 3.11.4 文件设置 (41) 3.11.5 文档设置 (41) 3.11.6本地监控 (42) 3.11.7消息设置 (42) 3.11.8消息标注 (43) 3.11.9 视频字幕 (44) 3.12 退出当前会议 (44) 3.13 关机 (45)
安全专项施工方案专家论证审批制度施工组织设计（方案）审批制度及 专项施工方案专家论证制度 1基本概念 1.1施工组织设计 施工组织设计是指导建设工程施工准备和施工全过程的技术管理文件。一项单位工程的施工组织设计内容包括: 工程概况、施工方法，施工进度计划，各项资源需求计划、施工平面图、技术质量措施、安全技术措施及技术经济指标等。 建设工程项目由多个单位工程组成时需要编制施工组织总设计，内容应全面覆盖各个单位工程，并解决单位工程之间的衔接。 1.2施工方案 关键工序或“四新” （新材料、新施工方案是针对工程项目中的某一个重点单位、分部工程. 技术、新工艺，新设备）内容等单独策划一整套的施工方法、工艺流程，技术措施、质量要求以及必要图纸 等编制而成的施工文件，属于一个工程完整的施工组织设计的一个组成部分。 2施工组织设计（含施工方案，下同）编制规定 2.1施工组织设计由项目部组织编制。施工组织设计编制前由项目经理组织项目相关人员进行方案讨论，确定基本方案后由项目技术负责人具体负责编制完成后经项目经理审阅并签字后报上级审批。公司技术负责人负责指导施工组织设计的编制。
2.2单位工程施工组织设计中的基坑围护设计作为一个特殊的施工方案，实际深度超过6 米（含6 米）的由公司组织编制设计方案，不足6 米的由项目部组织编制。 2.3施工组织设计可以一次编制完成，也可以分阶段、分单位分册编制。分阶段编制的施工组织设计一股应由基础阶段、上部结构及装饰阶段等内容组成。分册编制的施工组织设计在第一册中“前言”部分应说明整个施工组织设计由哪几个分册组成，各 分册应顺序编号。 2.4施工组织设计中的基坑支护与降水、土方开挖、用电、脚手架、模板拆除与爆破、起重吊装、垂直运输设备搭拆等部分应单独成册，单独填写审批表，并作为完整的施工组织设计中的—部分，一同上报审批。 2.5分包工程的施工组织设计是单位工程施工组织设计的一个组成部分。分包单位编制的 施工组织设计应由分包单位的技术负责入审批签字，项目部应在分包单位编制内容的基础上，增加总包管理等内容，形成一个完整的专项施工方案，并填写审批表报批。 2.6施工组织设计的内容应按“施工组织设计编制要求”进行编制。 3施工组织设计（含施工方案）审批规定: 3.1符合以下条件之一的施工组织设计必须由公司总工程师审批: 1）单位工程面积在5000 平方米及以上的工程; 2）基坑挖土深度超过6 米（包括6 米）的工程; 3）垂直运输需使用大型塔式起重机的工程; 4）采用爬、挂、挑脚手或其他新工艺，新技术的工程; 5）基坑开挖深度在3 米及以上的围护设计;
***技工学校旅游服务与管理专业 人才培养方案专家论证 尊敬的领导： 您好！为进一步明确我校旅游服务与管理专业人才培养目标，完善课程体系，保证教学计划的科学性，加强我校专业的内涵建设，必须对专业人才培养方案进行多方论证。特请您，在百忙之中能够对我院旅游服务与管理专业人才培养方案进行论证，为进一步完善方案提出宝贵意见。在此表示感谢。 一、本专业的人才培养目标定位是否准确？ 专业人才培养方案目标能够与行业和企业需求相结合，突出中职教育特色，就业面向准确，符合市场人才需求。 二、本专业的人才培养方向是否正确？ 按照人才培养目标的要求确定了人才培养的规格，并提出了与人才培养规格相对应的综合素质要求，以及行业通用、职业特定、跨行业等各项职业能力，人才培养方向正确。 三、本专业的课程设置是否科学？ 课程体系包括公共基础课程、专业技能课程（方向课程、平台课程），分为必修课、选修课和任选课三种类型，与专业人才培养目标、培养规格要求一致，适应了旅游服务与管理岗位能力要求，课程设置科学、合理。 四、本专业核心能力的要求是否适当？
专业核心能力表述准确，结构合理，适应了行业企业及社会对旅游管理人才知识、能力的要求。 五、本专业的教学计划进度安排是否合理？ 教学计划进度能够根据学情进行安排，总体上体现了知识、能力培养的规律，课时适中，次序合理。 六、本专业实训内容及安排是否规范？ 实训内容体现旅游服务与管理岗位技能培养的要求，与人才培养目标一致，实训项目合理，时间安排恰当。 七、本专业方案还存在哪些不足之处及改进的建议。 减少部分课程的理论教学学时，适当增加实训内容。 论证人（签字）：职务： 论证时间：年月日
视频会议系统配置参考说明 一.网络视频会议系统配置内容 视频会议系统要能够顺利使用，需要各个医院的会议室或培训室提供相关的硬件配套。具体分为以下几个大类： 1.PC 视频会议系统终端在PC上使用，并通过PC与音频、视频、显示设备连接。 PC的性能配置必须要满足一定要求（具体参见下表）。 2.网络 PC通过互联网与会议服务器连接，并通过互联网传输音频、视频、数据共享的内容。为了满足远程会议、培训、经验交流等各个应用，需要在会议带宽上有充分的保障，会议使用的PC连接所用网线至少保障独享2M；2M以上效果更好。 3.音频设备 音频包括全向麦、麦克、音箱功放、音频处理器、调音台等常见部分。由于发言、扩声等设备的现场布置与实际会议室的面积、布局密切相关，所以需根据实际情况提供设计方案。音频作为视频会议的最重要内容，在会议室中需着重关注与PC音频的交互支持，作为音频控制的核心音频处理器需对音频回声消除和噪声抑制重点支持，确保在会议音频的输入和输出稳定正常。 作为国际常用的会议数字音频处理器，在功能上把传统使用的调音台、均衡器、时延器、回声消除器等多个设备功能统一集中在一个设备中解决。具有更好的音频效果，并减少了占用空间，能够通过软件控制界面进行调整，降低使用难度。 4.显示设备 显示设备对于视频会议效果影响很大，要确保显示清晰度和质量。一般采用投影仪、智能交互平板、液晶电视。 投影仪和幕布是会议室常用的设备，投影仪优点是在支持超大屏幕时性价比高；缺点是投影仪的灯泡有寿命，使用频繁的话需经常更换。 液晶或等离子电视，优点是寿命长清晰度高，在小会议室性价比好，在支持超大屏幕价格太高。 智能交互平板是在液晶平板基础上支持了触摸交互功能，极大的增强了其交互效果，适宜现场培训或教学使用。缺点也是在超大屏幕（65寸以上）时价格偏高。 在大会议室或培训室，采用投影仪与智能交互平板或液晶电视相结合的方案。这样后排的人可以通过辅助智能交互平板或液晶电视更清晰的观看视频会议内容。 5.视频采集 视频会议中本地视频采集一般采用会议摄像机和采集卡，摄像机可根据会议室情况采用吊装或正装。 二.网络视频会议系统设备配置参考表
市建筑施工危险性较大的分部分项工程安全专项方案专家管理、选取和 审查论证程序 一、专家库建立及管理 专家库由在建设工程勘察、设计、施工、监理和管理等方面有较高理论水平和丰富实践经验的专业技术人员组成，分成《市建筑施工危险性较大的分部分项工程安全专项方案会审专家库》和《市建筑施工超过一定规模的危险性较大分部分项工程安全专项方案论证专家库》两个专家库，专家库日常工作管理由市建筑协会负责。 二、专家选取和确认程序 （一）施工企业下载《市危险性较大的分部分项工程安全专项方案论证专家组成员表》（附表一）； （二）施工企业按照《危险性较大的分部分项工程安全管理办法》第十条要求，到市建筑协会从专家库中选择符合项目和专业要求的专家组成员； （三）填写《市危险性较大的分部分项工程安全专项方案论证专家组成员表》报市建筑协会。 三、审查论证程序 （一）施工企业应在论证审查会召开前5天将安全专项方案送达专家手中。 （二）施工企业按照《危险性较大的分部分项工程安全管理办法》第十条组织专家组和相关人员进行论证、审查后，填写《市危险性较大的分部分项工程安全专项方案论证会签到表》（附表二）。 （三）填写《工程安全专项施工方案专家论证意见书》（见附表三）。 四、专项方案编制应当包括以下内容： （一）工程概况：危险性较大的分部分工程概况、施工平面布置、施工要求和技术保证条件。 （二）编制依据：相关法律、法规、规范性文件、标准、规范及图纸（国标图集）、施工组织设计等。 （三）施工计划：包括施工进度计划、材料与设备计划。 （四）施工工艺技术：技术参数、工艺流程、施工方法、检查验收等。 （五）施工安全保证措施：组织保障、技术措施、应急预案、监测监控等。 （六）劳动力计划：专职安全生产管理人员、特种作业人员等。 （七）计算书及相关图纸。 五、危险性较大的分部分项工程的会审工作由施工企业组织，组织方式、专家选择等参照超过一定规模的危险性较大的分部分项工程论证要求。 六、安全专项施工方案专家组必须提出书面论证审查报告，施工企业应根据论证审查报告对方案进行修改完善，施工企业技术负责人、项目总监理工程师、建设单位项目负责人签字后，方可组织实施。专家组书面论证审查报告应作为安全专项施工方案的附件，在实施过程中，施工企业应严格按照安全专项方案组织施工。
安全专项施工方案专家论证审查表 工程名称 方案名称 施工单位 会议地点天纳克汽车工业（苏州）有限公司2号厂房工程 高大模板安全专项施工方案 xx工业设备安装有限公司 工地现场会议室会议时间2012-1-11上午10:00开始 论证审查意见： 与会专家认真审阅了湖南工业设备安装有限公司编制的高支模安全专项施工方案。论证范围最大梁截面300mm×900mm，采用三立杆支撑；最大板厚120mm。支模最大高度约14米。经专家组认真讨论，方案总体可行，但为使方案进一步实施更具指导性和针对性，请施工方结合专家组下列意见进行补充优化，并在施工中进行交底和检查落实： 1.模板支撑所使用的模板方木、钢管扣件、对拉螺栓、可调顶托等材料的规格和质量应符合《JGJ130-2011》、《JGJ162-2008》规范及苏州建设局2006第24号文件。现场使用钢管壁厚不小于钢管计算采用壁厚。 2.对高大模板区域与相邻区域的水平杆件相互关系补充说明。补充平台处支架详图。 3.梁底三立杆支撑时，中间立杆应采用顶托与承重横杆连接，严禁后加；梁两侧立杆和板立杆应采用双扣件与横杆连接。 4.按《建筑施工模板安全技术规范》（JGJ162-2008）第 6.2.4条的要求，超过8米顶层横杆步距减半。
5.建议在大梁、支模高度变化处设置剪刀撑。先期浇好的柱作为排架的水平支点，补充支撑节点详图。梁底、板底承重木方避免处于悬挑状态。 6.立杆布设建议事先弹线。梁与板底的支撑立杆纵横向均应统一拉通，步距统 一。 专家签名 7.板下立杆应根据净高来配杆，立杆采用对接扣件，相邻接头位置错开一个步距。梁、板底中间立杆，采用可调顶托，其安装要求，应满足JGJ162-2008规范第 6.1.9和第 6.2.4条的要求，顶托螺杆伸出梁底承重横杆的距离不超过200mm，并保证立杆轴心受压。 8.支撑排架及钢管扣件式竖向及水平剪刀撑搭设完成后，应经三方共同验收合格后，方能铺设水平模板。 9.砼浇筑应选择合理浇筑路线和控制浇筑速度，采取分层、对称、有序的方式进行，确保模板支承排架受力均匀；并严格控制砼泵送口的堆载高度。混凝土分层浇筑厚度不超过40cm. 10.做好临边保护措施。监测点的位置要细化，要便于观测，应急救援预案补充送医院路线、各负责人员的电话及分工。 专家签名
湖南省危险性较大的分部分项工程专项施工方案 专家论证管理办法 第一条为加强建筑工程危险性较大的分部分项工程的施工安全管理，规范危险性较大的分部分项工程专项施工方案的专家论证，依据住房和城乡建设部《危险性较大的分部分项工程安全管理办法》（建质〔2009〕87号）及相关安全生产法律法规，结合我省实际，制定本办法。 第二条本省行政区域内建筑工程施工中危险性较大的分部分项工程专项施工方案的专家论证（以下简称专家论证）以及对其实施监督管理，适用本办法。超过一定规模的危险性较大的分部分项工程必须对专项施工方案组织专家论证。超过一定规模的危险性较大的分部分项工程一般范围见附件。 建设、设计、施工、工程监理以及相关建设行政主管部门及其建设工程安全生产监督机构认为需要组织专家论证的危险性较大的分部分项工程专项施工方案应当组织专家论证。 二级及以上安全等级的建筑边坡工程和附件中所列的深基坑支护工程应当在编制专项施工方案以前对工程专项设计方案组织专家评审。 第三条省建设行政主管部门负责全省专家论证的监
督管理，省建设工程质量安全监督管理总站负责日常监督管理工作。 县级及以上建设行政主管部门负责监管范围内工程项目专家论证的监督管理，日常监督管理工作可以委托其建设工程安全生产监督机构负责。 第四条建立全省建筑施工安全技术专家库（以下简称专家库），专家库实行动态管理，专家名单及其异动向社会公布。 专家论证必须从专家库中聘请相应专业类别的专家组成专家组。 专家库按照专家的专业类别进行分类，专家的专业类别包括建筑工程、市政道路与桥梁工程、岩土工程、吊装与安装工程、爆破工程等。 第五条专家库成员应具备下列条件： （一）具有良好的职业道德，能够认真、科学、客观、廉洁地履行职责； （二）熟悉建筑施工安全生产有关法律法规和规范标准，从事建筑施工或相关专业工作不少于10年； （三）具有高级及其以上专业技术职称； （四）年龄不超过70岁，身体健康。 第六条专家库成员按下列程序办理聘任手续： （一）申请人提交申请资料，经所在单位同意后，报市
人才培养方案专家论证报告 加入：会议的时间、地点、参与人员等信息 经过论证，认为： 主要问题：1.格式 2.无专家签名 一、培养目标明确。（人才培养方案、任务书） “能力本位”是中专人才的重要特征。我们把能力分为三个层次来培养：一是基本能力，包括学习能力、语言能力、信息能力、实践能力等；二是专业能力，包括建筑识图与绘图能力、施工测量能力、常用建筑材料质量检测能力、合理组织工程施工的能力、建筑工程造价的确定能力、建筑工程质量的检验与事故的处理能力等；三是发展能力，如人际能力、创新能力、施工能力等等。这三个层次的能力共同整合为职业能力。专业能力定位准确，目标明确，符合行业、企业、社会人才需求。 二、人才培养模式创新。（任务书） 依照专业对接产业、人才培养满足社会发展需求的原则，优化调整由企业、行业、建筑专业协会和学校多方教育专家参与的专业建设咨询委员会。通过市场调研、岗位能力分析，确定学生应具备现场施工与管理、工程监理、工程竣工验收能力。改革人才培养模式，构建“岗位引导、能力多元”的人才培养模式。在校内以“建筑展示楼工区式”模拟的建筑施工现场实训基地为依托，校外真实建筑施工现场为后盾，培养学生具备施工技术与管理、工程造价、工程监理、招投标等多元能力。新生入学进入建筑集团进行认知实习2周，每学期安排学生到建筑集团、监理企业等企业进行工学交替顶岗学习4周。最后一学期安排到￥###集团等8个校外实训基地顶岗实习锻炼，提升学生综合职业能力，可持续发展能力的学生。 三、课程体系完整、清晰。（任务书）
通过校内外专家共同对建筑工程施工岗位能力分析、改革目前主要以学科知识为主线的课程结构，结合现行规范、行业标准及能力模块实施课程整合，同时将建筑工程施工专业施工员、质检员、安全员、测量员等岗位职业资格能力融入课程中，生成建筑工程施工学习领域课程。构建与建筑施工过程岗位相适应的“建筑工程施工的职业能力为本位、以建筑工程施工岗位能力为主线以建筑工程土石方、混凝土、砌筑等施工实践能力为主线、以工作过程为导向”的基本技能、专项技能和综合技能为模块的课程体系。新型的课程体系将突出以就业为导向，以学生综合职业能力培养为主体的教育教学思想，既重视学生动手能力的培养，又注重学生职业道德、综合素养、创新创业精神、实践能力的培养。 具体做法：按照建筑工程管理能力要求和学生的特点，将学生的能力形成分为三个大的模块：专业基本技能学习模块、专项技能学习模块、综合技能形成模块。 第一模块为专业基本技能学习模块：主要是为学生创造仿真情景的基础知识学习和基本技能训练环境。 第二模块为专项技能学习模块：根据建筑工程施工项目形成的规律，将建筑工程管理过程分为不同项目，构成不同的学习领域，形成连续的逐步提升的项目阶梯，使学生的学习过程成为能力逐步提升的过程。 第三模块为综合技能形成模块：学生进入建筑企业，进行真实的工作实践，积累经验形成真实的工作能力，为将来的就业及发展打下基础。 课程体系设计能体现培养目标，便于专业人才培养模式的实施，专业核心课程、主要课程是否能得到保证，课程、学时、学分设置具有科学性，符合教育规律。 四、实践环节。 学校现已建成中央财政支持的实训基地和江苏省高水示范型实训基地，创设仿真的实训环境，基地建设具有先进性、配套齐全、符合环境保护要求，满足培训要求的教学场所。基地模拟、仿真或真实的培训设备要
休宁县地质灾害防治指挥中心大楼工程 模板项目施工方案专家论证意见 为加强休宁县地质灾害防治指挥中心大楼工程模板项目施工的安全技术管理，防止建筑施工安全事故，保障施工的人身和财产安全，根据建设部制定的《危险性较大工程安全专项施工方案编制及专家论证审查办法》，休宁县地质灾害防治指挥中心大楼工程项目部向公司安全专项施工方案专家论证小组提交了《休宁县地质灾害防治指挥中心大楼工程模板项目施工方案》，并要求公司安全专项施工方案专家论证小组组织有关专家给予论证。 公司安全专项施工方案专家论证小组收到休宁县地质灾害防治指挥中心大楼工程项目部提交的《休宁县地质灾害防治指挥中心大楼工程模板项目施工方案》后，于二0一一年八月二十一日及时地组织有关专家对《休宁县地质灾害防治指挥中心大楼工程模板项目施工方案》进行了论证。论证会由公司安全专项施工方案专家论证小组组长吴松南主持，并邀汪又华、吴春生、顾胜利、孙朝柱、黎金龙等五位高级工程师参加。论证会上，专家们对休宁县地质灾害防治指挥中心大楼工程项目部编制的《休宁县地质灾害防治指挥中心大楼工程模板项目施工方案》进行了认真的审查，达成了一下共识： 一、方案编制符合《建筑施工扣件式钢管脚手架安全技术规范》 （JGJ130-2001）及《建筑施工模板安全技术规范》（JGJ162-2008）的要求。
二、同意项目部编制的《休宁县地质灾害防治指挥中心大楼工程模板项目施工方案》中的支模钢管架设计做法及模板的施工方法。 三、满堂架支模满足安全施工的要求。 四、钢管满堂架安装搭设完毕后，必须仔细检查各扣件固定是否紧固、有无松动现象，防止施工作业时支架不牢固而发生安全事故。 五、同意按项目部编制的《休宁县地质灾害防治指挥中心大楼工程模板项目施工方案》组织实施。 论证人： 黄山市方圆建工有限公司 安全专项施工方案专家论证小组 二0一一年八月二十一日
专项施工方案及专家论证、审查制度 根据国务院令393号《建设工程安全生产管理条例》中第二十六条的规定， 结合本项目的实际情况，特制订本制度： 一、专项施工方案编审的范围 1、施工临时用电方案， 2、基坑支护工程； 3、土方开挖工程； 4、模板工程； 5、起重吊装工程； 6脚手架工程； 7、其他危险性较大的工程。 二、专项施工方案的编制要求 专项施工方案的编制必须具有较强的针对性，针对各种不同的工程结构、施工工艺和方法、作业条件等所产生的各种不相同的危险因素，采取相应的对策、措施, 主要应体现以下要求： a、针对施工项目的特点找出危险点、源和重要控制环节； b、明确作业方法的流程及操作要领； c、附具的安全验算结果 d、人员、机具、装备的选用配备、保证安全的措施； e、卫生、环境条件、文明施工标准； f、可能出现的危险及针对性预防措施； 三、专项施工方案的编制和论证 涉及大型工程、特种工程和危险性特别大的工程项目的专项施工方案，由项目技术负责人（总工程师）亲自编制，由项目经理主持，聘请设计、质量监督、工程监理、安监部门和其他有关方面专家进行论证，公司内部的工程师和有关的项目经理参与讨论和记录，经过论证后的专项施工方案在报请建设行政主管部门备案后再进行实施。 四、专项施工方案的实施 1、已批准的专项施工方案，不得随意变动，实施方案所需的安全技术措施经费不得挪作它用。
2、认真进行专项施工方案实施中的安全生产技术交底工作，安全技术措施中的 各种安全设置、防护应列入施工任务单，责任落实到班组或个人，并实行验收制度。施工作业人员必须进行现场安全教育和安全技术交底，否则不得进行作业。 3、在要害部位和危险区域，采取切实可行的安全防范措施，施工现场要有专职安全人员巡回检查，并设明显标志及警示牌。 4、作业过程中需变更方案和措施，必须由原编审人员同意，并有书面签证。 5、专项施工方案在实施过程中，现场必须有专职安全生产管理人员旁站监督。 当实施大型工程的专项施工方案时，项目技术负责人（总工程师）和安全总监和施工技术工程部长必须全过程旁站监督。 6对不认真执行专项施工方案中的安全技术措施或擅自更改措施的行为，一经检查发现，将对责任人进行严肃查处。 危险性较大工程安全专项施工方案专家论证审查制度（试行） 根据建设部《危险性较大工程安全专项施工方案编制及专家论证审查办法》的规定，结合本公司的实际情况，特制订本制度： 1 专家论证审查危险性较大工程安全专项施工方案编制的范围 1.1 深基坑工程。 开挖深度超过5m （含5m）或深度虽未超过5m （含5m），但地质条件和周围环境及地下管线极其复杂的工程。 1.2 高大模板工程。 水平混凝土构件模板支撑系统高度超过8m或跨度超过18m施工总荷载大于1 0kN/m2,或集中线荷载大于15kN/m的模板支撑系统。 1.7 其他危险性较大的工程。 2 专项施工方案的编制要求 2.1 专项施工方案的编制必须具有较强的针对性，针对各种不同的工程结构、施工工艺和方法、作业条件等所产生的各种不相同的危险因素，采取相应的对
危大工程监理专项方案及专家论证要点和技巧 危大工程，即:危险性较大的分部分项工程，是房屋建筑和市政基础设施工安全管理的重中之重，施工单位务必要搞清这三个基本问题:“危大工程”有哪些?专项方案怎么编?专家论证怎么办?总结三张表! 依据: ?《危险性较大的分部分项工程安全管理规定》(住建部〔2018〕37号令) ?《危险性较大的分部分项工程安全管理规定》有关问题的通知(建办质〔2018〕31号文) 表1“危大工程”有哪些?
危大工程，即:危险性较大的分部分项工程，是指房屋建筑和市政基础设施工程在施工过程中，容易导致人员群死群伤或者造成重大经济损失的分部分项工程。危大工程及超过一定规模的危大工程范围是由国务院住房城乡建设主管部门制定的。 【危大工程要求】 施工单位应当在施工前组织工程技术人员编制专项施工方案。 【超过一定规模的危大工程要求】 施工单位应当在施工前组织工程技术人员编制专项施工方案，还应当组织召开专家论证会对专项施工方案进行论证。
表2专项方案怎么编? 【专项方案编制、审核、审批】 施工单位应当在危大工程施工前组织工程技术人员编制专项施工方案。 实行施工总承包的，专项施工方案应当由施工总承包单位组织编制。危大工程实行分包的，专项施工方案可以由相关专业分
包单位组织编制。 专项施工方案应当由施工单位技术负责人审核签字、加盖单位公章，并由总监理工程师审查签字、加盖执业印章后方可实施。 危大工程实行分包并由分包单位编制专项施工方案的，专项施工方案应当由总承包单位技术负责人及分包单位技术负责人共同审核签字并加盖单位公章。 【专项方案主要内容】 (一)工程概况:危大工程概况和特点、施工平面布置、施工要求和技术保证条件; (二)编制依据:相关法律、法规、规范性文件、标准、规范及施工图设计文件、施工组织设计等; (三)施工计划:包括施工进度计划、材料与设备计划; (四)施工工艺技术:技术参数、工艺流程、施工方法、操作要求、检查要求等;
人才培养方案专家 论证报告
人才培养方案专家论证报告 加入：会议的时间、地点、参与人员等信息 经过论证，认为： 主要问题：1.格式 2.无专家签名 一、培养目标明确。（人才培养方案、任务书） “能力本位”是中专人才的重要特征。我们把能力分为三个层次来培养：一是基本能力，包括学习能力、语言能力、信息能力、实践能力等；二是专业能力，包括建筑识图与绘图能力、施工测量能力、常见建筑材料质量检测能力、合理组织工程施工的能力、建筑工程造价的确定能力、建筑工程质量的检验与事故的处理能力等；三是发展能力，如人际能力、创新能力、施工能力等等。这三个层次的能力共同整合为职业能力。专业能力定位准确，目标明确，符合行业、企业、社会人才需求。 二、人才培养模式创新。（任务书） 依照专业对接产业、人才培养满足社会发展需求的原则，优化调整由企业、行业、建筑专业协会和学校多方教育专家参与的专业建设咨询委员会。经过市场调研、岗位能力分析，确定学生应具备现场施工与管理、工程监理、工程竣工验收能力。改革人才培养模式，构建“岗位引导、能力多元”的人才培养模式。在校内以“建筑展示楼工区式”模拟的建筑施工现场实训基地为依托，校外真实建筑施工现场为后盾，培养
学生具备施工技术与管理、工程造价、工程监理、招投标等多元能力。新生入学进入建筑集团进行认知实习2周，每学期安排学生到建筑集团、监理企业等企业进行工学交替顶岗学习4周。最后一学期安排到￥###集团等8个校外实训基地顶岗实习锻炼，提升学生综合职业能力，可持续发展能力的学生。 三、课程体系完整、清晰。（任务书） 经过校内外专家共同对建筑工程施工岗位能力分析、改革当前主要以学科知识为主线的课程结构，结合现行规范、行业标准及能力模块实施课程整合，同时将建筑工程施工专业施工员、质检员、安全员、测量员等岗位职业资格能力融入课程中，生成建筑工程施工学习领域课程。构建与建筑施工过程岗位相适应的“建筑工程施工的职业能力为本位、以建筑工程施工岗位能力为主线以建筑工程土石方、混凝土、砌筑等施工实践能力为主线、以工作过程为导向”的基本技能、专项技能和综合技能为模块的课程体系。新型的课程体系将突出以就业为导向，以学生综合职业能力培养为主体的教育教学思想，既重视学生动手能力的培养，又注重学生职业道德、综合素养、创新创业精神、实践能力的培养。 具体做法：按照建筑工程管理能力要求和学生的特点，将学生的能力形成分为三个大的模块：专业基本技能学习模块、专项技能学习模块、综合技能形成模块。 第一模块为专业基本技能学习模块：主要是为学生创造仿真情景的基础知识学习和基本技能训练环境。
关于需要专家论证的方案办事指南 一、本工程需要进行专家论证的专项方案： 1、人工挖孔桩工程施工方案（已完成专家论证） 2、地下连续墙工程施工方案 3、土方开挖工程施工方案 4、高支模工程施工方案 5、脚手架工程施工方案 6、幕墙安装工程 二、专项方案编制应当包括以下内容： 1、工程概况：危险性较大的分部分项工程概况、施工平面布置、施工要求和技术保证条件。 2、编制依据：相关法律、法规、规范性文件、标准、规范及图纸（国标图集）、施工组织设计等。 3、施工计划：包括施工进度计划、材料与设备计划。 4、施工工艺技术：技术参数、工艺流程、施工方法、检查验收等。 5、施工安全保证措施：组织保障、技术措施、应急预案、监测监控等。 6、劳动力计划：专职安全生产管理人员、特种作业人员等。 7、计算书及相关图纸。 三、一些专家论证会的要求： 1、专项方案应当由施工单位技术部门组织本单位施工技术、安全、质量等部门的专业技术人员进行审核。经审核合格的，由施工单位技术负责人签字。实行施工总承包的，专项方案应当由总承包单位技术负责人及相关专业承包单位技术负责人签字。专项方案应当由施工单位组织召开专家论证会。实行施工总承包的，由施工总承包单位组织召开专家论证会。 2、下列人员应当参加专家论证会： （1）专家组成员； （2）建设单位项目负责人或技术负责人； （3）监理单位项目总监理工程师及相关人员； （4）施工单位分管安全的负责人、技术负责人、项目负责人、项目技术负责人、专项方案编制人员、项目专职安全生产管理人员； （5）勘察、设计单位项目技术负责人及相关人员。
第十条专家组成员应当由5名及以上符合相关专业要求的专家组成。 本项目参建各方的人员不得以专家身份参加专家论证会。 3、专家论证的主要内容： （1）专项方案内容是否完整、可行； （2）专项方案计算书和验算依据是否符合有关标准规范； （3）安全施工的基本条件是否满足现场实际情况。 专项方案经论证后需做重大修改的，施工单位应当按照论证报告修改，并重新组织专家进行论证。 三、进行专家论证一般程序 办理依据： （1）国务院《建设工程安全生产管理条例》（国务院令第393号） （2）广东省建设厅转发住房和城乡建设部关于印发《危险性较大的分部分项工程安全管理办法》的通知（粤建安字[2009]45号） 1、编制各专项方案。 2、联系专家组组长，并把需要论证的专项方案资料提交给专家组组长。 3、专家组组长联系其他专家组成员（加上组长一共5人），讨论是否需要进行现场勘察或召开专家论证会；如无特别要求，在进行专项方案论证后，专家组开具初步的《专项方案专家论证审查意见书》（该意见书无红章也无专家组签名，但是这是作为专项方案修改完善的指导意见）。（另：经咨询，每位专家组成员的论证费行价大约是￥1000元/人，组长是￥1500元，再加上中间联系人￥500元） 4、根据初步意见书，修改完善专项方案后，再次提交给专家组组长，经审核达到要求后，专家组便出具正式的有专家组各成员签名的并盖有红章的《专项方案专家论证审查意见书》；如未达到要求的，再次修改并晚上专项方案直到达到要求为止。 5、施工单位根据论证报告修改完善后的专项方案，并经施工单位技术负责人签名后，附上《专项方案专家论证审查意见书》，报审监理，经项目总监理工程师、建设单位项目负责人签字后，方可组织实施。 6、如需进行现场勘察或召开专家论证会的，应按要求组织各方人员（人员详见第三大点第2小点）进行；一般来说，广州市内的工程很多专项方案是不需要召开专家论证会的，这个也要跟监理沟通，为方便施工还是争取不需要召开的为好。 四、现时急需办理的专项方案论证计划 1、地下连续墙工程施工方案论证（是否交由省基础自行完成）
专项施工方案专家论证制度 根据国务院令393 号《建设工程安全生产管理条例》中第二十六条的规定，结合本公司的实际情况，特制订本制度： 一、专项施工方案编审的范围 1、施工规程（安装、高空作业、）； 2、施工临时用电方案； 3、施工临时动火方案； 3、其他危险性较大的工程。 二、专项施工方案的编制要求专项施工方案的编制必须具有较强的针对性，针对各种不同的工程结构、施工工艺和方法、作业条件等所产生的各种不相同的危险因素，采取相应的对策、措施，主要应体现以下要求： a针对施工项目的特点找出危险点、源和重要控制环节； b、明确作业方法的流程及操作要领； c、附具的安全验算结果 d、人员、机具、装备的选用配备、保证安全的措施； e、卫生、环境条件、文明施工标准； f、可能出现的危险及针对性预防措施； 三、专项施工方案的编制和论证 1、小型工程（单体建筑面积10000M2 以内、建筑层数12层以内、单跨结构24M 以内等等）的专项施工方案由工程项目部完成编制，公司施工技术管理科进行协助，完成后的专项施工方案由施工技术管理科组织进行论证，参加论证的的人员主要为公司内部的工程师以及项目经理和施工员，
论证后的专项施工方案报企业技术负责人（总工程师）审批后实施。 2、中型工程（单体建筑面积10000M2 以上、建筑层数12层以上、单跨结构24M 以上等等）的专项施工方案由公司施工技术管理科进行编制，完成后的专项施工方案由企业技术负责人组织进行论证，参加论证的人员除公司内部的工程师以及项目经理和施工员外，还要请设计部门、质量监督部门和工程监理部门参加，论证后的专项施工方案由公司总经理审批后实施。 3、涉及大型工程、特种工程和危险性特别大的工程项目的专项施工方案，由公司技术负责人（总工程师）亲自编制，由公司总经理主持，聘请设计、质量监督、工程监理、安监部门和其他有关方面专家进行论证，公司内部的工程师和有关的项目经理参与讨论和记录，经过论证后的专项施工方案在报请建设行政主管部门备案后再进行实施。 四、专项施工方案的实施 1、已批准的专项施工方案，不得随意变动，实施方案所需的安全技术措施经费不得挪作它用。 2、认真进行专项施工方案实施中的安全生产技术交底工作，安全技术措施中的各种安全设置、防护应列入施工任务单，责任落实到班组或个人，并实行验收制度。施工作业人员必须进行现场安全教育和安全技术交底，否则不得进行作业。 3、在要害部位和危险区域，采取切实可行的安全防范措施，施工现场要有专职安全人员巡回检查，并设明显标志及警示牌。 4、作业过程中需变更方案和措施，必须由原编审人员同意，并有书面签
人才培养方案专家评价 人才培养方案专家评价 一、培养目标明确。（人才培养方案、任务书）“能力本位”是中专人才的重要特征。我们把能力分为三个层次来培养：一是基本能力，包括学习能力、语言能力、信息能力、实践能力等；二是专业能力，包括建筑识图与绘图能力、施工测量能力、常用建筑材料质量检测能力、合理组织工程施工的能力、建筑工程造价的确定能力、建筑工程质量的检验与事故的处理能力等；三是发展能力，如人际能力、创新能力、施工能力等等。这三个层次的能力共同整合为职业能力。专业能力定位准确，目标明确，符合行业、企业、社会人才需求。二、人才培养模式创新。（任务书）依照专业对接产业、人才培养满足社会发展需求的原则，优化调整由企业、行业、建筑专业协会和学校多方教育专家参与的专业建设咨询委员会。通过市场调研、岗位能力分析，确定学生应具备现场施工与管理、工程监理、工程竣工验收能力。改革人才培养模式，构建“岗位引导、能力多元”的人才培养模式。在校内以“建筑展示楼工区式”模拟的建筑施工现场实训基地为依托，校外真实建筑施工现场为后盾，培养学生具备施工技术与管理、工程造价、工程监理、招投标等多元能力。新生入学进入建筑集团进行认知实习2周，每学期安排学生到建筑集团、监理企业等企业进行工学交替顶岗学习4周。最后一学期安排到￥###集团等8个校外实训基地顶岗实习锻炼，提升学生综合职业能力，可持续发展能力的学生。三、课程体系完整、清晰。（任务书）通过校内外专家共同对建筑工程施工岗位能力分析、改革目前主要以学科知识为主线的课程结构，结合现行规范、行业标准及能力模块实施课程整合，同时将建筑工程施工专业施工员、质检员、安全员、测量员等岗位职业资格能力融入课程中，生成建筑工程施工学习领域课程。构建与建筑施工过程岗位相适应的“建筑工程施工的职业能力为本位、以建筑工程施工岗位能力为主线以建筑工程土石方、混凝土、砌筑等施工实践能力为主线、以工作过程为导向”的基本技能、专项技能和综合技能为模块的课程体系。新型的课程体系将突出以就业为导向，以学生综合职业能力培养为主体的教育教学思想，既重视学生动手能力的培养，又注重学生职业道德、综合素养、创新创业精神、实践能力的培养。具体做法：按照建筑工程管理能力
重大专项方案专家论证程序 一、方案制定 1、商铺大门模板施工方案 高大模板施工方案专家论证评审时，需提交以下材料，材料份数要保证专家组成员每人一份： （1）商铺大门模板施工方案 （2）工程施工图纸（大门上平板简图） 二、论证评审程序 1、高大模板施工方案 高大模板施工方案专家论证评审会由专家组组长主持，主要有以下议程： （1）建设单位介绍工程概况； （2）编制单位介绍方案； （3）专家组成员提问； （4）编制单位对专家组的提问进行解答； （5）专家组研究、讨论最后由专家组组长汇总形成专家组意见，并填写?重大专项方案专家论证审查表?； （6）专家组组长向建设单位通报论证评审情况并听取反馈意见； （7）论证评审会结束。
三、论证审查表的填写 重大方案进行论证审查后，专家组意见应以?重大专项方案专家论证审查表?的形式递交相关单位，由专家组组长执笔。 1、一般性的论证方案，可在现场评审形成审查意见，并填写?重大专项方案专家论证审查表?； 2、大型或较复杂专项方案及政府投资工程涉及到的专项方案可实行预审，预审文件资料提前送达评审专家，请评审专家审阅并初步形成自己的意见，在论证评审会时一并带至现场，最后汇总形成专家组意见并填写?重大专项方案专家论证审查表?； 3、?重大专项方案专家论证审查表?中的专家组意见栏必须有明确的同意与否的结论性意见。
重大专项方案专家论证程序 一、方案制定 1、淄川般阳丽都大厦基坑支护施工方案 深基坑方案专家论证评审时，需提交以下材料，材料份数要保证专家组成员每人一份： （1）基坑支护施工方案 二、论证评审程序 1、深基坑施工方案 深基坑施工方案专家论证评审会由专家组组长主持，主要有以下议程： （1）建设单位介绍工程概况； （2）编制单位介绍方案； （3）专家组成员提问； （4）编制单位对专家组的提问进行解答； （5）专家组研究、讨论最后由专家组组长汇总形成专家组意见，并填写?重大专项方案专家论证审查表?； （6）专家组组长向建设单位通报论证评审情况并听取反馈意见； （7）论证评审会结束。 三、论证审查表的填写 重大方案进行论证审查后，专家组意见应以?重大专项方案
XX职业技术学院 关于制定专业人才培养方案的若干规定和意见 各教学单位： 专业人才培养方案(以下简称“人培方案”)是实现学校人才培养目标规格和保证教育教学质量的纲领性文件,是学校办学理念和特色的具体体现。为了适应社会发展对高职院校人才培养的新要求，学校决定在认真研判我省乃至全国高职教育发展的最新形势、理念、模式和经验的基础上，全面总结我校建校以来专业人才培养方案制定方面的成绩和不足，认真做好专业才培养方案的制定(修订)工作，实现学校专业人才培养方案的全面升级，为提高学校专业建设水平和人才培养质量、凝练人才培养特色奠定基础。现对专业人才培养方案的制定(修订)工作提出以下规定和意见： 一、指导思想 全面贯彻落实《国家中长期教育改革和发展规划纲要（2010-2020年）》、《教育部关于深化职业教育教学改革全面提高人才培养质量的若干意见》和《国务院关于加快发展现代职业教育的决定》（国发〔2014〕19号），结合教育部职业教育与成人教育司在2012年颁布的《高等职业学校专业教学标准》（试行）中关于专业的培养目标与规格、课程体系与核心课程（教学内容）等文件精神，按照我校因材施教、顺势成才、夯实基本知识、夯实基本技能、夯实基本素养的教育教学理念，更新人才培养观念，改革人才培养模式，凝练专业特色。 二、基本原则 （一）“职业导向的原则”。坚持以职业为导向培养人才是高等职业技术教育办学的基本要求，也是职业教育区别于本科教育的根本属性。针对当前经济发展进入新常态、发展方式发生深刻转变、创新驱动发展战略深入推进、经济结构经历深刻调整、新技术革命带来全方位变革以及全球化和信息化带来深刻挑战的情况，既要主动适应区域发展、行业经济和社会建设的需要，也要遵循高等职业教育的教育教学规律。要通过区域、行业、院校、毕业生等方面的调研，结合《国民经济行业分类》国家标准（GB/4754-2002）和“文化及相关产业分类标准”等，明确本专业适应的职业和职业岗位（群），确定本专业的人才培养目标和培养规格。 （二）“能力本位的原则”。正确处理“基本知识、基本能力、基本素养”三者间的关系，基本能力（技术技能）的培养是中心，基本知识和基本素养要围绕基本能力（技术技能）展开。实施学历证书和职业资格证书“双证书”制度，把行业技术标准、职业岗位任职要求、职业资格标准融入课程标准，将职业能力的培养和职业资格教育有机结合。要避免把职业能力简单等同于纯粹操作技能，不仅让学生对某种技术具备举一反三的应用能力，还要使他们经历持续改进或创新现有产品的工艺、生产过程或服务方式的完整技术及活动过程。学生经过训练
专项施工方案和需要专家论证的分类 文件排版存档编号：[UYTR-OUPT28-KBNTL98-UYNN208]
附件一：危险性较大的分部分项工程范围附件二：超过一定规模的危险性较大的分部分项工程范围 附件一危险性较大的分部分项工程范围专项方案应当由施工单位技术部门组织本单位施工技术、安全、质量等部门的专业技术人员进行审核。经审核合格的，由施工单位技术负责人签字。实行施工总承包的，专项方案应当由总承包单位技术负责人及相关专业承包单位技术负责人签字。不需专家论证的专项方案，经施工单位审核合格后报监理单位，由项目总监理工程师审核签字。 一、基坑支护、降水工程开挖深度超过3m（含3m）或虽未超过3m但地质条件和周边环境复杂的基坑（槽）支护、降水工程。 二、土方开挖工程开挖深度超过3m（含3m）的基坑（槽）的土方开挖工程。 三、模板工程及支撑体系 (一）各类工具式模板工程：包括大模板、滑模、爬模、飞模等工程。 （二）混凝土模板支撑工程：搭设高度5m及以上；搭设跨度10m及以上；施工总荷载10kN/m2及以上；集中线荷载15kN/m2及以上；高度大于支撑水平投影宽度且相对独立无联系构件的混凝土模板支撑工程。 （三）承重支撑体系：用于钢结构安装等满堂支撑体系。 四、起重吊装及安装拆卸工程 （一）采用非常规起重设备、方法，且单件起吊重量在10KN(1020千克力)及以上的起重吊装工程。 （二）采用起重机械进行安装的工程。 （三）起重机械设备自身的安装、拆卸。
五、脚手架工程 （一）搭设高度24m及以上的落地式钢管脚手架工程。 （二）附着式整体和分片提升脚手架工程。 （三）悬挑式脚手架工程。 （四）吊篮脚手架工程。 （五）自制卸料平台、移动操作平台工程。 （六）新型及异型脚手架工程。 六、拆除、爆破工程 （一）建筑物、构筑物拆除工程。 （二）采用爆破拆除的工程。 七、其它 （一）建筑幕墙安装工程。 （二）钢结构、网架和索膜结构安装工程。 （三）人工挖扩孔桩工程。 （四）地下暗挖、顶管及水下作业工程。 （五）预应力工程。 （六）采用新技术、新工艺、新材料、新设备及尚无相关技术标准的危险性较大的分部分项工程。 附件二超过一定规模的危险性较大的分部分项工程范围施工单位应当组织专家对专项方案进行论证