3. AVEVA权限模型解析
在AVEVA System Platform、AVEVA Historian、AVEVA InTouch等产品构成的工程环境中，权限模型并不是一张简单的“用户—密码”表，而是一套由角色、对象、功能、数据四个维度交织而成的访问控制体系。理解这套体系的关键，是先分清“谁在什么对象上、能执行什么功能、能看见哪些数据”这四个问题分别由哪一层权限来回答。本节围绕RBAC、权限继承、对象级权限，以及功能权限与数据权限的区分展开，并给出可落地的配置思路。
RBAC：角色是权限的载体，用户只是角色的实例
基于角色的访问控制（Role-Based Access Control，RBAC）的核心思想是：不把权限直接授予用户，而是授予角色，再把角色分配给用户。在AVEVA环境中，常见的角色包括操作员（Operator）、值班长（Shift Supervisor）、工程师（Engineer）、系统管理员（Administrator）、只读审计员（Auditor）等。角色定义的是“一类岗位能做什么”，用户账号只是角色的实例化。
这样做的好处是权限可复用、可审计。当一名操作员调岗为值班长时，只需调整其角色分配，而不必逐项修改几十个对象的权限。配置时通常遵循三条原则：最小权限（只授予完成工作所必需的权限）、职责分离（如工程师不应同时拥有审计日志删除权）、角色数量可控（角色过多会导致权限矩阵难以维护）。
权限继承：从系统根节点向下传递
AVEVA的权限模型通常以树形结构组织对象，例如：系统根 → 厂区 → 装置 → 单元 → 设备 → 标签/画面。权限继承意味着在父节点上设置的权限会自动向下传递，子节点默认继承父节点的访问控制列表（ACL）。这大幅减少了重复配置，但也带来一个常见误区：“我在根节点给了工程师完全控制，为什么某个设备还是打不开？”——原因往往是该设备被单独设置了显式拒绝（Deny），而拒绝通常优先于继承来的允许。
因此，配置继承时要明确两点：一是继承是默认行为，显式设置会覆盖继承；二是拒绝优先于允许。建议在工程中尽量在较高层级（如装置级）统一授权，只在确有特殊需求的少数对象上做显式覆盖，并记录覆盖原因，避免权限“黑盒”。
对象级权限：把控制精确到设备与标签
对象级权限解决的是“同一角色在不同对象上权限不同”的问题。例如，操作员可以操作1号锅炉的启停按钮，但不能操作2号锅炉；工程师可以修改A装置的脚本，但不能修改B装置。在AVEVA中，这通常通过为具体对象设置独立的ACL来实现，ACL中列出主体（用户或角色）与权限项（读取、写入、执行、删除等）。
对象级权限的配置要点是：先继承、后覆盖。如果某设备需要特殊权限，先确认父节点继承是否已满足需求；若确实需要覆盖，再在该对象上添加显式条目。建议在对象命名或属性中标注“权限例外”，便于后续审计。此外，对象级权限应与功能权限配合使用——对象级决定“能不能碰这个对象”，功能权限决定“碰了之后能做什么动作”。
功能权限与数据权限：区分“能做什么”和“能看什么”
这是实际工程中最容易混淆的一对概念。可以用一句话区分：功能权限管动作，数据权限管内容。
- 功能权限：控制用户能否执行某个操作。例如，操作员可以“确认报警”，但不能“修改报警限值”；工程师可以“下装脚本”，但不能“删除审计日志”。功能权限通常绑定在角色或对象上，表现为“允许/拒绝”某个动作。
- 数据权限：控制用户能看到哪些数据。例如，值班长只能查看本班次的历史趋势；审计员只能查看最近90天的操作日志；某用户只能看到A装置下的标签，看不到B装置。数据权限往往通过数据过滤、范围限定或行级安全来实现。
配置时，两者需要组合判断。一个典型场景：操作员拥有“查看趋势”的功能权限，但数据权限只允许其查看本装置标签。如果只配了功能权限而没配数据权限，操作员可能看到全厂数据；如果只配了数据权限而没配功能权限，则连趋势画面都打不开。因此，建议在权限设计表中同时列出“功能项”和“数据范围”两列。
Site = 'PS01'，使其趋势和报警查询仅返回1号泵站数据。配置完成后，用该角色账号登录验证：能打开1号泵站画面并操作，打开2号泵站画面应提示无权限，趋势查询结果中不应出现2号泵站标签。
权限配置的检查与验证
权限配置完成后，不能只看配置界面“打了勾”，而要用实际账号验证。建议按以下顺序检查：
- 角色分配检查：确认用户所属角色是否正确，是否存在多角色叠加导致权限放大。
- 继承链检查：从根节点到目标对象，逐层确认是否有显式Deny或覆盖。
- 功能权限验证：用目标账号尝试执行关键操作，确认允许的操作能成功、禁止的操作被拦截。
- 数据权限验证：查询趋势、报警、报表，确认返回的数据范围与设计一致，尤其注意边界值（如跨装置标签）。
- 审计日志核对：在AVEVA Historian或审计模块中查看操作记录，确认权限变更和敏感操作均有留痕。
总结来说，AVEVA权限模型是一个“角色—继承—对象—功能/数据”四层协同的体系。RBAC解决批量授权与岗位复用，继承解决配置效率，对象级权限解决精细控制，功能权限与数据权限分别解决“动作”和“内容”的边界。实际配置时，先画清对象树和角色清单，再按“先继承、后覆盖、功能与数据成对检查”的顺序落地，最后用真实账号验证并保留审计记录，才能让权限体系既安全又可用。