校園一卡通系統工程的設計與網絡及安全的實現
文章出處：http://hz-huyue.com 作者：劉臻暉 人氣： 發表時間：2010年08月24日
隨著信息技術的發展，我國各類校園網建設水平得到很大的提高。無論是小學、中學還是大學，都在積極加強學校內校園信息化的建設，而其中的智能卡（非接觸IC 卡）技術在校園信息系統建設中顯得尤為突出。
一卡通以智能卡為信息載體，結合微電子技術、單片機技術、計算機網絡技術及數據庫技術等諸多高新科技，使其具有電子身份識別和電子錢包的功能，替代校園傳統的日常生活所需的教師工作證、學生證、借書證，以及與現金相關交易的食堂飯卡（券）、醫療證、上機證、門票等，達到教、學、考、評、住、用的全面數字化和網絡化，真正實現"一卡在手，走遍校園"。"校園一卡通系統"的建設，是目前高校信息化發展的必然趨勢。
1. 一卡通的流程概述
"校園一卡通系統"是數字化校園建設的重要部分，涉及到校園各個運行部門和師生，建設意義和對今后影響都十分深遠。目前高校校園網一卡通的建設流程主要如下：
建設模式:成立建設領導小組，專家小組和實施工作小組。提出總體設計和需求，決定采用哪種運營模式。
系統建設：建立覆蓋校區的"一卡通"專用網絡，采用相應的網絡拓樸結構。
安全策略：
（1）卡片安全：校園應用對卡要求很高，而其中M1射頻卡是非接觸式IC卡中影響較大的一種。由于每張卡有獨一無二的序列號，芯片有16個存儲扇區，每個扇區讀寫需要獨立雙向三次論證，傳遞數據有嚴格的加密算法和密碼保護。這些優點使這種卡成為高校IC卡應用的首選。
（2）網絡安全：可以采用三種網絡相結合的架構，一卡通系統網絡、基于校園網的專用虛擬網和物理隔離的金融網絡。
專網與校園網隔離，專用的物理通道保證了各校區、各層次網絡連接和信息傳輸的安全性。銀行方的數據交易，采用防火墻隔離技術，確保網絡互聯和邊界的安全。網絡內部通過MAC端口地址與IP地址綁定，封鎖交換機空余的端口，配置用戶口令，使用不同級別的命令等措施。從三方面即網絡互聯、網絡邊界、網絡內部來確保整個專用網絡的安全。
（3）數據安全：①通過制定一套完整的密鑰管理體系，來保證消費過程的安全性和終端機具使用的安全性。"一卡通"系統交易過程中使用的密鑰有：主密鑰、工作密鑰、扇區密鑰、卡片扇區密鑰、個人密碼密鑰、卡片個人密碼密鑰，由這六個密鑰組成"一卡通"系統的密鑰體系。
②收費終端采用雙CPU工作、UPS供電、以及無源存儲保護數據技術。正常情況下，終端數據信息均具有代碼標識，實時經專網上傳到"結算中心"進行結算；異常發生時，啟動收費終端的數據分析功能，迅速查出數據出錯源，通過底層數據還原校驗予以糾正。
③數據庫服務器的數據備份，同時采用磁盤陣列、磁帶機等多重備份，提供足夠的數據冗余；備份方式采用標準備份、增量備份、差量備份三種方法相結合保證數據的安全性。
④軟件安全：建立嚴格的用戶權限管理系統，并在用操作權限分配、登錄控制、身份驗證、密碼控制、日志跟蹤等方面設計了嚴密的機制，來保證安全性。
建設項目：目前各高校校園一卡通實施的項目大致如下： 一卡通專用網絡、校園一卡通卡務中心、校園一卡通結算中心、銀行圈存系統、數據庫系統、設備管理系統、學籍教務管理系統、各類收費系統、圖書館管理系統、機房上機管理系統、門禁、通道管理系統、身份識別系統、醫療系統、后勤服務管理系統、各類信息查詢系統。
2. 一卡通的幾種運營方式比較
一卡通上運行的是金融交易數據及其他重要的MIS（管理信息系統）數據，在進行一卡通工程建設與實施過程中，出于系統安全和以后數字化校園建設的需要，不同高校建設可能采取不同的運營模式，而不同的運營模式直接關系到具體網絡建設模式的設計。
這幾種運營模式大致分為三種：1、部門級封閉式運營模式 2、銀行圈存、校內發卡結算模式 3、銀行圈存發卡、校內結算模式 。這3種模式涉及到學校、銀行、師生（客戶）、商戶（校內企業）四類對象，銀行、學校財務、商戶、持卡人的關系如下圖（圖1）所示，這4類對象的特點分別如下：
圖1
銀行：隨著銀行業務發展和拓寬，項目投資也將增加，投資決定因素是存款數目、存款期限、帳戶留存金額、客戶群體穩定性、發展前景、可持續增長性等因素。銀行可以通過銀校一卡通通項目合作擴大業務范圍和渠道，獲得可觀的資金積累。同時銀行對教育的投入可以提高自身效益和知名度，從而使銀校合作具有極大的推廣價值。
學校：學校收費可以借助銀行系統實現自動轉帳，減少學校的結算工作量，同時通過銀行可以提高安全性尤其大大提高學校每年新學期開始時學生從異地到校攜帶現金的安全性。
師生：通過圈存機將銀行帳戶轉入學校校園卡（射頻卡）帳戶，避免現金交易的麻煩。
商家：校園內商家可以實現無紙幣流通，防止出現假幣、殘幣、找零的麻煩，可以和學校定期和數據中心結帳，也使學校更方便地管理學校內的商業運作。
