随着现代信息科技的发展,信息作为一种重要的资源正不断受到外部和内部的各种威胁,访问控制是一种保护信息安全的重要措施。近些年来,基于角色的访问控制(Role-Based Access Control, RBAC)作为一种先进有效的访问控制方法得到广泛的应用。虽然RBAC策略拥有众多优点,但是,现实中访问控制应用是很难与RBAC相结合的,比如时间约束问题。在现实应用中,我们很有可能控制某些权限在某个限定的时间段使用,或者限定某些用户的活动在一定时间范围内,这就需要我们对RBAC策略做出一定调整。形象一点来说,如果认为访问控制要解决的问题是“谁有权力去做什么”,那么本课题的研究内容是“谁有权力在什么时间以何种方式做什么”。添加了时间约束的RBAC策略未必就是安全可靠的,由于时间因素的加入,策略中也许会存在一些冲突,如何发现策略中的不安全因素并排除它们,是一个值得研究的课题。本论文首先详细列举了可以添加到RBAC策略中的时间约束类型,将这些时间约束与RBAC模型中的各个环节相结合,包括角色有效、角色分配、角色等级、职责分离、势约束等等。新的RBAC策略具备描述各种各样的时间约束的能力,并且能够贴切地描述常见的时间访问控制行为。其次,本文提出了一种分析具有时间约束的RBAC策略的方法。该方法利用颜色Petri网对RBAC策略建模,通过分析我们建立的Petri网模型来查找策略中的冲突。Petri网作为一种数学建模工具来分析RBAC策略是非常合适的。本文详细讲述了利用颜色Petri网对具有时间约束的RBAC策略进行建模的过程和具体细节,并给出了分析Petri网模型的方法,之后通过一个医疗管理策略实例来对我们的建模方法和分析方法进行验证,最终能够成功的捕获到策略实例中的冲突信息。最后,本文详细介绍了一个具有时间约束的基于RBAC的安全访问控制系统的设计方法,它以标准RBAC模型作为基础,添加了部分时间约束功能,基本实现了访问控制系统对时间约束的需求。