访问控制技术研究及应用
浅析访问控制技术
中 图分 类 号 ： Ｐ ９ Ｔ ３３ 文 献标 识 码 ： Ａ 文章 编 号 ：０ ８ １３ （０ ８２ — ８ ３ １ ０ — ７９ ２ ０ ）４ ６ —
Ｓ ｒ ｅ ｆＡｃ ｅ ｓ Ｃｏ ｔ ｏ ｕ ｖ ｙ ｏ ｃ ｓ ｎ ｒ ｌ
对 系统 中信 息 流 进 行保 护 ， 息 容 易 泄 漏 ， 法 抵 御 特 洛 伊 木 信 无 马 的 攻 击 。访 同控 制 表 （ Ｃ ） Ｄ Ａ Ｌ 是 ＡＣ 中 常 用 的 一种 安 全 机 制， 系统 安 全 管理 员通 过 维护 Ａ Ｌ来控 制 用 户访 问有 关 数据 。 Ｃ Ａ Ｌ的 优 点在 于 它 的表 述 直 观 、 于 理 解 ， 且 比较 容 易 查 出 Ｃ 易 而 对 某 一 特 定 资源 拥 有访 问权 限 的所 有 用 户 ，有 效 地 实 施 授 权 管 理 。 当用 户数 量 多 、 理 数 据 量 大时 ， Ｃ 但 管 Ａ Ｌ就 会 很 庞 大 。 当 组 织 内 的 人 员发 生 变 化 、 作职 能 发 生 变 化 时 。 Ｃ 工 Ａ Ｌ的维 护 就 变得 非常 困 难 。 另外 ， 分 布 式 网 络 系统 ， Ｃ 不利 于 实 现 统 对 ＤＡ
２１自主访 问控制 （ ｓｒｔ ｎ ｒ ｃ ｅｓＣ ｎｒ １ ． Ｄｉ ｅｉ ａｙＡ ｃｓ ｏ ｔｏ ） ｃ ｏ
自主 访 问 控 制 ＤＡ 是 基 于访 问 者 身 份 或 所 属 工 作 组 来 Ｃ
进行 访 问控 制 的一 种 方 法 。基 本 思 想 是 ： 许一 个 用 户 或 以该 允 用 户 身份 运 行 的进 程 ，指定 其 它 用 户对 本 用 户所 拥 有 的信 息
Ｗ ０ －ｂ ｘｕ ｏ
访问控制技术研究
活 、 习和工作方式开始发生 变化 。在带来方便 和快捷 学
的同时 ， 信息安全开始 引起人们 的重视 。 问控制作 为 访
保护计算机信息安全 的一种技术 ，有着相 当重要 的作
用 。 问控制是指通过某种 途径 ， 访 允许或 限制访 问能力
及范 围的一种方式 ， 是针对越权 使用资源 的防御措施 。 访 问控制 的 目的是为 了限制访 问主体对访 问客体 的访
并 且可 以将权 限授予其他 主体 或从其他 主体 收 回他所 授予 的权 限 ， 比较符合人们对权限的基本 认识 。 这 Ｄ Ｃ的缺点是 ，对访 问权 限的转移 很容易产生漏 Ａ 洞 ，使得 客体的所有者最终都不 能控制该客体 的访 问 权 限 ，并且非法 主体可 以间接 的获得 对某个客体 的访
Ｒｅ ｅ ｒ ｈ ｏ ｃ ｅ ｓｃ ｎ ｒ ｌｔ ｃ ｏ ｏ ｙ ｓ ａ ｃ ｆａ ｃ ｓ ｏ ｔ ｏ ｅ ｈｎ ｌ ｇ
Ｕ Ｕ ｅ Ｗ ｉ
（ ｅ ｖｒ Ｃ ｎｅ， ｏ ｉ ａ ｇ ａ ｅＩｓ ｔｔ ｏ Ｓ ｉ ｚ Ｕ ｉ ｒ ｔ， ｈ ｅｉ８ ２ ０ ， ｈ ａ Ｎ ｈｏ ｅ ｔ Ｆ ｒ ｇ Ｌ ｎ ｕ ｇ ｎｔｕｅ ｆ ｈｈ ｉ ｎｖ ｓｙ Ｓ ｉ ｚ ３ ０ ３ Ｃ ｉ ） ｋ ｒ ｅｎ ｉ ｅ ｅｉ ｈ ｎ
技术（Ａ ） Ｍ Ｃ 和基 于 角色 的访 问控制 技 术 （ Ｂ Ｃ）其 中重 点讨 论 分析 了 Ｒ Ａ ， ＲＡ ， Ｂ Ｃ 并对 每 种 访 问控 制技 术进 行 了优 缺 点分 析 总结。
关键 词 ： 色 ； 角 自主访 问控 制 ； 强制访 问控 制 ； 于角 色 的访 问控制 基 中图 分类 号 ：Ｐ ９ Ｔ ３９ 文献 标识码 ： Ａ 文 章编 码 ：６ ２ ６５ （０ ７０ —０６ ０ １７ — ２ １２０ ） ０９ —２ ７
网络访问控制技术及应用研究
ｉ ｍｐｏ ｔｎ ｅｏ ｒ ｄ ａ ｐ ａ ｉ Ｍ ａ ｏｍｅ ｔｃａ ｄ ｆ ｒ ｉｎ ｒ ｓａ ｃ ｅ ｓｃ ｄ ｔａｒ ｓ ａｃ ｎｄｄ ｖ ｌ ｐ ｅ ｔｏ ｅｓ ｓｅ ｔ ｌｏ ｒａ ｃ ｆｇ ａ ｕ ｎｙａ ｐｅ ｒ ｎｇ． ｎｙｄ ｓｉ ｎ ｏ ｅｇ ｅ ｅ ｒ ｈ ｒ ｏｎ ｕｃ ｅ ｅ ｒ ｈａ ｅ ｅ ｏ ｍ ｎ ｆｔ ｙ ｔ ｍ Ｏａ ｌｗ ｈ ｎ ｔ ｒ ａ ｃ ｓ ｏ ｔｏ ｅ ｈ ｌ ｇ ｓ ｏ ｅ ｍ ａｕ ｎ ｔｅ ｂｅ ｔ ｕ ｅＢａ ｅ ｎ ｔ ｅ ｎ ｔ ｏｋ ｃｅｓ ｃ ｎｔｏ ｅ ｈ ｏｌｇｙ ｔ ａ ｅｗｏ ｋ ｃ ｅ ｓ ｃ ｎ ｒ ｌｔ ｃ ｎｏ ｏ ｙ ｉ ｍ ｒ ｔ ｒ ａ ｄ ｂｅｔｒ ａ ｌ ｏ ｓ ． ｓ ｄ ｏ ｈ ｅｗ ｒ ａ ｃ ｓ ｏ ｒ ｌｔ ｃ ｎ ｏ ｔ ｅ ｈ ａ ｌｚ ｓｔ ｓ ｆｎｅｗｏ ｋ ａ ｃ ｓ ｏ ｔｏｌｅ ｈ ｌ ｙａ ｄ ｐ ｒａ ｃ ｆｔ ｅｆｅｄ． ｎａｙ ｅ ｈｅｕ ｅｏ ｔ ｒ ｃ ｅ ｓｃ ｎｒ ｃ ｎｏｏｇ ｎ ｉ ｏ ｔ ｎ ｅｏ ｌ ｔ ｍ ｈ ｉ Ｋｅ ｙｗｏｒ ｓＮ ｅｗｏ ｋ； ｃ ｓ ； ｎｔｏｌｅ ｈ ｌ ｙＡｐｐ ｉａｉ ｄ ： ｔ ｒ Ａｃ ｅ ｓＣｏ ｒ ｃ ｎｏｏｇ ； ｔ ｌｃ ｔ ｏｎ
网络 访 问控制 技 术的 运 用领域 及 其重要 性 。 关键 词 ：网络 ；访 问 ；控 制技 术 ；应 用
访问控制技术研究及应用
访问控制技术研究及应用访问控制技术是计算机安全领域的一个重要研究方向，其主要目标是确保只有授权的用户或实体能够访问系统资源。
访问控制技术在各种应用中被广泛应用，如操作系统、数据库管理系统、网络安全等领域。
本文将介绍访问控制技术的基本原理、主要分类、研究进展和应用情况。
一、访问控制技术的基本原理1.身份识别和认证：确定用户或实体的身份，常用的身份验证方式有密码、指纹、虹膜等生物特征识别技术。
2.权限授权：根据用户或实体的身份和权限进行授权，确定其能够访问的资源，常用的权限授权策略有访问控制列表（ACL）、角色基于访问控制（RBAC）等。
3.安全策略：定义系统的安全策略，包括资源的保护级别、访问控制策略、访问审计等。
二、访问控制技术的主要分类根据实现方式和策略的不同，访问控制技术可以分为以下几类：1.逻辑访问控制：基于用户或实体的身份和权限来控制对系统资源的访问，常用的技术有身份认证、访问控制列表等。
2.物理访问控制：通过物理手段来限制对资源的访问，如门禁系统、安全门等。
3.操作系统级访问控制：主要包括基于角色的访问控制、强制访问控制（MAC）等技术，用于保护操作系统资源。
4.数据库访问控制：用于限制对数据库中数据的访问权限，常用的技术有基于角色的访问控制、行级访问控制等。
5.网络访问控制：主要包括防火墙、入侵检测系统等技术，用于保护网络资源免受未经授权的访问。
三、访问控制技术的研究进展1.基于属性访问控制（ABAC）：ABAC是一种新兴的访问控制模型，它通过基于属性的访问策略来控制对资源的访问，相比传统的基于身份和权限的访问控制更加灵活和精细。
2.基于机器学习的访问控制：利用机器学习技术来进行访问控制决策，通过分析大量的历史数据和行为模式来识别异常访问行为，提高对未知攻击的检测和预防能力。
3.云计算访问控制：由于云计算环境中的资源共享性和虚拟化特性，访问控制变得更加复杂和关键。
因此，研究人员提出了基于角色的云访问控制、多租户访问控制等技术，以应对云环境下的安全挑战。
网络安全中访问控制技术的研究
源。 访问过程包括读取数据、 更改数据、 运行程序、 发起 访 问用户 身份 的合法 性做 出认证 ．然后 按 照访 问控 制 连接 等操作 。资源可 以是 能 够 以某种 方 式 （ 读操 作 、 策 略所赋 予用 户 的权 限来 决定 是否 允许 或 者 限制用 户 如 写操 作或 修改 操作 ） 对其 进行 操 作 的任何 一个 对象 ， 也 对客体资源的访问。主体授权权限的修改一般 由特权 系统安 全管理 员 ） 者是 特权用 户组 来完 成 。 或 可 以是那 些 被迫执行 的某种 操 作 （ 如运 行某 个程 序 或 用户 （ 自主访 问控 制模 型 的实 现方 法 通常 是 采 用基 于 矩 者发送一个消息 ） 的对象。客户可能就是用户实体 ， 服 务 器 可能就 是某 种资 源 。 之 ， 问控制 就 是为 了限制 阵 的行或列 来表 示 自主访 问控制 的信息 ，从 而 达 到对 总 访 在矩 阵 中 ， 对 应 系统 中涉 行 访 问 主体 （ 称 之 为发 起 者 ， 某个 主动 的实体 ， 或 是 如用 主体 访 问权 限限制 的 目的 。 列对 我们 常用 的访 问控 制列 户、 进程 、 服务等等） 对访问客体（ 需要受保护的资源 ） 及 的主 体 ． 应 系统 的客体 。 表 （ ｃｅｓ ０ｔ ｌ ｉ ， Ｃ ） Ａ ｃ ｓ Ｃ ｎｒ ｓ Ａ Ｌ 就是一 种 基于列 的 自主访 ｏＬ ｔ 的访问权限．从而使计算机系统可以在合法范 围内使
为广 泛的访 问控 制手 段 它是基 于对 主 体及 主体 所 属
防 止未 授权 的 用户 非法 访 问受保 护 的资 源 ．保 证 主体组 的识 别 ．来 实 现对 客体访 问进 行 限制 的一 种 方 合 法用 户可 以正 常访 问信 息 资源 ．这是 访 问控 制 的基 案 ．同时它 还要校 验 主体对 客体 的访 问 请求 是否 符 合
访问控制技术研究简介-资料
2019/10/17
访问控制技术研究简介
8
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于角色的访问控制（续）
RBAC时态约束模型
为满足用户－角色关系以及角色之间的关系的动态性 要求，Bertino等人于2000年提出Temporal-RBAC模 型。该模型支持角色的周期使能和角色激活的时序依 赖关系
属性的易变性(mutable)和控制的连续性（continuity） 是UCON 模型与其他访问控制模型的最大差别。
2019/10/17
访问控制技术研究简介
14
使用控制模型
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
UCON现有研究分类：
UCONABC核心模型 授权策略语言、语法和框架 安全性分析 网格计算环境 授权框架 协作环境授权框架 面向普适计算环境 面向移动自组网 面向网络服务 面向数字版权管理 多自治域环境授权
访问控制技术研究简介
9
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
基于任务的访问控制
(task-based access control,简称TBAC)
TBAC模型是一种基于任务、采用动态授权的主动安 全模型。它从应用和企业的角度来解决安全问题。它 采用面向任务的观点,从任务的角度来建立安全模型和 实现安全机制,在任务处理的过程中提供实时的安全管 理。 TBAC的基本思想：
现有的风险等级划分方法：
抽取风险因素 授予风险因素权重 简单累加得出风险等级
Jame BD 准备下一步将风险引入到访问控制中。
2019/10/17
访问控制技术研究简介
13
访问控制技术研究简介
2019/11/20
访问控制技术研究简介
20
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
访问控制技术应用环境
网格(grid)
目前常用的有3 种网格计算环境:Condor,Legion 和Globus。 网格计算中的访问控制一般是通过身份证书和本地审计来
起源：20 世纪70 年代,当时是为了满足管理大型主机系统 上共享数据授权访问的需要。
发展：访问控制作为系统安全的关键技术,既是一个古老 的内容又面临着挑战。随着计算机技术和应用的发展,特 别是网络应用的发展,这一技术的思想和方法迅速应用于 信息系统的各个领域。对网络安全的研究成为当前的研究 热点。
映射机制（主体映射，客体映射，角色映射，属性 映射）
委托机制 指定机制 安全联盟机制 信任管理机制 等等
2019/11/20
访问控制技术研究简介
17
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
多自治域互操作访问控制技术
互操作代表性模型
IRBAC2000(角色映射，适用于具有可信任的控制 中心环境)
DRBAC（角色委托，使用于动态结盟环境） Trust Management（信任管理）
2019/11/20
访问控制技术研究简介
18
华中科技大学计算机学院智能与分布式计算机实验室（IDC）
多自治域互操作访问控制技术
互操作研究分类：
1.构建跨域授权框架或体系结构
Purdue大学的Shafiq等人提出了一套集中式的建立多域互操 作关系框架
它利用上读/下写来保证数据的完整性,利用下读/上写 来保证数据的保密性。
MAC是由美国政府和军方联合研究出的一种控制技术, 目的是为了实现比DAC 更为严格的访问控制策略。
访问控制技术研究
企业技术开发２００８年２月随着网络应用的逐步深入，安全问题日益受到关注。
一个安全的网络需要可靠的访问控制服务作保证。
访问控制就是通过某种途径显式地准许或限制访问能力及范围的一种方法。
一个完整的访问控制系统一般应包括：主体，发出访问操作、存取要求的主动方，通常指用户或用户的进程。
客体，被调用的程序或欲存取的数据访问。
访问控制政策，一套规则，用于确定主体是否对客体拥有访问权限。
１常见的访问控制技术１．１自主访问控制技术（ＤＡＣ）ＤＡＣ是基于访问者身份或所属工作组来进行访问控制的一种手段。
访问自主是指具有某种访问权限的访问者可以向其他访问者传递该种访问许可（也许是非直接的）。
由于ＤＡＣ提供了灵活的访问控制方式，使得ＤＡＣ广泛应用在商业和工业环境中。
但ＤＡＣ也存在着不足：一是资源管理分散；二是用户间的关系不能在系统中体现出来，不易管理；三是不能对系统中信息流进行保护，信息容易泄漏，无法抵御特洛伊木马攻击。
１．２强制访问控制技术（ＭＡＣ）ＭＡＣ的主要特征是对所有主体及其所控制的客体实施强制访问控制。
为这些主体及客体指定敏感标记，这些标记是等级分类和非等级类别的组合，它们是实施强制访问控制的依据。
系统通过比较主体和客体的敏感标记来决定一个主体是否能够访问某个客体。
用户的程序不能改变他自己及任何其它客体的敏感标记，从而系统可以防止特洛伊木马的攻击；但ＭＡＣ存在应用的领域比较窄；完整性方面控制不够等问题。
由于ＭＡＣ通过分级的安全标签实现了信息的单向流通，因此它一直被军方采用。
１．３基于角色的访问控制技术（ＲＢＡＣ）ＲＢＡＣ的基本思想就是根据安全策略划分出不同的角色，资源访问许可被封装在角色中，用户被指派到角色，用户通过角色间接地访问资源。
ＲＢＡＣ模型（见图１）包含了５个基本的静态集合，即用户集、角色集、权限集（包括对象集和操作集），以及一个运行过程中动态维护的集合，即会话集，如图１所示。
访问控制技术研究李建华（国防科技大学计算机学院，湖南长沙４１００７３）摘要：访问控制作为一门重要的信息安全技术，对保障主机系统和应用系统的安全起到了重要作用。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
湖南大学硕士学位论文访问控制技术研究及应用姓名：尹绍锋申请学位级别：硕士专业：软件工程指导教师：杨贯中;杨志新20081001T f?硕I:学位论文摘要访问控制技术是构成信息安全体系不可缺少的重要组成部分。
随着信息化进程的深化，尤其是网络应用的迅速増加，信息系统的用户规模在不断膨胀。
传统的访问控制技术采用人工方式实现对访问控制体系运行期的维护。
当访问控制体系变得庞大时，这种维护方式错误率会增高、维护变得困难、运行成本也随着增长起来。
本文希望构建ー种能够适用于大用户数信息系统的访问控制体系，使之运行期的维护工作变得简化。
本文一方面对现有访问控制技术，尤其对基于角色访问控制技术，进行了学习、研究。
熟悉掌握了该领域中的各种概念，对比了各种技术在用户管理上的实现模式，分析这些模式对大用户量管理的支持。
同时，对访问控制体系的维护管理，尤其是运行期的用户管理与用户授权管理这两项工作进行了研究。
从多个角度分析运行期期的维护逻辑与业务逻辑之间的关系，发现在多数.管理信息系统中，用户的权限与业务体系中的信息有着一定的依存关系，提出可以依靠业务系统的信息来驱动访问控制体系的权限分配的思想。
基于此，作者提出了一种自适应的访问控制技术，在ー些应用范围内，该技术能够自动适应业务部分的变化，完成用户授权的控制，从而简化访问控制机制运行期的维护管理。
通过对基于角色访问控制模型的开放性及可扩展性的分析，以基于角色访问控制模型为基础，构建出自适应访问控制模型。
并从技术实现与开发成本等角度分析讨论了该访问控制技术的可行性。
最后，将自适应的访问控制技术在ー个高校人事管理系统中进行了应用。
该应用以人事业务为基础，对自适应模块进行了实现，使该系统具备了对用户及其权限进行自维护的能力，解决了人工管理可能存在的问题。
通过实际应用，一方面，通过实例验证了自适应访问控制技术实现的可行性，同时也明确了访问控制体系下ー步的研究方向。
关键词：信息安全；访问控制；维护；自适应AbstractAccess control technology takes a vital part in the safety of information system. With the popularization of the information system and especially the rapid increase or internet application, the size of users m access control system needed to be supervised is increasing fast. So to administrate the large number of users by the traditional pure man-managed way is more and more difficult. And this research is intended to find an&适应》问拧制技术的研究り/、V:用access control system which can be used by the information system with large number of users.The author first made a careful and deeply study of the existing access control systems. During the process, some certain kinds of representative access control technologies were consulted by the author to analyze the principles of achieving access control technology. The author mastered the orientation and effect of these definitions in access control system. The author believed that the rule of authority had lot to do with its applying situation, and this rule could be existed the applying situation of access control, fhe author found that there was a relationship of leading and concluding between the authority of users and statistic information in the operation system. So the author came up with the intellectualized access control technology based on these researches, which aimed to construct an intellectualized control model by introducing an intellectualized model in the role-based access control system. And this Auto-adapt Access Control technology and its possibility were discussed froe the angle of technology achievement and cost.At last, a set of Auto-adapt Access Control system was applied in the personnel management in an university. This was based on the personnel operation, and achieved the Auto-adapt model, to make the system can correctly assign the management of the users and their authority. And it solved the countless problems which were caused by man-managed administration. By the application of this system, the possibility, merits and demerits of the intellectualized access control system has been proved preliminarily on one hand, and it established the basis for the further research on the other hand.Key words: Information Security；Access Control；Maintenance；Auto-adaptT程硕丨:学位论文插图索引图 1.1 RB-RBAC图 (4)图2.1访问控制矩阵图 ...................................... :.. (7)图2.2 RBAC96模型四个子模型之间的关系图 (9)图2.3 RBAC96模型中RBAC3模型图 (10)图2.4 RBAC97模型图 (11)图3.1自适应访问控制模型图 (16)图3.2用户自适应管理模块图 (16)图3.3授权自适应管理模块图 (17)图3.4岗位与系统身份图 (18)图3.5访问控制体系维护示意图 (19)图3.6维护成本时间关系图 (21)图3.7自适应访问控制系统框架图 (22)图3.8基于人事业务的自适应访问控制管理流程示意图 (23)图3.9用户行为管理图 (23)图4.1人事管理信息系统业务功能模块简图 (26)图4.2系统用户继承关系图 (26)图4.3自适应访问控制子系統体系结构图 (29)图4.4人事管理信息系统体系结构图 (29)图4.5角色、许可管理类图 (32)图4.6用户管理类图 (34)图4.7用户角色与菜单示意图 (38)图4.8输入界面生成序列图 (38)图4.9用户登录序列图 (39)图4.10访问控制许可管理界面图 (40)图4.11身份管理界面图 (40)图4.12粒度管理界面图 (41)illf i适应访问柠制技术的研究リ应用附表索引表4.1许可表 (31)表4.2 #色表 (32)表4.3用户表 (33)表4.4职员基本信息表 (33)表4.5身份描ki表 (35)表4.6粒度描述表 (37)T g硕I:学位论文湖南大学学位论文原创性声明本人郑重声明：所呈交的论文是本人在导师的指导下独立进行研究所取得的研究成果。
除了文中特別加以标注引用的内容外，本论文不包含任何其它个人或集体已经发表或撰写的成果作品。
对本文的研究做出重要贡献的个人和集体，均已在文中以明确方式标明。
本人完全意识到本声明的法律后果由本人承担。
学位论文版权使用授权书本学位论文作者完全了解学校有关保留、使用学位论文的規定，同意学校保留井向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借阅。
本人授权湖南大学可以将本学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。
本学位论文属于1、保密□，在_年解密后适用本授权书。
2、不保密口。
(请在以上相应方框内打“十’）円期：：^8：年/ム月/ n円期:ルパ/Wi，日T程硕丨.•学位论文第1章绪论1.1研究背景信息化不仅在科技、经济、社会等各个领域中强有力的支持者现代化建设进程，而且在人类物质文明和精神文件的整体上引导着世界发展m。
在信息化建设飞速发展的同时，信息化安全中的访问控制技术，随着信息系统规模的快速增长，也面临着严峻的考验，这些问题主要体现在人工维护存在处理速度慢、管理成本高、风险高，以及相关的信息管理人员缺乏。
现在的计算机系統得用户量随着网络应用推广在迅速增长[2]，其规模已经轻易突破千计，而且十万、百万用户量的系统也变得普遍起来，在这种用户量情况下，单靠人工来管理，完成用户的注册、维护以及用户的授权管理，简直是不可能的事情。