基于ＰＬＭ訪問控制模型研究

李　欣

摘要：產品全生命周期管理系統PLM是以軟件為基礎，管理與產品相關的信息和所有與產品相關的過程的技術。因此，一個具有支持可定制的、開放的、易擴展的訪問控制模型是實現企業信息化的首要任務。通過對目前常用的基于PLM訪問控制模型進行了簡要的分析和評價。

關鍵詞：產品全生命周期管理；訪問控制模型；多元化

中圖分類號：F203文獻標識碼：A文章編號：1672-3198(2009)06-0298-01

1引言

PLM(ProductLifecycleManagement)是一項面向產品創新的知識管理和流程優化的理念，它也是通過信息技術、網絡技術來實現的一種企業級的集成任務系統。PLM系統的安全是靠認證、訪問控制、審計、加密等多種技術共同協作來保證的。訪問控制技術處于系統安全的中心環節，保證了數據的保密性、完整性和可用性。在企業信息化程度越來越高的今天，PLM系統中的訪問控制技術發揮了越來越重要的作用。訪問控制技術和授權模型在很大程度上影響著PLM系統的可用性、易用性和安全性。

為了能夠保證企業擁有的信息資源安全、有效，信息系統除了需要有能力分辨用戶的身份是否合法外，還需要能夠判斷該用戶是否有權使用或更改某一項數據信息。這是信息安全的主要功能之一，稱為訪問控制(AccessControl)。若從企業管理的角度來講，這種功能就是權限管理(AuthorizationControl)，即判斷對信息資源的執行權限是否已經經過適當的授權。訪問控制管理中采用的訪問控制模型一般有：自主性訪問控制(DAC，即DiscretionaryAccessControl)、強制型訪問控制(MAC，即MandatoryAccessControl)以及基于角色訪問控制(RBAC，即RoleBasedAccessControl)，而后者已經成為前面兩個模型的最佳替代者。在RBAC中，權限與角色相聯系，用戶作為合適角色的成員而獲得權限，極大地簡化了用戶和權限的管理。大多數PLM系統的授權模型往往是上述幾種訪問控制模型的綜合。

2PLM系統訪問控制模型的比較

訪問控制是在計算機系統所屬的信息資源遭受未經授權的操作威脅時，能夠采用適當的管制和防護措施來保護資源安全性和正確性。訪問控制的實質是通過安全訪問規則限制訪問主體(用戶、進程以及服務等)對客體(程序、文件等)的訪問權限，從而使計算機系統在合法范圍內使用。只有經過授權的用戶向系統正確提交并驗證了自己的身份后，才被允許訪問特定的系統資源。PLM的訪問控制模型有WindChill、TeamcenterEnterprise、TeamcenterEngineering，其主要特點如下：

2.1WindChill

WindChill采用了Domain(域)的概念，一個Domain是一些不同類型對象的集合。在每個不同的Domain上可以定義不同的訪問控制策略和訪問控制權限。在每個Domain上的訪問控制策略是由一系列的訪問控制規則組成的。訪問規則規定了主體對客體在各種生命周期狀態下的訪問權限。規則的一般形式為“ifthen”。這些規則是可以沿類樹從父類向子類蔓延。WindChill采用ACL(訪問控制列表)的方式來體現一個對象上的訪問控制規則。

2.2TeamcenterEnterprise

TeamcenterEnterprise中的權限控制使用“基于規則”的方式，可以通過規則來實現對用戶操作權限的控制，控制用戶、角色、工作組和部門對一個對象、一類對象或數據倉庫的操作權限，并可與電子流程相結合。TeamcenterEnterprise支持三類規則：訪問控制規則(MessageAccessRules、通知規則(NotificationRules)、數據定位規則(LocationSelectionRules)。TeamcenterEnterprise中提出了動態用戶的概念，一個用戶，只有在滿足某種屬性條件的前提下，才可以具有某些權限。

2.3TeamcenterEngineering

TeamcenterEngineering通過兩種方式控制用戶對數據文檔的訪問：面向對象的訪問控制方式、以規則為基礎對數據對象實行分類訪問控制。其中規則方式是一種粗線條的管理方式，在規則控制的訪問(Rule_BasedAccess)控制中，可根據數據對象當前的狀態、類型、所屬用戶或組三個屬性統一確定可存取該數據的人員范圍。TeamcenterEngineering中同樣采用了基于角色的訪問控制，一個用必須以某種角色登陸，才能獲取相應的權限。TeamcenterEngineering通過存取規則定義表，初始化權限模型，比較容易閱讀。

3PLM訪問控制模型需求的多元化及其評價

3.1模型需求的多元化

雖然目前對PLM系統的訪問控制模型的研究和應用有了很大的進展，但是這些模型并不能完全支持客戶在實際使用中提出的各種權限需求。這些需求主要表現在主體的多元化：權限不僅需要定義到用戶和角色上，而且必須支持權限定義在其它類型的主體上。比如，用戶可以通過分組形成靜態組織，也可以通過動態分組形成項目組，有時需要把權限定義到這些靜態組織和項目組上；權限的多元化：權限根據不同的客體應用，可以分為對象類權限、對象權限、屬性權限、部件權限、管理權限、二次分配權限、代理權限等。普通的基于類的授權，已經不能滿足實際的應用需求，必須建立對類的實例化對象以及對象屬性的權限控制。另外，相對于用戶和類來說，實例化對象的數量非常龐大，如何保證訪問驗證的效率是授權模型在實現過程中最大的難題；對象在生命周期中的權限變化：同一個用戶，對同一個對象，在該對象的不同生命周期，有著不同的權限。如設計員在圖紙對象的設計階段有修改的權限，在該圖紙被發布之后，該設計員就只有瀏覽和讀的權限了。這就要求把權限定義到對象的生命周期上；統一的授權模型框架：隨著PDM/PLM系統的發展，PDM/PLM系統中包括的子系統越來越多，比如除了傳統的數據管理子系統，很多PDM/PLM系統還集成了工作流子系統，ERP子系統，CAD子系統等。這就要求必須有一個統一的授權框架來支持在PDM/PLM中控制這些子系統中的數據的權限，而不能只由各個子系統的授權模型來控制權限；權限分級管理：目前大部分PDM/PLM系統的權限管理都由全局的系統管理員角色來擔任，該系統管理員負責分配整個系統的權限。由于該系統管理員可以無所不為，實際上系統管理員成了企業安全最大的漏洞。而在實際應用中，由于部門之間往往存在著各種利益沖突，所以在實施數據的管理中，不僅有全局化的數據，而且各個部門會有各自的數據，這就要求管理員的權限必須受到限制，不能隨意訪問各個部門的私有數據。此外，從實際的運行管理來講，該系統管理員也無法詳細了解各個部門的人員對權限使用的要求，無法更好地設置企業的權限。所以需要建立分級的訪問控制權限管理員；規則授權和矩陣授權的結合：基于條件表達式的規則授權有很高的靈活性，但是當規則增多時，系統的效率會大大下降，因為需要逐條對規則判斷。另外一個對象可能會出現在多條規則中，所以需要一套復雜的機制來處理規則之間的授權沖突。而基于矩陣的授權因為可以直接利用數據庫的查詢機制，所以有很高的效率。但是基于矩陣的授權靈活性、擴展性較差。如何把這兩種方式結合起來，從而實現靈活高效的授權機制，以適應日益復雜的企業對授權的需求，是對PLM系統訪問控制模型提出的一個更大挑戰。

3.2PLM訪問控制模型的評價

目前，實施PLM系統的企業一般都是擴展型或集團型企業，對權限管理變化的差異比較大，權限設置的范圍也比較廣，PLM訪問控制模型必須從技術和實施兩方面考慮，提供非常靈活的授權訪問控制機制，以滿足不同行業、不同領域對于數據安全的需要。一個好的訪問控制模型必須具備：支持基于人員、角色和組織并存的授權；支持多個層次的對象授權訪問控制；支持多種方案的權限多級分發；支持動態的工作流授權；支持權限模型和策略定義；支持權限時效性設置；支持文件加密和壓縮；支持安全日志記錄。

目前在大型企業的信息化系統中，角色成百上千，而用戶和權限的數目更是上萬或者幾十萬，甚至上百萬，要有效地管理這些角色、用戶、權限以及它們之間的關系，是一件非常費力的事情。特別是如果這些關系動態變化，例如部門人員的變動等，這些讓系統管理員集中管理幾乎是不可能的。由于集中權限管理在實際應用中很難進行，PLM訪問控制系統必須在基于角色的基礎上，實施多級管理模式，設置管理角色，提高權限管理的效率以符合企業的需要。

4結語

不同行業對于產品全生命周期管理系統PLM的權限管理的需求差異比較大，不同的企業在PLM系統的實施過程中，又會提出各種各樣的授權特定需求，一個具有支持可定制的、開放的、易擴展的訪問控制模型，對于PLM系統是至關重要的，也是必須的，否則將無法滿足企業日益增長和變化的需求。如何準確、快捷、有效、及時地滿足這些授權需求，是PLM訪問控制模型必須考慮的問題。

參考文獻

[1]薛華成.管理信息系統[M].北京：清華大學出版社，2004.

[2]盧亞輝，耿坤瑛.PDM/PLM系統授權模型的研究和應用[J].CAD/CAM與制造業信息化，2005，(4).

[3]萬立，關衛林.PDM權限管理模[J].機械與電子，2005，(1).