李　欣

摘要：產(chǎn)品全生命周期管理系統(tǒng)PLM是以軟件為基礎(chǔ)，管理與產(chǎn)品相關(guān)的信息和所有與產(chǎn)品相關(guān)的過程的技術(shù)。因此，一個具有支持可定制的、開放的、易擴展的訪問控制模型是實現(xiàn)企業(yè)信息化的首要任務(wù)。通過對目前常用的基于PLM訪問控制模型進行了簡要的分析和評價。

關(guān)鍵詞：產(chǎn)品全生命周期管理；訪問控制模型；多元化

中圖分類號：F203文獻標(biāo)識碼：A文章編號：1672-3198(2009)06-0298-01

1引言

PLM(ProductLifecycleManagement)是一項面向產(chǎn)品創(chuàng)新的知識管理和流程優(yōu)化的理念，它也是通過信息技術(shù)、網(wǎng)絡(luò)技術(shù)來實現(xiàn)的一種企業(yè)級的集成任務(wù)系統(tǒng)。PLM系統(tǒng)的安全是靠認(rèn)證、訪問控制、審計、加密等多種技術(shù)共同協(xié)作來保證的。訪問控制技術(shù)處于系統(tǒng)安全的中心環(huán)節(jié)，保證了數(shù)據(jù)的保密性、完整性和可用性。在企業(yè)信息化程度越來越高的今天，PLM系統(tǒng)中的訪問控制技術(shù)發(fā)揮了越來越重要的作用。訪問控制技術(shù)和授權(quán)模型在很大程度上影響著PLM系統(tǒng)的可用性、易用性和安全性。

為了能夠保證企業(yè)擁有的信息資源安全、有效，信息系統(tǒng)除了需要有能力分辨用戶的身份是否合法外，還需要能夠判斷該用戶是否有權(quán)使用或更改某一項數(shù)據(jù)信息。這是信息安全的主要功能之一，稱為訪問控制(AccessControl)。若從企業(yè)管理的角度來講，這種功能就是權(quán)限管理(AuthorizationControl)，即判斷對信息資源的執(zhí)行權(quán)限是否已經(jīng)經(jīng)過適當(dāng)?shù)氖跈?quán)。訪問控制管理中采用的訪問控制模型一般有：自主性訪問控制(DAC，即DiscretionaryAccessControl)、強制型訪問控制(MAC，即MandatoryAccessControl)以及基于角色訪問控制(RBAC，即RoleBasedAccessControl)，而后者已經(jīng)成為前面兩個模型的最佳替代者。在RBAC中，權(quán)限與角色相聯(lián)系，用戶作為合適角色的成員而獲得權(quán)限，極大地簡化了用戶和權(quán)限的管理。大多數(shù)PLM系統(tǒng)的授權(quán)模型往往是上述幾種訪問控制模型的綜合。

2PLM系統(tǒng)訪問控制模型的比較

訪問控制是在計算機系統(tǒng)所屬的信息資源遭受未經(jīng)授權(quán)的操作威脅時，能夠采用適當(dāng)?shù)墓苤坪头雷o措施來保護資源安全性和正確性。訪問控制的實質(zhì)是通過安全訪問規(guī)則限制訪問主體(用戶、進程以及服務(wù)等)對客體(程序、文件等)的訪問權(quán)限，從而使計算機系統(tǒng)在合法范圍內(nèi)使用。只有經(jīng)過授權(quán)的用戶向系統(tǒng)正確提交并驗證了自己的身份后，才被允許訪問特定的系統(tǒng)資源。PLM的訪問控制模型有WindChill、TeamcenterEnterprise、TeamcenterEngineering，其主要特點如下：

2.1WindChill

WindChill采用了Domain(域)的概念，一個Domain是一些不同類型對象的集合。在每個不同的Domain上可以定義不同的訪問控制策略和訪問控制權(quán)限。在每個Domain上的訪問控制策略是由一系列的訪問控制規(guī)則組成的。訪問規(guī)則規(guī)定了主體對客體在各種生命周期狀態(tài)下的訪問權(quán)限。規(guī)則的一般形式為“ifthen”。這些規(guī)則是可以沿類樹從父類向子類蔓延。WindChill采用ACL(訪問控制列表)的方式來體現(xiàn)一個對象上的訪問控制規(guī)則。

2.2TeamcenterEnterprise

TeamcenterEnterprise中的權(quán)限控制使用“基于規(guī)則”的方式，可以通過規(guī)則來實現(xiàn)對用戶操作權(quán)限的控制，控制用戶、角色、工作組和部門對一個對象、一類對象或數(shù)據(jù)倉庫的操作權(quán)限，并可與電子流程相結(jié)合。TeamcenterEnterprise支持三類規(guī)則：訪問控制規(guī)則(MessageAccessRules、通知規(guī)則(NotificationRules)、數(shù)據(jù)定位規(guī)則(LocationSelectionRules)。TeamcenterEnterprise中提出了動態(tài)用戶的概念，一個用戶，只有在滿足某種屬性條件的前提下，才可以具有某些權(quán)限。

2.3TeamcenterEngineering

TeamcenterEngineering通過兩種方式控制用戶對數(shù)據(jù)文檔的訪問：面向?qū)ο蟮脑L問控制方式、以規(guī)則為基礎(chǔ)對數(shù)據(jù)對象實行分類訪問控制。其中規(guī)則方式是一種粗線條的管理方式，在規(guī)則控制的訪問(Rule_BasedAccess)控制中，可根據(jù)數(shù)據(jù)對象當(dāng)前的狀態(tài)、類型、所屬用戶或組三個屬性統(tǒng)一確定可存取該數(shù)據(jù)的人員范圍。TeamcenterEngineering中同樣采用了基于角色的訪問控制，一個用必須以某種角色登陸，才能獲取相應(yīng)的權(quán)限。TeamcenterEngineering通過存取規(guī)則定義表，初始化權(quán)限模型，比較容易閱讀。

3PLM訪問控制模型需求的多元化及其評價

3.1模型需求的多元化

雖然目前對PLM系統(tǒng)的訪問控制模型的研究和應(yīng)用有了很大的進展，但是這些模型并不能完全支持客戶在實際使用中提出的各種權(quán)限需求。這些需求主要表現(xiàn)在主體的多元化：權(quán)限不僅需要定義到用戶和角色上，而且必須支持權(quán)限定義在其它類型的主體上。比如，用戶可以通過分組形成靜態(tài)組織，也可以通過動態(tài)分組形成項目組，有時需要把權(quán)限定義到這些靜態(tài)組織和項目組上；權(quán)限的多元化：權(quán)限根據(jù)不同的客體應(yīng)用，可以分為對象類權(quán)限、對象權(quán)限、屬性權(quán)限、部件權(quán)限、管理權(quán)限、二次分配權(quán)限、代理權(quán)限等。普通的基于類的授權(quán)，已經(jīng)不能滿足實際的應(yīng)用需求，必須建立對類的實例化對象以及對象屬性的權(quán)限控制。另外，相對于用戶和類來說，實例化對象的數(shù)量非常龐大，如何保證訪問驗證的效率是授權(quán)模型在實現(xiàn)過程中最大的難題；對象在生命周期中的權(quán)限變化：同一個用戶，對同一個對象，在該對象的不同生命周期，有著不同的權(quán)限。如設(shè)計員在圖紙對象的設(shè)計階段有修改的權(quán)限，在該圖紙被發(fā)布之后，該設(shè)計員就只有瀏覽和讀的權(quán)限了。這就要求把權(quán)限定義到對象的生命周期上；統(tǒng)一的授權(quán)模型框架：隨著PDM/PLM系統(tǒng)的發(fā)展，PDM/PLM系統(tǒng)中包括的子系統(tǒng)越來越多，比如除了傳統(tǒng)的數(shù)據(jù)管理子系統(tǒng)，很多PDM/PLM系統(tǒng)還集成了工作流子系統(tǒng)，ERP子系統(tǒng)，CAD子系統(tǒng)等。這就要求必須有一個統(tǒng)一的授權(quán)框架來支持在PDM/PLM中控制這些子系統(tǒng)中的數(shù)據(jù)的權(quán)限，而不能只由各個子系統(tǒng)的授權(quán)模型來控制權(quán)限；權(quán)限分級管理：目前大部分PDM/PLM系統(tǒng)的權(quán)限管理都由全局的系統(tǒng)管理員角色來擔(dān)任，該系統(tǒng)管理員負(fù)責(zé)分配整個系統(tǒng)的權(quán)限。由于該系統(tǒng)管理員可以無所不為，實際上系統(tǒng)管理員成了企業(yè)安全最大的漏洞。而在實際應(yīng)用中，由于部門之間往往存在著各種利益沖突，所以在實施數(shù)據(jù)的管理中，不僅有全局化的數(shù)據(jù)，而且各個部門會有各自的數(shù)據(jù)，這就要求管理員的權(quán)限必須受到限制，不能隨意訪問各個部門的私有數(shù)據(jù)。此外，從實際的運行管理來講，該系統(tǒng)管理員也無法詳細(xì)了解各個部門的人員對權(quán)限使用的要求，無法更好地設(shè)置企業(yè)的權(quán)限。所以需要建立分級的訪問控制權(quán)限管理員；規(guī)則授權(quán)和矩陣授權(quán)的結(jié)合：基于條件表達(dá)式的規(guī)則授權(quán)有很高的靈活性，但是當(dāng)規(guī)則增多時，系統(tǒng)的效率會大大下降，因為需要逐條對規(guī)則判斷。另外一個對象可能會出現(xiàn)在多條規(guī)則中，所以需要一套復(fù)雜的機制來處理規(guī)則之間的授權(quán)沖突。而基于矩陣的授權(quán)因為可以直接利用數(shù)據(jù)庫的查詢機制，所以有很高的效率。但是基于矩陣的授權(quán)靈活性、擴展性較差。如何把這兩種方式結(jié)合起來，從而實現(xiàn)靈活高效的授權(quán)機制，以適應(yīng)日益復(fù)雜的企業(yè)對授權(quán)的需求，是對PLM系統(tǒng)訪問控制模型提出的一個更大挑戰(zhàn)。

3.2PLM訪問控制模型的評價

目前，實施PLM系統(tǒng)的企業(yè)一般都是擴展型或集團型企業(yè)，對權(quán)限管理變化的差異比較大，權(quán)限設(shè)置的范圍也比較廣，PLM訪問控制模型必須從技術(shù)和實施兩方面考慮，提供非常靈活的授權(quán)訪問控制機制，以滿足不同行業(yè)、不同領(lǐng)域?qū)τ跀?shù)據(jù)安全的需要。一個好的訪問控制模型必須具備：支持基于人員、角色和組織并存的授權(quán)；支持多個層次的對象授權(quán)訪問控制；支持多種方案的權(quán)限多級分發(fā)；支持動態(tài)的工作流授權(quán)；支持權(quán)限模型和策略定義；支持權(quán)限時效性設(shè)置；支持文件加密和壓縮；支持安全日志記錄。

目前在大型企業(yè)的信息化系統(tǒng)中，角色成百上千，而用戶和權(quán)限的數(shù)目更是上萬或者幾十萬，甚至上百萬，要有效地管理這些角色、用戶、權(quán)限以及它們之間的關(guān)系，是一件非常費力的事情。特別是如果這些關(guān)系動態(tài)變化，例如部門人員的變動等，這些讓系統(tǒng)管理員集中管理幾乎是不可能的。由于集中權(quán)限管理在實際應(yīng)用中很難進行，PLM訪問控制系統(tǒng)必須在基于角色的基礎(chǔ)上，實施多級管理模式，設(shè)置管理角色，提高權(quán)限管理的效率以符合企業(yè)的需要。

4結(jié)語

不同行業(yè)對于產(chǎn)品全生命周期管理系統(tǒng)PLM的權(quán)限管理的需求差異比較大，不同的企業(yè)在PLM系統(tǒng)的實施過程中，又會提出各種各樣的授權(quán)特定需求，一個具有支持可定制的、開放的、易擴展的訪問控制模型，對于PLM系統(tǒng)是至關(guān)重要的，也是必須的，否則將無法滿足企業(yè)日益增長和變化的需求。如何準(zhǔn)確、快捷、有效、及時地滿足這些授權(quán)需求，是PLM訪問控制模型必須考慮的問題。

參考文獻

[1]薛華成.管理信息系統(tǒng)[M].北京：清華大學(xué)出版社，2004.

[2]盧亞輝，耿坤瑛.PDM/PLM系統(tǒng)授權(quán)模型的研究和應(yīng)用[J].CAD/CAM與制造業(yè)信息化，2005，(4).

[3]萬立，關(guān)衛(wèi)林.PDM權(quán)限管理模[J].機械與電子，2005，(1).