基于PLM访问控制模型研究

摘要：产品全生命周期管理系统PLM是以软件为基础，管理与产品相关的信息和所有与产品相关的过程的技术。因此，一个具有支持可定制的、开放的、易扩展的访问控制模型是实现企业信息化的首要任务。通过对目前常用的基于PLM访问控制模型进行了简要的分析和评价。

关键词：产品全生命周期管理；访问控制模型；多元化

中图分类号：F203文献标识码：A文章编号：1672-3198(2009)06-0298-01

1引言

PLM(ProductLifecycleManagement)是一项面向产品创新的知识管理和流程优化的理念，它也是通过信息技术、网络技术来实现的一种企业级的集成任务系统。PLM系统的安全是靠认证、访问控制、审计、加密等多种技术共同协作来保证的。访问控制技术处于系统安全的中心环节，保证了数据的保密性、完整性和可用性。在企业信息化程度越来越高的今天，PLM系统中的访问控制技术发挥了越来越重要的作用。访问控制技术和授权模型在很大程度上影响着PLM系统的可用性、易用性和安全性。

为了能够保证企业拥有的信息资源安全、有效，信息系统除了需要有能力分辨用户的身份是否合法外，还需要能够判断该用户是否有权使用或更改某一项数据信息。这是信息安全的主要功能之一，称为访问控制(AccessControl)。若从企业管理的角度来讲，这种功能就是权限管理(AuthorizationControl)，即判断对信息资源的执行权限是否已经经过适当的授权。访问控制管理中采用的访问控制模型一般有：自主性访问控制(DAC，即DiscretionaryAccessControl)、强制型访问控制(MAC，即MandatoryAccessControl)以及基于角色访问控制(RBAC，即RoleBasedAccessControl)，而后者已经成为前面两个模型的最佳替代者。在RBAC中，权限与角色相联系，用户作为合适角色的成员而获得权限，极大地简化了用户和权限的管理。大多数PLM系统的授权模型往往是上述几种访问控制模型的综合。

2PLM系统访问控制模型的比较

访问控制是在计算机系统所属的信息资源遭受未经授权的操作威胁时，能够采用适当的管制和防护措施来保护资源安全性和正确性。访问控制的实质是通过安全访问规则限制访问主体(用户、进程以及服务等)对客体(程序、文件等)的访问权限，从而使计算机系统在合法范围内使用。只有经过授权的用户向系统正确提交并验证了自己的身份后，才被允许访问特定的系统资源。PLM的访问控制模型有WindChill、TeamcenterEnterprise、TeamcenterEngineering，其主要特点如下：

2.1WindChill

WindChill采用了Domain(域)的概念，一个Domain是一些不同类型对象的集合。在每个不同的Domain上可以定义不同的访问控制策略和访问控制权限。在每个Domain上的访问控制策略是由一系列的访问控制规则组成的。访问规则规定了主体对客体在各种生命周期状态下的访问权限。规则的一般形式为“ifthen”。这些规则是可以沿类树从父类向子类蔓延。WindChill采用ACL(访问控制列表)的方式来体现一个对象上的访问控制规则。

2.2TeamcenterEnterprise

TeamcenterEnterprise中的权限控制使用“基于规则”的方式，可以通过规则来实现对用户操作权限的控制，控制用户、角色、工作组和部门对一个对象、一类对象或数据仓库的操作权限，并可与电子流程相结合。TeamcenterEnterprise支持三类规则：访问控制规则(MessageAccessRules、通知规则(NotificationRules)、数据定位规则(LocationSelectionRules)。TeamcenterEnterprise中提出了动态用户的概念，一个用户，只有在满足某种属性条件的前提下，才可以具有某些权限。

2.3TeamcenterEngineering

TeamcenterEngineering通过两种方式控制用户对数据文档的访问：面向对象的访问控制方式、以规则为基础对数据对象实行分类访问控制。其中规则方式是一种粗线条的管理方式，在规则控制的访问(Rule_BasedAccess)控制中，可根据数据对象当前的状态、类型、所属用户或组三个属性统一确定可存取该数据的人员范围。TeamcenterEngineering中同样采用了基于角色的访问控制，一个用必须以某种角色登陆，才能获取相应的权限。TeamcenterEngineering通过存取规则定义表，初始化权限模型，比较容易阅读。

3PLM访问控制模型需求的多元化及其评价

3.1模型需求的多元化

虽然目前对PLM系统的访问控制模型的研究和应用有了很大的进展，但是这些模型并不能完全支持客户在实际使用中提出的各种权限需求。这些需求主要表现在主体的多元化：权限不仅需要定义到用户和角色上，而且必须支持权限定义在其它类型的主体上。比如，用户可以通过分组形成静态组织，也可以通过动态分组形成项目组，有时需要把权限定义到这些静态组织和项目组上；权限的多元化：权限根据不同的客体应用，可以分为对象类权限、对象权限、属性权限、部件权限、管理权限、二次分配权限、权限等。普通的基于类的授权，已经不能满足实际的应用需求，必须建立对类的实例化对象以及对象属性的权限控制。另外，相对于用户和类来说，实例化对象的数量非常庞大，如何保证访问验证的效率是授权模型在实现过程中最大的难题；对象在生命周期中的权限变化：同一个用户，对同一个对象，在该对象的不同生命周期，有着不同的权限。如设计员在图纸对象的设计阶段有修改的权限，在该图纸被之后，该设计员就只有浏览和读的权限了。这就要求把权限定义到对象的生命周期上；统一的授权模型框架：随着PDM/PLM系统的发展，PDM/PLM系统中包括的子系统越来越多，比如除了传统的数据管理子系统，很多PDM/PLM系统还集成了工作流子系统，ERP子系统，CAD子系统等。这就要求必须有一个统一的授权框架来支持在PDM/PLM中控制这些子系统中的数据的权限，而不能只由各个子系统的授权模型来控制权限；权限分级管理：目前大部分PDM/PLM系统的权限管理都由全局的系统管理员角色来担任，该系统管理员负责分配整个系统的权限。由于该系统管理员可以无所不为，实际上系统管理员成了企业安全最大的漏洞。而在实际应用中，由于部门之间往往存在着各种利益冲突，所以在实施数据的管理中，不仅有全局化的数据，而且各个部门会有各自的数据，这就要求管理员的权限必须受到限制，不能随意访问各个部门的私有数据。此外，从实际的运行管理来讲，该系统管理员也无法详细了解各个部门的人员对权限使用的要求，无法更好地设置企业的权限。所以需要建立分级的访问控制权限管理员；规则授权和矩阵授权的结合：基于条件表达式的规则授权有很高的灵活性，但是当规则增多时，系统的效率会大大下降，因为需要逐条对规则判断。另外一个对象可能会出现在多条规则中，所以需要一套复杂的机制来处理规则之间的授权冲突。而基于矩阵的授权因为可以直接利用数据库的查询机制，所以有很高的效率。但是基于矩阵的授权灵活性、扩展性较差。如何把这两种方式结合起来，从而实现灵活高效的授权机制，以适应日益复杂的企业对授权的需求，是对PLM系统访问控制模型提出的一个更大挑战。

3.2PLM访问控制模型的评价

目前，实施PLM系统的企业一般都是扩展型或集团型企业，对权限管理变化的差异比较大，权限设置的范围也比较广，PLM访问控制模型必须从技术和实施两方面考虑，提供非常灵活的授权访问控制机制，以满足不同行业、不同领域对于数据安全的需要。一个好的访问控制模型必须具备：支持基于人员、角色和组织并存的授权；支持多个层次的对象授权访问控制；支持多种方案的权限多级分发；支持动态的工作流授权；支持权限模型和策略定义；支持权限时效性设置；支持文件加密和压缩；支持安全日志记录。

目前在大型企业的信息化系统中，角色成百上千，而用户和权限的数目更是上万或者几十万，甚至上百万，要有效地管理这些角色、用户、权限以及它们之间的关系，是一件非常费力的事情。特别是如果这些关系动态变化，例如部门人员的变动等，这些让系统管理员集中管理几乎是不可能的。由于集中权限管理在实际应用中很难进行，PLM访问控制系统必须在基于角色的基础上，实施多级管理模式，设置管理角色，提高权限管理的效率以符合企业的需要。

4结语

不同行业对于产品全生命周期管理系统PLM的权限管理的需求差异比较大，不同的企业在PLM系统的实施过程中，又会提出各种各样的授权特定需求，一个具有支持可定制的、开放的、易扩展的访问控制模型，对于PLM系统是至关重要的，也是必须的，否则将无法满足企业日益增长和变化的需求。如何准确、快捷、有效、及时地满足这些授权需求，是PLM访问控制模型必须考虑的问题。

参考文献

[1]薛华成.管理信息系统[M].北京：清华大学出版社，2004.

[2]卢亚辉，耿坤瑛.PDM/PLM系统授权模型的研究和应用[J].CAD/CAM与制造业信息化，2005，(4).

[3]万立，关卫林.PDM权限管理模[J].机械与电子，2005，(1).