产品生命周期管理系统中工作流的访问控制模型_产品创新数字化(plm)_pdm-plm_1113

《产品生命周期管理系统中工作流的访问控制模型_产品创新数字化(plm)_pdm-plm_1113》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、产品生命周期管理系统中工作流的访问控制模型_产品创新数字化(PLM)_PDM/PLM   0引言      产品生命周期管理(ProductLifecycleManagement,PLM)系统贯穿于产品的整个生命周期，涉及产品的开发、生产、打包和分配等各种流程，在执行业务流程时，各种文档和数据在流程中传播，如何确保这些信息的安全就变得十分重要。   访问控制是保证信息安全的一种主要手段，目前应用最广泛的访问控制模式是基于角色的访问控制。1996年，文献3提出了一系列的模型，形成了RBAC96标准，RBAC被引人工作流管理系统

2、领域后，由于并不能很好地适应工作流环境，很多研究人员都提出了各自的改进方案;文献[4]提出用PetriN　ets来表示授权模型，强调了角色和任务两个概念;文献[5]总结了工作流管理系统中的各种约束和规范，并进一步提出了相应的语言算法来描述和验证。   PLM系统的访问控制一般偏向传统的文档管理和用户管理，采用基于角色的访问控制。这种授权模式基本上是静态的，用户在登陆了系统后就被赋予了固定的权限，该权限在其退出系统之前都不会改变。但这种模式不能满足工作流管理系统中动态授权的要求。在流程中，权限和上下文相关联，在不同的上下文中，

3、同一个角色的权限可能不同。   本文在PLM系统原有的RBAC基础上，引人基于流程实例的对象组。通过用对象组管理在流程中使用的数据对象，不仅可以实现工作流中的动态授权，还可以增加授权的灵活性，细化授权粒度。下面将讨论在PLM系统中，工作流管理系统的特殊访问控制需求，并以笔者开发的TiPLM系统为例，讨论如何实现它的访问控制机制。      1　PLM系统中工作流管理系统的访问控制需求　　      PLM系统需要管理整个企业的各种信息和数据，包括员工信息、生产信息和产品信息等。而产品信息又包括文档、图纸、零件、工艺以及它们之

4、间的各种关联。这些信息只有参与到流程中，才能完全达到PLM在企业信息化中的目的。流程是为了完成某个目的而相互连接的活动或任务的集合，流程中的数据对象将伴随流程在企业各部门之间流动。这样，一方面加快了信息的流通，另一方面也引人了新的安全需求。本文将主要从3个方面讨论PLM中工作流的访问控制。   (1)共同授权由于集成或内嵌于PLM系统，工作流管理系统需要和PLM系统共同完成授权。PLM系统在文档管理等方面已经很成熟了，它可以很好地控制每个用户对不同类型数据的权限，还能区分文档、图表等对象所处的状态。例如，如果对象处于检人状态

5、，就没有修改、删除等权限，而对象只有处于定版状态才能进行升版操作。如果完全摒弃PLM系统原有的授权体系，由工作流管理系统单独授权，将会极大地增加系统复杂度。因此，PLM系统分担工作流管理系统部分授权，两者协同工作完成授权，才是最好的办法。   (2)动态授权随着流程运行到不同的任务节点，流程参与者所拥有的权限是变化的。以一个典型的流程为例，如图1所示。图中是一个审批流程模板，包括4个任务节点和1个路由节点。1个用户拥有"设计员"这个角色，但其在执行"设计图编制"和"工艺图编制"这两个任务时，能访问的对象应该不一样。而某个用户

6、在PLM系统中也许不具备访问"设计图纸"的权限，但是如果被分配执行"审核"这个任务，就有权限访问设计图纸，而且是只能在开始执行这个任务时赋予访问权限，任务结束后就不再具备访问权限了。由此可以看出，流程中的授权是动态的，即使同一角色，在不同的流程中拥有的权限也是不同的，甚至在同一流程的不同活动节点，拥有的权限也可能不一样。   (3)最小授权指授予用户的权限恰好能够完成这个任务。例如，在该流程中，"审核"节点的执行人只需要访问设计图和工艺图，而且由于只是审核图纸，执行人也不能拥有"修改"和"删除"等权限。如果给客户授予了过大的

7、权限，就会造成权限的泄漏;如果权限过小，则用户无法成功完成任务，造成流程的死锁。因此，最小授权是指用户恰好能完成任务的最小权限。       2PLM系统中工作流管理系统的访问控制模型　　      2.1　PLM系统的访问控制      PLM系统采用的是基于角色的访问控制模式，对它的描述如下U为所有的用户集合，u为一个具体的用户。R为所有的角色集合，r为一个具体的角色。O为所有对象的集合，o为一个具体的对象，在PLM系统中，对象指系统管理的各种数据，如数量庞大的文档以及他们之间复杂的关系。C为所有类的集合。c为一个具体的

8、类。PLM系统管理的对象虽然很多，但是他们可以按照类别来划分，如分成组织、产品、文档和图表等不同大类;而这些大类又可以继续划分成更小的子类，如"产品"又可以继续划分成定制件、自制件等。P为所有权限的集合，p为某一项权限。    2.2基于流程实例的对象组      以图1的流程为例，可以通