产品生命周期管理系统中工作流的访问控制模型

第11卷第10期计算机集成制造系统Vol.11No.102005年10月Computer Integrated Manufacturing SystemsOct .2005文章编号:1006-5911(2005)10-1367-05产品生命周期管理系统中工作流的访问控制模型廖 旭,张 力(清华大学软件学院,北京 100084)摘 要:为了满足产品生命周期管理系统对流程的访问控制需求,在基于角色的访问控制模型的基础上,提出一种访问控制模型,实现了产品生命周期管理系统和工作流管理系统的共同授权。

由产品生命周期管理系统管理企业中的文档和用户等信息,对其进行静态授权。

在流程中,为实现动态授权,防止流程死锁和权限泄漏,引入基于流程实例的对象组,用于容纳在流程中的数据;同时,允许在流程、活动和对象组这3个层次上进行授权,不同层次的权限允许被继承和重定义。

这样,不仅方便管理员进行授权,而且增加了授权灵活性,细化了授权粒度。

关键词:产品生命周期管理系统;工作流管理系统;访问控制;基于流程实例的对象组中图分类号:T P391.9 文献标识码:AAccess control model for workflow management system for PLMLI A O X u,ZH A N G L i((Sch.o f Softw are,T singhua U niv.,Beijing 100024,China)Abstract:To meet the access control r equirements o f w orkflo w in product lifecy cle manag ement (PLM )system,an access contr ol model was proposed based on the Role Based A ccess Control M odel (RBAC)to implement the co-authorization of the Workflow Management System (WfM S)and the PLM system.P LM system was employed to manag e and conduct stat -ic authorization on information such as files and users.To implement dynamic access control and avoid process deadlock and privileg e leakage,the object group based on process instance was introduced.It was used to contain and manage the data used in process.M oreover,author ization could be granted fr om thr ee levels:process,activity,and object g roup in this model.T he author ization of each level could be inherited and redefined.T his method has facilitated the management of ad -ministrators,and improved the flexibility and author ization gr anularity.Key words:pr oduct lifecycle manag ement system;wo rkflo w manag ement system;access contro l;pro cess instance based o bject gr oup收稿日期:2004-07-13;修订日期:2004-08-16。

Received 13Jul.2004;accepted 16Au g.2004.基金项目:国家863/CIMS 主题资助项目(2002AA4Z3310,2003AA411022)。

Fo undatio n item:Project su pported by th e National High -T ech.R&D Program for CIMS,China(No.2002AA4Z3310,2003AA411022).作者简介:廖 旭(1981-),男,江西兴国人,清华大学软件学院硕士研究生,主要从事工作流、访问控制等方面研究。

E-m ail:liaox02@m 。

0 引言产品生命周期管理(Pro duct Lifecy cle M anage -m ent,PLM )系统贯穿于产品的整个生命周期,涉及产品的开发、生产、打包和分配等各种流程,在执行业务流程时,各种文档和数据在流程中传播,如何确保这些信息的安全就变得十分重要。

访问控制是保证信息安全的一种主要手段[1,2],目前应用最广泛的访问控制模式是基于角色的访问控制。

1996年,文献[3]提出了一系列的模型,形成了RBAC 96标准,RBAC 被引入工作流管理系统领域后,由于并不能很好地适应工作流环计算机集成制造系统第11卷境,很多研究人员都提出了各自的改进方案;文献[4]提出用Petri Nets来表示授权模型,强调了角色和任务两个概念;文献[5]总结了工作流管理系统中的各种约束和规范,并进一步提出了相应的语言算法来描述和验证。

PLM系统的访问控制一般偏向传统的文档管理和用户管理,采用基于角色的访问控制。

这种授权模式基本上是静态的,用户在登陆了系统后就被赋予了固定的权限,该权限在其退出系统之前都不会改变。

但这种模式不能满足工作流管理系统中动态授权的要求。

在流程中,权限和上下文相关联,在不同的上下文中,同一个角色的权限可能不同。

本文在PLM系统原有的RBAC基础上,引入基于流程实例的对象组。

通过用对象组管理在流程中使用的数据对象,不仅可以实现工作流中的动态授权,还可以增加授权的灵活性,细化授权粒度。

下面将讨论在PLM系统中,工作流管理系统的特殊访问控制需求,并以笔者开发的TiPLM系统为例,讨论如何实现它的访问控制机制。

1 PLM系统中工作流管理系统的访问控制需求PLM系统需要管理整个企业的各种信息和数据,包括员工信息、生产信息和产品信息等。

而产品信息又包括文档、图纸、零件、工艺以及它们之间的各种关联。

这些信息只有参与到流程中,才能完全达到PLM在企业信息化中的目的。

流程是为了完成某个目的而相互连接的活动或任务的集合,流程中的数据对象将伴随流程在企业各部门之间流动。

这样,一方面加快了信息的流通,另一方面也引入了新的安全需求。

本文将主要从3个方面讨论PLM 中工作流的访问控制。

(1)共同授权 由于集成或内嵌于PLM系统,工作流管理系统需要和PLM系统共同完成授权。

PLM系统在文档管理等方面已经很成熟了,它可以很好地控制每个用户对不同类型数据的权限,还能区分文档、图表等对象所处的状态。

例如,如果对象处于检入状态,就没有修改、删除等权限,而对象只有处于定版状态才能进行升版操作。

如果完全摒弃PLM系统原有的授权体系,由工作流管理系统单独授权,将会极大地增加系统复杂度。

因此,PLM系统分担工作流管理系统部分授权,两者协同工作完成授权,才是最好的办法。

(2)动态授权 随着流程运行到不同的任务节点,流程参与者所拥有的权限是变化的。

以一个典型的流程为例,如图1所示。

图中是一个审批流程模板,包括4个任务节点和1个路由节点。

1个用户拥有 设计员 这个角色,但其在执行 设计图编制 和 工艺图编制 这两个任务时,能访问的对象应该不一样。

而某个用户在PLM系统中也许不具备访问 设计图纸 的权限,但是如果被分配执行 审核 这个任务,就有权限访问设计图纸,而且是只能在开始执行这个任务时赋予访问权限,任务结束后就不再具备访问权限了。

由此可以看出,流程中的授权是动态的,即使同一角色,在不同的流程中拥有的权限也是不同的,甚至在同一流程的不同活动节点,拥有的权限也可能不一样。

(3)最小授权 指授予用户的权限恰好能够完成这个任务。

例如,在该流程中, 审核 节点的执行人只需要访问设计图和工艺图,而且由于只是审核图纸,执行人也不能拥有 修改 和 删除 等权限。

如果给用户授予了过大的权限,就会造成权限的泄漏;如果权限过小,则用户无法成功完成任务,造成流程的死锁。

因此,最小授权是指用户恰好能完成任务的最小权限。

2 PLM系统中工作流管理系统的访问控制模型2 1 PLM系统的访问控制PLM系统采用的是基于角色的访问控制模式,对它的描述如下U为所有的用户集合,u为一个具体的用户。

R为所有的角色集合,r为一个具体的角色。

O为所有对象的集合,o为一个具体的对象,在PLM系统中,对象指系统管理的各种数据,如数量庞大的文档以及他们之间复杂的关系。

C为所有类1368第10期廖 旭等:产品生命周期管理系统中工作流的访问控制模型的集合,c为一个具体的类。

PLM系统管理的对象虽然很多,但是他们可以按照类别来划分,如分成组织、产品、文档和图表等不同大类;而这些大类又可以继续划分成更小的子类,如 产品 又可以继续划分成定制件、自制件等。

P为所有权限的集合,p为某一项权限。

(1)角色的层次关系(role hierarchy) RH R R,(r i,r j) RH表示r i是r j的父角色,父角色能自动拥有子角色的全部权限。

(2)类的层次关系(class hierarchy) CH C C,(c i,c j) CH表示c i是c j的父类,用户对父类授予的权限可以自动适用于子类。

(3)用户角色指派关系(user ro le assign) UR A U R,(u i,r j) URA表示用户u i被赋予角色r j,用户u i将获得角色r j的全部权限。

(4)角色权限指派关系(r ole perm issio n assig n) R PA R P,(r i,p j) RPA表示角色r i被赋予权限p j。

(5)对象和类从属关系(object class belo ng) OCB O C,(o i,c j) OCB表示对象o i属于类c j。

PLM系统的授权可以针对类或对象,一条授权表示为一个三元组:g rant=(r,o,p)或者gr ant= (r,c,p),其中u U,r R,o R,c C,p P。

2 2 基于流程实例的对象组以图1的流程为例,可以通过工作流管理系统(Workflow M anag em ent System,WfMS)中的流程定义工具把它构建成一个流程模板。