本文以在企業(yè)的PDM(Product Data Management，產(chǎn)品數(shù)據(jù)管理)系統(tǒng)實(shí)施為背景，分析了用戶權(quán)限控制對象及其相互關(guān)系，對PDM項(xiàng)目實(shí)施過程中用戶的數(shù)據(jù)訪問權(quán)限控制進(jìn)行了研究。

1、權(quán)限控制對象

PDM系統(tǒng)的權(quán)限控制是根據(jù)用戶身份的不同，對處于不同存儲位置和狀態(tài)的數(shù)據(jù)，為系統(tǒng)用戶分配相應(yīng)的操作權(quán)限。因此，用戶、產(chǎn)品數(shù)據(jù)、數(shù)據(jù)狀態(tài)、數(shù)據(jù)位置以及用戶對數(shù)據(jù)的操作構(gòu)成了權(quán)限控制機(jī)制中的基本對象。

1.1用戶

PDM系統(tǒng)用戶存在于兩種人員組織結(jié)構(gòu)中，如圖1。

一種是由企業(yè)各業(yè)務(wù)部門組成的相對固定的部門機(jī)構(gòu)，不同部門具有不同的崗位和職責(zé)，部門內(nèi)的人員也相對固定，這種屬于靜態(tài)的組織結(jié)構(gòu)。在靜態(tài)組織結(jié)構(gòu)中，人員分屬于各個業(yè)務(wù)部門，各部門按其職能和崗位的不同，確定所屬人員的職責(zé)和權(quán)限。由于各部門人員相對固定，基于靜態(tài)組織結(jié)構(gòu)的人員權(quán)限比較容易確定，我們依據(jù)業(yè)務(wù)部門劃分情況引入用戶組的概念，用戶組由工作職責(zé)和工作性質(zhì)相同的多個用戶所組成，同一用戶組中的用戶具有相同的職責(zé)和權(quán)限。一個用戶若同時參加多個用戶組，其權(quán)限可以疊加。

圖1

另一種人員組織結(jié)構(gòu)是基于產(chǎn)品的型號項(xiàng)目成立的項(xiàng)目組或開發(fā)團(tuán)隊(duì)，項(xiàng)目組成員的工作性質(zhì)涉及設(shè)計、工藝、制造、質(zhì)量、銷售等部門，有時還包括協(xié)作單位的成員，項(xiàng)目組或開發(fā)團(tuán)隊(duì)根據(jù)項(xiàng)目的啟動而成立，伴隨項(xiàng)目的結(jié)束而解散，這種屬于動態(tài)的組織結(jié)構(gòu)。在動態(tài)組織結(jié)構(gòu)中，人員的職責(zé)和權(quán)限相對復(fù)雜靈活，我們引入角色的概念對人員的職責(zé)和權(quán)限進(jìn)行描述。角色是在項(xiàng)目中根據(jù)職責(zé)不同劃分的一些崗位，如設(shè)計師，工藝師，質(zhì)量師等。動態(tài)組織結(jié)構(gòu)的成員來自多個部門，不同成員可以在項(xiàng)目中擔(dān)任相同的角色，同一成員也可以在不同的項(xiàng)目中擔(dān)任不同的角色，該成員在不同項(xiàng)目中擁有的權(quán)限由其擔(dān)任的角色決定。

1.2產(chǎn)品數(shù)據(jù)

PDM系統(tǒng)管理的是與產(chǎn)品相關(guān)的各種數(shù)據(jù)，如工程圖檔、與產(chǎn)品相關(guān)的文檔、產(chǎn)品結(jié)構(gòu)等。針對不同類型的產(chǎn)品數(shù)據(jù)，用戶對其訪問的控制權(quán)限也會不同。例如，對普通零件圖與產(chǎn)品總裝圖的訪問權(quán)限是不同的，對項(xiàng)目中的設(shè)計文檔與合同書的訪問權(quán)限也是不一樣的。

1.3數(shù)據(jù)狀態(tài)

數(shù)據(jù)在產(chǎn)品生命周期的不同階段對應(yīng)不同的狀態(tài)，如數(shù)據(jù)的編制中、審批中、打印中、發(fā)布等狀態(tài)。用戶對數(shù)據(jù)的訪問權(quán)限隨數(shù)據(jù)狀態(tài)的不同而變化。例如，當(dāng)數(shù)據(jù)處于編制狀態(tài)時，創(chuàng)建者對其擁有所有的操作權(quán)限，當(dāng)數(shù)據(jù)被提交進(jìn)入流程后，處于校核中，審批中等狀態(tài)時，創(chuàng)建者對其修改、刪除的權(quán)限將受到限制。

1.4數(shù)據(jù)位置

數(shù)據(jù)位置是指PDM系統(tǒng)管理的各類數(shù)據(jù)的存儲位置。數(shù)據(jù)按其所有者和所處狀態(tài)的不同，分別有不同的存儲位置，存儲位置不同，對數(shù)據(jù)的操作權(quán)限也不相同。我們在系統(tǒng)中建立個人工作區(qū)、共享數(shù)據(jù)倉庫和歸檔數(shù)據(jù)倉庫作為不同狀態(tài)數(shù)據(jù)的存儲位置。

處于編制、設(shè)計和修改過程中的產(chǎn)品數(shù)據(jù)存放在個人工作區(qū)。個人工作區(qū)屬于用戶的私有空間，一般位于用戶本機(jī)，存放用戶個人擁有的數(shù)據(jù)。用戶對自己個人工作區(qū)的數(shù)據(jù)擁有所有權(quán)，其他用戶未經(jīng)授權(quán)不能進(jìn)行訪問。

共享數(shù)據(jù)倉庫用于存放企業(yè)用戶共享的未正式發(fā)布的產(chǎn)品數(shù)據(jù)，處于校對、審核、批準(zhǔn)流程中或工藝會簽、標(biāo)準(zhǔn)化審查階段等不同狀態(tài)的產(chǎn)品數(shù)據(jù)都存放在共享數(shù)據(jù)倉庫中。共享數(shù)據(jù)倉庫內(nèi)存放有企業(yè)不同項(xiàng)目的產(chǎn)品數(shù)據(jù)，為保證數(shù)據(jù)的安全性，當(dāng)用戶對共享數(shù)據(jù)倉庫中的產(chǎn)品數(shù)據(jù)進(jìn)行操作時，系統(tǒng)會對其進(jìn)行權(quán)限驗(yàn)證。

處于批準(zhǔn)后發(fā)布狀態(tài)或更改完成狀態(tài)的產(chǎn)品數(shù)據(jù)存放在歸檔數(shù)據(jù)倉庫。歸檔數(shù)據(jù)倉庫是企業(yè)中正式發(fā)布的產(chǎn)品數(shù)據(jù)最終歸檔存儲位置，如經(jīng)過審批用于指導(dǎo)生產(chǎn)的圖檔、設(shè)計文件、工藝文件及相關(guān)的標(biāo)準(zhǔn)、規(guī)范等。歸檔數(shù)據(jù)倉庫具有比共享數(shù)據(jù)倉庫更加嚴(yán)格的數(shù)據(jù)管理權(quán)限，訪問歸檔數(shù)據(jù)倉庫的用戶需要經(jīng)過相應(yīng)的授權(quán)。

1.5用戶操作

操作是指用戶對產(chǎn)品數(shù)據(jù)進(jìn)行的查詢、瀏覽、刪除、復(fù)制等動作，不同的操作對數(shù)據(jù)產(chǎn)生的影響是不同的。因此，PDM系統(tǒng)對用戶進(jìn)行各種操作的控制權(quán)限也不相同，為方便數(shù)據(jù)共享，提高產(chǎn)品的研發(fā)效率，對于查詢、瀏覽權(quán)限的控制會相對較松;從保護(hù)企業(yè)知識財富的角度考慮，對于復(fù)制、刪除權(quán)限的控制會比較嚴(yán)格。

1.6權(quán)限控制對象相互關(guān)系

權(quán)限控制對象是相互關(guān)聯(lián)，互相影響的。一個數(shù)據(jù)可以對應(yīng)多個存儲位置和數(shù)據(jù)狀態(tài);數(shù)據(jù)在不同的存儲位置和數(shù)據(jù)狀態(tài)會被用戶進(jìn)行不同的操作;一個用戶可以被放在不同的用戶組，擔(dān)當(dāng)多個角色，對多種數(shù)據(jù)進(jìn)行不同的操作;一個角色也可以對應(yīng)多個用戶;不同的操作組合形成不同的角色。

綜上所述，各對象不是相互獨(dú)立的，權(quán)限控制的設(shè)計必須充分考慮所有對象，合理協(xié)調(diào)其相互關(guān)系，對用戶、產(chǎn)品數(shù)據(jù)、數(shù)據(jù)位置、數(shù)據(jù)狀態(tài)進(jìn)行綜合控制。即通過權(quán)限設(shè)置可以控制用戶在一定的條件下對指定的產(chǎn)品數(shù)據(jù)進(jìn)行特定的操作。

2、權(quán)限控制體系

PDM系統(tǒng)中權(quán)限控制有多種設(shè)置方式，依據(jù)對權(quán)限控制對象的分析，提出一種由消息發(fā)送規(guī)則、訪問控制列表、流程權(quán)限、動態(tài)授權(quán)等構(gòu)成，多層次、靜態(tài)與動態(tài)相結(jié)合的數(shù)據(jù)訪問權(quán)限控制體系，如圖2所示。

圖2 數(shù)據(jù)訪問權(quán)限控制體系

2.1消息發(fā)送規(guī)則

消息發(fā)送規(guī)則是基于規(guī)則的權(quán)限授予方式，我們依據(jù)企業(yè)的業(yè)務(wù)清況，綜合考慮用戶所在部門(用戶組)、用戶在項(xiàng)目中被賦予的角色、數(shù)據(jù)的類型、數(shù)據(jù)存儲位置和數(shù)據(jù)狀態(tài)等因素，利用消息發(fā)送規(guī)則控制用戶對產(chǎn)品數(shù)據(jù)進(jìn)行操作的權(quán)限。消息發(fā)送規(guī)則由參與者、對象、條件、消息(消息組)四個要素構(gòu)成，分別表示用戶、產(chǎn)品數(shù)據(jù)、數(shù)據(jù)所處的位置或狀態(tài)、用戶對數(shù)據(jù)的操作。通過設(shè)定消息發(fā)送規(guī)則，可以實(shí)現(xiàn)用戶在規(guī)定的條件下對數(shù)據(jù)進(jìn)行合法操作的功能。

2.2訪問控制列表

訪問控制列表是對消息發(fā)送規(guī)則權(quán)限授予方式的補(bǔ)充，訪問控制列表可以超越消息發(fā)送規(guī)則的限制，針對某個具體數(shù)據(jù)對象進(jìn)行權(quán)限設(shè)置，也可通過訪問控制列表設(shè)置的排除權(quán)限列表覆蓋規(guī)則權(quán)限，限制規(guī)則權(quán)限高的用戶對特定對象的操作權(quán)限。

2.3流程權(quán)限

流程權(quán)限是指流程參與者根據(jù)所執(zhí)行任務(wù)類型的不同，具有相對應(yīng)的對流程對象進(jìn)行操作的權(quán)限，流程節(jié)點(diǎn)到達(dá)時，流程任務(wù)執(zhí)行者可以對流程對象進(jìn)行規(guī)定的操作，當(dāng)流程通過這個節(jié)點(diǎn)后，該用戶不再擁有對流程對象進(jìn)行操作的權(quán)限。

對一些重要的或安全性高的流程節(jié)點(diǎn)，我們在該節(jié)點(diǎn)的操作開始前設(shè)置操作密碼驗(yàn)證，防止因誤操作或非法用戶進(jìn)入流程而導(dǎo)致數(shù)據(jù)損失。

2.4動態(tài)授權(quán)

動態(tài)授權(quán)由具有授權(quán)權(quán)限的用戶在一些特殊情況下，針對某個具體的數(shù)據(jù)對象為沒有操作權(quán)限的用戶授權(quán)，并且可以靈活設(shè)定授權(quán)的有效時限，到截止日期時，系統(tǒng)會自動收回對該用戶的授權(quán)權(quán)限。PDM系統(tǒng)具有這種動態(tài)授權(quán)的功能后，需要授權(quán)的用戶可以將此對象提交到動態(tài)授權(quán)流程內(nèi)，動態(tài)授權(quán)流程根據(jù)對象所處的狀態(tài)、位置以及創(chuàng)建者將此申請傳遞給擁有授權(quán)權(quán)限的用戶，由該用戶決定是否授權(quán)，并將結(jié)果通知給申請授權(quán)者。

2.5訪問監(jiān)控

為保證產(chǎn)品數(shù)據(jù)安全，我們在系統(tǒng)中設(shè)置了訪問監(jiān)控機(jī)制，用戶對一些重要數(shù)據(jù)進(jìn)行的所有操作都會通過事件通知規(guī)則(NTR)被監(jiān)控。事件通知規(guī)則由參與者、對象、條件、發(fā)生事件四個要素構(gòu)成，用來確定當(dāng)系統(tǒng)中特定事件發(fā)生時誰將得到通知，如有人瀏覽了產(chǎn)品總圖，項(xiàng)目總師會得到通知。

3、結(jié)束語

本文在研究了權(quán)限控制對象的基礎(chǔ)上，提出了出一種多層次、動靜結(jié)合的數(shù)據(jù)訪問權(quán)限控制體系，在某大型企業(yè)實(shí)施后，實(shí)現(xiàn)了系統(tǒng)內(nèi)用戶訪問產(chǎn)品數(shù)據(jù)的權(quán)限控制。伴隨著異地協(xié)同技術(shù)的興起，我們進(jìn)一步需要研究的是異地數(shù)據(jù)訪問安全及權(quán)限控制體系問題。