MES系統(tǒng)中三維模型數(shù)據(jù)防泄漏實(shí)現(xiàn)

官雄明　馮衛(wèi)星　沈剛　楊雪蓉

摘? ?要：將設(shè)備的三維模型植入到MES系統(tǒng)中，通過可視化的三維模型操作實(shí)現(xiàn)設(shè)備運(yùn)維業(yè)務(wù)，極大地提高了工廠的設(shè)備運(yùn)維效率。為保證MES系統(tǒng)中三維模型數(shù)據(jù)的安全，紅塔煙草（集團(tuán)）有限責(zé)任公司在探索中找到了一套切實(shí)可行的方法。論文分析了三維模型數(shù)據(jù)的泄露途徑與因素，針對(duì)性地從制度保障、三維模型處理、網(wǎng)絡(luò)防護(hù)和加密系統(tǒng)保護(hù)四方面入手，構(gòu)建了模型數(shù)據(jù)防泄漏的立體防護(hù)網(wǎng)。經(jīng)過一年的使用與驗(yàn)證，防泄漏防護(hù)網(wǎng)切實(shí)可行。

關(guān)鍵詞：MES系統(tǒng);三維模型;數(shù)據(jù)防泄漏;數(shù)據(jù)安全

中圖分類號(hào)：TP391.1? ? ? ? ? 文獻(xiàn)標(biāo)識(shí)碼：A

Realization of anti-leakage of 3D model data in MES

Guan Xiongming， Feng Weixing， Shen Gang， Yang Xuerong

[Hongta Tobacco （Group） Co.， Ltd.， YunnanYuxi 653100]

Abstract： Implanted the 3D model into the MES system， operators and repairers can complete equipment operation and maintenance in MES by visually manipulating 3D models， which has improved equipment operation and maintenance efficiency greatly. In order to ensure the safety of 3D model data in MES， Hongta Group has found the Know-How by the continuous exploration. By the analysis of the leakage paths and factors of the 3D model data， we constructed a three-dimensional protection network， which includes the institutional guarantee， 3D model processing， network protection and encryption system protection. More than one years using has verified that the anti-leakage protection network is feasible.

Key words： MES; 3D model; data leakage prevention; data security

1 引言

信息技術(shù)的高速發(fā)展為企業(yè)提供了一系列先進(jìn)高效的管理工具與方法，ERP（Enterprise Resource Planning）、MES（Manufacturing Execution System）、OA（Office Automation）等系統(tǒng)的實(shí)施，極大地提升了企業(yè)管理的信息化水平。各管理系統(tǒng)的孤立運(yùn)行造成一線員工使用過程中需要交叉登錄多個(gè)系統(tǒng)，同時(shí)各管理系統(tǒng)以文字圖表為主要人機(jī)交互（UI）的界面也給一線員工的使用造成不小的挑戰(zhàn)。從事設(shè)備運(yùn)維的一線員工都期待一個(gè)整合了現(xiàn)有設(shè)備管理業(yè)務(wù)的平臺(tái)或系統(tǒng)，實(shí)現(xiàn)一站式操作;同時(shí)，該平臺(tái)的操作界面簡(jiǎn)單明了，所見即所得。

為響應(yīng)一線員工的訴求，紅塔集團(tuán)借MES系統(tǒng)升級(jí)的契機(jī)，創(chuàng)造性地將設(shè)備的三維模型植入到MES系統(tǒng)中，以三維模型為載體，梳理設(shè)備運(yùn)維的邏輯，掛載設(shè)備運(yùn)維業(yè)務(wù)，將枯燥的文字和表格轉(zhuǎn)化為直觀、形象的三維模型操作。三維模型的引入，讓新MES系統(tǒng)簡(jiǎn)單、直觀、易用。但如何保證模型數(shù)據(jù)這一“數(shù)字資產(chǎn)”的安全，防止企業(yè)內(nèi)員工有意或無意泄露，防止第三方盜取成為不得不解決的問題。數(shù)字資產(chǎn)作為信息資產(chǎn)的主要組成部分，具有共享性、增值性、易復(fù)制、低安全性的特點(diǎn)[1]，企業(yè)管控?cái)?shù)字資產(chǎn)面臨嚴(yán)峻的挑戰(zhàn)。

2 模型數(shù)據(jù)防泄漏管控分析

企業(yè)應(yīng)從敏感信息的產(chǎn)生、存儲(chǔ)、使用、消亡進(jìn)行數(shù)據(jù)全生命周期的監(jiān)管，在兼顧數(shù)據(jù)安全、成本的同時(shí)，把對(duì)使用者的干擾降至最低。

2.1 模型數(shù)據(jù)使用環(huán)境

設(shè)備三維模型通過MES系統(tǒng)調(diào)用，在MES系統(tǒng)中實(shí)現(xiàn)設(shè)備運(yùn)維業(yè)務(wù)的交互。集團(tuán)MES僅支持內(nèi)部局域網(wǎng)訪問，因此設(shè)備的三維模型僅能在集團(tuán)內(nèi)網(wǎng)使用。MES系統(tǒng)以B/S（瀏覽器/服務(wù)器）的方式調(diào)用設(shè)備三維模型進(jìn)行交互，設(shè)備模型數(shù)據(jù)的更新、增加和刪除在服務(wù)器端完成。MES終端具有點(diǎn)多面廣、使用頻率高、接觸人員多、人員流動(dòng)性大等特點(diǎn)，三維模型數(shù)據(jù)在MES中的調(diào)取、傳輸、交互過程中存在極大的泄露風(fēng)險(xiǎn)。

2.2 模型數(shù)據(jù)泄露風(fēng)險(xiǎn)分析與對(duì)策

模型數(shù)據(jù)在使用過程中，存在兩大類的泄密途徑。

一是通過移動(dòng)存儲(chǔ)設(shè)備泄露：企業(yè)內(nèi)部員工或外協(xié)人員通過U盤、硬盤、DVD、手機(jī)等媒介，將終端電腦的模型數(shù)據(jù)拷走;終端電腦分布廣泛，接觸人員眾多，終端電腦的拷貝控制挑戰(zhàn)不小。

二是通過網(wǎng)絡(luò)環(huán)境泄露[1]：通過郵件外發(fā)泄露，即時(shí)通訊軟件（QQ、微信等）外發(fā)泄露，網(wǎng)盤、云盤、FTP外發(fā)泄露，網(wǎng)絡(luò)共享泄露，黑客攻擊、木馬病毒竊取等;通過網(wǎng)絡(luò)環(huán)境竊取或泄露方式多樣，技術(shù)水平較高，監(jiān)管防范困難。

從泄密的因素分析，包括人、終端、模型數(shù)據(jù)三因素。人的因素包括企業(yè)內(nèi)部的建模人員、模型數(shù)據(jù)使用人員（設(shè)備運(yùn)維人員）、網(wǎng)絡(luò)運(yùn)維人員，企業(yè)外部從事網(wǎng)絡(luò)運(yùn)維、終端維護(hù)的第三方人員，覬覦企業(yè)數(shù)字資產(chǎn)的同行。人作為模型數(shù)據(jù)泄露的主體，數(shù)目眾多、目的各異、行為離散，管理難度大。終端由集團(tuán)統(tǒng)一配置，位置固定，專人負(fù)責(zé)，監(jiān)管相對(duì)容易。模型數(shù)據(jù)作為防泄漏保護(hù)的客體，泄露載體和泄露途徑多，防護(hù)難度大。

保證模型數(shù)據(jù)的絕對(duì)安全是不可能的，也是不現(xiàn)實(shí)的。基于模型數(shù)據(jù)的使用情況及泄密途徑，在三維模型數(shù)據(jù)的全生命周期中，數(shù)據(jù)防泄漏解決方案可通過制度設(shè)計(jì)規(guī)范人的行為，減小有意或無意泄露模型數(shù)據(jù)的風(fēng)險(xiǎn)，增加人為泄密的成本。通過“水印”保護(hù)措施，明確企業(yè)知識(shí)產(chǎn)權(quán)，達(dá)到“防侵權(quán)”。通過對(duì)終端電腦的網(wǎng)絡(luò)隔離，減少模型數(shù)據(jù)通過網(wǎng)絡(luò)環(huán)境泄露的風(fēng)險(xiǎn)。通過對(duì)終端電腦的物理隔離，減少移動(dòng)存儲(chǔ)設(shè)備通過終端電腦竊取數(shù)據(jù)的風(fēng)險(xiǎn)。通過對(duì)模型數(shù)據(jù)的強(qiáng)制加密或選擇性加密，保證模型數(shù)據(jù)僅在企業(yè)內(nèi)部可用，保證泄密后數(shù)據(jù)的安全性，達(dá)到普遍性“防泄密”目標(biāo)[2]。通過對(duì)模型數(shù)據(jù)的授權(quán)使用原則，實(shí)現(xiàn)模型數(shù)據(jù)的有痕管理。

3 模型數(shù)據(jù)防泄漏實(shí)現(xiàn)

紅塔集團(tuán)在不斷的探索中，構(gòu)建了模型數(shù)據(jù)防泄漏的立體防護(hù)網(wǎng)，取得了良好的效果。

3.1 制度保證

針對(duì)信息安全，集團(tuán)制定了詳細(xì)的事前預(yù)防、事中控制、事后追責(zé)的管理制度，對(duì)涉密數(shù)據(jù)、涉密電腦、涉密人員分級(jí)、分權(quán)管理制度，對(duì)涉密數(shù)據(jù)的產(chǎn)生、使用、存儲(chǔ)全程監(jiān)管。直接接觸模型數(shù)據(jù)的集團(tuán)員工和網(wǎng)絡(luò)運(yùn)維、系統(tǒng)開發(fā)的外協(xié)方是模型數(shù)據(jù)泄露的極危險(xiǎn)因素，需和集團(tuán)簽訂保密協(xié)議，嚴(yán)禁泄露掌握的涉密數(shù)據(jù);和設(shè)備運(yùn)維相關(guān)的人員是模型數(shù)據(jù)的使用者，需分權(quán)、有痕使用模型數(shù)據(jù);和設(shè)備運(yùn)維相關(guān)的終端，是模型數(shù)據(jù)的直接泄露點(diǎn)，實(shí)行專人負(fù)責(zé)的登記、檢查、報(bào)廢制度，嚴(yán)格管理終端硬盤、USB接口，最大限度地減少模型數(shù)據(jù)從終端泄露的途徑，保證模型數(shù)據(jù)在終端的使用中有據(jù)可查。

3.2 三維模型數(shù)據(jù)的自我防護(hù)

對(duì)模型進(jìn)行銘刻與輕量化處理：在三維模型源文件中對(duì)每個(gè)零件做所有權(quán)標(biāo)記，銘刻上設(shè)計(jì)者、使用者、所有者、工廠名稱和集團(tuán)標(biāo)志等信息。將模型源文件進(jìn)行輕量化處理，輕量化輸出的模型不具有加工屬性，且精度降低，只保留滿足MES系統(tǒng)使用需求的模型外形、結(jié)構(gòu)和BOM信息。輕量化處理的過程不可逆，所有權(quán)標(biāo)記固化于模型數(shù)據(jù)中，不可更改，不可消除。一方面輕量化處理后的模型數(shù)據(jù)不慎泄漏后可以追溯來源，另一方面也給盜取模型數(shù)據(jù)的潛在使用者增加使用模型數(shù)據(jù)的法律風(fēng)險(xiǎn)和使用難度。

3.3 網(wǎng)絡(luò)防護(hù)

通過對(duì)終端局域網(wǎng)進(jìn)行服務(wù)控制，禁用工業(yè)局域網(wǎng)的郵件服務(wù)、代理服務(wù)、文件服務(wù)等網(wǎng)絡(luò)服務(wù)，進(jìn)行細(xì)粒度的訪問控制管理，有效控制惡意代碼在網(wǎng)絡(luò)內(nèi)部的傳播和擴(kuò)散，避免來自其它設(shè)備的惡意攻擊及訪問。通過進(jìn)程白名單技術(shù)，確保終端只允許業(yè)務(wù)所需的進(jìn)程和程序，防止惡意軟件安裝或程序運(yùn)行導(dǎo)致的病毒感染風(fēng)險(xiǎn)。基于白名單機(jī)制對(duì)系統(tǒng)關(guān)鍵資源進(jìn)行訪問控制及鎖定保護(hù)，對(duì)關(guān)鍵文件、注冊(cè)表、硬件資源等進(jìn)行鎖定，有效避免誤操作、越權(quán)操作等威脅行為的發(fā)生，防止對(duì)系統(tǒng)的非授權(quán)和惡意變更。監(jiān)控和收集服務(wù)器系統(tǒng)日志和加固防護(hù)日志，及時(shí)掌握服務(wù)器當(dāng)前面臨的風(fēng)險(xiǎn)狀況以及系統(tǒng)的細(xì)微變化，以便及時(shí)采取事后處理措施。設(shè)置復(fù)雜的Administrator賬戶密碼，并定期更換;對(duì)授權(quán)用戶進(jìn)行物理路徑和服務(wù)的最小權(quán)限授權(quán)，禁用并刪除Guest賬戶。網(wǎng)絡(luò)防護(hù)措施可有效降低通過集團(tuán)內(nèi)網(wǎng)泄露模型數(shù)據(jù)的風(fēng)險(xiǎn)，并有效阻斷通過外部網(wǎng)絡(luò)截取企業(yè)內(nèi)部數(shù)據(jù)的行為。

3.4 加密系統(tǒng)保護(hù)

運(yùn)用目前成熟的驅(qū)動(dòng)層文件透明加解密技術(shù)[4]，構(gòu)建紅塔集團(tuán)的模型數(shù)據(jù)加密防護(hù)系統(tǒng)，作為集團(tuán)制度和網(wǎng)絡(luò)防護(hù)失敗后的最后防線，保證模型數(shù)據(jù)從企業(yè)內(nèi)網(wǎng)或是終端泄露后失去使用價(jià)值。

模型數(shù)據(jù)加密防護(hù)系統(tǒng)的硬件構(gòu)成如圖1所示，包括一臺(tái)模型服務(wù)器、一臺(tái)加密授權(quán)服務(wù)器所有調(diào)用模型的MES終端和集團(tuán)局域網(wǎng)。模型服務(wù)器用于存儲(chǔ)模型數(shù)據(jù)并響應(yīng)MES終端的模型調(diào)用請(qǐng)求，向MES終端傳輸模型數(shù)據(jù);加密授權(quán)服務(wù)器用于存儲(chǔ)秘鑰、終端ID、進(jìn)程ID和響應(yīng)MES終端的解密請(qǐng)求，向合法終端發(fā)放解密秘鑰。

加密系統(tǒng)的基礎(chǔ)配置流程如圖2所示。首先，提取加密授權(quán)服務(wù)器的24位機(jī)器碼，隨機(jī)生成密鑰PK，將PK存于加密授權(quán)服務(wù)器，同時(shí)，用密鑰PK對(duì)模型數(shù)據(jù)進(jìn)行加密，加密后的模型數(shù)據(jù)放于模型服務(wù)器。其次，提取所有MES終端的24位機(jī)器碼，并將作為終端的唯一標(biāo)志（ID）存于授權(quán)服務(wù)器。最后，提取所有MES終端上的瀏覽器（Google、IE、Firefox）程序的32位MD5值（信息-摘要算法5），作為終端電腦合法程序的唯一標(biāo)識(shí)（ID），將所有的存于授權(quán)服務(wù)器 。

MES終端使用加密模型數(shù)據(jù)的流程如圖3所示。首先，MES終端向模型服務(wù)器發(fā)出模型調(diào)用請(qǐng)求，響應(yīng)請(qǐng)求并發(fā)送模型數(shù)據(jù)。接著，MES終端向加密授權(quán)服務(wù)器申請(qǐng)密鑰PK，加密授權(quán)服務(wù)器經(jīng)過校驗(yàn)機(jī)器碼和瀏覽器均“合法”后，發(fā)送密鑰PK給終端。最后，通過終端認(rèn)證和瀏覽器認(rèn)證的MES終端，將獲得的密鑰PK和加密模型數(shù)據(jù)讀入終端電腦內(nèi)存解密，解密后的模型數(shù)據(jù)在MES系統(tǒng)中呈現(xiàn)、交互。

機(jī)器碼與終端電腦的硬件配置和系統(tǒng)軟件相關(guān)，更改系統(tǒng)硬件配置（如更換硬盤）或系統(tǒng)軟件（如重裝操作系統(tǒng)）后機(jī)器碼改變，與授權(quán)服務(wù)器存儲(chǔ)的不再匹配，不能認(rèn)證，終端認(rèn)證防止了非法終端假冒合法終端竊取密鑰PK的問題。MD5值可作為程序的唯一標(biāo)志，任何對(duì)程序進(jìn)行的修改、篡改均會(huì)導(dǎo)致MD5值的改變[5]，導(dǎo)致瀏覽器認(rèn)證失敗。瀏覽器認(rèn)證防止了釣魚進(jìn)程通過進(jìn)程冒充獲得秘鑰PK，進(jìn)而非法解密加密模型數(shù)據(jù)的問題。

瀏覽器緩存于MES終端的數(shù)據(jù)為加密狀態(tài)，內(nèi)存中的解密模型數(shù)據(jù)保存到本地硬盤、移動(dòng)存儲(chǔ)介質(zhì)時(shí)，模型數(shù)據(jù)自動(dòng)加密。終端電腦的瀏覽器退出或關(guān)閉時(shí)，內(nèi)存中的解密模型數(shù)據(jù)自動(dòng)銷毀;同時(shí)終端電腦刪除本地硬盤中緩存的加密模型數(shù)據(jù)。

加密系統(tǒng)嚴(yán)密監(jiān)控終端電腦上通過USB端口寫入移動(dòng)存儲(chǔ)設(shè)備的行為，限制USB端口為只讀不寫;同時(shí)，對(duì)寫入移動(dòng)存儲(chǔ)設(shè)備的數(shù)據(jù)進(jìn)行冗余保護(hù)，不管數(shù)據(jù)類型和數(shù)據(jù)量大小，全部加密，解決了通過USB端口盜取模型數(shù)據(jù)的問題。

透明加解密系統(tǒng)實(shí)施后，加密解密均由系統(tǒng)自動(dòng)無痕完成，用戶無需改變操作習(xí)慣[6]。在整個(gè)模型數(shù)據(jù)的生命周期中，模型數(shù)據(jù)的存儲(chǔ)、使用、銷毀均為加密狀態(tài)，保證了從企業(yè)內(nèi)網(wǎng)流出的模型數(shù)據(jù)仍為加密狀態(tài)，而脫離了認(rèn)證環(huán)境的加密模型不會(huì)被打開，進(jìn)而保證了模型數(shù)據(jù)的安全。

4 效果驗(yàn)證

加密系統(tǒng)部署實(shí)施后，集團(tuán)首先進(jìn)行了功能性測(cè)試：將輕量化后的模型數(shù)據(jù)加密存放于模型服務(wù)器，在MES系統(tǒng)中進(jìn)行調(diào)用，截取傳輸過程中的臨時(shí)文件、使用前后的本地緩存文件，在對(duì)各涉密終端的監(jiān)測(cè)中，不管是正常使用環(huán)境下還是強(qiáng)制關(guān)機(jī)、突然斷電、強(qiáng)制進(jìn)程退出的測(cè)試環(huán)境下，模型數(shù)據(jù)始終處于加密狀態(tài)。加密系統(tǒng)對(duì)文件采用全數(shù)據(jù)加密的方式，而不僅是更改文件頭、尾，在不知道加密密鑰和加密算法的基礎(chǔ)上，理論上文件被破解的概率為零，保證了加密數(shù)據(jù)的安全性。接著，集團(tuán)對(duì)加密系統(tǒng)進(jìn)行了可靠性和負(fù)載能力測(cè)試。

可靠性測(cè)試如表1所示。方案一為對(duì)同一文件進(jìn)行5組（每組100次）的加解密測(cè)試，方案二為5組（每組1000個(gè)）零件的加解密測(cè)試，測(cè)試過程中未發(fā)現(xiàn)文件損壞，文件加解密正常，測(cè)試結(jié)果100%合格。

按照集團(tuán)近期400臺(tái)終端和遠(yuǎn)期600臺(tái)終端的使用需求對(duì)加密平臺(tái)進(jìn)行負(fù)載能力測(cè)試，如表2所示。方案一為5組（每組100臺(tái)）MES終端同時(shí)調(diào)用不同模型的測(cè)試，方案二為5組（每組50臺(tái)）MES終端同時(shí)調(diào)用同一模型的測(cè)試，測(cè)試過程中，模型服務(wù)器和加密授權(quán)服務(wù)器響應(yīng)正常，MES終端調(diào)用流暢。

通過對(duì)加密系統(tǒng)的可靠性與負(fù)載能力測(cè)試表明，加密系統(tǒng)完全滿足集團(tuán)的使用要求。

自2018年3月MES系統(tǒng)在集團(tuán)四廠投入運(yùn)行以來，三維模型數(shù)據(jù)功能使用正常，通過對(duì)模型數(shù)據(jù)調(diào)用的審計(jì)、追蹤分析，未發(fā)現(xiàn)模型數(shù)據(jù)泄露問題，保證了集團(tuán)數(shù)字資產(chǎn)的安全。

5 結(jié)束語(yǔ)

本文基于三維模型數(shù)據(jù)使用過程中的防泄漏需求，從制度保障、模型數(shù)據(jù)自我保護(hù)、網(wǎng)絡(luò)防護(hù)和加密系統(tǒng)防護(hù)四個(gè)方面探索了三維模型數(shù)據(jù)防泄漏的解決方案，可作為有類似需求的工業(yè)企業(yè)參考。

基金項(xiàng)目：

紅塔煙草（集團(tuán)）有限責(zé)任公司科技項(xiàng)目“基于仿真的紅塔集團(tuán)卷接包設(shè)備智能管理平臺(tái)研究與應(yīng)用”（項(xiàng)目編號(hào)：S-6018002）。

參考文獻(xiàn)

[1] 范睿.企業(yè)數(shù)據(jù)防泄漏架構(gòu)分析[J].網(wǎng)絡(luò)空間安全， 2017， 8（8）：77-82.

[2] 劉金鎖，從正海，韓勇.企業(yè)數(shù)據(jù)保護(hù)與防泄漏平臺(tái)的設(shè)計(jì)與實(shí)現(xiàn)[J].計(jì)算機(jī)與現(xiàn)代化， 2013（6）：48-51.

[3] 張晶姝.終端數(shù)據(jù)防泄漏系統(tǒng)在企業(yè)中的應(yīng)用實(shí)踐[J].數(shù)字技術(shù)與應(yīng)用， 2018， 36（5）：201-202.

[4] 陳一帆.基于常見加密算法的加解密工具設(shè)計(jì)[J].中國(guó)新通信， 2018，20（19）：178.

[5] 王秋紅.數(shù)據(jù)加密技術(shù)在計(jì)算機(jī)網(wǎng)絡(luò)通信安全中的實(shí)踐[J].網(wǎng)絡(luò)與信息工程，2018，21：90-91.

[6] 陳福源.文檔透明加密系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[D].北京郵電大學(xué)， 2010：7-12.