官雄明　馮衛(wèi)星　沈剛　楊雪蓉

摘? ?要：將設備的三維模型植入到MES系統(tǒng)中，通過可視化的三維模型操作實現(xiàn)設備運維業(yè)務，極大地提高了工廠的設備運維效率。為保證MES系統(tǒng)中三維模型數(shù)據(jù)的安全，紅塔煙草（集團）有限責任公司在探索中找到了一套切實可行的方法。論文分析了三維模型數(shù)據(jù)的泄露途徑與因素，針對性地從制度保障、三維模型處理、網(wǎng)絡防護和加密系統(tǒng)保護四方面入手，構建了模型數(shù)據(jù)防泄漏的立體防護網(wǎng)。經(jīng)過一年的使用與驗證，防泄漏防護網(wǎng)切實可行。

關鍵詞：MES系統(tǒng);三維模型;數(shù)據(jù)防泄漏;數(shù)據(jù)安全

中圖分類號：TP391.1? ? ? ? ? 文獻標識碼：A

Realization of anti-leakage of 3D model data in MES

Guan Xiongming， Feng Weixing， Shen Gang， Yang Xuerong

[Hongta Tobacco （Group） Co.， Ltd.， YunnanYuxi 653100]

Abstract： Implanted the 3D model into the MES system， operators and repairers can complete equipment operation and maintenance in MES by visually manipulating 3D models， which has improved equipment operation and maintenance efficiency greatly. In order to ensure the safety of 3D model data in MES， Hongta Group has found the Know-How by the continuous exploration. By the analysis of the leakage paths and factors of the 3D model data， we constructed a three-dimensional protection network， which includes the institutional guarantee， 3D model processing， network protection and encryption system protection. More than one years using has verified that the anti-leakage protection network is feasible.

Key words： MES; 3D model; data leakage prevention; data security

1 引言

信息技術的高速發(fā)展為企業(yè)提供了一系列先進高效的管理工具與方法，ERP（Enterprise Resource Planning）、MES（Manufacturing Execution System）、OA（Office Automation）等系統(tǒng)的實施，極大地提升了企業(yè)管理的信息化水平。各管理系統(tǒng)的孤立運行造成一線員工使用過程中需要交叉登錄多個系統(tǒng)，同時各管理系統(tǒng)以文字圖表為主要人機交互（UI）的界面也給一線員工的使用造成不小的挑戰(zhàn)。從事設備運維的一線員工都期待一個整合了現(xiàn)有設備管理業(yè)務的平臺或系統(tǒng)，實現(xiàn)一站式操作;同時，該平臺的操作界面簡單明了，所見即所得。

為響應一線員工的訴求，紅塔集團借MES系統(tǒng)升級的契機，創(chuàng)造性地將設備的三維模型植入到MES系統(tǒng)中，以三維模型為載體，梳理設備運維的邏輯，掛載設備運維業(yè)務，將枯燥的文字和表格轉化為直觀、形象的三維模型操作。三維模型的引入，讓新MES系統(tǒng)簡單、直觀、易用。但如何保證模型數(shù)據(jù)這一“數(shù)字資產(chǎn)”的安全，防止企業(yè)內(nèi)員工有意或無意泄露，防止第三方盜取成為不得不解決的問題。數(shù)字資產(chǎn)作為信息資產(chǎn)的主要組成部分，具有共享性、增值性、易復制、低安全性的特點[1]，企業(yè)管控數(shù)字資產(chǎn)面臨嚴峻的挑戰(zhàn)。

2 模型數(shù)據(jù)防泄漏管控分析

企業(yè)應從敏感信息的產(chǎn)生、存儲、使用、消亡進行數(shù)據(jù)全生命周期的監(jiān)管，在兼顧數(shù)據(jù)安全、成本的同時，把對使用者的干擾降至最低。

2.1 模型數(shù)據(jù)使用環(huán)境

設備三維模型通過MES系統(tǒng)調(diào)用，在MES系統(tǒng)中實現(xiàn)設備運維業(yè)務的交互。集團MES僅支持內(nèi)部局域網(wǎng)訪問，因此設備的三維模型僅能在集團內(nèi)網(wǎng)使用。MES系統(tǒng)以B/S（瀏覽器/服務器）的方式調(diào)用設備三維模型進行交互，設備模型數(shù)據(jù)的更新、增加和刪除在服務器端完成。MES終端具有點多面廣、使用頻率高、接觸人員多、人員流動性大等特點，三維模型數(shù)據(jù)在MES中的調(diào)取、傳輸、交互過程中存在極大的泄露風險。

2.2 模型數(shù)據(jù)泄露風險分析與對策

模型數(shù)據(jù)在使用過程中，存在兩大類的泄密途徑。

一是通過移動存儲設備泄露：企業(yè)內(nèi)部員工或外協(xié)人員通過U盤、硬盤、DVD、手機等媒介，將終端電腦的模型數(shù)據(jù)拷走;終端電腦分布廣泛，接觸人員眾多，終端電腦的拷貝控制挑戰(zhàn)不小。

二是通過網(wǎng)絡環(huán)境泄露[1]：通過郵件外發(fā)泄露，即時通訊軟件（QQ、微信等）外發(fā)泄露，網(wǎng)盤、云盤、FTP外發(fā)泄露，網(wǎng)絡共享泄露，黑客攻擊、木馬病毒竊取等;通過網(wǎng)絡環(huán)境竊取或泄露方式多樣，技術水平較高，監(jiān)管防范困難。

從泄密的因素分析，包括人、終端、模型數(shù)據(jù)三因素。人的因素包括企業(yè)內(nèi)部的建模人員、模型數(shù)據(jù)使用人員（設備運維人員）、網(wǎng)絡運維人員，企業(yè)外部從事網(wǎng)絡運維、終端維護的第三方人員，覬覦企業(yè)數(shù)字資產(chǎn)的同行。人作為模型數(shù)據(jù)泄露的主體，數(shù)目眾多、目的各異、行為離散，管理難度大。終端由集團統(tǒng)一配置，位置固定，專人負責，監(jiān)管相對容易。模型數(shù)據(jù)作為防泄漏保護的客體，泄露載體和泄露途徑多，防護難度大。

保證模型數(shù)據(jù)的絕對安全是不可能的，也是不現(xiàn)實的?；谀Ｐ蛿?shù)據(jù)的使用情況及泄密途徑，在三維模型數(shù)據(jù)的全生命周期中，數(shù)據(jù)防泄漏解決方案可通過制度設計規(guī)范人的行為，減小有意或無意泄露模型數(shù)據(jù)的風險，增加人為泄密的成本。通過“水印”保護措施，明確企業(yè)知識產(chǎn)權，達到“防侵權”。通過對終端電腦的網(wǎng)絡隔離，減少模型數(shù)據(jù)通過網(wǎng)絡環(huán)境泄露的風險。通過對終端電腦的物理隔離，減少移動存儲設備通過終端電腦竊取數(shù)據(jù)的風險。通過對模型數(shù)據(jù)的強制加密或選擇性加密，保證模型數(shù)據(jù)僅在企業(yè)內(nèi)部可用，保證泄密后數(shù)據(jù)的安全性，達到普遍性“防泄密”目標[2]。通過對模型數(shù)據(jù)的授權使用原則，實現(xiàn)模型數(shù)據(jù)的有痕管理。

3 模型數(shù)據(jù)防泄漏實現(xiàn)

紅塔集團在不斷的探索中，構建了模型數(shù)據(jù)防泄漏的立體防護網(wǎng)，取得了良好的效果。

3.1 制度保證

針對信息安全，集團制定了詳細的事前預防、事中控制、事后追責的管理制度，對涉密數(shù)據(jù)、涉密電腦、涉密人員分級、分權管理制度，對涉密數(shù)據(jù)的產(chǎn)生、使用、存儲全程監(jiān)管。直接接觸模型數(shù)據(jù)的集團員工和網(wǎng)絡運維、系統(tǒng)開發(fā)的外協(xié)方是模型數(shù)據(jù)泄露的極危險因素，需和集團簽訂保密協(xié)議，嚴禁泄露掌握的涉密數(shù)據(jù);和設備運維相關的人員是模型數(shù)據(jù)的使用者，需分權、有痕使用模型數(shù)據(jù);和設備運維相關的終端，是模型數(shù)據(jù)的直接泄露點，實行專人負責的登記、檢查、報廢制度，嚴格管理終端硬盤、USB接口，最大限度地減少模型數(shù)據(jù)從終端泄露的途徑，保證模型數(shù)據(jù)在終端的使用中有據(jù)可查。

3.2 三維模型數(shù)據(jù)的自我防護

對模型進行銘刻與輕量化處理：在三維模型源文件中對每個零件做所有權標記，銘刻上設計者、使用者、所有者、工廠名稱和集團標志等信息。將模型源文件進行輕量化處理，輕量化輸出的模型不具有加工屬性，且精度降低，只保留滿足MES系統(tǒng)使用需求的模型外形、結構和BOM信息。輕量化處理的過程不可逆，所有權標記固化于模型數(shù)據(jù)中，不可更改，不可消除。一方面輕量化處理后的模型數(shù)據(jù)不慎泄漏后可以追溯來源，另一方面也給盜取模型數(shù)據(jù)的潛在使用者增加使用模型數(shù)據(jù)的法律風險和使用難度。

3.3 網(wǎng)絡防護

通過對終端局域網(wǎng)進行服務控制，禁用工業(yè)局域網(wǎng)的郵件服務、代理服務、文件服務等網(wǎng)絡服務，進行細粒度的訪問控制管理，有效控制惡意代碼在網(wǎng)絡內(nèi)部的傳播和擴散，避免來自其它設備的惡意攻擊及訪問。通過進程白名單技術，確保終端只允許業(yè)務所需的進程和程序，防止惡意軟件安裝或程序運行導致的病毒感染風險?；诎酌麊螜C制對系統(tǒng)關鍵資源進行訪問控制及鎖定保護，對關鍵文件、注冊表、硬件資源等進行鎖定，有效避免誤操作、越權操作等威脅行為的發(fā)生，防止對系統(tǒng)的非授權和惡意變更。監(jiān)控和收集服務器系統(tǒng)日志和加固防護日志，及時掌握服務器當前面臨的風險狀況以及系統(tǒng)的細微變化，以便及時采取事后處理措施。設置復雜的Administrator賬戶密碼，并定期更換;對授權用戶進行物理路徑和服務的最小權限授權，禁用并刪除Guest賬戶。網(wǎng)絡防護措施可有效降低通過集團內(nèi)網(wǎng)泄露模型數(shù)據(jù)的風險，并有效阻斷通過外部網(wǎng)絡截取企業(yè)內(nèi)部數(shù)據(jù)的行為。

3.4 加密系統(tǒng)保護

運用目前成熟的驅(qū)動層文件透明加解密技術[4]，構建紅塔集團的模型數(shù)據(jù)加密防護系統(tǒng)，作為集團制度和網(wǎng)絡防護失敗后的最后防線，保證模型數(shù)據(jù)從企業(yè)內(nèi)網(wǎng)或是終端泄露后失去使用價值。

模型數(shù)據(jù)加密防護系統(tǒng)的硬件構成如圖1所示，包括一臺模型服務器、一臺加密授權服務器所有調(diào)用模型的MES終端和集團局域網(wǎng)。模型服務器用于存儲模型數(shù)據(jù)并響應MES終端的模型調(diào)用請求，向MES終端傳輸模型數(shù)據(jù);加密授權服務器用于存儲秘鑰、終端ID、進程ID和響應MES終端的解密請求，向合法終端發(fā)放解密秘鑰。

加密系統(tǒng)的基礎配置流程如圖2所示。首先，提取加密授權服務器的24位機器碼，隨機生成密鑰PK，將PK存于加密授權服務器，同時，用密鑰PK對模型數(shù)據(jù)進行加密，加密后的模型數(shù)據(jù)放于模型服務器。其次，提取所有MES終端的24位機器碼，并將作為終端的唯一標志（ID）存于授權服務器。最后，提取所有MES終端上的瀏覽器（Google、IE、Firefox）程序的32位MD5值（信息-摘要算法5），作為終端電腦合法程序的唯一標識（ID），將所有的存于授權服務器 。

MES終端使用加密模型數(shù)據(jù)的流程如圖3所示。首先，MES終端向模型服務器發(fā)出模型調(diào)用請求，響應請求并發(fā)送模型數(shù)據(jù)。接著，MES終端向加密授權服務器申請密鑰PK，加密授權服務器經(jīng)過校驗機器碼和瀏覽器均“合法”后，發(fā)送密鑰PK給終端。最后，通過終端認證和瀏覽器認證的MES終端，將獲得的密鑰PK和加密模型數(shù)據(jù)讀入終端電腦內(nèi)存解密，解密后的模型數(shù)據(jù)在MES系統(tǒng)中呈現(xiàn)、交互。

機器碼與終端電腦的硬件配置和系統(tǒng)軟件相關，更改系統(tǒng)硬件配置（如更換硬盤）或系統(tǒng)軟件（如重裝操作系統(tǒng)）后機器碼改變，與授權服務器存儲的不再匹配，不能認證，終端認證防止了非法終端假冒合法終端竊取密鑰PK的問題。MD5值可作為程序的唯一標志，任何對程序進行的修改、篡改均會導致MD5值的改變[5]，導致瀏覽器認證失敗。瀏覽器認證防止了釣魚進程通過進程冒充獲得秘鑰PK，進而非法解密加密模型數(shù)據(jù)的問題。

瀏覽器緩存于MES終端的數(shù)據(jù)為加密狀態(tài)，內(nèi)存中的解密模型數(shù)據(jù)保存到本地硬盤、移動存儲介質(zhì)時，模型數(shù)據(jù)自動加密。終端電腦的瀏覽器退出或關閉時，內(nèi)存中的解密模型數(shù)據(jù)自動銷毀;同時終端電腦刪除本地硬盤中緩存的加密模型數(shù)據(jù)。

加密系統(tǒng)嚴密監(jiān)控終端電腦上通過USB端口寫入移動存儲設備的行為，限制USB端口為只讀不寫;同時，對寫入移動存儲設備的數(shù)據(jù)進行冗余保護，不管數(shù)據(jù)類型和數(shù)據(jù)量大小，全部加密，解決了通過USB端口盜取模型數(shù)據(jù)的問題。

透明加解密系統(tǒng)實施后，加密解密均由系統(tǒng)自動無痕完成，用戶無需改變操作習慣[6]。在整個模型數(shù)據(jù)的生命周期中，模型數(shù)據(jù)的存儲、使用、銷毀均為加密狀態(tài)，保證了從企業(yè)內(nèi)網(wǎng)流出的模型數(shù)據(jù)仍為加密狀態(tài)，而脫離了認證環(huán)境的加密模型不會被打開，進而保證了模型數(shù)據(jù)的安全。

4 效果驗證

加密系統(tǒng)部署實施后，集團首先進行了功能性測試：將輕量化后的模型數(shù)據(jù)加密存放于模型服務器，在MES系統(tǒng)中進行調(diào)用，截取傳輸過程中的臨時文件、使用前后的本地緩存文件，在對各涉密終端的監(jiān)測中，不管是正常使用環(huán)境下還是強制關機、突然斷電、強制進程退出的測試環(huán)境下，模型數(shù)據(jù)始終處于加密狀態(tài)。加密系統(tǒng)對文件采用全數(shù)據(jù)加密的方式，而不僅是更改文件頭、尾，在不知道加密密鑰和加密算法的基礎上，理論上文件被破解的概率為零，保證了加密數(shù)據(jù)的安全性。接著，集團對加密系統(tǒng)進行了可靠性和負載能力測試。

可靠性測試如表1所示。方案一為對同一文件進行5組（每組100次）的加解密測試，方案二為5組（每組1000個）零件的加解密測試，測試過程中未發(fā)現(xiàn)文件損壞，文件加解密正常，測試結果100%合格。

按照集團近期400臺終端和遠期600臺終端的使用需求對加密平臺進行負載能力測試，如表2所示。方案一為5組（每組100臺）MES終端同時調(diào)用不同模型的測試，方案二為5組（每組50臺）MES終端同時調(diào)用同一模型的測試，測試過程中，模型服務器和加密授權服務器響應正常，MES終端調(diào)用流暢。

通過對加密系統(tǒng)的可靠性與負載能力測試表明，加密系統(tǒng)完全滿足集團的使用要求。

自2018年3月MES系統(tǒng)在集團四廠投入運行以來，三維模型數(shù)據(jù)功能使用正常，通過對模型數(shù)據(jù)調(diào)用的審計、追蹤分析，未發(fā)現(xiàn)模型數(shù)據(jù)泄露問題，保證了集團數(shù)字資產(chǎn)的安全。

5 結束語

本文基于三維模型數(shù)據(jù)使用過程中的防泄漏需求，從制度保障、模型數(shù)據(jù)自我保護、網(wǎng)絡防護和加密系統(tǒng)防護四個方面探索了三維模型數(shù)據(jù)防泄漏的解決方案，可作為有類似需求的工業(yè)企業(yè)參考。

基金項目：

紅塔煙草（集團）有限責任公司科技項目“基于仿真的紅塔集團卷接包設備智能管理平臺研究與應用”（項目編號：S-6018002）。

參考文獻

[1] 范睿.企業(yè)數(shù)據(jù)防泄漏架構分析[J].網(wǎng)絡空間安全， 2017， 8（8）：77-82.

[2] 劉金鎖，從正海，韓勇.企業(yè)數(shù)據(jù)保護與防泄漏平臺的設計與實現(xiàn)[J].計算機與現(xiàn)代化， 2013（6）：48-51.

[3] 張晶姝.終端數(shù)據(jù)防泄漏系統(tǒng)在企業(yè)中的應用實踐[J].數(shù)字技術與應用， 2018， 36（5）：201-202.

[4] 陳一帆.基于常見加密算法的加解密工具設計[J].中國新通信， 2018，20（19）：178.

[5] 王秋紅.數(shù)據(jù)加密技術在計算機網(wǎng)絡通信安全中的實踐[J].網(wǎng)絡與信息工程，2018，21：90-91.

[6] 陳福源.文檔透明加密系統(tǒng)的設計與實現(xiàn)[D].北京郵電大學， 2010：7-12.