MES系統中三維模型資料防洩漏方案

將裝置的三維模型植入到 MES 系統中，透過視覺化的三維模型操作實現裝置運維業務，極大地提高了工廠的裝置運維效率。為保證 MES 系統中三維模型資料的安全，公司在探索中找到了一套切實可行的方法。論文分析了三維模型資料的洩露途徑與因素，針對性地從制度保障、三維模型處理、網路防護和加密系統保護四方面入手，構建了模型資料防洩漏的立體防護網。經過一年的使用與驗證，防洩漏防護網切實可行。

 

1 概述

資訊科技的高速發展為企業提供了一系列先進高效的管理工具與方法，ERP、MES、OA等系統的實施，極大地提升了企業管理的資訊化水平。各管理系統的孤立執行造成一線員工使用過程中需要交叉登入多個系統，同時各管理系統以文字圖表為主要人機互動（UI）的介面也給一線員工的使用造成不小的挑戰。從事裝置運維的一線員工都期待一個整合了現有裝置管理業務的平臺或系統，實現一站式操作；同時，該平臺的操作介面簡單明瞭，所見即所得。

 

為響應一線員工的訴求，集團借 升級的契機，創造性地將裝置的三維模型植入到MES系統中，以三維模型為載體，梳理裝置運維的邏輯，掛載裝置運維業務，將枯燥的文字和表格轉化為直觀、形象的三維模型操作。三維模型的引入，讓新MES系統簡單、直觀、易用。但如何保證模型資料這一“數字資產”的安全，防止企業內員工有意或無意洩露，防止第三方盜取成為不得不解決的問題。數字資產作為資訊資產的主要組成部分，具有共享性、增值性、易複製、低安全性的特點，企業管控數字資產面臨嚴峻的挑戰。

 

 

2 模型資料防洩漏管控分析

企業應從敏感資訊的產生、儲存、使用、消亡進行資料全生命週期的監管，在兼顧資料安全、成本的同時，把對使用者的干擾降至最低。

 

 

2.1 模型資料使用環境

裝置三維模型透過MES系統呼叫，在MES系統中實現裝置運維業務的互動。集團MES僅支援內部區域網訪問，因此裝置的三維模型僅能在集團內網使用。MES系統以B/S（瀏覽器/伺服器）的方式呼叫裝置三維模型進行互動，裝置模型資料的更新、增加和刪除在伺服器端完成。MES終端具有點多面廣、使用頻率高、接觸人員多、人員流動性大等特點，三維模型資料在MES中的調取、傳輸、互動過程中存在極大的洩露風險。

 

 

2.2 模型資料洩露風險分析與對策

模型資料在使用過程中，存在兩大類的洩密途徑。一是透過移動儲存裝置洩露：企業內部員工或外協人員透過隨身碟、硬碟、DVD、手機等媒介，將終端電腦的模型資料拷走；終端電腦分佈廣泛，接觸人員眾多，終端電腦的複製控制挑戰不小。二是透過網路環境洩露：透過郵件外發洩露，即時通訊軟體（QQ、微信等）外發洩露，網盤、雲盤、FTP外發洩露，網路共享洩露，駭客攻擊、木馬病毒竊取等；透過網路環境竊取或洩露方式多樣，技術水平較高，監管防範困難。

 

從洩密的因素分析，包括人、終端、模型資料三因素。人的因素包括企業內部的建模人員、模型資料使用人員（裝置運維人員）、網路運維人員，企業外部從事網路運維、終端維護的第三方人員，覬覦企業數字資產的同行。人作為模型資料洩露的主體，數目眾多、目的各異、行為離散，管理難度大。終端由集團統一配置，位置固定，專人負責，監管相對容易。模型資料作為防洩漏保護的客體，洩露載體和洩露途徑多，防護難度大。

 

保證模型資料的絕對安全是不可能的，也是不現實的。基於模型資料的使用情況及洩密途徑，在三維模型資料的全生命週期中，資料防洩漏解決方案可透過制度設計規範人的行為，減小有意或無意洩露模型資料的風險，增加人為洩密的成本。透過“水印”保護措施，明確企業智慧財產權，達到“防侵權”。

 

透過對終端電腦的網路隔離，減少模型資料透過網路環境洩露的風險。透過對終端電腦的物理隔離，減少移動儲存裝置透過終端電腦竊取資料的風險。透過對模型資料的強制加密或選擇性加密，保證模型資料僅在企業內部可用，保證洩密後資料的安全性，達到普遍性“防洩密”目標。透過對模型資料的授權使用原則，實現模型資料的有痕管理。

 

 

3 模型資料防洩漏實現

紅塔集團在不斷的探索中，構建了模型資料防洩漏的立體防護網，取得了良好的效果。

 

 

3.1 制度保證

針對資訊保安，集團制定了詳細的事前預防、事中控制、事後追責的管理制度，對涉密資料、涉密電腦、涉密人員分級、分權管理制度，對涉密資料的產生、使用、儲存全程監管。直接接觸模型資料的集團員工和網路運維、系統開發的外協方是模型資料洩露的極危險因素，需和集團簽訂保密協議，嚴禁洩露掌握的涉密資料；和裝置運維相關的人員是模型資料的使用者，需分權、有痕使用模型資料；和裝置運維相關的終端，是模型資料的直接洩露點，實行專人負責的登記、檢查、報廢制度，嚴格管理終端硬碟、USB介面，最大限度地減少模型資料從終端洩露的途徑，保證模型資料在終端的使用中有據可查。

 

 

3.2 三維模型資料的自我防護

對模型進行銘刻與輕量化處理：在三維模型原始檔中對每個零件做所有權標記，銘刻上設計

者、使用者、所有者、工廠名稱和集團標誌等資訊。將模型原始檔進行輕量化處理，輕量化輸出的模型不具有加工屬性，且精度降低，只保留滿足MES系統使用需求的模型外形、結構和BOM資訊。輕量化處理的過程不可逆，所有權標記固化於模型資料中，不可更改，不可消除。一方面輕量化處理後的模型資料不慎洩漏後可以追溯來源，另一方面也給盜取模型資料的潛在使用者增加使用模型資料的法律風險和使用難度。

 

 

3.3 網路防護

透過對終端區域網進行服務控制，禁用工業區域網的郵件服務、代理服務、檔案服務等網路服務，進行細粒度的訪問控制管理，有效控制惡意程式碼在網路內部的傳播和擴散，避免來自其它裝置的惡意攻擊及訪問。透過程式白名單技術，確保終端只允許業務所需的程式和程式，防止惡意軟體安裝或程式執行導致的病毒感染風險。

 

基於白名單機制對系統關鍵資源進行訪問控制及鎖定保護，對關鍵檔案、登錄檔、硬體資源等進行鎖定，有效避免誤操作、越權操作等威脅行為的發生，防止對系統的非授權和惡意變更。監控和收集伺服器系統日誌和加固防護日誌，及時掌握伺服器當前面臨的風險狀況以及系統的細微變化，以便及時採取事後處理措施。設定複雜的Administrator賬戶密碼，並定期更換；對授權使用者進行物理路徑和服務的最小許可權授權，禁用並刪除Guest賬戶。網路防護措施可有效降低透過集團內網洩露模型資料的風險，並有效阻斷透過外部網路擷取企業內部資料的行為。

 

 

3.4 加密系統保護

運用目前成熟的驅動層檔案透明加解密技術，構建紅塔集團的模型資料加密防護系統，作為集團制度和網路防護失敗後的最後防線，保證模型資料從企業內網或是終端洩露後失去使用價值。

 

瀏覽器快取於MES終端的資料為加密狀態，記憶體中的解密模型資料儲存到本地硬碟、移動儲存介質時，模型資料自動加密。終端電腦的瀏覽器退出或關閉時，記憶體中的解密模型資料自動銷燬；同時終端電腦刪除本地硬碟中快取的加密模型資料。

 

加密系統嚴密監控終端電腦上透過USB埠寫入移動儲存裝置的行為，限制USB埠為只讀不寫；同時，對寫入移動儲存裝置的資料進行冗餘保護，不管資料型別和資料量大小，全部加密，解決了透過USB埠盜取模型資料的問題。

 

透明加解密系統實施後，加密解密均由系統自動無痕完成，使用者無需改變操作習慣。在整個模型資料的生命週期中，模型資料的儲存、使用、銷燬均為加密狀態，保證了從企業內網流出的模型資料仍為加密狀態，而脫離了認證環境的加密模型不會被開啟，進而保證了模型資料的安全。

 

 

4 效果驗證

加密系統部署實施後，集團首先進行了功能性測試：將輕量化後的模型資料加密存放於模型伺服器，在MES系統中進行呼叫，擷取傳輸過程中的臨時檔案、使用前後的本地快取檔案，在對各涉密終端的監測中，不管是正常使用環境下還是強制關機、突然斷電、強制程式退出的測試環境下，模型資料始終處於加密狀態。加密系統對檔案採用全資料加密的方式，而不僅是更改檔案頭、尾，在不知道加密金鑰和加密演算法的基礎上，理論上檔案被破解的機率為零，保證了加密資料的安全性。接著，集團對加密系統進行了可靠性和負載能力測試。

 

可靠性測試如表1所示。方案一為對同一檔案進行5組（每組100次）的加解密測試，方案二為5組（每組1000個）零件的加解密測試，測試過程中未發現檔案損壞，檔案加解密正常，測試結果100%合格。按照集團近期400臺終端和遠期600臺終端的使用需求對加密平臺進行負載能力測試，如表2所示。

方案一為5組（每組100臺）MES終端同時呼叫不同模型的測試，方案二為5組（每組50臺）MES終端同時呼叫同一模型的測試，測試過程中，模型伺服器和加密授權伺服器響應正常，MES終端呼叫流暢。透過對加密系統的可靠性與負載能力測試表明，加密系統完全滿足集團的使用要求。

 

 

5 結束語

本文基於三維模型資料使用過程中的防洩漏需求，從制度保障、模型資料自我保護、網路防護和加密系統防護四個方面探索了三維模型資料防洩漏的解決方案，可作為有類似需求的工業企業參考。