MES系统中三维模型数据防泄漏实现

官雄明　冯卫星　沈刚　杨雪蓉

摘   要：将设备的三维模型植入到MES系统中，通过可视化的三维模型操作实现设备运维业务，极大地提高了工厂的设备运维效率。为保证MES系统中三维模型数据的安全，红塔烟草（集团）有限责任公司在探索中找到了一套切实可行的方法。论文分析了三维模型数据的泄露途径与因素，针对性地从制度保障、三维模型处理、网络防护和加密系统保护四方面入手，构建了模型数据防泄漏的立体防护网。经过一年的使用与验证，防泄漏防护网切实可行。

关键词：MES系统;三维模型;数据防泄漏;数据安全

中图分类号：TP391.1          文献标识码：A

Realization of anti-leakage of 3D model data in MES

Guan Xiongming， Feng Weixing， Shen Gang， Yang Xuerong

[Hongta Tobacco （Group） Co.， Ltd.， YunnanYuxi 653100]

Abstract： Implanted the 3D model into the MES system， operators and repairers can complete equipment operation and maintenance in MES by visually manipulating 3D models， which has improved equipment operation and maintenance efficiency greatly. In order to ensure the safety of 3D model data in MES， Hongta Group has found the Know-How by the continuous exploration. By the analysis of the leakage paths and factors of the 3D model data， we constructed a three-dimensional protection network， which includes the institutional guarantee， 3D model processing， network protection and encryption system protection. More than one years using has verified that the anti-leakage protection network is feasible.

Key words： MES; 3D model; data leakage prevention; data security

1 引言

信息技术的高速发展为企业提供了一系列先进高效的管理工具与方法，ERP（Enterprise Resource Planning）、MES（Manufacturing Execution System）、OA（Office Automation）等系统的实施，极大地提升了企业管理的信息化水平。各管理系统的孤立运行造成一线员工使用过程中需要交叉登录多个系统，同时各管理系统以文字图表为主要人机交互（UI）的界面也给一线员工的使用造成不小的挑战。从事设备运维的一线员工都期待一个整合了现有设备管理业务的平台或系统，实现一站式操作;同时，该平台的操作界面简单明了，所见即所得。

为响应一线员工的诉求，红塔集团借MES系统升级的契机，创造性地将设备的三维模型植入到MES系统中，以三维模型为载体，梳理设备运维的逻辑，挂载设备运维业务，将枯燥的文字和表格轉化为直观、形象的三维模型操作。三维模型的引入，让新MES系统简单、直观、易用。但如何保证模型数据这一“数字资产”的安全，防止企业内员工有意或无意泄露，防止第三方盗取成为不得不解决的问题。数字资产作为信息资产的主要组成部分，具有共享性、增值性、易复制、低安全性的特点[1]，企业管控数字资产面临严峻的挑战。

2 模型数据防泄漏管控分析

企业应从敏感信息的产生、存储、使用、消亡进行数据全生命周期的监管，在兼顾数据安全、成本的同时，把对使用者的干扰降至最低。

2.1 模型数据使用环境

设备三维模型通过MES系统调用，在MES系统中实现设备运维业务的交互。集团MES仅支持内部局域网访问，因此设备的三维模型仅能在集团内网使用。MES系统以B/S（浏览器/服务器）的方式调用设备三维模型进行交互，设备模型数据的更新、增加和删除在服务器端完成。MES终端具有点多面广、使用频率高、接触人员多、人员流动性大等特点，三维模型数据在MES中的调取、传输、交互过程中存在极大的泄露风险。

2.2 模型数据泄露风险分析与对策

模型数据在使用过程中，存在两大类的泄密途径。

一是通过移动存储设备泄露：企业内部员工或外协人员通过U盘、硬盘、DVD、手机等媒介，将终端电脑的模型数据拷走;终端电脑分布广泛，接触人员众多，终端电脑的拷贝控制挑战不小。

二是通过网络环境泄露[1]：通过邮件外发泄露，即时通讯软件（QQ、微信等）外发泄露，网盘、云盘、FTP外发泄露，网络共享泄露，黑客攻击、木马病毒窃取等;通过网络环境窃取或泄露方式多样，技术水平较高，监管防范困难。

从泄密的因素分析，包括人、终端、模型数据三因素。人的因素包括企业内部的建模人员、模型数据使用人员（设备运维人员）、网络运维人员，企业外部从事网络运维、终端维护的第三方人员，觊觎企业数字资产的同行。人作为模型数据泄露的主体，数目众多、目的各异、行为离散，管理难度大。终端由集团统一配置，位置固定，专人负责，监管相对容易。模型数据作为防泄漏保护的客体，泄露载体和泄露途径多，防护难度大。

保证模型数据的绝对安全是不可能的，也是不现实的。基于模型数据的使用情况及泄密途径，在三维模型数据的全生命周期中，数据防泄漏解决方案可通过制度设计规范人的行为，减小有意或无意泄露模型数据的风险，增加人为泄密的成本。通过“水印”保护措施，明确企业知识产权，达到“防侵权”。通过对终端电脑的网络隔离，减少模型数据通过网络环境泄露的风险。通过对终端电脑的物理隔离，减少移动存储设备通过终端电脑窃取数据的风险。通过对模型数据的强制加密或选择性加密，保证模型数据仅在企业内部可用，保证泄密后数据的安全性，达到普遍性“防泄密”目标[2]。通过对模型数据的授权使用原则，实现模型数据的有痕管理。

3 模型数据防泄漏实现

红塔集团在不断的探索中，构建了模型数据防泄漏的立体防护网，取得了良好的效果。

3.1 制度保证

针对信息安全，集团制定了详细的事前预防、事中控制、事后追责的管理制度，对涉密数据、涉密电脑、涉密人员分级、分权管理制度，对涉密数据的产生、使用、存储全程监管。直接接触模型数据的集团员工和网络运维、系统开发的外协方是模型数据泄露的极危险因素，需和集团签订保密协议，严禁泄露掌握的涉密数据;和设备运维相关的人员是模型数据的使用者，需分权、有痕使用模型数据;和设备运维相关的终端，是模型数据的直接泄露点，实行专人负责的登记、检查、报废制度，严格管理终端硬盘、USB接口，最大限度地减少模型数据从终端泄露的途径，保证模型数据在终端的使用中有据可查。

3.2 三维模型数据的自我防护

对模型进行铭刻与轻量化处理：在三维模型源文件中对每个零件做所有权标记，铭刻上设计者、使用者、所有者、工厂名称和集团标志等信息。将模型源文件进行轻量化处理，轻量化输出的模型不具有加工属性，且精度降低，只保留满足MES系统使用需求的模型外形、结构和BOM信息。轻量化处理的过程不可逆，所有权标记固化于模型数据中，不可更改，不可消除。一方面轻量化处理后的模型数据不慎泄漏后可以追溯来源，另一方面也给盗取模型数据的潜在使用者增加使用模型数据的法律风险和使用难度。

3.3 网络防护

通过对终端局域网进行服务控制，禁用工业局域网的邮件服务、代理服务、文件服务等网络服务，进行细粒度的访问控制管理，有效控制恶意代码在网络内部的传播和扩散，避免来自其它设备的恶意攻击及访问。通过进程白名单技术，确保终端只允许业务所需的进程和程序，防止恶意软件安装或程序运行导致的病毒感染风险。基于白名单机制对系统关键资源进行访问控制及锁定保护，对关键文件、注册表、硬件资源等进行锁定，有效避免误操作、越权操作等威胁行为的发生，防止对系统的非授权和恶意变更。监控和收集服务器系统日志和加固防护日志，及时掌握服务器当前面临的风险状况以及系统的细微变化，以便及时采取事后处理措施。设置复杂的Administrator账户密码，并定期更换;对授权用户进行物理路径和服务的最小权限授权，禁用并删除Guest账户。网络防护措施可有效降低通过集团内网泄露模型数据的风险，并有效阻断通过外部网络截取企业内部数据的行为。

3.4 加密系统保护

运用目前成熟的驱动层文件透明加解密技术[4]，构建红塔集团的模型数据加密防护系统，作为集团制度和网络防护失败后的最后防线，保证模型数据从企业内网或是终端泄露后失去使用价值。

模型数据加密防护系统的硬件构成如图1所示，包括一台模型服务器、一台加密授权服务器所有调用模型的MES终端和集团局域网。模型服务器用于存储模型数据并响应MES终端的模型调用请求，向MES终端传输模型数据;加密授权服务器用于存储秘钥、终端ID、进程ID和响应MES终端的解密请求，向合法终端发放解密秘钥。

加密系统的基础配置流程如图2所示。首先，提取加密授权服务器的24位机器码，随机生成密钥PK，将PK存于加密授权服务器，同時，用密钥PK对模型数据进行加密，加密后的模型数据放于模型服务器。其次，提取所有MES终端的24位机器码，并将作为终端的唯一标志（ID）存于授权服务器。最后，提取所有MES终端上的浏览器（Google、IE、Firefox）程序的32位MD5值（信息-摘要算法5），作为终端电脑合法程序的唯一标识（ID），将所有的存于授权服务器 。

MES终端使用加密模型数据的流程如图3所示。首先，MES终端向模型服务器发出模型调用请求，响应请求并发送模型数据。接着，MES终端向加密授权服务器申请密钥PK，加密授权服务器经过校验机器码和浏览器均“合法”后，发送密钥PK给终端。最后，通过终端认证和浏览器认证的MES终端，将获得的密钥PK和加密模型数据读入终端电脑内存解密，解密后的模型数据在MES系统中呈现、交互。

机器码与终端电脑的硬件配置和系统软件相关，更改系统硬件配置（如更换硬盘）或系统软件（如重装操作系统）后机器码改变，与授权服务器存储的不再匹配，不能认证，终端认证防止了非法终端假冒合法终端窃取密钥PK的问题。MD5值可作为程序的唯一标志，任何对程序进行的修改、篡改均会导致MD5值的改变[5]，导致浏览器认证失败。浏览器认证防止了钓鱼进程通过进程冒充获得秘钥PK，进而非法解密加密模型数据的问题。

浏览器缓存于MES终端的数据为加密状态，内存中的解密模型数据保存到本地硬盘、移动存储介质时，模型数据自动加密。终端电脑的浏览器退出或关闭时，内存中的解密模型数据自动销毁;同时终端电脑删除本地硬盘中缓存的加密模型数据。

加密系统严密监控终端电脑上通过USB端口写入移动存储设备的行为，限制USB端口为只读不写;同时，对写入移动存储设备的数据进行冗余保护，不管数据类型和数据量大小，全部加密，解决了通过USB端口盗取模型数据的问题。

透明加解密系统实施后，加密解密均由系统自动无痕完成，用户无需改变操作习惯[6]。在整个模型数据的生命周期中，模型数据的存储、使用、销毁均为加密状态，保证了从企业内网流出的模型数据仍为加密状态，而脱离了认证环境的加密模型不会被打开，进而保证了模型数据的安全。

4 效果驗证

加密系统部署实施后，集团首先进行了功能性测试：将轻量化后的模型数据加密存放于模型服务器，在MES系统中进行调用，截取传输过程中的临时文件、使用前后的本地缓存文件，在对各涉密终端的监测中，不管是正常使用环境下还是强制关机、突然断电、强制进程退出的测试环境下，模型数据始终处于加密状态。加密系统对文件采用全数据加密的方式，而不仅是更改文件头、尾，在不知道加密密钥和加密算法的基础上，理论上文件被破解的概率为零，保证了加密数据的安全性。接着，集团对加密系统进行了可靠性和负载能力测试。

可靠性测试如表1所示。方案一为对同一文件进行5组（每组100次）的加解密测试，方案二为5组（每组1000个）零件的加解密测试，测试过程中未发现文件损坏，文件加解密正常，测试结果100%合格。

按照集团近期400台终端和远期600台终端的使用需求对加密平台进行负载能力测试，如表2所示。方案一为5组（每组100台）MES终端同时调用不同模型的测试，方案二为5组（每组50台）MES终端同时调用同一模型的测试，测试过程中，模型服务器和加密授权服务器响应正常，MES终端调用流畅。

通过对加密系统的可靠性与负载能力测试表明，加密系统完全满足集团的使用要求。

自2018年3月MES系统在集团四厂投入运行以来，三维模型数据功能使用正常，通过对模型数据调用的审计、追踪分析，未发现模型数据泄露问题，保证了集团数字资产的安全。

5 结束语

本文基于三维模型数据使用过程中的防泄漏需求，从制度保障、模型数据自我保护、网络防护和加密系统防护四个方面探索了三维模型数据防泄漏的解决方案，可作为有类似需求的工业企业参考。

基金项目：

红塔烟草（集团）有限责任公司科技项目“基于仿真的红塔集团卷接包设备智能管理平台研究与应用”（项目编号：S-6018002）。

参考文献

[1] 范睿.企业数据防泄漏架构分析[J].网络空间安全， 2017， 8（8）：77-82.

[2] 刘金锁，从正海，韩勇.企业数据保护与防泄漏平台的设计与实现[J].计算机与现代化， 2013（6）：48-51.

[3] 张晶姝.终端数据防泄漏系统在企业中的应用实践[J].数字技术与应用， 2018， 36（5）：201-202.

[4] 陈一帆.基于常见加密算法的加解密工具设计[J].中国新通信， 2018，20（19）：178.

[5] 王秋红.数据加密技术在计算机网络通信安全中的实践[J].网络与信息工程，2018，21：90-91.

[6] 陈福源.文档透明加密系统的设计与实现[D].北京邮电大学， 2010：7-12.