應用IBM Rational ClearQuest CTSecure 完成電子記錄跟蹤及電子簽名管理

1．前言

成熟的軟件開發流程和配置管理流程可簡化軟件開發團體中的"良好電子記錄管理（GERM）"開發。來自IBM Rational的業內領先的產品ClearCase 和 ClearQuest為在自動化系統的生命周期中生成的工件的管理提供了健壯的配置管理和變更請求管理解決方案，滿足了當前的GERM實踐，并且在此基礎上實現CTSecure( 電子簽名以及電子記錄變更跟蹤)功能提供額外的記錄保護。

產品描述：

Rational ClearCase——ClearCase是軟件配置管理（SCM）和版本控制（VC）系統。在ClearCase中，不但可存儲軟件，還可以存儲能在本機文件系統上存儲的幾乎所有文件類型。這些文件類型的例子包括文檔、需求、模型、代碼、目錄等。

Rational ClearQuest——ClearQuest是變更請求管理（CRM）系統，用于與自動化系統有關的更改請求或軟件缺陷（defect）的跟蹤。ClearQuest可適應幾乎所有的自動化流程設計。ClearQuest支持用戶定義、工作流支持（可定制的狀態機）、字段、表單和電子郵件通知。

回頁首

2. CTSecure 功能介紹

CTSecure 是ClearQuest的擴展功能，它支持"良好電子記錄管理（GERM）"以及滿足用戶對21 CFR 11標準的需求。CTSeure采用作為ClearQuest的Package的形式來進行應用部署。

• CTSecure 支持各組織執行操作來滿足FDA 21CFR 11標準的需求。
• CTSecure 通過提供以下的執行操作來幫助企業驗證計算機系統是否支持FDA協議
  • 跟蹤審核所有的變更
  • 使用電子簽名
  • 記錄處理過程

21 CFR 11是美國FDA（Food and Drug Administration）政府組織的一系列協議規定，在審核過程中它使用電子記錄以及電子簽名來代替手寫的記錄及簽名。這個協議需要在發展過程中記錄保持審核變更的過程以及變更信息。成熟的軟件開發流程和配置管理流程可簡化軟件開發團體中的GERM開發，公司企業如果依照21 CFR 11協議，他們將從自動化以及電子記錄中獲益。

回頁首

3. CleatQuest的Package

Package是Rational CleatQuest schema的一系列組成部分，通過應用 package到已經存在的schema上可以完成用戶需求的功能。這些新增的功能也永久的成為這個schema的一部分。

Package的默認安裝路徑是："c:\Program Files\Rational\ClearQuest\package" 用戶可以檢查當前安裝的package的最新版本及屬性。

通過應用 Package到schema可以完成ClearQuest和Rational其他產品的集成之后的數據交換以及和第三方產品的集成使用，比如MicroSoft的Project Tracker.

CTSecure使用的兩個Package分別為：

• AuditTrail : 記錄所有變更處理的過程，更加方便的管理電子記錄的變更情況。 當前可用版本信息為1.0
• eSignature : 記錄變更操作進行電子簽名，在安全機制上確保是當前用戶對記錄的變更操作處理，當前可用版本信息為1.0

回頁首

4．CTSecure適用于什么企業及角色

對于Rational CTSecure來說理想的適用角色是任何致力于21 CFR 11協議的資深工程，IT組織，配置管理負責人，項目經理以及應用工程師，開發工具管理經理等角色都會從CTSecure獲益。

回頁首

5．CTSecure功能對照

在對CTSecure有個初步了解之后，下一步我們關心的就是CTSecure的具體部署以及實際應用了，如何配置部署CTSecure：

• 只在ClearQuest中應用使用
• 在ClearQuest/ClearCase集成使用

回頁首

6． 配置CTSecure在Rational ClearQuest中單獨使用

作為CQ的Package，若想應用CTSecure的功能，首先要在CQ中應用這個Package。在變更管理工具CQ中配置CTSecure，實現對電子記錄的跟蹤記錄。具體配置過程如下描述：

1） 自定義安裝ClearQuest（在此只列出最基本的CQ使用環境），打開Maintenance Tool 選擇create schema repository選項，并選擇create Sample DataBase（建立一個Sample用戶數據庫方便我們模擬數據）

如圖 1 創建Schema Repository同時創建一個Sample UserDB：

2） 打開CQ Designer, 選擇當前創建用戶數據庫的schema，點擊check out，用戶可以根據需要對schema進行自定義編輯，包括新創建一個自定義的記錄類型（Record Type）；值得注意的是，如果用戶需要創建自定義的state-less的記錄類型，一定要在應用 package之前添加到schema中，否則這個package不會應用到自定義的state-less的記錄類型中；這是由于state-less的記錄類型是不能夠列出在"setup Record Types for packages"中，所以在應用 package到schema的過程中，如果想應用這個package在這個記錄類型就必須先創建它。

如圖 2 創建自定義的記錄類型：

3） 點擊菜單欄的"Package"在下拉列表中選擇"package wizard"，之后點擊"ok", 在彈出的package列表中選擇 "more package" 按鈕，之后看到所有CQ的package列表；選擇"Audit Trail" 之后選擇"下一步" 會有應用這個package到那些記錄類型（Record Type）的一個界面，對于state-less的紀錄類型如果要應用這個package，一定要現在選擇。

如圖 3 應用package到schema：

如圖 4 應用package到每個記錄類型：

最后，點擊完成，這個package將成功的應用到你選擇的schema以及記錄類型中。應用Audit Trail之后，在CQ Client會增加另外一種記錄類型：AuditTrailLog，同時在被應用這個package的記錄類型中會增加一個Tab,名為Audit Trail, 其中列出了這個記錄的所有變更信息。對于Audit Trail的功能介紹會在下面的具體功能介紹中詳細描述。

另外，我們可以在CQ Designer中對field 的一些屬性進行設定，比如對于文本框的滾動條的設置等等。首先每個field是依存于提交形式（Form）中的，打開這個Form，雙擊這個field就是列出它的屬性，我們可以自定義設置。

如圖 5 設置Field的屬性：

4） 同樣，應用 eSignature package到這個schema.

如圖 6 應用eSignature到schema上：

應用eSignature之后，在CQ Client會另外增加兩種記錄類型，分別是：eSig_Config,完成對于要設置簽名的記錄類型的具體配置情況；以及eSig_Log來記錄簽名日志。同時在被應用這個package的記錄類型中會增加一個Tab, 用來完成具體的簽名操作。對于eSig_Config的操作會在下面的具體功能介紹中詳細介紹。

5） 最后，升級用戶數據庫，使以上的操作真正同步到用戶數據庫。

以上步驟就是CTSecure在CQ中單獨應用執行需要配置的環境。下面我們詳細了解一下CTSecure的具體功能特點及操作過程（此部分操作在CQ Client中執行）：

Audit Trail----對所有的變更處理過程的跟蹤記錄

Audit Trail的主要功能是記錄所有變更處理的過程，更加方便的管理電子記錄的變更情況。1．創建一條"defect"記錄，點擊"ok", 運行"Query"進行查詢；在Audit Trail頁中查找所有的變更情況。在下圖中我們可以看到CTSecure記錄的所有變更處理：

如圖7、8 創建一條記錄，并查看Audit Trail的信息。

創建一條記錄：

之后，查看Audit Trail的具體跟蹤信息：

我們可以通過Audit Trail的變更跟蹤記錄管理的功能，來詳細查看對某條記錄的修改情況以及記錄的具體的改變情況。

2．創建記錄類型是"AuditTrai Log"的Query，來查看跟蹤日志。應用CTSecure的Audit Trail這個Package會增加一種記錄類型：Audit Trail Log. 以便用戶可以方便的查詢記錄變更的日志情況。在這個記錄類型中會明確是那種記錄類型的日志，以及這個記錄的id.

如圖9 創建記錄類型是"Audit Trail Log"的Query，查詢日志：

eSignature ----電子簽名

eSignature的主要功能就是根據安全性考慮對記錄變更操作進行電子簽名，在安全機制上確保是當前用戶對記錄的變更操作處理。應用eSignature之后，在CQ Client增加兩種記錄類型，分別是：eSig_Config,完成對于要設置簽名的記錄類型的具體配置情況；以及eSig_Log來記錄簽名日志。

1．創建"eSig_config", 確定對于要簽名的記錄類型的具體配置情況。在eSig_Config中包括的field為：Record Type; Sign by State; Sign by Action；下面我們來分別介紹一下他們的功能：

Record Type: 所有應用了eSignature這個package的記錄類型都會列在下拉列表中，用戶可以根據自己項目的實際，創建需要在變更記錄中簽名的記錄類型。

Sign by State: 選擇在什么狀態的時候需要簽名，也即按狀態來進行簽名；包括兩個字段分別是States 和 Sign When;

State: 選擇需要簽名的狀態轉換

Sign When: 簽名時間，選擇在進入，修改，或是退出的情況下

Sign by Action: 選擇在執行什么操作的情況下要簽名，也即按操作來進行簽署

如圖10 eSig_Config的所有字段：

2．對創建eSig_Config的記錄類型，我們可以來創建相應的記錄驗證eSignature的功能比如，我們創建一條記錄，選擇"Defect"這種記錄類型在變更的時候需要簽名；并寫選擇Assign, 的狀態簽名。

值得注意的是，電子簽名是對記錄修改的更高安全的控制，所以不支持密碼為空的用戶簽名，如果密碼為空，需要簽名的字段會作為密碼不正確處理。

如圖11、12 創建一條記錄需要簽名。

創建eSig_Config：

之后，如圖 12 Assign 一條記錄類型為"Defect"的記錄：

可以看到，除了基本的信息之前外，eSignature電子簽名也必須完成（當前登錄用戶），才能保存對記錄的修改。

如圖 13 電子簽名的界面：

在eSignature Log中顯示的就是當前登錄用戶的具體信息，可以方便查詢用戶對記錄的修改信息。當保存修改之后，Signature is current這個字段會設置為"True"的狀態。

3．創建記錄類型是"eSig_Log"的Query，來跟蹤查詢電子簽名日志。

如圖 14 電子簽名日志：

同樣，"Text"文本框的滾動條的設置在Designer.

回頁首

7. 在ClearCase/ClearQuest 集成中應用CTSecure

Rational ClearCase作為業界領先的配置管理工具，同ClearQuest有著良好的集成，CC/CQ的集成被廣泛的應用到實際的項目中；給項目開發帶來更準確方便的管理。

在CC/CQ的集成中應用CTSecure，可以更好的跟蹤記錄變更過程，以及對UCM（Unified Change Management） Project更高的安全級別的控制，可以更方便的查看所有我們關心的UCM Project的相關變更處理過程及變更信息。下面我們來簡單了解一下UCM: 統一變更管理（UCM）：隨著開發團隊的成長、產品發布周期的加速以及對軟件資產（包括代碼、文檔等）控制的加強，對配置管理工具和過程的需要變得越來越大。Rational軟件的統一變更管理（UCM）通過Rational ClearCase，Rational ClearQuest以及Rational Suite所提供的開發平臺實現了貫穿整個軟件開發周期的配置管理過程，即基于活動對軟件構件和項目進行變更管理。

下面我們一起了解一下CC/CQ集成創建UCM Project的過程：

1． 打開Project Explore,新建一個Project,導入它的component(可以是之前先建好的cvob)

2． Join Project,在Join Project的過程中創建Stream，Baseline，以及view。

3． 在Project的屬性中選擇ClearQuest Enable，完成CC UCM與CQ的集成。

如圖 15 創建UCM Project, 在CC的Project中enable ClearQuest：

點擊Policies可以對這個Project進行一些基本的設置。

需要注意的是，在CC/CQ集成過程中，CQ的Schema中必須包括UCM Package,或者最方便的是直接應用UCM Schema.如果在CQ中使用的是DefectTracking schema，需要在這個schema上應用UCM Package同樣可以完成和CC UCM project的集成。

創建完成UCM Project和CQ進行集成之后，這個UCM Project同樣存在于ClearQuest中，可以通過CTSecure的電子簽名和變更跟蹤管理來對這個項目進行安全控制。

比如，我們在CQ中設置了UCM_Project的eSig_Config之后，對這個UCM_Project的Policy的基本設置就只能在CQ中完成。

如圖16 使用CTSecure對UCM_Project進行管理之后：

當對這個Project的設置進行修改時，由于我們已經在CQ中應用CTSecure對他進行了安全控制管理，所以系統會提示在修改Project之前需要簽名；同時在CQ中，我們也可以通過審計跟蹤（AuditTrail）來查看這個UCM_Project的修改，以及Deliver等等的信息。

如圖 17 在CQ中對UCM_Project的管理：

此外，CTSecure應用部屬于UCM_Project中最直接的影響還是針對于Activity，也就是對缺陷記錄的更好的管理，在ClearCase中對元素（element）進行的操作會和某一個Activity相關聯，和CQ集成之后，這個Activity就是對應的CQ的一條記錄。那么，如果我們在CQ中對這個記錄類型進行CTSecure的管理，在對這個元素的操作中可以更加方便的了解它的變更情況以及更高的安全要求設置。

如圖 17 將某一元素Add source control的過程：

回頁首

8. 利用CQ Hook機制自定義配置CTSecure

在ClearQuest里，Hook可以認為是用戶用某種語言編寫的一小段代碼，會在操作某個記錄（Record）的特定時候觸發執行。它可以檢查某個記錄的字段是否滿足復雜的約束條件，可以限制特定的當前用戶才有權限操作，可以限制上傳文件的大小，可以在對特定的事件記錄日志，可以動態靈活的生成各種選擇列表。

在上面的介紹中，提到了CTSecure的基本功能；比如Audit Trail的變更記錄，eSignature的電子簽名，是ClearQuest的Package的默認功能及界面設定。CQ為用戶提供了方便的接口，用戶可以通過CQ Hook機制，按照自己的需求自定義用戶界面。比如我們可以根據自己的喜好通過CQ Hook機制改變默認的AuditTrail的用戶界面。CQ為我們提供了VB以及Perl兩種腳本語言。

比如，在CQ Designer中我們可以加一小段Script來完成對Audit Trail界面的自定義（Perl script）：

# Audit Trail format
            # Note: This example doesn't record which fields actually changed.
            sub atCust_CreateLogEntry {
            my($session, $entity, $timestamp, $action,
            $state, $login, $fullname, $groups) = @_;
            return "AuditTrail: " ."\n" . $timestamp . "\n" . $action .
            "\n" . $state . "\n". $login . "\n" . $fullname .  "\n" .
            $groups . "\n**** Test ******\n";
            }
            

具體步驟如下：

1． 打開CQ Designer, 打開全局腳本，我們以Perl腳本為例，添加一段perl語言的腳本

2． Hook函數定義

3． 調用這個函數，自定義腳本。

4． Check in schema并且升級數據庫

5． 之后我們就可以在客戶端查看腳本執行情況了

可以看到，我們自定義的script正確調用。

回頁首

9．總結

本文介紹了應用CTSecure進行電子記錄電子簽名管理的具體應用部屬，以及CTSecure的具體概念介紹，對比。實現記錄處理過程的所有變更以及電子簽名的更高安全級別的處理。希望對相關項目管理人員有一定的幫助。