CN113779605A - 一种基于联盟链的工业互联网Handle标识体系解析认证方法 - Google Patents

Abstract

本发明公开了一种基于联盟链的工业互联网Handle标识体系解析认证方法，包括：构建联盟链架构，由工业互联网标识解析准入机构设准入节点验证进入联盟链的资格，由存储节点负责将用户节点的身份信息写入链下分布式数据库，由共识节点维护联盟链账本，将节点ID和身份信息哈希值打包成区块上链。用户节点请求工业互联网标识解析服务时，首先获取联盟链的准入资质，由准入节点审核、共识节点记录上链后即可获得准入资质。用户节点在获得联盟链准入资质后即可向Handle系统请求服务，用户节点向系统节点请求服务，系统节点从联盟链账本和准入节点处分别获得身份信息哈希值和具体的身份信息，经过计算比对后即可验证用户节点的身份。

Description

一种基于联盟链的工业互联网Handle标识体系解析认证方法

技术领域

本发明属于工业互联网管理技术领域，涉及一种基于联盟链的工业互联网认证方法。

背景技术

目前我国工业互联网建设快速发展，已成为推动产业转型升级的重要助力，而工业互联网标识解析体系是其最重要的基础设施，为工业设备、机器、物料、零部件和产品提供编码、注册与解析服务，是平台、网络、设备、控制、数据等工业互联网关键要素实现协同的纽带，是解决不同行业，不同企业间信息孤岛的关键措施。

当前，我国主要使用的标识解析体系为Handle系统，Handle系统是全球范围分布式通用标识服务系统，于1994年提出，旨在提供高效、可扩展、安全的全局标识解析服务。Handle 系统采用分层服务模型，无单根节点。顶层为数个平行的全局Handle 注册表（GHR，global handle registry），GHR间数据时时同步、平等互通；下层为本地Handle 服务（LHS，local Handle service）。中国运用Handle系统的工业互联网标识解析体系包括国际根节点（负责向全球范围提供公共根区数据管理和根解析服务）、国家顶级节点（负责国内顶级标识编码注册和标识解析服务以及标识备案和认证等）、二级节点（主要指行业节点，负责行业或区域内的标识编码注册和标识解析服务以及标识业务管理和应用对接服务）、企业节点（企业自己的节点，也叫做三级节点，负责企业的标识编码注册和标识解析服务）、递归解析节点（为工业互联网终端提供统一入口，通过缓存等技术提高标识解析服务性能）、客户端（标识数据的使用者或标识解析节点的管理终端）。

Handle系统为扁平分层的服务模式。Handle系统的安全认证机制包括管理员与权限设计，客户端身份安全与操作合法安全等内容，而这些机制主要是基于传统的中心化证书颁发机构（CA，Certificate Authority）作为受信任的第三方来负责工业互联网解析场景中的安全认证。当下，工业互联网中网络安全问题频发，传统的受信任的第三方CA认证很容易遭受攻击，抵抗恶意攻击能力差，造成资源滥用、数据泄露、数据篡改、身份欺骗等安全风险。

基于此，有将区块链技术用于工业互联网标识解析认证领域，区块链技术源于数字加密货币，具有去中心化、去信任、数据不可篡改、可追溯等优势，可以有效解决传统的中心化CA认证所遇到的安全问题。然而，在工业互联网环境中，标识注册与解析数据量大，需要在保证安全性的同时保证一定的吞吐量，始于比特币的传统区块链交易量受限、资源消耗大，不适用于当下的工业互联网环境，同时传统的区块链结构数据量只增不减，在当前的网络带宽情况下难以保证交易量，同时无法有效存储海量的数据。当区块链用于工业互联网认证时，必须改进存储方案以支持大量数据，同时不浪费网络带宽和区块存储资源。胡向东等人申请的专利（一种基于区块链的工业互联网身份认证方法，CN111818056A）就将区块链用于工业互联网认证，使用双链交互完成节点的注册、认证和Token的发放，然而双链交互复杂，无法满足大规模的标识解析需求。

发明内容

本发明目的在于克服现有技术中存在的问题，提出一种基于联盟链的工业互联网Handle标识体系认证方法，主要采用联盟链体系架构和利用链上链下相交互的方法，链上使用区块链共识机制将身份认证信息数据哈希值写入区块，链下使用分布式存储系统存储身份认证信息。采用本发明能够使得大量的认证数据得到处理，保证了高交易量，同时使用区块链保证身份认证信息不受篡改。

为了实现本发明的目的，本发明采用的技术方案如下：

一种基于联盟链的工业互联网Handle标识体系解析认证方法，包括如下步骤：

步骤一、构建联盟链认证架构；

步骤二、所构建的联盟链认证架构实现用户节点的注册、认证请求。

所述步骤一中，联盟链认证架构由工业互联网标识解析准入机构、链下分布式存储系统、联盟链、Handle系统四个模块组成；其中，工业互联网标识解析准入机构认证特定行业或企业进入联盟链的资格，由工业互联网标识解析准入机构设置准入节点；链下分布式存储系统存储具体的身份认证信息，由存储节点维护；联盟链存储用户的身份认证信息哈希值，由共识节点维护；Handle系统负责工业互联网数据标识解析服务，并向系统发起认证或注册请求。

进一步的，步骤一中，准入节点具有信用背书，实现联盟链中第一次认证；共识节点为各行业或企业接入联盟链时提供的服务器组，共同建设和维护联盟链账本。

所述步骤二中，在用户节点认证请求之前该用户需要在系统中先行注册，注册方法如下：

（1）、用户节点向准入节点发送注册请求，并附上身份信息；准入节点审核用户节点身份信息，决定能否接入联盟链；

其中，用户节点的注册包括准入节点、共识节点、Handle系统中各节点的加入以及请求标识解析服务的客户端，以上节点统称为用户节点，这些节点在向准入节点申请注册时需附上证明自身身份的资质信息。

（2）、准入节点批准该用户节点接入联盟链网络，生成用户ID和公私钥对，并将用户身份信息哈希值和用户ID作为交易转发给共识节点；

其中，准许接入联盟链的用户节点的身份信息由准入节点生成，为：{ID，公钥，地址，时间戳，身份信息}。

（3）、共识节点对收到的交易进行验证，达成一致性共识，将用户ID和用户身份信息的哈希值写入联盟链中；负责打包区块的共识节点向准入节点返回写入成功消息。

（4）、准入节点收到消息后，将用户身份信息转发给存储节点，由存储节点写入链下数据库，准入节点同时将用户节点ID，公钥和私钥返回用户节点。

进一步的，在上述注册过程的步骤（3）中，共识节点之间的共识方法如下：

a、联盟链共识过程中，准入节点监听联盟链网络，在本地维护一个记录所有共识节点分数的日志，评分方法如下：初始时所有共识节点评分为0，在共识过程中：准入节点收到小于全部共识节点总数2/3的回复，则选举出的主节点分数减2，其他节点分数加1；成功产生区块的记账节点加1；新加入的节点分数为0；新一轮共识开始后，准入节点根据本地评分日志，选取评分最高的共识节点作为记账节点，向记账节点发送共识请求，并将用户身份信息哈希值和用户ID作为交易向全网共识节点广播；

b、所有共识节点独立监听全网交易，并将监听到的交易检验合法性后存入内存；收到共识请求的记账节点将收集到的交易数据按时间排序打包装入区块，并将该区块转发给其他共识节点；

c、其他共识节点收到区块后对区块内交易和区块本身进行验证，验证无误后向准入节点返回验证成功消息，验证失败则丢弃此区块，不返回信息；首先验证区块的合法性：区块的格式是否符合规则、区块的时间戳是否在合法范围内、本区块头的中的哈希值是否与前一区块的哈希值相同、区块内的交易是否合法；再验证区块内交易的合法性：交易的格式是否符合规则、交易是否已经存在于联盟链账本中。

d、准入节点收到超过全部共识节点总数2/3的回复，即表示新区块生成，共识完成，否则表示共识失败，此轮共识结束；最后，准入节点将根据共识结果更新本地评分日志。

进一步的，在以上注册过程中，公私钥对将作为用户节点与系统中节点进行通讯的工具，即系统中节点之间的通信通过公私钥对实现，发送方使用接受方公钥加密请求，并附上使用自身私钥加密的请求哈希，接受方使用自身私钥解密信息并用发送方公钥解密请求哈希并进行验证。

所述步骤二中，用户节点向系统请求身份认证方法如下：

（1）、用户节点向Handle系统请求服务，附上自身ID和公钥。

（2）、收到请求的Handle系统节点从联盟链账本中读取{ID，身份信息哈希值}；其中，收到特定请求并向系统请求认证的节点统称为系统节点，系统节点为Handle系统中所有能提供标识解析服务的节点；

（3）、系统节点向准入节点请求读取链下数据库；

（4）、准入节点验证系统节点身份，验证无误后从存储节点读取数据库，返回身份信息；其中，准入节点对系统节点的验证的方法为从联盟链账本读取身份信息哈希值和查找链下数据库身份信息并计算哈希值进行比对；

（5）、系统节点收到返回信息后计算哈希值并与联盟链账本上读取的哈希值进行比对，两者一致则返回认证成功消息，反之丢弃该请求。

总之，本发明所述基于联盟链的工业互联网Handle标识体系解析认证方法：在当前Handle标识解析系统基础上构建联盟链架构，由工业互联网标识解析准入机构设准入节点验证进入联盟链的资格，由存储节点负责将用户节点的身份信息写入链下分布式数据库，由共识节点维护联盟链账本，将节点ID和身份信息哈希值打包成区块上链。用户节点想要请求工业互联网标识解析服务时，首先要获取联盟链的准入资质，由准入节点审核、共识节点记录上链后即可获得准入资质。用户节点在获得联盟链准入资质后即可向Handle系统请求服务，用户节点向系统节点请求服务，系统节点从联盟链账本和准入节点处分别获得身份信息哈希值和具体的身份信息，经过计算比对后即可验证用户节点的身份。

与现有技术相比，本发明的优势在于：

1、本发明引入了基于联盟链的架构体系，只针对特定组织开放，在可用性，高性能、隐私保护，数据监管上更有优势，系统运行效率更高成本更低。

2、本发明采用了一种改进的共识算法，引入评分机制，可以在联盟链环境下有效防止恶意或故障节点，并可以实现节点的动态加入。

3、本发明使用了链上链下的数据协同，链上使用链下的存储系统扩展了存储能力，链下通过哈希值实现链上信息的不可篡改，既保证了链下信息的安全性，同时又使用链下存储达到了传输的高效性。

附图说明

图1表示本发明所述的基于联盟链的Handle标识体系解析认证方法系统架构图。

图2表示本发明所述的基于联盟链的工业互联网身份注册方法流程图。

图3表示本发明所述的维护联盟链的共识节点共识算法流程图。

图4表示本发明所述的基于联盟链的工业互联网身份认证方法流程图。

具体实施方式

以下结合附图通过具体实施例详细说明本发明，但不构成对本发明的限制。

本实施例提供一种基于联盟链的工业互联网Handle标识体系解析认证方法，具体包括：

步骤一、在当前Handle标识解析系统基础上构建联盟链认证架构；

步骤二、系统实现用户节点的注册、认证请求。

首先要基于现有Handle体系建立联盟链认证架构，如图1所示，联盟链认证架构由工业互联网标识解析准入机构、链下分布式存储系统、联盟链、Handle系统四个模块组成。

工业互联网标识解析准入机构设准入节点认证特定行业或企业进入联盟链的资格，这些特定的准入机构运行准入节点，准入节点具有信用背书，接受注册和认证请求。

链下分布式存储系统存储具体的身份认证信息，由存储节点维护，即存储节点维护链下的分布式存储。联盟链存储用户的身份认证信息哈希值，由共识节点维护；共识节点为各行业或企业接入联盟链时提供的服务器组，共同建设和维护联盟链账本。当行业或企业接入联盟链后要维护一个或多个共识节点，这些成员共识节点之间通过弱中心的互信达成共识，共同维护联盟链数据，任何节点对身份数据的处理都视为一次交易。

联盟链的创建从创世区块开始，准入节点将搭建联盟链时经过认证的准入节点、共识节点以及Handle体系中的各节点的{ID，身份信息哈希值}作为交易转发给共识节点，共识节点经共识后形成创世区块，同时，存储节点将具体的身份信息写入链下分布式数据库中。

Handle系统负责工业互联网数据标识解析服务，并向系统发起认证或注册请求。工业互联网标识解析体系提供工业设备、产品等的标识编码、注册与解析服务，服务的请求方在此统称为用户节点，由于工业生产的保密性要求，服务的请求方首先需联盟链登记注册，请求授予一个合法的用户身份。

请求注册方统称为用户节点，包括但不限于准入节点、共识节点、Handle系统中各节点以及请求标识解析服务的客户端，这些节点在向准入节点申请注册时需附上证明自身身份的资质信息，如图2流程图所示，用户认证请求之前该用户需在系统中先行注册，具体操作如下：

（1）、用户节点首先向准入节点发送注册请求，并附上相关身份信息。这一过程可以通过网络进行，也可以在线下向工业互联网标识解析准入机构提交申请。准入节点审核用户节点身份信息，决定能否接入联盟链。准入节点收到请求后进行审核，审核的内容包括提供的身份信息是否有资格进入联盟链或该用户节点是否已经注册过，审核通过则进入下一步。

（2）、准入节点审核通过后，生成该用户节点的用户ID和公私钥对，并向全网共识节点广播此次注册，即将用户节点身份信息哈希值和用户节点ID作为交易转发给共识节点。准许接入联盟链的用户节点的身份信息由准入节点生成，为：{ID，公钥，地址，时间戳，身份信息}。

（3）、共识节点先验证发起交易请求的准入节点身份，后验证收到的交易，全网共识节点对收到的交易进行验证达成一致性共识，将 {ID，身份信息哈希值} 写入区块链中，经过共识选出的负责打包区块的共识节点向准入节点返回消息。

（4）、准入节点收到共识节点发来的返回消息，首先验证共识节点身份，验证无误由存储节点将用户身份信息写入链下分布式数据库，用户身份信息为{ID，公钥，地址，时间戳，身份认证信息}，由准入节点生成，最后准入节点将用户节点ID，公钥和私钥返回用户节点。

在以上注册过程中，公私钥对将作为用户节点与系统中所有节点（包括用户节点、准入节点、共识节点等）进行通讯的工具，即系统节点之间的通信通过公私钥对实现来保证安全性，发送方使用接受方公钥加密请求，并附上使用自身私钥加密的请求哈希，接受方使用自身私钥解密信息并用发送方公钥解密请求哈希并进行验证。其中，准入节点、共识节点的公钥是公开的。

在上述注册过程的步骤（3）中，共识节点之间的共识方法如下，如图3流程图所示：

1）、联盟链共识过程中，准入节点监听联盟链网络，在本地维护一个记录所有共识节点分数S的日志，评分方法如下：初始时所有共识节点评分为0，在共识过程中：准入节点收到小于全部共识节点总数2/3的回复，则选举出的主节点分数减2，其他节点分数加1；成功产生区块的记账节点加1；新加入的节点分数为0。新一轮共识开始后，准入节点根据本地评分日志，选取评分最高的共识节点作为记账节点，向记账节点发送共识请求，并将用户身份信息哈希值和用户ID作为交易向全网共识节点广播。

2）、所有共识节点独立监听全网交易，并将监听到的交易检验合法性后存入内存。收到共识请求的记账节点将收集到的交易数据按时间排序打包装入区块，并将该区块转发给其他共识节点。

3）、其他共识节点收到区块后对区块内交易和区块本身进行验证，验证无误后向准入节点返回验证成功消息，验证失败则丢弃此区块，不返回信息。首先验证区块的合法性，区块的合法性判断如下：ⅰ区块的格式是否符合规则；ⅱ区块的时间戳是否在合法范围内；ⅲ本区块头的中的哈希值是否与前一区块的哈希值相同；ⅳ区块内的交易是否合法。再验证区块内交易的合法性，交易的合法性判定如下：ⅰ交易的格式是否符合规则；ⅱ交易是否已经存在于联盟链账本中。

4）、准入节点收到超过全部共识节点总数2/3的回复，即表示新区块生成，共识完成，否则表示共识失败，此轮共识结束。最后，准入节点将根据共识结果更新本地评分日志。

用户节点通过准入审核并完成注册之后，即可向Handle系统申请标识解析服务，在此，将请求服务的发起方统称为用户节点，Handle系统中提供服务的节点统称为系统节点。如图4流程图所示，用户节点向接收节点请求服务，身份认证具体操作如下：

（1）、用户节点向Handle系统中的特定节点请求标识解析服务，附上自身用户ID和公钥，节点间的通讯同注册操作，系统节点的公钥是公开的。用户节点包括但不限于与Handle系统请求服务的节点或客户端。

（2）、系统节点收到请求，根据解密后的用户ID，从联盟链账本中读取{ID，身份信息哈希值}。如果读取失败，则丢弃此请求。收到特定请求并向系统请求认证的节点统称为系统节点，系统节点为Handle系统中所有能提供标识解析服务的节点。

（3）、系统节点从区块链账本中找到相应的{ID，身份信息哈希值}成功后，系统节点向准入节点请求读取链下分布式数据库，发送到请求信息包括自身节点ID、公钥、以及用户节点ID。

（4）、准入节点收到系统节点发来的验证请求消息，首先验证系统节点身份，验证的过程为从联盟链账本中读取此系统节点身份信息哈希值，再从分布式存储中根据系统节点ID读取具体的身份信息，两者经过计算比对验证无误后，准入节点从存储节点根据请求消息中的用户节点ID查找数据库，最终向系统节点返回身份信息。

（5）、系统节点收到准入节点发来的消息后，计算身份信息哈希值并与从联盟链账本上取下的身份信息哈希值进行比对，对比一致即可完成用户节点的身份认证，并向用户节点返回认证成功消息。

最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照本发明实施例进行了详细说明，本领域的普通技术人员应当理解，对本发明的技术方案进行修改或者等同替换，都不脱离本发明的技术方案的精神和范围，其均应涵盖本发明的权利要求保护范围中。

Claims (9)

1.一种基于联盟链的工业互联网Handle标识体系解析认证方法，其特征在于：包括如下步骤：

步骤一、构建联盟链认证架构；

步骤二、所构建的联盟链认证架构实现用户节点的注册、认证请求。

2.根据权利要求1所述的一种基于联盟链的工业互联网Handle标识体系解析认证方法，其特征在于：步骤一中，联盟链认证架构由准入机构、链下分布式存储系统、联盟链、Handle系统四个模块组成；

其中，准入机构认证特定行业或企业进入联盟链的资格，由工业互联网标识解析准入机构设置准入节点；

链下分布式存储系统存储具体的身份认证信息，由存储节点维护；

联盟链存储用户的身份认证信息哈希值，由共识节点维护；

Handle系统负责工业互联网数据标识解析服务，并向系统发起认证或注册请求。

3.根据权利要求2所述的一种基于联盟链的工业互联网Handle标识体系解析认证方法，其特征在于：准入节点具有信用背书，实现联盟链中第一次认证；

共识节点为各行业或企业接入联盟链时提供的服务器组，共同建设和维护联盟链账本。

4.根据权利要求1所述的一种基于联盟链的工业互联网Handle标识体系解析认证方法，其特征在于：步骤二中，在用户节点认证请求之前该用户需要在系统中先行注册，注册方法如下：

（1）、用户节点向准入节点发送注册请求，并附上身份信息；准入节点审核用户节点身份信息，决定能否接入联盟链；

（2）、准入节点批准该用户节点接入联盟链网络，生成用户ID和公私钥对，并将用户身份信息哈希值和用户ID作为交易转发给共识节点；

（3）、共识节点对收到的交易进行验证，达成一致性共识，将用户ID和用户身份信息的哈希值写入联盟链中；负责打包区块的共识节点向准入节点返回写入成功消息；

（4）、准入节点收到消息后，将用户身份信息转发给存储节点，由存储节点写入链下数据库，准入节点同时将用户节点ID，公钥和私钥返回用户节点。

5.根据权利要求4所述的一种基于联盟链的工业互联网Handle标识体系解析认证方法，其特征在于：步骤（1）中，用户节点包括准入节点、共识节点、Handle系统中各节点以及请求标识解析服务的客户端，用户节点在向准入节点申请注册时需附上证明自身身份的资质信息；

步骤（2）中，准许接入联盟链的用户节点的身份信息由准入节点生成，为：{ID，公钥，地址，时间戳，身份信息}。

6.根据权利要求4所述的一种基于联盟链的工业互联网Handle标识体系解析认证方法，其特征在于：在上述注册过程的步骤（3）中，共识节点之间的共识方法如下：

a、联盟链共识过程中，准入节点监听联盟链网络，在本地维护一个记录所有共识节点分数的日志，评分方法如下：初始时所有共识节点评分为0，在共识过程中：准入节点收到小于全部共识节点总数2/3的回复，则选举出的主节点分数减2，其他节点分数加1；成功产生区块的记账节点加1；新加入的节点分数为0；新一轮共识开始后，准入节点根据本地评分日志，选取评分最高的共识节点作为记账节点，向记账节点发送共识请求，并将用户身份信息哈希值和用户ID作为交易向全网共识节点广播；

b、所有共识节点独立监听全网交易，并将监听到的交易检验合法性后存入内存；收到共识请求的记账节点将收集到的交易数据按时间排序打包装入区块，并将该区块转发给其他共识节点；

c、其他共识节点收到区块后对区块内交易和区块本身进行验证，验证无误后向准入节点返回验证成功消息，验证失败则丢弃此区块，不返回信息；首先验证区块的合法性：区块的格式是否符合规则、区块的时间戳是否在合法范围内、本区块头的中的哈希值是否与前一区块的哈希值相同、区块内的交易是否合法；再验证区块内交易的合法性：交易的格式是否符合规则、交易是否已经存在于联盟链账本中；

d、准入节点收到超过全部共识节点总数2/3的回复，即表示新区块生成，共识完成，否则表示共识失败，此轮共识结束；最后，准入节点将根据共识结果更新本地评分日志。

7.根据权利要求4所述的一种基于联盟链的工业互联网Handle标识体系解析认证方法，其特征在于：在以上注册过程中，公私钥对将作为用户节点与系统中节点进行通讯的工具，即系统中节点之间的通信通过公私钥对实现，发送方使用接受方公钥加密请求，并附上使用自身私钥加密的请求哈希，接受方使用自身私钥解密信息并用发送方公钥解密请求哈希并进行验证。

8.根据权利要求1所述的一种基于联盟链的工业互联网Handle标识体系解析认证方法，其特征在于：步骤二中，用户节点向系统请求身份认证方法如下：

（1）、用户节点向Handle系统请求服务，附上自身ID和公钥；

（2）、收到请求的Handle系统节点从联盟链账本中读取{ID，身份信息哈希值}；

（3）、系统节点向准入节点请求读取链下数据库；

（4）、准入节点验证系统节点身份，验证无误后从存储节点读取数据库，返回身份信息；

（5）、系统节点收到信息后进行比对，返回消息。

9.根据权利要求8所述的一种基于联盟链的工业互联网Handle标识体系解析认证方法，其特征在于：步骤（2）中，收到特定请求并向系统请求认证的节点统称为系统节点，系统节点为Handle系统中所有能提供标识解析服务的节点；

步骤（4）中，准入节点对系统节点的验证的方法为从联盟链账本读取身份信息哈希值和查找链下数据库身份信息并计算哈希值进行比对；

步骤（5）中，系统节点收到返回信息后计算哈希值并与联盟链账本上读取的哈希值进行比对，两者一致则返回认证成功消息，反之丢弃该请求。

Images