智能制造虚拟组织的服务联合安全研究

第３７卷第１０期一一一一一一一一一一一哈一尔一滨一工一程一大一学一学一报一一一一一一一一一一Ｖｏｌ．３７?．１０

２０１６年１０月一一一一一

一一

一一一

ＪｏｕｒｎａｌｏｆＨａｒｂｉｎＥｎｇｉｎｅｅｒｉｎｇＵｎｉｖｅｒｓｉｔｙ一一一一一一一一一一一Ｏｃｔ．２０１６

智能制造虚拟组织的服务联合安全研究

张祖国１，２，苏锐丹３

（１．中国科学院空间科学与应用研究中心，北京１００１９０；２．中国船舶重工集团第七一四研究所，北京１００１０１；３．西安电子科技大学计算机学院，陕西西安７１００７１）

摘一要：工业互联网时代的智能制造不仅体现在企业内部的智能化，而且强调企业通过虚拟组织进行制造资源和服务能力的社会化协作，跨企业域的服务联合中的安全认证与授权控制尤为重要三基于ＶＯ服务联合安全需求及去中心化自组织特征，利用ＯＡｕｔｈ２．０二ＯｐｅｎＩＤＣｏｎｎｅｃｔ协议规范设计的虚拟组织（ＶＯ）服务联合安全方案满足跨域服务联合二同域服务联合和公共服务联合的需要三文章详细解释了跨域服务联合二同域服务联合与公共服务联合的安全认证与授权实现流程，并结合海洋装备制造案例说明了制造联盟中服务联合应用过程三最后探讨了方案中涉及到的隐私保护问题三

关键词：智能制造；虚拟组织；服务联合；ＯＡｕｔｈ２．０；ＯｐｅｎＩＤＣｏｎｎｅｃｔＤＯＩ：１０．１１９９０／ｊｈｅｕ．２０１５０４０５２

网络出版地址：ｈｔｔｐ：／／ｗｗｗ．ｃｎｋｉ．ｎｅｔ／ｋｃｍｓ／ｄｅｔａｉｌ／２３．１３９０．ｕ．２０１６０８２９．１４２１．０５６．ｈｔｍｌ中图分类号：ＴＰ３９９一文献标志码：Ａ一文章编号：１００６－７０４３（２０１６）１０－１３４１－０６

Ｒｅｓｅａｒｃｈｏｎｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎｓｅｃｕｒｉｔｙｏｆ

ａｖｉｒｔｕａｌｏｒｇａｎｉｚａｔｉｏｎｆｏｒｉｎｔｅｌｌｉｇｅｎｔｍａｎｕｆａｃｔｕｒｉｎｇ

ＺＨＡＮＧＺｕｇｕｏ１，２，ＳＵＲｕｉｄａｎ３

（１．ＣｅｎｔｅｒｆｏｒＳｐａｃｅＳｃｉｅｎｃｅａｎｄＡｐｐｌｉｅｄＲｅｓｅａｒｃｈ，ＣｈｉｎｅｓｅＡｃａｄｅｍｙＳｃｉｅｎｃｅ，Ｂｅｉｊｉｎｇ１００１９０，Ｃｈｉｎａ；２．Ｔｈｅ７１４ＲｅｓｅａｒｃｈＩｎｓｔｉｔｕｔｅｏｆＣＳＩＣ，Ｂｅｉｊｉｎｇ１００１０１，Ｃｈｉｎａ；３．ＫｅｙＬａｂｏｒａｔｏｒｙｏｆＣｏｍｐｕｔｅｒＮｅｔｗｏｒｋａｎｄＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙｏｆｔｈｅＭｉｎｉｓｔｒｙｏｆＥｄｕｃａｔｉｏｎ，ＸｉｄｉａｎＵｎｉｖｅｒｓｉｔｙ，Ｘｉ＇ａｎ７１００７１，Ｃｈｉｎａ）

Ａｂｓｔｒａｃｔ：Ｉｎｔｅｌｌｉｇｅｎｔｍａｎｕｆａｃｔｕｒｉｎｇｉｎｔｈｅｅｒａｏｆｔｈｅｉｎｄｕｓｔｒｉａｌｉｎｔｅｒｎｅｔｉｓｅｍｂｏｄｉｅｄｉｎｉｎｔｅｌｌｉｇｅｎｔｍａｎａｇｅｍｅｎｔｉｎｓｉｄｅａｎｅｎｔｅｒｐｒｉｓｅ．Ｉｔｅｍｐｈａｓｉｚｅｓｔｈｅｓｏｃｉａｌｉｚｅｄｃｏｏｐｅｒａｔｉｏｎｏｆｍａｎｕｆａｃｔｕｒｉｎｇｒｅｓｏｕｒｃｅｓａｎｄｓｅｒｖｉｃｅａｂｉｌｉｔｙｏｆａｎｅｎｔｅｒｐｒｉｓｅｖｉａａｖｉｒｔｕａｌｏｒｇａｎｉｚａｔｉｏｎ．Ｔｈｅｓａｆｅｔｙｃｅｒｔｉｆｉｃａｔｉｏｎａｎｄａｕｔｈｏｒｉｚａｔｉｏｎｃｏｎｔｒｏｌｐｌａｙｓａｎｉｍｐｏｒｔａｎｔｒｏｌｅｉｎｃｒｏｓｓ－ｄｏｍａｉｎｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎ．ＴｈｉｓｐａｐｅｒａｎａｌｙｚｅｓｃｒｉｔｉｃａｌｓｅｃｕｒｉｔｙｒｅｑｕｉｒｅｍｅｎｔｓｏｆｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎｆｏｒａｖｉｒｔｕａｌｏｒｇａｎｉｚａｔｉｏｎａｎｄｐｒｏｐｏｓｅｓａｓｅｃｕｒｉｔｙｓｃｈｅｍｅｓｕｉｔａｂｌｅｆｏｒＶＯｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎｂａｓｅｄｏｎＯＡｕｔｈ２．０ａｎｄＯｐｅｎＩＤＣｏｎｎｅｃｔｓｐｅｃｉｆｉｃａｔｉｏｎｓ．Ｓｅｖｅｒａｌｆｕｎｄａｍｅｎｔａｌｓｅｃｕｒｉｔｙｆｕｎｃｔｉｏｎｓｓｕｃｈａｓｃｒｏｓｓ?ｄｏｍａｉｎｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎ，ｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎｉｎｓｈａｒｅｄｄｏｍａｉｎａｎｄｐｕｂｌｉｃｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎｗｅｒｅａｌｓｏｃｌａｒｉｆｉｅｄ．ＴｈｅａｐｐｌｉｃａｔｉｏｎｏｆｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎｉｎｔｈｅｍａｎｕｆａｃｔｕｒｉｎｇＶＯｗａｓｄｅｍｏｎｓｔｒａｔｅｄｉｎｔｈｅｃａｓｅｏｆｏｆｆｓｈｏｒｅｅｑｕｉｐｍｅｎｔｍａｎｕｆａｃｔｕｒｉｎｇ．Ａｌｓｏ，ｔｈｅｐｒｉｖａｃｙｐｒｏｔｅｃｔｉｏｎｉｓｓｕｅｗａｓｄｉｓｃｕｓｓｅｄ．Ｋｅｙｗｏｒｄｓ：Ｉｎｔｅｌｌｉｇｅｎｔｍａｎｕｆａｃｔｕｒｉｎｇ；ｖｉｒｔｕａｌｏｒｇａｎｉｚａｔｉｏｎ；ｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎ；ＯＡｕｔｈ２．０；ＯｐｅｎＩＤｃｏｎｎｅｃｔ收稿日期：２０１５－０４－２３．网络出版日期：２０１６－０８－２９．基金项目：国家高技术支撑计划（２０１２ＢＡＦ１０Ｂ０６）．作者简介：张祖国（１９７１－），男，研究员，博士研究生；

苏锐丹（１９７８－），男，副教授．通信作者：张祖国，Ｅ－ｍａｉｌ：ｈｏｍｅｒ＿ｃｈａｎｇ＠１６３．ｃｏｍ．

一一工业互联网是互联网与工业生产相结合而形成的交集，主要由智能机器二高级分析二工作人员三个元素构成三现实世界中的机器二设备二团队和网络通过传感器二控制器和软件应用程序连接起来，并使用基于物理的分析法二预测算法二自动化和材料科学，电气工程及其他关键学科知识来理解机器与大型系统的运作方式［１－２］三工业互联网的价值不仅仅体现于企业内部的基于大数据形成的智能制造能力，更

为产业界的资源分享与制造能力的协作提供了基础

模式三智能制造需要突破单一企业的边界，制造资源与生产力的社会化分享促进了企业间合作联盟的形成，通过产业链实现资源的弹性化组织和应用三在此产业链的构成过程中，涉及到设计者二制造者二销售者二集成与咨询者二服务者和运维者三上述所有对象通过信息－物理空间系统（ｃｙｂｅｒ?ｐｈｙｓｉｃａｌｓｙｓ?ｔｅｍ，ＣＰＳ）构成完整协同平台，在ＣＰＳ中，企业之间并非具有从属特性，对象之间的联合也不具有恒定的合作关系［３］三他们之间通过虚拟组织（ｖｉｒｔｕａｌｏｒ?ｇａｎｉｚａｔｉｏｎ，ＶＯ）的临时关系来定义三

对各制造服务提供商而言，ＶＯ的跨域服务联

万方数据

合带来的安全性需求可能会高于业务逻辑本身三长久以来，国际上许多机构都在积极推动跨组织认证和授权的标准化工作，并制定了安全声明标记语言（ｓｅｃｕｒｉｔｙａｓｓｅｒｔｉｏｎｍａｒｋｕｐｌａｎｇｕａｇｅ，ＳＡＭＬ）［４］和ＷＳ?Ｓｅｃｕｒｉｔｙ系列标准三基于这些标准，文献［５］提出跨域服务联合安全框架，阐述跨域服务联合中的安全功能，包括信任拓扑管理二跨域认证及授权二隐私保护等三文献［６］提出智能制造的社会化协同机制，阐述了跨域松耦合联盟与紧耦合制造集团间的授权信息集成方法三

ＯＡｕｔｈ２．０［７－８］是ＯＡｕｔｈ协议的下一版本，关注服务请求方的简易性，为Ｗｅｂ应用二移动设备等提供专门的认证流程三它使得服务请求方通过经由用户授权而获得的访问令牌（ａｃｃｅｓｓｔｏｋｅｎ）来使用用户在服务提供方的资源和服务，代表用户执行相关操作，从而避免了直接将用户的凭据（如口令）交给服务请求方三建立在ＯＡｕｔｈ２．０上的ＯｐｅｎＩＤＣｏｎ?ｎｅｃｔ（ＯＩＤＣ）［９］，是ＯｐｅｎＩＤ的下一版本，提供了开放的身份认证，其跨域工作的方式，很适合ＶＯ中不同服务提供商之间的用户共享三

１一ＶＯ服务联合安全需求

ＶＯ是一个以动态市场机会为基础的各种核心能力的统一体，组织内各成员异地二异构二无产权联系，相互之间的合作关系是动态的，完全突破了以内部组织制度为基础的传统组织结构三合作是ＶＯ存在的基础，但由于ＶＯ各成员保持着自己原有的风格松散耦合，彼此间由于信任产生的安全问题尤为突出三

为清晰阐述ＶＯ服务联合安全问题，本文给出了一组服务联合典型示例，如图１所示

三

图１一ＶＯ服务联合典型示例

Ｆｉｇ．１一ＴｙｐｉｃａｌｅｘａｍｐｌｅｏｆＶＯｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎ

Ａ二Ｂ与Ｃ为三个彼此独立的域三Ａ１二Ａ２二Ａ３二Ａ４是Ａ域的服务，Ｂ域和Ｃ域的服务类似，其中Ｂ２是一项与用户无关的公共服务三各个域有自己独立

的授权服务器ＡＳ（含认证功能），并可选地提供

ＯｐｅｎＩＤ服务三ＴｈｉｒｄＰａｒｔｙＯＰ／ＩＤＰ（ＯｐｅｎＩＤＰｒｏｖｉｄ?ｅｒ）为第三方ＯｐｅｎＩＤ服务提供方三示例中包含三种典型的服务联合场景：Ａ域的服务Ａ１调用了本域了服务Ａ２和外域的服务Ｂ１，Ａ２和Ｂ１又分别跨域调用了服务Ｃ１和Ａ３，是典型的跨域服务联合；Ｃ域中的服务Ｃ２依赖本域服务Ｃ３二Ｃ４和Ｃ５，属于同一安全域／信任域的服务联合，即同域服务联合；服务Ａ４对服务Ｂ２的调用产生了（跨域）公共服务联合场景三

传统服务提供方仅对外提供安全的核心业务服务接口，仅需要在本域边界进行有效地防范即可确保本域的整体安全三加入ＶＯ的各成员组织出于跨域服务联合的需要，原本各自独立的安全边界遭到破坏，为ＶＯ服务联合引入了以跨域认证及授权为核心的安全问题三其中，跨域认证将可信的用户标识信息跨域共享，从而避免用户跨域使用服务资源时的重复认证；跨域授权则允许服务提供方和资源所有者对来自外域的资源使用请求进行授权控制三概括而言，服务联合场景中涉及四类安全问题：

１）服务联合建立：为了使用户的认证与授权信息和服务资源能够在跨域环境下进行共享，跨域服务联合的建立就是要根据服务调用关系构建多域环境下的关联关系，从而形成由一系列服务分享与使用所形成的ＶＯ三

２）单点登录（ｓｉｎｇｌｅｓｉｇｎ?ｏｎ，ＳＳＯ）：在跨域服务联合中，用户只需要完成一次身份认证流程，即可访问所有服务，无需执行多次认证三

３）联合退出（ｆｅｄｅｒａｔｅｄｓｉｇｎ?ｏｕｔ）：在跨域服务联合中，用户主动退出时，清理该服务联合中各服务相关的缓存数据，结束会话以保证会话安全三

４）访问控制：受ＶＯ的松散耦合二分布式特点影响，跨域服务联合中需要对服务的跨组织访问进行严格明确地约束，以防止未授权访问三

２一ＶＯ服务联合安全方案

ＯＡｕｔｈ２．０和ＯＩＤＣ分别将授权与认证操作从

业务逻辑中抽象出来，构成ＶＯ服务联合安全方案的基础三

ＯＡｕｔｈ２．０能使ＶＯ服务联合场景中服务使用方代表自身或者通过引导用户（服务／资源所有者）与服务提供方进行一系列的授权交互后代表用户获取受限的服务，授权信息以ＡｃｃｅｓｓＴｏｋｅｎ形式返回给服务使用方作为访问受保护资源的凭据，每一个ＡｃｃｅｓｓＴｏｋｅｎ授权其持有者在特定的时间段内使用特定的服务三

ＯＩＤＣ作为ＯＡｕｔｈ２．０协议授权过程的扩展，其身份认证结果为ＪＷＴ（ＪＳＯＮｗｅｂｔｏｋｅｎ）形式的ＩＤＴｏｋｅｎ三ＩＤＴｏｋｅｎ包含着认证相关的信息，而认证用户详细信息的获取则融入了授权流程，需要使用通

四２４３１四哈一尔一滨一工一程一大一学一学一报一一一一一一一一一一一一一一第３７卷

万方数据

过用户授权后得到的ＡｃｃｅｓｓＴｏｋｅｎ从资源服务器（ｒｅｓｏｕｒｃｅｓｅｒｖｅｒ，ＲＳ）的ＵｓｅｒＩｎｆｏＥｎｄｐｏｉｎｔ处获取三跨域服务联合二同域服务联合和公共服务联合由于安全域跨越和业务本身的不同，导致对授权的安全需求不同三本方案权衡安全性需求和授权流程的灵活性与授权效率，为ＶＯ的三种服务联合场景选用了不同的授权模式：

１）在跨域服务联合中，服务使用方需要跨越安全域获得用户授权，安全需求最高，采用的是ＯＡｕｔｈ２．０四种授权模式中功能完整二流程最为严密的授权码模式（ａｕｔｈｏｒｉｚａｔｉｏｎｃｏｄｅ）；

２）在同域服务联合中，由于服务使用方与服务提供方处于同一个安全域中，彼此存在一定的信任基础，服务访问的授权可在用户身份验证后使用本域内的访问控制策略；

３）在公共服务联合中，服务使用方以自身身份使用资源，并不涉及用户身份认证和请求用户授权的过程，服务提供方仅需对服务使用方身份进行认证即可，授权采用ＯＡｕｔｈ２．０授权模式中的客户端模式（ｃｌｉｅｎｔｃｒｅｄｅｎｔｉａｌｓ）三

基于ＯＡｕｔｈ２．０和ＯＩＤＣ的用户认证授权过程受ＴＬＳ的保护，能确保认证授权过程的安全三用于身份认证的ＩＤＴｏｋｅｎ使用了ＪＷＳ（ＪＳＯＮｗｅｂｓｉｇｎａ?ｔｕｒｅ）来确保信息的完整性和可认证性，并且可采用ＪＷＥ（ＪＳＯＮｗｅｂｅｎｃｒｙｐｔｉｏｎ）加密以获得机密性保证三包含授权信息的ＡｃｃｅｓｓＴｏｋｅｎ由授权服务器（ａｕ?ｔｈｏｒｉｚａｔｉｏｎｓｅｒｖｅｒ，ＡＳ）定义，通过数字签名机制确保无法篡改和伪造三

２．１一跨域服务联合

ＶＯ跨域服务联合场景中，首次进行跨域服务调用或后续服务调用时已有授权失效（授权过期或用户取消授权）的情况下，都需要用户进行身份认证后对服务请求方所请求资源／服务的访问进行授权三在用户通过身份认证并进行授权后，授权信息以ＡｃｃｅｓｓＴｏｋｅｎ形式返回给服务请求方三服务请求方在之后进行的服务调用请求中，携带该ＡｃｃｅｓｓＴｏｋｅｎ作为服务使用的的授权凭证三服务提供方则首先对请求信息中的ＡｃｃｅｓｓＴｏｋｅｎ进行有效性认证，在确认其完整性二有效性且授权涵盖本次服务请求后，再向服务请求方提供服务三

在图１展示的跨域服务联合场景中，直接面向用户的服务Ａ１需要使用外域服务以完成业务逻辑三由于业务流程分散在Ａ二Ｂ二Ｃ三个域中，为统一用户管理，需要协商使用同一个ＯＰ／ＩＤＰ（Ａ二Ｂ二Ｃ三个域的ＩＤＰ之一或第三方ＩＤＰ）提供的身份认证服务，本文以选择第三方ＩＤＰ为例进行描述三

以ＯＩＤＣ及ＯＡｕｔｈ２．０的认证授权为基础动态建立的虚拟组织中各成员之间是松散耦合的三各ＶＯ成员独立提供授权服务（ＡｕｔｈｅｎｔｉｃａｔｉｏｎＳｅｒｖｉｃｅ）二业务服务，并根据需求可选地提供ＯｐｅｎＩＤ服务三

跨域服务联合建立的前提是根据服务调用产生基于注册的关联关系三此场景中，由业务逻辑产生的跨域服务调用有＜Ａ１，Ｂ１＞二＜Ａ２，Ｃ１＞和＜Ｂ１，Ａ３＞，此外Ａ二Ｂ二Ｃ均使用了外域（第三方ＩＤＰ）提供的ＯｐｅｎＩＤ服务，共计六个服务调用，亦即需要相应的六次注册以完成服务联合的建立三服务调用的注册过程与ＯＡｕｔｈ２．０协议一致，服务使用方向服务提供方提供该跨域服务调用的回调地址并获得自身标识及认证凭据三

用户首次使用服务Ａ１时，认证与授权流程如图２所示

三

图２一跨域服务联合流程

Ｆｉｇ．２一Ｄａｔａｆｌｏｗｏｆｃｒｏｓｓ?ｄｏｍａｉｎｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎ１）用户首次访问Ａ域的服务Ａ１，且无法提供有效的身份信息，Ａ１根据协商结果引导用户前往第三方ＩＤＰ处进行身份认证并同时携带所需的用户身份信息请求；

２）第三方ＩＤＰ首先对用户身份进行合法性认证，认证成功后，引导用户对Ａ１所请求的用户自身身份信息进行访问授权并根据用户的授权分发授权码（ａｕｔｈｏｒｉｚａｔｉｏｎｃｏｄｅ）给Ａ１三Ａ１通过此授权码从第三方ＩＤＰ处换取用户身份标识令牌（ＩＤＴｏｋｅｎ）和访问令牌（ＡｃｃｅｓｓＴｏｋｅｎ），此访问令牌可用于从ＩＤＰ处获取用户授权访问的用户自身身份信息；３）Ａ１对服务Ａ２的调用属于同域服务调用，仅需在服务调用请求中携带从步骤２）获取的ＩＤＴｏ?ｋｅｎ即可，详细步骤参见２．２节；

４）Ａ２初次跨域调用Ｃ１时，并没有用户对服务Ｃ１的使用授权，需要向Ｃ１发送授权请求，请求内容为Ａ２需要以用户的身份在Ｃ１处使用的服务／资源；５）用户在Ｃ域并未进行登录认证，故Ｃ１需要引导用户前往第三方ＩＤＰ出进行认证操作并同时携带所需的用户身份信息请求；

６）由于步骤１）中用户已经在ＩＤＰ处认证过（短时间内，会话未失效），通过ＯＩＤＣ的会话管理功能［１０］，用户在此步骤将直接通过身份认证进入ＯＩＤＣ的用户身份信息授权流程，之后的流程与步骤２）类似，Ｃ１得到ＩＤＴｏｋｅｎ和授权用于访问用户身份信息的ＡｃｃｅｓｓＴｏｋｅｎ；

７）Ｃ１引导用户对Ａ２请求的资源进行访问授

四３４３１四

第１０期一一一一一一一一一一张祖国，等：智能制造虚拟组织的服务联合安全研究万方数据

权并根据用户授权分发授权码给Ａ２，Ａ２获得授权码并进一步从Ｃ１得到ＡｃｃｅｓｓＴｏｋｅｎ三Ａ２在之后代表该用户对Ｃ１的服务请求中携带该ＡｃｃｅｓｓＴｏｋｅｎ作为访问凭证；

８） １１）与步骤４） ７）类似；

１２）Ｂ１初次调用服务Ａ３，需要向Ａ３发送授权请求，请求内容为Ｂ１需要以用户的身份在Ａ３处使用的资源；

１３）此步骤中，用户已经在Ａ域通过身份认证，会话有效，故直接进入用户授权操作流程，其余流程与步骤７）类似三

以上流程涉及Ａ二Ｂ二Ｃ三个域对用户身份的认证和三次跨域服务调用，显式的授权操作需要进行三次（不含身份认证过程中用户对访问自身身份信息的授权），每次跨域服务调用对应一次授权过程；共三个域的身份认证需求仅需要用户在第三方ＩＤＰ处进行一次登录认证，实现了单点登录三

单点登录功能基于ＯＩＤＣ协议的会话管理扩展部分，通过特定方法让Ａ二Ｂ二Ｃ三个域共享了第三方ＯＰ／ＩＤＰ的认证会话，从而可以使ＶＯ跨域服务联合实现单点登录和联合退出三

ＯＡｕｔｈ２．０协议特有的与用户交互二由用户显式对特定资源访问进行授权的过程使得基于该协议的跨域资源／服务访问控制十分灵活，是细粒度的二用户可知可控的，并可随时增加二修改和撤销授权三２．２一同域服务联合

同域环境中各服务间的彼此调用协作也可视为服务联合的一种，由于各服务处于同一个信任域／安全域，服务联合的建立与访问控制都可根据本地策略灵活进行，本节仅对同域环境中基于ＯＩＤＣ的各服务身份认证方案进行描述三

即使处于同一个信任域，各服务同样可能具有互不相同的底层安全基础设施，且同域的特殊条件使得一致的身份验证策略和可靠的身份验证框架十分必要三耶鲁大学提出的ＣＡＳ（ｃｅｎｔｒａｌａｕｔｈｅｎｔｉｃａ?ｔｉｏｎｓｅｒｖｉｃｅ）是解决此问题的经典协议三以下针对内部实现有ＩＤＰ的企业和组织给出了基于ＯＩＤＣ的解决方法三

图３展示了同域服务联合的典型场景，用户在使用服务Ｃ２时，Ｃ３二Ｃ４由于间接被调用而需要验证用户身份三引入２．１节的基于ＯＩＤＣ会话管理无疑可以解决问题，但基于同一安全域中各服务间基本的信任关系可以更简便地传递可验证的用户身份信息三域Ｃ使用本域中的ＯＰ／ＩＤＰ进行用户的统一认证，用户首次访问Ｃ２服务时，Ｃ２引导用户前往本域的ＯＤＰ处进行身份认证，在成功通过身份认证后获得ＩＤＴｏ?ｋｅｎ；Ｃ２在之后请求Ｃ３二Ｃ４服务时携带该ＩＤＴｏｋｅｎ作为可认证用户身份标识；Ｃ３二Ｃ４接收到ＩＤＴｏｋｅｎ后，通过ＩＤＴｏｋｅｎ信息及其有效性验证结果即可获知用户身份及用户通过了身份认证这一事实三该方法通过使用ＩＤＰ统一了同域身份认证，并借助ＩＤＴｏｋｅｎ在同域服务之间传递了用户身份认证信息，该信息可验证（无法伪造）三值得注意的是，该方法以同域服务不会泄露ＩＤＴｏｋｅｎ这一假设为安全基础

三

图３一同域服务联合流程

Ｆｉｇ．３一Ｄａｔａｆｌｏｗｏｆｓｈａｒｅｄｄｏｍａｉｎｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎ２．３一公共服务联合

跨域条件下的公共服务联合由于没有用户这一角色的参与，故不存在单点登录和联合退出问题，授权流程为ＯＡｕｔｈ２．０协议授权模式的客户端模式三如图４所示，Ａ域的服务Ａ４需要使用Ｂ域的公共服务Ｂ２三服务联合建立时，Ａ４在Ｂ２处注册并得到自身身份标识与认证凭据，典型地，此处的凭据为一个公私钥对，私钥Ａ４持有，公钥由Ｂ２保存三Ａ４在需要使用Ｂ２服务时，针对待访问资源／服务发起授权请求，并在请求中携带私钥对该请求的数字签名；Ｂ２收到授权请求并成功验证签名信息后，分发Ａｃ?ｃｅｓｓＴｏｋｅｎ给Ａ４作为授权结果；Ａ４通过在之后的请求中携带该ＡｃｃｅｓｓＴｏｋｅｎ来使用Ｂ２提供的服务

三

图４一同域服务联合流程

Ｆｉｇ．４一Ｄａｔａｆｌｏｗｏｆｓｈａｒｅｄｄｏｍａｉｎｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎ３一一个智能制造社会化协同案例船舶与海洋装备制造是高端制造业的典型代表，具有整体长周期二单件少批量二离散制造与局部流程制造的混合形态特征三智能制造的全制造服务周期［１１］涵盖了从研发设计到运维服务的全过程三在船舶与海洋装备的制造过程中，服务环节众多，其流程如图５所示三

海洋装备制造流程中的各服务环节由多个企业

四４４３１四哈一尔一滨一工一程一大一学一学一报一一一一一一一一一一一一一一第３７卷万方数据

提供，参与制造流程的不同企业构成临时服务于某个项目任务的ＶＯ三装备制造流程主要包括设计服务二总装服务和制造分包服务，其社会化协作的趋势是：提供总体设计ＣＡＤ（ｃｏｍｐｕｔｅｒ?ａｉｄｅｄｄｅｓｉｇｎ）二工艺设计ＣＡＰＰ（ｃｏｍｐｕｔｅｒ?ａｉｄｅｄｐｒｏｃｅｓｓｐｌａｎｎｉｎｇ）服务的各个企业之间联合构成独立的ＶＯ共享彼此的设计智慧；提供分段制造与配套装备服务的不同企业在总装集成企业的任务驱动下依据工艺设计交付相应的配套中间产品三在总装制造环节和分段制造环节中，企业资源计划ＥＲＰ（ｅｎｔｅｒｐｒｉｓｅｒｅｓｏｕｒｃｅｐｌａｎ?ｎｉｎｇ）二产品生命周期管理ＰＬＭ（ｐｒｏｄｕｃｔｌｉｆｅｃｙｃｌｅｍａｎａｇｅｍｅｎｔ）二供应链管理ＳＣＭ（ｓｕｐｐｌｙｃｈａｉｎｍａｎ?ａｇｅｍｅｎｔ）二客户关系管理ＣＲＭ（ｃｕｓｔｏｍｅｒｒｅｌａｔｉｏｎｓｈｉｐｍａｎａｇｅｍｅｎｔ）二制造执行系统ＭＥＳ（ｍａｎｕｆａｃｔｕｒｉｎｇｅｘ?ｅｃｕｔｉｏｎｓｙｓｔｅｍ）二数控机床网络ＤＮＣ（ｄｉｓｔｒｉｂｕｔｅｄｎｕ?ｍｅｒｉｃａｌｃｏｎｔｒｏｌ）以及其他内部服务形成纵向紧耦合集成三

上述案例涉及的ＶＯ服务联合如图６所示

三

图５一海洋装备制造流程

Ｆｉｇ．５一Ｍａｎｕｆａｃｔｕｒｉｎｇｆｌｏｗｆｏｒｏｆｆｓｈｏｒｅ

ｅｑｕｉｐｍｅｎｔ

图６一船舶与海洋装备制造的ＶＯ服务联合

Ｆｉｇ．６一Ｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎｉｎｏｆｆｓｈｏｒｅｅｑｕｉｐｍｅｎｔｍａｎｕｆａｃｔｕｒｉｎｇ

位于域Ｇ的总装集成企业ＥＲＰ服务通过调用本域内ＰＬＭ二ＣＲＭ二ＳＣＭ及外域的ＣＡＤ二ＣＡＰＰ等服务驱动整个制造流程，对外提供船舶与海洋设备制造服务，用户（甲方）通过访问域Ｇ的服务来实时了解并操控制造流程三流程中的总体设计环节二工艺设计环节分别由域Ｂ提供的ＣＡＤ服务和域Ｆ提供

的ＣＡＰＰ服务负责三域Ｇ的ＥＲＰ服务根据设计结果，调用域Ｈ二Ｉ二Ｊ的ＭＥＳ服务完成部分分段制造与配套设备业务，再基于外域和本域（总装集成企业也可能负责部分中间产品的制造）的分段制造与配套产品进行最终的总装集成三

在图６所示的ＶＯ服务联合场景中，域Ｇ二Ｈ二Ｉ二Ｊ中都存在同域服务联合，比如域Ｈ中ＭＥＳ与ＤＮＣ服务通过彼此调用以对外提供分段制造与配套设备服务；跨域的服务联合更是普遍存在三

用户通过域Ｇ启动的ＶＯ服务联合装备制造流程及相应的服务联合类型描述如下，根据服务联合类型即可采用第２节给出的相应认证与授权方案三

１）域Ｇ的ＥＲＰ服务调用域Ｂ的ＣＡＤ设计服务，对应图中步骤１），属跨域服务联合，使用２．１节的跨域服务联合认证授权方案；

２）域Ｂ的ＣＡＤ服务调用域Ａ二Ｃ相同行业的ＣＡＤ服务，获取其相关设计经验，形成总体设计图纸，属于跨域服务联合；

３）域Ｆ的ＣＡＰＰ服务调用域Ｂ的ＣＡＤ服务获得总体设计图纸用于工艺设计服务本身，对应步骤２），属跨域服务联合；

４）域Ｆ的ＣＡＰＰ服务共享域Ｄ二Ｅ的工艺设计，形成工艺设计图纸，属于跨域服务联合；

５）域Ｇ的ＥＲＰ服务调用域Ｆ的ＣＡＰＰ服务获得工艺设计图纸，对应步骤３），属跨域服务联合；

６）域Ｇ的ＥＲＰ服务根据工艺设计图纸，调用自身的ＭＥＳ二ＤＮＣ等服务（同域服务联合）和域Ｈ二Ｉ二Ｊ的ＭＥＳ服务（对应步骤４），属跨域服务联合）实现装备的分段制造；

７）最后，域Ｇ根据分段制造的中间件完成设备的总装集成，提供给用户三

需要说明的是，出于避免重复劳动和降低成本的考虑，域Ｂ与同样提供ＣＡＤ服务的域Ａ二Ｃ以某种约定的机制组成独立的ＶＯ以实现复用设计文件，共享彼此经验二技术等智慧成果三这种相同行业构成的ＶＯ，通过跨域服务联合进行智慧成果或生产能力的分享是一种典型的社会化协作，避免了信息孤岛的出现和生产能力的局限，为ＶＯ成员带来了更大的价值回报三

４一结论

本文基于ＶＯ服务联合安全需求及ＯＡｕｔｈ２．０二

ＯｐｅｎＩＤＣｏｎｎｅｃｔ协议，设计了ＶＯ服务联合安全方案，详细描述了跨域服务联合二同域服务联合与公共服务联合的实现流程，并通过船舶与海洋装备制造的同域及跨域协同案例进行了具体应用过程说明三方案具有开放与实用的特点三

在此方案基础上还需要进一步研究是：

１）基于ＯｐｅｎＩＤＣｏｎｎｅｃｔ协议的认证过程获得

四

５４３１四第１０期一一一一一一一一一一张祖国，等：智能制造虚拟组织的服务联合安全研究万方数据

ＩＤＴｏｋｅｎ可能会直接或间接暴露用户身份相关的敏感信息三对ＶＯ服务联合中的ＯｐｅｎＩＤＰｒｏｖｉｄｅｒｓ而言，隐私保护（ｐｒｉｖａｃｙｐｒｏｔｅｃｔｉｏｎ）意味着不能在ＩＤＴｏｋｅｎ和ＡｃｃｅｓｓＴｏｋｅｎ中暴露用户ＩＤ及其他个人身份信息ＰＩＩ（ｐｅｒｓｏｎａｌｌｙｉｄｅｎｔｉｆｉａｂｌｅｉｎｆｏｒｍａｔｉｏｎ）三其提供的ＯｐｅｎＩＤ也应为ＰＰＩＤ（ｐａｉｒｗｉｓｅｐｓｅｕｄｏｎｙｍｏｕｓｉｄｅｎｔｉｆｉｅｒ），从而消除不同域获得的用户身份标识的关联三

２）在服务联合实现后，需要建立服务间的合理付费机制，有助于提高虚拟企业在智能制造协同中的制造服务分享动机三

参考文献：

［１］ＥＶＡＮＳＰＣ，ＡＮＮＵＮＺＩＡＴＡＭ．Ｉｎｄｕｓｔｒｉａｌｉｎｔｅｒｎｅｔ：ｐｕｓｈｉｎｇｔｈｅｂｏｕｎｄａｒｉｅｓｏｆｍｉｎｄｓａｎｄｍａｃｈｉｎｅｓ［ＥＢ／ＯＬ］．ＵＳＡ：ＧｅｎｅｒａｌＥｌｅｃｔｒｉｃＣｏｍｐａｎｙ，［２０１２－１１－２６］．ｈｔｔｐ：／／ｗｗｗ．ｇｅ．ｃｏｍ／ｄｏｃｓ／ｃｈａｐｔｅｒｓ／Ｉｎｄｕｓｔｒｉａｌ＿Ｉｎｔｅｒｎｅｔ．ｐｄｆ．［２］ＢＵＬＬＩＮＧＥＲＴＡ．Ｔｈｅｉｎｄｕｓｔｒｉａｌｉｎｔｅｒｎｅｔ［ＥＢ／ＯＬ］．ＵＳＡ：ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｕｎｃｉｌｏｎＳｙｓｔｅｍｓＥｎｇｉｎｅｅｒｉｎｇ，［２０１３－０５－１６］．ｈｔｔｐ：／／ｗｗｗ．ｉｎｃｏｓｅ．ｏｒｇ／ｆｌｃ／ｅｖｅｎｔｓ／Ｄｏｃｕｍｅｎｔａｔｉｏｎ／Ｉｎ?ｄｕｓｔｒｉａｌＩｎｔｅｒｎｅｔ．ｐｄｆ．

［３］ＫＡＧＥＲＭＡＮＮＨ，ＷＡＨＬＳＴＥＲＷ，ＨＥＬＢＩＧＪ．Ｒｅｃｏｍｍｅｎ?ｄａｔｉｏｎｓｆｏｒｉｍｐｌｅｍｅｎｔｉｎｇｔｈｅｓｔｒａｔｅｇｉｃｉｎｉｔｉａｔｉｖｅＩＮＤＵＳＴＲＩＥ４．０［ＥＢ／ＯＬ］．Ｇｅｒｍａｎ：ＮａｔｉｏｎａｌＡｃａｄｅｍｙｏｆＳｃｉｅｎｃｅａｎｄＥｎｇｉｎｅｅｒｉｎｇ，［２０１３－０４－１６］．ｈｔｔｐ：／／ｗｗｗ．ａｃａｔｅｃｈ．ｄｅ／ｆｉｌｅａｄｍｉｎ／ｕｓｅｒ＿ｕｐｌｏａｄ／Ｂａｕｍｓｔｒｕｋｔｕｒ＿ｎａｃｈ＿Ｗｅｂｓｉｔｅ／Ａｃａｔ?ｅｃｈ／ｒｏｏｔ／ｄｅ／Ｍａｔｅｒｉａｌ＿ｆｕｅｒ＿Ｓｏｎｄｅｒｓｅｉｔｅｎ／Ｉｎｄｕｓｔｒｉｅ＿４．０／Ｆｉ?ｎａｌ＿ｒｅｐｏｒｔ＿＿Ｉｎｄｕｓｔｒｉｅ＿４．０＿ａｃｃｅｓｓｉｂｌｅ．ｐｄｆ．

［４］ＯＡＳＩＳ．Ｓｅｃｕｒｉｔｙａｓｓｅｒｔｉｏｎｍａｒｋｕｐｌａｎｇｕａｇｅｓｐｅｃｉｆｉｃａｔｉｏｎｓ２．０［ＥＢ／ＯＬ］．ＵＳＡ：ＯｒｇａｎｉｚａｔｉｏｎｆｏｒｔｈｅＡｄｖａｎｃｅｍｅｎｔｏｆ

ＳｔｒｕｃｔｕｒｅｄＩｎｆｏｒｍａｔｉｏｎＳｔａｎｄａｒｄｓ．［２０１３－０５－２８］．ｈｔｔｐ：／／ｓａｍｌ．ｘｍｌ．ｏｒｇ／ｓａｍｌ－ｓｐｅｃｉｆｉｃａｔｉｏｎｓ．

［５］苏锐丹．电子政务安全工程若干关键技术研究［Ｄ］．西安：西安电子科技大学，２０１０．

ＳＵＲｕｉｄａｎ．Ｒｅｓｅａｒｃｈｏｎｋｅｙｔｅｃｈｎｏｌｏｇｉｅｓｏｆｅ?ｇｏｖｅｒｎｍｅｎｔｓｅｃｕｒｉｔｙｅｎｇｉｎｅｅｒｉｎｇ［Ｄ］．Ｘｉ?ａｎ：ＸｉｄｉａｎＵｎｉｖｅｒｓｉｔｙ，２０１０．［６］张祖国．基于社会化的协同智能制造系统研究［Ｄ］．北京：中国科学院大学，２０１６．ＺＨＡＮＧＺｕｇｕｏ．ＲｅｓｅａｒｃｈｏｎＳＮＳ?ｂａｓｅｄｃｏｌｌａｂｏｒａｔｉｖｅｉｎｔｅｌｌｉｇｅｎｔｍａｎｕｆａｃｔｕｒｉｎｇｓｙｓｔｅｍ［Ｄ］．Ｂｅｉｊｉｎｇ：ＴｈｅＵｎｉｖｅｒｓｉｔｙｏｆＣｈｉｎｅｓｅＡｃａｄｅｍｙｏｆＳｃｉ?ｅｎｃｅｓ，２０１６．

［７］ＨＡＲＤＴＤ．ＴｈｅＯＡｕｔｈ２．０ＡｕｔｈｏｒｉｚａｔｉｏｎＦｒａｍｅｗｏｒｋ［ＥＢ／ＯＬ］．［２０１２－１０－１２］．ｈｔｔｐ：／／ｔｏｏｌｓ．ｉｅｔｆ．ｏｒｇ／ｈｔｍｌ／ｒｆｃ６７４９．［８］ＪＯＮＥＳＭ，ＨＡＲＤＴＤ．ＴｈｅＯＡｕｔｈ２．０Ａｕｔｈｏｒｉｚａｔｉｏｎｆｒａｍｅ?ｗｏｒｋ：ｂｅａｒｅｒｔｏｋｅｎｕｓａｇｅ［ＥＢ／ＯＬ］．［２０１２－１０－１２］．ｈｔ?ｔｐ：／／ｔｏｏｌｓ．ｉｅｔｆ．ｏｒｇ／ｈｔｍｌ／ｒｆｃ６７５０．

［９］ＳＡＫＩＭＵＲＡＮ，ＢＲＡＤＬＥＹＪ，ＪＯＮＥＳＭ，ｅｔａｌ．ＯｐｅｎＩＤｃｏｎｎｅｃｔｃｏｒｅ１．０［ＥＢ／ＯＬ］．［２０１４－１１－２０］．ｈｔｔｐ：／／ｏｐｅｎｉｄ．ｎｅｔ／ｓｐｅｃｓ／ｏｐｅｎｉｄ?ｃｏｎｎｅｃｔ?ｃｏｒｅ?１＿０．ｈｔｍｌ．［１０］ＳＡＫＩＭＵＲＡＮ，ＢＲＡＤＬＥＹＪ，ＪＯＮＥＳＭ，ｅｔａｌ．ＯｐｅｎＩＤｃｏｎｎｅｃｔｄｉｓｃｏｖｅｒｙ１．０［ＥＢ／ＯＬ］．［２０１４－１１－２１］．ｈｔｔｐ：／／ｏｐｅｎｉｄ．ｎｅｔ／ｓｐｅｃｓ／ｏｐｅｎｉｄ?ｃｏｎｎｅｃｔ?ｄｉｓｃｏｖｅｒｙ?１＿０．ｈｔｍｌ．［１１］ＳＡＫＩＭＵＲＡＮ，ＢＲＡＤＬＥＹＪ，ＪＯＮＥＳＭ，ｅｔａｌ．ＯｐｅｎＩＤｃｏｎｎｅｃｔｓｅｓｓｉｏｎｍａｎａｇｅｍｅｎｔ１．０［ＥＢ／ＯＬ］．［２０１４－１１－２１］．ｈｔｔｐ：／／ｏｐｅｎｉｄ．ｎｅｔ／ｓｐｅｃｓ／ｏｐｅｎｉｄ?ｃｏｎｎｅｃｔ?ｓｅｓｓｉｏｎ?１＿０．ｈｔｍｌ．

［１２］马晨，陈雪波．基于包含原理的多智能体一致性协调控制［Ｊ］．智能系统学报，２０１４，９（４）：４６８－４７３．

ＭＡＣｈｅｎ，ＣＨＥＮＸｕｅｂｏ．Ｃｏｏｒｄｉｎａｔｅｄｃｏｎｔｒｏｌｏｆｔｈｅｃｏｎ?ｓｅｎｓｕｓｏｆａｍｕｌｔｉ?ａｇｅｎｔｓｙｓｔｅｍｂａｓｅｄｏｎｔｈｅｉｎｃｌｕｓｉｏｎｐｒｉｎ?ｃｉｐｌｅ［Ｊ］．ＣＡＡＩｔｒａｎｓａｃｔｉｏｎｓｏｎｉｎｔｅｌｌｉｇｅｎｔｓｙｓｔｅｍｓ，２０１４，９（４）：４６８－４７３．

本文引用格式：

张祖国，苏锐丹．智能制造虚拟组织的服务联合安全研究［Ｊ］．哈尔滨工程大学学报，２０１６，３７（１０）：１３４１－１３４６．

ＺＨＡＮＧＺｕｇｕｏ，ＳＵＲｕｉｄａｎ．Ｒｅｓｅａｒｃｈｏｎｓｅｒｖｉｃｅｆｅｄｅｒａｔｉｏｎｓｅｃｕｒｉｔｙｏｆａｖｉｒｔｕａｌｏｒｇａｎｉｚａｔｉｏｎｆｏｒｉｎｔｅｌｌｉｇｅｎｔｍａｎｕｆａｃｔｕｒｉｎｇ［Ｊ］．ＪｏｕｒｎａｌｏｆＨａｒｂｉｎＥｎｇｉｎｅｅｒ?ｉｎｇＵｎｉｖｅｒｓｉｔｙ，２０１６，３７（１０）：１３４１－１３４６．

四６４３１四哈一尔一滨一工一程一大一学一学一报一一一一一一一一一一一一一一第３７卷万方数据