(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210525522.8 (22)申请日 2022.05.16 (71)申请人 中国信息通信研究院 地址 100191 北京市海淀区学院路40号 (72)发明人 谢滨　田娟　刘阳　朱斯语　 程彤彤　 (74)专利代理 机构 北京思源智汇知识产权代理 有限公司 1 1657 专利代理师 杜毅 (51)Int.Cl. H04L 9/32(2006.01) H04L 9/40(2022.01) H04L 67/125(2022.01) (54)发明名称 基于数据交换中间件工业互联网访问控制 方法和可读介质 (57)摘要 本发明实施例公开了一种基于数据交换中 间件工业互联网访问控制方法和可读介质， 其 中， 所述数据交换中间件接收来自发起者 （1） 的 访问请求， 根据固定交互模式对来自不同代理方 式的访问请求进行一致化处理获得决策请求； 所 述数据交换中间件依据访问控制策略与访问控 制属性完成决策评估， 发送最终决策结果； 所述 数据交换中间件根据所述最终决策结果拒绝或 允许发起者对目标的访问。 本发 明实施例通过将 多种访问控制策略与多种访问控制属性相结合 完成决策评估对 数据滥用、 隐私泄露等威胁提供 安全防护。 权利要求书2页 说明书10页 附图3页 CN 114726547 A 2022.07.08 CN 114726547 A 1.一种基于数据交换中间件工业互联网访 问控制方法， 所述数据交换中间件 （2） 包括 访问控制实施模块 （21） 、 访问控制决策模块 （22） 、 访问控制策略应答模块 （23） 、 访问控制属 性应答模块 （24） ； 其特征在于， 包括： 所述访问控制实施模块 （21） 接收来自发起者 （1） 的访问请求， 根据固定交互模式对来 自不同代理方式的所述发起者 （1） 的访问请求进行一致化处理获得决策请求， 并向所述访 问控制决策模块 （2 2） 发送所述决策请求； 所述访问控制决策模块 （22） 根据获取的所述决策请求为参数， 向所述访问控制策略应 答模块 （23） 发出策 略查询请求； 所述访问控制策 略应答模块 （23） 检索适用策 略后， 向所述 访问控制决策模块 （2 2） 返回包括访问控制策略的访问控制策略消息； 所述访问控制决策模块 （22） 对返回所述访问控制策略进行评估； 当在评估过程中发现 缺乏访问目标的属性时， 向所述访问控制属性应答模块 （24） 发出属性查询请求； 所述访问 控制属性应答模块 （2 4） 查询并验证属性 发布点存储在本地数据库中的属性信息， 生 成包括 访问控制属性的访问控制属性消息返回至所述访问控制决策模块 （2 2） ； 当所述访问控制属性应答模块 （24） 查询的属性是外部安全域中的属性， 则向外部安全 域的外域访问控制属性应答模块 （4） 进 行查询， 以获得外部安全域中的访问控制属性， 并通 过属性映射关系确定属性的可信性﹐生成访问控制属性消息返回至所述访问控制决策模块 （22） ； 所述访问控制决策模块 （22） 依据所述访问控制策略与所述访问控制属性完成决策评 估， 向所述访问控制实施模块 （21） 发送最终决策 结果； 所述访问控制实施模块 （21） 根据返回的所述最终决策结果拒绝或允许发起者对目标 的访问。 2.权利要求1中所述的方法， 其特征在于， 所述访问控制实施模块 （21） 能够收集发起者 辅助性信息； 所述访问控制决策模块 （22） 进一步包括， 依据所述发起者 （1） 辅助性信息、 所述访问控 制策略与所述访问控制属性完成决策评估， 向所述访问控制实施模块 （21） 发送最 终决策结 果。 3.权利要求1或2中所述的方法， 其特征在于， 所述访问控制决策模块 （22） 进一步包括 访问控制决策， 所述访问控制决策进一 步包括： 开 放式策略、 或保守式策略； 其中， 所述开放式策略的决策逻辑为， 如果没有提供显式策略明确禁止访 问行为， 则认为允 许访问进行； 所述保守式策略的决策逻辑为， 如果没有提供显式策略明确允许访 问行为， 则认为禁 止访问进行。 4.权利要求3中所述的方法， 其特 征在于， 所述访问控制决策模块 （22） 在多条访问控制策略同时给出明确决策结果且所述决策 结果之间存在冲突， 指定冲突消解策略； 所述冲突消解策略包括:肯定判定优先、 否 定判定优先、 首次判定优先任一项。权　利　要　求　书 1/2 页 2 CN 114726547 A 25.权利要求 4中所述的方法， 其特 征在于， 所述访问控制策略应答模块 （23） 中存 储的策略具体包括： 所述发起 者 （1） 设置的白名单和黑名单； 访问目标 （3） 设置的白名单和黑名单。 6.权利要求5中所述的方法， 其特 征在于， 所述访问目标 （3） 的属性具体包括： 主体标识、 主体类型或名称、 主体属性值、 主体地域、 主体制造商、 主体使用商、 主体属 性信息摘要的签名。 7.权利要求6中所述的方法， 其特 征在于， 所述主体属性信息摘要的计算方式包括： 主体属性信息摘要= HASH256 （a1 || a2 || a3） and HASH256(b1 || b2 || b3)； 其中HASH256为哈希256算法， a1为主体标识， a2为主体类型编码或名称编码， a3为主体 属性值， b1为主体地域编码， b2为主体制造商编码， b3为主体使用商编码， ||为连接符号， and代表按位与运 算。 8.权利要求6中所述的方法， 其特征在于， 所述访问控制决策模块 （22） 依据所述访问控 制策略与所述访问控制属性完成决策评估具体包括： 根据所述发起者 （1） 设置的白名单和黑名单确定所述发起者 （1） 是否允许访问所述访 问目标 （3） ； 根据所述访问目标 （3） 设置的白名单和黑名单确定所述发起者 （1） 是否允许访问所述 访问目标 （3） ； 根据所述访问控制属性确定所述访问目标 （3） 是否允许访问； 根据所述访问控制决策决定所述访问目标 （3） 是否允许访问。 9.权利要求6中所述的方法， 其特征在于， 所述访问控制决策模块 （22） 依据所述发起者 辅助性信息、 所述访问控制策略与所述访问控制属性完成决策评估具体包括： 根据所述发起 者辅助性信息确定所述发起 者 （1） 是否有权允许访问所述访问目标 （3） ； 根据所述发起者 （1） 设置的白名单和黑名单确定所述发起者 （1） 是否允许访问所述访 问目标 （3） ； 根据所述访问目标 （3） 设置的白名单和黑名单确定所述发起者 （1） 是否允许访问所述 访问目标 （3） ； 根据所述访问控制属性确定所述访问目标 （3） 是否允许访问； 根据所述访问控制决策决定所述访问目标 （3） 是否允许访问。 10.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 该计算机程序被 处理器执行时， 实现上述权利要求1 ‑9任一所述的方法。权　利　要　求　书 2/2 页 3 CN 114726547 A 3