(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111532895.X (22)申请日 2021.12.15 (71)申请人 四川启睿 克科技有限公司 地址 610000 四川省成 都市中国 （四川） 自 由贸易试验区成都高新区天府四街 199号1栋33层 (72)发明人 石娜　唐博　黄德俊　范静雯　 (74)专利代理 机构 成都虹桥专利事务所(普通 合伙) 51124 代理人 吴中伟 (51)Int.Cl. H04L 9/40(2022.01) H04L 67/12(2022.01) G06F 16/27(2019.01) (54)发明名称 物联网数据分布式使用控制系统及方法 (57)摘要 本发明涉及信息安全技术领域， 为了解决数 据使用过程中的安全问题， 提供了物联网数据分 布式使用控制系统， 包括： 物联网设备模块， 数据 托管模块， 使用主体， 用户代理模块， 区块链服务 模块， 可信使用环境。 物联网数据分布式使用控 制方法， 包括： 步骤1、 身份认证： 对使用主体进行 身份认证； 步骤2、 授权： 用户通过用户代理模块 设置/定义使用规则； 步骤3、 决策评估： 使用主体 发起数据使用请求， 区块链服务模块提供分布式 策略决策点， 当分布式策略决策结果为允许使用 时， 使用主体在可信使用环境中使用用户数据。 采用上述结构实现了共享数据的整个使用过程 对用户持续可控可见， 提高了数据的使用安全 性。 权利要求书1页 说明书4页 附图2页 CN 114257435 A 2022.03.29 CN 114257435 A 1.物联网数据分布式使用控制系统， 其特 征在于， 包括： 物联网设备模块： 用于采集用户数据并加密上传至数据托管模块存 储； 数据托管模块： 用于用户数据存储， 并在使用主体被允许使用用户数据时， 将加密的用 户数据传输 到可信使用环境中； 使用主体： 用于发起数据使用请求， 当数据使用请求符合要求时在可信使用环境中解 密并使用 用户数据； 用户代理模块： 用于供用户通过 该模块执 行授权操作， 与区块链服 务模块进行交 互； 区块链服务模块： 用于提供分布式策略决策点， 具体为通过评估使用主体发起的数据 使用请求， 判断是否通知数据托管模块将数据传输到可信使用环境， 并允许使用主体在可 信使用环境中使用这些 数据； 可信使用环境： 用于接收、 存储数据托管模块传输的加密用户数据， 为使用主体提供可 信的使用环境。 2.根据权利要求1所述的物联网数据分布式使用控制系统， 其特征在于， 所述可信使用 环境具体为可信执 行环境TE E。 3.根据权利要求1或2所述的物联网数据分布式使用控制系统， 其特征在于， 所述区块 链服务模块还负责记录用户数据在可信使用环境中的使用情况， 并通知用户。 4.根据权利要求1或2所述的物联网数据分布式使用控制系统， 其特征在于， 所述使用 主体为物联网应用。 5.物联网数据分布式使用控制方法， 其特 征在于， 包括： 步骤1、 身份认证： 对使用主体进行身份认证； 步骤2、 授权： 用户通过用户代理模块设置 /定义使用规则； 步骤3、 决策评估： 使用主体发起数据使用请求， 区块链服务模块提供分布式策略决策 点， 当分布式策略决策 结果为允许使用时， 使用主体在可信使用环境中使用 用户数据。 6.根据权利要求5所述的物联网数据分布式使用控制方法， 其特征在于， 所述步骤3 中， 区块链服 务模块提供分布式策略决策服 务具体包括： 步骤31、 将用户设置 /定义的使用规则解析翻译为智能合约并发布到链上存 储； 步骤32、 当接收到使用主体发起的数据使用请求后， 执 行智能合约以完成评估； 步骤33、 当评估结果为允许使用时， 通知数据托管模块将数据传输到可信使用环境， 并 允许使用主体在可信使用环境中使用这些 数据， 同时将此 过程记录上链； 步骤34、 在可信使用环境中， 执行智能合约以验证使用主体是否按规则使用数据， 并将 该过程记录上链。 7.根据权利要求6所述的物联网数据分布式使用控制方法， 其特征在于， 还包括步骤 35、 使用评估并生成信誉值。 8.根据权利要求5 ‑7任意一项所述的物联网数据分布式使用控制方法， 其特征在于， 还 包括步骤4、 可信通知： 将数据使用情况及时通知用户。权　利　要　求　书 1/1 页 2 CN 114257435 A 2物联网数据分布式使用控制系统及方 法 技术领域 [0001]本发明涉及信息安全技术领域， 具体是一种物联网数据分布式使用控制系统及方 法。 背景技术 [0002]目前行业内对物联网数据的使用基本通过访问控制安全技术(如， 基于角色的访 问控制(Role ‑BasedAccess  Control， RBAC)、 基于属性的访问控制(Attributed ‑ BasedAccess  Control， ABAC)、 基于功能的访问控制(Capability ‑BasedAccess  Control， CapBAC)等)。 具体是指， 通过一定方式(如， 契约、 规则等)授予访问主体(如， 用户角色、 用户 属性、 应用系统等)对访问客体(如物联网数据等物联网设备资源)的操作权限(如， 可读、 可 写、 可操作等)。 此类技术方案， 物联网数据需在各自设备平台处进 行统一存储与管理， 这要 求用户必须信任和依赖设备平台提供 的数据存储服务和访问管理服务。 同时， 访问控制安 全技术仅能实现对主体向客体发起访问瞬间的决策评估， 无法解决访问过程中属性变化问 题和持续控制问题。 发明内容 [0003]为了解决数据使用过程中的安全问题， 本发明提供了一种物联网数据分布式使用 控制系统及方法。 [0004]本发明解决上述问题所采用的技 术方案是： [0005]物联网数据分布式使用控制系统， 包括： [0006]物联网设备模块： 用于采集用户数据并加密上传至数据托管模块存 储； [0007]数据托管模块： 用于用户数据 存储， 并在使用主体被允许使用用户数据时， 将加密 的用户数据传输 到可信使用环境中； [0008]使用主体： 用于发起数据使用请求， 当数据使用请求符合要求时在可信使用环境 中解密并使用 用户数据； [0009]用户代理模块： 用于供用户通过该模块执行授权操作， 与区块链服务模块进行交 互； [0010]区块链服务模块： 用于提供分布式策略决策点， 具体为通过评估使用主体发起的 数据使用请求， 判断是否通知数据托管模块将数据传输到可信使用环境， 并允许使用主体 在可信使用环境中使用这些 数据； [0011]可信使用环境： 用于接收、 存储数据托管模块传输的加密用户数据， 为使用主体提 供可信的使用环境。 [0012]进一步地， 所述可信使用环境具体为可信执 行环境TE E。 [0013]进一步地， 所述区块链服务模块还负责记录用户数据在可信使用环境中的使用情 况， 并通知用户。 [0014]进一步地， 所述使用主体为物联网应用。说　明　书 1/4 页 3 CN 114257435 A 3