📚 课程目录第1章课程导入

1. 课程导入

在机器人系统中，节点是功能的最小执行单元：感知节点发布点云与图像，定位节点输出位姿，规划节点下发轨迹，控制节点驱动关节，诊断节点采集温度与电流。随着机器人从单机走向多机协同、从封闭工控网络走向云端运维，节点之间的通信不再天然可信。任何一个节点被冒用、篡改或越权调用，都可能让机械臂执行危险动作，或让移动底盘驶入禁区。因此，节点权限与访问控制不是附加的安全补丁，而是机器人软件架构中必须前置设计的信任基础设施。

本课程的核心目标：让学习者能够为机器人节点建立“身份可验证、权限可最小化、行为可审计、异常可阻断”的访问控制体系，并能把该体系落地到 ROS 2、DDS 安全插件、服务网格与云端网关等真实工程环境中。

一、核心概念：从“谁能通信”到“能做什么”

机器人节点权限与访问控制，讨论的是节点在通信与调用过程中被授予的身份与能力边界。它包含四个层层递进的概念：

身份认证（Authentication）：确认“你是哪个节点”。常用手段包括 X.509 证书、DDS 安全身份、Token 与密钥对。没有身份，权限就无从附着。
授权（Authorization）：确认“你能做什么”。例如允许 /camera_node 发布 /image_raw，但禁止它调用 /emergency_stop 服务。
访问控制策略（Policy）：把授权规则形式化，常见模型有 ACL、RBAC（基于角色）、ABAC（基于属性）以及面向机器人场景的能力令牌。
审计与阻断（Audit & Enforcement）：记录谁在何时访问了什么，并在越权发生时实时拒绝或隔离。

需要特别区分两个容易混淆的层面：通信安全解决数据在链路上是否加密、是否被篡改；访问控制解决节点是否有权发起该通信或调用。二者互补，但目标不同。一个节点可以拥有加密通道，却仍然越权发布控制指令。

二、整体框架：四层信任模型

为了把零散的权限规则组织成可维护的体系，本课程采用四层信任模型。下图展示了从硬件根信任到应用策略的纵向关系，以及节点、策略执行点与审计中心之间的横向连接。

四层模型的关键在于：上层策略必须依赖下层身份，下层身份必须依赖硬件根信任。如果节点证书可以随意复制，那么再精细的 RBAC 规则也会被绕过。因此，工程落地时通常先建立证书签发与轮换机制，再定义策略，最后接入审计与告警。

三、方法流程：从资产梳理到策略上线

一个可复用的访问控制落地流程如下：

资产与通信梳理：列出所有节点、话题、服务、动作与参数，标注发布者、订阅者与调用者。
风险分级：把控制类、安全类、诊断类接口标记为高敏感，感知与日志类标记为中低敏感。
角色建模：按功能划分角色，如 sensor_role、planner_role、operator_role、maintenance_role。
策略编写：为角色绑定允许的发布、订阅、调用与参数读写规则，默认拒绝。
策略执行与验证：在 DDS 安全插件或网关中加载策略，用越权测试用例验证拒绝行为。
审计与迭代：采集访问日志，定期复核权限是否最小化，及时吊销离职或下线节点。

下面是一段 ROS 2 中启用 DDS 安全与权限文件的典型配置片段，用于说明策略如何与节点绑定：

<dds>
  <profiles>
    <participant profile_name="secure_participant">
      <rtps>
        <security>
          <identity_ca>file://certs/ca.pem</identity_ca>
          <certificate>file://certs/planner_node.pem</certificate>
          <private_key>file://certs/planner_node.key</private_key>
          <permissions_ca>file://certs/permissions_ca.pem</permissions_ca>
          <governance>file://policies/governance.xml</governance>
          <permissions>file://policies/planner_permissions.xml</permissions>
        </security>
      </rtps>
    </participant>
  </profiles>
</dds>

其中 governance.xml 决定是否强制加密与认证，planner_permissions.xml 决定该节点能访问哪些话题与服务。两者分离，便于统一治理与按节点授权。

四、行业应用概览与常见误区

在工业机械臂、移动机器人、无人机与医疗机器人中，访问控制的需求侧重点不同。下表给出典型场景与关键控制点：

行业场景	高敏感接口	推荐控制模型	关键风险
工业机械臂	关节控制、急停、模式切换	RBAC + 方法级白名单	越权下发轨迹导致碰撞
移动机器人	速度指令、导航目标、禁区参数	ABAC + 地理围栏属性	伪造目标点驶入危险区
无人机集群	航点、返航、固件升级	能力令牌 + 短期证书	节点被劫持后横向扩散
医疗机器人	力反馈、剂量、手术模式	强认证 + 双人授权	未授权操作危及患者

常见误区一：把“网络隔离”当成访问控制。隔离能减少暴露面，但无法阻止已进入内网的节点越权调用。误区二：权限一次配置后长期不变。节点版本升级、话题改名、人员变动都会让旧策略失效或过宽。误区三：只做认证不做授权。证书只能证明身份，不能限制行为。

学习建议：先在自己的机器人工程中画出节点通信图，标出三个最危险的接口，再尝试为它们写出“默认拒绝”的权限规则。这个练习比记忆概念更能建立安全直觉。

本课程后续将围绕身份体系、策略语言、DDS 安全、网关鉴权、审计与攻防验证逐步展开。掌握本章的四层模型与落地流程，是理解后续所有权限机制的基础。