2. 机器人系统架构基础
要理解机器人节点权限与访问控制，必须先看清机器人系统本身的组成方式。机器人并不是一个“大程序”，而是由多个功能节点通过通信总线协作运行的分布式系统。每个节点承担特定职责，节点之间通过消息、服务或共享参数交互。权限控制的对象正是这些节点及其通信行为，因此本节先建立系统架构的整体认知。
一、核心组成：五类角色与一条总线
典型的机器人系统可以抽象为五类角色，它们围绕通信总线形成交互闭环：
- 节点（Node）：最小的功能执行单元，例如激光雷达驱动节点、定位节点、路径规划节点、电机控制节点。节点是权限授予与访问控制的基本主体。
- 控制器（Controller）：负责决策与协调，通常运行规划、状态机或行为树，向下发指令、向上汇总状态，是数据流的中枢。
- 传感器（Sensor）：产生感知数据，如激光雷达、深度相机、IMU、编码器、力/力矩传感器，是数据流的源头。
- 执行器（Actuator）：消费指令并作用于物理世界，如电机、舵机、夹爪、气泵，是控制流的终点。
- 通信总线（Bus）：承载节点间数据交换，如 ROS 2 的 DDS 主题、CAN 总线、EtherCAT、串口或以太网，是权限策略真正生效的通道。
这五类角色并非一一对应到进程：一个控制器可能由多个节点组成，一个传感器节点也可能同时发布多种数据。理解这一点，才能在设计访问控制时准确划分“谁可以访问什么”。
二、交互关系：数据流与控制流
系统运行时存在两条主要路径。第一条是数据流：传感器节点采集原始数据，经总线发布到主题，控制器订阅后完成融合、定位与决策。第二条是控制流：控制器根据决策结果发布速度、位置或力矩指令，执行器节点订阅并驱动硬件动作。两条路径在总线上交汇，形成“感知—决策—执行—反馈”的闭环。
从访问控制视角看，这两条路径对应不同的权限需求：传感器节点通常只需要“发布”权限，控制器需要“订阅感知 + 发布指令”，执行器只需要“订阅指令”。如果给执行器开放发布权限，就可能被恶意节点伪造指令；如果给传感器开放订阅控制主题的权限，则可能窃听控制策略。因此，权限设计必须与数据流方向严格对应。
三、方法流程：从架构到权限映射
将系统架构转化为可执行的权限模型，通常遵循以下流程：
- 节点清点：列出所有运行节点及其可执行文件、启动参数和所属功能包。
- 接口梳理：记录每个节点发布/订阅的主题、调用的服务、读写的参数。
- 角色归类：按传感器、控制器、执行器、监控、调试等角色分组。
- 权限映射：为每个角色定义允许的读写集合，形成策略文件。
- 总线验证：在通信层验证策略是否生效，观察越权访问是否被拒绝。
权限映射的核心原则：最小权限。节点只应拥有完成其功能所必需的最小接口集合，任何额外权限都应被视为风险面。
四、案例场景：移动机器人底盘控制
以一台差速移动机器人为例，系统包含激光雷达节点、IMU 节点、定位节点、路径规划节点和底盘驱动节点。其接口与权限需求如下表所示：
| 节点 | 角色 | 发布主题 | 订阅主题 | 权限要点 |
|---|---|---|---|---|
| lidar_driver | 传感器 | /scan | — | 仅允许发布，禁止订阅控制主题 |
| imu_driver | 传感器 | /imu/data | — | 仅允许发布，限制发布频率 |
| localization | 控制器 | /pose | /scan, /imu/data | 可读感知，可写位姿 |
| planner | 控制器 | /cmd_vel | /pose, /map | 可读位姿与地图，可写速度指令 |
| base_driver | 执行器 | /odom | /cmd_vel | 仅订阅速度指令，回传里程计 |
在这个案例中，如果 planner 节点被替换为恶意程序，它最多只能发布 /cmd_vel，无法直接读取原始激光数据或篡改定位结果。这就是架构分层与权限映射共同带来的隔离效果。
五、常见误区与复盘
误区一：把总线当作可信通道。 通信总线本身不区分节点身份，任何接入总线的进程都可能收发消息。权限控制必须在节点身份认证和接口授权层面完成，而不是依赖总线“默认安全”。
误区二：权限配置与架构脱节。 如果权限策略没有跟随节点接口变化更新，就会出现“旧权限仍开放、新接口未授权”的漏洞。每次架构调整后都应重新梳理接口清单。
误区三：只控制发布、不控制订阅。 订阅同样是一种访问行为，窃听感知数据或控制指令可能泄露隐私、暴露策略，甚至被用于重放攻击。
复盘时可以用一句话检验架构与权限是否对齐：每个节点的权限集合，是否恰好等于它在数据流和控制流中承担的角色？ 如果答案是否定的，就说明存在权限冗余或权限缺失，需要回到节点清点和接口梳理阶段重新校准。
# 示例：查看当前节点与主题关系
ros2 node list
ros2 topic list -t
ros2 node info /planner
ros2 topic info /cmd_vel --verbose
# 输出中关注：
# Publishers: /planner
# Subscribers: /base_driver
# 权限策略应与此关系一致掌握系统架构与交互关系，是后续设计节点身份、主题授权和服务访问策略的前提。只有先看清“谁在什么位置、通过什么通道、与谁交互”，权限控制才能落到真实的接口和路径上，而不是停留在抽象概念层面。