📚 课程目录第3章可信交换基础

3. 可信交换基础

在制造数据主权体系中，数据“能不能交换”只是第一步，更关键的是交换过程是否可信。可信交换（Trusted Exchange）指的是：在跨企业、跨平台、跨设备的数据流转中，参与方能够对“谁在交换、交换了什么、依据什么规则、是否被篡改、事后能否追责”形成一致且可验证的共识。它不等同于加密传输，也不等同于签一份合同，而是把身份、授权、审计与不可否认四类能力嵌入到数据交换的技术链路中。

可信交换 = 可验证的身份 + 可执行的授权 + 可追溯的审计 + 可追责的不可否认。四者缺一，交换就退化为“裸数据搬运”。

一、核心要素：身份、授权、审计、不可否认

可信交换的四个核心要素并非并列堆叠，而是存在明确的先后与依赖关系。身份是起点，授权是规则，审计是证据，不可否认是约束力。下面这张图展示了四要素在交换链路中的位置与信号流。

从图中可以看到，四要素构成一个闭环：身份解决“你是谁”，授权解决“你能做什么”，审计解决“你做了什么”，不可否认解决“你能否抵赖”。制造场景中，设备证书、企业DID、策略令牌、哈希链日志和数字签名分别对应这四类能力。

二、与区块链、隐私计算的关系

很多项目把“上链”或“隐私计算”直接等同于可信交换，这是常见误区。区块链与隐私计算是可信交换的使能技术，而非定义本身。它们各自补强四要素中的不同环节：

技术	主要补强的要素	在制造数据交换中的作用	不能替代什么
区块链 / 分布式账本	审计、不可否认	交换凭证存证、哈希锚定、多方共识时间戳	不能替代身份体系与细粒度授权
隐私计算（MPC / TEE / 联邦学习）	授权、数据使用控制	数据可用不可见、计算过程受控、用途约束	不能替代审计取证与法律追责
PKI / 数字证书	身份、不可否认	设备与企业身份认证、签名验签	不能替代动态授权策略
策略引擎（PDP/PEP）	授权	按用途、范围、时效动态放行或拒绝	不能替代存证与审计链

因此，可信交换的工程落地通常是“组合拳”：用PKI或DID建立身份，用策略引擎执行授权，用隐私计算约束数据使用，用区块链或可信存证固化审计与不可否认证据。任何单一技术都无法独立支撑完整可信交换。

三、典型场景：供应链质量数据交换

假设某整机厂需要向零部件供应商获取关键工序的SPC数据，用于质量追溯。可信交换流程如下：

身份认证：供应商边缘网关与整机厂数据平台通过mTLS双向认证，校验设备证书与企业DID。
授权决策：整机厂发起数据请求，策略引擎根据“用途=质量追溯、范围=工序A、时效=24小时”生成访问令牌。
受控交换：供应商侧PEP校验令牌，仅放行指定字段，敏感工艺参数经隐私计算脱敏或密态计算。
审计留痕：请求、授权、传输、计算全过程写入日志，日志哈希上链存证。
不可否认：双方对交换凭证进行数字签名，形成可取证的责任链。

{
  "exchange_id": "EX-2024-0317-0091",
  "subject": "did:manu:supplier-042",
  "object": "spc_dataset:process-A",
  "purpose": "quality_traceability",
  "valid_until": "2024-03-18T09:00:00Z",
  "policy": "minimal_scope + no_redistribution",
  "audit_hash": "0x7f3a...c91d",
  "signatures": ["supplier_sig", "oem_sig"]
}

该凭证同时承载了身份、授权、审计与不可否认四类信息，是可信交换的最小证据单元。

四、常见误区与复盘

误区一：加密传输就是可信交换。加密只解决传输机密性，无法回答“谁授权、用于何处、能否追责”。
误区二：上链即可信。链上只保证存证不可篡改，若上链前的身份与授权本身虚假，链上记录同样不可信，即“垃圾进、垃圾出”。
误区三：隐私计算可替代授权。隐私计算保护计算过程，但“谁有权发起计算、结果给谁”仍依赖授权与审计。

复盘建议：评估一个制造数据交换方案是否可信，可依次追问四个问题——身份是否可验证？授权是否可执行且最小化？审计是否完整可回溯？交换凭证是否具备不可否认性？四问皆“是”，才可称为可信交换。

综上，可信交换是制造数据主权落地的“信任底座”。身份、授权、审计、不可否认四要素相互依赖、形成闭环；区块链与隐私计算是重要使能技术，但必须与身份体系和策略执行协同，才能构成真正可验证、可控制、可追溯、可追责的数据交换体系。