4. 身份模型与标识符
在工业数据空间中，身份不是单一账号的概念，而是对“谁在什么条件下可以做什么”的数字化表达。工业场景的复杂性在于，参与数据交换的主体既有自然人，也有机器设备、软件系统和组织机构，它们的身份特征、生命周期和信任建立方式差异极大。因此，构建统一身份模型的第一步，是明确主体类型及其标识符体系。
一、四类核心主体：人、设备、系统、组织
工业数据空间中的主体可归纳为四类，每类主体的身份关注点不同：
- 人（Person）：工程师、操作员、审核员、外部合作方人员。身份核心是“真实身份绑定”与“职责授权”，通常需要实名认证、角色映射和权限委托。
- 设备（Device）：PLC、传感器、数控机床、边缘网关、AGV 等。身份核心是“设备唯一性”与“运行状态可信”，强调硬件指纹、安全芯片和证书注入。
- 系统（System）：MES、ERP、SCADA、数据中台、工业互联网平台等。身份核心是“服务身份”与“接口权限”，通常以服务账号、API 密钥或 mTLS 证书体现。
- 组织（Organization）：企业、工厂、供应商、监管机构。身份核心是“法律实体”与“数据主权边界”，常通过组织证书、联盟信任锚和合约关系表达。
这四类主体并非孤立存在，而是通过“隶属”“委托”“控制”“协作”等关系构成工业身份图谱。例如，一台设备隶属于某工厂，由某工程师负责运维，其数据可被某 MES 系统调用，同时受组织间数据共享合约约束。
二、标识符体系：DID 与 URI 的分工
标识符是身份的“名字”，但不同主体需要不同性质的标识符。工业数据空间中常见三类：
| 标识符类型 | 典型形式 | 适用主体 | 核心特点 |
|---|---|---|---|
| 传统局部标识 | 工号、设备编号、IP、MAC | 人、设备 | 局部唯一，依赖中心数据库，跨域困难 |
| URI / URL | urn:factory:device:001 | 系统、服务、数据资源 | 可定位、可解析，适合网络资源 |
| DID | did:example:123abc | 人、设备、系统、组织 | 去中心化、可验证、可携带，支持跨域信任 |
DID（Decentralized Identifier）的核心价值在于：标识符由主体自主生成或由可信锚点分配，不依赖单一中心机构；通过 DID Document 描述公钥、服务端点、验证方法，使身份可被密码学验证。在工业场景中，DID 常用于设备身份、跨企业数据共享中的参与方身份，以及人员跨组织协作时的可验证凭证绑定。
三、身份生命周期管理：从注册到注销
身份不是静态的，而是有生命周期的。工业场景中，身份生命周期通常包括六个阶段：
- 注册（Enrollment）：主体提交身份信息，完成实名或设备指纹采集，生成初始标识符。
- 签发（Issuance）：由可信机构签发证书、DID Document 或可验证凭证，绑定公钥与属性。
- 激活（Activation）：身份进入可用状态，权限策略生效，可参与数据空间交互。
- 变更（Update）：人员调岗、设备迁移、系统升级时，更新属性、密钥或权限。
- 暂停/吊销（Suspension/Revocation）：发现异常或合同终止时，冻结或吊销身份，阻止继续访问。
- 注销（Decommission）：主体退出数据空间，标识符归档，密钥销毁，审计记录保留。
生命周期管理的关键在于“状态可查、变更可审、吊销可传播”。在跨组织场景中，吊销信息需要通过信任锚或状态列表快速同步，否则已吊销身份仍可能被其他参与方误信。
四、案例场景：设备身份从出厂到退役
以一台数控机床为例，其身份生命周期贯穿多个环节：
出厂注册：
DID = did:factory:cnc:SN2024001
公钥写入 TPM，DID Document 由制造商签发
交付部署：
工厂验证制造商签名，将设备 DID 注册到本厂身份目录
绑定组织 DID：did:factory:plant-a
绑定责任人 DID：did:person:engineer-007
运行阶段：
设备以 DID 向 MES 发起认证，MES 校验 DID Document 与 VC
权限策略：允许上报运行数据，禁止修改工艺参数
退役注销：
工厂发起吊销请求，更新状态列表
制造商与协作方同步吊销状态
私钥销毁，DID 标记为 deactivated
这个案例说明，设备身份不是一次性配置，而是需要与组织、人员、系统持续关联，并在全生命周期内保持可验证、可审计、可撤销。
五、常见误区与复盘
误区二：只建账号，不建生命周期。人员离职、设备退役后账号未吊销，是工业数据空间最常见的安全漏洞。
误区三：DID 只用于人，忽略设备与组织。工业场景中设备数量远超人员，设备 DID 与组织 DID 同样重要。
误区四：标识符全局统一才叫好。不同层级可用不同标识符，通过映射与解析实现互操作，不必强求单一体系。
复盘来看，身份模型的设计应遵循三条原则：主体分类清晰，明确人、设备、系统、组织各自的身份特征；标识符分层适配，局部标识、URI、DID 各司其职；生命周期闭环，从注册到注销全程可管理、可审计、可撤销。只有这三者协同，工业数据空间的身份与权限工程才有可靠基础。