工業互聯網標識解析體系綜述

任語錚 ，謝人超，曾詩欽，趙浩然，喻嘉義，霍如，黃韜，劉韻潔

（1.北京郵電大學網絡與交換國家重點實驗室，北京 100876；2.無錫北郵感知技術產業研究院，江蘇 無錫 214135；3.網絡通信與安全紫金山實驗室，江蘇 南京 211111；4.北京工業大學北京未來網絡科技高精尖創新中心，北京 100124）

1 引言

隨著物聯網、5G 網絡和工業技術的快速發展，智慧城市、虛擬現實、工業智能化生產等新型應用不斷涌現，可穿戴設備、工業機器、傳感器等數量呈爆炸式增長，未來網絡正由消費型向生產型轉變。根據2018年思科VNI 報告，到2022年，機器設備連接數量將達到146億，份額將達到51%，超過全球連接設備的一半[1]。工業生產的特殊性要求工業網絡能通過智能化手段對環境信息進行感知、支持大量異構設備接入、支持海量多源、多模態數據高速率傳輸、具備更強的安全性，從而為企業生產提供更好的服務，這給傳統互聯網在架構、安全、性能上帶來了巨大的挑戰。

為應對上述挑戰，工業互聯網研究應運而生。工業互聯網通過連接智能機器、人、物、料，結合先進的網絡、人工智能、云計算、大數據分析等技術，實現企業自動化決策，重構工業生產，已引起業界的廣泛關注。工業互聯網體系架構由網絡連接、平臺、安全體系以及標識解析體系4個方面組成。其中，網絡用于實現人、機、物的泛在連接，是工業互聯網的基礎；平臺旨在打通運營數據與互聯網數據，整合資源、聯合優化；安全體系負責提供安全防護和保障；標識解析體系是實現工業互聯網的重要樞紐，負責對物品身份進行分發、注冊、管理、解析和路由，支持工業互聯網中設備、人、物料的全生命周期管理，是打破信息孤島、實現數據互操作、挖掘海量數據的基礎，也是實現企業智能管理的必備條件[2]。

與互聯網不同，工業網絡傳輸海量異構多源多模態數據，多協議、多種命名格式并存，傳統的域名系統（DNS,domain name system）解析服務在標識主體、解析方式、安全性、服務質量等方面面臨著嚴重挑戰，無法滿足工業網絡需求，其主要原因可歸結為以下幾點。

1)標識主體改變。與傳統互聯網不同，工業互聯網通信實體發生了重要演變，從以固定主機為中心演化至以人、機、物、服務、內容為中心，解析結果由IP 地址轉換為數字對象。然而，現有DNS服務單一，對資源描述能力不強，無法對物品、傳感器、服務等進行標識，且解析結果僵化，只能為IP 地址，無法滿足工業互聯網多樣化、差異化需求。

2)海量數據與超低時延要求。未來工業標識數據量將大大超過現有互聯網，到2020年，中國工業互聯網標識注冊量將超過20億[3-4]。然而，現有DNS 采用中心化、層級樹狀結構，面對海量數據時存在單點負載過重、服務擁塞的問題，無法滿足工業互聯網的海量數據超低時延解析要求。

3)安全與隱私保護。工業互聯網連接產業上下游，打破了以往相對明晰的責任邊界，產生更大范圍、更復雜的影響，給安全防護帶來了巨大挑戰[5]。此外，工業互聯網服務與企業生產、人員安全密切相關，從而對安全有更高要求。然而，現有DNS協議在設計之初并未考慮太多安全因素，協議本身存在的脆弱性使DNS 面臨各種威脅[6]，如緩存投毒、中間人攻擊等。并且如上文所述，工業互聯網通信主體多樣，許多傳統DNS 防護機制均采用基于IP 地址的訪問控制，無法滿足工業對隱私保護與安全的需求。

4)公平對等。工業互聯網標識解析服務的提供應是公平對等的，即應為每一個用戶都提供中立、同等的服務。然而，DNS 采用層次化樹狀結構，可能導致解析服務被非法控制而使企業遭受損失，無法滿足構建公平對等良性解析生態的需求。

由于DNS 的設計模式與工業互聯網需求存在矛盾，僅依靠DNS 不足以支持對海量、多樣化通信主體進行對等、安全、低時延解析，因此，面向工業網絡的標識解析體系研究已在全球范圍內推進，并已取得部分成果。同時，由于工業互聯網標識解析建設在產業界存在巨大商業前景，關系到各國核心利益，已引起國家高度重視，并啟動一系列項目和研究計劃。根據工業和信息化部《工業互聯網發展行動計劃（2018—2020年）》，到2020年底，我國將初步建成工業互聯網基礎設施和產業體系，建設5個左右標識解析國家頂級節點，標識注冊量超過20億。根據規劃，我國標識解析架構主要包括國際根節點、國家頂級節點、二級標識解析節點和公共遞歸解析節點四層，每層節點保存不同信息。其中，根節點歸屬管理層，負責保存最頂層信息；國家頂級節點部署在北京、上海、廣州、武漢、重慶，負責對接國際根節點和對內統籌，兼容多種現存標識解析體系；二級節點負責面向行業提供標識注冊和解析服務；遞歸節點負責通過緩存等手段提升解析網絡服務性能。截至目前，5個國家頂級節點均已上線，一批行業性二級節點正在各地快速建設和探索。

本文綜述了現存主要的工業互聯網標識解析體系。首先，討論了工業互聯網標識解析體系設計原則與關鍵技術；其次，對現有體系進行概述，討論其關鍵技術實現、相關研究與應用，并對所述體系進行對比分析；然后，闡述了學術界對新型標識解析方案的探索；最后，討論了工業互聯網標識解析體系研究面臨的挑戰與未來研究方向。

2 工業互聯網標識解析概述

2.1 工業互聯網標識解析體系設計原則

與消費互聯網和傳統物聯網不同，工業互聯網的通信主體多樣、對性能要求更高，傳統DNS 解析服務無法滿足其需求。為切合工業互聯網特點與要求，其標識解析服務設計須遵循以下5項原則。

1)支持多源異構通信主體

工業互聯網的通信主體來自不同的國家和企業，數據所有者錯綜復雜且實時變化，同時涵蓋范圍更廣，包括物料、設備、網元、服務、操作員等，具有更高的復雜性和多源異構性；其次，目前工廠內多標準、多協議、多命名格式共存，給對象的檢索與理解帶來巨大挑戰。所以，工業互聯網標識解析體系應能支持多類型主體命名，兼容工廠內外現存的異構命名方式與解析方式，滿足多源異構數據互聯互通，保證多種命名格式與檢索協議均能無縫加入該體系。

2)復雜環境下標識解析服務安全保證

工業互聯網背后連接著數以萬計的資產，其服務的正常提供是工業生產與人員安全的基本前提，所以其對工業環境下多維度數據接入、時延、網絡安全、高效傳輸、確定性等都提出了更高的要求[7]。工業互聯網標識解析體系應能保障服務提供者與用戶的安全，包括身份認證、鑒權、隱私保護等，保證身份可信、操作可信、解析過程中商業信息不被暴露。

3)多組織參與的公平對等保證

工業互聯網標識解析服務應保證公平對等。傳統的DNS 架構采用層次樹狀結構，存在節點被非法控制、斷網停服的風險。一旦解析服務無法正常提供，企業將面臨停產等問題，造成巨額損失。所以，需設計對等、多利益主體共管的工業互聯網標識解析體系，構建公平、良性的解析生態。

4)多協議、高并發、差異化需求場景下有效性保證

工業互聯網標識解析服務應具備有效性。一方面，工業網絡對時延、效率等要求更高；另一方面，工業數據檢索勢必面臨高并發、差異化需求、多命名格式映射、多協議轉換等問題，可能會對檢索服務性能產生影響。所以，需設計合理的標識方案與解析機制，保證標識與解析服務的高效提供。

5)提供協議層面與系統層面的可擴展性

工業互聯網標識解析服務應具備可擴展性，要求其架構在設計時具備一定的前瞻性，可根據實際需求進行擴充，保證該體系在未來海量數據及新增標識方案場景下依舊能滿足需求。首先在協議層面，該體系應能無縫添加其他新型標識解析協議子域；其次在系統層面，需保證命名空間可容納未來海量數據接入，并且保證系統擴展時，新增節點對現有服務沒有影響或影響很小，即使進行大規模擴展，增加至成千上萬個服務節點，該系統依然十分有效。

2.2 工業互聯網標識解析體系中的關鍵技術

根據上述設計原則，需提供多項關鍵技術為工業互聯網標識解析體系進行技術支持，包括標識方案、標識分配機制、注冊機制、解析機制、數據管理機制與安全防護方案等。然而，工業互聯網標識解析體系研究尚不成熟，部分關鍵技術有待進一步研究。根據該領域服務需求與研究現狀，本文將著重對標識方案、解析機制與安全防護3個方面進行介紹，并對其支撐作用進行討論。

1)標識方案

工業互聯網標識通過定義編碼格式對工業生產中的人、物、料、工業設備進行唯一、無歧義命名，為感知物理世界、信息檢索提供支持，助力開展各類相關應用。現有標識方案分為層次與扁平2種。層次化標識往往由多個包含語義信息的字符串級聯而成，具備全局性、可記憶性，但缺乏安全性，如域名方案[8]。層次化標識自動支持內容分配、多播、移動性等，并且可充分利用長尾效應，實現請求聚合，從而減輕路由器負擔。然而，層次化標識的語義性在一定程度上限制了標識的生命周期。例如，現存的多個方案將資源所有者信息納入其層次化標識，導致資源所有者更改時該標識失效。

扁平標識通常通過散列運算得到，由一系列無規律的數字或字符串組成，具備全局性、安全性，但缺乏語義信息。扁平標識具有較好的穩定性與唯一性，支持自我認證，且相對于層次化變長標識，該方案利用散列運算結果，其標識往往具有固定長度，在條目匹配時查詢速度更快。扁平標識的缺陷在于命名空間有界，且難以實現名稱聚合，映射表規模較大，從而制約可擴展性。此外，扁平標識不具有可讀性，不利于獲取其背后的信息，且資源內容改變或散列算法升級均會導致原標識失效，進而影響內容的檢索與查詢。

2)解析機制

解析機制負責定義資源的檢索過程。根據解析架構的不同，現有解析方案可分為層次解析與扁平解析。層次解析采用樹狀結構，每個解析節點負責一個域，該結構簡單，可擴展性強，利于部署；但缺陷在于各節點權力不同，根節點權限最高，父節點權限高于子節點權限，父節點可屏蔽所有子節點服務。

扁平解析往往采用分布式散列表（DHT,distributed hash table）技術實現，各解析節點進行P2P組網，解析條目根據DHT 算法存儲檢索。該架構中每個解析節點的管理權限相同，各解析節點無權篡改和丟棄其他節點的解析請求，避免解析服務被非法控制，便于構建分權、對等的解析生態。然而，扁平解析的效率顯著低于層次解析，且其分布式解析架構不存在中心節點，不利于數據收集，難以對解析數據進行挖掘和分析。

3)安全防護

安全防護負責解析過程中的隱私保護與安全保障，主要包括身份安全、數據安全與行為安全[9]。其中，身份安全用于保證用戶側與服務側身份真實性；數據安全一方面用于保證大量數據在公共網絡的傳輸過程中不被竊取與篡改，另一方面用于保證數據存儲安全，即數據不被暴露；行為安全通過各種訪問控制技術保證對數據進行合法操作。

3 國內外標識解析體系介紹

目前，國內外已存在多種標識解析體系，根據其演進方式可分為2類。一類是基于DNS 的改良路徑。該路徑通過對現有DNS 架構進行擴充，提供工業互聯網標識解析服務，如美國麻省理工學院提出的產品電子代碼（EPC,electronic product code）技術[9]、國際標準化組織ISO/IEC 和國際電信聯盟ITU-T 聯合制訂的對象標識符（OID,object identifier）技術[10-11]，我國自主研發的物聯網統一標識（Ecode,entity code for IoT）技術[12-13]與國家物聯網標識管理公共服務平臺（NIoT,national common identification management service platform for IoT）[14-17]等。另一類是與DNS 無關的革新路徑，即針對工業互聯網場景提出一套全新的標識解析體系[18]，如DONA 基金會維護的句柄（Handle）標識解析技術[19-21]、東京大學提出的泛在識別技術（UID,ubiquitous ID)[22-23]及一系列其他學術研究。現有標識解析體系如圖1所示。

改良路徑便于實現，僅需在現有的DNS 架構上進行擴展便可提供解析服務，設計簡單且部署較快，但不能完全匹配工業要求，且解析服務十分臃腫。革新路徑則針對工業互聯網特殊需求提出新型架構，彌補現有DNS 缺陷，更契合工業互聯網場景。然而，革新路徑難以利用現有基礎設施，需重新部署，成本較高，周期較長。本文將介紹4個典型體系，包括改良路徑的OID 與Ecode 體系，以及革新路徑的Handle 與UID 體系，每個體系分別從概述、關鍵技術、相關研究與應用3個方面進行詳細探討。

3.1 基于改良路徑的標識解析體系

改良路徑對現有DNS 架構進行擴充，覆蓋在DNS 服務之上，解析服務依賴DNS 資源記錄，安全防護依托于DNS 安全保障措施，較少提出新的安全保障機制。

3.1.1 OID 體系

1)概述

圖1 現有標識解析體系

OID 體系由ISO/IEC 與ITU-T 國際標準化組織于19世紀80年代聯合提出，旨在識別物聯網環境中的各種對象和服務。OID 采用分層樹形結構，其編碼由一系列數字、字符或符號組成，支持對任何類型的對象，包括用戶、網絡元件、網絡服務及其他物理或邏輯對象等進行全球無歧義命名，且一旦命名該名稱終生有效[11]。ISO/IEC 與ITU-T 通過研制 ISO/IEC 29168、ISO/IEC 29177、ISO/IEC 9834、ISO/IEC 8824等系列國際標準，針對OID 的命名規則、分配方案、傳輸編碼、解析管理體系等內容進行規范，設計正式、精確、無歧義的機制來標識、解析、管理對象[24]。截至2019年4月，OID 已覆蓋全球206個國家和地區，目前國際OID 數據庫中已注冊1408431個頂層OID 標識符。

OID 體系通過將OID 樹映射為DNS 樹的一部分提供OID 服務，具有人類可讀、分層靈活、可擴展性強、跨異構系統、支持對各類對象唯一永久標識、便于部署等優勢，且OID 標識體系擁有無界命名空間，可支持全球任意對象標識[25]。此外，OID體系支持域內自主管理，權限機構可自由地添加新節點。OID 獨立于網絡技術，不受底層設備影響，可兼容其他現有標識機制，具備很好的應用基礎和發展前景，目前已在醫療領域、信息安全領域、物流領域等廣泛使用。

2)關鍵技術

①標識方案

OID 采用分層樹狀結構，國際根節點下連ITU-T、ISO 與ISO-ITU 聯合3個分支，支持對用戶、網絡元件、服務、有形資產、無形數據（如目錄結構）等任意對象進行標識。OID 采用層次化標識方案，其編碼規則規定了根節點到標識節點間的路徑，OID 架構如圖2[26]所示。

OID 提供了3種常用標識方案，分別是傳統標記法、點標記法與OID-國際化資源標識符（OID-IRI,OID internationalized resource identifier），其中點標記與OID-IRI 應用最廣，其對比如表1所示。

傳統標記法。該標識方法于1986年提出，以“{”開始，并以“}”結束，各子命名空間由文字和數字共同組成，并用空格分隔，具體有3種實現方式：a)僅由數字組成，該標識方式貼近機器編碼，檢索較快，但不夠人性化，目前很少被使用；b)由文字和數字共同組成，文字后用數字插入說明，該標識方式兼顧了人類可讀性與機器檢索效率，但信息存在冗余，犧牲了標識的有效性；c)由文字和數字共同組成，該標識方式對少數頂層命名空間不要求數字說明、低層命名空間強制數字說明，該方式性能介于上述2種方式之間。

圖2 OID 架構

表1 OID 標識方案對比

點標記法。該標識方法由互聯網工程任務組（IETF,the Internet Engineering Task Froce）首次引入并沿用至今，其編碼結構規范，只由數字組成，使用點標記符對不同命名空間進行分隔，標識符為由樹根到葉子全部路徑上的節點順序組合而成的字符串。點標記法可讀性差，但檢索快速且較為安全。

OID-IRI。該標識方法是ITU-T X.680|ISO/IEC 8824-1中定義的一種ASN.1類型，于20世紀90年代提出并沿用至今。OID-IRI 由一系列Unicode標簽組成，并使用斜線進行分隔。該標識方案具有通用、可讀的優勢，且允許域內自主定義標識，較為靈活，但安全性較弱。

②解析機制

OID 解析采用遞歸查詢方式、分層樹狀架構。OID 解析系統（ORS,OID resolution system）負責提供解析服務，目前可同時兼容點標記與OID-IRI這2種標識方式。ORS 依托DNS 解析服務，通過DNS 的完全合格域名（FQDN,fully qualified domain name）與名稱權威指針（NAPTR,naming authority pointer）記錄完成解析操作。NAPTR 是DNS 記錄的一種，用于記錄統一資源名稱（URN,uniform resource name）、統一資源定位符（URL,uniform resource locator）和普通域名的映射關系，并為客戶與映射資源通信的可使用協議提供建議。OID 體系完整解析架構由應用程序、ORS 客戶端、DNS 客戶端、DNS 服務器4個子系統組成，其架構如圖3所示。

圖3 OID 解析系統架構

應用程序。該子系統負責向ORS 客戶端發送OID 解析請求，該解析請求由OID 標識、ORS 服務類型與安全標志組成，其中ORS 服務類型是用于標識ORS 服務的字符串，在NAPTR 資源記錄中使用。

ORS 客戶端。該子系統通過功能接口與應用程序和DNS 客戶端通信，接收應用程序發送的OID解析請求。該子系統有2個主要功能：當接收到應用程序的請求后，該子系統將OID 標識轉換為FQDN，并向DNS 客戶端發送DNS 解析請求，以獲取該FQDN 的NAPTR 記錄；當接收到DNS 客戶端的回復后，ORS 客戶機處理該NAPTR 記錄，并向應用程序返回零個或多個信息與DNS 響應代碼。

DNS 客戶端。該子系統負責接收ORS 客戶端發送的DNS 解析請求，并將該請求轉發至DNS 服務器，以獲取相應FQDN 的NAPTR 資源記錄。

DNS 服務器。該子系統負責響應DNS 客戶端的請求，返回相應的NAPTR 資源記錄或錯誤信息。

相較于其他解析架構，OID 解析具備分層靈活、可擴展性強、可利用現有網絡基礎設施、便于部署等優勢。然而，OID 解析需依托DNS，所以DNS系統本身的升級、替代或故障均會導致OID 無法提供服務。其次，OID 解析繼承了DNS 單點故障、單點失效、負載過重和易被非法控制等問題。再次，OID 是DNS 在一切對象和資源上的擴展，而DNS是支撐互聯網正常運行的重要基礎系統，任何針對DNS 的擴展都應格外謹慎。此外，DNS 已經面臨負擔過重的問題，基于OID 體系的工業互聯網時代將有大量請求涌入DNS 服務，導致DNS 過載，對DNS 的正常運行造成影響。

③安全防護

OID 體系安全防護主要依托于DNS 的安全保障機制，ORS 客戶端根據ORS 請求中的安全標志決定DNS 安全擴展（DNSSEC,domain name system security extensions）是否使用，除此之外并無其他安全機制。DNSSEC 是IETF 提供的一系列DNS 安全認證機制，通過散列運算和公鑰技術形成信息摘要和數字簽名，從而提供來源鑒定和信息完整性檢驗功能[27]。當安全標志為1時，OID 解析過程支持DNSSEC，要求DNS 服務器對返回的NAPTR 資源記錄簽名，若無簽名，DNS 客戶端將返回ORS 客戶端一個錯誤代碼，并且沒有任何信息返回至應用程序。

OID 體系未提出額外的安全保障機制，僅允許用戶選擇性使用DNSSEC 提供安全防護。該防護機制中的數字簽名驗證可保證解析參與者身份安全，信息摘要校驗可保證數據不被篡改，但無法保證數據在傳輸過程中不被泄露，且該機制未提供行為安全防護，無法保證用戶對數據操作的合法性。

3)相關研究與應用

①相關研究

目前，關于OID 的研究主要可以分為優化OID體系和部署OID 這2個方面。

針對OID 體系優化，文獻[28]提出了一種面向物聯網場景的基于OID 的解析架構，該架構支持服務組概念。一個服務組由多個特定服務組成，保證事件觸發時特定服務集合能并發調用，例如，該方案支持火災發生時同時進行報警、消防報警以及開啟逃生系統等。該架構采用兩層注冊和迭代解析，通過對服務進行標識、捆綁與動態更新，將組標識符解析為特定服務集合實現并發請求。該方案由ORS、組服務解析服務器（GRS,group service resolution server）和服務注冊（SR,service registry）3個核心組件組成。其中，ORS 為OID原生解析功能；GRS 用于管理組服務，并與特定服務連接；SR 為本地解析系統，由服務提供者維護，用于管理特定服務信息。該方案利用OID 標識服務組，支持服務請求同時發出，可以保證更低時延要求。

在OID 部署的研究方案中，主要研究的問題是如何使其兼容異構標識方案。Jung 等[29]提出了一種面向物聯網的基于OID 架構的標識方案，該方案利用本地標識符和OID 前綴構成虛擬標識層（VIL,virtual identifier layer）。通過VIL 實現異構標識互操作，解析時，解析請求首先路由到ORS，再重定向到相應的解析服務器響應解析請求，該方案可有效解決物聯網異構標識符兼容和互操作問題。文獻[30]提出了一種基于OID 的異構標識集成解析架構，由ID 注冊表管理本地標識，ID 注冊表在ORS中注冊、申請OID 標識。解析時，解析請求首先路由到ORS，再根據ORS 中的映射數據重定向到本地ID 注冊表。上述2種方案均對現有標識進行覆蓋，同時支持新標識創建，不影響現存標識解析架構的操作流程、結構與拓撲等，在時延和開銷上更為有效。

②相關應用

目前，OID 技術已在ISO、ITU 標準中被大量采用，應用于信息安全、電子醫療、網絡管理、自動識別、傳感網絡等計算機、通信、信息處理等相關領域[24]。例如，在信息安全中，OID 用于指出X.509證書綁定的散列算法、公鑰算法、分組算法和操作模式，具備高效可移植標識數據分組中所選算法的能力。隨著工業互聯網的不斷發展，海量異構數據進一步涌入，對工業網絡提出了新的要求。OID 以其面向多種對象、高效、靈活、兼容、可擴展等優勢已廣泛應用在RFID、傳感器、二維碼等領域，具備良好的應用基礎和發展前景。

3.1.2 Ecode 體系

1)概述

Ecode 由中國物品編碼中心于2011年提出，具有我國自主知識產權，擁有完整的編碼方案和統一的數據結構，適用于任何物聯網對象。Ecode 體系定義了編碼規則、解析架構和解析服務要求，由Ecode 編碼、數據標識、中間件、解析系統、信息查詢和發現服務、安全機制等部分組成。Ecode 體系采用一物一碼唯一標識，在感知層，Ecode 中間件可兼容二維碼、條形碼等異構接入；在應用層，Ecode 能兼容其他編碼方案如Handle、OID 等。目前，Ecode 已廣泛應用于我國工業生產的各個領域，為實現產品追溯查詢、防偽驗證、產品營銷等提供有力支撐。

中國物品編碼中心于2015年研制了我國首個物聯網國家標準GB/T 31866，該標準規定了物聯網對象統一編碼規則，目前已在中國物聯網內廣泛使用[12]。隨著物聯網技術的發展，Ecode 標識體系逐步建立。基于國家物聯網產業化專項任務要求，近些年又有一系列核心標準發布，用于滿足物聯網標識應用需求、規范Ecode 編碼的注冊和申請流程，保證Ecode 編碼唯一性、編碼數據和注冊信息的可靠性。目前，其他相關標準也正在抓緊制定中，這對于促進物聯網和工業互聯網產業發展有著重要意義。

2)關鍵技術

①標識方案

Ecode 為三段式層次編碼，由版本（V,version）、編碼體系標識（NSI,numbering system identifier）和主碼（MD,master data code）構成。根據MD 是否存在語義信息，Ecode 可分為標頭編碼結構和通用編碼結構2種標識方案，如表2所示。

V 負責描述Ecode 標識的版本，不同版本對應的編碼長度不同。NSI 為標識體系代碼，指明該標識的注冊體系，如Ecode、OID、Handle 等，用于實現異構標識體系兼容。NSI 長度由V 決定，由我國物聯網統一編碼管理機構分配。MD 長度及其數據結構由NSI 決定，由某一編碼體系的管理機構自行管理和維護，其中標頭編碼的MD 包含廠商、項目、校驗等語義信息，通用編碼的MD 無語義信息。針對未編碼對象，可采用標頭編碼結構；針對已在其他體系注冊的對象，可采用通用編碼結構進行映射，完成對其他標識方式的兼容。此外，針對上述2種編碼方案，Ecode 提供了標識結構解析與通用結構解析2種不同的解析方式。

表2 Ecode 標識方案對比

Ecode 為層次編碼結構，由多段數字組成，具備全局性、安全性與人類不可讀性。由于Ecode 編碼中包含版本、編碼體系、廠商等信息，意味著廠商、項目等信息的更新會導致原編碼失效，縮短了標識的生命周期。此外，由于Ecode 編碼方案中部分版本為定長編碼，因此檢索速率更快，但可擴展性較差。

②解析機制

Ecode 采用迭代解析方式，同樣需依托DNS，通過NAPTR 資源記錄提供解析服務。Ecode 解析架構由應用客戶端、編碼體系解析服務器、編碼數據結構解析服務器和主碼解析服務器4個部分組成[13]，其架構如圖4所示。

圖4 Ecode 解析系統架構

應用客戶端。該組件負責分別向編碼體系解析服務器、編碼數據結構解析服務器與主碼解析服務器發送解析請求，以獲取編碼所屬體系、數據結構與標識解析結果。

編碼體系解析服務器。該組件接收應用客戶端發送的編碼體系解析請求，該請求包括Ecode編碼等信息。該組件負責將V、NSI、MD 從接收到的Ecode 編碼中分離，根據一定的轉化規則轉化為標識識別域名，并將轉換結果返回應用客戶端。

編碼數據結構解析服務器。該組件接收應用客戶端發送的編碼數據結構解析請求，該請求包括標識識別域名、MD 等信息。該組件以NAPTR 記錄格式存儲了標識識別域名到主碼域名的轉換規則，并通過轉換規則將標識識別域名轉換為主碼域名，再將轉換結果返回應用客戶端。

碼解析服務器。該組件接收應用客戶端發送的主碼解析請求，該請求包括主碼域名等信息。該組件通過查詢A／AAAA 記錄或NAPTR 記錄得到該Ecode 編碼對應的解析結果，并將解析結果返回應用客戶端，完成解析響應。

根據Ecode 編碼類型的不同，Ecode 存在標識結構解析與通用結構解析2種解析方式。標識結構解析中應用客戶端順次迭代查詢編碼體系解析服務器、編碼數據結構解析服務器與主碼解析服務器，逐步解析至最終結果。通用結構編碼解析中應用客戶端僅順次查詢編碼體系解析服務器與主碼解析服務器，編碼體系解析服務器首先根據V 與NSI 判斷出該編碼的編碼體系，如Handle；主碼解析服務器再根據其編碼體系查找Handle 體系的入口地址，將解析請求重定向到Handle 入口。

③安全防護

Ecode體系除使用傳統安全技術與DNS防護方案外，其編碼具備自認證功能，通過若干位校驗碼確保編碼的準確性、完整性與真實性。近年來，Ecode 安全防護方案逐步完善。2019年4月，物品編碼中心新推出《物聯網標識體系 Ecode 標識系統安全機制》標準征求意見稿，用來規定物聯網標識體系中Ecode 系統的一般要求、編碼數據安全、鑒別與授權、訪問控制、交互安全、安全評估和管理要求等內容。

3)相關研究與應用

關于Ecode 體系研究主要著眼于部署，相關研究工作尚處于初級階段，現有學術研究成果較少。黃永霞[31]設計了一種基于Ecode 的冷鏈物流單品追溯系統，該系統由信息采集層、信息存儲層、信息解析層與用戶服務層組成，將產品、操作人員、溫度、濕度等相關信息寫入RFID 標簽，并通過閱讀器回傳至本地數據庫，借助Ecode 中間件完成用戶解析請求。李凱迪[32]提出了一種基于Ecode 的新型管理架構，該方案通過在Ecode 云平臺和企業間構建第三方平臺解決企業間應用異構與互操作問題；同時，李凱迪基于該架構提出平臺注冊流程與企業注冊流程，完成多企業Ecode 管理，提供多企業數據共享與互操作能力。

目前，Ecode 已廣泛應用于我國茶葉、紅酒、農產品、成品糧、工業裝備、原產地認證等領域，為實現產品追溯查詢、防偽驗證、生產營銷、全生命周期管理等提供支撐。

3.2 基于革新路徑的標識解析體系

基于革新路徑的體系不使用DNS 服務，提出了一套全新的標識解析體系。本節將對Handle、UID這2種典型的體系進行概述。

3.2.1 Handle 體系

1)概述

Handle 是全球范圍分布式通用標識服務系統，由互聯網之父Robert Kahn 于1994年提出，旨在提供高效、可擴展、安全的全局標識解析服務。Handle系統于2005年加入下一代網絡研究，并成為GENI項目中數字對象注冊表的一個組成部分[33]，目前由DONA 基金會負責運營、管理、維護和協調。Handle體系是出現最早、應用最廣的全球數字對象唯一標識符系統，提供名字對屬性的綁定服務，其名字被稱作Handle，可用于標識數字對象、服務和其他的網絡資源。Handle 體系包括一組開放協議、命名空間和協議的參考實現，定義了編碼規則、后臺解析系統和全球分布式管理架構[15]。

Handle 系統采用分層服務模型，無單根節點。頂層為數個平行的全局Handle 注冊表（GHR,global handle registry），GHR 間數據時時同步、平等互通；下層為本地Handle 服務（LHS,local Handle service），如圖5所示。

GHR 與LHS 同構，均由一個或多個平行的服務站點組成，每個站點都是該服務中其他站點的復制品，每個服務站點又由多個Handle 服務器組成。雖然每個站點都是平行的，但它們可以由不同數目的Handle 服務器組成，所有Handle 請求最終被均勻定向到Handle 服務器上。GHR 與LHS 的區別在于提供的服務不同。GHR 負責全局管理服務、分配前綴、授權命名空間。LHS 負責管理本地命名空間、定義本地命名空間的編碼方式，其前綴和地址必須在GHR 中注冊。

圖5 Handle 系統分層服務模型

Handle 體系從一開始就被設計為通用命名服務，可容納大量實體，允許通過公共網絡進行分布式管理，頂層節點平等互通，支持用戶自定義編碼，適用于工業互聯網場景。此外，Handle 還具備唯一性、永久性、多個實例、多個屬性、可擴展性強以及兼容其他標識等優點，目前已得到產學研各領域的日益重視和廣泛應用。

2)關鍵技術

①標識方案

Handle 采用層次標識方案，每個Handle 均由前綴和后綴兩部分組成，前綴為其命名機構，后綴為命名機構下的唯一本地名稱，兩者由“/”分隔，如下所示。

命名機構為Handle 標識的創建和管理者，由多個非空的子命名機構組成，子命名機構間由“.”分隔，共同形成樹狀分層結構；后綴由命名機構自行定義，只需保證在其本地命名空間內唯一，便可確保其在系統中是全局唯一的。例如，Handle“20.500.12357/BUPT_FNL ”的命名機構是“20.500.12357”，本地名稱是“BUPT_FNL”。

Handle 全局命名空間可以認為是多個本地命名空間的超集，每個本地命名空間具有唯一的前綴，任何本地命名空間都可通過申請前綴加入全局命名空間，并且其本地標識及值的綁定關系在加入Handle 系統后仍保持不變，只需將本地名稱與前綴的組合作為全局標識，就可進行全局引用，有助于打破信息孤島、便于企業加入各自的信息系統、兼容其他標識方案。

②解析機制

Handle 體系提供標識到值的綁定服務，每個Handle 可解析為一組值的集合，每個值可以是物品簡介、信息摘要、URL 或其他自定義信息。Handle體系采用迭代解析方式、層次解析架構，共分為GHR與LHS 兩層，其完整解析架構由Handle 客戶端、GHR 與LHS 這3個部分組成，其架構如圖6所示。

Handle 客戶端。該組件負責向GHR 發送標識前綴，以獲取前綴所屬LHS 服務站點信息；向LHS服務站點發送完整標識，以獲取解析結果。

GHR。該組件負責接收和響應Handle 客戶端發送的前綴解析請求，通過查詢注冊信息，檢索到該前綴相應的LHS 服務站點，并將服務站點信息返回給Handle 客戶端。

圖6 Handle 解析系統架構

LHS。該組件負責接收和響應Handle 客戶端發送的標識解析請求，通過查詢本地數據庫，檢索到該標識對應的值集，并將解析結果返回給Handle客戶端。

為提升解析性能，Handle 客戶端可選擇緩存GHR 返回的LHS 服務站點信息，并將其用于后續查詢。根據緩存的服務信息，客戶端可直接將請求發送至相應的LHS 服務站點上，不需要詢問GHR。其次，Handle 對頂層進行了平行化改進，不再為單根架構，可部分緩解DNS 集中式管理帶來的問題。再次，Handle 允許已注冊LHS 自定義命名空間和解析機制，支持無縫添加其他協議子域，便于兼容其他標識解析體系。

③安全防護

Handle 體系不依托DNS 服務，設計了一套全新的應用層解析系統與原生安全防護方案，其主要工作包含以下3個部分。

管理員與權限設計。Handle 體系為每個Handle標識設置一個或多個管理員，任何管理操作只能由擁有權限的Handle 管理員執行，在響應任何Handle管理請求之前都需要對管理員進行身份驗證與權限認證。Handle 管理員可擁有添加、刪除或修改Handle 值等權限。

客戶端身份安全與操作合法。客戶端可發起解析和管理2類請求，均需進行客戶端身份驗證。若客戶端發起解析請求，Handle 服務器則根據權限對客戶端進行差異化解析；若客戶端發起管理請求，Handle 系統則根據質詢響應協議對客戶端進行身份驗證。質詢響應協議流程如圖7所示。

客戶端首先向Handle 服務器發送一個管理請求；其次服務器向客戶端發送質詢請求來對客戶端進行身份驗證；然后客戶端應答質詢響應，并用其管理員私鑰進行簽名；最后服務器驗證其簽名，保證客戶端身份合法。若驗證失敗，則通知客戶端；否則，服務器將進一步檢查該管理員是否具有相應管理權限，若有相應權限，服務器執行該管理操作并向客戶端報告成功，否則返回拒絕信息。

圖7 質詢響應協議流程

服務器身份安全。客戶機可以要求Handle 服務器使用私鑰對其響應進行簽名，從而對服務器進行身份驗證。

此外，Handle 系統提供分布式數據管理能力，兼容分布式、集中式、云存儲等不同存儲方式，保證用戶數據主權，具備比DNS 更強的內容保護機制和抗攻擊能力。Handle 系統定義權限認證機制，支持數據、訪問權限、用戶身份等自主管理，保證身份安全、數據安全與行為安全，具備較高的安全性與可靠性。

3)相關研究與應用

①相關研究

目前，關于該體系的研究主要著眼于Handle系統能否滿足新型網絡架構需求，保證在未來網絡體系架構下其數字對象標識符依舊可用。Wannenwetsch 等[33]設計了一種面向P2P 與命名數據網絡（NDN,named data networking）的基于Handle 的永久標識符，該方案通過結合Handle、磁力鏈接（magnet URI scheme）、DHT、NDN 等技術，提供位置無關的數據解析服務。注冊時，該系統將磁力鏈接嵌入Handle，并將映射數據分布式存儲在DHT 網絡或NDN 內，而非傳統的數據中心中；解析時，Handle 解析結果為磁力鏈接而不再是傳統的信息存儲服務器URL，客戶端可根據磁力鏈接將解析請求發送到相應的服務器上，由于磁力鏈接通過數字指紋而非文件位置或名稱識別文件，因此可實現位置無關的解析服務。Schmitt 等[34]提出了一種面向NDN 的Handle 解析架構，該架構將Handle解析請求包成NDN 興趣包、將Handle 解析響應包成NDN 數據分組以便在NDN 中傳輸，并且通過Handle 網關實現NDN 與Handle 解析系統的連接，同時完成NDN 數據分組與Handle 請求的轉換。Karakannas 等[35]提出了一種映射架構，該架構可實現URN、Handle 等永久標識符在NDN 中傳輸。該方案中，興趣包內NDN 名稱由解析組件的NDN名稱與待解析永久標識符共同組成。通過遞歸或迭代解析，該興趣包內解析組件NDN 名稱將依次修改為根服務器名稱、永久標識符類型服務器名稱、權威服務器名稱，保證其在NDN 中順利傳輸并提供永久標識符解析服務。雖然都通過構建興趣包與數據分組實現 Handle 解析請求在NDN 網絡中傳輸，但與文獻[33]不同的是，文獻[35]中解析服務器部署在NDN 網絡內部，不需要設置Handle 網關。

②相關應用

Handle 體系既能與國際接軌，又可確保企業自主可控，目前已成功應用在數字圖書館、產品溯源、智能供應鏈等領域，為打破信息孤島、降低成本、保證生產高協同等提供支持。

3.2.2 UID 體系

1)概述

UID 是一種用于泛在計算的環境感知技術，支持對象及對象間關系描述，UID 中心于2003年在東京大學建立，得到了日本政府及企業的大力支持。截至目前，全球已有500多家公司和組織參與發布了UID 標準與泛在計算系統的工業開放標準規范[36]。UID 通過泛在標識編碼（ucode,ubiquitous code）標識客觀實體、空間、地址、概念等物理或邏輯對象，并通過ucode 關系模型為ucode 間建立關聯。

ucode 關系模型由ucode 關系單元組成，圖8展示了ucode 關系單元結構，每個ucode 關系單元由主體ucode、關系ucode 和客體ucode 這3個部分組成，用于指明2個ucode 或ucode 與某未分配標識對象之間的關系。為描述多實體、復雜環境信息，UID 進一步將多個ucode 關系單元拼接成ucode 關系圖，如圖9所示。

圖8 ucode 關系單元

圖9 ucode 關系圖

ucode 相關技術于2012年10月被寫入ITU-T國際標準，可保證任意對象經由互聯網進行識別和通信，是實現泛在計算、物聯網和M2M 計算范式的重要技術。目前，一系列基于ucode 技術的建議書正在加速研制中，用于提供對象及其位置識別、環境理解、對象跨應用、跨組織信息交互等功能，保證最佳控制自動執行而不需要人工干預，助力泛在計算任務自動執行。該技術適用于工業互聯網場景，有望用于建筑物管理、食品和醫療產品追溯、工廠設施處置、旅游信息服務及公共資產管理等應用領域。

2)關鍵技術

①標識方案

ucode 為層次、固定長度編碼，由一系列無意義數字串拼接而成，其基本長度為128 bit，并且支持長度擴展，ucode 編碼長度可以擴展為128的整數倍，如256 bit、384 bit、512 bit 等。ucode 命名空間采用分層結構進行管理，由頂級域和二級域兩層組成[24]。每個ucode 編碼由版本、頂級域代碼、類代碼、二級域代碼和標識碼5個字段組成，圖10[23]展示了128 bit ucode 的編碼結構。其中，版本占4 bit，用于指明ucode 版本；頂級域代碼占16 bit，用于指明該ucode 的頂級域管理者；類代碼占4 bit，其最高位用于指明該ucode 是否對編碼長度進行了擴展，后3 bit 用于指明二級域代碼和標識碼之間的邊界；二級域代碼長度存在多種類型，由類代碼指定，用于指明該ucode 的二級域管理者，二級域管理者由頂級域管理者分配；標識碼長度存在多種類型，由類代碼指定，負責對對象進行唯一標識。

相較于其他標識方案，ucode 標識主體多樣，涉及實體、概念、地點、關系等對象，可滿足工業場景多樣化需求；其次，ucode 由一系列人類不可讀的數字組成，更為安全。然而，ucode 編碼并未提供兼容其他標識體系的方案，不具備兼容性；此外，ucode 采用固定長度編碼方式，其命名空間受限，難以滿足海量數據標識需求。

②解析機制

ucode 關系圖用于描述多個對象間關系，存儲于ucode 關系數據庫內。ucode 解析系統負責接收ucode 編碼，并根據該編碼在ucode 關系數據庫內檢索ucode 關系圖，實現環境識別。ucode 采用遞歸解析方式，其解析系統由ucode 關系數據庫節點、ucode 關系數據庫前端、ucode 關系詞匯引擎和ucode 信息服務4個核心組件組成[23]，ucode 解析系統架構如圖11所示。

圖10 ucode（128 bit 基礎長度）編碼結構

圖11 ucode 解析系統架構

ucode 關系數據庫前端。該組件部署在ucode基礎設施系統內，負責接收ucode 編碼解析請求，然后向分布式ucode 關系數據庫節點請求相關的ucode 關系單元，并基于這些關系單元構建ucode關系圖，之后基于ucode 關系詞匯引擎對該ucode環境信息進行描述。

ucode 關系數據庫節點。該組件部署在ucode基礎設施系統內，是ucode 關系數據庫中的一個獨立節點，負責參與ucode 關系單元的分布式存儲。

ucode 關系詞匯引擎。該組件部署在應用程序內，不同的應用程序擁有不同的ucode 關系詞匯引擎。該組件負責對ucode 關系數據庫前端生成的ucode 關系圖提供語義理解和搜索邏輯。例如，從ucode 關系圖中提取位置信息就是一種特定于應用程序的ucode 關系詞匯引擎。

ucode 信息服務。該組件部署在應用程序內，根據ucode 關系圖的搜索結果為用戶提供服務。

與其他解析方案不同，ucode 解析結果為所有相關環境信息，然后應用程序根據其特定需求和搜索邏輯在環境信息中篩選出需要的內容，對象描述更為全面。不過，該體系在解析過程中需要向多個分布式節點收集ucode 關系單元，解析效率較低。

③安全防護

除使用傳統安全防護技術外，為滿足不同應用對安全的差異化需求，UID 系統根據安全及隱私保護程度將安全功能從低到高劃分為數據損壞探測功能、抗物理復制及偽造功能、接入控制功能、防篡改功能、支持與未知節點進行安全通信、支持基于時間的資源管理和支持內部程序和安全信息更新7個等級。

數據損壞探測功能。如果ucode 標簽由于物理損壞或干擾等導致部分數據采集時數據缺失或損壞，UID 系統可以立刻檢測到，以保證數據的準確性與完整性。

抗物理復制及偽造功能。該功能保證ucode 編碼在物理上難以復制或偽造，實現數據安全。

接入控制功能。該功能通過權限定義、接入控制等技術，禁止未經授權的第三方應用識別ucode，同時禁止其訪問ucode 相關的環境信息、狀態和方法，保證行為安全。

防篡改功能。該功能負責將ucode 的訪問控制管理信息存儲在標簽內，且保證不能被非法讀取或篡改，實現數據安全。

支持與未知節點進行安全通信。該功能負責保證即使與未預先共享私鑰的未知節點通信，也可以建立安全的數據交換通道，保證數據傳輸安全。

支持基于時間的資源管理。該功能負責對數據、安全信息、操作等設置時間有效期，超出有效期后，所有相關的數據訪問和操作都將停止，保證行為安全。

支持內部程序和安全信息更新。該功能負責保證防護系統處于最佳狀態，對軟件進行定時更新固件和安裝安全補丁。

該體系通過實現數據損壞探測、抗復制和偽造、防篡改、與未知節點安全通信等功能，保證數據安全；通過設計接入控制、支持基于時間的資源管理等保證行為安全。通過設計上述7項安全防護功能，UID 體系為應用提供了細粒度、靈活的安全保護方案，滿足用戶對安全的差異化需求。

3)相關研究與應用

①相關研究

目前，關于UID 的研究主要可以分為優化UID體系和部署UID 這2個方面。

針對UID 體系優化，Seike 等[37]基于區塊鏈技術設計了去中心化ucode 編碼分配方案，以解決UID 層次化結構帶來的問題。該方案利用ucode 編碼中的頂級域代碼字段定義ucode 分配方式，保證用戶可通過預約、拍賣等方式獲得ucode 編碼。該方案便于實現、可應用于現有ucode 系統，可有效解決目前ucode 由于層次架構帶來的問題。該方案通過采用區塊鏈技術保證其標識分配過程公開透明且難以被非法控制。

在UID 部署的研究方案中，主要著眼于如何在物聯網中結合其他技術部署OID，從而解決物聯網中異構、互操作等問題。Yashiro 等[38]基于UID 技術與受限制的應用協議（CoAP,constrained application protocol）提出UID-CoAP 聯合架構，該架構可實現在通用嵌入式節點上托管物聯網服務。其中，CoAP 用于資源受限節點間通信，UID 技術負責描述實現物聯網服務需要的知識和數據，該方案給出了一種將UID 技術運用在物聯網嵌入式系統中的新方法。Kiljander 等[39]基于UID 技術提出了一種面向物聯網的泛在計算互操作架構，該架構為各異構子空間建立信息服務器中介，再由信息服務器中介向ucode 解析服務器注冊。解析時，ucode 解析服務器首先將ucode 編碼解析為信息服務器中介地址，再通過查詢信息服務器將請求定向到特定的信息服務器上，從而完成解析服務，該方案可有效解決物聯網泛在計算中的互操作問題。

②相關應用

ucode 技術主要應用于日本實時操作系統內核（TRON,the real-time operating system nucleus）項目，負責為任意場所和物品植入IC 電子標簽，并分配唯一的ucode 編碼。目前，UID 系統已經從研究階段轉向商用階段，用于支持東京都廳導游信息服務、觀光巴士信息服務、上野動物園導游信息服務等。

3.3 分析與總結

表3從分類、標識主體及特點、解析方式、架構與結果、安全防護和應用領域等方面對上述標識解析體系進行了對比，并以DNS 架構作為參照。從標識主體與解析結果來看，DNS 服務僵硬，無法滿足工業互聯網需求。OID、Ecode 這2種體系均依托于DNS 服務，雖然對其標識主體和解析結果做了擴充，但仍無法滿足工業互聯網差異化需求。相較之下，革新路徑體系服務更為靈活，支持用戶自定義與環境描述，可以更好地運用在工業網絡中。從標識特點看，除UID 外，其他體系均提供不定長編碼，這意味著UID 系統能對標識進行更快速的查詢和匹配，但其有界命名空間將會成為發展的瓶頸。從解析架構看，上述體系均采用層次結構，存在服務綁架風險，不過Handle 在其頂層做了平行化處理，可部分克服層次結構的問題。從安全防護方案看，Handle 體系的安全與隱私保護設計最為全面，該體系通過公私鑰技術、質詢響應協議等，可較好地實現身份安全、數據安全與行為安全。

3.4 其他標識解析方案

本部分將針對新型標識解析方案學術研究進行梳理。根據技術方法，可將研究成果分為基于DHT 技術、基于DHT 與DNS 技術和基于區塊鏈技術3種；根據是否用于改進現有系統，可將研究成果分為改進方案與新型方案2種。改進方案往往未設計標識，僅對解析架構進行改進；新型方案往往同時提出標識方案與解析機制。

①基于DHT 的新型標識解析方案

DHT 是一種不需要中心服務器的分布式存儲方法，通過某種協議將數據分散地存儲在多個節點上，可有效解決集中式架構單一故障帶來的服務癱瘓。同時，DHT 技術通過散列運算進行存儲查詢，可保證用戶隱私與數據安全，目前已被廣泛應用于優化和構建標識解析系統。Cox 等[40]提出了一種基于DHT 技術的域名系統，該系統繼承了DHT 技術的容錯性與負載均衡性，可解決DNS 面臨的許多管理問題。Fabian 等[41]針對DNS穩健性不足、配置復雜、安全性較弱等問題，提出了一種基于DHT 的服務架構以替代對象命名服務，該方案可在一定程度上增強用戶隱私保護強度。Wachs 等[42]提出了一種兼容DNS 體系、抗非法控制、對等、完全分布式、支持隱私保護的標識解析架構。該架構利用屬性加密與簡單分布式安全基礎設施，用證書替換DNS 可信根，映射數據通過DHT 方式發布，實現安全、分布的標識解析服務。Rhaiem 等[43]提出一種基于多級DHT算法的標識解析系統，該系統將標識及其映射數據存儲在多級DHT 網絡中，并由DHT 節點提供解析服務。

表3 現有標識解析體系對比

②基于DHT 與DNS 的新型標識解析方案

DNS 層次架構具有高效、可聚合等優勢，DHT技術擁有對等、安全等優勢，已有部分學者著眼于聯合二者構建混合標識解析系統。Doi 等[44]綜合DHT 與DNS 的優勢，提出了一種DHT-DNS 混合域名系統，該系統將DHT 命名空間掛載在DNS 樹下，DHT 節點充當權威域名服務器。當解析請求到來時，該系統將解析請求解析為某個DHT 節點完成解析服務。Yan 等[45]提出了一種基于DHT 與DNS的新型標識解析方案。該方案使用散列串標識對象，用于解決異構標識兼容問題，同時采用0-1二叉樹構建解析架構，每個散列串都可映射為該二叉樹的一個葉子節點。該方案綜合了DNS 與DHT 的優勢，能同時實現異構標識接入、對等、高效的標識解析服務。

③基于區塊鏈的新型標識解析方案

區塊鏈由Satoshi Nakamoto 于2008年提出，是通過多點實現數據分享、同步和復制的去中心化數據存儲技術，具備無中心、防篡改、安全等優勢，可應用于標識解析系統的改進與構建。域名幣是一種基于區塊鏈的改進域名系統，該方案通過將域名存儲在比特幣內實現DNS 服務，具有去中心、安全、支持隱私保護等優勢。Ali 等[46-47]提出了一種基于區塊鏈與DHT 的新型解析系統，該系統通過散列串實現映射數據檢索，自底向上分別由區塊鏈、虛擬鏈和DHT 網絡3個部分組成。其中，區塊鏈負責存儲各域名及其對應散列串的變化；虛擬鏈讀取底層區塊鏈交易記錄并進行抽象，按照域名存儲其散列串變化；DHT 負責存儲散列串及其對應的IP 地址。注冊時，映射數據存儲在DHT 網絡內、域名與散列串存儲在區塊鏈內；解析時，客戶端首先將域名發送至虛擬鏈，讀取該域名對應的散列串，然后根據散列串在DHT 網絡中檢索，完成解析服務。

4 未來挑戰與研究展望

雖然目前國內外工業互聯網標識解析技術已取得部分成果，但在架構、性能、安全等層面仍存在尚未解決的難題，有待進一步研究，具體如下。

1)架構層面

①多種標識解析方案兼容問題。工業互聯網現存Handle、OID、Ecode 等多種標識解析體系，給數據的互聯互通和使用帶來了巨大的挑戰，所以如何構建異構兼容的標識解析體系，完成對多類業務、服務、數據的銜接與融合是亟需解決的問題。現存2種思路解決兼容問題。第一種是令原體系數據在新體系內重新注冊，實現新體系兼容原體系。該類方案準確率較高但資源開銷巨大。第二種不進行重新注冊，只在新體系入口處訓練分類器，對體系類別進行智能識別。如NIoT 在其系統中構建異構標識識別功能[15]，通過識別算法確認輸入標識對應的標識類型。此類方案開銷較小，但對算法設計要求很高。

②基于多標識解析體系的協同式服務。現存多種標識方案，包括條形碼、二維碼、RFID、URN、域名、IP 地址等，分別用于標識物料、傳感器、工業設備、人員等，存在多個信息孤島。為打破信息孤島，實現生產信息的統一整合，如何基于多標識解析體系提供協同式服務是必須解決的問題，可根據以下2個思路進行解決：利用各體系提供的服務接口，設計合理的信息交換機制，為用戶提供跨應用、跨體系的服務；對現有標識解析體系進行擴展，設計合理的架構和系統組成，實現各體系間數據和服務的互操作。

③解析節點權限不對等。現有標識解析體系多采用單根樹狀結構，該結構帶來的服務節點權限不對等問題可能導致解析服務被非法控制，解析服務無法提供。即使Handle 系統在其頂層構建多根，但仍未在根本上改變解析架構。DHT 技術與區塊鏈技術以其去中心化的分布式存儲方式，有望成為解決該問題的備選方案。目前，已有學者嘗試基于DHT 技術或區塊鏈技術構建去中心化、對等解析架構[40-47]，保證各服務節點間權力相同，解決單根結構帶來的安全問題與解析瓶頸問題等。

2)性能層面

①超低時延要求。工業網絡對解析時延和準確性有更為敏感的要求，同時工業網絡存在海量數據高并發接入、多命名格式與協議并存等現象，所以如何設計更有效的解析機制，保證在復雜工業環境下，實現快速的命名映射與協議轉換，完成超低時延跨體系、跨協議的解析服務也是亟需解決的問題。

②可擴展性要求。工業互聯網標識解析體系在標識主體、命名空間和協議上均有可擴展性要求[48]，為現有體系帶來挑戰。首先，如何設計合理的標識方案，保證標識主體可擴展，以滿足未來多種主體標識需要是必須解決的問題；其次，如何保證命名空間足夠大，以滿足未來海量數據要求亟需解決；最后，如何設計合理的機制，保證設計的標識解析體系在協議層面可擴展，能無縫添加其他協議子域，實現未來其他協議和命名空間無障礙加入也值得進一步研究。

3)安全層面

現有標識解析體系的安全與隱私保護方案不能滿足工業需求。首先，基于改良路徑的體系繼承了DNS 系統存在的一系列問題，包括架構脆弱、易被緩存投毒、單點故障風險等。同時，此類體系多依托于DNS 安全保障措施，較少提出新的安全保障機制，而DNS 安全防護方案并不完善，面臨多種攻擊風險，無法滿足工業需求；其次，作為革新路徑的代表，Handle 體系雖設計了一系列防護方案，但僅對用戶設置了兩級權限，數據權益保護粒度較粗，且同樣無法解決緩存投毒、拒絕服務攻擊等問題。此外，工業互聯網標識解析服務存在大量跨信任域的訪問控制，所以如何設計細粒度、動態化、輕量級、安全的跨域訪問控制機制也是十分重要的研究內容。目前，已有學者開始嘗試使用區塊鏈技術解決標識解析體系存在的安全與隱私保護問題[49-50]。

4)其他挑戰

①解析方式與結果僵化。現有體系解析方式與結果僵化，不能滿足工業互聯網需求，應從以下4個方面入手解決。第一，提供差異化解析服務。不同用戶查詢同一個標識，返回的結果應不同。第二，滿足行業特殊需求。不同行業對解析服務要求存在差異，如交通行業對時延要求更高、林業對成本更為敏感，解析系統應能針對不同行業提供不同性能的服務。第三，自定義映射數據與解析結果。不同應用對解析結果要求存在差異，解析結果可能需要為URL、IP 地址、商品簡介等，工業互聯網解析系統應允許用戶自定義映射數據，支持差異化需求。第四，支持群組檢索。現有解析技術只能根據標識進行粗粒度查詢，無法根據對象屬性或對象間相關性進行批量、群組檢索。目前，已有學者提出面向工業互聯網的信息聚合架構，以實現數據從多個分布式節點進行檢索[51]。

②標識失效問題。如何為對象設計永久標識是另一個需要解決的問題，永久標識是服務穩定提供的基礎，現有2類標識思路均難以保證永久性標識。一種思路是根據對象所有者、管理者或其他屬性設計包含語義的標識。然而這種標識方案具備語義信息，對象所有者、管理者或屬性等信息更改時會導致標識失效。另一種思路是對資源內容做散列運算，并將散列運算結果作為標識描述對象。然而這種方案無法解決標識失效問題，資源更新后同樣會導致標識失效。所以如何保證對象標識的永久性，從而提供穩定的網絡服務有待未來進一步研究。

5 結束語

工業互聯網已得到國內外產學研領域的充分重視，而作為工業互聯網的重要支撐基礎設施，標識解析技術是必須攻克的一環。本文首先討論了工業互聯網標識解析體系設計原則與關鍵支撐技術；其次對現有標識解析體系從概述、關鍵技術、相關研究與應用3個方面進行了綜述，介紹了其核心原理與運行機制；然后針對新型標識解析方案學術研究進行了梳理；最后討論了該領域面臨的挑戰與未來發展方向。