CN103401906A - 一种安全联锁装置的远程配置方法 - Google Patents

Abstract

本发明公开了一种安全联锁装置的远程配置方法，包括以下步骤：（1）目标寻址采用组合式判断逻辑，通过IP地址/端口号和设备ID共同确定目标身份标识；（2）客户端对包含用户名和密码信息的配置请求HTTP数据流加密传输至服务端；（3）服务端配置进程对数据的访问采用Biba模型，将进程实体与数据实体划分等级并严格按照层级控制数据访问；（4）对装置系统可信性采用试运行动态度量技术，通过对试运行输入、输出数据的分析判定是否修改配置；（5）远程配置采用响应式架构，服务端在配置完成后，将结果信息编码后反馈给客户端。其显著优点在于维护人员能够远程操作安全联锁装置完成升级从而节约时间和劳动力，并且操作简单、实施稳定性高以及安全性高。

Description

一种安全联锁装置的远程配置方法

技术领域

本发明属于安全联锁装置领域。

背景技术

目前，联锁装置已经普遍用于生产和生活中的各个领域，除了工业控制，还常见于家用电器、医疗器械、航空航天以及各类电子产品和通信终端中。它通过严格控制传动系统中的操纵机构和防护装置，起着保护系统和人员安全的重要作用。然而，传统的联锁装置缺乏重用性，功能上的细微扩展、变化就需要升级软硬件，这样不仅会导致重复劳动带来的浪费，而且影响正常的生产和生活。

发明内容

发明目的：本发明的目的是针对现有技术的不足而提供一种安全联锁装置的远程配置方法，能够远程操作安全联锁装置完成升级从而节约时间和劳动力，并且操作简单、实施稳定性高以及安全性高。

技术方案：为了实现发明的第一目的，本发明公开了一种安全联锁装置的远程配置方法，包括以下步骤：

（1）目标寻址采用组合式判断逻辑，通过IP地址/端口号和设备ID共同确定目标身份标识；

（2）客户端对包含用户名和密码信息的配置请求HTTP数据流加密传输至服务端；

（3）服务端配置进程对数据的访问采用Biba模型，将进程实体与数据实体划分等级并严格按照层级控制数字访问；

（4）对装置系统可信性采用试运行动态度量技术，通过对试运行输入、输出数据的分析判定是否修改配置；试运行模块读取新配置数据，可信度量模块对软件运行可信性进行评估，对破坏系统软件可信性配置数据阻止配置，否则完成配置；（5）远程配置采用响应式架构，服务端在配置完成后，将结果信息编码后反馈给客户端。

为了实现发明的第二目的，所述步骤（1）包括以下处理过程：通过IP地址/端口号访问联锁设备；读取设备ID号，校验设备ID，校验成功后才认为寻址成功。所述步骤（2）包括以下处理过程：用户提交配置数据和用户名、密码信息，客户端提取提交数据内容，产生数字摘要，加密后与原数据包一起传输至服务端。所述步骤（3）的数据访问模型按照完整性等级由高至低将主客体分为如下几个层级：不可修改的配置数据以外的数据客体；配置进程主体；原始配置数据客体；读配置数据的系统进程主体；接收到的配置数据客体；试运行进程主体模块；高层级的主体不可读低层级的客体，低层级的主体不可写高层级的客体。所述步骤（4）中判断客体为试运行所配数据，当配置结果影响系统软件可信性时，阻止配置数据修改，确保系统稳健运行。

有益效果：本发明与现有技术相比，B/S架构的远程配置方式以及使用了HTTP协议使得维护人员不需再跑到装置所在地进行现场配置，而是可以进行远程操作。同时，组合逻辑寻址技术、基于面对网络安全威胁的数字证书技术、保护计算机完整性的安全Biba模型以及应用软件可信度动态度量技术的联合使用使得整个配置过程操作简单、实施稳定性高并且安全性高。

附图说明

图1为本发明的远程配置联锁装置通讯流程图；

图2为本发明的联锁装置内部通讯模块图。

具体实施方式

下面结合附图对本发明作更进一步的说明。

如图2所示，本发明的安全联锁装置的远程配置方法是基于B/S架构完成的，即客户端与服务端，其中服务端包括数据收发模块、数据访问模块以及动态评估模块。

如图1所示，服务端的数据收发模块通过标准HTTP协议与客户端的编解码通讯模块通讯，接收客户端发送的配置请求，校验身份ID，确认寻址设备，对收到的数据进行SHA加密，并通过约定密钥解密数字摘要，将加解密所得密钥进行不对，若一致，证明数据内容可用则实施配置后将进行SHA加密后的数据再用私钥加密后与数据原文一起发送至客户端，否则直接丢弃请求数据并向客户端发送配置失败反馈信息。

服务端的数据访问模块包括主体模型、访问规则以及客体模型；其中主体模型和客体模型按完整性等级由高至低依次划分为：不可修改的配置数据以外的数据客体，配置进程主体，原始配置数据客体，读配置数据的系统进程主体，接收到的配置数据客体，试运行进程主体模块；而访问规则为：高层级的主体不可读低层级的客体，低层级的主体不可写高层级的客体。数据访问模块从数据收发模块获得配置数据，将进程模块和系统不同类型数据划分不同层级，在维护系统数据完整性的前提下暂存配置数据。

动态评估模块包括操作管理、现场保存及还原、度量模块；其中操作管理用于管理试运行进程模块，在配置数据临时拷贝生成后，读入数据试运行，开始度量系统可靠性，完成操作后，根据度量结果还原原有环境或保存配置数据；现场保存及还原，用于保存原有进程退出时上下文环境，在试运行结束时根据保存的寄存器值快速恢复运行环境；度量模块，根据期待输入输出关系集合数据，比较试运行进程输入输出是否符合预期，进而判断配置数据是否影响联锁装置正确运行。动态评估模块感知到临时拷贝数据后，即转入试运行模块执行；在此之前，现场保存模块将原有的控制程序中参数、寄存器值压栈保护。转入试运行模块运行后，度量模块判断模块输入输出数据关系是否符合预期逻辑，如果符合，认为新配置模块的运行仍然可以预期，认为配置结果可信，并将这一度量结果反馈给数据访问模块，通知数据访问模块将新配置数据写入永久存储，删除临时拷贝，停止试运行进程，并重新启动控制程序，读入新配置数据；否则，新配置模块不可信，直接退出试运行模块，还原原来的控制程序，不予配置。

此外，服务端联锁系统可进一步包括：平台可信控制模块，基于TCG信任传递方法，基于可信计算根，对整个软、硬件系统实现可信控制、度量和报告；以及具有不同操作权限的不同角色、用户、用户组。

在实际应用当中，整个联锁系统的远程配置控制过程如下：拥有权限的用户在客户端提交配置数据；网页后端将信息内容和设备ID加入数字证书后编码发送到服务端收发数据模块；收发数据模块对收到数据解密，校验设备ID并验证用户名和密码后发送给配置数据读写模块；配置数据读写模块按照完整性模型存储数据并通知可信性动态评估模块；动态评估模块判定配置后的控制软件是否可信，具备条件后将信息反馈给配置数据读写模块；配置数据访问模块写入数据并通知收发数据模块；收发数据模块将配置结果发送给客户端；页面后端处理信息，前端用户收到成功配置信息，配置完成。

Claims (5)

1.一种安全联锁装置的远程配置方法，其特征在于，包括以下步骤：

（1）目标寻址采用组合式判断逻辑，通过IP地址/端口号和设备ID共同确定目标身份标识；

（2）客户端对包含用户名和密码信息的配置请求HTTP数据流加密传输至服务端；

（3）服务端配置进程对数据的访问采用Biba模型，将进程实体与数据实体划分等级并严格按照层级控制数据访问；

（4）对装置系统可信性采用试运行动态度量技术，通过对试运行输入、输出数据的分析判定是否修改配置；试运行模块读取新配置数据，可信度量模块对软件运行可信性进行评估，对破坏系统软件可信性配置数据阻止配置，否则完成配置；

（5）远程配置采用响应式架构，服务端在配置完成后，将结果信息编码后反馈给客户端。

2.如权利要求1所述的一种安全联锁装置的远程配置方法，其特征在于，所述步骤（1）包括以下处理过程：通过IP地址/端口号访问联锁设备；读取设备ID号，校验设备ID，校验成功后才认为寻址成功。

3.如权利要求1所述的一种安全联锁装置的远程配置方法，其特征在于，所述步骤（2）包括以下处理过程：用户提交配置数据和用户名、密码信息，客户端提取提交数据内容，产生数字摘要，加密后与原数据包一起传输至服务端。

4.如权利要求1所述的一种安全联锁装置的远程配置方法，其特征在于，所述步骤（3）的数据访问模型按照完整性等级由高至低将主客体分为如下几个层级：不可修改的配置数据以外的数据客体；配置进程主体；原始配置数据客体；读配置数据的系统进程主体；接收到的配置数据客体；试运行进程主体模块；

高层级的主体不可读低层级的客体，低层级的主体不可写高层级的客体。

5.如权利要求1所述的一种安全联锁装置的远程配置方法，其特征在于，所述步骤（4）中判断客体为试运行所配数据，当配置结果影响系统软件可信性时，阻止配置数据修改，确保系统稳健运行。

Images