CN104410569A

CN104410569A - 一种感知通信互联网关及数据处理方法

Info

Publication number: CN104410569A
Application number: CN201410696853.3A
Authority: CN
Inventors: 杨明; 巩思亮; 梁辰; 梅林�; 齐力; 吴轶轩; 唐前进
Original assignee: Third Research Institute of the Ministry of Public Security
Current assignee: Third Research Institute of the Ministry of Public Security
Priority date: 2014-11-26
Filing date: 2014-11-26
Publication date: 2015-03-11
Anticipated expiration: 2034-11-26
Also published as: CN104410569B

Abstract

本发明公开了一种感知通信互联网关及数据处理方法，整个方案包括硬件部分和软件功能部分。硬件部分由主控制部分、感知通信部分、应用网络连接部分、数据安全处理部分、系统扩展部分和电源部分组成。软件部分由嵌入式操作系统、web服务、无线短程通信、总线通信、视频采传、安全接入等构成。本发明通过嵌入式系统和安全硬件加固的设计方案，一方面实现了感知终端安全接入的管理和感知数据加密通信保障，另一方面实现了网关与应用服务端的安全连接和加密通信。该网关兼容无线短程、总线、多类型视频等多类感知终端的接入和数据转发，支持多种协议，具备安全性和易用性。

Description

一种感知通信互联网关及数据处理方法

技术领域

本发明涉及物联网和信息安全技术领域，具体涉及信息感知和通信的网络连接设备。

背景技术

感知通信互联网网关是物联网相关技术产物之一，物联网技术主要解决的是物与物、人与物的通信问题，物联网是在IP网络的基础上进行扩展和延伸，通过感知通信使得物与物、人与物之间能够相互联系。物联网架构可分为三层：感知层、网络层和应用层，其中连接感知层和网络层的关键设备之一就是感知通信网关，它是物联网应用中的一个至关重要的环节。

感知通信互联网关是一种通信设备，它的主要功能是提供有线或无线类感知终端与接入(IP)网络的连接互通，并实现数据通信协议的转换。一方面，它将来自接入网络的数据和指令进行解析和协议转换，使其满足感知通网络的协议要求，并发送到指定的感知终端设备上；另一方面，它将来自感知网络的数据和指令，进行解析和协议转换，使其满足接入网络的协议要求，并发送到指定的接入网络中去。从而实现跨越通信层次和网络协议的数据交换功能。

感知通信互联网关根据其应用不同，通常会有多个类型的通信接口，如：RS-485、RS-232、短程无线通信、WiFi、2G/3G/4G无线公网、Lan等。它可以将不同类型的网络通过其具备的接口连接起来，并实现数据转发。这种网关在视频监控、交通、工业控制、社区安防、智能家居、环境监测等领域有着广泛的应用。

感知通信互联网关除了广泛的通信支持和网络互联的功能外，更重要的一点它也是实现物联网应用信息安全的关键设备。

但是现有的感知通信互联网关在感知数据采集及系统互连上信息安全保障方面存在不足，大大影响物联网中信息数据传输的安全性。

发明内容

针对现有产品在感知数据采集及系统互连上信息安全保障不足的问题，本发明的目的之一在于提供一种具备信息安全功能感知互联网关。

本发明的目的之二在于提供一种上述感知互联网关进行数据处理的方法。

为了达到上述目的，本发明采用如下的技术方案：

一种感知通信互联网关，其包括：

感知通信部分，所述感知通信部分与主控制部分连接，用于与感知终端形成有线/无线连接，并在此基础上进行符合终端通信协议的感知数据采集或数据传输操作；

应用网络连接部分，所述应用网络连接部分与主控制部分连接，用于与应用以太网络的互联，实现终端、网关与以太网络互联的功能支持，并实现感知数据向以太网络传输的通路；

数据安全处理部分，所述数据安全处理部分与主控制部分连接，用于进行数据信息的加解密计算和密钥及密钥材料的安全存储；

系统扩展部分，所述系统扩展部分与主控制部分连接，用于提供系统调试接口，系统时钟，外部存储和显示，防物理拆卸；

主控制部分，所述主控制部分控制感知通信部分、应用网络连接部分、数据安全处理部分、系统扩展部分，实现感知终端安全接入的管理和感知数据加密通信保障以及网关与应用服务端的安全连接和加密通信；

电源部分，所述电源部分向网关提供电源供给。

在该互联网关的优选方案中，所述主控制部分包括：

ARM主控制芯片，所述ARM主控制芯片用于数据安全处理和存储；

嵌入式系统，所述嵌入式系统嵌入在ARM主控制芯片中，对网关实现系统管理；

web服务模块，所述web服务模块运行于嵌入式系统，实现本地/网络登录网关时的web服务；

安全无线短程通信模块，所述安全无线短程通信模块运行于嵌入式系统，实现网关与无线短程通信终端的信息交互；

RS-485/RS-232应用通信模块，所述RS-485/RS-232应用通信模块运行于嵌入式系统，实现了网关与总线式终端的信息交互；

加密视频采集传输模块，所述加密视频采集传输模块运行于嵌入式系统，实现网关的多类视频信息采集；

安全接入客户端模块，所述安全接入客户端模块运行于嵌入式系统，实现网关与接入应用网络的以太网络可信通信功能。

进一步的，所述感知通信部分包括：RS232/RS485通信接口、无线射频模块、USB通信接口、GPS定位模块、音视频通信接口。

进一步的，所述应用网络连接部分包括以太网模块、WiFi模块以及移动互联网通信模块。

进一步的，所述数据安全处理部分包括安全协处理器和安全加密卡。

进一步的，所述系统扩展部分包括外部显示接口、调试接口、RTC模块、防拆报警电路以及外部存储SD接口。

一种感知通信互联网关的数据处理方法，所述网关进行数据处理的方法如下：

(1)网关通过存储于本地的用户信息数据库进行用户认证，进行远程/本地用户登录管理；

(2)网关通过以太网和安全接入客户端模块与应用服务端的安全接入服务器进行基于公钥PKI机制的双向认证并建立可信连接，网关与应用服务端数据通信采用加密方式；

(3)网关与无线短程类、RS-485/RS-232总线类、视频类终端进行基于预共享密钥或公钥协商的认证，并建立可信连接，网关获取感知终端信息数据采用加密方式；

(4)网关采用指令通道与数据通道分隔的传输方式与应用服务器进行数据通信；

(5)网关通过独立的日志和审计方式进行基于安全事件触发的日志和审计记录。

在该数据处理方法的优选方案中，所述网关进行远程/本地用户登录管理时，网关采用用户登录时提供的输入信息与本地用户信息进行对比的方式来进行用户鉴别。

进一步的，所述网关与应用服务端的网络服务器之间的数据通信采用硬件数字证书为认证介质，该证书的授权和注销由应用服务端的网络服务器的证书服务器来管理和控制。

进一步的，所述网关与应用服务端的网络服务器之间的通信均采用VPN隧道模式，数据包格式可以区分指令所作用的端口类型。

进一步的，所述指令通道与数据通道分隔的传输方式中指令通道采用双向传输模式，并在网关处和安全接入网关的数据入口处具备协议检查、病毒防护和数据过滤功能；数据通道采用单向传输方式。

进一步的，网关与无线短程类、RS-485/RS-232总线类、视频类终端的通信预共享密钥，是通过网关的本地串行接口，使用特定的密钥传输协议单向输入的，协议不给予反馈信息。

进一步的，所述网关通过安全接入客户端模块将用户数据存储于网关的ARM主控制芯片存储区内。

进一步的，所述网关还进行指令协议格式检查和数据包过滤，其中协议格式检查是通过对比预先设定的应用协议数据库来进行的，不符合协议的指令和数据会被丢弃，并根据端口丢弃数据的多少，来辅助判定端口安全威胁级别。

进一步的，所述网关还进行指令数据的病毒、攻击检查，对符合协议格式的数据进行病毒、攻击等特征数据库比对，并将疑似指令数据丢弃；并根据端口丢弃数据的多少，来辅助判定端口安全威胁级别。

进一步的，所述网关还进行时钟运行校正，由应用服务端的网络统一授时服务器提供，并对数据流中的时间信息进行加密，保障数据的时效性及安全性。

进一步的，所述网关进行网关的日志/审计时，记录并审计由以下安全事件触发的信息：

触发条件：

①用户登录失败事件；

②应用系统接入认证失败事件；

③记录病毒、攻击数据丢弃事件。

本发明提供的方案通过嵌入式系统和安全硬件加固的设计方案，一方面实现了感知终端安全接入的管理和感知数据加密通信保障，另一方面实现了网关与应用服务端的安全连接和加密通信。该网关兼容无线短程、总线、多类型视频等多类感知终端的接入和数据转发，支持多种协议，具备安全性和易用性。

附图说明

以下结合附图和具体实施方式来进一步说明本发明。

图1为本发明实例中感知通信网关的硬件结构框图；

图2为本发明实例中感知通信网关操作系统上的应用软件关系图。

具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。

本实例提供的感知通信互联网关主要由两方面构成：一方面实现多类感知终端通过感知互联网关与应用以太网络的互联通信；另一方面实现感知互联网关对感知终端的接入管理，数据传输安全保障等功能；以及实现感知互联网关接入应用以太网络时的双向认证、访问控制、数据安全等功能的支持；并通过网关建立应用以太网络与感知终端的安全数据链路并实现可信通信。

据此，本实例提供的感知通信互联网关主要由模块化的硬件和软件两部分组成，并整体上实现具备安全功能的信息感知、数据处理和传输：

①持多种数据接口和多种感知数据采集；

②支持无线短程网络的管理；

③支持感知终端鉴别、感知数据、传输的信息安全机制。

结合图示案例，本实例提供的感知应用网关主要包括硬件部分和软件部分。

参见图1，其所示为本实例感知应用网关中的硬件部分结构示意图。感知应用网关中的硬件结构主要包括：一ARM主控制部分101，一感知通信部分102，一应用网络通信部分103，一数据安全处理部分104，一系统扩展部分105，一电源部分106。

其中，ARM主控制部分101为整个网关结构的中枢系统，用于数据安全处理和存储。该ARM主控制部分101与其它硬件模块相连，具备控制和管理其它硬件模块进行数据交互的功能。特别的，ARM主控制部分101和数据安全处理部分104配合构成了网关的信息安全处理系统。

具体的由ARM COTEXA7双核处理器、2G内存芯片、1GFlash存储芯片、多种接口电路连接器等构成，并具备对称/非对称安全算法、硬件真随机数发生器、总线加/解扰、安全存储区等功能。

感知通信部分102通过与ARM主控制部分101的连接，用于实现感知通信数据的采集。该部分主要由RS-232/RS-485通信接口102a、2.4GHz无线射频模块102b、USB通信接口102c、GPS定位模块102d以及音视频通信接口102e等感知通信端口构成，并由ARM主控制部分101控制其端口使能，分别实现RS-232、RS-485总线传感/控制通信，2.4GHz无线短程数据通信，USB总线数据通信(1个USB-OTG、2个USB-HOST)，GPS卫星定位及时钟信息采集，模拟音视频信息采集等。

应用网络通信部分103通过与ARM主控制部分的连接，用于实现与应用IP网络的数据传输。其主要由以太网模块103a、WiFi模块103b以及移动互联网通信模块103c组成，并由ARM主控制部分101控制分别实现以太网连接的数据通信、WiFi无线连接的数据通信、2G/3G/4G移动互联网连接的数据通信。

数据安全处理部分104通过与ARM主控制部分的连接，用于实现信息安全相关的加解密计算和密钥材料信息存储的功能。该处理部分由安全协处理器104a和安全加密卡104b构成，其中安全协处理器104a用于处理来自于感知通信部分的数据加解密计算、密码材料存储等安全功能，并将结果反馈给ARM主控制部分；安全加密卡104b用于实现网关与应用网络的双向认证、数据通信、密码材料存储等计算和安全功能。

系统扩展部分105主要由ARM主控制部分101的周边电路构成，用于实现本地显示、本地存储扩展、系统实时时钟、防拆报警等功能。该部分主要由外部显示接口105a、调试接口105b、RTC模块105c、防拆报警电路105d以及外部存储SD接口105e，并由ARM主控制模块控制根据不同的电路模块连接对应的实现网关板上软件的本地显示外扩HDMI、VGA等接口，本地存储的外扩SD接口，RTC系统实时时钟，防拆报警等功能。

其中，调试接口105b只与ARM主控制部分101进行通信，ARM主控制部分101的处理器上没有调试接口，且不可改写固件。

防拆报警电路105d由电池供电并独立记录拆卸情况，在网关开机时可通过以太网发出拆机报警。

电源模块106由多种电源输入转换和保护电路构成，用于实现向所有的板载模块和芯片的供电，以及提供对上述供电的管理和保护功能。具体的通过多路的电源转换电路与ARM主控制模块的连接，实现板上多路/多类电源的供电和控制功能。

参见图2，其所示为配合上述感知应用网关中硬件部分的软件系统及应用软件的关系图。由图可知，本实例感知应用网关中的软件部分包括：一基于嵌入式Linux的Ubuntu系统或Android系统软件201，一WEB服务模块202，一安全无线短程通信模块203，一RS-485/RS-232应用通信模块204，一加密视频采集传输模块205，一应用网络接入客户端模块206。

其中，嵌入式操作系统201其嵌入运行在ARM主控制部分101中，实现了整个网关的系统管理，即实现所有硬件通信接口的驱动和管理，网关上的本地存储和扩展存储管理，显示和输入的支持，应用程序管理等功能。特别的，实现了基于硬件的系统安全加固功能，如数字证书加载、更新，应用软件授权安装等功能。

WEB服务模块202其运行在嵌入式操作系统201中，实现了本地/网络登录网关时的web服务，包括：登录保护，系统基本信息查询，无线短程通信网络连接查询和管理、以太网连接状态查询、设置和管理，RS-232串口设置、视频编解码/传输设置，安全日志审计等功能。特别的，其提供了与安全无线短程通信模块203，RS-485/RS-232应用通信模块204，加密视频采集传输模块205，应用网络接入客户端模块206的设置和状态信息交互，实现了网关管理的WEB页面服务。

安全无线短程通信模块203其运行在嵌入式操作系统201中，实现了网关与无线短程通信终端的信息交互，具体的通过对ARM主控制部分101中的硬件安全算法的调用和计算，实现了基于预置密钥、真随机数、256位ECC算法的ECDH密钥交换及无线短程通信设备接入认证，实现了感知信息数据传输的AES-128位算法加解密，并实现了感知数据的协议转换和以太网络转发功能。

RS-485/RS-232应用通信模块204其运行在嵌入式操作系统201中，实现了网关与总线式终端的信息交互，具体实现了RS-485/RS-232等接口的总线式终端的接入和数据通信，具备安全协议支持终端接入认证及数据加密，并实现了总线感知数据的协议转换和以太网络转发功能。

加密视频采集传输模块205其运行在嵌入式操作系统201中，实现了网关的多类视频信息采集功能，具体的实现了：

①基于TV和YPbPr的模拟视频输入的模数转换、数据压缩编码，数据流控制及传输协议，数据流加密，加密本地存储及以太网传输功能；

②基于USB接口的视频输入的压缩编码，数据流控制及传输协议，数据流加密，加密本地存储及以太网传输功能；

③实现了网关本地通过VGA、HDMI等接口的视频采集实时显示及回放功能。

应用网络接入客户端模块206其运行在嵌入式操作系统201中，实现了网关与接入应用网络的以太网络可信通信功能，具体的实现了网关与应用接入服务器的基于硬件(软件)数字证书的双向认证，并在此基础上的隧道模式通信连接和128位AES算法数据加密传输。特别的客户端提供了存储区访问控制机制，可以设定用户对网关本地存储内容的访问控制。

由上述硬件和软件部分构成的感知通信互联网关在进行信息感知和数据处理时，将具备如下功能：

(1)网关通过存储于本地的用户信息数据库进行用户认证，具备远程/本地用户登录管理功能。

网关采用用户登录时提供的输入信息与本地用户信息进行对比的方式来进行用户鉴别，本地用户信息包括在网关上注册的：用户名、密码，以及配置的访问权限。

(2)网关通过以太网和安全网络接入客户端模块与应用服务端的安全接入服务器进行基于公钥PKI机制的双向认证并建立可信连接，网关与应用服务端数据通信采用加密方式，具体由网关中的ARM主控制部分调用安全加密卡来实现。

网关与应用服务端的网络服务器进行加密数据通信时，采用硬件数字证书为认证介质，该证书的授权和注销由应用服务端的网络服务器的证书服务器来管理和控制。

所述应用服务端的网络服务器与网关的通信均采用VPN隧道模式，数据包格式可以区分指令所作用的端口类型，类型包括：限定的串行接口、无线通信接口、USB接口、音视频模拟接口、以太网接口。

(3)网关与无线短程类、RS-485/RS-232总线类、视频类终端进行基于预共享密钥或公钥协商的认证，并建立可信连接，网关获取感知终端信息数据采用加密方式，具体由网关中的ARM主控制部分调用安全协处理器来实现。

网关与无线短程类、RS-485/RS-232总线类、视频类终端的通信预共享密钥，是通过网关的本地串行接口，使用特定的密钥传输协议单向输入的，协议不给予反馈信息。

(4)网关与应用服务器之间数据通信，采用指令通道与数据通道分隔的传输方式，①指令通道采用双向传输模式，并在网关处和安全接入网关的数据入口处具备协议检查、病毒防护和数据过滤功能；②数据通道采用单向传输方式，即网关向安全接入网关单向传输数据。

(5)网关具备独立的日志和审计功能，可进行基于安全事件触发的日志和审计记录。网关在进行日志/审计时，记录并审计由以下安全事件触发的信息。

触发条件：

①用户登录失败事件；

②应用系统接入认证失败事件；

③记录病毒、攻击数据丢弃事件。

日志格式为：日期/时间、事件类型、事件主体、成功/失败。

除此之外，本网关还具有指令协议格式检查和数据包过滤功能，协议格式检查是通过对比预先设定的应用协议数据库来进行的，不符合协议的指令和数据会被丢弃，并根据端口丢弃数据的多少，来辅助判定端口安全威胁级别。

本网关还具有指令数据的病毒、攻击检查功能，对符合协议格式的数据进行病毒、攻击等特征数据库比对，并将疑似指令数据丢弃。并根据端口丢弃数据的多少，来辅助判定端口安全威胁级别。

本网关还进行时钟运行校正，由应用服务端的网络服务器统一授时服务器提供，并对数据流中的时间信息进行加密，保障数据的时效性及安全性。

该网关在使用过程中，用户数据(包括用户信息数据库、密钥材料、特殊信息等)采用安全接入客户端模块提供的加密存储功能，并存储于网关的ARM主控制部分的存储区内，该处理器具备多种物理安全防护功能，只有具备访问权限，即具备读取密钥的用户方可访问加密数据内容。

由上可知，本实例提供的感知通信互联网关除了广泛的通信支持和网络互联的功能外，还能够保证物联网应用信息安全。其通过部署的安全模块，一方面可以保障感知层的信息安全，另一方面，还可以保障接入网络不受感知层的入侵。

再者，通过本实例提供的感知通信互联网关能够实现物联网应用系统拥有对连接的网络和终端的强大管理能力，通过本网关可实现对接入的例如注册、访问、状态反馈等管理支持功能，通过本网关还可对接入感知终端进行管理和必要的数据传输保护支持。通过感知通信互联网关上部署的信息安全模块，可以提供对以上两种管理能力充分支持和安全保障。

以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。

Claims

1.一种感知通信互联网关，其特征在于，所述网关包括：

电源部分，所述电源部分向网关提供电源供给。

2.根据权利要求1所述的一种感知通信互联网关，其特征在于，所述主控制部分包括：

3.根据权利要求1所述的一种感知通信互联网关，其特征在于，所述感知通信部分包括：RS232/RS485通信接口、无线射频模块、USB通信接口、GPS定位模块、音视频通信接口。

4.根据权利要求1所述的一种感知通信互联网关，其特征在于，所述应用网络连接部分包括以太网模块、WiFi模块以及移动互联网通信模块。

5.根据权利要求1所述的一种感知通信互联网关，其特征在于，所述数据安全处理部分包括安全协处理器和安全加密卡。

6.根据权利要求1所述的一种感知通信互联网关，其特征在于，所述系统扩展部分包括外部显示接口、调试接口、RTC模块、防拆报警电路以及外部存储SD接口。

7.一种感知通信互联网关的数据处理方法，其特征在于，所述网关进行数据处理的方法如下：

8.根据权利要求7所述的一种感知通信互联网关的数据处理方法，其特征在于，所述网关进行远程/本地用户登录管理时，网关采用用户登录时提供的输入信息与本地用户信息进行对比的方式来进行用户鉴别。

9.根据权利要求7所述的一种感知通信互联网关的数据处理方法，其特征在于，所述网关与应用服务端的网络服务器之间的数据通信采用硬件数字证书为认证介质，该证书的授权和注销由应用服务端的网络服务器的证书服务器来管理和控制。

10.根据权利要求7所述的一种感知通信互联网关的数据处理方法，其特征在于，所述网关与应用服务端的网络服务器之间的通信均采用VPN隧道模式，数据包格式可以区分指令所作用的端口类型。

11.根据权利要求7所述的一种感知通信互联网关的数据处理方法，其特征在于，所述指令通道与数据通道分隔的传输方式中指令通道采用双向传输模式，并在网关处和安全接入网关的数据入口处具备协议检查、病毒防护和数据过滤功能；数据通道采用单向传输方式。

12.根据权利要求7所述的一种感知通信互联网关的数据处理方法，其特征在于，网关与无线短程类、RS-485/RS-232总线类、视频类终端的通信预共享密钥，是通过网关的本地串行接口，使用特定的密钥传输协议单向输入的，协议不给予反馈信息。

13.根据权利要求7所述的一种感知通信互联网关的数据处理方法，其特征在于，所述网关通过安全接入客户端模块将用户数据存储于网关的ARM主控制芯片存储区内。

14.根据权利要求7所述的一种感知通信互联网关的数据处理方法，其特征在于，所述网关还进行指令协议格式检查和数据包过滤，其中协议格式检查是通过对比预先设定的应用协议数据库来进行的，不符合协议的指令和数据会被丢弃，并根据端口丢弃数据的多少，来辅助判定端口安全威胁级别。

15.根据权利要求7所述的一种感知通信互联网关的数据处理方法，其特征在于，所述网关还进行指令数据的病毒、攻击检查，对符合协议格式的数据进行病毒、攻击等特征数据库比对，并将疑似指令数据丢弃；并根据端口丢弃数据的多少，来辅助判定端口安全威胁级别。

16.根据权利要求7所述的一种感知通信互联网关的数据处理方法，其特征在于，所述网关还进行时钟运行校正，由应用服务端的网络统一授时服务器提供，并对数据流中的时间信息进行加密，保障数据的时效性及安全性。

17.根据权利要求7所述的一种感知通信互联网关的数据处理方法，其特征在于，所述网关进行网关的日志/审计时，记录并审计由以下安全事件触发的信息：

触发条件：

①用户登录失败事件；

②应用系统接入认证失败事件；

③记录病毒、攻击数据丢弃事件。