CN109587142A

CN109587142A - 一种面向业务流的数据安全接入模块和设备

Info

Publication number: CN109587142A
Application number: CN201811503045.5A
Authority: CN
Inventors: 陈毅平
Original assignee: BEIJING HUAHONG INTEGRATED CIRCUIT DESIGN Co Ltd
Current assignee: BEIJING HUAHONG INTEGRATED CIRCUIT DESIGN Co Ltd
Priority date: 2018-12-10
Filing date: 2018-12-10
Publication date: 2019-04-05
Anticipated expiration: 2038-12-10
Also published as: CN109587142B

Abstract

本申请公开了一种面向业务流的数据安全接入模块和设备，包括：主控单元，以及与主控单元相连的业务流单元、加密/解密单元、数字证书认证单元、数据采集单元和数据传输单元；其中：主控单元，用于运行系统程序实现整体控制；业务单元，用于封装标准化的业务流程库，供主控单元调用，以实现多种业务场景；加密/解密单元，用于对输入明文执行加密运算，以及对输入密文执行解密运算；数字证书认证单元，用于为安全通信提供电子安全认证；数据采集单元，用于实现数据采集功能，以提供不同业务所需的原始数据信息；数据传输单元，用于负责与外部网络或外部终端之间的指令交互以及数据传输。本申请能够有效解决现有的物联网改造方案的缺陷。

Description

一种面向业务流的数据安全接入模块和设备

技术领域

本申请涉及通信技术领域，尤其涉及一种面向业务流的数据安全接入模块和设备。

背景技术

随着通信技术的发展和产业的进步，物联网技术迎来新的突破，物联网信息化需求出现井喷。各行各业都加入这场盛宴，快速布局各自的业务，并改造当前业务模式，通过业务终端加业务平台的方式，实现传统业务的信息化和智能化。例如：新零售、车联网、工业4.0、智慧农场、智慧社区等，以智能硬件为核心的物联网正在快速发展，万物互联的时代已经到来。

现有的物联网化改造方案，包含两部分：一是对业务终端设备的改造，二是对管理平台的改造。通过云管端、端与端通信的方式，实现业务自动化。长期来看，物联网化改造可大大提高业务效率，并大幅降低业务成本，提高企业利润率。

在实施方面，业务终端要定制开发，业务管理平台可升级，或定制开发。这种项目型、定制化的开发方式，会大大增加投入成本。

在业务安全方面，主要考虑业务数据安全，按照国际标准的安全算法，对业务数据做数据源加密及传输通道加密。数据接收端完成对数据密文的解密，还原成明文。

在业务逻辑方面，没有系统性的安全措施。由于业务的多样性和复杂性，业务逻辑安全的定制化工作投入很大。已有的方案，基本是对部分业务逻辑做修改，通过增加逻辑复杂度或改变逻辑算法的方式完成，达不到系统性的安全防御。

综上所述，现有的方案存在以下问题：

1、只有系统化的业务数据安全机制，无系统化的业务逻辑安全机制；

2、业务安全方案实现须深度定制化，用户开发门槛高，难度大；

3、业务终端设备不参与业务逻辑安全的实现；

4、业务逻辑安全由业务平台完成，平台负荷大；

5、无标准化的业务安全模块，可复制性差。

因此，如何解决现有的物联网改造方案的缺陷，是一项亟待解决的问题。

发明内容

有鉴于此，本申请提供了一种面向业务流的数据安全接入模块和设备，能够有效解决现有的物联网改造方案的缺陷，提升了用户体验。

本申请提供了一种面向业务流的数据安全接入模块，包括：主控单元，以及分别与所述主控单元相连的业务流单元、加密/解密单元、数字证书认证单元、数据采集单元和数据传输单元；其中：

所述主控单元，用于运行系统程序实现整体控制；

所述业务单元，用于封装标准化的业务流程库，供所述主控单元调用，以实现多种业务场景；

所述加密/解密单元，用于对输入明文执行加密运算，以及对输入密文执行解密运算；

所述数字证书认证单元，用于为安全通信提供电子安全认证；

所述数据采集单元，用于实现数据采集功能，以提供不同业务所需的原始数据信息；

所述数据传输单元，用于负责与外部网络或外部终端之间的指令交互以及数据传输。

优选地，所述业务场景包括但不限于：金融、税务、电子政务、医疗卫计、公共事业、能源、制造、水利、电力、交通、国防军工。

优选地，所述加密/解密单元中内置有多种安全算法。

优选地，所述加密/解密单元中集成有硬件加密解密引擎。

优选地，所述数字证书认证单元集成多种认证接口库。

优选地，所述数据采集单元，还用于对接多种采集探头或设备，获取数据并存储到本地。

优选地，所述数据传输模块，还用于通过有线连接负责与外部网络或外部终端之间的指令交互以及数据传输。

优选地，所述数据传输模块，还用于通过无线连接负责与外部网络或外部终端之间的指令交互以及数据传输。

一种设备，包括：与设备相连的面向业务流的数据安全接入模块；其中：所述面向业务流的数据安全接入模块包括：主控单元，以及分别与所述主控单元相连的业务流单元、加密/解密单元、数字证书认证单元、数据采集单元和数据传输单元；其中：

所述主控单元，用于运行系统程序实现整体控制；

优选地，所述面向业务流的数据安全接入模块通过贴片、插针或插槽的安装方式与设备相连。

综上所述，本申请公开了一种面向业务流的数据安全接入模块，包括：主控单元，以及分别与所述主控单元相连的业务流单元、加密/解密单元、数字证书认证单元、数据采集单元和数据传输单元；其中：主控单元，用于运行系统程序实现整体控制；业务单元，用于封装标准化的业务流程库，供所述主控单元调用，以实现多种业务场景；加密/解密单元，用于对输入明文执行加密运算，以及对输入密文执行解密运算；数字证书认证单元，用于为安全通信提供电子安全认证；数据采集单元，用于实现数据采集功能，以提供不同业务所需的原始数据信息；数据传输单元，用于负责与外部网络或外部终端之间的指令交互以及数据传输。本申请能够有效解决现有的物联网改造方案的缺陷，提升了用户体验。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请公开的一种面向业务流的数据安全接入模块的结构示意图；

图2为本申请公开的一种设备的结构示意图；

图3为本申请公开的视频监控系统安全应用实例的示意图；

图4为本申请公开的分层安全模型示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

如图1所示，为本申请公开的一种面向业务流的数据安全接入模块的结构示意图，所述模块可以包括：主控单元，以及分别与主控单元相连的业务流单元、加密/解密单元、数字证书认证单元、数据采集单元和数据传输单元；其中：

主控单元，用于运行系统程序实现整体控制；

业务单元，用于封装标准化的业务流程库，供主控单元调用，以实现多种业务场景；

加密/解密单元，用于对输入明文执行加密运算，以及对输入密文执行解密运算；

数字证书认证单元，用于为安全通信提供电子安全认证；

数据采集单元，用于实现数据采集功能，以提供不同业务所需的原始数据信息；

数据传输单元，用于负责与外部网络或外部终端之间的指令交互以及数据传输。

具体的，在上述实施例中，主控单元用于运行系统程序，实现流程控制、数据处理及数据转发、异常处理、电源控制等功能。

业务单元用于封装标准化的业务流程库，供主控单元调用，从而实现多种业务场景。其中，业务场景包含但不限于：金融、税务、电子政务、医疗卫计、公共事业、能源、制造、水利、电力、交通、国防军工等。

加密/解密单元用于对输入明文执行加密运算，对输入密文执行解密运算。该单元内置多种安全算法，如：国密SM1/2/3/4、RSA、DES/3DES、AES等；并集成硬件加密解密引擎，提高了安全级别及加解密运算性能。

数字证书认证单元，提供认证接口，实现数字证书下载/更新/删除、用户签名/验签等，为安全通信提供电子安全认证。该单元集成多种认证接口库，例如：国密接口SKF、RSA接口P11等。

数据采集单元用于完成数据采集功能，提供不同业务所需的原始数据信息。数据采集单元可对接多种采集探头/设备，获取数据并存储到本地，主控单元依据不同的业务类型，匹配相应的业务数据。

数据传输单元，负责与外部网络或外部终端之间的指令交互及数据传输。传输协议遵循网络传输协议或终端间接口协议规范，传输物理接口分为有线连接和无线连接。其中，有线连接包括以太网、串口、USB、RS232/485、CAN总线、工业总线、PLC等；无线连接分为：1)蜂窝网络接入，即2G/3G/4G/5G通信技术；2)低功耗广域网(LPWAN)接入，如：NB-IoT、eMTC、Lora、Sigfox等；3)近距离无线接入，包含：WiFi、Bluetooth、Zigbee等。

具体的，基于上述的面向业务流的数据安全接入模块的设计方案框图，设计方案的具体流程如下：

1、终端设备身份识别：面向业务流的数据安全接入模块启动后(即，完成配置)，自动访问业务平台登录地址，并上发加密后的登陆信息。平台对登录信息(密文)执行解密、信息解析和数据校验，核实设备合法性，并返回鉴权结果给终端设备。其中，访问地址及登录信息由出厂时预置或出厂后配置到主机终端，面向业务流的数据安全接入模块内置于主机终端，从主机终端获取相关信息。

2、业务流类型选择：面向业务流的数据安全接入模块登录业务平台成功后，业务平台下发业务选择指令(遵循https协议或其他安全连接协议)及相应的业务配置信息到面向业务流的数据安全接入模块。面向业务流的数据安全接入模块完成配置后，返回‘ACK’确认配置成功，或‘NACK’通知配置失败。

3、业务数据采集：面向业务流的数据安全接入模块针对不同的业务类型，选择相应的数据采集端口，并自动加载相应的传感器设备驱动(驱动库包含了主流的传感器设备型号，也可以从业务平台下载)。在采集端口配置成功后，启动数据采集，采集到的数据按照业务类型及数据格式定义，保存到本地存储区，由主控单元调用。

4、业务数据处理及传输：主控单元按照预置的业务流程库(业务流程可通过平台获取更新)，执行相应的业务流处理。从本地存储区获取业务数据，并对获取的原始数据进行数据解析，解析后的数据上发业务平台(加密后上发)；或在本地完成业务数据预处理后，再执行平台业务对接。

5、独立的业务封装层：业务层独立封装，向下调用算法协议层的API接口，并向上给用户提供简单易用的安全服务应用接口。业务封装层包含了：业务策略加密、字段/文档加密、加密强制权限控制、防篡改/抗抵赖、数据完整性、Oauth/SAML(认证、鉴权标准)等。

6、数字安全认证：基于数字证书认证单元，通过对接数字证书认证系统，完成数字证书的签发、签名及验签等功能。数字证书认证单元封装国密及国际标准安全接口，如：国密SKF接口、微软CSP、PKCS#11等。数字证书认证服务子模块可被不同业务流调用，实现数字安全认证功能，保证数据通信安全可靠。

7、数据安全传输：面向业务流的数据安全接入模块与业务平台之间的数据传输通道，须遵循标准的网络安全传输协议，如：FTPS、HTTPS、SCP、SFTP等；

8、软件升级功能：系统支持两种升级接口，即无线空口升级和有线接口升级。1)无线空口升级：采用FOTA技术，面向业务流的数据安全接入模块的软件升级通过无线空口完成，且支持多台终端同时升级。2)有线接口升级：支持有线网络升级，通过以太网、USB等接口连接方式，从外部磁盘或远程网络平台获取升级补丁，完成软件升级或系统升级；升级机制可以灵活定制，支持设备主动定期查询更新、平台推送更新、特定时段更新等；

9、设备激活功能：面向业务流的数据安全接入模块使用前，须先在业务平台注册并激活。注册信息包含：设备序列号、厂商编码、生产日期等。面向业务流的数据安全接入模块激活后，业务平台可对该面向业务流的数据安全接入模块执行业务参数配置、业务功能执行、业务数据采集及分析等。

如图2所示，为本申请公开的一种设备的结构示意图，所述设备包括：与设备相连的面向业务流的数据安全接入模块；其中：面向业务流的数据安全接入模块包括：主控单元，以及分别与主控单元相连的业务流单元、加密/解密单元、数字证书认证单元、数据采集单元和数据传输单元；其中：

主控单元，用于运行系统程序实现整体控制；

数字证书认证单元，用于为安全通信提供电子安全认证；

具体的，面向业务流的数据安全接入模块作为一个嵌入式设备，可内置于其它主机内，通过SMD贴片、插针或插槽等安装方式与主机连接。也可以通过其他物理连接方式或近距离无线连接方式，与主机完成通讯。对于近距离通信方式，执行通信链路的通道加密。

为了更加详细的介绍本申请公开的面向业务流的数据安全接入模块，下面以一个具体的使用实例进行说明。

具体的，如图3所示，为视频监控系统安全应用实例的结构示意图，包括如下过程：

1、设备登记：视频前端设备(以下简称VFED)在首次使用前，须在业务平台登记备案。备案信息包含但不限于：本机设备编号、生产日期、面向业务流的数据安全接入模块编号及内置物联网卡卡号(ICCID)等；

2、设备合法性检验：VFED开机，发送设备信息给面向业务流的数据安全接入模块。面向业务流的数据安全接入模块对VFED的设备信息进行加密和签名后上发CA数字签名系统，CA数字签名系统对接收到的签名信息做解密、验签，确认设备信息合法性。并将合法性验证结果发送给视频监控平台(若验签成功，同时返回该VFED的设备token码)；

3、平台登陆：VFED及面向业务流的数据安全接入模块完成设备初始化，且验签成功后，VFED通知面向业务流的数据安全接入模块启动业务平台连接(平台URL地址已预置在VFED中，面向业务流的数据安全接入模块从VFED获取URL信息)。连接成功后，面向业务流的数据安全接入模块发送登陆请求。登陆请求报文包含：VFED的token、VFED的设备编号、面向业务流的数据安全接入模块的设备编号及其它相关信息。所有上发报文为密文，并附加对上发密文的校验码。这充分保证了设备登陆信息的安全性；

4、号码联合验证：VFED在登陆时，上发本机设备编号、面向业务流的数据安全接入模块设备编号、内置物联网卡卡号(ICCID)。业务平台记录这些关联号码并与平台数据库保存的登记信息作对比，任何一个号码不匹配，都会导致登陆失败，这有效地保证了一机一密的安全性；

5、业务选择：VFED登录成功后，业务平台下发业务类型选择指令到面向业务流的数据安全接入模块，面向业务流的数据安全接入模块按照指令选择对应的业务数据库，并执行对应业务的安全策略，如签名规则、数据加密规则、校验规则等；

6、视频数据上发：VFED在工作过程中，会按照既定协议，对视频数据分类标注，所有视频文件分为两类：关键视频和非关键视频，对不同类型的视频文件打包，并添加类型标签做区分。视频包按时间顺序发送给面向业务流的数据安全接入模块，面向业务流的数据安全接入模块按照视频监控业务的安全逻辑，对接收到的视频数据执行加密、签名、转发等操作；如果视频数据发送失败，面向业务流的数据安全接入模块启动重发机制。重发超时后，未发送成功的视频数据依据业务安全策略，执行抛弃或留存本地。留存的视频数据，当网络链路恢复正常后，启动断点续传机制(优先保证实时视频数据上发)；

7、用户终端设备(以下简称UTD)访问平台资源：UTD完成设备初始化后，启动终端软件并登录业务平台(UTD用户账号已在业务平台注册)。账号登录成功后，UTD终端软件与业务平台同步文件信息，用户在UTD终端软件选取视频，则视频被下载到终端并解密为明文。对于关键视频，须执行签名验签(UTD终端软件集成CA接口)。高级权限用户可以通过UTD终端软件管理业务平台数据，普通权限用户只能查看相应级别的视频数据(视频数据分级管理)。

8、用户权限管理：平台对用户权限分级管理，由超级管理员账户定义用户访问权限等级及各等级对应的访问内容和访问范围。其中，访问关键视频数据的用户，要求预置或更新CA证书，完成签名和验签。

综上所述，本申请公开的面向业务流的数据安全接入模块，内置业务流模型，该业务流模型可复用预置的模板，也可以面向用户定制开发。业务逻辑和业务数据的加密策略区分实施，即业务逻辑加密和业务数据加密策略不同。

在业务流安全实施方面，采用业务级的安全策略，通过剖析业务流程，实现业务模型颗粒化(粒度大小依据安全级别而定，颗粒度越小，复杂度越高，安全级别越高)，针对不同类型的业务颗粒，应用相应的安全机制，达到安全与业务的最大化融合。

如图4所示，安全模型分为4层，包含：平台资源层、算法和协议层、业务封装层、应用层。平台资源层提供操作系统及安全芯片等资源；算法和协议层提供加密/解密、签名/验签、数据校验、安全传输协议等API接口；业务封装层调用算法和协议层的接口，实现业务级的安全功能，并向上提供API接口；应用层向用户提供业务接口，并向下调用业务封装层API。

在多号校验的安全校验机制方面，业务的各参与方须具备唯一的身份ID，即：面向业务流的数据安全接入模块的设备ID、业务终端的设备ID(如：IMEI)、接入蜂窝网络的身份ID(如：ICCID，如果是有线网络接入或非蜂窝无线网络接入，则不需要提供此号码)、用户的接入Token码。所有ID在业务平台注册并绑定(Token码动态生产，且设置有效期)，绑定关系以密文的方式保存在平台数据库，供平台侧的登录模块调用。

面向业务流的数据安全接入模块的设备编号、蜂窝网网络编号、加密密钥等信息统一存储在加密芯片中，可读不可写。

另外，终端用户登陆可通过多种方式完成，包括但不限于：人脸识别、活体认证、指纹识别、语音识别、动态口令等。业务安全模块标准化，降低用户的二次开发难度和开发成本，可快速适配业务场景和实施业务流程。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims

1.一种面向业务流的数据安全接入模块，其特征在于，包括：主控单元，以及分别与所述主控单元相连的业务流单元、加密/解密单元、数字证书认证单元、数据采集单元和数据传输单元；其中：

所述主控单元，用于运行系统程序实现整体控制；

2.根据权利要求1所述的模块，其特征在于，所述业务场景包括但不限于：金融、税务、电子政务、医疗卫计、公共事业、能源、制造、水利、电力、交通、国防军工。

3.根据权利要求2所述的模块，其特征在于，所述加密/解密单元中内置有多种安全算法。

4.根据权利要求3所述的模块，其特征在于，所述加密/解密单元中集成有硬件加密解密引擎。

5.根据权利要求4所述的模块，其特征在于，所述数字证书认证单元集成多种认证接口库。

6.根据权利要求5所述的模块，其特征在于，所述数据采集单元，还用于对接多种采集探头或设备，获取数据并存储到本地。

7.根据权利要求6所述的模块，其特征在于，所述数据传输模块，还用于通过有线连接负责与外部网络或外部终端之间的指令交互以及数据传输。

8.根据权利要求7所述的模块，其特征在于，所述数据传输模块，还用于通过无线连接负责与外部网络或外部终端之间的指令交互以及数据传输。

9.一种设备，其特征在于，包括：与设备相连的面向业务流的数据安全接入模块；其中：所述面向业务流的数据安全接入模块包括：主控单元，以及分别与所述主控单元相连的业务流单元、加密/解密单元、数字证书认证单元、数据采集单元和数据传输单元；其中：

所述主控单元，用于运行系统程序实现整体控制；

10.根据权利要求9所述的设备，其特征在于，所述面向业务流的数据安全接入模块通过贴片、插针或插槽的安装方式与设备相连。