CN109922160A - 一种基于电力物联网的终端安全接入方法、装置及系统 - Google Patents

Abstract

本发明公开了一种基于电力物联网的终端安全接入方法、装置及系统，该方法包括：接收终端发送的第一数据请求报文；获取终端的硬件信息，并根据预设终端地址映射表、当前网关地址及硬件信息对第一数据请求报文进行更新，生成第二数据请求报文；发送第二数据请求报文；接收物联网平台根据第二数据请求报文反馈的终端确认信息；根据终端确认信息将终端接入物联网平台。通过实施本发明，为物联网平台判断终端的合法性提供数据基础，只有在终端已经通过物联网平台的验证时，才会将该终端接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

Description

一种基于电力物联网的终端安全接入方法、装置及系统

技术领域

本发明涉及物联网安全技术领域，具体涉及一种基于电力物联网的终端安全接入方法、装置及系统。

背景技术

物联网(IoT，Internet of Things)是互联网的延伸和拓展，它利用传感、定位、通信、计算等技术实现物与物、物与人、人与人之间的连接，是物理世界数字化反映，并通过数据处理作出一系列反应和操作的系统。随着信息通信技术的发展，电力物联网成为电力企业发展的重要基础设施。

现有的电力物联网的体系架构主要包括终端层、网络层、平台层和应用层4个部分，当前的电力物联网在终端层包含海量规模的终端，例如现场采集设备、传感器、智能业务终端等，这些终端属于不同的业务系统，采用了不同的数据模型和通信协议，而且有大量终端不具备远程通信能力需要借助边缘物联代理网关将终端数据进行采集并重新打包，利用远程通信传送到物联管理宗鑫，实现终端与物联网平台的数据传输。

但是，目前的终端在通过边缘物联代理网关接入物联网时，由于一些类型的终端自身不具备身份认证能力，例如：RS485或RS232等哑终端，因此对这类终端难以进行有效的监控，难以保障所有接入终端的合法性，造成终端在接入物联网时存在安全隐患。

发明内容

有鉴于此，本发明实施例提供了一种基于电力物联网的终端安全接入方法、装置及系统，以解决现有技术中物联网的终端在接入物联网时难以安全接入，存在安全隐患的技术问题。

根据第一方面，本发明实施例提供了一种基于电力物联网的终端安全接入方法，包括：接收终端发送的第一数据请求报文；获取所述终端的硬件信息，并根据预设终端地址映射表、当前网关地址及所述硬件信息对所述第一数据请求报文进行更新，生成第二数据请求报文；发送所述第二数据请求报文；接收物联网平台根据所述第二数据请求报文反馈的终端确认信息；根据所述终端确认信息将所述终端接入所述物联网平台。

可选地，所述获取所述终端的硬件信息，并根据预设终端地址映射表、当前网关地址及所述硬件信息对所述第一数据请求报文进行更新，生成第二数据请求报文，包括：对所述第一数据请求报文进行解析，得到所述终端对应的终端地址；根据预设终端地址映射表，获取所述终端对应的终端ID；获取所述终端的硬件信息，并根据所述硬件信息生成指纹信息；根据当前网关地址、所述指纹信息及所述终端ID对所述第一数据请求报文进行更新，生成第二数据请求报文。

可选地，所述基于电力物联网的终端安全接入方法，还包括：判断所述预设终端地址映射表中是否存在所述终端地址对应的终端ID；当所述预设终端地址映射表中不存在所述终端地址对应的终端ID时，判定所述终端为非法终端，禁止所述终端接入。

根据第二方面，本发明实施例提供了一种基于电力物联网的终端安全接入方法，包括：接收网关发送的第二数据请求报文；对所述第二数据请求报文进行解析，得到终端的终端ID、指纹信息及网关地址；根据预设终端数据库对所述终端ID、所述指纹信息及所述网关地址进行信息比对，得到所述终端的终端确认信息；发送所述终端确认信息。

根据第三方面，本发明实施例提供了一种基于电力物联网终端安全接入装置，包括：第一接收模块，用于接收终端发送的第一数据请求报文；第二数据请求报文生成模块，用于获取所述终端的硬件信息，并根据预设终端地址映射表、当前网关地址及所述硬件信息对所述第一数据请求报文进行更新，生成第二数据请求报文；第一发送模块，用于发送所述第二数据请求报文；第二接收模块，用于接收物联网平台根据所述第二数据请求报文反馈的终端确认信息；终端接入模块，用于根据所述终端确认信息将所述终端接入所述物联网平台。

可选地，所述第二数据请求报文生成模块包括：第一解析模块，用于对所述第一数据请求报文进行解析，得到所述终端对应的终端地址；获取模块，用于根据预设终端地址映射表，获取所述终端对应的终端ID；指纹信息生成模块，用于获取所述终端的硬件信息，并根据所述硬件信息生成指纹信息；更新模块，用于根据当前网关地址、所述指纹信息及所述终端ID对所述第一数据请求报文进行更新，生成第二数据请求报文。

根据第四方面，本发明实施例提供了一种基于电力物联网的终端安全接入装置，包括：第三接收模块，用于接收网关发送的第二数据请求报文；第二解析模块，用于对所述第二数据请求报文进行解析，得到终端的终端ID、指纹信息及网关地址；终端信息生成模块，用于根据预设终端数据库对所述终端ID、所述指纹信息及所述网关地址进行信息比对，得到所述终端的终端确认信息；第二发送模块，用于发送所述终端确认信息。

根据第五方面，本发明实施例提供了一种基于电力物联网的终端安全接入系统，包括：终端、网关及物联网平台，其中，所述终端用于向所述网关发送第一数据请求报文；所述网关用于接收所述第一数据请求报文；获取所述终端的硬件信息，并根据预设终端地址映射表、当前网关地址及所述硬件信息对所述第一数据请求报文进行更新，生成第二数据请求报文；向所述物联网平台发送所述第二数据请求报文；所述物联网平台用于接收所述第二数据请求报文；对所述第二数据请求报文进行解析，得到终端的终端ID、指纹信息及网关地址；根据预设终端数据库对所述终端ID、所述指纹信息及所述网关地址进行信息比对，得到所述终端的终端确认信息；并向所述网关发送所述终端确认信息。所述网关还用于接收所述终端确认信息；根据所述终端确认信息将所述终端接入所述物联网平台。

根据第六方面，本发明实施例提供了一种电子设备，包括：存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行第一方面或第二方面，或者其任意一种可选实施方式中所述的基于电力物联网的终端安全接入方法。

本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储计算机指令，所述计算机指令用于使所述计算机执行第一方面或第二方面，或者其任意一种可选实施方式中所述的基于电力物联网的终端安全接入方法。

本发明技术方案，具有如下优点：

本发明实施例提供的基于电力物联网的终端安全接入方法，网关通过接收终端发送的第一数据请求报文，根据获取的该终端的硬件信息、预设终端地址映射表及当前网关的地址对第一数据请求报文进行更新得到第二数据请求报文，从而通过将终端自身的身份信息及网关的身份信息封装于第一数据请求报文中发送至物联网平台，为物联网平台判断终端的合法性提供数据基础，并通过接收物联网平台对第二数据请求报文反馈的终端确认信息，只有在终端已经通过物联网平台的验证时，才会将该终端接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

本发明实施例提供的基于电力物联网的终端安全入方法，物联网平台通过对网关发送的第二数据请求报文进行解析，并将解析出的终端的终端ID、指纹信息及网关地址与预设终端数据库进行信息对比，得到该终端的终端确认信息，进而通过对比预设终端数据库存储的信息，如果信息一致则说明该终端为安全终端，如果不一致则说明该终端为非法终端，并将上述终端信息反馈给网关，使得网关可以根据终端确认信息只将安全终端接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

本发明实施例提供的基于电力物联网的终端安全接入系统，通过网关将终端发送的第一数据请求报文进行更新，在第一数据请求报文中添加关于终端ID、指纹信息及当前网关地址的信息构成第二数据请求报文，并将该第二数据请求报文发送至物联网平台进行报文解析，并与预设终端数据库进行信息对比，从而判断该终端是否为安全终端，并生成终端确认信息反馈给网关，如果该终端确认信息为安全终端，则网关根据该终端确认信息将终端接入物联网平台。从而通过网关和物联网平台实现了对请求接入电力物联网的终端进行安全检测，使得只有通过物联网平台验证的终端才能接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中基于电力物联网的终端安全接入系统的一个具体示例的结构框图；

图2为本发明实施例中基于电力物联网的终端安全接入方法的一个具体示例的流程图；

图3为本发明实施例中基于电力物联网的终端安全接入方法的另一个具体示例的流程图；

图4为本发明实施例中基于电力物联网的终端安全接入方法的另一个具体示例的流程图；

图5为本发明实施例中基于电力物联网的终端安全接入装置的一个具体示例的结构框图；

图6为本发明实施例中基于电力物联网的终端安全接入装置的另一个具体示例的结构框图；

图7为本发明实施例中基于电力物联网的终端安全接入装置的另一个具体示例的结构框图；

图8为本发明实施例中电子设备的一个具体示例的结构框图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

现有电力物联网的体系架构主要包括终端层、网络层、平台层和应用层4个部分，其中，终端层：包括现场采集设备、传感器、智能业务终端等，通过本地通信网络接入边缘物联代理，边缘物联代理提供多种形式终端接口，将数据汇聚后进行整合，实现终端数据“一次采集，处处使用”；网络层：网络层位于边缘物联安全代理和物联管理中心之间，主要包括接入网、传输网、卫星与空间通信、数据通信网，它主要负责为终端数据传输提供网络通道。目前电力企业已经广泛部署IPv6网络，这对IPv6终端的接入提供了网络支持；平台层：包括物联管理中心、统一数据中心等。物联网平台主要实现对终端的管理和终端数据的统一存储，包括终端设备信息、配置信息、网关位置信息等；应用层：包括传统电网业务系统和新型业态业务系统。传统电网业务系统含电网生产运行、企业经营管理、对外客户服务；新型业态业务系统包括能源互联网业务(含多能协调与互补、综合能源服务、能源运营与交易、智慧用能等)和新型互联网业务(含电子商务、网上国网、金融、智慧车联网等)。

边缘代理网关(简称网关)部署在终端接入的边缘层(一般是变电站、配电房等)，它收集并整合的不同类型终端的数据，实现终端之间的互联和数据共享，并将数据发送到物联网平台。同时，它还负责对终端的身份进行安全认证、对终端行为进行审计。在对终端安全管理方式上，网关通常采用用户名和密码方式进行身份识别，更高级别的安全管理采用了IP地址绑定端口号方式，但由于物联网终端众多，型号复杂，功能差异大，网关在对终端安全管理方面存在以下问题：

1.大量的RS485或RS232等哑终端不具备身份认证能力，不能被有效监控；

2.可具备身份认证的终端，安全性能较弱，很容易被攻击或劫持；

3.终端的身份认证没有同位置信息相结合，一般仅从IP地址接入控制，导致合法固定终端可以局域网范围内任意被更换接入位置，这对终端的安全和管理带来隐患；

4.对移动终端，由于接入的移动性，很难通过接入位置判断其合法性，认证信息一旦被攻破，很容易发起各类攻击。

综上，如何能够保障接入物联网平台的终端的安全性是本发明提供技术方案所要解决的技术问题。

本发明实施例提出了一种基于电路物联网的终端安全接入系统，如图1所示，该系统包括：终端1、网关2及物联网平台3，其中，终端1用于向网关2发送第一数据请求报文；网关2接收该第一数据请求报文，获取终硬件信息，并根据预设终端地址映射表、当前网关2地址及硬件信息对第一数据请求报文进行更新，生成第二数据请求报文，然后向物联网平台3发送第二数据请求报文；物联网平台3用于接收第二数据请求报文，对第二数据请求报文进行解析，得到终端1的终端ID、指纹信息及网关2地址；根据预设终端数据库对终端1ID、指纹信息及网关2地址进行信息比对，得到终端1的终端确认信息；并向网关2发送终端确认信息。上述网关2在接收到终端确认信息后，根据该终端确认信息的内容，将终端1接述物联网平台3。

本发明实施例提供的基于电路物联网的终端安全接入系统，过网关将终端发送的第一数据请求报文进行更新，在第一数据请求报文中添加关于终端ID、指纹信息及当前网关地址的信息构成第二数据请求报文，并将该第二数据请求报文发送至物联网平台进行报文解析，并与预设终端数据库进行信息对比，从而判断该终端是否为安全终端，并生成终端确认信息反馈给网关，如果该终端确认信息为安全终端，则网关根据该终端确认信息将终端接入物联网平台3。从而通过网关和物联网平台实现了对请求接入电力物联网的终端进行安全检测，使得只有通过物联网平台验证的终端才能接入物联网平台，进而保障了终端的安全接入，消除了物联网平台3的安全接入隐患。

下面将结合具体应用示例，对本发明实施例提供的基于电力物联网的终端安全接入系统进行详细的介绍。

在本发明实施例中，终端1向网关2发送的第一数据请求报文为终端1将其需要从物联网平台3获取的数据请求及其自身的终端地址等信息以数据报文的形式，发送至网关2，例如：RS485终1发送的是RS485数据报文。需要说明的是，在实际应用中，该第一数据请求报文还可以采用其他网络协议格式或者制定专门的网络协议格式进行封装，本发明并不以此为限。

在一可选实施例中，网关2执行上述获取终端1的硬件信息，并根据预设终端地址映射表、当前网关2地址及硬件信息对第一数据请求报文进行更新，生成第二数据请求报文的过程具体包括：

对第一数据请求报文进行解析，得到终端1对应的终端地址。具体地，在上述第一数据请求报文中封装有终端1的终端地址，因此可以通过解析报文的方式，获取该终端1的终端地址，需要说明的是，在本发明实施例中，终端1的终端地址可以是终端1接入网络中的配置数据，也可以是终端1的IP地址，对于RS485等哑终端，该终端地址也可以是本地的编码，本发明并不以此为限。

根据预设终端地址映射表，获取终端1对应的终端ID。在实际应用中，该预设终端地址映射表描述了终端1的终端地址和ID编号的一一对应关系，终端ID长度为32位，占用4个字节，其编码方式符合物资统一编号要求，是该终端1的唯一身份编号，在整个电力物联网中具有唯一识别性，在电力物联网中，为每个电力终端都分配了16位的UID编号，以标识和区分每一台终端设备，该16位的UID编号即为上述的终端ID；而终端1的终端地址是不在不断发生变化的，例如：终端设备的迁移等导致终端1的IP地址发生变化，当终端1的终端地址发生变化后，会对上述预设终端地址映射表中该终端1的终端地址进行自动的更新，使得该预设终端1地址映射表中的信息始终与该终端1的终端地址一致。

获取终端1的硬件信息，并根据硬件信息生成指纹信息。在实际应用中，在网关2中设置有硬件信息采集模块，用于采集终端1的硬件信息，具体地，各个终端1一般均支持SNMP、gRPC、netconf等网络管理协议，因此，网关2可以通过这些协议读取终端1CPU、存储器和MAC地址等硬件信息，然后根据预先设定的指纹生成算法，对上述硬件信息进行重新编码，生成4个字节大小的指纹信息，例如：可以将上述的各个硬件信息直接进行叠加得到指纹信息，因为每个终端设备本身的硬件信息均不完全相同，因此每一个终端1都可以生成一个唯一的指纹信息，用于识别该终端1，在实际应用中，当终端1在出厂安装时，对全部终端指纹信息进行采集，按照同样的算法生成指纹信息，并保存在物联网平台3的预设终端数据库中，用于后期的比对和校验。

根据当前网关2地址、指纹信息及终端ID对第一数据请求报文进行更新，生成第二数据请求报文。具体地，该第二数据请求报文为将上述的第一数据报文重新封装成IPv6格式报文，源地址为网关2地址，目的地址不变，仍为业务系统地址，将第一数据请求报文中的净荷仍作为IPv6数据包的净荷，该当前网关2地址是由网关2在实际部署中的位置决定的，并配置在网关2中，例如：第一个字节是省行政区代码；第二个字节是地市行政区代码；第三个字节是县镇行政级代码；第四个字节是变电站、营业厅行政级编码。当前网关2地址共占用四个字节，可将其配置在上述IPv6扩展头域的第8至11个字节；上述的指纹信息则可以配置在IPv6扩展头域的第4至7个字节；上述的终端1ID信息配置在IPv6报文扩展头域的第0至3个字节。通过将上述信息封装于第一数据请求报文IPv6扩展头域中，生成了上述第二数据请求报文。

在一可选实施例中，上述的网关2在执行上述获取终端1的硬件信息，并根据预设终端地址映射表、当前网关2地址及硬件信息对第一数据请求报文进行更新，生成第二数据请求报文时，还包括：

判断预设终端地址映射表中是否存在终端地址对应的终端ID。在实际应用中，由于电力物联网中所有的终端设备的终端地址都在预设终端地址映射表中具有一一对应的终端ID，因此可以通过判断预设终端地址映射表中是否存在该终端地址对应的终端ID来初步判断该终端1的合法性。

当预设终端地址映射表中不存在终端地址对应的终端ID时，判定终端1为非法终端，禁止终端1接入。具体地，如果没有查到该终端地址所对应的终端ID，则判定为该终端1为非法终端，不再接受终端1发送的数据，禁止该终端1接入物联网平台3；若查询到终端ID，则网关2开始执行上述对根据当前网关2地址、指纹信息及终端ID对第一数据请求报文进行更新，生成第二数据请求报文的步骤，并建立与物联网平台3的连接，将生成的上述第二数据请求报文发送至物联网平台3。从而可以在于物联网平台3建立连接之前排除部分非法接入终端，保证了终端1安全接入物联网平台3。

当上述物联网平台3在接收到网关2发送的上述第二数据请求报文后，对第二数据请求报文进行解析，得到终端1的终端ID、指纹信息及网关2地址。具体地，由于在上述的IPv6报文中封装有终端1的终端ID、终端1的指纹信息及终端1接入当前网关2的地址信息，因此可以通过解析报文的方式得到上述信息。

物联网平台3根据预设终端数据库对终端ID、指纹信息及网关2地址进行信息比对，得到终端1的终端确认信息。具体地，由于每个终端1及网关2在进行安装时，均会将终端1及网关2的相关信息存储到该电力物联网的本地数据库，建立预设终端数据库，为对上述信息进行对比提供基础。在实际应用中，由于终端ID具有唯一标识性，因此可以根据终端1的ID在预设终端数据库中进行信息查询，并于上述的信息进行对比，具体地对比过程及对应的终端1确认信息包括：

(1)查询不到终端ID，则判定该终端1为非法终端，并将终端1确认信息为非法终端反馈到网关2。本次查询判断可以解决网关2映射表被非法攻击或者终端ID被篡改的情况；

(2)根据终端ID查询，指纹信息不一致，则判定该终端1为非法终端，其终端1身份已被非法终端取代，或者合法终端数据已经被篡改，并将终端1确认信息为非法终端反馈到网关2，此外，还可以生成告警事件，发送到监控中心，便于安全运维人员对终端1的非法入侵或篡改进行处理。

(3)根据终端ID查询，指纹信息一致，网关2位置不一致，则判定为终端1身份合法，但接入位置已经更换，该网关2应拒绝该终端1接入，并将终端确认信息为拒绝接入反馈到网关2，此外，还可以生成告警事件，发送到监控中心。

(4)根据终端ID查询，全部数据信息均与平台中数据一致，则判定为合法终端，并向网关2发送确认接入的终端确认信息，使得网关2实现该终端1与物联网平台3的通信连接。

在网关2接收到物联网平台3根据第二数据请求报文反馈的终端确认信息后，根据终端确认信息将终端1接入物联网平台3。具体地，该网关2需要根据终端确认信息的类型选择是否允许终端1接入物联网平台3，在实际应用中，当上述的终端确认信息为非法终端或拒绝接入时，则网关2拒绝该终端1的接入，当上述的终端确认信息为确认接入时，则建立安全传输通道，从而实现终端1与物联网平台3之间的数据传输。

通过上述各个组成部分的协同合作，本发明实施例提供的基于电力物联网的终端安全接入系统，通过网关将终端发送的第一数据请求报文进行更新，在第一数据请求报文中添加关于终端ID、指纹信息及当前网关地址的信息构成第二数据请求报文，并将该第二数据请求报文发送至物联网平台进行报文解析，并与预设终端数据库进行信息对比，从而判断该终端是否为安全终端，并生成终端确认信息反馈给网关，如果该终端确认信息为安全终端，则网关根据该终端确认信息将终端接入物联网平台。从而通过网关和物联网平台实现了对请求接入电力物联网的终端进行安全检测，使得只有通过物联网平台验证的终端才能接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

本发明实施例还提供了一种基于电力物联网的终端安全接入方法，该方法应用于上述系统实施例中的网关，如图2所示，该方法包括：

步骤S21：接收终端发送的第一数据请求报文。在实际应用中，该第一数据请求报文为终端将其需要从物联网平台获取的数据请求及其自身的终端地址等信息以数据报文的形式，发送至网关，例如：RS485终端发送的是RS485数据报文。需要说明的是，在实际应用中，该第一数据请求报文还可以采用其他网络协议格式或者制定专门的网络协议格式进行封装，本发明并不以此为限。

步骤S22：获取终端的硬件信息，并根据预设终端地址映射表、当前网关地址及硬件信息对第一数据请求报文进行更新，生成第二数据请求报文。

步骤S23：发送第二数据请求报文。具体地，网关将该第二数据请求报文发送至物联网平台。

步骤S24：接收物联网平台根据第二数据请求报文反馈的终端确认信息。

步骤S25：根据终端确认信息将终端接入物联网平台。

通过上述步骤S21至步骤S25，本发明实施例提供的基于电力物联网的终端安全接入方法，网关通过接收终端发送的第一数据请求报文，根据获取的该终端的硬件信息、预设终端地址映射表及当前网关的地址对第一数据请求报文进行更新得到第二数据请求报文，从而通过将终端自身的身份信息及网关的身份信息封装于第一数据请求报文中发送至物联网平台，为物联网平台判断终端的合法性提供数据基础，并通过接收物联网平台对第二数据请求报文反馈的终端确认信息，只有在终端已经通过物联网平台的验证时，才会将该终端接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

在一可选实施例中，如图3所示，上述的步骤S22，获取终端的硬件信息，并根据预设终端地址映射表、当前网关地址及硬件信息对第一数据请求报文进行更新，生成第二数据请求报文，具体包括：

步骤S221：对第一数据请求报文进行解析，得到终端对应的终端地址。具体地，在上述第一数据请求报文中封装有终端的终端地址，因此可以通过解析报文的方式，获取该终端的终端地址，需要说明的是，在本发明实施例中，终端的终端地址可以是终端接入网络中的配置数据，也可以是终端的IP地址，对于RS485等哑终端，该终端地址也可以是本地的编码，本发明并不以此为限。

步骤S222：根据预设终端地址映射表，获取终端对应的终端ID。在实际应用中，该预设终端地址映射表描述了终端的终端地址和ID编号的一一对应关系，终端ID长度为32位，占用4个字节，其编码方式符合物资统一编号要求，是该终端的唯一身份编号，在整个电力物联网中具有唯一识别性，在电力物联网中，为每个电力终端都分配了16位的UID编号，以标识和区分每一台终端设备，该16位的UID编号即为上述的终端ID；而终端的终端地址是不在不断发生变化的，例如：终端设备的迁移等导致终端的IP地址发生变化，当终端的终端发生变化后，会对上述预设终端地址映射表中该终端的终端地址进行自动的更新，使得该预设终端地址映射表中的信息始终与该终端的终端地址一致。

步骤S223：获取终端的硬件信息，并根据硬件信息生成指纹信息。在实际应用中，在网关中设置有硬件信息采集模块，用于采集终端的硬件信息具体地，各个终端一般均支持SNMP、gRPC、netconf等网络管理协议，因此，网关可以通过这些协议读取终端CPU、存储器和MAC地址等硬件信息，然后根据预先设定的指纹生成算法，对上述硬件信息进行重新编码，生成4个字节大小的指纹信息，例如：可以将上述的各个硬件信息直接进行叠加得到指纹信息，因为每个终端设备本身的硬件信息均不完全相同，因此每一个终端都可以生成一个唯一的指纹信息，用于识别该终端，在实际应用中，当终端在出厂安装时，对全部终端指纹信息进行采集，按照同样的算法生成指纹信息，并保存在物联网平台的预设终端数据库中，用于后期的比对和校验。

步骤S224：根据当前网关地址、指纹信息及终端ID对第一数据请求报文进行更新，生成第二数据请求报文。具体地，该第二数据请求报文为将上述的第一数据报文重新封装成IPv6格式报文，源地址为网关地址，目的地址不变，仍为业务系统地址，将第一数据请求报文中的净荷仍作为IPv6数据包的净荷，该当前网关地址是由网关在实际部署中的位置决定的，并配置在网关中，例如：第一个字节是省行政区代码；第二个字节是地市行政区代码；第三个字节是县镇行政级代码；第四个字节是变电站、营业厅行政级编码。当前网关地址共占用四个字节，可将其配置在上述IPv6扩展头域的第8至11个字节；上述的指纹信息则可以配置在IPv6扩展头域的第4至7个字节；上述的终端ID信息配置在IPv6报文扩展头域的第0至3个字节。通过将上述信息封装于第一数据请求报文IPv6扩展头域中，生成了上述第二数据请求报文。

在一可选实施例中，如图3所示，在执行上述步骤S221之后，在执行上述步骤S222之前，上述的步骤S22，还包括：

步骤S225：判断预设终端地址映射表中是否存在终端地址对应的终端ID。在实际应用中，由于电力物联网中所有的终端设备的终端地址都在预设终端地址映射表中具有一一对应的终端ID，因此可以通过判断预设终端地址映射表中是否存在该终端地址对应的终端ID来初步判断该终端的合法性。如果存在则执行步骤S222，否则执行步骤S226。

步骤S226：当预设终端地址映射表中不存在终端地址对应的终端ID时，判定终端为非法终端，禁止终端接入。具体地，如果没有查到该终端地址所对应的终端ID，则判定为该终端为非法终端，不再接受终端发送的数据，禁止该终端接入物联网平台；若查询到终端ID，则网关开始执行上述对根据当前网关地址、指纹信息及终端ID对第一数据请求报文进行更新，生成第二数据请求报文的步骤，并建立与物联网平台的连接，将生成的上述第二数据请求报文发送至物联网平台。从而可以在于物联网平台建立连接之前排除部分非法接入终端，保证了终端安全接入物联网平台。

通过上述步骤S21至步骤S25，本发明实施例提供的基于电力物联网的终端安全接入方法，网关通过接收终端发送的第一数据请求报文，根据获取的该终端的硬件信息、预设终端地址映射表及当前网关的地址对第一数据请求报文进行更新得到第二数据请求报文，从而通过将终端自身的身份信息及网关的身份信息封装于第一数据请求报文中发送至物联网平台，为物联网平台判断终端的合法性提供数据基础，并通过接收物联网平台对第二数据请求报文反馈的终端确认信息，只有在终端已经通过物联网平台的验证时，才会将该终端接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

本发明实施例还提供了一种基于电力物联网的终端安全接入方法，该方法应用于上述系统实施例中的物联网平台，如图4所示，该方法包括：

步骤S41：接收网关发送的第二数据请求报文。具体地，该第二数据请求报文为上述方法实施例中网关发送的IPv6报文。

步骤S42：对第二数据请求报文进行解析，得到终端的终端ID、指纹信息及网关地址。具体地，由于在上述的IPv6报文中封装有终端的终端ID、终端的指纹信息及终端接入当前网关的地址信息，因此可以通过解析报文的方式得到上述信息。

步骤S43：根据预设终端数据库对终端ID、指纹信息及网关地址进行信息比对，得到终端的终端确认信息。

步骤S44：发送终端确认信息。

具体地，由于每个终端及网关在进行安装时，均会将终端及网关的相关信息存储到该电力物联网的本地数据库，建立预设终端数据库，为对上述信息进行对比提供基础。在实际应用中，由于终端ID具有唯一标识性，因此可以根据终端的ID在预设终端数据库中进行信息查询，并于上述的信息进行对比，上述步骤S43及步骤S44所包含的具体地对比过程及对应的终端确认信息包括：

(1)查询不到终端ID，则判定该终端为非法终端，并将终端确认信息为非法终端反馈到网关。本次查询判断可以解决网关映射表被非法攻击或者终端ID被篡改的情况；

(2)根据终端ID查询，指纹信息不一致，则判定该终端为非法终端，其终端身份已被非法终端取代，或者合法终端数据已经被篡改，并将终端确认信息为非法终端反馈到网关，此外，还可以生成告警事件，发送到监控中心，便于安全运维人员对终端的非法入侵或篡改进行处理。

(3)根据终端ID查询，指纹信息一致，网关位置不一致，则判定为终端身份合法，但接入位置已经更换，该网关应拒绝该终端接入，并将终端确认信息为拒绝接入反馈到网关，此外，还可以生成告警事件，发送到监控中心。

(4)根据终端ID查询，全部数据信息均与平台中数据一致，则判定为合法终端，并向网关发送确认接入的终端确认信息，使得网关实现该终端与物联网平台的通信连接。

在网关接收到物联网平台根据第二数据请求报文反馈的终端确认信息后，根据终端确认信息将终端接入物联网平台。具体地，该网关需要根据终端确认信息的类型选择是否允许终端接入物联网平台，在实际应用中，当上述的终端确认信息为非法终端或拒绝接入时，则网关拒绝该终端的接入，当上述的终端确认信息为确认接入时，则建立安全传输通道，从而实现终端与物联网平台之间的数据传输。

通过上述步骤S41至步骤S44，本发明实施例提供的基于电力物联网的终端安全接入方法，物联网平台通过对网关发送的第二数据请求报文进行解析，并将解析出的终端的终端ID、指纹信息及网关地址与预设终端数据库进行信息对比，得到该终端的终端确认信息，进而通过对比预设终端数据库存储的信息，如果信息一致则说明该终端为安全终端，如果不一致则说明该终端为非法终端，并将上述终端信息反馈给网关，使得网关可以根据终端确认信息只将安全终端接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

本发明实施例还提供了一种基于电力物联网终端安全接入装置，该装置应用于上述系统实施例中的网关，如图5所示，该装置包括：

第一接收模块51，用于接收终端发送的第一数据请求报文。详细内容参见上述方法实施例中步骤S21的相关描述。

第二数据请求报文生成模块52，用于获取终端的硬件信息，并根据预设终端地址映射表、当前网关地址及硬件信息对第一数据请求报文进行更新，生成第二数据请求报文。详细内容参见上述方法实施例中步骤S22的相关描述。

第一发送模块53，用于发送第二数据请求报文。详细内容参见上述方法实施例中步骤S23的相关描述。

第二接收模块54，用于接收物联网平台根据第二数据请求报文反馈的终端确认信息。详细内容参见上述方法实施例中步骤S24的相关描述。

终端接入模块55，用于根据终端确认信息将终端接入物联网平台。详细内容参见上述方法实施例中步骤S25的相关描述。

通过上述各个组成部分的协同合作，本发明实施例提供的基于电力物联网的终端安全接入装置，网关通过接收终端发送的第一数据请求报文，根据获取的该终端的硬件信息、预设终端地址映射表及当前网关的地址对第一数据请求报文进行更新得到第二数据请求报文，从而通过将终端自身的身份信息及网关的身份信息封装于第一数据请求报文中发送至物联网平台，为物联网平台判断终端的合法性提供数据基础，并通过接收物联网平台对第二数据请求报文反馈的终端确认信息，只有在终端已经通过物联网平台的验证时，才会将该终端接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

在一可选实施例中，如图6所示，上述的第二数据请求报文生成模块52包括：

第一解析模块521，用于对第一数据请求报文进行解析，得到终端对应的终端地址。详细内容参见上述方法实施例中步骤S221的相关描述。

获取模块522，用于根据预设终端地址映射表，获取终端对应的终端ID。详细内容参见上述方法实施例中步骤S222的相关描述。

指纹信息生成模块523，用于获取终端的硬件信息，并根据硬件信息生成指纹信息。详细内容参见上述方法实施例中步骤S223的相关描述。

更新模块524，用于根据当前网关地址、指纹信息及终端ID对第一数据请求报文进行更新，生成第二数据请求报文。详细内容参见上述方法实施例中步骤S224的相关描述。

通过上述各个组成部分的协同合作，本发明实施例提供的基于电力物联网的终端安全接入装置，网关通过接收终端发送的第一数据请求报文，根据获取的该终端的硬件信息、预设终端地址映射表及当前网关的地址对第一数据请求报文进行更新得到第二数据请求报文，从而通过将终端自身的身份信息及网关的身份信息封装于第一数据请求报文中发送至物联网平台，为物联网平台判断终端的合法性提供数据基础，并通过接收物联网平台对第二数据请求报文反馈的终端确认信息，只有在终端已经通过物联网平台的验证时，才会将该终端接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

本发明实施例还提供了一种基于电力物联网的终端安全接入装置，该装置应用于上述系统实施例中的物联网平台，如图7所示，该装置包括：

第三接收模块71，用于接收网关发送的第二数据请求报文。详细内容参见上述方法实施例中步骤S41的相关描述。

第二解析模块72，用于对第二数据请求报文进行解析，得到终端的终端ID、指纹信息及网关地址。详细内容参见上述方法实施例中步骤S41的相关描述。

终端信息生成模块73，用于根据预设终端数据库对终端ID、指纹信息及网关地址进行信息比对，得到终端的终端确认信息。详细内容参见上述方法实施例中步骤S43的相关描述。

第二发送模块74，用于发送终端确认信息。详细内容参见上述方法实施例中步骤S44的相关描述。

通过上述各个组成部分的协同合作，本发明实施例提供的基于电力物联网的终端安全接入装置，物联网平台通过对网关发送的第二数据请求报文进行解析，并将解析出的终端的终端ID、指纹信息及网关地址与预设终端数据库进行信息对比，得到该终端的终端确认信息，进而通过对比预设终端数据库存储的信息，如果信息一致则说明该终端为安全终端，如果不一致则说明该终端为非法终端，并将上述终端信息反馈给网关，使得网关可以根据终端确认信息只将安全终端接入物联网平台，进而保障了终端的安全接入，消除了物联网平台的安全接入隐患。

本发明实施例还提供了一种电子设备，如图8所示，该电子设备可以包括处理器901和存储器902，其中处理器901和存储器902可以通过总线或者其他方式连接，图8中以通过总线连接为例。

处理器901可以为中央处理器(Central Processing Unit，CPU)。处理器901还可以为其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等芯片，或者上述各类芯片的组合。

存储器902作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序、非暂态计算机可执行程序以及模块，如本发明实施例中的容器镜像的管理、使用或构建方法所对应的程序指令/模块(处理器901通过运行存储在存储器902中的非暂态软件程序、指令以及模块，从而执行处理器的各种功能应用以及数据处理，即实现上述方法实施例中的基于电力物联网的终端安全接入方法。

存储器902可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储处理器901所创建的数据等。此外，存储器902可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施例中，存储器902可选包括相对于处理器901远程设置的存储器，这些远程存储器可以通过网络连接至处理器901。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

一个或者多个模块存储在存储器902中，当被处理器901执行时，执行上述方法实施例中的基于电力物联网的终端安全接入方法。

上述电子设备具体细节可以对应参阅上述方法实施例中对应的相关描述和效果进行理解，此处不再赘述。

本领域技术人员可以理解，实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，存储介质可为磁碟、光盘、只读存储记忆体(Read－Only Memory，ROM)、随机存储记忆体(Random Access Memory，RAM)、快闪存储器(Flash Memory)、硬盘(Hard Disk Drive，缩写：HDD)或固态硬盘(Solid－StateDrive，SSD)等；存储介质还可以包括上述种类的存储器的组合。

虽然结合附图描述了本发明的实施例，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下作出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。

Claims (10)

1.一种基于电力物联网的终端安全接入方法，其特征在于，包括：

接收终端发送的第一数据请求报文；

获取所述终端的硬件信息，并根据预设终端地址映射表、当前网关地址及所述硬件信息对所述第一数据请求报文进行更新，生成第二数据请求报文；

发送所述第二数据请求报文；

接收物联网平台根据所述第二数据请求报文反馈的终端确认信息；

根据所述终端确认信息将所述终端接入所述物联网平台。

2.根据权利要求1所述的基于电力物联网的终端安全接入方法，其特征在于，所述获取所述终端的硬件信息，并根据预设终端地址映射表、当前网关地址及所述硬件信息对所述第一数据请求报文进行更新，生成第二数据请求报文，包括：

对所述第一数据请求报文进行解析，得到所述终端对应的终端地址；

根据预设终端地址映射表，获取所述终端对应的终端ID；

获取所述终端的硬件信息，并根据所述硬件信息生成指纹信息；

根据当前网关地址、所述指纹信息及所述终端ID对所述第一数据请求报文进行更新，生成第二数据请求报文。

3.根据权利要求2所述的基于电力物联网的终端安全接入方法，其特征在于，还包括：

判断所述预设终端地址映射表中是否存在所述终端地址对应的终端ID；

当所述预设终端地址映射表中不存在所述终端地址对应的终端ID时，判定所述终端为非法终端，禁止所述终端接入。

4.一种基于电力物联网的终端安全接入方法，其特征在于，包括：

接收网关发送的第二数据请求报文；

对所述第二数据请求报文进行解析，得到终端的终端ID、指纹信息及网关地址；

根据预设终端数据库对所述终端ID、所述指纹信息及所述网关地址进行信息比对，得到所述终端的终端确认信息；

发送所述终端确认信息。

5.一种基于电力物联网终端安全接入装置，其特征在于，包括：

第一接收模块(51)，用于接收终端发送的第一数据请求报文；

第二数据请求报文生成模块(52)，用于获取所述终端的硬件信息，并根据预设终端地址映射表、当前网关地址及所述硬件信息对所述第一数据请求报文进行更新，生成第二数据请求报文；

第一发送模块(53)，用于发送所述第二数据请求报文；

第二接收模块(54)，用于接收物联网平台根据所述第二数据请求报文反馈的终端确认信息；

终端接入模块(55)，用于根据所述终端确认信息将所述终端接入所述物联网平台。

6.根据权利要求5所述的基于电力物联网的终端安全接入装置，其特征在于，所述第二数据请求报文生成模块(52)包括：

第一解析模块(521)，用于对所述第一数据请求报文进行解析，得到所述终端对应的终端地址；

获取模块(522)，用于根据预设终端地址映射表，获取所述终端对应的终端ID；

指纹信息生成模块(523)，用于获取所述终端的硬件信息，并根据所述硬件信息生成指纹信息；

更新模块(524)，用于根据当前网关地址、所述指纹信息及所述终端ID对所述第一数据请求报文进行更新，生成第二数据请求报文。

7.一种基于电力物联网的终端安全接入装置，其特征在于，包括：

第三接收模块(71)，用于接收网关发送的第二数据请求报文；

第二解析模块(72)，用于对所述第二数据请求报文进行解析，得到终端的终端ID、指纹信息及网关地址；

终端信息生成模块(73)，用于根据预设终端数据库对所述终端ID、所述指纹信息及所述网关地址进行信息比对，得到所述终端的终端确认信息；

第二发送模块(74)，用于发送所述终端确认信息。

8.一种基于电力物联网的终端安全接入系统，其特征在于，包括：终端(1)、网关(2)及物联网平台(3)，其中，

所述终端(1)用于向所述网关(2)发送第一数据请求报文；

所述网关(2)用于接收所述第一数据请求报文；获取所述终端(1)硬件信息，并根据预设终端地址映射表、当前网关地址及所述硬件信息对所述第一数据请求报文进行更新，生成第二数据请求报文；向所述物联网平台(3)送所述第二数据请求报文；

所述物联网平台(3)于接收所述第二数据请求报文；对所述第二数据请求报文进行解析，得到终端(1)终端ID、指纹信息及网关地址；根据预设终端数据库对所述终端ID、所述指纹信息及所述网关地址进行信息比对，得到所述终端(1)终端确认信息；并向所述网关(2)送所述终端确认信息。

所述网关(2)用于接收所述终端确认信息；根据所述终端确认信息将所述终端(1)入所述物联网平台(3)。

9.一种电子设备，其特征在于，包括：

存储器和处理器，所述存储器和所述处理器之间互相通信连接，所述存储器中存储有计算机指令，所述处理器通过执行所述计算机指令，从而执行权利要求1－3任一项所述的基于电力物联网的终端安全接入方法，或者，执行权利要求4所述的基于电力物联网的终端安全接入方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使所述计算机从而执行权利要求1－3任一项所述的基于电力物联网的终端安全接入方法，或者，执行权利要求4所述的基于电力物联网的终端安全接入方法。