CN110417849A - 介入式工业设备边缘计算系统 - Google Patents

Abstract

介入式工业设备边缘计算系统，包括处理设备数据上行监控的设备数据采集模块、异构的数据存储模块、智能分析与预测性维护模块和数据可视化模块，对外部用户请求进行隔离化分析的独立的权限管理模块和网络安全管理模块，达成多种需求接入的动态端口策略端口映射模块和远程接入模块。本发明进行动态匹配设备协议进行通信协议匹配加强兼容性；对每个设备生成特异性模型进行分析维护；分离常规监控和介入控制；对接入请求建立基本风险评估，并对端口数据进行分流分析，提高数据有效性。本发明可以远程采集工业网络中的设备将数据规范化并上传云端进行智能分析和预测性维护，同时根据需求进行设备的数据监控或介入式控制，给予用户如同本地的设备连接。

Description

介入式工业设备边缘计算系统

技术领域

本发明设计一种介入式工业设备边缘计算系统。本系统可以远程采集工业网络中的设备将数据规范化并上传云端进行智能分析和预测性维护。同时可以根据需求进行设备的数据监控或介入式控制，可以给予用户如同本地的设备连接。

背景技术

工业领域的各项设备逐渐支持以太网通信，但是各种设备如PLC和机器人的通信协议等不尽相同，无法通过简单的socket通信进行相应的数据采集。某些厂家提供的SDK内有着对于数据采集的功能，但是此类软件体量较大，运行的成本较高，需要在固定的设备环境下运行，采集成本极为高昂，且此类软件封装过于严重，且功能单一，未对数据的二次处理提供相应接口仅是数据的单一性采集。

同时，本地工业网络设备之间的联动仅局限在本地设备上，对于云端的服务器之间只能进行主动连接，无法使外网设备直接与本地网络内设备进行连接，使设备维护人员在进行简单设备维护时也必须亲自到工厂内部去进行设备接入。

在推动数字化工厂，无人工厂的时代潮流下，上述两个问题是及其迫切解决的痛点。针对此，市面上目前推出了固定性采集模块，在PLC中写入相应监控的数据参数，并将其上传至云端，用户可以通过在云端观察此数据的变化，但是此模块要求PLC内部进行编程，本身已经对设备进行了更改，可能会影响设备原本的控制逻辑，且此类模块适应性差，仅能采集单一设备，在较大的流水中设备量可能达到了几十台若对每台设备部署此模块成本较高。另外市面上也有着面向连接以太网连接的网关，此类设备可以采集挂靠在此类网关下的工业设备，并提供远程连接的端口，但是此类设备需要取代原有的工业网关，并对网络内设备的网络地址进行修改，此操作可能会造成原有通信网络的混乱，且安装成本以及维护成本过大，在设备较多的工业控制网络中对此类设备处理能力的要求极高。

市面上部分云端系统提供对采集数据的深度分析服务，但是接入的数据无初始模型，原生数据的复杂性大大增加了分析的难度，分析模型的复杂度大大增加。

因此对于介入式工业设备智能化监控系统，对多种类设备的监控能力是首先具备的，需要与设备本身进行直接性通信，避免对原设备进行修改，保持原网络的稳定性。其次，提供多种安装方式，可以用于取代原有工业网关也可以作为原工业网络下的一个新设备在不破坏原网路构架的基础上进行部署。在数据采集方面，对于采集的数据需要进行合理化处理，将其统一化后再存储至云端，并将此数据进行图形化展示使用户可以尽可能详细地，云端深度分析的初始化模型需要结合往期的机器人真实数据，并对其进行相应分类，最终建立分析模型。远程接入时需要对接入者的身份进行多重验证，加入临时证书验证，超过授权权限时间即刻作废同时可以手动作废，加强网络的安全性。

发明内容

本发明要克服现有技术的上述问题，提供一种介入式工业设备智能化监控系统。

本发明的核心是基于一种介入式工业设备边缘计算系统，利用了设备数据采集模块通过以太网对设备的状态信息进行采集，并将其进行二次处理后上传至云。云端会将数据进行分解，将历史数据放入数据库，即时数据存放至Redis供智能分析模块与预测性维护模块进行设备运行模型特异性维护，并将预测结果和维护建议存放至各个设备的建议栏。

在用户登录系统时首先网络安全管理模块会对用户身份进行详细地核对，确保身份合法，并调用权限管理模块中的信息开放指定的内容，用户可以通过数据可视化模块对设备的进行数据监控，也可以请求对自己的设备进行介入式控制，在收到介入式控制请求后权限管理模块会再次核对用户身份，并向远程的远程接入模块复核设备接入权限，若权限复核通过，则请求远程接入模块发放接入所需证书文件并将其发放给用户，同时将接入端口映射至云端的端口映射模块，，用户可在指定时间通过获取到的证书等文件接入远程工业网络获取虚拟的网络身份，对权限内的设备进行实时调试。

同时本地设备也会分析如设备紧急制动、运行温度等信号，若触发此类重要的信号也会直接通知绑定用户，同时用户也可指定此类重要信号触发时做需要运行的脚本。

本发明为解决现有技术问题所采用的技术方案是：

一种介入式工业设备边缘计算系统，通过本地设备信息采集模块获取设备信息，上传至云端数据存储模块。云端的智能分析与预测性维护模块会对数据进行深度学习，并提供预测结果和维护建议。用户在通过网络安全管理模块的验证后可以通过数据可视化模块对所采集数据进行监控，同时也可以通过远程接入模块对工业网络设备进行介入式调试。所述的介入式工业设备边缘计算系统包括：

设备信息采集模块：此模块输入为设备状态的相关信息，并将其进行筛选统一化后将数据上传至云端。此模块分为三部分，第一部分为设备信息的初步分析，不同的工业设备需要进行不同的协议通信，因此前期需要进行设备校准。用户先设定指定设备的设备类型，通过特定传输协议与目标设备进行初步的设备信息校对，并反馈后台，将设备信息加以绑定，其次建立socket连接，获取目标设备特定寄存器的值，然后进行二次解析，将设备反馈信息统一化。第二部分为与云端数据库进行连接，通过系统下位机自身出厂密码和算法综合获取的账号进行登录，并根据设备信息、时间信息等条件将采集的信息存放至指定的位置。第一部分为外置摄像头支持，利用下位机本身自带的接口连接摄像头进行图像采集，上传至云端，同时提供视频流接口供用户调用。

数据存储模块：此模块输入为下层设备信息采集模块所上传的各个设备的相关信息以及部分用于存放来自智能分析与预测性维护模块的设备状态分析建议。此模块主要用于存放下位机设备所采集的设备信息以及图像信息，并提供大量接口供智能分析与预测性维护模块，数据可视化模块进行数据读取。存储结构为异构系统，分为Redis和数据库。Redis是用于对实时性要求较高的模块进行实时数据调用，如智能分析与预测性维护模块的预测性维护部分需要对实时数据进行判定解析。数据库用来存放历史数据，用于后台数据的可视化显示和运行模型建立解析。同时此模块提供了给予智能分析与预测性维护模块的数据调用的输出接口和数据可视化模块相关数据调用

智能分析与预测性维护模块：本模块以数据存储模块的设备信息为输入，以对设备的预测性维护建议为输出。本模块分为两部分，第一为智能分析部分，会对不同种的设备导入由专家设计的基本运行模型，此模型集成了多种常见错误，如对于PLC的温度过高，模拟量输入报警，PLC中断运行等，对于制式机器人的电流过大，陷入奇异点，运动轨迹失衡，内部报错等。并且会利用数据存储模块内的数据进行针对每一个载入的设备进行特异性分析，如通过机械臂运动轨迹检测是否存在电机丢步，通过电流值分析是否存在非正常功率变化等。且在多次分析后形成新的有效模型，供给第二部分进行实时数据分析。第二部分为预测性维护，在智能分析部分生成设备运行匹配模型后会实时分析Redis内相应设备的数据，并对其和模型参数进行匹配。若出现警告会上报至存储空间的警告信息存储区，用于用户确认，在用户判定后会更新相应的设备运行匹配模型，进一步加强设备的适应性。若出现错误会直接调用错误通知策略实时通知用户，若用户设定权限，可通过内部通信协议直接对设备作出关停等措施。在应对对多设备联合的情况下用户可对设备设定组态，简化运行模型，加强对这个系统的拟合度。

数据可视化模块：此模块输入为用户数据监控请求和数据存储模块中用户权限内所能读取的各项数据。此模块主要作用是将设备采集的数据进行图形化展示，方便用户直观地进行设备观察。其中用户可以在其控制权限内通过设备的UUID和连接密码进行设备添加，从而获取设备相关数据，如在线信息，历史传输数据信息，警告信息等。其中还提供了设备介入式控制连接证书下载按键，在现场运维人员开启远程连接许可后，系统会生成相应的登录证书并发放给用户。同时用户也可查看当前账号的历史登录数据、进行何种操作等。

权限管理模块：此模块主要输出为对用户的请求进行审核。其内部主要存储用户的各项相关权限，主要包括动态码发放，行为合法性验证，连接证书生成及发放策略，其中保存了所有设备的基础证书，并会根据链接需求以及其权限程度基于不同的客户生成连接证书并给予发放。

网络安全管理模块：此模块输入来自外部网络的请求信号和权限管理模块的审核确认信号，输出为各项合法请求。此模块分为防火墙接入策略、权限验证策略和动态端口连接策略。防火墙接入策略为对用户的可视化界面登录和介入控制进行分流，可视化界面请求的数据量较小，对流控分析时要求较严格，限制其访问数量和请求。在此遇到高量请求许可时将其转移至其他主机，进行分流分析，如出现恶意登录，则记录在用户的警告信息存储空间，并封禁发送请求的端口，若出现误封的情况可由用户联系现场设备维护人员重新开放端口，若此为固定的访问地址则将其添加至白名单防止误禁。权限验证策略是利用权限管理模块对用户的请求进行验证，包括登录系统时需要进行账号密码认证或动态码认证；在自身监控系统添加设备时加入设备信息核对等，主要目的是审核用户操作的合法性。动态端口连接策略主要是用于介入式控制请求时客户所需要的连接端口，若连接端口固定，则很容易受到外部持续性攻击，导致端口无法正常使用，从而用户连接失败。动态端口策略会将目前可用端口制表，并生成随机值挑选端口，进行证书组合，并下发给用户。

端口映射模块：此模块输入为外部介入式控制信号，输出至介入式控制网关中的远程控制模块。主要作用是将下位机设备上的端口信息封装，并同步到云端主机的某一端口地址，主要利用了反向代理的原理，同时可以根据用户需求同步转发内网内其他设备所需要转发的端口，如用户希望开放工业网络中的网络附属存储，则可将此端口开放。由于加密转发会影响数据传输速度，因此另外提供了P2P转发的服务，使用户和设备在网络状况良好的情况下进行直接通信，增加数据传输的有效性。

远程接入模块：此模块输入为来自云端服务的端口映射模块的介入控制请求，输出为将远程用户的各项请求发送至本地工业网络。用于用户在介入控制时为用户提供一个虚拟的网络地址。在接收到用户的远程连接请求时会核对用户连接权限并生成连接所需的加密证书，用户下载后可通过特定软件进行连接，用户在连接时接入模块会对证书的有效性并利用TAP网卡获取额外的虚拟网络地址，在二层进行设备信息交换，由此对一些设备协议可以做到更好地支持，如西门子PLC的网络内设备查找是利用了二层的MAC广播，此类网卡能做到很好的支持。并且为了节省网路资源，本模块利用LZO算法对传输的数据进行压缩，并在客户的界面再进行数据还原。同时会根据接入接入权限的回调仅开放特定地址和特定端口，加强设备的保密性。

本发明的工作原理是：

本发明是基于一种介入式工业设备边缘计算系统。通过设备信息采集模块对不同设备进行通信协议匹配，并采集相应的数据上传云端，由智能分析与预测性维护模块生成对应的设备运行解析模型，并进行反复验证学习，拟合实际的设备运行。通过数据可视化模块将分析所得数据对用户进行解释，用于用户常规化数据监控。用户在登录时需要进过网络安全管理模块的基本风险评估，并经过权限管理模块对用户权限进行校验。用户可以通过数据可视化模块获取接入式控制所需要的连接证书，并通过动态端口策略获取实际的端口连接地址，结合两者进行远程登录，数据经过端口映射模块转发后进入远程接入模块，经由openssl进行数据验证并还原。远程接入模块会在本地建立一个虚拟网卡，供远程用户接入时使用，对于不同权限的用户，可以通过修改iptables规则来限制其访问权限，并由此分配网络中各个设备所存在工作组。

本发明的优点是：

1.介入式网络部署减少对原工业网络的影响；

2.应用接口与协议动态匹配方式增强对工业网络内设备的兼容性；

3.设计异构存储结构适应工业生产情况；

4.云端端口转发分离，减少无效数据对工业网络的影响；

5.独立存储和读取接口，分离权限，提高数据的真实性；

6.建立特异性模型分析每个真实设备的实际运行情况，提高分析的准确性。

附图说明

图1为本发明的系统结构示意图。

具体实施方式

以下为结合附图对本发明的实施做进一步详述。

一种介入式工业设备边缘计算系统，如附图1(本发明的系统结构示意图)所示：介入式工业设备边缘计算系统包括：1、介入控制网关登录客户端；2、云端服务器；3、介入式工业网关；4、本地工业网络。其中介入式工业网关硬件设计为飞凌嵌入式生产的OK5718嵌入式工控板，Arm-linux系统。将工控板通过网线或WiFi加入原工业网络的局域网。若原网路可以连接外网，且质量良好，则可以通过此网络原网关直接连接云端服务器，若无网络或质量较差，则可以选择内置的4G模块连接云端服务器。

对于本发明所描述的介入式工业设备边缘计算系统包括：

设备信息采集模块：通过用户对设备类型进行设置，并从内部进行协议匹配，并进行确认，并在云服务器的数据存储模块建立新的数据空间用于存放相关数据信息。设备的新通信协议可以在云端下载并放置在此模块中，由此最大保证设备兼容性。

数据存储模块：包括Redis和数据库数据传输时项加入至Redis中在由各项应用所需模块进行调用，在下一条数据进入时将对应的参数压入数据库中。数据可视化模块在用户登录时在做数据请求减少内存使用量，同时不过多牺牲数据交互速度。

智能分析与预测性维护模块：通过专家对基本工业设备的各项通用数据进行模型建立，并建立模型迭代接口，使数据可以被有效使用。智能分析部分为模型迭代更新部分，预测性维护为对于模型的应用，通过对实时数据的运行模型拟合来对模型进行分析并提供结果。此模块同时调用Redis数据和数据库内数据，在外部设备IO调用增加时减少对数据库的调用，将智能分析部分的线程优先级降低，但是保持预测性维护部分的优先级。

数据可视化模块：将用户的权限进行收集，并由此连接数据库，以只读形式获取相关设备的运行信息，包括实时数据以及历史数据。对不同类型的设备有不同的分组形式，减小客户的使用门槛。

网络安全管理模块：对于外部通用请求引入动态防火墙策略，对可疑端口的优先处理决策为访问目的端口转移，以此减少端口访问的线程压力。收集用户连接时所提交的信息并交由权限管理模块审核。

权限管理模块：独立于其他数据系统，存储的是用户相关信息，与网络安全管理模块联合使用，以此隔离后台系统与用户，减少对于用户操作对后台系统的影响。其可以通过逐步添加各个设备来增加用户对设备的访问权限，并且将基础证书存放至此模块，以此来减少介入式控制网关的性能压力。

端口映射模块：将各个设备的远程接入模块的接入端口连接至公网端口，使非公网的介入式网关设备也能被同为非公网的用户所找到并连接。

远程接入模块：主要集成了多项网关的功能，使在接入此网关的用户可以如同在本地进行介入式操作。用户数据经由介入控制客户端加密压缩后同步映射到远程接入模块，并进行解密还原。使数据同步传输，在有二层协议使用时，在下发通信协议至TAP网卡，在二层进行相关数据交换。

以上是整个系统的控制情况，嵌入式控制网关中设备信息采集模块、远程接入模块和云端服务器的智能分析与预测性维护模块、数据存储模块、数据可视化模块、端口映射模块、网络安全管理模块、权限管理模块以及用户所使用的介入控制登录客户端，这9个模块相互合作，共同组成了介入式工业设备边缘计算系统。

本说明书实施例所述的内容仅仅是对发明构思的实现形式的列举，本发明的保护范围不应当被视为仅限于实施例所陈述的具体形式，本发明的保护范围也及于本领域技术人员根据本发明构思所能够想到的等同技术手段。

Claims (6)

1.一种介入式工业设备边缘计算系统，其特征在于：包括处理设备数据上行监控的设备数据采集模块、异构的数据存储模块、智能分析与预测性维护模块和数据可视化模块，对外部用户请求进行隔离化分析的独立的权限管理模块和网络安全管理模块，达成多种需求接入的动态端口策略端口映射模块和远程接入模块；

设备信息采集模块输入为设备状态的相关信息，筛选统一化后将数据上传至云端；此模块分三部分，第一部分为设备信息的初步分析，不同的工业设备需要进行不同的协议通信，因此前期需要进行设备校准；用户先设定指定设备的设备类型，通过特定传输协议与目标设备进行初步的设备信息校对，并反馈后台，将设备信息加以绑定，其次建立socket连接，获取目标设备特定寄存器的值，然后进行二次解析，将设备反馈信息统一化；第二部分为与云端数据库进行连接，通过系统下位机自身出厂密码和算法综合获取的账号进行登录，并根据设备信息、时间信息等条件将采集的信息存放至指定的位置；第一部分为外置摄像头支持，利用下位机本身自带的接口连接摄像头进行图像采集，上传至云端，同时提供视频流接口供用户调用；

数据存储模块：输入下层的设备信息采集模块所上传的各个设备的相关信息以及部分用于存放来自智能分析与预测性维护模块的设备状态分析建议；数据存储模块存放下位机设备所采集的设备信息以及图像信息，并提供大量接口供智能分析与预测性维护模块，数据可视化模块进行数据读取；存储结构为异构系统，分为Redis和数据库；Redis对实时性要求较高的模块进行实时数据调用；数据库存放历史数据，可视化显示后台数据、对运行模型建立解析；同时数据存储模块提供了给予智能分析与预测性维护模块的数据调用的输出接口和数据可视化模块相关数据调用

智能分析与预测性维护模块：以数据存储模块的设备信息为输入，以对设备的预测性维护建议为输出；，分为两部分，第一为智能分析部分，会对不同种的设备导入由专家设计的基本运行模型，基本运行模型集成了多种常见错误，；，并且利用数据存储模块内的数据进行针对每一个载入的设备进行特异性分析；，且在多次分析后形成新的有效模型，供给第二部分进行实时数据分析；第二部分为预测性维护，在智能分析部分生成设备运行匹配模型后会实时分析Redis内相应设备的数据，并对其和模型参数进行匹配；若出现警告会上报至存储空间的警告信息存储区，用于用户确认，在用户判定后会更新相应的设备运行匹配模型，进一步加强设备的适应性；若出现错误会直接调用错误通知策略实时通知用户，若用户设定权限，通过内部通信协议直接对设备作出关停等措施；在应对多设备联合的情况下用户对设备设定组态，简化运行模型，加强对这个系统的拟合度；

数据可视化模块：输入为用户数据监控请求和数据存储模块中用户权限内所能读取的各项数据；将设备采集的数据进行图形化展示，方便用户直观地进行设备观察；其中用户可以在其控制权限内通过设备的UUID和连接密码进行设备添加，从而获取设备相关数据；还提供设备介入式控制连接证书下载按键，在现场运维人员开启远程连接许可后，系统会生成相应的登录证书并发放给用户；同时用户能够查看当前账号的历史登录数据、进行何种操作；

权限管理模块：输出为对用户的请求进行审核；其内部存储用户的各项相关权限，包括动态码发放，行为合法性验证，连接证书生成及发放策略，其中保存了所有设备的基础证书，并会根据链接需求以及其权限程度基于不同的客户生成连接证书并给予发放；

网络安全管理模块：输入来自外部网络的请求信号和权限管理模块的审核确认信号，输出各项合法请求；网络安全管理模块分为防火墙接入策略、权限验证策略和动态端口连接策略；防火墙接入策略为对用户的可视化界面登录和介入控制进行分流，可视化界面请求的数据量较小，对流控分析时要求较严格，限制其访问数量和请求；在此遇到高量请求许可时将其转移至其他主机，进行分流分析，如出现恶意登录，则记录在用户的警告信息存储空间，并封禁发送请求的端口，若出现误封的情况可由用户联系现场设备维护人员重新开放端口，若此为固定的访问地址则将其添加至白名单防止误禁；权限验证策略是利用权限管理模块对用户的请求进行验证，包括登录系统时需要进行账号密码认证或动态码认证；在自身监控系统添加设备时加入设备信息核对，审核用户操作的合法性；动态端口连接策略主要是用于介入式控制请求时客户所需要的连接端口，若连接端口固定，则很容易受到外部持续性攻击，导致端口无法正常使用，从而用户连接失败；动态端口策略会将目前可用端口制表，并生成随机值挑选端口，进行证书组合，并下发给用户；

端口映射模块：输入外部介入式控制信号，输出至介入式控制网关中的远程控制模块；将下位机设备上的端口信息封装，并同步到云端主机的某一端口地址，利用了反向代理的原理，同时可以根据用户需求同步转发内网内其他设备所需要转发的端口，如用户希望开放工业网络中的网络附属存储，则可将此端口开放；由于加密转发会影响数据传输速度，因此另外提供了P2P转发的服务，使用户和设备在网络状况良好的情况下进行直接通信，增加数据传输的有效性；

远程接入模块：输入为来自云端服务的端口映射模块的介入控制请求，输出为将远程用户的各项请求发送至本地工业网络；用于用户在介入控制时为用户提供一个虚拟的网络地址；在接收到用户的远程连接请求时会核对用户连接权限并生成连接所需的加密证书，用户下载后可通过特定软件进行连接，用户在连接时接入模块会对证书的有效性并利用TAP网卡获取额外的虚拟网络地址，在二层进行设备信息交换，由此对设备协议进行支持；并且为了节省网路资源，远程接入模块利用LZO算法对传输的数据进行压缩，并在客户的界面再进行数据还原；同时根据接入权限的回调仅开放特定地址和特定端口，加强设备的保密性。

2.根据权利要求1所述的一种介入式工业设备边缘计算系统，其特征在于：异构的数据存储模块对于系统内多样化请求提供高速Redis和数据库两种接入方式，以应对不同数据的需求；高速Redis用于存储调用户正在通过数据可视化进行监控和对数据刷新要求较高的设备数据；数据库用于存放设备历史数据和刷新需求不高的设备信息；并在模块简化调用接口，方便在模块控制器升级时提供更好地兼容性。

3.根据权利要求1所述的一种介入式工业设备边缘计算系统，其特征在于：对于外部无用的洪泛式请求采用端口请求转移的方式，尽可能在带宽不变的情况下对无用请求进行规避，以保证有效请求的接入。

4.根据权利要求1所述的一种介入式工业设备边缘计算系统，其特征在于：多类点对站网络通信的归一化处理方案，对于工业设备的常规监控使用VPN多重审核、加密、压缩，而对于对高速传输存在需求时使用中心性P2P连接，通过云端服务器进行地址指向，使数据尽可能不需要通过云端服务器来减少服务器带宽负载，并在线路稳定的情况下，传输速度仅受限于设备本身的接入带宽。

5.根据权利要求1所述的一种介入式工业设备边缘计算系统，其特征在于：对外部请求权限分析和数据进行隔离将请求经过前部分系统的权限审核才能再在进入数据相关的系统，且用户无法直接对数据存储模块进行修改和写入操作，对数据的准确度和安全性进行进一步提升。

6.根据权利要求1所述的一种介入式工业设备边缘计算系统，其特征在于：在接入控制时对数据进行实时加密压缩，再由用户本地进行解码还原，实时加密可以减少对数据传输时延的影响，并且内置使用RSA加密方式，由于对数据输出接口进行了简化处理，用户也可以根据自身加密等级要求套加额外的数据加密算法。