CN112019496A - 基于mqtt总线的主题安全订阅方法及装置 - Google Patents

Abstract

本发明提出了一种基于MQTT总线的主题安全订阅方法，包括：根据预设的访问权限要求，配置目标微应用待发布主题的安全访问策略；根据边缘计算系统中的数据流量值选取待发布主题的MQTT总线；控制除目标微应用外的其他微应用根据安全访问策略订阅已选取MQTT总线上的主题。通过配置主题的安全访问策略的方式，根据不同主题的不同访问要求，配置其他微应用订阅主题的权限。增强了微应用发布主题的隐私性，大大提高了边缘计算系统业务的安全性。

Description

基于MQTT总线的主题安全订阅方法及装置

技术领域

本发明属于主题订阅领域，尤其涉及基于MQTT总线的主题安全订阅方法及装置。

背景技术

随着电网业务对智能化应用需求的增多，边缘计算技术被广泛应用于大量现场数据标准化接入以及业务实时处理的场景中。为了适应业务灵活部署、应用快速升级的研发趋势，目前主流的边缘计算采用的软件架构是基于MQTT总线的微应用架构，所有微应用的主题都发布在MQTT总线上。但是传统的MQTT总线架构的缺陷在于，每个微应用都能在MQTT总线上任意订阅所有主题包含的消息，导致隐私性较高的信息缺乏安全保护机制，也对边缘计算系统业务造成安全隐患。

发明内容

为了解决现有技术中存在的缺点和不足，本发明提出了基于MQTT总线的主题安全订阅方法，包括：

根据预设的访问权限要求，配置目标微应用待发布主题的安全访问策略；

根据边缘计算系统中的数据流量值选取待发布主题的MQTT总线；

控制除目标微应用外的其他微应用根据安全访问策略订阅已选取MQTT总线上的主题。

可选的，所述根据预设的访问权限要求，配置目标微应用待发布主题的安全访问策略，包括：

获取目标微应用的注册信息，所述注册信息包括待发布主题的名称以及访问权限要求；

根据发布主题的名称以及访问权限要求，配置有权限订阅待发布主题的微应用的ID、订阅时间以及订阅周期，得到安全访问策略。

可选的，所述根据边缘计算系统中的数据流量值选取待发布主题的MQTT总线，包括：

基于当前边缘计算系统中的第一MQTT总线上的数据，获取数据流量值；

若数据流量值小于预设流量阈值，将主题发布到第一MQTT总线上；

若数据流量值不小于预设流量阈值，将配置过安全访问策略的主题发布到第二MQTT总线上。

进一步的，所述主题安全订阅方法还包括：

第二MQTT总线作为第一MQTT总线的备用总线使用，当第一MQTT总线出现故障时，启动第二MQTT总线工作。

可选的，所述控制除目标微应用外的其他微应用根据安全访问策略订阅已选取MQTT总线上的主题，包括：

获取其他微应用的订阅请求，所述订阅请求包括发起订阅请求的微应用ID；

判断安全访问策略中是否包含订阅请求中的微应用ID；

若包含，判断订阅请求的发起时间是否在订阅时间的范围内，否则拒绝订阅请求；

若在订阅时间的范围内，按照订阅周期向发起订阅请求的微应用发布主题的内容，否则拒绝订阅请求。

本发明还基于相同的思路提出了基于MQTT总线的主题安全订阅装置，所述主题安全订阅装置包括：

配置单元：用于根据预设的访问权限要求，配置目标微应用待发布主题的安全访问策略；

主题发布单元：用于根据边缘计算系统中的数据流量值选取待发布主题的MQTT总线；

订阅单元：用于控制除目标微应用外的其他微应用根据安全访问策略订阅已选取MQTT总线上的主题。

可选的，所述配置单元具体用于：

获取目标微应用的注册信息，所述注册信息包括待发布主题的名称以及访问权限要求；

根据发布主题的名称以及访问权限要求，配置有权限订阅待发布主题的微应用的ID、订阅时间以及订阅周期，得到安全访问策略。

可选的，所述主题发布单元具体用于：

基于当前边缘计算系统中的第一MQTT总线上的数据，获取数据流量值；

若数据流量值小于预设流量阈值，将主题发布到第一MQTT总线上；

若数据流量值不小于预设流量阈值，将配置过安全访问策略的主题发布到第二MQTT总线上。

进一步的，所述主题安全订阅装置还用于：

当第一MQTT总线出现故障时，启动第二MQTT总线工作。

可选的，所述订阅单元具体用于：

获取其他微应用的订阅请求，所述订阅请求包括发起订阅请求的微应用ID；

判断安全访问策略中是否包含订阅请求中的微应用ID；

若包含，判断订阅请求的发起时间是否在订阅时间的范围内，否则拒绝订阅请求；

若在订阅时间的范围内，按照订阅周期向发起订阅请求的微应用发布主题的内容，否则拒绝订阅请求。

本发明提供的技术方案带来的有益效果是：

通过配置主题的安全访问策略的方式，根据不同主题的不同访问要求，配置其他微应用订阅主题的权限。增强了微应用发布主题的隐私性，大大提高了边缘计算系统业务的安全性。

附图说明

为了更清楚地说明本发明的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明提出的基于MQTT总线的主题安全订阅方法的流程示意图；

图2为主题安全订阅系统的结构框图；

图3为本发明提出的基于MQTT总线的主题安全订阅装置的框图。

具体实施方式

为使本发明的结构和优点更加清楚，下面将结合附图对本发明的结构作进一步地描述。

实施例一

如图1所示，本发明提出了基于MQTT总线的主题安全订阅方法，包括：

S1：根据预设的访问权限要求，配置目标微应用待发布主题的安全访问策略；

S2：根据边缘计算系统中的数据流量值选取待发布主题的MQTT总线；

S3：控制除目标微应用外的其他微应用根据安全访问策略订阅已选取MQTT总线上的主题。

配置主题的安全访问策略能够实现限制部分微应用订阅权限的功能，从而使MQTT总线上发布的主题具有隐私性，只有安全访问策略中有权限的微应用才可以订阅主题，增强了微应用发布主题的隐私性，大大提高了边缘计算系统业务的安全性。

所述根据预设的访问权限要求，配置目标微应用待发布主题的安全访问策略，包括：获取目标微应用的注册信息，所述注册信息包括待发布主题的名称以及访问权限要求；根据发布主题的名称以及访问权限要求，配置有权限订阅待发布主题的微应用的ID、订阅时间以及订阅周期，得到安全访问策略。

在本实施例中，所述安全访问策略中包括若干个策略字段。TASTopName用于定义主题的名称，该变量的类型为String；TASPubAPPID用于定义发布该主题的微应用的ID，该变量的类型为Int；TASSubAPPID用于定义有权限订阅该主题的微应用的ID，该变量的类型同样为Int；TASSubStaTime用于定义订阅该主题的时段起始时间，TASSubEndTime用于定义订阅该主题的时段结束时间，即有权限订阅该主题的微应用只有在TASSubStaTime和TASSubEndTime定义的时间段内才可以订阅主题的消息，TASSubStaTime和TASSubEndTime两个变量类型均为Datatime；TASSubTimCyce用于定义订阅该主题的订阅周期，即有权限订阅该主题的微应用必须按照定义的订阅周期订阅主题的消息，该变量的类型为Ulong。在安全访问策略的配置中，TASSubStaTime、TASSubEndTime和TASSubTimCyce三个变量可为空，若TASSubStaTime和TASSubEndTime为空，则表示该主题可在任意时间订阅，若TASSubTimCyce为空，则表示该主题的订阅周期没有限制，微应用可以在可订阅的时间段内随意订阅消息。其余策略字段则是必须配置的，不可为空。

通过安全访问策略，限制可订阅该主题的微应用以提高主题的隐私性，防止发布主题的微应用不想被订阅主题的微应用来擅自订阅，提高了边缘计算系统的安全性。定义订阅时间段能够合理的划分计算资源，防止因访问数据堵塞而引起边缘计算系统崩溃的情况发生保障边缘计算系统的数据访问秩序。定义订阅周期可控制其他微应用订阅主题的频率，防止某一微应用一直订阅主题而占用计算资源，影响其他微应用订阅主题。

所述根据边缘计算系统中的数据流量值选取待发布主题的MQTT总线，包括：基于当前边缘计算系统中的第一MQTT总线上的数据，获取数据流量值；若数据流量值小于预设流量阈值，则说明当前第一MQTT总线的计算资源充足，可以满足发布该主题的需求，将配置过安全访问策略的主题发布到第一MQTT总线上；若数据流量值不小于预设流量阈值，则说明当前第一MQTT总线的计算资源紧张，无法满足发布该主题的需求，因此将配置过安全访问策略的主题发布到第二MQTT总线上，此时根据数据的调度算法使第一MQTT总线和第二MQTT总线同时工作。启动第二MQTT总线工作在第一MQTT总线的计算资源紧张时，将主题发布到第二MQTT总线以缓解消息总线的数据交互压力。

可选的，第二MQTT总线还作为第一MQTT总线的备用总线使用，当第一MQTT总线出现故障时。

由于传统MQTT总线架构高度依赖消息总线运行，随着微应用数量和产生的数据流量的增加，MQTT消息总线的压力也随之增加。一旦消息总线因数据流量过大而崩溃，将导致整个MQTT总线架构运行出现故障，进而影响边缘计算系统的运行状态。因此，在本实施例中设置了两个MQTT总线。

在微应用订阅MQTT总线上的主题之前，微应用要分别向两个MQTT总线发送注册请求，两个MQTT总线接受到注册请求后，将注册请求中包含的该微应用的ID存储到总线注册表中。

所述控制除目标微应用外的其他微应用根据安全访问策略订阅已选取MQTT总线上的主题，包括：获取其他微应用的订阅请求，所述订阅请求包括发起订阅请求的微应用ID。再查找预先存储在消息总线上的总线注册表中是否有订阅请求中包含的微应用ID，即判断安全访问策略中是否包含订阅请求中的微应用ID。若包含则根据安全访问策略判断订阅请求的发起时间是否在订阅时间的范围内，否则拒绝订阅请求，向该微应用发送订阅失败消息。若在订阅时间的范围内，按照订阅周期向发起订阅请求的微应用发布主题的内容，否则拒绝订阅请求，并向该微应用发送未在订阅时间的提示消息。

以下结合具体示例，对上述基于MQTT总线的主题安全订阅方法进行描述，在该示例中所述微应用主题安全订阅方法是基于一种包含消息总线代理模块的主题安全订阅系统实现的，如图2所示，所述主题安全订阅系统包括若干个微应用、第一MQTT总线和第二MQTT总线，在传统MQTT总线架构的基础上，增加了MQTT总线代理模块，用于配置主题的安全访问策略以及对两个MQTT总线的数据调度。所述主题安全订阅方法具体包括：

步骤一：业务主站获取要发布主题的微应用的注册信息，根据注册信息，配置安全访问策略中的策略字段。在本示例中，TASSubStaTime定义订阅时段的起始时间为9：00，TASSubEndTime定义订阅时段的结束时间为13：00。

TASSubTimCyce定义订阅该主题的订阅周期为1秒。业务主站将配置的安全访问策略发送到消息总线代理模块。

步骤二：消息总线代理模块统计当前边缘计算系统中的第一MQTT总线上的数据流量值为K，在本实例中预设流量阈值为K₀，其中K和K₀均为正整数且单位为kb/s。若K<K₀，则将主题发布到第一MQTT总线上，若K≥K₀，则将主题发布到第二MQTT总线上。在本示例中，消息总线代理模块将主题发布到了第二MQTT总线上。

步骤三：要订阅主题的微应用分别向两个MQTT总线发送注册请求，两个MQTT总线接受到注册请求后，将注册请求中包含的该微应用的ID存储到总线注册表中。

步骤四：要订阅主题的微应用根据主题的名称向消息总线代理模块发起订阅请求，在消息总线上的总线注册表中查找到了订阅请求中包含了微应用ID。再根据安全访问策略，判断发出订阅请求的微应用是否有订阅该主题的权限。假设在本实例中的安全访问策略中的TASSubAPPID字段有该微应用的ID，则说明该微应用有订阅该主题的权限。再根据安全访问策略中的TASSubStaTime和TASSubEndTime字段，判断订阅请求的发起时间是否在规定的订阅时间内，假设订阅请求的发起时间为10：00，因此在规定的订阅时间内。消息总线代理模块将微应用的订阅请求转发给第二MQTT总线，第二MQTT总线每过1s向订阅该主题的微应用发布主题的内容。

如图2所示，在本示例中，所述主题安全订阅系统还包括用于管理消息总线代理模块的管理平台，通过fmc agent实现远程管理消息总线代理模块的运行，使工作人员可以在没有工业终端的情况下，通过云端远程配置安全访问策略。

实施例二

如图3所示，本发明提出了基于MQTT总线的主题安全订阅装置4，包括：

配置单元41：用于根据预设的访问权限要求，配置目标微应用待发布主题的安全访问策略；

主题发布单元42：用于根据边缘计算系统中的数据流量值选取待发布主题的MQTT总线；

订阅单元43：用于控制除目标微应用外的其他微应用根据安全访问策略订阅已选取MQTT总线上的主题。

配置主题的安全访问策略能够实现限制一些微应用的订阅权限的功能，从而使MQTT总线上发布的主题具有隐私性，只有安全访问策略中允许的微应用才可以订阅主题。增强了微应用发布主题的隐私性，大大提高了边缘计算系统业务的安全性。

所述配置单元41，具体用于：获取目标微应用的注册信息，所述注册信息包括待发布主题的名称以及访问权限要求；根据发布主题的名称以及访问权限要求，配置有权限订阅待发布主题的微应用的ID、订阅时间以及订阅周期，得到安全访问策略。

在本实施例中，所述安全访问策略中包括若干个策略字段。TASTopName用于定义主题的名称，该变量的类型为String；TASPubAPPID用于定义发布该主题的微应用的ID，该变量的类型为Int；TASSubAPPID用于定义有权限订阅该主题的微应用的ID，该变量的类型同样为Int；TASSubStaTime用于定义订阅该主题的时段起始时间，TASSubEndTime用于定义订阅该主题的时段结束时间，即有权限订阅该主题的微应用只有在TASSubStaTime和TASSubEndTime定义的时间段内才可以订阅主题的消息，TASSubStaTime和TASSubEndTime两个变量类型均为Datatime；TASSubTimCyce用于定义订阅该主题的订阅周期，即有权限订阅该主题的微应用必须按照定义的订阅周期订阅主题的消息，该变量的类型为Ulong。在安全访问策略的配置中，TASSubStaTime、TASSubEndTime和TASSubTimCyce三个变量可为空，若TASSubStaTime和TASSubEndTime为空，则表示该主题可在任意时间订阅，若TASSubTimCyce为空，则表示该主题的订阅周期没有限制，微应用可以在可订阅的时间段内随意订阅消息。其余策略字段则是必须配置的，不可为空。

通过安全访问策略，限制可订阅该主题的微应用以提高主题的隐私性，防止发布主题的微应用不想被订阅主题的微应用来擅自订阅，提高了边缘计算系统的安全性。定义订阅时间段能够合理的划分计算资源，防止因访问数据堵塞而引起边缘计算系统崩溃的情况发生保障边缘计算系统的数据访问秩序。定义订阅周期可控制其他微应用订阅主题的频率，防止某一微应用一直订阅主题而占用计算资源，影响其他微应用订阅主题。

所述主题发布单元42，具体用于：基于当前边缘计算系统中的第一MQTT总线上的数据，获取数据流量值；若数据流量值小于预设流量阈值，则说明当前第一MQTT总线的计算资源充足，可以满足发布该主题的需求，将配置过安全访问策略的主题发布到第一MQTT总线上；若数据流量值不小于预设流量阈值，则说明当前第一MQTT总线的计算资源紧张，无法满足发布该主题的需求，因此将配置过安全访问策略的主题发布到第二MQTT总线上，此时根据数据的调度算法使第一MQTT总线和第二MQTT总线同时工作。启动第二MQTT总线工作在第一MQTT总线的计算资源紧张时，将主题发布到第二MQTT总线以缓解消息总线的数据交互压力。

可选的，第二MQTT总线还作为第一MQTT总线的备用总线使用，当第一MQTT总线出现故障时。

由于传统MQTT总线架构高度依赖消息总线运行，随着微应用数量和产生的数据流量的增加，MQTT消息总线的压力也随之增加。一旦消息总线因数据流量过大而崩溃，将导致整个MQTT总线架构运行出现故障，进而影响边缘计算系统的运行状态。因此，在本实施例中设置了两个MQTT总线。

在微应用订阅MQTT总线上的主题之前，微应用要分别向两个MQTT总线发送注册请求，两个MQTT总线接受到注册请求后，将注册请求中包含的该微应用的ID存储到总线注册表中。

所述订阅单元43，具体用于：获取其他微应用的订阅请求，所述订阅请求包括发起订阅请求的微应用ID。再查找预先存储在消息总线上的总线注册表中是否有订阅请求中包含的微应用ID，即判断安全访问策略中是否包含订阅请求中的微应用ID。若包含则根据安全访问策略判断订阅请求的发起时间是否在订阅时间的范围内，否则拒绝订阅请求，向该微应用发送订阅失败消息。若在订阅时间的范围内，按照订阅周期向发起订阅请求的微应用发布主题的内容，否则拒绝订阅请求，并向该微应用发送未在订阅时间的提示消息。

上述实施例中的各个序号仅仅为了描述，不代表各部件的组装或使用过程中的先后顺序。

以上所述仅为本发明的实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.基于MQTT总线的主题安全订阅方法，其特征在于，所述主题安全订阅方法包括：

根据预设的访问权限要求，配置目标微应用待发布主题的安全访问策略；

根据边缘计算系统中的数据流量值选取待发布主题的MQTT总线；

控制除目标微应用外的其他微应用，根据安全访问策略订阅已选取MQTT总线上的主题。

2.根据权利要求1所述的基于MQTT总线的主题安全订阅方法，其特征在于，所述根据预设的访问权限要求，配置目标微应用待发布主题的安全访问策略，包括：

获取目标微应用的注册信息，所述注册信息包括待发布主题的名称以及访问权限要求；

根据发布主题的名称以及访问权限要求，配置有权限订阅待发布主题的微应用的ID、订阅时间以及订阅周期，得到安全访问策略。

3.根据权利要求1所述的基于MQTT总线的主题安全订阅方法，其特征在于，所述根据边缘计算系统中的数据流量值选取待发布主题的MQTT总线，包括：

基于当前边缘计算系统中的第一MQTT总线上的数据，获取数据流量值；

若数据流量值小于预设流量阈值，将主题发布到第一MQTT总线上；

若数据流量值不小于预设流量阈值，将配置过安全访问策略的主题发布到第二MQTT总线上。

4.根据权利要求3所述的基于MQTT总线的主题安全订阅方法，其特征在于，所述主题安全订阅方法还包括：

第二MQTT总线作为第一MQTT总线的备用总线使用，当第一MQTT总线出现故障时，启动第二MQTT总线工作。

5.根据权利要求2所述的基于MQTT总线的主题安全订阅方法，其特征在于，所述控制除目标微应用外的其他微应用，根据安全访问策略订阅已选取MQTT总线上的主题，包括：

获取其他微应用的订阅请求，所述订阅请求包括发起订阅请求的微应用ID；

判断安全访问策略中是否包含订阅请求中的微应用ID；

若包含，判断订阅请求的发起时间是否在订阅时间的范围内，否则拒绝订阅请求；

若在订阅时间的范围内，按照订阅周期向发起订阅请求的微应用发布主题的内容，否则拒绝订阅请求。

6.基于MQTT总线的主题安全订阅装置，其特征在于，所述主题安全订阅装置包括：

配置单元：用于根据预设的访问权限要求，配置目标微应用待发布主题的安全访问策略；

主题发布单元：用于根据边缘计算系统中的数据流量值选取待发布主题的MQTT总线；

订阅单元：用于控制除目标微应用外的其他微应用，根据安全访问策略订阅已选取MQTT总线上的主题。

7.根据权利要求6所述的基于MQTT总线的主题安全订阅装置，其特征在于，所述配置单元具体用于：

获取目标微应用的注册信息，所述注册信息包括待发布主题的名称以及访问权限要求；

根据发布主题的名称以及访问权限要求，配置有权限订阅待发布主题的微应用的ID、订阅时间以及订阅周期，得到安全访问策略。

8.根据权利要求6所述的基于MQTT总线的主题安全订阅装置，其特征在于，所述主题发布单元具体用于：

基于当前边缘计算系统中的第一MQTT总线上的数据，获取数据流量值；

若数据流量值小于预设流量阈值，将主题发布到第一MQTT总线上；

若数据流量值不小于预设流量阈值，将配置过安全访问策略的主题发布到第二MQTT总线上。

9.根据权利要求8所述的基于MQTT总线的主题安全订阅装置，其特征在于，所述主题发布单元还用于：

当第一MQTT总线出现故障时，启动第二MQTT总线工作。

10.根据权利要求7所述的基于MQTT总线的主题安全订阅装置，其特征在于，所述订阅单元具体用于：

获取其他微应用的订阅请求，所述订阅请求包括发起订阅请求的微应用ID；

判断安全访问策略中是否包含订阅请求中的微应用ID；

若包含，判断订阅请求的发起时间是否在订阅时间的范围内，否则拒绝订阅请求；

若在订阅时间的范围内，按照订阅周期向发起订阅请求的微应用发布主题的内容，否则拒绝订阅请求。

Images