CN112954048A - 一种基于物联网加密网关的物联网系统 - Google Patents

Abstract

本发明提供了一种基于物联网加密网关的物联网系统，包括：智能终端设备用于向物联网加密网关发送待传输数据；物联网加密网关用于判断智能终端设备支持的协议是否为不安全协议，如果为不安全协议，则拒绝接受智能终端设备发送的数据，如果为安全协议，则利用智能终端设备支持的协议对智能终端设备发送的数据进行解析获得待传输数据，将待传输数据发送至互联网，或者对待传输数据进行加密和签名，生成处理后数据并将处理后数据发送至互联网；互联网用于传输待传输数据或者处理后数据；安全平台用于接收待传输数据或者对处理后数据进行验签操作，并在验签通过后，对处理后数据进行解密操作得到待传输数据，将待传输数据发送至业务平台；业务平台用于处理待传输数据。

Description

一种基于物联网加密网关的物联网系统

技术领域

本发明涉及计算机领域，尤其涉及一种基于物联网加密网关的物联网系统。

背景技术

现有工业控制气系统的部署如图1所示，通讯模块与管理平台之间数据通讯暴露在公共网络上，数据采集缺少安全防护功能，主要以明文方式上传，容易受到网络攻击。

现有的现场设备网关往往只针对一种或者一类厂家的设备进行数据采集，并且有可能采用非加密的数据传输方式，完全性无法得到保障，并且兼容性也大打折扣。

从目前现有的大型仪器仪表数据采集网关来看，只是单独为某一厂商的仪表量身定制的数据传输通道，当仪表设备进行厂家不得不更换时，旧有的数据采集网关有可能需要面临淘汰。有的仪表是网络接口，为了与公网进行隔离，往往需要高成本搭建隔离网络。

发明内容

本发明旨在提供一种克服上述问题或者至少部分地解决上述问题的基于物联网加密网关的物联网系统。

为达到上述目的，本发明的技术方案具体是这样实现的：

本发明的一个方面提供了一种基于物联网加密网关的物联网系统，包括：依次连接的智能终端设备、物联网加密网关、互联网、安全平台以及业务平台；其中：智能终端设备，用于向物联网加密网关发送第一待传输数据，和接收物联网加密网关发送的第二待传输数据，其中，第一待传输数据和第二待传输数据的报文格式分别包括：帧头、用户数据和帧尾，帧头包括：起始字节、长度域、控制域和帧头校验，用户数据包括：功能码、时间戳、随机数和数据，帧尾包括：帧尾校验和结束符；物联网加密网关，用于判断智能终端设备支持的协议是否为不安全协议，如果为不安全协议，则拒绝接受智能终端设备发送的数据，如果为安全协议，则利用智能终端设备支持的协议对智能终端设备发送的数据进行解析获得第一待传输数据，将第一待传输数据发送至互联网，或者对第一待传输数据进行加密和/或签名操作，生成第一处理后数据并将第一处理后数据发送至互联网；接收互联网传输的第二待传输数据，将第二待传输数据发送至智能终端设备，或者接收互联网传输的第二处理后数据，对第二处理后数据进行解密和/或验签操作，得到第二待传输数据，将第二待传输数据发送至智能终端设备；其中，利用智能终端设备支持的协议对智能终端设备发送的数据进行解析包括：校验帧头中的起始字符和帧头校验，识别长度域，每帧接收的字符数为长度域指示的值加2，进行帧尾校验，识别结束符，如果校验出差错，则抛弃该待传输数据，等待下一帧；互联网，用于传输第一待传输数据、第二待传输数据或者第一处理后数据、第二处理后数据；安全平台，用于接收第一待传输数据，将第一待传输数据发送至业务平台，或者接收第一处理后数据，对第一处理后数据进行解密和/或验签操作，得到第一待传输数据，将待传输数据发送至业务平台；接收第二待传输数据，将第二待传输数据发送至互联网，或者接收第二待传输数据，对第二待传输数据进行加密和/或签名操作，得到第二处理后数据，将第二处理后数据发送至互联网；业务平台，用于接收第一待传输数据，并处理第一待传输数据，生成第二待传输数据，并向安全平台发送第二待传输数据。

其中，安全平台，还用于判断互联网发送的数据的协议是否为合法协议，在为合法协议的情况下，接收第一待传输数据或者第一处理后数据。

其中，安全平台，还用于对密钥进行生成、分发、更新和销毁。

其中，物联网加密网关，还用于对感知层的设备采集数据进行加密和/或签名后通过无线方式进行上传。

其中，无线方式包括：4G、5G或者internet。

其中，物联网加密网关，还用于将第一待传输数据或者第一处理后数据进行加工后形成不同的API接口，并进行发送。

其中，业务平台，还用于在Web或者APP前端进行处理结果的展示，其中，处理结果为业务平台处理第一待传输数据后生成的。

由此可见，通过本发明提供的基于物联网加密网关的物联网系统，实现与智能终端设备(包括PLC设备)集成，支持协议解析，报文加密和签名，保证数据隐蔽性、完整性和不可篡改性。保证物联网智能终端与后台业务平台之期间安全数据传输。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为现有工业控制气系统的部署示意图；

图2为本发明实施例提供的一种基于物联网加密网关的物联网系统的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

图2示出了本发明实施例提供的基于物联网加密网关的物联网系统的结构示意图，参见图2，本发明实施例提供的基于物联网加密网关的物联网系统，包括：依次连接的智能终端设备、物联网加密网关、互联网、安全平台以及业务平台；其中：

智能终端设备，用于向物联网加密网关发送第一待传输数据，和接收物联网加密网关发送的第二待传输数据，其中，第一待传输数据和第二待传输数据的报文格式分别包括：帧头、用户数据和帧尾，帧头包括：起始字节、长度域、控制域和帧头校验，用户数据包括：功能码、时间戳、随机数和数据，帧尾包括：帧尾校验和结束符；

物联网加密网关，用于判断智能终端设备支持的协议是否为不安全协议，如果为不安全协议，则拒绝接受智能终端设备发送的数据，如果为安全协议，则利用智能终端设备支持的协议对智能终端设备发送的数据进行解析获得第一待传输数据，将第一待传输数据发送至互联网，或者对第一待传输数据进行加密和/或签名操作，生成第一处理后数据并将第一处理后数据发送至互联网；接收互联网传输的第二待传输数据，将第二待传输数据发送至智能终端设备，或者接收互联网传输的第二处理后数据，对第二处理后数据进行解密和/或验签操作，得到第二待传输数据，将第二待传输数据发送至智能终端设备；其中，利用智能终端设备支持的协议对智能终端设备发送的数据进行解析包括：校验帧头中的起始字符和帧头校验，识别长度域，每帧接收的字符数为长度域指示的值加2，进行帧尾校验，识别结束符，如果校验出差错，则抛弃该待传输数据，等待下一帧；

互联网，用于传输第一待传输数据、第二待传输数据或者第一处理后数据、第二处理后数据；

安全平台，用于接收第一待传输数据，将第一待传输数据发送至业务平台，或者接收第一处理后数据，对第一处理后数据进行解密和/或验签操作，得到第一待传输数据，将待传输数据发送至业务平台；接收第二待传输数据，将第二待传输数据发送至互联网，或者接收第二待传输数据，对第二待传输数据进行加密和/或签名操作，得到第二处理后数据，将第二处理后数据发送至互联网；

业务平台，用于接收第一待传输数据，并处理第一待传输数据，生成第二待传输数据，并向安全平台发送第二待传输数据。

具体地，本发明提供的智能终端设备(包括PLC设备)，可以为现有的PLC终端，主要包括MODBUS TCP协议、MODBSU UDP协议和MODBUS RTU等，主要厂商包括霍尼韦尔、西门子、江森、施耐德等。

本发明提供的物联网加密网关，可以与智能终端设备(包括PLC设备)集成，支持协议解析，报文加密和签名，保证数据隐蔽性、完整性和不可篡改性。其中：

1.支持加密签名模式：物联网加密网关支持对智能终端设备(包括PLC设备)协议的解析，对报文进行加密和签名，保证报文数据的完整性和隐蔽性。解决不安全的明文数据传输，可以采用SM2、SM4国密算法。

2.支持透传模式：直接透传转发。

3.防火墙功能：支持协议过滤和端口过滤，实现对不安全协议和端口的阻断。

4.安全芯片：支持多安全芯片和多任务处理。

5.实现方式：定制开发或基于小型工控机平台研发。

本发明提供的安全平台，实现报文数据的加密/解密，签名/验签。

报文格式：

作为本发明实施例的一个可选实施方式，收到报文后，按照如下格式进行解析：

检验帧头中的起始字符和帧头校验HCS；

识别长度L；

每帧接收的字符数为长度域L+2；

帧校验FCS；

结束字符；

校验出一个差错时，抛弃该数据包，等待下一帧。

作为本发明实施例的一个可选实施方式，物联网加密网关进行数据发送打包加密包括：

获取当前设备时间，向安全芯片发送打包指令；

命令序列:(5字节APDU头+6字节时间戳+数据打包明文)；

返回内容：(6字节时间戳+2字节随机数+8字节MAC)；

按照报文格式计算校验值组帧；

通过网络上传服务器等待响应；

未收到应答时，按照设定周期与次数补发。

作为本发明实施例的一个可选实施方式，物联网加密网关进行数据接收解包解密包括：

获得通过校验的数据域，向安全芯片发送解析指令；

命令序列:(5字节APDU头+6字节时间戳+2字节随机数+密文+64字节签名)；

返回内容：(明文)；

按照明文指令执行操作；

指令应答按照打包加密的原则进行。

作为本发明实施例的一个可选实施方式，安全平台，还用于判断互联网发送的数据的协议是否为合法协议，在为合法协议的情况下，接收第一待传输数据或者第一处理后数据。

作为本发明实施例的一个可选实施方式，安全平台，还用于对密钥进行生成、分发、更新和销毁。

由此可见，本发明提供的安全平台，支持协议过滤和端口过滤，防止非法网络攻击。密钥系统实现密钥生成、分发、更新和销毁等管理功能，支持国密算法。

本发明提供的业务平台，可以包括监控系统，主要处理解析后的数据。

作为本发明实施例的一个可选实施方式，物联网加密网关，还用于对感知层的设备采集数据进行加密和/或签名后通过无线方式进行上传。优选的，无线方式包括：4G、5G或者internet。

作为本发明实施例的一个可选实施方式，物联网加密网关，还用于将第一待传输数据或者第一处理后数据进行加工后形成不同的API接口，并进行发送。

作为本发明实施例的一个可选实施方式，还用于在Web或者APP前端进行处理结果的展示，其中，处理结果为业务平台处理第一待传输数据后生成的。

可见，本发明提供的物联网加密网关主要负责对感知层的设备采集数据进行加密和签名后通过无线方式(4G/5G)进行上传，可以保证经过电信运营商的数据为密文。采集数据通过电信运营商与燃气专线传输到物联网平台后进行解密和验签，物联网中台负责对采集数据加工后形成各种API接口，提供给业务系统，前台业务系统按业务需求调用数据中台API接口进行集成，并在Web或APP前端进行展示，最终形成“大中台，小前台”的模式。

由此可见，利用本发明实施例提供的基于物联网加密网关的物联网系统，实现与智能终端设备(包括PLC设备)集成，支持协议解析，报文加密和签名，保证数据隐蔽性、完整性和不可篡改性。保证物联网智能终端与后台业务平台之期间安全数据传输。

还可以将不同的智能终端设备数据报文转换成统一封装、保证不同的感知网络的协议能够变成统一的数据和信令；解决各种现场，不同厂家，不同设备，不同协议的互联性，并且所有暴露在公网的数据包均为加密数据。

可见，本发明提供的基于物联网加密网关的物联网系统，可以兼容市场大多数仪器仪表的通信协议以及接口、并根据现场实际需求在不用动硬件的前提下不断升级软件版本达到兼容性；采用安全芯片加密技术，采用国标加密算法。对通讯的数据做加密处理，保证云端服务器与现场端的数据安全；采用物理的方式将现场设备与公网隔离免受攻击，加密网关采用了两个独立集成的千兆网络路由器分别对应两种不同的网络环境，经加密网关硬件隔离和加解密后实现信息的对接。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (7)

1.一种基于物联网加密网关的物联网系统，其特征在于，包括：依次连接的智能终端设备、物联网加密网关、互联网、安全平台以及业务平台；其中：

所述智能终端设备，用于向所述物联网加密网关发送第一待传输数据，和接收所述物联网加密网关发送的第二待传输数据，其中，所述第一待传输数据和所述第二待传输数据的报文格式分别包括：帧头、用户数据和帧尾，所述帧头包括：起始字节、长度域、控制域和帧头校验，所述用户数据包括：功能码、时间戳、随机数和数据，所述帧尾包括：帧尾校验和结束符；

所述物联网加密网关，用于判断所述智能终端设备支持的协议是否为不安全协议，如果为不安全协议，则拒绝接受所述智能终端设备发送的数据，如果为安全协议，则利用所述智能终端设备支持的协议对所述智能终端设备发送的数据进行解析获得所述第一待传输数据，将所述第一待传输数据发送至所述互联网，或者对所述第一待传输数据进行加密和/或签名操作，生成第一处理后数据并将所述第一处理后数据发送至所述互联网；接收所述互联网传输的所述第二待传输数据，将所述第二待传输数据发送至所述智能终端设备，或者接收所述互联网传输的第二处理后数据，对所述第二处理后数据进行解密和/或验签操作，得到所述第二待传输数据，将所述第二待传输数据发送至所述智能终端设备；其中，所述利用所述智能终端设备支持的协议对所述智能终端设备发送的数据进行解析包括：校验所述帧头中的起始字符和所述帧头校验，识别所述长度域，每帧接收的字符数为长度域指示的值加2，进行所述帧尾校验，识别所述结束符，如果校验出差错，则抛弃该待传输数据，等待下一帧；

所述互联网，用于传输所述第一待传输数据、所述第二待传输数据或者所述第一处理后数据、所述第二处理后数据；

所述安全平台，用于接收所述第一待传输数据，将所述第一待传输数据发送至所述业务平台，或者接收所述第一处理后数据，对所述第一处理后数据进行解密和/或验签操作，得到所述第一待传输数据，将所述待传输数据发送至所述业务平台；接收所述第二待传输数据，将所述第二待传输数据发送至所述互联网，或者接收所述第二待传输数据，对所述第二待传输数据进行加密和/或签名操作，得到第二处理后数据，将所述第二处理后数据发送至互联网；

所述业务平台，用于接收所述第一待传输数据，并处理所述第一待传输数据，生成所述第二待传输数据，并向所述安全平台发送所述第二待传输数据。

2.根据权利要求1所述的系统，其特征在于，所述安全平台，还用于判断所述互联网发送的数据的协议是否为合法协议，在为合法协议的情况下，接收所述第一待传输数据或者所述第一处理后数据。

3.根据权利要求2所述的系统，其特征在于，所述安全平台，还用于对密钥进行生成、分发、更新和销毁。

4.根据权利要求1所述的系统，其特征在于，所述物联网加密网关，还用于对感知层的设备采集数据进行加密和/或签名后通过无线方式进行上传。

5.根据权利要求4所述的系统，其特征在于，所述无线方式包括：4G、5G或者internet。

6.根据权利要求1所述的系统，其特征在于，所述物联网加密网关，还用于将所述第一待传输数据或者所述第一处理后数据进行加工后形成不同的API接口，并进行发送。

7.根据权利要求1所述的系统，其特征在于，所述业务平台，还用于在Web或者APP前端进行处理结果的展示，其中，所述处理结果为所述业务平台处理所述第一待传输数据后生成的。

Images