CN113572591B - 智慧能源服务系统实时高并发安全接入装置和接入方法 - Google Patents

Abstract

本发明公开了智慧能源服务系统实时高并发安全接入装置和接入方法，包括：代理模块与终端建立连接之后根据网关模块的CPU利用率选择特定的网关模块，将会话申请报文发送选择的网关模块；被选择的网关模块与终端建立数据通信连接；网关模块与终端建立通信连接之后在数据交互之前，使用预设的加密算法进行双向的身份认证及密钥协商；对密文数据基于预设的进行解密，对解密后的填充报文进行检查检查通过后与主站系统建立数据通信连接。本发明通过代理模块根据网关模块的CPU利用率对网关模块进行选择，满足大量终端的接入需求，提高处理效率，降低通信延迟。

Description

智慧能源服务系统实时高并发安全接入装置和接入方法

技术领域

本发明涉及智慧能源服务系统实时高并发安全接入装置和接入方法，具体属于网络安全接入技术领域。

背景技术

随着物联网快速发展，物联网终端种类繁多，如能源领域的电表、充电桩、巡检机器人等。与此同时，在大量物联网终端接入主站系统，并与其进行交互。由于物联网终端具有分布广泛、数量庞大的特点，随着未来的业务发展，终端数量具备只增不减的趋势。因此，某一特定时间，系统设备将面临大量终端的接入请求及上下行数据信息的通信压力，需保障数据传输的及时性，降低通信延迟。此外，接入的物联网终端设备具备不确定性，更是增加了对主站系统的安全风险，带来安全隐患，社会上频发主站系统被入侵、业务系统瘫痪等现象。为此，安全界人士针对终端系统的接入问题，提出了解决办法。通过在物联网终端与主站系统之间添加安全接入设备，实现对物联网终端设备的认证及数据报文加密处理，以解决安全性问题。

在提升业务系统安全性的同时，必然会增加业务系统交互的延时，并且物联网终端的数量众多，安全接入设备面临的接入压力巨大，大量的处理信息容易造成设备瘫痪，对业务系统整体运行造成影响。当下，针对终端接入数量的瓶颈问题，业界多采用安全接入设备集群部署模式，通过增加安全接入设备的数量，以满足对终端数量的接入需求，但是为此增加了成本支出，带来了管理难度。

发明内容

本发明旨在针对目前存在的以上技术问题，提供一种实时高并发安全接入方法和装置，满足大量物联网终端的接入需求，提高系统处理效率，降低通信延迟。

为实现上述技术目的，本发明采用以下技术方案。

一方面，本发明提供了智慧能源服务系统实时高并发安全接入装置，包括：至少一个代理模块和至少两个网关模块，所述代理模块与网关模块连接；

所述代理模块用于接收终端发送的会话申请报文后与终端建立连接，根据网关模块的CPU利用率选择特定的网关模块，将所述会话申请报文发送选择的网关模块；

所述网关模块，用于接收到终端的会话申请报文后与终端和主站系统建立数据通信连接。

进一步地，所述代理模块内置CPU利用率采集模块，所述CPU利用率采集模块用于采集与其连接的网关模块的CPU利用率，所述代理模块具体用于根据CPU利用率采集模块获得的与其连接的网关模块的CPU利用率，采用轮询策略选择网关模块。

再进一步地，代理模块内置轮询策略执行模块，所述轮询策略执行模块用于：根据CPU利用率采集模块获得的与其连接的网关模块的CPU利用率，确定终端会话申请报文的时间到选择网关模块的时间段内各网关模块的平均利用率；根据平均CPU利用率对网关模块进行排序，生成网关模块序列数组，依次轮询网关模块序列数组，将终端的会话申请报文分配至网关模块序列数组中不同的网关模块使得其与终端建立连接。

再进一步地，所述轮询策略执行模块还用于：在轮询网关模块序列数组时，如果达到数组末尾，则重新建立网关模块序列数组。

第二方面，本发明还提供了智慧能源服务系统实时高并发安全接入方法，包括以下步骤：

代理模块接收终端发送的会话申请报文与终端建立连接，代理模块从与其连接的至少两个网关模块中根据网关模块的CPU利用率选择特定的网关模块，将会话申请报文发送选择的网关模块；

被选择的网关模块接收到代理模块发送的终端的会话申请报文后，与终端和主站系统建立数据通信连接。

进一步地，所述代理模块与终端建立连接之后，代理模块从与其连接的至少两个网关模块中根据网关模块的CPU利用率选择特定的网关模块的方法包括：代理模块采集与其连接的网关模块的CPU利用率，根据CPU利用率采集模块获得的与其连接的网关模块的CPU利用率，采用轮询策略选择网关模块。

再进一步地，采用轮询策略选择网关模块具体包括：代理模块根据获得的与其连接的网关模块的CPU利用率，所述代理模块确定终端会话申请报文的时间到选择网关模块的时间段内各网关模块的平均利用率；所述代理模块根据平均CPU利用率对网关模块进行排序，生成网关模块序列数组，依次轮询网关模块序列数组，所述代理模块将终端的会话申请报文分配至不同的网关模块使得其与终端建立连接。

再进一步地，在轮询网关模块序列数组时，如果达到数组末尾，则所述代理模块重新建立网关模块序列数组。

再进一步地，被选择的网关模块接收到代理模块发送的终端的会话申请报文后维护内部终端映射表，以使得终端根据终端映射表实现链路保持，所述映射表包括终端上下行中的各节点信息。

再进一步地，终端根据终端映射表实现链路保持的具体方法包括：

终端与主站系统建立数据通信连接后，在终端上下行数据传输过程中，定时发送心跳报文至主站系统，使各个节点的信息处于激活状态；

终端与主站系统后续的业务报文经过链路中各个节点时，根据终端映射表关系，在原通信链路中转发；

当正在使用的网关模块出现故障后，终端将会收到“目的不可达”信息，用以启动重新建立数据通信连接。

有益技术效果：

本发明通过代理模块根据网关模块的CPU利用率对网关模块进行选择，满足大量终端的接入需求，提高处理效率，降低通信延迟；本发明通过网关模块与终端建立连接之后与终端进行数据交互之前，对终端进行身份认证和密钥协商，通过网关模块对加密数据进行解密和报文协议检查，保护通信数据的机密性、完整性、可用性。

附图说明

图1为本发明实施例通信链路选择机制示意图；

图2为本发明实施例与终端建立通信的流程示意图；

图3为本发明另一实施例与终端建立通信的流程示意图；

图4为本实施例提供的实时高并发安全接入方法的通信链路保持流程示意图。

具体实施方式

下面结合附图对本发明作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

实施例一、智慧能源服务系统实时高并发安全接入装置，该实施例通信链路选择机制示意图如图1所示。本实施例提供的实时高并发安全接入装置设置在终端与主站系统之间。本实施例包括：三个代理模块和两个网关模块，三个代理模块均分别与两个网关模块连接；代理模块用于接收终端发送的会话申请报文后与终端建立连接，代理模块，还用于与终端建立连接之后根据网关模块的CPU利用率选择特定的网关模块，将会话申请报文发送选择的网关模块；网关模块，用于接收到终端的会话申请报文后与终端建立数据通信连接；

网关模块还用于与终端建立通信连接之后在数据交互之前，使用预设的加密算法进行双向的身份认证及密钥协商；收到终端加密报文后对密文数据基于预设的进行解密，对解密后的填充报文进行检查,检查通过后与主站系统建立数据通信连接。

本实施例中终端设备以无线或有线的方式接入交换机设备，交换机与本装置中的代理模块连接。

实时高并发安全接入装置与终端建立通信的流程如图2所示：

终端，用于与代理模块建立通信连接，向代理模块发送会话申请报文，其中网关模块的地址为空，实现终端与代理模块的TCP链接；

代理模块，用于根据轮训策略获取可用网关模块，将接收终端的会话申请报文发送给选择的可用网关模块，确定选择的网关模块的地址；

被选择的网关模块用于：与终端建立通信连接之后在数据交互之前，使用预设的加密算法进行双向的身份认证及密钥协商；

终端采用预设的加密算法对数据报文进行加密后将加密数据发送到安全接入装置，其中网关模块地址为实际选择的网关模块的地址，代理模块将接收到的加密数据发送到选择的网关模块，其中网关模块地址为实际选择的网关模块的地址；

网关模块：还用于对收到终端加密报文后对密文数据基于预设的进行解密，对解密后的填充报文进行检查,检查通过后与主站系统建立数据通信连接。

可选地，网关模块还用于：对解密后的填充报文进行检查包括对外部流入数据包进行深入检查，丢弃不符合协议的报文或畸形报文，减少恶意代码入侵风险，保护通信数据的机密性、完整性、可用性。

本实施例中，代理模块与与终端建立连接之后根据网关模块的CPU利用率选择特定的网关模块，实现网关模块的负载均衡，满足大量终端的接入需求，提高处理效率，降低通信延迟。

实施二、智慧能源服务系统实时高并发安全接入装置，本实施例在实施例一的基础上，进一步地：代理模块内置CPU利用率采集模块，CPU利用率采集模块用于采集与其连接的网关模块的CPU利用率，代理模块还用于根据CPU利用率采集模块获得的与其连接的网关模块的CPU利用率，采用轮询策略选择网关模块。可选地，代理模块内置轮询策略执行模块，轮询策略执行模块用于：根据CPU利用率采集模块获得的与代理模块连接的网关模块的CPU利用率，确定终端会话申请报文的时间到选择网关模块的时间段内各网关模块的平均利用率；根据平均CPU利用率对网关模块进行排序，生成网关模块序列数组，依次轮询网关模块序列数组，将终端的会话申请报文分配至网关模块序列数组中不同的网关模块使得其与终端建立连接。

所述轮询策略执行模块还用于：在轮询网关模块序列数组时，如果达到数组末尾，则重新建立网关模块序列数组。

本实施例中代理模块采用多链路负载均衡技术，基于轮询算法选择网关模块，分摊链路数据流量，保持数据通信链接，维护终端实时高并发接入请求。通过对终端进行身份认证和密钥协商，通过网关模块对加密数据进行解密和报文协议检查，保护通信数据的机密性、完整性、可用性。

实施三、在以上实施例的基础上，本实施例提供的智慧能源服务系统实时高并发安全接入装置，为了去除传统架构中的不必要模块，精简架构设计，优化提升设备硬件处理性能，满足众多终端的接入请求。本实施例提供的智慧能源服务系统实时高并发安全接入装置采用Linux作为操作系统，根据自身的硬件环境对开源Linux系统内核进行了定制裁减，经过优化和压缩后形成安全的嵌入式内核。该内核由源代码开始构建，在构建时充分考虑了设备的用户需求和安全性需求，在裁减和优化时已删除开源Linux自身的ftp、telnet、tftp和email等网络服务，消除了Linux操作系统中的潜在安全隐患，提高了运行效率，提升设备性能。可选地，具体实施例中本发明网关模块采用冗余设计，提供三路PCI-E的密码卡同时为网关模块提供密码运算处理，密码运算模块由网关模块自动调度，负载均衡到各路PCI密码卡上，以提高安全接入网关的密码运算能力。同时，通过对PCI密码卡工作状态的实时监控，当任何一路或两路密码卡工作异常时，网关模块自动将密码运算任务调度至工作正常的密码卡上，提升持续为应用提供服务的能力，满足大量终端的接入需求。本发明满足为大量终端接入主站系统，开展业务活动提供可能。首先，基于轮询算法，采用特定的接入处理过程，提升处理能力，为终端接入分配最优资源，大幅提升终端连接数量；其次，硬件设计精简架构设计，增加关键部件冗余数量，从根本解决信息处理能力，满足终端接入能力的需求。

实施例四、 智慧能源服务系统实时高并发安全接入方法，包括以下步骤：代理模块接收终端发送的会话申请报文与终端建立连接，所述代理模块与终端建立连接之后从与其连接的至少两个网关模块中根据网关模块的CPU利用率选择特定的网关模块，代理模块将会话申请报文发送选择的网关模块；被选择的网关模块接收到代理模块发送的终端的会话申请报文后，与终端建立数据通信连接；被选择的网关模块与终端建立通信连接之后被选择的网关模块在与终端数据交互之前，使用预设的加密算法进行双向的身份认证及密钥协商；收到终端加密报文后对密文数据基于预设的进行解密，对解密后的填充报文进行检查检查通过后与主站系统建立数据通信连接。

可选地，本发明提供的智慧能源服务系统实时高并发安全接入方法中设置至少一个代理模块，网关模块连接至少两个网关模块。代理模块与网关模块之间的通信采用现有网络通信协议，为本领域公知常识，在此不再赘述。

终端设备与主站系统服务进行数据交互时，终端设备须首先与一种实时高并发安全接入设备建立通信连接，链接建立成功后，方可与主站服务进行数据交互。本实施例与终端建立通信的流程示意图如图2所示。

终端，与代理模块建立通信连接，向代理模块发送会话申请报文，其中网关模块的地址为空，实现终端与代理模块的TCP链接；

代理模块，用于根据轮训策略获取可用网关模块，将接收终端的会话申请报文发送给选择的可用网关模块，确定选择的网关模块的地址；

被选择的网关模块与终端建立通信连接之后在数据交互之前，使用预设的加密算法进行双向的身份认证及密钥协商；

终端采用预设的加密算法对数据报文进行加密后将加密数据发送到安全接入装置，其中网关模块地址为实际选择的网关模块的地址，代理模块将接收到的加密数据发送到选择的网关模块，其中网关模块地址为实际选择的网关模块的地址；

网关模块对收到终端加密报文后对密文数据基于预设的进行解密，对解密后的填充报文进行检查,检查通过后与主站系统建立数据通信连接。

可选地，网关模块对解密后的填充报文进行检查包括对外部流入数据包进行深入检查，丢弃不符合协议的报文或畸形报文，减少恶意代码入侵风险，保护通信数据的机密性、完整性、可用性。

具体实施例中，预设的加密算法包括SM1、SM2、SM3及SM4国家商业密码算法，并且兼容国家电网公司专用的应用层网络安全协议。

实施例五、智慧能源服务系统实时高并发安全接入方法，本实施例在实施例四的基础上，进一步地，所述代理模块与终端建立连接之后从与其连接的至少两个网关模块中根据网关模块的CPU利用率选择特定的网关模块的方法包括：采集与其连接的网关模块的CPU利用率，根据CPU利用率采集模块获得的与其连接的网关模块的CPU利用率，采用轮询策略选择网关模块。

本实施例中终端与主站系统的通信建立过程如图3所示。具体如下：

终端设备以无线或有线的方式接入交换机设备，并发送上行会话申请报文，交换机设备根据终端的源地址，将地址信息发送至一种实时高并发安全接入设备的代理模块，代理模块与终端建立TCP链接之后，代理模块按照内置的轮询算法，获取各网关模块CPU的利用率，以低利用率为相应选择指标，优先分配至任务链接。

网关模块收到终端的会话申请报文后，网关模块内部维护终端的映射表，映射表内容包括终端上下行中的各节点信息。链接建立成功后，终端与网关模块之间可进行密钥协商，用协商好的密钥信息对数据信息进行加解密处理。

本实施例中的轮训策略具体包括以下：

在网关模块中，每个程序在不同的时段占用的CPU资源是不同的，会随着程序的需求和系统任务的变化而变动，也就是说程序占用CPU资源是动态变化的，很有可能下一秒该CPU被占用的利用率就变化很大。所以，对CPU利用率数据的获取频率，设定每隔一小段时间就调用一次，评定该段时间内所以网关模块的CPU利用率，并维护一个网关模块序列。每当有请求到来时，就依次从该序列中取出下一个网关模块用于处理该请求。

在网关模块数组中，首先计算从请求到来到选择网关模块的该时间段T内，各网关模块CPU利用率的平均值，并将CPU利用率按照正序排列，生成网关模块序列号，如{1，3，2，2，4，1}，依次分配至不同请求用于建立连接。在轮询网关模块数组时，如果到达数组末尾，则重新建立序列号数组，以保持最高性能处理数据连接请求，缩短运行时间间隔，满足大量终端的接入需求。

如何获取各网关模块的CPU的利用率的方法包括：

在网关模块中，CPU的利用由用户进程和自身系统运行组成。CPU的利用率为非空闲进程占用时间的比例，即CPU非空闲进程时间/CPU总执行时间。非空闲进程时间指计算周期内执行用户进程及系统进程所需要的时间。网关模块CPU的总执行时间记为t1，空闲时间的判断为网关模块中硬件IO等待时间外的其他时间，记为t2。因此，网关模块的CPU的即时利用率=1-t2/t1

因为终端上行连接主站系统的时间不固定，带有突发性。因此，为平衡网关模块CPU利用率的情况，特定计算从请求到来到选择网关模块这段时间T内,CPU的平均利用率，记为P表示。记录时间T内，产生的网关即时利用率的个数为n，即时利用率记为p表示。因此，CPU的平均利用率P=(p1+p2+p3+…)/n。CPU平均利用率数值小的优先执行上行请求连接进程。

实施例六、智慧能源服务系统实时高并发安全接入方法，本实施例在以上实施例基础上，包括后续链路保持步骤（如图4所示），包括：

A.终端与主站系统建立数据通信连接后，在终端上下行数据传输过程中，定时发送心跳报文至主站系统，使各个节点的信息处于激活状态。

B.终端与主站系统后续的业务报文经过链路中各个节点时，根据终端映射表关系，在原通信链路中转发，保证业务的正常开展。

C.当正在使用的网关模块出现故障后，终端将会收到“目的不可达”信息，用以启动重新建立连接。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

以上结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护之内。

Claims (6)

1.智慧能源服务系统实时高并发安全接入装置，其特征在于，包括：至少一个代理模块和至少两个网关模块，所述代理模块与网关模块连接；

所述代理模块，用于接收终端发送的会话申请报文后与终端建立连接，根据网关模块的CPU利用率选择特定的网关模块，将所述会话申请报文发送选择的网关模块；

所述网关模块，用于接收到终端的会话申请报文后与终端建立数据通信连接；在数据交互之前，使用预设的加密算法进行双向的身份认证及密钥协商；收到终端加密报文后对密文数据基于预设的进行解密，对解密后的填充报文进行检查,检查通过后与主站系统建立数据通信连接；

所述代理模块内置CPU利用率采集模块，所述CPU利用率采集模块用于采集与其连接的网关模块的CPU利用率，所述代理模块具体用于根据CPU利用率采集模块获得的与其连接的网关模块的CPU利用率，采用轮询策略选择网关模块；

代理模块内置轮询策略执行模块，所述轮询策略执行模块用于：根据CPU利用率采集模块获得的与代理模块连接的网关模块的CPU利用率，确定终端会话申请报文的时间到选择网关模块的时间段内各网关模块的平均利用率；根据平均CPU利用率对网关模块进行排序，生成网关模块序列数组，依次轮询网关模块序列数组，将终端的会话申请报文分配至网关模块序列数组中不同的网关模块使得其与终端建立连接。

2.根据权利要求1所述的智慧能源服务系统实时高并发安全接入装置，其特征在于，所述轮询策略执行模块还用于：在轮询网关模块序列数组时，如果达到数组末尾，则重新建立网关模块序列数组。

3.智慧能源服务系统实时高并发安全接入方法，其特征在于，包括以下步骤：

代理模块接收终端发送的会话申请报文与终端建立连接，所述代理模块从与其连接的至少两个网关模块中根据网关模块的CPU利用率选择特定的网关模块，将会话申请报文发送选择的网关模块；

被选择的网关模块接收到代理模块发送的终端的会话申请报文后，与终端建立数据通信连接；被选择的网关模块在与终端数据交互之前，使用预设的加密算法进行双向的身份认证及密钥协商；收到终端加密报文后，被选择的网关模块对密文数据基于预设的进行解密，对解密后的填充报文进行检查，检查通过后与主站系统建立数据通信连接；

所述代理模块从与其连接的至少两个网关模块中根据网关模块的CPU利用率选择特定的网关模块的方法包括：代理模块采集与其连接的网关模块的CPU利用率，根据获得的与其连接的网关模块的CPU利用率，采用轮询策略选择网关模块；

采用轮询策略选择网关模块具体包括：根据获得的与其连接的网关模块的CPU利用率，确定终端会话申请报文的时间到选择网关模块的时间段内各网关模块的平均利用率；根据平均CPU利用率对网关模块进行排序，生成网关模块序列数组，依次轮询网关模块序列数组，将终端的会话申请报文分配至不同的网关模块使得其与终端建立连接。

4.根据权利要求3所述的智慧能源服务系统实时高并发安全接入方法，其特征在于，在轮询网关模块序列数组时，如果达到数组末尾，则所述代理模块重新建立网关模块序列数组。

5.根据权利要求3所述的智慧能源服务系统实时高并发安全接入方法，其特征在于，被选择的网关模块接收到代理模块发送的终端的会话申请报文后维护内部终端映射表，以使得终端根据终端映射表实现链路保持，所述映射表包括终端上下行中的各节点信息。

6.根据权利要求5所述的智慧能源服务系统实时高并发安全接入方法，其特征在于，终端根据终端映射表实现链路保持的具体方法包括：

终端与主站系统建立数据通信连接后，在终端上下行数据传输过程中，定时发送心跳报文至主站系统，使各个节点的信息处于激活状态；

终端与主站系统后续的业务报文经过链路中各个节点时，根据终端映射表关系，在原通信链路中转发；

当正在使用的网关模块出现故障后，终端将会收到“目的不可达”信息，用以启动重新建立数据通信连接。