CN114124436B - 一种基于电力物联网泛终端的apn接入可信计算管理系统 - Google Patents

Abstract

本发明公开了一种基于电力物联网泛终端的APN接入可信计算管理系统，包括信息建模模块、物联网安全心终端、动态接入管控探针设备和可信计算平台，其特征在于，所述信息建模模块为物联网安全心终端和动态接入管控探针设备配合构建信息模型，通过数据采集的方式进行数据的建模，为制定差异化的策略提供数据支持，本发明根据接入场景和用途的区别，构建场景化的终端设备信息模型，动态调整基本信息的可信权值，实现接入区域、接入场景、业务用途、设备信息等结合的终端信息模型，多维度动态实现安全接入。做到入网可视，入网可查，入网可管，入网可控，入网可追溯。

Description

一种基于电力物联网泛终端的APN接入可信计算管理系统

技术领域

本发明涉及水电统计技术领域，特别涉及一种基于电力物联网泛终端的APN接入可信计算管理系统。

背景技术

随着计算机技术和网络通信技术的发展、电力行业应用的日趋复杂，计算机终端已不再是传统意义上我们所理解的“终端”，它不仅是网线所连接的PC，还包括手机、PAD，智能电表，充电桩，智能摄像头，智能门禁等各类新式的物联网设备。这些形形色色的终端给信息安全工作带来了巨大挑战：类型众多，以各种方式接入;并且是大部分事物的起点和源头：是用户登录并访问网络的起点、是用户访问Internet的起点、是应用系统访问和数据产生的起点、更是病毒攻击、从内部发起恶意攻击和内部保密数据盗用或失窃的源头。因此，终端安全管理对每个企业来说都极其重要，只有通过完善的终端安全管理才能够真正从源头上控制各种事件的启始、遏制由内网发起的攻击和破坏。在内网安全管理中，准入控制是所有终端管理功能实现的基础所在，采用准入控制技术能够主动监控桌面电脑的安全状态和管理状态，将不安全的电脑隔离、进行修复。准入控制技术与传统的网络安全技术如防火墙、防病毒技术结合，将被动防御变为主动防御，能够有效促进内网合规建设，减少网络事故。基于数据安全法，为了规范数据处理活动，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，因此在数据安全，终端控制使用相应的技术手段，其中在终端使用准入控制系统，NAC通过三代的技术发展，通过监控PC,手机及哑终端的流量，当发现流量中存在未知终端时发送TCP重置包进行阻断，此类方法通常以MAC，IP地址为判断，未知的MAC，IP视为未知终端，进行相应的阻断。同时MAC地址及IP地址容易被篡改被仿冒，若进行MAC,IP地址仿冒时缺乏监控及辨别能力，同时也缺少对电力物联网泛终端的管控存在一定的安全隐患。

另一方面：对于可信网络接入（TNC）也是一种至关重要的技术，给不同的网络访问者不同的访问权限，保证端点符合安全要求，能应对各种接入设备的联网要求，如电话、PDA、无线设备等，协助解决企业资产监控和软件升级的难题，但TNC结构并不排斥网络访问控制中没有定义的组件，TNC的组件并不是实现安全与网络连接的唯一组件，如在802.1X应用环境中RADIUS Server可以实现 Network Access Authority(NAA) ，也可以从其它设备或系统中获得策略决策相关的信息，在物联网飞速发展的阶段，各类的哑终端设备，比如摄像头、门禁、打印机、智能电表、充电柱等，该类设备分布在城市的各个角落，无人监管，当终端的SIM卡被黑客获取，则可通过APN网络接入到企业内部，因此需对该类设备进行安全防护。在物联网终端通过GGSN设备接入企业内网时，进行二次验证。确保接入内网的设备合规，资产可视化，及时掌握物联网设备的安全状态。

目前电力物联网泛终端的APN接入可信计算管理系统还存在以下缺点：1、现行业内通用方案，没有对终端的硬件进行持续验证，对终端的信任通常基于MAC地址和IP地址，如果将黑客将硬件修改，或仿冒MAC与IP地址，没有有效的手段发现和拦截，进而侵入到网络危害信息安全；2、现有可信认证技术通常基于硬件芯片实现，推广成本较高且难以适应不同类型物联网终端；3、现有接入控制技术依赖于后台主动扫描发现，缺少设备端主动上传认证信息进行综合认证，难以构建端到端的安全认证体系，总结可为：该环境主要存在终端类型繁杂多样，网络覆盖广泛导致终端接入位置难以确定，终端入网认证简单可信度低等问题。现有的认证技术主要通过运营商的SIM号码认证的方式，该方式认证过于简单，而传统的准入控制技术一般只支持有线连接和终端为电脑的环境，APN环境下暂未有更好的解决方案。

发明内容

本发明的目的在于提供一种基于电力物联网泛终端的APN接入可信计算管理系统，以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供如下技术方案：一种基于电力物联网泛终端的APN接入可信计算管理系统，包括信息建模模块、物联网安全心终端、动态接入管控探针设备和可信计算平台，所述信息建模模块为物联网安全心终端和动态接入管控探针设备配合构建信息模型，通过数据采集的方式进行数据的建模，为制定差异化的策略提供数据支持，信息模块按照承载业务的不同，进行不同的分区，分区之间执行不同的信息安全标准和规范，严禁跨区互联，分区间实行了横行隔离，分区内纵行加密认证，业务类型可分为输变电监控设备、物联网网关、智能电表、充电桩、摄像头、机器人以及智能路灯；

对输变电监控设备进行数据获取，对应的数据获取为IP地址、MAC地址、网络协议、TCP服务、网络连接设备型号序列号、识别码、网络分区和位置；

对物联网网关进行数据获取，对应的数据获取为蓝牙、设备名称、设备类型、网络分区；

对智能电表，充电桩进行数据获取，对应的数据获取为IP地址、MAC地址、网络协议、TCP服务、网络连接设备型号序列号、识别码、网络分区和位置；

对摄像头、机器人以及智能路灯进行数据获取，对应的数据获取为IP地址、MAC地址、网络协议、TCP服务、网络连接设备型号序列号、识别码、网络分区和位置；

所述信息建模模块通过物联网安全心终端与网络层建立通信连接，网络层中接入动态接入管控探针设备，物联网安全心终端与应用层内的可信计算平台建立通信连接，实时上报终端信息，可信计算平台根据终端所处分区不同，制定差异化的策略和不同的检查标准，依据构建的信息模型，辐射出的应用层分区可分为非控制区、生产管理区、管理信息区和信息外网区；

物联网安全心终端即在智能设备中安装安全心插件，以用于采集和发现终端的软硬件基本信息，例如网络信息、设备类型、操作系统、环境参数、运行状态、特定的电力通信规约等，区分不同的设备应用场景和使用用途，根据接入场景和用途的区别，辅助构建场景化的终端设备信息建模模块，动态调整基本信息的可信权值，实现接入区域、接入场景、业务用途、设备信息等结合的终端信息模型，多维度动态实现安全接入；

动态接入管控探针设备用于对网络内终端进行探测发现和数据采集，依据探针所属的分区，定义不同的终端接入安全控制强度级别，以整体安全态势和设备接入区域、接入场景等动态调整的度量阈值，建立终端接入区域的对应接入控制模型，对全网终端进行发现、识别、评估和隔离的装置，对终端的发现主要依靠Sniffer、NMAP方式，根据TCP/IP协议的特点，凡使用该协议的终端，接入网络后，均需向网内发送ARP广播包，ARP广播包种包含该终端的MAC地址、IP地址，通过该方法可以第一时间发现入网新终端，识别是对发现的终端进行特征识别，例如MAC、IP、设备类型、TCP服务、操作系统等；评估则是对已发现的终端的信息与可信计算平台的信息进行比对，如终端信息不符，则认为存在风险，根据不同的策略决定是否隔离；隔离则是通过ARP欺骗、发送TCP重置包等方式阻断其入网。

优选的，动态接入管控探针设备与可信计算平台联动，结合电力系统的实际情况，可针对不同的区域、不同的终端类型制定不同的策略，可信计算平台中注册的终端，可实时同步到动态接入管控系统，未在可信计算平台注册的终端则被动态接入管控系统认为非法，进行隔离阻断，当有终端被非法破坏或入侵时，可信计算平台则将该终端标记为问题终端，并向动态接入控制系统同步，动态接入控制系统将该终端隔离阻断，该装置可以实现入网终端秒级发现，支持APN网络，支持任意设备类型，不依赖客户端。

优选的，所述网络层包括电力专用纵向加密认证装置，所述电力专用纵向加密认证装置与运营商APN网络建立通信连接，所述运营商APN网络与核心交换机信号连接，核心交换机内接入动态接入管控探针，所述核心交换机内通过安全接入模块或安全防火墙与应用层建立通信连接。

优选的，一种基于电力物联网泛终端的APN接入可信计算管理系统，其工作流程为：

步骤一：在与运营商GGNS设备连接的核心交换机部署动态接入管控系统探针，该系统首先通过ARP、SNMP等技术，发现在网终端，包含终端类型、IP地址、MAC地址、操作系统等信息，储存至动态接入管控系统数据库；

步骤二：在电力物联网智能终端中安装可信计算插件安全心，插件的作用主要用于获取终端的硬件信息，主要包含设备类型、厂商、型号、操作系统、版本、MAC、IP、USB使用情况、进程、开启的TCP服务等，将该信息上传至可信计算平台。

步骤三：根据动态接入管控探针采集到的终端信息和所属分区，以及安全心上传的信息，制定差异化的策略和可信标准，并依次建立信息模型；

步骤四：动态接入管控系统向可信计算平台数据库同步终端信息，并与已发现的终端进行比对，如终端重复，则认为该终端可信，如发现的终端未在可信计算平台数据库中，则认为该终端为非法接入，进行隔离；

步骤五：可信计算平台根据信息建模后的信息，对每种终端类型形成画像，如数据流、TCP服务、使用协议等信息与建模信息有明显差异，则判定该终端存在安全风险，向动态接入管控系统发送阻断请求，接入管控系统收到该请求后，则通过ARP欺骗等方式阻断其入网；

动态接入管控系统的终端发现功能持续工作，能够保证新入网终端秒级发现，指纹检查周期性轮询；

通过以上几个步骤，达到终端可信计算、永不信任、实时验证的目的。

本发明的技术效果和优点：

本发明结合可信计算和零信任，关键技术是电力物联网终端安装可信计算插件安全心，与动态接入管控系统联动，以新颖的技术解决APN网络环境下，电力物联网终端的安全接入问题，安全心为纯软件形式，全面支持linux和安卓，轻量级，占用资源少，数据传输加密，增强安全性，在安全心的配合下，终端可信度更高，不易被替换和利用，同时安全心数据与动态接入管控系统同步，实时监控网内终端的，做到入网可知，设备可信，对网络边界形成全面、可靠、高效的防护。

本发明根据接入场景和用途的区别，构建场景化的终端设备信息模型，动态调整基本信息的可信权值，实现接入区域、接入场景、业务用途、设备信息等结合的终端信息模型，多维度动态实现安全接入。做到入网可视，入网可查，入网可管，入网可控，入网可追溯。

附图说明

图1为本发明的整体模块示意图；

图2为本发明工作流程示意图；

图3为本发明动态接入管控识别获取的原理示意图。

实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明提供了如图1-3所示的一种基于电力物联网泛终端的APN接入可信计算管理系统，包括信息建模模块、物联网安全心终端、动态接入管控探针设备和可信计算平台，所述信息建模模块为物联网安全心终端和动态接入管控探针设备配合构建信息模型，通过数据采集的方式进行数据的建模，为制定差异化的策略提供数据支持，信息模块按照承载业务的不同，进行不同的分区，分区之间执行不同的信息安全标准和规范，严禁跨区互联，分区间实行了横行隔离，分区内纵行加密认证，业务类型可分为输变电监控设备、物联网网关、智能电表、充电桩、摄像头、机器人以及智能路灯；

对输变电监控设备进行数据获取，对应的数据获取为IP地址、MAC地址、网络协议、TCP服务、网络连接设备型号序列号、识别码、网络分区和位置；

对物联网网关进行数据获取，对应的数据获取为蓝牙、设备名称、设备类型、网络分区；

对智能电表，充电桩进行数据获取，对应的数据获取为IP地址、MAC地址、网络协议、TCP服务、网络连接设备型号序列号、识别码、网络分区和位置；

对摄像头、机器人以及智能路灯进行数据获取，对应的数据获取为IP地址、MAC地址、网络协议、TCP服务、网络连接设备型号序列号、识别码、网络分区和位置；

所述信息建模模块通过物联网安全心终端与网络层建立通信连接，网络层中接入动态接入管控探针设备，物联网安全心终端与应用层内的可信计算平台建立通信连接，实时上报终端信息，可信计算平台根据终端所处分区不同，制定差异化的策略和不同的检查标准，依据构建的信息模型，辐射出的应用层分区可分为非控制区、生产管理区、管理信息区和信息外网区；

物联网安全心终端即在智能设备中安装安全心插件，以用于采集和发现终端的软硬件基本信息，例如网络信息、设备类型、操作系统、环境参数、运行状态、特定的电力通信规约等，区分不同的设备应用场景和使用用途，根据接入场景和用途的区别，辅助构建场景化的终端设备信息建模模块，动态调整基本信息的可信权值，实现接入区域、接入场景、业务用途、设备信息等结合的终端信息模型，多维度动态实现安全接入；

动态接入管控探针设备用于对网络内终端进行探测发现和数据采集，依据探针所属的分区，定义不同的终端接入安全控制强度级别，以整体安全态势和设备接入区域、接入场景等动态调整的度量阈值，建立终端接入区域的对应接入控制模型，对全网终端进行发现、识别、评估和隔离的装置，对终端的发现主要依靠Sniffer、NMAP方式，根据TCP/IP协议的特点，凡使用该协议的终端，接入网络后，均需向网内发送ARP广播包，ARP广播包种包含该终端的MAC地址、IP地址，通过该方法可以第一时间发现入网新终端，识别是对发现的终端进行特征识别，例如MAC、IP、设备类型、TCP服务、操作系统等；评估则是对已发现的终端的信息与可信计算平台的信息进行比对，如终端信息不符，则认为存在风险，根据不同的策略决定是否隔离；隔离则是通过ARP欺骗、发送TCP重置包等方式阻断其入网。

实施例一，动态接入管控探针设备与可信计算平台联动，结合电力系统的实际情况，可针对不同的区域、不同的终端类型制定不同的策略，可信计算平台中注册的终端，可实时同步到动态接入管控系统，未在可信计算平台注册的终端则被动态接入管控系统认为非法，进行隔离阻断，当有终端被非法破坏或入侵时，可信计算平台则将该终端标记为问题终端，并向动态接入控制系统同步，动态接入控制系统将该终端隔离阻断，该装置可以实现入网终端秒级发现，支持APN网络，支持任意设备类型，不依赖客户端。

实施例二，所述网络层包括电力专用纵向加密认证装置，所述电力专用纵向加密认证装置与运营商APN网络建立通信连接，所述运营商APN网络与核心交换机信号连接，核心交换机内接入动态接入管控探针，所述核心交换机内通过安全接入模块或安全防火墙与应用层建立通信连接。

实施例三，一种基于电力物联网泛终端的APN接入可信计算管理系统，其工作流程为：

步骤一：在与运营商GGNS设备连接的核心交换机部署动态接入管控系统探针，该系统首先通过ARP、SNMP等技术，发现在网终端，包含终端类型、IP地址、MAC地址、操作系统等信息，储存至动态接入管控系统数据库；

步骤二：在电力物联网智能终端中安装可信计算插件安全心，插件的作用主要用于获取终端的硬件信息，主要包含设备类型、厂商、型号、操作系统、版本、MAC、IP、USB使用情况、进程、开启的TCP服务等，将该信息上传至可信计算平台。

步骤三：根据动态接入管控探针采集到的终端信息和所属分区，以及安全心上传的信息，制定差异化的策略和可信标准，并依次建立信息模型；

步骤四：动态接入管控系统向可信计算平台数据库同步终端信息，并与已发现的终端进行比对，如终端重复，则认为该终端可信，如发现的终端未在可信计算平台数据库中，则认为该终端为非法接入，进行隔离；

步骤五：可信计算平台根据信息建模后的信息，对每种终端类型形成画像，如数据流、TCP服务、使用协议等信息与建模信息有明显差异，则判定该终端存在安全风险，向动态接入管控系统发送阻断请求，接入管控系统收到该请求后，则通过ARP欺骗等方式阻断其入网；

动态接入管控系统的终端发现功能持续工作，能够保证新入网终端秒级发现，指纹检查周期性轮询；

通过以上几个步骤，达到终端可信计算、永不信任、实时验证的目的。

本发明工作原理：在与运营商GGNS设备连接的核心交换机部署动态接入管控系统探针，该系统首先通过ARP、SNMP等技术，发现在网终端，包含终端类型、IP地址、MAC地址、操作系统等信息，储存至动态接入管控系统数据库，在电力物联网智能终端中安装可信计算插件安全心，插件的作用主要用于获取终端的硬件信息，主要包含设备类型、厂商、型号、操作系统、版本、MAC、IP、USB使用情况、进程、开启的TCP服务等，将该信息上传至可信计算平台，根据动态接入管控探针采集到的终端信息和所属分区，以及安全心上传的信息，制定差异化的策略和可信标准，并依次建立信息模型，动态接入管控系统向可信计算平台数据库同步终端信息，并与已发现的终端进行比对，如终端重复，则认为该终端可信，如发现的终端未在可信计算平台数据库中，则认为该终端为非法接入，进行隔离，可信计算平台根据信息建模后的信息，对每种终端类型形成画像，如数据流、TCP服务、使用协议等信息与建模信息有明显差异，则判定该终端存在安全风险，向动态接入管控系统发送阻断请求，接入管控系统收到该请求后，则通过ARP欺骗等方式阻断其入网，动态接入管控系统的终端发现功能持续工作，能够保证新入网终端秒级发现，指纹检查周期性轮询。

在本发明的描述中，除非另有明确的规定和限定，术语“设置”、“安装”、“相连”、“连接”、“固定”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或成一体；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通或两个元件的相互作用关系。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

本发明使用到的标准零件均可以从市场上购买，异形件根据说明书的和附图的记载均可以进行订制。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (4)

1.一种基于电力物联网泛终端的APN接入可信计算管理系统，包括信息建模模块、物联网安全心终端、动态接入管控探针设备和可信计算平台，其特征在于，所述信息建模模块为物联网安全心终端和动态接入管控探针设备配合构建信息模型，通过数据采集的方式进行数据的建模，为制定差异化的策略提供数据支持，信息模块按照承载业务的不同，进行不同的分区，分区之间执行不同的信息安全标准和规范，严禁跨区互联，分区间实行了横行隔离，分区内纵行加密认证，业务类型可分为输变电监控设备、物联网网关、智能电表、充电桩、摄像头、机器人以及智能路灯；

对输变电监控设备进行数据获取，对应的数据获取为IP地址、MAC地址、网络协议、TCP服务、网络连接设备型号序列号、识别码、网络分区和位置；

对物联网网关进行数据获取，对应的数据获取为蓝牙、设备名称、设备类型、网络分区；

对智能电表，充电桩进行数据获取，对应的数据获取为IP地址、MAC地址、网络协议、TCP服务、网络连接设备型号序列号、识别码、网络分区和位置；

对摄像头、机器人以及智能路灯进行数据获取，对应的数据获取为IP地址、MAC地址、网络协议、TCP服务、网络连接设备型号序列号、识别码、网络分区和位置；

所述信息建模模块通过物联网安全心终端与网络层建立通信连接，网络层中接入动态接入管控探针设备，物联网安全心终端与应用层内的可信计算平台建立通信连接，实时上报终端信息，可信计算平台根据终端所处分区不同，制定差异化的策略和不同的检查标准，依据构建的信息模型，辐射出的应用层分区可分为非控制区、生产管理区、管理信息区和信息外网区；

物联网安全心终端即在智能设备中安装安全心插件，以用于采集和发现终端的软硬件基本信息，例如网络信息、设备类型、操作系统、环境参数、运行状态、特定的电力通信规约等，区分不同的设备应用场景和使用用途，根据接入场景和用途的区别，辅助构建场景化的终端设备信息建模模块，动态调整基本信息的可信权值，实现接入区域、接入场景、业务用途、设备信息等结合的终端信息模型，多维度动态实现安全接入；

动态接入管控探针设备用于对网络内终端进行探测发现和数据采集，依据探针所属的分区，定义不同的终端接入安全控制强度级别，以整体安全态势和设备接入区域、接入场景等动态调整的度量阈值，建立终端接入区域的对应接入控制模型，对全网终端进行发现、识别、评估和隔离的装置，对终端的发现主要依靠Sniffer、NMAP方式，根据TCP/IP协议的特点，凡使用该协议的终端，接入网络后，均需向网内发送ARP广播包，ARP广播包种包含该终端的MAC地址、IP地址，通过该方法可以第一时间发现入网新终端，识别是对发现的终端进行特征识别，例如MAC、IP、设备类型、TCP服务、操作系统等；评估则是对已发现的终端的信息与可信计算平台的信息进行比对，如终端信息不符，则认为存在风险，根据不同的策略决定是否隔离；隔离则是通过ARP欺骗、发送TCP重置包等方式阻断其入网。

2.根据权利要求1所述的一种基于电力物联网泛终端的APN接入可信计算管理系统，其特征在于：动态接入管控探针设备与可信计算平台联动，结合电力系统的实际情况，可针对不同的区域、不同的终端类型制定不同的策略，可信计算平台中注册的终端，可实时同步到动态接入管控系统，未在可信计算平台注册的终端则被动态接入管控系统认为非法，进行隔离阻断，当有终端被非法破坏或入侵时，可信计算平台则将该终端标记为问题终端，并向动态接入控制系统同步，动态接入控制系统将该终端隔离阻断，该装置可以实现入网终端秒级发现，支持APN网络，支持任意设备类型，不依赖客户端。

3.根据权利要求1所述的一种基于电力物联网泛终端的APN接入可信计算管理系统，其特征在于：所述网络层包括电力专用纵向加密认证装置，所述电力专用纵向加密认证装置与运营商APN网络建立通信连接，所述运营商APN网络与核心交换机信号连接，核心交换机内接入动态接入管控探针，所述核心交换机内通过安全接入模块或安全防火墙与应用层建立通信连接。

4.根据权利要求1所述的一种基于电力物联网泛终端的APN接入可信计算管理系统，其特征在于：其工作流程为：

步骤一：在与运营商GGNS设备连接的核心交换机部署动态接入管控系统探针，该系统首先通过ARP、SNMP等技术，发现在网终端，包含终端类型、IP地址、MAC地址、操作系统等信息，储存至动态接入管控系统数据库；

步骤二：在电力物联网智能终端中安装可信计算插件安全心，插件的作用主要用于获取终端的硬件信息，主要包含设备类型、厂商、型号、操作系统、版本、MAC、IP、USB使用情况、进程、开启的TCP服务等，将该信息上传至可信计算平台；

步骤三：根据动态接入管控探针采集到的终端信息和所属分区，以及安全心上传的信息，制定差异化的策略和可信标准，并依次建立信息模型；

步骤四：动态接入管控系统向可信计算平台数据库同步终端信息，并与已发现的终端进行比对，如终端重复，则认为该终端可信，如发现的终端未在可信计算平台数据库中，则认为该终端为非法接入，进行隔离；

步骤五：可信计算平台根据信息建模后的信息，对每种终端类型形成画像，如数据流、TCP服务、使用协议等信息与建模信息有明显差异，则判定该终端存在安全风险，向动态接入管控系统发送阻断请求，接入管控系统收到该请求后，则通过ARP欺骗等方式阻断其入网；

动态接入管控系统的终端发现功能持续工作，能够保证新入网终端秒级发现，指纹检查周期性轮询；

通过以上几个步骤，达到终端可信计算、永不信任、实时验证目的。