CN116458111A

CN116458111A - 用于配置网络中多个可操作地互连的节点设备的方法、配置器和系统

Info

Publication number: CN116458111A
Application number: CN202180074703.7A
Authority: CN
Inventors: 王常杰; 冯雷
Original assignee: Signify Holding BV
Current assignee: Signify Holding BV
Priority date: 2020-11-05
Filing date: 2021-11-04
Publication date: 2023-07-18
Also published as: US20230396492A1; WO2022096561A1; EP4241415A1; EP4241415B1

Abstract

公开了一种配置网络中特定类型的节点设备的方法。该网络包括多个特定类型的、可操作地互连的节点设备。每个特定类型的节点设备包括短程通信接口，并且被配置用于在网络后端服务器和与网络后端服务器分离的应用后端服务器的控制下操作。该方法由与特定类型的节点设备相关联的应用配置器执行，该应用配置器首先从网络后端服务器获得用于特定类型的节点设备的设备特定网络配置数据，然后获得用于特定类型的节点设备的应用凭证；以及此后通过将应用凭证通过特定类型的节点设备的短程通信接口分发给每个特定类型的节点设备来配置特定类型的节点设备。

Description

用于配置网络中多个可操作地互连的节点设备的方法、配置器和系统

技术领域

本公开总体涉及管理互连节点设备的领域，并且更具体地涉及一种用于配置(provision)网络中特定类型的多个可操作地互连的节点设备的方法、配置器和系统。

背景技术

诸如照明设备和物联网(IoT)设备之类的电气或电子设备以及支持增强型机器类型通信(eMTC)的设备(例如所有这些设备都包括数据通信能力)，经常部署在包括多个互连设备的网络中。

这些通常称为节点设备或终端设备的设备典型地操作诸如网络适配器或收发器模块之类的远程通信接口以用于与诸如后端服务器之类的远程设备进行数据交换，并且操作诸如收发器模块之类的短程通信接口以用于仅节点设备之间的通信，也称为节点间设备通信。

远程通信接口可以例如根据诸如指定的2G/3G/4G/5G蜂窝通信之类的无线移动通信标准以及其他远程无线通信技术(例如远程广域网络(LoRaWAN)和窄带IoT(NB-IoT))或者专有通信技术和/或有线数据交换通信技术操作。

短程通信接口可以例如根据用于联网设备或节点交换数据的网络协议以及有线总线网络操作，用于联网设备或节点交换数据的网络协议例如是指定的ZigBee^TM、蓝牙TM以及基于WiFi的无线网络协议，并且有线总线网络例如是DALI^TM(数字可寻址照明接口)、DSI(数字串行接口)、DMX(数字多路复用)、KNX(和基于KNX的系统)以及专有通信技术和协议。

US2019349252A1涉及蓝牙网状网络配置。接收由蓝牙网状网络中的一个或多个网关节点报告的关于未配置的蓝牙设备的信息。生成用于未配置的蓝牙设备的配置数据。从报告接收的信息的一个或多个网关节点中确定要向其发布所生成的配置数据的目的地蓝牙网关节点。所生成的配置数据被发布到目的地蓝牙网关节点，以使得目的地蓝牙网关节点可以执行针对未配置的蓝牙设备的配置操作。

WO2016202375A1公开了一种在无线设备(60)中执行的用于实现来自服务器(70)的凭证的安全配置的方法。无线设备(60)存储设备公钥和设备私钥。服务器(70)存储设备公钥。该方法包括从服务器(70)接收(S1)认证请求；生成(S2)设备认证和完整性(DAI)指标；以及向(服务器70)传输(S3)认证响应。该认证响应包括DAI指标。该方法包括从服务器(70)接收(S4)凭证消息，该凭证消息包括服务器认证和完整性(SAI)指标。SAI指标提供了服务器拥有设备公钥的证明。该方法包括使用设备公钥验证(S5)所接收的凭证消息。

“Handbok of Applied Cryptography”(CRC press，1996)的chapter 13披露了用于控制密钥的分发、使用和更新的密钥管理技术，其专注于用于密钥建立和使用的通信模型、基于其预期用途的密钥分类和控制、公钥的分发技术、支持分布式系统中自动化密钥更新的架构、以及可信第三方的作用。

这样的网络可以是包括大量布置为照明设备的互连节点设备的照明系统，例如户外照明系统。此外，技术发展近况使得一些具有通信能力的其他设备，比如传感器、摄像机等，也能够加入由照明设备形成的照明系统并作为照明系统的节点设备运行。

例如，在照明系统中包含其他类型的节点设备使得照明以外的各种应用和服务成为可能，比如门禁系统、智能扬声器。这样的应用可能涉及许多的设备到设备的通信，其中每个应用生成它自己的数据。

在具有不同类型节点设备的室内网络中，例如，与节点设备相关联的或由节点设备运行的不同应用通常由同一所有者拥有，比如用于家用。因此应用的凭证，比如蓝牙网状网络中的应用密钥，可以由同一所有者管理，并且所有者能够维护和访问属于不同应用的数据和服务。

相反，在包括不同类型节点设备的户外网络中，不同的应用和相应的节点设备可以由不同的企业主或组织拥有。作为示例，交通监控摄像机和街道照明设备由不同的组织拥有和管理。在这种情况下，由不同应用生成的且与之相关联的数据在网络中的节点设备之间被传送时必须得到保护以防范彼此。

在蓝牙网状网络的示例中，被称为应用密钥的应用凭证被应用用来保证蓝牙网状网络的接入层的通信安全。应用密钥在网络中节点设备的调试或配置阶段期间生成，并且被分发到参与特定应用的所有节点设备并在它们之间共享。

在包括属于不同应用所有者的节点设备的网络中，每种类型的节点设备或每组节点设备使用由相应的应用所有者生成的各自的应用密钥来加密和解密在网络的应用层交换的各自的应用消息。保护不同应用的数据以防范彼此的安全考虑要求用于不同类型节点设备的应用密钥必须被维护并保留给各自的应用以及还有运行该应用的相应节点设备。

当节点设备被配置或调试时，必须已经考虑到将应用密钥保留给相应的应用和节点设备。一般地，存在两种将节点设备配置或加入到(现有)网络中的方式，第一种是通过配置器进行现场配置的标准方式，而第二种方式可以通过将具有远程通信能力的节点设备用作代理节点而在后端服务器的控制下自动执行。

在标准蓝牙网状网络中配置节点设备的示例包括采用配置器将网络的所有信息分发到网络中的所有节点设备，网络的所有信息包括该网络独有的网络密钥(NetKey)和每个特定应用独有的应用密钥(AppKey)。这对于包括属于不同应用的节点设备的网络而言不是所期望的，因为不同的节点设备由不同的应用所有者拥有，并且相应的AppKey应该仅为应用所有者和相关节点设备所知。

利用自动配置方法，新添加的节点设备可以经由选定的代理节点设备被配置到网络中，这意味着诸如蓝牙网络中的NetKey和AppKey之类的关于节点设备的信息将经由代理节点设备传输。这也是不可接受的，因为代理节点将由此知道这样配置的节点设备的AppKey。

因此，需要一种安全地管理同一网络中用于不同类型的节点设备的应用凭证的方法，尤其是从不同类型且属于不同实体的节点设备被调试或配置的早期阶段开始。

发明内容

在本公开的第一方面中，提供了一种在网络中配置多个可操作地互连的第一类型节点设备的方法，每个第一类型节点设备包括短程通信接口并且被配置用于在网络后端服务器和与网络后端服务器分离的应用后端服务器的控制下运行，该方法由与第一类型节点设备相关联的应用配置器执行并且包括步骤：

-从网络后端服务器获得用于第一类型节点设备的设备特定网络配置数据并且标识第一类型节点设备；

-获得用于第一类节点设备的应用凭证，该应用凭证对应用后端服务器来说是已知的并且对网络后端服务器来说是未知的；以及

-在使用设备特定网络配置数据与第一类型节点设备成功进行相互认证之后，通过利用第一类型节点设备的短程通信接口将应用凭证分发给每一个第一类型节点设备来配置第一类型节点设备。

在包括配置用于不同的服务和应用并且由不同的实体操作和拥有的不同类型的节点设备的网络中，不同类型的节点设备共享相同的网络凭证，但是具有不同的应用凭证。出于安全考虑，用于配置用于一种应用的一种类型的节点设备的应用凭证应当被保护，以防范其他类型的节点设备。发明人的见解是，这样的用于不同类型的节点设备的应用凭证可以通过经由特定类型的节点设备的短程通信接口直接利用各自的应用凭证或安全密钥配置每种类型的节点设备来分别地且相互独立地被管理。

通过使用节点设备的短程通信接口，应用凭证从应用配置器，尤其是与特定类型的或特定组的节点设备(这里被称为第一类型节点设备)相关联的应用配置器，被直接分发到该特定类型或特定组的节点设备。特定类型或特定组的节点设备将在成功认证应用配置器的身份之后接受应用凭证。因此，这避免了应用凭证经由同一网络中其他类型的节点设备的传输，从而减少了使应用凭证被网络中其他类型的节点设备损害的风险。

控制着网络中不同类型的每一个节点设备的网络后端服务器具有网络的全貌并维护网络配置数据，包括网络凭证、设备凭证和设备标识(ID)等。因此应用配置器可以从网络后端服务器为特定类型的节点设备下载网络配置数据的一部分，在此也被称为设备特定网络配置数据，其标识了应用配置器所关联的节点设备。从网络后端服务器接收的用于特定类型的节点设备的设备特定配置数据也被用来向该特定类型的设备认证应用配置器。

此后，在网络是蓝牙网络的情况下，应用配置器获得用于特定类型的节点设备的应用凭证，例如应用密钥。这样获得的应用凭证由管理该应用的应用后端服务器维护，并且因此也由运行该应用的第一类型节点设备维护。与网络配置数据不同，应用凭证不是从网络后端服务器获得的，这意味着即使是网络后端服务器也不知道应用凭证。这加强了对应用凭证的安全管理。

应用配置器然后可以通过特定类型的节点设备的短程通信接口直接向特定类型的节点设备分发设备特定应用凭证。这完成了特定类型的节点设备的配置过程。

例如根据拥有不同类型的节点的不同实体之间的协议，可以便利地从网络后端服务器获得应用配置器。可替换地，诸如在APP商店中的公共目录或由应用的所有者指定的网站之类的外部源和相应的节点设备可以提供应用配置器。

因此，用于网络中不同类型的节点设备的应用凭证可以得到保护以防范彼此类型的节点设备并且甚至防范网络后端服务器，这确保了用于运行不同应用的不同类型的节点设备的应用数据和信令消息得到良好的保护且是安全的。

在本公开的示例中，在获得用于第一类型节点设备的设备特定网络配置数据的步骤之前，每个第一类型节点设备在网络后端服务器的控制下加入到网络。

如上所述，网络后端服务器控制着网络中的每一个节点设备，这是在节点设备安装并通电之后通过将每个节点设备加入到网络来实现的。在这个过程期间，节点设备和网络后端服务器相互认证并且交换节点设备的后续操作所需的网络配置数据。

在本公开的示例中，网络进一步包括多个可操作地互连的且配置的第二类型节点设备，每个第二类型节点设备包括短程通信接口和远程通信接口，每个第一类型节点设备通过与网络后端服务器的通信被加入到网络，该通信通过第一类型节点设备的短程通信接口与用作用于该通信的代理节点设备的至少一个第二类型节点设备的远程通信接口和短程通信接口进行。

作为示例，具有照明设备的现有网络可以被扩展到包括其他类型的设备，比如摄像机和传感器。在这种情况下，传感器或摄像机在安装和通电后可以被加入到将照明设备用作代理节点设备的现有网络中。代理照明设备兼具短程和远程通信能力，以用于与要加入现有网络的传感器或摄像机进行短程通信以及与网络后端服务器进行远程通信。因此，传感器或摄像机可以自动加入到现有网络中，在人力方面节省成本和资源。

可以设想，该方法也适用于从头构建网络的场景，在这种情况下，兼具短程和远程通信能力的节点设备在被用作用于将仅具有短程通信能力的其他节点设备加入到网络中的代理节点设备之前，可以在网络后端服务器的控制下首先被加入到网络中。

在本公开的示例中，用于第一类型节点设备的设备特定网络配置数据在网络加入过程期间生成，并且包括每个第一类型节点设备的唯一设备标识和对应的设备凭证。

当第一类型节点设备在网络后端服务器的控制下被加入到网络时，除了由网络后端服务器配置的网络密钥之外，在网络后端服务器和节点设备之间还共享例如由节点设备或由网络后端服务器生成的诸如设备密钥之类的设备凭证。还为节点设备分配诸如网络地址之类的唯一设备标识。这样的数据是可从将第一类型节点设备加入到网络中的第一配置阶段获得的，并且将被用作设备特定网络配置数据以用于在后期阶段将节点设备配置到相关联的应用中。

在本公开的示例中，经由应用后端服务器从网络后端服务器获得设备特定网络配置数据。

应用后端服务器负责特定的应用管理。它可以认证它自己并且因此向网络后端服务器认证第一类型节点设备的所有权。此后，应用后端服务器可以从网络后端服务器下载或检索设备特定配置数据，并且将上述设备特定配置数据存储到配置器。这确保了正确的设备特定网络配置数据被检索到并保持安全和可靠。

可替换地，在对应用配置器的身份以及相应地对应用所有权进行认证之后，应用配置器也可以直接从网络后端服务器获得设备特定网络配置数据。

在本公开的示例中，接收的应用凭证是由应用后端服务器生成的。

应用后端服务器在从网络后端服务器接收用于特定类型的节点设备的设备特定网络配置数据之后将生成尤其用于特定类型的节点设备的应用凭证，比如在蓝牙网状网络情况下的应用密钥。该凭证被存储在应用后端服务器中并且也存储在应用配置器中。从而确保了应用凭证仅针对特定类型的节点设备或特定组的节点设备生成和维护。

可替换地，在本公开的另一个示例中，应用凭证由与第一类型节点设备相关联的应用配置器生成。

以这种方式生成的应用凭证也被存储在应用后端服务器中，这也有助于确保应用凭证的安全管理。

然后，应用凭证通过特定类型的节点设备的短程通信接口处的安全通信信道被分发到每个特定类型的节点设备。

应用配置器可以与特定类型的节点设备建立安全通信信道，这从安全角度来看是有利的，因为例如它有助于避免用于保护在网络上传输的应用数据安全的应用凭证变得对未经授权的第三方而言是可获得的。这加强了应用凭证的分发以及网络中不同类型的节点设备之间在应用层的后续数据交换的安全方面。

如上所述，在向第一类型节点设备分发应用凭证之前，应用配置器和每个第一类型节点设备使用用于第一类型节点设备的设备特定网络配置数据相互认证彼此。

应用配置器和特定类型的节点设备之间的认证基于节点设备的唯一网络地址和设备凭证。因此，设备凭证也被用来保护应用凭证从应用配置器到第一类型节点设备的安全传输。以这种方式，即使诸如来自攻击者的其他标准配置工具可以通过短程通信接口连接到第一类型节点设备，因为它无法向节点认证它自己，所以向节点设备传输假的应用凭证是不可能的。

在本公开的示例中，该方法进一步包括步骤：

-获得用于第一类型节点设备的更新的应用凭证；以及

-利用更新的应用凭证更新第一类型节点设备的应用凭证。

本领域技术人员可以设想，网络中的安全凭证的定期或按需更新可以被执行以确保网络更好的安全性和可靠性。因此，该实施例的步骤在必要时执行或定期执行，以便防止应用凭证受到任何损害。

在本公开的示例中，更新的应用凭证由应用后端服务器或应用配置器响应于网络中的条件变化生成。

尤其当特定类型的节点设备从网络中被移除或被添加到网络并且因此相应的应用也从网络中被移除或被添加到网络时，应用后端服务器可以更新应用凭证，以便减少旧应用程序凭证的泄漏风险。

类似地，更新步骤也通过特定类型的节点设备的短程通信接口处的安全通信信道执行。再者，这对于确保将取代旧应用凭证的更新的应用凭证的安全传输而言是必要的。

在本公开的示例中，每个第一类型节点设备包括作为短程通信接口操作的蓝牙无线通信接口，每个第二类型节点设备包括作为短程通信接口操作的蓝牙无线通信接口和作为远程通信接口操作的无线蜂窝通信接口。

在本公开的示例中，第二类型节点设备是照明设备，且第一类型节点设备是提供照明服务以外服务的电子设备。

在本公开的第二方面中，提供了一种用于配置网络中多个可操作地互连的第一类型节点设备的应用配置器，每个第一类型节点设备包括短程通信接口并被配置用于在网络后端服务器和与网络后端服务器分离的应用后端服务器的控制下操作，该应用配置器与第一类型节点设备相关联并被配置用于根据依照本公开的第一方面的方法操作。

在本公开的第三方面中，提供了一种用于配置网络中多个可操作地互连的第一类型节点设备的系统，该系统包括多个可操作地互连的第一类型节点设备的网络、网络后端服务器、与网络后端服务器分离的应用后端服务器、以及应用配置器，其中：

网络后端服务器被布置用于通过向第一类型节点设备配置网络凭证并生成包括设备特定网络配置数据的网络配置数据来将第一类型节点设备加入到网络中；

应用后端服务器被布置用于维护用于第一类型节点设备的应用凭证；

应用配置器与被布置用于向第一类型节点设备配置应用凭证的第一类型节点设备相关联。

在本公开的第四方面中，提供了一种计算机程序产品，其包括存储指令的计算机可读介质，该指令当在至少一个处理器上执行时使至少一个处理器根据本公开的第一方面操作节点设备或应用配置器。

本公开的上述及其他特征和优点将从以下参照附图的描述中被最佳地理解。在附图中，类似的附图标记表示相同的部件或执行相同或类似功能或操作的部件。

附图说明

图1图示出支持不同类型的节点设备和应用的网状网络。

图2是图示出根据本公开的实施例的用于设置或配置在包括不同类型的节点设备的网络中的特定类型的节点设备的系统的主要元件的示意图。

图3以简化的流程图图示出根据本公开的实施例的配置在包括不同类型的节点设备的网络中的特定类型的节点设备的方法的步骤。

图4是图示出根据本公开的实施例的用于配置在包括不同类型的节点设备的网络中的特定类型的节点设备的应用配置器的示意图。

具体实施方式

现在将参照附图更详细地描述本公开所设想的实施例。所公开的主题不应被解释为仅限于本文阐述的实施例。相反，图示出的实施例以示例的方式被提供，以将主题的范围传达给本领域技术人员。

下面，将参照将包括一种类型的节点设备的现有网络扩展为包括不同类型的节点设备的场景来描述本公开。本领域技术人员将理解，如本文描述的本公开的解决方案同样适用于构建包括不同类型的节点设备的新网络。

术语“调试”、“在调试”、“配置”和“在配置”将被可互换地用来描述将节点设备从初始运行状态(即在节点设备被物理安装和通电后)进入作为可操作地且可通信地互连的节点设备的网络的“已声明的”、“已调试的”或“已配置的”成员的完全运行状态的设定和设置过程。配置涉及网络设置数据或配置数据或信息到节点设备的传输，除别的以外，该配置数据包括(一个或多个)网络密钥或凭证，用于每个节点设备的网络和应用密钥或凭证。配置数据可以进一步包括用于所有节点设备的其他通用网络数据，以及用于特定节点设备的唯一数据，例如在照明系统的情况下比如用于不同节点设备的不同调光水平。

图1图示出支持不同类型的节点设备和应用的网状网络10。图1中图示了两个应用，即照明系统和门禁系统。照明系统包括照明设备11至15以及开关16和17，并且门禁系统包括门禁控制设备18。所有节点设备11至18与控制设备进行通信，该控制设备诸如是远程后端服务器或本地网关或服务器19，这取决于具体的网络设置。本领域技术人员可以设想的是，在网状网络中可以部署任何数量的照明设备、开关和门禁控制器。

在图1中，用于照明应用的通信被标示为具有附图标记110的虚线，且用于门禁控制的通信被标示为具有附图标记120的实线。为了简单起见，并非所有通信都用附图标记来标示。

在如图1所示的室内系统的情况下，照明设备11至15和开关16和17以及门禁控制设备18被提供有用于节点间通信的短程通信能力。当控制设备19是例如后端服务器时，也可能的是，照明设备11至15和开关16和17被提供有远程通信能力。在这两种情况下，门禁控制设备18和控制设备19之间的通信(例如诸如访问命令和应用数据之类的消息的交换)必须经由照明设备和开关中的一些进行路由。

具体来说，本地网关和门禁控制设备18之间的通信可以通过例如照明设备11、12和15的短程通信接口被中继，如实线120所标示。

出于安全考虑，例如，为了防止门禁控制设备18因控制中继访问控制消息的照明设备而受到损害，照明设备11、12和15在无法解密预期用于门禁控制18的消息的情况下中继门禁控制消息。这是通过使用用于对门禁控制设备18与后端服务器19之间交换的门禁控制消息进行加密和解密的诸如应用密钥之类的应用凭证实现的。

如上面参照图1描述的应用场景也适用于户外情况。作为示例，户外IoT网络可以包括不同类型的节点设备，比如兼具蜂窝和蓝牙模块的照明设备以及仅具有蓝牙模块的传感器节点。网络中的照明设备形成用于中继消息的“基础设施”方案，在此基础上，当需要新应用时可以添加传感器节点。期望的是，用于不同实体和组织的诸如公共安全和运输之类的新的应用和服务例如可以通过向现有的照明网络添加不同类型的设备来进一步扩展。

用于除了照明服务以外的应用的后来添加的或扩展的节点设备将使用共有照明网络在节点间和向后端服务器和/或从后端服务器传输数据。作为示例，可以在传感器设备与后端服务器之间交换的传感器数据可以包括运动数据、声音数据、图像数据、视频数据、温度数据、湿度数据、压力数据、亮度数据、化学成分或物质数据、嗅觉数据和触觉数据。

与应用中的特定应用相关联并配置给运行该特定应用的节点设备的应用密钥被用来保护应用数据以防范包括光系统的其他应用。因此，先决条件是应用密钥针对相应的节点设备的安全配置。

图2是图示出根据本公开的实施例的用于设置或配置网络21中特定类型的节点设备的系统20的主要元件的示意图。

网络21在图2中被图示为包括表示为三角形的诸如户外照明系统中的照明设备之类的第二类型节点设备211以及表示为椭圆形的诸如用于监控交通的监控摄像机之类的第一类型节点设备212。例如，网络21可以进一步包括与其他应用相关联的其他类型的节点设备，比如配置用于天气预报的传感器。

每个第二类型节点设备211都设置有远程通信接口和短程通信接口。远程通信接口被布置用于例如通过诸如无线蜂窝网络之类的互联网23与也设置有远程通信接口的网络后端服务器22进行通信210。短程通信接口典型地操作用于节点设备之间的数据交换220。

也可能的是，仅仅有限数量的第二类型节点设备211配备有远程通信接口，这将有助于保持整个网络的低成本。

第一类型节点设备212中的每一个都设置有用于节点间通信的短程通信接口，即用于节点设备之间的数据交换220，比如与第二类型节点设备的数据交换。

网络后端服务器22被设置用于设立诸如网络21之类的本地网状网络以及网络配置参数的创建，除别的以外，网络配置参数包括网络凭证。

应用后端服务器24(ABS)被设置用于特定的应用管理，其功能包括维护用于在相关联的节点设备上运行的特定应用的应用密钥。如图2中所示的ABS 24与第一类型节点设备212相关联。本领域技术人员可以设想，取决于网络21中操作的应用的数量，由不同应用所有者拥有的多个应用后端服务器可以存在于网络21中。

ABS 24可以通过互联网23与网络后端服务器22进行通信26以用于交换信息，比如用于第一类型节点设备212的设备特定网络配置数据。

可以简单地称为配置器的应用配置器25被设置用于例如经由27ABS 24接收或检索28或可替换地生成与相应的应用相关联的节点设备的信息，并且用于将该信息分发29到相关联的节点设备212。配置器25可以是在包括移动电话的便携式或移动计算设备上运行的软件应用程序，并且可以从网络后端服务器22或从图2所示系统的外部源下载，例如从公共应用商店或由相应应用的所有者指定的私有源下载。

图3以简化的流程图图示出根据本公开的实施例的配置包括运行不同应用的不同类型的节点设备的网络中特定类型的节点设备的方法30的步骤。

在下文中，将参照图2中所图示的配置第一类型节点设备来描述方法30，第一类型节点设备在本说明书中也被称为特定类型的节点设备。

为了本公开的目的，假设每个第一类型节点设备在安装和通电之后处于操作用于被另一节点设备通过短程通信接口发现的初始操作状态。

一般来说，将新的节点设备配置到网络中的方法可以描述为包括两个阶段。也就是说，在阶段一中，节点设备通过获得并拥有网络密钥(NetKey)而加入到网络中，成为网状网络中的一个常规节点设备；且在阶段二中，节点设备以认证的方式从配置应用(app)或简单地从所有者的配置器获得特定应用密钥(AppKey)。因此，该方法提供了框架，该框架允许拥有网络中的节点设备的不同实体分别维护它们自己的AppKey。该方法的详细步骤在下文中描述。

作为准备步骤，在步骤31处，将第一类型节点设备加入到现有网络中，比如包括具有诸如蜂窝无线通信模块之类的远程通信接口和诸如蓝牙网状模块之类的短程通信接口二者的照明设备的户外照明网络。

在这个加入过程期间，包括诸如用于蓝牙网状网络的NetKey之类的网络凭证、设备ID、诸如设备密钥之类的唯一设备凭证、地址等的一组网络配置数据包括被配置到节点设备中。在所有的网络配置数据中，只有设备ID和设备凭证被认为是“设备特定网络配置数据”，它将在本方法的后续步骤中被提供给应用后端服务器。

注意到的是，网络凭证只为网络后端服务器所知，这确保了应用后端服务器无法访问网络基础设施。

作为示例，将第一类型节点设备加入到网络中的方法可以包括网络后端服务器启动配置过程。具体而言，网络后端服务器可以将第二类型节点设备确定为代理节点设备，以用于配置新安装的第一类型节点设备。在此过程期间，诸如蓝牙网状网络密钥(NetKey)、唯一网络地址和唯一设备密钥(DevKey)之类的共有网络凭证将被安全地分发给第一类型节点设备。

网络后端服务器和第一类型节点设备之间的数据交换经由第一类型节点设备与代理第二类型节点设备之间的短程通信以及代理第二类型节点设备与网络后端服务器之间的远程通信实施。该通信可以基于蜂窝信道并且受诸如(数据报)传输层安全((D)TLS)协议之类的任何现有技术保护。

例如，在短程通信接口是支持蓝牙的接口的情况下，第一类型节点设备可以根据蓝牙标准化协议加入到网络中，该蓝牙标准化协议用于支持蓝牙的设备的发现以及支持蓝牙的设备之间的数据通信。蓝牙相关标准“Mesh profile specification 1.0.1”的Section 2.2.3、3.8、3.95.4和“Core Specification5.1”的Vol 1、Part A、Section2.1.1.3详细披露了该过程，并且通过引用合并于此。例如，短程通信接口处的数据也可以使用可用的加密技术通过安全信道交换。

作为另一个示例，对于支持ZigBee的第一类型节点设备，可以基于当前可用的ZigBee规范来执行配置。本领域技术人员可以设想，第一类型节点设备可以以其他标准化或定制化的方式加入到网络中，这取决于所使用的通信协议。

此后，在步骤32处，用于配置第一类型节点设备的配置器从网络后端服务器获得用于第一类型节点设备的设备特定网络配置数据。

配置器可以由拥有新添加的第一类型节点设备的实体从网络后端服务器可选地经由ABS下载或接收，该实体比如是第三方应用所有者

。可替换地，配置器也可以从诸如Appstore、Google Play等之类的公共目录获得。

可选地，第三方应用所有者可以利用例如受法律文件保护的带外(out of band)方法向网络后端服务器认证它自己以及第一类型节点设备的所有权。第三方应用所有者可以在网络后端服务器具有注册账户，与第一类型节点设备相关联的ABS可以从该账户中安全地检索与第一类型节点设备有关的信息，包括设备特定网络配置数据。

那些检索到的与第一类型节点设备有关的设备特定网络配置数据可以包括唯一设备标识(ID)和相应的DevKey。检索到的信息可以被存储到配置器供以后使用。

在具有多种类型节点设备的网络中，配置器被用于每一种类型的节点设备，这有助于将用于特定类型节点设备的凭证仅针对与该特定类型节点设备相关联的配置器而被保持，从而促进凭证的安全管理。

一种类型的节点设备可能与另一种类型的节点设备在功能上有所不同，如图2中的节点设备所图示，其中节点设备211是照明设备，并且节点设备212是摄像机。

也可能的是，功能相同或相似的节点设备在被不同的所有者拥有时也可以被称为不同类型的节点设备。作为示例，由不同的服务提供商拥有的用于提供网络接入服务的节点被认为是不同的类型，并且因此需要单独的配置器来维护和配置各自的信息，包括用于节点设备的应用凭证。

接下来，在步骤33处，配置器获得用于第一类型节点的应用凭证。应用凭证是应用特定秘密，示例为应用密钥，应用凭证或是其他格式的秘密，比如凭证或公钥/私钥对。应用凭证为配置器和ABS所知，但不为网络后端服务器所知。

在实践中，在收到与第一类型节点设备有关的设备特定网络配置数据之后，ABS将生成它自己的应用密钥(AppKey)并且将此密钥安全地存储在配置器和ABS中。该AppKey只为ABS自身所知，并且可由配置器从ABS获得。这允许用于特定类型的节点设备的凭证保持不被参与配置的其他设备操作，从而确保凭证的安全性。

可替换地，由于ABS接收的设备特定网络配置数据也存储在配置器处，因此配置器也可以操作生成应用凭证。然后，所生成的应用凭证被传输到ABS并被ABS存储。

此后，在步骤34处，第一类型节点设备由配置器配置，该配置器通过配置器与第一类型节点设备之间的短程通信将应用凭证分发给第一类型节点设备。在短程通信接口处分发或传输的应用凭证例如使用可用的加密技术通过安全信道被交换。

例如，带有配置器的操作者被派遣到现场以对第一类型节点设备进行阶段二配置，该配置器中存储了节点ID和相应的DevKey的列表。配置器与第一类型节点设备之间的通信通过第一类型节点设备的短程通信接口实现，比如通过蓝牙实现。

此外，在向第一类型节点设备分发AppKey之前，配置器和第一类型节点设备可以基于唯一设备ID和相应的DevKey相互认证。因此DevKey也被用来保护AppKey从配置器到第二类型节点设备的安全传输。

以这样的方式，即使(例如来自攻击者的)另一个标准蓝牙配置工具可以经由蓝牙接口连接到第一类型节点设备，由于缺乏对DevKey的了解，该配置工具将无法向节点设备认证它自己。因此，它可以防止向节点设备传输假的AppKey。

可选地，配置器可以通知ABS并且还可以经由ABS通知网络后端服务器：第一类型节点设备的配置完成。

因此，本公开的上述过程确保应用凭证以安全且可靠的方式被分发给恰当组或恰当类型的节点设备。这对于包括由不同实体或所有者拥有的各种类型的节点设备的网络而言是特别有利的。

在所有第一类型节点设备被配置之后，节点设备和相关的应用可以以正常方式操作。第一类型节点设备的包括信令消息和应用数据二者的数据将在应用层处利用AppKey进行加密或认证，并且然后利用NetKey进一步保护。第一类型节点设备的受保护的数据随后将在所有网状网络上安全传输，由任何具有共有NetKey的网状节点转发。只有具有恰当AppKey的特定第一类型节点设备可以在应用层处进一步处理数据，例如来自第一类型节点设备的数据仅触发用于应用的另一第一类型节点设备。

由第一类型节点设备生成的应用数据也可以经由作为代理节点的第二类型节点设备被传输到网络后端服务器，第二类型节点设备具有远程蜂窝和短程蓝牙网状模块二者。注意到的是，网络后端服务器和代理节点设备对AppKey一无所知，并且因此它们无法访问第一类型节点设备的应用数据。

可选地，网络后端服务器将第一类型节点设备的用AppKey加密的应用数据转发到ABS，ABS可以利用它自己的AppKey通过解密检索原始数据。同样，网络后端服务器仅执行转发服务，并且对第一类型节点设备的任何应用数据没有访问权，因为它对AppKey一无所知。

在实践中，出于安全考虑，用于第二类型节点设备的应用凭证可由ABS或配置器定期或按需更新。在这种情况下，配置器可选地在步骤34处获得由ABS或配置器本身生成的更新的应用凭证。

更新的应用凭证可以响应于网络中条件的变化而生成。作为示例，尤其当特定类型的节点设备从网络中被移除或被添加到网络并且因此相应的应用也从网络中被移除或被添加到网络时，应用后端服务器可以更新应用凭证，以便减少旧的应用凭证的泄漏风险。

在步骤36处，配置器可以将更新的应用凭证分发给第一类型节点设备，取代旧的应用凭证。该更新步骤也通过第一类型节点设备的短程通信接口的安全通信信道执行。

图4示意性地图示出根据本公开的执行上述方法的配置器40。

配置器40可以在电子设备50上运行。电子设备50至少操作短程通信接口51，比如布置用于与网络中的节点设备进行消息或数据包的短程无线或有线交换的网络适配器或收发器(Tx/Rx)模块。用于在配置器与联网设备或节点之间交换数据的网络协议可以包括ZigBee^TM、蓝牙^TM和基于WiFi的无线网络协议以及有线总线网络，比如DALI^TM(数字可寻址照明接口)、DSI(数字串行接口)、DMX(数字多路复用)和KNX(或基于KNX的系统)以及其他专有协议。

电子设备50进一步包括至少一个微处理器(μP)或控制器52，以及除其他之外用于存储操作软件和包括用于特定类型的节点设备的应用凭证的配置数据或信息的至少一个数据储存库或存储装置或存储器53。

至少一个微处理器或控制器52经由电子设备50的内部数据通信和控制总线54而与短程通信接口51和至少一个数据储存库或存储装置53通信交互并控制短程通信接口51和至少一个数据储存库或存储装置53。

配置器40在电子设备50上运行，并且在功能上可以包括获取设备41和配置设备42，其分别被设置用于执行根据本公开的方法30的步骤。

本公开不限于以上所公开的示例，并且可以由本领域技术人员在如所附权利要求中公开的本公开的范围之外进行修改和增强而不必应用创造性技术，并且供在任何数据通信、数据交换和数据处理环境、系统或网络中使用。

Claims

1.一种配置网络(21)中多个可操作地互连的第一类型节点设备(212)的方法(30)，每个第一类型节点设备(212)包括短程通信接口并且配置用于在网络后端服务器(22)和与所述网络后端服务器(22)分离的应用后端服务器(24)的控制下操作，所述方法(30)包括由与所述第一类型节点设备(212)相关联的应用配置器(25)执行的方法，其包括步骤：

-从所述网络后端服务器获得(32)用于并标识所述第一类型节点设备的设备特定网络配置数据；

-获得(33)用于所述第一类型节点设备的应用凭证，以及

-在使用所述设备特定网络配置数据与所述第一类型节点设备成功进行相互认证之后，通过所述第一类型节点设备的短程通信接口向所述第一类型节点设备中的每一个分发所述应用凭证来配置(34)所述第一类型节点设备；

其中，在获得(32)用于所述第一类型节点设备的所述设备特定网络配置数据的所述步骤之前，每个第一类型节点设备(212)在所述网络后端服务器的控制下加入(31)到所述网络。

2.根据权利要求1所述的方法(30)，其中所述网络(21)进一步包括多个可操作地互连和配置的第二类型节点设备(211)，所述第二类型节点设备(211)中的每一个包括短程通信接口和远程通信接口，每个第一类型节点设备(212)通过与所述网络后端服务器(22)的通信加入(31)到所述网络(21)，所述通信通过所述第一类型节点设备(212)的所述短程通信接口以及用作用于所述通信的代理节点设备的所述第二类型节点设备(211)中的至少一个的远程通信接口和短程通信接口进行。

3.根据前述权利要求中任何一项所述的方法(30)，其中用于所述第一类型节点设备的所述设备特定网络配置数据在网络加入过程(31)期间生成，并且包括每个第一类型节点设备的唯一设备标识和相应的设备凭证。

4.根据前述权利要求中任何一项所述的方法(30)，其中所述设备特定网络配置数据经由所述应用后端服务器从所述网络后端服务器获得。

5.根据前述权利要求中任何一项所述的方法(30)，其中所述应用凭证由所述应用后端服务器生成。

6.根据前述权利要求1至4中的任何一项所述的方法(30)，其中所述应用凭证由与所述第一类型节点设备相关联的所述应用配置器生成。

7.根据前述权利要求中任何一项所述的方法(30)，进一步包括步骤：

-获得(35)用于所述第一类型节点设备的更新的应用凭证；以及

-利用所述更新的应用凭证更新(36)所述第一类型节点设备的所述应用凭证。

8.根据权利要求7所述的方法(30)，其中所述更新的应用凭证由所述应用后端服务器或所述应用配置器响应于所述网络中的条件变化而生成。

9.根据前述权利要求中任何一项所述的方法(30)，其中，每个第一类型节点设备包括作为所述短程通信接口操作的蓝牙无线通信接口，每个第二类型节点设备包括作为所述短程通信接口操作的蓝牙无线通信接口和作为所述远程通信接口操作的无线蜂窝通信接口。

10.根据前述权利要求中的任何一项所述的方法(30)，其中所述应用配置器是可从所述网络后端服务器或在所述混合网络外部的网络源获得的。

11.根据前述权利要求中任何一项所述的方法(30)，其中所述第二类型节点设备是照明设备，并且所述第一类型节点设备是提供除照明服务以外的服务的电子设备。

12.一种用于配置多个可操作地互连的第一类型节点设备(212)的系统(20)，包括所述多个可操作地互连的第一类型节点设备(212)的网络(21)、网络后端服务器(22)、与所述网络后端服务器分离的应用后端服务器(24)、以及应用配置器(25)，其中：

所述网络后端服务器(22)被布置用于通过用网络凭证配置所述第一类型节点设备(212)并生成包括设备特定网络配置数据的网络配置数据来将所述第一类型节点设备(212)加入所述网络(21)中；以及

所述应用配置器(25)与所述第一类型节点设备(212)相关联，所述第一类型节点设备(212)被布置用于依照根据权利要求1至11中任一项所述的方法将所述应用凭证配置给所述第一类型节点设备。

13.根据权利要求12所述的系统(20)，其中所述应用后端服务器(24)被布置用于维护用于所述第一类型节点设备(212)的应用凭证。

14.一种计算机程序产品，包括存储指令的计算机可读介质，所述指令当在至少一个处理器上执行时使所述至少一个处理器实施根据权利要求1-11中任一项所述的方法。