CN1874221B - 网络系统和用于操作网络系统的方法 - Google Patents

Abstract

一种与具有唯一标识符的结点(N1)连接的控制网络系统(1)包括用于向结点(N1)分配用于密码通信的第一密钥的KDC4B(3)、用于通过使用第一密钥的密码通信向结点(N1)提供功能名和相应于唯一标识符的第二密钥的PS4B(6)、以及用于响应使用功能名的请求向结点(N1)提供用于使用第二密钥的密码通信的设定信息的PS(7)。

Description

网络系统和用于操作网络系统的方法 

                          技术领域

本发明涉及一种控制网络系统和设定在该控制网络系统上的装置。 

                          背景技术

近些年来，作为世界最大的电脑系统的因特网的使用已经扩展到因特网上透露的信息和服务由访问因特网的外部用户日常利用并且被提供给这些用户这样的程度。使用因特网的新技术以及新的计算机业务都已经得到发展。 

另一方面，在用于建筑物的装备控制的控制网络中，以及在通常的计算机网络中，IP兼容的控制系统的采用已经提高了对终端装置的IP兼容性的要求。然而在这种环境下，IP兼容性被限止在简单的网络层中的IP引进中，且装置控制协议在许多情况下保留不变。而且，对于安全和保护没有得到足够的考虑。 

一方面，许多用于控制装备的装置没有足够的类似个人电脑(PC)的用户界面(UI)，另一方面，IP兼容性要求每个装置的网络设定。一旦所有在控制网络上的结点变成IP可兼容，则要求设定大量的结点。在这种情况下，实体连接和设定每个结点的方法就很昂贵。另一方面，通过使用网络的自动设定会引起安全问题。 

在常规的控制系统网络的装置安装中，装置经常被要求按照网络设计来安放，且在一些情况下，具有唯一ID的给定的装置总是被要求位于指定的位置。这样就进一步引起实际构建工作复杂化的问题。 

因此，最好大量不具有足够用户界面的非昂贵的控制装置可参与到具有足够安全和保护机制的控制网络系统中。而且，最好的是，需要预先在每个结点中设定的信息量也尽可能少，因此每个装置可以从控制网络安全和方便地设定。 

                                 发明内容

本发明的一个方面致力于一种与具有唯一标识符的结点连接的网络系统。在该网络系统中，第一分配装置发出用于密码通信的第一密钥、并向所述结点分配所述第一密钥。第 一提供装置通过使用第一密钥的密码通信向所述结点提供功能名和相应于唯一标识符的第二密钥。第二提供装置根据使用来自所述结点的功能名的请求向该结点提供用于使用第二密钥的密码通信的设定信息。 

                         附图说明

图1是显示根据本发明的一个实施例的控制网络的结构的示意图； 

图2是显示每个装置(结点)的结构的方框图； 

图3是显示密钥分配中心(KDC)的结构的方框图； 

图4是显示密钥监视器的结构的方框图； 

图5是显示起动阶段信息提供服务器(PS4B)的结构的方框图； 

图6是显示控制网络的一个设计实例的框图； 

图7是显示根据本发明的一个实施例的结点设定流程的流程图； 

图8是显示在起动阶段中结点(装置)操作的流程图； 

图9是显示在每个结点中预设定的唯一ID和起动密钥的示意图； 

图10是显示在起动阶段中结点N1中储存的信息的示意图； 

图11是显示在初始阶段中结点(装置)操作的流程图；和 

图12是显示在初始阶段中结点N1中储存的信息的示意图。 

                       具体实施方式

本发明的实施例将参考附图进行如下描述。 

图1是显示根据本发明的实施例的控制网络的结构的示意图。根据该实施例的控制网络1包括DHCP服务器2、起动阶段密钥分配中心(KDC4B)3、密钥分配中心(KDC)4、集合服务器(RS)5、起动阶段信息提供服务器(PS4B)6、正常设定信息提供服务器(PS)7、监视器(I)8和密钥监视器(Kaudit)9。 

控制网络1与每一个都组成一个装置的多个结点(N1，N2，…，Nn)连接。 

图2是显示装置(结点)结构的方框图。每一个装置N1到Nn都包括唯一信息储存单元10、起动信息存储单元11和设定信息存储单元12。每个装置还包括用于从起动阶段信息提供服务器(PS4B)6获取起动信息、并将该起动信息写入起动信息存储单元11的起动信息获取单元13，和用于从正常设定信息提供服务器(PS)7获取设定信息、并将该设定 信息写入设定信息存储单元12的设定信息获取单元14。而且每个装置还包括提供作为正常IP网络装置的功能以及负责利用KDC的通信处理的网络处理单元15。 

图3是显示密钥分配中心(KDC)的结构的方框图。如上所述，KDC被分解成起动阶段KDC(KDC4B)3和正常KDC 4。每一个KDC 3、4都包括作为用于实现通常的密钥分配中心的功能的单元的密钥分配处理单元16和密钥监视器允许获取单元17。例如，集合服务器(RS)5通过使用DNS(域名服务器)技术被实施。图4是显示密钥监视器的结构的方框图。密钥监视器8包括密钥监视器允许通信单元18和密钥监视器允许确认单元19。图5是显示起动阶段信息提供服务器(PS4B)的结构的方框图。起动阶段信息提供服务器(PS4B)6包括具有通常的数据库功能的数据库处理单元20、通信密钥请求单元22、通信密钥存储单元23和起动信息响应单元24。 

在用于常规的控制系统的网络设计中，具有给定的唯一ID(或地址)的装置通常被要求总是位于指定的位置。这在现实的构造工作中是非常麻烦的工作。例如考虑一种情况，该情况中存在作为相同类型的装置的十台空调器。安装和操作这些空调器的工作涉及包括特定建筑物的控制网络的设计者(下面称为“设计者”)、进行实体安装空调器的构建工作的构建公司(下面称为“构建公司”)和制造空调器的卖方(下面称为“卖方”)的三方。 

常规上，设计者被告知特定装置(诸如空调器)的唯一ID，并基于该唯一ID设计控制网络。构建公司在指定位置安装指定的装置。但是，在存在十台相同类型的空调器的情况下，就需要考虑“哪台空调被安装在哪里？”的问题。 

在不存在控制网络设计时，将要被安装的特定的空调器就从库存中的一组空调器中随机选取。然而假设将要被安装到十楼的空调器被错误地安装到九楼，而将要被安装到九楼的空调器被错误地安装到十楼，这在构建设计中是正确的，但在网络中却是错误的，因此需要重建。重建的要求并不能被不具备控制网络设计特性信息的人所理解。 

根据本发明的实施例，在如图1所示的结构中单个的装置N1到Nn被分别指定可互相独立管理的唯一ID(标识符)和功能名。唯一ID是卖方指定的标识符，功能名是控制网络1的设计者指定的标识符。在实体构建工作后通过控制网络1的使用，前述问题通过使该两个标识符彼此关联而得到解决。 

首先，卖方在每个装置(空调器)N1到Nn中嵌入唯一ID。可以设想，该唯一ID的特定实例为连续的号码或以太网(商标)的MAC地址。 

构建公司可以随机安排例如将要连接到控制网络1上的十台相同类型的空调器。另一 方面，控制网络1的设计者预先用诸如“空调器1楼”或“空调器2楼”的功能名设计控制网络1。控制网络的设计实例如图6所示。例如，控制网络1被设计成从安装在一楼的控制台控制“空调器1楼”到“空调器6楼”。 

假定每个装置N1到Nn都在其中嵌入唯一的名字(ID)和起动阶段密钥(起动密钥)。在这些装置被作为结点连接到控制网络1的情况下，在控制网络1上的功能名(Dname)和用于所有后来的通信的通信密钥在该唯一ID的基础上获得。这个阶段被称为“起动阶段”。在该功能名的基础上，结点N1到Nn获得控制网络1上的设定信息。该阶段被称为“初始阶段”。由于安全原因，在起动和初始阶段，采用基于科巴楼司(Kerberos)认证的IPsec通信(密码通信)。关于科巴楼司(Kerberos)证明的详细信息，请参考“RFC1510：The Kerberos Network Authentication Service(V5)J.Kohl，C.Neuman.September1993”，该文的全部内容通过引用而结合在本文中。 

根据本发明的实施例，设计者可以在由他/她自己起的名字中设计控制网络1。构建公司可以在无须考虑其唯一名字的情况下安装装置N1到Nn。卖方可以无须考虑装置装运的目的地的情况下生产该装置并保持装置的库存。 

为了允许装置的生产独立于该装置被设置在其中的控制网络1，唯一ID和起动阶段密钥(起动密钥)被要求嵌入每个装置N1到Nn中，且装置卖方能够简单地隐藏这些ID和密钥。 

装置用户(构建公司等)从卖方获得起动密钥并将其设定在起动阶段KDC(KC4B)3中。作为替代，在涉及数量很少的相当重要的装置的情况下，可以利用实体接触设定默认密钥等，无须使用卖方的默认密钥。 

最后，要求在起动阶段信息提供服务器(PS4B)6中设定哪一个唯一ID与哪一个功能名相关。这个方面的先决条件是由构建公司进行的实体确认和设定。但是，在装置位置可被自动检测(例如通过连接到一个开关)的情况下，前述的关系可在自动装置位置检测的基础上自动设定。 

图7是显示根据该实施例的结点设定流程的流程图。如上所述，结点设定大致被分解为起动阶段ST1和初始阶段ST2。 

图8是显示在起动阶段中结点(装置)操作的流程图，图9是显示在每个结点中预设定的唯一ID和起动密钥的示意图。如图9所示，结点N1具有作为唯一ID的DID1和作为起动密钥的Kb1，结点N2具有作为唯一ID的DID2和作为起动密钥的Kb2，结点Nn具有 作为唯一ID的DIDn和作为起动密钥的Kbn。 

下面将描述在例如结点N1在控制网络1中被设定前的控制网络1的操作方法。 

如图8所述，在步骤ST101中起动结点N1时，结点N1向DHCP服务器2发出DHCP请求。作为响应，DHCP服务器2通知结点N1起动阶段KDC(KDC4B)3的地址、起动阶段KDC(KDC4B)3上的信息(例如科巴楼司(Kerberos)领域)、集合服务器5的地址和时间同步服务器(图未示)的地址。结点N1通过访问时间同步服务器调节其时间。 

接下来，在步骤ST102，结点N1的起动信息获取单元13向集合服务器5询问关于能够响应结点N1的起动阶段信息提供服务器(PS4B)6的问题。假定，例如集合服务器5使用DNS，唯一ID(DID)是基于IEEE的EUI-64的MAC地址，且DID1的值是“0123:4567:89ab:cdef”。唯一ID(DID1)被事先设定在结点N1的唯一信息储存单元10中。在该处理过程中，DID1的值作为搜索密钥被传送到集合服务器5。而且，用于起动阶段的域名也被添加。该域名也可以在DHCP的时间点被提供。假设起动阶段的域名是“boot.local”，DNS的搜索密钥是“f.e.d.c.b.a.9.8.7.6.5.4.3.2.1.0.boot.local”。 

集合服务器5将相应于特定搜索密钥的信息提供服务器(PS)的地址返回到结点N1。在这个阶段，起动阶段由搜索密钥识别，且相应于指定的唯一ID(DID1)的起动阶段信息提供服务器(PS4B)6的地址被返回。具体地，集合服务器(RS)5可以返回起动阶段信息提供服务器(PS4B)6的地址或者诸如完全合格的域名(FQDN)的可转变成地址的ID。 

接下来，在步骤ST103，结点N1从起动阶段KDC(KDC4B)3请求一个密钥以进行与起动阶段信息提供服务器(PS4B)6的安全通信。在该处理过程中，结点N1和起动阶段KDC(KDC4B)3之间的密码通信使用起动密钥Kb1。根据该使用科巴楼司(Kerberos)认证的实施例，首先通过与起动阶段KDC(KDC4B)3的互相证明发行票签，然后提供通信密钥。 

接下来，在步骤ST104，结点N1的起动信息获取单元11用所述票签和从起动阶段KDC(KDC4B)3获得的密钥进行与起动阶段KDC(KDC4B)的互相证明，并且通过密码通信请求诸如功能名和通信密钥的起动信息。与此同时，结点N1通知起动阶段信息提供服务器(PS4B)6结点N1是DID1。 

结点N1的唯一ID即DID1是功能名Dname1的事实被假定在起动阶段信息提供服务器(PS4B)6中预设定。在起动阶段信息提供服务器(PS4B)6中，在接收到起动信息的请求时，通信密钥请求单元22请求从密钥分配中心(KDC)4发出Dname1的通信密钥。顺便提及，这是假定建立了可靠性并且密钥分配中心(KDC)4和起动阶段信息提供服务器(PS4B) 6之间可以进行密码通信。 

在密钥分配中心(KDC)4中，在接收到通信密钥发出请求时，密钥监视器允许获取单元17搜寻密钥监视器(Kaudit)8的认可。在接收到认可请求时，密钥监视器(Kaudit)8的密钥监视器允许通信单元18询问密钥监视器确认单元19关于为此请求认可的通信密钥是否能够被发出的问题。发出允许可以如本实施例的根据现存的条件由密钥监视器确认单元19的程序自动确定，或者由人工确定。一旦通信密钥的发出被允许，密钥监视器允许通信单元18作为向密钥分配中心(KDC)4的回应通知该事实。在检测到一些关于认可请求的非法信息时，密钥监视器(Kaudit)8不向密钥分配中心(KDC)4发出密钥允许(禁止密钥允许)。 

在接收到来自密钥监视器(Kaudit)8的通信密钥发出允许时，密钥分配中心(KDC)4产生通信密钥Kn1，密钥分配处理单元16将Kn1作为Dname1的通信密钥通知起动阶段信息提供服务器(PS4B)6。与此同时，密钥分配中心(KDC)4将Kn1作为Dname1的通信密钥存储。 

在起动阶段信息提供服务器(PS4B)6中，在接收到来自密钥分配中心(KDC)4的通信密钥Kn1时，起动信息响应单元24向结点N1通知功能名Dname1和通信密钥Kn1，如果需要还通知其他的信息。发出的通信密钥Kn1保存在通信密钥存储单元23中。 

结果，如图10所示，包括功能名(Dname1)和通信密钥(Kn1)的起动信息被应用到结点N1并储存在结点N1的起动信息存储单元11中。为了这个目的，出于安全考虑使用非易失性的存储手段。 

图11是显示初始阶段中结点(装置)操作的流程图。 

首先，在步骤ST201，结点N1的设定信息获取单元14向集合服务器5通知作为搜索密钥的功能名Dname1，并询问关于指派给功能名Dname1的信息提供服务器的问题。作为对该询问的响应，集合服务器5返回相应于给定搜索密钥的信息提供服务器(PS)的地址。初始阶段由搜索密钥确定，且相应于指定的功能名Dname1的正常设定信息提供服务器(PS)7的地址被返回。具体地，集合服务器(RS)5可以返回正常设定信息提供服务器(PS)7的地址或者诸如完全合格的域名(FQDN)的可转变成地址的ID。 

接下来，在步骤ST202，结点N1的设定信息获取单元14通过访问基于从集合服务器(RS)5返回的地址规定的正常设定信息提供服务器(PS)7获取设定信息。该设定信息用于使用通信密钥Kn1的密码通信，同时特定的结点进行相应于功能名的功能。 

因此，如图12所示，该设定信息被应用到结点N1，并储存在结点N1的设定信息存储单元12中。如果可能，为了安全原因，非易失性的存储器被用于设定信息存储单元12。 

现在，初始阶段结束，结点N1被完成设定。 

与类似于结点N1的KDC4相关的监视器I1可以在有规律的时间间隔下向Dname1(即结点N1)传送生命确认消息。在该处理过程中，监视器I1使用密码通信路径进行生命确认。在没有给出对于生命确认的响应的情况下，具有功能名Dname1的装置可以知道与KDC4的通信是不可能的，或另外产生安全性错误并因此发出警告。 

虽然上文的叙述涉及结点N1，但其他结点N2，N3，…，Nn也可通过与结点N1相同的操作被设定。 

从上文对本发明的实施例的描述可以理解，即使对于具有大量结点的控制网络，这些结点也可以被安全价廉地设定。 

其他的优点和改进对于本领域的熟练技术人员来说很容易实现。因此本发明在其广阔的各个方面并不局限于本文显示和叙述的具体细节和代表性实施例。因此，可以进行各种修改而不背离由附后的权利要求及其等效内容限定的总体发明概念的精神和范围。 

Claims (12)

1.一种与具有唯一标识符的结点连接的控制网络系统，其特征在于，包括：

第一分配装置，配置成发出用于密码通信的第一密钥、并将所述第一密钥分配给所述结点；

第一提供装置，配置成通过使用第一密钥的密码通信，向所述结点提供对应于所述唯一标识符且与所述结点相关的功能名和第二密钥；和

第二提供装置，配置成根据使用来自所述结点的功能名的请求向该结点提供用于使用第二密钥的密码通信的设定信息。

2.如权利要求1所述的控制网络系统，其特征在于，进一步包括配置成当检测到关于对第一密钥的认可请求的非法信息时禁止第一分配装置发出第一密钥的第一监视装置。

3.如权利要求1所述的控制网络系统，其特征在于，进一步包括配置成发出相应于所述功能名的通信密钥，并将该通信密钥作为第二密钥分配到第一提供装置的第二分配装置。

4.如权利要求1所述的控制网络系统，其特征在于，进一步包括配置成当检测到关于对第二密钥的认可请求的非法信息时禁止第二分配装置发出第二密钥的第二监视装置。

5.如权利要求1所述的控制网络系统，其特征在于，进一步包括配置成通过将生命确认消息传送到结点并确定来自结点的对生命确认消息的响应的存在或不存在来监视所述结点以确定结点的安全性故障的第三监视装置。

6.如权利要求1所述的控制网络系统，其特征在于，所述结点中嵌入有用于与第一分配装置的密码通信的起动阶段密钥。

7.一种操作连接到具有唯一标识符的结点的网络系统的方法，其特征在于，该方法包括：

由第一分配装置发出用于密码通信的第一密钥，并将来自第一分配装置的所述第一密钥分配给所述结点；

通过使用第一密钥的密码通信将相应于唯一标识符且与所述结点相关的功能名和第二密钥从第一提供装置提供给所述结点；和

根据使用来自结点的功能名的请求将用于使用第二密钥的密码通信的设定信息从第二提供装置提供给所述结点。

8.如权利要求7所述的方法，其特征在于，进一步包括当检测到关于对第一密钥的认可请求的非法信息时禁止第一分配装置发出第一密钥。

9.如权利要求7所述的方法，其特征在于，进一步包括发出相应于所述功能名的通信密钥，并将所述通信密钥作为第二密钥分配给第一提供装置。

10.如权利要求7所述的方法，其特征在于，进一步包括当检测到关于对第二密钥的认可请求的非法信息时禁止第二分配装置发出第二密钥。

11.如权利要求7所述的方法，其特征在于，进一步包括通过将生命确认消息传送到结点并确定来自结点的对生命确认消息的响应的存在或不存在来监视结点以确定结点的安全性故障。

12.如权利要求7所述的方法，其特征在于，所述结点中嵌入有用于与第一分配装置的密码通信的起动阶段密钥。

Images