一种面向工程机械物联网感知层网络的通信安全系统及认证方法技术方案

本发明专利技术提供一种面向工程机械物联网感知层网络的通信安全系统。依据工程机械物联网通信架构，重点针对工程机械物联网感知层网络通信安全问题，结合工程机械物联网系统感知层网络特点，将系统感知层网络划分为采集感知层，信息传输层，隔离保护层，并在此基础上，引入可信计算模块，设计各层节点之间的可信度量方案，实现各节点之间的身份认证，能有效抵御感知层节点面临的各种攻击，保证了工程机械物联网感知层通信安全。网感知层通信安全。网感知层通信安全。

【技术实现步骤摘要】
一种面向工程机械物联网感知层网络的通信安全系统及认证方法


[0001]本专利技术涉及一种面向工程机械物联网感知层网络的通信安全系统及认证方法，属于工程机械物联网通信安全


技术介绍

[0002]随着物联网、5G等技术的发展和应用，使得传统的工程机械控制系统逐渐从封闭孤立走向互联，与互联网进行深度融合，逐步实现信息化与智能化，在这个过程中，其整个系统的安全问题尤其是通信安全问题也逐渐显现出来。
[0003]现有的工程机械物联网系统架构分为3个层次：感知层、传输层、应用层。感知层相当于人的感知器官，进行信息的感知与传输，并接受信息驱动控制机器工作，常由核心传感器、智能移动终端、控制驱动执行部件、RFID系统等组成，其通信分为有线通信和无线通信，主要采用CAN总线通信和以太网。传输层相当于人的神经系统，通过各种通信网络和互联网进行数据传输，实现数据信息的共享与交换，主要采用的是无线通信，短距离的主要有Wifi、蓝牙、Zigbee等，用于机器和机器之间的通信，机器与云平台等的通信主要使用GPRS、4G或5G进行通信。应用层相当于大脑，结合传输的感知信息和存储数据，进行数据分析和挖掘，做出相应的决策，主要通过高性能软件处理海量数据，对数据进行分类存储、挖掘与管理，实现远程诊断、工况监控、定位等功能。
[0004]与传统的互联网系统相比，物联网系统增加了感知层网络，其面临的通信安全问题更加复杂。在工程机械物联网系统中，感知层节点数量众多，其硬件结构简单，计算和存储能力较弱，难以使用传统互联网安全防御的解决方案，同时还需要考虑面临的物理攻击问题。
[0005]现有技术中提出的物联网感知层状态与行为的可信度量方法，其实现较为复杂，对TPM芯片等硬件设施要求较高，其中对感知层节点的状态与行为度量，需要使用相关算法进行大量的存储和运算，在很大程度上，增加现有产品的成本，同时实现相对复杂，难以适用于普通的物联网感知层通信网络。
[0006]现有技术的物联网终端安全保护系统，主要设计可信计算模块，对物联网终端进行平台完整性保护，忽略了在物联网感知层中其它节点之间的通信安全问题，在实际中，许多的物联网感知层系统结构复杂，节点数量众多，各个节点的计算能力存储能力等都有较大的区别，该方法对节点的计算存储能力有较大的要求，难以适用，不能保障整个感知层通信网络的安全。

技术实现思路

[0007]本专利技术的目的在于克服现有技术中的不足，提供一种面向工程机械物联网感知层网络的通信安全系统及认证方法，可提高感知层的通信安全性。
[0008]为达到上述目的，本专利技术是采用下述技术方案实现的：
[0009]第一方面，本专利技术提供了一种面向工程机械物联网感知层网络的通信安全系统，所述系统基于工程机械物联网系统架构，所述工程机械物联网系统架构包括执行机构、控制器和监视器、驱动器、传感器、物联网终端、RFID系统；
[0010]包括物理感知层；
[0011]所述物联网感知层包括采集感知层、信息传输层、隔离保护层；
[0012]所述采集感知层的节点用于进行感知，收集信息并传输给信息传输层，包括传感器；
[0013]所述信息传输层的节点用于对采集感知节点的信息统合，并进行初步处理、存储或者转发给隔离保护层，包括控制器；
[0014]所述隔离保护层的节点用于对信息进行加密和解密，将信息进行转发，与外部进行网络通信，包括物联网终端；
[0015]通过身份认证方法进行所述采集感知层的节点与信息传输层的节点间通信以及信息传输层的节点与隔离保护层的节点间通信。
[0016]进一步的，所述身份认证方法包括：
[0017]在信息传输层、隔离保护层节点中嵌入可信计算模块；
[0018]通过可信计算模块，对节点的身份进行度量，产生各自的完整性报告，完整性报告以一套快照的形式显示，其包含了系统组件的完整性信息和声明，实现对节点的身份鉴别；
[0019]所述可信计算模块为一个嵌入式系统的独立安全密码芯片，用于提供完整性度量功能，防止恶意代码获取芯片私钥信息。
[0020]进一步的，信息传输层节点与隔离保护层节点间的身份认证方法包括：
[0021]通过各层节点内的可信计算模块获取节点完整性报告，根据验证节点的身份信息，构建可信的通信环境，保证节点间的通信安全，防止攻击；
[0022]所述身份信息包括完整性报告、硬件信息、序列号、节点类型以及产生的随机数。
[0023]进一步的，控制器和物联网终端身份认证的方法包括：
[0024]控制器和物联网终端，内部包含有可信计算模块，利用该模块进行度量，能够产生各自的完整性报告，控制器完整性报告为Ic，物联网终端完整性报告为It；在物联网终端节点中，还存储有下一级节点的初始完整性报告以及节点的硬件信息、类型序列号，包括控制器、监视器、RFID、GPS终端，下一级节点则会储存上一级节点的完整性报告；
[0025]控制器向物联网终端发出请求接入信号。将自身的硬件信息、序列号、节点类型，时间戳信息用散列算法生成函数H1，结合控制器模块完整性报告，由AIK对该数据信息进行签名，再使用AES
‑
128进行加密，生成控制信息，然后发送控制信息给物联网终端；
[0026]物联网终端模块接收到控制信息之后进行解密，验证时间戳后，对比接收到的控制完整性报告Ic、硬件信息、序列号、节点类型，如果验证通过，则物联网终端的可信计算模块将产生一个随机数，与时间戳信息使用散列算法生成函数H2，结合解密后的控制信息由AIK签名后，使用AES
‑
128算法进行加密，发送给控制器，同时使用安全哈希算法SHA256对随机数加密，生成终端信息并进行存储并发送；
[0027]控制器接收到终端信息后，进行解密，得到物联网平台的完整性报告、时间戳、随机数，先验证时间戳，然后对比接收到的物联网终端完整性报告，验证成功，则对同样使用安全哈希算法对随机数加密，生成加密的随机数信息，并发送给物联网终端；
[0028]物联网终端接收到加密的随机数信息，与计算存储的信息对比，如果相同，则向控制器发送一个证书，在证书有效期内，控制器可以和物联网终端以及采集感知节点进行数据交互，否则认证失败，关闭数据交互。
[0029]进一步的，采集感知层节点与信息传输层节点间身份认证方法包括：
[0030]通过传输层节点对其进行身份验证，将感知节点的相关硬件信息、标识符信息加密后发送给传输层节点，由传输层节点验证该节点的身份，验证通过，则向其发送一个确认符，进行正常通信，否则终止会话。
[0031]进一步的，采集感知层节点与信息传输层节点间身份认证方法包括有线通信身份认证方法和无线通信身份认证方法；
[0032]所述无线通信身份认证方法包括：
[0033]信息传输层节点确认采集端节点可信，传感器将自身的唯一性的身份信息利用AES
‑
128算法加密后，发送给控本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种面向工程机械物联网感知层网络的通信安全系统，所述系统基于工程机械物联网系统架构，所述工程机械物联网系统架构包括执行机构、控制器和监视器、驱动器、传感器、物联网终端、RFID系统；其特征在于，包括物理感知层；所述物联网感知层包括采集感知层、信息传输层、隔离保护层；所述采集感知层的节点用于进行感知，收集信息并传输给信息传输层，包括传感器；所述信息传输层的节点用于对采集感知节点的信息统合，并进行初步处理、存储或者转发给隔离保护层，包括控制器；所述隔离保护层的节点用于对信息进行加密和解密，将信息进行转发，与外部进行网络通信，包括物联网终端；通过身份认证方法进行所述采集感知层的节点与信息传输层的节点间通信以及信息传输层的节点与隔离保护层的节点间通信。2.根据权利要求1所述的通信安全系统，其特征在于，所述身份认证方法包括：在信息传输层、隔离保护层节点中嵌入可信计算模块；通过可信计算模块，对节点的身份进行度量，产生各自的完整性报告，完整性报告以一套快照的形式显示，其包含了系统组件的完整性信息和声明，实现对节点的身份鉴别。3.根据权利要求2所述的通信安全系统，其特征在于，所述可信计算模块为一个嵌入式系统的独立安全密码芯片，用于提供完整性度量功能，防止恶意代码获取芯片私钥信息。4.根据权利要求2所述的通信安全系统，其特征在于，信息传输层节点与隔离保护层节点间的身份认证方法包括：通过各层节点内的可信计算模块获取节点完整性报告，根据验证节点的身份信息，构建可信的通信环境，保证节点间的通信安全，防止攻击。5.根据权利要求4所述的通信安全系统，其特征在于，所述身份信息包括完整性报告、硬件信息、序列号、节点类型以及产生的随机数。6.根据权利要求4所述的通信安全系统，其特征在于，控制器和物联网终端身份认证的方法包括：控制器和物联网终端，内部包含有可信计算模块，利用该模块进行度量，能够产生各自的完整性报告，控制器完整性报告为Ic，物联网终端完整性报告为It；在物联网终端节点中，还存储有下一级节点的初始完整性报告以及节点的硬件信息、类型序列号，包括控制器、监视器、RFID、GPS终端，下一级节点则会储存上一级节点的完整性报告；控制器向物联网终端发出请求接入信号，将自身的硬件信息、序列号、节点类型，时间戳信息用散列算法生成函数H1，结合控制器模块完整性报告，由AIK对该数据信息进行签名，再使用AES
‑
128进行加密，生成控制信息，然后发送控制信息给物联网终端；物联网终端模块接收到控制信息之后进行解密，验证时间戳后，对比接收到的控制完整性报告Ic、硬件信息、序列号、节点类型，如果验证通过，则物联网终端的可信计算模块将产生一个随机数，与...

【专利技术属性】
技术研发人员：郑学兵，魏彬，乔治，
申请(专利权)人：江苏徐工工程机械研究院有限公司，
类型：发明
国别省市：