工業終端設備的離線初始化方法和系統的製作方法
2023-06-04 11:41:36 2
工業終端設備的離線初始化方法和系統的製作方法
【專利摘要】本發明提供一種工業終端設備的離線初始化方法，包括：管理終端獲取輸入的工業終端設備的初始化信息；管理終端與所述工業終端設備建立連接，並將初始化命令發送給所述工業終端設備；工業終端設備響應所述初始化命令；管理終端接收所述響應命令，獲取伺服器密碼機生成的數字證書並籤名；管理終端將所述數字證書和初始化信息發送給工業終端設備；所述工業終端設備接收所述數字證書和初始化信息進行初始化操作，並反饋初始化結果給所述管理終端。本發明還提供對應的系統，能對工業終端設備進行離線初始化，工作效率和安全性能高。
【專利說明】工業終端設備的離線初始化方法和系統
【技術領域】
[0001]本發明涉及工業終端初始化【技術領域】，特別是涉及一種工業終端設備的離線初始化方法，以及一種工業終端設備的離線初始化系統。
【背景技術】
[0002]工業終端設備(如電網的配電終端、負荷終端、計量終端等設備)在應用廣泛應用。典型的分布式工控系統(或分布式數據採集系統)由工控主站(或監控後臺)和工業終端設備組成。
[0003]這些工業終端與工控主站的之間的通信主要是基於IP網絡技術，為解決這一類型系統的業務數據在傳統IP網絡中的機密性、完整性和抗抵賴性，需要在工業終端與工控主站之間部署防護設備(或防護模塊)，即主站防護設備和終端防護設備。設備之間的通信安全性依賴於密鑰的保密性，其中私鑰由設備自行保管，公鑰通過證書方式分配給所有通信對等實體。在一些安全級別要求高的應用場景(如電網生產系統)中為了確保安全性，採用離線方式籤發證書，每增加一臺終端防護設備手工執行如下幾個方面的工作:
[0004]I)生成公私鑰對
[0005]2)數字證書系統籤發該終端防護設備的證書A
[0006]3)將證書A離線頒發給主站防護裝置
[0007]4)將主站證書B頒發給該終端防護設備
[0008]5)將數字證書系統的根證書頒發給該終端防護設備
[0009]6)配置該終端防護設備等等一批配置信息。
[0010]這種工控系統離線證書籤發相比傳統數字證書系統的證書籤發具有如下缺陷:[0011 ] I是傳統數字證書系統籤發的設備更多的是計算機、伺服器或PC機等設備，這些設備的證書安裝過程中都是人為操作，可進行人為的配置操作。而工業終端防護設備是一種工業控制設備，不帶滑鼠、鍵盤、顯示器等通用人機接口 ；而且設備安裝過程中通常不具備計算機相關知識的工程師。
[0012]2是傳統數字證書給設備籤發證書都是採用在線方式，由CA機構(證書授證Certificate Authority中心)進行在線證書籤發,這樣可以將很多配置信息通信在線籤發的協議進行傳輸。而工業終端防護設備的證書籤發為確保其安全性需要採用離線方式進行證書籤發，這樣導致需要將大量的配置信息通過離線方式注入到設備中。
[0013]3是工控主站防護裝置數量通常固定為兩臺或四臺，但終端防護設備一般數量很多，而且隨著工控系統規模增大(如智能電網的建設)，這些終端防護設備的數量會越來越多。而每增加一臺終端防護設備就需要給該終端注入大量的配置信息，同時給主站防護裝置增加該終端防護設備的信息。以每臺終端防護設備配置需要半小時計，一萬個終端防護設備的配置需要6.94個月才能配置完成，對於工控系統的生產、運行和建設帶來極大的不便，效率非常低。
【發明內容】
[0014]基於此，本發明提供一種工業終端設備的離線初始化方法和系統，能對工業終端設備進行離線初始化，工作效率和安全性能高。
[0015]一種工業終端設備的離線初始化方法，包括如下步驟:
[0016]管理終端獲取輸入的工業終端設備的初始化信息；
[0017]管理終端與所述工業終端設備建立連接，並將初始化命令發送給所述工業終端設備;
[0018]工業終端設備響應所述初始化命令；
[0019]管理終端接收所述響應命令，獲取伺服器密碼機生成的數字證書並籤名；
[0020]管理終端將所述數字證書和初始化信息發送給工業終端設備；
[0021]所述工業終端設備接收所述數字證書和初始化信息進行初始化操作，並反饋初始化結果給所述管理終端。
[0022]一種工業終端設備的數字證書離線籤發系統，包括管理終端、工業終端設備和伺服器密碼機，所述工業終端設備和伺服器密碼機分別和所述管理終端連接，其中，所述管理終端包括獲取模塊、連接模塊、籤名模塊和發送模塊；所述工業終端設備包括響應模塊和初始化模塊；
[0023]所述獲取模塊用於獲取輸入的工業終端設備的初始化信息；
[0024]所述連接模塊用於與所述工業終端設備建立連接，並將初始化命令發送給所述工業終端設備；
[0025]所述響應模塊響應所述初始化命令；
[0026]所述籤名模塊用於接收所述響應命令，獲取伺服器密碼機生成的數字證書並籤名；
[0027]所述發送模塊用於將所述數字證書和初始化信息發送給工業終端設備；
[0028]所述初始化模塊用於接收所述數字證書和初始化信息進行初始化操作，並反饋初始化結果給所述管理終端。
[0029]上述工業終端設備的離線初始化方法和系統，通過管理終端獲取輸入的初始化信息，管理終端與工業終端設備建立連接後發送初始化命令，在得到工業終端設備的響應後，調用伺服器密碼機生成數字證書；管理終端對數字證書進行籤名後，將籤名後的數字證書和初始化信息同時發送給工業終端設備進行初始化工作；本發明提高了工業終端設備部署、安裝和初始化的效率，方便大量工業終端防護設備的管理，所有工業終端防護設備的信息和證書都能進行離線管理，工業終端防護設備離線與管理終端直接對連，自動化地進行初始化和證書導入，避免了傳統在線證書存在的網絡安全風險，以及傳統U盤離線拷貝的證書管理安全風險。
【專利附圖】
【附圖說明】
[0030]圖1為本發明工業終端設備的離線初始化方法在一實施例中的流程示意圖。
[0031]圖2為本發明工業終端設備的離線初始化系統在一實施例中的結構示意圖。
[0032]圖3為本發明工業終端設備的離線初始化系統在另一實施例中的結構示意圖。
[0033]圖4為圖3系統的處理流程示意圖。【具體實施方式】
[0034]下面結合實施例及附圖對本發明作進一步詳細說明，但本發明的實施方式不限於此。
[0035]如圖1所示，是本發明一種工業終端設備的離線初始化方法，包括如下步驟:
[0036]S11、管理終端獲取輸入的工業終端設備的初始化信息；
[0037]設備管理人員將需要初始化的設備的初始化信息輸入管理終端；管理終端可為計算機終端，通過在WEB容器中設置終端管理插件，專用於獲取工業終端設備的初始化信息服務。
[0038]在一較佳實施例中，所述初始化信息為所述工業終端設備的配置信息，包括所述工業終端設備的IP位址、網關IP位址和/或與所述工業終端設備連接的無線終端設備的IP位址。
[0039]S12、管理終端與所述工業終端設備建立連接，並將初始化命令發送給所述工業終端設備；
[0040]管理終端與工業終端設備建立連接後，將含主題信息的初始化命令發送給被初始化的工業終端設備；管理終端可能同時與多臺工業終端設備連接，在發送初始化命令時需攜帶被初始化設備的主題信息。
[0041]在一較佳實施例中，所述管理終端與所述工業終端設備建立連接的步驟包括:所述管理終端選擇通過串口方式或網口方式與所述工業終端設備建立連接；
[0042]工業終端設備需進行初始化時，以串口方式或網口方式與管理終端物理連接；管理終端通過檢測埠，選擇通過串口方式或網口方式與所述工業終端設備建立通訊連接，實現兩者的離線通訊。
[0043]S13、工業終端設備響應所述初始化命令；
[0044]工業終端設備在接收到所述初始化命令後進行響應，以保證與管理終端的通訊服務正常，保證後續的數字證書籤發和初始化工作順利進行。
[0045]S14、管理終端接收所述響應命令，獲取伺服器密碼機生成的數字證書並籤名；
[0046]管理終端接收到響應命令，表示當前與工業終端設備通訊正常，可開始執行證書籤發和初始化操作；
[0047]數字證書的獲取，需調用與其連接的伺服器密碼機，由伺服器密碼機生成；伺服器密碼機設備用於提供基本的密碼運算服務，例如實現SM1/SM2/SM3等對稱、非對稱和散列算法，生成數字證書；獲取到伺服器密碼機生成的數字證書，管理終端對其籤名，得到籤名後的數字證書。
[0048]在一較佳實施例中，所述獲取伺服器密碼機生成的數字證書的步驟可包括:
[0049]所述管理終端通過openssl協議和所述伺服器密碼機通訊，在進行通訊時，將伺服器密碼機的密碼算法註冊到openssl協議中，當所述管理終端獲取數字證書時，生成獲取證書請求，通過openssl協議將所述獲取證書請求轉換為對所述伺服器密碼機的證書調用請求，獲得數字證書；
[0050]管理終端通過openssl協議和所述伺服器密碼機通訊，openssl協議用於屏蔽伺服器密碼機底層各種算法的差異，並向上層提供統一的證書處理、籤名/驗籤、數據加解密等功能，使通訊過程更加安全可靠。
[0051]S15、管理終端將所述數字證書和初始化信息發送給工業終端設備；
[0052]在本步驟中，將籤名後的數字證書和輸入的初始化信息一起發送給工業終端設備，提高工業終端設備初始化工作的效率。
[0053]S16、所述工業終端設備接收所述數字證書和初始化信息進行初始化操作，並反饋初始化結果給所述管理終端。
[0054]工業終端設備接收到數字證書和初始化信息後可開始進行初始化操作，完成後將初始化結果反饋給所述管理終端。
[0055]如圖2所示，本發明還提供了一種工業終端設備的數字證書離線籤發系統，包括管理終端21、工業終端設備22和伺服器密碼機23，所述工業終端設備22和伺服器密碼機23分別和所述管理終端21連接，其中所述管理終端21包括獲取模塊211、連接模塊212、籤名模塊213和發送模塊214 ;所述工業終端設備22包括響應模塊221和初始化模塊222 ；
[0056]所述獲取模塊211用於獲取輸入的工業終端設備的初始化信息；
[0057]設備管理人員將需要初始化的設備的初始化信息輸入管理終端21 ;管理終端21可為計算機終端，通過在WEB容器中設置終端管理插件，專用於獲取工業終端設備22的初始化信息服務。
[0058]在一較佳實施例中，所述初始化信息為所述工業終端設備的配置信息，包括所述工業終端設備的IP位址、網關IP位址和/或與所述工業終端設備連接的無線終端設備的IP位址。
[0059]所述連接模塊212用於與所述工業終端設備22建立連接，並將初始化命令發送給所述工業終端設備22 ；
[0060]管理終端21與工業終端設備22建立連接後，將含主題信息的初始化命令發送給被初始化的工業終端設備22 ;管理終端21可能同時與多臺工業終端設備22連接，在發送初始化命令時需攜帶被初始化設備的主題信息。
[0061]在一較佳實施例中，所述連接模塊212還用於選擇通過串口方式或網口方式與所述工業終端設備建立連接；
[0062]工業終端設備22需進行初始化時，以串口方式或網口方式與管理終端21物理連接；管理終端21通過檢測埠，選擇通過串口方式或網口方式與所述工業終端設備22建立通訊連接，實現兩者的離線通訊。
[0063]所述響應模塊221用於響應所述初始化命令；
[0064]工業終端設備22在接收到所述初始化命令後進行響應，以保證與管理終端21的通訊服務正常，保證後續的數字證書籤發和初始化工作順利進行。
[0065]所述籤名模塊213用於接收所述響應命令，獲取伺服器密碼機生成的數字證書並籤名；
[0066]管理終端21接收到響應命令，表示當前與工業終端設備22通訊正常，可開始執行證書籤發和初始化操作；
[0067]數字證書的獲取，需調用與其連接的伺服器密碼機23，由伺服器密碼機23生成；伺服器密碼機23設備用於提供基本的密碼運算服務，例如實現SM1/SM2/SM3等對稱、非對稱和散列算法，生成數字證書；獲取到伺服器密碼機23生成的數字證書，管理終端21對其籤名，得到籤名後的數字證書。
[0068]在一較佳實施例中，所述籤名模塊213還用於通過openssl協議和所述伺服器密碼機23通訊，在進行通訊時，將伺服器密碼機23的密碼算法註冊到openssl協議中，當所述管理終端21獲取數字證書時，生成獲取證書請求，通過openssl協議將所述獲取證書請求轉換為對所述伺服器密碼機23的證書調用請求，獲得數字證書；
[0069]管理終端21通過openssl協議和所述伺服器密碼機23通訊，openssl協議用於屏蔽伺服器密碼機23底層各種算法的差異，並向上層提供統一的證書處理、籤名/驗籤、數據加解密等功能，使通訊過程更加安全可靠。
[0070]所述發送模塊214用於將所述數字證書和初始化信息發送給工業終端設備22 ；
[0071]在本模塊中，將籤名後的數字證書和輸入的初始化信息一起發送給工業終端設備22，提高工業終端設備22初始化工作的效率。
[0072]所述初始化模塊222用於接收所述數字證書和初始化信息進行初始化操作，並反饋初始化結果給所述管理終端21。
[0073]工業終端設備22接收到數字證書和初始化信息後可開始進行初始化操作，完成後將初始化結果反饋給所述管理終端21。
[0074]接下來再通過一具體實施例闡述本發明方案。
[0075]如圖3所示，是實現上述工業終端設備的數字證書離線籤發系統的一個系統結構圖；
[0076]所述的伺服器密碼機設備，用於為系統提供基本的密碼運算服務，該伺服器密碼機主要實現了 SM1/SM2/SM3等對稱、非對稱和散列算法。
[0077]所述的工業終端設備，為本實施例進行證書籤發和初始化的對象。
[0078]所述的證書封裝模塊，主要完成SM2/SM3算法的證書籤發，pkcslO (以下簡稱P#10)格式的證書請求封裝和解析。其中，證書封裝模塊包括密碼機引擎、openssl模塊、證書接口封裝庫、JNI庫等部分。
[0079]其中，密碼機引擎是Openssl和伺服器密碼機設備之間的適配器，按照Openssl引擎的標準進行實現。密碼機引擎將伺服器密碼機設備實現的SM2/SM3算法註冊到openssl中，當openssl需要使用SM2/SM3算法時，密碼機引擎將調用請求轉化為對伺服器密碼機的調用請求。
[0080]其中，openssl用於屏蔽底層各種算法的差異，並向上層提供統一的證書處理、籤名/驗籤、數據加解密等功能。當使用SM2/SM3等算法時,openssl調用註冊該算法的密碼機引擎完成具體的運算。
[0081]其中，證書接口庫是基於openssl提供的基礎功能進行封裝,實現證書的產生、P#10的生成和解析等功能。證書接口庫需要從配置文件中讀取證書模板(包括證書主題項、擴展項等信息的配置模板)、密碼機引擎、私鑰索引等信息。
[0082]其中，JNI庫是實現java與證書接口庫之間的轉接。
[0083]所述的配置文件，用於存放證書模板、密碼機引擎、私鑰索引等信息，供證書接口庫使用。
[0084]所述的終端防護設備通信庫，用於實現與終端防護設備的通信與交互。在與終端防護設備通信上，可採用串口或網口兩種方式，終端防護設備通信庫對兩種通信方式進行抽象，實現統一通信接口，然後再統一通信接口的基礎上實現統一的通信協議，終端防護設備通信庫採用apache mina技術實現。
[0085]所述的服務主程序採用基java的框架和插件機制實現，框架部分實現基本的功能，為插件提供基礎的服務。主程序提供web界面為用戶與系統交互提供接口。
[0086]其中，終端管理插件主要完成工業終端設備的CRUD (增刪查改，Create/Read/Update/Delete)操作和工業終端設備的初始化操作(包括裝置的預錄、初始化參數配置、信息列印、和初始化等功能);
[0087]在初始化終端防護設備時，終端管理插件調用終端防護設備通信庫與終端防護設備進行通信，根據終端防護設備導出的公鑰，結合預錄的終端防護設備信息，調用機構管理插件實現證書籤發。隨後，終端管理插件將預錄的初始化參數和證書一起打包發送給終端防護設備。
[0088]其中，機構管理插件主要提供機構、主站的管理功能，包含導入並解析下級主站的P#10、根據P#10產生主站證書、主站信息的CRUD等功能。
[0089]其中，審計管理插件主要完成用戶基於IE瀏覽器登錄、操作等各種行為的記錄，用於防護本發明系統自身的安全。
[0090]其中，系統管理插件主要完成本發明系統用戶帳號、密碼、帳號角色(包括操作員、系統管理員、安全審計員、安全管理員等角色帳號)的各功能權限配置。
[0091]如圖4所示，是上述工業終端設備的數字證書離線籤發系統的一個處理流程圖；
[0092]步驟1.1:管理員通過IE將需要初始化的終端的信息預錄入到web。
[0093]步驟1.2:web容器調用終端管理插件提供的獲取終端詳細信息服務。
[0094]步驟2:管理員通過IE選擇被初始化的終端的連接方式(包括串口方式和網口方式)。
[0095]步驟3:管理員通過IE執行初始化操作。
[0096]步驟3.1:web容器調用通信庫與被初始化設備建立連接，並將含主題信息的初始化命令的發送給被初始化設備。
[0097]步驟3.2:被初始化設備響應並發送證書P#10請求數據，通信庫將該P#10請求發
送給終端管理插件。
[0098]步驟3.3:終端管理插件向證書封裝模塊發送證書P#10生成請求，證書封裝模塊調用伺服器密碼機設備的SM2/SM3算法運算生成證書，並返回給終端管理插件。
[0099]步驟3.4:終端管理插件向機構管理插件獲取主站證書。
[0100]步驟3.5:終端管理插件將終端的證書、主站證書等初始化數據通過通信庫發送給被初始化設備，並等待初始化結果。
[0101]步驟3.6:終端管理插件將初始化相關信息記錄在籤發系統中。
[0102]本發明工業終端設備的離線初始化方法和系統，通過管理終端獲取輸入的初始化信息，管理終端與工業終端設備建立連接後發送初始化命令，在得到工業終端設備的響應後，調用伺服器密碼機生成數字證書；管理終端對數字證書進行籤名後，將籤名後的數字證書和初始化信息同時發送給工業終端設備進行初始化工作；本發明提高了工業終端設備部署、安裝和初始化的效率，方便大量工業終端防護設備的管理，所有工業終端防護設備的信息和證書都能進行離線管理，工業終端防護設備離線與管理終端直接對連，自動化地進行初始化和證書導入，避免了傳統在線證書的存在的網絡安全風險，和傳統U盤離線拷貝的證書管理安全風險。
[0103]以上所述實施例僅表達了本發明的幾種實施方式，其描述較為具體和詳細，但並不能因此而理解為對本發明專利範圍的限制。應當指出的是，對於本領域的普通技術人員來說，在不脫離本發明構思的前提下，還可以做出若干變形和改進，這些都屬於本發明的保護範圍。因此，本發明專利的保護範圍應以所附權利要求為準。
【權利要求】
1.一種工業終端設備的離線初始化方法，其特徵在於，包括如下步驟: 管理終端獲取輸入的工業終端設備的初始化信息； 管理終端與所述工業終端設備建立連接，並將初始化命令發送給所述工業終端設備； 工業終端設備響應所述初始化命令； 管理終端接收所述響應命令，獲取伺服器密碼機生成的數字證書並籤名； 管理終端將所述數字證書和初始化信息發送給工業終端設備； 工業終端設備接收所述數字證書和初始化信息進行初始化操作，並反饋初始化結果給所述管理終端。
2.根據權利要求1所述的工業終端設備的離線初始化方法，其特徵在於，所述獲取伺服器密碼機生成的數字證書的步驟包括: 所述管理終端通過openssl協議和所述伺服器密碼機通訊，在進行通訊時，將伺服器密碼機的密碼算法注 冊到openssl協議中，當所述管理終端獲取數字證書時，生成獲取證書請求，通過openssl協議 將所述獲取證書請求轉換為對所述伺服器密碼機的證書調用請求，獲得數字證書。
3.根據權利要求1所述的工業終端設備的離線初始化方法，其特徵在於，所述管理終端與所述工業終端設備建立連接的步驟包括: 所述管理終端選擇通過串口方式或網口方式與所述工業終端設備建立連接。
4.根據權利要求1所述的工業終端設備的離線初始化方法，其特徵在於，所述初始化信息為所述工業終端設備的配置信息，包括所述工業終端設備的IP位址、網關IP位址和/或與所述工業終端設備連接的無線終端設備的IP位址。
5.一種工業終端設備的數字證書離線籤發系統，包括管理終端、工業終端設備和伺服器密碼機，所述工業終端設備和伺服器密碼機分別和所述管理終端連接，其特徵在於，所述管理終端包括獲取模塊、連接模塊、籤名模塊和發送模塊；所述工業終端設備包括響應模塊和初始化模塊； 所述獲取模塊用於獲取輸入的工業終端設備的初始化信息； 所述連接模塊用於與所述工業終端設備建立連接，並將初始化命令發送給所述工業終端設備； 所述響應模塊響應所述初始化命令； 所述籤名模塊用於接收所述響應命令，獲取伺服器密碼機生成的數字證書並籤名； 所述發送模塊用於將所述數字證書和初始化信息發送給工業終端設備； 所述初始化模塊用於接收所述數字證書和初始化信息進行初始化操作，並反饋初始化結果給所述管理終端。
6.根據權利要求5所述的工業終端設備的離線初始化系統，其特徵在於，所述籤名模塊還用於通過openssl協議和所述伺服器密碼機通訊，在進行通訊時，將伺服器密碼機的密碼算法註冊到openssl協議中，當所述管理終端獲取數字證書時，生成獲取證書請求，通過openssl協議將所述獲取證書請求轉換為對所述伺服器密碼機的證書調用請求，獲得數字證書。
7.根據權利要求5所述的工業終端設備的離線初始化系統，其特徵在於，所述連接模塊還用於選擇通過串口方式或網口方式與所述工業終端設備建立連接。
8.根據權利要求5所述的工業終端設備的離線初始化系統，其特徵在於，所述初始化信息為所述工業終端設備的配置信息，包括所述工業終端設備的IP位址、網關IP位址和/或與所述 工業終端設備連接的無線終端設備的IP位址。
【文檔編號】H04L9/32GK103532951SQ201310482962
【公開日】2014年1月22日 申請日期:2013年10月15日 優先權日:2013年10月15日
【發明者】江澤鑫, 謝善益, 蘇揚, 曾強, 李海濤, 鍾志明, 周安, 梁智強, 胡朝輝, 梁志宏, 陳炯聰, 黃曙, 餘南華, 林丹生, 李闖, 石煒君, 梁毅成, 黃嶽峰 申請人:廣東電網公司電力科學研究院