CN202153753U - 一种工业互联网分布式***远程通讯服务装置 - Google Patents

Abstract

本实用新型公开了一种工业互联网分布式***远程通讯服务装置，在该装置中集合对用户及服务器的身份及访问操作权限进行认证和授权的模块，对用户或服务器的访问操作进行审计的模块，对用户及服务器访问的对象资源进行统一资源定位的模块。有效确保接入工业互联网分布式***并获取信息/服务的用户或服务器身份的安全性、权限有效性。并且，使得工业互联网中用户及服务器无需获知所需对象资源的实际存储位置，只需通过分布式***统一的资源定位平台，即可定位到对应的服务器，获取所需的对象资源，实现快速、方便，满足分布式环境下的需求。

Description

一种工业互联网分布式***远程通讯服务装置

技术领域

 本实用新型涉及一种工业互联网分布式***远程通讯服务控制技术。

背景技术

随着工业自动化控制的迅速发展，愈来愈多的工业企业使用其内部（或专用）网络将其生产过程专用设备或工业智能设备（Intelligent Electric Device - IED）互联在一起，形成生产控制***网络。这种工业企业用内部（或专用）网络称之为工业互联网。

大型企业，如电力公司、油气输送企业、以矿产资源勘查和开发为主的大型矿业集团，其控股公司往往分布在全国乃至全球各地，仅使用内部网络无法满足其信息交互需求。随着工业互联网的发展，工业互联网不再局限于一个场站或一个城市，利用已有公众网络（万维互联网）的硬件和软件设施，将两个或更多个工业互联网进行通讯连接，使得一个中心控制***能对所有个子生产控制***进行监督和控制，也使得多个子生产控制***之间能相互通讯，形成一个更大的工业互联网，对其资源进行更优化控制和使用。

并且，为了提高***运行效率、均衡负载，提高***稳健性，工业互联网通常使用分布式***，提供分布式数据库、分布式服务等，由工业互联网中不同的服务器分别进行信息采集、数据存储、信息处理、传输、提供服务等。工业互联网分布式***是一个一体化的***，在整个***中要有一个全局的操作***（即分布式操作***），它负责全***（包括每台计算机）的资源分配和调度、任务划分、信息传输、控制协调等工作，并为用户提供一个统一的界面、标准的接口。这个分布式操作***一般位于工业互联网的中心控制***。有了分布式操作***，用户通过统一界面实现所需操作和使用***资源，至于操作是在哪个计算机上执行的或使用的是哪个计算机的资源则是***的事，用户是无须了解，也就是说***对用户是透明的。

由于工业互联网中传输的信息均为工业内部信息，提供的服务为内部服务，因此对信息的安全性和保密性有极高要求。为了确保安全性，在工业互联网中，在获取服务或数据、信息之前，用户、客户端及应用进程均需要进行相应的身份认证。认证的实质就是证实被认证对象是否属实和是否有效的过程。一般采用密码技术，使用数字证书验证被认证对象，达到确认被认证对象是否真实、有效的目的。

只有在通过身份识别和鉴别后，才利用其所请求服务所在的IP地址来建立虚拟通道（VPN），通过VPN连接到提供对应服务的服务器，获取相应服务、数据、信息等。VPN 即虚拟专用网，是通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。

然而，对于工业互联网分布式***，仅对用户、客户端和应用进程进行身份认证，其安全等级对于要求高保密性的工业互联网而言是不够的。并且，仅利用IP地址建立VPN来保障通信安全的方式对于分布式***而言同样是不够的。对于现有的工业互联网分布式***而言，迫切需要一个适用于分布式***、能够保障数据的安全需求（即数据的机密性、完整性以及不可否认性）的网络远程通讯服务装置。

发明内容

本实用新型主要解决的技术问题是提供一种工业互联网分布式***远程通讯服务装置，使得在采用分布式技术的工业互联网的安全性得到保障的同时，满足工业互联网在分布式环境下的资源定位需求。

为了解决上述技术问题，本实用新型提供了一种工业互联网分布式***远程通讯服务装置，包含网络通讯端口，通过内部专网或公共网络与所述工业互联网中服务器或客户端相连，还包含：

一对用户和服务器的身份及访问操作权限进行认证的认证授权模块，一对用户或服务器的访问操作进行审计的审计模块，一对用户或服务器访问操作的对象资源进行存储位置定位控制的资源定位模块；

所述认证授权模块、审计模块和资源定位模块均与所述网络通讯端口相连；所述认证授权模块通过所述网络通讯端口接收来自用户客户端或服务器的身份认证信息，完成身份及访问操作权限的认证和授权；所述审计模块通过所述网络通信端口接收来自用户客户端或服务器的访问操作信息，完成对所述访问操作的审计；所述资源定位模块与所述审计模块相连，从所述审计模块获取所述访问操作信息是否通过审计的信息，完成对通过审计的访问操作的对象资源的存储位置的定位。

作为上述技术方案的改进，该装置还可以包含一对数字证书进行基本管理操作的证书授权中心和一证书库，所述基本管理操作至少包括证书颁发、索引、存储和吊销；

所述证书授权中心与所述认证授权模块相连，所述证书库分别与所述证书授权中心和所述认证授权模块相连，所述证书授权中心为用户颁发证书过程中，通过所述认证授权模块为用户分配角色和权限，所述证书授权中心为该用户颁发包含角色信息的数字证书，并将该数字证书保存在证书库；所述认证授权模块从所述证书库获取用户的数字证书，完成对用户身份及访问操作权限的认证。

作为上述技术方案的改进，该装置还可以包含一资源管理模块，与所述资源定位模块相连，管理与维护***全局的组件资源库、配置资源模板库、公共信息模型CIM模式描述文件和CIM模型语义模型库。

作为上述技术方案的改进，该装置还可以包含一保存不同角色的用户对应的权限信息的权限数据库，与所述认证授权模块相连；

所述认证授权模块在验证数字证书有效性的情况下，根据数字证书中的用户名信息和角色信息关联所述权限数据库，获取该用户的权限，完成对该用户权限的认证。

作为上述技术方案的改进，所述资源定位模块还可以进一步包含：记录服务器在线资源部署信息的子模块；实现服务-资源-存储位置动态绑定的子模块。

本实用新型实施方式与现有技术相比，主要区别及其效果在于：为工业互联网设置一个适合分布式环境的远程通讯服务装置，在该装置中集合对用户及服务器的身份及访问操作权限进行认证和授权的模块，对用户或服务器的访问操作进行审计的模块，对用户及服务器访问的对象资源进行统一资源定位的模块。有效确保接入工业互联网分布式***并获取信息/服务的用户或服务器身份的安全性、权限有效性。并且，使得工业互联网中用户及服务器无需获知所需对象资源的实际存储位置，只需通过分布式***统一的资源定位平台，即可定位到对应的服务器，获取所需的对象资源，实现快速、方便，满足分布式环境下的需求。

附图说明

下面结合附图和具体实施方式对本实用新型作进一步详细说明。

图1是本实用新型一较佳实施方式中远程通讯服务装置与分布式***中服务器/客户端连接结构示意图；

图2是本实用新型一较佳实施方式工业互联网分布式***远程通讯服务装置结构图。

具体实施方式

为使本实用新型的目的、技术方案和优点更加清楚，下面将结合附图对本实用新型的实施方式作进一步地详细描述。

本实用新型一较佳实施方式涉及一种工业互联网分布式***远程通讯服务装置，作为工业互联网分布式***的安全控制机构和分布式平台，其包含网络通讯端口，通过专用网络（内部网络）或公共网络与工业互联网中所有服务器及客户端直接或间接连接。这些服务器可以在工业互联网的不同区域，实现不同的服务、操作等，如各服务器可以分布在不同区域的一级主站、二级主站、甚至子站。客户端可以在任何区域通过网络连接到该装置，如图1所示。

本实施方式中，客户端通过该装置实现身份认证，登录分布式***，确定自身权限，定位所需访问操作的对象资源（权限范围内的），最终在权限范围内获取所需服务。服务器通过该装置实现身份认证，登录分布式***，确定自身权限，通过该装置定位并在权限范围内获取所需的对象资源，在权限范围内为用户提供服务等。并且，该远程通讯服务装置除了对客户端和服务器的身份和权限进行认证授权外，还在用户和服务器完成资源定位、连接到所定位的服务器后，进一步对用户及服务器的每个操作进行审计，确保其所执行的操作所获取的服务均在其权限范围内。通过多方位的多重认证审计机制，确保工业互联网分布式***的安全性和稳定性。

具体地说，本实施方式的远程通讯服务装置主要包含：一对用户和服务器的身份及访问操作权限进行认证的认证授权模块，一对用户或服务器的访问操作进行审计的审计模块，一对用户或服务器访问操作的对象资源进行存储位置定位控制的资源定位模块。

认证授权模块、审计模块和资源定位模块均与网络通讯端口相连；认证授权模块通过网络通讯端口接收来自用户客户端或服务器的身份认证信息，完成身份及访问操作权限的认证和授权；审计模块通过网络通信端口接收来自用户客户端或服务器的访问操作信息，完成对访问操作的审计；资源定位模块与审计模块相连，从审计模块获取访问操作信息是否通过审计的信息，完成对通过审计的访问操作的对象资源的存储位置的定位。在具体实施中，审计模块一般与认证授权模块相连，审计模块可以调用认证授权模块，完成对执行该访问操作的客户端/服务器的身份及权限的认证，确定访问操作是否合法；也可以直接对客户端/服务器的身份及权限进行认证，确定访问操作是否合法。

作为上述技术方案的改进，该装置还可以包含一对数字证书进行基本管理操作的证书授权中心和一证书库，基本管理操作至少包括证书颁发、索引、存储和吊销。

证书授权中心与认证授权模块相连，证书库分别与证书授权中心和认证授权模块相连，证书授权中心为用户颁发证书过程中，通过认证授权模块为用户分配角色和权限，证书授权中心为该用户颁发包含角色信息的数字证书，并将该数字证书保存在证书库；认证授权模块从证书库获取用户的数字证书，完成对用户身份及访问操作权限的认证。

作为上述技术方案的改进，该装置还可以包含一资源管理模块，与资源定位模块相连，管理与维护***全局的组件资源库、配置资源模板库、公共信息模型（Common Information Model，简称“CIM”）模式描述文件和CIM模型语义模型库。

作为上述技术方案的改进，该装置还可以包含一保存不同角色的用户对应的权限信息的权限数据库，与认证授权模块相连。认证授权模块在验证数字证书有效性的情况下，根据数字证书中的用户名信息和角色信息关联权限数据库，获取该用户的权限，完成对该用户权限的认证。

作为上述技术方案的改进，资源定位模块还可以进一步包含：记录服务器在线资源部署信息的子模块；实现服务-资源-存储位置动态绑定的子模块。

综上所述，本实施方式中，用户要访问工业互联网中的服务，首先需要登录工业互联网分布式***远程通讯服务装置，由认证授权模块对用户的身份进行认证并确定其权限，向用户返回与其权限相对应的用户界面（用户界面上仅包含该用户有权限的操作）。每当用户需要通过客户端进行具体的访问操作时，由审计模块进一步对用户的访问操作权限进行审计，如果审计通过则允许其进行该次访问操作，如果审计不通过则禁止该次访问操作，确保***安全性。并且，用户无需知道所请求服务位于那台服务器，用户无论需要进行什么访问操作，均只需向远程通讯服务装置进行请求，由资源定位模块为用户进行资源定位，确定所需服务对应的对象资源所在的位置，根据资源定位模块返回的结果，找到对应的服务器获取相应服务即可。

虽然通过参照本实用新型的某些优选实施方式，已经对本实用新型进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种改变，而不偏离本实用新型的精神和范围。 

Claims (5)

1.一种工业互联网分布式***远程通讯服务装置，包含网络通讯端口，通过内部专网或公共网络与所述工业互联网中服务器或客户端相连，其特征在于，还包含：

一对用户和服务器的身份及访问操作权限进行认证的认证授权模块，一对用户或服务器的访问操作进行审计的审计模块，一对用户或服务器访问操作的对象资源进行存储位置定位控制的资源定位模块；

所述认证授权模块、审计模块和资源定位模块均与所述网络通讯端口相连；所述认证授权模块通过所述网络通讯端口接收来自用户客户端或服务器的身份认证信息，完成身份及访问操作权限的认证和授权；所述审计模块通过所述网络通信端口接收来自用户客户端或服务器的访问操作信息，完成对所述访问操作的审计；所述资源定位模块与所述审计模块相连，从所述审计模块获取所述访问操作信息是否通过审计的信息，完成对通过审计的访问操作的对象资源的存储位置的定位。

2.根据权利要求1所述的工业互联网分布式***远程通讯服务装置，其特征在于，该装置还包含一对数字证书进行基本管理操作的证书授权中心和一证书库，所述基本管理操作至少包括证书颁发、索引、存储和吊销；

所述证书授权中心与所述认证授权模块相连，所述证书库分别与所述证书授权中心和所述认证授权模块相连，所述证书授权中心为用户颁发证书过程中，通过所述认证授权模块为用户分配角色和权限，所述证书授权中心为该用户颁发包含角色信息的数字证书，并将该数字证书保存在证书库；所述认证授权模块从所述证书库获取用户的数字证书，完成对用户身份及访问操作权限的认证。

3.根据权利要求1所述的工业互联网分布式***远程通讯服务装置，其特征在于，该装置还包含一资源管理模块，与所述资源定位模块相连，管理与维护***全局的组件资源库、配置资源模板库、公共信息模型CIM模式描述文件和CIM模型语义模型库。

4.根据权利要求2所述的工业互联网分布式***远程通讯服务装置，其特征在于，该装置还包含一保存不同角色的用户对应的权限信息的权限数据库，与所述认证授权模块相连；

所述认证授权模块在验证数字证书有效性的情况下，根据数字证书中的用户名信息和角色信息关联所述权限数据库，获取该用户的权限，完成对该用户权限的认证。

5.根据权利要求1至4中任意一项所述的工业互联网分布式***远程通讯服务装置，其特征在于，所述资源定位模块还进一步包含：

记录服务器在线资源部署信息的子模块；

实现服务-源-存储位置动态绑定的子模块。

Images