面向智慧礦山的設備通信協議設計

賀海濤

(神東煤炭集團有限責任公司,陜西 神木 719300)

0 引 言

物聯網、人工智能、大數據及新一代通信技術迅速發(fā)展,其在裁決系統、監(jiān)控系統、運輸系統等礦山系統深度應用,加快了礦山信息化、智能化的步伐。海量智能化儀器、設備、傳感器也導致了智慧礦山網絡數據傳輸的實時性和安全性面臨巨大挑戰(zhàn)。以數據加密、身份認證、訪問控制、Switched Ethernet技術為代表的智慧礦山通信技術可以抵御數據惡意竊取、保障數據實時傳輸,是智慧礦山建設的關鍵與基礎,對于礦山數據的安全性與實時性具有重要意義。智慧礦山通信技術也在礦山生產、調度、管理、救援等領域起到重要作用,實現礦山各設備之間的數據交互、智能化識別、定位、跟蹤、監(jiān)管等功能[1-2]。

當前許多工作聚焦于礦山通信協議研究,解決了不同場景下智慧礦山數據的實時、安全傳輸問題。然而,現有礦山通信協議仍存在局限,在協議開放性、實時性、安全性等方面有進一步的改進空間。以智慧礦山中常用的EtherNet/IP[3]、EtherCAT[4]、Modbus[5]工控通信協議為例,EtherNet/IP協議采用周期性輪詢的方式,時間或事件觸發(fā),多波或簡單的點對點連接的通信機制來適應礦山場景對實時性的要求,但無法滿足礦山系統的硬實時性要求[6];EtherCAT協議具有較好的實時性能和拓撲的靈活性,但由于私有化定制以及企業(yè)盈利的目的,導致該協議在開放性方面有所欠缺[7];Modbus協議規(guī)定通過一般的差分電路傳輸數據,通信距離較遠,但是不支持加密傳送,傳輸數據的安全性無法得到有效保障[8]。

針對EtherNet/IP、EtherCAT、Modbus協議的局限性,文獻[9-10]提出通過異常檢測、優(yōu)化輪詢、構建新型網絡架構等方式改善礦山協議。文獻[9]對工業(yè)以太網通信協議提出棧結構優(yōu)化方案,但僅集中于實時性和安全性方面的提升,未將多協議共存時設備互通互聯的開放性問題納入考量;文獻[10]立足于傳統工業(yè)物聯網智慧化過程中平臺多協議統一化的趨勢,較好地解決了其開放性、實時性問題,卻忽略了對數據安全性的分析。盡管工業(yè)已有對通信協議從多方面進行改善的嘗試,但現有研究[9-10]缺少對常見協議全方面、多角度的統籌分析,沒有形成統一的標準體系,阻礙了礦山通信整體性能的提升。智慧礦山產業(yè)亟需構造一種滿足三方面需求的新通信架構。

基于上述分析,該文以智慧礦山工業(yè)通信的分層體系結構為基礎,對礦山通信協議中存在的開放性、實時性和安全性三方面問題進行了深入研究并設計了解決方案。針對智慧礦山設備通信協議的開放性問題,該文在礦鴻通信協議的基礎上引入了動態(tài)地址命名解析服務,提出了適用于異構網絡的統一數據模型與通信協議的信息交互方案,提高了礦山系統的開放性;針對智慧礦山設備通信的實時性問題,該文結合分布式軟總線與鄰居發(fā)現協議設備間信息的自動交換,并通過軟總線組網和輕量化協議分別解決了設備間不同協議交互和傳統協議模型精簡的問題,構建了降低礦山數據傳輸時延的方案,滿足了礦山通信場景對實時性的需求;針對智慧礦山設備通信的安全性問題,該文通過完善身份認證機制、構建礦山設備傳輸安全環(huán)境、保障全生命周期的數據安全,建立了集成身份認證、設備認證、數據通道認證的三重認證機制,對礦山數據安全起到了強力保障。該研究有助于形成數據互聯互通的標準化通信體系,促進智慧礦山行業(yè)信息化改造的高效發(fā)展,實現真正意義上的數字化、信息化、智慧化礦山。

1 智慧礦山通信系統模型

針對智慧礦山設備互聯互通的數據交互需求,設計了智慧礦山工業(yè)通信分層體系結構,如圖1所示。該體系結構由感知控制層、網絡傳輸層、數據平臺層及智能應用層四部分組成。

圖1 智慧礦山工業(yè)通信的分層體系結構

感知控制層負責智慧礦山工業(yè)通信的信息采集及傳輸[11]。該層借助各類傳感器、數碼相機等智能終端設備對礦山環(huán)境和礦山生產資源相關數據進行采集,通過短距離傳輸技術、自組網技術、協同信息處理技術、傳感器中間件技術等對采集數據進行初步處理。

網絡傳輸層負責智慧礦山工業(yè)通信的信息交互。該層將感知層數據進行近距離接入和遠距離傳輸,通過工業(yè)環(huán)網、管理環(huán)網等有線網絡以及4G、5G、WiFi6等無線網絡進行標識解析、地址管理、信息發(fā)送、信息存儲等。

數據平臺層負責智慧礦山工業(yè)通信海量數據管理。該層針對由感知控制層采集、網絡傳輸層分發(fā)、多物聯網信息協同平臺匯聚的多種類、大數量的礦山工業(yè)相關數據,通過云計算等手段實現數據分析、挖掘和利用[12]。

智能應用層負責智慧礦山工業(yè)通信的用戶交互。結合海量數據與行業(yè)需求,該層為用戶提供豐富的礦山工業(yè)物聯網應用,如智能巡檢、安全監(jiān)控、故障預警、智能產排等[13]。

針對礦山設備通信系統中面臨的開放性、實時性和安全性問題,該文基于智慧礦山工業(yè)物聯網通信的分層體系結構,提出智慧礦山通信協議改進方案,如圖2所示。

圖2 智慧礦山設備通信協議改進方案

通過動態(tài)地址命名解析服務對礦鴻通信協議HCP做出改進,提高其對泛在移動性和異構網絡的適應能力以解決通信中的開放性問題,通過結合分布式軟總線技術和鄰居發(fā)現協議、軟總線組網技術、輕量化協議技術提高通信實時性,通過身份認證、安全環(huán)境構建和數據全周期安全管理保障通信過程的安全進行。

2 智慧礦山設備通信協議設計

2.1 智慧礦山設備通信協議開放性設計

協議的開放性對于設備的互聯互通尤為重要,協議的開放能夠提高數據的流通性,增強設備之間的通信能力。要實現智慧礦山系統的開放性,必須要解決兩個關鍵問題:①數據模型和表示方式,即發(fā)送方如何表示自己提供的信息和服務,需確定信息內容、組織方式、信息格式等。②交互協議問題,即發(fā)送方與接收方之間如何實現通信,需確定通信步驟、通信接口、消息格式等。

該文提出通過礦鴻通信協議HCP和動態(tài)地址命名解析服務來解決礦山系統的開放性問題。HCP協議棧被細分五層,分別為接口層、模型層、服務層、安全層、傳輸層。接口層負責協議棧對上層業(yè)務應用的總體能力呈現,模型層負責支撐配置管理、設備控制等子模塊的邏輯實現,服務層負責協議棧的對上接口能力實現,安全層負責提供協議棧進行各類設備間業(yè)務交互過程中的安全保障能力,傳輸層負責設備之間業(yè)務會話可達性、各類業(yè)務操作指令、模型抽象編碼的消息報文格式定義、邏輯通道的連接管理及服務質量的優(yōu)先級調度。通過各層之間的相互作用,HCP統一了礦山設備的數據模型和傳輸協議,解決了智慧礦山系統的開放性問題。

HCP有效解決了礦山系統在傳輸層、會話層、表示層以及應用層的開放性需求,然而傳統的基于IP地址的靜態(tài)命名解析服務缺少對泛在移動性和異構性的適應能力,難以實現對異構地址類型和新型映射機制的兼容,導致礦山系統網絡核心機制難以拓展,無法滿足礦山在網絡層開放性的發(fā)展需求。

針對此問題,在HCP的基礎上,該文提出通過動態(tài)地址命名解析服務,進一步實現礦山系統在網絡層的開放性,如圖3所示。該命名服務基于xml,通過網絡對象的元素屬性,如:addr_name表示地址類型名稱,用以實現網絡對象命名空間的標識,addr_struct表示地址結構,addr_blocks表示地址塊數目,cons_method表示地址構造方法,實現對地址模型的詳細描述。該命名服務不僅可以實現對現有模型的描述,同時還可以根據礦山設備業(yè)務需求自定義或擴展引入其他類型的地址模型,使得所有的地址模型之間相互理解,提高網絡層的拓展性[14]。針對動態(tài)地址解析服務,該文提出構造一張存儲網絡對象間綁定關系的動態(tài)解析關系表,通過該表的逆向遍歷實現動態(tài)解析。具體過程如下:在動態(tài)解析關系表中查找對象索引,獲得對象索引對應的解析位置及解析機制,再以解析得到的對象為索引繼續(xù)查找動態(tài)解析關系表,以此形成完整的動態(tài)解析鏈,實現從名字到轉發(fā)端口的映射。如在應用層與網絡層之間增加新的協議層,則可查找動態(tài)解析關系表,通過對應的解析協議將域名解析為新協議層對象,繼續(xù)查找動態(tài)解析關系表將新協議層對象解析為IP,再利用ARP將IP解析為對應的MAC地址。該方法在保證原有體系結構兼容性的同時實現了傳統體系結構中新協議層和解析機制的透明引入[15],滿足了礦山系統在網絡層的開放性需求。

圖3 設備通信開放性實現結構

2.2 智慧礦山設備通信協議實時性設計

2.1節(jié)對智慧礦山通信協議做了開放性的研究,改進后的協議保證了原有協議的兼容性,實現了礦山系統在網絡層的開放性的需求,增強了礦山系統設備間的通信能力。但在實時性上仍存在設備發(fā)現效率低、協議層復雜等問題,無法滿足礦山系統中對實時性高的設備的需求。該文提出采用分布式軟總線技術結合鄰居發(fā)現的協議、異構網絡組網和輕量化協議的方式,能夠減少礦山系統設備發(fā)現所需的時延,提高數據的帶寬,提升數據傳輸能力,滿足礦山系統設備對實時性的需求。

在介紹分布式軟總線結合鄰居發(fā)現、異構網絡組網和輕量化協議的實時性方案前,先簡要介紹方案背景。在計算機系統中,各部件之間傳送信息的數據通路就是總線,設備間通過總線傳輸數據前需要先發(fā)現并建立網絡連接,傳統的設備發(fā)現需要用戶手動配置或動態(tài)尋址的方式,但是由于礦山環(huán)境天然的復雜性,傳感器設備眾多,環(huán)境對于網絡的干擾性強,傳感器設備加入網絡并建立連接的過程也占用了大量時間,通過傳統設備發(fā)現方式對智慧礦山影響設備通信系統的實時性影響較大[16]。傳統的設備互聯方面,不同的設備廠商需要適配不同的網絡協議和標準規(guī)范,設備間組網和解耦較為復雜。礦山系統中大量的設備和傳感器間組網和解耦的過程,造成大量的時間開支,影響礦山系統的實時性[17]。

該文提出采用分布式軟總線技術結合鄰居發(fā)現協議,提升智慧礦山設備通信系統的實時性。分布式軟總線技術支持設備間自發(fā)現,近場同賬號的設備可以相互感知,并交換彼此的設備信息,在用戶需要觸發(fā)業(yè)務時,周邊設備可直接出現,達到“零等待”的體驗。除了加快設備的發(fā)現和傳輸,在數據傳輸速率上也獲得了極大提升,最高160 MB/s的速度使得礦山系統在傳輸4K視頻文件時,也依然能夠做到“秒傳”。對于傳感器設備而言,由于傳感器本身具有體積小的特點,因此傳感器節(jié)點往往采用電池供電,這決定了傳感器網絡節(jié)點應盡可能節(jié)省能耗[18]。為了減少能耗并縮短傳感器節(jié)點的發(fā)現時間,在礦山系統中,采用多信道鄰居發(fā)現的方式。在IEEE802.15.4標準中明確定義了16個互不干擾的信道,在鄰居發(fā)現過程中,主動發(fā)現節(jié)點和被動待發(fā)現節(jié)點采用相同的喚醒調度模式,當主動發(fā)現節(jié)點和被動待發(fā)現節(jié)點掃描至相同信道時,兩者便實現了網絡發(fā)現并建立連接。這種連接方式既能夠較好地適應礦山的復雜環(huán)境,又能夠適應礦山系統傳感器設備動態(tài)加入和退出網絡連接的需求,滿足礦山系統對實時性的要求。

除了上述的方式提升實時性外,該文還提出了異構網絡組網和輕量化協議的技術方案。異構網絡組網可以自動構建一個邏輯全連接網絡,以解決設備間不同協議交互的問題。設備上線后會向網絡層注冊,同時網絡層會與設備建立通道連接,實時檢測設備的變換。網絡層負責管理設備的上線、下線變換,設備間可以監(jiān)聽自己感興趣的設備,設備上線后可以立即與其建立連接,實現零等待體驗。傳統的通信協議主要分為基于以太網的通信協議與非基于以太網的通信協議?；谝蕴W的通信協議,一般以雙絞線為通信介質。通信協議的實時性與網絡的拓撲、帶寬等因素密切 有關。由于當前礦山網絡軟硬件設備種類繁多、制式復雜、網絡升級改造困難,上下行傳輸帶寬受限,導致基于傳統網絡通信協議的礦山系統的數據傳輸速率差異非常大,時延也難以得到保證。該文提出的輕量化協議技術則是在傳統網絡協議的基礎上進行的增強,改變傳統的OSI七層模型,將表示層、會話層、傳輸層、網絡層精簡為一層。摒棄傳統滑動窗口機制,丟包快速恢復,避免阻塞;顛覆傳統TCP每包確認機制,減少包頭開銷;智能感知網絡變化,自適應流量控制和擁塞控制,有效提高實時性和可靠性,獲得高帶寬、低時延、高可靠的傳輸能力。

設備通信實時性實現結構如圖4所示。

圖4 設備通信實時性實現結構

2.3 智慧礦山設備通信協議安全性設計

通過前文對智慧礦山通信協議開放性、實時性的研究,改進后的協議已具備擴展性良好的數據模型和高效可靠的數據傳輸能力。為進一步完善協議的安全性構建,解決身份認證不足、傳輸環(huán)境不可靠、數據保護不完整等問題,該文從建立完善的身份認證機制、構建安全的數據傳輸環(huán)境、形成可靠的數據全周期安全管理三方面入手,提出了結合聯邦學習和DID分布式數字身份的身份認證機制,基于國產自主操作系統及安全芯片的可信計算環(huán)境,以及對數據進行預先分級分類管理后的數據全周期安全保護機制,形成了全方位保障數據的安全性和完整性的方案。

在身份認證方面,結合智慧礦山廣泛存在的數據孤島問題,提出采用具備高安全性的分布式架構聯邦學習框架結合DID分布式數字身份的機制,對用戶身份進行高效可靠的認證。當前部分常用的通信協議存在著缺乏身份認證機制和數據加密機制等問題,如Modbus及EthernetIP作為最常用的設備間通信協議,在網絡上采取明文傳輸,易受欺騙、洪泛、重放等攻擊威脅,存在著用戶數據被非法訪問、泄露隱私的風險[19-20]。為此,需建立一種機制,在多設備終端場景下對包括數據訪問者、業(yè)務操作者在內的用戶進行協同身份認證[21]。該機制的實現基于以下三個部分:零信任模型、多因素融合認證、協同互助認證。

該文采用基于零信任模型的持續(xù)驗證、動態(tài)授權機制,以實現對用戶的認證和對數據的訪問控制。當用戶需要跨設備訪問數據資源或者發(fā)起高安全等級的業(yè)務操作(例如,對安防設備的操作)時,機制會對用戶進行身份認證,確保其身份的可靠性。不同于當前智慧礦山實踐常用的易受社會工程學攻擊的雙因素認證[22],提出采用多因素融合認證方法?？紤]到智慧礦山傳輸過程的參與者有網關節(jié)點、鏈路節(jié)點、外部用戶三類,三者需要的安全等級有所區(qū)別,該文提出對網關節(jié)點增設安全芯片,對傳輸鏈路節(jié)點布置獨立證書與密鑰對,對于外部用戶將不同設備上標識同一用戶的認證憑據關聯起來,用于標識一個用戶,以提高認證的準確度。此外,針對智慧礦山業(yè)務重合率高、用戶重合率低、大量設備在短時間內產生海量數據的特征,選用橫向聯邦學習模型對傳輸進行加密,并采用基于區(qū)塊鏈技術的DID分布式數字身份系統進行協同互助認證,通過將硬件和認證能力解耦(即信息采集和認證可以在不同的設備上完成),來實現不同設備的資源池化以及能力的互助與共享。高安全等級設備作為驗證者,結合區(qū)塊鏈上的DID注冊系統驗證低安全等級設備證書的完整性及來源,以協助低安全等級的設備完成用戶身份認證。通過以上三種方式,建立起完善的用戶身份認證機制,增強礦山數據安全的第一道防線,從而確保用戶身份的真實性和合法性,規(guī)避了數據泄露等風險。

從發(fā)展的必然趨勢出發(fā),國內可信計算將朝著國產化、自主可控的規(guī)?；瘧梅较虬l(fā)展。對此,該文提出基于國產研發(fā)的鴻蒙OS進行安全環(huán)境的構筑。智慧礦山傳統傳輸協議忽視了檢驗設備可靠性,如在礦山智慧化中作為標準使用的OPC協議,其基于Windows系統開發(fā)的特性導致了數據傳輸安全受主機安全環(huán)境的限制,且由于配置了DCOM與RPC接口,組件漏洞對OPC同樣存在一定的影響。這使得用戶數據無法在虛擬終端得到有效保護,面臨著泄露隱私的危險。為此,需對傳輸的設備進行安全環(huán)境構建,機制的實現基于以下三個部分:安全啟動、構筑可信的執(zhí)行環(huán)境、設備證書認證。

為確保源頭每個虛擬設備運行的系統固件和應用程序是完整的、未經篡改的,該文提出將鴻蒙操作系統搭載的自研芯片(如麒麟、龍芯等)作為信任根來設計設備的開機啟動信任鏈,以實現安全啟動,保證數據能夠安全產生。此外,為保護用戶的個人敏感數據的存儲、傳輸和處理,建立可信執(zhí)行環(huán)境(Trusted Execution Environment,TEE)是必要的?？紤]到傳統智慧礦山采用的可信執(zhí)行環(huán)境往往受外國芯片所制,該文提出基于支持TCM/TPCM、TPM2.0等可信計算規(guī)范且支持SM2、SM3、SM4等國密算法的自研安全芯片架構設計可信計算平臺。由于多設備終端硬件的安全能力不同,對于用戶的敏感個人數據,需要使用高安全等級的設備進行存儲和處理。對于具備TEE的設備,將向其預置PKI(Public Key Infrastructure)設備證書給設備身份提供證明,確保設備是合法制造生產的。設備證書在產線進行預置,設備證書的私鑰寫入并安全保存在設備的TEE環(huán)境中,且只在TEE內進行使用。在必須傳輸用戶的敏感數據(例如密鑰、加密的生物特征等信息)時,會在使用設備證書進行安全環(huán)境驗證后,建立從一個設備的TEE到另一設備的TEE之間的安全通道,實現安全傳輸。此外,由于現場設備算力有限,智慧礦山系統往往借助云計算進行數據處理,因此常處于復雜的多域環(huán)境,而傳統的PKI模型和基于身份的密碼體系存在著跨域認證低效等問題[23]。對此,該文提出采用區(qū)塊鏈 CA(Blockchain Certificate Authority,BCCA)信任模型,有跨域需求的各個域的信任錨根加入聯盟鏈,構成驗證節(jié)點并自生成區(qū)塊鏈證書及哈希值,實現高可擴展性的認證系統。通過上述三種方式為礦山數據構建起安全可靠的傳輸環(huán)境,保證了數據僅能被可信的設備產生、傳輸、接收,對通信網絡起到有效的保護作用。

考慮到傳統礦山協議缺少完整的數據審計方案,無法在多設備終端場景下保證對數據進行全生命周期的全方位保護(例如,EtherCAT協議使用的FSoE機制[24]),該文提出對數據進行全生命周期的安全管理,基于數據的生成、存儲、使用、傳輸、銷毀五個階段設計全方位的安全策略。在數據生成階段,根據數據所在的國家或組織的法律法規(guī)與標準規(guī)范,對數據進行分類分級,并且根據分類設置相應的保護等級。每個保護等級的數據從生成開始,在其存儲、使用、傳輸的整個生命周期都需要根據對應的安全策略提供不同強度的安全防護。虛擬超級終端的訪問控制系統支持依據標簽的訪問控制策略,保證數據只能在可以提供足夠安全防護的虛擬終端之間存儲、使用和傳輸。在數據存儲階段,機制通過區(qū)分數據的安全等級,存儲到不同安全防護能力的分區(qū),對數據進行安全保護,并提供密鑰全生命周期的跨設備無縫流動和跨設備密鑰訪問控制能力,支撐分布式身份認證協同、分布式數據共享等業(yè)務。在數據使用階段,機制通過硬件為設備提供可信執(zhí)行環(huán)境。用戶的個人敏感數據僅在分布式虛擬終端的可信執(zhí)行環(huán)境中進行使用,確保用戶數據的安全和隱私不泄露。在數據傳輸階段,為了保證數據在虛擬超級終端之間安全流轉,需要各設備是正確可信的,建立了信任關系(多個設備通過華為賬號建立配對關系),并能夠在驗證信任關系后,建立安全的連接通道,按照數據流動的規(guī)則,安全地傳輸數據。當設備之間進行通信時,需要基于設備的身份憑據對設備進行身份認證,并在此基礎上,建立安全的加密傳輸通道。在數據銷毀階段,數據銷毀即密鑰銷毀,數據在虛擬終端的存儲都建立在密鑰的基礎上。當銷毀數據時,只需要銷毀對應的密鑰即完成了數據的銷毀。從數據全周期分別進行安全性設計,以求保證個人數據與隱私、以及系統的機密數據(如密鑰)不泄漏[25]。

設備通信安全性實現結構如圖5所示。

圖5 設備通信安全性實現結構

3 結束語

為促進礦山智慧化建設,在智慧礦山工業(yè)物聯網的分層體系結構的基礎上,分析了當前礦山通信協議中面臨的開放性、實時性和安全性三大問題并提出了針對性的解決方案。首先,通過應用改進的HCP通信協議,提出了適應性更強的統一數據模型與通信協議的信息交互方案;其次,通過應用分布式軟總線、鄰居發(fā)現協議、軟總線組網和輕量化協議等技術,構建了降低礦山數據傳輸時延的實時性方案;最后,通過對身份認證機制的完善、設備安全通信環(huán)境的構建、數據全周期的安全管理,建立了包含身份認證、設備認證、數據通道認證在內的三重認證機制。該研究有助于解決礦山通信協議中存在的開放性、實時性和安全性問題,形成數據互聯互通的標準化通信體系。該體系不僅能夠提升礦山系統運營效率,助推國內能源行業(yè)加速智能化轉型,產生巨大的經濟效益,而且能夠促進數字化的技術順暢落地,實現自主知識產權的智慧礦山技術,避免技術依賴造成的“卡脖子”問題和網絡安全問題,帶來深遠的社會影響。