一种基于SM9密码身份认证的地铁综合监控系统技术方案

本发明专利技术涉及一种基于SM9密码身份认证的地铁综合监控系统，属于地铁监控技术领域。本发明专利技术包括密钥管理中心和若干个监控中心；各个监控中心之间通过综合监控系统主干网连接；每个监控中心均包括通过网络总线连接的工作站、FEP和服务器；各个工作站、FEP和服务器分别配有工作站端UKey、FEP端UKey和服务器端UKey；各个工作站、FEP和服务器上均设有安全中间件模块。本发明专利技术每次在需要启动监控程序时，都先通过工作站、FEP和服务器对应的UKey和安全中间件模块进行设备的自我认证，同时服务器端还需要经过针对操作员的用户认证，通过后，才能启动相应的监控程序，使得本发明专利技术能够高效地避免非法侵入的发生，提高地铁综合监控系统的安全性。

A subway integrated monitoring system based on SM9 password authentication

【技术实现步骤摘要】
一种基于SM9密码身份认证的地铁综合监控系统
本专利技术涉及一种基于SM9密码身份认证的地铁综合监控系统，属于地铁监控

技术介绍
地铁综合监控系统（ISCS）的主要功能包括对机电设备的实时集中监控功能和各系统之间协调联动功能两大部分。一方面，通过地铁综合监控系统可实现对电力设备、火灾报警信息及其设备、车站环控设备、区间环控设备、环境参数、屏蔽门设备、防淹门设备、电扶梯设备、照明设备、门禁设备、自动售检票设备、广播和闭路电视设备、乘客信息显示系统的播出信息和时钟信息等进行实时集中监视和控制的基本功能；另一方面，通过地铁综合监控系统，还可实现晚间非运营情况下、日间正常运营情况下、紧急突发情况下和重要设备故障情况下各相关系统设备之间协调互动等高级功能。因此，地铁综合监控系统对于地铁线路的综合运营极为重要。目前，非云化的地铁综合监控系统是分布式多层应用，最主要特征是各个车站均配置有节点服务器和几台工作站，这些分散在不同环境下的计算机设备通过双环冗余网络与监控中心主机房连成一个跨越整条线路的网络应用系统。正因如此，地铁综合监控系统存在主机非法接入与非法操作的风险，进而造成非法启停系统服务导致系统失效、非法启动大量服务降低系统性能、非法控制子系统设备、非法修改配置数据和非法连接请求或伪造通信数据等潜在危险的发生，最终将危及整个地铁线路的运营安全。因此，如何提高地铁综合监控系统的安全性能以避免系统非法侵入的发生是亟需解决的技术难题。
技术实现思路
本专利技术的目的是提供一种基于SM9密码身份认证的地铁综合监控系统，以解决目前地铁综合监控系统容易被非法侵入的问题。本专利技术为解决上述技术问题而提供一种基于SM9密码身份认证的地铁综合监控系统，该地铁综合监控系统包括密钥管理中心和若干个监控中心；各个监控中心之间通过综合监控系统主干网连接；每个监控中心均包括通过网络总线连接的工作站、FEP和服务器；各个工作站、FEP和服务器分别配有工作站端UKey、FEP端UKey和服务器端UKey；各个工作站、FEP和服务器上均设有安全中间件模块；安全中间件模块包括底层的设备层、中层的密码服务层和上层的API接口层；设备层用于连接用户端Ukey、工作站端UKey、FEP端UKey和/或服务器端UKey；密码服务层用于提供对称密码算法和非对称密码算法的密码运算功能；API接口层用来受工作站、EFP和/或服务器的调用；用户端UKey中存储有用户账号标识及其对应的私钥信息；工作站端UKey中存储有工作站的设备特征信息及其对应的私钥信息；FEP端UKey中存储有FEP的设备特征信息及其对应的私钥信息；服务器端UKey中存储有服务器的设备特征信息及其对应的私钥信息；密钥管理中心包括SM9标识密码管理系统和SM9标识密码机，SM9标识密码管理系统与SM9标识密码机连接，用于计算生成用户端UKey、工作站端UKey、FEP端UKey和服务器端UKey中的私钥信息，并将该私钥信息写入到对应UKey中；只有完成工作站设备认证和用户认证后，工作站上的监控程序才能启动；只有完成FEP设备认证后，FEP上的监控程序才能启动；只有完成服务器设备认证后，FEP上的监控程序才能启动。进一步地，工作站设备认证包括以下步骤：S11：工作站上的监控程序向对应的工作站端安全中间件模块发送工作站端挑战值；S12：工作站端安全中间件模块根据对应的工作站端UKey上存储的私钥信息对工作站端挑战值进行加密生成工作站对应的签名，并传输给工作站上的监控程序；S13：当工作站上的监控程序件使用工作站的设备特征信息对工作站对应的签名完成签名验证时，完成工作站设备认证。进一步地，服务器设备认证包括以下步骤：S21：FEP上的监控程序向对应的FEP端安全中间件模块发送FEP端挑战值；S22：FEP端安全中间件模块根据对应的FEP端UKey上存储的私钥信息对FEP端挑战值加密生成FEP对应的签名，并传输给FEP上的监控程序；S23：当FEP上的监控程序件使用FEP的设备特征信息对FEP对应的签名完成签名验证时，完成FEP设备认证。进一步地，服务器设备认证包括以下步骤：S31：服务器上的监控程序向对应的服务器端安全中间件模块发送服务器端挑战值；S32：服务器端安全中间件模块根据对应的服务器端UKey上存储的私钥信息对服务器端挑战值加密生成服务器对应的签名，并传输给服务器上的监控程序；S33：当服务器上的监控程序件使用服务器的设备特征信息对服务器对应的签名完成签名验证时，完成服务器设备认证。进一步地，用户认证包括以下步骤：S41：工作站端向服务器端发起用户认证请求，服务器端返回服务器端挑战值；S42：工作站端安全中间件模块使用用户端UKey的私钥信息对工作站的设备特征信息和服务器端挑战值进行签名，生成工作站端签名；S43：工作站端将包含有工作站端签名、工作站的设备特征信息、用户端UKey的私钥信息、服务器端挑战值和工作站端挑战值的用户认证请求信息发送给服务器端；S44：服务器端根据监控系统数据库中的数据对用户认证请求信息进行验证，当工作站的设备特征信息与用户端UKey的私钥信息的对应关系有效时，则生成状态码；S45：服务器端安全中间件模块使用用户账号标识对工作站端签名进行签名验证，通过后再使用服务器端UKey的私钥信息对状态码和工作站端挑战值进行签名，生成服务器端签名；S46：服务器端将包含有服务器端签名、服务器的设备特征信息、状态码和工作站端挑战值的用户认证请求信息发送给服务器端；S47：工作站端安全中间件模块使用服务器的设备特征信息对服务器端签名进行签名验证，若通过，则完成用户认证；监控系统数据库中存储有用户端UKey的私钥信息与工作站的设备特征信息之间有效的对应关系。进一步地，监控中心为中央级监控中心或车站级监控中心。本专利技术的有益效果为：本专利技术通过对地铁综合监控系统中的各个节点的侵入类型、侵入危害、潜在原因、后果以及侵入概率进行分析计算，得到了地铁综合监控系统中的各个节点发生非法侵入的危害等级和风险等级，综合考虑到升级成本和工作量，本专利技术认为网络入侵点主要存在于与系统平台的交互点上，如控制中心的大厅交换机、中心调度工作站、各车站的车控室值班员管理工作站，因此本专利技术将安全性的升级位置设定到地铁综合监控系统中的内部通讯中最核心的三个部件——工作站、服务器和FEP（前端处理器）。由于在内部通讯过程中，需要启动工作站、服务器和FEP上的监控程序，本专利技术分别为地铁综合监控系统中的各个工作站、服务器和FEP配备了设备UKey，并在其中安装了安全中间件模块SDK，每次在需要启动监控程序时，都需要先通过各自的设备UKey和安全中间件模块进行各设备的自我认证，同时服务器端还需要经过针对操作员的用户认证，通过后，才能启动相应的监控程序，使得本专利技术能够高效地避免非法侵本文档来自技高网...

【技术保护点】
1.一种基于SM9密码身份认证的地铁综合监控系统，其特征在于，该地铁综合监控系统包括密钥管理中心和若干个监控中心；各个监控中心之间通过综合监控系统主干网连接；每个监控中心均包括通过网络总线连接的工作站、FEP和服务器；/n各个工作站、FEP和服务器分别配有工作站端UKey、FEP端UKey和服务器端UKey；各个工作站、FEP和服务器上均设有安全中间件模块；/n安全中间件模块包括底层的设备层、中层的密码服务层和上层的API接口层；设备层用于连接用户端Ukey、工作站端UKey、FEP端UKey和/或服务器端UKey；密码服务层用于提供对称密码算法和非对称密码算法的密码运算功能；API接口层用来受工作站、EFP和/或服务器的调用；/n用户端UKey中存储有用户账号标识及其对应的私钥信息；工作站端UKey中存储有工作站的设备特征信息及其对应的私钥信息；FEP端UKey中存储有FEP的设备特征信息及其对应的私钥信息；服务器端UKey中存储有服务器的设备特征信息及其对应的私钥信息；/n密钥管理中心包括SM9标识密码管理系统和SM9标识密码机，SM9标识密码管理系统与SM9标识密码机连接，用于计算生成用户端UKey、工作站端UKey、FEP端UKey和服务器端UKey中的私钥信息，并将该私钥信息写入到对应UKey中；/n只有完成工作站设备认证和用户认证后，工作站上的监控程序才能启动；/n只有完成FEP设备认证后，FEP上的监控程序才能启动；/n只有完成服务器设备认证后，FEP上的监控程序才能启动。/n...

【技术特征摘要】
1.一种基于SM9密码身份认证的地铁综合监控系统，其特征在于，该地铁综合监控系统包括密钥管理中心和若干个监控中心；各个监控中心之间通过综合监控系统主干网连接；每个监控中心均包括通过网络总线连接的工作站、FEP和服务器；
各个工作站、FEP和服务器分别配有工作站端UKey、FEP端UKey和服务器端UKey；各个工作站、FEP和服务器上均设有安全中间件模块；
安全中间件模块包括底层的设备层、中层的密码服务层和上层的API接口层；设备层用于连接用户端Ukey、工作站端UKey、FEP端UKey和/或服务器端UKey；密码服务层用于提供对称密码算法和非对称密码算法的密码运算功能；API接口层用来受工作站、EFP和/或服务器的调用；
用户端UKey中存储有用户账号标识及其对应的私钥信息；工作站端UKey中存储有工作站的设备特征信息及其对应的私钥信息；FEP端UKey中存储有FEP的设备特征信息及其对应的私钥信息；服务器端UKey中存储有服务器的设备特征信息及其对应的私钥信息；
密钥管理中心包括SM9标识密码管理系统和SM9标识密码机，SM9标识密码管理系统与SM9标识密码机连接，用于计算生成用户端UKey、工作站端UKey、FEP端UKey和服务器端UKey中的私钥信息，并将该私钥信息写入到对应UKey中；
只有完成工作站设备认证和用户认证后，工作站上的监控程序才能启动；
只有完成FEP设备认证后，FEP上的监控程序才能启动；
只有完成服务器设备认证后，FEP上的监控程序才能启动。


2.根据权利要求1的基于SM9密码身份认证的地铁综合监控系统，其特征在于，工作站设备认证包括以下步骤：
S11：工作站上的监控程序向对应的工作站端安全中间件模块发送工作站端挑战值；
S12：工作站端安全中间件模块根据对应的工作站端UKey上存储的私钥信息对工作站端挑战值进行加密生成工作站对应的签名，并传输给工作站上的监控程序；
S13：当工作站上的监控程序件使用工作站的设备特征信息对工作站对应的签名完成签名验证时，完成工作站设备认证。


3.根据权利要求1的基于SM9密码身份认证的地铁综合监控系统，其特征在于，服务器设备认证包括以下步骤：
S21：FEP上的监控程序向对应的FEP端安全中间件模块发送FEP端挑战值；

【专利技术属性】
技术研发人员：李亚军，郝晓平，赵晗，张化军，何治达，郑继平，杨永峰，李建峰，祁双江，郑博胜，周天鸣，
申请(专利权)人：郑州地铁集团有限公司，河南辉煌城轨科技有限公司，
类型：发明
国别省市：河南;41