基于eSIM通讯与导航服务为一体的物联网终端系统及其实现方法与流程

本发明涉及一种物联网设备，特别是一种基于esim通讯与导航服务为一体的物联网终端系统及其实现方法，属于物联网设备加密及应用领域。

背景技术：

esim(embeddedsim)概念提出后，将传统sim卡直接嵌入到设备芯片上，而不是作为独立的可移除零部件加入设备中，用户无需插入物理sim卡，如同早年的小灵通。这一做法将允许用户更加灵活的选择运营商套餐，或者在无需解锁设备、购买新设备的前提下随时更换运营商。esim技术在物联网时代，具有无限的发展价值，并逐步走向市场替代传统的sim卡。

例如2018年3月7日，中国联通率先在上海、天津、广州、深圳、郑州、长沙6座城市启动“esim一号双终端”业务。通过一号双终端业务，用户可实现手机与可穿戴设备的绑定，共享同一个号码、话费及流量套餐，无论主叫或是被叫对外均是同一号码，实现通信抬腕可达；2018年6月1日，中国移动在天津、上海、南京、杭州、广州、深圳、成都7个城市正式启动“esim一号双终端”业务；2018年6月10日，日本运营商kddi宣布与丰田合作，推出esim卡连接汽车.....从上述esim时间发展史不难看出，相较于传统sim卡，esim主要有两大优势：一是esim直接跟终端设备集成，更加牢固耐用，防震防尘，不必更换，节省卡槽空间；二是esim可通过空中写卡实现远程配置，可批量开通、灵活变更签约和变更运营商。

而esim实现的关键支撑技术是tee技术，通信领域中tee英文名为trustedexecutionenvironment，译为可信任执行环境。tee能够提供物联网终端设备在通讯过程的安全运行与存储卡数据的技术条件。而目前的esim采用的物联网芯片不支持tee技术，则存在如下缺陷：

1)需要增加额外的加密模块来保证安全性，如此将会增加成本；亦或者是采用softsim的方式，也就是软sim卡的方式，这种方式会出现敏感数据以及卡数据暴露在不安全的内存中，存在很大的安全隐患；

2)现有的esim即使直接嵌入在物联网终端设备上，也只能单纯实现物联网通讯的功能，而未将定位与导航服务与esim的物联网通讯功能集成为一体，使得导航与定位功能仍需用户在物联网终端设备上下载地图app后才能实现终端的定位导航功能，操作麻烦。

技术实现要素：

本发明的发明目的是，针对上述问题，提供一种基于esim通讯与导航服务为一体的物联网终端系统。

为达到上述目的，本发明所采用的技术方案是：

基于esim通讯与导航服务为一体的物联网终端系统，包括物联网设备和管理平台，所述物联网设备内安装有具备物联网通讯功能的esim终端，所述物联网设备上还安装有mdm平台和安全模块，所述esim终端与mdm平台连接，用于接收mdm发来的esim数据以实现物联网设备的物联网通讯传输功能；所述mdm平台用于接收与管理esim终端发来的数据并为esim终端提供tee下的安全加密；所述安全模块与mdm平台连接且在安全模块内设置有设备私钥、设备公钥以及所述管理平台的平台公钥，所述物联网设备与管理平台进行通信并通过所述安全模块来相互认证双方的合法性，当管理平台完成认证物联网设备合法性的步骤后获得设备私钥并向安全模块下发加密数据，所述安全模块通过平台公钥接收加密数据，并发送给mdm平台，所述安全模块与mdm平台依次对加密数据进行加解密、鉴权算法和数据安全存储的操作后得到esim卡数据，所述mdm平台的内部设置有esim用户管理模块，所述esim用户管理模块对esim卡数据进行分级存储，并供使用用户对所存储的esim卡数据进行下载或更新的操作。

作为优选实施方式，所述物联网设备上还设置有定位与导航服务平台，所述定位与导航服务平台上设置有通信输出接口和定位输出输出接口，所述通信输出接口与esim终端连接，用以实现定位与导航服务平台的通信传输功能；所述定位数据输出接口与mdm平台连接，用于给物联网设备提供定位与导航服务。

作为优选实施方式，所述mdm平台具体可为支持tee技术的高通mdm9206物联网芯片。

作为优选实施方式，所述安全模块可包括包括数据接口、编解码模块、加密认证模块、安全等级划分模块、确定模块和存储模块，其中，

所述数据接口，用于接收来自普通执行环境的可信服务请求，解析命令数据，并将api接口传入的编码数据传递给编解码模块；

所述编解码模块，将接收的编码数据的参数进行解码处理，并发送给加密认证模块；

所述加密认证模块，用于对敏感数据分别进行加密、签名和认证的操作后得到加密数据，并将所述加密数据发送至安全等级划分模块中；

所述安全等级划分模块，用于划分所述加密数据的安全等级，并发送到确定模块；

所述确定模块，用于对所述加密数据进行存储时，根据相应的安全等级来确定所述加密数据是否存储于所述可信执行环境中；

所述存储模块，用于接收确定模块的指令，对加密数据进行写入。

上述方案中，为保证通信过程中数据的安全性，所述加密认证模块在加密数据发行前，在线验证与mdm平台连接的tee终端的合法性和esimta的合法性，其中teeesim采用tee自身的根密钥对物联网设备证书的申请信息进行加密及签名，同时管理平台下发的证书相应采用tee的根密钥来进行签名保护。

作为优选实施方式，所述加密认证模块将在线验证与mdm平台连接的tee终端的合法性和esimta的合法性的处理步骤如下：

a)首先通过根证书对证书物联网请求设备的合法性进行校验：

在安全模块预置esimta时，通过系统签名的方式在ta中预置自有证书，ta生成的证书申请信息通过采用预置到ta中的根证书进行加密及签名，然后管理平台使用存储在管理平台上的ta中根证书对所述证书申请信息进行验签以校验安全模块请求的合法性；若验签成功，管理平台则对申请信息进行解密后签发证书；

b)证书空发过程采用双向认证方法来确保物联网设备与管理平台通信的安全性，所述双向认证的具体步骤如下：

①安全模块发送一个连接请求给管理平台；

②管理平台将自己的证书以及同证书相关的信息发送至物联网设备上的客户浏览器中；

③安全模块检查管理平台发送过来的证书是否为自己信赖的ca中心所签发的，若是则继续执行协议；若不是则结束通信；

④安全模块比较证书里的消息，与管理平台发送的相关消息是否一致，若一致，安全模块认可该管理平台的合法身份；

⑤管理平台要求安全模块发送自己的证书，管理平台收到后验证安全模块的证书，若未通过验证，管理平台则拒绝连接；若通过验证，管理平台获得安全模块证书上的设备公钥；

⑥完成上述步骤⑤后，安全模块与管理平台进行通信并告知管理平台自己所能够支持的通讯对称密码方法；

⑦管理平台根据安全模块发送过来的对称密码方法选择其中一种加密程度最高的密码方法，并用安全模块的设备公钥加过密后通知物联网设备上的esim终端；

⑧esim终端根据所述密码方法选择一个通话密钥，接着用管理平台的平台公钥进行加密后发送给管理平台；

⑨管理平台接收到esim终端发来的消息，用自己的私钥解密，获得通话密钥；

⑩管理平台与esim终端接下来的通信均采用上述步骤⑥～⑨的方法来进行双向通信会话。

上述方案中，由于esimta存储的数据需要保证其完整性、隐私性和不可被其它非法实体访问或篡改的这一要求，因此证书和密钥等安全数据需要加密存储在rpmb区域或者se中。作为优选实施方式，对所述esim数据的加密存储方式为：所述esim卡数据下载完成后ta使用证书对esim卡数据进行解密，然后通过分组加密算法对esim卡数据进行预加密，并且当完成预加密后ta利用tee自带的加密协议对数据进行二次加密，得到双重加密后的esim卡数据，最后使用二叉树的方式存储至tee安全存储区域中。

上述方案中，基于加密存储敏感数据、敏感数据存储路径及读取方式应设置严格的访问控制机制以避免数据的泄露，因此所述esim卡数据分级存储是通过在tee的加密机制上增设rpmb存储分区管理模块，同时在ta中对上层的各app进行签名管理以针对不同上层应用来实现esim卡数据的分权限读取。

上述方案中，作为优选实施方式，所述esim卡数据的分权限读取的处理步骤为，首先上层app在使用ta接口读取卡数据过程中，对ta接口发起的请求信息中需附带包含sha1值的自身签名；ta收到该请求信息后，先是校验sha1值是否已在ta中注册，若未注册则不接受接口请求并中断流程，若校验通过后，ta则处理上层app发出卡数据读取的请求；ta在处理上层app读取卡数据的请求时，将对已存储的卡数据逐一进行签名与校对，轮询至拥有相同签名的卡数据后，将卡数据读出返回给对应的上层app。

本发明还提供一种基于esim通讯与导航服务为一体的物联网终端系统的实现方法，包括如下步骤：

s01、首先，物联网设备与管理平台互相认证双方的合法性后，管理平台下发加密数据；

s02、物联网设备上的安全模块在mdm平台上tee的条件下，依次进行加解密操作、权算法数据处理和安全存储的操作，得到esim卡数据；

s03、所述mdm平台内部设置有esim用户管理模块，所述esim用户管理模块对esim卡数据进行分级存储，使物联网设备在使用时，用户可通过esim用户管理模块对物联网设备内所存储的esim卡数据进行下载或更换的操作，以实现各用户使用不同的应用场景；

s04、最后，将定位与导航服务平台与esim终端连接，通过定位与导航服务平台实现物联网设备在使用场景中的高精度定位服务，通过esim终端实现物联网设备的通信服务。

由于采用上述技术方案，本发明具有以下有益效果：

1.本发明通过采用可提供tee技术的且型号为高通mdm9206的物联网芯片，在mdm平台的基础上相应设置安全模块，通过安全模块的调用mdm平台上的加密系统使得物联网设备上的esim终端与作为服务器的管理平台进行安全有效的通信。与现有技术相比，本发明无需在物联网设备上额外设置加密模块来保证通信的安全性，如此会降低成本并且能避免因采用softsim的方式(也就是软sim卡的方式)时，出现敏感数据和esim卡数据暴露在不安全内存中的安全隐患的情况，得到作为终端的物联网设备具备通信传输安全性高、设备制作成本低的有益特点。

2.本发明利用mdm平台上自带的高通qsee安全加密存储系统应用于物联网设备上，具体是通过设置主要由数据接口、编解码模块、加密认证模块、安全等级划分模块、确定模块和存储模块构成的安全模块，来按照mdm平台上的标准证书形式并调用高通qsee安全加密存储系统内的加密算法与程序来满足esim终端对数据的加密验证与存储，使得本物联网设备在使用时能够根据不同的安全需求，提供不同等级的加密和存储保护，满足不用用户级别的通信数据的安全需求，应用更加灵活多样。

3.本发明通过所述安全模块与mdm平台对加密数据进行加解密、鉴权算法和数据安全存储的数据操作处理后得到esim卡数据，通过在mdm平台上设置的esim用户管理模块对esim卡数据进行分级存储，在分级存储之前通过根证书请求设备合法性进行校验并在证书空发过程采用双向认真来保证通信的安全性，且在分级存储过程采用了二次加密方法、分组加密算法、分权限读取算法来保证通信数据传输的安全性，并且用户在使用时，只需在esim用户管理模块上下载其内存储的esim卡数据或更换esim卡数据，完整地实现各种用户使用到的应用场景。而传统方式sim卡激活是需要在营业厅或者有wifi的情况下才能进行卡激活，因此本发明的esim卡的下卡以及激活卡的方式相较于传统方式，具有更加丰富与灵活的特点。

4、本发明将具备通信功能的esim终端与具备定位与导航功能的芯片集成为一体，使得本物联网设备在具备通信功能的同时还有高精度定位与导航的功能，用户在移动设备上直接开机即可使用，无需再下载额外的定位与导航功能的app，实现方法简单，功能多用，大大满足用户的各种定位需求。

附图说明

图1是本发明的系统框图。

图2是所述安全模块的组成框图。

图3是所述定位与导航服务平台的组成框图。

图4是分权限读取的信息流程框图。

图5是所述分组加密算法的加密流程图。

具体实施方式

以下结合附图对发明的具体实施进一步说明。

如图1所示，基于esim通讯与导航服务为一体的物联网终端系统，包括物联网设备和管理平台。所述物联网设备内安装有具备物联网通讯功能的esim终端。所述管理平台为具备通信服务功能的服务器。所述物联网设备上还安装有mdm平台和安全模块。

所述mdm平台具体可为支持tee技术的高通mdm9206物联网芯片。2018年上半年，高通推出支持tee技术的mdm9206芯片，也是高通推出的首款支持tee的物联网芯片。mdm9206是高通为cat-m1和cat-nb1定制的多模多频的芯片，支持全球catm1和nb1以及gsm多模，支持cat-m1、cat-nb1的全球所有频段。其在低功耗物联网场景下有广泛的应用，可实现低成本、低功耗、低带宽、广覆盖的物联网产品与服务。本发明在mdm9206上集成具备通信功能的esim终端，并且基于mdm9206支持tee技术，使得对于终端物联网设备的合法性认证成为可能。本发明基于mdm9206支持的tee技术的基础上，将esim终端与mdm相结合，并设计出物联网设备与服务器相互认证合法性的方法和途径。

所述esim终端与mdm平台连接，用于接收mdm发来的esim数据以实现物联网设备的物联网通讯传输功能。所述mdm平台用于接收与管理esim终端发来的数据并为esim终端提供tee下的安全加密。

所述安全模块与mdm平台连接且在安全模块内设置有设备私钥、设备公钥以及所述管理平台的平台公钥。所述物联网设备与管理平台进行通信并通过所述安全模块来相互认证双方的合法性，当管理平台完成认证物联网设备合法性的步骤后，获得设备私钥并向安全模块下发加密数据，所述安全模块通过平台公钥接收加密数据，并发送给mdm平台。

所述安全模块与mdm平台依次对加密数据进行加解密、鉴权算法和数据安全存储的操作后得到esim卡数据。所述mdm平台的内部设置有esim用户管理模块，所述esim用户管理模块对esim卡数据进行分级存储，并供使用用户对所存储的esim卡数据进行下载或更新的操作。通过esim用户管理模块使得用户在使用时，只需在esim用户管理模块上下载其内部存储的esim卡数据或进行更换esim卡数据的操作，可实现各种用户使用到的应用场景，卡激活方式更加灵活与简单。

如图2所示，所述安全模块可包括包括数据接口、编解码模块、加密认证模块、安全等级划分模块、确定模块和存储模块，其中，

所述数据接口，用于接收来自普通执行环境的可信服务请求，解析命令数据，并将api接口传入的编码数据传递给编解码模块；

所述编解码模块，将接收的编码数据的参数进行解码处理，并发送给加密认证模块；

所述加密认证模块，用于对敏感数据分别进行加密、签名和认证的操作后得到加密数据，并将所述加密数据发送至安全等级划分模块中；

所述安全等级划分模块，用于划分所述加密数据的安全等级，并发送到确定模块；

所述确定模块，用于对所述加密数据进行存储时，根据相应的安全等级来确定所述加密数据是否存储于所述可信执行环境中；

所述存储模块，用于接收确定模块的指令，对加密数据进行写入。

为保证通信过程中数据的安全性，所述加密认证模块在加密数据发行前，在线验证与mdm平台连接的tee终端的合法性和esimta的合法性。其中teeesim采用tee自身的根密钥对物联网设备证书的申请信息进行加密及签名，同时管理平台下发的证书相应采用tee的根密钥来进行签名保护。具体地，所述加密认证模块在线验证与mdm平台连接的tee终端的合法性和esimta的合法性的处理步骤如下：

a)首先通过根证书对证书物联网请求设备的合法性进行校验：

在安全模块预置esimta时，通过系统签名的方式在ta中预置自有证书，ta生成的证书申请信息通过采用预置到ta中的根证书进行加密及签名，然后管理平台使用存储在管理平台上的ta中根证书对所述证书申请信息进行验签以校验安全模块请求的合法性；若验签成功，管理平台则对申请信息进行解密后签发证书。

b)证书空发过程采用双向认证方法来确保物联网设备与管理平台通信的安全性。所述双向认证的具体步骤如下：

①安全模块发送一个连接请求给管理平台；

②管理平台将自己的证书以及同证书相关的信息发送至物联网设备上的客户浏览器中；

③安全模块检查管理平台发送过来的证书是否为自己信赖的ca中心所签发的，若是则继续执行协议；若不是则结束通信；

④安全模块比较证书里的消息，与管理平台发送的相关消息是否一致，若一致，安全模块认可该管理平台的合法身份；

⑤管理平台要求安全模块发送自己的证书，管理平台收到后验证安全模块的证书，若未通过验证，管理平台则拒绝连接；若通过验证，管理平台获得安全模块证书上的设备公钥；

⑥完成上述步骤⑤后，安全模块与管理平台进行通信并告知管理平台自己所能够支持的通讯对称密码方法；

⑦管理平台根据安全模块发送过来的对称密码方法选择其中一种加密程度最高的密码方法，并用安全模块的设备公钥加过密后通知物联网设备上的esim终端；

⑧esim终端根据所述密码方法选择一个通话密钥，接着用管理平台的平台公钥进行加密后发送给管理平台；

⑨管理平台接收到esim终端发来的消息，用自己的私钥解密，获得通话密钥；

⑩管理平台与esim终端接下来的通信均采用上述步骤⑥～⑨的方法来进行双向通信会话。

由于esimta存储的数据需要保证其完整性、隐私性和不可被其它非法实体访问或篡改的这一要求，因此证书和密钥等安全数据需要加密存储在rpmb区域或者se中。作为优选实施方式，对所述esim数据的加密存储方式为：所述esim卡数据下载完成后ta使用证书对esim卡数据进行解密，然后通过分组加密算法对esim卡数据进行预加密，并且当完成预加密后ta利用tee自带的加密协议对数据进行二次加密，得到双重加密后的esim卡数据，最后使用二叉树的方式存储至tee安全存储区域中。

其中，所采用的分组加密算法，是以64位为分组对数据加密。64位的分组明文序列作为加密算法的输入，经过16轮加密得到64位的密文序列。加密的密钥为64位，实际长度为56位，算法的保密性取决于密钥。算法对64位的明文分组进行操作：首先通过一个初始置换ip将64位的明文分成各32位长的左半部分和右半部分，该初始置换只在16轮加密过程进行之前进行一次。在经过初始置换操作后，对得到的64位序列进行16轮加密运算，这些运算被称为函数f，在运算过程中，输入数据与密钥结合；经过16轮运算后，左、右两部分合在一起得到一个64位的输出序列，该序列再经过一个末尾置换ip-1，获得最终的加密结果。加密过程如下：

如图5所示，在每一轮加密过程中，函数厂的运算包括以下四个部分：首先进行密钥序列移位，从移位后的56位密钥序列中选出48位；然后通过一个扩展置换将输入序列32位的右半部分扩展成48位，再与48位的轮密钥进行异或运算；再者通过8个s盒将异或运算后获得的48位序列替代成一个32位序列；最后对32位序列应用置换p进行置换变换，得到厂的32位输出序列。将函数厂的输出与输入序列的左半部分进行异或运算后的结果作为新一轮加密过程输入序列的右半部分，当前输入序列的右半部分作为新一轮加密过程输入序列的左半部，上述过程重复操作16次，便实现了esim卡数据的加密运算。

如图4所示，基于加密存储敏感数据、敏感数据存储路径及读取方式应设置严格的访问控制机制以避免数据的泄露，因此所述esim卡数据分级存储是通过在tee的加密机制上增设rpmb存储分区管理模块，同时在ta中对上层的各app进行签名管理以针对不同上层应用来实现esim卡数据的分权限读取。作为优选实施方式，所述esim卡数据的分权限读取的处理步骤为：首先上层app在使用ta接口读取卡数据过程中，对ta接口发起的请求信息中需附带包含sha1值的自身签名；ta收到该请求信息后，先是校验sha1值是否已在ta中注册，若未注册则不接受接口请求并中断流程，若校验通过后，ta则处理上层app发出卡数据读取的请求；ta在处理上层app读取卡数据的请求时，将对已存储的卡数据逐一进行签名与校对，轮询至拥有相同签名的卡数据后，将卡数据读出返回给对应的上层app。

本发明人通过上述安全模块的设置对mdm平台内的加密系统进行调用与应用，并通过设置的分权限读取方式、二次加密、分组加密算法、双向认证通信和采用tee自身的根密钥对物联网设备证书的申请信息进行加密及签名各个处理算法来实现物联网设备与服务器之间相互认证对方合法性和通信过程数据传输的安全可靠性，在现有技术得到了前所未有的突破，带来了意想不到的有益效果。

所述物联网设备上还设置有定位与导航服务平台，所述定位与导航服务平台上设置有通信输出接口和定位输出输出接口，所述通信输出接口与esim终端连接，用以实现定位与导航服务平台的通信传输功能。所述定位数据输出接口与mdm平台连接，用于给物联网设备提供定位与导航服务。如图3所示，所示定位与导航服务平台主要由千寻高精度服务平台、esim通信连接模块、千寻高精度运算模块、高通gnss定位引擎、北斗卫星和地基增强站构成，其通过流程如下：

1、模组通过北斗卫星获取到卫星信号数据，并利用内置的高通gnss定位引擎进行处理；

2、千寻高精度运算模块从高通gnss定位引擎处获取到多卫星定位数据，同时采用千寻高精定位算法sdk将接收的定位数据进行处理，并向部署在互联网上的千寻高精服务平台请求差分信号数据以进行综合计算，此时启动esim通信连接模块连接上网，无需实体sim卡；

3、差分信号请求发送到千寻高精度服务平台；

4、千寻高精度服务平台从地基增强站获取到差分信号数据；

5、返回差分信号数据给到模组；

7、千寻高精定位算法sdk接收到差分信号数据之后与北斗定位数据进行差分计算，最终得出高精定位数据，从定位数据输出接口中输出最终输出高精定位数据。

本发明还提供一种基于esim通讯与导航服务为一体的物联网终端系统的实现方法，包括如下步骤：

s01、首先，物联网设备与管理平台互相认证双方的合法性后，管理平台下发加密数据；

s02、物联网设备上的安全模块在mdm平台上tee的条件下，依次进行加解密操作、权算法数据处理和安全存储的操作，得到esim卡数据；

s03、所述mdm平台内部设置有esim用户管理模块，所述esim用户管理模块对esim卡数据进行分级存储，使物联网设备在使用时，用户可通过esim用户管理模块对物联网设备内所存储的esim卡数据进行下载或更换的操作，以实现各用户使用不同的应用场景；

s04、最后，将定位与导航服务平台与esim终端连接，通过定位与导航服务平台实现物联网设备在使用场景中的高精度定位服务，通过esim终端实现物联网设备的通信服务。

上述说明是针对本发明较佳可行实施例的详细说明，但实施例并非用以限定本发明的专利申请范围，凡本发明所提示的技术精神下所完成的同等变化或修饰变更，均应属于本发明所涵盖专利范围。