一种工控数据全生命周期安全管控系统

本发明属于工控数据安全，尤其涉及一种工控数据全生命周期安全管控系统。

背景技术：

1、随着工业数据量的增长，工业互联网将成为长期趋势。工控系统（industrialcontrol system，ics）是工业数字化的基石，其通过各子系统，实现对数据实时采集、存储、运算、实时控制输出，从而使生产制造更加自动化、效率化、精确化、可视化、可控化。因此，如何对工控系统的数据进行全生命周期的管理和保护，是一个亟待解决的问题。

2、ics的数据生命周期大体上也可以分为创建、存储、使用、共享和处置五个阶段，但有一些独特的特性。在数据创建阶段，ics的数据来源通常是各个子设备的传感器。相较于传统的数据产生源，传感器性能较弱，且生成的数据具有明显的时序特质。并且，ics中通常有许多数据产生源。在数据存储阶段，ics统数据量更加庞大，需要更加高效的压缩与储存。在数据使用阶段，当前直接面向ics的数据分析与决策系统不多，缺乏恰当的分析与展现机制。在数据共享阶段，各工业平台数据格式不一，难以统一使用。在数据处置阶段，ics中尚未形成高效可用的数据归档机制。

3、通常，数据库会被托管在不可信的云环境中，因此构建可信生命周期管理体系最重要的前提是构建可信数据库，同时需要扩展涵盖数据采集、存储、使用、共享、处置全生命周期。

技术实现思路

1、针对现有技术存在的问题本申请实施例的目的是提供一种工控数据全生命周期安全管控系统。

2、本申请实施例提供一种工控数据全生命周期安全管控系统，包括管理员终端、服务端和客户机；

3、所述管理员终端持有管理员公私钥对和管理员公钥根证书；

4、所述服务端包括加密数据库内核和初始化器，所述加密数据库内核位于可信执行环境内部，其中保存有工控数据；所述初始化器用于在所述服务端首次部署时，结合管理员终端发送的所述管理员公钥根证书进行加密数据库内核的初始化，并将服务端生成的自签名证书回传至管理员终端；

5、所述客户机通过管理员终端签发的证书接入系统，在管理员终端配置的权限内与所述服务端进行工控数据的交互。

6、进一步地，管理员终端在受控的可信执行环境中生成所述公私钥对，所述管理员公钥的签名证书由管理员自身或证书颁发机构签名得到。

7、进一步地，初始化器在所述服务端首次部署时，结合管理员终端发送的所述管理员公钥根证书进行加密数据库内核的初始化，包括：

8、接收管理员终端发起的远程认证，在可信执行环境内生成一个认证摘要，所述认证摘要包括服务端实际的运行环境、实际执行代码的摘要以及可信硬件使用预置密钥进行的签名，以使得管理员终端在收到所述认证摘要后完成远程认证并与服务端建立通信信道；

9、接收管理员终端通过所述通信信道发送的管理员公钥根证书和初始化sql脚本，所述初始化sql脚本中配置管理员账号、权限和认证规则；

10、在可信执行环境内生成服务端公私钥对及服务端公钥的自签名证书，将初始化sql脚本保存至临时文件中，生成加密数据库内核的配置文件，其中所述配置文件包括服务端私钥、所述自签名证书、管理员公钥根证书、配置参数和指向所述初始化sql脚本的路径；

11、启动加密数据库内核，以使得加密数据库内核基于所述初始化sql脚本和配置文件完成加密数据库内核初始化和对应的账号创建工作；

12、将所述自签名证书发送至管理员终端，以使得管理员终端在用户意图使用所述服务端时，将自签名证书发送至对应用户以完成验证。

13、进一步地，加密数据库内核基于所述初始化sql脚本和配置文件完成加密数据库内核初始化和对应的账号创建工作，具体为：

14、加密数据库内核使用所述配置参数来分配数据库内核运行时使用的资源，将所述服务端私钥设置为加密数据库内核的私钥，将所述管理员公钥根证书设置为已知证书，允许持有对应私钥的管理员终端连接；

15、加密数据库内核执行所述初始化sql脚本，基于其中的管理员账号、权限和认证规则，完成对应的账号创建和配置工作。

16、进一步地，客户机通过管理员终端签发的证书接入系统，过程具体为：

17、客户机创建用户公私钥对并生成用户公钥的证书签名请求，将所述证书签名请求发送至管理员终端，以使得管理员终端利用管理员私钥为该客户机生成对应用户证书，在服务端为该客户机创建用户账户、配置用户账户的权限与认证规则，并将用户证书、用户账户和服务端的自签名证书发送至客户机。

18、进一步地，所述客户机利用收到的服务端的自签名证书来对服务端进行验证。

19、进一步地，在所述客户机接入系统之后，客户机与服务端的数据交互均在 mysql的ssl 加密连接下进行。

20、本申请实施例还提供一种计算机程序产品，包括计算机程序/指令，该计算机程序/指令被处理器执行时实现如第一方面所述的系统。

21、本申请实施例还提供一种电子设备，包括：

22、一个或多个处理器；

23、存储器，用于存储一个或多个程序；

24、当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如第一方面所述的系统。

25、本申请实施例还提供一种计算机可读存储介质，其上存储有计算机指令，该指令被处理器执行时实现如第一方面所述的系统。

26、本申请的实施例提供的技术方案可以包括以下有益效果：

27、由上述实施例可知，本申请采用了可信执行环境、远程认证与公钥证书体系，将工控数据生命周期管理体系集中到数据库上，克服了工控系统中数据生命周期管理不集中的问题，使用可信执行环境对数据进行加密，克服了明文数据易泄露与云数据库中特权用户攻击的问题，使用远程认证与公钥证书体系，在数据库部署之初便建立信任，克服了云上数据库首次信任建立的难题，进而达到了工控数据的统一、安全、可信管理的能力。

28、应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。

技术特征：

1.一种工控数据全生命周期安全管控系统，其特征在于，包括管理员终端、服务端和客户机；

2.根据权利要求1所述的系统，其特征在于，管理员终端在受控的可信执行环境中生成所述公私钥对，所述管理员公钥的签名证书由管理员自身或证书颁发机构签名得到。

3.根据权利要求1所述的系统，其特征在于，初始化器在所述服务端首次部署时，结合管理员终端发送的所述管理员公钥根证书进行加密数据库内核的初始化，包括：

4.根据权利要求3所述的系统，其特征在于，加密数据库内核基于所述初始化sql脚本和配置文件完成加密数据库内核初始化和对应的账号创建工作，具体为：

5.根据权利要求1所述的系统，其特征在于，客户机通过管理员终端签发的证书接入系统，过程具体为：

6.根据权利要求5所述的系统，其特征在于，所述客户机利用收到的服务端的自签名证书来对服务端进行验证。

7.根据权利要求1所述的系统，其特征在于，在所述客户机接入系统之后，客户机与服务端的数据交互均在 mysql 的ssl 加密连接下进行。

8.一种计算机程序产品，包括计算机程序/指令，其特征在于，该计算机程序/指令被处理器执行时实现如权利要求1-7任一项所述的系统。

9.一种电子设备，其特征在于，包括：

10.一种计算机可读存储介质，其上存储有计算机指令，其特征在于，该指令被处理器执行时实现如权利要求1-7中任一项所述的系统。

技术总结
本发明公开了一种工控数据全生命周期安全管控系统，包括管理员终端、服务端和客户机；管理员终端持有管理员公私钥对和管理员公钥根证书；服务端包括加密数据库内核和初始化器，加密数据库内核位于可信执行环境内部，其中保存有工控数据；初始化器用于在服务端首次部署时，结合管理员终端发送的管理员公钥根证书进行加密数据库内核的初始化，并将服务端生成的自签名证书回传至管理员终端；客户机通过管理员终端签发的证书接入系统，在管理员终端配置的权限内与服务端进行工控数据的交互。通过可信执行环境、远程认证与公钥证书体系，克服了工控系统中数据管理不集中与云上数据不可信的问题，进而达到了工控数据的统一、安全、可信管理的能力。

技术研发人员：张秉晟,王海涛,任奎
受保护的技术使用者：浙江大学
技术研发日：
技术公布日：2024/5/10