本發(fā)明屬于視頻監(jiān)控技術領域，尤其涉及一種防圖像泄漏的視頻監(jiān)控系統(tǒng)及防泄漏服務器。

背景技術：

視頻監(jiān)控是安全防范系統(tǒng)的重要組成部分，視頻監(jiān)控以其直觀、準確、及時和信息內容豐富而廣泛應用于許多場合。近年來，隨著計算機、網絡以及圖像處理、傳輸技術的飛速發(fā)展，視頻監(jiān)控的普及化趨勢越來越明顯。視頻監(jiān)控在城市安防中起到的作用越來越大，發(fā)生的治安、交通違章以及刑事案件，很多都依靠城市內分布的監(jiān)控攝像機記錄的視頻影像得到了最終的偵破。

同時隨著移動互聯網的飛速發(fā)展，視頻監(jiān)控系統(tǒng)中的視頻安全變得日益重要，其中一個重要的安全威脅是當監(jiān)控圖像在屏幕上顯示時，很容易被人采用手機拍照或者錄像，導致監(jiān)控圖像資料被泄漏出去。一旦通過該非法手段把監(jiān)控圖像通過拍照或者錄像的形式泄漏到互聯網上，容易給當事人造成無法挽回的影響，且很難追溯泄漏源頭，從而無法追究違法者的責任，為社會穩(wěn)定留下了很大的隱患。

技術實現要素：

本發(fā)明提出了一種防圖像泄漏的視頻監(jiān)控系統(tǒng)及防泄漏服務器，通過在發(fā)往視頻客戶端或發(fā)往存儲服務器的媒體流中添加防泄漏信息，使得通過手機拍攝視頻客戶端顯示屏的視頻圖像或從存儲服務器中獲得的視頻圖像都能夠反應其泄漏源頭，從而解決目前無法追溯視頻圖像泄露源頭的問題。

為了實現上述目的，本發(fā)明技術方案如下：

一種防圖像泄漏的視頻監(jiān)控系統(tǒng)，所述視頻監(jiān)控系統(tǒng)包括前端設備、視頻客戶端和存儲服務器，以及將所述視頻客戶端匯入到所述視頻監(jiān)控系統(tǒng)的第一匯聚交換機、將前端設備匯入到所述視頻監(jiān)控系統(tǒng)的第二匯聚交換機，所述視頻監(jiān)控系統(tǒng)還包括分別與所述第一匯聚交換機、第二匯聚交換機和存儲服務器網絡連接的防泄漏服務器，其中：

所述第一匯聚交換機，用于將原目標地址為存儲服務器地址的存儲流的目標地址修改為防泄漏服務器的地址，并轉發(fā)給防泄漏服務器；

所述第二匯聚交換機，用于將原目標地址為視頻客戶端地址的回放流的目標地址修改為防泄漏服務器的地址，并轉發(fā)給防泄漏服務器；

所述第一匯聚交換機或第二匯聚交換機，用于將原目標地址為視頻客戶端地址的實況流的目標地址修改為防泄漏服務器的地址，并轉發(fā)給防泄漏服務器；

所述防泄漏服務器，用于接收到上述存儲流、回放流或實況流后，根據各媒體流中攜帶的原目標地址，在各媒體流中添加對應的防泄漏信息，然后將各媒體流的目標地址還原為原目標地址后發(fā)送。

進一步地，所述防泄漏服務器根據各媒體流中攜帶的原目標地址，在各媒體流中添加對應的防泄漏信息，執(zhí)行如下操作：

防泄漏服務器將各媒體流中攜帶的原目標地址對應的防泄漏信息以顯性的形式添加到解碼后的圖像中，然后再把解碼圖像重新編碼；

或/和，所述防泄漏服務器根據各媒體流中攜帶的原目標地址，在各媒體流中添加對應的防泄漏信息，執(zhí)行如下操作：

防泄漏服務器將各媒體流中攜帶的原目標地址對應的防泄漏信息以隱性的形式添加到媒體流中。

本發(fā)明所述防泄漏信息為原目標地址對應的目標ip地址，或登錄用戶名，或目標地址對應設備的設備名。

本發(fā)明還提出了一種防圖像泄漏的防泄漏服務器，應用于視頻監(jiān)控系統(tǒng)，所述視頻監(jiān)控系統(tǒng)包括前端設備、視頻客戶端和存儲服務器，以及將所述視頻客戶端匯入到所述視頻監(jiān)控系統(tǒng)的第一匯聚交換機、將前端設備匯入到所述視頻監(jiān)控系統(tǒng)的第二匯聚交換機，所述防泄漏服務器分別與所述第一匯聚交換機、第二匯聚交換機和存儲服務器網絡連接，所述防泄漏服務器包括：

接收模塊，用于接收轉發(fā)的媒體流，記錄媒體流中攜帶的原目標地址；

防泄漏處理模塊，用于根據記錄的原目標地址，在媒體流中添加對應的防泄漏信息；

重新封裝模塊，用于將各媒體流的目標地址還原為原目標地址后發(fā)送。

進一步地，所述防泄漏處理模塊根據記錄的原目標地址，在媒體流中添加對應的防泄漏信息，執(zhí)行如下操作：

將記錄的原目標地址對應的防泄漏信息以顯性的形式添加到解碼后的圖像中，然后再把解碼圖像重新編碼；

或/和，

將記錄的原目標地址對應的防泄漏信息以隱性的形式添加到媒體流中。

本發(fā)明還提出了一種防圖像泄漏的視頻監(jiān)控系統(tǒng)，所述視頻監(jiān)控系統(tǒng)包括前端設備、視頻客戶端和存儲服務器，所述視頻監(jiān)控系統(tǒng)還包括防泄漏服務器，所述防泄漏服務器應用于視頻客戶端或存儲服務器，所述防泄漏服務器包括：

鏈路層報文接收模塊，用于接收鏈路層報文，記錄鏈路層報文的源與目標mac地址，記錄網絡層的源與目標ip地址，傳輸層的源與目標端口號；

防泄漏處理模塊，用于解析鏈路層報文，在媒體流中添加對應的防泄漏信息；

重新封裝模塊，用于按照記錄的源與目標端口號、源與目標ip地址、源與目標mac地址，重新封裝為鏈路層報文的形式，放在鏈路層緩存中。

進一步地，所述防泄漏處理模塊在媒體流中添加對應的防泄漏信息，執(zhí)行如下步驟：

將對應的防泄漏信息以顯性的形式添加到解碼后的圖像中，然后再把解碼圖像重新編碼。

或/和，所述防泄漏處理模塊在媒體流中添加對應的防泄漏信息，執(zhí)行如下步驟：

將對應的防泄漏信息以隱性的形式添加到媒體流中。

本發(fā)明提出的一種防圖像泄漏的視頻監(jiān)控系統(tǒng)及防泄漏服務器，通過在視頻監(jiān)控系統(tǒng)中增加防泄漏服務器，對發(fā)往存儲服務器進行存儲的存儲流、對發(fā)往視頻客戶端進行播放的實況流和回放流，添加防泄漏信息，使得無論從存儲服務器獲得監(jiān)控圖像還是從視頻客戶端顯示屏拍攝監(jiān)控圖像，都能夠在監(jiān)控圖像中包含防泄漏信息，從而能夠根據監(jiān)控圖像追溯泄漏源頭，杜絕監(jiān)控圖像的泄漏。

附圖說明

圖1為視頻監(jiān)控系統(tǒng)網絡結構圖；

圖2為本發(fā)明實施例防圖像泄漏的視頻監(jiān)控系統(tǒng)網絡結構圖；

圖3為本發(fā)明實施例媒體流目標地址對應關系原理圖；

圖4為本發(fā)明實施例一媒體流轉發(fā)過程示意圖；

圖5為本發(fā)明實施例一防泄漏服務器結構示意圖；

圖6為本發(fā)明實施例二防泄漏服務器結構示意圖；

圖7為本發(fā)明實施例二防泄漏處理過程示意圖。

具體實施方式

下面結合附圖和實施例對本發(fā)明技術方案做進一步詳細說明，以下實施例不構成對本發(fā)明的限定。

如圖1所示，視頻監(jiān)控系統(tǒng)通常包括前端設備、視頻客戶端(或簡稱為客戶端)和存儲服務器，以及管理平臺。前端設備、視頻客戶端和存儲服務器，以及管理平臺通過網絡設備連接稱為視頻監(jiān)控系統(tǒng)。例如視頻客戶端通過接入交換機和匯聚交換機接入，前端設備也通過接入交換機和匯聚交換機接入，前端設備為采集監(jiān)控圖像的網絡攝像機或模擬攝像機+編碼器，視頻客戶端接收媒體流進行解碼顯示。在圖1中，視頻監(jiān)控系統(tǒng)的管理平臺、客戶端、攝像機都通過匯聚交換機接入，整個網絡的視頻碼流(媒體流)都通過匯聚交換機，所有攝像機的實況流都要經過匯聚交換機轉發(fā)給各個客戶端，所有攝像機的存儲流都要經過匯聚交換機轉發(fā)給存儲服務器，存儲在存儲服務器上的監(jiān)控錄像回放到客戶端上的時候，回放流都要經過匯聚交換機進行轉發(fā)。

容易理解的是，雖然圖1中只列出了兩個匯聚交換機，然而在實際中可以有多層匯聚交換機，也肯定會有多個接入交換機，在有多個匯聚交換機時，實現的技術效果與本實施例一樣，這里不再贅述，本實施例以兩個匯聚交換機為例進行說明。同時，作為匯聚交換機設備，可以是交換機或路由器等網絡轉發(fā)設備，本技術方案對此不做限制。

實施例一：

如圖2所示，一種防圖像泄漏的視頻監(jiān)控系統(tǒng)，其中視頻監(jiān)控系統(tǒng)包括前端設備、視頻客戶端和存儲服務器，以及將所述視頻客戶端匯入到所述視頻監(jiān)控系統(tǒng)的第一匯聚交換機、將前端設備匯入到所述視頻監(jiān)控系統(tǒng)的第二匯聚交換機，視頻監(jiān)控系統(tǒng)還包括分別與所述第一匯聚交換機、第二匯聚交換機和存儲服務器網絡連接的防泄漏服務器。由于視頻客戶端和前端設備必然對應有各自的匯聚交換機，因此在本實施例中，僅圖示出了兩個匯聚交換機，即第一匯聚交換機用來將視頻客戶端接入到視頻監(jiān)控系統(tǒng)的網絡中，第二匯聚交換機用來將前端設備接入到視頻監(jiān)控系統(tǒng)的網絡中，這里不再贅述。

其中，第一匯聚交換機，用于將原目標地址為存儲服務器地址的存儲流的目標地址修改為防泄漏服務器的地址，并轉發(fā)給防泄漏服務器；

第二匯聚交換機，用于將原目標地址為視頻客戶端地址的回放流的目標地址修改為防泄漏服務器的地址，并轉發(fā)給防泄漏服務器；

第一匯聚交換機或第二匯聚交換機，用于將原目標地址為視頻客戶端地址的實況流的目標地址修改為防泄漏服務器的地址，并轉發(fā)給防泄漏服務器；

防泄漏服務器，用于接收到上述存儲流、回放流或實況流后，根據各媒體流中攜帶的原目標地址，在各媒體流中添加對應的防泄漏信息，然后將各媒體流的目標地址還原為原目標地址后發(fā)送。

目前在整個視頻監(jiān)控網絡中傳輸的視頻圖像流格式符合某種已知的標準，比如符合國家標準gb/t28181《安全防范視頻監(jiān)控聯網系統(tǒng)信息傳輸、交換、控制技術要求》，即在接入交換機和匯聚交換機上轉發(fā)的媒體流，通過探測轉發(fā)報文的應用層，便可知道其中承載的媒體信息，并對其中的媒體信息進行處理。

從而第一、第二匯聚交換機在已知接收媒體流具體格式的前提下，可以根據設定的規(guī)則進行處理。

在本實施例中，第二匯聚交換機對本該轉發(fā)給存儲服務器準備存儲的存儲流進行識別后，將目標存儲服務器ip地址修改為防泄漏服務器(原目標地址指向存儲服務器)，并轉發(fā)給防泄漏服務器。防泄漏服務器把轉發(fā)過來的報文中媒體流依照gb/t28181標準提取出來，并對媒體流進行防泄漏處理。然后再依照gb/t28181標準把新的媒體流封裝成符合該標準格式的報文，并重新把目標ip地址改為存儲服務器進行發(fā)送。對存儲服務來說，當它接收到該報文時，除了感知到報文接收延遲增大外，對報文中的凈荷媒體流被防泄漏處理一事并無感知。

而實況流會流經第一匯聚交換機和第二匯聚交換機，因此由第一匯聚交換機或第二匯聚交換機來進行轉發(fā)處理，對本該轉發(fā)給客戶端進行實況解碼的實況流，將目標客戶端ip地址修改為防泄漏服務器的ip地址，并轉發(fā)給防泄漏服務器。防泄漏服務器把轉發(fā)過來的報文中的媒體流依照gb/t28181標準提取出來，并對媒體流進行防泄漏處理。然后在依照gb/t28181標準把新的媒體流封裝成符合該標準格式的報文，并重新將目標ip地址改為目的客戶端的ip地址發(fā)送。對目的客戶端來說，當它接收到該報文時，除了感知到報文接收延遲增大外，對報文中的凈荷媒體流被防泄漏處理一事并無感知。

第一匯聚交換機對從存儲服務器讀取的本該發(fā)送給客戶端進行錄像回放的回放流的目標客戶端ip地址修改為防泄漏服務器的ip地址，并轉發(fā)給防泄漏服務器。防泄漏服務器把轉發(fā)過來的報文中的媒體流依照gb/t28181標準提取出來，并對媒體流進行防泄漏處理。然后在依照gb/t28181標準把新的媒體流封裝成符合該標準格式的報文，并重新把目標ip地址改為目的客戶端的ip地址發(fā)送。對目的客戶端來說，當它接收到該報文時，除了感知到報文接收延遲增大外，對報文中的凈荷媒體流被防泄漏處理一事并無感知。

本實施例以基于國標gb/t28181的媒體流為例，前端設備實現h.265/h.264/jpeg的媒體流編碼功能，gb/t28181定義了兩種媒體流封裝格式：

前端設備把該媒體流按照國標gb/t28181的格式封裝為mpeg-2ps格式(國標中具體定義了mpeg-2ps報文頭部中對h.265/h.264/jpeg相關的stream_type等參數)；

前端設備或者按照rfc7798/rfc3984/rfc2435的格式把媒體流封裝為相應的rtp報文。

如圖3所示，按照國標gb/t28181中的協議規(guī)定，對上述兩種報文格式在傳輸層均采用udp傳輸協議。假設源端ipc設為“a端”，存儲服務器目標端或者實況客戶端目標端設為“b端”。所有在udp協議中，指定a端端口為“端口_a”，目標端口為“端口_b”。網絡層ip報文協議中指定源端ip地址為“ip_a”，目標端ip地址為“ip_b”。鏈路層ethernetii報文協議中指定了源端和目標端的mac地址分別為“mac_a”和“mac_b”。

為了便于描述，本實施例省略掉了中間的接入交換機，前端設備產生的mpeg-2ps報文或者rtp報文未經接入交換機傳送，直接傳送到匯聚交換機。如圖4所示，假設防漏服務器在網絡中為“c端”，匯聚交換機接收到ipc傳送的媒體流報文，其中報文中的源端為“a端”，此時把目標端修改為“c端”，并在應用層部分(媒體流中或者媒體流之外)保存真實的目標端“c端”的ip地址、端口、mac地址等信息。此時的經過修改的應用層媒體流仍然符合國標gb/t28181。

修改后的媒體流由于把目標端定義為防泄漏服務器，所以在傳輸層、網絡層、鏈路層，將端口、ip地址、mac地址修改為“端口_c”、“ip_c”、“mac_c”。本實施例中，目標地址包括但不限于：ip地址、端口號和mac地址。這樣本來經過匯聚交換機發(fā)送給存儲服務器的存儲流或者發(fā)送給客戶端的實況流，現在全部均轉發(fā)給了防泄漏服務器。

防泄漏服務器對每一路媒體流接收到后，首先根據國標gb/t28181解析報文，并將順序接收到的媒體流序列組成完整的幀碼流序列，幀碼流經過定義的防泄漏處理之后，又恢復為完整的幀碼流序列，幀碼流序列又按照gb/t28181重新組成新的國標報文，然后根據原來應用層保存的源目標端“b端”，分別對國標報文在傳輸層、網絡層、鏈路層的端口、ip地址、mac地址修改為“端口_b”、“ip_b”、“mac_b”進行發(fā)送。新的報文經過防泄漏服務器發(fā)出，經過下一級的匯聚交換機或者接入交換機，傳送到存儲服務器或者實況播放客戶端。

本實施例中，對媒體流進行防泄漏處理，是在各媒體流中添加對應的防泄漏信息。在媒體流中添加對應的防泄漏信息，這里列舉兩種方法，本發(fā)明對此不做限制。

方法一：防泄漏服務器將各媒體流中攜帶的原目標地址對應的防泄漏信息以顯性的形式添加到解碼后的圖像中，然后再把解碼圖像重新編碼。

本實施例的防泄漏信息可以與媒體流的目標地址對應，例如是目標ip地址“ip_b”、客戶端登錄用戶名，設備名等等，或者還可以包括時間信息。在客戶端上進行防泄漏時，由于防泄漏信息被顯性地添加到解碼圖像上，例如以osd形式疊加在監(jiān)控圖像上，客戶端進行解碼圖像渲染時，可以直接看到以osd形式疊加到重構圖像上的防泄漏信息。當解碼渲染圖像被非法拍照或錄像時，防泄漏osd將被記錄下來。從泄漏的監(jiān)控圖像上，將能看到圖像上顯示的防泄漏信息，從而確定是哪個客戶端發(fā)生了泄漏，可以追朔源頭，追究責任，因此對該種非法行為起到震懾作用。

方法二：防泄漏服務器將各媒體流中攜帶的原目標地址對應的防泄漏信息以隱性的形式添加到媒體流中。此時的防泄漏信息比如目標ip地址“ip_b”、客戶端登錄用戶名，設備名、時間信息等等作為隱藏信息處理，隱藏的手段可以是水印的形式?；诓煌囊曨l圖像編碼方法(h.265/h.264/jpeg)，水印添加形式可以不同，這里不再贅述。在本方法中，防泄漏信息通過隱藏信息的形式添加到碼流中，例如在存儲服務器上，存儲的媒體流中都帶有水印，當錄像碼流被非法外泄出去，可以通過檢測其中嵌入的水印信息以確認泄漏源，由此可以對該種非法行為起到震懾作用。

需要說明的是，在監(jiān)控系統(tǒng)中，可以僅采用方法1，或方法2來防止泄漏；也可以同時采用方法1、方法2來防止泄漏。當同時采用兩種方法時，不僅可以防止非法拍照和錄像，還可以防止侵入客戶端或存儲服務器非法盜取存儲的視頻錄像。例如在客戶端采用方法1，在存儲服務器采用方法2；或在存儲服務器采用方法2，并且在客戶端采用方法1?；蛟谝话闱闆r下，僅采用方法1來杜絕客戶端上的泄漏。

如圖5所示，上述防泄漏服務器，應用于視頻監(jiān)控系統(tǒng)，該視頻監(jiān)控系統(tǒng)包括前端設備、視頻客戶端和存儲服務器，以及將所述視頻客戶端匯入到所述視頻監(jiān)控系統(tǒng)的第一匯聚交換機、將前端設備匯入到所述視頻監(jiān)控系統(tǒng)的第二匯聚交換機，所述防泄漏服務器分別與所述第一匯聚交換機、第二匯聚交換機和存儲服務器網絡連接，所述防泄漏服務器包括：

接收模塊，用于接收轉發(fā)的媒體流，記錄媒體流中攜帶的原目標地址；

防泄漏處理模塊，用于根據記錄的原目標地址，在媒體流中添加對應的防泄漏信息；

重新封裝模塊，用于將各媒體流的目標地址還原為原目標地址后發(fā)送。

容易理解的是，第一匯聚交換機、第二匯聚交換機和存儲服務器轉發(fā)媒體流，防泄漏服務器接收媒體流進行防泄漏處理，媒體流中攜帶原目標地址，即轉發(fā)前媒體流的目標地址。

本實施例防泄漏處理模塊根據記錄的原目標地址，在媒體流中添加對應的防泄漏信息，執(zhí)行如下操作：

將記錄的原目標地址對應的防泄漏信息以顯性的形式添加到解碼后的圖像中，然后再把解碼圖像重新編碼；

或/和，

將記錄的原目標地址對應的防泄漏信息以隱性的形式添加到媒體流中。

實施例二：

容易理解的是，在實施例一中，防泄漏服務器要接收轉發(fā)的媒體流，才對媒體流進行防泄漏處理。但對于視頻客戶端來說，不論是回放流還是實況流，都要發(fā)到視頻客戶端；對于存儲服務器來說，存儲流也必然會發(fā)到存儲服務器。因此本實施例采用在視頻客戶端或存儲服務器內，直接內置防泄漏服務器來對接收的媒體流進行處理。

即，設置于視頻客戶端或存儲服務器上的防泄漏服務器，接收到存儲流、回放流或實況流后，根據各媒體流中攜帶的原目標地址，在各媒體流中添加對應的防泄漏信息，然后將各媒體流的目標地址還原為原目標地址后發(fā)送。

具體地，如圖6所示，本實施例防泄漏服務器包括：

鏈路層報文接收模塊，用于接收鏈路層報文，記錄鏈路層報文的源與目標mac地址，記錄網絡層的源與目標ip地址，傳輸層的源與目標端口號；

防泄漏處理模塊，用于解析鏈路層報文，在媒體流中添加對應的防泄漏信息；

重新封裝模塊，用于按照記錄的源與目標端口號、源與目標ip地址、源與目標mac地址，重新封裝為鏈路層報文的形式，放在鏈路層緩存中。

例如，如圖7所示，將防泄漏服務器應用在視頻客戶端上，在客戶端的應用層接收應用層的國標gb/t28181報文之前，通過搶占內核層的鏈路層數據報文的形式，搶在客戶應用收包前，把鏈路層報文收取到，并記錄鏈路層報文的源與目標mac地址，記錄網絡層的源與目標ip地址，傳輸層的源與目標端口號。

按照國標gb/t28181格式解析媒體報文，然后按照防泄漏處理的方法一來處理，先解碼媒體流，并添加顯性防泄漏信息，然后再進行編碼。編碼后的媒體流重新按照gb/t28181的格式進行報文封裝。然后再按照記錄的源與目標端口號、源與目標ip地址、源與目標mac地址，重新封裝為鏈路層報文的形式，放在鏈路層緩存中。對客戶端應用層接收報文的程序來講，并不知曉收到的鏈路層報文被防泄漏處理。

又例如，將防泄漏服務器應用在存儲服務器上，在存儲服務器的應用層接收應用層的國標gb/t28181報文之前，通過搶占內核層的鏈路層數據報文的形式，搶在存儲服務器收包前，把鏈路層報文收取到，并記錄鏈路層的源與目標mac地址，記錄網絡層的源與目標ip地址，傳輸層的源與目標端口號。

按照國標gb/t28181格式解析媒體報文，然后按照防泄漏處理的方法一來處理，先解碼媒體流，并添加隱形防泄漏信息，然后再進行編碼。編碼后的媒體流重新按照gb/t28181的格式進行報文封裝。然后在按照記錄的源與目標端口號、源與目標ip地址、源與目標mac地址，重新封裝為鏈路層報文形式，放在鏈路層緩存中。

本實施例防泄漏信息的處理方法同實施例一，這里不再贅述。

以上實施例僅用以說明本發(fā)明的技術方案而非對其進行限制，在不背離本發(fā)明精神及其實質的情況下，熟悉本領域的技術人員當可根據本發(fā)明作出各種相應的改變和變形，但這些相應的改變和變形都應屬于本發(fā)明所附的權利要求的保護范圍。