一種網(wǎng)絡(luò)視頻安全監(jiān)控系統(tǒng)及物理隔離方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及網(wǎng)絡(luò)視頻監(jiān)控領(lǐng)域，尤其涉及一種網(wǎng)絡(luò)視頻安全監(jiān)控系統(tǒng)及物理隔離方法。
【背景技術(shù)】
[0002]視頻監(jiān)控系統(tǒng)作為安全防范系統(tǒng)的組成部分，承載著監(jiān)控人員掌控所轄區(qū)域監(jiān)控點的圖像信息，對事件進(jìn)行記錄、預(yù)警，避免國家及個人財產(chǎn)受到損害，或者對監(jiān)控點緊急事件進(jìn)行遠(yuǎn)程指揮、綜合戰(zhàn)斗，具有高清晰、實時性要求；視頻作為安全防范的的強(qiáng)有力系統(tǒng)自身的安全性受到越來越多的重視；視頻監(jiān)控系統(tǒng)經(jīng)歷了第一代模擬視頻時代、第二代數(shù)字視頻非壓縮傳輸交換系統(tǒng)(DVR存儲管理系統(tǒng))、第三代完全數(shù)字化的系統(tǒng)(網(wǎng)絡(luò)攝像機(jī)IPC+視頻服務(wù)器NVR結(jié)構(gòu))，這3個階段的發(fā)展演變。然而，真正的視頻監(jiān)控的意義在于保證監(jiān)控區(qū)域以及系統(tǒng)的安全性和可靠性，第三代數(shù)字化系統(tǒng)基于網(wǎng)絡(luò)攝像機(jī)即IP-camera技術(shù)，視頻信息完全通過標(biāo)準(zhǔn)的以太網(wǎng)協(xié)議和通道進(jìn)行傳輸，視頻碼率較低，網(wǎng)絡(luò)的通用性和系統(tǒng)可維護(hù)性得到明顯提升，但由于治安和視頻監(jiān)控區(qū)域分散，難于管理網(wǎng)絡(luò)安全狀況遇到極大的挑戰(zhàn)；網(wǎng)絡(luò)的安全性、設(shè)備的可靠性、內(nèi)部系統(tǒng)的安全性受到較大的挑戰(zhàn)，需要一種能夠安全可靠的網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)來解決目前系統(tǒng)遇到的問題。

【發(fā)明內(nèi)容】

[0003]針對上述技術(shù)缺陷，本發(fā)明提出一種網(wǎng)絡(luò)視頻安全監(jiān)控系統(tǒng)及物理隔離方法，該系統(tǒng)采用物理隔離設(shè)備結(jié)合網(wǎng)絡(luò)視頻監(jiān)控協(xié)議設(shè)計系統(tǒng)，可很好的保證視頻碼流安全性以及視頻監(jiān)控系統(tǒng)的健壯性；通過兩個處理器分別連接公開網(wǎng)絡(luò)和信任網(wǎng)絡(luò)，內(nèi)部通過物理隔離單相通道進(jìn)行數(shù)據(jù)傳輸，進(jìn)行視頻、控制數(shù)據(jù)以及部分報警信號、數(shù)據(jù)通道協(xié)議傳輸，阻斷惡意連接攻擊
一種網(wǎng)絡(luò)視頻安全監(jiān)控系統(tǒng)，前端視頻接入網(wǎng)絡(luò)、后端視頻監(jiān)控網(wǎng)絡(luò)以及物理隔離模塊，所述物理隔離模塊包括處理器A和處理器B，所述處理器A和處理器B相互獨立，所述處理器B通過網(wǎng)絡(luò)接口連接前端視頻接入網(wǎng)絡(luò)，所述處理器A通過網(wǎng)絡(luò)接口連接后端視頻監(jiān)控網(wǎng)絡(luò)，所述處理器A和處理器B之間采用非以太網(wǎng)方式的物理傳輸信道連接；所述處理器B的系統(tǒng)為從片系統(tǒng)，所述處理器A的系統(tǒng)為主片系統(tǒng)，處理器B的系統(tǒng)啟動加載由處理器A控制。
[0004]進(jìn)一步的，所述前端視頻接入網(wǎng)絡(luò)通過交換機(jī)或以太網(wǎng)光環(huán)網(wǎng)系統(tǒng)或以太網(wǎng)點對點接入物理隔離模塊，并通過網(wǎng)絡(luò)交換系統(tǒng)，設(shè)置網(wǎng)絡(luò)隔離和端口 Vlan劃分。
[0005]進(jìn)一步的，處理器A由系統(tǒng)復(fù)位，處理器B由處理器A進(jìn)行系統(tǒng)復(fù)位和加載，處理器A通過固化在flash中的程序進(jìn)行引導(dǎo)啟動，處理器A進(jìn)入系統(tǒng)后在本地文件系統(tǒng)根目錄下創(chuàng)建對應(yīng)的目錄，將預(yù)先制作好的處理器B的啟動鏡像文件加載存放到該目錄中。
[0006]進(jìn)一步的，所述處理器A加載內(nèi)核啟動模塊，以支持處理器B的啟動控制、消息通信功能；處理器A還包括加載級聯(lián)啟動的驅(qū)動模塊以及處理器A運行啟動處理器B的應(yīng)用程序，啟動處理器B的應(yīng)用程序開始初始化處理器B系統(tǒng)需要用到的所有DDR，然后將處理器A的系統(tǒng)目錄下的啟動鏡像文件搬運到處理器B的內(nèi)存地址，最后開始引導(dǎo)啟動。
[0007]進(jìn)一步的，所述處理器A連接啟動復(fù)位電路以及報警輸出電路。
[0008]進(jìn)一步的，所述處理器A以及處理器B系統(tǒng)均通過tcp/ip協(xié)議接收或發(fā)送數(shù)據(jù)利用所述的物理隔離模塊的物理隔離方法，包括系統(tǒng)啟動步驟和數(shù)據(jù)處理流程步驟: 所述系統(tǒng)啟動步驟包括:
71)處理器A由系統(tǒng)復(fù)位，處理器B由處理器A進(jìn)行系統(tǒng)復(fù)位和加載，處理器A通過固化在flash中的程序進(jìn)行引導(dǎo)啟動，處理器A進(jìn)入系統(tǒng)后在本地文件系統(tǒng)根目錄下創(chuàng)建對應(yīng)的目錄，將預(yù)先制作好的處理器B的啟動鏡像文件加載存放到該目錄中；
72)所述處理器A加載內(nèi)核啟動模塊，以支持處理器B的啟動控制、消息通信功能；處理器A還包括加載級聯(lián)啟動的驅(qū)動模塊以及處理器A運行啟動處理器B的應(yīng)用程序，啟動處理器B的應(yīng)用程序開始初始化處理器B系統(tǒng)需要用到的所有DDR，然后將處理器A的系統(tǒng)目錄下的啟動鏡像文件搬運到處理器B的內(nèi)存地址，最后開始引導(dǎo)啟動；
所述數(shù)據(jù)處理流程步驟包括:
73)后端視頻監(jiān)控網(wǎng)絡(luò)發(fā)送消息之前通過用戶以及密碼的方式登錄到處理器A系統(tǒng)，經(jīng)認(rèn)證通過后在處理器A系統(tǒng)端產(chǎn)生一個sess1n，后端視頻監(jiān)控網(wǎng)絡(luò)發(fā)送的消息只有通過該sess1n才能被接收處理；
74)后端視頻監(jiān)控網(wǎng)絡(luò)發(fā)送的消息通過處理器A系統(tǒng)進(jìn)行報文的分析，當(dāng)報文結(jié)構(gòu)和內(nèi)容符合協(xié)議規(guī)定時，報文會被送到處理器A系統(tǒng)的數(shù)據(jù)處理模塊進(jìn)行處理；所述數(shù)據(jù)處理模塊分析消息的類型，并根據(jù)具體的報文內(nèi)容直接本地處理或通過隔離通道轉(zhuǎn)發(fā)至處理器B。
[0009]進(jìn)一步的，所述處理器A與處理器B之間的隔離通道可進(jìn)行雙向數(shù)據(jù)傳輸，該隔離通道包括消息傳輸通道和數(shù)據(jù)傳輸通道；消息傳輸通道用于數(shù)據(jù)規(guī)模和吞吐量都低的數(shù)據(jù)；數(shù)據(jù)傳輸通道用于傳輸連續(xù)大塊的數(shù)據(jù)。
[0010]進(jìn)一步的，步驟74)中的報文內(nèi)容在隔離通道的應(yīng)用層進(jìn)行協(xié)議格式校檢，符合規(guī)定協(xié)議格式的報文內(nèi)容才被允許通過隔離通道進(jìn)行傳輸；所述隔離通道上傳輸?shù)膮f(xié)議格式采用非公開的私有協(xié)議。
[0011]進(jìn)一步的，處理器B系統(tǒng)運行時，定時發(fā)送心跳報文由隔離通道給處理器A系統(tǒng)，當(dāng)在一定時間內(nèi)處理器A系統(tǒng)沒有接收到心跳消息，對后端視頻監(jiān)控網(wǎng)絡(luò)預(yù)警，并獲取處理器B的運行指令，進(jìn)行報警，并可同時對處理器B進(jìn)行系統(tǒng)初始化，使系統(tǒng)自恢復(fù)到正常狀態(tài)。
[0012]本發(fā)明的有益效果在于:使用視頻隔離模塊連接兩個網(wǎng)絡(luò):安全網(wǎng)絡(luò)和公開網(wǎng)絡(luò)，進(jìn)行數(shù)據(jù)通信和網(wǎng)絡(luò)轉(zhuǎn)發(fā)，本系統(tǒng)列舉出來的所有拓?fù)浣Y(jié)構(gòu)可以在實際的項目中做更改、變換，從而適應(yīng)不同的項目，本系統(tǒng)采用單設(shè)備系統(tǒng)部署，以嵌入式系統(tǒng)為開發(fā)核心，采用端口物理隔離方案，并能保證滿足協(xié)議的安全內(nèi)容無障礙通信，對非法數(shù)據(jù)信息嚴(yán)格阻斷，并采用單系統(tǒng)引導(dǎo)保證系統(tǒng)的安全可靠，最大限度的保證了客戶的便利性和系統(tǒng)的安全性，成本較低推廣價值較高。
【附圖說明】
[0013]圖1為本發(fā)明網(wǎng)絡(luò)視頻監(jiān)控系統(tǒng)簡要框圖；
圖2為物理隔離系統(tǒng)硬件框圖；
圖3為物理隔離模塊視頻數(shù)據(jù)流程示意圖；
圖4為物理隔離模塊視頻數(shù)據(jù)流程示意圖。
【具體實施方式】
[0014]下面將結(jié)合附圖和具體實施例對本發(fā)明做進(jìn)一步的說明。
[0015]1、本發(fā)明的系統(tǒng)拓?fù)鋱D
如圖1所示，本發(fā)明系統(tǒng)基本框圖，本系統(tǒng)核心部件為物理隔離模塊，該物理隔離模塊如圖2所示，硬件系統(tǒng)采用兩顆嵌入式處理器，對數(shù)據(jù)包協(xié)議進(jìn)行解析，通過內(nèi)部數(shù)據(jù)通道連接進(jìn)行數(shù)據(jù)交互、處理，完成網(wǎng)絡(luò)接入、用戶管理、信任驗證、協(xié)議分析等操作，構(gòu)建高吞吐量的安全隔離設(shè)備；分別用作前端視頻接入網(wǎng)絡(luò)和后端視頻監(jiān)控網(wǎng)絡(luò)接入服務(wù)，兩顆處理器之間通過自定義通道相連，分別為加載管理通道、消息傳輸通道和數(shù)據(jù)傳輸通道；加載管理通道:用于對從片進(jìn)行啟動加載；
消息傳輸通道:用于傳輸公開網(wǎng)絡(luò)與可信網(wǎng)絡(luò)之間的慢速雙向數(shù)據(jù)，保證安全數(shù)據(jù)的控制傳輸；
數(shù)據(jù)傳輸通道:用于傳遞高吞吐量的安全數(shù)據(jù)，保證安全信息的高可靠信任傳輸；嵌入式處理器B定義為從片系統(tǒng)，啟動加載由嵌入式處理器A主片控制，便于系統(tǒng)統(tǒng)一管理運行，主片系統(tǒng)配有硬件報警輸出接口，在系統(tǒng)受到攻擊或者運行異常時進(jìn)行硬件報警輸出；由此隔離前端視頻接入網(wǎng)絡(luò)和后端視頻監(jiān)控網(wǎng)絡(luò)內(nèi)部傳輸系統(tǒng)；避免了通過前端IPC網(wǎng)絡(luò)接口或通道訪問、攻擊內(nèi)部設(shè)備的可能性。
[0016]本系統(tǒng)的核心硬件為兩個獨立的處理器，可采用通用的ARM、PowerPC、DSP等系統(tǒng)處理器，網(wǎng)絡(luò)接口根據(jù)項目需求配置網(wǎng)口數(shù)量，可根據(jù)芯片支持能力、項目需求處理器能力進(jìn)行多端口配置；采用硬件連接通信，嵌入式處理器B從片采取無系統(tǒng)文件運行模式，保證系統(tǒng)不被篡改，全部由嵌入式處理器A主片進(jìn)行加載、啟動。
[0017]系統(tǒng)前端IPC網(wǎng)絡(luò)接入可采用多種方式如交換機(jī)接入、以太網(wǎng)光環(huán)網(wǎng)系統(tǒng)以及以太網(wǎng)點對點接入系統(tǒng)，可通過對網(wǎng)絡(luò)交換系統(tǒng)進(jìn)行配置，設(shè)置網(wǎng)絡(luò)隔離和端口 Vlan劃分，解決網(wǎng)絡(luò)共享功能，從而保證單個接入IPC節(jié)點都不能訪問到其他節(jié)點的圖像，做到視頻監(jiān)控系統(tǒng)的可靠性和安全性；
系統(tǒng)的設(shè)備管理和維護(hù)有平臺管理軟件發(fā)起，后端視頻監(jiān)控網(wǎng)絡(luò)作為內(nèi)部信任網(wǎng)絡(luò)的設(shè)備可以通過交換網(wǎng)絡(luò)直接獲取設(shè)備狀態(tài)和發(fā)送配置指令，對于作為公開網(wǎng)絡(luò)B的前端IPC網(wǎng)絡(luò)內(nèi)的設(shè)備和攝像機(jī)，可通過視頻隔離模塊作為代理，獲取設(shè)備狀態(tài)和視頻，進(jìn)行虛擬設(shè)備管理，做到全網(wǎng)設(shè)備統(tǒng)一管理、調(diào)度。
[0018]2、本發(fā)明物理隔離模塊的系統(tǒng)啟動方案
處理器B在硬件上不帶flash，通過處理器A系統(tǒng)將其需要的啟動鏡像文件加載到特定的內(nèi)存地址，再開始引導(dǎo)的方式啟動系統(tǒng)。
[0019]處理器A由系統(tǒng)復(fù)位，處理器B系統(tǒng)由處理器A系統(tǒng)進(jìn)行系統(tǒng)復(fù)位和加載。處理器A系統(tǒng)通過固化在flash中的程序進(jìn)行引導(dǎo)啟動，進(jìn)入系統(tǒng)后在本地文件系統(tǒng)根目錄下創(chuàng)建特定的目錄，將預(yù)先制作好的處理器B系統(tǒng)的啟動鏡像文件加載存放到該目錄中。
[0020]處理器A系統(tǒng)加載內(nèi)核啟動模塊，以支持處理器B的啟動控制，消息通信等基礎(chǔ)功會K。
[0021 ] 處理器A系統(tǒng)加載級聯(lián)啟動的驅(qū)動模塊。
[0022]處理器A系統(tǒng)運行啟動處理器B系統(tǒng)的應(yīng)用程序，啟動程序開始初始化處理器B系統(tǒng)需要用到的所有DDR，接著將處理器A系統(tǒng)目錄下的啟動鏡像文件搬運到特定的處理器B的內(nèi)存地址，S卩