[发明专利]一种基于云端与边缘端数据交换的安全系统和方法

说明书

本发明涉及一种基于云端与边缘端数据交换的安全系统和方法，包括设于企业网络的非军事区的数据交换前置代理，所述前置代理通过企业防火墙与公有云网络连接，基于数字证书双向身份认证；企业的管理信息区和生产控制区之间设有安全数据交换设备；企业生产控制区内设有数据交换后置代理；所述后置代理通过安全数据交换设备与非军事区中的前置代理进行数据交换；企业生产控制区内的边缘计算节点通过后置代理从云端下载人工智能模型和参数，从生产设备采集过程数据，运行人工智能算法。本发明符合工业企业现有安全策略，在网络层、传输层、应用层三个层面解决了工业互联网人工智能应用中云端和边缘端数据交换的安全问题。

技术领域

本发明涉及信息安全领域，尤其是涉及一种基于云端与边缘端数据交换的安全系统和方法。

背景技术

工业互联网通常采用云端和边缘端协同的架构。边缘端在靠近工业现场的网络边缘侧运行处理、分析等操作，就近提供边缘计算服务，能够更好满足制造业敏捷连接、实时优化、安全可靠等方面的关键需求。

人工智能（AI）是工业互联网的重要组成部分，在全面感知、泛在连接、深度集成和高效处理的基础上，工业人工智能实现精准决策和动态优化，完成工业互联网的数据优化闭环。在典型的基于深度学习的人工智能运用中，云端负责建模和模型训练，边缘端负责运行AI模型以实现预测、分类、识别等功能。建模和模型训练不仅需要专业人员，还需要专门的硬件，如GPU和TPU等。工业企业大多并不具备上述条件，对这些企业而言，使用公有云（移动、阿里、百度、腾讯、亚马逊等）提供的建模和模型训练云服务是比较务实的选择。

使用公有云提供的人工智能服务需要在云端（公有云）与边缘端（企业）之间进行数据交换，边缘端把用于模型训练的样本数据上传到云端，云端把AI模型以及模型参数下载到边缘端，由边缘端负责执行。

工业企业对网络安全和信息安全有比较高的要求。由于需要跨越公有云、互联网、企业内部网络，上述数据交换必须充分考虑网络安全和信息安全，做好全方位的安全防护。安全防护缺失或者不到位，将给工业企业的网络安全、信息安全，甚至是生产安全带来隐患。

发明内容

为了解决上述技术问题，本发明提出一种基于云端与边缘端数据交换的安全系统和方法，使用公有云提供的人工智能服务需要在云端（公有云）与边缘端（企业）之间进行数据交换，边缘端把用于模型训练的样本数据上传到云端，云端把AI模型以及模型参数下载到边缘端，由边缘端负责执行。

工业企业对网络安全和信息安全有比较高的要求。由于需要跨越公有云、互联网、企业内部网络，上述数据交换必须充分考虑网络安全和信息安全，做好全方位的安全防护。安全防护缺失或者不到位，将给工业企业的网络安全、信息安全，甚至是生产安全带来隐患。

本发明的技术方案具体如下：

一种基于云端与边缘端数据交换的安全系统，包括设于企业网络的非军事区的数据交换前置代理，所述前置代理通过企业防火墙与公有云网络连接，基于数字证书双向身份认证；

企业的管理信息区和生产控制区之间设有安全数据交换设备；

企业生产控制区内设有数据交换后置代理；所述后置代理通过安全数据交换设备与非军事区中的前置代理进行数据交换；

企业生产控制区内的边缘计算节点通过后置代理从云端下载人工智能模型和参数，从生产设备采集过程数据，运行人工智能算法。

进一步地，全数据交换设备、数据交换前置代理与公有云之间还设有防火墙。

进一步地，公有云和前置代理各自持有传输层证书，并且将对方的证书配置在信任证书列表中；由公有云或前置代理发起数据交换。

进一步地，后置代理和公有云配置应用层证书，发送数据时，使用各自数字证书对应的私钥进行签名，接收数据时使用对方数字证书中的公钥进行验签；验签失败的数据被抛弃。