[发明专利]工业终端设备的离线初始化方法和系统

说明书

技术领域

本发明涉及工业终端初始化技术领域，特别是涉及一种工业终端设备的离线初始化方法，以及一种工业终端设备的离线初始化系统。

背景技术

工业终端设备（如电网的配电终端、负荷终端、计量终端等设备）在应用广泛应用。典型的分布式工控系统（或分布式数据采集系统）由工控主站（或监控后台）和工业终端设备组成。

这些工业终端与工控主站的之间的通信主要是基于IP网络技术，为解决这一类型系统的业务数据在传统IP网络中的机密性、完整性和抗抵赖性，需要在工业终端与工控主站之间部署防护设备（或防护模块），即主站防护设备和终端防护设备。设备之间的通信安全性依赖于密钥的保密性，其中私钥由设备自行保管，公钥通过证书方式分配给所有通信对等实体。在一些安全级别要求高的应用场景（如电网生产系统）中为了确保安全性，采用离线方式签发证书，每增加一台终端防护设备手工执行如下几个方面的工作：

1）生成公私钥对

2）数字证书系统签发该终端防护设备的证书A

3）将证书A离线颁发给主站防护装置

4）将主站证书B颁发给该终端防护设备

5）将数字证书系统的根证书颁发给该终端防护设备

6）配置该终端防护设备等等一批配置信息。

这种工控系统离线证书签发相比传统数字证书系统的证书签发具有如下缺陷：

1是传统数字证书系统签发的设备更多的是计算机、服务器或PC机等设备，这些设备的证书安装过程中都是人为操作，可进行人为的配置操作。而工业终端防护设备是一种工业控制设备，不带鼠标、键盘、显示器等通用人机接口；而且设备安装过程中通常不具备计算机相关知识的工程师。

2是传统数字证书给设备签发证书都是采用在线方式，由CA机构（证书授证Certificate Authority中心）进行在线证书签发，这样可以将很多配置信息通信在线签发的协议进行传输。而工业终端防护设备的证书签发为确保其安全性需要采用离线方式进行证书签发，这样导致需要将大量的配置信息通过离线方式注入到设备中。

3是工控主站防护装置数量通常固定为两台或四台，但终端防护设备一般数量很多，而且随着工控系统规模增大（如智能电网的建设），这些终端防护设备的数量会越来越多。而每增加一台终端防护设备就需要给该终端注入大量的配置信息，同时给主站防护装置增加该终端防护设备的信息。以每台终端防护设备配置需要半小时计，一万个终端防护设备的配置需要6.94个月才能配置完成，对于工控系统的生产、运行和建设带来极大的不便，效率非常低。

发明内容

基于此，本发明提供一种工业终端设备的离线初始化方法和系统，能对工业终端设备进行离线初始化，工作效率和安全性能高。

一种工业终端设备的离线初始化方法，包括如下步骤：

管理终端获取输入的工业终端设备的初始化信息；

管理终端与所述工业终端设备建立连接，并将初始化命令发送给所述工业终端设备；

工业终端设备响应所述初始化命令；

管理终端接收所述响应命令，获取服务器密码机生成的数字证书并签名；

管理终端将所述数字证书和初始化信息发送给工业终端设备；

所述工业终端设备接收所述数字证书和初始化信息进行初始化操作，并反馈初始化结果给所述管理终端。

一种工业终端设备的数字证书离线签发系统，包括管理终端、工业终端设备和服务器密码机，所述工业终端设备和服务器密码机分别和所述管理终端连接，其中，所述管理终端包括获取模块、连接模块、签名模块和发送模块；所述工业终端设备包括响应模块和初始化模块；

所述获取模块用于获取输入的工业终端设备的初始化信息；

所述连接模块用于与所述工业终端设备建立连接，并将初始化命令发送给所述工业终端设备；

所述响应模块响应所述初始化命令；

所述签名模块用于接收所述响应命令，获取服务器密码机生成的数字证书并签名；

所述发送模块用于将所述数字证书和初始化信息发送给工业终端设备；

所述初始化模块用于接收所述数字证书和初始化信息进行初始化操作，并反馈初始化结果给所述管理终端。