一种具有认证加密功能的基于RS485总线的通信系统及方法与流程

本发明涉及嵌入式领域身份认证和通信加密，具体涉及rs485总线的接入认证和数据加密技术。

背景技术：

rs485总线由于其简单的控制方法和灵活的多节点组网，被广泛应用于机车、汽车、工业控制、智能设备等领域。但作为一个开放的总线技术，在带来方便的同时，也给数据的传输安全带来了一定的威胁，特别是在一些开放的工作环境下，其他终端可以随意接入总线进行数据的监听，同时运用rs485总线的设备或终端很多基于嵌入式软硬件架构，软硬件资源都受到一定的限制，给实现认证加密增加了一定的难度。

现有的rs485通信技术存在如下缺点：

a)通信未加密或者只有简单的对称加密，密钥更改困难，存在数据密钥丢失以及被强力破解风险；

b)嵌入式设备由于受限的软硬件运算能力，大多无法直接运行通用的身份认证技术。

因此，亟需一种更加可靠的针对rs485总线的具有认证加密功能的通信方案。

技术实现要素：

为解决现有技术的缺陷，本发明提供了一种嵌入式领域基于rs485总线的具有认证加密的通信系统和方法。

本发明提供了一种具有认证加密功能的基于rs485总线的通信系统，所述系统包括主设备侧、从设备侧以及rs485总线，所述主设备侧与从设备侧基于所述rs485总线进行通信；所述主设备侧包括rs485总线控制模块、dtls链路层协议适配模块以及dtls协议核心模块以及主设备；所述从设备侧包括rs485总线控制模块、dtls链路层协议适配模块以及dtls协议核心模块以及从设备。

其中：

当所述主设备侧和所述从设备侧之间首次连接或者重新连接时，所述从设备侧的dtls协议核心模块对认证加密协商请求进行组包并将该组包发送给所述dtls链路层协议适配模块，该组包内容包括主设备的ip、udp端口和认证加密协商数据；

所述从设备侧的dtls链路层协议适配模块将所述认证加密协商数据重新映射后封装并发送给所述rs485总线控制模块，如果所述认证加密协商数据超过一定的长度就进行分片，对分片所得的切片进行组装，并将组装后的数据包发送给所述rs485总线控制模块；

所述从设备侧的rs485总线控制模块对接收到的数据包进行成帧处理，监听所述主设备发送的总线控制帧，当所述总线控制帧表示允许发送数据时，将成帧后的数据发送到所述rs485总线；

所述主设备侧的rs485总线控制模块对从所述rs485总线接收到的成帧后的数据进行定帧处理以及差错校验，校验正确的数据帧上送到所述主设备侧的dtls链路层协议适配模块；

所述主设备侧的dtls链路层协议适配模块在分片的情况下重组切片，重组得到完整数据之后进行解封装以及ip和udp端口反映射，上送给所述主设备侧的dtls协议核心模块；

所述主设备侧的dtls协议核心模块接收到从设备的认证加密协商请求后，向从设备发送该请求的响应报文，该响应报文的路径和从设备侧到主设备侧相反。

在一个实施例中，所述主设备侧和所述从设备侧的rs485总线控制模块还被配置成协调本设备与在该rs485总线上的其它各设备的发送时隙。

在一个实施例中，所述主设备侧和所述从设备侧的所述rs485总线控制模块还被配置成根据定帧处理后的数据的帧头中的设备标识符区分来源于不同设备的数据。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块被配置成完成ip地址和udp端口到rs485设备标识符之间的转化，完成对所述认证加密协商数据的封装和解封装。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块还被配置成让数据的传输适应rs485通信的低速并进行可控的时延。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块完成数据的切片以及切片的组装，为每个已连接设备维护一个分片组装状态机，完成组装和校验后再分发到所述dtls协议核心模块。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块对防ddos攻击的cookie验证数据长度进行裁剪，以减少通信开销，提高交互效率。

在一个实施例中，所述主设备侧和所述从设备侧的dtls协议核心模块还被配置成进行传输层安全性协议的处理，所述处理包括基于所述认证加密协商请求对接入的身份认证，完成通信加密密钥的协商，对应用层数据进行加密，以及对接收到的数据进行解密。

在一个实施例中，所述主设备侧和所述从设备侧的dtls协议核心模块采用基于嵌入式领域的开源库实现。

在一个实施例中，所述基于嵌入式领域的开源库包括mbedtls或tinydtls。

本发明提供了一种具有认证加密功能的基于rs485总线的通信方法，其中，主设备侧与从设备侧基于所述rs485总线进行通信，所述方法包括：

为所述主设备侧提供rs485总线控制模块、dtls链路层协议适配模块以及dtls协议核心模块；

为所述从设备侧提供rs485总线控制模块、dtls链路层协议适配模块以及dtls协议核心模块；

当所述主设备侧和所述从设备侧之间首次连接或者重新连接时，所述从设备侧的dtls协议核心模块对认证加密协商请求进行组包并将该组包发送给所述dtls链路层协议适配模块，该组包内容包括主设备的ip、udp端口和认证加密协商数据；

所述从设备侧的dtls链路层协议适配模块将所述认证加密协商数据重新映射后封装并发送给所述rs485总线控制模块，如果所述认证加密协商数据超过一定的长度就进行分片，对分片所得的切片进行组装，并将组装后的数据包发送给所述rs485总线控制模块；

所述从设备侧的rs485总线控制模块对接收到的数据包进行成帧处理，监听所述主设备发送的总线控制帧，当所述总线控制帧表示允许发送数据时，将成帧后的数据发送到所述rs485总线；

所述主设备侧的rs485总线控制模块对从所述rs485总线接收到的成帧后的数据进行定帧处理以及差错校验，校验正确的数据帧上送到所述主设备侧的dtls链路层协议适配模块；

所述主设备侧的dtls链路层协议适配模块在分片的情况下重组切片，重组得到完整数据之后进行解封装以及ip和udp端口反映射，上送给所述主设备侧的dtls协议核心模块；

所述主设备侧的dtls协议核心模块接收到从设备的认证加密协商请求后，向从设备发送该请求的响应报文，该响应报文的路径和从设备侧到主设备侧相反。

在一个实施例中，所述主设备侧和所述从设备侧的rs485总线控制模块还被配置成协调本设备与在该rs485总线上的其它各设备的发送时隙。

在一个实施例中，所述主设备侧和所述从设备侧的所述rs485总线控制模块还被配置成根据定帧处理后的数据的帧头中的设备标识符区分来源于不同设备的数据。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块被配置成完成ip地址和udp端口到rs485设备标识符之间的转化，完成对所述认证加密协商数据的封装和解封装。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块还被配置成让数据的传输适应rs485通信的低速并进行可控的时延。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块完成数据的切片以及切片的组装，为每个已连接设备维护一个分片组装状态机，完成组装和校验后再分发到所述dtls协议核心模块。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块对防ddos攻击的cookie验证数据长度进行裁剪，以减少通信开销，提高交互效率。

在一个实施例中，所述主设备侧和所述从设备侧的dtls协议核心模块还被配置成进行传输层安全性协议的处理，所述处理包括基于所述认证加密协商请求对接入的身份进行认证，完成通信加密密钥的协商，对应用层数据进行加密，以及对接收到的数据进行解密。

在一个实施例中，所述主设备侧和所述从设备侧的dtls协议核心模块采用基于嵌入式领域的开源库实现。

在一个实施例中，所述基于嵌入式领域的开源库包括mbedtls或tinydtls。

本发明具有以下极为有益的技术效果：

首先，本发明利用已有的标准认证加密协议，具有良好的互通性，利用成熟的基于嵌入式领域的加解密库，相对于重新开发私有协议和代码，可以极大地减少开发难度和成本，同时具有较高的稳定性和可靠性；

其次，本发明可以在不改变系统架构和硬件的前提下，完全由软件完成rs485通信的加密，可以有效的保护现有的投资；

再次，本发明为适应rs485通信系统的低速以及软硬件资源受限的环境，对不改变协议流程、降低可靠性的前提下，对交互的数据量进行裁剪以及对数据进行切片，提高了系统的通信效率，以及多终端情况下的实时响应性能。

附图说明

本发明的以上发明内容以及下面的具体实施方式在结合附图阅读时会得到更好的理解。需要说明的是，附图仅作为所请求保护的发明的示例。在附图中，相同的附图标记代表相同或类似的元素。

图1示出根据本发明一实施例的具有认证加密功能的基于rs485总线的通信系统；

图2示出根据本发明一实施例的具有认证加密功能的基于rs485总线的通信方法。

具体实施方式

以下在具体实施方式中详细叙述本发明的详细特征以及优点，其内容足以使任何本领域技术人员了解本发明的技术内容并据以实施，且根据本说明书所揭露的说明书、权利要求及附图，本领域技术人员可轻易地理解本发明相关的目的及优点。

目前大多的rs485通信技术没有实现加密或者只有简单的对称加密，存在数据密钥丢失以及被破解风险，而且没有相应的通用身份识别技术，所以需要一种更加可靠的加密通信方法。

本发明运用基于嵌入式领域优化的dtls技术，提供了一种嵌入式领域rs485总线认证加密的方案，解决了身份认证和动态密钥生成问题。

图1示出根据本发明一实施例的具有认证加密功能的基于rs485总线的通信系统。

所述系统包括主设备侧、从设备侧以及rs485总线。

主设备侧与从设备侧通过rs485总线通信。

主设备侧和从设备侧各自包括rs485总线控制模块、dtls链路层协议适配模块以及dtls协议核心模块。

rs485总线控制模块

由于rs485为半双工网络，为实现设备间的双向通信，rs485总线控制模块被配置成协调本设备与在该rs485总线上的其它各设备的发送时隙。另外，rs485总线控制模块被配置成对接收方向的数据进行定帧处理，同时根据定帧后的帧头中的设备标识符区分来源于不同设备的数据。

dtls链路层协议适配模块

dtls全称datagramtransportlayersecurity，即数据包传输层安全性协议。tls(transportlayersecurity，传输层安全协议)不能用来保证udp上传输的数据的安全，因此dtls试图在现存的tls协议架构上提出扩展，使之支持udp，即成为tls的一个支持数据包传输的版本。

现有技术中，dtls协议运行于udp/ip网络，无法直接运行于rs485链路。本发明的dtls链路层协议适配模块被配置成完成ip地址和udp端口到rs485设备标识符之间的转化，完成udp数据净荷的封装和解封装。另外，dtls链路层协议适配模块还被配置成适应rs485通信的低速以及进行可控的时延，dtls链路层协议适配模块完成数据的切片以及切片的组装，为每个已连接设备维护一个分片组装状态机，完成组装和校验后再分发到dtls协议核心模块。

dtls协议核心模块

dtls协议核心模块被配置成进行tls协议的处理，主要包括接入的身份认证，完成通信加密密钥的协商，对应用层数据进行加密，以及对接收到的数据进行解密。在一个实施例中，由于dtls协议为通用的标准协议，本发明的dtls协议核心模块可以直接采用mbedtls、tinydtls等基于嵌入式领域的开源库实现。在一个实施例中，由于rs485为低速网络，本发明将防ddos攻击的cookie验证数据长度进行裁剪，以减少通信开销，提高交互效率。

图2示出根据本发明一实施例的具有认证加密功能的基于rs485总线的通信方法。本发明的具有认证加密功能的基于rs485总线的通信方法包括以下步骤：

步骤1：为所述主设备侧和所述从设备侧分别提供rs485总线控制模块、dtls链路层协议适配模块以及dtls协议核心模块；

步骤2：当主设备和从设备之间首次连接或者重新连接时，从设备侧的dtls协议核心模块对认证加密协商请求进行组包，组包内容包括主机的ip、udp端口和认证加密协商数据，将该组包发送给dtls链路层协议适配模块；

步骤3：从设备侧的dtls链路层协议适配模块将请求数据重新映射封装，如果数据超过一定的长度就进行切片(即分片)，将封装后的数据发送给rs485总线控制模块；

步骤4：从设备侧的rs485总线控制模块对数据包进行长度以及校验和等成帧处理，监听主设备发送的总线控制帧，当允许发送数据时，将成帧后的数据发送到rs485总线；

步骤5：主设备侧的rs485总线控制模块对从rs485总线接收到的数据进行定帧处理以及差错校验，校验正确的数据帧上送到主设备的dtls链路层协议适配模块；

步骤6：主设备侧的dtls链路层协议适配模块在分片的情况下重组分片，接收到完整数据之后进行解封装和ip和udp端口反映射，上送给dtls协议核心模块；

步骤7：主设备侧的dtls协议核心模块接收到从设备的认证加密协商请求后，向从设备发送该请求的响应报文，该响应报文的路径和从设备到主设备正好相反。

上述通信流程中承载的数据为认证加密协商数据，其中包括认证请求、身份认证、密钥协商数据等，这些数据的传输均可依照步骤1到7执行。协商成功之后就可以进行应用数据的交互，应用数据的交互也与步骤1到7的流程是一致的，rs485总线传输的都是经过协商的临时密钥加密后的数据。

本发明提供了一种具有认证加密功能的基于rs485总线的通信系统，所述系统包括主设备侧、从设备侧以及rs485总线，所述主设备侧与从设备侧基于所述rs485总线进行通信；所述主设备侧包括rs485总线控制模块、dtls链路层协议适配模块以及dtls协议核心模块以及主设备；所述从设备侧包括rs485总线控制模块、dtls链路层协议适配模块以及dtls协议核心模块以及从设备。

其中：

当所述主设备侧和所述从设备侧之间首次连接或者重新连接时，所述从设备侧的dtls协议核心模块对认证加密协商请求进行组包并将该组包发送给所述dtls链路层协议适配模块，该组包内容包括主设备的ip、udp端口和认证加密协商数据；

所述从设备侧的dtls链路层协议适配模块将所述认证加密协商数据重新映射后封装并发送给所述rs485总线控制模块，如果所述认证加密协商数据超过一定的长度就进行分片，对分片所得的切片进行组装，并将组装后的数据包发送给所述rs485总线控制模块；

所述从设备侧的rs485总线控制模块对接收到的数据包进行成帧处理，监听所述主设备发送的总线控制帧，当所述总线控制帧表示允许发送数据时，将成帧后的数据发送到所述rs485总线；

所述主设备侧的rs485总线控制模块对从所述rs485总线接收到的成帧后的数据进行定帧处理以及差错校验，校验正确的数据帧上送到所述主设备侧的dtls链路层协议适配模块；

所述主设备侧的dtls链路层协议适配模块在分片的情况下重组切片，重组得到完整数据之后进行解封装以及ip和udp端口反映射，上送给所述主设备侧的dtls协议核心模块；

所述主设备侧的dtls协议核心模块接收到从设备的认证加密协商请求后，向从设备发送该请求的响应报文，该响应报文的路径和从设备侧到主设备侧相反。

在一个实施例中，所述主设备侧和所述从设备侧的rs485总线控制模块还被配置成协调本设备与在该rs485总线上的其它各设备的发送时隙。

在一个实施例中，所述主设备侧和所述从设备侧的所述rs485总线控制模块还被配置成根据定帧处理后的数据的帧头中的设备标识符区分来源于不同设备的数据。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块被配置成完成ip地址和udp端口到rs485设备标识符之间的转化，完成对所述认证加密协商数据的封装和解封装。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块还被配置成让数据的传输适应rs485通信的低速并进行可控的时延。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块完成数据的切片以及切片的组装，为每个已连接设备维护一个分片组装状态机，完成组装和校验后再分发到所述dtls协议核心模块。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块对防ddos攻击的cookie验证数据长度进行裁剪，以减少通信开销，提高交互效率。

在一个实施例中，所述主设备侧和所述从设备侧的dtls协议核心模块还被配置成进行传输层安全性协议的处理，所述处理包括基于所述认证加密协商请求对接入的身份认证，完成通信加密密钥的协商，对应用层数据进行加密，以及对接收到的数据进行解密。

在一个实施例中，所述主设备侧和所述从设备侧的dtls协议核心模块采用基于嵌入式领域的开源库实现。

在一个实施例中，所述基于嵌入式领域的开源库包括mbedtls或tinydtls。

本发明提供了一种具有认证加密功能的基于rs485总线的通信方法，其中，主设备侧与从设备侧基于所述rs485总线进行通信，所述方法包括：

为所述主设备侧提供rs485总线控制模块、dtls链路层协议适配模块以及dtls协议核心模块；

为所述从设备侧提供rs485总线控制模块、dtls链路层协议适配模块以及dtls协议核心模块；

当所述主设备侧和所述从设备侧之间首次连接或者重新连接时，所述从设备侧的dtls协议核心模块对认证加密协商请求进行组包并将该组包发送给所述dtls链路层协议适配模块，该组包内容包括主设备的ip、udp端口和认证加密协商数据；

所述从设备侧的dtls链路层协议适配模块将所述认证加密协商数据重新映射后封装并发送给所述rs485总线控制模块，如果所述认证加密协商数据超过一定的长度就进行分片，对分片所得的切片进行组装，并将组装后的数据包发送给所述rs485总线控制模块；

所述从设备侧的rs485总线控制模块对接收到的数据包进行成帧处理，监听所述主设备发送的总线控制帧，当所述总线控制帧表示允许发送数据时，将成帧后的数据发送到所述rs485总线；

所述主设备侧的rs485总线控制模块对从所述rs485总线接收到的成帧后的数据进行定帧处理以及差错校验，校验正确的数据帧上送到所述主设备侧的dtls链路层协议适配模块；

所述主设备侧的dtls链路层协议适配模块在分片的情况下重组切片，重组得到完整数据之后进行解封装以及ip和udp端口反映射，上送给所述主设备侧的dtls协议核心模块；

所述主设备侧的dtls协议核心模块接收到从设备的认证加密协商请求后，向从设备发送该请求的响应报文，该响应报文的路径和从设备侧到主设备侧相反。

在一个实施例中，所述主设备侧和所述从设备侧的rs485总线控制模块还被配置成协调本设备与在该rs485总线上的其它各设备的发送时隙。

在一个实施例中，所述主设备侧和所述从设备侧的所述rs485总线控制模块还被配置成根据定帧处理后的数据的帧头中的设备标识符区分来源于不同设备的数据。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块被配置成完成ip地址和udp端口到rs485设备标识符之间的转化，完成对所述认证加密协商数据的封装和解封装。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块还被配置成让数据的传输适应rs485通信的低速并进行可控的时延。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块完成数据的切片以及切片的组装，为每个已连接设备维护一个分片组装状态机，完成组装和校验后再分发到所述dtls协议核心模块。

在一个实施例中，所述主设备侧和所述从设备侧的所述dtls链路层协议适配模块对防ddos攻击的cookie验证数据长度进行裁剪，以减少通信开销，提高交互效率。

在一个实施例中，所述主设备侧和所述从设备侧的dtls协议核心模块还被配置成进行传输层安全性协议的处理，所述处理包括基于所述认证加密协商请求对接入的身份进行认证，完成通信加密密钥的协商，对应用层数据进行加密，以及对接收到的数据进行解密。

在一个实施例中，所述主设备侧和所述从设备侧的dtls协议核心模块采用基于嵌入式领域的开源库实现。

在一个实施例中，所述基于嵌入式领域的开源库包括mbedtls或tinydtls。

本发明具有以下极为有益的技术效果：

首先，本发明利用已有的标准认证加密协议，具有良好的互通性，利用成熟的基于嵌入式领域的加解密库，相对于重新开发私有协议和代码，可以极大地减少开发难度和成本，同时具有较高的稳定性和可靠性；

其次，本发明可以在不改变系统架构和硬件的前提下，完全由软件完成rs485通信的加密，可以有效的保护现有的投资；

再次，本发明为适应rs485通信系统的低速以及软硬件资源受限的环境，对不改变协议流程、降低可靠性的前提下，对交互的数据量进行裁剪以及对数据进行切片，提高了系统的通信效率，以及多终端情况下的实时响应性能。

这里采用的术语和表述方式只是用于描述，本发明并不应局限于这些术语和表述。使用这些术语和表述并不意味着排除任何示意和描述(或其中部分)的等效特征，应认识到可能存在的各种修改也应包含在权利要求范围内。其他修改、变化和替换也可能存在。相应的，权利要求应视为覆盖所有这些等效物。

同样，需要指出的是，虽然本发明已参照当前的具体实施例来描述，但是本技术领域中的普通技术人员应当认识到，以上的实施例仅是用来说明本发明，在没有脱离本发明精神的情况下还可做出各种等效的变化或替换，因此，只要在本发明的实质精神范围内对上述实施例的变化、变型都将落在本申请的权利要求书的范围内。