劉艷層，袁鵬，尹嚴研

（北京京航計算通訊研究所，北京市100074）

1 引言

目前，網絡視頻監(jiān)控技術不斷發(fā)展，其關注的重點在于系統(tǒng)功能的實現，主要包括視頻圖像的采集、存儲和如何實現網絡傳輸。其安全則由于技術限制（實時視頻大數據的加密瓶頸）和準備不足成為行業(yè)產品廠商的短板甚至是盲區(qū)，造成了目前的視頻監(jiān)控系統(tǒng)自身安全保障的缺失。因此，研發(fā)實現更加可靠、更加安全且完全自主可控的網絡視頻監(jiān)控產品勢在必行。

2 安全視頻監(jiān)控系統(tǒng)的組成

加密監(jiān)控主要包括前端安全視頻采集接入和后端服務中心管理兩大部分。

系統(tǒng)首先利用前端的視頻采集設備，包括高清安全網絡攝像機，將視頻數據采集并加密后，通過視頻專網傳輸到后端管理中心。然后通過管理中心的視頻管理主服務器、流媒體服務器、存儲服務器、安全解碼器、CA 認證服務器及安全工作站等后端管理設備對視頻數據進行安全的客戶端瀏覽、集中存儲、電視墻觀看等具體應用。安全視頻監(jiān)控系統(tǒng)結構如圖1所示。

圖1 安全視頻監(jiān)控系統(tǒng)結構圖

3 安全視頻監(jiān)控系統(tǒng)的工作原理

安全視頻監(jiān)控系統(tǒng)內各設備通過內置加密模塊，在CA 服務器的支持下，利用公鑰協(xié)商方式協(xié)商出視頻密鑰加密密鑰，然后使用對稱算法加密傳輸視頻數據。

具體工作原理如下所示：

①密鑰協(xié)商。存儲服務器和加固攝像機建立視頻連接時，每24 小時進行1 次密鑰協(xié)商，協(xié)商成功后更換視頻密鑰加密密鑰。密鑰協(xié)商基于公鑰密碼算法，在CA 服務器的支撐下進行。

②加密傳輸。密鑰協(xié)商成功后，加固攝像機使用本地生成的視頻加密密鑰加密視頻數據，視頻加密密鑰（VEK）由交互的視頻密鑰加密密鑰（VKEK）加密后也隨碼流一起傳輸，視頻加密密鑰（VEK）每1 小時更新一次。在視頻監(jiān)控網絡中傳輸時，視頻數據以加密形態(tài)出現。

③密文存儲。加密視頻數據到達存儲服務器后，由存儲服務器直接以密文方式存入本地。隨同密文一起存儲的還包括用存儲服務器公鑰加密的視頻密鑰加密密鑰（VKEK）和對應的視頻密鑰加密密鑰版本（VKEKVersion）參數。存儲碼流的開始必須要包含一個（VKEKVersion，VKEK 密文）數據包，表明該數據包之后的碼流均通過該組VKEK 對VEK 進行加密操作，直到出現下一個（VKEKVerison，VKEK 密文）數據包，表明新數據包之后的VKEK 需要更新。安全監(jiān)控工作站需要調取歷史數據進行查看時，存儲服務器先用私鑰解密出錄像文件中保存的VKEK的原文，并用碼流接收方的公鑰對VKEK 原文重新加密后，和對應的VKEKVersion 一起用信令的方式轉發(fā)給碼流接收方；錄像文件保持加密形式發(fā)送給碼流接收方；接收方用自己的私鑰解密VKEK 后，用VKEK 解密VEK，從而解密視頻流用于播放。

④加密轉發(fā)。安全解碼器、安全監(jiān)控工作站和加固攝像機之間不直接連接，而是通過存儲服務器獲得視頻數據。安全解碼器、安全監(jiān)控工作站與存儲服務器建立連接時，存儲服務器將相關加固攝像機的VKEK 和對應的VKEKVerison 通過信令方式轉發(fā)給安全解碼器、安全監(jiān)控工作站，轉發(fā)過程也要執(zhí)行1 次密鑰協(xié)商過程，區(qū)別是視頻加密密鑰不是新生成的，是轉發(fā)加固攝像機的。

⑤設備認證。通過內置密碼模塊中公鑰證書有效性的驗證，可以對設備進行有效性驗證。出現設備失控時，及時在CA服務器中將其吊銷，即可阻斷該設備再次入網。

4 安全視頻監(jiān)控系統(tǒng)的設計

安全視頻監(jiān)控系統(tǒng)的設計基于目前國內完全自主可控且高端成熟的視頻監(jiān)控技術，并結合具備高安全性的公普級數據加密技術，設計和開發(fā)了端到端的完整視頻加密監(jiān)控系統(tǒng)。該系統(tǒng)從攝像機圖像采集開始到數據傳輸、存儲，再到認證系統(tǒng)管理下的數據解密解碼，在應用中形成完整的系統(tǒng)化產品系列，包括加固攝像機、解密終端以及認證管控等應用服務器和客戶端軟件，共同構建起基于公普加密算法的高清視頻監(jiān)控系統(tǒng)。以下為系統(tǒng)的硬件設計、軟件設計。

4.1 硬件設計

①電源部分。設備包括三種供電方式：AC24V，DC12V 和POE。其中，AC24V 和DC12V 支持寬壓±25%輸入范圍，POE支持空閑線和信號線兩種供電類型。不同機型根據實際應用需求設計合適的供電方式，電源經過浪涌防護后，通過電源拓撲為整個系統(tǒng)的正常運行提供所需穩(wěn)定的各種電源電壓。

②CMOS 圖像傳感器及其外圍電路部分。該部分實現光電信號的轉換，并經過其內部放大，A/D 轉換等處理輸出數字裸視頻數據，向DSP 提供做進一步處理。

③DSP 處理器及其外圍電路部分。該部分是加固攝像機（IPC）的核心部分，主要功能為：第一，對SENSOR 寄存器進行配置，采集SENSOR 輸出的圖像數據，進行視頻處理、視頻編碼、加密以及視頻輸出。第二，對網絡PHY的寄存器進行配置，以及兩者之間的視頻數據傳輸。第三，采集音頻信號，并進行數據處理和輸出；報警輸入輸出控制。第四，控制SD 卡實現視頻數據存儲等。上述為DSP 實現的通用功能。同時，設備的紅外燈控制、濾光片切換、變倍變焦等功能，均由DSP 控制相應的外圍驅動芯片來實現。視頻加密功能通過USB 接口調用密碼模塊完成。

4.2 軟件設計

軟件分為用戶接口層、應用組件層、設備驅動層。

①用戶接口層。用戶接口層提供linux的動態(tài)鏈接庫接口，基于應用組件層，完成以下功能。

網絡服務：按照加固攝像機（IPC）網絡通訊協(xié)議，提供實時或歷史媒體數據傳輸、系統(tǒng)管理、功能和設備的控制等服務。包括Web 和自主開發(fā)的平臺軟件。

控制臺系統(tǒng)：以文字界面的方式接收用戶輸入，運行特定過程，改變系統(tǒng)狀態(tài)，打印系統(tǒng)的輸出，用于調試、自動測試等場合。

②應用組件層。

抓圖組件：主要用于圖片獲取以及存盤傳輸。

錄像模塊：主要用于錄像控制，包括主碼流、子碼流。

錄像回放模塊：利用Web 開啟回放功能，通過獲取文件信息以及視頻碼流，取出碼流后實時送至解碼模塊進行解碼顯示。

日志管理：記錄系統(tǒng)運行期間的信息（如系統(tǒng)操作、配置操作、報警事件、數據管理等）。供用戶查看設備過去時間內設備發(fā)生的變動。

③設備驅動層。

加固攝像機（IPC）：加固攝像機使用（IPC）box 基礎驅動框架，集成所有加固攝像機（IPC）產品型號的資源配置，以及外設驅動。

音視頻編碼：音視頻型號相關的資源配置驅動。

視頻編碼模塊：數據加密主要在視頻數據編碼后，調用加密接口對視頻數據進行加密，加密后對數據根據協(xié)議進行封裝，最后將封裝后的加密數據通過網絡發(fā)送至安全網絡硬盤錄像機（NVR）端，進行解密。

5 結語

加密視頻監(jiān)控系統(tǒng)通過公普加密，對國產攝像機進行改造，實現高清視頻“端到端”的全程加密，彌補目前視頻信息數據安全方面的不足。通過對敏感視頻內容進行有效防護，可以確保視頻數據的傳輸、存儲、流轉、查閱的安全性、完整性、可信任性及可追溯性，使得視頻信息在各應用環(huán)節(jié)始終處于安全狀態(tài)和嚴密監(jiān)管之下，杜絕視頻圖像被非法竊取、偽造或變造的可能，從而實現視頻監(jiān)控信息數據的安全可靠管理。