一种基于SDN的智能船网络系统

一种基于sdn的智能船网络系统
技术领域
1.本发明涉通信技术领域，具体而言，尤其涉及一种基于sdn的智能船网络系统。


背景技术：

2.近些年来，世界各国关于智能船的研究和开发已经逐步展开，船级社已发布智能船相关规范，智能船舶系指利用传感器、通信、互联网等技术手段，自动感知和获取船舶各方面的信息和数据，并基于计算机技术等分析技术使船舶更加安全、可靠。其中，智能船与传统船舶网络相比，其灵活性、安全性、可靠性和实时性要求更高。传统船舶的通信网络系统因其固定配置模式，无法及时满足智能船的网络划分需求。
3.具体来说，传统船舶的网络系统在智能船通信系统中使用将面临以下问题：
4.1)网络中的数据传输路径单一，当网络出现故障时会导致数据丢失；
5.2)传统船舶网络存在广播风暴的危险；
6.3)传统网络拓扑的复杂伴随着配置复杂度高的问题，没有一定能力的网络工程师无法完成对复杂网络中协议保护的配置。此外，当网络配置达到一定的复杂程度时，船舶网络的保护协议能力达到了瓶颈；
7.4)传统船舶网络安全性较低等。
8.目前，国内外诸多学者提出了智能船内部通信的网络架构，如船舶传感器收集的数据通过连接设备与附近的网关节点组成局域网；通过以太网或canopen技术集成传感器和船舶执行器的网络等技术；部分学者针对自主航行船舶设计了内部通信的网络架构，包括自主船舶控制器、导航系统和机械系统等。但是，上述方法无法解决上述问题。


技术实现要素：

9.鉴于现有技术的不足，本技术公开了一种基于sdn的智能船网络系统，按照工作状态和需求将网络通信实时划分到不同网络区段，并对各区段之间的接入设备、通信方式和安全等级进行区分设计，从而满足智能船网络灵活性、安全性、可靠性和实时性的要求。
10.本发明采用的技术手段如下：
11.一种基于sdn的智能船网络系统，包括内部通信网络和外部通信网络；
12.所述内部通信网络包括依次通信连接的数据平面、控制平面和应用平面，其中控制平面包括智能船sdn网络控制器，所述控制平面通过智能船sdn网络控制器的北向接口与应用平面进行数据交互、且通过智能船sdn网络控制器的南向接口与数据平面进行数据交互，
13.所述数据平面包括智能船主交换机、一级安全网络、二级安全网络和三级安全网络，智能船主交换机与一级安全网络、二级安全网络和三级安全网络中各节点连接通信，
14.所述一级安全网络包括机舱设备网络节点以及船桥设备网络节点，用于进行船舶驾驶相关设备间的信息通信，
15.所述二级安全网络包括船舶关键装备测试验证设备节点以及科学实验工作站节
点，用于实现智能船关键装备的测试和科学研究节点的通信，
16.所述三级安全网络包括娱乐节点以及非航行业务相关设备节点，用于进行非运营业务通信，
17.所述一级安全网络、二级安全网络和三级安全网络的安全优先级依次降低；
18.所述外部通信网络包括sdn网关/路由器、4g/5g网络通信设备、ais/vdes通信设备、navdat通信设备、北斗通信设备以及卫星通信设备；
19.所述内部通信网络通过sdn网关/路由器与4g/5g网络通信设备、ais/vdes通信设备、navdat通信设备、北斗通信设备以及卫星通信设备进行数据交互。
20.进一步地，所述数据平面还包括智能船备份交换机，所述智能船备份交换机分别与一级安全网络、二级安全网络和三级安全网络通信连接，当智能船主交换机故障时系统可立即启动智能船备份交换机工作。
21.进一步地，所述一级安全网络内部网络节点不与外部通信设备直接相连，与所述一级安全网络交互的通信数据包需通过sdn网关安全验证审核后才能与外部通信设备进行交换。
22.进一步地，与所述一级安全网络交互的通信数据包需通过sdn网关安全验证审核后才能与外部通信设备进行交换，包括：
23.对于允许进入一级安全网络的外部通信设备节点传输的公开标准格式的数据包，通过sdn网关安全验证审核后，将会动态设置数字签名，没有数字签名的通信节点的数据不能进入一级安全网络。
24.进一步地，与所述一级安全网络交互的通信数据包需通过sdn网关安全验证审核后才能与外部通信设备进行交换，还包括：
25.外部通信设备节点与一级安全网络传输交互的私有业务数据包，通过sdn网关安全验证审核后，需先进行加密处理，再进行数据传输。
26.进一步地，所有数据平面的数据交换，都需要进行基于机器学习的ddos攻击检测，当判断当前流量为正常流量时则正常通信，当判断当前流量为ddos流量，则进行网络防御，具体包括：
27.优先隐藏被攻击节点的ip地址，防止其继续遭受恶意攻击；同时命令智能船sdn控制器向智能船主交换机下发新的转发规则，修改被隐藏的ip地址，最后进行网络威胁追踪找到攻击者ip，清理智能船网络系统中该ip地址发送的恶意数据包，释放网络系统的存储空间。
28.进一步地，对于允许进入二级安全网络的外部通信设备节点通过sdn网关设置动态数字签名，没有数字签名的节点数据不可以进入二级安全网络。
29.进一步地，所述三级安全网络不与所述一级安全网络和二级安全网络进行数据传输。
30.进一步地，所述应用平面用于配置智能船网络系统的管理策略，智能船sdn控制器根据通信内容调用相应的管理策略构建完整的智能船网络系统管理体系，所述管理策略包括网络切换策略、网络防御策略、网络监控策略、网络威胁追踪策略和网络数据采集策略；
31.所述网络切换策略被定义为：智能船通信网络中包含两个核心交换机，分别为智能船主交换机和智能船备份交换机，正常情况下智能船sdn控制器将控制信息下发至智能
船主交换机，智能船主交换机根据控制器下发的规则转发一级安全网络、二级安全网络和三级安全网络中的流表信息，此时智能船备份交换机同步更新智能船主交换机的转发规则，当智能船主交换机出现故障时，无人船/智能船备份交换机上线，无人船/智能船sdn控制器将控制信息下发至无人船/智能船备份交换机，同时智能船备份交换机接替了智能船主交换机的工作，保证网络其他节点正常通信，进而保障了网络的灵活性；
32.所述网络防御策略被定义为：智能船检测到ddos攻击后，优先隐藏被攻击节点的ip地址，防止其继续遭受恶意攻击；同时命令智能船sdn控制器向智能船主、备份交换机下发新的转发规则，修改被隐藏的ip地址，最后利用网络威胁追踪策略找到攻击者ip，清理智能船网络系统中该ip地址发送的恶意数据包，释放网络系统的存储空间，保证智能船网络节点的正常通信，体现了智能船网络系统遭受攻击后能够灵活组网的特性；
33.所述网络监控策略被定义为：实时提取网络信息采集数据库中的智能船网络信息，将网络流量信息、交换机流表信息和控制信息进行特征融合，建立网络安全状态评估模型，通过该模型对智能船网络进行实时监控、分析和预警，将分析报告和预警报告发送给智能船二级安全网络的网络管理设备，同时将报告展示给网络管理人员或科研人员进行网络系统的维护或研究，以保障网络的安全性；
34.所述网络威胁追踪策略被定义为：当智能船遭受ddos攻击时，通过概率包标记算法，将智能船主、备份交换机经过的每一个数据包以一定概率在ip数据包首部中进行标记，从而让智能船的受害主机能够重构攻击路径，找到攻击者，并将攻击者ip列入黑名单中，不允许进入智能船网络系统，以提高网络的可靠性；
35.所述网络数据采集策略被定义为：智能船网络系统对网络环境中的网络信息进行采集并存储在网络信息采集数据库中，所述网络环境中的网络信息包括一级安全网络、二级安全网络和三级安全网络的网络流量信息，智能船主、备份交换机的流表信息以及智能船sdn控制器下发的控制信息，有利于网络状态监控和科研数据的收集，以保障网络数据交换的实时性。
36.较现有技术相比，本发明具有以下优点：
37.本发明提出了一种基于sdn的智能船网络系统，打破了传统船舶网络的固定模式，将智能船网络按需划分，如将智能船相关航行与运营业务设备节点划分为一级安全网络；智能船关键装备的测试和科学研究节点划分为二级安全网络；非航行业务相关设备节点、及其他日常办公/娱乐等节点划分为三级安全网络。同时在应用平面设计网络切换策略、网络防御策略、网络监控策略、网络威胁追踪策略和网络数据采集策略等管理策略，以保障智能船布设网络的灵活性、安全性、可靠性和实时性。
附图说明
38.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图做以简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
39.图1为本发明一种基于sdn的智能船网络系统架构图。
40.图2为本发明智能船内部网络通信流程图。
41.图3为本发明一级安全网络与二级安全网络节点通信流程。
具体实施方式
42.为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
43.本发明公开了一种基于sdn的智能船网络系统，如图1所示，包括内部通信网络和外部通信网络。内部通信网络包括依次通信连接的数据平面、控制平面和应用平面，其中控制平面包括智能船sdn网络控制器，所述控制平面通过智能船sdn网络控制器的北向接口与应用平面进行数据交互、且通过智能船sdn网络控制器的南向接口与数据平面进行数据交互。数据平面包括智能船主交换机、备份交换机与一级安全网络、二级安全网络和三级安全网络，通常情况下，智能船主交换机与一级安全网络、二级安全网络和三级安全网络中各节点连接通信。数据平面中的智能船备份交换机与主交换机一样，也分别与一级安全网络、二级安全网络和三级安全网络通信连接，当智能船主交换机故障时系统可立即启动智能船备份交换机工作。
44.进一步地，一级安全网络包括主推进器、舵机等机舱设备网络节点，以及雷达、ins等船桥设备网络节点，用于智能船相关航行与运营业务设备节点的通信连接。二级安全网络包括船舶关键测试验证设备节点、科学实验工作站节点、以及其他科研设备网络节点等，用于智能船关键装备的测试和科学研究节点的通信。三级安全网络包括船舶工作人员和乘客的智能手机、笔记本等娱乐节点、船舶工作教学等非航行业务相关设备节点、及其他日常办公/娱乐等节点的网络通信。一级安全网络、二级安全网络和三级安全网络的安全优先级依次降低，通常二级安全网络可选，根据需要布设。
45.外部通信网络包括sdn网关/路由器、以及4g/5g网络通信设备、ais/vdes通信设备、navdat通信设备、北斗、卫星通信设备等系列外部通信设备。内部通信网络的内部节点能够通过sdn网关/路由器与4g/5g网络通信设备、ais/vdes通信设备、navdat通信设备、北斗通信设备以及卫星通信设备进行数据交互。
46.作为本发明优选的实施方式，如图2-3所示，一级安全网络内部网络节点不与外部通信设备直接相连，所有通信数据包需通过sdn网关安全验证审核后才能与外部通信设备进行交换。对于允许进入一级安全网络的外部通信设备节点传输的公开标准格式的数据包如ais通信设备产生的ais数据包，通过sdn网关安全验证审核后，将会动态设置数字签名，没有数字签名的通信节点的数据不可以进入一级安全网络。外部通信设备节点与一级安全网络传输交换的私有业务数据包如vdes通信设备产生的vde数据包，通过sdn网关安全验证审核后，需先进行诸如aes算法的加密处理，再进行数据传输。
47.更进一步地，数据平面的数据交换，都需要进行基于机器学习的ddos攻击检测，当判断当前流量为正常流量时则正常通信，当判断当前流量为ddos流量，系统执行网络防御策略。
48.需要注意的是，一级安全网络的各节点可采用上述机制与二级安全网络内节点进
行数据交换，但不可以与三级安全网络间进行数据交换。
49.作为本发明优选的实施方式，对于允许进入二级安全网络的外部通信设备节点也需要通过sdn网关设置数字签名，没有数字签名的节点数据不可以进入二级安全网络；但二级安全网络向外传输的数据可不受上述限制。
50.作为本发明优选的实施方式，三级安全网络不与所述一级安全网络和二级安全网络进行数据传输，且不进行数据验证处理。
51.作为本发明优选的实施方式，通过所述应用平面利用北向接口与控制平面的智能船sdn控制器通信。应用平面包括网络切换策略、网络防御策略、网络监控策略、网络威胁追踪策略和网络数据采集策略，智能船sdn控制器根据通信内容，下发不同策略对应的控制信息进而构建了完整的智能船网络系统管理体系。
52.网络切换策略：智能船通信网络中包含两个核心交换机，分别为智能船主交换机和智能船备份交换机，正常情况下智能船sdn控制器将控制信息下发至智能船主交换机，智能船主交换机根据控制器下发的规则转发一级安全网络、二级安全网络和三级安全网络中的流表信息。此时，智能船备份交换机同步更新智能船主交换机的转发规则。当智能船主交换机出现故障时，智能船备份交换机上线，智能船sdn控制器将控制信息下发至智能船备份交换机，同时智能船备份交换机接替了智能船主交换机的工作，保证网络其他节点正常通信，进而保障了网络的灵活性；
53.网络防御策略：智能船检测到ddos攻击后，优先隐藏被攻击节点的ip地址，防止其继续遭受恶意攻击；同时命令智能船sdn控制器向智能船主、备份交换机下发新的转发规则，修改被隐藏的ip地址，最后利用网络威胁追踪策略找到攻击者ip，清理智能船网络系统中该ip地址发送的恶意数据包，释放网络系统的存储空间，保证ddos攻击下快速恢复智能船网络节点的正常通信，体现了智能船网络系统遭受攻击后能够灵活组网的特性。
54.网络监控策略：实时提取网络信息采集数据库中的智能船网络信息，将网络流量信息、交换机流表信息和控制信息进行特征融合，建立网络安全状态评估模型，通过该模型对智能船网络进行实时监控、分析和预警，将分析报告和预警报告发送给智能船二级安全网络的网络管理设备，同时将报告展示给网络管理人员或科研人员进行网络系统的维护或研究，以保障网络的安全性。
55.网络威胁追踪策略：当智能船遭受ddos攻击时，在上述ddos攻击检测算法抵御网络威胁的基础上，通过概率包标记算法，将智能船主、备交换机经过的每一个数据包以一定概率在ip数据包首部中进行标记，从而让智能船的受害主机能够重构攻击路径，找到攻击者，并将攻击者ip列入黑名单中，不允许进入智能船网络系统以提高网络的可靠性。
56.网络数据采集策略：智能船网络系统需要采集网络环境中的网络信息，如：一级安全网络、二级安全网络和三级安全网络的网络流量信息；智能船主、备份交换机的流表信息；智能船sdn控制器下发的控制信息等存储在网络信息采集数据库中，有利于网络状态监控和科研数据的收集，以保障网络数据交换的实时性。
57.下面通过具体的应用实例，对本发明的方案和效果做进一步说明。
58.如图1所示为本实施例中基于sdn的无人船系统网络架构图，根据此架构通过mininet仿真软件，根据以下步骤构建仿真系统：
59.s101、根据图1所示拓扑结构创建网络的交换机和节点；具体包括主交换机、备份
交换机、一级安全网络、二级安全网和三级安全网络。一级安全网络包括机舱设备和船桥设备等15个节点，二级安全网络包括船舶关键测试验证设备等10个节点，三级安全网络包括手机、笔记本等10个节点。
60.s102、添加交换机和节点间的链路；一级安全网络的10.0.0.13-10.0.0.15与二级安全网络的20.0.0.8-20.0.0.10进行通信，其他节点仅与同一网段的节点通信。
61.s103、设置节点ip地址，mac地址和默认路由。将一级安全网络设备的默认路由设置为空，ip地址依次设置为10.0.0.1、10.0.0.2、10.0.0.3、...、10.0.0.15，mac地址设置为00:00:00:00:01、00:00:00:00:02、...、00:00:00:00:15。将二级安全网络设备默认路由设置为空，ip地址依次设置为20.0.0.1、20.0.0.2、20.0.0.3、...、20.0.0.10，mac地址设置为00:00:00:00:16、00:00:00:00:17、...、00:00:00:00:25。将三级安全网络设备的默认路由设置为空，ip地址依次设置为30.0.0.1、30.0.0.2、30.0.0.3、...、30.0.0.10，mac地址设置为00:00:00:00:26、00:00:00:00:27、...、00:00:00:00:35。
62.s104、添加sdn控制器；默认ip127.0.0.1，设定为tcp协议，类型为remotecontroller。
63.s105、启动网络。
64.最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。