工業互聯網密碼應用發展白皮書

（2021年）

編寫說明

隨著近年來工業互聯網的快速發展，工業互聯網的安全形

勢日益嚴峻。工業互聯網攻擊事件逐年增加、網絡攻擊級別不

斷提高，然而我國的工業互聯網自主化程度偏低，安全防護建

設比較弱，尤其是密碼應用建設匱乏。密碼技術作為保障網絡

與信息安全最有效、最可靠、最經濟的關鍵核心技術，能夠從

根本上解決部分工業互聯網的安全問題，所以工業互聯網的密

碼應用建設亟需加強。當前國際關系緊張，網絡安全形勢嚴峻，

我國先后頒布實施《網絡安全法》和《密碼法》，密碼應用上

升到國家法律和戰略高度，工信部發布的《工業互聯網創新發

展行動計劃（2021-2023年）》將深化商用密碼應用列為重要

工作之一。

鑒于工業互聯網密碼應用發展的迫切性與重要性，工業互

聯網產業聯盟密碼應用研究特設組組織編寫本白皮書，旨在梳

理工業互聯網密碼應用背景，構建工業互聯網密碼應用技術體

系，總結我國的工業互聯網密碼技術、產品、服務地供給能力，

介紹工業互聯網密碼應用的典型實踐，分析密碼應用推廣面臨

的痛點，以及提出工業互聯網密碼應用發展建議。

牽頭編寫單位：中國信息通信研究院

參與編寫單位：傲林科技有限公司、海爾卡奧斯物聯生態

科技有限公司、江蘇徐工信息技術股份有限公司、中國電子科

技網絡信息安全有限公司、工業信息安全（四川）創新中心有

限公司、長春吉大正元信息技術股份有限公司、北京信安世紀

科技股份有限公司、長揚科技（北京）有限公司、鄭州信大捷

安信息技術股份有限公司、蘇州三六零智能安全科技有限公司、

深圳奧聯信息安全技術有限公司、北京海泰方圓科技股份有限

公司

編寫組成員（排名不分先后）：

中國信息通信研究院：徐秀、馬聰、何陽

傲林科技有限公司：任飛、王潮陽

海爾卡奧斯物聯生態科技有限公司：唐宇、余濤、汪燕鋒

江蘇徐工信息技術股份有限公司：王煥、謝海紅

中國電子科技網絡信息安全有限公司：劉波、李智林、肖

遠軍

工業信息安全（四川）創新中心有限公司：張文科、羅影、

敖麒

長春吉大正元信息技術股份有限公司：韓璇、劉岵

北京信安世紀科技股份有限公司：付軍、汪宗斌

長揚科技（北京）有限公司：汪義舟、趙華、張亞京

鄭州信大捷安信息技術股份有限公司：劉為華、康亮、廖

正赟

蘇州三六零智能安全科技有限公司：韓濤

深圳奧聯信息安全技術有限公司：蔡先勇

北京海泰方圓科技股份有限公司：薛靜、許世波

一、工業互聯網密碼應用背景

（一）工業互聯網面臨嚴峻的安全威脅

1.全球工業互聯網安全問題

隨著新一輪工業革命的快速推進，工業互聯網成為大勢所

趨。工業互聯網通過將工業體系與互聯網體系深度融合，將工

業領域中的人、機、物等生產經營要素全面聯通，形成了影響

工業和經濟發展的關鍵信息系統。從封閉的工業環境到開放互

聯網的網絡環境，工業互聯網正面臨網絡安全與工業安全帶來

的雙重風險。隨著近年來工業互聯網的快速發展，全球工業互

聯網安全形勢嚴峻。

工業互聯網攻擊事件逐年增加，工業互聯網成為新的網絡

攻擊重點目標。近年來，隨著工業平臺信息化水平的不斷提升，

針對工業網絡攻擊的事件也頻繁發生：委內瑞拉大停電、美國

東海岸斷網、臺積電遭受勒索病毒導致停工、美國最大成品油

運營商科洛尼爾（ColonialPipeline）遭俄羅斯Darkside勒

索病毒攻擊被迫關閉關鍵燃油網絡等。大量工業控制設備暴露

在互聯網上，工控協議的私有化嚴重且協議安全保護較弱，導

致攻擊門檻極大降低；工控系統漏洞逐年爆出，大量漏洞被攻

擊者利用。作為關系國家工業命脈和關鍵基礎設施的重要系統，

工業互聯網已成為網絡攻擊新的重點目標，存在巨大的外部攻

擊風險。

國際競爭日益激烈，網絡安全風險加劇，工業互聯網的網

—1—

絡攻擊級別不斷提高。近年來，國際競爭日益激烈，國際規則

逐漸失序，外部環境震蕩不安，極大增加了來自外部的高級別

網絡攻擊的威脅等級。針對工業互聯網的攻擊者越來越專業化、

組織化，攻擊行為也正在不斷升級。目前已經從傳統的攻擊工

具利用，逐步向0-day漏洞利用、嵌套式攻擊、木馬潛伏植入

等更高級的攻擊形態演變，這些行為摻雜了大量的人工智能、

躲避手段、情報手段、社會工程等多維度的變化。這些變化無

一不在向我們透露：針對工業互聯網的網絡攻擊不是普通的攻

擊行為，而是高級別的國家級網絡對抗。

2.我國工業互聯網安全問題

在國家新基建戰略的推動下，工業互聯網進入快速發展階

段，形成了新技術加速融合、新生態加速形成、新模式加速推

廣的良好局面，但同時，我國的工業互聯網也面臨前所未有的

安全威脅和挑戰。一旦遭受網絡攻擊，可能會威脅國家安全、

國計民生和社會公共利益。

我國工業基礎和自主化能力較弱，帶來巨大安全隱患。近

年來，雖然我國制造業得到了快速的發展，但是相比于經歷過

三次工業革命的西方歐美國家，我國工業基礎依然較為薄弱，

關鍵基礎材料、核心基礎零部件、元器件、先進基礎工藝等工

業基礎能力依然存在個別不足之處，關鍵核心技術短缺局面尚

未完全改變。大量核心部件、PLC等依賴進口，給我國工業互

聯網安全帶來了極大隱患。無論是在供應鏈各個環節上可能被

注入的后門、惡意代碼，還是斷供等問題，都直接影響我國工

—2—

業互聯網的安全發展。據《2020年上半年我國互聯網網絡安全

監測數據分析報告》數據顯示，我國暴露在互聯網上的工業設

備高達4630臺。其中存在高危漏洞隱患的設備占比約41%，電

力、石油天然氣、城市軌道交通等重點行業暴露的聯網監控系

統達480套，存在信息泄露、跨站請求偽造、輸入驗證不當等

高危漏洞隱患的系統占比約11.1%。這些暴露在互聯網上的工

業系統和設備一旦被攻擊，將直接威脅重點行業的運行安全。

工業互聯網發展迅猛，但是安全防護建設投入較低。近年

來，在產業、政策的多方推動下，我國建成超過70個有影響力

的工業互聯網平臺，連接工業設備的數量達到4000萬套，工業

APP突破25萬個，工業互聯網產業規模達3萬億元。雖然工業

互聯網產業經濟發展迅猛，但工業互聯網安全產業在工業互聯

網核心產業中占比始終較低，近年來基本維持在0.5%1的水平，

這個數值距離歐美國家5%-10%的安全投入依然存在巨大差距。

據《2020年上半年我國互聯網網絡安全監測數據分析報告》數

據顯示，境內工業控制系統的網絡資產持續遭受來自境外的掃

描嗅探，包括美國、英國、德國等90多個國家，日均掃描超過

2萬次。能源、制造、通信等重點行業的關鍵信息基礎設施及

系統成為嗅探目標。利用嗅探到的資產信息和相關漏洞進行攻

擊會導致相關行業安全事件的發生，將給我國基礎設施帶來威

脅性、破壞性甚至是毀滅性的打擊。對于工業互聯網安全的忽

視，將會給工業互聯網安全帶來巨大隱患。

1數據來源：前瞻產業研究院整理.

—3—

（二）國家出臺工業互聯網安全政策體系

1.法律法規

在網絡安全形式嚴峻的大環境下，國家出臺了多項相關法

律、法規和政策標準，為工業互聯網安全產業注入“強心劑”。

《網絡安全法》將網絡安全上升為國家戰略。“沒有網絡

安全就沒有國家安全，沒有信息化就沒有現代化。”在中央網

絡安全和信息化領導小組第一次會議上，習近平總書記提出網

絡安全和信息化是事關國家安全和國家發展、事關廣大人民群

眾工作生活的重大戰略問題。《網絡安全法》的出臺，是將已

有的網絡安全實踐上升為法律制度，通過立法織牢網絡安全網，

為網絡強國戰略提供制度保障。作為我國第一部全面規范網絡

空間安全管理方面問題的基礎性法律，《網絡安全法》是我國

網絡空間法治建設的重要里程碑，是依法治網、化解網絡風險

的法律重器，是讓互聯網在法治軌道上健康運行的重要保障。

《密碼法》正式頒布執行，密碼應用有法可依。密碼是我

們黨和國家的“命門”、“命脈”,是國家重要戰略資源。2020

年1月1日，《中華人民共和國密碼法》正式開始實施，作為

總體國家安全觀框架下的國家安全法律體系的重要組成部分，

其頒布實施將極大提升密碼工作的科學化、規范化、法治化水

平，有力促進密碼技術進步、產業發展和規范應用,切實維護國

家安全、社會公共利益以及公民、法人和其他組織的合法權益，

同時也將為密碼部門提高“三服務”能力提供堅實的法治保障。

—4—

網絡安全等級保護制度2.0（簡稱等保2.0）新增工業控

制場景擴展要求，明確密碼應用。等保2.0標準在對等保1.0

標準進行優化的同時，針對云計算、物聯網、移動互聯網、工

業控制、大數據新技術應用提出了新的安全擴展要求。其中，

也明確了工業控制系統在各個防護環節中的密碼應用，如：數

據加密技術、完整性檢驗技術、數字簽名技術、身份鑒別技術

等。等保2.0系列標準將推動《網絡安全法》對于等級保護要

求的落地，明確密碼的具體應用場景和需求，指導密碼技術在

工業控制場景的應用落地。

這期間，網絡安全等級保護和商用密碼安全性評估作為

《網絡安全法》和《密碼法》落到實處的兩項重要工作，也在

不斷發展和完善中。

2.政策紅利

隨著國家相關法律法規的制定和政策指南的相繼出臺和執

行，各項措施將逐步細化，加快推進我國工業互聯網安全“頂

層綱領+行動計劃+實施指南”政策體系的形成。

黨中央國務院高度重視工業互聯網的安全、有序發展。黨

的十九大報告指出，“加快建設制造強國，加快發展先進制造

業，推動互聯網、大數據、人工智能和實體經濟深度融合”。

以黨的十九大精神為指引，深入貫徹落實習近平新時代中國特

色社會主義思想，以供給側結構性改革為主線，以全面支撐制

造強國和網絡強國建設為目標，明確了我國工業互聯網發展的

指導思想、基本原則、發展目標、主要任務以及保障支撐，提

—5—

出了“立足國情、面向未來，打造與我國經濟發展相適應的工

業互聯網生態體系”。

2017年10月30日，國務院常務會議審議通過了《關于深

化“互聯網+先進制造業”發展工業互聯網的指導意見》，這是指

導和規范我國工業互聯網發展的綱領性文件。其中發展目標中

明確指出：到2025年“基本建立起較為完備可靠的工業互聯網

安全保障體系”，到2035年“安全保障能力全面提升”。

為落實《關于深化“互聯網+先進制造業”發展工業互聯網

的指導意見》，工信部發布了《工業互聯網發展行動計劃

（2018-2020年）》和《工業互聯網創新發展行動計劃（2021-

2023年）》，目前，《工業互聯網發展行動計劃（2018-2020

年）》已執行完成，新發布的《工業互聯網創新發展行動計劃

（2021-2023年）》中將“深化商用密碼應用”作為重要工作

內容，指出“加快密碼應用核心技術突破和標準研制，推動需

求側、供給側有效對接和協同創新，推動密碼技術深入應用。”

二、工業互聯網密碼應用體系

經過近幾年的快速發展，工業互聯網架構日漸清晰，主要

由網絡、平臺、設備等不同層級構成，同時也涵蓋貫穿多層級

的產業鏈資源、數據要素等。上述環節均不同程度涉及與工業

生產或管理緊密相關的身份鑒權、傳輸安全、敏感信息保護等

個性化需求，需要使用密碼技術持續增強安全支撐能力，構建

—6—

工業互聯網密碼應用體系。

（一）搭建融合開放靈活的工業互聯網絡

工業互聯網絡體系是工業互聯網的基礎承載，由網絡互聯、

數據互通和標識解析三部分組成。網絡互聯實現要素間的數據

傳輸，數據互通實現要素間傳輸信息的相互理解，標識解析實

現要素的標記、管理與定位。工業互聯網網絡體系架構如下圖

所示：

圖2.1工業互聯網絡體系2

工業互聯網業務發展對網絡基礎設施提出更高要求，工業

互聯網的網絡體系發展呈現出開放、融合、靈活的三大發展趨

勢。在整體發展過程中，5G新型基礎設施的部署及標識解析系

統的深度應用，將為工業互聯網發展奠定重要基礎，也對密碼

2圖片來源：工業互聯網產業聯盟《工業互聯網體系架構（版本2.0）》.

—7—

應用提出新的要求。

1.5G+工業互聯網密碼應用

5G+工業互聯網的融合應用，主要是將5G的多接入邊緣計

算（MEC）、5G切片技術應用到工業超高清視頻、AR/VR、云端

機器人、遠程控制、機器視覺、云化自動導引運輸車（AGV）等

場景中，滿足各類型的工業互聯網應用需要。

由于5G網絡已然具備了完整的接入域安全、網絡域安全、

用戶域安全、管理域安全的安全防護能力，本報告主要從接入

端、邊緣側、行業專網三個方面分析5G與工業互聯網融合對商

用密碼應用的新需求。

5G終端密碼應用需求分析。在“5G+工業互聯網”應用場

景中，覆蓋了eMBB、mMTC、uRLLC三大類典型的行業終端形態，

也給終端密碼應用帶來了新的要求。在工業互聯網中，高清工

業攝像頭等eMBB類終端，需要提供有效的終端可信計算保護和

Gbps級別的高速密碼運算處理；常見工業傳感器等mMTC類終

端，需要輕量級的密碼算法和協議、低成本的密碼實現以及便

捷化的設備認證與密碼資源部署；遠程低時延要求的控制類終

端等uRLLC類終端，需要低時延、端到端的密碼認證與數據保

護機制，保障數據安全可靠。

5GMEC密碼應用需求分析。5G多接入邊緣計算(MEC)一方

面將云計算環境部署在移動網絡的邊緣側，滿足低時延、高帶

寬的關鍵應用；另一方面支持更廣泛的連接協議，滿足更復雜

的應用場景，工業企業可以通過MEC的部署快速構建園區專網，

—8—

在無需自建網絡的情況下，獲取高速、安全的網絡服務。工業

互聯網與5G網絡結合，需要考慮對接入企業MEC的設備實現基

于密碼的二次認證、對傳輸數據提供機密性及完整性保護、MEC

與企業內網間的安全隔離與交換，保障MEC在工業互聯網中部

署應用的合理性。

5G切片專網密碼應用需求分析。利用5G網絡切片能力可

以基于5G網絡快速構建行業專網，從而打通孤立的網絡節點和

平臺，實現產業鏈間的數據共享與業務協同，滿足產業數字化

轉型需要。5G行業專網的密碼應用需求，包括網絡資源的加密

隔離、切片內的強身份鑒權與訪問控制、業務數據的端到端加

密保護，確保工業互聯網行業專網應用的安全、可控。

綜上需求分析，5G+工業互聯網的密碼應用需要充分利用

5G網絡的已有安全設計和元素，實現安全機制與5G模組、網

元的融合設計，通過企業用戶、運營商的多元化密碼保障服務，

支撐5G+工業互聯網商用密碼應用落地。

2.標識解析系統密碼應用

工業互聯網標識解析體系是工業互聯網實現互聯互通的

“中樞神經”，工業互聯網標識解析網絡體系包括終端、節點、

協議、軟件、組織機構以及配套基礎設施多類對象，其密碼應

用需求可分別從各類對象本身和體系架構進行分析。

從對象需求角度分析。終端是標識解析服務的入口，節點

是標識解析體系的關鍵組成，協議是標識解析通信的基礎，軟

件直接提供標識解析服務，組織機構是標識解析軟件硬件的管

—9—

理與操作者，配套基礎設施是標識解析服務的重要支撐，上述

對象都可能成為標識解析體系的脆弱點。

從體系結構角度分析。首先，標識解析體系的樹形分層體

系結構為拒絕服務攻擊提供了可能，一旦上層節點被破壞將造

成子節點之間不可達。其次，當其節點數據被篡改時，將為整

個標識解析體系帶來不同程度的影響。例如，國際根服務器被

篡改可能會誤導客戶端請求，將其引導至錯誤的頂級、二級或

企業節點，被破壞節點授權的下級節點也將不可信。企業節點

服務器被篡改可能會返回錯誤的標識解析結果。中心節點數據

被篡改可能導致更大范圍的污染擴散。

綜上需求分析，密碼應用需要保障工業互聯網標識解析終

端、節點、組織機構身份可信，防止偽造身份的中間人攻擊、

重放攻擊以及越權訪問，應從組織機構、終端、協議、平臺系

統等方面采取防護措施，保證身份可信、記錄可信。在標識注

冊環節、標識數據同步環節、標識解析環節，保證傳輸數據的

機密性和完整性。

a）組織機構方面，加強機構實體身份認證，對于新申請加

入的組織機構做好相關身份與資質審查，建立身份信息標識，

保證操作過程身份可校驗，防止機構身份偽造。

b）終端方面，一是加強標識載體安全，通過防偽、標識綁

定等技術防止被動及主動標識載體中的標識編碼被篡改、偽造；

二是提升客戶端安全，通過基于硬件安全模塊的安全防護技術，

防止客戶端被破壞，避免其身份被篡改、偽造、惡意利用。

—10—

c）通信協議方面，采用具有認證機制的通信協議，在各級

節點間、客戶端與服務端間等通信過程中，對主體身份、消息

進行安全認證，支持配套的認證密鑰建立。同時保證數據在網

絡通信過程中的數據機密性、完整性和不可抵賴性。

d）平臺系統方面，建設支持多種認證方式的身份與權限管

理平臺，對工業互聯網標識解析涉及的多主體對象的身份及權

限進行統一管理，對用戶訪問的全過程實行嚴格的權限控制，

包括從登錄到退出的全過程。

（二）構建安全可信的工業互聯網平臺

為實現數據優化閉環，驅動制造業數字化轉型，工業互聯

網平臺需要具備海量工業數據與各類工業模型管理、建模分析

與智能決策、工業應用敏捷開發與創新、工業資源集聚與優化

配置等一系列關鍵能力。從功能體系上看工業互聯網平臺包括

邊緣層、IaaS層、PaaS層及SaaS層。不同的功能層級，對應

不同的密碼應用需求。同時，不同層級之間的安全傳輸以及跨

平臺之間的身份互認均需要密碼技術來實現。

—11—

圖2.2工業互聯網平臺密碼應用架構圖

1.邊緣層密碼應用

邊緣層是工業互聯網相較傳統互聯網絡的主要特征之一，

其本質是利用泛在感知技術對多源設備、異構系統、運營環境、

人等要素信息進行實時高效采集和云端匯聚。邊緣層提供海量

工業數據接入、轉換、數據預處理和邊緣分析應用等功能。

邊緣層計算設備往往分散于各個產線、庫房等現場環境中，

邊緣終端設備計算資源有限，安全防護能力薄弱，工業互聯網

平臺在接入、轉換、傳輸的過程中，數據易被偵聽、攔截、篡

改、丟失等，攻擊者利用邊緣終端設備漏洞可對平臺實施入侵

或發起大規模網絡攻擊。因此，對邊緣層設備實施以密碼技術

為基礎的安全防護變得十分重要。

邊緣層對商用密碼應用主要有以下需求：

工業設備安全接入。邊緣層具備對機器人、機床、高爐等

工業數據的接入能力，需提供有效的接入認證手段和數據傳輸

—12—

加密保護機制，確保數據來源的真實可信及數據的機密性與完

整性。

協議安全轉換與數據多安全級保護。邊緣層負責對采集的

異構數據源進行格式統一和語義解析，需考慮利用密碼機制對

異構安全協議進行轉換，滿足數據加密傳輸需要，同時對接入

的隱私數據與敏感數據進行安全標識與多安全等級的加密處理，

滿足數據分級分類需要。

邊緣可信計算處理。在工業互聯網場景下，工業邊緣計算

往往用于產線設備在線檢測、預測性維護等重要場景，對數據

分析、計算處理的可靠性要求很高，需要考慮在邊緣計算環境

本身不完全可控的情況下，利用基于密碼的可信計算技術，保

障數據計算處理的安全可信。

邊緣數據存儲安全。在工業互聯網場景下，邊緣計算節點

需要實時跟蹤物聯設備的狀態變化，并按照時間序列存儲完整

的歷史數據，存儲的數據中可能存在生產端的敏感數據，需要

利用密碼技術進行加密保護，同時利用密碼的時間戳技術，保

障存儲數據不可篡改。

由于部署環境的特殊性，邊緣層對密碼實現的高并發、輕

量化有較高的要求，同時由于部署環境的開放性，需要采用更

強的密鑰保護、防丟失技術，滿足無人值守環境下的密碼應用

安全需要。

2.IaaS層密碼應用

工業互聯網IaaS是指基于虛擬化、分布式存儲、并行計算、

—13—

負載調度等技術，實現網絡、計算、存儲等計算機資源的池化

管理，根據需求進行彈性分配，并確保資源使用的安全與隔離，

為用戶提供云基礎設施服務。

從技術架構來看，工業互聯網IaaS與一般的云IaaS并沒

有差異性，但是制造企業出于企業知識產權、商業機密保護、

業務系統安全等方面考慮，企業自建云方式部署IaaS依然是主

流，部分工業互聯網平臺采用租用公有云方式或者混合云方式

部署IaaS。

IaaS層對商用密碼應用主要有以下需求：

可信計算環境：在等保2.0標準體系中，將“可信計算”

列為核心防御技術，對于工業互聯網應用中涉及的等保

三級及以上系統，要求所有計算節點都應基于可信根實

現開機到操作系統啟動，再到應用程序啟動的可信驗證，

并在應用程序的關鍵執行環節對其執行環境進行可信驗

證。上述要求對IaaS平臺中的TCM模塊部署、可信計

算密碼支撐及響應的可信密碼應用提出了較高的要求。

用戶身份鑒別：對IaaS平臺上的云租戶，要求有效的

用戶/賬號體系實現主體對虛擬機、數據庫、云網絡、

云存儲等基礎資源的訪問；在用戶鑒權過程中需采用兩

種或兩種以上組合的身份鑒別機制，且必須有一種采用

密碼技術；對用戶身份鑒別數據需采用密碼技術實現機

密性與完整性保護。

云存儲加密：在IaaS層實施存儲加密，主要有兩方面

—14—

的考慮：一方面，由于云計算是基于API而非物理訪問

來管理的，導致系統管理人員往往具有管理級的訪問權，

存在用戶非知情情況下獲取數據的可能；另一方面，由

于IaaS平臺往往具備多租戶的特點，存儲加密可以有

效避免其他用戶訪問底層數據和系統，更有利地使用云

平臺資源。

云通信加密：云通信安全主要解決單一計算環境允許多

租戶同時共享網絡時，網絡隔離、數據通信加密和完整

性保護問題。可采用SSL或IPsec實現虛擬機之間、虛

擬機與控制臺之間的數據加密保護。

IaaS層特定的商用密碼支撐需求：

可信云平臺：可信云平臺是指關鍵服務器上采用了系統

可信和應用可信功能，通過度量和驗證來保障計算環境

安全，以及應用運行安全的云環境。可信云平臺構建需

采用符合國家密碼局要求的可信計算模塊，并通過對

BIOS、Bootloader、操作系統內核、關鍵系統模塊和應

用的逐層哈希驗證，來保障系統運行環境未被篡改。

云密碼資源池：云密碼資源池是指將密碼計算單元進行

統一管理，實現隨機數產生、密鑰管理、密碼計算等能

力的柔性調度，以支持彈性伸縮、按需分配，動態部署

的密碼應用需求，滿足公有云、私有云等不同場景下的

密碼應用需要。

云密鑰管理：云密鑰管理服務是一類為云上不同層級用

—15—

戶提供密鑰全生命周期管理的支撐類服務，通過云密鑰

管理服務可以快速的創建和管理各型密鑰，提供托管式

密鑰管理服務，為端、邊、云上的各類密碼應用需求提

供統一的密鑰管理支撐，符合監管和合規要求。

3.PaaS層密碼應用

PaaS層提供資源管理、工業數據與模型管理、工業建模分

析和工業應用創新等功能。PaaS平臺提供了統一的IT資源調

度與運維管理能力，同時為數據的治理、分析、服務、應用提

供了集約管理平臺，支持工業數據的統一建模，為研發、生產、

運營環節提供統一的數字化工具與服務。

隨著中臺概念的興起，中臺能力成為工業PaaS平臺發展的

主要技術方向。通過大數據、微服務、持續集成、低代碼交付

能力的深層應用，使得工業PaaS平臺更加易于實現數據的一體

化管理和業務的靈活化支持。

PaaS層對商業密碼應用有以下需求：

大數據安全：大數據安全指PaaS平臺對結構化數據、

半結構化數據、非結構化數據采集、存儲、處理、分析、

應用等全生命周期中面臨的安全風險，包括傳輸安全、

存儲安全、計算安全、隱私保護等，需要采用密碼技術

來解決。

租戶安全隔離：PaaS平臺往往涉及多個企業或者一個企

業的多個業務部門，需要有效的密碼保護機制進行隔離

保護，保障數據和業務邏輯的隔離性。

—16—

云原生數據安全：云原生技術主要指以容器、持續交付、

DevOps以及微服務為代表的技術體系，在使用云原生技

術后，開發者無需考慮底層的技術實現，可以充分發揮

云平臺的彈性和分布式優勢，實現快速部署、按需伸縮、

不停機交付等。在云原生架構下，以微服務為場景需要

更細粒度的訪問控制與加密保護，包括微服務間通信加

密和證書管理、容器數據加密、服務間相互調用的訪問

控制，需要利用密碼技術實現精細化管控。

運維管理安全需求：運維人員身份管理，遠程數據傳輸

安全加解密。相關密碼應用主要包括平臺賬戶身份認證、

多租戶權限控制、數據訪問與處理環境的安全，同時包

括邊云協同過程中的數據、資源使用與應用部署層面的

加密保護，也包括應用層開放API的接口認證與加密。

4.SaaS層密碼應用

應用層以工業APP為主要形態提供針對研發設計、工藝優

化、能耗優化、運營管理的各類創新應用，同時提供開發者社

區和應用商店，構建更加完整易用的工業互聯網應用生態，提

供二次開發及定制化能力滿足用戶個性化需求。

工業APP生態的構建，是工業互聯網平臺能夠支撐工業經

驗知識的軟件化封裝，加速共性業務組件的沉淀復用，實現低

門檻的工業應用創新，吸引第三方能力的有效聚合，支撐企業

快速滿足社會化協作和市場需要的關鍵。而基于商用密碼的安

全能力是開展應用創新和商業模式創新的重要基礎。

—17—

應用層對商業密碼應用有以下需求：

統一身份認證與單點登錄：應用層需要提供統一的應用

登錄認證機制，便于用戶在不同應用間的無縫跳轉。需

要采用基于密碼技術的多因子認證，來構建統一的身份

管理與用戶認證體系，保障用戶對應用、服務、數據訪

問身份的一致性。

應用鑒別與訪問控制：工業APP的鑒別與訪問控制涉及

用戶對APP、APP對PaaS平臺、用戶對數據的多級訪問

控制要求，實現基于角色的、字段級訪問控制要求。

端到端數據保護：工業APP中涉及大量企業敏感數據的

存儲與展示，需要采用端到端的加密保護機制，保障數

據在中間處理與存儲環節不可見，保障用戶數據安全。

APP可信發布與升級：利用基于密碼的證書體系，構建

APP開發者、發布者、審核者的信任體系，實現工業

APP的可信升級，保障工業APP生態安全。

（三）打造具有內嵌安全的工業智能設備

工業智能設備廣泛應用于關鍵信息基礎設施，其穩定可靠

運行不僅關系到人們日常生活的方方面面，還會對國家安全產

生重要的影響。工業互聯網的設備層主要實現工業數據采集、

連接、轉換和數據預處理功能，主要設備包括數據采集、集中

控制、數據遠程傳輸和控制等智能機器、專用設備、成套設備、

儀器儀表等。

為確保終端設備的真實性，傳輸數據的機密性、完整性和

—18—

不可否認性，防止偽造終端接入和數據被篡改，現場終端側需

要部署密碼安全模塊，密碼安全模塊和邊緣層的安全設備交換

設備證書，實現雙向的身份認證和密鑰協商。

（1）PLC控制器中的密碼應用

PLC控制系統（可編程邏輯控制系統）是以PLC控制器為

中心、控制技術和信息技術結合的基本工業控制系統，是工作

在現場控制層的基礎系統。

PLC控制器中包括芯片、操作系統及運行環境、PLC控制功

能模塊和密碼模塊。PLC控制功能模塊用于運行用戶邏輯組態，

實現業務控制流程；密碼模塊嵌入到PLC控制系統的各組成設

備中，可以是物理模塊，也可以是邏輯模塊，主要實現密碼算

法、密碼安全功能和安全管理功能，對外提供密碼計算服務接

口，用于存儲敏感數據、提供密碼安全功能、密鑰等敏感數據

管理、安全策略管理以及和后臺安全管理服務器的交互。

圖2.3PLC控制器密碼應用組成

（2）SCADA系統中的密碼應用

—19—

SCADA系統(數據采集與監視控制系統)可實現對測控點分

散的各過程或設備的實時數據采集，本地或遠程的自動控制，

以及生產過程的全面實時監控，并為安全生產、調度、管理、

優化和故障診斷提供必要和完整的數據及技術手段。

圖2.4SCADA系統分層架構示意圖

SCADA系統架構可分為三個層次，包括上位機層、下位機

層和網絡層。密碼應用有如下需求：

上位機層的安全保護：業務功能安全主要是通過在上位

機層部署采用商用密碼的密碼安全設備，實現業務功能

及數據安全，包括對上位機終端的身份認證、控制指令

和數據的加解密等；SCADA系統的管理功能涉及到上位

機層所有的操作用戶應使用基于非對稱密碼算法的身份

認證機制、所有針對SCADA系統的遠程訪問都需要驗證

數字證書，基于數字證書實現角色權限的管理。

—20—

通信網絡的安全保護：主要是指上位機層與下位機設備

之間的數據通信的鏈路安全，通信內容為關鍵控制信息

或回傳數據，傳輸時容易被截獲或被篡改，因此應對其

進行加密，考慮到執行效率，可采用對稱密碼算法進行

數據加密。

下位機層的安全保護：下位機設備是SCADA系統的關鍵

部件，具體采集相關數據上傳到上位機及執行SCADA系

統的控制指令，對下位機設備應采用基于非對稱密碼算

法的數字證書進行保護，實現基于數字證書的用戶權限

管理，保證下位機設備遠程訪問及身份識別的安全；下

位機設備回傳數據到上位機時應使用自身的私鑰進行簽

名并使用對稱加密算法加密，以保證數據來源的合法性

和安全性；同時，上位機發送給下位機設備的信息也需

要使用私鑰進行簽名并使用對稱加密算法進行加密。

（四）支撐智能制造產業鏈價值協同

產業鏈的本質是用于描述一個具有某種內在聯系的企業群

結構，它是一個相對宏觀的概念，存在兩維屬性：結構屬性和

價值屬性。產業鏈中大量存在著上下游關系和相互價值的交換，

上游環節向下游環節輸送產品或服務，下游環節向上游環節反

饋信息。產業鏈的實質就是不同產業的企業之間的關聯，而這

種產業關聯的實質則是各產業中的企業之間的供給與需求的關

系。產業鏈協同是指如何通過價值鏈、企業鏈、供需鏈和空間

鏈的優化配置和提升，使產業鏈中上下游間實現提高效率、降

—21—

低成本的多贏局面。產業鏈協同的核心目的就是打通上下游間

各個環節，實現企業競爭力的提升。

密碼技術對于產業鏈間的協同，主要提供四個方面的能力：

一是以數字證書為基礎，建立真實、可信、分布化的企業數字

身份體系和信用體系；二是利用電子簽名等技術支撐業務流、

資金流、物流和信息流數據的線上流轉、可控共享與有效溯源；

三是以基于隱私保護的數據安全共享為前提，加深產業鏈內企

業間的供需協同、資源協同、能力協同，實現生產制造模式創

新；四是以區塊鏈技術為重點，支持以真實業務為核心的產業

鏈金融，解決產業鏈屬企業融資難融資貴難題。以下列舉五個

典型應用：

（1）證照電子化

在工業產業鏈中，存在著多個生態合作伙伴，包括原材料

商、零部件商、渠道商、貿易商、物流企業等等。面對著整體

規模、技術水平、資源實力各不相同的企業，如何識別出優質

的合作伙伴，確保產供銷活動的有效開展，是產業鏈生態發展

的基礎。對于合作伙伴的身份確認、資質確認、信用畫像是發

展優質合作伙伴的關鍵。

電子證照作為具有法律效力和行政效力的專業性、憑證類

電子文件，已經成為市場主體和公民活動辦事的主要電子憑證，

是支撐政府服務運行的重要基礎數據。2021年政府工作包括，

推動電子證照擴大應用領域和全國互通互認，將進一步擴展電

子證照在企業端的使用。目前，以電子營業執照為代表的企業

—22—

電子證照已經在國內廣泛使用。電子營業執照與紙質營業執照

具有同等法律效力，是市場主體取得主體資格的合法憑證，電

子營業執照以國家市場監督管理總局為統一信任源點，記載了

市場主體的身份信息，能夠證明企業身份的合法合規性，同時

市場主體使用電子營業執照可以對數據電文進行電子簽名，符

合《電子簽名法》第十三條規定條件的，電子簽名與手寫簽名

或者蓋章具有同等法律效力。

在密碼技術的應用上，電子證照主要具有以下幾方面的應

用需求：

一是電子證照的合法性驗證，通過電子印章、電子簽名等

基于密碼的防護技術手段，對電子證照內容進行簽名，保障證

照合法使用；

二是電子證照的全生命周期管理，從電子證照制作、發放、

查詢、核驗等各個環節，建立電子證照數據安全傳輸、安全存

儲、防篡改、防抵賴等安全保護機制，確保電子證照的安全管

理；

三是電子證照的安全應用，利用數字證書技術進行電子證

照的安全核驗，以及基于電子證照的電子簽名，滿足企業到企

業、企業到個人、企業到政府等多元化的使用要求。

電子證照對密碼產品的應用需求包括以下幾個方面：

一是靈活安全的電子證照載體：證書是電子證照的基礎，

需要合規的商用密碼介質進行存放。傳統采用USB-key等硬件

介質進行證書存放，但難以滿足移動化時代的應用需求，需要

—23—

考慮手機盾、軟Key等新型密碼載體形態，通過APP、小程序

等方式，更好的提供電子證照的各種應用服務；

二是以數字證書系統為核心的電子證照應用支撐平臺：電

子證照應用支撐需要證書管理系統、安全接入系統、數字簽名

系統、電子印章系統的支持，從而實現統一身份認證、統一電

子印章，以及電子證照的多元化應用。

三是推進區塊鏈+電子證照的新型應用：通過區塊鏈與電子

證照的融合應用，將電子證照及電子證照的頒發使用環節在區

塊鏈上存證，保障電子證照應用全過程的可信可查、可追溯，

同時實現多中心環境下電子證照的互信與共享。

（2）合同數字化

合同是企業間達成合作的基礎，是保障企業間有效協作的

關鍵。隨著《合同法》與《電子簽名法》的陸續出臺，電子合

同逐步取代傳統的紙質合同，成為了企業與個人、企業之間簽

約的主要形態。對于工業企業之間的電子合同而言，除了利用

電子簽約方式提升合同簽署效率、降低簽署成本之外，對合同

的全方位、全過程數字化管理，已經成為了發展的新趨勢。

合同的數字化管理，將合同從電子化升級到知識化、智能

化的新階段，緊密圍繞企業銷售、招投標、采購等業務活動，

實現合同起草、審批、簽訂、履行等過程工作的信息化管理，

并結合合同的風險預警、履約監控等手段，將合同數字化管理

延伸到企業數字化轉型的各個方面。

在合同數字化方面，密碼技術主要滿足以下需求：

—24—

一是確保電子合同簽署的安全合規：在電子合同簽署的流

程中，需要使用密碼技術進行身份核驗、電子簽名、數據傳輸

保護以及時間戳服務，從而保障電子簽名過程的有效性。

二是實現電子合同的安全存證：對第三方存證的電子合同，

應采用加密機制保障合同安全存儲，防止合同內容被非法獲取，

同時需要提供有效的加密手段、完整性鑒別手段來保障電子合

同在簽約方、公證機構以及存證平臺之間的傳輸安全。

三是完成電子合同的內部可控流轉：在企業內部，應當對

敏感合同內容進行全生命周期的存儲加密保護和完整性保護，

并建立基于數字簽名的合同審批流程，保障合同生命周期的安

全可控、可追溯。

合同數字化管理對密碼產品的應用需求包括以下幾個方面：

一是電子印章：電子印章技術以先進的數字技術模擬傳統

實物印章，其管理、使用方式符合實物印章的習慣和體驗，其

加蓋的電子文件具有與實物印章加蓋的紙張文件相同的外觀、

相同的有效性和相似的使用方式。電子印章將電子簽名技術完

全隱藏在電子印章的后面，降低電子文件的使用成本，并易于

與主要流式、版式文件格式集成。

二是數據存證平臺：數據存證系統通過將身份、信息、資

產、行為上鏈，使得存證無法篡改，便于被各方共享，并作為

糾紛發生時的電子證據，實現全流程留痕，全鏈路可信，全節

點見證，高效解決企業糾紛，降低企業風控成本，結合區塊鏈

技術和數據加密技術，可以保障電子合同等關鍵數據的安全存

—25—

證。

（3）供應鏈溯源

商品從原材料、零部件到達最終消費者受眾，往往經過了

多個生產制造企業、倉儲企業、物流企業、各級分銷商、零售

商、電商等多個環節。在產品的生產、流通、消費等環節中，

存在著假冒偽劣、以次充好等擾亂市場秩序的行為發生，影響

最終產成品質量和消費者權益，供應鏈溯源體系的建立，將打

通采購、生產、銷售、倉儲、物流等各個環節，實現貨品全過

程的來源可查、去向可追、責任可究。

供應鏈溯源中，密碼技術主要滿足以下的應用需求：

一是建立“一物一碼”的信息標識：結合密碼技術與RFID

技術，構建可信的商品溯源碼，保障商品信息的唯一標識，防

止篡改。

二是基于區塊鏈技術實現全過程管理：利用區塊鏈分布式、

不可篡改的特性，實現商品在生產流通的各個環節進行全過程

上鏈存證和可控流轉，實現全過程可追溯，實現有效的責任認

定。

在供應鏈溯源中，對于商用密碼產品的需求包括以下兩個

方面：

一是利用輕量化、低成本的密碼標識方案，滿足貨品標識

的隱私性、不可篡改性需要。

二是建立具有隱私保護、強確權的區塊鏈平臺，實現商品

流轉信息的安全保密和抗抵賴。

—26—

（4）制造協同化

協同制造指利用先進網絡技術與信息技術，將串行制造過

程轉變為并行制造過程，實現供應鏈內部及跨供應鏈間的設計、

制造、管理、商務等合作的生產模式，最終通過改變經營模式

達到資源高效利用的目的。

當今，越來越多的工業企業通過工業互聯網平臺建立了與

上下游供應商、合作伙伴和客戶的直接連通，集聚供應信息并

進行深度挖掘分析，提高了供應鏈的反應速度、匹配精度和調

運效率，降低了采購成本，減少了成品和在制品的庫存，縮短

了對客戶服務的響應時間。

然而隨著數據在企業生產經營中的重要性日益體現，協同

制造也給安全帶來了更高要求：

一是需要保障企業間生產過程數據的安全可控共享。產業

鏈上下游企業共享倉儲數據、生產數據、訂單數據，可以更好

的制定采購計劃、排產計劃，更快的滿足客戶使用需求，但是

由于企業間本身的競合關系，以及不同的供應商、不同客戶間

錯綜復雜的關系，需對數據共享的范圍、內容以及共享方式進

行基于密鑰的細粒度管理與訪問控制，避免企業自身核心數據

及其他合作伙伴數據的失泄密。

二是需要建立工廠現場可信可證的遠程診斷與服務模式。

工業互聯網使得設備商能夠更好的了解設備的工作狀態開展遠

程故障診斷、維護升級甚至是預測性維護服務，從而更好的響

應客戶需求。然而在此過程中，也可能導致客戶數據的非授權

—27—

訪問以及外部入侵的可能。需要利用密碼技術進行遠程訪問授

權、通信傳輸保護和升級固件的可信驗證，保障工廠服務安全。

在制造協同化過程中，需充分分析共享的數據內容，建立

包含機密性、完整性、不可否認性相結合的數據保護方案，結

合細粒度的密鑰管理機制，保障數據在企業間可控共享。

（5）產業鏈金融

產業鏈金融是指金融機構以產業鏈上的核心企業為依托，

以真實的業務場景為基礎，為整個產業鏈上的鏈屬企業提供金

融服務的一種模式。在一條產業鏈上，中小微企業往往處于劣

勢，且缺乏足夠的信用和資產抵押獲得足額的貸款滿足生產活

動需要，而產業鏈金融依靠真實業務場景及核心企業信用的傳

導，化解中小企業融資難、融資貴問題，加速整個產業鏈條上

的資金流轉。

在產業鏈金融中，密碼技術主要滿足以下應用需求：

一是利用區塊鏈技術，實現核心企業信用的多級流轉，解

決上游中小企業的融資難題。通過構建線上化的產業鏈金融平

臺，建立具有區塊鏈唯一標識的核心企業付款憑證，實現多級

分拆與流轉。利用密碼的完整性、不可否認性，實現金融機構

對核心企業應付憑證的快速核驗，從而提升審批與放款效率。

二是建立基于密碼的設備遠程管控手段，助力線上化的機

械設備融資租賃。利用加密安全傳輸，實現高價值工程機械設

備的遠端控制，結合真實有效的地理位置信息、使用狀態信息，

進行設備的有效管控，當租戶沒有按期付款時，實現設備的遠

—28—

程停機，保障設備租賃企業的合法利益。

三是實現黑名單客戶信息的隱私共享，化解產業鏈金融風

險。利用隱私計算“可用而不可見”的特性，利用同態加密、

安全多方計算等隱私計算技術，實現黑名單客戶信息在銀行、

企業及政府機構間可信共享，實現智能化動態風控，化解產業

鏈金融風險。

在產業鏈金融中，對于商用密碼產品的需求包括以下三個

方面：

一是基于區塊鏈的數字憑證及流轉體系，實現可確權、可

分拆、可流轉，全過程可查可證。

二是基于可信計算的安全物聯模塊，實現對遠程指令的安

全驗證和可信操作，有效控制高價值設備使用。

三是基于隱私計算的安全風控模型，實現風險名單的可控

共享，保障資金安全。

（五）推動數據要素市場化流通

數據是工業互聯網的核心驅動力，也是工業互聯網的本質

要素之一。來源于傳感器或監控系統的數據不斷被采集、積累，

形成了具有巨大價值的數據資產。而在協同、柔性、智能等工

業生產模式的驅動下，數據在更大范圍內加速流通、共享和交

易，以數據為中心的工業生產成為了一種新業態。

2020年4月9日，中共中央國務院公布了《關于構建更加

完善的要素市場化配置體制機制的意見》，并明確要加快培育

數據要素市場，推進政府數據開放共享、提升社會數據資源價

—29—

值、加強數據資源整合和安全保護，第一次將數據與土地、勞

動力、資本、技術一起作為生產要素納入市場化的配置體系之

中。

數據要素市場化建設有三個階段：“數據資源化”、“數

據資產化”和“數據資本化”，通過漸進式的“三化”工作，

使得數據具有通用性、全局性、價值性和流通性等多種屬性之

后，數據才可以成為“生產要素”。而在這三化的過程中，密

碼都將起到極其重要的作用。

（1）數據資源化層面

數據資源化是將來自于不同信息系統、控制系統、物聯設

備的信息，通過加工處理，形成可見、可采、互通、可信的高

質量數據資源的過程。

但是在企業的實際生產經營中，由于信息化能力參差不齊、

底層設備接口標準化程度低、信息系統互聯互通差、數據自采

率低、通信協議不兼容等一系列原因，造成了數據來源混亂、

數據失真、統計口徑不一致等一系列問題，給后續的數據應用

帶來了嚴峻的挑戰。

通過密碼技術在數據源頭的部署與應用，可以有效解決數

據來源可信的問題：

一是通過密碼能力在IoT終端中的泛在化部署，對數據采

集來源進行可信標識，實現“一數一源”；

二是通過基于密碼的安全接入能力構建，構建海量數據的

安全接入通道，實現“可信匯聚”；

—30—

三是通過來源數據的安全標識、多屬性加密、完整性保護，

構建端到端加密、細粒度訪問控制的數據保護能力，實現“一

源多用”。

以密碼技術為基礎，從來源可信、接入可信、內容可信三

個層面，構建安全、可信、規范、易用的數據資源體系。

（2）數據資產化層面

數據資產化是指通過元數據管理、主數據治理、知識圖譜

構建、數據挖掘等一系列活動，將數據與企業生產、經營等實

際業務場景相結合，為企業帶來實際價值的過程。

對企業數據的充分應用，涉及跨應用、跨部門、跨組織間

的數據打通，企業數據資產在信息化部門、數據運營部門和業

務部門間高效流轉，數據安全已經遠遠超出了傳統數據庫審計、

災備、敏感文件流轉監控的防護范圍，需要構建新的防護能力。

通過密碼體系與工業大數據架構的融合設計結合動態的密

鑰分配管理體系，有助于打造數據安全治理新范式：

一是結合結構化數據、非結構化數據、時序數據、圖數據

等不同數據的存儲形式，構建安全存儲、可信計算的基礎環境，

打造數據資產的安全計算平臺；

二是結合數據體系和數據血緣關系，建立基于密鑰的數據

資產隔離防護模型，打造多級安全的數據資產加密保護體系；

三是對數據的訪問與可控共享，部署端到端加密與基于策

略的訪問控制能力，實現對數據調用的細粒度管控，確保數據

資產可控調用。

—31—

從數據存儲與計算處理、數據資產管理與治理、數據服務

三個層面，嵌入相應的密碼保護機制，實現基于策略確保數據

資產安全可控。

（3）數據資本化層面

數據資本化是指通過數據交易、流通等實現數據要素市場

化、社會化配置的過程。通過市場化的交易手段，將企業在生

產運營中沉淀的大量數據從企業的經營成本轉化為產業鏈高效

協同的價值點和新的利潤點，已經成為了數字經濟發展過程中

產業界的一種共識。

然而隨著數據價值的不斷挖掘，越來越多的企業和個人認

識到數據泄漏對個人隱私安全、企業商業秘密乃至國家安全可

能構成的嚴重威脅；國家也在通過《個人信息保護法》、《數

據安全法》等一系列法律法規的出臺來約束數據使用的合規性。

如何通過可證明安全的技術手段，保障數據價值的可控、可信

流動，支持數據要素的共享與增值，已經成為數據要素資本化

的重要前提。

以密碼技術為基礎，構筑數據要素的共享與增值服務，將

是實現數據價值共享與增值的重要手段：

一是基于信任服務基礎設施，通過數據指紋、數字簽名與

時間戳技術，構建數據資產的“產權證”，實現數字資產確權；

二是利用同態加密、多方安全計算等隱私計算技術，實現

密文狀態下的數據運算處理，實現數據價值的可控共享；

三是通過區塊鏈技術，構建基于共識的價值互聯網絡，為

—32—

數據價值的流轉、交易與變現提供底層能力支持。

密碼技術從資產確權、隱私利用、價值流通三個方面，幫

助實現數據價值的有效交易，實現基于工業互聯網密碼應用的

創新發展。

三、工業互聯網密碼能力供給

工業互聯網密碼應用的發展依賴于密碼相關產業鏈的供給能

力。當前，我國密碼產品種類齊全，初步形成了從密碼芯片、板

卡、整機到系統和服務的完整產業鏈，面向工業互聯網等特定領

域需求的密碼應用產業鏈供給能力基本具備，但部分環節個性化

能力仍有待提升。以下對工業互聯網中密碼應用相關產業鏈供給

能力做了簡要梳理。

（一）密碼理論支撐

1.通用的商用密碼算法和協議

我國的商用密碼算法主要包括ZUC、SM2、SM3、SM4和SM9。

以ZUC算法為核心的加密算法128-EEA3和完整性保護算法128-

EIA3，與美國AES、歐洲SNOW3G共同成為4G移動通信密碼算法

國際標準，主要用于4G移動通信中移動用戶設備和無線網絡控制

設備之間的無線鏈路上通信信令和數據的加解密和完整性校驗，

適用于工業互聯網的網絡通信安全防護。SM2算法可以滿足應用

中的身份鑒別和數據完整性、信息來源真實性的安全需求,與RSA

算法相比，SM2算法具有以下優勢：一是安全性高，二是密鑰短，

三是簽名速度快。利用SM3雜湊算法可生成HMAC，用作數據完整

—33—

性檢驗和消息鑒別，檢驗數據是否被非授權修改以及保證消息源

的真實性。SM4算法主要用于加解密，實現起來較為簡單，不僅

適用于軟件編程實現，更適合硬件芯片實現。SM9算法是一種標

識密碼（Identity-BasedCryptography,IBC)，用戶的公鑰就是

用戶的唯一身份標識，該算法解決了PKI需要大量交換數字證書

的問題，使安全應用更加易于部署和使用。

密碼協議是指兩個或以上參與者使用密碼算法時，為達到加

密保護或安全認證目的而約定的交互規則，一般包括密鑰交換協

議、實體鑒別協議和IPSec、SSL等綜合的密碼協議。我國國家標

準GB/T15843系列規定了進行實體鑒別的機制，包括采用對稱加

密算法的機制、采用數字簽名技術的機制、采用密碼校驗函數的

機制、采用零知識技術的機制以及采用人工數據傳遞的機制。

IPSec和SSL支持采用多種密碼技術為通信交互中的數據提供安

全防護，IPSec工作在網絡層，一般用于兩個子網間的通信，SSL

工作在應用層和傳輸層，一般用于終端到子網間的通信，我國于

2014年先后發布了密碼行業標準GM/T0022-2014《IPSecVPN技

術規范》和GM/T0024-2014《SSLVPN技術規范》。

2.基于標識的密碼體制

隨著工業互聯網、物聯網技術的快速發展，終端設備激增已

經成為必然趨勢。基于證書的公鑰加密體制將面臨嚴峻的證書管

理問題。為了便于工業互聯網實現終端設備快速、便捷的無線接

入，基于標識的密碼體制受到廣泛關注。IBC是一種基于實體身

份標識生成密鑰的密碼體制，實體公鑰可由其身份標識得到，相

—34—

應的私鑰由可信第三方密鑰服務器產生，無需頒發公鑰證書，解

決了基于證書的公鑰加密體制在證書存儲和管理過程中開銷過大

的問題。

在工業互聯網系統中，IBC的應用能夠提供簡潔的密鑰管理、

極低的帶寬和存儲開銷、高效密碼算法實現、同時支持強不可抵

賴的身份認證能力。IBC以設備ID、用戶手機號等為標識公鑰，

分發專屬私鑰，不需要預先注冊數字證書及認證，實現可信的身

份認證。也不需要建設證書中心，僅需要使用密鑰管理中心，避

免了工業互聯網巨大的設備數字證書及存儲問題，極大地減少了

平臺維護、管理和使用成本。在系統設計上，可以支持國產SM9

算法，保證了密鑰產生、分發及運算的安全。在工業互聯網安全

應用擴展上，可以和RFID等技術相結合。

3.適用于物聯網的輕量級算法

物聯網的應用組件是計算能力相對較弱的嵌入式處理器，計

算可使用存儲往往較小，且考慮到各種設備的功能需求，能耗必

須限制在某個范圍之內。傳統的密碼算法無法很好地適用于這種

環境，適用于資源受限環境的密碼算法就是所謂的輕量級密碼，

包括輕量級的分組密碼、流密碼、數字簽名等。目前資源受限環

境的硬件缺乏統一的國際標準，而且輕量級密碼還處于發展階段，

所以對于輕量級密碼算法并沒有統一的衡量和評價的標準體系。

輕量級密碼與傳統密碼相比有幾個特點：首先，資源受限的

應用環境通常處理的數據規模比較小，因此，對輕量級密碼吞吐

量的要求比普通密碼要低的多；其次，RFID和傳感器等應用通常

—35—

對安全性的要求不是很高，適中的安全級別即可；再者，輕量級

密碼大多采用硬件實現，由于實現環境條件的限制，除了安全性

之外，輕量級密碼算法追求的首要目標是占用空間小及實現效率

高。簡單的說，就是應用環境對輕量級密碼硬件實現的芯片大小

有嚴格的限制。在這些環境下，為了實現目標，輕量級密碼有的

不實現密鑰擴展算法而是采用機器內置密鑰；有的不提供解密算

法。這些特點使得輕量級密碼的密鑰長度多為64比特和80比特。

隨著普適計算、物聯網技術的發展，輕量級密碼會被應用在工業

互聯網的多種場合。

典型的輕量級算法有PRESENT算法、LBlock算法（又稱魯班

鎖）、Grain系列算法、SM7算法等。其中，SM7算法是我國商用

密碼算法系列的分組密碼算法，適用于非接觸式IC卡，常見的門

禁卡即可基于SM7算法實現身份鑒別；LBlock是中國科學院軟件

研究所的密碼專家團隊設計的，具有很高效的性能；Grainv1是

eSTREAM計劃最后的7個勝選算法之一，具有很高的安全特性。

4.適用于隱私保護的密碼技術

工業互聯網是云計算平臺的延伸，繼承了云計算平臺的特性，

同態加密和多方安全計算等密碼技術是云環境下的隱私保護問題

的重要解決手段。

（1）同態加密

同態加密是一類加密算法，有同態的性質，用戶對密文進行

運算后再解密得到的結果與直接對明文進行運算得到的結果一致。

同態加密已經運用在云計算平臺，但是全同態加密的效率很低，

—36—

目前尚未實用。在云計算環境中，該協議可以充分利用云服務器

的計算能力，實現對明文信息的運算，而不會有損私有數據的私

密性。可用于構建安全多方計算協議、零知識證明協議等。可用

于基于云的數據共享平臺，數據擁有者可以對存儲在云端的資源

進行計算。

（2）安全多方計算

安全多方計算解決的是獨立數據擁有者可以在不信任對方以

及第三方的情況下進行隱私協同計算。不同于傳統的計算場景，

工業互聯網云平臺用戶需要把數據和計算外包給云，因此用戶將

失去對資源和數據的完全控制，安全多方計算的特點對于云計算

的安全保障有得天獨厚的優勢。多方安全計算可用在工業互聯網

資源共享計算環節，在無信任中心情況下，執行協同計算，使數

據真正達到可用不可見。

（二）密碼產品供給

1.通用類

（1）密碼安全模塊

密碼安全模塊支持國產密碼算法，可以提供高性能的數據

簽名/驗簽、加密/解密的要求，以及簡單的密鑰管理功能，部

署在工業互聯網的設備層，為工控現場設備、控制器提供傳輸

加密、身份鑒別、訪問控制等功能，需要與工控加密網關配套

使用。嵌入式密碼安全模塊適用于具備集成能力的部分現場設

備層智能終端和現場控制層控制器。非嵌入式密碼安全模塊適

—37—

用于不具備集成能力的現場設備和控制器，以外接的形式部署

在現場設備和控制器側。

（2）工控加密網關

工控加密網關配套密碼安全模塊使用，部署在工業互聯網

邊緣層，適用于通過廣域網進行數據傳輸的場景。工控加密網

關與密碼安全模塊通過設備證書進行雙向身份認證，采用

IPSecVPN隧道技術，與密碼安全模塊在不可信信道上，構建

安全可靠的虛擬專用數據通道，為傳輸數據提供機密性、完整

性保護以及數據源鑒別和抗重放攻擊等安全保障。工控加密網

關采用內外雙主機系統架構，內、外端主機間通過非網絡方式

隔離進行通信，實現上層工控系統與廣域網之間的物理隔離。

（3）SSLVPN安全網關

SSLVPN安全網關基于密碼運算、訪問控制、協議代理等

安全技術手段，為工業互聯網的業務系統提供實現對用戶的身

份識別及其訪問應用系統的權限管控，并對應用數據的機密性、

完整性進行保護，對網絡邊界進行安全防護。

（4）數據庫加密系統

數據庫加密系統用于保證工業數據在存儲過程中的安全性

和完整性。在敏感數據寫入歷史數據庫之前，根據不同數據庫

的表結構組織形式，數據庫加密系統對敏感數據進行部分或全

部加密，用戶在讀取對應的敏感數據時，通過數據庫加密系統

將數據解密后讀取。

（5）IPSecVPN

—38—

通過IPSecVPN在各層之間建立安全通道，對所有進出網

絡的信息進行基于策略的訪問控制，并完成對通信雙方的身份

認證、通信數據的加密/解密，滿足用戶網絡跨區域互聯互通私

密性、完整性和抗抵賴的安全需求。

（6）密鑰管理系統

密鑰管理系統支持完善的對稱密鑰和非對稱密鑰管理應用

體系，提供對稱密鑰和非對稱密鑰全生命周期在線和離線管理，

包括密鑰產生、密鑰分發、密鑰更新、密鑰撤消、密鑰恢復、

密鑰歸檔等功能。系統提供三權分立策略，對管理人員身份鑒

別及登錄控制，杜絕非法用戶登錄訪問系統。

（7）數字證書認證系統

數字證書認證系統基于PKI技術，實現了用戶注冊、審核，

密鑰產生、分發，證書制證、簽發、發布、下載、查詢等一系

列完整的證書中心服務功能，使應用系統能夠方便的使用加密

和數字簽名技術，從而保證網絡信息傳輸的機密性、真實性、

完整性和不可否認性，為應用和用戶建立起一個安全的網絡運

行環境。

2.云服務類

（1）云服務器密碼機

云服務器密碼機采用虛擬化技術，按需生成多臺虛擬密碼

機(以下簡稱VSM)并提供密鑰管理和密碼運算服務，滿足云計

算環境、傳統計算環境中數據加密保護、金融支付、密鑰管理

及身份認證等安全需求。云服務器密碼機采用安全隔離技術實

—39—

現各VSM密鑰在存儲和使用過程中的安全，支持管理通道和業

務通道的安全防護，支持多臺VSM組建集群，并具有負載均衡，

可提供高可用的密碼服務，保障用戶業務的連續性。

（2）云密碼資源池管理平臺

云密碼資源池管理平臺基于OpenStack云平臺，將原本靜

態分配的密碼機作為密碼資源池的抽象集合，以池化機制為云

密碼機對外提供可按需分配、彈性伸縮的云密碼服務資源；通