物聯網平台概覽 - Amazon, Microsoft, IBM IoT 解決方案概述
最近研究了一些物聯網平台技術資料，以做選型參考。腦子裡積累大量資訊，便想寫出來做一些普及。作為科普文章，力争通俗易懂，不確定概念嚴謹性。我會給考據癖者提供相關英文連結，以便深入研究。—— 馮立超 HiwebFrank
亞馬遜、微軟、IBM 等雲計算廠商都在布局物聯網。作為平台廠商，他們各自基于自己的雲計算大資料平台，提出一套完善的物聯網體系構架和建構與開發工具。
作為物聯網整體構架，可以簡要描述為：将裝置聯入雲平台；儲存設備資料；進行裝置資訊管理；裝置狀态資料監控及對裝置進行控制、管理、運維；資料分析與展示；提供多種業務功能。
本系列文章将從如下幾方面分别描述：
- 概覽
- 裝置
- 連接配接
- 平台
- 安全
- 案例與參考文檔
1. 概 覽
亞馬遜、微軟、IBM等都給出了物聯網解決方案概念構架，下面暫以亞馬遜物聯網解決方案概念構架為例，做簡要說明。
亞馬遜給出的物聯網解決方案體系構架圖如下：
其大緻描述如下：
裝置利用本身的功能或軟體開發包SDK進行定制開發，連接配接到物聯網系統中；為確定安全，裝置需要驗證、授權、注冊等措施；一些不能直接接入的裝置則需要通過裝置網關接入；在雲平台中，通過裝置狀态資料緩存機制，儲存裝置最新狀态等資訊，進而應用程式或其他裝置可以讀取裝置消息并與裝置互動；通過規則引擎，建構物聯網應用程式，這些程式将收集、處理、分析裝置資料并執行操作；同時，通過大資料分析，提供業務支援與決策。而各類資料處理，則通過雲平台的各種計算服務、存儲服務得以實作。
2. 設 備
任何可以連接配接到網絡的物體，如溫度傳感器、火災監測裝置、發動機、手環、汽車、鑽井、機器人、火星車、小貓小狗、冰箱空調洗碗機等，即所謂 物聯網 的“物”，Internet of Things 的“Things”。
裝置可以很簡單，也可以很複雜。對于簡單裝置，可能不能直接聯入網際網路，則需要通過裝置網關連接配接；對于複雜智能裝置，則可以通過物聯網作業系統（以前稱嵌入式作業系統）進行深度開發管理。
目前各廠商都推出自己的裝置端系統，如亞馬遜的 Greengrass，微軟的 Windows 10 IoT，華為的 LiteOS 等。這些系統使得智能裝置有了強大的本地計算能力和安全性。
根據場景不同，各家對裝置又有一些分類。微軟 Windows IoT Core 針對有頭和無頭裝置（就是有沒有顯示器）有不同的記憶體要求。IBM 把裝置分為可管理裝置和不可管理裝置，即是否可安裝管理代理以對裝置進行管控。
作為躍躍欲試的技術狂熱者，搭建測試環境進行學習，什麼軟體/平台都好說，沒裝置就會一籌莫展。
為了讓開發者盡快掌握相關技術、搭建測試環境，各家也是想盡了辦法。各自給出了軟體模拟裝置，微軟Azure IoT案例中的一堆模拟溫濕度計，IBM 紅點模拟器 Node-RED device simulator（永遠的紅點，永遠的IBM）
對于微軟平台，用Windows計算機即可，但總感覺不像真的。是以最新的樹莓派3可以安裝 Windows 10 Core，然後進行各種操作，具體點選這裡。
亞馬遜給出的最簡單裝置是亞馬遜按鈕（記不記得此前吵了一段的你買個洗衣液送你個按鈕，下次沒洗衣液了就把這個按鈕按一下就自動下單了的新聞），以及一堆物聯網裝置。
關于裝置，有很多細節值得探讨，不再贅述。
3. 連 接
從實體連接配接的角度，有大量的底層技術，包括網線、WiFi、GPRS、3G / 4G / 4.5G、Bluetooth、Zigbee、RFID 以及正吵的 NB-IoT、LiTRA 等等，此不贅述。
對于協定，一般都主流支援 MQTT, HTTP, WebSockets。具體細節可點選：
- MQTT ;
- 亞馬遜協定清單；
- 微軟協定網關；
- IBM MQTT詳述
由于物聯網各種裝置所處環境複雜，如室内、井下、隧道、甚至月球火星，很難保證連結的可靠性和持續性，這對應用系統的開發和使用帶來挑戰。
于是，大家想出來一個辦法（我估計是亞馬遜先想出來的，因為我喜歡亞馬遜方案的完備性和文檔的完整易讀性（什麼邏輯）），就是在雲平台上把裝置最新的狀态資料緩存起來，裝置和緩存互動，而應用程式隻和這個緩存的資料打交道。這樣，應用程式就可以假設裝置是永遠線上的了。
這個緩存資料，其實就是一個JSON檔案，而亞馬遜給其取了一個好聽的名字：裝置影子 Device Shadow；
微軟嘛，好吧，你叫 Shadow，我就另想一個名字吧，嗯——，裝置孿生 Device Twins ，（虧你想的出來）
IBM西裝革履職業一些，老老實實，就叫 裝置最後事件緩存 Device Last Event Cache 。
這是一個很好的思路，這個影子孿生緩存裝置，可以使應用系統更加高效、設定比裝置更多的中繼資料及屬性、預置裝置狀态、處理長時間工作流業務等等。
對于物聯網裝置連接配接到雲端，需要解決很多問題，包括裝置到雲/雲到裝置的通信，如消息傳送、檔案傳輸、請求響應方法；消息路由；裝置中繼資料存儲檢索及裝置狀态資訊同步；通信安全與通路控制；裝置連接配接性監控及裝置辨別管理等等。各家都有自己的解決方案。
微軟比較清晰地提出一個專門的服務：IoT Hub，對海量物聯網裝置與雲端解決放案之間提供可靠、安全的雙向通信。
微軟給出的 IoT Hub 概念示意圖如下，供參考：
4. 平 台
4.1 平台概述
由于物聯網的地域分布廣、裝置數量衆多的特點，物聯網解決方案必須借助公有雲平台來實作。
物聯網解決方案須具備如下功能：
- 從裝置收集資料
- 分析運作中的資料流
- 存儲和查詢大型資料集
- 實時和曆史資料可視化
- 與後端業務系統內建
- 管理裝置
我們用一個簡單的圖示來說明物聯網解決方案構架，下圖是微軟給出的一個與廠商無關的物聯網解決方案通用示意構架：
該簡化構架包括 裝置連接配接、資料處理與分析、資訊呈現 三個層面。
該構架中，物聯網裝置收集資料并與雲網關互動；雲網關使其它後端服務可以處理這些資料，從雲網關，資料送出給其它業務應用程式或儀表闆操作人員及其它展示裝置。
4.1.1 裝置連接配接
如何讓裝置安全可靠地連接配接到解決方案後端，是物聯網解決方案所面臨的巨大挑戰，相比于其它系統，物聯網裝置有如下一些特點：
- 通常是無人操作的嵌入式系統甚至是沒有作業系統的裝置
- 可能部署到實體通路成本高昂的遠端位置等各種部署場景
- 可能無法通過其他方式來與裝置互動，而隻能通過解決方案後端來通路
- 供電及運算資源可能都有限
- 網絡連接配接可能不穩定、緩慢或高成本
- 可能需要使用專屬、自定義或行業特定的應用層協定
- 可以使用大量常見的硬體和軟體平台來建立
除上述特點之外，物聯網解決方案還必須考慮可擴充性、安全性和可靠性。傳統的技術如Web容器或消息傳送代理等不足以支撐這樣的需求。
為此，物聯網平台廠商都提出自己的解決方法，如微軟的 Azure IoT Hub 及 Azure IoT SDK 等。關于 Azure IoT Hub 請參見上一講相關内容。
有關裝置連接配接及配置，微軟給出了非常詳細的教程，包括使用模拟裝置、使用模拟網關、使用實體裝置等，并針對使用 C、Node.js、Python 利用樹莓派搭建環境給出詳細的教程，具體可參見Connect Raspberry Pi to Azure IoT Hub
以下是該教程中的截圖：
4.1.2 資料處理與分析
在物聯網解決方案中，資料處理與分析主要交由在公有雲上的後端服務進行，包括裝置資料篩選、彙總、路由到其他服務等等。後端服務主要負責如下工作：
- 接收來自裝置的大規模資料，并确定如何處理和存儲這些資料
- 必要時可以從雲端向裝置發送資料或指令
- 裝置注冊、預配置及安全連接配接控制
- 跟蹤裝置狀态并監控裝置活動
- 存儲和分析裝置曆史資料，進而實作裝置預見性維護
- 與裝置進行互動，實作回報控制等
當然，并不是所有的業務都必須交由雲端處理，例如一些必須及時響應的操作比如緊急刹車，這些處理及操作都必須在裝置端直接進行；另外，裝置也可以進行一些預處理，進而提高效率、降低資料傳輸量。
為此，裝置本身應該具備一些處理能力。
微軟的 Windows 10 IoT Core，提供了強大的裝置端計算能力；
而亞馬遜的 Greengrass，則使物聯網裝置可以運作 AWS Lambda 函數、同步裝置資料以及與其他裝置安全通信，甚至無需連接配接網際網路。Greengrass 可確定物聯網裝置快速響應本地事件、運作時采用間歇性連接配接，并最大程度地降低将物聯網資料傳輸到雲的成本。
華為的 LiteOS，則強調輕量級、低功耗（一個紐扣電池用好幾年）、快速啟動（毫秒級）及響應（納秒級）、多種連接配接協定（廣域/局域）等特性。
另外，一些物聯網裝置，也可以通過完全自主研發的晶片，實作相關資料采集與處理。
比如圖像火災監測裝置，可以将圖像火災分析算法內建在裝置晶片中，由裝置晶片中的算法進行判斷，僅将是否發生火災的判定結果傳輸到雲端。
而對于較複雜的圖像、或者誤判圖像，則将圖像資料及其裝置端判定結果傳到雲端，通過機器學習，逐漸改進算法，提高圖像處理能力，并通過物聯網對裝置進行更新操作。
4.1.3 資訊呈現和業務連接配接
資訊呈現和業務連接配接層 用于展示和操控從裝置收集的資料。它可讓使用者檢視和分析從其裝置收集的資料。 這些視圖可以采用儀表闆或 BI 報表的格式，以顯示曆史資料和/或接近實時的資料。
此層還可實作物聯網解決方案與現有業務應用程式的內建，以連接配接企業業務流程或工作流。 例如，圖像火災監測系統，在發現監測裝置故障資訊後，通過與維護服務商現有的運維計劃系統內建，可以預約工程師到現場進行檢查。
下圖是微軟提供的一個物聯網工廠的應用界面樣例。
在該界面中，儀表闆左側展示了生産線細節資訊。如儀表闆左側第一條，提示機械臂嚴重警告，而在儀表闆中部的模拟界面中，同樣用紅色标出機械臂警告位置。在右側的報警欄，列出不同時間點的警告資訊，如機械臂溫度警告等。而在儀表闆下方，則展示該條生産線的整體效率資訊。
4.2 微軟物聯網解決方案構架
下圖是微軟物聯網解決方案的較詳細的構架圖：
微軟的物聯網解決方案平台，通過微軟的公有雲 Azure 實作，即 微軟物聯網套件 Azure IoT Suite。裝置通過 Azure IoT Hub 注冊和接入，然後可以使用微軟公有雲 Azure 的各種強大的資料處理、存儲、分析、機器學習能力，建構所需的各類物聯網業務。
微軟物聯網解決方案通常至少會使用到如下服務：
- Azure IoT Hub： 該服務提供裝置到雲和雲到裝置的消息傳送功能，并充當雲和其他主要 IoT 套件服務的網關。 該服務使得可以從大量裝置接收消息，并将指令發送給裝置。 使用該服務，還能夠管理裝置，例如，可以配置、重新開機連接配接到 Azure IoT Hub 的裝置，或對其執行恢複出廠設定操作。
- Azure Stream Anzlytics： 流分析提供運作資料分析。 該服務處理傳入遙測資料、執行聚合以及檢測事件。 以及處理包含中繼資料或來自裝置的指令響應的資訊消息。 解決方案使用流分析來處理裝置消息，并将這些消息傳送給其他服務。
- Azure Storage 和 Azure DocumentDB： Azure 存儲和 Azure DocumentDB 提供資料存儲功能。 解決方案使用 Blob Storage 來儲存設備遙測資料并使其可用于分析；使用 DocumentDB 來儲存設備中繼資料，以及啟用解決方案的裝置管理功能。
- Azure Web App 和 Microsoft Power BI： 提供資料可視化功能。 借助 Power BI 的靈活性，可以快速生成針對具體業務要求的互動式儀表闆。
微軟還給出了一些預配置解決方案和相關示範案例，有興趣的讀者可以點選如下連結，通過實際操作了解上面截圖中的工廠物聯網使用場景：http://www.microsoftazureiotsuite.com/demos/connectedfactory 。
4.3 亞馬遜物聯網解決方案構架
而亞馬遜給出的構架如下圖所示：
亞馬遜物聯網解決方案當然強調其公有雲平台 AWS，而最受其推崇的，自然是當下正熱的 Serverless 構架的 AWS Lambda。
亞馬遜物聯網解決方案至少用到如下 AWS 服務：
- Amazon Simple Storage Service：亞馬遜簡單存儲服務，簡稱 Amazon S3,提供可擴充的存儲服務。
- Amazon DynamoDB：提供受管理的 NoSQL 資料庫服務。
- Amazon Kinesis：提供大規模流資料實時處理能力。
AWS Lambda：在亞馬遜公有雲平台釋出運作自定義代碼。
ZStack創始人張鑫的文章《Serverless,後端小程式的未來》 比較透徹地講解了 AWS Lambda 及 Serverless 的原理、構架、應用場景、優勢和不足，并講述了Serverless與PaaS的差別、與容器技術的差別及聯系等，推薦一讀。
- Amazon Simple Notification Service：亞馬遜簡單通知服務，簡稱 Amazon SNS，負責處理通知發送與接收。
- Amazon Simple Queue Service：亞馬遜簡單隊列服務，簡稱 Amazon SQS，将資料存儲到隊列，由應用程式擷取。
（看看人家，做那麼大的生意，本星球/本星系第一啊，啥都謙稱為 Simple 簡單啥啥啥，另外，包括現在 IT 運維領域最重要的 SNMP 簡單網絡管理協定、電子郵件的 SMTP 簡單郵件傳輸協定......；看看我們，動辄 ×××、擎天、至尊，汗顔啊！慚愧啊！）
4.4 IBM 物聯網解決方案構架
IBM 的物聯網解決方案名為 Watson IoT Platform，（永遠的沃森）。其構架圖如下所示：
IBM 物聯網解決方案基于 IBM 公有雲平台 Bluemix,涉及到的服務至少包括：
- IBM Cloudant NoSQL DB：用于存儲和通路裝置資料。
- IBM Message Hub：為實時資料提供低延遲、可擴充的、高吞吐量的消息總線。
- IBM Blockchain 內建：對于特定領域，可以內建 IBM 區塊鍊服務，以符合特定的商業規則要求。
- 儀表闆：利用 Bulemix 提供的資料可視化儀表闆，可以可視化展示裝置狀态資料，提供 BI 功能。
IBM給出了一個簡單教程，可以快速搭建物聯網測試環境，可以參見https://console.ng.bluemix.net/docs/services/IoT/getting_started/quickstart/index.html#quickstart
5. 安 全
5.1 物聯網安全通述
我想用遙控器把隔壁鄰居家的電視給關了！
不知是否可以，但至少，我拿着一個空調遙控器可以到各個房間開關空調。
如果物聯網裝置沒有任何安全措施，那麼狀況将無法設想。
如何做到全方位安全？
微軟早在2003年就提出了可信賴的計算 Trustworthy Computing 和基于 STRIDE 網絡安全風險模型的縱深防禦 Defence in Depth 理念。
這些理念并不是針對微軟産品及其解決方案的，而是被業界充分認可的通用的理念。
我們将根據這些理念與模型，為大家展開讨論物聯網安全。
微軟基于上述網絡安全模型與理念，給出了通用的 物聯網安全構架 和 物聯網安全最佳實踐。具體資訊請參見：
- 物聯網安全架構
- 物聯網安全最佳實踐
在上述資料中，微軟對物聯網的實體安全層面進行了細分，将其分為 裝置、現場網關（Field Gateway）、雲網關 及 服務等多個分區Zone。指出各區域都是分離的信任邊界，每個分區都應有自己的資料安全、驗證、授權機制。
在這些分區之間資料與資訊的傳輸都應考慮 [STRIDE]https://blogs.msdn.microsoft.com/larryosterman/2007/09/04/threat-modeling-again-stride/) 各種風險，即：
- Spoofing 欺騙
- Tampering 篡改
- Repudiation 抵賴
- Information disclosure 資訊洩露
- Denial of service 拒絕服務
- Elevation of privilege 特權提升
微軟給出的物聯網安全構架示意圖如下所示：圖中紅色虛線框為不同的分區Zone，紅色虛弧線則為信任邊界。
下圖是用微軟威脅模組化工具所建立的資料流原理模型：
關于上述模型的詳細資訊，原文在 Internet of Things security architecture，中文可以參見 物聯網安全體系結構，這篇文檔好像是人翻譯的:)，中文可讀。（謝謝Sunny Deng和v-cchen）
5.2 微軟 Azure IoT Suite 物聯網安全
具體到微軟自己的 Azure IoT Suite 物聯網部署構架，則主要包括如下三個安全領域：
- 裝置安全：在實際部署物聯網裝置時，保護裝置安全
- 連接配接安全：確定物聯網裝置和 Azure IoT Hub 之間資料傳輸的機密性和防篡改性
- 雲安全：確定資料在雲中傳輸、移動和存儲時的安全
下圖給出微軟 Azure IoT 物聯網安全相關概念：
- 裝置預配與驗證安全
微軟 Azure IoT Suite 使用兩種方法確定裝置安全：
- 為每個裝置提供唯一辨別密鑰（安全令牌），裝置可使用該密鑰與 IoT Hub 通信。
- 使用裝置内置 X.509 證書和私鑰作為一種向 IoT Hub 驗證裝置的方式。 此身份驗證方式可確定任何時候都無法在裝置外部獲知裝置上的私鑰，進而提供更進階别的安全性。
- IoT Hub 安全令牌
IoT Hub 使用安全令牌對裝置和服務進行身份驗證，而不在網絡上發送密鑰。，安全令牌的有效期和範圍有限。 Azure IoT SDK 無需任何特殊配置即可自動生成令牌。 但在某些情況下，需要使用者生成并直接使用安全令牌。 包括 MQTT 、AMQP 或 HTTP 應用層協定的直接使用，以及令牌服務模式的實作。
- 連接配接安全
使用傳輸層安全性 (TLS) 标準來保護 IoT 裝置和 IoT 中心之間的 Internet 連接配接安全。 Azure IoT 支援 TLS 1.2、TLS 1.1 和 TLS 1.0
- 雲安全
Azure IoT Hub 為每個安全密鑰定義通路控制政策。 它使用裝置系統資料庫讀寫、服務連接配接、裝置連接配接等權限，向每個 IoT Hub 的終結點授予通路權限。
另外，在雲端的各種服務中，如 Azure DocumentDB、Azure Stream Analytics、Azure App Service、Logic App、Azure Blob Storage等服務，都應設定響應的安全權限配置。
5.3 亞馬遜 AWS 物聯網安全
亞馬遜同樣有一套完善的物聯網安全方案。
所連接配接的每台裝置必須擁有憑證才能通路消息代理或物聯網裝置影子服務。對于往返 AWS 物聯網的所有流量，都必須通過傳輸層安全性 (TLS) 進行加密。必須保證裝置憑證的安全，以便安全地将資料發送到消息代理。資料到達消息代理後在 AWS IoT 和其他裝置或 AWS 服務之間移動時，AWS 雲安全機制可為資料提供保護。
下圖是亞馬遜物聯網安全與辨別示意圖：
- 我們需要管理裝置上的裝置憑證（X.509 憑證、AWS 憑證）及 AWS IoT 中的政策。将唯一身份配置設定給每台裝置并管理裝置或裝置組的權限。
- 裝置将按照 AWS IoT 連接配接模式使用所選身份（X.509 證書、IAM 使用者群組，或者 Amazon Cognito 身份）來建立安全連接配接。
- AWS IoT 消息代理 針對賬戶内的所有操作執行身份驗證和授權。消息代理負責對裝置執行身份驗證、安全地接收裝置資料，以及支援通過政策授予裝置的通路權限。
- AWS IoT 規則引擎 根據所定義的規則将裝置資料轉發到其他裝置和其他 AWS 服務。利用 AWS 通路管理系統将資料安全地傳輸到最終目标。
AWS IoT 消息代理和裝置影子服務利用傳輸層安全 TLS 對所有通信進行加密。TLS 用于確定受 AWS IoT 支援的應用程式協定（MQTT、HTTP）的保密性。
對于 MQTT，TLS 可将裝置與代理之間的連接配接加密。AWS IoT 使用 TLS 用戶端身份驗證來識别裝置。對于 HTTP，TLS 可将裝置與代理之間的連接配接加密。身份驗證工作委派給 AWS Signature Ver. 4 執行。
5.4 IBM Watson IoT 物聯網安全
同樣，IBM Watson IoT 物聯網解決方案也包含完備的安全方案。
在 IBM Watson IoT Platform Security 一文中， 首先強調了安全性的合規性、驗證、授權、加密四各方面，并指出 Watson IoT Platform 以 Bluemix 為基礎，而 Bluemix 基礎構架的安全性與可靠性是 Watson IoT Platform 的基石。
然後，IBM 像個學生一樣老老實實認認真真道地出他的安全方案。
首先，掏出證書。指出 Watson IoT Platform 獲得了 ISO 27001:2013 認證。
然後，在 Watson IoT Platform 構架圖的基礎上，分别講述了如下幾個方面：
- 如何實作物聯網資訊管理安全
- 如何實作裝置與應用程式憑據安全
- 如何實作裝置連接配接安全
- 如何防止裝置資料在裝置之間洩露
- 如何防止資料在組織之間洩露
上面每一方面，都有較詳細的描述和示意圖，此不一一列出，僅以下圖裝置與應用程式憑據安全為例供大家參考：
另外，IBM 給出了安全風險管理建議，包括用戶端證書、組織規劃與安全政策、連接配接政策、黑白名單政策等。
總之，物聯網安全是一個重要的、同時也是複雜的問題。不僅僅包括物聯網特定的裝置與構架，還牽涉到網絡安全及軟體開發安全的各個方面。需要在構架設計、開發、部署、運維、應用的各個方面確定安全與合規。
6. 案例與參考文檔
亞馬遜物聯網相關文檔及網址
- 亞馬遜 AWS IoT 官網
- 亞馬遜 Greengrass 官網
- 亞馬遜 Greengrass Blog
- AWS IoT Developer Guide
- AWS IoT Button
微軟物聯網相關文檔及網址
- 微軟物聯網官網
- Azure IoT Suite 官網
- Microsoft Azure IoT Reference Architecture PDF
- IoT Suite Documentation
- Microsoft Windows 10 IoT Core
微軟示範案例
- 物聯網工廠
- 遠端監控
- 預測性維護
IBM 物聯網相關網址
- IBM IoT 官網
- IBM Watson IoT
- IBM Bluemix Docs 之 Watson IoT Platform
- IBM IoT 動手演練 QuickStart