一种防图像泄漏的视频监控系统及防泄漏服务器的制作方法

本发明属于视频监控技术领域，尤其涉及一种防图像泄漏的视频监控系统及防泄漏服务器。

背景技术：

视频监控是安全防范系统的重要组成部分，视频监控以其直观、准确、及时和信息内容丰富而广泛应用于许多场合。近年来，随着计算机、网络以及图像处理、传输技术的飞速发展，视频监控的普及化趋势越来越明显。视频监控在城市安防中起到的作用越来越大，发生的治安、交通违章以及刑事案件，很多都依靠城市内分布的监控摄像机记录的视频影像得到了最终的侦破。

同时随着移动互联网的飞速发展，视频监控系统中的视频安全变得日益重要，其中一个重要的安全威胁是当监控图像在屏幕上显示时，很容易被人采用手机拍照或者录像，导致监控图像资料被泄漏出去。一旦通过该非法手段把监控图像通过拍照或者录像的形式泄漏到互联网上，容易给当事人造成无法挽回的影响，且很难追溯泄漏源头，从而无法追究违法者的责任，为社会稳定留下了很大的隐患。

技术实现要素：

本发明提出了一种防图像泄漏的视频监控系统及防泄漏服务器，通过在发往视频客户端或发往存储服务器的媒体流中添加防泄漏信息，使得通过手机拍摄视频客户端显示屏的视频图像或从存储服务器中获得的视频图像都能够反应其泄漏源头，从而解决目前无法追溯视频图像泄露源头的问题。

为了实现上述目的，本发明技术方案如下：

一种防图像泄漏的视频监控系统，所述视频监控系统包括前端设备、视频客户端和存储服务器，以及将所述视频客户端汇入到所述视频监控系统的第一汇聚交换机、将前端设备汇入到所述视频监控系统的第二汇聚交换机，所述视频监控系统还包括分别与所述第一汇聚交换机、第二汇聚交换机和存储服务器网络连接的防泄漏服务器，其中：

所述第一汇聚交换机，用于将原目标地址为存储服务器地址的存储流的目标地址修改为防泄漏服务器的地址，并转发给防泄漏服务器；

所述第二汇聚交换机，用于将原目标地址为视频客户端地址的回放流的目标地址修改为防泄漏服务器的地址，并转发给防泄漏服务器；

所述第一汇聚交换机或第二汇聚交换机，用于将原目标地址为视频客户端地址的实况流的目标地址修改为防泄漏服务器的地址，并转发给防泄漏服务器；

所述防泄漏服务器，用于接收到上述存储流、回放流或实况流后，根据各媒体流中携带的原目标地址，在各媒体流中添加对应的防泄漏信息，然后将各媒体流的目标地址还原为原目标地址后发送。

进一步地，所述防泄漏服务器根据各媒体流中携带的原目标地址，在各媒体流中添加对应的防泄漏信息，执行如下操作：

防泄漏服务器将各媒体流中携带的原目标地址对应的防泄漏信息以显性的形式添加到解码后的图像中，然后再把解码图像重新编码；

或/和，所述防泄漏服务器根据各媒体流中携带的原目标地址，在各媒体流中添加对应的防泄漏信息，执行如下操作：

防泄漏服务器将各媒体流中携带的原目标地址对应的防泄漏信息以隐性的形式添加到媒体流中。

本发明所述防泄漏信息为原目标地址对应的目标ip地址，或登录用户名，或目标地址对应设备的设备名。

本发明还提出了一种防图像泄漏的防泄漏服务器，应用于视频监控系统，所述视频监控系统包括前端设备、视频客户端和存储服务器，以及将所述视频客户端汇入到所述视频监控系统的第一汇聚交换机、将前端设备汇入到所述视频监控系统的第二汇聚交换机，所述防泄漏服务器分别与所述第一汇聚交换机、第二汇聚交换机和存储服务器网络连接，所述防泄漏服务器包括：

接收模块，用于接收转发的媒体流，记录媒体流中携带的原目标地址；

防泄漏处理模块，用于根据记录的原目标地址，在媒体流中添加对应的防泄漏信息；

重新封装模块，用于将各媒体流的目标地址还原为原目标地址后发送。

进一步地，所述防泄漏处理模块根据记录的原目标地址，在媒体流中添加对应的防泄漏信息，执行如下操作：

将记录的原目标地址对应的防泄漏信息以显性的形式添加到解码后的图像中，然后再把解码图像重新编码；

或/和，

将记录的原目标地址对应的防泄漏信息以隐性的形式添加到媒体流中。

本发明还提出了一种防图像泄漏的视频监控系统，所述视频监控系统包括前端设备、视频客户端和存储服务器，所述视频监控系统还包括防泄漏服务器，所述防泄漏服务器应用于视频客户端或存储服务器，所述防泄漏服务器包括：

链路层报文接收模块，用于接收链路层报文，记录链路层报文的源与目标mac地址，记录网络层的源与目标ip地址，传输层的源与目标端口号；

防泄漏处理模块，用于解析链路层报文，在媒体流中添加对应的防泄漏信息；

重新封装模块，用于按照记录的源与目标端口号、源与目标ip地址、源与目标mac地址，重新封装为链路层报文的形式，放在链路层缓存中。

进一步地，所述防泄漏处理模块在媒体流中添加对应的防泄漏信息，执行如下步骤：

将对应的防泄漏信息以显性的形式添加到解码后的图像中，然后再把解码图像重新编码。

或/和，所述防泄漏处理模块在媒体流中添加对应的防泄漏信息，执行如下步骤：

将对应的防泄漏信息以隐性的形式添加到媒体流中。

本发明提出的一种防图像泄漏的视频监控系统及防泄漏服务器，通过在视频监控系统中增加防泄漏服务器，对发往存储服务器进行存储的存储流、对发往视频客户端进行播放的实况流和回放流，添加防泄漏信息，使得无论从存储服务器获得监控图像还是从视频客户端显示屏拍摄监控图像，都能够在监控图像中包含防泄漏信息，从而能够根据监控图像追溯泄漏源头，杜绝监控图像的泄漏。

附图说明

图1为视频监控系统网络结构图；

图2为本发明实施例防图像泄漏的视频监控系统网络结构图；

图3为本发明实施例媒体流目标地址对应关系原理图；

图4为本发明实施例一媒体流转发过程示意图；

图5为本发明实施例一防泄漏服务器结构示意图；

图6为本发明实施例二防泄漏服务器结构示意图；

图7为本发明实施例二防泄漏处理过程示意图。

具体实施方式

下面结合附图和实施例对本发明技术方案做进一步详细说明，以下实施例不构成对本发明的限定。

如图1所示，视频监控系统通常包括前端设备、视频客户端(或简称为客户端)和存储服务器，以及管理平台。前端设备、视频客户端和存储服务器，以及管理平台通过网络设备连接称为视频监控系统。例如视频客户端通过接入交换机和汇聚交换机接入，前端设备也通过接入交换机和汇聚交换机接入，前端设备为采集监控图像的网络摄像机或模拟摄像机+编码器，视频客户端接收媒体流进行解码显示。在图1中，视频监控系统的管理平台、客户端、摄像机都通过汇聚交换机接入，整个网络的视频码流(媒体流)都通过汇聚交换机，所有摄像机的实况流都要经过汇聚交换机转发给各个客户端，所有摄像机的存储流都要经过汇聚交换机转发给存储服务器，存储在存储服务器上的监控录像回放到客户端上的时候，回放流都要经过汇聚交换机进行转发。

容易理解的是，虽然图1中只列出了两个汇聚交换机，然而在实际中可以有多层汇聚交换机，也肯定会有多个接入交换机，在有多个汇聚交换机时，实现的技术效果与本实施例一样，这里不再赘述，本实施例以两个汇聚交换机为例进行说明。同时，作为汇聚交换机设备，可以是交换机或路由器等网络转发设备，本技术方案对此不做限制。

实施例一：

如图2所示，一种防图像泄漏的视频监控系统，其中视频监控系统包括前端设备、视频客户端和存储服务器，以及将所述视频客户端汇入到所述视频监控系统的第一汇聚交换机、将前端设备汇入到所述视频监控系统的第二汇聚交换机，视频监控系统还包括分别与所述第一汇聚交换机、第二汇聚交换机和存储服务器网络连接的防泄漏服务器。由于视频客户端和前端设备必然对应有各自的汇聚交换机，因此在本实施例中，仅图示出了两个汇聚交换机，即第一汇聚交换机用来将视频客户端接入到视频监控系统的网络中，第二汇聚交换机用来将前端设备接入到视频监控系统的网络中，这里不再赘述。

其中，第一汇聚交换机，用于将原目标地址为存储服务器地址的存储流的目标地址修改为防泄漏服务器的地址，并转发给防泄漏服务器；

第二汇聚交换机，用于将原目标地址为视频客户端地址的回放流的目标地址修改为防泄漏服务器的地址，并转发给防泄漏服务器；

第一汇聚交换机或第二汇聚交换机，用于将原目标地址为视频客户端地址的实况流的目标地址修改为防泄漏服务器的地址，并转发给防泄漏服务器；

防泄漏服务器，用于接收到上述存储流、回放流或实况流后，根据各媒体流中携带的原目标地址，在各媒体流中添加对应的防泄漏信息，然后将各媒体流的目标地址还原为原目标地址后发送。

目前在整个视频监控网络中传输的视频图像流格式符合某种已知的标准，比如符合国家标准gb/t28181《安全防范视频监控联网系统信息传输、交换、控制技术要求》，即在接入交换机和汇聚交换机上转发的媒体流，通过探测转发报文的应用层，便可知道其中承载的媒体信息，并对其中的媒体信息进行处理。

从而第一、第二汇聚交换机在已知接收媒体流具体格式的前提下，可以根据设定的规则进行处理。

在本实施例中，第二汇聚交换机对本该转发给存储服务器准备存储的存储流进行识别后，将目标存储服务器ip地址修改为防泄漏服务器(原目标地址指向存储服务器)，并转发给防泄漏服务器。防泄漏服务器把转发过来的报文中媒体流依照gb/t28181标准提取出来，并对媒体流进行防泄漏处理。然后再依照gb/t28181标准把新的媒体流封装成符合该标准格式的报文，并重新把目标ip地址改为存储服务器进行发送。对存储服务来说，当它接收到该报文时，除了感知到报文接收延迟增大外，对报文中的净荷媒体流被防泄漏处理一事并无感知。

而实况流会流经第一汇聚交换机和第二汇聚交换机，因此由第一汇聚交换机或第二汇聚交换机来进行转发处理，对本该转发给客户端进行实况解码的实况流，将目标客户端ip地址修改为防泄漏服务器的ip地址，并转发给防泄漏服务器。防泄漏服务器把转发过来的报文中的媒体流依照gb/t28181标准提取出来，并对媒体流进行防泄漏处理。然后在依照gb/t28181标准把新的媒体流封装成符合该标准格式的报文，并重新将目标ip地址改为目的客户端的ip地址发送。对目的客户端来说，当它接收到该报文时，除了感知到报文接收延迟增大外，对报文中的净荷媒体流被防泄漏处理一事并无感知。

第一汇聚交换机对从存储服务器读取的本该发送给客户端进行录像回放的回放流的目标客户端ip地址修改为防泄漏服务器的ip地址，并转发给防泄漏服务器。防泄漏服务器把转发过来的报文中的媒体流依照gb/t28181标准提取出来，并对媒体流进行防泄漏处理。然后在依照gb/t28181标准把新的媒体流封装成符合该标准格式的报文，并重新把目标ip地址改为目的客户端的ip地址发送。对目的客户端来说，当它接收到该报文时，除了感知到报文接收延迟增大外，对报文中的净荷媒体流被防泄漏处理一事并无感知。

本实施例以基于国标gb/t28181的媒体流为例，前端设备实现h.265/h.264/jpeg的媒体流编码功能，gb/t28181定义了两种媒体流封装格式：

前端设备把该媒体流按照国标gb/t28181的格式封装为mpeg-2ps格式(国标中具体定义了mpeg-2ps报文头部中对h.265/h.264/jpeg相关的stream_type等参数)；

前端设备或者按照rfc7798/rfc3984/rfc2435的格式把媒体流封装为相应的rtp报文。

如图3所示，按照国标gb/t28181中的协议规定，对上述两种报文格式在传输层均采用udp传输协议。假设源端ipc设为“a端”，存储服务器目标端或者实况客户端目标端设为“b端”。所有在udp协议中，指定a端端口为“端口_a”，目标端口为“端口_b”。网络层ip报文协议中指定源端ip地址为“ip_a”，目标端ip地址为“ip_b”。链路层ethernetii报文协议中指定了源端和目标端的mac地址分别为“mac_a”和“mac_b”。

为了便于描述，本实施例省略掉了中间的接入交换机，前端设备产生的mpeg-2ps报文或者rtp报文未经接入交换机传送，直接传送到汇聚交换机。如图4所示，假设防漏服务器在网络中为“c端”，汇聚交换机接收到ipc传送的媒体流报文，其中报文中的源端为“a端”，此时把目标端修改为“c端”，并在应用层部分(媒体流中或者媒体流之外)保存真实的目标端“c端”的ip地址、端口、mac地址等信息。此时的经过修改的应用层媒体流仍然符合国标gb/t28181。

修改后的媒体流由于把目标端定义为防泄漏服务器，所以在传输层、网络层、链路层，将端口、ip地址、mac地址修改为“端口_c”、“ip_c”、“mac_c”。本实施例中，目标地址包括但不限于：ip地址、端口号和mac地址。这样本来经过汇聚交换机发送给存储服务器的存储流或者发送给客户端的实况流，现在全部均转发给了防泄漏服务器。

防泄漏服务器对每一路媒体流接收到后，首先根据国标gb/t28181解析报文，并将顺序接收到的媒体流序列组成完整的帧码流序列，帧码流经过定义的防泄漏处理之后，又恢复为完整的帧码流序列，帧码流序列又按照gb/t28181重新组成新的国标报文，然后根据原来应用层保存的源目标端“b端”，分别对国标报文在传输层、网络层、链路层的端口、ip地址、mac地址修改为“端口_b”、“ip_b”、“mac_b”进行发送。新的报文经过防泄漏服务器发出，经过下一级的汇聚交换机或者接入交换机，传送到存储服务器或者实况播放客户端。

本实施例中，对媒体流进行防泄漏处理，是在各媒体流中添加对应的防泄漏信息。在媒体流中添加对应的防泄漏信息，这里列举两种方法，本发明对此不做限制。

方法一：防泄漏服务器将各媒体流中携带的原目标地址对应的防泄漏信息以显性的形式添加到解码后的图像中，然后再把解码图像重新编码。

本实施例的防泄漏信息可以与媒体流的目标地址对应，例如是目标ip地址“ip_b”、客户端登录用户名，设备名等等，或者还可以包括时间信息。在客户端上进行防泄漏时，由于防泄漏信息被显性地添加到解码图像上，例如以osd形式叠加在监控图像上，客户端进行解码图像渲染时，可以直接看到以osd形式叠加到重构图像上的防泄漏信息。当解码渲染图像被非法拍照或录像时，防泄漏osd将被记录下来。从泄漏的监控图像上，将能看到图像上显示的防泄漏信息，从而确定是哪个客户端发生了泄漏，可以追朔源头，追究责任，因此对该种非法行为起到震慑作用。

方法二：防泄漏服务器将各媒体流中携带的原目标地址对应的防泄漏信息以隐性的形式添加到媒体流中。此时的防泄漏信息比如目标ip地址“ip_b”、客户端登录用户名，设备名、时间信息等等作为隐藏信息处理，隐藏的手段可以是水印的形式。基于不同的视频图像编码方法(h.265/h.264/jpeg)，水印添加形式可以不同，这里不再赘述。在本方法中，防泄漏信息通过隐藏信息的形式添加到码流中，例如在存储服务器上，存储的媒体流中都带有水印，当录像码流被非法外泄出去，可以通过检测其中嵌入的水印信息以确认泄漏源，由此可以对该种非法行为起到震慑作用。

需要说明的是，在监控系统中，可以仅采用方法1，或方法2来防止泄漏；也可以同时采用方法1、方法2来防止泄漏。当同时采用两种方法时，不仅可以防止非法拍照和录像，还可以防止侵入客户端或存储服务器非法盗取存储的视频录像。例如在客户端采用方法1，在存储服务器采用方法2；或在存储服务器采用方法2，并且在客户端采用方法1。或在一般情况下，仅采用方法1来杜绝客户端上的泄漏。

如图5所示，上述防泄漏服务器，应用于视频监控系统，该视频监控系统包括前端设备、视频客户端和存储服务器，以及将所述视频客户端汇入到所述视频监控系统的第一汇聚交换机、将前端设备汇入到所述视频监控系统的第二汇聚交换机，所述防泄漏服务器分别与所述第一汇聚交换机、第二汇聚交换机和存储服务器网络连接，所述防泄漏服务器包括：

接收模块，用于接收转发的媒体流，记录媒体流中携带的原目标地址；

防泄漏处理模块，用于根据记录的原目标地址，在媒体流中添加对应的防泄漏信息；

重新封装模块，用于将各媒体流的目标地址还原为原目标地址后发送。

容易理解的是，第一汇聚交换机、第二汇聚交换机和存储服务器转发媒体流，防泄漏服务器接收媒体流进行防泄漏处理，媒体流中携带原目标地址，即转发前媒体流的目标地址。

本实施例防泄漏处理模块根据记录的原目标地址，在媒体流中添加对应的防泄漏信息，执行如下操作：

将记录的原目标地址对应的防泄漏信息以显性的形式添加到解码后的图像中，然后再把解码图像重新编码；

或/和，

将记录的原目标地址对应的防泄漏信息以隐性的形式添加到媒体流中。

实施例二：

容易理解的是，在实施例一中，防泄漏服务器要接收转发的媒体流，才对媒体流进行防泄漏处理。但对于视频客户端来说，不论是回放流还是实况流，都要发到视频客户端；对于存储服务器来说，存储流也必然会发到存储服务器。因此本实施例采用在视频客户端或存储服务器内，直接内置防泄漏服务器来对接收的媒体流进行处理。

即，设置于视频客户端或存储服务器上的防泄漏服务器，接收到存储流、回放流或实况流后，根据各媒体流中携带的原目标地址，在各媒体流中添加对应的防泄漏信息，然后将各媒体流的目标地址还原为原目标地址后发送。

具体地，如图6所示，本实施例防泄漏服务器包括：

链路层报文接收模块，用于接收链路层报文，记录链路层报文的源与目标mac地址，记录网络层的源与目标ip地址，传输层的源与目标端口号；

防泄漏处理模块，用于解析链路层报文，在媒体流中添加对应的防泄漏信息；

重新封装模块，用于按照记录的源与目标端口号、源与目标ip地址、源与目标mac地址，重新封装为链路层报文的形式，放在链路层缓存中。

例如，如图7所示，将防泄漏服务器应用在视频客户端上，在客户端的应用层接收应用层的国标gb/t28181报文之前，通过抢占内核层的链路层数据报文的形式，抢在客户应用收包前，把链路层报文收取到，并记录链路层报文的源与目标mac地址，记录网络层的源与目标ip地址，传输层的源与目标端口号。

按照国标gb/t28181格式解析媒体报文，然后按照防泄漏处理的方法一来处理，先解码媒体流，并添加显性防泄漏信息，然后再进行编码。编码后的媒体流重新按照gb/t28181的格式进行报文封装。然后再按照记录的源与目标端口号、源与目标ip地址、源与目标mac地址，重新封装为链路层报文的形式，放在链路层缓存中。对客户端应用层接收报文的程序来讲，并不知晓收到的链路层报文被防泄漏处理。

又例如，将防泄漏服务器应用在存储服务器上，在存储服务器的应用层接收应用层的国标gb/t28181报文之前，通过抢占内核层的链路层数据报文的形式，抢在存储服务器收包前，把链路层报文收取到，并记录链路层的源与目标mac地址，记录网络层的源与目标ip地址，传输层的源与目标端口号。

按照国标gb/t28181格式解析媒体报文，然后按照防泄漏处理的方法一来处理，先解码媒体流，并添加隐形防泄漏信息，然后再进行编码。编码后的媒体流重新按照gb/t28181的格式进行报文封装。然后在按照记录的源与目标端口号、源与目标ip地址、源与目标mac地址，重新封装为链路层报文形式，放在链路层缓存中。

本实施例防泄漏信息的处理方法同实施例一，这里不再赘述。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。