浅谈视频监控标准与信息安全

各位好，2019年伊始，再次祝大家新年快乐！

近期有好多新闻点可写，比如歌神的演唱会成了抓逃大会，阿里的达摩院力推的城市大脑和人工智能，还有小崔举报的法院案卷丢失、监控失效等等，都是特别可写的。这次不蹭热点，选个冷门跟大家一同探讨，说说GB35114、SVAC和H.264/265。

SVAC和H.264/265其实是个老生常谈的话题，不过近几年随着AI、云等技术的发展，前端智能化程度大幅提高，以及应用领域极大丰富（如雪亮工程、智慧城市等），对编解码技术提出了更多的新要求。前端设备的逐年递增，采集数据量不断增大，对信息安全和数据安全提出了更高的要求。在确保安全的前提下实现有效采集、传输和高效应用，是我们接下来面临的新课题、大课题，也理应受到关注。

SVAC和H.264/265的是非曲直

国内监控企业所使用的视频编解码技术标准，按照时间沿革，可以大致分为MPEG-1—MPEG-4—H.264—H.265，这也是国际和国内主流的编解码标准。直到2010年12月份，公安部一所联合中星及40余家相关机构推出了专门针对安防行业的推荐性国家标准，即GB/T 25724-2010《安全防范监控数字视音频编解码技术要求》(Technical Specification of Surveillance Video and Audio Coding，缩写为SVAC)，我们才算拥有了完全自主知识产权的安防音视频编解码标准。

SVAC应用于大数据平台

从技术层面分析，H.264/265是横向标准，不单独针对安防行业，是通用视频编码国际标准，SVAC是安防专用的音视频编码标准，是国内标准。从编码效率、压缩性能和网络适应性上看，H.264/265优于SVAC/SVAC 2.0。从信息安全上看，由于SVAC为专业安防领域标准，在网络安全性能、信源端数据安全保障能力、历史视频安全保护能力等方面比通用标准要高。从智能化程度上看，H.264/265不具备智能化能力，需要视频云平台，也需要外挂人工智能模块进行图像智能分析；SVAC提供SDK支持前端人工智能分析结果和图像通过SVAC监控专用信息插入到视频中一同编码，前端支持近百种智能分析描述，实现对视频的结构化描述。从技术上两种标准各有千秋、各有所长，决定企业用哪种标准的决定性因素，往往在于习惯和经营需要。

SVAC推出后，曾被寄予厚望。但历经近8年，却没能像想象中的那样势如破竹，而是不温不火，叫好不叫座的局面有些尴尬。造成这种局面，从个人角度看，首先是时间的劣势。国内主流监控厂家的崛起，基本是在2006-2010年间，在没有国内标准的时候，这些厂家早先不得不选择了MPEG和H.264。2010年主流的监控企业基本已经在MPEG-4成熟的前提下向H.264靠拢。如果此时废掉自己已经成熟的压缩格式，从而转向一个新的标准，这从企业经营的角度上看是不科学的。所有企业的竞争处于同一起跑线（都用国际标准），如果贸然行动，不但可能失去竞争优势，而且会造成原有客户和市场份额不保的双重危险。第二，也是很重要的一个点，那就是SVAC标准的主导单位，除了一所之外，还有中星。回头看来，这个事情成也中星，败也中星。安防行业一直耕耘在前端和行业用户，对芯片所知甚少，即便是技术主管机关，也不是半导体和IC的科班出身。这时候中星电子借助中星微在芯片领域的名气，主动请命，承担主要任务，这本来是为国为民的一件好事，但有一个点必须要看到，就是中星电子也做摄像机和解决方案，与TI和海思有很大的差异。这就出现了其他摄像机厂家如果采用SVAC标准，就等于采用了理论上竞争对手的那一套东西，把芯片这个心脏交给了对手。而中星在设计标准的时候，由于业务连带，很难与自身剥离开来。于是便出现了既当裁判员、又当运动员的情况。如果我们审视海思，就不难发现，虽然都是华为旗下的，但海思是一家纯半导体公司，不涉及任何前端产品。虽然华为也做安防，但华为摄像机用量不大时，海思绝不会把资源倾向华为，而是把海康、大华这类企业定义为绝对优先客户（华为自己人说的，不是我胡编乱造）。实际上华为的监控业务和海思是独立的。行业里大家都心知肚明，只是不愿意大张旗鼓的说出来，这让我们联想到了当初的TD。局面一样样的，政府推动，大唐领军，运营商极力反对。

公安部为何力推SVAC？

公安部推行SVAC，除了国家安全、信息安全问题之外，还要回溯到H.264/265的版权问题上边来。2000年，风生水起的中国DVD产业，在几年间快速走向衰败，最重要的原因就是企业所需缴纳的专利费太高。H.264/265同样存在着这样的问题。

H.265较为混乱的专利许可

初期的视频编码技术是由ITU-T和MPEG两个组织分别研发和制定，其中影响比较大的是MPEG研发的MPEG-2被称为第一代视频压缩标准。在2000年左右时，两个组织成立联合工作小组JVT，共同制定了H.264标准。从此，两大标准组织共同研发和制定标准，并在2010年成立联合工作组JCT-VC，制定了H.265标准。但MPEG的MPEG LA在成立之初就存在一个重大隐患，即ITU-T和ISO/IEC用于制定标准的技术专利，并没有完全掌握在MPEG LA手中。在H.264标准时代，这个隐患还不明显，主要是因为当时对标准贡献大的企业，大多数加入专利池，由MPEG LA统一收费。使用H.264标准的厂商，按照MPEG LA制定的收费标准缴费，可以放心使用。然而到了H.265标准时，一方面MPEG LA提高了H.265的收费标准。另一方面，有不少的专利持有者并没有加入MPEG LA专利池，而是提出单独收取专利费诉求。诸多厂商使用H.265将不得不向MPEG LA和HEVC Advance两个组织缴纳许可费用。在这两个组织之外，一些企业也掌握着H.265的专利，他们可能也会效仿前两个组织成立新的组织，对使用厂商收取费用，或者单独收取费用。

企业如果使用这个编码标准是很正常的，用你的专利交给你钱，这在市场经济中已经司空见惯。但是作为国家安全机关，公安部不可能推行一个知识产权有争议的标准作为行标。这既不符合国家安全的需要，也不符合国家科技创新、自主知识产权的大环境。

信息安全关键年给安防带来的机遇与挑战

昨天看新闻，华为发布致全体员工信，把网络安全和隐私保护定为华为的最高纲领。在安全性（Security）、韧性（Resilience）、隐私性（Privacy）、可靠性和可用性（Reliability& Availability）等方面提出了种种要求。“我们要从最基础的编码质量做起，视高质量代码为尊严和个人声誉。我们要重构腐化的架构及不符合软件工程规范和质量要求的历史代码。我们要深入钻研软件技术，尤其是安全技术。我们将通过变革形成一套适应上述变化的流程、组织与考核机制。我们要完善并增强透明、可回溯和可审计的全流程管理机制，以可信的视角，从初始设计、完整构建到产品生命周期管理，全面提升软件工程能力和实践。”虽然任总的邮件着重强调ICT领域，但对安防的启发也很大。

在安防+AI、信息大融合、大联网局面下，也伴随着雪亮工程、智慧城市等大型项目的上马，视频数据的存量不减，增量巨大，必然会产生数据安全保护的问题。前端设备的稳定性、可靠性，历史数据的保密性都是监控企业不得不面对的问题。而且随着应用场景的极大丰富，摄像机已经遍布城市和经济条件相对较好的乡镇的各个角落，这些视频数据除了涉及甲方的信息安全性之外，更是国家安全的命脉。一旦安全和可靠性出现问题，后果不堪设想。公安部曾多次发文，提到各级公安机关使用的视频监控设备存在安全隐患，部分设备已经被境外IP地址控制。在这种大背景下，公安部在2017年11月发布了GB35114-2017《公共安全视频监控联网信息安全技术要求》。该标准规定了公共安全领域视频监控联网视频信息以及控制信令信息安全保护的技术要求，包括公共安全视频监控联网信息安全系统的互联结构、证书和密匙要求、基本功能要求、性能要求等技术要求。适用于公共安全领域视频监控系统的信息安全方案设计、系统检测、验收以及与之相关的设备研发与检测。

同样在2017年6月份，SVAC标准经过7年的改进和升级，推出了2.0版本。该版本相对于H.265，除了在智能化和结构化上大书特书外，更强调安全性。

基于SVAC2.0标准的安全系统组成示意图

GB35114标准要求摄像机内置保密安全芯片或安全模块，通过采用国家密码局发布的SM系列算法实现摄像机、客户端与平台间的双向接入认证和视频验签、视频加密功能，达到数据保密、防伪造、防篡改的目的。通过信源层面的加密技术，实现端到端视频数据加密，构建更强大、更完整的视频安全体系。这与SVAC所强调的视频验签、视频加密功能基本吻合。视频数据实时采集、实时编码、实时每帧图像加密和每帧图像之间可信认证，进行进行存储，也能防止篡改、保证历史数据安全。从本质上来说，SVAC更强调芯片、源头加密及信源端安全。

但是H.265是否就不安全呢？这问题要辩证的看待。华为的全体员工信把代码作为最高级别。现在主流监控企业在使用H.264/265标准时，为了提高安全性，在代码上采取了极为严格的措施。比如代码审核、逐行核对；提高测试频度和压力，加大迭代速度，对漏洞在第一时间补齐；加入国际高标准安全性组织，主动接受审核，对标国际最先进安全标准。以上一系列动作，将本身不具备安全性的标准用铠甲层层保护，查缺补漏，修筑围墙，将安全性提升到最高级别。

当然，无论是什么技术，什么芯片，都没有万无一失的可能。只要实现IP化，只要联网，就一定会存在安全风险。但这不能成为阻挡视频监控云化、开放共享的理由。CCTV这个闭路倒是安全，但不符合用视频提升效率，从安防深入到各个领域，提供可视化服务和结构化数据的要求。

到底用谁？

这个问题其实没有正确答案，决定权在市场需求和客户需求。我们可以分两方面看。第一，甲方客户性质决定。如果甲方是公安、司法、安全领域的，强调要区别通用标准，使用特殊行标解决联网、安全等问题，如平安城市、雪亮工程等，那么就是SVAC的优势所在；如果客户要求编码效率、传输速度以及便于管理，那就是H.264/265的标准所在。第二方面，也在于企业的经营策略。经过数年发展，如今安防视频监控领域企业集中度很高，龙头企业已经形成了较为明显的优势，想要撼动难上加难。但如果第二、第三梯队企业想要做出自己特色的东西，在深度行业应用领域形成局部优势，那SVAC也许是个好的选择，越是到这时候，这些企业往往倒不希望第一梯队的龙头改变策略、采用SVAC标准了。

顺应市场，不必强推，按需推送，利润最大。看似艰难的选择，只有交给用户和市场去检验，才能符合企业的利益，也顺应市场的需求。

责任编辑：张震