Profile下载方法、装置及设备
技术领域
本发明涉及通信技术领域，具体涉及一种Profile下载方法、装置及设备。
背景技术
目前物联网（Internet of Things，简称：IoT）设备通常通过嵌入式身份认证模块（embedded Subscriber Identity Module，简称：eSIM）与运营商提供的蜂窝通信网络建立连接。通过eSIM方案虽然可以实现Profile的动态下载，但是其不仅必须要有嵌入式通用集成电路卡（embedded Universal Integrated Circuit Card，简称：eUICC）实体卡片的参与，而且需要通过具备全球漫游能力的种子卡来获取初始网络，以完成Profile的下载。无论是eUICC实体卡，还是种子卡，无疑都会增加IoT设备的制造或者使用成本。其中，Profile是为了提供服务而在身份认证模块（Subscriber Identity Module，简称：SIM）上供应的数据和应用的组合，例如可以包括入网密钥参数、辅助安全域和应用数据等。
为了解决上述问题，德国电信基于eSIM规范提出了nuSIM安全协议，通过将SIM功能集成到IoT设备的芯片内部，从而无需eUICC实体卡片的参与，降低了采购卡片的成本投入；通过在产线的个人计算机（Personal Computer，简称：PC）上部署LA组件，借助产线PC的网络环境进行Profile下载，从而无需依赖种子卡获取初始网络。相较于eSIM方案下，通过集成在eUICC中或者IoT设备中的LPA组件进行Profile下载来说，nuSIM方案下通过LA组件进行Profile下载的安全性尚待提高。
发明内容
本发明实施例提供一种Profile下载方法、装置及设备，用以提高nuSIM方案下Profile下载的安全性。
第一方面，本发明实施例提供一种Profile下载方法，包括：
将携带电子身份证EID的nuSIM证书批量导入LA数据库；
根据nuSIM证书从服务器批量下载Profile，建立nuSIM证书的EID与Profile的集成电路卡识别码ICCID之间的绑定关系，并以密文的形式将Profile存储在所述LA数据库中；
通过物理接口与物联网设备连通，获取所述物联网设备的国际移动设备识别码IMEI，所述物联网设备集成有遵循nuSIM协议的身份认证模块SIM；
从所述LA数据库中获取未使用的nuSIM证书写入所述物联网设备，以完成物联网设备个性化过程；
根据EID与ICCID之间的绑定关系，将与nuSIM证书相对应的Profile写入相应的物联网设备中，并建立EID、ICCID和IMEI之间的绑定关系。
一种实施例中，所述方法还包括：
通过物理接口与多个物联网设备连通，将nuSIM证书和Profile并行写入多个所述物联网设备。
一种实施例中，所述方法还包括：
在写入Profile的过程中，生成状态显示界面，所述状态显示界面显示有各物理接口的端口号、所连接的物联网设备的IMEI、写入的nuSIM证书的EID、写入的Profile的ICCID和写入过程状态信息。
一种实施例中，所述将携带电子身份证EID的nuSIM证书批量导入LA数据库之前，所述方法还包括：
生成参数配置界面，所述参数配置界面中设有用于配置服务器地址、超时时间、重试次数和连接数量中的一项或者多项的设置项；
根据用户指令配置参数。
一种实施例中，所述方法还包括记录操作日志。
一种实施例中，所述将携带电子身份证EID的nuSIM证书批量导入LA数据库之前，所述方法还包括：
接收用户在登录界面输入的账户和密码；
对所述账户和密码进行验证。
一种实施例中，所述接收用户在登录界面输入的账户和密码之前，所述方法还包括：验证许可文件的有效性。
第二方面，本发明实施例提供一种Profile下载装置，包括：
导入模块，用于将携带电子身份证EID的nuSIM证书批量导入LA数据库；
下载模块，用于根据nuSIM证书从服务器批量下载Profile，建立nuSIM证书的EID与Profile的集成电路卡识别码ICCID之间的绑定关系，并以密文的形式将Profile存储在所述LA数据库中；
连通模块，用于通过物理接口与物联网设备连通，获取所述物联网设备的国际移动设备识别码IMEI，所述物联网设备集成有遵循nuSIM协议的身份认证模块SIM；
第一写入模块，用于从所述LA数据库中获取未使用的nuSIM证书写入所述物联网设备，以完成物联网设备个性化过程；
第二写入模块，用于根据EID与ICCID之间的绑定关系，将与nuSIM证书相对应的Profile写入相应的物联网设备中，并建立EID、ICCID和IMEI之间的绑定关系。
第三方面，本发明实施例提供一种Profile下载设备，包括：
至少一个处理器和存储器；
存储器存储计算机执行指令；
至少一个处理器执行存储器存储的计算机执行指令，使得至少一个处理器执行如第一方面任一项所述的Profile下载方法。
第四方面，本发明实施例提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，计算机执行指令被处理器执行时用于实现如第一方面任一项所述的Profile下载方法。
本发明实施例提供的Profile下载方法、装置及设备，通过将携带EID的nuSIM证书批量导入LA数据库；根据nuSIM证书从服务器批量下载Profile，建立nuSIM证书的EID与Profile的ICCID之间的绑定关系，并以密文的形式将Profile存储在LA数据库中；通过物理接口与物联网设备连通，获取物联网设备的国际移动设备识别码IMEI；从LA数据库中获取未使用的nuSIM证书写入物联网设备；根据EID与ICCID之间的绑定关系，将与nuSIM证书相对应的Profile写入相应的物联网设备中，并建立EID、ICCID和IMEI之间的绑定关系，提高了nuSIM方案下Profile下载的安全性。
附图说明
图1为本发明一实施例提供的进行Profile下载的系统框图；
图2为本发明提供的Profile下载方法一实施例的流程图；
图3为本发明一实施例提供的状态显示界面的示意图；
图4为本发明一实施例提供的参数配置界面的示意图；
图5为本发明提供的Profile下载方法一实施例的信令流程图；
图6为本发明提供的Profile下载方法又一实施例的流程图；
图7为本发明提供的Profile下载装置一实施例的结构示意图；
图8为本发明提供的Profile下载设备一实施例的结构示意图。
具体实施方式
下面通过具体实施方式结合附图对本发明作进一步详细说明。其中不同实施方式中类似元件采用了相关联的类似的元件标号。在以下的实施方式中，很多细节描述是为了使得本申请能被更好的理解。然而，本领域技术人员可以毫不费力的认识到，其中部分特征在不同情况下是可以省略的，或者可以由其他元件、材料、方法所替代。在某些情况下，本申请相关的一些操作并没有在说明书中显示或者描述，这是为了避免本申请的核心部分被过多的描述所淹没，而对于本领域技术人员而言，详细描述这些相关操作并不是必要的，他们根据说明书中的描述以及本领域的一般技术知识即可完整了解相关操作。
另外，说明书中所描述的特点、操作或者特征可以以任意适当的方式结合形成各种实施方式。同时，方法描述中的各步骤或者动作也可以按照本领域技术人员所能显而易见的方式进行顺序调换或调整。因此，说明书和附图中的各种顺序只是为了清楚描述某一个实施例，并不意味着是必须的顺序，除非另有说明其中某个顺序是必须遵循的。
本文中为部件所编序号本身，例如“第一”、“第二”等，仅用于区分所描述的对象，不具有任何顺序或技术含义。而本申请所说“连接”、“联接”，如无特别说明，均包括直接和间接连接（联接）。
首先对本申请涉及的缩略语和术语进行解释说明：
DP： Data Preparator 。The DP creates Profiles and delivers them securelyto authorized/authenticated nuSIMs。负责生成Profile并将Profile安全地分发到已授权/认证的uSIM中的组件。
LA ：Loader Application。Functional element / software to securelydownload a profile from the DP to a nuSIM。一个运行在PC环境的功能组件，用于将Profile安全地从DP请求、传输并下载到nuSIM内部。
Profile：A combination of data and applications to be provisioned onan SIM or eUICC for the purpose of providing services。存储在SIM 卡、eUICC 卡里面的一系列数据和应用。
TE：Terminal Equipment，终端设备。
COS： Chip Operating System，片上操作系统。
ICCID：Integrate circuit card identity，集成电路卡识别码。
EID：Electronic Identity，电子身份证。
IMEI：International Mobile Equipment Identity，国际移动设备识别码。
IoT设备与移动运营商（Mobile Network Operator，简称：MNO）提供的蜂窝通信网络建立连接的方式依次经历了物理实体卡、虚拟 SIM和eSIM三个阶段。
其中，物理实体卡通常为插拔塑料卡或贴片卡等。在采用物理实体卡的情况下，通常来说客户只需要和MNO打交道，直接向MNO下单，在下单的时候约定相关Profile数据以及对应的订购套餐信息等。MNO将这部分数据文件（包括Profile数据）通过线下加密的形式传递给卡片生产商，这期间涉及到实地的物流传输，保证数据文件安全无误地传递到卡片生产商。当卡片生产商拿到数据文件之后，按照MNO和客户地具体要求提前备好卡片硬件和操作系统，将数据文件写入卡片，然后进行不同规格的封装，之后再通过快递形式发回给MNO，并附带每张卡片对应的制卡数据。最后由MNO将卡片快递给最终的客户使用。在这种Profile分发流程中，承载SIM功能的是物理实体卡，虽然它在安全性上是有很高的保障的，但是可以看到这个Profile的传输链条中投入的人力管理、运营管理、物流管理所需要的资金成本是巨大的，且每一个环节都是环环相扣的，任何一环出了问题直接影响SIM卡的交付和使用。另一方面，客户在拿到物理SIM卡，同样也要面临管理SIM卡的困难，对这个产业的快速发展增加了不少的阻碍。
虚拟SIM，也称为软 SIM、Soft SIM、vSIM和Virtual SIM等，采用私有化的指令协议，完成从服务侧在线下载或本地下载Profile到设备侧。在虚拟SIM卡方案里面，占据主导地位的是第三方服务商，它启到了一个承上启下的关键作用。对上它会对接好不同的MNO，从MNO处拿到不同的Profile，然后自己包装成不同的流量套餐，对外提供流量服务。对下它会对接不同的需要使用流量的客户，为他们提供与MNO无差异的流量服务。在这个产业链条里面，真实的使用流量的客户不再需要对接具体的MNO，他们只需要集成第三方服务商的虚拟SIM卡方案，不再需要物理实体SIM卡就可以达到SIM的功能，并且他们还可以具备选择不同运营商的权力，这一定程度上拓展了SIM卡发展的业务，而这其中的资源整合都是由第三方服务商来完成。这种形式的Profile分发是完全私有化的过程，有了第三方服务商的整合参与，优势在于可以将Profile信息电子化，消除了物理实体卡的成本，减少客户的 SIM 分发和管理成本，但最大的弊端在于Profile的传输、分发已及管理的安全性难以保证，整个Profile传输的链条，包括服务端、空中传输和终端安全都是私有实现，安全性是它的最大隐患，这也是阻碍虚拟SIM卡技术在现实生活中大规模普及商用的一个重要因素。
eSIM遵循国际电信联盟（GSM Association，简称：GSMA）规范，通过部署订阅管理数据准备服务器（Subscription Manager Data Preparation Plus，简称：SM-DP+）服务，借助设备侧已有的网络能力，动态地将Profile下载到设备侧。根据GSMA主导的eSIM规范，大体可分为两种：Consumer 方案和 M2M 方案。Consumer 方案侧重于具备人工参与的应用场景，有用户操作界面的存在，用户可以通过对菜单界面的简单操作，就可以实现从服务器端动态下载、更新Profile的需求。而M2M方案特别适用于无人值守的物联网设备应用场景，物联网设备侧通过集成SMS或BIP通信的功能，结合设备侧已有的初始网络能力，即可完成从服务器侧主动推送，设备根据推送消息进行动态下载、更新Profile。在这套方案中，承载服务器侧功能的组件，我们称之为SM-DP+，它是归属于运营商，用于安全存储Profile，另外一个重要组件叫本地Profile助手（Local Profile Assistant，简称：LPA），它一般集成在eUICC中或者设备中，辅助eUICC卡片进行Profile的下载和管理。这里Profile的分发下载过程中，所有的通讯协议均遵循远程SIM卡配置（Remote SIM Provisioning，简称：RSP）协议，已充分考虑到服务器侧、空中传输、设备侧的安全机制，保证了不同组件之间的互通性，同时还增加证书校验体系，在安全方面可以说是做得非常到位。但下载Profile流程中，存在以下几个弊端：第一，成本高，实现eSIM方案的Profile下载必须要有eUICC实体卡片的参与，单一个eUICC卡片的成本就在1.5美金左右，同时运营商需要部署SM-DP+服务，这大概需要10-100美金的投入，这些巨额成本的投入一定程度上降低了运营商推广eSIM的积极性；第二，设备侧初始网络能力的获取：在这一点上，对设备侧提出了一个大难题，部署并获取初始网络能力在低功耗广区域连接场景（Low Power Wide Area，简称：LPWA）设备上显然不是一个有效的解决方案，往往需要借助第三方提供的类似具备全球漫游能力的种子卡来完成初始网络，而种子卡漫游服务的费用一般是非常昂贵的，不具备普适性；第三，需要集成短消息SMS或独立传输协议（Bearer Independent Protocol，简称：BIP）通讯，而SMS和BIP对于绝大部分的物联网场景是非必选的，当它变成必选的时候，势必会增加设备侧的开发工作量，加上LPWA所能提供的带宽也比较有限，难以承载eSIM规范规定的数据量较为庞大的Profile信息，实用性和效率性大大降低了。
可见现有Profile下载方案无法兼顾安全、高效和低成本，尤其是当面对爆发式增长的市场需求时，对于SIM卡的管理和安全、高效地分发也提出了新的要求。本申请致力于解决现有方案中存在的问题，尤其是针对LPWA，如在水表、电表、跟踪器、智慧城市和智能物流等方面的应用。
图1为本发明一实施例提供的进行Profile下载的系统框图。如图1所示，本实施例提供的用于进行Profile下载的系统可以包括：DP、PC和TE。其中，PC部署有LA，LA包括用户界面（User Interface，UI）部分和核心动态链接库（Dynamic Link Library，DLL）部分。核心DLL部分采用C语言编写，不易被反编译破解，可以加强核心逻辑的代码保护，提升方案的安全性；同时，以DLL库的形式导出接口，方便在Windows平台使用不同的编程语言对接。UI部分可以使用node.JS编写，方便扩展，也利于做一些界面的优化和渲染。UI部分和DLL部分实现分离，功能上解耦，方便扩展和迭代升级。另外，借助产线PC的网络环境进行Profile下载，设备侧无需部署初始网络，消除了对初始网络的依赖。TE中集成有nuSIM COS，通过将SIM功能集成到设备侧，无需实体SIM卡或eUICC卡，不仅有效地降低了成本，而且可以满足外部恶劣环境下对抗震、抗压等的需求。DP从MNO获取Profile文件，并以加密的形式导入DP系统，同时生成Profile对应的ICCID列表。
图2为本发明提供的Profile下载方法一实施例的流程图。该方法可以应用于LA中。如图2所示，本实施例提供的Profile下载方法可以包括：
S201、将携带电子身份证EID的nuSIM证书批量导入LA数据库。
本实施例中例如可以通过在线证书制作中心批量制作带有EID信息的nuSIM证书，供LA和DP导入。本实施例中可以将nuSIM证书分别导入LA和DP。具体地，将nuSIM证书导入DP服务器，建立nuSIM证书的EID与Profile对应ICCID的绑定关系；将携带EID的nuSIM证书批量导入LA数据库。例如可以将nuSIM证书压缩包批量导入，对nuSIM证书压缩包进行解压缩以获取nuSIM证书。
S202、根据nuSIM证书从服务器批量下载Profile，建立nuSIM证书的EID与Profile的集成电路卡识别码ICCID之间的绑定关系，并以密文的形式将Profile存储在所述LA数据库中。
本实施例中LA可以将nuSIM证书的EID发送至DP服务器，以请求下载相应的Profile。DP服务器根据EID与ICCID之间的绑定关系，确定与EID相对应的Profile，供LA下载。当需要下载多个Profile时，LA将多个nuSIM证书的EID发送至DP服务器。进行批量下载时，LA可以建立EID列表，发送至DP服务器。
LA从服务器下载Profile之后，建立nuSIM证书的EID与Profile的集成电路卡识别码ICCID之间的绑定关系，并以密文的形式将Profile存储在所述LA数据库中。对于Profile，例如可以采用高级加密标准算法（Advanced Encryption Standard，AES）、基于ECC 椭圆曲线的密钥协商算法（Elliptic-curve cryptography (ECC) Key Agreement，ECKA）等算法进行加密。
S203、通过物理接口与物联网设备连通，获取所述物联网设备的国际移动设备识别码IMEI，所述物联网设备集成有遵循nuSIM协议的身份认证模块SIM。
本实施例中可以通过通用串行总线（Universal Serial Bus，USB）、通用异步收发传输器（Universal Asynchronous Receiver/Transmitter，UART）等物理接口与物联网设备连接。LA 可以适配不同TE接口传输数据，即可以根据TE已有的硬件接口，灵活选择对应的接口，大大降低了对接的难度。当与多个物联网设备连接时，各个物联网设备所使用的接口可以不同。本实施例中的物联网设备集成有遵循nuSIM协议的身份认证模块SIM，不需要物理实体卡，直接将 SIM集成到设备芯片内部，可以使用设备上自有的安全环境，例如安全元件（Secure Element，SE）、可信执行环境（Trust Execution Environment ，TEE）等安全环境，有助于提高安全性。当通过物理接口与物联网设备连通时，则读取设备侧的设备信息，如IMEI。
S204、从所述LA数据库中获取未使用的nuSIM证书写入所述物联网设备，以完成物联网设备个性化过程。
本实施例中可以从LA数据库中随机选取与所连通的物联网设备数量相同的nuSIM证书，分别写入各个物联网设备，以完成物联网设备个性化过程。当物联网设备中写入nuSIM证书，完成个性化之后，则只能写入与该证书相对应的Profile，进一步提高了安全性。
S205、根据EID与ICCID之间的绑定关系，将与nuSIM证书相对应的Profile写入相应的物联网设备中，并建立EID、ICCID和IMEI之间的绑定关系。
在物联网设备完成个性化之后，LA根据EID与ICCID之间的绑定关系，将与nuSIM证书相对应的Profile写入相应的物联网设备中。建立EID、ICCID和IMEI之间的绑定关系，便于后续对nuSIM的管理。
具体地，当通过物理接口与多个物联网设备连通时，可以将nuSIM证书和Profile并行写入多个所述物联网设备，实现批量写入，可以提高产线的生产效率。
物联网设备在成功下载和安装Profile之后，断开与 LA的连接之后，即可自动启用所安装的 Profile，使用MNO提供的蜂窝通信网络。
为便于在出现操作问题时，能够快速追踪操作的根源，LA还记录所有的操作日志；DLL库也提供完备的日志记录，以便排查LA与DP或者TE的交互问题。
本实施例提供的Profile下载方法，通过将携带EID的nuSIM证书批量导入LA数据库；根据nuSIM证书从服务器批量下载Profile，建立nuSIM证书的EID与Profile的ICCID之间的绑定关系，并以密文的形式将Profile存储在LA数据库中；通过物理接口与物联网设备连通，获取物联网设备的国际移动设备识别码IMEI；从LA数据库中获取未使用的nuSIM证书写入物联网设备；根据EID与ICCID之间的绑定关系，将与nuSIM证书相对应的Profile写入相应的物联网设备中，并建立EID、ICCID和IMEI之间的绑定关系，不仅提高了Profile下载的效率，而且提高了nuSIM方案下Profile下载的安全性。
在上述实施例的基础上，为便于用户及时准确地掌握Profile下载过程的相关信息，本实施例提供的方法中，在写入Profile的过程中，生成状态显示界面，所述状态显示界面显示有各物理接口的端口号、所连接的物联网设备的IMEI、写入的nuSIM证书的EID、写入的Profile的ICCID和写入过程状态信息。请参考图3，图3为本发明一实施例提供的状态显示界面的示意图。需要说明的是，图3中所示端口号、EID、IMEI和ICCID等仅用作示意，并不以此为限。状态显示界面中还可以显示LA中Profile的总数量，已使用的数量和剩余可用的数量。
在上述实施例的基础上，为进一步提高安全性，本实施例提供的方法中，在将携带电子身份证EID的nuSIM证书批量导入LA数据库之前，生成登录界面，用于接收用户输入的账户和密码；在接收用户在登录界面输入的账户和密码之后，对接收到的账户和密码进行验证。仅允许通过验证的用户使用LA工具，而对于非有效账户和密码认证的用户，则无法使用。
一种可选的实施方式中，在接收用户在登录界面输入的账户和密码之前，所述方法还包括：验证许可文件的有效性。即LA产线工具支持License激活，非授权激活的版本功能上只能读取信息，不能写入信息，可以防止工具被非法使用。
在一种可选的实施方式中，在将携带电子身份证EID的nuSIM证书批量导入LA数据库之前，所述方法还包括：生成参数配置界面，所述参数配置界面中设有用于配置服务器地址、超时时间、重试次数和连接数量中的一项或者多项的设置项；根据用户指令配置参数。请参考图4，图4为本发明一实施例提供的参数配置界面的示意图。需要说明的是，图4仅用作示意，并不以此为限。
图5为本发明提供的Profile下载方法一实施例的信令流程图。如图5所示，本实施例提供的方法可以包括：
S501、MNO服务器向DP服务器发送下载命令，用于指示DP服务器进行Profile下载。
S502、DP服务器从MNO服务器下载Profile文件，并生成Profile对应的ICCID列表。
S503、DP服务器导入证书制作中心制作的携带EID信息的nuSIM证书，并建立EID与ICCID之间的绑定关系。
S504、LA导入证书制作中心制作的携带EID信息的nuSIM证书。
S505、LA向DP 发起Profile下载请求。
S506、LA根据EID从DP下载Profile。
S507、LA向连通的TE写入nuSIM证书。
S508、TE根据写入的nuSIM证书完成设备个性化。
S509、LA向连通的TE写入与nuSIM证书相对应的Profile。
S510、TE在开机/重启时，启用Profile连接网络。
S511、LA将Profile的安装结果通知DP。
图6为本发明提供的Profile下载方法又一实施例的流程图。如图6所示，本实施例提供的方法可以包括：
S601、接收用户在登录界面输入的账户和密码。
S602、对接收到的账户和密码进行验证，判断账户和密码是否验证通过。若是，则继续执行步骤S603；若否，则执行步骤S601继续接收用户输入。
S603、生成参数配置界面，根据用户指令配置参数。
S604、将携带EID的nuSIM证书批量导入LA数据库。在用户点击导入按钮后，将证书制作中心制作的携带EID信息的nuSIM证书批量导入LA数据库。
S605、判断nuSIM证书是否导入成功。若是，则执行步骤S606；若否，则继续执行步骤S604导入证书。
S606、根据nuSIM证书从服务器批量下载Profile。
S607、判断Profile是否下载成功。若是，则执行步骤S608；若否，则继续执行步骤S606下载Profile。
S608、通过物理接口与物联网设备连通。
S609、将nuSIM证书写入，实现物联网设备个性化过程。
S610、将与nuSIM证书相对应的Profile写入。
S611、保存日志记录。
综上所述，本申请通过部署在PC上的LA，请求、分发并下载Profile到终端设备，最大限度地利用了PC环境已有的网络条件，批量地从DP服务器上安全地下载密文形式的Profile到本地LA数据库，完成Profile的批量下载后，可以进入更加安全的无网安全房环境，以离线的方式将密文形式的Profile写入终端设备内部。使得终端设备出厂后，就已经具备SIM功能，可以驻网完成网络侧的数据交互，后续也无需更新Profile。特别适用于低成本（Low Cost）设备领域，例如水表、电表T跟踪器、智慧城市和智能物流等行业应用。
下面通过两个具体的例子来对本申请进行进一步说明。首先以MT2625 NB ModemChip IC为例进行说明。在芯片、芯片总代理、模组上适配完成，将nuSIM COS集成到相应软件SW中；nuSIM COS可以实现在2625芯片内部，通过 SIM Driver 与 Modem 侧进行通信，然后进行相应芯片、模组的生产。从运营商处取得Profile文件，并以加密的形式导入DP系统，同时生成Profile对应的ICCID列表。从证书制作中心批量制作带有EID信息的nuSIM证书，以备后续导入LA数据库。将nuSIM证书分别导入DP管理系统，建立EID与Profile对应ICCID的绑定关系。启动LA产线工具，登入已配置的账户，配置DP服务器的相关参数，点击导入（Import）按钮，将上述取得的nuSIM证书导入LA数据库。从LA数据库读取nuSIM证书，发起Profile批量下载，以密文的形式把Profile保存在LA的数据库中。通过USB或串口的形式，将LA与模组连通，点击开始（start）按钮，开始查询模组的设备信息，并从LA数据库中随机抽取一个未使用的nuSIM证书写入设备中，完成设备个性化的过程，之后再进行Profile的下载；当完成Profile下载后，LA将会建立IMEI、EID、ICCID的绑定关系，方便后续对nuSIM的管理；在这一步中，可以通过同时连接多个设备，实现批量下载Profile。Profile下载和安装成功的设备断开和 LA 连接后即可自动启用安装后的 Profile，每次设备重启亦然。安全加密机制由 2625 本身 Modem Chip 的对外隔离和 SKB 的加密保护共同完成，2625 本身在 NVM 和 RAM 以及对外通信上是隔离的，会关掉非法的 AT、UART 接口和 JTAG 口，是一个隔离的安全环境。NVM Flash 提供 Secure Boot 和 AES OTF 加密功能进一步保证内部数据安全。SKB 针对 Profile 里的关键数据进行二次加密保护，保证 Profile 在存储、运行时安全。整体 Profile 的 下载（download）流程都符合 nuSIM 标准协议，有证书双向校验、ECKA 和 SCP03t 加密机制保证 Profile 的下载安全。整体结合起来保证 Profile的生命周期（lifecycle）安全。
接着以 Qualcomm 9205 芯片 BG77 移远模组为例进行更近一步的说明。在芯片、芯片总代理、模组上适配完成，将nuSIM COS集成到相应 SW 中；nuSIM COS 实现在Qualcomm 9205 芯片内部提供的 TEE 安全环境内部，通过外部的 CA 和 REE 通信，并通过 QMI 接口与 Modem 侧通信。然后进行相应芯片、模组的生产。从运营商处取得Profile文件，并以加密的形式导入DP系统，同时生成Profile对应的ICCID列表。从证书制作中心批量制作带有EID信息的nuSIM证书，以备后续导入LA数据库。将nuSIM证书分别导入DP管理系统，建立EID与Profile对应ICCID的绑定关系。启动LA产线工具，登入已配置的账户，配置DP服务器的相关参数，点击Import按钮，将上诉取得的nuSIM证书导入LA数据库。从LA数据库读取nuSIM证书，发起Profile批量下载，以密文的形式把Profile保存在LA的数据库中。通过USB或串口的形式，将LA与模组连通，点击start按钮，开始查询模组的设备信息，并从数据库中随机抽取一个未使用的nuSIM证书写入设备中，完成设备个人化的过程，之后再进行Profile的下载；当完成Profile下载后，LA将会建立IMEI、EID、ICCID的绑定关系，方便后续对nuSIM的管理；在这一步中，可以通过同时连接多个设备，实现批量下载Profile。下载和安装成功的设备断开和 LA 连接后即可自动启用安装后的 Profile，每次设备重启亦然。设备出厂后不支持重新写入，必须返厂进行。安全加密机制由9205内部TEE可信执行环境保证， nuSIM COS 执行和存储 Profile 数据都在 TEE 内部的 NVM 和 RAM 中，对外通信上是隔离的，保证 Profile 在设备内部的安全存储和运算。整体 Profile 的 download 流程都符合 eSIM 标准协议，有证书双向校验、ECKA 和 SCP03t 加密机制保证 Profile 的下载安全。整体结合起来保证 Profile 的 lifecycle 安全。
本申请的方案无需实体SIM卡或eUICC卡，可以有效地降低成本；根据nuSIM技术规范，将SIM功能集成到设备侧，对外部恶劣环境的需求支持也可以满足；产线的PC网络环境就已经为Profile的请求、下载提供了网络支持，无需额外要求设备侧有初始网络能力，可以很轻松、便捷地完成产线写入Profile；支持批量下载，可以大大提升生产效益；充分利用设备侧的安全特性，加固对Profile的保护，安全性更有保障。
图7为本发明提供的Profile下载装置一实施例的结构示意图。如图7所示，本实施例提供的Profile下载装置70可以包括：导入模块701、下载模块702、连通模块703、第一写入模块704和第二写入模块705。
导入模块701，用于将携带电子身份证EID的nuSIM证书批量导入LA数据库；
下载模块702，用于根据nuSIM证书从服务器批量下载Profile，建立nuSIM证书的EID与Profile的集成电路卡识别码ICCID之间的绑定关系，并以密文的形式将Profile存储在所述LA数据库中；
连通模块703，用于通过物理接口与物联网设备连通，获取所述物联网设备的国际移动设备识别码IMEI，所述物联网设备集成有遵循nuSIM协议的身份认证模块SIM；
第一写入模块704，用于从所述LA数据库中获取未使用的nuSIM证书写入所述物联网设备，以完成物联网设备个性化过程；
第二写入模块705，用于根据EID与ICCID之间的绑定关系，将与nuSIM证书相对应的Profile写入相应的物联网设备中，并建立EID、ICCID和IMEI之间的绑定关系。
本实施例提供的Profile下载装置可用于执行图2对应的方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。
图8为本发明提供的Profile下载设备一实施例的结构示意图。如图8所示，本实施例提供的Profile下载设备80可以包括：存储器801、处理器802和总线803。其中，总线803用于实现各元件之间的连接。
存储器801中存储有计算机程序，计算机程序被处理器802执行时可以实现上述任一方法实施例提供的Profile下载方法的技术方案。
其中，存储器801和处理器802之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可以通过一条或者多条通信总线或信号线实现电性连接，如可以通过总线803连接。存储器801中存储有实现Profile下载方法的计算机程序，包括至少一个可以软件或固件的形式存储于存储器801中的软件功能模块，处理器802通过运行存储在存储器801内的软件程序以及模块，从而执行各种功能应用以及数据处理。
存储器801可以是，但不限于，随机存取存储器(Random Access Memory，简称：RAM)，只读存储器(Read Only Memory，简称：ROM)，可编程只读存储器(ProgrammableRead-Only Memory，简称：PROM)，可擦除只读存储器(Erasable Programmable Read-OnlyMemory，简称：EPROM)，电可擦除只读存储器(Electric Erasable Programmable Read-Only Memory，简称：EEPROM)等。其中，存储器801用于存储程序，处理器802在接收到执行指令后，执行程序。进一步地，上述存储器801内的软件程序以及模块还可包括操作系统，其可包括各种用于管理系统任务(例如内存管理、存储设备控制、电源管理等)的软件组件和/或驱动，并可与各种硬件或软件组件相互通信，从而提供其他软件组件的运行环境。
处理器802可以是一种集成电路芯片，具有信号的处理能力。上述的处理器802可以是通用处理器，包括中央处理器(Central Processing Unit，简称：CPU)、网络处理器(Network Processor，简称：NP)等。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。可以理解，图8的结构仅为示意，还可以包括比图8中所示更多或者更少的组件，或者具有与图8所示不同的配置。图8中所示的各组件可以采用硬件和/或软件实现。
本文参照了各种示范实施例进行说明。然而，本领域的技术人员将认识到，在不脱离本文范围的情况下，可以对示范性实施例做出改变和修正。例如，各种操作步骤以及用于执行操作步骤的组件，可以根据特定的应用或考虑与系统的操作相关联的任何数量的成本函数以不同的方式实现（例如一个或多个步骤可以被删除、修改或结合到其他步骤中）。
另外，如本领域技术人员所理解的，本文的原理可以反映在计算机可读存储介质上的计算机程序产品中，该可读存储介质预装有计算机可读程序代码。任何有形的、非暂时性的计算机可读存储介质皆可被使用，包括磁存储设备（硬盘、软盘等）、光学存储设备（CD-ROM、DVD、Blu Ray盘等）、闪存和/或诸如此类。这些计算机程序指令可被加载到通用计算机、专用计算机或其他可编程数据处理设备上以形成机器，使得这些在计算机上或其他可编程数据处理装置上执行的指令可以生成实现指定的功能的装置。这些计算机程序指令也可以存储在计算机可读存储器中，该计算机可读存储器可以指示计算机或其他可编程数据处理设备以特定的方式运行，这样存储在计算机可读存储器中的指令就可以形成一件制造品，包括实现指定功能的实现装置。计算机程序指令也可以加载到计算机或其他可编程数据处理设备上，从而在计算机或其他可编程设备上执行一系列操作步骤以产生一个计算机实现的进程，使得在计算机或其他可编程设备上执行的指令可以提供用于实现指定功能的步骤。
以上应用了具体个例对本发明进行阐述，只是用于帮助理解本发明，并不用以限制本发明。对于本发明所属技术领域的技术人员，依据本发明的思想，还可以做出若干简单推演、变形或替换。
