system: [SYSTEM]

user: 3. CPS的属性与关键技术 安全性、可靠性、可信性是保障CPS有效、持续运转的三大关键属性，受到了CPS研究人员的高度关注 [ 12 ]，在一些学术文章上，常常将这三者的概念混淆。Sean认为，这只是一个人们对语义解释的问题，如果一个系统是不安全的，那么相应地，这个系统必然也是不可靠、不可信的 [ 13 ]。常识告诉我们安全性、可靠性、可信性在某种程度上是相互重叠的。本节从技术层面出发，剖析它们之间的重叠与区别，并给出CPS在这三大关键属性上应重点关注的研究点。 3.1. 安全性 国际标准化组织(ISO)将安全性定义为设备或系统在正常状况或故障发生时或发生后能够避免造成物理环境中的危害，保持必要的整体性能稳定的能力。CPS因应用领域的特殊性(如军事作战系统、医疗系统、电力系统、交通系统以及其他重大基础设施建设等)对系统的安全性要求很高，任何一个CPS系统均是实时的安全系统，必须在系统投入使用之前确保其安全性 [ 14 ]。CPS是复杂的新型的智能网络系统，其安全性不同于传统的互联网安全，要想确保CPS系统的安全，必须清楚系统面临的所有潜在威胁。基于层次化的CPS体系结构，本文分别从物理实体空间、赛博网络空间以及决策控制空间这三个方面各自的对象及功能展开对CPS的安全性讨论。 物理实体空间对应智能实体的自感知层，该层包含许多的基础设施：传感器、路由器、服务器等，为CPS的正常运行提供了最基本的保障。物理实体空间主要存在以下安全威胁：物理破坏、设备故障、线路损坏、外界干扰等威胁，这些实体的安全需要在物理过程中采用状态监测、健康状态评估、故障诊断、安全预警等技术来确保。同时，自感知层的传感器构成了无线传感器网络来获取物理空间的相关信息，因此在物理实体空间，不仅要考虑实体设备的安全，还需要考虑传感器网络的安全，要防止节点被控制、窃取、篡改、干扰、攻击等，需要使用必要的消息加密、密钥管理、入侵检测、安全路由、信任管理等机制进行节点的身份认证和数据的完整性验证。 赛博网络空间包含CPS的自记忆层、自认知层、自决策层，实现数据到信息的筛选、存储和融合，通过对数据和信息的挖掘与分析，认识物理实体以及物理实体与环境、活动之间的关联，并根据活动目标结合实时的环境状况给出可能的解决方案，可通过神经网络、机器学习、深度学习等人工智能的相关技术进行数据的特征提取、聚类分析，进而实现物理实体的自认知。赛博网络由大量的异构网络组成，面临的威胁主要有拒绝服务攻击、路由攻击、恶意代码、用户隐私泄露、错误路径选择等 [ 15 ]，不同的网络抵御安全威胁的方法不同，因而在设计赛博网络空间的安全结构时需要考虑各个子网络的兼容性与一致性，其安全任务主要包括节点间的身份认证、网络资源的访问控制、数据传输的保密性与完整性、远程接入的安全、路由系统的安全等。 决策控制空间对CPS进行管理与控制，其目标是达成整个系统的自重构能力 [ 16 ]。当物理实体空间的实体健康状态出现衰退，造成输出出现偏差时，控制系统根据健康的偏差及自决策层提供的解决方案来调节实体的操作或者用系统当前可用的其它设备来替代故障实体，使得设备的输出维持在目标区间内。决策控制层面向用户应用，因CPS应用领域的不同相应的安全需求也不同，因此需要根据具体的应用提供具体的针对性的安全措施。例如，在医疗系统中需要保护病人的个人隐私，在交通系统中需要用户身份认证等。决策控制空间的安全对策主要有差异化的数据库安全服务、访问控制、用户隐私保护机制、安全软件等。 3.2. 可靠性 可靠性表示系统在规定的条件下和规定的时间内完成规定功能的能力，是CPS的重要特性之一，它表示系统所提供的服务完全可以被信赖的能力。在系统的整个生命周期内，任何的威胁都有可能影响到系统，从而导致系统的可靠性下降。按照层次化的管理方式，CPS系统可从上到下依次划分为系统、任务、功能、资源四级对象。从对系统的影响程度来看，依据系统中对象有效性发展过程中的异常现象，可将对系统可靠性影响的因素分为缺陷、错误、故障、失效 [ 17 ]。 资源缺陷是系统某种特性上的不足，缺陷有激活和休眠两种状态，当缺陷被激活时就会引起一个功能错误，缺陷的发现以及处理直接影响到错误的发生与否。功能错误是系统实际的操作结果与期望意图出现了一定程度的偏差，若错误的结果对系统功能产生影响，则会进一步导致任务故障，错误的发现与处理影响到故障的呈现与否。故障则是在系统界面上提交服务不成功的表现，即系统任务的失败，而故障的累积规模直接关系到系统失效发生的可能性。系统失效也就是系统进入了不能动作的瘫痪状态。 系统失效由资源缺陷一步步演化而来，如何提高系统资源保证能力，提高系统资源利用效率，提高系统资源协同能力是保障CPS可靠性的基础问题。预测与健康管理技术(PHM)为CPS的实现提供了基础性支撑，通过对资源进行测试诊断，结合资源共享、功能复用、系统重构等技术支撑系统的决策，从而达到系统能力的实现，保障系统任务的完成。 3.3. 可信性 ISO/IEC 15408标准关于可信性的描述：一个可信的组件、操作或过程的行为，在任意操作条件下是可以预测的，并能很好地抵抗应用软件、病毒以及一定的物理干扰造成的破坏。Laprie认为可信性是系统在任务开始时可用性给定的情况下，在规定的时间和环境内能够使用且完成规定功能的能力，即系统动则成功的能力 [ 18 ]。CPS在国家关键的基础设施中承担着十分重要的职能，系统的一个暂时的微小的故障都有可能给国家的公共安全、经济效益带来致命的影响，因而其可信性研究十分有必要。 CPS所面临的可信性威胁主要来源于数据、网络以及人为因素三大方面。CPS中的物理实体是带有人的智慧的，它能够通过对数据的学习，自主形成知识。一个面向具体应用的CPS系统的可信性主要问题就是系统所得到的数据的可信性分析。数据的可信性首先面临的是数据获取媒介(即传感器的可信性)，CPS允许一定程度的传感器冗余，一旦某个传感器不能准确地工作，其他的传感器或传感器组仍然可以提供准确的数据信息，但问题是系统并不能预先知道哪些传感器是可信的，这就需要系统能够从所获得的冲突数据中推测出实际的情况。其次，一个CPS所拥有的传感器个数可能是成千上万的，产生的数据量更是惊人，受到技术限制和环境的影响，CPS数据难免会携带大量的噪声，如何从大量噪声数据中筛选出可信并且有意义的数据并进行传输、集成和存储是亟待解决的问题。 网络是CPS实现的基础，CPS通过网络将各类传感器连接起来实现数据的感知与传送，并且完成对物理实体的远程控制。CPS的网络需要满足极高的可信性，要能够迅速将数据、指令等信息发送到指定模块，要能够做到行为状态、行为结果可评估，行为异常可控制。一般来说，CPS网络的可信性应首先满足安全性，保证网络牢不可摧，不能够随意被入侵、窃取甚至是破坏。同时，网络要满足可扩展性，CPS是开放的系统，其工作环境具有高动态性，不同模块的接入与断开很频繁，必须使CPS网络满足动态的工作方式，在模块增加或减少后网络继续保持稳定安全，在少数攻击或模块连接失败的情况下，网络能够继续完成应有的功能。 CPS的最终目标是为人提供更加高效、智能的服务。人是CPS系统的一个重要节点，不仅具有感知数据的能力，还能够进行分析、决策，从而控制物理实体。有研究表明，大约50%以上系统的失效或崩溃是由人引起的。与以往的系统相比，CPS的开放性更强，使用者与系统之间有着更加灵活的交互与控制，人对系统的干预和操作更是无处不在。因此，在CPS系统中必须给人一个具有唯一性、可区分的特征，系统在接受人的操作时必须验证其特性，并根据其知识水平、个人能力、操作熟练程度、相关经验等给予不同的权限，系统在收到指令时也必须验证操作者的身份，再决定是否响应操作。