如我們所知，嵌入式系統(tǒng)日益廣泛應(yīng)用于工業(yè)控制、智能家居、醫(yī)療設(shè)備、航空航天、智能交通等諸多領(lǐng)域。同時，隨著與物聯(lián)網(wǎng)、人工智能等新興技術(shù)的快速融合，嵌入式系統(tǒng)應(yīng)用場景和規(guī)模不斷擴(kuò)大且日益呈現(xiàn)出突出的網(wǎng)絡(luò)化、智能化、分布化、復(fù)雜化發(fā)展趨勢，其安全性問題隨之而來也日益突出。鑒于嵌入式系統(tǒng)連接信息、物理/社會的跨域融合特性，一旦在信息域遭受攻擊或是計算系統(tǒng)出現(xiàn)故障，其信息域中產(chǎn)生的安全問題更會通過裝備(如車輛、電力等實體)傳遞、放大到物理世界，產(chǎn)生危及生命財產(chǎn)安全乃至國家社會穩(wěn)定的災(zāi)難性后果。

近年來，其已成為學(xué)術(shù)界和工業(yè)界關(guān)注的焦點[1]。據(jù)WISE統(tǒng)計，2023年全球嵌入式安全市場規(guī)模為49.7億美元，預(yù)計到2032年將達(dá)到94億美元，2025~2032年的復(fù)合年增長率為7.32% [2]。根據(jù)QYResearch預(yù)測，2030年全球可信計算芯片市場銷售額預(yù)計將達(dá)到22.9億元，年復(fù)合增長率為5.2% (2024~2030) [3]。

2. 嵌入式系統(tǒng)可信體系分析

圖1所示為面向嵌入式系統(tǒng)的可信技術(shù)體系。該體系構(gòu)建了一個從底層硬件根基到上層應(yīng)用安全的垂直信任鏈條。其基礎(chǔ)始于最下層的可信根，該層內(nèi)置了加密引擎和白名單管理等核心安全功能；在此之上構(gòu)建可信硬件層，集成了量子安全引擎或PUF等物理級安全防護(hù)機(jī)制；向上延伸至虛擬化與分區(qū)隔離層，通過可信的虛擬機(jī)監(jiān)視器(VMM)啟動和管理機(jī)制，確保不同計算環(huán)境之間的嚴(yán)格隔離；進(jìn)一步加固可信系統(tǒng)軟件層，包含安全的BootLoader引導(dǎo)程序等組件，為上層運(yùn)行提供可信軟件基礎(chǔ)；最終抵達(dá)頂層的應(yīng)用安全層，實施如應(yīng)用白名單等機(jī)制，保障具體應(yīng)用程序的可信執(zhí)行。在整個可信技術(shù)體系中，可信開發(fā)部署工具涵蓋從可信根到軟件層面，提供安全的開發(fā)框架與工具鏈，確保所有組件在開發(fā)階段即內(nèi)嵌安全能力，并在部署時按預(yù)期運(yùn)行?？尚派壱蕾嚳尚鸥鎯Π姹驹獢?shù)據(jù)，并在升級后驗證新組件的完整性，保障系統(tǒng)可持續(xù)演進(jìn)，避免升級成為安全突破口。而可信啟動則是自下而上逐步構(gòu)建的，可確保系統(tǒng)從啟動伊始即處于已知可信狀態(tài)，抵御Bootkit等底層攻擊。可信運(yùn)行是在系統(tǒng)啟動完成后，通過技術(shù)手段保障系統(tǒng)在持續(xù)運(yùn)行過程中始終處于安全可信狀態(tài)的動態(tài)防護(hù)機(jī)制。

基于TPM芯片內(nèi)置加密引擎實現(xiàn)關(guān)鍵數(shù)據(jù)加密防護(hù)，通過系統(tǒng)/應(yīng)用軟件哈希值校驗及權(quán)限管理機(jī)制，在啟動或運(yùn)行前完成軟件完整性驗證，例如操作系統(tǒng)內(nèi)核哈希比對機(jī)制，以此構(gòu)建計算環(huán)境初始信任源，確保僅合法未篡改軟件及操作被允許執(zhí)行，為系統(tǒng)可信運(yùn)行奠定基礎(chǔ)[4] [5]。可信硬件借助量子密鑰分發(fā)與PUF安全引擎，前者實現(xiàn)通信加密，后者通過設(shè)備唯一身份識別抵御物理層攻擊與仿冒，同時依托手機(jī)啟動時系統(tǒng)鏡像驗證等安全引導(dǎo)機(jī)制，保障硬件啟動過程中加載軟件的完整性，有效解決硬件層面加密通信、身份認(rèn)證及啟動安全問題，提升物理層抗攻擊能力。虛擬化與分區(qū)隔離通過VMware ESXi等VMM可信啟動機(jī)制，完成虛擬機(jī)監(jiān)控程序完整性驗證以保障啟動安全，并實施云計算平臺租戶虛擬機(jī)資源隔離等可信管理措施，阻斷惡意攻擊與數(shù)據(jù)泄露的跨虛擬機(jī)傳播路徑，在多業(yè)務(wù)多用戶場景下實現(xiàn)資源隔離與環(huán)境可信，確保虛擬化實體的獨立性與安全性?？尚畔到y(tǒng)軟件層通過應(yīng)用分區(qū)技術(shù)，實現(xiàn)功能模塊安全隔離以阻斷故障與攻擊擴(kuò)散鏈，同時依托安卓SELinux強(qiáng)制訪問控制等安全內(nèi)核機(jī)制，限制應(yīng)用對系統(tǒng)資源的越權(quán)訪問行為，全面強(qiáng)化應(yīng)用隔離與內(nèi)核安全，提升系統(tǒng)整體穩(wěn)定性與防御能力。應(yīng)用層安全體系采用企業(yè)MDM辦公APP白名單審核機(jī)制，從源頭限制非法應(yīng)用運(yùn)行，結(jié)合TLS加密交易數(shù)據(jù)傳輸?shù)劝踩ㄐ偶夹g(shù)，構(gòu)建覆蓋訪問控制、通信安全與新興技術(shù)防御的立體防護(hù)網(wǎng)，直接保障用戶業(yè)務(wù)操作的可信性與數(shù)據(jù)安全。

Figure 1. Architecture of trusted technology for embedded systems

圖1. 面向嵌入式系統(tǒng)的可信技術(shù)體系

以上策略為嵌入式系統(tǒng)安全提供了較為全面的保障，然而，現(xiàn)有的嵌入式系統(tǒng)安全解決方案仍面臨諸多挑戰(zhàn)。(1) 硬件安全機(jī)制雖然能夠提供底層保障，但在面對復(fù)雜的攻擊手段時，仍存在被繞過的風(fēng)險。(2) 軟件層面的安全措施如實時操作系統(tǒng)和微服務(wù)架構(gòu)雖然增強(qiáng)了系統(tǒng)的靈活性和可靠性，但其復(fù)雜性也帶來了新的安全漏洞和管理難度。(3) 工具鏈雖然在開發(fā)效率和代碼質(zhì)量方面發(fā)揮了重要作用，但在安全漏洞檢測和修復(fù)方面仍存在不足。(4) AI時代，復(fù)雜神經(jīng)網(wǎng)絡(luò)模型的不可解釋性為嵌入式設(shè)備帶來新的安全隱患，如代碼篡改難以追溯等。(5) 5G、邊緣計算等新興技術(shù)與嵌入式系統(tǒng)的融合，可能帶來新的安全需求，如終端設(shè)備數(shù)量與攻擊面的擴(kuò)大、數(shù)據(jù)隱私保護(hù)、邊緣計算中的數(shù)據(jù)完整性和一致性等等。為此，在可信3.0的基礎(chǔ)上，面向嵌入式系統(tǒng)日益呈現(xiàn)的云–邊–端協(xié)同形態(tài)，進(jìn)一步融合多端協(xié)同、零信任和保密計算的新一代計算架構(gòu)進(jìn)化出新的可信4.0計算體系。其特質(zhì)在于，強(qiáng)調(diào)在多云–邊–端融合環(huán)境中，通過硬件隔離、持續(xù)認(rèn)證、動態(tài)策略和去中心化信任等手段，實現(xiàn)跨域、全生命周期、分級漸進(jìn)的安全可信保障。

3. 國內(nèi)研究現(xiàn)狀

近年來，隨著相關(guān)政策、項目的不斷推進(jìn)落地，對國內(nèi)嵌入式系統(tǒng)安全發(fā)展起到了不可忽略的積極作用。由北京航空航天大學(xué)牽頭，聯(lián)合復(fù)旦大學(xué)、中山大學(xué)等多家單位協(xié)同攻關(guān)，旨在突破國內(nèi)嵌入式智能計算軟件關(guān)鍵技術(shù)，推動國產(chǎn)化智能芯片軟件棧的持續(xù)完善，支持國產(chǎn)智能芯片生態(tài)建設(shè)[6]。由北京和利時系統(tǒng)工程有限公司、中國科學(xué)院沈陽自動化研究所聯(lián)合承擔(dān)的國家“十二五”863計劃課題，針對工業(yè)測控系統(tǒng)的信息安全防護(hù)需求，突破可編程嵌入式電子設(shè)備開發(fā)與運(yùn)行階段的安全防護(hù)關(guān)鍵技術(shù)[7]。由華東師范大學(xué)牽頭，與中國航發(fā)商發(fā)、中航工業(yè)615所、航天五院502所等單位合作，開發(fā)高安全嵌入式控制軟件開發(fā)方法和支撐工具，成功應(yīng)用于航空發(fā)動機(jī)控制軟件研制、機(jī)載航空電子系統(tǒng)研制以及“嫦娥五號”探測器軟件開發(fā)等重要任務(wù)[8]。此外，工業(yè)界也有一批嵌入式可信相關(guān)的軍用、民用產(chǎn)品落地。2024年華北工控研發(fā)的國產(chǎn)化可信嵌入式主板，集成系統(tǒng)級安全機(jī)制(密碼加速引擎、抗物理攻擊)，適配統(tǒng)信UOS、銀河麒麟等國產(chǎn)操作系統(tǒng)亮相軍博會[9]。同年，國民技術(shù)研發(fā)并推出第四代可信計算芯片NS350系列，支持SM2/SM3/SM4國密算法，兼容TPM 2.0，通過商用密碼認(rèn)證，適用于工業(yè)計算和嵌入式系統(tǒng)[10]。

Figure 2. A trusted embedded platform developed by the authors’ team on a domestically-developed software-hardware stack

圖2. 作者團(tuán)隊基于國產(chǎn)軟硬件技術(shù)棧研制的可信嵌入式平臺

針對嵌入式設(shè)備的安全啟動需求，Zhao等人[11]設(shè)計了一種輕量級的基于安全模塊的可信啟動方法，通過在嵌入式設(shè)備啟動前驗證預(yù)設(shè)信息，確保設(shè)備按照預(yù)定方式啟動，并利用安全模塊對啟動過程中的數(shù)據(jù)完整性進(jìn)行度量，從而實現(xiàn)可信嵌入式系統(tǒng)。為保證電力系統(tǒng)嵌入式裝置能夠安全可信啟動，張翔等人[12]提出了一種基于可信平臺控制模塊(TPCM)的輕量型可信啟動方法。Liu等人[13]提出了一種將區(qū)塊鏈的鏈上信任擴(kuò)展到鏈下物理世界的框架，以可信疫苗追溯為例進(jìn)行了實現(xiàn)，包含基于可信執(zhí)行環(huán)境(TEE)的可信環(huán)境監(jiān)測系統(tǒng)和一致性協(xié)議兩部分。Ma等人[14]從高可信嵌入式系統(tǒng)、人工智能嵌入式模型、智能芯片嵌入式操作系統(tǒng)三個方面展開，通過將區(qū)塊鏈共識機(jī)制與特定方法結(jié)合來提升系統(tǒng)性能，設(shè)計異構(gòu)計算平臺和混合嵌入式訓(xùn)練系統(tǒng)，利用智能芯片增強(qiáng)功能并完成相關(guān)硬件設(shè)計。在基于量子計算的加密方法上，Yu等人[15]研究了部分可信中繼量子密鑰分發(fā)(QKD)網(wǎng)絡(luò)中的密鑰分發(fā)路由問題，提出了一種基于協(xié)作路由的秘密密鑰分發(fā)(SKP-CR)算法。Wang等人[16]提出一種面向無TPM嵌入式智能設(shè)備的可信啟動模型，以解決此類設(shè)備的安全啟動及系統(tǒng)執(zhí)行環(huán)境可信性問題。在航空航天領(lǐng)域，為了提升機(jī)載嵌入式計算機(jī)的安全防護(hù)能力，楊子怡等人[17]在將可信計算平臺引入到機(jī)載計算機(jī)的基礎(chǔ)上，設(shè)計并實現(xiàn)了基于機(jī)載嵌入式可信計算平臺的安全配置管理系統(tǒng)。Yang等人[18]提出基于區(qū)塊鏈的BC-UTSON機(jī)制，通過U-PBFT共識、BMWSL信任評估和TPDR可信路由技術(shù)，構(gòu)建無人機(jī)群可信自組織網(wǎng)絡(luò)以抵御內(nèi)部惡意攻擊并提升安全性。此外，基于可信3.0思想，作者團(tuán)隊面向特種裝備可信需求，基于“自主可信根 + 龍芯 + 昆侖固件 + SylixOS”的全自主技術(shù)棧，研究并設(shè)計了一種基于雙芯片架構(gòu)的可信執(zhí)行環(huán)境，實現(xiàn)了可信啟動、可信加載、可信運(yùn)行、可信升級等核心能力，如圖2所示。針對嵌入式系統(tǒng)混合部署與功能安全需求，何瑞琦等人[19]提出DHR-OS架構(gòu)，在多核CPU上以Linux為主系統(tǒng)、動態(tài)部署RTOS從系統(tǒng)，利用OpenAMP實現(xiàn)通信及驅(qū)動復(fù)用、RPC調(diào)用、中斷路由等協(xié)同機(jī)制；設(shè)計調(diào)度–分發(fā)–裁決一體的安全執(zhí)行機(jī)制，通過Linux池化RTOS核心、加權(quán)投票共識算法裁決任務(wù)結(jié)果。基于飛騰D2000的測試表明，該架構(gòu)在差模/多模攻擊下可靠性高，為嵌入式系統(tǒng)提供了兼具靈活性與抗攻擊性的新方案。吉晨等人[20]提出基于輕量級虛擬化環(huán)境的可信多級安全容器機(jī)制，劃分系統(tǒng)安全域并制定多級安全策略規(guī)則，通過形式化方法證明其安全性，利用聯(lián)合文件系統(tǒng)技術(shù)和以Docker為代表的容器技術(shù)說明技術(shù)可行性，從來源和運(yùn)行兩方面保證可信性，可改善傳統(tǒng)多級安全機(jī)制實用性差的問題。

4. 國外研究現(xiàn)狀

STMicroelectronics于2023年9月推出了一款新的安全微控制器，具備高級加密和認(rèn)證功能，可有效保護(hù)物聯(lián)網(wǎng)設(shè)備的安全[21]。一年后，該公司基于零信任安全模型，推出STM32L5系列MCU，支持安全啟動、硬件加密，功耗低至33 nA [22]。Infineon Technologies AG在2023年2月推出了SECORA Connect產(chǎn)品組合，包含小型芯片，適用于多種嵌入式設(shè)備[23]。此外，英特爾的Gaudi 3 AI加速器、至強(qiáng)6處理器液冷方案、酷睿Ultra系列均支持硬件級隔離(鯤鵬TEE)、機(jī)密計算[24]。

Bognar等人[25]以SancusV和VRASED系統(tǒng)為例，討論了在嵌入式可信執(zhí)行架構(gòu)中，形式化方法證明的安全性與實際系統(tǒng)安全性之間的差距。Aaraj等人[26]研究了在資源受限的嵌入式系統(tǒng)中實現(xiàn)TPM的硬件/軟件協(xié)同設(shè)計，提出了一種基于軟件的TPM (SW-TPM)實現(xiàn)方案，通過在嵌入式處理器上執(zhí)行受保護(hù)的代碼域來實現(xiàn)TPM功能。Fedorov等人[27]提出了一種基于隱藏軟件代理和隱寫術(shù)的方法，用于構(gòu)建可信環(huán)境并保護(hù)信息系統(tǒng)免受內(nèi)部攻擊。在醫(yī)療設(shè)備的嵌入式系統(tǒng)可信認(rèn)證方面，Gebreab等人[28]提出了一種基于非同質(zhì)化代幣(NFT)的解決方案，用于確保翻新醫(yī)療器械的可信追溯和認(rèn)證。該方案利用動態(tài)可組合的NFT作為醫(yī)療器械及其翻新過程的數(shù)字表示，通過將替換部件和認(rèn)證文件嵌入到父子NFT層次結(jié)構(gòu)中，并通過動態(tài)令牌的演變記錄翻新步驟，從而實現(xiàn)對翻新醫(yī)療器械的認(rèn)證、追蹤和所有權(quán)管理。在新一代量子計算方面，Trochatos等人[29]提出了一種量子計算機(jī)可信執(zhí)行環(huán)境(QC-TEE)的硬件架構(gòu)，旨在保護(hù)用戶量子電路和數(shù)據(jù)免受誠實但好奇的云服務(wù)提供商的窺探。該架構(gòu)通過在用戶端軟件添加誘餌控制脈沖混淆真實量子門操作，在量子計算機(jī)端的稀釋制冷機(jī)內(nèi)使用簡單的RF開關(guān)衰減誘餌脈沖，并由硬件安全管理器控制開關(guān)。Phalak等人[30]提出兩種量子物理不可克隆函數(shù)(QuPUF)，以解決嵌入式設(shè)備量子計算中基于云平臺的量子硬件安全與信任問題。面對AI時代對嵌入式系統(tǒng)安全沖擊，Seng等人[31]圍繞嵌入式智能(EI)展開全面研究，指出其在安全、隱私和信任方面存在顯著挑戰(zhàn)，EI服務(wù)器加速器和邊緣設(shè)備在安全需求上可能存在差異。基于人工智能物聯(lián)網(wǎng)(AIoT)的概念，Alkhoori等人[32]討論了AI決策與物聯(lián)網(wǎng)設(shè)備結(jié)合的安全性挑戰(zhàn)，被篡改的深度學(xué)習(xí)算法可能會操控AIoT的運(yùn)行，進(jìn)而威脅到整個系統(tǒng)的安全態(tài)勢。此外，由于設(shè)備間持續(xù)進(jìn)行通信和數(shù)據(jù)共享，保護(hù)這些信息免受泄露、篡改或中斷至關(guān)重要。Raja等人[33]提出Secured UAV模型，以UAV位置為輸入、借助集中控制器形成無線網(wǎng)狀網(wǎng)絡(luò)，利用A*搜索算法實現(xiàn)高效通信，并運(yùn)用高級加密標(biāo)準(zhǔn)和Blowfish等加密技術(shù)及安全認(rèn)證機(jī)制，保障多無人機(jī)通信的可信性與安全性，有效應(yīng)對各類安全攻擊。Nawshin等人[34]提出DP-RFECV-FNN方法，將差分隱私與前饋神經(jīng)網(wǎng)絡(luò)結(jié)合，用于安卓惡意軟件檢測，遵循零信任安全模型對應(yīng)用嚴(yán)格驗證，在保障用戶數(shù)據(jù)隱私的同時實現(xiàn)對已知和新型惡意軟件的準(zhǔn)確檢測。Holmes等人[35]提出了SEVeriFast，一種針對AMD SEV微虛擬機(jī)的新型引導(dǎo)方案，其通過引入最小引導(dǎo)驗證器、利用內(nèi)核壓縮減少測量開銷、優(yōu)化預(yù)加密等方式，在保證通過硬件強(qiáng)制信任根建立信任、借助測量直接啟動和遠(yuǎn)程認(rèn)證確保VM初始化完整性的前提下，將SEV VM冷啟動性能提升86%~93%。

5. 國內(nèi)外研究現(xiàn)狀對比

通過對國內(nèi)外研究現(xiàn)狀的系統(tǒng)性梳理可知，國內(nèi)研究以國家重大科技專項為牽引，聚焦自主可控技術(shù)體系構(gòu)建，重點開展國產(chǎn)操作系統(tǒng)與國密算法的適配應(yīng)用研究。在研究模式上，強(qiáng)調(diào)高校與軍工、航天等單位的產(chǎn)學(xué)研協(xié)同，圍繞高安全等級嵌入式軟件開發(fā)、可信啟動機(jī)制、雙芯片異構(gòu)架構(gòu)等關(guān)鍵技術(shù)展開攻關(guān)，研究成果直接服務(wù)于國防安全與關(guān)鍵信息基礎(chǔ)設(shè)施建設(shè)。國外研究則呈現(xiàn)企業(yè)主導(dǎo)的技術(shù)創(chuàng)新特征，側(cè)重集成硬件級安全模塊的系統(tǒng)性解決方案研發(fā)，致力于構(gòu)建零信任安全模型。其研究熱點集中于形式化方法驗證、量子計算可信執(zhí)行環(huán)境架構(gòu)設(shè)計、區(qū)塊鏈技術(shù)與物聯(lián)網(wǎng)融合應(yīng)用等領(lǐng)域，注重技術(shù)創(chuàng)新與產(chǎn)業(yè)應(yīng)用的深度耦合。

綜合調(diào)研顯示，當(dāng)前國內(nèi)外研究均在量子安全技術(shù)體系、人工智能與嵌入式系統(tǒng)安全融合、硬件可信根技術(shù)以及零信任安全架構(gòu)等方向加速戰(zhàn)略布局，體現(xiàn)出技術(shù)交叉融合與場景化應(yīng)用的顯著趨勢。

6. 發(fā)展趨勢與展望

從國內(nèi)外研究動態(tài)來看，嵌入式可信安全領(lǐng)域正呈現(xiàn)技術(shù)深度融合與場景化需求驅(qū)動的發(fā)展趨勢。在技術(shù)層面，量子安全技術(shù)(如量子密鑰分發(fā)、量子可信執(zhí)行環(huán)境)與傳統(tǒng)可信計算體系加速融合，推動國密算法體系向量子抗毀方向升級；AI與區(qū)塊鏈技術(shù)賦能嵌入式可信架構(gòu)，通過聯(lián)邦學(xué)習(xí)實現(xiàn)設(shè)備間安全協(xié)同與未知攻擊檢測，基于區(qū)塊鏈的鏈上鏈下信任傳遞機(jī)制(如可信疫苗追溯、無人機(jī)群自組織網(wǎng)絡(luò)認(rèn)證)逐步落地；硬件級可信根(國產(chǎn)可信計算芯片、集成安全模塊的MCU)與輕量級軟件可信鏈深度協(xié)同，結(jié)合形式化驗證方法構(gòu)建資源受限環(huán)境下的全?？尚艌?zhí)行環(huán)境，成為高安全嵌入式系統(tǒng)(如航空發(fā)動機(jī)控制軟件、工業(yè)測控設(shè)備)的核心支撐。在應(yīng)用層面，邊緣計算與物聯(lián)網(wǎng)的泛在化催生輕量化可信認(rèn)證需求，無人機(jī)群、智能醫(yī)療設(shè)備等場景推動分布式信任架構(gòu)研發(fā)；國防軍工、航天裝備領(lǐng)域則加速自主可控可信技術(shù)棧的生態(tài)構(gòu)建，聚焦異構(gòu)架構(gòu)、可信啟動機(jī)制等關(guān)鍵技術(shù)的工程化應(yīng)用。

展望未來，嵌入式可信安全研究一方面需突破國產(chǎn)軟硬件協(xié)同優(yōu)化瓶頸，建立從芯片級可信根到應(yīng)用級可信開發(fā)部署工具的全流程體系，完善適應(yīng)高安全場景的可信技術(shù)標(biāo)準(zhǔn)；在另一方面，針對量子計算威脅、資源受限設(shè)備安全效率平衡等挑戰(zhàn)，需加強(qiáng)跨學(xué)科交叉創(chuàng)新，推動零信任模型與動態(tài)信任評估技術(shù)的輕量化改造，構(gòu)建覆蓋設(shè)備啟動、運(yùn)行、交互全生命周期的嵌入式可信安全體系，為國防安全、關(guān)鍵基礎(chǔ)設(shè)施等領(lǐng)域提供堅實的可信保障。