如我們所知，嵌入式系統(tǒng)日益廣泛應用于工業(yè)控制、智能家居、醫(yī)療設備、航空航天、智能交通等諸多領域。同時，隨著與物聯(lián)網(wǎng)、人工智能等新興技術的快速融合，嵌入式系統(tǒng)應用場景和規(guī)模不斷擴大且日益呈現(xiàn)出突出的網(wǎng)絡化、智能化、分布化、復雜化發(fā)展趨勢，其安全性問題隨之而來也日益突出。鑒于嵌入式系統(tǒng)連接信息、物理/社會的跨域融合特性，一旦在信息域遭受攻擊或是計算系統(tǒng)出現(xiàn)故障，其信息域中產(chǎn)生的安全問題更會通過裝備(如車輛、電力等實體)傳遞、放大到物理世界，產(chǎn)生危及生命財產(chǎn)安全乃至國家社會穩(wěn)定的災難性后果。

近年來，其已成為學術界和工業(yè)界關注的焦點[1]。據(jù)WISE統(tǒng)計，2023年全球嵌入式安全市場規(guī)模為49.7億美元，預計到2032年將達到94億美元，2025~2032年的復合年增長率為7.32% [2]。根據(jù)QYResearch預測，2030年全球可信計算芯片市場銷售額預計將達到22.9億元，年復合增長率為5.2% (2024~2030) [3]。

2. 嵌入式系統(tǒng)可信體系分析

圖1所示為面向嵌入式系統(tǒng)的可信技術體系。該體系構建了一個從底層硬件根基到上層應用安全的垂直信任鏈條。其基礎始于最下層的可信根，該層內(nèi)置了加密引擎和白名單管理等核心安全功能；在此之上構建可信硬件層，集成了量子安全引擎或PUF等物理級安全防護機制；向上延伸至虛擬化與分區(qū)隔離層，通過可信的虛擬機監(jiān)視器(VMM)啟動和管理機制，確保不同計算環(huán)境之間的嚴格隔離；進一步加固可信系統(tǒng)軟件層，包含安全的BootLoader引導程序等組件，為上層運行提供可信軟件基礎；最終抵達頂層的應用安全層，實施如應用白名單等機制，保障具體應用程序的可信執(zhí)行。在整個可信技術體系中，可信開發(fā)部署工具涵蓋從可信根到軟件層面，提供安全的開發(fā)框架與工具鏈，確保所有組件在開發(fā)階段即內(nèi)嵌安全能力，并在部署時按預期運行。可信升級依賴可信根存儲版本元數(shù)據(jù)，并在升級后驗證新組件的完整性，保障系統(tǒng)可持續(xù)演進，避免升級成為安全突破口。而可信啟動則是自下而上逐步構建的，可確保系統(tǒng)從啟動伊始即處于已知可信狀態(tài)，抵御Bootkit等底層攻擊?？尚胚\行是在系統(tǒng)啟動完成后，通過技術手段保障系統(tǒng)在持續(xù)運行過程中始終處于安全可信狀態(tài)的動態(tài)防護機制。

基于TPM芯片內(nèi)置加密引擎實現(xiàn)關鍵數(shù)據(jù)加密防護，通過系統(tǒng)/應用軟件哈希值校驗及權限管理機制，在啟動或運行前完成軟件完整性驗證，例如操作系統(tǒng)內(nèi)核哈希比對機制，以此構建計算環(huán)境初始信任源，確保僅合法未篡改軟件及操作被允許執(zhí)行，為系統(tǒng)可信運行奠定基礎[4] [5]。可信硬件借助量子密鑰分發(fā)與PUF安全引擎，前者實現(xiàn)通信加密，后者通過設備唯一身份識別抵御物理層攻擊與仿冒，同時依托手機啟動時系統(tǒng)鏡像驗證等安全引導機制，保障硬件啟動過程中加載軟件的完整性，有效解決硬件層面加密通信、身份認證及啟動安全問題，提升物理層抗攻擊能力。虛擬化與分區(qū)隔離通過VMware ESXi等VMM可信啟動機制，完成虛擬機監(jiān)控程序完整性驗證以保障啟動安全，并實施云計算平臺租戶虛擬機資源隔離等可信管理措施，阻斷惡意攻擊與數(shù)據(jù)泄露的跨虛擬機傳播路徑，在多業(yè)務多用戶場景下實現(xiàn)資源隔離與環(huán)境可信，確保虛擬化實體的獨立性與安全性?？尚畔到y(tǒng)軟件層通過應用分區(qū)技術，實現(xiàn)功能模塊安全隔離以阻斷故障與攻擊擴散鏈，同時依托安卓SELinux強制訪問控制等安全內(nèi)核機制，限制應用對系統(tǒng)資源的越權訪問行為，全面強化應用隔離與內(nèi)核安全，提升系統(tǒng)整體穩(wěn)定性與防御能力。應用層安全體系采用企業(yè)MDM辦公APP白名單審核機制，從源頭限制非法應用運行，結合TLS加密交易數(shù)據(jù)傳輸?shù)劝踩ㄐ偶夹g，構建覆蓋訪問控制、通信安全與新興技術防御的立體防護網(wǎng)，直接保障用戶業(yè)務操作的可信性與數(shù)據(jù)安全。

Figure 1. Architecture of trusted technology for embedded systems

圖1. 面向嵌入式系統(tǒng)的可信技術體系

以上策略為嵌入式系統(tǒng)安全提供了較為全面的保障，然而，現(xiàn)有的嵌入式系統(tǒng)安全解決方案仍面臨諸多挑戰(zhàn)。(1) 硬件安全機制雖然能夠提供底層保障，但在面對復雜的攻擊手段時，仍存在被繞過的風險。(2) 軟件層面的安全措施如實時操作系統(tǒng)和微服務架構雖然增強了系統(tǒng)的靈活性和可靠性，但其復雜性也帶來了新的安全漏洞和管理難度。(3) 工具鏈雖然在開發(fā)效率和代碼質(zhì)量方面發(fā)揮了重要作用，但在安全漏洞檢測和修復方面仍存在不足。(4) AI時代，復雜神經(jīng)網(wǎng)絡模型的不可解釋性為嵌入式設備帶來新的安全隱患，如代碼篡改難以追溯等。(5) 5G、邊緣計算等新興技術與嵌入式系統(tǒng)的融合，可能帶來新的安全需求，如終端設備數(shù)量與攻擊面的擴大、數(shù)據(jù)隱私保護、邊緣計算中的數(shù)據(jù)完整性和一致性等等。為此，在可信3.0的基礎上，面向嵌入式系統(tǒng)日益呈現(xiàn)的云–邊–端協(xié)同形態(tài)，進一步融合多端協(xié)同、零信任和保密計算的新一代計算架構進化出新的可信4.0計算體系。其特質(zhì)在于，強調(diào)在多云–邊–端融合環(huán)境中，通過硬件隔離、持續(xù)認證、動態(tài)策略和去中心化信任等手段，實現(xiàn)跨域、全生命周期、分級漸進的安全可信保障。

3. 國內(nèi)研究現(xiàn)狀

近年來，隨著相關政策、項目的不斷推進落地，對國內(nèi)嵌入式系統(tǒng)安全發(fā)展起到了不可忽略的積極作用。由北京航空航天大學牽頭，聯(lián)合復旦大學、中山大學等多家單位協(xié)同攻關，旨在突破國內(nèi)嵌入式智能計算軟件關鍵技術，推動國產(chǎn)化智能芯片軟件棧的持續(xù)完善，支持國產(chǎn)智能芯片生態(tài)建設[6]。由北京和利時系統(tǒng)工程有限公司、中國科學院沈陽自動化研究所聯(lián)合承擔的國家“十二五”863計劃課題，針對工業(yè)測控系統(tǒng)的信息安全防護需求，突破可編程嵌入式電子設備開發(fā)與運行階段的安全防護關鍵技術[7]。由華東師范大學牽頭，與中國航發(fā)商發(fā)、中航工業(yè)615所、航天五院502所等單位合作，開發(fā)高安全嵌入式控制軟件開發(fā)方法和支撐工具，成功應用于航空發(fā)動機控制軟件研制、機載航空電子系統(tǒng)研制以及“嫦娥五號”探測器軟件開發(fā)等重要任務[8]。此外，工業(yè)界也有一批嵌入式可信相關的軍用、民用產(chǎn)品落地。2024年華北工控研發(fā)的國產(chǎn)化可信嵌入式主板，集成系統(tǒng)級安全機制(密碼加速引擎、抗物理攻擊)，適配統(tǒng)信UOS、銀河麒麟等國產(chǎn)操作系統(tǒng)亮相軍博會[9]。同年，國民技術研發(fā)并推出第四代可信計算芯片NS350系列，支持SM2/SM3/SM4國密算法，兼容TPM 2.0，通過商用密碼認證，適用于工業(yè)計算和嵌入式系統(tǒng)[10]。

Figure 2. A trusted embedded platform developed by the authors’ team on a domestically-developed software-hardware stack

圖2. 作者團隊基于國產(chǎn)軟硬件技術棧研制的可信嵌入式平臺

針對嵌入式設備的安全啟動需求，Zhao等人[11]設計了一種輕量級的基于安全模塊的可信啟動方法，通過在嵌入式設備啟動前驗證預設信息，確保設備按照預定方式啟動，并利用安全模塊對啟動過程中的數(shù)據(jù)完整性進行度量，從而實現(xiàn)可信嵌入式系統(tǒng)。為保證電力系統(tǒng)嵌入式裝置能夠安全可信啟動，張翔等人[12]提出了一種基于可信平臺控制模塊(TPCM)的輕量型可信啟動方法。Liu等人[13]提出了一種將區(qū)塊鏈的鏈上信任擴展到鏈下物理世界的框架，以可信疫苗追溯為例進行了實現(xiàn)，包含基于可信執(zhí)行環(huán)境(TEE)的可信環(huán)境監(jiān)測系統(tǒng)和一致性協(xié)議兩部分。Ma等人[14]從高可信嵌入式系統(tǒng)、人工智能嵌入式模型、智能芯片嵌入式操作系統(tǒng)三個方面展開，通過將區(qū)塊鏈共識機制與特定方法結合來提升系統(tǒng)性能，設計異構計算平臺和混合嵌入式訓練系統(tǒng)，利用智能芯片增強功能并完成相關硬件設計。在基于量子計算的加密方法上，Yu等人[15]研究了部分可信中繼量子密鑰分發(fā)(QKD)網(wǎng)絡中的密鑰分發(fā)路由問題，提出了一種基于協(xié)作路由的秘密密鑰分發(fā)(SKP-CR)算法。Wang等人[16]提出一種面向無TPM嵌入式智能設備的可信啟動模型，以解決此類設備的安全啟動及系統(tǒng)執(zhí)行環(huán)境可信性問題。在航空航天領域，為了提升機載嵌入式計算機的安全防護能力，楊子怡等人[17]在將可信計算平臺引入到機載計算機的基礎上，設計并實現(xiàn)了基于機載嵌入式可信計算平臺的安全配置管理系統(tǒng)。Yang等人[18]提出基于區(qū)塊鏈的BC-UTSON機制，通過U-PBFT共識、BMWSL信任評估和TPDR可信路由技術，構建無人機群可信自組織網(wǎng)絡以抵御內(nèi)部惡意攻擊并提升安全性。此外，基于可信3.0思想，作者團隊面向特種裝備可信需求，基于“自主可信根 + 龍芯 + 昆侖固件 + SylixOS”的全自主技術棧，研究并設計了一種基于雙芯片架構的可信執(zhí)行環(huán)境，實現(xiàn)了可信啟動、可信加載、可信運行、可信升級等核心能力，如圖2所示。針對嵌入式系統(tǒng)混合部署與功能安全需求，何瑞琦等人[19]提出DHR-OS架構，在多核CPU上以Linux為主系統(tǒng)、動態(tài)部署RTOS從系統(tǒng)，利用OpenAMP實現(xiàn)通信及驅(qū)動復用、RPC調(diào)用、中斷路由等協(xié)同機制；設計調(diào)度–分發(fā)–裁決一體的安全執(zhí)行機制，通過Linux池化RTOS核心、加權投票共識算法裁決任務結果?；陲w騰D2000的測試表明，該架構在差模/多模攻擊下可靠性高，為嵌入式系統(tǒng)提供了兼具靈活性與抗攻擊性的新方案。吉晨等人[20]提出基于輕量級虛擬化環(huán)境的可信多級安全容器機制，劃分系統(tǒng)安全域并制定多級安全策略規(guī)則，通過形式化方法證明其安全性，利用聯(lián)合文件系統(tǒng)技術和以Docker為代表的容器技術說明技術可行性，從來源和運行兩方面保證可信性，可改善傳統(tǒng)多級安全機制實用性差的問題。

4. 國外研究現(xiàn)狀

STMicroelectronics于2023年9月推出了一款新的安全微控制器，具備高級加密和認證功能，可有效保護物聯(lián)網(wǎng)設備的安全[21]。一年后，該公司基于零信任安全模型，推出STM32L5系列MCU，支持安全啟動、硬件加密，功耗低至33 nA [22]。Infineon Technologies AG在2023年2月推出了SECORA Connect產(chǎn)品組合，包含小型芯片，適用于多種嵌入式設備[23]。此外，英特爾的Gaudi 3 AI加速器、至強6處理器液冷方案、酷睿Ultra系列均支持硬件級隔離(鯤鵬TEE)、機密計算[24]。

Bognar等人[25]以SancusV和VRASED系統(tǒng)為例，討論了在嵌入式可信執(zhí)行架構中，形式化方法證明的安全性與實際系統(tǒng)安全性之間的差距。Aaraj等人[26]研究了在資源受限的嵌入式系統(tǒng)中實現(xiàn)TPM的硬件/軟件協(xié)同設計，提出了一種基于軟件的TPM (SW-TPM)實現(xiàn)方案，通過在嵌入式處理器上執(zhí)行受保護的代碼域來實現(xiàn)TPM功能。Fedorov等人[27]提出了一種基于隱藏軟件代理和隱寫術的方法，用于構建可信環(huán)境并保護信息系統(tǒng)免受內(nèi)部攻擊。在醫(yī)療設備的嵌入式系統(tǒng)可信認證方面，Gebreab等人[28]提出了一種基于非同質(zhì)化代幣(NFT)的解決方案，用于確保翻新醫(yī)療器械的可信追溯和認證。該方案利用動態(tài)可組合的NFT作為醫(yī)療器械及其翻新過程的數(shù)字表示，通過將替換部件和認證文件嵌入到父子NFT層次結構中，并通過動態(tài)令牌的演變記錄翻新步驟，從而實現(xiàn)對翻新醫(yī)療器械的認證、追蹤和所有權管理。在新一代量子計算方面，Trochatos等人[29]提出了一種量子計算機可信執(zhí)行環(huán)境(QC-TEE)的硬件架構，旨在保護用戶量子電路和數(shù)據(jù)免受誠實但好奇的云服務提供商的窺探。該架構通過在用戶端軟件添加誘餌控制脈沖混淆真實量子門操作，在量子計算機端的稀釋制冷機內(nèi)使用簡單的RF開關衰減誘餌脈沖，并由硬件安全管理器控制開關。Phalak等人[30]提出兩種量子物理不可克隆函數(shù)(QuPUF)，以解決嵌入式設備量子計算中基于云平臺的量子硬件安全與信任問題。面對AI時代對嵌入式系統(tǒng)安全沖擊，Seng等人[31]圍繞嵌入式智能(EI)展開全面研究，指出其在安全、隱私和信任方面存在顯著挑戰(zhàn)，EI服務器加速器和邊緣設備在安全需求上可能存在差異。基于人工智能物聯(lián)網(wǎng)(AIoT)的概念，Alkhoori等人[32]討論了AI決策與物聯(lián)網(wǎng)設備結合的安全性挑戰(zhàn)，被篡改的深度學習算法可能會操控AIoT的運行，進而威脅到整個系統(tǒng)的安全態(tài)勢。此外，由于設備間持續(xù)進行通信和數(shù)據(jù)共享，保護這些信息免受泄露、篡改或中斷至關重要。Raja等人[33]提出Secured UAV模型，以UAV位置為輸入、借助集中控制器形成無線網(wǎng)狀網(wǎng)絡，利用A*搜索算法實現(xiàn)高效通信，并運用高級加密標準和Blowfish等加密技術及安全認證機制，保障多無人機通信的可信性與安全性，有效應對各類安全攻擊。Nawshin等人[34]提出DP-RFECV-FNN方法，將差分隱私與前饋神經(jīng)網(wǎng)絡結合，用于安卓惡意軟件檢測，遵循零信任安全模型對應用嚴格驗證，在保障用戶數(shù)據(jù)隱私的同時實現(xiàn)對已知和新型惡意軟件的準確檢測。Holmes等人[35]提出了SEVeriFast，一種針對AMD SEV微虛擬機的新型引導方案，其通過引入最小引導驗證器、利用內(nèi)核壓縮減少測量開銷、優(yōu)化預加密等方式，在保證通過硬件強制信任根建立信任、借助測量直接啟動和遠程認證確保VM初始化完整性的前提下，將SEV VM冷啟動性能提升86%~93%。

5. 國內(nèi)外研究現(xiàn)狀對比

通過對國內(nèi)外研究現(xiàn)狀的系統(tǒng)性梳理可知，國內(nèi)研究以國家重大科技專項為牽引，聚焦自主可控技術體系構建，重點開展國產(chǎn)操作系統(tǒng)與國密算法的適配應用研究。在研究模式上，強調(diào)高校與軍工、航天等單位的產(chǎn)學研協(xié)同，圍繞高安全等級嵌入式軟件開發(fā)、可信啟動機制、雙芯片異構架構等關鍵技術展開攻關，研究成果直接服務于國防安全與關鍵信息基礎設施建設。國外研究則呈現(xiàn)企業(yè)主導的技術創(chuàng)新特征，側(cè)重集成硬件級安全模塊的系統(tǒng)性解決方案研發(fā)，致力于構建零信任安全模型。其研究熱點集中于形式化方法驗證、量子計算可信執(zhí)行環(huán)境架構設計、區(qū)塊鏈技術與物聯(lián)網(wǎng)融合應用等領域，注重技術創(chuàng)新與產(chǎn)業(yè)應用的深度耦合。

綜合調(diào)研顯示，當前國內(nèi)外研究均在量子安全技術體系、人工智能與嵌入式系統(tǒng)安全融合、硬件可信根技術以及零信任安全架構等方向加速戰(zhàn)略布局，體現(xiàn)出技術交叉融合與場景化應用的顯著趨勢。

6. 發(fā)展趨勢與展望

從國內(nèi)外研究動態(tài)來看，嵌入式可信安全領域正呈現(xiàn)技術深度融合與場景化需求驅(qū)動的發(fā)展趨勢。在技術層面，量子安全技術(如量子密鑰分發(fā)、量子可信執(zhí)行環(huán)境)與傳統(tǒng)可信計算體系加速融合，推動國密算法體系向量子抗毀方向升級；AI與區(qū)塊鏈技術賦能嵌入式可信架構，通過聯(lián)邦學習實現(xiàn)設備間安全協(xié)同與未知攻擊檢測，基于區(qū)塊鏈的鏈上鏈下信任傳遞機制(如可信疫苗追溯、無人機群自組織網(wǎng)絡認證)逐步落地；硬件級可信根(國產(chǎn)可信計算芯片、集成安全模塊的MCU)與輕量級軟件可信鏈深度協(xié)同，結合形式化驗證方法構建資源受限環(huán)境下的全?？尚艌?zhí)行環(huán)境，成為高安全嵌入式系統(tǒng)(如航空發(fā)動機控制軟件、工業(yè)測控設備)的核心支撐。在應用層面，邊緣計算與物聯(lián)網(wǎng)的泛在化催生輕量化可信認證需求，無人機群、智能醫(yī)療設備等場景推動分布式信任架構研發(fā)；國防軍工、航天裝備領域則加速自主可控可信技術棧的生態(tài)構建，聚焦異構架構、可信啟動機制等關鍵技術的工程化應用。

展望未來，嵌入式可信安全研究一方面需突破國產(chǎn)軟硬件協(xié)同優(yōu)化瓶頸，建立從芯片級可信根到應用級可信開發(fā)部署工具的全流程體系，完善適應高安全場景的可信技術標準；在另一方面，針對量子計算威脅、資源受限設備安全效率平衡等挑戰(zhàn)，需加強跨學科交叉創(chuàng)新，推動零信任模型與動態(tài)信任評估技術的輕量化改造，構建覆蓋設備啟動、運行、交互全生命周期的嵌入式可信安全體系，為國防安全、關鍵基礎設施等領域提供堅實的可信保障。