一种体耦合脑机接口安全建链系统及方法

本发明涉及植入式医疗电子、脑机接口、体耦合通信、无线数据回传和轻量级密码认证，具体涉及一种体耦合脑机接口安全建链系统及方法。

背景技术：

1、植入式脑机接口通过植入端神经接口模块采集或处理神经信号，并将神经接口数据回传至体外端设备或上位机系统。随着植入式脑机接口向长期植入、高通道记录、无线供电和高速数据回传方向发展，植入端与体外端之间的数据链路逐渐成为影响系统安全性和可靠性的重要环节。

2、体耦合通信利用人体组织作为数据传输介质，可通过植入端耦合电极和体外端耦合电极建立数据回传通道。与传统穿皮导线、射频链路或感应耦合方案相比，体耦合回传链路具有小型化、低对准要求和适配长期植入场景的潜力。然而，体耦合回传链路在提高植入式脑机接口可用性的同时，也带来了新的安全风险。

3、首先，植入式脑机接口回传的数据可能包括脑电信号、神经调控参数、神经解码结果或其他高敏感神经接口数据，一旦被非法获取，可能造成隐私泄露。其次，若缺少身份认证机制，非法体外端设备可能伪装为合法设备与植入端建立通信，导致数据窃听、数据篡改、重放攻击或非法访问。再次，植入端供传一体化芯片通常受限于体积、功耗、发热和无线供电能力，难以承担复杂证书验证、高开销公钥运算或持续在线安全计算。因此，传统通用无线通信安全方案难以直接适用于体耦合植入式脑机接口场景。

4、此外，植入式脑机接口的体耦合链路状态会随植入端耦合电极位置、组织状态、人体姿态、体外端设备位置和长期组织变化而发生波动。链路质量变化不仅影响通信可靠性，也会影响重新认证和会话密钥更新的触发时机。因此，需要一种面向植入式脑机接口体耦合回传链路的轻量级安全建链方法，将低功耗双向身份认证、会话密钥协商、数据保护和链路状态感知结合起来，在保证植入端低功耗运行的同时，实现长期安全的数据回传。

技术实现思路

1、本发明所要解决的技术问题是针对背景技术的缺陷，提供一种体耦合脑机接口安全建链系统及方法，将植入端供传一体化芯片、体外端设备以及上位机和医疗服务端划分为植入端节点、边缘认证节点和应用服务节点，形成适用于体耦合脑机接口场景的分层认证架构，用于解决现有植入式脑机接口体耦合回传链路中缺少轻量级双向身份认证、非法体外端设备可能接入、神经数据容易泄露或篡改、植入端难以承受复杂安全计算以及链路状态变化下密钥更新不及时的问题，有效解决了目前的技术难题；

2、本发明为解决上述技术问题采用以下技术方案：

3、一种体耦合脑机接口安全建链系统，具体包括植入端供传一体化芯片、体外端设备以及上位机和医疗服务端：

4、所述植入端供传一体化芯片包括认证模块、会话密钥生成模块和数据保护模块，用于接收、处理以及转发神经接口数据，并通过人体组织耦合信道向体外端设备回传所述神经接口数据；

5、所述体外端设备用于通过人体组织耦合信道接收所述神经接口数据，并作为边缘认证节点与所述植入端供传一体化芯片之间相互验证合法身份后建立近端双向认证关系；

6、所述上位机和医疗服务端用于与所述体外端设备建立远端认证关系，并接收经认证、解密和完整性验证后的神经接口数据，具体包括根据体外端设备身份、用户权限、植入端身份、近端认证状态、数据摘要和访问策略，确定是否允许神经接口数据上传、存储、显示、分析以及进一步处理。

7、进一步的，所述认证模块用于根据植入端身份参数、体外端身份参数、预置密钥、随机挑战值、时间戳、计数器、链路状态摘要中的至少一种生成认证响应，并用于对体外端设备的认证请求进行合法性验证，具体包括体外端设备向植入端供传一体化芯片发送近端双向认证请求，认证模块仅在认证阶段、重认证阶段和密钥更新阶段启动，在完成近端双向认证并建立会话密钥后的数据回传阶段进入低功耗、休眠和关闭状态；所述近端双向认证请求包括体外端身份参数、随机挑战值、时间戳、计数器、请求认证码中的至少一种；所述会话密钥生成模块用于在所述植入端供传一体化芯片与体外端设备完成近端双向认证后，生成用于本次回传会话的数据保护密钥，即会话密钥；所述会话密钥用于对神经接口数据进行加密、完整性校验、消息认证码生成、帧级认证中的至少一种；所述数据保护模块用于基于所述数据保护密钥对神经接口数据进行加密、完整性校验、消息认证和数据发送控制。

8、进一步的，所述体外端设备在完成与植入端供传一体化芯片的近端双向认证后，将认证结果、植入端身份摘要、体外端身份参数、数据摘要、会话状态参数和访问令牌发送至上位机和医疗服务端。

9、进一步的，所述植入端供传一体化芯片在接收到所述近端双向认证请求后，基于预置密钥、体外端身份参数、时间戳、计数器、请求认证码和访问令牌，对体外端设备的合法性进行验证；仅在体外端设备通过验证时，生成植入端认证响应；所述认证模块运行轻量级认证函数生成植入端认证响应，所述轻量级认证函数包括哈希函数、消息认证码、伪随机函数、对称加密函数、模平方根运算；所述体外端设备根据植入端认证响应验证植入端供传一体化芯片是否合法；仅在体外端设备验证通过且植入端供传一体化芯片已验证体外端设备合法时，双方进入会话密钥协商阶段。

10、进一步的，所述会话密钥生成模块根据植入端身份参数、体外端身份参数、体外端随机数、植入端随机数、认证响应值、预置密钥、链路状态摘要生成会话密钥；所述链路状态摘要由链路状态参数经量化、编码、筛选、归一化、哈希与协商确认后得到，所述链路状态参数包括接收信号强度、回传误码率、人体组织耦合信道等效阻抗、稳压输出状态、数据包重传次数、数据帧丢失率；所述会话密钥通过密钥派生函数生成，所述密钥派生函数的输入包括预置密钥、随机挑战值、体外端随机数、植入端随机数、植入端身份参数、体外端身份参数、认证响应值和链路状态摘要；所述链路状态摘要作为会话密钥派生的辅助上下文参数，以及作为触发重新认证、会话密钥更新、数据回传降速和低功耗等待的触发条件。

11、进一步的，当检测到存在链路状态异常、认证失败次数超过阈值、体外端设备变化、回传误码率升高、接收信号强度异常、数据包重传次数超过阈值、完整性验证失败次数超过阈值和会话持续时间超过阈值中任一情况时，系统触发重新认证和会话密钥更新；所述重新认证和会话密钥更新由体外端设备发起，植入端供传一体化芯片仅执行认证请求验证、认证响应生成、随机数生成、密钥派生和数据保护运算。

12、进一步的，当认证失败次数超过阈值时，植入端供传一体化芯片进入安全保护状态，所述安全保护状态包括暂停数据回传、降低回传速率、进入低功耗模式、等待重新认证和丢弃未认证请求。

13、一种体耦合脑机接口安全建链方法，包括以下步骤：

14、步骤s1、体外端设备向植入端供传一体化芯片发送近端双向认证请求，所述近端双向认证请求包括体外端身份参数、随机挑战值、时间戳、计数器和请求认证码；

15、步骤s2、植入端供传一体化芯片基于预置密钥、体外端身份参数、时间戳、计数器、请求认证码和访问令牌，验证体外端设备是否合法；

16、步骤s3、当体外端设备验证通过时，植入端供传一体化芯片基于预置密钥、植入端身份参数、体外端身份参数、随机挑战值和轻量级认证函数生成植入端认证响应；

17、步骤s4、体外端设备根据植入端认证响应判断植入端供传一体化芯片是否合法；

18、步骤s5、当体外端设备与植入端供传一体化芯片完成近端双向认证后，双方基于随机数、身份参数、认证响应值、预置密钥和链路状态摘要生成会话密钥；

19、步骤s6、植入端供传一体化芯片基于所述会话密钥对神经接口数据进行加密、完整性保护和消息认证码生成，具体包括：所述植入端供传一体化芯片将神经接口数据划分为数据帧，并为每一数据帧加入帧序号、时间戳、计数器；体外端设备根据所述帧序号、时间戳和计数器识别重放数据、乱序数据、重复数据和伪造数据；

20、步骤s7、所述神经接口数据经人体组织耦合信道回传至体外端设备；

21、步骤s8、体外端设备基于会话密钥对回传数据进行解密和完整性验证；

22、步骤s9、体外端设备与上位机和医疗服务端执行远端认证，并根据远端认证结果上传、显示、存储和处理神经接口数据；

23、步骤s10、当检测到链路状态异常、认证异常、完整性验证失败和会话超时事件时，触发重新认证和会话密钥更新。

24、进一步的，当体外端设备接收到的回传数据完整性验证失败时，体外端设备丢弃该回传数据，并根据失败次数触发重传、告警、重新认证和会话密钥更新。

25、进一步的，所述远端认证用于验证体外端设备、用户身份、访问权限和数据上传权限，所述远端认证与植入端供传一体化芯片和体外端设备之间的近端双向认证相互独立。

26、本发明采用以上技术方案与现有技术相比，具有以下技术效果：

27、（1）本发明提供的一种体耦合脑机接口安全建链系统及方法，将植入端供传一体化芯片、体外端设备以及上位机和医疗服务端划分为植入端节点、边缘认证节点和应用服务节点，形成适用于体耦合脑机接口场景的分层认证架构，能够对神经接口数据进行加密、完整性校验和消息认证，降低神经数据泄露、篡改、重放和伪造风险。

28、（2）本发明提供的一种体耦合脑机接口安全建链系统及方法，通过植入端供传一体化芯片与体外端设备之间的近端双向认证，根据链路状态异常、认证失败、误码率升高、完整性验证失败与会话超时触发重认证和密钥更新，既验证植入端身份，也验证体外端设备身份，从而降低非法体外端设备接入风险，适合长期植入和长期无线回传场景。

29、（3）本发明提供的一种体耦合脑机接口安全建链系统及方法，将复杂认证管理、远端权限控制和数据处理功能主要放置于体外端设备以及上位机和医疗服务端，植入端仅执行轻量级认证请求验证、认证响应生成、会话密钥派生和数据保护运算，降低植入端功耗和计算负担。

30、（4）本发明提供的一种体耦合脑机接口安全建链系统及方法，将链路状态参数经量化、编码或摘要处理后用于密钥更新触发或会话密钥派生的辅助上下文，使安全建链机制与当前人体组织耦合信道状态相关，提高动态更新能力和抗重放能力。