面向RBC维护机的完整性验证与可信静态度量方法及系统与流程

本发明涉及轨道交通列控系统的安全防护，尤其涉及一种面向rbc维护机的完整性验证与可信静态度量方法及系统。

背景技术：

1、随着信息化和网络技术的深度应用，轨道交通信号系统正朝着智能化、网络化方向发展。无线闭塞中心(rbc)作为ctcs-3级列控系统中负责生成和下发列车移动授权、实现列车安全间隔控制的核心地面设备，其安全稳定运行直接关系到行车安全。随着数字化转型进程的推进，rbc系统尤其是边界设备暴露的攻击面逐渐变大，面临着日益严峻的网络攻击与信息入侵威胁，尤其是来自固件、引导程序等底层组件的恶意篡改、供应链攻击及高级持续性威胁。

2、针对上述安全挑战，当前行业内的主要防护技术方案呈现出一定的局限性。一种典型的主流方案是基于“防火墙+入侵检测+主机加固”的叠加式边界防御体系，其本质上是一种依赖已知威胁特征的被动防御模式。在工控领域的具体实践中，已落地的通用可信防护方案大多仅聚焦于启动阶段的单点浅度量：例如，大唐三门峡电厂在机组控制系统改造中，以可信平台控制模块为硬件信任根，对bios、引导程序、操作系统内核及应用进行逐级度量与验证后执行。中国南方电网有限责任公司在用电采集系统终端接入验证中，也采用了由边缘网关硬件信任根度量操作系统与协议栈完整性，并由调度中心远程验证的机制。针对数据完整性保护，部分研究将分块哈希树应用于工业互联网网关或基于dm-verity技术实现对工控设备固件的防篡改验证。这些方案为工控系统，尤其是电力、能源领域的关键设备，提供了基础的启动安全与数据完整性保护思路。

3、上述现有方案为工控系统尤其是电力、能源领域的关键设备，提供了基础的启动安全与静态数据完整性保护思路，但直接应用于rbc维护机场景时，存在无法适配行业专属安全需求的显著缺陷：首先，防护架构理念被动：现有方案完全依赖边界防御机制，难以有效应对已突破网络边界或是源于系统内部的定向攻击，针对rbc维护机固件、引导程序等底层组件的恶意篡改存在天然的防御盲区，无法建立“主动免疫”式的内生安全能力。其次，可信链路覆盖不全‌：现有通用启动度量方案仅聚焦于局部启动组件的校验，缺乏覆盖“硬件-固件-操作系统-业务应用”的全栈系统级可信根与完整验证链路，针对rbc维护机启动链的深层恶意篡改仍可绕过所有上层防护机制，导致整个系统的可信基础完全失效。最后，‌海量资产度量能力不足‌：rbc维护机在长期运维过程中会生成并存储大量动态增长的日志、配置文件等关键静态资产，现有方案缺乏高效、精细化的针对性静态度量能力，传统以整文件为粒度的校验方式或是无差别通用分块哈希策略，无法适配rbc运维场景下异构海量日志的快速完整性校验需求，更难以在发现篡改后精准定位到具体的异常数据块，无法支撑故障追溯与安全取证工作。

4、因此，现有技术方案无法为rbc维护机构建一个覆盖系统全生命周期、从硬件启动到业务运行、兼顾核心组件与海量运维数据的主动免疫式可信防护体系。亟需一种创新的完整性验证与可信静态度量技术，为rbc维护机构建覆盖系统全生命周期、兼顾核心组件与海量运维数据的主动免疫式可信防护体系。

技术实现思路

1、本发明的目的在于克服现有技术的不足，提供一种面向rbc维护机的完整性验证与可信静态度量方法及系统，旨在建立从硬件启动到业务运行、从系统核心到静态数据的全栈可信链条，实现对rbc维护机启动过程的可信验证以及对海量关键日志资产的精细化完整性保护，从而从根本上提升rbc系统的内生安全能力。

2、为实现上述目的，本发明采用如下技术方案：

3、第一方面，本发明提供一种面向rbc维护机的完整性验证与可信静态度量方法，包括以下步骤：

4、s1，启动可信度量步骤：以基于tpcm（tpcm，trusted platform control module可信平台控制模块）的可信硬件根为信任起点，在所述rbc维护机的启动过程中，执行从硬件固件、引导程序、操作系统内核到核心应用软件的逐级度量与验证后执行，构建并传递覆盖“硬件-固件-操作系统-应用”全栈的系统级可信启动链；

5、s2，静态属性建模步骤：在所述系统级可信启动链建立后，基于预存的初始可信配置基准，将所述rbc维护机待度量的静态安全属性数据，建模为包括物理属性、硬件属性、软件属性与日志以及网络属性这四类的形式化度量对象；

6、s3，单属性可信度量步骤：根据与每类静态安全属性数据预先定义的、功能形式化的静态属性可信度量函数，依次对所述物理属性、硬件属性、软件属性与日志以及网络属性进行独立可信度量，为每类属性生成一个在预定义值域内的具体可信度量结果；

7、s4，综合可信评估步骤：将获得的各类属性的可信度量结果，依据其在总体评估模型中的预定义权重进行加权计算与融合，生成一个综合静态可信度量值，用于量化表征所述rbc维护机在当前时刻的整体静态可信状态。

8、进一步的，所述步骤s1中所述构建并传递系统级可信启动链，具体为：

9、将所述rbc维护机的系统架构在逻辑上划分为彼此隔离且权限分级的三个域：作为信任根源的可信业务域，作为度量验证执行主体的可信验证域，以及作为受保护关键业务承载的列控业务域；

10、通过所述可信验证域中的可信平台控制模块，对所述列控业务域的引导部件和操作系统进行逐级度量，并将度量值与预存储在所述可信业务域中的可信基准值进行比对；

11、仅当度量值与对应的可信基准值匹配一致时，所述可信平台控制模块才授权加载并运行相应的所述引导部件和操作系统，从而将源于可信硬件根的信任逐级、可靠地传递至整个列控业务域。

12、进一步的，所述步骤s2中将所述rbc维护机待度量的静态安全属性划分为物理属性、硬件属性、软件属性与日志、网络属性四类，并为每一类属性构造形式化的度量基准，包括：

13、将所述rbc维护机待度量数据，构造其形式化描述为四元组结构，其中，物理属性形式化为，为物理属性数量，包含处理器温度、设备运行环境温度、电源电压、电流值等；硬件属性形式化为，表示自身信息收集模块与信息计算模块的特征值，表示自身其他硬件的特征值，为硬件属性数量；软件属性与日志中，软件属性形式化为，表示所述rbc维护机操作系统的引导程序特征值，表示所述操作系统内核特征值，到的特征值分别对应核心业务应用模块，到的特征值对应非核心应用模块，为软件属性数量；所述日志子集指代需要对完整性进行度量的各类日志数据，被形式化描述为集合，表示所述rbc维护机操作系统的引导程序相关的日志；表示所述操作系统内核相关的运行日志；到表示依次对应维护机的关键信息收集与相关应用日志、非关键应用日志；网络属性形式化为，是ip地址的特征值，是mac地址的特征值，是节点自身运行的与网络通信相关程序的特征值，为网络属性数量。

14、进一步的，所述度量数据在传输前通过tcm模块进行签名和哈希运算，确保数据在传输过程中的完整性和真实性。在rbc内部，使用安全的总线协议传输度量信息。度量数据存储在主控系统的可信数据库中，并通过哈希校验机制验证数据一致性，利用可信度量平台定期审计度量结果，确保列控系统感知单元的可信状态。

15、进一步的，所述步骤s3中，所述根据与每类静态安全资产对应的、预定义的静态属性可信度量函数，依次对所述物理属性、硬件属性、软件属性与日志、网络属性进行可信度量，包括：

16、上级节点按照自身安全策略，将四元组根据静态属性可信度量函数来度量感知节点的静态属性的可信状态，静态属性可信度量函数应对四元组中的每个静态属性逐一进行度量。因此，节点静态属性的可信度量函数分别表示如下：

17、首先，对于物理属性的多属性综合可信度量，在rbc中，物理状态的异常往往直接反映潜在攻击（如电源注入、干扰等）。因此，在传统度量的基础上，引入时间约束项，用于验证物理数据与上一次度量的时序一致性，的计算过程代表感知节点的物理固有信息属性不能更改，因为该属性作为唯一物理识别特征，如果发生变化说明该节点很可能遭受了攻击，所以所述物理属性的多属性综合度量表达式为，

18、

19、式中，表示rbc维护机物理属性集合整体的最终可信度量结果值‌，取值范围为，结果越接近1，代表整个物理属性集合的可信程度越高；，表示求和运算的索引变量，表示需要度量的‌物理属性的总数量‌；表示第个物理属性‌实际测量得到的特征值；表示第个物理属性预存的‌可信基准特征值（即系统初始化时，在可信状态下记录的标准参考值）；表示仅当当前测量值和可信基准值一致（相等或偏差在允许容差范围内）时，该逻辑项结果为‌1‌，否则结果为‌0‌，用于判断当前物理属性的数值是否符合可信基准要求；表示时序衰减权重系数，用于控制测量时间偏差对可信度结果的惩罚力度：物理属性对时间越敏感，取值越大，时间偏差带来的衰减越快；物理属性对时间不敏感，取值越小，时间偏差带来的衰减越慢，可根据属性类型动态调整；表示第个物理属性进行测量的‌实际采样时间；表示预存可信基准值建立时对应的‌参考时间‌；表示采样时间和基准参考时间的‌绝对时间差‌，用于衡量测量时序的一致性；表示时间偏差对应的‌时序衰减因子‌，时间差越大，衰减因子越小，该属性对整体可信度的贡献越低，用于抵御重放攻击、时间延迟注入等攻击手段。

20、其次，对于硬件属性的多属性综合可信度量，硬件属性形式化为，rbc的关键硬件部分比如信息收集与计算模块的硬件不能进行更换，然而感知节点的非关键部分比如电源等能够进行替换，而且硬件是否可以被更换是由上级节点相应安全机制决定的。考虑rbc具有冗余备份结构（主/从冗余控制单元），因此硬件度量不仅比较特征值一致性，还需验证冗余模块间的同步度，所以所述硬件属性的多属性综合度量表达式为，

21、

22、式中，表示rbc维护机整体硬件属性的最终可信度量结果值‌，取值范围为，越接近1代表整体硬件属性可信程度越高；表示需要进行度量的‌rbc维护机硬件属性全集‌，包含所有关键硬件模块的身份特征、冗余模块同步状态信息；表示rbc维护机核心主控硬件模块实际测量得到的特征值；表示核心主控硬件模块预存的‌可信基准特征值‌，为系统初始化时在可信状态下记录的参考值；表示逻辑与运算，‌仅当核心主控硬件的测量值与基准值一致时结果为1，否则为0‌，核心主控作为硬件信任根，若该检查不通过，整个硬件属性直接判定为不可信；，表示求和运算的索引变量,代表当前计算的是第个非核心关键硬件模块，从1遍历到总数量，表示需要度量的‌其余关键硬件模块的总数量‌；表示第个硬件模块‌实际测量得到的特征值‌；表示第个硬件模块预存的‌可信基准特征值‌；‌为逻辑与运算，仅当当前硬件模块的测量值和基准值一致时结果为‌1‌，否则结果为‌0‌，用于判断硬件模块身份是否被篡改替换；表示第个硬件模块‌同步状态容差系数‌，用于度量主备冗余模块同步参数的一致性；表示第个硬件模块‌实际测量得到的同步参数值；表示第个硬件模块同步参数的‌可信基准值；表示实际同步参数与基准值的绝对偏差，偏差越大对可信度的负面影响越大；表示预设的‌允许最大偏差阈值‌，即该硬件模块同步参数偏差的最大容限；用于结果判断，当相对偏差大于等于1，即）时，容差系数直接取0，代表同步偏差超出允许范围，该硬件模块同步状态不可信；相对偏差越小，结果越接近1，代表同步状态越好。

23、接着，对于软件属性与日志可信度量，包括软件属性可信度量和日志属性可信度量，其中，软件属性形式化为，表示维护机操作系统引导程序，表示操作系统内核，到表示维护机比较重要的信息收集与相关应用，到表示维护机的一些非关键应用；日志属性形式化为，表示所述rbc维护机操作系统的引导程序相关的日志；表示所述操作系统内核相关的运行日志；到表示依次对应维护机的关键信息收集与相关应用日志、非关键应用日志；

24、进一步的，所述软件属性的多属性综合可信度量表达式为，

25、

26、式中，表示rbc维护机整体软件属性的最终可信度量结果值‌，取值范围为，越接近1代表整体软件属性可信程度越高；表示需要进行度量的‌无线闭塞中心维护机软件属性全集；表示需要度量的‌所有软件模块的总数量；表示本次度量中‌底层引导程序实际测量得到的特征值‌；表示底层引导程序预存的‌可信基准特征值‌；为逻辑与运算，仅当引导程序测量值与基准值一致时结果为‌1‌，否则结果为‌0‌，是信任链传递的第一层校验；表示操作系统内核实际测量得到的特征值‌；表示操作系统内核预存的‌可信基准特征值；为逻辑与运算，仅当操作系统内核测量值与基准值一致时结果为‌1‌，否则结果为‌0‌，是信任链传递的第二层校验；表示rbc核心业务程序实际测量得到的特征值；表示rbc核心业务程序预存的‌可信基准特征值‌；为逻辑与运算，仅当rbc核心业务程序测量值与基准值一致时结果为‌1‌，否则结果为‌0‌，是核心业务层的关键校验；当，为从引导层到核心业务层的‌核心强制校验软件模块的总数量；为遍历运算的索引变量，代表当前正在计算的是第个核心强制校验模块，从2遍历到总数量，表示第个核心软件模块实际测量得到的特征值，表示第个核心软件模块预存的‌可信基准特征值‌；为连乘运算，代表对所有核心强制校验模块的判定结果做逻辑与；‌仅当所有核心模块全部校验通过，乘积结果为1，否则乘积结果为0‌，实现了“核心模块任意一个不可信则整体软件不可信”的安全要求；当，为遍历运算的索引变量，代表当前正在计算的是第个非核心软件模块，从非核心模块总数遍历到总模块数；表示第个非核心软件模块实际测量得到的特征值，表示第个非核心软件模块预存的‌可信基准特征值‌；表示对所有非核心模块的校验结果求算术平均值，结果为非核心模块的平均可信度，取值范围仍为，平均值越接近1代表非核心模块整体可信程度越高。进一步的，对所述软件属性与日志中的日志文件进行度量的步骤包括采用自适应分块分层哈希静态度量机制，具体为：

27、‌分块步骤‌：根据待度量日志文件的类型特征，采用与该类型对应的分块策略，将日志文件划分为若干数据块；所述分块策略包括基于固定时间窗口或固定条目数的文本日志分块策略，以及基于固定数据大小并辅以关键会话标识信息记录的网络抓包日志分块策略；

28、‌哈希构建步骤‌：计算每个所述数据块的哈希值作为叶子节点，自底向上逐层聚合，构建覆盖单个日志文件的文件级分层哈希树，并得到该文件的文件级根哈希；进一步将属于同一日志类型的多个文件级根哈希进行聚合，得到类型级聚合哈希；最终，将所有类型级聚合哈希进行聚合，生成表征所述rbc维护机全部日志数据整体完整性的全局静态日志完整性基线值；

29、‌完整性校验与溯源步骤‌：将当前计算得到的所述全局静态日志完整性基线值与预存的可信基准值进行比较，若不一致，则判定日志完整性遭受破坏，并沿所述分层哈希树的结构向上回溯和向下定位，确定被篡改的具体日志文件以及该文件内被篡改的特定数据块。

30、最后，对于网络属性的多属性综合可信度量，根据列控系统维护机的网络属性形式化进行度量，令函数表示将对列控的相关网络进程可信度量，rbc通信具有广播与多节点协同特性，因此引入广播一致性度量项，用于判断rbc网络状态在集群中的一致性，则网络属性的多属性综合可信度量表达式为，

31、

32、式中，表示rbc维护机整体网络属性的最终可信度量结果值‌，取值范围为，越接近1代表整体网络属性可信程度越高；表示需要进行度量的‌rbc维护机网络属性全集；是ip地址的特征值，即网络地址配置参数；表示网络地址配置参数预存的‌可信基准值；是mac地址的特征值，即网络访问权限参数；表示网络访问权限参数预存的‌可信基准值‌；为逻辑与运算，仅当当前网络地址配置与基准值一致时结果为‌1‌，否则为‌0‌，是网络属性第一层基础校验；为逻辑与运算，仅当当前访问权限配置与基准值一致时结果为‌1‌，否则为‌0‌，是网络属性第二层权限校验，基础配置和权限任意一项不通过，整体网络属性直接判定为不可信；，为求和运算的索引变量，代表当前正在计算的是第个网络会话，从1遍历到总会话数，为需要评估的‌历史网络连接会话的总数量；为第个历史网络连接会；为第个网络会话的异常日志可信度惩罚因子，取值范围为，异常日志越多，惩罚因子越小，可信度越低；代表‌本次统计周期的总时长；为本次统计周期内网络链路故障的总时长‌；为设计允许的单次链路故障最大时长‌，是预设的阈值参数；为网络链路可用性修正系数，用于衡量统计周期内网络链路的整体可用性：链路故障总时长越长，修正系数越小，可信度越低；若，修正系数小于等于0，代表网络整体可用性不可接受；为第个网络会话中，单条异常日志的标记值：若该条日志为异常日志，则；若为正常日志，则；为对第个网络会话的所有日志，累加异常日志的总数量；为第个网络会话中，‌日志总条数；为计算第个网络会话的异常日志占比，占比越高，对可信度的惩罚越大。

33、进一步的，所述步骤s4中，将所述属性可信度量步骤中获得的各属性可信度量值，根据其在评估中的权重进行加权计算，得到代表所述无线闭塞中心维护机整体静态可信状态的综合静态可信度量值，包括：

34、将上述步骤s3中得到的、、和的每个可信度量函数描述，分别经过可信度量可得到每一维静态属性分量的信任度。所以，最终列控系统维护机静态属性可信度量函数的计算表达式为，

35、

36、式中，、、和分别为对所述物理属性、硬件属性、软件属性及网络属性进行可信度量后得到的结果值；分别表示、、和对应的预定义权重系数。

37、进一步的，所述方法还包括：

38、安全处置与上报步骤：通过所述可信平台控制模块，对所述单属性可信度量步骤中产生的各属性可信度量值、所述综合可信评估步骤中产生的综合静态可信度量值，以及相关的属性基准信息，进行密码学签名与完整性校验；将签名与校验后的度量数据与评估结果与可信白名单和度量基准库进行比对，并通过安全通信协议传输至上级管理节点或列控系统安全管理中心，以进行集中存储、审计分析与可视化展示。

39、进一步的，所述将签名与校验后的度量数据与评估结果与可信白名单和度量基准库进行比对中，若比对结果与可信白名单和度量基准库匹配，则判定rbc维护机当前静态属性为可信状态，系统正常允许启动或继续运行。若比对发现完整性异常，依托四元属性绑定关系快速定位到异常所属的属性类别，结合分块哈希树结构进一步精准定位到具体异常模块、被篡改的日志文件，甚至文件内对应的异常数据块范围，大幅提升安全事件调查效率。将度量结果与异常定位信息上报至安全管理组件或上级安全管理中心，结合日志类型、时间范围和运维场景，针对性触发对应响应措施：根据异常等级执行告警、审计标记、取证保护操作；当检测到系统可信性受到破坏后第一时间发出警报，对于高风险非可信状态，可按照预设机制中断故障节点与其他节点的通信、切断控制信号通路，防范恶意攻击影响范围扩大。完成异常处置后，系统重新采集全维度静态属性，生成新的可信度量值存入可信平台签名存储，更新周期校验的基准状态，持续迭代保障系统运行期间的连续可信状态，形成“基线建立—静态度量—异常比对—定位响应”的完整防护闭环。

40、第二方面，本发明提供一种面向rbc维护机的完整性验证与可信静态度量系统，用于实现上述一种面向rbc维护机的完整性验证与可信静态度量方法，所述系统集成于所述rbc维护机内部，并按照功能与安全隔离划分为三个域：‌

41、可信业务域，其包含可信硬件平台，用于生成并安全存储系统启动与度量的信任根及各类可信基准值；

42、可信验证域，其包含可信平台控制模块、引导部件及可信软件基，配置为基于所述信任根，逐级度量并验证从硬件到应用的启动链路，构建并管理从所述可信业务域至列控业务域的系统级可信启动链；

43、列控业务域，其为运行rbc维护机核心业务软件的执行环境，并部署有：

44、可信度量代理模块，用于在系统级可信启动链完成构建后，完成待度量静态安全资产的分类建模、各属性的独立可信度量计算，以及最终整体可信状态的加权融合评估；

45、安全管理通信模块，用于将经所述可信平台控制模块签名和完整性校验后的度量数据与评估结果进行比对，安全传输至外部安全管理节点。

46、进一步的，所述可信度量代理模块包括日志静态度量子单元，所述日志静态度量子单元被配置为：根据日志文件类型执行差异化分块处理；对不同类型日志分别采用对应分块策略后，计算每个日志数据块的哈希值，并基于分层哈希结构生成全局静态日志完整性基线值；将所述全局静态日志完整性基线值与预存基准值比对，在基线值不一致时回溯定位被篡改的具体日志数据块，并输出定位信息。

47、与现有技术相比，本发明的有益效果为：

48、1、本发明构建了覆盖无线闭塞中心维护机从硬件到应用的完整系统级信任链，以可信平台控制模块的可信根为起点实现逐级度量，确保维护机整个启动运行过程都建立在可信环境之上，从根源上提升了系统安全性。

49、2、本发明将静态安全资产划分为物理属性、硬件属性、软件属性与日志、网络属性四个维度，并分别设计了针对性的可信度量函数，实现了全维度、精细化的综合可信评估，相比传统单一维度的度量方法，能够更全面地发现各类静态资产的异常。

50、3、本发明针对维护机产生的多类型日志，提出了自适应分块分层哈希静态度量机制，能够根据不同类型日志的存储特征采用差异化分块策略，通过分层哈希树实现全局基线校验与局部篡改精确定位，解决了传统整文件哈希校验效率低、无法定位篡改位置的问题，同时支持通过元数据实现快速溯源取证，实用性更强。

51、4、本发明引入了物理属性的时序衰减权重机制，能够根据不同物理参数对时间敏感性的差异动态调整权重，有效抵御了时间延迟攻击与重放攻击，提升了物理属性度量的安全性。

52、5、本发明针对无线闭塞中心维护机主备硬件冗余架构的特点，在硬件属性度量中加入了主备冗余模块同步状态校验，能够及时发现硬件配置篡改与同步异常，符合轨道交通信号系统高可靠性要求。

53、本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所指出的结构来实现和获得。