信息物理系统（Cyber－Physical Systems，CPS）的反击实例使控制系统安全性问题日益受到重视。本文通过讲解实验顺利的反击模型，分析了现有系统不存在的安全隐患，并重点讲解了对控制系统反击的检测与识别、弹性状态估算器及控制器等方向的研究进展。

在此基础之上明确提出了未来的研究方向。章节信息物理系统（Cyber－Physical Systems，CPS）是一个综合计算出来、网络和物理环境的简单系统，通过计算出来、通信和控制技术融合与协作，构建大型工程系统的动态感官、动态控制和一体化设计，使系统更为可信、高效、动态协同，具备最重要而普遍的应用于前景。信息物理系统的分布式特点为物理系统带给了风险集中、不易拓展与易确保等益处；但与此同时，又使信息、控制系统安全性（Security）方面的隐患更容易拓展，进而影响整个物理系统，尤其是确保人们日常生活的基础设施系统，如供电、供水、石油运输、交通运输等系统，以及与人们生命安全有密切联系的系统，如自动驾驶车、智能医疗设备等。

一旦这些系统受到外界的蓄意反击，其导致的损失将不能估算。基础设施无法长时间运营不会导致大量的经济损失也不会给居民的生活带给不便，而自动驾驶车、智能医疗设备在被反击情况下继续执行的错误运营指令甚至不会威胁使用者的生命安全。因此，从信息物理系统融合的特点抵达，减少控制系统被反击的可能性及考虑到潜在的反击风险的控制系统设计是信息物理系统亟待解决的问题。

2000年，澳大利亚昆士兰的Maroochy的无线电通讯设备遭反击，造成污水大规模外泄［1］；2010年，伊朗布什尔核电站遭Stuxnet（“震网”）的反击［2］。这些事件的再次发生使得控制系统的安全性问题受到了普遍注目。作为一个新兴的研究领域，从理论上分析攻击模型，到仿真针对特定系统的反击实验；从理论分析系统在有所不同反击模型下的稳定性，到根据特定控制器设计展开的实验，硬件系统、掌控理论、计算机软件等多领域的科研工作者展开了有所不同层面的研究与合作。

本文主要列出了掌控理论与工程方向的几个科研团队在理论与实验方面的工作，并明确提出几个未来研究方向的设想。信息物理系统（CPS）的反击模型控制系统安全性的研究必不可少对反击模型及现实中反击方法的探寻，根据有所不同攻击方式的特点明确提出适当的系统性防治及解决方案。对于信息物理系统的反击可以针对系统的有所不同层面及组成部分，如从系统的硬件层上展开结构改动以超过改动硬件功能的目的，此外还有物理部件如传感器、执行器的必要毁坏，通讯层的监听及数据伪造，控制器代码的改动等问题。

其中，必要针对物理系统的反击和针对通讯层面的反击有可能产生等效的毁坏结果。例如，分布式掌控的传感器网络（如分布式掌控的智能电网系统），其网络结构简单、节点数量大，当一些节点遭物理性毁坏或截断了与其他部分的通讯后，由于缺乏适当的测量信息，对电力系统的状态估计误差不会减少。无论是必要对传感器物理层面展开的反击还是通过通信过程对测量数据的改动，都归属于具备一定系统模型科学知识的反击，它不同于一般的系统故障或环境阻碍，这类反击需要精妙利用系统的模型科学知识，通过错误检测系统的反击，从而在不知不觉中使状态估算器的误差渐渐背离准确值，进而使物理系统功能中断［14］。这对于大规模网络控制系统是极为危险性的。

大规模的信息物理系统如智能电网，不便于展开反击模型的实验检测，但一些单机系统如车辆、游轮等，为科研工作者获取了实际可检测的实验系统。美国华盛顿大学的安全控制课题组设计了关于车辆的传感器、控制器、执行器，作为可攻击性实验平台，如图1（a）右图。实验指出，现有的未考虑到控制系统有可能受到反击的车辆控制系统设计并无法符合安全性性能的拒绝［3］。

2013年，德州大学奥斯汀分校的GPS技术研究团队通过自主设计的价值2000美元的硬件，向导航系统传送欺诈的GPS信号，造成一辆游艇背离预计航线［4］，这将十年前关于反击GPS系统的理论［5］变为了现实，并证明了不加密的民用GPS系统被反击的可行性。被反击后的游艇的控制器如图1（b）右图。图1展开信息物理系统反击模型实验的平台举例这些对于现有系统展开的可攻击性实验指出，控制系统安全性问题并某种程度不存在于理论层面，在日常生活中也可能会遇上。随着自动驾驶车、智能可穿着设备、智能医疗器件等更加多的信息物理系统及其网络而出的简单系统的发展和用于，在经常出现反击实例后才考虑到控制系统的安全性已相比之下无法符合人们的市场需求。

科研工作者早已认识到了这一问题的重要性，并从控制系统设计的初始就开始考虑到整个系统今后有可能面对的各种反击及安全隐患，以尽快检测反击及系统的运营错误，及时号召受到反击环境下的弹性控制不道德，尽可能保证整个系统的安全性。确保控制系统安全性的方法设计安全性的控制系统主要牵涉到两个层面的挑战。第一个层面是设计需要针对控制系统环境的反击，如对传感器、控制器、通信层反击的弹性控制系统结构和机制。第二个层面是确保分解控制算法的代码过程的安全性，即确保控制系统的代码本身不被伪造，使所设计的各项功能需要准确地被继续执行。

第二个层面的工作主要通过正规方法、形式检验等理论工具来构建。这篇文章主要举例讲解基于第一个层面的近期工作。

3．1对控制系统反击的检测和识别为确保通信内容不被切断、监听、伪造所展开的加密解密方法的研究仍然是信息安全领域的最重要课题。然而对于大规模的传感器网络系统而言，对所有的通信都展开加密不会减少通讯支出，减少整个网络的通信效率，这并不是一个高效简单的方法。因此，只能靠原先的信息安全方法已无法确保当今大大发展、规模日益不断扩大的控制系统的安全性。

针对信息物理系统的融合性特点，设计新的错误识别、弹性状态估算器、顾及控制器的优化性能及对反击的检测亲率等方向的研究就沦为了当今的热点课题。在没展开全网的通信加密、系统的传感器和执行器网络有可能被选择性反击的情况下，对于线性时恒定系统这一控制系统最基本模型的错误检测和被反击部分的识别是创建在系统的可观测性和可控性基础之上［9］。设计弹性的状态估算器，可以确保在合乎特定数量的测量传感器信息准确的情况下，状态估算的误差大于预期阈值；减少关键节点的校验传感器，使状态估算器在部分节点被毁坏或通信被截断的情况下，依然有充足的测量信息来展开计算出来，并将状态估计值获取给控制器以计算出来适当的掌控命令［6］。

本文来源：中欧体育·(中国)zoty-www.blwebd.com