嵌入式系统安全与可信技术发展趋势

Development Trend of Security and Trusted Technologies for Embedded Systems

摘要: 作为信息世界与物理世界的桥梁，嵌入式系统发展呈现出网络化、智能化、协同化发展特征与趋势，其安全、可信问题日益突出。首先分析、讨论了面向嵌入式系统的安全、可信计算体系与技术。进而，重点从国内与国外、学术与技术、可信本体与计算架构等多个维度，对增强、提升嵌入式系统安全、可信性的相关理论与技术进展进行了梳理、分析与对照。

Abstract: As a bridge between the information world and the physical world, embedded systems are evolving toward greater connectivity, intelligence, and coordination, and their security and trustworthiness issues have become increasingly prominent. This paper first analyzes and discusses security and trusted computing frameworks and technologies tailored for embedded systems. It then systematically reviews, compares, and critically analyzes theoretical and technological advances for enhancing the security and trustworthiness of embedded systems from multiple perspectives—domestic and international, academic and industrial, and with respect to trust ontologies and computing architectures.

1. 引言

如我们所知，嵌入式系统日益广泛应用于工业控制、智能家居、医疗设备、航空航天、智能交通等诸多领域。同时，随着与物联网、人工智能等新兴技术的快速融合，嵌入式系统应用场景和规模不断扩大且日益呈现出突出的网络化、智能化、分布化、复杂化发展趋势，其安全性问题随之而来也日益突出。鉴于嵌入式系统连接信息、物理/社会的跨域融合特性，一旦在信息域遭受攻击或是计算系统出现故障，其信息域中产生的安全问题更会通过装备(如车辆、电力等实体)传递、放大到物理世界，产生危及生命财产安全乃至国家社会稳定的灾难性后果。

近年来，其已成为学术界和工业界关注的焦点[1]。据WISE统计，2023年全球嵌入式安全市场规模为49.7亿美元，预计到2032年将达到94亿美元，2025~2032年的复合年增长率为7.32% [2]。根据QYResearch预测，2030年全球可信计算芯片市场销售额预计将达到22.9亿元，年复合增长率为5.2% (2024~2030) [3]。

2. 嵌入式系统可信体系分析

图1所示为面向嵌入式系统的可信技术体系。该体系构建了一个从底层硬件根基到上层应用安全的垂直信任链条。其基础始于最下层的可信根，该层内置了加密引擎和白名单管理等核心安全功能；在此之上构建可信硬件层，集成了量子安全引擎或PUF等物理级安全防护机制；向上延伸至虚拟化与分区隔离层，通过可信的虚拟机监视器(VMM)启动和管理机制，确保不同计算环境之间的严格隔离；进一步加固可信系统软件层，包含安全的BootLoader引导程序等组件，为上层运行提供可信软件基础；最终抵达顶层的应用安全层，实施如应用白名单等机制，保障具体应用程序的可信执行。在整个可信技术体系中，可信开发部署工具涵盖从可信根到软件层面，提供安全的开发框架与工具链，确保所有组件在开发阶段即内嵌安全能力，并在部署时按预期运行。可信升级依赖可信根存储版本元数据，并在升级后验证新组件的完整性，保障系统可持续演进，避免升级成为安全突破口。而可信启动则是自下而上逐步构建的，可确保系统从启动伊始即处于已知可信状态，抵御Bootkit等底层攻击。可信运行是在系统启动完成后，通过技术手段保障系统在持续运行过程中始终处于安全可信状态的动态防护机制。

基于TPM芯片内置加密引擎实现关键数据加密防护，通过系统/应用软件哈希值校验及权限管理机制，在启动或运行前完成软件完整性验证，例如操作系统内核哈希比对机制，以此构建计算环境初始信任源，确保仅合法未篡改软件及操作被允许执行，为系统可信运行奠定基础[4] [5]。可信硬件借助量子密钥分发与PUF安全引擎，前者实现通信加密，后者通过设备唯一身份识别抵御物理层攻击与仿冒，同时依托手机启动时系统镜像验证等安全引导机制，保障硬件启动过程中加载软件的完整性，有效解决硬件层面加密通信、身份认证及启动安全问题，提升物理层抗攻击能力。虚拟化与分区隔离通过VMware ESXi等VMM可信启动机制，完成虚拟机监控程序完整性验证以保障启动安全，并实施云计算平台租户虚拟机资源隔离等可信管理措施，阻断恶意攻击与数据泄露的跨虚拟机传播路径，在多业务多用户场景下实现资源隔离与环境可信，确保虚拟化实体的独立性与安全性。可信系统软件层通过应用分区技术，实现功能模块安全隔离以阻断故障与攻击扩散链，同时依托安卓SELinux强制访问控制等安全内核机制，限制应用对系统资源的越权访问行为，全面强化应用隔离与内核安全，提升系统整体稳定性与防御能力。应用层安全体系采用企业MDM办公APP白名单审核机制，从源头限制非法应用运行，结合TLS加密交易数据传输等安全通信技术，构建覆盖访问控制、通信安全与新兴技术防御的立体防护网，直接保障用户业务操作的可信性与数据安全。

Figure 1. Architecture of trusted technology for embedded systems

图1. 面向嵌入式系统的可信技术体系

以上策略为嵌入式系统安全提供了较为全面的保障，然而，现有的嵌入式系统安全解决方案仍面临诸多挑战。(1) 硬件安全机制虽然能够提供底层保障，但在面对复杂的攻击手段时，仍存在被绕过的风险。(2) 软件层面的安全措施如实时操作系统和微服务架构虽然增强了系统的灵活性和可靠性，但其复杂性也带来了新的安全漏洞和管理难度。(3) 工具链虽然在开发效率和代码质量方面发挥了重要作用，但在安全漏洞检测和修复方面仍存在不足。(4) AI时代，复杂神经网络模型的不可解释性为嵌入式设备带来新的安全隐患，如代码篡改难以追溯等。(5) 5G、边缘计算等新兴技术与嵌入式系统的融合，可能带来新的安全需求，如终端设备数量与攻击面的扩大、数据隐私保护、边缘计算中的数据完整性和一致性等等。为此，在可信3.0的基础上，面向嵌入式系统日益呈现的云–边–端协同形态，进一步融合多端协同、零信任和保密计算的新一代计算架构进化出新的可信4.0计算体系。其特质在于，强调在多云–边–端融合环境中，通过硬件隔离、持续认证、动态策略和去中心化信任等手段，实现跨域、全生命周期、分级渐进的安全可信保障。

3. 国内研究现状

近年来，随着相关政策、项目的不断推进落地，对国内嵌入式系统安全发展起到了不可忽略的积极作用。由北京航空航天大学牵头，联合复旦大学、中山大学等多家单位协同攻关，旨在突破国内嵌入式智能计算软件关键技术，推动国产化智能芯片软件栈的持续完善，支持国产智能芯片生态建设[6]。由北京和利时系统工程有限公司、中国科学院沈阳自动化研究所联合承担的国家“十二五”863计划课题，针对工业测控系统的信息安全防护需求，突破可编程嵌入式电子设备开发与运行阶段的安全防护关键技术[7]。由华东师范大学牵头，与中国航发商发、中航工业615所、航天五院502所等单位合作，开发高安全嵌入式控制软件开发方法和支撑工具，成功应用于航空发动机控制软件研制、机载航空电子系统研制以及“嫦娥五号”探测器软件开发等重要任务[8]。此外，工业界也有一批嵌入式可信相关的军用、民用产品落地。2024年华北工控研发的国产化可信嵌入式主板，集成系统级安全机制(密码加速引擎、抗物理攻击)，适配统信UOS、银河麒麟等国产操作系统亮相军博会[9]。同年，国民技术研发并推出第四代可信计算芯片NS350系列，支持SM2/SM3/SM4国密算法，兼容TPM 2.0，通过商用密码认证，适用于工业计算和嵌入式系统[10]。

Figure 2. A trusted embedded platform developed by the authors’ team on a domestically-developed software-hardware stack

图2. 作者团队基于国产软硬件技术栈研制的可信嵌入式平台

针对嵌入式设备的安全启动需求，Zhao等人[11]设计了一种轻量级的基于安全模块的可信启动方法，通过在嵌入式设备启动前验证预设信息，确保设备按照预定方式启动，并利用安全模块对启动过程中的数据完整性进行度量，从而实现可信嵌入式系统。为保证电力系统嵌入式装置能够安全可信启动，张翔等人[12]提出了一种基于可信平台控制模块(TPCM)的轻量型可信启动方法。Liu等人[13]提出了一种将区块链的链上信任扩展到链下物理世界的框架，以可信疫苗追溯为例进行了实现，包含基于可信执行环境(TEE)的可信环境监测系统和一致性协议两部分。Ma等人[14]从高可信嵌入式系统、人工智能嵌入式模型、智能芯片嵌入式操作系统三个方面展开，通过将区块链共识机制与特定方法结合来提升系统性能，设计异构计算平台和混合嵌入式训练系统，利用智能芯片增强功能并完成相关硬件设计。在基于量子计算的加密方法上，Yu等人[15]研究了部分可信中继量子密钥分发(QKD)网络中的密钥分发路由问题，提出了一种基于协作路由的秘密密钥分发(SKP-CR)算法。Wang等人[16]提出一种面向无TPM嵌入式智能设备的可信启动模型，以解决此类设备的安全启动及系统执行环境可信性问题。在航空航天领域，为了提升机载嵌入式计算机的安全防护能力，杨子怡等人[17]在将可信计算平台引入到机载计算机的基础上，设计并实现了基于机载嵌入式可信计算平台的安全配置管理系统。Yang等人[18]提出基于区块链的BC-UTSON机制，通过U-PBFT共识、BMWSL信任评估和TPDR可信路由技术，构建无人机群可信自组织网络以抵御内部恶意攻击并提升安全性。此外，基于可信3.0思想，作者团队面向特种装备可信需求，基于“自主可信根 + 龙芯 + 昆仑固件 + SylixOS”的全自主技术栈，研究并设计了一种基于双芯片架构的可信执行环境，实现了可信启动、可信加载、可信运行、可信升级等核心能力，如图2所示。针对嵌入式系统混合部署与功能安全需求，何瑞琦等人[19]提出DHR-OS架构，在多核CPU上以Linux为主系统、动态部署RTOS从系统，利用OpenAMP实现通信及驱动复用、RPC调用、中断路由等协同机制；设计调度–分发–裁决一体的安全执行机制，通过Linux池化RTOS核心、加权投票共识算法裁决任务结果。基于飞腾D2000的测试表明，该架构在差模/多模攻击下可靠性高，为嵌入式系统提供了兼具灵活性与抗攻击性的新方案。吉晨等人[20]提出基于轻量级虚拟化环境的可信多级安全容器机制，划分系统安全域并制定多级安全策略规则，通过形式化方法证明其安全性，利用联合文件系统技术和以Docker为代表的容器技术说明技术可行性，从来源和运行两方面保证可信性，可改善传统多级安全机制实用性差的问题。

4. 国外研究现状

STMicroelectronics于2023年9月推出了一款新的安全微控制器，具备高级加密和认证功能，可有效保护物联网设备的安全[21]。一年后，该公司基于零信任安全模型，推出STM32L5系列MCU，支持安全启动、硬件加密，功耗低至33 nA [22]。Infineon Technologies AG在2023年2月推出了SECORA Connect产品组合，包含小型芯片，适用于多种嵌入式设备[23]。此外，英特尔的Gaudi 3 AI加速器、至强6处理器液冷方案、酷睿Ultra系列均支持硬件级隔离(鲲鹏TEE)、机密计算[24]。

Bognar等人[25]以SancusV和VRASED系统为例，讨论了在嵌入式可信执行架构中，形式化方法证明的安全性与实际系统安全性之间的差距。Aaraj等人[26]研究了在资源受限的嵌入式系统中实现TPM的硬件/软件协同设计，提出了一种基于软件的TPM (SW-TPM)实现方案，通过在嵌入式处理器上执行受保护的代码域来实现TPM功能。Fedorov等人[27]提出了一种基于隐藏软件代理和隐写术的方法，用于构建可信环境并保护信息系统免受内部攻击。在医疗设备的嵌入式系统可信认证方面，Gebreab等人[28]提出了一种基于非同质化代币(NFT)的解决方案，用于确保翻新医疗器械的可信追溯和认证。该方案利用动态可组合的NFT作为医疗器械及其翻新过程的数字表示，通过将替换部件和认证文件嵌入到父子NFT层次结构中，并通过动态令牌的演变记录翻新步骤，从而实现对翻新医疗器械的认证、追踪和所有权管理。在新一代量子计算方面，Trochatos等人[29]提出了一种量子计算机可信执行环境(QC-TEE)的硬件架构，旨在保护用户量子电路和数据免受诚实但好奇的云服务提供商的窥探。该架构通过在用户端软件添加诱饵控制脉冲混淆真实量子门操作，在量子计算机端的稀释制冷机内使用简单的RF开关衰减诱饵脉冲，并由硬件安全管理器控制开关。Phalak等人[30]提出两种量子物理不可克隆函数(QuPUF)，以解决嵌入式设备量子计算中基于云平台的量子硬件安全与信任问题。面对AI时代对嵌入式系统安全冲击，Seng等人[31]围绕嵌入式智能(EI)展开全面研究，指出其在安全、隐私和信任方面存在显著挑战，EI服务器加速器和边缘设备在安全需求上可能存在差异。基于人工智能物联网(AIoT)的概念，Alkhoori等人[32]讨论了AI决策与物联网设备结合的安全性挑战，被篡改的深度学习算法可能会操控AIoT的运行，进而威胁到整个系统的安全态势。此外，由于设备间持续进行通信和数据共享，保护这些信息免受泄露、篡改或中断至关重要。Raja等人[33]提出Secured UAV模型，以UAV位置为输入、借助集中控制器形成无线网状网络，利用A*搜索算法实现高效通信，并运用高级加密标准和Blowfish等加密技术及安全认证机制，保障多无人机通信的可信性与安全性，有效应对各类安全攻击。Nawshin等人[34]提出DP-RFECV-FNN方法，将差分隐私与前馈神经网络结合，用于安卓恶意软件检测，遵循零信任安全模型对应用严格验证，在保障用户数据隐私的同时实现对已知和新型恶意软件的准确检测。Holmes等人[35]提出了SEVeriFast，一种针对AMD SEV微虚拟机的新型引导方案，其通过引入最小引导验证器、利用内核压缩减少测量开销、优化预加密等方式，在保证通过硬件强制信任根建立信任、借助测量直接启动和远程认证确保VM初始化完整性的前提下，将SEV VM冷启动性能提升86%~93%。

5. 国内外研究现状对比

通过对国内外研究现状的系统性梳理可知，国内研究以国家重大科技专项为牵引，聚焦自主可控技术体系构建，重点开展国产操作系统与国密算法的适配应用研究。在研究模式上，强调高校与军工、航天等单位的产学研协同，围绕高安全等级嵌入式软件开发、可信启动机制、双芯片异构架构等关键技术展开攻关，研究成果直接服务于国防安全与关键信息基础设施建设。国外研究则呈现企业主导的技术创新特征，侧重集成硬件级安全模块的系统性解决方案研发，致力于构建零信任安全模型。其研究热点集中于形式化方法验证、量子计算可信执行环境架构设计、区块链技术与物联网融合应用等领域，注重技术创新与产业应用的深度耦合。

综合调研显示，当前国内外研究均在量子安全技术体系、人工智能与嵌入式系统安全融合、硬件可信根技术以及零信任安全架构等方向加速战略布局，体现出技术交叉融合与场景化应用的显著趋势。

6. 发展趋势与展望

从国内外研究动态来看，嵌入式可信安全领域正呈现技术深度融合与场景化需求驱动的发展趋势。在技术层面，量子安全技术(如量子密钥分发、量子可信执行环境)与传统可信计算体系加速融合，推动国密算法体系向量子抗毁方向升级；AI与区块链技术赋能嵌入式可信架构，通过联邦学习实现设备间安全协同与未知攻击检测，基于区块链的链上链下信任传递机制(如可信疫苗追溯、无人机群自组织网络认证)逐步落地；硬件级可信根(国产可信计算芯片、集成安全模块的MCU)与轻量级软件可信链深度协同，结合形式化验证方法构建资源受限环境下的全栈可信执行环境，成为高安全嵌入式系统(如航空发动机控制软件、工业测控设备)的核心支撑。在应用层面，边缘计算与物联网的泛在化催生轻量化可信认证需求，无人机群、智能医疗设备等场景推动分布式信任架构研发；国防军工、航天装备领域则加速自主可控可信技术栈的生态构建，聚焦异构架构、可信启动机制等关键技术的工程化应用。

展望未来，嵌入式可信安全研究一方面需突破国产软硬件协同优化瓶颈，建立从芯片级可信根到应用级可信开发部署工具的全流程体系，完善适应高安全场景的可信技术标准；在另一方面，针对量子计算威胁、资源受限设备安全效率平衡等挑战，需加强跨学科交叉创新，推动零信任模型与动态信任评估技术的轻量化改造，构建覆盖设备启动、运行、交互全生命周期的嵌入式可信安全体系，为国防安全、关键基础设施等领域提供坚实的可信保障。