CN112817819B - 边缘安全节点对云上部署运行程序进行逻辑监视的方法 - Google Patents

Abstract

本发明提供了一种边缘安全节点对云上部署运行程序进行逻辑监视的方法。包括：在云计算设备上列控应用区域块中部署的云上部署运行程序的各个关键分支上设置加密程序运行签名，不同关键分支设置不同的加密程序运行签名，在程序运行的过程中，云计算设备将各个关键分支对应的加密程序运行签名发送给边缘安全节点，边缘安全节点解密并检查接收到的加密程序运行签名是否正确，如果正确，则判断云计算设备上列控应用区域块运行正常；否则，判断云计算设备上列控应用区域块运行异常，启动相应的安全反应。本发明的方法能够实现边缘安全节点对云上部署运行的程序进行逻辑监视的目的。

Description

边缘安全节点对云上部署运行程序进行逻辑监视的方法

技术领域

本发明涉及轨道交通运行控制技术领域，尤其涉及一种边缘安全节点对云上部署运行程序进行逻辑监视的方法。

背景技术

轨道交通作为国家经济发展的命脉，随着新一代产业变革的发展，以云计算、互联网、大数据、物联网、新能源、人工智能等为代表的新兴技术与轨道交通加速深度融合，高速化、智能化、互联互通将成为新一代轨道交通系统的发展方向。

云计算提供一种按需提供动态伸缩的廉价服务。具备海量存储能力，空间无限，资源灵活，能够减少设备数量，节约成本。具有强大的计算能力，能提高现有的计算使用率。其可扩展性强，能够根据用户的需求对规模进行动态扩展或缩小。除此之外，云计算可以具有高可靠性，使用数据多副本容错以及计算节点同构可互换等方法来保证云计算服务的可靠性。将云计算技术应用于轨道交通列控系统乃至轨道交通信号系统是一种技术上的必然。

云计算的软硬件基础都是基于商用现货产品(Commercial Off-The-Shelf，COTS)，是典型的非故障安全计算环境。

在轨道交通列控系统乃至轨道交通信号系统中本地设备和云环境之间设置边缘安全节点，上述本地设备为安全域，包括地面OC(Object Controller,目标控制器)或车载OC等，云环境为非安全域，包括云计算设备等。边缘安全节点起到隔离安全域和非安全域的作用。边缘安全节点为安全设备，既可位于地面，也可位于列车上，其安全完整性等级与既有列控设备一致，满足故障导向安全特性。

云计算作为典型的非故障安全计算环境，其中的控制节点或计算节点分布在广泛的物理位置或不同的虚拟机中，一些安全防御能力比较薄弱的节点很容易被入侵乃至劫持而不再正确执行应该执行的软件功能。这就要求，按照EN50129标准的要求，边缘安全节点需要对云上部署运行的程序进行程序序列监测(Program sequence monitoring)。

根据EN50129标准，程序序列监测包括时间监视(Temporal monitoring)和逻辑监视(Logical monitoring)。时间监视是指周期触发有独立时基(separate time base)的外部计时部件(例如看门狗计时器)以监控计算机行为和程序顺序的合理性，因此在程序中正确地放置触发点(the triggering points)是很重要的。逻辑监视是指单个程序片段的正确顺序通过软件计数流程(software counting procedure)、软件密钥流程(software keyprocedure)或外部监控设备进行监控，因此在程序中正确地放置检查点(the checkingpoints)是很重要的。时间和逻辑监控可以结合使用。例如一个监控程序流程的时间设备当且因当程序片段的顺序也被正确执行才能被重新触发。

目前，现有技术中的典型逻辑监视方法是编码微处理器技术。图1为现有技术中的一种编码微处理器原理示意图。编码微处理器本质在于所有程序变量都要编码，编码的选择应保证源程序的任何偏差都会产生“编码之外(out of code)”字符，它会触发动态控制器，这个最终的控制器基于故障-安全技术设计，在安全苛求输出处关闭电源。在编码微处理器中，保留编码按形式如下：X＝A*x

其中，X是一个编码操作数，x是操作数的未编码值，A是一个随机选择的素数。

简要地说，每个所用变量都要编码，编码是由两部分(X_f,X_c)组成，其中X_f是变量的值部分，32位,X_c是变量的“控制部分”，48位。变量的值和控制部分以不同的方式分开计算，指令集应设计成能够处理输入编码变量和提供编码形式的输出，基本操作库叫做OPELEM，其创建了如何实现安全基本操作的流程。

所使用的编码实际上由紧密混合的四种签名(signature)构成，能检测出以下五类错误，具体描述如下：

1)算数编码。含有素数A的算数编码用于检测计算错误(延迟误差、移位误差等)，变量X的编码(X_f,X_c)是一个编码字，且满足以下等式：

2^kX_f+X_c≡0(模A)，其中，k是一个常整数。

2)数据签名(静态签名)。用于检测寻址错误(操作数寻址错误，操作错误，变量混淆)，每一个变量X与整数Bx相关，叫做签名X，这个签名是叠加在上面提到的算术编码上的，X＝(X_f,X_c)是一个编码字，且满足以下等式：

2^kX_f+X_c≡B_x(模A)，其中k是一个常数。

中间变量和输出的签名由输入签名和所执行的操作决定，此外可以借助签名预测工具来计算出程序所有输出的签名，后者独立于输入值及其执行路径。

3)定时签名(动态签名)。它用来检测错误(无用存储，循环的错误数量等)，每个处理周期或者更一般的循环缺口是由其适当的时间数D来表征的，时间数在每个循环中都是递增的，时间数插在每个变量编码中，编码最后的定义如下：

变量X的编码(X_f,X_c)的时间数D是一个编码字，且满足以下等式：2^kX_f+X_c≡B_x+D(模A)

4)顺序签名。添加一个特殊的全局变量，叫做“追踪变量("Tracer)”，为了防止某些序列或分支的错误，这个追踪变量在每个指令之后都会更新，并且可以通过预测工具计算，追踪变量叠加在包括时间D的签名如下：

2^kX_f+X_c≡B_x+D+Tr(模A)＝Sf(最终签名)

编码微处理器设计了两个故障-安全部件，以确保安全编码计算机故障或检测出故障后，将系统导向安全侧，如图1所示：

1)故障-安全硬件部件(CKDYN)

最终签名Sf送到根据故障-安全技术设计实现的动态控制器CKDYN中。CKDYN从Sf中得到时间信息，然后比较Sf-D和程序的参考签名Sr，这个参考签名是常量，提前由签名预先计算工具预先计算出来，并存储在动态控制器的只读存储器中。如果CKDYN检测到Sf-D与Sr不符，意味着Sf为“编码之外(out of code)”字符，控制器将切断输出的电源。

2)故障-安全软件部件(OPELEM)

安全基本操作OPELEM需要处理编码输入来产生编码输出，并且保持编码特征，这些特征要求输出签名可以预先计算。

考虑到处理编码变量的OPELEM算法，已经证明了安全基本指令集OPELEM检测单一故障的能力。根据错误类型中得到的五种错误模型，失效模式和后果分析方法已经用于分析基本操作。当无法检测到失效组合时，则须评估发生概率，这些组合非常复杂，响应的概率远低于分配给微处理器的目标。

上述现有技术中的基于编码微处理器技术的典型逻辑监视方法的缺点包括：上述的编码微处理器技术，基于特定处理器(早期相对简单处理器，如图1中的68020)的指令集实现，基础是汇编，尽管方法通用，但对于不同微处理器的指令集差异，具体实现过程也会不同，而且需要如图2所示的特定软件工具才能实现。

云计算的软硬件基础都是基于商用现货产品(Commercial Off-The-Shelf，COTS)，其处理器都是异常复杂的现代处理器，指令集也非常复杂，甚至有可能为虚拟处理器和虚拟指令集，编码微处理器技术针对云计算这种COTS软硬件基础和通用安全计算机平台程序、通用轨道交通列控应用程序基本无能为力，即使实现也异常复杂且难于给出完备的安全证据。

发明内容

本发明的实施例提供了一种边缘安全节点对云上部署运行程序进行逻辑监视的方法，以实现对云上部署运行程序进行有效地逻辑监视。

为了实现上述目的，本发明采取了如下技术方案。

一种边缘安全节点对云上部署运行程序进行逻辑监视的方法，包括：

在云计算设备上列控应用区域块中部署的云上部署运行程序的各个关键分支上设置加密程序运行签名，不同关键分支设置不同的加密程序运行签名，所述云上部署运行程序包括安全计算机平台相关程序和轨道交通列车运行控制应用程序；

在程序运行的过程中，所述云计算设备将各个关键分支对应的加密程序运行签名发送给边缘安全节点，所述边缘安全节点解密并检查接收到的加密程序运行签名是否正确，如果正确，则判断所述云计算设备上列控应用区域块运行正常；否则，判断所述云计算设备上列控应用区域块运行异常，启动相应的安全反应。

优选地，所述加密程序运行签名包括基码X_base+偏移码X_offset；

边缘安全节点发送软件流程特征码时，选择基码X_base和偏移码X_offset，分别对基码X_base和偏移码X_offset进行加密，基码X_base变为X_base’，偏移码X_offset变为X_offset’，再将X_base’和X_offset’发送给云计算设备上，云计算设备将X_base’和X_offset’设置在列控应用区域块上云上部署运行程序的各个关键分支上；

云上部署运行程序收到加密基码X_base’和加密偏移码X_offset’后，对基码X_base’和偏移码X_offset’进行约定的加密特定运算，基码X_base’变为(X_base+0)’，偏移码X_offset’变为(X_offset+1)’，再将(X_base+0)’和(X_offset+1)’返回给边缘安全节点；

边缘安全节点对(X_base+0)’和(X_offset+1)’分别进行逆加密特定运算运算后，再进行解密处理，判断解密得到的结果是否与基码X_base和偏移码X_offset+1一致，如果一致，下一周期以X_base和X_offset+1为新的X_base和X_offset分别进行加密后重复上述步骤；如果不一致，说明云计算设备上列控应用区域块运行异常，应启动相应的安全反应。

优选地，所述云上部署运行程序对基码X_base’的约定的加密特定运算包括加密二进制加0运算，对偏移码X_offset’的约定的加密特定运算包括加密二进制加1运算。

优选地，所述方法还包括：

所述边缘安全节点基于安全双方机制实现云上部署运行程序的逻辑监视，具体包括：

将X_base任意分解为X_base1、X_base2，X_base＝X_base1+X_base2；

将X_offset任意分解为X_offset1、X_offset2，X_offset＝X_offset1+X_offset2；

将0分解为X_base位数所对应的两个任意数相加的形式，0＝0_base1+0_base2，将0_base2嵌入云上部署运行程序中；

提前计算好0_base1所对应的加密值1＝E(0_base1)，将加密值1＝E(0_base1)嵌入云上部署运行程序中；

将1分解为X_offset位数所对应的两个任意数相加的形式，1＝1_offset1+1_offset2，将1_offset2嵌入云上部署运行程序中；

提前计算好1_offset1所对应的加密值2＝E(1_offset1)，将加密值2＝E(1_offset1)嵌入云上部署运行程序中；

边缘安全节点发送X_base2和X_offset2给云计算设备上列控应用区域块上的云上部署运行程序；

云上部署运行程序收到边缘安全节点发送的X_base2和X_offset2后，对X_base2执行预订的加密特定运算X_base2+0_base2＝计算结果1，对X_offset2执行预订的加密特定运算X_offset2+1_offset2＝计算结果2；

云上部署运行程序向边缘安全节点发送所述的计算结果1和加密值1，然后向边缘安全节点发送所述的计算结果2和加密值2；

边缘安全节点收到所述的计算结果1和加密值1、计算结果2和加密值2，解密恢复出0_base1＝D(E(0_base1))和1_offset1＝D(E(1_offset1))，继续计算X_base1+0_base1+计算结果1＝X_base1+0_base1+X_base2+0_base2＝X_base，继续计算X_offset1+1_offset1+计算结果2＝X_offset1+1_offset1+X_offset2+1_offset2＝X_offset+1；

边缘安全节点判断X_base和X_offset+1是否正确，如果正确，下一周期以新的X_base和X_offset重复上述步骤；如果不正确，说明云上部署运行程序运行异常。

优选地，所述方法还包括：

所述边缘安全节点基于同态加密机制实现云上部署运行程序的逻辑监视，具体包括：

使用Paillier同态加密完成加法(x+0)和(x+1)同态加密，密钥生成、加密、解密都在边缘安全节点侧；

X_base加密为X_base’的过程：

给定2个大素数p和q，其中n＝pq，λ＝lcm(p-1，q-1)，其中lcm表示求p-1和q-1的最小公倍数，取

且满足

此处gcd表示求L(g^λmodn²)和n的最大公约数，

表示

中与n²互质的整数的集合，这里：

加密公钥K1为(n，g)，私钥K2为(p，q)，随机选取整数

则软件流程特征码基码

加密后的软件流程特征码基码X'_base＝g^mrⁿmodn²，且

记加密算法为X'_base＝E(X_base,r)；

按照上面的处理过程，将0加密为E(0)、1加密为E(1)、X_offset加密为X_offset’；

边缘安全节点发送E(X_base)、E(0)、E(X_offset)和E(1)给云计算设备上列控应用区域块上的云上部署运行程序；

云上部署运行程序计算E(X_base)*E(0)和E(X_offset)*E(1)，将E(X_base)*E(0)和E(X_offset)*(1)计算结果发送给边缘安全节点；

边缘安全节点对接收到的E(X_base)*E(0)和E(X_offset)*(1)进行解密的过程为：

X_base+0＝D(E(X_base)*E(0)),X_offset+1＝D(E(X_offset)*E(1))

边缘安全节点判断X_base和X_offset+1是否正确，如果正确，下一周期以新的X_base和X_offset重复上述步骤；如果不正确，则判断云上部署运行程序运行异常。

优选地，所述的将0分解为X_base位数所对应的两个任意数相加的形式，0＝0_base1+0_base2，包括：0＝X_base位数所对应的2进制最大值/2+X_base位数所对应的2进制最大值/2+2；

所述的将1分解为X_offset位数所对应的两个任意数相加的形式，1＝1_offset1+1_offset2，包括：1＝X_offset位数所对应的2进制最大值/2+1+X_offset位数所对应的2进制最大值/2+2。

由上述本发明的实施例提供的技术方案可以看出，本发明的方法能够实现边缘安全节点对云上部署运行的程序进行逻辑监视的目的。

本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术中的一种编码微处理器原理示意图；

图2为现有技术中的一种编码微处理器软件工具要求示意图；

图3为本发明实施例提供的一种基于安全双方机制实现云上部署运行程序逻辑监视算法原理图；

图4为本发明实施例提供的一种基于同态加密机制实现云上部署运行程序逻辑监视算法原理图。

具体实施方式

下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样定义，不会用理想化或过于正式的含义来解释。

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

本发明实施例提出了故障安全的轨道交通列车运行控制系统结合非故障安全的云计算后，边缘安全节点对云上部署运行的程序进行逻辑监视的方法。本发明总体方案如下：程序运行逻辑监视的实现原理是在程序设计阶段人工给边缘安全节点所控制的每个云计算设备上列控应用区域块中部署运行的安全计算机平台相关程序及其承载的轨道交通列车运行控制应用程序(简称云上部署运行程序)的关键分支上打上动态加密程序运行签名，不同分支打上不同的加密程序运行签名，在程序运行的过程中，这些加密程序运行签名发送给边缘安全节点，边缘安全节点解密并检查这些程序运行签名是否正确，正确说明云上列控应用区域块上程序运行正常，不正确说明云上列控应用区域块异常，应启动相应的安全反应。

1本发明方法的基本原理包括：

1.1动态加密程序运行签名的设置与检查

●首先，在程序设计阶段，对每个云计算设备上列控应用区域块中部署运行的安全计算机平台相关程序及其承载的轨道交通列车运行控制应用程序(简称云上部署运行程序)的每一个关键分支，离线人工编制软件流程特征码，其格式为基码X_base+偏移码X_offset。

●云上部署运行程序的不同关键分支软件流程特征码基码不同，这些软件流程特征码基码之间的汉明距离优选大于2。

●边缘安全节点发送软件流程特征码时，选择正确的基码X_base，偏移码X_offset(初始值为0)，然后分别进行加密，基码变为X_base’，偏移码变为X_offset’，边缘安全节点将X_base’和X_offset’发送给云计算设备上，云计算设备将X_base’和X_offset’设置在列控应用区域块上云上部署运行程序的各个关键分支上。

●再将X_base’和X_offset’发送给云上列控应用区域块部署运行的云上部署运行程序。

●云上部署运行程序收到边缘安全节点发送的加密后的软件流程特征码加密基码X_base’和加密偏移码X_offset’后，对基码X_base’进行加密的特定运算(边缘安全节点已知，提前约定)，优选加密二进制加0运算，对加密偏移码X_offset’进行加密的特定运算(边缘安全节点已知，提前约定)，优选加密二进制加1运算，(X_base+0)’和(X_offset+1)’的结果送回边缘安全节点。

●边缘安全节点对(X_base+0)’和(X_offset+1)’分别进行逆加密特定运算运算后，再进行解密处理，判断解密得到的结果是否与基码X_base和偏移码X_offset+1一致，如果一致，下一周期以X_base和X_offset+1为新的X_base和X_offset分别进行加密后重复上述步骤；如果不正确，说明云上列控应用区域块异常，应启动相应的安全反应。

●所述方法因为加密和解密均在边缘安全节点一侧，云上部署运行程序只执行边缘安全节点已知且提前约定好的加密特定运算，而且偏移码X_offset每个周期都是按约定变化的，能抵抗云端非法入侵或劫持且满足边缘安全节点对云上部署运行程序的逻辑监视要求。

●所述加密和加密的特定运算优选基于安全双方机制或同态加密机制。

●安全双方和同态加密机制可以在不同的云上部署运行程序中实现，从而构成异构模式。

1.2基于安全双方机制实现云上部署运行程序逻辑监视

●将X_base任意分解为X_base1、X_base2，X_base＝X_base1+X_base2

●将X_offset任意分解为X_offset1、X_offset2，X_offset＝X_offset1+X_offset2

图3为本发明实施例提供的一种基于安全双方机制实现云上部署运行程序逻辑监视算法原理图，如图3所示：

●将0分解为X_base位数所对应的两个任意数相加的形式(模2的X_base位数次幂)，即0＝0_base1+0_base2(模2的X_base位数次幂)。例如：X_base位数所对应的2进制最大值/2和位数所对应 的2进制最大值/2+2相加，即0＝X_base位数所对应的2进制最大值/2+X_base位数所对应的2进制 最大值/2+2(模2的X_base位数次幂)。32位情况下，0＝7FFFH+8001H(模2³²＝65536)。

●提前计算好0_base1所对应的加密值1＝E(0_base1)，嵌入云上部署运行程序中，将0_base2也嵌入云上部署运行程序中。

●将1分解为X_offset位数所对应的两个任意数相加的形式(模2的X_offset位数次幂)，即1＝1_offset1+1_offset2(模2的X_offset位数次幂)。例如：X_offset 位数所对应的2进制最大值/2+1和位数所对应的2进制最大值/2+2相加，即1＝X_offset位数所对应的2进制最大值/2+1+X_offset位 数所对应的2进制最大值/2+2(模2的X_offset位数次幂)，8位情况下，1＝80H+81H(模2⁸＝256)。

●提前计算好1_offset1所对应的加密值2＝E(1_offset1)，嵌入云上部署运行程序中，将1_offset2也嵌入云上部署运行程序中。

●边缘安全节点发送X_base2和X_offset2给云上部署运行程序。

●云上部署运行程序收到边缘安全节点发送的X_base2和X_offset2后，首先执行加密的特定运算(边缘安全节点已知，提前约定)X_base2+0_base2＝计算结果1，优选32位情况下，执行X_base2+8001H，获得计算结果1＝X_base2+8001H；然后执行加密的特定运算(边缘安全节点已知，提前约定)X_offset2+1_offset2＝计算结果2，优选8位情况下，执行X_offset2+81H，获得计算结果2＝X_offset2+81H。

●云上部署运行程序向边缘安全节点发送所述的计算结果1和加密值1，然后向边缘安全节点发送所述的计算结果2和加密值2。

●边缘安全节点收到所述的计算结果1和加密值1、计算结果2和加密值2，解密恢复出0_base1＝D(E(0_base1))和1_offset1＝D(E(1_offset1))，继续计算X_base1+0_base1+计算结果1＝X_base1+0_base1+X_base2+0_base2＝X_base，继续计算X_offset1+1_offset1+计算结果2＝X_offset1+1_offset1+X_offset2+1_offset2＝X_offset+1。

●边缘安全节点判断X_base和X_offset+1是否正确，如果正确，下一周期以新的X_base和X_offset重复上述步骤。如果不正确，说明云上部署运行程序运行异常。

1.3基于同态加密机制实现云上部署运行程序逻辑监视

●使用Paillier同态加密完成加法(x+0)和(x+1)同态加密，密钥生成、加密、解密都在边缘安全节点侧。图4为本发明实施例提供的一种基于同态加密机制实现云上部署运行程序逻辑监视算法原理图，如图4所示：

●X_base加密为X_base’的过程：

■给定2个大素数p和q，其中n＝pq，λ＝lcm(p-1，q-1)，其中lcm表示求p-1和q-1的最小公倍数。取

且满足

此处gcd表示求L(g^λmodn²)和n的最大公约数，

表示

中与n²互质的整数的集合，这里：

■加密公钥K1为(n，g)，私钥K2为(p，q)，随机选取整数

则软件流程特征码基码

加密后的软件流程特征码基码X'_base＝g^mrⁿmodn²，且

记加密算法为X'_base＝E(X_base,r)。

●0加密为E(0)、1加密为E(1)、X_offset加密为X_offset’的过程同上。

●实现E(X_base)*E(0)和E(X_offset)*E(1)功能的软件模块在云上部署运行程序的合适位置插入运行。

●E(X_base)*E(0)和E(X_offset)*(1)计算结果回送给边缘安全节点

●通用解密过程为：

●X_base+0＝D(E(X_base)*E(0)),X_offset+1＝D(E(X_offset)*E(1))

●边缘安全节点判断X_base和X_offset+1是否正确，如果正确，下一周期以新的X_base和X_offset重复上述步骤。如果不正确，说明云上部署运行程序运行异常。

2本发明的具体实施举例

针对软件流程特征码基码及偏移码交互过程，应用所述的安全双方机制及同态加密机制实现云上部署运行程序逻辑监视的具体实施过程举例如下：

2.1基于安全双方机制实现云上部署运行程序逻辑监视的具体方法举例软件流程特征码基码X_base为0002H，偏移码X_offset为0。。

将软件流程特征码基码X_base分解为X_base1、X_base2。因此有0002H(X_base)＝0000H(X_base1)+0002H(X_base2)。

将软件流程特征码偏移码X_offset分解为X_offset1、X_offset2。因此有00H(X_offset)＝7FH(X_offset1)+81H(X_offset2)。

另将0000H分解成7FFFH和8001H，将01H分解成80H和81H，加密后的E(7FFFH)和E(80H)预置于云上部署运行程序合适的位置。

云上部署运行程序发送软件流程特征码基码部分0002H和偏移码部分81H到边缘安全节点。

边缘安全节点收到上述数据，首先执行基码部分的加密特定运算X_base2+0_base2＝0002H+8001H＝8003H＝计算结果1；然后执行偏移码部分的加密特定运算X_offset2+0_offset2＝81H+81H＝02H＝计算结果2。

云上部署运行程序先向边缘安全节点发送所述的计算结果1，即8003H和加密值1，即E(7FFFH)，然后向边缘安全节点发送所述的计算结果2，即02H和加密值2，即E(80H)。

边缘安全节点收到所述的计算结果1和加密值1、计算结果2和加密值2，解密恢复出0_base1＝D(E(0_base1))＝7FFFH和0_offset1＝D(E(0_offset1))＝80H，继续计算X_base1+0_base1+计算结果1＝0000H+7FFFH+8003H＝0002H，继续计算X_offset1+0_offset1+计算结果2＝7FH+80H+02H＝01H.

边缘安全节点因此判断X_base和X_offset+1正确。

基于同态加密机制实现云上部署运行程序逻辑监视的具体方法举例

使用Pailler同态加密，取p＝7，q＝11，n＝77，λ＝30，则g＝5929，即加密公钥K1为(77，5652)，私钥K2为(7，11)。选取随机数为r为23。

软件流程特征码基码为0002H，偏移码为0。

边缘安全节点对软件流程特征码基码0002H加密，加密结果为E(0002H)＝5652²﹒23⁷⁷mod5929＝68650028496，E(0)＝23⁷⁷mod5929＝2149。

边缘安全节点对软件流程特征码偏移码进行加密，加密结果为E(0)＝2149，E(1)＝12146148。

边缘安全节点将加密后的软件流程特征码基码和偏移码发送至云上部署运行程序，云上部署运行程序执行针对基码的运算

E(0002H)*E(0)＝147528911237904和针对偏移码的运算

E(0)*E(1)＝26102072052，E(0)和E(1)云上部署运行程序已知。

云上部署运行程序将上述两个计算结果发回边缘安全节点。

在边缘安全节点执行解密过程：

边缘安全节点因此判断X_base和X_offset+1正确。

本发明的有益效果在于，本发明实施例不仅给出了实现边缘安全节点对云上部署运行的程序进行逻辑监视的方法，该方法更是一种符合EN50129标准的实现程序序列监测(Program sequence monitoring)中逻辑监视(Logical monitoring)的通用方法，可适应各种软件程序，可移植性和适应性较既有方法更有优势。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (4)

1.一种边缘安全节点对云上部署运行程序进行逻辑监视的方法，其特征在于，包括：

在云计算设备上列控应用区域块中部署的云上部署运行程序的各个关键分支上设置加密程序运行签名，不同关键分支设置不同的加密程序运行签名，所述云上部署运行程序包括安全计算机平台相关程序和轨道交通列车运行控制应用程序；

在程序运行的过程中，所述云计算设备将各个关键分支对应的加密程序运行签名发送给边缘安全节点，所述边缘安全节点解密并检查接收到的加密程序运行签名是否正确，如果正确，则判断所述云计算设备上列控应用区域块运行正常；否则，判断所述云计算设备上列控应用区域块运行异常，启动相应的安全反应；

所述加密程序运行签名包括基码X_base+偏移码X_offset；

步骤1、边缘安全节点发送软件流程特征码时，选择基码X_base和偏移码X_offset，分别对基码X_base和偏移码X_offset进行加密；

步骤2、基码X_base变为X_base’，偏移码X_offset变为X_offset’，再将X_base’和X_offset’发送给云计算设备上，云计算设备将X_base’和X_offset’设置在列控应用区域块上云上部署运行程序的各个关键分支上；

步骤3、云上部署运行程序收到加密基码X_base’和加密偏移码X_offset’后，对基码X_base’和偏移码X_offset’进行约定的加密特定运算，基码X_base’变为(X_base+0)’，偏移码X_offset’变为(X_offset+1)’，再将(X_base+0)’和(X_offset+1)’返回给边缘安全节点；

步骤4、边缘安全节点对(X_base+0)’和(X_offset+1)’分别进行逆加密特定运算运算后，再进行解密处理；

步骤5、判断解密得到的结果是否与基码X_base和偏移码X_offset+1一致，如果一致，下一周期以X_base和X_offset+1为新的X_base和X_offset分别进行加密后，重复上述步骤2-步骤5的处理过程；如果不一致，说明云计算设备上列控应用区域块运行异常，应启动相应的安全反应；

所述边缘安全节点基于安全双方机制实现云上部署运行程序的逻辑监视，具体包括：

步骤6、将X_base任意分解为X_base1、X_base2，X_base＝X_base1+X_base2；

步骤7、将X_offset任意分解为X_offset1、X_offset2，X_offset＝X_offset1+X_offset2；

步骤8、将0分解为X_base位数所对应的两个任意数相加的形式，0＝0_base1+0_base2，将0_base2嵌入云上部署运行程序中；提前计算好0_base1所对应的加密值1＝E(0_base1)，将加密值1＝E(0_base1)嵌入云上部署运行程序中；

步骤9、将1分解为X_offset位数所对应的两个任意数相加的形式，1＝1_offset1+1_offset2，将1_offset2嵌入云上部署运行程序中；提前计算好1_offset1所对应的加密值2＝E(1_offset1)，将加密值2＝E(1_offset1)嵌入云上部署运行程序中；

步骤10、边缘安全节点发送X_base2和X_offset2给云计算设备上列控应用区域块上的云上部署运行程序；云上部署运行程序收到边缘安全节点发送的X_base2和X_offset2后，对X_base2执行预订的加密特定运算X_base2+0_base2＝计算结果1，对X_offset2执行预订的加密特定运算X_offset2+1_offset2＝计算结果2；

步骤11、云上部署运行程序向边缘安全节点发送所述的计算结果1和加密值1，然后向边缘安全节点发送所述的计算结果2和加密值2；

边缘安全节点收到所述的计算结果1和加密值1、计算结果2和加密值2，解密恢复出0_base1＝D(E(0_base1))和1_offset1＝D(E(1_offset1))，继续计算X_base1+0_base1+计算结果1＝X_base1+0_base1+X_base2+0_base2＝X_base，继续计算X_offset1+1_offset1+计算结果2＝X_offset1+1_offset1+X_offset2+1_offset2＝X_offset+1；

步骤11、边缘安全节点判断X_base和X_offset+1是否正确，如果正确，下一周期以新的X_base和X_offset重复上述步骤6-步骤11的处理过程；如果不正确，说明云上部署运行程序运行异常。

2.根据权利要求1所述的方法，其特征在于，所述云上部署运行程序对基码X_base’的约定的加密特定运算包括加密二进制加0运算，对偏移码X_offset’的约定的加密特定运算包括加密二进制加1运算。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

所述边缘安全节点基于同态加密机制实现云上部署运行程序的逻辑监视，具体包括：

步骤12、使用Paillier同态加密完成加法(x+0)和(x+1)同态加密，密钥生成、加密、解密都在边缘安全节点侧；

步骤13、X_base加密为X_base’的过程：

给定2个大素数p和q，其中n＝pq，λ＝lcm(p-1，q-1)，其中lcm表示求p-1和q-1的最小公倍数，取

且满足gcd≤(L(g^λmodn²),n)＝1，此处gcd表示求L(g^λmodn²)和n的最大公约数，

表示

中与n²互质的整数的集合，这里：

加密公钥K1为(n，g)，私钥K2为(p，q)，随机选取整数

则软件流程特征码基码

加密后的软件流程特征码基码X'_base＝g^mrⁿmodn²，且

记加密算法为X'_base＝E(X_base,r)；

按照上面的处理过程，将0加密为E(0)、1加密为E(1)、X_offset加密为X_offset’；

步骤14、边缘安全节点发送E(X_base)、E(0)、E(X_offset)和E(1)给云计算设备上列控应用区域块上的云上部署运行程序；

步骤15、云上部署运行程序计算E(X_base)*E(0)和E(X_offset)*E(1)，将E(X_base)*E(0)和E(X_offset)*(1)计算结果发送给边缘安全节点；

边缘安全节点对接收到的E(X_base)*E(0)和E(X_offset)*E(1)进行解密的过程为：

X_base+0＝D(E(X_base)*E(0)),X_offset+1＝D(E(X_offset)*E(1))

边缘安全节点判断X_base和X_offset+1是否正确，如果正确，下一周期以新的X_base和X_offset重复上述步骤12-步骤15的处理过程；如果不正确，则判断云上部署运行程序运行异常。

4.根据权利要求2所述的方法，其特征在于：

所述的将0分解为X_base位数所对应的两个任意数相加的形式，0＝0_base1+0_base2，包括：0＝X_base位数所对应的2进制最大值/2+X_base位数所对应的2进制最大值/2+2；

所述的将1分解为X_offset位数所对应的两个任意数相加的形式，1＝1_offset1+1_offset2，包括：1＝X_offset位数所对应的2进制最大值/2+1+X_offset位数所对应的2进制最大值/2+2。

Images