CN114281068A - 无人设备远程接管系统、方法、装置、设备及存储介质 - Google Patents

Abstract

本说明书公开了一种无人设备远程接管系统、方法、装置、设备及存储介质，远程接管设备基于获取的表征各系统组件在指定历史时间段内运行状态的度量值，将所述度量值发送至无人设备用以证明远程接管设备可信，在所述无人设备根据所述度量值确定所述远程接管设备可信时，与所述无人设备建立远程通信，以使远程接管设备远程接管无人设备。可见，当无人设备根据由远程接管设备发送的用于表征远程接管设备各系统组件运行状态的度量值，确定远程接管设备可信时，才接受所述远程接管设备的远程接管，避免了无人设备在不确定远程接管设备可信的情况下接受远程接管的情况，提高了接管后无人设备行驶的安全性。

Description

无人设备远程接管系统、方法、装置、设备及存储介质

技术领域

本说明书涉及无人驾驶技术领域，尤其涉及无人设备远程接管系统、方法、装置、设备及存储介质。

背景技术

无人驾驶设备可通过感知周围环境，从而在环境中实现自主驾驶并到达目的地。目前，无人驾驶技术正处于发展阶段，为了保障无人驾驶设备的安全，投入使用的无人驾驶设备需要具备远程接管的功能，以便远程安全员在发现无人驾驶设备发生异常的时候，能够使用远程接管设备，远程接管无人驾驶设备，并控制无人驾驶设备处理所发生的异常情况。

现有技术中，无人驾驶设备通常在接收到远程接管请求时，会验证接收到的远程接管请求是否为远程安全员操作的远程接管设备发送的请求，若是，则无人驾驶设备可接受远程接管设备的远程接管。

然而，这种方法虽然验证了远程接管请求是远程接管设备发送的，却没有验证远程接管设备是可以信任的。如果远程接管设备的操作系统被恶意篡改后，仍然向无人驾驶设备发送远程接管请求，无人驾驶设备在不确定远程接管设备可信的情况下接受了该远程接管设备的接管，会降低接管后的无人驾驶设备行驶的安全性。

发明内容

本说明书提供一种无人设备远程接管系统、方法、装置、设备及存储介质，以部分的解决现有技术存在的上述问题。

本说明书采用下述技术方案：

本说明书提供了一种无人设备远程接管系统，所述系统包括：远程接管设备、无人设备；

所述远程接管设备，用于向无人设备发送远程接管请求；接收所述无人设备响应于所述远程接管请求返回的证明请求；响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值；所述度量值用于表征所述远程接管设备内各系统组件在指定历史时间段的运行状态；将所述度量值发送至所述无人设备；在所述无人设备确定所述远程接管设备可信时，与所述无人设备建立远程通信，并通过远程通信远程接管所述无人设备；

所述无人设备，用于响应于由所述远程接管设备发送的远程接管请求，返回证明请求；接收由所述远程接管设备发送的度量值；并根据所述度量值确定所述远程接管设备是否可信；在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，并接受所述远程接管设备的远程接管。

本说明书提供了一种无人设备远程接管方法，所述方法应用于远程接管设备，所述方法包括：

向无人设备发送远程接管请求；

接收所述无人设备响应于所述远程接管请求返回的证明请求；

响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值；所述度量值用于表征所述远程接管设备内各系统组件在指定历史时间段的运行状态；

将所述度量值发送至所述无人设备，以使所述无人设备根据接收到的所述度量值验证所述远程接管设备是否可信，并在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，以便所述远程接管设备通过远程通信，远程接管所述无人设备。

可选地，获取所述远程接管设备内各系统组件的度量值，具体包括：

确定需要度量的各系统组件；所述需要度量的各系统组件包括基本输入输出系统、引导加载程序、操作系统内核以及远程接管应用程序中的至少一个；

从预先存储在可信平台模块的平台配置寄存器PCR内的各系统组件的度量值中，获取需要度量的各系统组件的度量值；所述度量值用于表征需要度量的各系统组件在所述远程接管设备上电至各系统组件完成启动的历史时间段内的运行状态。

可选地，预先存储各系统组件的度量值，具体包括：

预先在所述远程接管设备上电至各系统组件完成启动的时间段内，确定各系统组件的状态；

根据所述状态确定所述状态对应的摘要；

将各系统组件的状态对应摘要以扩展写入的方式存储在可信平台模块的PCR中。

可选地，将所述度量值发送至所述无人设备，具体包括：

生成身份密钥对；所述身份密钥对包括身份公钥和身份私钥；

获取所述无人设备发送的证明请求中携带的随机数；

采用所述身份私钥，对所述随机数以及所述度量值进行签名，得到第一签名值；

将所述度量值以及所述第一签名值发送至所述无人设备。

可选地，将所述度量值以及所述第一签名值发送至所述无人设备，具体包括：

采用所述身份私钥，对所述身份公钥以及远程接管设备的信息进行签名，得到第二签名值；

向证书授权中心发送所述携带远程接管设备的信息、所述身份公钥以及所述第二签名值的证书请求，以使所述证书授权中心响应于接收到的证书请求，采用所述身份公钥验证所述第二签名值，并在验证有效时，根据所述身份公钥生成与身份密钥对对应的身份证书并返回；

接收由所述证书授权中心返回的身份证书；

将所述度量值、所述第一签名值以及所述身份证书发送至所述无人设备。

本说明书提供了一种无人设备远程接管方法，所述方法应用于无人设备，所述方法包括：

响应于由远程接管设备发送的远程接管请求，生成证明请求；

将所述证明请求返回至所述远程接管设备，以使所述远程接管设备响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值，并将所述度量值发送至所述无人设备；

接收由所述远程接管设备发送度量值；

根据所述度量值确定所述远程接管设备是否可信；

在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，并接受所述远程接管设备的远程接管。

可选地，根据所述度量值确定所述远程接管设备是否可信，具体包括：

获取预先保存在所述无人设备内的所述远程接管设备内各系统组件的参考值；所述参考值用于表征所述远程接管设备内各系统组件的正常运行状态；

当各系统组件中每个系统组件的度量值与对应的参考值均相同时，确定所述远程接管设备可信。

可选地，根据所述度量值确定所述远程接管设备是否可信之前，所述方法还包括：

接收所述远程接管设备发送的身份证书以及第一签名值；

验证所述身份证书以及所述第一签名值有效。

本说明书提供了一种无人设备远程接管装置，所述装置应用于远程接管设备，所述装置包括：

远程接管请求发送模块，用于向无人设备发送远程接管请求；

证明请求接收模块，用于接收所述无人设备响应于所述远程接管请求返回的证明请求；

度量值获取模块，用于响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值；所述度量值用于表征所述远程接管设备内各系统组件在指定历史时间段的运行状态；

度量值发送模块，用于将所述度量值发送至所述无人设备，以使所述无人设备根据接收到的所述度量值验证所述远程接管设备是否可信，并在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，以便所述远程接管设备通过远程通信，远程接管所述无人设备。

本说明书提供了一种无人设备远程接管装置，所述装置应用于无人设备，所述装置包括：

证明请求生成模块，用于响应于由远程接管设备发送的远程接管请求，生成证明请求；

证明请求返回模块，用于将所述证明请求返回至所述远程接管设备，以使所述远程接管设备响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值，并将所述度量值发送至所述无人设备；

度量值接收模块，用于接收由所述远程接管设备发送度量值；

可信确定模块，用于根据所述度量值确定所述远程接管设备是否可信；

远程通信建立模块，用于在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，并接受所述远程接管设备的远程接管。

说明书提供了一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述无人设备远程接管方法。

本说明书提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述应用于远程接管设备的无人设备远程接管方法。

本说明书提供了一种无人设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述应用于无人设备的无人设备远程接管方法。

本说明书采用的上述至少一个技术方案能够达到以下有益效果：

本说明书提供的一种无人设备远程接管系统中，远程接管设备基于获取的表征各系统组件在指定历史时间段内运行状态的度量值，将所述度量值发送至所述无人设备用以证明所述远程接管设备自身的可信，在所述无人设备根据所述度量值确定所述远程接管设备可信时，与所述无人设备建立远程通信，远程接管设备通过远程通信远程接管所述无人设备。可见，在本说明书提供的无人设备远程接管系统中，当无人设备根据由远程接管设备发送的用于表征远程接管设备各系统组件运行状态的度量值，确定远程接管设备可信时，才接受所述远程接管设备的远程接管，避免了无人设备在不确定远程接管设备可信的情况下接受远程接管的情况，提高了接管后无人设备行驶的安全性。

附图说明

此处所说明的附图用来提供对本说明书的进一步理解，构成本说明书的一部分，本说明书的示意性实施例及其说明用于解释本说明书，并不构成对本说明书的不当限定。在附图中：

图1为本说明书中一种无人设备远程接管方法的流程示意图；

图2为本说明书中另一种无人设备远程接管方法的流程示意图；

图3为本说明书中一种远程接管设备内可信链的示意图；

图4为本说明书提供的一种无人设备远程接管装置的示意图；

图5为本说明书提供的另一种无人设备远程接管装置的示意图；

图6为本说明书提供的对应于图1的电子设备示意图；

图7为本说明书提供的对应于图1的无人设备示意图。

具体实施方式

为使本说明书的目的、技术方案和优点更加清楚，下面将结合本说明书具体实施例及相应的附图对本说明书技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本说明书保护的范围。

无人设备是一种通过计算机系统实现无人驾驶的智能设备。具体地，无人设备主要依靠人工智能、视觉计算、雷达等监控装置和全球定位系统之间的协同合作，让无人设备可以在没有任何人类主动参与操作的情况下，自动安全地到达目的地。为了保障无人设备的安全，投入使用的无人设备需要具备远程接管的功能，以便远程安全员在发现无人设备发生异常的时候，能够使用远程接管设备，远程接管无人设备，并控制无人设备处理所发生的异常情况。

随着对无人驾驶技术研究的不断深入，人们认识到针对远程接管设备实体内部的攻击是一种重要的安全威胁，因此越来越重视这些攻击所造成的危害。在远程接管无人设备的场景中，如果远程控制无人设备的远程接管设备遭遇了恶意攻击或篡改，将会极大地降低无人设备行驶的安全性。为了保证远程接管下无人设备行驶的安全行驶，可采取必要的安全验证手段，确定远程接管设备身份的合法性及设备运行环境的可信性。

为此，研究人员提出了在远程接管设备以及无人设备中引入可信计算(TrustedComputing，TC)的概念。可信计算的主要思路是以在设备中配置的可信平台模块(TrustedPlatform Module，TPM)为核心，为无人设备的远程接管提供远程接管设备可信的保障。TPM是一种集成了密码运算器和安全存储模块的软硬件结合的安全模块，常用于计算系统中对敏感数据的保护、硬件密钥生成、数字签名及哈希运算、受信任平台身份验证以及系统状态可信保障等，基于TPM的安全度量机制，可对远程接管设备内各系统组件进行可信度量，在设备启动和运行过程中，只要出现有任何一个系统组件存在安全问题，则整个设备受到的安全威胁都可以被甄别出来。通过TPM的存储、度量、报告等手段可以至少部分解决针对远程接管设备的攻击，而导致无法保证远程接管下无人设备行驶安全性的问题。

以下结合附图，详细说明本说明书各实施例提供的技术方案。

在本说明书提到的无人驾驶设备可以是指无人车、无人机、机器人等能够实现无人驾驶的设备，用于远程接管无人设备的远程接管设备可以是服务器、台式电脑等设备。

图1为本说明书中一种无人设备远程接管系统的流程示意图，具体包括以下步骤：

S100：远程接管设备向无人设备发送远程接管请求。

随着科技的发展，无人驾驶技术正处在蓬勃发展的关键时期。在无人驾驶的落地过程中，如何在驾驶位没有安全员的情况下，帮助无人设备解决它所处理不了的极端和特殊情况是一个亟待解决的重要技术问题。远程接管就是这样一种可以让安全员在不在车上的情况下仍然能够操作车辆的无人驾驶辅助技术，是无人驾驶在落地和运营过程中的至关重要的一个环节。

当无人设备发生异常的时候，远程接管设备向无人设备发送远程接管请求，用以在获得许可后远程接管无人设备，从而处理所发生的异常情况。

需要说明的是，本说明书实施例提供的远程接管方案可以应用在无人设备能够识别自身发生异常的场景中，也可以应用在无人设备无法识别自身发生异常的场景中，本说明书对此不做限定。

S102：无人设备响应于由远程接管设备发送的远程接管请求，生成证明请求。

S104：无人设备将所述证明请求返回至所述远程接管设备。

在远程接管无人设备的场景中，远程接管设备向无人设备证明自身运行状态正常是一种综合完整性校验和身份鉴别的远程证明过程。其中，远程证明是通过“挑战-应答”协议来实现的，无人设备向远程接管设备发送证明请求，要求获得一个或者多个存储在远程接管设备内PCR中的度量值，以此对远程接管设备的运行状态进行证明。

S106：远程接管设备接收所述无人设备响应于所述远程接管请求返回的证明请求。

S108：远程接管设备响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值。

具体的，远程接管设备根据由无人设备发送的证明请求，从TPM中的PCR中获取无人设备请求获得的度量值。其中，所述度量值用于表征所述远程接管设备内各系统组件在指定历史时间段的运行状态。其中指定历史时间段可以是从所述远程接管设备上电开始到各系统组件启动完成的时间段。

S110：远程接管设备将所述度量值发送至所述无人设备。

在此步骤中，远程接管设备可向无人设备提供用于证明自身状态的远程证明报告，供无人设备判断远程接管设备的可信状态。向无人设备提供的远程报告中不仅可包括上述步骤中获得的度量值，还可包括度量日志等可以与度量值相互印证的证明信息。为了保证远程证明报告内容的安全，还可采用加密、数字签名和认证技术对远程报告进行加密保护，以确保无人设备接收到的远程证明报告完整。其中，度量日志用于保存各系统组件的详细信息以及对各系统组件的度量值扩展写入的操作的历史记录，度量日志可与度量值相互印证，用以验证远程接管设备的可信状态。

由于提供了经过加密保护的远程证明报告，在验证远程接管请求是远程接管设备发送的同时，也验证了远程接管设备的可信状态，即使远程接管设备被恶意攻击，无人设备仍通过确定远程接管设备的可信状态，接受或拒绝远程接管设备的远程控制，提高了无人设备行驶的安全性。

S112：无人设备接收由所述远程接管设备发送度量值。

S114：无人设备根据接收到的所述度量值验证所述远程接管设备是否可信。

具体的，首先确定接收到的度量值是由所述远程接管设备发送，然后将接收到的度量值与预先存储的参考值进行比对，从而验证所述远程接管设备的可信状态。

S116：无人设备在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信。

S118：远程接管设备通过远程通信，远程接管无人设备。

远程接管设备在被验证可信后，通过与无人设备建立通信，及时有效地实现对无人设备的远程接管，可以提升无人设备的行驶安全。当无人设备确定远程接管设备不可信时，拒绝远程接管设备的远程接管请求，从而使无人设备避免被不可信的远程接管设备远程接管，导致无人设备行驶危险。

在本说明书提供的无人设备远程接管系统中，当无人设备根据由远程接管设备发送的用于表征远程接管设备各系统组件运行状态的度量值，确定远程接管设备可信时，才接受所述远程接管设备的远程接管，避免了无人设备在不确定远程接管设备可信的情况下接受远程接管的情况，提高了接管后无人设备行驶的安全性。

本说明书实施例中，如图1步骤S108所示的获取所述远程接管设备内各系统组件的度量值，具体通过以下步骤实现：

首先，在所述远程接管设备上电至各系统组件完成启动的时间段内，确定各系统组件的状态。

为了完整记录远程接管设备启动过程中各系统组件的运行状态。在远程接管设备上电时，TPM依此度量远程接管设备内各系统组件，并记录各系统组件的运行状态。

具体的，系统组件可包括基本输入输出系统、引导加载程序、操作系统内核以及远程接管应用程序。

其中，基本输出输入系统(Basic Input/Output System，BIOS)启动过程是远程接管设备内操作系统一切行为的基础。BIOS负责初始化远程接管设备及操作系统本身状态，还启动维持远程接管设备正常运行所必需的可信进程及相关服务程序。引导加载程序可以初始化硬件设备，从使得系统的软硬件环境处于合适状态，以便为调用操作系统内核准备好正确的环境。操作系统内核用于为远程接管应用程序提供对远程接管设备内各硬件的安全访问的软件。远程接管设备应用程序用于使后台安全员对无人设备进行远程接管，从而远程控制无人设备应对异常情况。

其次，根据所述状态确定所述状态对应的摘要。

通过对各系统组件的状态进行处理获得状态对应的摘要。此处的处理方式可以是哈希计算，在哈希计算时，状态数据的少量更改会在哈希值中产生不可预知的大量更改。因此，只要系统组件的状态不发生改变，那么哈希计算得到的摘要也不会改变，同理，当系统组件的状态发生了改变，那么经过哈希计算得到的摘要也发生了改变。

需要说明的是，对各系统组件的状态的处理除了可以是哈希计算之外，其他满足前述条件的计算方式均可，本说明书对此不做限定。

再次，将各系统组件的状态对应摘要以扩展写入的方式存储在TPM的PCR中。

为了防止PCR中的值被恶意代码随便篡改或伪造，TPM限制对PCR的操作，不能像普通字符设备的寄存器那样通过端口映射来随意进行读写操作。而且PCR位于TPM内部，其内部数据受到TPM的保护。TPM只允许两种操作来修改PCR的值：重置操作和扩展写入操作。其中，重置操作发生在机器断电或者系统重新启动之后，PCR的值自动重新清零。在远程接管设备运行过程中，只能通过扩展操作来改变PCR的内容。

在实际应用中，将各系统组件状态对应的摘要以扩展写入的方式存储在TPM的PCR中具体包括：确定需要存储的摘要值对应的PCR；将PCR中已有的度量值和需要存储的摘要值按顺序拼接后散列，将散列后的度量值重新存储在PCR中。可见，对各系统组件状态对应的摘要的扩展写入操作是有顺序且不可逆的。其中，已有的度量值可以是预先存储在PCR中的度量值，也可以是初始状态下PCR中的初始度量值。已有的度量值和需要存储的摘要值的拼接顺序可以是存储的时间顺序，也可以是运行顺序。本说明书对已有的度量值以及拼接顺序不做限定。

例如，将BIOS运行中先后两个状态分别定义为状态A和状态B。通过哈希计算，确定状态A对应的摘要为摘要a，状态B对应的摘要为摘要b。当需要将摘要a和摘要b以扩展写入的方式存储在PCR中时，先扩展写入摘要a、后扩展写入摘要b得到的结果为[哈希算法(摘要a||摘要b)]，而先扩展写入摘要b、后扩展写入摘要a得到的结果为[哈希算法(摘要b||摘要a)]，可见，先扩展写入摘要a再扩展写入摘要b所得到的度量值跟先扩展写入摘要b再扩展写入摘要a的度量值是不同的。

通过扩展写入的操作，PCR能够记录各系统组件的度量值序列，度量值组成的序列反应了各系统组件状态的变迁。这个扩展序列中的某一个度量值被改变了，之后的度量序列都会受到影响。如果攻击者意图篡改PCR中存储的值，由于只能以扩展写入的方式对PCR中的值进行更新，度量序列受到影响相当于攻击者留下了痕迹。并且由于哈希计算的单向性，攻击者无法推断远程接管设备正常启动时的状态，因此攻击者无法消除攻击痕迹。所以扩展写入操作还可以确保发现攻击。

然后，响应于由无人设备返回的证明请求，确定需要度量的各系统组件。从存储在PCR内的各系统组件的度量值中，获取需要度量的各系统组件的度量值。

在实际应用中，无人设备返回的证明请求可包括无人设备需要获取的度量值对应的PCR的标识，通过PCR的标识，可以确定无人设备需要远程接管设备发送的系统组件的度量值。所述需要度量的各系统组件包括基本输入输出系统、引导加载程序、操作系统内核以及远程接管应用程序中的至少一个。

本说明书实施例中，如图1步骤S110所示的将所述度量值发送至所述无人设备中，在此步骤中，为了保证度量值的完整性，还可采用数字签名和认证技术对度量值进行加密保护。因此，需要获得用于对度量值进行数字签名的身份密钥对，以及用于证明身份密钥对的有效性的身份证书。如图2所示为身份密钥对以及身份证书的获得方式，具体通过以下步骤实现：

S200：由配置在远程接管设备中的TPM生成身份密钥对，所述身份密钥对包括身份公钥和身份私钥。

TPM可以生成并存储身份密钥(Attestation Identity Key，AIK)。在远程证明中，远程接管设备与无人设备进行证明过程中可以使用密钥将发送给无人设备的度量值进行保护，但是使用TPM的背书密钥(Endorsement Key，EK)可能会导致远程接管设备的隐私信息的泄露，因此可以用AIK替代。具体的，AIK可对存储在远程接管设备的TPM中的度量值进行签名，证明它签名的度量值是由远程接管设备发送的。

S202：采用所述身份私钥，对所述身份公钥以及远程接管设备的信息进行签名，得到第二签名值。

S204：向证书授权中心发送所述携带远程接管设备的信息、所述身份公钥以及所述第二签名值的证书请求。

远程接管设备配置的TPM作为证书申请方，向证书授权中心(CertificateAuthority，CA)发送证书请求，以使CA签发证明身份密钥对有效的身份证书。在实际应用中，所述证书请求中可携带身份公钥、远程接管设备的信息以及第二签名值。

S206：证书授权中心响应于接收到的证书请求，采用所述身份公钥验证所述第二签名值。

由于第二签名值是通过身份私钥对身份公钥以及远程接管设备的信息进行签名得到的，CA通过身份公钥即可验证是由远程接管设备进行的签名，以此验证证书请求的有效性。

S208：在验证有效时，证书授权中心根据所述身份公钥生成与身份密钥对对应的身份证书。

身份证书包括身份公钥以及远程接管设备的信息，可用于鉴定对度量值进行签名的身份私钥的有效性。身份证书由第三方可信证书授权中心签发，通过签发的身份证书，远程接管设备可以证明提供度量值的TPM是真实有效的。

S210：证书授权中心将生成的身份证书返回给远程接管设备。

在此步骤中，为了使返回的身份证书能够安全完整地返回到远程接管设备，CA可采用CA私钥对身份证书进行签名，以便其它设备使用CA公钥验证身份证书的有效性。

S212：远程接管设备接收由所述证书授权中心返回的身份证书。

本说明书实施例中，如图1步骤S114所示的无人设备根据接收到的所述度量值验证所述远程接管设备是否可信，具体通过以下步骤实现：

首先，无人设备接收由所述远程接管设备发送度量值。

其次，接收所述远程接管设备发送的身份证书以及第一签名值。

无人设备通过证书授权中心的CA公钥确定接收到的身份证书的有效性，并在确定身份证书有效的情况下，使用身份公钥验证第一签名值的有效性，若第一签名有效，则说明无人设备接收到的度量值确实是由所述远程接管设备发送的。其中，第一签名值是由远程接管设备采用所述身份私钥，对所述随机数以及所述度量值进行签名得到的。所述随机数由无人设备生成并发送，用于验证度量值的新鲜性，以防止重放攻击。

然后，在验证所述身份证书以及所述第一签名值有效的情况下，根据所述度量值确定所述远程接管设备是否可信。

具体的，获取预先保存在所述无人设备内的所述远程接管设备内各系统组件的参考值；所述参考值用于表征所述远程接管设备内各系统组件的正常运行状态。

在实际应用中，所述参考值可预先存储在无人设备配置的TPM中，以确保所述参考值不被篡改。参考值是远程接管设备在正常运行状态下，将各系统组件的运行状态以扩展写入的方式保存在PCR中，并通过人工迁移或无线传输的方式保存在无人设备配置的TPM中。

当各系统组件中每个系统组件的度量值与对应的参考值均相同时，确定所述远程接管设备可信。

通常情况下，无人设备会将接收到的每个系统组件的度量值与对应的参考值进行比对，当各系统组件中有至少一个组件的度量值与其对应的参考值不同时，表示远程接管设备已经被攻击或篡改，此时确定远程接管设备不可信。

可选地，还可以通过可信链判断远程接管设备的可信状态，在系统启动过程中，可由TPM依次度量BIOS、引导加载程序、操作系统内核、远程接管应用程序的完整性，并建立可信链。可信链即为在信任当前某一环节的前提下，由该环节去评估下一环节的安全性，确定下一个环节可信之后，再将控制权移交给下一个环节，从而扩展至整个设备。

具体的，如图3所示的可信链，实线表示控制可信启动执行权的传递，虚线表示各系统组件的度量值将以扩展写入的方式存储在TPM的PCR中。可信根作为可信链的源头并执行，进行对BIOS的可信度量，度量通过后启动BIOS；BIOS度量引导加载程序，并将度量值扩展写入到TPM对应的PCR中，度量通过后，将控制执行权移交给引导加载程序；引导加载程序度量操作系统内核启动过程，将其度量值记录在TPM的PCR中，度量通过后执行操作系统的启动流程；然后由操作系统内核度量远程接管应用程序，并将度量值存储在PCR中。当可信链某一环节被验证为不可信时，该环节的后续环节均为不可信。

例如，如图3所示的可信链，若无人设备根据接收到的度量值确定引导加载程序不可信，即使后续操作系统内核以及远程接管应用程序的度量值与参考值相同，操作系统内核以及远程接管应用程序也是不可信的。

以上为本说明书的一个或多个实施例提供的无人设备远程接管方法，基于同样的思路，本说明书还提供了相应的无人设备远程接管装置。

图4为本说明书提供的一种无人设备远程接管装置示意图，所述装置应用于远程接管设备，具体包括：

远程接管请求发送模块300，用于向无人设备发送远程接管请求；

证明请求接收模块302，用于接收所述无人设备响应于所述远程接管请求返回的证明请求；

度量值获取模块304，用于响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值；所述度量值用于表征所述远程接管设备内各系统组件在指定历史时间段的运行状态；

度量值发送模块306，用于将所述度量值发送至所述无人设备，以使所述无人设备根据接收到的所述度量值验证所述远程接管设备是否可信，并在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，以便所述远程接管设备通过远程通信，远程接管所述无人设备。

可选地，所述度量值获取模块304，具体用于确定需要度量的各系统组件；所述需要度量的各系统组件包括基本输入输出系统、引导加载程序、操作系统内核以及远程接管应用程序中的至少一个；从预先存储在可信平台模块的平台配置寄存器PCR内的各系统组件的度量值中，获取需要度量的各系统组件的度量值；所述度量值用于表征需要度量的各系统组件在所述远程接管设备上电至各系统组件完成启动的历史时间段内的运行状态。

可选地，所述度量值获取模块304，具体用于预先在所述远程接管设备上电至各系统组件完成启动的时间段内，确定各系统组件的状态；根据所述状态确定所述状态对应的摘要；将各系统组件的状态对应摘要以扩展写入的方式存储在可信平台模块的PCR中。

可选地，所述度量值发送模块306，具体用于生成身份密钥对；所述身份密钥对包括身份公钥和身份私钥；获取所述无人设备发送的证明请求中携带的随机数；采用所述身份私钥，对所述随机数以及所述度量值进行签名，得到第一签名值；将所述度量值以及所述第一签名值发送至所述无人设备。

可选地，所述度量值发送模块306，具体用于采用所述身份私钥，对所述身份公钥以及远程接管设备的信息进行签名，得到第二签名值；向证书授权中心发送所述携带远程接管设备的信息、所述身份公钥以及所述第二签名值的证书请求，以使所述证书授权中心响应于接收到的证书请求，采用所述身份公钥验证所述第二签名值，并在验证有效时，根据所述身份公钥生成与身份密钥对对应的身份证书并返回；接收由所述证书授权中心返回的身份证书；将所述度量值、所述第一签名值以及所述身份证书发送至所述无人设备。

图5为本说明书提供的一种无人设备远程接管装置示意图，所述装置应用于无人设设备，具体包括：

证明请求生成模块400，用于响应于由远程接管设备发送的远程接管请求，生成证明请求；

证明请求返回模块402，用于将所述证明请求返回至所述远程接管设备，以使所述远程接管设备响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值，并将所述度量值发送至所述无人设备；

度量值接收模块404，用于接收由所述远程接管设备发送度量值；

可信确定模块406，用于根据所述度量值确定所述远程接管设备是否可信；

远程通信建立模块408，用于在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，并接受所述远程接管设备的远程接管。

可选地，所述可信确定模块406，具体用于获取预先保存在所述无人设备内的所述远程接管设备内各系统组件的参考值；所述参考值用于表征所述远程接管设备内各系统组件的正常运行状态；当各系统组件中每个系统组件的度量值与对应的参考值均相同时，确定所述远程接管设备可信。

可选地，所述可信确定模块406在所述可信确定模块406根据所述度量值确定所述远程接管设备是否可信之前，还用于接收所述远程接管设备发送的身份证书以及第一签名值；验证所述身份证书以及所述第一签名值有效。

本说明书还提供了一种计算机可读存储介质，该存储介质存储有计算机程序，计算机程序可用于执行上述图1提供的无人设备远程接管方法。

本说明书还提供了图6所示的电子设备的示意结构图，以及图7所示的无人设备的示意结构图。如图6和图7所述，在硬件层面，该电子设备以及该无人设备均包括处理器、内部总线、网络接口、内存以及非易失性存储器，当然还可能包括其他业务所需要的硬件。处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，以实现上述图1所述的无人设备远程接管方法。当然，除了软件实现方式之外，本说明书并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field Programmable GateArray，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(RubyHardware Description Language)等，目前最普遍使用的是VHDL(Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本说明书的实施例可提供为方法、系统或计算机程序产品。因此，本说明书可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本说明书可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本说明书的实施例而已，并不用于限制本说明书。对于本领域技术人员来说，本说明书可以有各种更改和变化。凡在本说明书的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims (14)

1.一种无人设备远程接管系统，其特征在于，所述系统包括：远程接管设备、无人设备；

所述远程接管设备，用于向无人设备发送远程接管请求；接收所述无人设备响应于所述远程接管请求返回的证明请求；响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值；所述度量值用于表征所述远程接管设备内各系统组件在指定历史时间段的运行状态；将所述度量值发送至所述无人设备；在所述无人设备确定所述远程接管设备可信时，与所述无人设备建立远程通信，并通过远程通信远程接管所述无人设备；

所述无人设备，用于响应于由所述远程接管设备发送的远程接管请求，返回证明请求；接收由所述远程接管设备发送的度量值；并根据所述度量值确定所述远程接管设备是否可信；在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，并接受所述远程接管设备的远程接管。

2.一种无人设备远程接管方法，其特征在于，所述方法应用于远程接管设备，所述方法包括：

向无人设备发送远程接管请求；

接收所述无人设备响应于所述远程接管请求返回的证明请求；

响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值；所述度量值用于表征所述远程接管设备内各系统组件在指定历史时间段的运行状态；

将所述度量值发送至所述无人设备，以使所述无人设备根据接收到的所述度量值验证所述远程接管设备是否可信，并在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，以便所述远程接管设备通过远程通信，远程接管所述无人设备。

3.如权利要求2所述的方法，其特征在于，获取所述远程接管设备内各系统组件的度量值，具体包括：

确定需要度量的各系统组件；所述需要度量的各系统组件包括基本输入输出系统、引导加载程序、操作系统内核以及远程接管应用程序中的至少一个；

从预先存储在可信平台模块的平台配置寄存器PCR内的各系统组件的度量值中，获取需要度量的各系统组件的度量值；所述度量值用于表征需要度量的各系统组件在所述远程接管设备上电至各系统组件完成启动的历史时间段内的运行状态。

4.如权利要求3所述的方法，其特征在于，预先存储各系统组件的度量值，具体包括：

预先在所述远程接管设备上电至各系统组件完成启动的时间段内，确定各系统组件的状态；

根据所述状态确定所述状态对应的摘要；

将各系统组件的状态对应摘要以扩展写入的方式存储在可信平台模块的PCR中。

5.如权利要求2所述的方法，其特征在于，将所述度量值发送至所述无人设备，具体包括：

生成身份密钥对；所述身份密钥对包括身份公钥和身份私钥；

获取所述无人设备发送的证明请求中携带的随机数；

采用所述身份私钥，对所述随机数以及所述度量值进行签名，得到第一签名值；

将所述度量值以及所述第一签名值发送至所述无人设备。

6.如权利要求5所述的方法，其特征在于，将所述度量值以及所述第一签名值发送至所述无人设备，具体包括：

采用所述身份私钥，对所述身份公钥以及远程接管设备的信息进行签名，得到第二签名值；

向证书授权中心发送所述携带远程接管设备的信息、所述身份公钥以及所述第二签名值的证书请求，以使所述证书授权中心响应于接收到的证书请求，采用所述身份公钥验证所述第二签名值，并在验证有效时，根据所述身份公钥生成与身份密钥对对应的身份证书并返回；

接收由所述证书授权中心返回的身份证书；

将所述度量值、所述第一签名值以及所述身份证书发送至所述无人设备。

7.一种无人设备远程接管方法，其特征在于，所述方法应用于无人设备，所述方法包括：

响应于由远程接管设备发送的远程接管请求，生成证明请求；

将所述证明请求返回至所述远程接管设备，以使所述远程接管设备响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值，并将所述度量值发送至所述无人设备；

接收由所述远程接管设备发送度量值；

根据所述度量值确定所述远程接管设备是否可信；

在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，并接受所述远程接管设备的远程接管。

8.如权利要求7所述的方法，其特征在于，根据所述度量值确定所述远程接管设备是否可信，具体包括：

获取预先保存在所述无人设备内的所述远程接管设备内各系统组件的参考值；所述参考值用于表征所述远程接管设备内各系统组件的正常运行状态；

当各系统组件中每个系统组件的度量值与对应的参考值均相同时，确定所述远程接管设备可信。

9.如权利要求7所述的方法，其特征在于，根据所述度量值确定所述远程接管设备是否可信之前，所述方法还包括：

接收所述远程接管设备发送的身份证书以及第一签名值；

验证所述身份证书以及所述第一签名值有效。

10.一种无人设备远程接管装置，其特征在于，所述装置应用于远程接管设备，所述装置包括：

远程接管请求发送模块，用于向无人设备发送远程接管请求；

证明请求接收模块，用于接收所述无人设备响应于所述远程接管请求返回的证明请求；

度量值获取模块，用于响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值；所述度量值用于表征所述远程接管设备内各系统组件在指定历史时间段的运行状态；

度量值发送模块，用于将所述度量值发送至所述无人设备，以使所述无人设备根据接收到的所述度量值验证所述远程接管设备是否可信，并在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，以便所述远程接管设备通过远程通信，远程接管所述无人设备。

11.一种无人设备远程接管装置，其特征在于，所述装置应用于无人设备，所述装置包括：

证明请求生成模块，用于响应于由远程接管设备发送的远程接管请求，生成证明请求；

证明请求返回模块，用于将所述证明请求返回至所述远程接管设备，以使所述远程接管设备响应于所述证明请求，获取所述远程接管设备内各系统组件的度量值，并将所述度量值发送至所述无人设备；

度量值接收模块，用于接收由所述远程接管设备发送度量值；

可信确定模块，用于根据所述度量值确定所述远程接管设备是否可信；

远程通信建立模块，用于在确定所述远程接管设备可信时，与所述远程接管设备建立远程通信，并接受所述远程接管设备的远程接管。

12.一种计算机可读存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述权利要求2～9任一项所述的方法。

13.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现上述权利要求2～6任一项所述的方法。

14.一种无人设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现上述权利要求7～9任一项所述的方法。

Images