基于定时自动机的工业机器人系统建模与风险评估方法

《COMPUTERS IN INDUSTRY》：A timed automata-based approach for modeling and risk assessment of industrial robot systems

　　

姜文琪|李中伟|刘晓生|金贤基|顾林宇|李青阳

哈尔滨工业大学电气工程与自动化学院，中国哈尔滨

摘要

工业机器人系统（IRSs）表现出强烈的信息物理耦合特性，传统的风险评估方法无法准确捕捉这一特性，因为它们缺乏对互连组件和状态转换约束的建模能力。这种差异导致评估结果与实际系统行为之间存在显著偏差，从而削弱了安全评估的有效性。本文提出了一种基于定时自动机的方法，用于对IRSs进行建模和风险评估。通过分析系统的网络和功能特性，使用定时自动机构建了物理状态和信息状态模型。然后通过状态相关性分析将这些模型集成起来，以解决独立构建模型所带来的局限性。此外，引入了一种加权双向PageRank方法来量化正常状态和风险状态，并考虑了状态转换权重。为了验证所提出的方法，使用支持定时自动机建模和形式验证的Uppsala Aalborg模型检查环境，开发了一个印刷电路板自动生产线的IRS模型，并进行了相应的风险评估。结果表明，该模型能够有效模拟系统操作和风险利用过程，风险分布模式与现实世界观察结果高度吻合。这些发现证明了所提出方法在提高IRS风险评估准确性方面的有效性和实用价值。

引言

工业机器人系统（IRSs）作为智能制造的重要组成部分，已广泛应用于各个工业领域，包括金属焊接、汽车装配和通用制造（Aviles-Vi?as等人，2015年；Yin等人，2018年；Paryanto等人，2015年）。随着标准互联网协议和工业以太网的日益普及，IRSs的网络功能得到了扩展，提高了生产力和产品质量。然而，这种更高的连通性也引入了许多潜在的安全漏洞。

2017年，IOActive发布的一份安全测试报告指出了几家知名制造商（包括SoftBank Robotics和Universal Robots）存在的重大漏洞。这些漏洞使攻击者能够利用机器人的麦克风和摄像头进行监控、数据窃取，甚至造成物理损害。以Universal Robots的机械臂为例，IOActive展示了六个漏洞（包括服务认证问题）可以被利用来绕过安全限制。通过远程网络访问，攻击者禁用了安全功能，包括安全平面、紧急按钮和传感器，导致机械臂行为异常并造成物理损坏。2023年，罗博茨公司Asea Brown Boveri Ltd.成为Black Basta勒索软件集团的攻击目标，数百台设备受到影响，工厂生产周期受到严重干扰。2024年，叉车制造商Crown Equipment遭受网络攻击，导致所有信息技术系统关闭，生产中断了一周多。此类漏洞威胁到IRS操作的机密性、完整性和可用性。例如，攻击者可能通过发送大量恶意流量来执行拒绝服务（DoS）攻击，消耗网络资源，干扰机器人控制器服务，导致操作延迟或停止，从而降低整体生产力。此外，攻击者可能进行运行时控制命令注入，操纵机器人控制器接收到的命令，触发异常状态转换，执行非预期的操作，扰乱系统的预期流程。

作为典型的信息物理系统（CPSs），IRSs容易受到协同信息物理攻击的影响，这种攻击同时危及信息和物理系统，导致比孤立攻击更严重的后果。因此，风险评估技术对于量化和优先处理IRS操作的风险至关重要，有助于安全工程师做出明智的决策。传统的信息安全风险评估方法往往无法准确识别风险并捕捉信息域和物理域之间的相互作用，导致评估结果与实际情况存在显著差异。此外，广泛使用的基于指标的模型通常只能提供系统安全状态的部分视图，并且严重依赖专家判断，从而影响客观性。

为了解决这些挑战并提高高度耦合的信息物理领域中风险评估的全面性和客观性，本文提出了一种结合状态建模和风险评估的集成方法。通过构建统一的信息物理状态模型并分析状态节点之间的风险值，该方法能够更准确地反映真实系统状况。使用定时自动机构建独立的物理状态和信息状态模型，然后将其对齐以形成集成状态模型。随后应用加权双向PageRank算法来量化IRS内的风险。

本文的其余部分安排如下：第2节回顾了IRS建模和信息安全评估的现有研究。第3节介绍了物理和信息组件的建模方法及其集成方法。第4节介绍了风险嵌入的状态转换，并详细介绍了所提出的风险评估方法。第5节通过案例研究验证了该方法，并分析了评估结果。最后，第6节总结了研究结果，并提出了提高IRS安全性的建议。

章节摘录

相关工作

工业机器人在制造业中发挥着关键作用，推动了各种类型机器人动态、轨迹和功耗建模技术的相对成熟发展。IRSs的通信网络涉及众多异构设备、高度特定的协议、时间敏感的服务周期以及与物理操作区域的紧密集成。这些特性给准确建模信息和通信带来了重大挑战

在本节中，按照图2所示的过程对IRSs的信息物理状态进行了建模，该过程包括三个阶段：物理状态建模、信息状态建模和状态模型融合。从IRS的正常操作中提取行为序列，利用定时自动机理论构建物理状态模型。通过捕获IRS内的信息流来制定信息状态模型，明确

在前一节中开发的IRS融合模型捕获了正常操作期间的状态转换模式。我们扩展了融合模型以包含风险状态，分析了包含风险状态节点的IRS融合模型中的风险影响概率分布，并详细解释了基于加权双向PageRank（Weighted BiPR）的风险评估算法。

为了验证所提出的IRS建模和风险评估方法的有效性，本研究采用了构建的PCB自动生产线（图10）作为实验对象。图11展示了PCB自动生产线的物理布局以及简化的网络连接图。在该系统中，主控制器（MC）负责调节导轨的启动和停止，而机器人控制器（RC）管理机械臂的任务执行。

本文提出了一种构建IRS状态模型的新方法，并提出了一种基于状态模型的信息安全风险评估方法。所提出的方法侧重于整合与信息物理状态转换相关的约束，并分析状态节点的拓扑结构。在状态建模过程中，将定时自动机理论纳入IRS状态模型，利用概率分布来捕捉潜在风险对状态转换的影响。

刘晓生：软件开发。金贤基：形式化分析。顾林宇：验证。李青阳：撰写与审稿。姜文琪：方法论设计。李中伟：概念化。

所有作者均未披露任何相关关系。

无