ZTSafe：面向零信任时间敏感工业网络的安全认证风险自适应调度

《Future Internet》：ZTSafe: Safety-Certified Risk-Adaptive Scheduling for Zero-Trust Time-Sensitive Industrial Networks

　　

摘要

零信任安全持续重新评估工业设备的可信度，并通过重路由、隔离或重新调度流量来作出反应。然而，在承载反馈控制回路的时间敏感网络（TSN）中，每一次此类反应本身也是一种控制平面扰动：即便一次满足所有截止时间的重路由仍然可能传递过时的测量数据，而一个在重新配置中途崩溃的优化器则可能使网络处于未定义状态。本文提出 ZTSafe，一种将物理安全——而非攻击阻断——作为保证对象的调度架构。该保证包含两个层次：对通信契约的遵守在有明确被控对象、扰动、同步和可信基假设的条件下，产生确定性的不变性结果；而风险上界的1???覆盖率则是经验性概率校准结果。ZTSafe（i）离线地为每个控制回路综合出一份通信安全契约，该契约对延迟、信息年龄（AoI）、连续丢包、抖动和路径风险进行约束，使得在上述假设下物理状态保持在安全集内；（ii）将零信任证据转化为保守的风险上界，并将可接受的路径风险预算与被控对象的运行时安全裕度相耦合；以及（iii）将调度优化器置于可信计算基之外：一个独立的运行时防护层对每个拟议的调度方案与契约进行核验，当求解器超时、崩溃或无可行解时，系统原子性地切换到预先验证的回退方案，而非执行未经验证的近似解。此处"已验证"意味着由防护层独立检查，而非机器验证；防护层本身的系统性缺陷或剩余可信计算基的失陷将使确定性主张失效。在一个具有三个物理控制回路和十四种攻击及故障场景的硬件 TSN 测试平台上，ZTSafe 相对于最强基线将安全集违规降低了 92.9%（从 12.8% 降至 0.9%；两比例，），同时保持 94.3% 的关键流量按时完成率，在三个控制周期内恢复，并在 10,000 次注入的求解器故障中执行了零个未验证配置。