A Trust-Boundary Reference Architecture for Secure Cyber-Physical Agriculture: Design and Software-Based Proof-of-Concept for Smart Irrigation
Alvertos Ioannis Mourikis · Iosif Polenakis · Christos Sarantidis 等 5 人
提出面向智慧灌溉的安全参考架构，用软件验证可抵御重放与欺骗攻击。
七层三面参考架构、信任边界分类、确定性软件概念验证与LoRaWAN开销分析。
安全控制器在6种攻击场景下0次被攻破，负控制全部被攻破，且误报率为0。
可研究边缘验证控制与采样率、漂移、故障模式的映射，以及安全时间与失效安全状态选择。
面向智慧灌溉的信任边界参考架构论文，方法新颖、含软件验证与量化开销数据，但属概念验证、非田间实证，产业影响有限，可作为技术前沿精选。
智能灌溉既是一个物联网(IoT)问题，也是一个运营技术(OT)问题：软件决策直接作用于阀门、水泵、压力和水流输送，因此被欺骗的读数或被重放的命令会产生物理后果。本文提出了一种技术中立的参考架构，使这些后果可控。该架构由七个功能层和三个横切面、六类信任边界(规定每次跨越边界时必须重新建立哪些属性)，以及一份可审计的核心资产清单(配有明确的信任等级评定标准)组成。两条主导性执行原则保障了这一结构：本地安全授权，即将最终执行许可保留在田间网关、远程终端单元(RTU)或可编程逻辑控制器(PLC)处；以及反馈感知执行，即只有当独立的物理反馈予以确认时，才将命令视为完成。该架构以工业控制中的过程感知和安全监督思想为基础，将物理确认设为本地执行点的强制性完成条件，从而能够捕获完全获得授权但在物理上仍不安全的命令——这是仅靠授权检查无法检测到的失效模式。这些特性通过一个确定性、公开可用的软件概念验证进行了检验，该验证依据其自身的验收标准对设计进行评估；这不是现场验证。该软件在相同且受控的条件下，针对一个故意不设防护的阴性对照和一个安全控制器，执行了六种攻击与故障场景以及一项标称运行对照：阴性对照在所有6种攻击场景中均被攻破，而安全控制器为0/6，对合法运行的误报为0/1。分析表明，该设计每条记录额外增加21字节和50–60%的LoRaWAN(LoRaWAN)空中时间，且信任评分输入的78%单步扰动不会改变资产分类：执行器类(A2)完全稳定，网关/RTU/PLC类(A3)在7种可允许扰动中有6种保持稳定(86%)，仅当其凭证/更新权限达到信任锚阈值时才会改变。还提出了从采样率、测量漂移和物理故障模式到其所决定的边缘验证控制的传感器级映射，以及安全时间、计数器恢复和故障关闭与故障打开安全状态之间选择的保障措施。