边缘计算背景介绍

背景介绍

一.什么是边缘计算

总所周知，章鱼是地球上最聪明的生物之一，它们在捕猎的时候异常灵巧迅速，它们的触角又长又多，捕猎的时候是怎么做到配合极为默契，从不会缠绕打结的呢？这得益于它们类似分布式计算的"多个小脑+一个大脑"的构造。作为无脊椎动物，章鱼拥有巨量的神经元，但60%的神经元分布在章鱼的八条腿上(多个小脑)，脑部的神经元仅有40%(一个大脑)，所以这使得它反应特别灵巧迅速。

边缘计算也属于一种分布式计算：在网络边缘侧的只能网关上就近处理采集到的数据，而不需要将大量数据上传到远端的核心管理平台。

再如在日常生活中，当手不小心被开水烫到的时候，我们总是下意识的先收手，然后大脑就反应过来手被开水烫了，把手收回来的过程是由神经末梢直接处理的非条件反射。如果把新号传到大脑，然后大脑再下发指令做动作，耗时太长，只会使伤害加重。这里的大脑就相当于“云计算”，神经末梢就相当于"边缘计算"。

二.为什么使用边缘计算以及它的优缺点

说到“边缘”二字，跟“中央”的意思相反，暗含着“等级低”，“不重要”，“靠边站”的意味。既然如此，大搞“中央计算”就行了，还研究什么“边缘计算”？

从上图可以看出，网络的中央节点是由接入，承载，交换等复杂架构以及各种服务器组成的一朵云，它存在的价值，就是为了满足网络边缘处不同终端形形色色的需求：个人通信，游戏娱乐，智能家居，工业控制等等。
这些应用要求大带宽，低时延，高算力，一个最行之有效的方法就是缩短数据传输的距离，把提供服务的节点从中央下放到网络边缘，离用户更近。这样一来，无论是带宽，时延，还是算力，解决起来就容易了许多，这样的解决方案就叫做“边缘计算”。

三.与云计算、雾计算的区别

1.云计算

例子：企业的正常运转离不开自来水。然而除非有特殊的需求，否则绝大部分企业都不会自行建设自来水水厂，而是会从相应的供应商处购买。企业无需考虑相关基础设施的建设与维护，也不需要考虑规模，只需连接管道和线路，就可以从供应商处获得源源不断的水，并只需要根据用量支付费用即可。

类比云计算：在云计算的帮助下，计算资源也可以如同自来水一样交付给用户。无论是运算、存储、网络等IT基础能力，还是完整的系统或解决方案，用户只需要申请开通就可以从云计算提供商处获得所需要的一切资源，用户不需要考虑为了获得这些资源需要多少服务器或存储设备，更不需要考虑这些硬件的维护和管理。

云计算的不足：

• 大数据的传输问题。如果每人每天产生1.5GB的数据，以中央服务器为节点的云计算可能会遇到带宽瓶颈。
• 数据处理的即时性。据统计，无人驾驶汽车每秒产生约1GB的数据，海量数据的即时处理可能会使云计算中心力不从心。
• 隐私及能耗问题。云计算将比如医疗、工业制造等设备采集的隐私数据传到数据中心的路径比较长，容易导致数据丢失或者信息泄露。

边缘计算的优势：

• 更多的节点来负载流量，使得数据传输速度更快。
• 更靠近终端设备，传输更安全，数据处理更即时。

它们的联系：
了解了云计算的缺点还边缘计算的优点，是不是以后边缘计算要略胜一筹呢？其实不然。它们的侧重点不同。

犹如刚才的那个比喻，如果云计算是章鱼的大脑，那么边缘计算就是章鱼的触角，触角对于外界刺激的反应大都出于本能，而这些不断的刺激产生的结果最后会汇集到大脑中，进而作为触角后续的行为提供决策的依据。由此来看，云计算和边缘计算是一种共生和互补的关系，并不会出现谁取代谁的问题。

2.雾计算

边缘计算和雾计算都是用来处理数据的，在很多场合，边缘计算和雾计算的概念甚至可以互相替换，那怎么来区分呢？
它俩的关键区别，在于数据处理的位置。
边缘计算中，数据是在贴近设备侧处理的。比如传感器的数据通过串口传输到直连的网关内，进行分析处理。
雾计算中，数据处理是在局域网中或连在局域网上的硬件进行处理的。因此，雾计算的数据是在局域网的网关或者雾计算节点上进行的。
边缘计算的计算靠近数据源。边缘计算更关注于物，而雾计算更关注于现场的网络基础设施。
简而言之，边缘计算将智能放在设备侧，而雾计算是放在局域网内。

四.研究背景

1.边缘计算体系架构

表示基于分层设计的边缘计算平台框架，该框架包含四个功能域。由上至下分别为系统域、网络域、数据域和终端域。系统域不直接与各类传感器、智能设备进行交互，而是作为云计算业务下沉后的分布式互联子系统。网络域通过海量联接、自动化运维和实时联接为系统互联、数据聚合与承载提供联接服务。数据域则是边缘计算的核心也是区别于云计算的关键，在边缘侧提供数据预处理与高效优化服务，最底层的终端域通过贴近或嵌入传感、仪表、机器人和机床等设备的现场节点，支撑现场感知设备实现实时的智能互联及智能应用。

2.面I临的网络安全挑战

根据边缘计算网络架构可知，其面I临的网络安全挑战主要集中在终端、数据、网络、系统风险等四方面：

• 边缘计算网络恶意终端渗透攻击安全挑战
  边缘计算终端汇聚接入的物联网感知设备种类繁多、异构多样且动态变化，对其进行分布式授权认证和行为控制存在较大难度。因此，恶意感知设备的接入，提高了感知设备节点以边缘计算终端为跳板的渗透攻击风险。
• 边缘计算网络数据窃取篡改安全挑战
  在边缘计算网络数据域，其核心目的是在用户侧、生产现场侧进行大数据预处理后实现与主站系统的实时交互，以减轻主站系统、云计算中心的集中计算压力。然而，在边缘计算网络数据交互共享过程中，攻击者通过新型网络攻击实施窃听、渗透、侧信道攻击、篡改等破坏行动，可导致用户的隐私、使用信息和密码的泄露，或截取传输信息、控制指令，劫持工业控制系统或边缘计算终端，导致整个系统进入混乱状态。同时，由于新型网络攻击由传统的单点攻击转变为多点突破，检测防御难度加大。而边缘计算网络所传输的监测和控制数据都基于一定的控制周期，要求业务保证连续性和实时性，这些数据对实时性、确定性和稳定性的要求高；因此，在攻击特征不确定性和终端／N络／业务强耦合约束条件下，研究面向新型网络攻击的边缘计算数据高可靠交互与攻击主动防御技术意义重大。
• 边缘计算网络泛在入侵安全挑战
  在边缘计算网络传输网络域，网络类型众多，分布广泛，广泛采用无线mesh网、Zigbee、3G／4G等无线网络进行互联互通，因此传输网络成为渗透攻击边缘计算网络的风险重要来源之一。一方面，以拖延、阻挠或破坏边缘计算终端节点、网络、系统服务能力为目的的网络入侵攻击，严重时将导致边缘计算网络工况失控、通信服务崩溃、系统服务瘫痪，危害边缘计算业务高实时性、高连续性要求。另一方面，新型网络攻击的不断变衍生，传统基于特征匹配的已知攻击入侵检测与事后防御型安全措施己无法应对，亟需开展面向边缘计算网络的网络攻击主动检测与防御技术研究。
• 边缘计算网络全时域空域互联业务攻击传导安全挑战
  在边缘计算网络系统域，伴随计算能力的下沉，业务系统一同下沉至广域分布的现场边缘侧，且和主站云业务形成了全时域空域互联新模式。一旦发生局部网络安全攻击事件，能够迅速在网络中传播，进而影响多达数百万甚至更多的物联网传感设备、用户。如果不采取有效及时的网络攻击处置措施，将严重威胁业务逻辑的准确性、秘密性和完整性，严重的情况下可能危害整个系统的有序健康运行。以电力领域为例，物理电网系统和信息网系统的耦合性愈发增强，使得电力边缘网络引入的网络安全风险将进一步向电网本体传导。而庞大的边缘计算网络产生了海量的网络安全告警事件，依赖人工的事件处置根本无法满足要求。加之当前高级持续性APT攻击由传统的单点攻击转变为多点突破，检测防御难度加大，在边缘计算网络系统全时域空域泛在互联环境下APT攻击检测处置难度更高。因此，快速、有效的安全事件关联分析、协同处置成为边缘计算网络中安全防护需解决的另一个难题。

3.安全防护技术的研究现状

针对边缘计算网络的安全防护技术的研究现状：

• 终端渗透防御方面：
  现有边缘计算终端安全主要利用密码技术、可信计算技术实现终端的安全认证与数据存储计算安全。由于所涉及的密钥管理难度大技术复杂且介入式程度高导致防御成本过高，并不适用于边缘计算环境下多元异构终端的安全防护。同时现有终端信任度评估技术存在信誉度评估准确性差、计算量大等局限性，不能根据边缘计算终端行为特性进行动态学习和动态度量，不能有效检测出恶意终端的渗透攻击行为且不能进行提前防御控制，因而研究成果并不能直接用于边缘计算终端的渗透攻击行为检测和主动防御。
• 数据安全交互方面：
  面向边缘计算网络的数据安全防护需求，当前诸多研究成果关注了边缘计算数据的隐私保护和安全传输，普遍采用密码技术和安全传输协议实现。然而大部分研究成果并未考虑到边缘计算网络环境下的数据传输的实时性要求，因而难以应用于边缘计算数据实时安全交互。此外，现有的研究成果并未考虑受网络攻击情况下对数据传输效率的影响，不能根据网络攻击危害程度自适应调整数据传输方案确保传输效率。因此，现有安全传输技术普遍属于被动防御技术，不能对网络攻击行为进行主动规避或者主动抑制，安全性不能满足边缘计算网络需要。
• 网络攻击检测方面：
  目前面向边缘计算网络的主流入侵检测研究成果集中在异常检测方面，通过深度学习等技术构建边缘计算网络的行为模型，从而基于模型偏差来检测、识别各类网络攻击。在识别出异常后并不能对新型或者未知网络攻击的实施机理进行分析，检测结果不能直接用于后续网络攻击的常态化监测，亦不能对边缘计算网络防护对象起到保护作用。同时，现有的入侵检测技术主要考虑了检测模型的准确性，然而对方法的应用范围考虑有限，对入侵检测的防御成本关注不足。因此，根据网络安全主动防御的定义，现有技术在攻防博弈的过程中，防御收益和攻击损害的平衡性需进一步研究。
• 系统攻击防御处置方面：
  现有针对边缘计算网络系统域的攻击防御技术研究较少，仅少部分研究成果强调了协同、联动处置的必要性。目前，攻击联动高效处置技术主要以基于告警关联分析的防御处置技术和基于状态攻击图的防御处置技术为为主。但是，状态攻击图技术在实旋过程中存在众多局限性，如攻击成功概率的计算、攻击危害指数定义无法准确量化，使得在实际应用中存在计算准确性差的问题，很难根据真实网络安全威胁程度进行有效防御和低成本防御。此外，在边缘计算网络中系统规模庞大的情况下，状态攻防图生成存在空间爆炸问题。如何解决边缘计算网络中大规模互联系统的网络安全事件低成本、快速处置是NP难题。

4.三个关键问题

针对现有工作的不足，论文重点解决以下三个关键问题：

• 平衡安全性和普适性要求，分析入侵和攻击动力传播特性，如何建立边缘计算终端主动防御技术，满足边缘网络终端渗透攻击实时检测和主动防御要求；

• 满足低开销、高实时约束，结合多时间尺度敏感性及业务连续性要求，如何突破不确定特征条件下的边缘计算数据交互过程的主动防御，实现边缘计算网络的高可靠互联、互通

• 针对高效的入侵检测与攻击事件处置要求，如何从时域、空域及安全域全方位建立联动闭环的入侵检测与处置模式，实现关联分析、最优处置，提升边缘计算网络中核心业务系统的生存能力，提供系统对应复杂环境下各种攻击处置响应能力。