异构资源受限的拟态裁决调度算法

Mimic Arbitration and Scheduling Algorithm with Limited Heterogeneous Resources

摘要

针对执行体资源受限场景下的系统威胁状态清除问题，提出一种异构资源受限的拟态裁决调度算法（LEAS）。该算法采用分阶段调度策略，结合随机调度、概率调度及推理调度3种方式，平衡调度开销与异常状态清除效率。实验结果表明，与同类应用场景下的两种常用调度算法相比，LEAS算法的平均异常调度周期在三者中最低，在清除系统威胁状态上具有更高的效率。

Abstract

To address the system threat state removal under resource-constrained executors, a limited executer arbitration and scheduling algorithm (LEAS) is proposed. The phased scheduling strategy is developed by integrating random scheduling, probabilistic scheduling and inferential scheduling, achieving balance between scheduling overhead and abnormal state removal efficiency. Experimental results demonstrate that compared with other two commonly used scheduling algorithms in similar scenarios, the proposed LEAS algorithm exhibits the shortest average anomaly scheduling cycle, suggesting superior efficiency in eliminating system threat states.

Graphical abstract

关键词

动态异构冗余 / 拟态防御 / 内生安全 / 裁决 / 调度

Key words

dynamic heterogeneous redundancy / mimic defense / endogenous security / arbitration / scheduling

当前网络世界攻防双方的博弈促进各类网络防御技术的持续发展，但防御者往往处在被动地位，加之基于软硬件漏洞后门的攻击门槛较低，致使网络空间呈现“易攻难守”的失衡态势。

针对此问题，网络安全领域的研究者开始研究主动防御技术，希望利用系统结构上的优势，扭转网络防御的被动地位。较早的主动防御技术有以SecMVX^[1]、BUDDY^[2]等为代表的非相似冗余架构（Dissimilar Redundancy Structure, DRS）技术，对DRS内的变体生成、同步、监控等关键技术进行研究，探索了DRS在提升系统安全方面的成效。动态异构冗余（Dynamic Heterogeneous Redundancy, DHR）架构技术^[3]在DRS的基础上，引入了服务执行体集与备用执行体集的双重冗余结构，增加了动态、随机、负反馈等机制。研究者将DHR架构技术应用到处理器^[4]、交换机^[5]、路由器^[6]等系统中，对异构度衡量、执行体同步、结果裁决、执行体调度等关键技术进行了研究。其中，裁决通过比较各执行体输出判断系统风险状态，调度动态变化服务执行体集的组成，从而改变系统状态，二者是DHR结构系统判断、调整系统状态的关键。

调度算法最开始使用随机策略以获取系统动态性增益，提高攻击者扫描利用系统漏洞的难度，例如文献[7]结合随机调度与执行体间的异构度，提出一种兼顾动态性和可靠性的随机种子最小相似度调度算法。但其未给出异构度的量化标准。文献[8-10]中提出执行体历史表现、可信度、权重、异构度、高阶异构度等量化指标，并以这些指标为基础计算出执行体的调度优先级。但是这些系数相对固定，缺乏针对环境变化的更新机制。文献[11-13]考虑到了攻击环境变化，将攻击行为负反馈到调度决策过程中，对决策过程进行优化，设计不同量化指标与负反馈机制相结合的调度算法。文献[14-17]则基于微控制器、工控处理器、防火墙等应用场景下的具体需求，对调度算法进行针对性设计优化。近年来随着深度学习技术的发展，文献[18]将深度学习应用到拟态裁决调度过程中，解决由于执行体异构造成的正常输出不一致问题，避免了将假阳性结构误判为网络攻击的情况，提高了网络攻击检测准确率，提升了系统调度效率。

目前裁决调度的通常预设可选的执行体集足够大，有的甚至多达数十个，从而避免产生重复的调度组合，以此获得具备理想动态性的调度方案。且研究也是以提升系统整体攻击难度的预防性目标为主^[19]，侧重从备用执行体集选入到服务执行体集的过程，看重执行体的异构度等难以量化的指标，不太关注系统开销等指标，用较大的时间代价换取较小的安全增益，也不关注在受攻击前提下的系统快速恢复。但是实际情况下，很多对设备的成本、功耗、延迟等有严格要求的应用场景中，可异构冗余的执行体数目受限。例如工业控制、汽车控制、物联网等应用领域的控制设备与传感设备等。在这类应用下对设备的DHR改造，不仅不能具备不受限的备用执行体集，还要尽量缩减服务执行体集和备用执行体集的体量，找到系统动态安全性和功耗延迟之间的平衡。

针对上述应用场景下执行体集受限的现实需求，充分分析了此类应用场景的需求特点，将研究侧重放在从服务执行体选出到备用执行体集的过程，制定快速了解系统状态、定位系统威胁、消除系统威胁为调度目标，提出一种异构资源受限的拟态裁决调度算法（Limited Executer Arbitration and Scheduling algorithm, LEAS）。

1 受限异构资源系统分析

对受限异构资源系统（执行体数目≤5）进行状态分析，用e_i表示第i个执行体，{\sigma }_i表示静态情况下e_i被攻击成功的概率，P_{\mathrm{C}\mathrm{o}\mathrm{A}\mathrm{t}\mathrm{t}}(i,j,\dots ,k)表示e_i、e_j等执行体发生协同攻击的概率，\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}i表示系统所处的某种状态。一个DHR架构系统拥有多种不同状态，但并不会完全被系统准确感知，系统状态分类如下所示。

\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{1}：所有执行体均未遭受攻击，发生概率用P_{\mathrm{1}}表示；

\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{2}：半数以下的执行体遭受攻击，发生概率用P_{\mathrm{2}}表示；

\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{3}：半数以上的执行体遭受攻击，协同攻击执行体数目少于正常执行体数目，发生概率用P_{\mathrm{3}}表示；

\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{4}：半数以上的执行体遭受攻击，有1组协同攻击数目等于正常执行体数目，发生概率用P_{\mathrm{4}}表示；

\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{5}：仅一个执行体未遭受攻击，无协同攻击，发生概率用P_{\mathrm{5}}表示；

\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{6}：半数以上的执行体遭受攻击，协同攻击数目大于正常执行体数目，发生概率用P_{\mathrm{6}}表示；

\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{7}：所有执行体遭受协同攻击，发生概率用P_{\mathrm{7}}表示。

比如，在少数执行体的输出与其他执行体不同时，系统无法分辨是\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{2}还是\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{6}。两种状态表象一致但发生概率不同，分别如式（1）和式（2）所示：

P_{\mathrm{2}}={\displaystyle \sum _{c=\mathrm{1}}^{⌊\frac{m}{\mathrm{2}}⌋}}{C}_m^c{\displaystyle \prod _{b=\mathrm{1}}^c}{\sigma }_{kb}{\displaystyle \prod _{d=c+\mathrm{1}}^m}(\mathrm{1}-{\sigma }_{kd})（1）

P_{\mathrm{6}}={\displaystyle \sum _{c=⌈\frac{m}{\mathrm{2}}⌉}^{m-\mathrm{1}}}{C}_m^c\left({\displaystyle \sum _{a=c}^{m+\mathrm{1}-c}}\left(C_{m-\mathrm{1}}^a{P}_{\mathrm{C}\mathrm{o}\mathrm{A}\mathrm{t}\mathrm{t}}(e_{\mathrm{1}},e_{\mathrm{2}},\dots ,e_a)\right){\displaystyle \prod _{b=\mathrm{1}}^a}{\sigma }_{kb}{\displaystyle \prod _{d=a+\mathrm{1}}^m}(\mathrm{1}-{\sigma }_{kd})\right)（2）

在执行体呈现出来的某种表象包含多种状态时，系统判断出正确的状态，就成了一个概率事件，可能出现4种情况：没有受到威胁判断为没有受到威胁，记为真阴（True Negative, TN）；受到威胁判断为受到威胁，记为真阳（True Positive, TP）；受到威胁判断为没有受到威胁，记为假阴（False Negative, FN）；没有受到威胁判断为受到威胁，记为假阳（False Positive, FP）。目前最主流的做法，是采用大数裁决，即只以表现一致的执行体的数目多少来判别执行体的状态。那么，对于系统的7种状态，就会出现如表1所示的判决。FN误判出现系统在遭受全执行体协同攻击时，此时所有执行体的输出一致，与系统在正常情况下的表现一样。当系统处于\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{1}且执行体不同步时，会出现FP误判的情况，误判概率取决于同步的效率\gamma以及\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{1}的出现概率P_{\mathrm{1}}。在本研究中\gamma只作为一个影响因素纳入考虑，不进行深入分析。在\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{4}状态出现时，系统能准确感知威胁，但无法准确定位威胁，因为存在2组数目相等表现一致的执行体，系统有一半的概率定位威胁时产生错误；在\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{5}状态时和\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{4}的情况类似，系统只有1/m的概率在此情形下准确定位到威胁发生的执行体；在\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{6}出现时，其表现是存在1组数量占优势的一致性执行体，系统可以感受到自己受到了攻击，但是在定位威胁时会发生FN误判，将异常执行体误认为正常。

上述这些误判都会影响到调度操作，从而影响后续状态的快速恢复。总结上述几种状况，得出系统在感知威胁时的准确率为

R_{\mathrm{s}\mathrm{e}\mathrm{n}\mathrm{s}\mathrm{e}}=\frac{N_{\mathrm{T}\mathrm{P}}+N_{\mathrm{T}\mathrm{N}}}{N_{\mathrm{A}\mathrm{L}\mathrm{L}}}=\gamma P_{\mathrm{1}}+{\displaystyle \sum _{i=\mathrm{2}}^{\mathrm{6}}}{P}_i（3）

式中:N_{\mathrm{T}\mathrm{P}}、N_{\mathrm{T}\mathrm{N}}分别表示Tp、TN出现的次数；N_{\mathrm{A}\mathrm{L}\mathrm{L}}表示判决总数。

系统在定位威胁时的准确率为

R_{\mathrm{L}\mathrm{o}\mathrm{c}\mathrm{a}\mathrm{t}\mathrm{e}}=\gamma P_{\mathrm{1}}+P_{\mathrm{2}}+P_{\mathrm{3}}+\frac{\mathrm{1}}{\mathrm{2}}{P}_{\mathrm{4}}+\frac{\mathrm{1}}{m}{P}_{\mathrm{5}}（4）

系统无法准确感知定位威胁，会拉低整个系统的工作效率，延长系统在威胁状态下的持续时间。相比于异构资源丰富的系统，异构资源受限系统内发生协同攻击的可能性更大，无论如何调整执行体组合，协同攻击概率的下限已经确定。因此，系统出现各种状态的概率会随时间变化，使用固定的概率对系统进行整体判断不能适应环境变化。目前主流的调度算法中以提升系统整体攻击难度为主的预防性调度目标也不再适用，以尽快恢复系统正常状态的调整性调度目标更有性价比。

因此，LEAS算法制定了尽快感知威胁、快速定位威胁以及快速消除威胁的目标。同时，结合受限异构资源的应用场景，制定低功耗、低延迟的实现策略。

2 LEAS算法设计

2.1 自适应调度周期的随机调度策略

在系统表现出没有受威胁的情况下，进行随机的执行体调度（简称随机调度）。如果出现新替换执行体的表现和其他执行体不一致的情况，即可认为系统之前遭受了协同攻击。但是，正常情况下所有执行体遭受协同攻击的概率较低，频繁调度对于系统安全并无太多增益，反而会浪费系统资源。为了降低系统在随机调度上的开销，在本阶段以一种较低的频率进行执行体的随机调度，定义该周期为正常调度周期。在系统感知到威胁之后，再提高调度频率以迅速定位威胁并消除威胁，定义从发现异常状态到恢复正常状态的调度周期为异常调度周期。

2.2 基于系统威胁状态概率的调度策略

针对系统无法准确定位攻击的情况，设计了一种基于系统威胁状态概率的调度策略（简称概率调度），用于异常调度周期第1阶段。基本思想是，当系统感知到威胁时，将威胁状态依据现象进行归类，然后以归类的现象可能包含的真实状态概率为基础进行调度。即如果这类现象包括\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{3}和\mathrm{S}\mathrm{t}\mathrm{e}\mathrm{p}\mathrm{6}，则以出现概率较大的状态为认定状态，然后依据这个状态认定，标记执行体状态（正常/异常），依次调度状态异常的执行体。这是一种贪心的策略，寄希望于能有更大的概率判断准确系统状态。

系统威胁状态概率由执行体受攻击成功概率{\sigma }_i及协同攻击概率P_{\mathrm{C}\mathrm{o}\mathrm{A}\mathrm{t}\mathrm{t}}(e_{\mathrm{1}},e_{\mathrm{2}},\dots ,e_l)决定，这两个因素可以人为根据经验设置初始值，但不完全准确，需要根据事实修正，才可以动态适应攻击者攻击模式的转变。这样的策略对于一个执行体受限的系统来说，是必要的。因为在一个资源受限系统，执行体的组合变化有限，攻击者探测系统构造所需的代价远远低于探测一个资源丰富的系统。攻击者更易掌握其中个别执行体的漏洞和后门，从而重复多次攻击相同的执行体。这样的攻击模式应该被记录并反映到调度决策过程中来。

据此设计了执行体历史攻击成功率和最近攻击成功率两个概念。历史攻击成功率是执行体自工作以来，累积在输出结果判决中确认输出错误的次数占总判决次数的比率。最近攻击成功率则是执行体在最近一段时间周期内（周期长短可定义），在输出结果判决中确认输出错误的次数占总判决次数的比率。执行体的攻击成功率{\sigma }_i通过历史攻击成功率和最近攻击成功率加权计算得到。同时，设计了执行体历史协同攻击率和最近协同攻击率的概念。其中，历史协同攻击率是执行体自工作以来，累积在输出结果判决中输出相同错误的次数占总错误次数的比率。最近协同攻击率是执行体在最近一段时间周期内（周期长短可定义）输出相同错误的次数占总错误次数的比率。

为了使调度动态适应攻击者的攻击模式变化，还设置了如下的系统状态概率更新机制。

1） 在异常调度周期第1阶段，调度模块会初次认定系统状态，之后对执行体进行标记（正常/异常），并保存到一个全局变量中；

2） 如果进入异常调度周期第2阶段，在推理调度中发现对系统状态的初次认定错误，则会修正判断，更新上述全局变量；

3） 在异常调度周期结束后，根据全局变量，更新对应执行体的受攻击成功率和协同攻击成功率，依此计算新的系统各威胁状态出现概率。

2.3 基于历史判断回溯推理的调度策略

若概率调度过后，系统的状态并没有发生任何变化，甚至与预期相反，说明调度操作有误。此时应结合执行体前序状态、调度操作，及执行体当前状态等信息，对执行体状态进行一个合理推论，然后切换调度策略。比如，在某个执行体输出结果与其他不同的情况下，对它进行调度，但是新加入的执行体依然与其他执行体表现不同，就可以推论系统的其他执行体遭受了协同攻击。

据此设计了异常调度周期内带回溯推理的调度策略（简称推理调度）。在第1次认定系统状态后，对执行体进行一个状态标记（正常/异常）。第1次概率调度后，对新加入的执行体增加一个标记“新”，如果在后续判决中，发现有执行体的标记为“新&异常”，则说明上次对状态的认定不正确，调度器会修正这个判定，以同类状态中出现概率第二高的状态重新标记执行体，并根据新的标记调度执行体；如果新调度的执行体为正常，则不重新选定状态，依据初次标记逐一调度执行体，直至清除系统威胁状态。

3 算法实现及分析

为验证LEAS算法有效性，将其在一个三模冗余的DHR架构微控制单元（Microcontroller Unit, MCU）上进行了实现。三模冗余的MCU，没有备用执行体，被调度的执行体将在清洗后重新加入服务执行体集。本研究重点在于调度算法，不考虑清洗恢复，因此假设执行体在清洗恢复后，能消除上次攻击带来的影响，作为正常执行体重新加入服务执行体集。执行体的用于调度的数据结构表示为

Struct Executer_sch

{

int nrm_cnt; //历史正常次数

int abn_cnt; //历史异常次数

int rcn_abn_cnt; //最近正常次数

int rcn_abn_bitlog; //最近异常次数

double att_rate; //受攻击成功概率

bool is_nrm; //是否正常

bool is_new; //是否新加入执行体

}

其中，历史攻击成功率R_{\mathrm{h}\mathrm{i}\mathrm{s}\mathrm{A}\mathrm{t}\mathrm{t}\mathrm{R}}为\mathrm{a}\mathrm{b}\mathrm{n}\_\mathrm{c}\mathrm{n}\mathrm{t}在所有判决次数中的占比，最近攻击成功率R_{\mathrm{r}\mathrm{c}\mathrm{n}\mathrm{A}\mathrm{t}\mathrm{t}\mathrm{R}}为\mathrm{r}\mathrm{c}\mathrm{n}\_\mathrm{a}\mathrm{b}\mathrm{n}\_\mathrm{c}\mathrm{n}\mathrm{t}在最近32次判决中的占比。

rcn_abn_bitlog的每个bit代表一次裁决中执行体的输出是否正确，一共有32个bit，记录了最近32次裁决结果。通过统计rcn_abn_bitlog中置1的bit个数，可获取执行体在最近32次裁决中被判断为错误的次数。

在每个调度周期结束时，执行体的nrm_cnt、abn_cnt、rcn_abn_cnt、rcn_abn_bitlog和att_rate根据is_nrm标志位进行更新执行体。执行体协同攻击成功率的更新与此同理。

执行体整体攻击成功率(R_{\mathrm{o}\mathrm{v}\mathrm{r}\mathrm{l}\mathrm{A}\mathrm{t}\mathrm{t}})是R_{\mathrm{h}\mathrm{i}\mathrm{s}\mathrm{A}\mathrm{t}\mathrm{t}}和R_{\mathrm{r}\mathrm{c}\mathrm{n}\mathrm{A}\mathrm{t}\mathrm{t}}的加权平均，可表示为

R_{\mathrm{o}\mathrm{v}\mathrm{r}\mathrm{l}\mathrm{A}\mathrm{t}\mathrm{t}\mathrm{R}}={\alpha }_{\mathrm{1}}{R}_{\mathrm{h}\mathrm{i}\mathrm{s}\mathrm{A}\mathrm{t}\mathrm{t}\mathrm{R}}+{\alpha }_{\mathrm{2}}{R}_{\mathrm{r}\mathrm{c}\mathrm{n}\mathrm{A}\mathrm{t}\mathrm{t}\mathrm{R}}（5）

式中，{\alpha }_{\mathrm{1}}+{\alpha }_{\mathrm{2}}=\mathrm{1}，{\alpha }_{\mathrm{2}}越大，则最近执行体受攻击次数对执行体整体攻击成功率的影响就越大，调度算法对攻击模式转变的反映越灵敏。

一个三模冗余的MCU系统，其执行体所表现出来的状态，可以分为以下几类。

1） 类型1：3个执行体的输出一致，存在所有执行体状态正常表示为S_{\mathrm{1,1}}及所有执行体受协同攻击表示为S_{\mathrm{1,2}}两种可能，概率分别表示为P_{\mathrm{1,1}}和P_{\mathrm{1,2}}；

2） 类型2：执行体E_{\mathrm{1}}输出与E_{\mathrm{2}}、E_{\mathrm{3}}不一致，存在3种可能：仅执行体E_{\mathrm{1}}受攻击表示为S_{\mathrm{2,1}}；执行体E_{\mathrm{2}}、E_{\mathrm{3}}受协同攻击表示为S_{\mathrm{2,2}}；E_{\mathrm{1}}受攻击，执行体E_{\mathrm{2}}、E_{\mathrm{3}}受协同攻击表示为S_{\mathrm{2,3}}，概率分别表示为P_{\mathrm{2,1}}、P_{\mathrm{2,2}}及P_{\mathrm{2,3}}；

3） 类型3：执行体E_{\mathrm{2}}输出与E_{\mathrm{1}}、E_{\mathrm{3}}不一致，和类型2类似，存在3种情况，概率分别表示为P_{\mathrm{3,1}}、P_{\mathrm{3,2}}及P_{\mathrm{3,3}}；

4） 类型4：执行体E_{\mathrm{3}}输出与E_{\mathrm{1}}、E_{\mathrm{2}}不一致，和类型2类似，存在3种情况。概率分别表示为P_{\mathrm{4,1}}、P_{\mathrm{4,2}}及P_{\mathrm{4,3}}；

5） 类型5：3个执行体的输出各不相同，存在4种情况：执行体E_{\mathrm{2}}、E_{\mathrm{3}}受非协同攻击表示为S_{\mathrm{5,1}}；执行体E_{\mathrm{1}}、E_{\mathrm{3}}受非协同攻击表示为S_{\mathrm{5,2}}；执行体E_{\mathrm{1}}、E_{\mathrm{2}}受非协同攻击表示为S_{\mathrm{5,3}}；3个执行体受非协同攻击表示为S_{\mathrm{5,4}}。概率分别表示为P_{\mathrm{5,1}}、P_{\mathrm{5,2}}、P_{\mathrm{5,3}}及P_{\mathrm{5,4}}。

三模冗余的MCU系统整体状态转换如图1所示。从图1可以看出，MCU系统可以通过一次随机调度，将系统从无法感知到威胁的状态切换到可以感知并定位威胁的状态；通过一次概率调度，将系统从无法定位到威胁的状态切换至可以定位到威胁的状态；通过一次推理调度，将系统的受威胁执行体数目减少一个。说明调度策略的每一步，都能达成系统安全增益，并且最多只需要3次调度操作，即可将系统从异常状态恢复到正常状态。

4 对比实验及数据分析

采用仿真实验的方式，在三模冗余的DHR架构MCU调度器上分别实现了随机调度算法、HPF调度算法^[17]和LEAS算法。其中HPF调度算法是一种针对拟态工业控制器的裁决及调度方法，应用场景与LEAS算法类似，也同样面临资源受限的情况。实验主要检验各种调度算法在遭受攻击后，恢复为正常状态要用到的调度周期，该值可以直接反映调度算法的效率。

4.1 实验设置

1）参数设置。为方便计算，算法实现时将执行体初始的攻击成功率均设置为10%，2个执行体协同攻击概率设置为10%，3个执行体协同攻击概率设置为1%。HPF算法定义了一个负反馈阈值，在重复调度次数超过阈值时，才启动负反馈机制。实验中设置阈值为1，相当于立即反馈，与LEAS算法一致。

2）攻击模拟。采用应用程序插桩的方式模拟攻击行为，插桩函数启动，则执行体会将正确输出值+n（n∈[1,10]）后再输出。不同执行体上的插桩函数n的取值概率分布有所不同。在调度器中额外实现了一个计数器，用于记录每次调度器发现系统异常到系统恢复正常状态所用的调度周期，并按序号存储。

3）攻击模式。利用插桩模拟随机攻击和有规律变化攻击两种模式。随机攻击模式下，模拟了1 000次攻击行为，包括针对单个执行体的攻击、针对2个执行体的非协同及协同攻击、针对3个执行体的非协同及协同攻击，不同攻击行为随机分布，出现概率符合所设置的初始参数。在有规律变化攻击模式下，同样模拟1 000次攻击行为，类型与随机攻击相同，只是不同攻击行为出现概率一致且集中出现，用于模拟攻击者在对系统信息有一定掌握的情况下发生攻击模式转变的情形。

4.2 实验结果及分析

1）随机攻击模式。如图2所示，随机调度算法将系统恢复至正常状态最多需要6个调度周期，最少需要1个调度周期，其平均调度周期为1.80个。图3显示了HPF调度算法在负反馈阈值为1的调度周期数，最大值为3，最小值为1，平均值为1.17。图4显示LEAS算法在1 000次攻击中将系统恢复至正常状态所用的调度周期数，最大值为3，最小值为1，平均值为1.13。

上述结果说明随机调度算法的平均异常调度周期最高。因为该算法每次都是随机调度动作，没有前后关联性，存在多次调度不成功的可能。

HPF调度算法相较于随机调度算法增加了裁决结果输入，使调度执行体的精确度升高，平均调度周期降低了35%。LEAS算法采用立即反馈，且在裁决时动态更新执行体攻击成功率等指标，在准确识别受攻击的执行体方面，具有更高的准确度，相比于HPF调度算法，平均调度周期降低了3.4%。

2）有规律变化攻击模式。为进一步确认LEAS算法优势，将二者在有规律变化攻击模式下的调度周期再次进行测试比较，所得结果如图5~图6所示。图中横坐标轴表示攻击次数，1~200为针对单个执行体E_{\mathrm{1}}的攻击，201~400为针对E_{\mathrm{1}}、E_{\mathrm{2}}的非协同攻击，401~600为针对E_{\mathrm{1}}、E_{\mathrm{2}}的协同攻击，601~800为针对所有执行体的非协同攻击，801~1 000为针对所有执行体的协同攻击。

从图5可以看出，HPF调度算法处理针对单个执行体的攻击只需要1个调度周期。处理针对E_{\mathrm{1}}、E_{\mathrm{2}}的非协同攻击时可能需要2~3个调度周期。处理针对E_{\mathrm{1}}、E_{\mathrm{2}}的协同攻击以及针对所有执行体的攻击时，HPF的调度周期数都为3个。所有攻击的平均调度周期数为2.50个。

从图6可以看出，LEAS算法处理针对单个执行体的攻击需要1个调度周期。处理针对E_{\mathrm{1}}、E_{\mathrm{2}}的非协同攻击最初需要2~3个调度周期，后续仅需2个调度周期。处理针对E_{\mathrm{1}}、E_{\mathrm{2}}的协同攻击时最初需要3个调度周期，后续仅需2个调度周期。在处理针对所有执行体的攻击时，调度周期为3个。所有攻击的平均调度周期为2.24个。

LEAS算法相比于HPF调度算法，主要优势在于处理针对两个执行体的攻击上。E_{\mathrm{1}}、E_{\mathrm{2}}非协同攻击时，3个执行体的表现都不一致，HPF调度算法会随机调度3个执行体，存在一定概率先调度了正常的执行体E_{\mathrm{3}}，使调度周期达到3个。在E_{\mathrm{1}}、E_{\mathrm{2}}协同攻击时，HPF调度算法的择多策略会导致第一次调度一定是选择E_{\mathrm{3}}，使调度周期数达到3个。LEAS算法会根据历史判决更新执行体攻击成功率及协同攻击率，概率更新完成后，会精准识别当前系统状态，将调度周期数从3个降为2个。因此，LEAS算法在有规律变化攻击,且各攻击类型分布均匀的情况下，平均异常调度周期更低，相比于同等情况下HPF调度算法降低了10.4%。

5 结束语

以快速消除系统异常状态为主要目标，以低开销、快决策为次要目标，基于系统威胁状态概率进行调度决策，综合采用自适应调度周期、执行体威胁指标更新及负反馈即时修正等策略，提出一种异构资源受限条件下的LEAS算法。在自助研发的三模异构冗余MCU平台上实现该算法后，与同类算法的对比实验表明，LEAS算法的平均异常调度周期缩短了3.4%~10.4%，快速响应特性和攻击模式适应能力显著提升了系统调度效率。

参考文献

[1] LI B Z， ZHANG Z， WANG X M， et al. SecMVX： analysis on the vulnerability of multi-variant execution［J］. China Communications， 2021，18（8）：85-95.

[2] LU K J， XU M， SONG C Y， et al. Stopping memory disclosures via diversification and replicated execution［J］. IEEE Transactions on Dependable and Secure Computing， 2021，18（1）：160-173.

[3] 邬江兴.论网络空间内生安全问题及对策［J］.中国科学：信息科学，2022，52（10）：1929-1937.

[4] 魏帅，于洪，顾泽宇， 面向工控领域的拟态安全处理机架构［J］.信息安全学报，2017，2（1）：54-73.

[5] 宋克，刘勤让，魏帅，基于拟态防御的以太网交换机内生安全体系结构［J］.通信学报，2020，41（5）：18-26.

[6] 张进，葛强，徐伟海，拟态路由器BGP代理的设计实现与形式化验证［J］.通信学报，2023，44（3）：33-44.

[7] 刘勤让，林森杰，顾泽宇.面向拟态安全防御的异构功能等价体调度算法［J］.通信学报，2018，39（7）：188-198.

[8] WU Z Q， WEI J. Heterogeneous executors scheduling algorithm for mimic defense systems［C］∥Proceedings of the 2019 IEEE 2nd International Conference on Computer and Communication Engineering. Piscataway，USA： IEEE， 2019：279-284.

[9] 贾洪勇，潘云飞，刘文贺， 基于高阶异构度的执行体动态调度算法［J］. 通信学报，2022，43（3）：233-245.

[10] ZHANG W J， WEI S， TIAN L， et al. Scheduling algorithm based on heterogeneity and confidence for mimic defense［J］. Journal of Web Engineering， 2020，19（7）：971-998.

[11] 杨林，王永杰，张俊. FAWA：一种异构执行体的负反馈动态调度算法［J］.计算机科学，2021，48（8）：284-290.

[12] 余飞，刘可，耿洋洋，基于差异距离反馈的多执行体裁决算法与调度算法［J］.计算机应用研究，2022，39（5）：1437-1443.

[13] 张青青，汤红波，游伟，基于演化博弈的NFV拟态防御架构动态调度策略［J］.计算机工程，2022，48（4）：30-38.

[14] 宋克，欧阳玲，张文建， 一种软硬件协同的拟态调度裁决器设计方法［J］.信息工程大学学报，2020，21（5）：593-600.

[15] 杨汶佼，刘星宇，张奕， 一种针对拟态工业控制器的裁决及调度方法［J］. 信息安全研究，2022，8（6）：534-544.

[16] 刘文贺，贾洪勇，潘云飞.基于执行体防御能力的拟态防火墙执行体调度算法［J］.计算机科学，2022，49（）：690-695.

[17] 潘云飞.拟态构造API网关的调度与裁决机制研究［D］.郑州：郑州大学，2023：1-79.

[18] 杨晓晗，程国振，刘文彦，基于深度学习的拟态裁决方法研究［J］.通信学报，2024，45（2）：79-89.

[19] 朱正彬，刘勤让，刘冬培，拟态多执行体调度算法研究进展［J］.通信学报，2021，42（5）：179-190.

基金资助

国家重点研发计划(2022YFB4401401)

河南省科技攻关计划(242102211066)