《数字孪生：安全威胁综合性综述》73页长综述

工业 4.0 通过现代化和优化生产与分销流程，对价值链产生了越来越积极的影响。在这一流程中，数字孪生（DT）是工业 4.0 最前沿的技术之一，它提供了预测、优化和估计状态和配置的模拟能力。反过来，这些技术能力也鼓励工业利益相关者投资于这一新模式，但确实需要更加关注其中的风险。更确切地说，部署 DT 的基础是网络物理系统、工业物联网、边缘计算、虚拟化基础结构、人工智能和大数据等技术的组成。然而，所有这些技术的融合以及在现实世界中与 DT 物理对应设备的隐性交互会产生多种安全威胁，而这些威胁尚未得到充分研究。在此背景下，本文分析了 DT 范例的现状，并对与之相关的潜在威胁进行了分类，同时考虑到其功能层和操作要求，以实现更完整、更有用的分类。我们还提供了一套初步的安全建议和方法，这些建议和方法有助于确保适当、可靠地使用 DT。

按照工业 4.0 最初追求的目标，新信息技术（IT）正被纳入产品和服务的自动化、生产和分销过程。在工业 4.0 的尖端技术中，数字孪生（DT）是最突出的技术之一。数字孪生的最初概念源于 1970 年，当时美国国家航空航天局（NASA）要求对航空航天任务（如阿波罗 13 号飞船）的物理组件进行监控，以便诊断问题并提供行之有效的解决方案[1]。然而，这种模拟现实世界系统的方式并不能准确描述当前的 DT 概念，它远不止是一个虚拟化系统[2, 3]。

今天人们所理解的 DT 概念是由 Michael Grieves 在其产品生命周期管理 (PLM) 执行课程中提出的 [4]，后来又在 [5] 中提出。根据这一概念，DT 通常被认为是 "模拟、仿真、镜像或孪生物理实体生命周期的机器（物理和/或虚拟）或基于计算机的模型 "的组合[1]。也有其他类似的定义，如 "将物理实体与虚拟对应物相结合的系统，利用虚拟和物理环境的优势，使整个系统受益"[6]，"对已建成的车辆或系统进行多物理场、多尺度、概率性的综合仿真，利用现有最佳物理模型、传感器更新、机队历史等，以反映其相应的飞行寿命"[7], "物理设备或系统的计算机化模型，代表所有功能特征以及与工作元素的联系"[3]，以及 "真实世界实体和过程的虚拟代表，以指定频率和保真度同步"[8]。

因此，DT 的目的是利用基于规范的技术[9-12]、数学模型[13,14]和应用编程接口（API）[15]，通过数字资产来描述物理资产的特征，所有这些技术都在服务器和/或虚拟化资源（如虚拟机（VM）、容器和虚拟网络）上运行，其主要目的是预测错误、差异主要目的是预测可能改变系统自然行为的错误、变化和相关偏差。反过来，这些服务器与物理世界相连，以便与现实世界的组件进行交互。因此，Grieves 将 DT 与三个主要空间联系起来（见图 1，基于 [4] 和 [15]）：

物理空间：包括现实世界中的操作技术（OT），如传感设备、执行器和控制器（如远程终端单元（RTU）和可编程逻辑控制器（PLC））。
数字空间：通过使用能够模拟状态、条件和配置并对物理空间做出决策的数字资产来表示物理资产[2]。
通信空间：连接物理空间和数字空间，允许 DT 通过信息流和流程干预生产操作。

关于通信空间，格里夫斯在[4]和[5]中强调了双向接口在 DT 中的重要性；即来自物理资产的数据由数字资产处理，而数字资产则创造新的有用信息，并将其发送回物理空间。这就是物理空间和虚拟空间之间的数字线程[16]。这种通信的一些例子如下 (i) 一个 DT 将其模型与物理模型同步，以保证生产过程中的一致性（例如，用湿度、温度和压力等相等的环境参数构建场景）；(ii) 一个 DT 接收来自物理世界的信息，并将其与自己处理过的信息进行比较，这对检测异常和入侵特别有用；(iii) 一个 DT 建立配置规则和参数，以改变物理资产的行为。

DT 与传统模拟器的区别就在于这种通信。DT 连接到物理世界，并通过定制的模型（例如，通过实现设备的逻辑及其参数，如时间、位置、地点、流程、功能、几何形状等）对物理世界进行细化和精确的表述[6]。[6]). 与此相反，传统的模拟器并不集成这些专业模型，而这些模型能详细地再现物理世界的特定特征，并在空间之间建立双向界面。

为了进一步澄清这些差异并突出 DT 的特点，Kritsinger 等人在文献[2]中指出了镜像系统的三种变体，并将它们归类为：数字模型，一种与现实世界没有自动连接的孤立系统；数字影子，一种在物理空间和虚拟空间之间自动进行单向通信的系统；数字孪生，一种在两个空间之间自动进行双向连接的系统。图 1 显示了一个数字孪生系统的实例。该 DT 描述了现实世界中飞机涡轮机的行为，其中收集了来自物理资产的信息（例如传感器数据）并将其发送到 DT，以触发仿真模型。同样，数字资产可以建立配置和执行命令，从而改变物理对应设备的状态，以保持、优化或提高其组件的运行性能。

为了实现上述目标，数据传输系统必须能够整合算法、技术和通信系统，这些系统能够共同表示状态并做出决策，以便在必要时自动对物理资产采取行动。Minerva 等人在文献[15]中考虑了这一原理，将 DT 概念与物联网（IoT）联系起来，以加强空间之间和技术之间的互动。这些技术从网络物理系统（CPS）到工业物联网（IIoT）和边缘计算，并利用了人工智能（AI）和大数据（BD）技术。这种技术异质性也意味着 DT 的设计可以千差万别，从由连接到智能设备的服务器内运行的虚拟资源组成的简单 DT 系统，到逻辑遍布整个系统并在网络边缘提供支持的更复杂设计，不一而足。这些 DT 设计可用于表示具有不同复杂程度的不同应用场景[17]：(i) 一种产品，即观察物理资产运行情况的单个 DT；(ii) 一种流程，即观察生产/装配线等更大范围的情况；(iii) 一种系统，即用于描述复杂网络或工业设施特征的一组产品和流程模型。

迄今为止，无论是工业应用（参见表 1 和 [18]）、智能城市场景 [19]、灾害管理 [20] 还是军事环境 [21]，已有多个使用案例显示了上述设计的实用价值。Gartner 在其年度战略技术排名中也强调了这一实用性，将 DT 范式列为十大战略技术之一：2018 年[22]和 2019 年[23]排名第四，2020 年[24]排名第一。一项市场研究[17]也强调了这一趋势，该研究证实，2020 年 DT 市场规模最初为 31 亿美元，预计到 2026 年将达到 482 亿美元。

表 1：使用 DT 模式的一些实例

来自不同私营和公共经济部门的兴趣也吸引了科学专家的关注，他们在将 DT 技术应用于自动化和工程学相关领域方面投入了大量精力。然而，网络安全问题尚未得到充分探讨，这主要有两个原因：(a) DT 被视为关键系统，因为它们参与了自动化过程[5]；(b) DT 还包含知识产权，代表了物理世界的数字副本[48]。很明显，这两个方面对于那些可能试图破坏组织的业务模式、损害其声誉或造成不可挽回的损失（尤其是在关键基础设施方面）的对手来说是非常重要的。此外，在考虑一般的 DT 场景时，我们还注意到，对手可能不仅从物理空间对 DT 造成伤害，还可能从数字空间对 DT 造成伤害，从而控制底层基础设施及其物理资产。显然，攻击面差别很大，因为 DT 模式的基础是通过通信系统、技术和算法实现两个世界的互联。

因此，本文的主要目的是调查与 DT 范式相关的大量潜在威胁，这需要从上述三个工作空间的角度对该范式所涉及的不同技术进行研究。然而，如果我们不考虑 [49] 和 [15] 中提出的数字孪生的分层概念，此类研究工作将是不完整的，这与 ISO 23247-Part 2 [50]（首个针对制造场景的 DT 标准）给出的基于实体的抽象类似。如图 2 所示，每一层都建立了一套由多个接口、技术和计算系统提供的基本服务（如数据传播和获取、同步、数据建模、模拟、表示）。事实上，由于这些技术和计算系统的集成也会带来严重的安全风险，因此我们在本文中根据这些功能层及其相应的技术对威胁进行了分类。

此外，由于数据传输系统被认为是一个关键系统，可能会引起对手的极大兴趣，尤其是在关键基础设施中使用时，因此必须考虑其运行要求的满足情况，以便对威胁进行更深入和有用的研究。例如，数据传播层（与物理和通信空间相对应）的重要数据和资源缺乏完整性或不可用，可能会对同步服务以及 DT 模拟的精度和粒度质量产生不可预见的影响。这种影响反过来又会导致 DT 所提供的最终服务中的无效决策（自动或手动），从而改变所观察到的物理资产（产品、流程或系统）的行为。此外，与数字空间相对应的技术部署中存在的安全漏洞也会对数字地面站的可靠性和安全性产生影响。攻击者可以 (i) 增加大量计算开销，限制模拟进程；(ii) 操纵和伪造相关信息，破坏表示模型的保真度和粒度；(iii) 从数字空间控制实物资产，外泄敏感信息。此外，如果关键系统的运行严重依赖 DT 的仿真服务进行维护、优化和恢复，那么最终攻击的后果将是毁灭性的，导致网络物理要素的基本资源和服务瘫痪和中断。

在此基础上，本文其余部分的结构如下：第 2 节补充了有关 DT 范例的初步概念，确定了功能的主要层次以及与这些层次相关的技术。第 3 节包括 DT 的运行要求，鉴于 DT 运行可能会受到潜在威胁的严重影响，尤其是当 DT 技术用于关键基础设施时，对这些要求进行研究至关重要。第 4 节将详细分析这些威胁，并根据 (i) 可成为 DT 一部分的技术和 (ii) DT 可基于的功能层进行分类。在第 5 节中，我们介绍了在更可信和更受保护的情况下使用 DT 时需要考虑的初步安全方法。最后，第 6 节概述了结束语和未来工作。