48、不透明系统综合的动态观测器

不透明系统综合的动态观测器

1. 引言

在设计诸如互联网、移动电话、电子投票系统等大型开放网络上部署的服务时，安全是最重要且具有挑战性的方面之一。对于这些易受恶意攻击的服务，验证其安全性的方法至关重要。安全属性通常分为完整性、可用性和机密性三类，这里主要关注机密性，特别是信息流动属性。

使用不透明性（opacity）的概念来形式化信息不流动，即攻击者无法推断某个谓词的真实性。例如，对于系统 G 的运行，攻击者仅观察部分事件，且知道系统模型 G，但不应能推断出运行是否满足某个谓词 ϕ。若对于满足 ϕ 的每个运行，都存在从攻击者角度观察等价但不满足 ϕ 的运行，则称秘密 ϕ 对于 G 关于给定的部分观察是不透明的。

1.1 相关工作

从监督控制的角度，已有研究探讨不透明系统的综合方法。这些框架中，部分事件不可控，外部攻击者可观察的事件集固定。通常的做法是使用监督器（或控制器）C 限制系统 G 的行为，使秘密 ϕ 在受监督系统 C(G) 中不透明。但这些方法具有侵入性，需要修改系统 G。

1.2 本文贡献

本文考虑动态观测器，通过动态改变可观察事件集来确保不透明性。与监督控制理论的方法相比，这种方法不限制系统 G 的行为，只是在系统执行过程的不同点隐藏一些事件。主要贡献有两点：一是将静态观测器的不透明性概念扩展到动态观测器，并展示如何在动态观测器由有限自动机给出时检查不透明性；二是给出计算所有能确保给定系统 G 中秘密 ϕ 不透明的动态观测器集合的算法，还考虑计算成本最低的动态观测器的优化问题。

2. 符号和预备知识

2.1 基本符号

• 设