ROS 2与DDS机器人网络安全：身份、权限与恢复

机器人网络安全保护能够改变物理世界的命令和状态的控制权限、完整性、机密性和可用性。资产包括操作员会话、 ROS 2 节点、 DDS 参与者、主题、服务、动作、参数路径、控制器、更新系统、凭据及其连接网络。

ROS 2 安全可以通过支持的中间件利用 DDS 安全能力来认证参与者、控制访问并保护通信。这些机制需要公钥基础设施、签名策略、受保护的私钥和生命周期操作。它们不能取代操作系统的加固、网络分段、监控或独立的安全功能。

将本指南与 ROS 2 实时控制指南 及 机器人网络比较结合使用。安全控制必须测试对抗性拒绝和通信失败时机器人行为的限制性。

地图指令、资产与物理后果

从一条相关路径开始，例如操作员向控制器发送轨迹。列出身份、进程、主题、服务、发现、配置、网络区域、凭证和最终执行器。说明未经授权发布、订阅、重放、拒绝或参数变化可能带来的物理影响。

包括维护笔记本、 CI系统、车队服务、远程支持和备份。信任通常通过更新或凭证发放进入，而非运行时主题本身。分配所有者和预期的通信流，使后续访问规则描述最小作业，而非开发过程中可见的每个节点。

ROS 2 安全建立在中间件能力之上

ROS 2客户端库通过 RMW 实现进行通信。基于 DDS的 RMW 可以通过ROS 2安全配置应用DDS安全认证、访问控制和加密插件。功能支持和默认因中间件和版本而异，因此应核实已部署的实现，而不是假设 ROS API 名称能证明加密。

将安全设置为执行模式以进行生产测试。宽松策略可以在遗留文件缺失时允许启动，这对诊断很有用，但也可能悄然移除预期保护。捕获网络流量并尝试未经授权的加入以证明活跃行为。

层	控制	证据	未测试
身份	证书与私钥	认证参与者	未知节点
授权	签名许可	允许的图操作	禁刊
治理	域安全策略	发现与保护设置	未认证连接
交通	加密插件	受保护的RTPS流量	降级或明文
机器人应用	指挥年龄与界限	安全接受的行动	有效但陈旧的命令

密钥存储区分信托锚点和安全域文件

SROS 2 密钥库包含证书授权材料、公共信任锚和逐区密钥、证书和签名权限。身份和权限信任链可以分开。根据其角色保护 CA 和私钥材料；一个可读或可修改的密钥目录可以在不攻击加密的情况下破解策略。

ROS 2安全密钥库文档解释了治理、身份、权限和安全域文件。记录准确的路径、所有权、备份和配置方法，而不是将一个开发密钥库复制到车队中。

安全域遵循部署和权限边界

安全域为进程或进程组赋予身份和访问控制规则。仅将真正共享权限和生命周期的组件分组。将所有节点放在一个安全域中使策略更易，但会扩大一个进程被攻破或密钥泄露的影响。

将隔区与容器、服务、机器人和维护角色对齐。在可行的情况下，使用独立于主机路径的稳定名称。记录进程如何选择其安全域，以及当请求工件缺失、过期或被错误的信任锚点签名时会发生什么。

权限应表达最小权限

只允许角色所需的域、主题名称、服务、动作和指令。将命令发布者与遥测订阅者分开。限制可能改变控制器的参数和生命周期操作。从开发图生成的策略是起点，而非最小权限的证明，因为可能存在临时工具。

测试每个关键路径的负面案例：未经授权发布、敏感数据订阅、服务调用、动作目标和发现。策略审查与代码审查同时进行。新主题或更名命名空间应默认拒绝访问，直到评估其需求和物理影响。

职责	允许	默认拒绝	身体问题
操作员用户界面	批准的任务目标	直接转矩主题	无界运动
控制器	状态输入与驱动器命令	机器人车队管理	执行器权限
认知	传感器读数与估计	运动指令	受损模型
伐木工	选定的只读遥测	服务与参数	特权膨胀
维护	限时诊断	自动生产指令	远程滥用

网络分段限制了暴露和移动

根据所需的流程，设立独立的机器人小区、安全网络、控制管理、企业服务、无线设备和面向互联网的系统。使用防火墙、允许列表、认证网关和监控远程访问。即使有一个凭证或主机被攻破，分段也会降低可达性。

NIST SP 800-82 第3版 提供了考虑性能、可靠性和安全约束的操作技术安全指导。在测量机器人截止时间和恢复行为时应用控制措施；增加无限延迟的安全设备会带来另一种运行隐患。

凭证生命周期比初始颁发更为复杂

定义注册、存储、续期、撤销、替换、时钟要求和紧急访问。短寿命证书限制暴露，但增加续期依赖。长效凭证减少操作，但扩大盗窃后的窗口。硬件支持密钥可以降低提取风险，但仍需更换程序。

测试过期、尚未有效、被撤销、损坏和不匹配的凭证。验证日志是否识别了失败身份，同时不暴露私有材料。从备份恢复并在干净环境中重建信任锚点。从未执行过的恢复计划不是可用性控制。

安全与功能安全是协调但不同的

网络安全减少了数字控制权限的恶意或意外滥用。功能安全控制了定义安全功能的危险失效。认证不能证明命令在物理上是安全的，安全等级的停止也无法防止凭证盗窃或数据泄露。

在控制器附近保持确定性位置、速率、年龄和工作区检查，并根据风险保持独立的保护功能。将该架构与 机器人功能安全指南连接起来。可能危害安全的威胁场景需要联合分析，同时保留独立的声明和证据。

监控身份和沟通行为

日志认证失败、被拒绝的图操作、证书状态、意外参与者、策略变更、命令速率以及同步时钟上的控制器拒绝。建立每个操作模式的预期图表和流量，以确保偏差有意义。保护日志免受篡改，限制敏感的有效载荷捕获。

检测必须导致经过测试的响应。隔离主机、撤销隔离区、限制区域或停止远程任务，同时不禁用必要的保护功能。警报洪水和网络扫描不应使控制路径陷入饥饿。测量安全检测时间和机器人反应。

验证拒绝、重播和恢复路径

尝试伪造身份、被盗但撤销的证书、未授权主题、重放或过时命令、更改命名空间、发现洪水、网络分区和时钟错误，在受控测试平台中进行。验证拒绝和归因，然后观察机器人是否在合同内保持、减速或进入更安全状态。

重运行允许在峰值负载和密钥轮换下进行通信，以测量延迟和可用性。保留数据包捕获、安全日志、策略修订和机器人状态。从一条命令路径开始，先确定操作生命周期，然后扩展到完整图，而不是在无法维护的恢复下实现广泛的加密。

评估“ROS 2与DDS机器人网络安全：身份、权限与恢复”时，还应保存模型版本、机器人配置、标定文件、测试日期和全部试验记录。把成功、失败、恢复与人工介入放在同一份数据中，才能区分模型能力、系统接口和现场流程造成的差异。

成本评估除了设备与算力，还要记录数据采集、工程调试、安全措施、维护、停机和人员培训。只有把这些持续投入与单位成功任务的价值比较，才能判断方案是否适合扩大。

上线后仍要持续检查分布变化、传感器漂移、机械磨损和人工接管原因。监测结果应能触发降级、停止与重新验证流程，并为下一轮数据采集和模型更新留下可追溯记录。

• 威胁模型指令和物理冲击。
• 为部署单元分配安全域身份。
• 执行签署的最低权限权限。
• 分段机器人、管理和外部网络。
• 考试撤销、拒绝、延迟与恢复。

常见问题

启用 ROS 2 安全是否意味着机器人安全？

不。它可以认证、授权和保护通信，但物理指令限制和验证的安全功能仍然是两个独立的要求。

加密每个主题都会损害性能吗？

加密和策略检查会增加负载，但影响取决于中间件、硬件、流量和配置。对真实图表进行基准测试，并保持控制截止时间。

开发证书可以在生产中重复使用吗？

这会造成共享信任和弱生命周期控制。生产环境应使用托管身份、受保护密钥、最小权限策略、轮换和撤销。

防火墙会让SROS 2变得不再必要吗？

不。分段和主机间访问控制补充了参与者身份和图级权限。纵深防御限制了不同的故障路径。

应该先进行什么安全测试？

选择一个后续机器人命令，证明授权路径有效，然后证明未知身份和禁止发布者被拒绝并安全处理。

机器人网络安全应用边界

机器人网络安全依赖中间件支持、密钥保护、策略、网络架构和运营。验证具体部署，并协调任何安全影响，并配备独立的保护功能。