数据分析正在成为工业物联网 (IIoT) 的一项重要功能。一项最近研究显示，69％ 的决策者认为：到 2020 年，工业分析对企业成功而言至关重要，预测性和规范性机器维护将成为工业分析的主要应用。但是，工业分析在延迟、带宽和安全性等领域面临着特别的挑战。因此，工业分析通常必须在边缘操作，而不是在云端进行。边缘处理对自调整系统尤为重要，它必须将实时数据回收到反馈环路中，从而不断提升性能。虽然更快的处理器使得在边缘执行工业物联网数据分析变得更加可行，但工业机器仍然需要低功耗计算技术，并且长时间在恶劣的环境中可靠运行。任何新分析解决方案都必须与现有的旧系统进行交互操作。工业工程师希望为现有的控制系统增加边缘分析能力，其中一项选择便是：通过增加一个新的处理器模块来改良设计。此时，英特尔凌动^® 处理器 C3000 实现了能源效率与计算、存储和功能改进之间的平衡，从而在边缘安装智能，无需从头开始安装。

采用英特尔凌动® 处理器的工业级边缘智能设备

英特尔凌动^® 处理器拥有一系列架构更新，计算性能提升 2.3 倍且存储性能提升 4 倍。（图 1）。由于每个周期指令 (IPC) 增加了 30％，指令获取/解码功能获得了增强，无序 (OOO) 调度和新的内部结构体系结构更加卓越，因此处理性能获得提升。这一切对于执行实时边缘分析工作负载至关重要。

图 1. 英特尔凌动^® 处理器 C3000 具有许多升级功能。（资料来源：英特尔）

在内存方面，C3000 融合了两倍第二层缓存，使得边缘分析系统可以快速访问数据。处理器还支持智能存储加速库 (ISA-L)，这是一款为需要高数据吞吐量和最小延迟的应用而优化的软件库。借助存储性能开发套件 (SPDK)，开发人员能将存储性能调整到他们所需使用状态。英特尔^® SPDK 作为一个开放源代码工具集，有助于加快上市速度，打造面向未来的存储服务器和网关设计（如工业物联网中常见的存储服务器和网关）（图 2）。

图 2.
存储性能开发套件 (SPDK) 有助于打造面向未来的存储设计，同时加快产品上市速度。（资料来源：英特尔）

软件方面的新功能是可以支持 64 位应用程序。对于在更高级别工业物联网技术堆栈中使用英特尔^® 至强^® 处理器或英特尔^® 酷睿^™ 处理器的组织来说，这种 64 位指令集能够让组织统一边缘到云端的软件投入。而这只是企业效益进入运营技术 (OT) 领域的一种行为。

边缘的企业级功能

除了计算和存储优势之外，C3000 处理器还包含一组硬件辅助功能，可帮助实现更有效的边缘分析处理。首先，英特尔^® QuickAssist 技术（英特尔^® QAT）可提供高达 20 Gbps 速度，可用于加速和压缩加密工作负载，从而确保安全的数据传输，同时为其他任务留出宝贵的处理器周期。英特尔^® 虚拟化技术（英特尔^® VT-x）也采用用于定向 I/O（英特尔^® VT-d）的英特尔^® 虚拟技术和用于连接的英特尔^® 虚拟技术（英特尔^® VT-c）在 C3000 处理器中得以发展。如图 3 所示，英特尔^® VT-d 隔离并限制对某些定义内存区域的 I/O 访问。这有助于消除与虚拟机 (VM) 相关的 I/O 故障，从而提高可靠性并增加工厂正常运行时间。

图 3. 用于定向 I/O 的英特尔^® 虚拟化技术（英特尔^® VT-d）将内存访问限制在已定义的内存区域。（资料来源：英特尔）

就其本身而言，英特尔^® VT-c 与英特尔^® 以太网控制器集成到新的英特尔凌动处理器中，以提供 I/O 虚拟化和服务质量 (QoS) 功能。这些功能通过端口分区以及多任务传输和接收队列的能力实现，从而实现 I/O 操作之间带宽分配的平衡（图 4a 和图 4b）。将这些任务从主机处理器卸到以太网控制器能减少 I/O 瓶颈，并提升生成大量传感器数据应用程序（例如机器人技术）的性能。

图 4a。用于连接的英特尔^® 虚拟化技术（英特尔® VT-c）支持端口分区，从而减少 I/O 瓶颈。（资料来源：英特尔）

图 4b。用于连接的英特尔^® 虚拟化技术（英特尔® VT-c）支持的多任务传输和接收队列。（资料来源：英特尔）

这些企业级技术对工业物联网系统至关重要，因为它们可使工业级处理器执行多个工作负载，寿命保障周期为 15 年。

可靠的改装

为了确保在工业物联网边缘分析系统中能够可靠运行，英特尔凌动处理器 C3000 受到“扩展环境运行温度” (eTEMP) 功能的支持。这能确保在 -40°C 至+ 85°C 的温度范围内可靠运行。除此之外，导致其高耐用性的另一个因素是该系列的低热设计功率 (TDP)，在部分 SKU 中仅为 8.5 瓦。因此，C3000 设备可以部署在工厂车间的被动冷却系统中，而纠错码 (ECC) 内存能确保边缘分析应用的数据完整性。考虑到设备的功能，OEM 现可提供基于 C3000 处理器的嵌入式主板解决方案，旨在为工业物联网边缘分析提供入口。例如，Quanmax 公司生产的 UATX-DNV0 是一款工业级单板计算机 (SBC)，搭载具有 2 至 16 个内核的英特尔凌动处理器 C3000（图 5）。它包括四个铜质 GbE LAN 端口、四个光纤 10 GbE LAN 端口和六个 SATA 插座。

图 5. Quanmax 公司的 UATX-DNV0 是工业级单板计算机 (SBC)。（资料来源：Quanmax 公司）

重要的是，UATX-DNV0 SBC 符合业界标准的 Micro-ATX 外形规格。因此，主板可以集成到最初支持 Micro-ATX 外形规格的机器中，开发人员无需重新设计整个系统。

工业物联网过去与未来之间的协调平衡

边缘分析是工业物联网的表现，想要实现就需要协调未来的技术和过去的基础设施。英特尔凌动处理器 C3000 标志着朝着这一目标迈进了一大步，将获得提升的性能和存储与企业级功能和工业级可靠性结合在一起。既然这样的改进在工业标准处理器模块上可供使用，那么工业工程师就能利用这些功能来添加边缘分析处理，而不会使以前的投入付诸东流。他们还将系统定位在工业物联网的下一阶段 – 通过机器学习实现边缘自主能力。

在 IT 领域，防火墙是最有效工具之一，用于保护敏感的网络。企业防火墙充当敏感的内部网络和互联网之间的“守护者”，通过应用预先定义的安全规则，预防未经授权的外部流量访问公司设备，同时保护内部设备上的数据不受外界干扰。传统的防火墙很好理解。IT 部门通常购买现成的防火墙设备，并将全局规则应用于企业网络中的所有设备。另一方面，工业物联网网络所需的防火墙要复杂得多。主要原因是他们所保护的设备类型。在 IT 领域中，网络上大多数系统都配备了一定级别基于设备的保护，例如防病毒 (AV) 软件，可阻止恶意代码的执行（即使恶意代码通过防火墙防御）。企业系统还运行操作系统 (OS)，每当发现漏洞时都可以使用最新的软件补丁程序进行更新。因此，防火墙管理员能够实施基础级别的安全保护，仍然允许各种企业设备访问互联网。但许多工业设备运行的旧版操作系统 (OS) 不再支持安全补丁。即使采用较新的操作系统的工业设备也经常冻结软件，以确保平台的稳定性。另外，大多数工业系统受资源约束严重，无法运行本地 AV 技术。因此，工业网络防火墙为许多此类系统提供了完整的安全堆栈。由于安全要求因系统而异，因此工业防火墙通常专门用于单个生产设备或某件设备而非整个组织，并根据具体需求进行调整。它们由熟悉防火墙保护系统的操作工程师或服务技术人员进行部署和维护，支持的端口和 IP 地址远远少于企业级端口和 IP 地址。这些因素推动工业防火墙设备需要满足以下几项特别设计要求，包括：

• 灵活，可满足多种系统的安全需求
• 简单，方便熟悉工业系统的操作技术人员部署和维护防火墙
• 耐用，能够承受恶劣环境（如工厂车间或大型机器内部）的影响
• 可靠，在较长的工业生命周期内高效运行
• 划算，可配置多个防火墙，用于保护工业网络上的所有设备

由于每个工业防火墙只保护少量设备，因此网络处理器无需提供尽可能高的数据吞吐量和计算性能。相反，支持工业防火墙设备的处理器应该具备成熟的技术和较广的市场采用率，同时还能解决上述问题。

基于英特尔凌动^® 处理器的灵活型工业防火墙

英特尔凌动^® 处理器 E3800 是一系列单核至四核的片上系统 (SoC)，拥有在工业环境中部署的传统性能，并且具备大多数工业防火墙设备所需的性能。该处理器还包括一组支持高级安全功能的集成硬件加速器，如果使用得当，可以显著降低工业防火墙设备设计的复杂性。首先，英特尔^® 高级加密标准新指令（英特尔^® AES-NI）可在独立于主 CPU 内核运行的硬件模块中获得批量加密、解密和验证任务的性能提升。这是工业防火墙的一个关键功能，因为它补充了网络处理器的主要功能，同时还为其他任务腾出空间。工业防火墙设计人员可以利用英特尔 AES-NI 提供的额外处理器资源的一种方式是：通过英特尔^® 虚拟化技术 (Intel® VT-x)，允许多个虚拟机 (VM) 在相同的多核处理器上以接近本机的性能同时运行。同样重要的是，这些虚拟机之间保持安全的距离，为工业防火墙设计创造了多种可能。例如，在离散安全设备上虚拟机中运行的防火墙功能可以与其他服务分离，例如安全文件传输协议 (SFTP) 服务器允许传统工业系统无需额外硬件即可连接到互联网。另外，集成到现有某台机器中的工业防火墙可以将保护应用与控制功能分离，确保技术人员可以在不影响其他子系统的情况下维护一个子系统。这两种技术可以满足工业防火墙设备的灵活性和简单性要求，同时，英特尔凌动处理器 E3800 还可以承受恶劣的工业环境。SoC 具备在 -40°C 至 110°C 工作温度范围内运行的性能，3 瓦到 10 瓦的热设计功耗 (TDP) 降低了工业环境中导致可靠性问题风扇冷却需求。

灵活型工业防火墙解决方案框架

为了帮助开发可定制的工业防火墙，OEM 正在将基于 E3800 的解决方案推向市场，充分利用了上述诸多性能。例如，TQ-Group 的 MBox-V 是一种灵活、被动的冷却箱式 PC，可以作为桌面设备部署，或直接集成到安装 DIN 导轨的机柜中（图 1）。所有设备的内部电子设备都使用保形涂层，有助于抵御工厂车间常见的潮湿、气体、污垢和其他刺激物。

图 1. TQ-Group 的 MBox-V 支持灵活型工业防火墙。（资料来源：TQ-Group）

默认情况下，MBox-V 包含两个千兆以太网端口，两个 USB 端口和两个 Mini DisplayPort 接口，采用 100 mm x 100 mm x 23 mm 的硬件套件。但系统是完全可配置的，并且可以通过内部的 Mini PCIe 扩展卡集成附加接口和功能。该系统还支持可选型可信平台模块 (TPM)，从而提升安全性。从软件角度来看，MBox-V 可以预装基于 IP 表和 Linux 硬化版的标准工业防火墙堆栈。TQ-Group 进行的定期渗透测试可迅速发现堆栈中的任何漏洞，以便及时提供补丁。TQ 的堆栈产品也支持协议转换（FTP 到 SFTP）、网络接口、证书和密钥管理以及“隐形模式”操作（允许在白名单端口和 IP 地址之间建立通信路径）。审核和错误记录完成了功能设置。MBox-V 除了支持高级数据包过滤、入侵检测/预防和网关服务等附加功能之外，还可设计用于让用户上传自己定制的防火墙软件。TQ-Group 称，几家安全公司已经将 MBox-V 作为其工业防火墙设计的起点，软件方面会在其之上增加附加功能。

没有学习曲线的灵活性

所有类型的网络防火墙都有共同的目标：阻止敏感网络和设备上的恶意活动。但是工业网络及其连接的设备具有特别的安全需求，需要灵活、可靠、耐用的防火墙设备。像 MBox-V 这样的解决方案可以满足这些需求，并且工业工程师和 IT 人员都熟悉这种架构。这些小盒子是实施安全工业物联网网络的好方法，受学习曲线的影响非常小。

在电子行业，“安全性”一词一般用于描述针对恶意软件或蛮力攻击展开的保护。在某种程度上说，这是一种狭隘的观点。安全性还包括针对反向工程的保护、软件许可保护、静态及动态数据保护、远程设备证明以及其他功能。以固件和数据保护作为示例。固件必须锁定，以防出现 IP 盗窃或非法代码实施行为。需要对传输中的数据实施保护，以防遭受欺骗或中间人攻击。这些功能与许多其他安全性功能一样，都依赖加密密钥。因此，安全存储这些密钥就至关重要。可采用基于软件或硬件的技术来进行保护。在仅使用软件的方法中，密钥被存储在设备内存中。这种方法在低价值资产中使用广泛，因为其能以最低的前期成本提供基础安全保护。但是，存储在设备内存中的密钥很容易因系统其他地方的安全隐患而受到威胁。要针对此问题开发更加高级的保护，过程极为复杂。对于基于硬件的方法，加密密钥会在独立 IC 受到保护、不可访问的区域生成。尽管此架构会产生额外的 BOM 成本，安全硬件要素却可以降低开发复杂性，并消除因主机处理器的加密工作负载产生的费用。在这些基于硬件的加密设备中，最为人所知的恰好就是行业标准：即 Trusted Computing Group (TCG) 提供的可信平台模块 (TPM)。

TPM 内部构成

本质上，TPM 是一种安全单片机，用于存储加密密钥、密码和证书之类的构件，设备将使用这些构件来证明其身份（身份验证），以及证明其未受影响（证明）。这为远程设备验证/证明和安全启动等功能提供了基础（图 1）。

图 1. 可信平台模块 (TPM) 是一种行业标准。（资料来源：Trusted Computing Group）

远程设备验证和证明

对于物联网设备而言，远程设备验证和证明至关重要，因为它允许设备安全连接至只有很少或无用户配置的网络。为了实现这种功能，我们采用基于设备独一无二、保密的机密密钥的安全算法来为数字证书签名。该证书之后被发送至证书颁发机构 (CA)，以便其验证设备签名，并签署证书。由两方签署之后，其他互联端点即知道这是可信源，随之接受来自原始设备的通信。这一过程被称为公钥基础设施 (PKI)。在此过程中，TPM 提供多项优势。第一，存储在 TPM 硬件不可访问区域的加密密钥无法被篡改，能够长时间保持设备的身份。此功能对间隔几周或几月不尝试认证的设备尤其有用（例如设备在离开制造商工厂后到达最终用户之前的这一段时间）。第二，TPM 也提供存储数字证书的安全存储空间，确保它们不会被更改。因此，验证和证明是可行的。

安全启动

虽然 TPM 不能控制或运行设备软件，但应用可使用 TPM 来存储敏感信息。TPM 中包含的最常见的数据集之一就是预运行时配置数据。该数据集支持所谓的安全启动功能。安全启动时，与系统启动流程有关的序列和/或文件类型信息可以作为秘密信息存储在 TPM 中。如果在设备尝试启动期间，违反了这些参数，TPM 会向其他程序发出通知，例如操作系统。由此，操作系统可以执行限制访问数据或应用的政策，或者完全取消启动流程。在针对不合法代码执行操作（例如恶意软件）或被盗的锁定设备展开保护时，此功能尤其有用。

实现系统的整体安全性

TPM 的目的只是保护系统最敏感的资产。系统仍可能因应用或操作系统中的漏洞受到攻击。此外，存储在设备中的数据也仍可能被无关用户访问。对于想要将 TPM 保护扩展至整个系统的物联网开发人员而言，解决方法之一就是 WIBU-SYSTEMS AG 提供的 CodeMeter ASIC。ASIC 为智能卡芯片，它支持 SPI 和 USB 通信，可与多种嵌入式设备和消费类设备轻松集成（图 2）。

图 2.
CodeMeter ASIC 提供的安全保护范围远超 TPM。（资料来源：WIBU-SYSTEMS AG）

和 TPM 一样，CodeMeter ASIC 是一种 EAL 5+ 安全硬件元素，包含用于生成加密密钥的 FIPS 140-1 随机数生成器 (RNG)，还支持 128 位 AES、256 位 SHA 和 224 位 ECC 加密算法。ASIC 可由其附带的软件加以区别。CodeMeter 保护套件允许开发人员对其系统软件中的所有或部分可执行文件进行加密，以免受到调试和反向工程。CodeMeter 保护套件可与一系列通用及实时 OS 配合使用，且会根据系统需求提供不同变量。集成软件的过程是一次性过程，对系统性能产生的影响有限，且与加密程度无关。WIBU-SYSTEMS AG 还为其平台提供一个 API。API 以 ANSI C 源代码提供，支持开发特殊功能或在其他安全性技术中集成，例如英特尔® 博锐技术、英特尔® 高级加密标准新指令（英特尔® AES-NI），以及英特尔® 软件防护扩展（英特尔® SGX）。CodeMeter ASIC 被用作安全硬件锚，与具体的实施状况无关。

安全（最终）提供 ROI

能够区分 CodeMeter ASIC 和传统 TPM 的另一个重要功能即是其作为数字版权管理平台的能力。在 ASIC 最少的 128 KB 字节中，约 60 KB 被保留用于存储许可信息。因此，物联网 OEM 能够为最终用户提供功能，并长时间控制其访问权限，还支持下列许可模式：

• 单用户许可
• 网络许可
• 基于功能的许可
• 按次计费许可
• 基于时间的许可
• 指定用户许可

Kontron 是目前在其 APPROTECT 安全性解决方案中采用 CodeMeter ASIC 且从其功能中获益的物联网设备 OEM。Kontron APPROTECT 是一种全包式安全性解决方案，针对 IP 盗窃、篡改、反向工程以及版权/许可侵权提供保护。通过直接将 CodeMeter ASIC 集成到多种嵌入式计算模块的主板上，加密密钥可用于确认设备是否已获准运行某种软件（图 3）。当然，它也提供基础系统安全性。

图 3. Kontron 的 APPROTECT 提供设备安全性和许可管理。APPROTECT 解决方案适用于所有搭载第六代智能英特尔® 酷睿或英特尔® 至强® 处理器，以及最新一代英特尔凌动®、英特尔® 赛扬® 以及英特尔® 奔腾® 处理器的 Kontron 产品。此外，还面向老旧设备提供升级套件。

为自己买单的安全性

因为缺乏对开发社区的了解，以及对无法收回成本的感知，物联网安全性饱受困扰。目前提供的硬件安全性模块可以同时解决这两个问题。凭借硬件安全性模块，物联网设备开发人员能够降低对整个 IC 进行加密的复杂性，将保护范围扩展至整个系统。业务公司可利用软件许可模型，对业务实施转型。该软件许可模型能为此安全性和某些功能买单。