保護CPS的第一步是識別這些系統可能存在的風險，然后確定如何通過深度防御方法解決這些風險的優先級。風險評估包括識別CPS中的資產[74]，了解其安全風險，并實施對策以將風險降低到可接受的水平[13，75，76，77，78].滲透測試可能是了解系統風險級別的最常見方法，可用于設計漏洞管理和修補策略。供應鏈也是另一個風險因素，在風險管理與治理CyBOK知識領域[79]中進一步討論。

CPS中的一個新領域是識別執行器或傳感器，如果它們受到損害，它們為攻擊者提供CPS的最大可控性[80，30，81，82，83]，然后優先保護這些設備。

識別風險后，一般的縱深防御方法包括預防、檢測和緩解機制。在本節中，我們將介紹用于防止、檢測和緩解攻擊的跨領域安全工作，下一節將介紹特定的CPS域，例如電網以及智能交通系統。本節分為三個部分：（1）防止攻擊（第2.1節），（2）檢測攻擊（第2.2節）和（3）緩解攻擊（第2.3節）。

2.3緩解攻擊

減輕CPS故障的大多數工作都集中在安全性和可靠性（保護系統免受隨機和/或獨立故障的影響）上。攻擊緩解是安全性和可靠性保護的擴展，適用于系統中的故障不是由自然隨機創建的，而是由對手創建的。

攻擊緩解與彈性控制系統的概念有關，彈性控制系統定義為保持狀態感知和可接受的操作正常水平以響應干擾（包括意外和惡意威脅）的系統[131]。

緩解技術主要有兩種類型：i）主動和ii）被動。主動緩解會在發生任何攻擊之前考慮在CPS中部署的設計選擇。另一方面，反應性響應僅在檢測到攻擊后才會生效，并且它們會在線重新配置系統，以最大程度地減少攻擊的影響。我們首先描述主動方法。

保守控制：減輕攻擊影響的最初想法之一是以足夠的安全裕度操作系統，以便在發生攻擊時，它會攻擊者更難到達不安全的區域。這種類型的控制算法的一個直觀想法是使用模型預測控制（MPC）來設計一種控制策略，該策略預測攻擊將從下一個時間步長開始發生[37]，因此計劃一個最佳控制操作，在攻擊發生時嘗試保持系統安全。保守地運行CPS通常以次優操作和系統未受到攻擊時的額外成本為代價。

彈性估計：彈性估計算法試圖獲得系統的這種狀態，即使傳感器的子集受到損害[132，133]。基本思想是使用CPS的知識以及所有傳感器值的相關性。在傳感器測量中具有足夠的冗余，彈性估計算法可以拒絕嘗試的攻擊，并仍然獲得準確的狀態估計。這個想法類似于信息論中的糾錯碼，其中傳輸的比特的子集可能會被破壞，但糾錯代碼重建原始消息。然而，缺點是并非所有CPS都有各種相關傳感器來檢查其他傳感器的一致性，因此這種方法取決于系統的屬性。

傳感器融合：彈性估計算法通常假設各種多模態傳感器來實現其安全保證。這也是傳感器融合背后的想法，不同類型的傳感器可以幫助“確認”其他傳感器的測量[134，135，136].汽車系統中傳感器融合的一個基本示例是驗證LiDAR讀數和攝像頭測量值是否報告一致的觀測結果。

虛擬傳感器：當我們使用物理定律異常檢測系統時，我們實際上擁有了系統物理演變的模型。因此，減輕對CPS傳感器的攻擊的一種方法是使用系統的物理模型來提出預期的傳感器值，然后可以將其提供給控制算法[30，137，117]。通過去除傳感器值及其從系統模型獲得的期望值，我們正在使用開環控制有效地控制系統，這可能在短期內有效，但作為長期解決方案可能存在風險，因為所有物理模型并不完美，真實世界和模型仿真之間的誤差會隨著時間的推移而增加。在將虛擬傳感器設計為攻擊-響應機制時，另一個重要的考慮因素是，每當系統由于誤報[30]。

約束致動：保守操作的類似原則是物理約束CPS的執行器，以便如果攻擊者成功獲得對系統的訪問權限，則其更改系統操作的速度受到限制。例如，這種方法可以保證車輛隊列行駛系統的安全性，即使攻擊者完全控制了其中一輛車[138]。

慣性復位：減輕攻擊的另一個想法是盡可能頻繁地重置和多樣化系統，以便攻擊者無法獲得對系統的持續控制[139，140]。基本思想是，系統的完整軟件重置將使系統再次以受信任狀態啟動，從而消除攻擊者的存在。這要求系統具有受信任的計算基礎，可以在尚未加載惡意軟件的安全狀態下啟動系統。但是，關閉正在運行的系統是一種潛在的危險行為，目前尚不清楚該提案是否可行。

反應控制補償：當傳感器或控制器受到攻擊時，會產生新的動作以維護系統的安全。受容錯控制的文獻的啟發，一種想法是嘗試估計攻擊信號，然后生成補償動作以消除它[141].這種方法的問題在于它不考慮戰略對手;然而，博弈論方法可以解決這一限制。在博弈論模型中，攻擊者破壞一組控制信號

一個∈R但防守方使用剩余的控制器ud∈R醫學博士部署防御

攻擊者和防御者之間的博弈可以是同時的（零和或最小極大博弈）[142，143，144]或順序的（例如，斯塔克爾伯格博弈）[145，146，147]。博弈論的挑戰之一是，為了建模和證明結果，公式需要簡化，此外，模型需要添加一些在實踐中可能不成立的額外假設。

安全控制操作：另一種反應性方法是更改甚至阻止潛在的惡意控制操作作用于系統。將高保證控制器（HAC）作為高性能控制器（HPC）的備份的想法早于CPS安全性的工作，并被提議作為安全性防止復雜且難以驗證的HPC將系統驅動到不安全狀態的機制[148]。一種更新的、以安全為導向的方法是使用參考監視器的概念來檢查控制動作是否會導致任何不安全的行為，然后再允許它進入現場[39]。所提出的方法依賴于控制器的控制器（C2），該控制器調解控制器發送到物理系統的所有控制信號。特別是，C2嘗試保留三個主要屬性：

1）安全（該方法不得引入新的不安全行為，即，當操作被拒絕對工廠進行“自動化”控制時，不應導致工廠采取不安全行為）;2）安全性（調解保證應在威脅模型允許的所有攻擊下成立）;3）性能（控制系統必須滿足實時期限，同時施加最小的開銷）。

本節中介紹的用于預防、檢測和響應攻擊的所有安全建議通常適用于CPS。但是，每個CPS應用程序都有獨特的屬性，這些屬性可以改變這些解決方案的實施方式。此外，特定CPS域的一些獨特屬性可以帶來新的解決方案（例如為植入式醫療設備提出的觸摸訪問原理[149]）。在下一節中，我們將重點從一般和抽象的CPS描述更改為特定于領域的問題和解決方案。