边缘计算安全课件第二章

第2章边缘计算架构

本章第2.1节从边缘计算的理论基础谈起，揭示了边缘计算和分布式计算的本质联系；第2.2节阐述了边缘计算的层次结构，也给出了移动边缘计算架构的实例和具有普适性的边缘计算参考架构；第2.3节介绍了边缘计算中常见的两种编程模型，烟花模型和内容交付网络；第2.4节和第2.5节分析了新型计算模型面临的挑战以及边缘计算架构新机遇。2.1.1、分布式计算

分布式计算将该应用分解成许多小的部分，分配给多台计算机进行处理。这样可以节约整体计算时间，大大提高计算效率。分布式计算就是在这种需求下产生的。简单来说，是把一个大计算任务拆分成多个小计算任务分布到若干台机器上去计算，然后再进行结果汇总。分布式计算的特点包括计算任务分发、程序一致性、任意扩容和容灾性等。

不管是网络、内存、还是存储的分布式，最终目的都是为了实现计算的分布式，即数据在各个计算机节点上流动，同时各个计算机节点都能以某种方式访问共享数据，最终分布式计算后的输出结果被持久化存储和输出。2.1边缘计算的理论基础

2.1边缘计算的理论基础2.1.2、CAP理论 CAP理论也称为CAP定理，指的是在一个分布式系统中，Consistency（一致性）、Availability（可用性）、Partitiontolerance（分区容错性）三者不可兼得。

一致性（C）：在分布式系统中的所有数据备份，在同一时刻是否为同样的值（等同于所有节点访问同一份最新的数据副本）可用性（A）：保证每个请求不管成功或者失败都有响应分区容错性（P）：系统中任意信息的丢失或失败不会影响系统的继续运作2.1边缘计算的理论基础2.1.3、李亚普诺夫稳定性理论

李雅普诺夫稳定性理论可以用于优化边缘计算中资源分配问题，是由俄国学者李雅普诺夫提出的，是确定系统稳定性的一般性理论，采用了状态向量描述，不仅适用于单变量、线性、定常系统，而且适用于多变量、非线性、时变系统。在分析一些特定的非线性系统的稳定性时，李雅普诺夫理论有效地解决了用其他方法所不能解决的问题。

李雅普诺夫理论在建立一系列关于稳定性概念的基础上，提出了判断系统稳定性的两种方法： 1、利用线性系统微分方程的解来判断系统稳定性（间接法，复杂度较高） 2、利用经验和技巧来构造李雅普诺夫函数，进而利用李雅普诺夫函数来判断系统稳定性（直接法，运用广泛）2.1边缘计算的理论基础2.2.1、经典三级层次架构——云、边、端云：云计算层，包括云端的核心网络，可以连接至云计算中提供强大的计算和存储功能，可以执行复杂的计算任务。永久性存储数据。管理和调度边缘节点和云计算中心边：边缘计算层，包括各种边缘服务器（也称作“边缘云”），是云端和终端之间的重要连接对终端设备上传的数据进行计算和存储，对收集的数据进行预处理端：边缘侧终端设备，直接给用户提供服务。收集原始数据并上报。在终端层中，只考虑各种物联网设备的感知能力，而不考虑它们的计算能力2.2边缘计算的层次结构

2.2边缘计算的层次结构三级层次架构示意图2.2边缘计算的层次结构两种特殊形态云边缘云边缘形态的边缘计算，是云服务在边缘侧的延伸，逻辑上仍是云服务，主要的能力提供依赖于云服务或需要与云服务紧密协同。如华为云提供的IEF解决方案、阿里云提供的LinkEdge解决方案、AWS提供的Greengrass解决方案等均属于此类。边缘云边缘云形态的边缘计算，是在边缘侧构建中小规模云服务能力，边缘服务能力主要由边缘云提供；集中式DC侧的云服务主要提供边缘云的管理调度能力。如多接入边缘计算（Multi-AccessEdgeComputing，MEC）、CDN、华为云提供的IEC解决方案等均属于此类。2.2边缘计算的层次结构2.2.2、代表性边缘计算架构 Linux基金会（LinuxFoundation，LF）推出了一项称为LFEdge的项目，致力于创建支持互操作性的边缘计算开放框架，希望该框架可以兼容任何硬件、芯片、云或操作系统，应用领域则从汽车、电脑、智能冰箱，到电信基站、风力发电场诊断工具等。目前，LFEdge已经吸引了大量业内知名厂商的参与。 LFEdge的五个独立项目：

1、EVE（EdgeVirtualizationEngine）项目

该项目由创业公司ZEDEDA提供，实质上是一种工业物联网（IndustrialInternetofThings，IIoT）边缘操作系统，意在通过辅以硬件的虚拟化，实现应用程序开发与基础架构解决方案的解耦。

2、AkrainoEdgeStack

该项目是一种用于云服务的OSS堆栈，针对边缘做了优化，运行在虚拟机或容器中。该项目与EVE项目存在许多相似之处，但其更侧重于基站等通信网络边缘的部署。2.2边缘计算的层次结构

3、EdgeXFoundry

该项目是一种通用的边缘微服务层，目标是通过支持用户在边缘计算节点上部署混合的即插即用微服务，提高互操作性，例如支持分析、数据编排、数据库、安全性、系统管理和服务。

4、HomeEdgeProject

该项目是由三星电子提供初始代码的一种消费者边缘计算服务平台，适用于从智能手机到冰箱等边缘设备。该项目将以一组API的形式提供，也支持以软件库和运行时的方式运行。

5、边缘计算的开放式术语表（OpenGlossaryofEdgeComputing）

该项目提供了边缘计算领域相关的简明术语集2.2边缘计算的层次结构EdgeXFoundry通用架构2.2边缘计算的层次结构2.2.3、移动边缘计算架构实例——浪潮移动边缘云

2.2边缘计算的层次结构

浪潮移动边缘云由专用计算平台和移动边缘云操作系统组成，其中移动边缘云操作系统是运行在专用计算平台之上的虚拟化和容器系统，实现软件定义一切的功能，可以为军事应用和工业控制提供基础的、统一管理的、隔离的计算和存储单元。

浪潮移动边缘云具有以下特点：

1、健壮性

通过资源模式、看门狗驱动、多级容错技术、集群模式保障物理的高可靠性、操作系统的可靠性、业务的零中断，以及管理台的高可靠性，从硬件到应用无任何单点故障。若系统损坏，用户可自行快速恢复数据和系统运行状态，并保障软件环境的完整性和一致性，确保业务的继续正常运行；设备分布存放，相互冗余。

2、实时性

在靠近用户端交付云环境，减少了网络多级路由的延时，提升用户体验度；同时支持实时内核，虚拟机上运行实时操作系统，中断延时均在毫秒以内，可满足信号处理的需求；同时支持虚拟机和时统源精确对时，精度可达微秒级。2.2边缘计算的层次结构

3、安全性

支持虚拟防火墙、用户权限划分、虚拟网络安全隔离、传输加密、可信启动等十余种安全策略，同时支持传输密码机、存储密码机等采用公普算法或军密算法的军队密码装备，保障云计算环境的高安全性。不同业务系统之间可以逻辑隔离，也可物理隔离（网卡透传可实现物理隔离）。

4、敏捷性

适应车载、舰载规模小的特点，实现云的快速部署和业务的极速上云，运行时自身开销非常小（CPU<1%，内存<1GB，磁盘<3GB），单个视图可完成全部资源（计算、网络、存储、安全和裸设备）的统一管理和监控。

5、易管理

面对车载无管理员和舰载无专业运维人员的情况，支持用户自助式操作，在无管理员干预的情况下，系统根据用户（特权用户）的请求自动完成资源的分配和绑定，并可实现资源的恢复和初始化等操作。2.2边缘计算的层次结构2.2.4、边缘计算参考架构——边缘计算参考架构3.0

边缘计算产业联盟于2018年12月发布了“边缘框架3.0”，该联盟认为，边缘计算服务框架需要达成以下目标：对物理世界具有系统和实时的认知能力，在数字世界进行仿真和推理，实现物理世界与数字世界的协作基于模型化的方法在各产业中建立可复用的知识模型体系，实现跨行业的生态协作系统与系统之间、服务与服务之间等基于模型化接口进行交互，实现软件接口与开发语言、工具的解耦框架应该可以支撑部署、数据处理和安全等服务的全生命周期2.2边缘计算的层次结构边缘计算参考架构3.02.2边缘计算的层次结构边缘计算参考架构3.0

最上层是模型驱动的统一服务框架，它能够实现服务的快速开发和部署。下侧按照边缘计算通用架构分为现场设备、边缘和云。

云端:由多个高性能服务器和存储设备组成。能够处理和存储大规模的数据，并提供各种应用服务，如智能家居、智能交通、智能工厂等。由于设备特性只要用户的设备能联网，便可在任何时间、任何地点访问。它采用虚拟化技术将不同用户的数据和IoT应用隔离开，因此，这些应用可独立地同时向不同用户提供不同服务。

2.2边缘计算的层次结构边缘计算参考架构3.0

边缘设备通常包括路由器、网关、交换机、接入点、基站、特定边缘服务器等。它又可划分为边缘节点和边缘管理器两个层次。

边缘节点:包括边缘网关、边缘控制器和边缘服务器等。为了解决异构计算与边缘节点的强耦合关系，降低物理世界带来的结构复杂性，边缘节点层中的设备资源被抽象为计算、网络和存储3种资源，使用API实现通用的能力调用，控制、分析与优化领域功能模块实现了上下层信息的传输和本地资源的规划。

边缘管理器:使用模型化的描述语言帮助不同角色使用统一的语言定义业务，实现智能服务与下层结构交互的标准化。2.2边缘计算的层次结构边缘计算参考架构3.0

现场设备:由各种物联网设备组成。物联网设备分为两种：移动IoT设备和固定IoT设备。

移动IoT设备包括可穿戴设备和移动智能设备.通过个体携带，所有属于同一个人的设备可以使用无线AdHoc网络相互通信；固定IoT设备包括传感器和RFID标签等，其被预先部署在特定区域或具体产品上，用以完成预先定义的任务（如产品跟踪、森林火灾探测和控制质量监测等）。

这些设备在地理上分布广泛，可以通过各类传感器获取物理特征及数据对象，并将这些感测数据传输到上层进行处理和存储。2.2边缘计算的层次结构

边缘计算模型中部分或全部的计算任务从云端迁移到边缘节点，而边缘节点大多是异构平台，每个节点上的运行时环境可能有所差异。因此，在边缘计算下部署用户应用程序时，程序员将遇到较大的困难。而现有传统编程方式MapReduce、等均不适合，需研究基于边缘计算的新型编程方式，本节主要介绍以下两种编程模型： 1、烟花模型 2、内容交付网络2.3边缘计算的编程模型

2.3边缘计算的编程模型

2.3.1、烟花模型主要包括烟花模型管理器烟花模型节点

万物互联时代，数据生产和消费被迁移到边缘设备上，增加了大数据分布式共享和处理的需求。烟花模型可实现大数据分布式共享和处理，并使私有数据可以在数据利益相关者的设备上处理。2.3边缘计算的编程模型

烟花模型特点创建虚拟的共享数据视图，融合了地理上分布的数据源，而数据利益相关者（即烟花模型节点）为终端用户提供一组预定义的功能接口以便用户访问。接口形式是一组数据集（Datasets）和功能（Functions），并且功能与数据集绑定。数据处理更接近数据生产者，避免了从网络边缘设备到云中心的长距离数据传输，降低响应延迟。所有数据利益相关者都需要注册其各自的数据集及相应功能，以便抽象成一种数据视图。将组合数据视图的服务请求分解成若干子任务，并发送给每一个参与者，每个子任务将在其本地设备上执行相应的计算任务。扩展了数据的可视化边界，为协同边缘环境下的分布式数据处理提出了一种新的编程模式。2.3边缘计算的编程模型

烟花模型——协同边缘案例：连接医疗2.3边缘计算的编程模型

2.3.2、内容交付网络

内容交付网络（ContentDeliveryNetwork，CDN）完成的是将内容从源站传递到用户端的任务。CDN可用于解决网络拥挤难题，使用CDN会极大地简化网站的系统维护工作量，网站维护人员只需将网络内容注入CDN的系统，通过CDN部署在各个物理位置的服务器进行全网分发，就可以实现跨运营商、跨地域的用户覆盖。

由于CDN将内容推送到网络边缘，大量用户方位被分散在网络边缘，不再构成网站出口、互联互通点的资源挤占，也不需要跨越长距离IP路由。

边缘计算之所以能够与CDN协同，主要是因为，CDN是一种具备边缘属性的网络，它通过在网络边缘部署了大量的服务节点，以实现内容的就近分发。边缘属性同样是边缘计算的基本属性。二者在网络边缘的布点需求为其协同提供了部署基础。2.3边缘计算的编程模型

内容交付网络基本工作过程1、当用户点击网站页面上的内容URL，经过本地DNS系统解析，DNS系统会最终将域名的解析权交给CNAME指向的CDN专用DNS服务器。2、CDN的DNS服务器将CDN的全局负载均衡设备IP地址返回用户。3、用户向CDN的全局负载均衡设备发起内容URL访问请求。4、CDN全局负载均衡设备根据用户IP地址，以及用户请求的内容URL，选择一台用户所属区域的区域负载均衡设备，告诉用户向这台设备发起请求

2.3边缘计算的编程模型

内容交付网络基本工作过程5、区域负载均衡设备会为用户选择一台合适的缓存服务器提供服务，返回其IP地址。6、全局负载均衡设备把服务器的IP地址返回给用户。7、

用户向缓存服务器发起请求，缓存服务器响应用户请求，将用户所需的内容传送到用户终端。如果这台缓存服务器上并没有用户想要的内容，则向上一级缓存服务器请求内容，直至追溯到网站的源服务器将内容拉到本地。2.3边缘计算的编程模型

内容交付网络功能架构 CDN的主要作用是实现将内容从内容源中心向边缘的推送和存储，承担实际的内容数据流的全网分发工作和面向最终用户的数据请求服务。分发服务系统最基本的工作单元就是一些Cache设备（缓存服务器），Cache负责直接响应最终用户的访问请求，把缓存在本地的内容快速地提供给用户。同时Cache还负责与源站点进行内容同步，把更新的内容以及本地没有的内容从源站点获取并保存在本地。

2.3边缘计算的编程模型

内容交付网络——功能架构

2.3边缘计算的编程模型

内容交付网络功能架构

分发服务系统：在承担内容的更新、同步和响应用户需求的同时，需要向上层的调度控制系统提供每个Cache设备的健康状况信息、响应情况，有时还需要提供内容分布信息，以便调度系统根据设定的策略决定由哪个Cache（组）来响应用户的请求最优。

负载均衡系统：CDN系统的神经中枢，主要功能是负责对所有发起服务请求的用户进行访问调度，确定提供给用户的最终实际访问地址。大多数CDN系统的负载均衡系统是分级实现的，

最基本是两级调度体系，它分为全局负载均衡和本地负载均衡。

全局负载均衡主要根据用户就近性原则，通过对每个服务节点进行“最优”判断，确定向用户提供服务的Cache的物理位置。本地负载均衡主要负责节点内部的设备负载均衡，当用户请求从全局负载均衡调度到本地负载均衡时，本地负载均衡会根据节点内各Cache设备的实际能力或内容分布等因素对用户进行重定向2.3边缘计算的编程模型

内容交付网络部署架构 CDN系统设计的首要目标是尽量减少用户的访问响应时间，为达到这一目标，CDN系统应该尽量将用户所需要的内容存放在距离用户最近的位置。也就是说，负责为用户提供内容服务的Cache设备应部署在物理上的网络边缘位置，称这一层为CDN边缘层。 CDN系统中负责全局性管理和控制的设备组成中心层，中心层同时保存着最多的内容副本，当边缘层设备未命中时，会向中心层请求，如果在中心层仍未命中，则需要中心层向源站回源。不同CDN系统设计之间存在差异，中心层可能具备用户服务能力，也可能不直接提供服务，只向下级节点提供内容。

如果CDN网络规模较大，边缘层设备直接向中心层请求内容或服务会造成中心层设备压力过大，就要考虑在边缘层和中心层之间部署一个区域层，负责一个区域的管理和控制，也保存部分内容副本供边缘层访问。

2.3边缘计算的编程模型

内容交付网络——三级部署架构

2.3边缘计算的编程模型

内容交付网络部署架构

节点是CDN系统中最基本的部署单元，一个CDN系统由大量的、地理位置上分散的POP（Point-Of-Presence）节点组成，为用户提供就近的内容访问服务。

CDN节点网络主要包含CDN骨干点和POP点。CDN骨干点和CDNPOP点在功能上不同，中心和区域节点一般称为骨干点，主要作为内容分发和边缘未命中时的服务点；边缘节点又被称为POP节点，CDNPOP点主要作为直接向用户提供服务的节点，它们都由Cache设备和本地负载均衡设备构成。2.3边缘计算的编程模型

内容交付网络部署架构

在一个节点中，Cache设备和本地负载均衡设备的连接方式有两种：一种是穿越方式，另一种是旁路方式。

穿越方式中，SLB一般由L4-7交换机实现，SLB向外提供可访问的公网IP，每台Cache仅分配私网IP地址，该SLB下挂的所有Cache构成一个服务组。所有用户请求和媒体流都经过该SLB设备，再由SLB设备进行向上向下转发，相当于承担了NAT的任务。

穿越方式的优点是安全可靠，缺点是L4-7交换机通常较为昂贵，且易造成性能瓶颈。

2.3边缘计算的编程模型

内容交付网络部署架构

旁路方式中，有两种SLB实现方式。在早期，这种SLB一般由软件实现。SLB和Cache设备都具有公共的IP地址，SLB和Cache构成并联关系。用户需要先访问SLB设备，然后再以重定向的方式访问特定的Cache。

旁路方式的优点是简单灵活，扩展性好，缺点是安全性较差，而且需要依赖于应用层重定向。2.3边缘计算的编程模型

内容交付网络部署架构

在CDN系统中，不仅分发服务系统和调度控制系统是分布式部署的，运营管理系统也是分级分布式部署的，每个节点都是运营管理数据的生成点和采集点，通过日志和网管代理等方式上报数据。可以说CDN本身就是一个大型的具有中央控制能力的分布式服务系统。2.3边缘计算的编程模型

2.4.1、异构边缘设备

一些终端设备的计算和存储等方面的能力越来越强大，这就在一定程度上导致了终端设备资源的过剩和闲置。同时，另一些终端设备的计算和存储资源由于应用场景或者技术的要求等原因则显得仍然无法满足需求，例如物联网智能传感器的计算和存储等方面的资源总表现的明显不足。

然而，自身资源不足的终端设备无法通过利用附近具有空闲资源的终端设备来扩展自身有限的资源，从而使得完成任务需要消耗较多资源。

不过目前，通过软件定义网络和网络功能虚拟化技术，网络边缘设备的能力可以得到发挥，用户利用边缘网络设备来实现自己所需要的增值服务已经完全成为一种可能。2.4新型计算模式面临的挑战

2.4新型计算模式面临的挑战2.4.2、长距离网络瓶颈终端设备和集中的云计算数据中心之间通常需要跨越远距离的广域网以及各类异质的无线网长距离广域网的带宽和速度有所提升，但由网络内容的快速增长所造成的网络拥塞以及网络数据包处理造成的延迟等使得长距网络的性能和可靠性保障仍然不能满足很多应用的需求网络路由节点的数据包处理以及网络内容安全监管等原因使得长距网络的性能问题很难在短期内得到解决无线网络由于其技术本身固有的广播特性，使得其很容易受到干扰或者被网络容量影响，也就导致了无线网的服务质量很难得到有效地保障2.4新型计算模式面临的挑战2.4.3、新型网络应用和服务的需求

随着泛在化网络技术和普适化终端的快速发展，各类新型的网络应用和服务层出不穷。这些复杂化的新型网络应用和服务在终端设备的能力、延迟和性能需求等要求各有差异，这使得传统云计算在广泛的适用性方面面临很大的技术挑战。

物联网应用场景涵盖了一系列应用和服务，如车联网或车车网、智慧电网、智慧城市以及更加广泛的无线传感器和执行器网络等。传统计算模式在以下几个方面难以满足物联网应用场景的需求：

1.无线接入

无线接入不稳定的性能和延迟特性，使得云计算的集中式处理很难满足那些低延迟应用需求，如游戏、视频流、增强现实等。 2.移动支持和位置及环境感知

在物联网应用中，节点可移动，并且具有位置和环境感知功能，这些都要求应用能够利用这些位置和环境信息及时进行动态调整。

2.4新型计算模式面临的挑战新型网络应用和服务的需求3、传感节点数据的及时和快速处理

物联网，例如智能电网中，具有大规模传感节点和大规模地理分布的传感器网负责收集来自应用和自然环境的大数据，这些数据需要进行及时和快速的处理，而不是云计算擅长的批数据处理。4.节点异构、互操作以及协作

一些物联网服务，如视频流或数据流，要求在异构节