提高物聯(lián)終端固件安全檢測(cè)效率-QC成果

提高物聯(lián)終端固件安全檢測(cè)效率一、選擇課題（一）名次解釋1.物聯(lián)終端：一種能夠?qū)ξ锫?lián)網(wǎng)對(duì)象或環(huán)境的狀態(tài)進(jìn)行感知，并具有簡(jiǎn)單數(shù)據(jù)處理、通信、人機(jī)交互等全部或部分功能的裝置，包括智能傳感器、智能業(yè)務(wù)終端、采集控制終端等。圖1各類物聯(lián)終端2.固件：硬件設(shè)備中以只讀軟件形式存儲(chǔ)的計(jì)算機(jī)指令和數(shù)據(jù)的集合。（二）選題背景1.新型電力系統(tǒng)建設(shè)提出新要求物聯(lián)終端作為新型電力系統(tǒng)的基礎(chǔ)底座，其安全性決定著整個(gè)新型電力系統(tǒng)的安全性。固件作為物聯(lián)終端的核心控制程序，是物聯(lián)終端的靈魂，其安全性決定了物聯(lián)終端的安全性，因此確保物聯(lián)終端安全上線成為網(wǎng)絡(luò)安全風(fēng)險(xiǎn)防控中的關(guān)鍵環(huán)節(jié)。省公司高度重視物聯(lián)終端接入安全工作，印發(fā)了《省公司關(guān)于加強(qiáng)無(wú)線公網(wǎng)和物聯(lián)終端接入管理的通知》（冀電互聯(lián)〔2020〕13號(hào)），要求電科院做好物聯(lián)終端固件安全檢測(cè)工作。2.海量終端類型帶來(lái)新挑戰(zhàn)預(yù)計(jì)2022年底，分布式光伏、儲(chǔ)能、充電樁等物聯(lián)終端接入量將超過(guò)40萬(wàn)，各類終端品類繁多并且接入模式迥異，導(dǎo)致物聯(lián)終端本體安全和通信安全能力參差不齊，給檢測(cè)工作帶來(lái)了新的挑戰(zhàn)。3.安全檢測(cè)能力亟待提升2022年已測(cè)物聯(lián)終端數(shù)量達(dá)到300個(gè)，預(yù)計(jì)2023年將達(dá)到500個(gè)，目前電科院每臺(tái)物聯(lián)終端固件安全檢測(cè)平均工作量為20人天，現(xiàn)有檢測(cè)效率已無(wú)法滿足日益增長(zhǎng)的檢測(cè)需求。因此有必要開展“提高物聯(lián)終端固件安全檢測(cè)效率”QC課題研究。確定課題后，小組按照PDCA原則制定活動(dòng)計(jì)劃甘特圖，如下所示。圖2小組活動(dòng)計(jì)劃甘特圖二、現(xiàn)狀調(diào)查（一）調(diào)查一：分析物聯(lián)終端固件安全檢測(cè)全過(guò)程為分析物聯(lián)終端固件安全檢測(cè)全過(guò)程，小組成員分工梳理檢測(cè)流程，完成物聯(lián)終端固件安全檢測(cè)流程圖繪制。圖3物聯(lián)終端固件安全檢測(cè)流程圖（二）調(diào)查二：物聯(lián)終端固件安全檢測(cè)各環(huán)節(jié)工作量調(diào)查針對(duì)2021年1月-12月間，實(shí)驗(yàn)室七種不同類型物聯(lián)終端的委托單位提出檢測(cè)申請(qǐng)、簽訂委托協(xié)議、接收樣品、初測(cè)、編寫觀察報(bào)告、復(fù)測(cè)、出具正式報(bào)告并歸檔等七個(gè)環(huán)節(jié)所用工作量進(jìn)行調(diào)查，計(jì)算出各環(huán)節(jié)的平均工作量。表1不同類型終端各環(huán)節(jié)檢測(cè)評(píng)價(jià)工作量真實(shí)調(diào)查各環(huán)節(jié)終端委托單位提出檢測(cè)申請(qǐng)（人天）簽訂委托協(xié)議（人天）接收樣品（人天）初測(cè)（人天）編寫觀察報(bào)告（人天）復(fù)測(cè)（人天）出具正式報(bào)告并歸檔（人天）總工作量（人天）輸電線路監(jiān)拍裝置1.20.50.613.80.92.31.120.4安監(jiān)布控球1.50.60.814.11.12.5121.6臺(tái)區(qū)智能融合終端1.50.60.414.60.82.21.221.3無(wú)人機(jī)1.30.80.612.7121.119.5網(wǎng)絡(luò)攝像頭10.40.513.60.91.81.319.5饋線終端10.60.514.412120.5覆冰裝置1.10.60.614.212.11.220.8平均值1.230.590.5713.910.962.131.1320.51圖4檢測(cè)項(xiàng)目各環(huán)節(jié)工作量排列圖針對(duì)2021年1月-12月間，同行業(yè)物聯(lián)終端固件安全檢測(cè)的各個(gè)環(huán)節(jié)平均工作量開展調(diào)研。表2同行業(yè)各環(huán)節(jié)檢測(cè)評(píng)價(jià)工作量真實(shí)調(diào)查各環(huán)節(jié)終端委托單位提出檢測(cè)申請(qǐng)（人天）簽訂委托協(xié)議（人天）接收樣品（人天）初測(cè)（人天）編寫觀察報(bào)告（人天）復(fù)測(cè)（人天）出具正式報(bào)告并歸檔（人天）總工作量（人天）xx1.20.60.76.312112.8xx1.50.80.69.81.11.51.216.5xx1.50.50.514.61.22.11.221.6xx1.30.60.615.6121.122.2平均值1.380.630.6011.581.081.901.1318.28經(jīng)現(xiàn)場(chǎng)調(diào)查和同行業(yè)調(diào)研，QC小組發(fā)現(xiàn)初測(cè)環(huán)節(jié)所占工作量最大，占到整個(gè)工作量的67.8%，是主要癥結(jié)。（三）調(diào)查三：國(guó)內(nèi)同行業(yè)先進(jìn)水平分析與比較通過(guò)2021年度統(tǒng)計(jì)數(shù)據(jù)，目前開展物聯(lián)終端固件安全檢測(cè)的其他公司初測(cè)環(huán)節(jié)平均工作量為11.58人天，其中效率最高的電力初測(cè)工作量為6.3人天，初測(cè)環(huán)節(jié)平均工作量為13.91人天，有很大提升空間。圖5同行業(yè)對(duì)比圖三、設(shè)定目標(biāo)（一）設(shè)定目標(biāo)值依據(jù)上述數(shù)據(jù)分析，小組將檢測(cè)效率最高的公司定為目標(biāo)，即：提高初測(cè)環(huán)節(jié)工作效率至6人天以內(nèi)，使物聯(lián)終端固件安全檢測(cè)整體工作量由20.51人天縮短至13人天以內(nèi)。目標(biāo)完成節(jié)點(diǎn)為2022年10月25日。圖6檢測(cè)效率目標(biāo)值設(shè)定（二）目標(biāo)值理論分析小組成員結(jié)合以上數(shù)據(jù)對(duì)物聯(lián)終端固件安全檢測(cè)時(shí)間理論值進(jìn)行預(yù)估計(jì)算與分析。表3目標(biāo)值理論分析序號(hào)目標(biāo)依據(jù)1目前物聯(lián)終端固件安全檢測(cè)平均工作量為20.51人天，若將初測(cè)環(huán)節(jié)工作量由13.91人天縮短至6人天，則整體檢測(cè)工作量可降低7.9人天。2整體物聯(lián)終端固件安全檢測(cè)工作量降為12.61人天。四、原因分析小組成員運(yùn)用頭腦風(fēng)暴法，從人、機(jī)、料、法、環(huán)五個(gè)方面對(duì)影響具體檢測(cè)過(guò)程工作量原因展開討論分析，并繪制了因果圖。圖7末端因素分析圖五、確定主要原因針對(duì)6項(xiàng)末端因素，小組成員分組通過(guò)模擬實(shí)驗(yàn)和調(diào)查分析等手段對(duì)各末端因素進(jìn)行研究，根據(jù)影響程度（影響程度=QUOTE?對(duì)比中試驗(yàn)時(shí)間-活動(dòng)前試驗(yàn)時(shí)間活動(dòng)前試驗(yàn)時(shí)間）大小判斷是否為要因，影響程度較大的視為要因。（一）要因確認(rèn)一：缺少合理的檢測(cè)流程表4缺少合理的檢測(cè)流程要因確認(rèn)表確認(rèn)方法模擬實(shí)驗(yàn)驗(yàn)證確認(rèn)人員確認(rèn)時(shí)間確認(rèn)內(nèi)容現(xiàn)有檢測(cè)流程細(xì)節(jié)繁多，溝通時(shí)間長(zhǎng)。確認(rèn)過(guò)程及分析通過(guò)調(diào)查分析，對(duì)系統(tǒng)檢測(cè)流程細(xì)節(jié)進(jìn)行梳理，形成規(guī)范的檢測(cè)流程，通過(guò)模擬實(shí)驗(yàn)進(jìn)行驗(yàn)證，有效減少初測(cè)工作量3.8人天，平均影響程度為18.55%，效果明顯。確認(rèn)結(jié)論是要因表5缺少合理的檢測(cè)流程要因活動(dòng)記錄各環(huán)節(jié)終端委托單位提出檢測(cè)申請(qǐng)（人天）簽訂委托協(xié)議（人天）接收樣品（人天）初測(cè)（人天）編寫觀察報(bào)告（人天）復(fù)測(cè)（人天）出具正式報(bào)告并歸檔（人天）模擬實(shí)驗(yàn)工作量（人天）實(shí)驗(yàn)前工作量（人天）影響程度%實(shí)驗(yàn)人東方電子監(jiān)拍裝置1.30.50.610.312116.721.622.69南瑞監(jiān)拍裝置1.10.70.510.81.11.51.216.921.320.66齊豐科技監(jiān)拍裝置1.20.60.59.61.22.11.216.419.515.90安監(jiān)布控球1.50.40.7912.51.216.319.516.41廣州長(zhǎng)川-覆冰裝置1.30.50.610.6121.117.120.516.59平均值1.280.540.5810.061.062.021.1416.6820.4818.55圖8要因一影響程度圖（二）要因確認(rèn)二：缺少典型測(cè)試用例庫(kù)等測(cè)試指導(dǎo)文件表6缺少典型測(cè)試用例庫(kù)等測(cè)試指導(dǎo)文件要因確認(rèn)表確認(rèn)方法模擬實(shí)驗(yàn)驗(yàn)證確認(rèn)人員確認(rèn)時(shí)間確認(rèn)內(nèi)容調(diào)查資深檢測(cè)人員與新入職檢測(cè)人員對(duì)不同檢測(cè)項(xiàng)的檢測(cè)方法，確認(rèn)不同測(cè)評(píng)人員的檢測(cè)方法對(duì)檢測(cè)效率的影響。確認(rèn)過(guò)程及分析通過(guò)將不同檢測(cè)人員的檢測(cè)時(shí)長(zhǎng)及方法進(jìn)行比對(duì)，提煉出針對(duì)部分檢測(cè)項(xiàng)的典型經(jīng)驗(yàn)，固化檢測(cè)步驟實(shí)現(xiàn)知識(shí)共享，較之前的檢測(cè)效率有很大改變。通過(guò)模擬實(shí)驗(yàn)進(jìn)行驗(yàn)證，平均可減少3.14人天工作量，平均影響程度為15.33%，影響較大。確認(rèn)結(jié)論是要因表7缺少典型測(cè)試用例庫(kù)等測(cè)試指導(dǎo)文件要因活動(dòng)記錄各環(huán)節(jié)終端委托單位提出檢測(cè)申請(qǐng)（人天）簽訂委托協(xié)議（人天）接收樣品（人天）初測(cè)（人天）編寫觀察報(bào)告（人天）復(fù)測(cè)（人天）出具正式報(bào)告并歸檔（人天）模擬實(shí)驗(yàn)工作量（人天）實(shí)驗(yàn)前工作量（人天）影響程度%實(shí)驗(yàn)人東方電子監(jiān)拍裝置1.20.50.611.312117.621.618.52南瑞監(jiān)拍裝置1.10.70.511.61.21.81.11821.315.49齊豐科技監(jiān)拍裝置1.20.50.510.51.121.21719.512.82安監(jiān)布控球1.40.40.79.612.51.216.819.513.85廣州長(zhǎng)川覆冰裝置1.30.50.610.8121.117.320.515.61平均值1.240.520.5810.761.062.061.1217.3420.4815.33圖9要因二影響程度圖（三）要因確認(rèn)三：未對(duì)檢測(cè)終端進(jìn)行分類表8未對(duì)檢測(cè)終端進(jìn)行分類要因確認(rèn)表確認(rèn)方法模擬實(shí)驗(yàn)確認(rèn)人員確認(rèn)時(shí)間確認(rèn)內(nèi)容調(diào)查終端類型，包括無(wú)人機(jī)、輸電智能監(jiān)拍裝置和智能融合終端等，確認(rèn)能否根據(jù)不同類型終端固化不同檢測(cè)方法及對(duì)整體檢測(cè)效率的影響。確認(rèn)過(guò)程及分析通過(guò)對(duì)終端進(jìn)行分類，小組成員發(fā)現(xiàn)不同終端類型固件有明顯差異，提取固件方法與檢測(cè)方法會(huì)根據(jù)固件類型改變，制定不同的檢測(cè)方法，減少不必要檢測(cè)內(nèi)容，并對(duì)內(nèi)容進(jìn)行固化，較之前的檢測(cè)效率有很大改變。通過(guò)模擬實(shí)驗(yàn)進(jìn)行驗(yàn)證，平均可減少4.62人天工作量，平均影響程度為22.56%，影響較大。確認(rèn)結(jié)論是要因表9未對(duì)檢測(cè)終端進(jìn)行分類要因活動(dòng)記錄各環(huán)節(jié)終端委托單位提出檢測(cè)申請(qǐng)（人天）簽訂委托協(xié)議（人天）接收樣品（人天）初測(cè)（人天）編寫觀察報(bào)告（人天）復(fù)測(cè)（人天）出具正式報(bào)告并歸檔（人天）模擬實(shí)驗(yàn)工作量（人天）實(shí)驗(yàn)前工作量（人天）影響程度%實(shí)驗(yàn)人東方電子監(jiān)拍裝置1.10.50.69.81.12116.121.625.46南瑞監(jiān)拍裝置1.20.50.78.61.22.31.115.621.326.76齊豐科技監(jiān)拍裝置1.20.50.59.51.121.21619.517.95安監(jiān)布控球1.30.60.691.22.51.116.319.516.41廣州長(zhǎng)川覆冰裝置1.20.50.59.112115.320.525.37平均值1.200.520.589.201.122.161.0815.8620.4822.56圖10要因三影響程度圖（四）要因確認(rèn)四：缺少自動(dòng)化檢測(cè)手段表10缺少自動(dòng)化檢測(cè)手段要因確認(rèn)表確認(rèn)方法模擬實(shí)驗(yàn)驗(yàn)證確認(rèn)人員確認(rèn)時(shí)間確認(rèn)內(nèi)容調(diào)研物聯(lián)終端固件安全自動(dòng)化檢測(cè)可行性，及對(duì)整體檢測(cè)效率的影響。確認(rèn)過(guò)程及分析由于代碼分析、二進(jìn)制漏洞分析工作繁瑣、重復(fù)性較高，導(dǎo)致檢測(cè)時(shí)間過(guò)長(zhǎng)，效率低，通過(guò)文獻(xiàn)搜集，梳理自動(dòng)化檢測(cè)技術(shù)路線，采用自動(dòng)化檢測(cè)手段，將檢測(cè)內(nèi)容劃分為固件自身安全檢測(cè)、典型安全漏洞檢測(cè)、惡意軟件檢測(cè)、CVE漏洞檢測(cè)、敏感信息檢測(cè)5部分。通過(guò)模擬實(shí)驗(yàn)進(jìn)行驗(yàn)證，平均可減少7.42人天工作量，平均影響程度為36.23%，影響較大。確認(rèn)結(jié)論是要因表11缺少自動(dòng)化檢測(cè)手段要因活動(dòng)記錄各環(huán)節(jié)終端委托單位提出檢測(cè)申請(qǐng)（人天）簽訂委托協(xié)議（人天）接收樣品（人天）初測(cè)（人天）編寫觀察報(bào)告（人天）復(fù)測(cè)（人天）出具正式報(bào)告并歸檔（人天）模擬實(shí)驗(yàn)工作量（人天）實(shí)驗(yàn)前工作量（人天）影響程度%實(shí)驗(yàn)人東方電子監(jiān)拍裝置1.20.50.67.211112.521.642.13南瑞監(jiān)拍裝置1.20.50.76.81.11.51.112.921.339.44齊豐科技監(jiān)拍裝置1.10.50.571.121.213.419.531.28安監(jiān)布控球1.20.60.68.21.11.11.113.919.528.72廣州長(zhǎng)川覆冰裝置1.20.50.57.111.3112.620.538.54平均值1.180.520.587.261.061.381.0813.0620.4836.23圖11要因四影響程度圖（五）要因確認(rèn)五：測(cè)評(píng)人員少表12人員配置不當(dāng)要因確認(rèn)表確認(rèn)方法模擬實(shí)驗(yàn)驗(yàn)證確認(rèn)人員確認(rèn)時(shí)間確認(rèn)內(nèi)容調(diào)查實(shí)際檢測(cè)人員數(shù)量，包括檢測(cè)計(jì)劃制定、固件提取、安全檢測(cè)、報(bào)告編寫、報(bào)告審核等人員配置，是否可以根據(jù)不同工作進(jìn)行角色劃分及對(duì)整體工作效率的影響。確認(rèn)過(guò)程及分析通過(guò)對(duì)檢測(cè)人員根據(jù)工作內(nèi)容進(jìn)行角色劃分，將角色劃分為總規(guī)劃、檢測(cè)組長(zhǎng)、固件提取組長(zhǎng)、安全測(cè)試組長(zhǎng)、檢測(cè)員、報(bào)告編寫員等，一人兼職多個(gè)角色，并固化工作內(nèi)容。通過(guò)模擬實(shí)驗(yàn)進(jìn)行驗(yàn)證，平均可減少1.1天時(shí)長(zhǎng)，平均影響程度為5.37%，影響較小。確認(rèn)結(jié)論非要因表13人員配置不當(dāng)要因活動(dòng)記錄各環(huán)節(jié)終端委托單位提出檢測(cè)申請(qǐng)（人天）簽訂委托協(xié)議（人天）接收樣品（人天）初測(cè)（人天）編寫觀察報(bào)告（人天）復(fù)測(cè)（人天）出具正式報(bào)告并歸檔（人天）模擬實(shí)驗(yàn)工作量（人天）實(shí)驗(yàn)前工作量（人天）影響程度%實(shí)驗(yàn)人東方電子監(jiān)拍裝置1.30.50.613.212119.621.69.26南瑞監(jiān)拍裝置10.50.713.81.12.51.120.721.32.82齊豐科技監(jiān)拍裝置1.20.50.511.91.12.11.218.519.55.13安監(jiān)布控球1.20.70.6121.12.51.119.219.51.54廣州長(zhǎng)川覆冰裝置1.10.50.512.512.3118.920.57.80平均值1.160.540.5812.681.062.281.0819.3820.485.37圖12要因五影響程度圖（六）要因確認(rèn)六：未固定實(shí)驗(yàn)室檢測(cè)環(huán)境表14未固定實(shí)驗(yàn)室檢測(cè)環(huán)境要因確認(rèn)表確認(rèn)方法模擬實(shí)驗(yàn)驗(yàn)證確認(rèn)人員確認(rèn)時(shí)間確認(rèn)內(nèi)容調(diào)查實(shí)驗(yàn)室檢測(cè)環(huán)境因素，包括溫度、濕度、光線、檢測(cè)環(huán)境整潔度、材料用具整齊度等，對(duì)整體檢測(cè)效率的影響。確認(rèn)過(guò)程及分析通過(guò)改變實(shí)驗(yàn)室檢測(cè)環(huán)境，小組成員發(fā)現(xiàn)物理環(huán)境因素對(duì)檢測(cè)效率基本無(wú)影響，材料、終端、檢測(cè)用具擺放是否整齊有序?qū)z測(cè)效率有輕微影響。通過(guò)模擬實(shí)驗(yàn)進(jìn)行驗(yàn)證，平均可減少1.2人天工作量，平均影響程度為5.86%，影響較小。確認(rèn)結(jié)論非要因表15未固定實(shí)驗(yàn)室檢測(cè)環(huán)境要因活動(dòng)記錄各環(huán)節(jié)終端委托單位提出檢測(cè)申請(qǐng)（人天）簽訂委托協(xié)議（人天）接收樣品（人天）初測(cè)（人天）編寫觀察報(bào)告（人天）復(fù)測(cè)（人天）出具正式報(bào)告并歸檔（人天）模擬實(shí)驗(yàn)工作量（人天）實(shí)驗(yàn)前工作量（人天）影響程度%實(shí)驗(yàn)人東方電子監(jiān)拍裝置1.30.50.613.61212021.67.41南瑞監(jiān)拍裝置10.50.713.31.12.51.120.221.35.16齊豐科技監(jiān)拍裝置1.20.50.5111.12.11.217.619.59.74安監(jiān)布控球1.20.70.611.51.12.51.118.719.54.10廣州長(zhǎng)川覆冰裝置1.10.50.513.512.3119.920.52.93平均值1.160.540.5812.581.062.281.0819.2820.485.86圖13要因六影響程度圖通過(guò)對(duì)上述6個(gè)末端因素逐一進(jìn)行確認(rèn)、分析，得到各個(gè)因素對(duì)具體檢測(cè)工作量的影響占比柱狀圖。圖14末端因素影響程度圖通過(guò)以上分析，QC小組確認(rèn)主要原因?yàn)椋喝鄙俸侠淼臋z測(cè)流程、缺少典型測(cè)試用例庫(kù)等測(cè)試指導(dǎo)文件、缺少自動(dòng)化檢測(cè)手段和未對(duì)檢測(cè)終端進(jìn)行分類。六、制定對(duì)策QC小組利用頭腦風(fēng)暴法，集思廣益，積極發(fā)表意見，根據(jù)缺少合理的檢測(cè)流程、缺少典型測(cè)試用例庫(kù)等測(cè)試指導(dǎo)文件、缺少自動(dòng)化檢測(cè)手段和未對(duì)檢測(cè)終端進(jìn)行分類四點(diǎn)實(shí)際檢測(cè)中的主要影響原因，分別指定對(duì)策。（一）要因確認(rèn)一：“缺少合理的檢測(cè)流程”解決對(duì)策針對(duì)檢測(cè)流程細(xì)節(jié)繁多，溝通時(shí)間長(zhǎng)，提出制定規(guī)范的檢測(cè)流程解決方案。表16要因一對(duì)策方案方案1方案內(nèi)容對(duì)物聯(lián)終端固件安全檢測(cè)流程細(xì)節(jié)進(jìn)行梳理，包括檢測(cè)項(xiàng)目發(fā)起、資料審核及分配人員、初測(cè)、完成觀察報(bào)告編寫、整改報(bào)告確認(rèn)、復(fù)測(cè)、出具正式報(bào)告等環(huán)節(jié)，制定合理的檢測(cè)流程。有效性可以有效簡(jiǎn)化測(cè)評(píng)流程，減少溝通時(shí)間預(yù)計(jì)減少工作量2人天是否采用是（二）要因確認(rèn)二：“缺少典型測(cè)試用例庫(kù)等測(cè)試指導(dǎo)文件”解決對(duì)策針對(duì)測(cè)試人員因技能水平、工作經(jīng)驗(yàn)差異導(dǎo)致測(cè)試效率差距較大，提出師帶徒和固化形成典型經(jīng)驗(yàn)與知識(shí)庫(kù)兩種解決方案。表17要因二對(duì)策方案方案1方案2方案內(nèi)容通過(guò)一對(duì)一結(jié)對(duì)進(jìn)行培訓(xùn)，并開展實(shí)際測(cè)試工作，有效提升整體檢測(cè)效率通過(guò)反復(fù)對(duì)比分析不同技術(shù)人員的測(cè)試效率，歸納提煉出每一檢測(cè)項(xiàng)的最佳測(cè)試方法，并固化形成典型測(cè)試用例庫(kù)、物聯(lián)終端固件安全檢測(cè)作業(yè)指導(dǎo)書及測(cè)試工具操作規(guī)程有效性實(shí)施相對(duì)簡(jiǎn)單，但是每位檢測(cè)人員的經(jīng)驗(yàn)并不完全一致，無(wú)法對(duì)比分析形成最佳經(jīng)驗(yàn)，而且不利于檢測(cè)人員快速提升檢測(cè)效率能夠全面實(shí)現(xiàn)經(jīng)驗(yàn)固化和知識(shí)共享，有效指導(dǎo)物聯(lián)終端固件安全初測(cè)、復(fù)測(cè)工作高效化、標(biāo)準(zhǔn)化開展預(yù)計(jì)減少工作量1人天2人天是否采用否是（三）要因確認(rèn)三：“缺少自動(dòng)化檢測(cè)手段”解決對(duì)策表18要因三對(duì)策方案方案1方案內(nèi)容通過(guò)文獻(xiàn)搜集，梳理自動(dòng)化檢測(cè)技術(shù)路線，總結(jié)自動(dòng)化檢測(cè)所需的五大技術(shù)，分別為：固件自身安全檢測(cè)技術(shù)、典型安全漏洞檢測(cè)技術(shù)、惡意軟件檢測(cè)技術(shù)、CVE漏洞檢測(cè)技術(shù)、敏感信息檢測(cè)技術(shù)，研發(fā)物聯(lián)終端固件安全檢測(cè)平臺(tái)，實(shí)現(xiàn)自動(dòng)化檢測(cè)。有效性實(shí)施簡(jiǎn)單，可操作性性強(qiáng)，能夠根據(jù)物聯(lián)終端類型針對(duì)性開展固件安全檢測(cè)，固化檢測(cè)內(nèi)容和方法預(yù)計(jì)減少工作量7人天是否采用是（四）要因確認(rèn)四：“未對(duì)終端進(jìn)行分類”解決對(duì)策表19要因四對(duì)策方案方案1方案內(nèi)容通過(guò)對(duì)物聯(lián)終端進(jìn)行分類，制定不同的檢測(cè)方法，減少不必要檢測(cè)內(nèi)容，并對(duì)內(nèi)容進(jìn)行固化。有效性可以有效提高檢測(cè)效率預(yù)計(jì)減少工作量3人天是否采用是小組成員經(jīng)過(guò)認(rèn)真分析討論，按照5W1H的原則制定對(duì)策。表20對(duì)策制定進(jìn)程時(shí)間表序號(hào)主要原因?qū)Σ吣繕?biāo)措施地點(diǎn)完成日期負(fù)責(zé)人1缺少合理的檢測(cè)流程制定規(guī)范的檢測(cè)流程有效簡(jiǎn)化檢測(cè)流程，減少溝通時(shí)間成本1.對(duì)物聯(lián)終端固件安全檢測(cè)流程細(xì)節(jié)進(jìn)行梳理，包括檢測(cè)項(xiàng)目發(fā)起、資料審核及分配人員、初測(cè)、完成觀察報(bào)告編寫、整改報(bào)告確認(rèn)、復(fù)測(cè)、出具正式報(bào)告等環(huán)節(jié)。2.制定各環(huán)節(jié)文檔標(biāo)準(zhǔn)模板。實(shí)驗(yàn)室2缺少典型測(cè)試用例庫(kù)等測(cè)試指導(dǎo)文件制定規(guī)范的測(cè)試指導(dǎo)文件全面實(shí)現(xiàn)經(jīng)驗(yàn)固化和知識(shí)共享，有效指導(dǎo)物聯(lián)終端固件安全初測(cè)、復(fù)測(cè)工作高效化、標(biāo)準(zhǔn)化開展1.通過(guò)反復(fù)對(duì)比分析不同技術(shù)人員的測(cè)試效率，歸納提煉出每一檢測(cè)項(xiàng)的最佳測(cè)試方法。2.固化形成典型測(cè)試用例庫(kù)、物聯(lián)終端固件安全檢測(cè)作業(yè)指導(dǎo)書及測(cè)試工具操作規(guī)程。實(shí)驗(yàn)室3缺少自動(dòng)化檢測(cè)手段開發(fā)物聯(lián)終端固件安全檢測(cè)平臺(tái)實(shí)現(xiàn)自動(dòng)化檢測(cè)，大幅度提高檢測(cè)效率完成固件自身安全檢測(cè)技術(shù)、典型安全漏洞檢測(cè)技術(shù)、惡意軟件檢測(cè)技術(shù)、CVE漏洞檢測(cè)技術(shù)、敏感信息檢測(cè)技術(shù)五大技術(shù)研究，研發(fā)物聯(lián)終端固件安全檢測(cè)平臺(tái)，實(shí)現(xiàn)自動(dòng)化檢測(cè)。實(shí)驗(yàn)室4未對(duì)終端進(jìn)行分類制定不同類型終端檢測(cè)方法減少不必要檢測(cè)內(nèi)容，并對(duì)檢測(cè)方法和內(nèi)容進(jìn)行固化明確各類終端的固件提取方式、檢測(cè)內(nèi)容、加測(cè)要求及相關(guān)標(biāo)準(zhǔn)化記錄表格實(shí)驗(yàn)室七、對(duì)策實(shí)施（一）制定合理的檢測(cè)流程針對(duì)對(duì)策一實(shí)施，小組成員從檢測(cè)任務(wù)發(fā)起、樣品接收、具體檢測(cè)、出具正式報(bào)告等環(huán)節(jié)制定了詳細(xì)的檢測(cè)流程，顯著減少了各環(huán)節(jié)的等待時(shí)間和溝通時(shí)間。圖15物聯(lián)終端固件安全檢測(cè)流程圖根據(jù)新制定的檢測(cè)流程，在5個(gè)物聯(lián)終端固件安全檢測(cè)工作中進(jìn)行了全面試用，根據(jù)試用結(jié)果，新制定的檢測(cè)流程對(duì)檢測(cè)工作各環(huán)節(jié)、各類記錄文檔覆蓋率100%，能夠指導(dǎo)檢測(cè)工作高效、有序推進(jìn)。表21對(duì)策一實(shí)施確認(rèn)表終端名稱測(cè)評(píng)工作環(huán)節(jié)覆蓋率全過(guò)程記錄表格覆蓋率檢測(cè)人東方電子監(jiān)拍裝置100%100%南瑞監(jiān)拍裝置100%100%齊豐科技監(jiān)拍裝置100%100%安監(jiān)布控球100%100%廣州長(zhǎng)川覆冰裝置100%100%（二）編制規(guī)范的測(cè)試指導(dǎo)文件針對(duì)對(duì)策二實(shí)施，通過(guò)反復(fù)對(duì)比分析不同技術(shù)人員的檢測(cè)效率，歸納提煉出每一檢測(cè)項(xiàng)的最佳測(cè)試方法，并固化形成典型測(cè)試用例庫(kù)、物聯(lián)終端固件安全檢測(cè)作業(yè)指導(dǎo)書及測(cè)試工具操作規(guī)程，實(shí)現(xiàn)經(jīng)驗(yàn)固化和知識(shí)共享，有效指導(dǎo)物聯(lián)終端固件安全檢測(cè)工作高效化、標(biāo)準(zhǔn)化開展。1.建立典型測(cè)試用例庫(kù)收集整理測(cè)試用例，建立包含90余條測(cè)試用例的典型測(cè)試用例庫(kù)，每條測(cè)試用例包括檢測(cè)方法、檢測(cè)目標(biāo)、檢測(cè)要求、檢測(cè)步驟、檢測(cè)用例及預(yù)期結(jié)果等6項(xiàng)內(nèi)容，顯著提升測(cè)試工作效率。圖16物聯(lián)終端固件安全檢測(cè)測(cè)試用例集2.編制物聯(lián)終端固件安全檢測(cè)作業(yè)指導(dǎo)書編寫規(guī)范化物聯(lián)終端固件安全檢測(cè)作業(yè)指導(dǎo)書，明確了固件自身安全、敏感信息泄露檢測(cè)、CVE漏洞檢測(cè)等5類28個(gè)檢查項(xiàng)的最佳檢測(cè)方法及對(duì)應(yīng)典型測(cè)試用例，有效指導(dǎo)檢測(cè)工作準(zhǔn)確、快速進(jìn)行。圖17物聯(lián)終端固件安全檢測(cè)作業(yè)指導(dǎo)書根據(jù)新編制的測(cè)試指導(dǎo)文件，在5個(gè)物聯(lián)終端固件安全檢測(cè)初測(cè)和復(fù)測(cè)環(huán)節(jié)進(jìn)行了全面試用，根據(jù)試用結(jié)果，新編制的測(cè)試指導(dǎo)文件能夠覆蓋所有類型測(cè)試用例，所有檢測(cè)工具操作步驟、所有檢測(cè)項(xiàng)檢測(cè)方法，用例設(shè)計(jì)準(zhǔn)確性、檢測(cè)方法正確性均為100%，能夠指導(dǎo)測(cè)評(píng)人員高效、正確開展具體檢測(cè)工作。表22對(duì)策三實(shí)施確認(rèn)表終端名稱測(cè)試用例、操作步驟、檢測(cè)方法覆蓋率用例設(shè)計(jì)準(zhǔn)確性、檢測(cè)方法正確性檢測(cè)人東方電子監(jiān)拍裝置100%100%南瑞監(jiān)拍裝置100%100%齊豐科技監(jiān)拍裝置100%100%安監(jiān)布控球100%100%廣州長(zhǎng)川覆冰裝置100%100%（三）研發(fā)自動(dòng)化檢測(cè)平臺(tái)針對(duì)對(duì)策三實(shí)施，物聯(lián)終端固件安全檢測(cè)平臺(tái)通過(guò)對(duì)物聯(lián)終端固件文件進(jìn)行逆向解析，分析固件中各代碼模塊的調(diào)用關(guān)系及代碼內(nèi)容，分析其軟件組成成分以及安全機(jī)制的使用情況，針對(duì)典型的CWE安全缺陷，如整數(shù)溢出漏洞、空指針引用、危險(xiǎn)函數(shù)調(diào)用、遠(yuǎn)程命令執(zhí)行等問(wèn)題自動(dòng)化安全檢測(cè)，定位到存在安全隱患的具體代碼文件，并對(duì)第三方組件進(jìn)行CVE漏洞對(duì)比分析，利用隱私檢測(cè)分析技術(shù)，識(shí)別敏感關(guān)鍵詞、用戶密碼信息、加密認(rèn)證文件等信息，形成固件自身安全檢測(cè)、典型安全漏洞檢測(cè)、惡意軟件檢測(cè)、CVE漏洞檢測(cè)、敏感信息檢測(cè)五大自動(dòng)化檢測(cè)模塊，大幅度提高檢測(cè)效率。圖19物聯(lián)終端固件安全檢測(cè)平臺(tái)架構(gòu)圖利用物聯(lián)終端固件安全檢測(cè)平臺(tái)，在5個(gè)物聯(lián)終端固件檢測(cè)工作中進(jìn)行了全面試用，顯著提高了檢測(cè)效率，能夠使檢測(cè)人員高效、正確開展具體檢測(cè)工作。表23對(duì)策三實(shí)施確認(rèn)表終端名稱是否支持各類物聯(lián)終端是否具有較強(qiáng)的可操作性測(cè)評(píng)人東方電子監(jiān)拍裝置是是南瑞監(jiān)拍裝置是是齊豐科技監(jiān)拍裝置是是安監(jiān)布控球是是廣州長(zhǎng)川覆冰裝置是是（四）制定不同類型終端檢測(cè)方法針對(duì)對(duì)策四實(shí)施，通過(guò)反復(fù)對(duì)比分析不同類型物聯(lián)終端檢測(cè)內(nèi)容及方法，減少不必要檢測(cè)內(nèi)容，并對(duì)檢測(cè)方法和內(nèi)容進(jìn)行固化，明確各類終端的固件提取方式、檢測(cè)內(nèi)容、加測(cè)要求及相關(guān)標(biāo)準(zhǔn)化記錄表格，提高檢測(cè)工作效率。圖20物聯(lián)終端固件安全檢測(cè)典型經(jīng)驗(yàn)通過(guò)編制不同類型物聯(lián)終端固件安全檢測(cè)典型經(jīng)驗(yàn)，規(guī)范化不同類型物聯(lián)終端的檢測(cè)方法，在5個(gè)物聯(lián)終端固件檢測(cè)工作中進(jìn)行了全面試用，顯著提高了檢測(cè)工作效率。表24對(duì)策四實(shí)施確認(rèn)表終端名稱終端類型覆蓋率檢測(cè)內(nèi)容、報(bào)告模板正確性檢測(cè)人北京智芯融合終端100%100%南瑞監(jiān)拍裝置100%100%輸電線路無(wú)人機(jī)100%100%安監(jiān)布控球100%100%廣州長(zhǎng)川覆冰裝置100%100%八、效果檢查（一）效果檢查為了確保對(duì)策實(shí)施后不影響原有檢測(cè)準(zhǔn)確性，對(duì)4項(xiàng)對(duì)策中可能影響準(zhǔn)確性的質(zhì)量因素進(jìn)行了全面排查，并隨機(jī)抽取3個(gè)被測(cè)終端進(jìn)行測(cè)試結(jié)果對(duì)比分析，發(fā)現(xiàn)測(cè)試數(shù)據(jù)一致、結(jié)果相同，因此該成果滿足準(zhǔn)確性要求。表25試驗(yàn)數(shù)據(jù)準(zhǔn)確性比較對(duì)比內(nèi)容固件自身安全檢測(cè)、典型安全漏洞檢測(cè)、惡意軟件檢測(cè)、CVE漏洞檢測(cè)、敏感信息檢測(cè)對(duì)比時(shí)間2022-6-8至2022-6-25評(píng)定標(biāo)準(zhǔn)QC活動(dòng)前后測(cè)試發(fā)現(xiàn)問(wèn)題內(nèi)容與數(shù)量一致判定為通過(guò)。對(duì)比結(jié)果南京悠闊輸電智能監(jiān)拍裝置2.安徽康能電氣輸電智能監(jiān)拍裝置3.臺(tái)區(qū)智能融合終端問(wèn)題內(nèi)容問(wèn)題數(shù)量問(wèn)題內(nèi)容問(wèn)題數(shù)量問(wèn)題內(nèi)容問(wèn)題數(shù)量表述一致均為3個(gè)表述一致均為6個(gè)表述一致均為1個(gè)對(duì)比結(jié)果通過(guò)通過(guò)通過(guò)（二）目標(biāo)值檢查1.目標(biāo)值檢查QC小組對(duì)南京悠闊輸電智能監(jiān)拍裝置、安徽康能電氣輸電智能監(jiān)拍裝置、臺(tái)區(qū)智能融合終端、廣州長(zhǎng)川覆冰裝置、安監(jiān)布控球五個(gè)終端進(jìn)行檢測(cè)，在檢測(cè)過(guò)程中，應(yīng)用了合理的檢測(cè)流程、規(guī)范的測(cè)試指導(dǎo)文件、自動(dòng)化檢測(cè)手段、分類的檢測(cè)方法等四項(xiàng)措施。物聯(lián)終端固件安全檢測(cè)效率大幅度提升。所占用工作量統(tǒng)計(jì)如下所示。表26QC小組活動(dòng)前具體檢測(cè)過(guò)程工作量統(tǒng)計(jì)表各環(huán)節(jié)終端委托單位提出檢測(cè)申請(qǐng)（人天）簽訂委托協(xié)議（人天）接收樣品（人天）初測(cè)（人天）編寫觀察報(bào)告（人天）復(fù)測(cè)（人天）出具正式報(bào)告并歸檔（人天）總工作量（人天）實(shí)驗(yàn)人東方電子監(jiān)拍裝置1.50.60.814.11.12.5121.6南瑞監(jiān)拍裝置1.50.60.414.60.82.21.221.3齊豐科技監(jiān)拍裝置1.30.80.612.7121.119.5安監(jiān)布控球10.60.514.412120.5廣州長(zhǎng)川覆冰裝置1.10.60.614.212.11.220.8平均值1.280.640.5814.000.982.161.120.74表27QC小組活動(dòng)后具體檢測(cè)過(guò)程工作量統(tǒng)計(jì)表各環(huán)節(jié)終端委托單位提出檢測(cè)申請(qǐng)（人天）簽訂委托協(xié)議（人天）接收樣品（人天）初測(cè)（人天）編寫觀察報(bào)告（人天）復(fù)測(cè)（人天）出具正式報(bào)告并歸檔（人天）總工作量（人天）實(shí)驗(yàn)人東方電子監(jiān)拍裝置1.20.60.85.81.11.5112南瑞監(jiān)拍裝置1.10.60.46.50.81.21.211.8齊豐科技監(jiān)拍裝置1.30.80.65.511.11.111.4安監(jiān)布控球10.60.55.511.5111.1廣州長(zhǎng)川覆冰裝置1.10.60.66.1111.211.6平均值1.140.640.585.880.981.261.111.58圖21活動(dòng)后物聯(lián)終端固件安全檢測(cè)排列圖QC小組將活動(dòng)前后時(shí)間進(jìn)行比對(duì)，初測(cè)環(huán)節(jié)工作量從13.91人天降低至5.88人天，整體試驗(yàn)時(shí)間從20.74人天縮短至11.58人天，低于目標(biāo)值。結(jié)論：達(dá)到目標(biāo)。圖22小組活動(dòng)前后目標(biāo)值對(duì)比（三）活動(dòng)效益小組此次活動(dòng)目標(biāo)值順利實(shí)現(xiàn)，為公司帶來(lái)了活動(dòng)效益。1.持續(xù)提高物聯(lián)終端固件安全檢測(cè)效率，有效避免省公司新上線物聯(lián)終端送第三方機(jī)構(gòu)進(jìn)行檢測(cè)，實(shí)現(xiàn)安全檢測(cè)業(yè)務(wù)的提質(zhì)增效。2.有效提升檢測(cè)人員能力，確保及時(shí)發(fā)現(xiàn)和整改物聯(lián)終端固件各類漏洞隱患，確保物聯(lián)終端上線后安全穩(wěn)定運(yùn)行，有效避免網(wǎng)絡(luò)安全事件的發(fā)生。3.大幅度降