2025可信计算平台可信性度量概述词汇.docx

系统与软件工程

可信计算平台可信性度量概述与词汇

302

302

——第1部分：概述与词汇；

——第2部分：信任链；

——第3部分：用户反馈；

——第4部分：服务行为。

301

301

目 次

前言 Ⅲ

引言 IV

范围 1

术语和定义 1

可信计算平台可信性度量 4

概述 4

相关概念 4

过程方法 6

可信计算平台可信性度量的重要性 7

建立、监视、维护和改进可信计算平台可信性度量 7

可信计算平台可信性度量标准的意义 8

GB/T30847的结构 8

综述 8

概述与词汇 9

信任链 9

用户反馈 9

服务行为 9

附录A(资料性附录)与GB/T30847相关的标准化术语 10

参考文献 12

图1通用参考模型 8

PAGE

PAGE303

引 言

随着整个社会信息化进程的推进，网络服务逐渐向平台化发展，平台的可信性问题越来越引起业界的关注，也为传统的信任与可信赋予了新的内涵，度量、评价和认证平台的可信性变得越来越重要。

用户想要使用计算平台，他们需要将自己的资产(如个人敏感信息、财产信息或资金)提供给计算平台提供者。计算平台提供者将控制用户的资产，而用户将对这些资产失去直接控制的能力。所以，用户在决定使用某一计算平台前，需要专业机构帮助他们验证该计算平台的可信性。计算平台能够有效地提供服务，并能按照用户对可信性的需求完成服务行为是至关重要的。

GB/T30847致力于构建可信计算平台及平台可信性度量体系。GB/T30847包括：

从信任链的角度对可信计算平台可信性进行度量；

从用户反馈的角度对可信计算平台可信性进行度量；

从服务行为的角度对可信计算平台可信性进行度量。

GB/T30847的第1部分整体描述可信计算平台的度量，第2、第3和第4部分分别从信任链、用户反馈和服务行为的角度对可信计算平台的度量方法进行规范。

本部分对可信计算平台可信性度量进行概述，形成可信计算平台可信性度量标准框架，并对相关词汇进行定义。附录A阐述了可信性与其他相关术语的关系。

系统与软件工程

可信计算平台可信性度量第1部分：概述与词汇

范围

GB/T30847的本部分对可信计算平台可信性度量进行概述；总述可信计算平台及可信计算平台可信性度量方法；简要描述Plan-Do-Check-Act(PDCA)循环过程；定义可信计算平台可信性度量标准中使用的词汇。

本部分适用于商业机构、政府部门、非营利性组织对可信计算平台的可信性进行度量、评价、验证和提高，也适用于帮助这些组织和机构有效地选择适合的可信计算平台或提高对可信计算平台可信性度量的能力。

术语和定义

下列术语和定义适用于本文件。

注：与GB/T30847相关的其他术语参见附录A。

信任应用

提供服务的机制。

资产

任何对机构有价值的资源。

注：资产的类型包括但不限于：

软件，如计算机程序和信息；

硬件，如计算机；

服务，如实践和行为；

人员及他们的资格、技能和经验；

无形资产，如可信性、声望。

属性

能被人或自动工具定性或定量区分的对象的性质或特征。

行为

主体、平台或服务基于某种目的，做出的一系列动作及其作用的环境。

计算平台

可以提供服务或计算能力的基础设施。

信任元

信任媒对信任链扩展后的可信状态，是信任链扩展后信任流的起点。

效力

计划的活动和结果得到实现和获得的程度。

信任擎

为可信计算平台提供底层的、直接的硬件设置和控制的机制。

评价

系统性判断实体满足明确规范的程度的过程。

事件

对在时空上占有某一位置的重要现象的规格说明。在状态图语境中，事件是能触发某一转移的一种现象。

信任流

信任点的有序集合。

独立第三方

就涉及的问题被公认为是独立于有关各方的个人或机构。

信任载

能够将系统的软、硬件环境加载到适合调用信任栈的状态的机制。

度量元

对应某一属性的变量，通过度量被赋予量化的数值。

度量

从可信计算平台的声明和实际执行的角度，对其相关信息的一致性的评价，并对某些属性进行量化描述的过程。

信任媒

信任链扩展的连接介质，用于信任根或信任元的虚拟化。

非易失性存储

断电后数据不丢失的存储。

信任点

信任的最小节点，由信任擎、信任载、信任栈、信任应用组成。

方针

管理者正式发布的总的宗旨和方向。

过程

为给定目的所执行的步骤序列，例如，软件开发过程。

风险

遭受损失的可能性。

风险管理

一种问题分析的手段，它采用风险概率分析，对某情况的风险进行权衡研究，以便更精确地了解所涉及的风险。风险管理包括风险的识别、分析、优先级排序和控制。

信任根

为可信计算平台提供最初可信任状态的机制。

信任栈

管理、控制和协调平台资源的机制。

威胁

可能导致损害系统或组织利益的不期望事件发生的潜