1. 课程导入
当机器人从实验室走向工厂、医院、商场和道路，它不再是一个封闭的机电系统，而是一个持续与外部交换指令、状态、地图、视觉流和云端策略的分布式计算平台。ROS 2 以 DDS 为通信底座，天然具备发现、发布/订阅、服务质量（QoS）和实时传输能力，但“能通信”不等于“安全通信”。默认配置下，任何接入同一 DDS 域的设备都可能订阅话题、伪造指令或重放控制报文。SROS2 正是为解决这一工程缺口而生的安全增强方案。
一、SROS2 的定位：在 ROS 2 通信栈中加一层“可信边界”
理解 SROS2，先要理解它在系统中的位置。ROS 2 应用通过 rclcpp/rclpy 调用 rmw，再由 DDS 实现完成节点发现与数据交换。SROS2 并不替换 DDS，而是在 DDS Security 插件之上提供密钥管理、权限描述和运行时加载能力。它让每个节点在加入网络前必须出示身份证书，在发布或订阅前必须通过访问控制策略检查，在传输敏感数据时可选择加密与签名。
因此，SROS2 的定位可以概括为三句话：面向 ROS 2 图（Graph）的安全配置层；面向机器人生命周期的密钥与权限管理工具；面向 DDS 域的可信通信基础设施。它解决的不是“如何写一个安全算法”，而是“如何让机器人系统中的每个节点都按既定身份和权限参与通信”。
二、学习目标：从“会跑 ROS 2”到“能交付安全通信”
本课程围绕工程交付能力设计，学完后你应当能够独立完成以下任务：
- 解释 SROS2 与 DDS Security、ROS 2 图之间的层次关系，明确安全边界落在哪一层。
- 使用
ros2 security工具链创建密钥库、身份证书、权限文件与治理文件。 - 为典型机器人节点（如
/cmd_vel发布者、/scan订阅者）编写最小权限策略。 - 在启动文件中加载安全环境变量，验证节点间加密通信与未授权访问拦截。
- 排查证书过期、权限拒绝、域 ID 不匹配、QoS 与安全策略冲突等常见故障。
- 把安全配置纳入 CI/CD 与设备出厂流程，形成可复现、可审计的密钥生命周期管理。
三、方法流程：一次完整的安全通信配置链路
下面给出从零到可运行的安全通信配置流程，后续章节会逐项展开。这里先建立整体节奏感：
# 1. 创建密钥库（Keystore）
ros2 security create_keystore demo_keystore
# 2. 为节点生成身份与密钥
ros2 security create_key demo_keystore /talker
ros2 security create_key demo_keystore /listener
# 3. 生成权限文件（最小权限原则）
ros2 security create_permission demo_keystore /talker \
policies/permissions/talker.xml
# 4. 生成治理文件（定义域级安全策略）
ros2 security create_governance demo_keystore \
policies/governance/governance.xml
# 5. 运行时加载安全环境
export ROS_SECURITY_KEYSTORE=~/demo_keystore
export ROS_SECURITY_ENABLE=true
export ROS_SECURITY_STRATEGY=Enforce
# 6. 启动并验证
ros2 run demo_nodes_cpp talker --ros-args --enclave /talker
ros2 run demo_nodes_cpp listener --ros-args --enclave /listener这条链路的核心思想是：先建立身份，再授予权限，最后在运行时强制执行。任何一步缺失，安全策略都会退化为“名义开启、实际裸奔”。
四、工程价值与典型场景
在真实机器人项目中，SROS2 的价值并不停留在“加密”二字，而是直接对应可量化的工程风险控制。下表列出常见场景与安全收益：
| 场景 | 未启用 SROS2 的风险 | 启用后的工程收益 |
|---|---|---|
| 多机器人共享车间网络 | 其他机器人或恶意设备可发布 /cmd_vel 造成碰撞 |
只有授权节点可发布控制指令，域内身份可追溯 |
| 远程运维与云端调度 | 控制报文可被窃听、篡改或重放 | 加密与签名保证机密性、完整性与抗重放 |
| 医疗/服务机器人 | 患者数据、摄像头流被未授权订阅 | 按话题粒度授权，敏感数据仅对特定节点可见 |
| 设备出厂与现场部署 | 密钥硬编码、权限过大、无法审计 | 密钥库可版本化，权限最小化，支持轮换与吊销 |
五、常见误区与复盘提醒
误区一：开启 ROS_SECURITY_ENABLE=true 就等于安全。 如果权限文件写成通配符 *，或治理文件允许明文通信，安全层形同虚设。必须同时检查权限粒度与治理策略。
误区二：所有节点共用一个证书。 这会让访问控制失去意义，也无法定位异常节点。每个节点应使用独立 enclave 与密钥。
误区三：只在开发环境配置，出厂时忘记注入。 安全配置必须纳入镜像构建与设备初始化流程，否则现场设备会以默认不安全状态运行。
复盘建议：每次安全配置完成后，用 ros2 security list_keys 检查密钥库，用 ros2 topic echo 验证未授权节点是否被拒绝，并保留治理文件与权限文件的版本记录。安全不是一次性动作，而是持续治理过程。