物理不可克隆函数的机器学习防御与攻击综述

摘 要：随着卫星导航技术的发展，芯片、模块和板卡等导航产品被广泛应用到各种导航终端设备上，但这些设备在开放环境中的通信安全问题日益凸显。物理不可克隆函数（Ｐｈｙｓｉｃａｌ Ｕｎｃｌｏｎａｂｌｅ Ｆｕｎｃｔｉｏｎ，ＰＵＦ） 是一种新型“硬件指纹”技术，基于ＰＵＦ 的身份认证方式可以对设备进行硬件层面的认证，满足其轻量级和高安全性的认证需求。针对多数ＰＵＦ 易受到机器学习（Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ，ＭＬ） 建模攻击的问题，对不同的结构改进方法进行介绍，分析了几种常用ＭＬ 攻击算法的特点，提出了防御和攻击两方面的性能评价方法，从安全性方面讨论了ＰＵＦ 的未来发展趋势。

关键词：物理不可克隆函数；导航设备；抗攻击结构；机器学习；可靠性

中图分类号：ＴＰ３０９ 文献标志码：Ａ 开放科学（资源服务）标识码（ＯＳＩＤ）：

文章编号：１００３－３１０６（２０２４）０４－１００９－１０

０ 引言

全球导航卫星系统（Ｇｌｏｂａｌ Ｎａｖｉｇａｔｉｏｎ ＳａｔｅｌｌｉｔｅＳｙｓｔｅｍ，ＧＮＳＳ）为全球用户提供高精度定位、导航和授时（Ｐｏｓｉｔｉｏｎｉｎｇ Ｎａｖｉｇａｔｉｏｎ Ｔｉｍｉｎｇ，ＰＮＴ）服务。随着导航技术的发展，导航产品被广泛应用到手机、汽车和无人机等具有导航功能的终端设备上［１－２］，在电力、交通、金融和通信等领域发挥重要作用。然而，这些设备在开放环境中的通信安全问题日益凸显。目前，电子设备的认证和信息保护通过传统密码学的方法实现，但加密算法的密钥存储难度高且硬件开销大，无法满足其高安全性、低复杂性的认证需求。

物理不可克隆函数（Ｐｈｙｓｉｃａｌ ＵｎｃｌｏｎａｂｌｅＦｕｎｃｔｉｏｎ，ＰＵＦ）是在物联网发展过程中提出的一种新型硬件安全原语［３］，具有轻量级、无需密钥存储和不可克隆的特性。它可以利用集成电路在制造过程中的工艺偏差产生独特的激励－ 响应对（ＣｈａｌｌｅｎｇｅＲｅｓｐｏｎｓｅ Ｐａｉｒ，ＣＲＰ）。激励和响应均为指定长度的二进制序列，对应ＰＵＦ 的输入和输出。例如，仲裁器ＰＵＦ （Ａｒｂｉｔｅｒ ＰＵＦ，ＡＰＵＦ）由上下２ 路ｎ 级并行的多路选择器（Ｍｕｌｔｉｐｌｅｘｅｒ，ＭＵＸ）链和尾端的Ａｒｂｉｔｅｒ 构成。同一信号进入２ 条链路后，ｎ 位激励控制其在ＭＵＸ 中的传输路径。由于工艺偏差，上下链路之间存在延迟差，Ａｒｂｉｔｅｒ 通过比较２ 条链路的快慢得到１ 位响应０ 或１。假如芯片Ａ和Ｂ 为２ 个不同的芯片，分别嵌入了结构相同的ＰＵＦ 电路Ｐ 和Ｑ。ＰＵＦ 具有不可克隆性，即每个ＰＵＦ 都有自己的“硬件指纹”，对电路Ｐ 和Ｑ 施加相同的激励，会产生不同的响应。因此，嵌入ＰＵＦ 的设备或系统能够被唯一地认证。基于ＰＵＦ 的身份认证方式适用于众多的导航终端应用设备，能有效解决其通信安全和负载受限问题。

近年来随着机器学习（Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ，ＭＬ）技术的发展，多数ＰＵＦ 已被证明不够安全。ＭＬ 攻击是指在身份认证过程中攻击者收集认证双方传输的大量ＣＲＰ，然后通过ＭＬ 算法对ＰＵＦ 结构进行建模，从而能够预测其他未被使用过的ＣＲＰ。一旦建模完成，关于ＰＵＦ 不可克隆与不可预测的假设将不再成立，所有基于ＰＵＦ 所实现的应用和协议也随之被破坏。因此，本文将从防御与攻击方面进行分析，包括抗ＭＬ 攻击的ＰＵＦ 结构设计、针对ＰＵＦ 的ＭＬ攻击算法、性能评价方法，并从安全性方面讨论ＰＵＦ的发展趋势。

１ 抗ＭＬ 攻击的ＰＵＦ 结构设计

ＡＰＵＦ 及其各种变体、双稳态（Ｂｉｓｔａｂｌｅ Ｒｉｎｇ，ＢＲ）ＰＵＦ［４］和插值ＰＵＦ（Ｉｎｔｅｒｐｏｓｅ ＰＵＦ，ＩＰＵＦ）［５］等延时类ＰＵＦ 受到基于ＭＬ 的建模攻击的严重威胁。针对这一问题，许多抗ＭＬ 攻击的ＰＵＦ 结构被提出，主要可分为３ 类：结构非线性化、激励响应混淆和混合法。

１． １ 结构非线性化

结构非线性化是从ＰＵＦ 结构本身出发，在原有的ＰＵＦ 结构上增加非线性因素，包括增加反馈回路或多路径选择等，使得整体ＰＵＦ 结构变为非线性模型。

前馈（ＦｅｅｄＦｏｒｗａｒｄ，ＦＦ）ＡＰＵＦ 通过增加反馈回路引入非线性，其原理如图１ 所示。在ＡＰＵＦ 的基础上，增加一个ＦＦ Ａｒｂｉｔｅｒ，输入连接到ＭＵＸ 链的第ｉ 级，ＦＦ 级为第ｊ 级（ｉ＜ｊ），（ｃ１ ，…，ｃｉ，…，ｃｊ，…，ｃｎ）为输入电路的激励［６］。ＦＦ ＡＰＵＦ 结构引入的非线性已被证明不足以抵抗ＭＬ 攻击［７］。之后，可重构ＦＦ ＡＰＵＦ 被提出，通过增加ＦＦ 组件，在重叠、级联和分离３ 种结构中配置，使得攻击者不能以单一的模型进行攻击［８］。文献［９］提出了一种基于功耗的ＭＬ 攻击方法，并通过现场可编程门阵列（ＦｉｌｅｄＰｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ，ＦＰＧＡ）实验证明了该方法对ＦＦ ＡＰＵＦ 攻击的有效性。在ＦＦ ＡＰＵＦ 和异或（ＸＯＲ） ＡＰＵＦ 的基础上，文献［１０ ］提出了同质ＦＦＸＯＲ ＰＵＦ 和异构ＦＦＸＯＲ ＰＵＦ。同质ＦＦＸＯＲＰＵＦ 是对相同结构的ＦＦ ＡＰＵＦ 响应进行异或，即ＦＦ 环路位于ＰＵＦ 组件的同一位置。异构ＦＦＸＯＲＰＵＦ 是对不同结构的ＦＦ ＡＰＵＦ 进行ＸＯＲ，即ＦＦ 环路位于ＰＵＦ 组件的不同位置。通过改变中间Ａｒｂｉｔｅｒ 的位置以及异或ＰＵＦ 组件的数量，证明了该ＰＵＦ 可以抵御逻辑回归（Ｌｏｇｉｓｔｉｃ Ｒｅｇｒｅｓｓｉｏｎ，ＬＲ）和人工神经网络（Ａｒｔｉｆｉｃｉａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ，ＡＮＮ）的ＭＬ 攻击。

多路选择器ＰＵＦ（Ｍｕｌｔｉｐｌｅｘｅｒ ＰＵＦ，ＭＰＵＦ）通过多路径选择增加非线性。用ｋ 级ＭＵＸ 从（２ｋ －１）个ＡＰＵＦ 中选择一个作为响应的最终来源，其中ＭＵＸ的选择端来自ｋ 个ＡＰＵＦ 的输出［１１］。该结构可以在解决ＸＯＲ ＰＵＦ 可靠性降低问题的同时提高安全性。ｒＭＰＵＦ 和ｃＭＰＵＦ 是ＭＰＵＦ 的２ 种变体，ｒＭＰＵＦ为每一个子ＭＵＸ 配备一个单独的ＡＰＵＦ，提高了抗ＭＬ 攻击能力但硬件消耗很大；ｃＭＰＵＦ 引入非门节省了硬件开销但不能抵抗基于可靠性信息的建模攻击。由此可见，在电路中引入非线性虽然可以增加抵抗ＭＬ 攻击的可能性，但通常以降低ＰＵＦ 可靠性为代价，需要增加其他电路以改善其可靠性。

混合型强ＰＵＦ（Ｈｙｂｒｉｄ Ｓｔｒｏｎｇ ＰＵＦ，ＨＳ-ＰＵＦ）在２－１ 双仲裁器ＰＵＦ （Ｄｏｕｂｌｅ ＡＰＵＦ，ＤＡＰＵＦ）的基础上进行了２ 处改进：一是用ＦＦ ＡＰＵＦ 替换ＡＰＵＦ；二是将对称开关单元输出的下延时路径与上延时路径交叉，从而对输入激励进行倒置。因此，信号可以在上下ＦＦ ＡＰＵＦ 链路间传输，增加了非线性因素，并通过异或混淆了响应。用ＬＲ、ＡＮＮ 和支持向量机（Ｓｕｐｐｏｒｔ Ｖｅｃｔｏｒ Ｍａｃｈｉｎｅ，ＳＶＭ）对其进行建模，结果显示，预测率从８５％ 降到了５０％ ，比２－１ ＤＡＰＵＦ的抗攻击性能高出很多［１２］。

文献［１３］提出的混淆互连ＰＵＦ（ＯｂｆｕｓｃａｔｅｄＩｎｔｅｒｃｏｎｎｅｃｔｉｏｎ ＰＵＦ，ＯＩＰＵＦ）利用延迟级的随机互连引入了非线性运算。ＯＩＰＵＦ 由２ 个相同的混淆互连（Ｏｂｆｕｓｃａｔｅｄ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ，ＯＩ）块组成。每个ＯＩ 块为ｎ 级ｌ 路的延迟链，上下块中各级相同索引路径的延迟差作为熵源。将随机分级互连得到的ｌ 个响应进行ＸＯＲ 得到最终响应。ＯＩＰＵＦ 级互连是随机和未知的，因而攻击者无法绕过非线性从输入激励中提取特征矩阵来建立模型。用ＡＮＮ、ＬＲ 和协方差矩阵自适应进化策略（Ｃｏｖａｒｉａｎｃｅ Ｍａｔｒｉｘ ＡｄａｐｔａｔｉｏｎＥｖｏｌｕｔｉｏｎ Ｓｔｒａｔｅｇｙ，ＣＭＡＥＳ）对（６４，８）ＯＩＰＵＦ 进行建模，预测率均为５０％ 左右，且随着ｎ 和ｌ 的增大，抗攻击性能进一步提高。

１． ２ 激励响应混淆

激励响应混淆是通过增加混淆电路隐匿原始的ＣＲＰ，使得攻击者无法获得二者之间的相关性而提高抗ＭＬ 攻击性能。混淆方法包括组合法、随机比特混淆法、加密法和ＸＯＲ 门法等。

组合法是将２ 种或多种ＰＵＦ 组合起来，用一种ＰＵＦ 的输出作为另一种ＰＵＦ 的输入，从而混淆激励的方法。环形振荡器（Ｒｉｎｇ Ｏｓｃｉｌｌａｔｏｒ，ＲＯ）ＰＵＦ 与ＡＰＵＦ 组合而成的复合（Ｃｏｍｐｏｓｉｔｅ）ＰＵＦ［１４］，ＰｉｃｏＰＵＦ 与ＡＰＵＦ 组合而成的基于数据选择器的混合ＰＵＦ （Ｍｕｌｔｉｐｌｅｘｅｒ ｂａｓｅｄ ＭｕｌｔｉＰＵＦ，ＭＭＰＵＦ）［１５］都是将原始激励输入前者，得到的响应作为ＡＰＵＦ 的输入。该方法设计简单，但引入了弱ＰＵＦ 的可靠性问题。文献［１６］提出了一种可配置三态（ＣｏｎｆｉｇｕｒａｂｌｅＴｒｉｓｔａｔｅ，ＣＴ）ＰＵＦ，可以根据偶数位激励和奇数位激励中“１”的个数，配置为ＡＰＵＦ、ＢＲ ＰＵＦ 和ＲＯ ＰＵＦ三种模式，增加了电路结构的灵活性，但攻击者可以通过训练３ 种模型进行建模攻击。为此，提出了一种混淆机制，将ＡＰＵＦ 生成的稳定响应与ＲＯ ＰＵＦ或ＢＲ ＰＵＦ 模式下的激励和响应ＸＯＲ。同时，ＡＰＵＦ只用于混淆，没有外部访问接口，使得攻击者无法获取真实的激励和响应。实验结果表明，该ＰＵＦ 能有效抵抗ＬＲ 和ＡＮＮ 攻击。

控制法是指对同一模式下生成的ＣＲＰ 数量进行限制，当达到阈值时，更新控制密钥的方法。基于序列密码的ＡＰＵＦ（Ｓｅｑｕｅｎｃｅ Ｃｉｐｈｅｒ ｂａｓｅ ｏｎ ＡＰＵＦ，ＳＣＡＰＵＦ）在查找表（Ｌｏｏｋ Ｕｐ Ｔａｂｌｅ，ＬＵＴ）输入端存放密钥作为预置混淆电路的初始值，当ＣＲＰ 数量达到设定阈值时密钥将进行更新，从而使多组激励的混淆结果不同［１７］。基于随机集的混淆（Ｒａｎｄｏｍ Ｓｅｔｂａｓｅｄ Ｏｂｆｕｓｃａｔｉｏｎ，ＲＳＯ）ＰＵＦ 在准备阶段将多个激励存入非易失性存储器（ＮｏｎＶｏｌａｔｉｌｅ Ｍｅｍｏｒｙ，ＮＶＭ），然后将其逐个输入到ＰＵＦ 电路，生成的响应作为混淆集临时存储在寄存器中。每次认证时，使用真随机数生成器（Ｔｒｕｅ Ｒａｎｄｏｍ Ｎｕｍｂｅｒ Ｇｅｎｅｒａｔｏｒ，ＴＲＮＧ）选择２ 个响应，对输入激励和响应分别进行ＸＯＲ。当攻击者收集的ＣＲＰ 数量达到预设阈值时，更新机制将更新用于混淆激励和响应的密钥集［１８］。ＲＳＯ 不仅可以有效地抵抗ＭＬ 攻击，还可以解决结构非线性方法和激励响应混淆法中ＰＵＦ 可靠性下降的问题，但攻击者可能会用相同的激励替换ＮＶＭ内容，以绕过混淆过程。

随机比特混淆法是通过引入随机数使ＰＵＦ 的激励或响应随机化的方法。随机激励ＰＵＦ （ＰＵＦｗｉｔｈ Ｒａｎｄｏｍｉｚｅｄ ｃｈａｌｌｅｎｇｅ，ＲＰＵＦ）通过增加一个激励随机化模块，根据随机数生成器（Ｒａｎｄｏｍ ＮｕｍｂｅｒＧｅｎｅｒａｔｏｒ，ＲＮＧ）的输出对激励位进行选择性翻转，使得每个激励可以有多个响应以阻止攻击者获取有效的训练数据集。模拟仿真和ＦＰＧＡ 中实现的实验数据表明，ＲＰＵＦ 的平均预测率为７３． ６４％ 和６４． ４５％ ，证明了该方法在抵抗ＭＬ 建模攻击方面的有效性［１９］。细长（Ｓｌｅｎｄｅｒ）ＰＵＦ 采用４ＸＯＲ ＰＵＦ，约定设备端和服务器端使用各自的ＴＲＮＧ 来生成随机数，然后设备端将２ 个随机数拼接作为伪随机数生成器（Ｐｓｅｕｄｏ Ｒａｎｄｏｍ Ｎｕｍｂｅｒ Ｇｅｎｅｒａｔｏｒ，ＰＲＮＧ）的种子，生成ＰＵＦ 的激励，最后随机截取固定长度的响应段发送给服务器端以验证设备的合法性［２０］。尽管ＲＰＵＦ 和Ｓｌｅｎｄｅｒ ＰＵＦ 看似隐藏了激励和响应的真实对应关系，但文献［２１－２２］的实验表明，它们依然能被ＣＭＥＥＳ 攻破。文献［２３］提出了一种强ＰＵＦ 的动态响应机制。该机制由底层ＰＵＦ、动态激励转换（Ｄｙｎａｍｉｃ Ｃｈａｌｌｅｎｇｅ Ｔｒａｎｓｆｏｒｍａｔｉｏｎ，ＤＣＴ）模块和响应后处理模块组成。底层ＰＵＦ 和ＤＣＴ 模块结合生成动态响应。具体原理是：使用内部线性反馈移位寄存器（ＬｉｎｅａｒＦｅｅｄｂａｃｋ Ｓｈｉｆｔ Ｒｅｇｉｓｔｅｒ，ＬＦＳＲ）产生混淆子串，与底层ＰＵＦ 的激励子串异或，生成多个子激励，子激励输入底层ＰＵＦ 中生成多个子响应。假设ＬＦＳＲ 为ｍ 位，则一个激励对应的完全响应长度为２ｍ －１。采用ＡＮＮ 和ＣＭＡＥＳ 对ＤＣＴ 机制进行攻击，由于攻击过程中攻击者需要尝试多种ＬＦＳＲ 子串与激励子串的组合，所需的训练时间和ＣＲＰ 数量大大增加，因此无法在有效时间内攻破。

加密法是将传统加密算法和ＰＵＦ 结合以提高安全性的方法。用于ＰＵＦ 的加密算法有哈希（ｈａｓｈ）函数、高级加密标准（Ａｄｖａｎｃｅｄ ＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ，ＡＥＳ）、矩阵加密和洗牌算法等，其中应用最多的是ｈａｓｈ 函数。如图２ 所示，受控ＰＵＦ（Ｃｏｎｔｒｏｌｌｅｄ ＰＵＦ，ＣＰＵＦ）利用ｈａｓｈ 散列电路对激励Ｃ 和响应Ｒ 进行混淆以防止对激励的选择性攻击和减少响应的相关性［２４］。然而，ｈａｓｈ 散列对噪声敏感，一位比特错误会导致整个序列改变，因此需要增加纠错码（Ｅｒｒｏｒ Ｃｏｒｒｅｃｔｉｎｇ Ｃｏｄｅ，ＥＣＣ），从而引入了显著的面积和功率开销。为了减少开销，文献［２５］提出了有限状态机ＰＵＦ （ＰＵＦＦｉｎｉｔｅ Ｓｔａｔｅ Ｍａｃｈｉｎｅ，ＰＵＦＦＳＭ）。该ＰＵＦ 删除了ＣＰＵＦ 激励端的ｈａｓｈ 电路，并用ＦＳＭ 替换ＥＣＣ 校验单元，消除了对纠错逻辑、相关计算、辅助数据存储与加载的需要，能够抵御基于可靠性的攻击，但由于ｈａｓｈ 电路的存在仍会产生很大的开销，并且ＰＵＦＦＳＭ 也已被ＣＭＡＥＳ 变体攻破［２２］。此外，文献［１５］提出的基于置换盒的ＡＰＵＦ（ＳｕｂｓｔｉｔｕｔｉｏｎＢｏｘ ｂａｓｅｄ ＡＰＵＦ，ＳＡＰＵＦ）使用ＡＥＳ 算法中的非线性替换函数ＳＢｏｘ（ＳｕｂｓｔｉｔｕｔｉｏｎＢｏｘ）混淆激励，文献［２６］提出的基于矩阵加密的ＰＵＦ（Ｍａｔｒｉｘ Ｅｎｃｒｙｐｔｉｏｎ ＰＵＦ，ＭＥＰＵＦ）对响应进行矩阵乘法加密。２ 种方法均改进了抗攻击性能。

ＸＯＲ 门法是将多位激励或响应进行ＸＯＲ 的方法，是使用较多的方法之一，通常和其他混淆方法结合使用。例如，ＸＯＲ ＡＰＵＦ［２７］、同质ＦＦＸＯＲ ＰＵＦ、异构ＦＦＸＯＲ ＰＵＦ［１０］和ＩＰＵＦ［５］是对多个ＰＵＦ 组件的响应进行异或；轻量安全（Ｌｉｇｈｔｗｅｉｇｈｔ Ｓｅｃｕｒｅ，ＬＳ）ＰＵＦ 在输入和输出端添加了异或门网络，对并行激励和响应分别进行循环移位互连混淆［２８］；ＨＳＰＵＦ［１２］、ＯＩＰＵＦ［１３］是对２ 个延迟链路互连的多个响应进行ＸＯＲ；ＣＴ ＰＵＦ［１６］、双模反馈（Ｄｕａｌ Ｆｅｅｄ，ＤＦ）ＰＵＦ［２９］等多态ＰＵＦ 采用按位ＸＯＲ 混淆机制同时混淆激励和响应；ＲＳＯ ＰＵＦ［１８］与多态ＰＵＦ 混淆原理类似，但使用底层ＰＵＦ 产生的稳定响应。ＸＯＲ 运算将耗费攻击者更多的计算资源和处理时间，攻击难度加大，但对于一些结构简单的ＰＵＦ，ＸＯＲ 门法增加的抗攻击性能有限，仍然存在被攻破的风险［７，３０－３２］。

１． ３ 混合法

混合法是将非线性和激励响应混淆同时引入到ＰＵＦ 结构中的方法。文献［２９］提出了一种状态可配置的ＤＦ ＰＵＦ，具有２ 种模式：ＦＦ ＡＰＵＦ 和混合ＰＵＦ。ＦＦ ＡＰＵＦ 通过增加一个ＦＦ Ａｒｂｉｔｅｒ 引入了非线性，用尾端的Ａｒｂｉｔｅｒ 生成响应；混合ＰＵＦ 通过将ＲＯ ＰＵＦ 与ＡＰＵＦ 结合，构成了部分激励位可配置的振荡环路，用计数器和比较器生成响应。为了进一步提高安全性和可靠性，该结构还采用了文献［１６］中的按位ＸＯＲ 混淆机制以复杂化激励和响应之间的映射关系，增加了建模攻击的难度。文献［３３］提出的动态重构混沌ＰＵＦ（Ｄｙｎａｍｉｃ Ｒｅｃｏｎｓｔｒｕｃｔｉｏｎ ｏｆ Ｃｈａｏｔｉｃ ＰＵＦ，ＣＬＣ-ＰＵＦ）增加了可重构ＬＦＳＲ 和混沌模块，同时对激励和响应进行混淆。轻量级流式加密ＰＵＦ（Ｌｉｇｈｔｗｅｉｇｈｔ Ｓｔｒｅａｍ Ｃｉｐｈｅｒ ＰＵＦ，ＬＳＣＰＵＦ）通过在激励端加入由混沌系统和移位寄存器组成的轻量级流式加密逻辑，在激励和响应之间引入了较强的非线性。该结构对多种ＭＬ 算法表现出良好的抗攻击性。

２ 针对ＰＵＦ 的ＭＬ 攻击算法

针对ＰＵＦ 的常用ＭＬ 攻击算法有ＬＲ、ＳＶＭ、进化策略（Ｅｖｏｌｕｔｉｏｎ Ｓｔｒａｔｅｇｙ，ＥＳ）、ＡＮＮ 和朴素贝叶斯（Ｎａ ｖｅ Ｂａｙｅｓ，ＮＢ）等。

２． １ ＬＲ

ＬＲ 可以用于解决二分类问题，是最早用于攻击ＰＵＦ 的ＭＬ 算法［７］，其原理如图３ 所示。通过构造预测函数、损失函数和最小化损失函数来求解预测函数的最优系数。其中Ｘ ＝ ［１，ｘ１ ，…，ｘｎ］ Ｔ 为输入向量，Ｗ ＝ ［ｗ０ ，ｗ１ ，…，ｗｎ］ Ｔ 为权值向量，ｚ 为２ 个向量的内积，ｇ 为Ｓｉｇｍｏｉｄ 函数，ｆ 为预测函数。例如，ＡＰＵＦ 可以被建模为线性递增延迟模型。首先，将激励通过数学表达式转换为特征向量，使得总延迟差与各级延迟差之间呈线性关系；然后，将特征向量和响应作为ＬＲ 算法的输入和输出，估计出各级延迟参数。对于新的激励，通过计算特征向量与延迟参数的内积得到总延迟，并将其输入Ｓｉｇｍｏｉｄ 函数以预测新的响应［３４］。

ＬＲ 本身是线性分类模型，对线性结构的ＰＵＦ攻击效果显著，如对ＲＯ ＰＵＦ［１６］、ＸＯＲ ＡＰＵＦ 和ＬＳＰＵＦ 的预测准确率均达到９９％ 以上［３５］。然而，当数据特征缺失或激励响应线性关系不强时预测会变差，如ＦＦ ＡＰＵＦ［７］。

２． ２ ＳＶＭ。

ＳＶＭ 是通过寻找特征空间中特征向量的分隔最大宽度（超平面）来解决二分类或多分类问题［３６－３７］，对数据波动的鲁棒性强。与ＬＲ 相比，ＳＶＭ可以调用不同的核函数将样本空间从低维映射到高维从而实现非线性分类，但核函数的选择和参数设置复杂，需要更多的时间和样本来调整参数。如图４ 所示，一个二维平面上有２ 类点，“＋”代表正样本，“－”代表负样本，直线ａ 和ｂ 之间的间隔为２ 类点分隔最大宽度，ａ 和ｂ 经过的点为支持向量，ａ、ｂ的中线ｃ 为２ 类点的最佳分隔面，训练目的是求解该平面。与ＬＲ 攻击的原理类似，ＳＶＭ 将响应｛０，１｝映射到｛－１，１｝。由于超平面只与支持向量有关，因此适用于小样本分类。ＳＶＭ 在许多研究中已被用于攻击ＡＰＵＦ［３８］及其部分复杂度有限的变体［７，３９－４１］。

２． ３ ＥＳ。

ＥＳ 是一种仿照生物进化原理的启发式参数优化算法［４２］，算法过程如图５ 所示。先构造一个ＰＵＦ的数学模型和适应度函数，给模型的每个参数赋随机值作为父代；多个父代经过重组变异后衍生出一系列新的模型作为子代，筛选出子代中适应度较强的模型作为新的父代；循环迭代优化直至达到预期适应度或最大迭代次数，所得到的模型就是最优解。其中，ＣＭＡＥＳ 在复杂优化问题上表现良好［４３］，是对ＰＵＦ 进行建模攻击时最常采用的方法。该方法使用协方差矩阵来调整正态分布中变量之间的相关性，其子代的随机突变通过对每个参数添加一个随机高斯变量Ｎ（０，σ）实现。标准差σ 可自适应地调整，准确率越接近ＰＵＦ 实例，σ 越小。

文献［１３］提出了一种遗传算法（Ｇｅｎｅｔｉｃ Ａｌｇｏｒｉｔｈｍ，ＧＡ）与ＣＭＡＥＳ 混合攻击的方法，用于攻击ＯＩＰＵＦ。该方法使用ＧＡ 生成特定ＯＩＰＵＦ 实例的混淆互连表（Ｏｂｆｕｓｃａｔｅｄ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ Ｔａｂｌｅｓ，ＯＩＴｓ），并用其构建ＣＭＡＥＳ 模型，以优化延迟参数表（Ｄｅｌａｙ Ｐａｒａｍｅｔｅｒ Ｔａｂｌｅ，ＤＰＴ）。具体步骤如下：首先，用ＧＡ 生成Ｓ 个ＯＩＰＵＦ 的ＯＩＴ 作为初始种群，Ｓ为子代数量；其次，将每个ＯＩＴ 及激励转换为特征矩阵，输入到Ｓ 个具有自定义适应度函数的ＣＭＡＥＳ模型中，并计算每个模型的预测误差；然后，根据预测误差，用ＣＭＡＥＳ 优化ＤＰＴ，用ＧＡ 优化ＯＩＴ；最后，重复以上步骤，直到达到预设迭代次数或满足阈值条件。攻击结果显示，当ｌ＜４ 时预测率在９０％ 以上。然而，由于ＸＯＲ 运算的引入，算法有效性逐渐降低，当ｌ≥５ 时，攻击失败。

与ＬＲ 和ＳＶＭ 相比，ＣＭＡＥＳ 不要求建模对象线性可分或损失函数可微，对Ｓｌｅｎｄｅｒ ＰＵＦ［２１］和ＲＰＵＦ ［２２］等非线性复杂ＰＵＦ 结构的攻击效果更好，但由于算法搜索过程具有随机性，且最终结果依赖于模型初始值，因此需要重复运行多次才能找到最优解，求解过程十分耗时。

适应度函数的选择对ＥＳ 攻击的影响至关重要。适应度函数表示为：

Ａ ＝ ｆ（Ｍ，Ｍ′）， （１）

式中：Ｍ 和Ｍ′分别为虚拟模型和真实模型，ｆ 为对二者的评估函数。比如Ａ ＝ ＨＤ（Ｒ，Ｒ′）／ ｌ，ＨＤ（Ｒ，Ｒ′）为模型集Ｒ 和测试集Ｒ′的汉明距离，ｌ 为ＰＵＦ 响应的序列长度。准确率越高，表明子代越合适。

２． ４ ＡＮＮ

ＡＮＮ 是由众多神经元作为计算节点互连而成的一个自适应系统，每个神经元对应一个非线性激活函数，其算法核心为普遍逼近定理［４４］。如图６ 所示的神经网络由输入层、隐藏层和输出层构成。其中Ｘ ＝ ［ｘ１ ，ｘ２ ］为输入向量，Ｗ１ ＝ ［ｗ１１ ，ｗ１２ ，ｗ１３ ，ｗ２１ ，ｗ２２ ，ｗ２３ ］和Ｗ２ ＝ ［ｗ１ ，ｗ２ ，ｗ３ ］为２ 层之间的权值向量，ｙ 为输出值。计算过程是输入向量经过加权、求和、偏置和激活，生成第一层神经元的输出。该输出再根据其网络关系采取类似的算法产生下一层输出，层层递进，直至产生最终输出。常用的激活函数有Ｓｉｇｍｏｉｄ、Ｔａｎｈ 和ＲｅＬＵ 等，训练算法有梯度下降法［４５］、列文伯格－ 马夸尔特（ＬｅｖｅｎｂｅｒｇＭａｒｑｕａｒｄｔ，ＬＭ）算法、弹性反相传播（Ｒｅｓｉｌｉｅｎｔ ｂａｃｋ Ｐｒｏｐａｇａｔｉｏｎ，ＲＰＲＯＰ）算法［４６］等。与ＬＲ 或ＳＶＭ 等传统算法相比，ＡＮＮ 的结构更具可配置性，可以对各种ＰＵＦ 类型进行建模。

文献［４７］提出了一种与目标ＰＵＦ 工作原理和电路结构相匹配的ＡＮＮ 模型。以ＦＦ ＡＰＵＦ 为例，其结构如图１ 所示。图７ 展示的网络模型中，以ＦＦ路径的输入和输出为界，将ＦＦ ＡＰＵＦ 的ＭＵＸ 链分成３ 段。第一段为ＭＵＸ 链的第１ ～ ｉ 级，第二段为ＭＵＸ 链的第（ｉ＋１）～ ｊ 级，第三段为其余级。对应的３ 段延迟差为Ｄ［１：ｉ］、Ｄ［ｉ＋１：ｊ］和Ｄ［ｊ＋１：ｎ］，ｎ 为级数。当ＦＦ Ａｒｂｉｔｅｒ 的输出为０ 时，第１ 段和第２ 段延迟差修正为（－Ｄ［１：ｉ］）、（－Ｄ［ｉ＋１：ｊ］）。将３ 个延迟差作为隐藏层节点，构造了一个３ 层ＡＮＮ 网络。网络的输入为由激励转换的熵源（１ ，２ ，…，ｎ），输出为响应Ｒ。由于专用ＡＮＮ 的复杂度更接近目标ＰＵＦ，与传统３ 层ＡＮＮ 相比，预测成功率更高。

前馈神经网络（Ｆｅｅｄｆｏｒｗａｒｄ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ，ＦＮＮ）作为一种典型的没有反馈回路的多层神经网络，目前已经对ＡＰＵＦ［６］、ＸＯＲ ＡＰＵＦ［２７］、ＬＳ ＰＵＦ［２８］、ＩＰＵＦ［５］和ＭＰＵＦ［１１］等多种ＰＵＦ 成功建模［３０］。

２． ５ ＮＢ

ＮＢ 是以条件独立性假设为前提的分类方法［４８］。假设输入是一个特征向量，每个特征是相互独立的，求各类别在特征向量下的后验概率，取满足概率最大值的分类作为最终输出。在攻击ＰＵＦ 时，激励和响应作为ＮＢ 算法的输入和输出。通过观察大量的ＣＲＰ，ＮＢ 可以学习到ＰＵＦ 的结构，并用于预测未知激励的响应［４９］。与其他算法相比，ＮＢ 在小样本情况下预测率更高，但输入特征之间往往存在相关性，进而导致分类效果变差［１５，５０］。

贝叶斯定理表达式为：

式中：Ｘ ＝ ［ｘ１ ，ｘ２ ，…，ｘｎ ］为ｎ 维特征向量，ｙ 为对应的标签，Ｐ（ｙ）为某一标签的先验概率，Ｐ（ｘ１ ，ｘ２ ，…，ｘｎ）为多个特征的联合概率。

由于各个特征满足条件独立性，因此条件概率Ｐ（ｙ ｘ１ ，ｘ２ ，…，ｘｎ）可表示为：

选择正确程度最高的类别作为分类的结果，判别式为：

针对不同的ＰＵＦ 结构，上述几种ＭＬ 算法各有优缺点。同一种ＰＵＦ 结构可能被几种算法都攻破，但性能上存在较大差异。比如，对于ＡＰＵＦ 而言，ＬＲ 速度最快，但对于５-ＸＯＲ ＡＰＵＦ 而言，ＬＲ 用时约１６ ｈ，深度神经网络（Ｄｅｅｐ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ，ＤＮＮ）用时仅３０ ｍｉｎ 左右［３０］，说明ＬＲ 对非线性结构的攻击难度大。这为算法选取的优先级提供了一定的依据。

几种ＭＬ 算法对本文ＰＵＦ 的攻击现状如表１ 所示。由表１ 可知，虽然随着ＭＬ 技术的发展，部分改进结构逐渐被攻破，但ＰＵＦ 整体抗ＭＬ 攻击性能有了明显提升。

３ 性能评价方法

３． １ 比特预测准确率

比特预测准确率是当前用以评估ＰＵＦ 抗ＭＬ攻击鲁棒性的最常用指标。该指标是指攻击者预测正确的响应比特数与总响应比特数的百分比。因为每位响应只有０、１ 两种可能，因此理论值介于５０％ ～ １００％ 。为了直观地比较不同ＰＵＦ 的抗攻击性能，可定义Ｆａｂｉｌｉｔｙ 来衡量ＰＵＦ 的抗攻击能力：

Ｆａｂｉｌｉｔｙ（ｐｎ ） ＝ １／ｔａｎ（π ｐｎ － ０． ５ ）， （６）

式中：ｐｎ 为训练集数量为ｎ 时的比特预测准确率。当预测准确率为５０％ 时，预测的成功率并不比随机猜测更高，此时Ｆａｂｉｌｉｔｙ 近似为无穷大，表明ＰＵＦ 的抗攻击能力很强。

３． ２ 模型熵界和熵密度

Ｍａｅｓ［５１］采用信息论中的定义提出了模型熵界Ｈ（Ｙｎ），即模型中响应序列熵值总和的上限，用来衡量模型的强度。熵界越小，模型的预测能力越强，Ｈ（Ｙｎ）的表达式为：

Ｈ（Ｙｎ ）≤ Σｎｉ ＝ １ｈ（ｐｍｏｄｅｌ（ｉ））， （７）

式中：ｈ（·）为每比特响应的熵，ｐｍｏｄｅｌ（ｉ）为用（ｉ－１）个先前观测到的响应比特预测第ｉ 比特的平均预测率，预测率越大，熵值越小；Ｙｎ ＝ ［Ｙ１ ，Ｙ２ ，…，Ｙｎ ］为长度为ｎ 的随机比特向量，Ｙｉ ∈｛０，１｝为随机变量，ｎ为响应的序列长度。

为了比较模型对不同ＰＵＦ 的预测能力，所有熵界用熵密度ρ（Ｙｎ）表示：

该界限的严格性取决于假设模型的强度，界限越严格，即熵密度越接近真实响应的熵，模型的预测能力越强。通常，训练的响应越多，预测率越高，即ｐｍｏｄｅｌ（ｉ）随ｉ 的增加而增加。因此，ρｍｏｄｅｌ（Ｙｎ ）不是常数，而是取决于ｎ。如果一个模型在用大量观测到的响应训练后产生了近乎完美的预测，后续响应将只贡献噪声熵。随着响应数量的增加，熵密度将进一步降低，趋于真实响应的熵。

４ 结束语

ＰＵＦ 的攻击与防御是相互促进的，新的或优化的ＭＬ 攻击算法会指导结构的改进。在设计ＰＵＦ时要充分考虑能被ＭＬ 攻破的结构漏洞，同时平衡可靠性、面积、功耗和操作成本等因素，以满足实际应用需求。未来关于ＰＵＦ 攻击与防御的研究可能将聚焦于以下几个方向：

① 提高可靠性。ＰＵＦ 受电压、温度和老化等因素影响导致的可靠性下降是制约ＰＵＦ 应用的主要问题。近年来，很多提高ＰＵＦ 可靠性的方法被提出，如可靠性自检［５２］、博斯－ 查德胡里－ 霍昆格姆（ＢｏｓｅＣｈａｕｄｈｕｒｉＨｏｃｑｕｅｎｇｈｅｍ，ＢＣＨ）纠错［５３］等。

② 减少硬件开销。ＰＵＦ 主要应用于轻量级设备，因此对于硬件资源有限的ＰＵＦ 实现载体应尽可能考虑成本效益。可以通过避免引入ｈａｓｈ 散列、ＥＣＣ 纠错等复杂电路，或者在服务器端纠错来节省额外开销。理想的ＰＵＦ 结构是ＰＵＦ 本身占用主体硬件资源，而其他辅助电路小到可以忽略。

③ 建立计算机辅助设计（ＣｏｍｐｕｔｅｒＡｉｄｅｄＤｅｓｉｇｎ，ＣＡＤ）评估框架。对ＰＵＦ 设计者和制造商而言，很难全面准确地评估新的结构设计或对策能否抵抗ＭＬ 和其他类型的攻击，如文献［５４］仅支持对ＭＬ 攻击的鲁棒性评估。因此，需要开发ＣＡＤ 框架来评估ＰＵＦ 对所有类型攻击的鲁棒性。

④ 将ＰＵＦ 的概念与加密算法相融合。传统加密算法的安全性已经过多轮验证，用ＰＵＦ 响应替代加密算法的密钥或充当轻量级消息认证码（ＭｅｓｓａｇｅＡｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ，ＭＡＣ）［５５］，可以解决密钥的安全存储问题。

⑤ 开发新的ＭＬ 攻击算法。传统ＭＬ 学习算法对ＰＵＦ 的攻击已较为成熟。近几年，一些新的ＭＬ算法如主成分分析（Ｐｒｉｎｃｉｐａｌ Ｃｏｍｐｏｎｅｎｔ Ａｎａｌｙｓｉｓ，ＰＣＡ ）、生成对抗网络（Ｇｅｎｅｒａｔｉｖｅ ＡｄｖｅｒｓａｒｉａｌＮｅｔｗｏｒｋ，ＧＡＮ）等开始用于ＰＵＦ 建模，未来可以用更多的ＭＬ 算法或结合智能算法对ＰＵＦ 进行攻击。

参考文献

［１］ 黄浩，蔡戬，卢列文，等． 促进北斗卫星导航产品认证服务，提升北斗卫星导航产品质量［Ｊ］． 科学技术创新，２０１９（３）：３８－３９．

［２］ 窦志斌，白鹤峰，李文屏，等． 一种卫星网络中的星地轻量化认证鉴权架构［Ｊ］． 无线电工程，２０２０，５０（４）：２６２－２６８．

［３］ ＰＡＰＰＵ Ｒ，ＲＥＣＨＴ Ｂ，ＴＡＹＬＯＲ Ｊ，ｅｔ ａｌ． Ｐｈｙｓｉｃａｌ ＯｎｅｗａｙＦｕｎｃｔｉｏｎｓ［Ｊ］． Ｓｃｉｅｎｃｅ，２００２，２９７（５５８９）：２０２６－２０３０．

［４］ ＣＨＥＮ Ｑ Ｑ，ＣＳＡＢＡ Ｇ，ＬＵＧＬＩ Ｐ，ｅｔ ａｌ． Ｔｈｅ Ｂｉｓｔａｂｌｅ ＲｉｎｇＰＵＦ：Ａ Ｎｅｗ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｓｔｒｏｎｇ Ｐｈｙｓｉｃａｌ ＵｎｃｌｏｎａｂｌｅＦｕｎｃｔｉｏｎｓ［Ｃ］∥２０１１ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｙｍｐｏｓｉｕｍ ｏｎＨａｒｄｗａｒｅＯｒｉｅｎｔｅｄ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｔｒｕｓｔ （ＨＯＳＴ ）． ＳａｎＤｉｅｇｏ：ＩＥＥＥ，２０１１：１３４－１４１．

［５］ ＮＧＵＹＥＮ Ｐ Ｈ，ＳＡＨＯＯ Ｄ Ｐ，ＪＩＮ Ｃ Ｌ，ｅｔ ａｌ． Ｔｈｅ ＩｎｔｅｒｐｏｓｅＰＵＦ：Ｓｅｃｕｒｅ ＰＵＦ Ｄｅｓｉｇｎ Ａｇａｉｎｓｔ Ｓｔａｔｅｏｆｔｈｅａｒｔ ＭａｃｈｉｎｅＬｅａｒｎｉｎｇ Ａｔｔａｃｋｓ ［Ｊ ］． Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ ＣｒｙｐｔｏｇｒａｐｈｉｃＨａｒｄｗａｒｅ ａｎｄ Ｅｍｂｅｄｄｅｄ Ｓｙｓｔｅｍｓ，２０１９（４）：２４３－２９０．

［６］ ＬＥＥ Ｊ Ｗ，ＬＩＭ Ｄ，ＧＡＳＳＥＮＤ Ｂ，ｅｔ ａｌ． Ａ Ｔｅｃｈｎｉｑｕｅ ｔｏＢｕｉｌｄ ａ Ｓｅｃｒｅｔ Ｋｅｙ ｉｎ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔｓ ｆｏｒ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎａｎｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ａｐｐｌｉｃａｔｉｏｎｓ ［Ｃ］∥ ２００４ Ｓｙｍｐｏｓｉｕｍｏｎ ＶＬＳＩ Ｃｉｒｃｕｉｔｓ． Ｄｉｇｅｓｔ ｏｆ Ｔｅｃｈｎｉｃａｌ Ｐａｐｅｒｓ． Ｈｏｎｏｌｕｌｕ：ＩＥＥＥ，２００４：１７６－１７９．

［７］ ＲＨＲＭＡＩＲ Ｕ，ＳＥＨＮＫＥ Ｆ，Ｓ？ＬＴＥＲ Ｊ，ｅｔ ａｌ． ＭｏｄｅｌｉｎｇＡｔｔａｃｋｓ ｏｎ Ｐｈｙｓｉｃａｌ Ｕｎｃｌｏｎａｂｌｅ Ｆｕｎｃｔｉｏｎｓ［Ｃ］∥Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １７ｔｈ ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ． Ｎｅｗ Ｙｏｒｋ：ＡＣＭ，２０１０：２３７－２４９．

［８］ ＬＡＯ Ｙ Ｊ，ＰＡＲＨＩ Ｋ Ｋ． Ｒｅｃｏｎｆｉｇｕｒａｂｌｅ Ａｒｃｈｉｔｅｃｔｕｒｅｓ ｆｏｒＳｉｌｉｃｏｎ Ｐｈｙｓｉｃａｌ Ｕｎｃｌｏｎａｂｌｅ Ｆｕｎｃｔｉｏｎｓ［Ｃ］∥２０１１ ＩＥＥＥＩｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｅｌｅｃｔｒｏ ／ Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ． Ｍａｎｋａｔｏ：ＩＥＥＥ，２０１１：１－７．

［９］ ＮＯＺＡＫＩ Ｙ，ＹＯＳＨＩＫＡＷＡ Ｍ． Ｐｏｗｅｒ Ｃｏｎｓｕｍｐｔｉｏｎ ＡｗａｒｅＭａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ Ａｔｔａｃｋ ｆｏｒ Ｆｅｅｄｆｏｒｗａｒｄ Ａｒｂｉｔｅｒ ＰＵＦ［Ｃ］∥Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｃｉｅｎｃｅ （ＩＣＩＳ ２０１８ ）． Ｓｉｎｇａｐｏｒｅ：Ｓｐｒｉｎｇｅｒ，２０１８：４９－６２．

［１０］ ＡＶＶＡＲＵ Ｓ Ｖ Ｓ，ＺＥＮＧ Ｚ Ｑ，ＰＡＲＨＩ Ｋ Ｋ． Ｈｏｍｏｇｅｎｅｏｕｓａｎｄ Ｈｅｔｅｒｏｇｅｎｅｏｕｓ Ｆｅｅｄｆｏｒｗａｒｄ ＸＯＲ Ｐｈｙｓｉｃａｌ ＵｎｃｌｏｎａｂｌｅＦｕｎｃｔｉｏｎｓ［Ｊ］． ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｆｏｒｅｎｓｉｃｓａｎｄ Ｓｅｃｕｒｉｔｙ，２０２０，１５：２４８５－２４９８．

［１１］ ＳＡＨＯＯ Ｄ Ｐ，ＭＵＫＨＯＰＡＤＨＹＡＹ Ｄ，ＣＨＡＫＲＡＢＯＲＴＹ ＲＳ，ｅｔ ａｌ． Ａ Ｍｕｌｔｉｐｌｅｘｅｒｂａｓｅｄ Ａｒｂｉｔｅｒ ＰＵＦ Ｃｏｍｐｏｓｉｔｉｏｎｗｉｔｈ Ｅｎｈａｎｃｅｄ Ｒｅｌｉａｂｉｌｉｔｙ ａｎｄ Ｓｅｃｕｒｉｔｙ［Ｊ］． ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｃｏｍｐｕｔｅｒｓ，２０１７，６７（３）：４０３－４１７．

［１２］ 翟官宝，汪鹏君，李刚，等． 混合型抗机器学习攻击的强ＰＵＦ 电路设计［Ｊ］． 华东理工大学学报（自然科学版），２０２２，４９（６）：８５４－８６１．

［１３］ ＸＵ Ｃ Ｙ，ＺＨＡＮＧ Ｌ Ｔ，ＬＡＷ Ｍ Ｋ，ｅｔ ａｌ． Ｍｏｄｅｌｉｎｇ ＡｔｔａｃｋＲｅｓｉｓｔａｎｔ Ｓｔｒｏｎｇ ＰＵＦ Ｅｘｐｌｏｉｔｉｎｇ Ｓｔａｇｅｗｉｓｅ Ｏｂｆｕｓｃａｔｅｄ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎｓ ｗｉｔｈ Ｉｍｐｒｏｖｅｄ Ｒｅｌｉａｂｉｌｉｔｙ［Ｊ］． ＩＥＥＥ Ｉｎｔｅｒｎｅｔｏｆ Ｔｈｉｎｇｓ Ｊｏｕｒｎａｌ，２０２３，１０（１８）：１６３００－１６３１５．

［１４］ ＳＡＨＯＯ Ｄ Ｐ，ＳＡＨＡ Ｓ，ＭＵＫＨＯＰＡＤＨＹＡＹ Ｄ，ｅｔ ａｌ．Ｃｏｍｐｏｓｉｔｅ ＰＵＦ：Ａ Ｎｅｗ Ｄｅｓｉｇｎ Ｐａｒａｄｉｇｍ ｆｏｒ ＰｈｙｓｉｃａｌｌｙＵｎｃｌｏｎａｂｌｅ Ｆｕｎｃｔｉｏｎｓ ｏｎ ＦＰＧＡ［Ｃ］∥２０１４ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｙｍｐｏｓｉｕｍ ｏｎ ＨａｒｄｗａｒｅＯｒｉｅｎｔｅｄ Ｓｅｃｕｒｉｔｙ ａｎｄＴｒｕｓｔ （ＨＯＳＴ）． Ａｒｌｉｎｇｔｏｎ：ＩＥＥＥ，２０１４：５０－５５．

［１５］ 方越． 强ＰＵＦ 安全性分析及抗模型攻击策略［Ｄ］． 南京：南京航空航天大学，２０２０．

［１６］ ＷＵ Ｑ，ＺＨＡＮＧ Ｊ Ｌ． ＣＴ ＰＵＦ：Ｃｏｎｆｉｇｕｒａｂｌｅ Ｔｒｉｓｔａｔｅ ＰＵＦＡｇａｉｎｓｔ Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ Ａｔｔａｃｋｓ［Ｃ］∥２０２０ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｉｒｃｕｉｔｓ ａｎｄ Ｓｙｓｔｅｍｓ （ＩＳＣＡＳ）．Ｓｅｖｉｌｌｅ：ＩＥＥＥ，２０２０：１－５．

［１７］ 汪鹏君，连佳娜，陈博． 基于序列密码的强ＰＵＦ 抗机器学习攻击方法［Ｊ］． 电子与信息学报，２０２１，４３ （９）：２４７４－２４８１．

［１８］ ＺＨＡＮＧ Ｊ Ｌ，ＳＨＥＮ Ｃ Ｑ． Ｓｅｔｂａｓｅｄ Ｏｂｆｕｓｃａｔｉｏｎ ｆｏｒ ＳｔｒｏｎｇＰＵＦｓ Ａｇａｉｎｓｔ Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ Ａｔｔａｃｋｓ［Ｊ］． ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｃｉｒｃｕｉｔｓ ａｎｄ Ｓｙｓｔｅｍｓ Ｉ：Ｒｅｇｕｌａｒ Ｐａｐｅｒｓ，２０２０，６８（１）：２８８－３００．

［１９］ ＹＥ Ｊ，ＨＵ Ｙ，ＬＩ Ｘ Ｗ． ＲＰＵＦ：Ｐｈｙｉｃａｌ Ｕｎｃｌｏｎａｂｌｅ Ｆｕｎｃｔｉｏｎｗｉｔｈ Ｒａｎｄｏｍｉｚｅｄ Ｃｈａｌｌｅｎｇｅ ｔｏ Ｒｅｓｉｓｔ Ｍｏｄｅｌｉｎｇ Ａｔｔａｃｋ［Ｃ］∥２０１６ ＩＥＥＥ Ａｓｉａｎ ＨａｒｄｗａｒｅＯｒｉｅｎｔｅｄ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｔｒｕｓｔ（ＡｓｉａｎＨＯＳＴ）． Ｙｉｌａｎ：ＩＥＥＥ，２０１６：１－６．

［２０］ ＭＡＪＺＯＯＢＩ Ｍ，ＲＯＳＴＡＭＩ Ｍ，ＫＯＵＳＨＡＮＦＡＲ Ｆ，ｅｔ ａｌ．Ｓｌｅｎｄｅｒ ＰＵＦ Ｐｒｏｔｏｃｏｌ：Ａ Ｌｉｇｈｔｗｅｉｇｈｔ，Ｒｏｂｕｓｔ，ａｎｄ ＳｅｃｕｒｅＡｕｔｈｅｎｔｉｃａｔｉｏｎ ｂｙ Ｓｕｂｓｔｒｉｎｇ Ｍａｔｃｈｉｎｇ ［Ｃ］∥ ２０１２ ＩＥＥＥＳｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ Ｗｏｒｋｓｈｏｐｓ． Ｓａｎ Ｆｒａｎｃｉｓｃｏ：ＩＥＥＥ，２０１２：３３－４４．

［２１］ ＢＥＫＥＲ Ｇ Ｔ． Ｏｎ ｔｈｅ Ｐｉｔｆａｌｌｓ ｏｆ Ｕｓｉｎｇ ＡｒｂｉｔｅｒＰＵＦｓ ａｓＢｕｉｌｄｉｎｇ Ｂｌｏｃｋｓ ［Ｊ］． ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｃｏｍｐｕｔｅｒａｉｄｅｄ Ｄｅｓｉｇｎ ｏｆ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔｓ ａｎｄ Ｓｙｓｔｅｍｓ，２０１５，３４（８）：１２９５－１３０７．

［２２］ ＤＥＬＶＡＵＸ Ｊ． Ｍａｃｈｉｎｅｌｅａｒｎｉｎｇ Ａｔｔａｃｋｓ ｏｎ ＰｏｌｙＰＵＦｓ，ＯＢＰＵＦｓ，ＲＰＵＦｓ，ＬＨＳＰＵＦｓ，ａｎｄ ＰＵＦＦＳＭｓ［Ｊ］． ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｆｏｒｅｎｓｉｃｓ ａｎｄ Ｓｅｃｕｒｉｔｙ，２０１９，１４（８）：２０４３－２０５８．

［２３］ ＷＡＮＧ Ｙ Ｌ，ＷＡＮＧ Ｃ Ｈ，ＧＵ Ｃ Ｙ，ｅｔ ａｌ． Ａ Ｇｅｎｅｒｉｃ Ｄｙｎａｍｉｃ Ｒｅｓｐｏｎｄｉｎｇ Ｍｅｃｈａｎｉｓｍ ａｎｄ Ｓｅｃｕｒｅ ＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ ｆｏｒ Ｓｔｒｏｎｇ ＰＵＦｓ［Ｊ］． ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ ＶｅｒｙＬａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ （ＶＬＳＩ）Ｓｙｓｔｅｍｓ，２０２２，３０ （９）：１２５６－１２６８．

［２４］ ＧＡＳＳＥＮＤ Ｂ，ＣＬＡＲＫＥ Ｄ，ＤＩＪＫ Ｍ Ｖ，ｅｔ ａｌ． ＣｏｎｔｒｏｌｌｅｄＰｈｙｓｉｃａｌ Ｒａｎｄｏｍ Ｆｕｎｃｔｉｏｎｓ［Ｃ］∥１８ｔｈ Ａｎｎｕａｌ ＣｏｍｐｕｔｅｒＳｅｃｕｒｉｔｙ Ａｐｐｌｉｃａｔｉｏｎｓ Ｃｏｎｆｅｒｅｎｃｅ． Ｌａｓ Ｖｅｇａｓ：ＩＥＥＥ，２００２：１４９－１６０．

［２５］ ＧＡＯ Ｙ Ｓ，ＭＡ Ｈ，ＡＬＳＡＲＡＷＩ Ｓ Ｆ，ｅｔ ａｌ． ＰＵＦＦＳＭ：ＡＣｏｎｔｒｏｌｌｅｄ Ｓｔｒｏｎｇ ＰＵＦ ［Ｊ］． ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ ＣｏｍｐｕｔｅｒＡｉｄｅｄ Ｄｅｓｉｇｎ ｏｆ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔｓ ａｎｄ Ｓｙｓｔｅｍｓ，２０１７，３７（５）：１１０４－１１０８．

［２６］ ＺＨＯＵ Ｚ Ｙ，ＬＩ Ｇ，ＷＡＮＧ Ｐ Ｊ，ｅｔ ａｌ． Ｍａｔｒｉｘ Ｅｎｃｒｙｐｔｉｏｎｂａｓｅｄ Ａｎｔｉｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ Ａｔｔａｃｋ Ａｌｇｏｒｉｔｈｍ ｆｏｒ ＳｔｒｏｎｇＰＵＦ［Ｃ］∥２０２１ ＩＥＥＥ １４ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎＡＳＩＣ （ＡＳＩＣＯＮ）． Ｋｕｎｍｉｎｇ：ＩＥＥＥ，２０２１：１－４．

［２７］ ＳＵＨ Ｇ Ｅ，ＤＥＶＡＤＡＳ Ｓ． Ｐｈｙｓｉｃａｌ Ｕｎｃｌｏｎａｂｌｅ Ｆｕｎｃｔｉｏｎｓｆｏｒ Ｄｅｖｉｃｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｓｅｃｒｅｔ Ｋｅｙ Ｇｅｎｅｒａｔｉｏｎ［Ｃ］∥２００７ ４４ｔｈ ＡＣＭ ／ ＩＥＥＥ Ｄｅｓｉｇｎ Ａｕｔｏｍａｔｉｏｎ Ｃｏｎｆｅｒｅｎｃｅ．Ｓａｎ Ｄｉｅｇｏ：ＩＥＥＥ，２００７：９－１４．

［２８］ ＭＡＪＺＯＯＢＩ Ｍ，ＫＯＵＳＨＡＮＦＡＲ Ｆ，ＰＯＴＫＯＮＪＡＫ Ｍ．Ｌｉｇｈｔｗｅｉｇｈｔ Ｓｅｃｕｒｅ ＰＵＦｓ［Ｃ］∥２００８ ＩＥＥＥ ／ ＡＣＭ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ ＣｏｍｐｕｔｅｒＡｉｄｅｄ Ｄｅｓｉｇｎ． Ｓａｎ Ｊｏｓｅ：ＩＥＥＥ，２００８：６７０－６７３．

［２９］ 沈娟娟． 基于ＦＰＧＡ 的ＰＵＦ 结构设计及ＲＮＧ 应用分析［Ｄ］． 哈尔滨：黑龙江大学，２０２２．

［３０］ ＳＡＮＴＩＫＥＬＬＵＲ Ｐ，ＢＨＡＴＴＡＣＨＡＲＹＡＹ Ａ，ＣＨＡＫＲＡＢＯＲＴＹＲ Ｓ． Ｄｅｅｐ Ｌｅａｒｎｉｎｇ Ｂａｓｅｄ Ｍｏｄｅｌ Ｂｕｉｌｄｉｎｇ Ａｔｔａｃｋｓ ｏｎ Ａｒｂｉｔｅｒ ＰＵＦ Ｃｏｍｐｏｓｉｔｉｏｎｓ ［ＥＢ ／ ＯＬ］． ［２０２３ － ０６ － ２０ ］．ｈｔｔｐｓ：∥ｅｐｒｉｎｔ． ｉａｃｒ． ｏｒｇ ／ ２０１９ ／ ５６６． ｐｄｆ．

［３１］ ＳＡＮＴＩＫＥＬＬＵＲ Ｐ，ＣＨＡＫＲＡＢＯＲＴＹ Ｒ Ｓ． Ａ Ｃｏｍｐｕｔａｔｉｏｎａｌｌｙ Ｅｆｆｉｃｉｅｎｔ Ｔｅｎｓｏｒ Ｒｅｇｒｅｓｓｉｏｎ Ｎｅｔｗｏｒｋｂａｓｅｄ Ｍｏｄｅｌｉｎｇ Ａｔｔａｃｋ ｏｎ ＸＯＲ Ａｒｂｉｔｅｒ ＰＵＦ ａｎｄ Ｉｔｓ Ｖａｒｉａｎｔｓ［Ｊ］．ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ ＣｏｍｐｕｔｅｒＡｉｄｅｄ Ｄｅｓｉｇｎ ｏｆ ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔｓ ａｎｄ Ｓｙｓｔｅｍｓ，２０２０，４０（６）：１１９７－１２０６．

［３２］ ＷＩＳＩＯＬ Ｎ，ＰＩＲＮＡＹ Ｎ． Ｓｈｏｒｔ Ｐａｐｅｒ：ＸＯＲ Ａｒｂｉｔｅｒ ＰＵＦｓＨａｖｅ Ｓｙｓｔｅｍａｔｉｃ Ｒｅｓｐｏｎｓｅ Ｂｉａｓ［Ｃ］∥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｆｉｎａｎｃｉａｌ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｄａｔａ Ｓｅｃｕｒｉｔｙ． ＫｏｔａＫｉｎａｂａｌｕ：Ｓｐｒｉｎｇｅｒ，２０２０：５０－５７．

［３３］ 黄芸． 抵抗机器学习攻击的强ＰＵＦ 防御技术研究［Ｄ］． 长沙：湖南大学，２０２１．

［３４］ ＥＢＲＡＨＩＭＡＢＡＤＩ Ｍ，ＹＯＵＮＩＳ Ｍ，ＬＡＬＯＵＡＮＩ Ｗ，ｅｔ ａｌ． ＡＮｏｖｅｌ Ｍｏｄｅｌｉｎｇａｔｔａｃｋ Ｒｅｓｉｌｉｅｎｔ ＡｒｂｉｔｅｒＰＵＦ Ｄｅｓｉｇｎ［Ｃ］∥２０２１ ３４ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ ＶＬＳＩ Ｄｅｓｉｇｎ ａｎｄ２０２１ ２０ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｅｍｂｅｄｄｅｄ Ｓｙｓｔｅｍｓ（ＶＬＳＩＤ）． Ｇｕｗａｈａｔｉ：ＩＥＥＥ，２０２１：１２３－１２８．

［３５］ ＲＨＲＭＡＩＲ Ｕ，Ｓ？ＬＴＥＲ Ｊ，ＳＥＨＮＫＥ Ｆ，ｅｔ ａｌ． ＰＵＦ Ｍｏｄｅｌｉｎｇ Ａｔｔａｃｋｓ ｏｎ Ｓｉｍｕｌａｔｅｄ ａｎｄ Ｓｉｌｉｃｏｎ Ｄａｔａ ［Ｊ］． ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｆｏｒｅｎｓｉｃｓ ａｎｄ Ｓｅｃｕｒｉｔｙ，２０１３，８（１１）：１８７６－１８９１．

［３６］ 张学工． 关于统计学习理论与支持向量机［Ｊ］． 自动化学报，２０００，２６（１）：３２－４２．

［３７］ 王国胜，钟义信． 支持向量机的理论基础———统计学习理论［Ｊ］． 计算机工程与应用，２００１（１９）：１９－２０．

［３８］ ＬＩＭ Ｄ，ＬＥＥ Ｊ Ｗ，ＧＡＳＳＥＮＤ Ｂ，ｅｔ ａｌ． Ｅｘｔｒａｃｔｉｎｇ ＳｅｃｒｅｔＫｅｙｓ ｆｒｏｍ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔｓ［Ｊ］． ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎｖｅｒｙ Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ （ＶＬＳＩ） Ｓｙｓｔｅｍｓ，２００５，１３（１０）：１２００－１２０５．

［３９］ ＫＨＡＬＡＦＡＬＬＡ Ｍ，ＧＥＢＯＴＹＳ Ｃ． ＰＵＦｓ Ｄｅｅｐ Ａｔｔａｃｋｓ：Ｅｎｈａｎｃｅｄ Ｍｏｄｅｌｉｎｇ Ａｔｔａｃｋｓ Ｕｓｉｎｇ Ｄｅｅｐ Ｌｅａｒｎｉｎｇ Ｔｅｃｈｎｉｑｕｅｓｔｏ Ｂｒｅａｋ ｔｈｅ Ｓｅｃｕｒｉｔｙ ｏｆ Ｄｏｕｂｌｅ Ａｒｂｉｔｅｒ ＰＵＦｓ［Ｃ］∥２０１９Ｄｅｓｉｇｎ，Ａｕｔｏｍａｔｉｏｎ ＆ Ｔｅｓｔ ｉｎ Ｅｕｒｏｐｅ Ｃｏｎｆｅｒｅｎｃｅ ＆ Ｅｘｈｉｂｉｔｉｏｎ （ＤＡＴＥ）． Ｆｌｏｒｅｎｃｅ：ＩＥＥＥ，２０１９：２０４－２０９．

［４０］ Ｓ？ＬＴＥＲ Ｊ． Ｃｒｙｐｔａｎａｌｙｓｉｓ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ＰＵＦｓ Ｖｉａ ＭａｃｈｉｎｅＬｅａｒｎｉｎｇ Ａｌｇｏｒｉｔｈｍｓ ［Ｄ ］． Ｍｕｎｉｃｈ：Ｍｕｎｉｃｈ ＴｅｃｈｎｉｑｕｅＵｎｉｖｅｒｓｉｔｙ，２００９．

［４１］ ＳＡＨＯＯ Ｓ Ｒ，ＫＵＭＡＲ Ｋ Ｓ，ＭＡＨＡＰＡＴＲＡ Ｋ． Ａ ＮｏｖｅｌＣｕｒｒｅｎｔ Ｃｏｎｔｒｏｌｌｅｄ Ｃｏｎｆｉｇｕｒａｂｌｅ ＲＯ ＰＵＦ ｗｉｔｈ ＩｍｐｒｏｖｅｄＳｅｃｕｒｉｔｙ Ｍｅｔｒｉｃｓ［Ｊ］． Ｉｎｔｅｇｒａｔｉｏｎ，２０１７，５８：４０１－４１０．

［４２］ ＨＡＮＳＥＮ Ｎ． Ｔｈｅ ＣＭＡ Ｅｖｏｌｕｔｉｏｎ Ｓｔｒａｔｅｇｙ：Ａ ＣｏｍｐａｒｉｎｇＲｅｖｉｅｗ ［Ｊ］． Ｓｔｕｄｉｅｓ ｉｎ Ｆｕｚｚｉｎｅｓｓ ａｎｄ Ｓｏｆｔ Ｃｏｍｐｕｔｉｎｇ，２００６，１９２：７５－１０２．

［４３］ ＳＣＨＷＥＦＥＬ Ｈ Ｐ Ｐ． Ｅｖｏｌｕｔｉｏｎ ａｎｄ Ｏｐｔｉｍｕｍ Ｓｅｅｋｉｎｇ：ＴｈｅＳｉｘｔｈ Ｇｅｎｅｒａｔｉｏｎ ［Ｍ］． Ｎｅｗ Ｙｏｒｋ：Ｊｏｈｎ Ｗｉｌｅｙ ＆ Ｓｏｎｓ，Ｉｎｃ． ，１９９３．

［４４］ ＨＯＲＮＩＫ Ｋ． Ａｐｐｒｏｘｉｍａｔｉｏｎ Ｃａｐａｂｉｌｉｔｉｅｓ ｏｆ ＭｕｌｔｉｌａｙｅｒＦｅｅｄｆｏｒｗａｒｄ Ｎｅｔｗｏｒｋｓ［Ｊ］． Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ，１９９１，４（２）：２５１－２５７．

［４５］ ＲＵＤＥＲ Ｓ． Ａｎ Ｏｖｅｒｖｉｅｗ ｏｆ Ｇｒａｄｉｅｎｔ Ｄｅｓｃｅｎｔ ＯｐｔｉｍｉｚａｔｉｏｎＡｌｇｏｒｉｔｈｍｓ［ＥＢ ／ ＯＬ］． （２０１６－０９－１５）［２０２３－０６－２８］．ｈｔｔｐｓ：∥ａｒｘｉｖ． ｏｒｇ ／ ａｂｓ ／ １６０９． ０４７４７．

［４６］ ＲＩＥＤＭＩＬＬＥＲ Ｍ，ＢＲＡＵＮ Ｈ． Ａ Ｄｉｒｅｃｔ Ａｄａｐｔｉｖｅ Ｍｅｔｈｏｄｆｏｒ Ｆａｓｔｅｒ Ｂａｃｋｐｒｏｐａｇａｔｉｏｎ Ｌｅａｒｎｉｎｇ：Ｔｈｅ ＲＰＲＯＰ Ａｌｇｏｒｉｔｈｍ［Ｃ］∥ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ．Ｓａｎ Ｆｒａｎｃｉｓｃｏ：ＩＥＥＥ，１９９３：５８６－５９１．

［４７］ ＣＨＥＮ Ｙ Ｌ，ＣＵＩ Ｘ Ｌ，ＬＩＵ Ｙ，ｅｔ ａｌ． Ａｎ Ｅｖａｌｕａｔｉｏｎ Ｍｅｔｈｏｄｏｆ ｔｈｅ Ａｎｔｉｍｏｄｅｌｉｎｇａｔｔａｃｋ Ｃａｐａｂｉｌｉｔｙ ｏｆ ＰＵＦｓ［Ｊ］． ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｉｎｆｏｒｍａｔｉｏｎ Ｆｏｒｅｎｓｉｃｓ ａｎｄ Ｓｅｃｕｒｉｔｙ，２０２３，１８：１７７３－１７８８．

［４８］ ＮＡＲＡＹＡＮＡＮ Ｖ，ＡＲＯＲＡ Ｉ，ＢＨＡＴＩＡ Ａ． Ｆａｓｔ ａｎｄＡｃｃｕｒａｔｅ Ｓｅｎｔｉｍｅｎｔ Ｃｌａｓｓｉｆｉｃａｔｉｏｎ Ｕｓｉｎｇ ａｎ ＥｎｈａｎｃｅｄＮａｉｖｅ Ｂａｙｅｓ Ｍｏｄｅｌ ［ＥＢ ／ ＯＬ］． （２０１３ － ０５ － ２７）［２０２３ －０６－２８］． ｈｔｔｐｓ：∥ａｒｘｉｖ． ｏｒｇ ／ ａｂｓ ／ １３０５． ６１４３．

［４９］ ＦＡＮＧ Ｙ，ＷＡＮＧ Ｃ Ｈ，ＭＡ Ｑ Ｑ，ｅｔ ａｌ． Ａｔｔａｃｋｉｎｇ ＡｒｂｉｔｅｒＰＵＦｓ Ｕｓｉｎｇ Ｖａｒｉｏｕｓ Ｍｏｄｅｌｉｎｇ Ａｔｔａｃｋ Ａｌｇｏｒｉｔｈｍｓ：Ａ Ｃｏｍｐａｒａｔｉｖｅ Ｓｔｕｄｙ［Ｃ］∥２０１８ ＩＥＥＥ Ａｓｉａ Ｐａｃｉｆｉｃ Ｃｏｎｆｅｒｅｎｃｅｏｎ Ｃｉｒｃｕｉｔｓ ａｎｄ Ｓｙｓｔｅｍｓ （ＡＰＣＣＡＳ ）． Ｃｈｅｎｇｄｕ：ＩＥＥＥ，２０１８：３９４－３９７．

［５０］ 马雪娇，李刚． 基于人工神经网络特征向量提取的ＦＦＡＰＵＦ 攻击方法［Ｊ］． 电子与信息学报，２０２１，４３ （９）：２４９８－２５０７．

［５１］ ＭＡＥＳ Ｒ． Ｐｈｙｓｉｃａｌｌｙ Ｕｎｃｌｏｎａｂｌｅ Ｆｕｎｃｔｉｏｎｓ：Ｃｏｎｓｔｒｕｃｔｉｏｎｓ，Ｐｒｏｐｅｒｔｉｅｓ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎｓ［Ｍ］． Ｌｏｕｖｅｎ：Ｓｐｒｉｎｇｅｒ Ｓｃｉｅｎｃｅ＆ Ｂｕｓｉｎｅｓｓ Ｍｅｄｉａ，２０１３．

［５２］ 贺章擎，马丹，鲁\"，等． 一种基于ＳＲ ＰＵＦ 的可靠性自检和可靠响应去偏方法：ＣＮ２０２２１０１６３１４１． Ｘ ［Ｐ ］．２０２２－０６－２８．

［５３］ 张家梁，宋贺伦． 一种基于ＢＣＨ 算法的ＳＲＡＭ ＰＵＦ 芯片的设计、测试与分析［Ｊ］． 电子测量技术，２０２１，４４（６）：２８－３５．

［５４］ ＣＨＡＴＴＥＲＪＥＥ Ｄ，ＭＵＫＨＯＰＡＤＨＹＡＹ Ｄ，ＨＡＺＲＡ Ａ．ＰＵＦＧ：Ａ ＣＡＤ Ｆｒａｍｅｗｏｒｋ ｆｏｒ Ａｕｔｏｍａｔｅｄ Ａｓｓｅｓｓｍｅｎｔ ｏｆＰｒｏｖａｂｌｅ Ｌｅａｒｎａｂｉｌｉｔｙ ｆｒｏｍ Ｆｏｒｍａｌ ＰＵＦ Ｒｅｐｒｅｓｅｎｔａｔｉｏｎｓ［Ｃ］∥２０２０ ＩＥＥＥ／ ＡＣＭ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ Ａｉｄｅｄ Ｄｅｓｉｇｎ （ＩＣＣＡＤ）． Ｓａｎ Ｄｉｅｇｏ：ＩＥＥＥ，２０２０：１－９．

［５５］ ＱＵＲＥＳＨＩ Ｍ Ａ，ＭＵＮＩＲ Ａ． ＰＵＦＲＡＫＥ：Ａ ＰＵＦｂａｓｅｄＲｏｂｕｓｔ ａｎｄ Ｌｉｇｈｔｗｅｉｇｈｔ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｋｅｙ Ｅｓｔａｂｌｉｓｈｍｅｎｔ Ｐｒｏｔｏｃｏｌ［Ｊ］． ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｄｅｐｅｎｄａｂｌｅ ａｎｄＳｅｃｕｒｅ Ｃｏｍｐｕｔｉｎｇ，２０２２，１９（４）：２４５７－２４７５．

作者简介

寇瑜萍 女，（１９９６—），硕士研究生。主要研究方向：硬件安全。

邓 丁 男，（１９９３—），博士，讲师。主要研究方向：硬件安全。

欧 钢 男，（１９６９—），博士，教授，博士生导师。主要研究方向：星基导航与定位技术。

黄仰博 男，（１９８０—），博士，副研究员。主要研究方向：星基导航与定位技术。

（*通信作者）牟卫华 男，（１９７９—），博士，优聘研究员，硕士生导师。主要研究方向：导航与时空技术。

基金项目：湖南省自然科学基金（２０２２ＪＪ３０６６９）