云环境下的可信计算节点动态管理方法
技术领域
本发明涉及可信云平台构建过程中可信节点的动态管理方法，特别是涉及一种云环境下基于时间树的云平台可信节点动态管理方法。
背景技术
云计算通过将超大规模的计算和存储资源整合起来，以按需服务的方式对外提供资源。越来越多的企业开始采用云计算，据Gartner预计，2016年全球数字内容的三分之一将存储在云上，Forrester预计2020年全球云计算市场规模将达到2140亿美元。然而，云计算的发展仍然面临着很多挑战，其中云安全已成为其发展的最大障碍。Gartner的调查结果显示，多于70％的受访企业首席技术官表示近期不采用云计算，首要原因在于对数据安全性与隐私保护的忧虑。传统的数据加密只能保护数据存储时安全，而当数据在云中以明文形式操作的时候，仍然面临着云服务提供商内部员工恶意或者失误造成的泄露，这就需要一种机制来保证云平台中计算的机密性和完整性。基于可信计算技术的可信云平台能够在用户应用加载之前验证当前平台的状态是否可信，从而保证数据的机密性和完整性。现在越来越多的基于用户验证或基于第三方验证的可信云服务方案被提出来，但随之而来的问题是，云服务提供商如何保证自己的云平台是可信的。如果云服务提供商做不到这一点，那么用户在使用上述方案时，云服务很可能通不过验证，导致双方无法进行服务交易，这对双方都是不利的。
当前研究人员提出的TCCP选择引入可信协调者(TC)来管理云平台内部的可信计算节点。TC负责处理云平台内部可信节点的加入、退出和维护。由于TC执行一次可信节点加入操作大约花费1s甚至更长的时间，当大量的节点同时加入时，时间上的开销是不能忍受的。同时TC负责管理所有的节点，当节点规模很大时，TC容易成为瓶颈。虽然有研究人员提出在监视节点与被管理节点之间采用基于属性的密文策略加密框架(CPABE，CiphertextPolicy Atribute-Based Encryption)，减少了大量节点同时加入可信云平台的时间成本，但是当涉及到节点的批量注销和维护等管理操作时，监视节点仍然会成为系统瓶颈。
发明内容
本发明提供了一种云环境下的可信计算节点动态管理方法，实现了大量的节点同时快速注册、批量注销和维护。
本发明云环境下的可信计算节点动态管理方法，包括：
步骤一：建立可信节点时间树模型
定义时间树T是一个二元组<V，E>，其中，V是n(n≥0)个节点的有限集合，V＝{vi|0≤i≤n-1}，E是节点间边的集合，E＝{<vi，vj>|vi，vj∈V，i≠j}；
vi＝<I，t>，其中，I为节点编号i的集合，i∈[0，n-1]，t为时间属性，t∈[0，vi]，定义时间属性t为节点加入时间树的时刻，若vi与vj同一时刻加入时间树，则有ti＝tj；若vi先于vj加入时间树，则有ti＜tj，i和t满足如下关系：
f(i)被定义为
当且仅当i和j满足j＝f(i)时，vi，vj∈E，此时称vi是vj的后继节点，vj是vi的前驱节点，vj的所有后继节点为兄弟节点；
当V＝Φ时，称T为空时间树；当V≠Φ时，V中的节点随机确定编号，并依式(1)确定节点的时间属性值，此时依照各节点的编号和时间属性唯一构建时间树；
若时间树T非空，称<0，0>为根节点，若称<i，ti>为叶节点，否则<i，ti>称为分支节点；
步骤二：设置节点配置协议
RT表示管理节点，MT表示服务节点；所述节点配置协议包括MT和RT之间通过信息交换，MT从RT获取自己的编号、前驱节点的IP和公钥证书；所述节点配置协议在可信网络启动或重新启动后执行；
步骤三：配置节点注册协议
所述节点注册协议，用于RT验证所有MT启动后的完整性，MT通过验证添加到可信节点网络中，形成时间树型拓扑的可信节点管理网络，网络中每一个MT的状态都是通过前驱节点一级一级主动汇报给RT；所述节点注册协议的执行发生在MT和RT之间，以及MT和前驱节点之间；MT每次重启之后主动执行节点注册协议；
步骤四：配置节点注销协议
云管理员通过注销一部分MT缩减节点规模，若注销的MT节点是分支节点，通过配置所述节点注销协议，使得后继节点的状态继续传递到RT。
进一步地，步骤一中形成的时间树包括节点依时间属性值t分层以及节点依兄弟关系分层。
进一步地，步骤二中MT和RT之间信息交换的过程具体流程如下：
1)MTi向RT发送编号请求信息UUIDi；
2)RT通过UUIDi查询节点状态数据库得到IDi，同时发送响应信息IDi；
3)MTi将IDi代入式(2)中，计算出前驱节点编号IDj，同时发送前驱节点信息请求IDj；
4)RT通过IDj查询节点状态数据库得到UUIDj，再通过UUIDj查询云节点数据库得到IPj和PKj，同时向MTi发送响应信息IPj和PKj；RT通过UUIDi查询云节点数据库得到PKi、CONi和CHECKVALUEi，同时向M/RTPMi→j发送信息IDi、PKi、CONi和CHECKVALUEi；
MTi将IDi、IPj和PKj存储到TPM的非易失性存储器中，M/RTPMi→j将IDi和PKi存储到TPM的非易失性存储器中，将CONi和CHECKVALUEi存储到基准数据库；
其中，
IDi表示节点i的编号，用于可信节点管理网络和节点状态数据库中标识一个节点；
MTi表示节点编号为IDi的服务节点；
UUIDi表示节点i的UUID，用于可信网络和云节点数据库中永久标识一个节点；
IPi表示节点i的IP地址；
PKi分别表示节点i的公钥；
CONi表示节点i的配置类型，对应于节点配置数据库中的某种配置类型；
CHECKVALUEi表示节点i的基准值，是节点配置数据库中与CONi类型相对应的指纹；
M/RTPMi→j表示节点i的前驱节点j。
进一步地，MTi与M/RTPMi→j之间信息交换的过程，具体流程如下：
1)MTi向M/RTPMi→j发送注册请求信息IDi、CONi和随机数n1；
2)M/RTPMi→j向MTPMi发送响应信息随机数n2、签名SIG1：{n1，t}SKj；
3)MTPMi验证SIG1，若通过验证发送响应信息：签名SIG2：{n1，n2，MLi}SKj，否则，发送挂起信号SUSPEND，等待下一个认证周期重新注册；
4)M/RTPMi→j验证SIG2，若验证通过，生成KEYij，发送响应信息：{KEYij}PKi，{HEYSET，IPSET}KEYij，其中，KEYSET是M/RTPMi→j与其他节点之间的对称密钥集合，IPSET是各节点的IP集合；同时M/RTPMi→j向其他后继节点发送KEYij和IPi，若验证不通过，向前驱节点发送MTPMi的状态不可信警报；
其中，MTPMi为前驱节点缺省时的服务节点；
SKi为节点i的私钥；
{M}K表示用密钥K对消息M进行加密；
KEYij：表示节点i和j共享的对称密钥；
MLi：表示节点i的完整性度量值，由可信证据收集组件产生。
进一步地，节点注销协议包括，
设R为管理节点，A、Z为R的后继节点，B为A的后继节点，B为C、D、X的前驱节点，X为叶子节点；
注销节点B过程为：
1)R向B发送注销命令和PKZ，同时将B从节点状态数据库中删除；
2)B收到注销命令后，将PKA和PKZ转发给X，将PKX和IPX发送给A和R，将IDX发送给R，将PKX发送给C和D；此后B在可信节点管理网络中的职责由X来承担，B关闭计算机；
3)X收到PKA和PKZ后，将PKZ存储到TPM的非易失性存储器中；X更新前驱节点的公钥为PKA，更新前驱节点的IP为IPA，将自己的编号改为IDB；C和D收到PKX后，更新前驱节点的公钥为PKX，更新前驱节点的IP为IPX；A收到PKX和IPX后，将B的公钥信息修改为PKX，通过IPX与X建立可信通道；R收到PKX、IPX和IDX后，将PKX、IPX和IDX转发给Z；在节点状态数据库中修改Z的编号为IDX，修改X的编号为IDB；
4)Z收到PKX、IPX和IDX后，向前驱节点发送终止命令，修改前驱节点的IP为IPX，修改前驱节点的公钥为PKX，修改自己的编号为IDX，重新执行节点注册协议；
注销节点X过程为：
1)R向X发送注销命令和PKZ，将Z的编号改为IDX，将IDX发送给Z，将X从节点状态数据库中删除；
2)B将存储的PKX修改为PKZ，向R发送IPB和PKB；X收到注销命令后关闭计算机；Z收到IDX后，将自己的编号改为IDX；
3)R收到送IPB和PKB后，将IPB和PKB转发给Z；
4)Z收到IPB和PKB后向前驱节点发送终止命令，修改前驱节点的IP为IPB，修改前驱节点的公钥为PKB，重新执行节点注册协议；当注销大量MT时，RT先注销叶子节点，其次注销编号大的分支节点。
进一步地，还包括配置节点状态实时监控协议，包括：
TPM联盟中每个节点初始化2个空集合NoTrustedList和LeftList，其中NoTrustedList中的元素为节点的编号及其类型，LeftList中的元素为叶子节点编号；同时每个节点维护一个后继节点列表SubsequentList，列表中元素按照节点编号降序排列；
MT的状态分为3种：
可信，即系统完整性未遭破坏；
不可信，即系统中某些进程的完整性遭到破坏但节点的MT完整性未遭破坏，记为类型1或者是节点的MT完整性遭到破坏但该节点的前驱和所有兄弟节点中至少有一个节点的MT完整性未遭破坏，记为类型2；
状态未知，即MT的状态没有通过可信节点管理网络传递到RT；
TPM联盟中每个节点进行如下操作：
1)从SubsequentList取一个后继节点；
2)判断与后继节点的可信通道是否断开，若是，则将后继节点编号及类型2插入NoTrustedList；否则验证可信证据，若验证不通过，则将后继节点编号和类型1插入NoTrustedList；
3)判断后继节点是否为叶子，若是，将其编号插入到LeftList；
4)将后继节点的NoTrustedList插入到本节点的NoTrustedList，将后继节点的LeftList插入到本节点的LeftList；
5)判断后继节点是否为SubsequentList中的最后一个元素，若否，则跳转到1)执行；
6)将本节点的可信证据、NoTrustedList和LeftList传递给前驱节点；RT节点中的NoTrustedList和LeftList将会是关于整个可信网络中节点的状态信息；RT通过LeftList计算出状态未知的叶子节点编号列表NoStatusList；
6.1)从NoStatusList中取一个叶子节点编号，并将其插入到NoTrustedList，置类型为2；
6.2)以此编号计算前驱节点编号，若前驱节点编号未出现在NoTrustedList中，则将前驱节点编号插入到NoTrustedList，类型置为2，跳转到6.2)执行；
6.3)判断NoStatusList是否遍历完，若否，跳转到6.1)执行。
7.根据权利要求1所述的云环境下基于统一策略控制的可信计算节点动态管理方法，其特征在于，还包括配置可信节点管理网络修复协议，包括：
1)若是叶子节点出现故障，RT通过警报器隔离该节点并向云管理员报警；云管理员修复该节点后，该节点依据节点注册协议重新加入TPM联盟；
2)若是单个分支节点出现故障，设A、B、C、D、E代表MT，B故障造成可信节点管理网络局部连接中断，从B的后继节点C、D、E中选取编号最大的节点C代替B，该局部网络的通信即可恢复；同时RT通过警报器隔离B并向云管理员报警，B修复后依据节点注册协议重新加入TPM联盟，这时可信节点管理网络得到修复；
3)若节点与前驱节点同时出现故障，设B、C、F、G、Z代表MT，R代表RT，B、C故障造成可信节点管理网络局部连接中断，此时B的后继节点依照步骤2)的方式重建网络；从C的后继节点F、G中选取编号最大节点F代替C，F不再与B建立连接，而是直接与R建立临时连接，R从TPM联盟中选一个编号最大的节点Z作为F的前驱节点，F与Z建立连接后，该局部网络的通信即可恢复；同时RT通过警报器隔离B、C并向云管理员报警，B、C修复后依据节点注册协议重新加入TPM联盟，这时可信节点管理网络得到修复。
本发明通过可信网络中的节点依时间树模型形成的可信节点管理网络，管理员配置可信节点配置协议、注册协议、注销协议，协议的执行不一定发生在MT和RT之间，而是发生在MT和前驱节点之间，这样保证了大量的节点能够同时注册，批量注销和维护，实现了节点间的可信传输。
附图说明
图1为n＝16时的时间树；
图2为可信节点管理网络；
图3为节点配置协议示意图；
图4为节点注册协议示意图；
图5为节点注销协议示意图；
图6为状态转换示意图；
图7为分支节点B故障修复策略示意图；
图8为BC同时故障修复策略示意图。
具体实施方式
下面结合附图并通过具体实施方式来进一步说明本发明的技术方案。可以理解的是，此处所描述的具体实施例仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。
在更加详细地讨论示例性实施例之前应当提到的是，一些示例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各步骤描述成顺序的处理，但是其中的许多步骤可以被并行地、并发地或者同时实施。此外，各步骤的顺序可以被重新安排。当其操作完成时所述处理可以被终止，但是还可以具有未包括在附图中的附加步骤。
定义时间树T是一个二元组<V，E>，其中，V是n(n≥0)个节点的有限集合，V＝{vi|0≤i≤n-1}，E是节点间边的集合，E＝{<vi，vj>|vi，vj∈V，i≠j}。
另外，vi＝<I，t>，其中，i是节点编号，I是i的集合，i∈[0，n-1]，t是时间属性，t∈[0，vi]。定义时间属性为节点加入时间树的时刻，若vi与vj同一时刻加入时间树，则有ti＝tj；若vi先于vj加入时间树，则有ti＜tj。i和t满足如下关系：
f(i)被定义为
当且仅当i和j满足j＝f(i)时，vi，vj∈E，此时称vi是vj的后继节点，vj是vi的前驱节点，vj的所有后继节点为兄弟节点。
当V＝Φ时，称T为空时间树；当V≠Φ时，V中的节点随机确定编号，并依式(1)确定节点的时间属性值，此时依照各节点的编号和时间属性唯一构建时间树。
若时间树T非空，称<0，0>为根节点。若称<i，ti>为叶节点，否则<i，ti>称为分支节点。
依时间树定义中集合V和集合E必须满足的条件，形成的时间树有2种表示形式。图1为n＝16时的时间树，第1种表示形式的时间树中节点依时间属性值t分层，见图1(a)。第2种表示形式的时间树中节点依兄弟关系进行分层，见图1(b)。
可信网络中的节点依时间树模型形成的可信节点管理网络中，RT表示管理节点，MT表示服务节点。RT的编号为0，MT的编号按照时间树的定义由云管理员在可信网络初始化创建节点状态数据库时指定。节点的时间属性值表示节点在第几个认证周期加入到可信节点管理网络中。认证周期表示2个节点之间进行远程证明所花费的时间。
图2为依时间属性值t分层的时间树建立的可信节点管理网络图。
在描述具体实施方式之前，本发明做如下约定。
UUIDi：表示节点i的UUID，用于可信网络和云节点数据库中永久标识一个节点。
IDi：表示节点i的编号，用于可信节点管理网络和节点状态数据库中标识一个节点。
MTi：表示节点编号为IDi的服务节点。
M/RTPMi→j：表示节点i的前驱节点j。
IPi：表示节点i的IP地址。
PKi、SKi：分别表示节点i的公钥和私钥。
KEYij：表示节点i和j共享的对称密钥。
MLi：表示节点i的完整性度量值，由可信证据收集组件产生。
CONi：表示节点i的配置类型，对应于节点配置数据库中的某种配置类型。
CHECKVALUEi：表示节点i的基准值，是节点配置数据库中与CONi类型相对应的指纹。
{M}K：表示用密钥K对消息M进行加密。
本发明使用可信安全服务器，配置Intel Xeon E5620，4G DDRIII，STCM，运行Linux 3.11.0，使用Octave模拟100万个节点建立TPM联盟，配置方法步骤如下：
步骤一：管理员设置节点配置协议，使MT从RT获取自己的编号、前驱节点的IP和公钥证书用于建立可信节点管理网络。该协议在可信网络启动后(包括重新启动)执行。
图3描述了管埋员配直MT和RT之间信息交换的过程，具体流程如下：
1)MTi向RT发送编号请求信息UUIDi。
2)RT通过UUIDi查询节点状态数据库得到IDi，同时发送响应信息IDi。
3)MTi将IDi代入式(2)中，计算出前驱节点编号IDj，同时发送前驱节点信息请求IDj。
4)RT通过IDj查询节点状态数据库得到UUIDj，再通过UUIDj查询云节点数据库得到IPj和PKj，同时向MTi发送响应信息：IPj和PKj；RT通过UUIDi查询云节点数据库得到PKi、CONi和CHECKVALUEi，同时向M/RTPMi→j发送信息IDi、PKi、CONi和CHECKVALUEi。
MTi将IDi、IPj和PKj存储到TPM的非易失性存储器中。M/RTPMi→j将IDi和PKi存储到TPM的非易失性存储器中，将CONi和CHECKVALUEi存储到基准数据库。
步骤二：管理员配置节点注册协议，使RT验证所有MT启动后的完整性。MT通过验证，才能成为可信网络中的一员来提供服务。该协议与基于中心的节点管理策略不同的是，该协议的执行不一定发生在MT和RT之间，而是发生在MT和前驱节点之间，这样保证了大量的节点能够同时注册。该协议同时实现了节点间的可信传输。可信节点管理网络的建立是通过各MT执行节点注册协议完成的，其中节点注册协议利用了TPM的随机数生成、密钥生成、签名和验证签名等基本功能。MT每次重启之后都要主动执行节点注册协议，MT的状态通过可信节点管理网络传输给RT。RT利用可信节点管理网络实时监控所有MT的状态。
如图4所示，管理员配置MTi与M/RTPMi→j之间信息交换的过程，具体流程如下：
1)MTi向M/RTPMi→j发送注册请求信息IDi、CONi和随机数n1。
2)M/RTPMi→j向MTPMi发送响应信息：随机数n2，签名SIG1：{n1，t}SKj，其中t是M/RTPMi→j加入可信节点管理网络的标识。MTPMi为前驱节点缺省时的服务节点。
3)MTPMi验证SIG1，若通过验证发送响应信息：签名SIG2：{n1，n2，MLi}SKj。。否则，发送挂起信号SUSPEND，等待下一个认证周期重新注册。
4)M/RTPMi→j验证SIG2，若验证通过，生成KEYij，发送响应信息：{KEYij}PKi，{KEYSET，IPSET}KEYij，其中，KEYSET是M/RTPMi→j与其他节点之间的对称密钥集合，IPSET是各节点的IP集合。同时M/RTPMi→j向其他后继节点发送KEYij和IPi。若验证不通过，向前驱节点发送MTPMi的状态不可信警报。
步骤三：管理员配置节点注销协议，当MT通过节点注册协议添加到可信网络中时，会形成时间树型拓扑的可信节点管理网络。网络中每一个MT的状态都是通过前驱节点一级一级主动汇报给RT。当云管理员缩减节点规模时，可以注销一部分MT，若注销的MT节点是分支节点，必然会造成后继节点的状态无法传递到RT。为了使可信网络能够自由控制MT数量，同时又不破坏可信节点管理网络，需要对节点的注销采取以下策略，具体流程如下：
首先，如图5(a)所示，注销节点B操作过程为：
1)R向B发送注销命令和PKZ，同时将B从节点状态数据库中删除。
2)B收到注销命令后，将PKA和PKZ转发给X，将PKX和IPX发送给A和R，将IDX发送给R，将PKX发送给C和D。此后B在可信节点管理网络中的职责由X来承担，B关闭计算机。
3)X收到PKA和PKZ后，将PKZ存储到TPM的非易失性存储器中。X更新前驱节点的公钥为PKA，更新前驱节点的IP为IPA，将自己的编号改为IDB。C和D收到PKX后，更新前驱节点的公钥为PKX，更新前驱节点的IP为IPX。A收到PKX和IPX后，将B的公钥信息修改为PKX，通过IPX与X建立可信通道。R收到PKX、IPX和IDX后，将PKX、IPX和IDX转发给Z。在节点状态数据库中修改Z的编号为IDX，修改X的编号为IDB。
4)Z收到PKX、IPX和IDX后，向前驱节点发送终止命令，修改前驱节点的IP为IPX，修改前驱节点的公钥为PKX，修改自己的编号为IDX，重新执行节点注册协议。
其次，如图5(b)所示，注销节点X操作过程为：
1)R向X发送注销命令和PKZ，将Z的编号改为IDX，将IDX发送给Z，将X从节点状态数据库中删除。
2)B将存储的PKX修改为PKZ，向R发送IPB和PKB。X收到注销命令后关闭计算机。Z收到IDX后，将自己的编号改为IDX。
3)R收到送IPB和PKB后，将IPB和PKB转发给Z。
4)Z收到IPB和PKB后向前驱节点发送终止命令，修改前驱节点的IP为IPB，修改前驱节点的公钥为PKB，重新执行节点注册协议。当注销大量MT时，RT应先注销叶子节点，其次注销编号大的分支节点，这样能保证各MT的注销同时进行。
步骤四：管理员配置节点状态实时监控协议。TPM联盟中每个节点初始化2个空集合NoTrustedList和LeftList，其中NoTrustedList中的元素为节点的编号及其类型，LeftList中的元素为叶子节点编号。同时每个节点维护一个后继节点列表SubsequentList，列表中元素按照节点编号降序排列。MT的状态分为3种：可信，即系统完整性未遭破坏；不可信，即系统中某些进程的完整性遭到破坏但节点的MT完整性未遭破坏(记为类型1)或者是节点的MT完整性遭到破坏但该节点的前驱和所有兄弟节点中至少有一个节点的MT完整性未遭破坏(记为类型2)；状态未知，即MT的状态没有通过可信节点管理网络传递到RT。节点的状态转换如图6所示，其中虚线椭圆表示该状态是暂态。
具体地，TPM联盟中每个节点进行如下操作：
1)从SubsequentList取一个后继节点。
2)判断与后继节点的可信通道是否断开，若是，则将后继节点编号及类型2插入NoTrustedList；否则验证可信证据，若验证不通过，则将后继节点编号和类型1插入NoTrustedList。
3)判断后继节点是否为叶子，若是，将其编号插入到LeftList。
4)将后继节点的NoTrustedList插入到本节点的NoTrustedList，将后继节点的LeftList插入到本节点的LeftList。
5)判断后继节点是否为SubsequentList中的最后一个元素，若否，则跳转到1)执行。
6)将本节点的可信证据、NoTrustedList和LeftList传递给前驱节点。RT节点中的NoTrustedList和LeftList将会是关于整个可信网络中节点的状态信息。RT通过LeftList计算出状态未知的叶子节点编号列表NoStatusList。1)从NoStatusList中取一个叶子节点编号，并将其插入到NoTrustedList，置类型为2。2)以此编号计算前驱节点编号，若前驱节点编号未出现在NoTrustedList中，则将前驱节点编号插入到NoTrustedList，类型置为2，跳转到2)执行。3)判断NoStatusList是否遍历完，若否，跳转到1)执行。
步骤五：管理员配置可信节点管理网络修复协议，修复策略分为三种情况：
1)若是叶子节点出现故障，RT通过警报器隔离该节点并向云管理员报警。云管理员修复该节点后，该节点依据节点注册协议重新加入TPM联盟。
2)若是单个分支节点出现故障，修复策略如图7所示。
其中，A、B、C、D、E代表MT，B故障造成可信节点管理网络局部连接中断，从B的后继节点C、D、E中选取一个节点代替B。选取规则是选编号最大的节点。假设图7中C编号最大，故选C代替B，该局部网络的通信即可恢复。同时RT通过警报器隔离B并向云管理员报警，B修复后依据节点注册协议重新加入TPM联盟，这时可信节点管理网络得到修复。
3)若节点与前驱节点同时出现故障，修复策略如图8所示。其中，B、C、F、G、Z代表MT，R代表RT。B、C故障造成可信节点管理网络局部连接中断，此时B的后继节点依照图7的方式重建网络，本图中不再给出示例；从C的后继节点F、G中选取一个节点代替C，选取规则依然是选编号最大的节点。图中假设F编号比G编号大，故选F代替C。因为C的前驱B故障，所以F不再与B建立连接，而是直接与R建立临时连接，R从TPM联盟中选一个编号最大的节点Z作为F的前驱节点，F与Z建立连接后，该局部网络的通信即可恢复。同时RT通过警报器隔离B、C并向云管理员报警，B、C修复后依据节点注册协议重新加入TPM联盟，这时可信节点管理网络得到修复。
