裝備體系可靠性測試與評價框架

李梓 謝汶姝 馬驥

摘? 要：信息化條件下，信息技術的普遍運用顛覆了傳統裝備體系的概念，使戰場對抗呈現出明顯的體系化特征。裝備體系是一個復雜巨系統，不再是武器和人員的簡單加和，而是具備了信息物理系統的特征。該文基于信息物理系統的特征，對影響裝備體系可靠性的內、外因素進行了詳細分析，考慮這些因素提出了進行裝備體系可靠性測試與評價的框架，包括硬件、軟件、網絡結構、網絡性能、信息安全、彈性、脆性以及可靠性綜合評估等內容。該文提出的技術策略可以為裝備體系實施完整、動態和連續的測評提供有效的支持。

關鍵詞：裝備體系? 可靠性? 測評? 框架

中圖分類號：TB114.3? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?文獻標識碼：A? ? ? ? ? ? ? ? ? ? ? ? ?文章編號：1672-3791（2019）04（b）-0244-04

信息化條件下，信息技術的普遍運用顛覆了傳統裝備體系的概念，使戰場對抗呈現出明顯的體系化特征。作戰戰場擴展到了陸、海、空、天、電磁等多維空間。信息化條件下體系作戰指的是戰場對抗中，在指揮控制系統（或理解為C4ISR）的支撐下，各種作戰要素、作戰單元、作戰系統融合成一個有機整體，共同感知戰場態勢，實時共享戰場信息，準確協調戰場行動，同步遂行作戰任務。裝備體系是一個復雜巨系統，不再是武器和人員的簡單加和，而是具備了信息物理系統的特征。信息物理系統（Cyber Physical System，CPS）這一概念是由美國科學家Helen Gill于2006年在美國國家科學基金會上提出的[1]，是一系列計算進程和物理進程組件的緊密集成，通過計算核心監控物理實體的運行，而物理實體又借助于網絡和計算組件實現對環境的感知和控制[2]。當前廣泛使用的電力網絡、交通網絡、通訊網絡、能源網絡、空管網絡、制造網絡等關鍵基礎設施越來越具備信息物理系統的特征。裝備體系的深入研究和應用使其可靠性越發重要，一旦體系中的某一部分發生故障或遭到攻擊，由于各分系統或模塊的互聯互通互操作，故障的傳播將會產生巨大的連鎖影響。目前由于對裝備體系的信息物理故障規律認識不夠、未能進行有效測評與驗證，導致故障、事故頻發，甚至造成重大損失和人員傷亡的例子時有發生。因此，開展基于CPS的裝備體系可靠性測試與評價，以認識系統的故障規律，為保證系統可靠安全運行，在出現故障時快速響應、恢復以及系統優化改進提供支持，是亟待解決的問題。但由于裝備體系的復雜性特點，增加了參數測量、模型建立、分析評價的難度和不確定性，給系統可靠性的測評帶來了很大難度。

針對CPS的分析和測評已從各不同角度開展了大量研究，文獻從軟件的形式化建模[3]、屬性的靜態[4]和動態驗證[5]方面，研究了CPS軟件可信性驗證方法;文獻研究了基于代理的建模[6]（agent-based modeling）、物理實體的面向服務體系的建模[7]（Physical-Entity service oriented model）、基于UML框架的異質模型融合建模等CPS仿真建模方法[8]，在系統開發過程中對系統進行測試和驗證;此外，CPS的信息安全是普遍關注的方向，利用攻擊樹[9]、貝葉斯攻擊圖[10]、Petri網[11]博弈論[12]等方法對網絡攻擊進行定量分析，利用概率風險評估、層次全息建模[13]對信息安全風險進行評估。可以看出，這些研究都是針對CPS的組成部分或關鍵性能進行的分析和測試，但在實踐中如何針對整個系統形成完整的、全面的測試方案尚無人研究。

因此，該文對影響裝備體系可靠性的內、外因素進行了詳細分析，并提出了基于CPS的裝備體系可靠性測試與評價框架，包括硬件、軟件、網絡結構、網絡性能、信息安全、彈性、脆性以及可靠性綜合評估等內容。

1? 影響裝備體系可靠性的因素分析

影響裝備體系可靠安全運行的根本原因是故障，裝備體系的故障原因可以分為內因和外因兩類。

1.1 內因

內因是指影響裝備體系可靠性的系統內部因素，包括硬件故障、軟件故障、網絡結構不合理和控制規則不合理。

裝備體系組成結構為硬件和軟件，在硬件上搭載具有計算功能的軟件，硬件、軟件通過有線或無線互聯互通，以純硬件或硬件與軟件相結合的方式實現感知、連接、計算和控制等功能[14]。因此，硬件和軟件是裝備體系實現一切功能的基礎和前提，這二者的故障直接影響裝備體系功能的實現，使裝備體系無法安全可靠運行。

硬件和軟件是構成網絡的要素，要將這些要素整合起來構成網絡系統，則必然構成網絡結構。網絡結構是否合理，可能影響系統是否故障。網絡結構包括拓撲結構和容量配置兩方面。拓撲結構設置不合理，例如設計出易產生電磁等干擾的節點集中布局，必然容易造成傳輸錯誤;網絡容量配置不合理，如網絡流量大的地方容量分配不夠，則必然引起擁塞，造成傳輸延時和/或傳輸丟失。

控制規則是指根據感知單元對環境和系統狀態的感知結果，決定系統內部被控對象的運行方式，以實現系統功能的預先制定的規則。與網絡結構相同，控制規則設計不合理，也可能蘊含必然的缺陷。如美國西部聯合電網大停電，由于控制規則不合理，由單一元件跳閘逐步導致潮流瞬時轉移、電壓大幅波動、設備負載越限，進而發生一系列故障，最終發生大規模停電事故，系統崩潰。

1.2 外因

外因是指來自裝備體系外部的因素，包括環境條件、運行模式和外部攻擊，它們通過作用在系統上導致硬件或軟件故障，進而影響系統可靠性。

環境條件包括自然環境和社會環境：自然環境條件是指系統在使用時的物理、化學和生物等條件，例如氣候環境條件、生物環境條件、化學、機械等，自然環境不可避免地會對系統內的硬件產品產生影響，造成如磨損、腐蝕、老化等故障;社會環境包括政治環境、經濟環境和法制環境等，對裝備體系相關人員和理論、技術產生影響，引起系統演化，容易導致故障的發生。

運行模式是指裝備體系為完成不同任務，或使系統安全、經濟、合理運行，需要經常變更系統的運行方式，由此相應地會引起系統結構或參數的變化。

外部攻擊是指來自系統外部的人或物的蓄意攻擊，尤其是裝備體系對于網絡的依賴，使得系統面臨網絡的分布式拒絕服務攻擊、蠕蟲病毒、對Internet域名系統（DNS）的攻擊和對路由器攻擊或利用路由器的攻擊等多種威脅，不但影響網絡系統本身，還將形成鏈式反應，導致更加嚴重的后果。

2? 裝備體系可靠性測評框架

因此，綜合考慮影響裝備體系可靠性的因素，內因作為測評對象，外因作為測評的外部條件，該文提出裝備體系可靠性測評技術的體系結構（如圖1所示）。

裝備體系可靠性測評的時機分為準入階段和運行階段：準入階段是指為度量裝備體系各產品投入使用前的可靠性，開展測試、檢查、試驗與評價活動，以驗證和評價其是否符合規定要求;運行階段是指在裝備體系運行使用的過程中，各產品參數會隨外部和內部條件發生變化，由于能夠反映產品在實際使用環境和維修條件下的情況，運行階段的測評比之試驗數據更能代表產品的表現，通過監控、評估等手段評價系統實時的可靠性，為故障檢測、定位和快速恢復提供支持。

為使裝備體系正常實現功能、安全運行，應保證系統硬件可靠、軟件可信、信息安全、網絡連通可靠、控制規則完備，同時，在系統出現故障的情況下，能夠快速進行故障診斷、故障定位、故障恢復，避免系統崩潰或造成更嚴重的后果。因此，測評內容可分為以下3項。

（1）對待測系統的組成結構、功能性能、控制規則、運行模式、使用環境和外部攻擊情況進行分析，確定測評的方式和目標。

（2）對組成系統的硬件可靠性、軟件可信性和網絡可靠性進行測評，對整個系統的信息安全、彈性和脆性進行測評。

（3）根據各分立指標的測評結果，對系統可靠性進行綜合評估。

硬件是具有特定形狀的可分離的有形產品，是裝備體系所有功能實現的基礎。硬件可靠性水平低，對整個系統的各種特性都有影響。

軟件是裝備體系的重要組成部分，計算、決策等主要功能都由軟件實現。裝備體系屬于軟件密集型系統，即系統中的軟件在系統研制費用、研制時間或系統功能特性等一個或多個方面占主導地位。隨著軟件的規模增大，軟件缺陷引發的產品故障，甚至災難性事故也越來越嚴重。因此在保證硬件可靠的基礎上，還應保證軟件的可信運行。對軟件進行可信性測評，找出軟件中的缺陷錯誤，并評價其可信性是否能夠支持CPS的可靠安全運行。

網絡作為裝備體系的一個重要組成部分，是實現資源共享的基礎，負責將每個具備網絡模塊的單元相互連接，以實現數據交換、資源共享和互操作。裝備體系網絡從無線傳感網絡技術脫胎而來，和無線傳感網絡不同的是其每一個物理部件都能無縫聯入網絡，能夠實現動態重組，因而其網絡能否長期穩定可靠對整個裝備體系網絡來說舉足輕重。合理地評價和設計裝備體系網絡能夠大幅提高裝備體系的生存性和可靠性，降低由于網絡故障導致的重大甚至是災難性的后果。

此外，隨著信息系統與控制系統的不斷融合，裝備體系更容易受到來自網絡的攻擊，病毒、蠕蟲、木馬等傳統網絡威脅成為體系面臨的重要威脅。以關鍵基礎設施為例，據權威工業安全事件信息庫（Repository of industrial security Incidents，RISI）統計，2012年（截至10月），全球已發生200余起針對網絡工業控制系統的攻擊事件，超過了過去10年安全事件的總和。而2010年Stuxnet （“震網”）病毒攻擊伊朗布什爾核電站造成20%的離心機失靈甚至是完全報廢的安全事件，更標志著針對CPS的網絡攻擊從傳統“軟攻擊”升級為直接攻擊物理設備的“硬摧毀”[15]。因此，為幫助系統建立信息安全防護體系，評價系統安全性指標，需要對裝備體系進行信息安全測評。

作為一個綜合計算、網絡和物理環境的多維復雜系統，裝備體系的故障呈現出新的復雜特性和特殊機理以及復雜的故障行為。“魯棒但又脆弱”是復雜系統的最重要和最基本的特征之一，這一特征同樣也適用于信息物理系統。魯棒是指在設計裝備體系的過程中，人們考慮到了各種可能的干擾因素，系統在這些干擾因素的影響下，按照預先設定的控制規則，仍能夠通過自組織等方式降低或避免事故的發生，防止系統崩潰;脆弱則是指存在個別意想不到的干擾，使得系統對這些干擾可能是極端脆弱的，小的擾動就可能導致系統崩潰甚至災難性后果。前者表現為系統的彈性，為保證系統在出現故障的情況下仍然能夠可靠安全運行，需要設置一定的控制規則，在系統故障時做出響應;后者則是由于裝備體系具有脆性，指系統某一部分受到內、外因素的擾動或攻擊產生崩潰，由此使得其他部分或整個系統受到直接或間接的影響，最終導致整個系統的崩潰，宏觀上的表現是系統從一種有序狀態（正常工作狀態）轉換到另一種相對無序的狀態（崩潰狀態）。

在對裝備體系的硬件、軟件、網絡結構、彈性和脆性的特征分別測試后，可以從不同方面衡量系統的可靠性，但無法評價系統整體的狀態，在運行過程中，實時獲取整個系統的可靠性狀態對故障響應、系統改進和風險預測具有重要的意義。因此，需要對裝備體系可靠性進行綜合評估，將各個方面的數據結合起來形成統一認識。

3? 結語

該文基于信息物理系統的特征，對影響裝備體系可靠性的內、外因素進行了詳細分析，考慮這些因素提出了進行裝備體系可靠性測試與評價的框架，通過對體系的組成結構、功能性能、控制規則、運行模式、使用環境和外部攻擊進行分析，綜合考慮硬件可靠性、軟件可信性、網絡結構及性能可靠性、信息安全、系統彈性和脆性，然后進行可靠性綜合評估。這一框架可以為裝備體系實施完整、動態和連續的測評提供有效的支持，并為建立裝備體系測評系統和設備做了技術準備。

參考文獻

[1] Lee， Seshia.Cyber Physical System[EB/OL].http：//cyberphysicalsystems.org/Cyber-Physical-Systems.html.

[2] Lee E A.Cyber physical systems： Design challenges： Object Oriented Real-Time Distributed Computing （ISORC）[A].IEEE International Symposium on[C].2008.

[3] Cortes L A， Eles P， Peng Z.Modeling and formal verification of embedded systems based on a Petri net representation[J].Journal of Systems Architecture， 2003（49）：571-598.

[4] Jia Y， Zhang Z， Xie S.Modeling and verification of interactive behavior for cyber-physical systems： Software Engineering and Service Science （ICSESS）[A].IEEE 2nd International Conference on[C].2011.

[5] Wang S， Ayoub A， Sokolsky O， et al.Runtime Verification of Traces under Recording Uncertainty[M].Springer Berlin Heidelberg， 2012.

[6] Lin J， Sedigh S， Miller A.A General Framework for Quantitative Modeling of Dependability in Cyber-Physical Systems： A Proposal for Doctoral Research.[A].Computer Software and Applications Conference[C].Annual IEEE International，2009：668-671.

[7] Huang J， Bastani F， Yen I L， et al.Extending service model to build an effective service composition framework for cyber-physical systems： Service-Oriented Computing and Applications （SOCA）[A].IEEE International Conference on[C].2009.

[8] 劉廈，王宇英，周興社，等.面向CPS系統仿真的建模方法研究與設計[J].計算機科學，2012（39）：32-35.

[9] Ten C， Liu C， Govindarasu M.Vulnerability Assessment of Cybersecurity for SCADA Systems Using Attack Trees[A].Power Engineering Society General Meeting[C].2007.

[10] Zhang Y， Wang L， Xiang Y， et al.Power System Reliability Evaluation With SCADA Cybersecurity Considerations[A].IEEE Transactions on Smart Griad[C].2015.

[11] Chen T M， Sanchez-Aarnoutse J C， Buford J.Petri Net Modeling Of Cyber-Physical Attacks On Smart Grid[J]. Smart Grid， IEEE Transactions on， 2011，2（4）：741-749.

[12] Mahimkar A， Shmatikov V.Game-based analysis of denial-of-service prevention protocols[A]. In IEEE Computer Security Foundations Workshop[C].2005：287-301.

[13] Chittester Y Y H C， Chittester C G.A Roadmap for Quantifying the Efficacy of Risk Management of Information Security and Interdependent SCADA Systems[J].Journal of Homeland Security and Emergency Management，2005（2）.

[14] 黎作鵬，張天馳，張菁.信息物理融合系統（CPS）研究綜述[J].計算機科學，2011，38（9）：25-31.

[15] Karnouskos S.Stuxnet worm impact on industrial cyber-physical system security[A].IECON 2011 - 37th Annual Conference on IEEE Industrial Electronics Society[C].2011.

①作者簡介：李梓（1990—），女，漢族，河北廊坊人，博士，工程師，研究方向：綜合保障，復雜系統可靠性。