空中交通CPS級聯(lián)失效與緩解策略

王興隆，賀敏，劉明學

（1.中國民航大學空中交通管理學院，天津 300300； 2.天津市交通運輸委員會，天津 300250）

物理信息系統(tǒng)（Cyber Physical System，CPS）是綜合計算、通信和控制技術的多維復雜系統(tǒng)，具有高效、可靠、實時協(xié)同等特點［1］，近來國內(nèi)外學者開始將其用于交通領域的研究。2018年，方宇恒等［2］將CPS應用于分布式軌道交通控制系統(tǒng)，并對該體系進行了構架和模塊劃分；2019年，譚鵬［3］利用CPS研究了螺旋道路場景下車輛協(xié)同系統(tǒng)的穩(wěn)定性；2020年，Levshun等［4］將安全CPS應用于鐵路基礎設施，分析了影響CPS脆性的原因并提出了合理的解決方案。

空中交通管理系統(tǒng)具備信息物理系統(tǒng)特征，通過通信導航監(jiān)視與管制技術深度融合，實現(xiàn)管制信息處理和空域運行態(tài)勢感知，并達到交通流與信息流高效協(xié)同的目的。但國內(nèi)外學者對空中交通CPS的研究相對較少。2013年，Sampigethaya和Poovendran［5］提出航空CPS框架，以研究空中交通中的物理-信息層間相互作用；2017年，Ren等［6］從航空器、飛行控制與航行服務3個角度研究了CPS在空中交通中的應用；2020年，王興隆等［7］建立了空中交通CPS，并基于改進Kshell算法對其節(jié)點影響力進行排序。

先進技術的應用并未解決空中交通系統(tǒng)級聯(lián)失效問題。2015年8月15日，美國弗吉尼亞州利斯堡的空中交通管制中心出現(xiàn)計算機“技術故障”，該空域所有扇區(qū)都關閉，導致進出美東地區(qū)紐約、華盛頓、波士頓和費城等城市的航班大面積延誤和取消；2019年8月1日，受臺風“利奇馬”影響，上海虹橋國際機場和浦東國際機場取消1 949次航班，上海終端區(qū)的通行能力下降70%左右。技術故障、惡劣天氣等特殊情況的產(chǎn)生會嚴重影響空中交通的運行，其影響范圍會從單條航路蔓延至一個扇區(qū)甚至整個空域系統(tǒng)，引起級聯(lián)失效，從而使空域容量下降，航班延誤或取消。

一旦發(fā)生級聯(lián)失效，網(wǎng)絡可能迅速崩潰直至癱瘓，網(wǎng)絡級聯(lián)失效及其緩解策略是當前研究熱點。2015年，種鵬云［8］對蓄意攻擊下基于單次攻擊的危險品運輸網(wǎng)絡級聯(lián)失效進行了建模及仿真，為網(wǎng)絡結構的優(yōu)化提供了理論依據(jù)；2018年，崔夢頔［9］分析了無標度網(wǎng)絡面對級聯(lián)失效的脆性，建立級聯(lián)失效模型并提出了有效的級聯(lián)失效緩解策略；2018年，齊雁楠和高經(jīng)東［10］分析了空域扇區(qū)網(wǎng)絡級聯(lián)失效過程，建立了模型，并提出了2種優(yōu)化策略。

上述研究豐富了網(wǎng)絡級聯(lián)失效控制方法，但僅從單一角度對網(wǎng)絡進行了優(yōu)化和結構改進。為更好地把握空中交通系統(tǒng)的整體性，本文從CPS的角度出發(fā)，將物理與信息系統(tǒng)融合，研究空中交通管制網(wǎng)與航路網(wǎng)之間耦合關系和相互影響級聯(lián)，分析空中交通CPS級聯(lián)失效過程，提出基于網(wǎng)絡運行特征的緩解策略。

1 空中交通CPS級聯(lián)失效

相關研究已證明，CPS可對具有耦合關聯(lián)的系統(tǒng)進行建模［11］，復雜網(wǎng)絡的興起及其在航空領域的引入［12］也為具有耦合關系的航空網(wǎng)絡系統(tǒng)的研究提供了新途徑。利用復雜網(wǎng)絡理論，并根據(jù)空中交通管理規(guī)則［13］、管制指揮與航路運行的關系，對空中交通系統(tǒng)進行拓撲抽象，建立空中交通CPS網(wǎng)絡模型。

空中交通CPS是由信息網(wǎng)和物理網(wǎng)及其連接關系構成的耦合網(wǎng)絡，如圖1（a）所示。其中，信息網(wǎng)是以管制席位為節(jié)點、航班移交關系為邊的管制網(wǎng)。航路中，飛行的航空器向管制席位報告當前的運行狀態(tài)并根據(jù)管制席位下達的指令改變其飛行狀態(tài)［14］。本文對管制網(wǎng)做出以下約束和假設：

圖1 空中交通CPS網(wǎng)絡模型Fig.1 Air traffic CPS network model

1）合并空域扇區(qū)中的高、低扇區(qū)。

2）管制席位只對其管制范圍內(nèi)的航班負責。

3）將管制席位與其管制的扇區(qū)作為一個整體。

4）將管制網(wǎng)絡抽象為無向網(wǎng)絡。

空中交通CPS物理網(wǎng)是以扇區(qū)中航路點（強制報告點、機場、導航臺）為節(jié)點、以節(jié)點之間的航段為邊的航路網(wǎng)。管制網(wǎng)保障航空器在航路網(wǎng)中連續(xù)安全飛行［15］。本文對航路網(wǎng)做出以下約束和假設：

1）忽略臨時航路、國際航線和部分孤立邊界航路點。

2）刪除對航路連接情況無影響的航路點。

3）將航路網(wǎng)抽象為無向網(wǎng)絡。

將管制網(wǎng)N個節(jié)點之間的連接關系表示為鄰接矩陣｛aij｝N×N，航路網(wǎng)N個節(jié)點的連接關系表示為｛βij｝N×N，當節(jié)點i與節(jié)點j之間存在連邊，則aij＝aji＝1，βij＝βji＝1；兩節(jié)點間無連邊，則aij＝aji＝0，βij＝βji＝0。

空中交通CPS的管制網(wǎng)和航路網(wǎng)之間的耦合關系如圖1（b）所示，情報中心將從氣象監(jiān)視臺、雷達、ADS-B等設備獲取的天氣情況、航空器運行狀態(tài)、航路交通態(tài)勢等信息發(fā)送給管制員，管制員據(jù)此向飛行員發(fā)送相關管制指令；飛行員根據(jù)指令操作航空器，實現(xiàn)航路交通流的有序高效運行。其中，交通態(tài)勢、氣象及管制指令等信息在管制網(wǎng)中的傳遞稱為信息流，航班在航路網(wǎng)中沿航段的飛行稱為交通流。

1.1 空中交通CPS級聯(lián)失效模型

空中交通CPS中，每個管制席位指揮扇區(qū)內(nèi)有多個航路點，即管制席位與航路點的關系為“一對多”。管制席位所轄扇區(qū)內(nèi)某一航路點失效后，席位并不會隨之失效，與其他席位之間信息流的傳遞也不受影響；對于扇區(qū)內(nèi)其余航路點，若除失效航路點外有其他航路點與之相連，則也不會失效。級聯(lián)失效在空中交通CPS兩層網(wǎng)中同時產(chǎn)生，此過程中交通流只在航路網(wǎng)中流動，信息流只在管制網(wǎng)中流動。

如圖2所示，當航路點R4失效，移除R4的所有連邊即經(jīng)過R4的所有航路，航路點R5因失去所有相連航路而成為孤立節(jié)點并失效，而R6和R7由于仍有相連航路而不會失效；管制席位A4與航路點R4、R5之間的耦合邊無法工作，而由于席位與航路點之間關系，A4并不會因R4的失效而失效，可正常控制其所轄扇區(qū)內(nèi)其他航路點，與其他管制席位之間的信息傳遞也可以正常進行。

圖2 空中交通CPS級聯(lián)失效影響關系Fig.2 Effect and relationship of air traffic CPS cascading failure

由上述分析，假設空中交通CPS航路網(wǎng)級聯(lián)失效將其交通流重新分配時管制網(wǎng)連接和工作狀態(tài)保持不變。

1.2 空中交通CPS級聯(lián)失效過程

以往學者建立級聯(lián)失效模型時，大都將節(jié)點設定為正常和失效2種狀態(tài)，但在實際空中交通運行過程中，處于交叉口的航路點會由于大量航班從各個方向出現(xiàn)而無法及時傳遞信息流，航路網(wǎng)的通行能力也因此迅速下降，但航路點并未失效，只是交通擁堵。一旦發(fā)生擁堵，管制員會迅速做出反應，疏導擁堵航路點的交通流，使航路網(wǎng)快速恢復至正常運行狀態(tài)，此過程中管制席位之間需要頻繁交互，即信息流在管制網(wǎng)中不斷流動。依據(jù)上述實際運行情況，將空中交通CPS網(wǎng)絡中節(jié)點狀態(tài)定義如下：

1）正常。交通流和信息流都小于等于其容量，節(jié)點運行正常。

2）擁堵。交通流或信息流超出容量，此時將超出容量部分的流量分配至其他正常節(jié)點，直至節(jié)點流量小于等于其容量。

3）失效。節(jié)點容量為零，無法接收來自其他節(jié)點的流量，將原有流量全部分配至其鄰接節(jié)點。

其中，管制網(wǎng)的節(jié)點容量定義為管制席位在單位時間內(nèi)可傳遞的最大信息流，即不超過管制員工作負荷的信息流最大值；航路網(wǎng)的節(jié)點容量定義為航路點在一定時間內(nèi)能容納的交通流最大值。

空中交通CPS級聯(lián)失效過程如圖3所示，具體階段如下：

1）正常運行。網(wǎng)絡中全部節(jié)點的交通流和信息流均小于其容量。

2）失效開始。當部分節(jié)點失效時，其交通流或信息流按照相應規(guī)則分配至處于正常狀態(tài)的鄰接節(jié)點，如圖3中節(jié)點D失效后將流量分配至鄰接節(jié)點E、F、G。

3）失效擴散。節(jié)點接收失效節(jié)點分配的流量后狀態(tài)變?yōu)閾矶拢Ｖ菇邮芰髁糠峙洌⒊銎淙萘坎糠值牧髁糠峙渲琳顟B(tài)的鄰接節(jié)點，如圖3中節(jié)點E變?yōu)閾矶聽顟B(tài)且將流量分配至節(jié)點H、J。

圖3 空中交通CPS級聯(lián)失效過程Fig.3 Process of air traffic CPS cascading failure

4）失效終止。級聯(lián)失效因網(wǎng)絡恢復正常或崩潰而終止，即經(jīng)流量分配后網(wǎng)絡中節(jié)點全部正常或全部擁堵。

1.3 負載-容量模型改進

空中交通網(wǎng)絡具有一定的特性，即具有無標度、小世界特性，且網(wǎng)絡度值服從冪律分布［16］。空中交通CPS級聯(lián)失效模型建立與節(jié)點的流量、容量有關。有關空中交通網(wǎng)絡的研究認為容量與流量存在正比例關系［17］，但在實際運行過程中，航路點和管制席位的容量除受空域條件、設備因素影響外，還與航路交通態(tài)勢、管制員等因素有關，考慮實際流量計算空中交通CPS節(jié)點容量Ci如下：

式中：Fi為節(jié)點i的流量；θ為容量調(diào)節(jié)參數(shù)，θ＞0，θ越大容量越大；μ為流量調(diào)節(jié)參數(shù)，0＜μ＜1。

由節(jié)點流量與容量的關系可知，在μ不變時，θ的大小可以反映出節(jié)點容納流量的能力。θ越大，節(jié)點容量越大，個別節(jié)點失效越不易引起網(wǎng)絡級聯(lián)失效；θ越小，節(jié)點容量越小，甚至與流量相同，接近飽和狀態(tài)，無法在其他節(jié)點失效后接收其分配的流量，從而更易引起網(wǎng)絡級聯(lián)失效，導致網(wǎng)絡崩潰，造成嚴重后果。由此，規(guī)定容量調(diào)節(jié)參數(shù)存在一個級聯(lián)失效臨界值θτ，當θ＜θτ，個別節(jié)點失效會引發(fā)網(wǎng)絡級聯(lián)失效，受到嚴重損壞；而當θ≥θτ，網(wǎng)絡不會發(fā)生級聯(lián)失效。θτ值越小，則空中交通CPS網(wǎng)絡因節(jié)點失效而發(fā)生級聯(lián)失效的概率越小，可降低空中交通對航路條件、通信及導航設備等的要求，從而節(jié)約經(jīng)濟成本，降低管制員的工作負荷，提高空中交通的運行效率。臨界值θτ的存在，在一定程度上為空中交通CPS級聯(lián)失效及緩解策略的研究提供了新的思路。

2 空中交通CPS級聯(lián)失效緩解策略

由于空中交通CPS在實際運行過程中不會輕易崩潰，主要在θ≥θτ條件下研究某一節(jié)點失效后的流量再分配。

2.1 級聯(lián)失效緩解策略

分別采用度分配、介數(shù)中心性分配和剩余容量分配3種節(jié)點流量分配方法緩解空中交通CPS的級聯(lián)失效，即按照節(jié)點度排序、介數(shù)中心性排序和剩余容量由高到低分配失效節(jié)點的流量。具體緩解策略流程如圖4所示。

圖4 級聯(lián)失效緩解流程Fig.4 Cascading failure mitigation procedure

網(wǎng)絡級聯(lián)失效緩解策略實施步驟如下：

步驟1 開始時，航路網(wǎng)與管制網(wǎng)處于正常運行狀態(tài)，所有節(jié)點的流量均不超過其容量，即滿足Fi≤Ci。

步驟2 對網(wǎng)絡進行選擇性攻擊，令某一節(jié)點k失效。

步驟3 將失效節(jié)點k的全部流量Fk分配至其鄰接節(jié)點，鄰接節(jié)點流量增加f，此過程中信息流僅在管制網(wǎng)中流動，交通流僅在航路網(wǎng)中流動。

步驟4 級聯(lián)失效進一步擴散，識別出網(wǎng)絡中Fj＞Cj的節(jié)點，這部分節(jié)點因流量大于容量而由正常狀態(tài)轉變?yōu)閾矶拢瑹o法再接收來自失效節(jié)點的流量，并將超出其容量部分的流量分配至處于正常狀態(tài)的鄰接節(jié)點，鄰接節(jié)點的流量增加f′。

步驟5 判斷級聯(lián)失效是否終止，主要有以下幾種情況：①網(wǎng)絡中不再存在Fj＞Cj的節(jié)點，則網(wǎng)絡已恢復正常狀態(tài)，級聯(lián)失效終止；②網(wǎng)絡中存在節(jié)點滿足Fj＞Cj且正常節(jié)點數(shù)NP＞0，網(wǎng)絡仍處于級聯(lián)失效狀態(tài)，跳轉至步驟4進行流量再分配；③網(wǎng)絡中存在節(jié)點滿足Fi＞Ci且其鄰接節(jié)點中處于正常狀態(tài)的數(shù)量NP＝0，無法再接收分配的流量，網(wǎng)絡崩潰，級聯(lián)失效終止。

對于度分配、介數(shù)中心性分配和剩余容量分配3種級聯(lián)失效緩解策略中，f和f′計算公式如表1所示。表中：Di為節(jié)點i的度；Bj為節(jié)點j的介數(shù)中心性；Cj-Fj為節(jié)點j的剩余容量；NP為節(jié)點i的正常鄰接節(jié)點數(shù)；Π 為節(jié)點i的鄰接節(jié)點的集合。

表1 不同緩解策略中f和f′計算公式Table 1 f and f′calculation for mula in different mitigation strategies

2.2 策略評估指標

網(wǎng)絡級聯(lián)失效的緩解策略實施效果可以用經(jīng)流量分配后網(wǎng)絡中處于正常狀態(tài)的節(jié)點占總節(jié)點數(shù)的比例來評估，定義網(wǎng)絡正常率λ如下：

式中：NP為將失效節(jié)點流量分配后網(wǎng)絡中處于正常狀態(tài)的節(jié)點數(shù)量；N為網(wǎng)絡中節(jié)點的總數(shù)。

λ越大，級聯(lián)失效的緩解程度越高，緩解策略實施效果越好。

3 實證分析

以中國民用航空華東地區(qū)管理局所轄空域為例，建立華東地區(qū)空中交通CPS模型。圖5（a）為華東空中交通CPS航路網(wǎng)，由171個航路點和262條連邊組成；圖5（b）為華東空中交通CPS管制網(wǎng)，由33個管制席位和69條連邊組成；兩層網(wǎng)絡通過其耦合關系連接并相互影響。

圖5 華東地區(qū)空中交通CPS模型Fig.5 East China air traffic CPS model

經(jīng)數(shù)據(jù)統(tǒng)計發(fā)現(xiàn)，華東地區(qū)空中交通CPS航路網(wǎng)的航路點中流量最大的是九亭，管制網(wǎng)中流量最大的管制席位是上海05。

3.1 航路網(wǎng)級聯(lián)失效緩解策略分析

開展級聯(lián)失效緩解仿真實驗，先將九亭航路點失效，分別取流量調(diào)節(jié)參數(shù)μ為0.5、0.7和0.9，在θ≥θτ范圍內(nèi)改變?nèi)萘空{(diào)節(jié)參數(shù)θ的值，繪制網(wǎng)絡正常率λ在節(jié)點度分配、介數(shù)中心性分配和剩余容量分配3種緩解策略下隨容量調(diào)節(jié)參數(shù)θ的變化曲線，如圖6所示。

圖6 不同緩解策略下航路網(wǎng)級聯(lián)失效緩解程度Fig.6 Mitigation degree of cascading failures of air route network under different mitigation strategies

分析3種級聯(lián)失效緩解策略的實施效果發(fā)現(xiàn)，在不同的μ值下，介數(shù)中心性分配得到的容量調(diào)節(jié)參數(shù)臨界值θτ及對應的λ均為最小，表明此緩解策略下網(wǎng)絡從最少的正常節(jié)點數(shù)開始恢復，即無需調(diào)節(jié)臨界值θτ可從級聯(lián)失效造成的網(wǎng)絡崩潰開始恢復。因此，采用介數(shù)中心性分配策略網(wǎng)絡抵抗級聯(lián)失效的能力較強，不易發(fā)生崩潰；并且由于臨界值θτ較小，網(wǎng)絡正常運行對航路條件、通信及導航設備等的要求也較低。度分配和介數(shù)中心性分配策略存在一定的局限性，即隨著θ的不斷增加，網(wǎng)絡中重要性較高的節(jié)點已全部用于流量分配，無法再接收失效節(jié)點分配的流量，故θ繼續(xù)增加而λ基本不變，緩解程度十分緩慢。

在剩余容量分配策略下，網(wǎng)絡最先從級聯(lián)失效恢復至平衡，此時航路網(wǎng)中除九亭外全部節(jié)點已恢復至正常狀態(tài)，效率最高；各節(jié)點的容量隨θ的增大而增大，航路網(wǎng)中已無擁堵節(jié)點，即無需繼續(xù)對失效節(jié)點的流量進行分配，故后期曲線平直，λ基本不變。剩余容量分配策略可以充分利用節(jié)點接收額外流量的能力，緩解效果較好。

3.2 管制網(wǎng)級聯(lián)失效緩解策略分析

選取華東地區(qū)空中交通CPS管制網(wǎng)中信息流最大的上海05管制席位并使其失效，μ分別取0.5、0.7和0.9，繪制網(wǎng)絡正常率λ隨容量調(diào)節(jié)參數(shù)θ的變化曲線，如圖7所示，分析當θ≥θτ時3種緩解策略下的管制網(wǎng)級聯(lián)失效緩解程度。

圖7 不同緩解策略下管制網(wǎng)級聯(lián)失效緩解程度Fig.7 Mitigation degree of cascading failures of air traffic control network under different mitigation strategies

對比μ取值相同時3種策略的緩解程度發(fā)現(xiàn)，介數(shù)中心性分配策略下θτ及對應λ最小，表明發(fā)生級聯(lián)失效時此策略的實施效果最快產(chǎn)生，抵御級聯(lián)失效的能力較強，但從開始到平衡的過程較為緩慢；度分配策略作用效果產(chǎn)生最慢且最晚恢復至平衡狀態(tài)，緩解能力較差；剩余容量分配緩解策略雖恢復開始稍晚，但網(wǎng)絡最快恢復至平衡狀態(tài)，不再存在擁堵節(jié)點，讓節(jié)點在流量再分配過程中充分發(fā)揮作用，緩解效果較好。

4 結 論

1）構建了空中交通CPS網(wǎng)絡模型，分析了航路網(wǎng)、管制網(wǎng)及其耦合關系分析，定義了網(wǎng)絡節(jié)點正常、擁堵和失效3種狀態(tài)。

2）考慮空中交通系統(tǒng)實際運行中的整體性，改進了負載-容量模型，著重分析了空中交通CPS級聯(lián)失效過程，并提出了3種緩解策略即度分配、介數(shù)中心性分配和節(jié)點剩余容量分配，采用網(wǎng)絡正常率評估策略實施效果。

3）以中國民用航空華東地區(qū)管理局所轄空域為例，采用不同的緩解策略分別對發(fā)生級聯(lián)失效的空中交通CPS進行流量再分配，通過對比分析發(fā)現(xiàn)，介數(shù)中心性分配下網(wǎng)絡最先開始恢復，抵御級聯(lián)失效能力較強；剩余容量分配下網(wǎng)絡最快恢復至平衡狀態(tài)，恢復效果較好。

研究結果有助于提高空中交通CPS的抗毀性，減少級聯(lián)失效的發(fā)生，從而降低空中交通因局部運行異常而發(fā)生大面積延誤的概率，提高空中交通運行的效率和安全性。