面向航空自組網的節點失效波及影響分析模型

謝麗霞，嚴莉萍，楊宏宇

（中國民航大學計算機科學與技術學院，天津 300300）

0 引言

航空自組網（Aircraft Ad Hoc Network，AANET）是在各類航空器和少量必要基站之上建立的能夠覆蓋航空領域的業務需求，集成多種通信系統、功能網和信息系統的復雜網絡［1-2］。航空自組網在提高航空網通信質量的同時也面臨著多種網絡威脅。由于網絡中節點業務處理能力有限，當網絡安全事件發生時，易引起節點失效波及反應，進而造成網絡節點大量失效。節點失效波及反應［3］是指當網絡中節點失效時，網絡為保障整體業務質量，將失效流量分配至相鄰節點而引起節點連續失效的現象。因此，為給網絡管理員維護網絡安全提供參考，本文分析航空自組網中節點失效波及影響過程并量化網絡波及影響程度，對維護網絡穩定提供有效參考。

目前，關于節點失效波及影響分析主要研究成果包括相依網絡模型［4］、失效節點波及影響分析模型、失效流量再分配算法等。相依網絡模型通過分析網絡之間的物理依賴、邏輯映射、協同合作等關聯關系對復雜網絡進行多維度建模。文獻［3］中提出具有單一依賴關系的相依網絡模型，但實際相依網絡節點間大多存在多重關聯關系；文獻［5］中提出具有多重依賴關系的相依網絡模型；文獻［6］中提出一種基于多屬性決策的電力通信網絡節點重要性綜合評估方法，提供一種相依網絡模型節點加權方式，但是缺少對業務節點重要性的考慮。

在節點失效波及影響分析模型方面，文獻［7］中提出經典的節點失效傳播模型模擬節點失效傳播過程，模型中每個節點以固定的失效概率轉換為失效節點，但實際網絡是動態的，不同時刻節點失效概率不同。文獻［8］中提出使用改進失效傳播模型分析航空網絡中節點失效波及影響分析情況，定義網絡節點存在恢復狀態并且不會再受到波及影響，這不符合網絡實際情況。文獻［9］中提出傳統負載?容量模型，模型中各節點具有一定的初始負載和容量，當節點負載超過容量時節點成為失效節點進而引發新一輪負載轉移，模型中規定失效流量總是沿最短路徑傳輸，但這種流量傳輸方式與網絡實際流量傳輸情況不符。文獻［10］中在負載?容量模型的基礎上提出基于加權無標度網絡參數可調的級聯失效模型，當節點失效時，按照節點權重再分配失效流量，模型僅考慮節點自身屬性而未考慮通信鏈路對節點失效波及反應的影響。文獻［11］中提出面向空中交通物理信息系統的節點失效波及影響分析模型，改進傳統負載?容量模型，提出基于度、介數中心性和剩余容量的節點流量分配策略，但模型并未考慮到網絡中信息流具有鏈路持續時間。

通過失效流量再分配算法可得到節點失效發生波及反應之后受影響的節點集合，并對此節點集合進行波及影響分析。不同的失效流量再分配算法對網絡的波及影響不同。文獻［12］中提出一種基于節點度的流量再分配策略，根據鄰居節點度與鄰居節點總度數比值分配流量；文獻［13］中提出基于邊的空閑容量比例分配機制；文獻［14］中提出一種基于聚類系數的流量再分配算法。但以上算法均沒有考慮到實際網絡流量的分配遵循相應的路由規則，并不是所有鄰居節點都會分配流量。

針對現有航空自組網領域缺乏相應節點失效波及影響分析模型的問題，本文提出一種面向航空自組網的節點失效波及影響分析模型，在建立業務?物理相依網絡模型的基礎上，提出面向航空自組網的失效傳播模型，通過對失效流量再分配算法的改進，得到因節點失效波及反應轉換成失效節點和業務降級節點的節點集合，計算網絡波及影響值并確定網絡各時刻波及影響程度。

1 節點失效波及影響分析模型

面向航空自組網的節點失效波及影響分析模型如圖1所示，該模型由兩部分組成：

圖1 節點失效波及影響分析模型Fig.1 Node failure ripple effect analysis model

1）業務?物理網絡構建。首先，將航空自組網中業務抽象為業務節點，根據節點業務優先級、使用業務的用戶優先級以及實時業務數據量計算業務節點權值，得到有向加權業務網絡；其次，根據實時航空自組網建立物理網絡，計算實體節點凝聚度作為實體節點權值，得到無向加權物理網絡；最后，根據業務?物理網絡之間的映射關系，建立相依網絡依賴矩陣，得到業務?物理相依網絡模型。

2）波及影響分析。首先，建立面向航空自組網的失效傳播模型，模型中節點存在工作、業務降級和失效三種狀態，節點之間根據波及影響概率轉換狀態；其次，通過空間位置信息計算節點之間鏈路持續時間，根據鄰居節點屬性定義鏈路剩余容量，依據鏈路持續時間和鏈路剩余容量計算鏈路生存性；再次，提出基于鏈路生存性的失效流量再分配算法并應用于構建的業務?物理網絡模型上，得到因節點失效波及反應轉化成失效節點和業務降級節點的節點集合，計算網絡波及影響值并確定網絡各時刻波及影響程度。

2 業務?物理網絡構建

航空自組網由大量作為傳輸節點的航空器、少量提供信息的地面基站和參與信息交互的衛星組成（如圖2 所示），節點間通過通信鏈路傳輸信息。網絡的通信系統可實現飛行數據傳輸、空中交通管制、航空器位置追蹤和機內娛樂等業務，系統各業務有序交互構成全系統業務流程，業務節點間存在有向關聯關系。

圖2 航空自組網Fig.2 Aircraft ad hoc network

由分析可知，航空自組網不同類型節點之間具有不同關聯關系，現有單一的網絡模型建模不能滿足航空自組網建模需求，需構造一種多層網絡模型對航空自組網進行建模。因此，航空自組網可表示為如圖3 所示網絡模型。圖3 中，物理網絡由實體節點和通信鏈路構成，業務網絡由業務節點和節點間的有向關聯關系構成。模型通過兩層網絡節點之間的邏輯映射關系進行耦合。

圖3 業務?物理網絡模型Fig.3 Business-physical network model

2.1 業務網絡

業務網絡GB是有向加權網絡，表示為GB=（VB，EB，WB），其中VB表示業務節點集合，VB=｛Ni|i=1，2，…，NB｝；EB表示邊的集合，EB=｛qi|i=1，2，…，LB｝，表示業務節點之間的有向關聯關系；WB表示業務節點權重的集合，WB=｛ωi|i=1，2，…，NB｝。

航空自組網業務分為4 類：空中交通管制、飛行數據傳輸、航空器位置追蹤和機內娛樂。根據對網絡服務質量要求不同，可依次劃分業務優先級為1、2、3、4，其中1 表示最高優先級。同時，使用業務的用戶身份也影響業務重要性，根據用戶身份不同，包括空中管制人員、飛行員、空中服務人員、乘客，可劃分用戶優先級為1、2、3、4。

首先根據業務優先級和用戶優先級劃分航空自組網的業務靜態影響力。業務優先級與用戶優先級越高，業務重要性越大，代表業務靜態影響力越大。據此，本文制定的業務靜態影響力如表1 所示。

表1 業務靜態影響力Tab.1 Business static influence

由于航空自組網具有高動態的特性，本文引入業務量作為量化業務節點動態影響力的指標。設單位時間內網絡處理業務數據總量為TB，節點Ni的業務數據量為Ti，則業務節點的動態影響力DIi可表示為單位時間內節點業務數據量和網絡業務總數據量的比值，節點業務量越大節點影響力越大，即：

根據節點靜態影響力和動態影響力，計算業務節點權重為：

業務網絡由矩陣AB=表示：

其中：對角線元素aii為業務節點權重，非對角線元素aij表示業務節點間有向關聯關系，若業務節點間存在關聯關系，則aij=1；否則，aij=0。

2.2 物理網絡

物理網絡GP是無向加權網絡，表示為GP=（VP，EP，WP），其中：VP表示實體節點集合，VP=｛Ni|i=1，2，…，NP｝，對應實體節點為各類航空器；EP表示邊的集合，EP=｛qi|i=1，2，…，LP｝，表示實體節點之間存在通信鏈路；WP表示實體節點權重的集合，WP=｛?i|i=1，2，…，NP｝，實體節點權重由節點的凝聚度決定。

設Ni是GP中的一個節點，用GP×Ni表示將節點Ni收縮后所得到的網絡。節點Ni收縮是指用一個新節點代替節點Ni和節點Ni的所有鄰居節點［15］。因此，物理層網絡GP的凝聚度α可表示為總節點數NP和網絡平均最短路徑長度乘積的倒數：

其中：NP≥2；di，j代表節點Ni和Nj之間的最短距離。節點凝聚度越大，節點越重要，對網絡影響力越大。由此，實體節點權重為：

物理網絡由矩陣BP=表示：

其中：對角線元素bii為實體節點權重；非對角線元素bij表示節點間的通信鏈路。若實體節點間存在通信鏈路，則bij=1；否則bij=0。

2.3 業務?物理網絡模型

由前文分析可知，在航空自組網中，若實體節點同時運行多個業務，則在業務網絡中也存在多個業務節點，因此，航空自組網中物理網絡和業務網絡間具有多重映射關系［5］，即一個實體節點可能是多個業務節點的物理基礎，而一個業務節點必須依靠一個實體節點才能正常提供服務。用EC=表示相依網絡之間映射關系：

若實體節點與業務節點之間存在邏輯映射關系，則eij=1；否則eij=0。

綜上所述，可建立面向航空自組網的業務?物理相依網絡模型，用多元組BP=（GB，GP，EC）表示，其中GB表示業務網絡，GP表示物理網絡，EC表示業務?物理網絡映射關系。

3 節點失效波及影響分析

3.1 失效傳播模型

失效傳播模型定義網絡中受到失效節點波及影響的節點將處于三種狀態：第一種狀態是節點收到的流量不超過自身處理業務能力，為正常工作節點，記作W（Working）；第二種狀態是節點收到一定流量，造成自身業務處理能力降級，如帶寬降低、延時增大，成為業務降級節點，記作A（Affected）；第三種狀態是節點接收到超過自身業務處理能力的流量，成為失效節點，記作F（Failed）。

定義W（ti）為ti時刻工作節點的數量，F（ti）為ti時刻失效節點的數量，A（ti）為ti時刻受到業務降級節點的數量。工作節點受到失效節點的波及影響有一定概率轉換為失效節點或業務降級節點。設節點波及影響概率為pi，節點的轉換過程可表示為：

面向航空自組網的失效傳播模型的波及影響概率會同時受到W（ti）、F（ti）和A（ti）的影響。因此，將網絡中工作節點、失效節點和業務降級節點的比例隨時間變化表示為：

其中：NA代表某一時間內網絡節點總數；pWF則表示增加的失效數量；pWA表示增加的業務降級節點數量；W（0）則是網絡處于初始狀態下工作節點數量，F（0）則是網絡處于初始狀態下失效節點數量。

3.2 波及影響分析

在航空自組網中，節點受自身性能和在網絡中位置等因素影響，承擔不同的業務量并具備不同的業務處理能力。當發生安全事件引起節點失效時，通常采取將其流量分配到可用鄰居節點的方式來保障整個網絡業務持續運行，因此，可通過分析航空自組網中節點初始流量和業務處理能力，根據基于鏈路生存性的流量再分配算法得到相應失效節點和業務降級節點，并將此結果用于波及影響分析。

1）節點初始流量和業務處理能力。

首先，根據節點Ni在網絡中所處位置與自身屬性，定義網絡開始時節點初始流量為：

其中：ki表示節點Ni的度；kj表示鄰居節點Nj的度；Γi表示節點Ni的鄰居節點集合；α為可調參數，用于調節節點自身屬性和相關度數對波及效應的影響程度。文獻［16］在其他條件不變的情況下，隨著可調參數α從0.5 到1.0、1.5 和2.0 的變化，節點失效波及反應的可能性增大，因此選擇α=0.5 作為本文取值。節點業務處理能力Ci與節點初始流量成正比關系，可表示為：

其中：γ為容忍系數，表示節點在發生過載之后的容忍能力。文獻［17］中就不同容忍系數對網絡的波及影響進行分析，實驗結果表明當容忍系數過大時，流量重分配對網絡影響不大，而當γ=0.06 時網絡連通性較好，因此，此處選擇γ=0.06作為本文的取值。

2）鏈路生存性。

鏈路生存性是指在網絡發生安全事件后利用網絡中空閑資源為受影響業務重新路由，減少因節點失效而造成通信或業務損失的能力。鏈路生存性由鏈路生存周期和鏈路質量共同決定，故根據鏈路持續時間和鏈路剩余容量計算鏈路生存性，過程設計如下：

①鏈路持續時間。

設節點Ni空間位置信息為（Nlongitude，Nlatitude，Naltitude），分別代表節點的經度、緯度和海拔高度，地球半徑R取6 371 km，v為節點速度，Ψ為航跡角，r為通信半徑，節點Ni的坐標表示為：

節點Ni在Δt時間后的坐標可表示為：

同理，用式（10）求解鄰居節點Nj的坐標，則t0時刻節點Ni和Nj之間的距離為：

當 Δt=1 時，節點Ni和節點Nj的相離速度。由此，可求得兩節點之間的相離距離Δdi，j為：

因此，可求得此時節點Ni和Nj之間鏈路持續時間LDT為：

②鏈路剩余容量。

鏈路剩余容量LRC受鏈路兩端節點Ni和Nj屬性限制，故本文定義鏈路剩余容量為鄰居節點Nj剩余業務處理能力，即：

根據鏈路持續時間和鏈路剩余容量，鏈路生存性σi可表示為：

其中：n表示鄰居節點數量。

3）基于鏈路生存性的流量再分配算法。

在設計流量再分配算法時，為有效分析波及影響情況，使波及影響分析更加符合實際網絡波及影響情況，采用基于鏈路生存性的流量再分配算法。本文提出基于鏈路生存性的流量再分配算法工作流程如圖4 所示。

圖4 本文算法流程Fig.4 Flowchart of the proposed algorithm

基于鏈路生存性的流量再分配算法設計如下：

步驟1 在集合N=｛ni|n1，n2，…，nn｝中存儲可用的鄰居節點。

步驟2 根據節點實時空間位置信息計算鏈路持續時間。

步驟3 根據鄰居節點剩余業務處理能力計算鏈路剩余容量。

步驟4 根據鏈路持續時間和鏈路剩余容量計算鏈路生存性σi，得到可用鏈路的平均鏈路生存性為：

其中：n為鄰居節點總數。

步驟5 根據鏈路生存性σ選擇可用鏈路。若所得鏈路生存性大于集合中可用鏈路生存性平均值，則這條鏈路可靠性高，選為可用鏈路；反之，則放棄這條鏈路。

步驟6 計算鄰居節點Ni增加流量ΔLi，將流量根據式（18）分配到各可用節點：

其中：ξi為失效流量再分配比例；L為失效節點待分配流量。若節點因再分配的流量失效，將節點加入失效節點集合F；若節點因再分配流量業務降級，則將節點加入業務降級節點集合A。

步驟7 重復步驟1～6，直到網絡中沒有失效節點增加，停止循環。

在本文提出的流量再分配算法中，計算每條可用鏈路的生存性，選取合適鏈路并根據節點業務處理能力對失效流量進行再分配，這個過程的算法復雜度是O（n）。

4）節點狀態判定和波及影響定級。

當節點流量不超過節點業務處理能力時，有概率pi發生節點失效，當節點流量超過節點業務處理能力時，則pi=1 節點必定失效。由式（18）可得鄰居節點Ni可能接連失效的波及影響概率pi。

由于節點失效波及影響概率不同，故節點失效形式不同，根據失效模型與影響分析［18］劃分節點波及影響程度等級，如表2 所示。當節點的失效模式為“較高”時，定義節點為業務降級節點；當節點失效模式為“失效”時，定義節點為失效節點；其余模式時，節點為工作節點。

表2 節點波及影響程度等級Tab.2 Node ripple effect degree

節點失效波及的失效節點和業務降級節點數量越多，節點重要度越高對網絡波及影響越大，故航空自組網節點失效波及影響值可由失效節點、業務降級節點與網絡總節點數的比值表示：

其中：FB代表失效業務節點總量；FP代表失效實體節點總量；AB代表業務降級業務節點總量；AP代表業務降級實體節點總量；VB代表全部業務節點集合；VP代表全部實體節點總量。

網絡波及影響值越高表示網絡安全狀況越差，定義波及影響程度如表3 所示，依據f值可判定航空自組網節點失效波及影響程度的等級。

表3 網絡波及影響程度等級Tab.3 Network ripple effect degree

4 實驗與分析

4.1 實驗數據來源和初始網絡構建

為驗證本文模型有效性，利用網絡仿真工具NS2（Network Simulator version 2）進行仿真實驗獲取實驗數據，通過Matlab 編寫算法完成相關對比實驗和分析。

NS2 仿真實驗關鍵參數設置與實驗過程如下：

1）編寫Otcl 腳本，生成一個5 000 m×5 000 m 的模擬區域，設置trace 文件追蹤網絡數據傳輸情況。

2）生成20 個網絡節點、25 條數據流的網絡，如圖5所示。

圖5 NS2中網絡初始場景Fig.5 Initial network scene in NS2

3）AODV（Ad hoc On-Demand Distance Vector routing）協議作為路由協議。

4）修改Otcl 腳本設置節點為失效節點。根據攻擊方式不同，設置不同節點作為網絡初始失效節點。對于隨機攻擊，隨機選擇節點作為初始失效節點；對于蓄意攻擊，選擇實體節點權重最大的節點作為失效節點。

5）利用gawk 分析trace 文件，收集實驗數據。

航空自組網仿真關鍵參數如表4 所示。

表4 參數設置Tab.4 Setting of parameters

依據仿真實驗參數設置，共有20 個實體節點和25 條通信鏈路，每條通信鏈路傳輸一個業務，故抽象出25 個業務節點和24 條有向關聯邊。根據各節點之間的映射關系，構建初始業務?物理網絡，實體節點通信范圍取1 390 km［19］。

1）業務網絡的鄰接矩陣。

按照2.1 節的業務節點權重計算方法計算得到網絡中各業務節點權重如表5 所示。

表5 業務節點權重Tab.5 Business node weight

構建25×25 的業務網絡鄰接矩陣AB如下所示：

2）物理網絡的鄰接矩陣。

按照2.2 節的方法計算節點凝聚度作為實體節點權重，結果如表6 所示。

表6 實體節點權重Tab.6 Physical node weight

構建20×20 的物理網絡鄰接矩陣BP如下所示：

3）業務?物理網絡映射關系矩陣。

構建20×25 的業務?物理網絡映射關系矩陣EC如下所示：

4.2 基于鏈路生存性的流量再分配算法實例分析

以針對物理網絡的蓄意攻擊為例，優先攻擊實體節點權重最大的節點，即實體節點1，此時節點1 失效，需對實體節點1 的失效流量進行再分配，具體算法執行過程如下：

1）首先將可用性鄰居節點存儲在集合N中；

2）計算鏈路生存性以及可用鏈路的平均鏈路生存性；

3）選取可用鏈路并根據節點業務處理能力對失效流量進行再分配；

4）若節點受到波及失效則開始新一輪失效流量再分配，直到沒有失效節點增加，終止算法。

第一輪失效流量再分配具體過程如圖6 所示，節點1 首先因蓄意攻擊失效，此時網絡為保障業務持續運行，故將失效流量再分配至符合條件的鄰居節點。根據3.2 節中所述鏈路生存性計算方法，計算鄰居節點鏈路生存性，此時節點14 和節點18 鏈路生存性分別為0.573 0 和0.501 7，均大于平均鏈路生存性0.5，故節點14 和節點18 接收到來自節點1的失效流量。然而節點14 和節點18 的業務處理能力有限，故節點14 和節點18 因接收到超過自身業務處理能力的流量造成節點失效，進而引起新一輪失效流量再分配，依據3.2節中所述基于鏈路生存性的流量再分配算法進行迭代，直到網絡中沒有波及節點失效，算法結束。本次針對物理網絡實體節點的波及影響分析算法總共迭代6 次。

圖6 基于鏈路生存性的流量再分配算法實例Fig.6 An examples of traffic redistribution algorithm based on link survivability

4.3 不同攻擊方式下節點失效波及影響分析

采用隨機攻擊和蓄意攻擊兩種不同攻擊方法，分別以業務網絡和物理網絡作為攻擊對象，將本文模型、空中交通物理信息系統波及影響分析模型ATCPS（Air Traffic Cyber Physical System）［11］、基于節點權重再分配算法的波及影響分析模型WR（Weight based Redistribution）［9］、傳統失效傳播（Failure Propagation，FP）模型［7］、傳統負載?容量（Motter-Lai，ML）模型［8］用于分析航空自組網節點失效波及影響情況。

1）業務網絡攻擊。

從圖7～8 可知，在針對業務網絡攻擊的場景下，結合表3可知實際波及影響情況已達“高”等級，采用本文提出模型得到的航空自組網波及影響分析結果和NS2 仿真實驗的網絡實際波及影響情況更加相近。原因分析如下：

圖7 業務網絡在隨機攻擊下的節點失效波及影響情況Fig.7 Ripple effect condition of node failure in business network under random attack

①FP 模型定義網絡中每個節點以固定失效概率轉變為失效節點，但航空自組網是動態變化的，各時刻節點失效概率不同，故模型分析可靠性不高。

②ML 模型規定網絡分配失效流量時總是沿最短路徑傳輸，但航空自組網分配失效流量時遵循的是相應路由規則，故模型分析準確性不高。

③WR 模型是一種可調參數的波及影響分析模型，但該模型僅考慮節點自身權重再分配失效流量，缺乏網絡鏈路對波及影響的考慮。同失效傳播模型和負載?容量模型相比，WR 模型對波及影響分析準確性有所提升，但同本文模型對比，WR 模型分析準確性較低。

④ATCPS 模型為面向空中交通網絡和空中通信網絡建立的波及影響分析模型，在傳統負載?容量模型的基礎上進行改進，基于節點度、介數中心性和節點剩余容量進行流量再分配，因此，分析準確性較傳統負載?容量模型有所提升；但由于未考慮到通信網絡中信息流的鏈路持續時間對網絡波及反應的影響，因此同本文模型對比，模型的分析準確性較低。

⑤本文提出的模型中，節點失效波及影響概率隨網絡動態變化，改進現有失效流量再分配策略，提出基于鏈路生存性的失效流量再分配算法，根據鏈路生存性選擇再分配鏈路并按照節點容量分配失效流量，故本文提出模型的波及影響分析結果與NS2 仿真實際波及影響情況更貼切，提高了波及影響分析準確性。

圖8 業務網絡在蓄意攻擊下的節點失效波及影響情況Fig.8 Ripple effect condition of node failure in business network under intentional attack

2）物理網絡攻擊。

從圖9～10 可知，以物理網絡實體節點作為攻擊對象，四種模型的分析結果與實際波及影響趨勢一致，進一步驗證了本文分析模型的有效性；同時，與以業務網絡作為攻擊對象的分析結果相似，蓄意攻擊對網絡造成的波及影響也大于隨機攻擊，這是由于蓄意攻擊優先破壞網絡中權重較大的關鍵節點，而關鍵節點一般擁有較高流量，一旦失效會對網絡造成嚴重的波及影響。

圖9 物理網絡在隨機攻擊下的節點失效波及影響情況Fig.9 Ripple effect condition of node failure in physical network under random attack

圖10 物理網絡在蓄意攻擊下的節點失效波及影響情況Fig.10 Ripple effect condition of node failure in physical network under intentional attack

5 結語

本文提出面向航空自組網的航空自組網波及影響分析模型，基于航空自組網建立業務?物理網絡模型，建立面向航空自組網的動態失效傳播模型，提出一種基于鏈路生存性的流量再分配算法，將該流量再分配算法應用于業務?物理相依網絡模型，分析航空自組網節點失效波及影響。實驗結果表明，本文提出的模型能有效分析節點失效對航空自組網造成的波及影響程度。

雖然本文模型在研究節點失效波及反應過程及評估節點失效對網絡造成的波及影響程度方面取得良好成果，但是隨著航空自組網的發展，許多研究將改進路由協議應用于航空自組網中，不同路由協議對網絡節點失效波及反應影響不同，因此，在未來研究工作中，將重點分析適應不同路由協議的節點失效波及影響分析模型。