崔鐵軍，李莎莎

1. 遼寧工程技術(shù)大學(xué) 安全科學(xué)與工程學(xué)院，遼寧 阜新 123000

2. 遼寧工程技術(shù)大學(xué) 工商管理學(xué)院，遼寧 葫蘆島 125105

系統(tǒng)是為了在規(guī)定時間內(nèi)、規(guī)定條件下完成預(yù)定功能而建立的具有特定組織結(jié)構(gòu)的整體。對應(yīng)的完成功能的能力稱為可靠性，而不能完成功能或功能下降稱為故障。因此圍繞系統(tǒng)功能目標，系統(tǒng)功能狀態(tài)總是在可靠狀態(tài)和故障狀態(tài)間變化。系統(tǒng)的建立者總是希望系統(tǒng)能保持在可靠狀態(tài)不發(fā)生故障，但建立者的對立面則希望系統(tǒng)變?yōu)楣收蠣顟B(tài)，從而破壞系統(tǒng)使己方受益。因此可考慮將系統(tǒng)、系統(tǒng)建立者和對立者組成更大的系統(tǒng)，研究兩者對系統(tǒng)不同行為作用后系統(tǒng)功能狀態(tài)的變化。大體上，建立者采取預(yù)防措施來抵御系統(tǒng)可能受到的異常行為作用；對立者則通過已知的對系統(tǒng)的了解從系統(tǒng)外部因素調(diào)整作用到系統(tǒng)內(nèi)部，使系統(tǒng)變?yōu)楣收蠣顟B(tài)。當然充當對立者角色的有自然因素和人為因素，自然因素是系統(tǒng)本身的功能特性；而人為因素則多帶有目的性，對建立者利益造成損失，論文對后者展開研究。進一步的，建立者行為使系統(tǒng)保持可靠狀態(tài)，對立者行為使系統(tǒng)變?yōu)楣收蠣顟B(tài)，這顯然是建立者和對立者圍繞系統(tǒng)功能狀態(tài)的博弈過程。

近年來，關(guān)于系統(tǒng)安全故障方面博弈的研究逐漸開始受到人們的重視。這些研究包括主從博弈理論的能源互聯(lián)配電網(wǎng)故障恢復(fù)方法[1]、博弈論綜合法的城市供電系統(tǒng)安全評價[2]、合作博弈的電網(wǎng)支路脆弱性評估[3]、電力信息物理系統(tǒng)防護及攻防博弈[4]、考慮可靠性的物流服務(wù)供應(yīng)鏈的契約[5]，廢舊機電產(chǎn)品主動再制造時域決策[6]、共因故障的系統(tǒng)組成單元故障嚴重性測度[7]、地鐵列車走行部隱患評估[8]、完全信息序貫博弈模型的大型變壓器柔性保護[9]，合作博弈法及云模型的CRH3電氣系統(tǒng)健康評估[10]、微分博弈理論的多端直流輸電協(xié)調(diào)[11]、多代理系統(tǒng)下的主動配電網(wǎng)故障恢復(fù)博弈[12]等。這些研究在各自領(lǐng)域發(fā)揮了積極作用，并形成了一些具有獨特作用的模型。進一步細化，無論系統(tǒng)建立者或是使用者行為都以預(yù)防系統(tǒng)故障為目的，可統(tǒng)稱為預(yù)防者；對立者或破壞者行為都是以引起系統(tǒng)故障為目的，可統(tǒng)稱為引起者。那么上述研究需要面對的問題包括：引起者和預(yù)防者的行為確定；引起者和預(yù)防者的博弈方式；故障指標確定及行為對故障的影響權(quán)重等。

綜上，作者提出了空間故障網(wǎng)絡(luò)-網(wǎng)絡(luò)攻防博弈（space fault network-network attack and defense game, SFN-NADG）模型解決系統(tǒng)故障預(yù)防方案確定問題。SFN[13-16]是作者在2018年正式提出的系統(tǒng)故障演化過程分析理論，提供可能的引起行為和預(yù)防行為及系統(tǒng)故障指標。NADG最早是由姜偉[17]在 2009 年提出的，用于研究網(wǎng)絡(luò)安全測評和最優(yōu)主動防御策略。NADG[18]可用于構(gòu)建引起者和預(yù)防者的博弈過程，并根據(jù)需要進行了適當修改。本文研究包括系統(tǒng)故障的形成機理、引起和預(yù)防系統(tǒng)故障的行為、SFN-NADG模型建立及實例分析。最終得到了預(yù)防方案選擇的一般規(guī)律。

1 系統(tǒng)故障的形成機理

引起系統(tǒng)故障的主體（引起者）與預(yù)防系統(tǒng)故障的主體（預(yù)防者）在考慮各自行為及成本后通過外部因素對系統(tǒng)內(nèi)部因素采取干擾和調(diào)整行為，這些行為符合系統(tǒng)故障演化過程（system fault evolution process, SFEP），并引起或預(yù)防系統(tǒng)故障發(fā)生的過程，是引起者和預(yù)防者圍繞系統(tǒng)故障變化展開的博弈過程。因此引起者、預(yù)防者和系統(tǒng)組成了一個更大的系統(tǒng)，如圖1所示。

圖1 博弈系統(tǒng)示意

以系統(tǒng)故障變化為目標的博弈系統(tǒng)由系統(tǒng)和參與者組成，參與者包括引起者和預(yù)防者。引起者根據(jù)對系統(tǒng)的了解，通過對應(yīng)行為調(diào)整外因。外因與系統(tǒng)內(nèi)因作用，使系統(tǒng)按照SFEP的特征向著發(fā)生故障的方向發(fā)展，相對的預(yù)防者根據(jù)對系統(tǒng)的了解，通過對應(yīng)行為調(diào)整外因，使系統(tǒng)按照SFEP的特征向著不發(fā)生故障的方向發(fā)展。因此引起者引起系統(tǒng)故障，對系統(tǒng)實施引起故障的引起行為；預(yù)防者預(yù)防系統(tǒng)故障，對系統(tǒng)實施預(yù)防故障發(fā)生的預(yù)防行為。引起者對系統(tǒng)的行為成功引起系統(tǒng)故障后獲得引起收益，同時這些行為也需要引起者投入引起成本。預(yù)防者對系統(tǒng)的行為成功預(yù)防系統(tǒng)故障后獲得預(yù)防收益，同時這些行為也需要預(yù)防者投入預(yù)防成本。根據(jù)空間故障樹理論（space fault tree, SFT）[19-22]給出的思想，系統(tǒng)具有各方面的特征和目的，例如系統(tǒng)可靠和故障。對于系統(tǒng)故障變化，系統(tǒng)受到很多因素影響，這些因素與系統(tǒng)不同部分的作用效果不同。系統(tǒng)對因素變化的響應(yīng)構(gòu)成了因素與系統(tǒng)故障的對應(yīng)關(guān)系結(jié)構(gòu)，因此系統(tǒng)內(nèi)部包括目標、內(nèi)因和結(jié)構(gòu)。系統(tǒng)建成后結(jié)構(gòu)固定，在目標確定時引起系統(tǒng)故障的直接原因即為內(nèi)因。內(nèi)因與系統(tǒng)之外的外因直接相關(guān)，外因是系統(tǒng)工作的環(huán)境且能導(dǎo)致內(nèi)因改變的因素，如溫度影響系統(tǒng)中元件電阻。參與者雙方通過調(diào)整外因?qū)?nèi)因作用，使系統(tǒng)故障狀態(tài)發(fā)生改變。系統(tǒng)故障發(fā)生不是一蹴而就的，而是系統(tǒng)中眾多事件的相互作用，稱為SFEP。SFEP由事件和傳遞構(gòu)成，它們代表了SFEP的所有特征。參與者雙方采取不同行為，根據(jù)SFEP的特征對系統(tǒng)故障狀態(tài)進行調(diào)控，從而引起或預(yù)防系統(tǒng)故障。最終引起者和預(yù)防者組成了以系統(tǒng)故障變化為目標的博弈系統(tǒng)。

2 引起和預(yù)防系統(tǒng)故障的行為

為清楚地說明問題，首先給出應(yīng)用實例SFEP的SFN。

圖2組成包括事件和傳遞。其中事件包括邊緣事件、過程事件和最終事件。邊緣事件代表引起系統(tǒng)故障過程的最基本事件，設(shè)為e1～e4；過程事件是SFEP中的中間和過度事件，設(shè)為E1、E2；最終事件是SFEP最后的系統(tǒng)故障事件，也是SFEP的最終結(jié)果，設(shè)為T。過程事件和最終事件下角標的“·”、“+”代表原因事件分別以與、或關(guān)系導(dǎo)致結(jié)果事件發(fā)生。“·”為原因事件都發(fā)生則結(jié)果事件發(fā)生；“+”為原因事件至少一個發(fā)生則結(jié)果事件發(fā)生。圖2中有向線段表示傳遞，由原因事件向結(jié)果事件傳遞，傳遞的概率稱為傳遞概率，如，表示原因事件導(dǎo)致結(jié)果事件的概率。

圖2 實例SFEP的SFN

從圖2中可知，引起行為作用于邊緣事件效率最高，直接導(dǎo)致邊緣事件發(fā)生，進而通過SFEP造成最終事件T的發(fā)生。預(yù)防者由于對引起者的行為未知只能采取全面的預(yù)防方案，預(yù)防行為包括對邊緣事件發(fā)生和事件狀態(tài)傳遞的預(yù)防。因此在SFEP中由邊緣事件如何導(dǎo)致最終事件發(fā)生是首要研究問題。用SFN表示SFEP，根據(jù)SFN結(jié)構(gòu)化簡方法[13-16]，得到系統(tǒng)故障表達式為

由式(1)可知，導(dǎo)致T發(fā)生可通過2種方式，即和，其中e1～e4表示事件非變量，表示傳遞概率為變量。進一步的，對于引起者，由于只能通過外部因素引起邊緣事件發(fā)生，而對內(nèi)部演化過程無法控制，因此引起行為作用對象為包括e1～e4。在不引起歧義時，行為對象e1～e4和等效為行為。那么T發(fā)生的引起行為的集合為{e1,e2,e3}和{e1,e2,e4}。對應(yīng)的，預(yù)防者的預(yù)防行為有很多。預(yù)防T發(fā)生的預(yù)防行為方案也很多，包括的所有行為集合都可以，即。過程事件是過渡的，不參與其中，通過傳遞概率實現(xiàn)傳遞。同時需要說明的是，上述不代表行為，而是行為的作用對象，行為可使e1、e2、e3、e4發(fā)生或不發(fā)生，可使提高或降低。當然具體的多個行為都可導(dǎo)致e1發(fā)生，這在研究中將歸結(jié)為一個引起e1發(fā)生的行為，其他同理。

上述研究是引起者的引起行為和預(yù)防者的預(yù)防行為的確定方法，為接下來通過SFN-NADG模型確定對引起方案有效的預(yù)防方案，提供可能的各種引起行為和預(yù)防行為。

3 SFN-NADG模型

網(wǎng)絡(luò)攻防博弈模型（NADG）是文獻[18]在2020年提出的，對軍事信息網(wǎng)絡(luò)的攻防對抗過程進行建模的方法?？裳芯慷鄠€攻擊參與者和多個防御參與者針對系統(tǒng)安全性展開的博弈過程。具體的特點和論證見文獻[18]。這里引入基本模型、行為收益確定和預(yù)防策略選擇等策略，并根據(jù)研究問題進行了修改。進一步提出了SFN-NADG模型用于系統(tǒng)故障預(yù)防方案的選擇與確定。

3.1 基本模型

SFN-NADG包括5個基本要素：

1）參與者：試圖引起系統(tǒng)故障的引起者Y和試圖預(yù)防系統(tǒng)故障的預(yù)防者X；

2）參與者類型集合：引起者的類型集合YL=，n為類型總數(shù)；預(yù)防者的類型集合，m為類型總數(shù)；

3）參與者行為方案集合：A={A1,A2,···,Ak}，表示引起者的方案集合，k為方案總數(shù)；Ak={Ak(φ(e))}表示引起方案為Ak時的引起行為集合，φ(e)?EE，EE為邊緣事件集合；D={D1,D2,…,Dg}表示預(yù)防者的預(yù)防方案集合，g為方案總數(shù)；Dg={Dg(φ(e,tp))}表示預(yù)防方案為Dg時的預(yù)防行為集合，φ(e,tp)?EE∪TP，TP為傳遞集合。

4）參與者先經(jīng)驗概率：引起者猜測預(yù)防者各預(yù)防行為的實施概率，, 1≤；預(yù)防者猜測引起者各引起行為的實施概率，,。

6）故障指標：借助SFT中的系統(tǒng)可靠性運動規(guī)律描述方法，提出使用功能性、容錯性和阻礙性衡量系統(tǒng)及各事件完成預(yù)定功能的能力[23]。功能性S1表示事件對應(yīng)的對象能完成預(yù)定功能的能力；容錯性S2表示事件對應(yīng)對象在收到錯誤數(shù)據(jù)和指令情況下完成預(yù)定功能的能力；阻礙性S3表示事件對應(yīng)對象在受到異常影響后保護完成預(yù)定功能的能力，詳見文獻[23]的論述。那么在SFEP中，故障指標為S={S1,S2,S3}。這些指標對系統(tǒng)故障的影響值為M={M1,M2,M3}。

7）引起行為影響權(quán)重：參照故障指標，引起行為對功能性、容錯性和阻礙性的影響權(quán)重可表示為W={W1,W2,W3}。

8）設(shè)引起行為成功引起事件發(fā)生（對象故障）的概率為α；引起行為被發(fā)現(xiàn)的概率為β；預(yù)防成功概率為γ。

9）設(shè)引起者成功引起系統(tǒng)故障后得到引起收益；預(yù)防者無論成功還是失敗預(yù)防系統(tǒng)故障都將具有預(yù)防收益。具體的論證見文獻[18]，這里不做贅述。

3.2 行為收益確定

引起行為Ah∈Ak(φ(e))對系統(tǒng)故障指標的負面影響期望值為

式中：βh為序號h的引起行為發(fā)現(xiàn)概率；γq為序號q的引起行為被預(yù)防的概率；分別為引起行為Ah對故障的影響權(quán)重和系統(tǒng)故障的影響值。

實施引起行為Ah后的引起者收益為

式中Dq∈Dg(φ(e,tp))。

式中ζq為與的關(guān)系因子。

預(yù)測者實施預(yù)測行為Dq后的收益為

引起者與預(yù)防者采用Ak和Dg行為作用于系統(tǒng)時，引起收益和預(yù)防收益分別如式(2)和式(3)所示：

式中：l為引起行為總數(shù)，r為預(yù)防行為總數(shù)。

式中：1≤h≤l,1≤q≤r。

3.3 綜合預(yù)防方案選擇

式(4)的求解公式較為繁雜，請參考文獻[18]，這里不做贅述。在納什均衡條件下，預(yù)防方案Dg對引起方案的預(yù)防能力計算如式(5)所示，構(gòu)成綜合預(yù)防方案的排序標準。

SFN-NADG是基于NADG的方法，SFN主要處理系統(tǒng)故障特征的基礎(chǔ)數(shù)據(jù)，在此之上使用NADG確定系統(tǒng)故障預(yù)防方案。具體的系統(tǒng)故障預(yù)防方案確定步驟、算法復(fù)雜度分析和與現(xiàn)有方法的比較工作在文獻[18]中已詳細給出，這里不做贅述。

4 實例分析

如圖2所示SFEP的SFN，根據(jù)第2節(jié)所述，引起者試圖使系統(tǒng)發(fā)生故障。那么按照SFEP的特征，引起方案可有2種：1)同時采取引起行為分別作用于e1、e2、e3，并使它們發(fā)生；2)同時采取引起行為分別作用于e1、e2、e4，并使它們發(fā)生；方可導(dǎo)致系統(tǒng)故障A={{e1,e2,e3},{e1,e2,e4}}。由于該例中涉及的引起方案只有2個，因此不劃分引起類型。當然引起方案數(shù)量與SFN結(jié)構(gòu)有密切關(guān)系。

預(yù)防者的預(yù)防行為構(gòu)成的預(yù)防方案很多，但與引起類型對應(yīng)，也不劃分預(yù)防類型。預(yù)防方案由預(yù)防事件發(fā)生的行為和預(yù)防傳遞發(fā)生的行為組成。預(yù)防的傳遞是最簡單的預(yù)防行為，可直接阻止系統(tǒng)故障發(fā)生；其余方案理論上至少要具有2個行為：1) 阻止的SFEP發(fā)生；2) 阻止的SFEP發(fā)生。因此該方案為,。進一步的，都存在于2個演化過程中，因此一個行為的預(yù)防方案為,，2個行為的預(yù)防方案為，3個行為的預(yù)防方案為，4個 行為的預(yù)防方案為，共15個預(yù)防方案。

由此形成2種引起系統(tǒng)故障方案與15種預(yù)防系統(tǒng)故障方案組成的30種綜合預(yù)防方案。通過SFN-NADG模型，并結(jié)合該系統(tǒng)已有數(shù)據(jù)經(jīng)驗，得到各綜合預(yù)防方案的預(yù)防能力排序，對于,對 于。需要說明的是上述以事件和傳遞代替了它們的行為符號，以使表達清晰。

由上述分析可總結(jié)出幾個綜合預(yù)防方案的排序規(guī)律。1）預(yù)防事件發(fā)生的行為較預(yù)防傳遞發(fā)生的行為的預(yù)防能力更高，例如R({e2},{e1,e2,e4})＞；2）預(yù)防發(fā)生的行為越少綜合預(yù)防方案的預(yù)防能力越高，例如R({e1},{e1,e2,e4})＞＞R({e3,e4},{e1,e2,e4})；3）對應(yīng)引起事件發(fā)生行為的傳遞預(yù)防行為存在時綜合預(yù)防方案的預(yù)防能力提高，例如。當然上述結(jié)果也與SFN結(jié)構(gòu)、參與者先經(jīng)驗數(shù)據(jù)和概率等有關(guān)。對SFN-NADG性質(zhì)的研究有待展開。SFN-NADG模型的優(yōu)勢在于能研究系統(tǒng)故障演化過程中，基于內(nèi)因和外因的作用對故障引起者和預(yù)防者之間的博弈關(guān)系進行研究。也表明了系統(tǒng)故障演化過程的發(fā)展走向受到該博弈關(guān)系的影響。

5 結(jié)論

論文將SFN與NADG模型耦合建立了系統(tǒng)故障預(yù)防方案確定方法，即SFN-NADG模型。

1）論述了系統(tǒng)故障的形成機理。引起者和預(yù)防者在考慮各自行為及成本后通過外在因素對系統(tǒng)內(nèi)在因素干擾和調(diào)整，并引起或預(yù)防系統(tǒng)故障發(fā)生的過程，是圍繞系統(tǒng)故障變化展開的博弈過程。

2）分析了引起和預(yù)防系統(tǒng)故障的行為。利用SFN表示和化簡SFEP，將可能導(dǎo)致系統(tǒng)故障的過程表示為事件和傳遞的集合。引起這些事件發(fā)生則系統(tǒng)向著故障發(fā)展；預(yù)防事件和傳遞發(fā)生則系統(tǒng)向著安全發(fā)展。

3）建立了SFN-NADG模型。以SFN為可能的引起和預(yù)防行為來源，以NADG方法過程為基礎(chǔ)，通過修改得到了SFN-NADG模型。包括基本模型、行為收益確定、綜合預(yù)防方案選擇。

4）通過實例驗證了方法的可用性。得到了實例SFEP中2個引起方案和15個預(yù)防方案，組合形成了30個綜合預(yù)防方案。通過SFN-NADG對綜合預(yù)防檔案進行了排序，并得到了一些定性排序規(guī)律。

雖然方法存在著不足且計算所得具體數(shù)值只有排序意義，但可就多引起方案與多預(yù)防方案的組合綜合預(yù)防方案進行預(yù)防能力排序，進而擇優(yōu)選擇綜合預(yù)防方案。