崔鐵軍，李莎莎

1. 遼寧工程技術大學 安全科學與工程學院，遼寧 阜新 123000

2. 遼寧工程技術大學 工商管理學院，遼寧 葫蘆島 125105

系統(tǒng)是為了在規(guī)定時間內(nèi)、規(guī)定條件下完成預定功能而建立的具有特定組織結(jié)構(gòu)的整體。對應的完成功能的能力稱為可靠性，而不能完成功能或功能下降稱為故障。因此圍繞系統(tǒng)功能目標，系統(tǒng)功能狀態(tài)總是在可靠狀態(tài)和故障狀態(tài)間變化。系統(tǒng)的建立者總是希望系統(tǒng)能保持在可靠狀態(tài)不發(fā)生故障，但建立者的對立面則希望系統(tǒng)變?yōu)楣收蠣顟B(tài)，從而破壞系統(tǒng)使己方受益。因此可考慮將系統(tǒng)、系統(tǒng)建立者和對立者組成更大的系統(tǒng)，研究兩者對系統(tǒng)不同行為作用后系統(tǒng)功能狀態(tài)的變化。大體上，建立者采取預防措施來抵御系統(tǒng)可能受到的異常行為作用；對立者則通過已知的對系統(tǒng)的了解從系統(tǒng)外部因素調(diào)整作用到系統(tǒng)內(nèi)部，使系統(tǒng)變?yōu)楣收蠣顟B(tài)。當然充當對立者角色的有自然因素和人為因素，自然因素是系統(tǒng)本身的功能特性；而人為因素則多帶有目的性，對建立者利益造成損失，論文對后者展開研究。進一步的，建立者行為使系統(tǒng)保持可靠狀態(tài)，對立者行為使系統(tǒng)變?yōu)楣收蠣顟B(tài)，這顯然是建立者和對立者圍繞系統(tǒng)功能狀態(tài)的博弈過程。

近年來，關于系統(tǒng)安全故障方面博弈的研究逐漸開始受到人們的重視。這些研究包括主從博弈理論的能源互聯(lián)配電網(wǎng)故障恢復方法[1]、博弈論綜合法的城市供電系統(tǒng)安全評價[2]、合作博弈的電網(wǎng)支路脆弱性評估[3]、電力信息物理系統(tǒng)防護及攻防博弈[4]、考慮可靠性的物流服務供應鏈的契約[5]，廢舊機電產(chǎn)品主動再制造時域決策[6]、共因故障的系統(tǒng)組成單元故障嚴重性測度[7]、地鐵列車走行部隱患評估[8]、完全信息序貫博弈模型的大型變壓器柔性保護[9]，合作博弈法及云模型的CRH3電氣系統(tǒng)健康評估[10]、微分博弈理論的多端直流輸電協(xié)調(diào)[11]、多代理系統(tǒng)下的主動配電網(wǎng)故障恢復博弈[12]等。這些研究在各自領域發(fā)揮了積極作用，并形成了一些具有獨特作用的模型。進一步細化，無論系統(tǒng)建立者或是使用者行為都以預防系統(tǒng)故障為目的，可統(tǒng)稱為預防者；對立者或破壞者行為都是以引起系統(tǒng)故障為目的，可統(tǒng)稱為引起者。那么上述研究需要面對的問題包括：引起者和預防者的行為確定；引起者和預防者的博弈方式；故障指標確定及行為對故障的影響權(quán)重等。

綜上，作者提出了空間故障網(wǎng)絡-網(wǎng)絡攻防博弈（space fault network-network attack and defense game, SFN-NADG）模型解決系統(tǒng)故障預防方案確定問題。SFN[13-16]是作者在2018年正式提出的系統(tǒng)故障演化過程分析理論，提供可能的引起行為和預防行為及系統(tǒng)故障指標。NADG最早是由姜偉[17]在 2009 年提出的，用于研究網(wǎng)絡安全測評和最優(yōu)主動防御策略。NADG[18]可用于構(gòu)建引起者和預防者的博弈過程，并根據(jù)需要進行了適當修改。本文研究包括系統(tǒng)故障的形成機理、引起和預防系統(tǒng)故障的行為、SFN-NADG模型建立及實例分析。最終得到了預防方案選擇的一般規(guī)律。

1 系統(tǒng)故障的形成機理

引起系統(tǒng)故障的主體（引起者）與預防系統(tǒng)故障的主體（預防者）在考慮各自行為及成本后通過外部因素對系統(tǒng)內(nèi)部因素采取干擾和調(diào)整行為，這些行為符合系統(tǒng)故障演化過程（system fault evolution process, SFEP），并引起或預防系統(tǒng)故障發(fā)生的過程，是引起者和預防者圍繞系統(tǒng)故障變化展開的博弈過程。因此引起者、預防者和系統(tǒng)組成了一個更大的系統(tǒng)，如圖1所示。

圖1 博弈系統(tǒng)示意

以系統(tǒng)故障變化為目標的博弈系統(tǒng)由系統(tǒng)和參與者組成，參與者包括引起者和預防者。引起者根據(jù)對系統(tǒng)的了解，通過對應行為調(diào)整外因。外因與系統(tǒng)內(nèi)因作用，使系統(tǒng)按照SFEP的特征向著發(fā)生故障的方向發(fā)展，相對的預防者根據(jù)對系統(tǒng)的了解，通過對應行為調(diào)整外因，使系統(tǒng)按照SFEP的特征向著不發(fā)生故障的方向發(fā)展。因此引起者引起系統(tǒng)故障，對系統(tǒng)實施引起故障的引起行為；預防者預防系統(tǒng)故障，對系統(tǒng)實施預防故障發(fā)生的預防行為。引起者對系統(tǒng)的行為成功引起系統(tǒng)故障后獲得引起收益，同時這些行為也需要引起者投入引起成本。預防者對系統(tǒng)的行為成功預防系統(tǒng)故障后獲得預防收益，同時這些行為也需要預防者投入預防成本。根據(jù)空間故障樹理論（space fault tree, SFT）[19-22]給出的思想，系統(tǒng)具有各方面的特征和目的，例如系統(tǒng)可靠和故障。對于系統(tǒng)故障變化，系統(tǒng)受到很多因素影響，這些因素與系統(tǒng)不同部分的作用效果不同。系統(tǒng)對因素變化的響應構(gòu)成了因素與系統(tǒng)故障的對應關系結(jié)構(gòu)，因此系統(tǒng)內(nèi)部包括目標、內(nèi)因和結(jié)構(gòu)。系統(tǒng)建成后結(jié)構(gòu)固定，在目標確定時引起系統(tǒng)故障的直接原因即為內(nèi)因。內(nèi)因與系統(tǒng)之外的外因直接相關，外因是系統(tǒng)工作的環(huán)境且能導致內(nèi)因改變的因素，如溫度影響系統(tǒng)中元件電阻。參與者雙方通過調(diào)整外因?qū)?nèi)因作用，使系統(tǒng)故障狀態(tài)發(fā)生改變。系統(tǒng)故障發(fā)生不是一蹴而就的，而是系統(tǒng)中眾多事件的相互作用，稱為SFEP。SFEP由事件和傳遞構(gòu)成，它們代表了SFEP的所有特征。參與者雙方采取不同行為，根據(jù)SFEP的特征對系統(tǒng)故障狀態(tài)進行調(diào)控，從而引起或預防系統(tǒng)故障。最終引起者和預防者組成了以系統(tǒng)故障變化為目標的博弈系統(tǒng)。

2 引起和預防系統(tǒng)故障的行為

為清楚地說明問題，首先給出應用實例SFEP的SFN。

圖2組成包括事件和傳遞。其中事件包括邊緣事件、過程事件和最終事件。邊緣事件代表引起系統(tǒng)故障過程的最基本事件，設為e1～e4；過程事件是SFEP中的中間和過度事件，設為E1、E2；最終事件是SFEP最后的系統(tǒng)故障事件，也是SFEP的最終結(jié)果，設為T。過程事件和最終事件下角標的“·”、“+”代表原因事件分別以與、或關系導致結(jié)果事件發(fā)生。“·”為原因事件都發(fā)生則結(jié)果事件發(fā)生；“+”為原因事件至少一個發(fā)生則結(jié)果事件發(fā)生。圖2中有向線段表示傳遞，由原因事件向結(jié)果事件傳遞，傳遞的概率稱為傳遞概率，如，表示原因事件導致結(jié)果事件的概率。

圖2 實例SFEP的SFN

從圖2中可知，引起行為作用于邊緣事件效率最高，直接導致邊緣事件發(fā)生，進而通過SFEP造成最終事件T的發(fā)生。預防者由于對引起者的行為未知只能采取全面的預防方案，預防行為包括對邊緣事件發(fā)生和事件狀態(tài)傳遞的預防。因此在SFEP中由邊緣事件如何導致最終事件發(fā)生是首要研究問題。用SFN表示SFEP，根據(jù)SFN結(jié)構(gòu)化簡方法[13-16]，得到系統(tǒng)故障表達式為

由式(1)可知，導致T發(fā)生可通過2種方式，即和，其中e1～e4表示事件非變量，表示傳遞概率為變量。進一步的，對于引起者，由于只能通過外部因素引起邊緣事件發(fā)生，而對內(nèi)部演化過程無法控制，因此引起行為作用對象為包括e1～e4。在不引起歧義時，行為對象e1～e4和等效為行為。那么T發(fā)生的引起行為的集合為{e1,e2,e3}和{e1,e2,e4}。對應的，預防者的預防行為有很多。預防T發(fā)生的預防行為方案也很多，包括的所有行為集合都可以，即。過程事件是過渡的，不參與其中，通過傳遞概率實現(xiàn)傳遞。同時需要說明的是，上述不代表行為，而是行為的作用對象，行為可使e1、e2、e3、e4發(fā)生或不發(fā)生，可使提高或降低。當然具體的多個行為都可導致e1發(fā)生，這在研究中將歸結(jié)為一個引起e1發(fā)生的行為，其他同理。

上述研究是引起者的引起行為和預防者的預防行為的確定方法，為接下來通過SFN-NADG模型確定對引起方案有效的預防方案，提供可能的各種引起行為和預防行為。

3 SFN-NADG模型

網(wǎng)絡攻防博弈模型（NADG）是文獻[18]在2020年提出的，對軍事信息網(wǎng)絡的攻防對抗過程進行建模的方法。可研究多個攻擊參與者和多個防御參與者針對系統(tǒng)安全性展開的博弈過程。具體的特點和論證見文獻[18]。這里引入基本模型、行為收益確定和預防策略選擇等策略，并根據(jù)研究問題進行了修改。進一步提出了SFN-NADG模型用于系統(tǒng)故障預防方案的選擇與確定。

3.1 基本模型

SFN-NADG包括5個基本要素：

1）參與者：試圖引起系統(tǒng)故障的引起者Y和試圖預防系統(tǒng)故障的預防者X；

2）參與者類型集合：引起者的類型集合YL=，n為類型總數(shù)；預防者的類型集合，m為類型總數(shù)；

3）參與者行為方案集合：A={A1,A2,···,Ak}，表示引起者的方案集合，k為方案總數(shù)；Ak={Ak(φ(e))}表示引起方案為Ak時的引起行為集合，φ(e)?EE，EE為邊緣事件集合；D={D1,D2,…,Dg}表示預防者的預防方案集合，g為方案總數(shù)；Dg={Dg(φ(e,tp))}表示預防方案為Dg時的預防行為集合，φ(e,tp)?EE∪TP，TP為傳遞集合。

4）參與者先經(jīng)驗概率：引起者猜測預防者各預防行為的實施概率，, 1≤；預防者猜測引起者各引起行為的實施概率，,。

6）故障指標：借助SFT中的系統(tǒng)可靠性運動規(guī)律描述方法，提出使用功能性、容錯性和阻礙性衡量系統(tǒng)及各事件完成預定功能的能力[23]。功能性S1表示事件對應的對象能完成預定功能的能力；容錯性S2表示事件對應對象在收到錯誤數(shù)據(jù)和指令情況下完成預定功能的能力；阻礙性S3表示事件對應對象在受到異常影響后保護完成預定功能的能力，詳見文獻[23]的論述。那么在SFEP中，故障指標為S={S1,S2,S3}。這些指標對系統(tǒng)故障的影響值為M={M1,M2,M3}。

7）引起行為影響權(quán)重：參照故障指標，引起行為對功能性、容錯性和阻礙性的影響權(quán)重可表示為W={W1,W2,W3}。

8）設引起行為成功引起事件發(fā)生（對象故障）的概率為α；引起行為被發(fā)現(xiàn)的概率為β；預防成功概率為γ。

9）設引起者成功引起系統(tǒng)故障后得到引起收益；預防者無論成功還是失敗預防系統(tǒng)故障都將具有預防收益。具體的論證見文獻[18]，這里不做贅述。

3.2 行為收益確定

引起行為Ah∈Ak(φ(e))對系統(tǒng)故障指標的負面影響期望值為

式中：βh為序號h的引起行為發(fā)現(xiàn)概率；γq為序號q的引起行為被預防的概率；分別為引起行為Ah對故障的影響權(quán)重和系統(tǒng)故障的影響值。

實施引起行為Ah后的引起者收益為

式中Dq∈Dg(φ(e,tp))。

式中ζq為與的關系因子。

預測者實施預測行為Dq后的收益為

引起者與預防者采用Ak和Dg行為作用于系統(tǒng)時，引起收益和預防收益分別如式(2)和式(3)所示：

式中：l為引起行為總數(shù)，r為預防行為總數(shù)。

式中：1≤h≤l,1≤q≤r。

3.3 綜合預防方案選擇

式(4)的求解公式較為繁雜，請參考文獻[18]，這里不做贅述。在納什均衡條件下，預防方案Dg對引起方案的預防能力計算如式(5)所示，構(gòu)成綜合預防方案的排序標準。

SFN-NADG是基于NADG的方法，SFN主要處理系統(tǒng)故障特征的基礎數(shù)據(jù)，在此之上使用NADG確定系統(tǒng)故障預防方案。具體的系統(tǒng)故障預防方案確定步驟、算法復雜度分析和與現(xiàn)有方法的比較工作在文獻[18]中已詳細給出，這里不做贅述。

4 實例分析

如圖2所示SFEP的SFN，根據(jù)第2節(jié)所述，引起者試圖使系統(tǒng)發(fā)生故障。那么按照SFEP的特征，引起方案可有2種：1)同時采取引起行為分別作用于e1、e2、e3，并使它們發(fā)生；2)同時采取引起行為分別作用于e1、e2、e4，并使它們發(fā)生；方可導致系統(tǒng)故障A={{e1,e2,e3},{e1,e2,e4}}。由于該例中涉及的引起方案只有2個，因此不劃分引起類型。當然引起方案數(shù)量與SFN結(jié)構(gòu)有密切關系。

預防者的預防行為構(gòu)成的預防方案很多，但與引起類型對應，也不劃分預防類型。預防方案由預防事件發(fā)生的行為和預防傳遞發(fā)生的行為組成。預防的傳遞是最簡單的預防行為，可直接阻止系統(tǒng)故障發(fā)生；其余方案理論上至少要具有2個行為：1) 阻止的SFEP發(fā)生；2) 阻止的SFEP發(fā)生。因此該方案為,。進一步的，都存在于2個演化過程中，因此一個行為的預防方案為,，2個行為的預防方案為，3個行為的預防方案為，4個 行為的預防方案為，共15個預防方案。

由此形成2種引起系統(tǒng)故障方案與15種預防系統(tǒng)故障方案組成的30種綜合預防方案。通過SFN-NADG模型，并結(jié)合該系統(tǒng)已有數(shù)據(jù)經(jīng)驗，得到各綜合預防方案的預防能力排序，對于,對 于。需要說明的是上述以事件和傳遞代替了它們的行為符號，以使表達清晰。

由上述分析可總結(jié)出幾個綜合預防方案的排序規(guī)律。1）預防事件發(fā)生的行為較預防傳遞發(fā)生的行為的預防能力更高，例如R({e2},{e1,e2,e4})＞；2）預防發(fā)生的行為越少綜合預防方案的預防能力越高，例如R({e1},{e1,e2,e4})＞＞R({e3,e4},{e1,e2,e4})；3）對應引起事件發(fā)生行為的傳遞預防行為存在時綜合預防方案的預防能力提高，例如。當然上述結(jié)果也與SFN結(jié)構(gòu)、參與者先經(jīng)驗數(shù)據(jù)和概率等有關。對SFN-NADG性質(zhì)的研究有待展開。SFN-NADG模型的優(yōu)勢在于能研究系統(tǒng)故障演化過程中，基于內(nèi)因和外因的作用對故障引起者和預防者之間的博弈關系進行研究。也表明了系統(tǒng)故障演化過程的發(fā)展走向受到該博弈關系的影響。

5 結(jié)論

論文將SFN與NADG模型耦合建立了系統(tǒng)故障預防方案確定方法，即SFN-NADG模型。

1）論述了系統(tǒng)故障的形成機理。引起者和預防者在考慮各自行為及成本后通過外在因素對系統(tǒng)內(nèi)在因素干擾和調(diào)整，并引起或預防系統(tǒng)故障發(fā)生的過程，是圍繞系統(tǒng)故障變化展開的博弈過程。

2）分析了引起和預防系統(tǒng)故障的行為。利用SFN表示和化簡SFEP，將可能導致系統(tǒng)故障的過程表示為事件和傳遞的集合。引起這些事件發(fā)生則系統(tǒng)向著故障發(fā)展；預防事件和傳遞發(fā)生則系統(tǒng)向著安全發(fā)展。

3）建立了SFN-NADG模型。以SFN為可能的引起和預防行為來源，以NADG方法過程為基礎，通過修改得到了SFN-NADG模型。包括基本模型、行為收益確定、綜合預防方案選擇。

4）通過實例驗證了方法的可用性。得到了實例SFEP中2個引起方案和15個預防方案，組合形成了30個綜合預防方案。通過SFN-NADG對綜合預防檔案進行了排序，并得到了一些定性排序規(guī)律。

雖然方法存在著不足且計算所得具體數(shù)值只有排序意義，但可就多引起方案與多預防方案的組合綜合預防方案進行預防能力排序，進而擇優(yōu)選擇綜合預防方案。