陈宽 李元元 罗云峰 王明哲

近年来,体系(System of System,SoS)作为一类由众多地域分散的组件系统(Component System)集结而成的大型工程系统[1],越来越受到人们的关注.组件系统的“互动、松耦合”特性[2−3],成为人们研究这样一类大型集成系统“韧性(Resilience)”的主动力[4],已经发表了不少相关论文.

文献[5]讨论了韧性的4个基本属性:容量,容忍程度,可伸缩性和组件系统的协调程度.文献[6]指出了韧性应该具有的3个特点:降低受损的可能性,减少受损带来的影响和缩短恢复所需的时间.文献[7]在文献[5]的基础上提出了一种定量评估指控系统韧性的方法.文献[8]将时间的概念引入体系的韧性评估指标中并从多个维度来评估SoS韧性.文献[9]提出系统操作依赖分析方法对不同体系结构方案的韧性比较.国内研究体系韧性的文章较少,有学者提出了韧性指挥信息系统的概念[10],也有部分学者从复杂网络的角度来考虑韧性[11].在体系韧性的定义与评估指标方面,可以把不同的定义归纳为体系的容忍能力和生存恢复能力[7],即鲁棒性和可恢复性.因此,文献[7−11]中提出的评价指标都存在某些缺陷.体系韧性关注的重点之一是某系统遭遇破坏后的体系恢复能力[12].而体系的可恢复程度的限制规则是体系结构测评和韧性度量应该明确的前提条件.本文提出可恢复程度的概念,采用功能依赖网络分析(Functional Dependency Network Analysis,FDNA)体系效能定量化计算,展示一种新的体系韧性分析方法.

1 FDNA方法及韧性概念介绍

在2009年麻省理工大学(MIT)举办的第二届系统工程国际讨论会上,Garvey和Pinto提出了一种能较好展现体系(SoS)“互动、松耦合”特性的体系效能评估方法-功能依赖网络分析(FDNA)[13].该方法是基于VNM效用理论和最弱环规则(Weakest link rule,WLR)的,它不仅可以对正常运作时的体系效能进行评估,也可以分析当体系中的一个或多个组件系统发生功能性受损后的体系效能.如图1所示为一个单层FDNA功能依赖网络模型,定义了接受节点与供给节点间两类依赖关系:依赖强度 (Strength of dependency,SOD)和依赖关键度(Criticality of dependency,COD),分别由两个参数α和β表示,0≤α≤1,0≤β≤100 utils.

图1 单层功能依赖网络模型

FDNA由式(1)∼式(5)计算接受节点Nj的可操作水平(效能):

韧性是一个系统或组织受到损伤并在恢复过程中对系统稳定性产生最小影响的能力.在SoS系统中,一般通过功能冗余特性来增加系统对外界破坏的韧性[14−16].

2 体系韧性分析

基于FDNA,给出最低有效可操作水平和最大可恢复程度的定义如下:

定义1.FDNA节点的最低有效可操作水平(Minimum effective Operability Level,MEOL)是一个与节点最低性能水平相联系的效能值,表示评估者对该节点效能的最低可接受程度[17].

在体系效能空间中通常可将最低可接受水平(MEOL)置为0 util.

定义2.体系的最大可恢复程度(Maximum Recoverable Degree,MRD)是组件系统受到损伤后体系效能下降,通过补偿冗余(Stand-in)恢复体系效能的最大可能值.

2.1 基于FDNA的MRD估算

由h个叶节点组成的多层FDNA网络模型,如图2所示,节点Nγ表示人们关注的某一体系能力.

假设叶节点N2的功能失效(P2=0 util),基于FDNA的最弱环规则(WLR),体系韧性的最大可恢复程度(MRD)为叶节点N2到节点Nγ所有功能依赖路径中β值累加和的最小值,即:

图2 多层功能依赖网络模型

式(6)中,2→γ表示由节点N2到节点Nγ的所有可能依赖路径；β2···rγ表示 2→ ···→r→ γ 这条路径上各依赖关键度β值的累加和.依据图2,MRD推论证明如下:

分别用P0,P1,···,Ph表示叶节点效能

1)FDNA网络层数n=1时,叶节点N2的功能失效后P2=0,体系能力节点的效能值:

命题成立

2)假设FDNA网络层数n=k时,叶节点N2的功能失效后满足以下不等式:

Pγ ≤MRDk=Min(β2···aγ,β2···bγ,···,β2···dγ)

那么当n=k+1时,应用式(1)∼式(5)成立以下不等式关系.

上式中的Pr,Ps,Pt就是n=k时的Pγ,因此,满足以下关系,

同理Ps≤ β2···s,Pt≤ β2···t代入原不等式得到,

因此,式(6)成立.

优先估算MRD的存在,以区分出图3和图4体系韧性的不同.虽然两张图中体系效能的走势一致,但是应该尽力在体系结构设计时避免图3所示的情形.

图中,Pn是体系正常时的效能,td是节点2功能失效的时刻,tmin是体系效能下降到最低点时刻,trec是体系效能恢复完成时刻.

图3 MRD小于Pn时体系韧性

图4 MRD大于Pn时体系韧性

2.2 基于FDNA的体系韧性度量

选择最简单的体系鲁棒性和可恢复性(如图3、图4)指标评估体系韧性.

1)用Robi表示系统i受损时体系的鲁棒性度量:

上式表示体系某系统受损后效能下降的程度,Robi的取值范围在0和1之间.Robi值越接近1,则体系鲁棒性越强.

2)用Reci表示体系的可恢复性度量:

Reci的取值也在0和1之间,Reci值越接近1,则体系可恢复力越强.

在体系韧性评估中,可根据需求设置Robi和Reci的权重,以体现决策者的偏好.

3 实例分析

以宙斯盾舰为主体的“跨地平线”导弹防御体系主要由指挥与控制、作战管理和通信(Command and Control,Battle Management and Communication,C2BMC)、预警卫星、P波段雷达、X波段雷达和宙斯盾舰等组件系统构成[18−20].

该防御体系的物理组件为FDNA网络实体节点,并用SM-3节点表示所关注的体系拦截能力.假设实例中的来袭弹可以同时被多部P雷达和SPY-1雷达监测到.简单地由两种想定分析P组网雷达或SPY-1雷达受到干扰功能失效后的体系韧性.

步骤1:建立FDNA功能依赖网络模型

建立以指挥控制(C2BMC)为中心的FDNA网络模型,如图5所示.

图5 宙斯盾防御作战体系FDNA网络模型

步骤2:构建性能与效能的映射关系

FDNA中每个节点的性能水平都使用可操作水平(效能)来表示.一般通过效用函数得到性能和效能的映射关系.

比如,评估者关注雷达探测目标的连续跟踪时长,那么在连续跟踪时长和该节点效能之间建立映射关系:效能0 util表示评估者对雷达性能的最小可接受水平(MEOL),效能100 utils表示评估者对雷达性能的最大满意水平,如图6所示.

图6 雷达性能与效能之间的映射关系

其他节点效能值的获取与以上过程相同,选取评估者关注的性能与该节点的效能建立映射关系.

步骤3:得到FDNA网络依赖参数

获取参数可以通过专家评估,历史数据推断或仿真的方法得到.本文使用可执行模型仿真后得到依赖参数如表1.

步骤4:计算体系最大可恢复程度

根据式(6)求出两种想定下的MRD:

P组网雷达失效时,最大可恢复程度取N1→N4→N8,N1→N4→N6→N7→N8,N1→N5→N6→N7→N8这3条路径上β累加和最小的值为85.30 utils.此时体系最大可恢复程度受到了N1→N4→N8这条路径的限制,即P雷达→FBX雷达→SM3.此时P组网雷达损坏导致FBX雷达的最大可恢复程度下降到了一个较低的水平,因为FBX雷达不仅需要向C2传送目标弹道及参数,也要引导SM-3不断调整弹道,所以整个体系的最大可恢复程度都会随之下降.

表1 FDNA网络依赖参数

在第2种想定下SPY-1雷达失效,由于N2到N8只有一条路径而且该路径上β累加值为132 utils,远大于100 utils,所以此时体系不存在最大可恢复程度的限制.对应到实际系统中的结构,说明SPY-1雷达→C2→MK-1→SM-3这条路径并不是一条关键路径,因为这条路径的依赖关系可以通过其他路径来补偿.

步骤5:体系韧性分析

体系正常运作时P雷达,SPY-1雷达和卫星的效能值分别为58.51,61.34和60.53 utils,然后将步骤3给出的参数α和β代入式(1)∼式(5)求得节点N4······N8的效能值分别为:73.45,83.82,82.73,88.43,88.00 utils.

想定1:P组网雷达受到攻击逐渐失效.此时通过卫星引导SPY-1雷达缩小搜索范围增大搜索扫描频率,增大连续跟踪时长为体系提供恢复力(补偿冗余).同理,想定2:SPY-1雷达受到攻击逐渐失效,通过卫星引导P雷达缩小搜索范围增大搜索扫描频率,增大P组网雷达效能提供恢复力.根据仿真结果可以得到两种想定下体系拦截能力随时间的变化.上述步骤中由于体系受损和恢复都是随时间变化的动态过程,抽取部分时刻各节点的效能,如表2所示.

由表1得到P(td)=88.00 utils,P(tmin1)=74.78 utils,P(trec1)=75.80 utils；P(tmin2)=82.01 utils；P(trec2)=87.65 utils.将表1中的所有数据代入式(7)和式(8),分别计算出两种想定下体系的鲁棒性和可恢复性大小.为了方便比较,将数据结果放入表3.

表2 两种想定下各节点的效能值(utils)

表3 不同想定下韧性属性评估指标比较

由表3可以发现:想定1下体系鲁棒性和可恢复性的两个指标都明显差于想定2下的指标.即P雷达受损时的体系韧性小于SPY-1雷达受损时的体系韧性.在构建“宙斯盾”防御体系的过程中,应该着重考虑P组网雷达的保护措施.一旦体系对拦截的精度要求提高,P组网雷达受损会导致拦截任务的失败,而且此时体系的最大可恢复程度有限,无法完全补偿体系受损后所缺失的效能.

综合以上分析,本文建议应注重P组网雷达的备份冗余即部署多部P雷达,或者在SPY-1雷达和SBX雷达、FBX雷达之间实现通信,建立依赖关系避免体系存在最大可恢复程度的限制.

4 结论

本文将FDNA应用于体系韧性评估分析,依据FDNA依赖关键度提出体系最大可恢复程度MRD,并以最低有效可操作水平和最大可恢复程度作为体系韧性评估的一种分析依据.最后以C2BMC为中心的宙斯盾防御作战体系为例展示了FDNA在体系韧性评估分析中的应用,进一步验证了MRD和体系韧性分析在构建大型组件系统中的意义.

本文对以C2BMC为中心的宙斯盾防御作战体系的韧性讨论是简单和初步的,需要进一步完善.MRD的运用,探讨受损节点需从叶节点扩展到中间节点寻找最大可恢复程度的规则,并研究FDNA更深层次的应用问题.