区嘉颖 刘富春

摘要：离散事件系统不透明性是指外部观察者无法分辨系统的一系列行为是否为系统所发生的。而离散事件不透明性监督控制则是构建监督器控制系统行为，使系统满足不透明性的一种方法。离散事件系统不透明性与信息安全有着紧密的联系，并得到了广泛的应用。首先对离散事件系统做了简要的概述，然后介绍了不透明性监督控制算法的研究现状，最后进行了总结和展望。

关键词：离散事件系统;不透明性;监督控制

中图分类号：TP301.1 文献标识码：A

文章编号：1009-3044（2020）12-0232-03

1背景

近年来，随着互联网高速发展，个人隐私和数据安全受到严峻的挑战，信息安全成为一个热门领域。信息安全要求信息流，也即在用户之间的数据传输能够保证安全和隐私。而安全和隐私在离散事件系统领域中被定义为匿名性和秘密性，也即不透明性中两个特殊的属性来研究。不透明性在离散事件系统中还包含其余三个重要属性——可观性、可诊断性和可侦测性。对这五个特性的确认均可以简化为对不透明性的确认。因此，离散事件系统与信息安全结合有非常重要的现实意义。多年来，许多研究者在离散事件系统不透明性领域做出了重要的研究成果，在通信协议和计算机系统领域中已有广泛应用。

2离散事件系统

离散事件系统是指由一系列离散的状态组成，并由事件驱动的人造系统。对离散事件系统领域的研究始于20世纪50年代中期，具体有三条不连贯但互补的主线——逻辑控制（Logic Controller）、离散事件仿真（Discrete Event Simulation）和实施估计与控制（Performance Evaluation and Control），共同特点是都围绕着人造系统的建模、分析和综合展开。经过多年的发展，离散事件系统理论日趋完善，成为一个跨学科宽广的领域。作为一个正式的系统理论，离散事件系统基于数学和逻辑，综合了自动控制（Automatic Control）、运筹学（Operations Research）等多个学科的知识。目前，离散事件系统领域关键问题集中在建模、逻辑与行为分析、设计优化、强制逻辑要求（如互斥和死锁解除等）、计划和运筹（如生产时间周期的最小化）以及故障诊断和定位，在工业制造、工作流管理、软硬件设计、交通和通信中有广泛的应用。同时，离散事件系统也被应用到其他领域中，如动力系统、流行病学和生物化学。

3不透明性

不透明性是一种重要的信息安全性质，它描述了系统秘密行为不被外界入侵者所获知的特性。假设入侵者完全了解系统结构，但只观察到系统的部分行为，并根据观察结果构建系统轨迹的估计。当入侵者的估计没有揭示系统的秘密，无法分辨一系列行为是否为系统真正发生的，则这个系统是不透明的。也就是说，对于任何秘密行为，系统中至少存在一个与入侵者看起来相同的秘密行为。

不透明性的定义在许多文献中有介绍。2004年，Mazare在研究信息流的安全和隐私、分析秘密协议的文献[2]中首次介绍了不透明性。后来，计算机安全领域不透明性的概念扩展到离散事件系统框架下，Mazare介绍了使用Petri Net建模的不透明性，而Bryans J则探讨了在动态离散事件系统中确保“并发秘密”的概念。这些工作激发了离散事件系统领域对不透明性的研究。随后，基于状态的不透明性和基于语言的不透明性先后被提出。

3.1基于状态的不透明性

根据秘密集的性质，基于状态的不透明性可分为当前状态不透明性、初始状态不透明性、最初和最终状态的不透明性、K步不透明性以及无穷步不透明性。

Saboori A提出了使用状态估计的方法定义的不透明性，当前状态不透明性是指入侵者或外部观察者不能确定当前系统所处的状态是否为秘密状态。在文献[6]中，Saboori A介绍初始状态不透明性，也即如果观察者不能确定系统的初始状态是否是秘密状态，则系统是初始状态不透明的。与此同时，Wu介绍初始和最终状态不透明性，它是当前不透明性与初始不透明性的扩展，它们之间的唯一区别是初始和最终状态不透明性的秘密状态是成对定义的。另外，初始不透明性与当前不透明性是初始和最终不透明性的特殊例子。

除初始状态不透明以外，先前定义的不透明性不会考虑系统在退出秘密状态后的行为。因此，一个更普遍的问题是：系统在状态转移的过程中，在多少步之前是处于秘密状态的。K步不透明性和无限步不透明性基于此问题提出。

在文献[8]中K步不透明性是当前状态不透明性的直接推广，对系统运行中的任一状态向前K步所形成的事件序列，入侵者即使观察到，也无法判定系统是否在秘密状态中。当前不透明性是K步不透明性的特殊情况，等价于0步不透明性。K步不透明性的进一步推广便是无限步不透明性。对于系统的每次执行，在观察到任意长的事件序列之后，入侵者无法推断系统在某个时刻处于秘密状态（在执行的任何后退步骤），则系统是无限步不透明的。

3.2基于语言的不透明性

基于语言的不透明性定义与可诊断性有紧密的联系。可诊断性是有分辨确定的事情的能力，如故障有无出现;而不透明性是没有能力分辨确定的事情，如系统是否处于秘密状态。

在基于语言的可诊断性中，使用了两种语言，与先前基于状态的不透明性只使用一种语言是互补的。两种语言定义的不透明性在应用中更加灵活，具体可分为强不透明性、弱不透明性和不具有不透明性。给定一般的观察映射，若一个语言的所有串能和另一个语言的部分串混淆，则这个语言具有强不透明性;若一个语言的部分串能和另一个语言的部分串混淆，则这个语言具有弱不透明性。由于在強不透明性概念中涉及信息安全性质，也即匿名性和秘密性，强不透明性很常用。弱不透明性可以自然地扩展到强不透明性。强不透明性和弱不透明性的区别与可观察性和可侦测性在线性系统理论中的区别相似。同时考虑到某些情况下观察器或代理出于安全或其他目的，需要透明地监控系统行为，介绍了不具有不透明性的概念。另外，在文献[1]中，Lin Feng等将可观性、可诊断性和可侦测性重新形式化为不透明性的特例。

上述基于语言或状态的不透明性均属于逻辑不透明性，并没有提供系统不透明性的度量，定义只是考虑了非秘密行为与给定的观察串的能否匹配。为了更好地描述一个系统不透明性的程度，研究者使用了随机有限自动机、马尔可夫过程和隐藏的马尔可夫模型来定量地（或定性地）描述不透明性。

在完成对不透明性形式化定义的基础上，需要考虑：1）如何判定的系统是否具有不透明性;2）使不具有不透明性的系统满足不透明性。针对上述问题，解决方案主要包括：验证、监督控制和强制执行。其中，验证是指通过建模来对系统进行不透明性检查，涉及离散事件系统验证的一般问题。监督控制是通过构造监督器约束系统行为，使其满足不透明性要求。强制执行是指系统输入一系列可观事件，并输出可能修改后的信息，来确保系统的不透明性。这三种机制在不同系统模型或类系统模型（经典系统、定时系统、下推系统）得到广泛的研究，也结合了其他诸如动态观察者、插入编辑功能等技术。

4监督控制

监督控制作为离散事件系统领域的一个重要研究内容，在20世纪80年代萌芽。监督控制的出现与系统建模优化问题相关。它提供了系统优化控制的方式，以及划定了控制器和不受控制的机器之间的界限，使得不受控制的机器在控制器（监督器）的监督下能够达到预期的规范。监督控制基于系统反馈控制，结合可控制性理论和可控可观理论，可划分为部分可观监督控制、非阻塞控制和部分可控控制;根据系统的架构，划分为模块化控制和去中心化控制等。监督控制在国内外有广泛应用，常见于电网、柔性系统等工业制造领域中。

4.1经典离散事件系统不透明性监督控制

Saboori A等在文献[11]中介绍了基于初始状态不透明性的监督控制，采取了将初始状态不透明性从基于状态的定义扩展到语言方法，通过确定的可控可观不透明性语言的上确界（supremal）元素来达到构造最小约束不透明性监督器。同时得出上确界元素存在的条件以及展示初始状态估计器。在先前工作基础上，SabooriA等继续考虑系统由部分可观非确定性有限自动机建模，利用状态估计方法构建一个最小约束不透明性的监督器，使得系统满足初始状态不透明性和无限步不透明性的要求。

Benkalefa M等在文献[13]中证明了不透明性在并集下是封闭的，但在交集下可能不封闭。另外也展示了如何修改语言使其满足强不透明性。若一个语言不满足强不透明性、弱不透明性和透明性，则可以寻找它的最大子语言或最小超语言来分别满足强不透明性、弱不透明性和透明性。利用上确界的（supremal）、最大的（maximal）、下确界（infimal）和最小的（minimal）及其属性，可以以更好的方式修改语言。文献[14]延续了[13]的工作，使用监督控制方法达到不透明性，也即若系统不能满足不透明性，则寻找一个可以约束系统行为来满足不透明性的监督器。假设监督器在系统内部，但是可以观察到一些不能被外部观察者所观察到的事件;假设监督器能禁止某些可控事件的发生来约束系统行为。该文献讨论三个监督控制问题，强不透明性监督控制问题、弱不透明性监督控制问题和不具有不透明性控制问题，对各个问题分别提出了解决方案。

4.2其他类型系统不透明性监督控制

离散事件系统监督控制除了应用在经典离散事件系统中，还应用到去中心化、分布式离散事件系统、并发系统等类型系统中。

Lin F等将经典离散事件系统不透明性监督控制算法推广到去中心化离散事件系统中，指出了三种基于语言不透明性的监督控制问题。在文献中，Lin F对外部观察者之间有无协调者的两种情况，给出了对应的不透明性监督控制算法。Yin Tong等则基于状态的不透明性，讨论使用模块化方法构建监督控制。在将离散事件系统不透明性应用到其他系统时，研究者也有研究鲁棒性等相关性质，使得监督控制保持安全和健壮。

5总结与展望

离散事件系统不透明性在信息安全领域具有重要而广泛的應用，本文对离散事件系统不透明性以及监督控制方法进行了介绍。当前的离散事件系统监督控制方法多集中于经典离散事件系统中，对其他类型的系统如随机离散事件系统等的研究较少，且算法复杂度较高。随着离散事件系统领域进一步发展，对不透明性监督控制的进一步研究，会在更多的场景中得到应用。