信息系統(tǒng)生存力研究*

陳　捷，陳勁堯，郭曉黎，羅秋霞

（中國電子科技集團(tuán)公司第三十研究所，四川 成都 610041）

信息系統(tǒng)生存力研究*

陳捷，陳勁堯，郭曉黎，羅秋霞

（中國電子科技集團(tuán)公司第三十研究所，四川 成都 610041）

針對信息系統(tǒng)的重要性和其面臨的威脅挑戰(zhàn)，分析了生存力對信息系統(tǒng)的重要意義。介紹了系統(tǒng)生存力的定義、理論層次、模擬模型及要素等基本概念，分析了信息系統(tǒng)面臨的主要威脅，較為全面地介紹了信息系統(tǒng)生存力的內(nèi)涵、主要指標(biāo)，對先進(jìn)的生存力保障機(jī)制如威脅識別機(jī)制、對抗機(jī)制和恢復(fù)機(jī)制進(jìn)行了描述，闡述了重新配置和系統(tǒng)改造等生存力設(shè)計(jì)方法，并提出了深化開展信息系統(tǒng)生存力設(shè)計(jì)研究的思路，以期為提高我國信息系統(tǒng)的生存力提供支撐。

信息系統(tǒng)；生存力；保障機(jī)制；指標(biāo)

0　引 言

信息系統(tǒng)與信息網(wǎng)絡(luò)在通信、社交、商業(yè)、制造、醫(yī)療、教育、政務(wù)、軍事等領(lǐng)域日益得到廣泛且深入的應(yīng)用，已成為世界各國的命脈，成為政治、經(jīng)濟(jì)、軍事和文化乃至社會一切領(lǐng)域的基礎(chǔ)［1］。與此相對應(yīng)，信息系統(tǒng)和信息網(wǎng)絡(luò)變得越來越龐大、復(fù)雜，也面臨越來越嚴(yán)重的威脅和挑戰(zhàn)。在這樣的背景下，諸如防火墻、VPN、入侵檢測等信息安全技術(shù)得到了迅速發(fā)展。然而，安全是一個相對的概念，即使采用先進(jìn)的安全技術(shù)也不能夠保證系統(tǒng)的絕對安全［2］。因此，我們應(yīng)該重視系統(tǒng)的生存力建設(shè)，保證系統(tǒng)在遭受攻擊、破壞時，能夠維持基本的功能。

目前，國內(nèi)對信息系統(tǒng)生存力方面的研究還較為薄弱。文獻(xiàn)［1-2］著重從提高系統(tǒng)生存力的角度對信息系統(tǒng)的風(fēng)險(xiǎn)管理進(jìn)行了研究論述，對生存力本身尚未進(jìn)行系統(tǒng)性的研究。近來，烏克蘭相關(guān)研究機(jī)構(gòu)對系統(tǒng)的生存力設(shè)計(jì)方面提出了較為完整的體系、理論和方法，具有其獨(dú)到之處。本文綜合國內(nèi)外相關(guān)資料，對信息系統(tǒng)的生存力設(shè)計(jì)進(jìn)行綜述，以期為后續(xù)開展生存力設(shè)計(jì)的深入研究提供支撐。

1　生存力的定義和基本概念

1.1生存力的定義

由于生存力的極端重要性，生物的、社會的、經(jīng)濟(jì)的以及許多其他原始系統(tǒng)都擁有生存力特性。例如，銀行的生存力以總資產(chǎn)、總利潤、主營業(yè)務(wù)收入增長率、資本充足率、抗風(fēng)險(xiǎn)能力等為主要特征；艦艇編隊(duì)的生存力以艦艇的機(jī)動性、隱蔽性和抗打擊能力為主要特點(diǎn)［3］；飛機(jī)生存力是指飛機(jī)躲避或承受人為敵對環(huán)境的能力，即飛機(jī)不被擊中或被擊中后能繼續(xù)執(zhí)行戰(zhàn)斗任務(wù)的能力［4］；作戰(zhàn)體系生存力是指武器裝備體系經(jīng)過對抗后能繼續(xù)執(zhí)行戰(zhàn)斗任務(wù)的能力，即體系不被威脅殺傷、殺傷后能通過體系重組迅速恢復(fù)戰(zhàn)斗力的能力［4］。可以看出，不同系統(tǒng)中構(gòu)成生存力的要素不同，對生存力的描述也不同，但有一個共同的特征，即“打不死”。因此，對系統(tǒng)生存力的一個較為通用的定義是：生存力是系統(tǒng)適應(yīng)變化的功能條件、對抗敵對活動，依靠行為和結(jié)構(gòu)的改變來實(shí)現(xiàn)（保持）功能目標(biāo)的復(fù)雜系統(tǒng)特性。

生存力特性能夠在對抗環(huán)境下、在系統(tǒng)結(jié)構(gòu)和完整性受到損傷、安全性和功能質(zhì)量降低的條件下，相對完整地保存系統(tǒng)。

1.2生存力的理論層次和模擬模型

生存力理論基礎(chǔ)的形成分為三個層級：方法論、模擬和評估、生存力保障。方法論層級明確研究對象的生存力性能、特質(zhì)和質(zhì)量標(biāo)準(zhǔn)，以及與其他特性間的相互關(guān)系。模擬和評估層級實(shí)現(xiàn)對系統(tǒng)生存力的模擬，形成評估生存力的系統(tǒng)準(zhǔn)則及指標(biāo)。生存力保障層級針對不同類型的系統(tǒng)，形成其生存力保障的機(jī)制、方法。

系統(tǒng)的生存力模擬是指導(dǎo)開展系統(tǒng)生存力設(shè)計(jì)的重要途徑，典型的系統(tǒng)生存力模擬模型如圖1所示。

系統(tǒng)結(jié)構(gòu)模擬：給出系統(tǒng)的技術(shù)和功能結(jié)構(gòu)，包括部件屬性、系統(tǒng)拓?fù)洹⑿畔?能源流、功能模型、功能結(jié)構(gòu)體系、功能目標(biāo)譜系樹等。敵對活動模擬：模擬敵方對系統(tǒng)的破壞活動。物理過程模擬：分析系統(tǒng)在遭受敵對活動后的物理變化過程。

敵對活動初期影響模擬：通過敵對活動模擬和物理過程模擬的相互作用，形成對敵方破壞活動的初期影響模擬。此時，生存力保障系統(tǒng)尚未介入。

生存力保障系統(tǒng)模擬：計(jì)算生存力保障的相關(guān)資源和特性，形成對抗敵方破壞活動的生存力解決方案。

初期影響發(fā)展模擬：在考慮生存力保障系統(tǒng)作用的情況下，分析系統(tǒng)發(fā)展變化的路徑。該模擬分析的最終目標(biāo)是確定新的穩(wěn)定的系統(tǒng)狀態(tài)。

敵對活動后續(xù)影響模擬：分析建立新的穩(wěn)定系統(tǒng)狀態(tài)后，哪些方面受到了敵對活動的影響，如功能縮減、功能時效性降低、技術(shù)性能惡化等。

系統(tǒng)可靠性模擬：分析建立新的穩(wěn)定系統(tǒng)狀態(tài)后系統(tǒng)的可靠性，為后續(xù)的生存力評估提供支撐。

恢復(fù)發(fā)展模擬：分析在敵對活動結(jié)束后，系統(tǒng)該如何發(fā)展，以便盡可能恢復(fù)系統(tǒng)的功能、性能，保障系統(tǒng)完成規(guī)定任務(wù)。

任務(wù)完成能力分析：分析在上述模擬過程的聯(lián)合作用下，系統(tǒng)完成規(guī)定任務(wù)的能力。

解決方案評估：根據(jù)任務(wù)完成能力，對生存力解決方案進(jìn)行評估，給出系統(tǒng)調(diào)整的建議以及生存力保障系統(tǒng)持續(xù)發(fā)展的建議。

圖1　系統(tǒng) 生存力模擬模型

1.3復(fù)雜系統(tǒng)的生存力要素

復(fù)雜系統(tǒng)應(yīng)具備功能的、結(jié)構(gòu)的和信息的生存力。

功能的生存力是指系統(tǒng)能夠在不良影響下，依靠調(diào)整（減少）功能目標(biāo)，按指定質(zhì)量完成相應(yīng)功能目標(biāo)。

結(jié)構(gòu)的生存力是指系統(tǒng)能夠在不良影響下，依靠系統(tǒng)結(jié)構(gòu)的支持，完成帶有指定質(zhì)量的功能目標(biāo)。

信息的生存力是指系統(tǒng)能夠在不良影響下，在一定程度上支持信息的可訪問性、完整性。

依據(jù)系統(tǒng)等級、復(fù)雜性、組織層級等，可以從穩(wěn)固性、可信度、適應(yīng)性、失效保護(hù)等方面評估系統(tǒng)生存力。

穩(wěn)固性：使系統(tǒng)在不良影響結(jié)束后恢復(fù)初始狀態(tài)的系統(tǒng)能力。

可信度：能在一定程度上保存自身基本特性的同時，完成指定功能的系統(tǒng)能力。

適應(yīng)性：利用不同的機(jī)制來適應(yīng)內(nèi)外部環(huán)境變化的系統(tǒng)能力。

失效保護(hù)：在一個或幾個組件失效的情況下，保存自身工作能力的系統(tǒng)能力。

1.4生存力將成為系統(tǒng)的基礎(chǔ)元素

今后，在對復(fù)雜系統(tǒng)進(jìn)行研究、設(shè)計(jì)時，生存力將成為基礎(chǔ)元素。經(jīng)過生存力設(shè)計(jì)的、具有生存力保障機(jī)制的系統(tǒng)，在面臨不良影響時的表現(xiàn)，將大大優(yōu)于無相應(yīng)保障機(jī)制的系統(tǒng)，如圖2所示。

圖2　系統(tǒng) 效能對比

隨著故障數(shù)量的增加，當(dāng)達(dá)到某一門檻值時，無生存力保障機(jī)制的系統(tǒng)效能急劇下降甚至完全失效，而具有生存力保障機(jī)制的系統(tǒng)其效能則是緩慢下降的。

2　信息系統(tǒng)面臨的主要威脅

對網(wǎng)絡(luò)的破壞可分為自然成因和人為破壞，其中以人為破壞為主。人為破壞主要包括信息的、物理的、電磁的等幾個方面，如圖3所示。

信息方面的破壞主要有破壞信息的機(jī)密性、破壞信息的完整性、導(dǎo)致服務(wù)失效以及未經(jīng)授權(quán)使用信息資源等。

物理方面的破壞主要有各種形式的動能、熱能、化學(xué)攻擊等。

電磁方面的破壞主要是通過無線電進(jìn)行干擾、阻斷、竊取等。

圖3　對網(wǎng)絡(luò)的 破壞作用

在當(dāng)前網(wǎng)絡(luò)化的環(huán)境下，對信息的攻擊、竊取和泄漏造成的危害大、影響范圍廣，且后續(xù)處理困難。據(jù)統(tǒng)計(jì)，大部分的攻擊、竊取和泄漏行為可在一分鐘內(nèi)實(shí)施，而探測、定位和清除影響則需要數(shù)周甚至數(shù)月，如圖4所示。

圖4　信息泄漏的 影響

可以看出，為了提高信息系統(tǒng)生存力，不但需要傳統(tǒng)的病毒查殺、入侵監(jiān)測、邊界防護(hù)、網(wǎng)絡(luò)隔離等安全手段，還需要系統(tǒng)本身具備足夠的彈性，在遭受破壞時能夠通過自身行為和結(jié)構(gòu)的改變來保持功能。此外，需要系統(tǒng)具備足夠的恢復(fù)能力，在敵對活動結(jié)束后能夠盡可能地恢復(fù)功能。而這樣的能力，需要有相應(yīng)的生存力保障機(jī)制支撐實(shí)現(xiàn)。

3　信息系統(tǒng)生存力保障機(jī)制

3.1通信網(wǎng)絡(luò)的生存力

通信網(wǎng)絡(luò)的生存力特性能夠在網(wǎng)絡(luò)單元或網(wǎng)絡(luò)段受到外部影響破壞的情況下，保證信息用戶和信息源之間通信聯(lián)接的建立。

通信網(wǎng)絡(luò)生存力的基本指標(biāo)包括以下四方面。

維持工作能力指標(biāo)：在網(wǎng)絡(luò)資源衰減的條件下，完成指定任務(wù)的能力。

生存力時間指標(biāo)：從遭受毀傷開始，網(wǎng)絡(luò)可以保存工作能力的時間。

網(wǎng)絡(luò)恢復(fù)能力指標(biāo)：遭受破壞后，網(wǎng)絡(luò)恢復(fù)工作能力的指標(biāo)。

網(wǎng)絡(luò)可修復(fù)性時間指標(biāo)：使用特定資源，在遭受特定損傷層級的情況下，恢復(fù)網(wǎng)絡(luò)工作能力所需的時間。

3.2信息內(nèi)容的生存力

信息內(nèi)容是與一個主題或一個事件有邏輯聯(lián)系的信息材料的總和。信息內(nèi)容作為有聯(lián)系的對象的總體，擁有組織性、連接性、完整性（確定的主題或事件）、可分性（在獨(dú)立的消息中）等特點(diǎn)。

信息內(nèi)容可以表現(xiàn)為由若干個主要節(jié)點(diǎn)（M節(jié)點(diǎn)）、邊緣節(jié)點(diǎn)（L節(jié)點(diǎn)）構(gòu)成的圖表結(jié)構(gòu)。其中，M節(jié)點(diǎn)是指構(gòu)成主題或事件的主要信息材料，L節(jié)點(diǎn)是指大量相似的邊緣信息、引證、引文等，如圖5所示。

圖5　信息內(nèi)容結(jié)構(gòu)

信息內(nèi)容的生存力性質(zhì)直接與圖表的連接性、集中性、最小路徑等性質(zhì)相關(guān)。當(dāng)信息內(nèi)容的部件之間聯(lián)系斷裂（如從圖表結(jié)構(gòu)中消除一些帶有最大媒介系數(shù)的重要組件等），會導(dǎo)致信息內(nèi)容生存力損耗。

信息內(nèi)容的生存力表現(xiàn)為當(dāng)信息內(nèi)容的連結(jié)遭受破壞斷裂時，能夠穩(wěn)定實(shí)現(xiàn)其信息功能的能力。

信息內(nèi)容是一個動態(tài)系統(tǒng)，該系統(tǒng)在最優(yōu)“中介”節(jié)點(diǎn)被毀壞后，可通過信息空間其他節(jié)點(diǎn)之間的潛在聯(lián)系得以恢復(fù)，如圖6所示。

圖6　信息內(nèi)容恢復(fù)

因此，信息內(nèi)容的生存力主要包括兩個方面。

一是當(dāng)信息內(nèi)容的關(guān)鍵節(jié)點(diǎn)被毀壞后，被割裂的部分是否具有一定的穩(wěn)定性，能否獨(dú)立實(shí)現(xiàn)自己的信息功能。相對應(yīng)的關(guān)鍵技術(shù)主要有確定最小限度穩(wěn)定性的方法、根據(jù)最小限度穩(wěn)定性要求對信息內(nèi)容進(jìn)行構(gòu)造和存儲的方法等。

二是信息內(nèi)容被割裂后，能否通過節(jié)點(diǎn)間潛在聯(lián)系實(shí)現(xiàn)恢復(fù)。相對應(yīng)的關(guān)鍵技術(shù)主要有信息內(nèi)容的構(gòu)造和存儲設(shè)計(jì)、圖表結(jié)構(gòu)分析、內(nèi)容關(guān)聯(lián)性設(shè)計(jì)和分析挖掘等。

3.3生存力保障機(jī)制和方法

復(fù)雜系統(tǒng)生存力的保障和改善實(shí)現(xiàn)依靠一些先進(jìn)的機(jī)制，包括威脅識別機(jī)制、對抗機(jī)制和恢復(fù)機(jī)制。

威脅識別機(jī)制整合了系統(tǒng)要素鑒別、行為分析、事件注冊、通知等，能夠?qū)簟⑷肭帧⑼{等進(jìn)行有效識別，并提前進(jìn)行預(yù)警，為系統(tǒng)主動應(yīng)對威脅提供支撐。

對抗機(jī)制主要有兩大作用：一是在系統(tǒng)遭受到敵方攻擊破壞時，通過改變結(jié)構(gòu)和調(diào)整功能，使系統(tǒng)能夠維持指定的功能目標(biāo)或轉(zhuǎn)移到新的功能目標(biāo)；二是通過使用各種安全防護(hù)手段，對抗敵方攻擊，使其無功而返。對信息系統(tǒng)來說，對抗手段主要有認(rèn)證授權(quán)、權(quán)限控制、網(wǎng)間屏蔽等。

恢復(fù)機(jī)制保障系統(tǒng)獨(dú)立部件的功能和工作能力的恢復(fù)，以及在受到不良影響或損害的情況下系統(tǒng)的完整性。對信息系統(tǒng)而言，信息內(nèi)容遭受破壞后如何恢復(fù)是一個十分重要的問題。這需要利用可靠的存儲技術(shù)、信息內(nèi)容的動態(tài)恢復(fù)技術(shù)等，保證信息內(nèi)容狀態(tài)的完整性。

可以看出，生存力保障機(jī)制中，部分技術(shù)、方法是以傳統(tǒng)安全防護(hù)手段為基礎(chǔ)，但其內(nèi)涵和作用大大超出了傳統(tǒng)安全防護(hù)的范疇，如圖7所示。

圖7　生存力保障機(jī)制

下面 簡要介紹對抗機(jī)制和恢復(fù)機(jī)制中的一些重要方法和思路，包括重新配置和系統(tǒng)改造。

（1）重新配置

重新配置的目的是在系統(tǒng)遭受破壞、部件遞減的情況下，保存系統(tǒng)的工作能力，使系統(tǒng)具備功能逐步下降和保持最低限度工作能力的特性。

重新配置主要通過有目的性地改變系統(tǒng)結(jié)構(gòu)來保持系統(tǒng)工作能力。信息系統(tǒng)的重新配置過程主要包括轉(zhuǎn)換傳輸路徑或通信線路、排除無效部件、重新布局系統(tǒng)負(fù)荷和改變控制信息等。圖8以光環(huán)網(wǎng)遭到破壞為例，展示了一個典型的重新配置過程。

圖8　光環(huán)網(wǎng)重新配置過程

如 圖8所示，在遭受破壞前，該光環(huán)網(wǎng)是一個雙環(huán)結(jié)構(gòu)，而當(dāng)部分鏈路被破壞后，其拓?fù)浣Y(jié)構(gòu)變?yōu)閱苇h(huán)，以保證各節(jié)點(diǎn)間的有效連通。

（2）系統(tǒng)改造

系統(tǒng)改造與重新配置處于生存力保障的不同階段。系統(tǒng)改造是在系統(tǒng)不可重新配置的情況下，通過改變系統(tǒng)總體目標(biāo)，實(shí)現(xiàn)系統(tǒng)功能目標(biāo)的轉(zhuǎn)移，使系統(tǒng)具備功能逐步下降和保持最低限度工作能力的特性。

系統(tǒng)改造的方法主要包括以下四個方面。

（1）形成多套業(yè)務(wù)過程的模型和方案，以適應(yīng)各種不同程度和類型的不良影響。

（2）實(shí)現(xiàn)業(yè)務(wù)過程的垂直“壓縮”，即縮小功能體系的層級，減少“功能鏈條”中需相互依賴的節(jié)點(diǎn)。

（3）實(shí)現(xiàn)業(yè)務(wù)過程的水平“壓縮”，即消除無效過程，保障系統(tǒng)的執(zhí)行性能（如執(zhí)行時間等）；實(shí)現(xiàn)業(yè)務(wù)過程的自動化。

（4）實(shí)現(xiàn)業(yè)務(wù)過程的協(xié)同、分散等。

4　結(jié) 語

信息系統(tǒng)正日益在社會的經(jīng)濟(jì)、文化、健康、安全等領(lǐng)域扮演著越來越重要的角色，而信息系統(tǒng)本身也面臨著越來越復(fù)雜和嚴(yán)重的威脅。在此情況下，生存力將成為信息系統(tǒng)的基礎(chǔ)元素，對生存力設(shè)計(jì)的研究將具有十分重要的意義。

國內(nèi)關(guān)于復(fù)雜系統(tǒng)生存力設(shè)計(jì)的研究尚處于起步階段，在理念、體系、理論、關(guān)鍵技術(shù)等方面的研究都十分薄弱。本文綜合多方面的資料對目前較為先進(jìn)的生存力設(shè)計(jì)理念、方法、機(jī)制等進(jìn)行了介紹，對信息系統(tǒng)的生存力研究和設(shè)計(jì)具有一定的參考意義，可作為今后深入開展相關(guān)研究的基礎(chǔ)。

下一步研究建議繼續(xù)跟蹤、學(xué)習(xí)國外先進(jìn)的系統(tǒng)生存力設(shè)計(jì)理論和方法，加強(qiáng)開展交流和技術(shù)引進(jìn)，逐步建立起復(fù)雜系統(tǒng)生存力設(shè)計(jì)的理論體系，并重點(diǎn)針對信息系統(tǒng)生存力設(shè)計(jì)中的若干關(guān)鍵技術(shù)開展深入研究，以期為提高我國信息系統(tǒng)的生存力提供支撐。

［1］ 趙永超，胡克瑾，連曉海.無邊界網(wǎng)絡(luò)系統(tǒng)的生存力分析與風(fēng)險(xiǎn)管理［J］.漳州師范學(xué)院學(xué)報(bào):自然科學(xué)版，2002，15（03）: 38-39. ZHAO Yong-chao，HU Ke-jin，LIAN Xiao-hai.Borderless Network’s Survivability Analysis and Risk Management［J］.Journal of Zhangzhou Teachers College（Natural Science），2002，15（03）:38-39.

［2］ 郝曉玲，胡克瑾，韓慧群.基于生存力的信息安全風(fēng)險(xiǎn)管理［J］.微計(jì)算機(jī)應(yīng)用，2003，24（01）:19-20. HAO Xiao-ling，HU Ke-jin，HAN Hui-qun.Information Safety Risk Management based on Survivability［J］. Microcomputer Applications，2003，24（01）:19-20.

［3］ 吳亞雷.非對稱戰(zhàn)爭形態(tài)下艦船裝備未來發(fā)展［J］.艦船科學(xué)技術(shù)，2011，33（S1）:12-13. WU Ya-lei.The Future Development of Naval Ship in Asymmetric Warfare［J］.Ship Science and Technology，2011，33（S1）:12-13.

［4］ 楊哲，李曙林，周莉，尹俊杰.網(wǎng)絡(luò)中心戰(zhàn)下作戰(zhàn)體系生存力綜合權(quán)衡設(shè)計(jì)［J］.飛行力學(xué)，2013，31（05）:472-473. YANG Zhe，LI Shu-lin，ZHOU Li，YIN Jun-jie.Synthetic Tradeoff Design of Operations Systems Survivability in Network Centric Warfare［J］.Flight Dynamics，2013，31（05）:472-473.

陳 捷（1977—），女，學(xué)士，高級工程師，主要研究方向?yàn)榫W(wǎng)絡(luò)信息安全；

陳勁堯（1978—），男，碩士，工程師，主要研究方向?yàn)榫W(wǎng)絡(luò)與信息系統(tǒng)；

郭曉黎（1977—），女，碩士，高級工程師，主要研究方向?yàn)闊o線通信網(wǎng)絡(luò)與安全；

羅秋霞（1960—），女，碩士，研究員級高級工程師，主要研究方向?yàn)闊o線通信網(wǎng)絡(luò)與安全。

Research on Information System Survivability

CHEN Jie， CHEN Jin-yao， GUO Xiao-li， LUO Qiu-xia
（No.30 Institute of CETC， Sichuan Chengdu 610041， China）

Aim at the importance and security challenge of information system， analyses system survivability’s important significance. Introduces basal conception of system survivability， such as the definition， theoretical level， simulation model， elements etc.， analyses the main threat facing information system， general introduces information system survivability meaning and main index， introduces advanced survivability guarantee mechanism， like threat identification mechanism， against mechanism and restore mechanism， introduces some survivability design method， such as reconfigure and system alteration， and presents some thoughts of more research on information system survivability design， expects provide support to improve our country’s information system survivability.

information system； survivability； guarantee mechanism； index

TN011

A

1002-0802（2016）-10-1331-06

10.3969/j.issn.1002-0802.2016.10.013

2016-06-12；

2016-09-15

data:2016-06-12；Revised data:2016-09-15