面向区块链环境下信息物理融合系统的风险评估

　　摘 要：信息物理融合系统（Cyber-Physics Fusion System，CPS）架构逐渐成为工业互联网建构的重要途径，对未来的智联网建设也具有重要的研究价值。由于在区块链环境下，CPS呈现高度分布式、异构耦合等特点，如何对耦合CPS面临的级联失效等风险进行有效地评估变得至关重要。文章首先对耦合CPS进行了建模，并给出了该系统模式下级联失效过程的理论分析；在此基础上，基于仿真实验对比分析，给出影响耦合CPS风险的主要因素及分析；最后，文章探讨了区块链环境下CPS的风险挑战和下一步研究工作的延伸方向。

　　关键词：信息物理融合系统；级联失效过程；风险评估；区块链

　　Abstract： The CPS system architecture has gradually become an essential way for the construction of the Industrial Internet and has important research value for future intelligent networking construction. Due to the highly distributed and heterogeneous coupling characteristics of the CPS system under the blockchain en-vironment， how to effectively evaluate the risks such as cascading failures of coupled CPS becomes critical. This paper first models the coupled CPS system and gives a theoretical analysis of the cascading failure process under this system mode. Based on this， based on the comparative analysis of simulation experiments， the primary factors and analysis of the risks affecting the coupled CPS system are given； finally， this article explores the risks and challenges of the CPS system in the blockchain environment and the direction of future research work.

　　Key words： cyber-physics fusion system； cascading failures process； risk assessment； blockchain

　　1 引言

　　信息物理融合系統（Cyber-Physical Fusion Systems，CPS）[1，2]是工业互联网的核心架构，它是一个综合计算、网络和物理环境的多维复杂系统，实现了大型工程系统的实时感知、动态控制和信息服务。随着CPS的广泛普及与纵深发展，基于区块链技术的CPS[3，4]，越来越多的应用到工业互联网应用中。与传统的计算模式不同，基于区块链技术的CPS具有一定的安全属性和安全保障[5]。在区块链环境下，CPS各个子系统之间要通过有线或无线的通信方式相互协调工作[7]，但是由于区块链环境下CPS具有异构融合、高分布式等新特点[6，7]，因而具有潜在的级联失效风险[8，9]。现有的CPS风险分析，主要围绕单个CPS的可靠性问题[10～12]进行研究，缺乏面向区块链环境的异构耦合CPS的安全性分析。本文通过对现有的区块链环境下的耦合CPS进行建模分析，探讨了区块链环境下CPS的级联失效机理，并基于仿真实验分析了CPS失效风险的主要影响因素。

　　2 系统建模与分析

　　本节首先对CPS进行建模，通过对组成CPS的多个子网络间的关联分析，将CPS抽象成两个子网络组成的耦合系统；然后，对耦合系统中节点连接的特性进行分析，将连接节点的边分成两种，即网络内的连接和网络间的连接（简称网内连接和网间连接）；最后，对攻击的模式进行建模。

　　2.1 网络模型

　　通过分析区块链环境下CPS的特性，该系统由通信子网络和物理子网络两部分组成，且通信子网络的节点规模比物理子网络中节点的规模大得多。不失一般性，本文网络模型是由两个节点规模不同的子网络组成，为定性对CPS进行研究与分析，本文假设两个子网络节点的连接均为等比连接。

　　2.2 基本概念

　　当通信子网络遭受攻击后，需满足两个条件，系统中的节点才能具备正常通信功能[9]：

　　（1）一个子网络中的节点，至少与对应的另外一个子网络中相依赖的节点保持有效连接；

　　（2）任一子网络中的节点，必须保持在网络内部的最大连通组件中。

　　可以看出，在耦合网络渗流理论框架中，级联故障是一个很重要的网络特性：当耦合网络中，任意一个子网络中节点遭受攻击失效后，由于两个子网络间的相互耦合关联，一个子网络中节点的故障会传递到另一个子网络中相应节点从而会发生级联故障。当两个子网络中都没有节点失效或者两个网络完全崩溃，网络就达到了稳态，这种迭代失效过程，研究人员称之为级联故障。

　　3 理论分析

　　不失一般性，这里基于网络的生成函数和网络渗流理论[6，7]，对级联故障的迭代过程，进行理论分析。基于生成函数理论，网络A的生成函数可以表示为：

　　当随机攻击（1-p）比例A网络中节点后，剩余节点度分布对应的生成函数也会发生相应的变化[6，7]。随机攻击这些节点，网络A中剩余节点数量变，其中属于最大连通组件的节点的比例是：

　　3.1 子网络A中节点的随机故障

　　根据上述理论分析级联失效过程的每个步骤中节点数量的变化。假设随机失效或随机攻击发生在网络A中，在初始阶段，假定（1-p）比例的节点受到随机攻击而发生失效，则网络中剩余节点数量为：

　　3.2 子网络B中相应节点的级联故障

　　由于网络B中部分节点，需要依赖网络A中的相应节点，因而网络A中节点的故障会引起网络B中相应节点的级联故障。基于前面的分析和假设，网络B中的一个节点需要与网络A中三个节点保持相互依赖的关系，因而网络B中有依赖属性的节点数量为：

　　3.3 子网络A中节点的进一步故障

　　经过第一步的随机失效，可以推知网络B中的一个节点，可能与网络A中的多个节点连接，也可能与零个节点连接。由于CPS中子网络内部的连接和子网络之间的连接没有直接关系，因而研究人员需要计算网络A中有依赖关系的节点数量为：

　　3.4 子网络B中节点的再次失效

　　在3.3小节中子网络A中节点的随机故障，会导致子网络B中节点的再次发生级联故障。依据子网络间相互依赖的连接关系，可以得到子网络B中剩余节点具有相互依赖属性的节点数量为：

　　4 实验结果分析

　　本节主要内容，是求解前面分析得到的迭代方程，并且对求得的理论结果进行仿真实验验证。

　　4.1 迭代方程

　　在上小节的理论分析中，可以得出在CPS中两个子网络间的级联故障过程，具有明显的迭代属性：子网络间相互依赖的节点间不断传递了故障失效。当级联故障终止的时候，子网络间不会再产生进一步的级联故障效应。为方便分析级联失效的迭代公式，其定义：

　　4.2 实验验证

　　为了进一步验证区塊链环境下CPS的级联故障过程的有效性，分析得出影响系统风险的临界阈值，本文用几组仿真实验来验证。在仿真实验中，首先根据指定的最小度、节点数量和参数λ构建两个无标度网络建立两个网络之间的关系，即子网络B中任一节点都与子网络A中的相应的三个节点保持连接，从而两个子网络保持相互依赖的关系。其中，随机攻击过程，这里用节点的随机删除来表示，实验仿真会有效模拟子网络间级联故障的过程。换言之，每一步级联故障发生后，子网络中剩余节点的数量都相应输出，直到子网络中没有节点被删除，CPS的级联故障过程才会停止。在如图1所示，输出每一步级联故障过程发生后，子网络中功能节点的比例情况。

　　这里对比λ取不同的值的时候网络中剩余的节点的数量与初始网络的节点的数量的比值，如图1所示。不失一般性，这里在临界阈值附近取不同的p值，进一步对临界阈值的正确性进行验证，通过多次模拟CPS级联故障过程的仿真实验，子网络中存在最大连通组件的概率如图2所示。在图2的仿真实验中，取λ=2.8，子网络的最小度为3，节点数量按照比例有效递增。可以看到，随着子网络中节点数量的不断变化，系统在临界的阈值pc附近发生相变，这与耦合网络理论中级联失效的结论是对应的，充分说明了本文CPS级联故障的理论分析正确有效的。根据图3中曲线的变化规律，可以得出随着节点数量越来越庞大，仿真曲线在级联失效的临界阈值附近会越来越陡，说明了随着子网络中节点的规模足够大，CPS将在级联故障的临界阈值附近发生一阶相变。换言之，当初始阶段攻击比例的p值小于临界阈值pc，耦合CPS会发生崩溃现象；当初始p值大于级联故障的临界阈值pc，耦合CPS即使发生级联故障，系统中子网络内部也会存在最大连通组件。特别说明的是，当p与pc的值相同的时候，可能存在最大连通组件，也可能不存在，这是系统发生级联故障的一个临界状态和分水岭。

　　根据研究人员对区块链环境下异构耦合CPS的研究与分析[5，6]，其幂率分布的参数λ一般处于2和3之间，对于不同的λ其临界阈值也是不一样的，临界阈值和λ之间的变化关系如图3所示。从图3中可以看到随着λ的不断增大，网络中的集聚程度越来愈大，pc的值不断增大，临界阈值的增大在一定程度上说明网络的可靠性不断增强的趋向。换言之，在区块链环境下设计异构耦合的CPS架构时，可以通过提高网络的无标度属性，以保证系统面对随机攻击时具有一定的抗风险性，从而使得区块链环境下耦合CPS具有一定的安全保障。

　　5 结束语

　　目前，区块链环境下耦合CPS的风险评估研究还处在初始阶段，尚缺乏安全、有效、彻底的解决方案，本文的研究工作只是一个初步探索。本文首先对区块链环境下耦合异构CPS进行了建模，并对起级联失效过程进行了风险分析，同时结合仿真过程，对随机攻击下影响系统风险的相关因素进行了对比分析，最后指明了下一步研究的方向。

　　基金项目：

　　1.国家自然科学基金项目（项目编号：61902359、61602418、61672468、61872323）；

　　2.教育部人文社科研究项目（项目编号：15YJCZH125）；

　　3.浙江省公益技术研究社会发展项目（项目编号：2016C33168）；

　　4.浙江省自然科学基金（项目编号：LQ16F020002）；

　　5.上海市信息安全综合管理技术研究重点实验室开放课题（项目编号：AGK2018001）。

　　参考文献

　　[1] 周兴社，杨亚磊，杨刚.信息物理融合系统动态行为模型构建方法[J].计算机学报， 2014， 37（6）：1411-1423.

　　[2] Jia D，Lu K，Wang J，et al.A Survey on Platoon-Based Vehicular Cyber-Physical Systems[J]. IEEE Communications Surveys & Tutorials， 2017，18（1）：263-284.

　　[3] 詹乃松，乔振亚.工业控制系统信息安全防护的研究[J].网络空间安全，2015， 94（12）：70-74.

　　[4] Imbault F，Swiatek M，Beaufort R D，et al.The green blockchain： Managing decentralized energy produc-tion and consumption[C]// IEEE International Conference on Environment and Electrical Engineering and 2017 IEEE Industrial and Commercial Power Systems Europe. IEEE， 2017：1-5.

　　[5] 王继业，高灵超，董爱强，等.基于区块链的数据安全共享网络体系研究[J].计算机研究与发展， 2017， 54（4）：742-749.

　　[6] Amin S， Schwartz G A， Hussain A. In quest of benchmarking security risks to cyber-physical systems[J]. IEEE Network， 2013， 27（1）：19-24.

　　[7] Shin D H， Qian D， Zhang J. Cascading effects in interdependent networks[J].IEEE Network， 2014， 28（4）：82-87.

　　[8] Rungger M，Tabuada P.A Notion of Robustness for Cyber-Physical Systems[J].IEEE Transactions on Au-tomatic Control， 2016， 61（8）：2108-2123.

　　[9] 鄧良辰，刘艳丽，柏天缘.考虑分布式发电的配电网CPS可靠性评估[J].电力系统及其自动化学报， 2017， 29（11）：32-38.

　　[10] 杜德慧，昝慧，姜凯强，等.一种面向CPS的自适应统计模型检测方法[J].软件学报， 2017， 28（5）：1128-1143.

　　[11] 李淼，马楠，周椿入.物联网系统应用层协议安全性研究[J].网络空间安全， 2017， 94（12）：44-48.

　　[12] Tan F， Wang Y， Wang Q， et al. A Lease based Hybrid Design Pattern for Proper-Temporal-Embedding of Wireless CPS Interlocking [J].IEEE Transactions on Parallel & Distributed Systems， 2015， 26（10）：2630-2642.

　　赵丹丹 阚哲 高一飞 韩建民 彭浩