（大連理工大學(xué)公共管理系，大連市，116024） 張競競文 馬永馳

1 引言

關(guān)鍵基礎(chǔ)設(shè)施（CIs，Criticalinfrastructures）是由相互獨(dú)立的網(wǎng)絡(luò)及系統(tǒng)支撐的架構(gòu)，由可識的產(chǎn)業(yè)、機(jī)構(gòu)（包含人員及制度）及分銷方式等方面構(gòu)成。關(guān)鍵基礎(chǔ)設(shè)施往往具有穩(wěn)定輸出產(chǎn)品或服務(wù)的特點(diǎn)，對提高國防、經(jīng)濟(jì)安全，配合政府職能、造福社會等有重要作用[1]。關(guān)鍵基礎(chǔ)設(shè)施是一國國民賴以生存的基礎(chǔ)，更是一國之脈。一旦中斷或損壞，將會對人民健康、安全及經(jīng)濟(jì)條件造成重大沖擊[2]。各國對CIs的分類和定義不盡相同，歐盟發(fā)在2005年發(fā)布的綠皮書中對關(guān)鍵基礎(chǔ)設(shè)施進(jìn)行了分類，其中包括能源、信息與通信、水供應(yīng)、食物供應(yīng)、健康、財(cái)政、公共安全及法律秩序、民政、交通、化學(xué)與核工業(yè)、空間研究等等[3]?；A(chǔ)設(shè)施之間的相互協(xié)調(diào)是社會正常運(yùn)行的根本，關(guān)鍵基礎(chǔ)設(shè)施之間具有很強(qiáng)的相互關(guān)聯(lián)與影響的關(guān)系，然而這種相互依賴關(guān)系又是極為脆弱的，易受到外界的干擾和損壞，它使得風(fēng)險(xiǎn)與脆弱性分析變得尤為復(fù)雜，這是由于可能發(fā)生的風(fēng)險(xiǎn)或故障的連鎖傳導(dǎo)，比如說：一個(gè)普通的故障可能會引發(fā)冗余系統(tǒng)同時(shí)故障；一個(gè)系統(tǒng)發(fā)生故障將導(dǎo)致另一個(gè)系統(tǒng)隨后故障且負(fù)荷增加；若某設(shè)施的某項(xiàng)功能依賴于另一個(gè)基礎(chǔ)設(shè)施的正常運(yùn)營，那么所發(fā)生的故障將繼續(xù)傳遞。也就是說，很小的故障原因可能會導(dǎo)致系統(tǒng)運(yùn)行狀態(tài)發(fā)生本質(zhì)的改變，將會使得后果進(jìn)一步蔓延升級，以至于造成全局故障，甚至對整個(gè)社會系統(tǒng)的安全性造成嚴(yán)重威脅。我們今天所有的工作、通信、交通等生活的各個(gè)方面都依賴于大型網(wǎng)絡(luò)，即“關(guān)鍵基礎(chǔ)設(shè)施”。因此對關(guān)鍵基礎(chǔ)設(shè)施的相互依賴性問題的研究值得引起各個(gè)層面的高度重視，以加強(qiáng)基礎(chǔ)設(shè)施的風(fēng)險(xiǎn)管理，風(fēng)險(xiǎn)控制的意識，并且通過改進(jìn)設(shè)計(jì)、強(qiáng)化管理對危險(xiǎn)事件演變?yōu)橄到y(tǒng)故障加以預(yù)防，提高關(guān)鍵基礎(chǔ)設(shè)施的可靠性及可用性，從而避免不必要的人員和財(cái)產(chǎn)損失。

2 相互依賴關(guān)系

2.1 相互依賴關(guān)系的定義

可以將關(guān)鍵基礎(chǔ)設(shè)施之間的相互關(guān)聯(lián)與相互影響理解為相互依賴。Rinaldi等人[1]認(rèn)為，“相互依賴關(guān)系”是雙向的，即一個(gè)關(guān)鍵基礎(chǔ)設(shè)施的現(xiàn)有狀態(tài)取決于另一個(gè)關(guān)鍵基礎(chǔ)設(shè)施的現(xiàn)有狀態(tài)，前者同時(shí)會對后者產(chǎn)生影響。在描述一個(gè)基礎(chǔ)設(shè)施時(shí)，重點(diǎn)關(guān)注的是它的系統(tǒng)層次、時(shí)間跨度、運(yùn)行步驟、訓(xùn)練方式、冗余設(shè)計(jì)，甚至還包括它的所有權(quán)及規(guī)章制度等。

2.2 相互依賴關(guān)系的分類

目前大部分學(xué)者所采用的Rinaldi等人[1]對于相互依賴關(guān)系分類的定義。他們將相互依賴關(guān)系分為四大類：

（1）物理型相互依賴關(guān)系，即輸入和輸出在物理上的耦合性。指關(guān)鍵基礎(chǔ)設(shè)施間有物質(zhì)流從一個(gè)基礎(chǔ)設(shè)施流向另一個(gè)基礎(chǔ)設(shè)施。

（2）數(shù)字型相互依賴關(guān)系，指關(guān)鍵基礎(chǔ)設(shè)施間存在信息交換。

（3）地理位置型相互依賴關(guān)系，指關(guān)鍵基礎(chǔ)設(shè)施在地理空間上相鄰。一個(gè)局部的環(huán)境事件所能影響的關(guān)鍵基礎(chǔ)設(shè)施集合都屬于這一范疇。

（4）邏輯型相互依賴關(guān)系，指兩個(gè)或兩個(gè)以上的關(guān)鍵基礎(chǔ)設(shè)施互有影響，但二者之間沒有物理、數(shù)字和地理位置的相互依賴關(guān)系。

Zimmerman[4,5]對相互依賴關(guān)系進(jìn)行了空間和功能上的區(qū)分?？臻g相互依賴關(guān)系是指關(guān)鍵基礎(chǔ)設(shè)施之間的鄰近程度。功能相互依賴關(guān)系是指一個(gè)基礎(chǔ)設(shè)施的運(yùn)行依賴于另一個(gè)基礎(chǔ)設(shè)施。

Zimmerman[5]還列舉了關(guān)鍵基礎(chǔ)設(shè)施相互依賴關(guān)系的三個(gè)要素：相互連接關(guān)系，用于識別故障是如何在系統(tǒng)間產(chǎn)生和傳導(dǎo)的。冗余設(shè)計(jì)，用于找到出故障修復(fù)意外的其他系統(tǒng)功能的恢復(fù)方式。系統(tǒng)知識，用于進(jìn)行威脅辨識。

Dudenhoeffer[6]從事件-屬性的視角將關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)間的相互依賴關(guān)系分為五類：物理相互依賴關(guān)系，信息相互依賴關(guān)系，地理相互依賴關(guān)系，政策相互依賴關(guān)系以及社會型相互依賴關(guān)系。每一種依賴關(guān)系都有可能導(dǎo)致非常規(guī)突發(fā)事件的發(fā)生。在2008年南方暴風(fēng)雪中，多個(gè)城市的通信、供水系統(tǒng)的正常運(yùn)行受到影響，這是物理依賴導(dǎo)致非常規(guī)突發(fā)事件的例證。Lee[7]從服務(wù)提供的視角將基礎(chǔ)設(shè)施系統(tǒng)間的相互依賴關(guān)系分為五類：輸入依賴關(guān)系，雙向依賴關(guān)系，共享依賴關(guān)系，排他依賴關(guān)系以及地理依賴關(guān)系。

2.3 主流研究框架

相互依賴關(guān)系既是一種契機(jī)，也是導(dǎo)致系統(tǒng)脆弱性的關(guān)鍵所在。目前主流的研究關(guān)鍵基礎(chǔ)設(shè)施相互依賴關(guān)系框架有兩個(gè)，六維度框架（見表1）和CIMS框架。James P.Peerenboom[1]以復(fù)雜自適應(yīng)性為視角，確立了關(guān)鍵基礎(chǔ)設(shè)施相互依賴關(guān)系的基本研究框架，并且提出了從基礎(chǔ)設(shè)施的環(huán)境，耦合與響應(yīng)特征，失效或破壞類型，基礎(chǔ)設(shè)施的特征，運(yùn)行狀態(tài)和相互依賴類型6個(gè)維度對關(guān)鍵基礎(chǔ)設(shè)施的相互依賴關(guān)系進(jìn)行分析。Rinaldi強(qiáng)調(diào)了基礎(chǔ)設(shè)施間的依賴關(guān)系在基礎(chǔ)設(shè)施保護(hù)中的重要性，并總結(jié)了基礎(chǔ)設(shè)施相互依賴關(guān)系分析需要考慮的影響因素。但這只是較為粗略的描述性框架，缺乏拓?fù)渚S，對于深入細(xì)致的研究沒有有力的支撐。他們還在此基礎(chǔ)上定義了三種故障：連鎖故障，指一個(gè)關(guān)鍵基礎(chǔ)設(shè)施的故障會使另一個(gè)關(guān)鍵基礎(chǔ)設(shè)施出現(xiàn)故障。升級故障，指一個(gè)關(guān)鍵基礎(chǔ)設(shè)施的故障會加重或者惡化另一個(gè)關(guān)鍵基礎(chǔ)設(shè)施的異常，并且在這種異常與該故障是彼此不相關(guān)的。共因故障，指兩種或者兩種以上關(guān)鍵基礎(chǔ)設(shè)施是由于同一種故障原因而產(chǎn)生故障的。

2006年美國愛達(dá)荷國家實(shí)驗(yàn)室開發(fā)了CIMS(critical infrastructures modeling systems)框架，用于對基礎(chǔ)設(shè)施間依賴關(guān)系進(jìn)行建模與仿真。該框架采用網(wǎng)絡(luò)留的視角，將基礎(chǔ)設(shè)施抽象為一個(gè)含義節(jié)點(diǎn)和邊的網(wǎng)絡(luò)圖，利用節(jié)點(diǎn)表示基礎(chǔ)設(shè)施的組件，邊來表示基礎(chǔ)設(shè)施組件間的關(guān)系，給出了基礎(chǔ)設(shè)施幾個(gè)依賴關(guān)系的規(guī)范化定義，但較為抽象。

3 相互依賴關(guān)系研究方法

3.1 基于經(jīng)驗(yàn)與知識的方法

基于經(jīng)驗(yàn)與知識的方法是指對統(tǒng)計(jì)數(shù)據(jù)和實(shí)際發(fā)生的事件進(jìn)行后驗(yàn)，并為系統(tǒng)特征進(jìn)行都度量，它能夠反映社會影響的模式，也可用來進(jìn)行不同基礎(chǔ)設(shè)施故障傳遞的描述。Rahman等人[8]從1994年到2005年研究了347個(gè)基礎(chǔ)設(shè)施故障的案例，為探尋基礎(chǔ)設(shè)施故障的原因以及影響，包括故障所造成的連鎖后果。并指出其報(bào)告的局限性是不易捕捉到造成故障的具體事件。Zimmerman等人[9]研究了1990年至2002年美國能源部有關(guān)停電的報(bào)道，對相互依賴關(guān)系及其方向進(jìn)行度量。這一方法的優(yōu)點(diǎn)是通過現(xiàn)實(shí)事件找到故障的具體形式，缺點(diǎn)是不易準(zhǔn)發(fā)覺故障機(jī)理。

表1 六維度

3.2 建模與仿真

建模與仿真方法通過模擬相互依賴系統(tǒng)的行為來探究干擾是如何在系統(tǒng)間傳遞并且對不同關(guān)鍵基礎(chǔ)設(shè)施造成影響的。目前有關(guān)此領(lǐng)域的建模與仿真主要包括以下幾類。

3.2.1 網(wǎng)絡(luò)圖模型

關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)是由一系列功能性子系統(tǒng)及其連接所構(gòu)成。將子系統(tǒng)抽象為節(jié)點(diǎn)、連接抽象為邊，并賦予點(diǎn)和邊功能屬性，從而建立系統(tǒng)網(wǎng)絡(luò)圖模型。Lee等[7]通過建立關(guān)聯(lián)層次網(wǎng)絡(luò)模型定量描述了系統(tǒng)的輸入、獨(dú)享、共享、地理和交互五類作用。這一方法的優(yōu)點(diǎn)是能夠?qū)λ芯康膯栴}形成高度結(jié)構(gòu)化的描述，缺點(diǎn)是可能會損失一部分信息。

3.2.2 Agent仿真模型

Agent仿真建模是用Agent表示經(jīng)濟(jì)體，用自治性來表示經(jīng)濟(jì)體的行為，用Agent間的交互仿真經(jīng)濟(jì)行為，后來通過擴(kuò)展被用于相互依賴關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的仿真。美國Argonne國家實(shí)驗(yàn)室開發(fā)的Restore模型利用蒙特卡洛方法仿真災(zāi)后家基礎(chǔ)設(shè)施系統(tǒng)的恢復(fù)事件及經(jīng)濟(jì)成本[10]。這種方法在預(yù)測控制和優(yōu)化方面有很好的應(yīng)用，但對計(jì)算機(jī)技術(shù)及數(shù)據(jù)的要求較高，還并不能廣泛應(yīng)用。中抽象胡

3.2.3 物理模型

物理模型是從工程技術(shù)的角度出發(fā)，依據(jù)關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的組分和功能流程進(jìn)行建模，常用語工程技術(shù)特性較強(qiáng)的系統(tǒng)及其關(guān)聯(lián)的分析。美國Los Alamos實(shí)驗(yàn)室便是將物理模型應(yīng)用于關(guān)聯(lián)能源系統(tǒng)建模當(dāng)中。這種方法能夠有效仿真出關(guān)聯(lián)關(guān)鍵基礎(chǔ)設(shè)施的物理工程特性。

3.2.4 系統(tǒng)動力學(xué)模型

系統(tǒng)動力學(xué)模型是從物理模型中抽象出系統(tǒng)的主要功能和業(yè)務(wù)流程，刻畫的是關(guān)聯(lián)關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的動力學(xué)特性。美國Argonne等國家實(shí)驗(yàn)室聯(lián)合開發(fā)了IMCICM[11]模型，用來研究美國全部關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)及其相互作用。這種方法能夠通過對不同位置不同工作條件下的數(shù)據(jù)及投影進(jìn)行量化，反應(yīng)系統(tǒng)運(yùn)行和供應(yīng)需求。

3.2.5 經(jīng)濟(jì)模型

Haimes等人[12]以里昂惕夫的經(jīng)濟(jì)理論模型為基礎(chǔ)，提出了具有相互依賴性的關(guān)鍵基礎(chǔ)設(shè)施的輸入—輸出模型IIM。該模型可以被用來進(jìn)行不同區(qū)域的可預(yù)期成本與經(jīng)濟(jì)彈性之間的權(quán)衡。

以上是五種學(xué)者們較為常用的建模與仿真模型，雖然建模的框架和工具不盡相同，但總體來看建模的思路主要有兩種：一體化模型分析和耦合型分析[13]。所謂一體化模型分析，是指分析時(shí)試圖將多個(gè)關(guān)鍵基礎(chǔ)設(shè)施及其相互依賴關(guān)系置于一個(gè)框架之內(nèi)；所謂耦合型分析，是指將多個(gè)單類的關(guān)鍵基礎(chǔ)設(shè)施模型耦合在一起進(jìn)行仿真分析,針對多個(gè)基礎(chǔ)設(shè)施子系統(tǒng)，學(xué)者們紛紛運(yùn)用多層耦合網(wǎng)絡(luò)方法其進(jìn)行建模，實(shí)現(xiàn)了從洲際到城市再到區(qū)縣不同尺度區(qū)域內(nèi)關(guān)聯(lián)基礎(chǔ)設(shè)施系統(tǒng)關(guān)聯(lián)或脆弱性的研究。

4 結(jié)論與展望

通過回顧近年來有關(guān)關(guān)鍵基礎(chǔ)設(shè)施相互依賴關(guān)系方面的研究，不難發(fā)現(xiàn)，該領(lǐng)域雖然發(fā)展較快，但與預(yù)想達(dá)到的研究目標(biāo)仍存在差距。目前來說，該領(lǐng)域的研究仍處于起步和積累的階段。理論部分還有待豐富和完善，研究方法較多，但還不夠成熟。

4.1 從國家的角度來說，國外學(xué)者在該領(lǐng)域的研究處于領(lǐng)先水平，尤其是美國，其次是加拿大和歐洲，相比較而言，我國在關(guān)鍵基礎(chǔ)設(shè)施相互依賴關(guān)系領(lǐng)域的知識儲備、以及書籍較少，沒有形成深入的關(guān)鍵基礎(chǔ)設(shè)施風(fēng)險(xiǎn)管理的理念，缺乏統(tǒng)一、協(xié)調(diào)有力的管理機(jī)制。

4.2 從理論層面來說，在對關(guān)鍵基礎(chǔ)設(shè)施相互依賴關(guān)系類型的類型劃分上，不同學(xué)者持有不同的視角，目前主流的兩個(gè)研究框架也都不夠完善，抑或過于抽象抑或過于表面。學(xué)界尚未形成統(tǒng)一完整的基礎(chǔ)理論體系。

4.3 從研究方法層面來說已有的研究多建立在建模仿真的分析上，通過假設(shè)-演繹的范式來分析和理解基礎(chǔ)設(shè)施間的相互依賴關(guān)系，而與之對應(yīng)，基于經(jīng)驗(yàn)和知識的方法分析的研究則顯得少之又少，這可能與數(shù)據(jù)的難以獲取有關(guān)系。基于經(jīng)驗(yàn)和知識的方法能夠利用已有的信息反映出基礎(chǔ)設(shè)施故障的具體形式，但反應(yīng)關(guān)鍵基礎(chǔ)設(shè)施工作情況的數(shù)據(jù)量往往很大，利用這些數(shù)據(jù)進(jìn)行狀態(tài)評估預(yù)測是非常困難的，所以此方法不易找到故障的機(jī)理，很難定位到真正的具體故障。而建模與仿真方法可以做到這一點(diǎn)。現(xiàn)有的建模與仿真思路主要分為一體化分析和耦合型分析，按建模工具的不同主要可以分為：網(wǎng)絡(luò)圖模型、Agent仿真模型、系統(tǒng)動力學(xué)模型、物理模型以及經(jīng)濟(jì)模型。用此方法的研究較為廣泛，但在建模與仿真方面筆者認(rèn)為還需要妥善考慮如下問題：復(fù)雜性的處理、抽象和具體的權(quán)衡、確定故障事件、度量故障影響、信息獲取。關(guān)鍵基礎(chǔ)設(shè)施相互依賴關(guān)系分析沒有固定的最佳方法，研究者應(yīng)當(dāng)根據(jù)所考慮問題的不同而選用相應(yīng)的方法。

[1]Rinaldi S M,Peerenboom,J.P.,&Kelly，T.K.Identifying,understanding,and analyzing critical infrastructure interdependencies.[J].IEEE Cont rol Systems Magazine，2001(21):11-25.

[2]Luiijf,E.,&Klaver,M.H.A.Critical infrastruct ureawarenessrequiredbycivilemergency planning.Proceedings of the 2005 first IEEE International Workshop on Critical Infrastructure Protection(IWCIP’05),IEEE Computer Society,2005.

[3]European Commission.Green paper on a European programme for critical infrastructure protection 576 final.Brussels,2005.

[4]Zimmerman R.Decision-making and the vuln erabillity of interdependent critical infrastruc ture，[J].Proceedings of IEEE International Con ference on Systems,Man and Cybernetics,2004:4059-4063.

[5]Zimmerman R.Social implacations of infrastr ucture network interactions.[J].Journal of Urban Technology,2007(8):97-119.

[6]Dudenhoeffer D D,Permann M R,Manic M.CIMS:a framework for infrastructure independency modeling and analysis.Proceedings of the 2006 Winter Simulation Conference 2006:478-485.

[7]Lee E E,Mitcheell J E,Wallace W A.Restoration of services in inter dependent Infrastructure Systems:a network flows approach.[J].IEEE Transactions on Systems,Man and CyberneticsPart C:Applicationsand Reviews,2007,37(6):1303-1317.

[8]Rahman,H.A.,Beznosov,K.,&Marti,J.R.Identifi cation of sources of failures andtheir propag ation in critical infrastructure from 12 years of public failure reports.[J].International Journal of Critical Infrastructures,2009(5):220-224.

[9]Zimmerman R,Restrepo C.E.The next step:quantifying infrastructure interdependencies to improve security.[J].International Journal of Critical Infrastructures,2006(2):215-230.

[10]Peerenboom,J.P.,Fischer R,Whitfield R.Recovering from disruptions of interdependent critical infrastructures.[C]CRIS/DRM/IIIT/NSF Work shop on Mitigating the Vulnerability of Critical Infrastructures to Catastrophic Failures,Lyceum,USA,2001:2102-2106.

[11]Conard S H,LeClaire R J,Reilly G.Critical national infrastructure reliability modeling and analysis[J].Bell Labs Technical Journal,2005,11(3):57-71.

[12]Haimes,Y.,Horowitz,M,Lambert,J.,Satos,J.,Lian,C.,Crowther,K.Inoperability input-output mode for interdependent infrastructure sectors.I:Theory and methodology[J].Journal of Infrastru cture Systems,2005,11（2）：80-82.

[13]馬永馳:《關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)間脆弱性分析與保護(hù)》,科學(xué)出版社，2014版.