Додонов А.Г., Ландэ Д.В. Живучесть информационных систем

Подождите немного. Документ загружается.

2.4. Логико-вероятностные модели

мер варианта системы, в которой после одноразового нежелательного

влияния на

-й объект возникает ущерб

Объекты нумеруют для каждого варианта системы по мере

уменьшения ущерба, т.е.

1 2

...

s s s

c c c

  

. Установим пороговое до-

пустимое значение ущерба

и будем считать, что в случае много-

кратного НВ влиянию поддаются разные объекты и прежде всего объ-

екты, влияние на которые приносит наибольший ущерб.

Ущерб для системы в целом составляет сумму ущербов от влия-

ний на отдельные объекты. Показатель ущербов системы

рассчи-

тывается таким образом:

min ; .

A s

s s s i

C A

K K c c





 



Если

превышает пороговое допустимое значение ущерба

, то система становится неработоспособной.

Пусть некоторая информационная система, имеющая базовую

структуру

, выполняет задание на протяжении некоторого времени

. После НВ структура системы может измениться, т.е. система будет

иметь новую структуру

, с которой она может быть работоспособ-

ной, иначе говоря, структура принадлежит множеству работоспособ-

ных структур:





, 1,...,

i p

S S i N

  .

Или система может быть неработоспособной, в этом случае

принадлежит множеству неработоспособных структур, а именно





, ,...,

i p

S S i N N



  .

Таким образом, после НВ может образоваться или работоспо-

собная процедура из множества

, или неработоспособная процеду-

ра из

2. Анализ и оценка живучести

После

-кратного НВ система с соответствующей структурой

должна начать выполнять задание, и время его выполнения должно

составлять

Допустим, что каждый элемент системы может пребывать в од-

ном из трех состояний:

— элемент работоспособен и включен в

работу;

— элемент работоспособен, но не включен в работу по не-

которым причинам;

— элемент неработоспособен. Связи между

элементами определены и стационарны во времени, т.е. в произволь-

ный момент времени состояние элемента можно определить по со-

стоянию работоспособности этого элемента и состояниям других эле-

ментов. Признаки работоспособности системы неизменны во времени

и позволяют одновременно определять состояние системы по сово-

купности состояний ее элементов.

Существуют такие основные этапы анализа живучести системы

на основе логико-вероятностной модели.

Описание состояний элементов. Для каждого элемента вводят

две логические переменные:

— индикатор работоспособности

-го

элемента:

1, - ;

0, - ;

i й элемент работоспосбeн

i й элемент неработоспособeн









— индикатор состояния

-го работоспособного элемента:

1, - ;

0, - .

i й элемент работает

i й элемент не работает









Для отображения действия влияния на элементы вводят также

индикаторы

( )

i ij

z z





, где

1, -

- ;

0, -

- .

когда влияние j го типа

действует на i й элемент

когда влияние j го типа

не действует на i й элемент













2.4. Логико-вероятностные модели

Далее определяются индикаторы трех состояний элемента, ко-

торые затем используются для составления логических зависимостей:

;

i i i i

u x y z

u x x z



 

Составление логических зависимостей. На основании предва-

рительного анализа динамических моделей информационных процес-

сов с учетом противодействия НВ, реконфигурации и управления

можно составить систему логических уравнений, которую можно

представить в векторной форме:





, , .

Y f X Y Z



Для информационной системы определяющим является состоя-

ние относительно небольшой группы самых весомых исходных эле-

ментов, однако из-за наличия опосредованных связей работоспособ-

ность системы определяется и состоянием всех других элементов.

Функцию работоспособности системы (ФРС) записывают в виде





( )

, , ,

F f X Y Z

 

где

— логическая функция (

1,..,

i N



) — индикатор выполнения

-й функции системы.

Решение системы логических уравнений. Рассмотренная выше

система является линейной, которую можно решить, в частности, ме-

тодами определителей, подстановок и т.п. [33].

Вероятностное описание элементов и внешних влияний. Ка-

ждый элемент в вероятностной модели является вероятностью

( 1)

i i

p P x

 

того, что в заданный произвольный момент времени

элемент

работоспособен. С появлением влияний



Стойкость

-го элемента к

-му возбуждению можно учитывать

с помощью вероятности того, что элемент сохранит работоспособность

2. Анализ и оценка живучести

в случае появления возбуждения. Кроме того, задаются отдельные ве-

роятности попадания элемента

в область действия j-го фактора НВ.

Преобразование ФРС к форме перехода к замещению. Разли-

чают формы перехода к частичному и полному замещению. Формы

полного замещения: полная дизъюнктивная нормальная форма, дизъ-

юнкция ортогональных безповторных форм, безповторная форма в

базисе «И-НЕТ» и т.п. [33] После сведения к одной из этих форм вы-

полняется одношаговое замещение логических переменных и опера-

ций на вероятности и арифметические операции.

Запись смешанной формы. Замещение безповторных перемен-

ных у преобразованной ФРС является, как правило, не полной, а час-

тичной заменой, в результате которой некоторая логическая перемен-

ная и операция замещаются на вероятность и арифметическую опера-

цию. Полученную таким образом ФРС называют смешанной формой,

поскольку она содержит одновременно логические переменные и ве-

роятности.

Определение показателей живучести. С помощью многоша-

говой процедуры замещения логических переменных в смешанных

формах, которые составляются для базовой

и структур

, находят

вероятности работоспособных состояний в момент времени

—

( / )

P t S

( / )

P t S

, а также условную функцию живучести

( )

G t

( / )

( ) .

( / )

P t S

G t

P t S



После этого можно найти функцию выживания, безусловную

функцию живучести и количество НВ (среднее), приводящее систему

в неработоспособное состояние.

Определив функцию живучести как функцию выживания сис-

темы после

-кратного НВ (события

), усредненную по всем воз-

можным структурам,

( )

P k

— усредненную вероятность возникнове-

ния структуры

после

-кратного НВ, можно записать

   

/ , ( ) ( ).

n n k

G t A G t n P k G t



 



2.4. Логико-вероятностные модели

Безусловная функция живучести является усреднением по всем

возможным событиям

функции выживания системы:

 

1 1

( ) ( ) / ( ) ( )

n n k k

n k

G t P A G t A P S G t



 

 

где вероятность

( )

P S

определяется по формуле

( ) ( ) ( ).

k n n

P S P A P k







После этого можно найти функцию выживания, безусловную

функцию живучести и количество НВ (среднее), приводящее систему

в неработоспособное состояние.

Определим далее показатель выживания системы после

-крат-

ного НВ (в случае наступления события

( ) 1 ( ) ( 1/ ),

R n Q n P F A

   

где

( )

Q n

— условный закон уязвимости:

( ) ( 0 / ).

Q n P F A

 

Среднее количество НВ, приводящее к потере системой работо-

способности, находится по формуле

( ),

R n









а средний запас живучести,



 

В свою очередь, среднее количество НВ, приводящее к невы-

полнению задания, можно определить так:

 

1 1 1

( ) ( ) ( , 1) ( , ) ( , ).

n n n

t R n n G t n G t n G t n



  

  

    

  

2. Анализ и оценка живучести

2.5. Оценка живучести системы по ее состоянию

Рассмотрим информационную систему, которая состоит из

элементов с произвольными связями между собой и функцией работо-

способности





1 2

( ), , ,...,

i N

F f X X X X X

  . Система пребывает

под действием потока независимых точечных НВ:





где



— вероятность того, что

-й элемент попадет в область дей-

ствия

-го НВ, т.е. предполагается равновероятная уязвимость каж-

дого элемента при НВ.

Оценим живучесть такой системы. Функцию выживания систе-

мы

( )

R n

после

-кратного НВ можно представить в виде

( ) ( / ) ( 1/ ),

n n

X X

R n P x A P F A



  



где

— множество векторов

, которые соответствуют работо-

способным состояниям системы. Вероятность

( / )

P x A

находится по

формуле

( / ) ( ) ( / ),

n M

P x A P n P X n









 

где

1 2

( , ,..., )

n n n n





— вектор количества НВ, которые приходятся

на

подсистем;

— множество векторов, удовлетворяющих усло-

вию

1 2

...

n n n n

   

. Вероятность

( )

P n



вычисляется по формуле

1 2

( ) ,

! !... !

n n

P n

n n n

  

 



где



— вероятность того, что

-я подсистема входит в область дей-

ствия НВ.

2.5. Оценка живучести системы по ее состоянию

При условии равномерности уязвимости элементов системы

приведенные выражения можно упростить. Представим ФРС в виде

ортогональной дизъюнктивной нормальной формы:

F Q



 

Соответственно,

( ) ( 1/ )

i n

R n P Q A



 



Для случая равновероятного попадания элементов в область

действия НВ, исходя из базовой структуры

, определяют все воз-

можные работоспособные структуры





, 1, 2,...,

i p

S S i N

  , а функ-

ция выживания принимает вид

( )

( ) ,

r n

R n





где

( )

r n

— количество случаев, при которых возникает структура

после

-кратного НВ;

( )

r n

можно определить по формуле

( )

j nk kj

r n L B





где

— количество перестановок из

элементов

типов;

—

количество разных векторов

нулями, которые приводят к

структуре

Числа

могут быть вычислены непосредственно по формуле

( 1) .

i n k

nk k

L C i





 



В булевой модели можно предположить, что инфосюжет состоит

из п элементов (документов), при этом

-му элементу соответствует бу-

2. Анализ и оценка живучести

лева переменная

, которая может принимать значения {0, 1}, т.е.

если элемент активен,

0, иначе.













Принимая во внимание тот факт, что система динамическая,

можно зафиксировать значение n как заведомо большое число, пре-

вышающее максимально наблюдаемое количество документов в ин-

формационных сюжетах. Несуществующим (недостающим) докумен-

там можно присвоить нулевые значения

Состояние информационной системы определяется структурной

булевой функцией ее работоспособности (действенности), зависящей

от переменных

1 2

, , ,

x x x



 

1 2

если система активна,

, ,...,

0, иначе.

S x x x













Если активность элемента информационной системы рассмат-

ривать как функцию времени, то состояние i-го документа можно рас-

сматривать как случайный процесс





x t

, принимающий в произ-

вольные моменты времени



значения 0 и 1. Для информационной

системы определяется вероятность ее работоспособности по извест-

ным правилам [34, 35].

Среди недостатков булевых моделей можно назвать предполо-

жение только о двух состояниях компонентов — активности и неак-

тивности. Кроме того, булевы модели не учитывают то, что весьма

существенную роль может играть последовательность, в которой от-

казывают отдельные компоненты. Кроме того, в общем случае харак-

тер отказов отдельных компонент зависит от состояния других ком-

понент. Это находится в противоречии с изначально предполагаемой

независимостью элементов в булевой модели.

Информационную систему можно описать также марковской

моделью. Пусть система имеет т возможных состояний. Обозначим

множество состояний через





1 2

, ,..., .

M z z z

 Для любого фикси-

2.5. Оценка живучести системы по ее состоянию

рованного момента времени



состояние системы





z t

интерпре-

тируется как случайная величина. Заданы множество всех состояний

M, вектор распределения начальных вероятностей p(0) и функция пе-

реходных вероятностей. Определяется вероятность актуальности ин-

формационной системы в заданный момент времени t (работоспособ-

ность системы) [34].

Применимость марковских моделей также имеет свои границы.

Интенсивности переходов между отдельными состояниями системы мо-

гут быть нестационарными, принимаемые при расчете допущения от-

носительно распределения интенсивности отказов могут значительно

снизить точность полученных результатов; число состояний системы мо-

жет быть так велико, что расчет становится практически невозможным.

Проведя оценку надежности компонент системы и получив об-

щие показатели ее надежности, можно оценить ее живучесть на всех

этапах их жизненного цикла. Существует несколько подходов к прове-

дению оценки живучести, имеющих общий характер. Живучесть систе-

мы можно оценить относительно некоторого стандартного внешнего

воздействия либо относительно множества внешних воздействий [36].

Пусть





E e

 — множество деструктивных воздействий на

информационную систему;





j i



— показатель эффективности (ка-

чества) функционирования

-го варианта информационной системы

при воздействии

;









min

j j i

e E

H E e





 — показатель живучести

информационной системы для множества возможных воздействий на

нее Е. Тогда при целенаправленном формировании информационной

системы задача проектирования состоит в том, чтобы из множества

вариантов информационных систем



найти такой, для которого вы-

полняется









max min

k j i

e E

H E e







 .

Кроме необходимости сохранения множества функций инфор-

мационных систем при неблагоприятных для информационной систе-

мы воздействий, часто ставится задача сохранения определенного

уровня ее эффективности (актуальности, информативности).

2. Анализ и оценка живучести

Для количественной оценки живучести существуют многочис-

ленные подходы, наиболее распространенный среди которых заклю-

чается в определении соотношения количества функциональных (ра-

ботоспособных) состояний системы к общему возможному количеству

состояний системы, возникающих при деструктивных воздействиях.

В качестве простого примера информационной системы рас-

смотрим информационный сюжет, состоящий из четырех документов

(п = 4). Деструктивное воздействие на информационный сюжет —

устранение из информационного пространства входящих в него доку-

ментов. Причем первый из документов считается определяющим —

его устранение из информационного пространства фактически ведет к

потере информационной функциональности всего информационного

сюжета. Остальные три документа считаются равноправными. Устра-

нение любых двух из них (k = 4) также ведет к потере функционально-

сти информационного сюжета.

Если обозначить состояние информационного сюжета 4-эле-

ментным кортежем, то множество неработоспособных состояний мо-

жно представить как объединение двух подмножеств, первое из кото-

рых соответствует состояниям с устраненным первым документом, а

второе — с актуальным первым документом, но отсутствующими

двумя другими.

Мощность первого подмножества составляет 2

n–1

= 8, перечис-

лим его компоненты:

(0, 0, 0, 0)

(0, 0, 1, 0)

(0, 0, 0, 1)

(0, 0, 1, 1)

(0, 1, 0, 0)

(0, 1, 1, 0)

(0, 1, 0, 1)

(0, 1, 1, 1).

Мощность второго подмножества составляет C

+ 1 = 4, его

компоненты:

(1, 0, 0, 0)

(1, 0, 1, 0)

(1, 0, 0, 1)

(1, 1, 0, 0).

Мощность всего множества состояний после деструктивного

воздействия составляет 2

– 1 = 15.