域间路由系统级联失效分析与建模

陆余良, 杨　斌

(电子工程学院网络系, 安徽 合肥 230037)



域间路由系统级联失效分析与建模

陆余良, 杨斌

(电子工程学院网络系, 安徽 合肥 230037)

摘要：针对域间路由系统的级联失效展开研究,分析了系统级联失效的机制,建立了域间路由系统级联失效模型。模型引入了符合节点真实信息的IRS介数,并基于IRS介数定义节点的初始负载;针对系统中节点的重启现象和BGP更新报文的交互现象,引入了节点重启时延和更新报文存活时延,使构建的级联失效模型更加符合系统的真实情况。最后,通过仿真实验分析了IRS介数与其他测度的区别,研究了不同模型参数对系统级联失效的影响。研究结果为分析和提升域间路由系统的安全性能提供了有效的参考和借鉴。

关键词：复杂网络;域间路由系统;级联失效;传播模型;重启时延

0引言

近年来,关于域间路由系统的安全性研究主要集中于异常行为检测和安全性的增强等方面[1-5],但作为一个复杂网络系统,针对域间路由系统级联失效现象的研究相对较少。级联失效(又称级联故障)是指,当网络中节点由于过载而效率低下甚至失效后,该节点所承载的流量负载绕行其他节点,增加的流量负载造成其他节点的过载或失效,失效过程反复进行,导致网络运行被影响的现象[6]。例如,2001年爆发的Code-RedⅡ和Nimda病毒就曾造成了互联网的大面积瘫痪,其中一个重要原因就是域间路由系统的级联失效加剧了网络的不稳定。因此,有必要对域间路由系统的级联失效做深入分析研究。

级联失效作为复杂网络的一个热点问题,已吸引较多的学者展开研究[7-12]。2007年,文献[13]提出了一种针对级联失效的复杂网络模型,认为度值大的节点应具有较高的负载能力,仿真结果表明,相比于ML模型和WK模型,文献[13]所提出的节点容量模型具有更好的稳定性,对网络系统的构建具有指导性作用。文献[14]提出了一种基于节点及其邻居节点度的负载衡量方法,并在该规则上分别对度高和度低的节点进行攻击,仿真结果表明,在一定情况下,两者具有相同的攻击效果。因此,在提高网络的鲁棒性时不仅需要考虑核心节点,也要考虑对边缘节点的防护。文献[15]利用流量守恒定律来考虑边的负载情况,研究了美国电网的级联故障行为,考虑了负载重分布对美国电网级联故障的影响。目前,级联失效模型的相关研究中,节点的初始负载主要通过节点的度或介数来定义。但是,由于域间路由系统主要为互联网提供流量转发服务,域间路由系统节点的初始负载应为经过该节点的流量信息。因此,节点的度无法表征域间路由系统节点的负载信息;由于节点的介数仅考虑节点的连接关系,并未考虑域间路由系统节点间的商业关系,因此节点介数也无法体现域间路由系统节点的真实负载情况。另外,已有的级联失效模型认为,一旦网络中的节点失效,将不会重新连入网络中,这并不符合域间路由系统的实际情况。同时,域间路由系统中的路由器在失效和重启时,系统中将传播承载相关路由信息的BGP更新报文。综上,现有的级联失效模型并未考虑这些问题,因此无法真实地反映域间路由系统的级联失效现象。

针对上述问题,本文分析了域间路由系统的级联失效机制,定义了符合域间路由系统节点信息的IRS介数,并基于IRS介数定义了系统中各节点的负载。同时,通过引入路由器重启时延、更新报文存活时延来分析系统节点重启、失效的真实过程,使得模型对域间路由系统级联失效的分析更具实际意义。最后通过实验分析了IRS介数与其他节点测度的区别,验证了模型的有效性和真实性,研究了不同模型参数和不同攻击策略对域间路由系统级联失效的影响。

1域间路由系统级联失效机制分析

域间路由系统是个庞大的复杂网络系统,因此一个自治域节点的失效或者断开均有可能造成域间路由系统的级联失效,从而引发大规模的系统故障,影响系统的运行。对域间路由系统的分析显示,造成域间路由系统级联失效的原因主要有以下两点:①节点失效引发的负载重分配。自治域在域间路由系统中主要负责转发流量负载,若某个节点失效,则该节点所承载的流量负载将按照一定的规则向其邻居节点进行分派。若邻居节点所承担的负载超过了它的额定负载,邻居节点就会相继过载失效,如此反复,进而引发系统的级联失效现象;②BGP更新报文导致的节点失效。域间路由系统节点间主要通过BGP协议交互彼此的路由信息。当系统中节点失效或重启时,将通过BGP协议的更新报文向全网宣告相关的路由信息,即该节点不可达的信息或该节点的相关路由信息。多个节点的失效或重启现象有可能导致网络中BGP更新报文的爆发,消耗系统中节点的处理能力,即负载能力,继而引发级联失效。

2域间路由系统级联模型构建

本文将域间路由系统表示成一个具有N个节点和M条边的无向图,并用G=(V,E)表示,其中V表示顶点的集合,E表示边的集合。

2.1相关参数定义

域间路由系统中各个节点的负载在每个时间单元内均会有所变化,例如节点失效(重启)所引发的更新报文、负载的重分配等,因此用Li(t)表示节点i在t时刻的负载容量。特别地,当时刻t取0时,表示域间路由系统级联失效初始阶段节点i的初始负载Li(0)。

域间路由系统主要提供流量转发的服务,因此节点的初始负载与经过该节点的最短路径数有关,即与节点的介数有关。同样地,本文使用节点的介数来初始化节点的初始负载,但是传统的节点介数仅从网络的连接来分析,不符合域间路由系统的真实情况,这是因为自治域间的商业关系[16]有可能导致自治域不会为与其直接相连的两个自治域提供转发流量的服务,即存在连接的3个自治域并不相互可达的情况。考察图1所示的小型网络。

图1　某小型网络

如图1所示,根据域间路由系统的商业关系规则,节点X到达节点B有且仅有一条路径XDCB。但是,依据传统介数的定义,节点X到达节点B的路径有分别为XAB和XDCB的两条路径,显然,传统介数的定义方式并不符合域间路由系统的真实情况。针对这一问题,本文定义了域间路由系统节点的新介数——域间路由系统介数(inter-domain routing system betweenness,IRS)。在介绍IRS介数之前,定义域间路由系统节点对间的最短路径集如下。

定义 1域间路由系统节点间的最短路径集是指一个自治域节点到另一个自治域节点的稳定路由路径中,长度最短路径所构成的集合,用LLPS描述,节点i、j间的最短路径集LLPSi,j定义如下:

(1)

式中,RSi,j表示域间路由系统中连接节点i、j的稳定路由路径;NP为路径P的长度。

定义 2节点的IRS介数是指节点在系统的所有节点对最短路径集中所出现的频度,用IRS描述,节点k的IRS介数记为IRSk:

(2)

式中，LLPSi,j(k)表示节点k在节点i、j间最短路由路径集中出现的路径数,若节点k在一条路径中出现多次,仅记为一次。

根据IRS介数,本文定义节点的初始负载如下:

(3)

式中，IRSi,j(k)指节点k在节点i和节点j的最短路径中出现的次数;分母表示节点i和节点j的最短路径数。

在定义了节点的初始负载之后,进一步定义节点的额定负载。本文采用类似于文献[17]中的额定负载设定方法,定义节点i的额定负载Ci如下:

(4)

式中,系数γ称为容忍系数,表征了系统中节点对负载的容忍程度。

以往的级联失效模型认为,节点失效后,就彻底地从网络中移除了,并未考虑到节点重启并再次连入系统的情况,这与域间路由系统的实际情况不符。针对这一问题,本文引入节点i的重启时延ΔTi,以衡量节点重新启动连入网络所需要的时间。节点重启时延的大小表征了该节点的重启时延与系统级联失效传播时间的比值。当重启时延的取值为0时,表示该节点在失效的时刻立即重新启动并连入域间路由系统;当重启时延的取值为∞时,即表示节点在失效后,不再连入域间路由系统,等价于该节点永久失效。

针对域间路由系统失效机制的分析表明,节点的失效和重连有可能造成网络中BGP更新报文的骤增,增加网络中节点的负载,然而这类报文并不是网络中的主要负载流量,且具有一定的存活时限。因此,为真实地反映节点失效和重连时所产生的更新报文对系统的影响,定义更新报文存活时延如下。

定义 3更新报文存活时延描述的是一个更新报文从产生到消亡所需要耗费的时间,即更新报文在系统中存活的时间,记为TAlive。

与重启时延相似,更新报文存活时延的大小表征了更新报文的存活时延与系统级联失效传播时间的比值。当TAlive=0时,则更新报文在系统中存活时间为0,等价于域间路由系统从未产生过更新报文;当TAlive=∞时,系统中的更新报文不会随时间消亡,即更新报文一旦产生就不会消失。

2.2域间路由系统级联失效过程解析

根据复杂网络的级联失效演化过程,将域间路由系统的级联失效过程划分为如下几个阶段:故障启动阶段、级联故障传播阶段、系统稳定阶段。

(1)故障启动阶段。域间路由系统稳定运行,即尚未有节点发生故障时,各个节点均处于自由流(Free-Flow)状态。此时,各节点的负载可以用Li(0)表示,且满足如下关系式:

(5)

当域间路由系统受到干扰时,系统中部分节点会由于自身故障或者外界攻击而过载失效,这一阶段称为域间路由系统的故障启动阶段。失效节点满足如下关系:

(6)

式中,F表示由于自身故障或外界攻击而失效的节点集合;Ri是节点i所受到的干扰,即自身的故障或外界的攻击。

(2) 级联故障传播阶段。级联故障传播期间,系统中节点负载的变化主要有3种方式。

①根据BGP的协议规则,节点失效后,其邻居节点将会向外发送更新报文以注销与该节点相关的路由信息,相继地,该邻居节点将会继续向外传播路由更新信息,进而造成全网负载的增加。同样地,失效节点重启后,将与邻居节点建立BGP连接,宣告有关该路由的信息,邻居节点将会继续向外宣告该节点加入系统的路由信息,进而造成系统负载的增加。更新报文造成的负载可表示如下:

(7)

式中，Ψ表示失效、重启的节点集;Lupdatek指节点k重启(失效)所引发更新报文的负载。

为简化模型,设定所有节点的失效(重启)所造成的更新报文负载相同,则式(7)可简化为

(8)

式中,NΨ表示系统中失效、重启的节点数;Lupdate是单位更新报文的负载。

②节点i失效后,其所承担的流量负载将按照一定的规则重分配给其邻居节点。本文认为这种负载传播规则是按照节点的额定负载来分配的,即邻居节点中额定负载较大的节点能够分配到较多的负载,这种择优的负载重分配方式能够保持网络整体通信的通畅,一定程度上抵御了级联失效造成的影响,具体负载重分配方式为

(9)

式中，Cj表示节点j的额定负载;Γi表示节点i的所有邻居节点。

根据额定负载的定义,可将式(9)简化如下:

(10)

③节点的重启主要包括建立连接和正常运行两个基本步骤。首先,节点重启并与邻居节点建立连接,即节点通过BGP更新报文向周围节点宣告路由信息及节点存活消息,接着,该节点承担原先绕行邻居节点的负载并正常工作。例如,当节点i在t-1时刻重启时,其并未承担网络中的任何负载,这是由于网络中并没有经过该节点的路由信息,此时,节点i通过更新报文向外宣告自身的存活信息。在t时刻,节点i开始正常运行并承担网络中原先绕行邻居节点的负载,此时,节点i及其邻居节点的负载如式(11)、式(12)所示:

(11)

(12)

综合上述分析,节点j在时刻t的负载可表示为

(13)

式中，Ψt表示在t时刻节点j邻居中失效、重启的节点集;Rt表示节点j的邻居中,在t-1时刻重启,t时刻正常运行的节点集。

故障传播期间,若节点j的负载满足如下关系:

(14)

即负载超过节点的额定负载时,则节点j失效并将造成系统故障的进一步扩散,引发更深层次的故障。

(3) 系统稳定阶段。与以往级联失效结束的界定方式不同,由于本文定义了节点的重启时延,因此考虑如下的两种情况:

①当ΔTi=∞时,系统的所有存活节点均正常工作,且不再会由于其他节点的失效而进一步引发故障,即网络中正常工作节点的负载均小于其额定负载;

②当ΔTi≠∞时,由于系统中的节点将会重启,因此系统中的故障节点不可能一直处于失效的状态,即系统各节点正常运作将是域间路由系统级联失效的最终状态。

2.3模型假设和度量指标

本文在采用建立的级联失效模型分析域间路由系统的级联失效现象时,对模型做出如下假设:

(1) 在域间路由系统中,相较于节点的初始负载而言,实际协议更新报文的负载较小,因此模型设定BGP协议更新报文的负载如下:

(15)

(2) 节点间的更新报文是骤发的,即若一个节点失效(重启),则关于节点路由的更新报文能够在下一个时刻传播到网络中的各节点。

(3) 域间路由系统的路由信息在一定时间内能够维持相对稳定,即域间路由系统中各节点的IRS介数在一定时期内稳定不变。

为量化分析级联失效对域间路由系统的影响程度,定义无效节点和无效链接如下:

定义 4无效节点指系统中由于级联失效而无法正常工作的节点,主要可分为以下两类节点:

(1) 由于过载无法正常转发流量负载的节点,即系统中的失效节点;

(2) 系统中无法与其他节点进行通信的节点,即级联失效导致的孤立节点。

定义 5对于系统中的链接,若其任意一端节点无效,则该链接无法实现转发流量的功能,将这类丧失转发功能的链接称为无效链接。

(16)

(17)

式中,F表示失效的节点集;fi、vi表示节点i失效时,无效节点和无效链接所占的比例。

3仿真实验

为了验证本文域间路由系统级联失效模型的有效性,选取CAIDA项目中所提供的2010年01月的BGP AS Relationship数据和RouteViews项目采集的路由路径数据作为实验数据[18-19]。数据集的分析结果如表1和表2所示。实验主要采用蓄意攻击策略,即攻击网络中的重要节点,通常指承载负载较多的节点。本文中各实验均以比例p=0.01%选取节点进行攻击,重复仿真100次,最后取平均值作为实验结果。

表1　BGP AS Relationship的分析结果

表2　路由路径集的分析结果

3.1IRS介数、度和介数分析

根据IRS介数、节点度以及介数的定义,分别计算了各节点的不同测度值。选取其中IRS介数、节点度以及介数最大的20个节点作为代表进行对比分析,结果如图2所示。

图2　节点相关测度对比

由图2可见,相比于节点度,域间路由系统节点的介数和IRS介数值较大,可以观察到,无论是介数还是IRS介数,节点之间的差别均比节点间度的差别显著。因此,节点的介数、IRS介数能够更为有效地区分域间路由系统中的节点。同时,由节点的介数曲线可知,相对于节点的IRS介数,节点的介数值极大,分析其原因,主要是由于节点的介数仅考虑了节点的连接关系,并未考虑节点之间的商业关系规则,使得每对节点之间的最短连接数较多,造成了节点介数值极大的原因。相对地,IRS介数主要考察了网络中的实际路由路径信息,真实地反映了域间路由系统各个节点间流量的转发情况。因此,IRS介数能够真实地反映域间路由系统节点流经流量的情况,其值较介数也相对较低。

3.2不同模型下的级联失效分析

图3　本文模型(α=2,γ=1,TAlive=3,ΔT=4)与传统模型(α=2,γ=2,β=2)的级联失效对比图

3.3模型参数对域间路由系统级联失效的影响

3.3.1负载参数对模型的影响

α取值为0.5,1时,不同容忍系数γ对本文模型的影响,得到实验结果如图4所示。

图4　、随γ的变化情况(TAlive=5,ΔT=∞)

如图4所示,ΔT=∞,α固定的情况下,随着γ的增加,域间路由系统发生级联失效所引发的无效节点和无效链接将逐渐减少。显然,当γ增加时,系统中各节点的额定负载也相应增加,节点失效的概率越小,域间路由系统的稳定性更高,系统表现出的抵制级联失效的能力越强。

考虑ΔT≠∞的情况。根据级联失效过程分析,为了避免级联失效的发生,节点j需要满足关系式Lj(t)≤Cj。根据式中各个元素的定义,可以将上式表示为

(18)

进一步简化如下:

(19)

(20)

式中,ΔLΓj,tj表示在t时刻节点j的邻居节点中,未正常工作的节点分配给节点j的负载,k表示在t时刻网络中所存在的更新报文数。特别地,取t=1,进一步化简式(20),可知当γ满足式(21)时,即可保证节点i的失效并不会导致节点j的失效:

(21)

对于给定的域间路由系统,由于更新报文的负载和存活时延一定,节点j的邻居节点失效所引发的负载重分配规则固定,若容忍系数γ越大,满足不等式(20)的可能性越大,节点失效的概率越小,系统的稳定性也就越高。

由图4可以明显地看出,无论参数α如何变化,在其余参数不变时,系统的级联失效效果没有区别,这与式(20)相符,即式(20)中的参数与负载参数α无关,因此无论α如何变化,系统的级联效果不变。

3.3.2更新报文存活时延对模型的影响

考察不同取值的TAlive对级联失效的影响效果并进行仿真,得到实验结果如图5所示。

图5　TAlive对级联失效的影响对比图(α=2,γ=1)

3.3.3重启时延对模型的影响

考察ΔT对系统级联产生的影响,针对不同取值ΔT的系统级联失效进行仿真,实验结果如图6所示(图中,不同节点重启时延的设定如下:依据初始负载的大小将节点均匀地分为20类,并分别设定为从1到20的重启时延)。

图6　ΔT对级联失效的影响(α=2,γ=1,TAlive=3)

从图中可以明显看出,相对于其他情况,ΔT=0时,系统能够维持较好地稳定性。分析原因,主要是由于单节点故障所能影响的节点相对较少,节点失效和重启所产生的BGP更新报文有限,同时由于失效节点立即重启,能够迅速承担绕行其邻居节点的流量,使得其邻居节点失效的几率降低,导致无效节点和无效链接相对较少,因此相对其他情况,域间路由系统能够恢复到更为稳定的状态。

对比重启时延为5,10以及不同重启时延的级联失效实验结果,可以发现,节点重启时延不同的网络相对于所有节点重启时延相同的网络能较好地抵御级联失效,具有更好的鲁棒性。造成这一现象的主要原因是各个节点的重启时延不同,即同一时刻失效的节点不会同时重启,系统中存活的更新报文数量相对较少,对级联失效的影响较小,从而导致相对于所有节点重启时延一致的情况,不同重启时延的系统具有更好的稳定性。

4结论

本文在分析和总结相关工作的基础上,针对域间路由系统与传统复杂网络系统工作机制的不同,提出了一种符合真实情况的域间路由系统级联失效模型。为了能够较好地衡量节点,本文定义了符合域间路由系统节点的IRS介数。同时,在模型中引入了节点重启时延和更新报文存活时延,使模型能够更加真实地反映域间路由系统。实验结果表明,IRS介数能够有效地区分域间路由系统的节点并真实反映流经节点的流量情况;更新报文存活时延的增加将更大程度地引发系统的抖动现象;相对于将系统中各节点的重启时延设置为一致值,节点重启时延的多样性分布将在一定程度上提高系统的鲁棒性。

针对域间路由系统的级联失效提出理论模型只是研究域间路由系统安全的一个前提,针对系统级联失效的预防和控制也同样亟需研究。论文下一步的工作将主要针对有限资源下域间路由系统的防护资源分布策略和级联失效的控制机制展开研究。

参考文献：

[1] Li S, Zhuge J W, Li X. Study on BGP security[J].JournalofSoftware, 2013,24(1):121-138.(黎松,诸葛建伟,李星.BGP安全研究[J].软件学报，2013,24(1):121-138.)

[2] Yang B, Lu Y L, Yang G Z, et al. Path forging detection approach based on aggregation[J].ComputerScience, 2014,41(8):158-163.(杨斌, 陆余良, 杨国正,等.一种基于聚类的路径伪造检测方法[J].计算机科学,2014,41(8):158-163.)

[3] Butler K, Farley T R, McDaniel P, et al.A survey of BGP security issues and solutions[J].ProceedingsoftheIEEE,2010,98(1):100-122.

[4] Hong S C, Hong J W K, Ju H.IP prefix hijacking detection using the collection of AS characteristics[C]∥Proc.ofthe17thNetworkOperationsandManagementSymposium，2011:1-7.

[5] Wang B, An J L,Wu C M,et al. Study of BGP secure scheme based on divide and conquer strategy[J].JournalonCommunications, 2012, 33(5):91-98.(王滨,安金梁,吴春明,等.基于分治策略的BGP安全机制[J].通信学报,2012,33(5):91-98.)

[6] Xiao Y D, Lao S Y, Hou L L, et al. Network control ability based on node overloaded failure[J].ActaPhysicaSinica,2013,62(18):180201-180203.(肖延东,老松杨,侯绿林,等.基于节点负荷失效的网络可控性研究[J].物理学报,2013,62(18):180201-180203.)

[7] Shi M C, Shao P P, Xiao Q Z. An LCOR model for suppressing cascading failure in weighted complex networks[J].ChinesePhysicsB, 2013, 22(5): 058901.

[8] Huang L, Lai Y C, Chen G. Understanding and preventing cascading breakdown in complex clustered networks[J].PhysicalReviewE, 2008, 78(3): 036116.

[9] Sergey V B, Roni P, Gerald P, et al.Catastrophic cascade of failures in interdependent network[J].Nature,2010,464(4):1025-1028.

[10] Huang Y Y,Jin C.Invulnerability analysis of logistics infrastructure network based on cascading failure[J].ControlandDecision,2014,29(9),1711-1714.(黄英艺,金淳.物流基础设施网络级联失效下的抗毁性分析[J].控制与决策,2014,29(9),1711-1714.)

[11] Rosas-Casals M, Solé R. Analysis of major failures in Europe’s power grid[J].InternationalJournalofElectricalPower&EnergySystems, 2011, 33(3): 805-808.

[12] Chang L, Wu Z.Performance and reliability of electrical power grids under cascading failures[J].InternationalJournalofElectricalPower&EnergySystems,2011,33(8):1410-1419.

[13] Li P, Wang B H, Sun H, et al. A limited resource model of fault-tolerant capability against cascading failure of complex network[J].TheEuropeanPhysicalJournalB-CondensedMatterandComplexSystems, 2008, 62(1): 101-104.

[14] Jian W W, Li L R. Effect attack on scale-free networks due to cascading failures[J].ChinesePhysicsLetters,2008,25(10):3826.

[15] Simonsen I, Buzna L, Peters K, et al. Transient dynamics increasing network vulnerability to cascading failures[J].PhysicalReviewLetters, 2008, 100(21): 218701.

[16] Gao L. On inferring autonomous system relationships in the Internet[J].IEEE/ACMTrans.onNetworking,2001,9(6):733-745.

[17] Motter A E, Lai Y C. Cascade-based attacks on complex networks[J].PhysicalReviewE, 2002, 66(6): 065102.

[18] CAIDA. BGP AS relationship[EB/OL]. http:∥as-rank.caida.org, 2011-02-01.

[19] Route views project page[OL].http:∥www.routeviews.org.2005.

[20] Guo Y, Wang Z, Luo S, et al. A cascading failure model for interdomain routing system[J].InternationalJournalofCommunicationSystems, 2012, 25(8): 1068-1076.

陆余良(1964-),男,教授,博士研究生导师,主要研究方向为计算机网络安全。

E-mail:Luyuliang@ah165.net

杨斌(1989-),男,博士研究生,主要研究方向为计算机网络安全。

E-mail:810941186@qq.com

网络优先出版地址：http://www.cnki.net/kcms/detail/11.2422.TN.20150910.1050.008.html

Analysing and modeling cascading failures for inter-domain routing system

LU Yu-liang, YANG Bin

(DepartmentofNetwork,ElectronicEngineeringInstitute,Hefei230037,China)

Abstract:The cascading failures for the inter-domain routing system is researched. Based on the analysis of cascading behaviors for the inter-domain routing system, an cascading failure model for the inter-domain routing system is proposed. By introducing node’s IRS betweenness which is consistent with the inter-domain routing system, node’s initial load is defined. In order to simulate the real situation of the system, node’s restart delay and BGP update alive delay are introduced. Finally, by analyzing the difference between IRS betweenness with other node’s measurements, the impact on cascading failures of different model parameters is investigated. Moreover, research findings will provide useful guidance and reference for analyzing and improving the security of the inter-domain routing system.

Keywords:complex network; inter-domain routing system; cascading failure; propagation model; restart delay

作者简介：

中图分类号：TP 393

文献标志码：A

DOI:10.3969/j.issn.1001-506X.2016.01.27

基金项目：国家自然科学基金(61171170)；安徽省自然科学基金(1408085QF115)资助课题

收稿日期：2015-03-25；修回日期：2015-06-27；网络优先出版日期：2015-09-10。