实物保护系统的定量评估模型之研究现状及发展

2020-05-14赵培祥

核安全 2020年2期

赵培祥，江俊，曾毅，金华

（中国人民公安大学信息技术与网络安全学院，北京 100038）

实物保护系统（Physical Protection System，简称PPS）最早应用在核安保领域。PPS 是指利用实体屏障、探测延迟技术及人员的响应能力阻止盗窃、抢劫或非法转移核材料以及破坏核设施行为的安全防御系统。实物保护系统是每个核电站保护核材料和核设施免受盗窃、抢劫、非法运输和破坏的关键。

建立实物保护系统以后，需要分析设施的整体风险，对实际防护效果进行评估。实物保护系统有效性分析是指目标在受到威胁的情况下，综合考虑影响防护系统防护效果的各类因素，判断实物保护系统所能提供的防护效果，寻找系统薄弱点。开展核设施实物保护系统有效性分析研究可为实物保护系统的可靠性和稳定性提供理论依据和数据支撑，有助于找出系统薄弱点并进行升级改进[1]。因此，判断现有系统能否提供有效的防护效果，采用什么样的方法建立一套完善的评估体系，对实物保护系统进行切实有效的分析成为目前亟待解决的问题。

实物保护系统有效性评价方法可分为定性评估和定量评估两种。其中定性评估方法常用于早期评估，定性评估主要通过归纳演绎、结合专家团队的综合分析来做出评价，例如，场景分析、桌面战术分析等。定性评估方法简单易行，但主观性较强，评估结果很大程度上依赖于专家的知识和经验，对不同的评价指标也会产生不同的评价结果，无法得到系统有效的、可靠的和高效率的数据[2]。由于核电站不允许进行实际的破坏实验，因此，若要进行定量评估，研究人员可以通过建立核电站实物保护系统的数学模型，借助数学模型对实物保护系统主要功能的参数进行量化计算及分析，找到防护系统的脆弱所在。根据类型不同以及各地区的实际情况，各评估模型也有所不同，且随着技术的进步，评估模型需要反复建模，不断更新。

20 世纪70 年代，美国桑迪亚国家实验室最先提出了关于实物保护系统的有效性分析方法，并先后设计了敌手序列中断评估模型（Esti⁃mation of Adversary Sequence Interruption，简称EASI）、入侵脆弱路径分析方法（Systematic Analysis of Vulnerability to Intrusion，简称SA⁃VI）、保障和安全分析系统及软件（Analytic Sys⁃tem and Software for Evaluating Safeguards and Se⁃curity，简称ASSESS）、内部安全有效性模型（Internal Security Effectiveness Model，简称IS⁃EM）等经典评估模型。韩国、俄罗斯等国也相继在此基础上进行研究，取得了一定的进展和突破，结合实验数据库对实物保护系统模型进行分析评判，逐步建立起一套较为完善的量化评估模型和评估软件。

我国于20世纪90年代末引进了实物保护系统理论并应用于军工领域，该理论在民用核设施中的应用还处在探索阶段。评估模型同样是以SAVI模型为基础，结合EASI模型进行单路径有效性分析。目前，国内在实物保护系统有效性评估方面已取得了一定的研究进展，但由于起步较晚，缺乏数据库的支撑，还未形成一套适合我国国情的，具有高可靠性和实用性的有效性评估体系。

本文对目前常用的定量评估模型进行了总结分析，对各模型的优缺点进行了客观分析和评价，为今后模型的调整提出了改进建议。

1 实物保护系统有效性评估模型

1.1 实物保护系统的构成

实物保护系统的功能（如图1 所示），由探测、延迟和响应3个方面构成，对实物保护系统有效性进行评估时，评估人员需充分了解这些功能的定义和相应的有效性指标。

图1 实物保护系统的功能及衡量指标Fig.1 Basic functions and metrics of PPS

探测功能借助各类探测器、巡逻人员等及时发现入侵行为，启动警报并对报警信息进行复核。探测器的探测概率、误报率是影响探测功能效果的主要指标。

延迟作为PPS的第二个功能，其主要作用是延缓敌手的入侵进程，为响应争取足够的时间。需要注意的是，探测到目标之前的所有延迟仅提供威慑效果，其有效性的衡量是在敌手被探测到后突破每个延迟部件需要的时间。

响应过程包括中断和制止，中断指响应力量到达目标位置并使敌手被迫停止，制止是响应力量和敌手对抗达到的结果，需要考虑双方的战斗力。能否在尽量短的时间内有效制止敌手入侵是判断响应力量有效性的主要指标。

目前，国内常用的评估模型大多基于敌方序列中断方法（EASI）和入侵薄弱路径系统性分析方法（SAVI）两种，一些新的评估模型也不断被提出，例如，基于蚁群算法的启发式有效性评估模型、针对内外勾结作案的有效性评估模型。

1.2 基于EASI方法的有效性评估

EASI 方法由美国桑迪亚国家实验室于20 世纪70 年代提出，是实物保护系统有效性评估的里程碑。EASI 方法基于一维模型的路径分析方法。EASI 模型通过对单一路径上的探测、延迟、响应和通信特性进行分析计算，最终得出拦截概率值PI。入侵路径分段图如图2所示。

图2 入侵路径分段图Fig.2 Segmentation of the intrusion path

图2中，ti、Pi分别为过程i的平均延迟时间和探测概率。

从外部区域到控制区内核心目标的路径有许多条，在评价过程中，通常选择一条入侵者被拦截可能性最小的路径进行评估，并将其评估值作为整个系统的有效性评价值。EASI 模型将入侵路径分为若干个子过程，分别对应不同的延迟时间和探测概率。敌手从外界开始入侵，依次突破每一道防线，某一点的报警概率PA可借助公式PA=PD·PC求得。其中，PD为探测概率；PC为通信概率。某一点的拦截概率PI可表示为PI= P（R｜A）·PA，P（R｜A）表示响应力量接到报警信号后，早于入侵者到达部署地点的概率[3]。因此，从入侵起点到终点的累计探测概率可表示为路径上所有探测点拦截概率之和：

单路径分析方法的优势在于能够简单易行地对指定威胁下的单条路径进行有效性计算，模型的评估效果取决于路径上各要素的取值，模型考虑越全面，计算结果越能反映真实情况。

模型的缺点也非常明显。模型自身无法判断最脆弱路径，主要依靠专家的讨论意见，一旦脆弱路径的选取不当，会导致最终的有效性评价值偏高。对于复杂设施，通往核心目标的路径往往有很多条，若要对所有路径都进行评估，需要耗费很大的精力。

尽管EASI模型在识别最易受攻击的入侵路径和考虑误警报问题方面存在限制，但迄今为止，它仍是评估实物保护系统有效性的通用方法。

1.3 基于SAVI方法的有效性评估

SAVI 与EASI 方法类似，同样基于一维模型。与EASI 模型不同的是，它使用敌对序列图（Adversary Sequence Diagram，ASD）分析所有枚举路径和识别最脆弱的攻击路径。一个设施基本的ASD如图3所示。

图3 敌对序列图Fig.3 Adversary sequence diagram

图3是一种防护系统组件的图示，它展示了入侵者可以完成破坏或偷盗目的的路径，SAVI模型对ASD 进行建模，将一个设施分成相邻的区域，如控制区、核心区等，用矩形代表各个区域的面积，每个区域又包括不同的防护组件，如门窗、应急出入口、围栏等。

SAVI 模型包含两大模块：一个是防护设施及其组件；另一个是外部入侵者。分析人员可以输入设计基准威胁、入侵者的入侵策略和武器装备以及各个组件的探测概率、平均延迟时间、各防护层间的最短路径信息、每个组件的位置信息等，运行程序即可输出总路径数、最脆弱路径、该脆弱路径的拦截概率和临界探测点等信息[4,5]。

SAVI 模型在进行量化计算拦截概率PI时，有两种不同的方法：第一种是直接将得到的脆弱路径输入EASI 模型中进行计算，得到所评估设施的实物保护系统有效性的量化值；第二种是基于临界探测点的思想（如图4 所示），该方法将响应力量的平均响应时间TR设为定值，并将响应时间与路径剩余延迟时间TG相等的点作为临界点，而在此临界点之前的第一个探测点被称作临界探测点（CDP）。

图4 基于临界探测点的入侵路径示意图Fig.4 CDP-based intrusion path

临界探测点的意义在于，只有在入侵者抵达该点之前探测到入侵，响应力量才会有足够的时间拦截入侵者。一旦入侵者在未被探测的情况下突破了临界探测点，即使再被探测器探测到，入侵者依旧有足够的时间完成破坏或盗窃行为[6]。基于临界点的方法相对之前对拦截概率PI的计算，无须求解P（R｜A）的值，可直接将临界探测点之前所有探测器的累计报警概率作为拦截概率PI。

式中，P(Ai)——第i个探测器的探测概率；

k——临界探测点之前的探测器总数。

在以下两种特殊情况下，路径上将没有临界探测点：

（1）总的路径延迟时间小于响应时间TR；

（2）虽然总的延迟时间大于响应时间TR，但在TR之前的路径上没有探测点。

在这两种情况下，PI值为零，实物保护系统无法抵御外界入侵，需要完善延迟设施以增加路径总延迟或提高响应力量水平，缩短响应时间。

相较于EASI模型，基于SAVI方法的模型优势在于可以借助计算机软件快速遍历所有可能路径并找到最脆弱的一条，避免了主观因素对选择结果的影响。SAVI 模型在进行路径选择时可结合PPS 的变化特征，如设计基础处理水平、对抗策略、建筑物的运行条件和保护元件的详细特征等。SAVI 方法还可以处理报警评估的概率，并将累积检测概率应用于所谓的临界检测点，直接用临界探测点之前的累计探测概率表示拦截概率PI。

进行脆弱路径分析的过程中，SAVI 模型不仅可以得出敌手接近核心资产的脆弱路径，而且可以找到敌手入侵成功后逃离的脆弱路径。该模型可有助于分析以盗窃为主要目标的入侵者的逃离路径，针对不同的入侵行为分别开展有效性评估。管理者也可以根据需求制订不同的应急策略和防护设施的升级方案。

SAVI 模型的主要不足之一是它使用保护层之间的最小距离，由于保守估计，可能导致所得评估结果太过薄弱，以致业主需要花费高额费用用于防护系统的升级。

1.4 基于蚁群算法的启发式有效性评估（HAPPS）

2017 年，邹博文等人提出了一种基于蚁群算法（ACO）和EASI 模型相结合的启发式实物保护系统脆弱路径分析方法，该方法是一种基于蚂蚁觅食行为的仿生方法。其模型能够自动识别计算机二维工程图中的信息，并使用HAPPS 作为搜索算法，在一定条件下寻找最脆弱的入侵和逃跑路径。

蚁群算法的本质是一种时间最短的路径寻找算法，借助转移概率公式计算蚂蚁从自身所在位置移动到下一个位置的概率值，通过比较所有可能移动位置的转移概率进行路径选择，最终到达目标点后原路返回。转移概率公式为：

τij( t )——t时刻从i到j的信息素浓度；

ηij( t )——t时刻的启发函数；

α、β——信息素因子和启发函数因子，信息素浓度随着蚂蚁经过不断积累，并以一定的挥发系数挥发，启发函数表示两点之间路径长短对路径选择的影响[7,8]。

在蚁群算法的基础上，HAPPS 结合EASI 模型，将拦截概率值PI引入，并将不被拦截的概率（1-Pi）作为另一个启发函数对原式进行修正，得到修正后的转移概率公式为：

此时，可以通过调整各个启发函数因子，综合考虑信息素浓度、路径长短、拦截概率三者对路径选择的影响，经过数次迭代，最终得出脆弱路径。

HAPPS 相较之前评估模型的优势在于，首先模型可以动态调整入侵路径上不同阶段各因子的影响程度，例如，在入侵的前期选择最小探测为主导，而在入侵后期选择距离因素作为主导因素从而更快地到达目标位置。其次，模型将二维地图划分为无数网格，每个网格都有自身的属性值，包括信息素浓度、影响因子值、探测概率等，此时，可以利用不同网格的探测概率值的大小表示某一探测器探测概率随着探测范围的不同而发生的变化，进行路径选择时，可以避开探测概率最高的位置而选择边缘位置转移。利用蚁群算法的并行性、自组织性和正反馈特性，基于二维地图的模型能够进行更有效的路径识别。此外，利用蚁群算法，通过一次计算机运行，可以得到入侵和逃逸的全局最优路径，提高了实物保护系统有效性的评估效率。

HAPPS 模型的不足之处在于，首先，必须提前指定入侵起点和终点，最终得到的脆弱路径仅是基于该单一起始点的结果，因此，若要对整个设施进行有效性评估，需要结合专家讨论意见，给出更多的可能入侵起点，并对得出的所有脆弱路径运用EASI 模型进行有效性计算和比较分析。其次，转移概率公式中各参数初始值的设置决定着运行结果的优劣，参数的设置同样受到主观因素影响，一旦参数选取不合适，容易导致陷入局部最优解，无法找到最脆弱的入侵路径。最后，对于逃跑路径的选取，需要考虑在入侵时一些延迟装置已经被破坏并基本失去延迟作用的情况，因此，在同等条件下选择这些位置转移将会更快离开，而模型在计算逃跑路径时并未将其考虑在内。

1.5 其他有效性评估模型

除了以上列举的3种评估方法，各国基于不同的分析方法和评估目标也陆续提出了许多新的评估模型（见表1）。

表1 实物保护系统有效性评估模型Table 1 Effectiveness evaluation model of physical protection system

诸多模型的提出极大地丰富了实物保护系统有效性评估理论，他们不仅能够对指定威胁的单一路径进行有效性评估，而且能够考虑不同的入侵手段、入侵方式，能够进行二维模型分析。在可能发生武装袭击设施时，可以加入基于兰切斯特作战毁伤理论建立的制止概率公式，并以拦截概率和制止概率的乘积作为整个实物保护系统有效性评估值。针对入侵类型的不同，可以分别计算外部人员入侵、内部人员入侵、内外协同入侵等的系统有效性，这对管理部门制订更加有效的应急响应策略有着重要的意义。

SAPE 模型也为寻找脆弱路径提出了一种新的思路，通过运用启发式路径寻找算法，将影响路径选择的各种因素作为影响因子代入算法公式，使得路径选择不再是机械地追求路径最短或者探测概率最小，而是更为智能地模拟人的选择，在入侵的不同阶段采取不同的路径选取策略。

2 改进实物保护系统有效性分析方法的建议

如今基于探测率和响应时间两个因素发展起来的实物保护系统有效性评估理论已经逐渐完善。但随着计算机与信息技术的发展与革新，对评估模型也有了更高的要求，对评估模型的改进建议主要包括以下几个方面：

（1）智能化的监控设备能够帮助监管人员对入侵路径进行预测，整个监控系统联动，实时追踪入侵者的位置，并将位置实时更新并传输至控制室及响应力量，使响应力量不再是单纯地前往核心目标进行保护，而是可以根据实际情况进行更具有主动性的追击或拦截。本文建议在模型中对入侵者的行动进行建模，考虑不同的行动策略、武器装备等对响应时间和入侵时间的影响。

（2）基于可靠性理论，若要更加精确地计算报警概率，还需考虑实体防护设备在设施遭受入侵时正常运转的可能性，可用率K可表示为：

式中，Tf——各探测设备的平均故障间隔时间；Tm——设备故障后的平均修复时间。

K值的大小取决于设备自身。如今，内外协同作案的可能性越来越高，为防止内部人员将相关传感器损坏的位置信息传送给外部入侵人员以帮助其避开探测，在优化评估模型时可将设备可用率K考虑在内。

（3）基于临界探测点的思想，在对实物保护系统进行有效性分析时，本文建议通过分析所有可能路径，得到所有临界探测点，按照一定规则连接各临界探测点并得到二维的临界探测区域（如图5所示）。

图5 二维临界探测区域的设施位置图Fig.5 Location map of the two-dimensional critical detection area in the facility

图5中，黄色区域为假想临界探测区域，这意味着一旦入侵者在触发报警前进入该区域，响应力量将无法对其进行拦截，这个区域也就变成了整个设施的重点防护区域。鉴于此，可将临界区域整体看作要防护的核心资产，并通过分析临界区域设施的位置分布、入侵者从外围各个位置入侵抵达临界区域的被探测概率、难易程度和可能性等，进一步对整个设施的安全性进行评估，寻找防护系统的脆弱性所在。

（4）在考虑内外协同入侵，计算内部人员被探测概率时，应考虑内部人员到达相应位置取得核心资产后，可能选择从疏散通道离开的情况。