空中交通CPS级联失效与缓解策略

2022-01-15王兴隆贺敏刘明学

北京航空航天大学学报 2021年12期

王兴隆，贺敏，刘明学

（1.中国民航大学空中交通管理学院，天津 300300； 2.天津市交通运输委员会，天津 300250）

物理信息系统（Cyber Physical System，CPS）是综合计算、通信和控制技术的多维复杂系统，具有高效、可靠、实时协同等特点［1］，近来国内外学者开始将其用于交通领域的研究。2018年，方宇恒等［2］将CPS应用于分布式轨道交通控制系统，并对该体系进行了构架和模块划分；2019年，谭鹏［3］利用CPS研究了螺旋道路场景下车辆协同系统的稳定性；2020年，Levshun等［4］将安全CPS应用于铁路基础设施，分析了影响CPS脆性的原因并提出了合理的解决方案。

空中交通管理系统具备信息物理系统特征，通过通信导航监视与管制技术深度融合，实现管制信息处理和空域运行态势感知，并达到交通流与信息流高效协同的目的。但国内外学者对空中交通CPS的研究相对较少。2013年，Sampigethaya和Poovendran［5］提出航空CPS框架，以研究空中交通中的物理-信息层间相互作用；2017年，Ren等［6］从航空器、飞行控制与航行服务3个角度研究了CPS在空中交通中的应用；2020年，王兴隆等［7］建立了空中交通CPS，并基于改进Kshell算法对其节点影响力进行排序。

先进技术的应用并未解决空中交通系统级联失效问题。2015年8月15日，美国弗吉尼亚州利斯堡的空中交通管制中心出现计算机“技术故障”，该空域所有扇区都关闭，导致进出美东地区纽约、华盛顿、波士顿和费城等城市的航班大面积延误和取消；2019年8月1日，受台风“利奇马”影响，上海虹桥国际机场和浦东国际机场取消1 949次航班，上海终端区的通行能力下降70%左右。技术故障、恶劣天气等特殊情况的产生会严重影响空中交通的运行，其影响范围会从单条航路蔓延至一个扇区甚至整个空域系统，引起级联失效，从而使空域容量下降，航班延误或取消。

一旦发生级联失效，网络可能迅速崩溃直至瘫痪，网络级联失效及其缓解策略是当前研究热点。2015年，种鹏云［8］对蓄意攻击下基于单次攻击的危险品运输网络级联失效进行了建模及仿真，为网络结构的优化提供了理论依据；2018年，崔梦頔［9］分析了无标度网络面对级联失效的脆性，建立级联失效模型并提出了有效的级联失效缓解策略；2018年，齐雁楠和高经东［10］分析了空域扇区网络级联失效过程，建立了模型，并提出了2种优化策略。

上述研究丰富了网络级联失效控制方法，但仅从单一角度对网络进行了优化和结构改进。为更好地把握空中交通系统的整体性，本文从CPS的角度出发，将物理与信息系统融合，研究空中交通管制网与航路网之间耦合关系和相互影响级联，分析空中交通CPS级联失效过程，提出基于网络运行特征的缓解策略。

1 空中交通CPS级联失效

相关研究已证明，CPS可对具有耦合关联的系统进行建模［11］，复杂网络的兴起及其在航空领域的引入［12］也为具有耦合关系的航空网络系统的研究提供了新途径。利用复杂网络理论，并根据空中交通管理规则［13］、管制指挥与航路运行的关系，对空中交通系统进行拓扑抽象，建立空中交通CPS网络模型。

空中交通CPS是由信息网和物理网及其连接关系构成的耦合网络，如图1（a）所示。其中，信息网是以管制席位为节点、航班移交关系为边的管制网。航路中，飞行的航空器向管制席位报告当前的运行状态并根据管制席位下达的指令改变其飞行状态［14］。本文对管制网做出以下约束和假设：

图1 空中交通CPS网络模型Fig.1 Air traffic CPS network model

1）合并空域扇区中的高、低扇区。

2）管制席位只对其管制范围内的航班负责。

3）将管制席位与其管制的扇区作为一个整体。

4）将管制网络抽象为无向网络。

空中交通CPS物理网是以扇区中航路点（强制报告点、机场、导航台）为节点、以节点之间的航段为边的航路网。管制网保障航空器在航路网中连续安全飞行［15］。本文对航路网做出以下约束和假设：

1）忽略临时航路、国际航线和部分孤立边界航路点。

2）删除对航路连接情况无影响的航路点。

3）将航路网抽象为无向网络。

将管制网N个节点之间的连接关系表示为邻接矩阵｛aij｝N×N，航路网N个节点的连接关系表示为｛βij｝N×N，当节点i与节点j之间存在连边，则aij＝aji＝1，βij＝βji＝1；两节点间无连边，则aij＝aji＝0，βij＝βji＝0。

空中交通CPS的管制网和航路网之间的耦合关系如图1（b）所示，情报中心将从气象监视台、雷达、ADS-B等设备获取的天气情况、航空器运行状态、航路交通态势等信息发送给管制员，管制员据此向飞行员发送相关管制指令；飞行员根据指令操作航空器，实现航路交通流的有序高效运行。其中，交通态势、气象及管制指令等信息在管制网中的传递称为信息流，航班在航路网中沿航段的飞行称为交通流。

1.1 空中交通CPS级联失效模型

空中交通CPS中，每个管制席位指挥扇区内有多个航路点，即管制席位与航路点的关系为“一对多”。管制席位所辖扇区内某一航路点失效后，席位并不会随之失效，与其他席位之间信息流的传递也不受影响；对于扇区内其余航路点，若除失效航路点外有其他航路点与之相连，则也不会失效。级联失效在空中交通CPS两层网中同时产生，此过程中交通流只在航路网中流动，信息流只在管制网中流动。

如图2所示，当航路点R4失效，移除R4的所有连边即经过R4的所有航路，航路点R5因失去所有相连航路而成为孤立节点并失效，而R6和R7由于仍有相连航路而不会失效；管制席位A4与航路点R4、R5之间的耦合边无法工作，而由于席位与航路点之间关系，A4并不会因R4的失效而失效，可正常控制其所辖扇区内其他航路点，与其他管制席位之间的信息传递也可以正常进行。

图2 空中交通CPS级联失效影响关系Fig.2 Effect and relationship of air traffic CPS cascading failure

由上述分析，假设空中交通CPS航路网级联失效将其交通流重新分配时管制网连接和工作状态保持不变。

1.2 空中交通CPS级联失效过程

以往学者建立级联失效模型时，大都将节点设定为正常和失效2种状态，但在实际空中交通运行过程中，处于交叉口的航路点会由于大量航班从各个方向出现而无法及时传递信息流，航路网的通行能力也因此迅速下降，但航路点并未失效，只是交通拥堵。一旦发生拥堵，管制员会迅速做出反应，疏导拥堵航路点的交通流，使航路网快速恢复至正常运行状态，此过程中管制席位之间需要频繁交互，即信息流在管制网中不断流动。依据上述实际运行情况，将空中交通CPS网络中节点状态定义如下：

1）正常。交通流和信息流都小于等于其容量，节点运行正常。

2）拥堵。交通流或信息流超出容量，此时将超出容量部分的流量分配至其他正常节点，直至节点流量小于等于其容量。

3）失效。节点容量为零，无法接收来自其他节点的流量，将原有流量全部分配至其邻接节点。

其中，管制网的节点容量定义为管制席位在单位时间内可传递的最大信息流，即不超过管制员工作负荷的信息流最大值；航路网的节点容量定义为航路点在一定时间内能容纳的交通流最大值。

空中交通CPS级联失效过程如图3所示，具体阶段如下：

1）正常运行。网络中全部节点的交通流和信息流均小于其容量。

2）失效开始。当部分节点失效时，其交通流或信息流按照相应规则分配至处于正常状态的邻接节点，如图3中节点D失效后将流量分配至邻接节点E、F、G。

3）失效扩散。节点接收失效节点分配的流量后状态变为拥堵，停止接受流量分配，并将超出其容量部分的流量分配至正常状态的邻接节点，如图3中节点E变为拥堵状态且将流量分配至节点H、J。

图3 空中交通CPS级联失效过程Fig.3 Process of air traffic CPS cascading failure

4）失效终止。级联失效因网络恢复正常或崩溃而终止，即经流量分配后网络中节点全部正常或全部拥堵。

1.3 负载-容量模型改进

空中交通网络具有一定的特性，即具有无标度、小世界特性，且网络度值服从幂律分布［16］。空中交通CPS级联失效模型建立与节点的流量、容量有关。有关空中交通网络的研究认为容量与流量存在正比例关系［17］，但在实际运行过程中，航路点和管制席位的容量除受空域条件、设备因素影响外，还与航路交通态势、管制员等因素有关，考虑实际流量计算空中交通CPS节点容量Ci如下：

式中：Fi为节点i的流量；θ为容量调节参数，θ＞0，θ越大容量越大；μ为流量调节参数，0＜μ＜1。

由节点流量与容量的关系可知，在μ不变时，θ的大小可以反映出节点容纳流量的能力。θ越大，节点容量越大，个别节点失效越不易引起网络级联失效；θ越小，节点容量越小，甚至与流量相同，接近饱和状态，无法在其他节点失效后接收其分配的流量，从而更易引起网络级联失效，导致网络崩溃，造成严重后果。由此，规定容量调节参数存在一个级联失效临界值θτ，当θ＜θτ，个别节点失效会引发网络级联失效，受到严重损坏；而当θ≥θτ，网络不会发生级联失效。θτ值越小，则空中交通CPS网络因节点失效而发生级联失效的概率越小，可降低空中交通对航路条件、通信及导航设备等的要求，从而节约经济成本，降低管制员的工作负荷，提高空中交通的运行效率。临界值θτ的存在，在一定程度上为空中交通CPS级联失效及缓解策略的研究提供了新的思路。

2 空中交通CPS级联失效缓解策略

由于空中交通CPS在实际运行过程中不会轻易崩溃，主要在θ≥θτ条件下研究某一节点失效后的流量再分配。

2.1 级联失效缓解策略

分别采用度分配、介数中心性分配和剩余容量分配3种节点流量分配方法缓解空中交通CPS的级联失效，即按照节点度排序、介数中心性排序和剩余容量由高到低分配失效节点的流量。具体缓解策略流程如图4所示。

图4 级联失效缓解流程Fig.4 Cascading failure mitigation procedure

网络级联失效缓解策略实施步骤如下：

步骤1 开始时，航路网与管制网处于正常运行状态，所有节点的流量均不超过其容量，即满足Fi≤Ci。

步骤2 对网络进行选择性攻击，令某一节点k失效。

步骤3 将失效节点k的全部流量Fk分配至其邻接节点，邻接节点流量增加f，此过程中信息流仅在管制网中流动，交通流仅在航路网中流动。

步骤4 级联失效进一步扩散，识别出网络中Fj＞Cj的节点，这部分节点因流量大于容量而由正常状态转变为拥堵，无法再接收来自失效节点的流量，并将超出其容量部分的流量分配至处于正常状态的邻接节点，邻接节点的流量增加f′。

步骤5 判断级联失效是否终止，主要有以下几种情况：①网络中不再存在Fj＞Cj的节点，则网络已恢复正常状态，级联失效终止；②网络中存在节点满足Fj＞Cj且正常节点数NP＞0，网络仍处于级联失效状态，跳转至步骤4进行流量再分配；③网络中存在节点满足Fi＞Ci且其邻接节点中处于正常状态的数量NP＝0，无法再接收分配的流量，网络崩溃，级联失效终止。

对于度分配、介数中心性分配和剩余容量分配3种级联失效缓解策略中，f和f′计算公式如表1所示。表中：Di为节点i的度；Bj为节点j的介数中心性；Cj-Fj为节点j的剩余容量；NP为节点i的正常邻接节点数；Π 为节点i的邻接节点的集合。

表1 不同缓解策略中f和f′计算公式Table 1 f and f′calculation for mula in different mitigation strategies

2.2 策略评估指标

网络级联失效的缓解策略实施效果可以用经流量分配后网络中处于正常状态的节点占总节点数的比例来评估，定义网络正常率λ如下：

式中：NP为将失效节点流量分配后网络中处于正常状态的节点数量；N为网络中节点的总数。

λ越大，级联失效的缓解程度越高，缓解策略实施效果越好。

3 实证分析

以中国民用航空华东地区管理局所辖空域为例，建立华东地区空中交通CPS模型。图5（a）为华东空中交通CPS航路网，由171个航路点和262条连边组成；图5（b）为华东空中交通CPS管制网，由33个管制席位和69条连边组成；两层网络通过其耦合关系连接并相互影响。

图5 华东地区空中交通CPS模型Fig.5 East China air traffic CPS model

经数据统计发现，华东地区空中交通CPS航路网的航路点中流量最大的是九亭，管制网中流量最大的管制席位是上海05。

3.1 航路网级联失效缓解策略分析

开展级联失效缓解仿真实验，先将九亭航路点失效，分别取流量调节参数μ为0.5、0.7和0.9，在θ≥θτ范围内改变容量调节参数θ的值，绘制网络正常率λ在节点度分配、介数中心性分配和剩余容量分配3种缓解策略下随容量调节参数θ的变化曲线，如图6所示。

图6 不同缓解策略下航路网级联失效缓解程度Fig.6 Mitigation degree of cascading failures of air route network under different mitigation strategies

分析3种级联失效缓解策略的实施效果发现，在不同的μ值下，介数中心性分配得到的容量调节参数临界值θτ及对应的λ均为最小，表明此缓解策略下网络从最少的正常节点数开始恢复，即无需调节临界值θτ可从级联失效造成的网络崩溃开始恢复。因此，采用介数中心性分配策略网络抵抗级联失效的能力较强，不易发生崩溃；并且由于临界值θτ较小，网络正常运行对航路条件、通信及导航设备等的要求也较低。度分配和介数中心性分配策略存在一定的局限性，即随着θ的不断增加，网络中重要性较高的节点已全部用于流量分配，无法再接收失效节点分配的流量，故θ继续增加而λ基本不变，缓解程度十分缓慢。

在剩余容量分配策略下，网络最先从级联失效恢复至平衡，此时航路网中除九亭外全部节点已恢复至正常状态，效率最高；各节点的容量随θ的增大而增大，航路网中已无拥堵节点，即无需继续对失效节点的流量进行分配，故后期曲线平直，λ基本不变。剩余容量分配策略可以充分利用节点接收额外流量的能力，缓解效果较好。

3.2 管制网级联失效缓解策略分析

选取华东地区空中交通CPS管制网中信息流最大的上海05管制席位并使其失效，μ分别取0.5、0.7和0.9，绘制网络正常率λ随容量调节参数θ的变化曲线，如图7所示，分析当θ≥θτ时3种缓解策略下的管制网级联失效缓解程度。

图7 不同缓解策略下管制网级联失效缓解程度Fig.7 Mitigation degree of cascading failures of air traffic control network under different mitigation strategies

对比μ取值相同时3种策略的缓解程度发现，介数中心性分配策略下θτ及对应λ最小，表明发生级联失效时此策略的实施效果最快产生，抵御级联失效的能力较强，但从开始到平衡的过程较为缓慢；度分配策略作用效果产生最慢且最晚恢复至平衡状态，缓解能力较差；剩余容量分配缓解策略虽恢复开始稍晚，但网络最快恢复至平衡状态，不再存在拥堵节点，让节点在流量再分配过程中充分发挥作用，缓解效果较好。