太空体系弹性评估方法综述

汤亚锋， 徐艳丽， 李纪莲

(装备学院 航天装备系, 北京 101416)

太空体系弹性评估方法综述

汤亚锋， 徐艳丽， 李纪莲

(装备学院 航天装备系, 北京 101416)

美军近年来将弹性作为构建太空体系的基本原则之一，科学合理地评估太空体系的弹性能力成为迫切需要回答的一个基本问题。采用文献分析法对广义的弹性定义、应用领域进行了研究，并按定性评估和定量评估两大类别对典型的评估方法进行了介绍和分析。对现有的太空体系弹性评估方法进行了梳理和对比分析，指出现有的太空体系弹性评估方法都是在工程系统弹性评估方法上进行适当修改获得的，下一步应结合太空体系特点，加强太空体系弹性评估原则、过程、指标体系、计算方法等基本问题的研究，构建完整的弹性评估方法体系。

太空；弹性；评估；定性；定量

在内部预算趋紧、外部反太空实力增强，以及新型作战理念与新型技术发展推动等多重因素的影响下，美国航天部门近几年提出了“弹性”(resilience)的概念，并逐渐将其作为太空体系构建的基本原则之一。美国官方最早在2010年国家航天政策中提到“要增强航天器及其基础设施的防护及弹性”，但并没有解释弹性的内涵。2011年，美国太空安全战略提出要“加强太空体系的弹性”，美国防部在《解释文件：太空能力的弹性》[1]中第一次给出了官方的弹性定义：“一类体系结构的能力，即使在对抗行为或恶劣条件下，仍然能够提供任务成功所需的功能。”2013年，美空军航天司令部发布《弹性和分散化太空体系结构》白皮书，系统阐述了对太空系统“弹性”和“分散式太空系统”体系结构的认识和思考。2016年开始，在时任空军太空司令部司令海顿将军的推动下，美空军太空司令部会同国家侦察局等单位，开始研究提出“太空企业级构想”(Space Enterprise Vision)，目标是建立经济上可承受的、弹性的太空体系架构。可以预计，该构想一旦得到正式发布，将成为美构建一体化的、弹性的太空体系的行动指南。

太空领域的弹性是一种新概念，有关研究还处于起步阶段，归纳起来，迫切需要回答3个核心的问题：什么是弹性？怎么衡量弹性？怎么获得弹性？即需要对太空体系弹性的概念内涵、评估方法以及实现途径展开研究。其中，美国国防部2015年9月发布的《太空领域任务保证：弹性分类法》白皮书已对其概念内涵做出了权威的阐释，但如何评估太空体系的弹性，还处于研究的初级阶段。弹性评估方法是进行系统需求论证、方案设计、作战效能评估等工作的基础，是需要重点突破的基本问题。美军方通过学术交流、项目牵引等方式，推动军方研究机构、工业部门和学术界提出了一系列的弹性评估方法，获得了初步的成果。

1 一般性的系统弹性评估方法

1.1 弹性的研究范畴

“resilience”一词，源于拉丁语resiliere，意为“回弹”，一般是指实体或系统在某破坏性事件发生后恢复到正常状态的能力，在许多学科和应用领域都有使用，但内涵各有不同。2013年10月，在美联合军事行动研究协会和阿尔贡国家实验室联合举办的研讨会上，参与者一致将弹性定义为“一个实体(如资产、组织、社区、地区)具有的预测、抵制、吸收、应对、适应自然或人为干扰活动的能力，使之得以恢复功能。”这是目前较为权威的、一般性的弹性概念。

材料学、生态学、心理学等不同学科，很早就在使用弹性这个概念。近年来，这一概念开始扩展应用到工程系统领域以及基础设施、能源、赛博空间等复杂巨系统，用于描述其具有的特定能力。21世纪初，工程系统领域就提出了“弹性工程”的概念，它是在安全工程、生存工程基础上发展而来的一门新学科，已成为了工程系统设计的一种新范式。2011年，美国防部提出了工程化弹性系统(Engineered Resilient Systems，ERS)的概念[2]，并将其作为国防部优先发展原则，牵引相关科研项目和装备研发。近年来，一些海啸、地震、飓风等灾害对社区、交通网络、能源网络、物流网络等造成了巨大灾害，使得各界提出应建设弹性的组织结构、弹性的系统等，以便在破坏性事件发生后，能快速响应、快速恢复、减少损失。美国一些政府部门陆续出台了相关计划或政策：从2013年开始，美国负责能源、安装与环境的国防部副部长办公室提出了能源弹性倡议，并已于2016年修订进入美国防部指令4170.11；2013年2月，美国发布了21号总统政策指令《关键基础设施安全和弹性》，以强化和扩大美国关键基础设施的弹性；美国防高级研究计划局正在开展面向任务的弹性云(Mission-oriented Resilient Clouds,MRC)计划，以应对赛博威胁，等等。因此，美军太空体系弹性的提出，是学术研究发展的必然，也顺应了全美尤其是国防部对弹性的关注。

1.2 弹性评估的方法

通过对不同学科、不同应用领域的文献进行总结和梳理，将系统弹性的评估方法划分为定性方法和定量方法两大类[3]，如图1所示。

图1 系统弹性的评估方法分类

1.2.1 定性评估方法

定性评估方法包括概念框架法和半定量指数法。

1) 概念框架法。是定性分析弹性的主要方法，一般应用在社会、经济等领域，该方法按照一定的步骤、原则或变量对所研究系统的弹性进行描述和分析，适合于从宏观、系统的角度定性评估系统。1999年成立的“弹性联盟”(Resilience Alliance)提出了一个评估社会-生态系统弹性的通用框架，该框架由定义系统、确定评估范围、确定内外影响因素、确定关键节点、开发概念、告知决策者、获得结论7个步骤组成。有些研究基础设施弹性的学者也采用了概念框架法，文献[4]将通信网络的弹性和生存能力用防御、探测、诊断、补救、完善、恢复6个指标来衡量，而文献[5]则用可靠性、安全性、可用性、保密性、完整性、可维护性以及性能来表征电信网络的弹性。

2) 半定量指数法。一般是指针对所评估系统的特征设置问题集，通过专家打分的方式获得数据(如置信度数据、百分比等)，再使用一定的方法对数据进行聚合，从而得到评估指数。少量分析社区弹性、供应链弹性、加工工业弹性等的文献使用了这种方法。与纯定性的评估方法相比，通过对主观性意见的量化和数值化处理，获得了较为明确的评估数值，使得评估结果更为直观。

1.2.2 定量评估方法

定量评估方法又可以分为2类：通用评估方法以及结构化模型方法。

1) 通用评估方法。是在不考虑系统结构的情况下，对系统性能进行评估。通过对比破坏性事件发生前后的系统性能获得评估结果。它包括确定型方法和概率型方法2种，每种方法又可能包括静态(不考虑时间因素)和动态(考虑时间因素)2种情形。

(1) 确定型方法。应用比较普遍的确定型方法是基于弹性三角模型的方法，它存在多种变形，部分表示形式如图2所示。文献[6]用弹性三角模型(如图2a)所示)对地震后社区弹性损失进行测量，计算公式如下：

(1)

式中：t0时刻破坏性事件发生，t1恢复到之前水平；Q(t)为t时刻社区基础设施的质量；阴影区表示弹性损失RRL,该数值越小，则弹性越好。文献[7]用观察时间段内(用T*表示)损失的能力比例来表征弹性，能力损失用三角形面积XT/2表示(如图2b)所示)，弹性用公式(T*-XT/2)/T*计算。更多的文献在探讨工程系统弹性时，基于可靠性工程研究方法，提出了基于弹性三角范式的更为复杂的分析框架，文献[8]用可靠性、脆弱性、恢复能力以及新稳定状态表征状态转移过程(如图2c)所示)；文献[9]用可靠性、脆弱性和可恢复性表示系统状态转移过程(如图2d所示))，但它们的弹性都可用性能函数来表示，其计算过程即为弹性三角范式的变形。

a) 用阴影面积计算弹性损失

b) 用三角形面积表示能力损失

c) 用4类转移状态描述弹性

d) 用3类转移状态描述弹性图2 利用弹性三角形进行弹性损失测量

除了弹性三角形分析范式以外，许多研究者从自身应用角度出发，提出了指数型、期望型、指数函数型等多种弹性计算方法，在此不再赘述。确定型方法描述方式直观，计算模型简单，但是相关的参数、计算公式基于经验获得，是否真实反映系统性能缺乏理论依据，适用于较粗粒度的分析式评估。

(2) 概率型方法。采用概率而不是确定的数值来表征事件或系统的响应特征。文献[10]提出了一种评估弹性的概率型方法，考虑了2个要素：性能的损失和恢复的时长。弹性定义为破坏产生后，性能损失处于最大可接受损失范围之内以及恢复时长处于最大可接受破坏时间范围之内的概率。该文对地震后基础设施和社区的弹性分析，通过统计一系列仿真计算的结果获得相关数据的概率，进而计算得到弹性。与确定型方法相比，概率型方法表征的随机性更接近现实世界的真实情况，但相关的概率统计数据不易获得，因为破坏性事件往往是偶发性的，而通过仿真获得的数据同样会面临可信度的问题。

2) 结构化模型方法。结构化模型方法考查系统结构如何影响系统的弹性，即需要观察系统的行为，对系统特征进行建模或模拟。具体又可分为3类：优化模型法，仿真模型法以及模糊逻辑模型法。(1) 优化模型法，即建立系统的弹性优化模型，通过模型量化并优化系统的弹性能力。文献[11]使用多目标3阶段随机数学模型来评估和优化路网使用时间的弹性；文献[12]使用2阶段随机规划模型分析大城市公共交通网络的弹性；文献[13]提出了混合型整数线性模型设计前向和闭环供应链，并使用6个参数来表征弹性，等等。优化模型法具有很好的理论依据，但比较适合评估多节点构成的网络系统的弹性。(2) 仿真模型法。文献[14]使用离散事件仿真法评估供应链的弹性，将灵活性和冗余性作为弹性评估的要素，并使用6个不同的仿真场景进行了分析；文献[15]用蒙特卡洛方法研究蓄水库的弹性，考虑了多种极端情况；文献[16]使用时间相关的仿真模型计算铁路运输系统的弹性指数。仿真模型法能很好地反映系统不同场景下的运行特征，但建模工作较为复杂，比较适合需要精确、细粒度评估弹性的场合。(3) 模糊逻辑模型法。少量的研究者使用模糊逻辑模型进行弹性分析。文献[17]使用模糊逻辑模型评估组织弹性，使用模糊语法变量描述组织弹性指数之间的相对重要程度；文献[18]使用模糊认知映射(FuzzyCognitionMap，FCM)来表征工程弹性的因素，它使用模糊图结构的方式描述工程弹性的9个因素之间的因果推理关系，等等。模糊逻辑模型法是一种处理指标体系中不同指标关系的方法，需与其他评估方法一起配合才能完成评估工作，适合评估指标关系不太明确的场合。

2 太空体系的弹性评估方法

2.1 美国防部的弹性评估标准

美国防部在其弹性解释文件中对太空能力的弹性进行了专门的阐释，指出弹性包括了避险性(avoidance)、健壮性(robustness)、重构性(reconstitution)以及恢复性(recovery)4个方面，这为相关的评估方法提供了一个基础框架。同时，美国防部认为弹性可在多个层次进行评估，如企业级、任务级以及功能级，各个层级的主要评估标准分别是对国家安全目标造成的风险、任务效能以及系统能力。美国防部要求，弹性评估时必须考虑如下5项要素：(1) 预想的对抗等级；(2) 支持任务必需的各部分能力目标；(3) 在指定对抗等级下，这些目标达不到的风险；(4) 对任务来说，最大的功能短板；(5) 任务中，所能容忍功能短板存在的时间。

美空军太空与导弹系统中心对弹性进行了相关研究，获得了一些初步的成果，建立了评估的初步方法。该中心研究人员提出了几条构建弹性评估指标体系的原则[19]：(1) 区分不利条件下(指气象、自然灾害、太空环境影响等)的弹性以及敌对行动下(指物理攻击、无线电攻击、光学攻击、干扰、欺骗、赛博攻击等)的弹性；(2) 评估结果归一化到[0，1]范围；(3) 计算是基于物理现象，而不是领域专家观点；(4) 在陈述中不是模糊的，是可验证的(客观性)。

2.2 工业部门提出的方法

随着美军事航天部门尤其是空军太空司令部对太空体系弹性的日益重视，工业部门或与军方密切联系的公司，提出了各自的太空体系弹性评估方法，以项目报告或者会议交流报告的方式，对军方的诉求予以回应。从现有公开资料来看，美军方及工业部门提出的方法还较为粗略，还未建立一套广为接受的标准框架。

2.2.1 波音公司提出的方法

波音公司提出了弹性分析过程，包括4个步骤：(1) 创建系统体系结构，建立能力标准；(2) 定义威胁；(3) 开发并验证威胁场景；(4) 评估和总结。通过测度威胁场景中系统保留的能力而获得系统弹性。该方法考虑弹性的4个方面，即避险性、健壮性、重构性和恢复性，在单一威胁下，用(0，1)之间的概率(RAV,RRO,RRC,RRV)来反映这4个方面，总的体系弹性R用下式计算[20]

R=1-(1-RAV)(1-RRO)·

(1-RRC)(1-RRV)

(2)

当面临多个相关威胁时，用下式计算

(3)

式中：N为威胁的总数；Rs为累计的系统弹性(N个威胁)；R1为第1 个威胁的适应弹性；Rn为第n个威胁的适应弹性。

当面临多个不相关威胁时，用下式计算

(4)

式中：RFS为累计的系统弹性(N个威胁)；Pn为第n个威胁发生的概率。

2.2.2 诺·格公司提出的方法

诺·格公司认为波音公司提出的方法主观性太强，不够直观。它提出了一种与成本挂钩、分析体系脆弱点的确定性方法来评估系统的弹性，其弹性分析的主要指标包括系统类型、系统成本、系统可靠性(执行任务的成功性)。它利用系统工程的方法，构建对抗性体系，在具体的作战想定下寻找现有体系的脆弱点，并利用如下公式计算系统或体系的弹性[21]：系统弹性值=成功威胁现有系统的对抗系统成本/现有系统成本；企业弹性值=成功威胁现有企业的对抗企业成本/现有企业成本。2.2.3 诺·马公司提出的方法该公司按照如下6个步骤进行太空弹性评估：(1) 研读政府政策指导和战略；(2) 研读国防部长办公室、美国空军以及情报部门提出的框架；(3) 形成指标体系；(4) 研究系统属性；(5) 研究评估标准；(6) 开发算法。最终获得的算法考虑了威胁的可能性及其后果、系统恢复的能力等，其计算公式如下[22]：

R=CCap×(1-L×M×CCon)

(5)

式中：R为弹性；CCap为执行任务必要功能的能力；L为威胁事件的概率；M为威胁发生后重构或恢复任务能力的时间；CCon为威胁事件发生后能力损失的程度。

此外，该公司还开发了一种使用颜色标记评估弹性等级(4个能力等级：无、低、中、高)以及对抗后保有能力的方法。

2.2.4 宇航公司提出的方法

该公司使用能力损失的幅度及其持续时间来评估弹性，评估示例如图3所示。图中灰色阴影区称为关键能力损失函数，是能力受损下不能完成任务的能力关于时间的积分。图中还标注了避险性、健壮性、重构性以及恢复性对应的区域。关键损失函数的形状尤为关键，不同形状对应系统不同的能力。此外，该公司还提出了脆弱性的概念，当系统损失处于脆弱线(图3中粗红色虚线)以下时，系统失去重构的能力。

图3 关键能力损失函数示例

2.2.5 MITRE公司提出的方法

MITRE公司在宇航公司提出的能力损失函数的基础上，增加了对抗时间概率这一维度，用三维曲面图的方式直观表述系统弹性，如图4所示，弹性用能力曲面所涵盖的体积来描述。图4中，绿色表示能力充足，黄色表示能力降级但足以完成任务，红色表示能力不足以完成任务。

MITRE公司使用下式计算弹性：

(6)

式中：i为对抗性事件(序号从1～n)；Pi为第i个事件发生的概率；T为事件从开始到结束的时间长度；Cri(t)是系统能力函数，当t时刻系统能力满足系统所需时为1，否则为0。

2.2.6 兰德公司提出的方法

在美空军2014财年“太空弹性：对能力与经济性平衡战略的研究”项目支持下，兰德公司对美太空体系的弹性进行了评估，最终提交了3份评估报告[23](包括1份附件)以及1套评估软件“弹性评估流程及组合选项报告工具”(ResilienceAssessmentProcessandPortfolioOptionReportingTool，RAPAPORT)[24]，给出了相关建议和评估结果。

兰德公司认为，太空体系完整的评估要素应包括条令、组织、训练、装备、领导和教育、人事、设施以及政策(doctrine,organization,training,materiel,leadershipandeducation,personnel,facilities,andpolicy，DOTMLPF-P)，而不仅仅是装备要素(主要是在轨装备)。通过对装备以外要素的改善，可以不依赖在轨资产来提升体系的弹性，是预算受限情况下的合适选择。

兰德公司基于太空防护作战概念，开发了一套一体化的方法，主要针对太空力量增强领域进行弹性方法研究。研究范围覆盖战术/中队层面(如太空操作中队、太空预警中队，负责卫星操控)以及战役层面(如联合太空作战中心，负责联合太空部队的全球战役应用)。兰德首先对太空企业的每一项评估要素提出了评估标准和计算方法(核心是基于MITRE公司提出的计算方法)，随后根据关联性构建DOTMLPF-P的节点网络，分析了总的体系弹性。根据分析结果，给美国空军提高太空体系弹性提出了顶层建议以及具体的建议。

2.3 学术界提出的方法

少量研究人员对太空体系的弹性评估方法开展了研究。美空军少尉Turner[25]在其硕士论文中提出了一套评估卫星通信系统弹性的方法，论文采用的极端事件建模方法(ExtremeEventModeling)利用了基于单调非线性连续与混合整形变量的二次规划技术。国内电子科学院的严晓芳等[26]基于波音公司的分析式方法，针对太空系统的单个威胁、多个不相关威胁、多个相关威胁、全部威胁场景的案例，给出了适应弹性的计算公式，进行了仿真分析。

3 不同评估方法的对比分析

按照第1节的弹性评估分类法，对比了各太空体系弹性评估方法，如表1所示。需要说明的是，各个机构在提出具体的弹性计算公式之前，都阐述了评估过程或框架，因此，可以认为均使用了概念框架法，但表中只对核心计算方法进行了归类。

表1 不同评估方法比较

从对比可以看出，各机构普遍使用概率型方法和确定型方法进行弹性能力计算，其优缺点和适用范围与第1节所述一样。再对照美国国防部所提出的5条标准，可以发现各公司都在一定程度上进行了响应。比如除诺·格公司以外，其他公司都考虑了弹性的避险性、稳健性、重构性和恢复性4个方面；诺·格公司、兰德公司在评估中考虑了系统的功能短板，但其他公司没有深入考虑；所有公司都没有考虑容忍功能短板存在时间这一评估要素。因此，现有的评估方法都不能完全满足国防部的标准，也表明太空体系弹性评估方法还处于初步研究阶段。

太空体系弹性评估，必然要经历探索性研究、建立成熟体系、基于应用案例深入研究等几个阶段。从发展趋势来看，经过前期探索，美军有可能近期形成成熟的评估体系，并明确评估原则、评估标准、评估过程、评估算法等，最后不同用户可从自身角度出发进行案例的深度研究。

4 结 束 语

弹性概念的提出，是对工程系统安全性、生存性、可靠性等概念的拓展，反映了一种以系统为中心向以能力为中心的思维理念转变，同时也会带来系统设计范式的改变，将对系统的作战能力带来深远的影响。太空体系弹性评估方法还处于探索阶段，现有的许多方法脱胎于系统安全工程、系统可靠性工程中所使用的方法，还缺乏比较权威的、经过详细验证的方法，有待进一步探索和研究。

)

[1]DOD.FACT SHEET：Resilience of space capabilities [EB/OL](2011-10-14)[2017-03-24].http://archive.defense.gov/home/features/2011/0111_nsss/docs/DoD%20Fact%20Sheet% 20-%20Resilience.pdf.

[2]GOERGER S R,MADNI A M,ESLINGER O J.Engineered resilient systems:a DoD perspective [J].Procedia Computer Science,2014,28:865-872.

[3]HOSSEINI S,BARKER K,E.RAMIREZ-MARQUEZ J.A review of definitions and measures of system resilience [J].Reliability Engineering and System Safety,2016,145:47-61.

[4]STERBENZ J P G.,CETINKAYA E K,HAMEED M A,et al.Modeling and analysis of network resilience [C]// Proceedings of the IEEE COMSNETS.Bangalore,India：IEEE，2011：1-10.

[5]VLACHEAS P,STAVROULAKI V,DEMESTICHAS P,et al.Towards end-to-end network resilience [J].Int J Crit Infrastruct Prot,2013,6(3/4):159-178.

[6]BRUNEAU M,CHANG S E,EGUCHI R T,et al.A framework to quantitatively assess and enhance the seismic resilience of communities [J].Earthquake Spectra,2003,19(4):733-752.

[7]ZOBEL C W.Representing perceived tradeoffs in defining disaster resilience [J].Decision Support Systems,2011,50(2):394-403.

[8]YODO N,WANG P.Resilience modeling and quantification for engineered systems using bayesian networks [J].Journal of Mechanical Design,2016,138(3):031404-031404-12.

[9]HENRY D,RAMIREZ-MARQUEZ J E.Generic metrics and quantitative approaches for system resilience as a function of time [J].Reliability Engineering and System Safety,2012,99:114-122.

(编辑：李江涛)

A Summary of Space System Resilience Assessment Methods

TANG Yafeng， XU Yanli， LI Jilian

(Department of Space Equipment, Equipment Academy, Beijing 101416, China)

In recent years, US forces take resilience as an essential guideline for the construction of the space system. Therefore, it is urgent to answer such a basic question: how to properly assess the resilience of a space system? Firstly, the definition and application of resilience are discussed based on document analysis, and the typical related assessment methods are summarized and classified with qualitative and quantitative methods. Secondly, a series of existing space resilience assessment methods are summarized and compared. It is concluded that these methods are mostly acquired with appropriate modification of those used in the engineering area. Taking the space system feature into account, future researchers are expected to enhance the research of the following basic issues, such as resilience assessment principles, assessment process, index systems and computing methods, so as to construct a complete resilience assessment framework.

space; resilience; assessment; qualitative; quantitative

2017-03-28

部委级资助项目

汤亚锋(1982—)，男，讲师，博士，主要研究方向为太空力量建设与运用。

E917

2095-3828(2017)03-0074-07

A DOI 10.3783/j.issn.2095-3828.2017.03.013