陳永剛，周凈毓，戴乾軍，李響

(蘭州交通大學 自動化與電氣工程學院，甘肅 蘭州730070)

LTE-R 作為鐵路下一代移動通信系統(tǒng)的研究發(fā)展方向，LTE-R 通信系統(tǒng)在列車運行控制中處于核心位置，可承擔高鐵通信網(wǎng)絡的各類核心業(yè)務，且對鐵路出行的安全性具有重要作用。2015年，中國鐵路總公司聯(lián)合各大高校及研究院成立LTE-R 研究工作組，為相關標準的制定及建立安全評估體系提供基礎[1]。2018年，京沈高鐵開始對LTE-R 系統(tǒng)進行動態(tài)試驗。在普遍應用并建設LTE-R 系統(tǒng)前，建立良好的安全風險評估體系對運營效率及行車安全有著重要的作用，因此對LTE-R 系統(tǒng)進行安全風險分析的研究有著重要意義。目前，國內(nèi)外針對LTE-R 系統(tǒng)安全性的研究主要有：鄒引等[2-5]通過對LTE-R 系統(tǒng)各項服務指標的服務質(zhì)量進行測試驗證，并指出在列控系統(tǒng)中的RAM(可靠性、可用性、可維護性)及在通信安全方面的CIA(機密性、完整性、可用性)十分重要。Lee 等[6]通過分析LTE-R 通信環(huán)境的攻擊風險，進而檢查系統(tǒng)的安全性。QU等[7]通過多種大數(shù)據(jù)技術對我國朔黃鐵路公司LTE-R 網(wǎng)絡運維數(shù)據(jù)進行分析優(yōu)化，在實際應用中，提出一種在實際應用中針對LTE-R 網(wǎng)絡的安全優(yōu)化措施。高志遠[8]應用馬爾可夫模型及可靠性框圖法等對LTE-R 通信系統(tǒng)的可靠性進行綜合分析。騰輝[9]采用預先危險分析法及灰色多層次綜合評價法對LTE-R 網(wǎng)絡進行安全評估并提出改進方案。見當前LTE-R 通信系統(tǒng)安全性評估存在單一性的缺陷。較與其他鐵路系統(tǒng)安全性評估，如CBTC 系統(tǒng)、應答器系統(tǒng)和CTCS-3 級列控系統(tǒng)等的安全評估研究，故障樹分析法、層次分析法及灰色綜合評價方法等應用廣泛。在安全性評價方面，故障樹分析法存在著故障分析單一的缺點。層次分析法一致性檢驗存在弊端，本文采用的方法對上述缺點進行改進，并將不確定信息的模糊性用云模型的方式更好的處理表達。針對以上特點，綜合定性與定量分析，提出基于主、客觀組合賦權及云模型的安全評價方法，應用模糊層次分析法(FAHP)和CRITIC 方法進行組合賦權，最后通過云模型進行定性和定量轉(zhuǎn)換，并選擇某平臺測試數(shù)據(jù)，結(jié)合專家評分計算，驗證該方法的可行性。

1 LTE-R 通信系統(tǒng)簡介

LTE-R 通信網(wǎng)絡由接入網(wǎng)E-UTRAN 和核心網(wǎng)EPC 2 部分構成。其硬件設備主要由基站設備、核心設備及相關服務器構成。具體LTE-R 網(wǎng)絡架構如圖1所示，接入網(wǎng)由基站eNodeB 及移動終端組成，核心網(wǎng)則由各類網(wǎng)關、服務器及移動管理實體MME 等組成。在整個系統(tǒng)中起到了信令交換、數(shù)據(jù)過濾、資源管理及流量收費等多種功能。在LTE-R通信系統(tǒng)安全風險分析中，除去設備實體的故障風險外，仍存有網(wǎng)絡安全被攻擊、隱私泄露或被超額計費的風險，主要體現(xiàn)在核心網(wǎng)接口安全和協(xié)議安全2 個方面。網(wǎng)絡安全對于保障系統(tǒng)承載業(yè)務的安全具有根本的作用，所以要從多角度對該系統(tǒng)進行安全風險分析。

圖1 LTE-R 通信系統(tǒng)架構Fig.1 Architecture of LTE-R communication system

2 組合賦權法

2.1 FAHP

FAHP是由A.L.Saaty提出的基于層次分析法基礎上并對其進行改進的一種系統(tǒng)分析方法。主要包括模糊一致判斷矩陣的構造、通過矩陣計算權重的方法不同。改進了AHP 多次調(diào)整才具備一致性的弊端。綜上，本文選用FAHP 作為主觀權重計算方法。

2.1.1 建立模糊判斷矩陣

將總目標層設為G，1 級指標層的集合為{A1,A2,…,An}，2 級指標層的集合為{B1,B2,…,Bn}，依次類推，專家依照指標體系進行打分并結(jié)合表1建立模糊判斷矩陣C，在有n個元素的前提下，數(shù)值cnn為自身比較，其結(jié)果皆為0.5，cij為同一指標層下元素i與元素j的相對重要度的比較結(jié)果，如c21為第2 個元素與第1 個元素相比較的結(jié)果，同理得到矩陣C。

表1 模糊數(shù)量標度及其意義Table 1 Scales and meanings of blur amounts

2.1.2 模糊互補判斷矩陣的權重計算

當矩陣C滿足cii=0.5，cij+cji=1(i,j=1,2,3,…)時，則稱C為模糊互補判斷矩陣。若存在k(k=1,2,…,n)使得：

則稱C=(cij)n×n為模糊一致判斷矩陣，當該模糊判斷矩陣為不一致矩陣時，可根據(jù)文獻[10-11]提出的方法進行調(diào)整。

最后通過最小二乘法得到權重計算的通用公式：

2.1.3 一致性檢驗

一致性檢驗的目的主要是判斷所得權重值是否合理，當決策者判斷思維保持一致時，才能得到有效的排序向量。本文采用相容性來檢驗其一致性，從而確定計算的權重向量作為決策依據(jù)是否可靠。

對2 個n n× 階模糊判斷矩陣C和B，有：

其中：I(C,B)為矩陣C和B的相容性指標。

設w＝ (w1,w2,… ,wn)T為模糊判斷矩陣A的排序向量，則有W＝(wij)為A的權重矩陣，且排序向量w滿足：

當I(C,w*)≤s時，說明該判斷矩陣符合一致性檢驗，其中s為決策者態(tài)度，s取值0.1。

2.2 CRITIC 法

CRITIC 法作為一種客觀賦權方法，相較于傳統(tǒng)的熵權法和標準離差化法等客觀賦權方法，該方法不僅考慮到指標變異大小，還考慮到了指標間沖突性對客觀權重的影響，所以，本文選用CRITIC法作為LTE-R 通信系統(tǒng)客觀賦權方法。

2.2.1 指標預處理

鑒于各指標具有不同量綱，為解決這一不可橫向比較指標的矛盾，要對各指標進行無量綱化處理，主要有以下2 種情況。

1)若第i指標層，第j項指標值越高越好時，則：

2)若第i指標層，第j項指標值越低越好時，則：

2.2.2 指標權重的確定

該方法的權重值大小主要由對比強度及指標間沖突性來衡量，設Cj為同一指標層下的第j個指標所含信息量，當信息量的數(shù)值越大時，證明該指標的重要性越強。設rij為第i個評價指標和第j個評價指標的關聯(lián)度表示，δj為各指標量化后的標準差，則：

由此，第j個指標的權重Zj為：

2.2.3 綜合權重值的確定

在解決多屬性決策系統(tǒng)的問題中，合理確定權重分配是一項重要問題，既要兼顧決策者的主觀經(jīng)驗權重，又要合理調(diào)節(jié)客觀狀態(tài)的權重占比。在此分別采用線性加權組合、乘法合成法組合對主觀權重和客觀權重加以綜合，并進行對比分析，計算公式為：

其中：Yi代表指標的綜合權重值；η代表主觀權重影響系數(shù)，且0＜η＜1；Wi代表主觀權重值；Zi代表客觀權重值。

3 云模型

3.1 云定義

設U是一個定量論域，T是U上的一個定性概念，在U中有一元素x(x∈U)是對T的隸屬度yi∈[0,1]有一穩(wěn)定傾向的隨機數(shù)，則定性概念T從論域U到區(qū)間[0,1]的映射在數(shù)域空間分布稱做云，每一個x的隨機實現(xiàn)稱做云滴。

3.2 云的數(shù)字特征

云模型中，用期望Ex(Expected Value)，熵En(Entropy)和超熵He(Hyper Entropy)來反應定性概念的定量特征。如圖2，以某正態(tài)云模型為例，期望Ex代表定性概念，在標準云模型中表示云的重心位置，熵En作為定性概念的模糊性的度量，超熵He則作為熵的不確定性度量，反映了云滴分布的離散程度。若將云模型的評語集分為n個子區(qū)間，其中為第i(1＜i＜n)個子區(qū)間的雙邊約束條件，則有：

其中：k為常數(shù)。

圖2 云模型數(shù)字特征Fig.2 Digital characteristics of the cloud model

3.3 云模型發(fā)生器

云模型發(fā)生器包括正向云發(fā)生器和逆向云發(fā)生器，用于實現(xiàn)數(shù)值和不確定性的轉(zhuǎn)換。正向云發(fā)生器是從定性到定量的映射，輸入量有Ex，En，He和N，輸出量為N個云滴的定量值。反之則為逆向云發(fā)生器，如圖3所示。

圖3 云模型發(fā)生器Fig.3 Cloud model generator

其中正向云發(fā)生器計算步驟如下：

1)產(chǎn)生以期望值為Ex，方差為En的隨機數(shù)xi；

2)生成以期望值為En，方差為He的隨機數(shù)Eni；

3)具有確定度yi的xi為其中的一個云滴，

4 LTE-R 通信系統(tǒng)安全風險評估

4.1 綜合評價模型原理及流程

首先，利用組合賦權-云模型方法對評價體系進行賦權并計算，然后對結(jié)果進行分析比對，最終確定安全性評價等級，具體分析流程如圖4所示。

詳細步驟如下所述。

Step 1：構建通信系統(tǒng)的安全性評價指標體系，依據(jù)現(xiàn)有LTE-R 檢測項目數(shù)據(jù)及環(huán)境管理等各個方面分層建立評價指標。

Step 2：確立安全性評價等級，確立各個等級的云數(shù)字特征并繪制綜合標準評價云模型。

Step 3：分別利用主、客觀權重法對指標體系的各層指標進行指標權重值的計算，并利用2 種不同的組合賦權方式求得最終綜合權重值。

Step 4：將獲取的權重數(shù)據(jù)進行計算，求取樣本綜合確定度，而后對安全性能評估定級。求取綜合確定度的方法將在下文中詳細描述[12]。

圖4 LTE-R 通信系統(tǒng)安全性分析流程Fig.4 Safety analysis flow of LTE-R

4.2 評價模型的構建

4.2.1 評價指標體系的構建

對LTE-R 通信系統(tǒng)進行安全性評估，首先要建立該系統(tǒng)的指標評價體系，以該系統(tǒng)的承載業(yè)務及各設備或業(yè)務節(jié)點的故障因果關系為出發(fā)點，同時結(jié)合LTE-R 應用技術及QoS 評價標準[13-14]，綜合系統(tǒng)管理部門和物理環(huán)境，將指標評價體系從宏觀角度分為業(yè)務安全、物理安全、網(wǎng)絡安全、管理安全共4 個方面，具體詳細指標建立如圖5所示。

其中，業(yè)務安全是通信系統(tǒng)安全的核心，良好完成系統(tǒng)所承載業(yè)務的傳輸是通信系統(tǒng)的基本要求。物理安全是系統(tǒng)安全的前提。而網(wǎng)絡安全不僅要具備完好的網(wǎng)絡安全防護體系，還要有良好的網(wǎng)絡覆蓋設計。管理安全則是對整個LTE-R 系統(tǒng)的管理，不僅關系到軟、硬件設備的管理，還涉及到對人員、相關制度及系統(tǒng)風險的管理[15]。

為使得評價指標體系構建符合系統(tǒng)性、科學性、全面性和可比性的要求，在系統(tǒng)安全性評價中，加入了對系統(tǒng)業(yè)務、物理環(huán)境、網(wǎng)絡及管理安全的評價。

4.2.2 綜合評價集云模型的構建

根據(jù)上述LTE-R 通信系統(tǒng)安全評估指標集以及綜合確定度取值范圍，同時參考文獻[7]建立5 個評分等級，分別為“優(yōu)秀”、“良好”、“一般”、“較差”、“差”，具體各等級評分特征值如表2所示。同時依據(jù)表2建立對應的安全性評價云模型，如圖6所示。

4.3 權重的確定

4.3.1 基于模糊層次分析法的主觀權重計算

根據(jù)表1及專家意見對底層指標進行兩兩比較判斷，直接構造(C-A1)模糊判斷矩陣。當k=1 時，該矩陣為模糊一致判斷矩陣，繼而通過式(3)可計算得到B1，B2 和B3 下屬共9 個指標的權重值，最終結(jié)果如表3所示。

圖5 LTE-R 通信系統(tǒng)安全評價指標體系Fig.5 Safety evaluation index system of LTE-R

表2 安全性等級評分云模型Table 2 Safety class criterion based on the cloud model

圖6 安全性評價云模型Fig.6 Cloud model of safety evaluation

表3 指標C的權重值Table 3 Weight value of indicators C

根據(jù)表3可得權重矩陣W，并計算其相容性指標I(A1,W)=0.0495，小于s=0.1，則確定該權重矩陣通過一致性檢驗。

4.3.2 基于CRITIC 法的客觀權重計算

將LTE-R 檢測系統(tǒng)的部分測試結(jié)果作為本文的計算數(shù)據(jù)，如表4所示。其中移動接入性指標用越區(qū)切換成功率表示。再應用上文提出的CRITIC法來計算客觀權重值，在指標內(nèi)，響應時間指標的數(shù)值按安全數(shù)據(jù)傳輸?shù)姆绞绞占?/p>

表4 評價指標參考數(shù)據(jù)Table 4 Reference datum of evaluating indicators

確定各指標是正向指標還是反向指標后，利用式(6)和式(7)，將表4內(nèi)各指標進行無量綱化處理,并計算出業(yè)務安全A1 層指標權重為Z1=0.077 9，Z2=0.072 4，Z3=0.067 2，Z4=0.066 4，Z5=0.132 2，Z6=0.189 7，Z7=0.101 7，Z8=0.102 4，Z9=0.189 7。

4.3.3 綜合權重值的計算

類比4.3.2，利用模糊層次分析法計算主觀權重，分別構建A2，A3 和A4 判斷矩陣及指標層A的兩兩比較矩陣，可得(A-G)矩陣權重為(0.3,0.233 3,0.266 7,0.2)。

計算客觀權重時，將不可用數(shù)值表示的指標進行等級劃分，建立客觀評語集P={“好”，“較好”，“中”，“較差”，“差”}，同時將評語集用0-1 之間的數(shù)字表示，將0-1 區(qū)間進行5 等分，數(shù)字越高，則表示指標性能越強。請3 位專家對指標評分并計算可得指標層A 的客觀權重為(0.216 0,0.236 4,0.299 7,0.247 7)。

利用線性加權組合時，咨詢專家意見后選取η=0.625 為計算綜合權重時的主觀權重系數(shù)值，將η代入式(10)中計算得到第1 層指標A 綜合權重值為(0.268 5,0.234 5,0.279 1,0.217 9)。利用乘法合成法組合時，計算第一層指標A 綜合權重值為(0.259 8,0.221 1,0.320 5,0.198 6)。

4.4 綜合隸屬度計算及評價云表示

根據(jù)樣本數(shù)據(jù)及云數(shù)字特征公式計算出yi值，并依照云計算規(guī)則(式(13))將指標的組合權重代入其中，計算評價系統(tǒng)的安全性綜合隸屬云的確定度：

將2 種組合賦權結(jié)果依次代入式(13)，確定度結(jié)果如表5所示。另外根據(jù)專家評分及權重計算并生成出來的評價云與標準評價云模型進行對比，如圖7和圖8所示，圖中黑色雪花線條表示LTE-R 通信系統(tǒng)的安全性評價的綜合評價云。

表5 通信系統(tǒng)安全性的等級評價Table 5 Safety class criterion of communication systems

圖7 賦權方式(1)的評價云Fig.7 Evaluation cloud of weight assignment mode(1)

圖8 賦權方式(2)的評價云Fig.8 Evaluation cloud of weight assignment mode(2)

在2 種不同賦權情況下，LTE-R 通信系統(tǒng)安全性的評價云結(jié)果都與“優(yōu)秀”等級相交，綜合確定度可確定該系統(tǒng)的安全性等級為優(yōu)秀，因此，LTE-R通信系統(tǒng)安全性的綜合評價結(jié)果是“優(yōu)秀”，且結(jié)合其他研究文獻及現(xiàn)場測試情況結(jié)果進行比對，驗證模型的可行性及有效性。

5 結(jié)論

1)針對目前沒有一套相對完整的LTE-R 通信系統(tǒng)安全評估流程的情況，利用組合賦權及云模型方法且將指標數(shù)據(jù)及專家意見納入其中，評估結(jié)果證明了該方法的有效性。

2)建立LTE-R 通信系統(tǒng)的指標評價體系，分別計算主、客觀權重，并通過2 種不同賦權組合的方式進行對比分析，得到共同等級評價結(jié)果，不僅解決了主客觀隨意性的缺點，還從綜合賦權結(jié)果方面雙重確定了評估結(jié)果的可靠性。

3)采用云模型的評估方式實現(xiàn)定性和定量的轉(zhuǎn)化，解決評估過程中模糊性和隨機性難以表達的問題，為LTE-R 通信系統(tǒng)建立安全評價方法及流程提供新思路。