基于约束马尔可夫决策过程的网络生存性研究摘要：给出了基于约束马尔可夫决策过程的网络生存性定义，提出了一个多层网络生存性研究框架和一种新的网络生存性设计方法。关键词：生存性定义；生存性框架；一致性原则；生存性设计中图法分类号：TP311．5文献标识码：A：1001-3695(2006)10-0044-02SurvivabilityAnalysisBasedonConstrainedMarkovDecisionProcessesZHAOKai,XINYang,YANGYi??xian(CentreofInformationSecurity,Bei激ngUniversityofPostsTelecommunications,Bei激ng100876,China)Abstract:AnewdefinitionofsurvivabilitybasedonconstrainedMarkovDecisionProcessesisintroduced.Andamulti??layerednetworksurvivabilityframeworkandanewmethodofnetworksurvivabilitydesignarealsoproposed.Keywords:DefinitionofSurvivability;FrameworkofSurvivability;ConsistentPrinciples;DesignofSurvivability传统的安全技术是一种静态的、被动的安全防护技术，一旦网络遭受意外损害或恶意攻击，将无法维持系统的必要服务，造成巨大的经济损失。于是以服务连续性，资源动态调整和网络自适应为特征的网络生存性技术成了业界研究的重点。生存性的研究[1]最早可以追溯到海军战船在遭遇持续的损害时，如何阻止其沉没；而当轮船下沉时，如何挽救船员的生命。在一战和二战时，研究开始细化，研究领域延伸到了航空领域。20世纪60年代末，美国军方标准正式定义生存性是指系统为完成其任务抗恶劣环境的能力。目前生存性的研究主要集中在汽车、建筑、战争、电信等领域。信息网络系统的生存性研究相对较新，1993年信息系统的生存性概念由Barnes等人首次提出。生存性研究与关键信息基础设施保护紧密相连，其重要性得到了广泛关注。目前人们正吸收其他学科尤其是可靠性设计的研究成果，开展生存性的研究。研究重点包括生存性的基本概念、生存性体系结构、生存性系统模型、生存性系统分析与设计、生存性系统工程方法和工具、生存性风险评估、生存性系统评价与测试等。人们在不断寻求开放互联网络环境下的容错（FaultTolerance）、容入侵(IntrusionTolerance)、容攻击(AttackTolerance)的软硬件解决方案。本文从工程应用出发，在约束马尔可夫决策过程计算模型的基础上给出了一种新的生存性定义，研究了多层网络的生存性模型以及相应生存性技术的选定，在生存性模型的基础上，给出了一种新的网络生存性设计方法。1约束马尔可夫决策过程和生存性定义1．1约束马尔可夫决策过程在网络生存性设计中，希望网络服务在任何时候均能满足系统和用户的需求，但同时由于在一定时刻系统的可用资源是有限的，因此就提出了在有限资源范围内而使网络性能达到最优的约束最优化问题，即约束马尔可夫决策过程（CMDP）[2]。它是一个六元组{S,A,P,C,D,U}，其中，S：一个有限服务状态空间A：有限行为集合，对于一个特定行为s∈S，A(s)??A是指在状态s下可用的行为集合P：状态转移概率，对于给定的行为a，P??sas′表示从状态s到状态s′的转移概率C：(S×A)→R是系统可用资源，即系统在状态s下，选择行为a时系统的可用资源D：(S×A)→R是所需资源，即系统在状态s下，选择行为a所需要的资源U：系统执行策略即系统根据时刻t的历史状态，确定下一时刻系统行为的策略D??u（s）：表示在状态s下，利用策略u来决定相应的行为所需要的系统资源因此生存性问题的关键是在服务状态改变时如何选择合适的策略，既要满足D??u（s）≤C，又要保证系统必需服务的连续性。1．2生存性定义不同的研究领域对生存性有不同的定义[1]，具有普遍意义的生存性定义为系统在遭到攻击或破坏的情况下，仍能完成任务的能力。这种定义将系统的服务分为必需服务和非必需服务，系统在任何情况下均要保证必需服务的运行。但是这种定义只是一般性定义，从工程实现的角度还是不够的，下面给出基于约束马尔可夫决策过程的网络生存性定义。以用户和系统的需求为基础，系统能够根据网络环境按照一定的转移概率动态调整相应的服务，从而保证服务连续性，则称这样的系统具有生存性。具体讲，当网络环境改变时，系统会根据环境改变的条件，在同时满足用户和系统需求的基...