Каскадный отказ систем

Это перевод заметки с блога https://globalguerrillas.typepad.com/ за 2004 год. Текст приводится для иллюстрации принципов мышления современных партизан. Методы поражения систем не стоит применять к гражданской инфраструктуре — для этого есть и моральные и просто прагматические препятствия. Мы не ручаемся за отдельные технические детали текста, но общая идея определенно верна. Текст под редакцией.

Глобальные сети инфраструктуры — ахиллесова пята крупных политических сил. Они создают основу для нашего благосостояния и наших повседневных действий, и все же остаются крайне уязвимыми. Неудивительно, что террористы нового поколения — глобальные партизаны — будут сосредотачивать свои усилия на разрушении глобальной инфраструктуры. В предыдущих постах мы исследовали уязвимость безмасштабных сетей. Этот анализ показал, что удаление всего нескольких узлов с высокой центральностью, может вызвать разрушение сети (через разделение на изолированные островки связности). Однако, анализ динамических сетей указывает, что существуют и более простые способы обрушить сети инфраструктуры: каскадный отказ.

Динамические сети и каскадные отказы

Статичные карты сетей (как изображение топологии безмасштабной сети) не показывают реальную картину функционирования инфраструктуры. Инфраструктура динамична. Через нее постоянно проходят потоки информации, энергии и различных субстанций. Эта динамика создает новый набор уязвимостей, который могут эксплуатировать глобальные партизаны. Вот так каскадные отказы случаются в динамических сетях, когда они теряют высоко-нагруженные узлы (потеря даже одного высоко нагруженного узла может привести к каскадному отказу в масштабе всей системы):

• Перераспределение нагрузки. В большинстве сетей инфраструктуры, нагрузка на каждый узел в сети динамически перераспределяется. (Это верно для сетей транспорта, электроэнергии, нефтепровода). Если узел сети потерян благодаря аварии или атаке, нагрузка с этого узла переводится на другие узлы сети.
• Высоко-нагруженные узлы и отказы. Если высоко нагруженные узлы удалить из сети, нагрузка перераспределяется по остальным узлам. Увеличенный поток приводит к тому, что нагрузка превышает допустимую на узлах с меньшей пропускной способностью. Многие сети автоматически отключают перегруженные узлы, чтобы защитить их от повреждения. В других сетях, перегрузка просто приведет к отказу перегруженных узлов. В любом случае, результатом будет серия отказов, заторов или транспортных пробок, которые распространяются каскадом через сеть, по мере того как избыточная нагрузка перенаправляется на следующие и следующие еще доступные узлы. Так может отказать вся сеть.
• Гетерогенные сети. Каскадные отказы случаются в гетерогенных сетях, где меньшая часть узлов способна нести высокую нагрузку, а большая часть узлов способна нести только низкую. Гомогенные сети, где все узлы способны справиться с одинаковой нагрузкой, устойчивы к каскадным отказам. К сожалению, все инфраструктурные сети проектируются как гетерогенные (by design). Говорят, что энергосети бывшего Союза более устойчивы к каскадам, чем в США, благодаря другой топологии. Но это неточно.

Обратите внимание: каскадный отказ не обязательно работает для социальных сетей террористов. В социальной сети, узлы — это люди, а потоки — информация/знание/ресурсы и т.д. Когда высоко-нагруженный узел удален, оставшиеся узлы не падут благодаря увеличению нагрузки. Люди могут динамически адаптироваться. Например: они могут изменить приоритеты в обработке потоков, что смягчит влияние потери высоко-нагруженного узла.

Планирование атак глобальных партизан

Уязвимость динамических сетей к атакам на высоко-нагруженные узлы очевидна. Но планирование атак на динамические сети — нет. Вот как глобальные партизаны будут конструировать атаки, чтобы вызвать каскадные отказы:

• Определить узлы с высокой нагрузкой. Есть высокая корреляция между числом связей узла и количеством нагрузки, которую он несёт. Дополнительно, многие сети инфраструктуры (нефть, газ, электричество и др.), накапливают производимые потоки. В этих сетях, высоко-нагруженные узлы могут быть определены как те, которые находятся непосредственно «ниже по течению» от производящих станций. В других сетях, высоко-нагруженные узлы могут быть узлами с наибольшей центральностью (как сети коммуникации).
• Связи вместо узлов. Неочевидный подход спровоцировать отказ узла — атаковать связи, расходящиеся от высоко-нагруженных узлов. Результатом атаки на связи между узлами будет перераспределение нагрузки с поврежденной линии на оставшиеся. Это приведет к отказу высоко-нагруженного узла, когда оставшиеся связи откажут из-за перегрузки.
• Поставщики ресурса. Некоторые сети уязвимы к недостаточному снабжению (газ, электричество, вода). Атака на снабжающие станции или связи со снабжающими станциями может привести к отказу сети, потому что узлы с недостаточным объемом потока будут оттягивать ресурс от остальной сети.

Заметка по мотивам: Motter, Lai "Cascade-based attacks on Complex Networks" (PDF).

Еще материалы для общей картины:

Шахмаев, «О способах предотвращения каскадных процессов в энергосистемах».

Шахмаев, «Методика выявления (распознания) аварийных каскадных процессов в электроэнергетических системах».

Перевод и правки @AnarchyPlus.