C4ISR体系结构验证评估

刘俊先 罗雪山 罗爱民 陈洪辉

1.国防科技大学信息系统工程重点实验室湖南长沙410073

“体系结构(Architecture)”一词来源于建筑领域,表示建筑物的式样、风格以及建造建筑物的艺术与科学等,也称架构.计算机和信息系统产生后,“体系结构”一词被用于计算机软硬件、信息系统及系统工程等领域,提出了计算机体系结构、系统体系结构等概念.C4ISR体系结构是C4ISR系统组成单元的结构及其关系,以及指导系统设计和演进的原则和指南.在系统建设初期使用体系结构对系统进行顶层设计,科学规划系统的组成、结构以及相互关系,遵循的标准规范,能够促进理解与交流、为系统建设提供决策支持、指导系统开发与集成、指导系统运行等,在系统的整个生命周期中都发挥着重要作用.

体系结构是一个抽象的概念,体系结构设计出来后,必须用一种规范的形式进行表述,这种表述称为体系结构描述.体系结构开发涉及各种复杂的业务和技术领域,由于不同领域人员知识结构存在差异,相互之间的交流比较困难.如果没有某种约束,不同人员根据自己的习惯和喜好,采用各自的方式描述体系结构,必将造成体系结构描述内容和形式的不统一,势必带来人们理解和认识的不统一,使得体系结构的使用效果大打折扣.通过建立相应的规范来约束体系结构描述,进而勾画出复杂系统的体系结构,这些规范就称为体系结构框架.

经过多年的研究和实践,各个领域发展了许多的体系结构框架,如美军C4ISR体系结构框架[1−2]和DoDAF体系结构框架[3−5]、英军MoDAF体系结构框架[6]、北约体系结构框架[7]等,其核心和精髓都是基于多视图的方法.多视图的体系结构设计方法从不同的角度描述信息系统,较方便地反映各类风险承担者的需求和愿望,易于形成对体系结构整体的描述.各视图和产品数据之间存在复杂的关联和约束关系,不同视图和产品数据存在一定的交叉和重复,这是多个视图和产品构成体系结构的基础.但同时这些产品和数据之间的复杂关系也增加了设计的难度.

正是由于体系结构在系统建设中发挥着重要作用,体系结构的设计质量就显得尤为重要.体系结构验证评估是检查体系结构的设计成果在语法、语义上是否正确、合理,是否符合系统需求,从结构、性能、可靠性、效能等方面对体系结构设计方案的优劣程度进行评价,并对一组可选体系结构设计方案进行折衷分析和选优.明确体系结构设计的验证评估内容,并建立科学高效的体系结构验证评估方法是开展验证评估工作的前提和基础.

1 体系结构信息模型

按照认识论的观点,对事物的认识和理解,依赖于主体表述该事物的存在方式、运动状态及其变化方式.事物的存在方式、运动状态及其变化方式的外在形式、内在含义和效用价值是正确表示和理解事物的三要素,它们相互依存、不可分割.要正确理解体系结构设计结果,判断体系结构设计质量,也有必要从外在表现形式、内在含义和效用价值3方面入手.借用语言学中关于语法、语义和语用信息概念,体系结构设计相关的信息分为语法、语义和语用信息[8,13].

体系结构的语法信息指的是体系结构设计结果外在表现形式所包含或提供的信息,是体系结构数据最直观的表现形式,与它们的具体含义无关,主要反映体系结构实体之间的结合方式和相互关系.体系结构的语义信息主要指描述体系结构的实体在组合后所体现出的逻辑含义,反映体系结构各实体之间的逻辑关系和行为特征,如结构与分解关系、信息流关系、时序关系等.如果按照一定语法规则描述的实体没有内在的逻辑关系,那么这样的设计是不完整的.按照一定逻辑或语义组合的体系结构实体最终能执行一定的功能,具有一定的性能,实现一定的效用,这是体系结构设计的目标.体系结构语用信息反映体系结构的功能和性能,能够支持完成的任务和最终实现的效能.

图1 体系结构信息模型

语法信息、语义信息和语用信息是体系结构表现在3个不同层面的信息,体系结构是这3个层面信息的综合体.文献[8]提出一种体系结构信息模型,如图1所示.体系结构语法信息是体系结构设计中直接的内容,语义信息和与语用信息是语法信息中隐含的信息,它们通过语法信息体现,是语法信息综合后在主体上形成的高层信息.体系结构设计表面看是设计体系结构语法信息,但本质上是在语义信息指导下、以语用信息为目标、体现语义信息和语用信息的综合设计.

2 基于信息模型的体系结构验证评估内容

2.1 体系结构验证评估的内容层次

按照体系结构信息模型,体系结构是通过语法信息、语义信息和语用信息来表示的,体系结构设计中存在的设计不规范、数据不一致、不能满足实际需要等问题,就是体系结构语法层、语义层和语用层设计的问题.针对体系结构信息模型,在文献[8-9]的基础上,建立C4ISR体系结构验证评估内容模型如图2所示.

图2 体系结构验证评估的内容层次

语法层验证主要是解决体系结构设计“对不对”的问题,检查体系结构设计内容是否完整、形式是否规范、描述是否准确,包括设计完整性检查、数据引用正确性检查、数据对齐分析、关系一致性分析等活动.语义层验证主要是解决体系结构“行不行”的问题.开展两方面的工作,一是作战流程、系统功能流程设计的合理性验证,二是系统/作战状态设计与系统/作战流程设计的一致性验证.语用层验证评估主要是解决体系结构“好不好”的问题,评估体系结构设计对象的性能和效能是否满足需求,通过验证分析所设计系统的基本性能是否达标,系统的弱点和瓶颈在哪里,系统在整个体系中的作用如何等.

2.2 C4ISR体系结构的语法验证

语法层验证主要对体系结构设计是否符合语法规则进行验证,即对描述体系结构的基本元素、产品、数据的结构是否符合语法规范和要求进行验证.其中包括设计完整性检查、数据引用正确性检查、数据对齐分析、关系一致性分析.

设计完整性检查主要检查用户是否完成所有必须的设计内容.这里必须的设计内容包括两个方面的含义:一是体系结构设计所要求的视图或产品;二是特定产品的具体内容是否完整,必不可少的属性等是否完成了设计,如:对作战节点间信息交换的设计是否完整,具体包括信息交换的名称、产生信息的作战活动、使用信息的作战活动、触发事件、时效性要求等;对系统节点,是否指明了节点完成的系统功能集？系统子节点是否指明了完成的功能？对系统功能,是否有至少一个节点配置了此项功能？

数据引用正确性检查主要是检查所有数据引用,判断是否存在无出处的引用.主要包括两种检查:一是参考资源的引用正确性检查,如作战活动模型中的所有作战活动是否来自“通用联合任务清单”？二是其他产品设计内容引用正确性检查,如作战节点执行的作战活动,或信息交换中生成或使用该信息交换的活动,必须被作战活动模型包含.

数据对齐分析主要是检查所有核心数据,引导用户比对名称相同的核心数据,对本质相同的数据进行标记,否则需要用户进行改名处理.如作战、后勤、装备部门在描述联合火力打击作战样式下的作战体系结构时,可能都会使用“联合火力打击”、“威胁评估”、“计划拟制”等作战活动,以及同名的作战节点等.这些同名的作战活动、作战节点在作战、后勤、装备等部门设计的体系结构中是否表示同一个活动？不进行数据对齐分析,可能会出现用同一名称命名不同事物的可能,这会使体系结构集成时形成错误的流程图、状态图,从而给后续分析、研发造成更大的隐患.

关系一致性分析主要验证体系结构数据是否存在相互矛盾的内容.数据一致性验证主要包括不同产品中体系结构实体一致性以及实体之间关系的一致性.不同产品中体系结构实体一致性指出现在不同产品中的相同数据实体要一致.实体之间关系要一致主要指不同视图或产品中体现的同类实体关系必须一致.

2.3 C4ISR体系结构的语义验证

语义验证评估主要是判断体系结构的基本语法元素形成的描述语义是否合理和正确,是否存在相互矛盾、冲突和不合理的内容.其中主要是对行为逻辑的正确性进行验证评估.验证分为两个方面:一是验证用户对体系和系统行为的期望是否合理？即作战/作战流程、系统功能流程是否合理？二是验证所设计的体系和系统能否按用户所期望的运行？即作战状态描述、系统状态描述等是否符合作战流程和功能流程的描述？如不能通过行为逻辑验证,则用户对系统的期望是不合理的,或系统设计是无效的.

2.4 C4ISR体系结构的语用验证评估

语用验证评估主要侧重体系结构的效用分析,特别是体系结构的整体效用.分析按照体系结构设计方案最终开发得到的系统是否达到设计要求,满足各项需求指标.语用验证主要包括性能验证评估、效能验证评估和综合评估.通过语用验证评估,旨在解决以下问题:系统设计是否满足基本性能指标的要求？若不满足,系统的弱点和瓶颈是什么？出现瓶颈或弱点的原因是什么？如何改进系统设计方案才能提高性能？

性能验证评估是针对体系结构设计的性能指标,验证对应性能指标能否达到设计的指标,能否达到需求性能指标,满足需求的程度.性能验证评估可分为基本性能评估、静态结构性能评估、动态结构性能评估3类.基本性能验证评估主要通过对基本性能指标的评估来分析体系结构的性能,指标包括体系结构中各系统执行系统功能的能力,如处理速度、作用范围、发现概率等.该类验证评估的目的是验证评估体系结构能否达到设计要求的性能指标.系统静态结构指的是系统的物理结构.静态结构性能评估指标包括:结构复杂性,即系统组成结构要素及其关系的复杂程度;结构抗毁性,即系统在受到攻击后能够继续完成任务的能力;结构适应性,即系统结构适应不同任务变化的能力.系统的动态结构指的是系统逻辑结构.验证评估内容包括系统传输瓶颈、系统处理瓶颈等,评估指标包括系统反应时间、系统服务时间、平均等待时间等.通过对这些指标的分析,可发现系统运行时结构的瓶颈和薄弱环节,从而为进一步改进完善系统结构设计提出建议和参考.

效能验证评估是针对体系结构设计的效能指标,验证对应效能指标能否达到设计的指标,能否达到需求指标,以及满足需求的程度.体系结构的效能验证评估主要是达到两个目的,一是通过对作战任务的性能需求和系统性能的对比分析,解决系统能在多大程度上满足作战任务要求,并找出影响作战效能的关键系统因素;二是评估系统对整个体系的能力提升或填补能力差距方面有何贡献？基于体系结构设计,一方面可以明确特定任务背景下的作战体系及相应的支撑系统,进而通过仿真等手段获取相应的能力指标和作战效能指标;另一方面,可以从体系结构设计直接获得相应的性能指标.通过建立性能指标和能力指标、效能指标之间的关联关系,可以比较特定任务场景下系统能力差距或效能差距的满足情况,进而分析体系结构的整体效能.

综合评估是综合考虑体系结构的功能性指标和非功能性指标,对体系结构进行综合评估.体系结构非功能性指标的评估,包括可用性、费用、风险等方面,主要回答“所设计的体系结构是否有用、是否具有可实施性”等问题.

3 C4ISR体系结构验证评估方法

国内外对体系结构验证评估方法已开展了大量研究.国外研究侧重在验证评估方法,主要研究了专家评审法、基于软件体系结构评估的方法和基于可执行模型的方法[10].国内学者主要研究了体系结构验证评估的概念、内涵、内容和方法,如罗爱民提出了一种C4ISR系统体系结构信息模型,建立了一种体系结构设计与分析框架[8];修胜龙研究了C4ISR体系结构产品的一致性开发和验证方法[11];黄力研究了基于Statechart图的C4ISR系统体系结构验证方法[12];姜志平研究了基于CADM的C4ISR系统体系结构验证方法及关键技术[13];姜军研究了可执行体系结构及DoDAF的可执行化方法[14].这些研究从不同侧面分析了体系结构验证评估问题.

根据方法的特点,体系结构验证评估方法可以分为3类:形式化验证方法、基于仿真模拟的验证评估方法和综合评估方法.

3.1 体系结构验证评估的形式化方法

形式验证的核心是利用数学的确定性证明设计的正确性.这证明意味着这种验证是完备的,在数学上是严谨的.设计的正确性通常与规范有关.规范就是要求、约束.就体系结构验证来说,规范体现在两方面:高层模型和性质.高层模型就是自顶向下设计时的上层体系结构设计,如综合级体系结构是项目级体系结构的规范,作战视图是系统视图的规范等.下层设计实现了上层设计要求,就认为设计是正确的.性质就是体系结构实现过程中必须始终遵守的行为属性,如业务流程的活性、正确性、有界性等.常用的体系结构形式化验证方法有:基于数据模型的完整性检查、基于图论模型的数据关系分析、基于Petri网模型的流程合理性验证、基于有限状态机模型的安全验证等.

3.2 基于仿真模拟的体系结构验证评估方法

基于仿真模拟的体系结构验证评估方法指的是根据体系结构设计,建立仿真模型并进一步形成仿真系统,在此基础上设计仿真实验并统计数据,进行体系结构性能或效能评估的方法.根据建立仿真模型时所使用体系结构模型的不同,可以将基于仿真模拟的验证评估方法分为体系结构模型级模拟仿真、体系结构视图级模拟仿真和集成级模拟仿真3类.

体系结构模型级模拟仿真对单个体系结构模型进行仿真分析,以确定模型设计的合理性和可行性,判断性能指标是否满足需求.体系结构视图级模拟仿真基于视图内的多个模型建立仿真模型,分析整个视图设计内容的合理性、可行性,可以评估作战效能、系统性能等指标.体系结构集成级模拟仿真基于多个视图内的体系结构模型建立仿真模型,分析整个体系结构所具备的能力及满足需求的情况.

3种方法各有优缺点,在难度、复杂度、分析范围和使用的仿真引擎方面各有不同,如表1所示.

3.3 体系结构综合评估方法

体系结构综合评估方法可以采用一般系统综合评估的方法,如层次分析法、专家评审法、软件体系结构折衷分析方法等.

不同验证评估方法能够支持不同的体系结构验证评估活动,如形式化方法可以支持数据及关系分析、逻辑行为验证和性能评估等活动,基于模拟仿真的方法能为性能和效能评估提供有效支持,综合评估方法则适合于效能评估和体系结构设计方案的优选.

体系结构验证评估方法还存在许多难点问题没有完全解决.具体包括:

1)对形式化方法,如何根据体系结构设计生成需要的形式化模型？这些形式化模型遵循的规范或满足的性质是什么;如何开展相关规范和性质的验证？如何解决形式化方法应用中的状态空间爆炸等问题？

表1 基于仿真模拟的体系结构验证评估方法

2)对基于仿真模拟的验证评估方法,如何根据体系结构设计生成仿真实验设计,如何根据体系结构设计中的性能参数生成仿真配置参数,如何进行探索性分析快速找到关联的指标及其影响？

3)对综合评估方法,如何根据体系结构设计开展非功能性指标如可靠性、风险等的评估分析？