用于评估网络社会技术系统中系统韧性的“人-硬件-在环”（Human-Hardware-in-the-Loop）仿真方法

《Reliability Engineering & System Safety》：Human-Hardware-in-the-Loop simulations for systemic resilience assessment in cyber-socio-technical systems

　　弗朗切斯科·西蒙内（Francesco Simone）| 马可·博尔托利尼（Marco Bortolini）| 乔瓦尼·马祖托（Giovanni Mazzuto）| 朱利奥·迪·格拉维奥（Giulio di Gravio）| 里卡多·帕特里亚尔卡（Riccardo Patriarca）
罗马萨皮恩扎大学机械与航空航天工程系，欧多西亚纳街18号（Via Eudossiana 18），00184罗马（RM），意大利

**摘要**
现代工业系统需要更新的安全管理方法，因为网络物理、人类和组织因素之间的紧密互动使得系统过程变得越来越复杂。除了应对已知风险外，管理系统的韧性对于实际解决复杂问题具有巨大价值。本文以系统理论事故模型与过程（System-Theoretic Accident Model and Processes，简称STAMP）作为建模工具，来应对这种复杂性。STAMP可以自然地与基于仿真的方法集成，但后者无法真实地表示人类行为及其对系统性能的影响。为了克服这一限制，本研究提出了一种人机闭环（Human-Hardware-in-the-Loop，简称HHIL）建模与仿真框架，旨在支持对系统韧性进行更真实和全面的评估。该方法在一个遭受网络攻击的实验性油气厂进行了测试，其中涉及两名操作员（专家和新手）。研究结果提供了一种量化方法，用于评估操作员行为变化对整个系统性能的影响，为如何在复杂的社会技术系统中理解和实施韧性提供了见解。

**1. 引言**
随着时间的推移，管理工业系统的安全变得越来越具有挑战性。一方面，人们对安全相关主题的认识不断提高，为研究人员和实践者提供了多种工具和方法来识别和应对操作风险；另一方面，技术的持续进步使工业系统变得越来越复杂。多年来，工业过程经历了重大变革，从主要依赖人工操作的阶段发展到高度自动化的阶段，智能机器现在能够执行越来越复杂的任务。这种转变标志着从人类与机器简单共存向紧密合作的转变，在这种合作中，两者共同工作以实现系统目标[8]。此外，与这些操作过程相关的组织因素的重要性也得到了认可。因此，在过去二十年里，学者们越来越强调采用系统视角来管理安全，建议整合人类、技术和组织维度[14,16]。因此，安全管理与社会技术系统（Socio-Technical Systems，简称STSs）的概念紧密相关[1]，即由人、机器和组织组成的系统，它们之间紧密且动态地互动，以确保系统实现其预期目的。

工业系统的这种演变导致了STSs的数字化程度不断提高。“技术”维度演变为两个相互关联的部分：（i）由有形设备组成的物理部分；（ii）涉及网络空间中交换的所有数据和信息的数字部分。随着网络物理系统（Cyber-Physical Systems，简称CPSs）在工业环境中的日益普及[24]，这种区别变得明显：虽然它们的采用通过优化流程和改善活动协调提高了性能，但也引入了一系列新的风险。值得注意的是，数字故障现在可能导致现实世界中的物理后果[30]。基于此，最近扩展了STS的概念，以突出CPSs引入的额外复杂性：帕特里亚尔卡等人[23]提出了网络社会技术系统（Cyber-Social-Technical Systems，简称CSTSs）的概念，其中“网络”前缀强调了技术维度的双重性质如何增加了与“社会”维度的复杂性：社会组成部分不仅必须与物理技术元素互动，还必须与其网络对应部分互动。

**1.1. 系统理论事故模型与过程（STAMP）及其相关技术**
在这种复杂的情况下，各种系统模型和方法中，系统理论事故模型与过程（STAMP）及其相关技术[16]脱颖而出。STAMP不仅在科学研究中得到了广泛应用，也在众多工业案例研究中得到了验证，证明了其坚实的理论基础和实际分析的有效性[22]。从理论角度来看，STAMP结合了系统理论和控制理论的原则，提供了关于系统安全的新视角。具体而言，STAMP采用了系统思维视角，考虑了系统元素之间的影响和相互依赖性。同时，借鉴控制理论的原则，STAMP将系统视为一系列相互关联的元素，这些元素需要通过反馈和控制循环保持动态平衡。根据STAMP，当这些控制机制不足或失效时，就会产生安全问题。STAMP及其相关技术的整个理念基于这一前提：存在不安全（或不稳固）的控制行为（Unsafe/Unsecure Control Actions，简称UCAs）。实际上，分析STAMP模型可以识别哪些控制行为可能是不充分的，并确定如何定义安全约束以防止这种情况再次发生。系统理论过程分析（System-Theoretic Process Analysis，简称STPA）和系统理论安全过程分析（System-Theoretic Process Analysis for Security，简称STPA-Sec）以主动的方式形式化了这一过程，而基于系统理论的因果分析（Causal Analysis based on Systems Theory，简称CAST）则采用类似的方法，但属于事后分析。

**1.1.1. 文献中提出的基于STAMP的量化方法**
帕特里亚尔卡等人[22]对STAMP及其相关技术的应用进行了全面回顾。然而，这种系统理论建模的应用领域正在迅速发展，近年来（即2022年以后），人们逐渐认识到将典型的STAMP定性发现与定量推理相结合的好处。例如，埃布拉希米等人[10]将STAMP与模糊逻辑结合，量化了控制级别之间的相互关系，最终产生了可解释的“因果”权重，将STAMP的应用范围扩展到了定性之外。然而，定量结果在很大程度上依赖于专家判断和对相互依赖性的静态评估，未能完全摆脱主观性。同样，孙等人[27]证明将STAMP与级联故障传播模型结合可以实现实时动态风险分析。该方法有效用于量化故障在系统中的传播方式，但需要关于传播机制的假设。此外，STAMP和STPA还与事件树分析[31]及贝叶斯网络[20]结合，利用概率推理来估计事故发生的概率，从而产生可解释的风险评分。在这种情况下，结果的有效性也受到专家输入质量的影响，并未完全捕捉系统随时间的变化。类似的例子还有廖等人的研究[17]，他们将STPA与贝叶斯网络和成功可能性指数方法（Success Likelihood Index Method，简称SLIM）结合，用于模拟人为错误的可能性，但结果仍然依赖于专家估计的概率和验证数据。相比之下，将STAMP相关技术与仿真结合的方法在结果的客观性和可扩展性方面具有明显优势，允许在大量参数设置上进行迭代和测试。例如，本萨奇等人[2]的STPA-SPN框架使用Petri网和蒙特卡洛仿真直接估计多机器人系统中的碰撞频率，或者西蒙内等人的STPA-Sec/S方法通过直接建模系统动态来评估韧性。这些基于仿真的方法在各种场景和操作条件下产生了经验分布结果，捕捉到了静态推理方法无法捕捉的级联效应和时间依赖性。虽然专家判断在定义安全控制结构（Safety Control Structure，简称SCS）和UCAs时仍然至关重要，但这些模型与仿真的结合提供了更丰富的定量见解。事实上，文献表明，尽管概率和静态建模技术提供了有价值的结果，但将STAMP与仿真技术结合是一条特别有前景的发展路径[21]。

**1.2. 本研究的目标**
尽管仿真是一种有效的解决方案，可用于量化和探索STAMP分析的结果，尤其是在复杂和动态的环境中，但仍需承认两个主要挑战[6]。首先，模拟CSTSs时存在固有的简化问题。模型本质上是现实的抽象，无法捕捉现实世界系统的全部复杂性。在处理CSTSs和可能以非线性方式传播的网络故障时，这种限制尤为明显，这些故障往往具有突发性和不可预测性，最终影响结果的准确性和可解释性。第二个挑战是，在CSTSs中，人类代理的存在对系统起着积极作用。然而，与技术组件不同，人类行为高度可变，并受到认知、社会和情境因素的影响，这些因素难以在模型中形式化。

基于这些前提，本文提出了以下研究问题：如何利用人机闭环（HHIL）仿真来定量评估基于STAMP的分析结果？这里的HHIL指的是一种模拟方法，它整合了系统的网络物理组件（即硬件）和与这些组件交互的真实人类。通过将人类代理直接纳入仿真循环，该方法旨在克服上述限制，特别是在人类决策与网络故障管理紧密相关的场景中。事实上，本研究主要关注CSTSs的网络中断问题，所提出的方法借鉴并扩展了西蒙内等人[25]引入的STPA-Sec/S方法。该方法通过一个模拟实验工厂的案例研究进行了实例化和测试，该工厂再现了一个油气设施。实验设置允许在模拟网络攻击的情况下控制观察系统行为和人类反应，从而论证了HHIL方法在量化STPA-Sec/S结果方面的有效性。

**2. 方法**
本节概述了本研究使用的方法。首先简要介绍了作为本研究基础的STPA-Sec/S方法。随后讨论了对仿真模型所需的调整，以实现HHIL仿真。

**2.1. 基于仿真的系统理论安全过程分析（STPA-Sec/S）**
STPA-Sec/S是传统STPA方法及其网络安全导向扩展（即STPA-Sec）的方法论改进。该方法将系统理论推理与基于仿真的建模相结合，以克服现有STPA-Sec应用的主要定性特征。虽然STPA-Sec能够有效识别SCS中的不安全或不稳固的控制行为，但它通常无法提供关于这些漏洞在网络中断期间如何动态演变的深入见解。传统的STPA-Sec研究通常结合战争游戏来提供分析结果的实用视角。然而，即使在这种情况下，也没有直接的量化链接。在表征CSTS的网络韧性性能（即其预测、抵御、恢复和适应网络中断的能力）时，这一点尤为重要[3]。STPA-Sec/S通过仿真实现了对系统行为的定量和结构化探索。

虽然鼓励感兴趣的读者阅读西蒙内等人的手稿[25]，但这里提供了STPA-Sec/S的核心方法步骤的总结。该过程首先定义了系统的预期任务及其边界、损失、危险和约束，这些共同确定了分析的范围。然后建模一个分层的SCS，以捕捉控制器、执行器、传感器和受控过程之间的互动。在此结构中，随后识别潜在的UCAs。具体来说，当以下情况发生时，控制行为可能变得不充分并构成UCA：（i）不提供反馈或控制行为导致危险；（ii）提供反馈或控制行为导致危险；（iii）提供反馈或控制行为过早、过晚、顺序错误或应用不当导致危险；（iv）提供反馈或控制行为停止得太晚或太早导致危险。因此，识别出的UCAs突出了可能成为网络诱导故障载体的功能角色。SCS作为在仿真环境中构建数字模型的蓝图，其中关键系统元素通过状态变量表示，能够再现第一步中定义的范围相关的动态。适当的韧性指标（从物理或网络变量到服务级别或特定任务的指标）被设计出来，以量化系统对中断的响应。这些指标由分析师定义，但其确定受到第一步中建立的系统视角的指导。在实践中，这意味着选择可测量和可访问的过程参数，或它们的适当组合，以最好地反映系统抵御、响应和从网络干扰中恢复的能力。要模拟的攻击场景是通过将识别的UCAs转换为在模拟运行期间引入的扰动来获得的。因此，通过将这些场景下的系统性能与名义行为下的系统性能进行比较，STPA-Sec/S允许计算韧性指标，从而评估系统对特定网络攻击的韧性。模拟运行可以超越简单的确定性输入输出计算，而是利用系统随机模拟来系统地理解CSTS的复杂性。

2.2. 朝向人机交互（HHIL）模拟
为了提高STPA-Sec/S最后阶段（即第7步）执行的模拟的真实性，本研究整合了HHIL逻辑。HHIL模拟架构直接基于STPA-Sec/S第4步中定义的系统的SCS。然而，在这种扩展使用中，SCS不仅支持关键状态变量的识别（即受控制动作影响或通过反馈共享的变量），还用于映射要在HHIL模拟模型中捕获的人类和技术代理之间的不同交互模式。在这个背景下，可以从简单的人机自动化SCS模式中识别出三种不同类型的人机交互（参见图1）：
- 自动化过程控制（人类监控）。在这种配置中，人类操作员被排除在直接控制物理过程之外，他们只能监控过程参数。这发生在操作员选择不使用他们的控制能力，而是将所有过程控制委托给自动化系统时；
- 人类间接过程控制（人类赋能）。在这种情况下，人类操作员通过修改自动化控制系统的逻辑来影响过程。尽管他们积极参与，但操作员的行动仍然由自动化系统中介，他们不直接与物理过程交互；
- 人类直接过程控制（人类独占）。在这里，人类操作员通过直接与物理执行器交互并读取设备传感器的测量值来手动控制过程，而不依赖于任何自动化中介。

下载：下载高分辨率图像（242KB）
下载：下载全尺寸图像

1. 一个CSTS的示例SCS（左），以及系统操作过程中可能发生的三种类型的人机交互（右）。
这三种交互模式可以在整个过程操作中多次以不同的顺序发生。因此，目标是开发一种能够动态适应并捕获每种交互模式的模拟模型架构[26]。基于这一前提，HHIL模拟模型通过如图2所示的架构设计结合了所有三种模式。该架构包括一个必须在现实世界中实际复制的物理过程（即“物理过程”块，参见图2），例如通过测试平台或模拟器。存在真实的物理过程对于实现与人类操作员的交互至关重要（即“人类操作员”块，参见图2）。由于研究的系统是一个CSTS，因此也必须纳入一定程度的自动化。因此，该架构还考虑了传感器（即“传感器”块，参见图2）和执行器（即“执行器”块，参见图2）。传感器收集并传输过程数据，而执行器作用于系统以修改其物理参数。实际上，传感器获取的数据由自动化控制器（即“自动化控制器”块，参见图2）处理，该控制器通过执行器发出控制命令。这个自动化控制器——或者更典型地，一组控制器——在更高级控制系统的监督下运行（例如，SCADA系统），该系统从过程中的多个来源汇总信息，然后制定适当的控制策略（即“数据中心”块，参见图2）。最后，模型架构还包括物理过程的数字对应物（即“系统的数字模型”块，参见图2），旨在模拟在物理设置中无法安全或实际复制的场景，例如破坏性或危险事件。

下载：下载高分辨率图像（229KB）
下载：下载全尺寸图像

图2. HHIL模拟模型架构。实心黑色箭头表示始终活跃的技术元素之间的交互链接。虚线黑色箭头表示仅在模拟破坏性场景时使用的技术元素之间的交互链接。实心橙色箭头表示始终活跃的人类操作员与技术元素之间的交互链接。实心浅蓝色箭头表示在破坏性场景中不应激活的技术组件之间的交互链接。改编自[26]。

为了支持之前讨论的所有人机交互模式的模拟（如图1所示），HHIL模型架构必须使其元素之间能够实现特定的接口。这些接口应允许模型根据正在模拟的情景动态表示各种操作配置。特别是，图2概述了所需的交互链接。从物理层开始，必须确保物理过程、传感器、执行器和自动化控制器之间的连续数据交换（即实心浅蓝色箭头，参见图2）。然而，这些与真实物理过程的交互必须在模型中是可配置的：它们必须可用，但在涉及潜在破坏性场景的模拟中可以选择性地禁用。在这种情况下，系统的数字模型替代了真实的物理过程，自动化控制器与此数字表示进行交互，从而创建了一个硬件在环配置（即虚线黑色箭头，参见图2）。相反，其他技术组件之间的接口必须始终保持活跃（即实心黑色箭头，参见图2）。具体来说，自动化控制器必须持续与数据中心通信，以确保获取最新的过程信息，无论数据是来自物理系统还是数字模型。数据中心反过来将这些信息与数字模型交换，以保持一致性并在需要时实现准确的过程模拟。数字模型还必须包含与人类控制器相关的信息。与人类相关的数据可以通过（例如）运动捕捉系统、相机或可穿戴传感器收集，并以人机交互的方式输入数字模型，以模拟人类行为及其对系统性能的影响。为此，人类控制器必须能够与系统中的各种技术元素交互，包括：传感器（例如，通过直接读取数据来监控过程条件）、执行器（例如，通过手动调整过程参数）和自动化系统（例如，通过数据中心修改控制逻辑）。所有这些人机接口在图2中都用实心橙色箭头表示。

3. 案例研究
本节介绍了用于测试本文提出的HHIL建模和模拟方法的案例研究。首先介绍了所分析的过程，然后应用了STPA-Sec/S方法论步骤。后者有意集中在HHIL模型的开发和使用上，而不是提供整个方法论应用的全面概述。因此，为了保持对HHIL模拟在更广泛方法中的作用和实施的关注，有意省略了一些细节。

3.1. 过程概述
用于实例化STPA-Sec/S提出的HHIL扩展的案例研究是一个位于意大利安科纳马尔凯理工大学工业工程与数学科学系的实验性模型工厂[7]。该工厂旨在通过利用相邻的活跃油井的压力来模拟从枯竭井中人工提取天然气。这种方法在能源行业中很常见，用于减少在储层深度安装机械泵的成本和复杂性。根据“不造成重大伤害”的原则[12]，该工厂用室温水空气替代了原油和天然气，同时保持了工业两相流提取系统的结构和功能行为。该过程的核心组件是一个气液喷射器，它使用高压水流来创建真空，使环境空气被吸入系统。这模仿了石油和天然气行业中用于输送两相气液混合物的真正喷射器的操作。过程从泵从开放式水箱中抽水开始，其压力由电磁阀（即AV1）调节，然后输送到喷射器。一旦高压水进入喷射器，它加速，将压力转化为动能以产生真空。后者通过专用于空气的进气管道吸入空气，最终在喷射器出口形成两相空气-水混合物。混合物流入一个垂直水箱，作为相分离器，分离气体和液体成分。水箱出口通过两个额外的电磁阀（即AV2和AV3）进行管理，分别调节水和空气的出口，从而实现对液位和水箱内部压力的主动控制。为了自动监控和控制工厂，使用了RevPi Core 3工业控制器。RevPi从工厂的传感器收集实时数据（见表1，了解工厂上安装的所有传感器和执行器的完整列表），通过PID逻辑处理数据，并相应地指挥执行器（即AV1、AV2、AV3）。数据和命令使用消息队列遥测传输（MQTT）发布-订阅通信架构进行传输，该架构将RevPi连接到在桌面和移动应用程序上实现的人机界面。用户界面旨在实时监控工厂操作，并允许操作员干预过程控制。它提供了关键性能指标的实时和历史数据可视化，同时提供手动控制功能以调整参数和调整控制逻辑。在这种情况下，操作员在确保整个系统的正常运行中起着关键作用，特别是在超出其被动监控范围的异常或意外情况下。如有必要，操作员可以亲自检查工厂以收集额外信息或进行直接手动干预，从而确保喷射器和其他组件继续在其预期的性能规格内运行。

表1. 工厂组件（传感器和执行器）及其相应描述
组件名称 描述
Sensor S1 测量进入喷射器的水压的传感器
Sensor S2 测量进入喷射器的水流量的传感器
Sensor S5 测量水箱内部压力的传感器
Sensor S6 测量水箱内部水位的传感器
Sensor S7 测量吸入喷射器的空气流量的传感器
Actuator AV1 调节进水通道的阀门，用于调节进入喷射器的水压
Actuator AV2 调节出水通道的阀门，用于调节水箱内的水位
Actuator AV3 调节出气通道的阀门，用于调节水箱内的压力

3.2. 应用STPA-Sec/S步骤
人类操作员与自动化技术组件之间的密切合作以实现系统的操作目标，使得上述描述的实验工厂成为用于测试STPA-Sec/S HHIL方法的代表性CSTS示例。以下段落报告了这一实施的关键细节。

3.2.1. 定义分析范围
在问题识别阶段（即第2.1节，参见第2.1节），分析集中在工厂可能面临的网络诱导故障上。特别是，重点关注那些导致关键压力阈值被违反或导致水或空气流量不足的网络攻击，从而影响提取过程的能力。完整的损失列表、相关危害以及系统级约束超出了范围，如第3节早期所承认的。

3.2.2. 建模安全控制结构
关于SCS的建模（即第2节，参见...）第2.1节中，得到的SCS显示在图3中，可以注意到所有在第3.1节中描述并在表1中总结的关键元素。下载：下载高分辨率图像（763KB）下载：下载全尺寸图像图3. 分析的CSTS的SCS。3.2.3. 识别不安全和不稳固的控制动作图3中的SCS被分析以检索系统的UCAs。分析首先由作者进行，他们手动分析了SCS并识别出所有形式上正确的UCAs，共得到90个UCAs。然后与模拟工厂的操作员一起审查这些UCAs，以确定哪些在实际操作中是合理的，最终得到65个UCAs。为了演示目的，本文中的分析仅关注三个UCAs：•UCA 1. RevPi在稳态操作期间控制罐内空气量时，提供了错误的空气驱动阀（AV3）位置修改；•UCA 2. RevPi在稳态操作期间控制管道（泵-喷射器）中的水流时，没有对空气驱动阀（AV1）的位置进行任何修改；•UCA 3. RevPi在稳态操作期间控制罐内水位时，提供了错误的空气驱动阀（AV2）位置修改。关于基于这些UCAs开发的仿真场景的更多细节将在第3.2.5节中报告。3.2.4. 开发仿真模型根据图2所示的HHIL模型架构，“物理过程”、“传感器”、“执行器”、“自动化控制器”和“数据中心”这些模块的实现及其相应的接口应该很容易理解，因为它们直接对应于第3.1节中描述的模拟工厂的物理组件和连接。然而，应该更加关注解释其余两个模块（即“人类控制器”和“系统的数字模型”）及其与工厂组件的接口是如何集成到仿真模型中的。人类操作员与HHIL仿真模型的集成是通过使用Noitom的Perception Neuron Studio运动捕捉系统开发的人类数字孪生实现的。选择这种解决方案主要是因为其便携性以及无需外部摄像头或固定基础设施即可进行高精度运动跟踪的能力，从而避免了對现有模拟工厂布局的任何修改。该设置模仿了Bortolini等人[5]的方法，包括在操作员身体的关键关节上放置了17个惯性测量传感器，以每秒高达240帧的频率捕捉他们的全部运动。然而，对于本研究的目的，仅使用了骨盆传感器来近似操作员的重心，在模拟工厂环境中以90 fps的分辨率跟踪他们的运动。运动捕捉系统的原始输出是一系列以中性（即空）固定点为参考的骨盆传感器三维坐标的时间序列。从这些空间数据开始，通过引入一组控制体积（即围绕工厂关键组件定位的虚拟三维区域，例如检查点），将操作员的位置转化为系统内的动作。每个控制体积被定义为一个不重叠的长方体，具有沿三个轴的特定原点坐标和尺寸。因此，操作员的行为变成了与给定控制体积的交互，通过检查骨盆传感器坐标在给定时间帧内是否落在控制体积边界内来确定。这种方法与文献[4]中广泛讨论和使用的控制体积方法一致。运动捕捉系统模拟器的处理输出具有表2中报告的数据结构，其中N是定义的控制体积总数。数据表可能有多行，其数量不是预先固定的，而是取决于人类操作者在HHIL仿真期间访问的控制体积数量。表2. 基于运动捕捉系统的人类操作员模型产生的输出数据结构。控制体积1控制体积2…控制体积N持续时间[s]如果人类操作员与控制体积1交互；否则为0如果人类操作员与控制体积2交互；否则为0…如果人类操作员与控制体积N交互；否则为0人类操作员与控制体积交互的时间，值为1……………另一方面，为了允许数字孪生在破坏性仿真场景中替代物理工厂作为自动化控制器的目标，物理过程的数字化是使用Mazzuto等人[18]开发的基于Python的模型实现的。该数字模型通过复制两个主要工厂子系统的耦合行为来估计工厂过程变量：泵-喷射器线路和垂直分离罐。因此，泵-喷射器模型模拟了水压如何驱动空气吸入，根据水流条件计算压力值，并允许模拟调整进水阀（即AV1）。同时，垂直罐模型计算罐内压力和水位随时间的变化，利用这些信息来模拟两个出水阀（即AV2和AV3）的位置调节。这两个子系统通过反馈回路动态连接，因为罐内压力和水位的变化也会影响喷射器的吸入性能。该模型能够为所有模拟的工厂组件（即传感器和执行器）返回一系列时间序列值，这些值与来自物理组件的真实值精确集成。结果数据结构在表3中报告，其中M是收集数据的时间步数总数。表3. Mazzuto等人[18]的物理工厂模型产生的输出数据结构。AV3 [%] 时间步长1的AV3阀位置时间步长2的AV3阀位置…时间步长MAV2 [%] 时间步长1的AV2阀位置时间步长2的AV2阀位置…时间步长MAV1 [%] 时间步长1的AV1阀位置时间步长2的AV1阀位置…时间步长MS7 [m3/h] 时间步长1的进气流量时间步长2的进气流量…时间步长MS6 [mm] 时间步长1的罐内水位时间步长2的罐内水位…时间步长MS5 [bar] 时间步长1的罐内压力时间步长2的罐内压力…时间步长MS2 [m3/h] 时间步长1的进气流量时间步长2的进气流量…时间步长MS1 [bar] 时间步长1的进水压力时间步长2的进水压力…时间步长M时间 [s] 时间步长1时间步长2…时间步长M3.2.5. 定义韧性指标定义了一组韧性指标，通过八个感兴趣的过程参数来跟踪名义性能与受损性能之间的差异。为了避免过度简化，在这个阶段为每个可用的系统元素提出了一个专门的韧性指标，即由S1、S2、S5、S6和S7测量值以及AV1、AV2、AV3的行为描述的指标。每个韧性指标遵循类似的结构，具体来说：(1) Ri=Asi?|Asi?Adi|Asi其中Asi代表名义性能曲线下的面积，Adi代表受损性能曲线下的面积，i ∈ [S1, S2, S5, S6, S7, AV1, AV2, AV3]标识定义的八个不同的韧性指标。这些指标基于成熟的“曲线下面积”方法[15]，该方法在概念上与通过所谓的“韧性三角形”[28]来测量韧性相关。图4使用工厂数字模型生成的假设时间序列示例性地展示了第i个系统性能。显示了名义（即虚线，参见图4）和受损（即实线，参见图4）性能曲线，韧性指标Ri由阴影区域表示。乍一看，韧性指标的定义可能与操作员的行为无关。然而，关于图4，重要的是要识别受损曲线中的五个不同阶段，这些阶段最终表明了操作员何时以及如何对整体系统性能做出贡献。具体来说：•稳态，参见图4 [t0, t1)。在操作的第一个阶段，系统在稳态条件下运行（即Ps，参见图4），没有发生网络攻击或中断。由于预期的分析假设网络攻击最终会成功，因此这个阶段没有操作员干预的机会。因此，在这个阶段，与操作员相关的数据不相关，假设他们既不能产生积极影响也不能产生负面影响；•受攻击时，参见图4 [t1, t2]。在某个时间点（即t1，参见图4），网络攻击开始影响工厂性能。在这个阶段，操作员的作用首先是检测异常。操作员的检测时间（即t2，参见图4）直接影响这个阶段的长度：操作员越早检测到攻击，这个“受攻击”阶段持续的时间就越短；•关闭，参见图4 [t2, t3]。一旦检测到攻击，操作员使工厂进入关闭阶段，性能下降到“零”状态（即P0，参见图4）。尽管这个阶段的持续时间不受操作员行为的直接影响，但它间接受到操作员在前一个阶段反应速度的影响。具体来说，达到P0所需的时间取决于系统受到攻击的程度（即Pd，参见图4）。例如，如果图4中的性能曲线代表罐内的水位（即S6），那么越早检测到攻击，水位上升得越少，从而可以更快地排空罐子；•工厂关闭后，参见图4 [t3, t4]。关闭后，工厂保持关闭状态，进入一个非预期但稳定的时期。在此期间，操作员评估攻击对系统的影响，调查组件的潜在故障，并执行必要的重新校准和诊断任务。这个阶段的长度直接与操作员的干预时间相关：这些任务完成得越快，工厂就能越快恢复运行；•启动，参见图4 [t4, ∞）。一旦所有恢复和验证活动完成，操作员开始启动过程（即从t4开始，参见图4），工厂恢复到其原始的稳态（即Ps，参见图4）。这个过渡可能是非线性的和不连续的，如图4中的线条所示。由于这个阶段主要是自动化的，操作员的行为对其持续时间没有影响，因此这个阶段也不包括与操作员相关的数据。下载：下载高分辨率图像（129KB）下载：下载全尺寸图像4. 用于计算韧性指标的示例标准和受损性能曲线，以及关键时间点和相应的性能值。3.2.6. 建模故障及其影响根据第3.2.3节中列出的选定UCAs，首先由作者在STPA-Sec/S分析中识别了一组与选定UCAs相关的形式上正确的损失场景。然后，在与工厂操作员的咨询下，只保留了那些被认为在操作上相关且可行的场景。其中，有两个场景特别被工厂操作员强调为既相关又可行用于仿真：第一个与UCA 3相关，第二个同时与UCA 1和UCA 2相关。因此，它们被选中并在这里展示，以评估HHIL仿真方法。下面详细描述了这些场景，包括故障及其技术影响，以及人类操作员在执行HHIL仿真时的预期响应：•场景1：罐位读数错误。反馈“测量的罐内水位”或“罐内水位测量”（参见图3）表明罐内水位低。然而，这种读数是不正确的，它是由于网络攻击造成的，例如隐蔽的虚假数据注入（FDI）攻击故意操纵了传感器读数，或者是隐蔽的中间人（MitM）攻击，这种攻击阻止了传感器更新，同时注入恶意代码或操纵控制设定点来改变工厂的行为而不被检测到。异常情况促使自动化控制器改变了AV2的管理方式（即UCA 3）：假设水箱未充满，AV2被关闭以避免进一步抽水。然而，实际的水位继续上升，随着水的积累，水箱内的压力也在增加。在这种情况下，正确的反馈信息“水箱内测量的水压”和“水箱内水压的测量值”使自动化控制器意识到压力的增加，并通过适当管理AV3来做出反应，最终释放多余的空气以维持稳定的压力水平。但是，由于AV2的关闭，工厂输出的水量减少了，而水位上升可能导致水箱溢出。在检测到传感器差异并认识到相关的洪水风险后，操作员通过禁用自动化控制器来阻止任何进一步的非预期控制动作。这种手动干预旨在将工厂恢复到稳定状态。随后，系统完全关闭以允许进行检查和故障排除。这是通过重新校准受损的传感器并检查其他工厂组件的功能来完成的。完成这些任务后，系统重新启动，自动化控制重新启用，工厂在正常条件下恢复运行。

• 情景2：水箱压力的错误低读数。错误的反馈信息“水箱内测量的水压”或“水箱内水压的测量值”（参见图3）误导了AV3的控制。同样，这种情况可以通过各种类型的攻击来验证，例如隐蔽的FDI攻击、隐蔽的MitM攻击，甚至是拒绝服务（DoS）攻击，这些攻击阻止控制器获取压力的更新信息。为了纠正报告的低压力，自动化控制器关闭了阀门AV3，使得较少的空气从水箱中逸出（即UCA 1），最终导致内部压力危险地增加。同时，通过AV1的水流管理保持不变（即UCA 2），但不断增加的内部压力阻碍了水的正常流动，从而影响了抽气机的抽气能力。当检测到系统异常行为时，操作员应通过禁用自动化控制来手动稳定工厂，使其处于安全配置。如果及时执行，这种手动控制覆盖可以防止情况恶化，并为受控的工厂关闭创造条件。然后操作员进行关闭并执行必要的恢复程序（即传感器重新校准），并检查以使工厂恢复到预期的运行状态。问题解决后，系统重新启动，自动化控制重新激活，工厂在正常条件下恢复运行。

为了清晰起见，本文余下部分将这两种情况分别称为情景1和情景2。

3.2.7 评估系统的弹性性能
系统的弹性性能评估是通过一项实验活动来支持的，该活动旨在在模拟工厂环境中收集操作员在处理情景1和情景2时的数据。专家和新手操作员都参与了模拟，以捕捉对异常系统条件的各种人类反应。共有8名操作员参与了实验活动，其中3名专家和5名新手。所有参与者都具有工程背景，并接受了相同的初始工厂操作培训。由于该工厂是用于研究目的的模型，我们认为拥有1年的经验就足以被视为工厂操作的专家。虽然除了初始会议之外没有提供正式的重复或定期培训，但操作员持续参与与工厂相关的研究活动。因此，拥有超过1年工厂工作经验的参与者被归类为专家操作员，而工作经验不足1年的则被视为新手。

在人类参与的角度来看，所有参与者都使用数字控制面板和远程接口（即桌面和移动应用程序）以及工厂的物理设备（即物理传感器和执行器）与工厂进行交互。在每次模拟会话中，操作员的行为通过运动捕捉系统进行跟踪，生成如表2所示的数据。这些时间序列随后被分析并手动关联到检测或恢复阶段（即从t1到t2，或从t3到t4，参见图4）。

在实验活动中，安装在工厂上的传感器持续记录物理过程数据，返回如表3所示的数据表。在达到某些危险条件时，系统会自动触发关闭，停止真实工厂的运行。在这种情况下，使用数字模拟模型来完成时间序列的剩余部分，确保分析的数据集的一致性。

鉴于这两种类型的数据（即与人类相关的数据和工厂性能数据），开发了一个MATLAB脚本来评估在不同操作条件下的整个CSTS弹性。具体来说，该脚本执行蒙特卡洛模拟，根据收集的实验数据计算不同操作员行为的弹性指标Ri分布。蒙特卡洛模拟进行了500次迭代，保守地保证了<5%的误差阈值[9]。

在每次迭代中，脚本随机选择两个与人类相关的数据表，一个用于检测活动，另一个用于恢复活动。然后，脚本从实验活动中生成的工厂性能曲线中随机选择一个。这三个输入结合了人类性能影响工厂的阶段（见第3.2.5节）：检测时间（即t2和t1之间的差异，参见图4）和恢复时间（即t4和t3之间的差异，参见图4），分别通过总结检测和恢复时间序列的最后一列来计算。这两个值用于截断“受攻击”、“关闭”和“工厂关闭”阶段的性能曲线，确保数据的连续性和一致性，再次利用工厂的数字模型。具体来说，检测时间确定了攻击解决的时刻，以及随之而来的最大性能下降（即t2和Pd，参见图4）。然后使用这个值来初始化“关闭”阶段。另一方面，恢复时间决定了“工厂关闭”阶段的持续时间，反映了操作员进行诊断、重新校准和准备系统重启所需的时间。因此，每次模拟迭代返回一个三维数据对象，包含：（i）检测时间值；（ii）恢复时间值；以及（iii）一个结构如表3所示的表格，代表该特定模拟运行期间生成的工厂参数曲线。

为了清晰起见，本文余下部分将这两种情况分别称为情景1和情景2。

3.2.7 评估系统的弹性性能
系统的弹性性能评估是通过一项实验活动来支持的，该活动旨在在模拟工厂环境中收集操作员在处理情景1和情景2时的数据。专家和新手操作员都参与了模拟，以捕捉对异常系统条件的各种人类反应。共有8名操作员参与了实验活动，其中3名专家和5名新手。所有参与者都具有工程背景，并接受了相同的初始工厂操作培训。由于该工厂是用于研究目的的模型，我们认为1年的经验足以被视为工厂操作的专家。虽然除了初始会议之外没有提供正式的重复或定期培训，但操作员持续参与与工厂相关的研究活动。因此，拥有超过1年工厂工作经验的参与者被归类为专家操作员，而工作经验不足1年的则被视为新手。

在人类参与的角度下，所有参与者都使用数字控制面板和远程接口（即桌面和移动应用程序）以及工厂的物理设备（即物理传感器和执行器）与工厂进行交互。在每次模拟会话中，操作员的行为通过运动捕捉系统进行跟踪，生成的数据如表2所示。这些时间序列随后被分析并手动关联到检测或恢复阶段（即从t1到t2，或从t3到t4，参见图4）。

在实验活动中，安装在工厂上的传感器持续记录物理过程数据，返回如表3所示的数据表。在达到某些危险条件时，系统会自动触发关闭，停止真实工厂的运行。在这种情况下，使用数字模拟模型来完成时间序列的剩余部分，确保分析的数据集的一致性。

鉴于这两种类型的数据（即与人类相关的数据和工厂性能数据），开发了一个MATLAB脚本来评估在不同操作条件下的整个CSTS弹性。具体来说，该脚本执行蒙特卡洛模拟，根据收集的实验数据计算不同操作员行为的弹性指标Ri分布。蒙特卡洛模拟进行了500次迭代，保守地保证了<5%的误差阈值[9]。

在每次迭代中，脚本随机选择两个与人类相关的数据表，一个用于检测活动，另一个用于恢复活动。然后，脚本从实验活动中生成的工厂性能曲线中随机选择一个。这三个输入结合了人类性能影响工厂的阶段（见第3.2.5节）：检测时间（即t2和t1之间的差异，参见图4）和恢复时间（即t4和t3之间的差异，参见图4），分别通过总结检测和恢复时间序列的最后一列来计算。然后使用这两个值来截断“受攻击”、“关闭”和“工厂关闭”阶段的性能曲线，确保数据的连续性和一致性，再次利用工厂的数字模型。具体来说，检测时间确定了攻击解决的时刻，以及随之而来的最大性能下降（即t2和Pd，参见图4）。后者用于初始化“关闭”阶段。另一方面，恢复时间决定了“工厂关闭”阶段的持续时间，反映了操作员进行诊断、重新校准和准备系统重启所需的时间。因此，每次模拟迭代返回一个三维数据对象，包含：（i）检测时间值；（ii）恢复时间值；以及（iii）一个结构如表3所示的表格，代表该特定模拟运行期间生成的工厂参数曲线。

通过模拟过程生成的数据随后用于计算弹性指标Ri。为此，创建了一个代表工厂正常性能的参考数据集，记录了大约两小时的稳定运行期间，期间没有引入任何干扰。任何瞬态行为都被排除在外，以确保数据集仅反映稳态系统条件。然而，在将这个参考时间序列与受干扰的性能曲线进行比较之前，应用了一组调整以确保系统弹性的最准确和有意义的计算。

第一个后处理步骤涉及对两个时间序列的长度进行对齐。由于受干扰的性能曲线根据模拟操作员的行为而变化（即不同的检测和恢复时间），因此将正常性能数据集循环修剪以匹配每个受干扰曲线的确切长度。这确保了标准性能曲线Asi下的面积和受干扰性能曲线Adi下的面积指的是相同的时间范围。如果没有这一步骤，过长的标准曲线可能会人为地夸大Asi，使弹性得分Ri接近1，无论系统的实际退化程度如何。

第二个调整解决了两个信号的时间对齐问题。仅仅将两个时间序列修剪到相同的长度并不能保证周期性行为（例如围绕给定设定点的振荡）是相位对齐的。换句话说，即使两个曲线可能具有相同的频率，它们之间的任何时间偏移都可能导致点对点面积比较的差异。在考虑方程（1）中的绝对差异|Asi?Adi|时，这种不对齐尤其成问题，因为它可能导致弹性被显著低估，即使整体系统行为基本保持不变。为了缓解这个问题，评估中采用了动态时间规整（DTW）技术，这是一种用于对齐可能在速度或时间上不同的时间序列的技术[19]。DTW通过识别两个序列之间的最佳非线性对齐来工作，最小化它们元素之间的累积距离。具体来说，给定两个假设的时间序列：(2)x=(x1,x2,…,xa,…,xA)和(3)y=(y1,y2,…,yb,…,yB)，DTW构建了一个成本矩阵D，其中每个元素D(a,b)表示x的第a个元素和y的第b个元素之间的距离，计算方式为欧几里得距离：(4)D(a,b)=(xa?yb)2。该程序的目标是在D中找到一个最优的非线性对齐路径w：(5)w=(w1,w2,…,wc,…,wC)，使得每个wc=(ac,bc)对齐x和y的元素，最小化成本函数：(6)DTW(x,y)=min∑c=1CD(ac,bc)，其中c=1,…,C遍历w中的所有a和b的对。作为约束，DTW路径必须满足：（i）边界条件（即起点和终点必须在第一个和最后一个元素），（ii）连续性（即步长为1），以及（iii）时间序列x和y的单调性（即保持时间顺序）。

最后的细化是为了从弹性分析中排除非异常段，确保弹性指标不会因为Asi和Adi的值都很大而人为地被低估。实际上，为了避免这种现象，弹性评估特别关注通过实施实用的异常检测程序来识别出性能有显著偏差的时期。后者是通过经验调整的，通过识别任何偏离名义曲线至少5%的时间段作为异常段，并且这种偏差至少持续50个连续的时间步长。另一方面，只有在500个连续点都低于5%的偏差阈值后，才认为一个异常时期结束。所有非异常时间段在计算曲线下面积之前都被设置为零，从而从弹性计算中排除。

为了清晰起见，图5展示了组件S6（即水箱水位传感器）的标准和受干扰的时间序列，在应用上述数据后处理程序之前（a）和之后（b）。

4. 模拟结果和HHIL弹性评估
HHIL模拟运行提供了关于CSTS弹性性能的宝贵见解，特别关注了专家和新手操作员的不同行为。本节从两个互补的角度展示了两个模拟场景的结果。第一小节检查了：（i）检测时间，（ii）恢复时间，以及（iii）第3.2.5节中定义的弹性指标的分布。第二小节采用了更广泛的视角，引入了两个总体弹性指标：一个与过程产生的水量有关，另一个与吸入的空气量有关。实际上，重要的是要记住，所分析的系统是一个模拟提取过程的实验工厂，在这个过程中，水和空气分别代表石油和天然气。因此，这两个指标直接与所模拟过程的总体效率相关。4.1 结果分布为了评估专家和新手在结果上观察到的差异的统计显著性，采用了假设检验方法。原假设（H0）认为“专家和新手操作员的恢复能力相同”，而备择假设（H1）认为“专家和新手操作员的恢复能力不同”。首先使用Shapiro-Wilk检验测试每个恢复能力指标的正态性。由于没有指标的p值大于0.05，因此拒绝了正态性的假设。因此，应用了非参数Mann-Whitney U检验来比较两种情景下新手和专家操作员之间的每对恢复能力指标。获得的p值在表4中报告，表4中突出显示了支持H0假设的结果（p值>0.05），表明两个分布之间没有显著差异。

表4. 两种情景下恢复能力变量的Mann-Whitney p值结果。下划线值表示专家和新手分布之间没有显著差异。

变量 p值（Mann-Whitney） 对于情景1 p值（Mann-Whitney） 对于情景2
检测时间 1.254×10^-12 0 1.515×10^-9
恢复时间 2.494×10^-1 4.206×10^-1
RS1 5.838×10^-1 5.176×10^-5
RS2 2.071×10^-2 3.833×10^-1
RS5 9.264×10^-1 9.609×10^-2
RS6 8.387×10^-1 11.983×10^-1
RS7 8.621×10^-8 21.353×10^-7
RAV1 6.088×10^-4 8.876×10^-6
RAV2 1.563×10^-3 12.560×10^-2
RAV3 8.521×10^-5 2.189×10^-1

基于此，图6和图7分别包含了情景1和情景2中与八个工厂组件相关的恢复能力指标的箱形图（参见表1）。此外，每个图表还详细说明了专家（参见图6a和图7a）和新手（参见图6b和图7b）操作员分布之间的差异。为了完整性，数值（平均值、标准差、最小值、最大值以及25%、50%和75%的分位数）包含在表5、表6、表7和表8中。

下载：下载高分辨率图像（164KB）
下载：下载全尺寸图像
图6. 情景1中按专家（a）和新手（b）操作员分组的每个工厂组件的恢复能力指标分布。
下载：下载高分辨率图像（154KB）
下载：下载全尺寸图像
图7. 情景2中按专家（a）和新手（b）操作员分组的每个工厂组件的恢复能力指标分布。

表5. 情景1中专家操作员检测时间、恢复时间和恢复能力指标分布的数值结果。

基于这些前提，图6和图7分别包含了情景1和情景2中与八个工厂组件相关的恢复能力指标的箱形图（参见表1）。此外，每个图表还详细说明了专家（参见图6a和图7a）和新手（参见图6b和图7b）操作员分布之间的差异。为了完整性，数值（平均值、标准差、最小值、最大值以及25%、50%和75%的分位数）包含在表5、表6、表7和表8中。

在第一个情景中，网络攻击破坏了负责监测水箱水位的传感器S6。专家操作员比新手更快地识别出故障，平均检测时间为261.798秒，而新手为433.982秒：相差近三分钟。这一差距表明了专家的优越表现以及他们对工厂正常行为的更深入理解。因此，对于他们来说，通过（例如）微妙的噪音更容易捕捉到工厂功能的差异。此外，专家在检测时间上的变异性总体上要低得多，标准差为56.155秒，而新手为105.556秒，表明他们的响应更加一致和有效。相比之下，两组的恢复时间几乎相同，平均分别为30.716秒和30.612秒，变化都很小（1.654秒对比1.679秒），这与表4中的p值结果一致。这一结果可能表明，一旦发现故障，恢复程序是明确定义的，并且两组都可以访问，他们的行为基本相同。

与工厂技术组件相关的恢复能力指标提供了进一步的区别。如果观察受损的传感器S6，专家操作员的恢复能力得分显著更高（0.818对比0.706），变异性也更低（0.039对比0.074），表明即使在失去直接水位可视性的情况下，他们也有更可靠的能力来稳定系统。这可能表明专家通过解释间接信号或推断其他系统状态来弥补缺失的信息。对于传感器S1、S2和S5，恢复能力值大致相似。新手在S1上略微优于专家，但差异可以忽略不计（0.883对比0.877），且两者的变异性都很低（0.015对比0.014）。关于S2，所有操作员在维持适当的进水流量方面都失败了，平均恢复能力值相似且较低（0.375对比0.376）。在S5中，两组显示出同样高的平均恢复能力（0.881对比0.881），表明即使在S6受到攻击的情况下，也能有效管理压力。三个传感器S1、S2、S3的指标显示操作员都优先考虑压力管理。专家在S7上的表现也略好（0.755对比0.732），变异性也稍低（0.013对比0.018），表明对空气进气的控制更好。与阀门控制相关的恢复能力指标揭示了两种用户类型之间的一些额外战略差异。专家在AV1上的恢复能力更高，平均值为0.334对比新手的0.281，变异性基本相同（0.051对比0.052）。这可能强化了专家在直接反馈受损时更努力稳定输入的观点。他们在AV2和AV3控制上也表现略好，尽管AV2的恢复能力非常低，但专家的平均值更高（0.084对比0.049），变异性也稍高（0.048对比0.055）。在AV3中，专家的平均恢复能力略高（0.487对比0.480），变异性也稍低（0.021对比0.026），反映出尽管控制略有不稳定，但仍然相对稳定。

在第二个情景中，网络攻击针对的是S5传感器，该传感器对于监测水箱内的压力至关重要，这是确保系统安全的一个关键变量。同样，专家操作员平均更快地检测到故障（238.170秒对比288.622秒），几乎快一分钟，这加强了他们更高的情况意识。恢复时间在两组之间没有显著差异（参见表4），表明即使在情景2中，恢复协议也可能得到一致的应用。值得注意的是，当观察与技术相关的恢复能力指标时，两者的差异不那么明显，专家在某些组件（即S1和S7）上的恢复能力甚至略低，这些组件都与管道和水箱的压力管理密切相关。这可能表明他们采取了更为激进的控制策略，快速干预会导致系统出现暂时性不稳定。尽管如此，两组在S5上的平均恢复能力都很高（0.803对比0.803），反映出在水箱压力受到干扰后有效的系统恢复策略。相反，两组在S1上的平均恢复能力值都非常低（0.246对比0.249），这是情景1中表现最好的指标之一。此外，输入流量仍然是最受干扰的指标（平均值为0.059对比0.059），强调了压力传感器受损对系统早期阶段的广泛影响。与阀门控制相关的结果再次表明，专家优先考虑输入稳定性，在AV1上的恢复能力略高（0.241对比0.228）。相反，他们在AV2和AV3上的恢复能力略低（0.212对比0.215对比0.342对比0.342），表明为了重新控制输入压力参数，他们可能牺牲了水箱的稳定性。然而，与阀门控制相关的三个恢复能力指标仍然较低。

如上所述，本段从更广泛的角度审视了CSTS的恢复能力：（i）输出水流量，这与系统维持一致水流的能力有关（在实验布局中模拟了实际工厂的油输出）；以及（ii）输入空气流量，这与系统保持喷射器入口处的吸力效率的能力有关，最终确保储罐的压力稳定。同样，首先使用Shapiro-Wilk检验检查了这两个维度的一致性。没有一个维度通过了测试（p值<0.05），因此进行了Mann-Whitney U检验。与表4类似，获得的结果在表9中呈现。

表9. 两种情景下与输出水流量和输入空气流量相关的恢复能力的Mann-Whitney p值结果。

变量 p值（Mann-Whitney） 对于情景1 p值（Mann-Whitney） 对于情景2
输出水流量 6.874×10^-1 176.687×10^-2
输入空气流量 8.621×10^-8 21.353×10^-7

图8和图9包含了与情景1相关的上述指标的两个散点图，其中恢复能力指标与操作员的检测时间进行了对比。只有检测时间被考虑在内，因为第4.1节的结果显示恢复时间的变化并不显著。两个图表清楚地表明，快速异常检测是驱动系统恢复能力的最关键因素。

下载：下载高分辨率图像（188KB）
下载：下载全尺寸图像
图8. 情景1中按检测时间分布的总体过程性能恢复能力指标（即输出水流量），专家（深灰色）和新手（浅灰色）操作员，右侧显示发生频率。在频率图中，每个范围内的点数在范围的上限处表示。

下载：下载高分辨率图像（170KB）
下载：下载全尺寸图像
图9. 情景1中按检测时间分布的总体过程性能恢复能力指标（即输入空气流量），专家（深灰色）和新手（浅灰色）操作员，右侧显示发生频率。在频率图中，每个范围内的点数在范围的上限处表示。

在水流量图中（参见图8），所有操作员的整体性能损失仍然很高。专家集中在150到400秒的检测窗口内，四分位数范围（IQR）为81秒，恢复能力值大多在0.40到0.55之间。这表明他们能够迅速识别问题，并且无论检测时间如何变化，都能一致地控制水输出。这种一致性进一步通过较低的IQR（即0.027）得到确认。相比之下，新手的分布范围更广，大多数检测时间在350到700秒之间（IQR=150.5秒），恢复能力值也较低，通常在0.15到0.45之间。他们的恢复能力变异性也稍高，IQR较大（即0.139），表明对水输出的控制不够一致。这支持了检测延迟是恢复效果的主要驱动因素的观点。然而，一些新手在检测时间超过600秒时显示出恢复能力的某种反弹，达到了与早期检测相当的水平。虽然这种明显的恢复可能并不直接反映操作员技能的提高，但仍然是一个值得注意的结果。一种可能的解释是，一些新手在面对模糊信号或轻微异常时，采取了被动的“放任不管”的态度，出于谨慎而延迟干预。在这段不采取行动的期间，由于网络攻击仅针对水位传感器，工厂的PID控制器继续调节压力和流量，使系统保持相对稳定，直到最终采取纠正措施。然而，一个更有趣的解释是，经验较少的操作员可能从一种较少受限、更具即兴的管理方法中受益。他们可能被迫适应，不依赖既定的程序或先前的预期，采用更加灵活和探索性的策略，在压力下表现出意外的更好性能。这一结果表明，尽管通常有利，但丰富的经验有时可能导致更加僵化、适应性较差的行为，从而限制了系统的恢复能力。这一观点也可以通过专家的韧性图表来论证，这些图表显示出更接近正态分布的形态。图9中的空气输入流量散点图进一步支持了上述的总体结论，尽管反弹失真现象不那么明显，但韧性值要高得多。专家的韧性得分介于0.75到0.80之间（IQR=0.017），反映出对吸力性能的总体良好管理。相比之下，随着检测延迟的增加，新手的韧性下降更为明显，在检测时间超过500秒时，韧性值降至0.70或更低。然而，他们的变异性仍然很小，这从韧性分布的低IQR（即0.026）中可以看出。同样，图10和图11展示了在情景2中，通过水输出流量和空气输入流量计算出的韧性与检测时间之间的散点图，其中水箱压力传感器S5受到了损坏。与情景1类似，恢复时间的差异并不显著，分析中仅考虑了检测时间。

下载：下载高分辨率图片（201KB）
下载：下载全尺寸图片

图10. 情景2下，专家（深灰色）和新手（浅灰色）操作员的整体过程性能韧性指标（即输出水流量）随检测时间的分布情况，右侧显示了发生频率。在频率图中，每个范围内的点数表示在该范围的上限。

下载：下载高分辨率图片（202KB）
下载：下载全尺寸图片

图11. 情景2下，专家（深灰色）和新手（浅灰色）操作员的整体过程性能韧性指标（即输入空气流量）随检测时间的分布情况，右侧显示了发生频率。在频率图中，每个范围内的点数表示在该范围的上限。

在这两张图中，专家操作员在200到350秒的检测窗口内紧密聚集（IQR=26秒），表现出中等但稳定的韧性性能。他们的韧性值大约在0.50到0.65之间，无论是对于水输出流量还是空气输入流量。两个韧性维度的分布显示出最小的变异性，水输出流量的IQR为0.053，空气输入流量的IQR为0.091。有趣的是，新手操作员也表现出类似的总体模式，韧性指标稳定在0.45到0.60的范围内，且整体IQR较低（水输出流量为0.017，空气输入流量为0.063），但在检测时间上显示出更大的变异性（IQR=59.25秒）。然而，在水输出流量上出现了明显的下降趋势，大约在350秒时，他们的性能明显下降，稳定在较低的平均水平。

这种由阈值驱动的性能下降可能反映了情景2中研究的压力敏感动态的一个重要特征。正如之前的研究结果所指出的，早期检测在这种情况下同样至关重要。一旦传感器故障在某个时间点之后未被发现，压力振荡会加剧，从而阻止了手动调整和基于PID的稳定化。这导致了一个“不可逆转点”的出现（即当检测时间超过350秒时），必须不惜一切代价避免这种情况，因为系统控制会变得显著更加困难。在这种情况下，情景1中对新手有益的被动“放任不管”方法在情景2中反而适得其反。基于压力的中断使系统越来越偏离其目标值，如果干预太晚，恢复和维持高韧性性能将变得越来越困难。

5. 讨论

本研究旨在探讨韧性分析如何在HHIL实验的支持下，并结合STAMP启发的建模，来帮助理解网络攻击发生时CSTS内部的相互作用。尽管实验环境是模拟的且非关键的，但所得到的发现仍然为决策者和系统管理者提供了几个实际相关的见解。实际上，一个核心结果涉及人类在决定系统韧性方面的关键作用。在第4节探讨的两种情景中，人类的决策能力（通过早期发现异常的能力）被证明是影响整体系统性能的重要因素。专家通常反应更快且更可靠。然而，他们的策略往往更为僵化，在预期条件下这可能是有利的，但在偏离他们经验的情况下可能会限制适应性。相比之下，尽管新手操作员行动较慢且变化较大，但他们偶尔表现出出人意料的韧性表现，特别是在情景1中，通过采用更灵活和即兴的策略。虽然需要记住这项研究是在实验环境中进行的，但这种对比呼应了Grote等人[13]所描述的可控性与适应性之间的紧张关系，并与Woods的优雅扩展理论[29]一致，该理论将韧性视为系统边界接近或超出时的性能扩展能力。从系统管理和设计的角度来看，这些发现强调了在CSTS元素中培养可靠控制和适应性灵活性的必要性。培训对于建立操作员的能力至关重要，但仅靠严格的概念无法确保在意外条件下的韧性行为。因此，系统架构和界面必须嵌入支持灵活性和适应性的功能，使韧性不仅作为熟练个体的属性出现，而且作为更广泛的CSTS中的一个工程特性。

研究还指出了几个具体的系统和界面改进机会。在各种模拟中，专家通常能够通过从当前操作员面板上未显示的多个来源三角定位信息来快速检测故障。这些专家的启发式方法可以潜在地被形式化为界面设计中的明确视觉提示，从而使新手的情境意识得到增强，使这种隐性知识更加易于获取和明确。同样，当个别传感器（例如S5）失效时观察到的显著影响表明，冗余和基于估计的替代方案可以增强操作员的情境意识，并减少对级联中断的脆弱性。网络攻击的广泛影响指出了需要更全面的自动化策略：与其当前的点对点阀门逻辑相比，更协调的控制方法可以帮助维持全局系统稳定性，而模块化分割可能限制干扰的传播，特别是在更大的工业环境中。

5.1. 限制

在解释本研究的发现时，应考虑几个限制。首先，所有实验都是在简化的模拟CSTS环境中进行的。虽然这种受控环境使得能够系统地研究网络攻击动态，但它不可避免地抽象掉了现实世界基础设施中的许多复杂性，后者具有更丰富的变异性。因此，必须强调所得结果的普遍性是有限的。

一个限制涉及人类行为的建模。尽管本文在概念上将STAMP视角与HHIL实验和韧性分析结合起来，但在案例研究中人类因素的表示是有意简化的。行为推断仅依赖于操作员在预定义控制区域内花费的时间，而动作捕捉用于验证他们在这些区域内的物理存在。这在概念方法的潜在丰富性与最终捕获的行为数据的简单性之间造成了差距。此外，假设物理接近控制区域直接反映了行动是一个显著的简化，因为操作员可能会根据与空间位置无关的线索（例如听觉信号和警报、外围感知或与同事的通信）来响应（从而做出决策）。因此，在所呈现的案例研究中，人类因素仍然部分是一个“黑箱”，限制了对操作员策略的深入解读。

人类建模的采样也受到限制。操作员根据他们在模拟工厂中工作的时间被分为专家和新手，而没有深入捕捉到现实世界操作员角色的多样性。重要的维度（例如团队合作动态、疲劳和压力）没有被包括在内。在真实的工厂中，应该考虑更全面的人类因素建模，以最终推断出在网络中断期间的身体和认知参与。

用于韧性量化的分析框架也引入了自己的限制。该研究严重依赖于韧性三角形（参见第3.2.5节），这是一个将性能复杂性压缩为单一几何度量的代理，最近已被认为具有有限的表示能力[11]。虽然它可以掩盖与适应动态和恢复路径相关的重要维度，但它仍然是一个简单的、可传达的代理，用于捕捉中断下的系统性能。尽管这种方法已经被谨慎和批判性地应用，并且意识到了其局限性，但在这里韧性三角形仅作为一个可访问的切入点使用。人们认识到，更细致的方法，如多维性能包络或适应能力指标，可能会提供对攻击下系统行为的更全面理解。

最后，所研究的网络攻击和系统配置的范围在客观上——但有意地——被限制为仅展示该方法的应用。只分析了三种UCAs和两种攻击情景。显然，其他攻击可能会产生不同的结果，值得进一步专门研究。

综上所述，这些限制表明，目前的工作应主要被视为所提出的方法论方法用于人类-硬件数字孪生表示的演示，而不是网络攻击条件下人类-系统性能的全面模型。

6. 结论

本文介绍了一种HHIL模拟方法，以增强CSTS的系统性和定量韧性评估，该方法建立在STPA-Sec/S方法的基础上。通过将人类行为和物理过程数据整合到模拟环境中，所提出的方法旨在提供对面临网络相关中断的系统复杂性的更真实表示。该方法通过由两组不同操作员（即专家和新手）管理的实验性石油和天然气工厂进行了测试。应用表明，HHIL模拟能够有效捕捉人类决策与系统性能之间的系统交互。总体而言，所得结果表明，专家操作员通常反应更快且更一致，而新手偶尔表现出适应性行为，导致了出人意料的韧性结果。这些发现强调了在培养操作员适应性能力的同时平衡技术专长的必要性，因为这两个维度似乎都与确保CSTS的整体韧性和优雅扩展性密切相关。

由于在所呈现的案例研究中承认的几个限制（见第5.1节），这些发现目前仅作为提示出现，未来的研究将更详细地探索这些维度实际上如何与真实系统的韧性相关。目前，实施仅限于定制设计的实验环境，将其整合到真正的安全关键工业系统中仍然是未来研究的开放挑战。

此外，未来的发展可以旨在用更成熟的人类因素方法补充HHIL分析，例如层次任务分析（HTA）、认知工作分析（CWA）、人类错误分析（HEA）或更近期的结构化复杂适应探索（SECA）。这些方法的整合可能会提供对操作员任务的更结构化分解，对其认知限制的更深入理解，以及系统相关脆弱性和响应的系统性识别。尽管其中一些方法可能与韧性工程和安全-II的原则部分冲突，但它们可以提供更结构化的框架，以更有指导的方式导航复杂性。在高度复杂或安全关键的情景中，这一额外的方法论结构层可能代表了对韧性导向分析的宝贵补充，增强了其可解释性和分析深度。

此外，正如最近的STAMP相关研究所指出的，进一步的发展可以专注于减少STAMP/STPA基础分析中固有的主观性，提供可测量的、可复制的见解，同时减轻该方法对专家判断的依赖。尽管当前研究中使用模拟的目的是为了帮助减少分析师的主观性，但未来的研究可以通过探索不同的方法（例如模糊建模（Nakhal A.等人，2023年）、强化学习（Chang等人，2024年）或形式化因果建模（Riccardi等人，2025年）与HHIL框架的结合，来提供更严格的和客观的韧性评估路径。

总之，我们认为所提出的HHIL方法代表了在将定性系统理论分析与更定量评估相结合方面迈出的一个小而有意义的步骤。通过提供对复杂系统中人机相互依赖关系的更现实的理解，这种方法为在日益复杂和数字化的世界中开发更安全、更具韧性的工业系统奠定了重要基础。

CRediT成员角色：
Francesco Simone：概念化、数据管理、形式分析、研究、方法论、资源管理、软件开发、验证、可视化、初稿撰写、审稿与编辑
Marco Bortolini：数据管理、资源管理、软件开发、审稿与编辑
Giovanni Mazzuto：数据管理、资源管理、软件开发、审稿与编辑
Giulio Di Gravio：项目监督、审稿与编辑
Riccardo Patriarca：概念化、资金筹集、研究、方法论、项目管理、项目监督、审稿与编辑

CRediT作者贡献声明：
Francesco Simone：审稿与编辑、初稿撰写、可视化、验证、软件开发、方法论、数据管理、概念化
Marco Bortolini：审稿与编辑、软件开发、资源管理、数据管理
Giovanni Mazzuto：审稿与编辑、软件开发、资源管理、数据管理
Giulio Di Gravio：审稿与编辑、项目监督
Riccardo Patriarca：审稿与编辑、项目监督、项目管理、方法论、资金筹集、概念化