A Skyline Query Method Based on Differential Privacy Protection
-
摘要:
为了解决差分隐私保护机制中重复攻击会泄露用户隐私的问题，提出了一种基于动态页敏感度调节的skyline查询方法. 首先，提出了依据最优主导页的计算页敏感度方法，提高页敏感度计算的效率；其次，为了合理设置隐私预算值，提出了基于置信率的隐私预算值调节方法；最后，基于隐私预算值动态更新查询次数的上界，实现了基于差分隐私保护的skyline查询方法. 实验结果表明：所提出方法在隐私预算值设定小于0.8时，隐私数据的泄露数由787个降低到423个.
Abstract:In order to solve the problem that replay attacks in the differential privacy protection mechanism will leak user privacy, a skyline query method based on dynamic page sensitivity adjustment is proposed. First, in order to improve the efficiency of page sensitivity calculation, a method for calculating page sensitivity on the basis of the optimal dominant page is presented. Secondly, to reasonably set the privacy budget value, a privacy budget value adjustment method based on the confidence rate is developed. Finally, the upper bound of query times is dynamically updated based on the privacy budget value, and the skyline query method based on differential privacy protection is realized. The experimental results show that the proposed method reduces the number of leaked private data from 787 to 423 when the privacy budget value is set to be less than 0.8.
-
Key words:
- skyline query /
- page sensitivity /
- confidence rate /
- dynamic privacy budget /
- maximum range query
-
CTCS-3 （China train control system-3）级列控系统是保障时速300 km以上动车组安全、高效运行的神经中枢. 车载子系统是CTCS-3级列控核心组成部分[1]. 已有研究普遍使用可用性或可靠性作为车载子系统运行稳定性的测度指标. 文献[2]组合可靠性框图与马尔可夫随机过程方法计算了列控系统的可靠性、可用性及维修性指标. 文献[3]基于动态故障树方法研究了CTCS-3级列控车载设备的可靠性. 文献[4-5]运用贝叶斯网络（Bayesian network, BN）评估了CTCS-3级列控车载子系统的可靠性. 文献[6]以可靠度收益和维修成本为优化目标，提出了列控系统维修周期的确定方法. 文献[7]使用动态BN评估了CTCS-300T列控车载子系统的运行可靠性与可用性. 上述研究[2-7]在建模工具、考虑因素和侧重点上虽各有不同，但均遵从传统可靠性工程研究的基本思路，即不考虑特定扰动事件影响、以统计平均性能确定部件寿命分布和维修时间分布；同时，基于列控系统部件由电子器件构成的现实，假定部件寿命与维修时间均服从指数分布，即具有恒定的失效率和维修率. 传统方法用来评价列车运行环境稳定、无重大扰动发生时的系统性能是合适的. 但“7·23”事故表明，当面临雷电等非常态扰动时，传统可用性、可靠性指标不再适用. 这不仅因为面临非常态扰动时列控系统失效概率会大幅增加，而且失效概率与扰动类型直接相关，不能再视为常数. 同时，运营企业不仅关心列控系统能否抵御非常态扰动，也关心系统一旦失效能否快速有效恢复到可用状态. 因此，设计合理指标、专门针对非常态扰动下列控系统性能研究，有利于提升系统应对雷电等重大扰动事件的能力.
不同于可用性指标，韧性通常以非常态扰动为背景，可同时描述系统抵御扰动和从扰动中快速恢复的能力. 韧性最初应用于生态学领域. 1973年，生态学家Holling[8]首次使用韧性评价生态系统稳定性，随后韧性被引入工程领域. 随着研究不断深入，交通运输领域的韧性问题也逐步引起研究者关注[9]. Murray-Tuite[10]首次使用韧性评价交通系统的性能. Henry等[11]将韧性定义为恢复期内系统性能恢复程度与扰动事件所造成的系统性能损失程度之比. Twumasi-Boakye等[12]认为有韧性的系统应是吸收扰动能力强、失效恢复速度快的系统. 文献[13]通过航空服务从破坏性事件中恢复的速度来衡量韧性. 文献[14]通过乘客延误等指标量化铁路运输系统韧性. 文献[15]提出了一种基于OD （origin-destination）数据集评估城市交通韧性的方法. 文献[16]通过对10个地区的智能交通系统进行随机和有针对性的破坏来研究网络效率和韧性，证明了韧性对智能交通系统的适用性. 文献[17]利用弹性三角模型对列控车载设备在不同故障情况下的恢复能力进行了评估. 综合来看，交通运输领域韧性研究目前处于起步阶段，仅有的少量研究主要针对航空网络、道路网络、城市公交网络等展开.
基于上述分析，引入韧性作为评价非常态扰动下CTCS-3级列控车载子系统运行稳定性的指标. 首先，界定了韧性的内涵，定义了适用于列控车载子系统的韧性量化方法和5种基于韧性的部件重要度指标，构建了基于BN的列控车载子系统韧性评估模型，并开展算例研究.
1. 基于贝叶斯网络的韧性评估模型
1.1 CTCS-3级列控车载子系统结构与功能
CTCS-3级列控车载子系统（简称车载子系统）是保证列车安全、高效运行的核心装置，其结构如图1所示[4-5].
车载子系统采用分布式结构，由安全计算机（vital computer, VC）、轨道电路信息接收单元（track circuit receiver, TCR）、列车接口单元（train interface unit, TIU）、无线传输单元（radio transmission unit, RTU）、GSM-R （global system for mobile communi- cations-railway）、无线电台（radio station, RS）、测速测距单元（speed and distance processing unit, SDU）、应答器传输模块（balise transmission module, BTM）及应答器天线（BTM ant）、人机界面（driver machine interface, DMI）、司法记录仪（juridical recorder unit, JRU）以及PROFIBUS （process fIeld bus）接口等部件组成. 为保证高可靠、高可用性，关键部件均采用冗余配置，例如，BTM、BTM ant、DMI等采用冷备结构，ATP-CU （automatic train protection-core unit）、C2-CU （China train control system-2 core unit）、速度传感器、雷达、TCR、GSM-R单元及其天线等采用热备结构[4-5].
1.2 车载子系统韧性定义
由于学科视角与对象不同，不同研究者对韧性内涵界定存在较大差异[18]. 部分研究将韧性表述为可靠性、脆弱性、恢复性等传统指标的简单延伸或扩展，与韧性内涵严重不匹配[18]. 文献[9]指出，韧性内涵应包括两方面：一是系统抵御扰动的能力，二是系统偏离稳定状态后的快速恢复能力. 对车载子系统而言，实际应用中遭遇雷电等非常态扰动时，可能导致部件损坏，由于部分部件采用冗余配置，单套设备损坏后系统仍能正常工作，即系统具有吸收或抵御扰动的能力；而非冗余配置部件的损坏则可能导致系统失效，但通过采取一定的技术手段（如替换失效部件）可尽快使系统恢复到正常状态，即系统具有从扰动中快速恢复的能力. 车载子系统的韧性是上述两种能力的综合体现.
基于上述分析，将车载子系统或部件的韧性定义为：系统或部件受到非常态扰动时具有的维持正常运行或失效后快速恢复正常运行的能力.
1.3 部件韧性量化方法
图2描述了非常态扰动事件下韧性与可用性指标的差异. 图中：t为时间；t0、td、tr分别为扰动事件发生时刻、系统性能退化到最低程度时刻、系统性能恢复时刻；
$ F(t) $ 为系统性能函数；红色实线表示可用性指标，黑色实线表示韧性指标. 为便于分析，将扰动事件下系统性能划分为4种状态，分别为：1） 正常状态：$ 0 \lt t \lt {t_0} $ ，出现扰动前，系统保持稳定工作状态. 2） 降级状态：$ {t_0} \lt t \lt {t_{\text{d}}} $ ，扰动事件发生导致系统性能退化；3） 恢复状态：$ {t_{\text{d}}} \lt t \lt {t_{\text{r}}} $ ，通过维修受损部件将系统性能恢复到预期水平. 4） 新稳定状态：$ t \gt {t_{\text{r}}} $ ，完成维修后，系统性能恢复到新的稳定状态. 可以看出：扰动事件发生后，可用性指标与韧性指标出现明显分化，由于可用性不考虑特定事件影响，因此指标稳定；而韧性存在事件依赖，出现明显的降级然后恢复的过程.
图 2 非常态扰动事件下韧性与可用性指标的差异Figure 2. Differences in resilience and availability indexes under abnormal disturbance events车载子系统是由多部件构成的复杂系统，由于扰动事件通常导致部件失效进而引发系统失效或性能退化，因此，车载子系统韧性评估应以部件韧性评估为基础. 为便于描述，令
$X_{ei}(t)$ 表示扰动事件$ e $ 发生后时刻t部件$ i $ 的状态变量，具体定义如下：Xei(t)={0,扰动事件e发生后时刻t部件i不可用 ；1, 扰动事件 e发生后时刻t部件i可用（部件 i未失效或虽失效但已恢复）. (1) 令
$ \psi _{ei}(t) $ 表示扰动事件e发生后时刻t部件i的韧性值. 根据前文所述，韧性内涵为抵御扰动的能力和无法抵御扰动时的快速恢复能力. 根据这一界定，可将$ \psi _{ei}(t) $ 具体表示如下：ψei(t) = P(Xei(t)=1), (2) 式中：P(·)为概率计算.
从式（2）可以看出：扰动事件e发生后部件i在时刻t的韧性值等于该时刻部件处于可用状态的概率. 存在两种可能性，一是该部件能抵御扰动事件影响并未失效，二是该部件虽失效但在时刻t已恢复正常.
令
$\rho _{ei}({t_0}) $ 表示时刻t0发生扰动事件e时部件i失效的概率，$\varphi _{ei}(t - {t_0})\;\;$ 表示扰动事件 e发生后部件i在时刻t0未失效且在时段t－t0仍正常工作的概率，$\phi _{ei}(t - {t_0})\;\;$ 表示时刻t0发生扰动事件e后部件i失效但在时段t－t0恢复正常的概率.根据式（1）、（2）可得
ψei(t) = (1−ρei(t0))φei(t−t0)+ρei(t0)ϕei(t−t0),t>t0. (3) 由于列控系统部件由电子器件构成，工程计算中通常以指数分布描述部件寿命与维修时间分布. 因此，假定
$\varphi _{ei}(t - {t_0})$ 和$\phi _{ei}(t - {t_0})$ 分别服从部件i的失效率$ {\lambda _i} $ 和部件i的维修率$ {\mu _i} $ 的指数分布. 在此条件下，$\varphi _{ei}(t - {t_0})$ 和$\phi _{ei}(t - {t_0})$ 可分别展开为φei(t−t0) = e−λi(t−t0),t>t0, (4) ϕei(t−t0) = 1−e−μi(t−t0),t>t0. (5) 根据式（4）、（5），可将式（3）重新描述如下：
ψei(t) = (1−ρei(t0))e−λi(t−t0)+ρei(t0)(1−e−μi(t−t0)),t>t0. (6) 式（6）中：
$(1 - \rho _{ei}({t_0})){{\rm{e}}^{ - {\lambda _i}(t - {t_0})}}$ 反映部件i抵御扰动的能力，$\rho _{ei}({t_0})\left( {{\text{1}} - {{\rm{e}}^{ - {\mu _i}(t - {t_0})}}} \right)$ 反映部件i无法抵御扰动失效后的恢复能力. 因此，式（6）集中反映了韧性内涵的两个方面. 同时可以看出：部件i的韧性与扰动事件紧密相关（不同类型扰动事件造成部件失效的概率一般不同，即$\rho _{ei}({t_0})$ 随事件e变化而取值可能不同），而可用性指标与具体扰动事件无关，即$\rho _{ei}({t_0})$ 不影响可用性指标，这一点在图2中可直观反映.1.4 基于BN的车载子系统韧性评估模型
显然，车载子系统的韧性取决于所有部件的韧性. 因此，可将车载子系统的韧性视为所有部件韧性的函数. 但由于车载子系统结构复杂，很难建立解析的函数表达式. 基于此，本文利用BN强大的推理能力，建立基于BN的车载子系统韧性评估模型.
BN是一种用于表达和推理不确定信息的图形化概率模型[19]，可表示为B = <G,P> = <<V,E>,P>. 其中：G = <V,E>为有向无环图，V为图中节点集合，集合中每一个元素代表一个随机变量；E为图中有向边集合，集合中元素表示变量之间的关系；概率参数P包括先验概率和条件概率表两部分. BN中，两节点间如存在一条有向边，则箭头连接的节点称为子节点，箭尾连接的节点称为父节点. 网络中，没有父节点的节点称为根节点，没有子节点的节点称为叶节点，其余节点称为中间节点. 先验概率表示根节点的边缘分布情况，而条件概率表用于表示有向边相连节点的依赖关系和依赖强度.
BN具有强大推理能力，包括正向推理和反向推理. 其中，正向推理又称因果推理，可根据根节点状态推理非根节点状态；反向推理又称诊断推理，可根据叶节点状态反向推理非叶节点状态.
当前，国内外有近10种BN建模软件，其中GeNIe软件以其简单直观、功能完善而被广泛使用. 本文使用GeNIe 2.0作为建模工具，考虑到韧性指标的动态时变性，使用图3所示的动态BN构建车载子系统韧性评估模型，图中：VC-C2、VC-C3分别为CTCS-2、CTCS-3级列控系统的安全计算机；VC-C21、VC-C22分别为VC-C2的冗余配置部件1、部件2；VC-C31、VC-C32分别为VC-C3的冗余配置部件1、部件2.
图 3 基于GeNIe 2.0的车载子系统韧性评估模型Figure 3. Resilience evaluation model of on-board subsystem based on GeNIe 2.0建模过程中，考虑到车载子系统的核心功能是安全防护，因此，对不影响行车安全的部件如司法记录仪JRU在建模过程中不予考虑[4-5]. 同时，为简化模型，将冷备结构当作单系处理，热备结构按并联处理[4-5].
2. 基于韧性的部件重要度指标
韧性评估的根本目的在于提升系统韧性，而要提升系统韧性，必须从提升部件韧性入手. 现实条件下，由于条件限制，不大可能对所有部件都采取改进措施，这就需要按照某种规则确定优先次序，即定义部件重要度指标确定部件重要度排序，选择排序靠前的部件采取改进措施. 参照可靠性工程领域[20]部件重要度定义思路，提出如下5个基于韧性的部件重要度指标：
1） BIRNBAUM重要度（BIRNBAUM importance, BI）
扰动事件e发生后时刻t部件i的BI为
IBI,ei(t)=∂ψs,e(ψe(t))∂ψei(t)=ψs,e(ψe(t))|ψei(t)=1−ψs,e(ψe(t))|ψei(t)=0, (7) 式中：
${{\boldsymbol{\psi }}_e}(t){\text{ = }}\left( {\psi _{e1}(t),\psi _{e2,}(t) ,\cdots ,\psi _{ei}(t), \cdots } \right)$ 为所有部件韧性值向量；$\psi _{{\rm{s,}}e}({{\boldsymbol{\psi }}_e}(t))$ 为部件状态为${{\boldsymbol{\psi }}_e}(t)$ 时的系统韧性；$\psi _{{\rm{s,}}e}({{\boldsymbol{\psi }}_e}(t))|_{\psi _{ei}(t)=1}$ 和$\psi _{{\rm{s,}}e}({{\boldsymbol{\psi }}_e}(t))|_{\psi _{ei}(t)=0}$ 分别为当部件i可用和失效时的系统韧性.从式（7）可以看出：部件的BI反映了该部件可用与否对系统韧性的影响程度. 该指标的不足在于部件自身处于可用或失效的概率对重要度没有影响.
2） 关键重要度（criticality importance, CI）
扰动事件e发生后时刻t部件i的CI为
ICI,ei(t)=IBI,ei(t)(1−ψei(t))1−ψs,e(ψe(t)) = (ψs,e(ψe(t))|ψei(t)=1−ψs,e(ψe(t))|ψei(t)=0)(1−ψei(t))1−ψs,e(ψe(t)). (8) 从式（8）可以看出：CI是以BI为基础构建的. CI考虑了部件自身失效的概率对系统韧性的潜在影响，可以弥补BI的不足.
3） 改进潜力（improvement potential, IP）
扰动事件e发生后时刻t部件i的改进潜力为
IIP,ei(t)=ψs,e(ψe(t))|ψei(t)=1−ψs,e(ψe(t)). (9) 从式（9）可以看出：改进潜力的本质是确保部件处于可用状态对系统韧性的改进程度.
4） 风险增加值（risk achievement worth, RAW）
扰动事件e发生后时刻t部件i的风险增加值为
IRAW,ei(t)=1−ψs,e(ψe(t))|ψei(t)=01−ψs,e(ψe(t)). (10) 式（10）中，分母表示扰动事件e发生后时刻t系统处于不可用状态的概率，分子表示扰动事件e发生后时刻t部件i不可用时系统处于不可用状态的概率，其实质为部件i不可用对系统处于不可用状态的影响程度.
5） 风险减少值（risk reduction worth, RRW）
扰动事件e发生后时刻t部件i的风险减少值为
IRRW,ei(t)=1−ψs,e(ψe(t))1−ψs,e(ψe(t))|ψei(t)=1. (11) 式（11）中，分子表示扰动事件e发生后时刻t系统处于不可用状态的概率，分母表示扰动事件e发生后时刻t时如果部件i可用系统处于不可用状态的概率，其实质为部件i可用对减少系统处于不可用状态的贡献程度.
3. 算例分析
3.1 扰动事件的选取
我国地域辽阔，列车运行可能遭遇不同气象条件影响. 车载子系统由大量电子器件构成，对雷电、磁暴、冰雪天气等比较敏感. 以雷电干扰为例，2011年7月，雷电引起列控系统故障、轨道电路发码异常，导致甬温线特大铁路交通事故发生，据铁路部门统计，每10次雷电事故中就有3次是在雷电破坏铁路信号设备的情况下发生的，因此，雷电对铁路信号设备性能具有重要影响. 再以磁暴干扰为例，1989年发生超强磁暴引起俄罗斯高尔基铁路信号集中闭塞系统功能异常；2003年磁暴期间，瑞典Vladimir和Arzamasskaya铁路部分信号灯多次显示错误信号. 冰雪可能导致安装在车体表面的电子设备冻结进而发生故障，例如，2015年辽沈地区出现因大量降雪导致安装在车体表面的信号感应线圈、测速雷达等设备冻结，继而出现车载设备功能异常. 基于上述分析，选取雷电、磁暴和冰雪作为非常态扰动事件，开展车载子系统韧性评估.
3.2 车载子系统韧性评估
由于雷电、磁暴、冰雪等非常态扰动事件发生频度低，缺乏足够的历史数据，因此，遭受上述事件影响导致车载子系统部件失效的概率很难准确估计. 鉴于此，根据行业专家意见并结合不同事件对不同部件的潜在影响程度，将部件失效概率设置为区间取值. 将扰动事件对部件的影响程度划分为3类，即重大、重要和一般，3类影响程度下部件的失效概率取值范围依次为10−2 ~ 10−1、10−3 ~ 10−2和10−4 ~ 10−3. 表1描述了雷电、磁暴、冰雪3类扰动事件下部件失效概率
$ \rho _{ei}({t_0}) $ 、部件的失效率$ {\lambda _i} $ 和维修率$ {\mu _i} $ 的取值. 其中，部件失效概率$ \rho _{ei}({t_0}) $ 综合行业专家意见后确定，参数$ {\lambda _i} $ 、$ {\mu _i} $ 依据文献[5]确定. 从表1可以看出：雷电主要影响TCR、RS、BTM ant，磁暴主要影响TCR、GSM-R、RS、BTM、BTM ant，冰雪主要影响TCR、RS、BTM ant.表 1 不同扰动情景下部件参数取值Table 1. Component parameter values under different disturbance scenarios编号 名称 雷电 磁暴 冰雪 λi/h−1 μi/h−1 影响
程度$ \rho _{ei} $(t0) 影响
程度$\rho _{ei}$(t0) 影响
程度$\rho _{ei}$(t0) E1/E2 C2-CU1/C2-CU2 重要 10−3 ~ 10−2 重要 10−3 ~ 10−2 一般 10−4 ~ 10−3 1.20 × 10−5 2.0000 E3/E4 TCR1/TCR2 重大 10−2 ~ 10−1 重大 10−2 ~ 10−1 重要 10−3 ~ 10−2 2.30 × 10−6 2.0000 E5/E6 TIU1/TIU2 重要 10−3 ~ 10−2 重要 10−3 ~ 10−2 一般 10−4 ~ 10−3 2.10 × 10−5 2.0000 E7/E8 RTU1/RTU2 重要 10−3 ~ 10−2 重要 10−3 ~ 10−2 一般 10−4 ~ 10−3 1.80 × 10−5 2.0000 E9/E10 GSM-R1/GSM-R2 重要 10−3 ~ 10−2 重大 10−2 ~ 10−1 一般 10−4 ~ 10−3 1.45 × 10−8 2.0000 E11/E12 RS1/RS2 重大 10−2 ~ 10−1 重大 10−3 ~ 10−2 重大 10−2 ~ 10−1 1.20 × 10−5 2.0000 E13/E14 ATP-CU1/
ATP-CU2重要 10−3 ~ 10−2 重要 10−3 ~ 10−2 一般 10−4 ~ 10−3 1.49 × 10−5 2.0000 E15/E16 SDU1/SDU2 重要 10−3 ~ 10−2 重要 10−3 ~ 10−2 一般 10−4 ~ 10−3 2.50 × 10−9 0.2500 E17/E18 PROFIBUS1/
PROFIBUS2重要 10−3 ~ 10−2 重要 10−3 ~ 10−2 一般 10−4 ~ 10−3 6.00 × 10−6 0.0625 E19 BTM 重要 10−3 ~ 10−2 重大 10−2 ~ 10−1 一般 10−4 ~ 10−3 2.00 × 10−6 2.0000 E20 BTM ant 重大 10−2 ~ 10−1 重大 10−2 ~ 10−1 重要 10−3 ~ 10−2 7.00 × 10−8 0.2500 E21 DMI 重要 10−3 ~ 10−2 重要 10−3 ~ 10−2 一般 10−4 ~ 10−3 5.00 × 10−6 2.0000 假定扰动发生在t = 5000 h，以扰动发生后2 h为测试期，每15 min取样一次. 基于保守思想，选取失效概率区间最大值作为扰动事件下部件失效概率. 根据前述韧性计算方法，将表1中参数取值代入式（6），依次计算得到3种扰动情景下不同时刻部件的韧性指标，将其设置为根节点先验概率，再利用BN正向推理，计算相应扰动情景及时间点非根节点的韧性指标.
图4比较了韧性与可用性指标的差异. 可看出：在扰动发生后的较短时间内可用性指标几乎不发生变化，而韧性指标随扰动事件变化而变化. 例如，在扰动发生时刻（t = 5000 h），车载子系统可用性为0.999996，扰动发生后2 h （t = 5002 h），其值仍保持在0.999996 （由于数值变化很小，受计算精度限制，看不出数值变化）；而伴随着扰动事件的发生，韧性指标发生了明显的变化. 在t = 5000 h时，面临雷击、磁暴、冰雪扰动时，系统韧性指标分别为0.8819、0.8017和0.9880；当t = 5002 h时，系统韧性指标相应变化为0.9389、0.9373和0.9939. 这是因为可用性指标反映的是统计意义上系统的平均性能，不受特定扰动事件影响；而韧性指标与扰动事件类型紧密相关，不同扰动事件下系统韧性指标不同.
图5描述了不同扰动情景下部件与车载子系统的韧性. 其中，t = 5000 h时的韧性值反映系统抵御扰动的能力，t > 5000 h时的韧性值变化反映系统的恢复能力. 可以看出：韧性可全面描述部件与车载子系统抵御扰动和从扰动中恢复的能力；不同扰动情景下车载子系统韧性明显不同. 其中，磁暴影响最为显著，其次是雷电，冰雪影响最小. 这是因为磁暴、雷电会对多个部件造成重大、重要影响，而冰雪仅对少量部件造成重大、重要影响，对其余部件仅造成一般性影响. 而车载子系统的韧性是关于部件韧性的单调函数，因此出现图5所示的结果.
利用BN反向推理，可以计算车载子系统在扰动发生后某时刻失去韧性（不可用）时各部件在该时刻失去韧性（不可用）的概率. 通过BN反向推理可以找出造成车载子系统失去韧性的主要原因. 以雷击扰动为例，从图6可以看出：若车载子系统在扰动发生时（t = 5000 h）失去韧性，此时部件E20 （BTM ant）、E3/E4 （TCR）、E11/E12 （RSS）失去韧性的概率分别为0.84549、0.10075和0.10068，说明此时车载子系统不可用的最主要原因是部件E20 （BTM ant）不可用，其次是E3/E4 （TCR）和E11/E12 （RSS）不可用. 此外，需要注意的是，若扰动发生后2 h车载子系统仍不可用，此时部件E20 （BTM ant）、E3/E4 （TCR）、E11/E12 （RSS）失去韧性的概率分别变化为0.99256、0.00183和0.00184，几乎可以认定是由于部件E20 （BTM ant）不可用造成的. 出现这一结果的原因是E20 （BTM ant）的维修率明显低于部件E3/E4 （TCR）和E11/E12 （RSS）的维修率.
3.3 部件重要度分析
为识别不同扰动事件下不同部件的重要程度，按照前述重要度指标定义，计算得到的3种扰动情景下5个重要度指标排序结果如表2 ~ 4所示. 可以看出：同一扰动事件下，使用不同指标得到的部件重要度排序结果不完全一致. 例如，雷电干扰下，扰动发生时（t = 5000 h）部件E5的BI、CI、RAW排序为7，而IP、RRW排序为5. 这是因为不同重要度指标从不同角度反映部件的重要程度. 在实际应用中，应根据实际需要合理选择重要度指标.
表 2 雷电扰动下部件重要度排序Table 2. Component importance rankings under lightning disturbance排序 t = 5000 h t = 5001 h t = 5002 h BI CI IP RAW RRW BI CI IP RAW RRW BI CI IP RAW RRW 1 E7 E7 E7 E7 E7 E7 E7 E1 E7 E1 E7 E7 E1 E7 E1 2 E9 E9 E9 E9 E9 E9 E9 E5 E9 E5 E9 E9 E3 E9 E3 3 E13 E13 E13 E11 E13 E13 E13 E7 E11 E7 E11 E13 E5 E11 E5 4 E11 E1 E1 E13 E1 E11 E1 E9 E13 E9 E13 E1 E7 E13 E7 5 E1 E11 E5 E1 E5 E1 E11 E13 E1 E13 E1 E11 E9 E1 E9 6 E3 E3 E11 E3 E11 E3 E3 E3 E3 E3 E3 E3 E11 E3 E11 7 E5 E5 E3 E5 E3 E5 E5 E11 E5 E11 E5 E5 E13 E5 E13 8 E15 E15 E15 E15 E15 E15 E19 E15 E15 E15 E15 E19 E15 E15 E15 9 E17 E17 E17 E17 E17 E17 E21 E17 E17 E17 E17 E21 E17 E17 E17 10 E19 E19 E19 E19 E19 E21 E15 E21 E19 E21 E19 E15 E19 E19 E19 11 E21 E21 E21 E20 E21 E19 E17 E19 E20 E19 E21 E17 E21 E20 E21 12 E20 E20 E20 E21 E20 E20 E20 E20 E21 E20 E20 E20 E20 E21 E20 表 3 磁暴扰动下部件重要度排序Table 3. Component importance rankings under magnetic storm disturbance排序 t = 5000 h t = 5001 h t = 5002 h BI CI IP RAW RRW BI CI IP RAW RRW BI CI IP RAW RRW 1 E7 E7 E7 E7 E7 E7 E7 E1 E7 E1 E7 E7 E1 E7 E1 2 E13 E13 E13 E9 E13 E13 E13 E7 E9 E7 E9 E13 E3 E9 E3 3 E9 E1 E1 E11 E1 E9 E1 E13 E11 E13 E11 E1 E5 E11 E5 4 E11 E9 E5 E13 E5 E11 E9 E5 E13 E5 E13 E9 E7 E13 E7 5 E1 E11 E9 E1 E9 E1 E11 E9 E1 E9 E1 E11 E9 E1 E9 6 E3 E3 E11 E3 E11 E3 E3 E11 E3 E11 E3 E3 E11 E3 E11 7 E5 E5 E3 E5 E3 E5 E5 E3 E5 E3 E5 E5 E13 E5 E13 8 E15 E15 E15 E15 E15 E15 12 E15 E15 E15 E15 E21 E15 E15 E15 9 E17 E17 E17 E17 E17 E17 E15 E17 E17 E17 E17 E19 E17 E17 E17 10 E21 E21 E21 E19 E21 E21 E17 E21 E19 E21 E21 E15 E21 E19 E21 11 E19 E19 E19 E20 E19 E19 E19 E19 E20 E19 E19 E17 E19 E20 E19 12 E20 E20 E20 E21 E20 E20 E20 E20 E21 E20 E20 E20 E20 E21 E20 面临的扰动类型不同，部件重要度排序也存在差异. 例如，雷电、磁暴扰动发生时（t = 5000 h）部件E9 （GSM-R）的IP排序分别为2和5. 这一结论有很强的现实指导意义. 我国地域辽阔，不同地域列车面临的主要扰动事件类型不同，如南方容易遭受雷电干扰，而北方容易遭受冰雪灾害. 不同区域的铁路运营企业应根据面临的主要扰动事件类型，有针对性地确定车载子系统中的重要部件，加强对重要部件的检修和防护，以提高系统韧性.
除此之外，部件的重要度排序可能随时间动态变化，并且此变化不具有单调性. 例如，磁暴干扰下，当t = 5000 h时，部件E13的RAW排序为2，而当t = 5001 h和t = 5002 h时，E13的RAW排序分别变为3和7.
表 4 冰雪扰动下部件重要度排序Table 4. Component importance rankings under snow and ice disturbances排序 t = 5000 h t = 5001 h t = 5002 h BI CI IP RAW RRW BI CI IP RAW RRW BI CI IP RAW RRW 1 E7 E7 E7 E7 E7 E7 E7 E1 E7 E1 E7 E7 E1 E7 E1 2 E9 E9 E9 E9 E9 E9 E9 E3 E9 E3 E9 E9 E3 E9 E3 3 E13 E13 E13 E11 E13 E11 E13 E5 E11 E5 E11 E13 E5 E11 E5 4 E11 E11 E1 E13 E1 E13 E11 E7 E13 E7 E13 E11 E7 E13 E7 5 E1 E1 E5 E1 E5 E1 E1 E9 E1 E9 E1 E1 E9 E1 E9 6 E3 E3 E3 E3 E3 E3 E3 E11 E3 E11 E3 E3 E11 E3 E11 7 E5 E5 E11 E5 E11 E5 E5 E13 E5 E13 E5 E5 E13 E5 E13 8 E15 E15 E15 E15 E15 E15 E19 E15 E15 E15 E15 E19 E15 E15 E15 9 E17 E17 E17 E17 E17 E17 E20 E17 E17 E17 E17 E20 E17 E17 E17 10 E19 E19 E19 E19 E19 E19 E15 E19 E19 E19 E19 E15 E19 E19 E19 11 E20 E20 E20 E20 E20 E20 E17 E20 E20 E20 E20 E17 E20 E20 E20 12 E20 E20 E20 E20 E20 E20 E20 E20 E20 E20 E20 E20 E20 E20 E20 3.4 参数灵敏度分析
由于表1中设定的不同扰动情景下部件失效概率不是一个确定值，而是一定范围的数值区间. 因此，有必要通过灵敏度分析，验证部件失效概率的取值变化对系统韧性的潜在影响. 假定部件失效概率在取值范围内服从均匀分布，依据模特卡罗仿真思想，随机抽样2000次得到车载子系统韧性的频率直方图如图7所示. 可以看出：雷电、磁暴、冰雪扰动发生时（t = 5000 h），车载子系统的韧性取值范围分别为 [0.8800,0.9900]、[0.8400,0.9900] 和 [0.9900, 1.0000]. 这一结果反映了不同扰动事件对车载子系统韧性的潜在影响程度.
图 7 不同扰动下车载子系统韧性的频率直方图Figure 7. Frequency histogram of on-board subsystem resilience under different disturbances4. 结 论
引入韧性作为非常态事件下车载子系统运行稳定性测度指标，构建了车载子系统韧性量化评估方法和基于贝叶斯网络的韧性评估模型，并定义了5种基于韧性的部件重要度指标. 算例结果表明：
1） 韧性可全面描述车载子系统抵御扰动和从扰动中恢复的能力，并与可用性指标存在明显差异. 由于不考虑特定扰动事件影响，雷电等非常态事件发生时可用性指标稳定，而韧性与扰动事件紧密相关，且随扰动事件不同而取值不同.
2） 不同扰动情境下车载子系统韧性明显不同. 其中，磁暴影响最为显著，其次是雷电，冰雪影响最小.
3） 部件重要度与扰动情景相关，同一部件在不同扰动情景下重要度排序可能不同；同时，部件重要度随时间动态变化，扰动发生后的不同时间点，同一部件同一指标的重要度排序可能不同.
-
图 4 两种策略对查询结果隐私泄露程度的影响
Figure 4. Effect of two strategies on the degree of privacy disclosure of query results
图 6 隐私预算值对skyline查询结果集中准确率的影响
Figure 6. Effect of privacy budget value on the accuracy of skyline query result set
表 1 skyline分页查询结果
Table 1. Skyline paged query results
页 结果 1 {(P1, O1), (P1, O2), (P1, O3), (P1, O4), (P1, O5)} 2 {(P2, O1), (P2, O2), (P2,O3), (P2, O4), (P2, O5)} 3 {(P3, O1), (P3, O2), (P3, O3), (P3, O4)} 4 {(P4,O1), (P4, O2), (P4, O3)} 
下载: 导出CSV
-
[1] BORZSONY S, KOSSMANN D, STOCKER K. The skyline operator[C]//Proceedings 17th International Conference on Data Engineering. Heidelberg: IEEE, 2001: 421-430. [2] SOHAIL A, CHEEMA M A, TANIAR D. Social-aware spatial top-k and skyline queries[J]. The Computer Journal, 2018, 61(11): 1620-1638. doi: 10.1093/comjnl/bxy019 [3] SANTOSO B J, CONNERY T Y. Answering why-not questions on reverse skyline queries over incomplete data[J]. JUTI: Jurnal Ilmiah Teknologi Informasi, 2019, 17(1): 84-93. doi: 10.12962/j24068535.v17i1.a824 [4] FORT M, SELLARÈS J A, VALLADARES N. Nearest and farthest spatial skyline queries under multiplicative weighted Euclidean distances[J]. Knowledge-Based Systems, 2020, 192: 105-109. [5] 李松, 王冠群, 郝晓红, 等. 面向推荐系统的多目标决策优化算法. 西安交通大学学报, 2022, 56（8）: 104-112.LI Song, WANG Guanqun, HAO Xiaohong, et al. A multi-objective decision optimization algorithm for recommendation system[J]. Journal of Xi’an Jiaotong University, 2022, 56(8): 104-112. [6] 李松,窦雅男,郝晓红,等. 道路网环境下K-支配空间Skyline查询方法[J]. 计算机研究与发展,2020,57(1): 227-239. doi: 10.7544/issn1000-1239.2020.20190026LI Song, DOU Yanan, HAO Xiaohong, et al. The method of the K-dominant space skyline query in road network[J]. Journal of Computer Research and Development, 2020, 57(1): 227-239. doi: 10.7544/issn1000-1239.2020.20190026 [7] 熊玲,彭代渊,彭图,等. 一种高效的移动云服务环境下隐私保护认证协议[J]. 西南交通大学学报,2019,54(1): 202-210.XIONG Ling, PENG Daiyuan, PENG Tu, et al. Efficient privacy-preserving authentication protocol for mobile cloud computing services[J]. Journal of Southwest Jiaotong University, 2019, 54(1): 202-210. [8] DWORK C. Differential privacy[M]//Automata, Languages and Programming. Berlin: Springer, 2006: 1-12. [9] MIRONOV I. Rényi differential privacy[C]//2017 IEEE 30th Computer Security Foundations Symposium. Santa Barbara: IEEE, 2017: 263-275. [10] CHAUDHURI K, IMOLA J, MACHANAVAJJHALA A. Capacity bounded differential privacy[J]. Advances in Neural Information Processing Systems, 2019: 3474-3483. [11] MCGREGOR A, MIRONOV I, PITASSI T, et al. The limits of two-party differential privacy[C]//2010 IEEE 51st Annual Symposium on Foundations of Computer Science. Las Vegas: IEEE, 2010: 81-90. [12] NISSIM K, RASKHODNIKOVA S, SMITH A. Smooth sensitivity and sampling in private data analysis[C]//Proceedings of the Thirty-Ninth Annual ACM Symposium on Theory of Computing. San Diego: ACM Press, 2007: 75-84. [13] MCSHERRY F, TALWAR K. Mechanism design via differential privacy[C]//48th Annual IEEE Symposium on Foundations of Computer Science. [S.l.]: IEEE, 2007: 94-103. [14] HOMAYOUN S, DEHGHANTANHA A, AHMAD- ZADEH M, et al. Know abnormal, find evil:frequent pattern mining for ransomware threat hunting and intelligence[J]. IEEE Transactions on Emerging Topics in Computing, 2020, 8(2): 341-351. doi: 10.1109/TETC.2017.2756908 [15] DING X F, YANG W L, CHOO K K R, et al. Privacy preserving similarity joins using MapReduce[J]. Information Sciences, 2019, 493: 20-33. doi: 10.1016/j.ins.2019.03.035 [16] CHENG X, SU S, XU S Z, et al. DP-apriori:a differentially private frequent itemset mining algorithm based on transaction splitting[J]. Computers & Security, 2015, 50: 74-90. doi: 10.1016/j.cose.2014.12.005 [17] OU L, QIN Z, LIAO S L, et al. Singular spectrum analysis for local differential privacy of classifications in the smart grid[J]. IEEE Internet of Things Journal, 2020, 7(6): 5246-5255. doi: 10.1109/JIOT.2020.2977220 [18] ZHOU G Q, QIN S, ZHOU H F, et al. A differential privacy noise dynamic allocation algorithm for big multimedia data[J]. Multimedia Tools and Applications, 2019, 78(3): 3747-3765. doi: 10.1007/s11042-018-5776-0 [19] JUNG T, JUNG K, PARK S, et al. A noise parameter configuration technique to mitigate detour inference attack on differential privacy[C]//2017 IEEE International Conference on Big Data and Smart Computin. Jeju: IEEE, 2017: 186-192. [20] XU C G, REN J, ZHANG D Y, et al. GANobfuscator:mitigating information leakage under GAN via differential privacy[J]. IEEE Transactions on Information Forensics and Security, 2019, 14(9): 2358-2371. doi: 10.1109/TIFS.2019.2897874 [21] YIN C Y, XI J W, SUN R X, et al. Location privacy protection based on differential privacy strategy for big data in industrial Internet of Things[J]. IEEE Transactions on Industrial Informatics, 2018, 14(8): 3628-3636. doi: 10.1109/TII.2017.2773646 [22] HSU J, GABOARDI M, HAEBERLEN A, et al. Differential privacy: an economic method for choosing epsilon[C]//2014 IEEE 27th Computer Security Foundations Symposium. Vienna: IEEE, 2014: 398-410. [23] ZHANG W J, LI M, TANDON R, et al. Online location trace privacy:an information theoretic approach[J]. IEEE Transactions on Information Forensics and Security, 2019, 14(1): 235-250. doi: 10.1109/TIFS.2018.2848659 [24] LI X G, LI H, ZHU H, et al. The optimal upper bound of the number of queries for Laplace mechanism under differential privacy[J]. Information Sciences, 2019, 503: 219-237. doi: 10.1016/j.ins.2019.07.001 [25] HUA J F, ZHU H, WANG F W, et al. CINEMA:efficient and privacy-preserving online medical primary diagnosis with skyline query[J]. IEEE Internet of Things Journal, 2019, 6(2): 1450-1461. doi: 10.1109/JIOT.2018.2834156 -
下载:
下载:
点击查看大图
计量
- 文章访问数: 335
- HTML全文浏览量: 309
- PDF下载量: 32
- 被引次数: 0