CC BY
63
АВТОМАТИЗАЦИЯ АНАЛИЗА ФУНКЦИОНАЛЬНОЙ СТАБИЛЬНОСТИ КРИТИЧНЫХ ИНФОРМАЦИОННЫХ
СИСТЕМ
Сундеев П.В. - к. т. н.
Краснодарский военный институт
При создании и реконфигурации информационных систем, используемых в критичных приложениях, трудноразрешимой проблемой является доказательство функциональной стабильности (ФС) информационной архитектуры. В работе рассматривается подход к формализации описания процессов и состояний информационной системы с целью автоматизации логического поиска траекторий информационного процесса, приводящих систему в функционально нестабильные состояния.
Формальная постановка задачи анализа функциональной стабильности критичных информационных систем
Целью анализа ФС критичной информационной системы (КИС) является выявление некоторых свойств объектов, определяющих безопасность состояния системы. Под объектами здесь понимаются элементы информационной архитектуры: функциональные модули, носители информации, файлы и другие материальные или абстрактные информационные объекты, состояния которых характеризуют состояния системы и ход информационного процесса.
Пусть заданы множество Q объектов и некоторое свойство этого множества. Свойство V для некоторого объекта х может быть задано предикатом Ру (х), определенным как функция на множестве Q со значениями «истинно» (И) и «ложно» (Л) Pv : Q?{И, Л}.
Если Q - множество модификаций объекта, д0 - модификация безопасного объекта, ді - модификация небезопасного объекта, V - свойство «быть безопасным», то Р, (д0) = И, Р, (ді ) = Л для всех дг є Q. Множество Q разбивается предикатом Pv на два подмножества: Qv = {д0} - безопасный объект и = {д1,д2,...,дп} - небезопасные объекты.
При этом справедливо
Q=Qv• 0,- Qv' О,=0• (!)
Таким образом, вычислением значения истинности предиката Р, (х) решается задача анализа безопасности некоторого объекта х.
Если свойство V рассматривать как некоторое сочетание других свойств объекта х, выраженных предикатами ру}(х),р(х),* , то значение
предиката Р, (х) может быть найдено вычислением значения предикатов РУ1 (,Р (,* и затем определением истинности ру(х) путем приложения
операции следования вида
Р(РЩ(Х),Р^(Х),* ) ® р,(х) • (2)
Каждое свойство VI также может быть представлено через совокупность других свойств объекта. Применение некоторых операций логики к начальному множеству предложений, составляющему модель объекта х, и получение некоторого предложения этого же языка, являющегося формальным выражением свойства V, составляет процесс вычисления предиката р, (х) . Задача анализа решается путем вычисления значения предиката Рі (х) , который принимает истинное значение, если объект х является і-й модификацией ді, и значение «ложно» - в противном случае.
Таким образом, представление логического компонента алгоритма анализа безопасности в виде формальных операций логического следования на множестве предложений языка задания объекта анализа позволяет рассматривать процесс анализа ФС как многоуровневый управляемый ло-
гический вывод некоторого выражения этого языка, который находится в ходе построения эксперимента.
Решение задачи анализа функциональной стабильности КИС
Решение прямой задачи анализа ФС КИС состоит в определении отсутствия траекторий, проводящих систему в опасные состояния, при установлении конкретных типов информационных отношений между информационными объектами.
Общая последовательность описания ситуации и доказательства ФС КИС в указанном смысле содержит несколько этапов.
1. Классификация, определение и описание свойств типовых информационных объектов предметной области и информационных отношений между ними на содержательном уровне.
2. Описание информационных объектов и отношений в виде аксиом и теорем на языке стандартной логики исчисления предикатов первого порядка.
3. Исключение кванторов общности и существования и преобразование аксиом на расширенный язык клауз Хорна, содержащих не более одного заключения.
4. Поиск минимального конечного подмножества дизъюнктов для Эр-брановского универсума методом резолюций с целью уменьшения размерности области поиска доказательств.
5. Описание предложений на языке логического программирования.
6. Автоматизированный поиск решения с использованием нисходящего вывода и семантического метода, демонстрирующих несовместимость множества клауз при помощи того, что ни одна интерпретация не делает все клаузы истинными.
Модель состояний модулей
Выбранный уровень рассмотрения системы предполагает определение и формализацию отношений между функциональными модулями, возни-
кающих в ходе решения задач по обработке информации. Внутренний механизм функционирования модулей, связанный с прохождением и обработкой информационных сигналов, на данном уровне рассмотрения системы значения не имеет. Для конкретного модуля не важно, в интересах какой задачи выполняется некоторая информационная процедура из числа допустимых операций. С позиции управления информационным процессом важным является вопрос о способности модуля взаимодействовать с другими модулями при данном состоянии системы. Способность модуля к взаимодействию полностью зависит от его состояния, определяемого рядом факторов, которые в данном случае будут иметь качественный смысл.
Анализ особенностей использования и функционирования базовых типов модулей информационных систем позволяет ввести в рассмотрение совокупность формальных высказываний
которые определяются как элементарные формальные высказывания (ЭФВ). Каждое ЭФВ описывает либо одно из нескольких специфических условий нахождения модуля в состоянии Sk^, либо полное условие нахождения модуля в этом состоянии. Все ЭФВ являются функциями времени в смысле истинности 3м на момент наступления некоторого события П .
В рамках предлагаемого подхода ЭФВ описывают состав интерфейсов конкретных модулей и могут быть получены из результатов объектноориентированного анализа системы. Описание состояний модулей является статическим представлением системы, которое необходимо дополнить описанием правил переходов состояний, отражающих перемещения модулей по зонам доступа и изменения в составе модулей и их свойств.
Формальное описание процессов функционирования
Сущность любой информационной системы заключается в обеспечении информационного взаимодействия объектов на физическом, синтакси-
(3)
ческом и семантическом уровнях [1, 2]. Функции безопасности могут осуществляться на одном и более уровнях и заключаются в регулировании доступа к объектам со стороны внешней среды и активных объектов системы.
Для проведения формального анализа состояний и оценки ФС информационной архитектуры необходимо:
сформулировать формальные признаки опасных состояний системы
из множества ~О, при которых возможна дестабилизация системы;
сформулировать формальные признаки безопасных состояний системы из множества ~Б, при которых система считается функционально стабильной;
Н
задать начальное, безопасное состояние системы из множества S ; сформулировать формальные правила переходов системы из одного состояния в другое в ходе информационного процесса Sx ^Sy;
доказать методом относительно полного перебора состояний, что траектория информационного процесса не приводит систему к опасным состояниям, или необходимо найти эти состояния, что докажет функциональную нестабильность архитектуры системы.
Начальное состояние системы sН считается безопасным, если все объекты ОЖ системы Ж находятся в разрешенных для них информацион-
''У С г7 г ''уР
ной политикой зонах доступа г , г\ , г, определенных на соответствующих трех уровнях информационного взаимодействия. Объекты контроля ФС Офсе ОЖ, реализующие функции контроля доступа и изоляции зон, имеют статус «активный» ОфсеО а, и в системе отсутствуют информационные объекты О с недекларированными информационными функциями. Это состояние описывается формулой
"п[п с[[о№е 25^.% аОфсеОааОНе грг^г^], (4)
где sН - множество начальных состояний системы Ж;
2^ - множество безопасных состояний системы Ж;
ОЖ - множество контролируемых информационных объектов системы Ж;
.2СС - подмножества физических, синтаксических и семантических зон доступа;
ОФС - подмножество объектов системы Ж, реализующих функции контроля ФС;
Оа - подмножество активных объектов системы на момент времени ?;
ОН - множество объектов с недекларированными информационными
функциями, ОН Ё ОЖ .
Переход в другие состояния определяется возможностями активных объектов физически или логически перемещать себя и/или других объектов в другие зоны доступа. Способность активных объектов перемещать себя или другие объекты объясняется их взаимодействием В (Ох , Оу), что, в свою очередь, определяется тремя подмножествами пар (кортежами) открытых интерфейсов объекта и смежных объектов.
"х"уВх,у(Ох,Оу= [х ац:г = АсХых = свух]|(О*,Оу) Zz.zf.zC- (5)
Каждое подмножество пар открытых интерфейсов соответствует уровню информационного взаимодействия.
Возможность физического взаимодействия устанавливается по схеме соединения объектов (наличием между ними каналов связи), совпадением используемых информационных параметров физических сигналов и наличием физических трансляторов, которые могут согласовать параметры взаимодействия (перемещать в пространстве носители информации, синхронизировать время и т. п.).
Возможность синтаксического взаимодействия объектов определяется наличием физического взаимодействия, совпадением алфавитов, лексики и синтаксиса языков или наличием трансляторов для приведения их в соответствие.
Возможность семантического взаимодействия объектов объясняется наличием физического и синтаксического взаимодействия, способностью объекта выполнять функции по управлению другими информационными объектами. Для анализа ФС интерес представляют семантические возможности объектов по обработке информации, т. е. способность объектов системы активизировать, копировать, перемещать, транслировать и т. д.
Устойчивый (возможно стандартный) набор способностей по физическому, синтаксическому или семантическому взаимодействию, существующих у объекта, называется соответственно физическим Р, синтаксическим Ь или семантическим С открытым интерфейсом информационного объекта. Открытость интерфейса заключается в свободном доступе к нему соответствующих открытых интерфейсов других объектов при соблюдении необходимых условий. Все интерфейсы объектов системы могут быть сведены в перечне типовых интерфейсов системы отдельно по каждому уровню взаимодействия.
Правила описания переходных состояний
Подход к моделированию процессов обработки информации в сложных информационных системах на основе применения взаимосвязанного трехуровневого представления процессов позволяет выделить объективно существующие между ними взаимосвязи при анализе ФС информационной архитектуры КИС. Основными положениями такого подхода являются:
для адекватного моделирования процессов обработки информации необходимо одновременно и совместно рассматривать процессы изменения физических, синтаксических и семантических состояний информаци-
онных объектов, происходящих в системе функции обработки информации;
для описания процесса изменения состояния каждого из рассматриваемых объектов применяются адаптированные методы объектноориентированного анализа сложных систем, теории входящих потоков задач и теории состояний КИС;
для установления взаимосвязи между процессами вводятся логические условия пребывания каждого объекта в одном из его состояний в зависимости от состояний других объектов;
логические условия взаимосвязи процессов реализуются следующим образом: объект может находиться в заданном состоянии или изменять свое состояние в зависимости от заданных условий пребывания в соответствующем состоянии и от взаимодействия с другими взаимосвязанными объектами при нахождении их в заданном состоянии или при изменении этого состояния;
модель взаимосвязанного трехуровневого процесса обработки информации представляет собой множество взаимосвязанных логическими условиями информационного взаимодействия процессов, имеющих физическую, синтаксическую или семантическую природу;
модель представляется в виде трех взаимосвязанных, ориентированных графов, вершинами которых являются состояния физических, синтаксических или семантических процессов, а дуги - направленные переходы из одного состояния в другое.
Формальное состояние системы sf в момент времени ? определяется
как отражение множества физических и абстрактных модулей мЖ системы
иг
Ж на множество контролируемых г и смежных с ними неконтролируемых зон доступа ~Н всех уровней взаимодействия, а также множеством возможных отношений между активными абстрактными модулями М^ и
остальными модулями системы, которые определяются кортежами парных интерфейсов модулей, находящихся в одной зоне в момент времени и
^ / ~ W ~Н .2А 2вых 2вх \ /2вых ~вх \ 2вых 2вх \| т2А .а(6)
в" 1м ] = 12 ,2 , Ма> ![х.1 = Бу,1 А ( = Ьу,]), ) = Су,Лх еМа,уем М М где sЖ (Ж) - состояние системы Ж в момент времени I, состоящей из множества модулей мЖ;
МЖ - множество физических и абстрактных модулей, идентифициро-
2 Ж —Ж —И
ванных в системе, М с г у г ;
2 - множество контролируемых зон системы;
2Н - множество смежных зон, неконтролируемых системой;
МА - подмножество активных абстрактных модулей системы Ж на момент времени I, МА с МЖ ;
(х = [ух;), (вхых = ь(), (( = Сухк) - кортежи парных интерфейсов модулей, находящихся в одной зоне.
В процессе функционирования система под воздействием разных событий может сохранять или изменять свое состояние. Для отображения динамики процесса функционирования кроме множества формул состояний системы необходимо иметь множество формул, описывающих переходы системы из одного состояния в другое.
В общем виде все возможные изменения или сохранения состояний системы определяются отображением
XЖ : ® . (7)
Для каждого состояния йЖ можно указать правила XП, позволяющие находить его образ 2 (Ж) во множестве sЖ. Упорядоченная последова-
Ж
тельность правил ъп будет называться кортежем переходов. Кортеж пере-
аЖ XЖ
ходов для йп определяется как упорядоченная совокупность списков ъ п
Ж
п
содержащих информацию о причинах перехода, номерах состояний, к которым выполняются переходы, и условия каждого перехода.
Под сменой состояния системы здесь понимаются изменения в распределении или составе модулей относительно существующих зон доступа, а также информационных свойств модулей в результате потери или приобретения способности взаимодействовать через определенные открытые интерфейсы. Поэтому правила перехода состояний должны характеризовать условия и причины, при которых возможны указанные события.
Модель системы представляется в виде ориентированного графа, вершинами которого являются состояния процессов, а дуги - направленные переходы из одного состояния в другое, т. е. ее поведение, определяемое архитектурой системы и технологией обработки данных.
Точность отражения состояний КИС в модели определяется размерами множеств состояний системы и полнотой регистрируемых событий-Состояние системы будет воспроизводиться в модели приближенно из-за потери части информации. Однако и при этом условии размерность графа будет велика, а его вид заранее неизвестен (см. рисунок).
Г раф возможных состояний модели КИС
Проблема, связанная со сложностью построения полного графа, может решаться с использованием принципа обучения и дообучения системы моделирования [3] или формализованных методик синтеза модели с последующим автоматизированным поиском траекторий, приводящих систему в опасные состояния [1, 2]. Наиболее эффективный способ моделирования и анализа функциональной стабильности КИС может заключаться в совместном использовании обоих принципов.
Правила формализованного описания моделей состояний состоят из правил описания условий взаимодействия информационных объектов (модулей) и правил переходов.
Аксиома 1. Если два модуля мх и Му находятся в одной физической
зоне г1}, и у них имеются парные физические интерфейсы }Х“х = }ву.к , то возможно их физическое взаимодействие типа к:
} ° "Х"у Мх.Му ’к)ЗкЗ/(}Хкх = }УкIМх.Му е г}), (8)
где к = 1,п - порядковый номер физического интерфейса в перечне типовых физических интерфейсов системы.
Аксиома 2. Если два модуля Мх и М у одновременно находятся в одной физической и одной синтаксической г\ зонах, и у них имеются парные физические и синтаксические интерфейсы } ХкХ = } вуХ,к и 1%%=ЬвуХ.Н, то
возможно их синтаксическое взаимодействие 1Ь типа Н при условии выполнения к:
Ь °"х"у1Ь Мх.Му.%)«ЭННЭ/Э/} Х“кх = ПьЛ -СХ=Ьв*н\МхМу е 2гг21, ), (9)
где Н = 1,т - порядковый номер синтаксического интерфейса в перечне типовых синтаксических интерфейсов системы.
Аксиома 3. Если два модуля Мх и Му одновременно находятся в одной физической г}, одной синтаксической г1- и одной семантической гС зонах, и у них имеются парные физические, синтаксические и семантические интерфейсы }вхькХ = }вухк, 1ВННХ = ЬвуХ.Н и С%ЫХ =Сухё, то возможно их семантическое взаимодействие Iе при условии выполнения к и Н:
С °""уIеIх,Му,я)<=> (10)
^ ЗОЭД/ЗЕс ( = ^} а — =Ь — а СС =С вуХё\мх,Му£21},21-СУ
где 8 = 1.Р - порядковый номер семантического интерфейса в перечне типовых семантических интерфейсов системы.
Правила формализованного описания переходов состояний системы заключаются в описании семантики возможных типов к, Н и g информационных взаимодействий модулей на трех уровнях при выполнении аксиом 1, 2 и 3.
Аксиома 4. Семантика информационного взаимодействия на физическом уровне заключается в перемещении (трансляции) из физической зоны в смежную физическую зону 2^ ® физического (носитель информации)
или абстрактного (алгоритм или данные) модуля Му } под воздействием
активного модуля Мах е МА'Р при выполнении условий } аксиомы 1. Существует два типа физического взаимодействия:
- перемещение т-шоуе (Пр), при котором модуль мА'} оказывается в другой физической зоне 2^:
- копирование с-еору, т. е. размножение Рр модуля Му^ на 2, п таких же модулей и их перемещение П в /.і, ..., //' зоны, при котором копии Му’£ п модуля МА’р оказываются в других зонах 2^,..., 2^. Эта операция обычно применяется к программным модулям
Аксиома 5. Семантика информационного взаимодействия на синтаксическом уровне заключается в переводе синтаксиса t-translation абстрактного модуля М^ на другой язык, т. е. в перемещении nz его из одной синтаксической зоны в другую ZL ® ZL под воздействием активного синтаксического модуля-транслятора TIZ при выполнении условий Z аксиомы 2.
Аксиома 6. Информационное взаимодействие на семантическом уровне заключается в активизации х-асйоп активным модулем-алгоритмом МХ другого абстрактного модуля-алгоритма, т. е. в передаче управления пс в виде ресурсов и параметров модулям-алгоритмам, способным совершать операции g, й, а, т, с и I при выполнении условий С аксиомы 3.
m°VxVyПMx. MfF,zF®ZFi)^3x3y(f=l\ MєMA,F); (11)
(12)
(1З)
a °VxVy ПїмХ' мА^С ® Z^ (g v d v a v m v c v t ))o3X (с = 1. MX є M°). (14)
Указанные операции определяют семантику возможностей модулей по исполнению следующих функций обработки информации на трех уровнях:
g - создание модуля, т. е. выделение носителя информации или его части под логическую структуру модуля и идентификация в системе новой структуры, соответственно, в качестве физического или абстрактного модуля;
й - уничтожение модуля, т. е. исключение носителя информации или логической структуры из системы;
а - активизация модуля, т. е. передача ему управления; т - физическое перемещение модуля, т. е. перемещение носителя информации как физического объекта или логической структуры как абстрактного объекта из одного носителя информации в другой;
с - физическое копирование модулей, т. е. выделение носителя информации под копию модуля, идентификация этого носителя и перемещение структуры модуля на выделенный носитель (создание и перемещение);
I - синтаксическая трансляция абстрактных модулей, т. е. изменение синтаксиса или алфавита модуля без изменения семантики.
Для интерпретации на ЭВМ формальную модель удобно представить в виде логической программы, например, Пролог-программы. Главным компонентом языка Пролог является универсальный механизм решения задач, принцип действия которого основан на правиле резолюции. Правило резолюции оказывается особенно привлекательным при использовании для вычислений на ЭВМ, так как само по себе оно является полным множеством правил вывода для фразовой формы логики предикатов, т. е. применяя только одно это правило, можно вывести любое следствие из множества аксиом, представленных во фразовой форме. Для того чтобы воспользоваться этим механизмом, необходимо описать задачу при помощи фраз Хорна, выраженных на языке Пролог.
Генерация теорем и аксиом в виде формальных высказываний математической логики исчисления предикатов может осуществляться автоматически из объектных диаграмм и диаграмм классов на основе исходных данных о структуре ориентированного графа, свойствах его вершин и дуг, полученных на этапе объектно-ориентированного анализа КИС, при наличии совместимого с CASE-средством (например, Rational Rose) компилятора для языка типа Пролог или Лисп.
Создание научно-методического аппарата, объединяющего в рамках единой методологии основные положения теории ФС КИС, методы формализации состояний, автоматизации моделирования и поиска функционально нестабильных состояний с формальным доказательством отсутствия запрещенных траекторий, приводящих систему в опасные состояния, позволит проводить объективную оценку и гарантировать функциональную надежность информационных систем, используемых в критичных приложениях.
Список литературы
1. Симанков В.С., Сундеев П.В. Системный анализ функциональной стабильности критичных информационных систем: Монография / Под ред. В.С. Симанкова. Краснодар: Институт современных технологий и экономики, 2003. 132 с.
2. Сундеев П.В. Построение информационной модели функционирования обобщенной системы управления и обоснование фундаментальных принципов информационного взаимодействия сложных систем // Межвузовский сборник научных трудов. Краснодар: Краснодарский военный институт, 2000.
3. Пучков Н.В. Адекватность моделирования информационной среды при проектировании системы безопасности // Специальная техника средств связи. Системы, сети и технические средства конфиденциальной связи. 1999. Вып. 1.
