Le Infrastrutture Critiche informatizzate:
La necessità di modellazione
Salvatore Tucci
Ufficio Informatica e Telematica
Presidenza del Consiglio dei Ministri
Ordinario di Sistemi Per l’Elaborazione dell’Informazione
Università di Roma TorVergata
Infrastrutture Critiche
Complesso di reti e sistemi che includono
industrie, istituzioni, e strutture di distribuzione
che, operando in modo sinergico, producono
un flusso continuato di merci e servizi
essenziali per l’organizzazione, la funzionalità
e la stabilità economica di un moderno paese
industrializzato e la cui distruzione o
temporanea indisponibilità può indurre un
impatto debilitante sull’economia, la vita
quotidiana o le capacità di difesa di un paese
Infrastrutture critiche informatizzate
Infrastrutture critiche che utilizzano per il loro
controllo, o la loro gestione o il loro esercizio
una infrastruttura informatica
Includendo fra le infrastrutture critiche anche le
principali infrastrutture informatiche e,
specificatamente, Internet
Infrastrutture Critiche
Circuiti bancari e finanziari
Difesa
Telecomunicazioni
Servizi postali
Energia e utilities
Servizi di Informazione
Industrie di base o
pericolose
Circuiti sanitari (health)
Educazione e ricerca
Amministrazioni pubbliche
Filiera alimentari
Trasporti e distribuzione
Servizi di assistenza
sociale
Forniture idriche
Servizi di emergenza
Interdipendenza delle IC
Financial Services
Telecommunication
Health Care
Public Utilities
Infrastrutture
verticalistiche e
indipendenti
Infrastrutture che si
basano su un ambiente
condiviso
Il Cyberspace è basato
su alcune di tali
infrastrutture
Tipologie di interdipendenza
• interdipendenza fisica
• cyber-interdipendenza
• interdipendenza geografica
• interdipendenza logica
S. Rinaldi, J. Peerenboom, e T. Kelly, “Identify, Understanding,
and Analyzing Critical Infrastructure Interdependencies”', IEEE
Control System Magazine, Dic. 2001.
Example of Interdependencies Among Physical
and Cyber Assets Within the Energy Industry
Gas Pipeline
Control
Center
Generating
Plant
Private
Microwave
Network
Natural Gas
Storage Facilities
Public Networks
Transmission
Substation
Compressor Station
Types of failures:
Distribution
Substation
City
Gate
• Cascading
• Escalating
• Common corridor
DELAY
Repair Crews
Commercial Loads
Industrial Loads
Source
Office of Critical
Infrastructure Protection
BLACKOUT
USA
Estimator
failure
SCADA allarms
module failure
Update SCADA data
failure
Analisi delle cause dell’errata gestione dell’evento
Perché usare Modelli e Simulazioni
Modellare e simulare sistemi complessi permette di :
determinare le conseguenze a valle della perdita di un
elemento dell’infrastruttura
analizzare a fondo il comportamento a seguito di un
evento estremo e raro (catastrofe naturale o
terrorismo)
capire come ripristinare le infrastrutture
sviluppare analizzare e verificare le strategie di
protezione delle infrastrutture critiche
svolgere esercitazioni ed addestramento nella
protezione delle infrastrutture critiche
Perché usare Modelli e Simulazioni
È parte integrante di un’analisi dei rischi che ha
tre componenti fondamentali:
1. Valutazione della vulnerabilità di ciascun
elemento dell’infrastruttura
2. Analisi delle conseguenze a valle della perdita di
un elemento
3. Analisi delle minacce
Il rischio R di un sistema può essere descritto come:
R= PA*(1-PE)*C
dove PA è la probabilità di un attacco, (1-PE) è la
probabilità del successo dell’attacco C è la
conseguenza dell’attacco
L’Interdipendenza
Interdipendenza Ctd
Modello di Leontief
• Il guasto di un elemento può influenzare il livello di
servizio di altre infrastrutture quindi occorre:
– individuare il grado di incidenza relativa fra le
diverse infrastrutture
– valutare le conseguenze secondarie, per cui
l’impatto complessivo di un guasto è rappresentato
dalla soluzione della seguente equazione:
xn 1 A xn c
A matrice m x m dei coefficienti di Leontieff
c vettore che rappresenta un guasto indotto dall’esterno
x vettore delle probabilità di non-operatività associate a
__ciascun componente.
Esempio
grado di incidenza relativa
Rete elettrica Trasporti Ospedali Telecomun.
Rete elettrica
0
0.2
0
0
Trasporti
0.4
0.4
0
0.1
Ospedali
0.6
0.8
0
0.2
0
0
Telecomun.
0.1
0.2
valutare le conseguenze
1
0
1
x I A c
0
0
0 0 0 0
1 0 0 0.4
0 1 0 0 .6
0 0 1 0. 1
1
0 0. 8
0.4 0 0.1 0
0 .8 0 0 .2 0
0 .2 0 0 0
0 .2 0
Risultato dell’analisi
Risolvendo il sistema si ottiene:
•
•
•
•
- inoperabilità della rete elettrica 89%
- inoperabilità del sistema di trasporto 46%
- inoperabilità delle telecomunicazioni 98%
- sistema ospedaliero COMPLETAMENTE FUORI
USO!!!!!!
Esempio II
Le interdipendenze
Le interdipendenze sono analizzate
considerando sei diverse “dimensioni”:
1. Ambiente: cioè la struttura entro la quale
proprietari e operatori stabiliscono finalità e
obiettivi, costruiscono sistemi di valori per
definire il loro business, ecc.
2. Tipi di Interdipendenza
Le interdipendenze:
Tipi di Interdipendenza
• Fisica: se lo stato di una è dipendente dall’output
materiale (fisico) dell’altra. (es. centrale elettrica a
carbone e la sua rete ferroviaria di adduzione)
• Cyber: se il suo stato dipende dalle informazioni
trasmesse attraverso il cyberspace.
• Geografica: se un evento ambientale locale può
provocare cambiamenti nello stato delle altre
infrastrutture. Questo accade quando le varie
infrastrutture condividono lo stesso luogo fisico,
• Logica: se lo stato di ognuna di loro dipende dallo
stato dell’altra tramite un meccanismo che non è
nessuno di quelli precedentemente esplicitati.
Le interdipendenze
3. Stato operativo:
Per comprendere appieno le
interdipendenze tra le infrastrutture è
necessario determinare, per ogni
infrastruttura, da quali essa dipende sia in
condizioni di normale funzionamento, sia in
situazioni anomale, che durante la fase di
ripristino a valle di un guasto.
Le interdipendenze:
4 - Caratteristiche dell’infrastruttura
In questo ambito vanno considerati elementi quali la
• scala spaziale:
– Parte: il componente più piccolo distinguibile in un’analisi.
– Unità: un insieme di parti funzionalmente correlate (ad
esempio un generatore di calore).
– Sottosistema: una linea di unità (ad esempio un sistema di
raffreddamento).
– Infrastruttura. un insieme completo di sistemi simili.
• scala temporale
• fattori operativi
• fattori di carattere organizzativo
Le interdipendenze:
5 -Tipi di guasto
Le interdipendenze tra infrastrutture possono costituire il
mezzo attraverso il quale un guasto può propagarsi. In
questa ottica si parla di propagazione:
• a cascata: quando il malfunzionamento provoca un
guasto in una seconda infrastruttura, il che comporta a
sua volta l’insorgere di una anomalia in una terza e
così via;
• intensificante: quando il malfunzionamento in
un’infrastruttura rende più gravoso un
malfunzionamento, indipendente dal primo, in una
seconda infrastruttura;
• a causa comune: quando due o più infrastrutture
subiscono danni nello stesso momento e per lo stesso
motivo.
Le interdipendenze:
6 - Livello di accoppiamento
Il tempo di propagazione e l’intensità trasmessa
di un eventuale malfunzionamento variano in
funzione del grado di accoppiamento (stretto o
lasco). Tali interazioni possono essere:
• lineari se sono il risultato del processo di
progettazione (generalmente note, visibili e
generate da una sequenza prevista di
operazioni)
• complesse quando si concretizzano
inaspettatamente a seguito di sequenze di
operazioni non previste.
Modellazione olografica gerarchica
• La metodologia parte dal presupposto che quando si
vuole modellare un sistema complesso possono
emergere più modelli matematici o concettuali ognuno
dei quali pone l’attenzione su un aspetto specifico e
solo prendendo in considerazione un insieme di
modelli si può ottenere una rappresentazione
accettabilmente aderente alla realtà dell’intero
sistema
• è opportuno modellare ogni infrastruttura come un
oggetto composto logicamente da quattro strati
distinti: strategico, organizzativo, informatico e fisico
Analisi simulativa
Occorrono modelli in grado di fornire gli elementi
quantitativi necessari per poter definire l’impatto dei
diversi eventi e quindi un ordine di priorità tra le azioni
da intraprendere
Fallimento strumenti di predizione basati sull’analisi
delle serie storiche
I Modelli e strumenti simulativi forniscono una
predizione del comportamento del sistema nei diversi
scenari ipotizzabili
complessità elevata superiore alle capacità di
manipolazione degli attuali strumenti metodologici
e di calcolo.
Simulazione basata su agenti
• I comportamenti complessi sono il risultato delle
azioni e interazioni tra individui elementari
autonomi (agenti) che operano sulla base di
regole semplici
• Il comportamento di un insieme di infrastrutture
interdipendenti è modellato partendo dalla
conoscenza del comportamento (locale) dei
singoli componenti ed andando a studiare
l’evoluzione complessiva del sistema quando
queste componenti interagiscono fra loro.
Gli agenti
Ogni entità è caratterizzata da:
• Locazione: definisce dove si trova (spazio fisico)
• Capacità: esprime ciò che è in grado di fare
– percezione: può modificare la sua rappresentazione
interna dei dati
– reazione intelligente: può adattarsi a cambiamenti
dell’ambiente in cui si trova
– comportamento: può modificare il suo ambiente
– di cooperazione: può inoltre condividere conoscenza,
informazioni e strategie comuni con altre entità
– autonomia: può eseguire azioni senza l’intervento esterno
• Memoria: I dati che rappresentano lo stato di
un’entità e la storia delle sue esperienze
Propagazione dei guasti
OUT.R
IN.OL
OUT.OL
Element dynamic
Failure dynamic
IN.F
OUT.F
IN.R
Operative Leve (OL): capacità di eseguire il proprio
compito (OL=100% l’elemento potrebbe erogare il
massimo se richiesto.
Requirements (R): cosa occorre per poter garantire
OL=100%.
Faults (F): il livello di guasto che affligge l’elemento
per ciascuna tipologia di guasto
Analisi topologica
I grafi che descrivono le topologie si distinguono in base
alla distribuzione del numero dei link per nodo
Random Graph
Distribuzione di Poisson
Scale Free Graph
Distribuzione con legge di potenze
Analisi topologica
Le strategie di difesa e di sicurezza devono
essere adottate in base alla topologia delle
singole infrastrutture ed alla dinamica
topologica stessa.
Ad esempio un grafo scale-free risulta essere:
– più robusto rispetto a guasti accidentali (eventi
naturali o comunque aleatori)
– più vulnerabile ad attacchi mirati (potremmo dire
terroristici)
– riguardo la diffusione di una epidemia non evidenza
il classico effetto soglia
Conclusioni - 1
• Il ruolo giocato dalle infrastrutture critiche per il
benessere delle nazioni è andato aumentando
ma contestualmente sono aumentate le
minacce naturali (estremizzazione fenomeni
climatici) e dolose (terrorismo e criminose)
• Per poter adottare opportune strategie per
migliorare la resilience di queste infrastrutture
occorre migliorare la conoscenza sul loro
comportamento
Conclusioni - 2
• Sono stati illustrati alcuni approcci proposti per
affrontare alcuni degli aspetti connessi con la
modellistica di tali sistemi
• Gli strumenti metodologici e di analisi di cui
disponiamo sembrano non essere adeguati per
gestire la complessità
Occorre lavorare ancora molto su queste
tematiche:
“non abbiamo neanche iniziato a porci le
domande corrette per lo studio di questi
sistemi”
