笔记：A modeling and simulation framework for the study and analysis of cascading failures in satellite networks

A modeling and simulation framework for the study and analysis of cascading failures in satellite networks

Abstraction

Satellite networks are inherently susceptible to cascading failures due to resource constraints, complex environments, and limited protection mechanisms. Existing studies have explored this issue from various perspectives; however, significant differences in the key modeling factors considered often lead to models that do not fully capture satellite network characteristics. This results in inconsistent findings and a lack of structured guidance for model development. To address this problem, this paper proposes a unified modeling framework for cascading failures in satellite networks. The framework systematically describes key modeling factors from five aspects: components and coupling relationships, load-resource interactions, state transitions, initial disturbances, and performance metrics. Based on this framework, a scalable simulation algorithm is further developed to support cascading failure analysis. In the case studies, simulations are conducted on three constellations of different scales based on modeling with reasonable assumptions under the proposed framework. The results show that the proportion of failed satellites fluctuates by more than 20%, and in over 83% of cases, failures propagate within a two-hop neighborhood of failed satellites. Additional analyses in the supplementary material further demonstrate the applicability and effectiveness of the proposed framework.

摘要翻译：由于资源受限、运行环境复杂以及防护能力有限，卫星网络天然容易受到级联故障影响。现有研究已经从多个角度分析这一问题，但不同研究对关键建模因素的选择差异很大，导致所建立的模型往往不能完整体现卫星网络的真实特征，研究结论也缺少一致性。为解决这一问题，本文提出一个面向卫星网络级联故障的统一建模框架，从五个方面系统描述建模所需的关键因素：组件及其耦合关系、负载—资源交互、状态转移、初始扰动以及性能评价指标。在此基础上，作者进一步设计了一套可扩展的级联故障仿真算法。案例分别在三种不同规模的星座上进行仿真。结果表明，卫星失效比例在级联过程中具有超过20%的波动，并且83%以上的新故障发生在已有故障卫星两跳范围内。补充材料进一步分析了具体故障传播过程，用于说明该框架的适用性和分析能力。

Introduction

卫星网络的级联故障并不是“某一颗卫星坏掉以后网络少一个节点”这么简单。卫星失效后，其原本承担的用户接入和中继业务会被重新分配到其他卫星，使周边节点负载上升；这些卫星如果进一步发生拥塞、资源退化或暂时停机，又会产生新的流量重分配，从而形成连续放大的故障链。

现有卫星网络级联故障研究已经形成多种建模方式，但得到的结果差异很大。论文列举的已有结论中，有的模型会得到接近100%的网络破坏，有的研究认为只有约15%的卫星失效，还有一些模型中仅剩6%的卫星能够正常工作。作者认为，这些巨大差异并不完全来自星座本身，而是来自模型假设不一致。

论文把现有建模问题归纳为五类：

1. 忽略卫星网络的动态轨道特性；
2. 卫星负载模型与真实业务流量不匹配；
3. 状态转移机制被过度简化；
4. 卫星资源建模维度不一致；
5. 仿真场景与真实星座结构脱节。

因此，这篇文章真正想解决的不是提出一个新的单一故障传播公式，而是回答一个更基础的问题：研究卫星网络级联故障时，一个相对完整且可复用的模型至少应该包含哪些内容？

Problems in existing cascading-failure models

作者系统比较了基于互依网络、复杂网络、业务流量和动态网络的多类已有模型。

其中一个明显问题是静态网络假设。卫星在轨高速运动，地面覆盖范围不断变化，用户接入卫星、网关可见性和星间路由都会随时间变化。因此，如果只选取某一时刻的静态网络快照，再根据节点度、介数中心性等拓扑指标定义负载，就容易把真实的业务变化完全忽略。

第二个问题是负载定义。复杂网络方法常使用节点中心性表示负载，但真实通信卫星承担的是实际数据：用户上行数据、星间转发数据以及暂时无法处理而进入buffer的数据。节点在拓扑上重要，并不一定意味着它在当前时刻承担的业务量最大。

第三个问题是“超载即永久失效”的简化。真实卫星在高负载下通常会先发生buffer积累、处理时延上升、温度增加或处理能力下降；系统还可能主动限流、自检、降级运行和恢复。若模型直接从Normal跳到Permanent Failure，往往会夸大故障传播强度。

第四个问题是资源建模。有些研究只考虑buffer，有些增加processing capacity，但卫星实际运行还受到链路带宽、电源状态、温度、辐射等多因素影响。级联故障本质上是负载与有限资源之间持续失配产生的，因此资源维度直接影响结论。

Modeling framework

作者最终提出五部分参考框架：

1. Components and coupling relationships
2. Load-resource
3. State transition
4. Initial perturbation
5. Performance metrics

这五部分形成一条完整的级联演化逻辑：

组件和连接 → 产生/传输业务 → 业务占用资源 → 资源变化触发状态变化 → 状态变化导致流量重新分配 → 新一轮资源变化

初始扰动负责打破原来的平衡，性能指标则持续记录整个网络在级联过程中的损伤程度。

Components and coupling relationships

论文首先区分两类组件。

Propagation-Sensitive Components

Propagation-Sensitive Components（PSC）是直接参与级联故障传播的组件，主要就是在轨通信卫星。

卫星负责接收、处理和转发数据。一颗卫星失效以后，其业务会被重定向到其他卫星，因此卫星既是故障承受者，也是故障进一步传播的载体。

为了保留星座动态性，每颗卫星的位置由Keplerian orbital elements描述：

Ω_v(t) = {a, e, i, Ω, ω, M(t)}

其中包含半长轴、偏心率、倾角、升交点赤经、近地点幅角和随时间变化的平近点角。卫星位置随时间更新，因此覆盖关系和网络负载也会随之变化。

Propagation-External Components

Propagation-External Components（PEC）不直接参与卫星间故障传播，但会产生业务流量，例如：

• fixed ground stations；
• mobile terminals；
• terrestrial backbone infrastructure；
• ground gateways。

PEC本身失效通常不会直接把某颗卫星“传染”为失效，但PEC的空间分布和业务需求决定了流量从哪里进入卫星网络，因此会改变整个级联传播过程。

Coupling relationships

耦合关系进一步分为星间耦合和星地耦合。

星间链路可以是Permanent ISL，也可以是随轨道位置动态开关的Intermittent ISL。星地链路则天然具有动态性：地面设备需要不断切换到当前可见卫星。

因此，网络在时刻t的连接状态统一表示为动态邻接矩阵：

S(t) = {s_ik(t)}

只要两个组件之间在时刻t存在有效链路，对应元素为1，否则为0。

Load-resource model

论文把卫星负载明确分成三部分：

Load = Uplink traffic + Relayed traffic + Buffered data

Uplink traffic

Uplink traffic来自地面PEC。只有某个地面用户位于卫星覆盖范围内并满足连接条件时，其数据才会进入对应卫星。

因此，卫星某一时刻的上行负载同时取决于：

• 当前轨道位置；
• 当前星地连接；
• 用户空间分布；
• 用户实时数据需求。

这比直接使用节点degree或betweenness作为“负载”更接近实际通信网络。

Relayed traffic

Relayed traffic来自其他卫星，是路由机制决定的转发数据。

作者没有把路由固定为一种算法，而是把路由拆为两个可以替换的因素：

• Optimization objective：最小时延、最少跳数、负载均衡或多目标优化；
• Decision entity：centralized、distributed或semi-distributed routing。

因此，路由模块在这个框架中只是一个可替换部分，不同研究可以使用不同路由算法，而不需要改变其他级联故障建模结构。

Buffered data

卫星上一时刻没有处理完的数据继续进入下一时刻buffer：

B_i(t) = L_i(t-1) + H_i(t-1) - P_i(t-1)

如果新进入的数据持续高于卫星处理能力，buffer会逐步积累，最终触发拥塞甚至保护性停机。这种连续积累过程是论文区别于“负载超限立即永久失效”模型的重要地方。

Satellite resources

论文把资源定义为一个可扩展向量：

C = {C^(1), C^(2), ..., C^(n)}

可以包括：

• buffer capacity；
• processing ability；
• computing capability；
• link bandwidth；
• power-related resources。

每种资源进一步区分maximum capacity和actual capacity。

Maximum capacity代表理想状态下的设计能力；Actual capacity则随真实运行状态发生变化：

C_vi(t) = f(ζ_vi(t)) C_max

也就是说，卫星的“能力上限”并不是恒定可用的。电源衰减、硬件老化、温度升高、辐射环境以及不同资源之间的耦合，都可能降低当前可用资源。

这个设定把级联故障从纯网络拓扑问题推进到“网络业务—星上资源—运行状态”耦合问题。

State transition

通用框架允许每颗卫星拥有自己的状态集合：

χ_vi = (x1, x2, ..., xm)

具体案例中，作者定义了四种状态。

Normal Operation

卫星正常工作，处理能力、buffer和链路资源可以完整使用。

Congestion Control

当buffer占用超过阈值后，卫星不立即失效，而是进入拥塞控制状态，通过限制邻接链路发送速率和重新路由降低负载。

Performance Degradation

如果高负载持续存在，星上温度和电源状态恶化，实际处理能力下降，卫星进入性能退化状态。

Shutdown Self-check

当buffer完全占满或系统达到保护条件时，卫星暂时关闭业务进入自检/冷却状态。在此期间它不能接收和处理业务，相关流量必须重新路由到其他卫星。

完成恢复时间Δt_r后，卫星可以重新进入Normal Operation。

因此，这里的“failure”不是默认永久性的。卫星可以经历：

Normal → Congestion → Degradation → Shutdown → Recovery → Normal

这使网络产生明显的周期性和波动性，也更接近真实星载系统面对持续高负载时的运行行为。

Initial perturbation

初始扰动负责触发级联过程，框架给出三类。

Permanent failure perturbation

直接让部分卫星进入永久失效状态。例如随机关闭5%的卫星，可以近似模拟硬件故障、制造缺陷或大范围环境事件。

也可以按区域选择卫星，使扰动具有空间特征，例如模拟强辐射环境导致的区域性故障。

Traffic-related perturbation

向网络注入异常业务。例如在某一轨道面注入突发高流量，可以模拟DDoS等恶意流量；也可以让受攻击卫星改变路由信息，引导其他数据经过异常路径。

Complex attack perturbation

对于漏洞利用、控制信号篡改或恶意指令注入等复杂攻击，论文建议把攻击效果映射为资源消耗异常、流量异常或运行状态变化，再由既有load-resource和state-transition机制继续传播影响。

Performance metrics

论文把结果指标分成三个层级。

Network integrity

关注整个网络还能保持多少正常节点，典型指标为Operational Satellite Ratio：

G(t)

它直接反映级联故障对星座完整性的破坏程度。

Quality of Service

从用户角度评价，包括：

• packet loss rate；
• average end-to-end delay；
• network throughput。

这类指标能回答“虽然还有很多卫星没坏，但用户实际上还能不能正常通信”。

Operational efficiency

从网络管理角度观察，包括：

• load deviation；
• total network traffic；
• link utilization。

这些指标用于判断剩余卫星是否出现严重负载集中，以及频繁重路由是否造成额外网络开销。

Simulation algorithm

论文进一步为这个框架设计了一套可执行仿真算法。

核心思想是：每个组件独立执行自身行为，由一个global time统一同步。

Satellite对象保存：

• Keplerian orbital elements；
• resource configuration；
• state vector；
• uplink traffic；
• relay traffic；
• buffered data；
• packet queue。

卫星主要执行两个行为：

Packet_Monitoring_and_Processing()

负责监听buffer，对数据包进行转发、等待或丢弃，并更新负载和资源。

Stateful_Mode_Update()

根据当前资源状态和状态转移条件周期性更新卫星运行模式。

PEC则按地理位置被组织为Regional Entity，用于生成数据包、搜索当前可见卫星并完成上行传输。

整个仿真由多个线程共同运行：卫星分别处理packet和状态更新，不同区域实体产生业务，同时Global Time线程提供统一时间基准。

Global cascading simulation

主程序首先初始化卫星、地面实体和初始扰动，然后启动各卫星处理线程和Global Time线程。

之后在每个全局时间步执行：

1. 更新所有卫星轨道位置；
2. 重新计算网络耦合关系S(t)；
3. 生成并上传地面业务；
4. 卫星独立处理和转发packet；
5. 根据资源条件更新卫星状态；
6. 记录网络性能指标。

因此，轨道运动、用户接入、路由、buffer、资源退化、状态转移和故障传播全部沿同一个时间轴演化。

Case study

案例选择三种不同规模的Walker-Delta星座：

• NeLS：10个轨道面，每面12颗，共120颗卫星；
• Quarter-Starlink：16个轨道面，每面25颗，共400颗卫星；
• Starlink Phase I-a：32个轨道面，每面50颗，共1600颗卫星。

仿真环境明确为Python 3.11.0，硬件为Intel Core i9-12900H和16 GB RAM。

地面业务的空间分布结合全球人口数据和互联网使用率。50%的用户被假定为可直接接入卫星的移动或偏远区域终端，另外50%通过gateway接入。

路由采用集中式minimum-hop策略，同跳数条件下优先选择更高纬度的路径以缩短星间链路距离。

每个地面设备的数据生成速率服从：

U(2.4 Kbps, 2 Mbps)

案例中的卫星资源向量简化为：

C = {Buffer Capacity, Processing Ability, ISL Bandwidth}

实际处理能力进一步受到SOC、温度和辐射剂量影响；实际链路带宽还受到功率状态和SINR相关拥塞退化影响。

初始扰动统一设置为5%的卫星永久失效。

Network performance under cascading failures

三种星座在两个轨道周期内都出现明显级联过程。

从Network Integrity看：

• NeLS最严重时约40%的卫星失效；
• Quarter-Starlink在约0.75个轨道周期后平均维持约36%的失效比例；
• Starlink Phase I-a在一个轨道周期后大致稳定在21%左右的失效比例。

总体上，规模越大的星座表现出更强冗余能力。

QoS同样明显下降。三种星座在级联过程中packet loss平均约15%，average end-to-end delay持续高于689 ms。也就是说，即使网络并没有完全失效，用户端服务质量已经出现严重退化。

Load deviation也随着级联故障扩大而明显增加。因为越来越少的正常卫星需要接管失效节点的业务，负载进一步集中，又会触发新的拥塞和过载。

整个网络的总业务量在级联过程中下降约22%～41%。原因之一是集中式路由能够知道目标卫星已经失效，因此部分数据直接在源端被丢弃，没有继续进入无效路径。

Cascading propagation patterns

三种星座表现出非常相似的传播距离规律：

• 约41%～45%的新故障发生在已有故障卫星的一跳邻居；
• 超过83%的新故障发生在两跳范围内；
• 超过94%发生在三跳范围内；
• 4～5跳传播不足6%；
• 六跳以外没有观察到传播。

因此，级联故障并不是瞬间“全网跳跃式扩散”，而主要通过故障节点附近的局部网络逐层扩展。

这个结果对于韧性设计很重要：故障卫星周围两跳邻域是最需要重点监测和流量控制的区域。

Spatial distribution of failures

故障分布与gateway和业务热点高度相关。

NeLS中的故障主要集中在欧洲、亚洲和北美等高业务区域。Quarter-Starlink中影响范围进一步扩大，但仍围绕gateway密集区域。

到了Starlink Phase I-a规模，故障不仅出现在业务热点附近，还扩展到不同热点之间承担大量跨区域中继流量的卫星。

论文解释为：大规模星座具有更多相邻轨道和中继路径，因此局部拥塞更容易跨轨道传播；但与此同时，更大的冗余又使整体失效比例和波动程度比小星座更低。

Hardware resource configuration reliability

作者进一步分析需要配置多少资源才能使：

G(t) > 0.9

即整个级联过程中至少90%的卫星维持正常状态。

得到的经验结果为：

• NeLS大约需要热点业务需求的4倍资源；
• Quarter-Starlink约需要3.5倍；
• Starlink Phase I-a略高于3倍即可。

规模更大的星座由于节点和路径冗余更强，因此单颗卫星达到同等网络韧性所需的资源冗余比例反而更低。

但论文同时发现，只单独增加buffer、processing ability或bandwidth中的一种效果有限。真正明显提高级联故障抵抗能力，需要三类资源联合增加。

这说明系统级可靠性优化不应该简单理解为“把某一个硬件参数做大”，而要考虑多个资源瓶颈之间的耦合。

Cascading evolution mechanism

结合正文和Supplementary分析，作者把典型级联过程总结为四个阶段：

1. Congestion aggregation
2. Intra-regional failure propagation
3. Inter-regional failure propagation
4. Cascading fluctuation

故障通常从业务高度集中的区域开始。初始卫星失效后，其业务首先压到邻近卫星；邻居同时要承担自己的原有业务和失效节点的覆盖/中继任务，逐步形成局部拥塞。

小星座由于覆盖冗余低，故障更容易在同一区域内反复传播；部分已经恢复的卫星很快又被重新增加的业务压垮，因此整体波动更剧烈。

Mega-constellation拥有更密集的邻接轨道，故障能够更快从一个热点区域向其他轨道和其他热点传播，但大量剩余卫星也可以分担更多流量，使单次级联波动相对平缓。

Resilience implications

论文根据传播阶段给出三类控制重点：

• Initial stage：减小初始故障后的流量重分配压力，避免关键邻近卫星首先拥塞；
• Early propagation：在两跳附近进行主动流量限制和拓扑隔离，把级联限制在局部；
• Large-scale propagation：缩短卫星恢复时间，提高仍然可用的星座冗余。

对于mega-constellation，作者进一步提出几个方向：在gateway密集区域使用虚拟化资源调度形成高容量逻辑节点；发现级联信号后限制跨轨道流量形成containment region；在卫星接近容量上限时，由gateway主动把业务卸载到其他可见低负载卫星。

Framework implementation guidelines

论文强调，这个框架本身不是一套固定模型，而是一个reference framework。

如果研究重点是卫星网络安全，可以主要替换Initial Disturbance模块，构造不同攻击场景。

如果研究资源配置，可以重点修改Load-Resource模块中的buffer、processor、bandwidth和power模型。

如果研究路由机制，可以替换Relayed Traffic中的routing algorithm，而保留组件、状态、扰动和性能指标结构。

这种模块化使不同研究可以在统一建模边界内改变具体算法，避免因为每篇论文从头定义“什么是节点、什么是负载、什么叫失效”而导致结果难以比较。

Comparison with simplified baseline models

作者最后使用NeLS星座重新实现三种已有模型：CR-SIN、MA-LEO和DCF-LEO。

原始模型由于静态网络、永久失效和不同负载定义等假设，得到的级联结果差异很大，彼此很难直接比较。

把CR-SIN和MA-LEO放入本文框架后，加入动态轨道和过载恢复机制，二者的级联过程开始呈现明显的周期波动，其总体趋势变得更接近动态DCF-LEO和本文案例。

但结果仍然不会完全相同，因为不同模型保留了不同PEC、资源和状态假设。

这组对比很好地说明本文工作的定位：框架不会强迫所有研究得到相同结论，而是让研究者能够清楚知道“结论差异到底来自哪个建模假设”。

Conclusion

本文针对卫星网络级联故障研究中建模假设分散、结果难以比较的问题，提出一个由组件与耦合、负载—资源、状态转移、初始扰动和性能指标五部分组成的统一参考框架。

框架进一步配套一套基于组件行为和多线程的仿真算法，使卫星轨道、星地连接、packet流、资源状态和组件运行模式能够在统一全局时间下动态演化。

三种不同规模星座的案例说明，级联故障具有明显动态波动；83%以上的新故障发生在既有故障节点两跳范围内；网络级失效比例之外，packet loss、delay、load deviation和network traffic同样能够揭示严重服务退化。大规模星座虽然可能形成更广泛的跨区域传播，但更高冗余使其整体级联波动通常低于小星座。

这篇文章最重要的价值并不是某一个具体失效比例，而是给出一套相对完整的“级联故障仿真应该建模什么”的结构。它把轨道动力学、业务负载、星上资源、状态变化和网络性能放在同一个分析框架中，使后续模型可以在统一边界下替换路由、资源、攻击和状态机制，并对不同假设产生的安全与可靠性结论进行可解释比较。

论文评价

• 推测的软件工具链： 论文明确说明全部案例使用Python 3.11.0运行，测试硬件为Intel Core i9-12900H和16 GB RAM；算法实现采用面向组件的数据结构、Queue数据包缓存、多线程组件行为和Global Time同步机制。轨道位置由Keplerian elements计算并转换到ECI坐标，网络层还需要动态邻接矩阵、路由计算和packet级处理。论文没有披露具体Python第三方库，因此不宜直接认定使用NetworkX、SimPy、Skyfield等工具；从算法描述看，核心更像作者自研的离散时间/事件混合网络仿真程序。
• 收录原因： 这篇文章抓住了卫星网络级联故障研究中一个很实际的问题：很多论文的结果差异并不是算法本身造成的，而是因为动态轨道、业务负载、资源维度、状态恢复和真实星座场景等基本假设不一致。作者没有继续提出一个孤立的“新级联公式”，而是把这些关键建模因素整理成五部分统一框架，再配套可执行算法和三种不同规模星座案例。对于RESS而言，这种工作能够提高可靠性模型的完整性、可解释性和跨研究比较能力，具有明确的方法论价值。
• 值得借鉴： 五部分框架把“系统结构—行为负载—资源约束—状态演化—扰动输入—结果指标”连接成清晰链路，非常适合复杂系统仿真驱动的安全分析；PSC/PEC的划分把真正参与故障传播的对象和只影响输入负载的环境实体区分开来；负载不是抽象中心性，而是由uplink、relay和buffer共同形成；状态模型允许拥塞、退化、保护停机和恢复，避免“故障即永久失效”的过度简化；案例同时观察Network Integrity、QoS和Operational Efficiency，也说明安全分析不能只看组件失效数量。最后，把已有模型重新放入同一框架比较的实验设计尤其值得借鉴，因为它能区分“方法差异”和“建模假设差异”。
• 可能不足： 本文提出的是参考建模框架，而案例只是其中一个具体实例，因此案例结果高度依赖作者选取的假设。公开的卫星硬件资源参数有限，buffer、processing ability和ISL bandwidth主要依据峰值流量进行参数化，并不等价于真实Starlink星上硬件；用户数据率采用统一分布，路由采用minimum-hop，PEC只简化为用户和gateway，也没有完整覆盖真实业务的昼夜变化、认证、handover、软件任务和更复杂的网络协议。状态转移虽然比传统二状态模型更真实，但仍是四个离散模式，资源变化与星上热、电源和计算硬件之间的映射属于较强简化。多线程算法强调可扩展性，但论文没有给出与成熟网络仿真器或并行离散事件仿真平台的运行效率基准。因此，这篇文章更适合作为卫星网络级联故障研究的建模“骨架”，而不是已经完成高保真工程验证的数字卫星网络模型。