0 引言

地震应急指挥技术系统是国家公共安全平台的重要组成部分，在应对处置地震灾害中发挥了信息枢纽和指挥处置枢纽的重要作用(帅向华等，2009)。在地震应急指挥体系功能不断开放、扩展的当前，实现地震应急指挥技术系统的安全、稳定、持续、可靠运行具有重要意义(李敏等，2018；谭庆全，2023；郁璟贻等，2022)。一旦因断电、断网、设备故障、软件崩溃、计算机病毒或人为误操作等风险因素引起系统故障，将给社会和行业造成严重影响(杨天青等，2010；冀亦默等，2022)，特别是在地震应急响应和国家重大活动安保期间，系统需保持连续高强度的运行。全国应急管理系统应急指挥工作会议中提出，要强化主动感知、快速行动的灵敏反应能力，主动感知风险、研判风险、化解风险。风险评价是系统安全保障工作的基础和重要环节，容灾备份是化解风险的有效手段。对地震应急指挥技术系统运维工作而言，要进一步增强忧患意识、责任意识，强化风险意识，主动感知风险，运用合理的风险评价方法完成风险评价并建立一套成熟、有效的容灾备份机制是科学防范化解、抵御各种风险的有力措施。

在地震应急指挥技术系统传统的运维工作中，一般是发现设备故障后进行维修或用备件替换，或者是设备达到报废年限后购置新的设备替换，这种方式不能主动感知风险、预判风险，如果在特殊时段发生故障可能会导致不可估量的后果。本文以北京市地震局地震应急指挥技术系统为例，开展系统风险评价研究，实现实时研判系统风险点，并针对风险较高的模块建立切实可行的容灾备份机制，从而保障系统的持续稳定运行，对于全国类似系统的运维具有借鉴意义。

1 风险评价与容灾备份概述

风险评价是一种系统性的过程，旨在评估和量化风险，包括识别风险源、评估风险的可能性及其对目标的影响程度，以及确定风险是否可接受。国内外针对风险评价的研究十分丰富，常用的方法有三大类：定量的风险评估方法，定性的风险评估方法，以及定性与定量相结合的风险评估方法(冯登国等，2004)。针对综合系统等比较复杂的评价主体，不能简单地使用定性或定量的方法，而是将两者结合起来，采用综合的评估方法。综合评价法主要包括基于模糊综合评价的风险评估方法、基于D-S证据理论的风险评估方法、基于机器学习的风险评估方法以及基于灰色理论的风险评估方法(冯登国等，2004；张利等，2012)。

容灾备份是在遭遇风险或灾害时保证系统能正常运行、实现业务连续性的一种方式，通讯、网络、医疗、高校等各行各业重要的信息系统、数据中心等都会通过建立容灾备份机制来提高系统或数据抵御灾难的能力，针对不同的主体，容灾备份的方式有所不同。在地震系统内，云南省地震局为建立健全省级地震应急指挥中心信息安全体系，从系统设计、硬件造型、抗侵害的容灾备份、虚拟技术应用等方面综合提出建设对策(李敏等，2013)；山西省地震局基于虚拟技术实现了整个地震应急指挥技术系统的容灾备份，提高了系统的稳定性和可靠性(杨斌等，2012)；安徽省地震局运用磁盘阵列、双机热备份、AIX系统克隆等容灾备份方法解决了地震应急指挥系统数据存储安全性问题(何琳等，2011)。

2 现状分析

地震应急指挥技术系统是一个集工程技术、信息技术、空间技术、地震专业模型、决策支持于一体的综合系统(帅向华等，2009)。行业内对地震应急指挥技术系统整体功能进行风险评价及容灾备份策略的研究较少，已有研究多为应急信息软件类的容灾备份以及硬件的维修维护。北京市地震局地震应急指挥技术系统主要包括应急指挥基础场所、软硬件基础平台、应急视频会议系统、应急指挥软件系统、地震应急数据库五个方面，其承担了地震应急响应、指挥调度、应急通讯、快速评估、辅助决策、应急制图、应急信息服务、安保服务、日常会议保障等重要任务。系统建设完成后经多次升级，应急指挥体系和服务保障能力有了稳步提升，为北京市防震减灾工作开展、国家重大活动地震安全保障等提供了良好的技术支撑。过去20年中应急指挥技术系统历经多次改造，应急指挥基础场所已基本建成现代标准化指挥中心，配备LED显示大屏、智能辅助显示屏幕、工作调度座席等设施，基本满足现代化应急指挥调度的需要，但部分场所设计使用不够合理，有待进一步规划利用；软硬件基础平台实现了大比例国产化更替和扩容，安全性和稳定性更高，但同时也显现出新旧设备交叉共存、设备兼容困难、技术文档资料存在遗漏或缺失的问题，重要设备、系统的容灾备份方案有待进一步明确；应急视频会议系统实现了国家(部)-省(市)-区县(台站)三级联动，支持云视频、移动端融合接入，但在多场景或极端环境下备用系统连通的稳定性不足；应急指挥软件系统采用离线或B/S架构模式，本地化模型不断调整，快速评估等计算能力有效增强，自动化启动、智能化显示系统模块不断完善，为应急指挥提供更有力的科技支撑(谭庆全，2017；赵光等，2022；张伟等，2023；王玉婷等，2024；刘英华等，2024)，但系统功能复杂，缺少全面详细的分析排查，未全面摸清其中可能存在的风险，一旦出现故障人工恢复较为耗时；地震应急数据库构建了地震应急响应专题数据库，但数据更新与备份机制尚不完善，特别是地震应急与重大会议活动地震安保期间，地震应急指挥技术系统要保持7×24h不间断运行，随连随通，一旦发生硬件设备故障、不可预测的自然破坏或人为原因误操作、系统病毒漏洞等一系列风险，都会对防震减灾工作产生巨大影响。

3 风险评价 3.1 模糊综合评价法与步骤

模糊综合评价方法是一种以模糊推理为主的定性和定量相结合、精确与非精确相统一的分析评价方法，其根据模糊数学的隶属度理论将定性评价转化为定量评价，即用模糊数学对受到多种因素制约的事物或对象做出一个总体的评价，具有结果清晰、系统性强的特点(刘晶，2010；张利等，2012)。考虑到地震应急指挥技术系统既包含信息系统，又包含了工程建设方面，影响风险的因素表达比较模糊，经综合考虑本文使用模糊综合评价法对应急指挥技术系统各模块进行风险评价。主要步骤如下：

(1) 建立综合评价的因素集。因素集是以影响评价对象的各种因素为元素所组成的一个集合，通常用U表示，U={u₁，u₂，…，u_m}，m表示因素的个数。

(2) 建立综合评价的结果集。结果集是评价者对评价对象给出的评语或结果的组合，通常用V表示，V={v₁，v₂，…，v_n}，n表示评价结果的数量。

(3) 确定因素的权重集。评价工作中，各因素的重要程度有所不同，为此，给每个因素u_i确定一个权重a_i，各因素的权重集用A表示，A={a₁，a₂，…，a_m}，权重集应满足归一化条件：$ \sum\limits_{i=1}^m a_i=1$。

(4) 建立模糊关系矩阵。若因素集U中第i个元素对评价集V中第j个元素的隶属度为r_ij，则因素集和结果集之间的模糊关系矩阵通常用R表示，即

$ R=\left[\begin{array}{c} R_1 \\ \vdots \\ R_m \end{array}\right]=\left[\begin{array}{ccc} r_{11} & \cdots & r_{1 n} \\ \vdots & \ddots & \vdots \\ r_{m 1} & \cdots & r_{m n} \end{array}\right] $

(1)

(5) 隶属度的计算。式(1)中每个隶属度r_ij由隶属函数计算。隶属函数也称为归属函数或模糊元函数，是用来说明一个集合中的元素是否属于某特定子集合。元素的隶属函数为0~1之间的数值，表示元素属于某模糊集合的“真实程度”，数值越接近1说明属于某集合的程度越大，反之越小。隶属函数通常由三种方法确定：一是模糊统计法，类似问卷调查或专家打分；二是自定义函数隶属度，需要提供已有的客观数据；三是指派常用函数。本研究中应急指挥技术系统风险评价取值自定义为高、中、低三个级别，可考虑使用三角隶属函数，如 图 1所示。三角形隶属度函数呈现三角形的函数形式，α₁、α₂、α₃分别为三角形左、中、右三个边界，分别代表低风险、中风险、高风险三个边界参数，其函数分布为偏小型、中间型和偏大型，公式表示为

$ \begin{aligned} & r_{i 1}= \begin{cases}1, & x \leqslant \alpha_1 \\ \frac{\alpha_2-x}{\alpha_2-\alpha_1}, & \alpha_1<x<\alpha_2 \\ 0, & x \geqslant \alpha_2\end{cases} \\ & r_{i 2}= \begin{cases}\frac{x-\alpha_1}{\alpha_2-\alpha_1}, & \alpha_1<x<\alpha_2 \\ \frac{\alpha_3-x}{\alpha_3-\alpha_2}, & \alpha_2 \leqslant x<\alpha_3 \\ 0, & x \leqslant \alpha_1 \text { 或 } x \geqslant \alpha_3\end{cases} \\ & r_{i 3}= \begin{cases}0, & x \leqslant \alpha_2 \\ \frac{x-\alpha_2}{\alpha_3-\alpha_2}, & \alpha_2<x<\alpha_3 \\ 1, & x \geqslant \alpha_3\end{cases} \end{aligned} $

(2)

(6) 确定评价集。权重集与模糊关系矩阵进行运算，得到模糊评价集B，即

$ B=A \cdot R=\left(a_1, a_2, \cdots, a_m\right) \cdot\left[\begin{array}{ccc} r_{11} & \cdots & r_{1 n} \\ \vdots & \ddots & \vdots \\ r_{m 1} & \cdots & r_{m n} \end{array}\right] $

(3)

(7) 确定评价对象总得分。评价集与级分集进行运算，得到评价对象的最后评价得分，即

$ F=B \cdot S $

(4)

其中，F为评价对象总得分，S为级分集(代表结果集等级的分值组成的集合)。

3.2 风险评价过程

北京市地震局地震应急指挥技术系统涵盖内容丰富，根据功能分为基础场地环境、基础软硬件系统、应急视频会议系统、应急指挥软件系统及地震应急数据库五大功能系统，细分为54个功能模块。对每个功能模块建立详细的性状表格，包括建成时间、组成内容、现状、功能、风险点位说明、风险评价、容灾备份情况、照片等，较为全面详细地展示每个模块的情况。其中，风险评价过程如下：

(1) 根据GB/T 20984—2022《信息安全技术信息安全风险评估方法》和GB/T 20988—2007《信息安全技术信息系统灾难恢复规范》中的规定，风险评估基本要素包括资产、威胁、脆弱性和安全措施，即系统的资产价值，识别系统面临的自然和人为的威胁，识别系统的脆弱性，分析各种威胁发生的可能性并定量或定性描述可能造成的损失，识别现有的风险防范和控制措施。综合考虑指挥中心硬件与软件系统工作运行机制，其风险等级的判定应由模块或设备的资产价值、日常发挥功能的重要性、面临的自然和人为威胁程度高低以及系统或设备本身的脆弱性等多方面决定，最终提取较为重要的六项：模块重要程度、模块故障频度、运行环境可靠性、操作人员熟练度、运行维护机制、使用年限(图 2)。因此，因素集表达为U={重要程度，故障频度，环境可靠性，人员熟练度，运维机制，使用年限}，m=6。

(2) 依据研究目标将风险评价等级划分三等，结果集V={低，中，高}，n=3。系统风险评分F应满足0≤F≤100，F=0表示无风险，F=100表示风险达到极值(最高风险)；单因素评分f应满足0≤f≤100，f=0表示该因素无风险，f=100表示该因素风险达到极值(最高风险)。根据评价等级的划分，将100分平均划分为三等，得到模块风险等级评分标准，如 表 1所示。

(3) 指挥技术系统评价因素的权重由行业内专家根据六项因素在实际业务工作中与风险相关程度打分得到，由于不同模块受威胁的因素有所不同，因此评价因素权重也略有不同。此处给5个功能系统单独设置权重，基础场地环境A₁={0.2，0.2，0.1，0.1，0.1，0.3}，基础软硬件A₂={0.2，0.3，0.1，0.1，0.1，0.2}，视频会议系统A₃={0.3，0.1，0.1，0.2，0.1，0.2}，应急指挥软件系统A₄={0.3，0.1，0.1，0.2，0.2，0.1}，地震应急数据库A₅={0.2，0.1，0.2，0.2，0.2，0.1}，见 表 2。

(4) 以基础软硬件中的中控主机为例，行业专家对该模块6个风险因素给出的评分分别为75、80、40、50、72、90，形成一组评分集合X={75，80，40，50，72，90}。由于模块风险等级评分标准是一个数值范围而非确切的数据，无法直接给定α₁、α₂、α₃的值，此处需要自定义三个边界值来计算隶属度，根据三角形分布式函数的分布规律，α₁、α₂、α₃取为每个评分等级的中值较为合理，因此分别为α₁=16.67，α₂=50.00，α₃=83.33，即评分范围内的数值在达到中值时，此函数的隶属度开始产生变化，根据隶属度函数公式(式2)进行隶属度的计算，即

$ \begin{aligned} & r_{i 1}= \begin{cases}1, & x \leqslant 16.67 \\ \frac{50.00-x}{50.00-16.67}, & 16.67<x<50.00 \\ 0, & x \geqslant 50.00\end{cases} \\ & r_{i 2}= \begin{cases}\frac{x-16.67}{50.00-16.67}, & 16.67<x<50.00 \\ \frac{83.33-x}{83.33-50.00}, & 50.00 \leqslant x<83.33 \\ 0, & x \leqslant 16.67 \text { 或 } x \geqslant 83.33\end{cases} \\ & r_{i 3}= \begin{cases}0, & x \leqslant 50.00 \\ \frac{x-50.00}{83.33-50.00}, & 50.00<x<83.33 \\ 1, & x \geqslant 83.33\end{cases} \end{aligned} $

(5)

式中，1≤i≤6。

隶属度相当于评分数值在“低”、“中”、“高”三种风险中所占的比例(0~1)，当分值越低时越接近低风险，即对偏小型函数的隶属度越接近1，当分值偏向中等时越接近中风险，即对中间型函数的隶属度越接近1，当分值越高时越接近高风险，即对偏大型函数的隶属度越接近1。经计算得出，R₁={0，0.25，0.75}，R₂={0，0.10，0.90}，R₃={0.30，0.70，0}，R₄={0，1，0}，R₅={0，0.34，0.66}，R₆={0，0，1}，根据式(1)得到R_6×3的模糊关系矩阵，即

$ R=\left[\begin{array}{ccc} 0 & 0.25 & 0.75 \\ 0 & 0.10 & 0.90 \\ 0.30 & 0.70 & 0 \\ 0 & 1 & 0 \\ 0 & 0.34 & 0.66 \\ 0 & 0 & 1 \end{array}\right] $

(6)

(5) 对所有指标进行评价，根据式(3)得到模糊评价集B为

$ B=A_2 \cdot R=[0.2, 0.3, 0.1, 0.1, 0.1, 0.2] \cdot\left[\begin{array}{ccc} 0 & 0.25 & 0.75 \\ 0 & 0.10 & 0.90 \\ 0.30 & 0.70 & 0 \\ 0 & 1 & 0 \\ 0 & 0.34 & 0.66 \\ 0 & 0 & 1 \end{array}\right]=[0.03, 0.284, 0.686] $

(7)

其中，数值最大一项0.686对应的隶属度为“高”。

(6) 确定模块总评价得分，级分S赋值为S={0，50，100}，0表示风险最低，50表示风险中等，100表示风险最高，根据式(4)得到总分F为

$ F=B \cdot S=[0.03, 0.284, 0.686]\left[\begin{array}{c} 0 \\ 50.00 \\ 100 \end{array}\right]=82.8 $

(8)

中控主机模块的风险评价总分为82.8，对照 表 1可知此项为高风险。如果该模块为新建系统，故障频率和使用年限对应的因素风险评分较低，假设专家给出的评分集合X={75，10，40，50，72，10}，计算得出风险评价总分F=34.3，属于中风险里偏低的水平。通过类似方法，可以预评估在某种工作状态或时间节点上各模块的风险程度，为降低风险、预判风险、处置风险提供了理论依据。

3.3 风险评价结果

按照上述风险评价的方法和步骤对每一个功能模块进行评估计算，模块风险因素分由10位行业内专家共同打分并取平均值得到，共完成五大功能系统、54个功能模块的风险评价，判定低风险20项，中风险27项，高风险7项，分别占比37.04%、50%、12.96%，详见 表 3。

4 容灾备份 4.1 容灾备份策略研究

GB/T20988—2007《信息安全技术信息系统灾难恢复规范》提出应通过技术和管理手段，防范或控制系统的风险，因此对于应急指挥系统中风险等级处于中等及以上且没有容灾备份措施的功能模块，需提出可行的容灾备份方案或安全运行建议。

由不同模块的权重与专家打分可知，不同模块面临的威胁和脆弱性有所不同，相应的容灾备份方案或措施应有所侧重。对于不同风险等级的模块，在遵循成本风险平衡的原则下主要考虑以下几个方面：

(1) 低风险的日常维护与安全。低风险指的是日常使用频率较低，人为和环境等对其影响不大且本身不易出故障的设备、设施或系统，例如地震应急指挥中心的桌椅板凳、机柜等一般只需做好日常安全与清洁即可，可不必提出容灾备份方案，如出现故障以及时寻求技术维护、维修为主。

(2) 中风险提高警惕，要有对策。中风险指的是模块重要性较高，运维、环境等对应急指挥技术系统的整体有一定程度的影响。例如基础硬件中包含了一部分比较重要的硬件设备，地震应急数据库是地震应急信息服务的基础，对此要警惕其风险点位并提出详细可行的容灾备份方案或安全运行对策。

(3) 高风险重点关注，要有备份。高风险指的是模块重要性高，有较高的运维和环境需求，对应急指挥技术系统的整体影响大或局部十分重要。例如基础硬件中的核心设备、视频会议系统中的关键系统、软件系统中的核心业务软件等，对此要进行重点排查与分析，提出详细可行的防范控制风险方案。

(4) 兼顾信息网络安全风险。应急指挥技术系统与网络信息化密切相关，应急指挥软件系统又是应急指挥产出的关键系统，不仅要考虑数据存储系统备份，还要兼顾考虑信息系统及网络安全等重要问题。对此不仅需要通过加强人员管理、提高风险意识等达到防范人为因素造成的安全风险，还需要通过优化网络运行环境，完成等保测评，多做备份来防范风险(郭权军，2013)。

4.2 容灾备份措施

根据模块风险评分结果和容灾备份策略对不同模块制定差异化容灾备份措施，详见 表 4。

基础场地环境属于非专业的应急指挥技术系统功能，但为指挥中心提供了非常重要的基础保障，总体风险等级偏低，个别达到中等，主要风险源为环境因素和材料的损耗。采取复合保障方案，在场地空间方面，利用现有其他会议室资源实现指挥中心简易音视频配置；电源供应方面，部署了UPS及多台大功率移动电源实现应急设备供电；会议室、设备间均安装烟雾报警器、烟杆喷淋头实时报警系统。

基础软硬件平台提供基础的业务功能，以中低风险为主，个别高风险，风险集中于设备老化，程序配置或衔接不当。实施分级备份，对于应急指挥技术系统运行的关键核心系统和设备，基本实现双机热备、虚拟备份和简易功能备份并行，保障突发状况下关键系统和设备的稳定运行，其他基础系统与设备以实现简易功能备份为主。

视频会议系统属于比较重要的业务功能，是地震应急指挥中心承担视频会议的各类系统，以中等风险为主，风险来自主要设备使用年限，自身故障，软硬件衔接，网络环境稳定性等问题。采取分级备份方案，关键的视频系统实现双系统热备和移动视频系统备份并行，其余一般视频系统实现简易场景备份。

应急指挥软件为重要的业务产出系统，以中高等风险为主，重点防范硬件故障与数据异常。重要系统均实现复制备份或政务云备份，同时优化硬件部署环境及网络环境，进行等保测评，并加强对使用人员的培训。

地震应急数据库是重要的评估和计算数据基础，以中等风险为主，风险突出在网络计算机环境、数据异常、运维机制等。建立多维防护机制，主数据库采用分布式架构部署，重要数据实现镜像备份或政务云备份，定期执行数据完整性校验，强化安全认证，并加强对运维人员的培训管理。

4.3 应用及效益

基于风险评价和容灾备份研究，形成了较为全面的地震应急指挥技术系统风险评价机制和风险防控策略，作为应急指挥技术系统的内部技术规范，运用于应指挥中心日常运维工作。针对北京市地震局地震应急指挥技术系统的运行管理，提出了“低风险有巡护，中风险有对策，高风险有备份”的基本原则。具体是指：针对低风险功能模块，加强日常巡检与养护，防止向中高风险转变；针对中风险功能模块，必须有成熟的解决对策和方案，对于具有关键功能的模块，可以按高风险来对待；对于高风险的功能模块，必须有备份解决方案，即备份系统具备随时上线替代运行的能力。

基于这种全面的风险评价与隐患排查，在做重大项目规划或运维经费安排时便可做到有的放矢，并取得显著成效，有利于未来进一步完善指挥技术系统风险防控体系。例如，针对高风险模块，会优先安排经费支持，在编制北京市巨灾防范工程实施方案时，依据分析评价结果，对所有高风险模块进行了升级改造；针对中风险的模块，在年度运维项目或局科技项目中进行重点关注。

在现实应用效益方面，实现了地震应急指挥技术系统在过去5年连续100%成功运行，成功保障地震应急处置和应急演练80余次、重要视频会议2000余次。需要说明的是，此处的100%成功运行并非指系统从来不发生故障，而是在突发故障时可以用备份策略和机制迅速实现接替，保障系统功能平稳、持续运行，以最大限度减少系统故障带来的不利影响。在应急指挥技术系统、硬件设备或场地运行冲突或突发应急事件时，通过备份机制实现并行工作，提升应急服务保障能力。

5 结论

建立健全地震应急指挥技术系统风险防控体系对地震应急指挥系统的持续平稳运行至关重要。通过开展地震应急指挥技术系统的风险评价及容灾备份策略研究，全面梳理排查，运用模糊综合评价方法实时分析研判系统风险水平，强化了风险意识，建立了相应的容灾备份机制，有效防范化解重大风险隐患。将研究结果运用于日常运维工作及重大项目规划设计中，为保障地震应急指挥技术系统安全、稳定、持续、可靠运行提供了可行的理论依据和技术途径，在坚持稳中求进的工作总基调中，实现高质量发展和高水平安全良性互动，在未来的工作中将继续完善系统实时风险评价机制与风险可视化展示，有效提升应急支撑保障服务水平。