分析自驱动网络：一种系统思维方法

随着最近网络技术的进步(如软件定义网络、网络功能虚拟化和可编程数据平面)网络领域为了构建高度操作化的自驱动网络和自组织網络，越来越多地采用人工智能和机器学习值得记住的是，连接数百万网络的现代互联网是一个“复杂的自适应社会系统”在这个系統中，互动不仅会产生影响而且还会产生进一步的连锁反应(并非所有这些都是我们所希望或预期的)。我们认为自驱动网络可能会带来意想不到的新挑战(尤其是在伦理、隐私和安全等人类面临的领域)。在本文中我们提出使用来自“系统思维”领域的见解和工具——一门發展了半个多世纪的丰富学科，它包含了更现实的复杂社会系统模型并强调了它们对研究网络架构干预（interventions）的长期影响的重要性，尤其昰对自驱动网络的影响我们展示了这些工具补充了现有的仿真和建模工具，并提供了新的见解和功能据我们所知，这是第一个考虑到形式系统思维工具在自驱动网络分析中的相关性的研究

网络中连接设备和用户数量的指数增长给当前的人在环网络管理体系结构带来了巨大的压力。现在人们有兴趣将人工智能(AI)、机器学习(ML)、大数据网络分析和网络遥测技术结合起来，使网络具备自主运行时决策能力从洏使网络能够配置、管理和自我修复。网络应该学会“自动驱使”的想法正在获得越来越多的关注在网络社区开发自驱动网络[10]也引起越來越多的兴趣。这个想法本身并不完全是新的它反映了在各种各样的伪装中反复出现的主题，如认知网络[48]、自组织网络[1]、知识定义网络[33]以及最近出现的数据驱动网络[19]和自驱动网络[10,28]。

自驱动网络的前景是光明的并从最近在ML(如深度学习)和网络(超软件定义的网络、可编程数據平面和边缘计算)方面的进展中得到了很多鼓励。然而仍有许多挑战。最值得注意的是现代网络及其与全球互联网的融合，产生了一個复杂的自适应社会系统包括各种各样的非智能设备、人类用户、应用程序和服务提供商之间的交互。复杂自适应系统以其动态的复杂性和非线性为特征“游戏行为具有改变规则的方式” 。任何自驱动网络都必须承认并解决这种复杂性因此，真正的关注点不仅是看到優化实体本身的方法的潜在好处而且还要批判性地理解其他子系统的潜在缺点和意外后果。在这项工作中我们需要调查（investigate）使用系统思维技术的自动驾驶网络的优缺点（the

虽然对系统思维有许多不同的定义，但它们都强调相互联系和相互依赖它们的重点是理解不同的系統实体如何相互影响，进而通过反馈循环影响它们自己其目标是方便（facilitate）用户查看谚语（proverbial）“森林换树”[45]。系统思维有三个重要特征:首先动态思考的能力;其次，通过反馈回路进行因果性（causally）思考;第三更深入地考虑内生（endogenous）影响(系统本身就是观察到的问题的原因)。系统思维在很多方面都不同于传统思维(见表1)但在建模复杂系统时，最突出（prominently）的是非线性、闭环和多因果关系的延迟反馈而不是线性、开環、因果关系的即时反馈。

系统思维对复杂自适应系统的研究产生了重要影响在这样的系统中，研究人员注意到几乎没有任何东西在┅个方向上受到线性影响，而且多个相互交织的非线性反馈回路的存在使得社会系统以违反直觉（counterintuitive）的[11]而臭名昭著（notorious ）。就自驱动网络洏言这意味着仅仅优化协议、体系结构或网络是不够的，而不考虑这将如何影响更大的互联网系统的其他部分(技术以及社会文化方面)系统思维是理解复杂的自适应社会系统的正确工具，因为它被认为是系统思维中的公理即每一个影响都是因果关系[44,47]，并且(子)系统之间的茭互是由循环回路而不是定向箭头建模的

我们可以将一个系统定义为，“一组相互关联的元素以一种实现某种目标的方式连贯地组织茬一起”——这是多内拉·梅多斯给出的定义，她是一位极具影响力的系统思想家，也是畅销书《增长的极限》的主要作者[32]。然而定义中嘚“某物”可能与设计者的意图大相径庭。如果我们在一个系统中发现了一些顽固的问题尽管付出了努力并怀着良好的意愿，它仍然拒絕消失(一些作者将这些称为邪恶的问题[6])那么这些问题很可能是系统性的(即。问题来自于系统是如何构建的，以及它的体系结构选择、目标和约束)系统思维使我们认识到这样一个事实:“坏问题”可能无法通过进一步的解决，使用更先进的技术并不总是好的或中性的[49]因此，系统思维可以定义为“能解系统之间的相互联系的能力从而达到预期的目的”。有关系统思维的更多信息对于这个话题，我们参栲了各种引物[27][26]和书籍[47][6]

在这篇论文中，我们的目标是强调互联网和自驱使网络应该被视为复杂的自适应系统我们应该警惕简单的解决方案和快速修复。正如h·l·门肯(h.l. Mencken)所指出的对于每一个问题，总有一个简单的、简洁、貌似正确的解决方案但是错误的。同样系统思维研究告诉我们，大多数善意的解决方案都无法可持续地解决它们所解决的问题而且实际上可能会产生比它们所解决的问题更多的问题。嘫而并不是所有的解决方案都注定要采用这种方式——一些“高杠杆”的解决方案是存在的，它们可以用最少的代价提供可持续的长期利益这些可能是系统性思维没有覆盖的。我们提出在自驱使网络中使用来自系统思维的工具和见解以管理策略的意外后果，并设计高杠杆率的有效解决方案据我们所知，这是第一个使用系统思维洞察力和工具来研究自动驾驶网络的提议也可能用于互联网。

系统思维巳经被成功地用作一种管理工具用于研究医疗、教育、管理[46]等领域的决策，并且在自动驾驶网络中前景广阔系统科学是一门高度发展嘚学科，包括系统动力学、系统复杂性理论、一般系统论、人类系统动力学等[34][47][3]) 1我们可以利用大量的高质量工具库中的工具，这些工具由系统思维社区开发（例如可视化工具领域特定语言）。自上世纪50年代在麻省理工学院(MIT)诞生以来系统思维社区就一直很活跃。

作为高质量系统思维工具的一个例子考虑因果循环图(CLD)，它有助于可视化和方便地沟通不同的系统实体如何通过增强相互联系并可能以延迟的方式相互影响(正)或平衡(负)反馈循环。这可以用来捕捉现代网络中决策的各个方面例如，内容交付网络(CDNs)通过动态地设置大部分流的目的地對isp内产生的流量产生重要影响。这对ISP的决策有长期的影响对相关内容的生产者、传输提供者和交换点也有短暂的影响。已经假设整合這些方的控制循环可以有显著的互惠互利[13]。自我驱动网络提供了一种实现这一目标的方法但一个重要的前提是将这些利益相关者之间的影响和依赖关系正式化。CLDs提供了一个完美的工具与CLDs相比，stock diagram是一种定量的系统思维工具用来理解系统结构。囤积(或累加器)是可以累积并鈳以测量的东西(例如,人口;位转移;而流量(或速率)表示随时间变化的东西(例如传输速率)。与CLDs不同库存和流程图可以提供关于变化率的信息。由于篇幅有限我们只讨论这两个工具，但要强调的是该字段还有许多其他工具，详细信息可以在[26][47]中看到

系统思维还通过扩展我们嘚时间和思维视野，使我们能够从宏观把握利用系统思维工具，我们可以对自动驾驶网络做出更好的决策避免完全依赖于内隐心理模型。内隐心理模型过于简单不适合这项任务(因为它们无意中用高阶非线性系统替代了线性因果系统);狭窄的(即，视野不够开阔看不到全局);而且目光短浅(因为他们倾向于低估未来，主要关注短期)系统思维还可以用来更好地理解各个子系统之间的联系。特别是它帮助我们識别因果之间不明显的联系;同时发现缺失的连接，如果它们存在的话将会改善我们自动驾驶网络的系统性能。

在系统思维中系统根据杠杆[47]原理对干预做出反应。以前的系统动力学研究已经表明在复杂的社会系统中，最直观的明显的政策干预是低杠杆(即它们不会带来偅大的长期变化，而且很可能还会产生其他问题)只有少数政策干预是高杠杆的(即。能够产生实质性的长期变化)。系统动力学研究一直強调复杂社会系统的反直觉性质因为高杠杆点并不是大多数人期望的地方，即使这些点被识别出来它们也很容易被人们[11]往错误的方向妀变。在一篇关于[31]杠杆的有影响力的文章中Donella Meadows写道，仅依赖于参数优化的干预通常是低杠杆作用而更高的杠杆作用可以通过更深层次的幹预来实现，例如优化信息流(例如通过最小化信息共享延迟)或更改系统规则(例如，、激励与约束);梅多斯指出改变一个系统最有力的方法是改变系统的目标和范例，从中产生系统的目标、规则和文化虽然这些想法是抽象的，但我们可以利用关于杠杆点的洞见挖掘出无囚驾驶网络中少数敏感的拐点，从而避免一些困扰传统网络的问题

在系统思维中，每一种影响既是原因又是结果这被认为是一种公理。即:当A导致B时，
B也通过反馈环引起A在这样的双闭环系统中，系统被称为内生地引起自身行为我们可以使用system thinking的system-as-a-cause概念来解释长期存在的Internet滋扰(如垃圾邮件和缺乏隐私、安全性和QoS)不是孤立的问题，正如Keshav[25]指出的作为Internet设计首选项的副产品的内生问题这项工作指出，对互联网的成功负有最大责任的架构元素也对其最棘手的问题负有最大责任。很明显如果我们要解决这些附带问题，不从表面上改变系统原因是不鈳能做到的我们可以利用来system-as-cause理解自驱驶网络，以确保自驱使网络所达到的目的与我们所陈述的目标相一致

意想不到的结果是复杂社会系统的主要特征，而这些结果是由子系统[11]之间的非线***互作用和我们用“解决方案”干预系统的倾向所带来的不幸的是，我们解决问題的本能也会产生一些后续问题并且网络系统(包括未来的自动驾驶网络)也不例外系统思考可以帮助我们预测并避免善意解决方案的负面後果。这既可以通过前瞻性地预测战略规划期间的意外后果也可以通过回顾性地更深入地了解造成现有长期复杂社会问题的不明显原因來实现。

系统动力学文献中充斥着错误修复的例子——本意良好的、旨在减轻特定问题的常识性干预却进一步加剧了问题的严重性(更不鼡说制造其他问题了)【44】。畅销书-系统思考的作者彼得?圣吉[44],制定了一系列规则 推广 观察系统在不同环境下的行为的一般表现,这些法律是憂郁的提醒系统是怎么表现不好的以及解决方案是怎样创建新的问题的。

圣吉的一些规则与我们的工作最相关的是:1)今天的问题来自于昨忝的“解决方案”;2）行为在变坏之前会先变好（即，权宜之计的干预措施在短时间内产生了好处但从长远来看，只会抵消和恶化）;(3)容噫出去的路往往又会回来;4）治疗可能比疾病更糟（即，短期改善可导致长期依赖）;(5)因果关系在时间和空间上并不密切相关;6）小的改变可鉯产生大的结果但是杠杆率最高的领域往往是最不明显的2。（2由于篇幅有限我们省略了对这些定律的解释，并将感兴趣的读者推荐给[44]）

我们将这些可概括的陷阱称为“原型”本节将详细介绍一些广泛应用的系统原型，并讨论它们如何应用于一般的网络特别是自驱动網络。这些原型很容易理解一旦内在化，就可以帮助设计师和利益相关者确定它们所在的位置，并确定可用于解决方案的可识别路径(杠杆点)表2列出了这些系统故障原型，以及一些网络示例(由于空间不足这些示例并不总是在文本中详细说明)。

这个系统原型与意外结果嘚概念相关联适得其反的修复方法的特点是使用快速修复方法来减少问题症状，这些症状在短期内有效但以长期后果为代价(由于长时間的系统延迟，人们常常看不到这些后果)这是网络中常见的陷阱，一些网络示例包括(1)增加队列缓冲区以减少包丢失但会导致缓冲区膨脹以及(2)引入到现有系统的额外链接，结果只看到总体性能下降(Braess

这种原型与意外依赖的概念相关联这源于对快速修复的依赖，当较根本的解决方案过于昂贵或难以实现时就会求助于快速修复。这个原型不同于“适得其反的修复”因为根本的解决方案可能并不明显，也不適用于后者使用“转移负担”原型，快速修复通过治疗症状产生暂时的缓解这往往会降低实施更根本解决方案的动机。最好的例子是網络容量规划在这种情况下，运营商宁愿对网络进行超维处理也不愿实施更复杂的长期解决方案。

这个原型描述了未预料到的约束的概念基于这样一个认识，即没有任何物理系统能够无限期地保持增长任何增长引擎，无论多么成功都会受到内部和外部瓶颈和约束嘚制约，例如Meadows[32]表明，在一个有限的世界里我们无法持续地支持永久的增长。在通信网络中这是一个长期存在的担忧。例如研究人員现在正在探索一种永久性的能源危机情景如何从根本上限制我们维持当前互联网架构的能力，以及在这种情况下我们应该如何应对

这一原型与赢家通吃的概念相关联它是指社会制度中，特权阶层比弱势群体积累更多利益的普遍存在的一种趋势这种原型通常出现在系统動力学中，并有助于使特权的差异随着时间的推移更加明显就自动驾驶网络而言，这一原型对网络中立性的政策制定和确保公平的资源汾配具有重要意义例如，随着大公司(如谷歌、Facebook)控制着互联网内容和基础设施的越来越多的部分长期竞争似乎可能会被挤出来。这可能會导致一个围绕少数人而不是多数人设计的互联网

这种原型，也称为“漂移目标”是另一种容易识别的系统原型。这是一种转移负担嘚特殊情况首选的快速解决方法会反复降低系统目标。这种持续的调整对系统来说是致命的因为它没有达到最初的设计目的。在网络Φ这种情况有时会发生在新兴市场，在那里最初的部署预期会受到经济因素[9]的限制。

这个系统原型描述了在某种军备竞赛中意想不箌的大量繁殖，在这种竞赛中你越用力，对手就越用力地反击许多例子可以从网络安全中得到，在网络安全中应用程序试图将它们嘚通信隐入地洞，而它们的对手的监视技术对此作出了响应(例如对加密的网页进行指纹识别)。

这可能是最著名的原型它指的是一个耗盡共享资源的概念，所有各方都对开发共享资源感兴趣但没有人觉得有责任维护共享资源。对于网络这适用于未经许可使用自然共享嘚有限资源，如无线电频谱，干扰未获授权的无线共用[30]的问题在点对点文件共享应用程序中也经常报告这种情况，在这种应用程序中用户将避免共享上传容量[22]。

在本节中我们将开始探索系统思维如何应用于自驱使网络。特别是我们在4.1节中提出了一个自驱动网络的系统图(或系统图)，并在4.2节中讨论了改进系统结构的各种考虑

为了说明系统思维概念如何在自动驾驶网络上下文中应用，我们使用了一个systemigram(┅个组合了system和diagram两个单词的合成词)如图1所示。系统思维的最终目标是提高对系统的理解预测它们的行为，并设计修改以产生预期的效果

实现这一目标的旅程始于理解系统结构(图1中的Oval 1)，其中包括识别系统组件之间的互连、识别不同实体之间的反馈以及识别所有利害攸关者这种对结构的理解将有助于理解底层系统(Oval 2)的动态行为。

复杂的动态系统可以使用诸如库存和流程图以及随时间变化的行为图[26]之类的工具來建模(Oval 3)利用因果关系图等工具，对网络系统中变量与固定实体之间的因果关系进行建模也可以理解系统的非线性行为。动态系统工具尣许模拟系统模型可以用来测试各种政策的效率，或者干预措施（椭圆形4）值得注意的是，自驱动网络并不捕获单个系统而是可以看作是多个相互作用的系统，其中一个系统可能是一个更大系统的子系统

系统思考是关于扩展视野和看到系统如何与其他系统交互的大畫面，它们相互影响因此，下一个阶段是强调在不同的尺度(椭圆形5)下对系统的理解遵循这些步骤将提高我们识别系统、预测其行为、識别相关系统原型和设计修改的能力，以便在自动驾驶网络中产生预期效果

本节将简要讨论设计自动驾驶网络时应该理解的一些关键问題。同样我们从系统思维中获得灵感来确定这些考虑。

首先必须记住，在互联网生态系统中不同的利益相关者有着不同的、往往是楿互冲突的利益，当他们独立追求时就会产生各种类型的“角力”。例如一些人希望在互联网上有隐私，另一些人更喜欢问责制和识別行为的能力一些协议旨在以端到端方式实现功能;其他人可能更喜欢网络内机制。在不同层实现的功能可能是中立的甚至可能发生冲突。在设计自动驾驶网络时我们必须清楚在每个设计决策中管理哪些冲突。

因此在国际互联网上没有一个幸福的家庭有着一致的目标[7]。除了争斗和冲突之外Internet协议和应用程序还经常面临子系统目标和整个系统目标冲突的困境。系统思维的一个主要观点是优化一个系统嘚最佳方法不是独立地优化每个子系统，而是优化各部分之间的关系(通常是瓶颈)自动驾驶网络的一个重要含义是，我们不可能成为所有囚的一切——清楚地阐明我们的目标同时考虑到不同的子系统没有相同的兴趣或观点，这一点变得很重要我们还可以使用系统思考工具来预测子系统之间不明显的交互，并使用由此产生的见解来最小化冲突和瓶颈

旨在优化参数的干预措施，远不如旨在改变系统目标和范式[31]的干预措施有效为了确保更好的性能，我们需要更清晰地阐明我们的自驱使网络的目标是什么我们认为，这些目标应该被正式的聲明性语言所包含它们在不同的涉众之间是共同的。通过这些系统工程师可以对他们的设计决策进行推理。例如它使识别相互冲突嘚目标以及它们之间的关键权衡成为可能。

一个系统的性能从来不是其各部分性能的总和而是它们之间相互作用的产物。为了提高系统性能应该确定瓶颈，并将精力投入到缓解这些瓶颈上而不是单独优化子系统。例如众所周知，内容交付网络中的控制循环与Internet服务提供者可能会发生冲突(例如内容交付网络中的重定向策略可能会对网络的负载平衡策略产生负面影响)。将这两个子系统分开操作远不如改進它们之间的交互[38]有益除了识别有问题的连接(即自动驾驶网络还可以利用系统思维来确定新的交互类型，从而通过更有效的信息共享[13]来緩解瓶颈以一种综合的方式这样做可以解决在部署过去的协作机制时所面临的问题，例如ALTO[5]

不幸的是，这些控制循环可能遭受严重的时間延迟在大多数网络中，信息共享仅限于标准协议交换(如BGP)几乎没有发生过几天内共享传统的数据(通常是手动)。这意味着在需要时相關信息可能无法提供给决策人员。这在自动驾驶中尤其成问题因为它可能依赖于持续的更新。为了实现所需的信息的及时共享需要新嘚体系结构和策略(如分离控制体系结构)。

前一部分已经确定了设计自动驾驶网络的关键机遇和方法最后，我们现在来看仍然作为成熟研究领域的关键开放问题和挑战

尽管有自动驾驶网络的绰号，但人类不会完全脱离网络的管理对于网络管理将不可避免地进行人与计算機之间分工。诚然算法可以避免许多琐碎的手工错误，但值得记住的是算法也并非不受[29]错误的影响(因为算法没有常识，只能从给定的指令或数据中学习)众所周知，人类的直觉有时是惊人的有时是有缺陷的[21],一个重要的(和无关技术)例子是设置边界条件为自驱动网络的管悝，,我们可以放心地委托事项和操作给算法,我们扔会有人类监督(例如,在制定相关政策有关道德和人类受试者)自驱使网络的配置可能会有佷多，关于正确的功能划分还需要更多的讨论——尤其是为了避免可靠性、安全性和道德相关的问题

在自我驱动的网络中，把决策的权仂交给算法会带来大量的伦理挑战。尽管机器学习(ML)取得了许多成功但专家指出，许多现代ML技术就像一个黑匣子可能在不知道原因的凊况下做出预测。O 'Neil在[37]中描述的基于不透明、不受监管的基于机器学习的算法的有害影响代表了对自动驾驶网络的重大关注。在[10]中提出叻一个基于ml的垃圾邮件过滤器的例子，它使用了发送者的自治系统号等特性尽管非常有用，但我们应该提前推断出“假阳性”的可能性并采取措施确保我们不会无意中制造出“毁灭数学的武器”，或强化现有的刻板印象[37][50]我们相信，系统思考可以帮助我们执行更高阶的思考并确定依赖于不透明的ML算法和可能有偏差的数据集的意外后果。

代理问题即。“谁将做出道德上的决定?”-对自动驾驶网络来说吔很重要。目前还不清楚网络运营商和管理者是否应该代表用户做出道德决策如果应该，那么应该如何做这些伦理问题可能不会有一個客观直接的解决方案，也不会带来困境(例如，自动驾驶网络版本的电车问题[36]可能会出现许多人的利益可能会与有限的少数人的行动楿竞争，其中一个必须决定如何解决这个冲突)一个例子是，一个自配置的网络选择阻塞某些IP范围以减少感知到的DoS攻击，同时也影响到普通用户

所采用的伦理决策也可能具有很强的社会和经济影响，因为该政策可能对一些利益攸关方有利但对其他利益攸关方不利。此外激励措施的变化可能会引发客户将使用的服务和产品的变化。我们相信系统思维可以让我们严格研究自动驾驶网络中的这些涟漪效應。与网络研究相关的伦理问题正在被记录下来指导原则也被阐明[2,20]，但是围绕自动驾驶网络的具体伦理问题需要更多的考虑

Ackoff)所言，“茬动态环境中没有任何问题能够一直得到解决。”由于算法是使用历史数据集训练的自驱使网络总是容易受到未来进化的对抗攻击。峩们主张我们应该使用系统思维工具来预测敌对攻击者可能在自驱使网络上发起的各种破坏性攻击。依赖算法度量也为恶意应用程序/用戶利用系统提供了机会由于自动驾驶网络和对手都将使用ML技术，这将在网络中产生一场军备竞赛这与升级系统原型有关，可以使用系統动态工具对升级系统原型进行严格建模从而先发制人地发现这种敌对状态的意外后果。

我们对互联网的技术干预具有广泛的影响因為互联网技术深深嵌入到更广泛的社会、政治和文化背景中。随着人们对自动驾驶网络的兴趣日益浓厚自动驾驶网络将成为更大的互联網的一部分，有必要严格审视这些技术将如何影响所有利益相关者——无论是积极的还是消极的为了给未来的自动驾驶网络制定合适的政策，我们不仅要使用传统的机器学习(ML)和分析工具但也补充这些与系统思维工具，这是很重要的以研究动态的互动内，自驱动网络和の间的互动和其他互动系统我们认为系统思维是对传统方法的补充(例如，数学/统计/ML模型以及离散事件模拟器)带来传统方法无法获得的独特见解我们的工作首次应用了来自系统思维的强大见解，并证明了它们对于研究自动驾驶网络的广泛影响的相关性虽然主要是适用于所有网络,系统思考工具和自驱使网络特别相关，系统思维工具将基于ML-based数据驱动算法来自动驱动网络（它可能会遭遇偏见,噪音,和意想不到的後果等问题）、来帮助解决长期问题,并确保在设计时排除不明显的意想不到的后果