4.5.2 层次分析法（AHP法）
1.基本思路
AHP法是美国运筹学家萨蒂教授提出的一种简便、灵活而又实用的多准则决策方法，于20世纪80年代初传入我国。由于AHP法在许多目标决策问题方面具有优势，目前已在许多领域得到广泛应用。作为一种定性分析与定量分析相结合的决策法，AHP法的基本原理是：首先将决策的问题看作受多种因素影响的大系统，这些相互关联、相互制约的因素可以按照它们之间的隶属关系排成从高到低的若干层次，再利用数学方法，对各因素层排序，最后对排序结果进行分析，辅助进行决策。
AHP法主要用于多目标决策，信息安全风险评估具有多目标决策的特点，因此可以引用AHP法进行信息安全风险评估。
图4-7 威胁配置文件
2.多目标决策的主要特点
多目标决策是指包含两个或两个以上目标的决策。在实际决策工作中，多目标决策非常普遍，其主要特点如下所述。
（1）目标之间的不可公度性
各个目标之间设有一个统一的衡量标准（如经济目标与社会目标之间），因此很难直接进行比较。由于决策对象的多个价值目标之间往往具有不同的经济意义，或者表示不同意义的因素之间量纲可能彼此不同，如对发电站的电能用“千瓦”来计量，而对淹没的农田用“亩”来计量；此外，不同目标相互之间还可能存在冲突，即有的是以最大为最优，有的则是以最小为最优。此外，还有一些目标可能根本无法度量，如服装的款式、建筑物的设计风格等。
（2）目标之间的矛盾性
如果采用某一措施改善其中一个目标，可能会造成对其他目标的损害，如建设与环境保护两个目标之间就存在一定的矛盾性、经济的发展往往会造成环境的破坏、建筑物质量的提高往往带来工程建设成本的增加。因此，要同时满足所有的目标往往很难或者干脆就是不可能的，因此，多数情况下只能求取满意解，或追求主要目标的最优，而其他目标只能追求次优，或干脆予以放弃。
（3）决策人的偏好将影响决策的结果
决策人对风险的态度或对某目标的偏好不同，会极大地影响决策的结果，如同样是日常消费，中年人的消费偏重质量，而青年人的消费可能更偏重款式。
3.多目标决策的基本要素
多目标决策包括目标或目标集、属性和决策单元等基本要素。
（1）目标或目标集
人们想要达到的目的。对一个决策问题而言，目标可以看做决策者愿望和需要的直接反映。目标可以是多层次的，一个决策问题的所有目标的集合构成其目标集。
（2）属性
是用来表示目标达到的程序和评价指标，是一个反映目标特征的量。一个属性的要求是要易于测量和理解，属性取决于决策问题本身。
（3）决策单元
是决策过程中决策者、分析人员、计算机等的结合，以共同完成收集资料、处理信息、进行决策等活动。
4.多目标决策的目标体系
多目标决策的目标体系包括以下三种常用类型。
（1）单层目标体系
各个子目标同属于一个总目标，各个子目标之间是一种并列关系，如图4-8所示。
图4-8 单层目标体系
（2）树形多层目标体系
目标分为多个层次，每个下层目标均隶属于一个且仅隶属于一个上层目标，下层目标是上层目标的更加具体的说明，如图4-9所示。
图4-9 树形多层目标体系
（3）网状多层次目标体系
目标分为多个层次，每个下层目标隶属于某几个上层目标。如图4-10所示。
图4-10 网状多层目标体系
5.AHP法主要步骤
AHP法是处理有限个方案的多目标决策问题时最常用和最重要的方法之一，其基本思想是将复杂的问题分解为若干个层次，把决策问题按总目标、子目标、评价标准甚至具体措施的顺序分解为不同层次的结构，然后在较低层次上通过两两比较得出各因素对上一层次的权重，逐层进行，最后利用加权求和的方法进行综合排序，求出各方案对总目标的权重，权重最大者认为是最优方案。
在运用层次分析法解决实际问题时，主要包括以下步骤。
（1）分析系统各因素间关系、建立递阶层次结构模型
建立递阶层次结构模型的目的是在深入分析实际问题的基础上，建立基于系统基本特征的评估指标体系，它的基本层次有目标层、准则层和措施层，如图4-11所示。其中，目标层是指问题的最终目标；准则层是指影响目标实现的准则；措施层是指促使目标实现的措施。同一层的诸因素从属于上一层的因素或对上层因素有影响，同时又支配下一层的因素或受到下层因素的作用。
图4-11 层次结构模型
（2）构造各层次的判断矩阵
判断矩阵的作用是在上一层某一元素的约束条件下，对同层次的元素之间的相对重要性进行比较。萨蒂引入9分位的相对重要的比例标度，构成一个判断矩阵，重要性标度值如表4-8所示。
表4-8 1～9标度的含义
各元素之间依据表4-8得出的数值构造判断矩阵A（称为判断矩阵）。
这样，层次结构模型可以通过成对比较给出各层元素之间的判断矩阵。
（3）层次单排序及一致性检验
判断矩阵A对应于最大特征值maxl的特征向量w，经归一化后即为同一层次相应因素对应于上一层次某因素相对重要性的排序权值，这一过程称为层次单排序。构造判断矩阵的办法虽然较客观的反映出一对因子影响力的差别，但综合全部比较结果时，其中难免包含一定程度的非一致性，故还要对判断矩阵进行一致性检验。
①最大特征值具体计算方法
a.将判断矩阵的每一列元素作归一化处理，其元素的一般项为
b.对各列归一化后判断矩阵按行相加
c.相加后的向量再归一化处理，所得的结果即为所求特征向量
d.通过判断矩阵A和特征向量w计算判断矩阵的最大特征值maxl
式中iAw)(代表向量Aw的第i个元素。
②进行一致性检验
其中，n为判断矩阵的阶数。
其中，RI为随机一致性指标。
对于1～9阶矩阵，RI见表4-9。
表4-9 随机一致性指标
若CR<0.1，认为判断矩阵有满意的一致性，否则对判断矩阵进行调整。
（4）层次总排序及一致性检验
层次总排序是指每一个判断矩阵各因素针对目标层的相对权重，即计算最下层对目标层的组合权向量。
设上一层（A层）包含m个因素，它们的层次总排序权重分别为a1,a2,...,am；又设其下一层包含n个因素，它们关于Aj的层次单排序权重分别为b1j,b2j,...,bnj （当Bi与Aj无关联时，bij=0），则B层中各因素关于总目标的权重计算按（4-7）式进行，即
最后再做组合一致性检验，若检验通过，则可按照组合权重向量表示的结果进行决策，否则需要重新考虑模型或重新构造那些一致性比率大于0.1的成对比较阵。
6.实例分析
下面根据图4-12所示的风险分析模型，对其中的威胁识别应用AHP法进行分析。
图4-12 风险分析模型
（1）建立威胁风险分析的递阶层次结构模型
在参考了GB/T18336-200、GA/T390-2002等标准后，把造成威胁T的因素分为环境因素
T1和人为因素T2。根据威胁的表现形式，环境因素细分为场地T11、软件T12、硬件T13，其中场地包括周边环境、配套设施、供配电等因素；软件包括系统软件、数据库和应用软件等因素；硬件包括主机、记录介质、外设、网络设备等因素，同时把人为因素T2细分为无意T21和恶意T22，其中无意可以包括管理混乱、无作为、操作失误等因素；恶意可以包括病毒、越权滥用、黑客攻击、物理攻击等因素，威胁风险分析层次结构见图4-13。
图4-13 威胁风险层次结构图
（2）构造各层次的判断矩阵
对各层次因素进行两两比较后建立的各层判断矩阵如表4-10～表4-12。
表4-10 T层判断矩阵
表4-11 T1层判断矩阵
表4-12 T2层判断矩阵
（3）层次单排序及一致性检验
由判断矩阵，利用公式（4-3）求出各层次因素的权重，再利用公式（4-5）、公式（4-6）、公式（4-7）对矩阵单层次的一致性进行检验，见表4-13～表4-15。
表4-13 T层权重
其中，λmax=2，CI＝0，CR＝0，CR<0.1满足一致性要求。
表4-14 T1层排序
其中，λmax=3.008，CI＝0.004，CR＝0.0069，CR<0.1满足一致性要求。
表4-15 T2层排序
其中，λmax=2，CI＝0，CR＝0，CR<0.1满足一致性要求。
（4）层次总排序及一致性检验
由公式（4-7）求出各因素的总权重并排序，如表4-16所示。
表4-16 各因素总排序
CI总=0.024，RI总=0.348，CR总=0.069，CI总<0.1满足一致性要求。
通过上述分析和计算表明，对于信息安全威胁影响较大的因素是机房场地、无意过失。因此，在安全建设方面应该加强对机房的供配电、配套设施、周边环境、机房防护的建设；同时还要加强对于信息安全的管理，比如制定相关的制度来避免信息安全管理的混乱。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
