第9链 阿喀琉斯之踵——复杂网络的健壮性与脆弱性

人造的东西通常都会出现错误和故障，但生态系统具有令人惊叹的对错误和故障的容忍性，即便面临诸如造成恐龙等数万种物种灭绝的尤卡坦陨石冲击这样的极端事件，也能安然无恙。生态系统的高度容错性是由高度互联的复杂网络保障的。大自然似乎努力通过互联提高健壮性。对网络结构的这一普遍选择，或许不仅仅是巧合。

健壮性与脆弱性

健壮性与脆弱性都根源于无尺度网络的结构不均匀性。虽然无尺度网络面对故障时并不脆弱，因为故障更多地影响小节点，但这种前所未有的容错性也让它付出了代价，即面对攻击时的脆弱性，因为攻击更多地针对枢纽节点。因此，无尺度网络的结构背后隐藏着阿喀琉斯之踵，即面对故障的健壮性和面对攻击的脆弱性交织在一起。

美国西部大停电与互联导致的脆弱性

丹佛午后的气温飙升到了100华氏度以上，数以百计的上班族冲出写字楼，躲进有冷气的汽车里。加油站里排起长队，等待加油和加冰，交通灯全部停止工作，公共系统只剩下医院和空中交通管制依靠紧急供电系统维持运转，困在电梯里的人们只能徒劳地按着报警按钮。“在炎热的天气里，一座现代化的办公大厦瞬间就变成了暖箱。”一位上班族抱怨道，“没有任何通风装置，也打不开窗户。”

我们很容易忽视自己对现代科技的依赖，但偶尔的技术故障能让我们清楚意识到这一点，譬如1996年夏季的这次故障。当时，从洛矶山脉到太平洋岸边，依靠电力驱动的所有设备全部停机。事实上，在此之前的很长一段时间里，专家们一直在担心1965年导致3000万人失去电力供应长达13小时的美国东北部大停电会再度重演。从金融影响的角度来看，1996年美国西部大停电带来的灾难要大很多。很多人担心电力工业的发展方向可能会导致比我们的预期更为频繁的停电事故，2001年加利福尼亚州的电力供应紧张使得这样的担心更加甚嚣尘上。

与今天的电力系统相比，1965年电网的连接紧密程度要低得多。当时，缅因州的电力系统几乎是一个孤岛，只有一些弱连接与停电的新英格兰其他地区相连，从而得以幸免于当年的大停电。然而，随着这些年来全美对电力的依赖程度越来越深，任何停电事故都会导致大面积的恐慌。阿兰·维斯曼（Alan Weisman）在《哈珀斯》（Harper's）杂志中写道，为了提高稳定性并降低成本，各电力公司逐渐共享厂房和设备，并在突发事故中彼此支援。结果，起初孤立的电力系统彼此连接成巨大的电力网络，形成了地球上最大的人造结构，其电线总长度足够从地球往返月球一次。

今天的电力系统拥有数千台发电机组、数百万公里的电线和超过十亿的负载，这个庞大的电力怪兽内部紧密连接而且非常敏感，一次电力扰动可以在数千公里外感受到。然而，1996年大停电掀开了这个庞大系统的潜在软肋。“拥有一个紧密连接的系统确实能更有效地利用自然资源并降低成本，”负责监管太平洋沿岸西北部地区电力网络的邦威电力管理局女发言人里恩·贝克（Lynn Baker）说道，“但是，这意味着意外情况一旦发生，就会像雪崩一样席卷整个系统。”造成15亿美元损失的美国西部大停电凸显了复杂系统中常被忽视的一个特性：互联导致的脆弱性。

健壮性，保持系统高度可用

所有人造的东西通常都会出现错误和故障。实际上，汽车引擎里的一个元件出现故障，就能让你不得不叫拖车来帮忙。类似地，电脑里一个小小的电路绕线错误，就意味着整台电脑的报废。然而，自然系统却截然不同。在地球整个地质史上，每年有百万分之一的物种灭绝。据估计，当前地球上存活的物种大约有300万至1亿种，也就是说每年约有3至100种物种将灭绝。可是，这样的自然灭绝很少带来灾难性的后果。经过上百万年的发展，生态系统已经具有令人惊叹的对错误和故障的容忍性，即便面临诸如造成恐龙等数万种物种灭绝的尤卡坦陨石冲击这样的极端事件，也能安然无恙。可见，生态系统展示出了人造系统里罕见的容错性。

一般来说，自然系统具有在各种条件下保持运转的独特能力：虽然其行为会受到内部故障影响，却常常能够在非常高的故障率下维持基本功能。这在很大程度上不同于人造系统，后者常常因为单个元器件的故障导致整个设备停止运转。近来，各个领域的科学家们已经意识到自然系统的韧性，并希望能够将其引入到人造系统中。因此，很多领域越来越关注健壮性（robustness）——这个词源自拉丁语“橡树”（robus），是古文明中力量与长寿的象征。

生物学家想要理解细胞在极端条件和内部错误频发时是如何存活和运转的，因此非常关注健壮性。社会科学家和经济学家想要解决人类社会组织在面临饥荒、战争和社会经济政策变化时如何保持稳定的问题，因此非常关注健壮性。健壮性是生态学家和环境科学家的重要议题，由此催生了一系列全球范围内的保护性项目，帮助受到工业发展的破坏性影响威胁的生态系统保持可持续发展。在越来越相互依存的通信系统领域，健壮性是专家们的终极目标。虽然系统组件的故障是难免的，但必须让系统保持高度的可用性。

大多数具有高度容错性的系统有一个共性：其功能是由高度互联的复杂网络保障的。细胞的健壮性隐藏在精巧的调控和代谢网络中；社会的韧性源于错综复杂的社会关系网络；经济的稳定性依靠金融和监管机构构成的灵敏网络；生态系统的生命力来自巧妙设计的物种相互作用网络。大自然似乎努力通过互联获得健壮性。网络结构的这一普遍选择，或许不仅仅是巧合。

健壮网络的容错性

1999年秋，美国国防部的国防高等研究计划署（简称DARPA）立项研究容错性网络。立项指南中写道：“本项目主要关注发展新的网络技术，使得未来的网络能够抵抗攻击并持续提供网络服务。”在我们关于万维网和无尺度网络的研究成果发表几个月后，我正在寻找基金支持我们在该领域的研究。DARPA的立项指南在我们看来正是一个绝好的机会，该项目的目标和我们计划的研究方向完全一致。我们希望无尺度网络同样能在理解网络健壮性方面发挥作用。在11月1日申请截止前，我们准备好了项目申请书，我坐下来和雷卡·阿尔伯特及郑浩雄讨论，并建议大家开始着手研究申请书中提出的一些问题，而不必等待DARPA的反馈。

节点故障很容易让网络分裂成无法相互通信的孤立碎片。例如，同时关闭所有进出佛罗里达州杰克逊维尔市（Jacksonville）与莱克城（Lake City）的高速公路，不仅会让这两个城市变成孤岛，也切断了整个佛罗里达半岛与美国其他地区的高速公路联系。故障造成的网络碎片化是家喻户晓的网络性质，数学家和物理学家都对此进行过大量研究。这个问题的一般化描述是，如果我们随机删除节点，网络在多久之后会变成碎片？要从互联网上移除多少路由器，计算机之间才会无法互相通信？

很显然，删除的节点越多，我们越有可能把大片节点孤立开来。然而，过去数十年对随机网络的研究表明，网络分裂并不是一个渐进的过程。移除少量节点对网络完整性的影响极小，但当移除节点的数量达到某一临界点时，整个系统会忽然分裂成很多小孤岛。随机网络上的故障是一个逆相变的例子：存在一个临界的错误阈值，在阈值之下系统相对完整，在阈值之上网络就会分裂成碎片。

2000年1月，在DAPRA申请书的鼓舞下，我们进行了一系列计算机实验来测试互联网对于路由器故障的容错性。从当时获得的最好的互联网地图开始，我们从网络中随机挑选节点进行删除。为了寻找临界阈值，我们逐渐增加删除节点的数目，等着互联网分裂成碎片的时刻。让我们非常惊讶的是，网络根本没有分裂的迹象。我们删除了多达80%的节点，余下20%的节点仍然连在一起，形成一个紧密互联的簇。这一发现验证了人们逐渐注意到的一个事实：和许多人造系统不同，互联网对路由器故障表现出高度的健壮性。事实上，密歇根大学安娜堡分校的一项研究表明，任何时刻互联网中都有数百个路由器失效。尽管这类无法避免的故障频繁发生，但用户几乎察觉不到互联网服务有明显不稳定。

链接洞察

我们很快就发现，我们观察到的现象并不是互联网独有的。在无尺度模型生成的网络上进行的计算机模拟实验发现，任意无尺度网络都可以随机删除大部分节点而不会引发网络分裂。毋庸置疑，对故障的健壮性是无尺度网络不同于随机网络的特有属性。互联网、万维网、细胞和社会网络都已被证实是无尺度的，表明其广为人知的容错性正是其拓扑结构的固有属性——这对于依赖这些网络的人们来说是个好消息。

故障更多地影响小节点

这种奇妙的拓扑健壮性源自何处呢？无尺度网络的显著特征是存在枢纽节点，这些高连接度的节点将整个网络连接在一起。然而，故障并不区分节点，大的枢纽节点和小节点发生故障的概率是相同的。如果我闭着眼从装有10个红球和9990个白球的口袋里拿出10个球，有99%的可能十个都是白球。因此，如果网络中所有节点以均等的概率发生故障，受影响的更有可能是小节点，因为小节点的数目比枢纽节点多很多。

小节点对网络完整性的贡献极小。如果随机挑选一个机场关闭，被选中的极有可能是大量小机场中的某一个，例如印第安纳的南本德机场。美国的其他地方几乎不会察觉到少了一个机场，因为没有这个小机场，你一样可以从纽约飞到洛杉矶，或者从圣菲飞到底特律。除了需要进出南本德机场的极少量旅客之外，没有人会感到不便。即便多达十个二十个小机场同时关闭，也只有很少一部分航空旅行会受到显著影响。

类似地，在无尺度网络中，故障主要影响大量的小节点。因此，故障不会导致网络分裂。即使随机删除的节点恰好是一个枢纽节点也不会造成毁灭性后果，因为若干个大的枢纽节点构成的连续层级仍然会保持网络的完整性。拓扑健壮性根源于无尺度网络的结构不均匀性：故障更多地影响小节点。

我们的计算机模拟实验留下了一个重要的问题有待解决：是不是所有的无尺度网络都具有同样程度的容错性呢？这个问题的答案并未让我们等待太久。在我们的论文发表前一个星期，我收到以色列拉马干巴伊兰大学的物理教授希洛姆·哈维林（Shlomo Havlin）发来的邮件，他给出了这一问题的答案。作为以色列物理学会前主席，哈维林是渗流理论的世界级专家之一。渗流理论是物理学的一个领域，该领域发展出的一系列工具，今天已经广泛应用于随机网络的研究。事实上，埃尔德什和莱利取得的很多成果后来都曾被研究渗流的物理学家独立地发现。

哈维林很快意识到，无尺度网络对故障必然有独特的反应。他和自己的学生鲁文·柯恩（Reuven Cohen）、科伦·依莱兹（Keren Erez）以及已成为克拉克森大学物理教授的前学生丹尼尔·本-亚伯拉罕（Daniel ben-Avraham）一起，计算将任意网络——随机网络或者无尺度网络分裂成碎片所需要删除的节点比例。

一方面，他们的计算解释了一个广为人知的结果：随机网络在被删除的节点达到一个临界值后会分裂成碎片。

另一方面，他们发现，度指数小于或等于3的无尺度网络不存在这样一个临界值。

有趣的是，我们感兴趣的大部分网络，包括互联网和细胞网络在内，都是度指数小于3的无尺度网络。因此，这些网络只有在所有节点都被删除后才会崩溃，也就是说，实际上永远不会崩溃。

有效的攻击：攻击枢纽节点

在针对世贸中心和五角大楼的9·11恐怖分子袭击事件的第二天，网名为MafiaBoy的蒙特利尔少年被裁定为攻击雅虎、eBay和亚马逊负责，判处在青少年拘留中心监禁8个月，并处以250美元的罚金用于慈善。在宣判前，基尔德·欧莱特法官（Judge Gilled Oullet）表示：“这种攻击削弱了整个电子通信系统。”话虽如此，并且还有许多类似的论断，但MafiaBoy绝不可能对互联网构成威胁。虽然有时能让几个重要网站无法访问，但他的行为完全没有危害到互联网的基础设施。他的攻击所造成的后果根本无法和两年前进行的“操作合格接收机”（Operation Eligible Receiver）预演所预测的潜在影响相提并论。

1997年夏，一款由美国国家安全局开发的战争游戏开始为人们所知。开发这款游戏的目的是测试美国的电子基础设施的安全性能。自相矛盾的宣传稿透露出，国家安全局从各地招募了25至50名计算机专家来协同攻击全国的非保密系统，破坏电力网络、911报警系统等。据称，代号为“合格接收者”（Eligible Receiver）的演习证明，普通水平敌人采用现成的工具就可以发起协同攻击，其潜在破坏力完全能让美军通信系统和其他关键基础设置完全瘫痪。

MafiaBoy的负面效果顶多让人心烦，只不过是无法访问几个流行的在线网站。“合格接收者”的攻击却暴露出美国经济和安全系统的重要命脉遭遇令人担忧的脆弱性。这两种攻击的目标都不是随机选择的，而是直接选择攻击枢纽节点。

丢失枢纽节点，网络变成碎片

通过模拟骇客^[1]逐一攻击互联网最大枢纽节点的行为，我们进行了一组新的实验。就像MafiaBoy和“合格接收者”的专家所做的那样，我们不再随机地挑选节点，而是针对网络中的枢纽节点进行攻击。首先，我们删除最大的枢纽节点，然后是第二大的枢纽节点，依此类推。我们的攻击效果非常明显。删除最大的枢纽节点并没有让整个系统瘫痪，因为剩下的枢纽节点依然能够把整个网络连接起来。然而，在删除若干个枢纽节点之后，分裂效果就很明显了。大片的节点从网络中剥离出来，不再与网络的主体相连通。继续这一过程，删除更多的枢纽节点，我们观察到网络大面积崩塌。当网络受到这类攻击时，在故障情况下明显不存在的临界点突然出现了。删除少量枢纽节点就能让互联网分裂成微小的孤立碎片。

虽然同时关闭圣菲机场和南本德机场很难引起人们的注意，但芝加哥奥黑尔国际机场哪怕只关闭几个小时也会成为报纸头条，因为那会使全国的空中运输受到影响。假如某些事件能导致亚特兰大、芝加哥、洛杉矶和纽约的机场同时关闭，即使其他所有的机场都正常运转，美国的空中运输也会在几小时内陷入停顿。我们的计算机模拟表明，互联网面临着同样的问题。如果骇客成功地攻击了互联网最大的一些枢纽节点，其潜在破坏可能是难以估量的。这并不是互联网协议的错误设计或缺陷所造成的。这种面对攻击的脆弱性是所有无尺度网络的固有属性。

事实上，我的研究组在酵母细胞的蛋白质作用网络上删除高度连接的蛋白质时也观察到了同样的大面积崩塌现象。生态学家在食物网络中删除高度连接的节点时也观察到同样的崩塌现象。两篇后续论文提供了对这一观察的分析支持，一篇来自哈维林教授的研究组，另一篇来自康奈尔大学的邓肯·加莱维（Duncan Callaway）、马克·纽曼、史蒂文·斯托加茨和邓肯·瓦茨。他们指出，逐个删除掉最大的枢纽节点时，存在一个临界点使网络分裂。因此，无尺度网络在面临攻击时的反应类似于随机网络面临故障时的反应。但有一个重要的区别，在无尺度网络中并不需要删除很多节点才能达到这一临界点。让少数几个枢纽节点失效就可以使无尺度网络迅速分裂成碎片。

健壮性与脆弱性并存

在我们将描述复杂网络对故障和攻击的容忍性的论文提交后没几天，DARPA拒绝了我们的申请。但是，论文很快发表在《自然》杂志上并作为优秀论文登上了杂志封面。虽然对DARPA的决定感到很失望，但我并不能指责他们。在2000年年初，没有人能预见到，无尺度网络在我们理解攻击脆弱性和故障容忍性方面的重要作用。在那个时候，只有少数几个科学家知道互联网是无尺度网络这一发现，更没有人去研究该发现所带来的影响。只有在今天，在数十个研究项目的基础上，我们才刚刚开始理解这些发现的结果。

链接洞察

综上所述，这些发现表明无尺度网络面对故障时并不脆弱。然而，这种前所未有的容错性也让它付出了代价，即面对攻击时的脆弱性。删除一些连通性最好的节点就能够使网络迅速瓦解成较小的互不连通的孤岛。因此，无尺度网络的结构背后隐藏着人们意料不到的阿喀琉斯之踵，即面对故障的健壮性和面对攻击的脆弱性交织在一起。

健壮性与脆弱性的并存，对于理解大多数复杂系统行为具有重要意义。模拟实验表明，蛋白质网络在发生随机遗传变异时不会崩溃。事实上，我们可以安全地从重要的细胞网络中删除大量的节点，而不会对器官造成致命伤害。然而，如果某种药物或疾病关闭了细胞中某个基因，而这一基因恰好用于指导合成连通性最强的蛋白质，那么这个细胞就将坏死。类似地，巴塞罗那的加泰罗尼亚理工大学的理查德·V·索莱（Ricard V.Solé）、何塞·M·蒙托亚（José M.Montoya）对食物网络所做的模拟实验也表明，生物系统可以很容易地挺过随机物种灭绝的环境。然而，如果高度连通的关键物种灭绝，生物系统就会迅速崩塌。

加利福尼亚州的海獭是一个经常用于研究的例子。19世纪，人们为了获取毛皮过度捕猎海獭，以致海獭几乎灭绝。1911年，联邦监管机构禁止捕猎这种可爱的生物，随后海獭数量奇迹般地回升。由于海獭以海胆为食，所以海獭的回归导致海胆数量减少。而海胆又嗜食海藻，于是海藻的数量也奇迹般地上升。这使得鱼类获得了更多的食物供给，也避免了加州海岸的退化。可见，保护一个处于枢纽位置的物种，可以显著地改变海岸的经济和生态。事实上，曾以贝类为主的海岸渔业后来被鳍鱼占据了主导地位。

虽然无尺度网络面对攻击表现得很脆弱，但要真正击溃这样的网络，需要同时删除多个最大的枢纽节点，通常要求同时删除多达5%～15%的枢纽节点。因此，骇客可能需要同时攻击并停用数百个路由器，这是非常耗费时间的。虽然互联网看似拥有阿喀琉斯之踵，但其拓扑结构似乎依然蕴含着强劲的抵抗能力，无论面对的是随机故障还是有预谋的恶意攻击。不幸的是，在仔细分析后我们发现，事实并非如此。接下来我们会看到，依靠网络稳定性来抵抗攻击并不保险。

级联故障，复杂系统的动态属性

1996年大停电发生后的初期，人们对其成因有各种猜测，从外星飞船到恐怖袭击，凡此种种不一而足，但最终证实这一事故并非来自有组织的攻击。电线受热膨胀，热量可能来自于少见的炎热天气，也可能来自于过多的电流负载。1996年8月10日15点42分37秒，气温创纪录的一天，俄勒冈州的奥尔斯顿-基勒电线发热膨胀，跌落在一棵树的附近。在一道闪光之后，这条1300兆瓦的线路就瘫痪了。因为电能无法存储，所以这么大量的电流必须立即切换到邻近的电线上。这一切换是自动进行的，电流被吸收到卡斯克德山脉东边的两条电压分别为115千伏和230千伏的低压电线上。

然而，这两条电线在设计时并不是用于长时间负载过剩电流的，高达115%的热功率定额让这两条电线也瘫痪了。在115千伏电线瘫痪后，巨大的电流让过载的罗斯-莱克星顿电线发生了过热，也跌落在一棵树上。从这一刻开始，局面已经无法挽回。麦克纳里大坝的13台发电机组全部瘫痪，导致电流和电压波动，立即在加利福尼亚州和俄勒冈州边界附近将南北太平洋联络线切断。于是，西部互联电网被分割成了孤立的碎片，导致了这场波及美国11个州和加拿大两个省的大停电。

1996年大停电是科学家所说的级联故障的典型案例。在作为传输系统的网络中，局部故障会导致故障所在节点的负载被切换给其他节点。如果切换出的负载小得可以忽略，则可被系统的其他部分无缝承担，故障不会被察觉。但如果切换出的负载过大，超出了邻近节点的容量，这些节点要么也跟着故障，要么继续把负载切换给它们的邻居。无论是哪种情况，我们都将面临雪崩一样的级联事件，其最终破坏程度和范围取决于最初故障的节点的容量和中心度。

级联故障并不是电力网络特有的。一个失灵的路由器会自动提示互联网传输协议将数据包传输给其他路由器以便跳过缺失节点。如果这个失灵的路由器承载了很大的流量，它的缺失将给邻近的节点带来巨大的压力。路由器并不会仅仅因为流量过大而瘫痪，它会简单地让到来的数据包排成一个队列，处理它能处理的数据包，扔掉其余的。因此，给一个路由器发送过多的数据包会形成拒绝服务攻击，只有很少一部分数据包能被这个路由器处理。对于那些丢失的数据包，其发送方由于没有收到数据包抵达的确认信息，只能重新发送这些数据包，这使得网络拥塞进一步升级。因此，删除几个大节点很容易导致互联网出现灾难性故障，就像俄勒冈州跌落的电线导致整个电网故障那样。

级联故障是经济中的常见现象。事实上，很多人将1997年的东亚经济危机（我们将在第14链详细讨论）归咎于国际货币基金组织施加给一些太平洋国家中央银行的压力。货币基金组织限制中央银行向出现问题的银行提供紧急信用担保，这些银行转而向公司施压要求收回贷款。国际货币基金组织，这一金融业最大的枢纽节点的决定最终引发了银行和公司的级联式崩溃。

级联故障在生物系统中同样常见。大到生态环境，小到细胞结构，都可能出现级联故障。事实上，正如我们在海獭的例子中已经看到的，某些物种的消失会导致连锁事件，使得整个生态系统发生大规模重组。类似地，分子浓度的忽然改变可能引发级联事件并最终导致细胞坏死。

显然，如果被扰乱的节点是高度连接的节点，这一局部故障使整个系统瘫痪的可能性会更高。哥伦比亚大学的邓肯·瓦茨的发现支持了这一说法。他研究了一个模型，该模型用于刻画级联故障的一般特征。这类级联故障都可以用同一个框架来描述，既包括电力故障，也包括相反的现象，如书籍、电影和音乐专辑的级联式畅销。他的模拟实验表明，绝大多数级联事件都不是瞬间爆发的，故障可以在毫无察觉的情况下“潜伏”很长一段时间才开始爆发。然而，尝试降低这些级联事件的发生频率会导致不可避免的结果，发生的级联反应将会有更大的破坏性。

除了以上几点，我们对级联故障的理解是非常有限的。拓扑健壮性是网络的结构特性，而级联故障是复杂系统的动态属性，这是一个尚未探索的领域。如果说还有一些尚未发现的定律在控制着级联故障，我也毫不惊讶。这些定律的发现将对互联网、市场营销等很多领域产生深远影响。

将对网络的认识转化为实践

本章讨论的容错性无疑是个好消息。网络健壮性表明，当我们身体里的某些化学物质失灵，导致皮疹或其他轻度不适时，我们仍然能保持正常的机能。网络健壮性解释了为什么我们很少察觉到路由器故障的影响，以及为什么一些物种灭亡并不会导致环境灾难。

然而，拓扑健壮性的代价是面临攻击时的脆弱性。拿走一系列高度连接的枢纽节点会使任何系统崩溃。这对于互联网而言是个坏消息，因为骇客可以据此设计出能危害整个基础结构的策略。这对于我们的经济制度而言同样是个坏消息，因为只要专注于经济背后的网络，任何人都可以设计出让经济瘫痪的策略。因此，本章讲述的研究成果迫使我们承认，拓扑、健壮性和脆弱性无法完全分开。所有复杂系统都有阿喀琉斯之踵。了解到拓扑的重要意义，我们可以更好地认识枢纽节点的作用，这是保护它们的第一步。

2011年9月11日的恐怖袭击同时展现了枢纽节点的重要作用和网络的容错性。袭击目标显然不是随机选择的：那是全美最显而易见的经济和安全象征。恐怖分子希望袭击能够扰乱全球资本主义的枢纽节点。虽然这一袭击导致了美国过去二十年最惨痛的人类悲剧，但恐怖分子最大的目标却并未如愿：击溃整个网络。他们引发的“故障”像雪崩一样持续波及全世界，但除了世贸中心双子塔被摧毁之外，所有的网络都完好地运转——无论是互联网还是交错的经济网络。这形象地展示了中心化的人类设计的脆弱性和自组织网络设计的容错性之间的本质区别。

如果说我们能从“9·11”事件中得到一些科学启示的话，那就是我们仍然远远没有理解健壮性和脆弱性之间的作用。毫无疑问，科学家们最近已经揭示了健壮性的基本原理，我们现在理解了网络在确保系统容错性方面的基础性作用，这是一个重要突破。然而最关键的一步，如何将这一认识转化为实践，迄今仍不为我们所知。没有人能预先估计恐怖袭击引发的连锁损失的程度。事件发生后，人们在惊恐中对视，心中思索着同一个问题：接下来会发生什么？我们究竟有多么不堪一击？所幸，科学家们对攻击和故障的理解让我们能够用科学的语言描述连锁故障和局部瘫痪。因此，只需要将研究资源集中在合适的问题上，我们就能理解这些问题。“9·11”事件让越来越多的人开始关注健壮性和攻击问题，我们对这些问题的理解程度无疑会大幅提高。

[1] 近来，“骇客”（cracker）这个词常被用于指那些利用专业知识怀着恶意进入他人电脑系统的人，他们会关闭他人电脑或进行其他恶意活动。与之对比的是“黑客”（hacker），这个词更多地具有正面意义，他们具有高超的计算机技术，探索我们的在线空间的极限，但并不侵害其他计算机或干扰其他用户。