《信息物理融合的智能电网安全分析》

2021年4月10日-12日，吴文俊人工智能科学技术奖十周年颁奖盛典暨2020中国人工智能产业年会在北京和苏州同期圆满成功举办。西安交通大学副教授张萌受邀在苏州工业园区希尔顿酒店，2020中国人工智能产业年会—青年科学家前沿论坛上发表主题报告《信息物理融合的智能电网安全分析》。

以下为演讲实录：

电力系统大家都知道是国民经济的命脉行业，它的重要性不言而喻，国家也先后出台了政策文件指导电网的网络安全工作。因为电网的重要性在设计之初就具有安全分区、网络专用、横向隔离和纵向认证的特点，长期以来被认为具有较强的可靠性和安全性。

但是近五年来，国际上爆发了很多电网事故，国内也有一些，针对传统电力系统的保护措施并不能完全保障智能电网的安全，电力系统本来是物理隔离的，但是引进很多网络设备，带来了很多不确定性，有三个方面。

第一，比如说通信链路上的冒充、窃听、重放等攻击威胁着电力信息系统。

第二，现在和外部隔离的专用网络内部也证明不是绝对安全的，电力信息系统仍有可能感染病毒。

第三，电网随着分布式储能技术的发展和新能源的发展，电网采集的信息种类和范围不断变多，有很多不确定性。

这个攻击案例就是乌克兰停电事件，这是一个代表性的事件，这是电网史上首次网络供给导致电力系统事故，2015年一次，2016年一次，当时影响并不是特别大，因为俄罗斯和乌克兰有一些冲突只是想给他一些警告。

还有一个攻击案例就是委内瑞拉的停电事件，这是电网史上迄今为止由网络攻击导致最大规模的电网事故。2019年3月份国内新闻报道一周，全世界影响非常大，造成委内瑞拉的20个州全部停电，学校、医院、工厂机场等受到严重影响攻击。当时事发三天之后，委内瑞拉总统在电视直播中表示电网遭受了美国军方的恶意攻击，分为三个阶段，分别是网络攻击、电磁攻击和燃烧爆炸。

我再汇报一下我们课题组当前正在做的研究内容分为三方面，围绕智能电网安全中的关键问题，分析电网的信息物理融合特性，开展攻击检测、数据保护、主动防御和攻防博弈。我们的研究目标是结合电网运行机理并挖掘电网数据特性，通过分析网络攻击行为研究智能电网的安全隐患和防御措施，为电网操作者和管理者提供一些参考。我们的主要思想和清华大学的张宁老师的思想比较像，就是把电网的基于模型的物理规律和数据特征结合起来交叉验证做一些信息物理融合的事。

我们的研究核心是机理分析+数据利用达到系统感知增强的目的，最终实现高效异常检测与防御。主要挑战就是电网的信息系统和物理系统之间耦合关系复杂，信息和物理之间其实是有天然的鸿沟的，之前的计算机系统就是信息系统，一般就是离散事件。而物理系统是典型的信息物理融合系统，物理模型是连续的物理模型，但是两个之间完全是不同的语言，大家都知道它们两个是相互影响，信息系统影响物理系统，物理系统反过来影响信息系统，但是他们两个之间的影响机理是不明确的，这是一个比较大的挑战。

第二个挑战就是针对智能电网的攻击隐蔽性强，而且破坏力比较大。前面讲的两次事故，其实在发生很久之前病毒就隐藏在电网里面了，咱们国家高层在2019年在事故发生之后，高层就组织国内学者去论证咱们国家是不是也存在这个问题。

现在有一些攻击隐蔽性很强，把一些虚假数据注入电网系统，数据可以躲避系统的检测机制，可以伪造系统状态，误导操作人员做出一些误操作，从而可能导致电网发生连锁反应。

攻击检测作为SCADA系统的安全屏障，如果可以提前检测出来就可以避免事故。

以前大家都用基于状态估计和基于估计预测的检测方法，在相当长一段时间内起到了很大的作用，但是最近几年随着电网规模和数据的不断积累，方法其实有很多漏洞在里面，比如说基于状态攻击的方法就是基于检测阈值的，没有建设性的方法指导怎么设计阈值，而且只能用静态分析。基于轨迹预测的方法，检测速度比较慢，而且复杂度高，不利于电网攻击检测系统的分布式实现。

最近几年也有人陆陆续续用数据驱动的方法分析电网的数据，但是很多人都是来自于计算机领域，对电网的物理特性没有特别的熟悉。

这是我们的研究目标和研究方案，我们希望实现足够高的检测准确率和比较高的灵敏度，检测速度快，我们就希望利用充分挖掘量测数据特征的数据驱动检测算法结合电网物理规律对电网数据进行分析和异常检测。

目前比较常用的就是监督学习算法、半监督学习算法、分类器集成学习算法或特征集成学习算法、实时攻击检测的在线学习方法，如果能够拿到数据的话，对你训练出来的模型不断地进行改进和提升。

这是我们基于深度学习的时序检测算法，DBN以一个预先设定的学习速率在训练中不断地更新网络，利用当前更新的DBN网络实现实时地检测潜在的数据注入攻击。

另外就是利用RNN，利用RNN缓存记忆存储数据，应用于大规模的电网信息，利用全连接层将RNN与CNN结合，通过CNN的卷积程序提取的特征信息，再用RNN进行预测，可以看出来显然效果达到非常高的准确率。

相较传统电力系统，智能电网需要采集的信息种类和范围不断扩大，攻击者可能海区或者篡改电网数据，从而损坏电网利益甚至危害电力系统安全，给系统管理者的数据存储和安全保护带来严峻挑战。区块链作为一种分布式记账技术，为解决电网集中式控制导致的高成本、低效率和数据存储不安全等问题提供了解决方案，且在规模较小的电力系统中已有较多成功应用。

澳大利亚Power Ledger通过构建分布式电力交易网络，在新能源当中做了电网数据安全保护的事情，但是目前虽然区块链被应用于微电网和配电网，但是在大型电力主网中运用比较少，所以我们想能不能在这方面做点事。

这是当下的研究现状，从2009到2019年研究不是很多，但是陆陆续续有研究，取得一些成果，用一些比较简单的区块链应用，没有充分考虑电力系统物理性特性。

我们想做一些事，分析电网数据隐私风险及潜在安全隐患，在此基础上设计基于区块链分布式智能电网数据的安全防护系统大概就是这样一个过程，先是进行数据安全隐患分析，通过电力两测值、非对称密钥以及数据副本。再就是做攻击模式测试，就是自己把攻击行为模拟一下，然后再评估攻击效果。

我们当下主要研究的内容是三个方面，第一就是怎么把区块链结构改进与性能提升，就是多链架构和区块链子系统。第二就是数据信息安全保护当中怎么进行数据加密解密以及数据传输，第三就是设置共识机制算法设计包括动态身份认证和矿工选择策略。

具体的操作方式就是对SCADA通信网络进行重新配置，形成基站节点网络及每个基站相对应的传感器节点子网络，将基站节点内的区块链数据分为传输部分和存储部分，分别负责仪表量测值信息的加密、广播、解密、验证、入链等过程，防止电网量测值被攻击者恶意篡改，提升信息采集、存储环境的安全性。

这是具体的技术路线，首先就是基于数据的隐私分析，在做这个东西之前知道攻击怎么破坏电网的，知道攻击的内在行为。第二，在此基础上设计区块链智能电网安全防护系统，主要是区块链的结构设计和智能合约的设计。第三，做好之后怎么对它进行评估，怎么评估好坏。我们做了一些实验和智能活跃的设计，发现如果把电力系统数据全都存进区块链的话，把每一个仪表看作节点封装成去块，可以大幅降低电网数据被篡改概率。

前面的工作是比较被动的，如果你检测到的话，对系统已经造成一定程度的破坏，如果采取主动防御措施是最好的，以前的方法都是工厂学方法，比如说数据检测、故障诊断、故障隔离，因为智能电网信息物理融合的特性，所以最好是想能不能把信息安全方法，比如说流量分析、身份认证、密码技术结合起来做一些信息物理融合的保障安全。

我们目前做的工作因为计算机有移动目标防御思想，思想就是通过不断地变化计算机IP地址，相当于不断变换自己迷惑敌人，让敌人无从下手。智能电网里面有FACTS和D-FACTS就是柔性交流数据链装置，可以调节电网的参数，电网的拓扑会发生微小的改变，改变自身的参数，攻击者设计攻击的时候，需要知道电网大概的拓扑结构和参数，参数如果一直在变化的话，攻击者掌握不到信息，就没有办法攻击，这就是主动防御的思想。

当前研究取得一些成果，但是未充分发挥硬件设备特性，且优化防御策略经济成本时未考虑对其电力市场的影响。电网本身不希望被扰动，希望越稳定越好，怎么把成本做到最小。

研究目标就是增强系统防御能力的同时降低防御成本，就是经济性与防御效果之间平衡设计最优移动目标防御策略。我们的策略就是拓展移动目标防御协调修改电抗与电纳，增强防御设计的灵活性，在系统特性分析、防御能力评估与成本评估的基础上建立优化模型，然后求解优化的问题。

首先我们分析移动目标防御对实时电价的影响，电价一部分是三部分组成，首先是能源价格，再就是输电线阻塞、输电过程中的电能损耗三部分组成，这三部分参数是移动目标防御有关，如果要发动移动目标防御的话，可能不能忽略对电价的影响，所以设计防御方案的时候，应该考虑要尽量减少防御对电价的影响。

我们主要考虑防御的成本主要分为两部分，首先是直接防御成本，包括防御前后网损变化量以及社会调节成本。间接成本就是发动防御前后各节点边际电价变化量，我们构建了一个目标函数，约束条件就是让系统成本小的同时保证一定电网攻击的检测能力，比如说大于95%或者大于99%，这是约束条件，主要就是电网的物理条件、潮流方程、节点之间的电压电流功率的关系，以及不同节点之间的电压电流的定理，你不能随便发动，你必须得在电网物理条件约束之下发动防御。

这是我们研究的结果，叫拓展MTD就是移动目标防御，通常用的就是（英文）的MTD，我们进行比较，检测能力方面我们检测能力比他高，而且成本也比低，这是我们做的工作。

攻防博弈的意义就是说你作为系统操作来说，你自己把攻击推理和预演一遍，知道攻击怎么攻击你，你提前想去防御它，这就是攻防博弈的研究意义。

从2007年已经有陆陆续续的研究了，但是博弈模型比较简单，就是攻击者和防御者明确知道对方的信息，但是显然在实际条件下完全是不可能的，比如说你要攻击别人，你怎么知道别人的信息，显然和实际的应用场景有一定的差距。

我们的研究目标就是在电网规模和功能对攻击者不透明时，攻击者在设计攻击策略的时候，不知道电网的规模和电网的重要性的，所以我们就在这种不完全信息下，设计一些经济性指标，分析不完全信息模型下的攻防博弈过程。

研究方案就是根据电网规模和重要程度将电网分级，基于经济指标研究不同电网级别下的优化防御策略。

在这个工作之前绕不开的工作就是进行电网级联故障分析，电网是大规模的网络系统，通常故障是相互影响的，比如说发电机1和发电机4之间，假如发生故障2的话，马上会影响到发电机3，就会导致故障3，故障3会有可能导致故障4，最后导致电网发生连锁故障，故障迅速在电网之间传播，甚至导致电网进行大面积的崩溃或者解列，所以我们要进行结点分析。

结点分析中一个重要的功能就是要找脆弱点，为什么找脆弱点呢？不管对于攻击者和防御者，这个脆弱点都很重要，如果攻击者知道这个脆弱点的话，就可以用尽量小的资源破坏电网，如果防御者知道脆弱点提前对这个脆弱点进行防御。首先在两种情况下找脆弱点，第一就是单点攻击，攻击者只攻击一次，我们用了三种方法找脆弱点，结果发现是Node Significance方法搜索效果是最好的，通过线路的功率占比去找脆弱点，功率占比比较高的线路是比较重要的线路，也是比较脆弱的线路。

第二是面对序列攻击，因为通常攻击不是供给一下，有可能是攻击很多次，面对序列供给的时候，每攻击一次电网的拓扑就会关系，如果用物理方法就没有办法找，工作量太大了，正好强化学习就比较适合做连续的决策，所以我们就会面对序列攻击的时候找脆弱点。发现相较于单独的强化学习或者深化强化学习，将电网拓扑参数和强化学习结合可以获得更快更好的脆弱点检测效果。电网的节点很多，线路也很多，强化学习空间是很大的，如果你直接用强化学习找脆弱点时间就特别长，如果用物理参数、网络拓扑用物理规律先筛选一遍的话，就把动作空间大幅压缩，就可以找脆弱点。

在研究博弈的时候，通常资源是有限的，资源无限的话，结果就是一致的，攻击资源越多，攻击成功的概率越高，防御资源越多，防御成功率越高，但是实际中你的资源部可能是无限的，所以我们就在资源有限情况下防御。我们定义了一个经济性指标，包含发电功率损失、防御资源总量和攻击链长度三部分组成了的经济性指标，在经济性指标下找最优的防御措施，这是我们大概的思想。

假设电网类型有n类，防御策略有m类，攻击策略类型有k类，本质上是一个n*m*k个子博弈问题，具体在做的时候，比如说作为攻击来说可以采样电网，获取电网的类型和防御策略的数据，然后再训练决策树输出观察到策略下电网类型的概率，利用强化学习求解不完全信息博弈模型并分配防御资源。