BR102017014273A2

BR102017014273A2 - Sistema para detectar ataques de injeção de dados falsos e dispositivo de armazenamento

Info

Publication number: BR102017014273A2
Application number: BR102017014273-6A
Authority: BR
Inventors: James Premerlani William; Ashok Baone Chaitanya; Pan Yan
Original assignee: General Electric Company
Priority date: 2016-07-25
Filing date: 2017-06-30
Publication date: 2018-03-20
Also published as: US20180024900A1; JP2018032382A; CN107659554A; EP3276521A1; CA2973230A1; MX2017009602A; US10372569B2

Abstract

sistema para detectar ataques de injeção de dados falsos e dispositivo de armazenamento. trata-se de um sistema (200) para detectar ataques de injeção de dados falsos que inclui um ou mais sensores (205), sendo que cada sensor é configurado para monitorar um componente (110) e os sinais gerados que representam dados de medição associados ao componente (110). o sistema (200), também inclui um dispositivo de computação de detecção de falha (210) configurado para: receber os sinais que representam dados de medição a partir de um ou mais sensores (205), receber uma indicação de falha de uma falha associada ao componente (110), gerar um perfil para o componente (110) com base nos dados de medição e determinar uma exatidão da indicação de falha com base no perfil gerado.

Description

(54) Título: SISTEMA PARA DETECTAR ATAQUES DE INJEÇÃO DE DADOS FALSOS E DISPOSITIVO DE ARMAZENAMENTO (51) Int. Cl.: G06F 21/56; H02J 13/00 (30) Prioridade Unionista: 25/07/2016 US 15/218,822 (73) Titular(es): GENERAL ELECTRIC COMPANY (72) Inventor(es): WILLIAM JAMES

PREMERLANI; CHAITANYA ASHOK BAONE; YAN PAN (74) Procurador(es): ANA PAULA SANTOS CELIDONIO (57) Resumo: SISTEMA PARA DETECTAR ATAQUES DE INJEÇÃO DE DADOS FALSOS E DISPOSITIVO DE ARMAZENAMENTO. Trata-se de um sistema (200) para detectar ataques de injeção de dados falsos que inclui um ou mais sensores (205), sendo que cada sensor é configurado para monitorar um componente (110) e os sinais gerados que representam dados de medição associados ao componente (110). O sistema (200), também inclui um dispositivo de computação de detecção de falha (210) configurado para: receber os sinais que representam dados de medição a partir de um ou mais sensores (205), receber uma indicação de falha de uma falha associada ao componente (110), gerar um perfil para o componente (110) com base nos dados de medição e determinar uma exatidão da indicação de falha com base no perfil gerado.

1/29 “SISTEMA PARA DETECTAR ATAQUES DE INJEÇÃO DE DADOS FALSOS E DISPOSITIVO DE ARMAZENAMENTO”

Antecedentes da Invenção [001] O campo da invenção refere-se, de modo geral, à detecção de ataques de injeção de dados falsos, e mais especificamente, à métodos e um sistema para detectar ataques de injeção de dados falsos em uma subestação de grade de potência.

[002] A segurança cibernética é uma questão crucial para gerenciamento de serviços públicos confiável. Considerando que as utilidades são movidas mais em direção a sistemas de grade inteligente, o potencial para ataques cibernéticos aumenta. Os sistemas de grade inteligente fornecem muitas oportunidades para que a comunicação seja transmitida entre dispositivos. Cada dispositivo aumenta a oportunidade para que a vulnerabilidade seja introduzida, o que permite que um ato malicioso introduza um ataque dentro do sistema de grade inteligente.

[003] Um exemplo de ataque cibernético é um ataque de injeção de dados falsos, em que ataque introduz dados falsos dentro de um sistema, por exemplo, em um tal sistema de grade inteligente ou outro sistema com base em computador. Muitas vezes esse ataque é usado para fazer com que o sistema tome ações que tipicamente o mesmo não realizaria durante operação normal. Por exemplo, um ataque pode introduzir dados de sensor falsos configurados para induzir um disjuntor de subestação a desarmar. Especificamente, embora a tensão e corrente possam estar dentro de parâmetros de operação normais, os dados falsos podem induzir o sistema a determinar que a tensão e/ou corrente exceda parâmetros de operação seguros, e dessa forma, induzem o sistema a desenergizar uma porção da grade elétrica a fim de evitar ou aliviar condições de falha. Alternativamente, os dados falsos podem indicar que tudo está dentro de parâmetros de operação

Petição 870170045619, de 30/06/2017, pág. 9/105

2/29 seguros quando as condições realmente indicarem que uma parte do sistema deve ser isolada.

Descrição Resumida [004] Em um aspecto, um sistema para detectar ataques de injeção de dados falsos é fornecido. O sistema inclui um ou mais sensores, sendo que cada um é configurado para monitorar um componente e sinais gerados que representam dados de medição associados ao componente. O sistema também inclui um dispositivo de computação de detecção de falha que compreende um processador e uma memória acoplados ao processador. O dispositivo de computação de detecção de falha está em comunicação com um ou mais sensores. O dispositivo de computação de detecção de falha é configurado para receber os sinais que representam dados de medição a partir de um ou mais sensores, receber uma indicação de falha de uma falha associada ao componente, gerar um perfil para o componente com base nos dados de medição e determinar uma exatidão da indicação de falha com base no perfil gerado.

[005] Em um aspecto adicional, um método com base em computador para detectar ataques de injeção de dados falsos é fornecido. O método é implantado com o uso de um dispositivo de computação de detecção de falha que inclui pelo menos um processador em comunicação com uma memória. O método inclui sinais de recepção que representam dados de medição a partir de um ou mais sensores, sendo que cada um dos mesmos monitora um componente e sinais gerados que representam dados de medição, recebe uma indicação de falha de uma falha associada com o componente, gera um perfil para o componente com base nos dados de medição e determina uma exatidão da indicação de falha com base no perfil gerado.

[006] Em outro aspecto, um dispositivo legível por computador

Petição 870170045619, de 30/06/2017, pág. 10/105

3/29 que tem instruções executáveis por processador embutidas no mesmo para detectar ataques de injeção de dados falsos é fornecido. Quando executado por um dispositivo de computação de detecção de falha acoplado de modo comunicativo para uma memória, as instruções executáveis por processador fazem com que o dispositivo de computação de detecção de falha receba sinais que representam dados de medição a partir de um ou mais sensores, sendo que cada um dos mesmos monitora um componente e os sinais gerados que representam dados de medição, recebe uma indicação de falha de uma falha associada ao componente, gera um perfil para o componente com base nos dados de medição e determina uma exatidão da indicação de falha com base no perfil gerado.

Desenhos [007] Esses e outros recursos, aspectos e vantagens da presente revelação serão mais bem entendidos quando a descrição detalhada a seguir for lida em referência aos desenhos anexos nos quais caracteres semelhantes representam partes semelhantes por todos os desenhos, em que:

[008] A Figura 1 é uma vista esquemática de um sistema de distribuição de serviços públicos exemplificativa;

[009] A Figura 2 é uma vista esquemática de um sistema para detectar ataques de injeção de dados falsos no sistema de distribuição de serviços públicos mostrado na Figura 1;

[010] A Figura 3 é uma vista esquemática de uma configuração exemplificativa de um dispositivo do cliente que pode ser usado com o sistema mostrado na Figura 2;

[011] A Figura 4 é uma vista esquemática de uma configuração exemplificativa de um dispositivo de computação de detecção de falha que pode ser usado com o sistema mostrado na Figura 2;

[012] A Figura 5 é uma ilustração de um cenário exemplificativo

Petição 870170045619, de 30/06/2017, pág. 11/105

4/29 de uma falha que uso de dados clonados e reais;

[013] A Figura 6 é outra ilustração do cenário exemplificativo de uma falha que usa dados clonados e reais mostrado na Figura 6;

[014] A Figura 7 é um fluxograma de um processo para detectar ataques de injeção de dados falsos no sistema de distribuição de serviços públicos mostrado na Figura 1 que uso o sistema mostrado na Figura 2; e [015] A Figura 8 é um diagrama esquemático geral de uma rede de potência elétrica exemplificativa que inclui tento uma rede de transmissão exemplificativa quanto um sistema de distribuição de potência elétrica exemplificativo com geração distribuída (DG).

[016] A menos que indicado de outra forma, as figuras fornecidas no presente documento são destinadas a ilustrar os recursos das realizações da revelação. Acredita-se que esses recursos são aplicáveis em uma ampla variedade de sistemas que compreende uma ou mais realizações da revelação. Assim, as figuras não são destinadas a incluir todos os recursos convencionais, conhecidos pelas pessoas de habilidade comum na técnica, a serem exigidos para a prática das realizações reveladas no presente documento.

Descrição Detalhada [017] No relatório descritivo e nas reivindicações a seguir, será feita referência a vários termos que serão definidos com os significados a seguir.

[018] As formas singulares “um”, “uma”, “o” e “a” incluem referências plurais, a menos que o contexto determine claramente o contrário.

[019] “Opcional” ou “opcionalmente” significa que o evento ou circunstância descrito subsequentemente pode ou não ocorrer e que a descrição inclui exemplos em que o evento ocorre e exemplos em que o evento não ocorre.

[020] A linguagem de aproximação, conforme usada no presente

Petição 870170045619, de 30/06/2017, pág. 12/105

5/29 documento ao longo do relatório descritivo e das reivindicações, pode ser aplicada para modificar qualquer representação quantitativa que pode variar permissivamente sem resultar em uma mudança na função básica a que se refere. Consequentemente, um valor modificado por um termo ou termos, como “cerca de”, aproximadamente e substancialmente, não deve ser limitado ao valor preciso especificado. Em pelo menos alguns casos, a linguagem de aproximação pode corresponder à precisão de um instrumento para medição do valor. No presente documento e ao longo do relatório descritivo e das reivindicações, as limitações de faixa podem ser combinadas e/ou intercambiadas, em que tais faixas são identificadas e incluem todas as subfaixas contidas nas mesmas, a menos que o contexto ou linguagem indiquem de outro modo.

[021] Conforme usados no presente documento, os termos “processador” e “computador” e termos relacionados, por exemplo, “dispositivo de processamento”, “dispositivo de computação” e “controlador”, não se limitam a apenas estes circuitos integrados denominados na técnica como um computador, porém, se referem amplamente a um microcontrolador, a um microcomputador, a um controlador lógico programável (PLC), a um circuito integrado de aplicação específica e a outros circuitos programáveis, e esses termos são usados de modo intercambiável no presente documento. Nas realizações descritas no presente documento, a memória pode incluir, porém, sem limitação, um meio legível por computador, como uma memória de acesso aleatório (RAM) e um meio não volátil legível por computador, como memória flash. Alternativamente, um disquete, um disco compacto de memória somente de leitura (CD-ROM), um disco magnético óptico (MOD) e/ou um disco digital versátil (DVD) também podem ser usados. Além disso, nas realizações descritas no presente documento, os canais de entrada adicionais podem ser, porém, sem limitação, periféricos de computador associados a uma interface

Petição 870170045619, de 30/06/2017, pág. 13/105

6/29 de operador, como um mouse e um teclado. Alternativamente, outros periféricos de computador podem também ser usados que podem incluir, por exemplo, porém, sem limitação, um digitalizador. Adicionalmente, na realização exemplificativa, canais de saída adicionais podem incluir, porém, sem limitação, um monitor de interface de operador.

[022] Adicionalmente, conforme usados no presente documento, os termos “software” e “firmware' são intercambiáveis e incluem qualquer programa de computador armazenado em memória para execução por computadores pessoais, estações de trabalho, clientes e servidores.

[023] Conforme usado no presente documento, o termo “meios legíveis por computador não transitórios” deve representar qualquer dispositivo com base em computador tangível implantado em qualquer método ou tecnologia para armazenamento a curto prazo ou a longo prazo de informações, por exemplo, instruções legíveis por computador, estruturas de dados, módulos e submódulos de programa ou outros dados em qualquer dispositivo. Portanto, os métodos descritos no presente documento podem ser codificados como instruções executáveis incorporadas em uma mídia legível por computador não transitória tangível, que inclui, porém, sem limitações, um dispositivo de armazenamento e/ou um dispositivo de memória. Essas instruções, quando executadas por um processador, fazem com que o processador realize pelo menos uma porção dos métodos descritos no presente documento. Ademais, conforme usado no presente documento, o termo “meios legíveis por computador não transitórios” incluem todos os meios legíveis por computador tangíveis, que incluem, sem limitação, meios voláteis e não voláteis e mídias removíveis e não removíveis, tais como, uma firmware, armazenamento físico e virtual, CD-ROMs, DVDs e qualquer outra fonte digital, por exemplo, uma rede ou à Internet, assim como meios digitais ainda a serem desenvolvidos, sendo que a única exceção é um sinal de propagação

Petição 870170045619, de 30/06/2017, pág. 14/105

7/29 transitório.

[024] Adicionalmente, conforme usado no presente documento, o termo “tempo real” se refere a pelo menos um dentre o tempo de ocorrência dos eventos associados, o tempo de medição e coleta de dados predeterminados, o tempo para processar os dados e o tempo de uma resposta de sistema para os eventos e o ambiente. Nas realizações descritas no presente documento, essas atividades e eventos ocorrem substancialmente de modo instantâneo.

[025] O método e sistemas descritos no presente documento são fornecidos para detectar ataques de injeção de dados falsos em uma grade de potência. Além disso, o método e sistemas descritos no presente documento facilitam monitoramento mais exato dos sensores para prontamente responder às questões aqui descritas. Esses métodos e sistemas facilitam a regulação e monitoramento dos sensores de um sistema de distribuição de serviços públicos para operar com exatidão o sistema de distribuição de serviços públicos e proteger o mesmo contra ataques cibernéticos potenciais. Além disso, o sistema e métodos descritos no presente documento não são litados a qualquer tipo de sistema ou tipo de sensor, mas podem ser implementados com qualquer sistema com sensores que são configurados conforme descrito aqui. Por exemplo, o método e sistemas descritos no presente documento podem ser usados com qualquer outro sistema em que os sensores fornecem dados analógicos que pode ser falsificados. Através do monitoramento constante da saída dos sensores em uma variedade de atributos e comparação da saída para operação normal do sistema, o sistema e método descritos no presente documento facilitam mais eficientemente operação dos sistemas enquanto facilitam a detecção de ataques cibernéticos potenciais.

[026] A Figura 1 é uma vista esquemática de um sistema de distribuição de serviços públicos exemplificativa 100. Embora na revelação

Petição 870170045619, de 30/06/2017, pág. 15/105

8/29 exemplificativa, o sistema de distribuição de serviços públicos 100 seja direcionado para a geração e envio de potência elétrica, outras fontes com base em serviços públicos, tal como, mas não se limitando a, gás e água, podem ser usadas com o sistema e métodos descritos no presente documento. Na revelação exemplificativa, o sistema de distribuição de serviços públicos 100 é configurado como um sistema de grade inteligente.

[027] Na revelação exemplificativa, o sistema de distribuição de serviços públicos 100 inclui uma serviços públicos 102 que inclui um ou mais dispositivos de computação de serviços públicos 104. Os dispositivos de computação de serviços públicos 104 controlem o envio correto e distribuição da fonte de serviços públicos associados. O sistema de distribuição de serviços públicos 100 também inclui um ou mais sistemas de geração de potência 106. Os exemplos dos sistemas de geração de potência 106 incluem, mas não se limitam a, turbinas eólicas, bombas geotérmicas, usinas solares, usinas nucleares, usinas de turbina energizada por gás e/ou carvão e usinas hidroelétricas. Na revelação exemplificativa, os sistemas de geração de potência 106 são regulados através de dispositivos de computação de geração de potência 108. Os sistemas geração de potência 106 também incluem um ou mais componentes 110 usados em geração e transmissão de energia elétrica.

[028] Na revelação exemplificativa, o sistema de geração de potência 106 transmite potência elétrica através de uma grade 111. A grade 111 inclui uma pluralidade de condutos que permitem que a energia elétrica seja encaminhada para o destino da mesma. Na revelação exemplificativa, a grade 111 também inclui uma rede de comunicação que permite que os dispositivos de computação, tal como dispositivos de computação de serviços públicos 104 e dispositivos de computação de geração de potência 108 se comuniquem.

[029] O sistema de distribuição de serviços públicos 100 também

Petição 870170045619, de 30/06/2017, pág. 16/105

9/29 inclui uma pluralidade de subestações 112. Essas subestações 112 regulam a energia elétrica à medida que a mesma é transmitida através da grade 111. Na revelação exemplificativa, cada uma das subestações 112 incluem um ou mais dispositivos de computação de subestação 114 que regulam a operação da subestação correspondente 112. Cada uma das subestações 112 incluem um ou mais componentes 110 usados na transmissão de energia elétrica. Os exemplos dos componentes incluem, mas não se limitam a, um comutador de subestação, um regulador de tensão de subestação, um regulador de tensão em linha, banco de capacitor, um transformador de fase única, um transformador multifásico, unidade de medição de fasor (PMU), e um medidor de cliente.

[030] O sistema de distribuição de serviços públicos 100 inclui adicionalmente uma pluralidade de cargas 116. Os exemplos das cargas 116 incluem empresas e residências que consomem energia elétrica. As cargas 116 também incluem um ou mais componentes 110 usados no envio de energia elétrica para a carga 116. Na revelação exemplificativa, o sistema de distribuição de serviços públicos 100 é configurado para distribuir energia elétrica a partir de um ou mais sistemas de geração de potência 106 para uma pluralidade de cargas 116. Em algumas revelações, a carga 116 inclui um dispositivo de computação de carga 118que regula as cargas 116.

[031] A Figura 2 é uma vista esquemática de um sistema 200 para detectar ataques de injeção de dados falsos no sistema de distribuição de serviços públicos 100 (mostrado na Figura 1). Na revelação exemplificativa, o sistema 200 é usado para monitorar a transmissão de energia elétrica no sistema de distribuição de serviços públicos 100, detectar falhas no sistema de distribuição de serviços públicos 100 e responder à essas falhas. Conforme descrito abaixo com mais detalhe, um dispositivo de computação de detecção de falha 210 pode ser configurado para (a) receber sinais que representam

Petição 870170045619, de 30/06/2017, pág. 17/105

10/29 dados de medição a partir de um ou mais sensores 205, sendo que cada um dos mesmos monitora um componente 110 (mostrado na Figura 1) e sinais gerados que representam dados de medição, (b) receber uma indicação de falha de uma falha em um componente 110, (c) gerar um perfil para o componente correspondente 110 com base nos dados de medição, e (d) determinar uma exatidão da indicação de falha com base no perfil gerado.

[032] Os sensores 205 estão em comunicação com o dispositivo de computação de detecção de falha 210. Os sensores 205 se acoplam ao dispositivo de computação de detecção de falha 210 através de interfaces que incluem, mas não se limitam a, uma rede, tal como uma rede de área local (LAN) ou uma rede de área ampla (WAN), conexão disque logística, modem de cabo, conexão de Internet, conexão sem fio (wireless), e linhas de Rede Digital de Serviços Integrados de velocidade alta especial (ISDN). Em algumas revelações, os sensores 205 estão em comunicação com o dispositivo de computação de detecção de falha 210 através da grade 111 (mostrado na Figura 1). Os sensores 205 recebem dados a respeito das condições de operação do sistema de distribuição de serviços públicos 100 e relatam essas condições para o dispositivo de computação de detecção de falha 210. Na revelação exemplificativa, os sensores 205 medem tensão, corrente e fase da energia transmitida. Na revelação exemplificativa, o sistema 100 inclui uma pluralidade de componentes 110 para transmitir e distribuir energia. Pelo menos um subconjunto desses componentes 110 é monitorado pelos sensores para auxiliar na operação correta do sistema 100. O sistema 200 pode incluir mais ou menos sensores 205 à medida que o mesmo necessite permitir que o sistema 200 funciono conforme descrito no presente documento.

[033] Na revelação exemplificativa, o dispositivo de computação de detecção de falha 210 é um dos dispositivos de computação de serviços públicos 104, dispositivos de computação de geração de potência 108,

Petição 870170045619, de 30/06/2017, pág. 18/105

11/29 dispositivo de computação de subestação 114 e dispositivo de computação de carga 118 (todos mostrados na Figura 1). Em algumas revelações, o dispositivo de computação de detecção de falha 210 está apenas em comunicação com pelo menos um dos dispositivos de computação de serviços públicos 104, dispositivos de computação de geração de potência 108, dispositivo de computação de subestação 114 e dispositivo de computação de carga 118. O dispositivo de computação de detecção de falha 210 tem a capacidade de se comunicar através de interfaces que incluem, mas não se limitam a, uma rede, tal como uma rede de área local (LAN) ou uma rede de área ampla (WAN), conexão disque logística, modem de cabo, conexão de Internet, conexão sem fio (wireless), e linhas de Rede Digital de Serviços Integrados de velocidade alta especial (ISDN).

[034] Um servidor de base de dados 215 é acoplado a uma base de dados 220 que contém informações sobre uma variedade de assuntos, conforme descrito com mais detalhes abaixo. Em uma revelação, a base de dados centralizada 220 é armazenada no dispositivo de computação de detecção de falha 210. Em uma revelação alternativa, a base de dados 220 é armazenada remotamente a partir do dispositivo de computação de detecção de falha 210 e pode ser não centralizada. Em algumas revelações, a base de dados 220 inclui uma única base de dados que tem seções separadas ou porções ou em outras revelações, a base de dados 220 inclui múltiplas bases de dados, sendo que cada uma é separada uma da outra. A base de dados 220 armazena dados de medição recebidos a partir de múltiplos sensores 205. Além disso, e sem limitação, a base de dados 220 armazena perfis de falha, dados de componentes, especificações de componentes, equações, e dados históricos gerados como parte dos dados de medição coletados dos sensores múltiplos 205.

[035] Em algumas revelações, o dispositivo de computação de

Petição 870170045619, de 30/06/2017, pág. 19/105

12/29 detecção de falha 210 está em comunicação com um dispositivo de cliente 225, também conhecido como um sistema de cliente 225. O dispositivo de computação de detecção de falha 210 se acopla ao dispositivo de cliente 225 através de muitas interfaces que incluem, mas não se limitam a, uma rede, tal como uma rede de área local (LAN) ou uma rede de área ampla (WAN), conexão disque logística, modem de cabo, conexão de Internet, conexão sem fio (wireless), e linhas de Rede Digital de Serviços Integrados de velocidade alta especial (ISDN). Nessas revelações, o dispositivo de computação de detecção de falha 210 transmite dados a respeito da operação dos componentes para o dispositivo do cliente 225. Esses dados incluem, mas não se limitam a, dados dos sensores 205, medições em tempo real, erros de sensor potenciais, e ataques cibernéticos potenciais e outros dados operacionais que o dispositivo do cliente 225 é configurado para monitorar. Adicionalmente, o dispositivo de computação de detecção de falha 210 é configurado para receber instruções adicionais do dispositivo de cliente 225. Além disso, o dispositivo de cliente 225 é configurado para acessar ou atualizar a base de dados 220 através do dispositivo de computação de detecção de falha 210. O dispositivo de cliente 225 é configurado para apresentar dados a partir do dispositivo de computação de detecção de falha 210 para um usuário. Em outras revelações, o dispositivo de computação de detecção de falha 210 inclui uma unidade de exibição (não mostrada) para exibir dados diretamente para um usuário.

[036] A Figura 3 ilustra uma configuração exemplificativa do sistema do cliente 225, mostrado na Figura 2. Um dispositivo de computação de usuário 302 é operado por um usuário 301. O dispositivo de computação de usuário 302 pode inclui, mas não se limita a, sistemas de cliente 225 (mostrado na Figura 2) e dispositivo de computação de carga 118 (mostrado na Figura 1). O dispositivo de computação de usuário 302 inclui um processador 305 para

Petição 870170045619, de 30/06/2017, pág. 20/105

13/29 executar instruções. Em algumas realizações, as instruções executáveis são armazenadas no dispositivo de memória 310. O processador 305 pode incluir uma ou mais unidades de processamento (por exemplo, em uma configuração de múltiplos núcleos). A área de memória 310 é qualquer dispositivo que permita que informações, tal como instruções executáveis e/ou dados de transação sejam armazenados e retirados. A área de memória 310 inclui uma ou mais mídias legíveis por computador.

[037] O dispositivo de computação de usuário 302 também inclui pelo menos um componente de saída de mídia 315 para apresentar informações para o usuário 301. O componente de saída de mídia 315 é qualquer componente que tenha a capacidade de transmitir informações para o usuário 301. Em algumas revelações, o componente de saída de mídia 315 inclui um adaptador de saída (não mostrado), tal como um adaptador de vídeo e/ou um adaptador de áudio. Um adaptador de saída é acoplado de modo operacional para o processador 305 e operacionalmente acoplado para um dispositivo de saída, tal como um dispositivo de exibição (por exemplo, um tubo de raio catódico (CRT), visor de cristal líquido (LCD), exibição de diodo emissor de luz (LED), visor “tinta eletrônica” ou um dispositivo de saída de áudio (por exemplo, um alto-falante ou fones de ouvido). Em algumas revelações, o componente de saída de mídia 315 é configurado para apresentar uma interface gráfica de usuário (por exemplo, um navegador da web e/ou uma aplicação de cliente) para o usuário 301. Uma interface gráfica de usuário pode incluir, por exemplo, um painel para monitorar medições de sensor, uma tela de controle para controlar operação do dispositivo de computação do usuário 302, e/ou uma tela de atualização para atualizar software no dispositivo de computação do usuário 302. Em algumas revelações, o dispositivo de computação do usuário 302 inclui um dispositivo de entrada 320 para receber entrada do usuário 301. O usuário 301 pode ser o dispositivo de entrada 320

Petição 870170045619, de 30/06/2017, pág. 21/105

14/29 para, sem limitação, selecionar e/ou entrar uma ou mais medições de sensor para visualização. O dispositivo de entrada 320 pode incluir, por exemplo, um teclado, um dispositivo apontador, um mouse, um estilete, um painel sensível ao toque (por exemplo, uma almofada de toque (touchpad) ou uma tela sensível ao toque), um giroscópio, um acelerômetro, um detector de posição, um dispositivo de entrada biométrico e/ou um dispositivo de entrada de áudio. Um único componente, tal como uma tela sensível ao toque pode funcionar tanto como um dispositivo de saída de componente de saída de mídia 315 quanto um dispositivo de entrada 320.

[038] O dispositivo de computação de usuário 302 também pode incluir uma interface de comunicação 325, acoplada de modo comunicativo para um dispositivo remoto, tal como dispositivo de computação de detecção de falha 210 (mostrado na Figura 2). A interface de comunicação 325 pode incluir, por exemplo, um adaptador de rede com fio ou sem fio e/ou transceptor de dados sem fio para uso com uma rede de telecomunicações móveis.

[039] Armazenados na área de memória 310 estão, por exemplo, instruções legíveis por computador para fornecer uma interface de usuário para usuário 301 através de componente de saída de mídia 315 e, opcionalmente, entrada de processamento e de recebimento do dispositivo de entrada 320. A interface de usuário pode incluir, entre outras possibilidades, um navegador de web e/ou uma aplicação de cliente. Os navegadores de web permitem que os usuários, tal como usuário 301, a exibirem e interagirem com mídia e outras informações tipicamente embutidas em uma página da web ou um site da web a partir de dispositivo de computação de detecção e falha 210. Uma aplicação de cliente permite que o usuário 301 interaja com, por exemplo, o dispositivo de computação de detecção de falha 210. Por exemplo, as instruções podem ser armazenadas através de um serviço de nuvem e a saída de execução das instruções são enviadas para o componente de saída de mídia 315.

Petição 870170045619, de 30/06/2017, pág. 22/105

15/29 [040] A Figura 4 ilustra uma configuração exemplificativa do dispositivo de computação de detecção de falha 210, mostrado na Figura 2, de acordo com uma realização da presente revelação. O dispositivo de computação de serviço 401 pode incluir, mas não é limitado a, serviço de base de dados 215, dispositivo de computação de detecção de falha 210 (ambos mostrados na Figura 2), dispositivos de computação de serviços públicos 104, dispositivos de computação de geração de potência 108 e dispositivo de computação de subestação 114 (todos os três mostrados na Figura 1). O dispositivo de computação de serviço 401 também inclui um processador 405 para executar instruções. As instruções podem ser armazenadas em uma área de memória 410. O processador 405 pode incluir uma ou mais unidades de processamento (por exemplo, em uma configuração de múltiplos núcleos).

[041] O processador 405 é acoplado de modo operacional para uma interfaces de comunicação 415 de modo que o dispositivo de computação de serviço 401 tenha a capacidade de se comunicar com um dispositivo remoto, tal como outro dispositivo de computação de serviço 401, sistemas de cliente 225, sensores 205, dispositivos de computação de serviços públicos 104, dispositivos de computação de geração de potência 108, dispositivo de computação de subestação 114 e dispositivo de computação de carga 118 (mostrados na Figura 1). Por exemplo, a interface de comunicação 415 pode receber solicitações dos sistemas de cliente 225 através da Internet.

[042] O processador 405 também pode ser acoplado de modo operacional para um dispositivo de armazenamento 434. O dispositivo de armazenamento 434 é qualquer hardware operado por computador adequado para armazenar e/ou recuperar dados, tal como, mas não se limitando a, dados associados à base de dados 220 (mostrados na Figura 2). Em algumas revelações, o dispositivo de armazenamento 434 é integrado em dispositivo de computação de serviço 401. Por exemplo, o dispositivo de computação de

Petição 870170045619, de 30/06/2017, pág. 23/105

16/29 serviço 401 pode incluir uma ou mais unidades de disco rígido como dispositivo de armazenamento 434. Em outras realizações, o dispositivo de armazenamento 434 é externo ao dispositivo de computação de serviço 401 e pode ser acessado por uma pluralidade de dispositivos de computação de servidor 401. Por exemplo, o dispositivo de armazenamento 434 pode incluir uma rede de área de armazenamento (SAN), um armazenamento fixado por rede (NAS) sistema, e/ou unidades de armazenamento múltiplos, tal como discos rígidos e/ou disco de estado sólido em uma matriz redundante de configuração de discos econômicos (RAID).

[043] Em algumas revelações, o processador 405 é acoplado de modo operacional para o dispositivo de armazenamento 434 através de uma interface de armazenamento 420. A interface de armazenamento 420 é qualquer componente que tenha a capacidade de fornecer o processador 405 com acesso ao dispositivo de armazenamento 434. A interface de armazenamento 420 pode incluir, por exemplo, um adaptador de fixação de tecnologia avançada (ATA), adaptador (SATA) de ATA em série, adaptador de interface de sistema de computação pequeno (SCSI), um controlador de RAID, um adaptador de SAN, um adaptador de rede, e/ou qualquer componente que forneça processador 405 com acesso para o dispositivo de armazenamento 434.

[044] O processador 405 executa instruções executáveis por computador para implementar aspectos da revelação. Em algumas revelações, o processador 405 é transformado em um microprocessador de propósito específico através da execução de instruções executáveis por computador ou através de outro modo sendo programado. Por exemplo, o processador 405 é programado com as instruções, tais como as ilustradas na Figura 7.

[045] A Figura 5 é uma ilustração de um cenário exemplificativo de uma falha que usa dados clonados e reais. A Figura 5 é uma vista gráfica da

Petição 870170045619, de 30/06/2017, pág. 24/105

17/29 corrente de fase de um componente 110 do sistema de distribuição de serviços públicos 100 (ambos mostrados na Figura 1) durante um período de tempo ao longo de um cenário de falha. O gráfico 500 ilustra a natureza senoidal da potência no componente 110. A Figura 5 inclui um gráfico de saída normal 500 de uma falha atual que inclui um eixo geométrico y 502 que define uma corrente de fase em quiloamperes (kA). O gráfico 500 também inclui um eixo geométrico x 504 que define tempo em segundos. O gráfico 500 inclui adicionalmente uma corrente de fase versus curva de tempo 506. No gráfico 500, a falha ocorre no tempo 0,2 segundos e a curva senoidal 506 aumenta até 2,5kA e em seguida diminui para níveis de pré-falha após o tempo de 0,35 segundos. O gráfico 500 ilustra as mudanças na corrente de fase durante a curva de tempo 506 quando a falha realmente ocorre.

[046] A Figura 5 também inclui um gráfico de saída normal 520 de uma falha clonada que inclui um eixo geométrico y 522 que define uma corrente de fase em quiloamperes (kA). O gráfico 520 também inclui um eixo geométrico x 524 que define tempo em segundos. O gráfico 520 inclui adicionalmente uma corrente de fase versus curva de tempo 526. No gráfico 520, a falha ocorre no tempo 0,2 segundos. A corrente de fase mostrada na curva 526 aumenta de ±0,4 kA para ±1,7 kA no tempo 0,2 segundos e permanece nesse nível.

[047] Na revelação exemplificativa, os dados clonados são dados falsificados que simulam dados de medição reais a partir de um sensor atual 205. Por exemplo, os dados clonados podem ser introduzidos por um hacker ou outro ataque que intercepta e substitui os dados de sensor atuais. No gráfico 520, a curva 526 ilustra dados clonados que são falsificados e apresentados como dados exatos do sensor 205. Os dados clonados podem ser introduzidos no sistema de distribuição de serviços públicos 100 (mostrado na Figura 1) em uma pluralidade de métodos, tal como, mas não se limitando a,

Petição 870170045619, de 30/06/2017, pág. 25/105

18/29 uso de hacker ou comprometendo um ou mais sensores 205, dispositivos de computação de serviços públicos 104, dispositivos de computação de geração de potência 108, dispositivos de computação de subestação 114, dispositivos de computação de carga 118 e grade 111 (todos mostrados na Figura 1).

[048] A comparação entre o gráfico 500 e o gráfico 520 ilustra um método potencial que clonou dados e pode ser detectado. Embora os dados de medição do sensor 205 (mostrados na Figura 2) possam ser manipulados para indicar uma falha, o sensor 205 inclui múltiplos tipos de dados. Na revelação exemplificativa, os dados de tensão são manipulados para exceder um limiar que indica uma falha. No entanto, o gráfico 520 indica que os dados de fase não são apresentados do modo como uma falha atual deveria ser. Nessa revelação, a curva de corrente de fase clonada 526 não se comporta como uma curva de corrente de fase atual 506 quando vista ao longo do tempo. Na revelação exemplificativa, os dados de corrente de fase reais mostrariam mudanças em curva de corrente de fase 506 após a falha, mas a curva de corrente de fase clonada 526 mostra apenas valores consistentes.

[049] A Figura 6 é outra ilustração do cenário exemplificativo de uma falha que usa dados clonados e reais mostrados na Figura 5. A Figura 6 é uma vista gráfica da corrente de fase de um componente 110 do sistema de distribuição de serviços públicos 100 (ambos mostrados na Figura 1) ao longo de um período de tempo durante um cenário de falha. A Figura 6 inclui um gráfico de saída normal 600 de uma falha atual que indica um eixo geométrico y 602 que define distorção harmônica total (THD). O gráfico 600 também inclui um eixo geométrico x 604 que define tempo em segundos. O gráfico 500 inclui adicionalmente um THD versus curva de tempo 606. A curva 606 ilustra o THD da corrente de fase versus curva de tempo 506 (mostrado na Figura 5). No gráfico 600, a falha ocorre no tempo 0,2 segundos. O THD tem uma escapula no momento da falha, que em seguida se estabelece ao longo de um período

Petição 870170045619, de 30/06/2017, pág. 26/105

19/29 de tempo. A curva 606 também ilustra uma escapula após o tempo de 0,3 segundos. O gráfico 600 ilustra as mudanças no THD ao longo curve 606 quando uma falha realmente ocorre.

[050] A Figura 6 também inclui um gráfico de saída normal 620 de uma falha clonada que inclui um eixo geométrico y 622 que define THD. O gráfico 620 também inclui um eixo geométrico x 624 que define tempo em segundos. O gráfico 620 inclui adicionalmente um THD versus curva de tempo 626. No gráfico 620, a falha ocorre no tempo 0,2 segundos. O THD tem uma escapula de atividade que retorna para 0 quase imediatamente. Isso mostra que os sinais clonados mostraram apenas a mudança imediata na corrente de fase, mas não mudança certa ao longo do tempo como seria mostrado em um sistema atual, tal como o mostrado na curva 606.

[051] A Figura 7 é um fluxograma de um processo 700 para detectar ataques de injeção de dados falsos em sistema de distribuição de serviços públicos 100 (mostrado na Figura 1) que usa o sistema 200 (mostrado na Figura 2). Na revelação exemplificativa, o processo 700 é realizado pelo dispositivo de computação de detecção de falha 210 (mostrado na Figura 2). O processo 700 é um processo em tempo real.

[052] Na revelação exemplificativa, o dispositivo de computação de detecção de falha 210 recebe 702 sinais que representam dados de medição a partir de um ou mais sensores 205 (mostrado na Figura 2). Conforme descrito acima, os sensores 205 fornecem informações acerca das condições de corrente do sistema de distribuição de serviços públicos 100. Em algumas revelações, dados de medição incluem a tensão, corrente, e fase em um componente 110 (mostrado na Figura 1). Em outras revelações, dados de medição incluem quaisquer dados que permitem que o sistema 200 opere conforme descrito no presente documento.

[053] O dispositivo de computação de detecção de falha 210

Petição 870170045619, de 30/06/2017, pág. 27/105

20/29 recebe 704 uma indicação de falha de uma falha associada ao componente 110. Em algumas revelações, a indicação de falha é um sinal do componente 110 que uma falha ocorreu. Em outras revelações, a indicação de falha tem como base os dados de medição. Ainda em outras revelações, a indicação de falha é recebida 704 de um dispositivo de computação, tais como os dispositivos de computação de serviços públicos 104, dispositivos de computação de geração de potência 108, dispositivo de computação de subestação 114 e dispositivo de computação de carga 118.

[054] O dispositivo de computação de detecção de falha 210 gera 706 um perfil para o componente 110 com base nos dados de medição. Por exemplo, o dispositivo de computação de detecção de falha 210 pode gerar 706 um perfil similar àquele mostrando no gráfico 500 (mostrado na Figura 5), quando o componente 110 tem uma falha atual e o sensor correspondente 205 está transmitindo dados exatos. Caso contrário, o dispositivo de computação de detecção de falha 210 pode gerar 706 um perfil similar àquele mostrado no gráfico 520 (mostrado na Figura 5). Em outras revelações, o perfil também pode incluir gráficos 600 ou 620 (mostrados na Figura 6).

[055] O dispositivo de computação de detecção de falha 210 determina 708 uma exatidão da indicação de falha com base no perfil gerado. Em algumas revelações, a exatidão da indicação de falha é um valor de Boolean que indica que há um problema com o perfil gerado. Em outras revelações, a exatidão é uma porcentagem, uma escala em peso ou outro valor que indica uma probabilidade que a indicação de falha está exata com base no perfil gerado.

[056] Na revelação exemplificativa, o dispositivo de computação de detecção de falha 210 armazena uma pluralidade de perfis, tal como os gráficos 500 e 600. Nessa revelação, o dispositivo de computação de detecção de falha 210 compara a pluralidade de perfis de falha armazenados para o

Petição 870170045619, de 30/06/2017, pág. 28/105

21/29 perfil gerado e determina 708 a exatidão com base nessa comparação. Em algumas revelações, o dispositivo de computação de detecção de falha 210 armazena perfis de falha para ataques cibernéticos potenciais, tal como os gráficos 520 e 620. Em algumas realizações adicionais, a base de dados 220 (mostrada na Figura 2) é atualizada com os perfis de ataques cibernéticos conhecidos para comparação com o perfil gerado. Na revelação exemplificativa, o dispositivo de computação de detecção de falha 210 compara o ruído na pluralidade de perfis de falha armazenados ao ruído dos perfis gerados para cada sensor 205. Se o ruído em um ou mais dos perfis gerados não combinar com um perfil de ruído atual de um dos perfis armazenados, então, em seguida, o dispositivo de computação de detecção de falha 210 pode determinar se há um erro com o perfil gerado a partir dos dados de sensor.

[057] Em algumas revelações, o dispositivo de computação de detecção de falha 210 recebe 702 dados de medição a partir de sensores múltiplos 205 em distâncias diferentes do componente 110. Nessas revelações, o dispositivo de computação de detecção de falha 210 gera 706 perfis para cada sensor 205. O dispositivo de computação de detecção de falha 210 compara os perfis gerados um para o outro.

[058] Em algumas revelações, quando os dados de um sensor estão sendo clonados, o dispositivo de computação de detecção de falha 210 pode determinar que os dados de um primeiro sensor 205 está sendo clonado através da comparação do mesmo para os dados de outros sensores próximos 205. Por exemplo, uma falha é mostrada em um primeiro sensor 205 que é associado ao componente 110, mas não há indicação da falha em um sensor próximo 205. Nessas revelações, uma falha atual é detectada através de sensores múltiplos. Cada um dos sensores 205 fornece dados de medição diferentes com base na distância entre o sensor 205 e o componente 110. Nessas revelações, o dispositivo de computação de detecção de falha 210

Petição 870170045619, de 30/06/2017, pág. 29/105

22/29 compara os perfis de falha de cada sensor para determinar se os dados de medição são exatos com base na distância entre o sensor 205 e o componente 110 e na distância entre cada sensor diferente 205. Por exemplo, uma falha pode aparecer como uma escapula grande em um gráfico associado a um primeiro sensor 205 que é próximo ao componente 110, e aparecer como uma escapula muito menor em um gráfico associado ao sensor 205.

[059] Nas revelações exemplificativas, o dispositivo de computação de detecção de falha 210 gera 706 um perfil com base nos dados de medida antes da falha ocorrer e dados após a falha ocorrer. Observa-se ao longo de um período de tempo no THD do sinal do sensor 205, que o dispositivo de computação de detecção de falha 210 tem a capacidade de determinar com mais exatidão a autenticidade dos dados do sensor 205.

[060] Em algumas revelações, o dispositivo de computação de detecção de falha 210 tem a capacidade de determinar que um ataque cibernético potencial ocorre com base na exatidão determinada e o perfil gerado. Em algumas revelações, o dispositivo de computação de detecção de falha 210 desativa o componente 110 com base na autenticidade determinada dos dados do sensor 205. Em outras revelações, o dispositivo de computação de detecção de falha 210 desativa um ou mais sensores 205 ou remove os dados de um ou mais sensores 205. Por exemplo, quando o dispositivo de computação de detecção de falha 210 determinar que a entrada de um ou mais sensores 205 está incorreta, tal como se os dados tiverem sido clonados por um ataque cibernético. Ainda em revelações adicionais, o dispositivo de computação de detecção de falha 210 aumenta um ou mais alarmes de que o componente 110 ou o sistema 100 (mostrado na Figura 1) está sobre um ataque cibernético potencial. Ainda em revelações adicionais, o dispositivo de computação de detecção de falha 210 está em comunicação com um ou mais sistemas de computação de segurança cibernética (não ilustrado) que são

Petição 870170045619, de 30/06/2017, pág. 30/105

23/29 configurados para agir em resposta à um ataque cibernético. Esses sistemas de computação de segurança cibernética podem monitorar o ataque cibernético e/ou responder ao ataque cibernético.

[061] Em algumas revelações, o dispositivo de computação de detecção de falha 210 determina que o sensor 205 está em erro com base no perfil gerado. Por exemplo, o sensor 205 pode ser quebrado ou desconfigurado e necessitar de manutenção. Nessas revelações, o dispositivo de computação de detecção de falha 210 pode transmitir uma solicitação de manutenção para o sensor 205. Em algumas revelações adicionais, o dispositivo de computação de detecção de falha 210 pode usar outros sensores próximos 205 ao em vez de do sensor de falha 205 quando visualizar os dados do componente 110.

[062] A Figura 8 é um diagrama esquemático geral de uma rede de potência elétrica exemplificativa 800. Em geral, rede de potência elétrica 800 tipicamente inclui uma porção de geração e transmissão 820 acoplada para um sistema de distribuição de potência elétrica exemplificativa 850. A porção de transmissão e geração 820 inclui uma pluralidade de usinas de potência 822 que geram e transmitem potência elétrica para uma grade de transmissão 823, que inclui uma grade de transmissão de tensão extra alta 824 e uma grade de transmissão de tensão alta 826 através da qual a potência é transmitida para o sistema de distribuição de potência elétrica 850. Na revelação exemplificativa, a grade de transmissão de tensão extra alta 824 inclui tensão maior do que aproximadamente 265 quilovolts (kV) e a grade de transmissão de tensão alta 826 inclui tensão entre aproximadamente 110 kV e aproximadamente 265kV. Alternativamente, a grade de transmissão de tensão extra alta 824 e a grade de transmissão de tensão alta 826 têm qualquer tensão que permite a operação do sistema de distribuição de potência elétrica 850, conforme descrito no presente documento. Alguns clientes de potência elétrica, tal como instalações industriais de potência intensa, por exemplo, e

Petição 870170045619, de 30/06/2017, pág. 31/105

24/29 sem limitação a, fábrica 828, são acopladas à grade de transmissão de tensão alta 826. A rede de potência elétrica 800 pode incluir, sem se limitar a, qualquer número, tipo e configuração de usinas de potência 822, grades de transmissão de tensão extra alta 824, grades de transmissão de tensão alta 826, fábricas 828, e sistemas de distribuição de potência elétrica 850.

[063] Além disso, na revelação exemplificativa, o sistema de distribuição de potência elétrica 850 inclui consumidores de potência baixa 852 e consumidores de potência industrial média 854. O sistema de distribuição de potência elétrica 850 também inclui geração distribuída (DG) 856. Tal DG 856 inclui, sem se limitar a, uma usina de potência de cidade 858, uma usina solar 860 e uma usina eólica 862. Embora o sistema de distribuição de potência elétrica 850 seja mostrado com um número exemplificativo e tipo de geradores distribuídos 856, o sistema de distribuição de potência elétrica 850 pode incluir qualquer número e tipo de geradores distribuídos 856, incluindo, sem limitação, geradores a diesel, microturbinas, arranjos coletores solares, arranjos fotovoltaicos e turbinas eólicas.

[064] O método descrito acima e o sistema fornecem detecção de ataques de injeção de dados falsos em uma grade de potência. Além disso, o método e sistemas descritos no presente documento facilitam monitoramento mais exato dos sensores para prontamente responder às questões aqui descritas. Esses métodos e sistemas facilitam a regulação e monitoramento dos sensores de um sistema de distribuição de serviços públicos para operar com exatidão o sistema de distribuição de serviços públicos e proteger o mesmo contra ataques cibernéticos potenciais. Além disso, o sistema e métodos descritos no presente documento não são litados a qualquer tipo de sistema ou tipo de sensor, mas podem ser implementados com qualquer sistema com sensores que são configurados conforme descrito aqui. Por exemplo, o método e sistemas descritos no presente documento podem ser

Petição 870170045619, de 30/06/2017, pág. 32/105

25/29 usados com qualquer outro sistema em que os sensores fornecem dados analógicos que pode ser falsificados. Através do monitoramento constante da saída dos sensores em uma variedade de atributos e comparação da saída para operação normal do sistema, o sistema e método descritos no presente documento facilitam mais eficientemente operação dos sistemas enquanto facilitam a detecção de ataques cibernéticos potenciais.

[065] Um efeito técnico exemplificativo dos métodos, sistemas e aparelho descritos no presente documento inclui pelo menos um dentre: (a) detectar ataques cibernéticos potenciais no sistema; (b) superar dados clonados injetados de forma maliciosa; (c) determinar prontamente a exatidão dos sensores; e (d) facilitar operação confiável de um sistema de distribuição de serviços públicos.

[066] As revelações exemplificativas do método e sistemas para detecção de ataques de injeção de dados são descritos acima em detalhe. Os sistemas e métodos descritos no presente documento não estão limitados às realizações específicas descritas no presente documento, porém, em vez disso, componentes de sistemas e/ou etapas dos métodos podem ser utilizados independente e separadamente de outros componentes e/ou etapas descritos no presente documento. Por exemplo, os métodos também podem ser usados em combinação com diferentes tipos de sensores associados a tipos diferentes e múltiplos de sistemas, e não são limitados à prática com apenas os sistemas de distribuição de serviços públicos, conforme descrito no presente documento. Ao em vez disso, as revelações exemplificativas podem ser implementadas e utilizadas em conjunto com muitos outros sistemas, que podem ser vulneráveis à ataques de injeção de dados falsos e ser operados conforme descrito no presente documento. Em algumas outras revelações, os métodos e sistemas descritos no presente documento podem ser usados com sistema de monitoramento por vídeo, sistemas de alarme ou qualquer outro

Petição 870170045619, de 30/06/2017, pág. 33/105

26/29 tipo de sistema de monitoramento.

[067] Embora recursos específicos de várias realizações possam ser mostrados em algumas Figuras e não em outras, isso se dá somente por conveniência. De acordo com os princípios dos sistemas e métodos descritos no presente documento, qualquer recurso de um desenho pode ser denominado e/ou reivindicado em combinação com quaisquer recursos em qualquer outro desenho.

[068] Algumas realizações envolvem o uso de um ou mais dispositivos eletrônicos ou de computador. Tais dispositivos incluem, tipicamente, um processador, um dispositivo de processamento ou um controlador, como uma unidade de processamento central (CPU) de propósito geral, uma unidade de processamento gráfico (GPU), um microcontrolador, um processador de computador de conjunto de instruções reduzido (RISC), um circuito integrado para aplicação específica (ASIC), um circuito de lógica programável (PLC), uma matriz de portas programável em campo (FPGA), um dispositivo de processamento de sinal digital (DSP) e/ou qualquer outro circuito ou dispositivo de processamento com capacidade para executar as funções descritas no presente documento. Os métodos descritos no presente documento podem ser encriptados como instruções executáveis incorporadas em um meio legível por computador, o que inclui, sem limitação, um dispositivo de armazenamento e/ou um dispositivo de memória. Tais instruções, quando executadas por um dispositivo de processamento, fazem com que o dispositivo de processamento realize pelo menos uma parte dos métodos descritos no presente documento. Os exemplos acima são apenas exemplificativos e, portanto, não são destinados a limitar de qualquer forma a definição e/ou significado do termo processador e dispositivo de processamento.

[069] Essa descrição escrita usa exemplos para apresentar as modalidades, inclusive o melhor modo, e também para capacitar qualquer

Petição 870170045619, de 30/06/2017, pág. 34/105

27/29 pessoa versada na técnica a praticar as modalidades, inclusive a fazer e usar quaisquer aparelhos ou sistemas, e a executar quaisquer métodos incorporados. O escopo patenteável da revelação é definido pelas reivindicações, e pode incluir outros exemplos que ocorram às pessoas versadas na técnica. Esses outros exemplos são destinados a estarem dentro do escopo das reivindicações se possuírem elementos estruturais que não os diferem da linguagem literal das reivindicações, ou se os mesmos incluírem elementos estruturais equivalentes com diferenças insubstanciais da linguagem literal das reivindicações.

Lista de Partes

Números de Pecas	Parte
100	Sistema de distribuição de serviços públicos
102	serviços públicos
104	dispositivo de computador de serviços públicos
106	sistemas de geração de energia
108	dispositivo de computador de geração de energia
110	Componente
111	Grade
112	Subestações
112	da subestação correspondente
114	dispositivo de computador de subestação
116	Cargas
116	uma pluralidade de cargas
118	dispositivo de computador de carga
200	sistema
205	sensores
210	dispositivo de computador de detecção de falha
215	servidor de base de dados
220	base de dados
225	dispositivo do cliente
301	usuário
302	dispositivo de computador do usuário

Petição 870170045619, de 30/06/2017, pág. 35/105

28/29

Números de Pecas	Parte
305	processador
310	área de memória
315	componente de saída de mídia
320	dispositivo de entrada
325	Interface de comunicação
401	Dispositivo de computação de servidor
405	processador
410	área de memória
415	Interface de comunicação
420	interface de armazenamento
434	dispositivo de armazenamento
500	Gráfico
502	eixo geométrico - y
504	eixo geométrico - x
506	curva de corrente de fase atual
520	Gráfico
522	eixo geométrico - y
524	eixo geométrico - x
526	curva de corrente de fase clonada
600	Gráfico
602	eixo geométrico - y
604	eixo geométrico - x
606	THD versus curva de tempo
620	Gráfico
622	eixo geométrico - y
624	eixo geométrico - x
700	Processo
702	recebimentos
704	Receptor
706	gerador
708	determinadores
800	rede de energia elétrica
820	porção de transmissão e geração

Petição 870170045619, de 30/06/2017, pág. 36/105

29/29

Números de Pecas	Parte
822	usinas de energia
823	grade de transmissão
824	grade de tensão extra alta
826	grade de transmissão de tensão alta
828	Fábrica
850	sistema de distribuição de energia eléctrica
852	Consumidores de Potência de Quantidade Baixa de Watts
854	Consumidores de Potência de Quantidade Média de Watts
856	geradores distribuídos
858	usina de energia da cidade
860	Parque Solar
862	Parque Eólico

Petição 870170045619, de 30/06/2017, pág. 37/105

1/5

Claims

Reivindicações

1. SISTEMA (200) PARA DETECTAR ATAQUES DE INJEÇÃO DE DADOS FALSOS, caracterizado pelo fato de que o dito sistema (200) compreende:

um ou mais sensores (205) configurados para monitorar um componente (110) e sinais gerados que representam dados de medição associados ao componente (110); e um dispositivo de computação de detecção de falha (210) que compreende um processador (405) e uma memória (410) acoplados ao dito processador (405), sendo que o dito dispositivo de computação de detecção de falha (210) está em comunicação com o dito um ou mais sensores (205), sendo que o dito dispositivo de computação de detecção de falha (210) é configurado para:

receber os sinais que representam dados de medição a partir de um ou mais sensores (205);

receber uma indicação de falha de uma falha associada ao componente (110);

gerar um perfil para o componente (110) com base nos dados de medição; e determinar uma exatidão de uma indicação de falha com base no perfil gerado.
2. SISTEMA (200), de acordo com a reivindicação 1, caracterizado pelo fato de que o dito dispositivo de computação de detecção de falha (210) é adicionalmente configurado para:

armazenar uma pluralidade de perfis que correspondem a uma pluralidade de falhas;

comparar o perfil gerado com a pluralidade de perfis armazenados; e

Petição 870170045619, de 30/06/2017, pág. 38/105

2/5 determinar a exatidão da indicação de falha com base na comparação.
3. SISTEMA (200), de acordo com a reivindicação 2, caracterizado pelo fato de que o dito dispositivo de computação de detecção de falha (210) é adicionalmente configurado para determinar pelo menos um erro de sensor potencial com base na comparação.
4. SISTEMA (200), de acordo com a reivindicação 3, caracterizado pelo fato de que o dito dispositivo de computação de detecção de falha (210) é adicionalmente configurado para emitir uma solicitação de manutenção com base em pelo menos um erro de sensor potencial.
5. SISTEMA (200), de acordo com a reivindicação 1, caracterizado pelo fato de que o dito um ou mais sensores (205) compreendem um primeiro sensor (205) e um segundo sensor (205), sendo que o dito dispositivo de computação de detecção de falha (210) é adicionalmente configurado para:

receber sinais a partir do dito primeiro sensor (205) e do dito segundo sensor (205), sendo que o dito primeiro sensor (205) é adjacente ao componente (110) e o dito segundo sensor (205) está a uma distância do dito primeiro sensor (205);

determinar um primeiro perfil com base nos sinais do dito primeiro sensor (205);

determinar um segundo perfil como base nos sinais do dito segundo sensor (205); e comparar o primeiro perfil com o segundo perfil com base na distância entre o dito primeiro sensor (205) e o dito segundo sensor (205).
6. SISTEMA (200), de acordo com a reivindicação 1, caracterizado pelo fato de que o perfil inclui uma distorção harmônica total dos sinais do dito um ou mais sensores (205).

Petição 870170045619, de 30/06/2017, pág. 39/105

3/5
7. SISTEMA (200), de acordo com a reivindicação 1, caracterizado pelo fato de que o perfil inclui uma distorção harmônica total dos sinais do dito um ou mais sensores (205) durante um período de tempo anterior à falha e um período de tempo após a falha.
8. SISTEMA (200), de acordo com a reivindicação 1, caracterizado pelo fato de que o dito dispositivo de computação de detecção de falha (210) é adicionalmente configurado para determinar um ataque cibernético potencial com base na exatidão da indicação de falha.
9. SISTEMA (200), de acordo com a reivindicação 1, caracterizado pelo fato de que o componente (110) é pelo menos um de um comutador de carga de subestação, um regulador de tensão de subestação, um regulador de tensão em linha, banco de capacitor, um transformador de fase única, um transformador multifásico e um medidor de cliente.
10. SISTEMA (200), de acordo com a reivindicação 1, caracterizado pelo fato de que o dito dispositivo de computação de detecção de falha (210) é adicionalmente configurado para desativar o componente (110) com base pelo menos em parte na exatidão da indicação de falha.
11. SISTEMA (200), de acordo com a reivindicação 1, caracterizado pelo fato de que o dito dispositivo de computação de detecção de falha (210) é adicionalmente configurado para pelo menos uma dentre saída para desativar e ignorar de pelo menos um dos sensores (205) do um ou mais sensores (205) com base pelo menos em parte na exatidão da indicação de falha.
12. DISPOSITIVO DE ARMAZENAMENTO legível por computador que tem instruções executáveis por processador embutidas no mesmo para detectar ataques de injeção de dados falsos, caracterizado pelo fato de que quando executado por um dispositivo de computação de detecção de falha (210) acoplado de modo comunicativo para uma memória (410), as

Petição 870170045619, de 30/06/2017, pág. 40/105

4/5 instruções executáveis por processador fazem com que o dispositivo de computação de detecção de falha (210):

receba sinais que representam dados de medição a partir de um ou mais sensores (205) que monitoram um componente (110) e geram sinais que representam os dados de medição associados ao componente (110);

receber uma indicação de falha de uma falha associada ao componente (110);

gerar um perfil para o componente (110) com base nos dados de medição; e determinar uma exatidão de uma indicação de falha com base no perfil gerado.
13. DISPOSITIVO DE ARMAZENAMENTO legível por computador, de acordo com a reivindicação 12, caracterizado pelo fato de que as instruções executáveis por processador fazem com que o dispositivo de computação de detecção de falha (210):

armazene uma pluralidade de perfis que correspondem à uma pluralidade de falhas;

compare o perfil gerado com a pluralidade de perfis armazenados;

e determine a exatidão da indicação de falha com base na comparação.
14. DISPOSITIVO DE ARMAZENAMENTO legível por computador, de acordo com a reivindicação 13, caracterizado pelo fato de que as instruções executáveis por processador fazem com que o dispositivo de computação de detecção de falha (210) determine pelo menos um erro de sensor potencial com base em comparação.
15. DISPOSITIVO DE ARMAZENAMENTO legível por computador, de acordo com a reivindicação 14, caracterizado pelo fato de que

Petição 870170045619, de 30/06/2017, pág. 41/105

5/5 as instruções executáveis por processador fazem com que o dispositivo de computação de detecção de falha (210) emita uma solicitação de manutenção com base em pelo menos um erro de sensor potencial.

Petição 870170045619, de 30/06/2017, pág. 42/105

1/7

00 L