CN107819785B - 一种面向电力系统虚假数据注入攻击的双层防御方法 - Google Patents

Abstract

本发明公开了一种面向电力系统虚假数据注入攻击的双层防御方法，包括上层防御策略和下层防御策略。在上层防御策略中，基于电力系统内部的防御手段，主要包括不良数据辨识、注入功率检测等方法，对注入的虚假数据进行初步检测，生成攻击空间；在下层防御策略中，基于冗余量测的防御手段，根据其能防御的攻击范围，通过双人零和博弈理论优化量测装置的配置地点，使其对上层策略未能检测到的攻击行为实现最优的防御能力。通过本发明辅助防御方建立电力系统安全防御反击系统。

Description

一种面向电力系统虚假数据注入攻击的双层防御方法

技术领域

本发明属于电力系统安全技术领域，特别涉及了一种面向电力系统虚假数据注入攻击的双层防御方法。

背景技术

随着智能电网的高速发展，感知、计算、通信、控制等先进信息技术的深入应用，电力系统逐渐实现信息化、网络化与智能化。在促进电力资源实时分析、科学决策、高效配置的同时，开放的通信网络与接口终端也带来了潜在的安全隐患。与相对健壮的电力一次系统相比，信息通信系统的安全防护研究起步较晚，存在着诸多安全漏洞。由于电力系统的重大利益相关性与广泛传播性，因此其一旦被攻击，会给电力安全稳定与国民生产生活造成严重影响。近年来国内外发生了一系列电力系统网络安全事件，如乌克兰电网遭受Blackenergy病毒袭击、伊朗核电站遭受震网病毒袭击等网络攻击事故，引起了重大的安全损失。作为针对基础工控设施的新型攻击方式，网络攻击已成为电力系统安全稳定运行不容忽视的威胁，其攻击机理与防御手段亟待深入研究。

针对电力系统的网络攻击按攻击目标分类，可分为破坏信息可用性、完整性和保密性的攻击方式。其中虚假数据注入攻击(false data injection attack,FDIA)作为通过篡改终端量测数据从而破坏电网信息完整性的攻击方式，针对底层分布式终端的入侵比较容易、隐蔽而难以防范，同时精心设计的虚假数据会干扰上层控制中心的分析决策，造成严重的攻击后果，因此是电力系统威胁程度较高的攻击方式。FDIA的作用原理是利用状态估计器中不良数据辨识方法的局限性，针对电网中多个节点和线路进行协同攻击，恶意篡改元件的量测值，从而操纵特定元件的状态估计值，使控制中心误判电网进入紧急状态，造成电力系统误切误动，从而影响电力系统的监控能力与安全稳定运行水平。从防御的角度，现有的研究主要针对坏数据辨识算法、数据加密算法、攻击检测机制的性能进行分析优化，从而提升电力系统对FDIA的多层次协同防御能力。这些方法多数停留在静态攻防策略求解层面，以系统中最薄弱或最重要的区域作为攻防对象，实际上攻防双方都会基于对方可能的选择，优化自身的攻/防资源部署，形成了双人动态博弈过程。

发明内容

为了解决上述背景技术提出的技术问题，本发明旨在提供一种面向电力系统虚假数据注入攻击的双层防御方法，针对电力系统中的虚假数据注入攻击行为，利用双人零和博弈的思想，优化系统防御资源的部署，最小化系统遭受攻击的影响。

为了实现上述技术目的，本发明的技术方案为：

一种面向电力系统虚假数据注入攻击的双层防御方法，包括上层防御策略和下层防御策略；

所述上层防御策略为，根据电力系统普遍防御原理，将量测数据分别通过不良数据辨识程序和注入功率检测模块，对虚假数据进行初步检测，生成攻击空间，并将所有能够绕过上层防御策略的量测数据传递给下层防御策略；

所述下层防御策略为，根据电力系统定点防御原理，利用冗余量测量的配置方法生成防御空间，将其与攻击空间结合，设定攻防双方各自的资源均是有限的，求解攻防方式组合对电力系统影响的量化结果，通过双人零和博弈的思想，分析攻防双方的决策过程，求解最优防御策略，辅助防御方建立安全防御反击系统。

进一步地，在上层防御策略中，首先对电网量测数据进行可观测性检验，然后利用状态估计器对电网状态进行估计，生成电力系统状态实时数据库；将量测数据分别通过不良数据辨识程序和注入功率检测模块，所述不良数据辨识程序应用基于最大标准化残差的辨识方法，所述注入功率检测模块根据包含系统负荷量和发电量的预测值的多源信息，进行二次校核，如果检测出虚假数据，将其剔除，重新进行状态估计，直至检测不出虚假数据或状态信息不满足系统可观测性为止。

进一步地，在不良数据辨识程序中，利用最大标准残差检测不良数据，当量测数据残差大于阈值时，表明量测数据中含有不良数据，将其中误差最大的量测量剔除后，重复最大标准残差检测，直至无不良数据为止。

进一步地，在下层防御策略中，所述双人零和博弈的标准形式和求解方法如下：

博弈标准形式：S＝<A,D,U>，其中，

表示攻击策略，P(a_i)为采取第i种攻击策略的概率，N_A为攻击策略的总数；

表示防御策略，P(d_j)为采取第j种防御策略的概率，N_D为攻击策略的总数；

表示局中人的回报矩阵，u_ij为在攻击行为a_i、防御行为d_j下，局中人的得失；

双人零和博弈的求解过程：对于给定的回报矩阵U，如果存在攻击策略

和防御策略

以及一个常数V满足，对于任意j有：

对任意i有：那么攻防策略组合(A^*,D^*)为该博弈的纳什均衡点，其中V为期望得失值。

进一步地，在下层防御策略中，求解攻防方式组合对电力系统影响的量化结果的方法如下：

设定攻击目的是伪造线路过载，从而使电力系统误切负荷；在状态估计后，控制中心对系统进行潮流计算和故障分析，为了保证经济性与可靠性，要求每次故障状态处理在恢复系统安全稳定运行的前提下，尽可能少地对负荷进行减载，因此在减载过程中需要引入最优负荷削减模型：

该模型以电网故障后的最小负荷减载值为目标变量：

上式中，f^S为在场景s下的优化减载量，B为电网节点集合，为在场景s下节点n的减载量；

电力系统运行所要满足的约束条件包括：

(i)线路潮流约束：

上式中，PF_l ^S代表场景s下线路l的潮流，代表线路运行状态，0代表故障，1代表正常，x_l为线路电抗，A_nl为线路的有向邻接矩阵，

为节点n的相角，L为线路集合；

(ii)节点功率平衡约束：

上式中，

代表发电机节点i的运行状态，0代表故障，1代表正常，P_l ^S为发电机实际输出功率，PD_n为节点n的负荷需求，G_n为发电机节点集合；

(iii)可观察线路上的输送功率约束：

-PF_l ^max≤PF_l ^S≤PF_l ^max；l∈L (4)

上式中，PF_l ^max代表线路热稳定极限；

(iv)发电机出力约束：

P_i ^min≤P_i ^S≤P_i ^max；i∈G_n,n∈B (5)

上式中，P_i ^max与P_i ^min代表发电机节点i的最大与最小出力。

(v)节点负荷减载约束：

以该模型求解出的负荷减载值，即是在满足各种电网潮流特征下的系统故障状态最优负荷减载结果，用于量化攻击后的电网受损程度。

进一步地，根据电力系统虚假数据注入攻击的特征设计双层防御方法，电力系统虚假数据注入攻击的特征为，数据篡改对象为电力元件状态值，在攻击某一电力元件时，需要对该元件相连线路与节点中的所有元件进行协同攻击，保证该范围中的状态信息互洽，符合系统潮流规律；攻击元件状态连通范围的边界节点不能是零注入节点；无法攻击平衡节点；在有冗余量测装置的区域，攻击者需要篡改该区域内所有量测装置的数据，才能攻击成功。

采用上述技术方案带来的有益效果：

本发明针对电力系统多点协同虚假数据注入攻击，以中间观察人的角度，融合了单独攻防机理剖析与联合攻防策略博弈，提出了双层防御模型。首先基于不良数据辨识等防御方法进行初步防御，检测出较为明显的攻击行为；其次利用博弈论可以使得保护资源得到优化配置，能够检测出更多潜在的攻击行为。该双层防御方法可以用于辅助防御方建立安全防御反击系统。

附图说明

图1是本发明提出的双层防御方法流程图；

图2是本发明实施例中最优攻击区域选择示意图；

图3是本发明实施例中最优负荷减载策略示意图；

图4是本发明实施例中电力系统结构及量测装置部署图；

图5是本发明实施例中通过下层防御策略的最优攻防策略结果图；

图6是本发明实施例中最优攻防策略与其他策略对比示意图。

具体实施方式

以下将结合附图，对本发明的技术方案进行详细说明。

本发明提供的一种面向电力系统虚假数据注入攻击的双层防御方法，基于实际攻防原理与博弈理论，对虚假数据注入攻击进行检测及防御，最小化系统遭受攻击后果。在本发明中，虚假数据注入攻击的特征：数据篡改对象为电力元件状态值(包括节点电压幅值、相角，发电机输出有功、无功功率及线路有功、无功潮流功率)，在攻击某一电力元件时，需要对该元件相连线路与节点中的所有元件进行协同攻击，保证该范围中的状态信息互洽，符合系统潮流规律；攻击元件状态连通范围的边界节点不能是零注入节点；无法攻击平衡节点；在有冗余量测装置的区域，攻击者需要篡改该区域内所有量测装置的数据，才能攻击成功。

所述双层防御方法包括：上层防御策略和下层防御策略，如图1所示。

所述上层防御策略，首先对电网量测数据进行可观测性检验，其后利用状态估计器对电网状态进行估计，生成电力系统状态实时数据库。为了检测出量测量中可能出现的虚假数据，将量测数据分别通过不良数据辨识程序及注入功率检测模块，前者应用基于最大标准化残差的辨识原理，后者根据系统负荷量及发电量的预测值等多源信息，进行二次校核。如果检测出虚假数据信息，将其剔除重新进行状态估计，直至检测不出虚假数据或状态信息不满足系统可观测性为止。上层模型用来生成攻击空间，即所有能够绕过系统初始防御手段的攻击方式组合。

所述下层防御策略，利用冗余量测量的配置方法生成系统防御空间，将其与攻击空间结合，规划最优策略。设定攻防双方各自的资源都是有限的，基于系统攻防空间，利用博弈论的思想，通过攻防方式组合对电力系统影响的量化结果，分析双方的决策过程，求解最优防御策略，用于辅助防御方建立安全防御反击系统。

本发明中攻击者需选择一定的区域进行攻击，基于潮流计算过程，定义某一节点及其连接线路作为该节点的状态连通范围，即随着某节点电压变化，系统中潮流值也会随之变化的范围；类似地，某条线路潮流值的变化必伴随着其至少一端的节点电压变化，因此定义线路的状态连通范围是该线路任意一端节点的状态连通范围。因此在攻击某一电力元件时，需要对该元件状态连通范围中的所有元件进行协同攻击，保证该范围中的状态信息互洽，符合系统潮流规律，以满足状态估计约束。

如果攻击者以单条线路潮流作为目标，其至少有两片状态连通范围可以作为攻击区域。攻击者在选择攻击区域时，应在满足潮流运行特征的前提下，尽可能选择篡改量测量数目较少的攻击方式。以图2为例，攻击线路2-3时，可以通过攻击节点2或节点3的状态连通范围。如图2中(a)所示，如果攻击节点2，则需要同时篡改与节点2相连的线路2-1、2-3、2-4及2-5潮流值；如图2中(b)所示，如果攻击节点3，则需要同时篡改与节点3相连的线路3-2及3-4潮流值。为了保证攻击区域尽可能小，因此选择节点3的状态连通范围作为攻击区域，最小化篡改的量测量数目。

在本实施例中，如图3所示，为了精确量化攻击后果，在状态估计后，控制中心对系统进行潮流计算和故障分析，主要包括基本潮流、分析解列、过载检查、计算减载等过程，为了保证经济性与可靠性，要求每次故障状态处理在恢复系统安全稳定运行的前提下，尽可能少地对负荷进行减载，因此在减载过程中需要引入最优规划模型，以下讨论最优负荷削减模型的构建策略。

最优负荷减载算法，以电网故障后的最小负荷减载值为目标变量：

上式中，f^S为在场景s下的优化减载量，B为电网节点集合，

为在场景s下节点n的减载量。

电力系统运行所要满足的约束条件有：

i线路潮流约束：

上式中，PF_l ^S代表场景s下线路l的潮流，

代表线路运行状态，0代表故障，1代表正常，x_l为线路电抗，A_nl为线路的有向邻接矩阵，

为节点n的相角。ii节点功率平衡约束：

上式中，

代表发电机节点的运行状态，0代表故障，1代表正常，P_l ^S为发电机实际输出功率，PD_n为节点n的负荷需求。

iii可观察线路上的输送功率约束：

-PF_l ^max≤PF_l ^S≤PF_l ^max；l∈L (4)

上式中，PF_l ^max代表线路热稳定极限。

iv发电机出力约束：

P_i ^min≤P_i ^S≤P_i ^max；i∈G_n,n∈B (5)

上式中，P_i ^max与P_i ^min代表发电机i的最大与最小出力。

v节点负荷减载约束：

以该模型求解出的负荷减载值，即是在满足各种电网潮流特征下的系统故障状态最优负荷减载结果，用于量化描述攻击后的电网受损程度。

假设攻击者了解电力系统的潮流算法、控制策略与拓扑信息，但是攻击资源是有限的，攻击者只能针对有限的电力测量元件进行攻击；同样地，防御者可以选取重要的节点进行安全防护。双方都不知道对方要采取的策略，且一方的所得正是另一方的所失，因此针对电网虚假数据注入的攻防事件形成了双人完全信息下静态零和博弈过程。

本发明提供的双层防御策略以IEEE14节点系统作为实施例，如图4所示，仿真其对FDIA的攻防博弈过程，流程如下。

步骤1：首先需要对系统进行PMU部署，其配置原则为尽可能采用最少的PMU量测单元，并且能够使得系统完全可观。对系统采取启发式的拓扑搜索方法，得出在节点2、6、9分别部署PMU，是最优的配置方案。由于该配置方案中没有冗余的量测量，因此只能用于计算潮流，不能进行系统状态估计及不良数据辨识。假设系统原始测量资源为4个PMU，根据系统冗余量测量最多的原则，在节点4新增一个PMU单元，这样形成系统的基本PMU配置方案；

步骤2：攻击者结合电网拓扑结构，按预定的虚假数据注入原则渗入到系统PMU中，以线路过载为目标，篡改其量测数据。同时采用系统上层防御策略，对虚假数据进行初步的防御，过滤出成功逃避上层防御策略的攻击方式；

步骤3：采用下层防御策略，在系统中添加冗余PMU装置。假设攻击者最多能够渗入一个PMU，防御者最多能添加一个冗余PMU装置。利用博弈论分析双方可能的攻防目标，利用最优负荷减载策略量化攻防组合下系统负荷减载值，求解博弈中的纳什均衡策略，作为系统的最优防御方案。

采用本发明防御策略对该例进行仿真，效果如表1和图5所示。经过不良数据辨识、负荷合理性辨识等环节的过滤，归纳出了十种能够越过上层防御策略的攻击方式，如表1所示。在该十种攻击方式基础上，在系统中新增一个PMU装置作为保护措施，分析其对该十种攻击行为的防御能力，得到动态攻防策略下的系统攻击后果，作为零和博弈的回报函数，求解攻防双方的纳什均衡点，结果如图5所示。在十种能够造成有效负荷减载的攻击方式中，只有攻击方式6和8才会进入攻击者的备选方案，分别占31.47％和68.53％的选择率，而系统保护节点的选择有节点6、9、10、11、12、13、14等七种，其中节点6、12、13、14能够防御攻击方式6，节点9、10、11能够防御攻击方式8，其中冗余PMU安装在节点13的概率最高，为48.26％。在该均衡策略下，系统期望负荷减载值为6.1678MW。

表1

本发明防御策略相对于其他防御策略的优势如图6所示，在图5中形成的最优策略实际上是一种混合战略纳什均衡，攻防双方按该均衡下的概率来选择策略，可以获得最大的收益期望，其中每一方的策略都是对另一方策略的最优反应，即在该平衡下，一方无法独自改变策略而增加自己的收益。如图6所示，策略11是纳什均衡策略，策略1-10是在防御策略不变的基础上，分别采取单一攻击方式1-10，系统期望负荷减载值，策略12-25是在攻击策略不变的基础上，分别采取单一防御方式1-14，系统期望负荷减载值。可以发现攻防双方在对方策略不变的基础上，都无法通过改变自身策略，获得更优的收益(攻击者获得更大的负荷减载值，而防御者获得更小的负荷减载值)。因此，基于博弈论的纳什均衡策略是双方的可行最优解。

实施例仅为说明本发明的技术思想，不能以此限定本发明的保护范围，凡是按照本发明提出的技术思想，在技术方案基础上所做的任何改动，均落入本发明保护范围之内。

Claims (2)

1.一种面向电力系统虚假数据注入攻击的双层防御方法，其特征在于，该方法包括上层防御策略和下层防御策略；

所述上层防御策略为，根据电力系统普遍防御原理，将量测数据分别通过不良数据辨识程序和注入功率检测模块，对虚假数据进行初步检测，生成攻击空间，并将所有能够绕过上层防御策略的量测数据传递给下层防御策略；

在上层防御策略中，首先对电网量测数据进行可观测性检验，然后利用状态估计器对电网状态进行估计，生成电力系统状态实时数据库；将量测数据分别通过不良数据辨识程序和注入功率检测模块，所述不良数据辨识程序应用基于最大标准化残差的辨识方法，所述注入功率检测模块根据包含系统负荷量和发电量的预测值的多源信息，进行二次校核，如果检测出虚假数据，将其剔除，重新进行状态估计，直至检测不出虚假数据或状态信息不满足系统可观测性为止；

所述下层防御策略为，根据电力系统定点防御原理，利用冗余量测量的配置方法生成防御空间，将其与攻击空间结合，设定攻防双方各自的资源均是有限的，求解攻防方式组合对电力系统影响的量化结果，通过双人零和博弈的思想，分析攻防双方的决策过程，求解最优防御策略，辅助防御方建立安全防御反击系统；

在下层防御策略中，求解攻防方式组合对电力系统影响的量化结果的方法如下：

设定攻击目的是伪造线路过载，从而使电力系统误切负荷；在状态估计后，控制中心对系统进行潮流计算和故障分析，为了保证经济性与可靠性，要求每次故障状态处理在恢复系统安全稳定运行的前提下，尽可能少地对负荷进行减载，因此在减载过程中需要引入最优负荷削减模型：

该模型以电网故障后的最小负荷减载值为目标变量：

(1)

上式中，

为在场景s下的优化减载量，B为电网节点集合，

为在场景s下节点n的减载量；

电力系统运行所要满足的约束条件包括：

（i）线路潮流约束：

(2)

上式中，代表场景s下线路l的潮流，代表线路运行状态，0代表故障，1代表正常，

为线路电抗，

为线路的有向邻接矩阵，

为节点n的相角，L为线路集合；

（ii）节点功率平衡约束：

(3)

上式中，

代表发电机节点i的运行状态，0代表故障，1代表正常，

为发电机实际输出功率，

为节点n的负荷需求，

为发电机节点集合；

（iii）可观察线路上的输送功率约束：

(4)

上式中，

代表线路热稳定极限；

（iv）发电机出力约束：

(5)

上式中，

与

代表发电机节点i的最大与最小出力；

（v）节点负荷减载约束：

(6)

以该模型求解出的负荷减载值，即是在满足各种电网潮流特征下的系统故障状态最优负荷减载结果，用于量化攻击后的电网受损程度；

在下层防御策略中，所述双人零和博弈的标准形式和求解方法如下：

博弈标准形式：

，其中，

表示攻击策略，

为采取第i种攻击策略的概率，

为攻击策略的总数；

表示防御策略，

为采取第j种防御策略的概率，

为攻击策略的总数；

表示局中人的回报矩阵，

为在攻击行为

、防御行为

下，局中人的得失；

双人零和博弈的求解过程：对于给定的回报矩阵U，如果存在攻击策略

和防御策略

以及一个常数V满足，对于任意j有：

，对任意i有：

，那么攻防策略组合

为该博弈的纳什均衡点，其中V为期望得失值；

根据电力系统虚假数据注入攻击的特征设计双层防御方法，电力系统虚假数据注入攻击的特征为，数据篡改对象为电力元件状态值，在攻击某一电力元件时，定义该元件相连线路与节点为状态连通范围，需要对该元件状态连通范围中的所有元件进行协同攻击，保证该状态连通范围中的状态信息互洽，符合系统潮流规律；攻击元件状态连通范围的边界节点不能是零注入节点；无法攻击平衡节点；在有冗余量测装置的区域，攻击者需要篡改该区域内所有量测装置的数据。

2.根据权利要求1所述面向电力系统虚假数据注入攻击的双层防御方法，其特征在于，在不良数据辨识程序中，利用最大标准残差检测不良数据，当量测数据残差大于阈值时，表明量测数据中含有不良数据，将其中误差最大的量测量剔除后，重复最大标准残差检测，直至无不良数据为止。

Images