CN108645436A - 一种在存在瞬态故障时传感器的攻击检测和识别方法 - Google Patents

Abstract

本发明一种在存在瞬态故障时传感器的攻击检测和识别方法，结合融合间隔进一步判断两个传感器间隔相交时故障的检测，并考虑系统动力学模型，利用历史测量提高传感器攻击检测和识别的性能。本发明一种在存在瞬态故障时传感器的攻击检测和识别方法，在存在瞬态故障的系统中，能够把瞬态故障和攻击区分开；相比以前的攻击检测方法，本发明对各种攻击类型都有较好的检测和识别性能，特别是对于隐身攻击，以前的方法无法检测到这类攻击，而本发明的方法的检测和识别率平均能达到90％多。

Description

一种在存在瞬态故障时传感器的攻击检测和识别方法

技术领域：

本发明涉及一种在存在瞬态故障时传感器的攻击检测和识别方法，尤其涉及一种基于传感器之间成对不一致关系的传感器攻击检测方法，属于CPS系统安全领域，主要应用于具有多个传感器测量相同物理变量(例如，速度)的CPS系统。

背景技术：

随着信息物理系统(Cyber-Physical Systems，CPS)在安全关键领域(如：医疗系统，智能交通系统，国防和电力系统等)的广泛应用，确保这样的系统的安全性是必要的。因此，越来越多的人开始关注CPS的安全问题。恶意攻击者利用安全漏洞可能会对CPS系统造成灾难性地影响，从而破坏其安全性。例如，最近的研究发现，攻击者可能通过车载通信协议或传感器欺骗中的漏洞来劫持车辆。类似地，对CPS的攻击可能会妨碍关键基础设施的发展，如Maroochy Water漏洞和StuxNet病毒对用于工业过程控制的SCADA系统的攻击。

由于传感技术的普及，现代CPS通常配备有多个测量相同物理变量的传感器。例如，可以通过超声波、轮编码器、GPS、IMU等多个传感器来估算汽车的速度。虽然每个传感器的精度可能不同，但融合多个传感器的测量不仅可以产生比任何单个传感器更精确的估计，从而使系统更加鲁棒。然而，增加的传感器多样性也导致更大的攻击脆弱性。目前很多CPS系统都是通过多个测量相同物理变量的传感器实现对CPS的精确控制，因此有必要确保各种传感器的输出真实可靠。

在以前的文献中，研究人员提出了一些传感器攻击检测方法。例如，序贯概率比检验、累计和统计，卡尔曼滤波算法，连续概率比测试等，其中大多数方法关注于具有概率传感器的情况。有文献提出通过测量数据协方差矩阵中元素的变化来检测和识别不良数据。此外，大多数检测传感器被恶意攻击的方法都没有考虑瞬态故障，它们以相同的方式处理攻击和故障，因此忽略了传感器有时可能由于暂时干扰而提供错误测量的事实。瞬态故障是指传感器在短时间内提供错误的测量值，并在短时间内消失。例如，在隧道中GPS常常暂时与卫星失去连接。这种瞬态故障可能发生在系统的正常操作期间，所以瞬态故障不应该被视为系统的安全威胁。尽管最近的一些模型被设计用于在存在瞬态故障时传感器的攻击检测，它们是保守的。当专业攻击者在一段时间内非常轻微或不经常地操作传感器输出时它们几乎无法检测到攻击，例如隐身攻击。

发明内容

由于目前大多数传感器攻击检测方法都没有区分瞬态故障和攻击，因此，在存在瞬态故障时，现有的方法容易出现误报的情况，导致攻击检测和识别性能降低。此外，目前用于在存在瞬态故障时传感器的攻击检测和识别方法是保守的，它们仅考虑两个传感器的间隔不相交时的情况，忽略了相交时也可能存在故障的情况。因此，当攻击者具有足够的计算能力并知道系统的检测算法时，他为了保持不被检测到，可以设计更为隐秘的攻击。这种情况下，现有的方法不能够检测到这种攻击。本发明的目的是针对这些问题，提出一种在存在瞬态故障时传感器的攻击检测和识别方法，结合融合间隔进一步判断两个传感器间隔相交时故障的检测，并考虑系统动力学模型，利用历史测量提高传感器攻击检测和识别的性能。

本发明一种在存在瞬态故障时传感器的攻击检测和识别方法，包括如下步骤：

步骤一、故障检测

首先，使用一个基于融合间隔的故障模型，由于融合间隔包含真实值，因此，在t时刻，任何不与融合间隔相交的传感器都被认为是故障的；

其中是传感器i在t时刻间隔形式的测量值；是t时刻传感器的融合间隔；F_i(t)表示传感器i在t时刻提供了故障的测量。

其次，考虑两个传感器测量S_i和S_j之间的关系，进一步确定传感器是否提供故障测量；两个传感器测量之间的关系可以分为：相交和不相交；以下针对不同的情况提出不同的检测方法；

(1)两个测量不相交的情况；

(a)比较当前轮次即t时刻任意两个传感器之间的测量；如果两个测量之间的间隔不相交，那么这两个传感器至少有一个提供了错误的测量；这两个传感器之间是弱的不一致关系；

其中是传感器j在t时刻间隔形式的测量值；两个传感器之间的第一层关系是弱不一致性，由谓词WI(S_i，S_j，t)表示；

(b)融合过去和当前的测量；首先把t-1时刻的测量映射到t时刻，由表示，因此在t时刻就获得了2N个测量；然后把从t-1时刻映射过来的测量和t时刻的测量进行比较，如果它们不相交，那么就称它们是弱不一致的；注意，两个测量来自不同的传感器；

(2)两个测量相交的情况；

(a)在t时刻，利用改进的融合算法计算融合间隔；然后，让每个传感器的测量与融合间隔进行比较；如果传感器的测量不与融合间隔相交，则说明该传感器提供了错误的测量；因此，如果传感器i和j均不与融合间隔相交，并且i和j的间隔相交，则传感器i和j在t时刻是弱不一致的；

(b)融合过去和当前的测量；首先计算t-1时刻的融合间隔，t是当前时刻，再让t-1时刻的测量与t-1时刻的融合间隔进行比较；然后把t-1时刻的测量映射到t时刻并计算融合间隔，将t时刻的测量与t时刻融合间隔进行比较；如果满足下面3个条件，则称传感器i和j是弱不一致的；

根据上述步骤(1)、(2)得到的t时刻的弱不一致关系对，计算任意两个传感器在一段时间内可能提供的故障测量次数；

步骤二、传感器攻击检测

累加传感器之间的不一致信息，如果在一段时间内传感器i和j之间存在强不一致关系，则系统中存在攻击；强不一致的判断方法如下：在给定的窗口w中，如果两个传感器频繁地发生弱不一致关系并且弱不一致的数量超过瞬态故障模型的阈值，则它们之间的关系变为强不一致关系；具体过程如下：

给定传感器i、j和时间t，

其中，两个传感器之间的第二层关系是强不一致性，由谓词SI(S_i，S_j，t)表示；f_i和f_j分别是传感器i和j在理论上最多允许提供故障测量的次数。

根据弱不一致的定义，如果两个传感器i和j在t′时刻是弱不一致关系，则在t′处至少有一个传感器提供了故障的测量；在大小为min(w_i，w_j)的窗口中，如果弱不一致的数量大于f_i+f_j(即阈值)；这意味着这两个测量中必须至少有一个是非瞬态故障，即(f_i′＞f_i)∪(f_j′＞f_j)，其中f_i′表示在窗口w中传感器i提供故障测量的总数；f_j′表示在窗口w中传感器j提供故障测量的总数；那么这两个传感器之间是强不一致的，系统中存在攻击；

步骤三、传感器的攻击识别

通过上面的攻击检测方法仅能判断出系统中是否存在攻击，并不知道是哪个传感器被攻击；为了识别哪个传感器被攻击，假设系统中至多有s(s＜N-1)个传感器被攻击；累加系统的强不一致信息，在t时刻，如果强不一致对中传感器i出现的次数超过s，则称传感器i被攻击了，由谓词A(S_i，t)表示；其中，N为测量相同物理变量的传感器的数量；具体过程如下：

给定传感器i和时间t，让degree(S_i，t)表示传感器i在t时刻的度；

与传感器i具有强不一致关系的传感器共有n(n＞s)个，由j表示；由于i和j是强不一致关系，如果i没有被攻击，那么j必须被攻击；此时共n个传感器受到攻击。

本发明一种在存在瞬态故障时传感器的攻击检测和识别方法，其优点及功效在于：在存在瞬态故障的系统中，能够把瞬态故障和攻击区分开；相比以前的攻击检测方法，本发明对各种攻击类型都有较好的检测和识别性能，特别是对于隐身攻击，以前的方法无法检测到这类攻击，而本发明的方法的检测和识别率平均能达到90％多。

附图说明

图1所示为本发明实施例所应用的系统模型。

图2所示为本发明方法流程框图。

具体实施方式

下面结合附图和实施例，对本发明的技术方案做进一步的说明。

本发明一种在存在瞬态故障时传感器的攻击检测和识别方法，结合融合间隔进一步判断两个传感器间隔相交时故障的检测，并考虑系统动力学模型，利用历史测量提高传感器攻击检测和识别的性能；以下以实施例来具体阐述。

(一)硬件装置：

本发明使用名为EV3的地面车辆作为实验平台来检测攻击检测和识别方法的性能。EV3是2013年由乐高开发的第三款MINDSTORMS机器人，它安装有超声波传感器、颜色传感器、触碰传感器、电机等。本发明使用一个超声波传感器和左右两个大型电机(内嵌角度传感器)来测量EV3的速度。实验中，让EV3以1m/s的速度匀速直线运动40分钟，每个传感器收集400个测量值。这三个传感器可以提供10Hz的测量。对于实验，本发明假设在一个固定窗口中，攻击者随机攻击三个抽象传感器中的一个，哪个传感器被攻击是未知，其它传感器可能存在瞬态故障。

本发明的系统模型如图1所示。从物理环境中获取传感器的测量值，然后将其通过网络传送给控制器，在传输过程中传感器的测量值被攻击者恶意篡改。把传感器的测量发送给控制器之前，首先会通过本发明提出的攻击检测方法判断收到的传感器是否是正确的，把不正确的测量丢弃，把正确的测量发送给控制器，然后控制器根据相应的测量发送给执行器一些指令，最后反馈给物理环境(如：EV3)。

(二)具体方法：

攻击模型：

传感器i在时间t的真实值由τ_i(t)(通常是未知的)表示。如果测量值S_i(t)与真实值之间差值的绝对值大于误差界限(δ)，则称S_i(t)是故障的测量，由谓词F_i(t)表示。

传感器i的瞬态故障模型是一个三元组(δ_i，f_i，w_i)，其中δ_i是误差界限，(f_i，w_i)是瞬态阈值，其指定在任何大小为w_i的窗口中，传感器i可以提供至多f_i个错误的测量。瞬态阈值用于定义瞬态故障和非瞬态故障之间的边界。如果传感器i违反其瞬态阈值，则称为非瞬态故障，否则称为瞬态故障，由谓词TF(S_i，t)表示。

本发明考虑3种攻击类型：

(1)偏差攻击。为被攻击的传感器添加一个偏差值Δ_t，其中Δ_t一般取精度最大的传感器的误差边界值，即2δ_max。

其中，y_i(t)是传感器i在时间t的实际值。是传感器i被篡改后的测量值。

(2)随机攻击。为被攻击的传感器添加一个0～2δ_max的随机数。这种攻击比偏差攻击更难检测。当添加的数比较小时，一般的攻击检测方法很难检测到。

(3)隐身攻击。这种攻击是指攻击者有足够的能力，知道系统的模型、使用的融合算法、传感器的精度以及攻击检测方法等知识，攻击者为了保持不被检测到，就会根据已知的信息，最大化融合间隔，并尽可能地是两个传感器之间的间隔相交以达到隐身的目的。

融合算法：

在CPS系统上装有N个测量相同物理变量的传感器，每个传感器为控制器提供一个间隔[y-δ，y+δ](y是传感器的测量值，δ是它的误差界限)，融合算法的输入是N个传感器的间隔，和一个f(f是指当前时刻最多发生故障的传感器的数量)。融合算法的的输出是一个包含真实值的最小间隔，即融合间隔。间隔的大小反映了传感器测量的精确度。

融合间隔的计算过程如下：

首先对所有传感器的左端点(下界)和右端点(上界)分别进行升序和降序排序，结果分别存储在strStart和strEnd数组中。然后，通过数组下标从小到大来扫描strStart数组，直到融合间隔的左端点有N-f个交点为止，其中数组下标从零开始。最后，以相同的方式扫描strEnd数组，从而获得融合间隔的右端点。

以上的融合算法是经典的融合算法的计算方法。本发明，利用系统动力学结合历史测量改进融合算法，以减小融合间隔的大小，提高融合间隔的精确度。假设CPS系统由一个离散时间线性时不变系统组成，形式如下：

x_t+1＝Ax_t+ω

其中是系统状态向量，转换矩阵，是系统干扰(即，噪声)。

改进的融合算法如下：

利用上面提到的融合算法，计算出t时刻的融合间隔。然后利用系统动力学模型把t时刻的融合间隔映射到t+1时刻。这样t+1时刻就有N+1个测量值，由于融合间隔包含真实值，因此，f不变。在t+1时刻再对N+1个测量计算融合间隔。

传感器攻击检测和识别方法：

首先简单介绍本方法需要用到的几个概念，传感器之间的两种成对不一致类型：弱不一致性和强不一致性。

由于系统的真实值通常是不知道的，因此不知道哪些传感器提供了错误的测量。本发明利用传感器之间的不一致关系来判断传感器的工作状态。两个传感器之间的第一层关系是弱不一致性，由谓词WI(S_i，S_j，t)表示。当且仅当两个传感器中至少有一个传感器提供有错误的测量时，则称这两个传感器之间是弱不一致的。

WI(S_i，S_j，t)≡F(S_i，t)V F(S_j，t)

两个传感器之间的第二层关系是强不一致性，由谓词SI(S_i，S_j，t)表示。如果两个传感器中至少有一个是非瞬态故障，那么这两个传感器之间是强不一致的。

SI(S_i，S_j，t)≡NTF(S_i，t)V NTF(S_j，t)

以上，是本发明方法具体应用的前提工作，本发明一种在存在瞬态故障时传感器的攻击检测和识别方法，具体包括如下步骤：

步骤一、故障检测

首先使用一个基于融合间隔的故障模型，由于融合间隔包含真实值，因此，在t时刻，任何不与融合间隔相交的传感器都被认为是故障的。

其中是传感器i在t时刻间隔形式的测量值，是t时刻传感器的融合间隔；F_i(t)表示传感器i在t时刻提供了故障的测量。

攻击者为了保持不被检测到，一般会最大化融合间隔，例如隐身攻击。这时上面提到的基于融合间隔的故障模型就不能很好地工作。因此，本发明考虑两个传感器测量S_i和S_j之间的关系，进一步确定传感器是否提供故障测量。两个传感器测量之间的关系可以分为：相交和不相交。针对不同的情况本发明提出了不同的检测方法。

(1)两个测量不相交的情况。

(a)比较当前轮次(t时刻)任意两个传感器之间的测量。如果两个测量之间的间隔不相交，那么这两个传感器至少有一个提供了错误的测量。因为真实值不可能存在于两个不相交的间隔中。由弱不一致的定义可知，这两个传感器之间是弱的不一致关系。

(b)融合过去和当前的测量。首先把t-1时刻的测量映射到t时刻，由表示，因此在t时刻就获得了2N个测量。然后把从t-1时刻映射过来的测量和t时刻的测量进行比较，如果它们不相交，那么就称它们是弱不一致的。注意，两个测量来自不同的传感器。

(2)两个测量相交的情况。

(a)在t时刻，利用改进的融合算法计算融合间隔。然后，让每个传感器的测量与融合间隔进行比较。如果传感器的测量不与融合间隔相交，则说明该传感器提供了错误的测量。因此，如果传感器i和j均不与融合间隔相交，并且i和j的间隔相交，则i和j在t时刻是弱不一致的。

(b)融合过去和当前的测量。首先计算t-1时刻的融合间隔(t是当前时刻)，再让t-1时刻的测量与t-1时刻的融合间隔进行比较。然后把t-1时刻的测量映射到t时刻并计算融合间隔，将t时刻的测量与t时刻融合间隔进行比较。如果满足下面3个条件，则称i和j是弱不一致的。

根据(1)(2)得到的t时刻的弱不一致关系对，计算任意两个传感器在一段时间内可能提供的故障测量次数。但仍无法区分故障和攻击。因此，本发明提出一种攻击检测方法。

步骤二、传感器攻击检测

本发明累加传感器之间的不一致信息，如果在一段时间内传感器i和j之间存在强不一致关系，则系统中存在攻击。强不一致的判断方法如下：在给定的窗口w中，如果两个传感器频繁地发生弱不一致关系并且弱不一致的数量超过瞬态故障模型的阈值，则它们之间的关系变为强不一致关系。

Lemma1：给定传感器i、j和时间t，

证明：根据弱不一致的定义，如果两个传感器i和j在t′时刻是弱不一致关系，则在t′

处至少有一个传感器提供了故障的测量。在大小为min(w_i，w_j)的窗口中，如果弱不一致的数量大于f_i+f_j(即阈值)，f_i和f_j分别是传感器i和j在理论上最多允许提供故障测量的次数。这意味着这两个测量中必须至少有一个是非瞬态故障，即(f_i′＞f_i)∪(f_j′＞f_j)，其中f_i′表示在窗口w中传感器i提供故障测量的总数；f_j′表示在窗口w中传感器j提供故障测量的总数。那么这两个传感器之间是强不一致的，系统中存在攻击。

步骤三、传感器的攻击识别

通过上面的攻击检测方法仅能判断出系统中是否存在攻击，并不知道是哪个传感器被攻击。为了识别哪个传感器被攻击，假设系统中至多有s(s＜N-1)个传感器被攻击。本发明累加系统的强不一致信息，在t时刻，如果强不一致对中传感器i出现的次数超过s，则称传感器i被攻击了，由谓词A(S_i，t)表示。

Lemma 2：给定传感器i和时间t，让degree(S_i，t)表示传感器i在t时刻的度。

证明：

与传感器i具有强不一致关系的传感器共有n(n>s)个，由j表示。由于i和j是强不一致关系，如果i没有被攻击，那么j必须被攻击。此时共n个传感器受到攻击。这与最多有s个传感器被攻击的假设相矛盾。因此结论成立。

Claims (1)

1.一种在存在瞬态故障时传感器的攻击检测和识别方法，其特征在于：该方法包括如下步骤：

步骤一、故障检测

首先，使用一个基于融合间隔的故障模型，由于融合间隔包含真实值，因此，在t时刻，任何不与融合间隔相交的传感器都被认为是故障的；

其中是传感器i在t时刻间隔形式的测量值；是t时刻传感器的融合间隔；F_i(t)表示传感器i在t时刻提供了故障的测量；

其次，考虑两个传感器测量S_i和S_j之间的关系，进一步确定传感器是否提供故障测量；两个传感器测量之间的关系可以分为：相交和不相交；以下针对不同的情况提出不同的检测方法；

(1)两个测量不相交的情况；

(a)比较当前轮次即t时刻任意两个传感器之间的测量；如果两个测量之间的间隔不相交，那么这两个传感器至少有一个提供了错误的测量；这两个传感器之间是弱的不一致关系；

其中是传感器j在t时刻间隔形式的测量值；两个传感器之间的第一层关系是弱不一致性，由谓词WI(S_i，S_j，t)表示；

(b)融合过去和当前的测量；首先把t-1时刻的测量映射到t时刻，由表示，因此在t时刻就获得了2N个测量；然后把从t-1时刻映射过来的测量和t时刻的测量进行比较，如果它们不相交，那么就称它们是弱不一致的；注意，两个测量来自不同的传感器；

(2)两个测量相交的情况；

(a)在t时刻，利用改进的融合算法计算融合间隔；然后，让每个传感器的测量与融合间隔进行比较；如果传感器的测量不与融合间隔相交，则说明该传感器提供了错误的测量；因此，如果传感器i和j均不与融合间隔相交，并且i和j的间隔相交，则传感器i和j在t时刻是弱不一致的；

(b)融合过去和当前的测量；首先计算t-1时刻的融合间隔，t是当前时刻，再让t-1时刻的测量与t-1时刻的融合间隔进行比较；然后把t-1时刻的测量映射到t时刻并计算融合间隔，将t时刻的测量与t时刻融合间隔进行比较；如果满足下面3个条件，则称传感器i和j是弱不一致的；

根据上述步骤(1)、(2)得到的t时刻的弱不一致关系对，计算任意两个传感器在一段时间内可能提供的故障测量次数；

步骤二、传感器攻击检测

累加传感器之间的不一致信息，如果在一段时间内传感器i和j之间存在强不一致关系，则系统中存在攻击；强不一致的判断方法如下：在给定的窗口w中，如果两个传感器频繁地发生弱不一致关系并且弱不一致的数量超过瞬态故障模型的阈值，则它们之间的关系变为强不一致关系；具体过程如下：

给定传感器i、j和时间t，

其中，两个传感器之间的第二层关系是强不一致性，由谓词SI(S_i，S_j，t)表示；f_i和f_j分别是传感器i和j在理论上最多允许提供故障测量的次数；

根据弱不一致的定义，如果两个传感器i和j在t′时刻是弱不一致关系，则在t′处至少有一个传感器提供了故障的测量；在大小为min(w_i，w_j)的窗口中，如果弱不一致的数量大于f_i+f_j；这意味着这两个测量中必须至少有一个是非瞬态故障，即(f′_i＞f_i)∪(f′_j＞f_j)，其中f′_i表示在窗口w中传感器i提供故障测量的总数；f′_j表示在窗口w中传感器j提供故障测量的总数；那么这两个传感器之间是强不一致的，系统中存在攻击；

步骤三、传感器的攻击识别

通过上面的攻击检测方法仅能判断出系统中是否存在攻击，并不知道是哪个传感器被攻击；为了识别哪个传感器被攻击，假设系统中至多有s(s<N-1)个传感器被攻击；累加系统的强不一致信息，在t时刻，如果强不一致对中传感器i出现的次数超过s，则称传感器i被攻击了，由谓词A(S_i，t)表示；其中，N为测量相同物理变量的传感器的数量；具体过程如下：

给定传感器i和时间t，让degree(S_i，t)表示传感器i在t时刻的度；

与传感器i具有强不一致关系的传感器共有n(n>s)个，由j表示；由于i和j是强不一致关系，如果i没有被攻击，那么j必须被攻击；此时共n个传感器受到攻击。