CN112800422B - 一种隐蔽攻击下的网络化电机系统远程状态估计方法 - Google Patents

Abstract

本发明的一种隐蔽攻击下的网络化电机系统远程状态估计方法，是适用于工业信息物理系统(Industrial Cyber‑Physical Systems,ICPSs)中网络攻击下的远程状态估计方法，包括随机基于事件的隐蔽攻击序列生成阶段和攻击信号注入远程状态估计过程阶段两个部分。本发明中所给出的网络攻击算法可以同时避开前向通道通讯比率检测和反馈通道卡方检测两种检测机制，进而以估计误差为目标完成基于随机事件的最优隐蔽攻击，最后降低远程估计器侧的估计质量。本发明旨在解决当前对ICPSs智能攻击行为认识不足的问题，辅助系统设计者和防御者更好的保证系统安全稳定的运行。

Description

一种隐蔽攻击下的网络化电机系统远程状态估计方法

技术领域

本发明属于工业信息物理系统(Industrial Cyber-Physical Systems,ICPSs)安全防护领域，涉及一种隐蔽攻击下的网络化电机系统远程状态估计方法。

背景技术

工业信息物理系统是基于数据自流动的闭环智能系统。由于ICPSs深度整合信息空间和物理过程，使得其在数据自流动的过程中容易受到网络攻击侵害，进而破坏物理设备。然而，目前针对ICPSs智能攻击者的研究尚处在初级阶段，存在着对攻击行为认识不足的缺点。因此，必须从攻击者的角度入手，深入了解相应的攻击机理，才能更好地设计安全防御和控制策略，保证ICPSs安全、高效、稳定的运行。

在ICPSs运转的过程中，利用无线网络进行远程估计是必不可少的一环。为减少资源消耗和提高通讯效率，提出了不同的离线和在线传感器调度策略，其中包含一种典型的事件触发传输机制：基于状态的触发策略、基于输出的触发策略、基于误差的触发策略和基于新息的触发策略。从攻击者的角度来看，为完成高级持续性的威胁并尽可能地降低远程估计质量的要求，攻击者必须具备发起隐蔽攻击的条件。那么，恶意攻击者会针对不同的事件触发策略设计出不同的攻击策略来达到隐蔽攻击的目的。目前基于新息的触发策略主要分为确定性和随机触发两种。针对确定性事件触发的隐蔽攻击已有相关的研究，但是基于随机事件触发的隐蔽攻击策略尚未涉及。因此，迫切需要设计一种随机基于事件的最优隐蔽攻击下的网络化电机系统远程状态估计方法，为保证ICPSs的安全防御与控制提供必要的思路。

发明内容

对于现有技术中仍存的上述不足，本发明提供一种隐蔽攻击下的网络化电机系统远程状态估计方法，旨在为ICPSs设计检测和防御机制提供依据。

本发明的一种隐蔽攻击下的网络化电机系统远程状态估计方法，包括如下步骤：

步骤1：构建正规网络化直流电机伺服系统模型；

步骤2：建立随机基于事件的触发器调度模型；

步骤3：生成攻击信号，并将其注入到触发器调度模型，基于攻击信号计算随机基于事件触发函数值；

步骤4：根据触发器调度模型中决策变量γ_k ^a的取值，远程估计器对系统状态进行更新；

步骤5：判断远程估计器侧配备的通讯比率检测器测试传输过程中是否存在攻击，存在攻击则报警，否则反馈系统输出估计值；

步骤6：判断反馈信道中的卡方检测器测试传输通道是否存在攻击，存在攻击则报警，否则判断是否传输结束，没有结束返回步骤3继续执行。

进一步的，步骤3具体为：

步骤3.1：通过系统辨识技术获取到随机基于事件调度策略的触发参数Z；

步骤3.2：生成一组攻击时长为n，且满足前向通道通讯比率不变性和反馈通道χ²检测隐蔽性的随机新息序列

步骤3.3：根据步骤3.1和3.2中得到的触发参数Z和随机新息序列计算出相应的事件触发函数值，并根据事件触发函数值大小进行升序排列；

步骤3.4：通过窃听技术获取系统的输出信号y_k，计算出相应的攻击信号

步骤3.5：堵塞反馈系统输出估计值的无线信道，并给网络化直流电机伺服系统注入攻击信号/>

步骤3.6：判断攻击是否结束：否，则返回步骤3.4：继续执行；是，则攻击结束。

进一步的，所述步骤3.1中的中随机基于事件调度策略的触发参数Z来自于系统正常运行时的触发器调度模型为：

式中：γ_k是决策变量，γ_k＝1表示发送数据，反之表示不发送；ζ_k是独立同分布的随机变量，服从[0,1]上的均匀分布；触发函数满足表示无攻击时的新息值。

进一步的，所述步骤3.2中的前向通道通讯比率不变性和反馈通道χ²检测隐蔽性包括：

1)前向通道通讯比率指的是远程估计器侧接收数据包的平均期望值：

采用无偏估计的方法来计算通讯比率，通讯比率的不变性是指攻击前后，远程估计器侧测得的通讯比率在一定的裕度范围内保持不变，为保证通讯比率的隐蔽且保持较好的攻击效果，应使攻击后的通讯比率γ_a等于无攻击时通讯比率的下界γ；

2)χ²检测器用于揭示反馈信道的异常，其具体形式为：

其中，J为检测时间窗，δ为检测阈值，为新息序列误差协方差；当假设H₁成立时，检测器报警，说明存在恶意攻击；为保证χ²检测的隐蔽性，应使无攻击和有攻击时的新息序列具有相同误差协方差；

3)随机新息序列为满足上述双重隐蔽条件，应是均值为0，方差为的高斯分布，其中C为系统的输出矩阵，/>为初始方差，R为输出噪声方差。

进一步的，所述步骤3.3中按照受攻击下随机基于事件触发函数进行计算相应的触发函数值，并将n个触发函数值按照从小到大的顺序进行排列得到新的新息序列/>

进一步的，所述步骤3.4中借助于通讯领域的窃听技术截获系统的输出信号y_k，利用求解注入到正常随机事件触发器的攻击信号/>得到受攻击下的事件触发器调度模型为：

是攻击下的决策变量；触发函数为/> 表示有攻击时的新息值。

进一步的，所述步骤3.5为攻击的实施阶段，攻击者的目标是最大程度的降低远程估计器侧对系统状态的估计精度，定义平均估计误差为：

其中P_k(γ_k)表示在决策变量γ_k下估计器的误差协方差，攻击的目的是最大化目标函数J。

本发明的一种隐蔽攻击下的网络化电机系统远程状态估计方法，至少具有以下有益效果：

1、基于随机事件的触发器调度模型，设计了一种隐蔽攻击下的网络化电机系统远程状态估计方法，旨在为工业信息物理系统的安全防御提供启发。

2、从攻击者的角度出发，找到了同时满足前向通道通讯比率不变和反馈通道χ²检测隐蔽的双重隐蔽条件，使得攻击者可以完成高级持续性威胁的攻击，将攻击效果最大化。

3、以估计器侧的平均误差协方差为目标，给出了最优随机基于事件的隐蔽攻击序列生成算法，并证明其最优性。系统设计者可以依据此算法原理设计相应的检测机制和防御策略，更好的保证系统安全稳定的运行。

附图说明

图1是本发明的一种隐蔽攻击下的网络化电机系统远程状态估计方法的流程图；

图2是本发明的一种隐蔽攻击下的网络化电机系统远程状态估计方法运行过程的模型示意图；

图3是隐蔽攻击下系统性能随通讯比率的变化情况；

图4a是无攻击估计器对系统真实状态的估计；

图4b是在本发明的攻击信号下估计器对系统状态的估计。

具体实施方式

如图1所示，本发明的一种隐蔽攻击下的网络化电机系统远程状态估计方法全流程实施过程，包括如下步骤：

步骤1：构建正规网络化直流电机伺服系统模型；

通过选取合适的采样时间，并采用一阶保持的离散化方法，可以将连续直流电机伺服系统模型转化为正规化离散时间系统模型：

x_k+1＝Ax_k+Bu_k+ω_k

y_k＝Cx_k+υ_k

式中：x_k为系统状态变量；A，B，C分别为系统状态矩阵，输入矩阵和输出矩阵；u_k和y_k分别为系统控制输入和输出；ω_k，υ_k是相互独立的过程噪声和输出噪声。假设初始状态为x₀，协方差为P。

步骤2：建立随机基于事件的触发器调度模型；

设置随机基于事件的触发器调度模型为：

式中：γ_k是决策变量，γ_k＝1表示发送数据，反之表示不发送；ζ_k是独立同分布的随机变量，服从[0,1]上的均匀分布；触发函数满足是基于新息(innovation)序列的闭环事件触发函数；/>表示无攻击时新息值。

定义通讯比率为远程估计器侧接收数据包的平均期望值：则随机基于事件触发器调度模型通讯比率的上界为：

下界为：

式中，X₀和是方程X＝g_R(X)和/>的解，其中Q和R分别为过程噪声和输出噪声协方差。

步骤3：生成攻击信号，并将其注入到触发器调度模型，基于攻击信号计算事件触发函数值；

正常情况下，根据图2，传感器会将测得的系统输出信息借助于触发器调度模型通过无线信道发送给远程估计器。在没有攻击者时，传感器可以接收到来自远程估计器对系统下一时刻的输出估计值然后根据步骤2中事件触发函数计算相应的函数值/>依据传输触发器决策判断是否发送系统的输出值y_k。

异常情况下，存在攻击者时，根据图2，攻击者会对反馈信道发起攻击，堵塞反馈信道阻碍的传输，同时并注入设计的攻击信号y_k ^a来降低远程估计器侧估计质量，达到攻击的效果。

攻击信号的生成过程包括以下步骤：

步骤3.1：通过系统辨识技术获取到随机基于事件(SEB)调度策略的触发参数Z；

其中随机基于事件调度策略的触发参数Z来自于系统正常运行时的事件触发调度模型：

式中：γ_k是决策变量，γ_k＝1表示发送数据，反之表示不发送；ζ_k是独立同分布的随机变量，服从[0,1]上的均匀分布；触发函数满足表示无攻击时新息值。

步骤3.2：生成一组攻击时长为n，且满足前向通道通讯比率不变性和反馈通道χ²检测隐蔽性的随机新息序列

其中，前向通道通讯比率不变性和反馈通道χ²检测隐蔽性包括：

1)前向通道通讯比率指的是远程估计器侧接收数据包的平均期望值：

在实际中，采用无偏估计的方法来计算通讯比率。通讯比率的不变性是指攻击前后，远程估计器侧测得的通讯比率在一定的裕度范围内保持不变。为保证通讯比率的隐蔽且保持较好的攻击效果，应使攻击后的通讯比率γ_a等于无攻击时通讯比率的下界γ。

2)χ²检测器用于揭示反馈信道的异常，其具体形式为：

其中J为检测时间窗，δ为检测阈值，为新息序列误差协方差。

当假设H₁成立时，检测器报警，说明存在恶意攻击。为保证χ²检测的隐蔽性，应使无攻击和有攻击时的新息序列具有相同误差协方差。

3)随机新息(innovation)序列为满足上述双重隐蔽条件，应满足均值为0，方差为/>的高斯分布，其中C为系统的输出矩阵，/>为初始方差，R为输出噪声方差。

步骤3.3：根据步骤3.1和3.2中得到的触发参数Z和随机新息序列计算出相应的事件触发函数值，并根据事件触发函数值大小进行升序排列；

按照受攻击下SEB触发函数进行计算相应的触发函数值，并将n个触发函数值按照从小到大的顺序进行排列的得到新的新息序列/>

步骤3.4：通过窃听技术获取系统的输出信号y_k，计算出相应的攻击信号

借助于通讯领域的窃听技术截获系统的输出信号y_k，利用求解出需要注入到正常随机事件触发器模型的攻击信号/>据此可以得到受攻击下的事件触发器调度模型为：

是攻击下的决策变量；触发函数为/> 表示有攻击时的新息值。

步骤3.5：堵塞反馈系统输出估计值的无线信道，并给网络化直流电机伺服系统注入攻击信号/>

在攻击的实施阶段，堵塞正常的反馈无线信道，注入步骤3.4中的得到的攻击信号攻击者的目标是最大程度的降低远程估计器侧对系统状态的估计精度。定义平均估计误差为：

其中P_k(γ_k)表示在决策变量γ_k下估计器的误差协方差。攻击的目的是最大化目标函数J。

步骤3.6：判断攻击是否结束：否，则返回步骤3.4：继续执行；是，则攻击结束。

步骤4：根据步骤2中触发器调度模型中的决策变量的取值，远程估计器对系统状态进行更新；

当时，说明远程估计器没有接收到发送的数据包，估计器会对系统状态和输出进行线性预测；当/>时，说明远程估计器接收到发送的数据包，估计器会执行标准的卡尔曼滤波得到系统状态和输出。

基于估计器可用信息集合定义系统的先验估计和后验估计以及它们的误差和协方差分别为：

先验估计

后验估计

因此估计器侧的时间更新和输出更新满足以下形式：

时间更新输出更新/>

式中，系统初值满足/>

步骤5：判断远程估计器侧配备的通讯比率检测器测试传输过程中是否存在攻击，存在攻击则报警，否则反馈系统输出估计值；

通讯比率指的是远程估计器侧接收数据包的平均期望值：

在远程估计器中，采用无偏估计的方法来计算通讯比率。如果传输过程中的通讯比率小于预先设定的通讯比率，检测器报警：此时存在攻击；如果传输过程中的通讯比率大于等于预先设定的通讯比率，则检测器静默，不存在攻击，并反馈系统的输出估计器值

步骤6：判断反馈信道中的卡方检测器测试传输通道是否存在攻击，存在攻击则报警，否则判断是否传输结束，没有结束返回步骤3继续执行。

χ²检测器用于反映反馈信道的异常，其具体形式为：

其中J为检测时间窗，δ为检测阈值，为新息序列误差协方差。

当假设H₁成立时，检测器报警，说明存在恶意攻击；当假设H₀成立时，则检测器静默，不存在攻击，并判断传输是否结束：若传输没有结束，则返回步骤3继续执行；若传输结束，则退出。

为进一步说明本发明的效果，下面给出本发明的一个实施例：

考虑具有如下参数的网络化直流伺服电机系统，直流电机、数模转换器以及光电编码器的相关参数如表1所示。

利用一阶保持的离散化方法，设置采样时间为0.1s，可以得到正则化网络直流伺服电机系统：

表1网络化电机系统仿真参数

过程噪声和输出噪声的协方差分别为：

基于本发明中所介绍的隐蔽攻击序列生成算法，对实施例中的直流电机伺服系统发起攻击。以最大化远程估计器侧的平均估计误差为目标，得到了隐蔽攻击下系统性能随通讯比率的变化情况如图3所示，可以看到远程估计器的估计误差相比于没有攻击时有明显的增加，说明了所设计隐蔽攻击的有效性。图4a和4b给出了系统第二个状态分量随时间的变化情况，图4a展示了无攻击估计器对系统真实状态的估计，图4b展示了在最优随机事件隐蔽攻击算法下估计器对系统状态的估计，从图中可以看出自时间600后具有明显的攻击效果，产生了较大的估计误差，说明了本发明中所设计的基于随机事件的最优隐蔽攻击算法的有效性。

以上所述仅为本发明的较佳实施例，并不用以限制本发明的思想，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种隐蔽攻击下的网络化电机系统远程状态估计方法，其特征在于，包括如下步骤：

步骤1：构建正规网络化直流电机伺服系统模型；

步骤2：建立随机基于事件的触发器调度模型；

步骤3：生成攻击信号，并将其注入到触发器调度模型，基于攻击信号计算随机基于事件触发函数值；

步骤4：根据触发器调度模型中决策变量的取值，远程估计器对系统状态进行更新；

步骤5：判断远程估计器侧配备的通讯比率检测器测试传输过程中是否存在攻击，存在攻击则报警，否则反馈系统输出估计值；

步骤6：判断反馈信道中的卡方检测器测试传输通道是否存在攻击，存在攻击则报警，否则判断是否传输结束，没有结束返回步骤3继续执行；

步骤3具体为：

步骤3.1：通过系统辨识技术获取到随机基于事件调度策略的触发参数Z；

步骤3.2：生成一组攻击时长为n，且满足前向通道通讯比率不变性和反馈通道χ²检测隐蔽性的随机新息序列

步骤3.3：根据步骤3.1和3.2中得到的触发参数Z和随机新息序列计算出相应的事件触发函数值，并根据事件触发函数值大小进行升序排列；

步骤3.4：通过窃听技术获取系统的输出信号y_k，计算出相应的攻击信号

步骤3.5：堵塞反馈系统输出估计值的无线信道，并给网络化直流电机伺服系统注入攻击信号/>

步骤3.6：判断攻击是否结束：否，则返回步骤3.4：继续执行；是，则攻击结束。

2.如权利要求1所述的隐蔽攻击下的网络化电机系统远程状态估计方法，其特征在于，所述步骤3.1中的随机基于事件调度策略的触发参数Z来自于系统正常运行时的触发器调度模型为：

式中：γ_k是决策变量，γ_k＝1表示发送数据，反之表示不发送；ζ_k是独立同分布的随机变量，服从[0,1]上的均匀分布；触发函数满足表示无攻击时的新息值。

3.如权利要求1所述的隐蔽攻击下的网络化电机系统远程状态估计方法，其特征在于，所述步骤3.2中的前向通道通讯比率不变性和反馈通道χ²检测隐蔽性包括：

1)前向通道通讯比率指的是远程估计器侧接收数据包的平均期望值：

采用无偏估计的方法来计算通讯比率，通讯比率的不变性是指攻击前后，远程估计器侧测得的通讯比率在一定的裕度范围内保持不变，为保证通讯比率的隐蔽且保持较好的攻击效果，应使攻击后的通讯比率γ_a等于无攻击时通讯比率的下界γ；

2)χ²检测器用于揭示反馈信道的异常，其具体形式为：

其中，J为检测时间窗，δ为检测阈值，为新息序列误差协方差；当假设H₁成立时，检测器报警，说明存在恶意攻击；为保证χ²检测的隐蔽性，应使无攻击和有攻击时的新息序列具有相同误差协方差；

3)随机新息序列为满足上述双重隐蔽条件，应是均值为0，方差为的高斯分布，其中C为系统的输出矩阵，/>为初始方差，R为输出噪声方差。

4.如权利要求1所述的隐蔽攻击下的网络化电机系统远程状态估计方法，其特征在于，所述步骤3.3中按照受攻击下随机基于事件触发函数进行计算相应的触发函数值，并将n个触发函数值按照从小到大的顺序进行排列得到新的新息序列

5.如权利要求1所述的隐蔽攻击下的网络化电机系统远程状态估计方法，其特征在于，所述步骤3.4中借助于通讯领域的窃听技术截获系统的输出信号y_k，利用求解注入到正常随机事件触发器的攻击信号/>得到受攻击下的事件触发器调度模型为：

是攻击下的决策变量；触发函数为/> 表示有攻击时的新息值。

6.如权利要求1所述的隐蔽攻击下的网络化电机系统远程状态估计方法，其特征在于，所述步骤3.5为攻击的实施阶段，攻击者的目标是最大程度的降低远程估计器侧对系统状态的估计精度，定义平均估计误差协方差为：

其中P_k(γ_k)表示在决策变量γ_k下估计器的误差协方差，攻击的目的是最大化目标函数J。