防御虛假數據注入攻擊的多目標優化模型

張 杰， 陳佳佳

(山東理工大學電氣與電子工程學院， 淄博 255000)

隨著網絡組件和信息通信技術的融合，電力基礎設施逐步向智能電網轉型[1]。電力系統的這些進步也使得電力系統更加開放，與外部的聯系日益密切，但是這些進步也帶來了新的電力信息物理融合系統 (cyber physical system, CPS) 的安全危機，并且威脅到了電力系統的安全可靠運行。具體而言，隨著新的接入點引入電力系統，潛在復雜的物理攻擊也隨之而來，這些攻擊可以通過誤導電力系統操作者的決策來破壞電力CPS[2]。事實上，對電網的網絡物理攻擊并不是單純的猜測，而是既定的事實，并且已經對電力系統帶來了嚴重的威脅[3]。例如，2015年12月，一種名為“Black Energy”的木馬病毒破壞了烏克蘭地區的配電系統，導致電力中段，影響了約22.5萬名用戶長達數小時，2010年7月，Stuxnet蠕蟲病毒攻擊了伊朗的核設施，并影響了離心機的速度，造成了很大的危機[4-5]。

虛假數據注入 (false data injection, FDI) 攻擊是最受關注的網絡攻擊之一，FDI攻擊的概念第一次被Liu等[6]提出，如果電網的拓撲結構和參數信息已知，精心合成的惡意數據可以繞過能源管理系統 (energy management system, EMS) 的壞數據檢測 (bad data detection, BDD)，從而對系統造成破壞。在網絡層，黑客通過注入惡意的測量數據，可以破壞系統數據的完整性和錯誤的誘導電力系統運作中的調度信息。造成在物理層的電力系統線路過載，甚至造成設備的損壞進而觸發級聯故障[7]。因此，FDI攻擊會擾亂智能電網的運行，造成經濟損失，更嚴重的是FDI攻擊會干擾測量數據，誤導操作者發出錯誤的調度信息。

大規模的失負荷 (loss of load demand, LoLD)會造成電力系統的級聯失效和停電的危害。為了處理這個問題，文獻[8]構建了低頻減載的負荷模型來評估FDI攻擊對微電網的影響，從而降低它對系統造成的危害。文獻[9]運用復雜網絡理論和熵理論，提出了一種基于元件綜合影響力的安全性風險評估方法來預防大規模停電事故發生。另外，一些工作已經開始研究如何部署安全防御設備來防御FDI攻擊。文獻[10]基于不完全信息的多目標方法分析了攻擊者和防御者之間的策略交互。然而從可靠性和安全性的角度來看，安全防御設備的安裝遵從經濟政策優先原則，這可能會限制這些設備的實際應用效果。此外，現有的文獻對電力系統運行中防御FDI攻擊的防御預算和LoLD之間的關系的研究還很有限。因此，提出多目標優化模型來減輕FDI攻擊造成的LoLD。該模型在保護電力系統免受FDI攻擊的最低防御成本、降低電力系統網損和免受停電可能性的最小預算成本之間進行權衡。

1 虛假數據攻擊過程

所謂FDI攻擊是指向調度系統數據采集與監控系統 (supervisory control and data acquisition, SCADA) 注入惡意數據[11]，產生錯誤的調度信息造成大規模的LoLD，從而造成安全危害和設備損壞。FDI攻擊的一個顯著特征是攻擊者可以通過發起不被檢測的數據注入來造成物理損害。如圖1所示，精心合成的虛假數據 (ɑ) 可以繞過BDD誤導操作者并影響調度解。隨后，這個錯誤的調度信號被送到控制中心，使得操作者在錯誤的調度信息下對系統做出調度動作，會造成電力系統LoLD，從而達到攻擊者的目的。

圖1 虛假數據注入攻擊過程

2 目標函數構建

加裝安全防御設備可以提高系統防御FDI攻擊的能力，確保電力系統可以安全穩定運行，如若配置不當，將會造成系統失負荷風險提高。因此，從電網經濟性和用戶滿意度角度考慮，應當做出優化。現以失負荷最低、網損最低和總成本最低為多目標函數，建立優化模型。

2.1 安全防御設備及電力系統運行總成本模型

成本是電力系統運作中應該考慮的主要問題之一，它關系著電網運行的經濟性能。總成本包括安全防御設備的購置和運作成本，另外還包括發電機消耗燃料產生的成本。從防御者的角度看，他們的目的是構建以最低的安全防御設備組合成本達到最優的防御性能的保護組，因此安全防御成本可表達為

minFtotal=Cdefense+Cfuel

(1)

(2)

式中：Cdefense為防御成本；Cfuel為發電機運行中消耗的燃料成本；Cj為第j類防御設備的購置成本；oj為第j類防御設備的運行成本；Ns為安全防御保護組的數量；qi為第i個安全防御保護組里面安全防御設備的類型數量；Pgk為第k個發電機的有功輸出，可以通過潮流計算得出；ak、bk和ck分別為第k臺發電機的燃料曲線系數；Ng為系統中發電機的數量。

2.2 失負荷模型

本文研究中強調潛在的FDI攻擊與LoLD聯系的風險，LoLD是指電力系統遭受到FDI攻擊后節點的負荷隨FDI攻擊的嚴重程度而丟失的多少。綜合分析FDI攻擊的成功率和嚴重程度后，將LoLD定義為FDI攻擊成功率與節點負荷的乘積。LoLD的值主要取決于FDI成功攻擊的概率，因此FDI攻擊后總的LoLD定義為

(3)

(4)

式中：pai為成功攻擊的概率，這里表示若第i個安全防御保護組里所有的安全防御設備均未防御成功才為一次成功的FDI攻擊；PDi為第i個節點的負荷需求；qi為被分配在第i個安全保護組(實際中安全防御設備不止一種，安全保護組為幾種類型安全防御設備組成)里面的安全防御設備的類型數量；n為失負荷節點的集合；xij為第j類安全防御設備被分配在第i個安全防御保護組里面的冗余量；pdj為安全防御設備成功防御的概率；Sj為脆弱性；Cj和oj分別為第j類安全防御設備的購置和運行成本；lj為攻擊安全防御設備j所付出的攻擊成本；m為強度參數，通常定義為1[10]。

在FDI攻擊的環境下，如果沒有部署安全防御設備，那么一次成功的攻擊將會破壞整個系統。因此，安全防御設備被用來減輕FDI攻擊造成的危害，式(4)中的脆弱性Sj定義為安全防御設備不能執行防御FDI攻擊任務的能力。這意味著如果脆弱性是0，那么期望的性能(能夠防御FDI攻擊)將會是1；如果脆弱性是1，那么期望的性能將是0。

然而，由于安全防御設備在實際中是復雜的，成功防御的概率不止與脆弱性相關聯，而且也與系統的可靠性(rj)有關。因此，將可靠性考慮在內，第j個安全防御設備能夠成功防御FDI攻擊的概率將會是pdj=(1-Sj)rj。這就意味著可靠性(rj)應該被考慮在電力系統運作中的一個重要的因素。例如，如果rj是0，那么成功防御的概率已經與安全防御設備的脆弱性毫無關系；如果rj是1，則成功防御的概率直接與脆弱性相關。但是在實際中，由于攻擊環境和強度的不確定性，可靠性難以達到1。

2.3 網損模型

由于FDI攻擊造成操作者的錯誤調度，使得電網的網損出現起伏，會造成網損的增加。因此將網損作為優化目標是提高電力系統可靠性的重要途徑之一。因此輸電線路的網損為

(5)

式(5)中：Floss為電力系統總的網損；L為總的電力系統支路數；ri為第i條支路的電阻；Pi、Qi和Ui分別為第i條支路的有功、無功和電壓值。

2.4 多目標風險規避模型

風險規避模型(MoRA)的目標是降低FDI攻擊后造成的LoLD和網損，并且同時保證電力系統的總成本最小。據此，MoRA模型構建為

(6)

式(6)中：g和h分別為系統的等式約束和不等式約束；X為狀態變量；U和xij為決策變量；xij為第j種類型的安全防御設備被分配到第i個安全防御保護組的數量，xij屬于集合[0,wi/(Cij+oij)]；wi為第i個安全保護組的防御資源。

狀態變量X的表達式為：XT=[PG1,VL1…VLND,QG1…QGN,S1…SNE]；其中PG1為松弛節點的有功輸出；VL1和VLND分別為負荷節點1和負荷節點ND的電壓向量；ND為總的負荷節點數；QG1和QGNG分別為發電機機組1和NG的無功輸出向量，NG為總的發電機機組數；S1和SNE分別為節點1和節點NE的視在功率向量，NE為系統總的節點數。

控制變量U的表達式為UT=[PG2…PGNG,VG1…VGNG,T1…TNT,QC1…QCNC]，其中PG2和PGNG分別為發電機機組2和NG的有功輸出；VG1和VGNG分別為發電機機組1和NG的電壓向量；NG為總的發電機機組數；T1和TNT分別為變壓器分支1和NT的變壓器分抽頭；QC1和QCNC分別為無功補償裝置1和NC的功率輸出；NT和NC分別為總的變壓器分支和補償裝置。

3 算例仿真

為了驗證所提模型的性能，仿真分析構建在典型的IEEE 30節點測試系統中。IEEE 30 節點測試系統的拓撲圖如圖2所示。FDI攻擊的位置設為節點2、5、7、8和21。從市場購得3種安全防御設備，這3種安全防御設備的可靠性和各成本如表1所示[10]。假設每個安全保護組的防御資金為6 947美元。采用個人計算機的MATLAB編程優化計算，計算機平臺為Intel酷睿i7，主頻為2.60 GHz，內存為16 GB。

1～30為節點

如表1所示，如果一個防御設備的成本很高，那么它將對應著很高的可靠性，這說明在保證高可靠性時并不能保證經濟性，這兩個指標是相互對立的，應該同時考慮。因此構建了MoRA模型來保證電力系統遭受FDI攻擊時的防御成本、網損和LoLD三者的均衡。

表1 安全防御設備的成本和可靠性

由多目標進化捕食策略 (multiple preys based evolutionary predator and prey strategy, MPEPPS)計算得到的Pareto前沿如圖3所示。從圖3可以很明顯地看出，大的成本對應低的風險，另外，隨著總成本的增加，失負荷在減少的同時網損在緩慢增加。這說明不能同時得到一個低成本和低網損而又低失負荷的解，換句話說，總成本、失負荷和網損三個目標需要同時考慮。此外，從圖3可以很清楚地發現，最終解的分布具有很好收斂性。

圖3 MPEPPS進行獨立仿真得到的最優的帕累托前沿

為了進一步分析MPEPPS得到的帕累托解集，采用多屬性決策方法 (technique for order preference by similarity ideal solution， TOPSIS) 獲得最終的調度解，決策后排名前五的解如表2所示。從表2中可知，并不是總防御成本越高失負荷越少，如排序第二和第三；也不是總的防御成本越高，網損越大，如排序第三和第四；而是高的防御成本得到了LoLD和網損之和最小，其中防御成本、LoLD和網損的最優解分別為30 187美元、1.65 MW和0.18 MW，與只考慮LoLD和總成本兩個目標的優化(LoLD為1.6 MW和總成本為27 022 美元)相比，雖然總成本提高了3 165美元，但是網損降低了5.12 MW。另外，與未配置安全防御設備的系統相比，失負荷降低了184.55 MW，本模型展現了更高的可靠性。這三種安全防御設備被分配在節點2、5、7、8和21的數量分別為(4 2 1)、(5 3 2)、(5 3 1)、(3 1 1)、(4 2 1)。

表2 決策后的五個最優解

為了更加直觀地比較加裝安全防御設備對系統的影響，電壓分布的比較圖如圖4所示。從圖4中可以明顯看到節點25、26、27、29和30在受到攻擊后處于欠電壓運行的狀態。但是加上安全防御設備后，電壓全部恢復到安全運行限制以內，且與正常運行情況下的電壓波動幾乎相當。可見，本文模型確實有實際意義。

圖4 節點電壓的比較

另外，表3給出了攻擊前后和防御后的電壓均值、方差、最大和最小值進行比較。可見，加裝防御設備后的電壓偏差和方差上都優于攻擊后的電壓偏差，甚至優于正常工作時的電壓情況。結果表明，利用MoRA模型可以顯著提高電力系統的穩定性。

表3 電壓偏差、均值和變量的比較

4 結論

針對FDI攻擊造成的電力系統失負荷問題，提出了多目標風險規避模型，并通過MPEPPS算法提供帕累托解，最終引用TOPSIS決策方法得到最終的調度解，得到以下結論。

(1)通過仿真算例表明，本文提出的多目標風險規避模型減輕了FDI攻擊造成的電力系統LoLD，與不配置安全防御設備相比，失負荷降低了184.55 MW。另外，與不考慮網損的兩目標優化相比，網損降低了5.12 MW，該模型可以為電力系統防御FDI攻擊提供模型參考。

(2)模型可以有效權衡FDI攻擊下防御成本、電力系統網損和失負荷風險，保證了電力系統運行的經濟性與供電的可靠性。因此，該模型對抵御FDI攻擊具有一定的實際意義。本模型也可應用于新能源接入下的配電網或微電網針對FDI攻擊的防御中，可以有效地降低FDI攻擊對電力系統的危害。