基于嵌入分層決策樹的電網完整性保護

茍瑞欣， 劉小敏， 肖艷利， 王 錚

(國網寧夏電力有限公司經濟技術研究院能源互聯(lián)網技術經濟研究中心, 銀川 750001)

隨著網絡技術的發(fā)展，現(xiàn)代電網已經成為網絡物理系統(tǒng)[1]。作為最關鍵的廣域監(jiān)視、保護和控制功能之一，系統(tǒng)完整性保護(system integrity protection,SIP)旨在通過采取諸如負荷卸載、發(fā)電拒絕等補救措施來防止系統(tǒng)范圍內的穩(wěn)定性問題[2-3]。當檢測到某些預定和不期望的系統(tǒng)條件時，除了試圖減少SIP的自然失效次數外，如何確保智能電網中的SIP方案在面對網絡攻擊時不會嚴重惡化同樣重要。

SIP方案大多采用集中式主從架構，很少有方案綜合考慮網絡安全。為了保護SIP安全并增強其網絡泛化能力，可以探索三種解決方案：①應用傳統(tǒng)的IT安全措施，如通信網絡隔離和加密，以保護SIP免受網絡威脅[4]；②部署多個保護模塊作為彼此的備份[5]；③重新設計SIP，使其能夠及時檢測到異常情況，并具有自適應性，以便在受到攻擊時能夠相應地調整其行為[6]。現(xiàn)主要研究第三種選擇，尋求一種新的針對智能電網的抗攻擊SIP設計方案。

對于抗攻擊SIP設計方案，研究人員通常轉向權力下放來解決集中職能的安全問題。文獻[7]提出了一種基于多智能體系統(tǒng)(MAS)規(guī)則的入侵檢測方案，該方法能檢測繼電器的嚴重跳閘，并能區(qū)分網絡攻擊和正常故障。然而。本文研究中主要集中在局部保護方面，而基于規(guī)則的異常檢測的可擴展性可能成為應用過程中的一個瓶頸，因為對于復雜的函數，有效的規(guī)則并不總是顯式的，也不容易總結。文獻[8]提出了分布式特殊保護系統(tǒng)(SPS)的思想，利用置信度來統(tǒng)計地識別不可信的智能體，并利用“數據重傳”機制來減少數據丟失的影響。然而，提出的解決方案需要同時提供大量冗余數據多個在線控制器。文獻[9]討論了一種通用的基于MAS的自適應負荷分配方法，參與負載分配算法的智能體基于平均一致性算法動態(tài)交換負載信息，每個代理在達成一致性后，根據系統(tǒng)范圍內的供需差異和負載連接指標，計算出需要分配的本地負載。然而，這項工作沒有考慮MAS受到惡意網絡攻擊的情況。

為了提升系統(tǒng)抗攻擊能力以及泛化能力，現(xiàn)提出一種基于支持向量機嵌入分層決策樹(SVMLDT)的多智能體電網抗攻擊系統(tǒng)完整性保護方案；同時提出一種基于動態(tài)規(guī)劃的自適應減載方案，該方案能夠適應拒絕服務(denial of service,DoS)攻擊。利用SVMDT以點對點的方式進行交互，使得每個智能體都具有數據處理和決策的能力制作。實驗結果證明了提出方法的有效性。

1 多智能體系統(tǒng)設計

傳統(tǒng)的SIP通常包括一個主機(決策模塊)和幾個從機(傳感器/執(zhí)行器)。此類集中保護方案容易受到網絡攻擊，當SIP受到協(xié)同攻擊時，失去主設備將導致隱藏故障。本節(jié)介紹一種基于多智能體系統(tǒng)(MAS)的分布式SIP，主要滿足只有部分代理收到對方攻擊，該SIP可以盡最大努力提供補救措施。MAS是由多個智能體組成的，這些智能體之間相互通信和交互，從而實現(xiàn)具有自治性的各種任務。每個智能體都有一組特定的資源(處理器、內存、傳感器、執(zhí)行器等)和操作行為(通知、請求、接受和拒絕等等)。通常，MAS采用分層或對等體系結構。由于具有層次結構的MAS仍然可以區(qū)分智能體的作用，因此主要研究對等體系結構。

許多現(xiàn)有研究工作傾向于在變電站內設計MAS。相反，本文研究中提出的第一個假設是一個智能體代表一個完整的變電站。MAS中的智能體之間需要進行數據和信息的交換，通信網絡拓撲結構對MAS的性能有很大的影響。圖1描繪了一種可能的拓撲結構，其中把網絡映射到物理網格。下文提出的異常檢測和自適應控制可以不考慮實際的通信拓撲結構，因此對拓撲的結構設計沒有著重介紹。

圖1 點對點MAS體系結構

MAS的總體運行流程圖如圖2所示，其中包括異常檢測和自適應最佳減載(為內置應用程序)。每個智能體在本地檢測異常，但是在進行任何保護操作之前，相互連接的智能體之間必須達成一致。此過程采用了平均一致性算法[10]。

圖2 多智能體模型流程圖

不同SIP方案對時序性能的要求各不相同，應充分考慮，以保證能夠及時實施補救措施。通常，特定SIP方案不涉及多個節(jié)點(變電站)。雖然兩個智能體之間的通信需要中間智能體的協(xié)助并不少見，但設計良好的通信網絡拓撲結構可以消除通信瓶頸，減少路由跳數，從而降低通信延遲。盡管基于MAS的SIP可以替代傳統(tǒng)的集中式方案，但更佳方案是保留集中式保護，將從屬節(jié)點轉換為智能代理，然后在他們之間進行對等通信。通過這種方式，其他研究可以充分利用現(xiàn)有研究方案，并且系統(tǒng)升級成本較低。

2 數據驅動的信息物理系統(tǒng)異常檢測

2.1 總體設計

集中式SIP的一個現(xiàn)存問題是，當從機沒有收到來自主機的任何命令時，并不知道是因為沒有發(fā)生意外事件，還是因為特定命令被對方阻止或選擇性地過濾掉。傳統(tǒng)SIP從機無法區(qū)分這兩種情況，但智能體提出的SIP具有這種能力。為了使分散式SIP能更好地感知狀態(tài)信息，提出一種數據驅動的異常檢測算法。

檢測異常的任務是捕獲信息物理系統(tǒng)(CPS)的任何異常操作狀態(tài)，這些異常狀態(tài)可以形成一個多分類問題，通過監(jiān)督學習解決。標記訓練數據是監(jiān)督學習的前提條件，因此首先將電力系統(tǒng)的運行狀態(tài)歸為CPS。

根據平等和不平等的違反運算約束的次數，通常電力系統(tǒng)有5種不同的運行狀態(tài)：正常、警報、緊急、極端和恢復。考慮到物理層和網絡層之間的相互作用，得出了一個更全面的電網狀態(tài)轉換圖，如圖3所示。

圖3 電力系統(tǒng)運行狀態(tài)作為CPS

正常狀態(tài)(N/0)——物理層和網絡層均無異常。這種狀態(tài)用“N”或“0”表示，在本文研究中沒有區(qū)別，下文同樣如此。

應急后狀態(tài)(P/1)——當發(fā)生物理意外事件時，網絡層中的SIP不會受到攻擊，并按預期正常工作。

隱藏故障狀態(tài)(H/2)——部分網絡層已被破壞，但尚未發(fā)生物理層意外事件。

警報狀態(tài)(A/3)——物理系統(tǒng)發(fā)生事故，同時，網絡層一部分的保護方案也受到損害。

緊急狀態(tài)(E/4)——物理系統(tǒng)處于由于執(zhí)行保護方案而觸發(fā)級聯(lián)事件的狀態(tài)。

在極端狀態(tài)(I)——物理系統(tǒng)不穩(wěn)定，需要隔離。

在圖3中，每個模塊表示電力系統(tǒng)的狀態(tài)，并且是網絡層中的狀態(tài)(頂部藍色文本)和物理層狀態(tài)(底部紅色文本)的組合。在定義了這些狀態(tài)后，異常檢測函數可以區(qū)分正常狀態(tài)和由網絡攻擊(狀態(tài)H、A或E)或自然突發(fā)事件(P)引起的異常狀態(tài)。除了狀態(tài)I以外的所有狀態(tài)都將用于數據標記，因為當系統(tǒng)已處于極端狀態(tài)時，異常檢測并沒有多大作用了。狀態(tài)I的所有數據實例也被標記為狀態(tài)E。

2.2 CPS異常檢測的支持向量機嵌入分層決策樹算法

在CPS異常檢測中，應利用網絡和物理特征，從而可以揭示兩層之間的潛在關聯(lián)，以反映整個系統(tǒng)的運行狀態(tài)。

決策樹(DT)和支持向量機(SVM)是監(jiān)督學習中常用的兩種分類方法。DT以其分類效率而聞名，然而，當處理與線性決策邊界不可分離的數據時，DT的分類精度可能不理想。相比之下，支持向量機可以更好地生成非線性邊界，并對具有數值特征的數據進行分類，但與DT相比，它的計算量大，速度較慢。另外，支持向量機是進行二值分類的理想選擇。當涉及多類分類時，使用支持向量機會導致出現(xiàn)未分類區(qū)域[11]。現(xiàn)提出支持向量機嵌入分層決策樹(SVMLDT)方法，首先將訓練數據集分離到所有名義特征下的子集合，降低了特征空間的維數。然后SVMLDT對每個子空間應用決策樹支持向量機(decision tree support vector machine,DTSVM)，這一步只需要考慮數值特征。

如上所述，SVMLDT首先利用所有名義特征，通過構建第一層決策樹對超空間進行分層。其次，將DTSVM應用于第一層樹的每個葉節(jié)點，使每一層樹的葉節(jié)點成為第二層樹的根節(jié)點。在構造第一層樹中采用貪婪策略，利用信息增益進行特征選擇。整個SVMLDT訓練過程見算法1，主要包括以下三個步驟。

步驟1 形成具有標稱特征的第一層樹。

步驟2 對于第一層樹的一個根節(jié)點，根據不同類質心之間的歐幾里德距離，選擇距離其他類“最遠”的類Csep。

步驟3 訓練支持向量機，將Csep與其他類分開。使用遞歸算法，直到第二層樹的所有節(jié)點變?yōu)槿~節(jié)點。

算法1 SVMLDT輸入:數據集S輸出:SVMLDT模型1:程序SVMLDT(S)2:Tree=NULL3:L1_ tree=DT(標稱特性)4:Tree=L1_ tree5:for 每一個在L1樹中的葉子結點Svdo6:ifSv是‘pure (度為0),then標記為葉結點7:else8:Sv為L2_tree的根節(jié)點9:類Csep=selectClass(Sv)10:在Csep和剩余數據之間執(zhí)行SVM算法11:if(兩個節(jié)點均為葉結點)不是真的,then12:對非葉節(jié)點重復步驟9～步驟10。13:end if14:將L2_tree嵌入Tree中15:end if16:end for17:Return Tree18:end

算法2 選擇類別(S)輸入:數據集S結果:類Csep1:程序—選擇類別(S)2:for每一個類Cido3:找到質心距離{dij,j≠i}4:在類和其他類別之間5:end for6:i=argmaximinj(dij)7:Csep=C8:ReturnCsep9:end

3 自適應最優(yōu)卸載

3.1 基于動態(tài)規(guī)劃的最優(yōu)卸載

在本節(jié)中提出的削減負載方案依賴于互聯(lián)智能體之間的負載分配。對于一個相互連接的MAS，當每個智能體觀察到顯著的負載變化時，它將在全球范圍內廣播其負載特性。另外，智能體從所有其他智能體收集負載配置文件，根據收集的負載數據，智能體用動態(tài)規(guī)劃的方法定期解決式(1)中提出的0-1背包問題。因此，當智能體需要削減負載時，可以很快完成此任務。優(yōu)化問題的目標函數是在削減負荷后盡可能多地保留負荷值。

(1)

式(1)中:N為削減負荷方案涉及的變電站總數；Ki為變電站i的饋線數量；Pij(MW)和vij(美元/MWh)分別代表變電站i饋線j上的負荷量和相應的單位負荷值；PD(MW)為系統(tǒng)中的總負載；C(MW)為SIP觸發(fā)時必須削減的負載量。對于削減負荷方案，通常通過分析權重來確定C，假設每個智能體都知道此值是一個常數，該優(yōu)化問題中的決策變量為xij。當xij=0時，智能體將削減指定饋線的負載；當xij=1時，保持負載。單位負荷值vij的定義如式(2)所示：

vfeeder=LMP×(1+λfeeder)

(2)

式(2)中：LMP為節(jié)點邊際電價；λfeeder為饋線的權重；vfeeder為反饋符合值。因此，饋線值是Pij和vij的乘積，單位為美元/h。

3.2 DoS攻擊下的自適應策略

3.1節(jié)提出的削減負荷方案要求參與削減負荷的所有智能體相互關聯(lián)。當MAS受到網絡攻擊時，情況可能并非如此。通過修改式(1)中提出的自適應策略，當某些通信信道被DoS攻擊阻塞時，SIP仍能盡最大努力采取補救措施。當智能體之間的通信被阻塞時，原互連的MAS將被分成幾個相互連接的小組。在一個小組中，實時負載文件仍然可以進行“全局”共享。因此，自適應策略可以描述如下。

(1)總削減負荷量仍由意外事故分析確定。

(4)每個智能體解決了式(3)中提出的動態(tài)規(guī)劃問題，并在需要時相應地削減其部分。

(3)

用矩陣Pn×m表示所有n個代理和m次保護措施的歷史削減負荷記錄，如式(4)所示。式(5)～式(8)證明了當每一個智能體群按式(3)規(guī)定進行削減時，總的卸載量為C(MW)。假設歷史削減負荷記錄沒有被攻擊，此假設是合理的，因為緊急事件很少發(fā)生，而且在事后分析期間，攻擊者輸入的任何不良記錄都可以被過濾掉。

(4)

(5)

(6)

(7)

(8)

另外，所提出的自適應削減負荷方案對DoS攻擊誘導的信道或智能體失效具有很強的抗攻擊能力，但不處理數據完整性攻擊可能導致失敗。

4 性能評估

4.1 實驗裝置

將文獻[12]中提出的卸載負荷SIP被映射到國際電氣工程師協(xié)會(IEEE)39總線系統(tǒng)作為研究案例，因為39總線系統(tǒng)在某些條件下表現(xiàn)出類似的卸載負荷保護需求。如圖4所示，當39總線系統(tǒng)中的G8停止工作時，線路16～19和線路21～22將過載。這是因為圖4右下角以藍色虛線為界的子系統(tǒng)擁有整個系統(tǒng)37.9%的發(fā)電量，但該區(qū)域的負荷量只有15%，剩余的發(fā)電量主要通過16～19號線和21～22號線輸送到系統(tǒng)的其余部分。如果兩條線路因過載而跳閘，整個系統(tǒng)將變得不穩(wěn)定。因此，選擇G8表示電廠，G8附近的卸載負荷(包括25～28號總線)作為補救措施，防止兩條線路跳閘。

圖4 帶負荷卸載保護方案的IEEE39總線

創(chuàng)建5個虛擬機(VM)作為智能體，分別代表工廠G8和總線25～28。在每個虛擬機中，與操作和削減負荷相關的智能體行為的編程語言為Java，并利用Java運行平臺(JADE)實現(xiàn)了智能體之間的通信。所有智能體都通過一個虛擬的雙向環(huán)連接。在此基礎上，對智能體通信、一致性達成和負載削減進行了評估。對于異常檢測評估，在Opal RT模擬器上進行實時模擬，從而合成數據，并由智能體通過Kepware OPC服務器進行收集[13]。在Simulink模型中對智能體間的同環(huán)互連進行仿真，傳統(tǒng)的集中式保護仍然有效。通過R腳本對采集到的合成數據進行異常檢測。

4.2 異常檢測評估

表1給出了每個智能體的特定作用，第2列狀態(tài)包括每個智能體的相關斷路器狀態(tài)。例如，S25_26表示總線25附近線路25～26上斷路器的狀態(tài)。第3列包含與每個總線相關的特性，Vi和ai分別為總線i的電壓幅值和相對相角，有功功率的輸入Inj(發(fā)電和負載)如第4列所示，第5列是功率流，第6列是系統(tǒng)頻率。相反，第7列Δt是經過處理的指標，表示兩個連續(xù)頻率驟降之間的時間間隔。每個智能體都記錄該指標的最后兩個值，表示最后三個頻率下降的特征。Carm和Cshed是網絡信息，表明存在從剩余的執(zhí)行保護措施的主機收到的“Arm”和“Shed”命令。

表1 智能體參數

首先從以下場景收集合成數據，系統(tǒng)負載設為靜態(tài)值。該數據集被分成訓練子集和測試子集。注意，測試子集包含了來自訓練數據集相同類型事件的信息。

目標意外事件(即G8跳閘)不會受到攻擊，并且集中式的保護可以成削減負荷。配備集中式的保護時，不會發(fā)生不相關的自然突發(fā)事件。當傳統(tǒng)的集中式保護受到環(huán)形網絡上的單點或雙點DoS攻擊時(15種情況)，G8會受到對方攻擊。

用R語言實現(xiàn)SVMLDT，分別用“C50”和“e1071”工具包實現(xiàn)DT和SVM。作為比較，有4種不同的分類方法：①C50(決策樹)；②DTSVM；③SVMLDT；④K最近鄰(KNN)，這4種方法用相同的訓練子集進行訓練。表2、表3將上述測試子集分別作為智能體25和智能體26的混淆矩陣得出測試結果。可以發(fā)現(xiàn)，如果不區(qū)分狀態(tài)N和P或A和E，C50和SVMLDT可以獲得更好的檢測精度。考慮到它們需要采取補救措施，對N和P或A和E狀態(tài)進行忽視處理是可行的。N和P都不需要采取補救措施，相反，A和E兩個階段也需要相同的補救措施。

表2 代理25的算法比較

表3 基于智能體26的算法比較

為了進一步評估異常檢測模塊，又收集了兩個合成數據集來進行“在線”測試。第一個是以下場景中收集的：在云主機G8的兩側都有DoS攻擊時，遺留的集中式保護正在運行，然后觸發(fā)G8。第二個是在系統(tǒng)正常運行期間收集的數據，包括自然線路故障和動態(tài)負載變化。也就是說，第二個測試數據集包含訓練集沒有的數據。智能體28的在線檢測結果如圖5所示，4個子槽的左縱軸代表系統(tǒng)頻率，右軸代表CPS運行狀態(tài)。例如，一個脈沖在值為2處結束，表示隱藏的故障狀態(tài)H，通過子批次(a)、(b)以及子批次(c)、(d)的比較，可以看出DT和SVMLDT都能正確區(qū)分目標事件。但是通過比較子批次(a)、(b)，發(fā)現(xiàn)DT在未觀測到的測試數據上比SVMLDT在N和P之間的錯誤分類更多。

圖5 A28在線異常檢測評估

SVMLDT訓練的時間性能取決于所考慮的SIP范圍和訓練數據集的大小。SIP越復雜，模型需要考慮的變量越多，因此機器學習相關問題就越復雜。對于本文討論的負載抑制SIP，每個智能體大約包括15個特性。總共收集了150萬個數據，訓練數據集的下采樣率設為0.002。由于所收集的數據不包括高頻信息，所以可以執(zhí)行下采樣。表4總結了4個智能體訓練SVMLDT(1級樹和2級樹)的平均中央處理器(CPU)時間消耗。一次檢測所需的平均時間如圖6所示。與DTSVM[14]、決策樹(C50)[15]、K近鄰算法(KNN)[16]和隨機森林(RF)[17]等其他分類方法相比，SVMLDT的運行速度性能較差。檢測時間大約需要2 ms，但仍能滿足削減負荷時的保護要求，且具有較好的檢測精度。

圖6 異常檢測時間成本

表4 SVMLDT訓練時間

4.3 最優(yōu)自適應減載評估

為了評估最佳自適應削減負荷算法，首先需要將IEEE39節(jié)點系統(tǒng)中25～28總線上的集中負載分配給多個饋線。因此，假設25～28變電站各有6、4、6和8條饋線，每條饋線在該總線上傳輸固定比例的總負荷。饋線的負荷曲線包括數量和價值兩個指標，在一般情況下，應考慮負荷波動并將其加到負荷值中。

(1)動態(tài)負荷曲線：為了使削減負荷方案能更好地運用到實際中，利用中部獨立系統(tǒng)運行機構(MISO)觀測到的區(qū)域控制誤差(ACE)來模擬IEEE 39節(jié)點模型中的隨機負荷變化。從MISO網站收集的200個ACE用于通過核密度估計生成ACE概率密度函數(PDF)。然后可以從PDF中繪制ACE來模擬系統(tǒng)負載的變化。這些ACE按比例放大，從而適應IEEE 39總線模型，然后按比例分割并分配給每個饋線。對于每個饋線上的負荷“值”，利用了來自MISO實時市場的典型LMP。對總線的LMP進行隨機抽樣，然后按式(2)計算負荷值，用來表示負荷的真實值。這樣，就可以在IEEE39節(jié)點模型中設定負載動態(tài)。

(2)自適應控制結果：首先模擬目標意外事件(即G8停運)10次，然后運行自適應減載算法，得到歷史削減負荷記錄，如式(4)所示。然后針對不同系統(tǒng)運行狀態(tài)下出現(xiàn)的10種新的突發(fā)事件對該算法進行了測試。0-1背包問題的目標值如圖7所示。“2-2子組”表示由于DoS攻擊，變電站25、26、27和28被分為兩個子組。類似地，“1-3子組”是變電站25與其他變電站隔離后得到的分組。可以看出，當多智能體劃分為多個子組時，其削減負成本比當所有智能體相互關聯(lián)時的要高。然而，為了保持系統(tǒng)的穩(wěn)定性，仍然在削減同樣數量的負載。這意味著分散智能體能夠在受到DoS攻擊時會盡最大努力提供補救措施。與集中式SIP相比，此改進措施較理性，當主節(jié)點受到DoS攻擊時，不會減輕負載。

圖7 減載結果

5 結論

為了提升系統(tǒng)抗攻擊能力以及泛化能力，提出了一種基于支持向量機嵌入分層決策樹的多智能體電網抗攻擊系統(tǒng)完整性保護方案。通過實驗結果分析可以得出如下結論。

(1)該算法能夠以較高的精度檢測出CPS的異常工作狀態(tài),且分散式SIP在面對惡意攻擊時具有更大的適應性和恢復能力。

(2)無論是異常檢測還是自適應控制模塊，都可以用其他算法代替，以適應不同的功能需求。證明了提出方法具有較好的使用性能。

(3)由于引入了最優(yōu)自適應負荷卸載等功能，有效加快了提出的異常檢測和自適應控制速度，減少了時間成本。