基于動態水印的核電廠蒸汽發生器液位控制系統重放攻擊檢測方法研究

王東風, 谷 赫, 黃 宇, 王嘉俊

(華北電力大學 自動化系, 河北保定 071003)

蒸汽發生器(SG)液位控制系統是基于分散控制系統(DCS)實現過程的遠程控制、信息傳輸、信息管理及信息分析,保證在核電廠運行過程中SG液位維持在預先設定的程序液位附近,從而避免由于液位偏離導致的設備損壞。DCS在運行過程中可能會出現信息泄漏的問題,使得系統更容易受到來自多個角度的網絡攻擊,從而破壞系統的穩定運行,造成重大損失[1]。

攻擊者通常以破壞控制系統安全的4個維度為目的發起惡意攻擊,分別為機密性[2]、真實性[3]、完整性[4]及可用性[5]。拒絕服務(DoS)攻擊通過阻斷系統數據傳輸來破壞系統的完整性與可用性[6]。隱蔽攻擊在破壞系統機密性的基礎上精心設計隱蔽攻擊器,實現在控制與檢測系統中保持隱蔽的基礎上破壞閉環系統的穩定性[7],從而破壞系統的真實性。重放攻擊不需要系統知識,通過重放系統穩態數據,誘導控制器發出錯誤指令,使系統開環運行,從而破壞系統真實性、完整性與可用性[8]。由于重放攻擊會重播穩態數據,因此在系統穩定運行時攻擊方具有對檢測器保持隱蔽的能力,傳統的檢測機制無法及時察覺攻擊,因此需要額外設計檢測策略。

為了保證控制系統的安全,國內外學者致力于應急分析、攻擊檢測與隔離、魯棒控制及信息驗證。Liu等[9]考慮了設計物理水印信號,用以抵御重放攻擊,將最優水印信號的設計作為最優化問題,從而權衡檢測性能與控制性能。張正道等[10]基于輔助信息,向測量值中添加輔助信號從而補償控制性能的損失,保證了系統損失的控制性能只與當前水印信號有關。針對模型不確定系統,杜大軍等[11]分析了系統不確定項對傳統水印檢測方法的影響,基于誤差方差與過程噪聲一致性原理提出了一種噪聲與未知擾動混合的信號檢測式。Porter等[12]針對一種廣義的重放攻擊,采用線性時變的動態水印技術實現了重放攻擊的實時檢測。動態水印技術將特殊信號輸入到系統之中,從而保護測量信號,該方法能有效檢測網絡攻擊,然而針對防范重放攻擊能力較弱且不具備有效檢測能力的核電機組控制系統并未有進一步研究。

筆者針對核電廠SG液位控制系統,設計基于動態水印技術的攻擊檢測方案,實現SG液位控制系統的安全控制。從理論上分析重放攻擊破壞系統的原理,查找重放攻擊策略可能存在的漏洞;將重放攻擊的影響建立為一個線性時變的動態模型,并基于攻擊策略可能存在的漏洞,制定加入動態水印信號的殘差檢測機制,采用χ2檢測器量化動態水印技術對SG液位系統重放攻擊的檢測效益,分析水印信號對重放攻擊下系統狀態估計誤差與殘差的影響;對穩定工況下的SG液位系統進行數值仿真,驗證動態水印技術對重放攻擊檢測的有效性與實時性。

1 問題描述

1.1 SG液位控制系統

核電站SG位于一回路與二回路連接處,將一回路產生的熱量通過SG內的工質傳遞到二回路,產生蒸汽從而推動汽輪機做功,如圖1所示。

圖1 核電站SG結構

SG液位對核電廠的安全穩定運行十分重要。如果液位過低,可能導致暴露在高溫蒸汽之中的U形管破裂;如果液位過高,則進入汽輪機的蒸汽濕度過高,易加速葉片老化,從而造成經濟損失。同時,SG液位的頻繁波動也會對核電機組蓄熱過程造成影響,可能影響電網的安全穩定[13]。SG液位控制系統的任務是在穩態及瞬態工況下保證液位維持在預定范圍內,采用串級控制結構,內回路用于抑制蒸汽擾動對系統的影響,外回路則根據實際液位調整控制律,以蒸汽質量流量qm和給水質量流量qm,Q為輸入量,調節SG液位H。傳感器信號與控制信號通過變送器向被控對象、觀測器、檢測器及控制器傳輸。SG液位控制系統結構如圖2所示。

圖2 蒸汽發生器液位控制系統結構圖

假設核電站SG液位控制系統滿足線性時不變,噪聲信號均為滿足獨立同分布(identically distributed, i.i.d)的高斯隨機過程,則被控對象的輸入輸出關系可以表示為:

Hr=Pqqm,Qr+Pdqm,r+PwW

(1)

式中:Hr為實際液位;Pq、Pd與Pw分別為SG液位關于實際給水質量流量qm,Qr、實際蒸汽質量流量qm,r及過程擾動W的線性時不變函數。

由于測量噪聲的影響,各位置傳感器的測量輸出結果可以表示為:

(2)

式中:Hm為液位測量值;qm,m為蒸汽質量流量測量值;qm,Qm為給水質量流量測量值;Vh為液位的測量噪聲;Vd為蒸汽質量流量的測量噪聲;Vq為給水質量流量的測量噪聲。

外回路反饋控制器根據液位測量值計算控制律uc1,內回路反饋控制器根據蒸汽質量流量測量值、給水質量流量測量值及外回路控制律計算閥門開度指令uc2。假設所設計的液位控制器具有良好的魯棒性,可以克服通信延遲對系統造成的影響,則控制律uc1與uc2的數學描述可以表示為:

uc1=C1mHm+C1refHref

(3)

uc2=C2uuc1+C2dqm,m-C2qqm,Qm

(4)

式中:Href為液位設定值;C1m和C1ref分別為液位控制器關于液位測量值Hm與液位設定值Href的線性時不變函數;C2u、C2d和C2q分別為流量控制器對控制律uc1、蒸汽質量流量測量值qm,m和給水質量流量測量值qm,Qm的線性時不變函數。

聯立上述公式,當測量噪聲Vd對蒸汽質量流量測量值影響較小時,有qm,m≈qm,r,近似得到SG液位關于調節量qm,m與qm,Qm的閉環傳遞函數。

Hr=(SPqFC2d+SPd)qm,m-SPqFC2qqm,Qm+SPqFC1refHref+YVh

(5)

式中:F為閥門的線性時不變函數;S為蒸發器液位控制系統的閉環特征方程;Y為測量噪聲Vh對實際液位Hr的閉環傳遞函數。

液位測量值可以表示為:

Hm=(SPqFC2d+SPd)qm,m-SPqFC2qqm,Qm+SPqFC1refHref+SPwW+SVh

(6)

式中:I為適當維數的單位矩陣。

可以看出,在系統未遭受網絡攻擊時,SG液位控制系統穩定工況下的Hr將受到蒸汽質量流量測量值qm,m、給水質量流量測量值qm,Qm、過程擾動W以及液位測量噪聲Vh的共同影響。

1.2 重放攻擊場景

針對控制系統的重放攻擊形式類似于計算機安全中的欺騙攻擊,通過修改傳輸信號的測量數據來實現破壞控制系統的閉環控制、影響系統穩定性并損壞系統被控對象的目的。攻擊者在侵入系統后,將在一段固定時間內保持隱蔽,同時記錄各部位傳感器數據,隨后重放記錄的傳感器測量值,并給予執行機構一個系統期望的控制律,從而給控制方展現一個虛假閉環系統,破壞原系統完整性,使得控制方無法形成對系統的閉環控制。解決完整性問題的方法之一是檢測信息序列的損壞數據或系統的惡意行為,在討論檢測方法之前有必要討論重放攻擊如何破壞傳感數據序列。

(7)

遭受重放攻擊的系統的虛假閉環傳遞函數可以近似表示為:

(8)

定義Wreplay=W-W′,則重放攻擊下SG液位與正常工作時的相對誤差受到Wreplay的影響。一方面,Wreplay的存在可能會導致系統狀態偏離設定值;另一方面,可以向系統中主動注入額外隨機信號,從而檢測重放攻擊,即為動態水印技術。

2 攻擊檢測方案設計與分析

2.1 攻擊檢測方案

圖3 基于動態水印的控制系統主動檢測方案

2.2 動態水印技術

考慮系統狀態方程為:

(9)

式中:A為系統矩陣,A∈Rn×n;B為輸入矩陣,B∈Rn×p;C為輸出矩陣,C∈Rm×n;w(k+1)為系統過程噪聲;v(k)為測量噪聲。

卡爾曼濾波器狀態方程可以表示為:

(10)

χ2檢測器常用于壞值檢測,在本檢測方案中用于處理卡爾曼濾波器的殘差r(k)。

(11)

φ(k)=CP(k)CT+R

(12)

式中:φ(k)為殘差r(k)在k時刻的期望方差。

則檢測結果描述為:

(13)

式中:g(k)為檢測函數;Tw為窗口大小。

Tw=1時,g(k)收斂于常數m,則

g(k)=Twm

(14)

定義檢測策略為:

(15)

式中:η為閾值,可以經驗選定,也可根據一定準則設定,本文根據3σ準則確定閾值。

定義重放攻擊下的虛擬系統來生成虛假數據,值得注意的是,攻擊者仍采用記錄并重放系統穩定數據的方式實現攻擊,所提虛擬系統只是為了便于分析檢測方案而提出的,不參與真實系統的運行。虛假系統表示為:

(16)

(17)

式中:r′(i)為虛擬系統對真實變量r(i)的模擬值。

(18)

虛擬系統表示為:

(19)

式中:e′(k)為虛擬系統對真實變量e(k)的模擬值。

則有

(20)

聯立可得:

(21)

此時,記虛擬系統的卡爾曼估計殘差r′(k)為:

(22)

重放攻擊下殘差記為r(k):

(23)

此時,隨著時間的遞增,估計殘差由于水印的存在會與正常情況有一定偏差,虛擬系統無法知曉水印信息e(k),只能根據傳感器測量值將水印信息視為過程噪聲的一部分作為估計信息e′(k)。則隨著時間增加,殘差的形式可以表示為:

(24)

加入攻擊后,隨著時間遞增,殘差中將包含控制輸入的水印信息,有助于檢測重放攻擊。同時,殘差滿足

(25)

在χ2檢測器中,卡方檢測值為:

E[rT(k)φ-1(k)r(k)]=Tw×tr{cov[r(k)]φ-1}=

(26)

卡方檢測值的期望輸出不會收斂于Twm,即在保證系統穩定的情況下,檢測方案實現了重放攻擊的檢測。

3 實驗結果與分析

通過數值仿真,在某穩定負荷下針對重放攻擊下的SG液位控制系統,對所提出的動態水印技術進行仿真研究,從而檢驗動態水印技術對控制系統中重放攻擊檢測的有效性。

根據分段線性SG液位模型,控制系統傳遞函數[15]為:

(27)

式中:H(s)為SG液位;s為拉普拉斯算子;G1為容積效應下的幅值增益;G2和τ2分別為“虛假水位”現象下的幅值增益和阻尼系數;G3、τ1和Tm分別為水位振蕩下的幅值增益、阻尼系數和振蕩周期。

根據表1中參數,以采樣周期Ts=0.1 s將系統離散化,轉換得到其狀態空間為:

表1 SG液位控制系統的過程參數

x(k+1)=

(28)

(29)

式中:vh(k)為SG液位的測量噪聲。

其中,過程噪聲方差Q=10I,測量噪聲方差為10。質量流量測量精度滿足±10 kg/s。可以計算出卡爾曼濾波器的穩態增益K和誤差協方差矩陣P分別為

(30)

(31)

現假設重放攻擊策略為:在系統穩態運行時,記錄500～1 000 s內的給水質量流量、蒸汽質量流量及液位數據,并從2 000.1 s開始周期性重復播放記錄的數據。

依據準則確定閾值,保證誤報率維持在0.05以內,采用移動時窗法處理檢測函數值,以窗口大小Tw=100 s進行樣本分析。需要注意的是,如果重放攻擊開始時記錄階段狀態與系統狀態有較大差距,檢測結果會出現一個極大的跳變。考慮最壞情況,即假設攻擊方可以通過選取與記錄數據相近的時間段,并加入重放攻擊,從而抑制或消除跳變。

在系統穩定的情況下,無水印方案的χ2檢測結果如圖4(a)所示。χ2檢測器無法檢測到重放攻擊,其檢測函數值均處于閾值范圍之內,檢測率等于誤報率,系統無法及時抵御重放攻擊。如果主動加入方差為400的水印信號e(k),檢測結果如圖4(b)所示。由圖4(a)可知,在系統穩態運行且沒有攻擊時,檢測器統計殘差信號并進行分析與檢驗,沒有攻擊時檢測函數值維持在安全閾值以內,當重放攻擊發生時,由于水印信號偏差對殘差有影響,檢測函數值逐步收斂至較高水平并超過安全閾值范圍,實現了重放攻擊的檢測。

(a) 無水印時檢測效果

為比較不同時間窗口Tw下的檢測率,在保持水印信號不變的情況下改變時間窗口大小。假設攻擊策略不變,仍記錄系統穩態數據并周期性重放,圖5和圖6分別為Tw=30 s和Tw=200 s時檢測率的變化。從圖5和圖6可以看出,Tw=30 s時檢測函數值快速收斂,但有一定的漏報率;而在Tw=200 s時卡方檢測函數值將逐步收斂至一個較高水平,相較于小時間窗口具有更可靠的檢測率。

圖5 Tw=30 s時的檢測結果

圖6 Tw=200 s時的檢測結果

4 結 論

(1) 核電廠SG液位控制系統具有強擾動、非線性、工況復雜的特點,經典的故障檢測手段無法抵御攻擊者精心設計的重放攻擊;通過主動向執行器中添加水印信號從而檢測重放攻擊,在SG處于穩態工況下時,動態水印技術可以實現對重放攻擊的實時檢測。

(2) 考慮系統安全檢測實時性的要求,在水印信號強度不變的情況下,調整檢測窗口的大小可以同時兼顧檢測率與檢測實時性,通過選擇合適的檢測窗口可以在保證檢測率的同時實現檢測實時性。

(3) 之后的工作將進一步關注攻擊檢測與彈性控制的綜合設計,同時將更多考慮工程因素,進一步提升動態水印技術的工程可實現性,從而保證SG液位控制系統的安全運行。