基于分层建模的电网信息物理系统跨空间故障事件链分析

《Journal of Industrial Information Integration》：Hierarchical Modeling and Analysis of Power Grid Cyber-Physical Systems—part Ⅱ: Application and Validation of HM-GCPS

为分析电网信息物理系统（GCPS）中由网络攻击引发的跨空间风险传播，研究人员开展了基于分层建模（HM）的故障事件链分析研究。该研究构建了GCPS的分层模型（HM-GCPS），包括物理系统层、信息系统层、信息子网层、网络层和信息服务层，并定义了层内及层间拓扑关系。通过分析五个典型攻击场景，揭示了故障在GCPS各层间的传播路径和影响范围，为GCPS的风险评估和主动防御提供了理论依据和方法支持。研究成果发表于《Journal of Industrial Information Integration》。

　　

随着智能电网的快速发展，电网信息物理系统（GCPS, Grid Cyber-Physical System）深度融合了电力物理设施与信息通信技术，实现了电网的智能化运行与管控。然而，这种深度融合也带来了新的安全挑战，网络空间的安全威胁可能通过信息物理耦合关系渗透至物理电网，引发连锁故障，甚至导致大范围停电事故。传统针对单一空间（如电力一次系统或信息网络）的安全分析方法难以有效刻画跨空间风险传播的动态过程。因此，亟需一种能够系统描述GCPS多层结构、准确分析跨空间故障传播机理的理论与方法。

为了应对这一挑战，发表在《Journal of Industrial Information Integration》上的这项研究，提出了一种基于分层建模（HM, Hierarchical Modeling）的GCPS跨空间故障事件链分析方法。研究人员构建了GCPS的分层模型（HM-GCPS），将复杂的GCPS抽象为物理系统层（G_P）、信息系统层（G_I）、通信子网层（G_S）、网络层（G_{N）和信息服务层（GC）五个层次。每个层被建模为一个有向图，包含节点（设备或服务）和边（连接或依赖关系）。更重要的是，该模型定义了层与层之间的关联关系，包括节点到节点、节点到边、边到节点以及边到边的连接，从而精确刻画了信息物理系统跨空间的耦合交互。基于此分层模型，研究进一步引入了对象状态转移模型，将每个对象（节点或边）的状态划分为安全（safe）、风险（risk）和故障（failure），并利用马尔可夫过程描述其状态随外部事件（如网络攻击）的演化。通过分析层内拓扑和层间关联，该方法能够追踪由初始故障事件（如交换机遭受流量攻击）触发，并沿信息物理链路在GCPS各层间传播的完整故障事件链（FEC, Failure Event Chain），从而量化评估风险传播的范围和影响。}

为验证所提方法的可行性与有效性，研究选取一个省级电力调度数据网络（PDDN, Power Dispatching Data Network）作为案例进行分析。重点针对从省调中心至220kV变电站的局部GCPS结构，详细构建了其通信子网层、网络层、信息系统层和信息服务层的拓扑结构，并初始化了各层内及层间的关联关系。研究设定了五种典型的攻击场景，包括通信子网层交换机流量攻击、网络层路由器OSPF恶意报文攻击、信息系统层站控主机TCP-SYN洪泛攻击、以及通信子网与信息系统层的协同攻击等。

研究过程中应用了几个关键的技术方法：一是分层拓扑建模，使用邻接矩阵等方式形式化描述了各层内部及层间的复杂关联；二是基于马尔可夫链的对象状态转移分析，通过状态转移概率矩阵模拟外部事件（如网络攻击）下各对象（交换机、链路、服务主机等）的状态演化；三是故障事件链追踪算法，根据层间关联关系，递归地分析下层对象的故障输出如何作为上层对象的输入事件，进而触发新的状态转移，最终形成跨空间的故障传播路径。案例数据部分参考了IEEE-RTS79测试系统的仿真结果来设定对象在自然状态下的状态转移概率，并利用OPNET网络仿真软件对部分攻击场景进行了辅助验证。

场景1：通信子网层攻击场景分析

当通信子网层的交换机s₁遭受流量攻击（Exter-event₁）时，其状态迅速由安全态转移至故障态（概率达0.986380）。根据层间关联，交换机s₁的故障影响了与之相连的通信链路e₃₆, e₆₇, e₆₈，导致这些链路也以极高概率（0.999998）进入故障状态。这些链路的故障进一步向上传导至信息系统层，影响依赖于这些链路的站控服务c₂、数据采集服务c₃和站控服务c₄，使其相继失效。最终，信息服务的失效可能影响物理系统层的相关设备（如断路器p₂）。形成的故障事件链清晰地展示了从网络设备故障到通信服务中断，再到站控功能丧失，最终可能影响电力操作的完整传播路径。

场景2 & 3：网络层与信息系统层攻击场景分析

类似地，对网络层路由器n₂₈的OSPF攻击和对信息系统层站控主机i₃的TCP-SYN洪泛攻击，也分别触发了跨越网络层、通信子网层、信息系统层乃至信息服务层的故障事件链。分析表明，针对不同层次关键节点的攻击均可能通过层间依赖关系引发跨层传播，导致业务服务中断。

场景4 & 5：协同攻击场景分析

场景4模拟了通信子网层交换机s₁故障与信息系统层站控主机i₃故障同时发生的情况。场景5则模拟了站控主机i₃故障与信息服务层站控服务c₂遭受中间人攻击同时发生。协同攻击的分析揭示了多重故障源叠加作用下，故障事件链的复杂性和叠加效应，风险传播路径更多，影响范围更广，系统恢复更为困难。

研究通过五个攻击场景的详细分析，成功描绘了GCPS中由网络攻击触发的、跨越信息空间和物理空间的故障传播事件链。结论表明，GCPS的跨空间耦合特性使得局部故障极易演变为系统性风险。所提出的HM-GCPS模型及故障事件链分析方法，能够系统地描述GCPS的多层结构关系，动态模拟故障的跨层传播过程，并精确定位关键的脆弱环节和传播路径。

这项研究的重要意义在于，它为GCPS的风险评估、安全防护和应急响应提供了新的理论工具和实践指南。通过识别关键的故障传播路径和节点，可以帮助运行人员优先加固这些薄弱点，制定更有针对性的防御策略。在发生故障时，该方法有助于快速定位故障源和预测影响范围，从而支持高效的故障隔离和系统恢复。此外，该研究建立的形式化建模与分析框架，为后续研究更复杂的GCPS行为、如系统自愈、弹性评估等，奠定了坚实的基础。最终，这项研究对于保障智能电网的安全稳定运行，提升其抵御网络攻击的能力具有重要的理论和实用价值。