利用信息-物理一致性评估实现电力系统边缘就绪异常检测：一种基于联合仿真的方法

《International Journal of Critical Infrastructure Protection》：Edge-ready anomaly detection using cyber–physical consistency assessment in power systems: A co-simulation-based approach

　　

# 摘要

信息物理电力系统中可靠的监督控制需要对信息物理一致性进行实时评估，其定义为通过信息层传输的监督控制动作与在物理层观察到的动态响应之间的对应关系。在遭受网络攻击事件期间，这一需求变得尤为关键，此时命令报文可能被延迟、丢弃或被篡改，而协议层通信会话在语法上仍然有效。在此类条件下，异常检测不能仅依赖于信息层轨迹或物理层测量数据。信息层活动在单独评估时可能看起来完全正常，物理层测量数据在孤立分析时也可能仍处于合理运行范围内，但两者的联合行为可以揭示预期控制动作与后续系统响应之间不一致的现象。现有的异常检测方法往往未能解决这一跨域一致性需求。许多方法专为信息层或物理层的异常检测而设计，从而限制了其识别隐蔽网络攻击的能力。现有的联合信息物理方法数量有限，且往往依赖于特定场景的设定，信息层事件与物理层响应之间存在时间对齐不完整的问题，这可能会掩盖控制动作与系统动态之间的关系。为弥补这一差距，本文提出了一个基于开源Python的框架，用于模拟基于IEC 60870-5-104标准的电力系统监督控制。该框架在正常运行和随机的、协议感知的中间人攻击场景下，生成时间对齐的信息层和物理层数据。所生成的数据随后用于训练和评估基于信息物理一致性的监督攻击向量识别机器学习模型。结果表明，联合信息物理特征表示在多个分类器家族中提供了强大的判别性信息，而轻量级模型能够在资源受限的边缘设备上支持实时推理。

# 引言

在过去十年中，从2015年针对乌克兰电网的网络攻击[1]、[2]，到2025年针对波兰能源基础设施的协同网络攻击[3]，针对信息物理电力系统（CPPS）的网络攻击已从一种主要是理论上的担忧转变为现实的运行威胁。虽然预防性保护、系统加固和前瞻运行策略仍然至关重要，但一旦事件发生，控制室的首要关注点就不再是这些预防措施。取而代之的是，即时优先级变为实时识别并实施所需的纠正行动，以防止进一步恶化并维持服务连续性[4]、[5]、[6]。

针对CPPS的网络攻击通常会损害自动纠正控制功能所需的测量、控制命令以及支持通信服务的完整性、可用性或时效性。在此情况下，继续安全运行可能需要暂停受影响的控制器功能，并将控制权转移至操作员引导的后备监督控制[7]。在此情形下，后备监督运行可能通过替代的IEC 60870-5-104（IEC 104）远动路径来维持，该标准用于地理分散的电力系统过程中的监督监控和命令交换，基于TCP/IP协议[8]、[9]。然而，仅具备IEC 104通道的可用性并不能单独保证安全运行。一旦信息层被攻破，受影响的操作员可能尚不清楚哪些主机、网关或通信段遭受了敌对访问，也不知道该访问的范围。如果替代路径同样暴露在外，交换的IEC 104流量仍然容易受到路径内攻击的威胁，如中间人（MITM）攻击。在这种情况下，插入在通信端点之间的对抗性代理可能篡改、延迟或丢弃测量数据和监督命令[10]、[11]。

由于操作员引导的后备控制通常是限制物理系统进一步恶化的最后可行手段，因此关于支持该控制的信息可信度的不确定性在运行上是不被允许的。因此，必须使用超越传统方法的异常检测机制，实时连续地评估所交换信息的完整性、时效性以及正确的端到端传递情况。在此背景下，基于单一域（即信息层或物理层）的异常检测算法[2]可能无法检测到敌对干扰，因为被攻破的信号在被单独考虑时可能仍处于所观察域的特征范围内，但违反了所交换信息、发出的控制动作与物理系统响应之间的跨域一致性[12]。为了克服这一局限，可以采用联合信息物理跨域一致性评估[13]，在该方法中，通信层指标与物理系统的预期响应和实际测量响应一起进行评估。该方法的实际价值在于，它能够不仅基于所交换消息的表观有效性，还结合这些消息与其预期引发的物理系统行为之间的一致性，来评估运行信息的可信度。

跨域一致性评估虽然可能提供更高的检测能力，但本质上比仅基于单一域测量数据进行操作的异常检测方法更为复杂。这是因为它需要联合分析异构的通信级和过程级测量数据，以及它们之间的时间依赖和因果关系。相应地，有效的实施通常需要高级的基于数据的推理机制，能够从多域测量数据中学习这些耦合关系。机器学习（ML）模型非常适合此目的，因为它们能够学习所通信信息、发出的控制动作与最终物理系统行为之间的复杂映射关系，从而支持检测那些在单独的任何域中均无法识别的异常跨域不一致现象[14]。

基于跨域一致性评估的机器学习方法的发展，又依赖于代表性信息物理数据集的可用性，这些数据集应包含与相同系统运行条件相关的通信层和物理层测量数据，并置于统一的时间基准上。然而在实践中，从实际电力系统装置中获取此类数据集的数量和质量通常不足，特别是在网络攻击场景下，安全、保密、安全和运行约束限制了相关数据的获取。因此，合适的训练和评估数据通常必须通过联合仿真方法生成，联合仿真被定义为协调执行多个代表不同系统域的仿真模型，并根据预定义的同步机制在它们之间交换信息。在CPPS的语境下，联合仿真使电力系统动态行为与通信网络行为能够被联合建模和执行，从而在统一的时间基准上捕获它们之间的交互和相互依赖[15]。

受开发能够执行实时跨域一致性评估的机器学习模型的需求推动，以及在模型训练和验证中代表性信息物理数据集有限的背景下，本研究引入了一个CPPS测试平台，旨在通过联合分析信息层和物理层测量数据，支持基于机器学习的攻击识别方法的开发与评估。主要目标是考察信息物理一致性评估不仅能够用于检测系统运行偏离正常状态的情况，还可以区分特定的通信路径受损机制。为此，学习问题被表述为有监督的多类攻击向量识别任务，其中考虑的类别包括正常运行、延迟注入、数据包丢弃和命令载荷篡改。与传统的二元异常检测相比，该表述通过识别影响系统的特定攻击机制提供了更详细的诊断信息，同时需要代表研究中考虑的每种攻击类别的标注训练数据。此外，所提出的测试平台还能够评估所得机器学习模型是否满足实时运行相关的计算和时序要求。图1展示了所提出测试平台的总体结构和工作流程，其组成要素和运行阶段将在第2节中详细分析。

基于机器学习的异常检测在CPPS中已被广泛研究。然而，大量现有文献独立地考察信息域和物理域，限制了其在真实攻击条件下捕获两者之间交互的能力。物理域方法尤为普遍，主要原因是电力系统模型和物理测量数据已相当成熟，而网络基础设施和通信技术更为复杂且变化频繁。这些方法通常依赖于PMU、SCADA、频率、电压、电流、功率或其他过程和控制的测量数据来识别异常运行状态[16]、[17]、[18]、[19]、[20]。尽管此类方法能够有效检测网络引起的扰动在物理层的表现，但底层的通信过程通常被抽象化，攻击通过直接操纵测量值或控制变量来引入[21]、[22]。

对聚焦于物理域的研究的进一步审视提供了关于此类方法关键局限性的更多洞察。例如，在文献[21]中，Oshnoei等人研究了针对负荷频率控制应用中测量和控制信号的错误数据注入攻击（FDIA），并使用基于Speedgoat的实时平台评估了一种联合检测和缓解策略。攻击通过缩放和外部扰动来操纵频率、联络线功率和控制信号。尽管该研究证明了实时检测和缓解由此产生的物理效果的能力，但通信层通过抽象的信号交换来表示，而非显式的网络和协议级行为。因此，同一攻击的不同通信实现无法在测试平台中产生不同的信息物理响应，所提出模型在如此变化下的性能也无法直接评估。

在文献[19]中观察到了类似的局限性，其中深度学习模型被应用于使用基于PSCAD的电力系统模型生成的PMU测量数据。输入特征包括相角、RMS电压、有功功率和无功功率，而多种攻击机制，包括FDIA、MITM、重放和GPS欺骗，通过修改相应的测量值或时间戳来合成引入。尽管报告了高检测性能，但通信网络未被显式表示。因此，所生成的数据集主要捕获了攻击的物理表现，而非实现这些攻击的通信行为。这限制了区分可能引发相似过程级偏差但具有不同信息层特征的攻击机制的能力。

一个补充性的研究群体主要聚焦于信息域。与物理域相比，该领域相对较新且发展更为迅速，反映了通信技术、网络结构和攻击机制的持续变化。然而，信息域方法同样存在局限性，当通信侧观测数据与底层物理系统的假设、运行条件和响应之间未充分对齐时尤为明显。例如，在文献[23]中，IT-OT通信基础设施被表示为流量分散图，并使用离散小波变换和混合深度学习模型分析网络吞吐量以进行早期异常检测。尽管该框架在不同攻击类型和不同攻击强度下均实现了高检测性能，但物理系统的动态行为未被纳入检测过程。因此，观察到的通信异常无法直接与对频率、电压、电流或潮流等物理系统变量的影响相关联。这限制了区分具有重大物理后果的信息异常与仅限于通信层的信息异常的能力，并妨碍检测器利用信息事件与物理系统响应之间的跨域一致性。

类似地，在文献[24]中，异常检测器主要面向通信，尽管它使用了一个信息物理硬件在环（HIL）测试平台进行评估。学习模型依赖于从数据包捕获中提取的统计IT和OT流量特征，包括地址和协议信息、Modbus流持续时间、载荷特征、请求计数和寄存器值统计量。考虑了多种异常类别，包括DoS、扫描、远程攻击和隐蔽的Modbus操纵，所选的人工神经网络在一个物理边缘设备上评估，具有高精度和低延迟。然而，独立的电力系统测量数据未被纳入学习输入。因此，测试平台中的电力系统模型并未产生真正联合的信息物理检测机制。分类器能够识别异常的通信行为，但无法确定该行为是否与相应的物理系统响应一致。这一局限性对于引入轻微通信偏差但逐渐影响物理过程的隐蔽操纵尤其相关。

单域方法在捕获信息物理交互方面的局限性已激发了明确整合并联合分析信息和物理域信息的方法的发展。尽管此类研究在文献中仍相对有限，但已有若干工作开始通过展示整合信息和物理域信息用于异常检测的价值，拓宽了文献的广度。一个代表性例子是文献[25]，其中同步相量测量数据与继电器和网络事件信息进行融合，使用共同路径挖掘来区分物理扰动和网络攻击。该方法证明了异构系统信息的价值，并实现了93.21%的平均七类分类准确率。

尽管如此，该实验平台依赖于RTDS、物理保护继电器、PMU、PDC及相关通信组件。对专业实验室基础设施的依赖增加了复现完整工作流程的成本和复杂性，并引入了与硬件接口、设备设置和采样率相关的额外配置要求。文献[25]中的方法也依赖于特定场景的事件序列。每种事件类别的共同路径是独立推导的，而系统负载、故障位置和事件时机的变化可能会为同一总体场景产生多条不同的路径。因此，学习到的表示可能对先前观测到的事件结构过于敏感，并在相同攻击机制在不同时间或运行条件下表现时泛化能力较差。此外，实时可行性主要是根据PMU采样之间的时间间隔来推断的，而非通过在资源受限的现场设备上执行顺序推理来评估。跨域信息的具体贡献也未通过仅物理、仅网络以及联合网络-物理特征配置的受控比较来隔离。文献[26]提出了更为广泛的联合网络-物理框架，将PMU测量和网络数据包特性相结合，用于分类物理扰动、单一网络攻击和协调的网络-物理事件。该研究考虑了广泛的运行条件和攻击参数变化，并报告了将变分模态分解与决策树分类器相结合用于检测管线的有利计算处理时间。然而，其实现仍然严重依赖于HIL基础设施，包括OPAL-RT模拟器、物理保护继电器、PDC、RTU、OpenPDC及相关通信组件。尽管这种架构提供了真实的实验交互，但它大大增加了复现、扩展和系统性重复实验所需的工作量。文献[26]中的检测管线还涉及大量特征工程和多个处理阶段。大量初始特征通过基于规则的选择和关联分析进行缩减，随后计算派生的物理和网络特征、变分模态分解、多个决策树分类器，以及最终的基于规则的决策阶段。这种多阶段工作流程引入了额外的设计和配置依赖，当方法转移到不同的电力系统拓扑、通信架构或监控控制应用时，可能需要重新调整。尽管变化了多个攻击参数，但所考虑的场景是由预定义的参数组合构建的，而非在攻击时机、概率和幅度在各次运行中独立变化的随机实现中构建。此外，尽管报告的处理时间分析证明了与PMU帧率的兼容性，但完整的推理过程并未在异步和突发观测到达条件下在资源受限的RTU级平台上进行评估。研究[27]通过基于软件的协同仿真来表示网络和物理信息，解决了与[25]、[26]相关的部分可复现性限制。IEEE 33节点电力系统模型与OPNET通信网络相结合，同时分别使用深度学习分支来提取物理域和网络域特征，然后进行特征级融合。然而，这两个域是在独立的仿真环境中实现的。因此，其数据流具有不同的时间戳和采样频率，需要在联合分析之前使用线性插值进行显式同步。尽管这种同步过程能够实现跨域特征融合，但通信事件与随后的物理响应之间的时间关系是在数据生成之后重建的，而非在共同的执行环境中固有地保持。这引入了额外的同步和协调要求，当通信层和物理层在不同时间尺度上演化时，可能会降低短时网络-物理交互的保真度。文献[27]中的部署评估也有限。所提出的模型是在配备NVIDIA RTX 3090 GPU和Intel Core i7处理器的高性能工作站上评估的，而单样本推理延迟和在资源受限的现场设备上的执行并未报告。因此，仅报告的预测性能不足以证明该方法能否满足与RTU级或边缘级部署相关的计算和时序约束。此外，尽管提供了架构消融实验，但网络-物理特征融合的具体收益并未通过相同的训练设置下仅物理、仅网络和联合网络-物理特征配置的直接受控比较来量化。综合来看，文献[25]、[26]、[27]中综述的研究展示了联合利用网络和物理域信息的价值，与[16]、[17]、[18]、[19]、[20]、[21]、[22]、[23]、[24]中主要采用单域方法相比，提供了对CPPS行为更为全面的表示。然而，在无需专业实验室基础设施的可复现性、独立仿真环境之间的同步和协调、同一攻击机制在随机实现中的泛化、联合网络-物理特征相对于单域表示贡献的直接评估，以及在资源受限的边缘设备上的实时执行等方面仍然存在局限性，这些因素共同推动了开发更高效、更实用、更易复现的联合网络-物理异常检测方法。为了从更系统的角度了解现有方法与本文工作在方法论上的区别，表1根据六个关键特征对它们进行了总结和比较：是否同时建模了网络和物理层、两个层是否集成在单一的软硬件环境中、是否执行了多类攻击分类、是否使用联合网络-物理特征进行异常检测、是否在边缘设备上评估了实时性能，以及该方法是否能够在没有专业实验室硬件的情况下复现。鉴于上述局限性，本文的主要贡献如下：1. 本文提出了一个基于IEC 104监控控制的开源协同仿真测试平台3，旨在在共同的时间基准上生成网络层和物理层数据，用于训练和评估用于联合跨域一致性评估的ML模型。该测试平台在共同的Python环境中实现，支持研究在时间协调运行下的网络-物理交互。2. 所开发的测试平台纳入了针对IEC 104通信路径的广泛随机MITM攻击场景族，包括延迟注入、数据包丢弃和概率性数据包载荷篡改。这些攻击机制以协议感知的方式建模，同时保持传输层和应用层会话一致性，从而使相同或不同的攻击策略能够根据时机、概率和攻击幅度以不同方式表现。3. 利用测试平台生成的数据，本文对ML模型在单域和联合网络-物理特征设置下进行实时攻击向量识别的比较评估进行了研究。除分类性能外，本研究还明确考察了在资源受限的边缘条件下的部署可行性，通过在现实顺序工作负载上测量单样本推理时间。以此方式，本文既评估了跨域信息的检测收益，也评估了所考虑模型满足实时监控部署所需时序和CPU处理约束的能力。本文其余部分组织如下。第2节介绍了所提出的方法论，包括协同仿真平台、物理和网络模型、MITM威胁模型、闭环监控控制集成与同步机制、数据集生成、特征构建以及实时攻击向量识别的表述。第3节评估了协同仿真输出，并分析了延迟、丢弃和篡改攻击对网络层和物理层的影响。第4节展示了基于ML的攻击向量识别结果，包括仅物理、仅网络和联合网络-物理特征表示的比较，以及在资源受限边缘设备上的实时推理评估。最后，第5节对论文进行了总结并提出了未来工作方向。分节摘要：所提出的方法论本节描述了所提出的用于跨域一致性评估的方法论，从基于协同仿真的同步网络-物理观测生成（如图1(a)所示），到其用于实时攻击向量识别（如图1(b)所示）。以下各子节描述了方法论的各个阶段、涉及的主要组件，以及用于在框架中集成和同步这些组件的机制。协同仿真输出评估本节评估了协同仿真输出的网络-物理一致性，以验证通信层的损害是否正确反映在物理层动态中，通过监控命令的时序、传输和价值。此评估是必要的，因为生成的数据集将用于攻击向量识别，而学习任务的有效性取决于IEC 104命令行为与由此产生的物理响应之间的因果一致性。基于ML的攻击向量识别：本节使用协同仿真工作流生成的带标签观测级数据集D来评估基于ML的攻击向量识别模型。目标是评估和比较zj(phys)、zj(cyb)和zj(cp)对准确识别影响IEC 104监控命令流的通信路径损害的判别价值。此比较量化了每种表示对攻击向量识别任务的相对信息量。结论与未来工作：本文提出了一个基于协同仿真的框架，用于电力系统IEC 104监控控制的跨域一致性评估，并用于开发基于网络-物理一致性模式的ML模型进行实时攻击向量识别。该框架在共同的Python环境中集成了动态电力系统仿真、协议级IEC 104通信以及协议感知的MITM攻击建模。通过在其实际时刻应用监控命令……CRediT作者贡献声明：Tohid Behdadnia：撰写——审阅与编辑、撰写——初稿、可视化、验证、软件、方法论、形式分析、概念构思。Davide Savarro：撰写——审阅与编辑、撰写——初稿、可视化、验证、软件、方法论、形式分析、概念构思。Roberta Terruggia：撰写——审阅与编辑、监督、资金获取、概念构思。Geert Deconinck：撰写——审阅与编辑、监督、资金获取。生成式AI与AI辅助技术在手稿准备过程中的声明：在本工作准备期间，作者使用了Google Gemini和ChatGPT Plus来润色语言并提高可读性。GitHub Copilot用于实现阶段的高级代码补全。在使用这些工具之后，作者对内容进行了审查和编辑，并对已发表文章的内容承担全部责任。利益冲突声明：作者声明以下可能被视为潜在利益冲突的财务利益/个人关系：Tohid Behdadnia报告获得了VLAIO（HBC.2024.0786）的财务支持。Davide Savarro报告获得了环境与能源安全部（MASE）的财务支持。Roberta Terruggia报告获得了环境与能源安全部（MASE）的财务支持。Geert Deconinck报告获得了资金支持。致谢：本工作在FUNCTIONARY-I项目框架内开展，该项目是VLAIO资助的Catalisti倡议，项目编号HBC.2024.0786，比利时工业联合会essenscia以及其他工业和学术合作伙伴参与其中。本工作还获得了意大利电力系统研究基金在2025–2027三年研究计划（MASE，2024年11月6日第388号法令）下的财务支持，并遵守2024年4月12日法令。Tohid Behdadnia | Davide Savarro | Roberta Terruggia | Geert Deconinck