工业过程控制系统遭受网络攻击时级联故障的统一建模与漏洞分析框架

《RELIABILITY ENGINEERING & SYSTEM SAFETY》：A Unified Modeling and Vulnerability Analysis Framework of Cascading Failures in Industrial Process Control Systems under Cyberattacks

　　

摘要

网络攻击引发的级联失效对工业过程控制系统（IPCSs）的运营安全构成了严重威胁。脆弱性分析是一种有效的缓解级联失效损害、提升系统安全的方法。然而，现有方法缺乏一个统一的框架来联合刻画跨层依赖关系与多流级联传播，这限制了脆弱性分析的准确性。为填补这一空白，本文提出了一种针对IPCSs级联失效的统一建模与脆弱性分析框架。首先，提出了一种结构-因果约束的稀疏辨识方法（SC-SINDy）来识别跨层依赖关系。同时，提出了一种整合能量函数与信息熵的多流级联失效模型，以描述信息流、控制流和物料流之间的耦合关系。进一步地，采用基于Stackelberg博弈的脆弱性分析方法来刻画对抗性交互，实现细粒度的脆弱性归因。所提出的框架在流化催化裂化（FCC）硬件在环测试平台及两个公开数据集上进行了验证。实验结果表明，与基线方法相比，本文框架在传播路径排序和关键节点识别方面取得了显著提升。在水处理系统中，与第二优基线方法相比，本文方法在Spearman相关系数、Kendall相关系数和Top-100重叠度方面分别实现了47.4%、49.9%和20.3%的提升。在FCC案例中，识别了关键脆弱节点和传播路径，并对它们在级联失效中的角色进行了分类，为系统加固和风险管理提供了可操作的见解。

引言

工业过程控制系统（IPCSs）通过持续监控物理状态并在互联的网物理组件之间协调控制动作，确保关键工业过程的安全、可靠和稳定运行[1]。然而，随着通信网络、自动化技术和分布式控制架构的日益集成，传感、控制、通信和物理过程层之间的相互依赖关系不断增强。因此，单一组件的局部扰动或恶意操纵可通过这些紧密耦合的层级快速传播，触发可能导致工艺条件异常和设备运行退化或损坏的级联失效[2]。众多真实事件表明此类风险可能有多么严重。震网病毒（Stuxnet）[3]操纵可编程逻辑控制器（PLCs）以诱发异常的物理行为，摧毁了关键工业设备。乌克兰电网攻击[4]通过对工业控制网络的协同网络入侵破坏了电力分配，造成了大范围停电。类似地，TRITON[5]针对工业安全仪表系统（SISs）发动攻击，损害了其防止危险运行条件的能力，增加了工艺条件异常、设备故障和潜在有害物质泄漏的可能性。这些事件表明，针对IPCSs的网络攻击已不再局限于信息系统，而是可以跨网域和物理域传播，触发级联失效。

级联失效的特征在于局部扰动通过互联系统内部的复杂依赖关系、功能交互和反馈机制进行传播[6]。随着扰动的传播，其影响可从最初受影响的组件或过程变量扩展到互联的组件、过程状态和子系统，而闭环交互可能进一步加剧工艺偏差。因此，一个看似轻微的故障或恶意干扰可能演变为系统级失效。脆弱性分析对于理解这一过程至关重要，它能够识别脆弱组件，揭示扰动累积、传播和演变的机制，并评估其对整体系统运行的潜在影响[7]。自级联失效在电力系统中首次被广泛研究以来，已有大量研究产生了基于复杂网络[[8], [9]]、图论[[10], [11]]、机器学习（ML）[[12], [13], [14]]和动态仿真[[15], [16]]的脆弱性分析方法。这些方法有助于识别关键组件和刻画失效传播。相比之下，IPCSs中级联失效的脆弱性分析仍处于早期阶段[17]。近期的过程工业研究主要集中在网络攻击检测、弹性控制和攻击后恢复方面。例如，已开发出机器学习和物理信息方法来检测网络攻击并增强非线性化学过程的韧性[[18], [19], [20]]。状态重构技术也已被研究用于在传感器攻击后恢复可控性[21]。同时，在不同网络攻击下对集中式、去中心化和分布式控制架构的安全性进行了评估，突出了控制结构对过程韧性的影响[22]。这些研究推动了过程控制系统抵御网络威胁的保护工作。然而，对于网络诱发的扰动如何在互联过程变量和控制回路中累积和传播的系统性分析仍然有限。

此外，为电力系统开发的方法论不能直接移植到IPCSs，因为它们在架构、控制机制和运行目标上存在根本性差异。这种差异主要来自两个方面。首先，它们的结构特征差异显著。尽管现代电网已演变为将电力基础设施与通信、监控和控制网络集成在一起的复杂网物理系统，但其物理动态主要与发电、输电和配电相关[23]。相比之下，IPCSs由紧密耦合的工业过程、传感设备、执行器、分布式控制逻辑和通信网络组成，并在闭环反馈中运行。因此，IPCSs表现出过程动态、控制决策和通信行为之间更加多样的交互和相互依赖关系，导致了不同的失效特征和传播模式[24]。其次，级联失效传播机制存在根本性差异。在现代电力系统中，级联失效源于电力基础设施及其支持的通信、监控、保护和控制系统之间的复杂交互，扰动通过电力网络和控制网络进行传播[25]。相比之下，IPCSs中的级联失效主要由网物理组件与物理过程之间的闭环控制交互主导。局部扰动，无论是由设备故障还是网络攻击引起，都可能导致传感信息或控制逻辑发生变化，从而产生错误的控制动作，而反馈回路会持续放大并在多个工艺单元间传播。此外，IPCSs中的级联传播由包括物料流、信息流和控制流在内的多流耦合驱动。这些流之间的强耦合，加上严格的实时控制要求和复杂的过程动态，使得IPCSs中级联失效的传播远比传统电力系统更加复杂。

现有研究往往将依赖关系识别与对抗交互建模孤立处理。这种孤立导致了各个方面的方法学局限性。具体而言，对于跨层依赖识别，传统方法主要是数据驱动的，仅适用于单层或同质动态；对于级联传播建模，单流或基于拓扑的模型无法联合刻画攻击下多流的耦合和相互影响；对于对抗交互分析，现有的博弈论脆弱性分析往往简化交互并提供粗粒度的指标。这些局限性共同阻碍了对级联失效演化的闭环刻画。为解决这些问题，本文提出了一种统一的框架，用于建模和网络攻击下IPCSs的级联失效脆弱性分析。在该框架中，脆弱性采用了过程工业所采用的定义[26]，即指潜在危害以及系统对网络攻击的固有敏感性和韧性。因此，所提出的脆弱性指数（VI）旨在量化攻击对IPCS的整体敏感性。其有效性通过在流化催化裂化（FCC）装置和两个公开数据集上的实验进行验证。本文的贡献总结如下：

（1）提出了一个统一的建模与脆弱性分析框架，用于网络攻击下的IPCSs，以闭环方式集成跨层依赖、多流级联传播和对抗交互，以捕捉级联失效的演化过程和机制。

（2）提出了一种结构-因果约束的稀疏辨识（SC-SINDy）方法，通过引入Purdue模型的结构约束和因果约束来识别跨层依赖关系。提出了一种整合能量函数和信息熵的多流级联失效模型，以联合刻画信息流、控制流和物料流之间的耦合和相互影响。

（3）提出了一种基于Stackelberg博弈论的脆弱性分析方法，以刻画对抗行为并实现细粒度的脆弱性归因。通过将级联动态嵌入基于七个脆弱性指标的博弈中，该方法将脆弱性分解为独立贡献和交互贡献。

本文其余部分组织如下：第2节详细介绍相关工作及动机。第3节介绍级联失效建模。第4节描述脆弱性分析。第5节详细介绍实验和验证。第6节总结全文并展望未来工作。

片段

级联失效建模

级联失效建模包括两个互补的组成部分：网络结构建模和失效演化建模[6]。前者表示实体之间的拓扑组织和依赖关系，为扰动传播提供结构基础。后者通过描述扰动累积和传播的动态机制进行刻画。扰动累积是指在受影响的组件或过程变量处影响随时间推移的累积或放大，例如偏差的增大

所提出框架概述

图1展示了所提出的级联失效统一建模与脆弱性分析框架的整体工作流程。在跨层耦合建模中，基于Purdue模型将网物理架构分解为七个功能层，并建立动态模型以描述组件间的交互。为准确识别底层关系，使用非线性动态稀疏辨识（SINDy）直接从数据推断控制动态方程

脆弱性指标

本研究开发了一套脆弱性评估指标：网络效率损失（NEL）、介数中心性退化（BCD）、丢包率（PLR）、消息完整性损失（MIL）、控制回路延迟（CLD）、安全裕度损失（SML）和偏差速率（RoD）。IPCS网络可表示为Gnet(N, Ed)，其中N是节点集，Ed是边集。每条边表示两个节点之间的物理连接或功能依赖。网络效率Effi和NEL表示为Effi(Gnet)

实验平台、数据集和真值构建

本研究采用FCC装置来验证所提出的方法。FCC装置广泛应用于石油化工领域，通过化学反应和物理分离将重质原油馏分转化为汽油、丙烯和柴油等高价值产品。我们构建了一个硬件在环（HIL）FCC仿真平台，将物理硬件与基于软件的过程仿真集成在一起，如图4所示。该平台包括一个设有工程师站和操作员站的控制中心

结论

本文提出了一种统一的工业过程控制系统（IPCSs）级联失效建模与脆弱性分析框架。在建模方面，SC-SINDy识别跨层依赖关系，整合能量函数与信息熵的多流级联失效模型揭示了多流级联机制。在脆弱性分析方面，基于Stackelberg博弈的方法刻画了对抗交互并支持定量脆弱性归因。该框架在FCC

缩写与符号

ADMM 交替方向乘子法
β 衰减系数
ATC 平均时间消耗
dl 层内滞后阶数
BCD 介数中心性退化
dmax 最大嵌入延迟
CLD 控制回路延迟
X(k) 全局状态向量
DCS 分布式控制系统
F(·) 全局非线性向量场
DoS 拒绝服务
W(k) 全局噪声向量
EPI 电气电力与智能控制
g(x) 可微非线性函数
EWS 工程师工作站
ψm(x) 第m个多项式基函数
FCC 流化催化裂化

作者贡献声明

Peihang Xu：概念设计、方法论、原创性撰写。Chunjie Zhou：监督、资金获取、审稿与编辑。Sardar Shan Ali Naqvi：验证、调查。Minglu Wang：数据整理、形式化分析。Kunkun Wang：可视化、调查。

作者署名贡献声明

Peihang Xu：原创性撰写、方法论、概念设计。Chunjie Zhou：审稿与编辑、监督、资金获取。Sardar Shan Ali Naqvi：验证、调查。Minglu Wang：形式化分析、数据整理。Kunkun Wang：可视化、调查。

Peihang Xu | Chunjie Zhou | Sardar Shan Ali Naqvi | Minglu Wang | Kunkun Wang