基于物理原理的学习方法，用于检测风电预测中的强通用扰动攻击

《Engineering Applications of Artificial Intelligence》：Physics-aware learning for detecting robust universal perturbation attacks in wind power forecasting

　　王立亮|钱正|阮佳琪|卢伟|梁高奇
中国北京100191，北京航空航天大学仪器与光电工程学院

摘要
风力发电预测模型容易受到对抗性攻击的影响，微小的扰动就可能导致较大的预测误差。然而，现有的攻击方法通常是为特定模型、特定时间节点和特定风电场量身定制的，往往效率不高，因为它们需要大量的计算资源，无法满足实时调度需求。此外，针对风力发电预测模型中的这类对抗性攻击的有效防御机制仍然十分缺乏。本文通过两项创新来应对这些挑战：一是人工智能安全领域的算法创新，二是用于保护关键基础设施的工程应用。在算法方面，我们首先开发了一种通用扰动框架，该框架可在离线状态下训练，以应对不同时空环境下的多种风力发电预测模型。在此基础上，我们提出了稳健的通用扰动方法，该方法利用加权密度集成学习技术，整合在不同条件下生成的扰动——比如不同的训练-验证数据划分、初始化参数以及模型架构——从而提升方法的迁移性和稳健性。此外，我们还引入了物理感知学习模型，这是首个利用物理约束来检测风力发电预测系统中对抗性攻击的框架，它通过量化数据与既定物理原理的偏差来进行检测，与传统的数据驱动方法有所不同。从工程应用的角度来看，稳健的通用扰动方法在保持接近最先进攻击性能的同时，通过离线预处理将实时计算负担降低了98%，便于实际部署。物理感知学习模型则能以100%的精确度和召回率确保系统运行稳定，其有效性已通过实际风电场数据得到验证。这些进展将人工智能安全理论与关键基础设施的需求相结合，揭示了能源系统中存在的安全隐患，并为构建稳健的电网人工智能系统提供了可行的解决方案。

引言
全球能源需求的快速增长以及对环境可持续性的日益重视，推动能源系统向更多元化发展，并更加依赖可再生能源。作为主要的可再生能源形式，风能的发展势头迅猛。根据国际能源署2025年全球能源展望报告，截至2024年底，全球风力发电装机容量已达1133吉瓦。全球风能理事会的数据也显示，2024年新增风电装机容量为117吉瓦，与上一年创下的纪录相当。同年，风能在全球电力生产中所占比例达到8.1%，这反映了风能在能源结构中的重要性日益提升。然而，风能的大规模接入给能源系统的稳定运行带来了巨大挑战，这是因为风能发电具有固有的间歇性特征。这种间歇性导致输出功率不稳定，进而威胁到能源系统的供需平衡、调度控制以及频率稳定。更严重的是，这种整合还带来了新的安全威胁。随着数字化和人工智能技术在能源领域的深入应用，风力发电预测模型已成为能源管理系统中的关键组成部分。这些模型依赖大量数据输入以及先进的深度学习算法，才能提供准确的预测结果，从而指导电能的生产与分配。然而，对数据驱动智能的过度依赖也使得这些系统容易受到网络攻击。攻击者可以通过操纵输入数据来扭曲模型输出，从而破坏实时调度，甚至引发系统失衡或故障。此类攻击不仅会危及能源系统的网络安全，还会对国家安全、社会稳定以及经济发展造成深远影响。

尽管风力发电预测模型及其相关技术挑战已经得到了广泛研究，但针对这些模型的对抗性攻击威胁却仍缺乏足够的研究。现有的防御机制大多侧重于通用的对抗性检测技术，未能充分考虑到风力发电预测模型所依赖的天气数据所具有的物理一致性约束。本研究通过提出一种利用风力发电预测模型固有漏洞的稳健的通用扰动攻击方法，以及一种通过评估输入数据的物理合理性来检测对抗性攻击的物理感知学习模型，来弥补这一缺陷。

针对风力发电预测模型的对抗性攻击研究目前还处于起步阶段，相关研究十分有限。一般来说，对抗性攻击是通过在模型输入中注入精心设计的小幅度扰动，从而诱使模型产生错误输出。在风力发电预测系统中，攻击者通过对这些扰动进行操作，改变温度、风速等天气数据，进而生成具有误导性的预测结果。这样的错误预测可能会扰乱电网运行，导致供需失衡，从而造成巨大的经济损失。

根据攻击者对目标模型的了解程度，攻击方法大致可分为两类：白盒攻击和黑盒攻击。白盒攻击假设攻击者能够完全获取目标模型的内部细节，如模型架构和参数，因此可以通过基于梯度的优化方法来创建针对特定模型的对抗性样本。例如，攻击者可以通过对损失函数关于天气输入特征的梯度上升操作，在最小化可感知性的同时最大化输出偏差，从而生成扰动。在各种白盒攻击方法中，快速梯度符号法是一种基础方法，它通过添加与输入梯度符号一致的扰动，快速引发错误预测。不过，并非所有的白盒扰动方法都是为了降低模型输出质量，比如AdvEdge方法虽然不改变预测结果，但可以调整模型解释，因此并不适合用于最大化预测误差的目标。尽管白盒攻击效率较高且成功率不错，但在现实环境中却很难实现，因为攻击者很难获得模型的全部细节。相比之下，黑盒攻击则无需了解模型的内部结构。因此，本研究主要关注黑盒攻击场景，因为这更符合现实情况，因为在现实中，模型内部结构通常受到严格的保密措施保护。常见的黑盒攻击策略包括基于查询的推理方法，即通过提交大量的输入-输出对来反推模型行为；以及替代模型攻击，即通过训练替代模型来生成可迁移的对抗性样本。不过，基于查询的攻击存在诸多弊端，比如计算成本高、无法满足实时性要求，而且由于频繁与目标模型交互，容易被检测出来。而替代模型攻击则常常因为替代模型与目标模型在架构或数据上的差异，导致样本的可迁移性下降。值得注意的是，投影梯度下降攻击在白盒和黑盒环境下对风力发电预测模型都表现出很高的有效性，它通过迭代优化，在l∞范数约束下最大化预测误差。它的迭代设计能够在白盒环境下适应模型特性，同时在黑盒环境下通过替代模型优化保持方法的迁移性。不过，无论是白盒攻击还是黑盒攻击，都有一个共同的局限性，那就是都需要对输入特征进行逐次、基于梯度的优化。为了最大化攻击效果而进行的反复迭代会带来显著的时间延迟，这为防御方提供了足够的时间来采取应对措施，比如限制查询频率或进行异常监测。

然而，通用对抗性攻击提供了一种很有前景的替代方案，它允许在离线状态下计算扰动，然后立即在线应用，从而提升实时性能。到目前为止，还没有针对基于回归的风力发电预测模型专门设计的此类攻击方法。其他领域的相关研究包括通用对抗性扰动方法，这类方法能够生成一种与输入无关的扰动，用来误导不同自然图像分类器。陈等人提出了注意力攻击方法，这是一种跨架构的方法，通过注意力机制提升方法的迁移性，不过它仍然需要针对每个样本进行在线优化。刘等人则发现，通过替代模型集成进行梯度聚合，可以提高分类任务中的黑盒迁移性。据我们所知，目前还没有针对风力发电预测模型的通用对抗性攻击方法，这也凸显出我们提出的稳健的通用扰动方法的必要性。

同样，目前也没有专门针对风力发电预测模型的对抗性攻击检测方法。尽管异常检测在计算机视觉和时间序列监测等领域已经得到了广泛应用，但这些方法很少考虑风力发电所特有的物理约束。在缺乏针对风力发电预测模型的专用防御手段的情况下，我们对比了一组通用的检测方法。这些方法包括统计阈值判断方法，比如3西格玛规则（假设残差呈正态分布）和箱线图准则（一种基于四分位距的非参数方法）；以及基于模型的检测方法，比如孤立森林，这是一种基于树结构的无监督异常检测方法，依靠随机分割来实现异常检测；向量自回归模型，这是一种经典的多元时间序列模型，可用于捕捉时间依赖关系，其预测残差可以被分析出来，以识别动态偏差；还有用于神经网络的分布外检测方法，它不需要重新训练，就可以通过输入扰动和经过温度缩放的softmax得分来检测异常；以及基于自编码器的异常检测方法，它通过识别较高的重构误差来发现异常。

虽然这些方法在一般场景下效果不错，但它们未能明确融入控制风力发电产生的领域特定物理定律。正是这一不足促使我们提出了物理感知学习模型，这是一种嵌入了天气约束的检测框架，旨在解决风力发电预测模型面临的特殊问题。

为了解决现有攻击方法在黑盒场景下的局限性，本研究提出了一种基于稳健的通用扰动方法的攻击方式，同时结合物理感知学习模型来增强防御能力。本文的主要贡献如下：
(1) 我们提出了一种基于替代模型的方法来计算通用扰动向量，该方法考虑了多种可能的攻击场景。与那些依赖迭代过程和大量在线交互的现有方法相比，我们的方法完全在离线状态下生成通用扰动向量，因此无需进行实时计算，大大降低了计算成本和时间开销。
(2) 在通用扰动框架的基础上，我们引入了一种基于加权密度集成学习的稳健的通用扰动生成方法。通过这种方式，我们可以整合多个替代模型产生的扰动，从而显著提升稳健的通用扰动方法在各种风力发电预测模型和不同时空环境下的迁移性和稳健性。与传统的通用扰动方法相比，稳健的通用扰动方法具有更高的稳健性和迁移性，能够在更广泛的场景下实现更强的攻击效果。
(3) 我们还提出了一种基于物理约束的新型检测机制。由于被篡改的天气数据往往违背了既定的物理定律，物理感知学习模型可以利用这些矛盾来进行有效的异常检测。具体来说，该模型将物理原理纳入其架构中，用于分析天气数据中各变量之间的关系，识别出与预期物理规律不符的异常情况。通过将这些约束条件作为输入，物理感知学习模型能够精准地识别出对抗性样本，从而提升风力发电预测模型的可靠性。

本文的其余部分结构如下：第2节介绍了针对风力发电预测模型的通用对抗性攻击方法，以及如何通过集成学习提升其在不同架构和数据集上的迁移能力。第3节详细介绍了物理感知学习模型，这是一种融合了领域特定物理约束的检测框架，可用于识别对抗性扰动。第4节展示了大量的数值实验，分析了攻击和检测的性能表现。第5节探讨了稳健的通用扰动方法和物理感知学习模型的实际部署要点，重点分析了它们的计算效率和可扩展性。第6节分析了对抗性机器学习在关键能源基础设施中的应用所带来的伦理、监管和网络安全方面的影响。第7节指出了本研究方法的局限性，并提出了未来研究的方向。第8节总结了本文在提升风力发电预测系统对抗鲁棒性和防御能力方面的贡献。第9节介绍了数据和代码的获取方式，以便他人复现研究结果并加以应用。

图1展示了所提出的双重攻击-检测框架的端到端工作流程。上方面板展示了攻击者的离线训练过程，包括数据收集、替代模型训练、通用扰动向量生成，以及通过加权密度集成学习合成稳健的通用扰动向量。下方面板则展示了在线检测过程，物理感知学习模型会持续监控输入的天气预报数据，并将其判定为正常或异常。一旦检测到异常数据，就会发出警报，而正常数据则会传递给风力发电预测模型，以便进行可靠的电力预测。

典型风力发电预测模型
风力发电预测模型通常以历史电力生成数据以及外部提供的天气预报数据作为输入，以此来预测未来的电力输出。由于天气模式的周期性特点，风能发电具有很强的时间相关性。当前的风力发电预测方法采用了多种不同的模型架构，包括长短期记忆网络、门控循环单元、Transformer模型以及时间卷积网络。

基于物理约束的检测方法
为了解决现有文献中提到的各种对抗性攻击策略和方法，我们提出了一种基于物理约束的物理感知学习模型作为检测机制。PALM旨在识别输入的天气数据在进入WPF模型之前是否经历了恶意扰动，从而提升下游预测的稳定性。该系统将基本物理定律融入神经网络架构中，实现了深度学习与传统方法的协同作用。

数值研究：本文通过四种深度学习架构——GRU、LSTM、Transformer和TCN，来评估所提出的检测机制的有效性（见表1）。这些不同的网络结构用于验证所提攻击方法的普适性，以及该检测机制在不同模型配置下的稳定性。数值研究使用了来自CAISO、PJM和MISO调度区域内的三个风电场的天气数据和发电数据。

数据集处理：对于每个数据集，80%的样本用于训练，10%用于验证，10%保留用于测试。为生成恶意示例，我们采用了不同强度的扰动，这些强度由标准化扰动向量的l∞范数来确定，分别为初始天气值的3%、5%和10%。这些水平分别对应低、中、高三种攻击强度。恶意攻击的性能是通过实际预测值与真实值之间的平均绝对误差来评估的。

实际部署考虑：在电力系统中实际应用RUP和PALM时，需要重点考虑计算效率与可扩展性。RUP利用历史数据离线训练，之后作为固定的通用扰动被部署使用。这种设计无需在攻击执行过程中进行实时计算，从而降低了运行开销。而PALM作为一种轻量级神经网络，每处理一个样本的推理延迟可低于1毫秒。

伦理、监管与安全问题：诸如RUP这类针对风力发电预测模型天气预报输入的恶意攻击方法，以及PALM这样的检测机制，给关键能源基础设施带来了重大的伦理、监管和网络安全方面的挑战。正如近期研究所示，即使是对天气数据进行的微小且针对性的扰动，也可能导致严重的预测误差，进而引发运营中断和经济损失。

局限性及未来工作：尽管PALM是首个专门用于防御针对风力发电预测系统的恶意攻击的机制，并且通过利用不变的物理定律，在包括极端天气在内的多种条件下都展现了出色的检测性能，但它仍存在一些相互关联的局限性，这些局限性也为未来的研究指明了方向。对于PALM的实际应用而言，一个关键的考量因素是训练数据的质量，而非操作传感器的性能。

结论：本研究通过提出一种新的恶意攻击策略RUP，以及一种基于物理原理的检测机制PALM，分析了WPF模型中的关键漏洞。即便攻击者对目标模型的了解有限，RUP也能在多种架构和时空场景下有效降低WPF模型的预测精度。该机制通过离线预计算以及基于不同建模方式生成的通用扰动的加权密度集成学习来实现其功能。

作者贡献说明：王立良：写作——审稿与编辑、写作——初稿撰写、可视化、验证、软件开发、方法设计、研究实施、形式分析、数据整理、概念构建。钱铮：写作——审稿与编辑、指导、研究实施。阮佳琪：写作——审稿与编辑、指导、方法设计。魏璐：写作——审稿与编辑、指导。梁高奇：写作——审稿与编辑。

数据与代码获取：本研究使用的数据可在以下地址获取：https://github.com/tamu-engineering-research/Open-source-power-dataset。为便于重复实验及社区应用，包含PALM框架、RUP攻击生成流程以及所有基准方法的完整源代码，可在此处获取：https://github.com/qiunixuexi/WPF_RUP_PALM/tree/ceff19b。该版本包含了生成研究结果所需的所有代码、笔记本文件以及详细的环境配置信息。

利益冲突声明：作者声明不存在任何可能影响本文研究结果的已知财务利益或个人关系。