在网络攻击下，工业网络物理系统的韧性评估

《Process Safety and Environmental Protection》：Resilience assessment of industrial cyber-physical systems under cyberattacks

　　摘要
针对赛博物理系统（CPSs）的网络攻击可以从网络空间传播到物理过程，最终导致不安全的操作条件。然而，现有的评估方法仍然受到定性分析的限制，对跨层攻击传播的描述不足，以及缺乏客观的韧性量化。为了解决这些不足，本研究提出了一个综合韧性评估框架，该框架结合了系统理论过程安全分析（STPA-Sec）、广义随机Petri网（GSPN）和动态仿真。首先使用STPA-Sec来识别不安全的控制行为及其因果场景，建立攻击行为与控制偏差之间的映射。然后开发一个GSPN模型来描述信息-控制-物理架构中的攻击传播，同时结合动态仿真来量化攻击对关键过程变量的影响。基于这些分析，构建了一个多维度指标体系，包括风险可达性、传播强度、风险停留时间和物理偏差，并应用熵加权方法客观地得出综合影响指数。以连续搅拌罐反应器（CSTR）作为案例研究。结果表明，控制路径攻击，特别是执行器篡改和恶意命令注入，会导致最严重的韧性下降，而传感器虚假数据注入会导致逐渐恶化，服务拒绝攻击则会引起振荡但部分可补偿的响应。进一步使用一个综合优势得分（定义为单调性、敏感性、稳定性、区分度和方法覆盖度的加权组合）进行方法比较。所提出的框架获得了最高的得分0.850，优于攻击图/树（0.631）、风险比率（0.576）、最大偏差（0.485）和贝叶斯网络（0.400）。该方法为CPS的韧性评估和防御优化提供了更全面和具有区分性的基础。

引言
随着数字化、网络化和智能技术在工业领域的不断发展，过程工业系统逐渐演变为工业赛博物理系统，其特征是信息层、控制层和物理层之间的紧密耦合（El-Kady等人，2023；Baldea等人，2025）。在这些系统中，传感器、控制器、执行器、通信平台和监控平台通过闭环控制协同工作，从而显著提高了过程操作的可观测性和可控性。然而，这种高度互联的架构也大大增加了系统遭受网络攻击的风险。与传统的信息系统不同，工业赛博物理系统（CPSs）中的网络攻击不仅可能导致数据篡改、信息丢失或服务中断，还可能跨越网络空间和物理世界的界限，直接影响底层的工业过程。此类攻击可能会使关键过程变量偏离安全操作区域，最终导致设备损坏、生产中断、环境污染甚至人员伤亡（Wen和Khan，2025；Moreno等人，2018）。因此，系统地识别工业CPSs中网络攻击的传播机制，并进一步描述系统在攻击干扰下的性能下降和恢复能力，已成为过程安全研究中的重要问题。

关于这一主题的现有研究主要从两个角度进行：网络威胁分析和故障检测与诊断。从网络威胁分析的角度来看，先前的研究表明，过程系统面临的威胁已经从传统的信息技术（IT）层面的信息风险扩展到可以直接影响控制逻辑和物理过程操作的CPS相关风险。典型的攻击形式，包括传感器攻击、执行器攻击、控制器攻击和通信中断已经得到了广泛研究，并强调了工业CPSs中安全风险与安全风险之间的显著耦合（Iaiani等人，2023a；Arunthavanathan等人，2025）。同时，故障检测与诊断（FDD）一直是过程系统工程中的重要研究领域，旨在通过异常监测、故障识别和故障定位来支持事故预防和异常情况管理（Liu等人，2024）。Ma等人（2025）提出了基于时间延迟互信息（TDMI）的攻击检测方法，以区分工业控制系统中的传感器篡改攻击和过程故障。由于工业CPSs中的网络攻击通常表现为测量失真、控制偏差、执行器故障或通信失败，FDD为CPS安全研究提供了宝贵的见解，特别是在异常识别、传播追踪和恢复分析方面。尽管如此，现有研究仍然主要关注威胁识别和故障诊断，而如何详细描述攻击在信息层、控制层和物理层之间的传播，并最终演变为物理过程偏差和安全后果的统一而明确的描述仍然缺乏。

从更根本的理论角度来看，这一研究方向与系统理论安全分析方法的发展密切相关。2004年，Leveson（2004）提出了系统理论事故模型和过程（STAMP），并在此基础上进一步发展了系统理论过程分析（STPA）方法。通过结合系统工程和控制理论，STPA为分析复杂系统中的潜在风险和安全约束提供了新的视角。后续研究将STPA扩展到了CPS应用中（Young和Leveson，2013）。Yu等人（2021）从数据流的角度分析了系统功能交互中的风险；Romano等人（2024）结合了多种安全分析方法来识别复杂系统中的攻击路径。这些研究提高了STPA在CPS安全分析中的适用性。然而，它们仍然主要强调危险识别和脆弱性分析，分析结果主要是定性的，难以捕捉系统在持续干扰下的动态演变。

为了克服单一方法的局限性，混合方法逐渐成为该领域的重要发展趋势。一方面，一些研究将系统理论方法与数值仿真相结合，以弥合高层次危险识别和物理后果量化之间的差距（Liu等人，2025）。Liu等人提出了针对赛博物理过程系统的RESPONSE韧性框架，并通过连续搅拌罐反应器（CSTR）和连续搅拌罐加热器（CSTH）的仿真研究证明了其可行性。Zhu等人（2024）使用数值仿真来量化风险，而Zhou等人（2022）提出了一个结合系统安全理论和计算模型的爆炸风险分析框架。另一方面，系统理论方法还与贝叶斯网络和Petri网等图形模型相结合，用于表示风险传播路径、状态转换关系和动态故障过程（Huang等人，2025）。Iaiani等人（2023b）开发了一个集成历史事故分析、PHAROS和POROS的协作框架，以解决过程工业控制系统和安全仪表系统的 cyber风险识别不足问题。Zheng等人（2024）采用贝叶斯网络进行动态风险评估，而Li等人（2024）通过结合STPA-Sec和随机Petri网模型来量化系统风险。这些方法的优势在于，系统理论方法可以从整体控制结构中识别不安全的控制行为及其因果因素，图形模型可以描述攻击传播和风险演变，动态仿真可以揭示干扰对物理过程变量的具体影响。因此，与静态分析或单一指标评估相比，混合方法更适合描述具有多层耦合和复杂交互的工业CPS的安全问题。尽管取得了这些进展，现有研究在全面描述干扰耐受性、风险积累和恢复过程方面仍然不足，尚未建立一个完整的韧性评估框架。

鉴于这些不足，本研究为工业CPSs在网络攻击情景下开发了一个综合韧性评估框架。通过结合STPA-Sec、广义随机Petri网（GSPNs）、动态仿真和熵加权方法，该框架建立了从不安全控制行为识别和攻击传播建模到定量韧性评估的系统性路径。与传统方法相比，这些方法不仅强调定性分析或单一风险指标，还捕捉了网络攻击在信息层、控制层和物理层之间的跨层传播及其对危险状态演变的影响。因此，它为分析复杂过程系统中风险的形成、传播和积累提供了更动态和系统化的基础。CSTR案例研究进一步证明了该框架能够区分各种攻击模式对韧性下降的影响，支持关键脆弱路径的识别、保护措施的优先级排序以及以韧性为导向的安全策略的优化。

本文的其余部分组织如下：第2节回顾了与CPS安全相关的背景和先验知识；第3节详细介绍了所提出的韧性评估框架；第4节使用CSTR案例研究来演示和验证所提出的方法；第5节提供了比较分析和讨论；第6节总结了论文并指出了未来研究的方向。

背景和先验知识
本节介绍了后续方法所需的建模背景和网络攻击分类。第1节已经回顾了系统理论安全分析、攻击传播建模和基于仿真的韧性评估的相关研究。本文重点讨论了CPS动态的数学表示以及本研究考虑的主要攻击类型。

方法论
为了系统地定量评估工业CPSs在网络攻击下的韧性，我们提出了一个综合框架，该框架统一了安全分析、攻击传播建模和动态仿真。在前几节的基础上，所提出的方法论按照攻击建模、传播分析、动态响应和韧性评估的逻辑顺序进行了介绍，如图1所示。该方法论分为四个步骤。

应用场景
为了验证所提出的网络攻击建模和韧性评估方法的有效性，本文选择了过程工业中的一个典型连续搅拌罐反应器系统作为研究对象，并展示了该系统的过程流程、网络拓扑和附加仪器（见图3）。

为了提供一致的基准，选择传感器虚假数据注入作为代表性场景。使用相同的CSTR模型、五种攻击强度水平、500秒的仿真持续时间、200秒的攻击启动时间和相同的危险状态阈值，将所提出的方法与最大偏差、风险比率、贝叶斯网络和攻击图/树方法进行了比较。