数据注入使能的电网网络参数的攻击检测方法及装置

摘要

本发明提供了数据注入使能的电网网络参数的攻击检测方法、装置及存储介质。该攻击检测方法包括以下步骤：挖掘网络参数错误处理应用对电网状态估计的缺陷，以分析虚假数据注入对网络参数处理应用中网络参数的估计值的影响；分析间接篡改电网网络参数值的潜在攻击路径，以确定至少一个候选网络参数攻击；分析网络参数攻击的隐秘性和可行性，并评估电网面临的网络参数攻击风险；量化评估各候选网络参数攻击对电网的最优潮流应用的影响，以确定对网络参数错误处理应用有效的网络参数攻击；根据有效的网络参数攻击，设计检测各单一支路的网络参数攻击的最小测量保护集合；通过组合各支路的最小测量保护集合，以最小的成本实现攻击检测。

说明书

技术领域

本发明涉及电力信息物理系统网络攻击的检测与防御技术，尤其涉及一种数据注入使能的电网网络参数的攻击检测方法、一种数据注入使能的电网网络参数的攻击检测装置，以及一种计算机可读存储介质。

背景技术

随着智能电网和能源互联网建设的不断推进，由智能测量、通信、计算和控制等设备组成的电力信息通信系统与电力物理系统深入融合，使其成为典型的信息物理系统。然而，电力信息系统中越来越多的采用标准化通信协议和通用软硬件设备，打破了电网原有基于私有协议和专用设备的隐秘防护。此外，为满足电网运行监测和调度的需求，变电站、调度中心、区域电网之间需要频繁的交互测量数据等信息，可能会被网络攻击者篡改，造成电网运行成本升高、设备故障，甚至引发大范围停电。电力系统面临严重的网络攻击威胁，并呈愈演愈烈之势。

由于电网网络参数与电力系统运行稳定和运行效率密切相关，电网网络参数逐渐成为多种网络攻击的目标。在网络参数攻击建模方面，已有大量研究者开展广泛的研究，提出了网络参数协同攻击、输电线路阻抗攻击等多种网络参数攻击形式。这些网络攻击的方法普遍需要假设攻击者能够直接篡改电网状态估计、经济调度等应用中的电网网络参数值。然而，在实际电网中，上述电网网络参数值通常存储于控制中心中，攻击者难以渗透到控制中心并直接篡改上述电网网络参数值。攻击者需要评估电网网络参数攻击的可行性及其对电网的影响，干扰潮流模型的准确性，才能达到网络攻击的目的。相应地，虽然基于测量数据保护的安全防护方法已广泛应用于虚假数据注入攻击检测领域，但这些攻击方法的检测效果均与电网潮流模型的准确性密切相关。一旦电网网络参数被网络参数攻击篡改，并使潮流模型不再准确，这些基于测量保护的安全防护方法就无法达到检测和防御网络参数攻击的效果。此外，现有的基于测量数据保护的攻击检测方法是从系统能观测性角度推导得到所需保护的测量数据集合，单纯将上述方法扩展到各种网络参数攻击的场景，存在安全防护成本过高的问题。

为了克服现有技术存在的上述缺陷，本领域亟需一种数据注入使能的电网网络参数的攻击检测技术，通过分析实际场景中电网网络参数攻击的可行性和攻击影响来预测有效的网络参数攻击，并针对性地构建检测各单一支路的网络参数攻击的最小测量保护集，通过组合各单一支路中的最小测量保护集合，降低攻击检测的成本。

发明内容

以下给出一个或多个方面的简要概述以提供对这些方面的基本理解。此概述不是所有构想到的方面的详尽综览，并且既非旨在指认出所有方面的关键性或决定性要素亦非试图界定任何或所有方面的范围。其唯一的目的是要以简化形式给出一个或多个方面的一些概念以为稍后给出的更加详细的描述之前序。

为了克服现有技术存在的上述缺陷，本发明提供了一种数据注入使能的电网网络参数的攻击检测方法、一种数据注入使能的电网网络参数的攻击检测装置，以及一种计算机可读存储介质。通过分析实际场景中电网网络参数攻击的可行性和攻击影响，本发明能够预测有效的网络参数攻击，并针对性地构建检测各单一支路的网络参数攻击的最小测量保护集来降低攻击检测的成本。

具体来说，根据本发明的第一方面提供的上述数据注入使能的电网网络参数的攻击检测方法，包括以下步骤：挖掘网络参数错误处理应用对电网状态估计的缺陷，以分析虚假数据注入对所述网络参数处理应用中网络参数的估计值的影响；根据所述虚假数据注入对所述估计值的影响，分析间接篡改电网网络参数值的潜在攻击路径，以确定至少一个候选网络参数攻击；分析网络参数攻击的隐秘性和可行性，并评估所述电网面临的网络参数攻击风险，以确定至少一个候选网络参数攻击；量化评估各所述候选网络参数攻击对所述电网的最优潮流应用的影响，以确定对所述网络参数错误处理应用有效的网络参数攻击；根据所述有效的网络参数攻击，设计检测各单一支路的网络参数攻击的最小测量保护集合；以及通过组合各所述支路的最小测量保护集合，以最小的成本实现攻击检测。

进一步地，在本发明的一些实施例中，所述电网状态估计的电力系统测量方程被表示为

z＝h(x,p)+e

其中，z为测量数据，x为系统状态值，p为网络参数值，h(·)表示所述测量数据z与所述系统状态值x及所述网络参数值p的关系，e为测量噪声值。

进一步地，在本发明的一些实施例中，所述测量数据z包括电力系统的节点注入功率、支路功率、电压幅值中的至少一者。此外，所述系统状态值x包括电压幅值和/或相角。此外，所述电网网络参数值p为所述电网的—条支路的阻抗。此外，所述测量噪声值e为满足零均值高斯分布的测量噪声。

进一步地，在本发明的一些实施例中，在交流状态估计中，所述网络参数值p使用存储于控制中心的数值，而不作为变量，所述交流状态估计被描述为如下优化问题

其中，

进一步地，在本发明的一些实施例中，所述电网状态估计中布置有网络参数错误处理模。响应于任意一条支路上网络参数错误过大，配置于所述支路的不良数据检测器随状态估计的测量残差变大而报警，以指示错误的网络参数所在的支路。响应于任意一个网络参数被判断存在错误，所述网络参数错误处理模块采用网络参数合并的状态估计，同时估计系统状态值x和网络参数值p，其优化问题被表示为

其中，

进一步地，在本发明的一些实施例中，所述攻击检测方法还包括以下步骤：以所述估计值

其中，λ为所述均一化残差的阈值上限，M

进一步地，在本发明的一些实施例中，所述根据所述虚假数据注入对所述估计值的影响，分析间接篡改电网网络参数值的潜在攻击路径，以确定至少一个候选网络参数攻击的步骤包括：利用所述网络参数错误处理应用中网络参数的错误发现、参数值估计和参数值更新过程，向测量数据中注入伪造数据，以误导网络参数值的估计值，并间接篡改存储于控制中心的网络参数值。

进一步地，在本发明的一些实施例中，所述向测量数据中注入伪造数据的步骤包括：向均一化残差满足阈值上限的合法测量数据中，注入满足以下条件的攻击向量

a＝h(x,p+Δp)-h(x,p)

其中，p为网络参数的真实值，Δp为伪造的网络参数错误值。

进一步地，在本发明的一些实施例中，所述分析网络参数攻击的隐秘性和可行性，并评估所述电网面临的网络参数攻击风险，以确定至少一个候选网络参数攻击的步骤包括：向均一化残差满足阈值上限的合法测量数据中，注入满足以下条件的攻击向量

其中，

进一步地，在本发明的一些实施例中，所述量化评估各所述候选网络参数攻击对所述电网的最优潮流应用的影响，以确定对所述网络参数错误处理应用有效的网络参数攻击的步骤包括：使用控制中心的数据库中存储的网络参数值作为模型参数，并采用以下优化问题，量化评估各所述候选网络参数攻击对所述电网的最优潮流应用的影响

其中，所述最优潮流应用通过决策电压幅值V、电压相角θ、发电有功功率 P

进一步地，在本发明的一些实施例中，所述优化问题基于电网功率平衡约束、电压幅值、电压相角、发电机有功功率、无功功率的可行域，和/或输电线路的容量限制，确定所述电网的最小化发电成本，其中，所述电网功率平衡约束被表示为：

P

Q

所述电压相角的可行域被表示为：

θ

所述电压幅值的可行域被表示为：

V

所述有功功率的可行域被表示为：

所述无功功率的可行域被表示为：

所述输电线路的容量限制被表示为：

进一步地，在本发明的一些实施例中，所述根据所述有效的网络参数攻击，设计检测各单一支路的网络参数攻击的最小测量保护集合的步骤包括：将原有的系统状态值及网络参数值确定为系统状态变量，利用系统状态的可观测性条件，分析单一支路中检测网络参数攻击所需保护的最小测量集合。

进一步地，在本发明的一些实施例中，所述将原有的系统状态值及网络参数值确定为系统状态变量，利用系统状态的可观测性条件，分析单一支路中检测网络参数攻击所需保护的最小测量集合的步骤包括：构建测量集合 {P

进一步地，在本发明的一些实施例中，所述组合各所述支路的最小测量保护集合的步骤包括：从构建的各所述最小测量集合中，选取包括两个电压幅值的最小测量保护集合进行组合。

此外，根据本发明的第二方面提供的上述数据注入使能的电网网络参数的攻击检测装置包括存储器及处理器。所述处理器连接所述存储器，并被配置用于实施本发明的第一方面提供的上述数据注入使能的电网网络参数的攻击检测方法。

此外，本发明的第三方面提供的上述计算机可读存储介质，其上存储有计算机指令。所述计算机指令被处理器执行时，实施本发明的第一方面提供的上述数据注入使能的电网网络参数的攻击检测方法。

附图说明

在结合以下附图阅读本公开的实施例的详细描述之后，能够更好地理解本发明的上述特征和优点。在附图中，各组件不一定是按比例绘制，并且具有类似的相关特性或特征的组件可能具有相同或相近的附图标记。

图1示出了根据本发明的一些实施例提供的数据注入使能的网络参数攻击的示意图。

图2示出了根据本发明的一些实施例提供的网络参数攻击与虚假数据注入攻击的对比图。

图3示出了根据本发明的一些实施例提供的网络参数攻击对最优潮流应用的影响的示意图。

图4示出了根据本发明的一些实施例提供的网络参数攻击的隐秘性验证的示意图。

图5示出了根据本发明的一些实施例提供的最优测量保护的防护成本的对比图。

图6示出了根据本发明的一些实施例提供的最优测量保护的攻击检测成功率的示意图。

具体实施方式

以下由特定的具体实施例说明本发明的实施方式，本领域技术人员可由本说明书所揭示的内容轻易地了解本发明的其他优点及功效。虽然本发明的描述将结合优选实施例一起介绍，但这并不代表此发明的特征仅限于该实施方式。恰恰相反，结合实施方式作发明介绍的目的是为了覆盖基于本发明的权利要求而有可能延伸出的其它选择或改造。为了提供对本发明的深度了解，以下描述中将包含许多具体的细节。本发明也可以不使用这些细节实施。此外，为了避免混乱或模糊本发明的重点，有些具体细节将在描述中被省略。

如上所述，现有的网络攻击方法普遍需要假设攻击者能够直接篡改电网状态估计、经济调度等应用中的电网网络参数值。然而，在实际电网中，上述电网网络参数值通常存储于控制中心中，攻击者难以渗透到控制中心并直接篡改上述电网网络参数值。攻击者往往需要评估电网网络参数攻击的可行性及其对电网的影响，干扰潮流模型的准确性，才能达到网络攻击的目的。相应地，虽然基于测量数据保护的安全防护方法已广泛应用于虚假数据注入攻击检测领域，但这些攻击方法的检测效果均与电网潮流模型的准确性密切相关。一旦电网网络参数被网络参数攻击篡改，并使潮流模型不再准确，这些基于测量保护的安全防护方法就无法达到检测和防御网络参数攻击的效果。此外，现有的基于测量数据保护的攻击检测方法是从系统能观测性角度推导得到所需保护的测量数据集合，单纯将上述方法扩展到各种网络参数攻击的场景，存在安全防护成本过高的问题。

为了克服现有技术存在的上述缺陷，本发明提供了一种数据注入使能的电网网络参数的攻击检测方法、一种数据注入使能的电网网络参数的攻击检测装置，以及一种计算机可读存储介质。通过分析实际场景中电网网络参数攻击的可行性和攻击影响，本发明能够预测有效的网络参数攻击，并针对性地构建检测各单一支路的网络参数攻击的最小测量保护集来降低攻击检测的成本。

在一些非限制性的实施例中，本发明的第一方面提供的上述攻击检测方法可以由本发明的第二方面提供的上述攻击检测装置来实施。具体来说，该攻击检测装置中配置有存储器及处理器。该存储器包括但不限于本发明的第三方面提供的上述计算机可读存储介质，其上存储有计算机指令。该处理器连接该存储器，并被配置用于执行该存储器上存储的计算机指令，以实施本发明的第一方面提供的上述攻击检测方法。

以下将结合一些攻击检测方法的实施例来描述上述攻击检测装置的工作原理。本领域的技术人员可以理解，这些攻击检测方法的实施例只是本发明提供的一些非限制性的实施方式，旨在清楚地展示本发明的主要构思，并提供一些便于公众实施的具体方案，而非用于限制该攻击检测装置的全部功能或全部工作方式。同样地，该攻击检测装置也只是本发明提供的一种非限制性的实施方式，不对这些攻击检测方法中各步骤的实施主体构成限制。

请参考图1，图1示出了根据本发明的一些实施例提供的数据注入使能的网络参数攻击的示意图。

如图1所示，在本发明的一些实施例中，数据注入使能的电网网络参数的攻击检测方法，，其特征在，包括如下步骤：

步骤S1：挖掘电网状态估计中网络参数错误处理应用的缺陷，分析虚假数据注入对网络参数处理应用中网络参数的估计值的影响；

步骤S2：设计虚假数据注入攻击模型，分析间接篡改电网网络参数值的潜在攻击路径；

步骤S3：设计虚假数据注入攻击模型，分析网络参数攻击的隐秘性和可行性，并评估电网面临的网络参数攻击风险；

步骤S4：量化评估所提出的网络参数攻击对电网最优潮流应用的影响；

步骤S5：针对上述网络参数攻击模型，从单一支路的网络参数攻击检测入手，设计确保单一支路网络参数攻击可检测的最小测量保护集合；以及

步骤S6：利用单一支路的最小测量保护集合，设计启发式组合优化方法，通过组合不同支路中的最小测量保护集合，降低给定网络参数集合下所需保护的测量数据的个数。

具体来说，在上述步骤S1中，电网状态估计的电力系统测量方程可以表示为：

z＝h(x,p)+e (1)

其中，z为测量数据，包括电力系统节点注入功率、支路功率和电压幅值等测量值；x为系统状态，包括电压幅值和相角；p为电网网络参数—支路阻抗； h(·)表示节点注入功率等变量与系统状态、网络参数的关系；e为满足零均值高斯分布的测量噪声。

进一步地，在交流状态估计中，电网网络参数值p通常使用存储于控制中心的数值，而不认为变量。此时，交流状态估计可以被描述为如下优化问题：

其中，

此外，由于电网网络参数可能存在错误，电网状态估计中通常布置有网络参数错误处理模块，用于纠正潜在的参数错误。具体来说，当某一支路上网络参数错误过大时，状态估计中的测量残差将会变大，从而触发不良数据检测器报警。此时，测量残差的最大值对应的测量设备必然位于上述网络参数所在的支路，攻击检测装置即可根据报警检测器的位置，确定错误的网络参数所在的支路。

进一步地，在网络参数错误处理模块中，若某一网络参数被判断为存在网络错误，通常采用网络参数合并的状态估计，同时估计系统状态值和网络参数值。相关优化问题可表示为：

其中，

之后，攻击检测装置可以在状态估计中，以新估计的网络参数值

其中，λ为最大均一化残差检测中检测阈值，M

之后，在步骤S2中，攻击者可以利用网络参数错误处理应用中网络参数的错误发现、参数值估计和参数值更新过程，通过向测量数据中注入伪造的数据，可以误导网络参数值的估计值，间接地篡改存储于控制中心的网络参数值。

如图1中的攻击路径①所示，攻击者可以利用网络参数错误处理应用中参数辨识、估计和更新过程，通过向测量数据中注入伪造数据，误导网络参数更新过程，从而间接篡改控制中心数据库中的网络参数。进一步地，鉴于较大的网络参数错误必然会触发网络参数错误处理应用，对于满足条件(4)的合法测量数据，攻击者可以通过向测量数据中注入满足以下条件的攻击向量误导网络参数更新过程，间接的篡改网络参数值：

a＝h(x，p+Δp)-h(x，p) (5)

其中，p为真实的网络参数值，Δp为攻击者伪造的网络参数错误值。

进一步地，在步骤S3中，攻击者可以设计虚假数据注入攻击，以避免被篡改的网络参数值引起不良数据检测报警。

如图1中的攻击路径②所示，攻击者注入满足如下条件的攻击向量，以避免被篡改的网络参数值被不良数据检测机制发现：

其中，

之后，攻击者可以通过继续向后续合法测量数据中注入满足(5)的攻击向量，以避免被篡改的网络参数值被不良数据检测机制发现。

进一步地，在步骤S4中，由于电网最优潮流应用与状态估计应用都使用控制中心数据库中的网络参数值作为模型参数，上述对网络参数的间接篡改会直接影响最优潮流应用的结果。网络参数攻击对电网最优潮流应用的影响可采用以下优化问题评估：

s.t.P

Q

θ

V

其中，(9)和(10)为电网功率平衡约束，用于确保电网发电和用电的平衡； (11)-(14)为电压幅值、相角、发电机有功功率、无功功率的可行域；(15)为输电线路的容量限制；Δp为网络参数攻击中对目标网络参数的改变量。进一步地，在上述优化中，最优潮流应用可以通过决策电压幅值V、电压相角θ、发电有功功率P

之后，在步骤S5中，通过将电压幅值、相角等原有系统状态与支路导纳等网络参数共同看作新的系统状态变量，本发明可以利用系统状态的可观测性条件，分析单一支路中检测网络参数攻击所需保护的最小测量集合。以支路 (i,j)为例，当测量集合{P

则支路(i,j)上网络参数(导纳)的篡改可以被检测。同理，可以在 {P

由于在实际电网中，正常运行情况下的电网系统状态和网络参数可以满足条件(16)，即不满足条件(16)的状态占少数，通过保护上述测量集合即可实现对支路网络参数攻击的检测。

进一步地，在步骤S6中，当多个支路的网络参数攻击需要被检测时，本发明可以对步骤S5中单一支路的最小测量保护集合加以组合，从而在检测网络参数攻击的同时确保对系统状态篡改的检测能力。然而，当多个支路中的网络参数需要被检测时，简单的选择上述单一支路最小测量保护集合可能导致保护测量的冗余。为进一步减少所需保护的测量个数，本发明可以优选地选取包含两个电压幅值测量的最小测量保护集合进行组合，以降低网络参数攻击检测的成本。

本发明中提出的网络参数攻击与传统虚假数据注入攻击在攻击成本(所需篡改测量数量)和系统信息要求的对比如图2所示。显然，在本发明提出的网络参数攻击中，所需篡改的最小测量数量为目标参数所在支路的测量集合 {P

此外，本发明提出的网络参数攻击在构造攻击向量时仅需已知目标支路的网络参数，即图2中的支路(2,3)中的线路导纳，而传统虚假数据注入攻击在构造攻击向量时则需要已知支路(1,5)和支路(4,5)中的线路导纳。显然，本发明中提出的网络参数攻击在系统信息需求方面也明显少于传统虚假数据注入攻击。

为了进一步验证本申请中提出的网络参数攻击对最优潮流应用的影响，图 3给出了网络参数攻击下最优潮流应用的运行成本。如图3所示，本发明提出的网络参数攻击能够显著提高最优潮流应用的运行成本。

为了验证本发明中提出的网络参数攻击的隐秘性，图4给出了PJM 5-节点测试系统中，网络参数攻击在布置有基于卡方检测的交流状态估计中的攻击成功率。如图4所示，当支路(1,2)、(1,5)、(4,5)上的网络参数作为被目标网络参数时，攻击的成功率在95％以上。

为了验证本发明中提出的最优测量保护在降低被保护测量和攻击检测方面的效果，图3和图4分别给出PJM 5-节点测试系统中的测量保护集合和攻击检测成功率数据。根据图3的结果可以看出，本发明提出的最优测量保护在保护特定目标网络参数时，可以有效降低所需保护的测量数量。根据图4的结果，本发明提出最优测量保护可以有效检测出该变量在1％以上的网络参数篡改。

综上，针对现有安全防护方法无法直接应用于网络参数攻击场景的问题，本发明提出了一种基于测量数据保护的攻击检测技术，通过分析单一支路中网络参数攻击检测的最小测量保护集合，设计启发式算法搜索检测网络参数攻击所需保护的最小测量数据集合。相比于现有技术，本发明具有以下优点：

(1)本发明揭示了电网状态估计中网络参数错误处理应用的缺陷，指出攻击者能够通过篡改测量数据的方式误导网络参数错误处理应用，以间接篡改电网网络参数值，从而为安全防护设计提供了安全漏洞和攻击路径等信息；

(2)本发明提出了一种数据注入使能的电网网络参数攻击方式，能够在不接入控制中心的前提下篡改电网网络参数，与现有数据注入攻击相比能显著降低所需篡改的测量数量和系统信息要求，揭示了电网实际应用中网络参数所面临的安全风险；

(3)本发明设计了一种基于测量保护的网络参数攻击检测方法，通过分析和组合单一支路中的最小测量保护集合，有效降低检测特定网络参数攻击所需保护的测量数量，从而降低攻击检测的成本。

尽管为使解释简单化将上述方法图示并描述为一系列动作，但是应理解并领会，这些方法不受动作的次序所限，因为根据一个或多个实施例，一些动作可按不同次序发生和/或与来自本文中图示和描述或本文中未图示和描述但本领域技术人员可以理解的其他动作并发地发生。

尽管上述的实施例所述的攻击检测装置可以通过软件与硬件的组合来实现的。但是可以理解，该攻击检测装置也可单独在软件或硬件中加以实施。对于硬件实施而言，该攻击检测装置可在一个或多个专用集成电路(ASIC)、数字信号处理器(DSP)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、处理器、控制器、微控制器、微处理器、用于执行上述功能的其它电子装置或上述装置的选择组合来加以实施。对软件实施而言，该攻击检测装置可通过在通用芯片上运行的诸如程序模块(procedures)和函数模块(functions)等独立的软件模块来加以实施，其中每一个模块执行一个或多个本文中描述的功能和操作。

结合本文所公开的实施例描述的各种解说性逻辑模块、和电路可用通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列 (FPGA)或其它可编程逻辑器件、分立的门或晶体管逻辑、分立的硬件组件、或其设计成执行本文所描述功能的任何组合来实现或执行。通用处理器可以是微处理器，但在替换方案中，该处理器可以是任何常规的处理器、控制器、微控制器、或状态机。处理器还可以被实现为计算设备的组合，例如DSP与微处理器的组合、多个微处理器、与DSP核心协作的一个或多个微处理器、或任何其他此类配置。

提供对本公开的先前描述是为使得本领域任何技术人员皆能够制作或使用本公开。对本公开的各种修改对本领域技术人员来说都将是显而易见的，且本文中所定义的普适原理可被应用到其他变体而不会脱离本公开的精神或范围。由此，本公开并非旨在被限定于本文中所描述的示例和设计，而是应被授予与本文中所公开的原理和新颖性特征相一致的最广范围。