攻擊與故障共存的ICPS綜合安全控制方法

　　摘 要：針對同時存在假數據注入(FDI)攻擊與執行器故障的工業信息物理融合系統(ICPS)，在離散事件觸發機制(DETCS)下，綜合應用Lyapunov穩定性理論及更具少保守性的仿射Bessel-Legendre不等式，研究執行器故障與FDI攻擊估計、綜合安全控制與通訊協同設計問題. 從主動防御攻擊的態勢入手，綜合考慮通訊資源與計算資源的高效利用與合理分配，給出DETCS下的ICPS綜合安全控制架構，將魯棒估計器與綜合安全控制器的設計統一于同一非均勻數據傳輸機制下. 將執行器故障與FDI攻擊增廣為同一向量，給出系統狀態、增廣故障魯棒估計器的設計方法. 基于所得估計結果并結合事件觸發條件，對執行和傳感雙側網絡中的FDI攻擊分別采用分離與補償的防御策略，對執行器故障進行故障調節，給出綜合安全控制器設計方法，實現對FDI攻擊和執行器故障主動容侵和主動容錯的綜合安全控制與通訊協同設計. 通過數值算例和四容水箱實例，仿真驗證了提出方法的有效性.

　　關鍵詞：工業信息物理融合系統(ICPS);假數據注入攻擊;執行器故障;魯棒H∞估計;控制與通訊協同設計

　　信息物理融合系統(cyber-physical systems,CPS)是計算單元與物理對象在網絡空間中高度融合而成的智能系統，已廣泛應用于智能電網、智慧醫療、工業控制等領域[1-3]. CPS與工業控制融合而產生的工業信息物理融合系統(industrycyber-physical system, ICPS)由于在優化生產方式、提高生產效率、精簡生產流程等方面的優勢，成為工控領域的新寵[4-5]，典型代表即工業4.0. ICPS在提高生產效率和智能維護水平的同時，面臨著眾多亟待解決的問題，其中開放網絡環境面臨的網絡攻擊與惡劣工業環境導致的物理器件故障都成為ICPS安全運行和未來發展的掣肘[6-7].

　　此外，ICPS更強大的感知能力、更多數據傳輸及智能決策，與有限計算、通訊資源間的矛盾日益突出.就網絡空間安全問題而言，ICPS面臨的各類網絡攻擊是最大威脅，具有時空隱蔽性的虛假數據注入(false data injection, FDI)攻擊通過協同篡改傳感器量測與控制器指令數據，或使控制中心做出誤導性決策，或使被控對象接收到錯誤控制指令，最終導致整個系統性能下降或崩潰. 因為FDI攻擊的高隱蔽性特點，對系統的危害更大且更難防范. 目前應對FDI攻擊的研究有2類：

　　一類是采用信息安全領域中加密、解密的方法來保護數據[8-9]，但復雜的加密、解密算法需要一定的運行時間，這對于實時性要求較高的ICPS不適宜;另一類是從控制角度出發應對FDI攻擊，主要包括攻擊檢測[10-11]、容侵控制[12-13]，已有成果更多關注攻擊檢測問題，對攻擊防御、系統性能及資源節約等的綜合考慮不足.

　　就物理系統故障而言，由于網絡化控制系統(networked control system, NCS)本質上是ICPS的具體應用形式，ICPS物理故障問題的解決可以借鑒NCS相關容錯控制方法. 目前就NCS容錯控制已有不少成果，根據不同通訊機制和容錯控制方式的常用分類方法，可以歸結為周期時間觸發通訊機制與離散事件觸發通訊機制(discrete eventtriggered communication scheme，DETCS)下的被動容錯[14-15]、主動容錯[16-17]及主-被動混合容錯控制[18-19]等. 已有NCS容錯研究大多假設通信網絡是可靠的，忽視了網絡攻擊的潛在危害. 在實際ICPS中，故障與攻擊的共存是無法回避的，本文研究如何確保系統在該情形下安全、可靠運行.針對故障與攻擊共存的ICPS綜合安全控制問題，目前已有一些初步成果.

　　基于智能廣義預測控制及魯棒控制方法，Yaseen等[20-21]研究故障主動容錯、FDI攻擊被動防御策略. 針對狀態依賴FDI攻擊與多重執行器故障共存的CPS，Ye等[22]利用自適應控制方法，研究故障主動容錯、攻擊主動防御的策略，但未考慮CPS有限網絡資源約束.史婭紅[23]在文獻[21]的基礎上，除對故障主動容錯外，還研究了執行側攻擊主動容侵、傳感側攻擊被動容侵的主-被動混合容侵策略. 在文獻[21, 23]中，估計器均置于智能傳感單元的事件發生器之前，因此須對系統所有采樣時刻狀態、故障及攻擊進行實時估計，這會使一般的智能傳感器件難堪重負.

　　估計器所處的位置使得估計結果在經由傳感側網絡傳輸時，再次會被攻擊者篡改，從而削弱安全防御的實效. 將估計器位置移至事件發生器之后的控制單元，通過計算資源的合理分配與高效利用，更有效地實現故障主動容錯、雙側網絡FDI攻擊主動容侵與通訊協同設計，是本研究的主要內容. 綜上所述，本研究將對同時存在雙側網絡FDI攻擊與執行器故障的ICPS，以主動防御FDI攻擊為出發點，綜合考慮通訊、計算資源的高效利用，構建DETCS下的ICPS綜合安全控制架構. 在統一的非均勻傳輸模式下，借助時滯系統理論及仿射Bessel-Legendre不等式等少保守技術，推證出ICPS魯棒估計器、綜合安全控制與通信協同設計方法，以期實現ICPS安全運行與通訊折中平衡的目標.

　　1 問題描述

　　1.1系統架構及數據傳輸過程

　　在DETCS下，ICPS綜合安全控制與通訊協同設計架構.該系統主要包括被控對象、智能傳感單元、控制單元、執行單元以及傳感側與執行側通信網絡. 日趨開放、多樣性的網絡使得ICPS在遭受隱蔽性網絡攻擊時致使其失控或崩潰的威脅更大. ICPS長時間工作在高溫、高壓或具有腐蝕性的環境中，作為控制信息與受控對象物理連接的執行器更易發生故障，因此考慮FDI攻擊與執行器故障共存的情形.

　　智能傳感單元主要包括傳感器、采樣器及事件發生器. 采樣器對傳感器量測值進行等周期采樣，將采樣值送入事件發生器中，事件發生器將判斷當前采樣值是否滿足觸發條件. 若滿足，則將該采樣值經由傳感側網絡傳輸至控制單元;否則，將其遺棄.

　　篩選出的數據以非均勻周期方式傳輸，且傳輸周期大于采樣周期，因而可以節約網絡資源.控制單元主要包括估計器、綜合安全控制器.估計器基于滿足事件觸發條件，由傳感側網絡傳來的數據對系統狀態、故障與攻擊進行實時估計.綜合安全控制器基于估計結果，根據預先設計好的控制算法計算相應的控制量，將該控制量經由執行側網絡送至執行單元.

　　可見，無論是估計值還是控制量的計算，均以非均勻周期方式進行.執行單元主要包括零階保持器(ZOH)和執行器. ZOH對傳輸至此的控制量進行非均勻周期保持，將保持結果傳輸至執行器中，執行器將該控制量作用于被控對象.注1　與文獻[21,23]不同的是，在搭建ICPS框架時，將估計器從智能傳感單元的事件發生器之前移至控制單元中，這提高了對傳感側網絡攻擊主動防御的能力，也可以使得魯棒估計器與綜合安全控制器的設計問題統一在同一非均勻傳輸周期的模式下，降低了對智能傳感單元的計算能力要求，更切合實際工程背景.

　　2 魯棒估計器設計

　　根據傳輸至控制單元的輸出量測采樣值，設計魯棒估計器，對連續時變故障、雙側網絡FDI攻擊及系統狀態進行準確估計. 利用控制單元內置的ZOH，對量測采樣輸出進行零階保持.

　　3 綜合安全控制器設計

　　基于得到的系統狀態及増廣故障(執行器故障、執行側和傳感側網絡FDI攻擊)估計結果，給出有針對性的執行器故障與雙側網絡FDI攻擊主動容錯、主動容侵與通訊協同設計方法.

　　根據假設1可知，執行器故障與雙側網絡FDI攻擊具有可分離性，考慮到雙側網絡中的FDI由于攻擊的對象與位置不同，對系統的影響不同，因此綜合安全控制器對雙側網絡中的FDI攻擊應采用更有針對性的防御策略，可以通過以下2種方式進行主動防御.aˆsT(tkh)

　　1)對于傳感側網絡FDI攻擊，可以直接在増廣故障估計結果中將估計值提前分離出來，不再計入控制量的計算，這在廣義層面可以視為對傳感側網絡FDI攻擊的主動防御，即主動容侵.

　　2)對于執行側網絡FDI攻擊，借鑒故障調節的思想，采用基于估計與補償的主動防御策略，即主動容侵.對執行器故障采用基于估計與補償的主動調節方式，即對執行器故障主動容錯.注4　與文獻[21, 23]不同的是，由于估計器被移至控制單元，對傳感側網絡FDI攻擊可以實時地估計出來，并提前分離，使傳感側攻擊不再對控制量的計算產生負面影響，這種主動應對傳感側網絡FDI攻擊的方式較文獻[21,23]的被動應對更加有效.

　　綜上可知，設計的綜合安全控制器可以使得ICPS在執行器故障、FDI攻擊共存時，均以較小的誤差收斂于平衡位置，且對外部擾動具有較強的魯棒性，說明利用提出的方法可以有效地應對物理系統故障、FDI攻擊及擾動對系統的影響，具有較高的安全可靠性.在同樣的故障、攻擊作用下，給出利用文獻[23]中主-被動混合容侵方法時系統的輸出. 可以看出，與文獻[23]相比，本文方法的收斂速度和系統運行過程的平穩性均更優.

　　相比于文獻[25]中采用主-被動混合的容侵方式來防御雙側網絡FDI攻擊，提出的對傳感器側攻擊采用分離、對執行側攻擊采用補償的主動防御策略對ICPS中雙側FDI攻擊的防御更有效.對于通訊資源，給出DETCS下，在仿真時間800 s內的數據發送時刻及發送間隔Δt情況.

　　設計的綜合安全控制器能夠使得ICPS在故障與FDI攻擊共存時安全平穩運行，同時具有期望的性能指標，節約一定的網絡通訊資源.對于計算資源，文獻[21，23]中估計器置于事件發生器之前，在800 s內估計器須運算8 000次;本文將估計器置于控制單元，估計器只需根據篩選后的數據運算1 216次，因此，與文獻[21，23]相比，所提的綜合安全控制架構在計算資源節約與分配上更具有優勢，規避了傳感單元進行估計的負擔.

　　自動化論文投稿刊物：自動化學報是自動化專業論文期刊，是自動化科學與技術領域的高級學術期刊。雜志是1963年創刊的，在1966年-1978年是停刊狀態，1979年才復刊發行，現為大16開本，月刊，每期112頁。科學出版社與Elsevier合作出版，國內外公開發行。

　　5 結　論

　　(1)從主動防御執行和傳感雙側網絡FDI攻擊著眼，通過對計算資源與通訊資源的合理分配與有效利用，在DETCS下構建ICPS綜合安全控制架構. 將估計器與綜合安全控制器的設計統一于同一非均勻數據傳輸機制下，為利用時滯系統理論對ICPS進行分析與設計提供了便利.

　　(2)將故障與攻擊増廣為同一向量，設計相應的魯棒估計器，實現了狀態、執行器故障及雙側FDI攻擊及時、準確的估計，具有較強的魯棒性;基于篩選后的量測輸出值作估計，節約了計算資源.

　　(3)基于估計結果，提出傳感側攻擊的分離防御、執行側攻擊以及執行器故障補償的綜合安全控制策略，有效實現了攻擊、故障的主動容侵、主動容錯與通訊的協同優化與折中.當系統中故障與攻擊共存不具有可分離性時，如何檢測故障與攻擊的存在、如何設計相應的綜合安全控制策略來防御攻擊與故障對系統的影響等將是進一步的研究方向.

　　參考文獻(References):

　　GUAN X P, YANG B, CHEN C L, et al. A comprehensiveoverview of cyber-physical systems: from perspective offeedback system [J].IEEE/CAAJournalofAutomaticaSinica,2016, 3(1): 3–16.

　　[1]白昱陽, 黃彥浩, 陳思遠, 等. 云邊智能: 電力系統運行控制的邊緣計算方法及其應用現狀與展望[J].自動化學報, 2020, 46(3):397–410.BAI Yu-yang, HUANG Yan-hao, CHEN Si-yuan, et al. Cloudedge intelligence: status quo and future prospective of edgecomputing approaches and applications in power systemoperation and control [J]. ActaAutomaticaSinica, 2020, 46(3):397–410.

　　[2]KHAITAN S K, MCCALLEY J D. Design techniques andapplications of cyber physical systems: a survey [J].IEEESystemsJournal, 2015, 9(2): 350–365.

　　作者：李煒，張建軍

轉載請注明來自發表學術論文網：http://www.zpfmc.com/jylw/27484.html