基于空间特征的电网同步量测虚假数据注入攻击检测.pdf

128Automationof ElectricPowerSystems第10 期2023年5月2 5日第47 卷电力系统自动化DOI:10.7500/AEPS20220813001Vol.47No.10May25,2023基于空间特征的电网同步量测虚假数据注入攻击检测郑瑶，张颉，姚文轩，邱伟，唐思豪！（1.湖南大学电气与信息工程学院，湖南省长沙市410 0 8 2；2.电力物联网四川省重点实验室，四川省成都市6 10 0 41摘要：随着电力系统向能源互联新生态逐渐迈进及网络层和物理层的深度耦合，网络攻击对电力系统的威胁不断提升。源身份欺骗攻击作为一种新型且复杂、强隐秘性的虚假数据注入攻击，可导致电网控制系统判断错误，引发系统瘫痪。针对这一问题，提出一种基于空间特征的电网同步量测虚假数据注入攻击检测方法。该方法通过变分模态分解和改进离散正交S变换提取同步量测装置不同位置的空间特征，实现在不损失量测数据空间特征的基础上，提取量测数据的身份认证信息；结合轻量型卷积神经网络评估量测数据遭受源身份攻击的可能性，加速检测响应速度。通过实际多点同步量测数据的检测结果，验证了该方法的有效性关键词：广域测量系统；同步量测数据；虚假数据注入攻击；卷积神经网络0引言随着无线通信技术在电力物联网中的广泛应用及风力、光伏等可再生能源和智能量测装置在电网中的逐步接入，电力系统不断向能源互联的新生态迈进。电力系统的网络层和物理层深度耦合，系统控制水平和能源效率得以不断提升。但电力系统的脆弱性节点一旦暴露，安全性就可能受到外界网络攻击的威胁2-3,如乌克兰因网络攻击突发的停电事故(4)。广域测量系统（wideareameasurementssystem，WA M S）中同步相量测量单元（phasormeasurementunit,PMU)的数据传输标准5-6 缺乏完善的网络通信安全机制，在量测数据的传输过程中，容易遭受虚假数据注入攻击和全球定位系统(global positioning system,GPS)信号欺诈等多种网络攻击7-8 。虚假数据注人攻击中出现了一种新型隐秘性极强的源身份欺骗攻击方式，此攻击方式通过获取不同同步测量装置的数据权限，使得原有同步测量装置的量测数据和其他装置相混合，其攻击数据可能来自WAMS中相邻位置的同步量测装置，导致攻击数据非常接近原真实数据，使电网控制系统难以识别9,甚至可能将进一步引发系统瘫痪。收稿日期：2 0 2 2-0 8-13；修回日期：2 0 2 2-10-2 3。上网日期：2 0 2 3-0 3-16。国家自然科学基金资助项目（52 17 7 0 7 8）；湖南省自然科学基金资助项目（2 0 2 2 JJ30151）；电力物联网四川省重点实验室开放课题资助项目（PIT-F-202201)；中国博士后科学基金资助项目（BX20220102）。这对电网控制系统提出了更高的防御要求。近年来，虚假数据注人攻击成为网络攻击的主要欺骗手段。研究发现，电网频率量测数据中可提取独特地域特征信息作为数据源的检测依据1-11,文献12-13 通过实际多点频率数据实现数据源位置识别。文献14-16 采用变分模态分解(variationalmodedecomposition，VM D)算法或小波变换等现代信号处理方法和各类智能算法结合的方式检测网络攻击。文献17 提出一种针对发电机动态状态估计的虚假数据注人攻击方法。上述方法对于判断和检测多种网络攻击分类的情况进行了分析和检测，但没有考虑源身份欺骗攻击。针对虚假数据注人攻击中新型、复杂、高欺骗性的源身份欺骗攻击，文献18 提出一种基于集成经验模式分解和快速傅里叶变换（fastFouriertransform,FFT)的特征提取技术和机器学习的虚假混合数据网络攻击检测算法，文献中最小攻击率为10%，没有考虑网络攻击率更小的情况。文献9 提出一种多粒度级联森林算法学习特征潜在关系的方法，但没有考虑不同攻击率下的识别精度。针对此类隐秘性强的源身份欺骗攻击，提高识别精度和速度是本文算法的主攻方向，提升测试算法在不同攻击率下的识别精度。首先，为获得高识别精度，需要充分提取同步量测装置在不同位置的信息，本文提出量测数据空间特征提取算法，利用量测频率数据所包含的空间位置，作为该位置的身份认证信息。然后，为保证识别速度，提出结合小参数量、低复杂度的轻量型卷积神经网络（lighthttp：WW-129郑瑶，等基于空间特征的电网同步量测虚假数据注人攻击检测convolutionalneuralnetwork，LC NN)空间特征检测算法。最后，实现针对电网同步量测数据中源身份欺骗网络攻击的快速、精准检测1同步量测数据网络攻击检测原理不同于其他网络攻击，源身份欺骗攻击的数据来源于其他位置同步量测装置的正常数据，其攻击数据非常接近原真实数据，引发WAMS中应用程序的行为混乱，甚至可进一步导致电网系统瘫痪。本文提出量测数据空间特征的提取算法，结合LCNN空间特征识别算法，实现针对源身份欺骗攻击的快速、精准检测1.1攻击检测算法结构不同地点的量测数据表现出不同特征12 ，由此提出，假设通过提取电网正常运行数据中的空间位置信息，并依据此空间特征作为电网正常运行时网络攻击检测的身份信息，结合卷积神经网络，达到检测电网正常运行时是否遭受网络攻击的目的，并通过实际多点同步量测数据验证。研究提出一种存在源身份欺骗攻击时的同步量测数据攻击检测方法，如图1所示，主要由同步量测数据的空间特征提取算法和LCNN攻击检测网络组成。量测数据的空间特征提取算法主要过程为：首先，通过VMD算法提取量测频率数据的本征模态函数（intrinsicmodefunction，IM F），去除直流分量，获得扰动分量，使用改进离散正交S变换（improveddiscreteorthonormal Stockwell transform,IDOST)提取各扰动分量中的空间特征，此方式获取的空间特征可在较大程度上提取其空间信息；然后，进入LCNN攻击检测网络，主要通过2 层卷积、2 层批量标准化（b a t c h n o r m a l i z a t i o n，BN）、2 层池化和2 层全连接，并在第2 层全连接层中使用dropout丢弃部分神经元，最后使用softmax分类器进行特征分类。提取数据扰动IDOST提取数据LCNN分离出正常数据输入分量y()空间特征和攻击数据图1电网同步量测虚假数据注入攻击检测结构Fig.1Detection architecture of false data injectionattack for grid synchronous measurement1.2量测数据空间特征提取为了实现攻击检测方法的高精度获取，需要充分提取同步量测装置在不同位置的空间特征。图1中，源身份欺骗攻击的虚假数据来源于其他同步量测装置，判断数据是否被攻击和识别攻击来源，需要先提取各个量测装置数据的空间特征。采用9个量测位置的数据作为攻击检测的身份识别号，用D（i=1,2，,9)表示，其中，i表示量测位置的编号，如附录A图A1所示。D,的频率曲线存在一个直流分量和扰动分量，粗线表示直流分量，扰动分量为直流分量基础上的小扰动值。假设不同量测位置扰动分量含有该位置的空间信息，作为量测数据网络攻击的检测依据。量测数据空间特征的提取程度决定攻击检测方法的识别精确度，其大小影响特征检测网络的响应速度。因此，如何消除直流分量，获得扰动分量，进一步提取空间特征是实现源身份欺骗攻击检测的重要步骤，以下将主要分析如何通过VMD算法和IDOST实现空间特征提取。本文从以下2 个步骤提取不同量测位置的空间特征：步骤1去除D,在t时段量测数据f(t)的直流分量，提取t时段扰动分量y（t);步骤2 通过IDOST算法计算（t）空间特征。步骤1:提取扰动分量y(t)。采取VMD算法19)将非线性非平稳性的量测数据f(t)分解为多个I.目标模态，其中，t为模态数。VMD算法提取量测数据f(t)中的I,如式(1)所示。经过计算二次梯度分解得到I.，满足如式（2)所示约束条件，并通过引人二次惩罚参数和Lugrange乘子求解I.的约束变分问题的最优解，从而将原始信号f(t)分解为多个IMF分量。u.(t)=A,(t)cos.(t)(1)式中：u.（t)为t时段的模态函数；A.(t)为模态分量I.在t时段的幅值；9.（t)为模态分量I.在t时段的相位。jw(t)minu.(2).w,(1)元t(2)S.t.u.(t)=f(t)式中：a,为t的偏导数;w.(t)为u.(t)的频率中心;(t)为单位脉冲函数。通过VMD算法实现对（t）的分解，如附录A图A2(a)所示，采用观察中心频率的方法确定VMD算法的模态数t=6,即量测数据f(t)分解为6 个I（t=1,2，,6)分量，分别从高频到低频对应不同的频率分量，其中，I。反映了（t)的整体变化趋势，即直流分量。通过f(t)一I。计算得到扰动分量y(t),如附录A图A2(b)所示。步骤2：采用IDOST提取扰动分量y（t）的空间特征。相比于FFT提取频域信息，S变换(Stockwell transform，ST)2 0 1能提取y(t)在时频域的特征，但ST的余表示导致计算效率低下。为克服这一缺点，采用具有有效空间表示的离散正交1302023,4710)学术研究S 变换（discrete orthonormal Stockwell transform,DOST)21计算y（t)特征,从而得到量测数据的空间特征。文献2 2 提出一种快速算法降低计算复杂度，使得O（N）的DOST降低至O（Nl o g 2 N）,其中,O()为复杂度函数,N为扰动分量点数。但此时得到的空间特征矩阵仍含有大量的允余信息，增加了LCNN检测时间和复杂度，由此提出IDOST，在不损失原有DOST特征矩阵结构的基础上，压缩空间特征矩阵，为小参数的LCNN检测网络提供可能，由此提升网络攻击检测速度。IDOST计算公式如式（3）所示yps(U,q)=-（3)Nk=0式中：yps（u,q)为扰动分量函数；t为第k个时段;L为2 0 g（N-2;为频带中心;q为时间定位;为频带中心的频带宽度;D（t h；U,q)为正交基函数。DOST公式如附录A式（A1)和式（A2）所示，推导出某倍频数m下的DOST系数矩阵，如图A3所示。图中：系数矩阵由（A1,A2，,A m）多个矩阵块组成，系数（u；,q）根据式（A3)和式（A4)计算得到。图A4中，单个矩阵块中的数值均相同，即DOST特征矩阵中同一系数矩阵下的每一列和每一行值相同，这些穴余数据将随着矩阵的增大而增加。多个倍频数下的标准正交基函数下的系数矩阵组成如图A4(a)所示的DOST特征矩阵，为实现小参数的LCNN检测网络，可压缩特征矩阵。在不损失原有DOST特征矩阵结构的基础上，提出IDOST算压缩空间特征，实现步骤如下：步骤1：根据对称性压缩矩阵大小。文献2 2 提出实信号的正频带p和负频带一p的基函数共轭对称，将=十0.5代人附录A式（A2),如式（4)所示。根据对称性，此时yt)空间特征矩阵的大小为N/2XN。2022eD,(tr;U,g)=je-imue2/sin(4)=元ND,(t;U,q)=1m=o二j2k元De(t;,q)=eNm=1=2(m=1)+2(m-2)m=2,3,.,log2(N-1)=2 m-1)m=2,3,.,log2(N-1)q=0,1,-1m=2,3,.,log2(N-1)(5)步骤2：去除重复特征点。由附录A式（A3)推导出图A4(a)特征矩阵的最小行数为1,最小列数为N/,可进一步减小最小列数，重新组成DOST空间特征矩阵，如图2 所示开始计算倍频数m根据式(5)计算(v;,q)计算每个系数矩阵的大小和数据+依次排队组合成空间特征矩阵结束图2IDOST空间特征矩阵流程图Fig.2Flow chart of IDOST spatial feature matrixID