本文是一篇电力论文研究，全文以五个章节的内容，对电力 CPS 的网络攻击进行分析，主要方面在于对典型网络攻击后果进行分析，异常现象的真实起因的追溯，辅以图、表、算例等形式对此课题进行全方位研究和展示。
第一章 绪论
1.1研究背景及意义
随着电力互联网的发展，电力网络的稳定性与健壮性更加整体化与系统化，这可能会引发大规模的连锁故障，破坏电力系统的安全稳定运行。安全稳定控制系统是保障电力系统安全稳定运行的首要条件，该类型事故可能会引起严重电力事故，其威胁主要来源包括自然灾害、设备故障、恶意攻击和其他极端情况。所以增强电力系统防范网络攻击的能力是保障电网安全稳定运行的关键所在。目前国内外对网络攻击的防御主要在信息侧，电网侧的运行控制模式尚未考虑网络攻击的影响，针对传统电网和信息通信网的分析彼此分割，二者的研究、控制和规划等缺乏协调。因此，研究电网侧和信息侧协同的网络攻击识别的理论和方法，掌握网络攻击对智能电网的影响，提出电网侧和信息侧协同辨识的机理是亟待解决的问题。
1.1.1 网络攻击风险分析
近年来网络攻击造成的后果越来越严重，因此对网络攻击造成的后果进行风险分析很有必要。现有的关于故障分析和评估的工作大多只解决了系统故障后的评估，但是忽略了网络攻击导致的故障，针对网络攻击，文献[1]提出了一种新颖的网络攻击评估方法，用于电网中的故障诊断，并分析故障下的弹性控制策略。文献[2]提出了一种风险评估方法，用于考虑保护系统的作用来评估电力系统的网络安全。预期的负载削减指数用于量化由于网络攻击而造成的潜在系统损失。文献[3]基于图论知识分析了网络拓扑被篡改的情况。提出了两种简单有效的远程控制单元网络攻击方案[4]。文献[5]强调需要在涉及附加技术的更广泛范围内进行进一步比较，并为进一步的工作提出了一些建议。目前，论文[6]提出了一种基于改进攻击图的电力 CPS 跨空间级联故障风险评估方法，以攻击图的形式描述攻击的传递过程。
1.2 国内外研究现状
1.2.1 电力 CPS 网络攻击行为及影响分析
美国标准技术研究院[17]中将保密性、完整性、可用性作为网络安全三要素，并提出网络“CIA”安全目标，将攻击行为分为破坏电网信息保密性的攻击、破坏电网信息完整性的攻击和破坏电网信息可用性的攻击等三大类型[18]：
第一类攻击行为攻击对象为控制设备及用电表记，该类攻击行为主要出于经济性考虑[19]；
第二类攻击行为主要包括篡改电网量测数据和注入虚假数据等，比如通过恶意手段修改量测数据的虚假数据注入攻击[20]-[22]、从而建立不可观的电力网络拓扑环境[23]等，该类攻击为电网带来的虚假信息将会导致系统对自身的状态估计出现差别，严重时会导致连锁故障[24]。
第三类攻击行为的攻击目标主要为智能终端设备，通过阻碍正常的通信或增加时延的方式使信息系统部分或完全失去对电网物理系统的控制，包括通过发起拒绝服务攻击或使线路跳闸[25]从而影响电网稳定性[26]。
在对攻击行为的描述方面，已有研究[27]-[31]主要包括贝叶斯网络、攻击图、攻击树模型、特权图等理论。
因此，研究电力 CPS 网络攻击行为和影响两者之间的还相对孤立，没有建立起网络攻击行为在电力 CPS 中的完整传播机制，同时也缺少可用性强的网络攻击对电力系统运行影响的量化评估方法。因此，需要考虑信息空间与物理空间的交互影响关系，量化网络攻击导致的后果，并建立可用性强的风险量化评估方法。智能设备的推广和电力系统自动化水平的提高，使得调度中心、电厂、用户之间的信息交换也越来越高频，这对电力控制系统和数据网络的安全性、可靠性、实时性提出了新的挑战；同时电力系统内部信息化系统，如防火墙、入侵检测系统、信息设备等，其自身可能存在的漏洞加大了信息威胁和网络攻击的可能。三型两网的推进趋势将带动新形势下电网智能化发展，尤其数字变电站在我国已经得到了深度的应用，使用经验也逐渐丰富，这其中也涉及到信息安全等问题。随着信息化的推进的发展，电力系统中存在的风险也将前所未有的变成以信息风险为主导的时代。学者 Liu 于 2009 年最早提出 False Data Injection Attack 的概念，目前文献中也有 Malicious Data Attacks、Stealth Attacks等相似的概念，并且 2010 年伊朗核电站 SCADA 系统受到 stuxnet（震网病毒）网络攻击，使得电力系统中存在的网络攻击问题得到了广泛的关注，相关学者对此展开了大量的研究。2015年 12 月 23 日，乌克兰电网受到网络攻击，造成乌克兰约 70 万户居民家中停电数小时，该事件被认定是第一例由网络攻击造成的大停电事件。乌克兰总人口约 4500 万，总装机容量约54GW。在停电的地区，仅有一个较大的发电厂，一个 750kV 变电站，少有 500kV 以上的输电线路，220kV 和 330kV 输电网多为星形双回线网络。这样的架构使得对重要变电站的攻击容易引发大规模的停电。因此，网络攻击有能力对电力系统造成巨大的破坏，同时也对电网应对网络攻击的能力提出了新的要求。
第二章 网络攻击下基于 Petri 网的概率分析方法
2.1网络攻击行为描述方法
对于攻击行为，目前主要采用贝叶斯网络、攻击图、攻击树模型、特权图等理论来描述网络攻击发生的概率及影响传播链。
（1）贝叶斯网络：贝叶斯网络是通过有向无环图（Directed Acyclic Graph,DAG）来表示，由代表变量的节点及连接这些节点的有向边构成。节点代表随机变量，节点的有向边则表示节点间的相互关系（父节点指向子节点），用条件概率表达关系的程度，没有父节点的用先验概率进行表达。这样的方法在分析和表达不确定性和概率性的事件时很适用。
（2）攻击图：攻击图的生成过程如下，在对目标信息模块进行搜集时，通过各种扫描、探测以及其他技术对目标系统进行信息收集；充分挖掘收集到的信息，最终得到系统的状态。但是系统的状态需要多次分析挖掘才能最终确定；从系统状态中提取出在此状态下存在的每个弱点，形成弱点列表，用于表示在当前状态下所有弱点的集合；然后在攻击图生成器中生成攻击图；最后通过可视化工具展示攻击图。所生成的攻击图中，节点表示网络状态，边表示攻击行为。
2.2网络攻击传递过程建模
2.2.1 Petri 网简介
Petri 网是 Carl Adam Petri 提出的一种以网状结构来描述信息流模型的方法，可以对具有并发、异步、随机性的信息处理系统建模，用以分析有关系统结构的动态行为方面的信息，并对系统进行评价和改进。
Petri 网由于其能够通过图模型的方法表述动作的特征和含义，并且可以量化计算，在描述网络攻击和防御措施造成设备的状态迁移场景下十分适用，因此本章节通过 Petri 网进行对典型网络攻击形式建模。Petri 网用于分析复杂系统的过程，描述特性良好，推理逻辑清晰，随机系统中的不确定性问题可以适用。在基本 Petri 网的库所或者变迁上贴上一个时间标签，就构成了时间 Petri 网。可用来描述事件发生到结束。此时库所中的令牌要经过一定的时延才能参与系统的运行。在随机 Petri 网中，变迁的发生是随机过程，持续时间服从一定的概率分布。本节采用广义随机 Petri 网进行网络攻击建模，由瞬时变迁和延时变迁组成。瞬时变迁给出概率值，延时变迁指的是延迟时间。
Petri 网包含库所和变迁，是双向有向图。库所通过圆形或椭圆形表示，变迁以条形来表示。变迁和库所用有向弧来表示。提供变迁的库所称为预设。同样，输出的库所通过合适的有向弧表示为变迁的后置集。因此 Petri 网可以由四元组表示：PN(P,T,I,O)，P 是库所的集合，T 是变迁的集合，I 是输入的集合，O 是输出的集合。
第三章 层次分析法与 ELM 算法联合驱动下的系统态势评估 ................... 28
3.1 网络攻击............................28
3.1.1 网络攻击下信息物理架构 .......................... 29
3.1.2 网络攻击传播方式 .......................... 30
第四章 基于集成学习算法的网络异常辨识 ..................... 51
4.1 基于状态转移矩阵的特征匹配方法 ....................... 52
4.1.1 物理数据方法 ..................... 52
4.1.2 事件状态转移矩阵的形成 ............................ 52
第五章 总结与展望....................60
第四章 基于集成学习算法的网络异常辨识
4.1基于状态转移矩阵的特征匹配方法
4.1.1 物理数据方法
在如何辨识的方法上，提出基于状态转移序列的特征匹配方法，基于状态转移矩阵提取特征，且本章节借鉴物理-数据思想，通过 RT-LAB 简化物理场景，进行电力网络等值化来得到网络攻击下反映电力系统变化的典型特征，以及自动拟合数据联系的集成学习的方法来结合这两个方法的优点，在保证准确率的同时提高方法的辨识速度。
因此主要从如何设置预想故障和网络攻击场景、数据模型方法如何针对此两类异常现象的起因作判断两个方面展开。集成学习方法能够从电力系统的历史数据中挖掘关联关系，为电力系统的分析提供支持。但由于集成学习方法只依赖数据间的数理统计关系，且电力系统中的很多问题是存在自然界中的固有联系的，比如电压电流，也就是说在处理线性问题上的时候不一定具有普适性，因此在实际应用中它的可靠性仍然有待商榷。
物理模
