[論文レビュー] Novel Attacks against Contingency Analysis in Power Grids

Mohammad Ashiqur Rahman, Hasan Shahriar+2 more|arXiv (Cornell University)|Nov 3, 2019

Smart Grid Security and Resilience参考文献 28被引用数 6

ひとこと要約

本稿では、Satisfiability Modulo Theories (SMT) を用いた形式的フレームワークを提案し、状態推定 (SE) を改ざんすることで、電力系統の事故解析 (CA) を損なう、検知されない偽のデータインジェクション (UFDI) 攻撃ベクトルを体系的に同定する。これにより、事故時における送電線過負荷を引き起こす、安全でない SCOPF ディスpatch が生じる。本手法は、検知を回避しながらも、自動的に重要な脅威ベクトルを発見可能であり、PowerWorld を用いて IEEE 14 バス系で検証された。

ABSTRACT

Contingency Analysis (CA) is a core component of the Energy Management System (EMS) in the power grid. The goal of CA is to operate the power system in a secure manner by analyzing the system subject to a contingency (e.g., the outage of a transmission line or a power generator) to determine the setpoints that will allow system operation without violation of constraints. The analysis in CA is conducted based on the output from State Estimation (SE), another core EMS module. However, it is also shown that an adversary can alter certain power measurements to corrupt the system states estimated by SE without being detected. Such a corrupted estimation can severely skew the results of the contingency analysis as it will provide a fake model to deal with. In this research, we formally model necessary interdependency relationships and systematically analyze these novel attacks on the contingency analysis. In particular, this research focuses on Security Constrained Optimal Power Flow (SCOPF) that finds out the optimal economic dispatches considering a single line failure (based on the $n - 1$ contingency analysis) and transmission line capacities. The proposed model is implemented and solved to find out potential threat vectors (i.e., a set of measurements to be altered) that can evade CA so that the system will face overloading situation on one or more transmission lines when some specific contingencies happen. We demonstrate our formal model on an IEEE 14 bus system-based case study and verify the results with a standard PowerWorld model. We further evaluate the model with respect to various attacks and grid characteristics.

研究の動機と目的

• 状態推定 (SE) に対するステルス的 UFDI 攻撃が、事故時におけるシステムの安全性を損なう Security Constrained Optimal Power Flow (SCOPF) にどのように伝播するかを分析すること。
• 悪値検出 (BDD) を回避しながらも、SCOPF が不安全なディスpatch計画を生成するような、特定の測定値のセット（攻撃ベクトル）を同定すること。
• $n-1$ 事故条件下で、改ざんされた測定値から物理的過負荷に至る攻撃経路を体系的に合成可能な、形式的で制約ベースのモデルを構築すること。
• 攻撃の実現可能性と影響を、異なるグリッド構成と攻撃モデルにおいて評価し、実用的妥当性を確保すること。
• IEEE 14 バス系を用いた PowerWorld シミュレーションにより、モデルの正しさと有効性を検証すること。

提案手法

• 直流潮流、SE、SCOPF、UFDI 攻撃ダイナミクスを含む電力系統の形式的モデリングを、制約充足問題として定式化する。
• Satisfiability Modulo Theories (SMT) ソルバーを用いて、BDD を回避し、SCOPF の結果を改ざんするステルス的攻撃ベクトルを自動探索する。
• 線路および母線の電力測定値への測定値インジェクション攻撃をモデル化し、SE における誤った電力消費量推定を引き起こす。
• 送電線の熱容量制限や発電機出力制限などのシステム制約を SMT 定式化に統合し、現実的な事故シナリオをシミュレートする。
• $n-1$ 事故条件下で過負荷を引き起こす測定値の摂動を解くことにより、攻撃ベクトルを自動合成する。
• PowerWorld シミュレーションによる結果の検証により、注入された偽のデータ下で物理的過負荷が発生することを確認する。

実験結果

リサーチクエスチョン

• RQ1 どの特定の測定値のセットを UFDI 攻撃で改ざんすれば、SCOPF が不安全なディスpatch計画を生成しながらも検知を回避できるか？
• RQ2 SE におけるステルス的偽データインジェクションが、CA におけるセキュリティ評価をどのように損ない、事故時における物理的過負荷に至るか？
• RQ3 攻撃モデルやグリッド特性の変化が、こうした攻撃の実現可能性と深刻度に与える影響は何か？
• RQ4 形式的で自動化された手法が、SCOPF における検知不能なシステムの不安全状態に至らしめる重要な脅威ベクトルを同定できるか？
• RQ5 提案された SMT を用いたフレームワークは、リアルタイムの電力系統運用において、攻撃誘発の過負荷をどの程度検出・検証できるか？

主な発見

• 提案された SMT を用いたフレームワークは、悪値検出 (BDD) を回避しながらも、SCOPF が不安全なディスpatch計画を生成するステルス的 UFDI 攻撃ベクトルを効果的に同定した。
• モデルは、改ざんされた SE 評価値が、最適かつ制約を満たすように見えるが、事故時において送電線過負荷を引き起こす SCOPF 解に至る可能性を示した。
• PowerWorld シミュレーションの結果、合成された攻撃ベクトルが $n-1$ 事故条件下で物理的過負荷を引き起こすことが確認され、モデルの物理的妥当性が検証された。
• 本フレームワークは、異なる攻撃モデルやグリッド構成において、脅威空間を効率的に探索し、測定セットにおける重要な脆弱性ポイントを明らかにした。
• 限られた知識しか持たない攻撃者でも、検知を回避し、誤った SCOPF 決定を通じて連鎖的な物理的故障を引き起こす攻撃を構築可能であることが示された。
• 結果から、現在の BDD メカニズムは、制約に配慮した高度な攻撃に対しては不十分であることが明らかとなり、測定値の強化および検出メカニズムの強化が不可欠であることが強調された。