[论文解读] Power Grid Defense Against Malicious Cascading Failure

Paulo Shakarian, Hansheng Lei+1 more|arXiv (Cornell University)|Jan 6, 2014

Smart Grid Security and ResilienceEngineering参考文献 24被引用 16

一句话总结

本文提出了一种博弈论模型，用于防御电力系统因恶意级联故障而引发的破坏，其中攻击者针对变电站以最大化停电影响，而防御者则通过加固关键节点以最小化损害。研究形式化了确定性策略与混合策略，证明了在大多数情况下问题为NP难，并通过实证表明，攻击者从额外资源中获得的收益高于防御者，且在最优攻击条件下，最小最大防御策略优于基于负载的简单策略。

ABSTRACT

An adversary looking to disrupt a power grid may look to target certain substations and sources of power generation to initiate a cascading failure that maximizes the number of customers without electricity. This is particularly an important concern when the enemy has the capability to launch cyber-attacks as practical concerns (i.e. avoiding disruption of service, presence of legacy systems, etc.) may hinder security. Hence, a defender can harden the security posture at certain power stations but may lack the time and resources to do this for the entire power grid. We model a power grid as a graph and introduce the cascading failure game in which both the defender and attacker choose a subset of power stations such as to minimize (maximize) the number of consumers having access to producers of power. We formalize problems for identifying both mixed and deterministic strategies for both players, prove complexity results under a variety of different scenarios, identify tractable cases, and develop algorithms for these problems. We also perform an experimental evaluation of the model and game on a real-world power grid network. Empirically, we noted that the game favors the attacker as he benefits more from increased resources than the defender. Further, the minimax defense produces roughly the same expected payoff as an easy-to-compute deterministic load based (DLB) defense when played against a minimax attack strategy. However, DLB performs more poorly than minimax defense when faced with the attacker's best response to DLB. This is likely due to the presence of low-load yet high-payoff nodes, which we also found in our empirical analysis.

研究动机与目标

• 将电力系统防御级联故障建模为攻击者与防御者之间的双人博弈。
• 在资源约束下，为双方形式化确定性与混合策略。
• 分析在不同场景下寻找最优策略的计算复杂性。
• 开发可扩展算法，包括用于混合策略的双 oracle 方法。
• 在真实世界美国电网网络上对模型进行实证评估，并比较不同防御策略。

提出的方法

• 将电力系统建模为无向图，包含发电节点（源）与负荷节点（消耗）。
• 基于[8]的方法，但扩展以包含源-负荷动态，使用最短路径介数计算边的负载，以估计线路应力。
• 引入一个故障算子，通过迭代移除过载边来模拟级联故障。
• 构建级联故障博弈，其中攻击者的目标是最大化断电负荷，防御者的目标是最小化断电负荷。
• 使用容量裕度 α 将线路容量设为 (1+α) × 初始负载，以模拟冗余容量。
• 实现一种结合贪心启发式方法的双 oracle 算法，用于计算防御者的最小最大混合策略。

实验结果

研究问题

• RQ1 在不同资源约束下，寻找攻击者与防御者最优确定性策略的计算复杂性如何？
• RQ2 与确定性策略相比，混合策略在收益与鲁棒性方面表现如何？
• RQ3 能否为大规模电力系统网络开发出可处理的算法？
• RQ4 与攻击者相比，防御者在资源增加时的收益如何变化？
• RQ5 低负荷但高收益节点在不同防御策略的有效性中起什么作用？

主要发现

• 攻击者从额外资源中获得的收益高于防御者；当资源从1增加到6时，攻击者的收益翻了三倍，而防御者的收益仅提高70%。
• 在面对最小最大攻击者时，最小最大防御策略与简单基于负载的（DLB）防御策略表现相当，但当面对攻击者对DLB策略的最佳响应时，最小最大防御策略显著优于DLB。
• 低负荷但高收益节点的存在解释了为何DLB策略在面对最优攻击策略时表现不佳。
• 双 oracle 算法的运行时间随迭代增加而增长，因为线性规划和策略集不断扩大，限制了其在大规模网络中的可扩展性。
• 运行时间与策略规模呈线性关系（R² = 0.90 ± 0.2），但即使最长实验也耗时12天，表明仍需进一步优化。
• 该模型对攻击者更有利，因为攻击者从额外资源中获得的收益高于防御者通过等量投资所能缓解的程度。