背景
2024年9月17日至18日，黎巴嫩发生多起传呼器引发的爆炸事件，造成至少42人死亡，3000多人受伤，并带来难以估量的社会经济损失。该事件标志着网络物理威胁的新前沿，揭示了物联网赋能的边缘设备在城市环境中的漏洞。
现代城市是现代文明的中心，城市能源系统作为技术和社会的生命线，正经历数字化、电气化和去中心化的趋势，推动大量物联网边缘设备融入城市能源系统，实现更智能高效的管理。然而，大规模集成边缘设备可能使城市能源系统面临类似黎巴嫩事件的威胁。城市能源系统是复杂的安全关键基础设施，涉及多种危险材料和流程，任何中断都可能引发级联社会技术故障。
新兴漏洞分析
传统漏洞理论主要关注变电站、变压器和高压输电线路等关键设备，采用N-k contingency分析等方法评估系统脆弱性。但随着边缘设备的日益集成，城市能源系统可能面临大规模边缘设备故障，由网络物理威胁（如传呼器爆炸）引发，这超出了传统脆弱性理论的分析边界。
新兴漏洞的定义是指边缘设备故障带来的系统性风险，虽然单个设备故障看似微不足道，但可能引发城市能源系统级联故障或性能下降。其影响包括：
- 大量智能电表故障：损害城市能源系统的可观测性，中断状态估计等关键功能，触发错误的调度决策和风险系统运行。
- 大量分布式光伏系统故障：破坏供需平衡，增加城市大面积停电风险。
- 危险材料和流程：分布式电池储能系统（BESS）或氢燃料电池存在热失控和爆炸风险，例如德国Schleswig-Holstein的BESS爆炸事件，以及韩国地下车库电动汽车爆炸事件，均造成严重后果。
未来方向
新兴漏洞不仅暴露了现有研究范式的空白，还挑战了传统脆弱性理论的基础假设，需要更全面的研究框架和主动的实践措施来应对跨域威胁。
理论边界推进：
- 传统脆弱性理论假设故障源于大型集中资产，系统拓扑可控，人类行为影响较小，小设备影响可忽略。但在现代城市能源系统中，这些假设不再成立，新漏洞源于数百万异构、移动、网络连接的边缘设备与能源、通信和交通系统的动态交互。
- 需要从网络物理社会（CPS）视角重新概念化脆弱性，整合网络层风险（固件篡改、供应链恶意软件）、物理层风险（热失控、电弧故障、高密度区域爆炸链）和社会层动态（城市交通、充电行为、人口密度模式）。
- 城市能源系统作为CPS生态系统，其复杂性源于不同能源资产、通信系统、交通系统和社会模式的交互。关键研究挑战包括：哪些边缘设备对新兴漏洞贡献更大？何种类型和数量的边缘设备组合会触发漏洞？新兴漏洞如何与边缘设备或人口密度相关？城市能源系统运行状态如何影响新兴漏洞的时空动态？如何评估大规模边缘设备排列组合带来的组合爆炸问题？如何建立定制化的韧性框架管理新兴漏洞？
实践举措：
- 供应链安全：通过防篡改区块链记录确保端到端可追溯性，实时验证机制（自动供应商检查、固件签名验证、AI驱动异常检测）识别可疑组件或未经授权的修改，符合NIST SP800-193、ISO/IEC 20243和欧盟网络韧性法案等全球标准。
- 严格硬件设计：采用模块化、冗余和“安全设计”架构，硬件强制故障隔离（通过微固件、TPM、Secure Enclave或ARM TrustZone），EMI/EMC鲁棒性和物理防篡改设计，以及容错运行设计原则，确保边缘设备在各种运行条件下保持安全和功能。
- 鲁棒认证协议：通过强加密身份验证（FIDO2、PKI、硬件根密钥、零信任模型）确保只有可信设备和用户才能访问关键基础设施，阻断伪造、冒充和中间人攻击，互认证和持续运行 attestation 维护设备间信任，端到端加密（TLS 1.3、DTLS、后量子密码）保护控制命令、固件更新和遥测数据，跨域身份联邦实现能源、交通和通信领域的统一安全身份管理。
