研究背景
我国面临严重的网络安全威胁，关键信息基础设施安全成为国家间科技竞争的核心领域。2015年乌克兰电网攻击事件是人类历史上电力信息安全的重要里程碑，该事件采用网络协同攻击手段，通过恶意代码、远程控制等手段造成长时间停电，暴露了电力系统信息物理融合系统（ECPS）的安全脆弱性。ECPS具有新能源电力系统和信息系统深度融合、系统智能、多能协同等特征，但也面临网络协同攻击、网络安全、数据安全、设备安全等多重挑战。学术界共识认为，网络攻击具有目标性强、不确定性高、破坏力大等特点，现有安全防范体系难以完全抵御，需要从电力信息物理融合系统视角开展研究，转向异常智能检测、定量安全态势评价、动态检测和主动防御。
研究成果
-
电力通信流量建模和异常检测
- 利用FARIMA模型刻画工业网络通信流量特征，构建变电站信息物理系统SCN正常流量数学模型，实现异常流量智能检测与安全分析。
- 提出基于SARIMA的在线检测模型，通过实时异常检测技术，监控ICS核心网络流量，实现非法访问、恶意病毒探测等攻击行为的识别。
- 提出云边协同的流量异常检测方法，边缘侧部署SARIMA模型过滤正常流量，云端部署深度学习模型识别异常流量种类，降低通信负荷，提高检测效果。
- 提出基于无监督学习的异常流量检测方法，利用LSTM和BERT-CNN自编码器，实现对异常流量的准确检测，检测精度提高18.83%，召回率增加22.3%。
-
基于攻防博弈的安全防御决策
- 提出基于有限资源可用性的DDoS攻击下的博弈理论模型，设计多维节点价值分析，实现防御资源的合理配置。
- 针对分布式拒绝服务攻击和虚假数据注入攻击，建立有限防御资源下信息不完全的博弈理论模型，通过实验验证，提出方法具有更佳的防御资源优化配置效果。
- 提出贝叶斯-随机混合博弈模型，在攻击者信息不健全情况下生成防御策略，并利用多智能体贝叶斯Q-learning算法学习最优防御策略，实验验证了方法的有效性。
-
恶意对抗样本生成与智能检测
- 提出基于语义感知的对抗性API调用序列生成方法和可执行恶意对抗样本生成技术，生成对抗恶意样本，用于评价威胁检测系统对对抗样本、新样本的检测效果。
- 通过分层学习方法训练集成分类器，降低对抗样本攻击成效，实验表明集成分类器将攻击成效降低了50个百分点，攻击成本大幅提高。
-
浙江大学工控安全攻防试验场
- 建立可基于互联网远程操作的1500平方米国家级工业互联网网络攻防平行实验场，利用信息基因技术、深度学习技术等开展攻防测试，提升攻击效果，支撑实境、实网、实战以及实赛的攻防演训。
- 试验场分为企业办公网、企业生产管理网和企业生产控制网三层，配置各类服务器、工控操作员站和工业控制系统，采用夺旗赛（CTF）模式进行工控系统信息安全攻防实践课程。
总结展望
我国电力网络规模庞大、运行复杂，保障其综合安全面临重大需求。通过电气工程、网络安全、人工智能等多学科视角和跨学科交叉，围绕“物理安全-网络安全-供能安全”综合安全理论研究框架开展系统性研究，推动学科交叉，促进多学科领域知识融通，构建符合我国电力能源系统特点和发展规律的综合安全理论。国家科技部启动“人工智能驱动的科学研究”专项部署工作，面向国家重大需求和经济主战场，解决我国经济转型过程中与复杂系统相关的控制工程、能源系统等关键科学与重大技术瓶颈问题。
