俞曉天，朱俊威，馮 宇

(浙江工業(yè)大學(xué) 信息工程學(xué)院，杭州 310023)

1 引 言

隨著計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)通訊技術(shù)的迅猛發(fā)展，網(wǎng)絡(luò)化控制系統(tǒng)(Networked Control Systems，NCSs)應(yīng)運(yùn)而生.NCSs最重要的特征是連接了網(wǎng)絡(luò)空間及物理空間，從而實(shí)現(xiàn)資源共享和遠(yuǎn)程監(jiān)控，因此被廣泛應(yīng)用于生產(chǎn)協(xié)作網(wǎng)、交通系統(tǒng)、水源系統(tǒng)、電力系統(tǒng)、大型計(jì)算機(jī)網(wǎng)絡(luò)等工程技術(shù)大系統(tǒng).另一方面，使用通信網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)傳輸和交換雖然為控制系統(tǒng)的組織和部署帶來便利，可由于網(wǎng)絡(luò)的引入，系統(tǒng)與遠(yuǎn)程控制和監(jiān)測中心之間就會(huì)因?yàn)榫W(wǎng)絡(luò)的不穩(wěn)定、節(jié)點(diǎn)沖突、帶寬限制等原因存在數(shù)據(jù)量化誤差、網(wǎng)絡(luò)時(shí)延、丟包、信道衰減、信噪比約束等問題[1-3].這些問題的存在，不但會(huì)降低NCSs的控制性能，有時(shí)甚至?xí)瓜到y(tǒng)失穩(wěn).

信息網(wǎng)絡(luò)的開放性和易受感染性也給NCSs系統(tǒng)帶來了不可避免的安全隱患.例如，震網(wǎng)蠕蟲病毒[4]利用西門子數(shù)據(jù)采集與監(jiān)控系統(tǒng)的漏洞入侵核電站、供水廠、化工廠等大型工業(yè)系統(tǒng)；烏克蘭電網(wǎng)遭Black Energy惡意軟件攻擊[5]，導(dǎo)致三十多個(gè)變電站出現(xiàn)故障，八萬多用戶斷電；又如胰島素泵、心臟起搏器和心臟除顫器等植入式醫(yī)療設(shè)備若遭受黑客攻擊，那么甚至?xí)兄旅蠊鸞6].

NCSs的安全問題引起各行業(yè)及學(xué)術(shù)界的高度重視，因而成為一種重要的研究方向.例如，文獻(xiàn)[7]介紹了拒絕服務(wù)攻擊、重放攻擊、零狀態(tài)攻擊和虛假數(shù)據(jù)注入攻擊的攻擊場景；文獻(xiàn)[8]針對(duì)報(bào)警信息數(shù)量龐大的情況，制定多維度評(píng)估指標(biāo)體系來分析不同攻擊的威脅值；文獻(xiàn)[9]基于隱馬爾科夫鏈模型，將網(wǎng)絡(luò)安全狀態(tài)劃分為四個(gè)等級(jí)，并根據(jù)不同攻擊強(qiáng)度進(jìn)行網(wǎng)絡(luò)安全態(tài)勢感知及預(yù)測；文獻(xiàn)[10]把被攻擊的系統(tǒng)建模為帶外部輸入的廣義系統(tǒng)，并且從理論和圖論兩個(gè)角度研究了檢測系統(tǒng)的局限性.

其中虛假數(shù)據(jù)注入攻擊因其隱蔽性和破壞性，引起了眾多國內(nèi)外學(xué)者的研究興趣.當(dāng)只有傳感器網(wǎng)絡(luò)受到攻擊時(shí)，文獻(xiàn)[11]提出了一種基于鄰居節(jié)點(diǎn)信息的追蹤策略，利用中轉(zhuǎn)節(jié)點(diǎn)及其相鄰節(jié)點(diǎn)緩存記錄的特征信息定位到被俘獲的節(jié)點(diǎn)；文獻(xiàn)[12]將傳感器與攻擊者交互決策過程建模為主從博弈，討論資源約束下雙方的最優(yōu)動(dòng)作；文獻(xiàn)[13]針對(duì)多通道數(shù)據(jù)傳輸中丟包率不同的情況，設(shè)計(jì)安全濾波器滿足指定的安全等級(jí)；文獻(xiàn)[14]考慮傳輸時(shí)延的影響并在攻擊能量有限的條件下，通過求解線性矩陣不等式得到濾波器的解.但實(shí)際中網(wǎng)絡(luò)攻擊往往是非單獨(dú)發(fā)生的，更多的是出現(xiàn)執(zhí)行器網(wǎng)絡(luò)和傳感器網(wǎng)絡(luò)的并發(fā)攻擊.

另一方面，針對(duì)虛假數(shù)據(jù)注入并發(fā)攻擊的研究也有很大突破.例如，文獻(xiàn)[15]采用事件觸發(fā)機(jī)制采樣，并針對(duì)離散化后的網(wǎng)絡(luò)系統(tǒng)，通過錐補(bǔ)線性化方法協(xié)同設(shè)計(jì)觀測器和控制器；文獻(xiàn)[16]利用兩個(gè)自適應(yīng)滑膜觀測器分別對(duì)物理攻擊和傳感器攻擊進(jìn)行觀測和重構(gòu)，并應(yīng)用于電力系統(tǒng)；進(jìn)一步，文獻(xiàn)[17]考慮建模誤差，針對(duì)有界攻擊提出具有魯棒性能的攻擊觀測器.值得注意的是，到目前為止，關(guān)于網(wǎng)絡(luò)中存在并發(fā)攻擊的估計(jì)問題的研究大部分是針對(duì)可靠傳輸展開的，而針對(duì)通信約束例如丟包的相關(guān)問題研究較少.

鑒于以上討論，為了在數(shù)據(jù)丟包的情況下得到理想的估計(jì)效果，本文改進(jìn)了基于中間變量的估計(jì)器設(shè)計(jì)方法[18].本文的主要工作如下：1)考慮丟包下的觀測問題，傳統(tǒng)方法的重點(diǎn)主要放在攻擊估計(jì)上，沒有充分考慮網(wǎng)絡(luò)中數(shù)據(jù)傳輸?shù)耐ㄐ偶s束；2)針對(duì)一類同時(shí)存在執(zhí)行器攻擊和傳感器攻擊的非線性系統(tǒng)，設(shè)計(jì)安全估計(jì)器.最后，通過網(wǎng)絡(luò)化多軸運(yùn)動(dòng)系統(tǒng)的攻擊估計(jì)實(shí)驗(yàn)來驗(yàn)證本文算法的有效性.

說明：上標(biāo)T表示矩陣的轉(zhuǎn)置m.表示m維歐幾里得空間.P≥0(P>0)表示P是一個(gè)半正定(正定)矩陣,并且和分別表示數(shù)學(xué)期望,歐式范數(shù),最大特征值以及最小特征值.*表示矩陣的對(duì)稱部分.In表示n×n維單位矩陣.

2 數(shù)學(xué)模型及問題定義

2.1 模型描述

給出NCSs框架如圖1所示.基于該框架，考慮線性時(shí)不變離散系統(tǒng)為：

圖1 網(wǎng)絡(luò)化控制系統(tǒng)框架圖Fig.1 System framework of NCSs

(1)

其中，x(k)∈n,u(k)∈m和y(k)∈p分別為系統(tǒng)狀態(tài)量，控制輸入和測量輸出，設(shè)x(0)為已知的系統(tǒng)初始狀態(tài)量；A∈n×n,B∈n×m和C∈p×n為常數(shù)矩陣；非線性項(xiàng)g(k,x(k))∈×n→n表示模型不確定性和外界干擾，滿足以下條件：

‖g(k,x1(k))-g(k,x2(k))‖≤φ‖x1(k)-x2(k)‖

其中，φ是已知的常數(shù).

信號(hào)傳輸存在丟包現(xiàn)象，通常將其建模為獨(dú)立同分布的伯努利過程[3，13].本文用γ1(k)和γ2(k)分別對(duì)執(zhí)行器網(wǎng)絡(luò)和傳感器網(wǎng)絡(luò)的丟包過程進(jìn)行表征.在任意時(shí)刻，γi(k)，i=1，2取值為0或1，分別表示發(fā)生丟包和傳輸成功，并且基于TCP-Like通信協(xié)議[3]，接收端能在采樣周期內(nèi)得知傳輸是否成功.定義該隨機(jī)過程的概率函數(shù)為：

(2)

則該概率函數(shù)服從：

針對(duì)NCSs中頻繁出現(xiàn)的網(wǎng)絡(luò)攻擊，本文考慮了虛假數(shù)據(jù)注入攻擊.攻擊者通過向執(zhí)行器網(wǎng)絡(luò)和傳感器網(wǎng)絡(luò)發(fā)送虛假數(shù)據(jù)的方式進(jìn)行攻擊.對(duì)于控制輸入v(k)，在執(zhí)行器端接收到的錯(cuò)誤信息為：

u(k)=γ1(k)v(k)+γ1(k)Euau(k)

(3)

其中，au(k)∈r為執(zhí)行器攻擊;Eu∈m×r為執(zhí)行器攻擊分布矩陣.由于本文的重點(diǎn)是估計(jì)器的設(shè)計(jì)，故對(duì)控制輸入v(k)不作具體討論.

在估計(jì)器端接收到的錯(cuò)誤信息為：

s(k)=γ2(k)y(k)+γ2(k)Day(k)

(4)

其中，ay(k)∈q為傳感器攻擊;D∈p×q為傳感器攻擊分布矩陣.并且攻擊信號(hào)au(k)和ay(k)滿足以下條件：

‖au(k+1)-au(k)‖≤ηu，‖ay(k+1)-ay(k)‖≤ηy

其中，ηu≥0，ηy≥0.不失一般性，這里假設(shè)x(0)，γ1(k)，γ2(k)，au(k)和ay(k)相互獨(dú)立.

由式(1)-式(4)，本文反饋系統(tǒng)可以描述為：

(5)

(6)

進(jìn)一步，設(shè)計(jì)安全估計(jì)器.首先，引入中間變量：

(7)

其中，w∈為調(diào)優(yōu)參數(shù).得到估計(jì)器如下形式：

(8)

其中，L∈(n+q)×p是待設(shè)計(jì)的估計(jì)器增益;和分別為ζ(k)，τ(k)，au(k)和ay(k)的估計(jì)值.

2.2 問題定義

(9)

相應(yīng)的，對(duì)eτ(k)的誤差系統(tǒng)為：

(10)

問題1.對(duì)于非線性系統(tǒng)(5)和安全估計(jì)器(8)，丟包影響下的虛假數(shù)據(jù)注入攻擊估計(jì)問題就是找到一個(gè)估計(jì)器增益矩陣L使得狀態(tài)估計(jì)誤差eζ(k)和中間變量估計(jì)誤差eτ(k)有界.

3 主要結(jié)果

本節(jié)由定理出發(fā)給出了第2節(jié)中安全估計(jì)問題的解決方法.

3.1 基于丟包的安全估計(jì)器設(shè)計(jì)

定理1.給定調(diào)優(yōu)參數(shù)w，如果存在矩陣P1∈(n+q)×(n+q)>0，P2∈r×r>0，H∈(n+q)×p和一個(gè)正數(shù)ε滿足:

(11)

其中，

證明：

構(gòu)造以下Lyapunov函數(shù)：

(12)

根據(jù)兩個(gè)獨(dú)立隨機(jī)變量γ1和γ2的特性(2)，對(duì)上式兩端求期望可得:

根據(jù)基本不等式，可知存在參數(shù)ε>0使下面不等式成立:

整理上式得：

同理，得到Lyapunov函數(shù)差分的第二個(gè)分量：

上述結(jié)果代入式(12)得：

其中，

Σ12=Π12，Σ22=Π22

基于Schur補(bǔ)定理，可知線性矩陣不等式(11)等效于Σ<0.因此可得：

(13)

由對(duì)V(k)的定義(12)可知：

(14)

結(jié)合式(13)和式(14)可得：

ΔV(k)≤-κV(k)+β

證明完畢.

可解條件中不包括攻擊信號(hào)有界，若攻擊信號(hào)無界但其變化率有界，現(xiàn)有的估計(jì)器設(shè)計(jì)方案仍能保證估計(jì)誤差一致有界，實(shí)驗(yàn)中的斜坡攻擊說明了這一情況.若攻擊信號(hào)是常數(shù)信號(hào)，滿足：ηu=ηy=0，易知β=0，則估計(jì)誤差收斂到零，實(shí)驗(yàn)中的常數(shù)攻擊說明了這一情況.若去掉非線性項(xiàng)g(k，x(k))，則現(xiàn)有結(jié)果可以退化為針對(duì)線性系統(tǒng)的安全估計(jì)器設(shè)計(jì).

3.2 參數(shù)調(diào)節(jié)及設(shè)計(jì)流程

其中，X>0.根據(jù)Schur補(bǔ)定理，可將上式轉(zhuǎn)化為:

(15)

當(dāng)執(zhí)行器網(wǎng)絡(luò)中不存在丟包現(xiàn)象時(shí)，即：μ1(k)=1，則Lyapunov不等式變?yōu)椋?/p>

圖2 安全估計(jì)器設(shè)計(jì)流程圖Fig.2 Secure estimator design flow chain

4 實(shí)驗(yàn)結(jié)果與分析

為了驗(yàn)證算法的有效性，進(jìn)行網(wǎng)絡(luò)化多軸運(yùn)動(dòng)系統(tǒng)攻擊估計(jì)實(shí)驗(yàn).首先，對(duì)本文的實(shí)驗(yàn)設(shè)備及建模進(jìn)行描述.然后，通過求解定理1中的線性矩陣不等式得到估計(jì)器增益的解.最后，將展示所設(shè)計(jì)安全估計(jì)器的估計(jì)效果.

4.1 實(shí)驗(yàn)平臺(tái)

本文的實(shí)驗(yàn)平臺(tái)如圖3所示.網(wǎng)絡(luò)化多軸運(yùn)動(dòng)控制實(shí)驗(yàn)平臺(tái)主要由臺(tái)達(dá)ASDA-A2-0221-M交流伺服系統(tǒng)、ECMA-C10604S電機(jī)、Contex-A53單片機(jī)、PC上位機(jī)和通信網(wǎng)絡(luò)組成.其中電機(jī)為被控對(duì)象，由交流伺服驅(qū)動(dòng)器對(duì)其進(jìn)行驅(qū)動(dòng)；ARM單片機(jī)負(fù)責(zé)數(shù)據(jù)中轉(zhuǎn)，將交流伺服系統(tǒng)的位置和速度信息進(jìn)行封裝，并發(fā)送給PC上位機(jī)；PC上位機(jī)負(fù)責(zé)接收來自ARM單片機(jī)的數(shù)據(jù)，運(yùn)行估計(jì)算法；通信網(wǎng)絡(luò)由CAN總線和無線網(wǎng)絡(luò)兩部分組成，CAN總線負(fù)責(zé)ARM單片機(jī)與和交流伺服系統(tǒng)之間的通訊，無線網(wǎng)絡(luò)負(fù)責(zé)ARM單片機(jī)與和PC之間的通訊.由于CAN總線的硬件環(huán)境為雙絞線，通過實(shí)驗(yàn)測量其丟包率極小，故本實(shí)驗(yàn)不考慮CAN總線上數(shù)據(jù)傳輸?shù)膩G包，只考慮數(shù)據(jù)通過無線網(wǎng)絡(luò)傳輸?shù)膩G包.

圖3 網(wǎng)絡(luò)化多軸運(yùn)動(dòng)系統(tǒng)實(shí)驗(yàn)平臺(tái)Fig.3 Experimental platform of networked multi-axis motion system

在速度模式下，電機(jī)的狀態(tài)量為位置p和速度υ，即x=[pυ].通過采樣離散化后電機(jī)的動(dòng)力學(xué)模型為:

其中，T=0.5s為采樣周期;u(k)=γ1(k)v(k)+γ1(k)Euau(k)為執(zhí)行器端接收到的數(shù)據(jù)，控制量v(k)=-[24.7 0.6]y(k);建模誤差g(k，x(k))=0.015sin(x(k)).

伺服電機(jī)通過20-bits編碼器實(shí)時(shí)測量位置并計(jì)算速度.可得測量模型為：

y(k)=x(k)

同時(shí)網(wǎng)絡(luò)中存在攻擊，執(zhí)行器網(wǎng)絡(luò)攻擊分布矩陣Eu=1;傳感器網(wǎng)絡(luò)攻擊分布矩陣D=[0 1]T.經(jīng)實(shí)驗(yàn)測量得，無線網(wǎng)絡(luò)的丟包率約為5%.

4.2 求解LMI

設(shè)置閾值為0.005.根據(jù)安全估計(jì)器設(shè)計(jì)流程，首先選擇某個(gè)調(diào)優(yōu)參數(shù)w滿足式(15)，然后通過LMI工具箱求解式(11)得到相應(yīng)的估計(jì)器增益矩陣L，并觀察估計(jì)器與觀測值的誤差值es，若大于閾值，則重新選擇調(diào)優(yōu)參數(shù)w，最后發(fā)現(xiàn)當(dāng)參數(shù)w=20時(shí)，誤差es穩(wěn)定在0.002左右，滿足設(shè)計(jì)要求.

具體的，當(dāng)參數(shù)w=20時(shí)，求解線性矩陣不等式(11)可得：

因此可得安全估計(jì)器增益為：

4.3 實(shí)驗(yàn)結(jié)果

本實(shí)驗(yàn)考慮三種不同的攻擊信號(hào)，分別為斜坡信號(hào)、常數(shù)信號(hào)和正弦信號(hào).設(shè)定伺服系統(tǒng)初始狀態(tài)和估計(jì)器初始估計(jì)值都為零.通過100次重復(fù)實(shí)驗(yàn)，最后平均估計(jì)性能由圖4-圖7所示.其中，圖4展示了對(duì)執(zhí)行器攻擊的平均估計(jì)性能，實(shí)線表示真實(shí)值，點(diǎn)劃線表示所設(shè)計(jì)的安全估計(jì)器的估計(jì)值，虛線表示標(biāo)準(zhǔn)中間估計(jì)器的估計(jì)值，可以看到標(biāo)準(zhǔn)中間估計(jì)器的估計(jì)抖動(dòng)較大，不能很好地適應(yīng)丟包環(huán)境，而本文所設(shè)計(jì)的安全估計(jì)器能有效抑制丟包的影響，估計(jì)過程抖動(dòng)較??；圖5展示了對(duì)傳感器攻擊的平均估計(jì)性能，可以看到標(biāo)準(zhǔn)中間估計(jì)器的估計(jì)誤差較大，而本文所設(shè)計(jì)的安全估計(jì)器能快速地跟上實(shí)際值且估計(jì)效果良好；圖6和圖7分別展示了對(duì)電機(jī)位置和速度的平均估計(jì)性能，可以看到安全估計(jì)器能夠很好地對(duì)系統(tǒng)的狀態(tài)量進(jìn)行估計(jì).同時(shí)本實(shí)驗(yàn)也印證了文中所述，對(duì)無界攻擊(斜坡信號(hào))的估計(jì)誤差是有界的，對(duì)常數(shù)攻擊的估計(jì)誤差為零.

圖4 執(zhí)行器攻擊估計(jì)Fig.4 Actuator attack estimation

圖5 傳感器攻擊估計(jì)Fig.5 Sensor attack estimation

圖6 位置估計(jì)Fig.6 Position estimation

圖7 速度估計(jì)Fig.7 Velocity estimation

5 結(jié) 論

本文考慮數(shù)據(jù)傳輸中存在的丟包現(xiàn)象，針對(duì)一類同時(shí)存在執(zhí)行器攻擊和傳感器攻擊的非線性系統(tǒng)，通過設(shè)計(jì)安全估計(jì)器來估計(jì)狀態(tài)量與并發(fā)攻擊信號(hào).網(wǎng)絡(luò)化多軸運(yùn)動(dòng)系統(tǒng)實(shí)驗(yàn)結(jié)果表明，本文設(shè)計(jì)的安全估計(jì)器在丟包率較大的環(huán)境中仍能通過調(diào)節(jié)調(diào)優(yōu)參數(shù)w達(dá)到較好的估計(jì)精度.因此，本文所提的方法具有一定實(shí)際意義.下一步的工作包括：首先，調(diào)優(yōu)參數(shù)w對(duì)算法的有解性及估計(jì)精度有很大影響，本文只討論了該參數(shù)選擇的必要條件，如何系統(tǒng)理論地選擇調(diào)優(yōu)參數(shù)得到最優(yōu)攻擊估計(jì)將是未來的研究方向之一.此外，研究安全估計(jì)器與容侵控制器的協(xié)同設(shè)計(jì)，實(shí)現(xiàn)通信約束下攻擊信號(hào)實(shí)時(shí)補(bǔ)償是另一個(gè)重要的研究方向.