貝太周，施冬明，李方舟，陳 博，袁 月

（1.國網(wǎng)山東省電力公司濟南供電公司，山東 濟南 250012；2.國網(wǎng)山東省電力公司濟南市濟陽區(qū)供電公司，山東 濟南 251400；3.天津大學電氣自動化與信息工程學院，天津 300072）

0 引言

隨著物聯(lián)網(wǎng)的興起與發(fā)展，網(wǎng)絡(luò)物理系統(tǒng)（Cyber Physical Systems，CPS）已經(jīng)完全融入人類的現(xiàn)代化生活［1］。在現(xiàn)有的CPS 中，智能電網(wǎng)是規(guī)模最為龐大、層次最為復雜、資金和技術(shù)最為密集的人造復合系統(tǒng)，是人類工程科學史上最重要的成就之一。近年來，具有非線性、高維度、分層、分布式等特征的智能電網(wǎng)呈現(xiàn)出開放式、扁平化、分散式、邊界模糊化的發(fā)展趨勢，這將進一步增加智能電網(wǎng)的異構(gòu)性，同時也增加了智能電網(wǎng)潛在的安全風險和安全隱患［2］。

智能電網(wǎng)一旦遭受網(wǎng)絡(luò)攻擊，將對能源傳輸造成重大破壞。統(tǒng)計顯示，發(fā)生于2009 年的美國電網(wǎng)攻擊事件和2015 年的烏克蘭電網(wǎng)襲擊事件，共造成20 多萬名消費者失去電力供應。由于在智能電網(wǎng)中采用了不同設(shè)備生產(chǎn)商提供的大量交互設(shè)備以及網(wǎng)絡(luò)通信協(xié)議，智能電網(wǎng)的安全性問題往往難以衡量與評估［3］?？紤]到一般性的測試工具僅適用于空間較小、結(jié)構(gòu)單一的簡單電網(wǎng)，難以滿足智能電網(wǎng)的安全性評估要求［4］。因此，需要建立一種滿足智能電網(wǎng)安全性評估的獨立框架結(jié)構(gòu)，并使該框架結(jié)構(gòu)成為互聯(lián)設(shè)備的固有屬性。

數(shù)字孿生（Digital Twin，DT）最早產(chǎn)生于2003年，經(jīng)過不斷改進，目前已經(jīng)發(fā)展成為一種集多學科、多物理量、多尺度、多概率相融合的仿真技術(shù)［5］。DT 兼容了當前熱門的大數(shù)據(jù)、網(wǎng)絡(luò)云、人工智能和5G 等先進技術(shù)，借助大數(shù)據(jù)挖掘與處理，在數(shù)字空間內(nèi)建立虛體模型，同時搭建由數(shù)字虛體向物理實體的映射關(guān)系，實現(xiàn)“鏡像”實體的目標。

雖然DT 的概念早被提出，但是該技術(shù)在其他領(lǐng)域的應用程度和取得的研究成果卻不盡相同。DT 技術(shù)已在醫(yī)療、航空和陸地勘探等領(lǐng)域中取得了顯著成果［6-8］。在能源電力領(lǐng)域，該技術(shù)正在提供潛在的價值增長點，近兩年的研究也呈現(xiàn)出明顯的增長趨勢［9］。文獻［10］討論了能源互聯(lián)網(wǎng)中DT 技術(shù)的應用問題；文獻［11］利用DT 模型為特高壓交直流電網(wǎng)秒級在線分析系統(tǒng)提供了決策支持；文獻［12］利用神經(jīng)網(wǎng)絡(luò)跟蹤動態(tài)行為，建立起逆變器的DT 模型；文獻［13］研究了智能城市能源管理的DT 實現(xiàn)，并將其作為實時管理的基準。

需要指出的是，在智能電網(wǎng)領(lǐng)域，DT 技術(shù)的相關(guān)研究仍然處于初級階段，核心理論與技術(shù)創(chuàng)新兩方面均有待于突破，而在智能電網(wǎng)安全評估方面的研究成果則更加稀少?？紤]到智能電網(wǎng)設(shè)備多、結(jié)構(gòu)復雜、異構(gòu)性強、能量轉(zhuǎn)換形式多樣，首先在智能電網(wǎng)局部單元實現(xiàn)DT 技術(shù)的典型示范應用是目前較為可行的選擇路徑。

為適應能源革命發(fā)展的新趨勢以及提高智能電網(wǎng)的安全性問題，在梳理DT 技術(shù)的相關(guān)理論、特征以及組成部分的基礎(chǔ)上，結(jié)合智能電網(wǎng)的內(nèi)涵與應用框架，構(gòu)建了智能電網(wǎng)安全評估方案的DT實現(xiàn)。

1 數(shù)字孿生基礎(chǔ)理論

數(shù)字孿生的概念仍然處于發(fā)展演變階段，尚未形成統(tǒng)一的標準定義［14］。一個被普遍認可的通用定義為：數(shù)字孿生以數(shù)字化的方式建立物理實體的多維度、多時空、多學科和多物理量的動態(tài)虛擬模型，來仿真和刻畫物理實體在真實環(huán)境中的屬性、行為和規(guī)則等［15］。由于數(shù)字孿生具備虛實融合與實時交互、迭代運行與優(yōu)化、全要素、全流程和全業(yè)務的數(shù)據(jù)驅(qū)動等特點，已被應用到產(chǎn)品生命周期的各個階段［16］。

在典型特征方面，數(shù)字孿生具有高保真性、可擴展性和互操作性，如圖1所示。

圖1 數(shù)字孿生的典型特征

“孿生”意味著數(shù)字化虛擬表示將在整個生命周期中雙向鏈接到物理實體［17］。將這一概念應用于智能電網(wǎng)領(lǐng)域，可以衍生出若干種數(shù)字孿生架構(gòu)，而基本的數(shù)字孿生架構(gòu)則包含3 個主要部分：數(shù)字空間、物理空間以及虛擬模型與物理實體之間端到端的數(shù)據(jù)指令傳輸和信息交互通道［18］，如圖2所示。

圖2 基本的數(shù)字孿生架構(gòu)

1）數(shù)字空間。負責完成對物理實體的全息復制和高保真建模，建立對象、模型以及數(shù)據(jù)集一體的虛擬副本，實時動態(tài)地反映物理實體的行為狀態(tài)，支持對物理實體多層次、多維度、多尺度、多物理場的仿真模擬。采用數(shù)據(jù)挖掘技術(shù)和知識學習系統(tǒng)從物理實體的實時歷史數(shù)據(jù)中挖掘各種模態(tài)的結(jié)果，衍生數(shù)據(jù)價值。

2）物理空間。物理元素的互聯(lián)和感知具有標準定義和規(guī)范接口，支持即插即用。具有廣域布置的傳感器以及狀態(tài)反饋點，能夠高密度、寬頻率地采集信息，接受數(shù)字空間的優(yōu)化指令；能夠改變物理元素的組合模式、生產(chǎn)流程和資源匹配等。

3）交互通道。采用設(shè)計工具、仿真工具、物聯(lián)網(wǎng)和虛擬現(xiàn)實等各種數(shù)字化的技術(shù)手段建立起物理空間與數(shù)字空間的準實時聯(lián)系與映射。通過傳感器洞察和呈現(xiàn)物理實體的實時狀態(tài)，同時將承載指令的數(shù)據(jù)通過標準接口作用到物理實體，最終導致狀態(tài)變化，形成閉環(huán)反饋。

2 智能電網(wǎng)的網(wǎng)絡(luò)安全

2.1 現(xiàn)有的安全標準

美國國家標準與技術(shù)研究所（National Institute for Standards and Technology，NIST）在2010 年發(fā)布的第7628 號文件就已經(jīng)為智能電網(wǎng)的網(wǎng)絡(luò)安全問題提供了技術(shù)性指導。隨著電網(wǎng)組件的大量滲入，智能電網(wǎng)在結(jié)構(gòu)上變得更加復雜，由此產(chǎn)生的網(wǎng)絡(luò)安全也更加明顯。為了保證智能電網(wǎng)的安全穩(wěn)定運行，就需要在安全管理方面提供更加精準的優(yōu)化解決方案。

國外學者曾對多家國際組織機構(gòu)發(fā)表的科學研究進行了梳理和分析，同時提供了智能電網(wǎng)現(xiàn)有的安全標準［16］，如表1所示。

表1 智能電網(wǎng)現(xiàn)有的安全標準

將表1 中的安全標準按照用途進行分類，大體可以分為兩類：作為一般性的非技術(shù)性指導；作為普通應用的安全標準，雖然這類標準還無法適用于所有的智能電網(wǎng)，但是對于特定類型的智能電網(wǎng)風險評估而言，則具有一定的應用指導價值。

隨著我國智能電網(wǎng)建設(shè)的持續(xù)開展，目前已在科研、生產(chǎn)、建設(shè)和運行管理方面，有效推動了智能電網(wǎng)的技術(shù)進步。文獻［19］較早闡述了智能電網(wǎng)的基本理念、總體設(shè)想以及技術(shù)研究，具有明顯的指導意義。國家電網(wǎng)有限公司對智能電網(wǎng)系列標準規(guī)范進行了重新修訂［20-21］，對有效指導智能電網(wǎng)建設(shè)發(fā)揮了重要作用。然而，智能電網(wǎng)的安全標準尚未形成。

2.2 現(xiàn)有網(wǎng)絡(luò)漏洞和網(wǎng)絡(luò)攻擊方法

為了保證自身能夠安全穩(wěn)定運行，智能電網(wǎng)在結(jié)構(gòu)和功能兩方面都需要具備更高程度的可靠性、可用性和隱蔽性。然而，日趨復雜的智能電網(wǎng)因高度異構(gòu)特性不但增加了智能電網(wǎng)網(wǎng)絡(luò)漏洞的種類和數(shù)量，還間接提高了網(wǎng)絡(luò)安全檢測設(shè)備對智能電網(wǎng)漏洞進行檢測時在檢測精度和性能指標方面的要求。

圖3 給出了現(xiàn)有已知的智能電網(wǎng)網(wǎng)絡(luò)漏洞。其中最為常見的網(wǎng)絡(luò)漏洞為拒絕服務（Denial of Service，DoS）攻擊及其變體。DoS 有兩種攻擊方式：一種是攻擊者持續(xù)發(fā)送大量簡單而無用的信息，這種攻擊方式會導致系統(tǒng)內(nèi)存超負荷存儲，增加系統(tǒng)組件的能量消耗，降低系統(tǒng)組件的使用壽命；另外一種是攻擊者故意發(fā)送大量的誤導信息，這種攻擊方式能夠保證攻擊主體作為合法實體在系統(tǒng)內(nèi)部停留一段時間，通過躲過系統(tǒng)內(nèi)自帶的異常檢測程序，最終獲得授權(quán)許可。

圖3 現(xiàn)有已知的智能電網(wǎng)網(wǎng)絡(luò)漏洞

研究表明，異構(gòu)系統(tǒng)在自身發(fā)展過程中容易產(chǎn)生難以發(fā)覺的系統(tǒng)漏洞［16］。這一點恰恰容易被惡意攻擊者掌握和利用。因此，異構(gòu)系統(tǒng)的網(wǎng)絡(luò)安全防護措施需要更加緊密和有效。目前采取的安全防護措施有兩種：一種是采用先進的技術(shù)手段確保漏洞無效；另外一種是保證異構(gòu)系統(tǒng)同時具備故障診斷的能力和快速恢復的功能。

值得一提的是，攻擊者往往采用多種攻擊組合方式對網(wǎng)絡(luò)實施網(wǎng)絡(luò)攻擊，即先以某種攻擊來弱化系統(tǒng)，然后采用其他攻擊來獲取系統(tǒng)內(nèi)部的關(guān)鍵信息，因此制定嚴格全面的網(wǎng)絡(luò)安全防護措施是較為可靠和可行的應對方案。

3 智能電網(wǎng)安全評估方案

3.1 結(jié)構(gòu)實現(xiàn)

所提基于數(shù)字孿生建立的智能電網(wǎng)安全評估方案框架結(jié)構(gòu)如圖4 所示。圖4 中，數(shù)字孿生是整個方案的決策經(jīng)營者，而決策控制中心則是一個包含人機交互的中央處理單元，該控制中心在物理實體與數(shù)字模型之間進行數(shù)據(jù)處理，根據(jù)物理實體的當前狀態(tài)產(chǎn)生并發(fā)送控制指令，將控制指令作用于主終端。主終端通過監(jiān)控及網(wǎng)關(guān)單元實現(xiàn)自身與智能儀表、執(zhí)行機構(gòu)等物理實體的信息交互。

圖4 基于數(shù)字孿生的智能電網(wǎng)安全評估方案

考慮智能電網(wǎng)含有在線存儲單元、分析工具、運行交互網(wǎng)絡(luò)以及計算負荷平衡系統(tǒng)等結(jié)構(gòu)組件，在數(shù)字孿生的結(jié)構(gòu)實現(xiàn)上，需要包含物理層、虛擬層和決策層三個層次。

3.1.1 物理層

方案中對物理層采用了模塊化、并行化和可變的處理存儲單元并配置安全通信方式。

考慮云計算具有很好的可伸縮性、靈活性、易于測量以及網(wǎng)絡(luò)連接穩(wěn)定等諸多優(yōu)勢，在所提智能電網(wǎng)安全評估方案中，引入了被稱為“微云”的專有微網(wǎng)結(jié)構(gòu)，此種結(jié)構(gòu)在邊緣設(shè)備管理和設(shè)備分析兩個方面可明顯提高數(shù)據(jù)處理的快速性和有效性，為智能電網(wǎng)中連續(xù)性數(shù)據(jù)的實時管理提供更加可靠的雙向交流云平臺，該云平臺也能通過集成現(xiàn)有的各類能量管理系統(tǒng)，如家庭能量管理和需求側(cè)能量管理系統(tǒng)等實現(xiàn)能量的供求平衡。

微云結(jié)構(gòu)由智能儀表設(shè)備、監(jiān)控單元、存儲單元和網(wǎng)絡(luò)管理監(jiān)控軟件等組成，可視為小型的無線傳感器網(wǎng)絡(luò)。智能儀表設(shè)備用于計量環(huán)節(jié)，并在計量環(huán)節(jié)中配置了高標準的智能電網(wǎng)通信技術(shù)和數(shù)據(jù)采集技術(shù)，保證儀表設(shè)備提供可靠的時間、能量、電量和地理定位。

監(jiān)控單元中配置了高標準的監(jiān)控設(shè)備，將采集到的實時數(shù)據(jù)信息提供給數(shù)字孿生子系統(tǒng)，在數(shù)據(jù)孿生子系統(tǒng)內(nèi)借助一系列的優(yōu)化處理算法，實現(xiàn)對內(nèi)部虛擬系統(tǒng)和虛擬設(shè)備的優(yōu)化配置。

決策控制中心利用獲取的節(jié)點信息和微云信息為智能電網(wǎng)中的所有物理設(shè)備創(chuàng)建數(shù)字孿生所需的全部配置文件，用來構(gòu)建系統(tǒng)的知識模型。

網(wǎng)關(guān)單元為每個微云結(jié)構(gòu)提供專用網(wǎng)絡(luò)，同時逐一創(chuàng)建微云的隱蔽屬性。通過分配有效的群密鑰，充分保證信息交互的安全性。主終端配有可編程序邏輯控制器（Programmable Logic Controller，PLC），通過使用Modbus和S7等串行通信協(xié)議實現(xiàn)網(wǎng)關(guān)管理。

3.1.2 虛擬層

虛擬層是數(shù)字孿生的基本特征。虛擬層包含了方案所需模型、環(huán)境狀態(tài)和參數(shù)優(yōu)化的所有數(shù)據(jù)庫。這些數(shù)據(jù)庫用以支持系統(tǒng)組件的物理性配置文件和邏輯性配置文件，以及在網(wǎng)絡(luò)評估和仿真調(diào)試過程中的網(wǎng)絡(luò)狀態(tài)信息和參數(shù)優(yōu)化信息。

在虛擬層中，物理設(shè)備的配置文件和系統(tǒng)參數(shù)按照數(shù)據(jù)庫的形式進行組織實施?？紤]到安裝、授權(quán)、更新以及刪除等操作，智能儀表設(shè)備和網(wǎng)關(guān)信息以靜態(tài)參量的形式給出，而與設(shè)備相關(guān)的物理信息，如標識符、模型、版本、存儲、輸入輸出量和位置信息都以物理模型的形式給出。除此以外，系統(tǒng)設(shè)備都具有邏輯上的配置文件，如虛擬機的映射、內(nèi)存大小、帶寬、圖像大小和信號處理能力等。

考慮到智能電網(wǎng)的實時性問題，數(shù)據(jù)孿生子系統(tǒng)內(nèi)部同樣存在一個動態(tài)的知識數(shù)據(jù)庫，該數(shù)據(jù)庫將保持頻繁更新的狀態(tài)，存儲不同時間及工況條件下的能量變化信息，便于及時反映微云結(jié)構(gòu)的工作狀態(tài)。另外，在數(shù)據(jù)庫中同時記錄了用來模擬微云結(jié)構(gòu)動態(tài)行為的監(jiān)控數(shù)據(jù)等信息。

為了保證數(shù)據(jù)孿生子系統(tǒng)的健康運行，需要使用多種決策處理算法為子系統(tǒng)的仿真優(yōu)化環(huán)境創(chuàng)建配置文件。特別地，在編制入侵檢測程序過程中，同樣需要采用多種機器學習算法，為智能電網(wǎng)的異常運行狀況進行精準分類。除此以外，為了完成系統(tǒng)的負載平衡、微云電源管理和任務安排等工作，需要在運算處理器內(nèi)配置多種持續(xù)優(yōu)化算法。

3.1.3 決策層

決策層含有多種功能性算法，負責完成由物理層到虛擬層的映射，實現(xiàn)對微云單元、PLC 單元、物聯(lián)網(wǎng)網(wǎng)關(guān)、仿真優(yōu)化工具等功能主體遠程操作指令的下達；發(fā)布安裝、更新和刪除指令的授權(quán)；監(jiān)控數(shù)據(jù)的優(yōu)化、系統(tǒng)健康度的提高，系統(tǒng)異常情況下報警信號的發(fā)出；時態(tài)數(shù)據(jù)分析、系統(tǒng)不同組件在工作與地址方面的相關(guān)性、實時數(shù)據(jù)采集和高速率異步運行。除此以外，決策層還負責管理通信拓撲，開始或終止信息交換的時間序列。

當新微云接入智能電網(wǎng)時，決策層會在數(shù)據(jù)庫中定義一個相應的實例。當新微云的監(jiān)控單元和網(wǎng)關(guān)單元被自身標識符定義之后，新微云的初始化設(shè)置即可開始，隨后對新微云所需的環(huán)境，如通信拓撲、存儲、文件系統(tǒng)屬性等進行具體定義。值得一提的是，如果多個相同的微云結(jié)構(gòu)分布于不同區(qū)域，同樣需要在決策層逐一定義每個微云單元。定義完成后，系統(tǒng)將對所有微云單元配置并列運行方式，同時以并行方式對微云單元進行檢測和管理。

在監(jiān)控分析階段，雖然在監(jiān)控單元配備了高標準的監(jiān)控設(shè)備，但是在確定輸入數(shù)據(jù)類型、數(shù)據(jù)類型分類和異常值定義三個方面，還需要利用特定的應用程序?qū)⑵浯鎯υ跀?shù)據(jù)庫中。在仿真和優(yōu)化階段，待提取新特性之后再進行持續(xù)性的優(yōu)化處理。

3.2 主要特點

所提基于數(shù)字孿生的智能電網(wǎng)安全評估方案的主要特點如圖5所示。

圖5 數(shù)字孿生智能電網(wǎng)安全評估方案的主要特點

安全評估過程開始于智能電網(wǎng)數(shù)字孿生模型的建立。建模方法可分為兩種：一切從零開始的建模；通過修改現(xiàn)有的數(shù)字孿生模型開始。如果現(xiàn)存的網(wǎng)絡(luò)物理系統(tǒng)已經(jīng)形成正式的規(guī)范，可以在正式規(guī)范的基礎(chǔ)上逐步構(gòu)建起新的數(shù)字孿生模型；若網(wǎng)絡(luò)物理系統(tǒng)缺少正式規(guī)范，就需要提供必要的技術(shù)手段和技術(shù)方法。

作為一種高度復雜的物理網(wǎng)絡(luò)，智能電網(wǎng)吸納了很多以不同方式相互連接的網(wǎng)絡(luò)物理元件，為了建立起精確的智能電網(wǎng)數(shù)字孿生模型，進行網(wǎng)絡(luò)安全評估，則需要花費較高的資金成本。

從簡易性角度考慮，應避免重復使用網(wǎng)絡(luò)物理元件的數(shù)字孿生模型，能夠僅從同一物理設(shè)備的多個實例中獲取相同的響應行為，促進數(shù)字孿生模型的構(gòu)建和安全性能測試的完成。遵循這一基礎(chǔ)性原則，評估方案將建模過程分為兩個階段：首先對電網(wǎng)中的主要網(wǎng)絡(luò)物理元件進行識別和信息交互，構(gòu)建相應的數(shù)字孿生模型；然后，在系統(tǒng)發(fā)生技術(shù)升級或產(chǎn)生安全漏洞時，能夠迅速優(yōu)化方案結(jié)構(gòu)或調(diào)整智能電網(wǎng)中物理設(shè)備的變化信息。當智能電網(wǎng)遭受新的網(wǎng)絡(luò)攻擊時，安全評估依然可以持續(xù)進行，不會因為電網(wǎng)的異變而發(fā)生安全評估的終結(jié)。智能電網(wǎng)安全評估的生命周期如圖6所示。

圖6 智能電網(wǎng)安全評估的生命周期

4 結(jié)語

伴隨智能電網(wǎng)開放式、分散式和邊界模糊化的發(fā)展趨勢，智能電網(wǎng)的異構(gòu)性和潛在安全風險與安全隱患隨之提高。為了適應能源革命發(fā)展的新趨勢，同時提升智能電網(wǎng)的網(wǎng)絡(luò)安全，在結(jié)合數(shù)字孿生技術(shù)和智能電網(wǎng)的內(nèi)涵與應用框架基礎(chǔ)上，提出了一種基于數(shù)字孿生的智能電網(wǎng)安全評估方案。為智能電網(wǎng)的安全評估提供了準確的數(shù)字孿生模型，也為智能電網(wǎng)安全評估的標準化實現(xiàn)提供了理論依據(jù)和方法參考。

數(shù)字孿生技術(shù)在智能電網(wǎng)中的應用仍然處于探索階段，數(shù)字孿生是實現(xiàn)智能電網(wǎng)數(shù)據(jù)安全管理的強有力工具。從發(fā)展的角度看，數(shù)字孿生智能電網(wǎng)是一種受綜合性技術(shù)策略控制的復雜電網(wǎng)，涉及技術(shù)領(lǐng)域范圍廣，對物理對象的依賴程度高。因此，在其產(chǎn)業(yè)化發(fā)展的道路上，既要強調(diào)整體布局、統(tǒng)籌推進、分類開展、協(xié)同運作，又要強調(diào)規(guī)范化實施，形成國家標準和行業(yè)標準體系，提升智能電網(wǎng)數(shù)字孿生模型的通用性，降低研發(fā)成本。