基于元胞自动机的电力信息物理系统连锁故障仿真分析

杨嘉湜， 黄 林， 刘 捷， 宋 航， 刘俊勇， 刘友波

(1. 国网四川省电力公司信息通信公司， 四川 成都 610061；2. 四川大学电气信息学院， 四川 成都 610065)

1 引言

基于先进IT技术，智能电网相对于传统电网而言，其传感器、决策单元的数量大大增加，对应的信息网络规模也将空前庞大。现代电网将时刻依赖于信息层的实时感知与控制，这就必须依靠具有强大运算能力、高可靠性的现代通信技术以及智能控制技术深度协作的新一代大型智能监控系统，随之信息物理系统(Cyber-Physical System，CPS)概念被引入电力系统。CPS即通过3C(Computing，Communication，Control)技术有机融合与深度协作实现大型工程系统的实时感知、动态控制和信息服务。电力CPS的提出与发展为促进物理一次系统与电力信息系统的深度融合并为最终实现电网智能化提供了新的思路与途径。

电力系统与信息网络高度有机融合后，信息系统的强大功能为电网运行提供了更为智能的技术保障。但值得注意的是，信息节点失效所诱发的后果也将更加严重。虽然现阶段我国电网调度运行主要基于较封闭的调度数据专网，且实现了严格的网络分区、物理隔离等安全技术，很大程度上提高了电力系统应对网络攻击的能力。但随着国内电力系统的保护、控制水平的不断提高，对信息网络可靠性的依赖也日益增加，即使无恶意攻击，链路故障等造成的信息环节失效也可能诱发电网运行风险[1]。因此，电力CPS的故障分析不仅局限于传统电力系统的故障分析，信息网络的风险评估也是耦合系统安全评估的重要环节。电力CPS的故障分析需要在考虑电力系统本身物理故障和信息网络数据故障的基础上，同时考虑两个系统间的交互影响。可见，两系统的耦合问题亟待研究，实现信息-物理系统的耦合建模并分析信息环节失效所参与的CPS连锁故障是十分必要的。文献[2]结合OPA模型的快动态过程和隐性故障,提出了一种信息网和电力网交互连锁故障模型。文献[3]结合电力支路停运概率,建立了考虑通信影响的电网连锁故障发展路径风险评估模型。文献[4]提出一种基于改进攻击图的量化评估方法来准确评估各类跨空间连锁故障对电力信息物理系统的危害性。

基于上述背景，本文将在文献[5]的基础上继续采用元胞自动机理论，进一步对电力CPS连锁故障进行分析。为便于演示CPS的风险传播并简化分析，本文选取标准IEEE 30节点模型，搭建对应的29×29信息网络拓扑。在不考虑复杂链路流量平衡约束条件以及信息元胞具体故障事故的情况下，采用一对一CPS耦合模型进行仿真，并最终输出相应时刻电力系统的故障规模以及可视化故障分布情况。最后在此基础上，对比分析不同仿真场景下的故障概率、故障规模以及故障扩散速率，以此对电力CPS的故障预防、诊断提供可行性建议。

2 电力CPS的风险故障概述

2.1 电力CPS与传统电网的故障区别

与传统电力系统相比，电力CPS为智能电网的可靠安全运行提供了强大的技术保障。但不可忽略的是，在电力一次系统与信息系统紧密结合后，面对海量的信息采集、传输及处理过程，高级信息技术的引入与广泛应用对电网的安全稳定运行带来诸多潜在隐患，这使得信息系统失效所诱发的后果也将更加严重。

电力CPS故障远比传统电力系统故障复杂得多，其不仅包含电力系统本身的故障传播，还要在涉及信息网络故障的基础上考虑两个融合系统的交互影响。例如，某电站的监控设备突然失效就可能会在某特殊时刻(电网故障或检修等)诱发CPS的连锁反应；当某条电力线路故障时信息系统中对应的一条通信线路恰好出现传输数据的堵塞、丢包或延时等情况，控制层因无法及时获取电网运行状态，保护开关可能无法正确动作而导致电网连续跳闸；若信息网络数据故障仍无改善，诱发的风险就将在融合系统中交互传播，CPS故障进一步迅速扩散。近年来，由于CPS信息层故障导致电力系统事故的案例层出不穷，例如，因状态估计功能退出运行导致调度人员失去对电网实时状态的感知能力，最终导致了美加814大停电事故；2015 年末乌克兰电网遭受网络攻击，能量管理系统(Energy Management System，EMS)因此失效并最终导致供电中断，成为历史上首次由于信息攻击引发的大规模停电事故[6]。可想而知，未来电力CPS在成为工业控制系统和关键基础设施的核心后，其安全运行将直接关系到国家的经济和社会稳定[7]，而上述问题必将更加突出、险峻。

2.2 信息物理融合系统的故障特征

电力CPS中信息系统的理论基础是离散数学，由事件所驱动；电力系统的理论基础是连续数学，建模方法一般是代数方程组和微分方程组。只有将连续性与离散性有机结合后，才能在分析两大系统各自故障的基础上进一步分析其交互影响。可见，融合系统的统一建模理论是电力CPS研究的核心。

未来电力CPS中，深度融合的信息空间和电力空间将存在广泛的交互，而电网中远程终端单元(Remote Terminal Unit，RTU)、馈线终端单元 (Feeder Terminal Unit，FTU)、继电保护装置以及智能电表等就是信息网络和物理网络最为重要的交互接口。一方面这些终端设备将采集的各元件信息数据汇总于分布式计算设备，然后经整合分析，再上传至控制中心进行优化计算以制定对应的控制方案；另一方面，终端设备也接收来自上层系统的控制命令而动作，以实现对电力系统的控制(如增减发电机出力、调节变压器分接头等)。可见，若信息空间的安全风险影响物理空间，那么这些终端设备就是其扩散的直接路径。信息链路的传输故障(数据延时、丢包、中断等)和网络攻击会造成信息数据的错误或丢失，很大程度上会使得控制中心无法及时掌握电力系统的真实运行状态，这将直接作用于终端设备，导致其无法正常工作，电力系统故障进一步扩大。总而言之，在故障情况下，信息网故障对电力系统连锁故障起到推波助澜的作用[6]。

3 基于元胞自动机理论的电力CPS连锁故障传播建模

3.1 元胞自动机理论

自然界中的诸多复杂结构和过程，归根到底只是由大量基本组成单元的简单相互作用所引起，元胞自动机(Cellular Automata，CA)是主要研究由小的计算机或部件，按邻域连接方式连接成较大的、并行工作的计算机或部件的理论模型。近年来其主要用于研究复杂系统的演化过程，该理论能在离散的时间维上对系统的演化进行仿真，已广泛应用于信息科学、社会学、地震研究等领域[7]。

元胞自动机可用一个四维组表示：

C=(L,N,S,R)

式中，C表示一个元胞自动机系统；L表示元胞空间；N表示各元胞的邻接元胞，在电力CPS中不仅指存在电力线路连接的元件，同时包括通信上相连的元件；S表示各个元胞的状态；R表示元胞之间的状态转化规则，即某个元胞在下一时刻是保持上一时刻的状态还是改变为相对状态。

3.2 电力CPS的元胞化

按电力CPS物理层和信息层两大系统，将其包含的所有元件分为物理元胞和信息元胞，以此建立物理元胞自动机模型和信息元胞自动机模型。其中物理元胞包括发电机、变压器、输电线路、负载等电力一次系统元件，信息元胞包括分布式计算设备、监控测量设备、继电保护设备等。两类元胞都存在正常和故障状态。定义t时刻的物理元胞状态矩阵Sp(t)和信息元胞状态矩阵Sc(t)，矩阵元素0表示正常状态，1表示故障状态。

考虑到未来智能电网中各种信息终端设备一般都采用独立电源供电，物理设备故障退出运行并不会导致信息系统的供电故障，信息终端设备的可靠性较高。所以进一步简化模型，假设电力CPS物理层与信息层的故障传播不是双向的，而只是信息元胞故障向物理元胞的单向传播。信息元胞和物理元胞的状态转换如图1所示。

图1 信息元胞和物理元胞的状态转换Fig.1 State transition diagram of information cells and physical cells

3.3 电力CPS连锁故障传播建模

物理电力系统运行已经发展出完善的安全分析体系，基本思路是首先对物理电力系统进行建模，在此基础上以潮流计算、稳定计算、故障计算等为基础，研究在预想故障集下评估电力系统的各项安全指标[6]。

由于电力系统继电保护装置的作用，瞬时性故障的物理元胞可能会在下一时刻自动恢复正常。根据连锁故障产生机理，一个元件失效是否会产生较严重的连锁故障，关键不在于其自身负荷的大小，而在于它失效后是否会引起其他元件过负荷。为简化理论并实现CPS故障传播的耦合建模，本文假设：①电网初始故障为永久性故障；②输电线路传输容量达1.5倍额定有功时线路过载严重，无法维持运行而被立即切除。

定义物理元胞有功功率参数矩阵P=(Pi,j)n×n,其中n为电力网总物理元胞数，每个元胞对应一个具体的电力元件。当i=j时，Pi,j表示节点i注入的有功功率，一般情况下发电机的Pi,j>0,负载的Pi,j<0；当i≠j时，Pi,j表示从节点i流向节点j的有功功率，Pi,j>0表示实际有功流向为节点i到节点j，Pi,j<0表示功率传输方向相反。

针对物理电力系统的故障传播，仿真采用MATPOWER的PQ解耦法在各离散时刻对电力系统进行潮流计算。计算t时刻的网络潮流分布时假设电力CPS初始故障点在t时刻退出运行，若物理元胞在该时刻的承载量超过其自身极限容量，则对应退出运行。在此基础上同时考虑当前时刻信息网络故障跨空间传播的影响，综合计算后更新电网拓扑结构。下一时刻在新的网络拓扑下进行相同的计算分析，以此类推。仅考虑物理系统情况下，在各次潮流计算后判断并更新物理元胞状态，可描述为：

(1)

(2)

针对信息网络建模，考虑到信息节点的保护措施较完善，而信息链路发生故障的概率更大，结合信息链路脆弱性评估模型[8]，假设考虑信息网络的初始故障从链路开始。本文模型暂不考虑复杂的链路流量平衡约束，也不考虑信息元胞故障的具体事故，因为：①信息链路某个节点出现数据中断或堵塞时必然导致与其连接的其他节点的数据故障；②仿真时间很短，可认为信息链路数据中断和延时等造成的后果基本一致，即邻接信息元胞以一定概率出现数据故障。当前时刻的故障元胞在传播下一时刻故障的同时也有一定概率恢复正常，这主要取决于通信设备的物理工艺水平以及当前网络流量状态。在考虑物理一次系统和网络链路传输客观规律的基础上，还需同时考虑到随机事件的影响。综上所述，本文在考虑事件随机性和元胞自愈性的情况下，以故障概率来刻画信息网络故障扩散，以此对电力CPS信息层的故障传播建模。

定义信息元胞风险传递概率矩阵K=(ki,j)m×m,共有m个信息元胞，ki,j表示元胞i在故障状态时下一时刻感染元胞j的概率。故障传播的选择依据有多种，可能是按元胞自身脆弱性选择，可能仅与信息网络拓扑有关，也可能是按元胞失效后对电力系统的影响程度来选择。根据文献[5]的定义，信息元胞风险传递概率ki,j可表示为：

(3)

式中，Ni表示信息元胞i的邻接元胞，即存在通信链路的所有信息节点总和；λj和λk分别表示信息元胞j和k的安全漏洞利用难度系数。

对于信息空间的任何一个元胞j，它在t+1时刻的状态Sj(t+1)取决于其上一时刻自身状态Sj(t)以及邻接元胞的状态。针对信息网络的离散特性，假设在每一个仿真的离散时间间隔内，故障元胞i都将以ωj(t+1)的概率向邻接元胞j传播故障；故障受体元胞由于本身存在安全机制保护，所以元胞可能成功抵抗感染，只有以一定概率α被成功感染后才会出现故障；在传播故障的同时，元胞i又能以一定概率βi恢复正常。

(1)在t+1时刻，信息元胞j的所有邻接元胞都不向元胞j传递故障的概率ωj(t+1)为：

(4)

式中，Nj表示信息元胞j的邻接元胞；Si(t)为元胞i在t时刻的状态。

(2)信息元胞j在t+1时刻被传递故障的概率pj(t+1)为：

pj(t+1)=1-ωj(t+1)

(5)

(3)为简化分析，取α为对应元胞的安全漏洞利用难度系数，即信息元胞j在t+1时刻被成功感染的概率qj(t+1)为：

qj(t+1)=pj(t+1)·λj

(6)

(4)考虑元件的自愈性以及事件随机性，引入信息元胞自愈系数β和随机系数r,且β，r∈[0,1]。其中，自愈系数β取决于元胞所对应元件的生产工艺水平。可参考文献[8]中对元件物理收益的评级与赋值标准，即工艺水平越高，元件恢复正常的概率越大，β就越趋近于1。由文献[5]可知：

(7)

(8)

电力CPS中电力网与信息网常见的耦合方式有一对一、一对多、多对多，其耦合方式和耦合强度将直接影响交互系统的连锁故障行为[9]。其中电力CPS一对一简化耦合模型如图2所示。

图2 电力CPS简化一对一耦合示意图Fig.2 Simplified one to one coupling diagram of power CPS

为简化仿真分析，假设：①物理元胞与信息元胞一对一关系耦合；②耦合强度越大，信息层向物理层跨空间故障传播概率γ越大。规定耦合强度分为极高、高、中、低、无耦合五类，对应γ取值为0.9、0.7、0.5、0.3、0。综上所述，电力CPS物理元胞在t+1时刻的状态可描述为：

(9)

(10)

4 仿真流程

结合第3节的内容，本文所采用的基于元胞自动机理论的电力CPS连锁故障的仿真流程如图3所示。仿真算法的计算过程主要分为以下步骤：

(1)初始时刻首先检测物理层的故障情况，故障的物理元胞首先被隔离，此时信息层随机产生初始信息元胞故障，并于该时刻向相邻信息元胞传播故障。

(2)同一时刻信息层故障风险向物理层进行扩散，故障信息元胞启动自愈模式。

(3)下一时刻计算全网潮流分布，切除严重过载线路，同时未自愈成功的信息元胞继续感染其邻接信息元胞。

(4)电力网拓扑更新，输出本时刻电力CPS的故障情况，并按步骤(2)、步骤(3)的内容进行再下一时刻的迭代计算，直到提前结束流程或仿真无法收敛时算法结束。

图3 电力CPS连锁故障仿真流程Fig.3 Simulation process of power CPS cascading failure

5 算例分析

文献[5]采用了3机9节点模型，其不足在于该系统的信息网节点太少，信息网络拓扑过于简单，不能准确模拟信息层面的故障传播及交互过程。为了便于演示CPS的风险传播并简化分析，本文选取MATPOWER自带的标准IEEE 30节点模型进行仿真，研究分析电力CPS与传统电网风险故障传播特性。

系统拓扑如图4所示。G1、G2、G13、G22、G23、G27表示发电机；带方向的箭头表示各电站管辖的综合负荷，用L2、L3、L4、L7、L8、L10、L12、L14、L15、L16、L17、L18、L19、L20、L21、L24、L26、L29、L30表示，其中L2、L23代表的功率与G2、G23合并，即只考虑母线注入功率；T4,12、T6,9、T6,10、T27,28表示母线4-12、6-9、6-10、27-28之间的变压器。

图4 IEEE标准30节点网络拓扑Fig.4 IEEE standard 30-node network topology

未来电力CPS的数据采集设备(电源管理单元、传感器、嵌入式数据采集设备)将是新一代智能整合设备，本文假设为智能监控单元；电力CPS需要实时处理海量信息，每个电力子网一般都设有基于网格计算或云计算的分布式计算设备[10]，假设为区域分布式计算主机M。IEC61850标准[11]是基于通用网络通信平台的变电站自动化系统唯一国际标准，是未来变电站通信的基础，根据该标准假设相关变电站之间存在通信链路。所以，针对本信息网络作出如下假设：

(1)每个发电机、变压器、负荷都受一个智能监控单元监控，它们通过通讯网络互联并同时与一个区域分布式计算主机M连接。

(2)系统中相邻母线上的变电站负荷之间存在通信链路，各发电机与其所连母线的相邻母线负荷间存在通信链路，同时G1和G2之间存在通信链路。

(3)各变压器与其所连两端母线的相邻母线上的发电机和负荷之间存在通信链路。

(4)各仿真场景下的信息元胞自愈系数βi统一为一个定值β。

综上所述，用L29×29矩阵表示IEEE30节点标准模型的信息网络拓扑，如式(11)所示：

式中，0表示元胞间无通信链路；1表示存在通信链路。

由式(11)可见，G1作为该系统的平衡节点不可或缺，M主机担任该区域系统的控制中心，T4,12、T6,10所连接子网更为复杂，所以它们的重要度相对更高，其安全措施也更加完善，即安全漏洞利用难度系数更低。因此按照重要元件选择低安全漏洞利用难度系数的原则，假设各元件的安全漏洞利用难度系数分别为：G1、M主机为0.35，G2、T4,12、T6,10、L10、L12、L15为0.61，其余为0.71。

6 仿真结果分析

仿真结果将从初始故障、故障时间、耦合强度、信息元胞自愈系数四方面建立多个场景，输出各种情况下的故障情况以及可视化的故障规模。定义t时刻对应的电力空间故障规模M(t)以及故障概率K(t)分别为：

(12)

(13)

式中，Nf(t)表示t时刻的故障物理元胞数量；N0表示初始物理元胞总数量；If(t)表示t时刻M(t)>0的仿真次数；I0(t)表示t时刻的总仿真次数。

本模型包括30个母线节点、37条输电线路、4台变压器，共有71个物理元胞，即N0=71。假设M≥40%或仿真计算无法收敛时，电力系统瘫痪瓦解。为不失一般性，取各场景的30次仿真结果的平均值为准，即I0(t)=30。

6.1 不同初始故障的仿真结果

限定自愈系数β=0.5，耦合强度为中(γ=0.5)，仿真时间持续5个时刻。分别假设初始故障情况为：

(1)信息网中某一条信息链路故障(发电机、变压器、变电站的智能监控设备G*、T*、L*以及M主机所连信息链路)。

(2)信息网中某两条信息链路故障，电力系统无初始故障。

(3)物理系统出现一处电力故障(发电机G、变压器T或输电线路L故障)，信息网无故障。

(4)物理系统两处电力故障，信息网无故障。

(5)物理系统和信息系统同时有一处故障。

(6)物理系统和信息系统同时有两处故障。

不同初始故障下的电网故障规模如图5所示。可见，不考虑自动重合闸作用，在5个仿真时刻后，物理电力系统单侧故障的故障规模固定；信息层的单侧故障所引发的最坏后果更为严重，但同时也有较大几率使得最小故障规模Mmin=0，即电网无任何影响仍保持正常稳定运行。可以看出监控主机故障下的平均故障规模Mave要比某台发电机的智能监控设备故障时小，但故障概率却较大，仿真结果表明可达46.7%，原因可能是监控主机向邻接元胞传播故障的概率ki,j更小，更多情况下信息空间会自动恢复正常。若信息层与物理层同时存在初始故障时，一般情况下都会有某个最小故障规模(Mmin≠0)，当两系统都是单个故障时Mmin<5%，电网仍能正常运行一段时间；故障数量一旦增加，平均故障规模Mave将迅速扩大，且最大故障规模Mmax扩大更为明显。不难发现，只要考虑了信息节点故障，电网故障规模都有一定概率达到35%以上，掺加电力元件故障后对电网最大故障规模影响不大，但会显著提升平均故障规模，很大程度上增大连锁故障发生的概率。

图5 不同初始故障下的电网故障规模Fig.5 Power grid fault scale under different initial faults

6.2 不同故障时间的仿真结果

限定治愈系数β=0.5，耦合强度为中(γ=0.5)，初始故障情况为发电机G13的监控设备故障，同时输电线路L12-15出现短路而跳闸。分别仿真以1个时刻为步长的前15个时刻的故障情况，取30次故障情况的平均结果为准，结果如图6所示。

图6 不同故障时间的电网故障规模Fig.6 Power grid fault scale with different fault duration

显然，随着仿真时刻增大即故障时间的延长，故障规模将增大，且逐渐呈饱和趋势，最终在某个数值上下稳定地小幅度波动。由图6可见，故障在前3个时刻迅速扩散，在第5个时刻后基本保持不变。

图6的结果也可从输出的可视化故障分布中得到,前10个时刻的最大故障规模可视化分布情况如图7所示，具体数据如表1所示。可见在最坏的情况下，第一个时刻因线路过载将有11条线路退出运行，此时支路L12-15也因信息网故障而退出运行，共同作用下故障规模仅用两个时刻就达到39.44%，电网面临崩溃，即将瓦解；在持续3个时刻后最终故障规模升为42.25%，此时电网中共有28条支路被切断，电网瓦解，发生大面积停电事故。即便在最乐观的情况下，故障规模M也将在4个时刻后达到22.54%，电网在解列情况下也只能维持有限时间。

图7 前10个时刻最大故障规模的可视化分布情况Fig.7 Visual distribution of maximum fault size at first 10 moments

时刻t+0t+1t+2,t+3t+4～t+10M(%)1.4118.3139.4442.25

6.3 不同耦合强度的仿真结果

图8 不同耦合强度的电网故障规模Fig.8 Power grid fault scale with different coupling strength

限定治愈系数β=0.5，初始故障情况为发电机G22及监控主机M故障，分别在γ=0, 0.3, 0.5, 0.7, 0.9的情况下进行10个时刻的仿真，结果如图8所示。可以看出，耦合强度主要在故障前期影响连锁故障的扩散，而在故障后期作用不大，此时故障规模已基本成型。在无耦合到高耦合强度之间，随γ增大故障规模M小幅度增加，而在耦合强度非常高的情况下，M增加的幅度有所提升。

在故障前期γ=0.5较γ=0和γ=0.3的故障规模更小、故障扩散速度更慢，其原因可能是此时虽然信息系统的风险传递更加容易，但可能正是因为如此才使得物理层中潜在的关键故障设备被尽快隔离，从而间接抑制后续故障的传播。这说明电力CPS需避免两个系统的过度耦合，应通过大量考察、研究来确定某电力CPS的最佳耦合强度区间。

6.4 不同信息元胞自愈系数的仿真结果

限定耦合强度为中(γ=0.5)，初始故障情况仍为发电机G22及监控主机M故障，分别在β=0.8, 0.6, 0.4, 0.2, 0时进行15个时刻的仿真，仿真结果如图9所示。

图9 不同信息元胞自愈系数的故障规模Fig.9 Power grid fault scale with different cellular self-healing coefficients

可见在t+5时刻前，自愈系数越大故障规模越小，但差异不大，且故障扩散速度基本相同；在t+5时刻之后，自愈系数的影响变大，不同自愈系数下的故障规模差异明显扩大；自愈系数越大，达到最终稳定故障规模的时间越长，但最终都趋于稳定饱和状态。这说明应用通信网自愈技术例如四纤自愈环技术[12]等能有效缓解故障中期的故障扩散，并延长最终故障时间。

7 结论

即使没有外界网络的恶意攻击，链路流量故障引发的信息环节失效也可能导致电网运行风险，甚至很大程度上促使电网连锁故障反应。考虑对电力信息-物理系统的融合建模的重要性，以及研究信息环节失效所参与的CPS连锁故障的必要性，本文采用元胞自动机原理，对文献[5]作进一步改进，初步研究了电力CPS连锁故障特征并得出以下定性结论：

(1)电力CPS信息层故障所引发的最坏后果要更为严重，而电力元件故障后对电网最大故障规模影响不大，但会显著提升平均故障规模，很大程度上增大连锁故障发生的概率，所以应重点防范信息节点的失效，同时避免两个系统同时发生故障。

(2)随着故障时间延长，故障规模将增大，且逐渐呈饱和趋势，最终在某个数值上下稳定地小幅度波动；前期故障将迅速扩散，所以故障前期是防范的关键。

(3)应避免电力CPS物理、信息系统的过度耦合，应结合大量考察与研究来确定某个电力CPS的最佳耦合强度区间。

(4)应用通信网自愈技术能有效缓解故障中后期的故障扩散，并延长电网达到最终故障规模的时间。

在本文基础上，可进一步分析无功电压特性作用下的CPS连锁故障情况，也可同时考虑电网运行经济性与安全性因素，进行协调仿真，使研究结果更具实际意义。