拒绝服务攻击下信息物理系统事件触发广义预测控制

王志文，刘 伟

(兰州理工大学 电气工程与信息工程学院；甘肃省工业过程先进控制重点实验室；电气与控制工程国家级实验教学示范中心，兰州 730050)

随着计算机技术和数据通信技术的不断发展与融合，信息物理系统(CPS)技术应运而生.CPS是由多维异构计算单元和物理系统在网络环境中高度集成与交互而构成的一类新型智能复杂系统[1].该系统将计算资源与物理资源紧密结合、协调分配，实现了系统对物理环境的实时感知和动态分布式控制.CPS因具有结构灵活、低成本和高效性等诸多优点而被广泛应用于工业过程控制等领域，但是其设备智能化、通信网络化等特性，也使得CPS易成为网络攻击的目标.拒绝服务(DoS)攻击出现的频率最高，也最难以防范，其本质是阻止物理系统量测或控制信号的实时传输，致使控制信号更新不及时以及不完整，进而导致控制品质下降甚至失稳.随着网络规模的扩大，用户对系统安全性和稳定性的要求也随之上升，信息物理系统的安全问题受到学者的广泛关注.

关于DoS攻击引发的安全问题和DoS攻击建模问题已被广泛研究.与一般的数据丢包问题不同，由DoS攻击带来的通信故障问题通常不服从某一类概率分布[4]，这给控制系统的分析和设计带来了新的挑战.文献[2]研究了一类单输入系统下周期DoS攻击问题，并给出了应对已知攻击周期上界DoS攻击的极点配置方法.进一步，文献[3]针对多输入连续控制系统下DoS攻击问题，给出了已知DoS攻击周期上界时系统的稳定性条件.文献[4-6]研究了几类具有特定随机过程的DoS攻击下系统的安全控制问题：文献[4]研究了伯努利模型DoS攻击下离散系统的LQG最优控制问题；文献[5-6]则研究了马尔可夫模型DoS攻击下系统的风险敏感控制问题和弹性控制问题.在实际情况下DoS攻击通常不会遵循某种特定的规律.为了更简洁地描述DoS攻击的行为，文献[7-8]从攻击频率和持续时间对随机DoS攻击来进行约束：文献[7]提出了一种保证网络化控制系统输入状态稳定的弹性控制策略；文献[8]提出了一种动态的事件触发策略，并证明了其有效性.在文献[9-10]中，作者从攻击者的角度研究DoS攻击，并描述了使得攻击收益最大化的DoS攻击调度策略.为了进一步描述DoS攻击者与CPS控制策略的交互性，许多学者从博弈论的角度进行了相关研究：文献[11]中，二者的交互被看作零和博弈，考虑了二者的纳什均衡策略；文献[12]分别从攻击者和防御者两个角度分析了带有未知策略的不完全信息博弈均衡解，并比较完全信息情况，设计了基于卡尔曼滤波的预测控制器.现有文献主要对特定攻击类型的DoS攻击进行了一定的研究，但对CPS自身特性和DoS攻击与控制策略交互性的研究存在一定的局限性.

综合上述文献中的相关研究成果和不足，本文建立了基于事件触发预测控制的离散时间线性网络控制系统.对于表征DoS攻击信号的问题，现有研究中通常假设DoS攻击服从一类概率分布.然而，在存在智能干扰器的情况下，DoS攻击难以满足相应的统计特性，并且防御者也难以获取准确的统计信息.为了缩短理论研究与工程应用之间的差距，本文选取随机DoS攻击模型，从能量受限的角度去设计DoS攻击模型，得到了攻击的最大步长.在系统受到攻击时，为了避免因数据无法传输而造成的系统性能下降，设计了一种基于广义预测控制的数据补偿策略，并同时结合事件触发机制，减少网络信道上数据传输量，降低通信网络负荷.在对受攻击的系统状态进行分析时，将系统描述为一个切换系统，并建立了系统闭环稳定性条件.

1 问题描述

如图1所示为离散时间线性不变系统，在其控制系统中，传感器到控制器之间的通信线路为网络通信线路，而网络攻击即发生在此网络信道中.攻击发生时，网络通道上被视为系统状态信号完全无法传输.

图1 系统结构示意图Fig.1 Diagram of system structure

在系统传感器节点处采用定周期采样策略，结合事件触发机制来减少网络带宽的占用，并通过广义预测控制算法，在DoS攻击发生时，控制器基于历史状态信息来得出丢失状态信号的预测值，从而主动补偿网络攻击对系统造成的影响.

系统被控对象可被描述为：

x(k+1)=Ax(k)+Bu(k)

(1)

式中：x(k)∈Rn×1为控制系统的状态变量；u(k)∈Rm×1为系统的控制输入；A∈Rn×n，B∈Rn×m.假定系统(A,B) 可控，DoS攻击最长步长为d.

2 离散时间事件触发通信策略

为了减少控制信号在网络信道上的传输量，从而降低通信网络负荷，状态信号只有在满足特定的事件触发条件时才被传输.假定事件触发时刻为ki(i=0,1,2,…)，当系统状态x(ki)在事件触发时刻ki被传输时，下一事件触发时刻ki+1由以下方程确定[13]：

(2)

r∈N+,μ∈(0,1)

网络信道中存在DoS攻击，可能造成部分通信数据未能成功传输的情况.综合事件触发机制和DoS攻击对系统造成的影响，将不同情况下的系统状态进行划分.系统中状态数据的传输示意图如图2所示.

图2 数据传输状态示意图Fig.2 Status of data during transmission

将系统事件触发时刻记为ki.ki时刻时，如果系统未受到DoS攻击，则状态x(ki)被成功传输，将该时刻记为tj(j=0,1,2,…)可得{t0,t1,t2,…}⊂{k0,k1,k2,…}⊂{0,1,2,…}.Δ则为系统采样周期.

3 DoS攻击下的广义预测控制策略

一般在网络系统的预测控制方案中，状态数据x(k)在每个采样周期均被发送，并且周期性地更新控制律.然而，在事件触发控制策略下，只有当满足事件触发条件式(2)时才将状态信息发送到控制器，减少信道资源占用.此外，对于由DoS攻击所造成的数据传输失败从而导致系统性能降低甚至失稳的情况，将介绍一种预测控制算法，对传输失败的数据进行补偿.

3.1 预测控制反馈增益

当tj时刻时，数据被成功传输，预测控制的最优性能指标为[14]

(3)

式中：Q和R为正定对称的加权矩阵；Np和Nu分别为预测范和控制范围，Np≥Nu≥d；x(tj+l|tj)和u(tj+l|tj)分别为基于tj时刻的状态变量和控制输入的测量值而得出的tj+l时刻的状态变量和控制输入的预测值.

由式(1)可得

x(tj+l+1|tj)=Ax(tj+l|tj)+

Bu(tj+l|tj)

(4)

则系统的预测控制方程可写为

X(tj+1)=Apx(tj)+BpU(tj)

(5)

式中：

X(tj+1)=

Bp=

进一步，系统的性能指标函数式(3)可化为

UT(tj)RU(tj)

(6)

式中：

系统的预测控制优化问题可以根据式(3)和(4)化为

(7)

∂J(tj)/∂U(tj)=0时，最优控制输入解为

(8)

从而，在事件触发时刻tj的控制输入为

u(tj)=u(tj|tj)=Fx(tj)

(9)

式中：预测控制反馈增益为

3.2 事件触发机制下数据补偿策略

假设在事件触发时刻ki，状态x(ki)被成功传输，则有ki=tj，如图3所示，在区间[tj,tj+1)内，控制反馈增益为F，即在事件触发时刻ki+s(s=1,2,…,d)，有

图3 相邻成功传输时刻间数据传输状态示意图Fig.3 Data status between two successfully transmitted moments

(10)

并且在区间[ki+s,ki+s+1)内，控制律保持不变.

tj和tj+1为两次相邻的数据信号成功传输时刻，事件触发时刻ki+1等则由于DoS攻击的存在而使信号无法传输.在两次相邻的成功传输时刻 [tj,tj+1) 之间，基于上一次成功传输的状态信息，对未能传输成功的状态进行预测：

x(ki)=x(tj)

(11)

(12)

(13)

j=1,2,…,ki+1-ki-1

(14)

j=0,1,2,…,ki+s+1-ki+s-1

3.3 DoS攻击下事件触发预测控制的闭环控制系统

在反馈控制律式(10)的作用下，控制系统(1)可写为

x(k+1)=Ax(k)+Bu(ki+s)=

(15)

根据式(11)～(14)对预测状态的推导，可得

(16)

因此，闭环控制系统的方程可以写为

x(k+1)=Ax(k)+

(17)

x(k+1)=Πσsx(k)-Ξσse(k)

(18)

式中：

4 系统稳定性分析

本节在闭环系统式(18)的基础上，讨论了事件触发器参数Φ的设计，并分析了系统的李雅普诺夫(Lyapunov)稳定性，给出了系统稳定性条件.

定理1考虑上文所给出的事件触发预测控制系统，对于给定的系统矩阵A和B，常数参数μ∈(0,1)，预测控制反馈增益F，如果存在适当维数的矩阵P>0和Φ>0，使得对于所有σs∈S，都有如下矩阵不等式成立：

(19)

则闭环系统式(18)是渐进稳定的.式中：“*”为矩阵对称项的省略.

证明选取闭环系统的Lyapunov方程为

V(x)=xT(k)Px(k)

(20)

式中：矩阵P为对称正定矩阵.根据事件触发条件式(2)可得，在没有发生事件触发的时间段内，有

eT(k)Φe(k)≤μxT(k)Φx(k)

(21)

结合式(20)和(21)，可得

ΔV=V(x(k+1))-V(x(k))=

xT(k+1)Px(k+1)-xT(k)Px(k)≤

xT(k+1)Px(k+1)-xT(k)Px(k)-

eT(k)Φe(k)+μxT(k)Φx(k)=

P[Πσsx(k)-Ξσse(k)]-

xT(k)Px(k)-eT(k)Φe(k)+

μxT(k)Φx(k)=

(22)

式中：

根据舒尔(Schur)补定理，如果Ω<0，则线性矩阵不等式(19)成立，同时有ΔV<0.根据Lyapunov稳定性定理，闭环系统是渐进稳定的.

5 数值仿真分析

考虑如下的离散时间控制系统：

x(k+1)=Ax(k)+Bu(k)

通过LMI工具箱求解线性矩阵不等式(19)可得

则在DoS攻击下，具有事件触发预测控制的系统仿真结果如图4所示.红色曲线x′为无预测控制下系统受DoS攻击时的状态曲线，在该情况下系统受到DoS攻击时，系统状态信号视为丢失.蓝色曲线x为具有预测控制的控制系统受DoS攻击时的状态曲线，该情况下系统受到攻击时，则采用预测控制信号实施控制作用.阴影部分表示系统受到DoS攻击的时间段.在给定的DoS攻击下，未采用控制算法的系统已经处于失稳状态.而预测控制算法能明显改善系统状态，使之能抵御一定强度的DoS攻击，增强系统安全性能.

图4 系统状态响应曲线Fig.4 Simulation result of response of system status

系统受攻击状态下的时间触发示意图如图5所示，其中：数值1为事件触发状态，数值0为事件未触发状态.结合图4可得，在系统状态变化较快的时间段内，事件触发次数也明显较多，从而使系统能够迅速恢复稳定状态，而在系统状态较为平缓的时间段内，事件触发次数较少，从而减少了通信信道上的数据传输量，降低了网络系统的负荷，增加了系统的安全裕度.

图5 事件触发状态示意图Fig.5 Status of event-triggered generator

根据仿真结果可以看出，在系统受到有限强度DoS攻击的情况下，文中所设计的预测控制算法对系统状态有良好的优化作用，能在一定程度上实现对系统的安全控制.

6 结语

本文针对CPS在传感器到控制器的网络线路上受到DoS攻击时如何确保系统性能的安全问题，并结合已有相关建模方式及实际情况，设计了一种事件触发广义预测控制算法，使得在减少网络信道数据传输量的同时，基于历史状态信息得到了缺失状态数据的预测值，从而补偿了丢失的状态信号，降低了攻击对系统造成的不良影响，并分析了系统的稳定性.最后，本文通过一个CPS仿真实例验证了该方法的有效性.