分散型エネルギーリソースアグリゲータ向け二層サイバー攻撃検知

本論文は、分散型エネルギーリソース(DER)アグリゲータ内に実装された二層サイバー攻撃検知(DTCD)アルゴリズムを提案する。このアルゴリズムは、DER統合配電システム内のサイバー層と物理層の両方でサイバー攻撃を検知する。第一層のサイバーフィルタ(CF)は、ルールベースのサイバーチェックにより、TCPフラッド、SYNフラッド、ポートスキャン攻撃などのプロトコルレベルのDoS攻撃と、タイムスタンプベースのFDI異常を検知する。第二層の電圧異常検出器(VAD)は、物理ベースの勾配ブースティング機械(GBM)二重融合モデルを適用し、観測されたバス電圧偏差が予測される負荷または太陽光発電(PV)の変化で説明できるかどうかを評価することで、イベント駆動型のFDI攻撃を検知する。このアルゴリズムは、PNNL powerNETサイバーフィジカルテストベッド上のIEEE 123バスモデルとDNP3通信を用いたリアルタイムハードウェアインザループ(HIL)テストで検証された。CFは、部分的に緩和されたトラフィック条件下で50ミリ秒未満の検出時間で、テストされた4つの攻撃シグネチャすべてを検出した。VADは、6つの攻撃シナリオ、3つの運用条件、4つのテスト日にわたって、0.875のプーリングされたF1スコアと0.802の受信者操作特性曲線下面積(ROC AUC)を達成した。VADの分析完了時間は平均2363ミリ秒で、サブSCADAタイムライン内である。二層比較研究では、DTCDのサイバーチェックと物理ベースの層が、第一層の暗号化およびシグネチャベースの侵入検知アプローチや、第二層のスタンドアロンGBMアプローチよりも優れていることが示された。二層は並列に動作し、DoSおよびFDI攻撃に対して補完的なカバレッジを提供する。CFを置き換えるとタイムスタンプ異常が見逃され、VADを置き換えるとFDIのF1スコアが低下する。結果は、提案されたアルゴリズムが暗号化防止策を検知層として効果的に補完し、アグリゲータレベルのパケットスクリーニングを通じてレガシーデバイスのサイバーセキュリティカバレッジを提供でき、サブSCADA運用ウィンドウ内で分析を完了することを示している。