Использование цифрового двойника для обнаружения киберугроз в системах управления интеллектуальными энергосетями

Аннотация

Цифровая трансформация энергетического сектора, сопровождающаяся повсеместным внедрением интеллектуальных сетей, расширяет поверхность кибератак и повышает уязвимость критически важной инфраструктуры. Традиционные системы безопасности, основанные на сигнатурах, статических правилах, а также на текущих реализациях методов машинного обучения, демонстрируют ограниченную эффективность против новых типов угроз, а их верификация на реальных объектах сопряжена с неприемлемыми рисками. В статье представлен и экспериментально апробирован интегрированный адаптивный фреймворк на основе цифрового двойника (ЦД), направленный на повышение результативности обнаружения киберугроз в системах управления интеллектуальными энергосетями. Фреймворк включает формализованную математическую постановку задачи обнаружения с учетом трех ключевых показателей: полноты (Recall), доли ложных срабатываний (FPR) и совокупного времени реакции (TTR), а также целевую функцию для их совместной оптимизации. Ключевым элементом фреймворка является контур адаптации с обратной связью по метрикам качества, управляемый трехуровневым механизмом (оперативный, тактический, стратегический режимы): результаты работы системы обнаружения угроз на реальном объекте используются для автоматического запуска процедур дообучения, оптимизации или генерации новых сценариев в безопасной виртуальной среде ЦД. Цифровой двойник формализован как кортеж взаимосвязанных моделей физических процессов, коммуникационной инфраструктуры, логики управления и базы знаний об угрозах, что позволяет учитывать многоуровневую архитектуру интеллектуальных энергосетей и специфические протоколы (МЭК 61850, Modbus). Экспериментальная валидация на синтетическом наборе данных, имитирующем работу АСУ ТП, подтвердила применимость концепции: использование синтетических данных, генерируемых в среде ЦД, позволило снизить частоту ложных срабатываний на 6,4% по сравнению с обучением на статичных данных, а активация адаптационного механизма способствовала сокращению совокупного модельного времени реакции на инциденты на 3,82%. Расчет комплексной целевой функции показал снижение обобщенного показателя качества на 16,8% после адаптации. Предложенный подход вносит вклад в решение проблем дефицита представительных данных и ограничений безопасного тестирования и может рассматриваться как шаг к реализации парадигмы «безопасность через проектирование» в энергетике. Полученные результаты представляют собой доказательство реализуемости концепции и обосновывают необходимость дальнейших исследований для промышленного внедрения, включая проверку на реальных промышленных сценариях.

Abstract

The digital transformation of the energy sector, accompanied by the widespread deployment of smart grids, expands the cyber attack surface and increases the vulnerability of critical infrastructure. Traditional signature-based security systems demonstrate limited effectiveness against emerging threat types, while their verification on operational facilities entails unacceptable risks. This paper presents and experimentally validates an integrated adaptive framework based on a Digital Twin (DT), aimed at enhancing the effectiveness of cyber threat detection in intelligent power grid control systems. The framework includes a formal mathematical formulation of the detection problem considering three key metrics: Recall, False Positive Rate (FPR), and Total Time to Respond (TTR), together with a loss function for their joint optimization. The key element of the framework is a closed‑loop adaptation governed by quality metrics, driven by a three‑level mechanism (operational, tactical, and strategic modes): the performance results of the threat detection system on a real‑world facility are used to automatically trigger incremental training, optimization, or generation of new scenarios within the secure virtual DT environment. The digital twin is formalized as a tuple of interconnected models of physical processes, communication infrastructure, control logic, and a threat knowledge base, enabling the framework to account for the multi‑layer architecture of intelligent power grids and specific protocols (IEC 61850, Modbus). Experimental validation on a synthetic dataset simulating the operation of an industrial control system confirmed the applicability of the concept: the use of synthetic data generated in the DT environment reduced the false positive rate by 6.4% compared to training on static data, while activation of the adaptation mechanism contributed to a reduction in the aggregate model response time to incidents by 3.82%. The computation of the composite loss function showed a 16.8% reduction in the overall quality metric after adaptation. The proposed approach contributes to addressing the challenges of representative data scarcity and constraints on safe testing, and may be considered a step towards implementing the “security by design” paradigm in the energy sector. The obtained results constitute a proof of concept and substantiate the need for further research towards industrial deployment, including validation on real‑world industrial scenarios.