Diseño de un Sistema tolerante a Ciberataques mediante Control Predictivo Basado en Modelo
Abstract
La ciberseguridad se presenta como uno de los aspectos más importantes en la mayoría de los procesos informáticos de la actualidad, siendo la variedad de los ciberataques cada vez más extensa y compleja. Es por ello por lo que, la investigación y desarrollo de programas y algoritmos los cuales sean capaces de detectar estos ataques se ha convertido en un pilar fundamental y necesario para velar por la seguridad de todo aquel equipo, red o sistema que pueda ser objeto de este tipo de delincuencia. El objetivo de este proyecto es la simulación de ciberataques y comprobación del funcionamiento de métodos de detección que puedan ser eficaces para este tipo particular de actos ilícitos. Para ello se trabajará sobre una microrred experimental, la cual se encuentra ubicada en el Centro de Experimentación de El Arenosillo (CEDEA),[1]. A lo largo del documento se desarrollará toda la información necesaria para comprender el funcionamiento de una microrred y los conceptos básicos de los ciberataques. Posteriormente se detallarán los fundamentos teóricos de los métodos de detección y finalmente se realizarán las simulaciones de los ciberataques a distintos elementos de la microrred.
Full text
Sevilla, 2024 Diseño de un Sistema tolerante a Ciberataques mediante Control Predictivo Basado en Modelo Autor: Simón Gutiérrez de Ravé Serrano Tutora: Ascensión Zafra Cabeza Dpto. de Ingeniería de Sistemas y Automática Escuela Técnica Superior de Ingeniería Universidad de Sevilla Trabajo Fin de Máster Máster Universitario en Ingeniería Aeronáutica
Trabajo Fin de Máster Máster Universitario en Ingeniería Aeronáutica Diseño de un Sistema tolerante a Ciberataques mediante Control Predictivo Basado en Modelo Autor: Simón Gutiérrez de Ravé Serrano Tutora: Ascensión Zafra Cabeza Profesora titular Dpto. de Ingeniería de Sistemas y Automática Escuela Técnica Superior de Ingeniería Universidad de Sevilla Sevilla, 2024
Trabajo de Fin de Máster: Diseño de un Sistema tolerante a Ciberataques mediante Control Predictivo Basado en Modelo Autor: Simón Gutiérrez de Ravé Serrano Tutora: Ascensión Zafra Cabeza El tribunal nombrado para juzgar el Proyecto arriba indicado, compuesto por los siguientes miembros: Presidente: Vocales: Secretario: Acuerdan otorgarle la calificación de: El Secretario del Tribunal Fecha:
I Resumen La ciberseguridad se presenta como uno de los aspectos más importantes en la mayoría de los procesos informáticos de la actualidad, siendo la variedad de los ciberataques cada vez más extensa y compleja. Es por ello por lo que, la investigación y desarrollo de programas y algoritmos los cuales sean capaces de detectar estos ataques se ha convertido en un pilar fundamental y necesario para velar por la seguridad de todo aquel equipo, red o sistema que pueda ser objeto de este tipo de delincuencia. El objetivo de este proyecto es la simulación de ciberataques y comprobación del funcionamiento de métodos de detección que puedan ser eficaces para este tipo particular de actos ilícitos. Para ello se trabajará sobre una microrred experimental, la cual se encuentra ubicada en el Centro de Experimentación de El Arenosillo (CEDEA),[1]. A lo largo del documento se desarrollará toda la información necesaria para comprender el funcionamiento de una microrred y los conceptos básicos de los ciberataques. Posteriormente se detallarán los fundamentos teóricos de los métodos de detección y finalmente se realizarán las simulaciones de los ciberataques a distintos elementos de la microrred.
III Abstract Cybersecurity emerges as one of the most critical aspects in the majority of current computer processes, with the variety of cyber attacks becoming increasingly extensive and complex. This is why the research and development of programs and algorithms capable of detecting these attacks have become a fundamental and necessary pillar to ensure the security of any equipment, network, or system that may be the target of this type of crime. The objective of this project is the simulation of cyber attacks and the verification of the functionality of detection methods that can be effective for this particular type of illicit activity. To achieve this, we will work on an experimental microgrid, which is located at the El Arenosillo Experimentation Center (CEDEA),[1]. Throughout the document, all the necessary information will be developed to understand the operation of a microgrid and the basics of cyber attacks. Subsequently, the theoretical foundations of detection methods will be detailed, and finally, simulations of cyber attacks on different elements of the microgrid will be carried out.
X Notación 𝑥(𝑡) Valor de 𝑥 en el instante de 𝑡 𝑥(𝑡+𝑘|𝑡) Valor de 𝑥 en el instante 𝑡+𝑘 calculado en el instante 𝑡 𝑥 Valor estimado de 𝑥 𝑥 Error en la estimación de 𝑥 𝐴𝑇 Traspuesta de 𝐴 𝐴−1 Inversa de la matriz 𝐴 𝑒.𝑜.𝑐. En cualquier otro caso 𝑃(𝐴) Probabilidad del suceso 𝐴 𝐸[𝑋] Valor esperado de la variable aleatoria 𝑋 𝜎𝑋 Desviación estándar de la variable aleatoria 𝑋 𝐹(𝑥) Función de Distribución 𝐹−1 Inversa de la Función de Distribución 𝑓(𝑥) Función de Densidad 𝑃(𝑡) Matriz de covarianza del error de una estimación en el instante t 𝐼𝑛 Matriz identidad de dimensión 𝑛 𝐴𝑚𝑥𝑛 Matriz 𝐴 con 𝑚 filas y 𝑛 columnas = Igual que < Menor que > Mayor que ≤ Menor o igual ≥ Mayor o igual 𝑥 Vector de estados
XI 𝑢 Vector de entradas manipulables 𝑦 Vector salidas 𝑑 Vector de perturbaciones 𝑇𝑠 Tiempo de muestreo ∑𝑥 𝑁 𝑖=1 Sumatorio de 𝑖=1 hasta 𝑁 de 𝑥 𝑚á𝑥 𝑥(𝑡) Máximo de 𝑥(𝑡) 𝑚í𝑛 𝑥(𝑡) Mínimo de 𝑥(𝑡) 𝑠.𝑡. Sujeto a 𝑏∙10𝑎 Formato científico
1 1 Introducción 1.1 Situación actual En la era digital actual, nos encontramos sumergidos en una constante conectividad y dependencia de las conocidas como tecnologías de la información y la comunicación (TIC). La abundancia de dispositivos y elementos interconectados ha dado lugar a la formación de microrredes, entornos de sistemas distribuidos formados por generadores y cargas de modo que sea posible abastecerse de manera autónoma mediante la combinación de sistemas de generación tradicionales y de origen renovable, de manera que se gestione la demanda del modo más eficiente posible con vistas a prolongar la vida útil de los componentes, así como un ahorro energético [2]. La utilización y creación de las microrredes hubiese sido inviable años atrás dado el elevado coste de sus componentes y la baja eficiencia de estos, sin embargo, las recientes mejoras en estos elementos han contribuido a que la creación de microrredes sea una realidad viable gracias a: ● Sus beneficios en términos de sostenibilidad medioambiental ● La caída de los costes de las tecnologías de almacenamiento energético y sistemas de generación de energías renovables (paneles solares, aerogeneradores…) ● El desarrollo de sistemas de control inteligente que convierten a las microrredes en entornos inteligentes permitiendo la gestión activa de recargas eléctricas y energía almacenada, reduciendo los costes del suministro eléctrico. El presente trabajo aborda el desafío crítico de la detección de ciberataques que pudieran ocurrir en estas microrredes, para ello se utilizarán algoritmos basados en modelos, los cuales se desarrollarán y explicarán a lo largo de la elaboración de este documento. La seguridad cibernética se ha convertido en una prioridad para la gran mayoría de las empresas hoy día, así como para los usuarios diarios de internet, ya que la elaboración y diversificación de los ataques cibernéticos han ido evolucionando de manera exponencial. No son una excepción las microrredes, con una compleja infraestructura y variedad de dispositivos interconectados, las cuales pueden también sufrir de estos ciberataques, siendo una gran preocupación para los usuarios de estas. Este trabajo se centra en la detección de ciberataques en microrredes, combinando la teoría recopilada en tema de ciberseguridad con las capacidades de los algoritmos basados en modelo con la esperanza de fortalecer la resiliencia de las microrredes en un entorno digital cada vez más afectado por los ataques cibernéticos.
2 1.2 Aplicación práctica del proyecto Una vez introducido el tema principal a abordar, la mejor manera de entender cómo sería la situación real/práctica a la que nos enfrentamos es buscando una aplicación directa de la problemática a tratar. Para ello, se procede a realizar la simulación de los hipotéticos ciberataques sobre una microrred experimental situada en el “Centro de Experimentación De El Arenosillo “(CEDEA), ubicado en Huelva y perteneciente al Instituto Nacional de Técnica Aeroespacial (INTA). La microrred por estudiar está compuesta por un conjunto de placas fotovoltaicas, un aerogenerador, baterías de ácido plomo-litio y de ion litio, un electrolizador, una carga y una fuente de alimentación programables, supercondensadores y un punto de recarga para vehículos híbridos y uno eléctrico. Está controlada por un controlador predictivo basado en modelo (Model Predictive Control, MPC) ([3],[4],[5]), el cual se encarga de controlar los intercambios de potencia entre los elementos que conforman la microrred. El MPC, es un tipo de control clasificado como técnica de control óptimo, basado en un modelo lineal del sistema que calcula señales de control óptimas para enviar al sistema a partir de un estado estimado a lo largo de un horizonte y de las señales de control anteriormente enviadas. 1.3 Ejecución Para el desarrollo de las pruebas y simulaciones se ha partido de un modelo implementado en Simulink®, un entorno de programación visual que funciona sobre el entorno de programación Matlab® (MATri LABoratory) [6] Simulink® es una herramienta de simulación de modelos o sistemas, la cual permite modelar la microrred gráficamente mediante bloques e introducir funciones de Matlab® que se ejecutan en combinación con la simulación del modelo creado en Simulink®. Sobre el modelo original, se realizarán las modificaciones pertinentes, con el objetivo de que las simulaciones realizadas se correspondan con posibles ciberataques a la microrred.
3 2 Microrredes: Funcionamiento y Tipología En la situación actual de búsqueda constante de soluciones sostenibles, las microrredes emergen como elementos clave en la transformación de energía distribuida. Este capítulo se adentra en el ecosistema de las microrredes, tratando de explorar los mecanismos de funcionamiento y tipologías de estas microrredes, las cuales abarcan desde aplicaciones residenciales hasta entornos industriales. El rasgo que distingue a las microrredes es su capacidad para operar de manera autónoma o conectada a la red principal, adaptándose a las demandas específicas de comunidades, instalaciones comerciales y sectores industriales (Figura 2.1). En resumen, en este capítulo se proporcionará una visión general de las microrredes, desde sus fundamentos técnicos hasta su aplicación práctica. Figura 2.1 Modelo general de una Microrred. Fuente [7]
4 2.1 Ecosistema de las Microrredes 2.1.1 Definición y características Las microrredes se definen como sistemas locales de generación, almacenamiento y consumo de electricidad. A diferencia de las redes eléctricas convencionales, las microrredes tienen capacidad de operar de manera autónoma o conectadas a la red principal, aportando flexibilidad y resiliencia ante posibles interrupciones. De entre las características particulares de las microrredes se incluyen la diversificación de fuentes de energía, la integración de tecnologías de almacenamiento (baterías) y sistemas de gestión avanzada. 2.1.2 Importancia en la transición energética En la transición energética las microrredes desempeñan un papel crucial. Su capacidad para incorporar fuentes de energía renovable, como solar o eólica, contribuye significativamente a la reducción de emisiones de carbono y a la creación de sistemas más limpios y eficientes. Además, las microrredes permiten la descentralización de la generación de energía, promoviendo la autonomía local y disminuyendo la dependencia de fuentes centralizadas. 2.1.3 Componentes principales El ecosistema de las microrredes comprende varios componentes interconectados que colaboran para garantizar su funcionamiento de manera eficiente. Entre los elementos clave se encuentran [8]: ● Generación descentralizada: Incorporando diversas fuentes de energía, como paneles solares, aerogeneradores o sistemas de cogeneración, permitiendo una producción adaptada a las necesidades específicas de la microrred. ● Almacenamiento de energía: Utilizando tecnologías de almacenamiento como baterías o sistemas de almacenamiento térmico que sean capaces de gestionar el excedente de energía durante periodos de baja demanda y liberarlo cuando la demanda es alta. ● Gestión inteligente: Implementando sistemas de control avanzados que monitorizan la demanda, ajustan la generación en tiempo real y optimizan el uso de recursos disponibles. ● Redes de comunicación: Facilitando la comunicación entre las diferentes partes de una microrred, permitiendo una coordinación eficaz y la transmisión de datos esenciales para la gestión y control. Estos componentes otorgan la capacidad de adaptarse a variaciones en la demanda, cambios en las condiciones climáticas y eventos imprevistos, consolidando así la idea de que las microrredes son una solución integral en la búsqueda de sistemas energéticos más sostenibles y resilientes.
5 2.2 Funcionamiento de las Microrredes 2.2.1 Operación autónoma frente conexión a la red principal La característica principal de las microrredes es su capacidad para operar tanto de manera autónoma como conectada a la red principal [2]. En el modo autónomo, la microrred es capaz de generar, almacenar y distribuir energía de manera independiente, lo que resulta de extrema utilidad en situaciones de emergencia o en ubicaciones muy remotas en las cuales la conexión a la red principal no sea posible o sea limitada. Sin embargo, la operación de la microrred funcionando conectada a la red principal permite obtener el beneficio de la estabilidad y los recursos adicionales proporcionados por la red global, contribuyendo a la eficiencia y flexibilidad del sistema. 2.2.2 Integración de fuentes de energía renovable Las fuentes de energía renovable (Figura 2.2) constituyen un pilar fundamental en el funcionamiento de las microrredes. La diversificación de estas fuentes, como la energía solar y eólica, no solo reduce la dependencia a los combustibles fósiles, sino que también promueve el uso de una energía más limpia y sostenible. La capacidad de adaptar la generación a las condiciones climáticas locales permite conseguir una producción eficiente. Figura 2.2: Fuentes de energía renovables. Fuente: [9]
6 2.2.3 Gestión inteligente de recursos La gestión inteligente es fundamental para maximizar la eficiencia y la resiliencia de las microrredes. Sistemas de control avanzados supervisan continuamente la demanda de energía, la disponibilidad de recursos y las condiciones operativas [10]. Mediante los datos extraídos por esos sistemas de control, la microrred ajusta dinámicamente la generación y el almacenamiento para satisfacer la demanda en tiempo real. La implementación de algoritmos de optimización y aprendizaje automático facilita a la microrred la toma de decisiones autónomas y la adaptación a patrones de consumo variados, mejorando la eficiencia operativa a lo largo del tiempo, dadas unas condiciones cambiantes según los periodos estacionales del año. 2.3 Tecnologías subyacentes 2.3.1 Sistemas de almacenamiento de energía Los sistemas de almacenamiento de energía son un elemento fundamental para la operación eficiente de las microrredes. Al integrar diferentes tecnologías de almacenamiento, como baterías de iones de litio, sistemas de almacenamiento térmico o tecnologías de almacenamiento de energía mecánica, las microrredes pueden gestionar eficazmente la variabilidad de la generación y la demanda (Figura 2.3). Los sistemas de almacenamiento de energía permiten almacenar la energía en los periodos en los que la demanda es baja con la posibilidad de liberar la energía durante momentos de alta demanda, mejorando así la estabilidad y confiabilidad del suministro [11]. Figura 2.3: Sistema de baterías en una microrred. Fuente: [11]
7 2.3.2 Redes de comunicación en Microrredes Las redes de comunicación son el eje principal que permite la coordinación y el intercambio de información entre los diversos componentes de las microrredes. Utilizando protocolos de comunicación avanzados tales como el internet de las cosas en inglés “Internet of Things” (IoT) y las tecnologías de red inalámbrica, las microrredes pueden recopilar datos en tiempo real sobre la generación, el almacenamiento y la demanda de energía. Esto facilita la toma de decisiones autónoma y la optimización del rendimiento de la microrred [12]. 2.3.3 Automatización y control La automatización y el control avanzado son esenciales para la gestión eficiente de las microrredes. Mediante sistemas de control centralizados o distribuidos que utilicen algoritmos inteligentes, se consigue monitorear y regular tanto la generación de energía como su consumo. La automatización permite una respuesta rápida a condiciones operativas, optimizando continuamente la condición de la microrred. Con la combinación de estas dos tecnologías se consigue que las microrredes puedan operar de manera eficiente y adaptarse a las dinámicas cambiantes del entorno [13]. 2.4 Tipos de Microrredes En el año 2021, se crea la organización “Think Microgrid” la cual tiene como finalidad ser la voz unificada de la industria de las microrredes, destacando el papel que desempeñarán las microrredes en un momento único de la industria [14]. En la página web de la organización se encuentra la siguiente definición de Microrred: “Una microrred es un sistema de energía autosuficiente que sirve a una huella geográfica puntual, como un campus universitario, un complejo hospitalario, un centro de negocios o un vecindario”. Como se puede apreciar el del concepto de microrred es algo muy variado y se pueden encontrar diversas definiciones según la fuente consultada, aun así, la organización “Think Microgrid” realiza una amplia distinción en la tipología de estas microrredes por lo que se ha considerado una buena referencia para hacer ver al lector la gran variedad de casos de microrred que existen actualmente. Se tienen entonces los siguientes tipos de microrred: ● Avanzada: Microrred que utiliza un software sofisticado, controles e inteligencia artificial para gestionar múltiples recursos energéticos. La mayoría de los tipos de microrredes enumerados a continuación podrían configurarse como microrredes avanzadas.
14 • Protección de datos sensibles: Las microrredes pueden involucrar la monitorización y gestión de datos sensibles, como información sobre el consumo de energía, patrones de uso, datos financieros, entre otros. Es crucial implementar medidas de seguridad robustas para proteger estos datos y prevenir accesos no autorizados que puedan comprometer la privacidad de los usuarios y la integridad de la red. • Prevención de intrusiones físicas y cibernéticas: Las microrredes pueden estar compuestas por una combinación de sistemas físicos y digitales. La seguridad no solo se refiere a la protección de los sistemas informáticos y de comunicación, sino también a la seguridad física de los componentes de la red. Esto implica implementar medidas para prevenir el acceso no autorizado a infraestructuras críticas, como subestaciones eléctricas, centros de control, etc. • Integración con la red principal: En muchos casos, las microrredes están conectadas a la red eléctrica principal. Esta conexión introduce posibles puntos de vulnerabilidad que podrían ser explotados por atacantes externos. Es crucial implementar mecanismos de autenticación y cifrado para garantizar la seguridad de las comunicaciones entre la microrred y la red principal, así como para proteger contra posibles intrusiones desde la red principal hacia la microrred. • Mantenimiento de la confiabilidad y calidad del suministro eléctrico: La seguridad en las microrredes también está estrechamente relacionada con la confiabilidad y calidad del suministro eléctrico. Los ataques cibernéticos o físicos pueden afectar la operación normal de la microrred y causar interrupciones en el suministro eléctrico, lo que a su vez puede tener consecuencias económicas y sociales significativas. En resumen, la seguridad en las microrredes es esencial para garantizar la confiabilidad, disponibilidad e integridad de los sistemas de energía distribuida, así como para proteger la privacidad y los datos sensibles de los usuarios. Se requiere una combinación de medidas técnicas, operativas y de gestión de riesgos para mitigar las amenazas y asegurar el funcionamiento seguro de las microrredes. 3.3.2 Vulnerabilidades específicas de las microrredes Las microrredes presentan vulnerabilidades particulares que requieren especial atención en términos de ciberseguridad. Debido a la diversidad de componentes, desde generadores distribuidos hasta sistemas de almacenamiento y dispositivos de gestión, cada uno de ellos representa un posible punto de entrada para un atacante. La interconexión de estos elementos, si no se gestiona adecuadamente, puede amplificar el impacto de los ataques. Además, la operación autónoma de algunas microrredes puede introducir desafíos adicionales al limitar la supervisión directa. Algunas de las vulnerabilidades más relevantes son las siguientes [21]: • Interconexión de sistemas heterogéneos: Las microrredes suelen integrar una variedad de sistemas heterogéneos, como generadores de energía renovable, sistemas de almacenamiento de energía, dispositivos de medición inteligente, sistemas de control de red, etc. Esta diversidad de sistemas puede generar una
15 superficie de ataque más amplia y compleja, ya que cada componente puede tener diferentes protocolos de comunicación y niveles de seguridad. • Comunicaciones inalámbricas y protocolos expuestos: Muchas microrredes utilizan comunicaciones inalámbricas para la monitorización y control de los dispositivos, lo que puede aumentar la exposición a ataques cibernéticos, como el acceso no autorizado, la interceptación de datos y la suplantación de identidad. • Gestión remota y accesibilidad: La capacidad de gestionar y supervisar las microrredes de forma remota puede ser una ventaja en términos de eficiencia operativa, pero también puede introducir riesgos de seguridad significativos. Los sistemas de gestión remota pueden ser blanco de ataques de denegación de servicio (DoS), intrusiones y explotación de vulnerabilidades si no se implementan adecuadas medidas de autenticación, autorización y cifrado. • Dependencia de la red eléctrica principal: Las microrredes conectadas a la red eléctrica principal pueden estar expuestas a vulnerabilidades inherentes de esa red, como ataques cibernéticos dirigidos a la infraestructura de transmisión y distribución, así como a problemas de calidad de energía que podrían ser propagados a la microrred. • Falta de actualizaciones de seguridad: Algunas microrredes pueden estar compuestas por equipos y sistemas más antiguos que no reciben actualizaciones de seguridad regulares o no son compatibles con las últimas medidas de protección cibernética. Esto deja a estas microrredes vulnerables a atawues conocidos y ataques dirigidos. • Factores humanos: Las vulnerabilidades en las microrredes también pueden surgir debido a errores humanos, como la falta de conciencia sobre la seguridad cibernética, contraseñas débiles, acceso no autorizado de personal no autorizado, entre otros. Las vulnerabilidades anteriormente citadas suponen una serie de desafíos específicos en términos de ciberseguridad debido a su naturaleza descentralizada, diversidad de sistemas, dependencia de la red principal y necesidad de gestión remota. Abordar estas vulnerabilidades requiere un enfoque integral que incluya la implementación de medidas de seguridad técnicas, operativas y de gestión de riesgos. 3.3.3 Desafíos en la protección de microrredes Proteger las microrredes implica desafíos en la integración de sistemas heterogéneos, gestión de la complejidad y ciberseguridad. La interconexión con la red eléctrica principal expone a vulnerabilidades. Además, la gestión de datos sensibles es crucial. Abordar estos desafíos requiere medidas técnicas y operativas sólidas, incluyendo protocolos de seguridad robustos, monitoreo constante y respuesta rápida a posibles amenazas. La educación y concienciación sobre ciberseguridad son fundamentales. Garantizar la confiabilidad del suministro eléctrico en microrredes es vital para la resiliencia energética y la protección de infraestructuras críticas en un mundo cada vez más interconectado y dependiente de la energía [22].
16 3.4 Mecanismos de protección y detección 3.4.1 Criptografía y seguridad de la comunicación La criptografía desempeña un papel crucial en la protección de la comunicación en microrredes. La implementación de algoritmos de cifrado robustos garantiza la confidencialidad e integridad de los datos transmitidos entre los diversos componentes de la microrred. Además, la autenticación basada en criptografía verifica la identidad de los nodos de la red, previniendo la entrada no autorizada [22]. 3.4.2 Sistema de detección de intrusiones (IDS) Los sistemas de detección de intrusiones monitorean continuamente el tráfico de red en busca de patrones sospechosos o comportamientos anómalos. En el contexto de las microrredes, los IDS pueden identificar actividades inusuales, como intentos de acceso no autorizado o patrones de comunicación anómalos, activando alertas y respuestas automáticas para mitigar posibles amenazas [23]. El presente trabajo enfocará sus simulaciones de ciberataques implementando un sistema de detección de intrusiones mediante algoritmos basados en modelo, monitorizando la microrred en un periodo de tiempo definido durante el cual se producirán los hipotéticos ciberataques. 3.4.3 Gestión de identidad y acceso La gestión de identidad y acceso controla quién tiene acceso a los recursos de la microrred y qué acciones puede realizar. La autenticación multifactor (MFA) y la gestión de privilegios garantizan que solo los usuarios autorizados tengan acceso a sistemas críticos [24]. Esto reduce el riesgo de intrusiones al limitar el acceso a aquellos que realmente necesitan interactuar con la microrred. La autenticación multifactor es uno de los métodos de gestión de identidad más utilizados actualmente, su funcionamiento consiste básicamente en requerir al usuario alguna verificación adicional de identidad para asegurar que el inicio de sesión o acceso es legítimo (Figura 3.2). Las verificaciones pueden ser variadas, aprovechando que la gran mayoría de usuarios disponen de un dispositivo móvil persona, un sistema de verificación útil es la introducción de un código que es enviado exclusivamente al móvil del usuario de manera que se asegura así la legitimidad del proceso.
17 Figura 3.2: Sistema de autenticación multifactor. Fuente: [24] 3.4.4 Actualizaciones y parches de seguridad Es fundamental mantener los sistemas actualizados con los últimos parches de seguridad con el objetivo de mitigar vulnerabilidades conocidas. Las actualizaciones regulares del software y firmware de los componentes de la microrred garantizan que cualquier vulnerabilidad recién descubierta se aborde rápidamente, fortaleciendo la postura de seguridad de la microrred frente a posibles amenazas. La implementación de estos mecanismos de protección y detección forma un enfoque integral para salvaguardar la seguridad de las microrredes. Combinando tecnologías avanzadas y buenos hábitos de seguridad, se puede llegar a crear una defensa robusta contra las amenazas digitales en un entorno energético cada vez más conectado y digitalizado. 3.5 Estudios de casos reales 3.5.1 Ciberataques a microrredes documentados Analizar casos específicos de ciberataques a microrredes proporciona una visión práctica de las amenazas y vulnerabilidades que pueden surgir en este entorno específico. Algunos casos han involucrado manipulación remota de sistemas de gestión de energía, comprometiendo la operación autónoma de la microrred. Otros han abordado vulnerabilidades en la capa de comunicación, permitiendo la interceptación de datos críticos [25]. Las empresas energéticas se han vuelto más propensas a los ataques cibernéticos en medio de la pandemia de COVID-19, ya que los atacantes se han
18 esforzado por beneficiarse de la prisa en la implementación de sistemas remotos y las instalaciones sin personal suficiente. Las compañías eléctricas deben comprender los nuevos riesgos cibernéticos relacionados con el trabajo desde el hogar, como los ataques de ingeniería social y las conexiones a Internet menos confiables, para poder establecer defensas de referencia y limitar las consecuencias de los ciberataques. Los sistemas existentes de las eléctricas están cada vez más conectados a través de sensores y redes y, debido a su naturaleza dispersa, son aún más difíciles de controlar. Esto potencialmente brinda una oportunidad para que los atacantes apunten a la red, similar al ataque en Ucrania ocurrido en diciembre de 2015, donde los piratas informáticos atacaron a tres empresas de distribución de energía en el país, interrumpiendo temporalmente el suministro eléctrico. A medida que las infraestructuras de las eléctricas se vuelven más interconectadas, inteligentes y descentralizadas, un enfoque centralizado para asegurarlas es difícil y será cada vez más insostenible. El monitoreo y la supervisión centralizados son esenciales, pero no suficientes, ya que un sistema central no puede reaccionar con la suficiente rapidez a las amenazas, especialmente cuando el control se fragmenta en numerosos sistemas como las microrredes. En respuesta a estos ciberataques, las organizaciones y comunidades afectadas han tenido que adaptar rápidamente sus estrategias de seguridad. La implementación de sistemas de detección de intrusiones más avanzados, la mejora de monitorización continua y la colaboración con expertos en ciberseguridad han sido pasos clave para fortalecer la resiliencia de las microrredes. Además, la concienciación y formación del personal se han intensificado para reducir el riesgo de ataques de ingeniería social y phishing. 3.5.2 Lecciones aprendidas y mejores prácticas El estudio de ciberataques anteriores a microrredes ofrece valiosas lecciones. La identificación temprana de amenazas, la respuesta rápida y la adaptación de estrategias de seguridad son componentes clave de la resiliencia cibernética. Mediante el estudio de casos reales de ciberataques a microrredes se obtiene una visión más profunda de las amenazas específicas y brinda ideas valiosas sobre cómo mejorar las estrategias de seguridad y fortalecer la seguridad de las microrredes ante futuros ciberataques. 3.6 Herramientas y recursos en ciberseguridad 3.6.1 Prevención y detección En el campo de la ciberseguridad, la elección de herramientas adecuadas es crucial para la prevención y detección de posibles amenazas. En microrredes, donde la diversidad de componentes y la interconexión son comunes, la implementación de soluciones robustas es esencial. Herramientas como firewalls avanzados, sistemas de detección de intrusiones (IDS) específicos para entornos de energía distribuida y soluciones antivirus adaptadas a sistemas embebidos son fundamentales. Además, el uso de herramientas de análisis de
19 tráfico y monitorización en tiempo real contribuye a la identificación temprana de actividades sospechosas (Figura 3.3). Figura 3.3: Funcionamiento de un Firewall. Fuente: [26] 3.6.2 Plataformas de entrenamiento y simulación La capacitación y la simulación son elementos esenciales en la preparación de enfrentar ciberataques. Plataformas de entrenamiento específicas para ciberseguridad en microrredes permiten a los profesionales adquirir experiencia en entornos simulados. Estas plataformas brindan la oportunidad de practicar la detección y respuesta a amenazas en un entorno controlado, mejorando la preparación del personal ante posibles ciberataques reales. La simulación de incidentes también ayuda a afinar los procesos de respuesta y a evaluar la eficacia de las medidas de seguridad implementadas. La selección y utilización efectiva de estas herramientas y recursos son esenciales para fortalecer la postura de la ciberseguridad de las microrredes. La combinación de tecnologías avanzadas y entrenamiento continuo permite a las organizaciones anticipar y responder de manera proactiva a las amenazas cibernéticas emergentes en el entorno específico de las microrredes. Actualmente la formación en ciberseguridad está altamente demandada por gran cantidad de empresas ligadas al mundo tecnológico, lo que provoca que existan multitud de opciones didácticas al alcance de todos sumado a la oportunidad laboral que esto supone [27].
20 3.7 Desarrollos futuros y tendencias en ciberseguridad 3.7.1 Innovaciones tecnológicas en protección El futuro de la ciberseguridad en microrredes se perfila con innovaciones tecnológicas destinadas a fortalecer la protección contra amenazas emergentes. El desarrollo de sistemas de inteligencia artificial y aprendizaje automático aplicados a la detección de patrones anómalos permitirá una respuesta más rápida y precisa ante ataques. Además, la implementación de tecnologías de cifrado cuántico podría elevar la seguridad de comunicación a un nuevo nivel que resista incluso ataques más sofisticados de los distintos tipos expuestos en este documento [28]. 3.7.2 Colaboración entre entidades La colaboración de distintas empresas, instituciones académicas y organismos gubernamentales es fundamental para afrontar las amenazas cibernéticas de manera efectiva. La creación de plataformas y mecanismos para compartir información sobre amenazas y vulnerabilidades permitirá una respuesta más coordinada y la aplicación de medidas preventivas a nivel global. La colaboración también facilitará el desarrollo de estándares comunes y marcos regulatorios específicos para la ciberseguridad en microrredes [29].
21 4 Microrred Experimental del Laboratorio de Energía de El Arenosillo (CEDEA) El objetivo del presente trabajo está centrado en el estudio de los ciberataques a una microrred, para ello se ha seleccionado la microrred experimental de El Arenosillo, de la cual se dispone de su modelo implementado en Simulink®, y a partir del cual se realizarán las modificaciones que permitirán desarrollar las simulaciones que se correspondan con posibles ciberataques a la microrred. En este capítulo se hará una descripción general de la microrred a estudiar y se expondrán brevemente cuales son los elementos que la componen. El CEDEA [1] es el principal campo de pruebas instrumentado para la experimentación de vehículos aeroespaciales del Ministerio de Defensa de España. El CEDEA pertenece al INTA [30] (Instituto de Técnica Aeroespacial) y se sitúa en las proximidades del casco urbano de Mazagón, en el municipio de Moguer (provincia de Huelva, España). A unos kilómetros del CEDEA se está construyendo el Centro para Ensayos, Entrenamiento y Montaje de Aeronaves no Tripuladas (CEUS). El conjunto CEDEACEUS se convertirá en el mejor Centro de Excelencia europeo de Sistemas no Tripulados (Drones), y en referencia internacional para la experimentación con vehículos no tripulados. Sus principales líneas investigadoras están dirigidas a las energías renovables, la investigación de la atmósfera alta y la colaboración con las Fuerzas Armadas y unidades militares de otros países. El CEDEA es una instalación flexible con operatividad 24 horas, certificado por la OTAN, la UE y la Agencia Espacial Europea (ESA) como Oficina de Control de Seguridad. El nivel máximo de clasificación para la información y los datos almacenados es OTAN SECRET/ EU SECRET/ ESA SECRET mientras que las áreas de acceso restringido son de clase II. Sus principales funciones, en la actualidad, son: ● Experimentación de cohetes de nuevo desarrollo ● Realización de experimentos científicos con cohetes de sondeo y globos ● Investigaciones atmosféricas ● Pruebas de desarrollo distintos tipos de aeronaves no tripuladas (drones), hasta 150 kg, desde plataforma ● Realización de programas I+D, estudios de durabilidad y ensayos de componentes y sistemas de energía solar
22 El CEDEA dispone de un laboratorio de energía que cuenta con una microrred experimental, la cual es utilizada para realizar estudios y evaluaciones de distintos campos: control, almacenamiento de energía, sensorización, comunicación y telemonitorización. 4.1 Descripción general de la microrred La microrred está dispuesta por sistemas de generación eléctrica, sistemas de almacenamiento y cargas en corriente continua y alterna. Existe un bus interno de 408 VDC que conecta los diversos componentes. A su vez, cuenta con una conexión a la red de 230 VAC que proporciona energía al laboratorio. En la Figura 4.1 se muestra un esquema de la distribución y conexiones de los diversos componentes de la microrred en estudio y en la Figura 4.2 se observan los paneles fotovoltaicos, el aerogenerador y el edificio donde se sitúan los componentes principales. Figura 4.1: Diagrama conceptual microrred CEDEA. Fuente: [30]
23 Figura 4.2: Vista aérea microrred CEDEA. Fuente: [30] 4.2 Componentes de la microrred experimental Para la simulación de posibles ciberataques, los distintos componentes de esta microrred serán los elementos a utilizar para llevar a cabo estas simulaciones, las cuales se detallarán más adelante. 4.2.1 Instalaciones fotovoltaicas La microrred consta de cuatro campos fotovoltaicos (Figura 4.3): ● Campo 1: Está compuesto por 136 paneles BP60 monocristalinos y tiene una potencia máxima total de 5 kWp. Cuenta con cuatro convertidores DC/DC elevadores de tensión o de tipo Boost de 2 kWp cuya salida se conecta al bus general de DC. ● Campo 2: Compuesto por paneles dispuestos sobre superficie vertical que están destinados a integración arquitectónica. Existen cinco módulos del modelo ESF- M-BIPVGGP156- 40-161W de la marca Solar Innova. La potencia total es de 2.415 kWp y se conecta mediante convertidores Boost de 3 kWp. ● Campo 3: s Este campo está compuesto por paneles flexibles sobre una superficie inclinada. La microrred cuenta con 16 módulos de la marca ENECOM, modelo HF135. En total se obtiene una potencia de 2.16 kWp.Al igual que el campo 2, se conecta con convertidores Boost de 3 kWp.
30 ● Avería (failure): Interrupción permanente de la capacidad de un sistema para mantener una función requerida bajo condiciones de operación específicas. ● Detección de fallo: Determinación del fallo y el instante de tiempo en el que se ha producido. ● Aislamiento del fallo: Determinación de la localización exacta del fallo. ● Diagnóstico del fallo: Concepto que engloba las etapas de detección, aislamiento e identificación del fallo. ● Modos de fallo: Descripción matemática de los tipos de fallos que puede presentar un componente del sistema. ● Efecto de fallo: Descripción de la propagación del fallo del sistema. ● Sistema de protección: Equipos diseñados para evitar daños personales o materiales a raíz de un fallo. ● Tolerancia de fallos: Capacidad de mantener los objetivos de control a pesar de la aparición de un fallo. Se acepta una degradación relativa en las prestaciones del sistema. ● Supervisor: Entidad que realiza la supervisión de un proceso mediante el diagnóstico de fallos y la determinación de las acciones correctoras que deberán tomarse en presencia de fallos. ● Redundancia física: Exceso de instrumentos para lograr una determinada función. ● Redundancia analítica: Exceso de medios para determinar una variable donde al menos un medio utiliza un modelo matemático. ● Mitigar un fallo: Acción de atenuar o suavizar la ocurrencia de un fallo. ● Acomodación al fallo: Mecanismo de tolerancia a fallos que adapta los parámetros del controlador o de su estructura para evitar los efectos de un fallo. Se alcanzan los objetivos de control, aunque de forma degradada. ● Robustez en la detección de fallos: Capacidad del sistema de diagnóstico de fallos de ser insensible a los errores de modelado, incertidumbres, perturbaciones y ruidos, siendo a su vez sensible a los fallos. ● Robustez activa: Pretende alcanzar la robustez en la generación del residuo. ● Robustez pasiva: Pretende alcanzar la robustez en la toma de decisiones. ● Índice de bondad: Es el intervalo entre el instante que sucede el fallo y el instante en que es detectado. 5.2 Métodos tradicionales de detección de fallos Enfoques tradicionales para el diagnóstico de fallos anteceden al uso de la redundancia analítica (y, por lo tanto, a la aproximación basada en modelos), aunque hoy en día se siguen utilizando ampliamente. Estos enfoques se basan en técnicas de procesamiento de señales y/o redundancia paralela. Son los siguientes [34]: ● Análisis del espectro de frecuencia: Las medidas de las señales de salida tienen un espectro de frecuencia estándar bajo en condiciones de operación estándar, cualquier desviación se puede considerar como una anormalidad. Algunos tipos de fallos pueden incluso tener una anomalía característica en el espectro de manera que pueden ser aislados como fallos solamente con la información
31 extraída del espectro. Un espectro se puede comparar con un espectro estándar para diagnosticar la naturaleza y tipo de fallo e incluso prever el resultado que el fallo tendrá en el sistema. El análisis espectral es especialmente útil cuando la información del modelo de la planta no está disponible o es difícil de obtener. ● Enfoque del diccionario de fallos: En el diccionario de fallos, cada tipo conocido de fallo tiene un comportamiento característico especial en el sistema. Por lo tanto, se puede construir un diccionario de fallos que contenga todos los "comportamientos característicos" conocidos de los fallos. Podemos saber si un fallo ocurre en el sistema al comparar el comportamiento del sistema con repertorios de fallos almacenados en el diccionario de fallos. Este es un método fuera de línea y se puede utilizar para el análisis de fallos después del evento, pero no es adecuado para el diagnóstico de fallos en línea, que es esencial para sistemas críticos de seguridad. ● Verificación de límites: Al comparar las variables del proceso con límites predefinidos, donde la superación de un límite puede indicar una situación defectuosa. Aunque es muy simple, este método tiene una seria desventaja en que las variables del proceso pueden variar de acuerdo con diferentes estados operativos del proceso. Por lo tanto, el límite debe depender del estado operativo del proceso. Las ventajas de los métodos basados en la verificación de límites son la simplicidad y la confiabilidad. Sin embargo, solo pueden reaccionar después de un cambio relativamente grande en la característica a evaluar, lo que significa que ha ocurrido un fallo repentino importante o que ha habido una serie de fallos suaves o lentos durante mucho tiempo. ● Redundancia paralela (hardware): Un requisito previo importante para lograr la tolerancia a fallos en sistemas de control críticos para la seguridad es mediante líneas múltiples de hardware idéntico. Dos desventajas principales de este enfoque son la penalización de peso (particularmente importante en el control de vuelo) y la posibilidad de que un fallo de modo común del sistema permanezca sin detectar. La redundancia de hardware se puede combinar con métodos basados en modelos para maximizar la eficacia del aislamiento de fallos. 5.3 Principios básicos de la detección de fallos basados en modelo En las últimas dos décadas, el enfoque de diagnóstico de fallos basado en modelos ha recibido una atención creciente tanto en la investigación como en la. Este enfoque se basa en el concepto de redundancia analítica, en contraposición a la redundancia física (hardware o paralela), que utiliza mediciones de sensores redundantes con fines de diagnóstico de fallos. La redundancia analítica hace uso de señales generadas por el modelo matemático del sistema que se está considerando. Estas señales se comparan con las mediciones reales obtenidas del sistema. La comparación se realiza utilizando cantidades residuales que representan la diferencia entre las señales medidas y las señales generadas por el modelo matemático. Por lo tanto, el diagnóstico de fallos basado en modelos se puede definir como la determinación de fallos en un sistema a partir de la
32 comparación de las mediciones disponibles del sistema con información a priori representada por el modelo matemático del sistema mediante la generación de cantidades residuales y su análisis. Un residuo es un indicador de fallo o una señal que resalta la situación defectuosa del sistema monitorizado. La principal ventaja del enfoque de redundancia analítica en comparación con la redundancia de hardware es que no se necesitan componentes de hardware adicionales para implementar un algoritmo de FDI (detección y aislamiento de fallos). Un algoritmo de FDI basado en modelos puede implementarse básicamente en la computadora de control del proceso, a menudo sin requisitos adicionales de hardware. Además, las mediciones necesarias para controlar el proceso son, en muchos casos, también suficientes para el algoritmo de FDI, por lo que no es necesario instalar sensores adicionales. En estas circunstancias, solo se necesita capacidad de almacenamiento adicional y posiblemente una mayor potencia de computación para la implementación de un algoritmo de FDI basado en modelos. El algoritmo de FDI solo requiere procesamiento de datos de entrada y salida para su implementación. El tema central de los enfoques basados en modelos para FDI es el diseño de señales residuales que llevan información sobre las ubicaciones de fallos y sus momentos de ocurrencia. La figura 5.1 ilustra la estructura conceptual de un sistema de diagnóstico de fallos basado en modelos que comprende dos etapas principales: ● Generación de residuo: Las salidas y entradas del sistema son procesadas por un algoritmo apropiado (un procesador) para generar residuos. El residuo debe ser diferente de cero cuando ocurre un fallo y cero en caso contrario. El sistema para generar el residuo se llama generador de residuos. ● Evaluación de residuos (toma de decisiones): Los residuos se examinan para determinar la probabilidad de fallos, y luego se aplica una regla de decisión para determinar si ha ocurrido algún fallo.
33 Figura 5.1: La estructura de dos etapas del FDI basado en modelos. Fuente:[34] 5.4 Propiedades de los residuos Los residuos de se componen de las siguientes propiedades fundamentales [31],[33],[35]: ● Detectabilidad: Capacidad de detectar un fallo en el proceso monitorizado. Dado que en la práctica ocurren errores de modelado, perturbaciones y ruidos no es fácil diferenciar e identificar la ocurrencia real de fallos de estas posibles perturbaciones, por lo que es necesario recurrir al uso de umbrales. Es destacable que la utilización de umbrales muy amplios puede llegar a enmascarar fallos, por lo que la determinación de la magnitud correcta de estos umbrales debe ser analizada. Lo ideal sería diseñar sistemas de diagnóstico robustos que eviten en la medida de lo posible las interferencias debidas a los ruidos, perturbaciones o errores de modelado. ● Capacidad de aislamiento: La exitosa detección de un fallo es seguida por el procedimiento de aislamiento del fallo, el cual distinguirá (aislará) un fallo específico de los demás. Mientras que un solo residuo es suficiente para detectar fallos, se requiere un conjunto de residuos (o un residuo en forma de vector) para el aislamiento del fallo. Si un fallo es distinguible de otros fallos mediante uno o más residuos, se puede definir como un fallo aislable (Figura 5.2). Para facilitar el aislamiento, generalmente se genera un conjunto de residuos (o una forma vectorial de residuo, de una de las siguientes maneras: - Conjunto de residuos estructurados: En este método, se genera un conjunto de residuos (figura 5.3). Cada residuo está diseñado para ser sensible a diferentes fallos o subconjuntos de fallos, mientras que es insensible a los fallos restantes.
34 - Vector residual de dirección fija: Otra forma de mejorar la capacidad de aislamiento es diseñar un vector residual direccional que se ubique en una dirección fija y específica de fallo (o subespacio) en el espacio residual en respuesta a un fallo particular (figura 5.4). Figura 5.2: El concepto del vector residual direccional para el aislamiento de fallo. Fuente: [34] Figura 5.3: Ejemplo de residuo estructurado. Fuente: [35]
35 Figura 5.4: Ejemplo de residuo dirigido. Fuente: [35] 5.5 Métodos de Generación de Residuos Basados en Modelos En esta sección se procederá a definir y explicar los diferentes métodos que permiten llevar a cabo una generación de residuos que permita detectar y aislar fallos. 5.5.1 Enfoques basados en observadores El principio básico de los enfoques basados en observadores es estimar la salida del sistema en función de las entradas y salidas del sistema monitoreado a través de un observador, y el residuo es la diferencia (ponderada) entre las salidas estimadas y reales. Las propiedades fundamentales de este método son [31]: ● La tarea del aislamiento puede llevarse a cabo mediante un conjunto de residuos estructurados o un vector residual direccional. ● La reacción ante fallos es muy rápida ● Muy adecuado para detectar y aislar fallos en actuadores y sensores ● El proceso de diseño es sistemático y sencillo ● Fácil de implementar y el algoritmo de ejecución es simple ● Fácil manejo de múltiples fallos si el número de medidas es suficiente ● Métodos para manejar el ruido del sistema: - Propiedades estadísticas desconocidas: Se puede aplicar un filtro adicional al residuo, basado en suposiciones sobre las bandas de frecuencia de fallo y ruido.
36 - Propiedades estadísticas conocidas: Se puede utilizar un filtro de Kalman para producir el residuo libre de fallos con mínima varianza y, por lo tanto, reducir las alarmas falsas y perdidas ● Robustez frente a perturbaciones desconocidas ● Robustez frente a errores de modelado 5.5.2 Enfoque de relaciones de paridad El principio básico de los enfoques de relaciones de paridad para FDI es verificar la inconsistencia entre las entradas y salidas del sistema monitorizado. El término de desequilibrio se utiliza como una señal residual. Se ha demostrado que el enfoque de relaciones de paridad es equivalente al uso de un observador de respuesta nula [31]. Una señal residual generada por un observador no dé respuesta nula es equivalente a una señal residual post filtrada que es generada por un observador de respuesta nula. Debido a la correspondencia entre enfoques basados en observadores y enfoques de relaciones de paridad, la mayoría de sus condiciones de aplicabilidad son las mismas. 5.5.3 Enfoques de estimación de parámetros El principio básico consiste en estimar los parámetros del modelo en línea y el residuo se basa luego en una comparación entre los valores estimados y reales de los parámetros. Alternativamente, el error entre la salida real y la predicha (generada por la estimación de parámetros en tiempo real) puede utilizarse como una señal residual. Las características principales de este método de detección de fallos son las siguientes [36]: ● La reacción ante fallos es lenta. ● La detección y aislamiento de fallos en actuadores y sensores son posibles pero complicados. ● La detección y aislamiento de fallos en parámetros son muy directos. ● El procedimiento de diseño es sistemático, pero no simple. ● Complejidad de implementación (requiere gran cantidad de cálculos). ● La detección y aislamiento de múltiples fallos no es una tarea fácil a menos que se instale un gran número de sensores. ● El ruido es fácil de manejar en el procedimiento de estimación de parámetros. ● No linealidad, posible de manejar mediante técnicas de identificación para sistemas no lineales. ● Robustez, dependiente de las propiedades de robustez del método de estimación. ● Excelente capacidad adaptativa y de autoaprendizaje.
37 5.5.4 Enfoque de redes neuronales Los enfoques basados en redes neuronales para la generación de residuos son similares a los enfoques basados en observadores, aunque el observador se reemplaza por una red neuronal. La salida del sistema se estima a través de la red neuronal, y el residuo se obtiene a partir de la diferencia entre las salidas estimadas y reales. Las características importantes de los enfoques basados en redes neuronales se pueden resumir de la siguiente manera [36]: ● La reacción ante fallos incipientes es moderada. ● Muy conveniente para detectar y aislar fallos en actuadores y sensores. ● Buena capacidad para detectar y aislar fallos en parámetros. ● Es posible la detección de múltiples fallos. ● Tolerancia al ruido moderada. ● Requieren extensas sesiones de entrenamiento durante el diseño. ● Complejidad de implementación, requiere una gran cantidad de cálculos ● Excelente para manejar sistemas no lineales, que es para lo que están diseñadas las redes neuronales. ● No hay investigaciones publicadas sobre problemas de robustez aún. ● Sin requisitos a priori para el modelado. ● Capacidad adaptativa y de autoaprendizaje excelente 5.6 Relación entre ciberataques y detección de fallos La relación entre ciberataques y la detección de fallos en una microrred puede entenderse a través de la vulnerabilidad de los sistemas de control y la importancia de contar con métodos efectivos de detección de fallos para garantizar la seguridad y la integridad del sistema. Existe un artículo [37] que proporciona una perspectiva sobre cómo el control predictivo basado en modelo puede ser utilizado para detectar y mitigar los efectos de los ciberataques en sistemas de control, lo que puede ser relevante para explorar la relación entre la detección de fallos y la ciberseguridad. Aquí hay algunas consideraciones: 1. Interrupción del sistema de control: ● Ciberataques: Un ataque cibernético podría comprometer los sistemas de control de una microrred, causando interrupciones en las operaciones normales. ● Detección de fallos: Los métodos de detección de fallos pueden identificar anomalías en el comportamiento del sistema que podrían ser indicativas de un ataque.
38 2. Manipulación de datos de sensores: ● Ciberataques: Un atacante podría manipular los datos de los sensores para engañar al sistema de control y causar malfuncionamientos. ● Detección de fallos: La detección de fallos puede identificar discrepancias entre los datos medidos y los valores esperados, indicando posibles manipulaciones. 3. Inyección de comandos maliciosos: ● Ciberataques: Inyectar comandos maliciosos en el sistema de control puede causar operaciones no deseadas. ● Detección de fallos: La detección de fallos puede identificar cambios abruptos en el comportamiento del sistema que podrían ser causados por comandos maliciosos. 4. Robo de información confidencial: ● Ciberataques: Los ataques pueden estar dirigidos a robar información confidencial sobre la configuración y el funcionamiento de la microrred. ● Detección de fallos: La detección de fallos puede ayudar a identificar intentos no autorizados de acceder a información confidencial. 5. Degradación de rendimiento: ● Ciberataques: Algunos ciberataques pueden estar diseñados para degradar el rendimiento de la microrred. ● Detección de fallos: La detección de fallos puede alertar sobre cambios en el rendimiento que podrían indicar un ataque. 6. Anomalías de comunicación: ● Ciberataques: Ataques a la infraestructura de comunicación pueden afectar la capacidad del sistema para recibir información crítica. ● Detección de fallos: La detección de fallos puede identificar interrupciones en la comunicación y alertar sobre posibles problemas. La combinación de ciberseguridad y detección de fallos es esencial para garantizar la confiabilidad y la seguridad de las microrredes, especialmente en entornos críticos como sistemas de energía distribuida.
39 6 Métodos de detección y aislamiento de fallos utilizados en la microrred 6.1 Método de ecuaciones de paridad El concepto básico del diagnóstico de fallos basado en modelos consiste en generar una estimación de las salidas a partir del modelo de la planta, de forma que pueda ser evaluada la consistencia del sistema modelado y el sistema real en cada instante de tiempo. Cuando ocurre un fallo, se produce una inconsistencia entre el sistema modelado y el sistema real. Esta inconsistencia, llamada residuo, se puede expresar como [35]: 𝑟(𝑡)=𝑦(𝑡)−𝑦(𝑡) (6.1) Siendo 𝑟(𝑡) el residuo, 𝑦(𝑡) la salida real del sistema e 𝑦(𝑡) la salida estimada. El modelo lineal en espacio de estados para un sistema discreto ideal sin perturbaciones, ruidos ni fallos es: 𝑥(𝑡+1) = 𝐴𝑥(𝑡)+𝐵𝑢(𝑡) (6.2) 𝑦(𝑡) = 𝐶𝑥(𝑡)+𝐷𝑢(𝑡) (6.3) Siendo 𝑥(𝑡) el vector de estados, 𝑢(𝑡) el vector de entradas del proceso e 𝑦(𝑡) el vector de salidas del sistema. 𝐴, 𝐵, 𝐶, y 𝐷 son las matrices que representan el comportamiento de la planta en el punto de operación, 𝐴 ∈ ℝ𝑛𝑥𝑛, 𝐵 ∈ ℝ𝑛𝑥𝑝, 𝐶 ∈ ℝ𝑞𝑥𝑛, 𝐷 ∈ ℝ𝑞𝑥𝑝, siendo: • n = número de variables • p = número de entradas • q = número de salidas Esta formulación puede simplificarse considerando 𝐷=0 𝑥(𝑡+1) = 𝐴𝑥(𝑡)+𝐵𝑢(𝑡) (6.4)
46 𝐸{(𝑥(0)−𝑥0)(𝑥(0)−𝑥0)𝑇}=𝑋0 𝐸{𝑣(𝑡)𝑣𝑇(𝑡)}=𝑀 𝐸{𝑛(𝑡)𝑛𝑇(𝑡)}=𝑁 (6.43) Donde 𝑀 y 𝑁 también se suponen conocidas. Dado que el error de la estimación no puede converger a cero, se debe llevar a cabo una optimización sobre la estimación del vector de estados 𝑥(𝑡), basándonos en las entradas 𝑢(𝑡)e 𝑦(𝑡). Hay que llevar a cabo una optimización por mínimos cuadrados: min||𝑥(𝑡)−𝑥(𝑡|𝑗)||2 (6.44) En (6.44) se utilizan dos marcos temporales. 𝑡 hace referencia al tiempo actual y 𝑗 al instante de tiempo de las medidas. La estimación del estado recibe varios nombres: ● k>j: Problema de predicción ● k=j: Problema de filtrado ● k<j: Problema de estabilidad En los problemas de predicción y de filtrado, las medidas de las salidas utilizadas es la siguiente: 𝑌𝑗={𝑦(0),𝑦(1),𝑦(2),...𝑦(𝑗)} (6.45) Se utiliza la siguiente notación: ● Estimaciones óptimas: 𝑥(𝑡|𝑗)=𝐸{𝑥(𝑡)|𝑌𝑗} (6.46) ● Error de la estimación: 𝑥(𝑡|𝑗)=𝑥(𝑘)−𝑥(𝑡|𝑗) (6.47) ● Matrices de covarianza del error de la estimación
47 𝑃−(𝑡+1)=𝐸{𝑥(𝑡+1|𝑡)𝑥𝑇(𝑡+1|𝑡)} 𝑃(𝑡+1)=𝐸{𝑥(𝑡+1|𝑡+1)𝑥𝑇(𝑡+1|𝑡+1)} (6.48) Para el instante 𝑡+1 la variable de estado 𝑥(𝑡+1) puede ser predicha utilizando el modelo en espacio de estados (6.41) con la información en el instante 𝑡. 𝑥(𝑡+1|𝑡)=𝐴𝑥(𝑡|𝑡)+𝐵𝑢(𝑡)+𝑉𝑣(𝑡) (6.49) Se utiliza 𝑣(𝑡) ya que v(t) no es conocida. Suponiendo que 𝐸{𝑣(𝑡)}=𝑣=0 quedaría: 𝑥(𝑡+1|𝑡)=𝐴𝑥(𝑡|𝑡)+𝐵𝑢(𝑡) (6.50) En el instante 𝑡+1 también está disponible la salida 𝑦(𝑡+1), siendo: 𝑦(𝑡+1)=𝐶𝑥(𝑡+1)+𝑛(𝑡+1) (6.51) Sin embargo, 𝑥(𝑡+1) es desconocida. La predicción 𝑥(𝑡) está perturbada por el ruido 𝑣(𝑡) y la salida medible 𝑦(𝑡+1) por 𝑛(𝑡+1). Si tanto 𝑥(𝑡+1|𝑡) como 𝑥(𝑡+1) fuesen conocidos, se podría calcular el estado como una media ponderada: 𝑥(𝑡+1|𝑡+1)=(𝐼𝑛−𝐾′)𝑥(𝑡+1|𝑡)+𝐾′𝑥(𝑡+1) (6.52) Reordenando términos en (6.52): 𝑥(𝑡+1|𝑡+1)=𝑥(𝑡+1|𝑡)+𝐾′[𝑥(𝑡+1)−𝑥(𝑡+1|𝑡)] (6.53) Donde 𝐾′ es una matriz de ponderación de orden n (número de estados) que se elige para minimizar la covarianza del error de estimación 𝑃(𝑡−1). Ahora, haciendo 𝐾′=𝐾𝐶 convertimos el vector de estados 𝑥(𝑡+1) en el vector de salidas medibles 𝑦(𝑡+1). Aplicando esta transformación en (6.52):
48 𝑥(𝑡+1|𝑡)=[𝐼𝑛−𝐾𝐶]𝑥(𝑡+1|𝑡+1)+𝐾𝑦(𝑡+1) (6.54) La ecuación (6.54) contiene: ● 𝑥(𝑡+1|𝑡): La predicción del modelo de 𝑥(𝑡+1) basado en la última estimación 𝑥(𝑡|𝑡) ● 𝑦(𝑡+1): La nueva medida A (6.52) le sigue un algoritmo de estimación recursivo: 𝑥(𝑡+1|𝑡+1)=𝑥(𝑡+1|𝑡)+𝐾(𝑡+1)[𝑦(𝑡+1)−𝐶𝑥(𝑡+1)|𝑡)] (6.55) Donde la matriz de corrección 𝐾(𝑡+1) ha debido ser elegida para minimizar la matriz de covarianza del error de estimación. Como esta covarianza varía en el tiempo, 𝐾(𝑡+1) también debe hacerlo. El error en la estimación es: 𝑥(𝑡+1|𝑡)=𝑥(𝑡+1|𝑡)−𝐸{𝑥(𝑡+1)} (6.56) Y el error en la medida es: 𝑦(𝑡+1)=𝑦(𝑡+1)−𝐸{𝑦(𝑡+1)}=𝑛(𝑡) (6.57) Las correspondientes matrices de covarianzas son: 𝑃−(𝑡+1)=𝐸{𝑥(𝑡+1|𝑡)𝑥𝑇(𝑡+1|𝑡)} 𝑌 =𝐸{𝑦(𝑡+1)𝑦𝑇(𝑡+1)} (6.58) La matriz de covarianza de la estimación recursiva 𝑥(𝑡+1) viene por tanto dada por: 𝑃(𝑡+1)=[𝐼𝑛−𝐾(𝑡+1)𝐶]𝑃−(𝑡+1)[𝐼𝑛−𝐾(𝑡+1)𝐶]𝑇+𝐾(𝑡+1)𝑁𝐾𝑇(𝑡+1) (6.59) Ahora se busca un valor de 𝐾(𝑡+1) que minimice la varianza de la covarianza del error de estimación:
49 𝐾(𝑡+1)=𝑃−(𝑡+1)𝐶𝑇[𝐶𝑃−(𝑡+1)𝐶𝑇+𝑁]−1 (6.60) Junto con: 𝑃(𝑡+1)=𝑃−(𝑡+1)−𝐾(𝑡+1)𝐶𝑃−(𝑡+1) (6.61) Donde 𝑃−, que es la matriz de covarianzas del error de estimación 𝑥(𝑡|𝑡) , se obtiene de: 𝑃−(𝑡+1)=𝐴𝑃(𝑡)𝐴𝑇+𝑉𝑀𝑉𝑇 (6.62) A modo resumen, la secuencia de cálculos es: 1. Predicción: de (6.49) y (6.52) 𝑥(𝑡+1|𝑡) =𝐴𝑥(𝑡|𝑡)+𝐵𝑢(𝑡) 𝑃−(𝑡+1)=𝐴𝑃(𝑡)𝐴𝑇+𝑉𝑀𝑉𝑇 (6.63) 2. Corrección: de (6.60), (6.55) y (6.61) 𝐾(𝑡+1)=𝑃−(𝑡+1)𝐶𝑇[𝐶𝑃−(𝑡+1)𝐶𝑇+𝑁]−1 𝑥(𝑡+1|𝑡+1)=𝑥(𝑡+1|𝑡)+𝐾(𝑡+1)[𝑦(𝑡+1)−𝐶𝑥(𝑡+1)|𝑡)] 𝑃(𝑡+1)=[𝐼𝑛−𝐾(𝑡+1)𝐶]𝑃−(𝑡+1) (6.64) Y por último, introduciendo la predicción en la corrección queda: 𝑥(𝑡+1)=𝐴𝑥(𝑡)+𝐵𝑢(𝑡)+𝐾(𝑡+1)[𝑦(𝑡+1)−𝐶(𝐴𝑥(𝑡)+𝐵𝑢(𝑡))] (6.65) La estimación del estado es una estimación recursiva del estado 𝑥(𝑡+1|𝑡+1) basado en el estado predicho 𝑥(𝑡+1|𝑡) por el modelo del proceso y una corrección basada en la nueva medida 𝑦(𝑡+1). La matriz de ganancias 𝐾 depende de las matrices de covarianzas 𝑀 y 𝑁. Si las matrices del sistema 𝐴,𝐵,𝐶 y las matrices de covarianza de los ruidos no dependen del tiempo, la ganancia del Filtro de Kalman, 𝐾(𝑡+1) converge asintóticamente a un valor estable. La matriz de covarianza del estado estable del error de estimación 𝑃− viene dado por: 𝑃−(𝑡+1)=𝐴𝑃−(𝑡)−𝐴𝑃−(𝑡)𝐶𝑇[𝐶𝑃−(𝑡)𝐶𝑇+𝑁]−1𝐶𝑃−(𝑡)𝐴𝑇+𝑉𝑀𝑉𝑇 (6.66)
50 La cual es una ecuación de Riccati. Su solución asintótica proporciona el valor estable de 𝑃−. Por tanto, el valor estable de la ganancia de Kalman: 𝐾=𝑃−𝐶𝑇[𝐶𝑃−𝐶𝑇+𝑁]−1 (6.67) La secuencia de cálculos se reduciría a: 1. Predicción: 𝑥(𝑡+1|𝑡)=𝐴𝑥(𝑡|𝑡)+𝐵𝑢(𝑡) (6.68) 2. Corrección: 𝑥(𝑡+1|𝑡+1)=𝑥(𝑡+1|𝑡)+𝐾 [𝑦(𝑡+1)−𝐶𝑥(𝑡+1)|𝑡)] (6.69) Introduciendo la predicción en la corrección queda: 𝑥(𝑡+1|𝑡)=𝐴𝑥(𝑡|𝑡−1)+𝐵𝑢(𝑡)+𝐴𝐾 [𝑦(𝑡)−𝐶(𝐴𝑥(𝑡|𝑡−1))] (6.70) 6.4 Definición de los Umbrales Estocásticos En un algoritmo de generación de residuos ideal, el valor de éste debería ser nulo en ausencia de fallos y no nulo cuando se produjese alguno. Sin embargo, debido a los diversos motivos que se han mencionado anteriormente, el valor de residuo no es por lo general nulo incluso en ausencia de fallos. Es entonces cuando surge la necesidad de diseñar unos márgenes o umbrales para determinar si el sistema está funcionando correctamente o puede existir la presencia de algún fallo. Utilizando la Teoría de la Probabilidad, se definen los Umbrales Estocásticos [35], teniendo en cuenta la incertidumbre en la generación de residuos para optimizar los valores de umbrales de fallos. Por otro lado, la definición de estos umbrales trae consigo el inconveniente de que puedan existir pequeños fallos que no sean detectados, al no superar los umbrales definidos, lo que lleva a la presencia de posibles falsos negativos. La Teoría de la Probabilidad se ocupa del estudio de procesos estocásticos en el ámbito matemático. En este contexto, se establece la variable aleatoria como una función matemática que asigna un número a un experimento aleatorio, es decir, busca representar los resultados de un evento aleatorio. En particular, una variable aleatoria continua abarca un conjunto infinito de posibles valores. Por lo tanto, los residuos se tratarán como variables aleatorias continuas. La expresión que describe la probabilidad relativa de que
51 una variable aleatoria adquiera un valor específico recibe el nombre de Función de Densidad de Probabilidad (Probability Density Function, PDF). Cumple las siguientes condiciones: 1. Para todos los valores de x: 𝑓(𝑥)≥0 (6.71) 2. El área bajo la curva de 𝑓(𝑥) ∫ 𝑓(𝑥)𝑑𝑥= ∞ −∞ 𝑃(−∞≤𝑋≤∞)=1 (6.72) Siendo 𝑋 el valor de la variable aleatoria, x el valor de la variable real (eje de abscisas) y 𝑃 la probabilidad que va de 0 a 1. La Cumulative Distribution Function (CDF) es la probabilidad de que una variable aleatoria sea menor o igual a un valor determinado, es decir, siendo 𝑋 una variable aleatoria continua con una PDF 𝑓(𝑥) , la CDF de 𝑋 es: 𝐹(𝑥)=∫ 𝑃(𝑋≤𝑥) 𝑋 −∞ (6.73) Para obtener el valor de x asociado con una probabilidad acumulada específica 𝑝 , se utiliza la Inverse Cumulative Distribution Function (ICDF). Para una distribución continua y estrictamente monótona la ICDF devuelve un valor x tal que: 𝑃(𝑋≤𝑥)=𝑝 (6.74) Centrándonos en el ámbito de este documento, los residuos se ven afectados por variables aleatorias, lo que generalmente impide que sean nulos, convirtiéndolos en un proceso estocástico. Utilizando los principios de la Teoría de la Probabilidad, sería posible determinar un umbral 𝛾(𝑡) con una probabilidad 𝑝. Esto indicaría que el residuo generado 𝑟(𝑡) tiene una probabilidad igual o mayor a dicho umbral en situaciones donde no hay fallos. De manera análoga a (6.74): 𝑃(𝑟(𝑡)≤𝛽(𝑡))=𝑝 (6.75)
52 La probabilidad de que ocurra un falso positivo es de 1−𝑝. De este modo si 𝑝 es elevada disminuye la probabilidad de que aparezcan falsos positivos, pero aumenta la probabilidad de que se produzcan falsos negativos. Por tanto, es de vital importancia encontrar un equilibrio entre la sensibilidad y especificidad. Lo que se intenta es calcular para cada instante 𝑡 el umbral superior, 𝛽𝑖(𝑡) e inferior 𝛾𝑖(𝑡) cuyo intervalo debe contener al residuo 𝑟𝑖(𝑡) en ausencia de fallos. Se expresa como: 𝑃(𝛾𝑖(𝑡)≤𝑟𝑖(𝑡)≤𝛽𝑖(𝑡))=𝐹𝑟(𝑡)(𝛽(𝑡))−𝐹𝑟(𝑡)(𝛾(𝑡)) (6.76) Siendo 𝐹𝑟(𝑡) en este caso el valor de la CDF de una distribución normal. Para calcular los umbrales se utiliza un conjunto de datos históricos experimentales en escenarios ausentes de fallos a partir de los cuales se realiza el cálculo de los residuos históricos. Matemáticamente el problema se podría resolver como: máx 𝛽𝑖(𝑡) s.t. 𝑃(𝑟𝑖ℎ(𝑡)≥𝛽𝑖(𝑡))≥1−𝑝,∀𝑖,∀𝑡 (6.77) mín 𝛾𝑖(𝑡) s.t. 𝑃(𝑟𝑖ℎ(𝑡)≤𝛾𝑖(𝑡))≥𝑝,∀𝑖,∀𝑡 (6.78) Donde 𝑃 es la distribución de probabilidad, 𝑟𝑖ℎ(𝑡) es el histórico del residuo 𝑖, 𝛽𝑖 representa el umbral superior del residuo 𝑟𝑖, 𝛾𝑖 el umbral inferior y 𝑝 representa la probabilidad. Las expresiones (6.77) y (6.78) se pueden escribir como: 𝑃(𝑟𝑖ℎ(𝑡)≥𝛽𝑖(𝑡)≥1−𝐹(𝛽𝑖(𝑡))→𝛽𝑖(𝑡)≤𝐹−1(1−𝑝) (6.79) 𝑃(𝑟𝑖ℎ(𝑡)≤𝛾𝑖(𝑡))≥1−𝐹(𝛾𝑖(𝑡))→ 𝛾𝑖(𝑡)≥𝐹−1(𝑝) (6.80) La amplitud del intervalo [𝛽𝑖(𝑡),𝛾𝑖(𝑡)] determina el tamaño de fallo mínimo que puede ser detectado en valores absolutos. Para determinar si un residuo 𝑟𝑖(𝑡) distinto de cero revela un fallo o no, una nueva variable binaria 𝑟𝑖𝑏∈[0,1] se empareja con 𝑟𝑖. Se calcula de acuerdo con: 𝑟𝑖𝑏(𝑡)={1 𝑠𝑖 𝑟𝑖(𝑡)<𝛽𝑖(𝑡) 𝑜 𝑟𝑖(𝑡)<𝛾𝑖(𝑡) 0 𝑠𝑖 𝛽𝑖(𝑡)≤𝑟𝑖(𝑡)≤𝛾𝑖(𝑡) } (6.81)
53 7 Diseño de una microrred para su implementación en MatLab® y Simulink® A continuación, se desarrollará el modelo lineal en espacio de estados de la microrred del INTA, el cual será base para los algoritmos de cálculos de residuos implementados, para ello se adaptará el modelo de microrred proporcionado [5],[38]. 7.1 Modelo de la microrred El primer paso para la implementación de un sistema de detección de fallos basado en modelo es obtener un modelo de la microrred que se va a estudiar. Dado que la relación entre la potencia en los diferentes componentes y los estados de carga se asemeja a una función lineal, el sistema se puede modelar mediante una representación en espacio de estados: 𝑥(𝑡+1)=𝐴𝑥(𝑡)+𝐵𝑢(𝑡)+𝐷𝑑(𝑡) 𝑦(𝑡)=𝐶𝑥(𝑡) (7. 1) Donde 𝑥(𝑡) es el vector de estado, 𝑢(𝑡) es la señal de control, 𝑑(𝑡) es la perturbación en el sistema e 𝑦(𝑡) es la salida. El estado del sistema viene representado por los estados de carga de las baterías, el supercondensador y el nivel del depósito de hidrógeno, como se observa en (7.2). En este modelo el estado se corresponde con la salida. 𝑥(𝑡)=𝑦(𝑡)=[𝑆𝑂𝐶𝑝𝑏(𝑡) 𝑆𝑂𝐶𝑙𝑖(𝑡) 𝐿𝑂𝐻(𝑡) 𝑆𝑂𝐶𝑠𝑐(𝑡) 𝑆𝑂𝐶𝑚𝑒(𝑡) 𝑆𝑂𝐶𝑑𝑒(𝑡)]𝑇 (7. 2) Los términos relativos a los estados de carga de los coches híbridos serán nulos mientras no estén conectados a la microrred. Las baterías de plomo se encargan de permitir que se cumpla el balance de potencia. Por ello, las variables manipulables son las potencias de las baterías, del supercondensador y de la red:
54 𝑢(𝑡)=[𝑃𝑔𝑟𝑖𝑑(𝑡) 𝑃𝑙𝑖(𝑡) 𝑃𝑠𝑐(𝑡) 𝑃𝑚𝑒(𝑡) 𝑃𝑑𝑒(𝑡)]𝑇 (7. 3) Al igual que en (7.2), las componentes relativas a los vehículos híbridos serán distintas de cero cuando estos se encuentren conectados. Debido a que la generación y la demanda no forman parte del sistema de control, se tratarán como una perturbación del sistema. Además, si los coches híbridos están conectados a la microrred, el consumo de hidrógeno, el cual está expresado en porcentaje, también se verá representado como una perturbación. 𝑑(𝑡)=[𝑃𝑛𝑒𝑡(𝑡) 𝐶𝑜𝑛𝑠𝐻(𝑡)]𝑇 (7. 4) A continuación, se generará un modelo lineal que representa los diversos componentes que constituyen la microrred, estableciendo una conexión entre los estados y las señales de las variables que pueden ser controladas a través de su rendimiento. Las baterías de ácido plomo se descargan al aumentar la potencia que intercambian con la microrred y se pueden modelar mediante el siguiente balance de energía: 𝑆𝑂𝐶𝑝𝑏(𝑡+1)=𝑆𝑂𝐶𝑝𝑏(𝑡)−𝜂𝑝𝑏𝑇𝑠 𝐶𝑚𝑎𝑥𝑝𝑏 𝑃𝑝𝑏(𝑡) (7. 5) Donde 𝐶𝑚𝑎𝑥𝑝𝑏 es la capacidad de la batería, 𝜂𝑝𝑏 es el rendimiento y 𝑇𝑠 es el tiempo de muestreo. Al no ser una señal de control la potencia de la batería de plomo se ha de expresar en función del resto de potencias mediante un balance energético. 𝑃𝑝𝑏(𝑡)=−𝑃𝑛𝑒𝑡(𝑡)−𝑃𝑔𝑟𝑖𝑑(𝑡)−𝑃𝑙𝑖(𝑡)−𝑃𝑚𝑒(𝑡)−𝑃𝑑𝑒(𝑡)−𝑃𝑠𝑐(𝑡) (7. 6) Uniendo las ecuaciones (7.5) y (7.6), se obtiene el modelo de batería de plomo que viene dado por la siguiente ecuación: 𝑆𝑂𝐶𝑝𝑏(𝑡+1)=𝑆𝑂𝐶𝑝𝑏(𝑡)−𝜂𝑝𝑏𝑇𝑠 𝐶𝑚𝑎𝑥𝑝𝑏 (−𝑃𝑛𝑒𝑡(𝑡)−𝑃𝑔𝑟𝑖𝑑(𝑡) (7. 7) La batería de ion litio se modela de manera similar: 𝑆𝑂𝐶𝑙𝑖 (𝑡+1)=𝑆𝑂𝐶𝑙𝑖(𝑡)−𝜂𝑙𝑖𝑇𝑠 𝐶𝑚𝑎𝑥𝑙𝑖 𝑃𝑙𝑖(𝑡) (7. 8) El estado de carga del supercondensador queda:
55 𝑆𝑂𝐶𝑠𝑐(𝑡+1)=𝑆𝑂𝐶𝑠𝑐(𝑡)−𝜂𝑠𝑐𝑇𝑠 𝐶𝑚𝑎𝑥𝑠𝑐 𝑃𝑠𝑐(𝑡) (7. 9) En el modelo del electrolizador, el nivel de hidrógeno se modela como: 𝐿𝑂𝐻(𝑡+1)=𝐿𝑂𝐻(𝑡)+𝜂𝑒𝑙𝑧𝑇𝑠 𝑉𝑚𝑎𝑥 𝑃𝑒𝑙𝑧(𝑡)−𝐶𝑜𝑛𝑠𝐻(𝑡) (7. 10) Donde 𝐶𝑜𝑛𝑠𝐻 es la disminución del nivel de hidrógeno provocada por los coches híbridos. Por último, las baterías de los coches se modelan del mismo modo que las de litio y plomo: 𝑆𝑂𝐶𝑚𝑒(𝑡+1)=𝑆𝑂𝐶𝑚𝑒(𝑡)−𝜂𝑚𝑒𝑇𝑠 𝐶𝑚𝑎𝑥𝑚𝑒 𝑃𝑚𝑒(𝑡) (7. 11) 𝑆𝑂𝐶𝑑𝑒(𝑡+1)=𝑆𝑂𝐶𝑑𝑒(𝑡)−𝜂𝑑𝑒𝑇𝑠 𝐶𝑚𝑎𝑥𝑑𝑒 𝑃𝑑𝑒(𝑡) (7. 12) En la siguiente tabla se recogen los valores de los diferentes parámetros del modelo, donde los valores de los rendimientos se han obtenido de forma experimental y el resto son datos obtenidos del catálogo: Tabla 7.1 Parámetros del modelo 𝜂 𝐶𝑚𝑎𝑥(𝐴ℎ) Batería plomo 0.2000 (6% 𝑉−1) 125 Batería litio 0.2318 (6% 𝑉−1) 225 Supercondensador 0.0238 (𝑚3/𝑠𝑘𝑊) 125 Plataforma Melex 0.3978 (𝑚3/𝑠𝑘𝑊) 225 Plataforma Delfín 0.3978 (𝑚3/𝑠𝑘𝑊) 225 A partir de lo desarrollado anteriormente, se puede crear el modelo de espacio de estados de la siguiente forma:
62 Figura 8.2: Segunda mitad del diagrama del modelo proporcionado incluyendo el controlador MPC y los dos bloques de detección de fallos mediante la generación de residuos. El modelo de microrred representado en las Figuras 8.1 y 8.2 es controlado por un controlador MPC, el cual utiliza las salidas y entradas anteriores de la microrred para generar, optimizando una función de coste, nuevas entradas para el modelo. El controlador proporcionado tiene un tiempo de muestreo de un segundo, un horizonte de control de dos segundos y un horizonte de predicción de diez segundos. El modelo proporcionado, parte de un modelo previo al cual se le añadieron los dos bloques de detección de fallos mediante la generación de residuos, los cuales pueden apreciarse en la figura (8.2). El presente trabajo parte del modelo descrito anteriormente, el cual estaba diseñado para la detección de fallos y el posterior aislamiento de manera que se determine en qué momento ocurre el fallo y qué componente es el que está fallando. Como continuación al modelo de microrred proporcionado, la propuesta de este trabajo trata sobre la detección de posibles ciberataques que pudieran ocurrir, en este caso a los distintos componentes que integran la microrred. La distinción entre un ciberataque y un fallo puede considerarse de la siguiente manera: La ocurrencia de un fallo es algo que sucede de manera puntual, de modo que la alteración del funcionamiento de un
63 componente en un intervalo de tiempo está marcada por la existencia o no de un cambio en el comportamiento. Sin embargo, cuando se produce un ciberataque, tal y como se ha desarrollado anteriormente en el capítulo 3, el objetivo de los “ciberatacantes” puede ser la extracción de información comprobando los distintos funcionamientos del sistema realizando numerosas acciones en un periodo de tiempo determinado. Figura 8.3: Secuencia de ciberataque a lo largo de N pasos. Fuente: [39] La figura 8.3, extraída de un artículo de la Universidad de Burdeos (Université Bourdeaux) que trata sobre ciberataques “DoS” (denegación de servicio) a sistemas controlados por modelos basados en control predictivo MPC, proporciona una visión de cómo sería la secuencia de un ciberataque a lo largo de N pasos. La franja azul se correspondería con lo que sería el “umbral” de nuestro modelo predictivo y la línea de trazo continuo representada en la gráfica se correspondería con el residuo generado. Las estrellas rojas indican la presencia de ciberataque en el paso correspondiente. Como puede observarse, si el modelo está correctamente programado y no hay existencia de falsos positivos ni falsos negativos, cuando hay presencia de ciberataque la gráfica correspondiente al residuo debería de sobrepasar el umbral establecido indicando así la presencia de ciberataques. La diferencia fundamental entre una secuencia de fallos consecutivos no provocada de manera intencionada con otra provocada intencionadamente es que, una vez ocurrido el fallo, la probabilidad de que el funcionamiento del sistema volviese a ser el adecuado sería mínima, pues necesitaría de la intervención de un factor humano a menos que estuviese programado para su reajuste automático. En un ciberataque, el atacante manipula a su voluntad el funcionamiento de la red, provocando esta sucesión de intervalos en los que se alterna un funcionamiento correcto, dentro del valor de los umbrales establecidos, y un incorrecto funcionamiento que sobrepasa estos umbrales, para finalmente terminar en un correcto funcionamiento, lo que da lugar a sospecha de que el sistema está siendo atacado. Además, los delincuentes informáticos por lo general quieren pasar desapercibidos durante las interferencias que realizan, salvo que el objetivo principal sea desestabilizar el sistema.
64 Es entonces la base fundamental para la realización de las simulaciones el procedimiento anteriormente explicado, el cual servirá para justificar el modelo de ciberataque que será ejecutado en las simulaciones que se representarán a continuación. Al igual que en el procedimiento de detección de fallos, en donde se consideraba la existencia de fallo cuando el valor de residuo superaba el valor de un umbral preestablecido, en el caso de ciberataque el funcionamiento será similar, con la particularidad de que un ciberataque podría considerarse una sucesión consecutiva de fallos que ocurren en un periodo determinado de tiempo. El modelo de simulación proporcionado permite elegir entre el estado de carga inicial, desde carga baja hasta carga media y alta. De cara a los resultados, seleccionando cualquier estado de carga la respuesta de los algoritmos a los fallos es equivalente, de modo que la elección no es relevante a la hora de evaluar los resultados. Se selecciona por tanto un estado de carga medio. En las secciones siguientes, se evaluará el valor del residuo ante ciberataques provocados en elementos de la microrred teniendo en cuenta la influencia del valor 𝑝 en la determinación de los umbrales. Para llevar a cabo la simulación de los ciberataques en el modelo de la microrred, se ha procedido a actualizar el “switch” original del modelo proporcionado, el cual permitía de manera manual provocar un fallo sobre un componente en un determinado instante de tiempo, al conseguir que la potencia facilitada sea nula, lo que indicaría presencia de fallo. La actualización del “switch” consiste en incluir un bloque función de MatLab® en el que se ha programado una secuencia de fallos y “no fallos”, mediante una secuencia binaria que permite alternar de “no fallo” a fallo y de fallo a “no fallo”. Además de permitir la alternancia entre fallos se puede seleccionar el instante de tiempo en el que ocurre la alternancia. Mediante esta actualización, la simulación de los ciberataques se desarrolla de manera óptima, emulando la secuencia de ciberataque propuesta en el artículo de la Universidad de Burdeos que se ha citado anteriormente. El bloque tiene dos entradas, la primera es la potencia y la segunda es el tiempo de simulación, de modo que, si en un instante de tiempo concreto, la simulación está en un intervalo de fallo, el bloque devuelve "0" y, si está en un intervalo de no fallo, entonces devuelve el valor de la primera entrada (la potencia). A continuación, en la Figura 8.4 se muestra el bloque mencionado anteriormente:
65 Figura 8.4: Bloque función de Matlab® programada para crear la secuencia de fallos que simularían un ciberataque. Figura 8.5: Líneas de código que componen el bloque función de Matlab®. En la Figura 8.4 se puede ver el bloque función de Matlab® el cual permite programar la secuencia de fallos tal y como se desee y en la Figura 8.5 se tiene el desarrollo del código creado para configurar el supuesto ciberataque.
66 El código mostrado en la Figura 8.5 basa su funcionamiento en la variable fallos, la cual permite seleccionar el instante de tiempo en el que se quiere provocar el fallo, además de indicar si se está en presencia de fallo o no. Añadir un 1 a la derecha del tiempo, indicaría que a partir de ese instante de tiempo se encontraría fallando el sistema. De la misma manera, añadiendo un 0 se tendría ausencia de fallo de modo que el funcionamiento del sistema sería el correcto. Asociado a la existencia o no de fallo, se programa el bloque de modo que si se está en presencia de fallo la potencia de salida del bloque sería nula (tal y como debe de ocurrir en presencia de fallo) y en caso de no existencia de fallo, la potencia de salida del bloque sería la potencia de entrada al bloque. Figura 8.6: Valores de residuos calculados para un perfil de ciberataque mediante filtro de Kalman y ecuaciones de paridad.
67 En la Figura 8.6 se representa el cálculo de residuos ante un perfil de ciberataque diseñado en la Figura 8.5 tanto para el método de ecuaciones de paridad como para filtro de Kalman, así como los umbrales superiores e inferiores. Para la detección de ciberataques, se ha creado una configuración de modo que, a partir de un número determinado de fallos ocurridos desde el inicio de la simulación, se consideraría que el elemento en cuestión está siendo objetivo de un ciberataque. Como puede observarse, en la gráfica inferior (Figura 8.7), en el instante t = 1050 s se detecta el ciberataque y por tanto la variable binaria “Existencia de ciberataque” toma el valor 1. Se muestra en este caso la variable binaria asociada al perfil de ciberataque mediante filtro de Kalman. Figura 8.7: Representación de la variable binaria asociada al perfil de ciberataque mediante filtro de Kalman. 8.1 Ciberataque a la batería de plomo-ácido El ciberataque a la batería de plomo-ácido se ha programado para que ocurra en el periodo de tiempo entre 𝑡=1000 𝑠 y 𝑡=1300 𝑠. La frecuencia del ciberataque o el número de fallos ocurridos en ese periodo de tiempo que se asocian a la existencia de ciberataque ha sido seleccionado de manera aleatoria de modo que el “ciberatacante” no ha seguido un patrón definido en el tiempo. La manera de provocar el ciberataque es mediante el bloque función de MatLab® anteriormente explicado, en el intervalo de tiempo definido, se programan al azar una secuencia de fallos y no fallos que alteran la entrada de potencia al componente en cuestión, provocando en consecuencia que el residuo generado sufra variaciones las cuales es necesario detectar para identificar el ciberataque. Se considera que hay existencia de ciberataque a partir de un número de n=3 fallos detectados. Las desviaciones estándar, obtenidas a partir de datos históricos, para el cálculo de los umbrales son: 𝜎𝑝𝑎𝑟𝑖𝑑𝑎𝑑 𝑝𝑏 =9.6394∙10−4 ; 𝜎𝐾𝑎𝑙𝑚𝑎𝑛 𝑝𝑏 =0.0010 (8.1)
68 La media se obtiene en cada tiempo de muestreo, de igual manera para cada elemento, a partir de los datos históricos para una ventana de tiempo (𝑡+𝑝1) tratándose por tanto de una media móvil siendo 𝑝1=6. Los umbrales estocásticos se calculan, tal y como se detalla en el epígrafe 6.4, haciendo uso de la ICDF (Inverse Cumulative Distribution Function) de una distribución normal para cada instante de tiempo. El código utilizado en MatLab® (aplicable para el resto de los componentes de la microrred) es (Figura 8.8): Figura 8.8: Código de MatLab® para el cálculo de los umbrales estocásticos. A continuación, se muestran las figuras correspondientes a los ciberataques provocados sobre la batería de plomo-ácido, utilizando los métodos de detección de fallos de ecuaciones de paridad y filtro de Kalman. Los valores de 𝑝 seleccionados son 0.85, 0.75 y 0.65 respectivamente (Figuras 8.9 a 8.14). Los umbrales superior e inferior se describen mediante las líneas azules y rojas, respectivamente.
69 Figura 8.9: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 3 fallos a la batería plomo-ácido mediante ec. de paridad con p= 0.85. Figura 8.10: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 3 fallos a la batería plomo-ácido mediante filtro de Kalman con p= 0.85.
70 Figura 8.11: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 3 fallos a la batería plomo-ácido mediante ec. de paridad con p= 0.75. Figura 8.12: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 3 fallos a la batería plomo-ácido mediante filtro de Kalman con p= 0.75.
71 Figura 8.13: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 3 fallos a la batería plomo-ácido mediante ec. de paridad con p= 0.75. Figura 8.14: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 3 fallos a la batería plomo-ácido mediante filtro de Kalman con p= 0.75.
78 Figura 8.21: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 5 fallos al supercondensador mediante ec. de paridad con p= 0.85. Figura 8.22: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 5 fallos al supercondensador mediante filtro de Kalman con p= 0.85.
79 Figura 8.23: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 5 fallos al supercondensador mediante ec. de paridad con p= 0.75. Figura 8.24: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 5 fallos al supercondensador mediante filtro de Kalman con p= 0.75.
80 Figura 8.25: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 5 fallos al supercondensador mediante ec. de paridad con p= 0.65. Figura 8.26: Simulación de ciberataque, detección de fallos y detección de ciberataque tras 5 fallos al supercondensador mediante filtro de Kalman con p= 0.65.
81 En vista a las figuras anteriores, se observa la relevancia de seleccionar un valor de p adecuado: ● 𝒑=𝟎.𝟖𝟓: Se tiene que el algoritmo no es capaz de detectar el ciberataque mediante ninguno de los dos métodos utilizados, de modo que esta situación sería la de falso negativo, dando lugar a que el ciberataque pase desapercibido. ● 𝒑=𝟎.𝟕𝟓: En este caso, sigue siendo indetectable el ciberataque para el método de filtro de Kalman, sin embargo, para el método basado en las ecuaciones de paridad se pueden apreciar dos fallos, los cuales, no serían suficientes para sospechar de un posible ciberataque habiendo establecido el criterio de detección a partir del quinto fallo. ● 𝒑=𝟎.𝟔𝟓: Finalmente, seleccionando este valor de p, se consigue detectar con efectividad la presencia de ciberataque en el método de ecuaciones de paridad. En este caso, el método de filtro de Kalman presenta unas variaciones en el residuo muy pequeñas que no llegan a alcanzar los valores de los umbrales seleccionados de modo que para este caso en particular el filtro de Kalman no detecta el ciberataque, la solución básica sería seguir reduciendo aún más el umbral, pero podría conllevar a la aparición de numerosos falsos positivos en instantes de tiempo en los que no estaría ocurriendo el ciberataque. Es por lo ocurrido anteriormente que es de vital importancia disponer de al menos dos métodos de detección de ciberataques de modo que en caso de que uno no detecte se disponga de otro para contrastar el resultado obtenido.
82 9 Conclusiones El desarrollo de este trabajo parte de la problemática actual de todo lo relacionado con la seguridad informática, dado que cada día se informatizan y automatizan numerosos procesos los cuales no están exentos de ser víctimas de ataques de interferencia ilícita. Es de lo anteriormente expuesto de donde nace el concepto de “ciberataque” y posteriormente la respuesta a ello que sería la ciberseguridad. La ciberseguridad es un mundo extremadamente amplio que abarca multitud de facetas diferentes dada la complejidad y la gran variedad de posibilidades mediante las cuales los ciberdelincuentes pueden realizar los actos ilícitos contra los sistemas informáticos. En este proyecto, se parte de un modelo de microrred proporcionado, al cual, se le han aplicado las modificaciones necesarias para poder realizar simulaciones que emulen el proceso de un ciberataque y las medidas para detectar o al menos tener sospechas de que en efecto se podría estar produciendo. 9.1 Rendimiento del modelo predictivo aplicado a ciberataques Para la detección de posibles ciberataques, se han utilizado dos métodos distintos, pero con la misma finalidad, la detección del ciberataque mediante un residuo generado. De modo que si se superan unos umbrales establecidos se entiende que el funcionamiento no sería el adecuado y por lo tanto se podría tener sospecha de que un ciberataque pudiera estar ocurriendo. Lo que diferencia a ambos métodos es la manera de calcular el residuo a partir de las entradas, que son comunes para ambos algoritmos también, a excepción de las variables estadísticas que el observador basado en el filtro de Kalman implementa para una mejor estimación, mientras que las ecuaciones de paridad utilizan únicamente las entradas y salidas del sistema. En cuanto a los resultados obtenidos, existen factores que determinan la eficiencia de los algoritmos, los cuales son fundamentales para tener en cuenta la correcta detección de los ciberataques, algunos importantes como: ● Valor de 𝑝 seleccionado: Es fundamental seleccionar un valor de 𝑝 idóneo que permita la correcta detección de los ciberataques sin causar confusiones mediante la detección de falsos positivos ajustando en exceso su valor, o empleando umbrales demasiado grandes de forma que puedan llegar a pasar desapercibidos los posibles ciberataques. La solución correcta vendría determinada por un historial elevado de casos, que permita ir ajustando poco a poco y de manera precisa el rango de valores de 𝑝 adecuados.
83 ● Correcto funcionamiento del modelo: Dado que el funcionamiento de las simulaciones está fundamentado en la utilización de algoritmos basado en modelo, el correcto ajuste de estos es fundamental para que proporcionen unas salidas con valores que se acerquen a la realidad del proceso. No tendría ningún sentido este método de detección de ciberataques si los resultados que están proporcionando los modelos tienen desajustes de tal magnitud que no se correspondan con la realidad. ● Momento del ciberataque: Durante la realización de las simulaciones se pudo comprobar que la correcta detección de las cadenas de fallos en serie (posibles ciberataques) tenían una probabilidad mucho más elevada de detectarse si el elemento en cuestión se encontraba en funcionamiento, de modo que si el elemento se encontraba en fase de reposo (provee potencia con menor intensidad) la detección se complicaba. 9.2 Líneas futuras Las futuras líneas de investigación podrían enfocarse en la mejora de adaptación de los algoritmos a las tácticas cambiantes de los ciberdelincuentes. Esto implica el desarrollo de técnicas de aprendizaje automático que sean capaces de ajustarse dinámicamente a nuevos patrones de ataque y que puedan aprender de manera continua a partir de datos en tiempo real. En vista a lo expuesto en las líneas anteriores, la inteligencia artificial podría ampliar la identificación de patrones más complejos y la correlación de información a gran escala. Mediante el uso de la inteligencia artificial y una base de datos de ciberataques a lo largo de la historia, se podría conseguir llegar a una precisión adecuada para que se detecten de manera correcta los ciberataques a pesar de las posibles variaciones que los ciberdelincuentes puedan ir añadiendo. Como ejemplo de mejora al modelo propuesto se tiene la posibilidad de monitorizar la diferencia entre los umbrales y el residuo generado, de modo que cuando experimente caídas por debajo de otro umbral seleccionado se puedan tener sospechas de la existencia de ciberataque, todo esto sin necesidad de que se sobrepasen los umbrales iniciales, aunque sí que deberían de estar muy cerca de ser sobrepasados. A continuación (Figura 9.1) se muestra un perfil de ciberataque que está muy cerca de sobrepasar los umbrales pero no llega a sobrepasarlos:
84 Figura 9.1: Valores residuales y umbrales estocásticos mediante ec. de paridad representados en el ciberataque al supercondensador con p=0.78. Como se puede apreciar, para el valor de p=0.78 se consigue estar muy cerca de los umbrales, pero no se llegan a sobrepasar, para ello se podría diseñar la siguiente solución (Figura 9.2): Figura 9.2: Diferencia entre residuo generado y umbral superior para un ciberataque al supercondensador para un valor de p=0.78 mediante ec. de paridad. En la figura mostrada se muestra el valor diferencial entre el residuo generado y el umbral superior (se podría hacer con el umbral inferior también). Se puede observar una clara alteración en el valor mientras se produce el ciberataque en comparación con su funcionamiento correcto. Se han posicionado como ejemplo unos nuevos umbrales superior e inferior que podrían servir para detectar la posibilidad de ciberataque.
85 Esto serviría como un método auxiliar o adicional de detección monitorizando a su vez los valores diferenciales entre umbrales y residuo, teniendo en cuenta que habría que ajustarlos correctamente para evitar la detección de falsos positivos. Como método de defensa ante la repentina detección de un posible ciberataque, se tendría la posibilidad de desactivar el componente atacado en cuestión. Para ello se procede a realizar una reconfiguración de modo que una vez detectado el ciberataque se anule la utilización del componente. Para ejemplificarlo se va a suponer que en 𝑡=1300 𝑠 se ha detectado la posible presencia de un ciberataque a la batería de plomo-ácido mediante alguno de los métodos citados anteriormente y de manera automática se inhabilita el funcionamiento de la batería para proteger el sistema. Para mostrar el efecto de la reconfiguración se tienen las siguientes imágenes: Figura 9.3: Evolución de la potencia de la batería plomo-ácido mientras se produce un ciberataque detectado en t = 1300 s. Figura 9.4: Evolución del estado de carga de la batería plomo-ácido mientras se produce un ciberataque detectado en t = 1300 s.
86 En la Figura 9.3 se muestra la evolución de la potencia de la batería plomo-ácido ante la presencia de un ciberataque detectado en 𝑡=1300 𝑠. Como se puede observar, a partir del segundo 1300, el valor de potencia de la batería se sitúa en 0, indicando que se ha desactivado el elemento en cuestión. En la Figura 9.4 se muestra la evolución del estado de carga de la batería plomo-ácido ante la presencia de un ciberataque detectado en 𝑡=1300 𝑠. En este caso se aprecia que a partir del segundo 1300, el estado de carga de la batería se mantiene constante con el valor que tenía en el mismo instante que es detectado el ciberataque. Esto indica que la batería no está siendo utilizada como efecto de la desactivación para proteger el elemento del ciberataque. Las mejoras explicadas anteriormente, junto con la utilización de la inteligencia artificial, permitirán mejorar la protección ante interferencias ilícitas de carácter informático.
87
94 [24] «Mobbeel,» https://www.mobbeel.com/blog/que-es-la-autenticacion-multifactor-o-de-2- factores/#:~:text=La%20Autenticaci%C3%B3n%20Multifactor%20(MFA)%20es,a%20 una%20cuenta%20o%20plataforma.. [25] «Elperiodicodelaenergia,» https://elperiodicodelaenergia.com/la-ciberseguridad-se- convierte-en-una-prioridad-de-las-electricas-por-el-aumento-de-las-amenazas-durante- la-covid-19/. [26] «Antiun,» https://www.antiun.com/firewall/. [27] I. N. d. Ciberseguridad, «incibe,» https://www.incibe.es/incibe/formacion. [28] «ciberseguridad,» https://ciberseguridad.com/guias/nuevas-tecnologias/computacioncuantica/. [29] I. N. d. Ciberseguridad, «incibe,» https://www.incibe.es/incibe/sala-de-prensa/incibefirma-cinco-convenios-para-formar-en-ciberseguridad-mas-de-1700. [30] INTA. https://www.inta.es/INTA/es/index.html. [31] R. Isserman, Fault-diagnosis system: An introduction from fault detection to fault tolerance, 2005. [32] T. V. Berbesi, Aplicación de técnicas robustas para detección y diagnóstico de fallos, Universidad de Valladolid: Ph.D. thesis, 2012. [33] V. Puig, J. Quevedo, T. Escobet, B. Morcego y C. Ocampo, Control tolerante a fallos (parte I): Fundamentos y diagnóstico de fallos, 2004. [34] J. Chen, Model-based methods for fault diagnosis, 1995. [35] J. J. M. Quintero, Control predictivo tolerante a fallos aplicado a sistemas de energía, Universidad de Sevilla, 2021. [36] L. F. B. Quintana y L. J. d. M. González, Diagnóstico de fallos basado en el modelo de la planta, Universidad de León, 2003.
95 [37] U. Wang y J. Sarangapani, «Cyber-attack detection and mitigation in control systems: A model predictive control approach» Journal of Process Control, 2016. [38] J. d. D. P. Guevara, Detección de fallos de una microrred mediante algoritmos basados en modelo, Universidad de Sevilla, 2022. [39] B.Auboin, A.Perodou, C.Combastel, A.Zolghadri, Resilient tube-based MPC for Cyber- Physical Systems Under DoS Attacks, Universidad de Burdeos 2022.
Anexo: Códigos de MatLab® Se adjunta a continuación los códigos de MatLab® utilizados para la elaboración de las simulaciones de los ciberataques, detección de fallos y detección de ciberataques.
1 of 4 clear; close all; load("residuos24h.mat"); load("Res_ec_paridad_ciber2.mat"); load("residuos24h_kalman.mat"); load("Res_ec_kalman_ciber2.mat"); r_Ppb=r_nofault.data(:,1); %fallo en t=8000s r_Ppbf=r.data(:,1); r_Ppbk=r_kalmannofault.data(:,1); r_Ppbkf=r_kalman.data(:,1); p=0.85; desviacion_pb=std(r_Ppb); desviacion_pbk=std(r_Ppbk); %calculo medias for i=1:(length(r_Ppb)-6) media_pb(i)=mean(r_Ppb(i:(6+i))); media_pbk(i)=mean(r_Ppbk(i:(6+i))); end for t=1:length(media_pb) beta_pb(t)=norminv(p,media_pb(t), desviacion_pb); gamma_pb(t)=norminv(1-p,media_pb(t), desviacion_pb); beta_pbk(t)=norminv(p,media_pbk(t), desviacion_pbk); gamma_pbk(t)=norminv(1-p,media_pbk(t), desviacion_pbk); end % Número de fallos para presencia de ciberataque ref_num_fallos = 3; cuenta_pb = 0; for t=1:length(r_Ppbf) if r_Ppbf(t)>beta_pb(t) | r_Ppbf(t)<gamma_pb(t) rb_pb(t)=1; if t==1 rb_pb_ant=0; else rb_pb_ant=rb_pb(t-1); end if rb_pb(t)==1 && rb_pb_ant==0 cuenta_pb = cuenta_pb + 1; end else rb_pb(t)=0; end if cuenta_pb >= ref_num_fallos detectado_pb(t) = 1; else Código simulación batería Plomo-ácido
2 of 4 detectado_pb(t) = 0; end end cuenta_pbk = 0; for t=1:length(r_Ppbkf) if r_Ppbkf(t)>beta_pbk(t) | r_Ppbkf(t)<gamma_pbk(t) rb_pbk(t)=1; if t==1 rb_pbk_ant=0; else rb_pbk_ant=rb_pbk(t-1); end if rb_pbk(t)==1 && rb_pbk_ant==0 cuenta_pbk = cuenta_pbk + 1; end else rb_pbk(t)=0; end if cuenta_pbk >= ref_num_fallos detectado_pbk(t) = 1; else detectado_pbk(t) = 0; end end % % figure(1); plot(beta_pb); title(['Ciberataque plomo ec.paridad p= ' num2str(p)]); xlabel('Tiempo(segundos)');ylabel('Residuo'); hold on; plot(gamma_pb); plot(r_Ppbf); xlim([10 1500]); % figure(2); plot(beta_pbk); title(['Ciberataque plomo Kalman p= ' num2str(p)]); xlabel('Tiempo(segundos)');ylabel('Residuo'); hold on; plot(gamma_pbk); plot(r_Ppbkf); xlim([10 1500]); % % figure(3); plot(rb_pb);title(['Detección de fallos ec.paridad p= ' num2str(p)]); xlabel('Tiempo(segundos)');ylabel('Existencia de fallos'); xlim([10 1500]); ylim([-0.5 1.5]); % figure(4); plot(rb_pbk);title(['Detección de fallos Kalman p= ' num2str(p)]); xlabel('Tiempo(segundos)');ylabel('Existencia de fallos'); xlim([10 1500]); ylim([-0.5 1.5]); % % figure(5); plot(detectado_pb);title(['Detección de ciberataque ec.paridad tras ' num2str(ref_num_fallos) ' fallos ' 'p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Existencia de ciberataque'); xlim([10 1500]); ylim([-0.5 1.5]); % figure(6); plot(detectado_pbk);title(['Detección de ciberataque Kalman tras ' num2str(ref_num_fallos) ' fallos ' 'p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Existencia de ciberataque'); xlim([10 1500]); ylim([-0.5 1.5]); % Primera figura con tres subplots figure(1); subplot(3, 1, 1); plot(beta_pb); hold on; plot(gamma_pb);
3 of 4 plot(r_Ppbf); xlim([10 1500]); title(['Ciberataque plomo ec.paridad p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Residuo'); subplot(3, 1, 2); plot(rb_pb); hold on; % plot(rb_pbk); xlim([10 1500]); ylim([-0.5 1.5]); title(['Detección de fallos ec.paridad p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Existencia de fallos'); subplot(3, 1, 3); plot(detectado_pb); hold on; % plot(detectado_pbk); xlim([10 1500]); ylim([-0.5 1.5]); title(['Detección de ciberataque ec.paridad tras ' num2str(ref_num_fallos) ' fallos ' 'p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Existencia de ciberataque'); % Segunda figura con tres subplots figure(2); subplot(3, 1, 1); plot(beta_pbk); hold on; plot(gamma_pbk); plot(r_Ppbkf); xlim([10 1500]); title(['Ciberataque plomo Kalman p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Residuo'); subplot(3, 1, 2); % plot(rb_pb); % hold on; plot(rb_pbk); xlim([10 1500]); ylim([-0.5 1.5]); title(['Detección de fallos Kalman p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Existencia de fallos'); subplot(3, 1, 3); % plot(detectado_pb); % hold on; plot(detectado_pbk); xlim([10 1500]); ylim([-0.5 1.5]);
4 of 4 title(['Detección de ciberataque Kalman tras ' num2str(ref_num_fallos) ' fallos ' 'p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Existencia de ciberataque');
1 of 4 clear; close all; load("residuos24h.mat"); load("Res_ec_paridad_ciber_litio.mat"); load("residuos24h_kalman.mat"); load("Res_ec_kalman_ciber_litio.mat"); r_Pli=r_nofault.data(:,2); %Ciberataque entre t=4500 y t=5000 r_Plif=r.data(:,2); r_Plik=r_kalmannofault.data(:,2); r_Plikf=r_kalman.data(:,2); p=0.65; desviacion_li=std(r_Pli); desviacion_lik=std(r_Plik); %calculo medias for i=1:(length(r_Pli)-6) media_li(i)=mean(r_Pli(i:(6+i))); media_lik(i)=mean(r_Plik(i:(6+i))); end for t=1:length(media_li) beta_li(t)=norminv(p,media_li(t), desviacion_li); gamma_li(t)=norminv(1-p,media_li(t), desviacion_li); beta_lik(t)=norminv(p,media_lik(t), desviacion_lik); gamma_lik(t)=norminv(1-p,media_lik(t), desviacion_lik); end % for t=1:length(r_Plif) % if r_Plif(t)>beta_li(t) | r_Plif(t)<gamma_li(t) % rb_li(t)=1; % else % rb_li(t)=0; % end % end % for t=1:length(r_Plikf) % if r_Plikf(t)>beta_lik(t) | r_Plikf(t)<gamma_lik(t) % rb_lik(t)=1; % else % rb_lik(t)=0; % end % end % Número de fallos para presencia de ciberataque ref_num_fallos = 4; cuenta_li = 0; for t=1:length(r_Plif) if r_Plif(t)>beta_li(t) | r_Plif(t)<gamma_li(t) Código simulación batería Lítio
2 of 4 rb_li(t)=1; if t==1 rb_li_ant=0; else rb_li_ant=rb_li(t-1); end if rb_li(t)==1 && rb_li_ant==0 cuenta_li = cuenta_li + 1; end else rb_li(t)=0; end if cuenta_li >= ref_num_fallos detectado_li(t) = 1; else detectado_li(t) = 0; end end cuenta_lik = 0; for t=1:length(r_Plikf) if r_Plikf(t)>beta_lik(t) | r_Plikf(t)<gamma_lik(t) rb_lik(t)=1; if t==1 rb_lik_ant=0; else rb_lik_ant=rb_lik(t-1); end if rb_lik(t)==1 && rb_lik_ant==0 cuenta_lik = cuenta_lik + 1; end else rb_lik(t)=0; end if cuenta_lik >= ref_num_fallos detectado_lik(t) = 1; else detectado_lik(t) = 0; end end % figure(1); plot(beta_li); title(['Ciberataque litio ec.paridad p= ' num2str (p)],'FontSize', 25); xlabel('Tiempo(segundos)','FontSize', 20);ylabel ('Residuo','FontSize', 20); hold on; plot(gamma_li); plot(r_Plif); xlim([4000 5500]); % figure(2); plot(beta_lik); title(['Ciberataque litio Kalman p= ' num2str (p)],'FontSize', 25); xlabel('Tiempo(segundos)','FontSize', 20);ylabel ('Residuo','FontSize', 20); hold on; plot(gamma_lik); plot(r_Plikf); xlim([4000 5500]); % figure(3); plot(rb_li); title(['Detección de fallos ec.paridad p= ' num2str (p)],'FontSize', 25); xlabel('Tiempo(segundos)','FontSize', 20);ylabel('Existencia de
3 of 4 fallos','FontSize', 20); xlim([4000 5500]); ylim([-0.5 1.5]); % figure(4); plot(rb_lik); title(['Detección de fallos Kalman p= ' num2str (p)],'FontSize', 25); xlabel('Tiempo(segundos)','FontSize', 20);ylabel('Existencia de fallos','FontSize', 20); xlim([4000 5500]); ylim([-0.5 1.5]); % figure(5); plot(detectado_li);title(['Detección de ciberataque ec.paridad tras ' num2str(ref_num_fallos) ' fallos ' 'p= ' num2str(p)],'FontSize', 25); xlabel('Tiempo (segundos)','FontSize', 20);ylabel('Existencia de ciberataque','FontSize', 20); xlim ([4000 5500]); ylim([-0.5 1.5]); % figure(6); plot(detectado_lik);title(['Detección de ciberataque Kalman tras ' num2str(ref_num_fallos) ' fallos ' 'p= ' num2str(p)],'FontSize', 25); xlabel('Tiempo (segundos)','FontSize', 20);ylabel('Existencia de ciberataque','FontSize', 20); xlim ([4000 5500]); ylim([-0.5 1.5]); % Primera figura con tres subplots figure(1); subplot(3, 1, 1); plot(beta_li); hold on; plot(gamma_li); plot(r_Plif); xlim([4000 5500]); title(['Ciberataque Litio ec.paridad p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Residuo'); subplot(3, 1, 2); plot(rb_li); hold on; % plot(rb_pbk); xlim([4000 5500]); ylim([-0.5 1.5]); title(['Detección de fallos ec.paridad p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Existencia de fallos'); subplot(3, 1, 3); plot(detectado_li); hold on; % plot(detectado_pbk); xlim([4000 5500]); ylim([-0.5 1.5]); title(['Detección de ciberataque ec.paridad tras ' num2str(ref_num_fallos) ' fallos ' 'p= ' num2str(p)]); xlabel('Tiempo(segundos)'); ylabel('Existencia de ciberataque'); % Segunda figura con tres subplots figure(2); subplot(3, 1, 1); plot(beta_lik); hold on; plot(gamma_lik); plot(r_Plikf); xlim([4000 5500]);