Moderne energiesystemen zijn niet langer alleen maar massieve machines die in het donker draaien; het zijn uitgestrekte, onderling verbonden netwerken van digitale sensoren die elke draad, schakelaar en generator in de gaten houden. Deze sensoren, vaak slimme meters of proces-tags genoemd, sturen een constante stroom gegevens naar een centraal controlecentrum, waar computermodellen proberen iets ongewoons te ontdekken. Als een pijp barst, een generator uitvalt of een lijn wordt doorgeknipt, zouden de cijfers op een andere manier moeten veranderen dan bij normaal gebruik. De hoop is altijd geweest dat deze computermodellen als een onvermoeibaar oog konden fungeren, dat problemen op het moment dat ze beginnen direct opmerkt. Maar dit vertrouwen in één enkele, centrale hersenpan creëert een gevaarlijke zwakte. Als een aanvaller erin slaagt de controle over zelfs maar een paar van deze sensoren over te nemen, kunnen ze het centrale model een constante stroom leugens voeren. Ze kunnen een echt drama verbergen door de cijfers er normaal uit te laten zien, of ze kunnen een nepdrama creëren door normale cijfers er gevaarlijk uit te laten zien, zonder dat het centrale systeem ooit weet welke sensoren de waarheid spreken.

Onderzoekers weten al lang dat standaard computermodellen op deze manier kwetsbaar zijn. De meeste van deze modellen bekijken het hele elektriciteitsnet als één grote puzzel, waarbij ze patronen zoeken over honderden datapunten tegelijk. Het probleem is dat als een aanvaller slechts een paar stukjes van die puzzel beheerst, hij het hele plaatje naar eigen wens kan verdraaien. Een nieuwe studie van ingenieurs van State Grid Jibei Information & Telecommunication Company en State Grid Jibei Electric Power Company Limited stelt een andere manier voor om het probleem te bekijken. In plaats van één allesziend model te vertrouwen, hebben zij een systeem gebouwd dat elke sensor met argwaan behandelt en het verhaal ervan controleert tegen de verhalen van de buren. Ze noemen dit systeem TALLY, en het is ontworpen om een specifieke, cruciale vraag te beantwoorden: hoeveel sensoren kan een aanvaller controleren voordat het systeem niet langer betrouwbaar is?

De onderzoekers bouwden hun oplossing rond een simpel maar krachtig idee: als je een groep sensoren opdeelt in kleinere, onafhankelijke teams, kan een leugenaar in het ene team de anderen niet gemakkelijk overtuigen om ook te liegen. In hun ontwerp vraagt het systeem niet aan één groot model om elke sensor te beoordelen. In plaats daarvan creëert het voor elke sensor een klein panel van rechters. Elke rechter kijkt naar een specifieke, beperkte groep andere sensoren om te voorspellen wat de doel-sensor zou moeten doen. Als een sensor de waarheid spreekt, komt de meting overeen met wat de meeste van deze rechters verwacht. Als de sensor liegt, of als hij door een aanvaller wordt gedwongen te liegen, zal de meting opvallen tussen de rest. Het systeem gebruikt vervolgens een stemmechanisme. Het negeert de meest extreme voorspellingen van de rechters en richt zich op het middengebied, waar de eerlijke sensoren zich van nature concentreren. Dit middengebied fungeert als een schild; zelfs als een aanvaller een paar sensoren controleert en probeert de cijfers omhoog of omlaag te duwen, zullen de eerlijke sensoren in het midden hun positie behouden, en zal het systeem weten dat de uitschieters degene zijn die in de gaten gehouden moeten worden.

Om dit idee te testen, draaide het team hun systeem op drie zeer verschillende realistische scenario's. De eerste was een hardware-testbed die een elektriciteitscentrale simuleerde met een ketel en een turbine, waarbij sensoren elke tien seconden gegevens registreerden. De tweede was een dataset van een transmissielijn met relais-sensoren die de stroomstroom monitoren. De derde was een simulatie van een buurtstroomnet, waar slimme meters de werkelijke elektriciteitsconsumptie van echte klanten in de loop van de tijd bijhielden. In elk geval zetten ze hun nieuwe systeem af tegen tien andere veelvoorkomende detectiemethoden, inclusief standaard kunstmatige intelligentie-modellen die naar alle gegevens tegelijk kijken. Vervolgens lanceerden ze een reeks geavanceerde aanvallen, waarbij ze de controle over een paar sensoren overnamen en probeerden de systemen te misleiden om echte aanvallen te missen of valse alarmen te geven.

De resultaten toonden een duidelijk verschil tussen de oude manier en de nieuwe manier. De standaardmodellen, die proberen het hele net in één keer te zien, stortten bijna onmiddellijk in wanneer de onderzoekers slechts één of twee sensoren onder controle hadden. Op het testbed van de elektriciteitscentrale veroorzaakte een enkele gecompromitteerde sensor bij deze standaardmodellen bijna elke keer een vals alarm, waardoor het systeem effectief werd verblind. Het nieuwe TALLY-systeem hield echter stand. Wanneer de onderzoekers het systeem lieten toe een specifiek aantal gecompromitteerde sensoren te tolereren, bleef het echte problemen detecteren terwijl het de leugens negeerde. In de simulatie van het buurtstroomnet was het nieuwe systeem zelfs de beste detector van allemaal, waarbij het de standaardmodellen overtrof zelfs zonder aanvallen, omdat het beter begreep hoe de meters in een buurt elkaar beïwerken.

Misschien was de meest significante bevinding niet alleen dat het systeem werkte, maar dat het een wiskundige garantie kon bieden voor specifieke alarmen. De onderzoekers bouwden een certificaat in het ontwerp dat stelt: als een alarm gecertificeerd is, is het wiskundig onmogelijk voor een aanvaller om het te hebben verstomd door slechts dat aantal sensoren onder controle te hebben. Echter, het systeem kan niet certificeren dat er geen aanval verborgen is als er geen alarm klinkt; als een gebeurtenis niet genoeg gemarkeerde knooppunten genereert om de strikte certificeringsdrempel te halen, blijft het ongecertificeerd, ongeacht of het gedetecteerd is of niet. In de tests identificeerde het nieuwe systeem succesvol de sensoren die de leugen vertelden, door hen te markeren voor onderhoud zonder ooit de eerlijke sensoren de schuld te geven. Zelfs toen de aanvallers probeerden een echte piek in de elektriciteitsvraag te verbergen door een paar meters onder controle te krijgen, gaf het systeem nog steeds het alarm af, en de onderzoekers konden bewijzen dat geen enkele hoeveelheid liegen door die paar meters het had kunnen stoppen.

De studie onthulde ook dat de kosten van deze bescherming afhangen van de aard van het elektriciteitssysteem zelf. In de elektriciteitscentrale, waar sensoren vaak hun eigen voorspelbare patronen volgen, vereiste het toevoegen van meer lagen bescherming een lichte afweging in de snelheid waarmee het systeem kleine problemen opmerkte. Echter, in het buurtstroomnet, waar sensoren sterk van elkaar afhankelijk zijn, was het nieuwe ontwerp superieur in elke opzicht, waarbij het zowel betere detectie als sterkere bescherming bood zonder verlies in prestaties. De onderzoekers ontdekten dat het systeem ingesteld kon worden als een draaiknop; operators kunnen beslissen hoeveel sensoren zij bereid zijn te tolereren als gecompromitteerd en het systeem dienovereenkomstig aanpassen. Als ze de knop instellen om vier slechte sensoren te tolereren, zal het systeem de ruis van die vier negeren en zich richten op de rest, zodat de eerlijke sensoren nooit onterecht beschuldigd worden.

Dit werk beweert niet elk probleem in de beveiliging van het elektriciteitsnet op te lossen. De onderzoekers merkten er zorgvuldig bij op dat hun systeem ervan uitgaat dat de sensoren zelf niet corrupt zijn voordat ze gegevens verzenden, en dat het niet beschermt tegen een aanvaller die de centrale computer zelf overneemt. Het vertrouwt ook op het feit dat de aanvallers niet meer sensoren kunnen controleren dan het systeem is ontworpen om te tolereren. Maar voor de specifieke dreiging van een paar malafide sensoren die leugens in een centraal model voeren, biedt de studie een concrete, bewezen oplossing. Het verschuift het paradigma van het vertrouwen op een enkel, fragiel model naar het vertrouwen op een collectieve, veerkrachtige consensus. Door het elektriciteitsnet op te delen in kleinere, overlappende groepen en de eerlijke meerderheid voor zichzelf te laten spreken, zorgt het systeem ervoor dat zelfs als een aanvaller een paar knooppunten controleert, de waarheid van het netwerk zichtbaar blijft. De bevindingen suggereren dat voor de toekomst van de beveiliging van het slimme elektriciteitsnet het antwoord op de vraag "hoeveel sensoren kunnen we vertrouwen?" niet "allemaal" is, maar "genoeg om een meerderheid te vormen", en dat deze eenvoudige verschuiving in denken het verschil kan maken tussen een elektriciteitsnet dat kwetsbaar is voor misleiding en een net dat veerkrachtig is.