Resilience Revisited: A Multidimensional Framework Derived from Realistic Attack Scenarios

Título: Resiliência Revisitada: Um Framework Multidimensional Derivado de Cenários de Ataque Realistas

Autores: Isaac Ortega Romero e Ioannis Zografopoulos (Universidade de Massachusetts Boston).

---

1. Problema e Motivação

Os sistemas de energia estão cada vez mais vulneráveis a eventos de alto impacto e baixa probabilidade (HILP), como ataques ciberfísicos coordenados direcionados a recursos baseados em inversores (ex.: energia solar fotovoltaica).

• Limitações Atuais: As estruturas de resiliência existentes dependem de métricas unidimensionais (focadas apenas em interrupção de carga ou topologia) e assumem que as dimensões do sistema são independentes.
• O Gap: Essas abordagens falham em capturar os efeitos de acoplamento cruzado entre diferentes domínios (físico, operacional, cibernético, climático e regulatório). Estudos indicam que negligenciar essas interdependências pode subestimar a degradação do sistema em até 65%.
• Contexto: A transição para redes baseadas em inversores introduz novas superfícies de ataque ciberfísico, exigindo frameworks que avaliem a degradação simultaneamente em múltiplas dimensões.

2. Metodologia Proposta: Índice de Resiliência Multidimensional (MDRI)

Os autores propõem o MDRI, um índice que decompõe a degradação do sistema em cinco dimensões interagentes, separando contribuições independentes e acopladas.

A. Definição das Dimensões

O framework avalia cinco sub-índices normalizados:

1. Física ($D_{phy}$): Perda direta de geração (ex.: capacidade PV desconectada).
2. Operacional ($D_{op}$): Resposta dinâmica do sistema, incluindo taxa de variação de frequência (RoCoF), severidade da perda de desempenho e perda de sincronismo entre geradores.
3. Digital-Cibernética ($D_{cyb}$): Comprometimento da capacidade de observação e controle do operador (integridade, disponibilidade, confidencialidade).
4. Climática ($D_{clim}$ - Exógena): Fatores ambientais que amplificam o estresse (ex.: aumento de demanda no inverno, temperaturas extremas, tempestades de neve).
5. Regulatória ($D_{reg}$ - Exógena): Vulnerabilidades institucionais, comparando controles existentes contra um quadro de referência (ex.: falta de autenticação multifator, firmware não corrigido).

B. Estrutura do Cálculo

O índice é calculado em etapas hierárquicas:

1. Dimensões Endógenas: As dimensões Física, Operacional e Cibernética são combinadas. O modelo utiliza uma combinação convexa que separa a soma independente dos efeitos acoplados:
   $$M = (1 - \gamma) \cdot \text{Soma Independente} + \gamma \cdot \text{Termo de Acoplamento (Produto)}$$
   Onde $\gamma$ é um coeficiente de acoplamento calibrado. O termo de produto garante que o efeito de acoplamento só seja ativado quando todas as dimensões endógenas são comprometidas simultaneamente, simulando falhas em cascata.
2. Amplificação Exógena: As dimensões Climática e Regulatória atuam como amplificadores contextuais sobre o núcleo endógeno:
   $$MDRI = M \cdot \prod_{j \in \{clim, reg\}} (1 + D_j)$$

3. Estudo de Caso e Cenários de Ataque

O framework foi validado no sistema teste IEEE 39-bus (Nova Inglaterra), modificado para incluir 1.500 MW de plantas solares fotovoltaicas (14,1% da capacidade total). Os cenários foram baseados em um ataque cibernético coordenado à infraestrutura energética da Polônia em dezembro de 2025.

• Cenário A (Ataque de Base - Planta Única): Ataque isolado a uma única planta PV (190 MW) manipulando o sinal de controle. Os operadores mantêm controle sobre o restante.
• Cenário B (Ataque Multivector em Cascata): Ataque coordenado replicando táticas de grupos de estado (ex.: Sandworm):
  • Interrupção de comunicação em 6 plantas PV (perda de observabilidade e controle).
  • Desconexão forçada de 1.115 MW (74,3% da capacidade PV).
  • Fatores exógenos: Aumento de carga de 25% (inverno) e condições climáticas extremas.

4. Resultados Principais

A. Desempenho Dinâmico

• Cenário A: O sistema manteve a estabilidade de frequência, com recuperação rápida (1,45s) e perda de desempenho mínima (3,8%).
• Cenário B: O ataque multivector causou instabilidade dinâmica severa. A frequência atingiu o nadir em 59,776 Hz, com perda total de sincronismo entre geradores e colapso do sistema em 14,22s. A perda de desempenho foi de 27,7%.

B. Análise do MDRI e Amplificação

• Perda de Resiliência Observada vs. Esperada: Se a degradação fosse linear (baseada apenas na perda de geração), a perda esperada no Cenário B seria 0,179. A perda observada foi 1,0080.
• Fator de Amplificação ($\Lambda$): A degradação real excedeu as expectativas lineares por um fator de 5,6.
• Contribuição do Acoplamento Endógeno: O termo de acoplamento ($\gamma$) contribuiu com 60,6% adicional na degradação do score endógeno, demonstrando que a falha simultânea nas dimensões física, operacional e cibernética cria um efeito sinérgico destrutivo.
• Contribuição Exógena: Os fatores climáticos e regulatórios aumentaram a vulnerabilidade total em 84% sobre o score acoplado.
• Score Final MDRI:
  • Cenário A: 0,142
  • Cenário B: 1,470

5. Contribuições e Significância

1. Novo Framework de Avaliação: O MDRI é a primeira estrutura a decompor explicitamente a resiliência em cinco dimensões, distinguindo entre causas endógenas (falhas internas acopladas) e amplificadores exógenos (contexto ambiental e regulatório).
2. Quantificação de Efeitos Não-Lineares: O estudo prova matematicamente que ataques multivector não são apenas a soma de falhas individuais. A interação entre perda de controle cibernético e instabilidade física gera uma degradação exponencial que métricas tradicionais ignoram.
3. Calibração Baseada em Dados Reais: O coeficiente de acoplamento foi calibrado usando dados de simulação derivados de um cenário de ataque realista (Polônia), tornando o modelo aplicável a cenários de segurança nacional.
4. Implicações para Políticas: Os resultados destacam que a resiliência não pode ser garantida apenas melhorando a infraestrutura física; é crucial abordar a segurança cibernética, a segmentação IT/OT e a preparação regulatória, pois a falha em uma dimensão amplifica drasticamente o impacto nas outras.

Conclusão: O artigo demonstra que a avaliação de resiliência tradicional subestima severamente o risco em redes modernas. O MDRI oferece uma ferramenta robusta para quantificar como falhas simultâneas em múltiplas dimensões podem levar ao colapso sistêmico, fornecendo uma base para o desenvolvimento de estratégias de defesa mais holísticas.