Resilience assessment of cyber-physical water systems

Abstract

Infrastructure planning and management is concerned with the longer term, over a design horizon that typically, for urban water systems, (UWSs) extends to decades (25-50 years). That means that UWSs will inevitably be subjected to unknown, and possibly unknowable at the design/planning stage, future pressures. These pressures include hydro-climatic changes and associated uncertainty that affect water supply in both quantity and acceptable quality levels, as well as demographic and socioeconomic trends (e.g., urban growth, increasing urbanization, changing water demand patterns) affecting water demand, and limited investments affecting the renewal rates and maintenance levels of infrastructure. An increasingly volatile environment is now emerging, challenging conventional planning which relies on the ability to anticipate future change. Thus, a paradigm shift is required for strategic planning. The notion of designing systems with the goal to be ‘fail-safe’ against all anticipated eventualities should be revisited, and a new design goal towards resilient systems which can withstand stresses by being ‘safe-to-fail’, should be set (Butler et al. 2017).Even though resilience is a term that has been dominating the policy discourse and scientific literature across a multitude of domains in recent years, it remains rather elusive in definition. Scholars have suggested several definitions, and while these differ in nuances, most revolve around two broad categories, around ‘engineering’ or ‘ecological’ notions respectively (Holling 1996); the former conceptualizes resilience as the speed of return or recovery ability of a system to nominal conditions after a perturbation, and the latter the ability of a system to withstand and adapt to stress, maintaining a level of function as disturbance unfolds. Specifically, for the water sector, there exist many definitions of resilience and related quantification approaches. These are mostly dependent on what type of system is examined and simulated, and how performance is measured. Some approaches also account for uncertainty in the quantification of resilience, and most are concerned with scenarios of single types of stressors. What is still an open topic in the literature, is a generic, system- and model- agnostic, indicator-flexible, and uncertainty-aware operational definition of resilience for urban water systems (and beyond that, applicable to other engineering systems), able to address scenarios that can range from a single stressor to a multitude of parameters changing bundled up in a whole’ future world view’ stressing the system. Within this context, the ongoing digitalization of the water sector poses new challenges, with the integration of new smart technologies and internet connectivity, transforms urban water systems to complex entities termed cyber-physical systems, or CPSs (i.e., systems that integrate physical processes with computational engineered systems, for remote control, monitoring, analytics etc.). The cyber-physical nature of UWSs was previously rarely addressed in the context of resilience assessment and risk management, although it expands the UWS threat landscape to completely new hazards: those of cyber attacks. Such attacks on CPSs almost always have physical consequences (e.g., disruption of operation), therefore are termed cyber-physical attacks. Their threat is ever-growing, with a recent escalation of incidents. The potential dire consequences (e.g., supply cut-off, waste of recourses, economic and reputational losses) have alerted the water sector and prompted novel research initiatives towards the cyber-security of water systems. Especially concerning are events where cyber-physical attacks can be coupled with other physical attack types that can pose risk to the health and safety of consumers for maximum disruption (e.g., cyber-physical attacks on the contamination warning system of a water distribution network employing water quality sensors combined with backflow injection attacks to contaminate the network) which prompted the expansion of the definition and scope of cyber-physical attacks in this thesis to address them. Yet, there is still a significant gap in theory and practice, regarding the water’s sector capabilities to model water systems as true cyber-physical systems, with a high fidelity representation of the complex interactions and feedback loops between the control and monitoring hardware and software and the physical real-world processes that are needed to really assess the behaviour of water CPSs during cyber-physical attacks. Only recently have relevant tools emerged in research, for a subset of water system types, such as water distribution networks, with models like epanetCPA (Taormina et al. 2017) and DHALSIM (Murillo et al. 2023). Furthermore, even with novel modelling capabilities, there are still a lot of open issues, like water quality aspects in cyber-physical simulation and optimization of the design of water quality sensor networks to be resilient against cyber-physical attacks. This thesis has three objectives: a) formulate a generic, system- and model- agnostic, indicator-flexible, and uncertainty-aware operational definition of resilience for urban water systems, b) advance the conceptualization of water distribution networks as cyber-physical systems and develop modelling tools for simulation of their operation as well as the impact of cyber-physical attacks, and c) systematically assess resilience of water CPSs against complex cyber-physical attacks, that specifically hamper the water quality and endanger the health of consumers, and develop a novel design tool for resilient water quality sensor placement to aid in securing water CPSs. The first objective is tackled by articulating a resilience assessment framework, based on an operationalizable definition, as ‘the degree to which a system continuous to perform under progressively increasing disturbance’. Performance is quantified via the usage of suitable metrics that evaluate ‘the ability of the system to consistently deliver its objectives, considered over a timespan’ (i.e., an expanded reliability indicator). Disturbance is modelled with scenarios that are formed as future, uncertainty aware, world views, combining a multitude of changing parameters that affect the system from its internal., external and transactional realm (scenarios are also adaptable to single stressors). By stress-testing the system against scenarios and evaluating performance, resilience profile graphs can be formed, from which resilience is assessed, and different design configurations can be compared. Even though uncertain future conditions are already represented into the formulation of exploratory and speculative scenarios that are formed, to encapsulate uncertainty in the resilience metric per se, scenarios can incorporate stochastic elements, generating a ‘cloud’ of realizations (with performance evaluation) per scenario type. By statistically accounting for performance quantiles across scenario realizations, performance curves for confidence intervals can be examined, to assess resilience under an uncertainty-aware lens. The framework is demonstrated in a real-world case, and with multiple tools in a modelling chain in a source-to-tap manner. For the second objective, we develop in this thesis a state-of-the-art cyber-physical stress-testing platform, named RISKNOUGHT that conceptualizes and simulates water distribution systems (WDNs), a key component of any UWS, as cyber-physical systems. This is achieved by coupling two models, one for the cyber layer (sensors, actuators, control logic, etc.) and one for the physical layer (hydraulic processes) and simulate their interactions and feedback loops. The platform is able to assess the impacts cyber-physical attacks (such as denial-of -service attacks, sensor manipulation through man-in-the-middle-attacks, etc.) have on the operation of the WDN. The water quality aspect of a simulation is also addressed by RISKNOUGHT, and to the author’s best knowledge is the first tool capable of a) simulating effects on water quality by cyber-physical attacks that are combined with deliberate contamination of the WDN, and b) model a contamination warning system, with water quality monitoring sensors and contamination response measures as part of the CPS control logic. Finally, the third objective, integrates the thesis outcomes on the resilience assessment methodology and the development of tools for water CPSs. Building on the ability to simulate cyber-physical attacks to WDNs and the novel methodology to systematically stress-test the system against such scenarios of operational disturbances (both developed as part of this research), we then focus on a challenging application, which is highly relevant for water utilities’ security and strategic risk planning: that of resilience assessment (through a multitude of suitable metrics) of alternative water quality sensor placement strategies taking into consideration the threat of cyber-physical attacks that target the sensors’ capability to detect contaminants (e.g., by manipulating the transmitted quality readings) while deliberately contaminating the WDN with a harmful substance. The insights gained through this application, fostered the development of a novel water quality sensor placement strategy that optimizes the CWS’s resilience against cyber-physical attacks. The strategy can be applied in both the problem of generating from scratch a new, resilient sensor topology, or in the upgrade case of an existing topology with new sensors. The outcomes of the research carried out within this PhD endeavour are meant to support the strategic risk planning and management, and help water companies design more resilient future water systems and services.

Οι υποδομές νερού είναι κρίσιμα συστήματα για την κοινωνία και την ανθρώπινη ζωή. Βασικός τους στόχος είναι να προσφέρουν αξιόπιστα νερό σε επαρκή ποιότητα και ποσότητα σε ένα μεγάλο ορίζοντα λειτουργίας, τυπικά πάνω από 25 χρόνια. Αναμφίβολα σε ένα τέτοιο διάστημα οι υποδομές θα έρθουν αντιμέτωπες με διάφορες πιέσεις, όπως αλλαγές και αβεβαιότητα στη χωρική και χρονική διαθεσιμότητα των πόρων, αύξηση στη ζήτηση νερού και αλλαγές στα μοτίβα καταναλώσεων, περιορισμένο ύψος νέων επενδύσεων και οικονομικών πόρων ή αλλαγές ρυθμιστικών πλαισίων και διαχειριστικών αποφάσεων. Επίσης, στη συνήθη περίπτωση, τα συστήματα νερού ξεπερνούν σε διάρκεια ζωής κατά πολύ τον αρχικό ορίζοντα σχεδιασμού τους. Ήδη στις αναπτυγμένες χώρες (πχ ΗΠΑ, Ηνωμένο Βασίλειο) τα περισσότερα αστικά συστήματα νερού έχουν σημαντικά μέρη των υποδομών τους σε λειτουργία τουλάχιστον 100 έτη, καθώς διατηρείται συνήθως ο αρχικός πυρήνας του συστήματος και οι υποδομές επεκτείνονται συνεχώς μαζί με το αστικό περιβάλλον. Ακόμα και στις πιο εύρωστες οικονομικά χώρες υπάρχει γενικά η τάση υποχρηματοδότησης για την ανανέωση των συστημάτων, οπότε εν γένει με το πέρασμα του χρόνου οι υποδομές γίνονται λιγότερο αξιόπιστες, και έρχονται αντιμέτωπες με πιέσεις άγνωστες κατά τον σχεδιασμό τους. Η παλαιότερη φιλοσοφία σχεδιασμού εστίαζε σε συστήματα αξιόπιστα ενάντια σε συγκεκριμένα ενδεχόμενα συμβάντα με κάποια εκτιμώμενη περίοδο επαναφοράς (π.χ., με τη μέθοδο της μέγιστης πιθανοφάνειας σε σχεδιασμό υπερχειλιστών) και με τη χρήση μεγάλων συντελεστών ασφαλείας. Παρόλα αυτά, στην πράξη διάφορες αστοχίες έδειξαν ότι η φιλοσοφία αυτή εκτός από πολύ δαπανηρή είναι και μάταια, αφού πλήρως αξιόπιστα συστήματα δεν υπάρχουν (Butler et al. 2017). Η συνεχώς αυξανόμενη αβεβαιότητα που διέπει τα παραδοσιακά συστήματα νερού, έρχεται σε αντίθεση με το κλασικό σχεδιασμό τους. Επομένως, είναι αναγκαία μία στροφή της φιλοσοφίας σχεδιασμού προς συστήματα ανθεκτικά σε έντονες και αβέβαιες αλλαγές, τα οποία μπορούν να «αστοχήσουν με ασφάλεια». Η θεωρία της ανθεκτικότητας, προερχόμενη από το επιστημονικό πεδίο της οικολογίας (Holling 1973), προσφέρει σύγχρονα εργαλεία σκέψης στο πεδίο της μηχανικής προς αυτή την κατεύθυνση. Ταυτόχρονα όμως, στην ίδια την έννοια υπεισέρχονται πολλοί διαφορετικοί ορισμοί και μεθοδολογίες υπολογισμού της, καθιστώντας δύσκολη την πρακτική εφαρμογή της σε ζητήματα υποστήριξης αποφάσεων και σχεδιασμού συστημάτων. Μια εκτενής βιβλιογραφική ανασκόπηση παρουσιάζεται στο Κεφάλαιο 3. Επιπρόσθετα, η ίδια η φύση των συστημάτων νερού αλλάζει με ραγδαίους ρυθμούς τα τελευταία χρόνια με την ενσωμάτωση έξυπνων τεχνολογιών, αυτοματισμών, αισθητήρων και επικοινωνία με το διαδίκτυο για απομακρυσμένο έλεγχο και παρακολούθηση μεταξύ άλλων, μετατρέποντας τα σε κυβερνο-φυσικά συστήματα (cyber-physical systems). Αυτό, παρά τα προφανή πλεονεκτήματα που προσφέρει ως προς την αποδοτικότητα των συστημάτων νερού, τα φέρνει αντιμέτωπα με νέες απειλές και προκλήσεις, όπως κυβερνο-επιθέσεις (cyber attacks). Παραδείγματα αποτελούν: παρεμπόδιση της επικοινωνίας μεταξύ αισθητήρων και συστήματος ελέγχου, κακόβουλος απομακρυσμένος έλεγχος, τροποποίηση δεδομένων ή λειτουργικών εντολών. Σε κυβερνο-φυσικά συστήματα οι κυβερνο-επιθέσεις έχουν σχεδόν πάντα μία ή περισσότερες φυσικές επιπτώσεις (για παράδειγμα, διαταραχή της λειτουργίας του συστήματος), οπότε ονομάζονται κυβερνο-φυσικές επιθέσεις. Ένας επιπλέον κίνδυνος είναι συνδυαστικές κυβερνο-φυσικές επιθέσεις με άλλες, όπως η εσκεμμένη μόλυνση του δικτύου νερού με κάποιο επικίνδυνο/τοξικό ρύπο και τροποποίηση των μετρήσεων που αποστέλλει το δίκτυο αισθητήρων ποιότητας με σκοπό την κάλυψη της μόλυνσης. Οι κυβερνο-φυσικές επιθέσεις μπορεί να επιφέρουν πολύ δυσμενείς επιπτώσεις σε ένα σύστημα αστικού νερού, όπως υλικές βλάβες, απώλεια πόρων και περιορισμό της διαθεσιμότητας του νερού, ποιοτικά προβλήματα με ενδεχόμενο ρίσκο της υγείας των καταναλωτών και αυξημένα χρηματικά κόστη. Παρόλα αυτά, σε μελέτες ανθεκτικότητας σπανίως λαμβάνονται υπόψη, και δεν υπήρχε στο παρελθόν πρότυπος τρόπος ανάλυσης τους. Μόλις πρόσφατα αναπτύχθηκαν σχετικά εργαλεία στη βιβλιογραφία (π.χ. Murillo et al. 2023; Taormina et al. 2017), όμως υπάρχουν ακόμα πολλά ανοιχτά ερευνητικά θέματα. Ανάμεσα σε αυτά είναι η προσομοίωση της ποιότητας του νερού σε ένα κυβερνο-φυσικό σύστημα νερού και σχετικές με τη ποιότητα επιθέσεις, καθώς και ζητήματα βέλτιστου σχεδιασμού δικτυών αισθητήρων ποιότητας ώστε τα συστήματα να είναι ανθεκτικά σε κυβερνο-φυσικές επιθέσεις. Στο Κεφάλαιο 6 παρουσιάζεται μια εκτενής βιβλιογραφική ανασκόπηση για τα κυβερνο-φυσικά συστήματα. Η παρούσα διατριβή έχει ως στόχο την διερεύνηση τριών ερευνητικών θεμάτων: α) την διάρθρωση ενός γενικού πλαισίου αξιολόγησης της ανθεκτικότητας συστημάτων, που να είναι ανεξάρτητη από την επιλογή μοντέλων και δεικτών επίδοσης, και ταυτόχρονα να ενσωματώνει την αβεβαιότητα που διέπει σύνθετα συστήματα όπως είναι αυτά του αστικού νερού, β) την αναπαράσταση της πραγματικής φύσης των σύγχρονων συστημάτων διανομής νερού, η οποία είναι κυβερνο-φυσική, μέσω της ανάπτυξης καινοτόμων εργαλείων μοντελοποίησης και προσομοίωσης, και γ) να διατυπώσει έναν πρότυπο τρόπο αξιολόγησης ανθεκτικότητας κυβερνο-φυσικών συστημάτων νερού ενάντια σε σύνθετες κυβερνο-φυσικές επιθέσεις, που συγκεκριμένα στοχεύουν στην επιδείνωση της ποιότητας του νερού και πιθανώς της υγείας των καταναλωτών, καθώς και την ανάπτυξη εργαλείων ανθεκτικού σχεδιασμού των δικτύων αισθητήρων ποιότητας για την ασφάλεια των κυβερνο-φυσικών συστημάτων αστικού νερού. Ο πρώτος στόχος της διατριβής καλύπτεται από την διάρθρωση ενός πλαισίου αξιολόγησης της ανθεκτικότητας (Κεφάλαιο 4). Το πλαίσιο βασίζεται στον επιχειρησιακό ορισμό: «Η ανθεκτικότητα ορίζεται ως ο βαθμός στον οποίο ένα σύστημα συνεχίζει να αποδίδει υπό καθεστώς αυξανόμενης διαταραχής». Η απόδοση αποτιμάται μέσω της χρήσης κατάλληλων δεικτών που υπολογίζουν την «ικανότητα του συστήματος να καλύπτει τους στόχους του σε ένα ορισμένο χρονικό διάστημα», όπως για παράδειγμα μέτρα αξιοπιστίας, και μπορεί να αξιοποιηθούν περισσότερα του ενός. Οι διαταραχές εισάγονται στο σύστημα μέσω σεναρίων που καταρτίζονται ως αβέβαιες μελλοντικές εκβάσεις, αποτελούμενες από πληθώρα μεταβλητών από το εσωτερικό και εξωτερικό περιβάλλον του συστήματος, όπως κλιματικές και κοινωνικο-οικονομικές μεταβολές. Επίσης, επειδή το πλαίσιο είναι σχεδιασμένο ώστε να γενικεύεται εύκολα, τα σενάρια μπορεί να αποτελούνται από απλούστερα μονο-παραμετρικά συμβάντα. Για την εκτίμηση της ανθεκτικότητας, το υπό εξέταση σύστημα υπόκειται σε «δοκιμές αντοχής» (stress-testing) μέσω των σεναρίων και αποτιμάται η απόδοση του σε διαγράμματα του προφίλ ανθεκτικότητας. Αυτά τα διαγράμματα μοιάζουν με τα γραφήματα τάσης-παραμόρφωσης της μηχανικής, και η ανθεκτικότητα του συστήματος υπό το καθεστώς διαταραχής υπολογίζεται ως η επιφάνεια κάτω από την καμπύλη απόδοσης του συστήματος. Κάθε σημείο της καμπύλης αποτελεί έναν υπολογισμό της αξιοπιστίας του συστήματος στην επίτευξη των στόχων του (άξονας ψ) για τις συνθήκες που περιγράφονται σε ένα συγκεκριμένο σενάριο τάσης (άξονας χ). Ο υπολογισμός αυτός γίνεται τυπικά μέσω προσομοίωσης του συστήματος. Ο άξονας χ κατασκευάζεται ως μια σειρά σεναρίων αυξανόμενης διαταραχής, συνεπώς η μέτρηση γίνεται σε μία τακτική (αντί ονομαστική) κλίμακα. Επίσης, μέσω των σεναρίων, το σύστημα πρέπει να υπόκειται σε διαταραχή η οποία να κυμαίνεται σε ένα μεγάλο εύρος, και εκτός των προδιαγραφών σχεδιασμού του, ώστε να έχει νόημα η δοκιμή αντοχής. Επιπρόσθετα, με την χρήση της μεθόδου μπορεί να ποσοτικοποιηθεί και συγκριθεί στο ίδιο διάγραμμα και η ευρωστία διαφορετικών συστημάτων, ως «το εύρος διαταραχής που αντέχει το σύστημα χωρίς επιδείνωση της απόδοσής του». Προκειμένου να γίνει η αναγωγή της κλίμακας των μέτρων ανθεκτικότητάς και ευρωστίας στο εύρος [0-1], προτείνεται αντίστοιχα η διαίρεση της επιφάνειας κάτω από την καμπύλη απόδοσης με την επιφάνεια του ιδεατού πλήρως ανθεκτικού και εύρωστου συστήματος, και η διαίρεση του μήκους του εύρους ευρωστίας με τον αριθμό των σεναρίων. Με αυτή την αλλαγή κλίμακας, ουσιαστικά ο υπολογισμός ανθεκτικότητας μετατρέπεται στον μέσο όρο αξιοπιστίας υπό τα σενάρια που ελέγχθηκαν. Έτσι, τα τρία θεμελιώδη μέτρα του διαγράμματος (ανθεκτικότητα, ευρωστία, αξιοπιστία) είναι άμεσα συγκρίσιμα, και στην ίδια κλίμακα. Τέλος, σημειώνεται πως η αποτίμηση της ανθεκτικότητας είναι σε μια σχετική τιμή και χρησιμοποιείται για την σύγκριση εναλλακτικών διαμορφώσεων ή τοπολογιών του συστήματος (πχ., διαφορετικές τεχνολογίες, διαφορετική φιλοσοφία σχεδιασμού) για την ενίσχυση του στρατηγικού σχεδιασμού. Το πλαίσιο αυτό παρουσιάζεται σε ένα πραγματικό σύστημα αστικού νερού, της Ολλανδικής εταιρίας Oasen. Αναλύθηκαν τρεις διαφορετικές τοπολογίες του συστήματος σε σχέση με την διαμόρφωση των μονάδων επεξεργασίας του νερού και των τεχνολογιών για την χρήση πόρων και την επαναχρησιμοποίηση νερού, βασιζόμενες α) στην τυπική περίπτωση κεντρικής φιλοσοφίας σχεδιασμού, β) στην αποκεντρωμένη και στην γ) κατανεμημένη. Οι τοπολογίες δοκιμάστηκαν σε ορίζοντα σχεδιασμού 25 ετών υπό επτά διαφορετικών σεναρίων τάσης (από μέτρια μέχρι έντονη διαταραχή) με πλήθος μεταβλητών και παραμέτρων τόσο κοινωνικο-οικονομικών όσο και υδρο-κλιματικών. Τα αποτελέσματα δείχνουν την διαφορετική συμπεριφορά που παρουσιάζουν οι τοπολογίες ως προς την ανθεκτικότητα όταν βρίσκονται σε συνθήκες εκτός προδιαγραφών, και μπορεί να αποτελέσουν έναν σημαντικό παράγοντα για την τελική επιλογή σχεδιασμού λαμβάνοντας υπόψη την μελλοντική αβεβαιότητα. Συγκεκριμένα, φαίνεται πως ο κλασσικός σχεδιασμός (BAU) υστερεί σημαντικά από τις άλλες δύο περιπτώσεις, ενώ ο πιο ριζοσπαστικός αλλά και ακριβός σχεδιασμός με πλήρως κατανεμημένη προσέγγιση (FA) είναι καλύτερος μόνο στα πιο ακραία σενάρια σε σχέση με την αποκεντρωμένη προσέγγιση (NS). Παρόλο που η εγγενής αβεβαιότητα ως προς τις μελλοντικές συνθήκες ήδη αντιπροσωπεύεται μέσω της κατάστρωσης σεναρίων, για την εκτίμηση της και την εισαγωγή της στην ποσοτικοποίηση της ίδιας της ανθεκτικότητας, χρησιμοποιείται μια στοχαστική εκτίμηση, όπου για κάθε «τύπο» σεναρίου, παράγονται πολλές διαφορετικές στοχαστικές εκβάσεις. Συνεπώς για κάθε σενάριο στο γράφημα ανεκτικότητας δημιουργείται ένα «νέφος» αποδόσεων του συστήματος. Στη συνέχεια καθίσταται δυνατή η διαμόρφωση προφίλ ανεκτικοτήτων που αντιστοιχούν σε ένα διαφορετικό ποσοστημόριο-διάστημα εμπιστοσύνης, εκτιμώντας την αβεβαιότητα στην ίδια την αξιολόγηση της ανθεκτικότητας. Στα πλαίσια της ολιστικής εκτίμησης ανθεκτικότητας υδροσυστημάτων, αναπτύχθηκε ακόμα μία μεθοδολογία σύζευξης εργαλείων κατάλληλη για την προσομοίωση ενός συστήματος «από την πηγή στην κατανάλωση». Για τον σκοπό αυτό χρησιμοποιήθηκαν τα λογισμικά UWOT (Rozos and Makropoulos 2013) για την προσομοίωση της αστικής ζήτησης, EPANET 2.2 (Rossman et al. 2020) για την υδραυλική προσομοίωση του δικτύου διανομής και Hydronomeas2020 (Karavokiros et al. 2020) για τη διαχείριση των πόρων νερού και το εξωτερικό υδραγωγείο. Για την παραγωγή στοχαστικών χρονοσειρών εισόδου, στη σύζευξη αυτή χρησιμοποιείται το λογισμικό anySim (Tsoukalas et al. 2020). Με αυτό το τρόπο σε μία ενοποιημένη προσομοίωση του αστικού συστήματος νερού ελέγχεται η επίδοση του και στην υδραυλική αλλά και στην υδρολογική αξιοπιστία του, με στοχαστικά σενάρια τάσης. Στο UWOT πραγματοποιείται προσομοίωση της κατανάλωσης νερού ανά τύπο οικίας, λαμβάνοντας υπόψη τις οικιακές συσκευές και τεχνολογίες, τον αριθμό ατόμων ανά οικία και τη συχνότητα χρήσης. Η ημερήσια ζήτηση νερού συναθροίζεται στους υδραυλικούς κόμβους του EPANET 2.2 σύμφωνα με τον αριθμό των οικιών ανά κόμβο και την αναλογία των τύπων. Η υδραυλική προσομοίωση πραγματοποιείται με καταβιβασμό της ζήτησης σε ωριαία ή άλλη κλίμακα σύμφωνα με μοτίβα κατανάλωσης, υπολογίζοντας την υδραυλική αξιοπιστία. Η παραγωγή πόσιμου νερού στις μονάδες επεξεργασίας νερού του συστήματος τίθενται στη συνέχεια ως στόχοι του συστήματος διαχείρισης υδατικών πόρων στο Hydronomeas2020, λαμβάνοντας υπόψη τις υδρολογικές μεταβλητές, την πολιτική διαχείρισης, και άλλες χρήσεις. Το πλαίσιο εκτίμησης ανθεκτικότητας παρουσιάζεται μέσω μιας συνθετικής μελέτης περίπτωσης, καταδεικνύοντας την διαφορετική διάμεσο συμπεριφορά που έχουν δύο διαφορετικές τοπολογίες στα στοχαστικά σενάρια, αλλά και ένα σημαντικό αβέβαιο εύρος επικάλυψης στην απόδοση τους. Το πλαίσιο ανθεκτικότητας που αναπτύχθηκε καθίσταται έτσι εφαρμόσιμο σε ένα μεγάλο εύρος συστημάτων, μοντέλων και δεικτών απόδοσης χωρίς περιορισμούς, και κατάλληλο για την ποσοτικοποίηση της αβεβαιότητας.Για το δεύτερο στόχο της εργασίας, αναπτύχθηκε (Κεφάλαιο 7) μια πρωτότυπη πλατφόρμα μοντελοποίησης, προσομοίωσης και αξιολόγησης κυβερνο-φυσικών συστημάτων διανομής νερού, ονομαζόμενη RISKNOUGHT. Η πλατφόρμα είναι ικανή να προσομοιώσει οποιοδήποτε δίκτυο διανομής νερού ως ένα κυβερνο-φυσικό σύστημα. Αυτό είναι εφικτό μέσο της σύζευξης δύο μοντέλων, ένα για το επίπεδο ελέγχου και επιτήρησης (cyber layer) του συστήματος (αισθητήρες, ελεγκτές, ενεργοποιητές, λογισμικό ελέγχου κτλ.) και ένα για το φυσικό επίπεδο των υδραυλικών διεργασιών (physical layer). Για το επίπεδο ελέγχου και επιτήρησης, το μοντέλο βασίζεται σε μια προσέγγιση προσομοίωσης της ροής πληροφορίας σε έναν υπολογιστικό αντικειμενοστραφή γράφο. Οι κόμβοι του γράφου αποτελούν αντικείμενα-στοιχεία, όπως αισθητήρες (sensors), ενεργοποιητές (actuators), προγραμματιζόμενες μονάδες λογικού ελέγχου (PLC), και η κεντρική μονάδα SCADA (σύστημα εποπτικού ελέγχου και απόκτησης δεδομένων), με ρουτίνες προσομοίωσης της λειτουργίας τους. Οι ακμές αποτελούν τα στοιχεία διασύνδεσής τους, όπως ενσύρματες συνδέσεις τύπου Ethernet ή ασύρματες τύπου Wi-Fi. Η προσέγγιση προσομοίωσης επιλέχθηκε έναντι της εξομοίωσης παρότι η δεύτερη είναι πιο λεπτομερής, καθώς το μοντέλο αυτό προσαρμόζεται σε οποιοδήποτε στοιχείο ελέγχου ή επιτήρησης, γίνεται εύκολη η δημιουργία πολλαπλών και σύνθετων σεναρίων κυβερνο-φυσικών επιθέσεων (στην περίπτωση εξομοίωσης απαιτείται να γνωρίζει κανείς τον ακριβή τρόπο με τον οποίο επιτυγχάνεται μια επίθεση) και διατηρείται η υψηλού επιπέδου πληροφορία για την ροή της πληροφορίας και την ανατροφοδότηση μεταξύ των στοιχείων.Για το επίπεδο των υδραυλικών διεργασιών, αξιοποιείται το λογισμικό EPANET 2.2, στην πιο πρόσφατη έκδοση του, όπου υποστηρίζει και υδραυλική ανάλυση υπό καθεστώς ελλειμματικών πιέσεων, κάτι που είναι πιθανό να συμβεί σε σενάριο κυβερνο-φυσικής επίθεσης όπου επηρεάζεται η λειτουργία του συστήματος. Με τη χρήση του EPANET είναι δυνατό να προσομοιωθεί πρακτικά οποιαδήποτε τοπολογία, και η λογική ελέγχου που ενσωματώνεται σε κάθε μοντέλο EPANET μετασχηματίζεται αυτόματα από το RISKNOUGHT στο μοντέλο του επιπέδου ελέγχου και επιτήρησης, διαμορφώνοντας κατάλληλα τους αισθητήρες, τους ενεργοποιητές τα PLC κτλ., πραγματοποιώντας και την υπολογιστική σύζευξη με τα φυσικά στοιχεία. Έπειτα, ο χρήστης μπορεί να προσαρμόσει κατά το δοκούν το κυβερνο-φυσικό σύστημα με προσθήκη νέων αισθητήρων, νέων εντολών ελέγχου κτλ. Στο RISKNOUGHT προσομοιώνεται σε κάθε υπολογιστικό βήμα η αλληλεπίδραση των δύο επιπέδων μέσω κύκλων ανατροφοδότησης. Αρχικά το επίπεδο ελέγχου και επιτήρησης ενημερώνει τις μετρήσεις του μέσω των αισθητήρων σε συγκεκριμένα σημεία του φυσικού επιπέδου, και προσομοιώνεται η εκτέλεση των λογικών ελέγχου στα PLC και στη κεντρική μονάδα SCADA αποφασίζοντας ποια στοιχεία του φυσικού επιπέδου πρέπει να αλλάξουν κατάσταση μέσω των ενεργοποιητών. Έπειτα, το φυσικό επίπεδο ενημερώνεται με τις αλλαγές (π.χ., απενεργοποίηση μιας αντλίας) στα φυσικά στοιχεία του υδραυλικού μοντέλου και το επόμενο υδραυλικό βήμα προσομοιώνεται. Στη συνέχεια ο κύκλος ανατροφοδότησης αρχίζει ξανά με την προσομοίωση του επιπέδου ελέγχου και επιτήρησης. Η πλατφόρμα δύναται να αξιολογήσει τις επιπτώσεις από σύνθετες κυβερνο-φυσικές επιθέσεις όπως denial-of-service (DoS), παραποίηση δεδομένων αισθητήρων, και man-in-the-middle-attacks (ΜΙΤΜ) στην λειτουργία δικτύων διανομής νερού. Οι επιθέσεις καταστρώνονται μέσω ενός αντικειμενοστραφούς μοντέλου με τα χαρακτηριστικά τους (π.χ., χρόνος έναρξης, διάρκεια, αντικείμενο στόχος, ειδικά χαρακτηριστικά όπως παραποιημένες τιμές κ.α.) και παρεμβαίνουν στους κύκλους ανατροφοδότησης της κυβερνο-φυσικής προσομοίωσης. Με το πέρας της ανάλυσης, το RISKNOUGHT παρουσιάζει τις συνέπειες των κυβερνο-επιθέσεων σε πολλαπλές διαστάσεις, όπως την ποσοτική κάλυψη των υδρευτικών αναγκών, την χωρική έκταση των επιπτώσεων στο δίκτυο, την πληθυσμιακή επίπτωση, τη χρονική έκταση των διαταραχών, κ.α. Η παρουσίαση των δυνατοτήτων του RISKNOUGHT παρουσιάζεται σε ένα συνθετικό δίκτυο ύδρευσης, το C-Town (Ostfeld et al. 2012), το οποίο έχει χρησιμοποιηθεί εκτενώς στην βιβλιογραφία για μελέτη κυβερνο-φυσικών απειλών (π.χ., Taormina et al. 2017, 2018; Sankary and Ostfeld 2019). Ένα παράδειγμα χρήσης του RISKNOUGHT στο σύστημα είναι η ανάλυση επιπτώσεων στην κάλυψη της υδρευτικής ζήτησης από μία σύνθετη επίθεση η οποία παραποιεί τα δεδομένα δύο αισθητήρων στάθμης δεξαμενών (σε διαφορετικό χρόνο), με σκοπό οι δύο δεξαμενές να φαίνονται πλήρεις. Επειδή το σύστημα ελέγχου των αντλιών εξαρτάται από τη στάθμη των δεξαμενών, υπάρχει σημαντική απώλεια στην κάλυψη των υδρευτικών αναγκών. Επιπρόσθετα, η ποιότητα του νερού κατά τη διάρκεια ενός συμβάντος είναι δυνατό να προσομοιωθεί στο RISKNOUGHT, διαμορφώνοντας το πρώτο εργαλείο του είδους του στο οποίο α) αναλύονται επιπτώσεις στην ποιότητα του νερού ως απόρροια κυβερνο-επιθέσεων στις οποίες υπάρχει ως σκέλος τους εσκεμμένη μόλυνση του δικτύου με βιο-χημικούς ρύπους, και β) προσομοιώνεται το υποσύστημα έγκαιρης προειδοποίησης μόλυνσης του δίκτυο πλήρως καθώς και κυβερνο-φυσικές επιθέσεις στα στοιχεία του, συμπεριλαμβάνοντας αισθητήρες ποιότητας και λογική ελέγχου ενισχυμένη με μέτρα αντιμετώπισης μόλυνσης, όπως έκπλυση του ρύπου (flushing), διακοπή παροχής, και αποκλεισμός ζωνών του δικτύου, επεκτείνοντας σημαντικά τις δυνατότητες προσομοίωσης και φυσικού επιπέδου, καθώς αντίστοιχη λογική ελέγχου δεν υποστηρίζεται στον υδραυλικό επιλυτή EPANET 2.2. Πιο αναλυτικά, στο RISKNOUGHT μπορούν να προσομοιωθούν φυσικές επιθέσεις μόλυνσης του τύπου εισπίεσης βιο-χημικών ρύπων στο δίκτυο διαμέσου κόμβων όπου δεν υπάρχει βαλβίδα αντεπιστροφής (backflow injection attack), με τα ιδιαίτερα χαρακτηριστικά τους όπως χρόνος έναρξης, διάρκεια και μάζα ρύπου. Η συμπεριφορά του ρύπου εντός του δικτύου (διάχυση, μεταφορά, αντιδράσεις με το νερό ή τα τοιχώματα των σωλήνων, κινητικές εξισώσεις) προσομοιώνονται μέσω του EPANET 2.2. Σημειώνεται πως η πλατφόρμα RISKNOUGHT είναι δομημένη αρθρωτά, ώστε στο μέλλον να μπορεί να αναβαθμιστεί ο υδραυλικός επιλυτής με χρήση του EPANET-MSX (Shang et al. 2008) για πιο λεπτομερή ανάλυση της ποιότητας. Για το επίπεδο του ελέγχου και επιτήρησης ο χρήστης του RISKNOUGHT μπορεί να επιλέξει θέσεις του δικτύου όπου υπάρχουν αισθητήρες ποιότητας νερού καθώς και το κατώτερο όριο συγκέντρωσης ρύπου το οποίο μπορούν να ανιχνεύσουν. Στη συνέχεια, μπορεί να ορίσει τι μέτρα αντιμετώπισης πρέπει να ενεργοποιηθούν στην περίπτωση ανίχνευσης μόλυνσης από κάθε αισθητήρα, όπως για παράδειγμα κλείσιμο μιας αντλίας ή μια βαλβίδας για τον αποκλεισμό κάποιας ζώνης του δικτύου, και τοποθετούνται οι αντίστοιχοι ενεργοποιητές, συζευγμένοι με το σχετικό φυσικό στοιχείο του δικτύου. Δύναται να τοποθετηθούν και ειδικές διατάξεις εκπλυτών (flushers) στο δίκτυο, οι οποίοι αναπαρίστανται στο EPANET 2.2 ως επιπρόσθετοι κόμβοι με πολύ μεγάλη ζήτηση, συνδεδεμένοι με το υπόλοιπο δίκτυο μέσω ενός αγωγού, ο οποίος αρχικά είναι ρυθμισμένος ως κλειστός. Στο Κεφάλαιο 8 αναλύεται ενδελεχώς η προσέγγιση της κυβερνο-φυσικής προσομοίωσης με ταυτόχρονη επίλυση της ποιότητας του νερού και παρουσιάζονται παραδείγματα εφαρμογής σε σύνθετες κυβερνοεπιθέσεις που επηρεάζουν την ποιότητα του νερού στο C-Town. Τέλος, η τρίτη πτυχή της εργασίας αφορά τη σύζευξη της μεθοδολογίας αξιολόγησης της ανθεκτικότητας με τα εργαλεία για κυβερνο-φυσικά συστήματα νερού. Η έρευνα επικεντρώνεται σε ένα εξειδικευμένο πεδίο, αλλά πολύ σημαντικό για τη διαχείριση ρίσκου και το στρατηγικό σχεδιασμό του τομέα νερού. Εξετάζουμε την ανθεκτικότητα (αξιολογούμενη με μια πληθώρα κατάλληλων δεικτών) διαφορετικών τοπολογιών δικτύων αισθητήρων ποιότητας, υπό το καθεστώς σεναρίων κυβερνο-φυσικών επιθέσεων, όπου ο δράστης στοχεύει στην απομείωση της ικανότητας ανίχνευσης μόλυνσης των αισθητήρων (π.χ., μέσω μιας επίθεσης όπου παραποιούνται τα δεδομένα που αποστέλλονται από τους αισθητήρες) και ταυτόχρονα μολύνει το δίκτυο νερού με επικίνδυνες ουσίες. Τα αποτελέσματα από αυτήν την εφαρμογή αναλύονται στο Κεφάλαιο 9. Καθίσταται σαφές πως σχεδιασμοί δικτύων αισθητήρων που προκύπτουν από διάφορες στρατηγικές τοποθέτησης (δηλαδή βελτιστοποίηση με διαφορετικό κριτήριο στην στοχική συνάρτηση), φέρουν πολύ διαφορετική ανθεκτικότητα στην απώλεια της ικανότητας ανίχνευσης του ρύπου από μέρος των αισθητήρων είτε από δυσλειτουργία είτε από κυβερνο-επίθεση. Επίσης, φαίνεται πως υπάρχει συμβιβασμός ανάμεσα στην αποδοτικότητα και την ανθεκτικότητα του δικτύου αισθητήρων. Η ανάλυση αυτή έθεσε τις βάσεις για την ανάπτυξη μιας πρωτότυπης μεθοδολογίας για την τοποθέτηση αισθητήρων ποιότητας με τέτοιο τρόπο ώστε να βελτιστοποιείται η ικανότητα του συστήματος έγκαιρης προειδοποίησης μόλυνσης ενάντια σε κυβερνο-φυσικές επιθέσεις, δηλαδή να μεγιστοποιείται η ανθεκτικότητά του σε σχέση με το επιλεγμένο κριτήριο σχεδιασμού (Κεφάλαιο 10). Η νέα αυτή στρατηγική τοποθέτησης μπορεί να εφαρμοστεί τόσο στο πρόβλημα δημιουργίας μιας νέας τοπολογίας αισθητήρων, όσο και στο πρόβλημα αναβάθμισης μιας υφιστάμενης. Για το σκοπό αυτό αναπτύχθηκαν αριθμητικά σχήματα και ρουτίνες υπολογισμών, τα οποία αφενός είναι σε θέση να υπολογίσουν την αναμενόμενη απόδοση ενός δικτύου αισθητήρων ενάντια σε φυσικές επιθέσεις σε όλες τις πιθανές θέσεις εισπίεσης ρύπου, αφετέρου πραγματοποιούν δοκιμές αντοχής του δικτύου σε συνθήκες συνεχώς αυξανόμενου αριθμού των αισθητήρων εκτός λειτουργίας (από κυβερνο-φυσική επίθεση, αλλά γενικεύεται και για άλλες δυσλειτουργίες) για την εκτίμηση της ανθεκτικότητας. Σημειώνεται πως στην εκτίμηση λαμβάνεται υπόψη και η στοχαστικότητα, καθώς υπάρχουν διαφορετικές εκβάσεις για κάθε σενάριο k αισθητήρων εκτός λειτουργίας σε δίκτυο μεγέθους N, σύμφωνα με την εξίσωση των συνδυασμών. Μάλιστα, καθώς ο αριθμός συνδυασμών αυξάνει ταχέως όσο μεγαλύτερο είναι το μέγεθος του δικτύου, δύναται να αξιοποιηθούν τεχνικές Monte Carlo στην εκτίμηση. Η διαδικασία βελτιστοποίησης των θέσεων αξιοποιεί αυτά τα σχήματα υπολογισμών για να συνθέσει την τοπολογία του δικτύου αισθητήρων όπου μεγιστοποιείται η ανθεκτικότητα, λαμβάνοντας υπόψη ως είσοδο από το χρήστη τις ήση υφιστάμενες θέσεις αισθητήρων, θέσεις όπου για διάφορους λόγους είναι αδύνατη η τοποθέτηση, και αν είναι επιθυμητό να υπάρχει εφεδρεία στην τελική τοπολογία, δηλαδή να υπάρχουν περισσότεροι από ένας αισθητήρες σε κάποια θέση. Στα πλαίσια της παρούσας διατριβής δοκιμάστηκε σε ένα μεγάλο εύρος πραγματικών δικτύων ύδρευσης, το Kentucky Dataset (Hoagland et al. 2015), για το πρόβλημα αναβάθμισης μιας υφιστάμενης τοπολογίας. Τα αποτελέσματα δείχνουν πως η νέα στρατηγική μεγιστοποίησης της ανθεκτικότητας ενός κριτηρίου σχεδιασμού παράγει δίκτυα αισθητήρων τα οποία είναι ανθεκτικότερα σε απώλεια ικανότητας ανίχνευσης μέρους των αισθητήρων, ενώ η απόδοση τους σε κανονικές συνθήκες δεν υστερεί σε σημαντικό βαθμό, σε σχέση με την συμβατική στρατηγική αυστηρής μεγιστοποίησης του κριτηρίου. Το κριτήριο που χρησιμοποιήθηκε στην ανάλυση ήταν η αναμενόμενη τιμή του επηρεαζόμενου πληθυσμού από τη μόλυνση. Επομένως, η νέα στρατηγική αποτελεί ένα εργαλείο που μπορεί να αξιοποιηθεί για την ενίσχυση της ασφάλειας σε μεγάλο εύρος πραγματικών συστημάτων, κατά τη διαδικασία στρατηγικού σχεδιασμού, ειδικά στην συνήθη περίπτωση όπου υπάρχει ήδη ένα υφιστάμενο δίκτυο αισθητήρων και ο στόχος είναι η αναβάθμισή του. Ανακεφαλαιώνοντας, στην παρούσα διατριβή: α) Αναπτύχθηκε ένα γενικό πλαίσιο εκτίμησης ανθεκτικότητας, χωρίς περιορισμούς εφαρμογής λόγω της φύσης του συστήματος, του μοντέλου που αξιοποιείται ή των δεικτών/μέτρων απόδοσης, και ικανό να ποσοτικοποιήσει την αβεβαιότητα, προσαρμοζόμενο σε διάφορες ερμηνείες της συνεχιζόμενης απόδοσης υπό καθεστώς διαταραχής. Το πλαίσιο συνεισφέρει στην αναγκαία στροφή του τομέα νερού προς το σχεδιασμό ανθεκτικών συστημάτων για την αντιμετώπιση της μελλοντικής αβεβαιότητας. β) Αναπτύχθηκε ένα καινοτόμο λογισμικό, το RISKNOUGHT, ικανό να προσομοιώσει ως κυβερνο-φυσικά συστήματα δίκτυα διανομής νερού, καθώς και τις επιπτώσεις κυβερνο-φυσικών επιθέσεων σε αυτά. Το RISKNOUGHT συνεισφέρει στην ανάγκη αναγνώρισης της ψηφιακής συνιστώσας και των νέων απειλών κατά των συστημάτων νερού στην διαχείριση ρίσκου και στον στρατηγικό σχεδιασμό τους, μέσω της δυνατότητας που παρέχει για διερεύνηση σεναρίων και της ανάλυσης σε πολλαπλά επίπεδα, συμπεριλαμβανομένων των επιπτώσεων στην παροχή και στην ποιότητα του νερού. Το RISKNOUGHT ήδη αποτελεί μέρος δύο πλατφορμών (RAET, PROCRUSTES) για την ενίσχυση της κυβερνο-ασφάλειας και ανθεκτικότητας υποδομών νερού. γ) Αξιολογήθηκε με συστηματικό τρόπο η ανθεκτικότητα κυβερνο-φυσικών συστημάτων νερού έναντι πολύπλοκων επιθέσεων σχετικά με την ποιότητα του νερού και αναπτύχθηκε ένα νέο εργαλείο σχεδιασμού για την ανθεκτική τοποθέτηση αισθητήρων ποιότητας που μεγιστοποιεί την ανθεκτικότητα δικτύων αισθητήρων ενάντια σε κυβερνο-φυσικές επιθέσεις και άλλες πιθανές βλάβες. Αυτό συμβάλλει στη δημιουργία ενός πιο ασφαλούς και ανθεκτικού τομέα νερού. Συνεπώς, τα ερευνητικά αποτελέσματα της έρευνας που διεξήχθη στα πλαίσια της διατριβής αποτελούν εργαλεία και μεθοδολογίες που μπορούν να αξιοποιηθούν στο τομέα νερού, συνεισφέροντας σημαντικά στην υποστήριξη του στρατηγικού σχεδιασμού, της διαχείρισης ρίσκου και του σχεδιασμού ανθεκτικών κυβερνο-φυσικών συστημάτων και λοιπών υποδομών αστικού νερού, με έμφαση στην αντιμετώπιση των μελλοντικών αβεβαιοτήτων.