面向智能电网通信网络的网络攻击检测：机器学习方法的综述、基于仿真的对比评估及未来方向

《International Journal of Critical Infrastructure Protection》：Toward cyber attack detection in smart grids communication network: Review and simulated-based comparative evaluation of machine learning approaches, and future directions

　　

智能电网（SG）和监控与数据采集（SCADA）网络日益增加的网络攻击脆弱性，促使了基于机器学习（ML）和深度学习（DL）的入侵检测方法的发展。许多研究人员报告称，对于分布式拒绝服务（DDoS）、侦察和零日攻击具有很高的检测性能，但这些研究是在通用网络或物联网（IoT）基准上进行的，而不是基于协议智能电网通信上进行的。此外，其他因素如冗余特征和测试时行为并不总是被考虑在内。本研究提供了对文献中报告的具有代表性的智能电网网络攻击检测的全面文献综述和实验结果比较评估。比较评估表明，虽然现有的机器学习和深度学习方法在基准数据集上取得了较高的检测性能，但当前研究仍然在很大程度上依赖于不能充分代表特定协议智能电网通信的通用网络和物联网数据集。综述指出了关键的研究挑战，包括 Modbus 和 DNP3 特定基准数据集的可用性有限、缺乏协议感知评估、对工业通信网络中零日攻击的研究有限，以及缺乏冗余感知特征工程和计算效率分析。这些发现为未来智能电网网络安全研究中开发更逼真、协议感知和鲁棒的入侵检测系统提供了实用指导。

传统电力系统向智能电网（SG）的转型，通过集成信息与通信技术（ICT）与电气系统，实现了智能、自动化且高度互联的能量基础设施，支持实时监控、双向通信和高效能量管理 [1]。工业控制系统（ICS），包括监控与数据采集（SCADA）、分布式控制系统（DCS）、可编程逻辑控制器（PLC）和远程终端单元（RTU），构成了智能电网的通信骨干 [2]。

这些组件主要通过 Modbus、DNP3、IEC 60870-5-104 和 IEC 61850 等工业协议进行通信。虽然这些协议提供了可靠的运营通信，但它们最初是为具有有限安全考量的隔离环境设计的。随着现代智能电网基础设施与外部网络的互联程度越来越高，它们面临着越来越多的网络威胁，包括拒绝服务（DoS）、重放、虚假数据注入（FDI）、侦察和命令操纵攻击，这些攻击会中断网络物理电网操作 [3]，[4]。

为了应对这些安全挑战，提出了许多基于机器学习（ML）和深度学习（DL）的入侵检测系统（IDS）。现有的研究利用各种基准数据集和特征工程策略，调查了监督学习、异常检测、集成学习、混合 DL 架构、元学习、少样本学习和零日攻击检测 [5]，[6]，[7]。这些方法在不同的实验设置下展示了令人满意的检测性能。

尽管取得了这些进展，大多数现有的入侵检测研究使用通用网络和物联网基准数据集评估其模型，而只有少量研究采用保留 Modbus 和 DNP3 等工业协议通信语义的特定协议智能电网数据集。因此，报告的检测性能可能无法准确代表这些模型在运营智能电网环境中的有效性。其次，现有研究在通信协议、攻击类别、特征工程策略、学习模型、数据集和评估方法方面存在显著差异，使得直接比较其发现变得困难。此外，现有的综述论文主要总结已发表的研究，但提供的协议感知比较分析、实验重现和将通信协议、数据集特征、特征工程和入侵检测性能系统地联系起来的关键综合非常有限。这些挑战促使需要一种全面的协议感知综述，将关键分析与实验验证相结合，以提供更可靠的当前智能电网入侵检测格局的理解。

因此，为了应对这些挑战，本文对智能电网通信网络的网络攻击检测方法进行了全面的综述。本研究系统地组织和批判性地评估了现有研究，依据包括通信协议、攻击类别、基准数据集、特征工程技术以及基于 ML/DL 的检测模型。为了补充文献分析，具有代表性的入侵检测研究在其原始配置下进行实验重现，从而对其报告的性能进行一致的验证和客观的比较。基于这种结合分析和实验调查的研究，本研究对当前的研究领域进行了全面评估，并为智能电网环境中开发更可靠且可实际部署的入侵检测系统奠定了基础。

本文的主要贡献总结如下：
• 建立了一个可重复性驱动的实验综述框架，标准化了具有代表性的智能电网入侵检测研究的实施、评估和比较，从而能够实现超越传统文献综述的透明和基于证据的评估。
• 提出了一个智能电网入侵检测的协议感知分类框架，系统地根据通信协议（Modbus、DNP3 和 IEC 61850）、网络攻击类别、基准数据集、检测范式和学习模型组织现有研究。该框架识别了协议感知的研究差距，并突出了现有研究中特定协议通信特征采用有限的现状。
• 通过在各自的原始实验设置下重现具有代表性的基于 ML 和 DL 的入侵检测模型，进行统一的实验比较评估，从而能够在各种基准数据集之间一致比较预测性能。
• 通过在保留原始实验配置的同时纳入统计显著性检验、通过多次独立运行进行稳定性分析、对抗鲁棒性评估和面向部署的性能评估，进行了全面的可重复性和验证分析。
• 通过分析现有入侵检测方法在工业通信协议（特别是 Modbus 和 DNP3）以及运营智能电网环境中的适用性和局限性，对重现的结果进行了协议感知的解释。
• 提出了一个经过实验验证的研究路线图，概述了智能电网入侵检测的未来方向，包括特定协议的基准数据集、协议感知的检测框架、冗余感知的特征工程、面向部署的轻量级模型以及鲁棒的零日攻击检测。

本文其余部分组织如下。1.1 节介绍了智能电网架构、通信框架以及网络攻击对运营过程的影响。随后是一系列聚焦的分析小节：Modbus 通信网络中的 DDoS 攻击检测；基于 Modbus 的 SCADA 系统中 DDoS 以外的多种网络攻击检测；Modbus 环境中零日和已知攻击检测的分析；DNP3 通信网络中的零日攻击检测；以及基于这些研究的智能电网入侵检测研究中特征工程的冗余感知分析，基于这些研究，随后呈现了关键分析。在 1.1 节末尾，对现有的综述和提出的综述进行了比较。随后，第 2 节提供了现有智能电网入侵检测研究在相同数据集上的实验重现和比较评估。第 3 节根据研究挑战概述了未来的研究方向。第 4 节展示了结论和未来工作。

智能电网是一个信息物理系统，它将电气基础设施与先进的通信和控制系统相结合，以提供可靠且实时的能量管理。它通常按层结构组织，允许发电单元、控制中心和现场设备无缝交互。工业控制系统（ICS）处于该系统的核心，提供了电网监控、控制和自动化所需的工具 [8]。

在顶层，控制中心，即 EMS 和 SCADA 服务器，负责中央控制、决策和电网协调。它收集来自分布式变电站和设备的数据，计算状态，并发送控制信号以确保系统稳定性。人工操作员通过人机界面（HMI）与系统交互，进行可视化、报警处理和控制，中间层是变电站和通信基础设施，连接控制中心和现场设备。变电站包括智能电子设备（IED）、保护继电器和通信网关，执行本地控制、保护和数据聚合。这些组件允许本地决策自主进行，并与中央控制系统协调。在现场级别，PLC 和 RTU 直接与物理过程交互。这些设备从传感器收集电压、电流和频率等实时数据，并控制执行器。这一层是信息物理系统的接口 [8]。

这种多层架构工作在双向网络上。RTU/PLC 将实时数据传输到变电站和 SCADA 控制中心。在下游通信中，控制信号从控制中心发送到现场设备，以控制系统行为，如开关、负载均衡和故障检测。这种闭环通信确保了智能电网的实时态势感知。

这些层之间使用一组工业协议进行通信。Modbus 协议广泛用于 SCADA 和现场设备之间的通信。同样，DNP3 广泛用于 SCADA 中控制中心和变电站之间可靠且时间同步的通信。此外，IEC 60870-5-104 和 IEC 61850 等协议支持高级遥测和变电站自动化。然而，许多这些协议最初设计时缺乏强大的安全功能，如加密、认证和完整性检查 [9]。

对通信协议的依赖在智能电网上造成了重大的网络威胁。因为通信通道包含测量数据和控制信号，任何通信延迟都会影响系统可见性和控制。不同类型的网络攻击可能发生在通信网络的不同层，并产生不同的运营影响 [10]。

在通信层，DDoS 攻击如 SYN 和 UDP 洪水攻击会淹没 SCADA 服务器、变电站和通信链路。此类攻击会中断通信通道，延迟或阻断数据和控制命令的流动。因此，控制中心可能无法了解电网中的情况，导致决策延迟、负载不平衡，在某些情况下甚至导致级联故障或停电。同样，查询洪水和堆叠协议帧攻击利用协议级漏洞使 PLC、RTU 和 SCADA 系统中的处理器过载，导致系统故障和/或拒绝服务 [11]，[12]。

中间人（MITM）攻击和 ARP 投毒通过截获、修改或注入参与者之间的恶意信息来破坏通信完整性。这些攻击直接影响 SCADA-RTU 或 SCADA-PLC 通信通道，允许攻击者更改控制命令或传感器数据。因此，控制中心可能会出现系统状态错误，这可能导致不安全的控制动作、设备故障或变电站保护失效 [13]，[14]。

重放攻击通过重放实时数据包对系统安全构成主要威胁。这可能导致智能电网中 PLC 或 RTU 发出过时的控制命令，导致错误的开关或执行器响应。此类操作可能导致电网中断、设备损坏或干扰分布式能源的同步。

侦察活动，如端口扫描和 IP 扫描，专注于网络以查找活动设备、通信端口和协议。虽然这些攻击不直接影响系统，但它们提供了有价值的信息，使攻击者能够发起更复杂的攻击。暴力破解攻击也利用认证漏洞获取对 SCADA 或现场设备的访问权限，从而完全控制关键的电网组件 [15]。

在更高级的情况下，零日攻击指的是新的或未知的攻击行为。此类攻击可能包括未授权的命令序列、未授权的功能码，或协议状态的改变，例如冷启动、热启动、禁用非邀请响应或数据初始化。这些攻击特别危险，因为它们可以绕过传统检测机制并导致系统故障、通信中断和长期中断 [16]，[17]。

总体而言，智能电网的互联性质使得通信层上的网络攻击有可能传播到系统的其他部分，即物理和信息物理层。通信中断不仅影响数据交换，还影响控制动作，导致设备损失、服务中断、成本增加和公共安全风险。因此，智能电网通信框架是系统的关键部分，也是网络攻击的关键漏洞。图 1 展示了智能电网的感知层、通信网络、控制与应用层，以及使用 Modbus/TCP、DNP3 和 TCP/IP-以太网等工业协议的双向信息交换。DDoS、MITM、Replay 和零日攻击被绘制在通信路径上，以显示攻击者如何利用网络。

为了对快速发展的智能电网入侵检测领域提供结构化的视角，本综述提出了一个分类体系，根据其底层检测范式、代表性学习技术、数据集特征和攻击重点对现有研究进行分类。提出的分类体系将多样化的文献组织成连贯的类别，从而能够更清楚地理解学习模型、通信环境和网络攻击场景之间的关系。此外，还对综述的研究进行了定量分布分析，以说明不同攻击类别的普遍性以及现有研究依赖特定协议智能电网通信数据集的程度。这些分析为后续章节中提出的协议感知讨论建立了系统基础。

表 1 展示了所综述文献的分类体系。

现有入侵检测研究大致分为五大检测范式：(i) 经典监督机器学习，(ii) 深度学习和混合深度学习，(iii) 基于Transformer和图的方法，(iv) 异常检测和 unsupervised（无监督）学习，以及 (v) 少样本学习、元学习和联邦学习。该分类体系进一步表明，尽管近期研究越来越多地采用先进的学习范式来提升网络攻击检测性能，但大多数研究仍使用通用型网络或物联网数据集来评估其模型。只有少数研究基于Modbus和DNP3等工业协议，针对特定协议的通信数据集展开调查。因此，该分类体系为理解智能电网（SG）入侵检测研究的演进提供了统一框架，并作为第1.1.2–1.1.6节中所呈现的协议感知对比分析的概念基础。

表2进一步对已评审文献进行了定量概述。在第1.1.2–1.1.5节中分析的46项代表性研究里，有43项使用通用网络、物联网或工业流程数据集来评估入侵检测模型，而仅有3项研究采用了协议特定的SG通信数据集。此外，在Modbus通信环境中所开展的DDoS攻击检测、多种网络攻击检测或零日攻击检测的已评审研究中，没有任何一项采用协议特定的基准数据集。这些发现从定量上证明，当前研究在很大程度上仍然依赖通用数据集。

DDoS攻击是对SG通信系统最严重的威胁之一。在这类攻击中，来自多个来源的大量恶意流量会淹没通信信道、服务器和其他网络设备，导致服务中断和系统故障。由于SG网络依赖实时通信，许多研究已探讨了机器学习和深度学习技术在DDoS攻击检测中的应用。

经典机器学习方法已被广泛探索用于此目的。例如，文献[18]提出的基于PCA的EDAD框架在CICIDS2017、CIC-IDS2018和CICDDoS2019数据集上评估了支持向量机（SVM）、随机森林（RF）和K最近邻（KNN）分类器。结果显示，RF模型在CICIDS2017上达到了98.9%的分类准确率，而SVM、KNN和RF在CIC-IDS2018和CICDDoS2019数据集上均达到了90.7%。

文献[50]的作者提出了一种基于Informer的深度学习模型，用于电力物联网中的DDoS攻击检测。该端到端框架利用带有稀疏自注意力机制的Informer编码器，从原始网络数据中自动提取时间流量特征，无需人工特征工程。该模型在CICIDS-2018数据集上进行了评估，所使用的网络流量包含Bot、DDoS-LOIC-UDP和DDoS-HOIC攻击。实验结果显示准确率高达99.81%，优于多个基线模型，同时可提供高效的实时DDoS检测。

基于深度学习的方法也在复杂流量模式学习中展现出强大能力。另一项研究[5]提出了一种混合ConvLSTM-MHA-TWD框架，该框架结合了卷积长短期记忆网络（ConvLSTM）、多头注意力（MHA）和三态决策（TWD）理论。该框架在CICIDS2017数据集上评估时，检测准确率达到99.4%，证明了空间和时间特征学习集成的有效性。同样，文献[33]的研究开发了一种混合CNN-双向长短期记忆（BiLSTM）架构，在相同数据集上进行DDoS检测，报告的准确率约为95.6%。

基于自编码器（AE）的技术也已在SG环境中的异常检测中得到研究。文献[55]在UNSW-NB15和IDE2012数据集上评估了深度自编码器（DAE）、边缘化去噪自编码器（MDAE）和极限学习机自编码器（ELMAE）。这些模型有效地学习了网络流量的压缩表示，并提升了异常检测性能。在此基础上，文献[35]提出了一种基于CNN-门控循环单元（GRU）的模型，在CICIDS2017数据集上评估后达到了99.7%的准确率，表明集成卷积层和循环层可增强检测性能。

近期研究进一步探索了在SG环境中用于DDoS攻击检测的先进学习范式。文献[19]在CICDDoS2019数据集上评估了量子支持向量机（QSVM），达到了100%准确率，优于其经典SVM对应方法。同样，文献[36]引入了一种轻量级混合框架，结合了自回归积分滑动平均（ARIMA）和轻量级卷积神经网络（LWCNN）。该方法在ISCX-IDS2017数据集上评估时，DDoS检测准确率达到99.1%，同时提供了更好的可扩展性。

涉及多种机器学习模型的对比评估也证明了基于树的分类器的有效性。文献[24]在KDDCup99和CICIDS2017数据集上评估了决策树（DT）、RF和极端梯度提升（XGBoost）以检测DDoS攻击，根据所选特征集不同，准确率达到99.9%至100%。集成学习也被探索用于提升鲁棒性和稳定性。文献[21]的研究在CICDDoS2019数据集上调查了装袋（bagging）、提升（boosting）和堆叠（stacking）集成方法，报告堆叠式集成达到了最高性能，准确率为97.3%，优于个体学习模型。

另一项研究[25]在CICIDS2018数据集上评估了RF、NB、SVM和XGBoost，报告RF在平衡数据条件下准确率约为97.01%，优于其余分类器。早先，文献[30]的作者使用J48、NB和RF分类器调查了SCADA环境，在KDDCup99数据集上，RF模型达到了99.9%的准确率，证明了经典机器学习技术在工业控制系统环境中的有效性。

表3中呈现的对比分析表明，现有DDoS检测研究主要集中于通过先进的机器学习、深度学习和集成学习技术来提升分类性能。虽然这些方法在识别流量洪泛攻击方面展现出强大能力，但其评估主要在代表传统TCP/IP流量的基准数据集上进行。因此，DDoS检测主要由通用流量统计数据驱动，而非工业协议特有的通信行为。针对保留协议语义（如功能码、寄存器事务和工业消息交互）的Modbus定向DDoS数据集的关注非常有限。因此，现有DDoS检测模型在基于Modbus的运营中SG通信环境中的实际适用性仍缺乏充分探索。

近期研究广泛探讨了在SG和SCADA环境中利用人工智能技术检测多种网络攻击，其范围超越了DDoS攻击检测。这些研究评估了包括侦察、命令注入、后门、数据操纵和拒绝服务在内的多种攻击类别，同时使用网络流特征和物理过程参数。例如，文献[34]的作者为智能电网提出了一种基于深度集成学习的入侵分类框架，该框架将基于灰狼优化器（GWO）的特征选择与堆叠深度集成架构相结合，架构由CNN弱学习器和MLP元学习器组成。该模型在包含三类（攻击、自然和无事件）的MSU-ORNL智能电网入侵数据集上进行了评估。该框架采用GWO减少冗余特征，使用SMOTE进行类别平衡，并运用可解释人工智能（SHAP）来解释模型预测。实验结果显示，使用所选特征集时分类准确率为99.0%（使用原始特征集时为96.6%），证明了集成方法在准确区分SG环境中网络攻击、自然干扰和正常运行状态方面的有效性。

在最全面的评估之一中，一项研究[6]在WUSTL-IIoT-2018和WUSTL-IIoT-2021数据集上测试了11种ML模型（包括经典、装袋和提升技术），以检测侦察、命令注入、DoS和后门攻击。对于2018年数据集，AdaBoost达到了100%准确率，误报率极低（0.002%）；而XGBoost在2021年数据集上达到了99.99%准确率，误报率为0%。另一项研究[27]将卡方特征选择方法与DT分类器相结合，并在多个数据集上进行了评估，包括NSL-KDD、ICS-SCADA、WUSTL-IIoT-2021和CICIDS2018。最高性能在WUSTL-IIoT-2018数据集上取得，准确率为99.98%，计算时间为0.122秒，证明了其有效性和效率。

同样，文献[37]在WUSTL-IIoT-2018和ICS-SCADA数据集上评估了一种名为"遗传播种植物Transformer神经网络"（GSFTNN）的混合深度学习模型，用于二分类和多分类任务。该模型在二分类中达到98.54%准确率，多分类中达到99.12%，优于LSTM、RNN和ResNet等传统深度学习模型。在进一步研究中，文献[26]的作者评估了WUSTL-IIoT数据集，并应用递归特征消除（RFE）从48个特征中选取11个关键特征，随后使用DT分类器，准确率达到99.97%，误报率极低。

另一项研究[20]在燃气管道和储水罐SCADA数据集上评估了17种机器学习和深度学习方法，包括XGBoost、RF、装袋、SVM变体、DT、线性判别分析（LDA）和堆叠深度神经网络。XGBoost模型在燃气管道数据集上达到99.0%准确率，在储水罐数据集上达到98.9%准确率，确认了集成学习对工业数据集的适用性。聚焦于物理过程数据而非SG协议特定网络流量，文献[56]的作者使用SWaT、BATADAL和WADI等数据集评估了异常检测，这些数据集包含水处理和分配厂的传感器读数、水箱液位和执行器状态。基于AE和PCA的模型通过物理参数偏差检测网络攻击，证明对进程级异常检测非常有效。

在类似语境下，另一项研究[22]在相同ICS-SCADA数据集上采用梯度提升特征选择（GBFS）结合八种机器学习算法，包括梯度提升（GB）、XGBoost、RF、AdaBoost-RF、随机树和J48。其中XGBoost达到了最高准确率97.96%，突显了提升技术对多攻击检测的有效性。同样，文献[23]的作者利用ICS-SCADA数据集，应用基于相关性的特征选择（CFS）结合KNN分类，准确率达到97.07%，证明了特征优化对工业数据集的有效性。

表4说明，近期研究已通过应对多种攻击类别（包括侦察、命令注入、虚假数据注入、继电器操纵、后门和拒绝服务攻击）将入侵检测从DDoS攻击扩展开来。这种更广泛的攻击覆盖促进了混合学习模型、集成技术、可解释人工智能和特征优化策略的发展。然而，尽管攻击场景多样化，大多数评估仍依赖于代表通用网络流量或物理过程测量的数据集，而非协议感知的SG通信。因此，现有模型主要学习通用流量特征，而非协议级交互，导致基于Modbus的运营环境中复杂网络攻击的检测仍未得到充分研究。

零日攻击是指利用先前未知漏洞或攻击模式的网络攻击，对于这类攻击不存在签名、规则或先前标记的样本。与已知攻击不同，零日威胁无法被基于签名的入侵检测系统可靠检测，因此需要异常检测、元学习、少样本学习（FSL）或无监督学习技术来识别偏离正常行为的情况。在SG和SCADA环境中，零日攻击尤为危险，因为通信通常是确定性的，遗留协议被广泛使用，即使是微小的异常也可能导致严重的物理和运营后果。

近期研究日益集中于利用AI驱动技术在物联网、ICS和SCADA环境中检测零日攻击或多种已知网络攻击。文献[42]的作者引入了CyberSentry，一个统一的SCADA安全框架，集成了递归多相关信息增益（RMIG）用于特征选择、Tri-Fusion Net用于融合异常检测、签名检测和基于ML的检测，以及PLBO用于参数优化。该框架在燃气管道、CICIDS-2017、CIRA-CIC-DoHBrW-2020和ICS-SCADA数据集上进行了评估，在广泛网络威胁检测中达到99.5%准确率，但并未明确聚焦于零日攻击识别。

文献[52]的作者提出了一种基于可解释人工智能的注意力融合模型，用于物联网/工业物联网网络中的零日入侵检测，通过结合多头自注意力和BiLSTM来捕获短期和长期流量依赖关系。该框架还集成了LIME和SHAP以提升模型可解释性，并采用基于质心的特征嵌入方法检测先前未见的（零日）攻击。该模型在包含多样化物联网/工业物联网网络攻击的Edge-IIoTset数据集上进行了评估，包括DDoS（HTTP、TCP、UDP、ICMP）、SQL注入、密码攻击、上传、漏洞扫描、后门、中间人攻击、端口扫描、勒索软件、XSS和指纹识别攻击。所提出的深度学习模型在零日攻击检测中达到了71.09%的多类准确率和99.99%的二类准确率，在提供高检测能力的同时，还为安全分析师提供了可解释的预测。

一种基于无监督机器学习的零日攻击检测方法ZdAD-UML被引入物联网网络，使用CICIoT2023和IoT-23数据集[59]。在该方法中，首先应用河马优化算法（HOA）进行特征选择以去除冗余信息并提升处理效率。所选特征随后输入增强的基于K均值聚类的加权龙虾自编码器（EKC-WCAE），该编码器从数据中学习重要模式并生成异常分数。通过黄鱼优化算法（POA）计算动态阈值来评估这些分数。

当异常值超过阈值时，系统会将该事件识别为潜在的零日攻击。在另一项研究中[43]，作者提出了一种混合深度学习中框架，用于零日攻击检测，该框架集成了四个主要组件。WavePCA-自动编码器（AWPA）有助于数据降维，元注意力Transformer自动编码器（MATA）通过利用注意力机制提取关键特征，以提高模型的泛化能力。遗传芒格-变色龙优化算法（GMCO）进一步选择最相关的特征。最后，自适应混合漏洞检测网络（AHEDNet）应用了一种基于集成的检测策略，该策略随时间自适应调整，以提高准确率并降低误报率。该框架在UGRansome等数据集上进行了测试，在检测此前未见过的零日攻击方面展现了强大的能力。

研究[53]提出了一种面向工业控制系统的跨域异常检测模型，该模型利用跨域图表示学习框架联合分析网络流量和物理传感器数据。该方法采用基于注意力的图卷积网络（GCN），结合多任务学习和多梯度下降优化算法，学习共享特征和域特定特征，以实现准确的异常检测。该模型在包含网络和物理域数据的SWaT数据集上进行了评估，并与九种最先进的异常检测方法进行了比较。实验结果表明其具有优越的检测性能，取得了最高的F1分数（84.88）和最低的错误接受率（3.07%）。此外，在文献[6]中，十一种机器学习模型（包括决策树、随机森林、KNN和XGBoost）被应用于WUSTL-IIoT-2018和WUSTL-IIoT-2021数据集，用于检测SCADA系统中的侦察攻击。提升模型达到了约100%的准确率，且误报率极低。

文献[54]的研究引入了一种基于图注意力网络和原型元学习的神经算法推理方法，通过两阶段分类流水线来识别边缘物联网网络中的已知和未知攻击。类似地，在零日攻击检测方面，文献[44]的作者集成了Z-score归一化、二进蛇群优化器、基于注意力的双向门控循环单元和改进的麻雀搜索算法，并在ToN-IoT数据集上进行了评估，取得了98.28%的准确率。

文献[75]提出了一种混合AE-RF和AE-XGB入侵检测模型，并在CICMalMem-2022数据集上进行了评估。该混合模型通过基于重构误差的异常检测，在识别新型攻击方面取得了99.97%以上的准确率。联邦少样本学习和元学习方法在文献[7]、[61]、[62]中被探索，在NSL-KDD、UNSW-NB15、CICIDS2017、CSE-CICIDS2018和CIC-DDoS2019等聚合数据集上使用MAML、CNN和联邦少样本学习，仅需极少的训练样本即可实现92%–95%的准确率。早期的研究[45]、[63]关注使用CNN和联邦深度学习（FedAvg）在Bot-IoT和N-BaIoT数据集上进行物联网零日僵尸网络检测，对未知僵尸网络攻击的准确率高达91%。

表5中总结的研究表明，通过元学习、联邦少样本学习、联邦学习、异常检测和混合深度学习技术，在零日入侵检测方面取得了实质性进展。然而，这些方法几乎完全是在通用网络或物联网数据集上开发和验证的，对于识别针对Modbus通信的未知攻击的能力缺乏证据。由于零日攻击可能利用传统基准数据集中不存在的协议特定行为，现有方法在运行的智能电网通信网络中的泛化能力在很大程度上仍未被探索。这凸显了需要专门针对基于Modbus的智能电网环境设计的协议感知零日检测框架。

DNP3在智能电网SCADA系统中被广泛用于控制中心、变电站、远程终端单元和智能电子设备之间的通信。它专为可靠的、事件驱动的、时间同步的远程测量而设计，适用于长距离传输。非自主上报、带时间戳的测量和高效的带宽利用等特性使DNP3非常适合电力系统监控和控制。然而，该协议最初设计时未内置强大的网络安全机制。在许多实际部署中，认证和加密要么缺失，要么仅部分实现。因此，DNP3通信面临重放攻击、命令操纵、枚举和协议滥用等威胁，包括攻击者利用未知或未文档化协议行为的零日攻击场景。这些协议级特性带来的安全挑战与通用IT或物联网网络中的显著不同。

大量研究专注于使用机器学习、深度学习和混合智能技术检测零日攻击。例如，文献[59]的作者提出了一个用于ZdAD-UML的无监督框架。该方法首先进行数据预处理，然后使用HOA进行特征选择以去除无关信息。重要特征随后通过EKC-WCAE进行提取。为了识别异常，通过POA确定动态阈值。该模型在IoT-23和CICIoT2023数据集上进行了评估，准确率分别为98.65%和98.51%，证明了其在检测此前未见过的物联网威胁方面的有效性。此外，文献[43]的作者引入了一个结合多个深度学习模块的混合框架，用于零日攻击检测。AWPA模型用于数据清洗，然后MATA模型用于从数据中学习有意义的模式。GMCO技术进一步选择了最关键的特征。AHEDNet模型应用集成策略来识别攻击，并在UGRansome数据集上进行了评估。该方法取得了超过99%的准确率和精确率，在检测此前未知的漏洞利用方面表现出色。

类似地，在文献[64]中，作者提出了一个混合联邦学习框架，结合集中式聚合，以解决智能电网SCADA环境中缺失攻击类别的问题。该方法允许在节点间进行分布式学习，同时保护隐私并提高对异构数据分布的鲁棒性。此外，在零日攻击检测方面，文献[60]的作者将动态加权收缩自动编码器应用于CICIoT2023、CICDDoS2019和ToN-IoT数据集。该模型在这些数据集上的准确率分别为98.17%、91.77%和93.22%，证明了其对不断演变的攻击模式的鲁棒性。在另一项研究[58]中，使用Mininet工具创建了一个智能电网拓扑，其中客户端和服务器进行正常通信，攻击者执行DDoS攻击，并应用稀疏自动编码器来分类正常和DDoS流量。该研究在模拟的智能电网Modbus通信网络中检测到了DDoS攻击，准确率达到76%。文献[44]的研究提出了BSODL-ZDADC框架，集成了BSO用于特征选择、ABi-GRU用于序列学习和ISSA用于超参数调优。该混合框架在ToN-IoT数据集上进行了测试，准确率达到了98%。

在文献[28]中，作者实现了多种基于集成的机器学习算法，包括决策树、随机森林、XGBoost和CatBoost，用于对基于DNP3的SCADA环境中的八种不同攻击类型进行分类。其结果表明，集成模型非常适合智能电网系统中的协议特定攻击检测。类似地，在文献[49]中，作者将传统机器学习技术（如逻辑回归、感知器、高斯朴素贝叶斯和多感知器网络）与LSTM网络结合，用于检测智能电网数据中的对抗性攻击。在这些方法中，LSTM取得了99.81%的最高准确率，突出了序列建模在捕获智能电网网络流量模式方面的重要性。在此基础上，文献[84]中评估了一种结合有监督学习和无监督学习技术的混合框架，在NSL-KDD数据集上进行了测试。所提出的方法在检测已知和此前未见过的攻击时准确率达到98.4%，证明了结合不同学习范式的好处。

此外，文献[85]的研究引入了一种基于深度Q网络的学习框架。通过应用强化学习并在NSL-KDD和UNSW-NB15数据集上评估模型，作者通过自适应学习策略改进了零日攻击模式的检测。最后，文献[86]对零日攻击检测方法进行了全面综述，涵盖了无监督方法（如SVM和自动编码器）、有监督技术（包括决策树和随机森林）以及混合和基于迁移学习的模型，为该研究领域现有解决方案提供了整体视角。

表6中总结的比较分析揭示了两个活跃研究方向之间的明显分离：面向DNP3通信的协议感知入侵检测和通用零日攻击检测。现有的DNP3研究主要专注于使用有监督学习识别预定义的攻击类别，而零日检测研究通常依赖于异常检测、元学习、联邦学习或强化学习，但这些技术并未在真实的DNP3通信数据上进行评估。这种有限的融合表明，基于DNP3的智能电网基础设施中此前未见攻击的自适应检测仍是一个重要的未解决研究挑战。

智能电网环境中入侵检测的最新研究表明，从工业通信流量中提取的基于流统计特征，当与机器学习/深度学习模型结合时，能够实现网络攻击的高准确率检测。大量研究已经探索了基于分布式DNP3、Modbus TCP和IEC 61850 MMS的检测，使用多样化数据集、混合架构和优化策略。尽管这些工作报告了令人印象深刻的准确率，但它们通常在高维特征空间上运行，这些特征空间由协议流量派生，由于协议行为、时间模式和重复描述符，许多特征在统计上是相关的。

例如，最近的文献[38]引入了一种协议感知的分段神经网络，用于使用DNP3 IDS数据集检测DoS、中间人、ARP欺骗及相关攻击。SNN将DNN、LSTM和随机神经网络结合，以学习ICS/SCADA流量中存在的空间、时间和概率模式。通过将模型设计与协议行为对齐，该研究表明协议上下文可以如何改善入侵检测性能。另一项研究的作者[51]提出了时间增强的Transformer安全模型，这是一种基于深度学习的入侵检测模型，集成了改进的ContiFormer（连续时间Transformer）和鸽子启发优化算法进行特征选择。该模型专为检测物联网环境中的DDoS攻击而设计，通过有效捕获网络流量中的不规则时间模式来减少特征冗余和计算复杂度。所提出的框架在多个基准数据集上进行了评估，包括CICDDoS2019、CICIDS2018、UNSW-NB15-v2和IoT2023，分类准确率分别为99.45%、99.40%、99.46%和96.26%。实验结果表明，TETS在检测准确率、鲁棒性和计算效率方面优于传统的CNN、LSTM和Transformer模型，适用于二分类和多类DDoS攻击检测。

在类似方向上，文献[31]研究了基于Modbus TCP运行的工业环境中的入侵检测。作者使用自定义的Modbus TCP数据集评估了多种机器学习和深度学习模型，包括RF、XGBoost、深度神经网络和混合集成模型，该数据集包含MITM、DoS、重放、欺骗和命令注入攻击。在所有模型中，XGBoost取得了98.41%的最高检测准确率。

另一项重要贡献见于文献[57]，其中开发了一种自适应混合人工智能免疫系统用于基于DNP3的智能电网SCADA系统中的异常检测。该方法使用最大重叠离散小波变换进行信号分解，并用决策树进行分类，增强了分段确定性树突细胞算法。在ITHACA DNP3入侵检测数据集上评估后，该框架取得了99.68%的准确率、99.56%的精确率、99.98%的敏感度和98.95%的特异性。具体聚焦于基于Modbus的智能电网网络中的DDoS攻击，文献[58]提出了一种基于稀疏自动编码器的异常检测模型。该研究引入了Modbus DDoS攻击数据集，该数据集由模拟的智能电网环境生成，其中应用程序通过Modbus/TCP进行通信。SAE模型仅在正常流量上进行训练，通过重构误差识别DDoS活动，使用90百分位阈值来标记异常。

类似地，文献[29]为基于DNP3的关键基础设施（特别是城市交通监控系统）提出了一种基于集成学习的入侵检测框架。使用DNP3 IDS数据集，作者比较了个体分类器与集成方法。Stacking集成（LR、SVM、RF）取得了最佳结果，准确率为99%，精确率为100%，召回率为99%，AUC-ROC为100%。

文献[48]的工作提出了一种基于深度学习的入侵检测与缓解系统，使用神经网络和LSTM模型。数据集由修改的IEEE总线系统测试环境生成，以模拟智能电网网络物理攻击。除了检测和分类之外，该系统还能定位攻击并隔离被入侵的IED，总体准确率约为98%。文献[39]为基于DNP3的基础设施提出了一种混合入侵检测系统，结合了LSTM、CNN和RF分类器。该研究强调了时间戳在分析攻击模式中的重要性，并对DNP3流特征应用了受自然语言处理启发的预处理技术（分词、词形还原、TF-IDF）。使用67/22/11的训练-测试-验证划分，该模型取得了98.3%的准确率。

在文献[32]中，开发了一种混合网络入侵检测系统，用于检测智能电网私有区域网络中的MITM攻击。提出了两个变体：PCA-HNIDS仅在正常流量上训练，SVM-HNIDS在正常和攻击数据上同时训练。该研究引入了从TCP流派生的隐私保护流特征（IRTT、TTOC、MITR、MATR、NROC），无需深度包检查。

在本研究中使用Modbus TCP和IEC 61850 MMS协议进行实验验证，该方法检测率达到97.6%至100%之间，加权F1得分均超过98%。ARP攻击检测在文献[40]中得到研究，其中基于CNN-LSTM模型利用通过Mininet和Ryu控制器生成的SDN数据集，实现了99.73%的准确率。该数据集包含了ARP欺骗和洪泛攻击，旨在模拟中间人攻击和窃听场景。最后，文献[41]系统性地演示了八种针对DNP3协议的特定网络攻击，包括禁用非请求消息、冷/暖重启、从站发现、初始化数据、停止应用以及重放攻击，并在模拟的SCADA拓扑结构中进行了验证。基于10层深度神经网络的多模型入侵检测系统，在DNP3流量特征上训练后，实现了99.0%的准确率。文献[29]、[31]、[32]、[38]、[39]、[40]、[41]、[48]、[51]、[57]、[58]中综述的研究以及表7中呈现的比较分析表明，近期的智能电网入侵检测研究日益侧重于复杂的深度学习架构，而对特征冗余度和部署效率的关注相对较少。虽然少数研究纳入了特征选择或降维技术，但大多数模型在处理高维协议流量时，并未明确评估冗余信息或其对计算复杂度的影响。此外，尽管执行时间对实时工业部署至关重要，却很少在研究中被报告。这些观察结果凸显了在智能电网运行环境中部署实用入侵检测系统时，需要整合冗余感知特征工程与计算效率分析。尽管大量研究已探讨了智能电网环境中的网络攻击检测（第1.1.2、1.1.3、1.1.4、1.1.5和1.1.6节），但现有研究大多仅关注问题的孤立方面，如攻击检测准确率、模型选择或数据集使用。因此，关于智能电网通信协议、数据集特征、攻击类型和特征工程实践之间建立全面关系的关注相对有限。这种碎片化的视角限制了现有入侵检测方法准确反映真实智能电网通信环境运行特征的能力。本次综述中发现的最显著的概念局限性之一是，在评估智能电网入侵检测模型时，大量依赖于通用网络和物联网基准数据集，包括CICIDS2017、CICIDS2018、UNSW-NB15、NSL-KDD和ToN-IoT数据集。这些数据集提供了多样化的攻击场景和标准化基准，极大地促进了机器学习与深度学习技术的发展与比较。然而，智能电网基础设施从根本上依赖于专用的工业通信协议，如Modbus、DNP3和IEC 60870-5-104，在变电站、智能电子设备、远程终端单元和控制中心之间交换运行指令、传感器测量值和控制消息。因此，面向智能电网环境的入侵检测系统理想情况下应使用能够保留这些工业协议通信语义和运行特征的协议特定数据集进行评估。相比之下，通用基准数据集主要代表传统企业或物联网网络流量，因此缺乏准确建模工业控制系统所需的协议特定通信语义。具体而言，广泛使用的CICIDS2017、NSL-KDD、ToN-IoT和UNSW-NB15等数据集构建自传统TCP/IP流量，其中提取的特征主要由与协议无关的流统计信息组成，包括流持续时间、数据包计数、字节速率和TCP/IP头部属性。因此，这些数据集无法保留工业通信字段，如Modbus功能码、寄存器地址、异常响应、DNP3对象组、轮询序列或IEC 60870-5-104控制命令。由于这些协议特定字段直接表征了智能电网通信网络的运行行为，它们的缺失限制了通用基准数据集真实评估面向工业控制环境的入侵检测模型的能力。尽管这些数据集在学习算法基准测试中仍有价值，但在其上取得的检测性能可能无法准确反映入侵检测模型在真实智能电网运行条件下的有效性。通用数据集与协议特定数据集之间评估失衡的问题，在本次综述的研究结果中得到了进一步证实。在1.1.2、1.1.3和1.1.4节中讨论的DDoS、多攻击和零日攻击入侵检测研究中，少于5%的综述研究采用了保留真实Modbus、DNP3或IEC 60870-5-104协议字段的数据集。DNP3 IDS数据集[41]、自定义Modbus TCP数据集[31]、MDDA Modbus DDoS数据集[58]和IEC 60870-5-104数据集[87]共同构成了所调研文献中几乎所有协议特定基准数据集。此外，这种失衡的影响在报告的检测性能中显而易见。例如，使用广泛采用的CICIDS2017数据集的研究一致报告了90%至99%之间的DDoS检测准确率，而基于MDDA数据集[58]评估的协议特定Modbus DDoS研究实现的准确率约为76%。这并非表明检测能力较差，而是反映了协议特定工业通信流量的复杂性和真实性的增强，其中协议语义、设备交互和控制消息行为引入了更具挑战性的检测条件。这些发现表明，使用通用基准数据集报告的近完美检测率可能高估了入侵检测模型在运行中的智能电网环境中的实际有效性。图2展示了文献综述中发现的主要概念局限性，包括（i）智能电网协议特定特征的有限利用，（ii）协议特定基准数据集的稀缺，（iii）对Modbus和DNP3通信网络中零日攻击检测研究的有限探讨，以及（iv）现有入侵检测研究中对特征工程实践的考虑不足。近期若干综述论文已回顾了机器学习和深度学习技术在智能电网入侵检测中的应用。虽然这些研究提供了有价值的研究现状概述，但它们在分析范围和评估方法上存在差异。表8在八个关键维度上对本文综述与近期综述论文[1]、[2]、[10]、[88]等进行了比较，包括实验复现、协议感知分析、比较评估、零日攻击分析、冗余感知特征分析、研究空白识别和未来研究方向。该比较突出了本文综述所采用的更广泛的分析视角。表8还表明，所有被综述的研究均对智能电网网络安全研究进行了全面覆盖。在此基础上，本文综述在系统文献综合的基础上，补充了在统一评估框架下使用原始基准数据集对代表性入侵检测模型进行实验复现。这使得基于统一性能指标的连贯比较分析成为可能，并促进了跨不同研究报告的检测性能更可靠的解释。本文综述的另一显著特点在于其协议感知视角。除了评估检测模型外，综述还系统地考察了智能电网通信协议（包括Modbus、DNP3和IEC 60870-5-104）对数据集特征和模型评估的影响。分析进一步量化了文献中协议特定基准数据集的采用情况，并讨论了过度依赖通用网络数据集进行智能电网入侵检测的潜在影响。本文综述还专门从协议特定通信环境的角度，对零日攻击检测进行了分析。与现有综述不同，本文并未将零日攻击检测视为单一研究主题，而是区分了在协议特定智能电网数据集上进行的评估与在通用基准数据集上进行的评估，从而更清晰地呈现当前研究格局。此外，本文综述通过实验评估，调查了特征冗余度、计算效率与检测性能之间的关系，整合了冗余感知的特征分析。该分析通过为资源受限的智能电网环境中部署入侵检测系统提供实用见解，补充了文献综述内容。最后，所识别的研究空白和未来研究方向源自系统文献综述、协议感知分析和实验评估的综合发现。因此，本文综述提供了一个整合性的视角，将现有研究趋势与实际挑战和新兴研究机遇联系起来。总体而言，表8表明本文综述通过整合系统文献分析、实验验证、协议感知评估、冗余感知特征评估和基于证据的研究空白分析，拓展了现有的智能电网网络安全综述，从而为理解当前进展和指导未来智能电网入侵检测研究提供了更为全面的框架。章节摘要实验复现与现有智能电网入侵检测研究的比较评估本节系统性地复现和比较评估了智能电网和SCADA安全文献中报道的代表性基于机器学习和深度学习的入侵检测方法。本节的目标并非提出新的入侵检测模型，而是在统一的实验框架下，使用各自数据集复现所选研究。这种标准化实现方式通过最小化因研究挑战与未来研究方向本节呈现了从现有智能电网入侵检测研究全面综述中识别出的关键研究挑战，以及相应的未来研究方向。这些挑战源自1.1.2至1.1.6节中对文献的批判性分析，重点突出了继续阻碍智能电网环境中鲁棒、协议感知且可实际部署的入侵检测系统开发的重大局限性。结论智能电网的数字化程度不断提高，使得有效的网络攻击检测对于确保安全可靠电网运行变得至关重要。本研究提出了一种以可复现性为导向的比较评估方法，使用原始数据集和实验设置对代表性基于机器学习和深度学习的智能电网入侵检测模型进行评估。尽管复现的模型在CICIDS2017、WUSTL-IIoT-2018、ToN-IoT和NSL-KDD等基准数据集上实现了较高的检测性能，但比较分析表明……CRediT作者贡献声明Sania Kanwal：写作——审阅与编辑、写作——初稿撰写、可视化、验证、软件、方法论、调查、形式分析、数据管理、概念构思。Bilal Rafique：写作——审阅与编辑、可视化、验证、方法论、形式分析、数据管理、概念构思。Waqas Amin：写作——审阅与编辑、可视化、验证、监督、方法论、形式分析、概念构思。Momna Munir：写作——审阅与编辑、软件。利益冲突声明作者声明，他们不存在已知的经济利益冲突或个人关系，这些冲突或关系可能会影响本论文所报告的工作。Sania Kanwal | Bilal Rafique | Waqas Amin | Momna Munir | Yuyu Zhu