基于混合CNN和BiLSTM架构的智能电网网络攻击检测系统，利用智能电表数据进行检测

《Scientific Reports》：Hybrid CNN BiLSTM architecture for smart grid cyberattack detection using smart meter data

　　

摘要

随着入侵手段的日益复杂，实时网络攻击入侵检测在智能电网通信基础设施中面临着严峻挑战。传统的基于规则的检测方法无法适应现代电力网络中多样的攻击模式。在这项研究中，我们开发了一个监督式深度学习框架，该框架利用卷积神经网络（CNN）进行空间特征提取，双向长短期记忆网络（BiLSTM）进行时间依赖性建模，并结合Extra Trees集成分类器来做出稳健的决策，从而实现对高频智能电表数据的实时入侵检测。CNN层从128维的多模态电表测量数据（如电压、电流、频率谐波）中提取层次化的空间特征；BiLSTM组件通过正向和反向处理整个电表数据序列来捕捉攻击演变模式，这些模式是单向模型所无法捕捉到的。注意力机制动态地调整时间特征的重要性，从而提高了预测的准确性和可解释性。Extra Trees集成分类器提供了稳健且方差较低的决策输出，作为标准Softmax层的替代方案。该架构解决了多个问题：类别不平衡（2.49:1的比例）、高维度数据以及来自异构源的噪声传感器数据、实时（毫秒级）推理的需求以及可解释性的要求。该模型在密西西比州立大学电网测试平台的72,073条标记电网日志上进行了评估，这些日志涵盖了虚假数据注入攻击、拒绝服务攻击、重放攻击和中间人攻击等场景与正常运行状态下的对比。通过分层五折交叉验证，该模型的准确率为92.17%（±0.27%），精确率为90.58%（±0.49%），召回率为81.24%（±0.86%），F1分数为85.66%（±0.20%），ROC-AUC为95.60%（±0.14%），推理延迟仅为12毫秒，适用于公用事业规模的部署。与九种不平衡处理策略（不处理、类别加权、SMOTE、ADASYN、Borderline-SMOTE、SMOTETomek、SMOTEENN、随机过采样/欠采样）的全面比较研究表明，所选择的加权学习策略是该数据集的帕累托最优选择。配对McNemar检验结合Holm校正表明，所提出模型相对于测试基线的改进具有统计学意义（\(p<0.001\)）。消融实验验证了双向处理相比单向CNN-LSTM模型准确率提高了20.12个百分点，而Extra Trees头部组件相比独立的Extra Trees基线提高了10.09个百分点的精确率。这项工作为网络物理系统的混合深度学习做出了贡献，并在计算成本和人机交互框架方面提供了部署指导。在未来的工作中，我们将研究跨数据集验证、多并发攻击检测、用于故障定位的图神经网络以及面向隐私保护的联邦学习方法。