用于物联网支持的多能源系统安全中实时检测DDoS攻击的层次化时空深度学习框架

《Sustainable Computing: Informatics and Systems》：Hierarchical temporal-spatial deep learning framework for real-time DDoS detection in IoT-enabled multi-energy systems security

　　摘要：物联网技术快速融入多能系统后，显著提升了系统的监测、控制及能源优化能力；但同时也使得这些关键的 cyber-physical 基础设施面临严峻的安全威胁，尤其是分布式拒绝服务攻击。目前针对物联网网络的 DDoS 检测方法主要依赖静态深度学习模型，这类模型往往无法捕捉到复杂的攻击时间动态以及相互连接的能源组件之间的空间关联。此外，多数现有研究忽视了多能系统所具有的 cyber-physical 耦合特性，因此其在实际应用中的效果有限。为解决这些问题，本研究提出了一种分层时空深度学习框架，用于在物联网驱动的多能系统中实现实时 DDoS 检测。首先对数据进行处理并提取特征，以应对不同类型的输入数据；接着利用时空卷积网络建模时间依赖关系，再通过空间特征学习捕捉节点间的关联；随后通过分层学习提升模式识别能力；最后进行分类以实现实时攻击检测。该模型采用 Python 及相关深度学习库实现，并在包含标注过 DDoS 攻击场景的 Edge-IIoTset 数据集上进行测试，该数据集能够提供真实的物联网流量数据。研究还通过 cyber-physical 映射将物联网流量流与多能系统的运行组件对应起来，从而更准确地解读攻击行为。实验结果表明，所提模型的整体检测准确率高达 99.12%，优于现有的基于 CNN-LSTM、CNN-GRU 和 EESNN 的方法。这些结果证明，分层时空学习显著提升了 DDoS 检测的可靠性，使得该框架成为保障未来物联网驱动多能系统安全的有力解决方案。

引言：智能基础设施的快速发展催生了物联网驱动的多能系统这一概念，这类系统能够实现对电力、热能、燃气以及可再生能源的监控与控制[1]。这类系统高度依赖分布式物联网传感器、智能表计、边缘设备以及各类通信协议，以实现实时的能源管理以及供需平衡[2]。尽管这种高度集成性提升了系统的灵活性与可持续性，但也大大增加了现代能源基础设施面临网络攻击的风险[3][4]。在各类网络威胁中，分布式拒绝服务攻击尤为严重，因为它们会攻击对多能系统稳定运行至关重要的通信和控制服务[5][6]。如果物联网网关、能源管理系统或现场设备遭到成功的 DDoS 攻击，就会导致控制响应延迟、态势感知缺失，进而引发多个能源领域的连锁故障[7]。因此，在物联网驱动的多能系统中及时、准确地检测 DDoS 攻击已成为一项紧迫的研究任务，尤其是在面对动态流量以及大规模、异构设备部署的场景时[8]。

目前，关于物联网和智能能源系统中 DDoS 攻击检测的研究主要集中在基于机器学习和深度学习的入侵检测系统上，例如传统的分类器、卷积神经网络以及循环神经网络[9][10]。LSTM 和 GRU 等时间模型被广泛用于描述流量演变规律，而近期的一些研究则尝试利用图模型或注意力机制来充分利用拓扑信息[11]。然而，现有研究存在一些明显缺陷：首先，大多数研究都是单独对物联网设备进行建模，没有考虑设备之间以及系统组件之间的空间关联与相互作用，而在多能系统中，故障很容易在各个子系统间传播[12][13]；其次，有些研究仅关注 DDoS 攻击的时间维度或空间维度，未能同时考虑两者[14]；第三，大多数现有研究采用的模型结构较为简单，无法体现现实世界中物联网驱动的能源系统的层次结构——这类系统在不同层级上分别承担着感知、边缘计算、网络控制以及云端管理等功能[15]。此外，多数现有研究都在通用的物联网或网络环境中评估其模型，很少探讨网络攻击对多能系统运行的影响，因此其与多能系统安全的关联性较弱。

在物联网驱动的多能系统中实现 DDoS 的实时检测仍然是一项挑战，原因在于数据的高度异构性、时间依赖性以及资源限制。目前的检测方法大多基于静态模型或单一维度分析，缺乏灵活性，无法适应动态的 cyber-physical 环境。传统的机器学习方法无法感知时间变化，而深度学习模型则没有考虑分布式能源节点之间的空间相似性。此外，许多现有框架缺乏足够的实时处理能力，也无法泛化到不同的攻击模式。正是由于这些限制，人们需要一种能够同时捕捉时间动态与空间依赖性的统一框架。本研究提出了一种分层时空深度学习框架，通过结合时空卷积建模与空间特征学习来克服上述难题。首先，利用长短期记忆网络表示每个物联网设备生成的流量时间模式，从而捕捉 DDoS 攻击的时间依赖性脉冲特征；随后，通过图神经网络处理这些时间特征，将该物联网驱动的多能系统建模为图结构，其中节点代表能源系统组件，边则代表通信或控制关系。这一空间建模步骤有助于了解恶意流量是如何在相互连接的设备与系统组件间传播的。最后，通过一个轻量级的决策层输出实时的 DDoS 攻击检测结果。该框架在 Edge-IIoTset 数据集上进行了验证，该数据集提供了包含真实 DDoS/DoS 攻击场景的多元设备物联网及工业物联网流量数据，同时支持集中式学习和联邦学习。虽然该数据集来自物联网领域，但其层次结构、工业协议以及分布式感知特性与现代多能系统的网络架构极为相似。

近年来，物联网和车辆网络的大量普及大大增加了系统遭受网络攻击的风险，尤其是 DDoS 攻击和虚假数据注入攻击，这类攻击会严重威胁网络的可靠性与安全性。尽管目前的检测方法，如基于 CNN-LSTM 的物联网恶意软件检测方法[16]以及 VANET-DDoSNet++ 方法[17]，已经取得了较高的检测率，但它们仍存在一些局限性，比如计算负荷过大、无法适应不断变化的流量模式，以及难以泛化到异构的现实环境。同样，针对电力系统安全的一些混合深度学习系统，如 KOA-CNN-BiGRU-Attention 框架[18]，虽然也取得了不错的效果，但无法解决动态攻击场景中的时间空间相关性问题。这些缺陷制约了物联网和车辆网络应用中实时、高效且可扩展的入侵检测能力。为解决这些问题，本研究开发了一种时空深度学习模型，该模型通过优化的特征选择与时序建模，能够在异构网络中实现强大且准确的入侵检测。

近期的一些研究开始探索在分布式和动态环境中应用先进的智能优化与学习方法[19][20]。卷积神经网络、循环神经网络、注意力机制、基于图的学习方法以及联邦智能技术，正逐渐成为提升复杂环境中自动化水平、异常检测能力以及决策能力的现代解决方案的一部分[21]。这些方法有助于处理高维数据、捕捉时间趋势，以及适应动态运行环境中的各种条件。针对电动汽车生态系统的边缘计算框架也得到了广泛研究，旨在降低延迟并实现分布式处理，但这些框架仍面临着安全、隐私以及系统异构性等方面的挑战[22]。尽管有所改进，但这些方案仍存在诸多关键缺陷：大多数现有解决方案采用集中式的学习模式，存在可扩展性瓶颈、隐私安全问题以及巨大的消息传输开销；此外，许多最新研究都只关注单一维度的问题，仅对时间或空间维度进行建模，而忽略了二者之间的交互作用，而在相互连接的系统中，这种交互作用至关重要[23]。另外，由于缺乏对系统整体层面的考量，以及在实际运行条件下的不足，这类创新方法的泛化能力较差，因此亟需更具系统性、适应性以及情境敏感性的框架。

物联网驱动的智能基础设施的广泛应用，使得现代能源系统变得高度互联且以数据为核心[24][25]。虽然这种数字化进程能够提升系统的运营效率与可持续性，但也会使多能系统面临严重的网络安全风险，尤其是 DDoS 攻击，这类攻击可能会威胁到多能系统的运行、控制以及决策功能。物联网驱动的能源网络通常具有规模大、结构复杂且动态变化快的特点，这超出了现有安全机制的处理能力，从而导致检测延迟以及系统韧性下降。此外，大多数现有的入侵检测方法都没有考虑到现实世界能源系统的层次结构以及时间空间依赖性[26]。本研究的核心理念是，所提出的框架应当是一种具备智能性、系统意识且能够实时检测 DDoS 攻击的结构，它不仅要能够捕捉攻击的动态特征，还要符合物联网驱动的能源系统的运行特性。本研究旨在弥补现有技术的不足，提升网络空间的抗攻击能力，从而确保下一代智能能源系统能够安全、可靠地运行。

这项研究具有重要的意义，因为它通过引入分层时空深度学习框架，填补了在防范物联网驱动多能系统遭受 DDoS 攻击方面的技术空白。与传统入侵检测方法侧重于人工隔离设备不同，所提出的模型能够同时考虑变化多端的流量模式以及相互连接的能源组件之间的空间依赖关系，从而更精准、更有效地检测入侵行为。该架构能够提升任何时刻的态势感知能力，减少误报，同时便于在复杂的能源系统中实现规模化应用。对于下一代智能电网以及 cyber-physical 能源网络而言，这项研究具有重要意义，它能够为多能系统的运行结构提供相关的 cybersecurity 智能信息，进而提升系统的可靠性、抗攻击能力以及连续性。

• 本研究提出了一种专门用于物联网驱动多能系统中 DDoS 攻击检测的分层深度学习框架，该框架反映了现实世界智能能源基础设施的层次结构。
• 所提出的方法结合了 LSTM 对时间流量动态的建模能力以及图神经网络对物联网设备间空间依赖关系的分析能力，从而能够更精准地检测复杂且分布式的 DDoS 攻击模式。
• 物联网驱动的多能系统组件被建模为图结构，这使得该框架能够了解攻击如何在相互连接的设备及能源子系统间传播。
• 轻量级的分层架构不仅支持实时 DDoS 检测，还能满足智能能源环境中大规模物联网部署的扩展需求。
• 该框架在 Edge-IIoTset 数据集上进行了验证，该数据集提供了包含 DDoS 场景的真实多元设备物联网流量数据，从而确保了所提方法的实用性与稳定性。

相关研究：Polat 等人[16]提出了一种基于深度学习的端到端入侵检测框架，用于识别物联网驱动的 SCADA 系统中的恶意软件及网络异常。他们使用了包含多种物联网流量及攻击场景的 CICIoT?2023 数据集。在方法上，他们采用了混合型的 CNN-LSTM 框架，其中 CNN 层用于提取流量的空间特征，而 LSTM 层则用于捕捉时间相关的依赖关系。该模型的训练过程为……

所提出的分层时空学习框架：本研究提出了一种分层时空学习框架，旨在解决基于物联网的多能系统中的 DDoS 检测难题。如今的多能系统由智能表计、可再生能源控制器、储能装置以及中央能源管理系统组件等多种异构物联网设备构成，因此其流量模式具有高度的动态性且各组件之间存在紧密的相互依赖关系。传统的入侵检测技术无法有效捕捉这种复杂的交互关系……

实验目标：本节介绍了在物联网驱动的多能系统背景下，对所提出的分层时空 DDoS 检测框架进行的实验评估。实验结果将用于分析流量行为、时空学习方法的有效性、检测精度以及不同方法之间的性能对比。

数据集特征：本节将阐述用于评估物联网驱动多能系统环境中 DDoS 检测框架的网络流量的统计特性与时间特性。

结论与未来展望：本文提出了一种基于物联网驱动多能系统分层结构的时空 DDoS 检测系统。所提出的方法结合了 LSTM 编码器对时间流量动态的建模能力以及 GNN 对设备间空间依赖关系的建模能力，从而能够同时模拟攻击脉冲的行为，以及多能系统组件间的协同攻击传播过程。Edge-IIoTset数据的实验结果显示出高效且稳定的性能，整体检测效果优异。