面向电网系统中类别不平衡入侵检测的异构特征集成

《Symmetry》：Heterogeneous Feature Integration for Class-Imbalanced Intrusion Detection in Grid Systems

　　

现代电网数字化连接了通信网络、监控终端、服务平台、安全设备和运营数据源。在这种背景下，入侵检测需要将异构安全数据与电网侧上下文证据关联起来。为了解决类别不平衡和跨域异构性，本研究提出了一种异构特征组集成框架，用于电网网络安全数据的入侵检测。对称地构建了四个语义特征子空间：网络行为、电力运行上下文、区域派生通信/事件拓扑和系统运行状态，确保后续模态特定编码具有平等的结构基础。基于Transformer的编码器对网络、物理和系统状态模态中的时间依赖性进行建模，而图神经网络（GNN）编码拓扑相关的结构信息。得到的嵌入通过后期融合分类器进行集成，用于多类攻击识别；融合过程在决策层对称地处理每个特征组，不预设模态之间的先验优势。在主运行中，完整模型达到了0.944的准确率、0.891的宏F1分数（macro F1）、0.937的加权F1分数（weighted F1）、0.929的宏精确率（macro precision）和0.878的宏召回率（macro recall）。相应的平衡准确率为0.878，多类MCC（Matthews相关系数）为0.924。按类别结果显示了在Benign、Scan、WebAtk、DDoS、DoS和Backdoor类别上的可靠性能，而Ransomware仍然困难且经常与WebAtk混淆。具体来说，Ransomware召回率为0.27，大多数错误被分配到WebAtk。模态分析进一步表明，模态贡献是类别依赖的：一些特征组单独使用时判别能力有限，但在融合后提供了互补证据。这一发现凸显了类别效用的固有不平衡性，研究人员通过同时使用宏指标和加权指标来平衡，提供了兼顾少数类和多数类的对称评估视角。这些结果表明，面向电网的入侵检测受益于异构特征组的决策级集成和感知不平衡的评估，其中特征子空间和评估视角的对称处理共同增强了鲁棒性。

**论文解读：面向电网系统中类别不平衡入侵检测的异构特征集成**

**研究背景与问题**
现代电网数字化进程将通信网络、监控终端、服务平台、安全设备与运营数据源紧密连接，使得恶意流量、异常主机行为、篡改数据等威胁可能通过数字服务链路扩散，降低数据驱动安全分析的可信度。传统入侵检测系统（IDS）主要针对通用信息网络设计，通过流量统计、包级属性或系统调用序列学习判别模式，但在电网数字化场景中，安全监控需关联通信行为、终端状态、服务轨迹、拓扑描述符及电网侧观测（如电压、频率、电流、功率等物理量）。然而，异构观测数据形成具有不同时间特性、物理意义、结构依赖和噪声机制的语义模态，直接特征拼接会引入语义不一致、冗余信息或噪声放大。此外，攻击分布存在类别不平衡问题，高整体准确率可能掩盖对少数但安全关键攻击类别的弱识别能力。因此，研究人员提出将电网入侵检测建模为异构特征组集成问题，以构建跨系统风险监控能力。

**研究内容与结论**
本研究基于UNSW-MG24数据集（提供通信流量、系统级痕迹和电网物理测量等异构数据源），构建了四个语义模态：网络行为（B）、电力运行上下文（C）、区域派生拓扑（Z）和系统运行状态（S）。对B、C、S采用Transformer编码器建模时间依赖，对Z采用图神经网络（GNN）编码结构信息，通过后期融合多层感知机（MLP）分类器实现多类攻击识别。主运行结果：准确率0.944，宏F1 0.891，加权F1 0.937，宏精确率0.929，宏召回率/平衡准确率0.878，多类MCC 0.924。按类别分析显示，Benign、Scan、WebAtk、DDoS、DoS和Backdoor识别可靠，但Ransomware召回率仅0.27，主要误分类为WebAtk。模态贡献分析表明，不同模态对各类别的效用不均，部分模态单独使用时判别力有限，但融合后提供互补证据。这些结果表明，特征子空间的对称处理和评估视角的平衡共同增强了电网入侵检测的鲁棒性。论文发表在《Symmetry》。

**关键技术方法概述**
研究人员采用UNSW-MG24数据集作为样本来源，该数据集包含通信流量、电网物理测量、拓扑描述符和系统级痕迹。方法包括：1）构建四个语义特征子空间（网络行为、电力运行上下文、区域派生拓扑、系统运行状态），并统一时间同步至历史观测窗口（长度20）。2）对时间模态（B、C、S）使用Transformer编码器（两层、四个注意力头、64维隐空间）提取时空表示；对拓扑模态（Z）构建七区域图序列，经GAT层、GCN层、图池化和LSTM聚合器编码。3）通过后期融合MLP（128→64维）进行多类攻击分类，优化采用交叉熵损失，训练时对少数类应用限制过采样和逆平方根类权重。

**研究结果**
**4.1 整体检测性能**：主运行中，完整模型（集成B、C、Z、S）在所有变体中取得最佳聚合指标。单模态模型性能均低于完整模型，表明无单一模态足以表征所有攻击类别。消融实验显示，各模态贡献不均，移除不同模态对指标影响不同，完整模型的价值在于平衡的决策级行为与类别依赖的改进。
**4.2 按类别检测行为**：混淆矩阵显示，完整模型对Benign、Scan、WebAtk、DDoS、DoS、Backdoor均实现高对角线召回率，但MITM召回率0.80（20%误判为WebAtk），Ransomware最困难（召回率0.27，73%误判为WebAtk）。
**4.3 按类别模态贡献**：通过移除各模态后的F1分数变化分析，发现移除C模态导致多个类别性能明显下降，表明物理测量提供了通信模式相似攻击的互补证据；Z和S模态也有类别依赖效应，说明模态贡献非全局均匀。
**4.4 ROC与精确率-召回率分析**：完整模型宏平均AUROC为0.988，平均精确率（AP）为0.910，优于单模态模型。精确率-召回率曲线在类别不平衡下更敏感，完整模型保持了宽召回范围内的宏平均精确率。
**4.5 表示可视化**：t-SNE投影显示完整模型形成更清晰的视觉分离，优于单模态和消融变体，表明异构特征融合有助于组织嵌入空间。
**4.6 外部基线比较**：与逻辑回归、随机森林、LightGBM、XGBoost、MLP、CNN1D、LSTM、Transformer及仅使用Z的GNN相比，完整模型在准确率（0.9193±0.0123）、MCC（0.8915±0.0160）和宏F1（0.7902±0.0487）上最优，优势来自异构融合而非单一组件。
**4.7 重复种子变异性**：五种子结果证实，单模态宏F1远低于完整模型（0.8504±0.0277），移除C模态导致最大退化（宏F1 0.6940），而B、S、Z间存在部分冗余；Ransomware召回率对所有变体均低且不稳定（完整模型0.2067±0.1673）。

**讨论总结与结论翻译**
讨论部分指出，异构特征组集成对电网入侵检测有效，但收益并非在所有指标、种子和攻击类别上均匀。实际部署中，模型应作为决策支持组件，而非全自动阻断系统；对少数高风险类别需设置类别特定阈值、校准置信度报告和人工验证。校准误差分析显示，主运行期望校准误差0.045，但最大校准误差达0.422，提示少数类预测概率不可靠。模态贡献的类别依赖性表明，网络行为提供流量层直接证据，运行上下文描述电网侧响应，拓扑模态编码区域通信/事件关系，系统状态提供主机或操作痕迹。消融结果说明单模态性能与消融性能需结合解读：前者反映独立充分性，后者反映联合必要性。剩余错误集中于语义重叠的少数类（MITM与Ransomware误判为WebAtk）。当前图构建源自区域与通信类别特征而非独立测量物理拓扑，模型采用后期融合未显式建模精细跨模态交互，少数类检测不稳定。未来研究需扩展独立场景、评估早期或中间融合、跨模态注意力、对比对齐、自适应模态加权及决策层可解释性。
结论部分翻译：本研究提出了一种面向类别不平衡电网网络安全检测的异构特征组集成框架。从数据中构建了四个语义模态：网络行为、电力运行上下文、区域派生拓扑和系统运行状态。网络、电力上下文和系统状态模态由基于Transformer的时间编码器编码，拓扑模态由包含GAT层、GCN层、图池化和LSTM聚合的动态图编码器处理。得到的模态特定嵌入通过后期融合MLP分类器集成，用于多类攻击识别。在报告的实验协议下，完整模型达到准确率0.944、宏F1分数0.891、加权F1分数0.937、宏精确率0.929、宏召回率/平衡准确率0.878。这些结果表明了强聚合主运行性能，而按类别分析显示对少数攻击（尤其是Ransomware）的检测仍不均衡。消融和单模态结果进一步表明，不同模态在不同攻击类别上的贡献不均。