IEC 61850 GOOSE 网络中基于自编码器的可解释异常检测
密码学与安全
2026-01-15 v1 机器学习
信号处理
摘要
IEC 61850 通用面向对象变电站事件（GOOSE）协议在数字变电站的实时保护和自动化中发挥着关键作用，但其缺乏原生安全机制可能使电力系统暴露于复杂的网络攻击之下。传统的基于规则和有监督的入侵检测技术在严重的类别不平衡和标记数据有限的情况下，难以检测符合协议的攻击和零日攻击。本文提出了一种用于 IEC 61850 GOOSE 网络的可解释、无监督多视图异常检测框架，该框架显式分离了语义完整性和时间可用性。该方法采用仅在真实运行 GOOSE 流量上训练的非对称自编码器，学习正常流量中基于序列的协议语义和与时间相关的传输动态的不同潜在表示。异常检测利用混合了统计阈值的重构误差来实现，无需指定攻击类型即可进行稳健检测。特征级重构分析通过将检测结果直接与 IEC 61850 协议特征相关联，提供了固有的可解释性。所提框架使用真实变电站流量进行训练，并使用包含正常流量以及消息抑制、数据篡改和拒绝服务攻击的公开数据集进行测试。实验结果表明，攻击检测率高于 99%，误报率保持在总流量的 5% 以下，展现了跨环境的强泛化能力，以及在极端类别不平衡下的有效运行和可解释的异常归因。
引用
@article{arxiv.2601.09287,
title = {Explainable Autoencoder-Based Anomaly Detection in IEC 61850 GOOSE Networks},
author = {Dafne Lozano-Paredes and Luis Bote-Curiel and Juan Ramón Feijóo-Martínez and Ismael Gómez-Talal and José Luis Rojo-Álvarez},
journal= {arXiv preprint arXiv:2601.09287},
year = {2026}
}