Erkennung von Störungen und Cyberangriffen in Smart Grids mithilfe erklärbarer maschineller Intelligenz

Warum das Licht anbleibt, jetzt von Daten abhängt

Elektrische Stromnetze sind längst nicht mehr nur Metallmasten und rotierende Turbinen. Sie sind tief digitalisiert, voll mit Sensoren und Rechnern, die den Stromfluss stabil halten. Dieses digitale Nervensystem öffnet allerdings auch neue Angriffsflächen für Hacker, während Stürme, Ausfälle von Geräten und menschliche Fehler weiterhin das physische Netz bedrohen. Dieser Artikel untersucht, wie ein einziges, erklärbares Machine‑Learning‑Framework das Netz überwachen kann, sowohl natürliche Störungen als auch Cyberangriffe erkennt und den Betreiberinnen und Betreibern klar aufzeigt, warum ein Alarm ausgelöst wird.

Ein Nervensystem, viele Störungsarten

Moderne „Smart Grids“ verknüpfen die Betriebstechnik, die Elektronen bewegt, mit Informationstechnik, die Daten bewegt. Sensoren entlang von Hochspannungsleitungen messen Dellen, Ströme und Frequenzen Dutzende Male pro Sekunde. Schaltanlagen protokollieren Schaltvorgänge, und Netzmonitore melden verdächtigen Datenverkehr. In der Praxis können ein Erdschluss einer Leitung und ein geschickt gefälschter Datensatz in diesen Strömen verblüffend ähnlich aussehen. Traditionelle Schutzsysteme behandeln Hardwarefehler und Cybervorfälle meist als getrennte Probleme und verwenden dabei oft schwer interpretierbare Black‑Box‑Modelle. Die Autoren argumentieren, dass Betreiberinnen und Betreiber eine einheitliche Sicht brauchen, die normalen Betrieb, natürliche Störungen und böswilliges Verhalten in Echtzeit unterscheidet — und diese Entscheidung erklärbar macht.

Maschinen beibringen, Netz‑„Geschichten“ zu erkennen

Die Studie baut auf einem umfangreichen öffentlichen Datensatz aus einem hochauflösenden Testbett auf, das vom Oak Ridge National Laboratory und Partnern erstellt wurde. Das Testsyste m simuliert ein Übertragungsnetz in 37 detaillierten Szenarien, darunter Leitungsfehler, Wartung, Normalbetrieb und mehrere Cyberangriffsarten wie falsche Dateneinspeisung, wiedergespielte Relaisprotokolle und Fernschaltbefehle. Jedes aufgezeichnete Ereignis fasst 128 synchronisierte Messungen aus verschiedenen Quellen zusammen: schnelle Sensormesswerte, Relaisprotokolle, Netzwerk‑Intrusion‑Alarme und Steueraktionen. Die Forschenden behandeln jedes Ereignis wie eine kurze Geschichte, die über die Zeit erzählt, wie Spannungen, Ströme und Protokolle zusammen verlaufen, wenn etwas schiefläuft.

Von Rohsignalen zu klaren Entscheidungen

Um diese Geschichten in verlässliche Warnungen zu überführen, folgt das Framework einer sorgfältig gestuften Pipeline. Zuerst bereinigt es die Daten, füllt fehlende Werte auf, dämpft Ausreißer und skaliert Messgrößen so, dass kein einzelnes Merkmal allein aufgrund seiner Einheit dominiert. Danach entfernt es Redundanz mithilfe mehrerer Merkmal‑Auswahlstrategien, darunter Random‑Forest‑Wichtigkeit, Hauptkomponentenanalyse, rekursive Eliminierung und wechselseitige Information. Dieser Schritt soll nur diejenigen Messwerte behalten, die wirklich helfen, Ereignistypen zu unterscheiden — das beschleunigt das Lernen und kann die Genauigkeit verbessern. Die verfeinerten Daten speisen dann eine Reihe von Machine‑Learning‑Modellen — etwa Random Forests, Gradient Boosting, Support‑Vector‑Machines und neuronale Netze — deren Einstellungen automatisiert mit einem Optimierungstool namens Optuna so abgestimmt werden, dass ein gutes Gleichgewicht zwischen Geschwindigkeit und Korrektheit erreicht wird.

In die Black Box hineinschauen

Hohe Genauigkeit allein reicht nicht, wenn Entscheidungen ein nationales Netz betreffen. Betreiberinnen und Betreiber müssen dem Algorithmus vertrauen und verstehen, warum er „das ist ein Cyberangriff“ statt „das ist ein sturmbedingter Fehler“ sagt. Um diese Black Box zu öffnen, verwenden die Autorinnen und Autoren eine erklärbare KI‑Technik, die als Permutation‑SHAP bekannt ist. Im Kern misst sie, wie stark jedes Merkmal — etwa ein bestimmter Spannungsphaswinkel oder ein spezieller Stromwert — zur Endentscheidung beiträgt, indem das Merkmal zufällig durchmischt wird und beobachtet wird, wie sich die Modellleistung ändert. Sowohl bei mittelgroßen (Drei‑Klassen) als auch bei feineren (37‑Klassen) Aufgaben hebt die Methode eine konsistente Gruppe wichtiger Messwerte hervor: bestimmte Spannungsphaswinkel, Spannungsbeträge und Nullstromkomponenten von einigen strategisch platzierten Sensoren. Diese Resultate stimmen gut mit der Physik von Energiesystemen überein und geben Expertinnen und Experten Vertrauen, dass das Modell auf die richtigen Teile des Netzes „schaut“.

Wie gut es in der Praxis funktioniert

Das Framework wird in drei zunehmend anspruchsvollen Settings getestet: Trennung von Angriffen und Nicht‑Angriffen (binär), Unterscheidung zwischen Angriffen, natürlichen Ereignissen und Ruheperioden (Drei‑Klassen) sowie Bestimmung, welches der 37 spezifischen Szenarien vorliegt (Multi‑Klasse). Für Datensätze, die sich auf bestimmte Netzbedingungen konzentrieren, erreichen die besten Modelle routinemäßig über 96 % bei Präzision, Recall, F1‑Score, Genauigkeit und Spezifität. Selbst wenn viele Szenarien zusammengeführt werden, um realistischere, variablere Bedingungen nachzubilden, bleibt die durchschnittliche Leistung über 93 %. Die Inferenz — also die Zeit, die benötigt wird, um ein neues Ereignis zu klassifizieren — liegt auf Standardhardware unter einem Zehntel Sekunde pro Probe, schnell genug für typische Netzsteuerungszeitskalen. Aufwändigere Schritte wie Hyperparameter‑Suche und detaillierte SHAP‑Analysen werden offline durchgeführt, sodass sie die Echtzeitüberwachung nicht verlangsamen.

Was das für zukünftige Stromnetze bedeutet

Für Nicht‑Spezialistinnen und Nicht‑Spezialisten ist die Schlussfolgerung, dass diese Arbeit ein praxisnahes, transparentes Frühwarnsystem für Smart Grids bietet. Durch die Verschmelzung vieler Sensortypen und Protokolldaten kann das Framework unterscheiden, ob eine Störung ein normaler Fehler, eine harmlose Betriebsänderung oder ein getarnter Cyberangriff ist — und es zeigt, welche Messungen diese Einschätzung begründet haben. Zwar benennen die Autorinnen und Autoren offene Herausforderungen, etwa den Umgang mit völlig neuen Angriffstypen und sich ändernden Betriebsbedingungen, doch deuten ihre Ergebnisse darauf hin, dass erklärbares Machine Learning ein zentrales Werkzeug werden kann, um die hochgradig digitalen Energiesysteme von morgen zuverlässig und sicher zu halten.

Zitation: Farsi, M., Alwateer, M., Alsaedi, S.A. et al. Detection of disturbances and cyber-attacks in smart grids using explainable machine learning. Sci Rep 16, 9834 (2026). https://doi.org/10.1038/s41598-026-35449-x

Schlüsselwörter: Sicherheit von Smart Grids, cyber-physische Angriffe, Eindringungserkennung, erklärbare KI, Überwachung von Energiesystemen