Обнаружение нарушений и кибератак в интеллектуальных сетях с помощью объяснимого машинного обучения

Почему теперь сохранение электроснабжения зависит от данных

Электрические сети перестали быть только металлическими опорами и вращающимися турбинами. Это глубоко цифровые системы, заполненные датчиками и компьютерами, которые обеспечивают плавную подачу электроэнергии. Эта цифровая нервная система также открывает новые возможности для хакеров, тогда как штормы, отказы оборудования и человеческие ошибки по‑прежнему угрожают физической сети. В статье рассматривается, как единая объяснимая рамочная система машинного обучения может наблюдать за сетью, выявлять как естественные неполадки, так и кибератаки, и наглядно показывать операторам, почему она подает тревогу.

Одна нервная система — много видов проблем

Современные «умные сети» объединяют технологию эксплуатации, которая переносит электроны, с информационными технологиями, которые переносят данные. Датчики вдоль линий высокого напряжения измеряют напряжения, токи и частоты десятки раз в секунду. Панели управления фиксируют операции переключателей, а сетевые мониторы отмечают подозрительный трафик. В реальной жизни короткое замыкание на землю и искусно скомпонованная подделка данных могут выглядеть в этих потоках удивительно похоже. Традиционные системы защиты в основном рассматривают аппаратные неполадки и киберинциденты как отдельные проблемы, часто используя труднопонимаемые модели «черного ящика». Авторы утверждают, что операторам нужна единая картина, способная в режиме реального времени различать нормальную работу, естественные возмущения и злонамеренное поведение — и объяснять свою логику.

Обучение машин распознавать «сюжеты» сети

Исследование опирается на обширный публичный набор данных из высокоточного испытательного стенда, созданного Национальной лабораторией Оак‑Ридж и партнерами. Тестовая система моделирует сеть передачи электроэнергии в 37 подробных сценариях, включая повреждения линий, техническое обслуживание, нормальные условия и несколько типов кибератак, таких как внедрение ложных данных, воспроизведение журналов реле и удаленные команды отключения. Каждое зафиксированное событие объединяет 128 синхронизированных измерений из разных источников: быстрых показаний датчиков, журналов реле, оповещений о сетевых вторжениях и управляющих действий. Исследователи рассматривают каждое событие как своего рода короткий рассказ во времени — как изменяются напряжения, токи и журналы вместе, когда что‑то идет не так.

От сырых сигналов к понятным решениям

Чтобы превратить эти истории в надежные предупреждения, рамочная система следует поэтапному конвейеру обработки. Сначала она очищает данные, заполняя пропуски, усмиряя выбросы и масштабируя измерения, чтобы никакая одна характеристика не доминировала только из‑за своих единиц. Затем она устраняет избыточность с помощью нескольких стратегий выбора признаков, включая важность по случайному лесу, метод главных компонент, рекурсивное устранение и взаимную информацию. Эта ступень призвана сохранить только те измерения, которые действительно помогают различать типы событий, что ускоряет обучение и может повысить точность. Очищенные данные затем поступают в семейство моделей машинного обучения — таких как случайные леса, градиентный бустинг, опорные векторные машины и нейронные сети — параметры которых автоматически настраиваются инструментом оптимизации Optuna для достижения наилучшего баланса между скоростью и правильностью.

Заглянуть в «черный ящик»

Высокая точность сама по себе недостаточна, когда решения влияют на национальную сеть. Операторы должны доверять и понимать, почему алгоритм говорит «это кибератака», а не «это вызвано штормом». Чтобы открыть этот «черный ящик», авторы используют технику объяснимого ИИ, известную как permutation SHAP. По сути, она измеряет, насколько каждый признак — например, фазовый угол напряжения или конкретное показание тока — вносит вклад в окончательное решение, перемешивая его и наблюдая за изменением качества работы модели. При выполнении задач как среднего уровня (три класса), так и тонкой градации (37 классов) метод выделяет устойчивый набор ключевых измерений: определенные фазовые углы напряжения, величины напряжений и токи нулевой последовательности от небольшого числа стратегически размещенных датчиков. Это хорошо согласуется с физикой энергосистем, что дает экспертам‑людям уверенность в том, что модель «смотрит» на правильные участки сети.

Насколько хорошо это работает на практике

Рамочная система тестируется в трех постепенно усложняющихся условиях: отделение атак от неатак (двоичная задача), различение атак, естественных событий и периодов отсутствия событий (трехклассовая) и точное определение одного из 37 конкретных сценариев (многоклассовая). Для отдельных наборов данных, ориентированных на конкретные условия сети, лучшие модели регулярно превосходят 96% по точности, полноте, F1‑метрике, общему проценту правильных решений и специфичности. Даже когда многие сценарии объединяются, чтобы имитировать более разнообразные реальные условия, средние показатели остаются выше 93%. Время вывода — время, необходимое для классификации нового события — составляет менее одной десятой секунды на образец на стандартном оборудовании, что достаточно быстро для типичных временных рамок управления сетью. Более дорогие шаги, такие как поиск гиперпараметров и детальный SHAP‑анализ, выполняются офлайн, поэтому не замедляют мониторинг в реальном времени.

Что это значит для будущих энергосистем

Для неспециалистов вывод таков: эта работа предлагает практичную, прозрачную систему раннего предупреждения для интеллектуальных сетей. Сливая воедино множество типов данных от датчиков и журналов, рамочная система может определить, является ли возмущение нормальным отказом, безвредным изменением режима или скрытой кибератакой, замаскированной под естественное событие — и показать, какие измерения повлияли на это суждение. Авторы отмечают открытые проблемы, такие как борьба с полностью новыми типами атак и меняющимися режимами работы, но их результаты указывают на то, что объяснимое машинное обучение может стать ключевым инструментом для обеспечения надежности и безопасности высокоцифровых энергосистем будущего.

Цитирование: Farsi, M., Alwateer, M., Alsaedi, S.A. et al. Detection of disturbances and cyber-attacks in smart grids using explainable machine learning. Sci Rep 16, 9834 (2026). https://doi.org/10.1038/s41598-026-35449-x

Ключевые слова: безопасность интеллектуальной сети, кибератаки кибер‑физического характера, обнаружение вторжений, объяснимый ИИ, мониторинг энергосистемы