The Wisdom of the Crowd: High-Fidelity Classification of Cyber-Attacks and Faults in Power Systems Using Ensemble and Machine Learning

ملخص تقني: التصنيف عالي الدقة للهجمات السيبرانية والأعطال في أنظمة الطاقة

بيان المشكلة
إن التحول نحو الشبكات الذكية، التي تتميز بالانتشار العالي للموارد القائمة على العواكس (IBRs) والاتصالات الرقمية واسعة الانتشار، قد أدى إلى تغيير ديناميكيات أنظمة الطاقة بشكل جذري ووسع نطاق سطح الهجوم السيبراني-الفيزيائي. وخلافاً للآلات التزامنية، تُظهر الموارد القائمة على العواكس تيارات خطأ محدودة وموجات غير جيبية، مما يضعف فعالية مرحلات الحماية التقليدية. علاوة على ذلك، فإن دمج المحطات الفرعية الرقمية القائمة على معيار IEC 61850 يُدخل ثغرات أمام الاختراقات السيبرانية—مثل حقن البيانات الكاذبة (FDI)، وهجمات حجب الخدمة (DoS)، وهجمات إعادة التشغيل—والتي يمكن أن تحاكي الأعطال الفيزيائية أو تفاقمها. ويعد التصنيف الدقيق لهذه الاضطرابات أمراً بالغ الأهمية لمنع عمليات الفصل غير المبررة أو تلف المعدات. ومع ذلك، فإن حلول تعلم الآلة (ML) الحالية تعتمد غالباً على مجموعات بيانات منخفضة الدقة تغفل الضوضاء العابرة وعدم توازن الفئات، كما أن دراسات قليلة تقيم الأداء في ظل ظروف البث المباشر دورة بدورة. وبناءً على ذلك، توجد فجوة بين ادعاءات الدقة العالية في مرحلة ما قبل التشغيل (offline) وبين الجاهزية الميدانية الموثوقة في البيئات الزمنية الحقيقية.

المنهجية
تستخدم هذه الدراسة إطار عمل شامل متعدد المراحل لتقييم 12 نموذجاً مختلفاً لتعلم الآلة لتصنيف كل من الأعطال الفيزيائية والهجمات السيبرانية.

• بيئة الاختبار عالية الدقة: يستخدم البحث محاكاة واقعية لمحطة فرعية رقمية مبنية في برنامج WinIGS، تضم نظام طاقة شمسية بقدرة 50 كيلو فولت أمبير، ونظام تخزين بطارية بقدرة 30 كيلو فولت أمبير، وأحمال متنوعة. يعمل النظام بمعدل أخذ عينات قدره 4.8 كيلو هرتز (80 عينة لكل دورة)، مما يلتقط الديناميكيات العابرة السريعة والمحتوى التوافقي النموذجي للموارد القائمة على العواكس (IBRs) والهجمات السيبرانية.
• توليد مجموعة البيانات: تم إنشاء مجموعتي بيانات بتنسيق COMTRADE: مجموعة تدريب مدتها 22 ثانية تحتوي على 18 فئة متميزة (فئة واحدة طبيعية، و17 فئة شاذة تشمل أعطال خطوط متنوعة، وهجمات نسبة CT/PT، وتزييف نظام تحديد المواقع العالمي GPS) ومجموعة تنبؤ بث تدفق مباشر منفصلة مدتها 6 ثوانٍ تحتوي على 6 حالات شاذة.
• اختيار النماذج: تم تقييم اثني عشر خوارماً، بما في ذلك طرق التجميع (AdaBoost، شجرة القرار، الأشجار الإضافية، تعزيز التدرج، الغابة العشوائية)، والنماذج الإحصائية (k-NN، الانحدار اللوجستي، ناييف بايز، SVM)، وثلاث تكوينات من الشبكات العصبية متعددة الطبقات (MLP).
• خط معالجة الاستدلال في الوقت الفعلي: لمحاكاة القيود التشغيلية، طبقت الدراسة مرحلة تقييم البث المباشر. يتضمن خط المعالجة هذا:
  • تنعيم طول الدورة: تطبيق مرشح المتوسط المتحرك المتمركز (دورة واحدة، 80 عينة) على مخرجات احتمالية النموذج لتقليل الضوضاء عالية التردد والاضطراب (jitter).
  • تحديد عتبة الثقة: قاعدة قرار حيث لا يتم إصدار التنبؤات إلا إذا تجاوزت أقصى احتمالية للفئة عتبة معينة ($\tau = 0.6$)؛ وإلا فإن النموذج "يمتنع" (يخرج القيمة -1) لمنع أخطاء الثقة المنخفضة.
  • الاستجابة دون الدورة: تهدف البنية إلى اتخاذ القرار في جزء من الدورة، مع نظرة استباقية ثابتة تبلغ حوالي 8.33 مللي ثانية.

المساهمات الرئيسية

1. إطار تقييم عالي الدقة: تقديم بيئة اختبار قوية باستخدام بيانات COMTRADE من محاكاة تفصيلية لمحطة فرعية رقمية، مما يسمح بتقييم شفاف لأداء تعلم الآلة تحت ظروف عابرة واقعية.
2. المقارنة المرجعية: مقارنة صارمة لـ 12 خوارزمية من تعلم الآلة والتعلم العميق عبر كل من السيناريوهات الساكنة (offline) والديناميكية (streaming)، لمعالجة الفجوة بين الدقة النظرية والموثوقية التشغيلية.
3. منطق اتخاذ قرار محسّن: تنفيذ ترشيح المتوسط المتحرك وتحديد عتبة الثقة لاستقرار القرارات في الوقت الفعلي، مما يوضح ضرورتها في التمييز بين الأعطال الحقيقية والظواهر العابرة الحميدة (مثل تيار بدء تشغيل المكثفات).
4. قابلية التكرار مفتوحة المصدر: النشر العام لمجموعة البيانات وكود التنفيذ لسد الفجوة بين نماذج المختبر وأنظمة الحماية القابلة للنشر ميدانياً.

النتائج
تكشف الدراسة عن تباين كبير بين الأداء في مرحلة ما قبل التشغيل (offline) وفي مرحلة البث المباشر (streaming):

• الأداء في مرحلة ما قبل التشغيل (Offline): حققت معظم النماذج دقة تقترب من الكمال (تصل إلى 99.88%) خلال المرحلة الأولى من التدريب والتحقق. وكانت الغابات العشوائية (Random Forest) ونماذج MLP هي الأفضل أداءً.
• الأداء في مرحلة البث المباشي (Streaming): في المرحلة الثانية، ظهر تباين صارخ. بينما حافظت نماذج MLP على تغطية تصنيف عالية (98-99%) مع كشف قوي للظواهر الشاذة، أظهرت طرق التجميع (مثل الغابة العشوائية، والأشجار الإضافية) انخفاضات شديدة في التغطية (10-49%). حافظت هذه النماذج التجميعية على دقة مثالية في الحالات القليلة التي صنفتها، لكنها امتنعت بشكل متكرر عن تقديم التنبؤات بسبب انخفاض الثقة.
• تحديات محددة: ثبت أن عطل الخط المزدوج مع الأرض (DLG AC-N) هو الأصعب في التصنيف، مما تسبب في انخفاض الدقة للعديد من النماذج.
• زمن الاستجابة (Latency): صنف أفضل نموذج MLP الأحداث في أقل من 15 مللي ثانية، ولكن متوسط زمن استدلال (بما في ذلك الحوسبة) كان حوالي 60 مللي ثانية. وهذا يتجاوز شرط الـ 50 مللي ثانية المطلوب لمرحلات الحماية الأولية، مما يشير إلى أنه بينما يعد تعلم الآلة ممكناً، فإن النشر الفوري للحماية الأولية مقيد حالياً بالأعباء الحسابية.

الأهمية والادعاءات
تؤكد الورقة أن الدقة في مرحلة ما قبل التشغيل وحدها هي مؤشر غير موثوق للجاهزية الميدانية لحماية أنظمة الطاقة. إن "حكمة الحشود" (تنوع التجميع) لا تتفوق بالضرية على التعلم التكيفي للشبكات العصبية في بيئات البث المباشر؛ بل إن النماذج التجميعية قد تكون متحفظة للغاية بالنسبة للتطبيقات في الوقت الفعلي حيث تكون التغطية أمراً حيوياً.

تؤكد الدراسة أن خطوط اختبار واقعية، تتضمن التنعيم القائم على الدورة وتحديد عتبة الثقة، ضرورية لضمان التصنيف الموثوق في الشبكات الغنية بالموارد القائمة على العواكس (IBRs). وبينما يوفر تعلم الآلة قدرات تصنيف دقيقة قائمة على البيانات تتفوق على تقدير الحالة الديناميكية منخفض المستوى، يخلص المؤلفون إلى أن النشر الميداني المستقبلي يتطلب توازناً بين الصرامة القائمة على الفيزياء والمرونة القائمة على البيانات، جنباً إلى جنب مع استراتيجيات لتقليل زمن استدلال التعلم وتقليل التعامل مع تغيرات الطوبولوجيا. ويعمل هذا العمل كمرجع قابل للتكرار، يسلط الضوء على الحاجة إلى مقاييس تقييم تراعي البث المباشر (التغطية والامتناع) بدلاً من درجات الدقة الساكنة.