⚡ electrical engineering

The Wisdom of the Crowd: High-Fidelity Classification of Cyber-Attacks and Faults in Power Systems Using Ensemble and Machine Learning

Dieser Beitrag zeigt, dass die Offline-Genauigkeit zwar ein unzuverlässiger Indikator für die Einsatzbereitschaft ist, ein mehrschichtiges Perzeptron jedoch in Echtzeit-Streaming-Umgebungen für die hochpräzise Klassifizierung von Cyberangriffen und Fehlern in Stromnetzen Ensemble-Methoden übertrifft, was die dringende Notwendigkeit realistischer Inferenzpipelines in netzgekoppelten Wechselrichter-Systemen unterstreicht.

Ursprüngliche Autoren: Emad Abukhousa, Syed Sohail Feroz Syed Afroz, Fahad Alsaeed, Abdulaziz Qwbaiban, Saman Zonouz, A. P. Sakis Meliopoulos

Veröffentlicht 2026-05-20

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Emad Abukhousa, Syed Sohail Feroz Syed Afroz, Fahad Alsaeed, Abdulaziz Qwbaiban, Saman Zonouz, A. P. Sakis Meliopoulos

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich das Stromnetz als ein riesiges, komplexes Orchester vor. Lange Zeit spielte dieses Orchester mit traditionellen Instrumenten (wie großen rotierenden Generatoren). Doch nun fügt es viele neue, digitale Instrumente hinzu (Solarpaneele, Batterien und Wechselrichter), die anders spielen. Während dies die Musik flexibler macht, erschwert es auch die Unterscheidung zwischen einem Musiker, der ein schönes, komplexes Solo spielt, und einem Musiker, der tatsächlich falsche Noten spielt oder von einem Hacker sabotiert wird.

Dieser Artikel ist wie eine strenge „Audition", um herauszufinden, welche Computerprogramme (Machine-Learning-Modelle) am besten darin sind, diesem Orchester zuzuhören und sofort zu rufen: „Das ist ein echter Instrumentenfehler!" oder „Das ist ein Hacker!"

Hier ist die Aufschlüsselung ihres Experiments und ihrer Erkenntnisse:

1. Der Trainingsplatz: Ein hochrealistischer Simulator

Anstatt diese Computerprogramme an einfachen, erfundenen Daten zu testen (wie eine Cartoon-Zeichnung eines Stromkreises), bauten die Forscher einen hochauflösenden digitalen Zwilling eines realen Stromsystems.

Die Analogie: Stellen Sie sich vor, einen Piloten nicht in einem einfachen Videospiel zu trainieren, sondern in einem Flugsimulator, der Windböen, Motorvibrationen und sogar den Geruch von brennendem Kraftstoff perfekt nachahmt.
Der Aufbau: Sie simulierten ein „Mikronetz" mit Solarpanelen, Batterien und traditionellen Generatoren. Sie zeichneten Daten mit extrem hoher Geschwindigkeit auf (4.800 Mal pro Sekunde), um winzige, schnelle Fehler zu erfassen, die langsamere Systeme übersehen würden.
Der Test: Sie stellten den Computern zwei Arten von Problemen zu lösen:
- Physikalische Fehler: Wie ein abgerissener Draht oder ein Kurzschluss.
- Cyberangriffe: Wie ein Hacker, der heimlich die Zahlen ändert, die das System liest (z. B. dem System sagt, die Spannung sei normal, obwohl sie tatsächlich gefährlich ist).

2. Die Kandidaten: 12 verschiedene Gehirne

Die Forscher stellten 12 verschiedene Machine-Learning-Modelle gegeneinander.

Das „Ensemble"-Team: Dies sind wie ein Komitee von Experten. Sie nehmen viele verschiedene einfache Modelle (wie Entscheidungsbäume oder Random Forests), bitten sie alle um ihre Meinung und stimmen dann über die Antwort ab.
Das „Neuronales Netz"-Team: Dies ist wie ein einzelnes, tiefgründig denkendes Gehirn (speziell Multi-Layer-Perceptrons oder MLPs), das Muster lernt, indem es viele Schichten von „Neuronen" verbindet.

3. Die große Überraschung: Offline vs. Echtzeit

Dies ist der wichtigste Teil des Artikels.

Phase 1: Die schriftliche Prüfung (Offline)
Zuerst testeten sie die Modelle an einem statischen Datensatz, als würden sie ihnen einen Multiple-Choice-Test geben, bei dem sie alle Zeit der Welt zum Nachdenken haben.

Ergebnis: Fast alle bekamen eine Eins (99,8 % Genauigkeit). Sowohl das „Komitee" (Ensembles) als auch das „Tiefe Gehirn" (MLP) sahen auf dem Papier perfekt aus.

Phase 2: Die Live-Aufführung (Streaming)
Dann setzten sie die Modelle in eine Echtzeit-Streaming-Umgebung. Dies ist wie die Aufforderung an die Modelle, dem Orchester live zuzuhören und eine Entscheidung in Bruchteilen von Sekunden zu treffen, während die Musik spielt, ohne innezuhalten und nachzudenken.

Die Wendung: Die „Komitee"-Modelle (Ensembles) begannen zu frieren. Sie hatten solche Angst, einen Fehler zu machen, dass sie sich die meiste Zeit weigerten, eine Antwort zu geben. Sie würden sagen: „Ich bin mir nicht sicher, ich lasse es" (dies nennt man Enthaltung).
- Analogie: Stellen Sie sich einen Sicherheitsbeamten vor, der so vorsichtig ist, dass er nur „Einbrecher!" ruft, wenn er zu 100 % sicher ist. Wenn er zu 90 % sicher ist, bleibt er still. Obwohl er nie einen falschen Alarm auslöst, verpasst er viele tatsächliche Einbrecher, weil er zu zögerlich ist.
Der Gewinner: Das „Tiefe Gehirn" (MLP) war viel selbstbewusster. Es traf fast die ganze Zeit Entscheidungen (98–99 % Abdeckung) und war dennoch sehr genau. Es war besser darin, die schnelle, chaotische Realität des Live-Streams zu bewältigen.

4. Das Sicherheitsnetz: Glättung und Schwellenwerte

Um den Modellen zu helfen, bessere Entscheidungen in Echtzeit zu treffen, fügten die Forscher zwei Sicherheitsmerkmale hinzu:

Glättungsfilter: Anstatt auf jeden einzelnen winzigen Ausschlag in den Daten zu reagieren (was nur Rauschen sein könnte), betrachtet das Modell ein kleines Zeitfenster (einen Zyklus elektrischer Energie) und mittelt das Ergebnis. Es ist wie das Betrachten eines Films Bild für Bild im Vergleich zum Ansehen der gesamten Szene, um die Handlung zu verstehen.
Vertrauensschwellenwert: Dem Modell wird gesagt: „Wenn Sie zu Ihrer Antwort nicht mindestens zu 60 % sicher sind, sagen Sie nichts." Dies verhindert, dass das System in Panik gerät und ohne Grund den Strom abschaltet.

5. Das Urteil

Vertrauen Sie nicht dem schriftlichen Test: Ein Modell, das bei einem statischen Test 99 % erreicht, ist nicht unbedingt bereit für die reale Welt. Die „Komitee"-Modelle sahen auf dem Papier großartig aus, waren aber im echten Leben zu zögerlich.
Das „Tiefe Gehirn" gewann: Das Neuronale Netz (MLP) war am zuverlässigsten und wog hohe Genauigkeit mit dem Selbstvertrauen ab, schnell Entscheidungen zu treffen.
Der Haken: Selbst der Gewinner (MLP) benötigte etwa 60 Millisekunden, um eine Entscheidung zu treffen. Das Stromnetz benötigt Entscheidungen in unter 50 Millisekunden, um Geräteschäden zu verhindern. Obwohl die KI also intelligent ist, ist sie derzeit etwas zu langsam, um die primäre Sicherheitswache zu sein, obwohl sie ein sehr starker Kandidat für die Zukunft ist.

Zusammenfassung

Der Artikel lehrt uns, dass in der hochriskanten Welt der Stromnetze Selbstvertrauen und Geschwindigkeit genauso wichtig sind wie Genauigkeit. Ein Modell, das auf dem Papier perfekt ist, aber in einer Krise zu ängstlich ist, um sich zu melden, ist nicht nützlich. Das „Tiefe Gehirn" (MLP) erwies sich als der zuverlässigste Zuhörer im lauten, schnelllebigen digitalen Orchester, muss jedoch noch etwas schneller werden, um vollständig eingesetzt zu werden.

Technischer Überblick: Hochpräzise Klassifizierung von Cyberangriffen und Störungen in Stromnetzen

Problemstellung
Die Entwicklung von Stromnetzen hin zu Smart Grids mit einer hohen Durchdringung durch netzgekoppelte Wechselrichter (Inverter-Based Resources, IBRs) hat komplexe Dynamiken und neue Verwundbarkeiten eingeführt. Im Gegensatz zu Synchrongeneratoren begrenzen IBRs die Kurzschlussströme und erzeugen nicht-sinusförmige Wellenformen, was die Wirksamkeit herkömmlicher Schutzrelais beeinträchtigt. Darüber hinaus erweitert die Konvergenz physischer Infrastruktur mit Cyber-Netzwerken (z. B. SCADA, digitale Umspannwerke nach IEC 61850) die Angriffsfläche. Cyber-Eindringungen wie False Data Injection (FDI), Denial-of-Service (DoS) und Replay-Angriffe können physikalische Störungen imitieren oder verschärfen, wodurch eine genaue Klassifizierung entscheidend ist, um ungerechtfertigte Auslösungen oder Geräteschäden zu verhindern. Obwohl zahlreiche Machine-Learning (ML)-Lösungen hohe Genauigkeit beanspruchen, basieren sie häufig auf Datensätzen mit geringer Fidelity, die transienten Rauschen, Ausrichtungsfehler und Klassenungleichgewichte vernachlässigen. Entscheidend ist, dass nur wenige Studien die Anomalieerkennung unter liveen, zyklusweisen Bedingungen evaluieren, sodass die Lücke zwischen Offline-Leistung und Einsatzbereitschaft im Feld unverifiziert bleibt.

Methodik
Diese Studie präsentiert einen umfassenden Evaluierungsrahmen, der auf hochpräzisen elektromagnetischen Transienten-Simulationen (EMT) mit WinIGS bei einer Abtastrate von 4,8 kHz (80 Abtastwerte pro Zyklus) basiert. Der Teststand simuliert eine realistische digitale Umspannwerksumgebung gemäß IEC 61850 und integriert Synchrongeneratoren, ein 50 kVA PV-System, ein 30 kVA Batteriespeichersystem sowie verschiedene Lasten.

Die Methodik verläuft in zwei Phasen:

Offline-Training (Phase 1): Ein 22 Sekunden langer Datensatz mit 18 verschiedenen Klassen (1 Normalbetrieb, 17 Anomalien, einschließlich physikalischer Fehler wie SLG, LL, DLG und Cyberangriffe wie CT/PT-Verhältnismanipulation und GPS-Spoofing) wurde verwendet, um 12 ML-Modelle zu trainieren und zu validieren. Dazu gehörten Ensemble-Algorithmen (Random Forest, Extra Trees, AdaBoost, Gradient Boosting, Decision Tree), traditionelle Klassifikatoren (SVM, k-NN, Naive Bayes, Logistic Regression) und drei Multi-Layer-Perceptron (MLP)-Konfigurationen. Die Daten wurden standardisiert, und Klassen-Gewichte wurden angepasst, um das Ungleichgewicht zu mildern.
Echtzeit-Streaming-Evaluierung (Phase 2): Vorgeschulte Modelle wurden auf einem separaten 6 Sekunden langen Streaming-Datensatz mit sequenziellen Anomalien getestet. Um operative Einschränkungen zu simulieren, integrierte der Rahmen einen zykluslängenbasierten Glättungsfilter (zentrierter gleitender Durchschnitt über 80 Abtastwerte) und einen Konfidenzschwellenwert ( $\tau = 0,6$ ). Die Modelle mussten entweder eine Klassenbezeichnung ausgeben oder sich „enthalten", wenn das Vertrauen unter den Schwellenwert fiel, wodurch eine Reaktionszeit innerhalb eines Zyklus sichergestellt und gleichzeitig die Entscheidungen gegen hochfrequentes Rauschen stabilisiert wurden.

Hauptbeiträge
Die Arbeit leistet drei wesentliche Beiträge:

Hochpräziser Evaluierungsrahmen: Sie führt eine robuste Testumgebung mit COMTRADE-formatierten Daten aus einer realistischen Simulation digitaler Umspannwerke ein, die eine transparente Leistungsbewertung ermöglicht, die IBR-Dynamiken und cyber-physische Interaktionen berücksichtigt.
Vergleichendes Benchmarking: Sie bietet einen direkten Vergleich von 12 ML- und Deep-Learning-Algorithmen sowohl in statischen (Offline-) als auch in dynamischen (Streaming-)Szenarien und hebt die Diskrepanz zwischen theoretischer Genauigkeit und operativer Zuverlässigkeit hervor.
Verbesserte Echtzeit-Entscheidungslogik: Die Studie demonstriert die Wirksamkeit von gleitenden Durchschnittsfiltern und Konfidenzschwellenwerten bei der Reduzierung von zufälligen Fehlklassifizierungen während transienter Erholungsphasen, wodurch die Zuverlässigkeit der Entscheidungen verbessert wird.
Open-Source-Reproduzierbarkeit: Der Datensatz und der Implementierungscode wurden als Open Source veröffentlicht, um die Lücke zwischen Labormodellen und im Feld einsetzbaren Systemen zu schließen.

Ergebnisse
Die Evaluierung deckte eine signifikante „Generalisierungslücke" zwischen Offline- und Streaming-Leistung auf:

Offline-Leistung: Die meisten Modelle erreichten nahezu perfekte Genauigkeiten (bis zu 99,88 %). Random Forest und MLP-Modelle waren in dieser statischen Umgebung die Top-Performer.
Streaming-Leistung: In der Echtzeit-Streaming-Umgebung trat eine scharfe Divergenz zutage.
- MLP-Modelle: Der Multi-Layer Perceptron (insbesondere die breitere Konfiguration mit 3 versteckten Schichten) behielt die höchste Klassifizierungsabdeckung (98–99 %) bei und bewahrte gleichzeitig eine robuste Anomalie-Präzision (96–99 %). Er unterschied erfolgreich zwischen echten Fehlern und harmlosen Transienten (z. B. Kondensator-Einschaltströme).
- Ensemble-Methoden: Während Modelle wie Random Forest und Extra Trees eine perfekte Präzision bei den Anomalien aufwiesen, die sie tatsächlich klassifizierten, enthielten sie sich häufig der Entscheidungsfindung (die Abdeckung sank auf 10–49 %). Dies deutet auf ein konservatives Verhalten hin, bei dem Ensembles eine höhere Sicherheit benötigen, bevor sie sich auf eine Bezeichnung festlegen.
- Herausfordernde Fälle: Der AC-N-Fehler mit Doppellinie-Erdschluss (DLG) erwies sich als das schwierigste Ereignis und führte bei vielen Modellen zu Genauigkeitsverlusten.
- Latenz: Das am besten performende MLP erreichte eine Ereignisklassifizierung in unter 15 ms, jedoch betrug die durchschnittliche Inferenz-Latenz (einschließlich Berechnung) etwa 60 ms. Dies überschreitet die Anforderung von 50 ms für primäre Schutzrelais und weist auf eine derzeitige Einschränkung für den unmittelbaren Einsatz in primären Schutzrollen hin.

Bedeutung und Behauptungen
Die Arbeit behauptet, dass die Offline-Genauigkeit allein ein unzuverlässiger Indikator für die Einsatzbereitschaft im Feld für den Schutz von Stromnetzen ist. Die Ergebnisse unterstreichen, dass in IBR-reichen Netzen die „Menge" diverser Ensemble-Methoden, obwohl präzise, aufgrund häufiger Enthaltungen zu konservativ für Echtzeitanwendungen sein kann. Umgekehrt bieten neuronale Netze (MLPs) eine bessere Abdeckung und Anpassungsfähigkeit an unvorhergesehene Streaming-Daten, stoßen jedoch weiterhin auf Hürden bei der Rechenlatenz.

Die Studie kommt zu dem Schluss, dass realistische Testpipelines, die Streaming-Evaluierung, Abdeckungsmetriken und Enthaltungsanalysen einschließen, für die Entwicklung zuverlässiger Klassifizierungssysteme unerlässlich sind. Obwohl eine ML-basierte Klassifizierung machbar ist, ist ihre unmittelbare Anwendung auf den primären Schutz derzeit durch Rechenoverhead eingeschränkt, was zukünftige Arbeiten zur Latenzreduzierung und Validierung an physikalischen Testständen erforderlich macht. Die Arbeit dient als reproduzierbare Basislinie für zukünftige Forschung zur gemeinsamen Klassifizierung und Lokalisierung in sich entwickelnden Netztopologien.