⚡ electrical engineering

Explainable Autoencoder-Based Anomaly Detection in IEC 61850 GOOSE Networks

यह शोध पत्र एक व्याख्यात्मक, अनसुपरवाइज्ड मल्टी-व्यू ऑटोएन्कोडर फ्रेमवर्क प्रस्तावित करता है जो सामान्य ट्रैफ़िक से प्रोटोकॉल सिमेंटिक्स और टाइमिंग डायनेमिक्स के विशिष्ट लेटेंट रिप्रजेंटेशन को सीखकर, IEC 61850 GOOSE नेटवर्क में विविध साइबर हमलों का प्रभावी ढंग से पता लगाता है, जिससे कम फाल्स पॉजिटिव के साथ उच्च डिटेक्शन दर और अंतर्निहित व्याख्यात्मकता प्राप्त होती है।

मूल लेखक: Dafne Lozano-Paredes, Luis Bote-Curiel, Juan Ramón Feijóo-Martínez, Ismael Gómez-Talal, José Luis Rojo-Álvarez

प्रकाशित 2026-01-15

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Dafne Lozano-Paredes, Luis Bote-Curiel, Juan Ramón Feijóo-Martínez, Ismael Gómez-Talal, José Luis Rojo-Álvarez

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

एक डिजिटल सबस्टेशन की कल्पना एक शहर के पावर ग्रिड के लिए एक हाई-स्पीड, हाई-स्टेक्स कंट्रोल रूम के रूप में करें। इस कमरे के भीतर, हजारों छोटे इलेक्ट्रॉनिक उपकरण (जिन्हें IED कहा जाता है) बिजली चालू रखने और ब्लैकआउट को रोकने के लिए लगातार एक-दूसरे से बात करते हैं। वे एक विशेष भाषा का उपयोग करते हैं जिसे GOOSE (जेनेरिक ऑब्जेक्ट-ओरिएंटेड सबस्टेशन इवेंट) कहा जाता है ताकि "इस ब्रेकर को स्विच करो!" या "प्रवाह को रोको!" जैसे जरूरी संदेश भेजे जा सकें।

समस्या यह है कि इस भाषा को गति के लिए डिज़ाइन किया गया था, सुरक्षा के लिए नहीं। यह एक ताले वाले लिफाफे के बजाय एक पोस्टकार्ड भेजने जैसा है। क्योंकि यह बहुत तेज़ है, इसमें इन-बिल्ट लॉक या पासवर्ड नहीं हैं। इसका मतलब यह है कि एक हैकर चुपके से अंदर घुस सकता है, एक वैध डिवाइस होने का ढोंग कर सकता है, और नकली आदेश भेज सकता है जिससे वास्तविक दुनिया में नुकसान हो सकता है।

चुनौती: भूसे के ढेर में सुई खोजना

पारंपरिक सुरक्षा प्रणालियाँ "वांटेड" पोस्टर वाले बाउंसरों की तरह हैं। वे केवल उन लोगों को पकड़ते हैं जो बिल्कुल ज्ञात अपराधियों की तरह दिखते हैं। लेकिन हैकर्स चतुर होते हैं; वे सामान्य लोगों का भेष धर सकते हैं (जिसे "जीरो-डे" हमले के रूप में जाना जाता) या नई तरकीबें इस्तेमाल कर सकते हैं जिन्हें बाउंसर ने पहले कभी नहीं देखा। साथ भी, एक वास्तविक पावर ग्रिड में, हमले बेहद दुर्लभ होते हैं। आपके पास एक बुरे संदेश के लिए दस लाख सामान्य संदेश हो सकते हैं। यह एक कंप्यूटर को बुरे संदेशों को पहचानने के लिए प्रशिक्षित करना कठिन बनाता है बिना बार-बार गलत अलार्म बजाए।

समाधान: "व्याख्यात्मक" (Explainable) डबल-चेक सिस्टम

इस शोध पत्र के लेखक एक नया सुरक्षा गार्ड प्रस्तावित करते हैं जिसे "वांटेड" पोस्टर की आवश्यकता नहीं है। इसके बजाय, यह सीखता है कि सामान्य व्यवहार कैसा दिखता है और किसी भी ऐसी चीज़ को फ्लैग करता है जो "अजीब" लगती है। वे इसे एक एक्सप्लेनेबल ऑटोएनकोडर फ्रेमवर्क कहते हैं।

यह इस प्रकार काम करता है, एक सरल उपमा का उपयोग करते हुए:

1. दो-दृष्टिकोण वाला दृष्टिकोण (क्या और कब)

यह सिस्टम ट्रैफ़िक को दो अलग-अलग श्रेणियों में विभाजित करता है ताकि बातचीत को बेहतर ढंग से समझा जा सके:

सिमेंटिक इंटीग्रिटी (द "व्हाट" - क्या): यह संदेश की सामग्री को देखता है। GOOSE भाषा में, संदेशों के सख्त नियम होते हैं, जैसे कि संख्याओं का एक क्रम जो हर बार एक से बढ़ना चाहिए (1, 2, 3...)। यदि एक संदेश कहता है "2" और फिर अचानक "5" आता है, तो यह एक टूटा हुआ नियम है।
टेम्पोरल अवेलेबिलिटी (द "व्हेन" - कब): यह समय को देखता है। संदेश बहुत ही अनुमानित अंतराल पर आते हैं। यदि संदेशों की बाढ़ अचानक आ जाती है, या यदि संदेश बहुत लंबे समय तक नहीं आते हैं, तो यह संदिग्ध है।

2. "ऑटोएनकोडर" (मेमोरी गेम)

कल्पना करें कि एक छात्र जिसने महीनों तक "परफेक्ट" GOOSE संदेशों की एक पाठ्यपुस्तक का अध्ययन किया है। यह छात्र एक ऑटोएनकोडर है।

प्रशिक्षण (Training): छात्र को केवल सामान्य, स्वस्थ ट्रैफ़िक दिखाया जाता है। वे इन संदेशों को एक छोटे मानसिक सारांश में संकुचित (compress) करना और फिर उन्हें वापस पूरी तरह से विस्तारित (expand) करना सीखते हैं।
परीक्षण (The Test): जब एक नया संदेश आता है, तो छात्र उसे संकुचित करने और फिर से विस्तारित करने का प्रयास करता है।
- यदि संदेश सामान्य है, तो छात्र इसे पूरी तरह से फिर से बना सकता है।
- यदि संदेश एक हैकर का नकली संदेश है (भले ही वह एक सामान्य संदेश जैसा दिखे), तो छात्र भ्रमित हो जाता है। वे इसे सटीक रूप से फिर से नहीं बना पाते हैं। उनका "पुनर्निर्माण त्रुटि" (reconstruction error) बहुत बड़ी होती है।
अलार्म: एक बड़ी त्रुटि का अर्थ है "विसंगति का पता चला!" (Anomaly Detected!)

3. यह "व्याख्यात्मक" क्यों है (डिटेक्टिव वर्क)

अधिकांश AI सिस्टम "ब्लैक बॉक्स" होते हैं—वे कहते हैं "हमला!" लेकिन आपको पता नहीं चलता कि क्यों। यह सिस्टम अलग है। क्योंकि यह संदेश को विशिष्ट भागों में तोड़ देता है (जैसे कि अनुक्रम संख्या या समय), यह उंगली उठाकर कह सकता है:

"मैंने इसे फ्लैग किया क्योंकि अनुक्रम संख्या 10 से बढ़कर 50 हो गई, जो नियमों को तोड़ती है।"
"मैंने इसे फ्लॉग किया क्योंकि एक सेकंड में 1,000 संदेश आए, जो सामान्य ट्रैफ़िक के लिए असंभव है।"

यह इंजीनियरों के लिए महत्वपूर्ण है। उन्हें केवल एक अलार्म नहीं मिलता; उन्हें एक कारण मिलता है, जो उन्हें समस्या को जल्दी ठीक करने में मदद करता है।

परिणाम: बिना गलत अलार्म बजाए बुरे लोगों को पकड़ना

शोधकर्ताओं ने स्पेन के एक वास्तविक पावर सबस्टेशन से वास्तविक डेटा और सिम्युलेटेड हमलों वाले एक सार्वजनिक डेटासेट का उपयोग करके इस प्रणाली का परीक्षण किया। उन्होंने तीन प्रकार के हमलों की तलाश की:

मैसेज सप्रेशन (Message Suppression): अपडेट न मिल पाने के कारण संदेशों को छिपाना।
डेटा मैनिपुलेशन (Data Manipulation): संदेश की सामग्री को बदलना (जैसे, ब्रेकर को खोलने के लिए कहना जब उसे बंद रहना चाहिए)।
डिनायल-ऑफ-सर्विस (DoS): वास्तविक संदेशों को दबाने के लिए नेटवर्क को कचरे से भर देना।

निष्कर्ष प्रभावशाली थे:

उच्च सफलता दर: सिस्टम ने 99% से अधिक हमलों को पकड़ा।
कम गलत अलार्म: इसने 5% से भी कम समय में गलत अलार्म उठाया। लाखों संदेशों की दुनिया में, इसका मतलब है कि सुरक्षा टीम नकली अलर्ट से परेशान नहीं होगी।
सामान्यीकरण (Generalization): यह अच्छी तरह से काम करता रहा, भले ही इसे केवल सामान्य ट्रैफ़िक पर प्रशिक्षित किया गया था और प्रशिक्षण के दौरान इसने विशिष्ट हमलों को कभी नहीं देखा। इसने "खेल के नियमों" को इतनी अच्छी तरह से सीखा कि यह किसी भी नियम तोड़ने वाले को पहचान सकता था।

मुख्य निष्कर्ष

यह शोध पत्र पावर ग्रिड के लिए एक स्मार्ट, अनुकूलन योग्य सुरक्षा गार्ड प्रस्तुत करता है। ज्ञात अपराधियों की सूची को याद रखने के बजाय, यह सामान्य बातचीत की लय और नियमों को सीखता है। यदि कोई लय या नियमों को तोड़ने की कोशिश करता है, तो सिस्टम तुरंत इसे पकड़ लेता है और बताता है कि वास्तव में क्या गलत हुआ। यह महत्वपूर्ण बुनियादी ढांचे को ज्ञात और बिल्कुल नए साइबर खतरों से बचाने के लिए एक शक्तिशाली उपकरण बनाता है।

तकनीकी सारांश: IEC 61850 GOOSE नेटवर्क में व्याख्यात्मक ऑटोएन्कोडर-आधारित विसंगति का पता लगाना

समस्या विवरण
IEC 61850 जेनेरिक ऑब्जेक्ट-ओरिएंटेड सबस्टेशन इवेंट (GOOSE) प्रोटोकॉल डिजिटल सबस्टेशनों में रीयल-टाइम सुरक्षा और स्वचालन के लिए महत्वपूर्ण है। हालांकि, इसका डिज़ाइन सुरक्षा के बजाय कम-विलंबता (low-latency) संचार को प्राथमिकता देता है, जिसमें नेटिव एन्क्रिप्शन या प्रमाणीकरण तंत्र का अभाव है। यह भेद्यता बिजली प्रणालियों को परिष्कृत साइबर हमलों, जिनमें मैसेज सप्रेशन (MS), डेटा मैनिपुलेशन (DM), और डिनायल-ऑफ-सर्विस (DoS) शामिल हैं, के प्रति संवेदनशील बनाती है। पारंपरिक नियम-आधारित और पर्यवेक्षित (supervised) घुसपैठ पहचान प्रणाली (IDS) इस संदर्भ में संघर्ष करती है क्योंकि वे ज्ञात हमले के हस्ताक्षरों (signatures) पर निर्भर करती हैं, परिचालन वातावरण में लेबल किए गए हमले के डेटा की कमी होती है, और वैध व्यवहार की नकल करने वाले ज़ीरो-डे या प्रोटोकॉल-अनुपालक हमलों का पता लगाने में चुनौती होती है। इसके अलावा, सामान्य ट्रैफ़िक और दुर्लभ हमले की घटनाओं के बीच अत्यधिक वर्ग असंतुलन (class imbalance) पर्यवेक्षित मॉडलों के प्रशिक्षण को जटिल बनाता है।

कार्यप्रणाली
यह शोध पत्र एक अनसुपरवाइज्ड (unsupervised), व्याख्यात्मक, मल्टी-व्यू विसंगति पहचान ढांचे का प्रस्ताव करता है जो सिमेंटिक अखंडता (प्रोटोकॉल अनुक्रमण नियम) को टेम्पोरल उपलब्धता (समय और ट्रांसमिशन गतिशीलता) से स्पष्ट रूप से अलग करता है। कार्यप्रणाली निम्नलिखित चरणों के माध्यम से आगे बढ़ती है:

फीचर इंजीनियरिंग: GOOSE ट्रैफ़िक को 0.1, 0.5, 1.0, और 3.0 सेकंड की स्लाइडिंग विंडोज़ ( $T_w$ ) का उपयोग करके प्रोसेस किया जाता है। फीचर्स को दो विच्छेदित (disjoint) सेटों में विभाजित किया गया है:
- सीक्वेंस-आधारित फीचर्स ( $F_{seq}$ ): IEC 61850 एप्लिकेशन-लेयर सिमेंटिक्स से प्राप्त, जिसमें स्टेट नंबर इन्क्रीमेंट्स ($stNum $), सीक्वेंस नंबर इवोल्यूशन ($ sqNum$), और डेस्टिनेशन एड्रेस वैधता शामिल है।
- टेम्पोरल फीचर्स ( $F_{temp}$ ): ट्रांसमिशन डायनेमिक्स का वर्णन करते हुए, जिसमें इंटर-अराइवल टाइम्स, पैकेट रेट, जिटर, फ्रेम लेंथ, और टाइम-अलाउड-टू-लिव (TTL) वैल्यूज शामिल हैं।
एसिमेट्रिक ऑटोएन्कोडर (AE) आर्किटेक्चर: दो अलग-अलग ऑटोएन्कोडर्स को विशेष रूप से वास्तविक दुनिया के परिचालन GOOSE ट्रैफ़िक (जिसमें केवल सामान्य डेटा है) पर प्रशिक्षित किया गया है:
- एक सिमेंटिक AE गैर-रेखीय प्रोटोकॉल निर्भरताओं को कैप्चर करने के लिए गहरे आर्किटेक्चर का उपयोग करके $F_{seq}$ को प्रोसेस करता है।
- एक टेम्पोरल AE वॉल्यूमेट्रिक फ्लडिंग व्यवहार के पुनर्निर्माण को रोकने के लिए संकीर्ण बॉटलनेक (narrower bottleneck) का उपयोग करके $F_{temp}$ को प्रोसेस करता है।
  दोनों मॉडल सामान्य ट्रैफ़िक के संकुचित लेटेंट रिप्रेजेंटेशन (latent representation) को सीखते हैं।
विसंगति स्कोरिंग और थ्रेशोल्डिंग: विसंगति का पता लगाना इनपुट डेटा के पुनर्निर्माण त्रुटि (Mean Squared Error) पर आधारित है। फिक्स्ड थ्रेशोल्ड के बजाय, ढांचा सामान्य प्रशिक्षण डेटा से पुनर्निर्माण त्रुटि के वितरण की पूंछ (tail) को मॉडल करने के लिए एक्सट्रीम वैल्यू थ्योरी (EVT) का उपयोग करता है। यह प्रत्येक व्यू के लिए सांख्यिकीय रूप से ठोस, गतिशील थ्रेशोल्ड ( $z^*$ ) प्रदान करता है। एक विंडो को विसंगत के रूप में ध्वजांकित (flagged) किया जाता है यदि त्रुटि संबंधित थ्रेशोल्ड से अधिक हो जाती है।
व्याख्यात्मकता (Explainability): ढांचा प्रति-फीचर योगदान के आधार पर विसंगति स्कोर को विघटित करके अंतर्निहित व्याख्यात्मकता प्रदान करता है। यह डिटेक्शन परिणामों को सीधे विशिष्ट IEC 61850 प्रोटोकॉल विशेषताओं से जोड़ता है, जिसके लिए किसी सरोगेट मॉडल की आवश्यकता नहीं होती है।

प्रमुख योगदान

मल्टी-व्यू सेपरेशन: सिमेंटिक और टेम्पोरल डायनेमिक्स का स्पष्ट अलगाव मॉडल को GOOSE ट्रैफ़िक के अलग-अलग व्यवहार संबंधी पहलुओं को संबोधित करने की अनुमति देता है, जिन्हें अक्सर सिंगल-मॉडल दृष्टिकोणों में मिला दिया जाता है।
वास्तविक डेटा के साथ अनसुपरवाइज्ड लर्निंग: यह दृष्टिकोण प्रशिक्षण के लिए लेबल किए गए हमले के डेटा पर निर्भरता को समाप्त करता है, केवल सामान्य व्यवहार सीखने के लिए केवल वास्तविक परिचालन ट्रैफ़िक का उपयोग करता है, जिससे औद्योगिक नियंत्रण प्रणालियों में हमले के नमूनों की कमी की समस्या हल होती है।
सांख्यिकीय रूप से ठोस थ्रेशोल्डिंग: डायनेमिक थ्रेशोल्डिंग के लिए EVT का उपयोग यह सुनिश्चित करता है कि गंभीर क्लास असंतुलन के तहत भी मजबूत डिटेक्शन हो और फॉल्स पॉजिटिव्स पर नियंत्रण बना रहे।
अंतर्निहित व्याख्यात्मकता: अपने फीचर-लेवल पुनर्निर्माण त्रुटियों का विश्लेषण करके, सिस्टम सीधे अंतर्दृष्टि प्रदान करता है कि विसंगति क्यों पाई गई, जो विशिष्ट प्रोटोकॉल उल्लंघन (जैसे सीक्वेंस नंबर विच्छेदन या टाइमिंग फ्लड्स) से सीधे जुड़ी होती है।

प्रायोगिक परिणाम
इस ढांचे का मूल्यांकन एक हाई-वोल्टेज सबस्टेशन (प्रशिक्षण के लिए) से प्राप्त वास्तविक दुनिया के डेटासेट और लेबल किए गए MS, DM, और DoS हमलों वाले एक सार्वजनिक डेटासेट (परीक्षण के लिए) का उपयोग करके किया गया।

डिटेक्शन प्रदर्शन: सिमेंटिक AE ने सभी हमले के प्रकारों और विंडो साइज के लिए उच्च रिकॉल (अक्सर 1.00) हासिल किया, जिससे अनुक्रमण नियमों में व्यवधान का प्रभावी ढंग से पता चला। टेम्पोरल AE ने टाइमिंग फीचर्स की अंतर्निहित परिवर्तनशीलता के कारण कम प्रिसिजन दिखाया, लेकिन अधिकांश परिदृश्यों के लिए 0.80 से ऊपर रिकॉल बनाए रखा।
फॉल्स पॉजिटिव्स: फॉल्स पॉजिटिव का अनुपात कुल ट्रैफ़िक वॉल्यूम के 5% से नीचे रहा, जो उन परिचालन सबस्टेशनों के लिए स्वीकार्य स्तर है जहाँ हमले दुर्लभ होते हैं।
विंडो साइज का प्रभाव: मध्यवर्ती विंडो लंबाई ( $T_w = 0.5$ सेकंड और $1.0 $सेकंड) ने टेम्पोरल रेजोल्यूशन और स्थिरता के बीच इष्टतम संतुलन प्रदान किया। छोटी विंडोज़ ($ 0.1$ सेकंड) शोर (noise) के प्रति संवेदनशीलता बढ़ा देती हैं, जबकि लंबी विंडोज़ ($3.0$ सेकंड) अल्पकालिक विसंगतियों को स्मूथ आउट कर देती हैं।
सामान्यीकरण (Generalization): मॉडल ने मजबूत सामान्यीकरण प्रदर्शित किया, जो वास्तविक दुनिया के बेसलाइन ट्रैफ़िक और सिंथेटिक सामान्य नमूनों दोनों को एक ही कॉम्पैक्ट लेटेंट क्षेत्र में मैप करता है, जबकि हमले के नमूनों को अलग-अलग क्षेत्रों में अलग करता है।

महत्व और दावे
लेखक दावा करते हैं कि यह ढांचा IEC 61850 GOOSE नेटवर्क में विसंगति का पता लगाने के लिए एक मजबूत समाधान प्रदान करता है, विशेष रूप से उन परिदृश्यों में जहाँ लेबल किए गए हमले का डेटा उपलब्ध नहीं है। सिमेंटिक और टेम्पोरल व्यू को अलग करके, सिस्टम GOOSE व्यवहार के पूरक पहलुओं को कैप्चर करता है जिन्हें सिंगल-मॉडल डिटेक्टर मिस कर देते हैं। एसिमेट्रिक ऑटोएन्कोडर्स, EVT-आधारित थ्रेशोल्डिंग और फीचर-लेवल एट्रिब्यूशन का संयोजन MS, DM, और DoS हमलों का सटीक पता लगाने और व्याख्यात्मक परिणाम देने में सक्षम बनाता है। यह शोध पत्र तर्क देता है कि यह दृष्टिकोण विशिष्ट हमले के हस्ताक्षरों पर निर्भर रहने के बजाय, सामान्य प्रोटोकॉल व्यवहार की मौलिक संरचना पर भरोसा करके, परिचालन परिवेशों के लिए उपयुक्त है।