論文要約：IEC-61850 GOOSE ネットワークにおける異常検出：リアルタイム侵入検出のための教師なし学習と時系列学習の評価

1. 背景と課題 (Problem)

現代の電力インフラは、IEC-61850 標準に基づくデジタル変電所へ移行しており、その中核をなすのが「GOOSE (Generic Object-Oriented Substation Event)」プロトコルです。GOOSE は、ネットワーク層やトランスポート層をバイパスしてイーサネットデータリンク層で動作し、4ms 未満という極めて厳格な遅延要件を満たすことで、保護リレー信号や遮断器の制御を実現しています。

しかし、この高速化のためのアーキテクチャはセキュリティ上の重大な欠陥を伴います。

• セキュリティの欠如: 暗号化、認証、完全性検証の仕組みが標準的に含まれておらず、リプレイ攻撃、なりすまし、データ注入などの攻撃に脆弱です。
• 検出の難しさ: 従来の IT 環境向けの侵入検知システム (IDS) は、変電所の厳密なリアルタイム制約や、GOOSE トラフィックの決定論的・構造化された性質に適していません。
• ラベル付きデータの不足: 攻撃データは稀であり、ラベル付きの攻撃データセットが不足しているため、教師あり学習モデルの訓練が困難です。

本研究は、これらの制約（特に 4ms 以内の推論遅延とラベル付きデータ不足）の中で、教師なし学習、特に時系列モデルが GOOSE ネットワークの侵入検出に実用的な解決策となり得るかを検証することを目的としています。

2. 手法と評価枠組み (Methodology)

本研究では、公開データセット「ERENO IEC-61850」を用いて、5 つの異なる検出モデルを比較評価しました。

対象モデル

1. 教師ありベースライン: ランダムフォレスト (Random Forest)。ラベル付きデータで訓練された標準的な分類器。
2. 教師なしモデル (4 種類): 正常トラフィックのみで訓練し、再構成誤差や異常スコアに基づいて検出を行う。
   • フィードフォワードオートエンコーダ: 単一メッセージの静的な特徴量のみを扱う。
   • RNN オートエンコーダ: 時系列依存性を捉えるための単純な RNN 構造。
   • LSTM オートエンコーダ: 長期的な依存関係を捉える LSTM 構造。
   • GRU オートエンコーダ: LSTM と同等の性能を持ちつつ計算コストが低い GRU 構造。

特徴量と評価指標

• 特徴量: GOOSE メタデータ（StNum, SqNum など）、時系列差分特徴量（メッセージ間の時間差など）、および SV (Sampled Value) データを含む 69 次元の特徴量を使用。
• 評価指標: 精度、適合率、再現率、F1 スコア、AUC-ROC の他に、推論遅延 (Latency) を厳密に測定。
• リアルタイム制約: 推論遅延が4ms 未満であることが実用化の必須条件。
• 閾値設定: テストセットのリークを防ぐため、教師なしモデルの異常検出閾値は、訓練データから分離した検証用データ上で選択された。

汎化性能の評価

ERENO データセットで訓練したモデルを、別の物理テストベッドで収集された独立したデータセット（de Oliveira et al. によるもの）に対して再訓練なしで適用し、環境変化に対する汎化性能を評価しました。

3. 主要な貢献 (Key Contributions)

1. リアルタイム制約下でのモデル比較: 検出精度だけでなく、4ms という厳しい遅延制約を満たすかどうかを基準とした包括的な評価を実施。
2. 時系列モデルの有効性の証明: 静的なモデル（オートエンコーダ）と比較して、GOOSE メッセージのシーケンス（StNum/SqNum の推移など）をモデル化する再帰型ニューラルネットワーク（RNN, LSTM, GRU）が、時系列ベースの攻撃（リプレイ、なりすまし）をより効果的に検出できることを示した。
3. 横断環境での一般化能力の分析: 教師ありモデル（ランダムフォレスト）は環境変化に対して性能が著しく低下するのに対し、時系列モデルは相対的に高い汎化性能を維持することを発見。
4. 実用的な閾値選定: テストセットへの過剰適合を防ぐため、検証用データセットを用いた閾値選定プロセスを適用し、報告されたメトリクスの信頼性を高めた。

4. 結果 (Results)

検出性能と遅延のトレードオフ

• ランダムフォレスト: 最高精度 (F1 スコア 0.9516) を達成したが、推論遅延が21.8msであり、4ms の要件を大幅に超過。リアルタイム IDS としての実用性は低い。
• 教師なしモデル: すべてが 4ms 要件を満たした。
  • GRU: 教師なしモデルの中で最高精度 (F1 スコア 0.8737) を達成し、遅延は1.118ms。精度と速度のバランスが最も優れていた。
  • LSTM: F1 スコア 0.8686、遅延 1.920ms。
  • RNN: F1 スコア 0.8637、遅延 1.229ms。
  • フィードフォワードオートエンコーダ: 最も高速 (0.039ms) だが、F1 スコアは 0.5826 と低く、低頻度の攻撃の検出が困難。

横断環境での汎化性能 (Cross-Environment Generalizability)

異なる環境（de Oliveira データセット）での評価結果は以下の通りでした。

• ランダムフォレスト: F1 スコアが 0.9516 から0.1414へと劇的に低下（低下幅 0.81）。データセット固有の統計的パターンに過剰適合していることが示唆される。
• 再帰型モデル (LSTM, RNN, GRU): 低下幅は約 0.60〜0.68 にとどまり、ランダムフォレストに比べて相対的に高い汎化性能を維持した。
• 考察: ラベル付き攻撃分布に適合する教師あり学習よりも、正常なトラフィックの時系列パターンを学習する教師なし時系列モデルの方が、未知の環境や攻撃バリエーションに対して頑健である可能性が高い。

5. 意義と結論 (Significance and Conclusion)

本研究は、IEC-61850 GOOSE ネットワークにおけるリアルタイム侵入検出において、教師なし時系列モデル（特に GRU ベースのオートエンコーダ）が最も実用的な選択肢であることを示唆しています。

• 実用性: GRU モデルは、4ms という厳しい遅延制約を十分に満たしつつ、高い検出精度 (F1=0.8737) と優れた汎化性能を両立しています。
• セキュリティへの示唆: ラベル付き攻撃データが不足している現実的な環境や、多様な変電所への大規模展開において、時系列パターンの学習に基づく異常検出アプローチが有効であることが実証されました。
• 今後の展望: 実機環境（Hardware-in-the-Loop）でのさらなる検証、双方向モデルの評価、および説明可能性 (Explainability) の導入が今後の課題として挙げられています。

結論として、本研究は、電力インフラのセキュリティ強化において、計算リソースとリアルタイム制約のバランスが取れた教師なし時系列学習アプローチの導入を強く支持するものです。