Explainable Autoencoder-Based Anomaly Detection in IEC 61850 GOOSE Networks

Resumo Técnico: Detecção de Anomalias Baseada em Autoencoder Explicável em Redes GOOSE IEC 61850

Declaração do Problema
O protocolo de Evento de Subestação Orientado a Objetos Genérico (GOOSE) da IEC 61850 é crítico para a proteção e automação em tempo real em subestações digitais. No entanto, seu design prioriza a comunicação de baixa latência em detrimento da segurança, carecendo de mecanismos nativos de criptografia ou autenticação. Essa vulnerabilidade expõe os sistemas de potência a ataques cibernéticos sofisticados, incluindo Supressão de Mensagem (MS), Manipulação de Dados (DM) e Negação de Serviço (DoS). Os sistemas tradicionais de detecção de intrusão (IDS) baseados em regras e supervisionados têm dificuldade nesse contexto devido à dependência de assinaturas de ataques conhecidos, à escassez de dados de ataque rotulados em ambientes operacionais e ao desafio de detectar ataques de dia zero ou ataques conformes ao protocolo que mimetizam o comportamento legítimo. Além disso, o desequilíbrio extremo de classes entre o tráfego normal e eventos de ataque raros complica o treinamento de modelos supervisionados.

Metodologia
O artigo propõe um framework de detecção de anomalias multi-visão, não supervisionado e explicável, que separa explicitamente a integridade semântica (regras de sequenciamento de protocolo) da disponibilidade temporal (dinâmicas de tempo e transmissão). A metodologia procede através das seguintes etapas:

1. Engenharia de Atributos (Feature Engineering): O tráfego GOOSE é processado usando janelas deslizantes ($T_w$) de 0,1, 0,5, 1,0 e 3,0 segundos. Os atributos são decompostos em dois conjuntos disjuntos:

   • Atributos baseados em sequência ($F_{seq}$): Derivados da semântica da camada de aplicação IEC 61850, incluindo incrementos do número de estado ($stNum$), evolução do número de sequência ($sqNum$) e validade do endereço de destino.
   • Atributos temporais ($F_{temp}$): Descrevendo as dinâmicas de transmissão, incluindo tempos de interchegada, taxas de pacotes, jitter, comprimentos de quadro e valores de Tempo de Vida Permitido (TTL).

2. Arquitetura de Autoencoder Assimétrico (AE): Dois Autoencoders distintos são treinados exclusivamente em tráfego GOOSE operacional do mundo real (contendo apenas dados normais):

   • Um AE Semântico processa $F_{seq}$ usando uma arquitetura mais profunda para capturar dependências não lineares do protocolo.
   • Um AE Temporal processa $F_{temp}$ usando um gargalo (bottleneck) mais estreito para evitar a reconstrução de comportamentos de inundação volumétrica.
   • Ambos os modelos aprendem uma representação latente comprimida do tráfego normal.

3. Pontuação de Anomalia e Limiarização: A detecção de anomalias baseia-se no erro de reconstrução (Erro Quadrático Médio) dos dados de entrada. Em vez de limiares fixos, o framework emprega a Teoria de Valor Extremo (EVT) para modelar a cauda da distribuição do erro de reconstrução dos dados de treinamento normais. Isso gera limiares ($z^*$) dinâmicos e estatisticamente fundamentados para cada visão. Uma janela é sinalizada como anômala se o erro na visão semântica ou temporal exceder seu respectivo limiar.

4. Explicabilidade: O framework fornece interpretabilidade intrínseca ao decompor a pontuação de anomalia em contribuições por atributo baseadas em erros de reconstrução quadráticos. Isso vincula os resultados de detecção diretamente a características específicas do protocolo IEC 61850 sem a necessidade de modelos substitutos (surrogate models).

Principais Contribuições

• Separação Multi-Visão: A decomposição explícita das dinâmicas semânticas e temporais permite que o modelo aborde as distintas modalidades comportamentais do tráfego GOOSE, que são frequentemente confundidas em abordagens de modelo único.
• Aprendizado Não Supervisionado com Dados Reais: A abordagem elimina a dependência de dados de ataque rotulados para o treinamento, utilizando apenas tráfego operacional real para aprender o comportamento normal, abordando assim a escassez de amostras de ataque em sistemas de controle industrial.
• Limiarização Estatisticamente Fundamentada: O uso de EVT para limiarização dinâmica garante uma detecção robusta sob severo desequilíbrio de classes, mantendo o controle sobre falsos positivos.
• Explicabilidade Intrínseca: Ao analisar os erros de reconstrução ao nível do atributo, o sistema oferece insights diretos sobre o porquê de uma anomalia ter sido detectada, alinhando-se a violações específicas do protocolo (ex: descontinuidades no número de sequência ou inundações de tempo).

Resultados Experimentais
O framework foi avaliado usando um conjunto de dados do mundo real de uma subestação de alta tensão (para treinamento) e um conjunto de dados público contendo ataques MS, DM e DoS rotulados (para teste).

• Desempenho de Detecção: O AE Semântico alcançou consistentemente alta revocação (frequentemente 1,00) em todos os tipos de ataque e tamanhos de janela, detectando efetivamente interrupções nas regras de sequenciamento. O AE Temporal apresentou precisão inferior devido à variabilidade inerente dos atributos de tempo, mas manteceu a revocação acima de 0,80 para a maioria dos cenários.
• Falsos Positivos: A proporção de falsos positivos permaneceu abaixo de 5% do volume total de tráfego, um nível considerado aceitável para subestações operacionais onde ataques são raros.
• Impacto do Tamanho da Janela: Comprimentos de janela intermediários ($T_w = 0,5$ s e $1,0$ s) forneceram o equilíbrio ideal entre resolução temporal e estabilidade. Janelas mais curtas ($0,1$ s) aumentaram a sensibilidade ao ruído, enquanto janelas mais longas ($3,0$ s) suavizaram anomalias de curta duração.
• Generalização: O modelo demonstrou forte generalização, mapeando tanto o tráfego de linha de base do mundo real quanto amostras normais sintéticas para a mesma região latente compacta, enquanto separava as amostras de ataque em regiões distintas.

Significância e Alegações
Os autores afirmam que este framework oferece uma solução robusta para a detecção de anomalias em redes GOOSE IEC 61850, particularmente em cenários onde dados de ataque rotulados não estão disponíveis. Ao separar as visões semântica e temporal, o sistema captura aspectos complementares do comportamento GOOSE que detectores de modelo único perdem. A combinação de autoencoders assimétricos, limiarização baseada em EVT e atribuição ao nível de atributo permite a detecção precisa de ataques MS, DM e DoS com resultados interpretáveis. O artigo postula que esta abordagem é adequada para configurações operacionais, incluindo aquelas envolvendo ataques previamente não vistos, ao confiar na estrutura fundamental do comportamento normal do protocolo em vez de assinaturas de ataques específicas.