🤖 machine learning

Pseudo-Feature Padding: A Lightweight Defense Against False Data Injection in Power Grids

本文提出了一种名为伪特征填充（Pseudo-Feature Padding）的轻量级、模型无关型防御框架，该框架通过引入随机的、数据驱动的填充，使对抗性扰动在计算上变得不可行且不可迁移，从而增强深度神经网络在电网中抵御虚假数据注入攻击的鲁棒性。

原作者： Farhin Farhad Riya, Shahinul Hoque, Yingyuan Yang, Jinyuan Sun, Kevin Tomsovic

发布于 2026-06-19

📖 1 分钟阅读☕ 轻松阅读

CC0 1.0

原作者： Farhin Farhad Riya, Shahinul Hoque, Yingyuan Yang, Jinyuan Sun, Kevin Tomsovic

原始论文根据 CC0 1.0（http://creativecommons.org/publicdomain/zero/1.0/）发布到公有领域。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，电网就像一个巨大而复杂的管弦乐团。每件乐器（传感器）演奏一个音符（数据点），向指挥家（计算机系统）传达音乐进行得如何的信息。如果有几件乐器开始演奏错误的音符，指挥家需要立即察觉，以防止交响乐崩溃。

在现实世界中，这个“指挥家”通常是一个复杂的 AI（深度神经网络），它通过倾听这些传感器来发现问题。但问题在于：一个聪明的黑客可以悄悄篡改极少量的音符，让 AI 误以为一切正常，即便实际情况已经一团糟。这被称为虚假数据注入攻击 (FDIA)。

以下是本文提出的解决方案，使用了简单的类比：

问题所在：黑客的“作弊秘籍”

目前，黑客完全了解 AI 是如何倾听的。他们知道，如果他们只是稍微改变一下小提琴的音量，AI 就不会察觉。这就像一个窃贼，因为研究过锁的机制，所以准确掌握了保险箱的密码。他们可以精心伪造一个“完美的谎言”，使其看起来与真实数据完全一致。

解决方案：“随机填充员”

作者提出了一种名为伪特征填充 (Pseudo-Feature Padding) 的新防御手段。

想象一下，你正试图在人群中识别一个特定的人。通常，你会观察他们的脸部（重要数据）。但如果每次你观察他们时，旁边都会出现一个随机的、隐形的“填充员”呢？

设定： AI 通常观察主要数据（脸部）。
技巧： 在 AI 做出决策之前，系统会在数据中加入一些额外的“虚拟”信息（伪特征）。
秘诀： 这些虚拟部分并非仅仅是随机的零（黑客可以猜到零），相反，它们是根据数据的“背景噪声”生成的——就像人群中并不影响识别特定人物的细微嘈杂声。
随机性： 每次 AI 查看数据时，这些虚拟部分都会发生变化。这一秒，填充物可能是一个“蓝帽子”；下一秒，它变成了一条“红围巾”。

为什么这能阻止黑客

论文声称这之所以有效，主要基于三个原因：

移动的目标： 由于“虚拟”数据每次都会随机变化，黑客无法制作出一份完美的作弊秘籍。他们无法预测 AI 下一次会看到什么。这就像是在尝试撬开一把每次接触时形状都会改变的锁。
打破模式： 黑客依赖于特定的数学模式来隐藏他们的谎言。通过加入这些随机的额外数据，论文认为黑客所依赖的数学模式会被打乱。那个“谎言”不再能契合这个新的、略有差异的拼图。
轻量且简便： 最棒的一点是，这不需要重建整个 AI 或购买新硬件。这就像是在相机镜头上加一个简单的滤镜。你不需要更换相机，只需要添加一个能稍微改变视野的部分，从而迷惑入侵者。

测试结果

研究人员在不同规模的电网（从小型社区到大型城市）上对该方法进行了测试。他们发现：

行之有效： AI 变得更擅长识破黑客的谎言。
速度极快： 它并没有显著降低系统的运行速度。
准确度高： 在没有受到攻击的正常情况下，它并不会降低 AI 执行日常任务的准确性。

简而言之，本文表明，通过在 AI 接收到的信息中加入一层“受控的混乱”（基于数据的随机填充信息），我们可以让黑客极难在不被察觉的情况下潜入，且无需对整个电网系统进行大规模改造。

技术摘要：用于电网 FDIA 防御的伪特征填充技术

1. 问题陈述

深度神经网络（DNN）正越来越多地部署在网络物理系统（CPS）中，特别是在用于电力系统状态估计的领域，以检测虚假数据注入攻击（FDIA）。然而，电力系统独特的架构使得这些 DNN 极易受到复杂的对抗性扰动的影响。传统的防御机制，如基于残差的检测器或标准的机器学习分类器，往往难以奏效，因为 FDIA 向量的设计旨在满足隐蔽性条件 $Ba = 0 $（其中$ B$ 是投影残差矩阵），使得受污染的测量值与合法测量值在特征上无法区分。

现有的防御策略面临显著局限性：

对抗训练与蒸馏： 这些方法通常需要对训练流水线或模型架构进行大幅修改，且计算强度较高。在攻击者优先考虑隐蔽性而非最小化扰动规模的 CPS 环境中，这些方法的表现可能较差。
固定填充（例如零填充）： 虽然简单，但固定填充策略在白盒场景下非常脆弱，因为攻击者可以获知填充值并利用该知识来构建可迁移的攻击。
硬件约束： 许多提议的解决方案需要重新部署传感器或更改硬件，这在分布式 CPS 环境中是不切实际的。

核心挑战在于开发一种轻量级、与模型无关、且能够在不降低底层 DNN 在良性数据上性能的前提下，破坏攻击者所依赖的结构性条件的防御手段。

2. 方法论：伪特征填充

本文提出了一种**伪特征填充（Pseudo-Feature Padding）**框架。该方法引入了一个额外的输入层，通过从输入数据自身的统计分布中提取“伪特征”来动态增强输入样本。

核心机制

特征重要性分析： 对于每个输入样本，使用基于树的模型（如决策树）对特征重要性进行排序。低于特定阈值 $\theta$ 的特征被识别为“重要性较低”（低显著性）的特征。
统计分布拟合： 对整个数据集中的每个特征进行预先拟合统计分布。
动态填充生成：
- 训练阶段： 对于每个样本，从与识别出的低重要性特征相对应的拟合分布中采样伪特征。将这些特征与原始输入进行拼接，从而为每个样本创建多个增强变体。
- 推理阶段： 当输入一个样本（无论是干净样本还是对抗样本）时，会采样一个新的伪特征向量并进行拼接。这确保了输入结构在推理过程中是不可预测变化的。
数学层面的破坏：
- 在标准 FDIA 中，攻击者构造一个向量 $a$ ，使得 $Ba = 0 $，其中$ B = P - I $，且$ P$ 是系统雅可比矩阵列空间的投影矩阵。
- 所提出的填充将系统矩阵转换为 $H' = [H | P_{pad}]$ ，其中 $P_{pad}$ 包含采样的伪特征。
- 这改变了投影矩阵变为 $P'$ ，以及残差矩阵变为 $B'$ 。因此，零空间结构发生了变化（ $N(B) \neq N(B')$ ）。旨在满足 $Ba=0 $的攻击向量$ a $通常无法满足$ B'a'=0$，因为填充的特征引入了结构性不确定性并移动了零空间。
- 由于在推理时伪特征是随机采样的，攻击者无法在计算上实现重建有效的系统矩阵 $H'$ ，从而使精心设计的扰动变得不再具有可迁移性。

算法概述

该框架作为一个预处理步骤运行：

识别特定样本的低重要性特征。
从预拟合的分布中采样合成值。
将这些值与原始输入向量拼接。
将增强后的向量输入到现有的 DNN 架构中。

3. 主要贡献

本文概述了以下主要贡献：

新颖的防御策略： 一种通过使用伪特征填充输入来减轻 FDIA 影响的方法，该方法增加了输入维度，并增加了生成精确攻击向量的难度。
模型无关性与可部署性： 该框架是轻量级的，不需要对核心 DNN 架构进行任何修改，便于集成到现有的 CPS 检测流水线中。
无硬件开销： 该方案通过在纯数据处理层进行操作，解决了保障所有物理传感器安全的不切实际问题，无需重新部署传感器。
性能保持： 该方法能够保持 DNN 的性能完整性，与基准模型相比，准确率下降微乎其微。
全面的验证： 通过在四个标准 IEEE 测试系统（14 节点、30 节点、118 节点和 300 节点）的对抗环境下进行模拟，验证了该框架的有效性。

4. 实验结果

研究人员使用通过 MATPOWER 生成的数据集，利用前馈 DNN（四个全连接层）对该框架进行了评估。评估将所提方法与普通 DNN、对抗训练、对抗蒸馏以及零填充进行了对比。

检测准确率： 所提出的伪特征填充法实现了显著高于基准和其他防御方法的攻击检测准确率。例如，在 14 节点系统中，它达到了 94.2% 的准确率，优于对抗训练（62.0%）和零填充（93.5%）。在 30、118 和 300 节点系统中也观察到了类似的高性能（范围在 92.0% 至 96.1% 之间）。
鲁棒性指标：
- 偏差 L2-范数（Bias L2-Norm）： 所提方法产生了更高的偏差 L2-范数（例如，14 节点系统为 168.7，而对抗训练为 50.6），表明该模型成功检测到了由攻击引起的较大偏差。
- 有效 L2-范数（Valid L2-Norm）： 该方法产生了较低的有效 L2-范数（例如，14 节点系统为 55.1，而对抗训练为 113.7），表明对抗性扰动的有效强度已被中和。
可扩展性： 随着系统规模的增加（从 14 节点到 300 节点），性能保持稳定或有所提升，证明了该框架的可扩展性。
计算开销： 虽然由于特征生成和填充步骤导致训练时间略有增加（35秒 vs. 普通 DNN 的 10秒），但推理成本依然很低（0.9ms），且整体开销被归类为“低-中”，明显优于对抗训练的“高”开销。

5. 意义与主张

本文声称，对于物理传感器安全保障难以实现的现实 CPS 应用，伪特征填充提供了一种实用且有效的防御解决方案。

破坏攻击机制： 通过引入随机的、基于数据的填充，该方法打破了攻击者在无需预先获知特定填充值的情况下维持隐蔽性条件（$Ba=0$）的能力。
缓解可迁移性： 推理时非确定性的填充特性防止了为某一模型实例设计的对抗样本有效地迁移到另一实例，这是白盒攻击的一个常见弱点。
实用性： 与需要硬件更改或复杂架构重训的方法不同，这种方法是一种轻量级的预处理步骤，能够保留原始模型的结构。
局限性： 作者承认目前的工作侧重于攻击者已知模型但不知道填充值的白盒威胁。自适应攻击和部分信息攻击被列为未来的研究方向，尽管非确定性填充预计也能提供针对这些攻击的鲁棒性。

总之，本文证明了通过使用统计衍生的伪特征来增强输入数据，是提高电网中 DNN 抵御 FDIA 能力的一种可行策略，它在实现高检测准确率、低计算成本和易于部署之间取得了平衡。