智能电网无线通信中仅存在式被动侦察的基准数据集

大家读完觉得有帮助记得关注和点赞摘要在智能电网通信中对仅存在式被动侦察进行基准测试具有挑战性因为攻击者只接收信号但附近的观察者仍然可以通过额外的阴影和多径效应改变传播从而重塑信道相干性。公开的智能电网网络安全数据集主要针对主动协议层或测量层攻击很少提供具有分层拓扑背景的、传播驱动的可观测指标这限制了在严格被动威胁模型下可重复的评估。本文介绍了一种受IEEE启发、基于文献的基准数据集生成器用于在分层的家庭区域网络、邻域区域网络和广域网络通信图上进行被动侦察该图包含异构的无线和有线链路。节点级时间序列通过物理一致的信道-指标映射产生其中信道状态信息通过符合测量实际的幅度和相位代理来表示这些代理驱动推断出的信噪比、数据包错误行为和延迟动态。被动攻击仅被建模为窗口化的额外衰减和信道创新增加导致的相干性下降因此可靠性和延迟偏差通过相同的因果映射产生而无需标签或特征捷径。该版本提供了经去除预热期的、独立分割的实现、严格因果的时间描述符、邻接加权邻居聚合和偏差特征以及针对联合学习准备的、每个节点的独立训练、验证和测试分区并包含仅用于训练的归一化元数据。基准联合实验突出了与具体技术相关的可检测性并支持对用于被动侦察的图-时序和联合检测器进行标准化基准测试。I. 引言现代智能电网依赖于异构的、多层通信基础设施这些设施将现场设备、变电站、控制中心和广域监控系统互连。这些通信层——通常分为家庭区域网络、邻域区域网络和广域网络——在符合IEEE智能电网指导方针的互操作性框架和参考架构内整合了多种技术例如IEEE 802.15.4/ZigBee类链路、Wi-Fi、电力线通信、LTE、以太网和光纤。随着分布式能源、智能电表和自动需求响应的普及通信表面变得越来越无线化、分布式化并且更容易受到敌手观察。智能电网网络安全研究已广泛探讨了主动攻击包括虚假数据注入、重放、路由操纵和拒绝服务攻击。相比之下被动侦察威胁的研究仍相对不足。本文专注于仅存在式被动侦察一个仅在物理上靠近链路或端点的接收型敌手不注入、重放、干扰或操纵消息其存在通过额外的阴影和多径变化可测量地扰动了周围的传播环境。这种效应在无设备射频感应和定位中已得到充分证实其中人或物体的存在会扰动接收信号强度和信道状态信息统计量而无需协议层篡改。在智能电网场景中这些扰动表现为链路指标如CSI幅度、信噪比、数据包错误和延迟中的低幅度、时间相关的偏差从而推动超越静态阈值设定的检测方法。本文有意构建为一个在仅存在威胁模型下传播级扰动的受控合成基准而非完整的网络模拟器或经过现场校准的数字孪生。公开基准中能够捕捉多节点HAN-NAN-WAN拓扑中由接收、邻近引起的信道扰动并提供适用于联合学习的每个节点分区的数据集仍然稀少因此合成生成是支持可泄露安全、可重复的、具有拓扑感知检测的基准测试的一个实用途径。贡献拓扑感知基准一个12节点的HAN-NAN-WAN通信图包含角色/层/技术分配和层级感知的邻接约束无直接的HAN-WAN链路。严格被动扰动仅接收式攻击被建模为传播变化阴影效应和相干性下降链路指标通过CSI→SNR→PER→延迟的连贯计算重新计算无注入、重放、修改或事件标志。防泄露构造具有去除预热期的独立分割实现、严格因果的滚动特征以及使用存储参数应用于验证/测试集的、仅基于训练数据的、每个节点的标准化。时序 邻居上下文因果时间序列描述符辅以邻接加权的邻居聚合和偏差特征以支持可解释的拓扑感知学习。适用于联合学习的发布每个节点的训练/验证/测试分区附带节点特定的归一化元数据以及导出的拓扑和节点元数据用于集中式、本地和联合的图-时序流程。II. 相关工作公开的智能电网网络安全数据集主要强调主动攻击和更高层的特征——例如通过电力系统测量、协议跟踪或流级特征捕获的虚假数据注入、拒绝服务、欺骗和延迟/丢包异常。这些发布在操作现实的监控控制设置下对入侵表征很有价值但它们很少暴露传播层可观测指标例如CSI/RSSI幅度/相位代理、阴影/干扰动态或相干性相关统计量这些指标在仅接收邻近情况下可能会发生漂移。面向IEC 61850的基准和生成器进一步集中于协议和流量特征例如GOOSE/MMS行为、消息语义、时序和工程化的数据包/流特征这些虽然互补但与被动、仅传播的影响是截然不同的。因此大多数可用的智能电网基准支持检测协议层入侵和主动破坏而非由信道引起的、在没有数据包注入或修改情况下出现的细微偏差。在智能电网领域之外广泛使用的入侵数据集如CIC-IDS2017提供了标准化的、基于流的基线但忽略了塑造现实智能电网通信表面的电网特定语义HAN/NAN/WAN分层、角色驱动的周期性、技术异构性。类似地无线入侵数据集和调查例如WSN-DS和基于经验的802.11入侵数据集专注于MAC/路由层威胁和基于radiotap/流量的指标而没有拓扑感知的智能电网结构、分层的实体角色或适用于联合学习的每个节点分区。由此产生的差距是缺乏能够共同提供 (i) 分层的HAN-NAN-WAN拓扑背景、(ii) 异构技术、以及 (iii) 严格被动的、仅传播的扰动适用于防泄露、可重复的ML评估的基准数据集。III. 设计目标与威胁模型III-A 设计目标该生成器旨在支持在分层智能电网通信拓扑下对仅存在式被动侦察进行可重复的基准测试。G1) 分层拓扑受IEEE启发实例化一个HAN-NAN-WAN通信图具有角色一致的节点分配和层级感知的连接约束支持拓扑感知建模且不包含直接的HAN-WAN边。G2) 仅传播攻击不注入、重放、修改、干扰或丢弃数据包。攻击被严格建模为传播扰动阴影效应和相干性下降链路指标通过CSI幅度→SNR→PER→延迟的连贯计算重新计算。G3) 防泄露评估训练/验证/测试被生成为具有去除预热期的、独立分割的实现工程化特征是严格因果的标准化参数仅基于每个节点的训练数据统计量拟合并使用存储的参数应用于验证/测试集。G4) 拓扑感知学习支持发布包括从邻接加权聚合派生的邻居感知摘要支持集中式、本地或联合训练下的图-时序流程。III-B 威胁模型敌手类别仅存在、仅接收该基准针对一种通信层敌手其在物理上靠近选定的非有线链路或端点时仍保持仅接收状态。该敌手不发射或执行协议层操作即无数据包注入、重放、修改、干扰、路由操纵或故意丢弃。唯一建模的机制是传播环境的邻近诱导扰动其足够局部化可以改变合法传输的测量链路指标。攻击面和符合条件的媒介在本工作中目标仅限于跨HAN/NAN/WAN层常用的非有线媒介例如HAN中的IEEE 802.15.4/ZigBee和Wi-FiNAN/WAN中的PLC和蜂窝回程这反映了智能电网通信栈的异构性。光纤/以太网骨干链路被指定为不符合攻击条件并在整个基准测试中保持标记为正常。物理机制和可观测性仅接收的邻近性仍然可以产生可测量的信道扰动因为附近的人/物体及关联设备会改变链路主要相互作用区域的吸收、衍射和多径散射。无设备射频感应和无线电断层扫描成像表明可以通过现有链路上的RSS变化推断出未携带设备的个体而基于CSI的人体存在检测表明可以通过商用Wi-Fi物理层测量观察到多径结构的变化。对于低功耗2.4 GHz传感器链路据报道人体阴影效应会引入不可忽略的额外衰减和衰落从而降低有效SNR并增加数据包丢失。标准化的信道建模进一步通过统计大尺度项处理环境变化这些项会随几何和遮挡条件而变化。在此基准中这些邻近效应被表达为 (i) 对主动传输的额外阴影损耗以及 (ii) 信道相干性降低时间相关性下降信道创新增加从而在信道衍生指标中产生细微但有结构的偏差。能力与约束建模的敌手是仅存在式的在选定的时间窗口内其位于符合攻击条件的节点连接组附近由此产生的邻近驱动的信道变化在合法活动期间表现为测量链路指标中时间相关的传播扰动。链路指标通过一个符合通信系统结构的因果链重新计算测量的CSI/RSSI → SNR → PER → 延迟因此信道扰动能一致地传播到数据包可靠性和延迟中。因此检测是在诸如CSI幅度/相位代理、推断的SNR、数据包错误、延迟及其因果滚动描述符等可观测指标上进行的并辅以基于拓扑的邻居上下文。防御者目标防御者的任务是利用从HAN-NAN-WAN邻接派生的时间序列特征和拓扑感知上下文对符合攻击条件的节点上的低幅度、仅传播的异常进行二元检测。该基准强调隐蔽性扰动被设计为适度、时间相关且受活动门控的避免产生简单的阈值触发特征。IV. 拓扑与特征生成IV-A 通信拓扑通信图遵循分层的HAN/NAN/WAN结构符合IEEE智能电网互操作性抽象。每个节点被分配 (i) 一个层级 (HAN/NAN/WAN)、(ii) 一个操作角色、以及 (iii) 一个代表性的通信技术。实例化的基准使用12个节点具有以下层级和通信技术分配HAN: SmartMeter0 (ZigBee), SmartMeter1 (ZigBee), SmartMeter2 (Wi-Fi), Gateway3 (Wi-Fi)NAN: DER4 (LoRa), DER5 (LoRa), FeederRelay6 (PLC), Controller7 (LTE)WAN: PMU8 (Fiber), SCADA9 (Fiber), AMIHeadend10 (LTE), SubstationGW11 (PLC)虽然实际配电系统可能涉及数百个总线和大量通信端点但本基准有意实例化一个紧凑的12节点通信图以符合IEEE 2030层级抽象。简化的拓扑隔离了功能性的通信攻击面并支持跨异构媒介的、具有拓扑感知和联合检测器的可重复评估而无需全规模的电力系统仿真。生成器保持参数化允许在需要时使用更大的节点列表和邻接结构。图1展示了HAN/NAN/WAN拓扑。符合被动攻击窗口放置条件的节点是那些使用ZigBee、Wi-Fi、LTE、LoRa或PLC的节点光纤节点在此基准配置中被排除在攻击放置之外因为邻近驱动的传播扰动主要影响无线/PLC链路而光纤骨干网相对而言不受传播影响。图1分层智能电网通信拓扑HAN/NAN/WAN包含设备角色和通信技术。技术ZBZigBee, WFWi-Fi, LRLoRa, PLC电力线通信, LTELTE, FB光纤IV-B 拓扑构建与邻居建模使用角色一致的连接约束构建一个层级感知的邻接矩阵(i) HAN智能电表仅连接到HAN网关(ii) NAN DER和馈线继电器节点连接到NAN控制器(iii) HAN网关连接到NAN控制器以表示层级聚合以及 (iv) WAN骨干连接将控制器和变电站网关连接到SCADA、AMI前端和PMU节点其中SCADA与AMI和PMU有额外链接。此设计排除了直接的HAN-WAN边同时保留了与智能电网通信参考架构一致的聚合和骨干关系。邻居感知特征使用从无向二进制邻接派生的行随机混合矩阵计算。令N表示节点数A ∈ {0,1}N×N表示邻接矩阵。令D diag(A·1)为度矩阵在实例化的拓扑中非零并定义行随机邻居平均算子P D^(-1) A。然后定义自-邻居凸组合为W αI (1-α)P, α0.30, (1)该矩阵是行随机的。对于节点级信号x(t) ∈ ℝ^N邻居聚合为x̄(t) W x(t)相应的偏差特征为|x_i(t) - x̄_i(t)|。IV-C 特征生成流程该基准导出由因果的流量-信道-链路指标流程生成的通信层时间序列。节点活动由具有角色一致动态特性的整数传输计数tx_count_i(t)表示。一个潜在的复杂衰落过程h_i(t)通过一个技术条件化的高斯-马尔可夫模型生成信道强度由包络|h_i(t)|表示。大尺度阴影遵循标准化的对数正态统计量和去相关行为。技术相关的干扰包括相关的背景项和脉冲分量。测量幅度C_i(t)从|h_i(t)|获得带有有界的观测噪声和设备类量化。然后链路指标通过C→SNR→PER→延迟的因果链重新计算其中延迟结合了技术基线、从PER派生的ARQ启发式重传期望、抖动和一个突发组件其发生概率随PER增加而增加导出了一个EWMA平滑的延迟以捕捉短期持续性。在每个分割内从可观测指标计算严格因果的工程化特征并辅以邻接加权的邻居聚合和偏差特征。训练/验证/测试被生成为具有去除预热期的独立实现并且每个节点的标准化仅基于训练数据的统计量进行拟合并使用存储的参数应用于验证/测试集。V. 信道建模与流量语义使用一个技术条件化的、时间相关的替代信道通过一致的因果链生成链路层可观测指标C→SNR→PER→L→L̃。该生成器旨在支持跨异构HAN/NAN/WAN技术的通信层效应基准测试而不是模拟特定部署。采样语义时间由离散周期t∈{0,…,T-1}索引周期长度为Δt。对于节点itx_count_i(t)表示在周期t内的传输尝试次数。导出的链路指标C, SNR, PER, L被解释为周期级的链路质量快照该快照将控制该周期内尝试的数据包。攻击标签是受活动门控的仅当攻击符合条件的非光纤技术在tx_count0的周期上才分配attack_label1光纤链路始终标记为正常。V-A 技术条件化的替代信道潜在衰落和相位每个节点分配一个复杂高斯-马尔可夫衰落过程h_i(t)具有技术相关的时间相关性。复数序列不被导出而是导出(i) 通过C导出的幅度衍生可观测指标和 (ii) 从h_i(t)派生的标签安全相位描述符。阴影和干扰大尺度衰落在dB域建模为一个时间相关的阴影过程。为了反映共享环境条件阴影和干扰由全局、层级和节点本地分量组成并应用了可选的指数衰减阴影相关模型。此外interf_db包括技术特定的突发性。测量模型测量幅度代理C通过将潜在幅度映射到dB、添加有界观测噪声并量化到设备分辨率来产生。信道到指标的映射SNR单位dB从C计算得出。然后通过一个技术相关的逻辑映射推导出数据包错误率。延迟计算为(i) 技术特定基线、(ii) 从数据包错误派生的ARQ启发式重传期望、(iii) 高斯抖动、(iv) 突发分量的总和L̃被导出为EWMA滤波后的延迟迹。诊断和特征卫生生成器导出shadow_db和interf_db作为诊断流。这些流在接收端不可直接观测因此应从推荐的ML特征集中排除而主要的学习特征应仅源自可测量的链路指标及其因果时序/图聚合。V-B 物理一致性与统计一致性由于基准是合成的其可信度依赖于两个属性(i) 导出的变量必须遵循一致的因果链(ii) 非攻击状态应保持与无线/PLC传播和智能电网通信建模中使用的标准抽象一致。V-C 离散时间信道链假设一个离散时间基带抽象y(t) H(t)x(t) n(t)其中H(t)∈ℂ是潜在复信道响应x(t)1是导频符号n(t)建模加性测量噪声。时间由离散周期t∈{0,…,T-1}索引周期长度为Δt秒。数据集不导出H(t)而是导出从分割本地潜在过程计算的确定性因果链C→SNR→PER→L→L̃。攻击效果仅作用于潜在传播项链路指标通过相同的映射重新计算。标签和扰动是受活动门控的。诊断性损伤流shadow_db, interf_db被发布以供重现性但应从学习中排除。V-C1 潜在复衰落和导出的相位描述符令N表示节点数。对于每个节点i∈{0,…,N-1}生成一个技术条件化的复高斯-马尔可夫衰落过程h_i(t) ρ_i h_i(t-1) √(1-ρ_i^2) w_i(t), w_i(t) ~ CN(0,1)。相位描述符导出为phase_sin_i(t) sin(∠h_i(t)), phase_cos_i(t) cos(∠h_i(t)), dphase_i(t) ϕ_i_unw(t) - ϕ_i_unw(t-1)。V-C2 CSI/RSSI类幅度观测 (C)令a_i(t) |h_i(t)|表示潜在包络。定义潜在dB强度h_i(dB)(t) 20 log_10(max(a_i(t), ε_min))。测量噪声在dB域添加并映射回幅度c_i(t) ≜ C_i(t) max(10^(h̃_i(dB)(t)/20), ε_0)。V-C3 dB域SNR推导 (SNR)信噪比 (SNR) 在dB域计算γ_i(dB)(t) ≜ SNR_i(t) γ_0,i(tech) δ_i 20 log_10(c_i(t)) m_i(tech) s_i,dB(t) - i_i,dB(t)。V-C4 数据包错误率 (PER)数据包错误率 (PER) 从SNR通过技术条件化的逻辑映射推导PER_i(t) (1 exp(k_i (γ_i(dB)(t) - γ_50,i)))^(-1)。V-C5 延迟 (L) 和指数加权移动平均平滑 (L̃)定义p_i(t) min(PER_i(t), 1-ε)。导出的延迟为L_i(t) L_0,i(tech) Δ_rtx * reTX_i(t) η_i(t) u_i(t)。平滑后的延迟L̃_i(t)是一个EWMA。VI. 被动攻击生成在通信层建模了一个严格被动的、仅存在式侦察威胁。敌手是仅接收的不执行干扰、数据包注入、重放、修改、路由操纵或故意丢弃。攻击仅在传播潜在变量上实现为低幅度、时间相关的扰动这些扰动 (i) 引入额外的阴影损耗以及 (ii) 在降低时间相干性的同时增加复衰落过程中的散射/创新。此抽象遵循无设备RF感应和基于CSI的存在检测文献。干扰潜在变量不被直接扰动。扰动在每个窗口内斜坡上升并仅通过活动门控应用于活动周期。VI-A 分割本地窗口采样与防泄露性训练/验证/测试被生成为独立实现。每个窗口由一个标记区间[s0, s1)和一个嵌入的核心区间[t0, t1)⊂[s0, s1)定义。相邻分割之间不共享潜在状态。VI-B 资格、活动门控标签和覆盖率目标只有其通信技术在ATTACK_ELIGIBLE_TECH中的节点才有资格进行窗口放置和标记。标记是活动门控的。覆盖率控制在活动的、符合条件的行上进行。VI-C 窗口长度、重叠和唯一性核心持续时间L从离散均匀分布中采样。标记窗口长度为L_lab。当ALLOW_OVERLAPTrue时允许重叠。通过强制执行分割本地唯一键来防止重复放置。VI-D 节点分组与局部性每个窗口目标定位于分层HAN/NAN/WAN邻接上符合条件节点的拓扑本地连接集合。锚节点根据其剩余覆盖率赤字按比例采样然后通过遍历符合条件的1跳邻居来扩展被攻击集合直到达到组大小k∈{GROUP_MIN, ..., GROUP_MAX}。VI-E 具有斜坡上升的仅传播扰动所有扰动都乘以斜坡函数r_w(t)和活动门控a_i(t)。阴影损耗采样与应用窗口特定的阴影损耗Δs_w (dB)从截断高斯混合中采样并应用于活动周期上的阴影潜在变量。相干性降低和创新增加在窗口内攻击更新使用时变有效相关性ρ_i(t)和创新缩放ν_i(t)。在活动周期上攻击更新生成然后使用斜坡上升和活动门控进行混合。可选的Wi-Fi反射分量对于Wi-Fi节点可以在窗口内注入额外的反射路径分量以模拟人引起的多径分量的出现。未受干扰的干扰干扰潜在变量i_i,dB(t)不被攻击者修改。VI-F 一致的重计算与窗口表现在活动周期上扰动h_i(t)和s_i,dB(t)后所有导出的可观测指标使用相同的正常状态映射重新计算。窗口定义和采样的扰动参数记录在attacks_windows_meta.csv中以供重现性和受控消融。VII. 数据集模式与发布VII-A 规模、分割与节点列表该基准发布版本中N12。每个节点导出为三个分割特定的时间序列长度分别为T_train, T_val, T_test。表III总结了节点角色、层级、技术和被动攻击资格。资格由是否属于ATTACK_ELIGIBLE_TECH决定。VII-B 覆盖率控制与窗口元数据攻击流行率由符合条件的节点活跃行上的目标分数r控制。窗口边界和窗口级扰动参数记录在attacks_windows_meta.csv中。VIII. 联合基准检测器VIII-A 协议与特征子集为了与威胁模型保持一致基准测试使用一个紧凑的、防泄露的特征子集该子集源自可测量的链路指标和基于拓扑的邻居摘要同时排除诊断潜在变量和活动变量作为输入。训练和评估仅限于活动行。光纤客户端被排除。VIII-B 逐行联合基准无时序建模报告的结果有意采用逐行设置无时间窗口以建立仅使用每样本可观测指标和有限邻居上下文时的性能下界基线。表 IV 汇总了在 10 个非光纤客户端上的宏平均测试性能。线性基线Fed-LR获得了高召回率但精度有限反映了在忽略时序一致性时频繁出现的误报。树集成方法Fed-XGB提高了精度但可能在更微妙的攻击模式下漏检。在同一逐行设置下评估的循环基线序列长度为 1 的 Fed-LSTM序列长度为 1 的门控循环基线 Fed-GRNN表现出中等的性能。总体而言这些权衡关系支持了该基准设计的初衷仅存在的攻击效应表现为低幅度、相关的偏移这促使检测器需要超越每样本决策结合时间序列信息和拓扑感知的上下文。表 IV在非光纤客户端上的逐行联合基线结果。这些结果旨在展示数据集的微妙性和异质性而非优化检测性能。模型精确率召回率F1分数准确率Fed-LR0.39970.88660.53260.7301Fed-XGB0.54690.66340.71290.8192Fed-LSTM0.57930.77880.64890.8580Fed-GRNN0.68130.78570.72010.8954VIII-C 对时空流程的解释与启示从表 IV 可以直接得出两个观察结果。首先性能在不同技术和客户端之间存在差异例如攻击样本稀少的 LoRa 客户端明显更难检测这与生成器中基于层级/技术条件的信道和损伤动态是一致的。其次精确率-召回率的权衡表明针对隐秘的仅存在式攻击扰动逐周期的决策并非始终稳健。这促使我们需要采用结合了(i)跨周期的时间一致性以及(ii)相邻节点间空间上下文的图-时序流程进行检测而数据集的发布每个节点的分割数据、邻接关系、邻居聚合特征和存储的仅用于训练的归一化参数正好支持这种检测方法。IX 结论本文介绍了一种受 IEEE 启发、基于文献的基准数据集生成器用于分层智能电网通信中的仅存在式被动侦察。该基准针对一种仅接收的敌手其影响完全通过邻近引起的传播扰动产生这种扰动被建模为具有窗口化额外阴影损耗和信道创新增加导致的相干性下降。一个关键的设计目标是物理和统计一致性导出的可观测指标通过一个确定性的信道-指标映射获得其中符合测量实际的 CSI 代理会引发 SNR 偏移该偏移进而传播到数据包错误行为和延迟动态中无需注入事件标志或协议层捷径。该版本还通过具有去除预热期的独立分割实现、严格因果的时间描述符以及使用存储参数应用于验证/测试集的、仅基于训练数据的每个节点的标准化并辅以层级感知的邻接关系和邻居上下文特征来强制实现防泄露评估从而支持拓扑感知学习。基准联合检测器在异构技术下展示了非平凡的精确率-召回率权衡证实了攻击扰动是微妙的并且无法仅从单周期统计量中轻易区分。因此该数据集及附带的相关资源能够为标准化的、可重复的比较提供支持用于评估在智能电网通信图中用于被动侦察检测的集中式、本地和联合图-时序流程。