IEC-61850 GOOSEネットワークにおける異常検知：教師なしおよび時系列学習によるリアルタイム侵入検知の評価

arXiv cs.LG / 2026/4/17

💬 オピニオンDeveloper Stack & InfrastructureIdeas & Deep AnalysisModels & Research

共有:

要点

デジタル変電所の時間依存通信を支えるIEC-61850 GOOSEは、標準でセキュリティ機構を備えていないため、リプレイ、なりすまし、データ注入といった攻撃に対して脆弱です。
本論文は、サブ4msという厳しい遅延要件と、攻撃のラベル付きデータが限られる状況を前提に、EREENO IEC-61850データセットで5種類のモデルを比較します。
教師ありRandom Forestは最良のF1（0.9516）を達成しますが、リアルタイム運用には遅すぎる（予測21.8ms）ため適しません。一方で、教師なしの全時系列モデルは4ms要件を満たします。
教師なし手法の中では、GRUベースのリカレント系列オートエンコーダが最良の精度と遅延のトレードオフを示し（F1=0.8737、1.118ms）、有望です。
独立した別データセットでのクロス環境評価では、全モデルが分布シフトで性能低下しますが、教師なしのリカレントモデルは教師ありベースラインより相対的に劣化が小さく、時系列モデリングの方がラベル付き攻撃分布への当てはめより汎化しやすいことが示唆されます。
教師なしモデルの異常閾値は、テストセット漏洩を避けるため保持したバリデーション分割で選定されており、結果の妥当性を高めています。

Abstract

先進的なデジタル変電所における時間制約の厳しい通信を支えるのがIEC-61850 GOOSEプロトコルであるが、ネイティブなセキュリティ機構を欠いているため、リプレイ、なりすまし、およびデータ注入攻撃に対して脆弱である。このような環境での侵入検知は、厳格なレイテンシ制約（4ms未満）と、ラベル付き攻撃データの利用可能性の制限により困難となる。本論文は、教師なしの時間的モデリングが、GOOSEネットワークに対する効果的で実運用可能な異常検知を提供し得るかどうかを評価する。ERE-NO IEC-61850データセットにおいて、5つのモデルを比較する。すなわち、教師ありRandom Forestのベースライン、フィードフォワードAutoencoder、ならびに3つの再帰型系列オートエンコーダ（RNN、LSTM、GRU）である。教師ありRandom Forestは最も高い検知性能を達成する（F1=0.9516）が、予測あたり21.8msとなりリアルタイム制約を満たせない。4つの教師なしモデルはいずれも4ms要件を満たし、その中でGRUが最良の精度とレイテンシのトレードオフを達成する（F1=0.8737、1.118ms）。独立したデータセットを用いた環境間評価では、全てのモデルが分布シフトにより低下する。しかし、再帰型モデルは教師ありベースラインよりも相対的に大幅に高い性能を維持しており、ラベル付き攻撃分布への適合よりも、時間的系列モデリングの方がより良く汎化することが示唆される。教師なしモデルの異常閾値は、テストセットのリークを避けるため、保持した検証パーティションで選択する。これらの結果は、教師なし時間的モデルが、リアルタイムなGOOSE侵入検知における実用的な選択肢となり得ることを支持している。特に、ラベル付き学習データが利用できない可能性がある場合や、複数の多様な変電所にわたる大規模展開が必要な環境では有効である。