یادگیری ماشین از رله‌های ریزشبکه در برابر چهار نوع حمله سایبری محافظت می‌کند
رله‌های حفاظتی، نگهبانان شبکه‌های برق مدرن هستند و وظیفه آن‌ها در ریزشبکه‌ها حساسیت ویژه‌ای دارد. رله‌های اضافه‌جریان جهت‌دار (DOCR) با بررسی هم‌زمان دو عامل تصمیم می‌گیرند که آیا باید کلید مدار را قطع کنند یا نه: شدت جریان خطا و جهت جریان آن. هر دو تصمیم بر پایه اندازه‌گیری‌های جریان و ولتاژ است که ترانسفورماتورهای اندازه‌گیری در محل نصب رله فراهم می‌کنند.
پژوهشگرانی که نتایج کار خود را در مجله Results in Engineering منتشر کرده‌اند، معتقدند همین وابستگی، سطحی از آسیب‌پذیری را ایجاد می‌کند که کمتر مورد توجه قرار گرفته است؛ زیرا مهاجمی که بتواند اندازه‌گیری‌های محلی یا تنظیمات خود رله را دست‌کاری کند، ممکن است آن را وادار کند در شرایطی کاملاً عادی فرمان قطع صادر کند. راهکار این گروه، چارچوبی مبتنی بر یادگیری ماشین و متکی بر ماشین بردار پشتیبان (SVM) است که هر تصمیم برای قطع مدار را بررسی می‌کند و در صورتی که الگوی داده‌های ورودی مصنوعی و غیرواقعی به نظر برسد، مانع عملکرد رله می‌شود.
در این چارچوب، خطاهای واقعی در یک دسته و حملات سایبریِ شبیه‌ساز خطا در دسته دیگر قرار می‌گیرند. گستردگی مدل تهدید این پژوهش، آن را از بسیاری از مطالعات پیشین متمایز می‌کند. در شماری از روش‌های قبلی تشخیص حمله برای حفاظت دیفرانسیلی و حفاظت چندعاملی، اندازه‌گیری‌های محلی، پارامترهای ترانسفورماتورهای اندازه‌گیری و تنظیمات رله ذاتاً قابل اعتماد فرض می‌شوند و تمرکز اصلی بر حملاتی است که سیگنال‌های منتقل‌شده از راه دور را هدف می‌گیرند. پژوهش جدید این فرض را کنار می‌گذارد و چهار دسته حمله را بررسی می‌کند که بخش‌های مختلف زنجیره اندازه‌گیری و تصمیم‌گیری رله را هدف قرار می‌دهند: حملات تزریق داده جعلی که دامنه جریان و ولتاژ اندازه‌گیری‌شده را تغییر می‌دهند؛ حملات هم‌زمان‌سازی زمانی که رابطه زاویه‌ای میان کمیت‌های عملیاتی و قطبی‌کننده را مختل می‌کنند؛ حملات دست‌کاری نسبت تبدیل که نسبت مؤثر ترانسفورماتور جریان را تغییر می‌دهند؛ و حملات دست‌کاری تنظیمات رله که جریان راه‌اندازی را تغییر می‌دهند.
هر حمله با در نظر گرفتن محدودیت‌هایی مدل‌سازی شده است که برای مؤثر بودن آن در برابر یک رله واقعی ضروری‌اند. برای نمونه، حمله تزریق داده جعلی باید ولتاژ فاز اندازه‌گیری‌شده را به کمتر از ۰٫۹ پریونیت کاهش دهد و هم‌زمان جریان را از آستانه راه‌اندازی بالاتر ببرد، اما آن را پایین‌تر از بیشترین جریان خطایی نگه دارد که رله ممکن است با آن مواجه شود. به این ترتیب، داده‌های دست‌کاری‌شده همچنان منطق قطع خود رله را برآورده می‌کنند.
در حملات هم‌زمان‌سازی زمانی، زاویه فاز جریان و ولتاژ تغییر می‌کند تا واحد تشخیص جهت، خطای معکوس را رو به جلو یا خطای رو به جلو را معکوس تشخیص دهد. مقاله نمونه‌ای را نشان می‌دهد که در آن جابه‌جایی زمانی هشت میلی‌ثانیه‌ای، زاویه فاز ظاهری را از ۳۸٫۸ درجه به ۲۱۱٫۷ درجه تغییر می‌دهد. بااین‌حال، پژوهشگران تأکید می‌کنند که میزان جابه‌جایی لازم به رابطه مشخص میان ولتاژ و جریان بستگی دارد.
در حملات دست‌کاری نسبت تبدیل، نسبت ترانسفورماتور جریان با استفاده از یک ضریب تغییر محاسبه‌شده کاهش می‌یابد تا جریان عادی بار به‌اندازه‌ای بزرگ به نظر برسد که فرمان قطع صادر شود. این تغییر به‌گونه‌ای محدود می‌شود که ترانسفورماتور در شرایط بار دچار اشباع نشود و رله نیز از پاسخ‌گویی بازنماند. در حملات دست‌کاری تنظیمات رله نیز جریان راه‌اندازی کاهش می‌یابد تا جریان معمول بار به‌اشتباه جریان خطا تشخیص داده شود.
برای آموزش طبقه‌بند، گروه پژوهشی یک ریزشبکه شعاعی اصلاح‌شده با ۳۳ باس، بر اساس شبکه استاندارد IEEE، شبیه‌سازی کرد. این شبکه شامل چهار منبع تولید پراکنده با ژنراتورهای سنکرون و ۱۱ رله اضافه‌جریان جهت‌دار بود. شبیه‌سازی‌ها با استفاده از نرم‌افزارهای DigSILENT و MATLAB انجام شدند.
تحلیل دقیق بر رله R1 متمرکز بود؛ رله اصلی حفاظت در برابر خطاهای رخ‌داده در فاصله میان باس‌های ۲ و ۳. عملکرد اشتباه این رله و قطع بی‌مورد آن می‌توانست با جدا کردن هر چهار منبع تولید پراکنده از شبکه اصلی، کل ریزشبکه را از شبکه برق جدا کند. مجموعه داده آموزشی شامل ۶۶۰ حالت خطای متمایز در خط بین باس‌های ۲ و ۳ بود. این حالت‌ها شش موقعیت خطا را در فاصله ۱۵ تا ۹۰ درصد طول خط، ۱۱ مقدار مقاومت خطا از یک میلی‌اهم تا ۵۰ اهم و ۱۰ نوع خطا در بر می‌گرفتند؛ از جمله تمام ترکیب‌های خطای تک‌فاز به زمین، دوفاز، دوفاز به زمین و سه‌فاز به زمین.
در کنار این موارد، پژوهشگران ۸۰۰ سناریوی حمله را بر اساس شرایط عادی بهره‌برداری تولید کردند: ۳۵۰ مورد تزریق داده جعلی، ۳۵۰ مورد حمله هم‌زمان‌سازی زمانی، ۵۰ مورد دست‌کاری نسبت تبدیل و ۵۰ مورد دست‌کاری تنظیمات رله.
برای هر رویداد، ۲۴ ویژگی از محل نصب رله استخراج شد. این ویژگی‌ها شامل دامنه و زاویه ولتاژها و جریان‌های مؤلفه‌های توالی مثبت، منفی و صفر و همچنین همین کمیت‌ها برای ولتاژها و جریان‌های سه فاز بودند. اهمیت نسبی ویژگی‌ها با الگوریتم حداقل افزونگی و حداکثر ارتباط (mRMR) رتبه‌بندی شد.
برای مقاوم‌سازی طبقه‌بند در برابر خطاهای اندازه‌گیری، سه سطح نویز گاوسی معادل ۱۰، ۲۰ و ۳۰ درصد به داده‌ها افزوده شد و در مرحله آموزش، هم اندازه‌گیری‌های نویزی و هم داده‌های بدون نویز مورد استفاده قرار گرفتند. مجموعه داده نهایی شامل ۵٬۸۴۰ نمونه بود که هر یک ۲۴ ویژگی داشتند. از این مجموعه، ۷۰ درصد برای آموزش و ۳۰ درصد برای آزمون کنار گذاشته شد.
ابرپارامترهای مدل فقط با استفاده از بخش آموزشی و از طریق بهینه‌سازی بیزی و اعتبارسنجی متقاطع دوفولد تنظیم شدند. ترکیب برتر شامل هسته گاوسی، مقیاس هسته ۵۶۳٫۸۰۷، پارامتر جریمه یا محدودیت جعبه‌ای برابر با ۱۶٫۱۷۹۴ و استانداردسازی داده‌ها بود.
مدل SVM آموزش‌دیده در مجموعه آزمونِ دیده‌نشده به دقت کلی ۹۹٫۴ درصد دست یافت. عملکرد آن در دو دسته اصلی نیز متوازن بود: برای خطاها، دقت مثبت (precision) برابر با ۹۹٫۵ درصد و نرخ بازخوانی (recall) برابر با ۹۹٫۱ درصد بود؛ درحالی‌که برای حملات، این مقادیر به‌ترتیب به ۹۹٫۳ و ۹۹٫۶ درصد رسیدند. امتیاز F1 نیز برای خطاها ۰٫۹۹۳ و برای حملات ۰٫۹۹۴ بود.
از آنجا که تعداد نمونه‌ها در دسته‌های مختلف حمله یکسان نبود، پژوهشگران عملکرد مدل را برای زیرنوع‌های حمله نیز بررسی کردند. در مجموعه آزمون، حملات تزریق داده جعلی تک‌فاز، دست‌کاری نسبت تبدیل و دست‌کاری تنظیمات رله همگی با نرخ ۱۰۰ درصد شناسایی شدند. نرخ تشخیص حملات تزریق داده جعلی دوفاز ۹۹٫۴۴ درصد، حملات سه‌فاز ۹۸٫۲۵ درصد و حملات هم‌زمان‌سازی زمانی ۹۹٫۵۲ درصد بود. این نتایج نشان می‌دهند که معیارهای کلی عملکرد، ضعف احتمالی در شناسایی انواع کم‌تعدادتر حمله را پنهان نکرده‌اند.
در سامانه‌های حفاظتی، سرعت تصمیم‌گیری اهمیت زیادی دارد. بااین‌حال، ارقام گزارش‌شده در این پژوهش باید با توجه به دامنه اندازه‌گیری آن‌ها تفسیر شوند. طبقه‌بند SVM در محیط MATLAB برای دسته‌بندی هر بردار ویژگی به حدود ۹ میکروثانیه زمان نیاز داشت، اما این رقم فقط زمان اجرای خود مدل را نشان می‌دهد. هنگامی که دریافت اندازه‌گیری‌ها، نمونه‌برداری، استخراج ویژگی‌ها، دسترسی به حافظه و اجرای طبقه‌بند همگی در محاسبه منظور شدند، زمان پردازش کل به حدود ۶ میلی‌ثانیه رسید. به گفته پژوهشگران، این زمان در محدوده معمول عملکرد رله‌های حفاظتی دیجیتال و کمتر از بازه عملکرد معادل ۱٫۵ سیکل قرار دارد.
آموزش مدل حدود ۴۳ ثانیه طول کشید که کوتاه‌ترین زمان در میان طبقه‌بندهای مقایسه‌شده بود. در مقایسه مستقیم با مدل‌های جنگل تصادفی، بیز ساده، درخت تصمیم، نزدیک‌ترین همسایه‌ها و شبکه عصبی روی مجموعه داده یکسان، دقت، دقت مثبت، بازخوانی و امتیاز F1 مدل SVM همگی از ۹۹٫۱ درصد بیشتر بودند.
گروه پژوهشی همچنین عملکرد روش تشخیص ناهنجاری مبتنی بر تحلیل مؤلفه‌های اصلی و جنگل جداسازی (PCA-IF) را که در روش‌های اخیر حفاظت مقاوم در برابر حملات سایبری به کار رفته است، بررسی کرد. این مدل با همان مجموعه داده دوباره آموزش داده شد. هر دو روش در نمونه‌های بررسی‌شده به دقت طبقه‌بندی ۱۰۰ درصد رسیدند، اما آموزش مدل PCA-IF حدود ۱٫۶ برابر بیشتر از SVM زمان برد. زمان کل طبقه‌بندی آن نیز حدود ۱۱٫۵ میلی‌ثانیه بود؛ یعنی تقریباً دو برابر زمان ۶ میلی‌ثانیه‌ای مدل SVM.
ارزیابی تکمیلی روی ۲۰ نمونه خطا و حمله که مدل پیش‌تر با آن‌ها مواجه نشده بود، شواهد بیشتری از قابلیت تعمیم روش ارائه کرد. این نمونه‌ها با ترکیب پارامترهایی تولید شده بودند که در فرایند توسعه مدل وجود نداشتند و مدل نیز برای این آزمون دوباره آموزش داده نشد. نتایج نشان دادند که طبقه‌بند می‌تواند انواع جدید خطا، موقعیت‌ها و مقاومت‌های متفاوت خطا و سطوح تازه‌ای از دست‌کاری را در هر چهار دسته حمله شناسایی کند.
بااین‌حال، نویسندگان پژوهش محدودیت‌های نتایج را به‌صراحت بیان کرده‌اند. تمام یافته‌ها بر پایه شبیه‌سازی و روی یک سامانه آزمایشی شعاعی با منابع تولید پراکنده سنکرون به دست آمده‌اند و تحلیل دقیق نیز فقط یک رله را در بر گرفته است. بنابراین، تعمیم نتایج به ساختارهای دیگر شبکه، سامانه‌هایی با سهم غالب منابع مبتنی بر اینورتر، ریزشبکه‌های مشبک یا رله‌هایی در موقعیت‌های دیگر، به اعتبارسنجی مستقل نیاز دارد.
در این پژوهش فرض شده است که اشباع ترانسفورماتور جریان ناچیز است. همچنین، روش جبرانی پیشنهادی برای کاهش اثر اشباع پیاده‌سازی یا ارزیابی نشده است؛ ازاین‌رو، نتایج را نمی‌توان تأییدی بر عملکرد سامانه در شرایط اشباع دانست. اعوجاج هارمونیکی، آثار کوانتیزه‌سازی و دیگر نارسایی‌های حسگرها نیز در مدل‌سازی لحاظ نشده‌اند. از سوی دیگر، معماری ورودی سامانه برای مقابله با ازدست‌رفتن بسته‌های ارتباطی یا تأخیر در انتقال داده‌ها طراحی نشده است.
مدل تهدید پژوهش فقط سناریوهایی را پوشش می‌دهد که در آن‌ها حمله باعث قطع اشتباه مدار می‌شود. حملاتی که هم‌زمان با یک خطای واقعی رخ می‌دهند و نیز حملات خصمانه علیه خود مدل‌های یادگیری ماشین، خارج از دامنه بررسی بوده‌اند. همچنین، هیچ آزمایشی با سخت‌افزار در حلقه، شبیه‌سازی دیجیتال بلادرنگ یا پیاده‌سازی روی رله تجاری انجام نشده است؛ بنابراین، ارقام مربوط به زمان اجرا همچنان مبتنی بر شبیه‌سازی هستند.
به گفته نویسندگان، مراحل بعدی پژوهش شامل اعتبارسنجی در شرایط گسترده‌تر شبکه، بررسی رله‌ها و انواع حمله بیشتر، مدل‌سازی صریح اشباع ترانسفورماتور جریان و آزمایش روی پلتفرم‌های تعبیه‌شده خواهد بود تا امکان اجرای بلادرنگ سامانه از ابتدا تا انتها ارزیابی شود.
مشخصات پژوهش
موضوع پژوهش: چارچوب تشخیص حملات سایبری مبتنی بر ماشین بردار پشتیبان برای حفاظت رله‌های اضافه‌جریان جهت‌دار در ریزشبکه‌ها.
عنوان مقاله: چارچوبی مبتنی بر یادگیری ماشین برای حفاظت اضافه‌جریان جهت‌دار مقاوم در برابر حملات سایبری در ریزشبکه‌ها.
ارجاع مقاله: Sheta, A. N., Elgamal, M. M., Eladl, A. A., Bureš, V., & Sedhom, B. E. (2026). A machine learning framework for cyber-resilient directional overcurrent protection in microgrids. Results in Engineering, 32, Article 113735. https://doi.org/10.1016/j.rineng.2026.113735.
شناسه دیجیتال مقاله (DOI): 10.1016/j.rineng.2026.113735.
کلیدواژه‌ها: ریزشبکه‌ها، رله‌های اضافه‌جریان جهت‌دار، حملات سایبری، یادگیری ماشین، ماشین بردار پشتیبان، تزریق داده جعلی، حملات هم‌زمان‌سازی زمانی، نسبت تبدیل ترانسفورماتور جریان، تنظیمات رله، شبکه ۳۳ باس IEEE، هماهنگی حفاظت، شبیه‌سازی.