大家读完觉得有帮助记得关注和点赞摘要分布式能源资源DER的快速增长显著扩大了现代电网的网络攻击面。此外攻击技术的日益复杂化要求异常检测系统ADS准确、可解释且可靠以支持DER网络安全。虽然基于机器学习的ADS提供了强大的检测能力但其“黑箱”性质降低了操作员信任并限制了安全运营中心SOC有效解释告警和响应的能力这凸显了对可解释人工智能XAI的需求以确保透明性和操作信心。本文提出了一种面向DER网络的基于XAI的异常检测框架ExCYDER。所提框架使用自验证机制来验证ADS告警以确保可信决策。ExCYDER将LightGBM与SHAP相结合检查每个模型决策是否与其特征归因证据一致使系统能够确认其内部推理一致且可靠。在真实DNP3数据集上的实验实现了超过98%的检测准确率、平均规则–SHAP一致性44.6%、每次告警的SHAP延迟14.5毫秒以及±5%以内的置信度偏差展示了稳定的验证行为和最小的计算开销。该框架在不损害检测准确率的情况下区分了一致和不一致的告警表明基于XAI的ADS中的集成验证增强了面向DER的SOC的可解释性、可审计性和操作稳健性。索引词分布式能源资源可解释人工智能机器学习异常检测安全运营中心1 引言现代电网中的分布式能源资源DER改变了能源格局实现了可再生能源的更大整合、增强的电网灵活性和提高的能源效率[1]。然而这种转变同时引入了前所未有的网络安全挑战威胁关键能源基础设施的稳定性、可靠性和安全性[2]。随着DER系统日益互联它们呈现出扩大的攻击面恶意行为者可利用其破坏电网运营[3]。依赖固定、基于边界的防御的传统安全方法对现代自适应网络威胁越来越无效。尽管基于人工智能AI、机器学习ML和深度学习DL的异常检测系统ADS提供了强大的实时检测能力[4]但其在关键基础设施中的部署受到许多模型固有“黑箱”行为的阻碍[5]。这种不透明性造成了信任赤字因为安全运营中心SOC分析师需要清晰、可证明的安全决策解释。认识到这一差距可解释人工智能XAI领域应运而生以解决AI模型的可解释性问题[6]但仅仅可解释是不够的。真正的可靠性和可解释性不仅需要解释还需要对该解释进行验证。考虑到DER网络的关键性质本文提出了一种基于XAI的ADS框架用于增强DER网络的网络安全ExCYDER。本工作的主要贡献如下(1) 开发基于集成学习的ADS并具有可解释性机制为DER SOC环境量身定制可解释且可靠的网络安全分析(2) 开发一种可解释性驱动的验证过程通过规则–特征一致性分析验证模型决策增强SOC级异常调查的透明性、信心和可审计性(3) 使用真实DER数据集对ExCYDER进行基于测试平台的实时评估以展示其检测准确率、验证稳定性和可解释性性能。本文其余部分组织如下。第二节提供DER通信和网络安全挑战的背景。第三节回顾异常检测和可解释AI的相关工作。第四节介绍所提出的ExCYDER方法包括边云工作流、可解释性机制和验证逻辑。第五节描述实验设置、性能指标和评估结果。最后第六节总结论文并概述未来工作方向。图1ExCYDER工作流从基于边缘的异常检测和告警聚合到云级验证、关联和可视化2 DER网络安全背景2-A DER通信架构本工作中的DER通信结构采用我们早期框架CySIDER [7]中描述的三层DER架构。它包括(1) DER客户端和设备如太阳能光伏、电池系统和电动汽车用于调节本地发电和存储(2) 边缘智能层通过边缘智能设备EID托管异常检测和安全遥测交换(3) 公用事业和聚合器层通过DER管理系统DERMS协调分布式资产并管理电网交互。标准化通信协议例如DNP3、Modbus、IEC 61850、IEEE 2030.5实现了异构设备之间的互操作性但受限于薄弱或缺失的身份验证和加密机制。2-B 网络安全挑战如[7]中详述DER资产日益增长的数字互联显著扩大了电网的攻击面。DNP3和SunSpec Modbus等协议最初设计时没有内置密码学保障使现场设备包括智能逆变器、EID和供应商网关暴露于重放、欺骗、拒绝服务 and 数据操纵等威胁。这些漏洞加上碎片化的告警流和不透明的ML模型阻碍了SOC内的及时检测和验证。因此现代DER网络安全需要可解释、可验证且与SOC集成的异常检测框架如ExCYDER以确保分布式电力网络中的推理透明性、事件可追溯性和操作韧性。2-C 基于ML的异常检测对可解释性的需求DER网络越来越需要透明的异常检测模型而非传统的“黑箱”方法。尽管DL和集成方法实现了高准确率但其不透明性限制了操作员信任并减缓了事件响应。XAI通过揭示每个预测背后的特征并支持调试和可审计性来提高信心[5, 6]。然而事后解释可能与模型行为不一致或错位降低其在高风险环境中的可靠性。这促使我们需要不仅解释模型输出而且验证这些解释的一致性和可靠性的方法。2-D 相关工作电力系统中的传统异常检测依赖于统计模型和基于阈值的告警这些方法往往无法应对现代DER网络的复杂性和高维数据流。近期研究转向ML和DL技术这些技术在识别微妙攻击模式方面具有优越能力。例如集成方法和神经网络已被探索用于检测智能电网环境中的数据注入和拒绝服务攻击[8, 9]。虽然这些模型实现了高检测准确率但其“黑箱”性质对SOC分析师构成了关键挑战他们需要清晰、可证明的证据来实时分诊和响应告警。XAI领域应运而生以弥合高模型性能与可解释性之间的差距。在网络安全背景下XAI增强了透明性促进了信任并促进了人类分析师与AI工具之间的协作[10, 11]。LIME和SHAP等XAI方法已应用于能源系统以提高模型透明性[12, 13]。这些技术帮助分析师理解模型预测并调试异常行为。近期研究还强调了从以人为中心的角度解释电网异常的重要性[14]。然而这些XAI应用仅提供事后解释并不验证模型推理的内部一致性。这限制了它们在需要快速可靠解释的SOC环境中的实用性。3 所提方法为解决现有可解释异常检测方法中发现的局限本工作提出ExCYDER框架旨在支持DER特定的SOC操作如图1所示。ExCYDER将基于集成的异常检测与自验证可解释性机制相结合通过一致性分析在内部验证每个模型决策。该框架在两个层级上运行(1) 边缘智能层在DER设备附近执行实时异常检测和告警生成(2) 云智能层聚合、验证和可视化告警以支持分析师解释和态势情报。3-A 基于ML的异常检测在边缘智能层ExCYDER采用[15]中开发的基于ML的ADS框架。所采用的ML ADS流水线执行系统化数据预处理包括分类变量的标签编码、去除冗余或低方差属性的特征选择以及使用最小–最大缩放进行归一化随后通过合成少数类过采样技术SMOTE进行数据集平衡。平衡后的数据集然后按70%训练和30%测试子集划分用于模型评估。3-B 使用SHAP和决策规则的模型可解释性ExCYDER的可解释性来源于模型决策规则和SHapley加性解释SHAP的结合使用。从LightGBM模型提取的决策规则捕获导致每个预测的逻辑路径而SHAP量化每个特征对该决策的贡献。两者共同代表模型的决策逻辑和支持证据。这两个组件之间的一致性构成了ExCYDER验证过程的基础使系统能够评估模型解释在多大程度上一致地反映其内部决策逻辑。3-C 云级验证在云层ExCYDER通过交叉检查模型的基于规则的决策路径与相应的SHAP特征归因来验证每个聚合告警。这确定模型的解释证据是否与其内部决策逻辑主张一致在告警呈现到SOC仪表板之前为每个告警产生一致性分数。验证过程采用受近期关于解释保真度和忠实度研究启发的多项一致性度量[16]。该度量集成三个组件重叠O、方向D和覆盖C它们共同衡量决策规则与SHAP归因之间的一致性。重叠捕获决策路径与top-K SHAP特征之间的共享特征方向检查SHAP贡献是否遵循与规则不等式相同的因果趋势覆盖量化共享特征所解释的SHAP重要性。这些项形成一个统一的一致性分数针对SOC级可解释性进行优化。如图2所示系统执行规则提取、SHAP归因、一致性计算和置信度混合。满足验证阈值θ的告警标记为已验证其他标记为未验证以供分析师进一步审查。图2ExCYDER用于可解释性驱动告警验证的工作流图3实验设置显示DER设备、边缘设备和云分析层之间的通信4 实验评估4-A 实验设置图3展示了实验设置它模拟了面向DER网络的分布式SOC网络安全环境。三个虚拟DER设备在Apple M4系统16 GB RAMmacOS 15.5上用Python 3.13实现每个设备实时向ExCYDER的边缘异常检测模块回放带标签的DNP3流量。边缘层执行本地推理并将告警聚合为JSON批次每60秒传输到云[17]。云以相同间隔处理每个批次用于验证和可视化提供近实时态势感知而无需过高的更新频率。已验证告警显示在SOC仪表板上包括其分类、调整后的置信度值和一致性分数以支持分析师决策。表I性能评估指标指标描述/公式(a) 验证和可解释性指标验证成功率%一致性超过阈值θ的告警比例反映推理对齐。验证失败率%在θ50%时未通过验证阈值的告警比例表示未验证或低一致性告警。平均一致性%所有告警的平均规则–SHAP一致性衡量可解释性和模型连贯性。置信度偏差%基线和验证后置信度之间的平均差异量化验证稳定性。平均SHAP时间msSHAP特征归因的平均计算时间表示可解释性开销。(b) 系统性能指标摄取延迟s告警批次创建与可视化之间的延迟端到端数据传输效率。重运行间隔s仪表板刷新周期之间的时间确保与60秒验证计划对齐。CPU利用率%每次刷新的处理器负载高于70%表示繁重计算开销。RSS内存MBStreamlit进程的常驻内存占用跟踪内存使用。I/O globs列出目录中所有JSON批次文件所花费的时间衡量磁盘或网络延迟。I/O reads打开和读取最新JSON文件的时间。JSON解析s将JSON内容反序列化为Python对象的时间反映数据量和解析成本。图4上LightGBM的全局SHAP摘要图显示跨告警类别的特征重要性。下DoS的决策规则路径说明共享分类逻辑4-B DER数据集本工作使用爱荷华州立大学DER DNP3数据集[18]该数据集提供从DER网络环境收集的带标签DNP3通信记录。数据集定义了六个流量类别捕获DER通信中的正常操作和代表性网络攻击良性流量、拒绝服务、远程终端攻击、扫描攻击、DNP3隐蔽攻击和重放攻击。这些标签通过区分常规行为和恶意活动为异常检测系统的监督训练和评估提供了可靠基础。4-C 结果与讨论评估聚焦于在面向SOC的模拟环境中验证ExCYDER的异常检测性能、解释保真度和验证一致性。在7分钟间隔内共模拟了250个DER通信样本生成121个恶意事件包括DNP3隐蔽、拒绝服务DoS和重放攻击场景这是[19]中记录的三个主要逆变器层漏洞。这些事件使用60秒边缘批处理间隔聚合为七个JSON批次。每个批次由ExCYDER的云级验证引擎处理其中基于规则的决策路径和SHAP特征归因在被可视化到SOC仪表板供分析师解释之前进行交叉验证。机器学习检测性能如我们早期工作[7]所确立基于ML的ADS在DER通信流量上展示了高检测可靠性。该评估使用标准分类指标评估了LightGBM、XGBoost和随机森林包括精确率在所有预测攻击中正确识别攻击、召回率在所有实际攻击中正确检测攻击、F1分数精确率和召回率的调和平衡和假阴性率漏报攻击。LightGBM取得了最强性能精确率、召回率和F1分数均超过99%假阴性率最低为0.51%表明漏报攻击最少且良性和恶意流量清晰分离。XGBoost和随机森林紧随其后假阴性率分别为0.88%和5.10%。基于这些验证结果LightGBM被采用为ExCYDER中的操作异常检测器。可解释性分析图4展示了所有告警类别中特征贡献的全局SHAP摘要以及DoS攻击的决策路径。FWD Init Win Bytes、Dst Port和Bwd Packets/s等属性是塑造模型决策的最有影响力特征反映了它们与协议级活动的高相关性。决策路径说明了这些特征中的特定阈值如何导致DoS事件的分类。这些见解确认模型捕获了有意义的流量行为而不是依赖虚假相关性从而提高了可解释性。验证结果一致性分数因模型决策路径和特征归因的差异而在告警之间变化但总体平均值保持44.6%表明规则驱动推理和SHAP归因之间中等对齐。总体而言验证模块实现了54.5%的成功率低于50%阈值的告警被过滤为未验证45.5%。置信度偏差保持在±5%以内确认验证保留了分类器可靠性。平均SHAP计算时间为每个告警14.5毫秒证明了可解释性在近实时SOC环境中的可行性。操作稳定性在连续运行期间系统指标确认了仪表板的响应性和计算效率。平均摄取延迟保持在10秒以下重运行间隔与60秒聚合周期同步。CPU利用率保持在70%以下常驻内存RSS保持在900 MB以下确认了ExCYDER验证循环的轻量性。这些指标验证了该框架适合连续SOC操作而不会性能退化。5 结论结果表明ExCYDER有效地将高准确率ML检测与面向DER的SOC环境的可解释且可验证推理相结合。通过结合基于规则的推理、SHAP特征归因和一致性驱动验证该框架将事后解释转化为可操作且可审计的情报。这种内部验证机制还减少了冗余或低置信度告警支持透明分诊并增强了分析师对自动决策支持的信任。未来工作包括(1) 在操作DER网络中实时部署ExCYDER以评估生产条件下的性能、延迟和可扩展性(2) 开发交互式界面将操作员专业知识与AI驱动见解相结合改善SOC决策和威胁情报的人–AI协作。 
长河君 · 2026/10/20 2:02:22 · 阅读 1.2k AI实现DER网络网络安全的自验证异常检测
大家读完觉得有帮助记得关注和点赞摘要分布式能源资源DER的快速增长显著扩大了现代电网的网络攻击面。此外攻击技术的日益复杂化要求异常检测系统ADS准确、可解释且可靠以支持DER网络安全。虽然基于机器学习的ADS提供了强大的检测能力但其“黑箱”性质降低了操作员信任并限制了安全运营中心SOC有效解释告警和响应的能力这凸显了对可解释人工智能XAI的需求以确保透明性和操作信心。本文提出了一种面向DER网络的基于XAI的异常检测框架ExCYDER。所提框架使用自验证机制来验证ADS告警以确保可信决策。ExCYDER将LightGBM与SHAP相结合检查每个模型决策是否与其特征归因证据一致使系统能够确认其内部推理一致且可靠。在真实DNP3数据集上的实验实现了超过98%的检测准确率、平均规则–SHAP一致性44.6%、每次告警的SHAP延迟14.5毫秒以及±5%以内的置信度偏差展示了稳定的验证行为和最小的计算开销。该框架在不损害检测准确率的情况下区分了一致和不一致的告警表明基于XAI的ADS中的集成验证增强了面向DER的SOC的可解释性、可审计性和操作稳健性。索引词分布式能源资源可解释人工智能机器学习异常检测安全运营中心1 引言现代电网中的分布式能源资源DER改变了能源格局实现了可再生能源的更大整合、增强的电网灵活性和提高的能源效率[1]。然而这种转变同时引入了前所未有的网络安全挑战威胁关键能源基础设施的稳定性、可靠性和安全性[2]。随着DER系统日益互联它们呈现出扩大的攻击面恶意行为者可利用其破坏电网运营[3]。依赖固定、基于边界的防御的传统安全方法对现代自适应网络威胁越来越无效。尽管基于人工智能AI、机器学习ML和深度学习DL的异常检测系统ADS提供了强大的实时检测能力[4]但其在关键基础设施中的部署受到许多模型固有“黑箱”行为的阻碍[5]。这种不透明性造成了信任赤字因为安全运营中心SOC分析师需要清晰、可证明的安全决策解释。认识到这一差距可解释人工智能XAI领域应运而生以解决AI模型的可解释性问题[6]但仅仅可解释是不够的。真正的可靠性和可解释性不仅需要解释还需要对该解释进行验证。考虑到DER网络的关键性质本文提出了一种基于XAI的ADS框架用于增强DER网络的网络安全ExCYDER。本工作的主要贡献如下(1) 开发基于集成学习的ADS并具有可解释性机制为DER SOC环境量身定制可解释且可靠的网络安全分析(2) 开发一种可解释性驱动的验证过程通过规则–特征一致性分析验证模型决策增强SOC级异常调查的透明性、信心和可审计性(3) 使用真实DER数据集对ExCYDER进行基于测试平台的实时评估以展示其检测准确率、验证稳定性和可解释性性能。本文其余部分组织如下。第二节提供DER通信和网络安全挑战的背景。第三节回顾异常检测和可解释AI的相关工作。第四节介绍所提出的ExCYDER方法包括边云工作流、可解释性机制和验证逻辑。第五节描述实验设置、性能指标和评估结果。最后第六节总结论文并概述未来工作方向。图1ExCYDER工作流从基于边缘的异常检测和告警聚合到云级验证、关联和可视化2 DER网络安全背景2-A DER通信架构本工作中的DER通信结构采用我们早期框架CySIDER [7]中描述的三层DER架构。它包括(1) DER客户端和设备如太阳能光伏、电池系统和电动汽车用于调节本地发电和存储(2) 边缘智能层通过边缘智能设备EID托管异常检测和安全遥测交换(3) 公用事业和聚合器层通过DER管理系统DERMS协调分布式资产并管理电网交互。标准化通信协议例如DNP3、Modbus、IEC 61850、IEEE 2030.5实现了异构设备之间的互操作性但受限于薄弱或缺失的身份验证和加密机制。2-B 网络安全挑战如[7]中详述DER资产日益增长的数字互联显著扩大了电网的攻击面。DNP3和SunSpec Modbus等协议最初设计时没有内置密码学保障使现场设备包括智能逆变器、EID和供应商网关暴露于重放、欺骗、拒绝服务 and 数据操纵等威胁。这些漏洞加上碎片化的告警流和不透明的ML模型阻碍了SOC内的及时检测和验证。因此现代DER网络安全需要可解释、可验证且与SOC集成的异常检测框架如ExCYDER以确保分布式电力网络中的推理透明性、事件可追溯性和操作韧性。2-C 基于ML的异常检测对可解释性的需求DER网络越来越需要透明的异常检测模型而非传统的“黑箱”方法。尽管DL和集成方法实现了高准确率但其不透明性限制了操作员信任并减缓了事件响应。XAI通过揭示每个预测背后的特征并支持调试和可审计性来提高信心[5, 6]。然而事后解释可能与模型行为不一致或错位降低其在高风险环境中的可靠性。这促使我们需要不仅解释模型输出而且验证这些解释的一致性和可靠性的方法。2-D 相关工作电力系统中的传统异常检测依赖于统计模型和基于阈值的告警这些方法往往无法应对现代DER网络的复杂性和高维数据流。近期研究转向ML和DL技术这些技术在识别微妙攻击模式方面具有优越能力。例如集成方法和神经网络已被探索用于检测智能电网环境中的数据注入和拒绝服务攻击[8, 9]。虽然这些模型实现了高检测准确率但其“黑箱”性质对SOC分析师构成了关键挑战他们需要清晰、可证明的证据来实时分诊和响应告警。XAI领域应运而生以弥合高模型性能与可解释性之间的差距。在网络安全背景下XAI增强了透明性促进了信任并促进了人类分析师与AI工具之间的协作[10, 11]。LIME和SHAP等XAI方法已应用于能源系统以提高模型透明性[12, 13]。这些技术帮助分析师理解模型预测并调试异常行为。近期研究还强调了从以人为中心的角度解释电网异常的重要性[14]。然而这些XAI应用仅提供事后解释并不验证模型推理的内部一致性。这限制了它们在需要快速可靠解释的SOC环境中的实用性。3 所提方法为解决现有可解释异常检测方法中发现的局限本工作提出ExCYDER框架旨在支持DER特定的SOC操作如图1所示。ExCYDER将基于集成的异常检测与自验证可解释性机制相结合通过一致性分析在内部验证每个模型决策。该框架在两个层级上运行(1) 边缘智能层在DER设备附近执行实时异常检测和告警生成(2) 云智能层聚合、验证和可视化告警以支持分析师解释和态势情报。3-A 基于ML的异常检测在边缘智能层ExCYDER采用[15]中开发的基于ML的ADS框架。所采用的ML ADS流水线执行系统化数据预处理包括分类变量的标签编码、去除冗余或低方差属性的特征选择以及使用最小–最大缩放进行归一化随后通过合成少数类过采样技术SMOTE进行数据集平衡。平衡后的数据集然后按70%训练和30%测试子集划分用于模型评估。3-B 使用SHAP和决策规则的模型可解释性ExCYDER的可解释性来源于模型决策规则和SHapley加性解释SHAP的结合使用。从LightGBM模型提取的决策规则捕获导致每个预测的逻辑路径而SHAP量化每个特征对该决策的贡献。两者共同代表模型的决策逻辑和支持证据。这两个组件之间的一致性构成了ExCYDER验证过程的基础使系统能够评估模型解释在多大程度上一致地反映其内部决策逻辑。3-C 云级验证在云层ExCYDER通过交叉检查模型的基于规则的决策路径与相应的SHAP特征归因来验证每个聚合告警。这确定模型的解释证据是否与其内部决策逻辑主张一致在告警呈现到SOC仪表板之前为每个告警产生一致性分数。验证过程采用受近期关于解释保真度和忠实度研究启发的多项一致性度量[16]。该度量集成三个组件重叠O、方向D和覆盖C它们共同衡量决策规则与SHAP归因之间的一致性。重叠捕获决策路径与top-K SHAP特征之间的共享特征方向检查SHAP贡献是否遵循与规则不等式相同的因果趋势覆盖量化共享特征所解释的SHAP重要性。这些项形成一个统一的一致性分数针对SOC级可解释性进行优化。如图2所示系统执行规则提取、SHAP归因、一致性计算和置信度混合。满足验证阈值θ的告警标记为已验证其他标记为未验证以供分析师进一步审查。图2ExCYDER用于可解释性驱动告警验证的工作流图3实验设置显示DER设备、边缘设备和云分析层之间的通信4 实验评估4-A 实验设置图3展示了实验设置它模拟了面向DER网络的分布式SOC网络安全环境。三个虚拟DER设备在Apple M4系统16 GB RAMmacOS 15.5上用Python 3.13实现每个设备实时向ExCYDER的边缘异常检测模块回放带标签的DNP3流量。边缘层执行本地推理并将告警聚合为JSON批次每60秒传输到云[17]。云以相同间隔处理每个批次用于验证和可视化提供近实时态势感知而无需过高的更新频率。已验证告警显示在SOC仪表板上包括其分类、调整后的置信度值和一致性分数以支持分析师决策。表I性能评估指标指标描述/公式(a) 验证和可解释性指标验证成功率%一致性超过阈值θ的告警比例反映推理对齐。验证失败率%在θ50%时未通过验证阈值的告警比例表示未验证或低一致性告警。平均一致性%所有告警的平均规则–SHAP一致性衡量可解释性和模型连贯性。置信度偏差%基线和验证后置信度之间的平均差异量化验证稳定性。平均SHAP时间msSHAP特征归因的平均计算时间表示可解释性开销。(b) 系统性能指标摄取延迟s告警批次创建与可视化之间的延迟端到端数据传输效率。重运行间隔s仪表板刷新周期之间的时间确保与60秒验证计划对齐。CPU利用率%每次刷新的处理器负载高于70%表示繁重计算开销。RSS内存MBStreamlit进程的常驻内存占用跟踪内存使用。I/O globs列出目录中所有JSON批次文件所花费的时间衡量磁盘或网络延迟。I/O reads打开和读取最新JSON文件的时间。JSON解析s将JSON内容反序列化为Python对象的时间反映数据量和解析成本。图4上LightGBM的全局SHAP摘要图显示跨告警类别的特征重要性。下DoS的决策规则路径说明共享分类逻辑4-B DER数据集本工作使用爱荷华州立大学DER DNP3数据集[18]该数据集提供从DER网络环境收集的带标签DNP3通信记录。数据集定义了六个流量类别捕获DER通信中的正常操作和代表性网络攻击良性流量、拒绝服务、远程终端攻击、扫描攻击、DNP3隐蔽攻击和重放攻击。这些标签通过区分常规行为和恶意活动为异常检测系统的监督训练和评估提供了可靠基础。4-C 结果与讨论评估聚焦于在面向SOC的模拟环境中验证ExCYDER的异常检测性能、解释保真度和验证一致性。在7分钟间隔内共模拟了250个DER通信样本生成121个恶意事件包括DNP3隐蔽、拒绝服务DoS和重放攻击场景这是[19]中记录的三个主要逆变器层漏洞。这些事件使用60秒边缘批处理间隔聚合为七个JSON批次。每个批次由ExCYDER的云级验证引擎处理其中基于规则的决策路径和SHAP特征归因在被可视化到SOC仪表板供分析师解释之前进行交叉验证。机器学习检测性能如我们早期工作[7]所确立基于ML的ADS在DER通信流量上展示了高检测可靠性。该评估使用标准分类指标评估了LightGBM、XGBoost和随机森林包括精确率在所有预测攻击中正确识别攻击、召回率在所有实际攻击中正确检测攻击、F1分数精确率和召回率的调和平衡和假阴性率漏报攻击。LightGBM取得了最强性能精确率、召回率和F1分数均超过99%假阴性率最低为0.51%表明漏报攻击最少且良性和恶意流量清晰分离。XGBoost和随机森林紧随其后假阴性率分别为0.88%和5.10%。基于这些验证结果LightGBM被采用为ExCYDER中的操作异常检测器。可解释性分析图4展示了所有告警类别中特征贡献的全局SHAP摘要以及DoS攻击的决策路径。FWD Init Win Bytes、Dst Port和Bwd Packets/s等属性是塑造模型决策的最有影响力特征反映了它们与协议级活动的高相关性。决策路径说明了这些特征中的特定阈值如何导致DoS事件的分类。这些见解确认模型捕获了有意义的流量行为而不是依赖虚假相关性从而提高了可解释性。验证结果一致性分数因模型决策路径和特征归因的差异而在告警之间变化但总体平均值保持44.6%表明规则驱动推理和SHAP归因之间中等对齐。总体而言验证模块实现了54.5%的成功率低于50%阈值的告警被过滤为未验证45.5%。置信度偏差保持在±5%以内确认验证保留了分类器可靠性。平均SHAP计算时间为每个告警14.5毫秒证明了可解释性在近实时SOC环境中的可行性。操作稳定性在连续运行期间系统指标确认了仪表板的响应性和计算效率。平均摄取延迟保持在10秒以下重运行间隔与60秒聚合周期同步。CPU利用率保持在70%以下常驻内存RSS保持在900 MB以下确认了ExCYDER验证循环的轻量性。这些指标验证了该框架适合连续SOC操作而不会性能退化。5 结论结果表明ExCYDER有效地将高准确率ML检测与面向DER的SOC环境的可解释且可验证推理相结合。通过结合基于规则的推理、SHAP特征归因和一致性驱动验证该框架将事后解释转化为可操作且可审计的情报。这种内部验证机制还减少了冗余或低置信度告警支持透明分诊并增强了分析师对自动决策支持的信任。未来工作包括(1) 在操作DER网络中实时部署ExCYDER以评估生产条件下的性能、延迟和可扩展性(2) 开发交互式界面将操作员专业知识与AI驱动见解相结合改善SOC决策和威胁情报的人–AI协作。