基于神经形态时序嵌入与混合 SNN-XGBoost 的工业信息物理系统鲁棒分类：面向机器遗忘攻击

电网入侵检测要在边缘完成多类攻击分类，同时避免周期性重训时的 machine unlearning 把检测性能拉低。

• 场景与重要性：作者称配电网接入 IED、RTU、PMU 后，信息层与通信层都可被攻击。虚假数据注入（FDI）改测量、基于 GPS 欺骗的时间同步攻击（TSA）改同步信息，IEC 61850/GOOSE 上还可注入、重放或篡改报文。检测系统不仅要判断是否被攻击，还要分类攻击类型，并且要低开销、低时延、靠近现场，同时处理连续电气量与协议流量。
• 现有方法不足：规则与签名方法要预先写明攻击行为；基于模型的方法依赖电网模型的可用性与保真度，并受建模不确定性和工况变化影响。数据驱动与深度模型（卷积、循环、图网络）减轻了对人工签名和精细物理模型的依赖，但计算与存储需求限制低时延、资源受限部署。已有 SNN 工作主要看检测性能、网络结构或能效，对训练期数据操纵（恶意 machine unlearning）的韧性作者称基本未被研究。
• 核心观察：膜电位嵌入编码电压、电流的时间动态，作者认为这种物理结构对标签腐蚀不变。把表示学习与分类器更新拆开后，Stage 2 的标签污染只能移动嵌入空间里的决策边界，不能改变嵌入几何。
• 本文提出什么：混合 SNN+XGBoost。SNN 在系统投运时用已核验干净数据训练一次并冻结，只周期性重训 XGBoost。作者还给出把冻结特征提取器与周期更新分类器分开的部署结构，并在两个真实公开电网数据集上同时评测检测精度与 unlearning 韧性。
• 威胁模型：
  • 目标：对手选定类别 c*，使重训后模型对该类的 recall 明显下降，同时其他指标仍保持合理，从而难以靠常规监控发现。
  • 知识与入口：采用 Paphitis et al. 的模型。对手进入训练数据管道，在周期性重训时让 IDS“忘掉”目标攻击签名。论文未把该设定写成 white-box、black-box 或 gray-box。
  • 能力：从属于 c* 的样本中取比例 α∈[0,1]，把选中样本的标签均匀随机换成 {1,…,C}{c*} 中的标签，得到污染集 D̃ 后再重训。本文中只有 XGBoost 看到这些标签；SNN 参数在干净数据上冻结。
  • 受害系统：面向电网的入侵检测，输入为 PMU 测量（Synchrophasor 与 MSU/ORNL）。Fig. 1 把受害流程画成对训练标签做选择性翻转，类别涉及 Attack、Natural、NoEvent。

作者在 Section II 把相关工作分成三组，并用 Table I 按八个维度对照。

Machine unlearning 与训练期投毒

• 隐私向遗忘与攻击化：Bourtoule et al. (2021) 等把 machine unlearning 作为隐私保留的数据删除，目标是去掉特定训练样本的影响。Paphitis et al. (2026) 把它改成对智能电网机器学习系统的攻击：对手进入训练管道，选择性重标目标类的一定比例；IDS 周期重训后“忘掉”该攻击签名。
• Paphitis et al. 的结果：作者转述，10–20% 标签腐蚀就会明显降低目标类检测，而总体准确率大体不受影响，因而常规监控难以发现。其评测用 Random Forest、SVM、Neural Networks，数据为 IEEE 118-bus。作者称他们的结论是没有模型表现出结构性韧性。
• 相邻威胁：训练数据投毒（Biggio et al., 2012）、后门攻击与模型反演被并列提及。作者认为 machine unlearning 的区别在于专门针对周期性重训，利用的是模型必须更新这一运行需要。

用于入侵检测的 SNN

• 电网二分类：Hood et al. (2024) 的 SNNPG 在合成数据上做二分类 FDI 检测；Hamedani et al. (2019) 用储备计算检测动态 FDI。作者称二者都限于仿真数据上的二分类，样本少于 2,000。
• 通用网络 IDS：Patel et al. (2026) 在标准数据集上评测 27 种 SNN 配置，发现编码选择比结构选择更主导；Mia et al. (2025) 用 STDP 做持续学习以适应 IDS。作者称此前没有 SNN-IDS 工作考虑对训练数据操纵的对抗鲁棒性。
• 混合结构：把神经特征提取器与树分类器结合的混合结构曾用于表格数据，论文只作描述，未单独批评。

IDS 的对抗鲁棒与对照表

• 推理期防御：对抗鲁棒研究集中在规避攻击（推理期对抗样本）与可认证鲁棒，防御包括对抗训练、集成和输入预处理。作者称这些方法针对推理期操纵，不处理训练期数据投毒。随机平滑与 Lipschitz 有界网络被用来说明“用结构性质提供鲁棒”这一想法，作者称把该想法延伸到神经形态结构。
• Table I 点名的电网深度学习：Boyaci et al. (2021)、Niu et al. (2019) 使用时间特征但端到端训练，作者称因此完全暴露于标签腐蚀。Lozano et al. (2026)、Herath et al. (2025) 出现在常规 DL/ML 行。Apruzzese et al. (2022) 评测的是规避攻击，Cohen et al. (2019) 为可认证鲁棒。

基线与数据集：实验基线为 MLP、LSTM、1D-CNN、GNN、Random Forest、XGBoost 与 Rule-Based Detector（Table VI）。评测数据集为 Synchrophasor Cyberattack Dataset 与 MSU/ORNL Power System Attack Dataset（Table II）。Table I 中 Patel、Mia 使用的是通用网络 IDS 数据（NSL-KDD、UNSW-NB15），不是电网数据。

作者把本文定位为：神经形态时间特征、与周期重训隔离的特征提取器，以及在 Paphitis et al. 攻击模型下的显式鲁棒评测三者同时具备。Table I 标注 “Ours (2026)” 在 SNN/神经形态、真实数据、多类、时间特征、分离提取器、投毒/MU 评测、电网、周期重训八列均为 ✓，并写 “Our work is the only approach combining…”。

整体是两阶段分解：Stage 1 在核验干净数据上得到冻结特征提取器 g_ϕ，Stage 2 只更新分类器 f_θ。作者把模型写成 M = f_θ ∘ g_ϕ。端到端时 ϕ 与 θ 一起最小化交叉熵，标签被改成 ỹ 后梯度会同时扭曲表示与决策边界。分离后，Stage 2 只能在固定嵌入上移动边界。

问题设定与形式化

• 两阶段目标：Stage 1 只在干净集 D0 上最小化 L_SNN，得到 ϕ* 后冻结；Stage 2 在可能被污染的标签 ỹ 上最小化 L_XGB，特征仍用 g_ϕ*。作者称关键在于嵌入几何由电力系统动态决定，而不是由训练标签决定。
• 攻击形式：对目标类 c*，抽比例 α 的样本，标签换成除 c* 外的均匀随机类（式 (4)）。攻击成功的判据是重训后 c* 的 recall 明显下降，其他指标仍合理。
• 部署流程：Algorithm 1 要求用 D_clean 训练 Direct-SNN，提取嵌入后冻结 θ_SNN，签名以便篡改检测；此后每个重训周期用固定 SNN 编码新数据 D_new，只在 (E_new, ỹ) 上重训 XGBoost。

LIF、替代梯度与预处理

• LIF：膜电位按 U[t] = β·U[t−1] + W·I[t] − S[t−1]·U_thr 更新，超过阈值则发放。全文使用 β = 0.85。作者给出有效时间常数 τ = −1/ln(β) ≈ 6.1 个时间步，并称 T = 15 约相当于 2.4 个膜时间常数。
• 替代梯度：前向保留离散脉冲，反向用 fast sigmoid 近似，k = 25，从而对全部时间步做 BPTT，直接优化交叉熵。作者对比进化方法随网络规模变差、STDP 只优化局部突触目标，称替代梯度 BPTT 同时保留脉冲计算与可扩展训练。
• 预处理：按训练集统计做 Min-Max，把特征映到 [0,1]，ϵ = 10^−8。MSU/ORNL 用互信息从 128 维选到 d = 50；作者称保留电压幅值、频率和 ROCOF，丢掉冗余相角组合，并称 MI 优于相关性和 PCA，因为保留特征身份、面向类别而非只最大化方差。滑窗 T = 15、步长 1，窗口标签取最后一拍。

Direct-SNN 与膜电位嵌入

• 直接注入：不做速率、时延或 delta 脉冲编码，把归一化特征当作每个时间步的连续输入电流，经 BatchNorm 后进入 LIF。作者称传统脉冲编码对平坦的电力系统特征构成信息瓶颈，且会破坏幅值；直接注入保留连续值，使细小幅值差产生不同膜电位轨迹。
• 网络：三隐层 [256, 128, 64]，每层前 BatchNorm，dropout p = 0.2，输出侧为 Linear(3)→LIF。参数量 44,803。训练：学习率 5×10^−4，batch 256，50 epoch，Adam，类别加权交叉熵，snnTorch 替代梯度。
• 嵌入：每层记录膜电位轨迹，取 max、mean 与最后一拍 U[T]，再拼上输出层对应量，得到 1,350 维。作者按 256+128+64 再加 3 类输出、三种统计来解释该维度。Fig. 1 还写对 θ_SNN 做 SHA-256 签名，哈希放在变电站硬件安全模块，每次推理前做篡改检测。

XGBoost 与作者给出的抗毒机制

• 分类器配置：300 轮、最大深度 10、学习率 0.1、列采样 0.8、行采样 0.8、L2 的 λ = 1.0，多类 softmax，类权重与频率成反比。这些超参在干净（0% 攻击）验证集上网格搜索后，在所有攻击比例上固定。作者给出四点选择理由：高维结构化特征、原生特征重要性、在 78,377 样本上 CPU 重训 4.7 秒、深度与子采样带来的噪声容忍。对比对象是同一 XGBoost 用在原始展平的 750 维特征上。
• 三点机制（作者的解释）：（1）膜动态响应电压跌落、频率偏移、异常相角等时间特征，攻击样本因动态相近而聚在一起，与标签无关；（2）冻结后标签腐蚀不能改变嵌入，只移动 XGBoost 边界；（3）max / mean / last 分别对应峰值、持续活动与积分，使树分裂更有物理含义，单个错标点更不容易系统性移动边界。Fig. 1 图注称错标攻击样本仍靠近真实攻击样本。
• 成功判定与指标：分类目标是 Attack / Natural / NoEvents（Synchrophasor 上对应 FDI、TSA 与 Normal，见 Table IV）。指标为 Accuracy、F1-macro、MCC 以及逐类 precision 与 recall；参数量用作神经形态可部署性的代理。F1-macro 对各类等权。

实验设置

• 数据：Synchrophasor 共 218,459 条、9 个原始特征全部保留、30 Hz，类为 Normal 77,072（35.3%）、FDI 64,280（29.4%）、TSA 77,107（35.3%）（Table II、Table IV）。MSU/ORNL 共 78,377 条、128 个 PMU 特征经 MI 选 50 个、30 Hz，Attack 55,663（71.0%）、Natural 18,309（23.4%）、NoEvents 4,405（5.6%），攻击类型含 FDI、TSA、Replay（Table II）。来源分别为 IEEE testbed 与 MSU/ORNL testbed。
• 划分与种子：基线评测 70/15/15（train/val/test），unlearning 实验 70/30（train/test），固定随机种子 42，划分对所有实验相同。特征按训练集统计归一化到 [0,1]。
• 被测模型：Hybrid（冻结 SNN + XGBoost）、Direct-SNN、MLP、LSTM、1D-CNN、GNN（2 层 ChebConv）、RF、XGBoost、Rule-Based Detector。超参见表 VI：深度学习模型 Adam、类别加权交叉熵、batch 256、50 epoch；RF 为 300 棵树、深度 20；规则检测阈值为 |V| ±0.1 pu、f ±0.5 Hz、ROCOF ±1.0 Hz/s。
• 指标：Accuracy、F1-macro、MCC、逐类 precision 与 recall，以及参数量。论文写明用 PyTorch 2.5 与 snnTorch 0.9，在 NVIDIA CUDA 上实现。
• 投毒设置：贡献列表写在 MSU/ORNL 上把 Hybrid 与 raw XGBoost、Random Forest 在 10 个攻击水平（0–90%）比较。Fig. 1 给出 0%、10%、30%、60% 的 Hybrid F1，以及 10% 时三模型的 F1。目标类名称与每比例的重复次数，论文在已给出的正文中未逐项写明。
• 嵌入维度与窗口：SNN 输入为 T=15、每步 50 维（Synchrophasor 为全部 9 维）；嵌入 1,350 维。脉冲编码消融的对照模型使用 T=25，该消融的数值表在正文截断处，具体分数未在可读表格中给出。

主结果

摘要与贡献 1 报告的干净数据检测性能如下（论文未在所附可读正文中给出与 Table 编号对应的逐模型全表，故不填其他模型格子）。

Swipe horizontally to read the table

数据集	模型	Accuracy	F1-macro
Synchrophasor	Hybrid SNN+XGBoost	99.9%	0.999
MSU/ORNL	Hybrid SNN+XGBoost	95.0%	0.943

• 作者称 Hybrid 在两个真实电网数据集上优于全部独立基线，并称之为 state-of-the-art 检测精度。逐基线的 Accuracy、F1-macro 与 MCC 未出现在截断后仍完整的表格中，故不转写。
• Synchrophasor 被作者用来验证分类精度：9 个特征紧凑、不冗余，直接对应区分攻击与正常运行的电气量。MSU/ORNL 被作者用来做 unlearning，理由是类不平衡、128 维冗余，以及攻击与自然扰动都产生暂态、需要时间模式才能分开。
• 参数量：Direct-SNN 为 44,803，作者称比典型 CNN 或 LSTM 入侵检测模型小 10 到 100 倍。XGBoost 在 78,377 条样本上的 CPU 重训时间为 4.7 秒。

标签投毒下的韧性

• 测了什么：选择性标签翻转，比例从 0% 到 90%。Fig. 1 同时给出 Robustness at 10% Attack 与 Degradation Profile。
• 结果：0% 时 Hybrid F1 为 0.928。10% 时 Hybrid F1=0.919（−0.9%），Raw XGBoost F1=0.900（−0.1%），Raw RF F1=0.796（−5.5%）。30% 时 Hybrid F1=0.861（−7.3%）。60% 时 Hybrid F1=0.511，图中标注 collapse。图例写 Collapse Threshold 为 Hybrid 70%、Raw 60%，并写 “70% → Raw models collapse first”。摘要与贡献 2 写：10% 投毒时 Hybrid 只损失 0.9% F1-macro，并把目标类崩溃从 60% 推迟到 70%。
• 作者的解读：作者称分离后的神经形态结构给出与常规分类器不同的鲁棒剖面；膜电位嵌入编码对标签腐蚀不变的物理信号结构。Fig. 1 中 10% 时 Raw XGBoost 的降幅（0.1%）小于 Hybrid（0.9%），与“Hybrid 损失更小”这一总括并列出现在同一图中；崩溃阈值仍按图例写为 Hybrid 70%、Raw 60%。

其他消融与分析

• 编码方式：正文称 Section 中的消融表明传统脉冲编码（rate、latency、delta）对电力系统特征形成信息瓶颈；可读正文未给出该消融的分数表。
• 特征选择：MSU/ORNL 上 MI 的 top 50 保留全部频率与 ROCOF、继电器 1 和 3 的电压幅值、继电器跳/合状态以及部分序分量；冗余相角与高相关相间量被丢弃。未报告选择前后的检测分数。
• 超参：XGBoost 超参在 0% 攻击的验证集上选定后，跨所有攻击水平固定；未报告网格搜索的分数。
• 类不平衡：作者用 F1-macro 与 MCC 作为不平衡下的指标，并给出 MCC 的多类定义；未在可读正文中列出各模型 MCC 数值。
• 硬件：Fig. 1 部署栏标注 Intel Loihi 2、Sub-mW power、Real-time。论文未在可读正文中给出实测功耗或时延数字。
• 负面或例外：10% 投毒时 Raw XGBoost 的 F1 降幅为 0.1%，小于 Hybrid 的 0.9%（Fig. 1）。60% 时 Hybrid F1 为 0.511，图中标为 collapse。Paphitis et al. 的现象被作者转述为总体准确率可以大体不变、而目标类检测下降。

作者指出的局限与后续方向

论文未专门讨论局限。所附正文的 Conclusion（Section VII）在截断之后，Introduction 与 Related Work 没有把某项结果写成局限或 future work。贡献与部署描述中的签名、硬件安全模块和 Loihi 2 是方法与图注内容，不是作者写出的未完成事项。

实验覆盖范围

• 被测模型为 MLP、LSTM、1D-CNN、GNN、RF、XGBoost、Rule-Based Detector、Direct-SNN 与 Hybrid，超参集中在 Table VI，深度学习模型训练 50 epoch。
• 数据集为 Synchrophasor（218,459 条，9 特征，Normal/FDI/TSA）与 MSU/ORNL（78,377 条，128 特征选 50，Attack/Natural/NoEvents），采样率均为 30 Hz（Table II、Table IV）。
• 划分：基线 70/15/15，unlearning 70/30，随机种子 42（Section V-C）。指标为 Accuracy、F1-macro、MCC、逐类 precision 与 recall。
• 投毒评测写明比较 Hybrid、raw XGBoost 与 Random Forest，攻击水平 0–90% 共 10 档；Fig. 1 给出其中 0%、10%、30%、60% 的 Hybrid F1 以及 10% 时三模型的 F1。
• 论文未报告投毒实验的重复次数，也未报告评审模型：指标由分类定义直接计算，没有 LLM 评审或人工一致性数字。

SNN+XGBoost 把一次训练的神经形态前端和可周期更新的树分类器拆开，用来做电网多类入侵检测，并针对 machine unlearning 式标签翻转。

• 问题：配电网的 PMU/IED 暴露于 FDI、TSA 和协议层报文操纵。规则与物理模型方法依赖预先签名或模型保真度，深度 IDS 又难放在边缘，而且周期重训会让对手通过选择性改标“忘掉”某一攻击类。
• 方法：Direct-SNN 使用 LIF（β=0.85），在已核验干净数据上用替代梯度 BPTT 训练 50 epoch 后冻结，参数 44,803，并用 SHA-256 签名。输入是 T=15 的滑窗；MSU/ORNL 先用互信息从 128 维选到 50 维。各层膜电位的 max、mean 与末态拼成 1,350 维嵌入。XGBoost（300 轮、深度 10）是唯一随运行更新的部分。
• 干净数据结果：作者报告 Hybrid 在 Synchrophasor 上 Accuracy 99.9%、F1-macro 0.999，在 MSU/ORNL 上 Accuracy 95.0%、F1-macro 0.943，并称优于全部独立基线。
• 投毒结果：Fig. 1 中 Hybrid 的 F1 从 0% 的 0.928 到 10% 的 0.919（−0.9%）、30% 的 0.861（−7.3%）、60% 的 0.511。同一图在 10% 处还给出 Raw XGBoost 0.900（−0.1%）和 Raw RF 0.796（−5.5%）。作者称目标类崩溃阈值由 raw 模型的 60% 推迟到 Hybrid 的 70%。
• 作者的结论：神经形态时间编码既可以做准确的攻击检测，也可以提高对训练数据投毒的韧性；冻结提取器与周期更新分类器分开构成纵深防御。作者认为嵌入聚类来自电压、电流暂态，而不是标签。