ChatGPT等大语言模型用于智能电网网络安全

针对变电站的网络攻击被视为对电网完整性的实质威胁，防御与缓解策略必须覆盖到通信层面。在数字变电站中，信息与通信技术（ICT）的任何异常都应被检出，设备之间的通信才谈得上安全。这份资料要回答的问题很直接：能不能用大语言模型（LLM），比如 ChatGPT，来承担基于 IEC 61850 的通信安全任务。现在值得翻的原因在于，这个位置长期由基于机器学习的入侵检测系统把守，而它有个结构性麻烦——每出现一种新的攻击模式，模型就得重新训练，重训既花时间也耗资源，在新威胁尚未进入模型知识库的那段空窗里系统是暴露的。LLM 走的是另一条路：靠上下文理解去识别那些没有被显式训练过的威胁。

覆盖范围集中在数字变电站的多播报文，具体是 GOOSE（通用面向对象变电站事件）和 SV（采样值）两类，作者明确把其他协议留给了后续工作。数据来源不是凭空构造：GOOSE 与 SV 报文数据集由硬件在环（HIL）测试台生成并提取。方法上分两层，一是把通信系统的数据预处理与 human-in-the-loop（HITL）训练结合起来，训练时参考人类给出的网络安全建议；二是把入侵检测算法转换成文本，作为训练数据集供 LLM 检测异常。横向比较的对象是三个模型：ChatGPT 4.0、Anthropic 的 Claude 2，以及 Google Bard/PaLM 2。

这份资料对既有路线的诊断相当具体。基于机器学习的 IDS 精确且数据驱动，但新攻击一到就要重训，训练期间系统处于被动。GOOSE 和 SV 的开放式架构使它们易受重放攻击与报文注入攻击——前者重传未被篡改的旧报文，后者注入伪装成合法行为的伪造报文，都会扰乱系统运行。另一个绕不开的取舍是灵敏度：既要在意细微异常的检出，又要压住误报。按作者的判断，LLM 能分析大规模数据、识别模式，并借上下文理解对新威胁作出响应，从而把频繁重训的负担降下来。

作者把贡献归纳为三条：在性能评估指标下考察不同 LLM 用于数字变电站网络安全的可能；把基于 LLM 的 HITL 当作 IDS，检测 IEC 61850 通信协议中的异常数据；以及前面提到的把 IDS 算法转成文本用于训练。结果部分呈现的是不同 LLM 在异常数据检测上的对比分析，依据是性能评估指标。需要点明的是，就给定的材料看，摘要与引言给出的是比较框架和结论方向，并没有列出各模型的具体指标数值。作者在两处使用了「首次」：一是指出该框架首次包含通信系统的数据预处理与 HITL 训练，二是首次提出基于 HITL 交互使用 LLM 检测 GOOSE 与 SV 数据集中的异常。

这些结论落到实践上，影响主要在运维侧。如果 LLM 真能靠上下文应对没见过的新攻击，IDS 的更新节奏就可能从「按攻击类型重训」转为「补充说明与数据预处理」，这是对实时电网环境下模型可靠性与鲁棒性诉求的一种回应。HITL 的设计意味着人的安全指南不是外挂的合规文档，而是进入训练环节的输入，运维经验因此有了被固化进检测流程的通道。把算法转成文本再喂给语言模型，等于让 LLM 接手原本属于结构化算法的判断，这一步的工程代价与收益，是评估此类方案时该盯住的地方。

做变电站通信安全、IDS 工程化，或者在电力系统里试水 LLM 的读者，能从这份资料拿到一条相对完整的技术路线：问题定义、HIL 测试台这一数据来源、HITL 的组织方式，以及三个主流模型的横向比较框架。边界也很清楚。研究对象只限 GOOSE 与 SV 两类多播报文，其他协议被作者自己标为未来工作。材料停在「对比分析」这一层，没有给出具体性能数字与数据集规模，若要用它做选型依据，还需回到原文核对指标细节。另外，HITL 依赖人类给出的安全建议，人的判断质量会直接进入模型表现——这是解读，材料只说到训练时考虑人类推荐的指南。

ChatGPT and Other Large Language Models for Cybersecurity of Smart Grid Applications Aydin Zaboli, Graduate Student Member, IEEE , Seong Lok Choi, Member, IEEE, Tai-Jin Song, Member, IEEE, Junho Hong, Senior Member, IEEE Abstract—Cybersecurity breaches targeting electrical substa- tions constitute a significant threat to the integrity of the power grid, necessitating comprehensive defense and mitigation strategies. Any anomaly in information and communication technology (ICT) should be detected for secure communications between devices in digital substations. This paper proposes large language models (LLMs), e.g., ChatGPT, for the cybersecurity of IEC 61850-based communications. Multi-cast messages such as generic object oriented system events (GOOSE) and sampled values (SV) are used for case studies. The proposed LLM- based cybersecurity framework includes, for the first time, data