HydroJEV: A one-second, training-free screen for cyber-attack and fault attribution in water distribution networks

📄 arXiv: 2610.02048v1 📥 PDF

作者: Tianwei Mu, Shengyan Jiang, Mingzhe Yuan, Qing Luo, Min Xiao, Wenhong Wang, Jun Li, Manhong Huang

分类: cs.AI

发布日期: 2026-10-01

备注: 41 pages, 19 figures

💡 一句话要点

提出HydroJEV以解决水分配网络中的网络攻击与故障归因问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 水分配网络 网络攻击 故障归因 训练-free模型 SCADA系统 异常检测 快速决策

📋 核心要点

  1. 现有方法依赖于标记事件的监督学习，缺乏足够的标记数据，导致分类器性能受限。
  2. 本文提出的Jev模型是一种训练-free的快速决策工具，能够在一秒内返回类别概率，适用于SCADA报警的初步筛选。
  3. 实验结果表明，Jev在四类归因基准上超越了传统监督分类器，并且在标记事件稀缺的情况下表现更佳，决策速度显著提升。

📝 摘要（中文）

在水分配网络中，当SCADA报警时，操作员需迅速判断是否为网络攻击、物理故障、正常瞬态或传感器故障。现有的监督分类器需要标记事件，而大型语言模型则需数十秒才能做出决策。本文提出了一种训练-free模型Jev，能够在约一秒内返回类别概率，作为初步筛选工具。在基于C-Town网络的四类归因基准上，Jev与手写规则树、监督分类器及七个云端LLM进行了比较，结果显示Jev在所有四轮中均超越了监督分类器，并且在标记事件不足时表现尤为突出。Jev的决策速度是前沿LLM的20-40倍，能够有效减轻SCADA异常筛查的工作负担，同时保持准确性。

🔬 方法详解

问题定义：本文旨在解决水分配网络中SCADA报警时的快速分类问题，现有方法依赖于标记数据的监督学习，导致在缺乏标记事件时性能下降。

核心思路：提出了一种训练-free的模型Jev，能够在没有标记数据的情况下，通过快速返回类别概率来进行初步筛选，从而提高决策效率。

技术框架：Jev模型的整体架构包括输入层、特征提取模块和输出层，能够处理输入的传感器数据并快速生成类别概率。

关键创新：Jev的主要创新在于其训练-free特性，能够在一秒内完成决策，显著提高了响应速度，并且在标记数据不足的情况下仍能保持较高的准确性。

关键设计：Jev模型采用了标签-free的先验校正方法，结合了规则树的决策逻辑，确保在快速决策的同时，保持了与手写规则树相近的性能。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果显示，Jev在四类归因基准上与手写规则树的宏观F1值相当（0.62-0.64），并在标记事件不足时超越监督分类器0.36-0.42。同时，Jev的决策速度是前沿LLM的20-40倍，显著提升了处理效率。

🎯 应用场景

该研究的潜在应用领域包括水分配网络的监控与管理，能够帮助操作员快速识别和响应潜在的网络攻击或故障，从而提高系统的安全性和可靠性。未来，该技术也可扩展至其他关键基础设施的异常检测与响应系统。

📄 摘要（原文）

When a SCADA alarm is raised in a water distribution network, operators must decide quickly whether it reflects a cyberattack, a physical fault, a normal transient or a faulty sensor. Supervised classifiers need labelled incidents that utilities rarely have, and frontier large language models (LLMs) take tens of seconds per decision. We tested whether Jev, a training-free model that returns class probabilities in about one second, can serve as the first tier of this triage. On a four-class cause-attribution benchmark built on the C-Town network in EPANET, Jev was compared with a hand-written rule tree, a supervised classifier and seven cloud LLMs on identical evidence in four sealed, pre-registered rounds. With only a label-free prior correction, Jev matched the rule tree (macro-F1 0.62-0.64 against 0.56-0.61 in distribution) and exceeded the supervised classifier by 0.36-0.42 on event subtypes absent from its labels, in all four rounds, and it outperformed the classifier whenever fewer than about four labelled events per class were available. Jev also decided 20-40 times faster than frontier LLMs. Accepting only benign Jev verdicts confirmed by the rule tree spared an LLM reviewer 35-38% of windows on fresh sealed sets without loss of macro-F1. Transferred unchanged to two further networks, this gated cascade stayed within the non-inferiority margin of its reviewer on all four sets. A fast, training-free screen can therefore take over about a third of the review load in SCADA anomaly triage while preserving the accuracy of deliberate review.