电网入侵检测不再只看F1：误报漏报折算成发电机风险成本，调度费用随之下降
核心概要
电网入侵检测的误报和漏报被折算成发电机级别的网络物理风险成本，再进入调度优化，而不是只优化检测的F1分数。此前检测与调度各自独立优化，检测误差对运行费用的影响没有进入决策目标。在ICS与Sherlock两个电网数据集上，按误报、漏报和风险缩放系数做网格搜索后，部分参数配置的最低调度费用低于对应基线，但改善幅度随数据集和参数配置而变。
深度剖析
入侵检测的误报和漏报被赋予不同的运行代价，并汇总到发电机一级，成为调度目标中的一项成本。 此前的入侵检测主要优化准确率、召回率、精确率和F1分数等预测指标，下游运行成本另行独立优化。 在ICS电网数据集上，最大费用改善从风险缩放系数取1时的0.00046%升到取50000时的0.19983%，超过50000后增量收益变小。
检测模型与调度模型交替更新：上一轮检测学到的特征权重用于下一轮检测训练，检测结果再更新发电机的风险成本。 传统流程是先预测再优化，检测与调度之间没有反馈。 检测部分用逻辑回归，调度用Gurobi求解的线性规划，每个参数配置跑100轮；ICS数据集用两台发电机，Sherlock数据集用七台发电机。
风险缩放系数对调度费用的影响随数据集不同，Sherlock上改善到某个取值后不再出现。 ICS上费用改善随缩放系数增大而持续，只是高值处增量变小。 两个数据集在系统结构、特征表示和发电机样本分配上不同，这可能是敏感性差异的来源。
启示与展望
结果来自ICS和Sherlock两个电网运行数据集，覆盖两种电网拓扑和攻击场景，检测部分使用逻辑回归，调度使用线性规划。适合关注电网网络物理安全与决策聚焦学习的研究人员和工程师阅读。后续工作将使用更大的电网基准、更多入侵检测模型和更多运行约束来评估该框架。
费用改善幅度较小，ICS上最高为0.19983%，且随风险缩放系数增大增量收益变小；Sherlock上改善到某一取值后不再出现。效果依赖数据集和误报、漏报成本配置，两个数据集的敏感性差异来源尚未确定。