Sherlock

Sherlock数据集是由Fraunhofer FKIE RWTH Aachen University创建的，用于支持电力网络中的进程感知入侵检测研究。该数据集通过Wattson协同仿真器生成，包含三个场景，涵盖多种攻击类型，旨在模拟电力网络中的恶意命令注入或测量值操纵。数据集经过处理后，提供了系统的物理状态时间序列数据，便于研究入侵检测系统在电力网络中的性能评估。

The Sherlock dataset was created by Fraunhofer FKIE RWTH Aachen University to support research on process-aware intrusion detection in electrical power networks. It is generated via the Wattson co-simulator and comprises three scenarios covering multiple attack types, with the goal of simulating malicious command injection or measurement manipulation in power grids. After post-processing, the dataset provides systematic physical state time-series data to facilitate the performance evaluation of intrusion detection systems for electrical power networks.

搜集汇总

数据集介绍

构建方式

Sherlock数据集通过Wattson协同模拟器构建，该模拟器能够同时模拟电力网络及其对应的信息与通信技术网络。数据采集过程中，研究团队被动捕获了三个不同场景（01-Basic、02-Semiurban和03-Rural）中35天的网络流量，这些场景覆盖了多种攻击类型，包括恶意命令注入和测量值操纵。数据经过IPAL工具集后处理，生成反映系统物理状态的时间序列数据，从而提升数据集的通用性和可访问性。

特点

Sherlock数据集的特点在于其全面性和真实性，涵盖了三种不同规模和复杂度的电力网络场景，包括基础参考电网、半城市电网和农村电网。数据集不仅包含网络流量数据，还提供了设备日志、上下文事件信息以及电力网络状态的实时记录。特别值得一提的是，Sherlock通过IPAL格式抽象了区域特定的通信协议，使得数据集更易于跨领域研究使用。此外，数据集还包含了多种攻击类型和良性操作事件，为入侵检测系统的评估提供了丰富的数据支持。

使用方法

Sherlock数据集的使用方法主要集中在入侵检测系统的评估和研究上。研究人员可以利用数据集中的网络流量和物理状态数据，训练和测试各种入侵检测算法。数据集推荐使用三种主要评估指标：检测到的攻击数量、误报率和平均检测时间。此外，数据集还支持多视角分析，允许研究者在不同网络节点上验证检测方法的有效性和鲁棒性。通过结合IPAL格式的抽象表示，研究者可以更便捷地进行跨协议和跨场景的入侵检测研究。

背景与挑战

背景概述

Sherlock数据集由弗劳恩霍夫FKIE研究所与亚琛工业大学的研究团队于2025年推出，旨在解决电力网络领域过程感知入侵检测研究的核心问题。该数据集基于Wattson协同模拟器构建，覆盖三种典型电网场景，包含35天的网络流量数据及物理状态信息，重点捕捉了恶意命令注入和测量值篡改等攻击模式。作为首个融合电网物理过程与ICT网络数据的公开数据集，Sherlock填补了现有资源在电网规模真实性和攻击复杂性方面的空白，为乌克兰电网攻击等现实威胁的研究提供了基准平台，推动了关键基础设施安全领域的方法验证与比较研究。

当前挑战

电力网络入侵检测面临多重挑战：在领域问题层面，需处理数千个数据点的实时分析（挑战1），应对训练数据无法覆盖所有合法电网配置的局限性（挑战2），并区分维护操作等良性异常与真实攻击（挑战3）。数据集构建过程中，研究者需解决多视角数据同步的通信开销问题（挑战4），设计能定位攻击源的可操作检测机制（挑战5），同时整合过程感知、网络层和主机层的多维度检测方法（挑战6）。这些挑战凸显了电网场景相较于传统IT网络在动态性、规模性和物理耦合性方面的特殊复杂性。

常用场景

经典使用场景

Sherlock数据集在电力网络入侵检测研究中扮演了关键角色，特别适用于过程感知的入侵检测系统（IIDS）的评估与优化。该数据集通过模拟真实电力网络中的多种攻击场景，如拒绝服务（DoS）、控制命令注入（Industroyer）以及虚假数据注入（False Data Injection），为研究人员提供了丰富的实验数据。其多场景设计（如01-Basic、02-Semiurban和03-Rural）覆盖了不同规模和复杂度的电力网络，使得研究结果更具普适性和可迁移性。

解决学术问题

Sherlock数据集解决了电力网络入侵检测领域中的多个核心学术问题。首先，它填补了现有数据集在电力网络场景中缺乏过程数据的空白，为过程感知入侵检测提供了必要的训练和测试数据。其次，数据集通过模拟复杂的多阶段攻击，帮助研究者评估入侵检测系统在真实环境中的表现。此外，数据集的设计还促进了跨场景泛化能力的研究，为入侵检测系统在实际部署中的适应性提供了科学依据。

衍生相关工作

Sherlock数据集的发布推动了电力网络安全领域的多项经典研究。基于该数据集，研究者开发了多种新型入侵检测算法，如基于IPAL格式的通用入侵检测框架。此外，数据集还被用于评估现有入侵检测系统（如PASAD、Invariant、Seq2SeqNN等）在电力网络中的性能，揭示了过程感知入侵检测在电力网络中的挑战与机遇。这些研究为电力网络的安全防护提供了重要的理论和技术基础。