基于深度自回歸模型的電網(wǎng)異常流量檢測算法

李勇　韓俊飛　李秀芬　王鵬　王蓓

摘要：針對電網(wǎng)中行為種類復雜多樣且數(shù)量眾多的問題，提出了一種基于自回歸模型的電網(wǎng)異常流量檢測算法。該算法利用深度自編碼網(wǎng)絡(luò)自動提取網(wǎng)絡(luò)流量數(shù)據(jù)的特征，降低異常流量檢測的分析周期，并自動挖掘數(shù)據(jù)的層次關(guān)系。通過支持向量機對提取的特征進行分類，實現(xiàn)對異常流量的檢測。仿真實驗結(jié)果表明，所提算法可以分析不同攻擊向量，避免噪聲數(shù)據(jù)的干擾，進而提高電網(wǎng)異常流量檢測的精度，對于流量數(shù)據(jù)處理具有重要意義。

關(guān)鍵詞：自回歸模型；深度學習；異常檢測；海量數(shù)據(jù)；分析周期；支持向量機

中圖分類號：TM76 文獻標志碼：A 文章編號：1000-1646（2024）01-0024-05

隨著電網(wǎng)智能化技術(shù)的廣泛應(yīng)用和快速發(fā)展，電網(wǎng)系統(tǒng)受到的網(wǎng)絡(luò)攻擊種類及數(shù)量也在大幅增加。這些攻擊行為對電網(wǎng)終端、數(shù)據(jù)和系統(tǒng)等各層級造成了安全威脅，給電網(wǎng)的信息安全帶來了負面影響與嚴重損失。因此，研究電網(wǎng)所受到的攻擊行為，并檢測出異常電網(wǎng)流量是保證電力防御安全的關(guān)鍵。

目前，智能電網(wǎng)為了應(yīng)對網(wǎng)絡(luò)攻擊主要采用檢測和防御兩種安全措施。檢測即采用智能分析算法檢測出電網(wǎng)中的異常與入侵流量，并通過記錄、監(jiān)控和報警等方式進行警報；防御則是對檢測到的異常流量進行抵御，包括對網(wǎng)絡(luò)傳輸信息與節(jié)點間調(diào)度信息的確認。由于防御措施通常是異常行為檢測報警后才執(zhí)行，因此對智能電網(wǎng)中的異常流量進行檢測是保障電網(wǎng)安全的關(guān)鍵環(huán)節(jié)。

電網(wǎng)異常流量的檢測一般通過在已有數(shù)據(jù)庫的基礎(chǔ)上制定各種特征提取方案，采用靜態(tài)與動態(tài)分析相結(jié)合的方式識別出電網(wǎng)異常流量的類型。具體過程為：使用靜態(tài)分析方法分析數(shù)據(jù)行為流過程；調(diào)用該數(shù)據(jù)片段的安全函數(shù)并標識出數(shù)據(jù)中的缺陷片段，找出數(shù)據(jù)流的相關(guān)漏洞；使用動態(tài)檢測方法提取異常流量數(shù)據(jù)中的相關(guān)片段，并將其轉(zhuǎn)化為異常行為特征。雖然這類方法能有效地識別出各種電網(wǎng)異常流量，但電網(wǎng)中的行為種類復雜多樣且數(shù)量眾多，當使用上述方法檢測電網(wǎng)中異常流量時，通常需要處理大規(guī)模的數(shù)據(jù)，分析周期較長，導致系統(tǒng)響應(yīng)時間延長。同時，現(xiàn)有的異常流量攻擊方法為了提高攻擊成功的幾率，通常會延長攻擊時間，導致單位時間內(nèi)識別準確率降低。

針對上述問題，本文提出了一種基于自回歸模型電網(wǎng)異常流量檢測算法。該算法采用深度自編碼網(wǎng)絡(luò)自動提取網(wǎng)絡(luò)流量的數(shù)據(jù)特點，從而降低異常流量檢測算法的分析周期，且自動挖掘出數(shù)據(jù)的層次關(guān)系。同時，現(xiàn)有的網(wǎng)絡(luò)攻擊方法為了提高攻擊的隱蔽性，會在異常流量數(shù)據(jù)中添加正常的數(shù)據(jù)。現(xiàn)有的檢測方法通常會將其識別為噪聲，使得檢測性能降低。本文提出的基于深度自編碼網(wǎng)絡(luò)的特征提取方法，可以在保證穩(wěn)定輸出的同時得到異常流量的特征。同時，本文還采用支持向量機對深度網(wǎng)絡(luò)提取的特征進行分類，最終檢測出異常流量。

1 基于深度自編碼器的特征提取

傳統(tǒng)的智能電網(wǎng)攻擊檢測方法一般通過挖掘攻擊行為序列來提取約束特征，并使用相應(yīng)的攻擊算法來提取攻擊特征。雖然這類方法能夠提取出各種攻擊特征，但這些特征來源于截取的攻擊行為序列，且忽略了周圍數(shù)據(jù)間的差異。因此，該方法無法保證提取出的特征有利于攻擊類型的判斷。為了解決該問題，本文根據(jù)已知攻擊行為構(gòu)建約束條件來得到攻擊向量；結(jié)合靜態(tài)與動態(tài)特征分析方法，提取攻擊向量的行為特征；使用深度自編碼網(wǎng)絡(luò)對行為特征進行重組，提取出判別性特征。本文特征提取的具體過程如圖1所示。

1.1 攻擊向量提取

由于電網(wǎng)數(shù)據(jù)受到攻擊時，無論攻擊代碼的隱蔽性有多高，其攻擊目標是不變的，所以不同的攻擊方式中存在著一些無法避免的攻擊步驟。因此，本文在特征建模階段將攻擊者掌握的結(jié)構(gòu)信息轉(zhuǎn)化為檢測階段的約束條件，以此減少噪聲數(shù)據(jù)的干擾。在智能電網(wǎng)中，攻擊優(yōu)勢可以轉(zhuǎn)化為3種約束特征：

1）攻擊者能獲取到電網(wǎng)內(nèi)節(jié)點的分布情況；

2）攻擊者能預(yù)知部分檢測機制；

3）攻擊者通過添加噪聲來最大化攻擊收益，即最大化攻擊目標函數(shù)，其表達式為

式中：a、b分別為攻擊向量和正常數(shù)據(jù)；p和q為權(quán)重，本文取p=q=1；r=a/L，其中L為狀態(tài)測量精度；D為測量數(shù)據(jù)脆弱程度矩陣。

本文充分考慮上述3種約束特征和攻擊數(shù)據(jù)間的差異性，從而反向求解式（1）得到攻擊向量。其中，3種約束條件可表示為

式中：τa為攻擊類型的閾值；c為基于正常數(shù)據(jù)集合的向量；H為智能電網(wǎng)節(jié)點的分布信息；M和Ⅳ為攻擊行為向量。本文為了簡化計算，將M和N表示為對角向量，則有

3 實驗與分析

本文采集包含20種攻擊類型的1000條智能電網(wǎng)攻擊數(shù)據(jù)和正常數(shù)據(jù)進行仿真分析。其中，800條作為訓練數(shù)據(jù)，剩下的200條作為測試數(shù)據(jù)。為了驗證所提方法的有效性，將本文算法與決策樹算法和邏輯回歸算法結(jié)果進行比較。

由于模型性能主要受負載數(shù)量、判斷閾值和噪聲的影響，本文將這3個因素作為變量分析模型來檢測性能。設(shè)置環(huán)境噪聲為高斯白噪聲，并比較不同檢測模型在不同負載數(shù)量情況下的性能變化，結(jié)果如圖3所示。從圖3中可以看出，本文所提出方法的檢測精度能夠穩(wěn)定在95%以上。當負載數(shù)量為30時，所提出方法的精度最高仍優(yōu)于各比較方法。由于實驗是隨機選擇負載參與精度測試的，負載的不一致導致各種方法的檢測精度不會隨著負載數(shù)量的變化發(fā)生單調(diào)增或單調(diào)減。

本文將負載數(shù)量固定為64，環(huán)境噪聲設(shè)置為方差為0.5的高斯白噪聲，比較檢測閾值在1-5時檢測精度的變化，結(jié)果如圖4所示。從圖4中可以看出，提高閾值可以提升檢測精度，但容易導致模型過擬合。同時相較于其他算法，文中算法最高的檢測精度為95.7%。

為了比較環(huán)境噪聲對檢測性能的影響，本文設(shè)置負載數(shù)量為64，閾值設(shè)置為10，比較環(huán)境噪聲方差在1-5時不同算法的檢測精度，結(jié)果如圖5所示。從圖5中可以看出，本文算法在各噪聲范圍內(nèi)均具有較高的檢測精度。相比于其他算法，本文算法在噪聲方差減小至5時，檢測精度仍能維持在80%以上，而其他算法的檢測精度明顯降低。

為了比較所提出的異常行為分類模型和傳統(tǒng)SVM模型的性能，本文對20種異常流量數(shù)據(jù)進行了分類，結(jié)果如圖6所示。從圖6中可以看出，相較于傳統(tǒng)的SVM分類算法，文中所提出的方法具有更高的分類精度。這是因為傳統(tǒng)的SVM模型在執(zhí)行異常行為分類的過程中，并未進行特征選擇操作，導致分類模型容易受到各種噪聲數(shù)據(jù)的干擾。而本文算法將SVM的優(yōu)化過程與深度自編碼網(wǎng)絡(luò)的參數(shù)優(yōu)化過程進行聯(lián)立求解，可以提取出更優(yōu)魯棒參數(shù)。

4 結(jié)束語

本文基于深度自編碼網(wǎng)絡(luò)和支持向量機提出了電網(wǎng)異常流量檢測算法，在保證穩(wěn)定輸出的同時能夠準確地檢測出智能電網(wǎng)中的異常流量數(shù)據(jù)。通過深度自編碼網(wǎng)絡(luò)的訓練，該算法能夠自動挖掘數(shù)據(jù)的層次關(guān)系，提取出數(shù)據(jù)的高層次特征。利用支持向量機對特征進行分類，可以將正常流量和異常流量分開，實現(xiàn)異常流量的檢測。仿真實驗結(jié)果表明，該算法能夠分析不同類型的攻擊向量，有效避免噪聲數(shù)據(jù)的干擾，提高智能電網(wǎng)異常流量的檢測精度。因此，本文算法具有較高的實用價值和應(yīng)用前景。

（責任編輯：楊樹 英文審校：尹淑英）