电力监控系统用户异常行为分析方法、存储介质和设备技术方案

本发明专利技术公开了一种电力监控系统用户异常行为分析方法、存储介质和设备，采集电力监控系统中反映用户行为的数据；对采集到的反映用户行为的数据进行预处理生成待识别的用户行为数据；通过预先离线训练构建的强分类器对待识别的用户行为数据进行在线识别，识别出用户异常行为并发出告警。本发明专利技术对电力监控系统用户异常行为进行在线识别，识别精度高。

【技术实现步骤摘要】
电力监控系统用户异常行为分析方法、存储介质和设备
本专利技术涉及电力系统信息安全检测与防御
，具体涉及一种电力监控系统用户异常行为分析方法、存储介质和设备。
技术介绍
近年来随着各类网络化应用的不断拓展和深化，计算机病毒、木马、黑客攻击等恶意网络攻击行为日益猖獗，网络安全事件进入了高发期，网络信息战和网络恐怖行动等国家、集团性网络攻击行为对全社会的生产生活都造成严重影响。电力监控系统作为电力系统的关键信息基础设施，已被不少国家视为“网络战”的首选攻击目标。近年来，以色列、乌克兰等国家相继发生了电力监控系统被入侵而导致电力供应中断的事件，给当地人民群众的生产生活造成了极大损失。随着能源互联网的全面推进，作为电网调度控制中枢的电力监控系统的智能化、网络化水平不断提升，同时以高级持续性网络攻击(APT)为代表的网络攻击行为新变种层出不穷，其威胁也日益严重，给电力监控系统安全防护工作带来了严峻挑战。早期人们通常采用端口扫描、报文特征字段匹配等方法对电力监控系统用户异常行为进行分析和检测，随着网络攻击行为的不断变化，依靠人工对用户异常行为进本文档来自技高网...

【技术保护点】
1.一种电力监控系统用户异常行为分析方法，其特征在于：包括步骤：/n采集电力监控系统中反映用户行为的数据；/n对采集到的反映用户行为的数据进行预处理生成待识别的用户行为数据；/n通过预先离线训练构建的强分类器对待识别的用户行为数据进行在线识别，识别出用户异常行为并发出告警。/n

【技术特征摘要】
1.一种电力监控系统用户异常行为分析方法，其特征在于：包括步骤：
采集电力监控系统中反映用户行为的数据；
对采集到的反映用户行为的数据进行预处理生成待识别的用户行为数据；
通过预先离线训练构建的强分类器对待识别的用户行为数据进行在线识别，识别出用户异常行为并发出告警。


2.根据权利要求1所述的一种电力监控系统用户异常行为分析方法，其特征是：强分类器离线训练构建过程为：
1)构建多级残差全连接神经网络模型；
2)基于多级残差全连接神经网络模型进行弱分类器集群的初始化构建；
3)采用加权多数表决法将弱分类器集群线性组合成强分类器。


3.根据权利要求2所述的一种电力监控系统用户异常行为分析方法，其特征是：所述多级残差全连接神经网络模型包括：输入层、残差全连接层、输出层与Softmax层；
输入层用于将有标记的训练样本数据作为输入向量；
残差全连接层的层数有一个或者多个，每个残差全连接层对应一个一级残差块；每个一级残差块内包括三个二级残差块，第三个二级残差块的输入由第一个二级残差块的输入与第二个二级残差块的输出构成；
每个二级残差块内包括三个隐含层和一个批标准化BN层；
输出层根据残差全连接层的输出结果，分别计算训练样本数据与不同类型用户行为的匹配值并输出；
Softmax层根据输出层的计算结果，计算训练样本数据中的每一条记录分别对应用户正常行为和用户异常行为的概率值。


4.根据权利要求3所述的一种电力监控系统用户异常行为分析方法，其特征是：所述二级残差块内的四个层的数据处理公式如下所示：
第一隐含层：
第二隐含层：
第三隐含层：
BN层：O＝BN[a[3]](4)
其中，x为第一隐含层的输入，w[i]为第i隐含层的权重矩阵，b[i]为第i隐含层的偏置向量，z[i]为第i隐含层对其输入向量进行线性连接操作的结果，a[i]为第i隐含层的输出，BN[]表示对第三隐含层的输出进行归一化处理，O表示经过BN层进行归一化处理后的结果；
leaky_ReLU()为激活函数：



m为激活函数的变量；
所述训练样本数据与不同类型用户行为的匹配值，计算公式如下所示：
P＝w[p]·a[h]+b[p](5)
其中，a[h]为残差全连接层的输出结果，w[p]为输出层的权重矩阵，b[p]为输出层的偏置向量，P的维度为2，其中，第一维向量P0表示训练样本数据与用户正常行为的匹配值，第二维向量P1...

【专利技术属性】
技术研发人员：王梓，杨维永，朱世顺，黄益彬，刘苇，黄天明，朱江，韩勇，程长春，景娜，张林霞，刘红军，管荑，刘勇，马雷，王文婷，林琳，刘新，于灏，蒋正威，金学奇，肖艳炜，
申请(专利权)人：国网电力科学研究院有限公司，南京南瑞信息通信科技有限公司，国网山东省电力公司，国家电网有限公司，
类型：发明
国别省市：江苏;32