基于壓縮感知的智能電網入侵檢測方法研究*

吳麗佳

（大慶油田中油電能供電公司，黑龍江 大慶 163453）

0 引言

電網智能化管理是電力系統網絡建設的主要發展趨勢之一[1-2]。隨著電網規模不斷擴大及用戶數量的持續攀升，如何保證電網安全和電力系統的穩定運行，成為電力企業最為關注的問題點。與傳統的供電網絡相比，智能電網不僅包括基礎的電力供給和分布網絡，還包括一個智能化的通信網絡。其中，基礎網絡主要負責電能的傳輸與配送，滿足用戶的基本用電需求，而通信網絡主要負責監控電網中各種設備的運行情況，如果電網出現異常特征[3]，提醒電網管理者提前做出防范措施和應急預案，避免出現網絡故障而引起更大的經濟損失和潛在的安全風險[4]。通信技術的引入一方面顯著提高了電力系統的運行效率和可靠性，另一方面與互聯網的直接連接也使電網系統面臨著來自于復雜網絡的威脅和惡意攻擊，因此對智能電網通信系統實施全面的入侵檢測十分必要。

當前基于人工智能和機器學習的算法在網絡入侵檢測領域得到廣泛了應用[5-6]。文獻[7]提出基于一種BP 神經網絡的檢測算法，具有良好的數據泛化能力，適用于樣本較大網絡環境下的入侵檢測，但BP 神經網絡算法過于復雜，檢測率水平有待提高；文獻[8]提出一種基于優化粗糙集算法的入侵檢測方案，但整體耗時較長，在全局尋優的過程中易陷入局部最優化，擁有較高的誤檢率和漏檢率。針對現有的智能電網入侵檢測方案的不足，本文提出一種基于壓縮感知理論的智能電網入侵檢測方法研究，提高和改善了對電力入侵信號壓縮和處理的精度，最大限度地保留了原始網絡入侵信號中的特征信息，進而更好地實施對入侵點的定位和識別，確保智能電網系統的安全、穩定運行。

1 智能電網入侵檢測原理

電力通信網絡由于與互聯網連接，系統中也存在大量未經授權的惡意訪問、電力信息篡改等惡意行為。基于特定檢測算法智能電網入侵檢測行為，可以通過對特定故障信號的識別，確定出入侵者的IP 地址和入侵行為的具體類別，提前做出預警，避免給電網系統造成更嚴重的損失，阻止入侵行為不利后果的擴散。智能電力網絡入侵檢測以計算機軟硬件系統為依托，采集電網運行中各節點信息、寫入用戶行為的安全日志，以此為基礎檢測網絡中的硬件系統是否存在潛在被攻擊的跡象。按照檢測原理分類，智能電網入侵檢測可以分為基于特征的入侵檢測和基于異常的入侵檢測。在基于特征的入侵檢測模式下，電力通信系統基于網絡日志、用戶訪問行為、數據包構成等信息，提取出網絡訪問行為具體特征，進而判斷出行為是否對電網系統運行構成威脅。智能電網系統本身具有惡意行為數據庫，按照提取出的訪問特征與數據庫比較，判斷網絡訪問行為的安全性。但是，基于特征的入侵檢測模式對于新型的、變異的網絡攻擊行為抵御能力較弱，而基于網絡異常的入侵檢測模式主要通過用戶的類別來判斷被攻擊的風險值。在互聯網機制下，正常用戶與非法用戶在網絡使用習慣和行為方式上具有明顯差異，基于網絡異常的入侵檢測優勢在于可以基于未知用戶的行為特征，判斷出當前智能電網是否存在被攻擊的風險，尤其是對于新型、變異的網絡病毒及攻擊行為具有較強的甄別能力。目前，人工智能和機器學習方法被廣泛應用到網絡入侵檢測領域，能夠更好地針對網絡用戶行為作出判斷和評估，以更精確和聚類方法及特征模式匹配方案識別入侵行為。

但是，智能電網的規模日益擴大，用戶端數量持續增加，電力大數據也呈現出了PB量級增長趨勢，在海量電力大數據中識別出惡意用戶的入侵行為難度極大。為此，本文融合了傳統智能電網入侵檢測中特征檢測和用戶異常檢測的優點，基于壓縮感知原理更準確地處理電網中的入侵信號。壓縮感知主要利用通信信息之間的關聯性與稀疏特征，提高對入侵信息的識別效率。設定電力智能網絡中含有入侵信息的通信信號X，X具有有限性和離散性特征，故可以將其視為RN空間范圍內的列向量，表示為X(n)。用高維數據處理理念拉伸通信數據，通信信號的列向量X(n)也可以用N×1 維的基向量來表示，此時包含入侵信息的通信信號X也可以表示為：

其中，ηi代表第i個列向量在函數F上的投影系數。對于由基向量組成的信號來說，系數η擁有k個非零值，表明含有入侵信號的向量是稀疏的，可以壓縮。當可壓縮的入侵信號能夠通過k個信號逼近原始信號時，在正交信號規則驅使下，投影系數會出現遞減趨勢。信號壓縮的過程也是一個編碼變換的過程。在傳統入侵信號處理模式下，大都基于先采樣后壓縮的模式導致大量網絡資源浪費和節點能耗的增加。隨著電網復雜程度的提升，這種方法很難適用。對故障信號壓縮處理的目的是為信號特征提取減少阻力，而在壓縮感知理論框架下基于基向量處理高維數據，在成本和網絡資源消耗方面都具有一定優勢。由于壓縮了信號數據包的規模，還會降低電網數據傳輸的成本。基于壓縮感知理論處理入侵數據前合并了信號的采樣過程和壓縮過程，適用于海量電力大數據的處理場景。與N×1維的基向量相對應的M×N矩陣H被稱為信號的列向量X(n)觀測矩陣，利用矩陣對含有入侵信息的原始信號做線性處理和高維變換，即可得到與原始信號和基向量對應的M為觀測向量Y，表示為：

由于原始信號具有一定的稀疏性，故式（2）存在一個最優解滿足以下條件：

綜上可以分析出，與傳統的網絡信號入侵檢測方法相比，壓縮感知入侵檢測的處理步驟更少，極大地降低了入侵檢測的計算復雜性，并節省了網絡資源占用。這種優勢不僅體現在前期的入侵信號采集和特征提取方面，也表現在后期信號重構和恢復方面。針對于電力系統雙網絡運行環境，面對高昂的投入費用和網絡維護費用，節省網絡開銷和網絡資源占用具有更重要的意義。智能電網系統中通信網絡的作用是輔助和監督，保證電能供應分布網絡的安全運行。因此，如果能夠從更少的信息樣本中和用戶的異常行為中識別出潛在風險因素，往往能夠節省傳感器的硬件投入成本，降低網絡維護成本和網絡的復雜度。電力通信網絡節點能耗有限，通常由電池供應。集中壓縮處理稀疏信號是節省網絡資源的有效途徑之一。對于接收入侵信號和處理入侵信號的后端而言，更高效的算法和程序也會省去后續過高的硬件成本投入。

2 基于壓縮感知技術理論的智能電網入侵檢測

在基于壓縮感知理論的入侵檢測中，利用原始信號稀疏性的特征對原始入侵信號做正交基變換，并匹配觀測矩陣在壓縮信號和降維處理的同時，使原始信號中的各種細節特征得以保留。這是識別出惡意入侵的關鍵環節。M×N維列矩陣H本質上與N×1 維的基向量不相關，這樣在壓縮感知屬性約簡和信號重構中全部的原始信息能夠充分得以保留?；趬嚎s感知算法處理后的信號恢復中，重構算法的選擇是核心步驟，適合的重構算法更有助于提高入侵檢測率。基于壓縮感知技術和原理的智能電網入侵檢測流程，如圖1 所示。

原始信號稀疏變換的關鍵是選擇合適和稀疏變換基，這是信號降維與矩陣匹配的關鍵。研究入侵信號稀疏表示時，基于投影系數η的衰減速度予以判斷和衡量。對大多數經過壓縮的基函數而言，都能夠找到一個與其匹配的稀疏向量。只有對入侵信號做稀疏變換和降維處理，才能夠執行下一步的壓縮感知、信號約簡與信號重構。數據壓縮的目的是去除過多的冗余數據。如果設壓縮后的樣本向量為X′，則基于壓縮感知的數據約簡過程如下：

圖1 基于壓縮感知的智能電網入侵檢測流程

在式（4）的條件下，原始信號樣本的約簡率τ表示為：

約簡率τ在不同的網絡負載條件下可以取不同的值，同時也會受到電力企業安全策略的影響。由于嚴重程度較小的網絡入侵不會對網絡的安全性造成影響，當信號壓縮處理重構完畢后再利用非線性重構算法恢復原始數據中的細節信息。為了降低入侵信號壓縮和重構中產生的數據失真，基于誤差二次方對數據重構和量化質量進行度量，結果用函數s(x)表示：

其中μk為第k個小組的均值分布情況。選取k個小組中的均值中心點作為這個小組的代表點，并利用約簡方法使其綜合失真度達到最低的水平。這樣處理能夠得到最優化的數據，使小組中的重構失真度始終處于一個較低的水平。在對入侵信號的恢復環節，還需要根據具體的智能通信電力網絡拓撲結構和網絡節點數量選擇合適的分類器。在大樣本條件下可以選擇PCA分類，以更好地降低數據維度；在小樣本條件下，可以選擇智能SVM 分類器，不需要參照更多原始數據，即可以獲得良好的分類性能。基于壓縮感知理論采集信號時需要注意控制采樣的總體次數，因為在單位時間內的采樣次數越多，數據的壓縮效率和壓縮效果會更能夠得到保證；而數據壓縮的效率越高，越可以最大限度地節省網絡資源，且不影響對入侵檢測的識別精度。文中設計的檢測方案中針對智能電網的特點引入了一種自動化反饋與網絡調節機制，增加了入侵檢測樣本的兼容性和柔性，在不增加硬件投入成本和軟件維護成本的基礎上，利用模型本身的優勢，實現了對網絡用戶惡意入侵行為的動態監督。

3 仿真分析

在MATLAB 的仿真環境下，驗證提出智能電網入侵檢測方法的適用性和有效性。本文選取的網絡入侵類型為DoS 和R2L 兩種類型，每種攻擊類型分別進行14 次仿真試驗，并引入文獻[7]和文獻[8]的入侵檢測方法參與對比。首先驗證在相同的仿真條件下3 種方法的檢測率分布情況，如圖2 和圖3 所示。

圖2 DoS 攻擊類型的檢測率散點分布

圖3 R2L 攻擊類型的檢測率散點分布

從14 次智能電網入侵檢測仿真實驗的結果分析，無論是針對DoS 攻擊還是R2L 攻擊，文中提出的檢測方法都能夠保持較高的檢測率，平均值保持在95%以上，充分說明提出入侵檢測方法的均衡性和適用性；而文獻[7]和文獻[8]在入侵檢測率方面相較而言差距較為明顯。在DoS 攻擊中，文獻[7]的入侵檢測方法檢測率出現了較為明顯的波動，穩定性較差；文獻[8]檢測方法盡管在穩定性方面表現優于文獻[7]的方法，但在檢測率值絕對指標方面過低，依然無法應對大規模的DoS 攻擊。

針對R2L 攻擊類型，文獻[7]和文獻[8]檢測率散點都出現交替波動情況，證明傳統智能電網入侵檢測方法的適用性不足，無法應對多類型的復雜網絡攻擊。分別統計參與對比實驗各種檢測方法的誤檢率和漏檢率水平，數據統計結果如表1 和表2 所示。

表1 漏檢率數據對比

表2 誤檢率數據對比

在漏檢率和誤檢率控制方面，文中方法相對于傳統方面的優勢更為明顯，主要是由于在海量大數據樣本條件下，數據壓縮分類對于誤檢、漏檢控制具有更大的價值，保證了樣本信息的完整性和可靠性。本文從檢測效率的角度對比不同檢測方法在應對DoS 攻擊和R2L 攻擊時的表現，實驗次數仍舊設定為14 次，統計結果如圖4 和圖5 所示。

從智能電網入侵檢測中各方法的檢測耗時對比實驗結果發現，文中提出方法的檢測耗時始終被控制在0.6 s 以內，而兩種傳統入侵檢測方法的檢測耗時最高均接近了1 s。檢測效率對于智能電力海量大數據入侵檢測意義重大，如果檢測算法的效率過低，會導致誤檢率和漏檢率數值的升高。

圖4 DoS 攻擊類型的檢測效率分布

圖5 R2L 攻擊類型的檢測效率分布

4 結語

在電網規模不斷擴大的背景下，雙網并行成為電力系統建設與發展的主要特征之一。智能通信網絡在電網故障監控和硬件維護中發揮著基礎性作用，但多接口的結構設計及與互聯網直接連接的方式也增加了通信系統被攻擊的潛在風險。為克服傳統智能電網故障檢測方法的缺點和不足，本文利用壓縮感知技術原理，通過對海量用戶電力大數據集的壓縮處理，提高入侵檢測效率，減少對網絡資源的占用，同時能夠獲得更好的入侵檢測效果，保證智能電網的通信安全。