左娟娟，陳宇民，朱紅杰，彭文英，黃桂雪

（云南電網(wǎng)有限責(zé)任公司保山供電局，云南保山 678000）

在特高壓直流輸電線(xiàn)路發(fā)展中，隨著輸電能力的日益增加，一旦發(fā)生故障，將會(huì)危及接收系統(tǒng)的頻譜穩(wěn)定性。同時(shí)，受到新能源大量開(kāi)發(fā)影響，電力系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)變得十分復(fù)雜。伴隨電力系統(tǒng)的快速發(fā)展，其運(yùn)行情況也越來(lái)越復(fù)雜，各種設(shè)備的數(shù)量也越來(lái)越多。因此，提高入侵檢測(cè)效率具有十分重要的意義。對(duì)電力系統(tǒng)網(wǎng)絡(luò)入侵檢測(cè)能夠使網(wǎng)絡(luò)被攻擊之前，對(duì)內(nèi)部、外部和錯(cuò)誤操作進(jìn)行實(shí)時(shí)防御，并對(duì)其進(jìn)行有效地?cái)r截和防御。當(dāng)前，采用了一種基于深度學(xué)習(xí)的方法，由于該方法的網(wǎng)絡(luò)結(jié)構(gòu)較為復(fù)雜，能夠在原數(shù)據(jù)集上進(jìn)行多次轉(zhuǎn)換，全部高維特征都能被提取出來(lái)，由此形成分層的特征。這種結(jié)構(gòu)由多個(gè)受限玻爾茲曼堆疊組成，在某些條件下，受限玻爾茲曼機(jī)器能夠通過(guò)隱蔽節(jié)點(diǎn)來(lái)擬合數(shù)據(jù)分布，使其滿(mǎn)足節(jié)點(diǎn)隨意分布的要求。然而，隨著需要隱蔽節(jié)點(diǎn)數(shù)量的持續(xù)增加，在進(jìn)行深度學(xué)習(xí)時(shí)容易產(chǎn)生過(guò)度擬合[1]；使用基于隨機(jī)森林的網(wǎng)絡(luò)入侵檢測(cè)方法，可以有效降低各個(gè)特征區(qū)域的噪聲，同時(shí)也可以消除相關(guān)性，使得攻擊更加快速和簡(jiǎn)單[2]。然而，這種方法在隨機(jī)選擇參數(shù)時(shí)，會(huì)使訓(xùn)練效果不佳，從而導(dǎo)致訓(xùn)練的結(jié)果不理想。為此，在基于深度置信網(wǎng)絡(luò)技術(shù)支持下，對(duì)電力系統(tǒng)網(wǎng)絡(luò)入侵情況進(jìn)行檢測(cè)。

1 入侵檢測(cè)模型構(gòu)建

電力系統(tǒng)與網(wǎng)絡(luò)連接，導(dǎo)致電網(wǎng)設(shè)備噪聲惡意訪(fǎng)問(wèn)、篡改私密信息的情況大量增加。面對(duì)這一現(xiàn)象，結(jié)合深度置信網(wǎng)絡(luò)提出了入侵檢測(cè)方法[3]。然后，采用深度置信網(wǎng)絡(luò)分析了電力系統(tǒng)的頻譜，將其看成是一個(gè)輸入-輸出的數(shù)學(xué)模型。

可以將輸入采樣數(shù)據(jù)組描述為：

式中，i表示選取特征值的類(lèi)別總數(shù)；j表示輸入樣本的數(shù)量[4]。輸出采樣集對(duì)應(yīng)于每個(gè)行為一個(gè)輸出采樣的輸入采樣，可以描述如下：

式中，y表示輸出樣本對(duì)應(yīng)的元素?cái)?shù)量。

根據(jù)輸入和輸出的數(shù)據(jù)，構(gòu)建入侵檢測(cè)模型，如圖1 所示。

圖1 電力系統(tǒng)網(wǎng)絡(luò)入侵檢測(cè)模型

由圖1 可知，該模型是由數(shù)據(jù)信息采集模塊、入侵分析引擎和用戶(hù)界面與預(yù)警模塊組成的[5]。其中數(shù)據(jù)信息采集模塊是利用網(wǎng)絡(luò)抓包技術(shù)對(duì)電力系統(tǒng)中的IP 包進(jìn)行采集，然后按協(xié)議層次對(duì)IP 包進(jìn)行分析，從而獲得整個(gè)電網(wǎng)的IP 數(shù)據(jù)[6]；入侵分析引擎是由電網(wǎng)數(shù)據(jù)分析引擎、調(diào)用分析引擎和用戶(hù)行為分析引擎組成的，其中電網(wǎng)數(shù)據(jù)分析引擎主要目的是監(jiān)測(cè)電網(wǎng)是否受到了攻擊。調(diào)用分析引擎負(fù)責(zé)監(jiān)測(cè)電網(wǎng)中調(diào)用序列是否發(fā)生異常，及時(shí)判斷可疑入侵行為[7]；用戶(hù)行為分析引擎負(fù)責(zé)檢測(cè)來(lái)自外部的攻擊行為。

2 基于深度置信網(wǎng)絡(luò)的入侵檢測(cè)

2.1 基于深度置信網(wǎng)絡(luò)的模型訓(xùn)練

深度置信網(wǎng)絡(luò)處理模塊主要是對(duì)預(yù)處理模塊中的數(shù)據(jù)進(jìn)行無(wú)監(jiān)督學(xué)習(xí)，以及對(duì)高維數(shù)據(jù)的處理和提取[8]。在訓(xùn)練模式中，深度置信網(wǎng)絡(luò)主要包括兩個(gè)步驟：

第一步：在每個(gè)層次上，對(duì)每個(gè)層次的深度置信度進(jìn)行訓(xùn)練，保證了在將特征矢量映射到各個(gè)特征空間的同時(shí)，盡可能地保留全部特征信息[9]。

第二步：利用深度置信度網(wǎng)絡(luò)的特征矢量作為輸入矢量，對(duì)有監(jiān)督的實(shí)體分類(lèi)進(jìn)行訓(xùn)練。由于每個(gè)層次的特征向量都需要進(jìn)行一次訓(xùn)練，所以應(yīng)確保其權(quán)值與層次的特征矢量相匹配，達(dá)到全局最優(yōu)的目的。

深度置信網(wǎng)絡(luò)求解示意圖如圖2 所示。

圖2 深度置信網(wǎng)絡(luò)求解示意圖

由圖2 可知，利用深度置信網(wǎng)絡(luò)求解就是為了保證自身權(quán)值對(duì)特征向量映射為最優(yōu)，即訓(xùn)練結(jié)果為最優(yōu)[10-12]。

設(shè)在模型中存在l個(gè)隱層結(jié)構(gòu)，xi個(gè)入侵檢測(cè)樣本，k個(gè)隱層單元，深度置信網(wǎng)絡(luò)訓(xùn)練步驟如下所示：

步驟1：初始化數(shù)據(jù)；

步驟2：訓(xùn)練第一層結(jié)構(gòu)，獲取數(shù)據(jù)訓(xùn)練結(jié)果、權(quán)值和偏置值[13]；

步驟3：利用步驟2 中獲取的數(shù)據(jù)作為第二層結(jié)構(gòu)的輸入值，訓(xùn)練第二層的結(jié)構(gòu)；

步驟4：訓(xùn)練1～l層深度置信網(wǎng)絡(luò)[14]；

步驟5：使用反向傳播法調(diào)整各個(gè)層次的權(quán)值和偏置值；

步驟6：將第l層的全部特征及第l-1 層的部分特征整合，并將整合后的結(jié)果傳輸?shù)较乱徊剑?/p>

步驟7：整合特征數(shù)據(jù)成為深度置信網(wǎng)絡(luò)的訓(xùn)練數(shù)據(jù)，從而完成模型訓(xùn)練。

2.2 電力系統(tǒng)網(wǎng)絡(luò)入侵檢測(cè)

深度置信網(wǎng)絡(luò)求解模式支持下，設(shè)計(jì)入侵檢測(cè)過(guò)程，如下所示。

步驟1：為構(gòu)造受限玻爾茲曼機(jī)，必須將稀疏正項(xiàng)引入受限玻爾茲曼機(jī)似然函數(shù)。受限玻爾茲曼機(jī)本質(zhì)上是一種隨機(jī)神經(jīng)網(wǎng)絡(luò)，其神經(jīng)元和可見(jiàn)層中神經(jīng)元之間沒(méi)有關(guān)聯(lián)，但在隱藏層中卻有神經(jīng)元節(jié)點(diǎn)[15]。當(dāng)可見(jiàn)層神經(jīng)元的節(jié)點(diǎn)已被確定時(shí)，所有的隱藏節(jié)點(diǎn)都是有條件的。在已知隱藏節(jié)點(diǎn)情況下，保證每層的節(jié)點(diǎn)都具有相對(duì)獨(dú)立性。

受限玻爾茲曼機(jī)結(jié)構(gòu)示意圖如圖3 所示。

圖3 受限玻爾茲曼機(jī)結(jié)構(gòu)示意圖

圖3 中所示的受限玻爾茲曼機(jī)由四個(gè)可視層和兩個(gè)隱藏層組成。

步驟2：利用深度置信度網(wǎng)絡(luò)對(duì)玻爾茲曼機(jī)進(jìn)行訓(xùn)練，得到了稀疏約束下的數(shù)據(jù)集稀疏分布結(jié)果[16]；

步驟3：判斷受限玻爾茲曼機(jī)的訓(xùn)練次數(shù)是否達(dá)到訓(xùn)練閾值，如果達(dá)到，則進(jìn)入下一步，否則，轉(zhuǎn)到步驟1；

步驟4：將經(jīng)過(guò)訓(xùn)練的連續(xù)受限玻爾茲曼機(jī)疊加，并在其上加入一種逆向傳輸神經(jīng)網(wǎng)絡(luò)，從而形成一個(gè)經(jīng)過(guò)優(yōu)化的連續(xù)受限玻爾茲曼機(jī)器，用于分類(lèi)；

步驟5：利用反向傳播算法對(duì)受限玻爾茲曼機(jī)的連續(xù)有限元模型進(jìn)行了反向微調(diào)，得到了一個(gè)經(jīng)過(guò)訓(xùn)練的受限玻爾茲曼機(jī)模型。

假設(shè)該模型由n個(gè)可見(jiàn)神經(jīng)元節(jié)點(diǎn)和m個(gè)隱藏神經(jīng)元節(jié)點(diǎn)組成，可視層和隱藏層通過(guò)聯(lián)合協(xié)作實(shí)現(xiàn)功能，相應(yīng)公式為：

式中，αi、λi分別表示可視層的狀態(tài)值和節(jié)點(diǎn)偏置；βj、δj表示分別表示隱藏層的狀態(tài)值、節(jié)點(diǎn)偏置；wij表示層的連接權(quán)值。

每個(gè)層的神經(jīng)元節(jié)點(diǎn)之間存在能量，當(dāng)確定各個(gè)參數(shù)后，通過(guò)上述公式能夠推導(dǎo)出兩層的聯(lián)合概率分布，公式為：

式中，C為歸一化因子。

基于此，構(gòu)建能量模型，如下所示：

結(jié)合式（5）快速學(xué)習(xí)測(cè)試集，能夠獲取每個(gè)測(cè)試集下的全部測(cè)試數(shù)據(jù)，即可獲取全部入侵種類(lèi)。

電力系統(tǒng)網(wǎng)絡(luò)的自動(dòng)化設(shè)備或斷路器有可能被黑客入侵，一旦入侵，網(wǎng)絡(luò)就會(huì)處于十分危險(xiǎn)的狀況?；谠撉闆r，構(gòu)建入侵檢測(cè)目標(biāo)函數(shù)，如下所示：

式中，D(t)、G(t)、P′(t)分別表示網(wǎng)絡(luò)設(shè)備在電力系統(tǒng)中重要比例、網(wǎng)絡(luò)設(shè)備使用年限對(duì)網(wǎng)絡(luò)危險(xiǎn)影響程度、網(wǎng)絡(luò)設(shè)備平均故障率。

上述公式就是電力系統(tǒng)網(wǎng)絡(luò)入侵的判斷目標(biāo)函數(shù)，結(jié)合深度置信網(wǎng)絡(luò)的最優(yōu)求解步驟實(shí)現(xiàn)電力系統(tǒng)網(wǎng)絡(luò)入侵檢測(cè)。

3 實(shí)驗(yàn)分析

3.1 實(shí)驗(yàn)數(shù)據(jù)集

電力系統(tǒng)網(wǎng)絡(luò)入侵頻率反映了電力系統(tǒng)網(wǎng)絡(luò)設(shè)備輸出功率與負(fù)荷之間關(guān)系，在網(wǎng)絡(luò)受到攻擊時(shí)，如果系統(tǒng)不及時(shí)采取保護(hù)措施，就會(huì)導(dǎo)致系統(tǒng)工作不穩(wěn)定。在該實(shí)驗(yàn)情況下，實(shí)驗(yàn)數(shù)據(jù)的特征集如表1所示。

表1 實(shí)驗(yàn)數(shù)據(jù)特征集

訓(xùn)練表1 中的數(shù)據(jù)特征集，分析電力系統(tǒng)受到入侵后對(duì)輸出頻率的影響，結(jié)果如圖4 所示。

圖4 電力系統(tǒng)受到入侵后輸出頻率分析

由圖4 可知，電力系統(tǒng)在4～6 s 時(shí)間內(nèi)受到入侵影響，輸出頻率下降，隨后驟然上升，容易出現(xiàn)電力系統(tǒng)網(wǎng)絡(luò)設(shè)備負(fù)載不均衡現(xiàn)象。

3.2 實(shí)驗(yàn)標(biāo)準(zhǔn)

以上述的八個(gè)實(shí)驗(yàn)數(shù)據(jù)集為研究對(duì)象，計(jì)算入侵?jǐn)?shù)據(jù)正確識(shí)別率，公式為：

式中，Nt表示正確識(shí)別入侵檢測(cè)數(shù)據(jù)量；Ms表示輸入的入侵?jǐn)?shù)據(jù)測(cè)試總量。該公式計(jì)算結(jié)果越大，說(shuō)明檢測(cè)精準(zhǔn)度越高。

3.3 實(shí)驗(yàn)結(jié)果與分析

當(dāng)電力系統(tǒng)網(wǎng)絡(luò)受到黑客入侵后，分別使用基于深度學(xué)習(xí)方法、基于隨機(jī)森林方法和基于深度置信網(wǎng)絡(luò)的檢測(cè)方法，對(duì)比分析系統(tǒng)輸出頻率，對(duì)比結(jié)果如圖5 所示。

圖5 不同方法輸出頻率對(duì)比分析

由圖5 可知，使用基于深度學(xué)習(xí)的入侵檢測(cè)方法、基于隨機(jī)森林的網(wǎng)絡(luò)入侵檢測(cè)方法輸出頻率波動(dòng)情況與圖4 所示波形不一致，且出現(xiàn)很多峰值；使用基于深度置信網(wǎng)絡(luò)的入侵檢測(cè)方法輸出頻率波動(dòng)情況與圖4 所示波形一致，且波形平滑。

為了進(jìn)一步驗(yàn)證用基于深度置信網(wǎng)絡(luò)的入侵檢測(cè)方法研究合理性，需再次將這三種方法的入侵?jǐn)?shù)據(jù)正確識(shí)別率進(jìn)行對(duì)比分析，對(duì)比結(jié)果如表2 所示。

表2 三種方法入侵?jǐn)?shù)據(jù)識(shí)別結(jié)果對(duì)比分析

由表2 可知，使用基于深度學(xué)習(xí)的入侵檢測(cè)方法、基于隨機(jī)森林的網(wǎng)絡(luò)入侵檢測(cè)方法分別與實(shí)際數(shù)據(jù)存在最大為275 類(lèi)、490 類(lèi)的誤差；使用基于深度置信網(wǎng)絡(luò)的入侵檢測(cè)方法與實(shí)際數(shù)據(jù)存在最大為10 類(lèi)的誤差。

通過(guò)上述分析結(jié)果可知，使用所研究方法能夠獲取精準(zhǔn)檢測(cè)結(jié)果。

4 結(jié)束語(yǔ)

結(jié)合深度置信網(wǎng)絡(luò)，文中提出了一種入侵檢測(cè)方法，該方法面對(duì)電力系統(tǒng)在各個(gè)領(lǐng)域不斷得到廣泛應(yīng)用的情況下，構(gòu)建電力系統(tǒng)網(wǎng)絡(luò)入侵檢測(cè)模型，在深度置信網(wǎng)絡(luò)下經(jīng)過(guò)快速學(xué)習(xí)獲取每條測(cè)試數(shù)據(jù)的入侵類(lèi)別。該方法通過(guò)反復(fù)實(shí)驗(yàn)，證明了這種檢測(cè)方法能夠在全局最優(yōu)的情況下，有效地檢測(cè)出入侵類(lèi)別。