具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述。

如图1和图2所示，为本发明提供的一种电网CPS网络攻击辨识方法的一个实施例的示意图。在该实施例中，所述方法包括以下步骤：

步骤S1，从预先训练的电网量测数据里抽取多个样本，将抽取的样本按事故场景类别进行分类，将分类后的样本组成样本集；可以理解的是，基于元学习中N-way K-shot方法，每次在构建分类任务时，从电网量测数据训练数据集里抽取N类数据，每一类数据由K个样本构成，形成了一个小型分类任务的数据集。

具体实施例中，预先训练的电网量测数据的过程包括：

步骤S101，获取待训练的目标数据集，从目标数据集中随机采样多个事故场景，在事故场景中选取多个实时量测数据作为一个元任务数据集；假设全新的待辨识电网量测数据包括N个事故场景，如虚假数据注入、远程跳闸指令攻击、单相接地短路、稳态场景等。目标任务为从这N个事故场景中，每个事故场景中随机抽取K个实时量测数据进行学习，根据学习结果，能够实现对全新的属于N类事故场景的数据进行正确辨识。

步骤S102，从元任务数据集中每类实时量测数据中，随机采样多个实时量测数据作为支持集，将其余各场景的剩余实时量测数据作为查询集；具体从数据集中随机采样N个事故场景，每个事故场景中以K个实时量测数据作为一个元任务数据集。

步骤S103，从支持集中每一类事故场景中随机选取一个实时量测数据，将所有事故场景中选取的实时量测数据构成一组训练数据，输入到预设的训练模型进行训练，获得第一训练结果；具体从元任务数据集的每类实时量测数据中，随机采样M个实时量测数据作为支持集S，其余各场景的N-M个实时量测数据作为查询集Q。

步骤S104，从查询集中抽取一个实时量测数据，用预设的训练模型判断其所属的事故场景类别，获得第二训练结果；具体从支持集S中每一类事故场景中随机选取一个实例，一起构成一组训练数据，输入到模型中，进行训练。

步骤S105，根据所述第一训练结果和所述第二训练结果计算预设的训练模型的准确率，重复迭代步骤S101至步骤S105，并根据获取的多个准确率对预设的训练模型和目标数据集进行更新，获取更新后的训练模型；具体从查询集Q中抽取一个系统故障实例数据，用模型判断其属于哪类场景，重复迭代以上步骤，最终计算出该任务模型的准确率，实际上该准确率为元学习参数确定的模型在该任务上的损失，通过损失梯度反向传播到元学习参数，对其进行更新，也即元学习过程。

步骤S106，获取历史记录中的电网量测数据并输入所述更新后的训练模型进行训练，获得预先训练的电网量测数据。

步骤S2，从所述样本集中选取多个事故场景类别，每个事故场景的类别中选取两组样本，分别组成样本训练集和样本测试集；可以理解的是，从样本集汇总选取N个事故场景，每个事故场景中随机抽取K+M个实时量测数据进行学习，将K个实时量测数据作为训练集，将M个实时量测数据作为测试集。

步骤S3，将所述样本训练集输入预设的网络攻击辨识模型进行训练，获取网络攻击辨识模型参数；将所述样本测试集输入预设的测试模型进行训练，获取测试参数；将所述网络攻击辨识模型参数与所述测试参数比较，获取比较结果；其中，所述比较结果包括一致或不一致；可以理解的是，原有Bagging学习器的基础上引入随机森林和Lightgbm基学习器来提升模型丰富度；将单学习器下的辨识精度和组合学习器下的辨识精度进行对比，探寻最优的组合方式以构建最佳的改进深度森林中级联结构的基学习器组成形式。

具体实施例中，如图4所示，预设的网络攻击辨识模型包括：多种并联的基学习器，用以增加算法的多样性；所述基学习器至少包括逻辑回归决策树、分类与回归决策树；所述基学习器内设置根据每个分类器权重进行级联的弱分类器。如图5所示，数据处理过程中将输入的样本训练集经过滑动窗口扫描样本集的时间特征，根据样本集中数据的时间特征进行排序；可以理解的是，使用不同的滑动窗口用于扫描原始电网量测数据特征，利用滑动窗口提取特征，获取电网量测数据序列前后的联系，提升特征获取能力。在电网样本训练中，通过实验确定滑动窗口的大小，滑动窗口的初值取电网量测数据特征维度的四分之一或八分之一。将排序后的样本训练集经过滑动窗口划分输出为电网时序特征向量；所述电网时序特征向量经过级联森林的第一层中各个弱学习器处理后，输出为网络攻击的概率，并将各个弱学习器的结果进行拼接形成向量后输出。可以理解的是，基于Boosting思想的学习器，级联森林的第一层输入数据为经过滑动窗口划分的电网时序特征向量，电网时序特征向量在经过第一层中各个弱学习器后输出属于网络攻击的概率，将各个弱学习器的结果进行拼接形成向量后输入下一层级联结构。在原有Bagging学习器的基础上引入多种基学习器，如逻辑回归、分类与回归决策树等来增加算法的多样性。在Boosting算法中，引入Adaboost、XGBoost和Lightgbm，利用Adaboost考虑每个分类器权重的特点，将弱分类器进行级联。

具体地，将所述网络攻击辨识模型参数与所述测试参数之间的差值与预设的阈值比较，当所述网络攻击辨识模型参数与所述测试参数之间的差值大于预设的阈值时，生成比较结果为不一致；当所述网络攻击辨识模型参数与所述测试参数之间的差值不大于预设的阈值时，生成比较结果为一致。可以理解的是，对原始深度森林中的级联结构进行改进，将级联结构中单学习器下的辨识精度和组合学习器下的辨识精度进行对比，探寻最优的组合方式，首先比较单学习器下的模型辨识精度，通过结果分析较优的学习器类型；其次将各学习器进行随机组合，比较组合学习器下的模型辨识精度，辨识精度的衡量指标为精确率、F1分数和AUC。

步骤S4，当比较结果为一致时，通过预设的网络攻击辨识模型对网络攻击进行辨识，获取网络攻击辨识结果。可以理解的是，在确定辨识精度与原模型一致时，采用改进后的模型，即网络攻击辨识模型，对后续的网络攻击进行辨识可以保证效率的同时增加对对少数类样本的关注度，增加学习有效特征，满足辨识需求。

该实施例中，运用于信息物理联合仿真平台中，在电力信息物理联合仿真平台获取相关暂态故障数据，在随机负荷水平和故障位置以及攻击威胁下自动仿真。算例所用测试场景分为三类：1)网络攻击场景；2)电力系统单相接地短路；3)常规运行状态。共选择24个测试场景：

单相接地短路场景(Q1～Q3)的保护方案为如前所述的两段式保护，同时在故障发生一周波后自动重合闸观察故障是否消失。

电力传输线检修场景(Q4～Q6)模拟了对某条线路有检修计划的场景，因此操作员会提前远程发送跳闸指令跳开线路两端的断路器。此时在信息侧的控制日志中，就会留下相应的记录和时间。

对于网络攻击场景，包含两种类型的攻击：1)继电器跳闸命令注入；2)修改继电器动作阈值。跳闸命令注入攻击进一步分为两类：1)Q7～Q12：攻击一个继电器，模拟继电保护装置误动的场景。2)Q13～Q15：同时攻击同一条线路两端的继电器，模仿传输线检修场景。

虚假数据注入攻击(Q16～Q19)通过盗用内部人员的权限，发送命令访问继电器的内部寄存器，修改相关的继电器设置，导致真实的故障发生需要继电保护正确动作时，保护装置拒动造成更大的后果。此场景模拟的是自然故障中的继电保护装置机械故障场景(Q20～Q23)。

稳态场景中(Q24)负载会在一定范围内(80％～120％)随机变化，但不会发生攻击事件、干扰操作和控制操作。

每个场景在仿真过程中均以系统达到和重新达到稳定状态作为一次仿真的开始和结束。系统每秒对同步量测数据采集200次，攻击时间则设置为略短于采样间隔0.005s，否则根据故障数据即可直接判断。本章共仿真得到916组仿真样本，每个样本包括39维双侧数据和时间戳。39维数据分别包括9维物理侧量测，6维继电器状态，24维事件日志包括继电器动作和针对每个继电器的修改日志，检修计划。物理侧同步相量数据包括离散的相电压和相电流。每次事件的记录包括约4000个时刻的数据，对应约20秒的仿真时间。利用N-wayK-shot进行采样时，当N为20，K为21时取得最优的辨识效果。当级联结构为单学习器时，分类与回归决策树模型的精确度为76％、F1分数为0.71和AUC为0.74，均优于逻辑回归模型71％的精确度、0.60的F1分数、0.68的AUC值。说明级联结构中，当统一模型为树模型时，整体性能要优于非树模型。相比树模型，非树模型诸如逻辑回归对数据比较敏感，受异常点影响严重，导致模型预测结果较差，鲁棒性不如树模型。(b)基于Bagging思想的学习器为随机森林，该基学习器的精确率为85％、F1分数为0.80、AUC值为0.82。基于Boosting的学习器为Adaboost、XGBoost以及Lightgbm。从结果上分析，将随机森林模型作为基学习器的辨识结果相比Adaboost在精确率上提升4％、F1分数提升了0.02、AUC值提升了0.02，但整体不如XGBoost和Lightgbm。可能原因为Adaboost分类器数目难设定，且数据不平衡会导致分类精度下降。(c)Boosting算法中，XGBoost和Lightgbm表现出较好的水平。其中XGBoost和Lightgbm模型的AUC值同为0.90，Lightgbm在精确率和F1分数两个衡量指标中取得了最优结果，整体结果略优于XGBoost。

当级联结构为组合学习器时，(a)组合学习器的整体辨识精度普遍优于单学习器的辨识精度。模型的多样性会增强级联结构分类能力，这是由于在训练阶段，各个基学习器在样本空间上基于自身的模型特性输出数据所属的类别标签，充分发挥了不同分类器的各自优势，全面学习样本的多个特征信息，它们在结构上的差异在处理特征信息差异的时候对整体的级联结构有加成的效果，形成互补。(b)CART、RF组合方式的精确率最低为0.77，F1分数最低为0.73，AUC值最低为0.75，说明当两种基学习器皆为集成学习模型时预测结果要优于其他组合的效果。Adaboost、XGBoost组合、Adaboost、Lightgbm组合以及XGBoost、Lightgbm组合的精确率、F1分数和AUC值普遍由于其他组合方式。其中最佳精确率为0.92，最佳F1分数为0.89，最佳AUC值为0.91。说明当模型组成为Bagging与Boosting时，其效果要优于两种Boosting算法的结合。因此，最终选择随机森林与Lightgbm两种模型相组合的方式来改进深度森林模型，其平均精确率指标为90.8％、平均召回率指标为89.0％、平均AUC分数指标为0.912。

结果显示，通过融合元学习和改进深度森林的方法能够有效应对小样本问题，防止模型陷入过拟合，相比原始网络攻击辨识方法，能够有效提高网络攻击辨识精度和速度，符合实际工程需求。

如图3所示，为本发明提供的一种电网CPS网络攻击辨识系统的一个实施例的示意图。在该实施例中，所述系统用以实现所述的电网CPS网络攻击辨识方法，包括：

样本集模块，用以从预先训练的电网量测数据里抽取多个样本，将抽取的样本按事故场景类别进行分类，将分类后的样本组成样本集；还用以从所述样本集中选取多个事故场景类别，每个事故场景的类别中选取两组样本，分别组成样本训练集和样本测试集；

训练模块，用以将所述样本训练集输入预设的网络攻击辨识模型进行训练，获取网络攻击辨识模型参数；将所述样本测试集输入预设的测试模型进行训练，获取测试参数；将所述网络攻击辨识模型参数与所述测试参数比较，获取比较结果；其中，所述比较结果包括一致或不一致；

辨识模块，用以比较结果为一致时，通过预设的网络攻击辨识模型对网络攻击进行辨识，获取网络攻击辨识结果；

电网量测数据模块，用以获取待训练的目标数据集，从目标数据集中随机采样多个事故场景，在事故场景中选取多个实时量测数据作为一个元任务数据集；从元任务数据集中每类实时量测数据中，随机采样多个实时量测数据作为支持集，将其余各场景的剩余实时量测数据作为查询集；实时量测数据，将所有事故场景中选取的实时量测数据构成一组训练数据，输入到预设的训练模型进行训练，获得第一训练结果；从查询集中抽取一个实时量测数据，用预设的训练模型判断其所属的事故场景类别，获得第二训练结果；根据所述第一训练结果和所述第二训练结果计算预设的训练模型的准确率，重复迭代并根据获取的多个准确率对预设的训练模型和目标数据集进行更新，获取更新后的训练模型；获取历史记录中的电网量测数据并输入所述更新后的训练模型进行训练，获得预先训练的电网量测数据。

具体实施例中，所述训练模块还用以将输入的样本训练集经过滑动窗口扫描样本集的时间特征，利用滑动窗口提取时间特征，根据样本集中数据的时间特征进行排序；将输入的样本训练集经过滑动窗口划分输出为电网时序特征向量；所述电网时序特征向量经过级联森林的第一层中各个弱学习器处理后，输出为网络攻击的概率，并将各个弱学习器的结果进行拼接形成向量后输出；所述训练模块还包括多种并联的基学习器，用以增加算法的多样性；所述基学习器至少包括逻辑回归决策树、分类与回归决策树；所述基学习器内设置根据每个分类器权重进行级联的弱分类器。

再具体地，所述训练模块还用于将所述网络攻击辨识模型参数与所述测试参数之间的差值与预设的阈值比较，当所述网络攻击辨识模型参数与所述测试参数之间的差值大于预设的阈值时，生成比较结果为不一致；当所述网络攻击辨识模型参数与所述测试参数之间的差值不大于预设的阈值时，生成比较结果为一致。

关于电网CPS网络攻击辨识系统的实现过程，可参考上述电网CPS网络攻击辨识方法的过程，在此不再赘述。

综上，实施本发明的实施例，具有如下的有益效果：

本发明提供的电网CPS网络攻击辨识方法，通过融合元学习和改进深度森林的网络攻击辨识方法，与现有技术中的传统采样方法相比，N-way K-shot采样方法更适合小样本问题，避免过拟合现象产生；进一步的，在深度森林异常检测算法上进行改进，对级联森林结构进行扩充，能够充分挖掘电网数据特性，有效提高辨识的精度与速度。

以上所揭露的仅为本发明较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。