CN106296465B

CN106296465B - 一种智能电网异常用电行为检测方法

Info

Publication number: CN106296465B
Application number: CN201610711185.6A
Authority: CN
Inventors: 周颖杰; 张颉; 王博; 洪晔
Original assignee: Sichuan University
Current assignee: Sichuan University
Priority date: 2016-08-23
Filing date: 2016-08-23
Publication date: 2020-05-08
Anticipated expiration: 2036-08-23
Also published as: CN106296465A

Abstract

本发明公开一种智能电网异常用电行为检测方法，通过各用户不同用电业务类型电能使用量随时间的变化来描述用户的用电行为，充分反映用户的用电特征；使用用户间用电行为的相似性对用户进行分簇，利用同用户簇中用户用电行为的相互关联以及用户用电行为与其历史用电行为的相关性，来刻画异常用电行为与其正常行为模式的偏离，保证了异常用电行为检测的有效性；通过对固定时间间隔内的累计用户用电行为数据进行分析，能够在满足检测精度要求的前提下，避免海量实时数据在分析中引入过多噪声，使得方法具有较好的动态适应性；通过对固定时间间隔内的累计用户用电行为数据进行分析，减小了原始数据量，使得本申请公开的检测方法能够满足实时性要求。

Description

一种智能电网异常用电行为检测方法

技术领域

本发明涉及电力电网领域，特别涉及一种智能电网异常用电行为检测技术。

背景技术

智能电网用电行为是指智能电网中用户(如住宅用户、商业用户等)的电力使用行为。相应的，智能电网异常用电行为表现为智能电网中用户用电行为与其正常行为模式的偏离或违背。

智能电网中的异常用电行为可能是黑客对系统进行攻击导致的，如篡改智能电表的电力使用记录；也可能是用户电力使用习惯的突然改变所导致，如电力使用对象的改变、电力使用对象的用电目的改变；或者是用电设备的异常状态所导致，如某些设备由于故障或线路老化而造成的用电量增长。这些异常用电行为可能会导致对未来电力需求的错误判断，给电力公司造成严重的经济损失，可能会影响电力网络的正常运行，甚至影响人们正常的生活和生产。快速、准确地检测这些异常用电行为意义重大。

目前，在智能电网中进行异常用电行为检测主要存在以下几方面的困难：

1.在智能电网中，攻击者可能在系统的任意位置进行攻击，对相关数据进行篡改；精心设计地攻击在基于电流、电压、相位等的状态估计中无法被观测到，也无法被任何不良数据辨识器检出。

2.智能电网能够通过先进的测量、传感、通信等技术得到相较于传统电网更多、更细致的参数，从而详细地对每个用户的实时用电行为进行描述，但是，所有用户的实时用电数据极其庞大，保证异常用电行为检测的实时性具有挑战。

3.智能电网中用户的用电行为受诸多因素影响，包括用户自身的需求、供电系统运行策略的限制、供电系统最大容量的限制、电能使用成本优化策略的限制等，使得用户的用电行为具有很强的动态变化性，这要求异常用电行为检测方法具有较强的动态适应性。

目前，国内外可用于智能电网异常用电行为检测的方法主要可以分为两类：

1).基于状态估计的方法：使用基于电流、电压、相位等的状态估计进行综合分析，以检测异常用电行为。如基于快速检测(Quick Detection，QD)的方法、基于累积和(Cumulative SUM，CSCUM)的方法等。该类方法需要一组受信任的基本测量集，即假设系统中部分位置不会受到攻击或发生故障；或安装额外的电力监测设备保证电力网络整体状态估计的有效性。以上两个条件要么在实际中难以实现，要么会大大增加系统的建设成本，并提高检测问题的复杂性。

2).基于系统动态模拟的方法：利用从智能电网获得的用户实时用电参数构建动态模型，在对用电行为进行模拟的基础上，检测异常用电行为。如基于基尔霍夫电流定律(Kirchoff's Current Law，KCL)的模型、基于基尔霍夫电压定律(Kirchoff's VoltageLaw，KVL)的模型等。该类方法能够检测出用于用电行为相较于其历史行为的偏离或由于设备故障灯引起的异常用电行为，但难以检测出精心设计的虚假数据注入攻击(FalseDataInjection Attack，FDIA)。并且，该类方法的建模和分析计算复杂度较高，在实际中难以保证异常用电行为检测的实时性。

发明内容

本发明为解决上述技术问题，提出了一种智能电网异常用电行为检测方法，通过构建各用户关于不同用电类型电能使用数据的历史时窗，将具有相似用电行为的用户聚类成簇；然后，通过在各个具有相似用电行为的用户簇中依次计算每个用户当前时刻的异常分数，检测异常的用电行为。

本发明采用的技术方案是：一种智能电网异常用电行为检测方法，包括：

S1、根据各用户的用电类型的电能使用量确定用电特征参数；

S2、根据步骤S1确定的用电特征参数，构建各用户的用电特征参数多时间序列；

S3、构建待检测时窗，形成初始待聚类用户簇集合，并根据各用户的用电特征参数多时间序列计算初始待聚类用户簇集合中各用户簇间的距离，得到若干相似用电行为的用户簇；

S4、根据异常系数和异常分数，依次对步骤S3得到的各用户簇中用户在时间点t的用电行为进行异常检测；

S5、判断当前时间点与上一次聚类得到具有相似用电行为的用户簇的时间点之间的时间间隔是否大于第一门限；若是则转至步骤S3；否则转至步骤S4直至完成所有相似用电行为的用户簇的用户用电行为异常检测。

进一步地，所述步骤S2具体为：根据预先设定的时间间隔，构建各用户的用电特征参数多时间序列{X_i,j(t)}；

其中，X_i,j(t)表示第i个用户的第j种用电类型在第t个时间间隔的电能使用量所对应的用电特征参数；j＝1,2,3…,n。

进一步地，所述步骤S3包括以下分步骤：

S31、根据步骤S2确定的时间间隔，以及时间周期长度，确定待检测时窗长度；

S32、构建初始待聚类用户簇集合，在待检测时窗中，第一次构建待聚类用户簇集合时，将每个用户视为一个只含有一个对象的用户簇，所有这些用户簇构成初始的待聚类用户簇集合；

S33、在待聚类用户簇集合中，若存在两个用户簇间距离均小于或等于第二门限d₀，则转到步骤S34；否则，转至步骤S37；

S34、在待聚类用户簇集合中，随机选取两个用户簇计算两个用户簇间距离d，若d≤d₀，则将这两个用户簇合并为一个新的用户簇，并将这个新的用户簇移出待聚类用户簇集合，然后更新待聚类用户簇集合；

S35、重复步骤S34，当待聚类用户簇集合中任意两个用户簇之间的距离大于d₀，或者更新后的待聚类用户簇集合中仅剩一个用户簇时，执行步骤S36；

S36、将当次迭代中从步骤S34到步骤S35中得到的被移出待聚类用户簇集合的各个新的用户簇，与步骤S35结束迭代时剩余的相互之间距离大于d₀的用户簇或者剩下的最后一个孤立用户簇一起构成新的待聚类用户簇集合，并返回步骤S33；

S37、在待聚类用户簇集合中，若每个用户簇包含的用户数目大于第三门限，则停止聚类，转到步骤S39；否则，转到步骤S38。

S38、选择一个用户数目小于或等于给第三门限的用户簇，计算该用户簇和其它用户簇之间的距离，将该用户簇和与它距离最近的用户簇进行合并；然后，返回步骤S37；

S39、得到若干相似用电行为的用户簇。

进一步地，步骤S33所述任意两个用户簇间距离计算式如下：

其中，d(A,B)表示分别处于两个簇的用户A和B之间的距离，n₁为簇C₁中的所有用户数目，n₂为簇C₂中的所有用户数目。

更进一步地，用户A和B之间的距离d(A,B)计算式如下：

其中，n为用户用电类型数量；m_j表示在待检测时间窗中，用户A和用户B在第j种用电类型上的电能使用量之和，j＝1,2,3,…,n；

表示在待检测时间窗中，用户A在第j种用电类型上的电能使用量随时间变化的各个值构成的向量，且

i₁为用户A的用户序号，t₀为当前时间点，L为待检测时间窗长度；

表示在待检测时间窗中，用户B在第j种用电类型上的电能使用量随时间变化的各个值构成的向量，

i₂为用户B的用户序号，t₀为当前时间点，L为待检测时间窗长度；

为在待检测时间窗中，用户A和用户B在第j种用电类型上的电能使用量随时间变化的各个值构成的向量

的余弦相似性。

更进一步地，步骤S33中所述第二门限的确定过程为：

A1、计算所有初始待聚类用户簇集合中两两用户簇之间的距离，并归一化为[0,1]；

A2、将区间[0,1]等分为100个小区域，分别计算各小区域中归一化距离值的数目，则100个小区域对应100个数值；

A3、将步骤A2中的100个数值作为一个序列，找出该序列中元素的极大值；

A4、将步骤A3中得到的极大值的0.9倍作为第二门限的值。

进一步地，所述步骤S4包括对步骤S3中的每一个用户簇中的用户进行在时间点t的用电行为进行异常检测，对单个用户在时间点t的用电行为进行异常检测包括以下分步骤：

B1、计算用户D在第t个时间间隔处的异常系数：

其中，n为用电特征参数数量；i₀为用户D的序号；

是一个符号函数，标识在时间点t，用户D的第j种用电特征参数对应的电能使用量是否有存在异常的可能，

|*|为取绝对值；

为在时间点t，用户D所在用户簇的其余用户在第j种用电特征参数对应的电能使用量较前一时间点变化的平均值，

k为一个常系数；

B2、判断异常系数是否等于0，若是，则转至步骤B3；否则用户D在时间点t的用电行为正常；

B3、计算用户D在时间点t的异常分数S_D(t)；

其中，n为用电特征参数数量；|*|为取绝对值；i₀为用户D的序号；m'_j表示在待检测时窗中，与用户D同用户簇的其它用户在第j种用电类型上的电能使用量之和，即

m'₁,m'₂,...,m'_n为m'_j的不同取值；

B4、判断异常分数是否大于第四门限，若是，则生成关于用户D在时间点t发生异常用电行为的告警；否则用户D在时间点t的用电行为正常。

本发明的有益效果：本发明的一种智能电网异常用电行为检测方法，通过构建各用户关于不同用电类型电能使用数据的历史时窗，将具有相似用电行为的用户聚类成簇；然后，通过在各个具有相似用电行为的用户簇中依次计算每个用户当前时刻的异常分数，检测异常的用电行为。本发明的方法具有以下优点：

1.本发明的方法保证了异常用电行为检测的有效性：通过各用户不同用电业务类型电能使用量随时间变化的来描述用户的用电行为，充分反映用户的用电特征；使用用户间用电行为的相似性(具有相似用电习惯、用电目的等的用户，在相同或相似的条件下，如气温、湿度等，其用电行为具有相似性)对用户进行分簇，利用同簇用户用电行为的相互关联以及用户用电行为与其历史用电行为的相关性，来刻画异常用电行为与其正常行为模式的偏离，保证了异常用电行为检测的有效性；

2.本发明的方法具有较好的动态适应性：通过对固定时间间隔内的累计用户用电行为数据进行分析，能够在满足检测精度要求的前提下，避免海量实时数据在分析中引入过多噪声(如短时间内的抖动、波动等)，使得方法具有较好的动态适应性；

3.本发明的方法能够满足实时性要求：通过对固定时间间隔内的累计用户用电行为数据进行分析，减小了原始数据量，使得本专利公开的检测方法能够满足实时性要求。

附图说明

图1为本发明的一种智能电网异常用电行为检测方法流程图。

具体实施方式

为便于本领域技术人员理解本发明的技术内容，下面结合附图对本发明内容进一步阐释。

如图1所示为本发明的方案流程图，本发明的技术方案为：一种智能电网异常用电行为检测方法，包括：

用户的用电行为习惯表现为该用户对于各电器的使用规律，比如：各电器用电的起始时间、各电器用电的持续时间、各电器用电的平均能耗等。异常用电行为是用户用电行为与其用电行为习惯的违背。本申请中使用具有相似用电习惯的用户簇以及用户簇中各用户关于不同用电类型的电能使用量来描述用户的用电行为习惯。通过构建具有相似用电习惯的用户簇，可利用同用户簇中用户用电行为的相互关联来帮助进行当前时间点异常用电行为的判断；各用户关于不同用电类型的电能使用量能反映各用户的用电行为特征，为揭示不同用户用电行为间的联系、同一用户用电行为与其历史用电行为的相关性提供条件。具有相似用电习惯的用户簇的构建方法在后续步骤中介绍。用户关于不同用电类型的电能使用量可通过已有技术对用户随时间变化的用电量、电流、电压、频率等电能使用信息分析得到。

本申请根据智能电网中用户对电能使用的性质，如住宅用电、商业用电等，不同，提取不同的用电特征参数。例如，对于住宅用电，可将其分为冰箱用电、微波炉用电、洗碗机用电、洗衣机或烘干机用电、烤箱用电、厨房设施用电、照明用电、卫浴用电、电热设备用电、网络设备用电和其它用电。本申请中使用n种不同用电类型的电能使用量描述用户的用电行为特征。

本申请使用固定的时间标度U来构建各用户的用电特征参数多时间序列。令X_i,j(t)表示第i个用户的第j种用电类型在第t个时间间隔的用电量，所有用户的n种不同用电类型电能使用量随时间的变化构成用电特征参数多时间序列，即{X_i,j(t)}(i为用户序号,t为时间间隔序号,j＝1,2,3…,n)。

本申请可根据智能电网用户群的不同选择不同的时间标度。例如，对于普通住宅用户，时间标度U的默认值为5分钟。使用该时间标度构建的用电特征参数多时间序列，能够满足检测的精度要求；同时，该时间标度能够将实际中秒级的电能使用采样数据进行规约，减小由于秒级数据剧烈的动态变化在分析中引入的噪声，使得方法具有较好的动态适应性；该时间标度也较原始的秒级采样数据减小了拟构建的时间序列长度，保证了检测的实时性需求。

本申请中称一个单位时间标度为一个时间间隔，序号为t的时间间隔记为时间点t，当前时刻所在时间间隔记为当前时间点。

S3、构建待检测时窗，形成初始待聚类用户簇集合，并根据各用户的用电特征参数多时间序列计算初始待聚类用户簇集合中，各用户簇间的距离，得到若干相似用电行为的用户簇；

根据步骤S2中使用的固定时间标度U，选择合适的时窗长度L作为待检测时窗长度。L可取2个周期时间长度内(如两周、两天，根据智能电网用户群的特点确定)单位时间标度的个数。如周期时间长度为一星期，时间标度为5分钟时，则L＝(60/5)*24*7。当前时间点以及其前L-1个时间间隔的数据构成待检测时窗中的数据。待检测时窗中的所有用户形成待聚类用户簇集合。

定义如下公式描述用户A和B间的距离d(A,B)：

式中，n为描述用户用电行为特征的用电类型数量；m_j表示在待检测时间窗中，用户A和B在第j种用电类型上的电能使用量之和，即

t₀为当前时间点，i为用户A和B对应的用户序号，L为待检测时间窗长度；m₁,m₂,...,m_n为m_j的不同取值；

表示在待检测时间窗中，用户A在第j种用电类型上的电能使用量随时间变化的各个值构成的向量，

为在待检测时间窗中，用户A和B在第j种用电类型上的电能使用量随时间变化的各个值构成的向量

的余弦相似性，

其中，“·”为两个向量的点积，

为向量

的模。

可由下式计算：

其中，i₁为用户A的用户序号，i₂为用户B的用户序号，t₀为当前时间点，L为待检测时间窗长度。

上述定义式中，由于sim(Z_A,Z_B)∈[-1,1]，并且其取值与用户A和B间距离的关系为负相关，为使d(A,B)的值非负且与用户A和B间距离的关系变为正相关，将d(A,B)取反+1后得到1-sim(Z_A,Z_B)，得到定义式中的形式。

反映了在待检测时间窗中，用户A和B第j种用电类型的用电量占全部类型用电量的比重。该比重数值越大的用电类型，对用户A和B间用电行为相似性的影响越大，对用户A和B间距离计算的影响也越大。

本申请用平均距离度量计算两个用户簇(用户簇C₁，用户簇C₂)之间的距离，计算公式如下：

其中，d(A,B)表示分别处于两个簇的用户A和B之间的距离，n₁为簇C₁中的所有用户数目，n₂为簇C₂中的所有用户数目。步骤S3具体包括以下步骤：

S32、初始待聚类用户簇集合构建。在新的待检测时窗中，第一次构建待聚类用户簇集合时(初始化时)，将每个用户视为一个只含有一个对象的用户簇，所有这些用户簇构成初始的待聚类用户簇集合。

S33、簇间距离条件是否满足的判定。在待聚类用户簇集合中，若存在两个簇间距离d(C₁,C₂)均小于或等于第二门限d₀，则转到步骤S34；否则，进行步骤S37。

第二门限d₀的计算方法如下：

A1、计算所有用户两两之间的距离并将其归一化到[0,1]；

A2、将区间[0,1]等分为100个小区域，分别计算位于100个小区域中归一化距离值的数目，100个小区域对应100个数值；这里划分的小区域个数，并不仅限于100个，本申请是为了方便理解与适应本申请的计算设定的100个，实际应用中对于不同的用电环境，该数值可通过实际数据测试确定。

A3、将步骤A2中的100个数值看做一个序列，找出该序列中元素的极大值；

A4、d₀为该序列中元素极大值的0.9倍。

S34、在待聚类用户簇集合中，随机选取两个用户簇计算用户簇间距d，若d≤d₀，则将这两个用户簇合并为一个新的用户簇，并将这个新的用户簇移出待聚类用户簇集合，然后更新待聚类用户簇集合；

S35、重复步骤S34，当更新后的待聚类用户簇集合中的任意两个用户簇之间的距离大于d₀，或者更新后的待聚类用户簇集合中仅剩一个用户簇，执行步骤S36；

S36、迭代过程中，若更新后的待聚类用户簇集合中的各个用户簇满足用户簇间距离条件，或者更新后的待聚类用户簇集合中仅剩一个用户簇，即，则将当次迭代中从步骤S34到步骤S35被移出待聚类用户簇集合的各个新的用户簇，与步骤S35结束后生育的用户簇之间的距离大于d₀的用户簇或者更新后的待聚类用户簇集合中剩下的一个孤立的用户簇一起构成新的待聚类用户簇集合，并返回步骤S33。将当次迭代中从步骤S34到步骤S35中得到的被移出待聚类用户簇集合的各个用户簇并返回步骤S33；

S37、在待聚类用户簇集合中，若每个用户簇包含的用户数目大于第三门限，本申请中默认为第三门限取为9，停止聚类，此时形成的各个用户簇，即为预期的多个具有相似用电行为的用户簇，结束聚类，转到步骤S39；否则，转到步骤S38。

S38、在待聚类集合中，选择一个用户数目小于或等于给第三门限的用户簇，计算该用户簇和其它用户簇之间的距离，将该用户簇和与它距离最近的用户簇进行合并；然后，返回步骤S37。

S39、经过步骤S31到S38，得到若干相似用电行为的用户簇。

S4、根据异常系数和异常分数，依次对步骤S3得到的各用户簇中用户在时间点t的用电行为进行异常检测，单个用户在时间点t的用电行为进行异常检测具体包括以下步骤：

B1、用户D在时间点t的异常系数A_D(t)定义如下：

其中，n为描述用户用电行为特征的用电类型数量；i₀为用户D的用户序号，在本实施例中i₀是一个特定的用户序号值；

是一个符号函数，标识在时间点t，用户D的第j种用电类型的电能使用是否有存在异常的可能，

其中，i0为用户D的用户序号；|*|为取绝对值；δ_i0,j(t)为在时间点t，用户D所在用户簇其余用户在第j种用电类型的用电量较前一时间点变化的平均值，

k为一个常系数，默认值为2。

B2、在时间点t，当用户D第j种用电类型的用电量变化值的绝对值，大于k倍同用户簇其他用户在该用电类型的变化平均值的绝对值时，则认为存在发生异常用电行为的可能，此时符号函数

否则认为不存在发生异常用电行为的可能，

若对于用户D在时间点t的每种用电类型具有

则异常分数A_D(t)＝0，此时，认为用户D在时间点t不存在发生异常用电行为的可能；否则，认为用户D在时间点t存在发生异常用电行为的可能，继续计算用户D在时间点t的异常分数。

B3、用户D在时间点t的异常分数S_D(t)定义如下：

其中，n为描述用户用电行为特征的用电类型数量；|*|为取绝对值；i0为用户D的用户序号；

为一个符号函数，具体定义同其在异常分数A_D(t)计算中的定义完全一致；

为在时间点t，用户D所在用户簇其余用户在第j种用电类型的用电量较前一时间点变化的平均值，

m'_j表示在待检测时间窗中，与用户D同用户簇的其它用户在第j种用电类型上的电能使用量之和，即

L为待检测时间窗长度，t为时间点序号；m'₁,m'₂,...,m'_n为m'_j的不同取值。

B4、上式中，

反映在时间点t，用户D第j种用电类型用电的异常状况；

为待检测时间窗中，第j种用电类型的用电量占全部类型用电量的比重。S_D(t)的取值非负，S₀为第四门限，若异常分数S_D(t)>S₀，则认为用户D在时间点t有异常用电行为发生，并生成关于用户D在时间点t发生异常用电行为的告警；否则，认为用户D在时间点t用电行为正常。

第四门限S₀可使用含有标签的训练样本计算得到；所述标签标识了发生异常用电行为的用户和时间点，训练样本中，用户发生异常用电行为所在时间点的所有异常分数的最小值记为S₀。

重复B1-B4，直至步骤S3得到的所有用户簇的用户均已完成异常检测。

S5、判断当前时间点与上一次聚类得到具有相似用电行为的用户簇的时间点之间的时间间隔是否大于第一门限值；若是则转至步骤S3；否则转至步骤S4直至完成所有相似用电行为的用户簇的用户用电行为异常检测。

在实际中，认为用户的用户簇用电习惯在短期内不会发生明显变化，因而可以在短期内使用同样的聚类具有相似用电行为的用户簇，来描述用户的用电行为习惯。定义第一门限N₀来判断是否需要更新具有相似用电行为的用户簇。若当前时间点与上一次聚类得到具有相似用电行为用户簇的时间点之间的时间间隔大于N₀，则进行更新，转到步骤S3；否则，不更新。N₀的默认值为一天中包含的单位时间标度数量。若单位时间标度数量为5分钟，则N₀＝(60/5)*24。

本领域的普通技术人员将会意识到，这里所述的实施例是为了帮助读者理解本发明的原理，应被理解为本发明的保护范围并不局限于这样的特别陈述和实施例。对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。