CN115834161A - 一种人工智能四层架构的电网假数据注入攻击检测方法 - Google Patents

Abstract

本发明提出一种人工智能四层架构的电网假数据注入攻击检测方法，该检测方法的主要结构如下：将电网检测数据的传统检测法作为第一层；第二层为互补经验模态分解进行数据处理；第三层是门控循环单元神经网络，能训练得到电网状态估计的预测模型；第四层是基于全局局部图像转换网络法的图像识别层，将实时数据和基于实时数据得到的预测数据二者共同输入到第四层进行检测判断是否受到虚假数据注入攻击。所提的四层架构检测方法能解决传统检测法中存在部分数据重叠而导致难以检测到重叠部分是否受到攻击的问题，实现电网实时更简便更快速更精确地检测到假数据注入攻击，优化检测虚假数据攻击的整体结构，提高检测虚假数据的精度。

Description

一种人工智能四层架构的电网假数据注入攻击检测方法

技术领域

本发明属于电力系统智能电网攻击检测领域，涉及信号分析处理和图像识别搜索的方法，适用于电力系统状态估计的检测。

背景技术

随着智能电网的快速发展，越来越多的终端接入电力网络，使得智能电网愈发的复杂化，因而存在许多的信息攻击潜在危险，其中，对于信息依赖程度不高，且可以发起多种不同攻击的电网假数据注入攻击对于电网稳定和安全地运行具有严重的影响。

目前在电网虚假数据注入攻击检测上，传统的检测方法对于边缘数据检测不足，对稀疏恶意攻击不敏感，存在漏检或难以检测的问题；其次，检测虚假数据注入攻击方法多种多样，但由于智能电网的复杂性，各个方法的检测速度也有待进一步提高，才能够更快更准地得到结果。

另外，电网提取的信号一般为非线性非平稳序列，现有信号分析方法有经典的经验模态分解，其理论上能将任何类型的信号分解为若干个本征模态函数分量和一个残差分量，但经验模态在分解信号容易出现模态混叠现象，进而方法优化出现了集合经验模态分解方法，在原数据的基础上添加白噪声序列抵消部分原序列中的噪声序列，有效地抑制模态混叠的问题，但在改进过后，如果采样频率较高，仍然会导致噪声维度较高，对样本数据产生影响。而进行数据检测，常将模态分解与预测相结合，提高检测速度和精度，在现有研究中，由循环网络改进而来的长短期记忆神经网络常应用于记忆上一时态的状态进而处理后续状态，虽然有效地解决处理时间间隔远的数据会产生梯度消失的问题，但长短期记忆神经网络存在结构较为复杂和训练的时间过长的缺点。

除此之外，电网电力系统的状态估计是实时检测和动态变化的，在应用图像识别方面进行的检测方法中，基于卷积神经网络提取特征骨架的转化器主干的变压器在图像识别方面没有大的突破提高，更依赖于人工精心设计架构，存在较多的影响因素。

因此，提出一种人工智能四层架构的电网假数据注入攻击检测方法，通过层层检测来解决电网检测虚假数据稀疏恶意攻击难以攻击问题。其中应用互补经验模态分解进行采样信号处理，更好地解决模态混叠问题，保证样本数据的准确性，同时应用门控循环单元，在保留长短期记忆神经网络优点地同时极大地简化模型，提高收敛速度；同时采用优化后的长短期记忆门控单元对前一时段的数据进行预测，再结合本时段数据进行检测，并应用基于神经结构的全局局部网络图像转换网络进行高效检测，更快速高效地完成检测，同时能提高检测的精度。

发明内容

本发明提出一种人工智能四层架构的电网假数据注入攻击检测方法，构建电网状态估计的预测模型并采用分层图像识别方法实时检测电网数据，将数字和图像的人工智能方法进行结合，用于电网假数据注入攻击的检测，一种人工智能四层架构的电网假数据注入攻击检测方法相比较于传统的检测方法能更准确地检测出假数据注入攻击，提高检测的精度，同时应用多层图像处理提高检测的速度；在使用过程中的步骤为：步骤(1)：获取电网t-2时刻的负荷数据X_t-2；

电力系统模型的状态不仅依赖于当前的量测数据，还依赖于系统早期的状态，利用攻击前后量测数据变化量的统计特性差异，能到不依赖于特定的数学模型，具有强的普适意义，故根据电网t-2时刻的负荷数据X_t-2和系统拓扑结构数据M获取量测数据，由量测公式(1)得到系统t-1时刻的量测向量z_t-1和t时刻的量测向量z_t，由公式(2)计算得到系统t-1时刻的x_t-1和t时刻的状态向量x_t，为计算移地距离提供数据基础：

其中，x_t-2＝[X_t-2，M]^T，T表示转置，当获取的历史数据均为正常数据，h(·)为量测函数，表示状态向量和量测向量之间的关系，f(·)为状态向量的转移函数，e_t为t时刻的量测噪声向量，e_t-1为t-1时刻的量测噪声向量，v_t为t时刻的过程噪声向量，v_t-1为t-1时刻的过程噪声向量；

步骤(2)：采用基于移地距离的传统虚假数据注入攻击检测方法进行初步检测；

将联合图像变换技术应用到量测数据预处理，能使得量测数据概率分布函数的分布特征更显著，同时能提高概率分布函数的分辨率，提高攻击检测的准确率；将幂律变换和对数变换联合使用，能在不增加移地距离计算方法负担的情况下提高虚假数据检测的准确率，量测数据服从均匀分布且相互独立，采用公式(3)对t时刻的量测数据进行处理，T()称为图像变换函数，表示输入值和输出值之间的转换关系，分别用r_bh和s表示变换前后的量测数据变化量范围：

采用幂律变换得到的量测变化范围s₁为：

s₁＝Cr_bh ^γ (4)

其中，c是尺度比例常数，γ是指数常数，选取不同的γ值，幂律变换会确定不同输入输出的映射方式，公式(4)的幂律变换用于将较宽范围的量测数据变化量作为输入映射到较窄范围的量测数据变化量输出值，用于处理设置检测阈值时的量测数据变化量映射；

采用对数变换得到的量测变化范围s₂为：

s₂＝c log(1+r_bh) (5)

其中，公式(5)对数变换用于将较窄范围的量测数据变化量作为输入映射到较宽范围的量测数据变化量输出值，对数变换用于处理计算攻击时的量测数据变化量映射；

由步骤(1)采集并计算的量测数据向量，分别代入到公式(3)、(4)和(5)中，映射压缩得到受到攻击前一个月的基准量测数据变化量概率分布Q，拉伸得到受到攻击前一时段量测数据变化量概率分布P₁和当前时段待检测量测数据变化量概率分布P₂，P₁和P₂代表连续两个时间步长的量测数据变化量概率分布；

根据公式(6)计算移地距离EMD，在测度空间中，移地距离是一种度量指标，移地距离能衡量电力系统正常运行工况下与受到虚假数据注入攻击时的量测数据变化量的概率分布之间的差异度，移地距离的值越大，表明这两个数据分布差异越大，进而利用此差异度能实现对系统虚假数据注入攻击的检测，通过计算两个概率分布直方图之间的距离，能判断这两个概率分布直方图之间的相似性；

计算移地距离的公式(6)如下：

其中，P_m和Q是П(P_m，Q)的边缘分布，m＝1，2，П(P_m，Q)表示分布P_m和分布Q组成联合分布的集合，伽马分布γ_ydjl服从联合分布，对于每一个γ_ydjl，能根据(X_a，X_a-1)～γ_ydjl得到的负荷数据样本X_a和X_a-1，a表示a时刻，a-1表示与a时刻相差一个步长时间的时刻，并计算得到距离||X_a-X_a-1||，进一步计算距离期望

在联合发布集合中，移地距离EMD定义为能够对期望取到的下界，故根据公式(6)能计算正常工况下基准量测数据变化量与攻击前一个月时段的量测数据变化量概率分布之间的移地距离记为EMD₁，计算攻击时的量测数据变化量概率分布与正常工况下基准量测数据变化量概率分布之间的距离EMD₂；

阈值ε表示检测方法对量测数据变化量的容忍度，经过上述计算处理分别得到的实时数据和前一时段的量测数据的概率分布图，并将两概率变化分布图与从历史数据得到的基准量测数据变化概率分布图进行比较，得到的距离指标EMD1和EMD2，最后确定最佳阈值ε，判断实时待测数据的距离指标EMD2是否超过阈值，将EMD₂与检测阈值ε进行对比，如果超过阈值，则说明检测值存在攻击，反之，如果未超过阈值，则说明当前量测数据正常，公式如下：

由此初步判断是否受到电网假数据注入攻击，若检测到有攻击即输出检测到攻击，若未检测到攻击则进入步骤(3)进一步进行检测；

步骤(3)：提取任意相邻历史数据电信号序列X₄和X₅经过处理后分别作为测试集和训练集进行训练，得到电网状态估计预测模型；

采用互补经验模态分解方法进行模态分解处理测试集数据，对提取的历史数据X₄加入正负成对的高斯白噪声，得到新的信号：

其中，电信号序列X₄作为为原始数据；N为添加的白噪声；M₁为原信号添加正白噪声得到的信号，M₂为原信号添加负白噪声的得到的信号；

再对添加正白噪声和负白噪声得到的信号M₁和M₂依据公式(9)进行经验模态分解：

其中，对原始信号每次加入不同的正负成对的白噪声，加入白噪声的次数为λ，即集总平均次数λ；之后分别对添加正白噪声和添加负白噪声的信号做经验模态分解，c_ij表示第i次加入白噪声分解后得到的第j个本征模态函数，其中每个本征模态函数分量必须满足：在整个数据集中，极值数量和零交叉数量必须相等或最多相差1，同时在任何一点上，由局部最大值定义的包络线的平均值和由局部最小值定义的包络线的平均值都是0；满足条件的第j个本征模态函数分解后得到两组本征模态函数分量表示为c₁和c₂；再将分解得到的两组本征模态函数求平均值，c_j(t)为c₁、c₂在第j个本征模态函数的平均值；r为残差分量；最后对λ组本征模态函数分量求平均值，即得到最终的本征模态函数组分量IMF₁，IMF₂，...，IMF_n；H(t)表示最后得到的分解结果，由多个本征模态函数分量和一个残差分量组成；

由经验模态分解电信号序列X₄得到的多个本征模态函数分量IMF₁，IMF₂，...，IMF_n重组作为门控循环单元神经网的输入数据[IMF₁，IMF₂，...，IMF_n，r]^T，序列X₅作为门控循环单元神经网络的输出，进行多输入单输出的门控循环单元神经网络训练，利用门控循环单元神经网络的记忆能力能充分训练电信号序列，分解得到的多个本征模态函数分量和电信号序列X₅共同划分为训练集与测试集，划分比例为训练集∶测试集＝49∶1；门控循环单元神经网络将长短期记忆神经网络的三个门控单元结构简化为重置门和更新门两个门控单元，不存在单独的存储单元，极大地简化模型，提高收敛速度，在实现时序可控的原基础上提高样本的训练效率；

门控循环单元的重置门表示为r_t：

r_t＝σ′(W_r·[h_t-1，x_t]) (10)

门控循环单元的更新门表示为z_t：

z_t＝σ′(W_z[h_t-1，x_t]) (11)

当前记忆状态表示为

单元输出系统状态为h_t：

预测模型预测值的计算规则表示为y：

y＝σ′(W_o·h_t) (14)

其中，σ′和tanh分别为Sigmord激活函数和双曲正切函数，W_r是重置门的权重矩阵，W_z是更新门的权重矩阵，W_h是当前记忆状态的权重矩阵，W_o是单元输出状态的权重矩阵，基于门控循环单元神经网络的记忆功能，充分训练后，能预测电网状态估计的数据；

步骤(4)：将初步检测后的采用互补经验模态分解处理的实时数据得到的多个本征模态函数分量输入到预测模型得到基于当前时段的后时段的预测数据，再将经过互补经验模态分解的实时数据和预测数据共同输入全局局部图像网络转换层，进一步进行检测，判断实时数据是否受到数据攻击；

采用基于神经结构搜索的全局局部图像转换网络法，引入一个定位模块，定位模块以较少的计算量模拟图像中的局部相关关系，能以较少的计算成本进行明确建模，并基于定位模块，构建能让搜索方法在全局和局部信息之间自由交换的搜索空间，同时能优化每个模块的低级设计选择，再采用分层搜索的方法解决大搜索空间问题，分层搜索能稳定搜索过程，提高搜索性能，以获得更好的搜索结果；

整个基于神经结构搜索的全局局部图像转换网络法的构建描述为：首先训练一个包含定位模块和自我注意模块的网络，并确定高层全局和局部子模块的分布，用进化方法确定高层全局和局部子模块的分布，然后搜索高层次的全局-局部分布，进而再搜索低层次每个模块内的详细结构架构；搜索全局-局部模块的其他模块均以类似的方式进行搜索；

神经结构搜索的全局局部图像转换网络法的视觉变换器的整体的输入为二维图像，将二维图像分成N个块，把每一块扁平化为一维变量；其中，一个二维图像的特征由

表示，w_tx表示图像的宽度，h_tx表示图像的高度，c_tx表示图像的通道大小；把图像特征F分成大小为m_tx×m_tx的块，将每一块扁平化为一维向量后，将

重塑为

也是输入的一部分，并将

和一个类标记一起作为输入，并将所有的

输入标记发送给神经结构搜索的全局局部图像转换网络法结构中，最后一个块的输出类标记被发送到注意力机制的一个头，最后获得输出；

要构建合适的搜索空间，并寻找最佳架构：基于神经结构搜索的全局局部图像转换网络法由多个全局-局部模块构成，是在原始全局模块上引入局部子模块而构建的，然后再基于全局-局部模块设计特定的搜索空间，搜索空间将只包含结构参数，参数包括查询和值的特征维度、多头注意机制中的注意头数和神经架构搜索块的数量，但考虑自我注意机制的输入标记数量需要花费二次内存和计算负担，其次是实际操作上难以实现人类视觉系统的局部递归在稀疏的局部进行关联建模，故在多头注意机制中引入一个定位模块来扩大搜索空间，能减少计算负担和内存资源，并且能对稀疏的局部关联进行建模，定位模块只对附近的标记进行操作，需要较少的参数和计算；由神经结构搜索来决定使用定位模块和自我关注模块中的哪一个，将多头注意机制扩展的块作为全局-局部模块，因为它能捕获输入和输入标记之间的全局和局部的相关性；原始的变换器由全局-本地模块和前馈模块组成，在此基础上，在全局模块基础上进一步引入局部子模块，得到全局-局部模块，其中在全局子模块中计算注意力能表示出所有输入标记之间的关系，所有的

输入标记被线性转换为

键

和值

其中d_k和d_v是查询键和值中的每个标记的特征维度，设计变换器的局部子模块的计算方法如下：

基于神经结构搜索的全局局部图像转换网络法的变换器由C个全局-局部模块构成，C是一个常数，G表示自注意头的数量，L表示卷积头的数量，全局和局部模块的子模块在不同的全局-局部模块中的分布是不同的；查询、键和值被沿着维度被分成N个部分，它们表示为的输出表示为：

其中Q′_i、K′_i和V′_i是Q′、K′和V′的第i_mk部分，d_head是每个头的尺寸，d_he l于

N个头的输出值被串联起来并进行线性投影来构建最终的输出；

局部子模块应用一维卷积来建立局部连接，因为

输入标记不能直接重塑为二维数组，而且神经结构搜索的全局局部图像转换网络法的输入为一维符号序列，故应用一维卷积来建立局部连接；一个卷积头由三个卷积层组成，包括两个点式卷积层和中间的一个一维深度卷积层，每个卷积层之后都有归一化、激活和剔除层，第一个点式卷积层之后是激活层，其扩展率为E，将特征维度扩展为E倍，核大小为K的一维深度卷积层不改变特征维度，最后一个点式卷积层将特征维度投影回输入维度；

接着将全局和局部子模块结合起来，通过用本地子模块替换多头注意机制中的几个头来构建全局-本地模块，在适当的全局-局部比下，引入局部信息能带来更大的性能收益，选择每个全局-局部模块具有1个自注意头和2个卷积头的网络表现好；

除了全局-局部模块外，在每个GL块中包括有一个前馈模块来进一步转化输入特征，前馈模块由一个归一化层和两个全连接层组成，在它们之间还有Swish激活层和剔除层；前馈模块的输入f(X)，

表示为下式：

f(X)＝σ″(LN(X)W₁+b₁)W₂+b₂ (17)

其中，LN(·)表示归一化层，σ″(·)是Swish激活函数，

和

是全连接层的权重，

和b₂∈R^d是偏置项，d是第一层输入的特征维度，d_m是第二层输入的特征维度，

是前馈模块的扩展率；

全局-本地块的搜索空间包括高层次的全局-本地子模块分布和每个子模块的低级详细结构；引入全局-局部模块能进行有效搜索，能发现每个全局-局部区块中定位模块和自我注意模块的最佳分布；能通过搜索模块参数找到定位模块和自我注意模块的详细设置；通过搜索模块参数，找到定位模块和自留地模块的详细设置；提出一个分层神经结构搜索方法来寻找最佳网络，用分层神经结构搜索方法进行高层和低层模块的搜索，在高层的目标是搜索所有全局-局部块上的卷积和自注意头的分布，在低层，搜索目标是所有子模块的详细架构，能获得更好的搜索结果；

分层神经结构搜索法由两个阶段组成：在每个块中搜索全局和局部子模块的最优分布N^*，然后固定分布N^*并搜索全局和局部子模块的详细架构S^*；应用网训练、子网搜索和子网再训练能训练确定搜索全局和局部子模块的最优分布，采用相同的训练方法确定搜索全局和局部子模块的详细架构，不同在于改变搜索的空间和相应的随机数，这样将大的搜索空间划分为两个较小的搜索空间，减少总的搜索空间大小，也减少同时具有全局和局部子模块的搜索空间，更容易更好地获得模型；

采用互补经验模态分解处理的实时数据得到的多个本征模态函数输入到预测模型得到基于当前时段后的段的预测数据和实时数据共同输入到全局局部图像网络转换层，在设计的特定搜索模块中，能高效快速地检测判断实时数据是否受到虚假数据注入攻击。

本发明相对于现有技术具有如下的优点及效果：

(1)本发明对电信号进行处理采用互补经验模态分解方法，相较于经典的经验模态分解方法和集合经验模态分解方法，在原数据的基础上添加正负白噪声序列抵消部分原序列中的噪声序列，在分解信号时能更好的抑制模态混叠现象；相比较于集合经验模态分解方法直接添加白噪声序列，互补经验模态分解方法添加正负的白噪声序列可以相互抵消，减少处理的数据量，降低数据处理的维度，加快处理速度；

(2)本发明采用构建预测模型的方法应用数据检测，提高检测精度和速度；构建预测模型传统方法上采用循环网络，但是循环网络对数据长期依赖关系较弱，没有记忆性，之后改进的长短期记忆神经网络可应用于记忆上一时态的状态进而处理后续状态，虽然有效地解决处理时间间隔远的数据会产生梯度消失的问题，但长短期记忆神经网络存在结构较为复杂和训练的时间过长的缺点，故本发明应用门控循环单元神经网络训练构建预测模型，将长短期记忆神经网络的三个门控单元结构简化为重置门和更新门两个门控单元，不存在单独的存储单元，极大地简化模型，提高收敛速度，在实现时序可控的原基础上提高样本的训练效率；

(3)基于卷积神经网络的变换器在计算机视觉任务中深度学习有深远的影响，但是卷积神经网络识别输入图像构建全局关联性需要在骨干网提取特征，更依赖于人工精心设计架构，难以避免人为因素的影响；本发明采用的全局局部图像网络转换法主要分为两个部分：第一部分通过神经结构搜索能为特定的任务发现更好的变换器架构，发现最佳的网络结构，同时无需对额外的数据进行预训练；在视觉变换器模型的搜索空间中引入定位模块，降低计算成本，还能明确地进行局部相关性建模；第二部分则是针对建立的巨大的搜索空间进行搜索，采用分层神经结构搜索法来解决大的搜索空间问题，减少总的搜索空间大小，也减少同时具有全局和局部子模块的搜索空间，能获得更好的搜索结果。

附图说明

图1是本发明方法的整体流程框架图。

图2是本发明方法的基于移地距离的传统检测方法流程图。

图3是本发明方法的基于集合经验模态分解和门控循环单元的预测模型流程图。

图4是本发明方法的全局局部图像转换网络法流程图。

具体实施方式

本发明提出的一种人工智能四层架构的电网假数据注入攻击检测方法，结合附图详细说明如下：

图1是本发明方法的整体流程框架图。首先，将电网检测数据的传统检测法作为第一层，初步检测后未发现受到攻击，然后再将实时待测数据经过互补经验模态分解得到的多个本征模态函数序列数据作为第二层；第二层的输出序列作为输入进入第三层门控单元，训练得到电网状态估计的预测模型；之后将第二层的输出和实时数据经过预测模型得到的预测数据同时输入到第四层——基于全局局部图像转换网络法的图像识别层，检测判断是否受到虚假数据注入攻击。

图2是本发明方法的基于移地距离的传统检测方法流程图。首先，读取电网的实时和历史量测数据，在传统不良数据检测机制初筛后，经过计算处理分别得到由实时数据和前一时段的量测数据的概率分布图，并将两概率变化分布图与从历史数据得到的基准量测数据变化概率分布图进行比较，得到距离指标EMD1和EMD2，最后计算确定最佳阈值ε，判断实时待测数据的距离指标EMD2是否超过阈值，由此初步判断是否受到虚假数据注入攻击。

图3是本发明方法的基于集合经验模态分解和门控循环单元的预测模型流程图。首先，获取任意两相邻时段的电网历史电信号序列，经过归一化处理后，然后选取前一时段电信号进行互补经验模态分解得到多个本征模态函数IMF₁,IMF₂，…，IMF_n，以及一个残差分量r与后一时段的数据分别划分为测试集和训练集，经过不断的训练，在得到误差损失函数收敛之后完成训练，得到电力系统状态估计数据的预测模型。

图4是本发明方法的全局局部图像转换网络法流程图。将实时的数据分解得到的多个本征模态函数与基于实时数据输入预测模型得到的预测数据共同作为输入，依据全局依赖形成神经架构，再采用分层神经结构搜索方法，分为全局高层和局部低层搜索空间，先在全局进行对比检测，若未检测出异常，再对可能存在攻击的地方进行放大对比检测，进入低层局部搜索模块，按层次进行检测，提高检测速率。

以上所述仅为本发明的优选实施例,并非因此限制本发明的专利范围,凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换,或直接或间接运用在其他相关的技术领域,均同理包括在本发明的专利保护范围内。

Claims (1)

1.一种人工智能四层架构的电网假数据注入攻击检测方法，其特征在于，构建电网状态估计的预测模型并采用分层图像识别方法实时检测电网数据，将数字和图像的人工智能方法进行结合，用于电网假数据注入攻击的检测，一种人工智能四层架构的电网假数据注入攻击检测方法相比较于传统的检测方法能更准确地检测出假数据注入攻击，提高检测的精度，同时应用多层图像处理提高检测的速度；在使用过程中的步骤为：

步骤(1)：获取电网t-2时刻的负荷数据X_t-2；

电力系统模型的状态不仅依赖于当前的量测数据，还依赖于系统早期的状态，利用攻击前后量测数据变化量的统计特性差异，能到不依赖于特定的数学模型，具有强的普适意义，故根据电网t-2时刻的负荷数据X_t-2和系统拓扑结构数据M获取量测数据，由量测公式(1)得到系统t-1时刻的量测向量z_t-1和t时刻的量测向量z_t，由公式(2)计算得到系统t-1时刻的x_t-1和t时刻的状态向量x_t，为计算移地距离提供数据基础：

其中，x_t-2＝[X_t-2,M]^T,T表示转置，当获取的历史数据均为正常数据，h(·)为量测函数，表示状态向量和量测向量之间的关系，f(·)为状态向量的转移函数，e_t为t时刻的量测噪声向量，e_t-1为t-1时刻的量测噪声向量，v_t为t时刻的过程噪声向量，v_t-1为t-1时刻的过程噪声向量；

步骤(2)：采用基于移地距离的传统虚假数据注入攻击检测方法进行初步检测；

将联合图像变换技术应用到量测数据预处理，能使得量测数据概率分布函数的分布特征更显著，同时能提高概率分布函数的分辨率，提高攻击检测的准确率；将幂律变换和对数变换联合使用，能在不增加移地距离计算方法负担的情况下提高虚假数据检测的准确率，量测数据服从均匀分布且相互独立，采用公式(3)对t时刻的量测数据进行处理，T()称为图像变换函数，表示输入值和输出值之间的转换关系，分别用r_bh和s表示变换前后的量测数据变化量范围:

采用幂律变换得到的量测变化范围s₁为：

s₁＝cr_bh ^γ (4)

其中，c是尺度比例常数，γ是指数常数，选取不同的γ值，幂律变换会确定不同输入输出的映射方式，公式(4)的幂律变换用于将较宽范围的量测数据变化量作为输入映射到较窄范围的量测数据变化量输出值,用于处理设置检测阈值时的量测数据变化量映射；

采用对数变换得到的量测变化范围s₂为：

s₂＝c log(1+r_bh) (5)

其中，公式(5)对数变换用于将较窄范围的量测数据变化量作为输入映射到较宽范围的量测数据变化量输出值，对数变换用于处理计算攻击时的量测数据变化量映射；

由步骤(1)采集并计算的量测数据向量，分别代入到公式(3)、(4)和(5)中，映射压缩得到受到攻击前一个月的基准量测数据变化量概率分布Q，拉伸得到受到攻击前一时段量测数据变化量概率分布P₁和当前时段待检测量测数据变化量概率分布P₂，P₁和P₂代表连续两个时间步长的量测数据变化量概率分布；

根据公式(6)计算移地距离EMD,在测度空间中，移地距离是一种度量指标，移地距离能衡量电力系统正常运行工况下与受到虚假数据注入攻击时的量测数据变化量的概率分布之间的差异度，移地距离的值越大，表明这两个数据分布差异越大，进而利用此差异度能实现对系统虚假数据注入攻击的检测,通过计算两个概率分布直方图之间的距离，能判断这两个概率分布直方图之间的相似性；

计算移地距离的公式(6)如下:

其中，P_m和Q是∏(P_m,Q)的边缘分布，m＝1,2，∏(P_m,Q)表示分布P_m和分布Q组成联合分布的集合，伽马分布γ_ydjl服从联合分布，对于每一个γ_ydjl，能根据(X_a,X_a-1)～γ_ydjl得到的负荷数据样本X_a和X_a-1，a表示a时刻，a-1表示与a时刻相差一个步长时间的时刻，并计算得到距离‖X_a-X_a-1‖，进一步计算距离期望

在联合发布集合中，移地距离EMD定义为能够对期望取到的下界，故根据公式(6)能计算正常工况下基准量测数据变化量与攻击前一个月时段的量测数据变化量概率分布之间的移地距离记为EMD₁，计算攻击时的量测数据变化量概率分布与正常工况下基准量测数据变化量概率分布之间的距离EMD₂；

阈值ε表示检测方法对量测数据变化量的容忍度，经过上述计算处理分别得到的实时数据和前一时段的量测数据的概率分布图，并将两概率变化分布图与从历史数据得到的基准量测数据变化概率分布图进行比较，得到的距离指标EMD1和EMD2,最后确定最佳阈值ε，判断实时待测数据的距离指标EMD2是否超过阈值，将EMD₂与检测阈值ε进行对比，如果超过阈值，则说明检测值存在攻击，反之，如果未超过阈值，则说明当前量测数据正常，公式如下：

由此初步判断是否受到电网假数据注入攻击，若检测到有攻击即输出检测到攻击，若未检测到攻击则进入步骤(3)进一步进行检测；

步骤(3)：提取任意相邻历史数据电信号序列X₄和X₅经过处理后分别作为测试集和训练集进行训练，得到电网状态估计预测模型；

采用互补经验模态分解方法进行模态分解处理测试集数据，对提取的历史数据X₄加入正负成对的高斯白噪声，得到新的信号：

其中，电信号序列X₄作为为原始数据；N为添加的白噪声；M₁为原信号添加正白噪声得到的信号，M₂为原信号添加负白噪声的得到的信号；

再对添加正白噪声和负白噪声得到的信号M₁和M₂依据公式(9)进行经验模态分解：

其中，对原始信号每次加入不同的正负成对的白噪声，加入白噪声的次数为λ，即集总平均次数λ；之后分别对添加正白噪声和添加负白噪声的信号做经验模态分解，c_ij表示第i次加入白噪声分解后得到的第j个本征模态函数，其中每个本征模态函数分量必须满足：在整个数据集中，极值数量和零交叉数量必须相等或最多相差1，同时在任何一点上，由局部最大值定义的包络线的平均值和由局部最小值定义的包络线的平均值都是0；满足条件的第j个本征模态函数分解后得到两组本征模态函数分量表示为c₁和c₂；再将分解得到的两组本征模态函数求平均值，c_j(t)为c₁、c₂在第j个本征模态函数的平均值；r为残差分量；最后对λ组本征模态函数分量求平均值，即得到最终的本征模态函数组分量IMF₁,IMF₂,…,IMF_n；H(t)表示最后得到的分解结果，由多个本征模态函数分量和一个残差分量组成；

由经验模态分解电信号序列X₄得到的多个本征模态函数分量IMF₁,IMF₂,…,IMF_n重组作为门控循环单元神经网的输入数据[IMF₁,IMF₂,…,IMF_n,r]^T，序列X₅作为门控循环单元神经网络的输出，进行多输入单输出的门控循环单元神经网络训练，利用门控循环单元神经网络的记忆能力能充分训练电信号序列，分解得到的多个本征模态函数分量和电信号序列X₅共同划分为训练集与测试集，划分比例为训练集：测试集＝49:1；门控循环单元神经网络将长短期记忆神经网络的三个门控单元结构简化为重置门和更新门两个门控单元，不存在单独的存储单元，极大地简化模型，提高收敛速度，在实现时序可控的原基础上提高样本的训练效率；

门控循环单元的重置门表示为r_t：

r_t＝σ′(W_r·[h_t-1,x_t]) (10)

门控循环单元的更新门表示为z_t：

z_t＝σ′(W_z[h_t-1,x_t]) (11)

当前记忆状态表示为

单元输出系统状态为h_t：

预测模型预测值的计算规则表示为y：

y＝σ′(W_o·h_t) (14)

其中，σ′和tanh分别为Sigmord激活函数和双曲正切函数，W_r是重置门的权重矩阵，W_z是更新门的权重矩阵，W_h是当前记忆状态的权重矩阵，W_o是单元输出状态的权重矩阵，基于门控循环单元神经网络的记忆功能，充分训练后，能预测电网状态估计的数据；

步骤(4)：将初步检测后的采用互补经验模态分解处理的实时数据得到的多个本征模态函数分量输入到预测模型得到基于当前时段的后时段的预测数据，再将经过互补经验模态分解的实时数据和预测数据共同输入全局局部图像网络转换层，进一步进行检测，判断实时数据是否受到数据攻击；

采用基于神经结构搜索的全局局部图像转换网络法，引入一个定位模块，定位模块以较少的计算量模拟图像中的局部相关关系，能以较少的计算成本进行明确建模，并基于定位模块，构建能让搜索方法在全局和局部信息之间自由交换的搜索空间，同时能优化每个模块的低级设计选择，再采用分层搜索的方法解决大搜索空间问题，分层搜索能稳定搜索过程，提高搜索性能，以获得更好的搜索结果；

整个基于神经结构搜索的全局局部图像转换网络法的构建描述为：首先训练一个包含定位模块和自我注意模块的网络，并确定高层全局和局部子模块的分布，用进化方法确定高层全局和局部子模块的分布，然后搜索高层次的全局-局部分布，进而再搜索低层次每个模块内的详细结构架构；搜索全局-局部模块的其他模块均以类似的方式进行搜索；

神经结构搜索的全局局部图像转换网络法的视觉变换器的整体的输入为二维图像，将二维图像分成N个块，把每一块扁平化为一维变量；其中，一个二维图像的特征由

表示，w_tx表示图像的宽度，h_tx表示图像的高度，c_tx表示图像的通道大小；把图像特征F分成大小为m_tx×m_tx的块，将每一块扁平化为一维向量后，将

重塑为

也是输入的一部分，并将

和一个类标记一起作为输入，并将所有的

输入标记发送给神经结构搜索的全局局部图像转换网络法结构中，最后一个块的输出类标记被发送到注意力机制的一个头，最后获得输出；

要构建合适的搜索空间，并寻找最佳架构：基于神经结构搜索的全局局部图像转换网络法由多个全局—局部模块构成，是在原始全局模块上引入局部子模块而构建的，然后再基于全局-局部模块设计特定的搜索空间，搜索空间将只包含结构参数，参数包括查询和值的特征维度、多头注意机制中的注意头数和神经架构搜索块的数量，但考虑自我注意机制的输入标记数量需要花费二次内存和计算负担，其次是实际操作上难以实现人类视觉系统的局部递归在稀疏的局部进行关联建模，故在多头注意机制中引入一个定位模块来扩大搜索空间，能减少计算负担和内存资源，并且能对稀疏的局部关联进行建模，定位模块只对附近的标记进行操作，需要较少的参数和计算；由神经结构搜索来决定使用定位模块和自我关注模块中的哪一个，将多头注意机制扩展的块作为全局-局部模块，因为它能捕获输入和输入标记之间的全局和局部的相关性；

原始的变换器由全局-本地模块和前馈模块组成，在此基础上，在全局模块基础上进一步引入局部子模块，得到全局-局部模块，其中在全局子模块中计算注意力能表示出所有输入标记之间的关系，所有的

输入标记被线性转换为

键

和值

其中d_k和d_v是查询键和值中的每个标记的特征维度，设计变换器的局部子模块的计算方法如下：

基于神经结构搜索的全局局部图像转换网络法的变换器由C个全局-局部模块构成，C是一个常数，G表示自注意头的数量，L表示卷积头的数量，全局和局部模块的子模块在不同的全局-局部模块中的分布是不同的；

查询、键和值被沿着维度被分成N个部分，它们表示为的输出表示为：

其中Q′_i、K′_i和V_i′是Q′、K′和V′的第i_mk部分，d_headi是每个头的尺寸，d_headil于

N个头的输出值被串联起来并进行线性投影来构建最终的输出；

局部子模块应用一维卷积来建立局部连接,因为

输入标记不能直接重塑为二维数组，而且神经结构搜索的全局局部图像转换网络法的输入为一维符号序列，故应用一维卷积来建立局部连接；一个卷积头由三个卷积层组成，包括两个点式卷积层和中间的一个一维深度卷积层，每个卷积层之后都有归一化、激活和剔除层，第一个点式卷积层之后是激活层，其扩展率为E，将特征维度扩展为E倍,核大小为K的一维深度卷积层不改变特征维度,最后一个点式卷积层将特征维度投影回输入维度；

接着将全局和局部子模块结合起来，通过用本地子模块替换多头注意机制中的几个头来构建全局-本地模块，在适当的全局-局部比下，引入局部信息能带来更大的性能收益，选择每个全局-局部模块具有1个自注意头和2个卷积头的网络表现好；

除了全局-局部模块外，在每个GL块中包括有一个前馈模块来进一步转化输入特征，前馈模块由一个归一化层和两个全连接层组成，在它们之间还有Swish激活层和剔除层；前馈模块的输入f(X)，

表示为下式：

f(X)＝σ″(LN(X)W₁+b₁)W₂+b₂ (17)

其中，LN(·)表示归一化层，σ″(·)是Swish激活函数，

和

是全连接层的权重，

和b₂∈R^d是偏置项，d是第一层输入的特征维度，d_m是第二层输入的特征维度，

是前馈模块的扩展率；

全局-本地块的搜索空间包括高层次的全局-本地子模块分布和每个子模块的低级详细结构；引入全局-局部模块能进行有效搜索，能发现每个全局-局部区块中定位模块和自我注意模块的最佳分布；能通过搜索模块参数找到定位模块和自我注意模块的详细设置；通过搜索模块参数，找到定位模块和自留地模块的详细设置；提出一个分层神经结构搜索方法来寻找最佳网络，用分层神经结构搜索方法进行高层和低层模块的搜索，在高层的目标是搜索所有全局-局部块上的卷积和自注意头的分布，在低层，搜索目标是所有子模块的详细架构，能获得更好的搜索结果；

分层神经结构搜索法由两个阶段组成：在每个块中搜索全局和局部子模块的最优分布N^*,然后固定分布N^*并搜索全局和局部子模块的详细架构S^*；应用网训练、子网搜索和子网再训练能训练确定搜索全局和局部子模块的最优分布，采用相同的训练方法确定搜索全局和局部子模块的详细架构，不同在于改变搜索的空间和相应的随机数，这样将大的搜索空间划分为两个较小的搜索空间，减少总的搜索空间大小，也减少同时具有全局和局部子模块的搜索空间，更容易更好地获得模型；

采用互补经验模态分解处理的实时数据得到的多个本征模态函数输入到预测模型得到基于当前时段后的段的预测数据和实时数据共同输入到全局局部图像网络转换层，在设计的特定搜索模块中，能高效快速地检测判断实时数据是否受到虚假数据注入攻击。

Images