[發明專利]基于隨機森林算法攻擊識別方法及儲能協調控制裝置

在審

• 申請號: 201911342879.7
• 申請日: 2019-12-23
• 公開（公告）號: CN111107092A
• 公開（公告）日: 2020-05-05
• 發明（設計）人: 呂志寧;徐成斌;肖聲遠;寧柏鋒;陳銳;劉威;梁洪浩;汪偉;祖連興;丁凱;朱小帆;賀生國;何鴻雁;黃植煒;習偉;匡曉云;姚浩;于楊;簡淦楊;楊祎巍;陳遠生;占捷文;王乾剛
• 申請（專利權）人: 深圳供電局有限公司;長園深瑞繼保自動化有限公司;南方電網科學研究院有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 深圳市中知專利商標代理有限公司 44101
• 代理人: 孫皓;顧楠楠

1.一種基于隨機森林算法攻擊識別方法，其特征在于：包括如下步驟：

步驟一、獲取儲能協調控制裝置的所有數據流，所述數據流為是否受到攻擊的特征數據流或影響因子，所述數據流包括電網數據，包括公共連接點的電壓、電流、頻率、功率因數、諧波、三相電壓不平衡度、電壓波動和閃變、暫時過電壓和瞬態過電壓，PCS的上傳數據輸出有功功率及無功功率、電池的SOC、最大可充功率、最大可放功率、額定功率、工作狀態；

步驟二、采用隨機森林模型對數據流進行實時檢測，輸出檢測分類結果并根據檢測分類結果判斷數據流中是否存在攻擊行為，是則進入步驟三，否則進入步驟四；所述檢測分類結果包括正常數據流和/或問題數據流；正常數據流中包括至少一種電網數據；問題數據流中包括至少一種存在攻擊行為的電網數據；

步驟三、當檢測分類結果中數據流存在攻擊行為時，對正常數據流進行轉發；對問題數據流進行攻擊分類并攔截，同時發出攻擊報警以及生成日志記錄后結束；所述攻擊報警包括顯示攻擊行為的類型；；

步驟四、當檢測分類結果中數據流不存在攻擊行為時，對正常的數據流進行轉發。

2.根據權利要求1所述的基于隨機森林算法攻擊識別方法，其特征在于：所述步驟三中對問題數據流進行分類具體為：當問題數據流中的電網數據存在某一類攻擊行為時，將該電網數據歸入相應的分類中，所述分類包括：Dos攻擊、DDos攻擊、未授權訪問攻擊、接口端非正常探測、木馬攻擊、電氣量和氣象等數據偽造和篡改攻擊類型。

3.根據權利要求1所述的基于隨機森林算法攻擊識別方法，其特征在于：所述步驟二中隨機森林模型采用以下方法獲得：

一、將數據流作為訓練樣本，建立N個訓練樣本集以及M個特征，所述N為訓練樣本集的個數，M為特征的數目，構建至少一棵樹對訓練樣本集進行訓練；

二、確定特征值

通過判斷m個特征在單棵樹中的重要程度以及計算m個特征在所有樹中的重要程度，然后對m個特征的重要程度進行排序，去除重要程度低的部分特征，得到新的特征集；

三、對隨機森林模型進行更新迭代，在隨機森林模型中找出最優的隨機森林模型作為最終的隨機森林模型。

4.根據權利要求3所述的基于隨機森林散發攻擊識別方法，其特征在于：所述確定特征值包括：

(1)通過隨機改變某一特征的屬性值來判斷該特征在這棵樹中是否起到了作用或該特征在這棵樹中無效；所述屬性值為特征的屬性，

(2)比較改變前和改變后的測試集誤差率，將測試集誤差率的差距作為該特征在該樹中的重要程度，通過對一棵樹中的m個特征計算一次，以獲得m個特征在該樹中的重要程度；

誤差率采用下式獲得：

其中，i指特征的編號，TP：正確預測到的正例的數量，TN：正確預測到的負例的數量，FP：把負例預測成正例的數量，FN：把正例預測成負例的數量；所述正例為是，負例為不是；

(3)計算各特征在森林中的重要程度，則取這個特征值在多棵樹中的重要程度的均值作為該特征在森林中的重要程度；

其中，MDA表示平均精確率減少----Mean decrease accuracy；A_i中A表示特征，i表示該特征的編號：nsum表示特征A_i在森林中出現的次數，OOBerrt_a表示第t棵樹中A_i屬性值改變之后的袋外誤差率，OOBerrt_b表示第t棵樹中正常A_i值的袋外誤差率；

所述袋外誤差率采用下式獲得：

其中，i指特征的編號，TP：正確預測到的正例的數量，TN：正確預測到的負例的數量，FP：把負例預測成正例的數量，FN：把正例預測成負例的數量。

(4)在得到所有特征在森林中的重要程度后，將所有的特征按照重要程度進行排序，去除森林中重要程度低的部分特征，得到新的特征集，從而完成一次迭代。