[发明专利]基于窃电嫌疑程度的智能电网邻域网络恶意用户检测方法

权利要求书

1.一种基于窃电嫌疑程度的智能电网邻域网络恶意用户检测方法，其特征在于，基于用户的窃电嫌疑程度，建立一棵以用户为叶子节点的二叉检测树，并将其作为逻辑结构辅助查找恶意用户；在该树中，嫌疑程度越大的用户距离根节点越近，并且越靠左排列；在恶意用户检测阶段，采用自顶向下和深度优先搜索原则；子检测器只对该二叉检测树上的左孩子节点进行实际检测；当某节点为右孩子节点时，通过计算该节点子树上的用户总窃电量来判断是否需要对其进行进一步检测，包括以下步骤：

在智能电网邻域网络的配电室中，安装检测器盒子来监控区域中的用户窃电情况；该检测器盒子由以下两个部分组成：

首检测器：负责检测该邻域网络中是否存在恶意用户；首先根据历史数据来评估用户的窃电嫌疑程度，并以此建立一棵以用户节点作为叶子节点的二叉检测树作为逻辑结构，然后调用子检测器在该逻辑结构上进行进一步检测；

子检测器：负责对邻域网络中的恶意用户进行定位；

窃电嫌疑程度评估阶段：根据用户的历史数据估算用户的窃电嫌疑程度；

二叉检测树建立阶段：基于用户嫌疑程度，建立一棵以用户作为叶子节点的二叉检测树；

恶意用户检测阶段：以二叉检测树作为逻辑结构，逐步定位该邻域网络中的恶意用户；

所述二叉检测树建立阶段包括以下步骤：

(1)用n个叶子节点对集合Z进行初始化：Z＝{z_i,i＝1,2,…,n}，其中z_i表示用户i对应的叶子节点，每个叶子节点z_i包含三个属性：嫌疑程度z_i.susp、左孩子节点z_i.lchild、右孩子节点z_i.rchild；其中，z_i.susp初始化为用户i的嫌疑程度，z_i.lchild和z_i.rchild初始化为空节点；

(2)对集合Z中的节点进行合并操作，具体步骤如下：

(2.1)创造新节点z；

(2.2)选取集合Z中嫌疑程度最小的两个节点z′和z″，分别作为新节点z的左、右孩子节点；新节点z的嫌疑程度更新为节点z′和z″的嫌疑程度之和；

(2.3)更新节点集合Z为：(Z-{z′,z″})∪z；

(2.4)若集合Z中存在不止一个节点，则重复步骤(2.1)到(2.3)，直到集合Z中只存在一个节点为止；否则保留唯一的节点；

(3)集合Z中所剩下的唯一节点即为所建立二叉检测树的根节点；

(4)从根节点开始，自顶向下对所建立二叉检测树中含有叶子节点的层进行重排列操作，使得叶子节点位于该层最左端且嫌疑程度从左到右依次递减，内部节点位于该层最右端；

所述恶意用户检测阶段包括以下步骤：

(1)若节点z为根节点，则先后更新节点z为z.lchild和z.rchild；

(2)对于二叉检测树上的任意左孩子节点z，测量并计算数据上报周期内以节点z为根的子树下所包含的用户的窃电总量x(i,t_z,Ω_z)，其中，t_z表示节点z被检测的周期，Ω_z表示以节点z为根的子树下所包含的用户，具体步骤如下：

(2.1)测量电网公司在周期t_z下分到Ω_z中所有用户的总电量r(i,t_z,Ω_z)；

(2.2)接收以节点z为根的子树下所有用户在周期t_z上报的用电数据q′(j,t_z),j∈Ω_z；

(2.3)计算其中δ(j,t)为用户j在周期t内的技术性损失；

(2)对于二叉检测树上的任意右孩子节点z，计算t_z.parent表示节点z.parent被检测的周期，Ω_z.parent表示以节点z.parent为根的子树下所包含的用户；

(3)若x(i,t_z,Ω_z)＞0或者x(i,t_z.parent,Ω_z)＞0，则子树z下含有恶意用户；若Ω_z有且只有一个用户，则该用户为恶意用户，并更新该用户的窃电前科；否则，对子树z进一步检测，具体步骤如下：

(3.1)更新Ω_z中用户的嫌疑程度；

(3.2)根据更新后的嫌疑程度，更新子树z的结构；

(3.3)先后更新节点z为z.lchild和z.rchild，重复步骤(1)到(3)；

(4)若判断完所有用户是否窃电，则结束。