一种基于图神经网络的电力多源数据异常识别方法与流程

本技术涉及电力数据溯源，尤其涉及一种基于图神经网络的电力多源数据异常识别方法。

背景技术：

1、在电力行业的网络安全领域，高级持续性威胁（apt）检测是保障电力系统稳定运行的关键环节。然而，当前电力apt检测面临诸多技术难题，严重制约了检测效果和运维效率。

2、相关技术中，电力apt攻击往往体现为长时间潜伏与阶段式推进，将时间戳作为离散或绝对值特征直接输入图神经网络中，容易产生尺度不稳定与泛化不足的问题，导致模型对长时间跨度攻击行为的特征捕捉能力不足，难以精准识别出跨多个时间阶段的异常活动。同时，电力系统数据来源广泛，涵盖调度多个业务平台，不同来源数据的语义格式存在差异，缺少统一的建模标准，导致电力数据构成的溯源图规模大且包含大量背景噪声事件，模型容易被高频正常模式淹没，从而导致图神经网络容易出现过拟合问题，对低频次的异常攻击模式识别准确率较低，无法满足实际生产环境中电力多源数据异常识别的精度需求。

3、综上，相关技术中存在的技术问题有待得到改善。

技术实现思路

1、本技术实施例的主要目的在于提出一种基于图神经网络的电力多源数据异常识别方法，本发明通过对跨源电力数据进行prov语义映射建模，提高了图神经网络模型对电力多源数据特征的提取能力与泛化能力，能够有效解决不同来源数据语义不统一带来的噪声干扰问题，提升对低频次异常攻击的识别准确率。

2、为实现上述目的，本技术实施例的一方面提出了一种基于图神经网络的电力多源数据异常识别方法，所述方法包括：

3、获取事件记录集，所述事件记录集包括若干个事件记录，所述事件记录表征电力多源数据处理过程中产生的各实体操作行为信息；

4、对若干个所述事件记录进行prov语义映射处理，得到节点集合和边集合，并基于所述节点集合和所述边集合构建溯源图；

5、根据时间顺序对所述事件记录集进行事件划分处理，得到若干个运行片段，每个所述运行片段包括若干个事件记录，并将每个所述运行片段中的所有事件记录映射为溯源图样本；

6、将所述溯源图和所有所述溯源图样本输入到图神经网络中，输出异常片段，所述异常片段用于表示电力多源数据运行过程中存在异常的运行片段。

7、在一些实施例中，所述获取事件记录集，包括：

8、获取原始事件集，所述原始事件集包括若干个原始事件；

9、通过字段映射函数将所有所述原始事件映射为事件记录；

10、对若干个所述事件记录进行字段质量处理得到事件记录集。

11、在一些实施例中，所述根据时间顺序对所述事件记录集进行事件划分处理，得到若干个运行片段，包括：

12、将若干个所述事件记录按时间顺序进行排序，得到连续事件流；

13、对所述连续事件流进行时间特征提取处理，得到若干个时间间隔，所述时间间隔表征所述连续事件流中任意两个相邻的所述事件记录的时间差；

14、当所述时间间隔超过预设时间阈值时，将超过预设时间阈值的所述时间间隔确定为候选片段边界；

15、基于所述候选片段边界对所述连续事件流进行划分处理，得到若干个运行片段。

16、在一些实施例中，所述将每个所述运行片段中的所有事件记录映射为溯源图样本，包括：

17、获取所述运行片段对应的事件集合；

18、对所述事件集合中的事件记录进行特征提取，得到片段恶意比例和片段标签；

19、基于所述事件记录在溯源图中对应的节点和边得到样本结构特征，并通过映射函数对所述片段恶意比例、片段标签与所述样本结构特征进行映射处理，得到溯源图样本。

20、在一些实施例中，所述将所述溯源图和所有所述溯源图样本输入到图神经网络中，输出异常片段，包括：

21、通过图神经网络对所述溯源图的节点特征和结构特征进行嵌入学习，得到节点嵌入向量；

22、基于所述节点嵌入向量完成图级表示，得到所述溯源图样本的异常得分；

23、将异常得分超过预设异常阈值的所述溯源图样本对应的运行片段，确定为异常片段。

24、在一些实施例中，所述图神经网络包括图注意力编码器；所述通过图神经网络对所述溯源图的节点特征和结构特征进行嵌入学习，得到节点嵌入向量，包括：

25、对所述溯源图的节点特征和结构特征进行多特征编码处理，得到若干个类型的节点特征；

26、对所有所述节点特征进行特征拼接处理，得到初始增强融合特征；

27、通过所述图注意力编码器对所述初始增强融合特征进行特征增强处理，得到增强融合特征，基于所述增强融合特征得到节点嵌入向量。

28、在一些实施例中，所述方法还包括：

29、基于所有所述异常片段，在所述溯源图中筛选出若干个关键节点和关键边；

30、基于所有所述关键节点和所述关键边在所述溯源图中进行回溯，得到若干个候选的因果路径；

31、基于所有所述因果路径确定异常传播的起始节点和完整传播链路，定位电力多源数据的异常发生位置与异常传播过程。

32、为实现上述目的，本技术实施例的另一方面提出了一种基于图神经网络的电力多源数据异常识别系统，所述系统包括：

33、第一模块，用于获取事件记录集，所述事件记录集包括若干个事件记录，所述事件记录表征电力多源数据处理过程中产生的各实体操作行为信息；

34、第二模块，用于对若干个所述事件记录进行prov语义映射处理，得到节点集合和边集合，并基于所述节点集合和所述边集合构建溯源图；

35、第三模块，用于根据时间顺序对所述事件记录集进行事件划分处理，得到若干个运行片段，每个所述运行片段包括若干个事件记录，并将每个所述运行片段中的所有事件记录映射为溯源图样本；

36、第四模块，用于将所述溯源图和所有所述溯源图样本输入到图神经网络中，输出异常片段，所述异常片段用于表示电力多源数据运行过程中存在异常的运行片段。

37、为实现上述目的，本技术实施例的另一方面提出了一种电子设备，所述电子设备包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现前面所述的方法。

38、为实现上述目的，本技术实施例的另一方面提出了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现前面所述的方法。

39、本技术实施例至少包括以下有益效果：本技术提供一种基于图神经网络的电力多源数据异常识别方法，该方案包括获取关于电力多源数据的事件记录集，通过prov语义映射对事件记录集进行prov语义映射处理构建溯源图，完成跨源电力数据的统一建模，解决了不同来源数据语义格式不统一的问题，减少了溯源图中的背景噪声干扰，降低了模型被高频正常模式淹没的概率；基于时间间隔对所述事件记录集进行事件划分处理，将长时间跨度的攻击行为拆解为分段特征，缓解了时间特征尺度不稳定、泛化性不足的问题，提升了模型对跨阶段异常活动的特征捕捉能力；将所述溯源图和所有所述溯源图样本输入到图神经网络中，输出异常片段，通过结合图神经网络对溯源图样本的嵌入学习，能够精准挖掘低频次的异常攻击模式，提升了异常识别的准确率，为电力系统的网络安全运维提供清晰可靠的决策依据，满足实际生产环境下电力多源数据异常识别的精度与应用需求。