基于智慧用电平台的异常行为检测技术研究

基于智慧用电平台的异常行为检测技术研究目录TOC\o"1-3"\h\u22938摘要 引言随着社会的不断发展和电力需求的增长，智能电网的建设成为了迫切的需求。智能用电平台作为智能电网的基础设施之一，具有监测、控制和管理用电设备的能力，为用电管理提供了便捷与智能化的解决方案。然而，随着智能用电平台的广泛应用，也带来了一系列的问题和挑战。智能用电平台的异常行为是智能电网面临的一个重要问题。异常行为包括违规用电、用电设备故障等非正常行为。这些异常行为不仅造成了能量的浪费，还给电网带来了巨大的危害，如电力负荷过载、电网安全隐患等。因此，及时监测和分析智能用电平台的异常行为，对于保障电网用电安全、提高电网的可靠性和稳定性具有重要的现实意义与应用价值。目前，对于智能用电平台的异常行为分析，在国内外学术界和工业界都存在一定的研究和实践。然而，由于智能用电平台具有数据量大、复杂性高和实时性强的特点，传统的分析方法已经无法满足其需求。在大数据时代背景下，大量的数据对信息系统的安全性产生了相当大的影响。这还表明，目前的信息安全技术还面临着这样的风险：随着数据的大量增加，传统的通信公司的信息安全体系结构不再能够保证其安全；新的攻击手段层出不穷，目前的网络安全系统根本发现不了它们的异常，所以根本就来不及反应。为此，通信企业在原有的网络安全系统中，对其进行了数据结构的重构，从而提高了企业的信息安全性。第一章系统总体架构电信企业行业发展过程中，由于其海量的数据以及其所蕴含的信息的增值，使得通信产业的非正常活动呈现出多样化的态势，使得通信产业的各项管理工作面临严峻的考验。为此，通信企业应对其进行有效的监测，准确追溯其入侵途径，制定相应的预防策略，从而保证其网络信息的安全性。基于各层级的网络异常检测体系结构差异，如图1-1所示。图1-1网络异常行为检测体系各层次之间均能使用标准接口、数据进行连接，因此就减少了层次之间数据组件问题而对其它构建造成影响。（1）数据采集层。该层是采集网络中的数据源，将网络行为日志记录并发送给kafka。（2）数据处理层。在此基础上，通过对采集层、处理层和存储层的数据进行有效的分离，从而使采集层、处理层和存储层之间的数据业务相互分离。（3）数据存储层。该层的作用是读取kafka中的数据源、分析记录，并将其存储到分布式数据库hdfs、Hbase等，并将其存储在RMDB中。（4）分析计算层。分析计算层是网络异常行为数据采集层的上层，负责对采集到的数据进行处理、分析和计算，以便提取有价值的信息和进行异常行为识别。第二章网络异常行为采集设计2.1异常行为感知设计目前，针对这些问题的研究多采用分布式架构，即将HBase与分布的文件系统相结合，以保证有效的数据传递。另外，通过专门的采集服务引擎进行数据采集，在背景中会对历史和实时采集获得的数据进行存储，这样的数据规模很大，所以采用列方式来存储，以提升存储的效率。由于收集到的大量数据具有相关性不强、存在大量冗余等特点，所以可以采用聚类方法对其进行深入研究。在数据内部关系分析方面，为提高其内部关联效能，需要对大量的数据进行大规模的预处理，采用降维方法对其进行降维，发现其相关性。利用相应的特征抽取方法，获得所需的信息，从而获得所需的信息。五维图分析可以将价值数据可视化地展现给用户，而离线的关联分析则是利用目前比较热门的数据挖掘方法来进行深度挖掘，从而提升数据内部的关系。在此基础上，提出了一种基于网络拓扑结构的分布式并行计算方法，并将其引入到网络中，从而有效地提高了系统的安全性。在对异常行为进行感知、检测和设计的过程中，针对各个环节采取的方法也是不尽相同的，将安全风险及指标、风险评估和处置、报警管理三个环节贯穿于整个流程之中，如图2-1所示。图2-1风险识别关键因素安全风险与指数就是对企业在整个寿命周期内所发生的一种异常活动的辨识与辨识，为此，必须先确定各项安全性能的各项指数，并对各项安全性能的各项指标进行风险辨识。指数式的安全行为，包括风险行为，风险索引库，这样可以从某种意义上改善对网络攻击的辨识。在风险评价过程中，需要通过收集的数据，通过风险定量的方法，对其进行实时的风险评价，并将其作为一个重要的评价指标，并将其作为一个重要的指标来进行评价。在风险管控方面，要针对网络环境下的攻击方式进行针对性的研究，并依据其产生机理制定相应的对策，并兼顾应急策略的时效性和收益性，从而提升针对突发事件的应急处置效能。2.2异常行为精确感知实现为了更好的监控网络异常行为，在整个网站系统开发建设周期内，异常行为都可能会发生，在准确识别异常行为的同时，如何利用多种方法进行有效的融合以提高识别准确率。比如大数据架构技术、智能感知技术、交互可视化技术、异常行为量化评价方法等，实现对企业信息化进程中异常行为的准确感知，并对各环节的固有价值进行深度挖掘。并通过可视化的方式向使用者展示，让使用者对整个网站的发展过程有一个全面的认识，从而大大提高对异常行为的监测和判断的能力。其中的危险因素包括威胁、设备和安全保护措施等，而在对这些因素进行分析的过程中，必须对这些因素进行辨识，并且对各个元素间的联系进行解析，从而能够对信息系统的安全性能有很大的提升。如图2-2所示。图2-2异常行为风险要素在其特定的操作过程中，需要对网络的薄弱环节进行细致的保护。在对系统的安全承载过程中，需要对网络和装置的威胁进行详细的分析。在这些方面，网络上的威胁会对我们的安全保护措施产生直接的作用，而设备上的威胁则会对我们的系统的安全性产生很大的影响。（1）通过故意毁坏现有的装置或信息，实现了对全部资源和数据的完全利用，从而使该信息财产也成为不完全的。（2）违法行为人未经管理者许可，擅自进入内网，对其进行非法存取，导致信息泄露；有些档案资料可能会被人为地加以改动，造成档案资料的完整；有些骇客利用电脑程式进行恶意攻击，并在其馀下一次登入时，会导致装置受损。（3）人为错误也可引起数据错误，这些错误在互联网上难以发现，给企业带来了巨大的信息财产损失。（4）一些人为获得更大的经济利润，会利用非法窃听、爬虫等手段来获得经济上的好处；有些员工为了获得不法利润，会故意泄露企业机密财产资料。（5）设备使用时间增加或老化、故障可能导致性能下降，各环节都可能出现异常，若未采取保护措施，将无法提供网络服务。在任何一个环节都有可能出现异常，而保护措施就是针对这些常见的异常现象采取相应的保护措施。对于特定的网络异常，我们将基于事件的概率来确定其权重，并对其造成的伤害结果进行分析。针对特定的攻击行为，针对其关键的影响因子进行研究，可以最大限度的提升防御措施的有效性。在进行网络异常行为计算时，必须综合考虑风险库、数据属性、风险评价对象等多个因素，以确保在风险辨识和分析等阶段准确定义、识别、分析和定位风险行为，从而有效增强对互联网异常行为的检测能力。在对网络异常进行研究时，需要积极地对网络中的异常活动进行识别，并对其进行相应的风险度量，并利用风险定量化的方法来实现对其进行评估。在此基础上，基于所求出的风险的大小，进行递阶运算，并以风险的大小来确定各个风险水平，并在相应的风险活动中加入相应的风险动作，例如风险警报、漏洞警报等。在此基础上，基于已发现的网络异常活动水平和网络的异常活动特征，构建风险管控模型，对采取管控行动后的效果进行仿真，并结合仿真中发现的不同阶段问题，提出相应的对策，提高风险处理的有效性。建立并实施风险动态管理机制，将残余风险运用到这个过程中，逐渐地推导出相应的风险管理对策，有关的管理者也要适时提高实施的效果。第三章异常行为分析模块设计3.1异常行为分析技术在大数据的影响下，黑客的攻击方式从没有目标的简单粗暴，变成了精确的、精细的DDOS，特别是APT。APT攻击具有很强的破坏性，会对公司带来巨大的经济损失，所以如果能在初期就对APT进行有效的检测和分析，就可以减少受到攻击的伤害。在获得了网络异常行为之后，必须对其内容、相关性和风险等级进行评价，然后才能对其进行相应的保护，从而可以对其进行预防。其过程如图3-1所示。图3-1异常行为分析流程图通常系统网站的关键功能模块为搜索等技术，所以为了提高该系统的搜索引擎函数的查询效率，要让使用者能够在网上迅速得到准确的资讯。本项目的研究成果将有助于提高Web检索的有效性，并通过与其他新兴的人工智能方法相融合，使Web站点可以在多种复杂场景中获得告警信息、安全异常行为分析、行为控制报告等，从而有效提高Web站点的安全性能。使用者在对数据进行分析之前，需要先对数据结构的构成和功能进行理解，在数据预处理的时候，可以提高数据的转化效率，让数据挖掘之前的数据变得更加规范化和多样化，这样才能大大提高数据挖掘、建模分析等流程的准确性，进而获得更准确的本源数据。所以使用者要提高自己的电脑运用知识，掌握一些专门的技术。当使用者撷取完成后，该网页将资料的统计资料以视觉方式展现于使用者眼前。视觉数据具有多种展现形式，使用者可以按照自己的要求自定义视图显示指数，将安全数据进行视觉化的展现，增强了使用者对数据采集、挖掘和分析等过程的认识，另外，通过一张直观的数据分析图表，还可以对不同的异常行为进行迅速的反映。（1）相关性分析。相关性分析则是指判断攻击行为与攻击者以及攻击对象之间有没有必然的联系，然后将关联程度划分为不同的层次。通常以攻击对象、攻击行为在漏洞、行业关联性等方面的交叠程度为依据，判定信息间的相似性来判定攻击算法。所以，首先要对信息进行标注，标注信息表示二者的相似性，再用相似性来判定全局相似性。（2）风险危险等级分析。风险危险等级则是指在目前的网络异常行为中，攻击者对被攻击对象所产生的损失，这一损失是根据漏洞、攻击后果和组织行为等信息来综合考虑的。在此基础上，设计和开发了一套由数据获取模块、特征提取模块、检测算法模块、预警定位模块等组成的智能用电平台异常行为检测系统。（3）防护规则分析。防护规则是从网络中抽取有价值的结点，定期执行保护规则。针对这些问题，本项目提出了一种有效的防范策略，即：①对已知的恶意IP进行有效的控制，从而将非法用户的访问隔离开来，从而有效地防止非法访问，保障财产的信息安全。②对恶意的域名进行拦截。一般情况下，网络系统都会设置一道防火墙，它会对某些恶意IP进行过滤，对那些想要获取信息的恶意IP进行拒绝，并且对此类IP进行无法解析。③对恶意文件进行保护。在恶意文件攻击的过程中，往往会将散列值直接指向一个文件地址，这种恶意文件往往含有很多的仿冒代码或者病毒，因此，它可以方便地对木马程序进行远程操控，并对其进行保护，从而保证资产信息的安全。对邮件发布者的访问控制权限进行控制，恶意邮件的洪泛性攻击或者访问可能会对系统站点造成很大的伤害，而恶意邮件则可以通过对其后缀等进行检测，从而提高系统的安全。保护规则的作用效果以及攻击行为出现的地点都与展开保护措施有关，保护措施一般采用最近的原则，也就是离攻击行为最近的保护装置来组织攻击行为。3.2异常行为检测分析安全异常行为门户是一个入口，提供了针对不同异常情况的检索和信息展示的设计。其中仪表盘将一切反常行为都显示出来，并着重突出攻击的重点，手段，目标等。此外，它还可以对异常行为的外在表现进行重点查找，包括漏洞，邮箱，已知黑客代码，IP地址等，在获得相关信息之后，将发送相应的报警信息，下载打印数据，自动显示状态等。网络异常行为采集。网络异常行为指的是获得原始的网络记录，它包含了目前存在的各类信息，例如策略攻击、安全公告漏洞、补丁信息、接口信息收集等。还对攻击对象自身的资产信息进行了收集，比如企业自身的网络设备，企业个人资产信息，企业内部人员情况，终端信息收集，网络拓扑结构等。安全异常行为分析。对于所收集的外部网络和企业内部的信息，进行了安全性的分析，并在此基础上，按照常见的问题来进行预警，其中包括目前的预警对象、终端等，并给出预警要实现的保护效果。并且在某些含有恐吓IP的警告公布中，其目的就是要达到阻止网路内装置与不良IP位址之间的资料交流。安全异常行为库。在此基础上，提出了一种新的基于网络的、基于网络的网络攻击方法。比如一个黑名单数据库，里面有一些异常IP、网址、链接等，一旦被使用者进入其中，就会触发防火墙隔离、禁止运行、删除有害文件、删除登录等保护措施。比较常用的就是网络诈骗，此类站点所载的全部内容都非常的凶险，所以在实践中一定要杜绝企业内的资金链接。第四章基于大数据的网络异常行为实时检测模型4.1网络异常行为实时检测的总体设计网络异常实时检测模型的总体设计如下：（1）数据收集模块：通过网络监控设备或传感器收集网络流量数据、日志数据、系统事件等信息。这些数据包括网络通信数据、网络设备状态、用户行为日志等。（2）网络异常探测：利用构建的异常行为模型对实时数据进行监测和分析。这包括将实时数据输入到模型中进行预测和分类，判断是否存在异常行为。监测和分析过程可以包括实时数据流处理、特征提取和实时预测等。（3）数据储存部分：以关系数据库Mysql为基础，对网络中出现的各种异常情况进行及时监测和处理。（4）直观显示功能：为测试结果的显示与查询接口，便于用户浏览及使用。（5）异常行为模型构建：基于数据挖掘和机器学习技术，构建网络异常行为模型。这包括选择合适的算法和模型结构，训练模型并进行参数调优。常用的模型包括基于统计的模型、基于机器学习的模型。（6）异常行为报警与反应：当检测到网络异常行为时，及时发出警报并采取相应的响应措施。报警可以通过邮件、短信、弹窗等方式进行通知，响应措施可以包括阻断网络连接、通知相关人员、记录日志等。（7）性能8BC估与优化：对网络异常行为实时检测系统进行性能评估和优化。这包括评估模型的准确率、召回率、误报率等指标，优化模型的参数和算法以提高检测性能、降低误报率等。（8）系统集成与部署：将网络异常行为实时检测系统集成到实际网络环境中，并进行部署和调试。这包括配置监控设备、安装和配置检测软件、制定规则和策略等。4.2构建数据挖掘异常检测模型基于数据挖掘技术，我们构建了一个异常检测模型，重点采用了K-means聚类算法和最小生成树算法来获得初始聚类中心。通过反复迭代训练数据集，我们提取出关键的数据监测点，并通过中心算法更新聚类中心。最终，我们得到了一组聚类中心。我们对这些不同的聚类中心进行了深入分析，评估了它们的优劣，并选择了最佳聚类中心来建立异常检测模型。该模型能够有效地检测异常行为。聚类结构的图示请参考图4-1。图4-1聚类结构示意图在此基础上，给出了一种新的基于集群的聚类算法，该算法是在集群的拓扑关系基础上对网络服务进行聚类分析的。由于这种算法以类a为核心，所以类之间的间隔就是类内的中间点与其他样品之间的间隔。在数值上，取样的密度随着分组间隔的增大而增大。另外，类别间的间隔也能反映出来，也就是从类别b,e,d到类别中心的间隔，该间隔较短表示数据的离散程度较低。因此，需要将二者有机地结合起来，利用类别间隔与类别间隔之比来评价聚类的有效性。通常，特征比例越小，则越能反映出其对目标的正确分类效果，并据此建立的特征抽取算法在目标检测中将发挥更大的作用。在最小生成树构造的K-平均簇中心选择算法中，将所有的节点连接在一起，形成一个连接的子图，然后将这些节点连接在一起，形成一个完整的网络服务图，其表达式为在光网络通信中，数据处理和异常检测是确保网络稳定运行的关键环节。通过建立完全图的最小生成树，可以有效地确定网络数据流量的重点，为后续的异常检测提供有力的支持。首先，需要明确完全图的构成，它包括了顶点集V和边集E，其中顶点代表网络中的各个节点，而边则代表这些节点之间的连接关系。同时，D表示的是相邻连接点之间的距离，这一信息对于后续的最小生成树构建是至关重要的。接下来的关键是构建最小生成树的过程。首先需要统计网络数据流量的主要候选点，这些候选点将是构建最小生成树的基础。然后计算完全图中边的权值，这些权值通常基于数据流量、节点间的通信质量等因素确定。在获取了所有边的权值后，然后选择权值最小的边，并将其对应的点保存到集合B中，同时将该边保存到另外集合E中。这个过程将持续进行，直至完全图中的所有边都被记录，并且相应的数据点和边都被妥善保存。由于集合E中的边是按照权重来进行排序的，可以更方便地选择权重最小的边，并且将其添加到最小生成树中，并删除与之对应的点数据信息。这样，通过逐步添加边和删除点的方式能够构建出完全图的最小生成树。然后在最小生成树的基础上可以进一步确定最接近的两个节点，并计算这两个节点的中心作为父节点的坐标值。这个过程将持续进行，直到满足检测需求为止。最终剩余的连接点将作为初始聚类中心，用集合C来表示。有了初始聚类中心后就可以开始光网络通信数据的检测工作。首先选择一个点作为起始点，并设置一个固定的半径值。然后比较数据点到中心点之间的距离与预设半径的大小关系。如果距离大于预设半径，则继续与其他聚类中心点进行比较；如果距离小于预设半径，则将该数据元素放入相应的簇中，并从样本数据集中删除该数据。随着数据的不断处理和簇的逐渐形成，需要计算并更新聚类中心。新的聚类中心将基于当前簇中的数据元素进行计算，并更新集合C。这样就完成了初始聚类的划分。最后计算类间距离与类内距离的比值，以此来判断聚类中心的优劣。当聚类中心满足异常检测需求时，可以将其作为数据挖掘异常检测模型，用于光网络异常行为的检测。因此，利用余弦相似度进行计算，公式为：基于样本数据的维度m，我们可以对特定交界位置的数据e进行处理，并随机从聚类中抽取数据l来进行分析。而k表示聚类的总数量，这是我们进行聚类分析时的一个重要参数。经过计算后，我们将那些位于聚类交界处的数据点根据其相似度值的大小，分配到与其最相似的聚类中。一旦聚类计算完成，我们将其作为检测模型的迭代计算基础，进一步获取光网络数据的聚类结果。通过将这些聚类结果与光网络异常特征数据进行对比分析，我们可以准确地判断光网络中的异常行为。4.3数据采集模块采用Jnetpcap技术对网络数据进行收集，并对其进行特征抽取，其优势是能够跨越Windows、Linux两大平台，采用Jnetpcap技术对其进行统一的调用，只要将Winpcap安装到Windows平台上，将Libpcap安装到Linux上就可以了。Jnetpcap工具箱只能够获得一些必要的特性，例如一些原始/目标IP位址以及网卡上的PCap文件。针对网络异常行为检测中存在的问题，本项目拟借鉴NSL-KDD数据的特点，设计并开发基于FeaBasedTime和FeaBasedHost两个部件进行特征抽取。其中，FeaBasedTime组件从时间维度上抽取网络业务的统计特性，FeaBasedHost组件则根据宿主空间信息抽取网络业务的统计特性。FeaBasedTime组件将获取分组的时刻作为当前时刻，对与其属性相同的过去2秒中的数据记录进行查询和统计，并将其作为新产生的特征。该方法通过将初始产生的数据集合对象导入FeaBasedTime，将其从2s前的数据集合中移除，再将每个数据集合对象与当前分组的IP地址、端口（端口）、服务（Service）进行比对，从而获得随时间变化的网络业务特性，并将其存储到当前的数据集合对象中。在此基础上，在FeaBasedTime组件中添加新创建的数据集合对象。铁aBaedHost成分将最近邻接100条与当前分组有相同目标主机属性的数据记录作为新产生的特征。这个部件含有一个存储了最后100条记录的KDDConnection对象的队列，其方法是：将初始产生的多taCollection对象放入FeaBasedHost部件，然后将其与当前目标的IP地址、端口（端口）、服务（Service）相比较，获得主机基础的网络业务统计特性，并将其存储到当前数据集合对象中。然后，把新生成的数据集合对象放到FeaBasedTime组件的队列中。如果队列的长度超过100，那么在队列末尾的数据集合就会被移除，以保证在队列中最多可以容纳100个数据集合。通过对Pcap对象进行初始化，通过JnetPcap工具获得网卡，通过pcap_Loop函数对网卡或者PAP_Loop进行解析。在此基础上，以JPcaket对象为基础，通过CacheFea实现对前一条流的基础特征的缓存；在前一条数据记录的基础属性（如IP地址）不同的情况下，根据前一条数据记录的基础特征，构建数据集合对象；通过FeaBasedTime、FeaBasedHost等部件完成数据集合。4.4网络异常检测模块SparkStreaming将数据流划分为不同的阶段，然后将其划分为不同的阶段，然后将其提交给任务调度程序，然后将其分发给各个统计节点，通过对其进行存储和处理，最终获得分类结果。（1）初始化过程。设定Spark的运行组态，在此，将参数Mster设为local；创建sparkContext（sc）和流媒体上下文（ssc）对象.在此基础上，我们提出了一种基于sc的分布式并行计算方法，该方法可以有效地解决大规模并行计算中存在的问题。ssc是处理数据流的惟一信道，随后的数据流都是通过ssc来完成实时处理，在对ssc进行初始化时，将参数batchDuration设定为5s，这个参数代表了批次之间的间隔，并且在每次batchDuration期间切下一个RDD，然后将新的任务提交给RDD。（2）生成数据流。在SparkStreaming需要从考夫卡的主题库中读出Dstreaming时，利用两者之间的交互界面KafkaUtils将主题流转换成标准化的DStream，以方便SparkStreaming的运算操作。KafkaUtils类可以用Spark接收的方法或直接使用的方法来创建数据流。在此使用了直接使用的方法，而不用担心由于接收和处理速度的不同而造成的内存溢出。（3）数据预处理。针对该问题，本项目拟对Kaffka获得的数据进行预处理，将其转化为DataFrame，再利用StringIndexer对不连续的维数特征进行检索，并使用One-hot编码、直接编码的字符类型特征、分类标记等方法对其进行数值化运算，最终使用VectorAssembler类实现数据特征向量化。在此基础上，提出了一种基于小波变换和小波变换相结合的新方法。（4）储存所述结果。对网络异常情况进行实时监测并向数据库传输。主要操作：确定资料库连接，建立资料库连通池。这种方式既能确保将结果正确地插入到指定的数据库，又能降低每次建立与释放数据库所需的额外费用。4.5数据存储模块该方法利用HDFS来实现对目标的快速实时探测，并利用Mysql数据库对目标进行有效的识别。本论文选择Mysql作为研究对象，主要原因在于：①Mysql是一种能够从网上免费下载和使用的关系型数据库；②该软件具有良好的稳定性和良好的适应性，可以方便地将文件录入到数据库中；③它具有快捷、灵活和易于管理等优点，为使用者提供良好的SQL查询和管理手段；④增强系统的安全性能，实现对系统中的数据进行备份和还原，以确保系统的安全。其中，数据储存部分负责将网络异常检测的结果及时准确地保存到Mysql数据库中，保证了数据的完整，避免了数据的重复与重复，为后续的可视化展示奠定了坚实的基础。在上一节中，我们构建了一个数据库连接池，利用该连接池向数据库中插入SQL语句，以达到保存异常的目的。从而实现了对异常发现的存储。在此基础上，我们构建了表格flow_quantity和flow_time两个表格，其中所用到的数据主要有：时间，特性，类别等。4.6可视化展示模块数据可视化是将大量数据以简洁、直观的方式通过视觉化展示，使得信息能够以直观、迅速、多维度的方式呈现，方便浏览、分析和记忆，同时也便于使用者挖掘和操作这些数据，以便发现其他问题。通过对网络流量变化的监测，使使用者能够对当前的网络数据进行动态监测，并对其进行快速的检索和分析。在此处建立人机互动站点，从背景界面中获得资料将成果实时地呈现，方便进行成果展示与检索。第五章实验结果与分析采集和处理后的光网络数据如图5-1所示。图5-1数据样例通过对采集到的数据进行采集，获取出光网络的工作状态信息，并对其中所蕴含的异常进行分析，从而对其进行有效的故障诊断。针对19：00-20：00时段，采用三种异常行为探测算法对其进行探测，通过对实测数据和实测数据的对比分析，如图5-2所示。图5-2三种方法异常特征准确提取概率对比在此基础上，提出了一种新的基于小波变换的自适应滤波算法，该算法在信号处理时不受噪音的影响，且在信噪比较小的情况下，能较好地提取出信号的异常信息。结论本课题将重点研究大数据环境下的异常行为检测与分析方法，在此基础上，研究异常行为的精准感知模型、异常行为感知分析模型，以及相应的异常行为保护策略，从而提升企业的网络安全预防能力。本项目研究成果可为电力用户的用电安全及电网稳定运行提供技术支撑。参考文献[1]张之涵，谭霞，温克欢，魏恩伟.基于Android和Java编程的家庭智能用电管理系统设计[J].自动化与仪器仪表，2019（01）:121-124.[2]黄驿.智能用电环境下家庭用电策略和智能小区需求响应研究[A].伍惠铖.2020.[3]黄亚峰，何威，刘思驿.面向智能用电的家庭微网能量优化研究[J].东北电力大学学报.2020，第004期.[4]解海，郭丽华，宋爽.基于实时电价和遗传算