综述：智能电网中窃电检测机器学习技术：系统性综述

《Energies》：Machine Learning Techniques for Electricity Theft Detection in Smart Grids: A Comprehensive Review

　　

窃电仍是全球配电基础设施面临的重大威胁，年损失超890亿美元，发展中经济体非技术线损率可达40%。尽管机器学习已成为智能电网环境下自动化窃电检测的主流分析方法，但现有研究缺乏能将算法选择与配电系统运营商(DSO)运营现实相衔接的统一框架。现有综述多罗列方法并报告基准指标，未阐明检测范式选择应如何与数据成熟度、监管要求、计算约束及机构能力相匹配。本综述通过系统性分析2015至2025年间发表的90篇经结构化多数据库检索筛选、并依据正式五准则质量评分体系评估的同行评审研究，填补了这一空白，研究采用统一对抗性时间序列公式作为贯穿所有主流学习范式的一致分析视角。分析涵盖监督集成方法、无监督与半监督异常检测、深度学习架构（包括卷积神经网络、长短期记忆网络及Transformer模型）、图神经网络、联邦学习及可解释人工智能。关键发现表明：不存在单一范式能在所有部署维度上同时达到最优；梯度提升方法以显著低于深度学习的计算开销实现了接近最先进的性能；混合架构在基准数据集上取得了0.95至0.98的AUC-ROC分数，但需配套治理机制以满足监管可辩护性要求。研究提出了生命周期对齐的部署框架与分层检测架构，为从业者提供了从高级量测体系(AMI)早期部署到高级智能电网建设的结构化路径。综述的主要成果包括：对各学习范式所估计检测问题组成部分的形式化表征、经质量分级与协调的基准性能范围，以及量化分析表明所提出的分层架构可在固定现场预算下将巡检效率提升约一个数量级。研究明确了四个优先研究挑战：实时边缘检测、持续学习、多模态数据融合及标准化基准测试。

1. 1.
   引言
   窃电是发达与发展中经济体配电企业面临的最重大经济与技术挑战之一，其定义为通过电表篡改、旁路接线、非法线路搭接、账单操纵及数字计量基础设施的网络物理干扰等手段进行的未授权用电行为，是全球配电网络非技术线损(NTL)的主要组成部分。全球因窃电导致的年损失保守估计超过890亿美元，撒哈拉以南非洲、南亚及拉丁美洲等发展中经济体的非技术线损占配电总量的30%至40%。除直接收入损失外，窃电还会扭曲电价结构、降低电能质量、加速基础设施老化，并对合法用户施加累退性交叉补贴负担，因此同时具备技术、经济及社会公平层面的政策意义。
   高级量测体系(AMI)的广泛部署，包括智能电表、双向通信网络及集中式电表数据管理系统，从根本上改变了窃电的特征与反制分析能力。智能电表以亚小时间隔生成数百万计量点的高频时间序列数据，推动检测范式从被动、劳动密集型的现场巡检转向电网级主动、连续行为监测。现代智能电网的传感体系已超越营收计量范畴，电磁(EM)传感技术的发展表明专用传感层正日益保障电网耦合基础设施的安全，此类进展与窃电检测的相关性体现在两方面：一是展示了密集仪器化配电网的发展轨迹，其辅助传感流原则上可与AMI用电数据融合；二是支撑了电网边缘资产的长期可靠运行，检测模型需将此类资产的合法但非典型负荷特征与异常用电区分开来。在此数据丰富的环境中，机器学习(ML)与深度学习(DL)方法已成为窃电检测的主要分析引擎，能够建模复杂的非线性用电动态，从多维电表数据中提取判别性时空特征，并识别基于规则的启发式方法及传统统计审计技术无法检测到的细微欺诈特征。
   尽管过去十年算法取得了显著进展，但机器学习驱动的窃电检测在电网级规模化落地仍面临诸多制约。已确认的窃电案例通常占计量用户的1%以下，造成极端类别不平衡，导致标准性能指标产生误导，并使训练后的分类器系统性偏向多数正常类别。已验证的窃电标签稀缺、时间分布稀疏且偏向易于检测的欺诈模式，限制了训练数据集的代表性。用电行为具有内在非平稳性，随电器普及、电价改革及宏观经济变化持续演变，导致静态模型易出现性能静默退化。深度学习架构虽表征能力优越，但其生成的 opaque 分布式表征难以向监管机构解释，也无法作为执法程序中的可采纳证据。AMI扩大的攻击面还引入了对抗性动态，复杂的欺诈者会主动探测并适应已部署的检测系统，系统性破坏静态检测边界。
   现有调查文献虽已认识到这些障碍，但未能全面解决。既往综述主要罗列算法变体并报告基准性能指标，未就检测范式选择如何与AMI成熟度阶段、数据可用性、监管环境及机构能力相匹配提供原则性指导。本研究旨在填补三个具体研究空白：一是建立统一的对抗性时间序列公式，将监督、无监督、半监督及深度学习范式纳入单一连贯的分析视角；二是以部署为导向系统性表征范式间的权衡，特别是检测性能、可解释性、对抗鲁棒性、隐私合规性与计算可行性之间的相互作用；三是明确图神经网络(GNN)、联邦学习、生成对抗网络(GAN)及可解释人工智能(XAI)等新兴方法从研究环境转向运营级公用事业部署的条件。
   本手稿通过五项原创性贡献解决上述空白：建立统一对抗性时间序列问题公式以整合不同检测范式；在该框架内系统分析所有主流机器学习范式；开展部署导向的比较综合，同时表征六个运营维度的权衡；批判性审视新兴前沿领域并明确评估其部署就绪度；提出生命周期对齐框架，将检测策略选择与AMI成熟度及机构能力相匹配。本手稿为采用批判性综合的系统综述，研究活动包括结构化多数据库检索、多阶段资格筛选及对90项主要研究的形式化质量分级，随后进行二次分析，在明确规则下对报告结果去重与协调，在统一公式下重新表述，使原本在不兼容框架下评估的方法可直接比较，并转化为量化其运营影响的部署指南。本研究的成果并非新检测算法，而是基于证据的组织框架：范式层面的方法估计对象分类、质量分级的基准证据，以及经运营量化的部署架构。
2. 2.
   背景与问题公式化
   2.1 窃电分类与机制
   窃电在技术复杂性上呈现谱系分布。物理干预包括电表篡改（插入磁铁、反转电表转盘）、电表上游直接旁路接线及非法配电线路搭接。更复杂的方案涉及部分负荷接线，将校准比例的用电通过电表，其余部分则未被检测。在AMI环境中，网络物理攻击是新兴威胁，攻击者通过受控电表通信接口注入伪造的用电读数、利用固件漏洞，或拦截并重放合法数据包。无论采用何种模式，这些窃电策略均具有共同特征：报告用电量相对于实际负荷存在系统性向下偏差。
   2.2 对抗性时间序列公式
   既往研究将窃电检测分别构建为二分类问题、异常检测问题及欺诈者与检测系统间的对抗博弈。这些框架并非互斥，但以往孤立发展，导致文献碎片化，使得监督、无监督及深度学习范式间的性能比较缺乏共同分析基础。本文提出的公式将这些视角统一于单一对抗性时间序列框架内，涵盖所有主流学习范式，明确处理分类错误的成本不对称性，并得出对运营约束下算法选择有直接影响的范式分类结果。在合法运行状态下，观测用电量满足公式(1)：y_t = f(x_t, z_t) + ε_t，其中y_t为t时刻观测用电量（kWh）；f为未知生成映射；x_t为外生协变量向量，包括温度、季节性、分时电价结构及公共假期；z_t为内生消费者特定属性向量；ε_t为加性随机噪声项，假设为零均值且序列不相关，代表测量误差。在t₀时刻开始的窃电状态下，观测序列被对抗性扭曲为公式(2)：y'_t = g(y_t, f(·), θ) + δ_t (t ≥ t₀)，其中g被刻意构建以模仿f(·)的统计特性，同时隐藏真实用电水平。这种对抗性构造使得窃电检测比标准异常检测更具挑战性：复杂的欺诈者会主动优化其操纵行为以规避检测算法，导致静态阈值方法可被系统性利用。因此，检测问题简化为在极端类别不平衡、标签稀缺、分布非平稳及对抗适应的条件下，区分g与f(·)。对于无监督范式，异常分数定义为公式(3)：A(y_t, M) = d(y_t, M)，其中M为标称用电流形模型，值越大表示偏离程度越高，y_t为t时刻的输入数据或观测值。
   该公式为后续章节的比较分析提供了分析主线。监督学习范式直接从带标签训练数据中估计f(·)与g(·)之间的决策边界，其性能取决于已确认窃电标签对g(·)完整范围的代表性。无监督与半监督方法则从无标签数据建模标称流形M，并计算异常分数A(y, M)，无需显式表征g(·)，从而在面对新型窃电模式时具有韧性，但代价是精度降低。深度学习架构从原始用电序列中学习f(·)与g(·)的分层表征，隐式编码对抗扭曲结构，无需手工特征设计。图神经网络等新兴范式通过将f(·)与g(·)建模在拓扑连接的消费者节点上，将公式扩展至空间域；联邦学习框架则在分布式数据源间分配M的估计，同时保留公式的统计结构。理解每个范式解决该公式的哪个组成部分，以及在何种数据条件下解决，是后续分析的核心组织原则。
   需强调该公式具有描述性而非理论性。g(·)仅被定性表征为一种模仿f(·)统计特性的扭曲过程，未开发显式函数形式、优化目标或欺诈者-检测者交互的博弈论均衡分析。该公式的贡献在于提供一个通用词汇，据此对综述分析的范式按其估计内容进行分类，而非推导关于对抗检测的新理论结果；对g(·)进行完全指定的博弈论处理，包含明确的攻击者优化目标，被列为未来理论工作方向而非本综述的贡献。
   窃电检测区别于一般异常检测的一个决定性运营特征是分类错误的成本存在显著不对称性。假阴性导致持续的、可能无限期的收入损失、基础设施退化及成本不公平转嫁给合法用户。这些成本并非对称且非固定：假阴性相对于假阳性的成本随巡检预算、电价水平、欺诈 prevalence、监管环境及适用司法管辖区的执法后果严重性而变化。这种不对称性直接影响算法选择与阈值校准。形式上，最优检测阈值τ^*并非最大化整体分类准确率的数值，而是最小化预期总成本的数值，如公式(4)所示：τ^* = argmin_τ [C_FN · FN(τ) + C_FP · FP(τ)]，其中C_FN与C_FP分别为假阴性与假阳性的单例成本，FN(τ)与FP(τ)为阈值τ下的假阴性数与假正数。在实践中，大多数公用事业场景下C_FN显著大于C_FP，这为运营中偏好高召回率检测配置及成本敏感训练目标提供了依据。
   公式(1)-(4)在本文中的作用具有组织性而非理论性。它们并非待证明的结果，而是用于比较原本不可通约的检测范式的通用描述语言。公式(1)规定了标称生成过程，其估计是所有正常行为建模的隐含目标；公式(2)将窃电形式化为该过程的对抗性扭曲g(·)，明确对抗者是策略性的而非随机的；公式(3)定义了异常评分抽象，无监督与半监督方法据此运行而无需表征g(·)；公式(4)形式化了成本不对称阈值选择，将检测输出与有限巡检预算联系起来。第4节分析的每个范式均按其估计这些组成部分进行分类，第5节的比较综合围绕该分类展开，公式(4)则应用于第6.2节的巡检预算场景量化分析。若无此公式，第4、5、6节的跨范式比较将缺乏共同分析基础。
3. 3.
   综述方法学
   本综述采用具有系统要素的关键综合方法学，包括结构化数据库检索、多阶段筛选及质量评估。检索的电子数据库包括IEEE Xplore、Elsevier ScienceDirect、Springer Link、ACM Digital Library及Google Scholar。检索字符串组合了以下术语：(“electricity theft” OR “energy theft” OR “non-technical loss”) AND (“machine learning” OR “deep learning” OR “neural network” OR “anomaly detection” OR “smart meter”)。覆盖范围包括2015年1月至2025年12月期间发表的同行评审期刊文章与会议论文，并补充了该时间窗口之前的开创性著作。
   文献筛选流程图显示，初始检索返回1247条候选记录。去除218条重复记录并经过标题/摘要筛选（排除671条）后，对358篇全文论文进行资格评估。若研究仅关注硬件级对策、无分析建模的账单政策设计，或非电力公用事业且方法学无可转移性，则被排除。最终纳入90项符合所有标准的研究：(i)应用于电力/能源窃电或非技术线损检测；(ii)使用至少一种机器学习或数据驱动方法；(iii)具有定量性能指标的经验评估；(iv)使用智能电表或AMI数据。
   对每项纳入研究提取以下信息：机器学习方法；数据集来源、规模及标签策略；特征工程方法；交叉验证协议；性能指标；计算复杂度；部署背景。除图2总结的资格筛选外，90项纳入研究在数据提取阶段均接受了正式质量评估。采用改编的五准则评分量表，每项研究在以下方面从0到2分评分：(i)数据集透明度与可用性；(ii)验证协议严谨性；(iii)类别不平衡处理；(iv)报告评估指标的适当性；(v)实验设置可复现性，总分10分。得分低于5分的研究保留在定性综合中，但排除在第1表的报告性能范围之外，评估结果直接为第5节基准结果的谨慎解读提供依据。图2仅描述了识别、筛选及资格阶段，质量评估在此处报告而非流程图。图3总结了90项研究在关键研究维度的相对覆盖情况，显示可解释性、联邦学习(FL)、实时检测及对抗鲁棒性方面存在显著空白。
   筛选、资格评估及质量评分均由两位作者团队成员独立执行。两个阶段的评分者间一致性均较高：Cohen’s kappa κ = 0.82（标题/摘要筛选）和κ = 0.78（全文资格评估）。分歧通过与第三位审稿人讨论解决。
   关于研究设计需澄清两点：第一，本手稿为采用关键综合的系统综述，对已发表研究数据的处理并非研究的附带部分，而是其明确的研究对象，如同实验研究以原始测量为对象。第二，所开展的分析超越了编译报告结果：对主要研究证据进行质量分级，在明确去重与协议规则下协调，在单一形式化问题结构下重新表述，使得原本在不兼容框架下评估的方法可进行同类比较，并转化为运营后果被量化的部署指南。这些综合步骤而非任何单个主要结果，构成了本综述的分析贡献。
4. 4.
   窃电检测的机器学习方法
   应用于窃电检测的机器学习方法的结构化分类如图4所示，分为四大范式：监督学习、无监督/半监督方法、深度学习架构及新兴前沿领域。范式选择最好理解为数据成熟度、标签可用性、监管要求及计算资源的函数，而非纯技术选择。本节分析围绕第2节建立的对抗性时间序列公式展开，根据每种范式在现实部署条件下如何估计f(·)、表征g(·)及计算异常分数A(y, M)进行评估。
   这些范式的多样性并非反映方法论分歧，而是窃电检测问题本身的结构异质性。处于AMI早期部署阶段、已验证巡检标签少于500个的公用事业，其分析问题与管理成熟、高分辨率AMI网络且积累多年欺诈结果的大型公用事业存在根本不同。同样，要求完全可审计执法决定的监管机构，会使不透明的深度学习模型无论其基准性能如何均不适用。这些背景差异解释了为何文献未收敛于单一主导算法，以及为何范式选择必须被视为情境敏感的工程决策，而非寻找普适最优分类器。
   值得注意的是，当代研究中范式间的界限日益模糊。结合无监督预训练与监督微调的混合架构，或将深度特征提取器嵌入集成决策框架的混合架构，现已占文献的相当大比例。这种范式边界的模糊强化了第2节引入的统一对抗性时间序列公式的价值，其为一致评估和比较每种方法的贡献与局限提供了通用分析视角。为明确此分析作用，以下各小节均以关键评估结尾，不仅罗列报告的优缺点，还评估每种范式在第2.2节公式中估计的内容、鉴于第3节的质量评估应如何权衡其证据基础，以及其结构局限对第6节开发的部署架构意味着什么。
   4.1 监督学习算法
   监督方法将窃电检测构建为二分类问题，将从用电历史中提取的特征向量映射为指示正常或欺诈行为的类别标签。早期研究将决策树、支持向量机(SVM)及k近邻应用于手工统计特征，包括从AMI数据中提取的月度总量、负荷率、峰均比、熵及自相关系数。尽管相较于人工巡检检测性能有所提升，但这些方法面临根本局限：极端类别不平衡导致采用标准目标训练的分类器在窃盗少数类上的召回率接近零；分布非平稳性则需要频繁、昂贵的重训练。
   集成方法显著提升了鲁棒性，随机森林通过聚合大量不同决策树的预测来降低方差，在基准数据集上实现了0.91-0.94的AUC-ROC分数，同时提供特征重要性估计以增强可解释性。梯度提升算法（XGBoost、LightGBM及CatBoost）主导了近期的竞争性评估，通过顺序残差校正，在国网(SGCC)数据集上实现了0.92-0.97的AUC-ROC分数。研究表明，基于梯度提升的检测器结合领域特定特征工程显著优于单树分类器，而采用工程化用电偏差特征的CatBoost召回率超过95%。
   类别不平衡是监督方法面临的主要结构挑战，可通过多种互补策略解决。合成少数类过采样技术(SMOTE)及其变体生成合成少数类样本以平衡训练分布；成本敏感训练公式根据类别频率反向加权误分类惩罚；决策阈值校准将分类器操作点移向更高召回率。研究表明，结合鲁棒重采样与堆叠集成架构可显著提升少数类召回率，而不会成比例增加假阳性。研究还提出了线性回归残差特征，用于捕捉预期用电轨迹的系统性偏差，提升对部分篡改方案的判别能力；对比用电画像通过将个体消费者与同辈基准进行比较，显著增强了对复杂欺诈模式的检测。
   从第2.2节的公式视角看，监督范式的结构局限并非类别不平衡本身，而是标签来源。巡检导出的标签仅采样了历史上派遣巡检的对抗扭曲g(·)，因此估计的决策边界锚定于先前检测到的欺诈模式；基准分数因此量化了针对对抗者策略空间已观测部分的性能，对于新型g(·)应视为乐观估计。第二个观察是，梯度提升的竞争优势取决于领域特定特征工程，这相当于手动编码假设的扭曲特征；若缺乏此类工程工作，其与深度架构的性能差距会扩大。实际影响是，监督方法最适合作为预筛选候选对象的高精度精炼器，而非不断演变对抗者的唯一检测器。
   4.2 无监督与半监督学习
   在标签极度稀缺的环境中，即早期AMI部署的主要状况，无监督与半监督方法成为实际必需。这些方法从无标签或部分标签数据中建模标称用电流形，并将偏差识别为潜在异常，无需已确认的窃电样本。
   孤立森林算法构建随机划分树的集成；异常样本因稀疏性而在较少划分中被隔离，产生较短的平均路径长度作为异常分数。单类SVM在核映射特征空间中学习包含正常样本的超球体；边界外的观测值被分类为异常。基于自动编码器的检测器在正常用电档案上训练，并将重构误差超过学习阈值的观测值标记为异常。研究表明，自动编码器检测器在无需窃电标签的情况下实现了与监督分类器相当的召回率。
   半监督变体通过纳入有限的标签信息（通常是已验证的正常样本）来约束学习表征，部分缓解了高假阳性率问题。研究表明，使用统计用电画像图像的半监督学习显著改善了完全无监督基线的精确率-召回率权衡。周期性增强的单类分类器显式建模正常用电的周度与季节性周期，减少了由合法行为变异驱动的假阳性。最优样本选择策略最大化了每标签样本的检测信息增益，显著降低了达到目标检测性能所需的标注预算。结合基于原型的单类学习与集成聚合已被证明可在无需多样化标签窃电训练样本的情况下实现鲁棒的零日窃电检测。
   该范式的核心弱点直接源于其估计内容。由于无监督方法仅建模标称流形M，从不表征g(·)，其异常分数衡量的是与历史正常状态的偏差而非窃电概率：任何合法的分布式偏移，如新增电动汽车充电桩、 occupancy变化或电价引发的行为响应，在分数层面与欺诈结构上是无法区分的。无监督输出估计的是异常概率，而公用事业的决策问题需要的是给定异常下的窃电概率，混淆二者是导致该文献中高假阳性率的根本原因。运营层面的启示是，无监督方法应仅部署为喂给下游判别的高召回率筛选器，绝不应作为执法行动的直接触发器，这种分工在第6.2节的分层架构中被形式化。
   4.3 深度学习架构
   4.3.1 循环网络（LSTM与GRU）
   深度学习架构直接从原始用电序列中学习分层非线性时间表征，无需显式特征工程。长短期记忆(LSTM)网络采用输入门、遗忘门及输出门机制，选择性保留和丢弃跨长时间跨度的信息，有效捕捉跨度从数天到数周的用电依赖关系。门控循环单元(GRU)提供了一种计算简化的门控结构，在较低参数量下具有相当的序列建模能力，更受资源受限部署的青睐。研究表明，经过参数调优的双向LSTM结合预训练特征，通过利用分类期间的未来上下文信息，优于标准LSTM基线。
   4.3.2 卷积神经网络(CNN)与混合架构
   卷积神经网络(CNN)擅长通过学习的滤波器组识别用电时间序列中的局部形态异常。宽深CNN窃电检测架构通过多尺度卷积处理，在SGCC基准上比SVM基线实现了显著的准确率提升。CNN-LSTM混合架构结合了CNN的局部模式提取能力与LSTM的长程时间建模能力，已成为近期基准测试的主导范式。研究表明，CNN-LSTM在所有评估指标上均显著优于独立架构。研究报道使用CNN-BiLSTM在基准数据集上取得了超过0.95的F1分数，而结合注意力增强的残差CNN-LSTM架构以显著降低的计算开销实现了有竞争力的性能。
   4.3.3 Transformer模型
   适配于用电时间序列的Transformer架构通过自注意力机制建模任意时间步对之间的依赖关系，不受循环网络距离衰减限制。研究表明，CNN-Transformer混合模型在复杂多模态周度模式消费者中持续优于CNN-LSTM基线，其中选择性时间注意力提供了最大优势。研究还将卷积长短期记忆(ConvLSTM)与深度强化学习结合，通过纳入自适应决策策略，实现了针对对抗性优化隐蔽攻击模式的鲁棒检测。
   4.3.4 图神经网络
   基于单个电表的检测方法因无法利用地理邻近或拓扑连接消费者间的空间相关性而存在根本局限，而这些信息对于检测分布式窃电团伙、选择性线路级旁路方案及协同网络物理攻击具有高度诊断价值。图神经网络(GNN)通过将配电网表示为图G = (V, E)来解决此局限，其中节点V对应计量消费者或网络母线，边E编码物理连接性、电气邻近性或统计推导的用电相关性。消息传递操作在此图结构上传播邻域用电信号，使得每个节点的异常评估能够以其拓扑上下文的行为为条件，而非孤立计算。
   图卷积网络(GCN)在图邻接结构上应用可学习的谱滤波器，有效地在拓扑上执行局部空间卷积。图注意力网络(GAT)通过学习动态注意力权重来选择性强调拓扑信息丰富的邻居，进一步提升了对不完整或噪声连接信息的鲁棒性。研究表明，基于GCN的检测显著提升了针对分布式窃电方案的检测率，优于独立处理消费者的单个电表分类器。在GNN框架内结合对比学习与非侵入式负荷监测特征，已证明能改善欺诈与正常用电特征在潜在空间中的分离，表明电器级分解可为总用电档案提供互补的判别信号。
   尽管有这些优势，基于GNN的检测引入了实际部署挑战。构建准确的图表示需要可靠的网拓扑数据，而在新兴经济体的配电系统运营商(DSO)环境中，这类数据往往不完整或过期。由于网络重构、负荷切换及基础设施扩展导致的动态拓扑变化，需要持续更新图表示，这引入了可能对小型公用事业而言过高的运营开销。计算复杂度还随图规模扩展，使得在大型配电系统中以亚小时间隔进行全网络GNN推理计算量巨大。这些约束表明，GNN方法最适合作为补充精炼层，运行于由计算更轻的上游筛选方法识别的高优先级候选子集上，而非作为应用于全体消费者的第一级检测机制。
   纵观整个深度学习家族，三个观察结果限定了 headline 基准结果。第一，证据基础比引用量显示的要窄：绝大多数报告结果源自单一基准(SGCC)，因此深度架构的表面优越性部分反映了数据集集中而非已证明的普适性。第二，一旦应用第5.1节的协调规则，最强梯度提升配置与混合深度架构之间的差距缩小到跨研究方差范围内，这警示不应将架构深度视为检测能力的主要驱动因素。第三，由于深度模型从历史欺诈中隐式学习g(·)的表征，它们继承了与经典监督方法相同的标签来源局限，同时增加了不透明性与计算成本；其差异化价值在高质量数据使形态特征具有信息性的场景下最大，而在标签稀缺或可审计性至关重要的场景下最小。
   4.4 生成模型与数据增强
   已验证窃电样本的极度稀缺（通常占标签数据集的1%以下）是训练校准良好的窃电正类分类边界的根本结构障碍。两种生成建模范式被提出，通过合成少数类增强来解决此约束。
   生成对抗网络在生成器网络与判别器网络之间建立对抗训练动态。生成器学习合成在统计上与已验证窃电档案无法区分的用电时间序列，而判别器学习区分合成样本与真实样本。通过迭代对抗精炼，生成器逐步提升合成窃电序列的真实性。这些输出增强了分类器训练中的少数类，使检测模型暴露于比有限已验证标签集更广泛的欺诈特征范围内。条件GAN变体可根据特定窃电模式标签调节合成过程，为生成样本的特征提供额外控制，实现对代表性不足欺诈类别的靶向增强。
   变分自动编码器从概率角度处理增强问题，学习用电分布的结构化连续潜在空间表征，通过在该表征中采样并解码对应于异常行为的区域的潜在向量，可从中抽取新的合成样本。与GAN不同，VAE提供显式概率密度估计，可用于量化生成样本的合理性，为在纳入训练集前过滤不合理增强提供了原则性机制。
   两种方法都需要针对真实保留窃电数据进行严格验证。文献一致警告，如果评估集包含与训练增强来自同一生成分布的合成样本，归因于合成增强的性能提升可能具有误导性，这种循环验证形式会虚增报告指标，而无法反映对真实世界欺诈模式的真正泛化能力。因此，评估协议应严格分离合成增强与评估数据，并独立报告在已验证真实窃电案例上的性能。
   从统一公式的视角看，生成增强处于认识论上微妙的位置：基于GAN或仿真的窃电生成器本身就是g(·)的显式模型，因此在其输出上训练的检测器可能学习的是研究者关于欺诈的假设而非欺诈本身。这并非反对增强的论点，增强通常是实现可训练类别平衡的唯一途径，但这解释了为何第5.1节的协调规则排除了在合成增强测试集上评估的结果，以及为何增强密集型研究最好解释为测量假设窃电模式的可检测性而非预期现场性能。
5. 5.
   比较分析与部署导向综合
   5.1 基准数据集与评估指标
   国网(SGCC)数据集拥有超过40,000条消费者记录，日分辨率且带有二分类窃电标签，已成为事实上的公共基准，被众多研究采用。其广泛使用实现了跨算法比较，但也引入了风险。其单一地理背景、固定时间窗口及基于巡检结果的标签可能不适用于其他公用事业环境或新型窃电模式。
   鉴于极端类别不平衡，标准准确率具有误导性，通过预测所有样本为正常即可接近99%。F1分数通过调和平均结合精确率与召回率，为不平衡场景提供了信息丰富的单值总结。AUC-ROC衡量所有阈值下的判别能力；精确率-召回率曲线下面积(AUC-PR)被推荐为高度不平衡问题的主要指标，其中正类稀有。马修斯相关系数(MCC)提供了考虑所有混淆矩阵单元格的平衡评估，在类别规模差异巨大时仍具信息性。尽管此处推荐AUC-PR作为主要指标，但无法将其与AUC-ROC一同列入第1表，因为支撑综合的极少数主要研究报告了此指标，且报告者采用了异质的类别不平衡比率与采样协议，无法进行有效的范式级聚合；这种报告空白本身就是本综述的一个发现，并直接推动了第7节提出的标准化基准测试建议。第1表总结了各范式的代表性性能。第1表报告的性能范围源自对SGCC基准数据集上多个研究结果的综合，这些研究在可比实验条件下进行评估。若研究在不同类别不平衡比率、特征工程策略或交叉验证协议下报告结果，范围反映观测到的下限与上限，而非单一对照实验。这些数字被视为有利基准条件下范式级能力的指示，而非可转移到运营部署的精确性能保证。构建第1表时应用了三个额外的协调规则。第一，若同一研究组的多篇出版物报告了在SGCC数据集上基本相同的实验结果，仅计入最新最完整的研究，避免重复数据集实例虚增报告范围。第二，由于主要研究采用异质的训练-测试协议，从随机k折交叉验证到严格的时间保留，报告范围合并了两种机制；若研究同时报告了两种结果，则优先选择时间保留结果作为更具运营现实性的估计。第三，采用合成增强（如SMOTE过采样或GAN生成的窃电样本）的研究，仅当增强限于训练分区时才被纳入；在合成增强测试集上评估的结果被排除，因为此类协议系统性高估了可检测窃电的 prevalence。这些异质来源意味着第1表中的范式级范围不应被解读为对照比较：基础研究中不同的数据集、特征工程流水线、不平衡处理策略及验证程序意味着范式间的表观差异可能部分反映这些混杂因素，而非内在算法优越性。因此，本综述中关于范式相对性能的主张应视为指示性趋势而非确定性排名。直接跨算法比较还应限定于以下事实：深度学习架构通常在比经典监督方法更大的训练集上评估，这赋予了数据量优势，部分解释了其优越的报告分数。
   5.2 跨范式权衡
   第2表综合了各范式间与部署相关的权衡，但深入审视揭示了若干非显而易见的见解，超出了表格本身传达的信息。本综述的一个基本发现是，不存在单一学习范式能在所有部署维度上同时达到帕累托最优。任何在一个轴上表现出色的方法至少会在另一个轴上付出代价，这一结构现实直接推动了第6节提出的分层检测架构。
   监督集成方法在SGCC基准上实现了0.92-0.97的AUC-ROC分数，性能与复杂得多的深度学习架构相当。这一点具有实际意义且常被低估：对于标签良好的表格AMI数据，特征工程的质量比模型复杂度更重要。投资于谨慎的领域特定特征构建的公用事业，可以用计算轻量级的分类器实现接近最先进的检测性能，无需GPU基础设施，且对运营人员和监管机构而言直截了当可解释。然而，监督分类器在训练时学习固定的决策边界，没有内在机制跟踪变化的用电分布，使其易受概念漂移影响，随着消费者行为演变而性能下降。
   无监督与半监督方法表现出与监督方法相反的精确率-召回率特征。由于它们建模的是正常用电流形而非学习窃电特定决策边界，它们倾向于更高的召回率，捕捉更广泛的异常模式，包括历史巡检记录中缺失的新型窃电模式，代价是由合法但异常的用电行为驱动的高假阳性率。这使得它们非常适合作为早期AMI部署中的高召回率筛选层，此时标签稀缺无法进行有监督训练，但作为巡检预算有限且误报会削弱现场团队信誉的独立检测系统，它们在运营上存在问题。
   深度学习与混合架构在SGCC基准上报告了最高的AUC-ROC分数0.95-0.98。其表征优势源于能够从原始用电序列中学习分层时间特征，捕捉手工特征可能遗漏的形态异常模式。然而，三个注意事项削弱了这一优势。第一，基准数字反映的是SGCC特定条件，不应假设其可转移到其他公用事业环境或新型窃电模式。第二，深度学习模型本质不透明，生成的分布式表征难以解释，在执法决定必须可审计且法律上可辩护的监管环境中，这是一个关键障碍。第三，其在电网规模上的计算需求可能超出小型或新兴经济体DSO的基础设施能力。
   最后一个跨领域的观察涉及评估指标。AUC-ROC仍是综述研究中最广泛报告的指标，但其在严重类别不平衡下的已知乐观偏差倾向意味着第1表中的性能范围应谨慎解读。同时报告AUC-PR与AUC-ROC的研究一致显示，范式间的性能差距比单独AUC-ROC所显示的更大，在有监督与混合深度学习方法在现实不平衡条件下保持了更强的少数类窃电精确率。这强化了未来基准测试工作应强制要求将AUC-PR作为窃电检测研究主要评估指标的建议。
   5.3 可解释人工智能与监管合规
   在受监管的公用事业环境中部署基于机器学习的窃电检测，要求检测决定可解释、可审计且法律上可辩护。巡检行动可能影响消费者合同及刑事诉讼，此时模型不透明是不可接受的。事后可解释性技术在性能与透明度之间架起了桥梁。SHapley Additive exPlanations (SHAP)提供博弈论上原则性的特征归因，跨实例一致；LIME构建任何黑盒分类器的局部忠实线性近似；Grad-CAM产生视觉解释，突出驱动窃电分类的用电时间间隔。研究表明，将基于SHAP的解释集成到集成检测器中显著提升了操作员接受度，而结合对抗鲁棒训练与XAI集成则同时改善了对抗扰动下的检测准确率与解释稳定性。
   智能电表用电数据揭示了敏感的个人信息、 occupancy模式、电器使用及睡眠 schedule，引发了重大的隐私与监管关切。联邦学习通过训练本地模型副本于私有DSO数据上来解决此问题。仅模型更新（梯度或权重）被传输到中央聚合服务器，原始消费者记录从不外传。研究已将联邦深度异常检测应用于零日窃电网络攻击识别，证明性能在集中式基线的2-3个百分点以内，同时提供形式化隐私保证。研究提出了联邦框架内的隐私保护ConvLSTM，通过模型压缩减少通信开销。还有研究纳入了基于区块链的共识机制，增强了多公用事业协作场景中模型更新来源的可审计性。高斯噪声被注入本地梯度以确保差分隐私，并减轻联邦优化框架中的性能下降。
   5.4 对抗鲁棒性
   窃电检测本质上是对抗性的。随着检测算法被知晓，欺诈策略会适应以规避它们。最先进的深度学习检测器被证明易受对抗性扰动影响，即经过精心优化的用电修改，可在保持物理合理边界内的同时诱导误分类。这种脆弱性并非理论上的；它直接破坏了部署在复杂欺诈者可探测和逆向工程分类器行为的环境中的检测系统的运营价值。基于深度强化学习的自适应检测策略通过持续响应演变攻击模式更新决策阈值，已证明能显著提升针对隐蔽攻击的鲁棒性。此外，若无显式域适应，跨场景性能会显著下降，证实分布鲁棒性必须是首要设计需求，而非事后考虑。
6. 6.
   对配电系统运营商(DSO)的部署启示
   6.1 生命周期对齐的部署策略
   检测策略必须随AMI成熟度及机构能力共同演进，而非保持静态。三个部署阶段定义了这一进程，每个阶段具有不同的数据条件及相应的方法需求。在早期部署阶段，AMI渗透率低于50%，数据分辨率为亚日度，且已验证巡检标签少于1000个时，无监督及规则增强的半监督筛选方法是唯一分析上可辩护的选择，其功能应作为巡检分诊工具而非自主检测器。
   本节引用的具体阈值（AMI渗透率百分比、巡检标签数量）是作为从综述文献中观察到的模式抽象出的说明性基准，而非通过直接实验或专门元分析确立的已验证切点。DSO应将其视为需根据本地数据条件及机构能力校准的指示性起始指南，而非普遍适用的规则。
   一旦渗透率超过50%且积累了数千个巡检结果，监督学习变得可行。成本敏感集成分类器在此中间阶段提供了检测性能、可解释性及维护开销的最强平衡。必须针对滚动时间保留集持续监控模型性能，并通过统计漂移指标触发重训练，以防止性能静默退化。
   在拥有高频数据且巡检记录超过10,000个案例的高级环境中，深度学习与混合架构在运营上变得可行，但必须严格作为分层流水线中的精炼层部署，而非独立的自主系统。对于跨多个司法管辖区运营的大型DSO，联邦学习与基于GNN的拓扑检测也变得相关。
   6.2 分层检测架构
   分层检测架构预计在鲁棒性、可扩展性及运营对齐方面优于单一的单阶段系统，这一主张在此基于结构理由而非直接比较实验或正式元分析提出，因为本综述中未发现任何主要研究在对照条件下将分层流水线与等效单块系统进行基准测试。三个功能不同的层按顺序运行，每层具有明确目标及互补的性能特征。
   第1层作为整个流水线的入口点，以高召回率模式在全体消费者人口上部署无监督筛选模型。它在无需已确认窃电标签的情况下运行，使用孤立森林、自动编码器及单类分类器将不规则用电模式标记为候选。此阶段刻意接受较高的假阳性率以换取近乎完全的异常覆盖——不应有真实窃电案例漏出流水线。第2层使用基于历史巡检结果训练的监督与混合模型重新评估标记的候选对象，大幅减少传递给人工审查的假阳性负担，并根据检测置信度对剩余候选对象进行排名。第3层应用事后可解释性技术与领域专业知识，生成满足监管可辩护性要求的优先级审计的巡检列表。
   模块化设计带来了三个运营优势：随着数据可用性改善，各层可独立升级；当用电模式漂移时，级联故障风险被限制在单层内；来自已完成现场巡检的标签反馈循环持续丰富第2层的训练数据，使得在AMI生命周期内实现渐进式性能提升成为可能。
   为了将这些架构主张建立在运营术语基础上，考虑一个针对服务20万智能电表消费者的中型DSO的说明性巡检预算场景，假设窃电 prevalence 为3%（6000个违规账户），现场巡检能力为每月500次访问（占客户群的0.25%）。在无辅助的随机调度下，预期每月仅确认约15个案例，命中率为3%。在分层流水线中，第1层以高召回率模式（召回率≥0.95）运行，标记前5%的异常分数，约10,000个候选对象，其中包含估计5700个真实窃电案例；候选池内的窃电 prevalence 因此从3%富集至约57%。第2层随后使用监督模型对该池重新评分，并将500个最高置信度的案例转发给第3层进行可解释性筛选与调度。即使在调度案例中保守估计精确率为0.6，该流水线每月也能产生约300个确认检测，在相同的现场预算下，巡检效率比随机调度提升了约20倍。这种富集逻辑而非任何单一模型的基准分数，是分层架构的运营理由：每层的作用是将稀缺的巡检能力集中在概率逐步升高的候选对象上。
   6.3 新兴经济体背景下的约束
   部署挑战在撒哈拉以南非洲、南亚及拉丁美洲等新兴经济体公用事业环境中最为严峻，这些地区非技术线损水平最高，但运营复杂机器学习流水线的机构与技术能力最受限制。这些环境中的DSO通常表现出有限的集中式IT基础设施、受限的计算预算（无法支持GPU加速训练）、缺乏专业机器学习专业知识的分析团队规模小，以及尚未建立人工智能辅助执法行动明确证据标准的监管框架。
   在这些约束下，基于树的监督分类器，特别是具有成本敏感训练目标的梯度提升变体，代表了技术上最优的选择，提供了强大的判别性能、低推理延迟、确定性预测输出及满足审计要求而无需事后可解释性工具的特征重要性排名。深度学习架构并非绝对不适用；模型压缩技术，包括量化、知识蒸馏及批量推理调度，已证明在资源受限的电网环境中部署CNN-LSTM的可行性。然而，需要持续重训练流水线、分布式计算基础设施或持续专家监督的架构，引入了在大多数新兴经济体DSO人员配置与预算状况内结构上不可持续的运营依赖。
   6.4 战略建议
   第3表将五种代表性公用事业场景映射到推荐的检测策略，这些映射中的模式得出了三个具有运营可操作性的结论。第一，检测策略选择从根本上由数据成熟度及机构能力决定，而非算法性能排名。没有巡检标签的早期阶段公用事业，无论其基准性能多么优越，都没有可行的监督学习路径；而计算基础设施受限的新兴经济体DSO，无论其表征能力多强，也无法维持深度学习流水线。来自不同智能电表部署的监督学习评估的实证证据证实，情境决定方法，而非相反。
   第二，检测有效性必须针对具有运营意义的指标而非仅基准准确率进行评估。巡检产出率、成本调整后的检测增益及运营误报率是DSO的决策相关量。一个在基准上达到99%准确率但产生过多误报巡检的模型带来的是负运营价值，而一个准确率为92%但具有校准良好的阈值和高巡检产出率的模型则能带来可衡量的收入恢复效益。
   第三，适应性必须被视为首要设计需求。用电行为、电价结构及窃电策略持续演变。通过统计漂移监控、计划重训练流水线及模块化组件替换来设计适应性的检测系统，比在分布条件变化时静默退化的静态优化系统提供更大的长期运营价值。
   尽管本节提出的部署框架解决了现有方法与数据基础设施下当前可处理的挑战，但仍有若干基本研究挑战尚未解决，这些挑战是将该领域推进到完全可靠、可扩展且值得信赖的电网级窃电检测的最关键障碍。
7. 7.
   开放研究挑战与未来方向
   研究空白雷达图识别了相对于其运营重要性而言仍严重探索不足的四个维度：概念漂移与持续学习、多模态数据融合、标准化基准测试及实时边缘检测。
   分布平稳性假设支撑了大多数综述的监督与深度学习系统，但它在运营AMI环境中被系统性违反，因为用电行为随电器普及、电价重组及人口变化持续演变。若无域适应，跨场景迁移会产生统计显著的性能下降，证实训练模型不能被视为静态制品。持续学习架构通过从传入的巡检反馈中增量更新、自适应窗口方法对近期观测赋予比历史数据更高权重，以及最小化训练与目标分布间分布散度的域适应技术，代表了最可行的前进路径。
   当前的检测系统也未充分利用现代DSO运营产生的丰富辅助数据生态系统。变压器级聚合负荷测量支持馈线级的自上而下线损归因；源自负荷预测模型的天气调整用电残差改善了异常信噪比；联合嵌入电表数据与辅助信号的对比自监督学习框架已证明能改善欺诈与正常用电档案的分离。未来的架构应包含跨注意力机制，自适应加权异质输入的不同质量与完整性。
   可复现性仍受限于对SGCC数据集的过度依赖，其单一地理背景及基于巡检结果的标签方法可能系统性低估了复杂欺诈模式。强制要求报告AUC-PR、最小时间保留期及跨消费者分层的性能评估的标准化评估协议，将显著提升跨研究可比性。最后，从批处理向实时检测的转型是主要能源机构确定的战略优先事项，但在所调查文献中架构上仍未充分开发。周期性感知的流式检测框架及支持边缘部署的模型压缩技术代表了弥补这一差距最有前景的方向。
   除上述综述范式外，源自窃电检测文献之外的近期提出的元启发式优化算法，可能为未来的混合检测器提供有用的构建模块，尽管尚无应用于此问题。乐椅算法(MCA)是一种基于群落的优化器，在迭代过程中逐步淘汰较弱的候选解，在基准函数上展示了快速收敛与低失败率，并已应用于负荷预测的特征选择，这与窃电检测的用电模式分析任务密切相关。星鼻鼹优化器(SNMO)是一种更新的元启发式算法，模拟星鼻鼹的多感官觅食行为，在多维搜索空间中表现出一致的精度与稳定性。这两种算法都是第4节讨论的监督与混合检测器中进行超参数调优或特征选择阶段的候选方案，将其集成到窃电检测流水线中在此仅作为未来混合方法研究的具体方向提及，而非本综述的已评估贡献。
8. 8.
   结论
   本综述系统性识别、质量分级并关键性综合了90篇关于基于机器学习的窃电检测的同行评审研究，在对抗性时间序列公式内评估了监督、无监督、半监督、深度学习及新兴范式，该公式将先前碎片化的问題框架整合为单一分析视角。核心发现明确：不存在单一范式能在检测性能、标签依赖性、分布鲁棒性、计算复杂度、可解释性及监管可辩护性所有维度上同时达到帕累托最优。因此，范式选择必须被视为情境敏感、依赖生命周期的工程决策，而非静态优化问题。本文提出的生命周期对齐的分层检测架构，作为综合衍生的部署蓝图而非已实施和实验验证的检测模型，将这一原则操作化，结合了无监督筛选、监督精炼及可解释性驱动的人工验证于模块化流水线中，该流水线随AMI数据成熟度与机构能力共同演进。四个尚未解决的研究要务是：非平稳用电分布下的持续学习、多模态异质数据融合、标准化多公用事业基准测试基础设施，以及轻量级实时边缘检测架构。在这些维度上的系统性进展，是将算法进步转化为同时在电网规模上准确、可解释、隐私保护且运营可持续的部署的先决条件。关于本工作的贡献，需明确的是，并未声称提出新的检测算法或训练模型。综述的具体产出包括第3、4、5节的质量分级证据综合、第1表的协调基准范围、第2节统一公式下各方法估计内容的范式级分类，以及第6节的部署框架，其巡检效率影响已在说明性场景中量化。在运营公用事业数据上对所提分层架构进行实证验证，被确定为该研究计划的下一个自然步骤。