本发明涉及电网终端安全领域，尤其涉及一种适用于分布式光伏聚合业务的异常行为检测方法及系统，包括：在电力平台用采系统和第三方聚合平台双侧分别采集光伏设备历史发电流水记录数据；获取待监测分布式光伏设备的原始历史数据；从第三方聚合平台侧提供的历史数据或专家知识库中，获得负样本和正样本；得到训练原始数据集，对训练原始数据集进行特征工程，得到异常检测模型；确定待检测样本，将待检测样本输入检测模型，通过异常检测模型输出异常行为的检测结果。本发明针对分布式光伏聚合业务的特点进行设计，通过采集并分析电力平台和第三方聚合平台的历史数据，可以深入了解光伏设备的正常运行和异常行为特征。