[发明专利]基于物理系统和信息网络异常数据融合的智能电网攻击检测方法

权利要求书

1.基于物理系统和信息网络异常数据融合的智能电网攻击检测方法，其特征在于，包括如下步骤：

步骤S1：智能电网控制中心根据从电网各量测节点上报的电力观测数值，进行异常数据检测，得到智能电网各节点在物理层的异常度；

步骤S2：通过部署在智能电网的入侵检测系统，生成信息层的报警事件，计算这些报警事件的异常度，利用这些报警事件的异常度计算出智能电网各节点在信息层的异常度；

步骤S3：将各节点在物理层和在信息层的异常度进行标准化，关联匹配，并对匹配后的异常度向量进行判断，判定各节点是否受到攻击。

2.根据权利要求书1所述的方法，其特征在于，步骤S1具体包括以下步骤：

步骤S101：依据电网系统各量测节点的观测值Z，利用加权最小二乘估计的方法对电力系统进行状态估计，计算出电网系统真实状态值的估计其估计的目标函数为观测值z包括节点有功功率，节点无功功率；x表示电网系统的状态，包括电压幅值、电压相角；e表示观测误差，h表征由x计算z的换算函数，由电网系统的结构和线路阻抗参数决定，z=h(x)+e；R表示误差矩阵，对角线元素为各节点量测误差的方差，其余元素为零；

步骤S102：由计算系统的观测状态值的估计

步骤S103：计算观测状态值的估计和实际观测值z的偏差作为物理层的异常度，记id为节点的编号，t时刻编号为id的节点物理层异常度记为AP(id,t)=zid-z^id.]]>

3.根据权利要求书1所述的方法，其特征在于，步骤S2具体包括以下步骤：

步骤S201：通过基于规则的入侵检测系统，对入侵检测系统中监控的数据通信进行过滤分析，按照入侵检测系统中预设的规则产生报警事件，并存入报警日志数据库；

步骤S202：计算报警事件的威胁度：m(ip,j,t)=k^{priority(AC(ip,t,j))}，m(ip,j,t)表示网络地址为ip的节点在t时刻的第j号报警事件的威胁度，K为常数，取值为3或5；priority(AC(ip,t,j))表示网络地址为ip的节点在t时刻的第j号报警事件的威胁程度，取值为1～5的整数；

步骤S203：根据报警事件的威胁度计算各节点的威胁度：

节点在信息层异常度计算方法为：

AC(ip,t)=Σj=1NumAC(ip,t)m(ip,j,t)=Σj=1NumAC(ip,t)kpriority(AC(ip,t,j))]]>

NumAC(ip,t)表示在[t,t+T)段内的目的网络地址为ip的节点的报警事件的总数，T为采样间隔；AC(ip,t)表示网络目的地址为ip的节点在t时刻的异常度，AC(ip,t,j)表示网络地址为ip的节点在t时刻的第j号报警事件，1≤j≤NumAC(ip,t)。