[发明专利]基于物理系统和信息网络异常数据融合的智能电网攻击检测方法

说明书

技术领域：

本发明涉及智能电网攻击检测领域，特别涉及一种基于物理系统和信息网络异常数据融合的智能电网攻击检测方法。

背景技术：

智能电网利用信息网络技术对传统电力网络中发电、输电、配电和耗电设备进行实时监测和优化控制，实现了信息和电力的双向流动，实现节能减排、增强稳定性等目标。然而，信息网络技术的引入在给人们带来便利的同时，也引入了新的安全威胁。传统电力网络中，攻击者主要通过破坏电网的物理基础设施实现对电网的破坏和干扰；在智能电网中，攻击者可以通过信息网络，攻击智能电网中的设备，篡改数据，使电网的数据出现错误，从而导致电网的状态监控和决策出现失误，达到攻击的目的，这种攻击方式通过信息层渗透到物理层，具有同时和信息层和物理层有关联的特点。

因此，人们提出了智能电网攻击的检测方法。目前针对智能电网攻击的检测方法主要分为两类：

1）传统电网采用的检测方法，即电网的状态估计和标准化残差检测（RN检测）。

2）信息网络采用的检测方法，即通过入侵检测系统进行攻击检测，根据报警事件进行分析。

传统的电网采用的RN检测方法，由于节点间的数据相互耦合紧密，导致计算后的误报率很高，很可能会出现攻击了节点i，结果i以外的几个节点检测到攻击，而i节点反而没有检测到攻击。降低RN检测的判定阈值可以降低漏报同时提高误报率，提高RN检测的判定阈值可以降低误报率同时提高漏报率。在误报率和漏报率之间必须有所折中，单纯通过改变RN检测的阈值并不能同时降低误报率和漏报率。

信息网络采用的入侵检测方法，首先基于通信数据包特征进行匹配分析，产生报警事件，然后通过报警事件的威胁度计算节点的威胁度，通过威胁度的大小确定节点是否受到攻击。入侵检测系统在漏报率和误报率中也需要折中，实际应用中为了尽可能降低漏报率（在实际系统中漏报的威胁比误报的威胁要大得多），使系统具有很高的误报率，过多的攻击报警使得对报警的处理变得很困难。

发明内容：

本发明的目的在于提供一种基于物理系统和信息网络异常数据融合的智能电网攻击检测方法，以克服上述单独从物理层或信息层进行智能电网攻击检测的局限性。

本发明的目的通过以下技术方案实现：

基于物理系统和信息网络异常数据融合的智能电网攻击检测方法，包括如下步骤：

步骤S1：智能电网控制中心根据从电网各量测节点上报的电力观测数值，进行异常数据检测，得到智能电网各节点在物理层的异常度；

步骤S2：通过部署在智能电网的入侵检测系统，生成信息层的报警事件，计算这些报警事件的异常度，利用这些报警事件的异常度计算出智能电网各节点在信息层的异常度；

步骤S3：将各节点在物理层和在信息层的异常度进行标准化，关联匹配，并对匹配后的异常度向量进行判断，判定各节点是否受到攻击。

本发明进一步的改进在于：步骤S1具体包括以下步骤：

步骤S101：依据电网系统各量测节点的观测值Z，利用加权最小二乘估计的方法对电力系统进行状态估计，计算出电网系统真实状态值的估计其估计的目标函数为观测值z包括节点有功功率，节点无功功率；x表示电网系统的状态，包括电压幅值、电压相角；e表示观测误差，h表征由x计算z的换算函数，由电网系统的结构和线路阻抗参数决定，z=h(x)+e；R表示误差矩阵，对角线元素为各节点量测误差的方差，其余元素为零；

步骤S102：由计算系统的观测状态值的估计

步骤S103：计算观测状态值的估计和实际观测值z的偏差作为物理层的异常度，记id为节点的编号，t时刻编号为id的节点物理层异常度记为AP(id,t)=zid-z^id.]]>

本发明进一步的改进在于：步骤S2具体包括以下步骤：

步骤S201：通过基于规则的入侵检测系统，对入侵检测系统中监控的数据通信进行过滤分析，按照入侵检测系统中预设的规则产生报警事件，并存入报警日志数据库；