[发明专利]基于自动分析的调度层报文异常定位方法、装置及系统

说明书

本发明公开了一种基于自动分析的调度层报文异常定位方法、装置及系统，包括按照调度层网络报文的特点，自动对捕获的报文数据流进行分类，获得多个分类数据；对各分类数据分别进行建模、特征提取和分析，生成用作异常判断依据的基准库，所述基准库中包括数据和行为；基于基准库，判断实时报文状态，在出现异常时进行记录并定位出异常环节，所述异常环节包括异常发生的时间、链路的统计特征和异常内容，同时产生告警信号；通过带认证和加密的私有协议，将告警信号实时发送到监控终端，使得监控终端进行统一的展示和告警。本发明通过对业务数据的分析和判断，直观地展现变电站调度层网络运行情况，便于运维人员对调度层的网络安全监视和异常定位。

技术领域

本发明属于报文处理技术，具体涉及一种基于自动分析的调度层报文异常定位方法、装置及系统。

背景技术

变电站的通信网络属于局域网，唯一对外通信的出口就是调度层网络。站内的各种遥信遥测数据会通过调度层网络送往调度，调度下发的控制命令也是通过调度层网络发往站内。作为变电站对外通信的关口，调度层网络的安全问题显得尤为重要，一旦调度层网络遭受到入侵或其他恶意威胁，便会对变电站的运行造成严重的影响。

目前调度层网络由调度进行管控，调度往往只能通过纵向加密装置的告警获得调度层网络的一些非法连接等告警，无法从业务角度对调度层网络进行监视。

发明内容

针对上述问题，本发明提出一种基于自动分析的调度层报文异常定位方法、装置及系统，通过对业务数据的分析和判断，直观地展现变电站调度层网络运行情况，便于运维人员对调度层的网络安全监视和异常定位。

为了实现上述技术目的，达到上述技术效果，本发明通过以下技术方案实现：

第一方面，本发明提供了一种基于自动分析的调度层报文异常定位方法，包括：

按照调度层网络报文的特点，自动对捕获的报文数据流进行分类，获得多个分类数据；

对各分类数据分别进行建模、特征提取和分析，生成用作异常判断依据的基准库，所述基准库中包括数据和行为；

基于所述基准库，判断实时报文状态，在出现异常时进行记录并定位出异常环节，所述异常环节包括异常发生的时间、链路的统计特征和异常内容，同时产生告警信号；

通过带认证和加密的私有协议，将所述告警信号实时发送到监控终端，使得监控终端进行统一的展示和告警。

可选地，所述报文数据流为主子站通信协议，包括IEC104协议报文、IEC103协议报文和IEC61850协议报文。

可选地，各分类数据分别对应不同的应用层协议。

可选地，同一分类数据具有相同的协议、目的IP地址、源IP地址、目的端口和源端口。

可选地，对各分类数据分别进行建模是指：针对各分类数据分别进行数据和行为提取。

可选地，所述特征提取是指根据分类结果，针对不同应用层协议进行协议特征提取，对于IEC104协议报文提取分析点号，对于IEC103协议报文提取组号条目号，对于IEC61850协议报文提取FCDA。

可选地，所述告警信号的内容包括：异常发生的时间、链路的统计特征和异常内容。

可选地，所述报文数据流的捕获通过调度层交换机的镜像口抓包实现，或通过串接在通道中的具有报文捕获和分析能力的专用设备实现。

第二方面，本发明提供了一种基于自动分析的调度层报文异常定位装置，包括：

数据分类模块，用于按照调度层网络报文的特点，自动对捕获的报文数据流进行分类，获得多个分类数据；