[发明专利]一种融合电网信息物理异常的事件预处理方法

摘要

本发明涉及一种融合电网信息物理异常的事件预处理方法。该方法包括：采集、解析、清洗、融合等步骤。本发明在电网网络安全分析过程中，将电气物理侧异常事件考虑进来，是电网网络安全精准分析的关键，利用预处理后的源网荷系统异常事件进行电网网络安全分析，可更加快速、精确的识别网络攻击，有效提高电网网络安全分析质量和效率，保障电网安全稳定运行。

主权项

1.一种融合电网信息物理异常的事件预处理方法，其特征在于，包括如下步骤：(1)采集信息侧与电气物理侧的网络日志、流量数据和电气量数据；(2)采用常规日志解析算法和常规流量解析算法，对采集的网络日志、流量数据和电气量数据进行解析，进而得到常规数据和异常数据；(3)采用漏洞一致性和属性一致性规则对异常数据进行清洗，去除异常数据中的重复的异常事件；(4)建立电网信息物理系统多源异常事件融合模型，对源网荷系统信息侧与电气物理侧异常事件的源IP属性、目的IP属性、时间属性以及事件类型属性进行统一；模型为：式中，为源IP统一模型，为目的IP统一模型，x_Ti(N)为时间属性统一模型，x_Ty(N)为事件类型模型；(5)将源网荷系统产生信息侧与电气物理侧异常事件的源IP属性进行统一，源IP统一模型为式中，为源IP统一模型，为第N₁条网络异常事件源IP地址；为第N₂条电气量异常事件源IP地址；(6)将源网荷系统产生信息侧与电气物理侧异常事件的目的IP属性进行统一，目的IP统一模型为式中为目的IP统一模型，为第N₁条信息侧异常事件目的IP地址，电气量异常事件目的IP地址设为0；(7)将源网荷系统产生信息侧与电气物理侧异常事件的发生时间进行统一，时间属性统一模型为：x_Ti(N)＝24D_Nk²+h_Nk²+m_Nk+s_N；式中x_Ti(N)时间属性统一模型，D_N、h_N、h_N、m_N、s_N分别为事件发生的天、小时、分钟、秒，k＝60，N∈(N₁,N₂)；(8)将源网荷系统产生信息侧与电气物理侧异常事件的事件类型进行统一，事件类型统一模型为：x_Ty(N)＝v_N v_N∈(1,2,3,…,n)；式中x_Ty(N)表示第N条事件的事件类型的取值；(9)对融合后的源网荷系统异常事件进行统一标准化，标准化公式为：式中x为原始特征数值；μ为均值；σ则为方差。