一种变电站通信流量异常检测方法、装置、设备及介质与流程

本发明涉及电力设备风险监测，尤其涉及一种变电站通信流量异常检测方法、装置、设备及介质。

背景技术：

1、变电站是电力系统的核心，负责电压转换、电能分配与输电，对广大区域的电力稳定供应至关重要，任何中断都可能引发严重后果。iec60870-5-104规约(简称iec104)在变电站中普遍使用，iec104协议的数据包是以明文形式传输的，基于此，当前变电站工控系统的网络安全事件屡有发生，数据传输过程中存在被监听、篡改或窃取的风险。

2、目前，可以采用基于机器学习的检测算法模型对iec104协议的报文进行异常检测。但是，上述模型依赖于数据包间隔和长度式，在攻击者改变攻击模式，使其与正常流量相似，检测系统的有效性将大幅降低；此外，电网工控系统的流量数据复杂多变，上述方式难以适应这种动态变化，检测的实时性低、对大规模流量的处理能力不足，导致误报率较高。

技术实现思路

1、本发明提供一种变电站通信流量异常检测方法、装置、设备及介质，以精准识别变电站通信流量中的异常行为，为变电站网络系统的安全稳定运行提供有力保障。

2、第一方面，本发明实施例提供了一种变电站通信流量异常检测方法，该方法包括：

3、在目标变电站通信的过程中，提取待测流量数据包中的待测协议报文；

4、基于所述待测协议报文中至少一个数据维度的特征字段内容，构建待测特征向量；

5、将所述待测特征向量输入至预先训练好的流量异常检测模型的自编码器中，得到与所述待测特征向量对应的重构特征向量；

6、将所述重构特征向量和所述待测特征向量输入至所述流量异常检测模型的判别器中，得到所述待测流量数据包对应的异常检测结果。

7、第二方面，本发明实施例还提供了一种变电站通信流量异常检测装置，该装置包括：

8、待测报文提取模块，用于在目标变电站通信的过程中，提取待测流量数据包中的待测协议报文；

9、特征向量确定模块，用于基于所述待测协议报文中至少一个数据维度的特征字段内容，构建待测特征向量；

10、重构特征确定模块，用于将所述待测特征向量输入至流量异常检测模型的自编码器中，得到与所述待测特征向量对应的重构特征向量；

11、异常检测模块，用于将所述重构特征向量和所述待测特征向量输入至流量异常检测模型的判别器中，得到所述待测流量数据包对应的异常检测结果。

12、第三方面，本发明实施例还提供了一种电子设备，电子设备包括：

13、一个或多个处理器；

14、存储装置，用于存储一个或多个程序，

15、当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如本发明实施例任一的变电站通信流量异常检测方法。

16、第四方面，本发明实施例还提供了一种包含计算机可执行指令的存储介质，计算机可执行指令在由计算机处理器执行时用于执行如本发明实施例任一的变电站通信流量异常检测方法。

17、本发明实施例的技术方案，通过在目标变电站通信的过程中，提取待测流量数据包中的待测协议报文，进而，基于待测协议报文中至少一个数据维度的特征字段内容，构建待测特征向量，进一步的，将待测特征向量输入至预先训练好的流量异常检测模型的自编码器中，得到与待测特征向量对应的重构特征向量，从而，将重构特征向量和待测特征向量输入至流量异常检测模型的判别器中，得到待测流量数据包对应的异常检测结果。本发明的技术方案，通过自编码器和判别器从不同角度对输入数据进行检测，自编码器利用其重构能力判断输入数据是否符合正常模式，判别器基于其判别能力评估输入数据的异常性，极大提升了变电站流量异常检测的泛化能力，能够精准识别变电站通信流量中的异常行为，为变电站网络系统的安全稳定运行提供有力保障。

技术特征：

1.一种变电站通信流量异常检测方法，其特征在于，包括：

2.根据权利要求1所述的方法，其特征在于，所述至少一个数据维度包括控制域维度、应用服务数据单元结构信息维度、信息体内容维度、信息帧序列号维度、确认帧确认信息维度以及数据包捕获时间戳维度中的一种。

3.根据权利要求1所述的方法，其特征在于，所述将所述重构特征向量和所述待测特征向量输入至所述流量异常检测模型的判别器中，得到所述待测流量数据包对应的异常检测结果，包括：

4.根据权利要求3所述的方法，其特征在于，所述判别器包括语义嵌入生成器和检测结果输出层，所述将所述重构特征向量和所述待测特征向量输入至流量异常检测模型中的判别器中，确定所述待测流量数据包对应的异常评分结果，包括：

5.根据权利要求4所述的方法，其特征在于，所述将所述重构特征向量、所述待测特征向量和所述待测嵌入特征向量输入至检测结果输出层，得到所述待测流量数据包对应的异常评分结果，包括：

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：训练得到所述流量异常检测模型；

7.根据权利要求6所述的方法，其特征在于，所述待训练流量异常检测模型包括待训练自编码器和待训练判别器，所述基于所述训练样本集对待训练流量异常检测模型进行训练，得到所述流量异常检测模型，包括：

8.根据权利要求7所述的方法，其特征在于，所述基于所述样本特征向量、所述重构样本特征向量、所述原始样本嵌入特征向量和所述重构样本嵌入特征向量，确定第一损失函数，包括：

9.一种变电站通信流量异常检测装置，其特征在于，包括：

10.一种电子设备，其特征在于，所述电子设备包括：

技术总结本发明实施例公开了一种变电站通信流量异常检测方法、装置、设备及介质，该方法包括：在目标变电站通信的过程中，提取待测流量数据包中的待测协议报文；基于待测协议报文中至少一个数据维度的特征字段内容，构建待测特征向量；将待测特征向量输入至预先训练好的流量异常检测模型的自编码器中，得到与待测特征向量对应的重构特征向量；将重构特征向量和待测特征向量输入至流量异常检测模型的判别器中，得到待测流量数据包对应的异常检测结果。本发明的技术方案，能够更精准识别变电站通信流量中的异常行为，为变电站网络系统的安全稳定运行提供有力保障。技术研发人员：吴佩泽,罗启宝,王定波,吴津宇,陈清明,刘家豪,王健,田湘岚,周涛受保护的技术使用者：南方电网数字电网集团信息通信科技有限公司技术研发日：技术公布日：2024/9/12