[发明专利]一种在线电力远动IEC104传输异常检测方法

摘要

一种在线电力远动IEC104传输异常检测方法，涉及一种电力调度远动网络传输异常检测方法。目前，对于运行的IEC104远动通信，还没有有效的在线监视、分析、诊断方法。本发明包括以下步骤1)报文侦听俘获；2)报文拼接；3)IEC104报文解析；4)厂站合并统计；5)多维特征指标计算；6)异常诊断；异常诊断包括常规传输异常判别和控制传输异常判别。本技术方案减轻工作强度，并提高电力调度自动化运行维护水平；可以主动发现控制信息传输过程中的异常情况，保障电力调度控制系统正常运行；直观明确的对传输故障进行检测，并可以对隐形故障进行预警；对网络故障或者厂站通信故障进行判定。

主权项

一种在线电力远动IEC104传输异常检测方法，其特征在于包括以下步骤：1)报文侦听俘获；通过交换机网络设备端口镜像，实现网络流量的全镜像采集；并依据监视厂站与调度主站的IP地址簇以及端口，俘获所需监视的IP报文；2)报文拼接；在获得俘获的IP报文后，进行IP/TCP报文重组，对于超过窗口周期的IP进行丢弃，完整的报文递交下一步处理；3)IEC104报文解析；对于拼接重组好的TCP连接用户数据，依据IEC104协议，进行简单报文解析，区分报文的类型以及业务流量统计；对于非法报文，当超过设定的阈值范围后，进行直接异常判定；4)厂站合并统计；依据厂站进行链路合并，以计算后续的多维特征量；5)多维特征指标计算；在到达预先设定的计算监测窗口周期时，针对监视每个厂站，计算多维特征指标，多维特征指标包括业务流量特征指标、上下行遥调报文数比、遥控报文应答平均延迟时间、TCP连接请求报文数；6)异常诊断；对于每一个厂站，当到达计算监测窗口时，依据特征指标量分别进行常规传输异常以及控制传输异常判别：常规传输异常判别包括：601)典型报文的业务流量频域直流模比值r流量判别当直流模比值r流量大于正常传输的阈值t流量时，判别正常，当直流模比值r流量小于正常传输的阈值t流量时，判别异常；602)报文数频域直流模比值r报文数判别当传输的报文数频域直流模比值r报文数大于正常传输的阈值t报文数时，判别正常，当传输的报文数频域直流模比值r报文数小于正常传输的阈值t报文数时，判别异常；603)TCP连接请求报文数判别当TCP连接请求报文数指标数超过对应设定的阈值时，判别传输异常；控制传输异常判别包括：611)遥调上下行报文数比r遥调判别当遥调上下行报文数比r遥调小于对应设定阈值，判别遥调命令传输出错；612)遥控报文应答平均延迟时间t遥控延迟判别对于每个厂站遥控命令，当遥控报文应答平均延迟时间t遥控延迟大于设定阈值时，判别遥控命令传输出错。