基于物理‑信息模糊推理的智能电网攻击检测方法

摘要

本发明提出了一种基于物理‑信息模糊推理的智能电网攻击检测方法；该方法利用智能电网物理系统和信息系统紧密耦合的特性，通过分析智能电网电力量测数据与网络通信流量，利用物理‑信息模糊推理的方法来判定攻击行为，能显著降低检测的误报率，改善智能电网攻击检测的效果。

主权项

一种基于物理‑信息模糊推理的智能电网攻击检测方法，其特征在于，包括如下步骤：步骤S1：利用部署在智能电网中的电力量测设备和流量监控系统得到智能电网的电力量测数据和设备通信流量；对得到的电力量测数据和设备通信流量分别进行异常事件检测，得到物理系统异常度和信息系统异常度；步骤S2：基于电力量测设备和智能通信设备在传输线上的分布，将物理系统和信息系统的异常度进行关联融合，得到电力传输线路上的物理‑信息异常度<C,P>；所述物理‑信息异常度＜C,P＞＝[C₁,P₁；C₂,P₂；...；C_n,P_n]，为一个矩阵，表征整个系统通过物理信息系统数据关联后得到的所有线路的物理‑信息异常度，假设线路i处有s台设备，IP地址分别为IP₁,IP₂,...,IP_s，则线路i处的信息异常度为其中W_i为来IP_i对应设备的异常度；线路i处的物理异常度为表征电力拓扑中线路i的异常度；矢量＜C_i,P_i＞表征线路i处的物理‑信息异常度；步骤S3：利用知识库，将物理‑信息异常度<C,P>由精确量转化为模糊化量，并用相应的模糊集合来表示；步骤S4：结合知识库中的规则库，利用模糊逻辑中的蕴含关系及推理规则进行物理‑信息模糊推理得出用相应模糊集合表示的电力传输线路上的异常度模糊化输出；步骤S5：结合知识库将异常度模糊化输出反模糊化成精确量，得到用精确数值表示的线路上的物理‑信息综合异常度；步骤S6：设定攻击检测阈值；若线路i的物理‑信息综合异常度超过给定检测阈值，则判定线路i受到了攻击，否则判定线路i没有受到攻击；其中，步骤S1包括两个并行的部分：物理系统异常度分析和信息系统异常度分析，所述物理系统异常度分析过程如下：步骤S101：通过电力量测设备得到电力系统的量测量z，利用加权最小二乘估计的方法对量测量z进行状态估计，计算出电网系统状态量的估计值假定电力系统中具有m个量测量，n个状态量，令x＝(x₁,x₂,...,x_n)^T表征电力系统的状态量，包括节点的电压幅值和电压相角，z＝(z₁,z₂,...,z_m)^T表征系统的量测量，包括传输线路上的有功功率和无功功率，e＝(e₁,e₂,...,e_m)^T表征系统的量测误差，满足z＝h(x)+e，h(x)是导纳矩阵，由系统的结构和线路阻抗参数决定，表征由x计算z的换算函数，R为量测误差方差阵，其中对角线元素为各节点量测误差的方差，其余元素为零；计算公式为：步骤S102：由计算系统的量测量估计步骤S103：计算残差即量测量与量测量估计之差；步骤S104：计算标准化残差其中D＝diag[E(rr^T)]为协方差矩阵的对角阵，E(rr^T)为残差r的协方差矩阵；步骤S105：对r_N样本值进行z‑score标准化，得到均值为0、标准差为1的计算公式为其中，μ_N为r_N的均值，σ_N为r_N的标准差，表征了物理系统的异常度，表征电力拓扑中线路i的异常度；所述信息系统异常度分析过程如下：步骤S101′：监控智能电网中的通信流量，对流量进行过滤分析产生报警事件，并存入入侵检测数据库；报警事件的特征包括报警时间、源IP地址、目的IP地址以及威胁度，威胁度表征事件严重程度的优先级属性，取值从1到5；步骤S102′：假设采样检测周期为T，采样时刻为t；从入侵检测数据库中提取出时间段δ＝(t‑αT,t]内的报警事件及其相关特征，其中α是可调正整数，α越大，取样分析的时间段越长，一般取3到5之间；记智能电网中所有设备的IP地址数量总和为l，设备IP地址集合表示为IP＝{IP₁,IP₂,…,IP_l}；记在时间段δ内产生了k条报警事件，k_i为目的地址来自设备IP_i的报警事件数量；记a_i,j为来自设备IP_i的第j个报警事件，所有报警事件的集合为步骤S103′：计算其中q_i,j为报警事件a_i,j的威胁度；对w_i,j进行最大值归一化处理得到报警事件a_i,j的异常度$\overline{w_{i,j}}=w_{i,j}/max\left\{w_{i,j}\right|1\le j\le n_i\}$步骤S104′：将上次采样计算得到的IP_i的异常度W_i'通过加权滑动平均的方式引入到本次采样计算的结果中，加权滑动平均的遗忘因子为λ；考虑到报警事件在后续时间上产生的影响，假定报警事件a_i,j威胁度随着时间增长的衰减因子为β_i,j；计算得到本次采样中IP_i对应设备的异常度W_i：${\beta }_{i,j}=e^{t-t_{i,j}}/\underset{j=1}{\overset{n_i}{\Sigma }}{e}^{t-t_{i,j}},(1\le j\le n_i)$$W_i={{\mathrm{\lambda W}}_i}^{\prime }+(1-\lambda )\underset{j=1}{\overset{n_i}{\Sigma }}{\beta }_{i,j}\overline{w_{i,j}}$W＝(W_i,W_i,...,W_i)表征了信息系统的异常度。