一种在线电力远动iec104传输异常检测方法
【专利摘要】一种在线电力远动IEC104传输异常检测方法，涉及一种电力调度远动网络传输异常检测方法。目前，对于运行的IEC104远动通信，还没有有效的在线监视、分析、诊断方法。本发明包括以下步骤：1)报文侦听俘获；2)报文拼接；3)IEC104报文解析；4)厂站合并统计；5)多维特征指标计算；6)异常诊断；异常诊断包括常规传输异常判别和控制传输异常判别。本技术方案减轻工作强度，并提高电力调度自动化运行维护水平；可以主动发现控制信息传输过程中的异常情况，保障电力调度控制系统正常运行；直观明确的对传输故障进行检测，并可以对隐形故障进行预警；对网络故障或者厂站通信故障进行判定。
【专利说明】-种在线电力远动IEC104传输异常检测方法
【技术领域】
[0001] 本发明设及一种电力调度远动网络传输异常检测方法，尤指一种在线电力远动 IEC104传输异常检测方法。
【背景技术】
[0002] 随着电网调度技术发展和自动化设备的日趋完善可靠，变电站"无人值守，少人值 守"运行模式的推进，调度自动化系统作为电网安全运行核屯、支撑作用越来越关键，自动化 系统日益成为保障电网安全、优质、可靠、稳定运行的关键环节。电力远动信息的安全可靠 传输是电力自动化系统正常运行的基础前提条件，而在实际生产工作中，对于自动化远动 系统发生异常和故障判别，往往由电网应用出现异常后才发现，进而再由自动化运行人员 进行分析判别，常常延误自动化的故障诊断与恢复。如何避免该种"被动型"运维，在自动 化远动传输层面上进行快速、及时、有效地监测、判别远动传输故障，成为提高电力自动化 水平的重要研究课题。
[0003] 随着调度数据网的建设，当前调度主站与厂站之间越来越多采用IEC104通信协 议作为主用，自动化系统信息流均W报文方式承载于电力调度数据网。对于调度数据网的 监视，当前一般使用网管系统，其主要监视网络设备通信链路的中断情况W及网络层流量 信息，多数的文献及专利也均基于网络层报文流量进行异常判别，但该些方法无法有效针 对电力远动业务传输进行监视判别。
[0004] 然而实际在电力远动IEC104运行中，传输故障不仅仅是底层网络设备故障，经常 是网络传输正常，但是业务数据传输故障，存在类似"假在线"、"遥调不响应"或者"遥控超 时"等。当前已有的针对IEC104协议的监视分析，主要是在对于通信双方的点点报文协议 解析分析翻译，或者是离线的规约分析。对于运行的IEC104远动通信，特别是实际运行中 的多厂站、大量通道传输的监视，目前还没有有效的在线监视、分析、诊断方法。
【发明内容】
[0005] 本发明要解决的技术问题和提出的技术任务是对现有技术方案进行完善与改进， 提供一种在线电力远动IEC104传输异常检测方法，W达到有效的在线监视、分析、诊断的 目的。为此，本发明采取W下技术方案。
[0006] 一种在线电力远动IEC104传输异常检测方法，其特征在于包括W下步骤：
[0007] 1)报文侦听俘获；
[000引通过交换机网络设备端口镜像，实现网络流量的全镜像采集；并依据监视厂站与 调度主站的IP地址簇W及端口，俘获所需监视的IP报文；
[0009] 。报文拼接；
[0010] 在获得俘获的IP报文后，进行IP/TCP报文重组，对于超过窗口周期的IP进行丢 弃，完整的报文递交下一步处理；
[0011] 扣IEC104报文解析；
[0012] 对于拼接重组好的TCP连接用户数据，依据IEC104协议，进行简单报文解析，区分 报文的类型W及业务流量统计；对于非法报文，当超过设定的阔值范围后，进行直接异常判 定；
[0013] 4)厂站合并统计；
[0014] 依据厂站进行链路合并，W计算后续的多维特征量；
[0015] 5)多维特征指标计算；
[0016] 在到达预先设定的计算监测窗口周期时，针对监视每个厂站，计算多维特征指标， 多维特征指标包括业务流量特征指标、上下行遥调报文数比、遥控报文应答平均延迟时间、 TCP连接请求报文数；
[0017] 6)异常诊断；
[0018] 对于每一个厂站，当到达计算监测窗口时，依据特征指标量分别进行常规传输异 常W及控制传输异常判别：
[0019] 常规传输异常判别包括：
[0020] 601)典型报文的业务流量频域直流模比值判别
[0021] 当直流模比值r流量大于正常传输的阔值t流量时，判别正常，当直流模比值r流量小于 正常传输的阔值时，判别异常；
[0022] 602)报文数频域直流模比值判别
[002引当传输的报文数频域直流模比值大于正常传输的阔值时，判别正常， 当传输的报文数频域直流模比值小于正常传输的阔值时，判别异常；
[0024] 603) TCP连接请求报文数判别
[0025] 当TCP连接请求报文数指标数超过对应设定的阔值时，判别传输异常；
[0026] 控制传输异常判别包括：
[0027] 611)遥调上下行报文数比r遥调判别
[002引当遥调上下行报文数比小于对应设定阔值，判别遥调命令传输出错；
[0029] 6。）遥控报文应答平均延迟时间t遥判别
[0030] 对于每个厂站遥控命令，当遥控报文应答平均延迟时间大于设定阔值时， 判别遥控命令传输出错。
[0031] 作为对上述技术方案的进一步完善和补充，本发明还包括W下附加技术特征。
[0032] 业务流量特征指标包括典型报文流量频域直流模比值；
[0033] 典型报文流量频域直流模比值计算方法为：
[0034] :〇计算业务流量fs，业务流量fs= E sLen (Pasdu)
[003引其中；S为采样周期，取5秒-10秒；Len(PASDu)为采样周期内侦听到的典型业务报 文中应用服务数据单元（ASDU)字节数，采用变化遥测上行报文为典型业务报文；
[0036] i。计算频域分量模Mi,频域分量模Mi = Jaf + bf
[0037] 其中；i = 0, 1，2,……，N-1，N为计算窗口包含的采用个数，取16或32啡，bi分 别为计算窗口内业务流量序列
【权利要求】
1. 一种在线电力远动IEC104传输异常检测方法，其特征在于包括以下步骤： 1) 报文侦听俘获； 通过交换机网络设备端口镜像，实现网络流量的全镜像采集；并依据监视厂站与调度 主站的IP地址簇以及端口，俘获所需监视的IP报文； 2) 报文拼接； 在获得俘获的IP报文后，进行IP/TCP报文重组，对于超过窗口周期的IP进行丢弃，完 整的报文递交下一步处理； 3. IEC104报文解析； 对于拼接重组好的TCP连接用户数据，依据IEC104协议，进行简单报文解析，区分报文 的类型以及业务流量统计；对于非法报文，当超过设定的阈值范围后，进行直接异常判定； 4) 厂站合并统计； 依据厂站进行链路合并，以计算后续的多维特征量； 5) 多维特征指标计算； 在到达预先设定的计算监测窗口周期时，针对监视每个厂站，计算多维特征指标，多维 特征指标包括业务流量特征指标、上下行遥调报文数比、遥控报文应答平均延迟时间、TCP 连接请求报文数； 6) 异常诊断； 对于每一个厂站，当到达计算监测窗口时，依据特征指标量分别进行常规传输异常以 及控制传输异常判别： 常规传输异常判别包括： 601) 典型报文的业务流量频域直流模比值判别 当直流模比值大于正常传输的阈值t顏时，判别正常，当直流模比值小于正常 传输的阈值时，判别异常； 602) 报文数频域直流模比值判别 当传输的报文数频域直流模比值大于正常传输的阈值时，判别正常，当传 输的报文数频域直流模比值小于正常传输的阈值时，判别异常； 603. TCP连接请求报文数判别 当TCP连接请求报文数指标数超过对应设定的阈值时，判别传输异常； 控制传输异常判别包括： 611) 遥调上下行报文数比判别 当遥调上下行报文数比raiJS小于对应设定阈值，判别遥调命令传输出错； 612) 遥控报文应答平均延迟时间判别 对于每个厂站遥控命令，当遥控报文应答平均延迟时间〖"§5^大于设定阈值时，判别 遥控命令传输出错。
2. 根据权利要求1所述的一种在线电力远动IEC104传输异常检测方法，其特征在于： 业务流量特征指标包括典型报文流量频域直流模比值； 典型报文流量频域直流模比值计算方法为： i)计算业务流量fs，业务流量fs=E5Len(PASDU) 其中：S为采样周期，取5秒-10秒；Len(PASDU)为采样周期内侦听到的典型业务报文中 应用服务数据单元（ASDU)字节数，采用变化遥测上行报文为典型业务报文； ii) 计算频域分量模Mi，频域分量模
其中：i= 0, 1，2,……，N-1，N为计算窗口包含的采用个数，取16或32 ;ai，h分别为 计算窗口内业务流量序列
的离散傅里叶变换（DFT)第i分量的实部、 虚部的系数； iii) 计算典型报文流量频域直流模比值，典型报文流量频域直流模比值值M。/maXimiMi，即频域的直流分量模与非直流分量模最大值的比。
3. 根据权利要求2所述的一种在线电力远动IEC104传输异常检测方法，其特征在于： 业务流量特征指标还包括典型报文数频域直流模比值；典型报文数频域直流模比值 的计算方法为： i)计算业务报文数Cs 其中：S为采样周期，取值5秒-10秒；(；为采样周期内侦听到的完整典型业务报文个 数；
实部、虚部的系数； iii)计算典型报文数频域直流模比值，典型报文数频域直流模比值=Md/maXi=Mp即频域的直流分量模与非直流分量模最大值的比。
4. 根据权利要求1所述的一种在线电力远动IEC104传输异常检测方法，其特征在于： 上下行遥调报文数比1"遥丨周=C命令=C响应，其中，C命令，C响应为计算窗口期间内主站发出的遥 调命令报文数及相应厂站上行的遥调应答报文数。
5. 根据权利要求1所述的一种在线电力远动IEC104传输异常检测方法，其特征在于： 遥控报文应答平均延迟时间taesig =EN(t_应-tn)/N，其中为计算窗口期间内 遥控命令时间及相应上行应答报文时间，N为窗口期间发送的命令个数。
6. 根据权利要求1所述的一种在线电力远动IEC104传输异常检测方法，其特征在于： TCP连接请求报文数CrcP为计算窗口期间主站发出的TCP连接报文数。
【文档编号】H02J13/00GK104486101SQ201410713633
【公开日】2015年4月1日 申请日期:2014年11月28日 优先权日:2014年11月28日
【发明者】陈利跃, 方兴其, 马国梁, 章立宗, 卢冰, 陶涛, 何星 申请人:国家电网公司, 国网浙江省电力公司, 上海交通大学