本发明涉及一种基于电力cps的网络安全态势感知方法，属于电力系统安全防护
技术领域：
：。
背景技术：
：：随着我国电力系统信息化进程推进，传统的电力系统逐步演变成为更加复杂的电力信息物理系统(cyberphysicalpowersystem,cpps)(简称“电力cps”)，电力cps主要由电力信息系统和电力物理系统组成。电力cps切实提高了电力系统的信息化、自动化、智能化程度，与此同时也不可避免的带来了一些潜在的风险问题，这是由信息系统与物理系统耦合过程中复杂机理导致的，该类风险具有级联性、隐蔽性。由于信息系统与物理系统的耦合不断加强，电力系统复杂度增加，使得对电力系统受攻击风险的分析难度也逐日增加。电力信息系统在电力系统高效调度和提高对电力系统监控能力中发挥重要作用，而电力信息系统的故障很可能会对电力系统造成较大的影响。因为在电力cps中，电力信息系统威胁可通过信息流实现由信息空间到物理空间的跨域传播，即电力信息系统若受到安全威胁、系统故障很可能通过监控的信息流而影响到大量的控制终端设备运作，进而影响到电力物理空间的电力设备安全运行甚至引起级联故障。为满足与日俱增的电力需求和自动化程度深化要求，电力系统拓扑日益复杂、信息化程度加深导致岀现多个可被攻击薄弱环节，使得电力系统的安全管理面临更大挑战。电力信息系统运行中产生大量的日志信息，日志信息中蕴藏着电力系统运行的重要信息。电力信息系统日志数据具有数据量巨大、不同日志间无直接关联结构不统一等特点。电力系统为应对新形势下的网络安全问题，新的检测技术也相继应用，如脆弱性检测技术、代码检测技术、入侵检测技术等，但这些传统的安全方法仍不能满足电力系统安全管理需求。首先，这些技术分别从不同角度检査网络问题，提高了威胁检测的能力。但是传统网络安全技术，只是各自为战，已经无法满足新形势下的网络安全需求。同时，需要从多个的角度安全信息处理，也提高了网络管理员的要求，限制了管理员做出正确决策的能力。其次，多次大停电事件是由信息系统故障引起的，而这些传统的网络安全技术无法考虑到电力信息系统与电力物理系统之间的威胁传播机制。技术实现要素：本发明旨在研究电力cps的网络安全态势评估，在电力信息系统日志信息基础上，采用时空关联、数据融合、态势感知等技术设计一个针对电力信息系统安全态势感知系统，可以从大量且存在噪声的安全设备数据中，通过日志的关联和融合等技术综合考虑多种安全要素，实现网络安全态势的理解，预测网络安全态势发展趋势，以尽可能地降低因攻击造成的损失。为解决上述技术问题，本发明所采用的技术方案如下：一种基于电力cps的网络安全态势感知方法，包括如下步骤：s1：报警数据预处理；s2：报警数据融合，使用基于可信度的报警信息融合方法进行多源报警信息融合；s3：基于威胁传播树的电力cps安全风险评估：首先，通过告警信息的时空关联关系分析和攻击效果评估对报警信息的重要性进行评估，进而剔除错误报警信息，以提高报警信息的准确性；其次，在方法中分别针对电力系统的物理系统和信息系统特点进行节点重要性评估，并考虑到电力系统信息域与物理域以及跨域的威胁传播，以达到更加客观全面的使用威胁传播树对电力cps网络安全态势评估；再次，使用改进威胁传播树进行态势评估。本发明给出一种改进威胁传播树生成算法，相比于传统的威胁传播树，本算法结合电力系统规模巨大现实状况增加了时效性和精确度折中算法，以避免大运算力与小收益的矛盾。上述方法为基于时空特性的基于电力cps的网络安全态势感知方法，可用于电力信息系统中的安全风险评估。为了实现网络安全态势的理解，预测网络安全态势发展趋势，以尽可能地降低因攻击造成的损失，对于电力系统的安全态势感知主要为以下步骤：s1：报警数据预处理：针对报警数据融合需求选择合理的数据预处理方式，包括：规范化和归并，本发明研究重点是通过数据融合技术提高报警准确性，因此，本发明对网络安全日志分析无关的日志属性直接过滤，以减少存储压力。s2：报警数据融合：多源报警信息融合中，面对传统d-s证据论不能很好处理各数据源存在冲突问题，冲突的原因主要有错误信息、融合中对所有数据源信息平等对待等。然而，在实际中各个数据源可信度存在差异。所以应该对不同的可信度数据源进行合理差异操作，使得不同的对融合结果影响更加合理，已达到融合结果更加符合实际情况的目的。本发明中使用基于可信度的报警信息融合方法进行多源报警信息融合。报警信息融合中，首先对各个数据源进行加权平均，然后再使用dempster组合规则进行报警信息融合。s3：基于威胁传播树的电力cps安全风险评估：首先，通过告警信息的时空关联关系分析和攻击效果评估对报警信息的重要性进行评估，进而剔除错误报警信息，以提高报警信息的准确性；其次，在方法中分别针对电力系统的物理系统和信息系统特点进行节点重要性评估，并考虑到电力系统信息域与物理域以及跨域的威胁传播，以达到更加客观全面的使用威胁传播树对电力cps网络安全态势评估。进一步给出一种改进威胁传播树生成算法，相比于传统的威胁传播树，本算法结合电力系统规模巨大现实状况增加了时效性和精确度折中算法，以避免大运算力与小收益的矛盾。步骤s1中，对报警数据预处理主要包含如下步骤：s101：报警日志规范化；s102：报警信息归并。步骤s101中，规范化过程中针对常出现的字段，在规范化过程中选择提取源ip地址、源端口、目标ip地址、目标端口、时间戳、异常类型和优先级、其他等安全要素，为方便后续对报警信息的时间进行分析计算，在数据规范化中将原始日志的时间信息转化为由1月1号o时开始所经过的秒数。在最后报警信息融合完成后再将时间信息恢复为用户直观的时间表示方式。步骤s102中，归并过程主要涉及对冗余数据的处理，本发明在数据报警信息归并中，使用基于属性相异度的报警信息归并方法，分别对来自相同网络安全设备的报警信息进行归并，当两个报警信息相异度小于阈值时，进行对其归并操作；大于阈值，则将后来的报警信息成为新报警信息在对同一设备的报警信息进行归并后，统一将归并后的报警信息进行归并。考虑到数据量大，为了更加高效的计算，尽可能选择少并且重要的属性进行报警信息的相异度分析，归并过程中主要考虑时空关联，利用时空关联对冗余报警进行分析，在时间维度上表现为报警信息的报警时间，在空间维度上表现为ip地址，即通过时间、源ip地址、目的ip地址赋予不同的权重来进行相异度计算，相异度计算如下：dij＝ωt×dt+ωsrc_ip×dsrc_ip+ωdst_ip×dsdst_ip(1)dt＝(ti-tj)/r(2)式中dij代表报警信息i，报警信息j的相异度；ωt为时间相异度的权重；ωsrc_ip为源p地址相异度权重；ωdst_ip为目的ip地址相异度权重ωdst_ip；dt为归一化后的时间差；ti为报警信息i的时间；tj为报警信息j的时间；r为可以进行归并的最大时间差，取r＝300；dsrc_ip为归一化后源地址相异度，indexsrc_diff为两个源地址转换成二进制位之后的第一位不同的位置下标，同理可得ddst_ip为归一化后源地址相异度，indexdst_diff为两个目的地址转换成二进制位之后的第一位不同的位置下标。上述步骤s2中，使用基于可信度的报警信息融合方法进行多源报警信息融合，主要包含步骤如下：s201：数据源可信度分析；s202：多源数据报警信息融合。步骤s201中，数据源可信度分析，使用灰色关联度分析计算各个数据源两两之间的支持度，以便于量化各个数据源在多个数据源中被支持的程度，以snort报警信息为例进行分析：1)确定参考序列和比较数列：snort报警信息各个时刻的snort报警信息为参考序列x1，假设共有n个时刻，共有m种报警数据源，其他m-1种报警数据源的报警信息序列x2,x3,...,xm，将x1与x2,x3,...,xm逐个进行比较，计算关联度：2)t时刻两个序列之间的差值为报警信息关联度，序列xi与参考序列x1的关联系数ξi0：式中△(min)为序列xi序列与序列x0在各个时刻中的最小差值，同理△(max)为最大差值；ρ为分辨系数，取值范围为[0,1]；3)序列xi参考序列与参考序列x0的灰色关联度r0i：r0i值越接近1说明序列xi序列与序列x0的相关性越好；两个数据源的关联度越髙，则说明该两个数据源相互的支持度越高，所以数据源之间的关联度作为支持度，即支持度sij＝rij得到支持度矩阵：由于支持度矩阵为对称矩阵即sij＝rij，获取支持度矩阵总共需要进行m×(m-1)/2次报警信息序列的灰色关联度计算，通过支持度矩阵可得，其他数据源对数据源i的总支持度为：一个网络攻击行为会在多个安全设备留下痕迹，可以认为：一个数据源的总支持度越髙，则该数据源信息的越准确即可信度越高；总支持度越低，则该数据源信息的越不准确即可信度越低；其他数据源对数据源ⅰ的总支持度越高，则数据源的可信度越高，将各个数据源的可信度归一化，数据源i的可信度为：各个数据源的可信度之和为1。步骤s202中，多源数据报警信息融合过程中，首先将状态划分为四种安全状态，即在一个时刻，有四种状态分别量化为0、1、2、3，由低到高分别标识四个威胁等级，0表示安全无异常，3表示威胁等级最高，数据源i的报警信息表达在t时刻的状态取值，表示为k(xi(t))，将各个数据源的可信度作为该数据源权重，即ωi＝ci，根据权重进行加权平均，求各个时刻对应的威胁期望：得到加权平均序列为：xmae＝{xmae(t)|t＝1,2,...,n}＝(xmae(1),xmae(2),...,xmae(n))(12)釆用三角模糊数建立威胁期望xmae在0、1、2、3四个威胁等级上的隶属度分布模型，隶属度函数分别为：μ0、μ1、μ2、μ4，一个时刻的威胁值对于四个威胁等级的隶属度，为威胁等级定级分析提供基础，该模型确立了一个期望值对应各个威胁等级的可能性；两个隶属度函数交集部分代表该部分取为复合类别，所以需要融合收殓；假设总共有m个数据源，则需将加权平均序列xmae使用dempster组合规则进行m-1次融合，得出各个时刻报警的最终融合结果，在进行融合后，若某一威胁的等级k的隶属度大于阈值a，则将该时刻的威胁等级定为k，若四个威胁等级的隶属度均小于a，则将该时刻的威胁等级定为0级。上述步骤s3中，基于威胁传播树的电力cps安全风险评估主要包含如下步骤：s301：使用改进lof算法综合报警信息可信度和造成的威胁对异常点的重要性进行评估；s302：分别对电力cps中电力物理网络和电力信息网络的重要性进行量化评估；s303：使用改进威胁传播树进行态势评估。步骤s301中，lof算法(localoutlierfactor)，是一种无监督的离群点检测方法，在该算法中计算每个点的离群因子(lof)。离群因子，越接近1则说明该点越有可能是正常点，反之则越可能是离群点。传统的lof算法中第k距离领域并不适用于本发明所述场景，存在不确定因素，很可能出现复杂度过高或者采样不够全面的情况。此处对lof算法进行改进，即是在有效距离领域和可达距离的基础上求取离群因子，以下是相关定义：1)两点距离d(p,o)：两点p和o之间的距离。2)有效距离(e-distance)：综合考虑时空因素，由时间差和拓扑距离组成。3)有效距离领域ne(p)：为与点p的距离小于或等于有效距离的所有点的集合。4)可达距离(reach-distance(p,o)：点o到任意点p的可达距离定义为：reach-distance(p,o)＝min{e-distance(o),d(p,o)}(13)5)局部可达密度：点p的局部可达密度表示为式中lrde(p)为ne(p)所包含点的可达密度的倒数的平均值。lrde(p)越大则点p是离群点的可能性越小，反之则点p是离群点的可能性越大。6)局部离群因子：点p的局部离群因子表示为lofe(p)表示点p与ne(p)所包含点的可达密度比的平均数值，lofe(p)越接近于1，则表示p点是离群点的可能性更低，lofe(p)<1，表示点p的密度高于ne(p)包含点的平均密度，lofe(p)>1，表示点p的密度低于ne(p)包含点平均密度。步骤s302中，节点重要性评估中，电力物理系统是电力系统的核心部分，电力信息系统即通信网络是电力系统的重要组成部分，在本发明中按照电力物理系统占0.8的权重，电力信息通信系统占0.2的权重。1)电力物理系统的网络节点重要性评估：本文中采取系统科学分析方法分析电力节点重要性，把对电力系统所造成的级联故障的故障规模等价于该节点的重要性；电力系统中的信息系统的网络节点可以采取独立供电并能在一定程度上实现故障修复，因此在本文中不考虑电力物理系统的网络节点故障造成的威胁传播至信息通信节点。将电力物理系统抽象为网络，其中负载、发电机和变电站为网络节点，输电线路为有向边，每条边对应一个效率值，对应实际传输过程中的损耗，效率矩阵d＝{di,j}，当i＝j时，di,j表示是发电机、负载等电力系统设备上当前的功率，发电机的di,j>0表示向外输出有功功率，负载的di,j<0表示消耗有功功率；当i≠j时，若di,j＝0表示节点与节点j之间不存在边；若0<di,j≤1，表示节点i到节点j之间边的效率值；对于电力物理系统的级联故障分析，本发明通过使用基于复杂网络理论的电网级联故障分析方法来更新效率矩阵d，并对电力物理系统进行级联故障仿真，电力物理系统的网络节点的重要性权重为：式中，ωi表示电力物理系统的网络节点i在整个电力cps中所占权重；ve表示电力物理系统的网络节点集合；gi、gj为假设对节点i、节点j在级联故障模拟中单独对其进行移除操作后电力物理系统中出现的故障节点个数。2)电力信息系统的网络节点重要性评估：节点是网络的重要组成部分，节点与连接构成网络，节点的度和聚集系数可以较好的体现一个通信节点在通信网络中的重要性，所以可通过节点的度和聚集系数进行节点重要性评估，公式如下：fj＝(1-a)×aj+a×dj(18)式中，ωj为电力信息系统的网络节点j在电力cps中的权重；vj表示电力信息通信网络节点集合；ve表示调度中心节点；fj、fk分别表示节点j和节点k的节点重要性评价；a取0.8；aj为节点j的局部聚集系数，dj为节点j的度；cj为与节点j逻辑联通的节点之间边的总数。步骤s303中，威胁传播期望量化：影响攻击选择的因素有多个，包括攻击者对系统的了解程度、攻击者的个人喜好、攻击目标节点的脆弱性等。首先定义一个衰减因子fs,e∈[0,1]，表示威胁从电力信息网络节点s传播到电力物理网络节点e的阻隔效果，fs,e＝1表示节点s故障将导致节点e故障，fs,e＝0则表示节点s到节点e的威胁传播将被完全阻隔，即节点s故障不会影响到节点ε，若信息通信网络节点s是对电力物理节点ε进行直接监控的控制单元节点，则fs,e＝1；为了方便计算，假定下一步攻击节点按照攻击难度和节点的重要性权重来选择，若节点i为已经被成功攻击且未被修复完成的热源节点，节点j为与节点i的邻居节点，节点i对节点j的威胁的数学期望：ei,j＝ωj×pi,j×λj×ai(20)式中，ei,j表示热源节点i选择下一步攻击选择节点j的攻击效果的数学期望；pi,j表示热源节点i下一步选择攻击节点j的概率；λj和λk分别表示节点j和节点k的攻击难度，若节点j为电力物理节点，则λj＝fi,j；若节点j为信息节点，λj参考通用安全脆弱性系统，同理求得λk；ωj和ωi分别表示节点j和节点i的权重；ni表示与i节点在逻辑上连通的节点集合；ai为节点受到攻击的程度。传统威胁传播树存在对期望值计算中只考虑到整个传播树的出现概率，不考虑各个节点期望值；在计算中没有对复杂度和时效性进行折中；在计算不同威胁传播树时可能存在对用一威胁重复累加计算的情况不足等问题，本发明在考虑计算结果精确度、计算时效性的折中性、以及精确到每个节点受到威胁评估、避免重复计算威胁传播期望的基础上，给出一种基于改进威胁传播树的电力cps态势评估算法。将节点类型划分为3类：①活动节点(activenode，an)：当前时刻收到威胁，有可能成为下一个热源节点的节点；②死节点(inactivenode，in)：是热源节点或曾是热源节点的节点，且不会再被危险再次作用的节点；③可激活节点(activatablenode，atn)：网络中还未受到威胁的节点，在威胁传播树的构造过程中，应遵循以下规则：1)一个节点成为热源节点后，以该热源节点进行威胁传播树的构造过程中威胁无法传播到该点；2)活动节点只能向相邻节点传播威胁，当威胁传播成功后，该活动节点立即变为死节点，死节点不再被威胁作用；3)当活动节点成为热源节点后，相邻的可激活节点成为活动节点；4)一个节点不允许受到多个威胁同时作用，但允许一个节点同时向其相邻的可激活节点进行威胁传播，使可激活节点成为活动节点；5)因为再威胁传播树算法中，运算的空间和时间复杂度都伴随着每一次递归的进行成指数级增长，所以需要对进行运算与否进行一次决策，决策算法使用代价函数c表示，“+”表示进行下一步的运算，“-”表示停止运算，c(+,-)表示应该进行下一步运算时，停止运算所付出的代价；同理c(-,+)表示应该停止运算，但又继续进行下一步运算所付出的代价，根据当前已经获得信息对继续运算所获得信息的价值进行初步估算，c(+,-)为当前威胁传播树的威胁期望值，式中，c(+,-)为放弃计算的代价；tk一棵拥有k个节点的威胁传播树；表示该威胁传播树所造成的威胁期望值；式中，c(-,+)为继续下一步计算的代价的估计，在判断是否求解i个系欸点威胁传播树时形成的斜率sq,i为：式中，sq,i越大表示同等计算复杂度下所得到的信息价值可能越大，sq,i过小表示计算复杂度明显增加而所得到的信息价值可能依然很小，sq,i可以直观的为是否继续计算决策提供直观的参考。为进一步提高算法的时效性，通过确定最大计算复杂度omax、可忽略复杂度omin，从而得到决策函数：式中，tk表示一棵拥有k个节点的威胁传播树，的取值范围为0≤d≤1，当时表示在tk基础上进一步求取k+1节点威胁传播树集合，否则停止计算；6)网络中没有活动节点或者时，威胁传播树构造完成。威胁传播树生成算法，输入为热源节点，输出为威胁传播树集。威胁传播树生成算法的决策函数能结合不同的运算环境进行时效性和精确度折中，根据运算环境合理控制威胁传播树生成的复杂度。所有有效的热源节点所构成威胁的期望值即为最终的网络安全态势评估值。在进行态势计算之前需要对威胁传播树进行编码，生成对应的编码树。通过编码树进行威胁期望计算，可以避免对同一威胁的重复计算，提高态势评估的准确性。由热源节点导致的威胁期望计算，输入为威胁传播树集ts，输出为最终的态势估计结果sa。本发明未提及的技术均参照现有技术。本发明基于电力cps的网络安全态势感知方法，效率高，在对安全报警日志数据的预处理中可以利用时空特性进行关联分析，进一步归并冗余数据，提高处理效率；有效性高，一个威胁安全的行为常常会在不同的设备的日志中留下痕迹这些痕迹在时间和空间往往存在着关联，时间上和空间上往往是相同或相近，利用这一性质可以有效辨别一些错误的数据和澘在威胁。附图说明图1为本发明电力系统安全态势感知系统示意图；图2为本发明实施例中威胁期望xmae在0、1、2、3四个威胁等级上的隶属度分布模型；图3为本发明实施例中两个隶属度函数融合收殓图；图4为本发明实施例中改进的lof算法流程图；图5为本发明实施例中威胁传播树生成算法流程图；图6为本发明实施例中网络安全态势评估图；具体实施方式为了更好地理解本发明，下面结合实施例进一步阐明本发明的内容，但本发明的内容不仅仅局限于下面的实施例。为了实现网络安全态势的理解，预测网络安全态势发展趋势，以尽可能地降低因攻击造成的损失，如图1所示，电力系统安全态势感知系统包括顺序相接的数据预处理系统、报警融合系统、威胁传播期望量化计算系统和态势评估系统，基于电力cps的网络安全态势感知方法，包括如下步骤：s1：报警数据预处理：针对报警数据融合需求选择合理的数据预处理方式，包括：规范化和归并，本发明研究重点是通过数据融合技术提高报警准确性，因此，本发明对网络安全日志分析无关的日志属性直接过滤，以减少存储压力。s2：报警数据融合：多源报警信息融合中，面对传统d-s证据论不能很好处理各数据源存在冲突问题，冲突的原因主要有错误信息、融合中对所有数据源信息平等对待等。然而，在实际中各个数据源可信度存在差异。所以应该对不同的可信度数据源进行合理差异操作，使得不同的对融合结果影响更加合理，已达到融合结果更加符合实际情况的目的。本发明中使用基于可信度的报警信息融合方法进行多源报警信息融合。报警信息融合中，首先对各个数据源进行加权平均，然后再使用dempster组合规则进行报警信息融合。s3：基于威胁传播树的电力cps安全风险评估：首先，通过告警信息的时空关联关系分析和攻击效果评估对报警信息的重要性进行评估，进而剔除错误报警信息，以提高报警信息的准确性；其次，在方法中分别针对电力系统的物理系统和信息系统特点进行节点重要性评估，并考虑到电力系统信息域与物理域以及跨域的威胁传播，以达到更加客观全面的使用威胁传播树对电力cps网络安全态势评估。进一步给出一种改进威胁传播树生成算法，相比于传统的威胁传播树，本算法结合电力系统规模巨大现实状况增加了时效性和精确度折中算法，以避免大运算力与小收益的矛盾。步骤s1中，对报警数据预处理主要包含如下步骤：s101：报警日志规范化；s102：报警信息归并。步骤s101中，规范化过程中针对常出现的字段，在规范化过程中选择提取源ip地址、源端口、目标ip地址、目标端口、时间戳、异常类型和优先级、其他等安全要素，为方便后续对报警信息的时间进行分析计算，在数据规范化中将原始日志的时间信息转化为由1月1号o时开始所经过的秒数。在最后报警信息融合完成后再将时间信息恢复为用户直观的时间表示方式。步骤s102中，归并过程主要涉及对冗余数据的处理，本发明在数据报警信息归并中，使用基于属性相异度的报警信息归并方法，分别对来自相同网络安全设备的报警信息进行归并，当两个报警信息相异度小于阈值时，进行对其归并操作；大于阈值，则将后来的报警信息成为新报警信息在对同一设备的报警信息进行归并后，统一将归并后的报警信息进行归并。考虑到数据量大，为了更加高效的计算，尽可能选择少并且重要的属性进行报警信息的相异度分析，归并过程中主要考虑时空关联，利用时空关联对冗余报警进行分析，在时间维度上表现为报警信息的报警时间，在空间维度上表现为ip地址，即通过时间、源ip地址、目的ip地址赋予不同的权重来进行相异度计算，相异度计算如下：dij＝ωt×dt+ωsrc_ip×dsrc_ip+ωdst_ip×dsdst_ip(1)dt＝(ti-tj)/r(2)式中dij代表报警信息i，报警信息j的相异度；ωt为时间相异度的权重，ωt＝0.2；ωsrc_ip为源p地址相异度权重，ωsrc_ip＝0.3；ωdst_ip为目的ip地址相异度权重ωdst_ip＝0.5；dt为归一化后的时间差；ti为报警信息i的时间；tj为报警信息j的时间；r为可以进行归并的最大时间差，取r＝300；dsrc_ip为归一化后源地址相异度，indexsrc_diff为两个源地址转换成二进制位之后的第一位不同的位置下标，同理可得ddst_ip为归一化后源地址相异度，indexdst_diff为两个目的地址转换成二进制位之后的第一位不同的位置下标。步骤s2中，使用基于可信度的报警信息融合方法进行多源报警信息融合，主要包含步骤如下：s201：数据源可信度分析；s202：多源数据报警信息融合。步骤s201中，数据源可信度分析，使用灰色关联度分析计算各个数据源两两之间的支持度，以便于量化各个数据源在多个数据源中被支持的程度，以snort报警信息为例进行分析：1)确定参考序列和比较数列：snort报警信息各个时刻的snort报警信息为参考序列x1，假设共有n个时刻，共有m种报警数据源，其他m-1种报警数据源的报警信息序列x2,x3,...,xm，将x1与x2,x3,...,xm逐个进行比较，计算关联度：2)t时刻两个序列之间的差值为报警信息关联度，序列xi与参考序列x1的关联系数ξi0：式中△(min)为序列xi序列与序列x0在各个时刻中的最小差值，同理△(max)为最大差值；ρ为分辨系数，取值范围为[0,1]，在本例中取ρ＝0.5；3)序列xi参考序列与参考序列x0的灰色关联度r0i：r0i值越接近1说明序列xi序列与序列x0的相关性越好；两个数据源的关联度越髙，则说明该两个数据源相互的支持度越高，所以数据源之间的关联度作为支持度，即支持度sij＝rij得到支持度矩阵：由于支持度矩阵为对称矩阵即sij＝rij，获取支持度矩阵总共需要进行m×(m-1)/2次报警信息序列的灰色关联度计算，通过支持度矩阵可得，其他数据源对数据源i的总支持度为：一个网络攻击行为会在多个安全设备留下痕迹，可以认为：一个数据源的总支持度越髙，则该数据源信息的越准确即可信度越高；总支持度越低，则该数据源信息的越不准确即可信度越低；其他数据源对数据源ⅰ的总支持度越高，则数据源的可信度越高，将各个数据源的可信度归一化，数据源i的可信度为：各个数据源的可信度之和为1。步骤s202中，多源数据报警信息融合过程中，首先将状态划分为四种安全状态，即在一个时刻，有四种状态分别量化为0、1、2、3，由低到高分别标识四个威胁等级，0表示安全无异常，3表示威胁等级最高，数据源i的报警信息表达在t时刻的状态取值，表示为k(xi(t))，将各个数据源的可信度作为该数据源权重，即ωi＝ci，根据权重进行加权平均，求各个时刻对应的威胁期望：得到加权平均序列为：xmae＝{xmae(t)|t＝1,2,...,n}＝(xmae(1),xmae(2),...,xmae(n))(12)釆用三角模糊数建立威胁期望xmae在0、1、2、3四个威胁等级上的隶属度分布模型，隶属度函数分别为：μ0、μ1、μ2、μ4，一个时刻的威胁值对于四个威胁等级的隶属度，为威胁等级定级分析提供基础，该模型确立了一个期望值对应各个威胁等级的可能性，如附图2所示；两个隶属度函数交集部分代表该部分取为复合类别，所以需要融合收殓，如附图3所示；假设总共有m个数据源，则需将加权平均序列xmae使用dempster组合规则进行m-1次融合，得出各个时刻报警的最终融合结果，在进行融合后，若某一威胁的等级k的隶属度大于阈值a，则将该时刻的威胁等级定为k，若四个威胁等级的隶属度均小于a，则将该时刻的威胁等级定为0级，在本发明中经过分析和多次实验验证，验证将a的取值定为a＝0.6。上述步骤s3中，基于威胁传播树的电力cps安全风险评估主要包含如下步骤：s301：使用改进lof算法综合报警信息可信度和造成的威胁对异常点的重要性进行评估；s302：分别对电力cps中电力物理网络和电力信息网络的重要性进行量化评估；s303：使用改进威胁传播树进行态势评估。步骤s301中，lof算法(localoutlierfactor)，是一种无监督的离群点检测方法，在该算法中计算每个点的离群因子(lof)。离群因子，越接近1则说明该点越有可能是正常点，反之则越可能是离群点。传统的lof算法中第k距离领域并不适用于本发明所述场景，存在不确定因素，很可能出现复杂度过高或者采样不够全面的情况。此处对lof算法进行改进，即是在有效距离领域和可达距离的基础上求取离群因子，以下是相关定义。1)两点距离d(p,o)：两点p和o之间的距离。2)有效距离(e-distance)：综合考虑时空因素，由时间差和拓扑距离组成。3)有效距离领域ne(p)：为与点p的距离小于或等于有效距离的所有点的集合。4)可达距离(reach-distance(p,o)：点o到任意点p的可达距离定义为：reach-distance(p,o)＝min{e-distance(o),d(p,o)}(13)5)局部可达密度：点p的局部可达密度表示为式中lrde(p)为ne(p)所包含点的可达密度的倒数的平均值。lrde(p)越大则点p是离群点的可能性越小，反之则点p是离群点的可能性越大。6)局部离群因子：点p的局部离群因子表示为lofe(p)表示点p与ne(p)所包含点的可达密度比的平均数值，lofe(p)越接近于1，则表示p点是离群点的可能性更低，lofe(p)<1，表示点p的密度高于ne(p)包含点的平均密度，lofe(p)>1，表示点p的密度低于ne(p)包含点平均密度。改进的lof算法流程图见附图4所示。步骤s302中，节点重要性评估中，电力物理系统是电力系统的核心部分，电力信息系统即通信网络是电力系统的重要组成部分，在本发明中按照电力物理系统占0.8的权重，电力信息通信系统占0.2的权重。1)电力物理系统的网络节点重要性评估：本文中采取系统科学分析方法分析电力节点重要性，把对电力系统所造成的级联故障的故障规模等价于该节点的重要性；电力系统中的信息系统的网络节点可以采取独立供电并能在一定程度上实现故障修复，因此在本文中不考虑电力物理系统的网络节点故障造成的威胁传播至信息通信节点。将电力物理系统抽象为网络，其中负载、发电机和变电站为网络节点，输电线路为有向边，每条边对应一个效率值，对应实际传输过程中的损耗，效率矩阵d＝{di,j}，当i＝j时，di,j表示是发电机、负载等电力系统设备上当前的功率，发电机的di,j>0表示向外输出有功功率，负载的di,j<0表示消耗有功功率；当i≠j时，若di,j＝0表示节点与节点j之间不存在边；若0<di,j≤1，表示节点i到节点j之间边的效率值；对于电力物理系统的级联故障分析，本发明通过使用基于复杂网络理论的电网级联故障分析方法来更新效率矩阵d，并对电力物理系统进行级联故障仿真，电力物理系统的网络节点的重要性权重为：式中，ωi表示电力物理系统的网络节点i在整个电力cps中所占权重；ve表示电力物理系统的网络节点集合；gi、gj为假设对节点i、节点j在级联故障模拟中单独对其进行移除操作后电力物理系统中出现的故障节点个数。2)电力信息系统的网络节点重要性评估：节点是网络的重要组成部分，节点与连接构成网络，节点的度和聚集系数可以较好的体现一个通信节点在通信网络中的重要性，所以可通过节点的度和聚集系数进行节点重要性评估，公式如下：fj＝(1-a)×aj+a×dj(18)式中，ωj为电力信息系统的网络节点j在电力cps中的权重；vj表示电力信息通信网络节点集合；ve表示调度中心节点；fj、fk分别表示节点j和节点k的节点重要性评价；a取0.8；aj为节点j的局部聚集系数，dj为节点j的度；cj为与节点j逻辑联通的节点之间边的总数。步骤s303中，威胁传播期望量化：影响攻击选择的因素有多个，包括攻击者对系统的了解程度、攻击者的个人喜好、攻击目标节点的脆弱性等。首先定义一个衰减因子fs,e∈[0,1]，表示威胁从电力信息网络节点s传播到电力物理网络节点e的阻隔效果，fs,e＝1表示节点s故障将导致节点e故障，fs,e＝0则表示节点s到节点e的威胁传播将被完全阻隔，即节点s故障不会影响到节点ε，若信息通信网络节点s是对电力物理节点ε进行直接监控的控制单元节点，则fs,e＝1；为了方便计算，假定下一步攻击节点按照攻击难度和节点的重要性权重来选择，若节点i为已经被成功攻击且未被修复完成的热源节点，节点j为与节点i的邻居节点，节点i对节点j的威胁的数学期望：ei,j＝ωj×pi,j×λj×ai(20)式中，ei,j表示热源节点i选择下一步攻击选择节点j的攻击效果的数学期望；pi,j表示热源节点i下一步选择攻击节点j的概率；λj和λk分别表示节点j和节点k的攻击难度，若节点j为电力物理节点，则λj＝fi,j；若节点j为信息节点，λj参考通用安全脆弱性系统，同理求得λk；ωj和ωi分别表示节点j和节点i的权重；ni表示与i节点在逻辑上连通的节点集合；ai为节点受到攻击的程度。传统威胁传播树存在对期望值计算中只考虑到整个传播树的出现概率，不考虑各个节点期望值；在计算中没有对复杂度和时效性进行折中；在计算不同威胁传播树时可能存在对用一威胁重复累加计算的情况不足等问题，本发明在考虑计算结果精确度、计算时效性的折中性、以及精确到每个节点受到威胁评估、避免重复计算威胁传播期望的基础上，给出一种基于改进威胁传播树的电力cps态势评估算法。将节点类型划分为3类：①活动节点(activenode，an)：当前时刻收到威胁，有可能成为下一个热源节点的节点；②死节点(inactivenode，in)：是热源节点或曾是热源节点的节点，且不会再被危险再次作用的节点；③可激活节点(activatablenode，atn)：网络中还未受到威胁的节点，在威胁传播树的构造过程中，应遵循以下规则：1)一个节点成为热源节点后，以该热源节点进行威胁传播树的构造过程中威胁无法传播到该点；2)活动节点只能向相邻节点传播威胁，当威胁传播成功后，该活动节点立即变为死节点，死节点不再被威胁作用；3)当活动节点成为热源节点后，相邻的可激活节点成为活动节点；4)一个节点不允许受到多个威胁同时作用，但允许一个节点同时向其相邻的可激活节点进行威胁传播，使可激活节点成为活动节点；5)因为再威胁传播树算法中，运算的空间和时间复杂度都伴随着每一次递归的进行成指数级增长，所以需要对进行运算与否进行一次决策，决策算法使用代价函数c表示，“+”表示进行下一步的运算，“-”表示停止运算，c(+,-)表示应该进行下一步运算时，停止运算所付出的代价；同理c(-,+)表示应该停止运算，但又继续进行下一步运算所付出的代价，根据当前已经获得信息对继续运算所获得信息的价值进行初步估算，c(+,-)为当前威胁传播树的威胁期望值，式中，c(+,-)为放弃计算的代价；tk一棵拥有k个节点的威胁传播树；表示该威胁传播树所造成的威胁期望值；式中，c(-,+)为继续下一步计算的代价的估计，在判断是否求解i个系欸点威胁传播树时形成的斜率sq,i为：式中，sq,i越大表示同等计算复杂度下所得到的信息价值可能越大，sq,i过小表示计算复杂度明显增加而所得到的信息价值可能依然很小，sq,i可以直观的为是否继续计算决策提供直观的参考。为进一步提高算法的时效性，通过确定最大计算复杂度omax、可忽略复杂度omin，从而得到决策函数：式中，tk表示一棵拥有k个节点的威胁传播树，的取值范围为0≤d≤1，当时表示在tk基础上进一步求取k+1节点威胁传播树集合，否则停止计算；6)网络中没有活动节点或者时，威胁传播树构造完成。威胁传播树生成算法流程图见附图5，输入为热源节点，输出为威胁传播树集。威胁传播树生成算法的决策函数能结合不同的运算环境进行时效性和精确度折中，根据运算环境合理控制威胁传播树生成的复杂度。所有有效的热源节点所构成威胁的期望值即为最终的网络安全态势评估值。在进行态势计算之前需要对威胁传播树进行编码，生成对应的编码树。通过编码树进行威胁期望计算，可以避免对同一威胁的重复计算，提高态势评估的准确性。由热源节点导致的威胁期望计算见附图6，输入为威胁传播树集ts，输出为最终的态势估计结果sa。上述基于电力cps的网络安全态势感知方法，在电力信息系统日志信息基础上，采用时空关联、数据融合、态势感知等技术设计一个针对电力信息系统安全态势感知系统，可以从大量且存在噪声的安全设备数据中，通过日志的关联和融合等技术综合考虑多种安全要素，实现网络安全态势的理解，预测网络安全态势发展趋势，以尽可能地降低因攻击造成的损失。上述方法在对安全报警日志数据的预处理中可以利用时空特性进行关联分析，进一步归并冗余数据，提高了处理效率；一个威胁安全的行为常常会在不同的设备的日志中留下痕迹这些痕迹在时间和空间往往存在着关联，时间上和空间上往往是相同或相近，利用这一性质可以有效辨别一些错误的数据和澘在威胁。当前第1页12当前第1页12