CN104486101A - 一种在线电力远动iec104传输异常检测方法 - Google Patents

Abstract

一种在线电力远动IEC104传输异常检测方法，涉及一种电力调度远动网络传输异常检测方法。目前，对于运行的IEC104远动通信，还没有有效的在线监视、分析、诊断方法。本发明包括以下步骤：1)报文侦听俘获；2)报文拼接；3)IEC104报文解析；4)厂站合并统计；5)多维特征指标计算；6)异常诊断；异常诊断包括常规传输异常判别和控制传输异常判别。本技术方案减轻工作强度，并提高电力调度自动化运行维护水平；可以主动发现控制信息传输过程中的异常情况，保障电力调度控制***正常运行；直观明确的对传输故障进行检测，并可以对隐形故障进行预警；对网络故障或者厂站通信故障进行判定。

Description

一种在线电力远动IEC104传输异常检测方法

技术领域

本发明涉及一种电力调度远动网络传输异常检测方法，尤指一种在线电力远动IEC104传输异常检测方法。

背景技术

随着电网调度技术发展和自动化设备的日趋完善可靠，变电站“无人值守，少人值守”运行模式的推进，调度自动化***作为电网安全运行核心支撑作用越来越关键，自动化***日益成为保障电网安全、优质、可靠、稳定运行的关键环节。电力远动信息的安全可靠传输是电力自动化***正常运行的基础前提条件，而在实际生产工作中，对于自动化远动***发生异常和故障判别，往往由电网应用出现异常后才发现，进而再由自动化运行人员进行分析判别，常常延误自动化的故障诊断与恢复。如何避免这种“被动型”运维，在自动化远动传输层面上进行快速、及时、有效地监测、判别远动传输故障，成为提高电力自动化水平的重要研究课题。

随着调度数据网的建设，当前调度主站与厂站之间越来越多采用IEC104通信协议作为主用，自动化***信息流均以报文方式承载于电力调度数据网。对于调度数据网的监视，当前一般使用网管***，其主要监视网络设备通信链路的中断情况以及网络层流量信息，多数的文献及专利也均基于网络层报文流量进行异常判别，但这些方法无法有效针对电力远动业务传输进行监视判别。

然而实际在电力远动IEC104运行中，传输故障不仅仅是底层网络设备故障，经常是网络传输正常，但是业务数据传输故障，存在类似“假在线”、“遥调不响应”或者“遥控超时”等。当前已有的针对IEC104协议的监视分析，主要是在对于通信双方的点点报文协议解析分析翻译，或者是离线的规约分析。对于运行的IEC104远动通信，特别是实际运行中的多厂站、大量通道传输的监视，目前还没有有效的在线监视、分析、诊断方法。

发明内容

本发明要解决的技术问题和提出的技术任务是对现有技术方案进行完善与改进，提供一种在线电力远动IEC104传输异常检测方法，以达到有效的在线监视、分析、诊断的目的。为此，本发明采取以下技术方案。

一种在线电力远动IEC104传输异常检测方法，其特征在于包括以下步骤：

1)报文侦听俘获；

通过交换机网络设备端口镜像，实现网络流量的全镜像采集；并依据监视厂站与调度主站的IP地址簇以及端口，俘获所需监视的IP报文；

2)报文拼接；

在获得俘获的IP报文后，进行IP/TCP报文重组，对于超过窗口周期的IP进行丢弃，完整的报文递交下一步处理；

3)IEC104报文解析；

对于拼接重组好的TCP连接用户数据，依据IEC104协议，进行简单报文解析，区分报文的类型以及业务流量统计；对于非法报文，当超过设定的阈值范围后，进行直接异常判定；

4)厂站合并统计；

依据厂站进行链路合并，以计算后续的多维特征量；

5)多维特征指标计算；

在到达预先设定的计算监测窗口周期时，针对监视每个厂站，计算多维特征指标，多维特征指标包括业务流量特征指标、上下行遥调报文数比、遥控报文应答平均延迟时间、TCP连接请求报文数；

6)异常诊断；

对于每一个厂站，当到达计算监测窗口时，依据特征指标量分别进行常规传输异常以及控制传输异常判别：

常规传输异常判别包括：

601)典型报文的业务流量频域直流模比值r_流量判别

当直流模比值r_流量大于正常传输的阈值t_流量时，判别正常，当直流模比值r_流量小于正常传输的阈值t_流量时，判别异常；

602)报文数频域直流模比值r_报文数判别

当传输的报文数频域直流模比值r_报文数大于正常传输的阈值t_报文数时，判别正常，当传输的报文数频域直流模比值r_报文数小于正常传输的阈值t_报文数时，判别异常；

603)TCP连接请求报文数判别

当TCP连接请求报文数指标数超过对应设定的阈值时，判别传输异常；

控制传输异常判别包括：

611)遥调上下行报文数比r_遥调判别

当遥调上下行报文数比r_遥调小于对应设定阈值，判别遥调命令传输出错；

612)遥控报文应答平均延迟时间t_遥控延迟判别

对于每个厂站遥控命令，当遥控报文应答平均延迟时间t_遥控延迟大于设定阈值时，判别遥控命令传输出错。

作为对上述技术方案的进一步完善和补充，本发明还包括以下附加技术特征。

业务流量特征指标包括典型报文流量频域直流模比值；

典型报文流量频域直流模比值r_流量计算方法为：

i)计算业务流量fs，业务流量f_S＝∑_SLen(P_ASDU)

其中：S为采样周期，取5秒-10秒；Len(P_ASDU)为采样周期内侦听到的典型业务报文中应用服务数据单元(ASDU)字节数，采用变化遥测上行报文为典型业务报文；

ii)计算频域分量模Mi，频域分量模

其中：i＝0,1,2,……,N-1，N为计算窗口包含的采用个数，取16或32；a_i，b_i分别为计算窗口内业务流量序列的离散傅里叶变换(DFT)第i分量的实部、虚部的系数；

iii)计算典型报文流量频域直流模比值，典型报文流量频域直流模比值值r_流量＝M₀/max_{i＝1,2,…,N-1}M_i，即频域的直流分量模与非直流分量模最大值的比。

业务流量特征指标还包括典型报文数频域直流模比值；典型报文数频域直流模比值r_报文数的计算方法为：

i)计算业务报文数C_S

其中：S为采样周期，取值5秒-10秒；C_S为采样周期内侦听到的完整典型业务报文个数；

ii)计算频域分量模，频域分量模

其中：i＝0,1,2,……,N-1，N为计算窗口包含的采用个数，一般取16或32；a_i，b_i分别为计算窗口内业务流量序列的离散傅里叶变换(DFT)第i分量的实部、虚部的系数；

iii)计算典型报文数频域直流模比值，典型报文数频域直流模比值r_报文数＝M₀/max_{i＝1,2,…,N-1}M_i，即频域的直流分量模与非直流分量模最大值的比。

上下行遥调报文数比r_遥调＝C_命令/C_响应，其中，C_命令，C_响应为计算窗口期间内主站发出的遥调命令报文数及相应厂站上行的遥调应答报文数。

遥控报文应答平均延迟时间t_遥控延迟＝∑_N(t_响应-t_命令)/N，其中t_命令，t_响应为计算窗口期间内遥控命令时间及相应上行应答报文时间，N为窗口期间发送的命令个数。

TCP连接请求报文数C_TCP为计算窗口期间主站发出的TCP连接报文数。

有益效果：1)本发明通过分析IEC104电力业务传输特征，提出了基于厂站的多维度的传输特征指标，并提供了多厂站的在线被动分析监测方法。可以大大减轻运行人员的工作强度，并提高电力调度自动化运行维护水平。

2)本发明依据控制信息传输协议特点，给出网络传输业务层面的特征指标，分别从报文数以及延迟时间上进行分析判别，可以主动发现控制信息传输过程中的异常情况，保障电力调度控制***正常运行。

3)本发明提出了典型传输业务的流量直流模比值以及报文数直流模比值特征量，直观明确的对传输故障进行检测，并可以对隐形故障进行预警。

4)通过监测窗口TCP连接次数统计，对网络故障或者厂站通信故障进行判定。

附图说明

图1是本发明异常判别流程图。

图2是本发明周期报文流量直流频域模比值计算流程图。

图3是本发明典型周期报文时域流量、频域模比对图。

图4是本发明异常诊断典型流程图。

具体实施方式

以下结合说明书附图对本发明的技术方案做进一步的详细说明。

当前电力调度运行的远动传输协议大多是基于TCP/IP网络传输的IEC104协议，IEC104协议包含了的3种类型格式，即编号的信息传输(I格式)、编号的监视功能(S格式)和未编号的控制功能(U格式)。为了能够在不影响正常的业务传输，本发明采用镜像侦听方式获取传输报文，并通过一组多维度特征指标，对电力调度自动化远动传输进行在线异常检测，进而实现电力远动的实时监控，故障预警。

其中:

一、IEC104通信多维判别指标

本发明考虑IEC104协议的实际传输特点，分别在业务流量、遥调上下行报文比、遥控超时区间以及TCP连接报文数四类特征，进行通信传输异常指标设计。

1)业务流量特征指标

IEC104协议采用平衡传输模式，当厂站端有变化数据时，采用主动上送变化数据方式，常规运行时，变化遥测数据的主动上送具有较强的周期特征，如图3所示为典型周期报文时域流量、频域模比对图，给出一个典型的时域、频域比对图以展示业务流量特征的含义。本发明的业务流量特征包含有：

A)典型报文流量频域直流模比值r_流量，

如图2所示，型报文流量频域直流模比值r_流量获得包括：典型报文流量采样步骤、计算窗口采集步骤、FFI变换步骤、流量频域模计算步骤及流量直流频域模比值特征计算步骤；在型报文流量频域直流模比值r_流量计算过程中：

定义：

i)业务流量f_S＝∑_SLen(P_ASDU)

其中：S为采样周期，可取5秒-10秒，

Len(P_ASDU)为采样周期内侦听到的典型业务报文中应用服务数据单元(ASDU)字节数，本发明采用变化遥测上行报文为典型业务报文；

ii)频域分量模

其中：i＝0,1,2,……,N-1，N为计算窗口包含的采用个数，一般取16或32。

a_i，b_i分别为计算窗口内业务流量序列的离散傅里叶变换(DFT)第i分量的实部、虚部的系数；

iii)频域直流模比值r_流量＝M₀/max_{i＝1,2,…,N-1}M_i

即频域的直流分量模与非直流分量模最大值的比。

B)典型报文数频域直流模比值r_报文数

类似A)的定义：

i)业务报文数C_S

其中：S为采样周期，取值同A)，

C_S为采样周期内侦听到的完整典型业务报文个数；

ii)频域分量模

其中：i＝0,1,2,……,N-1，N为计算窗口包含的采用个数，一般取16或32。

a_i，b_i分别为计算窗口内业务流量序列的离散傅里叶变换(DFT)第i分量的实部、虚部的系数；

iii)频域直流模比值r_报文数＝M₀/max_{i＝1,2,…,N-1}M_i

即频域的直流分量模与非直流分量模最大值的比。

2)遥调上下行报文数比r_遥调

依据IEC104协议规定，对于遥调命令，典型工况为“命令↓-响应↑”或者“命令↓-响应↑-结束↑”，

本发明忽略遥调的结束上行应答报文，定义r_遥调＝C_命令/C_响应，其中，C_命令，C_响应为计算窗口期间内主站发出的遥调命令报文数及相应厂站上行的遥调应答报文数；

3)遥控报文应答平均延迟时间t_遥控延迟

依据IEC104协议规定，对于遥控命令，要求工况为“选择命令↓-选择响应↑-执行命令↓-执行响应↑”，对于每次主站下发的命令，不仅需要有相应的应答，还必须在一定的时间范围内。

定义遥控报文平均延迟时间t_遥控延迟＝∑_N(t_响应-t_命令)/N，其中t_命令，t_响应为计算窗口期间内遥控命令时间及相应上行应答报文时间，N为窗口期间发送的命令个数。

4)TCP连接请求报文数C_TCP

IEC104协议工作方式为运行过程中TCP链接长链状态工，当发生通道设备故障或者传输协议序号错误等软件故障时，需要重新进行TCP链接。TCP连接报文数C_TCP为计算窗口期间主站发出的TCP连接报文数；

二、IEC104通信异常在线判别过程

本发明主要通过交换机网络镜像，获取监视厂站与主站之间的通信报文，并依据每个厂站通信参数，对所有链路网络报文进行分析，在应用协议层，计算多维通信指标，判别是否电力远动的应用层通信是否正常。

如图1所示，主要过程为：

1)报文侦听俘获

通过交换机网络设备端口镜像，实现网络流量的全镜像采集。并依据监视厂站与调度主站的IP地址簇以及端口，俘获所需监视的IP报文。

2)报文拼接

为了进行电力远动的业务传输判别，在获得俘获的IP报文后，进行IP/TCP报文重组，对于超过窗口周期的IP进行丢弃，完整的报文递交下一步处理。

3)IEC104报文解析

对于拼接重组好的TCP连接用户数据，依据IEC104协议，进行简单报文解析，区分报文的类型以及业务流量统计。对于非法报文，当超过设定的阈值范围后，进行直接异常判定。

4)厂站合并统计

对于每个厂站，在实际运行中可能包含主备机，并且可能是两个平面的网络，因此每个厂站与主站会是多对多的IP链接通信可能。由于电力远动传输特点，为后续计算多维特征量，本发明依据厂站进行链路合并。

5)多维特征指标计算

在到达预先设定的计算监测窗口周期时，针对监视每个厂站，计算本发明提出的多维特征指标，即业务流量特征相关指标、上下行遥调报文数比、遥控报文平均延迟时间以及TCP连接请求报文数。

6)异常诊断

如图4所示，对于每一个厂站，当到达计算监测窗口时，本发明依据特征指标量分别进行常规传输异常以及控制传输异常判别：

A)常规传输异常判别

常规传输异常指某个厂站的业务传输特征偏离正常传输范围，本发明主要通过IEC104业务流量特征以及TCP连接请求报文数进行判别。过程为：

i)典型报文的业务流量频域直流模比值r_流量判别

正常传输的直流模比值r流量应该大于正常传输的阈值若小于判别异常。

ii)报文数频域直流模比值r_报文数判别

正常传输的报文数频域直流模比值r_报文数应该大于正常传输的阈值若小于判别异常。

iii)TCP连接请求报文数判别

由于正常IEC104传输中，TCP处于常连状态，不应出现TCP连接报文，当该指标数超过某阈值，传输异常。

B)控制传输异常判别

IEC104传输的控制报文主要包含遥调命令以及遥控命令，通信协议要求所有主站命令均需要相应的应答响应报文，判别过程为：

i)遥调上下行报文数比r_遥调判别

遥调命令在正常传输一般为主站下发命令，厂站接收到后发送确认报文，因此遥调上下行报文数比r_遥调理论为1，考虑监测俘获报文的容错，考虑当r_遥调小于设定阈值，判别遥调命令传输出错。

ii)遥控报文应答平均延迟时间t_遥控延迟判别

遥控命令一般为人工触发传输，在正常传输一般为主站下发响应命令，厂站在秒级时间内发送确认应答报文。因此对于每个厂站遥控命令，判别应答平均延迟时间t_遥控延迟大于设定阈值时，判别遥控命令传输出错。

本发明特点

1)考虑当前电力远动IEC104传输实际运行中，仅仅能够通过网管方式，进行传输双方的网络设备故障判别，而无法真正对业务传输故障进行监测的现状，本发明通过分析IEC104电力业务传输特征，提出了基于厂站的多维度的传输特征指标，并提供了多厂站的在线被动分析监测方法。可以大大减轻运行人员的工作强度，并提高电力调度自动化运行维护水平。

2)对于电力传输关键的遥控遥调控制报文，本发明依据传输协议特点，给出网络传输业务层面的特征指标，分别从报文数以及延迟时间上进行分析判别，可以主动发现控制传输过程中的异常情况，保障电力调度控制***正常运行。

3)通过对正常IEC104传输实际过程分析，提取典型报文进行业务流量、报文数指标，通过频域变换，本发明提出了典型传输业务的流量直流模比值以及报文数直流模比值特征量，直观明确的对传输故障进行检测，并可以对隐形故障进行预警。

4)考虑IEC104正常传输时TCP链接特征，通过监测窗口TCP连接次数统计，对网络故障或者厂站通信故障进行判定。

以上图1-4所示的一种在线电力远动IEC104传输异常检测方法是本发明的具体实施例，已经体现出本发明实质性特点和进步，可根据实际的使用需要，在本发明的启示下，对其进行形状、结构等方面的等同修改，均在本方案的保护范围之列。

Claims (6)

1.一种在线电力远动IEC104传输异常检测方法，其特征在于包括以下步骤：

1)报文侦听俘获；

通过交换机网络设备端口镜像，实现网络流量的全镜像采集；并依据监视厂站与调度主站的IP地址簇以及端口，俘获所需监视的IP报文；

2)报文拼接；

在获得俘获的IP报文后，进行IP/TCP报文重组，对于超过窗口周期的IP进行丢弃，完整的报文递交下一步处理；

3)IEC104报文解析；

对于拼接重组好的TCP连接用户数据，依据IEC104协议，进行简单报文解析，区分报文的类型以及业务流量统计；对于非法报文，当超过设定的阈值范围后，进行直接异常判定；

4)厂站合并统计；

依据厂站进行链路合并，以计算后续的多维特征量；

5)多维特征指标计算；

在到达预先设定的计算监测窗口周期时，针对监视每个厂站，计算多维特征指标，多维特征指标包括业务流量特征指标、上下行遥调报文数比、遥控报文应答平均延迟时间、TCP连接请求报文数；

6)异常诊断；

对于每一个厂站，当到达计算监测窗口时，依据特征指标量分别进行常规传输异常以及控制传输异常判别：

常规传输异常判别包括：

601)典型报文的业务流量频域直流模比值r_流量判别

当直流模比值r_流量大于正常传输的阈值t_流量时，判别正常，当直流模比值r_流量小于正常传输的阈值t_流量时，判别异常；

602)报文数频域直流模比值r_报文数判别

当传输的报文数频域直流模比值r_报文数大于正常传输的阈值t_报文数时，判别正常，当传输的报文数频域直流模比值r_报文数小于正常传输的阈值t_报文数时，判别异常；

603)TCP连接请求报文数判别

当TCP连接请求报文数指标数超过对应设定的阈值时，判别传输异常；

控制传输异常判别包括：

611)遥调上下行报文数比r_遥调判别

当遥调上下行报文数比r_遥调小于对应设定阈值，判别遥调命令传输出错；

612)遥控报文应答平均延迟时间t_遥控延迟判别

对于每个厂站遥控命令，当遥控报文应答平均延迟时间t_遥控延迟大于设定阈值时，判别遥控命令传输出错。

2.根据权利要求1所述的一种在线电力远动IEC104传输异常检测方法，其特征在于：业务流量特征指标包括典型报文流量频域直流模比值；

典型报文流量频域直流模比值r_流量计算方法为：

i)计算业务流量fs，业务流量f_S＝∑_S Len(P_ASDU)

其中：S为采样周期，取5秒-10秒；Len(P_ASDU)为采样周期内侦听到的典型业务报文中应用服务数据单元(ASDU)字节数，采用变化遥测上行报文为典型业务报文；

ii)计算频域分量模Mi，频域分量模

其中：i＝0,1,2,……,N-1，N为计算窗口包含的采用个数，取16或32；a_i，b_i分别为计算窗口内业务流量序列的离散傅里叶变换(DFT)第i分量的实部、虚部的系数；

iii)计算典型报文流量频域直流模比值，典型报文流量频域直流模比值值r_流量＝M₀/max_{i＝1,2,…,N-1} M_i，即频域的直流分量模与非直流分量模最大值的比。

3.根据权利要求2所述的一种在线电力远动IEC104传输异常检测方法，其特征在于：业务流量特征指标还包括典型报文数频域直流模比值；典型报文数频域直流模比值r_报文数的计算方法为：

i)计算业务报文数C_S

其中：S为采样周期，取值5秒-10秒；C_S为采样周期内侦听到的完整典型业务报文个数；

ii)计算频域分量模，频域分量模

其中：i＝0,1,2,……,N-1，N为计算窗口包含的采用个数，一般取16或32；a_i，b_i分别为计算窗口内业务流量序列的离散傅里叶变换(DFT)第i分量的实部、虚部的系数；

iii)计算典型报文数频域直流模比值，典型报文数频域直流模比值r_报文数＝M₀/max_{i＝1,2,…,N-1} M_i，即频域的直流分量模与非直流分量模最大值的比。

4.根据权利要求1所述的一种在线电力远动IEC104传输异常检测方法，其特征在于：上下行遥调报文数比r_遥调＝C_命令＝C_响应，其中，C_命令，C_响应为计算窗口期间内主站发出的遥调命令报文数及相应厂站上行的遥调应答报文数。

5.根据权利要求1所述的一种在线电力远动IEC104传输异常检测方法，其特征在于：遥控报文应答平均延迟时间t_遥控延迟＝∑_N(t_响应-t_命令)/N，其中t_命令，t_响应为计算窗口期间内遥控命令时间及相应上行应答报文时间，N为窗口期间发送的命令个数。

6.根据权利要求1所述的一种在线电力远动IEC104传输异常检测方法，其特征在于：TCP连接请求报文数C_TCP为计算窗口期间主站发出的TCP连接报文数。