CN115801412B - 一种电力物联信息网络攻击行为特征的提取方法 - Google Patents

Abstract

本发明公开了一种电力物联信息网络攻击行为特征的提取方法，该方法对电力物联网终端设备的边信道信息进行旁系数据引入及二次数据构建，实现对攻击行为特征的初级量化提取，以作为前置数据筛查工具或与其他电力网络安全监控数据工具结合进行电力物联网络安全监测数据体系的构建。经过本发明的数据处理进程得到的特征数据能够对全局网络的时空异常节点进行初步筛查，这样就可以为后续的数据安全提供一个优化的数据集，从而降低安全筛查数据工具***的算力需求水平并对应提升***工作效率；本发明实现了基于边信道信息与正交旁数据信息及其交互的电力物联网络异常行为整体化和全局化数据处理模型构建。

Description

一种电力物联信息网络攻击行为特征的提取方法

技术领域

本发明涉及电网安全相关技术领域，尤其涉及基于边信道的电力物联信息网络异常攻击行为的数据化特征分析及提取。

背景技术

目前，电力网络越来越具有离散化和物联化的发展趋势。尤其随着储能技术和分布式电源的不断研究发展，电网工作***的架构随之逐渐发生改变，***更过的由集成型更替为离散型。比如单个居民的屋顶太阳能发电设施，只要依照一定标准接入电网***，都应当作为电网安全防护***的一个子节点考虑进去。

可见，在未来的电力***中，具有通信传输和信息采集处理的智能电子产品将会得到越来越多的安装应用，包括前述的分布式电源及储能体系带来的网络物联化和离散化，以及如配电终端、智能电表、电力移动作业终端等传统电力物联网络的内涵终端等，由此带来的更多和更开放的通信协议的使用和智能电子设备将会带来更多的安全问题。

目前我国的电力网络按照“安全分区、网络专用、横向隔离、纵向认证”的原则部署，利用物理隔离、逻辑隔离、防火墙等被动防御装置完成安全分区。然而，如上所述，随着电网的物联化、离散化、多中心化发展，原有的安全防护***愈发不能适应当下的防护需求。

在此基础上，国网公司多次举办网络安全研讨会议，旨在提升网络安全核心能力，从宏观上研究新方法解决电网信息***安全难题。各个升级电力公司及相关的科研单位均从不同角度和深度开展了深入的分析和研发。

其中，由浙江大学和冀北电网、吉林电网等多个单位联合组建多专家技术团队，经过协同研发开发出了一种基于边信道信息的电力物联网安全监测平台，不仅具有完整的理论和技术链条，同时还搭建了完整的数据对抗平台，并基于人工智能的引入进行算法精进，具有很高的理论和实用价值。然后此***在后期的试用中仍然表现出诸多实用角度的欠缺，如人工智能算法的外源性导致电网***对安全***进行调整和改进操作时，需要进行多方协同作业，尤其涉及电网***以外的科研单位，由此带来诸多不便；如***需要对全局数据进行遍历并从中筛选出异常数据，并且还需要进行人工智能算法的自我学习和更新，这在小型的仿真网络中运行起来尚可，在更广泛的网络推广应用时不可避免的存在***算力瓶颈。

发明内容

本发明要解决的技术问题是克服现有技术的种种不足，提供一种电力物联信息网络异常攻击行为特征的提取方法。

为解决上述技术问题，本发明所采取的技术方案如下。

一种电力物联信息网络攻击行为特征的初级提取方法，该方法对电力物联网终端设备的边信道信息进行旁系数据引入及二次数据构建，实现对攻击行为特征的初级量化提取，以作为前置数据筛查工具或与其他电力网络安全监控数据工具结合进行电力物联网络安全监测数据体系的构建。

作为本发明的一种优选技术方案，所述边信道信息的必要设定包括：①电力物联网终端设备硬件自身出厂兼容提供的边信道信息或者能够通过硬件串接直接获取的电力物联网终端设备边信道信息；②所述边信道信息携带与电力物联网终端设备运行相关的数字化或可数字化信息。

作为本发明的一种优选技术方案，对所述边信道信息进行二次数据构建包括旁系数据库的引入构建及基于旁系数据库的数据优化处理和数据特征提取。

作为本发明的一种优选技术方案，所述旁系数据库包含与所述边信道信息具有正交属性且与电力物联网终端设备的实时运行相关的旁数据，所述数据优化处理和数据特征提取以边信道信息与旁系数据库的数据交互为主导数据通道。

作为本发明的一种优选技术方案，该方法包括如下步骤：

A、电力物联网终端设备边信道信息的获取；

B、零阶数据库的构建；将电力物联网终端设备运行的程序数依零阶+动态+离散的数据构型构建为零阶数据库；

C、初级分配特征提取；包括如下步骤：①数据因数的前置处理；②数据动态一致化前置处理；③零阶初级特征的分配式量化提取。

作为本发明的一种优选技术方案，步骤C-③基于边信道信息的数据属性及高阶数据库及更高阶数据特征提取的后续兼容拓展性需求设置至少四项相互之间具有相斥属性的数据处理进程。

作为本发明的一种优选技术方案，该方法具体包括如下步骤：

A、电力物联网终端设备边信道信息的获取，通过采集方式获取电力物联网终端设备的边信道信息，所述边信道信息选自能够通过硬件串接直接获取的功耗信息、电流信息、电压信息或其他信息；

B、零阶数据库的构建：将电力物联网终端设备运行的程序数目构建为零阶数据库，程序数作为标量化数据基于***日志或其他途径自动获取；其数据构型设置为零阶+动态+离散，即数据维度设定为1并通过动态参变量t的引入构建为零阶动态数据库，对应容纳电力物联网终端设备所运行程序数目的实时信息，同时基于数据采集的非连续性所述实时信息基于动态参变量t的区间设定呈现为离散化实时数据构型；

C、初级分配特征提取：

①数据因数的前置处理：由于步骤B所构建零阶数据库的数据维度构型为1，在将步骤A所获取的终端设备边信道信息分配到零阶数据库时无需进行实质化的分配因数前置构建；由此将数据因数的前置处理设置为形式化的分配因数构建，零阶数据库单一数据维度上数据位的分配因数设定为某一固定数值，如数值1；形式化的因数分配对于初级特征提取不具有必要性但是对于初级特征提取与后续特征提取的拓展和兼容是必要的；

②数据动态一致化前置处理；步骤A中对于边信道信息的采集呈现为特定的区间化离散和记录和输出，或者基于曲线绘制执行呈现为离散数据；在执行数据的执行分配之前首先将步骤A的边信道信息动态采集点与步骤B中动态参变量t的区间设定进行一致化；对于离散化的边信道信息，通过将边信道信息采样点与程序运行数目采样点设定为一致同步或者设定为整倍同步实现数据的动态一致化；对于曲线表征的边信道信息，通过将曲线二次采样的时间位点设定为与步骤B中动态参变量t的区间端点一致实现数据的动态一致化；

③零阶初级特征的分配式量化提取：

③-1，当边信道信息数字化后得到维度为1的标量数据时，且不存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求，则以零阶数据库的单一标量为因子，将依照同一动态参值t一致化展开的两组数据阵列通过任意动态参值点的线性分配，直接得到与电力物联网终端设备的实时运行状态相关的动态化、单数值化零阶初级特征；

③-2，当边信道信息数字化后得到维度大于1的矢量数据且不存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求时，首先采用张量分析的方法将矢量数据标量化，具体的，提取边信道数据矢量的各个分量，注意是矢量的分量而非矢量的维度，得到与矢量维度数对应的多个标量数据，然后采用与③-1等同的数据进程进行数据处理，得到与电力物联网终端设备的实时运行状态相关的动态化、多数值化零阶初级特征；并根据后续数据处理的拓展和兼容需求将多数值作为单一数据或组合为矢量数据进行后续处理；

③-3，当边信道信息数字化后得到维度为1的标量数据且存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求时，将零阶数据库的数据维度设定为与后续高阶数据库及高阶数据特征提取对应等同，如对于矢量数据处理设定数据维度为o，对于二阶张量数据处理设定数据维度为o×p，对于三阶张量数据处理设定数据维度为o×p×q，其中o、p、q的取值依照后续高阶数据处理的实际数据属性设定；这时，由于零阶数据库本身只有一个实际数据维度，且其数据因数设定为1，数据位高阶拓展后的数据填充应满足全局兼容性，则采用分量位零填充原则+分量位整因数原则进行新增数据位的数据填充，如将零阶数据库构型扩张为三阶张量数据o×p×q后，将零阶数据库的单一数据填充到三阶张量的任一分量位上，比如张量下标为111的数据位，然后将数据0填充到全部剩余的(o×p×q-1)个分量数据位上，且将包括下标为111的全部分量数据位的分配因数设定为1，最后将下标为111的数据位上的分量数据属性设定为只读，其余(o×p×q-1)个数据位上的数据属性设置为非只读；然后采用与③-1等同的数据进程进行数据处理，得到与电力物联网终端设备的实时运行状态相关的动态化、表型张量化的零阶初级特征；张量表型能够与后续的高阶数据处理实现数据对接兼容，其内含的数据分量除了张量下标为111的分量之外，其余分量数值在与高阶数据处理进程交互之前均为零；

③-4，当边信道信息数字化后得到维度大于1的标量数据且存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求时，其数据处理进程基于③-1、③-2、③-3各自的数据处理进程进行复合；

8、根据权利要求7所述的电力物联信息网络攻击行为特征的初级提取方法，其特征在于：步骤③-4中的多数据处理进程复合具体包括：

③-4-a、首先采用③-2的数据处理进程对边信道矢量数据进行标量化从而试用③-1的数据处理进程；

③-4-b、进一步采用③-3的数据处理对零阶数据库进行高阶张量构型拓展，如拓展为三阶的o×p×q张量；

③-4-c、然后将步骤③-4-a得到的全部标量数据依次采用步骤③-3的数据进程进行数据处理，如得到一组三阶的o×p×q张量，其组数与边信道矢量数据的维度数对应；

③-4-d、将③-4-c得到的一组o×p×q张量作为数据处理结果进行存储/传输；或者依照边信道矢量自身的维度k将其合并为单一张量数据，如合并为k×o×p×q构型的四阶张量构型，其中仅k维度上“数值截面”具有真实数据，其余(k-1)×o×p×q个数据为上的数值在后续的高阶数据交互之前均为零。

上述电力物联信息网络攻击行为特征的初级提取方法在电力物联网络安全监测数据体系构建中的应用，将步骤C-③-1、C-③-2所得特征数据经过数据分类或经过数据自比对得到异常特征值聚类，此数据聚类经过逆映射得到对应的电力物联网络时空节点集合，此集合与待查电力物联网络全时空节点集合相比数据量得到大幅缩减，以此缩减子集代替电力物联网络全时空节点集合接受安全监测工具的监测，从而大幅提高数据处理效率，并降低***的算力需求。

上述电力物联信息网络攻击行为特征的初级提取方法在电力物联网络安全监测数据体系构建中的应用，将步骤C-③-3、C-③-4得到两种特征数据，依照对应的高阶数据处理进行数据格式的兼容匹配后，进一步经过数据分类或经过数据自比对得到异常特征值聚类，此数据聚类经过逆映射得到对应的电力物联网络时空节点集合，此集合与待查电力物联网络全时空节点集合相比数据量得到大幅缩减，以此缩减子集代替电力物联网络全时空节点集合接受安全监测工具的监测，从而大幅提高数据处理效率，并降低***的算力需求。。

作为本发明应用方法的一种优选技术方案，所述数据分类基于设定数据阈值进行正常数据与异常数据的区分。

作为本发明应用方法的一种优选技术方案，所述数据自比对基于动态数据级差自比对实现数据聚类，将任一时间节点的旁数据与临近的一个或若干个(如1-10个)时间节点的旁数据，以及各个节点对应的边信道数据进行差分处理，差分数据处理的优势在于，虽然边信道数据具有高度的动态特性，但是旁数据具有相对的高度稳定性，且其数据变动为整数级别的数据跃迁，这样旁数据在差分数据处理进程上的数据差异十分容易辨别，则以旁数据的差分数值非零性为锚点，依次检查非零点处的边信道数据，对于具有高于平均数据涨落的边信道数据变动标定为异常特征数据，从而完成异常数据聚类。在数据的差分处理之前还可以进行数据噪声的前置过滤，以进一步提高数据差分自比对的精度和准度。

采用上述技术方案所产生的有益效果在于：本发明解决了现有技术存在的诸多问题，经过本发明的数据处理进程得到的特征数据如(C-③-1、C-③-2所得特征数据)，能够对全局网络的时空异常节点进行初步筛查，这样就可以为后续的数据安全提供一个优化的数据集，从而降低安全筛查数据工具***的算力需求水平并对应提升***工作效率。

本发明针对最简化同时也是最常见和最常用的边信道信息类型(如功率等标量数据)和最简化的标量化旁数据类型进行了初级数据特征分析和提取，其数据构建过程体现出了基础性价值和可拓展性价值。基础性是指此初级数据处理模型为高维度数据空间中的高阶数据特征处理提供了基本模型，高阶特征提取的数据处理过程可以直接套用之；可拓展性是我们完成了基于高阶数据处理需求的数据库构型拓展构建，通过数据的零填充和数据因数的整分配，搭建了一整套具有高度兼容性和可拓展性的数据构型，这以拓展性工作加上前述的基础数据处理进程的可套用性，可以说我们已经基本完成了基于边信道信息与正交旁数据信息及其交互的电力物联网络异常行为整体化和全局化数据处理模型构建。

另外，我们进一步开发的“动态级差自比对”数据处理模型，能够从初级的标量化数据中直接提取出具有很高置信度的网络异常行为特征，一定程度上实现了对于合并后的标量数据二次数据内涵提取。这使得我们构建的初级网络异常行为特征数据能够作为独立的数据源进行电力物联网络异常行为的安全监察。其精度较基于高阶数据库的安全监察相对低等，但是与初级数据特征仅仅作为辅助工具的功能实现仍然具有十分重大的进步意义和技术价值。“动态级差自比对”数据处理模型对于标量数据具有特殊的亲和力，这也是其能够实现上述数据功效的基础，具体的，数据级差包括边信道差分和旁数据差分，动态是指差分依照时间参量构建，将任一时间节点的旁数据与临近的一个或若干个(如1-10个)时间节点的旁数据以及各个节点对应的边信道数据进行差分处理，事实上，我们可以从1-10中选定一个或者多个，从而比较不用时间区段的差分数据；最为关键的是，注意到我们同事构建了边信道和旁数据的差分，二者各自的差分数据似乎并没有太大的数据价值，仅仅是其数据变动趋势的体现，但是将二者进行交互比对，立即可以得到新的级差有价数据，具体的，虽然边信道数据具有高度的动态特性，但是旁数据具有相对的高度稳定性，且其数据变动为整数级别的数据跃迁，这样旁数据在差分数据处理进程上的数据差异十分容易辨别，则以旁数据的差分数值非零性为锚点，依次检查非零点处的边信道数据，对于具有高于平均数据涨落的边信道数据变动，即可直接标定为初步的异常特征数据。

具体实施方式

在以下实施例的描述中，为了说明而不是为了限定，提出了诸如特定***结构、技术之类的具体细节，以便透彻理解本申请实施例。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本申请。在其它情况中，省略对众所周知的***、装置、电路以及方法的详细说明，以免不必要的细节妨碍本申请的描述。

应当理解，当在本申请说明书和所附权利要求书中使用时，术语“包括”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。还应当理解，在本申请说明书和所附权利要求书中使用的术语“和/或”是指相关联列出的项中的一个或多个的任何组合以及所有可能组合，并且包括这些组合。

如在本申请说明书和所附权利要求书中所使用的那样，术语“如果”可以依据上下文被解释为“当...时”或“一旦”或“响应于确定”或“响应于检测到”。类似地，短语“如果确定”或“如果检测到[所描述条件或事件]”可以依据上下文被解释为意指“一旦确定”或“响应于确定”或“一旦检测到[所描述条件或事件]”或“响应于检测到[所描述条件或事件]”。另外，在本申请说明书和所附权利要求书的描述中，术语“第一”、“第二”、“第三”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

在本申请说明书中描述的参考“一个实施例”或“一些实施例”等意味着在本申请的一个或多个实施例中包括结合该实施例描述的特定特征、结构或特点。由此，在本说明书中的不同之处出现的语句“在一个实施例中”、“在一些实施例中”、“在其他一些实施例中”、“在另外一些实施例中”等不是必然都参考相同的实施例，而是意味着“一个或多个但不是所有的实施例”，除非是以其他方式另外特别强调。术语“包括”、“包含”、“具有”及它们的变形都意味着“包括但不限于”，除非是以其他方式另外特别强调。

实施例1

边信道信息的常见来源包括：电力物联网终端设备硬件自身出厂兼容提供的边信道信息或者能够通过硬件串接直接获取的电力物联网终端设备边信道信息；边信道信息携带与电力物联网终端设备运行相关的数字化或可数字化信息。边信道信息选自功耗信息、电流信息、电压信息、其他信息；尤其为功耗信息。常见的情况下，如冀北公司和信通公司提出的，通过终端串联取样电阻R，通过高速数据采集模块采集该电阻的实时电流值，进而获得高速数据采集模块测得的实时电压数值和功率数据等。

实施例2

本研究的一个核心出发点在于旁数据的引入，将单一维度的边信道信息进行了二维拓展，并基于拓展后的数据交互进行离散电力物联网络异常行为的数据特征分析和提取。旁系数据库包含与边信道信息具有正交属性且与电力物联网终端设备的实时运行相关的旁数据，一般而言，其数据来源包括：***运行日志、外接监测和/或记录设备、数据采集、其他来源；其数据形式包括标量化程序数据、矢量化程序数据、张量化程序-任务数据、其他数据形式；最为简便和可行的数据手段可以采用***自带运行日志或经过设计改进基于运行日志数据提取程序。数据优化处理和数据特征提取以边信道信息与旁系数据库的数据交互为主导数据通道。

实施例3

电力物联信息网络异常行为特征的初级提取，主要指向实现对异常攻击行为特征的初级量化提取，以作为前置数据筛查工具或与其他电力网络安全监控数据工具结合进行电力物联网络安全监测数据体系的构建。该方法具体包括如下步骤：

A、电力物联网终端设备边信道信息的获取，通过采集方式获取电力物联网终端设备的边信道信息，边信道信息选自能够通过硬件串接直接获取的功耗信息、电流信息、电压信息或其他信息；

B、零阶数据库的构建：将电力物联网终端设备运行的程序数目构建为零阶数据库，程序数作为标量化数据基于***日志或其他途径自动获取；其数据构型设置为零阶+动态+离散，即数据维度设定为1并通过动态参变量t的引入构建为零阶动态数据库，对应容纳电力物联网终端设备所运行程序数目的实时信息，同时基于数据采集的非连续性实时信息基于动态参变量t的区间设定呈现为离散化实时数据构型；

C、初级分配特征提取：

①数据因数的前置处理：由于步骤B所构建零阶数据库的数据维度构型为1，在将步骤A所获取的终端设备边信道信息分配到零阶数据库时无需进行实质化的分配因数前置构建；由此将数据因数的前置处理设置为形式化的分配因数构建，零阶数据库单一数据维度上数据位的分配因数设定为某一固定数值，如数值1；形式化的因数分配对于初级特征提取不具有必要性但是对于初级特征提取与后续特征提取的拓展和兼容是必要的；

②数据动态一致化前置处理；步骤A中对于边信道信息的采集呈现为特定的区间化离散和记录和输出，或者基于曲线绘制执行呈现为离散数据；在执行数据的执行分配之前首先将步骤A的边信道信息动态采集点与步骤B中动态参变量t的区间设定进行一致化；对于离散化的边信道信息，通过将边信道信息采样点与程序运行数目采样点设定为一致同步或者设定为整倍同步实现数据的动态一致化；对于曲线表征的边信道信息，通过将曲线二次采样的时间位点设定为与步骤B中动态参变量t的区间端点一致实现数据的动态一致化；

③零阶初级特征的分配式量化提取：

③-1，当边信道信息数字化后得到维度为1的标量数据时，且不存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求，则以零阶数据库的单一标量为因子，将依照同一动态参值t一致化展开的两组数据阵列通过任意动态参值点的线性分配，直接得到与电力物联网终端设备的实时运行状态相关的动态化、单数值化零阶初级特征；

③-2，当边信道信息数字化后得到维度大于1的矢量数据且不存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求时，首先采用张量分析的方法将矢量数据标量化，具体的，提取边信道数据矢量的各个分量，注意是矢量的分量而非矢量的维度，得到与矢量维度数对应的多个标量数据，然后采用与③-1等同的数据进程进行数据处理，得到与电力物联网终端设备的实时运行状态相关的动态化、多数值化零阶初级特征；并根据后续数据处理的拓展和兼容需求将多数值作为单一数据或组合为矢量数据进行后续处理；

实施例4

初级异常网络行为数据特征作为辅助工具应用。上一实施例3步骤C-③-1、C-③-2所得特征数据经过数据分类或经过数据自比对得到异常特征值聚类，此数据聚类经过逆映射得到对应的电力物联网络时空节点集合，此集合与待查电力物联网络全时空节点集合相比数据量得到大幅缩减，以此缩减子集代替电力物联网络全时空节点集合接受安全监测工具的监测，从而大幅提高数据处理效率，并降低***的算力需求。

实施例5

电力物联网络异常行为数据分析***面向高阶数据特征处理的兼容性拓展。在实施例3步骤C的基础上，进一步设定：③-3，当边信道信息数字化后得到维度为1的标量数据且存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求时，将零阶数据库的数据维度设定为与后续高阶数据库及高阶数据特征提取对应等同，如对于矢量数据处理设定数据维度为o，对于二阶张量数据处理设定数据维度为o×p，对于三阶张量数据处理设定数据维度为o×p×q，其中o、p、q的取值依照后续高阶数据处理的实际数据属性设定；这时，由于零阶数据库本身只有一个实际数据维度，且其数据因数设定为1，数据位高阶拓展后的数据填充应满足全局兼容性，则采用分量位零填充原则+分量位整因数原则进行新增数据位的数据填充，如将零阶数据库构型扩张为三阶张量数据o×p×q后，将零阶数据库的单一数据填充到三阶张量的任一分量位上，比如张量下标为111的数据位，然后将数据0填充到全部剩余的(o×p×q-1)个分量数据位上，且将包括下标为111的全部分量数据位的分配因数设定为1，最后将下标为111的数据位上的分量数据属性设定为只读，其余(o×p×q-1)个数据位上的数据属性设置为非只读；然后采用与③-1等同的数据进程进行数据处理，得到与电力物联网终端设备的实时运行状态相关的动态化、表型张量化的零阶初级特征；张量表型能够与后续的高阶数据处理实现数据对接兼容，其内含的数据分量除了张量下标为111的分量之外，其余分量数值在与高阶数据处理进程交互之前均为零；进一步设定：③-4，当边信道信息数字化后得到维度大于1的标量数据且存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求时，其数据处理进程基于③-1、③-2、③-3各自的数据处理进程进行复合；具体包括：③-4-a、首先采用③-2的数据处理进程对边信道矢量数据进行标量化从而试用③-1的数据处理进程；③-4-b、进一步采用③-3的数据处理对零阶数据库进行高阶张量构型拓展，如拓展为三阶的o×p×q张量；③-4-c、然后将步骤③-4-a得到的全部标量数据依次采用步骤③-3的数据进程进行数据处理，如得到一组三阶的o×p×q张量，其组数与边信道矢量数据的维度数对应；③-4-d、将③-4-c得到的一组o×p×q张量作为数据处理结果进行存储/传输；或者依照边信道矢量自身的维度k将其合并为单一张量数据，如合并为k×o×p×q构型的四阶张量构型，其中仅k维度上“数值截面”具有真实数据，其余(k-1)×o×p×q个数据为上的数值在后续的高阶数据交互之前均为零。

实施例6

与实施例4类似，高阶构型拓展后的初级异常网络行为数据特征作为辅助工具应用。将上一实施例5步骤C-③-3、C-③-4得到两种特征数据，依照对应的高阶数据处理进行数据格式的兼容匹配后，进一步经过数据分类或经过数据自比对得到异常特征值聚类，此数据聚类经过逆映射得到对应的电力物联网络时空节点集合，此集合与待查电力物联网络全时空节点集合相比数据量得到大幅缩减，以此缩减子集代替电力物联网络全时空节点集合接受安全监测工具的监测，从而大幅提高数据处理效率，并降低***的算力需求。。

实施例7

初级异常网络行为数据特征作为独立工具的应用可能。核心在于“动态级差自比对”数据处理模型的构建。

数据自比对基于动态数据级差自比对实现数据聚类，将任一时间节点的旁数据与临近的一个或若干个(如1-10个)时间节点的旁数据，以及各个节点对应的边信道数据进行差分处理，差分数据处理的优势在于，虽然边信道数据具有高度的动态特性，但是旁数据具有相对的高度稳定性，且其数据变动为整数级别的数据跃迁，这样旁数据在差分数据处理进程上的数据差异十分容易辨别，则以旁数据的差分数值非零性为锚点，依次检查非零点处的边信道数据，对于具有高于平均数据涨落的边信道数据变动标定为异常特征数据，从而完成异常数据聚类。在数据的差分处理之前还可以进行数据噪声的前置过滤，以进一步提高数据差分自比对的精度和准度。

上述“动态级差自比对”数据处理模型，能够从初级的标量化数据中直接提取出具有很高置信度的网络异常行为特征，一定程度上实现了对于合并后的标量数据二次数据内涵提取。这使得我们构建的初级网络异常行为特征数据能够作为独立的数据源进行电力物联网络异常行为的安全监察。其精度较基于高阶数据库的安全监察相对低等，但是与初级数据特征仅仅作为辅助工具的功能实现仍然具有十分重大的进步意义和技术价值。“动态级差自比对”数据处理模型对于标量数据具有特殊的亲和力，这也是其能够实现上述数据功效的基础，具体的，数据级差包括边信道差分和旁数据差分，动态是指差分依照时间参量构建，将任一时间节点的旁数据与临近的时间节点的旁数据以及各个节点对应的边信道数据进行差分处理，事实上，我们可以从临近的比如1-10时间节点中选定一个或者多个，从而比较不用时间区段的差分数据；最为关键的是，注意到我们同事构建了边信道和旁数据的差分，二者各自的差分数据似乎并没有太大的数据价值，仅仅是其数据变动趋势的体现，但是将二者进行交互比对，立即可以得到新的级差有价数据，具体的，虽然边信道数据具有高度的动态特性，但是旁数据具有相对的高度稳定性，且其数据变动为整数级别的数据跃迁，这样旁数据在差分数据处理进程上的数据差异十分容易辨别，则以旁数据的差分数值非零性为锚点，依次检查非零点处的边信道数据，对于具有高于平均数据涨落的边信道数据变动，即可直接标定为初步的异常特征数据。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述或记载的部分，可以参见其它实施例的相关描述。

在各个实施例中，技术的硬件实现可以直接采用现有的智能设备，包括但不限于工控机、PC机、智能手机、手持单机、落地式单机等。其输入设备优选采用屏幕键盘，其数据存储和计算模块采用现有的存储器、计算器、控制器，其内部通信模块采用现有的通信端口和协议，其远程通信采用现有的gprs网络、万维互联网等。所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。实施例中的各功能单元、模块可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中，上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。另外，各功能单元、模块的具体名称也只是为了便于相互区分，并不用于限制本申请的保护范围。上述***中单元、模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。在本发明所提供的实施例中，应该理解到，所揭露的装置/终端设备和方法，可以通过其它的方式实现。例如，以上所描述的装置/终端设备实施例仅仅是示意性的，例如，模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通讯连接可以是通过一些接口，装置或单元的间接耦合或通讯连接，可以是电性，机械或其它的形式。作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围，均应包含在本发明的保护范围之内。

Claims (7)

1.一种电力物联信息网络攻击行为特征的初级提取方法，其特征在于：该方法对电力物联网终端设备的边信道信息进行旁系数据引入及二次数据构建，实现对攻击行为特征的初级量化提取，以作为前置数据筛查工具或与其他电力网络安全监控数据工具结合进行电力物联网络安全监测数据体系的构建；

所述边信道信息的必要设定包括：①电力物联网终端设备硬件自身出厂兼容提供的边信道信息或者能够通过硬件串接直接获取的电力物联网终端设备边信道信息；②所述边信道信息携带与电力物联网终端设备运行相关的数字化或可数字化信息；

对所述边信道信息进行二次数据构建包括旁系数据库的引入构建及基于旁系数据库的数据优化处理和数据特征提取；

所述旁系数据库包含与所述边信道信息具有正交属性且与电力物联网终端设备的实时运行相关的旁数据，所述数据优化处理和数据特征提取以边信道信息与旁系数据库的数据交互为主导数据通道。

2.根据权利要求1所述的电力物联信息网络攻击行为特征的初级提取方法，其特征在于：该方法包括如下步骤：

A、电力物联网终端设备边信道信息的获取；

B、零阶数据库的构建；将电力物联网终端设备运行的程序数依零阶＋动态＋离散的数据构型构建为零阶数据库；

C、初级分配特征提取；包括如下步骤：①数据因数的前置处理；②数据动态一致化前置处理；③零阶初级特征的分配式量化提取。

3.根据权利要求2所述的电力物联信息网络攻击行为特征的初级提取方法，其特征在于：步骤C-③基于边信道信息的数据属性及高阶数据库及更高阶数据特征提取的后续兼容拓展性需求设置至少四项相互之间具有相斥属性的数据处理进程。

4.根据权利要求3所述的电力物联信息网络攻击行为特征的初级提取方法，其特征在于：该方法具体包括如下步骤：

A、电力物联网终端设备边信道信息的获取，通过采集方式获取电力物联网终端设备的边信道信息，所述边信道信息选自能够通过硬件串接直接获取的功耗信息、电流信息、电压信息或其他信息；

B、零阶数据库的构建：将电力物联网终端设备运行的程序数目构建为零阶数据库，程序数作为标量化数据基于***日志或其他途径自动获取；其数据构型设置为零阶＋动态＋离散，即数据维度设定为1并通过动态参变量t的引入构建为零阶动态数据库，对应容纳电力物联网终端设备所运行程序数目的实时信息，同时基于数据采集的非连续性所述实时信息基于动态参变量t的区间设定呈现为离散化实时数据构型；

C、初级分配特征提取：

①数据因数的前置处理：由于步骤B所构建零阶数据库的数据维度构型为1，在将步骤A所获取的终端设备边信道信息分配到零阶数据库时无需进行实质化的分配因数前置构建；由此将数据因数的前置处理设置为形式化的分配因数构建，零阶数据库单一数据维度上数据位的分配因数设定为某一固定数值，如数值1；形式化的因数分配对于初级特征提取不具有必要性但是对于初级特征提取与后续特征提取的拓展和兼容是必要的；

②数据动态一致化前置处理；步骤A中对于边信道信息的采集呈现为特定的区间化离散和记录和输出，或者基于曲线绘制执行呈现为离散数据；在执行数据的执行分配之前首先将步骤A的边信道信息动态采集点与步骤B中动态参变量t的区间设定进行一致化；对于离散化的边信道信息，通过将边信道信息采样点与程序运行数目采样点设定为一致同步或者设定为整倍同步实现数据的动态一致化；对于曲线表征的边信道信息，通过将曲线二次采样的时间位点设定为与步骤B中动态参变量t的区间端点一致实现数据的动态一致化；

③零阶初级特征的分配式量化提取：

③-1，当边信道信息数字化后得到维度为1的标量数据时，且不存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求，则以零阶数据库的单一标量为因子，将依照同一动态参值t一致化展开的两组数据阵列通过任意动态参值点的线性分配，直接得到与电力物联网终端设备的实时运行状态相关的动态化、单数值化零阶初级特征；

③-2，当边信道信息数字化后得到维度大于1的矢量数据且不存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求时，首先采用张量分析的方法将矢量数据标量化，具体的，提取边信道数据矢量的各个分量，注意是矢量的分量而非矢量的维度，得到与矢量维度数对应的多个标量数据，然后采用与③-1等同的数据进程进行数据处理，得到与电力物联网终端设备的实时运行状态相关的动态化、多数值化零阶初级特征；并根据后续数据处理的拓展和兼容需求将多数值作为单一数据或组合为矢量数据进行后续处理；

③-3，当边信道信息数字化后得到维度为1的标量数据且存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求时，将零阶数据库的数据维度设定为与后续高阶数据库及高阶数据特征提取对应等同，如对于矢量数据处理设定数据维度为o，对于二阶张量数据处理设定数据维度为o×p，对于三阶张量数据处理设定数据维度为o×p×q，其中o、p、q的取值依照后续高阶数据处理的实际数据属性设定；这时，由于零阶数据库本身只有一个实际数据维度，且其数据因数设定为1，数据位高阶拓展后的数据填充应满足全局兼容性，则采用分量位零填充原则＋分量位整因数原则进行新增数据位的数据填充，如将零阶数据库构型扩张为三阶张量数据o×p×q后，将零阶数据库的单一数据填充到三阶张量的任一分量位上，比如张量下标为111的数据位，然后将数据0填充到全部剩余的（o×p×q-1）个分量数据位上，且将包括下标为111的全部分量数据位的分配因数设定为1，最后将下标为111的数据位上的分量数据属性设定为只读，其余（o×p×q-1）个数据位上的数据属性设置为非只读；然后采用与③-1等同的数据进程进行数据处理，得到与电力物联网终端设备的实时运行状态相关的动态化、表型张量化的零阶初级特征；张量表型能够与后续的高阶数据处理实现数据对接兼容，其内含的数据分量除了张量下标为111的分量之外，其余分量数值在与高阶数据处理进程交互之前均为零；

③-4，当边信道信息数字化后得到维度大于1的标量数据且存在更高阶数据库及更高阶数据特征提取的后续拓展或兼容性需求时，其数据处理进程基于③-1、③-2、③-3各自的数据处理进程进行复合。

5.根据权利要求4所述的电力物联信息网络攻击行为特征的初级提取方法，其特征在于：步骤③-4中的多数据处理进程复合具体包括：

③-4-a、首先采用③-2的数据处理进程对边信道矢量数据进行标量化从而试用③-1的数据处理进程；

③-4-b、进一步采用③-3的数据处理对零阶数据库进行高阶张量构型拓展，如拓展为三阶的o×p×q张量；

③-4-c、然后将步骤③-4-a得到的全部标量数据依次采用步骤③-3的数据进程进行数据处理，如得到一组三阶的o×p×q张量，其组数与边信道矢量数据的维度数对应；

③-4-d、将③-4-c得到的一组o×p×q张量作为数据处理结果进行存储/传输；或者依照边信道矢量自身的维度k将其合并为单一张量数据，如合并为k×o×p×q构型的四阶张量构型，其中仅k维度上“数值截面”具有真实数据，其余（k-1）×o×p×q个数据为上的数值在后续的高阶数据交互之前均为零。

6.权利要求4或5所述方法在电力物联网络安全监测数据体系构建中的应用，其特征在于：将步骤C-③-1、C-③-2所得特征数据经过数据分类或经过数据自比对得到异常特征值聚类，此数据聚类经过逆映射得到对应的电力物联网络时空节点集合，此集合与待查电力物联网络全时空节点集合相比数据量得到大幅缩减，以此缩减子集代替电力物联网络全时空节点集合接受安全监测工具的监测。

7.权利要求4或5所述方法在电力物联网络安全监测数据体系构建中的应用，其特征在于：将步骤C-③-3、C-③-4得到两种特征数据，依照对应的高阶数据处理进行数据格式的兼容匹配后，进一步经过数据分类或经过数据自比对得到异常特征值聚类，此数据聚类经过逆映射得到对应的电力物联网络时空节点集合，此集合与待查电力物联网络全时空节点集合相比数据量得到大幅缩减，以此缩减子集代替电力物联网络全时空节点集合接受安全监测工具的监测。