CN107483492B - 电力系统继电保护网络安全防护方法 - Google Patents

Abstract

本发明公开了电力系统继电保护网络安全防护方法，包括主监控机和多个智能体通过网络连接构成的网络安全防护系统，每个智能体通过继电保护通信网络接入相应的继电保护系统，每个智能体分别采集继电保护系统各测量点数据并计算特定映射值，当特定映射值发生变化时，更新采样值数据报文并发布；每个智能体捕获异地采样值数据，并与本地采样值数据比较，根据关联测量点具有共同电气特征的原则，判断本地采样值数据和开关跳闸命令真实性，若判断为仿造的，则智能体向继电保护系统的智能终端发送禁止跳闸命令。本发明方法能够准确识别，并及时阻止保护动作于断路器，从数据采集、安全分析到决策命令下达整个网络安全防护过程耗时极短，能够满足继电保护实时性需求。

Description

电力系统继电保护网络安全防护方法

技术领域

本发明属于电力系统自动化领域，尤其涉及电力系统继电保护网络安全防护方法。

背景技术

继电保护是变电站最为重要的自动化系统。目前，智能变电站采用基于IEC 61850网络通信标准。继电保护系统由保护装置、合并单元、智能终端等智能电子设备(简称IED设备)将通过工业以太网连接。采样值数据(简称SV数据)和开关跳闸数据(简称GOOSE数据)是继电保护最为重要数据。在开放式网络环境下，这些传输数据均为明文信息，一旦遭到篡改或伪造，将会导致保护误动，严重威胁电网安全运行。

常规网络安全技术(如数据加密和身份验证)已经被考虑应用于智能变电站站控层、间隔层设备通信，但由于实时性问题能否应用于继电保护，仍有待进一步研究。继电保护通信网络为独立于变电站其它网络系统的专用网络，不存通过外网入侵攻击问题，但随着全球范围内智能电子设备通用化，任何IED设备都有可能被不法分子利用，成为潜在攻击者。由IED设备发起网络攻击，一般都是采用符合规范的合法数据，因此可以直接通过规范验证，对于这种攻击，数据加密和身份验证是无效的。

目前解决继电保护网络安全问题的方法是通过采集变电站多个测量点的信息，然后通过比较分析判定采样值数据真实性，如中国专利《IEC 61850标准下基于神经网络的变电站自动化系统信息安全防护方法》(申请号：CN200510032585)。现有解决方案还存在如下问题：1)实时性问题。由于需要采集全站测量数据，网络数据流量大，特别是在变电站规模较大情况下，数据处理延时可能会影响保护速动性；2)识别不出开关跳闸数据攻击。即当保护装置向智能终端或断路器IED装置发布开关跳闸命令时，无法判断跳闸命令真实性。

因此，有必要研究一种继电保护网络安全防护方法，解决继电保护因遭受SV、GOOSE数据攻击而发生误动问题。

发明内容

本发明要解决的技术问题是提供一种可防止智能变电站继电保护因受到网络数据攻击而发生误动的网络安全防护方法。

电力系统继电保护网络安全防护方法，包括主监控机和多个智能体通过网络连接构成的网络安全防护系统，每个智能体通过继电保护通信网络接入相应的继电保护系统，每个智能体分别采集所对应的继电保护系统各测量点数据并计算对应于采样值数据的特定映射值，当所得的特定映射值发生变化时，根据特定映射值更新发包机制形成采样值数据报文并发布到所述网络安全防护系统；每个智能体通过所述网络安全防护系统捕获异地采样值数据，并与本地采样值数据比较，根据关联测量点具有共同电气特征的原则，判断继电保护系统本地采样值数据和开关跳闸命令真实性，若判断为仿造的采样值数据或开关跳闸命令，则智能体向继电保护系统的智能终端发送禁止跳闸命令。

所述网络安全防护系统的网络系统为星形结构。

所述智能体包括3个网络接口，其中1个网络接口连接智能体通信网络，另外2个分别连接继电保护系统的采样值数据网和开关跳闸数据网。

所述特定映射值的计算方法为：

根据继电保护动作门槛值，设定分段函数的分段区间；当采样数据测量值在保护动作区外时，采用疏分段函数；当采样数据测量值在保护动作区内时，采用密分段函数；采样数据测量值包括电流和电压的幅值及频率，将采样数据测量值代入到所述分段函数即可算得对应于采样值数据的特定映射值。

所述根据特定映射值更新发包机制为：

所述智能体对从采样值数据网捕获到的采样值数据的幅值、频率进行实时计算，并代入所述分段函数算得特定映射值，当对应于电流幅值的特定映射值发生变化时，发布包含该继电保护系统所有电流测量点的采样值数据报文，该种报文只包含三相电流瞬时值、幅值及相位；当对应于电压幅值或频率的特定映射值发生变化时，发布包含该继电保护系统所有电压测量点的采样值数据报文，该种报文只包含三相电压瞬时值、幅值、相位及频率。

所述继电保护系统本地采样值数据真实性的判断方法为：

1)找到与本地测量点有可能存在电气联系所有异地测量点；

2)检测本地测量点采样值数据是否异常：先设置好采样值数据的异常门槛，根据异常门槛判断采样值数据是否异常；

3)在检测到本地测量点采样值数据异常情况下，寻找异地相关测量点并进行判定：

①若存在至少1个异地测量点与本地测量点的电流采样值数据一致，则本地测量点电流采样值数据判定真实；

②若存在至少2个异地测量点与本地测量点电流采样值数据的正、负序值具有相同变化特征，则本地测量点电流采样值数据判定真实；

③若存在至少1个异地测量点与本地测量点电压采样值数据一致，则本地测量点电压采样值数据判定真实。

所述继电保护系统本地开关跳闸命令真实性的判断方法为：

1)若继电保护系统内所有采样值数据被判定真实，且至少有一路采样值数据异常，则判定开关跳闸命令为真实；

2)若继电保护系统内检测到有1路或以上采样值数据虚假，则判定开关跳闸命令为伪造；

3)若继电保护系统内没有任何采样值数据异常，则判定开关跳闸命令为伪造。

还包括继电保护系统的智能终端接收到保护装置发出跳闸命令时，先按预设等待时间等待，若在该预设等待时间内检测到智能体发出禁止跳闸命令，则不给断路器下达跳闸命令，若检测不到禁止跳闸命令，则立即给断路器下达跳闸命令。

与现有解决方案比较，本发明具有如下优点：

1)本发明应用在110kV及以上电压等级且继电保护系统采用网络通信方案的智能变电站中。能识别针对单个继电保护系统的采样值数据攻击和开关跳闸数据攻击，提高继电保护网络动作安全性。

2)采用特定映射值更新发包机制，可有效减少网络数据流量，确保网络数据传输实时性。

3)可识别虚假GOOSE跳闸命令攻击；

4)本发明的网络安全防护系统与继电保护系统网络物理隔离，即使网络安全防护系统自身发生故障或遭受网络攻击，也不会影响原继电保护系统可靠性。

5)本发明方法从数据采集、安全分析到决策命令下达整个网络安全防护过程耗时极短，能够满足继电保护实时性需求。

附图说明

图1为本发明继电保护网络安全防护系统的基本结构示意图。

图2为本发明智能体与继电保护系统连接示意图。

图3为某变电站一次系统局部结构示意图。

具体实施方式

以下结合附图和实施例对本发明的具体实施方式作详细说明，但不构成对本发明权利要求保护范围的限制。

本发明的电力系统继电保护网络安全防护方法，包含由多个智能体、交换机、主监控机构成的网络安全防护系统，如图1所示。每个智能体有3个网络接口，其中1个网络接口连接智能体通信网络，另外2个网络接口分别连接对应的继电保护系统的采样值数据网(简称SV数据网)和开关跳闸数据网(简称GOOSE数据网)，如图2所示。

所述网络安全防护系统采用独立于继电保护通信网络的局域网通信，该局域网采用星形网络结构，通常采用1台工业级交换机组建。

智能体对电流、电压采样值数据的幅值、频率进行实时计算，并代入预设分段函数算得特定映射值。当电流幅值的特定映射值发生变化时，将发布包含该继电保护系统所有电流测量点的采样值数据(报文)，这种采样值数据只包含3相电流瞬时值、幅值和相位。当电压幅值或频率的特定映射值发生变化时，将发布包含该继电保护系统所有电压测量点的采样值数据(报文)，这种采样值数据只包含3相电压瞬时值、幅值和相位及频率。

分段函数的分段区间一般根据继电保护动作值设定，即当采样数据测量值在保护动作区外时，采用疏分段函数，当采样数据测量值在保护动作区内时，采用密分段函数。下面以电流采样值数据为例说明分段函数法应用。

表1 某线路电流采样值数据

序号	值(A)	序号	值(A)	序号	值(A)	序号	值(A)	序号	值(A)
										1	1.5	7	4.2	13	5.4	19	12.3	25	16.2
2	0.8	8	2.1	14	5.9	20	13.9	26	16.2
										3	1.3	9	2.8	15	6.2	21	14.6	27	16.2
4	2.7	10	1.9	16	6.3	22	15.4	28	0
										5	3.5	11	4.9	17	11.2	23	16.1	29	0
6	5.8	12	4.2	18	11.6	24	16.2	30	0

表1给出了30个原始电流采样值数据，假设电流保护动作门槛值为10A，则10A以下分4段，10A以上每1A分1段，即

将原始电流值代入上式得到特定映射值，根据特定映射值更新发包机制，只需发送序号为1，5，8，11，15，17，19，20，21，22，23，28(共12个)的采样值数据，相比原本要发送的30个数据，减少了60％数据量。可见，采用分段函数法可以有效减少网络数据量。

某个智能体生成新的SV报文后，将以多播方式发布到智能体通信网络，以确保其他各保护系统的智能体都能接收到。

每个智能体从智能体通信网络捕获异地测量数据，并与本地测量数据比较，根据关联测量点具有共同电气特征这一原则，判断采样值数据和开关跳闸命令真实性。

继电保护系统本地采样值数据真实性判断方法如下：

1)找到与本地测量点有可能存在电气联系所有异地测量点(异地测量点与本地测量点属于不同的保护系统)。以图3为例，对于变压器T1保护，如本地测量点为CT7测量线路，则与该测量点有电气关联的异地测量点包括CT8、CT11、CT12、CT5、CT1、CT2的测量线路。对于母线B1保护，如本地测量点为PT3测量点，则相关的异地测量点有PT1、PT2、PT7测量点。

2)检测本地测量点采样值数据是否异常。这里需要先设置好采样值数据的异常门槛，一般可以根据继电保护动作值设置，如电流采样值数据可按过流保护动作值设置。当满足如下条件之一时判断采样值数据异常：

①任何一相电流或序分量电流超过预设门槛；

②任何一相电压或序分量电压超过或低于预设门槛；

③任何一相电压频率超过或低于预设门槛。

3)在检测到本地测量点采样值数据异常情况下，寻找异地相关测量点：

①若存在至少1个异地测量点与本地测量点电流数据一致，则本地测量点电流数据判定真实。如图3中线路L3保护，当CT11测量数据与CT9测量数据一致时，判定CT11测量数据真实。

②若存在至少2个异地测量点与本地测量点电流数据的正、负序值具有相同变化特征，即同时越限，则本地测量点电流数据判定真实。如图3变压器T1保护，当电源从线路L1接入时，若CT7与CT8之间发生相间故障时，CT7测量电流正序和负序值必然增大并超过一定门槛，当异地测量点CT5和CT1测量值具有相同变化特征时，判断CT7测量数据真实。

③若存在至少1个异地测量点与本地测量点电压数据一致，则本地测量点电压数据判定真实。如图3中母线B2保护，若PT4与PT5或PT6测量数据一致，则判断PT4测量数据真实。

继电保护系统本地开关跳闸命令真实性判断方法如下：

1)若保护系统内所有采样值数据被判定真实，且至少有一路采样值数据异常，则判定跳闸命令为真实数据。

2)若保护系统内检测到有1路或以上采样值数据虚假，则判定跳闸命令为伪造数据，电力系统故障为虚假故障。

3)若保护系统内没有任何采样值数据异常，则判定跳闸命令为伪造数据。

下面以图3系统为例介绍本发明网络安全防护系统识别虚假网络数据工作原理。假设攻击目标为母线B1保护系统，攻击方式为伪造CT3采样值数据，若伪造数据被网络安全防护系统异常数据监视系统检测到，则母线B1保护系统的智能体就需要寻找其它保护系统(异地)测量点可匹配信息，显然在电力系统正常运行情况下，是找不到匹配点的，故可判定为虚假数据。若伪造电流数据没有被网络安全防护系统异常数据监视系统检测到，但可以引起母线电流差动保护动作，此时智能体将捕获到开关跳闸命令，但由于不满足开关跳闸命令真实性判据，故可判断电力故障为虚假故障，跳闸命令为伪造数据。同理分析方法，对于伪造PT采样值数据，同样可以准确识别。实际上，只要不是多个保护系统同时遭受SV数据攻击，本发明网络安全防护系统都能准确识别。

当智能体检测到开关跳闸命令时，若发现有伪造采样值数据或开关跳闸数据，则立即向继电保护系统的智能终端发送禁止跳闸命令。为了防止智能终端在接收到禁止跳闸命令前将跳闸命令下达给断路器，在检测到开关跳闸命令时，先等待预设一小段时间如小于5ms，若在该等待时间内检测到禁止跳闸命令，则不给断路器下达跳闸命令，若检测不到禁止跳闸命令，则立即给断路器下达跳闸命令。

上述方案实施可以有效提高继电保护网络动作安全性。经测试，针对变电站单个继电保护系统电流、电压采样值数据及开关跳闸数据攻击，本发明网络安全防护系统能够准确识别，并及时阻止保护动作于断路器，从数据采集、安全分析到决策命令下达整个网络安全防护过程耗时极短，40个测量点耗时可控制在1ms内，能够满足继电保护实时性需求。

Claims (5)

1.电力系统继电保护网络安全防护方法，其特征在于：包括主监控机和多个智能体通过网络连接构成的网络安全防护系统，每个智能体通过继电保护通信网络接入相应的继电保护系统，每个智能体分别采集所对应的继电保护系统各测量点数据并计算对应于采样值数据的特定映射值，当所得的特定映射值发生变化时，根据特定映射值更新发包机制形成采样值数据报文并发布到所述网络安全防护系统；每个智能体通过所述网络安全防护系统捕获异地采样值数据，并与本地采样值数据比较，根据关联测量点具有共同电气特征的原则，判断继电保护系统本地采样值数据和开关跳闸命令真实性，若判断为仿造的采样值数据或开关跳闸命令，则智能体向继电保护系统的智能终端发送禁止跳闸命令；

所述网络安全防护系统的网络系统为星形结构；

所述继电保护系统本地采样值数据真实性的判断方法为：

1)找到与本地测量点有可能存在电气联系所有异地测量点；

2)检测本地测量点采样值数据是否异常：先设置好采样值数据的异常门槛，根据异常门槛判断采样值数据是否异常；

3)在检测到本地测量点采样值数据异常情况下，寻找异地相关测量点并进行判定：

①若存在至少1个异地测量点与本地测量点的电流采样值数据一致，则本地测量点电流采样值数据判定真实；

②若存在至少2个异地测量点与本地测量点电流采样值数据的正、负序值具有相同变化特征，则本地测量点电流采样值数据判定真实；

③若存在至少1个异地测量点与本地测量点电压采样值数据一致，则本地测量点电压采样值数据判定真实；

所述继电保护系统本地开关跳闸命令真实性的判断方法为：

1)若继电保护系统内所有采样值数据被判定真实，且至少有一路采样值数据异常，则判定开关跳闸命令为真实；

2)若继电保护系统内检测到有1路或以上采样值数据虚假，则判定开关跳闸命令为伪造；

3)若继电保护系统内没有任何采样值数据异常，则判定开关跳闸命令为伪造。

2.根据权利要求1所述的电力系统继电保护网络安全防护方法，其特征在于：所述智能体包括3个网络接口，其中1个网络接口连接智能体通信网络，另外2个分别连接继电保护系统的采样值数据网和开关跳闸数据网。

3.根据权利要求1所述的电力系统继电保护网络安全防护方法，其特征在于：所述特定映射值的计算方法为：根据继电保护动作门槛值，设定分段函数的分段区间；当采样数据测量值在保护动作区外时，采用疏分段函数；当采样数据测量值在保护动作区内时，采用密分段函数；采样数据测量值包括电流和电压的幅值及频率，将采样数据测量值代入到所述分段函数即可算得对应于采样值数据的特定映射值。

4.根据权利要求3所述的电力系统继电保护网络安全防护方法，其特征在于：所述根据特定映射值更新发包机制为：所述智能体对从采样值数据网捕获到的采样值数据的幅值、频率进行实时计算，并代入所述分段函数算得特定映射值，当对应于电流幅值的特定映射值发生变化时，发布包含该继电保护系统所有电流测量点的采样值数据报文，该电流测量点的采样值数据报文只包含三相电流瞬时值、幅值及相位；当对应于电压幅值或频率的特定映射值发生变化时，发布包含该继电保护系统所有电压测量点的采样值数据报文，该电压测量点的采样值数据报文只包含三相电压瞬时值、幅值、相位及频率。

5.根据权利要求1所述的电力系统继电保护网络安全防护方法，其特征在于：还包括继电保护系统的智能终端接收到保护装置发出跳闸命令时，先按预设等待时间等待，若在该预设等待时间内检测到智能体发出禁止跳闸命令，则不给断路器下达跳闸命令，若检测不到禁止跳闸命令，则立即给断路器下达跳闸命令。

Images