CN107517205B - 基于概率的智能变电站网络异常流量检测模型构建方法 - Google Patents

Abstract

本发明公开了一种基于概率的智能变电站网络异常流量检测模型构建方法。该方法通过对采集得到的智能变电站站控层通信流量数据进行多次FARIMA模拟，得到站控层正常通信流量阈值模型；并对在站控层流量层面上有所体现的网络异常情况进行重点分析，提取KDD99异常数据流量叠加到原背景流量之中，生成异常网络流量由此作为阈值基准，设计智能变电站通信网络的评估指标与算法分析的电力通信网络的运行状况，本发明以天津某变电站站控层实际采集流量为测试数据给出了详细的算法描述，设计算例对变电站通信网络异常流量进行检测与预警。

Description

基于概率的智能变电站网络异常流量检测模型构建方法

技术领域

本发明涉及一种基于概率的智能变电站通信流量异常检测模型构建方法，属于电网信息安全检测领域。

背景技术

快速建设智能化变电站的同时，工控系统的网络安全问题也日益受到关注。工业系统网络密集程度越高，其衍生的网络安全问题也越严重。例如2015年，乌克兰电力基础设施遭到BlackEnergy等恶意代码的攻击，最后造成长时间停电并制造整个社会混乱。近年来，此类具有信息战水准的网络攻击事件频繁发生；究其原因还是对于工控系统的网络安全意识不足。

一旦网络发生异常现象,就有可能使智能终端、保护等设备的功能丧失,进而影响到智能变电站可靠运行,甚至引发连锁的电力安全事故。当出现网络风暴时,大量重复的报文在网络中传播,造成网络阻塞,监控数据异常,设备互操作失效,保护动作的可靠性受到影响,整个变电站最终会出现失控状态；而当出现网络入侵时，IED(Intelligent ElectricDevice)设备被入侵者肆意控制，站控层数据被篡改，造成大规模停电以及危险事故。

变电站的网络安全被认为是电网信息化建设的一个关键问题。异常检测是指在数据网络中发现异常行为的任务；这是计算机网络中广泛采用的一个概念。智能变电站异常检测系统能及时响应预警网络异常或者病毒发作，并分析流量异常可能出现的原因，以及智能变电站出现异常运行的概率。

发明内容

针对现有技术存在的不足，本发明目的是提供一种基于概率的智能变电站网络异常流量检测模型构建方法；本发明给出了高效且有创造性的异常网络流量辨识方法以及变电站通信网络指标，并最终实现变电站网络的异常评估以及告警功能。

本发明的目的是通过以下技术方案来实现的：

本发明的基于概率模型的智能变电站网络异常流量检测模型构建方法，包括以下步骤：

(1)基于变电站通信流量数据建立优化的FARIMA(p,d,q)模型，并对模型进行校验；多次运行FARIMA(p,d,q)模型预测目标序列，并设计算法筛选具有智能变电站流量特征的预测值，生成不同置信度下的流量阈值模型；

(2)选取不同置信度下的流量阈值模型，采用异常流量值作为阈值基准设计变电站通信网络异常算法；

(3)根据智能变电站通信网络异常在流量层面上的不同体现，设计不同阈值基准；建立智能变电站通信流量异常检测系统。

优选的，所述步骤(1)具体为：

(a)对采集的智能变电站通信流量数据进行数据分析，包括序列长度分析、周期性分析、平稳性分析以及自相关性分析；

(b)建立优化的FARIMA(p,d,q)模型，并对模型进行校验；

(c)比较不同算法的拟合优度以及预测效果；

(d)多次运行FARIMA(p,d,q)模型，设计算法对所有通过FARIMA(p,d,q)模型的具有智能变电站流量特征的预测数据进行筛选分析，即：

其中X_t为原始序列，

为第i次模拟的第j个预测序列值，n为预测步长，randm是范围为(1,l-n+1)区间内的随机正整数，设预测序列号为j，智能变电站通信流量阈值模型生成公式如下：

式中，maxY_j为序列号为j时刻处的最大值；minY_j为序列号为j时刻处的最小值，k为通过算法筛选的FARIMA(p,d,q)模拟次数；

从统计学意义上分析不同置信度下的流量阈值模型，其公式如下：

其中P为置信度，α为显著性，S_inside为在流量阈值区间内的序列个数，S_total为仿真预测的序列总数，由不同的S_inside得到不同置信度下的通信流量模型。

优选的，上述步骤(a)又分为如下步骤：

(a1)基于不同的测量探头原始统计步长，对智能变电站通信流量数据进行采集并均值化处理；根据序列长度选择聚合尺度对原序列进行聚合，其公式如下：

式中，X(i)为原始序列，X(k)为聚合之后的序列，n为聚合周期；

做出聚合后序列的周期图，对序列的波动进行季节性分析；

(a2)对原序列进行平稳性分析以及自相关性分析；平稳性分析采用ADF测试，使用E-VIEWS软件对序列进行计量经济学分析，比较1％，5％，10％level下的t-statistic值与ADF测试值的大小关系确定序列的平稳性；自相关性通过计算序列的自相关函数与偏自相关函数得到，同时计算序列的Hurst参数以判定序列长相关性的程度；其中Hurst参数的计算方法如下：

式中，H为算法估计的序列Hurst值；aggver为绝对值法算出的Hurst值，diffvar为方差时间法算出的Hurst值，Rsm为R/S留数法算出的Hurst值。

优选的，上述步骤(b)又分为如下步骤：

(b1)用FARIMA(p,d,q)序列的定义法来产生FARIMA(p,d,q)的时间序列：

如果序列{X_t}是平稳的，且满足方程：

Φ(B)Δ^dX_t＝Θ(B)ε_t

则称随机过程{X_t}为服从d∈(-0.5,0.5)的FARIMA(p,d,q)模型；其中d是差分阶数，{ε_t}是一个白噪声序列；自回归项Φ(B)为：

滑动平均项Θ(B)为：

其中φ_k是滞后阶数为k的回归系数，θ_k是滞后阶数为k的滑动系数；p是自回归阶数，q是滑动平均的阶数，p,q均为非负整数；B为延迟算子，Δ＝(1-B)为差分算子，Δ^d＝(1-B)^d为分数差分算子，其二项式展开为：

其中，

Γ代表GAMMA函数；

(b2)对原序列进行d阶差分滤波，d的计算公式如下：

d＝H-0.5

设计滤波器，对原序列进行分形差分滤波，其公式如下：

其中，W(n)是滤波之后的序列，X(n)是待滤波的时间序列，h(n)是分数差分滤波器的单位冲激响应，满足：

对滤波后的序列进行计量经济学分析，并采用AIC信息准则对分形差分之后的序列进行ARMA(p,q)模型定阶，AIC信息准则定义如下：

在上述表达式的右边，第一项反映拟合的优劣，第二项表示模型的复杂性；

(b3)对定阶后的序列进行残差检验；若残差为白噪声，则对拟合序列进行反滤波处理，得到原序列的拟合值或预测值；若残差不为白噪声，则重新采用AIC信息准则对ARMA(p,q)模型进行定阶；

(b4)采用最小二乘法对ARMA的p阶系数φ_k(k＝1,2,…,p)以及MA的q阶系数θ_k(k＝1,2,…,q)进行估计；

(b5)得到FARIMA(p,d,q)的数学表达式。

优选的，上述步骤(c)又分为如下步骤：

(c1)分析拟合序列是否具有智能变电站通信网络流量的自相似性，平稳性，季节性，不规则变动性和多分形性；

(c2)对拟合序列进行拟合优度的测算，其拟合优度计算公式如下：

其中MSE代表均方差，R-Square代表确定系数；y_i是原序列，

是预测序列，

是序列的前n项平均值。

优选的，所述步骤(2)具体为：

(a)选取具体置信度下的变电站流量阈值模型，分析变电站网络异常情况；通过实际流量与异常流量的叠加产生变电站的异常通信流量数值；

(b)设计智能变电站通信流量异常检测算法，规定正常流量Z_t，Z_t∈[MinZ_t,MaxZ_t]；MinZ_t为t时刻正常流量的最小值，MaxZ_t为t时刻正常流量的最大值，定义待检测时刻的流量大小为D_t，若存在：D_t＞MaxZ_t或D_t＜MinZ_t；则t时刻的待检测流量D_t存在异常的情况；

定义待测流量异常因数λ_detect，表示t时刻待测流量与正常流量之间的偏差：

而当待测流量值处于正常流量阈值区间D_t∈[MinZ_t,MaxZ_t]时，λ_detect(t)取0，

采用生成的变电站异常通信流量数据设计站控层阈值基准，定义异常流量因数λ_anomaly，表示t时刻异常流量与正常流量之间的偏差：

其中A_t为t时刻的异常流量值，max(X_t)为原始流量序列的最大值，min(X_t)为原始序列的最小值；

构造(w×n)阶异常流量偏差矩阵为λ_(w×n)，w为已检测到的不同种类的变电站网络异常情况总和，n为待测流量步长:

规定ξ为某时刻t时变电站网络出现某瞬时异常的概率；

ξ_(w,t)＝κσ(λ_(w,t))^μ

其中μ为变电站结构复杂程度参数，与智能变电站内的IED数量，以太网内监控主机的数目以及采用IEC61850，IEC62351协议的规范程度有关；κ为该主机或交换机在整个变电站网络中的权重；σ为智能变电站网络组网方式系数，

规定变电站网络在某时刻t的可靠性指数为γ_t，设异常情况为w种:

定义变电站通信网络在待测序列所处时段的脆弱性指数为ν,

优选的，所述步骤(3)具体为：

(a)具体分析变电站网络异常流量的情况，计算智能变电站通信网络的异常流量偏差矩阵，可靠性指数与脆弱性指数。

(b)分析待测流量序列，根据不同的异常流量情况对待测的流量进行分析，由变电站通信网络的可靠性指数与脆弱性指数评估分析变电站通信网络在不同时段内的网络的稳定性，采用不同等级的告警标准对变电站网络异常的情况进行告警，当变电站脆弱性指数为ν满足条件：

对变电站工作人员进行异常告警，式中p代表变电站流量阈值模型的置信度；η代表告警临界值；c代表告警的级别指数，根据变电站网络规模以及变电站负荷重要程度来选择不同的告警级别。

(c)继续采集变电站通信网络流量，更新变电站正常通信流量阈值模型参数，对新的待检测序列进行分析。

本发明的有益效果在于解决了智能变电站网络异常流量的识别与检测工作；生成的流量异常检测模型可以提高电力通信网络的服务质量，对不同种类的异常情况进行辨识，预警工作；同时对设计高性能的网络硬件设备和电网信息安全平台具有指导意义。设计评价变电站通信网络情况的指标，对变电站通信网络情况进行及时跟踪与反馈，便于辅助相关人员开展变电站信息安全检测与分析工作。

附图说明

下面结合附图和实施例对本发明进一步说明；

图1是本发明的方法流程图；

图2(a)是本发明构建的置信度为95％的智能变电站通信流量阈值模型；

图2(b)是本发明构建的置信度为90％的智能变电站通信流量阈值模型；

图3是90％置信度下的变电站通信流量异常检测模型图。

具体实施方式

通过实地采集天津某110kV变电站实际数据流量，建立具有适当参数的流量模型。在实际变电站中，共有56个IED和3台监控机通过LAN(局域网)与双环网络结构相连。采样点是由探头机构通过采集SCADA伺服服务器(IBMX3650)端口数据而来的。测量的智能变电站站控层的聚合流量；这些流量能实现远程控制和高级管理服务。探头测量数据流的原始统计时间步长为1ms，表示数据每毫秒刷新并存储一次。在整个SCN操作周期(即24小时)中记录了8.64×10⁷个数据；通过分析网络流量的特性，发现智能变电站站控层流量也存在很大程度上的自相似特性；因此对流量数据采取聚合方式。其聚合周期为6000ms(1min)，聚合后数据量减小为1440个，由0:05分开始到24:05截止。相当于每分钟截取1个数据点，持续一天。其聚合后的序列图与分布图分别如图2(a)，图2(b)所示。可以看出序列的分布近似于正态分布，即均值左右的流量值的频率较大。对1440个数据进行均值化处理，方便对其分析。求得序列的均值为：0.9492(Mbit/s)。

对原始数据进行FARIMA(p,d,q)建模分析，最终选择FARIMA(12，0.1944，9)模型对智能变电站站控层数据流量进行建模分析。模型的表达式为：

其中y_t为时间序列的第t个值；ε_t为随机扰动序列的第t个值；

为d＝0.1944的差分算子。

多次运行FARIMA(p,d,q)模型，对所有通过FARIMA(p,d,q)模型的预测数据进行筛选分析，即：

其中X_t为原始序列，

为第i次模拟的第j个预测序列值，n为预测步长，randm是范围为(1,l-n+1)区间内的随机正整数。以预测序列号j为例，智能变电站通信流量阈值模型生成公式如下：

式中，maxY_j为序列号为j时刻处的最大值；minY_j为序列号为j时刻处的最小值，k为通过算法筛选的FARIMA(p,d,q)模拟次数。

从统计学意义上分析不同显著性下的流量阈值模型，其公式如下：

其中P为置信度，α为显著性，S_inside为在流量阈值区间内的序列个数，S_total为仿真预测的序列总数。由不同的S_inside可以得到不同显著性下的通信流量模型。当仿真次数门限较大时，有

此时置信度为95％；当仿真次数门限较小时，有

此时置信度为90％。

如图2(a)所示为置信度95％的变电站通信流量阈值模型，图2(b)所示为置信度90％的变电站通信流量阈值模型。通过上述模型，我们可以近似得到较短时间间隔内某时刻的正常流量阈值。例如在序列值为25的时刻，当置信区间为95％时其正常流量的区间为[7.7,1.22]，当置信区间为90％时其正常流量的区间为[7.2,1.02]。由此我们可以得到站控层正常情况下某时刻通信流量的阈值模型。

设计智能变电站通信流量异常检测算法，规定正常流量Z_t，Z_t∈[MinZ_t,MaxZ_t]；MinZ_t为t时刻正常流量的最小值，MaxZ_t为t时刻正常流量的最大值。定义待检测时刻的流量大小为D_t，若存在：D_t＞MaxZ_t或D_t＜MinZ_t；则t时刻的待检测流量D_t可能存在异常的情况。

定义待测流量异常因数λ_detect，表示t时刻待测流量与正常流量之间的偏差：

而当待测流量值处于正常流量阈值区间D_t∈[MinZ_t,MaxZ_t]时，λ_detect(t)取0。通过偏差值我们可以分析每时刻网络流量的情况。

采用生成的变电站异常通信流量数据设计站控层阈值基准，定义异常流量因数λ_anomaly，表示t时刻异常流量与正常流量之间的偏差：

其中A_t为t时刻的异常流量值，max(X_t)为原始流量序列的最大值，min(X_t)为原始序列的最小值。

构造(w×n)阶异常流量偏差矩阵为λ_(w×n)，w为已检测到的不同种类的变电站网络异常情况总和，n为待测流量步长:

λ_(w×n)矩阵能够及时跟踪与响应变电站每时刻不同种类网络异常的情况；由矩阵可以在流量层面上初步判定变电站网络产生的异常种类，以及网络异常分布的大致时段与异常严重程度。

根据现有变电站常出现的网络异常情况，选取最简单的四种异常情况加以探究；其他未知的网络异常需要获取相关流量特征才能构建基准异常流量进行分析。

选取的四种异常为：

(1)HDoS(High level D-DOS)

高流量型分布式拒绝服务(HDoS)攻击采用的是分布、协作的大规模攻击模式，这种攻击具有隐蔽性，会在短时间内注入攻击流量，使流量在短时间内突增；导致目标主机网络和系统资源耗尽，使主机无法为用户提供服务，最终导致带宽过大，服务器无法响应的现象。HDoS对应DARPA2000中的LLDoS1.0攻击场景；在LLDoS1.0攻击场景中，攻击者通过Solaris sadmind服务漏洞攻陷并控制了“Eyrie”空军基地网络中的三台主机，上传了Mstream分布式拒绝服务攻击工具,并对某一美国政府网站发动了分布式拒绝服务攻击。

(2)LDoS(Low level D-DOS)

低流量型分布式拒绝服务(LDoS)攻击采用比普通DDoS更为隐蔽的的方式对注入流量进行脚本化；其流量特点为跟随原流量的趋势，在一段时间之内持续的注入攻击流量；导致目标主机网络性能下降，重要报文被重复发送，最终导致网络拥塞与瘫痪。LDoS对应DARPA2000中的LLDoS2.0.2相同的攻击场景，不同的是攻击者对漏洞主机的发现以及Mstream分布式拒绝服务攻击的上传都采用了更为隐蔽的方法；即攻击流量会一定程度上的跟随原流量的趋势。

(3)网络风暴

网络风暴则是短时间内大量报文的拥塞产生，一般是由变电站网络带宽不足，设备更新测试等原因引起；当网络风暴报文达到50M(变电站过程层交换机正常流量均值的3倍)时，未采取风暴抑制措施的智能终端CSD601的跳合闸回路动作时间已经不能满足要求；因此网络风暴为流量较短时间内小幅度突增。

(4)网络屏蔽

由于工控网络都为基于VPN的工业以太网，因此由于外界原因导致网络环境的改变，也会影响网络的情况。例如强脉冲，强磁场干扰，或者交换机故障等，都会使变电站通信网络发生裂解，出现部分IED设备与监控主机的通信被切断，信道被屏蔽的现象。在流量层面上的反映是流量值的突减，并且持续时间较长。

通过林肯实验室的KDD99异常检测数据集，根据其TCPDUMP包获取除去背景流量的异常数据包，将获取的数据信息记录到pcap格式的文件中，编写脚本筛选异常流量。对采集的异常流量在原流量同层面上进行聚合，最终得到KDD99数据集中的HDoS以及LDoS的异常流量序列值。将异常流量序列值叠加到原变电站站控层通信背景流量中，可以得到变电站在DDoS下的异常通信流量序列；这几种变电站网络异常下的流量进行分析如下表所示。

表1

流量异常种类	造成的流量影响	产生频率	持续时间	异常所在变电站层级
					网络风暴	小幅度突增	较高	较长	过程层与站控层
HDoS攻击	大幅度突增	低	短	站控层
					LDoS攻击	大幅度增加	低	长	站控层
网络屏蔽	小幅度突减	较低	较长	站控层

将四种不同的异常流量放入到智能变电站通信流量阈值模型中生成异常检测模型。

采集一段新的变电站流量作为待测流量进行分析，如图3所示。

为了便于解释说明，对序列号11-20这一段网络流量进行异常检测。

λ_(4×10)矩阵第1,2,3,4行分别代表网络屏蔽异常，LDoS异常，HDoS异常以及网络风暴异常的偏差值；每一列对应一个序列号的流量情况。

由公式ξ_(w,t)＝κσ(λ_(w,t))^μ可以得出其某时刻某种异常出现的概率。以采集样本通信流量数据的天津津塘路110KV变电站为例，智能变电站内的IED数量为56个，监控主机为3个；变电站内通信设备均采用规范的IEC61850，IEC62351协议构建电力通信网络；且变电站规模较大，为枢纽电站；因此取μ＝0.8；其智能变电站抵御流量异常波动的能力越强。κ为该主机或交换机在整个变电站网络中的权重，由于采集数据的交换机处于通信中心的位置，取κ＝0.8。σ为智能变电站网络组网方式系数，该变电站采用的光纤以太网的组网方式为环形，因此取σ_loop＝0.5

由此可以得到变电站的异常检测概率矩阵ξ_(4,10)为：

由上矩阵可以看出待检测流量在11-20这个时段内的最大异常时刻可能出现在11时刻，对应的异常为网络屏蔽异常；其他异常只可能在20时刻出现。

计算t时刻下变电站的网络可靠性指数，由公式：

判定t时刻下变电站对已经记录在库的几种异常的综合情况，

γ_t＝[0.735 0.939 0.951 0.871 1 0.786 1 1 0.753 0.608]

可靠性指数越高表明变电站网络的通信受异常干扰可能性较小，且网络保持原有的历史特性与规则，达到原有的通信效果。可以看出待测序列所代表的时段内的变电站通信网络的可靠性程度较高。其异常最可能出现在11时刻与20时刻。

计算变电站通信网络在待测序列所处时段的脆弱性指数为ν

该指数能反映天津110KV变电站通信网络的综合脆弱性情况；可以看出其脆弱性较低，网络稳定，电力通信网络处于“坚强”的状态，其网络异常的可能性较低。

采用不同等级的告警标准对变电站网络异常的情况进行告警，变电站流量阈值模型的显著性α为0.1，告警临界值η为0.6，告警级别为4级。当变电站脆弱性指数满足条件：

当ν＞0.54时启动告警；算例中ν＝0.1357＜0.54，因此并未触发异常告警。

Claims (1)

1.一种基于概率模型的智能变电站网络异常流量检测模型构建方法，其特征在于包括以下步骤：

(1)基于变电站通信流量数据建立优化的FARIMA(p,d,q)模型，并对模型进行校验；多次运行FARIMA(p,d,q)模型预测目标序列，并设计算法筛选具有智能变电站流量特征的预测值，生成不同置信度下的流量阈值模型；

(2)选取不同置信度下的流量阈值模型，采用异常流量值作为阈值基准设计变电站通信网络异常算法；

(3)根据智能变电站通信网络异常在流量层面上的不同体现，设计不同阈值基准；建立智能变电站通信流量异常检测系统；

所述步骤(1)具体为：

(a)对采集的智能变电站通信流量数据进行数据分析，包括序列长度分析、周期性分析、平稳性分析以及自相关性分析；

(b)建立优化的FARIMA(p,d,q)模型，并对模型进行校验；

(c)比较不同算法的拟合优度以及预测效果；

(d)多次运行FARIMA(p,d,q)模型，设计算法对所有通过FARIMA(p,d,q)模型的具有智能变电站流量特征的预测数据进行筛选分析，即：

其中X_t为原始序列，

为第i次模拟的第j个预测序列值，n为预测步长，randm是范围为(1,l-n+1)区间内的随机正整数，设预测序列号为j，智能变电站通信流量阈值模型生成公式如下：

式中，maxY_j为序列号为j时刻处的最大值；minY_j为序列号为j时刻处的最小值，k为通过算法筛选的FARIMA(p,d,q)模拟次数；

从统计学意义上分析不同置信度下的流量阈值模型，其公式如下：

其中P为置信度，α为显著性，S_inside为在流量阈值区间内的序列个数，S_total为仿真预测的序列总数，由不同的S_inside得到不同置信度下的通信流量模型；

所述步骤(2)具体为：

(a)选取具体置信度下的变电站流量阈值模型，分析变电站网络异常情况；通过实际流量与异常流量的叠加产生变电站的异常通信流量数值；

(b)设计智能变电站通信流量异常检测算法，规定正常流量Z_t，Z_t∈[MinZ_t,MaxZ_t]；MinZ_t为t时刻正常流量的最小值，MaxZ_t为t时刻正常流量的最大值，定义待检测时刻的流量大小为D_t，若存在：D_t＞MaxZ_t或D_t＜MinZ_t；则t时刻的待检测流量D_t存在异常的情况；

定义待测流量异常因数λ_detect，表示t时刻待测流量与正常流量之间的偏差：

而当待测流量值处于正常流量阈值区间D_t∈[MinZ_t,MaxZ_t]时，λ_detect(t)取0，

采用生成的变电站异常通信流量数据设计站控层阈值基准，定义异常流量因数λ_anomaly，表示t时刻异常流量与正常流量之间的偏差：

其中A_t为t时刻的异常流量值，max(X_t)为原始流量序列的最大值，min(X_t)为原始序列的最小值；

构造(w×n)阶异常流量偏差矩阵为λ_(w×n)，w为已检测到的不同种类的变电站网络异常情况总和，n为待测流量步长:

规定ξ为某时刻t时变电站网络出现某瞬时异常的概率；

ξ_(w,t)＝κσ(λ_(w,t))^μ

其中μ为变电站结构复杂程度参数，与智能变电站内的IED数量，以太网内监控主机的数目以及采用IEC61850，IEC62351协议的规范程度有关；κ为该主机或交换机在整个变电站网络中的权重；σ为智能变电站网络组网方式系数，

规定变电站网络在某时刻t的可靠性指数为γ_t，设异常情况为w种:

定义变电站通信网络在待测序列所处时段的脆弱性指数为ν,

所述步骤(3)具体为：

(a)具体分析变电站网络异常流量的情况，计算智能变电站通信网络的异常流量偏差矩阵，可靠性指数与脆弱性指数；

(b)分析待测流量序列，根据不同的异常流量情况对待测的流量进行分析，由变电站通信网络的可靠性指数与脆弱性指数评估分析变电站通信网络在不同时段内的网络的稳定性，采用不同等级的告警标准对变电站网络异常的情况进行告警，当变电站脆弱性指数为ν满足条件：

对变电站工作人员进行异常告警，式中p代表变电站流量阈值模型的置信度；η代表告警临界值；c代表告警的级别指数，根据变电站网络规模以及变电站负荷重要程度来选择不同的告警级别；

(c)继续采集变电站通信网络流量，更新变电站正常通信流量阈值模型参数，对新的待检测序列进行分析。

Images