CN109118075B - 一种基于业务逻辑一致性的电力工控终端安全监测方法 - Google Patents

Abstract

本发明公开了一种基于业务逻辑一致性的电力工控终端安全监测方法，本发明针对“互联网+”智能电网系统中多样化信息引入的电力工控终端设备安全问题，突破现有单纯依赖网络空间信息的攻击检测方法，提出基于业务逻辑一致性的电力工控终端安全方法。通过对物理世界信息和网络空间信息的多模态数据进行采样、归一化处理和时序关联，并且通过训练得到安全监测集和参数约束集，用于进行安全监测和异常识别。该方法从业务层面，可以有效预警由于设备性能差异、设备故障、黑客入侵导致的状态异常，实现对电力工控终端基于设备时间逻辑、状态逻辑和业务逻辑的“时间‑状态‑业务”三位一体一致性安全监测。

Description

一种基于业务逻辑一致性的电力工控终端安全监测方法

技术领域

本发明涉及一种针对电力工控终端的安全监测方法，尤其涉及基于电力业务逻辑一致性的安全监测方法。

技术背景

在电力系统中，电网的主要作用是分配电能和传输电能。在21世纪网络时代，电网作为能源基础设施也必然离不开信息化，信息化在具有高度灵活性的同时，也带来了很多威胁和不确定性。电力工控终端作为电力工控系统的“手足”，在电力信息化过程中发挥着举足轻重的作用。“震网”、“火焰”以及乌克兰停电事件中的病毒均为网络攻击势力，通过电力工控终端进而对电力系统造成破坏。攻击者熟悉被攻击系统及网络结构，采用的攻击技术先进，病毒扩散以及破坏非常隐蔽，现有终端防病毒软件无法进行查杀。因此对电力工控终端进行防渗透及安全监测迫在眉睫。

发明内容

本发明针对现有技术的不足，提出了一种基于业务逻辑一致性的电力终端安全监测方法。该方法可以有效提高对电力终端安全隐患的监测效率和故障识别率。

本发明依据具体的电力业务流程选定参与该业务的设备终端，提取并归一化处理所有参与设备的状态特征，并结合业务流程，考虑时序特征，形成基于业务逻辑一致性的特征关联，据此训练生成针对电力工控设备的基于“时间-状态-业务”三维一体的一致性安全规则集；最后基于该安全规则集，实现对该电力业务的安全监测。

在电力行业，执行一个完整的电力业务所需要的电力工控终端类型，可根据电力网通信传输过程，从下至上归纳总结为5类：现场终端设备(断路器、负荷开关、分段开关、负载、变压器、发电机)、现场通讯设备(配电开关监控终端(FTU)、数据传输单元(DTU)、远程终端单元(RTU))、子站通讯设备、主站通讯设备和调度中心机房设备。调度中心的作用是实现区域间的网络互联、信息交互和综合决策，是电网调度的核心控制器。因此，在实际电网运行中，调度中心已采用多级安全接入认证、物理隔离等手段，具有较高的安全等级，不易被黑客攻击或病毒入侵。因此本发明专利主要通过其余4类设备的状态信息和特征，实现安全监测。

在电力行业中，目前还没有基于具体的业务逻辑一致性实现对电力工控终端安全监测的成熟技术方法。其困难在于业务流程图只能反映业务在执行方面的对应关系，通常用于判断业务员是否按规定动作操作机器或执行指令，无法用于分析系统是否受到黑客攻击或病毒入侵。为此，利用本发明专利提出的基于业务逻辑一致性的电力终端安全监测方法，可以有效的关联“时序特征”、“设备状态特征”和“业务流程”，从业务级实现对电力工控终端的安全监测。

一种基于业务逻辑一致性的电力工控终端安全规则集生成方法，该方法具体包括以下步骤：

步骤1：对电力工控终端进行状态数据采集，该方法具体包括：

(1)依据具体的电力业务流程选定参与该业务的所有设备终端；

(2)在该业务生命周期内，分别对所有参与的设备终端，连续监测并采集相关指标的状态数据，指标包括能耗、电压、电流、内存占用率。

(3)将参与该业务的所有设备终端类别、每类设备需要监测的指标输出至参数集。

步骤2：对每个电力工控设备终端的每个指标的状态数据做特征归一化处理，该方法具体包括：

(1)状态数据特征归一化处理方法为：假设某指标的变化范围是[y_min，y_max],假设该指标的状态数据变化的区分度为d,那么模拟量-数字量转化的精度Δn表示为(y_max-y_min)/d；由此得到该指标在区分度为d的情形下，归一化后的状态变化范围是[0,(d-1)₂]，占n₁位存储空间，其中(d-1)₂为d-1的二进制表示，

(2)在每类设备中，对所需要监测的指标所对应的状态数据变化区分度参数输出至参数集。

步骤3：根据业务生命周期和业务逻辑，对状态数据进行基于“时间-状态-业务”的关联处理，该方法具体包括：

(1)通过业务流程，确定参与该业务的所有设备终端和设备间的执行顺序，业务逻辑就是在业务流程的基础上，关联业务的生命周期，逻辑链顺序与业务从开始到结束的执行顺序一致；

(2)考虑业务的生命周期，结合监测采样频率，对数据状态自适应关联时序标签，进行“时间-状态”关联处理；处理方法为：假设对某指标的采样时间范围是[x_min,x_max],则采样时间表示为t＝x_max-x_min；假设采样频率为f，由此得到该指标在采样频率为f的情形下，归一化后的时序标签范围是[0,(tf-1)₂]，占n_T位存储空间，其中(tf-1)₂为tf-1的二进制表示，

时序特征关联状态特征的顺序定义为：时序特征在前，指标状态特征在后；因此得到关联时间后该指标的数据长度为n_T+n₁位，其中n₁为根据步骤2-(1)得到的状态数据特征归一化处理后所需的存储空间；综合考虑实际需求、数据量大小和监测精度要求，对“时间-状态-业务”的关联处理，进一步分为2类：

(2-1)在业务生命周期内，对单一设备终端的多指标状态数据特征进行关联处理，该设备基于多指标的“时间-状态”特征关联顺序定义为：时序特征在最前，指标状态特征在后依次排开，因此得到该设备的k个指标的状态数据长度为n_T+n₁+n₂+…n_k；

(2-2)在业务生命周期中，基于业务逻辑，对多设备终端单一指标状态数据特征进行关联处理，针对该指标的多设备终端的“时间-状态-业务”特征关联顺序定义为：时序特征在最前，该指标的设备状态特征按照业务流程先后顺序依次排开；据此得到基于该指标的m个设备终端参与数据长度为：n_T+m·n_b，其中

为m个设备中针对指标b的最大区分度；

(3)将测定得到的业务生命周期、采样频率、单一设备终端多指标关联、多设备终端单一指标关联最大区分度输出至参数集；

步骤4：通过训练，生成基于业务逻辑一致性的电力工控终端安全规则集，该方法具体包括：

(1)在确保设备终端性能良好情况下，重复执行步骤1和2多次，对归一化处理后的同一终端的相同状态数据特征，以二进制的形式，按位取交集；若某位值为“0”或“1”均可，则置该位为“Y”；

(2)对(1)中得到的数据特征，按照步骤3中(2-1)和(2-2)的方法，生成两类安全规则：业务周期内单一设备多指标状态特征数据安全规则集和业务周期内多设备单一指标状态特征数据安全集；

步骤5：接收步骤1、步骤2中的(2)和步骤3中的(3)所输出的参数，形成完整参数集并储存；

步骤6：调用步骤5训练生成的参数集，该参数集中约束了如下要求：

(1)确定了该业务的生命周期长度和采样频率；

(2)确定了参与该业务的所有设备终端类别；

(3)确定了每一类设备终端需要监测采样的指标及区分度；

(4)确定了对单一设备终端的多指标状态数据特征关联顺序和关联后的数据长度；

(5)确定了对多设备终端单一指标状态数据特征关联顺序和关联后的数据长度；

步骤7：对电力工控终端进行状态数据采集，该方法具体包括：

(1)依据参数集要求，选定参与该业务的所有设备终端；

(2)在该业务生命周期内，分别对所有参与的设备终端，连续监测并采集相关指标的状态数据，对每种设备终端需要监测并采样的指标，按照参数集确定；

步骤8：对每个电力工控设备终端的每个指标的状态数据做特征归一化处理，处理方法如下

假设某指标的变化范围是[y_min,y_max],假设该指标的状态数据变化的区分度为n,那么模拟量-数字量转化的精度表示为(y_max-y_min)/d；由此得到该指标在区分度为d的情形下，归一化后的状态变化范围是[0，(d-1)₂]，占n₁位存储空间，其中(d-1)₂为d-1的二进制表示，

区分度d由安全规则集确定；

步骤9：根据业务逻辑和业务生命周期，对状态数据进行基于“时间-状态-业务”的关联，该方法与步骤3中的(1)、步骤3中的(2)相同；

(1)通过业务流程，可以确定参与该业务的所有设备终端和设备间的执行顺序，业务逻辑就是在业务流程的基础上，关联业务的生命周期，逻辑链顺序与业务从开始到结束的执行顺序一致；

(2)根据参数集要求，确定监测采样频率，对数据状态自适应关联时序标签，进行“时间-状态”关联处理。处理方法为：假设对某指标的采样时间范围是[x_min，x_max],则采样时间可表示为t＝x_max-x_min。假设采样频率(或时间精度)为f，由此得到该指标在采样频率为tf的情形下，归一化后的时序标签范围是[0，(tf-1)₂]，占n_T位存储空间，其中(tf-1)₂为tf-1的二进制表示，

时序特征关联状态特征的顺序定义为：时序特征在前，指标状态特征在后。因此得到关联时间后该指标的数据长度为n_T+n₁位，其中n₁与n_T均由参数集确定，并为定值。综合考虑实际需求、数据量大小和监测精度要求，对“时间-状态-业务”的关联处理，可进一步分为2类：

(2-1)根据参数集要求，在业务生命周期内，对单一设备终端的多指标(指标1，指标2，…)状态数据特征进行关联处理，该设备基于多指标的“时间-状态”特征关联顺序定义为：时序特征在最前，指标状态特征在后依次排开，得到该设备的k个指标的状态数据长度为n_T+n₁+n₂+…n_k；

(2-2)根据参数集要求，在业务生命周期中，基于业务逻辑，对多设备终端单一指标状态数据特征进行关联处理，针对该指标的多设备终端的“时间-状态-业务”特征关联顺序定义为：时序特征在最前，该指标的设备状态特征按照业务流程先后顺序依次排开。据此得到基于该指标的m个设备终端参与数据长度为：n_T+m·n_b，其中n_b为m个设备中针对指标b的最大区分度；

步骤10：用关联处理好的含时间标签的状态特征数据进行安全监测判断，该方法具体包括：

(1)调用基于业务逻辑一致性的电力工控终端安全规则集；

(2)将关联处理好的含时间标签的单一设备多指标状态特征数据和含时间标签的多设备单一指标状态特征数据输入安全规则集中做判断，判断方法为同长度二进制数据按位比较，有不同，则为异常；全相同，为正常；

步骤10：输出监测结果。该方法具体包括：

(1)正常；

(2)异常，并输出异常设备和异常指标。

本发明的有益效果是：针对“互联网+”智能电网系统中多样化信息引入的电力工控终端设备安全问题，突破现有单纯依赖网络空间信息(流量、日志等)的攻击检测方法，提出基于业务逻辑一致性的电力工控终端安全方法。通过对物理世界信息(电压、电流、能耗等)和网络空间信息的多模态数据进行采样、归一化处理和时序关联，并且通过训练得到安全监测集和参数约束集，用于进行安全监测和异常识别。该方法从业务层面，可以有效预警由于设备性能差异、设备故障、黑客入侵导致的状态异常，实现对电力工控终端基于设备时间逻辑、状态逻辑和业务逻辑的“时间-状态-业务”三位一体一致性安全监测。

附图说明

图1是基于业务逻辑一致性的电力工控终端安全监测方法流程图；

图2是设备A指标a一段时间内的变化图；

图3是设备A指标b一段时间内的变化图；

图4是设备B指标a一段时间内的变化图；

图5是设备A指标a状态特征归一化处理示意图；

图6是设备A指标a时序关联处理示意图；

图7是设备A指标a“时间-状态”逻辑关联示意图；

图8是基于设备A指标a和指标b“时间-状态”逻辑关联示意图；

图9是基于设备A和设备B(指标b)“时间-状态-业务”逻辑关联示意图；

具体实施方式

下面根据附图详细说明本发明，本发明的目的和效果将变得更加明显。

图1是基于业务逻辑一致性的电力工控终端安全监测方法流程图，该流程图包括(i)用训练数据生成安全规则集的过程；和(ii)基于安全规则集和参数集进行电力工控终端安全监测的方法。具体而言：

步骤1：对电力工控终端进行状态数据采集，该方法具体包括：

(1)依据具体的电力业务流程选定参与该业务的所有设备终端。例如，某具体业务需要设备A和B配合完成；

(2)在该业务生命周期内，分别对所有参与的设备终端，连续监测并采集相关指标的状态数据，指标包括能耗、电压、电流、内存占用率等。据此得到，设备A有指标a和b，设备B有指标b。

图2是设备A指标a在一段时间内的状态变化图。横坐标X轴表示时间，纵坐标Y表示指标a的状态数值。图2中曲线的走势可以用于表征电力工控终端设备在特定业务下的CPU使用率。

图3是设备A指标b在一段时间内的状态变化图。横坐标X轴表示时间，纵坐标Y表示指标b的状态数值。图3中曲线的走势可以用于表征电力工控终端设备在特定业务下的功率变化。

图4是设备B指标b在一段时间内的状态变化图。横坐标X轴表示时间，纵坐标Y表示指标b的状态数值。图4中曲线的走势可以用于表征电力工控终端设备在特定业务下的功率变化。与图3对比可知，不同用途的设备，功率变化可能呈现不同的状态。

(3)将参与该业务的所有设备终端类别、每类设备需要监测的指标等参数输出至参数集。

步骤2：对每个电力工控设备终端的每个指标的状态数据做特征归一化处理，该方法具体包括：

(1)状态数据特征归一化处理方法如图5，测得设备A指标a的变化范围是[y_min，y_max],假设该指标的状态变化的区分度为n,那么模拟量-数字量转化的精度Δn可以表示为(y_max-y_min)/n，如图中n条平行于X轴的等分虚线所示。由此可以得到设备A指标a在区分度为n的情形下，归一化后的状态变化范围是[0，(n-1)₂]，占n₁位存储空间，其中(n-1)₂为(n-1)的二进制表示，

对设备A指标b以及设备B指标b的处理方法于此相同。

(2)在每类设备中，对所需要监测的指标所对应的状态数据变化区分度参数输出至参数集。

步骤3：根据业务生命周期和业务逻辑，对状态数据进行基于“时间-状态-业务”的关联处理，该方法具体包括：

(1)通过业务流程，可以确定参与该业务的所有设备终端和设备间的执行顺序，业务逻辑就是在业务流程的基础上，关联业务的生命周期，逻辑链顺序与业务从开始到结束的执行顺序一致；

(2)考虑业务的生命周期，结合监测采样频率，对数据状态自适应关联时序标签，进行“时间-状态”关联处理。处理方法为：如图6、图7所示，对设备A指标a的采样时间范围是[x_min，x_max],则采样时间可表示为t＝x_max-x_min。假设采样频率(或时间精度)为f，由此得到该指标在采样频率为f的情形下，归一化后的时序标签范围是[0，(tf-1)₂]，占n_T位存储空间，其中其中(tf-1)₂为tf-1的二进制表示，

时序特征关联状态特征的顺序定义为：时序特征在前，指标状态特征在后。因此得到关联时间后该指标的数据长度为n_T+n₁位，其中n₁为根据步骤2(1)得到的状态数据特征归一化处理后所需的存储空间。综合考虑实际需求、数据量大小和监测精度要求，对“时间-状态-业务”的关联处理，可进一步分为2类：

(2-1)在业务生命周期内，对单一设备A终端的多指标(指标1，指标2)状态数据特征进行关联处理，如图8所示，指标a和b纵向排列，共用相同的时间标签。这里指标a和b并列，更为全面的表征系统当前的状态特征。不同指标之间，区分度可以相同也可以不同，如图中指标a和b的区分度分别为n₁和n₂，且由虚线疏密可知n₁＞n₂。因此该设备基于多指标的“时间-状态”特征关联顺序定义为：时序特征在最前，指标状态特征在后依次排开，因此得到该设备的2个指标的状态数据长度为n_T+n₁+n₂；

(2-2)在业务生命周期中，基于业务逻辑，对多设备终端单一指标状态数据特征进行关联处理，如图9中设备A和设备B都以n₂作为区分度。与图8相似，设备A和设备B对于指标b,纵向排列，共用相同的时间标签。但是A与B的排列顺序是由业务逻辑所决定的。业务逻辑具体表现为：在该业务的生命周期内，设备A和设备B的参与该业务的顺序。因此基于指标b的“时间-状态-业务”特征关联顺序定义为：时序特征在最前，该指标的设备状态特征按照业务逻辑先后顺序依次排开。据此得到基于指标b的2个设备终端参与数据长度为：n_T+2·n₂，其中n₂为2个设备中针对指标b的最大区分度。

(3)将测定得到的业务生命周期、采样频率、单一设备终端多指标关联、多设备终端单一指标关联最大区分度等参数输出至参数集。

步骤4：通过训练，生成基于业务逻辑一致性的电力工控终端安全规则集，该方法具体包括：

(1)在确保设备终端性能良好情况下，重复执行步骤1和2多次，对归一化处理后的同一终端的相同状态数据特征，以二进制的形式，按位取交集。若某位值为“0”或“1”均可，则置该位为“X”；

(2)对(1)中得到的数据特征，按照步骤3中(2-1)和(2-2)的方法，生成两类安全规则：业务周期内单一设备多指标状态特征数据安全规则集和业务周期内多设备单一指标状态特征数据安全集。

步骤5：接收步骤1、步骤2中的(2)和步骤3中的(3)所输出的参数，形成完整参数集并储存。

步骤6：调用训练生成的参数集，该参数集中约束了如下要求：

(1)确定了该业务的生命周期长度和采样频率；

(2)确定了参与该业务的所有设备终端类别(设备A和设备B)；

(3)确定了每一类设备终端需要监测采样的指标及区分度(设备A指标a，区分度n₁；设备A和B指标b，区分度n₂)；

(4)确定了对单一设备终端的多指标状态数据特征关联顺序和关联后的数据长度(n_T+n₁+n₂)；

(5)确定了对多设备终端单一指标状态数据特征关联顺序和关联后的数据长度(n_T+2·n₂)。

步骤7：对电力工控终端进行状态数据采集，该方法具体包括：

(1)依据参数集要求，选定参与该业务的所有待检测设备终端：设备A和设备B；

(2)在该业务生命周期内，分别连续监测并采集设备A指标a、指标b和设备B指标b的状态数据。

步骤8：对每个电力工控设备终端的每个指标的状态数据做特征归一化处理，处理方法为：

测得设备A指标a的变化范围是[y_min,y_max],参数集中对该指标的状态数据变化的区分度为n,那么模拟量-数字量转化的精度Δn可以表示为(y_max-y_min)/n。由此可以得到该指标在区分度为n的情形下，归一化后的状态变化范围是[0,(n-1)₂]，占n₁位存储空间，其中(n-1)₂为n-1的二进制表示，

步骤9：根据业务逻辑和业务生命周期，对状态数据进行基于“时间-状态-业务”的关联，该方法具体包括：

(1)通过业务流程，可以确定参与该业务的所有设备终端和设备间的执行顺序，业务逻辑就是在业务流程的基础上，关联业务的生命周期，逻辑链顺序与业务从开始到结束的执行顺序一致；

(2)根据参数集要求，确定监测采样频率，对数据状态自适应关联时序标签，进行“时间-状态”关联处理。处理方法为：采样时间范围是[x_min,x_max],则采样时间可表示为t＝x_max-x_min。采样频率(或时间精度)为f/Hz，由此得到该指标在采样频率为tf的情形下，归一化后的时序标签范围是[0,(tf-1)₂]，占n_T位存储空间，其中(tf-1)₂为tf-1的二进制表示，

时序特征关联状态特征的顺序定义为：时序特征在前，指标状态特征在后。因此得到关联时间后该指标的数据长度为n_T+n₁位，其中n₁与n_T均由参数集确定，并为定值。综合考虑实际需求、数据量大小和监测精度要求，对“时间-状态-业务”的关联处理，可进一步分为2类：

(2-1)根据参数集要求，在业务生命周期内，对单一设备终端的多指标(指标1，指标2)状态数据特征进行关联处理，该设备基于多指标的“时间-状态”特征关联顺序定义为：时序特征在最前，指标状态特征在后依次排开，得到该设备的2个指标的状态数据长度为n_T+n₁+n₂；

(2-2)根据参数集要求，在业务生命周期中，基于业务逻辑，对多设备终端单一指标(设备A设备B指标b)状态数据特征进行关联处理，针对该指标的多设备终端的“时间-状态-业务”特征关联顺序定义为：时序特征在最前，该指标的设备状态特征按照业务流程先后顺序依次排开。据此得到基于该指标的2个设备终端参与数据长度为：n_T+2·n_b，其中n_b为2个设备中针对指标b的最大区分度；

步骤10：用关联处理好的含时间标签的状态特征数据进行安全监测判断，该方法具体包括：

(1)调用基于业务逻辑一致性的电力工控终端安全规则集；

(2)将关联处理好的含时间标签的单一设备多指标状态特征数据和含时间标签的多设备单一指标状态特征数据输入安全规则集中做判断，判断方法为同长度二进制数据按位比较，有不同，则为异常；全相同，为正常。

步骤11：输出监测结果。该方法具体包括：

(1)正常；

(2)异常，并输出异常设备和异常指标。

Claims (2)

1.一种基于业务逻辑一致性的电力工控终端安全监测方法，该方法具体包括以下步骤：

步骤1：对电力工控终端进行状态数据采集；

步骤2：对每个电力工控设备终端的每个指标的状态数据做特征归一化处理，该步骤具体包括：

(1)状态数据特征归一化处理方法为：假设某指标的变化范围是[y_min，y_max]，假设该指标的状态数据变化的区分度为d，那么模拟量-数字量转化的精度Δn表示为(y_max-y_min)/d；由此得到该指标在区分度为d的情形下，归一化后的状态变化范围是[0，(d-1)₂]，占n₁位存储空间，其中(d-1)₂为d-1的二进制表示，

(2)在每类设备中，对所需要监测的指标所对应的状态数据变化区分度参数输出至参数集；

步骤3：根据业务生命周期和业务逻辑，对状态数据进行基于“时间-状态-业务”的关联处理，该步骤具体包括：

(1)通过业务流程，确定参与该业务的所有设备终端和设备间的执行顺序，业务逻辑就是在业务流程的基础上，关联业务的生命周期，逻辑链顺序与业务从开始到结束的执行顺序一致；

(2)考虑业务的生命周期，结合监测采样频率，对数据状态自适应关联时序标签，进行“时间-状态”关联处理；处理方法为：假设对某指标的采样时间范围是[x_min，x_max]，则采样时间表示为t＝x_max-x_min；假设采样频率为f，由此得到该指标在采样频率为f的情形下，归一化后的时序标签范围是[0，(tf-1)₂]，占n_T位存储空间，其中(tf-1)₂为tf-1的二进制表示，

时序特征关联状态特征的顺序定义为：时序特征在前，指标状态特征在后；因此得到关联时间后该指标的数据长度为n_T+n₁位，其中n₁为根据步骤2-(1)得到的状态数据特征归一化处理后所需的存储空间；综合考虑实际需求、数据量大小和监测精度要求，对“时间-状态-业务”的关联处理，进一步分为2类：

(2-1)在业务生命周期内，对单一设备终端的多指标状态数据特征进行关联处理，该设备基于多指标的“时间-状态”特征关联顺序定义为：时序特征在最前，指标状态特征在后依次排开，因此得到该设备的k个指标的状态数据长度为n_T+n₁+n₂+…n_k；

(2-2)在业务生命周期中，基于业务逻辑，对多设备终端单一指标状态数据特征进行关联处理，针对该指标的多设备终端的“时间-状态-业务”特征关联顺序定义为：时序特征在最前，该指标的设备状态特征按照业务流程先后顺序依次排开；据此得到基于该指标的m个设备终端参与数据长度为：n_T+m·n_b，其中n_b为m个设备中针对指标b的最大区分度；

(3)将测定得到的业务生命周期、采样频率、单一设备终端多指标关联、多设备终端单一指标关联最大区分度输出至参数集；

步骤4：通过训练，生成基于业务逻辑一致性的电力工控终端安全规则集，该步骤具体包括：

(1)在确保设备终端性能良好情况下，重复执行步骤1和2多次，对归一化处理后的同一终端的相同状态数据特征，以二进制的形式，按位取交集；若某位值为“0”或“1”均可，则置该位为“Y”；

(2)对(1)中得到的数据特征，按照步骤3中(2-1)和(2-2)的方法，生成两类安全规则：业务周期内单一设备多指标状态特征数据安全规则集和业务周期内多设备单一指标状态特征数据安全集；

步骤5：接收步骤1、步骤2中的(2)和步骤3中的(3)所输出的参数，形成完整参数集并储存；

步骤6：调用步骤5训练生成的参数集，该参数集中约束了如下要求：

(1)确定了该业务的生命周期长度和采样频率；

(2)确定了参与该业务的所有设备终端类别；

(3)确定了每一类设备终端需要监测采样的指标及区分度；

(4)确定了对单一设备终端的多指标状态数据特征关联顺序和关联后的数据长度；

(5)确定了对多设备终端单一指标状态数据特征关联顺序和关联后的数据长度；

步骤7：对电力工控终端进行状态数据采集，该步骤具体包括：

(1)依据参数集要求，选定参与该业务的所有设备终端；

(2)在该业务生命周期内，分别对所有参与的设备终端，连续监测并采集相关指标的状态数据，对每种设备终端需要监测并采样的指标，按照参数集确定；

步骤8：对每个电力工控设备终端的每个指标的状态数据做特征归一化处理，处理方法如下

假设某指标的变化范围是[y_min，y_max]，假设该指标的状态数据变化的区分度为n，那么模拟量-数字量转化的精度表示为(y_max-y_min)/d；由此得到该指标在区分度为d的情形下，归一化后的状态变化范围是[0，(d-1)₂]，占n₁位存储空间，其中(d-1)₂为d-1的二进制表示，

区分度d由安全规则集确定；

步骤9：根据业务逻辑和业务生命周期，对状态数据进行基于“时间-状态-业务”的关联，该关联方法与步骤3中的(1)、步骤3中的(2)相同；

步骤10：用关联处理好的含时间标签的状态特征数据进行安全监测判断，该步骤具体包括：

(1)调用基于业务逻辑一致性的电力工控终端安全规则集；

(2)将关联处理好的含时间标签的单一设备多指标状态特征数据和含时间标签的多设备单一指标状态特征数据输入安全规则集中做判断，判断方法为同长度二进制数据按位比较，有不同，则为异常；全相同，为正常；

步骤11：输出监测结果；监测结果包括：正常和异常；异常时输出异常设备和异常指标。

2.根据权利要求1所述的一种基于业务逻辑一致性的电力工控终端安全监测方法，其特征在于：所述的对电力工控终端进行状态数据采集，具体包括：

(1)依据具体的电力业务流程选定参与该业务的所有设备终端；

(2)在该业务生命周期内，分别对所有参与的设备终端，连续监测并采集相关指标的状态数据，指标包括能耗、电压、电流、内存占用率；

(3)将参与该业务的所有设备终端类别、每类设备需要监测的指标输出至参数集。

Images