CN109902916A - 一种面向攻击的电力工控系统业务自恢复方法及系统 - Google Patents

Abstract

本发明公开了一种面向攻击的电力工控系统业务自恢复方法及系统，所述方法包括：根据备份的设备作业状态以及文件变更内容增量，在站点范围内接收所述设备发送的比对信息，生成恢复策略，并发送至相应设备，进行站点功能自恢复；将电力潮流数据与区域系统配置参数进行逐个匹配，确认匹配到所述区域系统的所有节点后，对所述区域系统失电进行分析并得到失电区域；根据所述失电区域确定区域系统内电力流的协调调度策略，生成全局恢复控制命令，并发送全局站点以及设备，进行区域系统业务功能自恢复；本方法能够在电力工控系统被攻击后，实现电力业务的实时、高效、全面自恢复，最大限度地减少攻击造成系统损失。

Description

一种面向攻击的电力工控系统业务自恢复方法及系统

技术领域

本发明涉及电力工控系统领域，更具体地，涉及一种面向攻击的电力工控系统业务自恢复方法及系统。

背景技术

电力工控系统是国家关键基础设施的重要组成部分，涵盖电厂发电、电线输电、变电站变电、配电及用户用电等一整套电力传输流程，其组成一般包含数据采集及监控系统(SCADA)、分布式控制系统、以及其他配置在关键基础设施上的控制系统如可编程逻辑控制器(PLC)、相量测量装置(PMU)、相量数据集中器(PDC)等，在某些智能电网中还配置有软件定义网络(SDN)。电力工控系统作为电力系统的控制中枢，其重要程度不言而喻，一旦出现特殊情况，后果将不堪设想，轻则引发人员伤亡和巨额经济损失，重则甚至可能威胁国家的安全和稳定。

随着信息化和网络化的不断深入，电力系统由封闭独立向开放互联进行转变，原本孤立的电力工控系统逐渐与外部网络互联互通，并且开放协议和智能设备也在电网上得到了不断的推广，电力系统与外部网络隔离并不像之前那么严格，攻击者可以通过各种各样的攻击方式(例如拒绝服务攻击：DoS攻击、数据注入攻击，畸形包攻击等)入侵控制网络内部，给系统业务运行甚至是基础设施造成严重破坏。近年来，国际上电力工控系统遭受信息安全攻击事件频频发生，更突显了电力工控系统信息安全态势日益严重这一现状。

目前国内外针对电力工控系统信息安全方面的研究深度还是有所不足，研究成果多是对攻击方法、电力工控系统中存在的脆弱性、风险评估方法等进行介绍，对于攻击发生后的业务恢复方向，研究成果有限。主要体现在：一是缺乏全面地对攻击下系统业务恢复问题进行考虑；二是很多研究还未能有效地结合系统特点，将信息网络与电力网络孤立开来；三是未能考虑电力工控系统协调控制的能力，没有从区域的范围内考虑系统的业务恢复问题。因此，在面对电力工控系统遭遇信息安全攻击的情况下，如何科学全面的实现系统业务自恢复，是当前迫切需要解决的问题。

发明内容

为了解决背景技术存在的缺乏全面对攻击下系统业务恢复问题进行考虑、未能有效地结合系统特点以及未能从区域的范围内考虑系统的业务恢复的问题，本发明提供了一种面向攻击的电力工控系统业务自恢复方法及系统，所述方法包括：

根据备份的设备作业状态以及文件变更内容增量，在站点范围内接收所述设备发送的比对信息，根据所述比对信息生成恢复策略，并将所述恢复策略发送至相应设备，进行站点功能自恢复；

对所述站点中各元素的安全状态进行编码生成站点状态码，并同步更新所述站点状态码；所述元素包括关键设备以及关键网络；

将电力潮流数据以及所述站点状态码与区域系统配置参数进行逐个匹配，确认匹配到所述区域系统的所有节点后，对所述区域系统失电进行分析并得到失电区域；

根据所述失电区域确定区域系统内电力流的协调调度策略；根据所述协调调度策略生成全局恢复控制命令，并将所述控制命令发送全局站点以及设备，进行区域系统功能自恢复。

进一步的，在接收所述设备发送的比对信息，根据所述比对信息生成恢复策略，并将所述恢复策略发送至相应设备，进行站点功能自恢复前，还包括：

对所述站点中所述设备实时收集并解析其作业状态，实现与所述设备的作业状态同步备份；

对所述站点中的所述文件变更内容增量进行不间断备份。

进一步的，在所述备份单元对站点中所述设备实时收集并解析其作业状态，实现与所述关键设备的作业状态同步备份前，还包括：

采用包括软件定义网络技术实现通信网络可编程；

通过专用链路使转发设备与SDN控制器进行交互。

进一步的，根据备份的设备作业状态以及文件变更内容增量，在站点范围内接收所述设备发送的信息，生成恢复策略，并将所述恢复策略发送至相应设备，进行站点功能自恢复包括：

接收所述关键设备发送的心跳信息，当检测到所述心跳信息异常时，将设备异常状态进行编码；根据所述设备异常状态生成设备恢复策略，并将所述设备恢复策略发送至相应设备，进行所述关键设备的功能自恢复；

接收转发设备发出的网络流量信息，根据所述网络流量信息检测网络状态，当所述网络状态发生异常时，将网络异常状态进行编码；根据所述网络异常状态生成网络恢复策略，并将所述网络恢复策略发送至相应转发设备，进行所述转发设备的网络功能自恢复；

接收操作人员设置需恢复的时间点信息，根据所述需恢复的时间点信息生成文件恢复策略，并将所述文件恢复策略发送至相应设备，进行文件的自恢复。

进一步的，所述设备恢复策略包括将所述站点内的异常设备热切换到备份设备；所述网络恢复策略包括根据攻击特征，剔除该攻击对应的SDN路由规则，阻断攻击传播。

进一步的，若所述电力潮流数据未匹配到所述区域系统的所有节点，则通过建立匹配区域和未匹配区域的节点电压方程进行状态推导以及生成通信链路重构策略，根据所述的通信链路重构策略恢复所述区域系统的监测数据，实现匹配到所述区域系统的所有节点。

进一步的，根据所述失电区域确定区域系统内电力流的协调调度策略包括：

将所述失电区域分为不可控区域和可控区域，对不可控区域进行攻击隔离后，同步更新当前的电力网拓扑；根据区域恢复的多目标多约束决策得到最佳的电力流转供方案并形成所述协调调度策略。

进一步的，所述区域恢复的多目标多约束决策包括最大化负荷恢复目标决策、最小化开关操作次数目标决策、潮流约束决策以及站点安全状态约束决策的一种或多种；

所述最大化负荷恢复目标决策包括优先恢复最大失电负荷以及关键负荷；

所述最小化开关操作次数目标决策包括减少恢复过程中所需的开关次数；

所述潮流约束决策包括线路的电压以及电流均在额定范围值之内；

所述站点安全状态约束决策包括在获取所述区域系统拓扑模型以及所述各站点状态编码的基础上，模拟决策指令的下发过程并分析每个决策结果对应的决策指令是否能够准确下达，若中途存在设备或链路被攻击导致不可用时，则说明该决策结果是无效的；反之则符合所述站点安全状态约束决策。

所述一种面向攻击的电力工控系统业务自恢复系统，包括：

站点功能自恢复单元，所述站点功能自恢复单元用于在攻击发生后，根据备份的设备作业状态以及文件变更内容增量，在站点范围内接收所述设备发送的比对信息，根据所述比对信息生成恢复策略，并将所述恢复策略发送至相应设备，实现站点功能自恢复；

所述站点功能自恢复单元用于对所述站点中各元素的安全状态进行编码，同步更新所述站点状态码，并发送所述站点状态码以及电力潮流数据至区域系统业务自恢复单元；所述元素包括关键设备以及关键网络；所述站点功能自恢复单元通过广域网与所述区域系统业务自恢复单元通信；

区域系统业务自恢复单元，所述区域系统业务自恢复单元用于接收所述站点功能自恢复单元发送的所述站点状态码以及所述电力潮流数据，并根据所述电力潮流数据与区域系统配置参数进行逐个匹配；

所述区域系统业务自恢复单元用于在已匹配到所述区域系统的所有节点后，对系统失电进行分析并得到失电区域；所述区域系统业务自恢复单元用于根据所述失电区域确定区域系统内电力流的协调调度策略，根据所述协调调度策略生成全局恢复控制命令，并将所述控制命令发送全局站点以及设备，从而实现所述区域系统功能自恢复。

进一步的，所述系统还包括：

备份单元，所述备份单元用于对所述站点中所述关键设备实时收集并解析其作业状态，实现与所述关键设备的作业状态同步备份；

所述备份单元用于对所述站点中的所述文件变更内容增量进行不间断备份；所述备份单元与所述站点功能自恢复单元通过网络接口通信。

进一步的，所述站点功能自恢复单元包括：

设备异常状态检测模块，所述设备异常检测模块一端分别与各设备相连接，另一端分别与站点状态编码模块以及业务接管模块相连接；所述设备异常检测模块用于接收各设备发送的心跳信息并检测相应设备是否出现异常；所述设备异常检测模块用于将所述设备异常状态上传至所述站点状态编码模块以及所述业务接管模块；

业务接管模块，所述业务接管模块一端与所述设备异常状态检测模块相连接，另一端与站点局部恢复策略实施模块相连接；所述业务接管模块用于接收所述设备异常检测模块发送的所述设备异常状态；所述业务接管模块用于生成设备恢复策略，并将所述设备恢复策略发送至所述站点局部恢复策略实施模块；所述业务接管模块用于所述站点内的异常设备热切换到备份设备并根据所述备用设备完成主设备的所有服务，保证所述服务无间断运行；

网络异常状态检测模块，所述网络异常状态检测模块一端分别与各转发设备相连接，另一端分别与所述状态编码模块以及转发规则重配置模块相连接；所述网络异常状态检测模块用于接收所述转发设备发送的网络流量信息，并通过所述网络流量信息分析是否存在网络流量的突变来确定是否发生了网络状态异常；所述网络异常状态检测模块用于将网络异常状态发送至所述站点状态编码模块以及所述转发规则重配置模块；

转发规则重配置模块，所述转发规则重配置模块一端与所述网络异常状态检测模块相连接，另一端与所述站点局部恢复策略实施模块相连接；所述转发规则重配置模块用于接收所述网络异常状态检测模块发送的网络异常状态；所述转发规则重配置模块用于生成异常网络的网络恢复策略，并将所述网络恢复策略发送至所述站点局部恢复策略实施模块；所述网络恢复策略包括根据攻击特征，剔除该攻击对应的SDN路由规则，阻断攻击传播；

文件恢复时间输入模块，所述文件恢复时间输入模块与操作日志解析模块相连接；所述文件恢复时间输入模块用于接收操作人员设置需要恢复的时间点，并将所述需要恢复的时间点发送至所述操作日志解析模块；

操作日志解析模块，所述操作日志解析模块一端与所述文件恢复时间输入模块相连接，另一端与所述站点局部恢复策略实施模块相连接；所述操作日志解析模块用于接收所述文件恢复时间输入模块发送的所述需要恢复的时间点，据所述需要恢复的时间点生成文件恢复策略，并将所述文件恢复策略发送至所述站点局部恢复策略实施模块；

站点局部恢复策略实施模块，所述站点局部恢复策略实施模块一端分别与所述业务接管模块、所述转发规则重配置模块以及所述操作日志解析模块相连接，另一端分别与相应设备相连接；所述站点局部恢复策略实施模块用于接收所述业务接管模块发送的所述设备恢复策略，所述转发规则重配置模块发送的网络恢复策略以及所述操作日志解析模块发送的文件恢复策略，并将所述设备恢复策略、所述网络恢复策略以及所述文件恢复策略发送至相应设备，从而实现站点功能自恢复；

站点状态编码模块，所述站点状态编码模块一端分别与所述设备异常状态检测模块以及所述网络异常状态检测模块相连接；所述站点状态编码模块用于对所述站点内的各元素进行编码来表示相应状态；所述站点状态编码模块用于接收所述设备异常状态检测模块发送的所述设备异常状态以及所述网络异常状态检测模块发送的网络异常状态，并根据所述设备异常状态以及所述网络异常状态同步更新相应所述站点状态码。

进一步的，所述区域系统自恢复单元包括：

数据匹配模块，所述数据匹配模块一端与所述站点功能自恢复单元通过广域网通信，另一端与系统失电分析模块相连接；所述数据匹配模块用于接收所述站点功能自恢复单元发送的所述站点状态码以及所述电力潮流数据，并将所述站点状态码以及所述电力潮流数据与所述区域系统配置参数进行逐个匹配；所述数据匹配模块用于将匹配到所述区域系统的所有节点的结果发送至所述系统失电分析模块；

系统失电分析模块，所述系统失电分析模块一端与所述数据匹配模块相连接，另一端与区域供电协调恢复模块相连接；所述系统失电分析模块用于接收述数据匹配模块发送的所述电力潮流数据匹配到所述区域系统所有节点的结果，判断所述区域系统中的失电区域，并将所述失电区域发送至所述区域供电协调恢复模块；

区域供电协调恢复模块，所述区域供电协调恢复模块一端与所述系统失电分析模块相连接，另一端与区域系统恢复策略实施模块相连接；所述区域供电协调恢复模块用于接收系统失电分析模块发送的所述失电区域；所述区域供电协调恢复模块用于根据所述失电区域确定区域系统内电力流的协调调度策略，并将所述协调调度策略发送至区域系统恢复策略实施模块；

区域系统恢复策略实施模块，所述区域系统恢复策略实施模块一端与所述区域供电协调恢复模块相连接，另一端与所述区域系统站点的相应目标设备通过广域网通信；所述区域系统恢复策略实施模块用于接收所述区域供电协调恢复模块发送的所述协调调度策略，并将所述协调调度策略发送至所述站点的目标设备，从而实现所述区域系统功能自恢复。

进一步的，所述区域系统自恢复单元还包括：

测量数据恢复决策模块，所述测量数据恢复决策模块一端与所述数据匹配模块相连接，另一端与区域系统恢复策略实施模块相连接；所述测量数据恢复决策模块用于在所述电力潮流数据未匹配到所述区域系统的所有节点时，通过建立匹配区域和未匹配区域的节点电压方程进行状态推导以及生成通信链路重构策略，并将所述的通信链路重构策略发送至区域系统恢复策略实施模块，从而恢复所述区域系统的监测数据，实现匹配到所述区域系统的所有节点。

进一步的，所述区域恢复的多目标多约束决策包括最大化负荷恢复目标决策、最小化开关操作次数目标决策、潮流约束决策以及站点安全状态约束决策的一种或多种；

所述最大化负荷恢复目标决策包括优先恢复最大失电负荷以及关键负荷；

所述最小化开关操作次数目标决策包括减少恢复过程中所需的开关次数；

所述潮流约束决策包括线路的电压以及电流均在额定范围值之内；

所述站点安全状态约束决策包括在获取所述区域系统拓扑模型以及所述各站点状态编码的基础上，模拟决策指令的下发过程并分析每个决策结果对应的决策指令是否能够准确下达，若中途存在设备或链路被攻击导致不可用时，则说明该决策结果是无效的；反之则符合所述站点安全状态约束决策。

本发明的有益效果为：本发明的技术方案，给出了一种面向攻击的电力工控系统业务自恢复方法及系统，采用站点功能自恢复与区域系统业务自恢复相结合的方式，能够在电力工控系统被攻击后，实现电力业务的实时、高效、全面自恢复，最大限度地减少攻击造成系统损失。

附图说明

通过参考下面的附图，可以更为完整地理解本发明的示例性实施方式：

图1为本发明具体实施方式的一种面向攻击的电力工控系统业务自恢复方法的流程图；

图2为本发明具体实施方式的一种面向攻击的电力工控系统业务自恢复系统的结构图。

具体实施方式

现在参考附图介绍本发明的示例性实施方式，然而，本发明可以用许多不同的形式来实施，并且不局限于此处描述的实施例，提供这些实施例是为了详尽地且完全地公开本发明，并且向所属技术领域的技术人员充分传达本发明的范围。对于表示在附图中的示例性实施方式中的术语并不是对本发明的限定。在附图中，相同的单元/元件使用相同的附图标记。

除非另有说明，此处使用的术语(包括科技术语)对所属技术领域的技术人员具有通常的理解含义。另外，可以理解的是，以通常使用的词典限定的术语，应当被理解为与其相关领域的语境具有一致的含义，而不应该被理解为理想化的或过于正式的意义。

图1为本发明具体实施方式的一种面向攻击的电力工控系统业务自恢复方法的流程图。如图1所述：

首先执行步骤S1，系统初始配置，采用软件定义网络技术实现通信网络可编程，转发设备与SDN控制器通过专用链路进行交互；对站点中关键设备进行设备热备份，实时收集并解析主设备的作业状态，实现与主设备的作业状态同步备份，主设备和备用设备都映射至唯一的虚拟IP；对所述站点中的文件参数进行不间断备份。具体而言，调用文件变更探测接口inotify捕捉文件变更内容，将变更内容通过rsync算法增量备份至备份服务器中，同时按照“事件发生时间、操作主机、文件路径、文件操作类型、快照编号”的格式将文件变更事件记录在操作日志文件中。

事件发生时间是指在该事件发生的时间，通过在记录事件发生时打上时间戳实现，由于电力系统本身具备时间同步装置，能够保证各事件发生时间的准确性；

操作主机和文件路径是用来对文件进行唯一化描述，系统中的任意文件都有且仅有一种“操作主机、文件路径”描述方式；

文件操作类型是用来标识操作类型，操作类型可以归纳为写操作(w)，新建操作(n)，删除操作(d)，读操作(w)，读写操作(rw)；

快照编号是指备份数据块的编号，这里是采取增量备份的形式，所以，只会对变更文件的内容进行备份。

执行步骤S2，站点功能自恢复，根据备份的设备作业状态以及文件变更内容增量，在站点范围内接收所述设备发送的比对信息，根据所述比对信息生成恢复策略，并将所述恢复策略发送至相应设备，进行站点功能自恢复；具体而言，所述步骤S2包括同时进行的步骤S21、S22、S23。

执行步骤S21，设备功能自恢复，持续检测各设备发出的心跳报文信息；当检测到所述设备发来的心跳信息时，则回复同样的心跳报文信息给所述设备；若服务器在M秒(M>N)内都没有收到包括心跳报文信息在内的任何消息，认为相应设备出现异常，则对所述异常状态进行编码生成设备站点状态码，并同步更新所述设备站点状态码，所述设备状态码编码格式为：业务区域ID号+站点ID号+设备ID号+设备异常状态类型号+时间戳；

根据所述设备站点状态码生成异常设备的恢复策略，并将所述恢复策略发送至各相应设备，进行所述设备的功能自恢复；

执行步骤S22，转发设备的网络功能自恢复，通过网络端口镜像备份，实时获取各个转发设备端口网络流量信息，通过分析是否存在网络流量的突变(如Dos、DDos、蠕虫病毒导致的流量异常)来确定是否发生了网络状态异常，分析方式可采用自行设计的算法或外挂型商用网络安全分析工具；若发生，认为相应转发设备出现异常，则对所述异常状态进行编码生成网络站点状态码，并同步更新所述网络站点状态码，所述网络站点状态码编码格式为：业务区域ID号+站点ID号+设备ID号+网络异常状态类型号+时间戳；

根据所述网络站点状态码生成网络恢复策略，并将所述网络恢复策略发送至相应转发设备，进行所述转发设备的网络功能自恢复；所述网络恢复策略包括根据攻击特征，剔除该攻击对应的SDN路由规则，重新配置通信转发路径，从信息层面阻断攻击传播。

执行步骤S23，文件的自恢复，当重要数据被恶意篡改后，通过分析系统汇总的异常信息编码及系统日志，由操作人员设置需恢复的时间节点，根据所述需恢复的时间点信息生成文件恢复策略，并将所述文件恢复策略发送至相应设备，进行文件的自恢复。

执行步骤S3，将电力潮流数据以及所述站点状态码与区域系统配置参数进行逐个匹配，判断是否匹配到所述区域系统的所有节点；若未匹配到所述区域系统的所有节点则执行步骤S4，否者执行S5；

判断是否匹配到所述区域系统的所有节点分为两种情况：

情况1：

PMU可以对被监控母线的电压以及该母线相关的支路电流进行测量。因此，在已知某条传输线一端电压及电流的基础上，结合传输线的阻抗，通过欧姆定律可以得到对端母线的电压为：

其中，I12为传输线上的电流，U1为已知端电电压，U2为未知端电压，Z12为该段传输线电阻。如果母线X上配置有PMU能够直接对状态进行测量，则其相邻母线也是可匹配的，不可匹配区域可更新为其中表示不可匹配的区域，H为被攻击后不可通过PMU直接测量的区域，N(w)指母线w的相邻母线集合，指可匹配区域w内各母线电压相量。

情况2：

电路满足基尔霍夫电流定律，特别地，当某个母线为零注入母线时(即没有出力电源也没有相连负载)，该母线电流与其相连的所有支路电流代数和为零。

A_Z|GU_G＝0

A_Z|G是指零注入区域Z中母线与G中母线之间的导纳矩阵，为方便分析，将已知的状态量与未知的状态量分开。其中O表示当前(例如在攻击区域隔离后)匹配到所述区域系统的所有节点的区域。AZ|O、U_O都是目前已知的量，只有项是未知的。通过分析可以知道，只需要留下与被攻击区域H相关的KCL方程即可，为此将方程变型为：

的列向量组线性无关是系统可匹配的充分条件。如果不是列向量线性无关，则未匹配到所述区域系统的所有节点；否则，匹配到所述区域系统的所有节点。

执行步骤S4，建立匹配区域和未匹配区域的节点电压方程，采用基于冗余分析方法推理未匹配区域的当前状态，若能恢复所有的测量数据，则恢复过程结束；否则，采用基于最优路径搜索的方法选择因攻击无法上传数据的测量设备，生成通信链路的重构策略，根据所述通信链路的重构策略恢复所述区域系统的监测数据后，执行S3；

所述基于冗余分析的方法是：若母线上配置有PMU，则其相邻母线是匹配的，不匹配区域监测数据由相邻母线监测量推断可得；在已知传输线一端电压及电流的基础上，结合传输线阻抗，通过欧姆定律可得对端母线电压；当某个母线为零注入母线时，该母线电流与其相连的所有支路电流代数和为零，由基尔霍夫电流定律可推理出不可匹配区域的电流信息；

所述基于最优路径搜索的方法是，构建电力工控系统监测节点拓扑图，

以恢复范围广、PMU重连数量少、测量数据冗余度大为指标。首先，应尽量保证数据恢复的效果最好，也就是减少不可匹配的节点数量；其次，对具备相同恢复能力的恢复方案，比较PMU重连接数量，重连接数量越少，其恢复时间和资源需求也越少；最后，如果上述目标都相同的话，再比较不同方案提供的测量冗余能力，具备足够冗余度的PMU配置方案，能够有效提升测量数据的完整性和自恢复能力。测量数据冗余度可表示为：

其中，W代表当前测量数据恢复方案中重连接的PMU集合，d_i表示节点i的相关联支路数，n是该区域系统中含有的节点数量。从全局角度搜索最佳的攻击区域PMUs重连链路，执行PMUs重连接恢复被攻击区域。

执行步骤S5，检查电力网的电流电压数值是否正常，判断系统中的失电区域。

执行步骤S6，将所述失电区域分为不可控区域和可控区域，对不可控区域进行攻击隔离后，同步更新当前的电力网拓扑；根据区域恢复的多目标多约束决策得到最佳的电力流转供方案并形成所述协调调度策略；

所述的决策目标包含最大化负荷恢复、最小化开关操作次数；其中最大化负荷恢复是指最大恢复失电负荷，并优先恢复关键负荷；最小化开关操作次数是指减少恢复过程中所需的开关次数。考虑到系统恢复能力限制，当无法恢复全部失电负荷时，需要优先恢复重要程度高的负荷；同时在满足关键负荷优先恢复的基础上，需要尽量多地恢复失电负荷，最大限度地减少攻击带来的系统损失；

其中，B表示攻击隔离后待恢复的负荷；W为B中各个节点的重要程度，根据国标GB50052-95《供配电系统设计规范》，可以将电力系统负荷依据重要程度分为三级；S_i表示集合B中各个负荷的失电情况，若正常，则取值为1，反之则取值为0；P_i、Q_i为节点i的额定有功功率和无功功率，因此f1与f2就是恢复的有功功率加权和、恢复的无功功率加权和越高越好；

其中，SW表示失控区域隔离后待决策的开关集合，x_io、x_i分别对应于开关i在配电网恢复前、后的状态，通过绝对值的形式表示总开关操作次数。电力网恢复主要是通过操作开关实现的，减少开关次数不仅能够直接影响恢复进程的快慢，而且还有利于系统稳定，因此在恢复过程中应尽量减少开关操作的次数；

所述的决策约束包含潮流约束、站点安全状态约束；其中潮流约束是指线路的电压、电流均在额定范围值之内；站点安全状态约束是在获取系统拓扑模型和各站点状态编码的基础上，模拟决策指令的下发过程并分析每个决策结果对应的决策指令是否能够准确下达，若中途存在设备或链路被攻击导致不可用时，则说明该决策结果是无效的，反之则符合决策约束，为有效解。潮流约束具体阐述如下：

约束条件1：母线电压应在限定范围内

V_min＜V_i＜V_max

其中V_i为母线i的当前电压，V_min和V_max分别为母线可接受的最低电压和最高电压；

约束条件2：馈线电流应在限定范围内：

I_min＜I_j＜I_max

其中I_j为馈线j段的电流，I_min和I_max分别为最低电流和最高电流；

辐射状结构约束是指生成的恢复策略应能够保持配电网络的辐射状特点，保持这种配电网形状有助于应对攻击、故障等异常事件。

执行步骤S7，根据所述协调调度策略生成全局恢复控制命令，并将所述控制命令发送全局站点以及设备，进行区域系统功能自恢复。

图2为本发明具体实施方式的一种面向攻击的电力工控系统业务自恢复系统的结构图，所述系统包括：

站点功能自恢复单元1，所述站点功能自恢复单元1用于在攻击发生后，根据备份的设备作业状态以及文件变更内容增量，在站点范围内接收所述设备发送的比对信息，根据所述比对信息生成恢复策略，并将所述恢复策略发送至相应设备，实现站点功能自恢复；

所述站点功能自恢复单元用于对所述站点中各元素的安全状态进行编码，同步更新所述站点状态码，并发送所述站点状态码以及电力潮流数据至区域系统业务自恢复单元2；所述元素包括关键设备以及关键网络；所述站点功能自恢复单元1通过广域网与所述区域系统业务自恢复单元2通信；

区域系统业务自恢复单元2，所述区域系统业务自恢复单元2用于接收所述站点功能自恢复单元1发送的所述站点状态码以及所述电力潮流数据，并根据所述电力潮流数据与区域系统配置参数进行逐个匹配；

所述区域系统业务自恢复单元2用于在已匹配到所述区域系统的所有节点后，对系统失电进行分析并得到失电区域；所述区域系统业务自恢复单元用于根据所述失电区域确定区域系统内电力流的协调调度策略，根据所述协调调度策略生成全局恢复控制命令，并将所述控制命令发送全局站点以及设备，从而实现所述区域系统功能自恢复。

进一步的，所述系统还包括：

备份单元3，所述备份单元3用于对所述站点中所述关键设备实时收集并解析其作业状态，实现与所述关键设备的作业状态同步备份；

所述备份单元3用于调用文件变更探测接口inotify捕捉文件变更内容，将变更内容通过rsync算法增量备份至备份服务器中，同时按照“事件发生时间、操作主机、文件路径、文件操作类型、快照编号”的格式将文件变更事件记录在操作日志文件中；

事件发生时间是指在该事件发生的时间，通过在记录事件发生时打上时间戳实现，由于电力系统本身具备时间同步系统，能够保证各事件发生时间的准确性；

操作主机和文件路径是用来对文件进行唯一化描述，系统中的任意文件都有且仅有一种“操作主机、文件路径”描述方式；

文件操作类型是用来标识操作类型，操作类型可以归纳为写操作(w)，新建操作(n)，删除操作(d)，读操作(w)，读写操作(rw)；

快照编号是指备份数据块的编号，这里是采取增量备份的形式，所以，只会对变更文件的内容进行备份；

所述备份单元3与所述站点功能自恢复单元1通过网络接口通信。

进一步的，所述站点功能自恢复单元包括：

设备异常状态检测模块11，所述设备异常检测模块11一端分别与各设备相连接，另一端分别与站点状态编码模块18以及业务接管模块12相连接；所述设备异常检测模块11用于获取各设备发出的心跳报文信息，当检测到设备发来的心跳信息时，则回复同样的心跳报文信息给设备端；若服务器在M秒(M>N)内都没有收到包括心跳报文信息在内的任何消息，则认为相应设备出现异常，将设备异常状态上传至站点状态编码模块18(异常状态码编码格式为：业务区域ID号+站点ID号+设备ID号+设备异常状态类型号+时间戳)，同时触发业务接管模块12；否则继续执行所述设备异常状态检测流程；

业务接管模块12，所述业务接管模块12一端与所述设备异常状态检测模块11相连接，另一端与局部恢复策略实施模块17相连接；所述业务接管模块12用于接收所述设备异常检测模块11发送的所述设备异常状态；所述业务接管模块12用于生成设备恢复策略，并将所述设备恢复策略发送至所述站点局部恢复策略实施模块17；所述业务接管模块12用于根据备用设备完成主设备的所有服务，保证所述服务无间断运行；

网络异常状态检测模块13，所述网络异常状态检测模块13一端分别与各转发设备相连接，另一端分别与状态编码模块18以及转发规则重配置模块14相连接；所述网络异常状态检测模块13用于实时获取各个转发设备端口网络流量信息，通过分析是否存在网络流量的突变(如Dos、DDos、蠕虫病毒导致的流量异常)来确定是否发生了网络状态异常，分析方式可采用自行设计的算法或外挂型商用网络安全分析工具；若发生，需将网络异常状态上传至站点状态编码模块18(异常状态码编码格式为：业务区域ID号+站点ID号+设备ID号+网络异常状态类型号+时间戳)，并触发转发规则重配置模块14；否则继续执行网络异常状态检测流程；

转发规则重配置模块14，所述转发规则重配置模块14一端与所述网络异常状态检测模块13相连接，另一端与所述站点局部恢复策略实施模块17相连接；所述转发规则重配置模块14用于接收所述网络异常状态检测模块13发送的网络异常状态；所述转发规则重配置模块14用于根据攻击特征，剔除该攻击对应的SDN路由规则，重新配置通信转发路径，从信息层面阻断攻击传播，生成异常网络的网络恢复策略，并将所述网络恢复策略发送至所述站点局部恢复策略实施模块17；

文件恢复时间输入模块15，所述文件恢复时间输入模块15与操作日志解析模块16相连接；所述文件恢复时间输入模块15用于为操作人员提供信息配置的人机接口，当重要数据被恶意篡改后，通过分析系统汇总的异常信息编码及系统日志，由操作人员设置需恢复的时间节点，并将操作指令下发转至操作日志解析模块16；

操作日志解析模块16，所述操作日志解析模块16一端与所述文件恢复时间输入模块15相连接，另一端与所述站点局部恢复策略实施模块17相连接；所述操作日志解析模块16用于接收所述文件恢复时间输入模块15发送的所述需要恢复的时间点，据所述需要恢复的时间点生成文件恢复策略，并将所述文件恢复策略发送至所述站点局部恢复策略实施模块17；

站点局部恢复策略实施模块17，所述站点局部恢复策略实施模块17一端分别与所述业务接管模块12、所述转发规则重配置模块14以及所述操作日志解析模块16相连接，另一端分别与相应设备相连接；所述站点局部恢复策略实施模块17用于接收所述业务接管模块12发送的所述设备恢复策略，所述转发规则重配置模块14发送的网络恢复策略以及所述操作日志解析模块16发送的文件恢复策略，并将所述设备恢复策略、所述网络恢复策略以及所述文件恢复策略发送至相应设备，从而实现站点功能自恢复；

站点状态编码模块18，所述站点状态编码模块18一端分别与所述设备异常状态检测模块11以及所述网络异常状态检测模块13相连接；所述站点状态编码模块18用于对所述站点内的各元素进行编码来表示相应状态；所述站点状态编码模块18用于接收所述设备异常状态检测模块11发送的所述设备异常状态以及所述网络异常状态检测模块13发送的网络异常状态，当设备异常状态检测结果和网络异常状态检测结果与站点状态码相应标识位不相符时，根据异常状态检测结果同步更新站点状态码，确保站点状态码能够反应站点的完整情况。

进一步的，所述区域系统自恢复单元2包括：

数据匹配模块21，所述数据匹配模块21一端与所述站点功能自恢复单元1通过广域网通信，另一端与系统失电分析模块22相连接；所述数据匹配模块21用于接收所述站点功能自恢复单元1发送的所述站点状态码以及所述电力潮流数据，并将所述站点状态码以及所述电力潮流数据与所述区域系统配置参数进行逐个匹配；所述数据匹配模块21用于将匹配到所述区域系统的所有节点的结果发送至所述系统失电分析模块22；

系统失电分析模块22，所述系统失电分析模块22一端与所述数据匹配模块21相连接，另一端与区域供电协调恢复模块23相连接；所述系统失电分析模块22用于接收述数据匹配模块21发送的所述电力潮流数据匹配到所述区域系统所有节点的结果，判断所述区域系统中的失电区域，并将所述失电区域发送至所述区域供电协调恢复模块23；

区域供电协调恢复模块23，所述区域供电协调恢复模块23一端与所述系统失电分析模块22相连接，另一端与区域系统恢复策略实施模块24相连接；所述区域供电协调恢复模块23用于接收系统失电分析模块22发送的所述失电区域；所述区域供电协调恢复模块23用于根据所述失电区域确定区域系统内电力流的协调调度策略，并将所述协调调度策略发送至区域系统恢复策略实施模块24；

区域系统恢复策略实施模块24，所述区域系统恢复策略实施模块24一端与所述区域供电协调恢复模块23相连接，另一端与所述区域系统站点的相应目标设备通过广域网通信；所述区域系统恢复策略实施模块24用于接收所述区域供电协调恢复模块23发送的所述协调调度策略，并将所述协调调度策略发送至所述站点的目标设备，从而实现所述区域系统功能自恢复。

进一步的，所述区域系统自恢复单元2还包括：

测量数据恢复决策模块25，所述测量数据恢复决策模块25一端与所述数据匹配模块21相连接，另一端与区域系统恢复策略实施模块24相连接；所述测量数据恢复决策模块25用于在所述电力潮流数据未匹配到所述区域系统的所有节点时，通过建立匹配区域与未匹配区域之间的节点电压方程，采用基于冗余分析方法推理未匹配区域的当前状态，若能恢复所有的测量数据，则恢复过程结束；否则，采用基于最优路径搜索的方法选择因攻击无法上传数据的测量设备，生成通信链路的重构策略，并将恢复策略发送至区域系统恢复策略实施模块24，从而恢复所述区域系统的监测数据，实现匹配到所述区域系统的所有节点。

进一步的，所述区域恢复的多目标多约束决策包括最大化负荷恢复目标决策、最小化开关操作次数目标决策、潮流约束决策以及站点安全状态约束决策的一种或多种；

所述最大化负荷恢复目标决策包括优先恢复最大失电负荷以及关键负荷；

所述最小化开关操作次数目标决策包括减少恢复过程中所需的开关次数；

所述潮流约束决策包括线路的电压以及电流均在额定范围值之内；

所述站点安全状态约束决策包括在获取所述区域系统拓扑模型以及所述各站点状态编码的基础上，模拟决策指令的下发过程并分析每个决策结果对应的决策指令是否能够准确下达，若中途存在设备或链路被攻击导致不可用时，则说明该决策结果是无效的；反之则符合所述站点安全状态约束决策。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本公开的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。本说明书中涉及到的步骤编号仅用于区别各步骤，而并不用于限制各步骤之间的时间或逻辑的关系，除非文中有明确的限定，否则各个步骤之间的关系包括各种可能的情况。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本公开的范围之内并且形成不同的实施例。例如，在权利要求书中所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本公开的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本公开还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者系统程序(例如，计算机程序和计算机程序产品)。这样的实现本公开的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本公开进行说明而不是对本公开进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本公开可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干系统的单元权利要求中，这些系统中的若干个可以是通过同一个硬件项来具体体现。

以上所述仅是本公开的具体实施方式，应当指出的是，对于本领域的普通技术人员来说，在不脱离本公开精神的前提下，可以作出若干改进、修改、和变形，这些改进、修改、和变形都应视为落在本申请的保护范围内。

Claims (15)

1.一种面向攻击的电力工控系统业务自恢复方法，其特征在于，所述方法包括：

根据备份的设备作业状态以及文件变更内容增量，在站点范围内接收所述设备发送的比对信息，根据所述比对信息生成恢复策略，并将所述恢复策略发送至相应设备，进行站点功能自恢复；

对所述站点中各元素的安全状态进行编码生成站点状态码，并同步更新所述站点状态码；所述元素包括关键设备以及关键网络；

将电力潮流数据以及所述站点状态码与区域系统配置参数进行逐个匹配，确认匹配到所述区域系统的所有节点后，对所述区域系统失电进行分析并得到失电区域；

根据所述失电区域确定区域系统内电力流的协调调度策略；根据所述协调调度策略生成全局恢复控制命令，并将所述控制命令发送全局站点以及设备，进行区域系统功能自恢复。

2.根据权利要1所述的方法，其特征在于，在接收所述设备发送的比对信息，根据所述比对信息生成恢复策略，并将所述恢复策略发送至相应设备，进行站点功能自恢复前，还包括：

对所述站点中所述设备实时收集并解析其作业状态，实现与所述设备的作业状态同步备份；

对所述站点中的所述文件变更内容增量进行不间断备份。

3.根据权利要求2所述的方法，其特征在于，在所述备份单元对站点中所述设备实时收集并解析其作业状态，实现与所述关键设备的作业状态同步备份前，还包括：

采用包括软件定义网络技术实现通信网络可编程；

通过专用链路使转发设备与SDN控制器进行交互。

4.根据权利要求1所述的方法，其特征在于，根据备份的设备作业状态以及文件变更内容增量，在站点范围内接收所述设备发送的信息，生成恢复策略，并将所述恢复策略发送至相应设备，进行站点功能自恢复包括：

接收所述关键设备发送的心跳信息，当检测到所述心跳信息异常时，将设备异常状态进行编码；根据所述设备异常状态生成设备恢复策略，并将所述设备恢复策略发送至相应设备，进行所述关键设备的功能自恢复；

接收转发设备发出的网络流量信息，根据所述网络流量信息检测网络状态，当所述网络状态发生异常时，将网络异常状态进行编码；根据所述网络异常状态生成网络恢复策略，并将所述网络恢复策略发送至相应转发设备，进行所述转发设备的网络功能自恢复；

接收操作人员设置需恢复的时间点信息，根据所述需恢复的时间点信息生成文件恢复策略，并将所述文件恢复策略发送至相应设备，进行文件的自恢复。

5.根据权利要求4所述的方法，其特征在于：所述设备恢复策略包括将所述站点内的异常设备热切换到备份设备；所述网络恢复策略包括根据攻击特征，剔除该攻击对应的SDN路由规则，阻断攻击传播。

6.根据权利要求1所述的方法，其特征在于：若所述电力潮流数据未匹配到所述区域系统的所有节点，则通过建立匹配区域和未匹配区域的节点电压方程进行状态推导以及生成通信链路重构策略，根据所述的通信链路重构策略恢复所述区域系统的监测数据。

7.根据权利要求1所述的方法，其特征在于，根据所述失电区域确定区域系统内电力流的协调调度策略包括：

将所述失电区域分为不可控区域和可控区域，对不可控区域进行攻击隔离后，同步更新当前的电力网拓扑；根据区域恢复的多目标多约束决策得到最佳的电力流转供方案并形成所述协调调度策略。

8.根据权利要求7所述的方法，其特征在于：所述区域恢复的多目标多约束决策包括最大化负荷恢复目标决策、最小化开关操作次数目标决策、潮流约束决策以及站点安全状态约束决策的一种或多种；

所述最大化负荷恢复目标决策包括优先恢复最大失电负荷以及关键负荷；

所述最小化开关操作次数目标决策包括减少恢复过程中所需的开关次数；

所述潮流约束决策包括线路的电压以及电流均在额定范围值之内；

所述站点安全状态约束决策包括在获取所述区域系统拓扑模型以及所述各站点状态编码的基础上，模拟决策指令的下发过程并分析每个决策结果对应的决策指令是否能够准确下达，若中途存在设备或链路被攻击导致不可用时，则说明该决策结果是无效的；反之则符合所述站点安全状态约束决策。

9.一种面向攻击的电力工控系统业务自恢复系统，其特征在于，所述系统包括：

站点功能自恢复单元，所述站点功能自恢复单元用于在攻击发生后，根据备份的设备作业状态以及文件变更内容增量，在站点范围内接收所述设备发送的比对信息，根据所述比对信息生成恢复策略，并将所述恢复策略发送至相应设备，实现站点功能自恢复；

所述站点功能自恢复单元用于对所述站点中各元素的安全状态进行编码，同步更新所述站点状态码，并发送所述站点状态码以及电力潮流数据至区域系统业务自恢复单元；所述元素包括关键设备以及关键网络；所述站点功能自恢复单元通过广域网与所述区域系统业务自恢复单元通信；

区域系统业务自恢复单元，所述区域系统业务自恢复单元用于接收所述站点功能自恢复单元发送的所述站点状态码以及所述电力潮流数据，并根据所述电力潮流数据与区域系统配置参数进行逐个匹配；

所述区域系统业务自恢复单元用于在已匹配到所述区域系统的所有节点后，对系统失电进行分析并得到失电区域；所述区域系统业务自恢复单元用于根据所述失电区域确定区域系统内电力流的协调调度策略，根据所述协调调度策略生成全局恢复控制命令，并将所述控制命令发送全局站点以及设备，从而实现所述区域系统功能自恢复。

10.根据权利要求9所述的系统，其特征在于，所述系统还包括：

备份单元，所述备份单元用于对所述站点中所述关键设备实时收集并解析其作业状态，实现与所述关键设备的作业状态同步备份；

所述备份单元用于对所述站点中的所述文件变更内容增量进行不间断备份；所述备份单元与所述站点功能自恢复单元通过网络接口通信。

11.根据权利要求9所述的系统，其特征在于，所述站点功能自恢复单元包括：

设备异常状态检测模块，所述设备异常检测模块一端分别与各设备相连接，另一端分别与站点状态编码模块以及业务接管模块相连接；所述设备异常检测模块用于接收各设备发送的心跳信息并检测相应设备是否出现异常；所述设备异常检测模块用于将所述设备异常状态上传至所述站点状态编码模块以及所述业务接管模块；

业务接管模块，所述业务接管模块一端与所述设备异常状态检测模块相连接，另一端与站点局部恢复策略实施模块相连接；所述业务接管模块用于接收所述设备异常检测模块发送的所述设备异常状态；所述业务接管模块用于生成设备恢复策略，并将所述设备恢复策略发送至所述站点局部恢复策略实施模块；所述业务接管模块用于所述站点内的异常设备热切换到备份设备并根据所述备用设备完成主设备的所有服务，保证所述服务无间断运行；

网络异常状态检测模块，所述网络异常状态检测模块一端分别与各转发设备相连接，另一端分别与所述状态编码模块以及转发规则重配置模块相连接；所述网络异常状态检测模块用于接收所述转发设备发送的网络流量信息，并通过所述网络流量信息分析是否存在网络流量的突变来确定是否发生了网络状态异常；所述网络异常状态检测模块用于将网络异常状态发送至所述站点状态编码模块以及所述转发规则重配置模块；

转发规则重配置模块，所述转发规则重配置模块一端与所述网络异常状态检测模块相连接，另一端与所述站点局部恢复策略实施模块相连接；所述转发规则重配置模块用于接收所述网络异常状态检测模块发送的网络异常状态；所述转发规则重配置模块用于生成异常网络的网络恢复策略，并将所述网络恢复策略发送至所述站点局部恢复策略实施模块；所述网络恢复策略包括根据攻击特征，剔除该攻击对应的SDN路由规则，阻断攻击传播；

文件恢复时间输入模块，所述文件恢复时间输入模块与操作日志解析模块相连接；所述文件恢复时间输入模块用于接收操作人员设置需要恢复的时间点，并将所述需要恢复的时间点发送至所述操作日志解析模块；

操作日志解析模块，所述操作日志解析模块一端与所述文件恢复时间输入模块相连接，另一端与所述站点局部恢复策略实施模块相连接；所述操作日志解析模块用于接收所述文件恢复时间输入模块发送的所述需要恢复的时间点，据所述需要恢复的时间点生成文件恢复策略，并将所述文件恢复策略发送至所述站点局部恢复策略实施模块；

站点局部恢复策略实施模块，所述站点局部恢复策略实施模块一端分别与所述业务接管模块、所述转发规则重配置模块以及所述操作日志解析模块相连接，另一端分别与相应设备相连接；所述站点局部恢复策略实施模块用于接收所述业务接管模块发送的所述设备恢复策略，所述转发规则重配置模块发送的网络恢复策略以及所述操作日志解析模块发送的文件恢复策略，并将所述设备恢复策略、所述网络恢复策略以及所述文件恢复策略发送至相应设备，完成站点功能自恢复；

站点状态编码模块，所述站点状态编码模块一端分别与所述设备异常状态检测模块以及所述网络异常状态检测模块相连接；所述站点状态编码模块用于对所述站点内的各元素进行编码来表示相应状态；所述站点状态编码模块用于接收所述设备异常状态检测模块发送的所述设备异常状态以及所述网络异常状态检测模块发送的网络异常状态，并根据所述设备异常状态以及所述网络异常状态同步更新相应所述站点状态码。

12.根据权利要求9所述的系统，其特征在于，所述区域系统自恢复单元包括：

数据匹配模块，所述数据匹配模块一端与所述站点功能自恢复单元通过广域网通信，另一端与系统失电分析模块相连接；所述数据匹配模块用于接收所述站点功能自恢复单元发送的所述站点状态码以及所述电力潮流数据，并将所述站点状态码以及所述电力潮流数据与所述区域系统配置参数进行逐个匹配；所述数据匹配模块用于将匹配到所述区域系统的所有节点的结果发送至所述系统失电分析模块；

系统失电分析模块，所述系统失电分析模块一端与所述数据匹配模块相连接，另一端与区域供电协调恢复模块相连接；所述系统失电分析模块用于接收述数据匹配模块发送的所述电力潮流数据匹配到所述区域系统所有节点的结果，判断所述区域系统中的失电区域，并将所述失电区域发送至所述区域供电协调恢复模块；

区域供电协调恢复模块，所述区域供电协调恢复模块一端与所述系统失电分析模块相连接，另一端与区域系统恢复策略实施模块相连接；所述区域供电协调恢复模块用于接收系统失电分析模块发送的所述失电区域；所述区域供电协调恢复模块用于根据所述失电区域确定区域系统内电力流的协调调度策略，并将所述协调调度策略发送至区域系统恢复策略实施模块；

区域系统恢复策略实施模块，所述区域系统恢复策略实施模块一端与所述区域供电协调恢复模块相连接，另一端与所述区域系统站点的相应目标设备通过广域网通信；所述区域系统恢复策略实施模块用于接收所述区域供电协调恢复模块发送的所述协调调度策略，并将所述协调调度策略发送至所述站点的目标设备，完成所述区域系统功能自恢复。

13.根据权利要求12所述的系统，其特征在于，所述区域系统自恢复单元还包括：

测量数据恢复决策模块，所述测量数据恢复决策模块一端与所述数据匹配模块相连接，另一端与区域系统恢复策略实施模块相连接；所述测量数据恢复决策模块用于在所述电力潮流数据未匹配到所述区域系统的所有节点时，通过建立匹配区域和未匹配区域的节点电压方程进行状态推导以及生成通信链路重构策略，并将所述的通信链路重构策略发送至区域系统恢复策略实施模块，从而恢复所述区域系统的监测数据，实现匹配到所述区域系统的所有节点。

14.根据权利要求12所述的系统，其特征在于，根据所述失电区域确定区域系统内电力流的协调调度策略包括：

将所述失电区域分为不可控区域和可控区域，对不可控区域进行攻击隔离后，同步更新当前的电力网拓扑；根据区域恢复的多目标多约束决策得到最佳的电力流转供方案并形成所述协调调度策略。

15.根据权利要求13所述的系统，其特征在于：所述区域恢复的多目标多约束决策包括最大化负荷恢复目标决策、最小化开关操作次数目标决策、潮流约束决策以及站点安全状态约束决策的一种或多种；

所述最大化负荷恢复目标决策包括优先恢复最大失电负荷以及关键负荷；

所述最小化开关操作次数目标决策包括减少恢复过程中所需的开关次数；

所述潮流约束决策包括线路的电压以及电流均在额定范围值之内；

所述站点安全状态约束决策包括在获取所述区域系统拓扑模型以及所述各站点状态编码的基础上，模拟决策指令的下发过程并分析每个决策结果对应的决策指令是否能够准确下达，若中途存在设备或链路被攻击导致不可用时，则说明该决策结果是无效的；反之则符合所述站点安全状态约束决策。