CN113507460A - 异常报文检测方法、装置、计算机设备和存储介质 - Google Patents

异常报文检测方法、装置、计算机设备和存储介质 Download PDF

Info

Publication number
CN113507460A
CN113507460A CN202110742187.2A CN202110742187A CN113507460A CN 113507460 A CN113507460 A CN 113507460A CN 202110742187 A CN202110742187 A CN 202110742187A CN 113507460 A CN113507460 A CN 113507460A
Authority
CN
China
Prior art keywords
smv
message
neural network
sample
network model
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202110742187.2A
Other languages
English (en)
Inventor
孟令雯
张锐锋
林呈辉
蒋理
辛明勇
席禹
王宇
汪明媚
李鑫卓
张俊杰
席光辉
郭思琪
古庭赟
顾威
李博文
祝健杨
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Electric Power Research Institute of Guizhou Power Grid Co Ltd
Original Assignee
Southern Power Grid Digital Grid Research Institute Co Ltd
Electric Power Research Institute of Guizhou Power Grid Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Southern Power Grid Digital Grid Research Institute Co Ltd, Electric Power Research Institute of Guizhou Power Grid Co Ltd filed Critical Southern Power Grid Digital Grid Research Institute Co Ltd
Priority to CN202110742187.2A priority Critical patent/CN113507460A/zh
Publication of CN113507460A publication Critical patent/CN113507460A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/044—Recurrent networks, e.g. Hopfield networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0823—Errors, e.g. transmission errors
    • H04L43/0829—Packet loss
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Artificial Intelligence (AREA)
  • Computer Hardware Design (AREA)
  • Evolutionary Computation (AREA)
  • Computational Linguistics (AREA)
  • Biophysics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Biomedical Technology (AREA)
  • Data Mining & Analysis (AREA)
  • Molecular Biology (AREA)
  • Health & Medical Sciences (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Probability & Statistics with Applications (AREA)
  • Pure & Applied Mathematics (AREA)
  • Environmental & Geological Engineering (AREA)

Abstract

本申请涉及一种异常报文检测方法、装置、计算机设备和存储介质。所述方法包括：获取至少一条变电站采样值SMV报文；对各所述SMV报文进行预处理，得到各所述SMV报文对应的SMV报文图片；将各所述SMV报文图片输入至预设的神经网络模型进行故障检测，得到每个所述SMV报文的故障检测结果。采用本方法能够对变电站采样值SMV报文进行故障检测，判断SMV报文是否存在丢包、虚假注入等异常情况，避免因异常情况造成变电站系统的异常运行。

Description

异常报文检测方法、装置、计算机设备和存储介质
技术领域
本申请涉及智能电网技术领域，特别是涉及一种异常报文检测方法、装置、计算机设备和存储介质。
背景技术
随着智能变电站的推广，智能变电站系统在实际应用中也越来越普遍。其中，智能变电站中采样值(Sampled Measured Value,SMV)报文直接影响到一次系统保护以及一次系统电气量信息采集，从而影响电力系统保护、测控等功能。
但是，由于IEC 62351标准不建议对SMV报文进行加密，而是通过使用通信路径选择过程以提供信息交换的安全，即SMV报文被限于一个变电站逻辑局域网(Local AreaNetwork，LAN)无任何安全机制保护，因此，存在虚假数据注入攻击的可能性，导致SMV报文相关的功能将丢失(如保护拒动)或者异常(如保护误动)，进而对一次系统运行造成危害。
因此，目前急需一种对智能变电站中异常SMV报文进行安全检测的方法。
发明内容
基于此，有必要针对上述技术问题，提供一种能够检测智能变电站采样值 SMV报文是否存在异常的异常报文检测方法、装置、计算机设备和存储介质。
第一方面，本申请提供一种异常报文检测方法，该方法包括：
获取至少一条变电站采样值SMV报文；
对各SMV报文进行预处理，得到各SMV报文对应的SMV报文图片；
将各SMV报文图片输入至预设的神经网络模型进行故障检测，得到每个 SMV报文的故障检测结果。
在其中一个实施例中，对各SMV报文进行预处理，得到各SMV报文对应的SMV报文图片，包括：
按照时间顺序将各SMV报文转化为SMV报文序列；
根据SMV报文序列中的最大时序对应的报文、最小时序对应的报文以及各个SMV报文，对SMV报文序列进行整合；
通过GAFD法将整合后的SMV报文序列转换为SMV报文图片。
在其中一个实施例中，通过GAFD法将整合后的SMV报文序列转换为SMV 报文图片，包括：
根据整合后的SMV报文序列，确定各SMV报文的时间序列角度；
根据各SMV报文的时间序列角度的余弦值、SMV报文序列中各报文的时间，将SMV报文序列从直角坐标系中转换至极坐标系；
根据极坐标系中的各SMV报文的时间序列角度，通过GAFD法得到各SMV 报文对应的SMV报文图片。
在其中一个实施例中，异常报文检测方法还包括：
获取预设时间段内的SMV报文样本集；异常SMV报文样本集中包括多个不同故障类型的样本报文和每个样本报文对应的故障类型；
对各样本报文进行预处理，得到各样本报文的样本图片；
将各样本图片作为输入，将各样本报文对应的故障类型作为输出，对预设的初始神经网络模型进行训练得到预设的神经网络模型。
在其中一个实施例中，将各样本图片作为输入，将各样本报文对应的故障类型作为输出，对预设的初始神经网络模型进行训练得到预设的神经网络模型，包括：
将样本图片输入至预设的初始神经网络模型中，得到预测故障结果；
根据预测故障结果和样本报文对应的故障类型，得到预设的初始神经网络模型的损失函数的值；
根据损失函数的值，对预设的初始神经网络模型进行训练，得到预设的神经网络模型。
在其中一个实施例中，预设的神经网络模型为卷积-长短期记忆神经网络 CNN-LSTM模型。
在其中一个实施例中，CNN-LSTM模型包括输入层、CNN层、LSTM层、全连接层和输出层，其中，CNN层和LSTM层均为双层结构。
第二方面，本申请提供一种异常报文检测装置，装置包括：
获取模块，用于获取至少一条变电站采样值SMV报文；
预处理模块，用于对各SMV报文进行预处理，得到各SMV报文对应的SMV 报文图片；
故障检测模块，用于将各SMV报文图片输入至预设的神经网络模型进行故障检测，得到每个SMV报文的故障检测结果。
第三方面，本申请提供一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现上述第一方面中任一项实施例中的方法的步骤。
第四方面，本申请提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述第一方面中任一项实施例中的方法的步骤。
上述异常报文检测方法、装置、计算机设备和存储介质，通过获取至少一条变电站采样值SMV报文，对各SMV报文进行预处理，得到各SMV报文对应的SMV报文图片，将各SMV报文图片输入至预设的神经网络模型进行故障检测，得到每个SMV报文的故障检测结果。能够检测变电站采样值报文是否存在丢包、虚拟注入等异常，进一步避免与SMV相关的功能丢失(如保护拒动) 或者异常(如保护误动)，从而避免对一次系统运行造成危害。同时，使用神经网络模型可以快速区分正常数据和异常数据(虚假数据和数据丢包)，有效防止报文数据在传输过程中被攻击、篡改造成的后果，能够提高变电站一次系统对于虚假数据注入攻击的应对能力，提高了变电站运行的安全性和可靠性。
附图说明
图1为一个实施例中异常报文检测方法的应用环境图；
图2为一个实施例中异常报文检测方法的流程示意图；
图3为另一个实施例中异常报文检测方法的流程示意图；
图4为另一个实施例中异常报文检测方法的流程示意图；
图4-1为一个实施例中SMV报文图片示意图；
图5为另一个实施例中异常报文检测方法的流程示意图；
图6为另一个实施例中异常报文检测方法的流程示意图；
图7为一个实施例中CNN网络基本结构示意图；
图8为一个实施例中LSTM网络的基本单元示意图；
图9为一个实施例中异常报文检测装置的结构框图；
图10为另一个实施例中异常报文检测装置的结构框图；
图11为一个实施例中计算机设备的内部结构图。
具体实施方式
为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。
我国智能变电站系统结构都遵循DL/T860《变电站通讯网络系统》行业标准，等同采用国际电工委员会(International Electrotechnical Commission，IEC)发布的 IEC61850Communication networks and systems for power utility automation。IEC61850标准采用以太网为通信基础，采用该标准的智能变电站系统为开放式系统。随着我国智能变电站的推广，智能变电站系统遭遇网络非法入侵几率和被侵入后造成的危害都极大增加。
智能变电站中采样值(Sampled Measured Value,SMV)报文直接影响到一次系统保护以及一次系统电气量信息采集，从而影响电力系统保护、测控等功能。 IEC 62351标准不建议对SMV报文进行加密，而是通过使用通信路径选择过程以提供信息交换的安全，即SMV报文被限于一个变电站逻辑局域网(Local Area Network，LAN)。但随着智能变电站三网(MMS、GOOSE、SMV)合一研究和应用的深入，由于SMV报文无任何安全机制保护，存在虚假数据注入攻击很大可能性，与SMV相关的功能将丢失(如保护拒动)或者异常(如保护误动)，对一次系统运行造成危害。因此，对智能变电站中异常SMV报文进行安全检测显得尤重要。
本申请提供的异常报文检测方法，可以应用于如图1所示的应用环境中。其中，终端102与变电站104通过网络进行通信。终端可以实时获取变电站的采样值报文，并对采样值保温进行异常检测，确定采样值报文的故障检测结果。其中，终端102可以但不限于是各种个人计算机、笔记本电脑、智能手机、平板电脑和便携式可穿戴设备。
在一个实施例中，如图2所示，提供了一种异常报文检测方法，以该方法应用于图1中的终端为例进行说明，包括以下步骤：
S202，获取至少一条变电站采样值SMV报文。
具体地，变电站采样值SMV报文为变电站中的一次设备、二次设备在运行过程中产生的数据信息，通过报文形式实现通信传输，终端可以通过网络通信实时获取变电站采样值SMV报文。
S204，对各SMV报文进行预处理，得到各SMV报文对应的SMV报文图片。
具体地，当获取到变电站采样值SMV报文后，对各个SMV报文进行预处理，可以通过格拉米角总和场(GASF)或者格拉米角微分场(GADF)等方法将SMV 报文转换为图片形式，即SMV报文图片，在此不加以限制。
S206，将各SMV报文图片输入至预设的神经网络模型进行故障检测，得到每个SMV报文的故障检测结果。
具体地，将转换为图片形式的SMV报文图片输入至预设的神经网络模型中，进行故障检测，得到每个SMV报文的故障检测结果。其中，预设的神经网络模型可以包括卷积网络(Convolutional Neural Networks，CNN)、玻尔兹曼机 (Boltzmann Machines)和受限玻尔兹曼机(Restricted Boltzmann Machines)、BP神经网络等等，在此不加以限制。其中，故障检测结果可以包括：丢包、虚拟注入等等。
在本实施例中，通过获取至少一条变电站采样值SMV报文，对各SMV报文进行预处理，得到各SMV报文对应的SMV报文图片，将各SMV报文图片输入至预设的神经网络模型进行故障检测，得到每个SMV报文的故障检测结果。能够检测变电站采样值报文是否存在丢包、虚拟注入等异常，进一步避免与SMV 相关的功能丢失(如保护拒动)或者异常(如保护误动)，从而避免对一次系统运行造成危害。同时，使用神经网络模型可以快速区分正常数据和异常数据 (虚假数据和数据丢包)，有效防止报文数据在传输过程中被攻击、篡改造成的后果，能够提高变电站一次系统对于虚假数据注入攻击的应对能力，提高了变电站运行的安全性和可靠性。
上述实施例对异常报文检测方法进行了说明，现以一个实施例对如何对 SMV进行预处理进行说明，在一个实施例中，如图3所示，对各SMV报文进行预处理，得到各SMV报文对应的SMV报文图片，包括：
S302，按照时间顺序将各SMV报文转化为SMV报文序列。
具体地，当获取到多条SMV报文后，首先可以根据获取到各个报文的时间顺序，将各个SMV报文按照时间顺序转换为SMV报文序列X＝{x1，x2，…， xn}。
S304，根据SMV报文序列中的最大时序对应的报文、最小时序对应的报文以及各个SMV报文，对SMV报文序列进行整合。
具体地，可以根据公式
Figure RE-GDA0003191346470000061
将时间序列数据整合到 [-1，1]之间，其中，X为各个SMV报文，
Figure RE-GDA0003191346470000062
为整合到[-1,1]之间的SMV时序数据。
S306，通过GAFD法将整合后的SMV报文序列转换为SMV报文图片。
具体地，通过GADF法可以对于长度为n的SMV报文序列进行转换，则转换后的GADF图像为n×n的图像数据，该图像数据中包括了各个SMV报文图片。
进一步地，在一个实施例中，如图4所示，通过GAFD法将整合后的SMV 报文序列转换为SMV报文图片，包括：
S402，根据整合后的SMV报文序列，确定各SMV报文的时间序列角度。
具体地，根据公式
Figure RE-GDA0003191346470000063
确定各SMV报文的时间序列角度其中，
Figure RE-GDA0003191346470000064
为整合后的SMV报文序列。
S404，根据各SMV报文的时间序列角度的余弦值、SMV报文序列中各报文的时间，将SMV报文序列从直角坐标系中转换至极坐标系。
具体地，根据公式
Figure RE-GDA0003191346470000071
将SMV报文序列从直角坐标系中转换至极坐标系。其中，ti是SMV报文序列中各报文的时间， N是整数域。
S406，根据极坐标系中的各SMV报文的时间序列角度，通过GAFD法得到各SMV报文对应的SMV报文图片。
具体地，当将SMV报文序列从直角坐标系中转换至极坐标系中，利用各个SMV报文的时间序列角度θ，通过GAFD公式
Figure RE-GDA0003191346470000072
即可确定时间序列长度为n的各个SMV报文对应的图片。可参见图4-1所示。
在本实施例中，通过按照时间顺序将各SMV报文转化为SMV报文序列，根据SMV报文序列中的最大时序对应的报文、最小时序对应的报文以及各个 SMV报文，对SMV报文序列进行整合，通过GAFD法将整合后的SMV报文序列转换为SMV报文图片。能够将一维时序报文数据转换为图像形式，从而更好应用后续的深度学习的神经网络模型进行分析，能够确定不同时间间隔内的时间相关性。
上述实施例对如何对SMV报文进行预处理进行了说明，在异常报文检测方法中，是利用神经网络模型进行故障检测，现以一个实施例对如何训练神经网络模型进行说明，在一个实施例中，如图5所示，异常报文检测方法还包括：
S502，获取预设时间段内的SMV报文样本集；异常SMV报文样本集中包括多个不同故障类型的样本报文和每个样本报文对应的故障类型。
其中，预设时间段可以包括历史预设时间段，例如，当前时刻的过去3天、当前时刻的过去一周等，在此不加以限制。
具体地，获取预设时间段内的多条SMV报文样本的SMV样本集，该样本集中的SMV报文样本可以是具有不同故障类型的报文。故障类型可以包括丢包、虚假注入、空包等等。
S504，对各样本报文进行预处理，得到各样本报文的样本图片。
具体地，对SMV样本集中的样本报文均进行预处理，可以通过格拉米角总和场(GASF)或者格拉米角微分场(GADF)等方法将SMV样本报文转换为图片形式，即样本图片，在此不加以限制。
S506，将各样本图片作为输入，将各样本报文对应的故障类型作为输出，对预设的初始神经网络模型进行训练得到预设的神经网络模型。
具体地，可以通过滑动窗口方式依次将样本图片输入至神经网络模型中，将各个样本报文对应的故障类型作为输出，对于涉的初始神经网络模型进行训练，得到预设的神经网络模型。其中，训练算法可以采用ADMA训练算法。
可选地，预设的神经网络模型为卷积-长短期记忆神经网络CNN-LSTM模型。
可选地，CNN-LSTM模型包括输入层、CNN层、LSTM层、全连接层和输出层，其中，CNN层和LSTM层均为双层结构。
进一步地，在一个实施例中，如图6所示，将各样本图片作为输入，将各样本报文对应的故障类型作为输出，对预设的初始神经网络模型进行训练得到预设的神经网络模型，包括：
S602，将样本图片输入至预设的初始神经网络模型中，得到预测故障结果。
具体地，使用滑动窗口方式依次将样本图片输入生成特征图，为一个三维的数据卷，为了方便后续网络计算。CNN层借助卷积运算操作的优势，能够对原始数据进行更高层次和更抽象的表达，在图像等领域表现突出。时序数据存在局部相关性(时间相近的数据有较强相关性)，所以能够运用CNN层处理其局部特征。CNN基本结构如图7所示，主要包含卷积层与池化层。卷积层是受猫在视觉中枢存在感受野这一生物研究结果的启发而构建，通过设计尺寸适宜的卷积核对感受野内的信息进行卷积操作，以抽象表达原始数据。对于卷积运算而言，卷积的输入是一个三维的数据卷X∈Rw×h×d，其中w表示数据卷中数据片的宽度，h表示数据片的高度，d称为数据卷的通道。定义以下几个超参数：卷积核的个数K，每一个卷积核的规格F，卷积的步长S，零值填充的数量 P。
对于每一次卷积运算，首先对数据卷X∈Rw×h×d进行零值填充使数据卷转换成X*∈(w+P)×(h+P)×d，增加元素的值都为0；然后对数据卷X*进行切片操作X*＝X*[tw:tw+F,th:th+F,:](切取第tw到第tw+F行；第th到第th+tF列；通道方向所有的数据子集)。根据上述的定义，卷积核Kernel∈RF×F×d， T＝Kernel×X*(两个同等规格张量的逐元素相乘,得到新的张量Y)，张量Y逐元素相加得到y。
Figure RE-GDA0003191346470000091
对数据卷X*按从左到右、从上到下的顺序，依步长S重复上述步骤，并将每一次得到的y值重新整合成矩阵Y∈Rw* ×h(一个通道的数据)。不难看出，
Figure RE-GDA0003191346470000092
对于K个卷积核重复上述步骤,得到K个通道Y∈Rw*×h，将这K个通道在深度方向重新排列将得到新的三维数据卷
Figure RE-GDA0003191346470000093
一般的,我们会取特定的 F，P，S，使w*＝w，K>d。基于上述关于卷积运算的定义,可以定义一个卷积层的映射为：
Figure RE-GDA0003191346470000094
而多个卷积层就是上述映射的嵌套映射。
第一层CNN层的输入为
Figure RE-GDA0003191346470000095
l、p、m分别对应上述定义中的w、h、 d。CNN层为双层，即第二层CNN层的输入为第一层CNN层的输出。其中，池化层对卷积输出施行采样操作，保留强特征，去除弱特征，同时减少参数数量，防止过拟合。
LSTM层的作用是对CNN层提取的特征进学习，保留有用信息，遗忘无效信息用于提取时间维度的时延信息。LSTM网络的基本单元中包含遗忘门、输入门和输出门，如图8所示。遗忘门中输入xt与状态记忆单元St-1、中间输出ht-1 共同决定状态记忆单元遗忘部分。输入门中的xt分别经过sigmoid和tanh函数变化后共同决定状态记忆单元中保留向量。中间输出ht由更新后的St与输出ot 共同决定，计算公式如式(3)-式(8)所示。
ft＝σ(Wfxxt+Wthht-1+bf) (3)
it＝σ(Wixxt+Wihht-1+bi) (4)
gt＝φ(Wgxxt+Wghht-1+bg) (5)
ot＝σ(Woxxt+Wohht-1+bo) (6)
St＝gt⊙it+St-1⊙ft (7)
ht＝φ(St)⊙ot (8)
式中：ft，it，gt，ot，ht和St分别为遗忘门、输入门、输入节点、输出门、中间输出和状态单元的状态；Wfx，Wfh，Wix，Wih，Wgx，Wgh，Wox和Woh 分别为相应门与输入xt和中间输出ht-1相乘的矩阵权重；bf，bi，bg，bo分别为相应门的偏置项；⊙表示向量中元素按位相乘；σ表示sigmoid函数变化；
Figure RE-GDA0003191346470000101
表示tanh函数变化。
由于LSTM层为双层，第一层LSTM层记录所有的ht，并将其作为第二层 LSTM层的输入，第二层LSTM层只记录最后一个计算单元的输出ht。
CNN层前的全连接层为一层全连接层(Dense)输出指定格式的向量。
LSTM层后的全连接层接受第二层LSTM层的输出ht作为输入，用于执行运算y＝Relu(W·ht+b)，x为LSTM层的输出向量，y为全连接层的输出向量，W 为神经元参数矩阵，b为偏置项，Relu(ht)＝max(0，ht)为激活函数。能够在输出层之前压缩数据。
输出层为用于输出每一个样本属于哪一种结果的可能性，运算规则如下： yprob＝spftmax(y)。
通过全连接层和输出层能够较佳地实现对不同情况下的报文进行分类，从而实现了对变电站异常报文的检测，得到样本报文的预测故障结果。
S604，根据预测故障结果和样本报文对应的故障类型，得到预设的初始神经网络模型的损失函数的值。
具体地，根据预测故障结果和样本报文对应的故障类型，计算得到预设的初始神经网络模型的损失函数的值。其中损失函数可以包括交叉熵函数。
S606，根据损失函数的值，对预设的初始神经网络模型进行训练，得到预设的神经网络模型。
具体地，根据损失函数的值，不断调整预设的初始神经网络模型的超参数，再次进行损失函数的值的计算，直至神经网络模型的损失函数的值达到黄金标准，即达到收敛，则模型训练完毕，此时模型固定，得到预设的神经网络模型。其中，超参数可以包括第一层CNN层的特征映射数、第二层CNN层的特征映射数、第一层LSTM层的神经元个数、第二层LSTM层的神经元个数以及全连接层的神经元个数。
可选地，还可以通过优化的网格搜索确定故障诊断模型的外部参数即超参数。然后利用超参数对预设的初始神经网络模型进行训练，得到预设的神经网络模型。
在本实施例中，通过获取预设时间段内的SMV报文样本集；异常SMV报文样本集中包括多个不同故障类型的样本报文和每个样本报文对应的故障类型，对各样本报文进行预处理，得到各样本报文的样本图片，将各样本图片作为输入，将各样本报文对应的故障类型作为输出，对预设的初始神经网络模型进行训练得到预设的神经网络模型。能够较佳地并快速的对异常报文检测模型进行训练，并且由于CNN-LSTM混合神经网络中CNN在特征提取方面有很好的特性，LSTM在序列数据方面有较为成熟的应用，通过将CNN和LSTM结合，解决了卷积神经网络只能学习局部特征但无法处理较长信息的长期依赖问题，加入LSTM可以利用SVM报文的时序性，对虚假报文和空报文的检测有较好的效果。其中选用Adam算法作为模型训练算法，优化的代价函数选取交叉熵函数，能够较佳地对异常报文检测模型进行训练和优化。
应该理解的是，虽然图2-6的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图2-6中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。
在一个实施例中，如图9所示，提供了一种异常报文检测装置，包括：
获取模块901，用于获取至少一条变电站采样值SMV报文；
预处理模块902，用于对各SMV报文进行预处理，得到各SMV报文对应的SMV报文图片；
故障检测模块903，用于将各SMV报文图片输入至预设的神经网络模型进行故障检测，得到每个SMV报文的故障检测结果。
可选地，预设的神经网络模型为卷积-长短期记忆神经网络CNN-LSTM模型。CNN-LSTM模型包括输入层、CNN层、LSTM层、全连接层和输出层，其中，CNN层和LSTM层均为双层结构。
在本实施例中，通过获取模块获取至少一条变电站采样值SMV报文，预处理模块对各SMV报文进行预处理，得到各SMV报文对应的SMV报文图片，故障监测模块将各SMV报文图片输入至预设的神经网络模型进行故障检测，得到每个SMV报文的故障检测结果。能够检测变电站采样值报文是否存在丢包、虚拟注入等异常，进一步避免与SMV相关的功能丢失(如保护拒动)或者异常 (如保护误动)，从而避免对一次系统运行造成危害。同时，使用神经网络模型可以快速区分正常数据和异常数据(虚假数据和数据丢包)，有效防止报文数据在传输过程中被攻击、篡改造成的后果，能够提高变电站一次系统对于虚假数据注入攻击的应对能力，提高了变电站运行的安全性和可靠性。
在一个实施例中，如图10所示，预处理模块902包括：
转化单元9021，用于按照时间顺序将各SMV报文转化为SMV报文序列；
整合单元9022，用于根据SMV报文序列中的最大时序对应的报文、最小时序对应的报文以及各个SMV报文，对SMV报文序列进行整合；
图片转换单元9023，用于通过GAFD法将整合后的SMV报文序列转换为 SMV报文图片。
在一个实施例中，图片转换单元具体用于根据整合后的SMV报文序列，确定各SMV报文的时间序列角度；根据各SMV报文的时间序列角度的余弦值、 SMV报文序列中各报文的时间，将SMV报文序列从直角坐标系中转换至极坐标系；根据极坐标系中的各SMV报文的时间序列角度，通过GAFD法得到各 SMV报文对应的SMV报文图片。
在一个实施例中，参照图10所示，异常报文检测装置还包括：
样本获取模块904，用于获取预设时间段内的SMV报文样本集；异常SMV 报文样本集中包括多个不同故障类型的样本报文和每个样本报文对应的故障类型；
样本预处理模块905，用于对各样本报文进行预处理，得到各样本报文的样本图片；
模型训练模块906，用于将各样本图片作为输入，将各样本报文对应的故障类型作为输出，对预设的初始神经网络模型进行训练得到预设的神经网络模型。
在一个实施例中，模型训练模块，具体用于将样本图片输入至预设的初始神经网络模型中，得到预测故障结果；根据预测故障结果和样本报文对应的故障类型，得到预设的初始神经网络模型的损失函数的值；根据损失函数的值，对预设的初始神经网络模型进行训练，得到预设的神经网络模型。
关于异常报文检测装置的具体限定可以参见上文中对于异常报文检测方法的限定，在此不再赘述。上述异常报文检测装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。
在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图11所示。该计算机设备包括通过系统总线连接的处理器、存储器和网络接口。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于存储变电站SMV报文。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种异常报文检测方法。
本领域技术人员可以理解，图11中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。
在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现上述各方法实施例中的步骤。
在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现上述各方法实施例中的步骤。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-Only Memory，ROM)、磁带、软盘、闪存或光存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory， SRAM)或动态随机存取存储器(Dynamic Random Access Memory，DRAM)等。
以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种异常报文检测方法，其特征在于，所述方法包括：
获取至少一条变电站采样值SMV报文；
对各所述SMV报文进行预处理，得到各所述SMV报文对应的SMV报文图片；
将各所述SMV报文图片输入至预设的神经网络模型进行故障检测，得到每个所述SMV报文的故障检测结果。
2.根据权利要求1所述的方法，其特征在于，所述对各所述SMV报文进行预处理，得到各所述SMV报文对应的SMV报文图片，包括：
按照时间顺序将各所述SMV报文转化为SMV报文序列；
根据所述SMV报文序列中的最大时序对应的报文、最小时序对应的报文以及各个所述SMV报文，对所述SMV报文序列进行整合；
通过GAFD法将整合后的SMV报文序列转换为所述SMV报文图片。
3.根据权利要求2所述方法，其特征在于，所述通过GAFD法将整合后的SMV报文序列转换为所述SMV报文图片，包括：
根据所述整合后的SMV报文序列，确定各所述SMV报文的时间序列角度；
根据各所述SMV报文的时间序列角度的余弦值、所述SMV报文序列中各报文的时间，将所述SMV报文序列从直角坐标系中转换至极坐标系；
根据所述极坐标系中的各所述SMV报文的时间序列角度，通过GAFD法得到各所述SMV报文对应的所述SMV报文图片。
4.根据权利要求1所述的方法，其特征在于，所述方法还包括：
获取预设时间段内的SMV报文样本集；所述异常SMV报文样本集中包括多个不同故障类型的样本报文和每个所述样本报文对应的故障类型；
对各所述样本报文进行预处理，得到各所述样本报文的样本图片；
将各所述样本图片作为输入，将各所述样本报文对应的故障类型作为输出，对预设的初始神经网络模型进行训练得到所述预设的神经网络模型。
5.根据权利要求4所述的方法，其特征在于，所述将各所述样本图片作为输入，将各所述样本报文对应的故障类型作为输出，对预设的初始神经网络模型进行训练得到所述预设的神经网络模型，包括：
将所述样本图片输入至所述预设的初始神经网络模型中，得到预测故障结果；
根据所述预测故障结果和所述样本报文对应的故障类型，得到所述预设的初始神经网络模型的损失函数的值；
根据所述损失函数的值，对所述预设的初始神经网络模型进行训练，得到所述预设的神经网络模型。
6.根据权利要求1所述方法，其特征在于，所述预设的神经网络模型为卷积-长短期记忆神经网络CNN-LSTM模型。
7.根据权利要求6所述方法，其特征在于，所述CNN-LSTM模型包括输入层、CNN层、LSTM层、全连接层和输出层，其中，所述CNN层和LSTM层均为双层结构。
8.一种异常报文检测装置，其特征在于，所述装置包括：
获取模块，用于获取至少一条变电站采样值SMV报文；
预处理模块，用于对各所述SMV报文进行预处理，得到各所述SMV报文对应的SMV报文图片；
故障检测模块，用于将各所述SMV报文图片输入至预设的神经网络模型进行故障检测，得到每个所述SMV报文的故障检测结果。
9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述的方法的步骤。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。
CN202110742187.2A 2021-06-30 2021-06-30 异常报文检测方法、装置、计算机设备和存储介质 Pending CN113507460A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110742187.2A CN113507460A (zh) 2021-06-30 2021-06-30 异常报文检测方法、装置、计算机设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110742187.2A CN113507460A (zh) 2021-06-30 2021-06-30 异常报文检测方法、装置、计算机设备和存储介质

Publications (1)

Publication Number Publication Date
CN113507460A true CN113507460A (zh) 2021-10-15

Family

ID=78009614

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110742187.2A Pending CN113507460A (zh) 2021-06-30 2021-06-30 异常报文检测方法、装置、计算机设备和存储介质

Country Status (1)

Country Link
CN (1) CN113507460A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113965584A (zh) * 2021-12-21 2022-01-21 北京达佳互联信息技术有限公司 报文处理方法、设备、装置及存储介质
CN115694937A (zh) * 2022-10-20 2023-02-03 广州大学 一种通过构造虚拟异常流量训练恶意流量检测系统的方法

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106130950A (zh) * 2016-05-20 2016-11-16 南京理工大学 针对iec61850协议sv报文的异常检测方法
CN109639503A (zh) * 2019-01-03 2019-04-16 南京南瑞继保电气有限公司 一种基于变电站过程层网络设备的异常报文追溯实现方法
CN110086776A (zh) * 2019-03-22 2019-08-02 国网河南省电力公司经济技术研究院 基于深度学习的智能变电站网络入侵检测系统及检测方法
CN110768846A (zh) * 2019-10-31 2020-02-07 国网四川省电力公司阿坝供电公司 一种智能变电站网络安全防护系统
CN110875912A (zh) * 2018-09-03 2020-03-10 中移（杭州）信息技术有限公司 一种基于深度学习的网络入侵检测方法、装置和存储介质
CN111682642A (zh) * 2020-06-06 2020-09-18 南京理工大学 面向轻量级智能变电站信息异常性检测系统及其方法
CN112016041A (zh) * 2020-08-27 2020-12-01 重庆大学 基于格拉姆求和角场图像化和Shortcut-CNN的时间序列实时分类方法
CN112749509A (zh) * 2020-12-30 2021-05-04 西华大学 一种基于lstm神经网络的智能变电站故障诊断方法
CN112767296A (zh) * 2021-01-20 2021-05-07 山东大学 一种基于时间序列成像的多传感器数据融合方法及系统

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106130950A (zh) * 2016-05-20 2016-11-16 南京理工大学 针对iec61850协议sv报文的异常检测方法
CN110875912A (zh) * 2018-09-03 2020-03-10 中移（杭州）信息技术有限公司 一种基于深度学习的网络入侵检测方法、装置和存储介质
CN109639503A (zh) * 2019-01-03 2019-04-16 南京南瑞继保电气有限公司 一种基于变电站过程层网络设备的异常报文追溯实现方法
CN110086776A (zh) * 2019-03-22 2019-08-02 国网河南省电力公司经济技术研究院 基于深度学习的智能变电站网络入侵检测系统及检测方法
CN110768846A (zh) * 2019-10-31 2020-02-07 国网四川省电力公司阿坝供电公司 一种智能变电站网络安全防护系统
CN111682642A (zh) * 2020-06-06 2020-09-18 南京理工大学 面向轻量级智能变电站信息异常性检测系统及其方法
CN112016041A (zh) * 2020-08-27 2020-12-01 重庆大学 基于格拉姆求和角场图像化和Shortcut-CNN的时间序列实时分类方法
CN112749509A (zh) * 2020-12-30 2021-05-04 西华大学 一种基于lstm神经网络的智能变电站故障诊断方法
CN112767296A (zh) * 2021-01-20 2021-05-07 山东大学 一种基于时间序列成像的多传感器数据融合方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
陈力: ""基于深度学习的车载总线网络入侵检测方法"", 《中国优秀硕士学位论文信息科技辑》 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113965584A (zh) * 2021-12-21 2022-01-21 北京达佳互联信息技术有限公司 报文处理方法、设备、装置及存储介质
CN113965584B (zh) * 2021-12-21 2022-05-13 北京达佳互联信息技术有限公司 报文处理方法、设备、装置及存储介质
CN115694937A (zh) * 2022-10-20 2023-02-03 广州大学 一种通过构造虚拟异常流量训练恶意流量检测系统的方法
CN115694937B (zh) * 2022-10-20 2023-12-15 广州大学 一种通过构造虚拟异常流量训练恶意流量检测系统的方法

Similar Documents

Publication Publication Date Title
CN111738244B (zh) 图像检测方法、装置、计算机设备和存储介质
CN108846355B (zh) 图像处理方法、人脸识别方法、装置和计算机设备
CN113507460A (zh) 异常报文检测方法、装置、计算机设备和存储介质
CN113076215B (zh) 一种独立于数据类型的无监督异常检测方法
Weng et al. Multi-agent-based unsupervised detection of energy consumption anomalies on smart campus
CN111866024A (zh) 一种网络加密流量识别方法及装置
CN114355240A (zh) 配电网接地故障诊断方法及装置
WO2024060684A1 (zh) 模型训练方法、图像处理方法、设备及存储介质
CN111598032B (zh) 一种基于图神经网络的群体行为识别方法
Wang et al. Deep‐learning based fault diagnosis using computer‐visualised power flow
Afrasiabi et al. Modulated Gabor filter based deep convolutional network for electrical motor bearing fault classification and diagnosis
CN112165484A (zh) 基于深度学习与侧信道分析的网络加密流量识别方法装置
CN115695025A (zh) 网络安全态势预测模型的训练方法及装置
CN116167010A (zh) 具有智能迁移学习能力的电力系统异常事件快速识别方法
Zhang et al. Improving deep learning-based cloud detection for satellite images with attention mechanism
Qi et al. Fault detection and localization in distributed systems using recurrent convolutional neural networks
CN112419243B (zh) 一种基于红外图像分析的配电房设备故障识别方法
CN113758652A (zh) 换流变压器漏油检测方法、装置、计算机设备和存储介质
Ankitdeshpandey et al. Development of intrusion detection system using deep learning for classifying attacks in power systems
CN116879761A (zh) 基于多模态的电池内短路检测方法、系统、装置及介质
Jan et al. Machine learning for detecting drift fault of sensors in cyber-physical systems
CN115656747A (zh) 基于异构数据的变压器缺陷诊断方法、装置和计算机设备
Chaki Shadow detection from images using fuzzy logic and PCPerturNet
CN114793170A (zh) 基于开集识别dns隧道检测方法、系统、设备及终端
Zhang et al. SLIC segmentation method for full‐polarised remote‐sensing image

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right
TA01 Transfer of patent application right

Effective date of registration: 20220512

Address after: 550002 Jiefang Road, Nanming District, Guiyang, Guizhou Province, No. 32

Applicant after: ELECTRIC POWER RESEARCH INSTITUTE, GUIZHOU POWER GRID Co.,Ltd.

Address before: 550002 Jiefang Road, Nanming District, Guiyang, Guizhou Province, No. 32

Applicant before: ELECTRIC POWER RESEARCH INSTITUTE, GUIZHOU POWER GRID Co.,Ltd.

Applicant before: Southern Power Grid Digital Grid Research Institute Co.,Ltd.

RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20211015