一种电力网络端口防护方法和系统与流程

本发明涉及电力安全防护，尤其涉及一种电力网络端口防护方法和系统。

背景技术：

1、在电力系统的日常运维中，设备物理端口的安全防护长期面临多重困境，在终端设备的物理端口防护层面，通用串行总线（universal serial bus，usb）端口与网络端口的防护措施彼此孤立，缺乏有效的联动解锁机制，现有智能网络端口锁仅能实现网络端口的物理防护，而对通用串行总线端口的防护仍依赖软件管控或简易物理封堵，这种防护强度难以有效抵御攻击，而且当需要通过usb接口调试或升级设备时，物理锁会直接阻碍正常操作，现有技术缺乏与网络授权相联动的便捷解锁机制，导致usb端口的物理封堵与正常维护需求之间产生严重冲突。

2、其次，在供电稳定性保障方面，现有智能通用串行总线锁依赖设备usb端口供电，在发生如电压缓慢跌落、电压波动或被恶意切断等供电异常状态时，系统无法提前识别异常趋势，也无法准确区分正常关机与异常破坏事件，此外，现有电子钥匙离线解锁模式存在多重缺陷，管理系统终端需要物理接近才能完成授权，远距离操作极为不便，而且开锁过程及记录无法实时同步至管理系统，导致现场申请、即时授权和快速开锁的闭环管理难以实现，另外，现有端口防护技术普遍采用单一维度的验证策略，其验证过程仅依赖网络层身份认证或者仅依赖物理层锁具控制，未能将网络端口的通信身份特征与端口的供电环境状态进行联合判定，使得攻击者可通过伪造合法身份在供电异常时实施物理层入侵，或利用供电正常时段的防护盲区进行逻辑层渗透，导致电力网络端口存在被绕过的系统性风险。

技术实现思路

1、为解决以上技术问题，本发明提供了一种电力网络端口防护方法和系统。

2、第一方面，本发明提供了一种电力网络端口防护方法，所述方法包括以下步骤：

3、在目标电力网络设备的网络端口部署双锁体物理防护结构，并通过所述双锁体物理防护结构采集目标电力网络设备的网络端口数据包和供电电压数据；

4、响应于外部解锁请求，从所述网络端口数据包中提取网际协议地址和媒体访问控制地址，并基于所述网际协议地址和所述媒体访问控制地址构建目标电力网络设备的当前复合身份标识；

5、对所述供电电压数据进行离散化，得到若干个供电状态区间，并基于各供电状态区间之间的转移关系，得到目标电力网络设备的当前供电状态转移概率；

6、根据所述当前供电状态转移概率和预先获取的基准状态转移概率，得到实时概率偏离度量结果；

7、基于所述实时概率偏离度量结果和所述当前复合身份标识进行合法性验证，并在合法性验证通过时执行双锁联动解锁。

8、在进一步的实施方案中，所述双锁体物理防护结构包括第一智能锁具和第二智能锁具；

9、所述第一智能锁具的锁头物理插入目标电力网络设备的通用串行总线端口，使第一智能锁具的锁头在锁定状态下阻塞通用串行总线端口的插入通道；

10、所述第一智能锁具用于采集目标电力网络设备通用串行总线端口的供电电压数据；

11、第二智能锁具以透明桥接方式串接在目标电力网络设备的网络端口与外部网线之间，所述第二智能锁具用于采集目标电力网络设备的网络端口数据包。

12、在进一步的实施方案中，所述从所述网络端口数据包中提取网际协议地址和媒体访问控制地址的步骤包括：

13、从所述网络端口数据包解析出源网际协议地址和源媒体访问控制地址，形成原始地址对集合；

14、根据所述原始地址对集合统计预设时间周期内所有源网际协议地址和源媒体访问控制地址的配对出现频次；

15、从所述原始地址对集合中筛选出所述配对出现频次最高的地址对，作为目标电力网络设备网络端口真实的网际协议地址和媒体访问控制地址。

16、在进一步的实施方案中，所述基于所述网际协议地址和所述媒体访问控制地址构建目标电力网络设备的当前复合身份标识的步骤包括：

17、将所述网际协议地址和所述媒体访问控制地址进行十六进制编码转换，得到静态网络身份特征向量；

18、实时采集目标电力网络设备网络端口的电压电流波形数据，并对所述电压电流波形数据进行滤波去噪，获取目标电力网络设备的随机波动残差信号；

19、计算所述随机波动残差信号的近似熵值，得到残差信号运行熵，并根据所述残差信号运行熵在连续时间窗口内的差分值，计算得到运行熵变化率；

20、基于目标电力网络设备拓扑关系对相邻网络端口的残差信号运行熵进行相关性分析，得到网络端口间的行为相关系数；

21、基于所述静态网络身份特征向量、所述运行熵变化率和所述网络端口间的行为相关系数进行跨模态注意力融合，生成多维复合特征张量；

22、对所述多维复合特征张量进行维度压缩，得到复合特征向量，并对所述复合特征向量进行哈希运算，得到目标电力网络设备的当前复合身份标识。

23、在进一步的实施方案中，所述基于所述静态网络身份特征向量、所述运行熵变化率和所述网络端口间的行为相关系数进行跨模态注意力融合，生成多维复合特征张量的步骤包括：

24、对所述静态网络身份特征向量、所述运行熵变化率和所述网络端口间的行为相关系数进行时间维度对齐，得到时间对齐后的静态身份特征表示、时间动态特征表示和空间关联特征表示；

25、对时间对齐后的静态身份特征表示、时间动态特征表示和空间关联特征表示之间的相互关联强度进行注意力权重分配，得到对应的模态注意力权重矩阵；

26、利用所述模态注意力权重矩阵对静态身份特征表示、时间动态特征表示和空间关联特征表示进行跨模态注意力融合，生成多维复合特征张量。

27、在进一步的实施方案中，所述对所述供电电压数据进行离散化，得到若干个供电状态区间，并基于各供电状态区间之间的转移关系，得到目标电力网络设备的当前供电状态转移概率的步骤包括：

28、将所述供电电压数据离散化为若干个供电状态区间，得到实时供电状态离散序列；

29、根据所述实时供电状态离散序列统计在观测时间窗口内从每个供电状态区间向其他供电状态区间发生转移的次数，得到实时状态转移频次矩阵；

30、根据所述实时状态转移频次矩阵对每个供电状态区间的所有转移频次进行归一化，得到目标电力网络设备的当前供电状态转移概率。

31、在进一步的实施方案中，所述根据所述当前供电状态转移概率和预先获取的基准状态转移概率，得到实时概率偏离度量结果的步骤包括：

32、预先根据目标电力网络设备在正常运行下采集到的历史供电状态转移概率，得到基准状态转移概率；

33、根据所述当前供电状态转移概率与所述基准状态转移概率之间的欧氏距离，得到实时概率偏离度量结果。

34、在进一步的实施方案中，所述基于所述实时概率偏离度量结果和所述当前复合身份标识进行合法性验证，并在合法性验证通过时执行双锁联动解锁的步骤包括：

35、在所述实时概率偏离度量结果为生成环境条件满足标志下，将所述当前复合身份标识与合法设备行为模式进行特征空间匹配，得到匹配置信度，并根据所述匹配置信度生成合法性验证结果；

36、若所述合法性验证结果为合法性验证通过，则生成解锁指令，通过所述解锁指令执行双锁联动解锁。

37、第二方面，本发明提供了一种电力网络端口防护系统，所述系统包括：

38、数据采集模块，用于在目标电力网络设备的网络端口部署双锁体物理防护结构，并通过所述双锁体物理防护结构采集目标电力网络设备的网络端口数据包和供电电压数据；

39、标识构建模块，用于响应于外部解锁请求，从所述网络端口数据包中提取网际协议地址和媒体访问控制地址，并基于所述网际协议地址和所述媒体访问控制地址构建目标电力网络设备的当前复合身份标识；

40、状态分析模块，用于对所述供电电压数据进行离散化，得到若干个供电状态区间，并基于各供电状态区间之间的转移关系，得到目标电力网络设备的当前供电状态转移概率；

41、偏离分析模块，用于根据所述当前供电状态转移概率和预先获取的基准状态转移概率，得到实时概率偏离度量结果；

42、联动解锁模块，用于基于所述实时概率偏离度量结果和所述当前复合身份标识进行合法性验证，并在合法性验证通过时执行双锁联动解锁。

43、在进一步的实施方案中，所述双锁体物理防护结构包括第一智能锁具和第二智能锁具；

44、所述第一智能锁具的锁头物理插入目标电力网络设备的通用串行总线端口，使第一智能锁具的锁头在锁定状态下阻塞通用串行总线端口的插入通道；

45、所述第一智能锁具用于采集目标电力网络设备通用串行总线端口的供电电压数据；

46、第二智能锁具以透明桥接方式串接在目标电力网络设备的网络端口与外部网线之间，所述第二智能锁具用于采集目标电力网络设备的网络端口数据包。

47、本发明提供了一种电力网络端口防护方法和系统，所述方法在目标电力网络设备的网络端口部署双锁体物理防护结构，并通过所述双锁体物理防护结构采集目标电力网络设备的网络端口数据包和供电电压数据；响应于外部解锁请求，从所述网络端口数据包中提取网际协议地址和媒体访问控制地址，并基于所述网际协议地址和所述媒体访问控制地址构建目标电力网络设备的当前复合身份标识；对所述供电电压数据进行离散化，得到若干个供电状态区间，并基于各供电状态区间之间的转移关系，得到目标电力网络设备的当前供电状态转移概率；根据所述当前供电状态转移概率和预先获取的基准状态转移概率，得到实时概率偏离度量结果；基于所述实时概率偏离度量结果和所述当前复合身份标识进行合法性验证，并在合法性验证通过时执行双锁联动解锁。与现有技术相比，该方法通过在目标电力网络设备部署双锁体物理防护结构并协同采集网络端口数据包与供电电压数据，构建融合网络身份特征与供电环境状态的协同验证机制，实现对电力网络端口的高可靠性安全防护，为电力网络设备的安全运行提供了保障。