一种面向微电网孤岛运行的网络安全入侵检测方法及系统与流程

本申请属于微电网安全监测领域，具体涉及一种面向微电网孤岛运行的网络安全入侵检测方法及系统。

背景技术：

1、微电网作为一种集成分布式电源、储能系统和负荷的局部电力系统，在主网故障、外部扰动或应急供电等场景下可切换至孤岛运行模式，通过内部资源协调维持局部供电的连续性和稳定性。在孤岛运行状态下，微电网系统容量较小、惯量较低、调节资源有限，其安全稳定运行高度依赖于量测数据的准确性、控制指令的可靠性以及通信链路的可信性。在网络安全领域，现有的入侵检测技术主要面向通用信息网络和传统工业控制网络，普遍采用基于特征匹配、基于统计异常检测或基于行为分析的方法，通过对网络通信流量、协议报文和访问行为的监测与分析，识别潜在的网络攻击和安全威胁。在电力系统安全防护方面，已有部分方案将入侵检测技术应用于电力监控通信网络，通过分析通信流量特征、检测异常协议行为和识别越权访问等手段，实现对电力通信网络的安全监测。

2、然而，上述现有入侵检测技术主要针对通用信息网络或传统工控网络的通信流量和访问行为进行统计分析，缺乏对微电网孤岛运行场景下电气运行约束和信息物理耦合特性的深度融合。在微电网孤岛运行期间，攻击者可通过虚假数据注入、异常控制指令、通信重放、越权访问、拒绝服务或恶意参数篡改等手段，干扰储能控制、负荷切除、分布式电源出力调节和并网恢复过程，进而引发频率越限、电压越限、关键负荷失供或并网冲击等严重后果。现有入侵检测方法难以有效识别此类结合电气约束违背和控制语义异常的信息物理融合攻击，且缺乏对攻击类型的精准判别能力、对攻击源的定位能力以及可解释检测证据的生成能力，导致微电网孤岛运行场景下的网络安全防护存在明显不足。

技术实现思路

1、本申请针对现有技术缺乏对微电网孤岛运行场景下电气运行约束和信息物理耦合特性的深度融合的技术问题，提供一种面向微电网孤岛运行的网络安全入侵检测方法及系统。

2、为了实现上述目的，本申请采用以下技术方案予以实现：

3、第一方面，一种面向微电网孤岛运行的网络安全入侵检测方法，包括：

4、采集微电网孤岛运行过程中的数据，获取微电网的拓扑结构信息、通信链路关系信息和控制指令流向信息；

5、对所述微电网孤岛运行过程中的数据进行时间同步、协议解析、指令语义编码、窗口化处理和异常值标记，得到处理后的数据；

6、根据所述处理后的数据，并结合电气运行约束、孤岛控制约束和多源量测一致性，构建融合检测特征；

7、将所述融合检测特征输入入侵检测模型，输出入侵概率、攻击类型和检测置信度；

8、根据所述攻击类型，并结合所述拓扑结构信息、通信链路关系信息和控制指令流向信息，定位得到疑似攻击源和影响范围；

9、根据所述疑似攻击源和影响范围，并结合入侵概率和检测置信度，得到入侵检测结果。

10、在一些实施方式中，所述微电网孤岛运行过程包括：孤岛切换阶段、孤岛自洽运行阶段或并网恢复阶段。

11、在一些实施方式中，所述融合检测特征包括：电气残差特征、控制语义特征、通信行为特征、终端状态特征、孤岛运行约束特征和拓扑关联特征。

12、在一些实施方式中，所述电气残差特征的构建方式为：将所述处理后的数据中的电气量测值与基于电气运行约束模型得到的预期值进行比对，计算残差，以所述残差作为所述电气残差特征。

13、所述入侵检测模型为多分类深度神经网络，所述多分类深度神经网络包括依次连接的输入层、全连接隐层以及并行的第一分支和第二分支。

14、在一些实施方式中，所述攻击类型包括：虚假数据注入、异常控制指令、通信重放、越权访问、拒绝服务和恶意并网指令中的至少一种。

15、在一些实施方式中，所述入侵检测结果包括：风险等级、疑似攻击终端、受影响设备、证据摘要和告警信息。

16、第二方面，一种面向微电网孤岛运行的网络安全入侵检测系统，包括：

17、数据采集与获取模块，用于采集微电网孤岛运行过程中的数据，获取微电网的拓扑结构信息、通信链路关系信息和控制指令流向信息；

18、数据预处理模块，用于对所述微电网孤岛运行过程中的数据进行时间同步、协议解析、指令语义编码、窗口化处理和异常值标记，得到处理后的数据；

19、特征融合构建模块，用于根据所述处理后的数据，并结合电气运行约束、孤岛控制约束和多源量测一致性，构建融合检测特征；

20、入侵检测模块，用于将所述融合检测特征输入入侵检测模型，输出入侵概率、攻击类型和检测置信度；

21、攻击源定位模块，用于根据所述攻击类型，并结合所述拓扑结构信息、通信链路关系信息和控制指令流向信息，定位得到疑似攻击源和影响范围；

22、检测结果生成模块，用于根据所述疑似攻击源和影响范围，并结合入侵概率和检测置信度，得到入侵检测结果。

23、第三方面，一种计算机设备，包括：处理器和计算机可读存储介质；

24、处理器，适于执行计算机程序；

25、计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，所述计算机程序被所述处理器执行时，实现如所述的一种面向微电网孤岛运行的网络安全入侵检测方法。

26、第四方面，一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序适于被处理器加载并执行如所述的一种面向微电网孤岛运行的网络安全入侵检测方法。

27、第五方面，一种计算机程序产品，所述计算机程序产品包括计算机程序，所述计算机程序被处理器执行时，实现如所述的一种面向微电网孤岛运行的网络安全入侵检测方法。

28、与现有技术相比，本申请具有以下有益效果：

29、本申请通过对微电网孤岛运行过程中的多维数据进行时间同步、语义编码等预处理，有效消除了多源异构数据的时序与格式冲突；打破了传统网络安全仅停留在信息通信层面的局限，将电气运行约束、孤岛控制约束和多源量测一致性这一物理侧运行机理深度融入特征构建过程，从而能够敏锐捕捉并精准识别伪装成正常通信但实质违背底层物理规律的信息物理融合攻击。在此基础上，不仅利用检测模型的多维输出指标，即入侵概率、攻击类型和置信度量化了威胁程度，更进一步联动拓扑结构、通信链路和控制指令流向这三维网络关系进行联合推演分析，实现了从单纯的表层告警到精准锁定疑似攻击源及划定受影响范围的跨越，最终为微电网在脆弱的孤岛自治期提供了兼具高研判精度与强可解释性的安全防护闭环，大幅提升了电网系统的应急响应效率与主动防御能力。

1.一种面向微电网孤岛运行的网络安全入侵检测方法，其特征在于，包括：

2.根据权利要求1所述的一种面向微电网孤岛运行的网络安全入侵检测方法，其特征在于，所述微电网孤岛运行过程包括：孤岛切换阶段、孤岛自洽运行阶段或并网恢复阶段。

3.根据权利要求1所述的一种面向微电网孤岛运行的网络安全入侵检测方法，其特征在于，所述融合检测特征包括：电气残差特征、控制语义特征、通信行为特征、终端状态特征、孤岛运行约束特征和拓扑关联特征。

4.根据权利要求1所述的一种面向微电网孤岛运行的网络安全入侵检测方法，其特征在于，所述入侵检测模型为多分类深度神经网络，所述多分类深度神经网络包括依次连接的输入层、全连接隐层以及并行的第一分支和第二分支。

5.根据权利要求1所述的一种面向微电网孤岛运行的网络安全入侵检测方法，其特征在于，所述攻击类型包括：虚假数据注入、异常控制指令、通信重放、越权访问、拒绝服务和恶意并网指令中的至少一种。

6.根据权利要求1所述的一种面向微电网孤岛运行的网络安全入侵检测方法，其特征在于，所述入侵检测结果包括：风险等级、疑似攻击终端、受影响设备、证据摘要和告警信息。

7.一种面向微电网孤岛运行的网络安全入侵检测系统，其特征在于，包括：

8.一种计算机设备，其特征在于，包括：处理器和计算机可读存储介质；

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序适于被处理器加载并执行如权利要求1至6任一项所述的一种面向微电网孤岛运行的网络安全入侵检测方法。

10.一种计算机程序产品，其特征在于，所述计算机程序产品包括计算机程序，所述计算机程序被处理器执行时，实现如权利要求1至6任一项所述的一种面向微电网孤岛运行的网络安全入侵检测方法。