基于特征提取的继保报文异常检测方法及系统与流程

本技术实施例涉及电网安全领域，尤其涉及一种基于特征提取的继保报文异常检测方法及系统。

背景技术：

1、智能变电站采用继电保护报文进行设备间通信，这些报文用于记录电流、电压等模拟量采样值以及断路器、隔离开关等开关量状态信息，对保障电网安全稳定运行至关重要。然而，随着变电站数字化程度的提升，异常报文开始频繁出现，干扰继电保护装置的正常判断，引发误动作或拒动作，严重威胁电网安全。

2、现有的变电站报文异常检测技术主要基于单包特征提取和统计分析方法。这些方法通常从报文的协议格式、字段完整性、数值范围等静态特征入手，通过规则匹配或机器学习模型识别格式错误、参数越界等显性异常。例如，部分技术采用深度包检测技术验证报文是否符合协议规范，或利用统计学方法检测报文频率、幅值的异常波动。这些方法在识别格式错误、协议违规等显性攻击方面具有一定效果，能够过滤掉明显不合规的报文。

3、然而，异常报文中存在高伪装性语义逻辑异常报文。这类报文在单一帧的格式、协议规范、静态特征上完全合法，每个字段的数值都在正常范围内，协议解析完全通过，但其在时间轴上形成的连续状态翻转序列与变电站一次设备的物理拓扑状态变迁存在物理语义上的矛盾。例如，在断路器尚未合闸的情况下，报文序列却显示下游线路已有负荷电流流过；或者隔离开关的分合状态转换顺序违反了电气操作的逻辑。这种情况下，单包检测技术无法捕捉跨时间窗口的状态关联性，统计方法也难以理解设备间的物理拓扑约束关系。

4、因此，现有技术对于高伪装性语义逻辑异常报文无法有效检出，进而威胁电网的安全运行。

技术实现思路

1、本技术实施例提供一种基于特征提取的继保报文异常检测方法及系统，用于有效检出高伪装性语义逻辑异常报文，保障电网安全运行。

2、为达到上述目的，本技术的实施例采用如下技术方案：

3、第一方面，提供了一种基于特征提取的继保报文异常检测方法，该方法包括：

4、持续获取智能变电站的连续继保报文序列，并解析连续继保报文序列，得到模拟量采样值字段特征与开关量状态字段特征；

5、确定预设的变电站scd文件中一次设备的物理拓扑连接关系，并基于模拟量采样值字段特征、开关量状态字段特征和物理拓扑连接关系构建有向无环图；

6、将有向无环图按照时间戳降维展开为一维状态流序列，并构建一维状态流序列与预设的标准图谱序列之间的动态规划匹配矩阵；

7、基于动态规划匹配矩阵，提取未完全匹配的报文序列片段，并将未完全匹配的报文序列片段作为变异特征；

8、基于标准图谱序列构建几何包络面，并将变异特征映射为实时坐标向量点；

9、确定实时坐标向量点是否位于几何包络面内部；

10、在实时坐标向量点不位于几何包络面内部的情况下，确定未完全匹配的报文序列片段为语义逻辑异常报文，并删除语义逻辑异常报文。

11、在第一方面的一种可能的实现方式中，基于模拟量采样值字段特征、开关量状态字段特征和物理拓扑连接关系构建有向无环图，包括：

12、解析变电站scd文件，得到一次设备的拓扑连接关系；

13、根据物理拓扑连接关系，确定一次设备之间的物理驱动关系；

14、将模拟量采样值字段特征作为源节点，将开关量状态字段特征作为目标节点，根据物理驱动关系在源节点与目标节点之间建立有向边，得到有向无环图。

15、在第一方面的另一种可能的实现方式中，开关量状态字段特征包括跳闸命令状态，模拟量采样值字段特征包括电流采样值，根据物理驱动关系在源节点与目标节点之间建立有向边，包括：

16、判断电流采样值是否超过预设电流越限阈值；

17、在电流采样值超过预设电流越限阈值的情况下，创建电流越限特征节点，并标记电流越限特征节点的第一时间戳；

18、判断跳闸命令状态是否发生从未触发到触发的状态翻转；

19、在跳闸命令状态发生状态翻转的情况下，创建跳闸命令特征节点，并标记跳闸命令特征节点的第二时间戳；

20、计算第一时间戳与第二时间戳的时间差；

21、判断时间差是否在预设时间窗内；

22、若时间差在预设时间窗内，在电流越限特征节点与跳闸命令特征节点之间建立有向边，其中，有向边的方向为从电流越限特征节点指向跳闸命令特征节点。

23、在第一方面的另一种可能的实现方式中，将有向无环图按照时间戳降维展开为一维状态流序列，包括：

24、对有向无环图中的所有节点按照时间戳进行升序排序；

25、遍历排序后的节点序列，提取得到节点序列中每个节点的特征类型标识和特征数值；

26、将特征类型标识和特征数值编码为预设长度的状态符号；

27、将所有节点的状态符号按照时间顺序连接，得到一维状态流序列。

28、在第一方面的另一种可能的实现方式中，构建一维状态流序列与预设的标准图谱序列之间的动态规划匹配矩阵，包括：

29、初始化动态规划匹配矩阵，其中，动态规划匹配矩阵的行数为一维状态流序列的长度加一，动态规划匹配矩阵的列数为标准图谱序列的长度加一；

30、遍历动态规划匹配矩阵的每个单元格，对于任意一个单元格，基于预设的匹配得分、错配罚分和间隙罚分参数，计算得到多个候选得分值；

31、将多个候选得分值中的最大值作为单元格的得分值。

32、在第一方面的另一种可能的实现方式中，基于动态规划匹配矩阵，提取未完全匹配的报文序列片段，包括：

33、在动态规划匹配矩阵中查找得分值最高的目标单元格，并将目标单元格作为回溯起点；

34、从回溯起点开始，根据来源方向进行回溯，直至到达得分值为零的单元格；

35、在回溯过程中，记录一维状态流序列中与标准图谱序列的错配位置；

36、基于错配位置提取一维状态流序列中发生错配或间隙的连续片段，得到未完全匹配的报文序列片段。

37、在第一方面的另一种可能的实现方式中，基于标准图谱序列构建几何包络面，包括：

38、获取变电站的历史正常运行状态下的报文序列样本，并提取报文序列样本中的标准图谱片段；

39、提取每个标准图谱片段的多维特征向量；

40、将所有标准图谱片段的多维特征向量映射为高维空间中的散点；

41、计算包裹所有散点的几何包络；

42、基于几何包络的顶点坐标和边界方程，构建得到几何包络面。

43、在第一方面的另一种可能的实现方式中，将变异特征映射为实时坐标向量点，包括：

44、对变异特征进行解码，还原为对应的报文序列片段；

45、确定报文序列片段中的节点总数和有向边总数；

46、计算报文序列片段中相邻节点之间的时间间隔的平均值；

47、提取报文序列片段中所有节点的特征数值，并计算特征数值的均值、方差和偏度；

48、将节点总数、有向边总数、平均值、均值、方差和偏度组合为多维特征向量；

49、将多维特征向量映射为高维空间中的实时坐标向量点。

50、第二方面，本技术提供一种继保报文异常检测系统，包括：

51、存储器，被配置成存储指令；以及

52、处理器，被配置成从所述存储器调用所述指令以及在执行所述指令时能够实现上述的基于特征提取的继保报文异常检测方法。

53、第三方面，本技术提供一种机器可读存储介质，该机器可读存储介质上存储有指令，该指令用于使得机器执行上述的基于特征提取的继保报文异常检测方法。

54、通过上述技术方案，通过解析变电站scd文件确定一次设备的物理拓扑连接关系，并基于物理驱动关系构建有向无环图，将离散的报文字段特征转化为具有物理拓扑语义的图结构，有效融合了电力系统的物理约束和报文的时序信息。将有向无环图降维展开为一维状态流序列，并构建与标准图谱序列的匹配矩阵，能够精确识别出与标准模式不完全匹配的报文序列片段，提取变异特征。基于历史正常运行数据构建几何包络面，将变异特征映射为高维空间中的坐标向量点，通过判定点与包络面的位置关系，实现了对高伪装性语义逻辑异常报文的有效检出。有效保障了智能变电站继电保护系统的可靠运行，提升了电网的安全防护能力。

55、本技术实施例的其它特征和优点将在随后的具体实施方式部分予以详细说明。