面向海量终端的微电网数据流安全审计方法及系统与流程

本发明属于微电网，具体涉及面向海量终端的微电网数据流安全审计方法及系统。

背景技术：

1、随着高比例新能源电力系统的发展，微电网成为配电网中的重要组成部分。微电网需要聚合大量的分布式资源（如光伏逆变器、储能pcs、智能电表、柔性负荷）。这些海量终端以极高的频率通过iec104、goose或modbus等工业协议与主站或边缘节点进行通信。

2、在此背景下，系统面临两大挑战：一是需要实时掌握全网设备的在线活跃度与通信状态，以支撑性能评估和调度指令下发；二是必须满足严格的信息安全与通信接入规范，防范针对底层控制网络的ddos攻击或海量异常报文冲击。

3、传统数据流在线监测方法有精确统计与滑动窗口限流法，均有不同程度的问题：

4、1、传统精确统计方法（如hashset、树状结构）：

5、（1）内存爆炸。若要实时统计大量设备的独立ip或终端mac地址，哈希表的空间复杂度为o(n)。在资源受限的微电网边缘终端使用内存较小的嵌入式设备，可分配的内存受限，无法存下如此庞大的状态表。

6、（2）线速处理能力差。精确匹配和数据库入库操作会带来极高的计算延迟，当发生网络异常时（如遭遇海量突发流量），用于监控网络流的微电网嵌入式终端往往最先崩溃，威胁微电网的运行安全。

7、2、传统滑动窗口限流方法：粒度粗。只能按端口限制总流量，无法精准识别出是哪个特定终端在高频发送异常数据（即“大流”/heavyhitters识别困难）。

技术实现思路

1、本发明的目的在于克服如何对海量网络流进行实时安全审计的问题，提出了面向海量终端的微电网数据流安全审计方法及系统。

2、为达到上述目的，本发明采用如下技术方案：

3、第一方面，本发明提供面向海量终端的微电网数据流安全审计方法，包括以下步骤：

4、可编程交换设备接收工业协议报文；可编程交换设备通过内置的可编程协议解析管道对工业协议报文进行首部剥离，提取并组合工业协议报文中的特征字段，生成特征键值；

5、针对每一工业协议报文，可编程交换设备对特征键值进行哈希运算，生成二进制比特流，将二进制比特流的高位部分作为寄存器数组的索引，利用二进制比特流的剩余部分计算前导零长度，取前导零长度与索引位置存储值的较大值，更新位置的存储值；寄存器数组部署于可编程交换设备的数据面；

6、可编程交换设备从工业协议报文中筛选匹配预设业务事件的报文，得到筛选报文，对筛选报文关联的特征键值，分别通过多个独立哈希函数映射至二维计数器数组的各行，对各行内经哈希映射的计数单元的计数值进行累加更新；二维计数器数组部署于可编程交换设备的数据面；

7、控制面周期读取寄存器数组的全部存储值，基于全部存储值估算活跃终端基数；控制面输入待查询特征键值，查询二维计数器数组内经待查询特征键值映射得到的多个计数值，取各计数值中的最小值，完成业务事件频率统计。

8、进一步地，寄存器数组的存储值更新动作与二维计数器数组的计数值累加更新动作均在可编程交换设备的数据面内执行，控制面仅执行寄存器数组的存储值读取动作、活跃终端基数的估算动作与业务事件频率的统计动作。

9、进一步地，每一工业协议报文经可编程协议解析管道单次解析生成特征键值，特征键值同时用于寄存器数组的存储值更新与二维计数器数组的计数值累加更新。

10、进一步地，可编程交换设备基于特征字段筛选匹配预设业务事件的报文；同一微电网终端产生的所有工业协议报文生成相同的特征键值，特征键值用于唯一标识微电网终端，活跃终端基数为去重后的微电网终端数量。

11、进一步地，寄存器数组的寄存器总数量为2的p次方，二进制比特流的高位部分长度为p位，p为正整数；前导零长度为二进制比特流的剩余部分的前导零个数。

12、进一步地，二维计数器数组的总行数与多个独立哈希函数的数量一致，每个独立哈希函数映射至二维计数器数组的一行。

13、进一步地，可编程交换设备部署于微电网边缘汇聚节点，结合活跃终端基数与业务事件频率统计结果完成微电网数据流安全审计。

14、第二方面，本发明提供面向海量终端的微电网数据流安全审计系统，包括：

15、生成特征键值模块，用于可编程交换设备接收工业协议报文；可编程交换设备通过内置的可编程协议解析管道对工业协议报文进行首部剥离，提取并组合工业协议报文中的特征字段，生成特征键值；

16、更新存储值模块，用于针对每一工业协议报文，可编程交换设备对特征键值进行哈希运算，生成二进制比特流，将二进制比特流的高位部分作为寄存器数组的索引，利用二进制比特流的剩余部分计算前导零长度，取前导零长度与索引位置存储值的较大值，更新位置的存储值；寄存器数组部署于可编程交换设备的数据面；

17、计数值累加更新模块，用于可编程交换设备从工业协议报文中筛选匹配预设业务事件的报文，得到筛选报文，对筛选报文关联的特征键值，分别通过多个独立哈希函数映射至二维计数器数组的各行，对各行内经哈希映射的计数单元的计数值进行累加更新；二维计数器数组部署于可编程交换设备的数据面；

18、业务事件频率统计模块，用于控制面周期读取寄存器数组的全部存储值，基于全部存储值估算活跃终端基数；控制面输入待查询特征键值，查询二维计数器数组内经待查询特征键值映射得到的多个计数值，取各计数值中的最小值，完成业务事件频率统计。

19、第三方面，本发明提供一种电子设备，包括存储器、处理器以及存储在存储器中并可在处理器上运行的计算机程序，处理器执行计算机程序时实现面向海量终端的微电网数据流安全审计方法。

20、第四方面，本发明提供一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，计算机程序被处理器执行时实现面向海量终端的微电网数据流安全审计方法。

21、与现有技术相比，本发明具有以下有益的技术效果：

22、本发明提出的面向海量终端的微电网数据流安全审计方法，基于可编程交换机，部署结合hll算法与cm-sketch算法的数据流安全审计模型，将网络层的流处理能力与电力系统的业务需求相结合，实现海量网络流的实时安全审计，在不影响底层通信时效性的前提下，既能拦截恶意流量，又能为上层的微电网运行提供设备可用性的置信度依据。

1.面向海量终端的微电网数据流安全审计方法，其特征在于，包括以下步骤：

2.根据权利要求1所述的面向海量终端的微电网数据流安全审计方法，其特征在于，所述寄存器数组的存储值更新动作与所述二维计数器数组的计数值累加更新动作均在所述可编程交换设备的数据面内执行，所述控制面仅执行所述寄存器数组的存储值读取动作、所述活跃终端基数的估算动作与所述业务事件频率的统计动作。

3.根据权利要求1所述的面向海量终端的微电网数据流安全审计方法，其特征在于，每一所述工业协议报文经所述可编程协议解析管道单次解析生成所述特征键值，所述特征键值同时用于所述寄存器数组的存储值更新与所述二维计数器数组的计数值累加更新。

4.根据权利要求1所述的面向海量终端的微电网数据流安全审计方法，其特征在于，所述可编程交换设备基于所述特征字段筛选匹配所述预设业务事件的报文；同一微电网终端产生的所有工业协议报文生成相同的所述特征键值，所述特征键值用于唯一标识微电网终端，所述活跃终端基数为去重后的微电网终端数量。

5.根据权利要求1所述的面向海量终端的微电网数据流安全审计方法，其特征在于，所述寄存器数组的寄存器总数量为2的p次方，所述二进制比特流的高位部分长度为p位，p为正整数；所述前导零长度为所述二进制比特流的剩余部分的前导零个数。

6.根据权利要求1所述的面向海量终端的微电网数据流安全审计方法，其特征在于，所述二维计数器数组的总行数与所述多个独立哈希函数的数量一致，每个所述独立哈希函数映射至所述二维计数器数组的一行。

7.根据权利要求1所述的面向海量终端的微电网数据流安全审计方法，其特征在于，所述可编程交换设备部署于微电网边缘汇聚节点，结合所述活跃终端基数与所述业务事件频率统计结果完成微电网数据流安全审计。

8.面向海量终端的微电网数据流安全审计系统，其特征在于，包括：

9.一种电子设备，其特征在于，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现权利要求1-7任一项中所述的面向海量终端的微电网数据流安全审计方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-7任一项中所述的面向海量终端的微电网数据流安全审计方法。