基于非介入侦听电力调度数据网非法接入检测平台研究及应用

苏 阔，周玉光，綦雪松，胡可为，赵 巍，姜 楠

（1.国网吉林省电力有限公司，长春 130028；2.国网吉林供电公司，吉林 吉林 132001）

0 引言

随着电网大运行体系的建设，调度机构为了保证电能安全可靠，不仅需要保质保量地完成相应的调度工作，还要兼顾变电站等重要环节的远程集中监视和远程调控等操作。因此，调度过程中至关重要的环节是保证调度自动化系统的安全稳定运行。调度数据网作为调度核心业务的承载网络，结构日趋复杂，业务承载量日益增多［1］。调度数据网络及其所承载的关键业务调度自动化系统在运行中存在很多无法明确根本原因的异常信号，不利于调度自动化系统安全运行。主要问题体现在以下几个方面：一是，缺乏对调度自动化系统实时控制信息流的深入分析和在线研判，无法对自动化系统运行异常给出深入分析和提前预判；二是，尚未对调度自动化系统实时控制信息流实现可视化展示，属于“被动型”的运行维护方式［2］；三是，缺少第三方的电力调度业务实时数据采集及分析方法，在发生自动化系统重大事故时难以追根溯源，增加了故障定位和排除的难度。

我国电力调度自动化系统属于独立组网，控制系统和非控制系统完全物理隔离。随着变电站的信息化和智能化程度不断提高，大量设备已经实现了数字化和网联化。业务数据在设备间交互传输，驱动工作流的运转，极大地提高了变电站的管理与运行维护效率。为了对信息化设备和系统的状态进行监测，对业务流程的正确性进行评估，很多变电站中安装了具备网络报文抓取、存储、分析和管理功能的记录分析装置。网络记录分析装置的应用目前仅局限于变电站内二次设备的通信过程解析，没有发挥其他作用［3］。目前，基于电力调度业务的应用数据分析与在线校核研究的理论基础主要包括计算机通信技术、实时网络数据处理技术、信息融合技术、实时任务调度技术和数据挖掘技术。数据库、工业级网络记录装置、多进程并行处理技术等已经有了成熟的应用，为基于电力调度业务的应用数据分析与在线校核研究提供了软硬件基础［4］。

本文基于调度数据网及调度自动化关键业务，研究电力调度通信无损侦听技术，采用可编程集成电路芯片（field programmable gate array，FPGA）的在线解析和状态评估算法及电力调度实时控制流的全过程监测体系，形成一整套基于电力调度业务的应用数据分析与在线校核的系统，有效提高调度自动化运行管理水平和技术支撑能力，实现对网络中接入设备的监测和非法接入设备的甄别，保障电网自动化系统运行的可控性、可靠性和安全性。

1 系统整体结构

电力调度业务网的非介入式非法接入检测系统（见图1）由侦听设备和上位机组成，图1中SOFT BUS为软总线。其中，侦听设备包括由处理器和硬盘组成的核心板和媒体存取控制位址（media access control address，M AC），MAC 地址侦听板基于FPGA可编程逻辑阵列芯片进行开发，搭载多个可连接其他任意设备的串行逻辑接口，主要实现对数据的抓取与采集。核心板通过外设部件互联总线（peripheral component trunk，PCT）与监听板进行数据通信，基于32 位元精简指令集微处理器（advanced RISC machine，ARM）进行指令逻辑处理，并搭载固态硬盘以提高数据存取速度。上位机对侦听设备进行操控，主要完成控制指令的处理和数据信息的展示。

图1 系统架构

采集器通过FPGA硬件实现高速采集和识别电力应用协议。对于原本使用中央处理器（centrol processing unit，CPU）高开销的协议识别引擎模块，采用FPGA实现，从而减少CPU与FPGA的交互，降低CPU负荷。在FPGA中，对于不同的协议识别核心设计对应的组件，通过设计流分类机制，结合组件并行处理技术和组件间动态带宽调整技术，使得在同一时刻有多达1 000组件并行处理电力业务信息流。

FPGA数据采集模块的主要功能是对各个硬件进行监视及对网络进行监听，其对网络上的通信信息较为敏感，当出现异常信息时，FPGA数据采集模块就会进行采集。核心板基于SOFT BUS与FPGA数据采集模块通信，监听获得的异常数据通过FPGA数据采集模块的相应功能运送给核心板，核心板能够对并发的异常信号进行分析处理。侦听板主要通过Altera Cyclone V FPGA来实现网络中各种异常信号和数据的收集，采用2片随机存储器作为数据缓存，2片随机存储器实现乒乓操作，以完整数据包的形式提交至ARM处理器。

ARM处理器基于MP并行化技术进行了针对性的优化，以最大化其多核的优点，提高其优化率，作为核心板处理信息的大脑，其内置算法能够对侦听连接和通信信息进行快速侦测、识别、分析和综合计算。主线程负责并行任务的管理与维护，在新发任务到来时生成新的线程，并将任务映射到子线程中。系统对多线程调度机制进行了合理优化，子线程具有更高的运行效率，支持多任务并能高效地并行执行。在运行时间环境中，线程被分配给各种物理处理器以实现数据级别的并行处理。数据存储采用固态硬盘，其容量按照可预见数据总量的4倍考虑。

上位机与侦听设备之间通过RJ45总线连接，进行数据与指令的传输。上位机能够对FPGA数据采集板的各项参数进行数值设置和区间设置，除此之外，上位机还可以通过其可视化界面进行实时数据交互和检测。主机计算机使用标准静止无功发生器（static var generator，SVG）模块进行可视化处理。主计算机界面以图形形式显示，这样可以显示有问题的节点，通过可视化界面实现调度服务网络的可视检测。

2 系统检测步骤

系统对非法接入的监测与甄别遵循既定的流程，本文提出的电力调度数据网中非介入式的非法接入检测流程见图2，具体步骤如下。

1）基于由FPGA开发板制作的数据采集模块，对电力调度系统网络中的数据信息进行侦听、抓取、解析和存储。

2）对于侦听到的数据信息，侦听板实时将数据信息通过数据传输总线推送给核心板。

3）核心板接收到侦听的数据信息后，依据IEC104协议格式对报文进行解析，获得可直接分析和处理的电力系统业务数据。

4）核心板ARM处理器根据多维聚类模型，将解析得到的电力调度业务数据进行分类。多维聚类模型主要由设备类别维度、通信协议维度和制造商维度组成。根据测量和控制设备、保护设备、后台机、远动机、合并单元、智能终端设备等类型来划分设备类型；根据IEC104等协议类型划分通信协议；根据设备的生产商和对应的型号划分制造商及设备型号。

5）为了甄别设备的通信地址冲突或伪装等问题，核心板上搭载的程序将对侦听到的通信过程中各节点使用的MAC物理地址和IP地址进行审查，判断是否有未登记的非法设备接入网络，并依据接入设备的合法性分别生成连接事件和告警事件。

6）在步骤5的基础上，对连接事件进一步进行聚类识别。若存在非聚类化的特征性设备，则向运行维护工作人员推送，由工作人员判断是否为合法的非特征性设备。如果被判断为合法的非特征性的设备，由工作人员消除告警，并将该设备添加到特征识别库。

7）针对电力调度数据网中具体的联网设备，构建的状态机模型见图3，并将各设备的状态模型集成构建为一套具备自增长和自学习能力的电力调度数据网设备综合状态模型库，综合模型不需要过多人工干预就能自主优化电力调度数据网状态。非法接入监测平台涉及的综合分析业务可以基于综合状态模型库进一步实现，主要包括对业务流量的综合监控、对业务故障的实时侦测、对非法端口或非法IP地址的高效识别等。对于业务流量监测，系统依据实时的业务流量是否在阈值范围内判别设备的运行状态；对于业务故障侦测，系统检测设备传输的报文是否符合底层协议和应用协议规范的要求，对发送异常报文的设备进行高效甄别；对于非法端口或非法IP检测，系统对发送报文设备的端口及地址与报文类型进行关联检测，对非法IP或端口占用进行检测。系统对存在异常的设备或事件实时告警，无异常时则通过综合检测。

图3 状态机模型

3 系统运行分析

系统包含了实时信息流的解析及特征提取、对实时控制流含时间约束的有限状态机建模及全过程监测、多维度的态势感知评估模型、基于马氏距离的双层聚类态势感知及在线多维可视化展示，具备网络实时分析、规约实时分析、网络状态实时评估和应用实时分析功能。网络状态实时评估是对各个通信终端的相关通信参数进行记录与统计，评估通信终端的健康状态，并将各个通信终端信息汇总进行整个通信网络的状态评估。在线分析可分析出以下信息。

1）通信错误信息，如报文结构错误，报文校验错误，规约符合性错误，单报文不完整，报文时序错误，命令控制过程不完整，因通信原因造成的命令失败，遥测值跃变，IEC104报文检验，时序问题等。

2）应用事件信息，如各种遥控命令，各种定值命令，重要的写命令（可设置），重要的读命令（可设置），初始化与结束等。

3）网络状态信息，如传输控制协议（transmission control protocol，TCP）连接的建立、重置、复位与断开，TCP重传，TCP确认过程，IP分包，规约报文通信中断，网络风暴等。

4）网络统计信息，如各个通信终端的数据流量，各协议的数据流量，TCP端口分布，网络协议分布。

最终以基于SVG技术的形式对当前调度自动化网络通信状态、网络实时信息、网络拓扑图和报文信息进行可视化发布。

4 结论

本文提出一种非介入式的电力调度数据网侦听及非法接入检测方法，通过采集变电站网络记录分析装置数据，实现分析调度业务应用数据的变化过程，同时形成海量的调度运行数据信息库。基于IEC104规约，将调度数据信息点进行自动关联，并实现在线校核，减轻调控人员业务数据点核对、控制实验等工作压力，提升自动化系统运行的稳定性和电网调控运行技术支撑能力，通过可视化的方式将无损捕捉的网络通信以图形化的形式呈递给调度人员，方便进行实时监控，参数设定和检测等。

以此为理论基础，构建基于电力调度业务的应用数据分析与在线校核的系统，为电力系统安全可靠运行提供技术支撑。该系统对调度数据网中所有的业务系统及业务流量进行实时监控、分析、展现、故障预警、存储记录、业务回溯等功能，提高了电力调度运行维护的工作效率、有效降低了运行维护成本。