针对IEC61850协议SV报文的异常检测方法技术

本发明专利技术公开了一种针对IEC 61850协议SV报文异常的检测方法，首先对一帧SV报文格式和配置信息进行检测，这两项检测中任一项有错误则结束后续的检测；如果SV报文的格式和配置信息均无误，要继续通过对smpCnt值进行逻辑分析，判断报文是否出现乱序、丢失、重复等异常现象；如果smpCnt无逻辑错误，则继续对SV报文的状态信息进行检测，检测其是否处于中断或同步状态；最后，如果报文无状态异常，则要继续检测报文的品质值（test、validity），判断报文的品质因数是否异常。本发明专利技术所提方法分析全面、逻辑清晰、简明高效，可用于变电站在线数据分析和异常检测。

【技术实现步骤摘要】

本专利技术属于电力通信系统和工业控制安全
，涉及一种工业控制网络协议的异常检测方法，具体涉及IEC61850协议报文异常的检测方法。
技术介绍
随着光电技术在传感器应用领域的突破，电子式互感器已经逐步由实验阶段走向工程应用阶段。电子式互感器的应用实现了电气量数据采集环节的数字化，一次系统的电压、电流被转化成数字信号，经过光纤或网络传递给二次设备，实现了一次设备和二次设备之间的电气隔离。但是这种技术革新同样面临着不同一、二次设备长商之间的互操作问题。为了解决电子式互感器与二次设备的通信接口问题，IEC61850标准中对电子式互感器的数据输出接口进行了规范。在IEC61850-7-2的ACSI模型中定义了抽象的采样值(SV)传输模型，并在IEC61850-9-1/-2中定义了两种特殊通信服务映射，将ACSI采样值传输模型映射到具体的通信网络及协议。SV服务是数字化变电站应用中的关键环节：它对数据的采集、传输有着很强的时间的限制；对采样值传输的数据组织需要有明确的理解；采样数据的接收方能够正确处理采样数值。IEC61850对采样数据的传输提供了采样值传输模型，对采样值的传输提供了明确的标准规范。SV传输模型提供了以有组织的和时间受控的方式传输采样值，这样采样和传输综合抖动小，并保持采样、次数和顺序恒定。在SV报文通信过程中，无论是配置文件信息错误、报文格式错误，或是其他物理人为因素的干扰，都可能对SV报文的正常发送产生影响。目前，在变电站运行检测过程中，并没有一套全面的针对IEC61850协议SV报文异常的检测方法，主要依赖工作人员的人工分析，效率低，而且容易产生疏漏。
技术实现思路
本专利技术的目的在于提供一种针对IEC61850协议SV(Sample Value)报文异常的检测方法，该方法流程全面、简洁，易于通过软件实现自动化异常检测。实现本专利技术目的的技术解决方案为：一种针对IEC61850协议SV报文的异 常检测方法，该方法定义了SV报文四类典型的异常行为：①报文格式和配置信息错误、②smpCnt(采样计数器)逻辑异常、③报文状态异常、④报文品质因数异常。首先对一帧SV报文格式(如报文PDU长度、组播地址值、编码格式等)和配置信息进行检测，这两项检测中任一项有错误则结束该报文后续的检测；如果SV报文的格式和配置信息均无误，则继续通过对smpCnt值进行逻辑分析，判断报文是否出现乱序、丢失、重复异常现象；如果smpCnt出现逻辑错误，则结束该报文后续的检测；如果smpCnt无逻辑错误，则继续对SV报文的状态信息进行检测，检测其是否处于中断或同步状态；如果报文出现状态异常，则结束该报文后续的检测；如果报文无状态异常，则继续检测报文的品质值(test、validity)，判断报文的品质因数是否异常。针对SV报文格式及配置信息错误异常(①SV报文格式错误,②SV报文配置信息错误)，采用的检测方法为：首先解析出SV报文的头部信息，提取length域的值，先判断该值是否等于SV报文PDU长度加8或SV报文长度减18；再判断报文组播地址的范围是否从01-0C-CD-04-00到01-0C-CD-04-FF；最后判断报文编码是否满足ANS.1的Tag-Length-Value格式，并能够找到对应域tag值，如以上三个判断条件有一个不满足，则判断SV报文格式错误，结束本帧报文的后续分析；如SV报文格式正确，判断SV报文的MAC、APPID、savPdu、svID与SCD文件中对应的配置内容是否相符，如果报文配置信息与CID文件中预先配置的所有值都一致才进行解析,否则丢弃报文，结束本帧报文的后续分析。针对SV报文采样计数器逻辑异常(包括①SV报文乱序，②SV报文丢失，③SV报文重复)，采用的检测方法为：如果之前检测中未发现SV报文异常，则继续进行如下判断：如果当前帧的smpCnt不比前一帧smpCnt大1也不和前一帧相同，即判断为SV报文乱序；如果已存在的smpCnt的序号跳变或变化的不连续，即判断为SV报文丢帧；如果发送方连续发送两针smpCnt序号完全相同的报文，即判断为SV报文状态重复。针对SV报文状态信息异常(①SV报文中断，②SV报文不同步)，采用的检测方法为：如果之前检测中未发现SV报文异常，则继续进行如下判断：在收到上一帧报文后两秒钟时间内没有收到下一帧报文，则判断为SV中断异常；如果SV报 文无中断异常，则继续判断报文是否处于同步状态，当smpSync(SV报文中smpSync代表同步域)的值为false时，守时精度不能够满足同步要求，则报文处于不同步异常状态。针对SV报文品质值异常(①SV报文处于测试模式，②SV报文状态无效)，采用的检测方法为：如果之前检测中未发现SV报文异常，则继续进行如下判断：若SV报文的测试标志位test为true，则判断发出该采样值报文的合并单元处于测试模式异常；如果SV报文不处于测试异常模式，则继续判断报文状态是否无效，若SV报文的状态有效标志位置(validity)为false，则判断相应通道位有效位的设置为无效。如果系统任意一步检测出异常，则根据异常的不同类型给出异常码；异常码由长度为4的字符串组成，第0位表示所检测异常报文的危险级，危险级是异常行为对系统威胁的评级，设定为1～3级，数值越小，则危险级越高，第1位为所属以上四种异常类型的类型编号，如是报文格式及配置信息异常，第1位数值为1；如是报文采样计数器逻辑类异常，第1位数值为2；如是报文状态信息异常，第1位数值为3；如是报文品质值异常，第一位数值为4；第2、3位表示四大类异常细分后具体异常类型的编号。本专利技术与现有技术相比，其显著优点：通过对SV报文每类异常行为的检测参数进行分析，并对其相应的异常行为进行了归纳总结，实现了对一帧SV报文简洁而全面的分析判断，并依据这些判别结果，对SV报文的各种异常进行精确定位，并根据所检测异常报文的危险级分级告警。本专利技术逻辑简洁，分析全面，并且通过采用本方案，能有效提高变电站的调试效率，增强变电站运行的安全稳定性，可实现一种逻辑缜密的异常检测。附图说明图1为本专利技术针对SV报文异常检测方法的流程图。图2为本专利技术SV报文格式及配置信息异常检测流程图。图3为本专利技术SV报文采样计数器逻辑异常检测流程图。图4为本专利技术SV报文状态信息异常检测流程图。图5为本专利技术SV报文品质值异常检测流程图。具体实施方式下面结合附图对本专利技术作进一步描述。一种针对IEC61850协议SV(Sample Value)报文异常的检测方法，检测流程如图1所示。检测针对以下四类异常：(1)SV报文格式及配置信息异常1)SV报文格式错误2)SV报文配置信息错(2)SV报文采样计数器逻辑异常1)SV报文乱序2)SV报文丢失3)SV报文重复(3)SV报文状态信息异常1)SV报文中断2)SV报文不同步(4)SV报文品质值异常1)SV报文处于测试模式2)SV报文状态无效针对第(1)类异常的检测：检测流程如图2所示，首先解析出SV报文的头部信息，提取length域的值，先判断该值是否等于SV报文PDU长度加8或SV报文长度减18；再判断报文组播地址的范围是否从01-0C-CD-04-00到01-0C-CD-04-FF；最后判本文档来自技高网...

【技术保护点】
一种针对IEC61850协议SV报文的异常检测方法，其特征在于：首先对一帧SV报文格式和配置信息进行检测，这两项检测中任一项有错误则结束该报文后续的检测；如果SV报文的格式和配置信息均无误，则继续通过对smpCnt值进行逻辑分析，判断报文是否出现乱序、丢失、重复异常现象；如果smpCnt出现逻辑错误，则结束该报文后续的检测；如果smpCnt无逻辑错误，则继续对SV报文的状态信息进行检测，检测其是否处于中断或同步状态；如果报文出现状态异常，则结束该报文后续的检测；如果报文无状态异常，则继续检测报文的品质值（test、validity），判断报文的品质因数是否异常。

【技术特征摘要】
1.一种针对IEC61850协议SV报文的异常检测方法，其特征在于：首先对一帧SV报文格式和配置信息进行检测，这两项检测中任一项有错误则结束该报文后续的检测；如果SV报文的格式和配置信息均无误，则继续通过对smpCnt值进行逻辑分析，判断报文是否出现乱序、丢失、重复异常现象；如果smpCnt出现逻辑错误，则结束该报文后续的检测；如果smpCnt无逻辑错误，则继续对SV报文的状态信息进行检测，检测其是否处于中断或同步状态；如果报文出现状态异常，则结束该报文后续的检测；如果报文无状态异常，则继续检测报文的品质值（test、validity），判断报文的品质因数是否异常。2.根据权利要求1所述的针对IEC61850协议SV报文的异常检测方法，其特征在于：针对SV报文格式及配置信息错误异常，包括SV报文格式错误和SV报文配置信息错误，采用的检测方法为：首先解析出SV报文的头部信息，提取length域的值，先判断该值是否等于SV报文PDU长度加8或SV报文长度减18；再判断报文组播地址的范围是否从01-0C-CD-04-00到01-0C-CD-04-FF；最后判断报文编码是否满足ANS.1的Tag-Length-Value格式，并能够找到对应域tag值，如以上三个判断条件有一个不满足，则判断SV报文格式错误，结束本帧报文的后续分析；如SV报文格式正确，判断SV报文的MAC、APPID、savPdu、svID与SCD文件中对应的配置内容是否相符，如果报文配置信息与CID文件中预先配置的所有值都一致才进行解析,否则丢弃报文，结束本帧报文的后续分析。3.根据权利要求1所述的针对IEC61850协议SV报文的异常检测方法，其特征在于：针对SV报文采样计数器逻辑异常，包括①SV报文乱序、②SV报文丢失、③ SV报文重复，采用的检测方法为：如果之前检测中未发现SV报文异常，则继续进行如下判断：如果当前帧的smpCnt不比前一帧smpCnt大...

【专利技术属性】
技术研发人员：张悦，刘光杰，戴跃伟，任梦晨，马英杰，叶会成，郑大刚，
申请(专利权)人：南京理工大学，
类型：发明
国别省市：江苏;32