趙明明，司紅星，劉 潮

（1.國(guó)網(wǎng)思極網(wǎng)安科技（北京）有限公司，北京 102209；2.四維創(chuàng)智（北京）科技發(fā)展有限公司，北京 100085）

0 引 言

當(dāng)前針對(duì)電廠機(jī)組跳閘后的事件分析，主要依賴于汽輪機(jī)緊急跳閘系統(tǒng)（Emergency Trip System，ETS）的跳閘輸出記錄和分散控制系統(tǒng)（Distributed Control Systems，DCS）的事件順序（Sequence of Event，SOE）記錄[1-3]。因ETS 系統(tǒng)及SOE 記錄采集數(shù)據(jù)受限，導(dǎo)致部分機(jī)組跳閘事件無(wú)法分析[4-5]。針對(duì)這一情況，舒斐等人[6]結(jié)合深度置信網(wǎng)絡(luò)（Deep Belief Networks，DBN）算法和隨機(jī)森林（RandomForest，RF）算法，對(duì)工控設(shè)備的異常進(jìn)行識(shí)別；吳英友等人[7]采用兩階段聚類的方法檢測(cè)工控設(shè)備的異常狀態(tài)。但是前者的適用性較弱，后者的精準(zhǔn)程度較低。

為此，本文研究基于數(shù)據(jù)挖掘與關(guān)聯(lián)分析的工控設(shè)備異常運(yùn)行狀態(tài)自動(dòng)化檢測(cè)方法，通過(guò)獲取工控設(shè)備運(yùn)行狀態(tài)數(shù)據(jù)間的關(guān)聯(lián)規(guī)則展開(kāi)數(shù)據(jù)挖掘，準(zhǔn)確、高效地實(shí)現(xiàn)工控設(shè)備異常運(yùn)行狀態(tài)自動(dòng)化檢測(cè)。

1 工控設(shè)備異常運(yùn)行狀態(tài)自動(dòng)化檢測(cè)

在分布式系統(tǒng)中，工控設(shè)備往往扮演著主機(jī)的角色，若由工控設(shè)備控制的整個(gè)系統(tǒng)因未能及時(shí)重啟而停止工作，將造成事故或經(jīng)濟(jì)損失，因此，有必要根據(jù)DCS 網(wǎng)絡(luò)全流量數(shù)據(jù)和日志數(shù)據(jù)，逐一分析工業(yè)控制設(shè)備的異常運(yùn)行狀態(tài)。

1.1 DCS 網(wǎng)絡(luò)全流量數(shù)據(jù)分析

某電廠在1月內(nèi)連續(xù)2 次出現(xiàn)過(guò)不明原因的非計(jì)劃停機(jī)，嚴(yán)重影響電廠及電網(wǎng)安全運(yùn)行，應(yīng)電廠要求我司專業(yè)人員于8月7日到達(dá)現(xiàn)場(chǎng)開(kāi)展機(jī)組異常跳閘檢查分析。對(duì)電廠前期已進(jìn)行的檢查工作再次梳理，對(duì)機(jī)組進(jìn)行模擬啟動(dòng)全仿真試驗(yàn)，通過(guò)超速保護(hù)控制單元（Over speed Protect Controller，OPC）超速試驗(yàn)復(fù)現(xiàn)了機(jī)組異常停機(jī)，基于DCS 網(wǎng)絡(luò)全流量分析技術(shù)，真實(shí)還原機(jī)組跳閘的全過(guò)程，從而對(duì)電廠機(jī)組異常停機(jī)事件進(jìn)行精準(zhǔn)的定性分析。

1.1.1 DCS 網(wǎng)絡(luò)全流量綜述

試驗(yàn)期間采集的全流量數(shù)據(jù)事件記錄時(shí)間范 圍：2020-8-7 14:04:34~2020-8-7 18:31:55，采集流量會(huì)話、IP 資產(chǎn)、所使用的通信協(xié)議情況如表1、表2所示。

表1 流量總體情況

表2 流量資產(chǎn)、協(xié)議情況

1.1.2 DCS 網(wǎng)絡(luò)全流量數(shù)據(jù)統(tǒng)計(jì)

（1）原始流量采集情況（時(shí)間、跨度）。本次分析采集了該電廠#2 機(jī)組一區(qū)DCS 系統(tǒng)數(shù)據(jù)，2020-8-7 14:04:34~2020-8-7 18:31:55 時(shí)間段的流量，共計(jì)134.14 GB，如表3所示。

表3 原始流量采集情況

（2）流量統(tǒng)計(jì)概況。IP-Top-ALL 表是指通過(guò)統(tǒng)計(jì)原始流量得到的IP 端點(diǎn)表，總計(jì)63 個(gè)IP 地址。IP 會(huì)話表是指通過(guò)統(tǒng)計(jì)原始流量得到的，總計(jì)66 個(gè)IP 會(huì)話。協(xié)議流量統(tǒng)計(jì)是指通過(guò)統(tǒng)計(jì)原始流量得到使用的協(xié)議所占流量大小情況，具體如表4所示。用戶數(shù)據(jù)報(bào)協(xié)議（User Datagram Protocol，UDP）會(huì)話是通過(guò)統(tǒng)計(jì)原始流量得到的UDP 會(huì)話表，總計(jì)188 個(gè)UDP 會(huì)話。主要資產(chǎn)信息是對(duì)采集流量進(jìn)行整理，通過(guò)物理會(huì)話可以定位DCS 主副控制器與操作站，其包含主控制器20 個(gè)，副控制器20 個(gè)，工程師站、操作員站、歷史站11 個(gè)。

表4 協(xié)議流量統(tǒng)計(jì)情況

1.1.3 DCS 網(wǎng)絡(luò)通信結(jié)構(gòu)

通過(guò)對(duì)采集的DCS 網(wǎng)絡(luò)全流量IP 節(jié)點(diǎn)、會(huì)話、協(xié)議進(jìn)行分析，可從流量數(shù)據(jù)分析中提取以下內(nèi)容：過(guò)程控制數(shù)據(jù)實(shí)時(shí)上報(bào)；操作事件記錄日志；過(guò)程控制報(bào)警上報(bào)；DCS 系統(tǒng)網(wǎng)絡(luò)時(shí)間協(xié)議（Network Time Protocol，NTP）對(duì)時(shí)；DCS 系統(tǒng)核心交換機(jī)的雙機(jī)熱備。

1.2 日志數(shù)據(jù)預(yù)處理

以上述DCS 網(wǎng)絡(luò)全流量數(shù)據(jù)作為工控設(shè)備運(yùn)行狀態(tài)數(shù)據(jù)，其是一種結(jié)構(gòu)多為無(wú)結(jié)構(gòu)化或半結(jié)構(gòu)化的日志數(shù)據(jù)，涵蓋了事件發(fā)生的具體時(shí)間與內(nèi)容。為提升日志數(shù)據(jù)的挖掘質(zhì)量，需利用應(yīng)用數(shù)據(jù)預(yù)處理技術(shù)來(lái)獲取干凈、準(zhǔn)確的數(shù)據(jù)源[8]。數(shù)據(jù)預(yù)處理的流程如圖1所示。

將原始工控設(shè)備運(yùn)行狀態(tài)數(shù)據(jù)的日志進(jìn)行合并后，展開(kāi)日志清理，根據(jù)挖掘任務(wù)處理日志文件，清理與挖掘關(guān)聯(lián)性不強(qiáng)的對(duì)象之間的引用；對(duì)清理后的日志進(jìn)行用戶識(shí)別，以用戶記錄的形式來(lái)表示同一個(gè)用戶的日志活動(dòng)序列，得到一個(gè)點(diǎn)擊流；通過(guò)會(huì)話識(shí)別從點(diǎn)擊流數(shù)據(jù)中重構(gòu)頁(yè)面信息，以此獲取用戶瀏覽網(wǎng)頁(yè)的實(shí)際行為序列[9-10]；經(jīng)路徑補(bǔ)充能夠?qū)⑦z漏的請(qǐng)求填充在用戶會(huì)話中優(yōu)化識(shí)別出正確的用戶會(huì)話，獲取完整的用戶會(huì)話序列；采用事務(wù)識(shí)別把訪問(wèn)的網(wǎng)頁(yè)順序分割為能夠代表所有用戶會(huì)話的邏輯單元，找到最有含義的會(huì)話訪問(wèn)路徑，最終獲取日志數(shù)據(jù)中需要應(yīng)用的事務(wù)數(shù)據(jù)。

1.3 日志特征提取

日志的特征挑選是工控設(shè)備運(yùn)行狀態(tài)自動(dòng)化檢測(cè)的關(guān)鍵，其特征的差異會(huì)嚴(yán)重影響后續(xù)結(jié)果。當(dāng)日志分解為獨(dú)立事件后，還需對(duì)其進(jìn)行編碼，獲取一個(gè)數(shù)字特征向量，實(shí)現(xiàn)運(yùn)行狀態(tài)自動(dòng)化檢測(cè)模型的輸入。日志的劃分應(yīng)用窗口機(jī)制包括固定、滑動(dòng)和會(huì)話3 種窗口。

由于現(xiàn)實(shí)中事務(wù)日志具有差異，使得其運(yùn)行狀態(tài)自動(dòng)化檢測(cè)重要度也存在差異，所以需采用逆文檔頻率（Inverse Document Frequency，IDF）對(duì)差異事務(wù)日志的權(quán)重展開(kāi)計(jì)算，該技術(shù)是一種能夠?qū)崿F(xiàn)信息搜索的術(shù)語(yǔ)加權(quán)技術(shù)[11]，能夠獲取某術(shù)語(yǔ)在某文檔中的重要程度。把每個(gè)工控設(shè)備運(yùn)行狀態(tài)的事務(wù)日志當(dāng)作一個(gè)術(shù)語(yǔ)，以各日志序列為一文檔。若某事務(wù)日志多次出現(xiàn)于多個(gè)日志序列內(nèi)，則該事務(wù)日志在工控設(shè)備運(yùn)行狀態(tài)自動(dòng)化檢測(cè)中的權(quán)重較低。IDF 的計(jì)算公式表示為：

其中，N、nt分別為日志序列總數(shù)與事務(wù)t出現(xiàn)的序列數(shù)。通過(guò)IDF 的計(jì)算公式，可從事務(wù)計(jì)數(shù)矩陣中獲取事務(wù)權(quán)重矩陣，得出日志的特征矩陣。

1.4 日志分析

日志分析主要包括聚類分析和關(guān)聯(lián)規(guī)則挖掘兩個(gè)部分。其中，聚類分析是應(yīng)用凝聚型層次聚類算法，通過(guò)聚類特征向量初步區(qū)分工控設(shè)備的正常、異常運(yùn)行狀態(tài)數(shù)據(jù)；關(guān)聯(lián)規(guī)則挖掘是應(yīng)用Apriori 改進(jìn)算法，關(guān)聯(lián)規(guī)則挖掘工控設(shè)備正常運(yùn)行產(chǎn)生的日志數(shù)據(jù)集，利用所挖掘的工控設(shè)備正常運(yùn)行狀態(tài)構(gòu)建正常行為模式庫(kù)。

1.4.1 日志聚類

通過(guò)聚類較為相似的日志數(shù)據(jù)來(lái)區(qū)分工控設(shè)備正常、異常運(yùn)行狀態(tài)。由于在目標(biāo)工控設(shè)備內(nèi)獲取的日志數(shù)據(jù)無(wú)標(biāo)簽，所以一般采用凝聚型層次聚類算法過(guò)濾海量日志數(shù)據(jù)中的正常日志數(shù)據(jù)，獲取工控設(shè)備異常運(yùn)行狀態(tài)數(shù)據(jù)候選集[12]。凝聚型層次聚類算法內(nèi)的距離度量利用歐氏距離，則日志序列Si與Sj的歐氏距離為：

其中，SiEk、SjEk分別表示第i、j個(gè)日志序列中的第k個(gè)事件。

聚類時(shí)，先把所有日志序列當(dāng)作一個(gè)類簇，計(jì)算類簇之間的距離，合并距離最近的兩個(gè)簇。為實(shí)現(xiàn)簇的合并，需要先對(duì)其距離度量展開(kāi)定義，以各簇內(nèi)日志序列間的最大距離為其距離度量[13]，聚類結(jié)束的條件為距離閾值e，在簇間的最大距離大于e的情況下結(jié)束聚類。

工控設(shè)備運(yùn)行狀態(tài)自動(dòng)化檢測(cè)階段，需要求取給定日志序列與目前簇的向量距離，若其與最近簇之間的歐氏距離低于閾值，則分割該日志序列特征向量至最近簇，反之則生成一個(gè)新簇。若距離最近的簇是正常的日志序列，則為正常，反之則為異常。

1.4.2 日志關(guān)聯(lián)分析

以日志聚類中獲取的工控設(shè)備正常運(yùn)行狀態(tài)數(shù)據(jù)特征為輸入，展開(kāi)日志關(guān)聯(lián)分析，輸出表示工控設(shè)備正常運(yùn)行狀態(tài)的頻繁集和關(guān)聯(lián)規(guī)則信息[14]，通過(guò)關(guān)聯(lián)分析挖掘海量日志數(shù)據(jù)中的工控設(shè)備正常運(yùn)行狀態(tài)數(shù)據(jù)，構(gòu)建工控設(shè)備正常運(yùn)行的模式規(guī)則庫(kù)。

關(guān)聯(lián)規(guī)則挖掘算法的主要目的是搜索分析蘊(yùn)含于項(xiàng)集之間類似X?Y的規(guī)則，通過(guò)經(jīng)典的Apriori 算法可有效實(shí)現(xiàn)該目的，Apriori 算法的應(yīng)用過(guò)程如下文所述。

（1）項(xiàng)目和項(xiàng)集。令I(lǐng)={i1,i2,…,im}表示項(xiàng)集。其中，所有ik(k=1,2,…,m)為項(xiàng)目。項(xiàng)集長(zhǎng)度為項(xiàng)集I中所含項(xiàng)目的數(shù)量k。

（2）事務(wù)和事務(wù)數(shù)據(jù)庫(kù)。所有事務(wù)均為I中子集，將其表示為T，得到T?I。利用事務(wù)ID 區(qū)分差異事務(wù)，有利于查找、累計(jì)頻繁集。所有事務(wù)集表示為事務(wù)數(shù)據(jù)庫(kù)D，通過(guò)描述D中所含事務(wù)數(shù)。

（3）項(xiàng)集的支持度。針對(duì)項(xiàng)集X(X∩I)，通過(guò)count(X?T)代表D中所含X的事務(wù)數(shù)，得到X的支持度為：

（4）項(xiàng)集的最小支持度和頻繁集。搜索關(guān)聯(lián)規(guī)則時(shí)，項(xiàng)集必須符合特定支持度閾值（項(xiàng)集最小支持度），將其表示為supmin。在某項(xiàng)集支持度大于或等于supmin的情形下，將該項(xiàng)集稱作頻繁集；不符合要求的稱作非頻繁集。

（5）關(guān)聯(lián)規(guī)則。定義關(guān)聯(lián)規(guī)則形式為：

其中，X?I、Y?I且X∩Y=?，X、Y分別表示規(guī)則R的條件、結(jié)果。R意為在某事務(wù)內(nèi)存在X時(shí)，有一定概率也存在Y。

R:X?Y表示在X內(nèi)的項(xiàng)目存在時(shí)，Y內(nèi)的項(xiàng)目也對(duì)應(yīng)存在。

（6）關(guān)聯(lián)規(guī)則的支持度。當(dāng)R:X?Y，X?I、Y?I且X∩Y=?時(shí)，R的支持度可以通過(guò)D內(nèi)同時(shí)存在X、Y的事務(wù)數(shù)和全部事務(wù)數(shù)的比值描述，用support(X?Y)表示：

（7）關(guān)聯(lián)規(guī)則的可信度。當(dāng)R:X?Y，X?I、Y?I且X∩Y=?時(shí)，可以通過(guò)同時(shí)存在X、Y的事務(wù)數(shù)和存在X的事務(wù)數(shù)的比值描述可信度，其映射了事務(wù)內(nèi)存在X的同時(shí)存在Y的概率，用confidence(X?Y)表示：

（8）連接和剪枝。當(dāng)同長(zhǎng)度的兩個(gè)頻繁集中僅有某一不同項(xiàng)時(shí)，連接獲取候選頻繁集為連接。當(dāng)已知頻繁集的每個(gè)子集都為頻繁時(shí)，修剪候選頻繁集的流程為剪枝[15]。

在Apriori 算法中，工控設(shè)備運(yùn)行狀態(tài)數(shù)據(jù)挖掘時(shí)不斷形成候選頻繁集，經(jīng)其支持度計(jì)算形成頻繁集，通過(guò)連接、剪枝獲取新候選集，迭代至不能形成新的頻繁集時(shí)算法結(jié)束。

由于Apriori 算法在計(jì)算過(guò)程中存在形成的候選集多、運(yùn)行效率低等問(wèn)題，本文提出了基于矩陣的Apriori 算法，以矩陣的形式描述事務(wù)數(shù)據(jù)庫(kù)，提升Apriori 算法的性能，基于矩陣的Apriori 算法的定義域與實(shí)現(xiàn)步驟如下文所述。

定義1：針對(duì)任意給定D存在映射關(guān)系f:D→M與f(D)=Mm×n，其中，m、n分別表示項(xiàng)目數(shù)、事務(wù)數(shù)，Mij定義為：

定義i和j為兩個(gè)不同的事務(wù)數(shù)據(jù)庫(kù)候選集，得出事務(wù)數(shù)據(jù)庫(kù)的支持度Mij，i=1,2,…,m，j=1,2,…,n。

定義2：D中所有項(xiàng)Ii的向量表示為：

其中，Ii的支持度計(jì)數(shù)表示為：

定義3：兩項(xiàng)集 {I i,Ij}的向量公式為：

其中，k為項(xiàng)集長(zhǎng)度，兩項(xiàng)集 {Ii,Ij}的支持度計(jì)數(shù)通過(guò)Ii、Ij的向量?jī)?nèi)積描述，得到：

定義4：K項(xiàng)集 {I1,I2,… ,Ik}的向量為(L1,2,…,k=Ll∧L2∧…∧Lk，則其支持度計(jì)數(shù)為：

算法具體步驟為：

步驟1：按照定義1，將D映射成相應(yīng)布爾矩陣，其中行、列分別表示“項(xiàng)”“事務(wù)”；按照定義2 求取完成轉(zhuǎn)換的矩陣所有行的向量和，得出所有項(xiàng)的支持度計(jì)數(shù)，最小支持度的項(xiàng)為頻繁集。

步驟2：按照所得K項(xiàng)集連接形成候選集，對(duì)候選集剪枝。

步驟3：結(jié)合定義3 和定義4，重新掃描D相應(yīng)矩陣的行向量?jī)?nèi)積獲取對(duì)應(yīng)支持度計(jì)數(shù)，若結(jié)果高于最小支持度計(jì)數(shù)，則為K項(xiàng)集。

1.5 日志檢測(cè)

以采集的DCS 網(wǎng)絡(luò)全流量數(shù)據(jù)形成的工控設(shè)備運(yùn)行狀態(tài)日志序列為輸入，通過(guò)預(yù)處理、特征提取等方式獲取待監(jiān)測(cè)的工控設(shè)備運(yùn)行狀態(tài)數(shù)據(jù)的特征向量，通過(guò)基于矩陣的Apriori 算法挖掘到待測(cè)數(shù)據(jù)的規(guī)則集，以關(guān)聯(lián)分析獲取的工控設(shè)備正常運(yùn)行狀態(tài)規(guī)則集為參照，對(duì)比兩者的相似度，輸出工控設(shè)備異常運(yùn)行狀態(tài)的自動(dòng)化檢測(cè)結(jié)果。

設(shè)置關(guān)聯(lián)規(guī)則R1:X1?Y1和R2:X2?Y2，R1、R2的支持度、置信度分別為s1與s2、c1與c2，相似度為：

其中，相似度為0 的條件是X1≠X2或Y1≠Y2，相似度最大的限定條件為X1=X2且Y1=Y2，規(guī)則集Q1、Q2的相似度為：

其中，運(yùn)行狀態(tài)規(guī)則集為：

此時(shí)設(shè)定一個(gè)異常判別閾值，若規(guī)則集相似度大于異常判別閾值，則工控設(shè)備運(yùn)行狀態(tài)為正常，反之則為異常。

日志自動(dòng)化檢測(cè)的流程如圖2所示。

日志自動(dòng)化檢測(cè)的目的是對(duì)工控設(shè)備運(yùn)行狀態(tài)進(jìn)行分析與檢測(cè)，為保證工控設(shè)備異常運(yùn)行狀態(tài)自動(dòng)化檢測(cè)的準(zhǔn)確性與效率，可在匹配異常時(shí)加入專家?guī)旎蛉斯みM(jìn)行判別。

2 實(shí)驗(yàn)分析

為驗(yàn)證Apriori 算法改進(jìn)后的優(yōu)越性，對(duì)比其與傳統(tǒng)Apriori 算法在差異最小支持度、事務(wù)數(shù)據(jù)量下的執(zhí)行時(shí)間，結(jié)果如圖3、圖4所示。

通過(guò)圖3、圖4可以看出，在數(shù)據(jù)庫(kù)大小一定的情況下，最小支持度為0.01 時(shí)，Apriori 算法改進(jìn)前后的執(zhí)行時(shí)間差異較大，算法改進(jìn)后的執(zhí)行效率較高；在最小支持度一定的情況下，隨著事務(wù)數(shù)據(jù)量的提升，Apriori 算法改進(jìn)后的執(zhí)行時(shí)間低于改進(jìn)前，說(shuō)明Apriori 算法改進(jìn)后的執(zhí)行效率高。

為了驗(yàn)證本文方法的性能，選取某電場(chǎng)工控設(shè)備作為實(shí)驗(yàn)對(duì)象進(jìn)行相關(guān)的實(shí)驗(yàn)分析，將工控設(shè)備數(shù)據(jù)庫(kù)作為測(cè)試數(shù)據(jù)集。選用文獻(xiàn)[6]的DBN-RF 的工控設(shè)備狀態(tài)檢測(cè)方法和文獻(xiàn)[7]的兩階段聚類的工控設(shè)備狀態(tài)檢測(cè)方法作為實(shí)驗(yàn)對(duì)比方法。

分別采用3 種方法對(duì)工控設(shè)備異常運(yùn)行狀態(tài)進(jìn)行檢測(cè)，得到3 種方法的檢測(cè)誤差對(duì)比，結(jié)果如圖5所示。

分析圖5可知，其他2 種方法對(duì)工控設(shè)備異常運(yùn)行狀態(tài)進(jìn)行檢測(cè)的誤差顯著高于本文方法的誤差，其他2 種方法的平均誤差分別約為0.3、0.2；而采用本文方法的平均誤差約為0.05，說(shuō)明本文方法對(duì)工控設(shè)備異常運(yùn)行狀態(tài)的檢測(cè)精度較高。

分析本文方法檢測(cè)工控設(shè)備異常運(yùn)行狀態(tài)的能力，結(jié)果如圖6所示。

分析圖6可知，本文方法可將數(shù)據(jù)集內(nèi)異常運(yùn)行的工控設(shè)備檢測(cè)出來(lái)，不受維度和設(shè)備故障類型數(shù)量的影響。利用本文方法檢測(cè)時(shí)，聚類的故障類型在三維空間內(nèi)的距離較近，聚類的故障類型分布邊緣清晰。綜上所述，本文方法可有效檢測(cè)工控設(shè)備異常運(yùn)行狀態(tài)，具備良好的應(yīng)用性。

以檢測(cè)故障類型的貼近度為衡量指標(biāo)，設(shè)置其閾值小于1，統(tǒng)計(jì)本文方法檢測(cè)工控設(shè)備異常運(yùn)行狀態(tài)的故障類型貼近度，結(jié)果如圖7所示。

分析圖7可知，本文方法檢測(cè)工控設(shè)備異常運(yùn)行狀態(tài)時(shí)的故障貼近度存在波動(dòng)，但幅度較小。其中最大故障貼近度出現(xiàn)在由網(wǎng)絡(luò)故障引起的設(shè)備異常運(yùn)行狀態(tài)檢測(cè)中，貼近度數(shù)值接近1。最小故障貼近度出現(xiàn)在由工控機(jī)故障引起的設(shè)備異常運(yùn)行狀態(tài)監(jiān)測(cè)中，其數(shù)值約為0.92。上述結(jié)果表明，本文方法在檢測(cè)工控設(shè)備異常運(yùn)行狀態(tài)時(shí)的故障貼近度數(shù)值均小于1，具有較為準(zhǔn)確的檢測(cè)結(jié)果。

3 結(jié) 論

通過(guò)對(duì)某電廠DCS 系統(tǒng)網(wǎng)絡(luò)全流量數(shù)據(jù)采集，并對(duì)數(shù)據(jù)采集過(guò)程中發(fā)生的機(jī)組異常跳機(jī)事件進(jìn)行全面分析，通過(guò)日志挖掘與關(guān)聯(lián)分析，研究工控設(shè)備的異常運(yùn)行狀態(tài)，實(shí)現(xiàn)工控設(shè)備異常運(yùn)行狀態(tài)的自動(dòng)化檢測(cè)。分析結(jié)果表明，網(wǎng)絡(luò)全流量數(shù)據(jù)“功在電網(wǎng)，利在電廠”，對(duì)電廠及電網(wǎng)的安全穩(wěn)定運(yùn)行有重要的指導(dǎo)意義和借鑒作用。