SCADA 告警系統中智能化收斂策略的設計與實現

遲海龍，汪華強

（1.中國水利水電科學研究院 自動化所，北京 100038；2.北京中水科水電科技開發有限公司，北京 100038）

目前水電廠都配置有計算機監控系統，運行人員主要通過監控系統的畫面、圖表系統和事件告警系統來了解掌握生產系統的實時運行信息，告警系統作為現代化水電站監控系統的重要組成部分，已經成為運行人員監視系統重要有利的工具。事實上、現代化水電站運行中，對警告系統的依賴程度大大增加。告警系統提供絕大多數生產系統的實時運行信息。如何讓告警系統快速、準確、高效為運行人員提供生產運行信息，是目前水電站生產智能化的一個重要方向。

1 研究背景及原則

1.1 背景

通過對某大型電站的告警信息進行分析發現，該電站全廠設備各類型信號由LCU 采集后未作任何判斷處理直接上送至監控系統。針對2020 年每日告警一覽表進行統計，發現全年共產生510 萬條信號，平均每日產生1.4 萬條信號，其中最多的一天產生了6.8 萬條信號。監控系統每日告警信號繁多，給運行人員監屏工作帶來一定壓力，容易致使運行人員遺漏重要告警信息，存在延誤處理造成事故的風險。目前對測點冗余重復告警和洪水告警有很多傳統的處理策略，例如濾波、延時或閉鎖等技術的采用有效減少告警抖動信息的數量，具體可參考遲海龍 等[1]相關的詳細討論。

1.2 告警到達速率定義和原則

告警到達速率是刻畫告警的一項重要指標，它反映告警發生的頻率，是告警處理的重要基礎刻畫，告警原則要滿足以下3 點：

（1）體現單位時間內警報信息到達的數量 ，即在預定義的單位時間內實際到達告警的個數；

（2）體現各個信息之間的間隔長度及間隔分布密度，就是在原則1 相同的情況下要對不同的告警到達間隔疏密不同有所區分，到達間隔密集的要高于間隔稀疏的，即要考慮告警到達密度分布不均衡的影響 ；

（3）體現時間衰減因子各個間隔影響，就是在原則2 的相同情況下，對到達間隔密度發生的時間位置要有所區分，引入該因子是基于告警系統中一般認為時間較長的告警被作為陳舊告警，其信息由于已識別或者時間緊迫周期已過，表述意義沒有最新的告警重要。告警速率的具體定義可以參考相關文獻[2]，此文不在贅述。一般過程工業告警系統的告警達到速率應該不要超過一定的數值，否則就會給運維人員帶來識別上的壓力和困難。2022 年國家標準GB/T 41261-2022《過程工業報警系統管理》[3]中對于告警速率有相關的推薦指標要求（表1）。具體實施時可按實際情況進行修正采用。

表1 平均報警率

2 相似冗余告警的版面折疊策略

2.1 冗余告警產生原因分析

對于報警系統的噪聲問題國內外監控廠家或者學者有過相對充分和系統的研究，通常認為報警中存在的大量無效、低效甚至是錯誤的報警是告警系統的噪聲，這些作為噪聲的報警信息不僅干擾運行人員，有的甚至還會誤導甚至蒙蔽麻痹了操作人員正常的操作能力，繼而引發事故征候，甚至更大的生產事故。

噪聲報警可能以如下形式存在于系統中：①無效狀態報警信息。例如設備處于非工作狀態或非正常狀態下產生的報警，如機組停機檢修等產生的大量無效報警。②模擬量或者開關量連續頻繁的抖動或者限制變化產生的低效報警。這些報警信息充斥的大量重復低效的信息導致整個報警系統的有效、關鍵報警信息量過低，容易使操作人員產生疲倦麻痹的不良工作狀態。③泛洪報警，當整個控制系統處于震蕩或者大規模狀態越遷時，系統會產生非常大量的點狀態和數值變化。巨量報警信息“涌進”報警系統后，輕則導致系統通道阻塞，信息延遲等，重則可能使整個控制系統癱瘓，操作人員無法正常監控生產。

2.2 冗余相似告警的折疊處理

2.2.1 相同分組折疊策略處理

首先對告警的特征進行分析和判定，如果滿足折疊要求就啟動分組聚合策略。該策略就是判斷每個告警之間的特征關聯信息是否相同，這里告警關聯信息可以選擇測點的點名或者英文名字，如果相同則進行聚合。核心思想就是去除告警中相同冗余的部分，通過提取公共部分的方法將相同的重復告警“折疊”成一條復合告警信息，復合告警信息可以體現出告警復合的數目，同時也將差異部分進行降維度的壓縮顯示。這樣可以最大限度消除重復信息。同時由于聚合操作中對任意告警都沒有丟棄，所以整個折疊壓縮過程信息是無損的。

圖1 告警折疊版面示意圖

2.2.2 相似分組折疊的方法

相似分組折疊的策略與相同折疊策略大致相似，只是在折疊中的折疊依據從相同的關鍵信息改為相似的一組測點信息。這里首先要計算每個告警之間的特征關聯距離和屬性相似度，相同相近的進行聚合。 但聚類算法由于計算指標公式比較復雜且計算復雜度較高，在實際應用中有性能瓶頸。所以可以通過預先認為設定或者相似測點頻繁集算法來定義一簇測點族。相同族內的信息折疊一條信息，信息樹的根節點信息為族內重要代表測點信息。例如系統在開關機組等控制過程中可能會產生各個相關設備動作及各種油氣水參數變化等信息。這些信息可以定義為以開機過程為中心的一組測點群，通過相關測點分組方式折疊為一條開機信息告警。這樣告警面板中信息簡明扼要，可有效減少人員工作強度。

3 規則引擎

3.1 規則引擎簡述

在方案中設置了規則分析引擎、規則數據庫、告警面板、規則配置等模塊 。規則分析引擎中又包括規則分析和規則棧，總體方案見圖2。

圖2 智能告警總體架構框圖

當原始告警信息到達后首先要進入到規則分析引擎中 ，規則引擎首先提取出告警信息中的規則關鍵信息點，然后用得到的關鍵信息到規則數據庫中查找已有的規則信息，當查到后需要將查到的規則壓入規則棧中，原始告警到達規則分析引擎后，經過一簇規則序列處理后得到結論告警信息發送給告警面板或沒有相關處理規則的時候，告警信息需按原樣發送給告警面板。每個原始告警到達告警協議棧時都要經過協議棧中所有規則處理后決定其下一步處理方式 ，這樣原始告警的生數據信息經過處理后變成了人為更容易識別的熟數據。規則配置模塊為人為配置信息輸入窗口，系統啟動后會自動裝載預設的規則信息。

3.2 規則引擎工作原理

規則引擎是由一系列規則構成的規則鏈。而構成規則鏈的規則則可以分為條件和動作兩個部分。其基本的語法描述為： “ RULE parmeters WHEN conditions THEN acttions END ; ”其中“RULE”“WHEN” “THEN” “END”是構成 描述規則的基本框架的保留字。“WHEN”及 “conditions”構成了條件體，而“THEN actions”構成了告警評審體。當規則中的條件體滿足時就會執行評審體中的命令。

當規則壓入規則棧后，規則引擎就會在每個原始告警信息到達后，對信息進行順次分析處理。規則在規則棧中是以鏈式的方式進行存儲的，告警信息會通過每個規則的審查，如果該規則對該條告警信息適用則對其進行分析處理，處理的結果有如下3 種情況（圖3）：

圖3 規則棧工作原理圖

（1）適用該規則且滿足該時序規則的預設條件子模式，則在處理過程中對告警進行緩存并“吞掉”該信息。直道最后一個模式結束的告警信息到達，規則會發出結論告警信息到面板；

（2）使用該規則且不滿足該時序規則的預設子模式時，則將之前緩存吞掉的告警信息釋掉，一并“吐出”，并給出該規則不滿足的具體原因，發送到面板；

（3）不適用該規則，則順次進入到規則鏈中的下一個規則處理中，直到找到使用的時序規則并處理之，或者如果規則棧中沒有任何適用的規則，則該告警會保持原始狀態發送至面板。

3.3 規則引擎中的審計和推導

對于規則引擎來說每一條告警信息可被認為是一個事實（fact），工作中，每條事實告警都要順序的通過規則鏈中的各個規則，并被之評審（review）。當事實滿足規則的評審要求時，規則可能會對告警事實進行相關評審工作，比如修改告警的某些參數（等級、內容等）甚至丟棄或者刪除。當一個事實告警被某條規則評審修改后滿足后續告警的規則會重新被評審進而發生連鎖式的修改。這種鏈條遞進式的修改被稱之為規則引擎的推導，通過推導可以讓規則引擎對告警進行強大分析和處理，產生進一步故障溯源的衍生和次生高級告警信息。這種推導有利于我們對告警進行更進一步高階處理。

4 基于邏輯規則的報警收斂

4.1 動態過濾

傳統告警瀏覽器中過濾操作一般通過按鈕和開關等方式實現，這種方式雖然簡單易用但也存在著邏輯表達能力弱，過濾效率和準確度不高及過濾條件不可隨心定制等問題。本方案中增加了邏輯表達式方式描述過濾條件的、更高效的過濾方式。

過濾條件的定義：過濾條件可以采用邏輯操作符（與或非）進行連接。可采用傳統的關系運算判斷和邏輯操作等嵌套定義更準確、更深層的過濾條件。例如可查詢等級為2 且告警已經確認的告警，可輸入條件為：“alarm-level＞2 & alarm-aked：1” 。 這里的條件由兩部邏輯體構成，前者為關系運算（大于），可定義查找范圍，后者‘：’為等于運算，可精確定義數值，最后由邏輯‘與’操作鏈接構成。過濾條件里除了采用常用關系運算外還設計了 “in”、 “match”等高級的集合操作命令，‘in’ 可以進行集合范圍內查找，‘match ’可以使用功能更強大的正則表達式過濾，如“alrm_name match r‘.*SXLCU01.*‘”表示參數“alarmname”中包含“SXLCU01”的所有告警 。

過濾條件的糾錯、自動補齊、保存：為了方便用戶的使用，在過濾條件窗口里設計了條件糾錯和自動補齊功能。當用戶輸入一個告警條件的表達式一部分時，系統會自動給出可能的后續命令字串提示，幫助用戶快速準確地完成過濾條件編寫。同時當輸入的命令語法或拼寫有錯誤時輸入框會變為紅色并在底部的提示框給出錯誤信息和修改建議。為了便于用戶對過濾條件的重復使用，系統設計了將已經定義好的過濾條件進行備注保存，用戶可在未來操作中通過快捷菜單快速定位并重復使用已有條件。

4.2 動態屏蔽和審計

為了減少告警的數量，可以通過定義規則對原始告警進行評審處理。動態屏蔽的基本思路為：當一條告警事實進入到規則鏈中的一條規則時，首先判斷條件體是否滿足，如果滿足就轉入到評審體工作中。屏蔽審計設計了如下幾種操作命令：

（1）接受：告警通過評審并原狀進入展示模塊中；

（2）丟棄：告警被丟棄，不再被用戶查看到；

（3）重定向：告警可以重定向到自定義的展示列表中進行分類展示；

（4）刪除：相同測點的告警信息將被刪掉，只保留最新的一條告警信息；

（5）告警參數設定：對告警事實進行參數的修改，如修改告警等級、告警測點的狀態等，并按需進行全系統的測點信息同步。

5 基于狀態綜合時序規則的報警收斂

5.1 時序綜合收斂策略概述

傳統的報警系統對每個事件告警信息點的處理是分立進行的，即每個信息點之間是沒有任何規則處理的，但實際生產系統中，很多信息點其實有著內在統一的聯系，一簇事件信息往往和某個設備的某種工況一一對應。這些事件群通常都是按照內在邏輯關系和空間、時間關系以固定的模式順序發生。這種事件群可稱之為時序報警信息。

時序綜合報警會以一種或多種的固定順序，順次發生或事件到達。為了討論方便，把每一事件點用單個字母替代，例如‘a’事件可能對應的是“開機命令下達”，‘b’事件可以是“PLC 命令收到”。這樣就可以把按照時間先后順序到達的事件描述為‘ab$’，其中‘$’符號代表這一模式的結束，所以每個順序的事件告警都可以對應一個預定義的字串。同樣地，每個字串也代表了某種順序發生事件鏈[4]。

5.2 時序收斂的實現

按照前述規則字串與事件對應關系，為了更好描述順序規則，引入計算機系統中對字串有著更強表達能力的正則表達式（Regular Expression）來描述。正則表達式可以描述順序的乃至周期循環的各種事件的信息。該方法可以表達分支（或）循環、某個子模式的重復等信息。具體語法描述可以從相關互聯網在線文檔中獲得。

舉例來說，如圖4 所示正則表達為“kc（z|j）+d$”，每個字母的代表含義如圖4 左邊的表格所示，這里代表的含義為先發生‘k’事件之后是‘c’，后面的括號代表的是一個子模式的整體。括號里面有兩個事件，‘z’和‘j’事件是或的關系‘|’，即出現‘z’和‘j’其中之一，括號后面的加號代表這個子模式會重復一次或多次（大于等于1 次）也就是“zjzj”， “zzz”，“jjj”……這些子串都是滿足的。最后以‘d’事件結束整個時序規則。反映到具體事件信息上就是‘命令下達’后緊隨‘命令收到’，后面就是若干次的‘增磁’或者‘減磁’動作，最后以命令到位結束本次順序事件過程。如果事件順序滿足這個規則則報告一條綜合信息‘命令執行成功’，如果不滿足此規則會給出不滿足規則的具體原因。

圖4 時序告警正則狀態轉換圖

5.3 時序收斂的舉例

由上述所示的基本時序規則可以演化出多種與時序相關的規則，如等價點規則和多點聯合規則等。等價點規則也稱對偶點規則，就是兩個測點總是對偶相伴出現，例如開關站斷路器的兩個觸點“合閘動作”和“分閘復歸”等，這時可以定義等價點規則將兩個告警綜合為一個告警“斷路器動作”，從而減少告警數量并更加準確表達設備變化情況。對點聯合規則定義為：當一組測點動作但是動作的先后時間順序并不固定，這時可以將這一組動作測點的告警信息綜合為一條聯合告警信息。典型場景為：一組泵設備的動作，如1 號水泵2 號水泵3 號水泵在一起啟動時。可能出現1 號、2 號、3 號，2 號、3 號、1號…等不同順序的告警序列，可用該規則識別此種告警的序列并綜合為“XXX 泵組啟動”等告警信息。

5.4 異常情況時序規則處理

當時序規則發現并注意到事件沒有按照預設的模式發生時，智能規則系統會啟動異常分析機制并把分析的結果報告出來，從某例中我們可以看到該次順序時序事件缺少d，即缺少“調節到位動作”標識信號異常時候報警信息，同樣地分析人員可以從事件信息點名中看出這是一個時序規則綜合報警信息，并且從信息內容可以看到本次事件集合出現問題，時序規則沒有滿足并且不滿足的原因是該規則所期待的“調節到位動作”這一事件沒有如期望那樣到達。或者5.3 章節中聯合點規則異常時可報告諸如“2 號泵設備啟動未發現”等異常信息。通常來說，異常事件的信息等級要比正常事件等級更高，更需引起運行人員的注意。該綜合信息可以及時給運行人員傳達重要且準確的異常溯源的信息。方便人員對生產過程中的異常給與足夠的重視并及時的糾正、解決問題[5]。

6 結語

本文針對目前很多水電站都面臨的告警數量日益增多問題，提出并開發了告警智能化的分析和收斂策略。該策略里通過折疊相似告警的方式可提高版面資源的利用率，降低索引難度；通過規則引擎的告警評審策略可進一步屏蔽無效告警，還可從告警關聯內在語義上進行綜合分析收斂，提高告警表達的準確度，從而解決大中型水電站控制中心及水電遠程控制中心目前所面臨的部分困擾。未來還可對事件的各項參數進行進一步的統計分析，并基于統計數據研究模擬量動態智能閾值參數設定的策略和動態告警等級劃分等工作，更為有效地降低告警系統對運維監盤的壓力，為企業“降本增效”的既定戰略助力賦能。