随着技术的不断发展,电力系统的自动化和智能化程度不断提高,作为关乎国计民生的关建基础设施,智能电网的安全性也越来越受到人们的重视。智能变电站作为智能电网的核心环节,面临的安全挑战十分严峻。智能变电站的安全性,很大程度上是由它的网络通信标准IEC 61850决定的。IEC 61850标准使用三种不同的协议来提供通信服务。其中GOOSE报文传输控制信号和智能电子设备的关键状态信息,如:跳闸、遥控、遥信采集、遥测采集等。针对GOOSE协议的攻击一旦成功,就可能会损坏智能变电站的IED,造成大量经济损失,攻击者甚至可以利用伪造的GOOSE报文控制智能变电站行为,制造大停电或其它严重后果。GOOSE协议对时间的实时性要求极高,很难使用身份认证或加密等技术提升网络的安全性。本文针对现阶段智能变电站过程层网络中传输关键信号的GOOSE协议缺乏安全防护手段的现状,提出了两种主要针对智能变电站过程层网络中GOOSE协议的入侵检测方法。分别是基于特征的入侵检测方法和基于行为的入侵检测方法。基于特征的入侵检测方法,首先确定正常情况下GOOSE报文状态,并根据正常情况下的报文状态,通过协议分析等方式产生检测规则,构成检测模型。利用产生的检测规则和检测模型检测智能变电站网络中的报文。该方法能够实时地对智能变电站过程层报文进行检测,有效地检测出复制的和假冒的GOOSE报文,且不会出现误报。基于行为的入侵检测方法考虑到了目前变电站缺乏攻击流量的现状,使用正常运行状态下智能变电站产生的GOOSE报文作为入侵检测的数据集。首先将GOOSE报文转换为特征向量,使用一分类的分类器(One-Class Classifier)对智能变电站的正常行为建模,利用从正常数据中产生的检测模型来对智能变电站的过程层网络进行异常检测。与基于特征的入侵检测方法相比,这种方法通常能检测到更为复杂的攻击和未知类型的攻击。文章通过对比实验验证了选用的分类器OCELM(One Class classifier with Extreme Learning Machine)的有效性和高效性。