【摘要】电力监控系统广泛采用 IEC 60870-5-104 与 MMS 等工控协议，这类协议在设计阶段未充分考虑安全防护，攻击者容易构造出语法完全合规但语义恶意的报文。本文提出一种不依赖攻击签名的检测思路，直接从原始流量中提取操作类型、对象地址、数值域和交互时序四类元数据，结合协议状态机规则、测点白名单和多维特征偏移度判定异常。在某地调度数据网镜像流量上的验证显示，该方法对违规控制、越界扫描和参数突跳等行为的识别较为稳定，对常规轮询业务的影响极小。