[發明專利]基于SVM的Modbus TCP通訊的異常檢測方法

在審

• 申請號: 201310667742.5
• 申請日: 2013-12-10
• 公開（公告）號: CN104702460A
• 公開（公告）日: 2015-06-10
• 發明（設計）人: 尚文利;萬明;曾鵬;趙劍明;劉賢達;張華良
• 申請（專利權）人: 中國科學院沈陽自動化研究所
• 主分類號: H04L12/26
• 分類號: H04L12/26
• 代理公司: 沈陽科苑專利商標代理有限公司 21002
• 代理人: 周秀梅;許宗富

1.一種基于SVM的Modbus?TCP通訊的異常檢測方法，其特征在于，包括以下步驟：

流量采集：利用Linux內核的Netfilter機制采集工業控制系統中ModbusTCP通訊流量，按照會話進行存儲并且剔除不必要的信息，轉化為僅包含Modbus功能碼的序列；

數據預處理：設定固定長度的滑動窗口，獲取所有不同滑動窗口長度的短模式序列構成集合，按照其中每一個元素出現的頻率，處理正常與異常Modbus?TCP通訊流量中的功能碼序列，從而轉化成為長度一致的SVM能夠處理的向量形式；

PSO優化：將初始化的粒子傳遞給SVM異常識別模型作為參數懲罰因子C和高斯徑向基參數σ，利用SVM模型返回的交叉驗證意義下的分類準確率，作為PSO優化模型中的適應度值，并據此進行粒子群迭代更新；

SVM異常檢測：利用PSO流程傳遞的參數，建立C-SVM流程模型進行異常檢測，并且返回交叉驗證意義下的分類正確率。

2.根據權利要求1所述的基于SVM的Modbus?TCP通訊的異常檢測方法，其特征在于，所述流量采集包括以下步驟：

利用Linux內核Netfilter機制進行流量抓取，從而捕獲工業控制系統中ModbusTCP通訊流量，并且按照源于目的地址對進行分類存儲；

剔除Modbus?TCP通訊中不包含Modbus功能碼的數據包，并且進一步剔除Modbus服務器向客戶機回應的相關數據包。

剔除Modbus功能碼之外的所有其他信息，并將Modbus功能碼按照時間先后順序進行排列；

將Modbus功能碼序列隨機分割成不同長度的Modbus功能碼短序列。

3.根據權利要求2所述的基于SVM的Modbus?TCP通訊的異常檢測方法，其特征在于，所述不包含Modbus功能碼的數據包包括握手、確認與重傳。

4.根據權利要求1所述的基于SVM的Modbus?TCP通訊的異常檢測方法，其特征在于，所述數據預處理包括以下步驟：

獲取正常與異常Modbus?TCP通訊流量集合，并且賦予相應的類別標簽；

設定短序列長度r，且保證r長度不大于Modbus功能碼樣本集合中長度最小的個數；

用長度為r滑動窗口依次處理Modbus功能碼樣本集合的每一個樣本，提取所有可能的r長度短序列；

去除c中重復成分，對于每一個不同的r長度短序列僅保留一份，得到模式短序列集合M；

利用短序列模式集合M將功能碼序列中的每個元素表示成維數相同的支持向量機能夠處理的向量模式。

5.根據權利要求1所述的基于SVM的Modbus?TCP通訊的異常檢測方法，其特征在于，所述PSO優化包括以下步驟：

設置PSO算法在終止條件始終無法滿足情況下的最大迭代步數kmax與粒子位置與速度的限定范圍；

隨機生成種群以及相關參數初始化，其中每個粒子包含兩個分量分別為支持向量機懲罰因子C和徑向基核參數σ，并且針對每一個粒子設置初始化速度向量；

將粒子進行SVM訓練并作為支持向量機的懲罰因子和高斯徑向基參數，返回交叉驗證意義下的分類準確率作為粒子適應度值；

根據適應度值的情況更新個體極值及群體極值；如果出現了更優的適應度值則更新相應的個體或者群體適應度值；

判斷是否滿足退出迭代條：如果超過迭代次數極值或連續50次適應度值的變化沒有超過0.01%，則退出迭代過程，并且此時的群體極值即為所要求的最佳參數；

按照粒子速度與位置更新公式進行更新粒子群，同時檢查各個粒子多的不同維度是否在允許的限度之內，如果超出允許的范圍需要限定在事先設置的范圍區間之內。

6.根據權利要求1所述的基于SVM的Modbus?TCP通訊的異常檢測方法，其特征在于，所述SVM異常檢測包括以下步驟：

接受PSO參數優化流程傳遞的粒子，將該粒子的兩個維度分別設置為支持向量機的懲罰因子C和徑向基核函數參數σ；

給所有樣本賦予類別標簽；

構造對偶問題求解支持向量機模型；

構造決策函數；

計算交叉驗證意義下的分類準確率；

將分類準確率返回PSO參數優化流程，作為粒子適應度計算函數FtX,a的取值。