[發(fā)明專利]一種訪問控制規(guī)則優(yōu)化方法及裝置、計算機(jī)可讀存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 201910047256.0
• 申請日: 2019-01-18
• 公開（公告）號: CN109818950B
• 公開（公告）日: 2022-04-22
• 發(fā)明（設(shè)計）人: 劉盈;李蒙;李宗杰
• 申請（專利權(quán)）人: 北京和利時系統(tǒng)工程有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06N20/00
• 代理公司: 北京安信方達(dá)知識產(chǎn)權(quán)代理有限公司 11262
• 代理人: 王康;栗若木

本申請公開了一種訪問控制規(guī)則優(yōu)化方法及裝置、計算機(jī)可讀存儲介質(zhì)，所述方法包括：提取實時通信報文和工程組態(tài)文件中的報文數(shù)據(jù)特征向量與通信行為特征向量；使用提取的報文數(shù)據(jù)特征向量及通信行為特征向量作為輸入，對深度學(xué)習(xí)模型進(jìn)行訓(xùn)練，得到待優(yōu)化訪問控制規(guī)則；將待優(yōu)化訪問控制規(guī)則與用于保障基本通信功能正常運行的基線策略進(jìn)行比較，若待優(yōu)化訪問控制規(guī)則限定的通信范圍大于或等于基線策略限定的通信范圍，使用待優(yōu)化訪問控制規(guī)則對當(dāng)前訪問控制規(guī)則進(jìn)行優(yōu)化。本申請通過深度學(xué)習(xí)模型對報文數(shù)據(jù)特征向量及通信行為特征向量進(jìn)行學(xué)習(xí)并對待優(yōu)化訪問控制進(jìn)行仲裁，提升了訪問控制規(guī)則的覆蓋范圍，避免誤配置產(chǎn)生的通信影響。

技術(shù)領(lǐng)域

本發(fā)明涉及但不限于工業(yè)自動化技術(shù)領(lǐng)域，尤其涉及一種訪問控制規(guī)則優(yōu)化方法及裝置、計算機(jī)可讀存儲介質(zhì)。

背景技術(shù)

目前，常規(guī)的控制器通信訪問控制技術(shù)采用人工配置的訪問控制列表(AccessControl List，ACL)和應(yīng)用層協(xié)議過濾策略實現(xiàn)對通信數(shù)據(jù)報文的過濾，這種訪問控制方式大多僅能夠?qū)笪牡慕橘|(zhì)訪問控制(Media Access Control，MAC)地址、網(wǎng)際協(xié)議(Internet Protocol，IP)地址、協(xié)議類型及部分應(yīng)用層標(biāo)簽進(jìn)行控制，對報文中的復(fù)雜應(yīng)用層字段規(guī)則和控制邏輯規(guī)則無法實現(xiàn)策略控制。

此外，現(xiàn)有的工業(yè)控制器的應(yīng)用層協(xié)議通常以私有協(xié)議為主，使用現(xiàn)有的通信訪問控制方法對控制器應(yīng)用層協(xié)議進(jìn)行訪問控制，策略配置難度較大且極容易由于策略配置不當(dāng)造成通信中斷的網(wǎng)絡(luò)事故。

發(fā)明內(nèi)容

本發(fā)明實施例提供了一種訪問控制規(guī)則優(yōu)化方法及裝置、計算機(jī)可讀存儲介質(zhì)，能夠提升控制器訪問控制規(guī)則的覆蓋范圍并降低訪問控制規(guī)則誤配置帶來的現(xiàn)場風(fēng)險。

本發(fā)明實施例的技術(shù)方案是這樣實現(xiàn)的：

本發(fā)明實施例提供了一種訪問控制規(guī)則優(yōu)化方法，包括：

提取實時通信報文和工程組態(tài)文件中的報文數(shù)據(jù)特征向量與通信行為特征向量；

使用提取的報文數(shù)據(jù)特征向量及通信行為特征向量作為輸入，對深度學(xué)習(xí)模型進(jìn)行訓(xùn)練，得到待優(yōu)化訪問控制規(guī)則；

將待優(yōu)化訪問控制規(guī)則與用于保障基本通信功能正常運行的基線策略進(jìn)行比較，如果待優(yōu)化訪問控制規(guī)則限定的通信范圍大于或等于基線策略限定的通信范圍，則使用待優(yōu)化訪問控制規(guī)則對當(dāng)前訪問控制規(guī)則進(jìn)行優(yōu)化。

在本發(fā)明的一實施例中，所述報文數(shù)據(jù)特征向量包括以下至少之一：協(xié)議類型字段、功能代碼字段、標(biāo)簽值字段、設(shè)備地址字段。

在本發(fā)明的一實施例中，所述通信行為特征向量包括以下至少之一：設(shè)備間通信連接關(guān)系、指令關(guān)系、指令頻率周期、診斷數(shù)據(jù)流向關(guān)系。

在本發(fā)明的一實施例中，所述待優(yōu)化訪問控制規(guī)則包括對不同協(xié)議字段的訪問控制規(guī)則及對不同協(xié)議字段的工藝數(shù)值的訪問控制規(guī)則。

本發(fā)明實施例還提供了一種計算機(jī)可讀存儲介質(zhì)，所述計算機(jī)可讀存儲介質(zhì)存儲有一個或者多個程序，所述一個或者多個程序可被一個或者多個處理器執(zhí)行，以實現(xiàn)如以上任一項所述的訪問控制規(guī)則優(yōu)化方法的步驟。

本發(fā)明實施例還提供了一種訪問控制規(guī)則優(yōu)化裝置，包括處理器及存儲器，其中：所述處理器用于執(zhí)行存儲器中存儲的程序，以實現(xiàn)以上任一項所述的訪問控制規(guī)則優(yōu)化方法的步驟。

本發(fā)明實施例還提供了一種訪問控制規(guī)則優(yōu)化裝置，包括特征提取模塊、機(jī)器學(xué)習(xí)模塊和優(yōu)化仲裁模塊，其中：

特征提取模塊，用于提取實時通信報文和工程組態(tài)文件中的報文數(shù)據(jù)特征向量與通信行為特征向量；

機(jī)器學(xué)習(xí)模塊，用于使用提取的報文數(shù)據(jù)特征向量及通信行為特征向量作為輸入，對深度學(xué)習(xí)模型進(jìn)行訓(xùn)練，得到待優(yōu)化訪問控制規(guī)則；