[發明專利]一種基于循環神經網絡的工業控制系統入侵檢測方法

有效

• 申請號: 202011122498.0
• 申請日: 2020-10-20
• 公開（公告）號: CN112433518B
• 公開（公告）日: 2022-02-11
• 發明（設計）人: 李喜旺;丁曉倩;向勇;王威;王群;蔡明;丁超
• 申請（專利權）人: 中國科學院沈陽計算技術研究所有限公司
• 主分類號: G05B23/02
• 分類號: G05B23/02
• 代理公司: 沈陽科苑專利商標代理有限公司 21002
• 代理人: 許宗富

1.一種基于循環神經網絡的工業控制系統入侵檢測方法，其特征在于，包括以下步驟：

A.建立異常檢測網絡模型的步驟：

A1.采集工業控制系統中流經現場控制網絡的正常通信數據；

A2.對數據進行數據解析、數據降維、標準化編碼處理，獲取有效特征序列；

A3.建立GRU循環神經網絡預測模型，用有效特征序列訓練該模型并優化網絡參數，得到異常檢測網絡模型；

B.對流經現場控制網絡的通信數據進行實時檢測的步驟：

B1.采集工業控制系統中流經現場控制網絡的實時通信數據；

B2.對數據進行數據解析、數據降維、標準化編碼處理，獲取有效特征序列；

B3.用有效特征序列輸入該模型初步判斷實時數據是否異常；

B4.利用貝葉斯公式進一步計算實時數據的主成分異常概率，最終輸出現場控制網絡的入侵檢測結果；

所述數據降維包括：將數據包中的特征進行降維，提取相應數據包的有效特征建立有效特征集；采用概率主成分分析方法PPCA進行特征降維，所述概率主成分分析方法包括EM算法、條件概率、跡的循環不變性處理；

所述用有效特征序列輸入該模型初步判斷實時數據是否異常，包括對模型計算的結果設置閾值范圍[u,g],其中，u,g均為0到1之間的實數：

i.若實時數據輸入該模型后計算的概率值小于u，則判斷當前實時數據異常，網絡受到入侵；

ii.若實時數據輸入該模型后計算的概率值大于g，則判斷當前實時數據正常，網絡未受到入侵；

iii.若實時數據輸入該模型后計算的概率值落入閾值范圍[u,g]內，則初步判斷當前實時數據可能正常，網絡可能未受到入侵；

所述利用貝葉斯公式進一步計算實時數據的主成分異常概率，包括：

對實時數據輸入該模型后計算的概率值落入閾值范圍[u,g]內的，利用貝葉斯公式再一次計算實時數據的主成分異常概率，并根據概率計算結果進一步判斷當前實時數據是否正常，網絡是否受到入侵。

2.根據權利要求1所述的一種基于循環神經網絡的工業控制系統入侵檢測方法，其特征在于，所述采集工業控制系統中流經現場控制網絡的正?；驅崟r通信數據，是利用抓包軟件Wireshark采集的，其中正常歷史數據來源為實際現場數據或網絡公開的實驗數據集。

3.根據權利要求1所述的一種基于循環神經網絡的工業控制系統入侵檢測方法，其特征在于，所述數據解析包括：對正常歷史數據集合或實時數據中的每一個數據包進行協議解析，識別、提取數據包的特征。

4.根據權利要求3所述的一種基于循環神經網絡的工業控制系統入侵檢測方法，其特征在于，所述數據包特征為數據的屬性，包括IP地址、設備ID、端口號、協議類型。

5.根據權利要求1所述的一種基于循環神經網絡的工業控制系統入侵檢測方法，其特征在于，所述標準化編碼包括：對獲得的有效特征集中的正常歷史數據或實時數據進行標準化處理，獲得包含所有標準化數據包向量的歷史數據或實時數據的有效特征序列。

6.根據權利要求5所述的一種基于循環神經網絡的工業控制系統入侵檢測方法，其特征在于，所述數據標準化處理包括：填充缺失值、以獨熱碼的形式對有效特征進行編碼。