[发明专利]一种基于工控设备电压电流的入侵检测方法

说明书

本发明属于工业控制技术领域，具体涉及一种基于工控设备电压电流的入侵检测方法，通过收集工控设备在各种情况下正常运行时和模拟遭受攻击时的电压电流数据，根据这些数据分时段建立分类模型，然后实时监测电流电压变化，根据电流电压异常来实现入侵检测；为优化分类模型，在约束条件中引入松弛变量和惩罚系数来降低噪点值的影响；同时入侵检测模块可以放在专用的PC或工作站上执行，对工控设备的实时操作没有任何影响，保证了工业控制系统的实时性；检测电流信息是易行的，对那些不能扩展的工控系统同样能够方便的进行入侵检测。

技术领域

本发明属于工业控制技术领域，具体涉及一种基于工控设备电压电流的入侵检测方法。

背景技术

目前，越来越多的工业控制系统内部网络需要和外部网络互连，使工业控制系统暴露于公共网络之中，面临更多的攻击。2010年，伊朗布什尔核电站遭到Stuxnet(震网)蠕虫的攻击，它是世界上首个专门针对工业控制系统编写的破坏性病毒，能够利用对windows系统和西门子SIMATIC WinCC系统的漏洞攻击核电站的SCADA系统，导致铀浓缩离心机出现故障，推迟了伊朗的核电站发展。

为了保证工业控制系统的安全性，网络安全技术被越来越多地应用。入侵检测技术通过收集、整理、解析网络或系统中最能表明其状态和行为的信息和数据分析异常。根据分析的结果，判断系统中是否具有潜在的、对安全有威胁的因素。

但是，传统的PC机的入侵检测技术并不能直接应用到工业控制系统中，因为工业控制系统非常注重实时性和可靠性，如果将入侵检测模块直接集成到工控设备之中，由于执行入侵检测势必会影响到工控设备操作的实时性，对实时任务产生很大的干扰；此外，由于工控设备的特殊性，一些设备可能不能够集成入侵检测模块，造成了系统的不可扩展性。

发明内容

为了解决现有存在的问题，本发明提出一种在工业控制系统中基于工控设备电压电流的入侵检测方法。

和通用系统不同，工业控制系统执行的任务是特定的，有限的和周期性的，同样工控设备也是如此，设备在特定的时间段内执行特定的操作，在同一时间段内设备的电流变化趋于平稳；因此，工控设备的电流电压变化也是特定的，有限的和周期性的，当系统遭受攻击时，工控设备电流电压变化出现明显异常，就可以判定系统出现异常，从而实现入侵检测；基于该原理，本发明的技术方案为：

按时间段分类，并且检测电流电压的变化以一秒为单位，根据正常运行和受到攻击时检测的数据来构建分类模型，根据时间段的个数t构建出t个分类模型；比起用全时段数据建立模型，根据时间段细分，能够建立更有针对性，更为精确的分类模型；

根据实际情况用机器学习算法来建立分类模型，具体的分类模型构建步骤如下：

(1)在用训练样本数据建立分类模型之前，考虑到各种因素导致产生的异常值，为了将异常数据剔除样本数据集，求解每个样本数据到样本中心的距离来判断异常数据：

样本中心用所有样本数据各个属性的平均值来表示，这里求电流电压的平均值：

然后计算各个样本数据到样本中心的距离，求出每个样本数据到样本中心的距离后，根据阈值的设置剔除少量异常数据样本；

(2)根据电流电压数据分时段建立分类模型，根据实时检测的数据测试分类模型的正确性；

分类模型的计算公式如下：

C≥a_i≥0，i＝1，2，...，N③

参数说明：