[发明专利]检测工业系统中的未定义的动作

说明书

提议将分离引入到用于工业控制系统的模式中，其中针对模式中的每个进行模型的训练，并且通过监视相应模式内的工业系统来检测未定义的动作。

本发明涉及一种用于检测工业系统中的未定义的、特别是恶意的动作（例如，状态或转换）的方法。

本发明的目的是改进工业系统中发生的未定义的动作的检测，并因此减少假警报的数量。

该问题根据独立权利要求的特征来解决。另外的实施例由从属权利要求产生。

为了克服该问题，提供了一种用于检测工业系统中的未定义的动作的方法，该方法包括：

（a）针对每个操作模式确定系统模型，其中工业系统包括至少两个操作模式；

（b）根据适用的操作模式检测系统模型中的未定义的动作。

因此，在步骤（a）中，针对操作模式中的每个在训练阶段期间确定单独系统模型。在步骤（b）中，训练被（至少暂时地）结束，并且应用针对相应操作模式的特定系统模型来确定是否发生了未定义的动作。

训练被用于检测相应系统模型（每个操作模式）的良性状态；如果在正常操作期间（即在训练之后）检测到在训练期间尚未发生的状态或状态的转换，则这可能对应于未定义的动作。特别地，它可能是受制于警报或警报通知的恶意活动。

未定义的动作可以是工业系统的状态或状态之间的转换。

在实施例中，该方法包括在步骤（a）之前：

-识别工业系统的至少两个操作模式。

在实施例中，步骤（a）进一步包括：

-在训练阶段期间经由机器学习和/或参数提取来确定系统模型。

在实施例中，步骤（b）进一步包括：

-在不同于训练阶段的第二阶段期间检测未定义的动作。

在实施例中，至少两个不同的操作模式基于以下各项中的至少一项：

-不同的参数；

-不同的一天中的时间；

-不同的开关位置；

-不同的登录事件；

-不同的天气条件；

-不同的传感器值；

-不同的温度条件。

在实施例中，工业系统是工业控制系统。

在实施例中，在已经检测到未定义的动作的情况下，发起预定动作。

在实施例中，预定动作包括以下各项中的至少一项：

-发出警报；

-发出警报通知；

-改变工业系统的状态；

-触发维修措施。

在实施例中，未定义的动作是工业系统内的恶意活动。

此外，提供了一种用于检测工业系统中的未定义的动作的设备，其中，该设备包括处理单元，该处理单元被布置成

（a）针对每个操作模式确定系统模型，其中工业系统包括至少两个操作模式；

（b）根据适用的操作模式检测系统模型中的未定义的动作。

在实施例中，处理单元被进一步布置成在步骤（a）之前识别工业系统的至少两个操作模式。

此外，提议了一种工业系统，其包括处理单元，该处理单元被布置成