[发明专利]基于SARIMA的工业控制系统通信流量在线监测方法

权利要求书

1.一种基于SARIMA的工业控制系统通信流量在线监测方法，其特征在于包括如下步骤：

1)在ICS通信网络之中部署工业交换机、监控主机以及测试主机，监控主机从工业交换机中实时采集通信流量数据；

2)根据选定的流量聚合尺度，建立小周期SARIMA(p,d,q)x(P,D,Q)_s模型；具体为：

2.1)定义选定的流量聚合尺度以及小周期分析尺度，用SARIMA(p,d,q)x(P,D,Q)_s序列的定义法来产生SARIMA(p,d,q)x(P,D,Q)_s的时间序列：

SARIMA(p,d,q)x(P,D,Q)_s模型是通过对ARMA(p,q)模型分别进行d阶差分以及D阶季节性差分计算得到的，ARMA(p,q)模型是由AR(p)以及MA(q)模型组合而成；

自回归滑动平均模型ARMA(p,q)定义如下：

X_t＝φ₁X_t-1+φ₂X_t-2+…+φ_pX_t-p+ε_t-θ₁ε_t-1-…-θ_qε_t-q

上式：X_t为均值化处理之后的小周期的平稳时间序列；φ_p为自回归项AR的系数；θ_q为滑动平均项MA的系数；ε_t为随机扰动；p为AR的阶数；q为MA的阶数；

定义一个延迟算子B，BX_t＝X_t-1，则AR系数多项式Φ_p(B)＝1-φ₁B-…-φ_p(B)^p，MA系数多项式Θ_q(B)＝1-θ₁B-…-θ_q(B)^q；

引入差分算子Δ^d＝(1-B)^d，则ARIMA(p,d,q)模型表示为：

Φ_p(B)Δ^dX_t＝Θ_q(B)ε_t

SARIMA模型通过对ARIMA模型进行季节性差分运算得到，SARIMA模型的定义如下：

Φ_p(B)Φ_P(B^s)Δ^dΔ_s^DX_t＝Θ_q(B)Θ_Q(B^s)ε_t

其中ε_t为白噪声序列，d为趋势差分的阶数，D为周期s为补偿的季节差分阶数，B^s为s阶延迟算子，Δ_s^D为季节性差分算子；B^sX_t＝X_t-s，Δ_s^D＝1-B^s，Θ_Q(B^s)为B^s的Q阶多项式，Φ_P(B^s)为B^s的P阶多项式；

2.2)使用贝叶斯信息准则BIC对SARIMA(p,d,q)x(P,D,Q)_s模型的p,d,q,P,D,Q,阶数进行监督分析并定阶；

2.3)采用最小二乘法对SARIMA(p,d,q)x(P,D,Q)_s的p阶系数φ_k(k＝1,2,…,p)，q阶系数θ_k(k＝1,2,…,q)，以及季节性P阶系数季节性Q阶系数进行估计；

2.4)采用最优BIC准则下的SARIMA(p,d,q)x(P,D,Q)_s模型对原始序列进行拟合分析，并进行残差检验；若残差为白噪声，则对拟合序列进行反滤波处理，得到原序列的拟合值或预测值；若残差不为白噪声，则重新采用BIC信息准则对ARMA(p,q)模型进行定阶；

2.5)得到小周期的SARIMA(p,d,q)x(P,D,Q)_s的数学表达式；

3)根据不同的置信度生成ICS动态流量阈值模型；

4)对实时采集的流量序列进行动态分析。