[发明专利]一种面向SCADA系统的网络物理模型及其入侵检测方法

权利要求书

1.一种面向SCADA的网络物理系统，其特征在于，该系统表示为6元组：

G＝(D,X,C,S,T,E)

其中，D＝{d₁,d₂,…,d_m}表示一组设备集合，包括MTU和RTU，构成SCADA系统的主要监视控制和数据采集层，m∈N^*代表系统中的设备数量；

X＝{x₁,x₂,…,x_r},r≤m表示SCADA系统的状态，该系统的状态由D中的所有RTU的状态组成；x_i＝{υ_i,1,υ_i,2,…,υ_i,p}(i∈{1,2,…,r})表示设备d_i的状态，υ_i,j(j∈{1,2,…,p})表示d_i所使用的第j个存储块的值；p∈N^*是d_i所使用的存储块数，任何υ_i,j的改变将导致x_i的改变；MTU被排除在X外；

C＝{c₁,c₂,…,c_y},y≤m表示一组有限的通信模式集合，其中c_i＝{ζ_i,1,ζ_i,2,…,ζ_i,q}表示设备d_i生成的一组通信模式，并且q表示c_i的大小；

S＝{s₁,s₂,…,s_y},y≤m是通信模式的有限序列集，其中代表设备d_i拥有的序列集，并且n表示s_i的大小；是由d_i生成的通信模式的有序序列，的长度是动态变化的；

是与X对应的RTU状态转换的有限集合，其中表示读取设备d_i，表示写入设备d_i；在该系统中，对RTU的所有操作都抽象为读取或写入，其中读取表示从RTU获取数据，而写入表示将数据存储或修改到RTU的存储块中；此外，RTU转换值用一组对应于状态x_i中的转换值表示；会改变x_i的状态；的转换是由通信模式序列中的通信模式ζ_j,k(i≠j)引起的；

E＝{e₁,e₂,…,e_n}表示系统中发生的事件；事件e_i＝(κ(x₁),κ(x₂),…,κ(x_r))由转换触发，κ(x_j)指示RTUd_j的状态x_j发生变化，其中

该网络物理系统的通信模式，表示为：

ζ_j,k＝(d_dst,p_dst,p_tr,p_num,p_size,τ,Γ)

其中d_dst代表目标设备；p_dst代表目的端口；p_tr表示传输协议；p_num表示组成IP流中数据包的数量；p_size表示组成IP流的数据包的字节大小；τ表示IP流的持续时间；Γ表示由ζ_j,k引起的转换序列，公式为：

其中i代表目标设备d_i的编号；p表示状态x_i中的值的个数；a_i＝0 or 1,1≤i≤n和n表示由ζ_j,k引起的转换数量；Γ的长度是动态的，取决于具体的通信模式；当目标设备不是RTU时，Γ将设置为空；

连续有序的通信模式称为“通信模式序列”，即“CPSequence”，设置一个超时阈值T_seq，超过这个阈值时，CPSequence被认为是非活动的，并将其切断，其中T_seq等于T_inactive；T_inactive为IP流的超时阈值。