[发明专利]一种基于IA-SVM的IEC102协议通讯行为异常检测方法和系统

权利要求书

1.一种基于IA-SVM的IEC102协议通讯行为异常检测方法，其特征在于，包括以下步骤：

(1)从工业控制网络获取包含多个IEC102协议通讯数据包的连接，并对每个IEC102协议通讯数据包进行解析，以获取该IEC102协议通讯数据包对应的功能码，将该连接中所有通讯数据包所对应的功能码按时间先后顺序进行排列，从而构成该连接对应的功能码序列；

(2)将步骤(1)得到的功能码序列输入训练好的IA-SVM通讯行为异常检测模型中，以得到该连接的通讯行为检测结果，IA-SVM通讯行为异常检测模型包括IA参数寻优模型和SVM异常检测模型，IA参数寻优模型的具体结构为：

第一层是粒子混沌层，输入为N个粒子组成的随机粒子群和IEC102协议数据集S，输出为对随机获取的粒子群进行混沌处理后的粒子群X＝(X₁,X₂,…,X_N)和粒子群X中每个粒子X_i的适应度值f(X_i)，其中X_i为二维向量(C_i,σ_i)，且有i∈[1,N]，C_i表示粒子X_i的SVM参数惩罚因子，σ_i表示粒子X_i的径向基核函数，N为任意自然数；

第二层是粒子克隆变异层，输入为第一层输出的粒子群X和粒子群X中每个粒子X_i的适应度值f(X_i)，该层选择所有适应度值中，大于所有适应度值的平均值的所有适应度值所对应的粒子进行克隆与变异操作，输出为新粒子群G*；

第三层是择优迭代层，其输入为第二层输出的新粒子群G*，输出为每一次迭代后得到的适应度值f(X_i)中的最大值f(X_max)及其对应的粒子X_max。

2.根据权利要求1所述的IEC102协议通讯行为异常检测方法，其特征在于，IEC102协议通讯数据包的传输规则为非平衡式，通讯数据包分为通讯连接、读时钟、读历史数据、读实时数据、读事件信息、对时六大类，功能码位于通讯数据包的控制域字段Bit3-Bit0中，用于执行复位链路、请求指定数据、请求数据传输、应答数据、以及肯定与否定确认指令。

3.根据权利要求1所述的IEC102协议通讯行为异常检测方法，其特征在于，SVM异常检测模型的具体结构为：

第一层是参数接收层，其输入为IEC102协议数据集S和每一次迭代后得到的最优粒子X_max，输出为该轮迭代得到的分类准确率；

第二层是适应度值输出层，其输入为第一层输出的分类准确率，输出为该轮迭代得到的适应度值f(X_i)。