[发明专利]一种基于自编码的通用工业协议异常检测模块及方法

权利要求书

1.一种基于自编码的通用工业协议异常检测模块，其特征在于，包括解析模块、预处理模块和编码器特征重构模块；

所述解析模块用于解析工控事件的数据包头并截取数据包的payload信息，获取单个事件表征；所述payload信息即载荷信息；

所述预处理模块用于借鉴自然语言预处理方式对payload信息进行编码及词嵌入；

所述预处理模块包括数据订阅子模块、字符编码子模块和Embedding子模块；所述Embedding子模块即词嵌入子模块；

所述数据订阅子模块用于提取滑动窗口流量数据，并在每个时间窗口内把将下位机/从机作为源地址的流量进行聚合，获取当前事件的上下文信息；

所述字符编码子模块用于将payload信息中的十六进制码依次编码为[1,256]的数字，并进行序列截断及填充；

所述Embedding子模块用于对标准长度的编码序列进行嵌入，得到预处理后的payload信息；

所述编码器特征重构模块用于对预处理后的payload信息进行编码及重构，利用重构误差及所设阈值，判断是否有工控异常通信行为的存在。

2.根据权利要求1所述的基于自编码的通用工业协议异常检测模块，其特征在于，所述单个事件表征包括时间戳，五元组信息和payload信息。

3.一种基于自编码的通用工业协议异常检测方法，其特征在于，包括以下步骤：

S1、通过解析模块解析工控事件的数据包头并截取包的payload信息，获取单个事件的表征，表征形式包括时间戳、五元组信息和payload信息；所述payload信息即载荷信息；

S2、通过数据订阅子模块提取滑动窗口流量数据，并在每个时间窗口内把将下位机/从机作为原地址的流量进行聚合，获取当前事件的上下文信息；

S3、通过字符编码子模块将payload信息中的十六进制码依次编码为[1,256]的数字，并进行序列截断及填充；

S4、通过Embedding子模块对标准长度的编码序列进行嵌入，输出预处理后的payload信息；所述Embedding子模块即词嵌入子模块；

S5、将预处理后的payload信息的正常样本通过编码模块获取重构误差序列；

S6、将重构误差与判断阈值进行比较，若重构误差大于判断阈值，则将当前事件判断为异常事件。

4.根据权利要求3所述的基于自编码的通用工业协议异常检测方法，其特征在于，所述步骤S2中的上下文信息为(2n+1)个payload信息[payload_-n，payload_-(n-1)，…，payload₀，payload₁，…，payload_n]，其中payload_n为当前下位机应答数据包后的第n个包，payload_-n为当前下位机应答数据包前的第n个包，且n≥2。

5.根据权利要求4所述的基于自编码的通用工业协议异常检测方法，其特征在于，所述步骤S3中序列截断的长度l=200。

6.根据权利要求5所述的基于自编码的通用工业协议异常检测方法，其特征在于，所述步骤S4中嵌入的维度d=128，输出的维度为（(2n+1)，l，d）。

7.根据权利要求3所述的基于自编码的通用工业协议异常检测方法，其特征在于，所述步骤S6中判断阈值的计算公式为：

thr=mean(MSE_list)+sdt(MES_list)

上式中，thr为判断阈值，MSE_list为均方误差序列，mean(MSE_list)表示对MSE_list求取均值，sdt(MES_list)表示对MSE_list求取标准差。