[发明专利]一种基于时间卷积网络和迁移学习的工业控制系统入侵检测方法

说明书

本发明提供了一种基于时间卷积网络和迁移学习的工业控制系统入侵检测方法，该方法采用时间卷积网络和迁移学习相结合的网络结构。针对工业控制系统入侵检测领域存在的检测精度不高和时效性较低的问题，本发明利用工业控制系统数据流量时序性的特点，使用在工业生产流程中捕获到的数据流量构造原始数据集，对原始数据集进行数据预处理并进行训练集和测试集的划分。接着使用时间卷积网络构建源域预训练模型，对训练集进行训练处理，提取相关信息特征，然后引入迁移学习，将源域学习到的知识迁移到目标域，最终通过softmax函数得出检测结果。采用本发明进行工业控制系统入侵检测，能够有效的减少计算量和检测时间，提高检测精度和检测效率，使工业控制系统入侵检测更好的适用于复杂的网络环境。

技术领域

本发明涉及一种基于时间卷积网络和迁移学习的工业控制系统入侵检测方法，针对工业控制系统入侵检测领域，采用时间卷积网络与迁移学习相结合的网络结构，利用时间卷积网络(Temporal Convolutional Network，TCN)对时间序列数据优异的处理能力，构建源域预训练模型，并结合迁移学习(Transfer learning，TL)，进行知识的迁移，构建目标域入侵检测模型，最终得出检测结果，实现对正常数据流量和各种攻击数据流量的有效检测。

背景技术

随着工业化进程的不断加快，工业控制系统网络环境日趋开放，使入侵途径增多，为工业控制系统增加了新的安全威胁，工业控制系统需要实时处理大量的数据流量，准确高效的对数据流量进行识别，发现恶意攻击流量成为工业控制系统亟待解决的问题。传统的入侵检测方法准确率和时效性较差，严重影响工业控制系统生产流程的安全。

时间卷积网络是一种新型的神经网络体系架构，传统的循环神经网络在训练过程中存在梯度消失或梯度爆炸问题，同时随着序列的增加，会逐渐丢失前一段的信息。时间卷积网络使用因果卷积、扩张卷积以及残差块，有效的解决了传统循环神经网络的问题。在时间卷积网络训练时，使用因果卷积，在t时刻的入侵检测报警输出只与时间t或更早的时间序列进行卷积，不会丢失历史数据，能够保存较长时间的数据流量信息，使用扩张卷积，在保证参数量不变的情况下尽可能的减少网络深度，使用残差块，以较少的层获得较长的依赖关系，使网络更加易于训练和收敛，避免深度学习模型中梯度消失的问题。

迁移学习是一种机器学习的方法，通过迁移源域中的知识来提高目标域的表现，可以将源域训练好的模型参数迁移到新的目标域模型来帮助目标域训练。

针对当前工业控制系统入侵检测存在的检测精度和时效性问题，首先利用时间卷积网络构建源域预训练模型，对工业控制系统数据流量进行分析和特征提取，然后结合迁移学习，将源域学习到的知识迁移到目标域，构建目标域入侵检测模型，得到最终的分类结果。

发明内容

为满足工业控制系统对检测精度和时效性的要求，本发明提出一种基于时间卷积网络和迁移学习的工业控制系统入侵检测方法，利用时间卷积网络在时间序列数据的优异表现，构建基于时间卷积网络的源域预训练模型，对数据流量进行特征提取，然后结合迁移学习，将源域学习到的知识迁移到目标域，构建目标域入侵检测模型，进一步提高入侵检测的检测效率和准确度。其特征在于以下步骤：

(1)获取工业控制系统数据，进行相应预处理

工业控制系统通过数据采集与监控系统(SCADA)收集工业生产流程中的数据流量，生成原始数据集，分析数据集流量特征，并进行数据预处理，将数据集划分为训练集D_train＝(d₁,d₂,d₃,…,d_n,c),d_n∈(0,1)和测试集D_test＝(d₁,d₂,d₃,…,d_n,c),d_n∈(0,1)；

(2)构建基于时间卷积网络的源域预训练模型