[发明专利]一种基于OCSVM和K-means算法的工控系统流量异常检测方法与系统

权利要求书

1.一种基于OCSVM和K-means算法的工控系统流量异常检测方法，其特征在于，包括以下步骤：

(1)使用流量获取工具从工控系统中获取正常流量数据集；

(2)针对流量数据集中的每一个流量数据而言，对该流量数据进行协议解析，以得到该流量数据的属性及其属性值，该流量数据对应的所有属性值构成属性值向量，所有流量数据对应的属性值向量构成大小为m*n的待检测数据矩阵，其中m表示流量数据集中的流量数据总数，n表示每个流量数据对应的属性值的总数；

(3)使用主成分分析法PCA对步骤(2)得到的待检测数据矩阵进行降维处理，以得到降维处理后的矩阵；

(4)将步骤(3)降维处理后的矩阵中的每一行输入训练好的单类支持向量机OCSVM检测模型中，以得到该行对应的标签值，矩阵中所有行对应的标签值构成标签值列向量；

(5)针对步骤(4)得到的标签值列向量中每个取值为-1的标签值而言，获取该标签值在待检测数据矩阵中所对应的行中的所有属性值，获取的所有属性值构成新的矩阵，使用聚簇中心值为2的K-means算法对该新的矩阵中的每一行进行聚类处理，以得到该行所对应的聚类类别标签(其等于1或2)；

(6)使用K-means方法对步骤(5)得到的所有聚类类别标签为2的所有对应行进行二次处理，以得到每一行对应的聚类类别标签，并根据得到的聚类类别标签的总数确定流量数据异常类别数量。

2.根据权利要求1所述的基于OCSVM和K-means算法的工控系统流量异常检测方法，其特征在于，步骤(1)具体为，将流量获取工具部署在工控系统的路由旁路，在工控系统正常运行时，采取分时段随机的方式采集多条流量数据构成正常流量数据集。

3.根据权利要求1或2所述的基于OCSVM和K-means算法的工控系统流量异常检测方法，其特征在于，如果步骤(2)得到的待检测数据矩阵中的某个位置处存在空的元素，则使用平均插值法在该位置进行插值处理。

4.根据权利要求1至3中任意一项所述的基于OCSVM和K-means算法的工控系统流量异常检测方法，其特征在于，在使用PCA进行降维处理的过程中，取累计方差贡献率达到95％的前N个主成分，其中N的取值范围为大于0，小于待检测数据矩阵的列数n。