[发明专利]一种工业控制系统攻击检测方法及装置

权利要求书

1.一种工业控制系统攻击检测方法，其特征在于，包括：接收工业控制系统发送的攻击检测请求；解析所述攻击检测请求，确定所述工业控制系统对应的目标控制系统以及所述目标控制系统中的关键设施，并获取所述关键设施的运行参数；根据所述目标控制系统的信息，确定对应的贝叶斯网络模型和概率时间自动机模型；根据所述贝叶斯网络模型、所述概率时间自动机模型以及所述关键设施的运行参数，确定所述关键设施中的传感器和执行器的对应关系以及所述传感器的运行数据；根据所述关键设施中的传感器和执行器的对应关系、所述传感器的运行数据以及预设数据，确定所述工业控制系统的运行状态。

2.如权利要求1所述的工业控制系统攻击检测方法，其特征在于，所述解析所述攻击检测请求，确定所述工业控制系统对应的目标控制系统以及所述目标控制系统中的关键设施，并获取所述关键设施的运行参数的步骤，包括：解析所述攻击检测请求，确定所述工业控制系统中的系统信息；根据所述系统信息以及预设系统参数，确定所述系统信息对应的目标控制系统；解析所述目标控制系统，确定所述目标控制系统的关键设施，并获取所述关键设施的运行参数。

3.如权利要求1所述的工业控制系统攻击检测方法，其特征在于，在所述根据所述目标控制系统的信息，确定对应的贝叶斯网络模型和概率时间自动机模型的步骤之前，还包括：建立初始贝叶斯网络模型和初始概率时间自动机模型；获取所述关键设施的测试运行参数、所述关键设施中的传感器和执行器的对应关系以及所述传感器的测试运行数据；根据所述测试运行参数、所述关键设施中的传感器和执行器的对应关系以及所述传感器的测试运行数据，对所述初始贝叶斯网络模型和初始概率时间自动机模型进行训练，得到训练后的贝叶斯网络模型和初始概率时间自动机模型。

4.如权利要求3所述的工业控制系统攻击检测方法，其特征在于，所述根据所述测试运行参数、所述关键设施中的传感器和执行器的对应关系以及所述传感器的测试运行数据，对所述初始贝叶斯网络模型和初始概率时间自动机模型进行训练，得到训练后的贝叶斯网络模型和初始概率时间自动机模型的步骤，包括：使用所述初始贝叶斯网络模型和初始概率时间自动机模型对所述测试运行参数进行处理，确定所述关键设施中的传感器和执行器的对应关系以及所述传感器的测试运行数据中的覆盖部分以及非覆盖部分；根据所述关键设施中的传感器和执行器的对应关系以及所述传感器的测试运行数据中的覆盖部分以及非覆盖部分，修正所述初始贝叶斯网络模型和初始概率时间自动机模型，得到训练后的贝叶斯网络模型和概率时间自动机模型。

5.如权利要求1所述的工业控制系统攻击检测方法，其特征在于，在根据所述贝叶斯网络模型、所述概率时间自动机模型以及所述关键设施的运行参数，确定所述关键设施中的传感器和执行器的对应关系以及所述传感器的运行数据的步骤之前，还包括：对所述关键设施的运行参数中的初始时间序列数据进行时间压缩，得到压缩后的压缩时间序列数据；对所述压缩时间序列数据进行信号分割，得到分割时间序列数据以及对应的时间序列点；将所述分割时间序列数据与所述执行器和传感器进行时间对齐，得到时间对齐数据，并根据所述时间序列点得到定时字符串。

6.如权利要求5所述的工业控制系统攻击检测方法，其特征在于，所述对所述压缩时间序列数据进行信号分割，得到分割时间序列数据以及对应的时间序列点的步骤，包括：解析压缩时间序列数据确定对应的运行周期；根据所述运行周期对所述压缩时间序列数据进行信号分割，得到分割时间序列数据以及对应的时间序列点。

7.如权利要求6所述的工业控制系统攻击检测方法，其特征在于，所述对所述压缩时间序列数据进行信号分割，得到分割时间序列数据以及对应的时间序列点的步骤，还包括：解析所述压缩时间序列数据，判断所述压缩时间序列数据是否存在运行周期；在所述压缩时间序列数据不存在运行周期时，获取阈值；根据所述阈值以及所述压缩时间序列数据，对所述压缩时间序列数据进行信号分割，得到分割时间序列数据以及对应的时间序列点。