[发明专利]基于图神经和门控循环网络的工控异常检测方法及系统

说明书

本发明属于工业控制系统异常检测技术领域，提供了一种基于图神经和门控循环网络的工控异常检测方法及系统，首先将传感器的时序数据转化为嵌入向量的形式，显式地对不同特征的相关性进行建模，将结构学习方法与图神经网络相结合，利用门控循环网络深入挖掘多元时间序列间的潜在关系，同时结合注意力机制为检测到的异常提供可解释性；本发明能够有效实现对工业控制系统数据的异常检测，能够实现出色的检测性能。

技术领域

本发明属于工业控制系统异常检测技术领域，尤其涉及一种基于图神经和门控循环网络的工控异常检测方法及系统。

背景技术

可解释的多元时间序列异常检测是预防事故和确保工业控制系统可靠运行的重要技术。异常检测是从正常时间序列中识别异常事件或异常行为的过程。我们将多元时间序列异常检测方法分为基于统计的异常检测方法、基于机器学习的异常检测方法和基于深度学习的异常检测方法。基于统计的异常检测方法中，学习一个适合给定数据集的生成模型，然后将模型低概率区域中的对象识别为异常值。基于机器学习的异常检测方法中，使用诸如隔离森林、线性回归、聚类和支持向量机等算法来尽可能地对异常进行分类或识别。基于深度学习的异常检测方法中，利用深度神经网络预测多元时间序列或重构正常时间序列模型，包括长短期记忆网络（Long Short-Term Memory，LSTM）、生成式对抗网络（Generative Adversarial Networks，GAN）和自动编码器（autocoder）等，实现异常检测。如今，可解释性对于定位异常和帮助用户在多元时间序列异常检测中识别受影响的传感器是必要的。

发明人发现，现有的多元时间序列异常检测方法虽然取得了阶段性成果，如提高攻击检测精度和部分实现可解释性等。但是，仍有一些不足之处有待解决，比如：异常检测能力有待提高，目前的异常检测对于工业互联网来说并不是一个完全令人满意的结果；基于统计的异常检测方法和基于机器学习的异常检测方法在异常检测中易受噪声影响，检测效果不稳定；大多数基于深度学习的异常检测方法对噪声具有鲁棒性，并且这些方法可以通过扩展到更高维度来对各个领域的复杂模式进行建模，然而，它们缺乏从多元时间序列中深度挖掘潜在相关性的能力，导致检测精度和召回率较低。工业控制系统的可解释性能力不足，在工业控制系统安全领域，不仅要达到更好的检测效果，还要能够解释哪些组件受到了攻击，以便及时拦截攻击，大多数工业控制系统的异常检测方案只考虑检测效果，而忽略了解释能力。需要在性能效率和训练优化之间取得平衡，虽然增加神经网络的层数可以提高模型性能，但训练和优化的难度也随之增加，同时梯度消失和梯度爆炸的问题也开始出现；这两个问题都受到反向传播中梯度累积乘法的影响，导致网络参数变浅，包括小的变化或大的冲击。

发明内容

本发明为了解决上述问题，提出了一种基于图神经和门控循环网络的工控异常检测方法及系统，本发明旨在解决工业控制系统异常检测方法挖掘潜在相关性不深入、缺乏异常可解释能力和性能效率同训练优化不平衡的缺陷，以及解决训练过程中存在的梯度消失和梯度爆炸的问题，实现具备更好的检测性能和更可靠的可解释性，并在性能效率和训练优化之间保持平衡的工业控制系统异常检测方法，目的是提高工业控制系统异常检测模型的鲁棒性。

为了实现上述目的，本发明是通过如下的技术方案来实现：

第一方面，本发明提供了一种基于图神经和门控循环网络的工控异常检测方法，包括：

获取工业控制系统中每个传感器的时序数据；

依据时序数据，建立包含每个传感器时序数据的嵌入向量；

基于图神经网络，得到每个嵌入向量之间的依赖关系；

在得到每个嵌入向量之间依赖关系的基础上，基于门控循环网络，预测得到某一时刻的传感器向量；

计算得到传感器向量的偏差，并对偏差进行定位和解释。

进一步的，所有嵌入向量之间的相似性表明行为的相似性。