[发明专利]用于在多个控制系统中检测异常的异常检测系统

权利要求书

1.一种用于在多个控制系统中检测异常的异常检测系统，所述异常检测系统包括：

多个分析设备，所述多个分析设备与相应的控制系统关联，所述多个分析设备获取在关联控制系统中出现的事件并且分析所述事件以确定是否存在异常，其中：

在所述多个分析设备之中的第一分析设备确定是否将向在所述多个分析设备之中的第二分析设备指示在所述关联控制系统中出现的事件；并且

在所述第一分析设备指示的所述事件与除了所述第一分析设备之外的分析设备指示的事件具有相关性的条件下，由所述第二分析设备确定存在异常。

2.根据权利要求1所述的异常检测系统，其中所述多个分析设备中的每个分析设备包括标准化单元，所述标准化单元将用于在所述关联控制系统中出现的事件的数据格式转换成用于所述第二分析设备的数据格式，由此对所述事件进行标准化。

3.根据权利要求2所述的异常检测系统，其中所述第一分析设备的所述标准化单元将用于在所述关联控制系统中出现的事件的所述数据格式转换成用于所述多个控制系统的标准数据格式，由此对所述事件进行标准化。

4.根据权利要求1至3中的任一权利要求所述的异常检测系统，其中所述多个分析设备中的每个分析设备包括隐藏单元，所述隐藏单元隐藏描述在所述关联控制系统中出现的事件的数据的一部分。

5.根据权利要求4所述的异常检测系统，其中：

所述第一分析设备的所述隐藏单元存储转换表，所述转换表示出在未隐藏数据与隐藏数据之间的对应关系；

如果所述第二分析设备确定存在异常，则所述第二分析设备向所述第一分析设备提供异常信息，所述异常信息包括在从所述第一分析设备接收的隐藏的事件中包括的隐藏数据；并且

所述第一分析设备的所述隐藏单元参考所述转换表，将在所述第二分析设备提供的所述异常信息中包括的所述隐藏数据转换成未隐藏数据，并且识别在所述关联控制系统中出现的所述异常。

6.根据权利要求4或者5所述的异常检测系统，其中如果所述第一分析设备指示的事件与除了所述第一分析设备之外的分析设备指示的事件具有相关性，则所述第二分析设备请求所述第一分析设备指示未隐藏的事件，从所述第一分析设备接收未隐藏的事件，以及在所述第一分析设备指示的所述未隐藏的事件与除了所述第一分析设备之外的所述分析设备指示的所述事件具有相关性的条件下确定存在异常。

7.根据权利要求1至6中的任一权利要求所述的异常检测系统，其中：

所述第二分析设备向所述多个分析设备中的至少一些分析设备指示异常，并且

所述多个分析设备中的已经向其指示所述异常的至少一些分析设备增加监视所述关联控制系统的频率。

8.根据权利要求1至7中的任一权利要求所述的异常检测系统，其中所述第一分析设备动态地改变从所述多个分析设备中选择作为所述第二分析设备的分析设备。

9.根据权利要求8所述的异常检测系统，其中在向同一第二分析设备的事件指示已经持续某个时段或者更长之后，所述第一分析设备选择新的第二分析设备。

10.根据权利要求8或者9所述的异常检测系统，其中所述第一分析设备在从所述多个分析设备中选择所述第二分析设备时向具有短响应时间的分析设备给予更高优先级。

11.根据权利要求1至10中的任一权利要求所述的异常检测系统，其中：

所述第一分析设备包括分析单元，所述分析单元获取在所述关联控制系统中出现的事件并且分析所述事件以确定所述控制系统是否具有异常，

所述第二分析设备包括分析控制单元，所述分析控制单元确定所述多个控制系统中的任何控制系统是否具有异常，

所述第一分析设备的所述分析单元获取在所述关联控制系统中出现的事件并且确定是否向所述第二分析设备指示所述事件，以及如果所述分析单元确定将向所述第二分析设备指示所述事件，则向所述第二分析设备的所述分析控制单元传送所述事件，

所述第二分析设备的所述分析控制单元检测在来自多个第一分析设备的事件之间的相关性，并且在所述事件具有相关性的条件下确定存在异常，以及如果所述分析控制单元确定存在异常，则向所述第一分析设备的所述分析单元指示所述异常，并且

所述第一分析设备的所述分析单元向所述关联控制系统的管理员报告所述第二分析设备所指示的所述异常。