[发明专利]基于零动态的工控攻击检测识别方法与系统

权利要求书

1.一种基于零动态工控攻击检测识别系统，其特征在于，包括工控建模模块、攻击检测模块以及攻击识别模块，其中：

工控建模模块，用于构建面向石化、电力行业的工业控制系统结构模型框架；

攻击检测模块，用于提取攻击状态观测值和特征，包括构建集中式攻击检测过滤器模型、分布式攻击检测过滤器模型；

攻击识别模块，用于构建集中式攻击识别过滤器，识别攻击集；

其中，所述工控建模模块被设置成先利用基于元件的方法按内在机理构造数学模型方程，再通过测量辨识的方法动态建模，最后利用仿真拟合方法修正模型和参数，通过采用优化类方法进行参数识别，对状态空间方程辨别输入-输出数据辨识模型中的参数，进行工控系统动态建模；

所述攻击检测模块被设置成按照下述方式构建集中式攻击检测过滤器模型、分布式攻击检测过滤器模型，其中：

基于龙贝格观测器模型构建集中式攻击检测过滤器；

基于稀疏滤波的非监督特征学习算法构建分布式攻击检测过滤器，直接分析优化特征的分布提取攻击特征；

所述攻击识别模块被设置成基于残差滤波的预测攻击集的集中式攻击识别过滤器，用以忽略动态干扰对系统的影响。

2.一种基于零动态工控攻击检测识别方法，其特征在于，包括下述步骤：

工控建模，构建面向石化、电力行业的工业控制系统结构模型框架；

攻击检测构建，提取相应的攻击状态观测值和特征，包括构建集中式攻击检测过滤器模型、分布式攻击检测过滤器模型；

攻击识别构建，用于构建集中式攻击识别过滤器，识别相应的攻击集；

其中，所述工控建模具体包括下述步骤：先利用基于元件的方法按内在机理构造数学模型方程，再通过测量辨识的方法动态建模，最后利用仿真拟合方法修正模型和参数，通过采用优化类方法进行参数识别，对状态空间方程辨别输入-输出数据辨识模型中的参数，进行工控系统动态建模；

所述攻击检测构建具体包括：构建集中式攻击检测过滤器模型、分布式攻击检测过滤器模型，其中：基于龙贝格观测器模型构建集中式攻击检测过滤器；

基于稀疏滤波的非监督特征学习算法构建分布式攻击检测过滤器，直接分析优化特征的分布提取攻击特征；

所述攻击识别构建具体包括：基于残差滤波的预测攻击集的集中式攻击识别过滤器。