[发明专利]一种基于SVM的IEC60870-5-104异常流量检测方法

权利要求书

1.一种基于SVM的IEC60870-5-104异常流量检测方法，其特征在于，包括以下步骤：

S1：采用以下方式选择出能够表征IEC60870-5-104协议特点的代表传送原因，记代表传送原因的数量为M：预先对IEC60870-5-104正常流量的I格式数据包中的传送原因进行统计，将传送原因按照出现频率从高到低进行排列，取前M个传送原因作为代表传送原因；

S2：在IEC60870-5-104通信系统的主站与子站之间捕获得到若干组IEC60870-5-104正常流量和异常流量的数据包；

S3：对于步骤S2得到的每组数据包，利用深度包检测技术，根据控制域信息剔除所有S格式和U格式的数据包，筛选得到I格式数据包；从每个I格式数据包中提取出传送原因，将传送原因按照I格式数据包的发送时间先后顺序排列，得到该组数据包对应的传送原因序列；然后根据预设的间隔时间T将每组数据包的传送原因序列分割成传送原因短序列；记获取的所有传送原因短序列的集合A＝{A_n}，其中n＝1,2,…,N，N表示传送原因短序列的数量，A_n表示第n个传送原因短序列；

S4：分别统计第n个传送原因短序列A_n中每个代表传送原因的数量fⁿ(m)，m＝1,2,…,M，将其他传送原因的数量记为fⁿ(M+1)，然后根据以下公式计算第n个传送原因短序列中每个代表传送原因和其他传送原因的频率

其中，m′＝1,2,…,M+1；

从而得到第n个传送原因短序列对应的频率向量如果第n个传送原因短序列所属数据包为正常流量数据包，令频率向量X_n对应的标签Y_n＝1，如果所属数据包为异常流量数据包，则令标签Y_n＝-1；

S5：将步骤S4得到的N个频率向量X_n作为输入，对应标签Y_n作为期望输出，训练得到SVM分类器；

S6：在需要进行异常流量检测时，从当前的主站和子站之间捕获时长T内的IEC60870-5-104数据包，筛选出得到I格式数据包，提取传送原因序列A′，然后统计得到对应的频率向量X′，将其输入步骤S5训练得到的SVM分类器，得到是否为异常流量的检测结果。

2.据权利要求1所述的IEC60870-5-104异常流量检测方法，其特征在于，所述SVM分类器的核函数采用径向基核函数。