[发明专利]一种基于遗传算法优化的工业行为异常检测方法

权利要求书

1.一种基于遗传算法优化的工业行为异常检测方法，其特征在于，包括以下步骤：

Modbus TCP通信协议分析及特征提取：从Modbus/TCP工业数据直接提取参数，以及根据异常行为模式结合实际Modbus/TCP工业数据进行构造的反映操作异常的检测特征；将参数和检测特征进行归一化得到Modbus/TCP工业数据输入向量，并分为训练数据集和测试数据集；

遗传算法对输入自变量降维：对训练数据集的Modbus/TCP工业数据输入向量降维，将降维后的解空间映射到编码空间，每个编码对应一个输入向量；通过遗传算法进行自变量降维得到输入向量；

遗传算法优化OCSVM参数：通过遗传算法对OCSVM参数ν和高斯核函数参数g进行寻优，将得到最优参数ν和g；

单类支持向量机异常检测模型构建:OCSVM寻求最小化目标函数，引入高斯核函数将测试数据集的样本空间映射到特征空间得对偶问题，将最优参数ν和g代入决策函数即最优超平面，得到基于OCSVM的工业入侵检测模型；

采用工控系统入侵检测模型进行Modbus/TCP工业数据的检测。

2.根据权利要求1所述的一种基于遗传算法优化的工业行为异常检测方法，其特征在于，所述参数包括地址码、长度、功能码、端口号、协议标识符、Modbus长度中的一种或多种。

3.根据权利要求1所述的一种基于遗传算法优化的工业行为异常检测方法，其特征在于，所述根据异常行为模式结合实际工控流量进行构造的反映操作异常的检测特征包括单位时间内数据地址异常码数、连接设备标识数、读功能码数中的一种或多种。

4.根据权利要求1所述的一种基于遗传算法优化的工业行为异常检测方法，其特征在于，所述遗传算法对输入自变量降维中，选取测试数据集均方误差的倒数作为遗传算法的适应度函数。

5.根据权利要求1所述的一种基于遗传算法优化的工业行为异常检测方法，其特征在于，所述单类支持向量机异常检测模型构建中，寻求在特征空间构造一个最优超平面，超平面之外的数据为异常数据，边界之内的数据为正常数据，实现正常数据与异常数据的最大间隔。