[发明专利]基于深度学习结构的工业控制网络信号异常检测方法

说明书

基于深度学习结构的工业控制网络信号异常检测方法，涉及工业控制网络数据中异常值检测的技术领域。本发明是为了解决现有的方法中对判别正常数据和异常值需要人为界定，对于少量异常值难以检测的问题。从工业控制网络数据中选取部分数据作为训练样本，对该训练样本进行数据归一标准化操作，得到归一化后的已标定数据，采用数据增强算法为归一化后的已标定数据增加一些假样本数值形成被检测数据；将正常数据和被检测数据各输入到一个自编码器压缩网络中进行训练，分别得到训练后的数据；将该数据输入到对比网络中经过深度神经网络的计算，得到正常数据和被检测数据之间的距离，采用分类器根据距离判定被检测数据中的异常值。它用于信号异常检测。

技术领域

本发明涉及基于深度学习结构的工业控制网络信号异常检测方法，属于工业控制网络数据中异常值检测的技术领域。

背景技术

工业控制系统(Industrial Control System，ICS)是指由计算机与工业过程控制部件组成的自动控制系统，它由控制器、传感器、传送器、执行器和输入/输出接口等部分组成。这些组成部分通过工业通信线路，按照一定的通信协议进行连接，形成一个具有自动控制能力的工业生产制造或加工系统。

当前的工业控制系统在具体部署时通常涉及如下几种网络：企业办公网络(企业网或办公网)、过程控制与监控网络(监控网)、现场控制系统。

办公网：管理者根据监控网的数据对企业进行管理以及决策。通过工控管理系统对企业的计划产排、仓储管理、生产调度等流程活动进行统一部署。

监控网：操作员根据监控软件对现场的运行设备进行监测和控制。

现场控制系统：工作人员对分布式控制系统(DCS)、可编程逻辑控制器(PLC)、远程终端单元(RTU)进行现场设备的逻辑控制、数据采样、指令执行等工业操作。

异常检测是一种识别出与主体明显不同的对象的方法，也可以叫做异常值检测或者是偏差检测。异常检测技术一般用在欺诈检测、网络安全和医疗领域等方面。对于大部分异常检测任务，需要预先定义主体活动部分，如果被检测对象出现与主体部分显著的偏差，那么则该对象就被判断为异常值。网络安全中，异常检测是入侵检测的首要任务(识别正常网络流量和异常网络流量)。而主体部分指代的就是网络系统中的正常网络流量。

工控网络的异常检测通过收集工业控制系统以及网络的相关数据，利用异常检测方法对数据进行处理，以发现这些数据中是否存在导致工业控制系统发生异常的入侵条目。单分类方法是利用正常数据样本的模式来发现与正常数据不同的行为，从本质上来说是一种异常入侵检测方法，可以发现出异常是否存在。

现有网络异常检测为：当被检测目标与预定义的模式出现显著的不同时，该被检测目标则可以判断为异常值。基于该思想，当前大部分网络异常检测技术着重于为网络中的正常数据建立数学模型，当出现异常值的时候，异常值会与这种数学模型存在差异或不同。

然而，当前大部分异常检测技术重心放在了建立更好的表征正常数据模式的算法上，对于异常值与数学模型存在的区别，往往通过人为定义阈值或来判定。因此可能某些异常就被略过，无法检测出。

发明内容

本发明是为了解决现有的方法中对判别正常数据和异常值需要人为界定，对于少量异常值难以检测的问题。现提供基于深度学习结构的工业控制网络信号异常检测方法。

基于深度学习结构的工业控制网络信号异常检测方法，所述方法包括以下步骤：

步骤一、从工业控制网络数据中选取部分数据进行标记作为训练样本，对该训练样本进行数据归一标准化操作，得到归一化后的已标定数据，采用数据增强算法为归一化后的已标定数据增加一些假样本数值形成被检测数据；

步骤二、将正常数据和被检测数据各输入到一个自编码器压缩网络中进行训练，分别得到正常数据的拼接数据和被检测数据的拼接数据；