[发明专利]一种工控网络入侵检测方法及系统

权利要求书

1.一种工控网络入侵检测方法，其特征在于，所述入侵检测方法包括：

获取当前时刻工控网络中各节点的网络数据；

将所述当前时刻工控网络中各节点的网络数据输入到网络入侵检测模型中，得到当前时刻检测结果，其中，所述网络入侵检测模型的输入为所述当前时刻工控网络中各节点的网络数据；所述网络入侵检测模型的输出为检测结果；所述网络入侵检测模型是依据主成分分析算法、BA算法以及ELM分类器算法建立而成；

根据所述当前时刻检测结果对所述当前时刻工控网络中各节点的网络数据进行标定，作为更新数据；

根据所述更新数据对所述网络入侵检测模型中的参数进行调整，更新所述网络入侵检测模型，采用更新后的网络入侵检测模型对下一时刻的网络数据进行检测；

所述网络入侵检测模型的建立方法具体包括：

获取工控网络中各节点的网络数据，作为训练网络数据；

对所述训练网络数据进行编码和标准化，得到标准训练网络数据；

采用主成分分析法PCA对所述标准训练网络数据进行降维，得到降维训练网络数据；

采用BA算法对ELM分类器的参数进行优化，根据所述降维训练网络数据对优化后的ELM分类器进行训练，得到离线BA-ELM分类器，所述离线BA-ELM分类器即为网络入侵检测模型；

所述根据所述更新数据对所述网络入侵检测模型中的参数进行调整，更新所述网络入侵检测模型，采用更新后的网络入侵检测模型对下一时刻的网络数据进行检测，具体包括：

利用更新数据更新网络入侵检测模型的输出层权值，实现ELM分类器的更新过程，设缓存器中存储了N₁条数据，则所求新的输出层权值向量集合β₁满足下式：

其中，H₁表示网络入侵检测模型中更新后隐含层的输出矩阵，t₁表示更新数据对应的标签取值向量集合，H₀表示网络入侵检测模型中更新前隐含层的输出矩阵，t₀表示训练数据对应的标签取值向量集合；

根据上式推算出，缓存器收集的固定容量的新数据包输入后，更新公式如下：

其中，β₁表示更新后的输出层权值向量集合，表示H₁的转置，β₀表示更新前的输出层权值向量集合，

2.根据权利要求1所述的工控网络入侵检测方法，其特征在于，所述根据所述当前时刻检测结果对所述当前时刻工控网络中各节点的网络数据进行标定，作为更新数据，具体包括：

根据所述检测后网络数据中检测结果的不同，将所述检测后网络数据存入相应的缓存区，以实现数据的标定。

3.根据权利要求1所述的工控网络入侵检测方法，其特征在于，所述对所述训练网络数据进行编码和标准化，得到标准训练网络数据，具体包括：

采用one-hot编码方法将所述训练网络数据中的非数值部分转化成数值形式，得到全数值训练网络数据；

采用Z-score标准化方法对所述全数值训练网络数据进行标准化，得到标准训练网络数据。

4.根据权利要求1所述的工控网络入侵检测方法，其特征在于，所述采用BA算法对ELM分类器的参数进行优化，根据所述降维训练网络数据对优化后的ELM分类器进行训练，具体包括：

采用所述BA算法对ELM分类器的输入层权值和隐含层阈值进行优化；

根据所述降维训练网络数据对ELM分类器进行训练，得到ELM分类器的输出层阈值。

5.根据权利要求1所述的工控网络入侵检测方法，其特征在于，所述训练网络数据中包括给定的状态标签。