[发明专利]工业网络异常流量的检测方法及系统

权利要求书

1.一种工业网络异常流量的检测方法，其特征在于，所述方法包括：

获取待检测的网络通信数据；

对所述网络通信数据进行预处理，得到预处理后的数据；

将所述预处理后的数据输入至预设检测模型组进行处理，得到至少两个检测结果；所述预设检测模型组包括至少两个检测模型，且各个检测模型的检测方式不同；

对所述检测结果进行判定，得到目标检测结果。

2.根据权利要求1所述的方法，其特征在于，所述网络通信数据包括数值型数据和离散型数据，所述对所述网络通信数据进行预处理，得到预处理的数据，包括：

将网络通信数据中的离散型数据进行数据转换，得到与所述离散型数据对应的数值型数据。

3.根据权利要求1所述的方法，其特征在于，所述检测模型包括分类模型，所述将所述预处理后的数据输入至预设检测模型组进行处理，得到至少两个检测结果，包括：将所述预处理后的数据输入至所述分类模型进行处理，得到网络流量异常点，包括：

获取预处理后的数据中的网络流量点；

利用欧式距离计算网络流量点与预设中心点之间的欧式距离；

获取所述网络流量点的属性特征，依据所述属性特征确定加权系数；

利用所述加权系数和所述欧式距离进行计算，得到加权欧式距离；

根据所述加权欧式距离与预设距离阈值进行判断，得到判定结果，所述判定结果表征所述网络流量点是否为网络流量异常点的结果。

4.根据权利要求1所述的方法，其特征在于，所述检测模型包括时间序列检测模型，所述将所述预处理后的数据输入至预设检测模型组进行处理，得到至少两个检测结果，包括：将所述预处理后的数据输入至所述时间序列检测模型进行处理，得到网络流量异常点，包括：

基于预处理后的数据生成网络流量点的时间序列；

将所述时间序列输入至所述时间序列检测模型，得到检测结果，所述检测结果表征所述网络流量点是否为网络流量异常点的结果，所述时间序列检测模型表征具有激活函数的神经网络模型。

5.根据权利要求1所述的方法，其特征在于，所述检测模型包括相关性检测模型，所述将所述预处理后的数据输入至预设检测模型组进行处理，得到至少两个检测结果，包括：将所述预处理后的数据输入至所述相关性检测模型进行处理，得到异常检测结果，包括：

获取所述预处理会后的数据的属性特征；

利用所述相关性检测模型，对所述属性特征进行相关性检测，得到各个属性特征之间的关系信息；

基于所述关系信息，确定所述与处理后的数据的异常检测结果。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

确定阈值恒定值，所述阈值恒定值表征对工控系统参数进行检测的恒定阈值；

基于所述阈值恒定值，对预处理后的数据中满足预设特征的属性值进行检测，得到与所述属性值相匹配的检测结果；其中，所述预设特征表征所述属性值为在预设时间内恒定的属性值。

7.根据权利要求1所述的方法，其特征在于，所述对所述检测结果进行判定，得到目标检测结果，包括：

确定各个检测模型的投票权重系数；

依据所述投票权重系数，对所述检测结果进行投票，得到投票结果；

依据所述投票结果，确定目标检测结果。

8.一种工业网络异常流量的检测系统，其特征在于，所述系统包括：

获取单元，用于获取待检测的网络通信数据；

预处理单元，用于对所述网络通信数据进行预处理，得到预处理后的数据；

模型处理单元，用于将所述预处理后的数据输入至预设检测模型组进行处理，得到至少两个检测结果；所述预设检测模型组包括至少两个检测模型，且各个检测模型的检测方式不同；

判定单元，用于对所述检测结果进行判定，得到目标检测结果。