[发明专利]一种基于多种机器学习算法的工控异常行为检测方法

摘要

本发明公开了一种基于多种机器学习算法的工控异常行为检测方法，首先采集发电分布式控制系统的流量数据并标定，然后采用标定后的流量数据分别构建训练样本集和测试样本集，然后将样本进行多维特征提取和向量化处理，然后建立基于多种机器分类学习方法的分类模型，最后将采集发电分布式控制系统的实时流量数据并输入分类模型，若输出分类结果为恶意流量，则判定发生工控异常行为，反之，则判定未发生工控异常行为；本发明能够对样本进行有效的分类和检测，快速检测工控系统存在的异常行为问题，并能够准确识别潜在恶意及异常行为。

主权项

1.一种基于多种机器学习算法的工控异常行为检测方法，其特征在于：包括以下步骤：A、采集发电分布式控制系统的流量数据并标定；采集的流量数据来源于发电分布式控制系统正常状态下的正常流量数据和渗透测试过程中的异常流量数据，将正常流量数据标定为正常流量，将异常流量数据标定为异常流量；B、采用标定后的流量数据分别构建训练样本集和测试样本集；C、样本进行特征提取和向量化处理：对训练样本集和测试样本集中的样本进行特征提取、标准化处理和向量化处理，构成训练样本集的特征向量集合和测试样本集的特征向量集合，特征向量集合中每一个特征向量对应一个样本信息，每一个特征向量包含各类特征数据；D、建立分类模型：具体过程为：d1：将训练样本集的特征向量集合多次输入多种机器学习分类算法中，构建集成学习分类模型；一次输入过程记为一轮训练过程，每轮训练过程中多种机器学习分类算法采用不同核函数组合和不同权重组合；每轮训练过程具体如下：d1.1：将训练样本集的特征向量集合分别输入多种机器学习分类算法中；d1.2：对多种机器学习分类算法的分类结果进行整合处理，得到训练样本集中每个训练样本的最终分类结果，分类结果为正常流量或异常流量；d1.3：将所有训练样本的分类结果与对应样本标签一一进行对比，获取本轮分类结果的准确率；d1.4：根据每轮分类结果的准确率，调整优化模型参数，确保每种机器学习分类算法在训练样本集上收敛；d1.5：采用测试样本集对经d1.4训练后的各种机器学习分类算法进行测试，检验训练后模型的有效性，确定最佳的核函数与模型参数组合并构建集成学习分类模型；d2：将测试样本集的特征向量集合分别输入每轮训练产生的集成学习分类模型中，采用十重交叉验证法确定各分类算法的最佳权重组合；d3：采用最佳权重组合和最佳核函数组合构建分类模型；E：采集发电分布式控制系统的实时流量数据并输入步骤D所得分类模型，若输出分类结果为恶意流量，则判定发生工控异常行为，反之，则判定未发生工控异常行为。