CN109034140A - 基于深度学习结构的工业控制网络信号异常检测方法 - Google Patents

Abstract

基于深度学习结构的工业控制网络信号异常检测方法，涉及工业控制网络数据中异常值检测的技术领域。本发明是为了解决现有的方法中对判别正常数据和异常值需要人为界定，对于少量异常值难以检测的问题。从工业控制网络数据中选取部分数据作为训练样本，对该训练样本进行数据归一标准化操作，得到归一化后的已标定数据，采用数据增强算法为归一化后的已标定数据增加一些假样本数值形成被检测数据；将正常数据和被检测数据各输入到一个自编码器压缩网络中进行训练，分别得到训练后的数据；将该数据输入到对比网络中经过深度神经网络的计算，得到正常数据和被检测数据之间的距离，采用分类器根据距离判定被检测数据中的异常值。它用于信号异常检测。

Description

基于深度学习结构的工业控制网络信号异常检测方法

技术领域

本发明涉及基于深度学习结构的工业控制网络信号异常检测方法，属于工业控制网络数据中异常值检测的技术领域。

背景技术

工业控制系统(Industrial Control System，ICS)是指由计算机与工业过程控制部件组成的自动控制系统，它由控制器、传感器、传送器、执行器和输入/输出接口等部分组成。这些组成部分通过工业通信线路，按照一定的通信协议进行连接，形成一个具有自动控制能力的工业生产制造或加工系统。

当前的工业控制系统在具体部署时通常涉及如下几种网络：企业办公网络(企业网或办公网)、过程控制与监控网络(监控网)、现场控制系统。

办公网：管理者根据监控网的数据对企业进行管理以及决策。通过工控管理系统对企业的计划产排、仓储管理、生产调度等流程活动进行统一部署。

监控网：操作员根据监控软件对现场的运行设备进行监测和控制。

现场控制系统：工作人员对分布式控制系统(DCS)、可编程逻辑控制器(PLC)、远程终端单元(RTU)进行现场设备的逻辑控制、数据采样、指令执行等工业操作。

异常检测是一种识别出与主体明显不同的对象的方法，也可以叫做异常值检测或者是偏差检测。异常检测技术一般用在欺诈检测、网络安全和医疗领域等方面。对于大部分异常检测任务，需要预先定义主体活动部分，如果被检测对象出现与主体部分显著的偏差，那么则该对象就被判断为异常值。网络安全中，异常检测是入侵检测的首要任务(识别正常网络流量和异常网络流量)。而主体部分指代的就是网络系统中的正常网络流量。

工控网络的异常检测通过收集工业控制系统以及网络的相关数据，利用异常检测方法对数据进行处理，以发现这些数据中是否存在导致工业控制系统发生异常的入侵条目。单分类方法是利用正常数据样本的模式来发现与正常数据不同的行为，从本质上来说是一种异常入侵检测方法，可以发现出异常是否存在。

现有网络异常检测为：当被检测目标与预定义的模式出现显著的不同时，该被检测目标则可以判断为异常值。基于该思想，当前大部分网络异常检测技术着重于为网络中的正常数据建立数学模型，当出现异常值的时候，异常值会与这种数学模型存在差异或不同。

然而，当前大部分异常检测技术重心放在了建立更好的表征正常数据模式的算法上，对于异常值与数学模型存在的区别，往往通过人为定义阈值或来判定。因此可能某些异常就被略过，无法检测出。

发明内容

本发明是为了解决现有的方法中对判别正常数据和异常值需要人为界定，对于少量异常值难以检测的问题。现提供基于深度学习结构的工业控制网络信号异常检测方法。

基于深度学习结构的工业控制网络信号异常检测方法，所述方法包括以下步骤：

步骤一、从工业控制网络数据中选取部分数据进行标记作为训练样本，对该训练样本进行数据归一标准化操作，得到归一化后的已标定数据，采用数据增强算法为归一化后的已标定数据增加一些假样本数值形成被检测数据；

步骤二、将正常数据和被检测数据各输入到一个自编码器压缩网络中进行训练，分别得到正常数据的拼接数据和被检测数据的拼接数据；

步骤三、将所述的两个拼接数据输入到对比网络中经过深度神经网络的计算，得到正常数据和被检测数据之间的距离，采用分类器根据距离判定被检测数据中的异常值，从而检测出异常值的攻击类型。

本发明的有益效果为：

本申请不为正常数据建立模型，而是利用深度学习技术，设计一种神经网络结构。该结构直接学习正常数据和异常值之间的差异，根据差异值的大小来判断数据是正常数据还是异常值。同时，也为了避免人为判断差异值大小出现的误差，对比网络结构中也添加了一种softmax分类器，利用该分类器，自动来识别什么程度大小的差异值属于正常或者异常。本申请提出的基于一种深度学习网络架构——对比网络，利用该结构学习正常数据和异常点差异的方式，建立了一个识别网络数据正常或异常的深度学习网络，能够解决异常检测过程中难以界定异常值和正常数据之间界限的问题，并且提高了异常检测的能力，具有较好的前景。

本申请适用于对工业控制网络数据流量进行异常检测分析。可以避免通过传统神经网络分类情况中，对于少量异常值难以检测的问题；并且满足了实际条件中网络存在大量正常网络流量，而异常值出现很少的情况。

附图说明

图1具体实施方式一所述的基于深度学习结构的工业控制网络信号异常检测方法的流程图；

图2为具体实施方式一所述的基于深度学习结构的工业控制网络信号异常检测方法的结构架构图；

图3为自编码部分的结构图；

图4为对比网络部分的结构图；

图5为传统多分类神经网络与本申请的对比网络检测类别准确率的对比图。

具体实施方式

具体实施方式一：参照图1至图4具体说明本实施方式，本实施方式所述的基于深度学习结构的工业控制网络信号异常检测方法，所述方法包括以下步骤：

步骤一、从工业控制网络数据中选取部分数据进行标记作为训练样本，对该训练样本进行数据归一标准化操作，得到归一化后的已标定数据，采用数据增强算法为归一化后的已标定数据增加一些假样本数值形成被检测数据；

步骤二、将正常数据和被检测数据各输入到一个自编码器压缩网络中进行训练，分别得到正常数据的拼接数据和被检测数据的拼接数据；

步骤三、将所述的两个拼接数据输入到对比网络中经过深度神经网络的计算，得到正常数据和被检测数据之间的距离，采用分类器根据距离判定被检测数据中的异常值，从而检测出异常值的攻击类型。

本实施方式中，步骤二至步骤三为深度学习网络构建出的深度对比模型，深度对比模型(Deep Comparison Model；DCM)包含了两个主要部分：自编码器压缩网络和对比网络。如图1所示，DCM模型需要两种数据来完成工作：正常数据和被检测数据。正常数据采用训练集中的正常数据，被检测数据则是我们需要识别的目标。DCM模型按照如下工作，如图2所示：(1)利用自编码器网络，对正常数据X_n和被检测数据X_a进行数据压缩，分别得到压缩后的数据Z_n和Z_a。(2)将输入数据与压缩数据拼接，分别得到信息增强后的拼接数据f_n和f_a。(3)对比网络获得上层feed，并且识别被检测数据。

在整个对比网络模型中，该网络有两个输入：支持集输入层和正常数据集输入层。正常数据集就是在网络中存在的正常网络流量；支持集则是与正常流量对比的异常流量；为了能够提高学习能力，在支持集中也加入了一部分正常流量。显然，我们有三种数据集：训练数据集Q、支持数据集S、测试数据集T。训练数据集中包含所有的正常活动数据，而且用于模型的训练；支持数据集也用于模型训练，但是它包含了异常活动数据和少量的正常数据,主要完成对比任务；测试数据集作为被检测数据则被用于验证模型的好坏。对于本研究建立的深度对比模型，从以下两个方面进行介绍。

(1)自编码器压缩网络部分

自动编码器是一种数据的压缩算法，也可以认为它是构建数据低维度特征的一种方式，其中数据的压缩和解压缩函数是数据相关的、有损的、从样本中自动学习的。在大部分提到自动编码器的场合下，压缩和解压缩的函数是通过神经网络实现的。自动编码器网络一般结构如图2所示。

自自编码器主要分为编码器部分和解码器部分，在下述公式中：θ_e,θ_d分别代表编码器和解码器网络的参数。而z,x′分别代表压缩后生成的压缩数据以及通过解码器解码得到的数据；encode代表编码器部分的编码操作，decode代表解码器部分的解码操作。自编码器实际完成的工作则是：首先对原始输入数据x进行编码操作，得到最终数据编码z。然后利用编码器操作，对编码z恢复为解码数据x′。利用公式如下表示。

z＝encode(x；θ_e)

x′＝decode(z；θ_d)

最终，模型使得解码后的数据与原始数据之间的误差尽可能小，也就是说需要按照

进行自编码器网络的训练。其中m代表着输入数据的个数。该公式为平方差公式。

(2)对比网络部分

对比网络需要接收正常样本和被检测样本的数据，经过深度神经网络的计算，得到二者之间的差异，并且根据差异识别正常和异常。因此，对比网络的重要工作是通过神经网络来实现对比的任务。图4介绍了深度学习结构的具体架构，

该深度学习结构包含了三个部分：网络输入部分、网络主体部分和检测部分。

1)网络输入部分包含了对比网络的数据输入。它有两个关键输入f_n,f_a；f_n是由正常数据X_n和正常数据的压缩值Z_n进行拼接组合得到，并且f_a是由被检测数据X_a和被检测数据压缩值Z_a拼接而成。

2)网络主体部分部分是对比网络的主体。网络输入部分中的两个部分共同输入该网络中，由该网络计算两种输入分布之间的距离，该距离会从输出层给出。

3)最后，检测部分被添加入对比网络中，因为网络输出距离的话，还需要从距离来判别正常和异常数据。因此，检测部分的作用就是接收距离输入，根据距离来判定异常值。在训练过程中，检测部分与整个网络共同训练，以提高其分类的针对性。

具体实施方式二：本实施方式是对具体实施方式一所述的基于深度学习结构的工业控制网络信号异常检测算法作进一步说明，本实施方式中，步骤一中，对该训练样本进行数据归一标准化操作的公式为：

式中，为训练样本数据的数学期望，σ_x为训练样本数据的标准差，x_k为归一化后的已标定数据，x_m为归一化前的已标定数据；

步骤一中，采用数据增强算法为归一化后的已标定数据增加一些假样本的公式为：

式中，λ为位于(0,1)范围内的一个数值，(x_i,y_i),(x_j,y_j)为归一化后的已标定数据中随机取得的两个样本；为生成的“假样本”的数值和标签。

具体实施方式三：本实施方式是对具体实施方式一所述的基于深度学习结构的工业控制网络信号异常检测算法作进一步说明，本实施方式中，步骤三中，将所述的两个拼接数据输入到对比网络中经过深度神经网络的计算，得到正常数据和被检测数据之间的距离的过程为：

利用带参数θ_c的神经网络来学习正常分布和异常值分布之间的差异L(f_n,f_a；θ_c)，得到正常数据和被检测数据之间的距离f(x)为：

f(x)＝L([x_n,z_n],[x_a,z_a]；θ_c) 公式3，

式中，f_n表示由正常数据X_n和正常数据的压缩值Z_n进行拼接组合得到的正常数据的拼接数据，f_a表示由新的被检测数据X_a和被检测数据压缩值Z_a进行拼接组合得到的被检测数据的拼接数据，z_n＝encode(x_n,θ_e)，z_a＝encode(x_a,θ_e)，θ_e表示编码器，encode代表编码器部分的编码操作。

本实施方式，对比网络的目的是利用带参数θ_c的神经网络来学习正常分布和异常值分布之间的差异L(f_n,f_a；θ_c)。最终，对比网络模型完成如下工作：

f(x)＝L([x_n,z_n],[x_a,z_a]；θ_c)

f(x)代表计算出的分布距离，而z_n＝encode(x_n,θ_e)，z_a＝encode(x_a,θ_e)。而网络最终需要识别数据属于正常或者异常值，因此检测部分使用softmax分类层来完成分类任务。

实验验证：

本申请的基于深度学习结构的工业控制网络信号异常检测方法在三种异常检测数据集上进行验证。Gas pipeline数据集、water储水罐数据集和KDDCUP99数据集。前两种数据集是工业控制网络数据集，该部分与本文作者的研究内容相关。而KDDCUP99数据集是进行网络异常检测算法验证的公开数据集，在该数据集上可以验证异常检测方法的有效性。数据集的总体信息数据表和数据集中工业控制网络数据的信息表分别如表1和表2所示。

表1

表2

两种工业控制网络安全数据集中，包含了气体管道数据集和储水罐数据集。数据集收录的网络流量来自于Modbus应用层协议的两个工业控制系统的一组28次攻击。该数据集包含网络流量特性和有效内容特性。网络流量特性与Modbus网络通信有关，而有效内容特性与具体的工业控制过程有关。在有效内容特性中，包含着系统的测量值、关键系统工作状态参数、系统模式等关键信息。其中最为重要的是测量值属性。

●气体管道数据集气体管道数据集包含了天然气气体传输管道控制过程的关键数据，包含有26个特征和8个攻击类别(包含了正常类别)。在气体管道数据集中，核心属性是气体管道中的压强。

●储水罐数据集储水罐数据集模拟了液体在储水罐中的状态：当液体位于储水罐高低警戒位置之间时，系统正常；当超过最高警戒或低于最低警戒位，系统给出相应警报。该数据集包含23个属性值和8个攻击类别(包含了正常类别)，核心属性是当前水位测量值、最高警戒水位和最低警戒水位。

●KDDCUP99数据集该数据集包含了41维度的数据样本，而且该数据样本中的攻击类别被分为4大类共22种攻击类型。在训练集和测试集中，二者的攻击类别数目是相等的，没有存在未知的攻击类别。在实验中，KDDCUP99的10％数据集被当作训练样本使用，而KDDCUP99的corrected样本作为测试样本来验证模型的预测能力。

经过对比网络检测的三种数据检测准确度结果

从这三种数据集的各个类别检测结果表示，对比网络模型能够完成异常检测任务，并且具有大约85％以上的检测准确率，最终的检测效果较好。能够应用在工业控制网络异常检测之中。如图5所示，将传统多分类神经网络与本申请的对比网络的检测结果进行对比，我们可以看到对比网络可以检测到传统无法检测的类别。

Claims (3)

1.基于深度学习结构的工业控制网络信号异常检测方法，其特征在于，所述方法包括以下步骤：

步骤一、从工业控制网络数据中选取部分数据进行标记作为训练样本，对该训练样本进行数据归一标准化操作，得到归一化后的已标定数据，采用数据增强算法为归一化后的已标定数据增加一些假样本数值形成被检测数据；

步骤二、将正常数据和被检测数据各输入到一个自编码器压缩网络中进行训练，分别得到正常数据的拼接数据和被检测数据的拼接数据；

步骤三、将所述的两个拼接数据输入到对比网络中经过深度神经网络的计算，得到正常数据和被检测数据之间的距离，采用分类器根据距离判定被检测数据中的异常值，从而检测出异常值的攻击类型。

2.根据权利要求1所述基于深度学习结构的工业控制网络信号异常检测方法，其特征在于，步骤一中，对该训练样本进行数据归一标准化操作的公式为：

式中，为训练样本数据的数学期望，σ_x为训练样本数据的标准差，x_k为归一化后的已标定数据，x_m为归一化前的已标定数据；

步骤一中，采用数据增强算法为归一化后的已标定数据增加一些假样本的公式为：

式中，λ为位于(0,1)范围内的一个数值，(x_i,y_i),(x_j,y_j)为归一化后的已标定数据中随机取得的两个样本；为生成的“假样本”的数值和标签。

3.根据权利要求1所述基于深度学习结构的工业控制网络信号异常检测方法，其特征在于，步骤三中，将所述的两个拼接数据输入到对比网络中经过深度神经网络的计算，得到正常数据和被检测数据之间的距离的过程为：

利用带参数θ_c的神经网络来学习正常分布和异常值分布之间的差异L(f_n,f_a；θ_c)，得到正常数据和被检测数据之间的距离f(x)为：

f(x)＝L([x_n,z_n],[x_a,z_a]；θ_c) 公式3，

式中，f_n表示由正常数据X_n和正常数据的压缩值Z_n进行拼接组合得到的正常数据的拼接数据，f_a表示由新的被检测数据X_a和被检测数据压缩值Z_a进行拼接组合得到的被检测数据的拼接数据，z_n＝encode(x_n,θ_e)，z_a＝encode(x_a,θ_e)，θ_e表示编码器，encode代表编码器部分的编码操作。