CN113341870B - 一种控制代码异常识别的系统和方法 - Google Patents

Abstract

本发明公开了一种控制代码异常识别的系统与方法，涉及工业控制系统安全技术领域，所述系统包括：数据存储模块与分析运行功能模块；所述数据存储模块包括：执行设备参数数据库模块，在所述执行设备参数数据库模块中存储由PLC控制的执行设备，记录所述执行设备的类型，所述PLC中用于控制所述执行设备的控制变量，所述控制变量的定义域，记录所述执行设备的控制信号单位时间内变换幅度及频率；物理过程事故数据库模块，在所述物理过程事故数据库模块中存储所述执行设备可以引发的物理过程事故；PLC原始控制方案存储模块，在所述PLC原始控制方案存储模块中存储原始控制方案；所述分析运行功能模块包括：PLC控制方案上载模块、控制方案解析模块、分析模块。

Description

一种控制代码异常识别的系统和方法

技术领域

本发明涉及工业控制系统安全技术领域，尤其涉及一种控制代码异常识别的系统与方法。

背景技术

近年来，随着工业自动化程度的提高，工业控制系统与以太网结合，工业控制系统与互联网的联系越来越紧密，同时，工业控制系统受到来自互联网的威胁也越来越严重。工业网络与普通IT网络最大的区别是工业网络连接控制物理设备，从而可能影响整个物理生产制造的过程。工业网络一旦受到恶意攻击，会造成社会影响和经济影响，包括：设备损坏、产品质量问题、爆炸、人员伤害、环境污染等。所以，对于工业控制系统进行入侵检测及预测产生后果是一个重要的研究方向。

工业控制系统受到的攻击是通过网络渗透进入工业网络，获取PLC的控制权限，然后通过PLC控制执行机构，从而达到影响并破坏物理过程的目标。目前的研究主要集中在利用攻击树、攻击路径来评估从内网渗透到PLC，认为一旦攻击者获取PLC的控制权限，就能对工业控制系统的物理过程造成破坏。然而，许多工业控制系统包含冗余系统、SIS系统(Safety Instrumented System安全仪表系统)、系统设计时自带的安全开关、手动操作模式等，这些都减少了攻击对物理过程产生破坏的程度以及形式，所以对于工业控制系统的安全防护需要深入到对执行机构、工控系统实际架构的分析，而不只是对每个工控网络设备所拥有的漏洞及漏洞被利用的可能性进行评估。

在专利申请CN201810985558.8中，公开一种基于遗传算法优化的工业行为异常检测方法，利用单类支持向量机分别构建正常OCSVM模型和异常OCSVM模型，用于模拟系统通讯的正常模式和异常模式，实现工业控制系统的异常检测。在专利申请 CN202110086545.9中，该专利涉及一种基于深度学习的工控系统异常检测方法和装置。所述方法包括：获取工控系统通信数据，并提取多种特定异常类型的特征数据；将每种所述特定异常类型的特征数据输入A-LSTM模型；所述A-LSTM模型在LSTM模型的基础上设置注意力机制层，所述注意力机制层用于计算每个时序的权重，再将所有时序的向量进行加权和作为特征向量输入输出层；所述A-LSTM模型的输出层输出每个所述特定异常类型的特征数据对应的异常类别。在专利申请CN201510974292.3 中，该发明实施例公开了一种控制代码异常检测方法和装置，该方法包括：向工业控制计算机发送实时控制代码提取请求；接收工业控制计算机发送的实时控制代码，并将所述实时控制代码与预存控制代码进行比对，若不匹配，则向所述工业控制计算机发送所述预存控制代码，以使所述工业控制计算机将所述实时控制代码替换为所述预存控制代码。上述专利中所公开的技术方案并没有深入分析工业控制系统PLC与执行机构之间的关系并对可能造成的物理过程事故进行识别预测，而只是发现了控制代码异常并做了修正。

因此，本领域的技术人员致力于开发一种控制代码异常识别的系统与方法，解决现有技术方案存在的上述缺陷。

发明内容

有鉴于现有技术的上述缺陷，本发明所要解决的技术问题是如何深入分析工业控制系统PLC与执行机构之间的关系并对可能造成的物理过程事故进行识别预测，而不只是发现控制代码异常而做修正。本发明所提供的技术方案系统通过比较目标PLC与事先备份的控制方案，检测控制方案中各变量内存地址、控制逻辑，判断控制方案是否被修改，识别PLC对执行机构的控制行为，预测对工控系统物理过程造成破坏。

为实现上述目的，本发明提供了一种控制代码异常识别的系统，所述系统包括：

数据存储模块与分析运行功能模块；

其中，所述数据存储模块包括：

执行设备参数数据库模块，在所述执行设备参数数据库模块中存储由PLC控制的执行设备，记录所述执行设备的类型，所述PLC中用于控制所述执行设备的控制变量，所述控制变量的定义域，记录所述执行设备的控制信号单位时间内变换幅度及频率；

物理过程事故数据库模块，在所述物理过程事故数据库模块中存储所述执行设备可以引发的物理过程事故；

PLC原始控制方案存储模块，在所述PLC原始控制方案存储模块中存储原始控制方案；

所述分析运行功能模块包括：

PLC控制方案上载模块、控制方案解析模块、分析模块。

进一步地，所述数据存储模块还包括：

原始控制方案变量存储模块，在所述原始控制方案变量存储模块中存储所述原始控制方案中的第一变量及所述第一变量属性，使用所述第一变量的模块、函数及控制逻辑标识，所述PLC中针对所述执行设备的控制信号设置的定义域，所述PLC的第一输入输出点位列表；

原始控制方案功能块存储模块，在所述原始控制方案功能块存储模块中存储所述原始控制方案中的模块和函数；

上载控制方案变量存储模块，在所述上载控制方案变量存储模块中存储上载控制方案中的第二变量及所述第二变量属性，使用所述第二变量的模块、函数及控制逻辑标识，所述PLC的第二输入输出点位列表；

上载控制方案功能块存储模块，在所述上载控制方案功能块存储模块中存储所述上载控制方案中的模块和函数。

进一步地，所述原始控制方案中的所述第一变量属性包括：变量类型、变量地址、是否与外部设备通信；所述上载控制方案中的所述第二变量属性包括：变量类型、变量地址、是否与外部设备通信。

进一步地，所述PLC的所述第一输入输出点位列表包括点位对应地址；所述PLC 的所述第二输入输出点位列表包括点位对应地址、与点位相连的设备标识。

进一步地，在所述控制方案解析模块中解析所述原始控制方案和所述上载控制方案，提取所述原始控制方案和所述上载控制方案中的变量和功能块，存入所述原始控制方案变量存储模块、所述上载控制方案变量存储模块、所述原始控制方案功能块存储模块和所述上载控制方案功能块存储模块。

进一步地，在所述分析模块中分析控制方案并预测被改变的控制方案行为及可能造成的物理过程事故；所述分析模块包括两个子功能模块，分别为静态分析模块和动态分析模块。

进一步地，所述静态分析模块比较所述PLC中的所述原始控制方案中各个变量与所述PLC控制方案上载模块中的所述上载控制方案中对应变量的内存地址及对应控制逻辑是否一致及各常数值是否改变；所述动态分析模块用符号执行模拟运行所述 PLC的所述上载控制方案，检查输出控制信号，并映射到所述物理过程事故数据库模块，预测可能发生的事故。

本发明还提供了一种控制代码异常识别的方法，所述方法包括：

步骤1：前期准备；

步骤2：异常检查；

其中，所述步骤1包括：

步骤1.1：在PLC原始控制方案存储模块中存储原始控制方案；

步骤1.2：在执行设备参数数据库模块中存储所有由PLC控制的执行设备，记录所述执行设备的类型，所述PLC中用于控制所述执行设备的控制变量，所述控制变量的定义域，记录所述执行设备的控制信号单位时间内变换幅度及频率；

步骤1.3：在物理过程事故数据库模块中存储所述执行设备可以引发的物理过程事故；

其中，所述步骤2包括：

步骤2.1：PLC控制方案上载模块将所述PLC中的上载控制方案上载到系统内存，使用分析模块分析所述上载控制方案，以所述原始控制方案为基线，先比较所述原始控制方案和所述上载控制方案的MD5值，若相同，则结束；若不同，则跳转S2.2步；

步骤2.2：使用静态分析模块比较所述原始控制方案中各个变量与所述上载控制方案中对应变量的内存地址及对应控制逻辑是否一致及各常数值是否改变；

步骤2.3：使用动态分析模块模拟运行所述上载控制方案，检查输出控制信号，并映射到所述物理过程事故数据库模块，预测可能发生的事故。

进一步地，在所述步骤1.1中，还使用控制方案解析模块对所述原始控制方案进行分析，将所述原始控制方案中的变量存储到原始控制方案变量存储模块，将所述原始控制方案中的功能块存储到原始控制方案功能块存储模块中。

进一步地，在所述步骤2.2中，将检查结果中的变量改变记录在变量变更列表中，将功能块的不同处记录在功能块变更列表中，将控制逻辑的不同处记录在逻辑变更列表中。

本发明所提供的一种控制代码异常识别的系统与方法构建上位机—PLC—执行机构—物理过程之间的联系，对控制方案进行检查分析，若PLC控制方案被修改，则预测识别攻击触发后可能引起的物理过程事故。而现有技术方案中都只是在工业控制系统的网络层进行入侵检测，并没有进一步分析攻击是如何影响工控系统物理过程。

以下将结合附图对本发明的构思、具体结构及产生的技术效果作进一步说明，以充分地了解本发明的目的、特征和效果。

附图说明

图1是本发明的一个较佳实施例的数据存储模块示意图；

图2是本发明的一个较佳实施例的分析运行功能模块示意图；

图3是本发明的一个较佳实施例的工作流程图。

具体实施方式

以下参考说明书附图介绍本发明的多个优选实施例，使其技术内容更加清楚和便于理解。本发明可以通过许多不同形式的实施例来得以体现，本发明的保护范围并非仅限于文中提到的实施例。

本发明为现有技术中没有深入到工业控制系统执行机构所在的物理层面的缺点，提供一种控制代码异常识别系统和方法，识别并预测工业控制系统的恶意攻击。

本发明所提供的技术方案涉及一种控制代码异常识别系统和方法，比较目标PLC与事先备份的控制方案，检测控制方案中各变量内存地址、控制逻辑，判断控制方案是否被修改，识别PLC对执行机构的控制行为，预测对工控系统物理过程造成破坏。

本发明提供的一种控制代码异常识别的系统，包括：

数据存储模块与分析运行功能模块；

其中，数据存储模块包括(如图1所示)：

执行设备参数数据库模块，在执行设备参数数据库模块中存储由PLC控制的执行设备，记录执行设备的类型，PLC中用于控制执行设备的控制变量，控制变量的定义域，记录执行设备的控制信号单位时间内变换幅度及频率；具体来说，执行设备参数数据库模块的工作内容包括：枚举与PLC相连的所有执行设备，记录设备类型，记录 PLC中直接与执行设备交互的控制变量，记录执行设备控制信号定义域(执行设备物理结构上对于输入控制信号的限制、处于确定物理过程中的最大安全限制)，记录执行设备控制信号单位时间内变换幅度及频率(包括物理结构上的最大限制及处于确定物理过程中的最大安全限制)。

物理过程事故数据库模块，在物理过程事故数据库模块中存储执行设备特定情况下的特定操作可以引发的物理过程事故。

PLC原始控制方案存储模块，在PLC原始控制方案存储模块中存储原始控制方案；

其中，数据存储模块还包括：

原始控制方案变量存储模块、原始控制方案功能块存储模块、上载控制方案变量存储模块和上载控制方案功能块存储模块。

原始控制方案变量存储模块，在原始控制方案变量存储模块中存储原始控制方案中的第一变量及第一变量属性，使用第一变量的模块、函数及控制逻辑标识，PLC中针对执行设备的控制信号设置的定义域，PLC的第一输入输出点位列表。

原始控制方案中的第一变量属性包括：变量类型、变量地址、是否与外部设备通信；PLC的第一输入输出点位列表包括点位对应地址。

原始控制方案功能块存储模块，在原始控制方案功能块存储模块中存储原始控制方案中的模块和函数，包括模块、函数标识、类型、输入参数、输出参数。

上载控制方案变量存储模块，在上载控制方案变量存储模块中存储上载控制方案中的第二变量及第二变量属性，使用第二变量的模块、函数及控制逻辑标识，PLC的第二输入输出点位列表。

上载控制方案中的第二变量属性包括：变量类型、变量地址、是否与外部设备通信。PLC的第二输入输出点位列表包括点位对应地址、与点位相连的设备标识。

上载控制方案功能块存储模块，在上载控制方案功能块存储模块中存储上载控制方案中的模块和函数，包括模块、函数标识、类型、输入参数、输出参数。

其中，分析运行功能模块包括(如图2所示)：

PLC控制方案上载模块、控制方案解析模块、分析模块。

PLC控制方案上载模块：上载PLC的控制方案。

在控制方案解析模块中解析原始控制方案和上载控制方案，提取原始控制方案和上载控制方案中的变量和功能块，存入原始控制方案变量存储模块、上载控制方案变量存储模块、原始控制方案功能块存储模块和上载控制方案功能块存储模块。

在分析模块中分析控制方案并预测被改变的控制方案行为及可能造成的物理过程事故；分析模块包括两个子功能模块，分别为静态分析模块和动态分析模块。

静态分析模块比较PLC中的原始控制方案中各个变量与PLC控制方案上载模块中的上载控制方案中对应变量的内存地址及对应控制逻辑是否一致及各常数值是否改变；动态分析模块用符号执行模拟运行PLC的上载控制方案，检查输出控制信号，并映射到物理过程事故数据库模块，预测可能发生的事故。

本发明还提供了一种控制代码异常识别的方法，该方法的工作流程图如图3所示，该方法包括：

步骤1：前期准备；

步骤2：异常检查；

其中，步骤1包括：

步骤1.1：在PLC原始控制方案存储模块中存储原始控制方案；

步骤1.2：在执行设备参数数据库模块中存储所有由PLC控制的执行设备，记录执行设备的类型，PLC中用于控制执行设备的控制变量，控制变量的定义域，记录执行设备的控制信号单位时间内变换幅度及频率；

步骤1.3：在物理过程事故数据库模块中存储执行设备可以引发的物理过程事故；

其中，步骤2包括：

步骤2.1：PLC控制方案上载模块将PLC中的上载控制方案上载到系统内存，使用分析模块分析上载控制方案，以原始控制方案为基线，先比较原始控制方案和上载控制方案的MD5值，若相同，则结束；若不同，则跳转S2.2步；

步骤2.2：使用静态分析模块比较原始控制方案中各个变量与上载控制方案中对应变量的内存地址及对应控制逻辑是否一致及各常数值是否改变；

步骤2.3：使用动态分析模块模拟运行上载控制方案，检查输出控制信号，并映射到物理过程事故数据库模块，预测可能发生的事故。

其中，在步骤1.1中，还使用控制方案解析模块对原始控制方案进行分析，将原始控制方案中的变量存储到原始控制方案变量存储模块，将原始控制方案中的功能块 (函数、模块等)存储到原始控制方案功能块存储模块中。

在步骤1.2中，在执行设备参数数据库模块中存储与PLC相连的所有执行设备的资料，这些信息需要人工输入；

在步骤1.3中，在物理过程事故数据库模块存储执行设备特定情况下的特定操作可以引发的物理过程事故，需要综合考虑物理设备对物理过程的影响能力及物理过程中已设置的安全措施。

其中，在步骤2.2中，将检查结果中的变量改变记录在变量变更列表中，将功能块的不同处记录在功能块变更列表中，将控制逻辑的不同处记录在逻辑变更列表中。具体来说，从上载的PLC控制方案中提取变量，将这些变量地址与原始控制方案中变量地址比较，检查是否存在变量缺失或增加，若有，则记录在“变量变更列表”中；并检查上载的控制方案中各函数、模块等功能块是否有与原始控制方案中的不同处，涉及：计算逻辑、计算过程中调用的变量，若有，则记录在“功能块变更列表”；若PLC 控制方案中被上位机访问的变量被修改，则可能导致攻击的隐蔽性增强或者上位机无法控制执行机构；若PLC控制方案中其他变量被修改，则可能导致传感器接受数据、控制逻辑、控制信号的错误，具体的分析在动态检查中进行。

在步骤2.3的动态检查中，使用符号执行检查所有“函数变更列表”、“模块变更列表”、“逻辑变更列表”中被更改的控制逻辑的触发方式、输入定义域及输出值域、输出形式(输出单位时间变换幅值及频率)；使用符号执行检查“变量变更列表”中未在前面检查过的变量及其所在的功能块的控制逻辑的触发方式、输入定义域及输出值域、输出形式(输出单位时间变换幅值及频率)；

根据输出的控制信号，在物理过程事故数据库模块定位可能出现物理事故；

本发明所提供的一种控制代码异常识别的系统与方法构建上位机—PLC—执行机构—物理过程之间的联系，对控制方案进行检查分析，若PLC控制方案被修改，则预测识别攻击触发后可能引起的物理过程事故。而现有技术方案中都只是在工业控制系统的网络层进行入侵检测，并没有进一步分析攻击是如何影响工控系统物理过程。

以上详细描述了本发明的较佳具体实施例。应当理解，本领域的普通技术无需创造性劳动就可以根据本发明的构思作出诸多修改和变化。因此，凡本技术领域中技术人员依本发明的构思在现有技术的基础上通过逻辑分析、推理或者有限的实验可以得到的技术方案，皆应在由权利要求书所确定的保护范围内。

Claims (9)

1.一种控制代码异常识别的系统，其特征在于，所述系统包括：

数据存储模块与分析运行功能模块；

其中，所述数据存储模块包括：

执行设备参数数据库模块，在所述执行设备参数数据库模块中存储由PLC控制的执行设备，记录所述执行设备的类型，所述PLC中用于控制所述执行设备的控制变量，所述控制变量的定义域，记录所述执行设备的控制信号单位时间内变换幅度及频率；

物理过程事故数据库模块，在所述物理过程事故数据库模块中存储所述执行设备可以引发的物理过程事故；

PLC原始控制方案存储模块，在所述PLC原始控制方案存储模块中存储原始控制方案；

所述分析运行功能模块包括：

PLC控制方案上载模块、控制方案解析模块、分析模块；

所述数据存储模块还包括：

原始控制方案变量存储模块，在所述原始控制方案变量存储模块中存储所述原始控制方案中的第一变量及所述第一变量属性，使用所述第一变量的模块、函数及控制逻辑标识，所述PLC中针对所述执行设备的控制信号设置的定义域，所述PLC的第一输入输出点位列表；

原始控制方案功能块存储模块，在所述原始控制方案功能块存储模块中存储所述原始控制方案中的模块和函数；

上载控制方案变量存储模块，在所述上载控制方案变量存储模块中存储上载控制方案中的第二变量及所述第二变量属性，使用所述第二变量的模块、函数及控制逻辑标识，所述PLC的第二输入输出点位列表；

上载控制方案功能块存储模块，在所述上载控制方案功能块存储模块中存储所述上载控制方案中的模块和函数。

2.如权利要求1所述的控制代码异常识别的系统，其特征在于，所述原始控制方案中的所述第一变量属性包括：变量类型、变量地址、是否与外部设备通信；所述上载控制方案中的所述第二变量属性包括：变量类型、变量地址、是否与外部设备通信。

3.如权利要求1所述的控制代码异常识别的系统，其特征在于，所述PLC的所述第一输入输出点位列表包括点位对应地址；所述PLC的所述第二输入输出点位列表包括点位对应地址、与点位相连的设备标识。

4.如权利要求1所述的控制代码异常识别的系统，其特征在于，在所述控制方案解析模块中解析所述原始控制方案和所述上载控制方案，提取所述原始控制方案和所述上载控制方案中的变量和功能块，存入所述原始控制方案变量存储模块、所述上载控制方案变量存储模块、所述原始控制方案功能块存储模块和所述上载控制方案功能块存储模块。

5.如权利要求1所述的控制代码异常识别的系统，其特征在于，在所述分析模块中分析控制方案并预测被改变的控制方案行为及可能造成的物理过程事故；所述分析模块包括两个子功能模块，分别为静态分析模块和动态分析模块。

6.如权利要求5所述的控制代码异常识别的系统，其特征在于，所述静态分析模块比较所述PLC中的所述原始控制方案中各个变量与所述PLC控制方案上载模块中的所述上载控制方案中对应变量的内存地址及对应控制逻辑是否一致及各常数值是否改变；所述动态分析模块用符号执行模拟运行所述PLC的所述上载控制方案，检查输出控制信号，并映射到所述物理过程事故数据库模块，预测可能发生的事故。

7.一种控制代码异常识别的方法，其特征在于，所述方法包括：

步骤1：前期准备；

步骤2：异常检查；

其中，所述步骤1包括：

步骤1.1：在PLC原始控制方案存储模块中存储原始控制方案；

步骤1.2：在执行设备参数数据库模块中存储所有由PLC控制的执行设备，记录所述执行设备的类型，所述PLC中用于控制所述执行设备的控制变量，所述控制变量的定义域，记录所述执行设备的控制信号单位时间内变换幅度及频率；

步骤1.3：在物理过程事故数据库模块中存储所述执行设备可以引发的物理过程事故；

其中，所述步骤2包括：

步骤2.1：PLC控制方案上载模块将所述PLC中的上载控制方案上载到系统内存，使用分析模块分析所述上载控制方案，以所述原始控制方案为基线，先比较所述原始控制方案和所述上载控制方案的MD5值，若相同，则结束；若不同，则跳转S2.2步；

步骤2.2：使用静态分析模块比较所述原始控制方案中各个变量与所述上载控制方案中对应变量的内存地址及对应控制逻辑是否一致及各常数值是否改变；

步骤2.3：使用动态分析模块模拟运行所述上载控制方案，检查输出控制信号，并映射到所述物理过程事故数据库模块，预测可能发生的事故。

8.如权利要求7所述的控制代码异常识别的方法，其特征在于，在所述步骤1.1中，还使用控制方案解析模块对所述原始控制方案进行分析，将所述原始控制方案中的变量存储到原始控制方案变量存储模块，将所述原始控制方案中的功能块存储到原始控制方案功能块存储模块中。

9.如权利要求7所述的控制代码异常识别的方法，其特征在于，在所述步骤2.2中，将检查结果中的变量改变记录在变量变更列表中，将功能块的不同处记录在功能块变更列表中，将控制逻辑的不同处记录在逻辑变更列表中。

Images