CN114547600A - 一种工控系统安全防护方法、装置、设备及介质 - Google Patents

Abstract

本发明实施例公开了一种工控系统安全防护方法、装置、设备及介质。该方法包括：根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平均故障时间；筛选出平均故障时间小于故障修复时间的目标节点，并确定与目标节点对应的故障时间点以及故障修复时间点；在由故障时间点和故障修复时间点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换目标节点继续运行。本发明实施例的技术方案能够提高工控系统故障运行时间，从而有效的对工控系统进行安全防护，降低工控系统由于故障造成的损失。

Description

一种工控系统安全防护方法、装置、设备及介质

技术领域

本发明实施例涉及计算机技术领域，尤其涉及一种工控系统安全防护方法、装置、设备及介质。

背景技术

工业控制系统(Industrial Control Systems，ICS)简称工控系统，是当今工业关键基 础设施的神经系统。工控系统是一个复杂的系统，不同行业的工控系统组网、表现形式也 会千差万别。一般一个简单的工控系统由主控单元和可编程逻辑控制器(PLC)组成，复 杂一点上升到计算机控制系统(CCS)或分布式控制系统(DCS)，以及以计算机为基础 组件的数据采集与监视控制系统(SCADA)。工控系统的设计目标是实现生产过程的自动 化、效益最大化，并且系统能以稳定的姿态、高可靠性要求满足生产工艺。

随着计算机技术、通信技术和控制技术的发展，传统采用封闭网络、对外无互联互通 的较安全工控系统正逐步走向开放与互联，经历一场前所未有的变革，广泛采用TCP/IP(Transmission Control Protocol/Internet Protocol，传输控制协议/网际协议)网络作为基础 通信设施，包括使用GPRS(General Packet Radio Service，通用分组无线服务)等在内的 各种无线通信网络，开始向网络化方向发展。因此，工控系统在与外界进行数据传输时， 存在被攻击或入侵风险。

现有的工控系统安全防护方法通常是采用软件程序对入侵行为进行检测并进行阻止， 但是入侵行为和工控系统弱点具有不可预知性和随机性，因此，现有工控系统安全防护方 法因无法实时且准确的对入侵行为进行检测并阻止从而导致无法有效的对工控系统进行 安全防护。

发明内容

本发明实施例提供一种工控系统安全防护方法、装置、设备及介质，能够提高工控系统故障运行时间，从而有效的对工控系统进行安全防护，降低工控系统由于故障 造成的损失。

根据本发明的一方面，提供了一种工控系统安全防护方法，包括：

根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平均故障时间；

筛选出平均故障时间小于故障修复时间的目标节点，并根据所述平均故障时间以及所述故障修复时间，确定与所述目标节点对应的故障时间点以及故障修复时间点；

在由所述故障时间点和所述故障修复时间点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换所述目标节点继续运行。

根据本发明的另一方面，提供了一种工控系统安全防护装置，其特征在于，包括：

平均故障时间确定模块，用于根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的 平均故障时间；

目标节点筛选模块，用于筛选出平均故障时间小于故障修复时间的目标节点，并根据所述平均故障时间以及所述故障修复时间，确定与所述目标节点对应的故障时间 点以及故障修复时间点；

目标备选节点替换模块，用于在由所述故障时间点和所述故障修复时间点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换所述目标节点继 续运行。

根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行本发明任一实施例所 述的工控系统安全防护方法。

根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现本发明任一实施例 所述的工控系统安全防护方法。

本发明实施例的技术方案，通过根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过 的平均故障时间，并筛选出平均故障时间小于故障修复时间的目标节点，从而根据平 均故障时间以及故障修复时间，确定与目标节点对应的故障时间点以及故障修复时间 点，进而在由故障时间点和故障修复时间点确定的中断服务时间段内，从备选节点集 中选择至少一个目标备选节点替换目标节点继续运行，解决了现有工控系统安全防护 方法因无法实时且准确的对入侵行为进行检测并阻止导致的无法有效的对工控系统 进行安全防护的问题，能够提高工控系统故障运行时间，从而有效的对工控系统进行 安全防护，降低工控系统由于故障造成的损失。

应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征， 也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图 获得其他的附图。

图1是本发明实施例一提供的一种工控系统安全防护方法的流程图；

图2是本发明实施例一提供的分布式工控系统的架构示意图；

图3是本发明实施例一提供的工控系统状态转移模型的结构示意图；

图4是本发明实施例二提供的一种工控系统安全防护方法的流程图；

图5是本发明实施例二提供的一种子网切换模型的示意图；

图6是本发明实施例三提供的一种工控系统安全防护装置的示意图；

图7是实现本发明实施例的工控系统安全防护方法的电子设备的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例 仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领 域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于 本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“目标”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的 数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示 或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形， 意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、 产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或 对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例一

图1是本发明实施例一提供的一种工控系统安全防护方法的流程图，本实施例可适用于提高工控系统故障运行时间的情况，该方法可以由工控系统安全防护装置执行， 该装置可以通过软件和/或硬件的方式实现，并一般可以直接集成在执行本方法的电 子设备中，该电子设备可以是终端设备，也可以是服务器设备，本发明实施例并不对 执行工控系统安全防护方法的电子设备的类型进行限定。具体的，如图1所示，该工 控系统安全防护方法具体可以包括如下步骤：

S110、根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平均故障时间。

其中，工控系统状态转移模型可以是表征工控系统中工作节点的不同工作状态以及不同工作状态间转移关系的一个模型。工控系统状态转移概率矩阵空间可以是工控 系统中各工作节点的不同工作状态间的转移概率矩阵形成的矩阵空间。示例性的，假 设工控系统中的工作节点M的工作状态包括A状态和B状态，则工作节点M不同工作 状态间的转移概率可以是由A状态转移到B状态的概率。当前节点状态可以是工作节 点的当前状态。可以理解的是，不同的工作节点的当前节点状态可以不同。示例性的， 工作节点M的当前节点状态可以是A状态；工作节点N的当前节点状态可以是B状态。 停止服务状态可以是工作节点无法继续运行、停止服务的状态。平均故障时间可以是 工作节点从正常运行到无法运行经过的时间，可以用于表征工作节点处理故障的能力。 可以理解的是，平均故障时间是一个时长，平均故障时间越大，说明工作节点故障到 停止运行时间的间隔越长，也即工作节点处理故障的能力越强。

在本发明实施例中，在对工控系统进行安全防护时，可以根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态 切换至停止服务状态经过的平均故障时间，以筛选出平均故障时间小于故障修复时间 的目标节点。可以理解的是，当节点遭到入侵攻击后，状态切换的次数为有限次，不 可能无限次切换下去，可能最终切换至正常状态继续运行，也可能切换到停止服务状 态。

可选的，工控系统可以包括分布式工控系统。分布式工控系统是一种专门设计的系统，经常用于复杂、大型或地理分布应用的工业控制过程中，可提高可靠性、生产 力和生产质量，同时最大限度地降低生产成本。图2是本发明实施例一提供的分布式 工控系统的架构示意图，在一个具体示例中，如图2所示，分布式工控系统可以包括 工控中心，以及用于控制的至少一个致动器以及无线通信网络，以及致动器的至少一 个控制器和至少一个传感器，并通过无线网络进行连接。可以理解的是，在通信网络 中可以包括多个子网，每个子网可以包括多个工作节点。通信网络中的节点在受到外 部攻击时可能会导致分布式工控系统故障，因此需要对工控系统进行安全防护。

可选的，在根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平均故障时间之 前，还包括：收集工控系统中各节点的历史运行状态数据；根据历史运行状态数据， 生成工控系统状态转移模型，并建立与每个节点分别对应的工控系统状态转移概率矩 阵，以形成工控系统状态转移概率矩阵空间。

其中，历史运行状态数据可以是工控系统中的节点在历史运行过程中的状态数据。 工控系统状态转移概率矩阵可以是节点的不同工作状态间的转移概率形成的概率矩阵。

具体的，在对工控系统进行安全防护时，可以通过收集工控系统中各节点的历史运行状态数据，以根据历史运行状态数据生成工控系统状态转移模型，并建立与每个 节点分别对应的工控系统状态转移概率矩阵，以形成工控系统状态转移概率矩阵空间， 从而根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中 各工作节点从当前节点状态切换至停止服务状态经过的平均故障时间。

可以理解的是，工控系统状态转移模型中可以包括节点状态集，以及节点状态集中不同节点状态之间的转移关系。可选的，节点状态集中的节点状态可以包括正常状 态、脆弱状态、被攻击状态、等待改进状态、触发状态、停止服务状态、降低服务状 态以及未知损害状态。

图3是本发明实施例一提供的工控系统状态转移模型的结构示意图，在一个具体示例中，如图3所示，在分布式工控系统中，若分布式工控系统的第i个子网的第j 个节点处于N状态(Normal State，正常状态)，则节点可以正常运行，其中i∈[1,I]，I 表示子网个数，j∈[1,J]，J表示节点个数，其中I，J均为大于1的正整数。当分布 式工控系统检测到或发现到弱点时，节点进入F状态(Fragile State，脆弱状态)， 若节点自动修复则返回N状态；若节点被攻击者利用弱点成功入侵，则节点进入BA 状态(Being Attacked State，被攻击状态)；若节点通过防御策略避免了损害，此 时节点需要操作员进行维护修复，进入WI状态(Waiting for Improving State，等 待改进状态)；若节点弱点被管理员改进或修复，则节点继续进入N状态；若节点处 于BA状态时，节点无法避免损害或未能屏蔽入侵者所造成的损害，则将触发入侵容 忍机制，进入T状态(Trigger State，触发状态)；当节点处于T状态时，入侵容 忍机制将评估当前损害状况，若判断节点损害严重或完全失控，无法继续运行，则节 点进入SS状态(Stop the Service State，停止服务状态)；若节点仍可继续运行，但需要降低部分性能或服务能力，则节点进入RS状态(reduce the service state, 降低服务状态)；当节点处于SS状态或RS状态后，通过管理员进行维护改进，则进 入N状态；若节点处于BA状态时，未能避免掉损害，也未能触发入侵容忍机制，则 进入UD状态(unknowndamage state,未知损害状态)，此时节点需通过管理员改进 或修复，将重新进入N状态。

具体的，入侵容忍机制可以是在分布式工控系统遭受恶意攻击取得成功时，仍然能够及时判断和完成其关键任务的能力，能够提供所需的全部或者降级服务，也即入 侵容忍技术。入侵容忍技术不信任网络中任何一个单个的节点，不会因为某个节点被 攻克而导致整个分布式工控系统奔溃，系统将权力分散到多个节点，并在检测某个节 点被占用时，将其抛弃，保证系统不会因为单个节点和场景损害系统的可用性和机密 性。

另一个可以理解的是，工控系统状态转移概率矩阵中的各矩阵元素，可以用于描述从节点状态集中的一种节点状态切换至另一种节点状态的转移概率。可选的，工控 系统状态转移概率矩阵可以是基于离散时间马尔可夫模型构建的。马尔可夫模型是一 种概率统计模型，可以用于建模各种复杂的动态系统。工控系统状态转移概率矩阵可 以用来描述工控系统向外提供服务的状态变换关系，通过建模可进一步量化系统的运 行状态，进而高效分析系统的性能指标。在一个具体示例中，工控系统状态转移概率 矩阵的横向可以表示节点的初始状态，工控系统状态转移概率矩阵的纵向可以表示节 点从初始状态切换后的状态，具体可以采用如下形式表示工控系统状态转移概率矩阵：

其中，

表示第i个子网的第j个节点的工控系统状态转移概率矩阵，

表示该节点从N状态一次转移到N状态的概率,也即正常运行的概率；

表示该节点从N状 态一次转移到F状态的概率，也即该节点存在入侵弱点被发现的概率；

表示该节 点从F状态一次转移到N状态的概率，也即该节点能自动恢复的概率；

表示该节 点由F状态一次转移到BA状态的概率，也即攻击者利用弱点成功入侵的概率；

表 示该节点由BA状态一次转移到WI状态的概率，也即该节点屏蔽入侵但需要管理员修 复的概率；

表示该节点由WI状态一次转移到N状态的概率，也即该节点被管理员 改进或修复后正常运行的概率；

表示该节点由BA状态一次转移到T状态的概率， 也即该节点无法避免损害或未能屏蔽入侵者所造成的损害，触发入侵容忍机制的概率；

表示该节点由T状态一次转移到SS状态的概率，也即该节点损害严重或完全失控， 无法继续运行的概率；

表示该节点由T状态一次转移到RS状态的概率，也即该节 点仍可继续运行，但需要降低部分性能或服务能力的概率；

表示该节点由RS状态 一次转移到WI状态的概率，也即该节点提供降级服务需等待管理员改进修复的概率；

表示该节点由SS状态一次转移到WI状态的概率，也即该节点由完全失控或不能 运行需等待管理员改进修复的概率；

表示该节点由BA状态一次转移到UD状态的 概率，也即该节点处于BA状态时，未避免掉损害，也未触发容忍机制的概率；

表 示该节点由UD状态一次转移到N状态的概率，也即该节点由UD状态经管理员修复，能正常运行的概率；其它方式转移概率记为0，也即该节点不存在其它方式的转移。 可以理解的是，一次转移表示从该状态出发，只经过一次转移，不存在叠加次数。所 有概率的取值范围均为0至1。

S120、筛选出平均故障时间小于故障修复时间的目标节点，并根据所述平均故障时间以及所述故障修复时间，确定与所述目标节点对应的故障时间点以及故障修复时 间点。

其中，故障修复时间可以是工作节点从故障开始直到完成故障修复所需要的时间。 可选的，故障修复时间可以是工作节点从故障开始直到完成故障修复所需要的最大时间。目标节点可以是在工作节点中筛选出的满足平均故障时间小于故障修复时间的一 个节点。故障时间点可以是工作节点无法正常运行的时间点，也即平均故障时间结束 时的时间点。故障修复时间点可以是目标节点完成故障修复的时间点，也即故障修复 时间结束时的时间点。

在本发明实施例中，在确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平均故障时间之后，可以进一步筛选出平均故障时间小于故障修复时间 的目标节点，并根据平均故障时间以及故障修复时间确定与目标节点对应的故障时间 点以及故障修复时间点。

可以理解的是，如果工作节点的平均故障时间小于故障修复时间，说明工作节点在完成故障修复之前就停止服务了，则工作节点无法继续工作，从而可能导致工控系 统故障。因此，本发明实施例通过筛选出平均故障时间小于故障修复时间的目标节点， 并根据平均故障时间以及故障修复时间确定与目标节点对应的故障时间点以及故障 修复时间点，以在由故障时间点和故障修复时间点确定的中断服务时间段内，从备选 节点集中选择至少一个目标备选节点替换目标节点继续运行。

S130、在由所述故障时间点和所述故障修复时间点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换所述目标节点继续运行。

其中，中断服务时间段可以是目标节点故障无法运行直到故障修复完成的时间段。 备选节点集可以是工控系统中用于备用的非工作节点的集合。目标备选节点可以是备选节点集中的一个目标节点，可以用于替换目标节点继续运行。

在本发明实施例中，在筛选出平均故障时间小于故障修复时间的目标节点，并根据平均故障时间以及故障修复时间，确定与目标节点对应的故障时间点以及故障修复 时间点之后，可以进一步在由故障时间点和故障修复时间点确定的中断服务时间段内， 从备选节点集中选择至少一个目标备选节点替换目标节点继续运行，直到当前系统时 间达到故障修复时间点，也即目标节点修复完成，将目标备选节点切换回目标节点， 由目标节点继续运行，以避免工控系统因节点故障而导致的系统宕机或系统失控，从 而实现工控系统的安全防护。

本实施例的技术方案，通过根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平 均故障时间，并筛选出平均故障时间小于故障修复时间的目标节点，从而根据平均故 障时间以及故障修复时间，确定与目标节点对应的故障时间点以及故障修复时间点， 进而在由故障时间点和故障修复时间点确定的中断服务时间段内，从备选节点集中选 择至少一个目标备选节点替换目标节点继续运行，解决了现有工控系统安全防护方法 因无法实时且准确的对入侵行为进行检测并阻止导致的无法有效的对工控系统进行 安全防护的问题，能够提高工控系统故障运行时间，从而有效的对工控系统进行安全 防护，降低工控系统由于故障造成的损失。

实施例二

图4是本发明实施例二提供的一种工控系统安全防护方法的流程图，本实施例是对上述各技术方案的进一步细化，给出了根据工控系统状态转移模型和工控系统状态 转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态 经过的平均故障时间，以及在由故障时间点和故障修复时间点确定的中断服务时间段 内，从备选节点集中选择至少一个目标备选节点替换目标节点继续运行的多种具体可 选的实现方式。本实施例中的技术方案可以与上述一个或多个实施例中的各个可选方 案结合。如图4所示，该方法可以包括如下步骤：

S410、在所述工控系统中获取当前处理节点，并确定所述当前处理节点的当前运行状态数据。

其中，当前处理节点可以是工控系统中当前正在处理的工作节点。示例性的，如果工控系统中包括工作节点A、工作节点B，当前正在确定工作节点A的平均故障时 间，则可以将工作节点A确定为当前处理节点。当前运行状态数据可以是能够表征当 前处理节点的当前运行状态的数据。

在本发明实施例中，在工控系统中获取当前处理节点，并确定当前处理节点的当前运行状态数据，以根据当前运行状态数据确定与当前处理节点对应的当前节点状态。 具体的，在工控系统中获取当前处理节点，可以是在工控系统的各工作节点中获取任 意一个工作节点作为当前处理节点。需要说明的是，本发明实施例对确定当前处理节 点的当前运行状态数据的具体实现方式并不进行限制，只要能够实现当前处理节点的 当前运行状态数据的确定即可。

S420、根据所述当前运行状态数据，确定与所述当前处理节点对应的当前节点状态。

其中，当前节点状态可以是当前处理节点的当前运行的状态，例如可以是正常状态、脆弱状态、被攻击状态或触发状态，本发明实施例对此并不进行限制。可以理解 的是，当前处理节点为工作节点中任意的正常运行的节点，因此当前处理节点的当前 节点状态不包括节点状态集中的等待改进状态、停止服务状态、降低服务状态以及未 知损害状态。

在本发明实施例中，在工控系统中获取当前处理节点，并确定当前处理节点的当前运行状态数据之后，可以进一步根据当前运行状态数据，确定与当前处理节点对应 的当前节点状态。

S430、根据所述当前节点状态，在所述工控系统状态转移模型中获取至少一个目标节点状态。

其中，目标节点状态可以是与当前节点状态对应的节点状态。示例性的，如果当前节点状态为正常状态，则目标节点状态可以是正常状态、脆弱状态、被攻击状态或 触发状态。如果当前节点状态为脆弱状态，则目标节点状态可以是脆弱状态、被攻击 状态或触发状态。如果当前节点状态为被攻击状态，则目标节点状态可以是被攻击状 态或触发状态。如果当前节点状态为触发状态，则目标节点状态可以是触发状态。

在本发明实施例中，在根据当前运行状态数据，确定与当前处理节点对应的当前节点状态之后，可以进一步根据当前节点状态，在工控系统状态转移模型中获取至少 一个目标节点状态。具体的，根据当前节点状态，在工控系统状态转移模型中获取至 少一个目标节点状态，可以是根据当前节点状态，在工控系统状态转移模型中获取， 满足不同节点状态转移规律的，至少一个目标节点状态。

S440、在工控系统状态转移概率矩阵空间中，获取与所述当前处理节点对应的目标工控系统状态转移概率矩阵。

其中，目标工控系统状态转移概率矩阵可以是能够表征当前处理节点在不同工作状态间的转移概率的矩阵。可以理解的是，在工控系统状态转移概率矩阵空间中，可 以包括各节点对应的工控系统状态转移概率矩阵。

在本发明实施例中，在根据当前节点状态，在工控系统状态转移模型中获取至少一个目标节点状态之后，可以进一步在工控系统状态转移概率矩阵空间中，获取与当 前处理节点对应的目标工控系统状态转移概率矩阵。

S450、根据所述目标工控系统状态转移概率矩阵，计算所述当前处理节点从所述当前节点状态切换至所述停止服务状态经过各所述目标节点状态的次数期望值。

其中，次数期望值可以是当前处理节点在工作时，从当前节点状态切换至停止服务状态的过程中，经过各目标节点状态的次数期望。

在本发明实施例中，在获取与当前处理节点对应的目标工控系统状态转移概率矩阵之后，可以进一步根据目标工控系统状态转移概率矩阵，计算当前处理节点从当前 节点状态切换至停止服务状态经过各目标节点状态的次数期望值。

可选的，根据目标工控系统状态转移概率矩阵，计算当前处理节点从当前节点状态切换至停止服务状态经过各目标节点状态的次数期望值，包括：基于下述公式根据 目标工控系统状态转移概率矩阵，计算当前处理节点从当前节点状态切换至停止服务 状态经过各目标节点状态的次数期望值：

其中，

表示第i个子网的第j个节点从当前节点状态切换至停止服务状态经 过正常状态的次数期望值；

表示第i个子网的第j个节点从当前节点状态切换至停 止服务状态经过脆弱状态的次数期望值；

表示第i个子网的第j个节点从当前节 点状态切换至停止服务状态经过被攻击状态的次数期望值；

表示第i个子网的第j 个节点从当前节点状态切换至停止服务状态经过触发状态的次数期望值；

表示第 i个子网的第j个节点由正常状态转移到脆弱状态的概率；

表示第i个子网的第j 个节点由脆弱状态转移到被攻击状态的概率；

表示第i个子网的第j个节点由被 攻击状态转移到触发状态的概率。

S460、计算所述当前处理节点在各所述目标节点状态下的状态持续时长，并根据所述当前处理节点对应的次数期望值以及状态持续时长，计算与所述当前处理节点对 应的平均故障时间。

其中，状态持续时长可以是当前处理节点在工作时，在目标节点状态下持续工作的时长。

在本发明实施例中，在根据目标工控系统状态转移概率矩阵，计算当前处理节点从当前节点状态切换至停止服务状态经过各目标节点状态的次数期望值之后，可以进 一步计算当前处理节点在各目标节点状态下的状态持续时间，以根据当前处理节点对 应的次数期望值以及状态持续时长，计算与当前处理节点对应的平均故障时间。

可选的，根据当前处理节点对应的次数期望值以及状态持续时长，计算与当前处理节点对应的平均故障时间，包括：基于下述公式根据当前处理节点对应的次数期望 值以及状态持续时长，计算与当前处理节点对应的平均故障时间：

其中，l表示目标节点状态，n表示目标节点状态的数量，

表示第i个子 网的第j个节点的平均故障时间；

表示第i个子网的第j个节点的从当前节点状态 切换至停止服务状态经过目标节点状态的次数期望值；

表示第i个子网的第j个节 点在目标节点状态的状态持续时长。

示例性的，如果当前处理节点的当前节点状态为正常状态，且当前处理节点的目标节 点状态包括正常状态、脆弱状态、被攻击状态和触发状态，则当前处理节点的平均故障时 间为ATOSF＝C_NT_N+C_FT_F+C_BAT_BA+C_TT_T。如果当前处理节点的当前节点状态为脆弱状态，且当 前处理节点的目标节点状态包括脆弱状态、被攻击状态和触发状态，则当前处理节点的平 均故障时间为ATOSF＝C_FT_F+C_BAT_BA+C_TT_T。如果当前处理节点的当前节点状态为被攻击状态， 且当前处理节点的目标节点状态包括被攻击状态和触发状态，则当前处理节点的平均故障 时间为ATOSF＝C_BAT_BA+C_TT_T。如果当前处理节点的当前节点状态为触发状态，且当前处理节 点的目标节点状态包括触发状态，则当前处理节点的平均故障时间为ATOSF＝C_TT_T。

S470、筛选出平均故障时间小于故障修复时间的目标节点，并根据所述平均故障时间以及所述故障修复时间，确定与所述目标节点对应的故障时间点以及故障修复时 间点。

S480、在由所述故障时间点和所述故障修复时间点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换所述目标节点继续运行。

可选的，在由故障时间点和故障修复时间点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换目标节点继续运行，包括：在当前系统时间点 达到故障时间点时，从备选节点集中选择一个目标备选节点继续运行，并确定目标备 选节点从正常状态切换至停止服务状态经过的平均故障时间；根据目标备选节点对应 的平均故障时间确定与目标备选节点对应的故障时间点；在目标备选节点对应的故障 时间点未到达故障修复时间点时，返回执行在当前系统时间点达到故障时间点时，从 备选节点集中选择一个目标备选节点继续运行，直至目标备选节点对应的故障时间点 到达故障修复时间点。

其中，当前系统时间点可以是系统的当前时间点。

具体的，在根据平均故障时间以及故障修复时间，确定与目标节点对应的故障时间点以及故障修复时间点之后，可以进一步在当前系统时间点达到故障时间点时，从 备选节点集中选择一个目标备选节点继续运行，并确定目标备选节点从正常状态切换 至停止服务状态经过的平均故障时间，以根据目标备选节点对应的平均故障时间确定 与目标备选节点对应的故障时间点，从而在目标备选节点对应的故障时间点未到达故 障修复时间点时，返回执行在当前系统时间点达到故障时间点时，从备选节点集中选 择一个目标备选节点继续运行，直至目标备选节点对应的故障时间点到达故障修复时 间点。

可以理解的是，当前系统时间点达到故障时间点，可以是当前系统时间点达到目标节点无法正常运行的时间点，也即当前时间目标节点无法继续运行。

另一个可以理解的是，从备选节点集中选择一个目标备选节点继续运行之后，该目标备选节点变为工作节点，即备选节点集中不再包括该目标备选节点，也即在返回 执行从备选节点集中选择一个目标备选节点继续运行时，再次选择的目标备选节点与 上次选择的目标备选节点不同。目标备选节点对应的故障时间点未到达故障修复时间 点，说明目标备选节点停止运行时，未完成目标节点的故障修复，则需要在当前系统 时间点达到目标备选节点对应的故障时间点时，再次从备选节点集中选择一个目标备 选节点继续运行。

在一个具体示例中，图5是本发明实施例二提供的一种子网切换模型的示意图，如图5所示，分布式工控系统在遭受入侵攻击后，确定当前处理节点的当前节点状态 以及目标节点状态，计算目标节点状态对应的次数期望值和状态持续时长，并根据目 标节点状态对应的次数期望值和状态持续时长确定当前处理节点的平均故障时间。

在当前处理节点的平均故障时间小于故障修复时间时，在当前处理节点的平均故障时间结束时将当前处理节点切换到备选节点，以继续执行工控系统的任务。若备选 节点的平均故障时间结束时未到达故障修复时间，则继续切换到下一备选节点继续运 行，直至到达故障修复时间。也即当

时，

且ATOSF>T。

其中，

表示当前处理节点的平均故障时间，T表示故障修复时间，ATOSF表示所有运行节点的平均故障时间，

表示第m个子网的第n个节点的平均故障时间。

可选的，该方法还可以根据节点满足的平均故障时间和故障修复时间的关系，确定离散时间切换控制器序列，满足

其中，σ为离散时间切换控制器序列。

上述技术方案，通过构建系统状态转移矩阵空间，求出系统平均故障时间表示方法，实现系统遭受网络入侵成功后，在切换决策信号作用下，实现系统失控或宕机运 行时间最大化，给管理员修复故障争取宝贵时间，减少分布式工控系统由于网络入侵 造成宕机或失控带来的经济损失，提高分布式工控系统的入侵容忍防护能力，增加系 统管理员发现漏洞并改进修复的时间。

本实施例的技术方案，通过在工控系统中获取当前处理节点，并确定当前处理节点的当前运行状态数据，根据当前运行状态数据，确定与当前处理节点对应的当前节 点状态，以根据当前节点状态，在工控系统状态转移模型中获取至少一个目标节点状 态。在工控系统状态转移概率矩阵空间中，获取与当前处理节点对应的目标工控系统 状态转移概率矩阵，并根据目标工控系统状态转移概率矩阵，计算当前处理节点从当 前节点状态切换至停止服务状态经过各目标节点状态的次数期望值，并计算当前处理 节点在各目标节点状态下的状态持续时长，以根据当前处理节点对应的次数期望值以 及状态持续时长，计算与当前处理节点对应的平均故障时间，从而筛选出平均故障时 间小于故障修复时间的目标节点，并根据平均故障时间以及故障修复时间，确定与目 标节点对应的故障时间点以及故障修复时间点，进而在由故障时间点和故障修复时间 点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换目标节 点继续运行，解决了现有工控系统安全防护方法因无法实时且准确的对入侵行为进行 检测并阻止导致的无法有效的对工控系统进行安全防护的问题，能够提高工控系统故 障运行时间，从而有效的对工控系统进行安全防护，降低工控系统由于故障造成的损 失。

实施例三

图6是本发明实施例三提供的一种工控系统安全防护装置的示意图，如图6所示，所述装置包括：平均故障时间确定模块610、目标节点筛选模块620以及目标备选节 点替换模块630，其中：

平均故障时间确定模块610，用于根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经 过的平均故障时间；

目标节点筛选模块620，用于筛选出平均故障时间小于故障修复时间的目标节点，并根据所述平均故障时间以及所述故障修复时间，确定与所述目标节点对应的故障时 间点以及故障修复时间点；

目标备选节点替换模块630，用于在由所述故障时间点和所述故障修复时间点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换所述目标节 点继续运行。

本实施例的技术方案，通过根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平 均故障时间，并筛选出平均故障时间小于故障修复时间的目标节点，从而根据平均故 障时间以及故障修复时间，确定与目标节点对应的故障时间点以及故障修复时间点， 进而在由故障时间点和故障修复时间点确定的中断服务时间段内，从备选节点集中选 择至少一个目标备选节点替换目标节点继续运行，解决了现有工控系统安全防护方法 因无法实时且准确的对入侵行为进行检测并阻止导致的无法有效的对工控系统进行 安全防护的问题，能够提高工控系统故障运行时间，从而有效的对工控系统进行安全 防护，降低工控系统由于故障造成的损失。

可选的，平均故障时间确定模块610，可以具体用于：收集工控系统中各节点的 历史运行状态数据；根据历史运行状态数据，生成工控系统状态转移模型，并建立与 每个节点分别对应的工控系统状态转移概率矩阵，以形成工控系统状态转移概率矩阵 空间；其中，工控系统状态转移模型中包括节点状态集，以及节点状态集中不同节点 状态之间的转移关系；工控系统状态转移概率矩阵中的各矩阵元素，用于描述从节点 状态集中的一种节点状态切换至另一种节点状态的转移概率。

可选的，平均故障时间确定模块610，还可以具体用于：在工控系统中获取当前 处理节点，并确定当前处理节点的当前运行状态数据；根据当前运行状态数据，确定 与当前处理节点对应的当前节点状态；根据当前节点状态，在工控系统状态转移模型 中获取至少一个目标节点状态；在工控系统状态转移概率矩阵空间中，获取与当前处 理节点对应的目标工控系统状态转移概率矩阵；根据目标工控系统状态转移概率矩阵， 计算当前处理节点从当前节点状态切换至停止服务状态经过各目标节点状态的次数 期望值；计算当前处理节点在各目标节点状态下的状态持续时长，并根据当前处理节 点对应的次数期望值以及状态持续时长，计算与当前处理节点对应的平均故障时间。

可选的，平均故障时间确定模块610，可以进一步用于：基于下述公式根据目标 工控系统状态转移概率矩阵，计算当前处理节点从当前节点状态切换至停止服务状态 经过各目标节点状态的次数期望值：

其中，

表示第i个子网的第j个节点从当前节点状态切换至停止服务状态经 过正常状态的次数期望值；

表示第i个子网的第j个节点从当前节点状态切换至停 止服务状态经过脆弱状态的次数期望值；

表示第i个子网的第j个节点从当前节 点状态切换至停止服务状态经过被攻击状态的次数期望值；

表示第i个子网的第j 个节点从当前节点状态切换至停止服务状态经过触发状态的次数期望值；

表示第 i个子网的第j个节点由正常状态转移到脆弱状态的概率；

表示第i个子网的第j 个节点由脆弱状态转移到被攻击状态的概率；

表示第i个子网的第j个节点由被 攻击状态转移到触发状态的概率。

可选的，平均故障时间确定模块610，可以进一步用于：基于下述公式根据当前 处理节点对应的次数期望值以及状态持续时长，计算与当前处理节点对应的平均故障 时间：

其中，l表示目标节点状态，n表示目标节点状态的数量，

表示第i个子 网的第j个节点的平均故障时间；

表示第i个子网的第j个节点的从当前节点状态 切换至停止服务状态经过目标节点状态的次数期望值；

表示第i个子网的第j个节 点在目标节点状态的状态持续时长。

可选的，目标备选节点替换模块630，可以具体用于：在当前系统时间点达到故 障时间点时，从备选节点集中选择一个目标备选节点继续运行，并确定目标备选节点 从正常状态切换至停止服务状态经过的平均故障时间；根据目标备选节点对应的平均 故障时间确定与目标备选节点对应的故障时间点；在目标备选节点对应的故障时间点 未到达故障修复时间点时，返回执行在当前系统时间点达到故障时间点时，从备选节 点集中选择一个目标备选节点继续运行，直至目标备选节点对应的故障时间点到达故 障修复时间点。

可选的，工控系统可以包括分布式工控系统；节点状态集中的节点状态可以包括正常状态、脆弱状态、被攻击状态、等待改进状态、触发状态、停止服务状态、降低 服务状态以及未知损害状态。

本发明实施例所提供的工控系统安全防护装置可执行本发明任意实施例所提供的工控系统安全防护方法，具备执行方法相应的功能模块和有益效果。

实施例四

图7示出了可以用来实施本发明的实施例的电子设备10的结构示意图。电子设 备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个 人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备 还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿 戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的 连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者 要求的本发明的实现。

如图7所示，电子设备10包括至少一个处理器11，以及与至少一个处理器11 通信连接的存储器，如只读存储器(ROM)12、随机访问存储器(RAM)13等，其中， 存储器存储有可被至少一个处理器执行的计算机程序，处理器11可以根据存储在只 读存储器(ROM)12中的计算机程序或者从存储单元18加载到随机访问存储器(RAM) 13中的计算机程序，来执行各种适当的动作和处理。在RAM 13中，还可存储电子设 备10操作所需的各种程序和数据。处理器11、ROM 12以及RAM 13通过总线14彼此 相连。输入/输出(I/O)接口15也连接至总线14。

电子设备10中的多个部件连接至I/O接口15，包括：输入单元16，例如键盘、 鼠标等；输出单元17，例如各种类型的显示器、扬声器等；存储单元18，例如磁盘、 光盘等；以及通信单元19，例如网卡、调制解调器、无线通信收发机等。通信单元 19允许电子设备10通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换 信息/数据。

处理器11可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器 11的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用 的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器 (DSP)、以及任何适当的处理器、控制器、微控制器等。处理器11执行上文所描述 的各个方法和处理，例如工控系统安全防护方法。

在一些实施例中，工控系统安全防护方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元18。在一些实施例中，计算机程序的部分或 者全部可以经由ROM 12和/或通信单元19而被载入和/或安装到电子设备10上。当 计算机程序加载到RAM 13并由处理器11执行时，可以执行上文描述的工控系统安全 防护方法的一个或多个步骤。备选地，在其他实施例中，处理器11可以通过其他任 何适当的方式(例如，借助于固件)而被配置为执行工控系统安全防护方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、 芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软 件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计 算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系 统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存 储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指 令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理 装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功 能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独 立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务 器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的 计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁 的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地， 计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包 括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、 只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷 式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合 适组合。

为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液 晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通 过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与 用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、 听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触 觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部 件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通 过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、 或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以 通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。 通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的 计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服 务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS 服务中，存在的管理难度大，业务扩展性弱的缺陷。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。 例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执 行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何 在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护 范围之内。

Claims (10)

1.一种工控系统安全防护方法，其特征在于，包括：

根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平均故障时间；

筛选出平均故障时间小于故障修复时间的目标节点，并根据所述平均故障时间以及所述故障修复时间，确定与所述目标节点对应的故障时间点以及故障修复时间点；

在由所述故障时间点和所述故障修复时间点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换所述目标节点继续运行。

2.根据权利要求1所述的方法，其特征在于，在所述根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平均故障时间之前，还包括：

收集所述工控系统中各节点的历史运行状态数据；

根据所述历史运行状态数据，生成工控系统状态转移模型，并建立与每个节点分别对应的工控系统状态转移概率矩阵，以形成工控系统状态转移概率矩阵空间；

其中，工控系统状态转移模型中包括节点状态集，以及节点状态集中不同节点状态之间的转移关系；

所述工控系统状态转移概率矩阵中的各矩阵元素，用于描述从节点状态集中的一种节点状态切换至另一种节点状态的转移概率。

3.根据权利要求2所述的方法，其特征在于，所述根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平均故障时间，包括：

在所述工控系统中获取当前处理节点，并确定所述当前处理节点的当前运行状态数据；

根据所述当前运行状态数据，确定与所述当前处理节点对应的当前节点状态；

根据所述当前节点状态，在所述工控系统状态转移模型中获取至少一个目标节点状态；

在工控系统状态转移概率矩阵空间中，获取与所述当前处理节点对应的目标工控系统状态转移概率矩阵；

根据所述目标工控系统状态转移概率矩阵，计算所述当前处理节点从所述当前节点状态切换至所述停止服务状态经过各所述目标节点状态的次数期望值；

计算所述当前处理节点在各所述目标节点状态下的状态持续时长，并根据所述当前处理节点对应的次数期望值以及状态持续时长，计算与所述当前处理节点对应的平均故障时间。

4.根据权利要求3所述的方法，其特征在于，所述根据所述目标工控系统状态转移概率矩阵，计算所述当前处理节点从当前节点状态切换至停止服务状态经过各所述目标节点状态的次数期望值，包括：

基于下述公式根据所述目标工控系统状态转移概率矩阵，计算所述当前处理节点从当前节点状态切换至停止服务状态经过各所述目标节点状态的次数期望值：

其中，

表示第i个子网的第j个节点从当前节点状态切换至停止服务状态经过正常状态的次数期望值；

表示第i个子网的第j个节点从当前节点状态切换至停止服务状态经过脆弱状态的次数期望值；

表示第i个子网的第j个节点从当前节点状态切换至停止服务状态经过被攻击状态的次数期望值；

表示第i个子网的第j个节点从当前节点状态切换至停止服务状态经过触发状态的次数期望值；

表示第i个子网的第j个节点由正常状态转移到脆弱状态的概率；

表示第i个子网的第j个节点由脆弱状态转移到被攻击状态的概率；

表示第i个子网的第j个节点由被攻击状态转移到触发状态的概率。

5.根据权利要求3所述的方法，其特征在于，所述根据所述当前处理节点对应的次数期望值以及状态持续时长，计算与所述当前处理节点对应的平均故障时间，包括：

基于下述公式根据所述当前处理节点对应的次数期望值以及状态持续时长，计算与所述当前处理节点对应的平均故障时间：

其中，l表示目标节点状态，n表示目标节点状态的数量，

表示第i个子网的第j个节点的平均故障时间；

表示第i个子网的第j个节点的从当前节点状态切换至停止服务状态经过目标节点状态的次数期望值；

表示第i个子网的第j个节点在目标节点状态的状态持续时长。

6.根据权利要求1所述的方法，其特征在于，所述在由所述故障时间点和所述故障修复时间点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换所述目标节点继续运行，包括：

在当前系统时间点达到所述故障时间点时，从所述备选节点集中选择一个目标备选节点继续运行，并确定所述目标备选节点从正常状态切换至停止服务状态经过的平均故障时间；

根据所述目标备选节点对应的平均故障时间确定与所述目标备选节点对应的故障时间点；

在所述目标备选节点对应的故障时间点未到达所述故障修复时间点时，返回执行所述在当前系统时间点达到所述故障时间点时，从所述备选节点集中选择一个目标备选节点继续运行，直至所述目标备选节点对应的故障时间点到达所述故障修复时间点。

7.根据权利要求2-6任一项所述的方法，其特征在于，所述工控系统包括分布式工控系统；

节点状态集中的节点状态包括正常状态、脆弱状态、被攻击状态、等待改进状态、触发状态、停止服务状态、降低服务状态以及未知损害状态。

8.一种工控系统安全防护装置，其特征在于，包括：

平均故障时间确定模块，用于根据工控系统状态转移模型和工控系统状态转移概率矩阵空间，确定工控系统中各工作节点从当前节点状态切换至停止服务状态经过的平均故障时间；

目标节点筛选模块，用于筛选出平均故障时间小于故障修复时间的目标节点，并根据所述平均故障时间以及所述故障修复时间，确定与所述目标节点对应的故障时间点以及故障修复时间点；

目标备选节点替换模块，用于在由所述故障时间点和所述故障修复时间点确定的中断服务时间段内，从备选节点集中选择至少一个目标备选节点替换所述目标节点继续运行。

9.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-7中任一项所述的工控系统安全防护方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-7中任一项所述的工控系统安全防护方法。

Images