CN114745417B

CN114745417B - 一种基于工业侧信道信息的工控协议语义分析方法

Info

Publication number: CN114745417B
Application number: CN202210380786.9A
Authority: CN
Inventors: 蔡君; 钟纬键; 罗建桢
Original assignee: Guangdong Polytechnic Normal University
Current assignee: Guangdong Polytechnic Normal University
Priority date: 2022-04-12
Filing date: 2022-04-12
Publication date: 2023-07-04
Anticipated expiration: 2042-04-12
Also published as: CN114745417A; US20230324890A1

Abstract

本发明涉及工控协议语义分析技术领域，且公开了一种基于工业侧信道信息的工控协议语义分析方法，其中，方法包括：收集工业过程的图形化侧信道信息，识别语义通道的频繁模式；识别语义通道的相关数据包的集合，推断语义所在数据包的位置；基于数据包字段语义对工业过程的行为语义进行建模，提取语义通道之间的关联规则。本发明基于工业侧信道信息的工控协议语义分析方法，考虑了工控系统中侧信道信息与协议数据包信息数据的响应延迟差异问题，根据图形化工业侧信道信息与对应的协议数据包进行协作，有效分析出工控协议语义的位置、语义间的关联规则等，用于解决现有技术中所存在的问题。

Description

一种基于工业侧信道信息的工控协议语义分析方法

技术领域

本发明涉及工控协议语义分析技术领域，尤其涉及一种基于工业侧信道信息的工控协议语义分析方法。

背景技术

工业互联网实现了物理世界和数字世界在工业领域的紧密结合，代表了工业运行效率和创新的一种有前景的方式。利用传感器、机器对机器学习和网络技术，该系统将设备、数据和人员连接起来，并允许应用分析工具和网络技术来管理工业操作和提供新的增值服务。然而，由于大量的非标准和专有的工业控制协议严重限制了各种制造设备之间的连接和相互作用，工业控制系统的通信和信息交换十分困难。协议语义包括网络语义(network semantics)和域语义(network semantics)。网络语义是指表示协议数据包的基本数据单元——数据包字段的网络功能的信息，如事务ID、延长域等。领域语义是指协议数据包用户数据部分字段的意义和知识，有助于理解术语、概念和影响。实现了物理机制和用户意图的语义知识，为决策提供了方便。然而，由于缺乏语义知识数据库，现有的逆向工程很难推断出工业控制协议的语义信息。

发明内容

(一)解决的技术问题

针对现有技术的不足，本发明提供了一种基于工业侧信道信息的工控协议语义分析方法，考虑了工控系统中侧信道信息与协议数据包信息数据的响应延迟差异问题，根据图形化工业侧信道信息与对应的协议数据包进行协作，有效分析出工控协议语义的位置、语义间的关联规则等等优点，用于解决现有技术中逆向工程除了数据包跟踪和协议程序之外，很少关注其他包含域语义信息的辅助信息的问题，很难利用现有的方法得到协议的语义信息，为实现工业互联网提供帮助的问题。

(二)技术方案

本发明提供如下技术方案：一种基于工业侧信道信息的工控协议语义分析方法，包括以下步骤：

对工控图像的侧面信息中的每个语义通道进行频繁事件的识别；

建立工控协议数据包格式重构模块，推断每个语义通道中数据包的字段位置；

构建工控协议语义行为分析器，推导工控协议的各种语义特征。

优选地，所述频繁语义事件识别包括：

利用图像残差技术，识别出工控协议可视化图像的每条语义通道，每一个通道生成一个序列；

根据每一幅图像中的区域特征生成唯一状态标签，得出语义标签序列

对语义通道的标签序列应用频繁项挖掘算法，对每个语义通道中的频繁事件进行识别。

优选地，所述工控协议可视化图像的语义通道指的是工业过程中显示在工控面板上的语义信息，如温度信息、压力信息等。

优选地，所述语义通道的频繁事件指的是工业过程中语义周期性重复出现的动作，如一些列温度值为30℃,29℃,27℃,24℃表示温度持续降低的工业动作。

优选地，所述工控协议数据包格式重构模块包括：

根据频繁语义事件集合的出现时间，结合响应延迟差异选出与语义对应相关的候选数据包集合；

采用基于序列比对的启发式算法找出与频繁语义事件相关的协议数据包集合，同时推断每个语义通道中数据包的字段位置。

优选地，所述响应延迟差异表示采集工控图像侧信道信息与之对应的协议数据包存在的响应延迟，响应延迟存在一定范围[T_min,T_max]，因此，频繁语义事件对应的候选数据包组出现时间可表示为(t_start-t_max)～(t_end-t_min)，其中t_start与t_end分别表示频繁事件的起始时间与结束事件。

优选的，所述候选数据包表示采集的所有工控协议数据包，候选数据包组表示在候选数据包中符合对应频繁事件条件的一个实例的所有候选数据包；候选数据包集合表示频繁事件所有实例的候选数据包组的集合。

优选地，所述推断每个语义通道中数据包的字段位置，是采用基于序列比对的启发式算法找出与频繁语义事件相关的协议数据包集合，同时推断每个语义通道中数据包的字段位置。

优选地，所述启发式算法是通过遍历的对象为数据包的协议字节，从候选数据包的每一个数据包中提取相同的字节，生成序列进行序列比对算法，若算法结果包含的通道数量与频繁事件的状态数量相等，则该字节表示的语义为当前语义通道的语义，相反，则跳转到下一字节，一直重复直到遍历完所有字节，最后，得出所有表示该语义的字节位置。

优选地，所述工控协议语义行为分析器推导的各种语义特征包括：

值空间推断、行为模式分析和关联规则挖掘；

优选地，所述值空间推断统计了取值范围，还决定了字段的值类型。分别考虑了常量类型、枚举值和实数值三种类型；

如果某个字段只有一个观测值，那么该字段的值类型被认为是常量类型。对于某些字段，如果观测值的个数大于1但小于给定阈值，且变化率也小于给定阈值，则认为这些字段包含枚举类型的值。否则，数据包类型被视为实值类型。

优选地，所述的行为模式表示为一个特定的工业过程，包含特定工业状态的动作。

优选地，所述行为模式分析包括：

利用N-neighbor平滑滤波器对各语义通道的语义序列进行平滑处理，然后根据导数零点将语义通道分成若干小段；

使用基于动态时间规整的距离度量的层次聚类算法根据曲线轮廓趋势对分割的区域进行聚类，同一集群中的片段被称为语义通道的一个基本动作。

优选地，所述的行为模式分析包括基于并发的关联规则和基于上下文的关联规则：

基于并发的关联规则R_W是沿所有语义通道同时发生的同时发生的动作集，并表示语义通道之间的空间依赖性，给定阈值γ与关联规则集W，并发的关联规则可表示为：

其中，r表示关联规则，

表示关联规则r的支持率。

基于上下文的关联规则捕获相邻时隙中的动作之间的关系，表示为：

其中，

是在第t时隙中出现的动作，a^t+1是在第t+1时隙中出现的动作。

优选地，具有强关联性的基于上下文的关联规则定义为因果关系规则，给定阈值γ与关联规则集W，并发的关联规则可表示为：

其中，Prob(*)是事件*的概率。

与现有技术相比，本发明提供了一种基于工业侧信道信息的工控协议语义分析方法，具备以下有益效果：

1、本发明考虑了工控系统中侧信道信息与协议数据包信息数据的响应延迟差异问题，根据图形化工业侧信道信息与对应的协议数据包进行协作，有效分析出工控协议语义的位置、语义间的关联规则。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本发明。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图示出的结构获得其他的附图。

图1为本发明所提供的一种基于工业侧信道信息的工控协议语义分析方法实施例的方法流程图；

图2为本发明所提供的一种基于工业侧信道信息的工控协议语义分析方法图1的识别语义通道相关协议数据包的示意图；

图3为本发明所提供的一种基于工业侧信道信息的工控协议语义分析方法图1中推断语义所在协议数据包中的位置的示意图；

图4为本发明所提供的一种基于工业侧信道信息的工控协议语义分析方法图1中行为语义建模。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。可以理解的，基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明，若本发明实施例中有涉及方向性指示(诸如上、下、左、右、前、后……)，则该方向性指示仅用于解释在某一特定姿态(如附图所示)下各部件之间的相对位置关系、运动情况等，如果该特定姿态发生改变时，则该方向性指示也相应地随之改变。

另外，若本发明实施例中有涉及“第一”、“第二”等的描述，则该“第一”、“第二”等的描述仅用于描述目的，而不能理解为指示或暗示其相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。另外，各个实施例之间的技术方案可以相互结合，但是必须是以本领域普通技术人员能够实现为基础，当技术方案的结合出现相互矛盾或无法实现时应当认为这种技术方案的结合不存在，也不在本发明要求的保护范围之内。

侧信道信息(side-information)，指的是任何能够提供有关工控协议的有用信息的信息。例如，从温度传感器收集的数据有助于推断温度语义。因此，除了工控协议数据包本身之外，还可以使用温度、压力传感器等各种传感器来收集工控协议对应的侧信道信息，这些侧信道信息承载着工业现场状态的语义，如水箱温度、水箱内水的重量等，由同一语义产生的侧面信息形成语义通道，在语义通道中携带侧面信息对应信息的数据包被称为语义通道的相关信息包。具体来说，嵌入语义通道数据的相关数据包中的字段称为语义通道的相关字段。

本发明提出一种基于工业侧信道信息的工控协议语义分析方法。侧信道信息用以帮助寻找不同语义所在的协议位置，还能帮助推断工业生产的行为语义，为实现各设备之间互联互通，工厂内部异常检测等安全性分析都提供了良好的基础准备，本发明以基于工业侧信道信息的工控协议语义分析方法为例解释本发明。

其中，附图标号说明：

如图1所示，一种基于工业侧信道信息的工控协议语义分析方法，包括步骤：

S1、识别侧信道图片信息中不同语义通道的频繁事件。

人机界面板(HumanMachineInteraction)由摄像机每秒记录一次。收集到的图像被排列成时间序列，用χ＝X₁,X₂,…,X_T表示，T表示时间序列的长度。如果在χ中的每个相邻图像上进行减法处理，则导致剩余图像中出现一块非零像素的差值区域，被定义为人机界面板上的敏感区域。通过合并所有唯一的敏感区域得到人机界面板的敏感区域集

其中N是敏感区域的个数。对于每个敏感区域/>

利用百度文本Api识别每个图像中区域S的内容，并将其表示为语义序列/>

事件是反映基本物理过程的语义序列的子序列。例如，在温度的语义通道中，一系列的温度值，例如，30,29,27和26，代表了一个反映温度降低的物理过程的事件。语义通道S的事件表示为

其中/>

是温度值，每个事件代表事件的状态。由于元素的数量是k，事件E^S也被称为k个状态组成的事件。语义序列中的频繁事件代表了语义通道中频繁重复的物理过程。揭示了生产过程中各子过程的特点，对理解和监控生产过程起着重要作用。给定一个阈值Γ_sup和一个语义序列/>

如果事件E在/>

中至少出现了Γ_sup次数，那么事件E被认为是/>

中的一个频繁事件。

为了从语义序列中提取频繁事件，设计了基于先验算法的频繁事件发现算法。该算法以语义序列

和阈值Γ_sup作为输入，输出语义序列中的频繁事件集。算法1首先使用/>

中的所有唯一元素作为候选集F^c生成1长度的事件候选集。然后，该算法迭代进行两个步骤:(1)通过选择频率不小于给定支持阈值Γ_sup的候选项提取频繁k状态事件集F_k；(2)通过连接F_k中的每两个事件生成(k+1)长度的事件候选项集F^c。重复步骤(1)和(2)，直到没有(k+1)长度事件候选者可以生成。对于任意两个k长度状态事件/>

和/>

如果E₁的(k-1)后缀等于E₂的(k-1)前缀，即，其中，且i＝2,3,…,k，然后将两个k长度事件连接起来，生成一个候选(k+1)状态事件/>

该算法还考虑了较长的频繁事件。例如，该算法认为E＝abcd而不是E′＝bcd，因为E′是E的子事件，因此，一旦计算出频繁k状态事件集，算法删除F_k中任何事件的子事件的所有(k-1)状态事件，并将F_k-1中的其余事件存储到频繁事件集F_event中。

S2、寻找频繁事件对应的候选协议数据包集合，利用基于序列比对的启发式算法推断每个语义的字段位置。

S2.1、候选相关数据包识别

为了减少计算开销，该工作首先过滤出每个语义通道的相关数据包，然后在相关数据包中搜索相关字段。理想情况下，基于与相应事件的时间相关性，可以通过匹配数据包的时间戳和事件发生的时间来识别相关数据包。然而，由于网络传输的随机性，如报文到达间的抖动，很难确定准确的相关报文。为了解决这个问题，这项工作确定了一组候选相关数据包，这些数据包的大小与精确相关数据包的集合相似。候选相关数据包组应该完全包含准确的相关数据包，但是比整组数据包的大小要小得多。

根据事件的发生时间对候选相关包进行分组。通常情况下，一个状态的相关数据包到达网关的时间和该状态在人机界面上显示的时间之间会有一个响应延迟。设状态e的发生时间(记为t_e)为状态e在界面上显示的时间，响应延迟的最小值和最大值分别为T_min和T_max。然后，与状态e相关的一系列候选数据包是到达时间在t_e-T_max和t_e-T_min之间的数据包列表。事件E的候选包组，记为C_E，是与事件E中的每个状态相关的候选包的集合。假设事件E开始于时间t₁，结束于时间t₂，则C_E是具有t₁-T_max和t₂-T_min之间的到达时间，如图2所示。

随着时间的推移，频繁的事件会一次又一次地发生。一旦事件E发生，就会收集与事件E实例相关的候选包组。事件E的所有候选包组的集合称为候选包集合，表示为Ω_E＝{C_E(1),C_E(2),…,C_E(G)}，其中C_E(g)候选包的第g组，g＝1,2,…,G和G是事件E的发生频率，也是候选包组的数目。

S2.2、识别语义位置

给定两个与语义通道事件E相关的数据包，两个数据包中语义通道的相关字段具有相同的值。因此，可以通过搜索一组具有公共字节块的数据包来识别相关的数据包，这些数据包对于所有给定的事件总是具有相同的值。受此启发，提出了一种基于序列比对算法的事件包关联算法来识别相关的事件包。

首先，遍历Ω_E(g)中候选数据包的每个字节，以识别包含目标语义通道相关字段的数据包。对于第g候选数据包组，每个数据包的第l个字节构成第l个字节向量，称为

其中/>

是第g个候选数据包组C_E(g)中第i个数据包的第l个字节，n_g是第g个候选数据包组C_E(g)中的数据包数量。

然后，使用序列比对算法对每个相邻组的第l个交叉向量进行排列，即第g个和第(g+1)个组，其中g＝1,2,…,G-1。每个相邻的第l个交叉向量的对齐结果都可以表示为一个映射，如图3所示，其中两个字节向量之间的实线表示两个字节对齐(即它们具有相同的值)显然，如果第l个字节位于状态的相关字段中，与状态相关的数据包的第l个字节的值在所有候选数据包组中都应该采用相同的值。

然后，当对齐相邻组的第l个交叉向量时，将匹配真正相关数据包的字节，并且这些字节将与结果映射中的实线连接，如图3所示。因此，可以跟踪匹配结果并识别所有交叉向量中的车道，如图3中的红线所示，其中每条红线代表一种状态。同时，与同一红线中的字节对应的所有数据包都被识别为与同一状态相关。如果事件有k状态，那么应该有k不相交的车道。因此，使用基于递归的过程来查找k车道，并将结果保存在mapM中。使用深度优先的从左到右递归算法来搜索mapM中的k线。如果地图中没有k线，从候选索引集I中删除l。

最后，对于每个k状态事件E，删除了所有交叉向量图不包含k线的索引l。因此，当E中的所有事件都已处理完毕时，索引集I中剩余的l是与事件E的语义通道相关的包字段的索引，然后，将I中的连续索引连接为索引块。例如，三个连续的索引11,12和13组成了一个索引块。索引块表示与语义通道相关的数据包字段。据此，结果k线上的所有包都是目标语义通道的相关包。

一般来说，假定每个语义通道只能找到一个索引块。否则，需要将其他语义通道的结果作为一个整体来考虑，以确定索引块的正确相关性。例如，如果语义通道S₁同时找到A和B块，语义通道S₂只找到B块，那么B块用于S₂，A块用于S₁。

S3、分析工控协议的语义行，推导工控协议的各种语义特征。

为了分析工业控制协议的语义行为，首先推导出每个数据包字段的值空间，并在值空间中识别出一系列簇。然后，利用序列比对算法和关联规则先验算法分析了数据包字段的行为和关联规则。

值空间推断：

本发明不仅推断了值空间，还确定了数据包字段的值类型。考虑三种类型的字段值：常量、枚举和实值。分组字段的值类型由观察字段值的变化决定。观察到的字段值的变化率定义为唯一数的比率。这项工作不仅推断了值空间，还确定了分组字段的值类型。考虑三种类型的字段值：常量、枚举和实值。分组字段的值类型由观察字段值的变化决定。观察到的场值的变化率定义为独特的数量之比。

对于常量和枚举类型的字段，值空间是枚举值的集合。对于实值类型，值空间表示为完全覆盖观察值的最小连续范围。

行为模式分析:

为了方便行为描述，引入了动作的概念作为行为的基本单位。动作被定义为数据包字段中的一个可能值，它表示工业设备或系统的特定状态。一个行为包含了一个行为向量，它代表了一个特定的工业过程。行为模式代表了经常发生的工业过程。监控系统通常需要分析行为模式，以检测潜在的过程错误，保证性能，并做出工业决策。

本发明使用聚类算法发现基本动作。首先利用N-neighbor平滑滤波器对各语义通道的语义序列进行平滑处理，然后根据导数零点将语义通道分成若干小段。然后，使用基于动态时间规整的距离度量的层次聚类根据曲线轮廓趋势对分割的区域进行聚类。基于DTW的聚类将语义序列分组成具有相似轮廓形状的段，如图4所示。同一集群中的片段被称为语义通道的一个基本动作，并使用一个惟一的标记进行标记。以这个动作单元为基础，可以把观察到的语义序列看作动作序列。

通过使用位置约束先验算法挖掘频繁的动作序列来提取行为模式。一个行为模式表示为一段连续的动作标签，这些动作标签频繁出现，并且在语义序列中彼此不重叠。可以重用频繁序列挖掘算法来挖掘频繁标签段。然后，对于每个簇，使用基于DTW的k-medoids聚类分析，选择中心点作为代表簇中最典型段的原型。

关联规则挖掘:

关联规则是一个隐含表达式，它帮助显示动作之间的关系概率以及行为发生的频率。这些规则有助于发现工业过程中的行为相关性和关系。有基于并发和基于上下文的关联规则，它们都是由先验算法挖掘的。

基于并发的关联规则是沿所有语义通道同时发生的同时发生的动作集，并表示语义通道之间的空间依赖性。让所有语义通道在特定时间的动作表示为快照w。基于并发的关联规则被定义为通常出现在同一个快照中的一组动作，例如，r＝{a₁,a₂,…}其中a₁,a₂,…一起出现在同一个快照中。然后，应用Apriori算法提取快照中频繁出现的动作集。在该算法中，规则r对快照集W的支持率，记为Sup(r,W)，是包含r的快照的百分比。给定支持率阈值γ，快照集W中基于并发的关联规则集表示为

其中，r表示关联规则，

表示关联规则r的支持率。

基于上下文的关联规则捕获相邻时隙快照中动作之间的时间关系。基于上下文的关联规则表示为

其中，/>

是在第t时隙中出现的动作，a^t+1是在第t+1时隙中出现的动作。给定一个阈值γ，快照集中基于上下文的关联规则集W表示为:

因果关联规则表示为

是基于上下文的强关联规则：

其中，Prob(*)是事件*的概率。