CN116360384A

CN116360384A - 用于诊断和监控信息物理系统中的异常的系统和方法

Info

Publication number: CN116360384A
Application number: CN202211635569.6A
Authority: CN
Inventors: 安德雷·B·拉夫兰特耶夫; 阿特姆·M·沃龙佐夫; 德米特里·A·伊万诺夫; 维亚切斯拉夫·I·什库列夫; 尼古拉·N·德米多夫; A·M·尼奇波鲁克; M·A·马马耶夫; A·V·特拉沃夫
Original assignee: Kaspersky Lab AO
Current assignee: Kaspersky Lab AO
Priority date: 2021-12-28
Filing date: 2022-12-19
Publication date: 2023-06-30
Also published as: EP4206963A1

Abstract

本发明涉及用于诊断和监控信息物理系统中的异常的系统和方法。该用于诊断和监控信息物理系统(CPS)中的异常的方法包括获得与在CPS中识别的异常相关的信息。所获得的信息包括一个或多个CPS变量的至少一个值。基于所获得的信息生成在CPS中识别的异常的一个或多个分类特征。基于生成的分类特征，将在CPS中识别的异常分类为两个或更多个异常类别。该两个或更多个异常类别中的每一个都与一个或多个异常特性相关联。通过计算与该两个或更多个异常类别中的每一个相关联的异常特性的值，执行该两个或更多个异常类别的每一个中的异常的诊断。基于与该两个或更多个异常类别中的每一个相关联的异常特性的计算值来监控该两个或更多个异常类别中的每一个的异常。

Description

用于诊断和监控信息物理系统中的异常的系统和方法

技术领域

本发明总体上涉及工业安全领域，更具体地，涉及用于诊断和监控信息物理系统(CPS)中的异常的系统和方法。

背景技术

工业安全的急切问题之一是技术过程(Technological Process，TP)和操作的安全运行的问题。其中TP的主要威胁是设备和子组件的磨损、撕裂和故障，操作控制的无意错误或恶意动作，对控制系统和信息系统(Information System，IS)的计算机攻击，等等。

为了抵抗各种威胁，通常可以使用安全系统来保护信息物理系统(CPS)。安全系统可以包括但不限于：应急保护系统(Emergency Protection System，EPS)，基于用于技术过程的自动控制系统(Automated Control System for a TP，ACS TP)的异常检测系统，以及用于特定种类的设备和子组件的专门构建的“外部”监控系统。通常，“外部”监控系统不一定与ACS TP集成在一起。应当注意，由于CPS和TP的发生在其中的某些独特性，可能不能总是部署前述“外部”系统。然而，即使在可以这样装配的最简单的情况下，由于为“外部”监控系统服务的成本和复杂性，部署这种“外部”监控系统通常也只发生在企业的极其重要的节点和子组件处。

与“外部”系统相比，EPS可以在企业的设计期间进行设计并且可以集成在ACS TP中。这种集成可以防止先前已知的关键过程发生。EPS的一个优点是其简单性、其对特定企业的生产过程的指向性、及其包括该企业所采用的所有设计和技术方案。EPS的缺点可以包括但不限于：在系统中做出决策相当缓慢以及在做出这些决策时存在人为因素。此外，EPS和相关方法通常在假设监控和测量仪器(Monitoring and Measuring Instrument，MMI)正确工作的前提下发挥作用。在实践中，因为MMI周期性发生故障，并具有暂时故障的趋势，因此不可能总是确保MMI完全无故障操作。此外，为所有的MMI提供冗余极其昂贵并且在技术上不会总是可行的。

异常检测系统通常基于ACS TP的遥测技术。归因于这种遥测数据的完整性，异常检测系统可以具有同时“看见”企业的所有TP彼此之间的相互关系的能力，这使得即使在MMI的故障期间也可以可靠地检测异常。ACS TP中提供的大量数据能够实现监控整个企业—企业的物理(化学或其他)过程以及用于这些过程的所有监控系统的正确工作，其可以包括生产操作者的合适动作。这些系统中使用的机器学习模型可以基于许多输入和特性来训练。这种经训练的模型可以包括用于具有大量被分析的变量的企业的正确工作的高效统计模型。这种经训练的模型甚至能够发现设备的工作中微小的偏差。换句话说，异常检测系统可以在初期检测到异常。

异常检测系统的特殊架构和接口允许异常检测系统与ACS TP并行工作以发现异常(错误检测)，显示并局部化(错误隔离)所发现的异常，以及将所发现的异常通知给生产操作者，从而例如指示用于确定该异常的特定过程变量。

然而，使用ACS TP的遥测数据确定和定位安全相关异常和威胁的现有系统没有很好地配备成处理第三个传统的异常监控问题。更具体地，现有系统没有很好地配备成处理异常诊断本身(错误诊断)、根据异常的类型(类别)对异常进行分类、过滤不重要的异常、确定某些特性异常、预测异常的发展等技术上复杂的问题。通常，生产中最需要的异常分析类型包括评估某些异常的危险性、对异常的发展的回顾分析、对异常的一个或多个特性的预测评估、以及企业经营者制定最具经济效益的有利纠正策略的可能性。在绝大多数情况下，对先前发现的异常进行特定类型的分析是可能的，因为ACS TP的遥测数据包含关于特定企业的运行、其所有物理、化学和其他过程的进程的详尽信息，以及关于控制过程的完整信息。然而，这种遥测信息通常只包含原始、未处理和未标记的数据。

因此，需要基于遥测数据对CPS中先前发现的异常进行有效诊断和监控的自动化系统。对于包含MMI、执行器或监控系统中的任一者的所有CPS来说，这一需求都是急切的。

发明内容

公开了用于基于遥测数据创建用于诊断和监控在CPS中先前发现的异常的自动化系统的系统和方法。

有利的是，所公开的方法通过对先前发现的异常进行分类、对每个类别的异常进行诊断、以及随后对CPS进行监控来对CPS中的异常进行自动诊断和监控，以识别每个类别的异常。

在一个方面，用于诊断和监控信息物理系统(CPS)中的异常的方法包括获得与在CPS中识别的异常相关的信息。所获得的信息包括一个或多个CPS变量的至少一个值。基于所获得的信息生成在CPS中所识别的异常的一个或多个分类特征。基于所生成的分类特征，将CPS中识别的异常分类为两个或更多个异常类别。所述两个或更多个异常类别中的每一个都与一个或多个异常特性相关联。通过计算与所述两个或更多个异常类别中的每一个相关联的异常特性的值，在所述两个或更多个异常类别的每一个中执行异常的诊断。基于与所述两个或更多个异常类别中的每一个相关联的异常特性的计算值来监控所述两个或更多个异常类别的每一个中的异常。

在一个方面，监控CPS以识别异常还包括：预测一个或多个CPS变量的至少一个值；基于所述一个或多个CPS变量的预测值确定总预测误差；以及如果所确定的预测误差超过预定阈值，则识别出异常。

在一个方面，监控CPS以识别异常还包括：通过将经训练的机器学习模型应用于所述一个或多个CPS变量的至少一个值来识别异常。

在一个方面，监控CPS以识别异常还包括：确定所述一个或多个CPS变量的至少一个值是否位于相应CPS变量的先前指定的值范围的界限之外；以及响应于确定所述一个或多个CPS变量中的至少一个CPS变量的值位于相应CPS变量的先前指定的值范围的界限之外，识别出异常。

在一个方面，所获得的信息还包括以下中的至少一者：观察遂检测到的异常的时间间隔、所述一个或多个CPS变量中的每一个CPS变量对所检测到的异常的贡献、关于所检测到的异常的检测方法的信息、在观察时间间隔的每个时刻所述一个或多个CPS变量的值。

在一个方面，对于一个或多个CPS变量中的每一个CPS变量，所获得的信息还包括：相应CPS变量值的时间序列；预测的CPS变量值相对实际CPS变量值的偏差的当前大小；预测的CPS变量值相对实际CPS变量值的偏差的平滑值。

在一个方面，所述一个或多个CPS变量的值包括以下中的至少一者：数据发射器的测量值；执行机构的操纵变量的值；执行机构的设定点；比例积分微分控制器(PID控制器)的输入信号的一个或多个值；PID控制器的输出信号的值。

在一个方面，通过为一个或多个分类特征中的每一个分类特征分配一个或多个CPS变量来生成所述一个或多个分类特征。

在一个方面，所述方法还包括在为相应分类特征分配一个或多个CPS变量的值之前，对这些值进行转换。

在一个方面，基于CPS操作者的反馈生成所述一个或多个分类特征。

附图说明

并入本说明书中并构成本说明书的一部分的附图示出了本发明的一个或多个示例性方面，以及连同具体实施方式一起用来解释这些示例性方面的原理和实现方式。

图1а示出了示例性技术系统的示意图。

图1b示意性地示出了技术系统的实现方式的特定示例。

图1c是示出在便携式设备的示例上的物联网的组织结构的一个可能变型的图示。

图1d呈现了示出设备的数据发射器的一种可能设置的框图。

图2是示出具有定义的特性的CPS以及用于检测、分类和监控异常的系统的示例的示意图。

图3是用于诊断和监控CPS中的异常的系统的示意图。

图4是异常确定模块的示例。

图5是用于诊断和监控异常的模块的示例。

图6是示出用于诊断和监控CPS中的异常的示例方法的流程图。

图7示出了可以在其上实现本文公开的系统和方法的各方面的计算机系统的示例。

具体实施方式

本文在用于诊断和监控信息物理系统中的异常的系统、方法和计算机程序产品的上下文中描述各示例性方面。本领域普通技术人员将意识到，以下的描述仅仅是说明性的，而不意图以任何方式进行限制。了解本发明的优点的本领域技术人员将很容易想到其他方面。现在将详细地参考如附图中所示的示例性方面的实现方式。贯穿附图和以下描述将尽可能地使用相同的附图标记来指代相同或相似的项目。

术语表：本文定义了许多术语，这些术语将用于描述本发明的各方面。

控制对象—向其施加外部动作(控制和/或扰乱动作)以改变其状态的技术对象。特别地，控制对象可以是一设备(例如，电动机)或技术过程(或其一部分)。

技术过程(TP)—材料生产过程，包括材料实体(例如，工作对象)的状态的连续变化。

控制回路—对计量过程变量的值进行自动化调节以采取期望设定点的值所需的材料实体和控制功能。控制回路可以包括但不限于数据发射器和传感器、控制器、和执行器。

过程变量(Process Variable，PV)—TP的正在被观察或监控的特定部分的当前计量值。例如，数据发射器的测量值可以是过程变量。

设定点—过程变量的待被保持的值。

操纵变量(Manipulated Variable，MV)—被调节使得过程变量的值保持在设定点的水平的变量。

外部动作—在某一方向上对元件(例如，技术系统(TS)的元件)施加该动作而改变该元件的状态的方法。外部动作可以以信号的形式从TS的一个元件传输到TS的另一个元件。

控制对象的状态—对象的全部基本属性，由在外部动作的影响下待改变或保持的状态的变量表示，所述外部动作包括但不限于对控制子系统部分施加的控制动作。该状态的变量为表征对象的基本属性的一个或多个数值。该状态的变量可以是物理量的数值。

控制对象的正式状态—控制对象的对应于过程图和其他过程文件(如果控制对象涉及TP)或移动行程(如果控制对象涉及设备)的状态。

控制动作—对控制对象上的控制子系统的控制主体部分施加的目标导向的(动作的目标是对对象的状态施加的动作)、合法的(由TP指定的)外部动作，从而引起控制对象的状态变化或保持控制对象的状态。

控制主体—向控制对象施加控制动作或者在将控制动作直接施加到控制对象之前将该控制动作传输到另一控制主体以进行控制动作的转换的设备。

控制主体的状态—主体的全部基本属性，由在外部动作的影响下待改变或保持的状态的变量表示。该状态的变量为表征主体的基本属性的一个或多个数值。该状态的变量可以是物理量的数值。

控制主体的基本属性(或者，也称为基本状态变量)—对控制对象的状态施加直接影响的属性。控制对象的基本属性是对TS的运行的受监控的因素(例如但不限于准确性、安全性、有效性)施加直接影响的属性。例如，基本属性可以包括切割条件对正式指定的条件的依从性、火车根据其行程的移动、反应器温度在允许界限内的保持。根据受监控的因素，选择控制对象的状态的变量以及相关的对控制对象施加控制动作的控制主体的状态的变量。

多层级控制子系统—涉及多个层级的全部控制主体。

信息物理系统—代表物理过程中计算资源的整合的信息技术中的概念。在CPS系统中，数据发射器、设备和计算机系统沿整个值创造链的进程连接，超出单个企业或公司的框架。这些系统通过标准互联网协议彼此交互以预测、自动调整和适应变化。信息物理系统的示例包括但不限于技术系统、物联网(IoT)(包括便携式设备)、和工业物联网。

物联网—物理对象(“事物”)的计算机网络，配备有嵌入式网络技术，以用于彼此交互或与外部世界交互。物联网可以包括但不限于便携式设备、交通工具的电子系统、智能汽车、智慧城市、工业体系等。

工业物联网(IIoT)—扩展分析的设备和平台，连接到互联网，对从所连接的设备获得的数据执行处理。IIoT的设备可以是尽可能多种多样的—范围从小的天气数据发射器到复杂的工业机器人。尽管术语“工业”使人联想到诸如仓库、船厂和厂房等关联物，但是IIoT技术具有用于最广泛的领域的巨大潜力，所述领域包括但不限于农业、医疗保健、金融服务、零售业和广告业。工业物联网是物联网的子范畴。

技术系统(TS)—多层级控制子系统的在功能上互相连接的全部控制主体、和控制对象(TP或设备)，从而实现通过改变控制主体的状态而改变控制对象的状态。技术系统的架构由技术系统(多层级控制子系统的互相连接的控制主体、和控制对象)的基础元件以及这些元件之间的链接形成。在技术系统中的控制对象是技术过程的情况下，控制的最终目标是通过改变控制对象的状态来改变工作对象(原始材料、机加工胚料等)的状态。当技术系统中的控制对象是设备时，控制的最终目标是改变该设备(例如，交通工具、宇宙飞船等)的状态。TS的元件的功能上的相互影响指的是这些元件的状态之间的相互影响。这些元件之间可能甚至没有即时物理链接。例如，执行器与技术操作之间可能没有物理链接。例如，切割速度在功能上与锭子的旋转速度相关，即使这些状态变量在物理上不相关。

计算机攻击(也称为网络攻击)—硬件和软件对计算机系统和计算机/电信网络的蓄意动作，执行该动作的目的是违反这些系统和网络中的信息安全。

图1a示出了示例性技术系统(TS)100的示意图。在一方面，TS的部件可以包括但不限于：控制对象110a；控制主体110b；多层级控制子系统120；水平链接130a和竖直链接130b。控制主体110b通过层级140分组。

图1b示意性地示出了技术系统100’的实现方式的特定示例。控制对象110a’可以包括但不限于TP或设备。控制动作可以被施加到控制对象110a’，这可以由自动控制系统(Automated Control System，ACS)120’执行并实现。在一方面，ACS 120’可以包括三个层级140’，层级140’可以包括控制主体110b’，控制主体110b’在水平方向上通过水平链接(层级内的链接，图1b中未示出)彼此互相连接并且在竖直方向上通过竖直链接130b’(层级之间的链接)彼此互相连接。互相连接的链接可以是功能性的。换句话说，在一般情况下，一个层级上控制主体110b’的状态变化可以引起该层级上以及其他层级上连接到该控制主体110b’的控制主体110b’的状态变化。关于控制主体110b’的状态变化的信息可以以信号的形式沿控制主体110b’之间建立的水平链接和竖直链接进行传输。例如，关于特定控制主体110b’的状态变化的信息可以是与其他控制主体110b’相关的外部动作。ACS 120’中的层级140’可以根据控制主体110b’的目的来定义。层级的数量可以根据ACS 120’的复杂度而变化。简单的系统可以包含一个或多个较低层级。有线网络、无线网络和集成微电路可以用于TS的元件(110a’、110b’)和TS 100’的子系统的物理链接。以太网、工业以太网和工业网络可以用于TS的元件(110a’、110b’)与TS 100’的子系统之间的逻辑链接。可以由工业网络和协议使用的不同类型和标准包括但不限于：现场总线(Profibus)、FIP、控制网(Controlnet)、Interbus-S、设备网(DeviceNet)、P-NET、WorldFIP、LongWork、Modbus等。

较高层级(监测控制与数据采集(SCADA)层级)可以是调度员和操作者控制的层级。较高层级可以包括但不限于至少以下控制主体110b’：控制器、控制计算机、人机接口(HMI)。应当注意，图1b示出了单个控制主体内的SCADA。较高层级可以被配置成跟踪TS的元件(110a’、110b’)的状态、获得并存储关于TS的元件(110a’、110b’)的状态的信息、以及如果需要的话更正该状态。

中间层级(CONTROL(控制)层级)可以是控制器的层级。中间层级可以包括但不限于至少以下控制主体110b’：可编程逻辑控制器(PLC)、计数器、继电器、调节器。PLC类型的控制主体110b’可以被配置成从监控和测量仪器类型的控制主体110b’和数据发射器类型的控制主体110b’获得关于控制对象110a’的状态的信息。PLC类型的控制主体110b’还可以被配置成根据用于执行器类型的控制主体110b’的程序控制算法创建控制动作。执行器可以被配置成在较低层级直接实现给定的控制动作(将其施加到控制对象)。执行器可以是执行设备(设施)的部件。例如但不限于比例积分微分控制器或者说PID控制器的调节器可以是在控制回路中具有反馈的设备。

较低层级(输入/输出层级)可以是包括例如但不限于数据发射器和传感器、监控和测量仪器(MMI)、执行器等的控制主体110b’的层级，所述MMI监控控制对象110a’的状态。执行机构可以被配置成直接作用于控制对象110a’的状态以使其与正式状态一致。正式状态可以包括例如对应于技术工作顺序、过程图、或某一其他过程文件(在TP的情况下)或移动行程(在设备的情况下)的状态。在该较低层级上，来自数据发射器类型的控制主体110b’的信号可以与中间层级的控制主体110b’的输入配合。由PLC类型的控制主体110b’准备的控制动作可以与实施这些控制动作的执行器类型的控制主体110b’配合。执行器可以是执行设备的部件。执行设备可以被配置成根据来自调节器或控制设备的信号来移动调节元件。执行设备是自动控制链中最后的一链。通常，执行设备可以包括但不限于以下单元：

·放大设备(接触器、变频器、放大器等)；

·具有反馈元件(输出轴位置的检测器、端部位置的信号发射器、手动驱动器等)的执行机构(电动、气动或液压驱动器)；

·调节元件(门、阀、滑动块等)。

根据应用条件，执行设备的设计可以不同。执行机构和调节元件通常在执行设备的基础单元中。

在特定示例中，执行设备可包括执行机构。

应当注意，企业的计划和控制的任务可以由ACSE(Automatic Control Systemfor an Enterprise，企业的自动控制系统)120a’处理，ACSE 120a’可以是ACS120’的一部分。

图1c是示出基于便携式设备的示例的物联网的组织结构的一个可能变型的图示。图1c所示的系统可以包括但不限于用户的一组不同的计算机设备151。用户设备151可以包括但不限于智能手机152、平板电脑153、笔记本电脑154、诸如增强现实眼镜155的便携式设备、“智能”手表156等。用户设备151可以包括一组不同的数据发射器157a-157n，例如但不限于心律监控器2001和计步器2003。

应当注意，数据发射器157a-157n可以存在于单个用户设备151上或者多个设备上。此外，某些数据发射器157a-157n可以同时存在于多个用户设备151上。一些数据发射器157a-157n可以作为多个单元存在。例如，蓝牙模块可以存在于所有的用户设备151上，而智能手机152可以包含抑制噪音和确定距声源的距离所需的两个或更多个麦克风。

图1d呈现了示出设备151的数据发射器的一种可能设置的框图。例如，以下项可以存在于数据发射器157a-157n中：

心律监控器(心跳发射器)2001，其可以被配置成确定用户的脉搏。在一个方面，心律监控器2001可以包含电极并且可以测量心电图；

血氧饱和度检测器2002；

计步器2003；

指纹检测器2004；

手势检测器2005，其可以被配置成识别用户的手势；

照相机2006，例如指向用户周围的照相机和指向用户眼睛的照相机，该指向用户眼睛的照相机可以被配置成确定用户眼睛的移动以及根据眼睛的虹膜或视网膜验证用户身份；

用户的体温检测器2007(例如，与用户身体直接接触的体温检测器，或非接触式体温检测器)；

麦克风2008；

紫外线辐射检测器2009；

定位系统接收器2010，例如但不限于：GPS、GLONASS、BeiDou(北斗)、Galileo、DORIS、IRNSS、QZSS、或其他接收器；

GSM模块2011；

蓝牙模块2012；

Wi-Fi模块2013；

室温检测器2014；

气压计2015，其可以被配置成测量大气压力并根据大气压力确定海平面以上的高度；

地磁传感器2016(例如，电子罗盘)，其可以被配置成确定基本方位和方位角；

湿度检测器2017；

亮度检测器2018，其可以被配置成确定色温和亮度水平；

接近检测器2019，其可以被配置成确定与位于附近的各种物体的距离；

图像深度检测器2020，其可以被配置成获得空间的三维图像；

加速度计2021，其可以被配置成测量空间中的加速度；

陀螺仪2022，其可以被配置成确定空间中的位置；

霍尔检测器2023(磁场检测器)，其可以被配置成确定磁场的强度；

放射量计/辐射计2024，其可以被配置成确定辐射水平；

NFC模块2025；

LTE模块2026。

图2是示出具有某些特性的信息物理系统200以及用于对异常进行检测、分类和监控的系统201的示例的示意图。图2中以简化的形式示出了CPS 200。CPS 200的示例可以包括前述技术系统(TS)100(参见图1a-图1b)、物联网(参见图1c-图1d)、和工业物联网。仅出于说明性目的，这里将TS作为CPS 200的基础示例来讨论。如以上结合图1a-图1b所述，CPS200可以包括但不限于一组控制主体，诸如数据发射器、执行机构和PID控制器。例如，这些控制主体的未经处理形式的数据可以经由模拟信号发送到PLC。PLC可以被配置成对数据执行处理并且可以将数据转换成数字形式—转换成CPS的变量的值。CPS的变量可以包括但不限于CPS的过程变量(即，CPS 200的遥测数据)。CPS的变量的值可以被发送到SCADA系统110b’以及这里讨论的系统201。

CPS的变量可以是控制主体(数据发射器、执行机构和PID控制器)的数值特性。因此，CPS的变量的值可以包括但不限于以下值中的至少一者：数据发射器的测量值(读数)；执行机构的操纵变量的值；执行机构的设定点；比例积分微分调节器(PID控制器)的输入信号的值；PID控制器的输出信号的值，以及CPS的其他过程变量的值。

在一个方面，CPS的变量的值可以采用以下一组值的形式：[标识符(变量名称)，时间，值]。例如，如果CPS变量是温度检测器，则该CPS变量的值可以如下表示：[温度检测器，01.01.2022 10:00:00，99℃]。

CPS的变量的值可以被异常确定模块202使用，异常确定模块202可以被配置成确定CPS 200中的异常。CPS 200中的异常可以是表征偏离CPS的一个或多个变量的值的正常值的事件。例如，由于计算机攻击、由于在人在TS或TP的工作中的不正确或非法介入、由于技术过程的错误或偏差(包括涉及操作条件的变化周期的错误或偏差)、由于控制回路向人工模式的转变、由于数据发射器的不正确读数、以及由于其他众所周知的原因，CPS 200中都会发生异常。关于在CPS 200中发现的异常的信息可以发送给用于诊断和监控异常的系统300。

图3是用于诊断和监控CPS 200中异常的系统300的示意图。系统300可以是计算机系统，例如图7中所示的系统。系统300可包括但不限于硬件处理器21和存储器22(如图7所示)。系统300可以包括功能和/或硬件模块和装置，这些模块和装置又可以包含用于在硬件处理器21上执行的指令。下面描述系统300的上述模块的各方面。

系统300可包括聚合模块302，其被配置成收集关于CPS 200中的已由异常确定模块301识别的异常的信息。异常确定模块301、特别是模块401-405的示例在下面描述的图4中呈现。

描述异常确定模块301。

异常确定模块301可被配置成通过预测CPS的变量(“CPS变量”)的值以及随后确定CPS的变量的预测的总误差来确定CPS中的异常401。异常确定模块301还可以被配置成如果预测的总误差大于阈值，则在CPS 200中发现异常。此外，异常确定模块301可以将CPS的变量对预测的总误差的贡献确定为CPS的相应变量的预测的误差对预测的总误差的贡献。

图4是异常确定模块的示例。

异常确定模块301可以包括如下模块，该模块用于使用经训练的基本机器学习模块(以下称为基本模型模块)402根据CPS的变量值来识别异常。用于识别异常的基本模型模块402可以用教导样本的数据来训练，无论是否包括CPS200中的已知异常以及给定时间段内CPS的变量的值。为了提高基本模型402的质量，可以分别使用测试样本和验证样本来完成对经训练的基本模型402的测试和验证。测试样本和验证样本可以包括但不限于CPS 200中的已知异常和在已知异常之前的给定时间段内CPS的变量的值，但不同于教导样本。

在另一方面，异常确定模块301可以包括基于规则的确定模块403，其可以被配置成使用规则来确定异常。这些规则可以预先制定并通过反馈接口320从CPS的操作者330处获得。这些规则可以包含适用于CPS的变量值的条件，当满足这些条件时，确定存在异常。

在又一方面，异常确定模块301可包括基于限值的确定模块404，该确定模块404可以被配置成当CPS的至少一个变量的值超过先前针对CPS的该变量建立的值范围时确定存在异常。这些值范围可以根据CPS 200的特性或文件的值来计算，或者可以通过反馈接口320从CPS的操作者330处获得。

在另一方面，异常确定模块301可以包括基于一组方法的确定模块405，该确定模块405可以被配置成使用可由模块401-404实施的上述方法中的包括两种或更多种的一组方法，通过对该组方法405的工作结果取平均值(例如，可以将逻辑结合应用于不同方法的工作结果)来确定CPS 200中异常的存在。

在又一方面，异常确定模块301可以包括图形界面系统，用于由CPS的操作者330手动确定异常，其相关信息可由反馈接口320进行传输。

在一个方面，关于CPS 200中的异常的信息还可以包括但不限于关于异常的以下说明：观察异常的时间间隔，CPS的每个变量对异常的贡献，关于识别所述异常的方法的信息，在时间间隔的每个时刻CPS变量的值。在又一方面，关于CPS 200中的异常的信息还可以包括针对每个CPS变量的以下至少一者：值的时间序列，预测值相对实际值的偏差的当前大小，预测值相对实际值的偏差的平滑值。在另一方面，关于异常的信息可以包括关于用于识别异常的模块(方法)的信息。

描述异常数据库310。

返回参考图3，所识别的异常的信息可以包括CPS变量的列表、给定时间间隔内CPS变量的值、以及上述附加信息。聚合模块302可以将每个异常的这些信息保存在异常数据库310中。异常数据库310可以包含在存储器22中。存储器22包含永久存储设备(ROM)24和随机存取存储器(RAM)25(如图7所示)。因此，异常数据库310可以包含在ROM 24和RAM 25两者中。CPS的操作者330还可以通过反馈接口320访问异常数据库310，从而获得关于CPS 200中的异常的完整和当前信息。

不同种类的数据库可以用作异常数据库310，包括但不限于：分层数据库(IMS、TDMS、System(系统)2000)、基于网络的数据库(Cerebrum、Сronospro、DBVist)、关系型数据库(DB2、Informix、Microsoft SQL Server)、面向对象的数据库(Jasmine、Versant、POET)、对象关系型数据库(Oracle数据库、PostgreSQL、FirstSQL/J)、功能型数据库、时间序列数据库(InfluxDB)、等等。此外，异常数据库310可以以关于在存储器22中的文件中保存的异常的列表或数据存档的形式来实现。

描述分类特征。

系统300还可包括生成模块303，其连接到聚合模块302并被配置成基于所收集的信息形成所识别异常的分类特征。这些分类特征可以保存在异常数据库310中。

在一个方面，生成模块303可以被配置成通过将CPS的变量的值以其初始形式、或以变换形式、或作为应用CPS的所述变量的函数的结果分配给分类特征来形成分类特征。例如，CPS的变量的样本均值或样本方差可以被选择作为分类特征。在另一方面，分类特征可以由生成模块303作为CPS的变量的傅里叶分析的结果而获得。在又一方面，分类特征可以作为应用CPS的变量的主成分分析(PCA分析)的结果而获得。在又一方面，关于用于识别异常的异常确定模块301之一的信息也可以被选择作为分类特征。因此，分类特征的列表可以由生成模块302以分类特征的值的向量的形式呈现。该组分类特征以及形成它们的方法可以预先指定，或者通过反馈接口320从CPS的操作者330获得。特别地，对于特定类型的CPS200以及在该类型的CPS中发生的过程，可以预先知道该组分类特征及其数值计算技术。例如，在通过磁探伤法诊断和监控石油管道壁的异常的情况下，诊断数据中来自缺陷的回波的大小、该回波的最大值、回波信号的形状等可以是分类特征。

描述分类步骤。

系统300还可以包括连接到生成模块303的分类器模块304。分类器模块304还可以包括教导模块305和分类模块306。教导模块305可以被配置成基于来自异常数据库310的分类特征来调整分类规则。在一个方面，这些分类规则可以包括监督机器学习模型或无监督机器学习模型(例如，聚类模型)。在这些方面，分类规则的调整可涉及形成学习样本，包括包含观察异常的时间间隔的历史时间段的分类特征的值。此外，测试样本和验证样本也可以由教导模块305形成，同样包含历史时间段的分类特征的值。这些样本可以保存在异常数据库310中。

在一个方面，当使用无监督模型(即，通过使用聚类模型)对异常进行分类时，分类器模块304可以选择以下一种或多种方法作为聚类模型：

层次聚类；

基于密度的噪声应用空间聚类(DBSCAN)；

神经气体生长算法(GNG)；

用于点排序以识别聚类结构的算法(OPTICS)。

应注意的是，上述方法能够比较异常并根据不同的异常确定模块301已经识别的多个异常形成类别。应注意，也可以使用本领域已知的其他聚类方法，例如但不限于K均值(K-Means)方法。

在另一方面，可以通过标记的历史样本将异常分类为预定类别。换句话说，可以使用分类模型(监督学习模型)对异常进行分类。作为分类模型，分类模块306可以选择本领域已知的用于分类的任何机器学习模型，包括但不限于逻辑回归、神经网络、决策树、决策树上的梯度增强、参考向量法等。预定类别的列表可以通过反馈接口320从CPS的操作者330处获得。在另一方面，预定类别的列表可以通过分类模块306从聚类方法获得。

此外，分类模块306可以使用一组的两个或更多个聚类模型或分类模型，通过对该组中的各个模型进行投票来做出决策。

分类模块306还可以被配置成调整分类规则，以基于分类特征将识别的异常分类为至少两个类别。分类模块306可以以实时模式或流模式执行来自异常数据库310的异常的分类和来自异常确定模块301的异常的分类。换句话说，生成模块303还可以被配置成以流模式工作，从而顺序地或并行地处理所有传入的异常。

产生的异常类别可以保存在异常数据库310中，并且当需要时，可以通过反馈接口320将异常类别发送给CPS的操作者330。

系统300还可以包括连接到异常数据库310、分类器模块304和反馈接口320的诊断和监控模块307。诊断和监控模块307可以被配置成获得关于异常和异常类别的信息，之后，诊断和监控模块307可以单独地执行诊断，然后监控每个异常类别的异常。下面将结合图5更详细地讨论诊断和监控模块307。

描述诊断和监控模块307。

图5是异常诊断和监控模块的示例。因此，诊断和监控模块307可以包括诊断模块501、过滤模块502、回顾分析模块503、预测分析模块504、流分析模块505和用于对异常处理进行建议的模块506。

每个类别的异常的监控可以涉及基于每个异常类别的特性值的数据，以给定的频率执行以下类型的分析中的至少一种类型的分析：模块503的回顾分析、模块504的预测分析、和模块505的流分析。应注意，每个异常类别的特性等同于与每个异常类别相关联的异常特性。上述监控频率可以由CPS的操作者330通过反馈接口320预先确定或指示。在一个方面，监控频率可以通过进行监控的时间间隔来确定。例如，监控频率可以是每小时或每天。在另一方面，监控频率可由监控发生的条件确定。例如，在出现预定数量的新异常时，诊断和监控模块307可以确定监控频率。因此，每个类别的异常的监控结果(关于异常的信息)可以是完整的和最新的。

诊断模块501可以被配置成计算每个类别的异常的一组特定的特性。在特定方面，可以基于CPS 200的技术过程的特性、CPS 200的设备和子组件的组成、给定CPS 200的行业标准来计算这组特性。例如，所述特性的值可以由诊断模块501通过至少分配以下值来计算：针对给定的异常类别确定的CPS变量值、CPS 200的这些变量的导数、CPS变量值的统计特性、CPS变量的频率分析的数值等。因此，对于广泛的CPS 200的类别，防止对CPS 200的技术过程的潜在计算机攻击是一个急切的技术问题。此类计算机攻击的一个非限制性示例是欺骗或替换某些CPS变量的数据，以中断CPS 200的控制电路中的反馈回路和随后对CPS200的设备和子组件造成潜在损坏。为了防止此类计算机攻击，可使用异常确定的预测方法。选定的特性可以包括某些CPS变量在相同位置的“粘滞”(值随时间重复)特征，以及这种“粘滞”的时间。在又一方面，数据的替换可以通过对数据的相同回顾部分的多次重复来完成。在这种情况下可以选择的特性可以是例如但不限于信号的窗口统计点，即信号的采样点(例如采样均值)、方差、自相关和互相关点等。

因此，在特定方面，诊断模块501可基于CPS变量计算异常类别的特性的值。例如，诊断模块501可以计算以下特性中的至少一个特性的值：CPS变量的最小值和最大值、CPS变量的统计特性(特别是样本均值、样本方差)、CPS变量的行为中的趋势的存在和特性、CPS变量的频谱特性(例如，傅里叶变换的系数、某些振动模式的存在)、以及其他特性。

此外，特性值可包括但不限于特定异常的临界水平的计算值、给定类别的异常出现的频率、这种出现的周期性、先前已知或未知频率上某些振动模式的出现等。如本文所使用的，异常的临界水平通过异常的给定特性的值或给定的一组特性的值被定义为超过一个或多个预定水平，其中CPS的TP中可能出现负过程。因此，对于旋转设备，包括诸如循环泵这样的至关重要的子组件，涉及旋转机构的振动的异常是特性，并且这些特性通常可以根据振动速度和振动加速度传感器的数据来诊断。当处理这种异常的特性时，诊断模块501可以选择振动分析数据的最大窗口值。此外，该组特性可以被扩展以包括诸如但不限于窗口傅里叶变换和用于监控的指定模式范围的特性。这样的一组扩展特性可以使诊断模块501能够对循环泵的振动异常进行彻底的诊断和监控，并在早期阶段检测新的寄生振动模式的出现，从而预测这种异常随时间的发展。

在另一方面，例如，可以通过反馈接口320从CPS的操作者330处获得每个类别的异常的该组特性。

过滤模块502可被配置成基于诊断模块501对异常的诊断结果，创建用于过滤一个类别的异常的规则。例如，过滤模块502可以创建过滤规则，其中具有由模块501获得的特性并且超过预定值的特定范围的所有异常可以通过。例如，来自具有低临界水平的类别的所有异常都可以被过滤掉，即通过。可能需要过滤掉的异常的另一个示例是错误确定的异常或CPS的操作者330特别注意到的异常、以及涉及企业过程中的合法人为干预的异常。这样的异常可以由CPS的操作者330或者由过滤模块502以自动方式(例如，根据PID控制器的设定点的数据在其突然改变的地方)挑选出。

回顾分析模块503可被配置成对涉及单个设备和异常类别的异常的特性(如诊断模块501所获得的)执行回顾分析。回顾分析模块503可以从异常数据库310中为CPS的操作者330在给定观察时间内选择的单个设备或子组件选择CPS200中的异常类别的特性的值。然后，由诊断模块501计算的每个异常类别的特性的值可由回顾分析模块503使用以执行分析。对于每个异常类别，通过应用用于回顾分析的机器学习模型，可以对在特定历史时间间隔内的异常的特性的向量(该组值)进行分析。回顾分析模块503使用的机器学习模型可以包括但不限于回归分析模型和插值模型。上述模型可以接收在给定历史时间间隔内的异常的特性的值作为其输入。由回顾分析模块503执行的异常的特性的回顾分析的结果可以包括异常发展的回顾趋势的绘图、异常发展的速度和单调性的计算、异常的特性值相对趋势的偏差的大小的计算，等等。此外，由回顾分析模块503生成的结果可以通过反馈接口320发送给CPS的操作者330，以用于分析过去异常发展的动态，并用于分析该类别的异常发展的原因。

回顾分析模块503生成的数据，即特定历史时间间隔内的异常的特性的值，可用作预测分析模块504的补充输入数据。在一个方面，预测分析模块504可以被配置成预测与单个设备和单个类别相关的异常的发展。例如，预测分析模块504可以预测未来异常的特性的值。预测分析模块504可以使用用于预测分析的机器学习模型来分析针对某一历史间隔获取的异常的特性的向量的数据。例如，预测分析模块504可以使用回归分析模型和外推模型，由此生成的结果可以是预测的给定时间间隔内的特性的向量的预测值。此外，预测分析模块504可以计算某些特性达到预定水平(给定类别的异常的临界水平)的时刻。CPS的操作者330可以使用异常的临界水平来计划维护和维修工作。

流分析模块505可被配置成对每个异常类别的特性的值进行流分析。换句话说，流分析模块505可以被配置成分析在当前时刻或给定输入窗口(输入时间间隔)内获得的值。流分析模块305可以实时模式在异常数据库310中记录包含异常类别和每个异常类别的特性的值的信息。换句话说，流分析模块305可以在信息到达时记录所生成的关于已经出现的异常的信息。此外，流分析模块305可以执行每个异常类别的特性的值与预定临界值的比较，可以在异常数据库310中做出指示超过所述临界值的标记，并且另外可以通过反馈接口320向CPS的操作者330发送指示超过临界值的通知。

在另一方面，用于对异常处理进行建议的模块506可以被配置成将在进行由模块503-505之一执行的上述类型的分析时获得的结果与临界规则进行比较。在满足临界规则中的至少一个规则的情况下，用于对异常处理进行建议的模块506可以根据如此满足的规则生成用于处理异常的动作列表。

在特定方面，临界规则的条件可以包括一个或多个CPS特性的值超过给定阈值、CPS的一个或多个特性的值存在增加趋势等。

在特定方面，异常处理的动作列表可以包括但不限于以下列出的动作：

а)对识别出异常的数据发射器、执行机构、或PID控制器进行调整。根据CPS文件，可基于CPS特性进行该调整。

b)断开识别出异常的数据发射器、执行机构、或PID控制器。例如，如果所识别的异常指示有故障的数据发射器或黑客使用数据发射器等。

c)更改CPS的计算机安全设置。例如，可以更新CPS的各种安全协议、执行完整的防病毒扫描、检查漏洞、断开易受攻击的网络连接等。

d)控制过程的自动校正。在一个方面，可以基于异常类别来指定用于校正控制的方法。

e)向SCADA系统110b’通知所识别的异常的类别、以及诊断和监控每个类别的异常的结果。

下面给出了本发明的实现方式的一些示例。

因此，由于分类器模块304执行分类而生成的一个异常类别可以包括涉及石油化工行业的粘性石蜡介质特性中使用的液位计传感器的短暂“粘滞”的所有异常。在给定的示例中，传感器的“粘滞”意味着传感器的读数周期性地显示为零或通常不正确，这是非关键异常。所有这些非关键异常可以由分类器模块304组合成单个类别，并且对该类别的进一步分析可以包括诊断该类别的异常，即，将该类别的异常的特性的值确定为该“粘滞”的频率和持续时间，并随后监控该类别的异常的这些特性的值。此外，如果这些特性的值存在显著变化，则相应的信息可以由分类器模块304保存在异常数据库310中，并且还可以通过反馈接口320发送给CPS的操作者330。

另一个示例是如下情况：生产技术允许CPS的至少一个变量短暂超出给定变化范围，但不允许长期或过度频繁的超出。如果发生这种长期或过度频繁的超出，则会出现异常，这可由异常确定模块301中的一个检测到。然后，分类器模块304可将所有这些识别的异常组合成单个类别，并通过计算每个类别的异常的特性的值来对每个异常类别进行后续诊断。这种特性可以包括，例如，异常的临界水平、异常出现的频率、异常出现的周期性。诊断和监控模块307可以被配置成执行对该类别的异常的特性(例如异常出现的频率)的计算值的后续监控。如果特性“异常出现的频率”的值随时间增加，则诊断和监控模块307可以通过反馈接口320通知CPS的操作者330该特性的值的临界上升。预测分析模块504可以通过预测该特性“异常出现的频率”的值来确定该特性的值的这种上升，并且如果该预测超过该特性的给定阈值，则可以通知CPS的操作者330。

另一个示例是通过内部管道检查工具进行的管道内部诊断。管道壁有一系列广泛的缺陷类别，包括裂缝、腐蚀和凹痕，这些缺陷的诊断数据可用于确定为异常类别选择的一些特定特性的值，例如缺陷的长度、宽度和深度。对该类别的异常的此特性的值的监控使管道操作者能够计划维护和维修工作，避免成本高昂的停机和事故。

图6是示出用于诊断和监控CPS的异常的示例方法的流程图。在步骤601中，异常确定模块301可以通过分析CPS的变量的值来识别CPS 200中的异常。接下来，在步骤602中，可以获得关于在CPS 200中发现的异常的信息。关于所识别的异常的信息可以包括CPS的变量列表、给定时间间隔中CPS变量的值、以及上述附加信息。聚合模块302可将每个异常的此类信息保存在异常数据库310中。此后，在步骤603中，可基于生成模块302收集的信息为所识别的异常生成分类特征。特别是，对于特定类型的CPS 200和在该类型的CPS 200中发生的过程，可以预先知道这组分类特征及其数值计算技术。例如，在通过磁探伤法诊断和监测石油管道壁的异常的情况下，诊断数据中来自缺陷的回波的大小、该回波的最大值、回波信号的形状等可以是分类特征。然后，在步骤604中，可以由分类器模块304基于如此生成的分类特征将异常分类为至少两个类别。此外，分类模块306可以使用一组的两个或更多个聚类模型或分类模型，通过该组中的各个模型的投票来做出决策。在步骤605中，诊断模块501可以通过计算每个异常类别的特性的值来对每个异常类别执行诊断。过滤模块502可以被配置成基于诊断模块501对异常的诊断结果来创建用于过滤一个类别的异常的规则。因此，在步骤606中，诊断和监控模块307可以基于每个异常类别的诊断结果(即基于异常特性的计算值)来执行异常的监控。以上结合图5对诊断和监控模块307进行了更详细的讨论。之前在图2-图5中呈现的特定方面也适用于图6所示的方法。还应注意，所提出的方法也可以在流模式下工作，即，当CPS中出现新的异常时，可以将其添加到生成的一个类别中，或者将为其生成新的类别。

因此，提出的公开内容解决了所述技术问题和实现了所述技术效果。即，确保CPS中异常的自动诊断和监控的技术效果可以通过异常的分类、每个类别的异常的诊断、以及每个异常类别中的异常的后续监控来实现。

图7示出了可以在其上实现本文所公开的系统和方法的各方面的计算机系统的示例。计算机系统20可以表示图3中的用于诊断和监控异常的系统，并且可以是多个计算设备的形式，也可以是单个计算设备的形式，例如台式电脑、笔记本电脑、手提电脑、移动计算设备、智能手机、平板电脑、服务器、主机、嵌入式设备和其他形式的计算设备。

如图所示，计算机系统20包括中央处理单元(Central Processing Unit，CPU)21、系统存储器22和连接各种系统部件的系统总线23，各种系统部件包括与中央处理单元21相关联的存储器。系统总线23可以包括总线存储器或总线存储器控制器、外围总线、以及能够与任何其他的总线架构交互的本地总线。总线的示例可以包括PCI、ISA、PCI-Express、超传输^TM(HyperTransport^TM)、无限带宽^TM(InfiniBand^TM)、串行ATA、I2C、和其他合适的互连。中央处理单元21(也称为处理器)可以包括单组或多组具有单核或多核的处理器。处理器21可以执行实现本发明的技术的一种或多种计算机可执行代码。系统存储器22可以为用于存储本文中所使用的数据和/或可由处理器21执行的计算机程序的任何存储器。系统存储器22可以包括易失性存储器(诸如随机存取存储器(Random Access Memory，RAM)25)和非易失性存储器(诸如只读存储器(Read-Only Memory，ROM)24、闪存等)或其任意组合。基本输入/输出系统(Basic Input/Output System，BIOS)26可以存储用于在计算机系统20的元件之间传输信息的基本程序，例如在使用ROM 24加载操作系统时的那些基本程序。

计算机系统20可以包括一个或多个存储设备，诸如一个或多个可移除存储设备27、一个或多个不可移除存储设备28、或其组合。所述一个或多个可移除存储设备27以及一个或多个不可移除存储设备28通过存储设备接口32连接到系统总线23。在一方面，存储设备和相应的计算机可读存储介质为用于存储计算机指令、数据结构、程序模块、和计算机系统20的其他数据的电源独立的模块。系统存储器22、可移除存储设备27和不可移除存储设备28可以使用各种各样的计算机可读存储介质。计算机可读存储介质的示例包括：机器存储器，诸如缓存、SRAM、DRAM、零电容RAM、双晶体管RAM、eDRAM、EDO RAM、DDR RAM、EEPROM、NRAM、RRAM、SONOS、PRAM；闪存或其他存储技术，诸如在固态驱动器(Solid State Drive，SSD)或闪存驱动器中；磁带盒、磁带、和磁盘存储器，诸如在硬盘驱动器或软盘中；光学存储器，诸如在光盘(CD-ROM)或数字通用光盘(Digital Versatile Disk，DVD)中；以及可用于存储期望数据且可被计算机系统20访问的任何其他介质。

计算机系统20的系统存储器22、可移除存储设备27和不可移除存储设备28可以用于存储操作系统35、附加的应用程序37、其他程序模块38和程序数据39。计算机系统20可以包括用于传送来自输入设备40的数据的外围接口46，所述输入设备40诸如键盘、鼠标、手写笔、游戏控制器、语音输入设备、触摸输入设备、或其他外围设备，诸如借助一个或多个I/O端口的打印机或扫描仪，该一个或多个I/O端口诸如串行端口、并行端口、通用串行总线(Universal Serial Bus，USB)、或其他外围接口。显示设备47(诸如一个或多个监控器、投影仪或集成显示器)也可以通过输出接口48(诸如视频适配器)连接到系统总线23。除了显示设备47之外，计算机系统20还可以装配有其他外围输出设备(未示出)，诸如扬声器和其他视听设备。

计算机系统20可以使用与一个或多个远程计算机49的网络连接而在网络环境中工作。所述一个或多个远程计算机49可以为本地计算机工作站或服务器，其包括前面在描述计算机系统20的性质时所述的元件中的大多数元件或全部元件。其他设备也可以存在于计算机网络中，诸如但不限于路由器、网络站点、对等设备或其他网络节点。计算机系统20可以包括用于通过一个或多个网络而与远程计算机49通信的一个或多个网络接口51或网络适配器，该一个或多个网络诸如计算机局域网(Local-Area Network，LAN)50、计算机广域网(Wide-Area Network，WAN)、内联网、和互联网。网络接口51的示例可以包括以太网接口、帧中继接口、SONET(同步光纤网)接口、和无线接口。

本发明的各个方面可以为系统、方法和/或计算机程序产品。计算机程序产品可以包括一种或多种计算机可读存储介质，该计算机可读存储介质上具有用于使处理器执行本发明的各方面的计算机可读程序指令。

计算机可读存储介质可以为有形设备，该有形设备可以保持且存储指令或数据结构的形式的程序代码，该程序代码可以被计算设备(诸如计算机系统20)的处理器访问。计算机可读存储介质可以为电子存储设备、磁性存储设备、光学存储设备、电磁存储设备、半导体存储设备、或其任何合适的组合。作为示例，这类计算机可读存储介质可以包括随机存取存储器(RAM)、只读存储器(ROM)、电可擦可编程只读存储器(EEPROM)、便携式光盘只读存储器(CD-ROM)、数字通用光盘(DVD)、闪存、硬盘、便携式电脑磁盘、记忆棒、软盘、或甚至机械编码设备，诸如在其上记录有指令的凹槽中的打孔卡或凸起结构。如在本文中所使用的，计算机可读存储介质不应被视为暂时性信号本身，暂时性信号诸如无线电波或其他自由传播的电磁波、通过波导或传输介质传播的电磁波、或通过电线传输的电信号。

可以将本文中所描述的计算机可读程序指令从计算机可读存储介质下载到相应的计算设备、或通过网络(例如，互联网、局域网、广域网和/或无线网络)下载到外部计算机或外部存储设备。该网络可以包括铜传输电缆、光学传输光纤、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。在每个计算设备中的网络接口从网络接收计算机可读程序指令并转发该计算机可读程序指令，用以存储在相应的计算设备内的计算机可读存储介质中。

用于执行本发明的操作的计算机可读程序指令可以为汇编指令、指令集架构(Instruction-Set-Architecture，ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或以一种或多种编程语言(包括面向对象的编程语言和传统程序化编程语言)的任何组合编写的源代码或目标代码。计算机可读程序指令(作为独立的软件包)可以完全地在用户的计算机上、部分地在用户的计算机上、部分地在用户的计算机上且部分地在远程计算机上、或完全地在远程计算机或服务器上执行。在后一种情况中，远程计算机可以通过任何类型的网络(包括LAN或WAN)连接到用户的计算机，或可以进行与外部计算机的连接(例如通过互联网)。在一些实施方式中，电子电路(包括例如可编程逻辑电路、现场可编程门阵列(FPGA)、或可编程逻辑阵列(Programmable Logic Array，PLA))可以通过利用计算机可读程序指令的状态信息而执行计算机可读程序指令，以使该电子电路个性化，从而执行本发明的各方面。

在各个方面，本发明中所描述的系统和方法可以按照模块来处理。如本文中所使用的术语“模块”指的是例如现实世界的设备、部件、或使用硬件(例如通过专用集成电路(ASIC)或FPGA)实现的部件的布置，或者指的是硬件和软件的组合，例如通过微处理器系统和实现模块功能的指令集(该指令集在被执行时将微处理器系统转换成专用设备)来实现这样的组合。一个模块还可以被实现为两个模块的组合，其中单独地通过硬件促进某些功能，并且通过硬件和软件的组合促进其他功能。在某些实现方式中，模块的至少一部分(以及在一些情况下，模块的全部)可以在计算机系统的处理器上运行。因此，每个模块可以以各种适合的配置来实现，而不应受限于本文中所例示的任何特定的实现方式。

为了清楚起见，本文中没有公开各个方面的所有例行特征。应当领会的是，在本发明的任何实际的实现方式的开发中，必须做出许多特定实现方式的决定，以便实现开发者的特定目标，并且这些特定目标将对于不同的实现方式和不同的开发者变化。应当理解的是，这种开发努力会是复杂的且费时的，但对于了解本发明的优点的本领域的普通技术人员来说仍然是工程的例行任务。

此外，应当理解的是，本文中所使用的措辞或术语出于描述而非限制的目的，从而本说明书的术语或措辞应当由本领域技术人员根据本文中所提出的教导和指导结合(一个或多个)相关领域技术人员的知识来解释。此外，不旨在将本说明书或权利要求中的任何术语归于不常见的或特定的含义，除非明确如此阐述。

本文中所公开的各个方面包括本文中以说明性方式所引用的已知模块的现在和未来已知的等同物。此外，尽管已经示出并描述了各个方面和应用，但是对于了解本发明的优点的本领域技术人员将明显的是，在不脱离本文中所公开的发明构思的前提下，相比于上文所提及的内容而言的更多修改是可行的。

Claims

1.一种用于诊断和监控信息物理系统(CPS)中的异常的方法，所述方法包括：

获得与在所述CPS中识别的异常相关的信息，其中，所获得的信息包括一个或多个CPS变量的至少一个值；

基于所获得的信息生成在所述CPS中识别的异常的一个或多个分类特征；

基于生成的所述分类特征将在所述CPS中识别的异常分类为两个或更多个异常类别，其中，所述两个或更多个异常类别中的每一个异常类别都与一个或多个异常特性相关联；

通过计算与所述两个或更多个异常类别中的每一个异常类别相关联的异常特性的值，执行所述两个或更多个异常类别中的每一个异常类别中的异常的诊断；和

基于与所述两个或更多个异常类别中的每一个异常类别相关联的异常特性的计算值，监控所述两个或更多个异常类别中的每一个异常类别的异常。

2.根据权利要求1所述的方法，其中，通过执行以下步骤来识别异常：

预测所述一个或多个CPS变量的至少一个值；

基于预测的所述一个或多个CPS变量的所述至少一个值来确定总预测误差；和

如果所确定的总预测误差超过预定阈值，则识别出异常。

3.根据权利要求1所述的方法，其中，通过执行以下步骤来识别异常：

通过将经训练的机器学习模型应用于所述一个或多个CPS变量的所述至少一个值来识别异常。

4.根据权利要求1所述的方法，其中，通过执行以下步骤来识别异常：

确定所述一个或多个CPS变量的至少一个值是否位于相应CPS变量的先前指定的值范围的界限之外；和

响应于确定所述一个或多个CPS变量中的至少一个CPS变量的值位于所述相应CPS变量的先前指定的值范围的界限之外，识别出异常。

5.根据权利要求1所述的方法，其中，所获得的信息还包括以下中的至少一者：观察所检测到的异常的时间间隔、所述一个或多个CPS变量中的每一个CPS变量对所检测到的异常的贡献、关于所检测到的异常的检测方法的信息、在观察时间间隔的每个时刻所述一个或多个CPS变量的至少一个值。

6.根据权利要求1所述的方法，其中，对于所述一个或多个CPS变量中的每一个CPS变量，所获得的信息还包括：相应CPS变量值的时间序列；预测的CPS变量值相对实际的CPS变量值的偏差的当前大小；所述预测的CPS变量值相对所述实际的CPS变量值的偏差的平滑值。

7.根据权利要求1所述的方法，其中，所述一个或多个CPS变量的所述至少一个值包括以下中的至少一者：数据发射器的测量值；执行机构的操纵变量的值；所述执行机构的设定点；比例积分微分(PID)控制器的输入信号的一个或多个值；所述PID控制器的输出信号的值。

8.根据权利要求1所述的方法，其中，监控所述CPS以检测异常包括使用与所述两个或更多个异常类别中的每一个异常类别相关联的异常特性的值，以预定频率执行以下类型的分析中的至少一种类型的分析：对在预定历史时间段内的所述两个或更多个异常类别的附加特性执行回顾分析；执行预测分析，所述预测分析包括与所述两个或更多个异常类别中的每一个异常类别相关联的异常特性的值的预测；对与所述两个或更多个异常类别中的每一个异常类别相关联的异常特性的值执行流分析。

9.根据权利要求8所述的方法，其中，监控所述CPS以检测异常还包括：将所执行的分析的结果与一个或多个临界规则进行比较，以及响应于确定满足所述临界规则中的至少一个临界规则，根据所满足的临界规则生成用于处理所检测到的异常的动作列表。

10.根据权利要求1所述的方法，其中，通过将所述一个或多个CPS变量分配给所述一个或多个分类特征中的每一个分类特征来生成所述一个或多个分类特征。

11.根据权利要求1所述的方法，其中，所述一个或多个异常特性包括以下中的至少一者：特定异常的临界水平的计算值、特定类别的异常出现的频率、特定类别的异常出现的周期性。

12.根据权利要求1所述的方法，其中，所述一个或多个分类特征是基于来自所述CPS的操作者的反馈而生成的。

13.根据权利要求1所述的方法，其中，对所识别的异常执行分类还包括使用经训练的分类模型和经训练的聚类模型中的一者来执行所述分类，其中，用于所述经训练的分类模型或所述经训练的聚类模型的输入数据包括所述一个或多个分类特征，并且，所述分类的结果包括将异常类别分配给每个所识别的异常。

14.一种用于诊断和监控信息物理系统(CPS)中的异常的系统，所述系统包括：

存储器和硬件处理器，所述硬件处理器被配置成：

15.根据权利要求11所述的系统，其中，被配置成识别异常的所述硬件处理器还被配置成：

预测所述一个或多个CPS变量的至少一个值；

如果所确定的总预测误差超过预定阈值，则识别出异常。

16.根据权利要求11所述的系统，其中，被配置成识别异常的所述硬件处理器还被配置成：

17.根据权利要求11所述的系统，其中，被配置成监控所述CPS以识别异常的所述硬件处理器还被配置成：

18.根据权利要求11所述的系统，其中，所获得的信息还包括以下中的至少一者：观察所检测到的异常的时间间隔、所述一个或多个CPS变量中的每一个CPS变量对所检测到的异常的贡献、关于所检测到的异常的检测方法的信息、在观察时间间隔的每个时刻所述一个或多个CPS变量的至少一个值。

19.根据权利要求11所述的系统，其中，对于所述一个或多个CPS变量中的每一个CPS变量，所获得的信息还包括：相应CPS变量值的时间序列；预测的CPS变量值相对实际的CPS变量值的偏差的当前大小；所述预测的CPS变量值相对所述实际的CPS变量值的偏差的平滑值。

20.一种非暂时性计算机可读介质，所述非暂时性计算机可读介质上存储有用于诊断和监控信息物理系统(CPS)中的异常的计算机可执行指令，所述计算机可执行指令包括用于以下操作的指令：