CN117687373A - 用于检测信息物理系统中的异常的系统和方法 - Google Patents

Abstract

本发明涉及用于检测信息物理系统中的异常的系统和方法。在一个方面，示例性方法包括：对于CPS的参数列表，收集包含所述CPS的参数值的数据；从所收集的数据生成所述CPS的参数的至少两个子集；从异常检测器的列表中选择至少两个异常检测器，并为每个所选择的异常检测器选择所述CPS的参数的至少一个相应的子集；预处理所述CPS的参数的每个子集，并将预处理过程的输出传输到相应的异常检测器；对于每个预处理后的子集，分别使用所述相应的异常检测器来检测所述数据中的异常；以及通过组合和处理从所选择的至少两个异常检测器获得的结果来检测所述CPS中的组合异常。

Description

用于检测信息物理系统中的异常的系统和方法

相关申请的交叉引用

本申请要求于2022年9月9日提交的俄罗斯专利申请No.2022123995的优先权，该专利申请的全部内容通过引用并入本文。

技术领域

本发明涉及工业安全领域，更具体地，涉及用于检测信息物理系统中的异常的系统和方法。

背景技术

工业安全的紧迫问题之一是技术过程(technological process，TP)的安全操作问题。对TP的主要威胁包括设备或组件的磨损和故障、操作管理中的无意错误或恶意动作、对控制系统和信息系统(Information System，IS)的计算机攻击等。

为了应对这些威胁，传统上使用信息物理系统(Cyber-Physical System，CPS)的安全系统，其包括安全仪表系统(SIS)、基于自动过程控制系统(APCS)的异常检测系统、以及为特定设备或组件专门构建的“外部”监控系统。“外部”系统通常不与APCS集成在一起。应当注意的是，由于CPS和TP的某些特性，不能总是部署上述“外部”系统。然而，即使这种安装是可能的，由于维护这种外部系统的高成本和复杂性，这些外部系统的部署也只能在企业的关键单元和组件上进行。

与“外部”系统不同，SIS系统是在企业的设计期间构建的。于是，SIS系统与APCS系统集成在一起，并用于防止预先已知的紧急过程的发展。SIS系统的明显优势在于其简单性，专注于特定企业的生产过程，并考虑到该企业使用的所有结构和技术解决方案。SIS系统的缺点包括系统中决策的足够惯性以及在做出此类决策时存在人为因素。此外，SIS在控制和测量设备(CMD)正确运行的前提下操作。在实践中，确保CMD的无故障操作的全面实施是不可能的。例如，CMD可能周期性地故障，或者可能具有暂时故障的趋势。此外，所有CMD的复制成本极高，而且在技术上并不总是可能的或可行的。

然而，基于APCS遥测的异常检测系统能够同时监控企业的所有TP，以及企业的各种TP之间的相互作用。由于基于APCS遥测的数据的完整性，即使在CMD出现故障的情况下，这种方法也允许异常检测系统自信地检测异常，这些异常是被监控对象(即CPS或IS)行为的偏差。APCS中呈现的丰富数据允许对整个企业的多个模型进行监控，包括企业的物理(化学或其他)过程、以及这些过程的所有控制系统的正确操作，包括生产操作者动作的正确性。

在一个示例中，与监控相关联的数据包括：

·物理和化学过程的遥测，如传感器读数、设定值、控制层；

·CPS或IS中的事件(以下简称为事件)，如个人命令、人员动作、警报、和被监控对象状态的其他变化。

机器学习方法可用于识别遥测数据中的异常。机器学习方法可用于构建企业正确操作的高效统计模型。例如，可以用大量分析参数来构建有效的统计模型。这允许用户发现设备操作中的微小偏差，即使在异常发展的早期阶段也是如此。此类系统的特殊架构和接口允许这些系统与APCS系统并行工作而无需使用其资源，以执行故障(即异常)检测、显示和隔离，并将检测到的异常告知生产操作者，并指示通过其识别该异常的某些技术参数。

使用各种异常检测方法允许检测覆盖TP中的整个偏差范围；然而，多个异常检测模型使用相同或交叉的数据集，同时导致需要组合关于通过各种方法发现的异常的信息(即，数据融合)，并向CPS操作者提供关于异常的存在和异常的特性的全面汇总信息。

这种方法的一个示例是使用无损检测方法对主要石油管道进行在线诊断。通常，组合式在线探伤仪由多个单独的诊断模块组成，包括超声波测厚仪(UTG)、磁控制模块(MCM)、具有平行裂纹和电容器放电(CD)焊缝裂纹的超声波检测器等。组合式探伤仪在工业石油管道或产品管道中的运行是通过将其所有部件依次连接到单个射弹中并随后在泵送产品流中移动来进行的。因此，整个被诊断的管道系统将被来自多种类型的控制的数据统一覆盖，这些数据将被进一步发送到用于自动确定管道的技术参数和管道壁的缺陷的模块。上述缺陷(即异常)的检测模块(检测器)根据控制的物理原理而不同，因此，每个模块都产生自己的一组缺陷及其特性。很明显，某些类型的缺陷会被几个相关的模块观察到并发现。因此，很自然地会遇到将来自不同模块的信息组合成单个缺陷(组合异常)的概念的任务。此外，由于这种组合，可以重新计算和阐明缺陷的基本特性，例如其类型和尺寸，如果只有一种类型的控制，这是不可能的。

因此，需要一种更优化的方法来检测信息物理系统中的异常，其中系统利用多个异常检测模块操作，以便可以检测对象(例如CPS或IS)的组合异常，随后将从每个模块接收的信息统一(组装)为组合异常。

发明内容

本发明的各方面涉及通过操作多个异常检测模块并随后组合从每个模块接收的信息来检测信息物理系统中的异常。

在一个示例性方面，提供了一种用于检测信息物理系统中的异常的方法，所述方法包括：对于CPS的参数列表，收集包含所述CPS的参数值的数据；从所收集的数据生成所述CPS的参数的至少两个子集；从异常检测器的列表中选择至少两个异常检测器，并为每个所选择的异常检测器选择所述CPS的参数的至少一个相应的子集；预处理所述CPS的参数的每个子集，并将预处理过程的输出传输到相应的异常检测器；对于每个预处理后的子集，分别使用所述相应的异常检测器来检测数据中的异常；以及通过组合和处理从所选择的至少两个异常检测器获得的结果来检测所述CPS中的组合异常。

在一个方面，所述方法还包括对来自每个所选择的异常检测器的检测到的异常进行后处理；以及组合经后处理的所述检测到的异常。

在一个方面，所述选择至少两个异常检测器并为每个所选择的异常检测器选择所述CPS的参数的至少一个相应的子集基于以下中的至少一者来执行：所述CPS的特性；所述CPS的参数列表及其来自所述CPS的参数的子集的值；以及所收集的数据的类型和所收集的数据的量。

在一个方面，所述选择至少两个异常检测器并为每个所选择的异常检测器选择所述CPS的参数的至少一个相应的子集基于以下中的至少一者来执行：质量度量；接收者操作特性(ROC)曲线分析结果；执行时间；以及执行异常检测的计算机所使用的资源量。

在一个方面，预处理所述CPS的参数的子集包括以下中的至少一者：用预定长度的时间缓冲器进行数据缓冲；过滤无效数据或以大于预定时间长度的延迟到达的数据；基于获得所述CPS的参数值的时间点进行重新排序；填补所述CPS的参数值中的空白；插值到均匀网格；标准化所述CPS的参数值；以及重新打包所述CPS的参数值以供所述异常检测器处理。

在一个方面，所述至少两个异常检测器中的检测器通过以下中的至少一者来检测异常：当预测误差超过预定阈值时检测异常，其中，所述预测误差通过预测所述CPS的参数值来计算，然后确定所述CPS的参数值的总预测误差；通过基于所述CPS的参数值应用机器学习模型来检测异常；当应用用于检测异常的规则时检测异常；以及通过将所述CPS的参数值与为各个参数建立的值范围中的极限值进行比较来检测异常。

在一个方面，所述CPS的至少一个参数值包括以下中的至少一者：传感器测量值；致动器的受控参数的值；执行机构的设定点；比例积分微分(PID)调节器的至少一个输入信号的值；以及PID控制器的输出信号的值。

在一个方面中，所述CPS的参数值以与所述CPS的参数的指示相同的时间间隔从所述CPS收集，或者以指示每个流中包含的参数的所述CPS的参数值的多个单独通量的形式从所述CPS的指示部分收集。

在一个方面，从所选择的至少两个异常检测器获得的结果以以下方式中的至少一者组合：通过组合来自各个异常检测器的异常定位区域，例如对共同异常进行定位，其中，所述区域确定空间和/或时间上的异常；通过分析每个检测器对所述组合异常的贡献；以及通过使用从每个检测器获得的异常的特性和关于对所述组合异常的相应贡献的信息来计算所述组合异常的预定特性。

在一个方面，组合所述异常定位区域通过以下来执行：确定空间或时间区域超过组合区域的预定百分比时；确定异常定位区域的中心位于某一空间或时间区域中时；以及确定经训练的神经网络将所述区域识别为属于组合异常的区域时。

在一个方面，通过设置与异常检测器的总数相对应的特征向量，以及通过执行以下动作中的至少一者来确定特定异常检测器对所述组合异常的贡献：将特定异常对组合异常的贡献等同于根据由所述特定检测器获得的异常的空间或时间区域对所述组合异常的贡献计算的数量；通过与所述组合异常的中心的接近程度来确定所述特定异常的贡献；通过应用评估贡献的预训练的神经网络来确定所述特定异常的贡献；当形成中不存在特定检测器的组合异常时，将贡献设置为零；以及当针对其中特定检测器检测到异常的所述CPS的技术过程(TP)存在所述特定检测器的可靠性或关键性的程度的信息时，基于关于所述可靠性或关键性的程度的信息来改变所述检测器的贡献。

在一个方面，在每个所选择的异常检测器识别出至少一个异常后，对输出数据进行进一步的后处理，其中，所述后处理包括：计算一组扩展的异常特性，包括异常危险评估，确定异常的类型和大小，标准化和统一关于异常的输出信息，以及通过组合从所选择的检测器获得的结果来检测组合异常。

在一个方面，当计算异常的特性不可行或不可能时，为不对其执行所述计算的异常的特性设置预定值。

在一个方面，计算与检测到异常的检测器相关联的异常的以下特性中的至少一者：所述异常的危险等级、所述异常的类型和大小；所述异常检测器检测到异常的概率；所述CPS的预测参数值与真值或默认值的偏差值、与设定值的指定偏差值、在所述异常检测器中使用的所述CPS的参数中的至少一些参数的偏差的测量值的均方根值；所述CPS的参数的观察值与某些预定极限的偏差的最大值或平均值、指定偏差的持续时间和频率；以及检测器在检测异常方面的性能。

在一个方面，为CPS的参数的特定子集选择异常检测器，使得：根据异常检测器对CPS的参数的特定子集的预定性能，或者根据关于CPS的参数的子集的专家知识，所选择的异常检测器为所述特定子集的异常检测提供预定的准确性和完整性。

在一个方面，所述CPS的参数的子集是根据所述子集的以下特性中的至少一者来选择的：所述CPS的参数对技术过程的重要性；所述CPS的参数与特定类型的设备相关联；所述CPS的参数属于一个技术过程；以及基于子集中所述CPS的物理参数的一致性。

根据本发明的一个方面，提供了一种用于检测信息物理系统中的异常的系统，所述系统包括硬件处理器，所述硬件处理器被配置为：对于CPS的参数列表，收集包含所述CPS的参数值的数据；从所收集的数据生成所述CPS的参数的至少两个子集；从异常检测器的列表中选择至少两个异常检测器，并为每个所选择的异常检测器选择所述CPS的参数的至少一个相应的子集；预处理所述CPS的参数的每个子集，并将预处理过程的输出传输到相应的异常检测器；对于每个预处理后的子集，分别使用所述相应的异常检测器来检测数据中的异常；以及通过组合和处理从所选择的至少两个异常检测器获得的结果来检测所述CPS中的组合异常。

在一个方面，所述系统还包括：至少一个后处理单元，所述至少一个后处理单元被设计成在将相应的异常检测器的输出传输到合并工具之前处理所述输出，每个检测器具有一组专用的后处理单元。

在一个方面，所述后处理单元执行以下步骤中的至少一者：评估异常的风险，确定异常的类型和大小，以及标准化和统一关于异常的输出信息。

在一个示例性方面中，提供了一种非暂时性计算机可读介质，其上存储用于检测信息物理系统中的异常的指令集，其中所述指令集包括用于以下操作的指令：对于CPS的参数列表，收集包含所述CPS的参数值的数据；从所收集的数据生成所述CPS的参数的至少两个子集；从异常检测器的列表中选择至少两个异常检测器，并为每个所选择的异常检测器选择所述CPS的参数的至少一个相应的子集；预处理所述CPS的参数的每个子集，并将预处理过程的输出传输到相应的异常检测器；对于每个预处理后的子集，分别使用所述相应的异常检测器来检测数据中的异常；以及通过组合和处理从所选择的至少两个异常检测器获得的结果来检测所述CPS中的组合异常。

本发明的方法和系统被设计成在检测信息物理系统中的异常方面提供改进。第一个技术效果是通过在CPS或IS中使用各种异常检测器并组合这些检测器的结果来检测CPS或IS的异常，从而实现用于检测CPS中的异常的系统的缩放。第二个技术效果是通过在CPS或IS中使用多个异常检测器以及随后统一所有这些检测器的结果来提高异常检测的准确性。

附图说明

并入本说明书中并构成本说明书的一部分的附图示出了本发明的一个或多个示例方面，以及连同具体实施方式一起用来阐述这些示例方面的原理和实现方式。

图1A示出了根据本发明的各方面的技术系统的示例。

图1B示出了根据本发明的各方面的技术系统的实现方式的特定示例。

图1C示出了根据本发明的各方面的示例性可穿戴设备上的物联网(IoT)组织的示例变型。

图1D示出了根据本发明的各方面的设备的传感器的示例集合。

图2示出了根据本发明的各方面的CPS和用于检测CPS中的异常的系统的示例。

图3示出了根据本发明的各方面的异常检测器的示例。

图4示出了根据本发明的各方面的用于检测CPS中的异常的系统的示例。

图5示出了根据本发明的各方面的数据处理流水线的示例。

图6示出了根据本发明的各方面的用于检测异常(例如，CPS或IS中的异常)的示例性方法。

图7呈现了可以在其上实现本发明的各方面的通用计算机系统的示例。

具体实施方式

本文中在用于检测信息物理系统中的异常的系统、方法和计算机程序的上下文中描述了示例性各方面。本领域的普通技术人员将认识到，以下描述仅是说明性的，而不旨在以任何方式进行限制。了解本发明的优点的本领域的技术人员很容易想到其它方面。现在将详细参考如附图中所示的示例方面的实现方式。在整个附图和以下描述中将尽可能使用相同的附图标记来指代相同或类似的项。

在一个方面，本发明描述了一种用于检测信息物理系统中的异常的系统，该系统在计算系统上实现，并且包括现实世界的设备、系统、部件以及部件组，这些现实世界的设备、系统、部件以及部件组使用诸如集成微电路(专用集成电路，ASIC)或现场可编程门阵列(FPGA)的硬件实现、或者例如以软件和硬件组合的形式(例如微处理器系统和程序指令集)实现、以及还在神经突触芯片上实现。所述系统的这些模块的功能可以仅通过硬件来实现，并且也可以以组合的形式来实现，其中系统模块的一些功能通过软件来实现，并且一些功能通过硬件来实现。在一些方面，部件、系统等中的一些或全部可以在通用计算机(诸如图7所示的通用计算机)的处理器上运行。此外，系统部件可以在单个计算设备内实现，或者也可以分散在多个互连的计算设备之间。

为了清楚简洁地描述本发明的教导，下面首先提供术语和技术概念的简要定义列表。

术语“控制对象”是指定向进行外部影响(控制和/或干扰)的技术对象以改变该对象的状态。在一个方面，对象是设备(例如，电动机)和/或技术过程(或技术过程的一部分)。

术语“技术过程(IP)”是指材料生产过程，包括材料实体(即劳动对象)状态的顺序变化。

“控制回路”由材料实体和控制功能组成，这些材料实体和控制功能是将测量的技术参数值自动调整为所需设置值所必需的。控制回路包含传感器、控制器和致动器。

“过程变量(PV)”是指所观察或控制的TP某一部分的当前测量值。技术参数可以是，例如，传感器的测量值。

“设定点”是指技术参数的支持值。

“操纵变量(MV)”是指经调整以将技术参数的值保持在设定点的层的参数。

术语“外部影响”是指改变定向进行影响的元件(例如，技术系统(TS)在某个方向上的元件)的状态的方式。以信号的形式传输从TS的一个元件到TS的另一元件的影响。

“控制对象的状态”是指控制对象的一组基本属性，其用状态参数表示。控制对象的状态在外部影响的影响下改变或保持，外部影响可包括来自控制子系统的控制动作。

“状态参数”是指表征对象的基本属性的一个或多个数值；在特殊情况下，状态参数包括物理量的数值。

“控制对象的规范状态”是指与技术地图和其他技术文档(如果控制对象是TP)或流量时间表(如果控制对象是设备)相对应的控制对象的状态。

“控制动作”是指控制子系统的主体对控制对象的有目的的(影响的目的是影响对象的状态)合法(由TP规定)外部影响，导致控制对象的状态改变或控制对象状态的保持。

“控制主体”是指将控制效果导向控制对象，或者在将控制效果直接导向对象之前，将控制效果转移到另一个控制主体以进行转换的设备。

“控制主体的状态”是其在外部影响的影响下改变或保持的一组基本属性，用状态参数表示。状态参数是用于表征主体的基本属性的一个或多个数值；在特殊情况下，状态参数可以包括物理量的数值。

控制主体的“基本属性”(或状态的基本参数)是对控制对象的状态有直接影响的属性。同时，控制对象的基本属性是对TS功能的受控因素(如准确性、安全性、效率)有直接影响的属性。例如，切割模式与规范指定模式的一致性、列车按照时间表的移动、将反应堆温度保持在可接受的限度内等。根据受控因素，选择控制主体的受控状态参数以及相应地控制主体的相关状态参数。控制主体对控制对象具有控制效果。

“多层管理子系统”是包括多个控制主体层的一组管理实体。

“信息系统(IS)”是一组计算设备和它们之间的通信装置。

“信息物理系统(CPS)”是指涉及将计算资源整合到物理过程中的信息技术概念。在这样的系统中，传感器、设备和信息系统连接在整个价值链中，这些价值链超越了单个企业或行业。这些系统使用标准的互联网协议相互通信，以预测、自我调整和适应变化。信息物理系统的示例有技术系统、物联网(包括可穿戴设备)和工业物联网。

物联网(IoT)是指配备了内置网络技术以相互交互或与外部环境交互的物理对象(“事物”)的计算网络。物联网包括如可穿戴设备、电子汽车系统、智能汽车、智能城市、工业系统等技术。

工业物联网(IIoT)由互联网连接设备和处理来自连接设备的数据的高级分析平台组成。IIoT设备的范围可能从小型天气传感器到复杂的工业机器人。尽管“工业”一词让人联想到如仓库、造船厂和生产大厅等的组织，但IIoT技术在各行各业都有巨大的应用潜力，包括农业、医疗保健、金融服务、零售和广告。工业物联网是物联网的子类别。

“对象”是指监控对象，特别是IS或CPS。

“技术系统(TS)”是多层控制子系统和控制对象(TP或设备)的一组功能上相互关联的控制实体，其通过管理主体状态的变化来实现控制对象状态的变化。技术系统的结构由技术系统的主要元件(多层管理子系统与控制对象的相互关联的控制主体)以及这些元件之间的连接形成。在技术系统中的控制对象是技术过程的情况下，管理的最终目标是通过改变控制对象的状态来改变劳动对象(原材料、坯料等)的状态。在技术系统中的控制对象是设备的情况下，控制的最终目的是改变设备(车辆、空间物体等)的状态。设备各元件的功能互连意味着这些元件的状态互连。在这种情况下，元件之间可能没有直接的物理连接，特别是致动器和技术操作之间没有物理连接。例如，切割速度在功能上与主轴速度相关，尽管这些状态参数在物理上并不相关。

“计算机攻击”(也称为网络攻击)是指通过软件和硬件手段对信息系统、信息和电信网络进行的有针对性的影响，目的是侵犯这些系统和网络中的信息安全。

异常可能发生，例如，由于计算机攻击，由于对设备或TP的操作的不正确或非法的人为干预，由于技术过程的故障或偏差(包括与模式改变的周期相关联的故障或偏差)，由于控制回路转移到手动模式或由于不正确的传感器读数，以及由于本领域已知的其他原因。异常可以由CPS的参数的偏差来表征。

异常的定位面积可以是异常观察的时间范围(时域)和/或异常发生的地点，也就是说，异常发生的CPS的元件或部分的指示(空间区域)，例如，异常发生时传感器或其坐标的指示。对于每个异常，在时间和/或空间上确定异常的定位面积。例如，为了确定定位的空间面积(即空间区域)，CPS可以根据以下被划分为不同的部分：属于不同的TP或其部分，属于CPS的不同物理或逻辑面积，以及其他标准。在一个方面，其他标准可以包括由CPS的操作者指定的标准。

图1A示出了根据本发明的各方面的技术系统100的示例。技术系统100包括元件110a和110b。元件110a包括控制对象110a，元件110b包括控制主体110b。控制对象110a、控制主体110b形成包括层1、2、…、M的多层管理子系统120。控制主体110a被分组为层140。各种元件通过水平连接130a和竖直连接130b互连。

图1B示出了根据本发明的各方面的技术系统100的实现的特定示例100’。因此，图1B中所示的示例100’是图1A中所示的技术系统的特定实现方式。控制对象110a’是TP或设备，控制动作指向由自动控制系统(ACS)120’生成和实现的控制对象110a’。ACS120’有三个层140’，其由控制主体110b’组成，控制主体110b’通过水平连接彼此水平互连和通过竖直连接130b’(层之间的连接)彼此竖直互连。值得注意的是，给定层内的水平连接未在图中显示，而是与图1B无关的部分。这些关系是功能性的，即，一般来说，在一个层的控制主体110b’状态的变化引起在该层和其他层的相关联的控制主体110b’的状态变化。关于控制主体110b’的状态变化的信息以信号的形式沿着在控制主体110b’之间建立的水平和竖直连接传输。即关于在控制实体110b’的考虑下主体的状态变化的信息是相对于其他控制主体110b’的外部影响。在ACS120’中，层140’是根据控制主体110b’的目的来分配的。层的数量可以根据ACS120’的复杂性而变化。简单的系统可以包含一个或多个较低的层。对于TS(110a、110b)的元件和TS100的子系统的物理通信，使用有线网络、无线网络、集成电路。以太网、工业网络、工业网络用于TS(110a、110b)的元件与TS100的子系统之间的逻辑通信。此外，使用各种类型和标准的工业网络和协议，例如，可以使用Profibus、FIP、ControlNet、Interbus-S、DeviceNet、P-NET、WorldFIP、LongWork、Modbus等。

ACS120’的上层是监控控制和数据采集(SCADA)层。因此，上层是调度操作者控制层，至少包括以下控制实体110b’：控制器、控制计算机、人机界面(HMI)。在图1B和图2中，控制器、控制计算机和HMI被描绘在一个SCADA控制实体内。上层被设计成监控元件(110a’、110b’)的状态，以获得和累积关于设备元件(110a’、110b’)状态的信息，并且在必要时设置它们。

ACS120’的中间层是控制器层(控制层)，至少包括以下控制主体110b’：可编程逻辑控制器(PLC)、计数器、继电器、调节器。“PLC”类型的控制主体110b’接收来自“控制和测量设备”类型的控制主体110b’和“传感器”类型的控制主体110b’的信息。所接收的信息是与控制对象110a’的状态相关联的信息。“PLC”类型的控制主体110b’根据编程控制算法对“执行机构”类型的控制主体110b’产生(形成)控制效果。执行机构例如通过致动器和调节器在较低层直接实施该控制动作(即，应用于控制对象)。致动器是执行装置(设备)的一部分。调节器，例如，比例积分微分(PID)控制器是反馈控制回路中的设备。

ACS120’的下层(输入/输出层)是控制主体110b’的层(例如传感器、控制控制对象110a’的状态的控制和测量设备(CMD)以及致动器)。致动器直接影响受控对象110a’的状态，以使其与规范状态一致；即与技术任务、技术地图或其他技术过程文档(在对象是TP的情况下)或流量时间表(在对象是设备的情况下，)相对应的状态。在较低层，来自“传感器”类型的控制主体110b’的信号与中间层的控制主体110b’的输入相协调，并且“PLC”类型的控制主体110b’与诸如实现它们的“致动器”之类的控制主体110b’相协调。致动器根据来自调节器或控制设备的信号移动被调节的部分(也称为调节体)。致动器是自动控制电路中的最后一个环节，通常由以下元件(如辅助设备)组成：

·放大装置(接触器、频率转换器、放大器等)；

·带反馈元件(输出轴位置传感器、末端位置信号发送器、手动驱动器等)的致动器(电动、气动、液压驱动的)；和

·调节体(阀、阀瓣、闸阀等)。

根据应用条件的不同，致动器的结构可以彼此不同。致动器的主要元件通常包括致动器和调节体。在一个示例中，执行对控制实体的致动的元件被简称为致动器。

值得注意的是，为了解决企业的规划和管理问题，使用自动化企业管理系统(AEMS)120a’，它是ACS120’的一部分。AEMS是一种应用程序软件包，可用于基于企业的需求在企业的IT基础设施上自动化软件任务。例如，任务可以用于管理客户界面、管理整个企业的资源、管理用于生产企业产品或用于提供服务的供应链等等。因此，本发明的ACS120’包括用于自动化企业的软件任务的AEMS应用程序。

图1C示出了根据本发明的各方面的示例性可穿戴设备上的物联网(IoT)组织的示例变型150。该技术系统包括用户的许多不同的计算机设备151。在用户的设备151中，例如可以有智能手机152，平板电脑153，笔记本电脑154，诸如增强现实眼镜155、“智能”手表156的可穿戴设备。用户的设备151包括许多不同的传感器157a-157n，例如心率监测器2001和计步器2003。

值得注意的是，传感器157a-157n可以位于用户的单个设备151上或多个设备上。此外，一些传感器157a-157n可以同时位于用户的多个设备151上。传感器157a-157n的一部分可以位于用户的多个设备151上。此外，传感器可以呈现为多个副本。例如，蓝牙模块可以位于用户的所有设备151上，智能手机152可以包括降噪和确定到声源的距离所必需的两个或更多个麦克风。

图1D示出了根据本发明的各方面的设备151的传感器的示例集合。在传感器157a-157n中，例如可以有以下传感器：

·心率监测器2001，其用于确定用户的脉搏率。在一个示例中，心率监测器2001可以包括电极并测量心电图；

·血氧饱和度传感器2002；

·计步器2003；

·指纹扫描传感器2004；

·手势识别传感器2005；

·相机2006，例如：指向用户眼睛的相机，用于确定用户眼睛的移动和/或通过眼睛的虹膜或视网膜验证用户的身份；指向用户设备周围环境的相机，等等；

·用户的体温传感器2007(例如，与用户身体直接接触的温度计或非接触式温度计)；

·麦克风2008；

·紫外线辐射传感器2009；

·地理定位系统接收器2010，例如GPS接收器、GLONASS、北斗、伽利略、DORIS、IRNSS、QZSS等；

·一个或多个无线通信模块(例如，GSM、LTE、NFC、蓝牙、Wi-Fi等)2011；

·环境温度传感器2012；

·气压计2013；

·地磁传感器2014(电子罗盘)；

·湿度传感器2015；

·光传感器2016；

·接近度传感器2017；

·图像深度传感器2018；

·加速度计2019；

·陀螺仪2020；

·霍尔效应传感器2021(磁场传感器)；和

·剂量计-辐射计2022。

图2示出了根据本发明的各方面的信息物理系统(CPS)200的示例210和用于检测CPS200中的异常的系统500。CPS200具有某些特性。用于检测异常的系统500也可以被称为数据处理流水线500。为了便于理解，CPS200以简化的形式呈现。CPS200的示例是前面描述的技术系统(TS)100(见图1A-图1B)、物联网(见图1C-图1D)、工业物联网、IP。为了清楚起见，进一步在本发明中，TS将被描述为CPS200的示例性实现方式。如上结合图1A-图1B的描述所述，CPS200包括多个控制实体，例如传感器、致动器、PID控制器等。所述控制实体的数据以原始形式传输到PLC。模拟信号可以用于传输数据。PLC执行数据处理和从模拟到数字形式的数据转换，从而将模拟信息转换为CPS的参数的值，包括CPS的技术参数的值(即转换为CPS200的遥测数据)，以及转换为事件(例如，特定传感器的激活、传感器警报的触发、各个命令的调用等)。CPS的参数值然后被传输到SCADA 110b’系统和用于检测CPS中的异常的系统500，如图2所示。

CPS的异常检测系统500包括异常检测器300(也称为异常检测模块，以下称为检测器)。图3示出了根据本发明的各方面的异常检测器300的示例。

异常检测器300用于检测CPS200中的异常，以及确定关于检测到的异常的相关信息。在一个示例中，CPS200中的异常信息包括关于异常的信息，例如异常的定位面积、异常观察的时间范围中的每个点处的CPS的参数值、CPS的每个参数对异常的贡献、关于检测所述异常的方法(即，关于检测器300)的信息。

在另一个方面，对于CPS的每个参数，CPS200中的异常信息还包括以下中的至少一者：值的时间序列、预测值与实际值的偏差的当前值、预测值与实际值的偏差的平滑值。

在另一个方面，关于CPS200中的异常的信息还包括以下中的一者或多者的信息：CPS的最大参数值、CPS的最小参数值、和在异常时段期间获取的CPS的平均参数值；以及其他统计和确定性特性，包括样本方差和分位数、傅立叶谱和变换的小波、来自CPS的参数的卷积算子。

在一个方面，异常检测器300可以是用于确定CPS中的异常的系统和方法301(先前在美国专利11,175,976和11,494,252中描述，并通过引用并入本文)，其通过预测CPS的参数的子集的值来确定异常。注意，在美国专利11,175,976和11,494,252中，术语“CPS特征”用于对应于本发明的CPS的参数。然后，本发明的方法可以用于确定CPS的参数的子集的总预测误差，确定所确定的总预测错误是否超过阈值，当超过阈值时，确定在CPS200中检测到异常。

此外，在一个方面，本发明的方法还包括将CPS的参数的子集对总预测误差的贡献确定为CPS的相应参数的预测误差对总预测误差的贡献。

在一个方面，异常检测器300可以包括基础模型的模块302，该模块被设计成应用经训练的机器学习模型来根据CPS的参数的子集的值检测异常(以下称为基础模型)。在这种情况下，可以基于来自训练样本的数据来训练基础模型，该训练样本可以包括也可以不包括CPS200中的已知异常。训练样本还可以包括在一段时间内的CPS的参数的子集的值，也就是说，可以使用监督驱动的机器学习模型。此外，无监督的机器学习模型可以用作基础模型。为了提高基础模型的质量，可以分别在测试样本和验证样本上测试和验证经训练的基础模型。在这种情况下，测试样本和验证样本可以包括在CPS200中的已知异常之前的特定时间段内的已知异常和CPS的参数的子集的值，但是不同于训练样本。

在另一个方面，异常检测器300可以包括基于规则的确定模块303，用于确定异常确定规则。这样的规则可以是预先形成的并且通过反馈接口从CPS操作者获得，并且可以包括应用于在其处确定异常的CPS的参数的子集的值的条件。

在又一个方面，异常检测器300可以包括基于极限值的确定模块304，其在来自CPS的参数的子集的CPS的至少一个参数的值已经超过CPS的所述参数的预定值范围时确定异常，其中所述值范围可以根据CPS200的特性值或文档来计算，或者可以通过反馈接口从CPS操作者获得。

在又一个方面，异常检测器300可以包括诊断规则模块305，其可以用于通过指定在诊断规则中使用的CPS的参数集合来形成诊断规则。诊断规则模块305可以计算CPS辅助参数的值，根据形成的诊断规则来使用CPS的给定参数集合。由此，诊断规则模块305基于CPS的所有参数值来确定CPS200中的异常。

在另一个方面，异常检测器300可以包括图形界面系统，用于由CPS操作者手动确定异常。在美国专利No.11,175,976中描述了这种用于手动确定异常的方法。一旦确定了异常，就可以通过反馈接口传输关于异常的信息。

图4示出了根据本发明的各方面的用于检测CPS200中的异常的系统400的示例。为了清楚起见，图4还显示了数据处理流水线500。在一个方面，CPS 200的数据可以实时收集，数据可以从文件(例如，“csv”格式)或数据库读取，或者数据可以从第三方应用程序获得。该数据可以被表示为CPS的参数401a的列表。CPS的参数401a的列表和CPS的所述参数的测量值401(例如，以“CPS的参数的时间戳值”的格式)存储在数据存储器410中。在一个方面，时间戳可以对应于CPS的该参数的实际测量时间、存储时间或采样时间。因此，由于数据传输中的延迟，例如由于数据传输负载重或其他原因，数据收集器402获取数据的实际时间可能与时间戳中指示的时间不同。此外，时间戳可以对应于获得CPS的参数值的时间。在另一个方面，时间戳是CPS的参数值被写入数据存储器410的时间。

在一个方面，CPS的参数值401包括以下值中的至少一者：

·传感器测量值；

·致动器的受控参数的值；

·执行机构的设定点；

·比例积分微分调节器(PID调节器)的输入值；以及

·PID控制器的输出信号的值。

在一个方面，CPS200的数据(即，CPS的参数值401)以以下可能的方式之一来收集：

·与CPS的参数401a的指示同时从整个CPS200来收集；

·作为来自CPS200的独立部分的多个独立数据流来收集，这些独立部分指示每个数据流中包含的CPS的参数401a。

在通过数据收集器402获得CPS的参数值401之后，系统400可以创建在该数据中表示的CPS的参数的寄存器，之后该信息可以由生成器403接收，生成器403被配置为：

a)从CPS的参数401a生成CPS的参数的子集411，其中这些子集411存储在数据存储器410中；

b)针对CPS的参数的子集411中的每一个子集从检测器412的列表中选择检测器，其中检测器412的列表包括图3中所示的检测器300的一部分或全部，并且包含在数据存储器410中；以及

c)为所选择的检测器300选择预处理单元和后处理单元。

值得注意的是，所有子集411一起形成CPS的所有参数的集合。还值得注意的是，这些子集411可以重合、交叉或不交叉。在一个方面，CPS的一些参数可以不包括在任何子集411中。在这种情况下，除了那些不包括在任何子集411中的参数之外，所有子集411一起形成CPS的所有参数的集合。

值得注意的是，数据存储器410旨在既用于存储数据，也用于提供对数据的访问，数据包括所获得的CPS的参数值401、所生成的CPS的参数的子集411、和检测器412的列表。此外，可以预先设置检测器412的数量。

在一个方面，预处理单元501被配置为在传输到相应的异常检测器300(例如，包括图5的预处理单元的组合处理单元)之前处理CPS的参数的每个子集411。每个异常检测器300对应于来自一个或多个块的预处理单元501的集合。每个后处理单元502被设计成在将相应异常检测器300的输出传输到合并工具404(在图5中更详细地示出)之前对其进行处理。每个异常检测器300对应于来自一个或多个块的其自己的后处理单元502的集合。CPS的参数401a根据一定的原理(例如，根据子集的特性(根据属于特定类型的设备))，根据物理意义(通过属于相同的物理过程，通过CPS的相同类型的物理参数，例如温度或压力，对TP的危险情况等)，被划分为CPS的参数的子集411。

在一个方面，选择CPS的参数的子集411时考虑该子集的以下特性中的至少一者：

·CPS参数对TP的重要性；

·CPS的参数属于特定类型的设备；

·属于一个物理(化学或其他)TP；以及

·CPS的物理参数在子集(温度、压力等)中的一致性。

为了更加清楚，下文描述了为CPS的参数的子集411选择异常检测器300、为数据处理流水线500选择数据流水线块、以及合并工具404的结果。

选择异常检测器300

对于CPS的参数的子集411中的每一个子集，异常检测器300的选择是在考虑这种异常检测器300的特性和由该异常检测器300确定异常所使用的CPS的参数的子集411的特性的情况下进行的。因此，对于CPS的参数的给定子集411，可以基于以下考虑中的至少一者来选择异常检测器300：该异常检测器300针对CPS的参数的该子集411确定异常的准确性和完整性、异常检测器300对CPS的参数的该子集411的性能、CPS的参数的子集411的专家知识(如果该子集的CPS的参数与特定TP、设备类型等相关)等。

在一个方面，特别是考虑以下中的至少一者来选择异常检测器300和CPS的参数的相应子集411：

·CPS200的特性；

·来自CPS的参数的子集411的CPS参数401a的列表；以及

·数据的类型和量。

在又一个方面，当选择异常检测器300和CPS的参数的相应子集411时，还考虑CPS的参数值。

因此，对于以快速时间过程(约1-10ms)操作的CPS200，例如，对于电气设备来说，及时检测异常变得至关重要，这反过来又对异常检测器处理的来自CPS的参数的子集411的参数的数量以及异常检测器本身的选择(这里优先考虑阈值检测器或基于简单诊断规则的检测器)施加了严重限制。相反，对于具有大量参数(从1000-10000个)和约1-10分钟的反应时间的石化工业的缓慢流动的惰性过程特性，子集411被选择为由CPS的参数组成，该CPS的参数覆盖x个特定的CPS设置(例如大气或真空柱)，并且包含数百个这样的CPS参数。作为这样的子集411的异常检测器，通常，考虑到在这样的装置或CPS中正在进行的过程的复杂性，采用经训练的统计或神经网络模型。

在另一个方面，特别是考虑与异常检测器300相关联的以下特性中的至少一者来选择异常检测器300和CPS的参数的相应子集411：

·质量度量；

·接受者操作特性(ROC)曲线分析结果；

·运行时间；以及

·计算机所使用的资源量。

在又一个方面，与异常检测器300相关联的特性包括异常检测器300的性能，例如，内存量、处理器时间、计算机的处理器核的数量、通过网络连接并参与方法的实施的计算机的数量等)。

选择数据处理流水线块

图5示出了根据本发明的各方面的数据处理流水线500的示例。处理流水线500包括一组预处理单元501、异常检测器300、和后处理单元502。

流水线500的块、特别是预处理单元501和后处理单元502，是在计算机处理器上实现的能够执行给定功能的功能模块(见图7中的示例)。每个选择的异常检测器300具有其自己的一组预处理单元501和后处理单元502。例如，关于预处理单元501和后处理单元502的信息可以包含在检测器412的列表中或数据存储器410中的单独列表中。预处理单元501用于处理来自为异常检测器300选择并从生成器403接收的CPS的参数的子集411的数据，或者处理从其他预处理单元501接收的数据。最后一个预处理单元501的数据被传输到检测器单元300。后处理单元502的块用于处理相应异常检测器300的输出(即，关于检测到的异常的信息)。最后一个后处理单元将处理后的数据传输到合并工具404。

为了处理输入数据流，可以使用以下预处理单元501：对准单元和时间对准单元、数据过滤单元、均匀网格数据插值单元、数据标准化和重新打包单元、以及其它单元，而对于后处理单元502，通常将关于所发现的异常的信息变成某种预先批准的统一形式以便于它们的进一步合并。

预处理单元501和后处理单元502的选择取决于异常检测器300的选择和关于发现的异常的期望输出信息。

在一个方面，在将所选择的数据传输到异常检测器300之前，预处理单元501对数据进行进一步处理，包括以下步骤中的至少一者：

·使用预定长度(例如，Δt)的时间缓冲器进行数据缓冲；

·过滤(删除)无效数据或延迟大于预定时间长度(例如，Δt)的数据；

·基于获得CPS的参数401的值的时间点的重新排序；

·填补CPS的参数401的值的空白；

·插值到统一网格；

·CPS的参数401的值的标准化；以及

·重新打包CPS的参数401的值以供异常检测器300处理。

在测试之后，异常检测器300，无论其类型如何，都可以包括：关于异常的信息(以及异常的特性)，例如用于观察异常的时间间隔、CPS的每个参数对异常的贡献；关于检测到异常的异常检测器300的信息、检测到的异常列表、异常时间间隔的每个时刻的CPS的参数401的值等。此外，可以计算异常特性的扩展集合，并且在后处理单元502中进行这样的计算。后处理单元502可以包括：用于评估异常、特别是缺陷的危险的块，用于确定这种异常的类型和这种异常的大小的块、用于标准化和统一关于异常的输出信息的块、以及其他块。应当注意，如果不可能计算特定异常检测器300中的异常的任何特性，则输出信息标准化单元将该特性强制设置为某个预先选择的值。

在一个方面，可以计算与识别异常的异常检测器300相关联的异常的其他特性，例如，以下特性：

·异常检测器300检测到的异常的危险等级、其类型、尺寸和异常的其他类似特性；

·异常检测器300确定异常的概率；

·CPS的参数的预测值与其真实值或默认值的偏差值、与设定点的偏差值、在该异常检测器300中使用的CPS的单个参数和CPS的参数的整个集合的均方根(RMS)偏差；

·CPS的参数的观察值与某些预定限值的偏差的最大值或平均值、这种偏差的持续时间和频率；以及

·该异常检测器300在检测异常方面的性能，例如，内存量、CPU时间、计算机的处理器核的数量、通过网络连接并参与方法的实施的计算机的数量等)。

使用数据处理流水线500的数据处理

在形成CPS的参数的子集411、检测器412的列表、以及预处理块501和后处理单元502的之后，异常确定系统的操作如下。首先，根据将CPS的参数401分为CPS的参数的子集411，将来自数据收集器402的数据划分为并行流(没有重复)，然后将每个子集411导向到相应的一个或多个预处理单元501，以准备数据以供适当的异常检测器300处理。所准备的数据然后由所述异常检测器300处理，这产生异常流和其他相关信息，例如异常的概率、异常的危险等级、空间和时间尺寸、检测方法、以及由异常检测器300确定的其他信息。然后，该异常流和其他相关信息由后处理单元502处理，以将该流变成对于所有异常检测器300相同的统一形式。因此，事实上，存在一组并行分支用于处理数据流水线500的子集，每个单独的分支处理自己的数据子集，并具有其自己的工具来准备这些数据，从而识别异常并将其变成统一形式。因此，每个流水线分支是被设计成处理单个数据流的模块组(或集合)，由异常检测器300、相应的预处理单元501和相应的后处理单元502组成。

值得注意的是，流水线500的各个分支对CPS的传入参数集的处理在时间上通常是不均匀的，因此来自一些分支的异常数据相对于其他分支可能具有长延迟。为了排除合并工具404将在没有来自流水线500的任何分支的信息的情况下操作的情况，可以使用合并工具404中包括的异常流的缓冲。这种缓冲类似于进入各个分支的CPS的这些参数的缓冲。

如图5所示，数据是从数据源(例如，从CPS200)获得的，然后由数据收集器402和生成器403(也参见图4，元件“402-403”)处理并形成CPS的参数的子集411，并且针对每个子集411从检测器412的列表中选择异常检测器300。处理后的数据被进一步分叉成流水线500的p个分支，每个分支传输相应的子集411。因此，流水线500的1号分支接收1号子集，并利用(1,1)-(1,n₁)号预处理块来处理接收到的子集，然后通过1号异常检测器执行异常检测，并且利用(1,1)-(1,m₁)号后处理块来进行后处理。一旦处理了流水线500的所有分支，则将来自流水线500的范围从1号分支到p号分支的所有分支的处理后的数据传输到合并工具404。

通过合并工具进行处理并获得合并结果

合并工具404用于通过从所选择的异常检测器300接收的合并结果(即，数据融合或数据兼并)来检测CPS200中的组合异常(也是复合/结果异常)。合并工具404从数据处理流水线500的所有分支收集所有识别的异常，这些异常以某种通用和预定的形式呈现。这种类型可以由TP的特点和在其中检测到的异常、确定异常的可用方法的特点、数据的特性等决定。因此，对于上面的示例，关于来自每种无损检测方法的异常的管道内诊断信息具有以下形式：缺陷的范围(局部面积)、缺陷的类型、缺陷的尺寸和控制类型。

在收集从所有选择的异常检测器300获得的结果、即在特定时间内关于异常检测器300检测到的所有异常的所有信息之后，合并404进行以下操作中的至少一者：

·组合来自各个异常检测器300的异常定位区域，以定位共同异常，其中所述区域标识(定位)空间(指示异常发生的CPS的元件或部分)和/或时间(异常的观察时间范围)中的异常；

·分析特定异常检测器300对组合异常的贡献；以及

·使用从每个异常检测器300获得的异常的特性和关于其贡献的信息、即基于组合异常的定位区域和CPS的所有参数值，来计算组合异常的预定特性。

组合异常的区域或时间戳是基于由一个或另一个异常检测器300标记为异常的空间或时间区域的分析进行的。因此，当满足以下条件中的至少一者时，可以将从不同异常检测器300获得的异常区域组合成组合异常的一个共同区域(也是组合异常的定位区域)：

·如果上述区域的空间或时间交叉超过组合区域的一定百分比；

·如果各个区域的中心位于某个空间或时间范围内；以及

·如果经专门训练的神经网络将这些区域标记为与单个组合异常、特别是组合缺陷相关。

值得注意的是，在组合来自各种异常检测器300的异常的阶段，将获得三种类型的异常，即，通过组合来自所有异常检测器300的区域而获得的异常、通过组合仅来自异常检测器300的一部分的区域而获得的异常、以及仅由异常检测器300之一获得的异常。组合步骤之后的所有这些异常也被称为组合异常，即使这些异常是最后一种类型的异常。

值得注意的是，如果异常检测器300检测到的异常的空间和/或时间区域根据上述条件之一而显著不同，则这些异常将不会被组合成一个组合异常，而是将被视为单独的异常。例如，异常可能发生在CPS200的不同TP或不同部分中。例如，异常可能发生在不同的TP或CPS200的不同部分中，也就是说，异常的空间区域的差异。在另一个示例中，异常可能以显著的时间差异发生，这也指示这些异常是CPS200的一个部分的不同异常。在另一个示例中，异常可以发生，并且可以由不同位置的异常检测器300检测到，并且具有大的时间差异，这也指示时间和空间上的不同异常。

在获得组合异常的定位区域之后，分析某些异常检测器300对该组合异常的贡献。因此，引入了与异常检测器300的总数相对应的特征向量，并且某一异常检测器300的贡献通过由该异常检测器300获得的异常的空间或时间区域对组合异常的贡献计算的数量，或者通过该异常的中心和组合异常的接近程度，或者通过使用评估这种贡献的预训练的神经网络来表示。注意，在形成中不存在特定异常检测器300的组合异常的情况下，其贡献被设置为零。还要注意，如果对于其中特定异常检测器300检测到异常的CPS200中的给定TP，存在关于所述检测器的可靠性或关键性程度的信息，则该异常检测器300的贡献改变，例如显著增加或减少。

在计算每个异常检测器300对组合异常的贡献之后，基于组合异常的定位区域和包括在流水线500的CPS的参数的所有子集中的CPS的所有参数的值来计算组合异常的预定特性。这种表征的示例在美国专利申请No.17/973,796中有所描述，并且可以仅基于异常的CPS的参数的局部数据，考虑异常检测器300对该异常的贡献的向量，考虑从每个异常检测器300获得的异常的特性或者以前述的任何组合来执行。值得注意的是，在同一阶段，如有必要，利用预定特性过滤异常，或者仅由一个异常检测器300确定异常，或者由预先训练的神经网络确定异常，或者根据某些预先选择的规则集来过滤异常。

因此，在合并工具404的输出处，TP操作者接收一组具有其计算出的特性的组合异常，这些特性可以包括异常的概率、其危险等级、空间和时间尺寸、检测方法或方法等。

以下是一个示例，其中基于极限值304的定义模块的使用可以应用于对特定TP至关重要的CPS的那些参数，以便隔离关键异常(第一子集)。在这种情况下，CPS的其余参数(第二子集)将以另一种方式进行分析，例如通过用于确定异常的系统和方法301来进行分析。在这种情况下，合并工具404具有关于检测异常的方法的信息，并且当检测到异常时，模块304仅确定具有某种概率和危险等级(例如，“第二”危险等级的80％)的组合异常。相反，当两个异常检测器300都检测到异常，同时确定具有较高概率和较大危险等级(例如，“第一”危险等级的90％-100％的概率)的组合异常时，随后基于阈值信息隔离关键异常并将其发送给CPS的操作者。

另一个示例是当CPS的参数401a根据特定原理被划分为CPS的参数的子集411时。对于CPS的参数的每个子集411，选择它们各自的异常检测器300。然后，数据处理流水线500的每个分支分别确定和评估发现的异常的概率和关键性层次，并将该信息发送到合并工具404。值得注意的是，由CPS的参数401a和CPS的参数的每个子集411确定的异常的关键性层次可以例如通过以下来设置：CPS的操作者通过反馈接口，使用预先训练的机器学习模型来评估关键性层次，或者使用关于先前定义的异常的统计数据。

合并工具404通过评估相应异常区域的中心的接近度，然后计算异常的概率和危险等级，特别是通过加权平均用于确定相应异常的所有方法(即检测器300)中的关键性和概率，来组合从所选异常检测器300获得的结果、即获得的所有异常。在求平均中，使用与通过一种或另一种方式检测到给定异常(值1)或未检测到异常(值0)相对应的向量。在这种情况下，如果异常的总概率超过指定阈值(例如，大于0.5)，则确认异常，否则不确认异常并将其过滤掉。

图6示出了根据本发明的各方面的用于检测异常(例如，在CPS或IS中的异常)的示例性方法600。

在步骤601中，对于CPS的参数401a的列表，方法600收集包含CPS的参数值401的数据。

在步骤602中，方法600根据收集的数据生成CPS的参数的至少两个子集411。

在步骤603中，方法600从检测器412的列表中选择至少两个异常检测器300，并为每个选择的异常检测器300选择CPS的参数的至少一个相应的子集411。

在步骤604中，方法600预处理CPS的参数的每个子集411，并将预处理的输出传输到相应的异常检测器300。

在步骤605中，对于每个预处理后的CPS的参数的子集411，方法600分别使用相应的异常检测器300来检测数据中的异常。

在步骤606中，使用合并工具404，方法600通过组合和处理从所选择的至少两个异常检测器300获得的结果来检测CPS中的组合异常。

值得注意的是，对于CPS的参数的每个子集411，步骤604和605可以并行进行。例如，异常检测器300中的一个可以在一毫秒内预检测到异常，并将结果传输到合并工具404，而第二检测器可能需要一秒钟来预检测到异常。先前在图2-图5中呈现的特定方面也适用于图6的方法。

在一个方面，方法600还包括对来自每个所选择的异常检测器的检测到的异常进行后处理；以及组合经后处理的检测到的异常。

在一个方面中，选择至少两个异常检测器，并为每个所选择的异常检测器选择CPS的参数的至少一个相应的子集基于以下中的至少一者来执行：所述CPS的特性；所述CPS的参数列表及其来自所述CPS的参数的子集的值；以及所收集的数据的类型和所收集的数据的量。

在一个方面，选择至少两个异常检测器，并为每个所选择的异常检测器选择CPS的参数的至少一个相应的子集基于以下中的至少一者来执行：质量度量；接收者操作特性(ROC)曲线分析结果；执行时间；以及执行异常检测的计算机所使用的资源量。

在一个方面，预处理CPS的参数的子集包括以下中的至少一者：用预定长度的时间缓冲器进行数据缓冲；过滤无效数据或以大于预定时间长度的延迟到达的数据；基于获得所述CPS的参数值的时间点进行重新排序；填补所述CPS的参数值中的空白；插值到均匀网格；标准化所述CPS的参数值；以及重新打包所述CPS的参数值以供所述异常检测器处理。

在一个方面，所述至少两个异常检测器中的检测器通过以下中的至少一者来检测异常：当预测误差超过预定阈值时检测异常，其中，所述预测误差通过预测所述CPS的参数值来计算，然后确定所述CPS的参数值的总预测误差；通过基于所述CPS的参数值应用机器学习模型来检测异常；当应用用于检测异常的规则时检测异常；以及通过将所述CPS的参数值与为各个参数建立的值范围中的极限值进行比较来检测异常。

在一个方面，所述CPS的至少一个参数值包括以下中的至少一者：传感器测量值；致动器的受控参数的值；执行机构的设定点；比例积分微分(PID)调节器的至少一个输入信号的值；以及PID控制器的输出信号的值。

在一个方面，所述CPS的参数值以与所述CPS的参数的指示相同的时间间隔从所述CPS收集，或者以指示每个流中包含的参数的所述CPS的参数值的多个单独通量的形式从所述CPS的指示部分收集。

在一个方面，从所选择的至少两个异常检测器获得的结果以以下方式中的至少一者组合：通过组合来自各个异常检测器的异常定位区域(例如定位公共异常)，其中，所述区域确定空间和/或时间上的异常；通过分析每个检测器对所述组合异常的贡献；以及通过使用从每个检测器获得的异常的特性和关于对所述组合异常的相应贡献的信息来计算所述组合异常的预定特性。

在一个方面，组合所述异常定位区域通过以下来执行：确定空间或时间区域超过组合区域的预定百分比时；确定异常定位区域的中心位于特定空间或时间区域中时；以及确定经训练的神经网络将所述区域识别为属于组合异常的区域时。

在一个方面，通过设置与异常检测器的总数相对应的特征向量，以及通过执行以下动作中的至少一者来确定特定异常检测器对所述组合异常的贡献：将特定异常对组合异常的贡献等同于根据由所述特定检测器获得的异常的空间或时间区域对所述组合异常的贡献计算的数量；通过与所述组合异常的中心的接近程度来确定所述特定异常的贡献；通过应用评估贡献的预训练的神经网络来确定所述特定异常的贡献；当形成中不存在特定检测器的组合异常时，将贡献设置为零；以及当针对其中特定检测器检测到异常的所述CPS的技术过程(TP)存在所述特定检测器的可靠性或关键性的程度的信息时，基于关于所述可靠性或关键性的程度的信息来改变所述检测器的贡献。

在一个方面，在每个所选择的异常检测器识别出至少一个异常后，对输出数据进行进一步的后处理，其中，所述后处理包括：计算一组扩展的异常特性，包括异常危险评估；确定异常的类型和大小；标准化和统一关于异常的输出信息；以及通过组合从所选择的检测器获得的结果来检测组合异常。

在一个方面，当计算异常的特性不可行或不可能时，为不对其执行所述计算的异常的特性设置预定值。

在一个方面，计算与检测到异常的检测器相关联的异常的以下特性中的至少一者：所述异常的危险等级、所述异常的类型和大小；所述异常检测器检测到异常的概率；所述CPS的预测参数值与真值或默认值的偏差值、与设定值的指定偏差值、在所述异常检测器中使用的所述CPS的参数中的至少一些参数的偏差的测量值的均方根值；所述CPS的参数的观察值与特定预定极限的偏差的最大值或平均值、指定偏差的持续时间和频率；以及检测器在检测异常方面的性能。

在一个方面，为CPS的参数的特定子集选择异常检测器，使得：根据异常检测器对CPS的参数的特定子集的预定性能，或者根据关于CPS的参数的子集的专家知识，所选择的异常检测器为所述特定子集的异常检测提供预定的准确性和完整性。

在一个方面，所述CPS的参数的子集是根据所述子集的以下特性中的至少一者来选择的：所述CPS的参数对技术过程的重要性；所述CPS的参数与特定类型的设备相关联；所述CPS的参数属于一个技术过程；以及基于子集中所述CPS的物理参数的一致性。

图7是示出计算机系统20的框图，用于检测信息物理系统中的异常的系统和方法的各方面可以在计算机系统20上实现。计算机系统20可以是多个计算设备的形式，或者是单个计算设备的形式，例如台式电脑、笔记本电脑、手提电脑、移动计算设备、智能手机、平板电脑、服务器、主机、嵌入式设备和其它形式的计算设备。

如图所示，计算机系统20包括中央处理单元(Central Processing Unit，CPU)21、系统存储器22和连接各种系统部件的系统总线23，各种系统部件包括与中央处理单元21相关联的存储器。系统总线23可以包括总线存储器或总线存储器控制器、外围总线、以及能够与任何其它的总线架构交互的本地总线。总线的示例可以包括PCI、ISA、串行总线(PCI-Express)、超传输^TM(HyperTransport^TM)、无限带宽^TM(InfiniBand^TM)、串行ATA、I²C、和其它合适的互连。中央处理单元21(也称为处理器)可以包括单组或多组具有单核或多核的处理器。处理器21可以执行实现本发明的技术的一种或多种计算机可执行代码。系统存储器22可以为用于存储本文中所使用的数据和/或由处理器21可执行的计算机程序的任何存储器。系统存储器22可以包括易失性存储器(诸如随机存取存储器(Random Access Memory，RAM)25)和非易失性存储器(诸如只读存储器(Read-Only Memory，ROM)24、闪存等)或其任意组合。基本输入/输出系统(Basic Input/Output System，BIOS)26可以存储用于在计算机系统20的元件之间传输信息的基本程序，例如在使用ROM 24加载操作系统时的那些基本程序。

计算机系统20可以包括一个或多个存储设备，诸如一个或多个可移除存储设备27、一个或多个不可移除存储设备28、或其组合。所述一个或多个可移除存储设备27和一个或多个不可移除存储设备28借助存储器接口32连接到系统总线23。在一个方面，存储设备和相应的计算机可读存储介质为用于存储计算机指令、数据结构、程序模块、和计算机系统20的其它数据的电源独立的模块。系统存储器22、可移除存储设备27和不可移除存储设备28可以使用各种各样的计算机可读存储介质。计算机可读存储介质的示例包括：机器存储器，诸如缓存、SRAM、DRAM、零电容RAM、双晶体管RAM、eDRAM、EDO RAM、DDR RAM、EEPROM、NRAM、RRAM、SONOS、PRAM；闪存或其它存储技术，诸如在固态驱动器(Solid State Drive，SSD)或闪存驱动器中；磁带盒、磁带、和磁盘存储器，诸如在硬盘驱动器或软盘中；光学存储器，诸如在光盘(CD-ROM)或数字通用光盘(Digital Versatile Disk，DVD)中；以及可用于存储期望数据且可被计算机系统20访问的任何其它介质。

计算机系统20的系统存储器22、可移除存储设备27和不可移除存储设备28可以用于存储操作系统35、附加应用程序37、其它程序模块38和程序数据39。计算机系统20可以包括用于传送来自输入设备40的数据的外围接口46，所述输入设备40诸如键盘、鼠标、光笔、游戏控制器、语音输入设备、触点输入设备、或其它外围设备，诸如借助一个或多个I/O端口的打印机或扫描仪，该一个或多个I/O端口诸如串行端口、并行端口、通用串行总线(Universal Serial Bus，USB)、或其它外围接口。显示设备47(诸如一个或多个监控器、投影仪或集成显示器)也可以通过输出接口48(诸如视频适配器)连接到系统总线23。除了显示设备47之外，计算机系统20还可以装配有其它外围输出设备(未示出)，诸如扬声器和其它视听设备。

计算机系统20可以使用与一个或多个远程计算机49的网络连接而在网络环境中工作。所述一个或多个远程计算机49可以为本地计算机工作站或服务器，其包括前面在描述计算机系统20的性质时所述的元件中的大多数元件或全部元件。其它设备也可以存在于计算机网络中，诸如但不限于路由器、网站、对等设备或其它网络节点。计算机系统20可以包括用于借助一个或多个网络而与远程计算机49通信的一个或多个网络接口51或网络适配器，该一个或多个网络诸如局域计算机网络(Local-Area computer Network，LAN)50、广域计算机网络(Wide-Area computer Network，WAN)、内联网、和因特网。网络接口51的示例可以包括以太网接口、帧中继接口、SONET(同步光纤网)接口、和无线接口。

本发明的各个方面可以为系统、方法和/或计算机程序产品。计算机程序产品可以包括一种或多种计算机可读存储介质，该计算机可读存储介质上具有用于使处理器执行本发明的各方面的计算机可读程序指令。

计算机可读存储介质可以为有形设备，该有形设备可以保持且存储指令或数据结构的形式的程序代码，该程序代码可以被计算设备(诸如计算系统20)的处理器访问。计算机可读存储介质可以为电子存储设备、磁性存储设备、光学存储设备、电磁存储设备、半导体存储设备、或其任何合适的组合。作为示例，这类计算机可读存储介质可以包括随机存取存储器(RAM)、只读存储器(ROM)、电可擦可编程只读存储器(EEPROM)、便携式光盘只读存储器(CD-ROM)、数字通用光盘(DVD)、闪存、硬盘、便携式电脑磁盘、记忆棒、软盘、或甚至机械编码设备，诸如在其上记录有指令的凹槽中的打孔卡或凸起结构。如在本文中所使用的，计算机可读存储介质不应被视为暂时性信号本身，暂时性信号诸如无线电波或其它自由传播的电磁波、通过波导或传输介质传播的电磁波、或通过电线传输的电信号。

可以将本文中所描述的计算机可读程序指令从计算机可读存储介质下载到相应的计算设备、或借助网络(例如，因特网、局域网、广域网和/或无线网络)下载到外部计算机或外部存储设备。该网络可以包括铜传输电缆、光学传输光纤、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。在每个计算设备中的网络接口从网络接收计算机可读程序指令并转发该计算机可读程序指令，用以存储在相应的计算设备内的计算机可读存储介质中。

用于执行本发明的操作的计算机可读程序指令可以为汇编指令、指令集架构(Instruction-Set-Architecture，ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或以一种或多种编程语言(包括面向对象的编程语言和传统程序化编程语言)的任何组合编写的源代码或目标代码。计算机可读程序指令(作为独立的软件包)可以完全地在用户的计算机上、部分地在用户的计算机上、部分地在用户的计算机上且部分地在远程计算机上、或完全地在远程计算机或服务器上执行。在后一种情况中，远程计算机可以通过任何类型的网络(包括LAN或WAN)连接到用户的计算机，或可以进行与外部计算机的连接(例如通过因特网)。在一些方面，电子电路(包括例如可编程逻辑电路、现场可编程门阵列(FPGA)、或可编程逻辑阵列(Programmable Logic Array，PLA))可以通过利用计算机可读程序指令的状态信息而执行计算机可读程序指令，以使该电子电路个性化，从而执行本发明的各方面。

在各个方面中，本发明中所描述的系统和方法可以按照模块来处理。如本文中所使用的术语“模块”指的是例如现实世界的设备、部件、或使用硬件(例如通过专用集成电路(ASIC)或FPGA)实现的部件的布置，或者指的是硬件和软件的组合，例如通过微处理器系统和实现模块功能的指令集(该指令集在被执行时将微处理器系统转换成专用设备)来实现这样的组合。一个模块还可以被实施为两个模块的组合，其中单独地通过硬件促进某些功能，并且通过硬件和软件的组合促进其它功能。在某些实现方式中，模块的至少一部分(以及在一些情况下，模块的全部)可以在计算机系统(诸如上文在图7中更详细描述的计算机系统)的处理器上运行。因此，每个模块可以以各种适合的配置来实现，而不应受限于本文中所例示的任何特定的实现方式。

为了清楚起见，本文中没有公开各个方面的所有例行特征。应当领会的是，在本发明的任何实际的实现方式的开发中，必须做出许多特定实现方式的决定，以便实现开发者的特定目标，并且这些特定目标将对于不同的实现方式和不同的开发者变化。应当理解的是，这种开发努力会是复杂的且费时的，但对于了解本发明的优点的本领域的普通技术人员来说仍然是工程的例行任务。

此外，应当理解的是，本文中所使用的措辞或术语出于描述而非限制的目的，从而本说明书的术语或措辞应当由本领域技术人员根据本文中所提出的教导和指导结合(一个或多个)相关领域技术人员的知识来解释。此外，不旨在将本说明书或权利要求中的任何术语归于不常见的或特定的含义，除非明确如此阐述。

本文中所公开的各个方面包括本文中以说明性方式所引用的已知模块的现在和未来已知的等同物。此外，尽管已经示出并描述了各个方面和应用，但是对于了解本发明的优点的本领域技术人员将明显的是，在不脱离本文中所公开的发明构思的前提下，相比于上文所提及的内容而言的更多修改是可行的。

Claims (20)

1.一种用于检测信息物理系统(CPS)中的异常的方法，所述方法包括：

对于所述CPS的参数列表，收集包含所述CPS的参数值的数据；

从所收集的数据生成所述CPS的参数的至少两个子集；

从异常检测器的列表中选择至少两个异常检测器，并为每个所选择的异常检测器选择所述CPS的参数的至少一个相应的子集；

预处理所述CPS的参数的每个子集，并将预处理过程的输出传输到相应的异常检测器；

对于每个预处理后的子集，分别使用所述相应的异常检测器来检测所述数据中的异常；以及

通过组合和处理从所选择的至少两个异常检测器获得的结果来检测所述CPS中的组合异常。

2.如权利要求1所述的方法，还包括：

对来自每个所选择的异常检测器的检测到的异常进行后处理；以及

组合经后处理的所述检测到的异常。

3.如权利要求1所述的方法，其中，选择至少两个异常检测器并为每个所选择的异常检测器选择所述CPS的参数的至少一个相应的子集基于以下中的至少一者来执行：

所述CPS的特性；

所述CPS的参数列表及其来自所述CPS的参数的子集的值；以及

所收集的数据的类型和所收集的数据的量。

4.如权利要求1所述的方法，其中，选择至少两个异常检测器并为每个所选择的异常检测器选择所述CPS的参数的至少一个相应的子集基于以下中的至少一者来执行：

质量度量；

接收者操作特性(ROC)曲线分析结果；

执行时间；以及

执行异常检测的计算机所使用的资源量。

5.如权利要求1所述的方法，其中，预处理所述CPS的参数的子集包括以下中的至少一者：

用预定长度的时间缓冲器进行数据缓冲；

过滤无效数据或以大于预定时间段的延迟接收的数据；

基于获得所述CPS的参数值的时间点进行重新排序；

填补所述CPS的参数值中的空白；

插值到均匀网格；

标准化所述CPS的参数值；以及

重新打包所述CPS的参数值以供所述异常检测器处理。

6.如权利要求1所述的方法，其中，所述至少两个异常检测器中的检测器通过以下中的至少一者来检测异常：

当预测误差超过预定阈值时检测异常，其中，所述预测误差通过预测所述CPS的参数值来计算，然后确定所述CPS的参数值的总预测误差；

通过基于所述CPS的参数值应用机器学习模型来检测异常；

当应用用于检测异常的规则时检测异常；以及

通过将所述CPS的参数值与为各个参数建立的值范围中的极限值进行比较来检测异常。

7.如权利要求1所述的方法，其中，所述CPS的至少一个参数值包括以下中的至少一者：

传感器测量值；

致动器的受控参数的值；

执行机构的设定点；

比例积分微分(PID)调节器的至少一个输入信号的值；以及

PID控制器的输出信号的值。

8.如权利要求1所述的方法，其中，所述CPS的参数值以与所述CPS的参数的指示相同的时间间隔从所述CPS收集，或者以指示每个流中包含的参数的所述CPS的参数值的多个单独通量的形式从所述CPS的指示部分收集。

9.如权利要求1所述的方法，其中，从所选择的至少两个异常检测器获得的结果以以下方式中的至少一者组合：

通过组合来自各个异常检测器的异常定位区域，例如对共同异常进行定位，其中，所述区域确定空间和/或时间上的异常；

通过分析每个检测器对所述组合异常的贡献；以及

通过使用从每个检测器获得的异常的特性和关于对所述组合异常的相应贡献的信息来计算所述组合异常的预定特性。

10.如权利要求9所述的方法，其中，组合所述异常定位区域通过以下来执行：

确定空间或时间区域超过组合区域的预定百分比时；

确定异常定位区域的中心位于某一空间或时间区域中时；以及

确定经训练的神经网络将所述区域识别为属于组合异常的区域时。

11.如权利要求9所述的方法，其中，通过设置与异常检测器的总数相对应的特征向量，以及通过执行以下动作中的至少一者来确定特定异常检测器对所述组合异常的贡献：

将特定异常对所述组合异常的贡献等同于根据由所述特定异常检测器获得的异常的空间或时间区域对所述组合异常的贡献计算的数量；

通过与所述组合异常的中心的接近程度来确定所述特定异常的贡献；

通过应用评估贡献的预训练的神经网络来确定所述特定异常的贡献；

当形成中不存在特定异常检测器的组合异常时，将所述贡献设置为零；以及

当针对特定检测器检测到异常的所述CPS的技术过程(TP)存在所述特定检测器的可靠性或关键性的程度的信息时，基于关于所述可靠性或关键性的程度的信息来改变所述特定检测器的贡献。

12.如权利要求9所述的方法，其中，在每个所选择的异常检测器识别出至少一个异常后，对输出数据进行进一步的后处理，其中，所述后处理包括：

计算一组扩展的异常特性，包括异常危险评估，确定异常的类型和大小；标准化和统一关于异常的输出信息，以及通过组合从所选择的检测器获得的结果来检测所述组合异常。

13.如权利要求9所述的方法，其中，当计算所述异常的特性不可行或不可能时，为不对其执行所述计算的异常的特性设置预定值。

14.如权利要求9所述的方法，其中，计算与检测到异常的检测器相关联的异常的以下特性中的至少一者：

所述异常的危险等级、所述异常的类型和大小；

所述异常检测器检测到异常的概率；

所述CPS的预测参数值与真值或默认值的偏差值、与设定值的指定偏差值、在所述异常检测器中使用的所述CPS的参数中的至少一些参数的偏差的测量值的均方根值；

所述CPS的参数的观察值与某些预定极限的偏差的最大值或平均值、指定偏差的持续时间和频率；以及

检测器在检测异常方面的性能。

15.如权利要求1所述的方法，其中，为所述CPS的参数的特定子集选择异常检测器，使得：

根据所述异常检测器对所述CPS的参数的特定子集的预定性能，或者根据关于所述CPS的参数的子集的专家知识，所选择的异常检测器为所述特定子集的异常检测提供预定的准确性和完整性。

16.如权利要求1所述的方法，其中，所述CPS的参数的子集是根据所述子集的以下特性中的至少一者来选择的：

所述CPS的参数对技术过程的重要性；

所述CPS的参数与特定类型的设备相关联；

所述CPS的参数属于一个技术过程；以及

基于子集中所述CPS的物理参数的一致性。

17.一种用于检测信息物理系统(CPS)中的异常的系统，包括：

计算设备的至少一个处理器，所述至少一个处理器被配置为：

通过数据收集器收集包含所述CPS的参数值的数据；

通过生成器从所收集的数据生成所述CPS的参数的至少两个子集；

通过所述生成器从异常检测器的列表中选择至少两个异常检测器，并为每个所选择的异常检测器选择所述CPS的参数的至少一个相应的子集；

通过相应的预处理器预处理所述CPS的参数的每个子集，并将所述预处理器的输出传输到相应的异常检测器；

对于每个预处理后的子集，分别使用所述相应的异常检测器来检测所述数据中的异常；以及

通过合并工具，通过组合和处理从所选择的至少两个异常检测器获得的结果来检测所述CPS中的组合异常。

18.如权利要求17所述的系统，其中，预处理所述CPS的参数的子集包括以下中的至少一者：

用预定长度的时间缓冲器进行数据缓冲；

过滤无效数据或以大于预定时间段的延迟接收的数据；

基于获得所述CPS的参数值的时间点进行重新排序；

填补所述CPS的参数值中的空白；

插值到均匀网格；

标准化所述CPS的参数值；以及

重新打包所述CPS的参数值以供所述异常检测器处理。

19.如权利要求17所述的系统，还包括至少一个后处理单元，所述至少一个后处理单元被设计成在将相应的异常检测器的输出传输到所述合并工具之前处理所述输出，每个检测器具有一组专用的后处理单元。

20.如权利要求19所述的系统，其中，所述后处理单元执行以下步骤中的至少一者：评估异常的风险，确定异常的类型和大小，以及标准化和统一关于异常的输出信息。