JP2017199365A - 産業資産制御システム用のドメインレベル脅威検出 - Google Patents

Abstract

【課題】産業資産制御システム用のドメインレベル脅威検出を提供する。
【解決手段】正常空間データソース１１０は、複数の脅威ノード１３０のそれぞれに対して、産業資産制御システムの正常動作を表す一連の正常値を格納し、脅威空間データソース１２０は、一連の脅威値を格納する。モデル生成コンピュータ１４０は、正常および脅威特徴ベクトルのセットを生成することができる。コンピュータ１４０はまた、正常および脅威特徴ベクトルに基づいて、脅威検出モデル１５５に対して少なくとも１つの決定境界を計算して出力することもできる。その場合、複数の脅威ノード１３０は、資産制御システムの現在の動作を表す脅威ノードからの一連の現在値を生成することができる。脅威検出コンピュータ１５０は、脅威ノード１３０から一連の現在値を受信し、現在の特徴ベクトルのセットを生成し、脅威検出モデル１５５を実行し、現在の特徴ベクトルおよび少なくとも１つの決定境界に基づいて脅威警報信号を送信することができる。
【選択図】図１

Description

本発明は、産業資産制御システム用のドメインレベル脅威検出に関する。

物理的システム（例えば、パワータービン、ジェットエンジン、機関車、自律車両など）を操作する産業制御システムは、インターネットに接続されることが多くなっている。その結果、これらの制御システムは、電力の発生と分布を妨げたり、エンジンを損傷したり、車両の誤動作を招くなどの可能性のあるサイバー攻撃（例えば、コンピュータウイルス、悪意のあるソフトウェアなど）などの脅威に対してますます脆弱になっている。現在の方法は、主に、情報技術（「ＩＴ」、例えば、データを格納、検索、送信、操作するコンピュータ）および操作技術（「ＯＴ」、例えば直接監視装置および通信バスインターフェース）における脅威検出を考慮する。サイバー脅威は、Ｓｔｕｘｎｅｔ攻撃を受けた２０１０年に見られるように、これらの保護レイヤーに侵入し、物理的な「ドメイン」に到達する可能性がある。そのような攻撃は、制御システムのパフォーマンスを低下させ、プラントの総停止または破局的な損傷を引き起こす可能性がある。現在、サイバー事件中に、センサ、コントローラ、およびアクチュエータが配置されているドメイン層での脅威を自動的に検出するのに利用できる方法は存在しない。場合によっては、複数の攻撃が同時に発生することもある（例えば、複数のアクチュエータ、センサ、または制御システム装置内のパラメータが、同時に権限のない者によって悪意を持って変更される可能性がある）。ドメイン層で発生するステルス攻撃などのサイバー攻撃の検出困難な結果は、（例えば、センサノードなどの唯一の脅威ノードが検出アルゴリズムで使用される場合）容易に検出できないことがあることに留意されたい。障害や診断技術などの産業制御システムを保護する既存の手法では、特に、そのような複数の欠陥／障害診断技術は自動的にステルス攻撃を検出するように設計されていないために複数の同時攻撃が発生する場合、これらの脅威に適切に対処できない可能性がある。したがって、攻撃がＩＴおよびＯＴ層を通過して制御システムに直接害を及ぼす場合であっても、サイバー脅威から産業資産制御システムを自動かつ正確に保護することが望ましい。

米国特許第８９７３１２３号明細書

いくつかの実施形態によれば、サイバー脅威から産業資産制御システムを保護するシステムは、脅威ノード（「脅威ポイント」とも呼ばれる）からの正常空間を含むことができる。脅威ノードは、サイバー脅威または異常事象の発生を監視するために使用される重要なセンサ、コントローラノード、アクチュエータ、および／または主要なソフトウェアノードからの信号とすることができる。正常空間データソースは、複数の脅威ノード（例えば、センサノード、アクチュエータノード、コントローラノード、ソフトウェアノードなど）のそれぞれについてのデータ、産業資産制御システムの正常動作を表す脅威ノードからの一連の正常値（「データストリーム」）を格納することができる。同様に、脅威空間データソースは、脅威ノードからの一連の脅威値を格納することができる。脅威値は、異常な空間データと見なすことができる。通常、制御システムは、異常空間では動作せず、というのも、そのような動作は損傷の原因となり、完全シャットダウンを引き起こし、および／またはプラント構成要素の致命的な損傷もしくはゆっくりとした劣化を引き起こすためである。モデル生成コンピュータは、脅威ノードからの値を使用して、正常および脅威特徴ベクトルのセットを生成することができる。特徴は、１つまたは複数の測定されたデータストリームから抽出された個々の量を含むことができる。コンピュータはまた、正常および脅威特徴ベクトルに基づいて、脅威検出モデルに対して決定境界を計算して出力することもできる。その場合、複数のこれらの値は、資産制御システムの現在の動作を表す脅威ノードからの一連の現在値を生成することができる。脅威検出コンピュータは、脅威ノードから一連の現在値を受信し、これらの値から現在の特徴ベクトルのセットを生成し、脅威検出モデルを実行し、現在の特徴ベクトルおよび決定境界に基づいて脅威警報信号を送信することができる。

いくつかの実施形態は、複数の脅威ノードのそれぞれに対して、産業資産制御システムの正常動作を表す脅威ノードからの一連の正常値を経時的に検索する手段と、複数の脅威ノードのそれぞれに対して、産業資産制御システムの脅威動作を表す、脅威ノードからの一連の脅威値または異常値を経時的に検索する手段と、正常特徴ベクトルのセットおよび脅威特徴ベクトルのセットに基づいて、脅威検出モデルに対する決定境界を自動的に計算して出力する手段とを備える。

他の実施形態は、複数の脅威ノードから、産業資産制御システムの現在の動作を表す一連の値を経時的に受信する手段と、脅威ノードから受信した一連の値に基づいて脅威検出コンピュータによって現在の特徴ベクトルのセットを生成する手段と、現在の特徴ベクトルのセットおよび決定境界に基づいて脅威警報信号を送信する脅威検出モデルを実行する手段と、を備える。

本明細書で開示されるいくつかの実施形態のいくつかの技術的利点は、産業資産制御システムをサイバー脅威から自動的および正確に保護するための改良されたシステムおよび方法である。

いくつかの実施形態により提供され得るシステムの高レベルブロック図である。 いくつかの実施形態によるモデル作成方法を示す図である。 いくつかの実施形態による脅威警告方法を示す図である。 いくつかの実施形態によるオフライン処理を示す図である。 いくつかの実施形態によるリアルタイム処理を示す図である。 いくつかの実施形態によるガスタービンエンジンに関連する例を示す図である。 いくつかの実施形態による脅威ベクトル損傷表示を示す図である。 いくつかの実施形態によるグローバル脅威防止システムの一例を示す図である。 いくつかの実施形態による三次元のセンサ出力を示す図である。 いくつかの実施形態による決定境界表示を示す図である。 本発明のいくつかの実施形態による産業資産制御システム保護プラットフォームのブロック図である。 脅威検出データベースのテーブル部分である。

以下の詳細な説明では、実施形態の完全な理解を提供するために、多数の特定の詳細が述べられる。しかしながら、これらの具体的な詳細なしで実施形態を実施できることは、当業者には理解されるであろう。他の例では、周知の方法、手順、構成要素、および回路は、実施形態を不明瞭にしないように詳細には記載していない。

物理システムを操作する産業制御システムは、インターネットに接続されることが多くなっている。その結果、これらの制御システムは、脅威に対してますます脆弱になり、場合によっては、複数の攻撃が同時に発生する可能性がある。特に、複数の同時攻撃が発生する場合に、障害や診断技術などの産業制御システムを保護する既存の手法では、これらの脅威に適切に対処できない可能性がある。したがって、産業資産制御システムをサイバー脅威から自動的かつ正確に保護することが望まれている。図１は、いくつかの実施形態によるシステム１００の高レベルアーキテクチャである。システム１００は、「正常空間」データソース１１０および「脅威空間」データソース１２０を含むことができる。正常空間データソース１１０は、複数の脅威ノード１３０のそれぞれに対して、（例えばモデルによって生成された、または、図１に破線で示すように実際のセンサ１３０のデータから収集された）産業資産制御システムの正常動作を表す一連の正常値を経時的に格納することができる。脅威空間データソース１２０は、脅威ノード１３０のそれぞれに対して、（例えば、システムがサイバー攻撃を受けている場合に）産業資産制御システムの脅威動作を表す一連の脅威値を格納することができる。

正常空間データソース１１０および脅威空間データソース１２０からの情報は、このデータを使用して決定境界（すなわち、正常挙動と脅威挙動とを分離する境界）を生成する脅威検出モデル生成コンピュータ１４０に提供することができる。その場合、決定境界は、脅威検出モデル１５５を実行する脅威検出コンピュータ１５０によって使用することができる。脅威検出モデル１５５は、例えば、センサノード、アクチュエータノード、および／または他の任意の重要な監視ノード（例えば、脅威ノードＳ₁からＳ_N）からのデータを含む脅威ノード１３０からのデータストリームを監視し、適切なときに１つまたは複数の遠隔監視装置１７０に（例えば、ユーザに表示するために）脅威警報信号を自動的に出力する。本明細書で使用される場合、「自動的に」という用語は、例えば、人の介入をほとんどまたは全く伴わずに行うことができる動作を意味することができる。いくつかの実施形態によれば、検出された脅威に関する情報は、産業制御システムに送り返すことができる。

本明細書で使用されるように、システム１００および本明細書に記載された他の任意のデバイスに関連するデバイスを含むデバイスは、ローカルエリアネットワーク（ＬＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、専用ネットワーク、公衆交換電話網（ＰＳＴＮ）、無線アプリケーションプロトコル（ＷＡＰ）ネットワーク、ブルートゥース（登録商標）ネットワーク、無線ＬＡＮネットワーク、および／またはインターネット、イントラネット、もしくはエクストラネットなどのインターネットプロトコル（ＩＰ）ネットワークの１つまたは複数とすることができる任意の通信ネットワークを介して情報を交換することができる。本明細書で説明する任意のデバイスは、１つまたは複数のそのような通信ネットワークを介して通信することができることに留意されたい
脅威検出モデル生成コンピュータ１４０は、正常空間データソース１１０および／または脅威空間データソース１２０などの、さまざまなデータストアに情報を格納し、および／またはさまざまなデータストアから情報を検索することができる。さまざまなデータソースは、脅威検出モデル生成コンピュータ１４０からローカルに格納してもよいし、遠隔地に存在してもよい。単一の脅威検出モデル生成コンピュータ１４０が図１に示されているが、任意の数のそのようなデバイスを含めることができる。さらに、本明細書に記載されたさまざまなデバイスは、本発明の実施形態に従って組み合わせることができる。例えば、いくつかの実施形態では、脅威検出モデル生成コンピュータ１４０および１つまたは複数のデータソース１１０、１２０は、単一の装置を備えることができる。脅威検出モデル生成コンピュータ１４０の機能は、分散処理またはクラウドベースのアーキテクチャにおいて、ネットワーク化された装置の組み合わせによって実行することができる。

ユーザは、本明細書に記載された実施形態のいずれかに従って脅威情報に関する情報を閲覧および／または管理するために、監視装置１７０（例えば、パーソナルコンピュータ（ＰＣ）、タブレット、またはスマートフォン）の１つを介してシステム１００にアクセスすることができる。場合によっては、インタラクティブなグラフィカル・ディスプレイ・インターフェースにより、ユーザが特定のパラメータ（例えば、脅威検出トリガレベル）を定義および／または調整すること、ならびに／もしくは脅威検出モデル生成コンピュータ１４０および／または脅威検出コンピュータ１５０から自動的に生成された勧告または結果を提供または受信することができる。

例えば、図２は、図１に関して記載されたシステム１００の要素のいくつかまたは全てによって実行され得るモデル生成方法を示す。本明細書で説明するフローチャートは、ステップの順序を固定することを意味するものではなく、本発明の実施形態は、実行可能な任意の順序で実施することができる。本明細書で説明する方法のいずれかは、ハードウェア、ソフトウェア、またはこれらの手法の任意の組み合わせによって実行することができることに留意されたい。例えば、コンピュータ可読記憶媒体は、機械によって実行された場合、本明細書に記載の実施形態のいずれかによるパフォーマンスをもたらす命令を格納することができる。

Ｓ２１０で、システムは、複数の脅威ノードのそれぞれに対して、産業資産制御システムの正常動作を表す一連の正常値を経時的に検索することができ、正常な特徴ベクトルのセットを生成することができる。同様に、Ｓ２２０で、システムは、複数の脅威ノードのそれぞれに対して、産業資産制御システムの脅威動作を表す一連の脅威値を経時的に検索することができ、脅威のある特徴ベクトルのセットを生成することができる。一連の正常値および／または脅威値は、例えば、パワータービン、ジェットエンジン、機関車、自律車両などに関連する産業制御システムで実験計画法（ＤｏＥ）を実行することによって得られるであろう。Ｓ２３０で、決定境界を自動的に計算し、正常な特徴ベクトルのセットと脅威特徴ベクトルのセットとに基づいて脅威検出モデルのために出力することができる。いくつかの実施形態によれば、決定境界は、線、超平面、脅威空間から正常空間を分離する非線形境界、および／または複数の決定境界に関連している可能性がある。さらに、決定境界は、正常空間、脅威空間、および劣化動作空間を分離する複数クラスの決定境界を備えることができる。さらに、脅威検出モデルは、決定境界、特徴マッピング関数、および／または特徴パラメータと関連している可能性があることに留意されたい。

この場合、決定境界は、サイバー攻撃を検出するために使用することができる。例えば、図３は、いくつかの実施形態による脅威警告方法である。Ｓ３１０で、システムは、複数の脅威ノードから、産業資産制御システムの現在の動作を表す一連の現在値を経時的に受信することができる。次いで、Ｓ３２０で、脅威検出コンピュータは、受信した一連の現在値に基づいて、現在の特徴ベクトルのセットを生成することができる。Ｓ３３０で、脅威検出モデルを実行して、適切なときに（例えば、サイバー攻撃が検出されたとき）、現在の特徴ベクトルのセットと決定境界とに基づいて、脅威警報信号を送信することができる。いくつかの実施形態によれば、脅威警報信号が送信されると、１つまたは複数の応答動作を実行することができる。例えば、システムは、（例えば、検出された潜在的なサイバー攻撃をさらに調査させるために）産業資産制御システムの全部または一部を自動的に停止することができる。他の例として、１つまたは複数のパラメータを自動的に変更してもよく、ソフトウェアアプリケーションを自動的にトリガして、データを捕捉してもよく、および／または潜在的な原因などを分離してもよい。

本明細書で説明するいくつかの実施形態は、システムに対する１つまたは複数の同時の敵対的脅威を検出するために、調整された高忠実度機器モデルおよび／または実際の「オンザジョブ」データから先験的に学習することによって、制御システムの物理特性を利用することができる。さらに、いくつかの実施形態によれば、全ての脅威ノードデータは、高度な特徴ベースの方法を使用して特徴に変換することができ、制御システムのリアルタイム動作は、実質的にリアルタイムで監視することができる。異常は、監視されたデータを「正常」または障害（もしくは、劣化）として分類することによって検出することができる。この決定境界は、動的モデルを使用して構築することができ、オペレータが制御システムを直ちに通常動作に戻すことを可能にする脆弱性の早期検出（および壊滅的な障害の潜在的回避）を可能にする補助をすることができる。

自動的に（例えば、アルゴリズムを介して）抽出され、および／または手動で入力され得る多次元特徴ベクトルの適切なセットは、低次元ベクトル空間における測定データの良好な予測子を含むことができることに留意されたい。いくつかの実施形態によれば、ＤｏＥ技術に関連する科学的原理を介して得られるデータセットを使用して、多次元空間に適切な決定境界を構築することができる。さらに、複数のアルゴリズム方法（例えば、サポートベクトルマシンまたは機械学習技術）を使用して、決定境界を生成することができる。境界は測定データ（または、高忠実度モデルから生成されたデータ）によって駆動され得るため、定義された境界マージンは、多次元特徴空間に脅威ゾーンを作成するのに役立つ可能性がある。さらに、マージンは、本質的に動的であり、機器の過渡状態または定常状態モデルに基づいて適合され、および／または入力データストリームから自己学習システムのようにシステムを動作させながら得ることができる。いくつかの実施形態によれば、トレーニング方法は、決定境界を教えるために教師あり学習のために使用されてもよい。このタイプの教師あり学習は、システム動作（例えば、正常動作と異常動作との間の相違）に関するオペレータの知識を考慮に入れることができる。

図４は、いくつかの実施形態によるオフライン境界生成処理４００を示す。脅威、なりすまし、攻撃ベクトル、脆弱性などに関する情報４１０は、ＤｏＥ技術を使用して作成されたモデル４２０ならびに／もしくはトレーニングおよび評価データベース４５０に提供することができる。モデル４２０は、例えば、トレーニングおよび評価データベース４５０に格納される特徴ベクトル４４０に組み立てられた特徴を計算するために使用される脅威ノードからのデータ４３０をシミュレートすることができる。その場合、トレーニングおよび評価データベース４５０内のデータは、正常動作と脅威動作とを区別するために決定境界４６０を計算するために使用することができる。いくつかの実施形態によれば、処理４００は、脅威ノードおよび予想される脅威ベクトルの優先順位付けを含み、決定境界を作成するための１つまたは複数のデータセットを形成することができる。脅威ベクトルは、システムが脅威／異常空間に入るドメインレベルで悪意のある攻撃が作成される重要な入力で異常な値となる。さらに、モデル４２０は、データセット（例えば、脅威空間を「システムにおける脅威状態のレベル対脅威ノードからの量」として記述するセット）を作成するために使用できる高忠実度モデルを備えることができる。脅威ノードからのデータ４３０は、例えば、センサノード、アクチュエータノード、および／またはコントローラノードから３０〜５０秒の長さの間に捕捉される量とすることができる（同様のデータセットは、「システム内の正常な動作状態のレベル対脅威ノードからの量」に対して取得することができる）。この処理により、「脅威空間」と「正常空間」とに対するデータセットが生成される。３０〜５０秒の長さの量は、特徴量設計を使用して特徴ベクトルを作成する特徴４４０を計算するために使用することができる。その場合、これらの特徴ベクトルを使用して、（サイバー攻撃などの異常を検出するために使用される）脅威空間と通常空間とに対するデータセットを分離する決定境界を得ることができる。

攻撃が複数攻撃である可能性がある（例えば、複数の攻撃が一度に発生する可能性がある）ため、ＤｏＥ実験は、（例えば、全因子、田口スクリーニング、中央複合体、および／またはＢｏｘ−Ｂｅｈｎｋｅｎを使用して）攻撃空間を捕捉するように設計してもよい。モデルが利用できない場合、これらのＤｏＥ方法を使用して、現実の資産制御システムからデータを収集することもできる。例えば、同時攻撃のさまざまな組み合わせを使用して、実験を行うことができる。同様の実験を行って、正常動作空間用のデータセットを作成することができる。いくつかの実施形態によれば、システムは、脅威または攻撃ではなく、「劣化」または誤動作を検出することができる。そのような決定は、劣化したおよび／または誤った動作空間に対するデータセットの使用を必要とすることがある。

図５は、いくつかの実施形態による産業資産制御システムを保護するためのリアルタイム処理５００を示す。５１０で、脅威ノードからの現在データを収集することができる（例えば、３０〜５０秒のバッチで）。５２０で、システムは、特徴を計算し、特徴ベクトルを形成することができる。例えば、システムは、主成分分析の重みを特徴として使用する可能性がある。５３０で、異常検出エンジンは、特徴ベクトルの位置と決定境界とを比較して判断を行う（必要であれば警報信号を出力する）ことができる。いくつかの実施形態によれば、特徴はドメイン知識の高水準表現であり、直感的に説明することができるので、モデル（または実際のシステム）からの脅威ノードデータを特徴の観点から表現することができる。さらに、実施形態は、ベクトルとして表される複数の特徴を扱うことができ、複数の検出された量の間の相互作用は、「相互作用特徴」の観点から表現することができる。

主成分（自然基底集合を用いて構築された重み）および統計的特徴（例えば、時系列信号の平均、分散、歪度、尖度、最大値、最小値、最大値および最小値の位置、独立成分など）を含む、本明細書に記載された実施形態のいずれかに従って多くの異なるタイプの特徴を利用できることに留意されたい。他の例には、深層学習特徴（例えば、実験的および／または履歴的データセットを採掘することによって生成される）および周波数領域特徴（例えば、フーリエ変換またはウェーブレット変換の係数に関連する）が含まれる。また、実施形態は、相互相関、自己相関、自己回帰の順序、移動平均モデル、モデルのパラメータ、信号の微分および積分、立ち上がり時間、整定時間、ニューラルネットワークなどの時系列解析特徴に関連付けることができる。さらに、他の例には、論理的な特徴（「はい」および「いいえ」などの意味論的抽象化を含む）、地理的／位置的場所、および相互作用特徴（複数の脅威ノードおよび特定の場所からの信号の数学的組み合わせ）が含まれる。実施形態は、任意の数の特徴を組み込むことができ、システムが物理的処理および脅威についてより多くを学習するにつれて、手法がより正確になることを可能にするより多くの特徴を備えることができる。いくつかの実施形態によれば、脅威ノードからの異なる値は、単位のない空間に対して正規化され、出力と出力の強度とを簡単な方法で比較することを可能にすることができる。

図６は、いくつかの実施形態によるガスタービンエンジンに関連する例６００である。具体的には、この例は、アクチュエータおよびコントローラ攻撃の対象となるコントローラおよびアクチュエータ部分６１０、プラント状態攻撃の対象となるプラント部分６２０、および脅威ノード攻撃の対象となる脅威ノード６３０を含む。単なる例として、脅威ノード６３０は、タービン排気、周囲温度、周囲圧力、入口圧力降下、コンプレッサ入口温度、発電機出力、燃料圧力、シャフト速度、コンプレッサ排出圧力もしくは温度、排気ガス温度、放出などに関連する物理的および／または仮想脅威ノードを備えることができる。アクチュエータは、例えば、入口ガイドバルブコマンド、ブリードヒートバルブコマンド、燃料またはストップバルブ位置、周囲圧力、入口または排気圧力デルタ、特定の湿度または周囲温度、燃料流量、または燃料の温度に関連する可能性がある。ガスタービンエンジンシステム内の情報を監視することによって、脅威検出プラットフォームは、大量の損傷を潜在的に引き起こす可能性のあるサイバー攻撃を（例えば、特徴ベクトルおよび決定境界を使用して）検出することができる可能性がある。

図７は、いくつかの実施形態による脅威ベクトル損傷表示７００である。特に、表示は、より大きな値がより大きなリスクを表すリスク優先番号（ＲＰＮ）と、より大きな値がより大きな損傷（例えば、財務、ユニット利用可能性、ユニットトリップ、ユニット寿命の喪失、新しい部品を必要とする資産損傷など）と関連する損傷クラス値とを表すグラフ７１０を含む。少なくとも１つの脅威ベクトルが示される各グラフ７１０で、バブル７２０は、それらの値に関連付けられる脅威の数を示す（より大きなバブル７２０がより多くの脅威に関連する）。いくつかの実施形態によれば、脅威を適切に検出するのに必要な脅威ノードの数を減らすために、ドメイン知識および／または感度調査を使用することができる。さらに、ＲＰＮ分析（例えば、専門知識、時間、容易さ、損害などに基づいてＲＰＮを計算する）は、損害クラス対ＲＰＮなどのいくつかの基準に基づいて多くの脅威をさらに再グループ化することができる。さらに、いくつかの実施形態は、異なる損傷クラスに対して完全実施要因計画、スクリーニング計画、および／または中央複合計画の組み合わせを実行するなどによって、または損傷クラスの全てを単一セットに組み合わせることによって、データセットを生成するために構築されたＤｏＥ方法を使用することができる。

図８は、いくつかの実施形態によるグローバル脅威防止システム８００の一例である。特に、システムは、３つの発電機（Ａ、Ｂ、およびＣ）を含み、脅威ノードからの値８１０のバッチは、ある期間（例えば３０〜５０秒）にわたって生成されるごとに収集される。いくつかの実施形態によれば、脅威ノードからの値８１０のバッチは時間的に重複する。脅威ノードからの値８１０は、例えば、時間（ｔ₁、ｔ₂など）および脅威ノードのタイプ（Ｓ₁、Ｓ₂など）によって配列された行列８２０に格納することができる。特徴量設計コンポーネント８３０は、３つの発電機（例えば、発電機Ｃに対する特徴ベクトル８４０は、ＦＳ_C1、ＦＳ_C2などを含む可能性がある）ごとに特徴ベクトル８４０を作成するために、各行列８２０内の情報を使用することができる。次いで、３つの特徴ベクトル８４０は、システム８００に対して単一のグローバル特徴ベクトル８５０に組み合わせることができる。相互作用特徴８６０を適用してもよく（例えば、Ａ×Ｂ×Ｃ、Ａ＋Ｂ＋Ｃなどに関連付けられる）、異常検出エンジン８７０は、その結果を決定境界と比較し、適切な場合に脅威警報信号を出力することができる。

図９は、いくつかの実施形態による三次元の脅威ノード出力を示す図９００である。特に、グラフ９１０は、主要成分特徴（ＰＣＦ）に関連付けられた次元、例えば、ｗ１、ｗ２、およびｗ３などの３次元の脅威ノード出力（＋）をプロットする。さらに、グラフ９１０は、正常動作空間決定境界９２０の指示を含む。単一の連続境界９２０が図９に示されているが、実施形態は複数の領域に関連付けられてもよい。ＰＣＦ情報は、低下次元で重みとして表すことができることに留意されたい。例えば、各脅威ノードからのデータは、低次元の特徴（例えば、重み）に変換することができる。いくつかの実施形態によれば、脅威ノードデータは、以下のように正規化され、

ここで、Ｓは、「ｋ」時点の脅威ノード量を表す。さらに、その場合、出力は、以下のように、基底関数の加重線形結合として表現することができ

ここで、Ｓ₀は全ての脅威を伴う平均脅威ノード出力であり、ｗ_jはｊ番目の重みであり、Ψ_jはｊ番目の基底ベクトルである。いくつかの実施形態によれば、脅威ノードのデータ行列の共分散を用いて自然基底ベクトルが得られる。基底ベクトルが分かれば、以下の式を用いて重みを求めることができる（基底集合が直交すると仮定する）。

重みは、特徴ベクトルで使用される特徴の例であり得ることに留意されたい。

図１０は、いくつかの実施形態による決定境界表示１０００である。表示１０００は、例えば、ガスタービンシミュレーションデータにおける、センサノードからの値などの、脅威ノード値から生成されたグローバル特徴と関連する可能性のある単純な決定境界１０１０（３次元では、０．３単位の半径を有するボールまたは球である）のグラフ表示を含む。いくつかの実施形態によれば、いくつかの脅威検証実行が実行され、結果１０２０が、表示１０００にもたらされる（例えば、実行番号、半径値、および「正常」もしくは「攻撃」の決定を含む）。

したがって、脅威ノードからの観測量が特徴ベクトル（例えば、多くの特徴を有する）に関して表されると、次いで、特徴ベクトルを多次元特徴空間内の点として使用することができる。リアルタイムの脅威検出の間、２つの領域（または空間）、すなわち、異常（攻撃）空間および正常動作空間の間の空間を分離する決定境界に関して、各点がどこに位置するかを比較することによって、決定を行うことができる。点が攻撃空間に入ると、産業資産制御システムは、サイバー攻撃の間などに異常な動作を受けている。点が正常動作空間に入ると、産業資産制御システムは、サイバー攻撃の間などに異常な動作を受けていない。境界を有する適切な決定ゾーンは、本明細書に記載されるようなデータセットを使用して高忠実度モデルを用いて構築される。例えば、サポートベクトルマシンは、決定境界を構築するためにカーネル関数とともに使用することができる。いくつかの実施形態によれば、深層学習技術を用いて決定境界を構築することもできる。

いくつかの実施形態によれば、システムは、代わりに、空間を、（１）攻撃空間、（２）正常動作空間、および（３）劣化空間または欠陥空間の３つの領域に分割することができる。このタイプの「マルチクラス」決定では、問題は、２つのリンクされていないバイナリ問題のセットに分解することができ、「攻撃対正常」および「劣化対正常」データセットを持つバイナリサポートベクトルマシンを使用して解決することができる。

本明細書で説明する実施形態は、任意の数の異なるハードウェア構成を使用して実現することができる。例えば、図１１は、例えば、図１のシステム１００に関連することができる産業資産制御システム保護プラットフォーム１１００のブロック図である。産業資産制御システム保護プラットフォーム１１００は、通信ネットワーク（図１１では図示せず）を介して通信するよう構成される通信デバイス１１２０に結合される、１チップマイクロプロセッサの形式の１つまたは複数の市販の中央処理装置（ＣＰＵ）などの、プロセッサ１１１０を備える。通信デバイス１１２０を使用して、例えば、１つまたは複数の遠隔脅威ノード、ユーザプラットフォーム、デジタルツインなどと通信することができる。産業資産制御システム保護プラットフォーム１１００は、入力装置１１４０（例えば、適応型および／または予測型モデリング情報を入力するコンピュータマウスおよび／またはキーボード）および／または出力装置１１５０（例えば、表示をレンダリングし、警報を送信し、推奨事項を送信し、および／またはレポートを作成するためのコンピュータモニタ）をさらに含む。いくつかの実施形態によれば、モバイル機器、監視物理システム、および／またはＰＣを使用して、産業資産制御システム保護プラットフォーム１１００と情報を交換することができる。

プロセッサ１１１０はまた、ストレージデバイス１１３０と通信する。ストレージデバイス１１３０は、磁気ストレージデバイス（例えば、ハードディスクドライブ）、光学ストレージデバイス、携帯電話、および／または半導体メモリデバイスの組み合わせを含む、任意の適切な情報ストレージデバイスを備えることができる。ストレージデバイス１１３０は、プロセッサ１１１０を制御するためのプログラム１１１２および／または脅威検出モデル１１１４を格納する。プロセッサ１１１０は、プログラム１１１２、１１１４の命令を実行し、それにより、本明細書で説明する実施形態のいずれかに従って動作する。例えば、プロセッサ１１１０は、複数の脅威ノードのそれぞれに対して、産業資産制御システムの正常動作を表す一連の正常脅威ノード値を格納する正常空間データソースにアクセスすることができる。プロセッサ１１１０は、一連の脅威を受けた脅威ノード値を格納する脅威空間データソースにアクセスすることもできる。プロセッサ１１１０は、正常および脅威特徴ベクトルのセットを生成し、正常および脅威特徴ベクトルに基づいて、脅威検出モデルに対して決定境界を計算して出力することができる。その場合、複数の脅威ノードは、資産制御システムの現在の動作を表す一連の現在脅威ノード値を生成することができる。プロセッサ１１１０は、一連の現在値を受信し、現在の特徴ベクトルのセットを生成し、脅威検出モデルを実行し、現在の特徴ベクトルおよび決定境界に基づいて脅威警報信号を送信することができる。

プログラム１１１２、１１１４は、圧縮フォーマット、未コンパイルフォーマット、および／または暗号化フォーマットで格納することができる。プログラム１１１２、１１１４は、さらに、オペレーティングシステム、クリップボードアプリケーション、データベース管理システム、および／または周辺機器とインターフェースするためにプロセッサ１１１０によって使用されるデバイスドライバなどの、他のプログラム要素を含むことができる。

本明細書で使用される場合、情報は、例えば、（ｉ）別のデバイスから産業資産制御システム保護プラットフォーム１１００によって「受信される」か、もしくは別のデバイスから産業資産制御システム保護プラットフォーム１１００に「送信する」ことができ、または（ｉｉ）別のソフトウェアアプリケーション、モジュール、もしくはソースから産業資産制御システム保護プラットフォーム１１００内のソフトウェアアプリケーションもしくはモジュールによって「受信される」か、もしくは別のソフトウェアアプリケーション、モジュール、もしくはソースから産業資産制御システム保護プラットフォーム１１００内のソフトウェアアプリケーションもしくはモジュールに「送信する」ことができる。

いくつかの実施形態（例えば、図１１に示されるものなど）において、ストレージデバイス１１３０は、脅威検出データベース１２００をさらに格納する。ここで、産業資産制御システム保護プラットフォーム１１００に関連して使用され得るデータベースの一例を、図１２に関して詳細に説明する。本明細書で説明するデータベースは一例に過ぎず、追加のおよび／または異なる情報をそこに格納してもよいことに留意されたい。さらに、さまざまなデータベースが、本明細書に記載された実施形態のいずれかに従って分割または結合されてもよい。

図１２を参照すると、いくつかの実施形態による産業資産制御システム保護プラットフォーム１１００に格納することができる脅威検出データベース１２００を表すテーブルが示されている。テーブルは、例えば、物理システムに関連する脅威ノードを識別するエントリを含むことができる。テーブルはまた、各エントリに対してフィールド１２０２、１２０４、１２０６、１２０８、１２１０、１２１２を定義することもできる。フィールド１２０２、１２０４、１２０６、１２０８、１２１０、１２１２は、いくつかの実施形態によれば、脅威ノード識別子１２０２、脅威ノード値１２０４、特徴１２０６、特徴ベクトル１２０８、グローバル特徴ベクトル１２１０、および決定１２１２を指定することができる。脅威検出データベース１２００は、例えば、新しい物理システムが監視またはモデル化され、脅威ノードが値を報告し、動作条件が変化するなどした場合、作成および更新することができる。

脅威ノード識別子１２０２は、例えば、一連の脅威ノード値１２０４を経時的に（例えば、データの３０〜５０秒のバッチで）検出する産業資産制御システム内の脅威ノードを識別する固有の英数字コードとすることができる。脅威ノード値１２０４を使用して、特徴１２０６および特徴ベクトル１２０８を作成することができる。次いで、複数の脅威ノード識別子１２０２に関連する特徴ベクトル１２１０を使用して、産業資産制御システム全体に対する全体的なグローバル特徴ベクトル１２１０を作成することができる。次いで、グローバル特徴ベクトル１２１０を決定境界と比較して、決定１２１２（例えば、「攻撃」または「正常」の指示）を生成することができる。

したがって、実施形態は、脅威ノードからのリアルタイム信号を使用して、マルチクラス異常動作の指示を受動的に検出することを可能にすることができる。さらに、検出フレームワークは、複数の地理的位置におけるさまざまなシステム（すなわち、ガスタービン、蒸気タービン、風力タービン、航空エンジン、機関車エンジン、電力網など）への本発明の展開を容易にするツールの開発を可能にすることができる。いくつかの実施形態によれば、（複数タイプの機器およびシステムにわたる）この技術によって可能になる分散型検出システムは、多点攻撃を検出するのに役立つ協調データの収集を可能にする。本明細書で説明されている特徴ベースの手法は、データの新しい学習および代替のソースが利用可能になると、拡張された特徴ベクトルを可能にし、および／または既存のベクトルに新しい特徴を組み込むことができることに留意されたい。その結果、実施形態は、システムがそれらの特性についてより多くを学習するにつれて、比較的広い範囲のサイバー脅威（例えば、ステルス、リプレイ、隠密、インジェクション攻撃など）を検出することができる。実施形態はまた、システムが有用で重要な新機能を組み込み、冗長またはそれほど重要でないものを除去するので、誤検出率を低減する可能性がある。本明細書に記載されている検出システムは、攻撃を阻止することができる（または攻撃の影響を鈍化させることができる）ように、産業資産制御システムのオペレータに早期の警告をもたらし、機器の損傷を軽減することができることに留意されたい。

以下に、本発明のさまざまな追加の実施形態を示す。これらは全ての可能な実施形態の定義を構成するものではなく、当業者は、本発明が他の多くの実施形態に適用可能であることを理解するであろう。さらに、以下の実施形態は、明瞭にするために簡潔に記載されているが、当業者であれば、これらのおよび他の実施形態ならびに用途に対応するための上述の装置および方法に、必要に応じて任意の変更を加える方法を理解するであろう。

特定のハードウェアおよびデータ構成について本明細書で説明してきたが、本発明の実施形態に従って任意の数の他の構成を提供することができることに留意されたい（例えば、本明細書に記載のデータベースに関連する情報の一部は、外部システムと組み合わせるか、または外部システムに格納することができる）。例えば、いくつかの実施形態はガスタービン発電機に焦点を当てているが、本明細書に記載された実施形態のいずれも、ダム、電力網、軍用機などの他のタイプの資産に適用することができる。

本発明は、説明目的のみのために、いくつかの実施形態の観点から記載されている。当業者であれば、本発明は記載された実施形態に限定されるものではなく、添付の特許請求の範囲の精神および範囲によってのみ限定される修正および改変によって実施できることを認識するであろう。
［実施態様１］
産業資産制御システムを保護するシステムであって、
前記産業資産制御システムの現在動作を表す一連の現在の脅威ノード値をそれぞれが経時的に生成する複数の脅威ノード（１３０）と、
前記複数の脅威ノード（１３０）に結合された脅威検出コンピュータ（１５０）であって、
（ｉ）前記一連の現在の脅威ノード値を受信し、現在の特徴ベクトルのセットを生成し、
（ｉｉ）正常特徴ベクトルのセットと脅威特徴ベクトルのセットとを用いて生成された少なくとも１つの決定境界を有する脅威検出モデル（１５５）にアクセスし、
（ｉｉｉ）前記脅威検出モデル（１５５）を実行し、現在の特徴ベクトルの前記セットおよび前記少なくとも１つの決定境界に基づいて脅威警報信号を送信する、
脅威検出コンピュータ（１５０）と、
を備える、システム。
［実施態様２］
正常特徴ベクトルの前記セットおよび脅威特徴ベクトルの前記セットの少なくとも一方が、（ｉ）主成分、（ｉｉ）統計的特徴、（ｉｉｉ）深層学習特徴、（ｉｖ）周波数領域特徴、（ｖ）時系列分析特徴、（ｖｉ）論理特徴、（ｖｉｉ）地理的位置または位置に基づく場所、および（ｖｉｉｉ）相互作用特徴のうちの少なくとも１つに関連付けられている、実施態様１に記載のシステム。
［実施態様３］
前記少なくとも１つの決定境界を含む前記脅威検出モデル（１５５）が、（ｉ）過渡状態、（ｉｉ）前記産業資産制御システムの定常状態モデル、および（ｉｉｉ）入力データストリームから自己学習システムのように前記システムを動作させながら取得されたデータセット、の少なくとも１つに基づいて動的に適合される、実施態様１に記載のシステム。
［実施態様４］
前記脅威検出モデル（１５５）が、（ｉ）アクチュエータ攻撃、（ｉｉ）コントローラ攻撃、（ｉｉｉ）脅威ノード攻撃、（ｉｖ）プラント状態攻撃、（ｖｉｉ）なりすまし、（ｖｉ）金融損害、（ｖｉｉ）ユニット利用可能性、（ｖｉｉｉ）ユニットトリップ、（ｉｘ）ユニット寿命の喪失、および（ｘ）少なくとも１つの新しい部分を必要とする資産損害、の少なくとも１つと関連付けられる、実施態様１に記載のシステム。
［実施態様５］
前記複数の脅威ノード（１３０）のそれぞれからの情報が正規化され、出力が基底関数の加重線形結合として表される、実施態様４に記載のシステム。
［実施態様６］
自然基底ベクトルが、脅威ノードデータ行列の共分散を用いて得られる、実施態様５に記載のシステム。
［実施態様７］
前記脅威ノード（１３０）が、（ｉ）クリティカルセンサノード、（ｉｉ）アクチュエータノード、（ｉｉｉ）コントローラノード、および（ｉｖ）キーソフトウェアノードの少なくとも１つに関連付けられる、実施態様１に記載のシステム。
［実施態様８］
前記少なくとも１つの決定境界を含む前記脅威検出モデル（１５５）が、（ｉ）線、（ｉｉ）超平面、および（ｉｉｉ）正常空間および脅威空間を分離する非線形境界、の少なくとも１つに関連付けられる、実施態様１に記載のシステム。
［実施態様９］
前記少なくとも１つの決定境界を含む前記脅威検出モデル（１５５）が、正常空間、脅威空間、および劣化動作空間を分離するマルチクラス決定境界である、実施態様１に記載のシステム。
［実施態様１０］
前記複数の脅威ノード（１３０）のそれぞれに対して、前記産業資産制御システムの正常動作を表す一連の正常脅威ノード値を経時的に格納する正常空間データソース（１１０）と、
前記複数の脅威ノード（１３０）のそれぞれに対して、前記産業資産制御システムの脅威動作を表す一連の脅威を受けた脅威ノード値を経時的に格納する脅威空間データソース（１２０）と、
前記正常空間データソース（１１０）および前記脅威空間データソース（１２０）に結合される脅威検出モデル生成コンピュータ（１４０）であって、
（ｉ）前記一連の正常脅威ノード値を受信し、正常特徴ベクトルの前記セットを生成し、
（ｉｉ）前記一連の脅威を受けた脅威ノード値を受信し、脅威特徴ベクトルの前記セットを生成し、
（ｉｉｉ）正常特徴ベクトルの前記セットおよび脅威特徴ベクトルの前記セットに基づいて、前記脅威検出モデル（１５５）に対する前記少なくとも１つの決定境界を自動的に計算して出力する、
脅威検出モデル生成コンピュータ（１４０）と、
をさらに備える、実施態様１に記載のシステム。
［実施態様１１］
前記一連の正常脅威ノード値および前記一連の脅威を受けた脅威ノード値のうちの少なくとも一方が、高忠実度機器モデルに関連付けられる、実施態様１０に記載のシステム。
［実施態様１２］
少なくとも１つの決定境界が多次元空間内に存在し、（ｉ）動的モデル、（ｉｉ）実験データの設計、（ｉｉｉ）機械学習技術、（ｉｖ）サポートベクトルマシン、（ｖ）全因子処理、（ｖｉ）田口スクリーニング、（ｖｉｉ）中央複合方法、（ｖｉｉｉ）Ｂｏｘ−Ｂｅｈｎｋｅｎ方法、（ｉｘ）現実の動作条件、（ｘ）完全実施要因計画、（ｘｉ）スクリーニング計画、および（ｘｉｉ）中央複合計画、の少なくとも１つと関連付けられる、実施態様１０に記載のシステム。
［実施態様１３］
前記複数の脅威を受けた脅威ノード値が、（ｉ）専門知識のレベル、（ｉｉ）時間量、（ｉｉｉ）容易さのレベル、および（ｉｖ）損傷量の少なくとも１つを含む、リスク優先番号分析による潜在的脅威ベクトルのセットから生成される、実施態様１０に記載のシステム。
［実施態様１４］
前記脅威検出モデル（１５５）が、決定境界と、（ｉ）特徴マッピングおよび（ｉｉ）特徴パラメータの少なくとも１つとに関連付けられる、実施態様１０に記載のシステム。
［実施態様１５］
前記正常および脅威を受けた脅威ノード値のうちの少なくとも１つは、（ｉ）パワータービン、（ｉｉ）ジェットエンジン、（ｉｉｉ）機関車、および（ｉｖ）自律車両の少なくとも１つに関連する産業制御システム上の実験の設計を実行することによって得られる、実施態様１０に記載のシステム。
［実施態様１６］
産業資産制御システムを保護するコンピュータ化された方法であって、
複数の脅威ノード（１３０）のそれぞれに対して、前記産業資産制御システムの正常動作を表す一連の正常脅威ノード値を経時的に検索するステップと、
前記複数の脅威ノード（１３０）のそれぞれに対して、前記産業資産制御システムの脅威動作を表す一連の脅威を受けた脅威ノード値を経時的に検索する前記正常脅威ノード値に基づいて正常特徴ベクトルのセットを生成するステップと、
前記脅威を受けた脅威ノード値に基づいて脅威特徴ベクトルのセットを生成するステップと、
正常特徴ベクトルの前記セットと脅威特徴ベクトルの前記セットとに基づいて、脅威検出モデル（１５５）に対する少なくとも１つの決定境界を自動的に計算して出力するステップと、
を備える、方法。
［実施態様１７］
前記少なくとも１つの決定境界が多次元空間内に存在し、（ｉ）動的モデル、（ｉｉ）実験データの設計、（ｉｉｉ）機械学習技術、（ｉｖ）サポートベクトルマシン、（ｖ）全因子処理、（ｖｉ）田口スクリーニング、（ｖｉｉ）中央複合方法、（ｖｉｉｉ）Ｂｏｘ−Ｂｅｈｎｋｅｎ方法、（ｉｘ）現実の動作条件、（ｘ）完全実施要因計画、（ｘｉ）スクリーニング計画、および（ｘｉｉ）中央複合計画、の少なくとも１つと関連付けられる、実施態様１６に記載の方法。
［実施態様１８］
正常特徴ベクトルの前記セットおよび脅威特徴ベクトルの前記セットの少なくとも一方が、（ｉ）主成分、（ｉｉ）統計的特徴、（ｉｉｉ）深層学習特徴、（ｉｖ）周波数領域特徴、（ｖ）時系列分析特徴、（ｖｉ）論理特徴、（ｖｉｉ）地理的位置または位置に基づく場所、および（ｖｉｉｉ）相互作用特徴のうちの少なくとも１つに関連付けられている、実施態様１６に記載の方法。
［実施態様１９］
前記複数の脅威ノード値が、（ｉ）専門知識のレベル、（ｉｉ）時間量、（ｉｉｉ）容易さのレベル、および（ｉｖ）損傷量の少なくとも１つを含む、リスク優先番号分析による潜在的脅威ベクトルのセットから生成される、実施態様１６に記載の方法。
［実施態様２０］
少なくとも１つの決定境界が、（ｉ）過渡状態、（ｉｉ）前記産業資産制御システムの定常状態モデル、および（ｉｉｉ）入力データストリームから自己学習システムのように前記システムを動作させながら取得されたデータセット、の少なくとも１つに基づいて動的に適合される、実施態様１６に記載の方法。
［実施態様２１］
前記複数の脅威ノード（１３０）のそれぞれからの情報が正規化され、出力が基底関数の加重線形結合として表される、実施態様１６に記載の方法。
［実施態様２２］
自然基底ベクトルが、脅威ノードデータ行列の共分散を用いて得られる、実施態様２１に記載の方法。
［実施態様２３］
コンピュータプロセッサによって実行される場合、前記コンピュータプロセッサに産業資産制御システムを保護する方法を実行させる命令を格納する非一時的なコンピュータ可読媒体であって、前記方法が、
複数の脅威ノード（１３０）から、前記産業資産制御システムの現在動作を表す一連の現在の脅威ノード値を経時的に受信するステップと、
前記受信した一連の現在の脅威ノード値に基づいて、脅威検出コンピュータ（１５０）によって、現在の特徴ベクトルのセットを生成するステップと、
現在の特徴ベクトルの前記セットおよび少なくとも１つの決定境界に基づいて脅威警報信号を送信する脅威検出モデル（１５５）を実行するステップと、
を備える、非一時的なコンピュータ可読媒体。

１００ システム
１１０ 正常空間データソース
１２０ 脅威空間データソース
１３０ 脅威ノード（センサ）
１４０ 脅威検出モデル生成コンピュータ
１５０ 脅威検出コンピュータ
１５５ 脅威検出モデル
１７０ 遠隔端末
４００ オフライン処理
４１０ 脅威／なりすまし／攻撃ベクトル
４２０ モデル
４３０ 脅威ノードからの値
４４０ 特徴を計算し、特徴ベクトルに組み立てる
４５０ トレーニングおよび評価データベース
４６０ 計算された決定境界
６００ ガスタービンエンジンの例
６１０ コントローラおよびアクチュエータ
６２０ ガスタービンエンジン
６３０ センサ
７００ 脅威ベクトル損傷表示
７１０ グラフ
７２０ バブル
８００ グローバル脅威保護システム
８１０ 値のバッチ
８２０ 行列
８３０ 特徴量設計コンポーネント
８４０ 特徴ベクトル
８５０ グローバル特徴ベクトル
８６０ 相互作用特徴
８７０ 異常検出エンジン
９００ ３次元のセンサ出力
９１０ グラフ
９２０ 決定境界
１０００ 決定境界表示
１０１０ 単純な決定境界
１０２０ 結果
１１００ 産業資産制御システム保護プラットフォーム
１１１０ プロセッサ
１１１２ プログラム
１１１４ 脅威検出モデル
１１２０ 通信デバイス
１１３０ ストレージユニット
１１４０ 入力デバイス
１１５０ 出力デバイス
１２００ 脅威検出データベース
１２０２ 脅威ノード識別子
１２０４ 脅威ノード値
１２０６ 特徴
１２０８ 特徴ベクトル
１２１０ グローバル特徴ベクトル
１２１２ 決定

Claims (10)

1. 産業資産制御システムを保護するシステムであって、
   前記産業資産制御システムの現在動作を表す一連の現在の脅威ノード値をそれぞれが経時的に生成する複数の脅威ノード（１３０）と、
   前記複数の脅威ノード（１３０）に結合された脅威検出コンピュータ（１５０）であって、
   （ｉ）前記一連の現在の脅威ノード値を受信し、現在の特徴ベクトルのセットを生成し、
   （ｉｉ）正常特徴ベクトルのセットと脅威特徴ベクトルのセットとを用いて生成された少なくとも１つの決定境界を有する脅威検出モデル（１５５）にアクセスし、
   （ｉｉｉ）前記脅威検出モデル（１５５）を実行し、現在の特徴ベクトルの前記セットおよび前記少なくとも１つの決定境界に基づいて脅威警報信号を送信する、
   脅威検出コンピュータ（１５０）と、
   を備える、システム。
2. 正常特徴ベクトルの前記セットおよび脅威特徴ベクトルの前記セットの少なくとも一方が、（ｉ）主成分、（ｉｉ）統計的特徴、（ｉｉｉ）深層学習特徴、（ｉｖ）周波数領域特徴、（ｖ）時系列分析特徴、（ｖｉ）論理特徴、（ｖｉｉ）地理的位置または位置に基づく場所、および（ｖｉｉｉ）相互作用特徴のうちの少なくとも１つに関連付けられている、請求項１に記載のシステム。
3. 前記少なくとも１つの決定境界を含む前記脅威検出モデル（１５５）が、（ｉ）過渡状態、（ｉｉ）前記産業資産制御システムの定常状態モデル、および（ｉｉｉ）入力データストリームから自己学習システムのように前記システムを動作させながら取得されたデータセット、の少なくとも１つに基づいて動的に適合される、請求項１に記載のシステム。
4. 前記脅威検出モデル（１５５）が、（ｉ）アクチュエータ攻撃、（ｉｉ）コントローラ攻撃、（ｉｉｉ）脅威ノード攻撃、（ｉｖ）プラント状態攻撃、（ｖｉｉ）なりすまし、（ｖｉ）金融損害、（ｖｉｉ）ユニット利用可能性、（ｖｉｉｉ）ユニットトリップ、（ｉｘ）ユニット寿命の喪失、および（ｘ）少なくとも１つの新しい部分を必要とする資産損害、の少なくとも１つと関連付けられる、請求項１に記載のシステム。
5. 前記複数の脅威ノード（１３０）のそれぞれからの情報が正規化され、出力が基底関数の加重線形結合として表される、請求項４に記載のシステム。
6. 自然基底ベクトルが、脅威ノードデータ行列の共分散を用いて得られる、請求項５に記載のシステム。
7. 前記脅威ノード（１３０）が、（ｉ）クリティカルセンサノード、（ｉｉ）アクチュエータノード、（ｉｉｉ）コントローラノード、および（ｉｖ）キーソフトウェアノードの少なくとも１つに関連付けられる、請求項１に記載のシステム。
8. 前記少なくとも１つの決定境界を含む前記脅威検出モデル（１５５）が、（ｉ）線、（ｉｉ）超平面、および（ｉｉｉ）正常空間および脅威空間を分離する非線形境界、の少なくとも１つに関連付けられる、請求項１に記載のシステム。
9. 前記少なくとも１つの決定境界を含む前記脅威検出モデル（１５５）が、正常空間、脅威空間、および劣化動作空間を分離するマルチクラス決定境界である、請求項１に記載のシステム。
10. 前記複数の脅威ノード（１３０）のそれぞれに対して、前記産業資産制御システムの正常動作を表す一連の正常脅威ノード値を経時的に格納する正常空間データソース（１１０）と、
    前記複数の脅威ノード（１３０）のそれぞれに対して、前記産業資産制御システムの脅威動作を表す一連の脅威を受けた脅威ノード値を経時的に格納する脅威空間データソース（１２０）と、
    前記正常空間データソース（１１０）および前記脅威空間データソース（１２０）に結合される脅威検出モデル生成コンピュータ（１４０）であって、
    （ｉ）前記一連の正常脅威ノード値を受信し、正常特徴ベクトルの前記セットを生成し、
    （ｉｉ）前記一連の脅威を受けた脅威ノード値を受信し、脅威特徴ベクトルの前記セットを生成し、
    （ｉｉｉ）正常特徴ベクトルの前記セットおよび脅威特徴ベクトルの前記セットに基づいて、前記脅威検出モデル（１５５）に対する前記少なくとも１つの決定境界を自動的に計算して出力する、
    脅威検出モデル生成コンピュータ（１４０）と、
    をさらに備える、請求項１に記載のシステム。