KR101989579B1 - Apparatus and method for monitoring the system - Google Patents
Apparatus and method for monitoring the system Download PDFInfo
- Publication number
- KR101989579B1 KR101989579B1 KR1020170143790A KR20170143790A KR101989579B1 KR 101989579 B1 KR101989579 B1 KR 101989579B1 KR 1020170143790 A KR1020170143790 A KR 1020170143790A KR 20170143790 A KR20170143790 A KR 20170143790A KR 101989579 B1 KR101989579 B1 KR 101989579B1
- Authority
- KR
- South Korea
- Prior art keywords
- signal
- state
- learning
- value
- output
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B23/00—Testing or monitoring of control systems or parts thereof
- G05B23/02—Electric testing or monitoring
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B19/00—Programme-control systems
- G05B19/02—Programme-control systems electric
- G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
- G05B19/048—Monitoring; Safety
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
- G06N20/00—Machine learning
-
- G—PHYSICS
- G08—SIGNALLING
- G08B—SIGNALLING OR CALLING SYSTEMS; ORDER TELEGRAPHS; ALARM SYSTEMS
- G08B21/00—Alarms responsive to a single specified undesired or abnormal condition and not otherwise provided for
- G08B21/18—Status alarms
- G08B21/182—Level alarms, e.g. alarms responsive to variables exceeding a threshold
Landscapes
- Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Automation & Control Theory (AREA)
- Data Mining & Analysis (AREA)
- Computer Vision & Pattern Recognition (AREA)
- Business, Economics & Management (AREA)
- Evolutionary Computation (AREA)
- Medical Informatics (AREA)
- Artificial Intelligence (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Mathematical Physics (AREA)
- Emergency Management (AREA)
- Testing And Monitoring For Control Systems (AREA)
Abstract
시스템 감시 장치 및 방법이 개시된다. 본 발명의 일실시예에 따른 시스템 감시 장치는 적어도 두 개의 장치들이 서로 입출력 하는 신호를 수집하는 신호 수집부 신호 상태 머신(Signal-State Machine) 및 지도 학습(Supervised Learning) 기법 중 적어도 하나 이상을 이용하여 상기 신호를 학습하는 신호 학습부 및 학습된 신호와 새롭게 수집된 신호를 이용하여 상기 장치들의 상태를 판단하는 상태 판단부를 포함한다.A system monitoring apparatus and method are disclosed. The system monitoring apparatus according to an embodiment of the present invention uses at least one of a signal-collecting part signal-state machine and a supervised learning method in which at least two devices collect signals input to and output from each other A signal learning unit for learning the signal, and a state determination unit for determining the state of the devices using the learned signal and the newly collected signal.
Description
본 발명은 시스템 감시 기술에 관한 것으로, 보다 상세하게는 장치가 발생시키는 입출력 신호가 가지는 특성으로부터 시스템의 이상 상태를 감지하는 기술에 관한 것이다.BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to a system monitoring technology, and more particularly, to a technique for detecting an abnormal state of a system from characteristics of an input / output signal generated by the apparatus.
최근 산업용 제어기기에 대한 취약점이 다수 발견되고 있다. 특히, 상대적으로 보안 장치가 부족한 것이 공격자에게 알려지게 되면서, 공격자는 제어시스템을 새로운 공격 대상으로 주목하고 있다. 제어시스템은 제어기기의 취약점을 이용한 직, 간접적인 불법 조작 방법이 알려지고 있으며, 제어시스템 관리 업체 또는 내부자에 의한 사이버 위협이 잠재적으로 존재한다.Recently, many vulnerabilities to industrial control devices have been found. In particular, as the lack of security devices becomes known to the attacker, the attacker is paying attention to the control system as a new attack target. The control system is known to be directly or indirectly illegally operated using the weakness of the control device, and there is a potential cyber threat by the control system management company or the insider.
제어시스템 보안은 일반적으로 방화벽(firewall)이나 단방향 자료전달 장치(data diode) 등 기본적인 네트워크 보안 장치에 의해 보호되고 있다. 이 때, 일부 안티바이러스(백신) 제품 등이 적용되고 있으나 제한적이다. 제어시스템은 가용성을 최우선의 가치로 두고 있어 보안 제품이 시스템 운영에 영향을 미치는 것을 우려하기 때문이다. 제어시스템은 안티바이러스 등의 보안 제품을 사용하더라도 알려진 공격에 대해서만 대응할 수 있다. 이 때, 제어시스템은 망분리(air-gapped network)가 적용되어 있는 경우가 많아 보안 제품의 업데이트에 많은 비용이 요구된다. 또한, 제품 업데이트를 위한 경로 자체가 또 하나의 보안 위협이 되기도 한다.Control system security is generally protected by basic network security devices such as firewalls and unidirectional data diodes. At this time, some anti-virus (vaccine) products are being applied but they are limited. Control systems place availability at the top of the list, worrying that security products will affect system operation. The control system can only respond to known attacks, even when using security products such as antivirus. In this case, since the control system is often applied with an air-gapped network, it is costly to update the security product. In addition, the path for product updates is another security threat.
따라서 산업제어시스템에 대한 악성행위 탐지는 제어시스템 네트워크의 통신(ethernet or serial communication) 트래픽(traffic)을 탭핑(tapping) 또는 미러링(mirroring)을 통해 수집하고 분석하여 악성행위를 감시하거나 차단하는 방법이 많이 사용되고 있다. 산업제어시스템의 네트워크 트래픽은 일반 IT 네트워크에 비해 정해진 프토토콜에 따라 일정한 주기와 데이터 범위를 갖는 특성을 가진다.Therefore, malicious activity detection for industrial control systems is a method of monitoring or blocking malicious activity by collecting and analyzing the ethernet or serial communication traffic of the control system network through tapping or mirroring It is widely used. The network traffic of the industrial control system is characterized by having a constant period and data range according to the protocol determined in comparison with the general IT network.
이 때, 종래의 네트워크 트래픽의 보안 기술은 허가된 대상(사용자 또는 기기, IP, 포트, 프로토콜, 명령 등)의 접근만을 허용하는 방법이 흔히 사용되고 있다.At this time, a conventional network traffic security technique is often used to allow access only to an authorized object (user or device, IP, port, protocol, command, etc.).
그러나, 종래의 네트워크 트래픽의 보안 기술은 제어기기의 불법 조작으로 운영자에게는 조작된 모니터링 정보를 보내고 현장장치로는 악의적인 명령을 수행하는 은닉형의 공격에 대해서 악성행위를 탐지할 수 없다. 이러한 유형의 공격은 스턱스넷을 통해 이미 검증된 바가 있다. 제어기기의 조작을 탐지하는 것은 제어기기에 보안 장치를 추가해야 하지만 산업용 제어기기의 제한적인 자원과 다양성으로 인해 보안 기능의 적용이 어렵다. 제어기기는 가용성이 최우선시 되는 상황에서 제한적인 자원 하에 부가 기능을 수행하는 것은 현실적으로 불가능하다. 따라서, 제어기기의 성능에 영향을 미치지 않으면서 악성행위를 감시하기 위해서는 제어시스템 내의 네트워크 트래픽 뿐 만 아니라 제어기기의 입출력 신호에 대한 악성행위를 분석하는 것이 필요하다.However, the conventional network traffic security technology can not detect the malicious action against the hidden type attack that sends the manipulated monitoring information to the operator and illegally executes the malicious command by the illegal operation of the control device. This type of attack has already been proven through Stuxnet. Detecting the operation of the control device requires adding a security device to the control device, but it is difficult to apply the security function due to the limited resources and diversity of the industrial control device. It is practically impossible for the control device to perform additional functions under limited resources in a situation where availability is given the highest priority. Therefore, in order to monitor the malicious behavior without affecting the performance of the control device, it is necessary to analyze not only the network traffic in the control system but also the malicious behavior of the input / output signal of the control device.
한편, 한국등록특허 제 10-1464344호“감시 영상의 정상 상태 학습을 통한 이상 상태 감지 방법과 이를 적용한 감시 카메라 및 영상 관리 시스템” 는 감시 영상의 정상 상태 학습을 통한 이상 상태 감지 방법과 이를 적용한 감시 카메라 및 영상 관리 시스템에 관하여 개시하고 있다.Korean Patent No. 10-1464344 entitled " Method for detecting anomalous state through steady state learning of surveillance image and surveillance camera and image management system using the same, " Camera and image management system.
본 발명은 시스템 이상행위 탐지를 위해 시스템의 감시 영역을 확장하여 종래에는 탐지할 수 없는 시스템의 위협에 대응하는 것을 목적으로 한다.An object of the present invention is to extend the surveillance area of a system in order to detect abnormal behavior of the system to cope with a threat of a system which can not be detected conventionally.
또한, 본 발명은 시스템 이상행위 탐지를 최대한 신속하고 정확하게 수행하고, 통합적인 분석을 위해 데이터를 취합하여 시스템의 이상 상태를 분석하는 것을 목적으로 한다.It is another object of the present invention to perform system anomaly detection as quickly and accurately as possible, and collect data for an integrated analysis to analyze the abnormal state of the system.
또한, 본 발명은 운영자의 피드백 등을 기반으로 스스로 시스템의 상태를 학습하여 이상 상태에 대한 탐지율을 향상시키는 것을 목적으로 한다.It is another object of the present invention to improve the detection rate of an abnormal state by learning the state of the system on its own based on feedback of an operator.
또한, 본 발명은 폐쇄망으로 운영되어 원격 업데이트 불가능한 시스템에 적용시키는 것을 목적으로 한다.The present invention also aims at applying the present invention to a system which is operated as a closed network and can not be remotely updated.
상기한 목적을 달성하기 위한 본 발명의 일실시예에 따른 시스템 감시 장치는 적어도 두 개의 장치들이 서로 입출력 하는 신호를 수집하는 신호 수집부 신호 상태 머신(Signal-State Machine) 및 지도 학습(Supervised Learning) 기법 중 적어도 하나 이상을 이용하여 상기 신호를 학습하는 신호 학습부 및 학습된 신호와 새롭게 수집된 신호를 이용하여 상기 장치들의 상태를 판단하는 상태 판단부를 포함한다.According to an aspect of the present invention, there is provided a system monitoring apparatus including a signal collecting part signal state machine and at least one supervisory learning part for collecting signals input / And a state determiner for determining a state of the devices using the learned signal and the newly collected signal.
이 때, 상기 신호 학습부는 상기 장치들의 정상 운영 상태에서 수집한 신호의 수집 시각과 데이터를 이용하여 상기 신호의 디지털 입출력 신호 값에 대한 신호 상태 머신(Signal-State Machine)을 생성할 수 있다.At this time, the signal learning unit can generate a signal-state machine for the digital input / output signal value of the signal using the collected time and data of the signal collected in the normal operating state of the apparatuses.
이 때, 상기 신호 학습부는 상기 디지털 입출력 신호 값에 대한 천이 확률(transition probability)과 천이 시간(transition time) 통계를 포함하는 상태 천이 정보를 생성할 수 있다.In this case, the signal learning unit may generate state transition information including transition probability and transition time statistics for the digital input / output signal value.
이 때, 상기 신호 학습부는 상기 장치들의 신호 상태 정보와 상기 상태 천이 정보를 학습 기계(Learning Machine)에 입력하여 상기 천이 시간 동안의 상기 신호의 아날로그 입출력 신호 값의 변화율을 학습할 수 있다.At this time, the signal learning unit may input the signal state information of the devices and the state transition information to a learning machine to learn a rate of change of the analog input / output signal value of the signal during the transition time.
이 때, 상기 상태 판단부는 상기 디지털 입출력 신호 값에 대한 상기 상태 천이 정보가 비정상적 경우 및 상기 천이 확률이 기설정된 값 이상으로 변화하는 경우 중 적어도 하나 이상 해당하는 경우 상기 장치들을 이상 상태로 판단할 수 있다.At this time, if the state transition information for the digital input / output signal value is abnormal and / or the transition probability is greater than or equal to a predetermined value, the state determination unit may determine that the devices are abnormal have.
이 때, 상기 상태 판단부는 상기 장치들의 신호 상태 정보와 상기 새롭게 수집된 신호의 상태 천이 정보를 상기 학습 기계에 입력하여 예측된 아날로그 입출력 신호 예측 값과 상기 새롭게 수집된 신호의 아날로그 입출력 신호 값의 잔차(residual)을 계산하고, 상기 잔차가 기설정된 범위를 초과하는 경우, 상기 장치들을 이상 상태로 판단할 수 있다.At this time, the state determination unit inputs the signal state information of the devices and the state transition information of the newly collected signal to the learning machine, and outputs the predicted analog input / output signal predicted value and the residual of the analog input / and may determine the devices to be in an abnormal state when the residual exceeds the predetermined range.
이 때, 상기 신호 학습부는 상기 신호의 디지털 입출력 신호 값을 제1 학습 기계에 입력하고, 상기 신호의 아날로그 입출력 신호 값을 제2 학습 기계에 각각 입력하여 지도 학습(Supervised Learning)을 수행할 수 있다.At this time, the signal learning unit may input the digital input / output signal value of the signal to the first learning machine, and input the analog input / output signal value of the signal to the second learning machine, respectively, to perform supervised learning .
이 때, 상기 신호 학습부는 상기 제1 학습 기계가 출력하는 제1 결과 값과 상기 제2 학습 기계가 출력하는 제2 결과 값을 연결(concatenation)한 연결 값을 제3 학습 기계에 입력하여 출력한 최종 결과 값을 학습할 수 있다.At this time, the signal learning unit inputs to the third learning machine a connection value obtained by concatenating the first result value output from the first learning machine and the second result value output from the second learning machine, and outputs the connection value The final result value can be learned.
이 때, 상기 상태 판단부는 상기 학습된 신호의 최종 결과 값과 상기 새롭게 수집된 신호의 최종 결과 값의 차이가 기설정된 임계 값을 초과하는 경우, 상기 장치들을 이상 상태로 판단할 수 있다.At this time, the state determiner may determine the devices to be abnormal if the difference between the final result value of the learned signal and the final result value of the newly collected signal exceeds a preset threshold value.
이 때, 상기 상태 판단부는 상기 신호 상태 머신을 이용한 상태 판단 결과와 상기 지도 학습 기법을 이용한 상태 판단 결과가 모두 이상 상태인 경우에만 상기 장치들을 이상 상태로 판단할 수 있다.At this time, the state determiner may determine that the devices are in an abnormal state only when the state determination result using the signal state machine and the state determination result using the map learning technique are both abnormal.
또한, 상기한 목적을 달성하기 위한 본 발명의 일실시예에 따른 시스템 감시 방법은 시스템 감시 장치를 이용하는 시스템 감시 방법에 있어서, 적어도 두 개의 장치들이 서로 입출력 하는 신호를 수집하는 단계; 신호 상태 머신(Signal-State Machine)을 이용하여 상기 신호를 학습하는 단계 및 학습된 신호와 새롭게 수집된 신호를 이용하여 상기 장치들의 상태를 판단하는 단계를 포함한다.According to another aspect of the present invention, there is provided a system monitoring method using a system monitoring device, the method comprising: collecting signals input / output to / from at least two devices; Learning the signal using a signal-state machine, and determining the state of the devices using the learned signal and the newly collected signal.
이 때, 상기 신호를 학습하는 단계는 상기 장치들의 정상 운영 상태에서 수집한 신호의 수집 시각과 데이터를 이용하여 상기 신호의 디지털 입출력 신호 값에 대한 신호 상태 머신(Signal-State Machine)을 생성할 수 있다.At this time, the step of learning the signal may generate a signal-state machine for the digital input / output signal value of the signal using the collected time and data of the signal collected in the normal operating state of the devices have.
이 때, 상기 신호를 학습하는 단계는 상기 디지털 입출력 신호 값에 대한 천이 확률(transition probability)과 천이 시간(transition time) 통계를 포함하는 상태 천이 정보를 생성할 수 있다.At this time, the step of learning the signal may generate state transition information including transition probability and transition time statistics for the digital input / output signal value.
이 때, 상기 신호를 학습하는 단계는 상기 장치들의 신호 상태 정보와 상기 상태 천이 정보를 학습 기계(Learning Machine)에 입력하여 상기 천이 시간 동안의 상기 신호의 아날로그 입출력 신호 값의 변화율을 학습할 수 있다.In this case, the step of learning the signal may include inputting the signal state information of the devices and the state transition information to a learning machine to learn a rate of change of the analog input / output signal value of the signal during the transition time .
이 때, 상기 상태를 판단하는 단계는 상기 디지털 입출력 신호 값에 대한 상기 상태 천이 정보가 비정상적 경우 및 상기 천이 확률이 기설정된 값 이상으로 변화하는 경우 중 적어도 하나 이상 해당하는 경우 상기 장치들을 이상 상태로 판단할 수 있다.At this time, the step of judging the state may include: when the state transition information for the digital input / output signal value is abnormal and at least one of the cases where the transition probability changes to a predetermined value or more, It can be judged.
이 때, 상기 상태를 판단하는 단계는 상기 장치들의 신호 상태 정보와 상기 새롭게 수집된 신호의 상태 천이 정보를 상기 학습 기계에 입력하여 예측된 아날로그 입출력 신호 예측 값과 상기 새롭게 수집된 신호의 아날로그 입출력 신호 값의 잔차(residual)을 계산하고, 상기 잔차가 기설정된 범위를 초과하는 경우, 상기 장치들을 이상 상태로 판단할 수 있다.At this time, the step of determining the state may include inputting the signal state information of the devices and the state transition information of the newly collected signal to the learning machine and comparing the predicted analog input / output signal predictive value and the analog input / Value, and may determine the devices to be in an abnormal state if the residual exceeds a predetermined range.
이 때, 상기 신호를 학습하는 단계는 상기 신호의 디지털 입출력 신호 값을 제1 학습 기계에 입력하고, 상기 신호의 아날로그 입출력 신호 값을 제2 학습 기계에 각각 입력하여 지도 학습(Supervised Learning)을 수행할 수 있다.At this time, learning the signal includes inputting a digital input / output signal value of the signal to a first learning machine, inputting an analog input / output signal value of the signal to a second learning machine, and performing supervised learning can do.
이 때, 상기 신호를 학습하는 단계는 상기 제1 학습 기계가 출력하는 제1 결과 값과 상기 제2 학습 기계가 출력하는 제2 결과 값을 연결(concatenation)한 연결 값을 제3 학습 기계에 입력하여 출력한 최종 결과 값을 학습할 수 있다.The step of learning the signal may include inputting a connection value obtained by concatenating a first result value output from the first learning machine and a second result value output from the second learning machine to a third learning machine And can learn the final result value output by the user.
이 때, 상기 상태를 판단하는 단계는 상기 학습된 신호의 최종 결과 값과 상기 새롭게 수집된 신호의 최종 결과 값의 차이가 기설정된 임계 값을 초과하는 경우, 상기 장치들을 이상 상태로 판단할 수 있다.In this case, when the difference between the final result value of the learned signal and the final result value of the newly collected signal exceeds a predetermined threshold value, the step of determining the state may determine the devices to be in an abnormal state .
이 때, 상기 상태를 판단하는 단계는 상기 신호 상태 머신을 이용한 상태 판단 결과와 상기 지도 학습 기법을 이용한 상태 판단 결과가 모두 이상 상태인 경우에만 상기 장치들을 이상 상태로 판단할 수 있다.At this time, the step of determining the state may determine that the devices are in an abnormal state only when both the state determination result using the signal state machine and the state determination result using the map learning technique are abnormal.
본 발명은 시스템 이상행위 탐지를 위해 시스템의 감시 영역을 확장하여 종래에는 탐지할 수 없는 시스템의 위협에 대응할 수 있다.The present invention extends the surveillance area of the system to detect abnormal behavior of the system, so that it can cope with the threat of the system that can not be detected in the past.
또한, 본 발명은 시스템 이상행위 탐지를 최대한 신속하고 정확하게 수행하고, 통합적인 분석을 위해 데이터를 취합하여 시스템의 이상 상태를 분석할 수 있다.In addition, the present invention can perform system anomaly detection as quickly and accurately as possible, and analyze the abnormal state of the system by collecting data for an integrated analysis.
또한, 본 발명은 운영자의 피드백 등을 기반으로 스스로 시스템의 상태를 학습하여 이상 상태에 대한 탐지율을 향상시킬 수 있다.In addition, the present invention can improve the detection rate of an abnormal state by learning the state of the system on its own based on the feedback of the operator.
또한, 본 발명은 폐쇄망으로 운영되어 원격 업데이트 불가능한 시스템에 적용시킬 수 있다.Further, the present invention can be applied to a system which is operated as a closed network and can not be remotely updated.
도 1은 본 발명의 일실시예에 따른 제어 시스템과 시스템 감시 장치를 나타낸 블록도이다.
도 2는 본 발명의 일실시예에 따른 시스템 감시 장치를 나타낸 블록도이다.
도 3는 본 발명의 일실시예에 따른 신호 상태 머신을 이용한 시스템 감시 방법을 나타낸 동작흐름도이다.
도 4는 본 발명의 일실시예에 따른 지도 학습 기법을 이용한 시스템 감시 방법을 나타낸 동작흐름도이다.
도 5는 본 발명의 일실시예에 따른 컴퓨터 시스템을 나타낸 블록도이다.1 is a block diagram showing a control system and a system monitoring apparatus according to an embodiment of the present invention.
2 is a block diagram illustrating a system monitoring apparatus according to an embodiment of the present invention.
3 is a flowchart illustrating a system monitoring method using a signal state machine according to an embodiment of the present invention.
4 is a flowchart illustrating a system monitoring method using a map learning method according to an embodiment of the present invention.
5 is a block diagram illustrating a computer system in accordance with one embodiment of the present invention.
본 발명을 첨부된 도면을 참조하여 상세히 설명하면 다음과 같다. 여기서, 반복되는 설명, 본 발명의 요지를 불필요하게 흐릴 수 있는 공지 기능, 및 구성에 대한 상세한 설명은 생략한다. 본 발명의 실시형태는 당 업계에서 평균적인 지식을 가진 자에게 본 발명을 보다 완전하게 설명하기 위해서 제공되는 것이다. 따라서, 도면에서의 요소들의 형상 및 크기 등은 보다 명확한 설명을 위해 과장될 수 있다.The present invention will now be described in detail with reference to the accompanying drawings. Hereinafter, a repeated description, a known function that may obscure the gist of the present invention, and a detailed description of the configuration will be omitted. Embodiments of the present invention are provided to more fully describe the present invention to those skilled in the art. Accordingly, the shapes and sizes of the elements in the drawings and the like can be exaggerated for clarity.
명세서 전체에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성 요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다.Throughout the specification, when an element is referred to as "comprising ", it means that it can include other elements as well, without excluding other elements unless specifically stated otherwise.
이하, 본 발명에 따른 바람직한 실시예를 첨부된 도면을 참조하여 상세하게 설명한다.Hereinafter, preferred embodiments according to the present invention will be described in detail with reference to the accompanying drawings.
도 1은 본 발명의 일실시예에 따른 제어 시스템과 시스템 감시 장치를 나타낸 블록도이다.1 is a block diagram showing a control system and a system monitoring apparatus according to an embodiment of the present invention.
도 1을 참조하면, 본 발명의 일실시예에 따른 제어 시스템은 현장 장치(10), 제어 장치(20), HMI 장치(30) 및 시스템 감시 장치(100)를 포함한다.Referring to FIG. 1, a control system according to an embodiment of the present invention includes a
현장 장치(10)는 센서 및 엑츄에이터에 상응할 수 있다.The
이 때, 현장 장치(10)는 제어 장치(20)와 디지털 신호 및 아날로그 신호로 명령을 입력 받을 수 있고, 수행 결과를 보고할 수 있다.At this time, the
제어 장치(20)는 제어기기(Programmable Logic Controller, PLC)에 상응할 수 있다.The
이 때, 제어 장치(20)는 현장 장치(10)에게 디지털 신호 및 아날로그 신호로 명령을 입력할 수 있고, 수행 결과를 보고 받을 수 있다.At this time, the
HMI 장치(30)는 HMI(human-machine interface)를 통해 제어 장치(20)의 운전 상황을 주기적으로 보고 받을 수 있다.The
이 때, HMI 장치(30)는 제어 장치(20)에게 네트워크 트래픽으로 운전 명령을 전달할 수 있고, 수행 결과를 보고 받을 수 있다.At this time, the
이 때, 제어 장치(20)와 HMI 장치(30)가 교신하는 내용과 현장 장치(10)와 제어 장치(20)가 교신하는 내용은 서로 다른 양식(format)을 가지고 있어 단순비교가 불가능하다.At this time, the contents of the communication between the
제어 시스템은 제어 장치(20)가 HMI 장치(30)로부터 어떤 메시지를 받으면 현장 장치(10)로 특정 메시지를 출력하거나, 현장 장치(10)가 특정 메시지를 수신하면 HMI 장치(30)에 특정 결과를 보고 하는 전체 제어 프로세스 패턴이 존재할 수 있다.The control system outputs a specific message to the
이 때, 시스템 감시 장치(100)는 전체 제어 프로세스 패턴에서 정상 상태에 대한 모든 패턴을 알고 있다면 이후 발생하는 의심스러운 행위를 탐지할 수 있다.At this time, if the
이 때, 제어 시스템의 정상 상태는 운영자가 제어시스템의 운영을 모니터링 함으로써 판단할 때 시스템의 물리적 동작에 문제가 없다고 판단되는 구간으로 정의할 수 있다.In this case, the steady state of the control system can be defined as a section in which it is determined that there is no problem in the physical operation of the system when the operator judges by monitoring the operation of the control system.
제어 장치(20)와 HMI 장치(30)의 영역은 현재 운영 상태에서 정해진 운영절차에 따라 운영자 입력부터 다음 운영 상태로 전환되는 전체 운영 프로세스(패턴)이 존재할 수 있다.There may be a whole operational process (pattern) in which the areas of the
현장 장치(10)와 제어 장치(20)의 영역은 제어 장치(20)의 제어 로직에 따라 현재 신호 상태에서 HMI 장치(30)의 명령에 따라 다음 신호 상태로 전환되는 전체 신호 프로세스(패턴)이 존재할 수 있다.The area of the
전체 제어 프로세스는 상기 두 영역에서 발생하는 상태 전환에 따라 발생하는 상호 연관된 상태 전환에 상응할 수 있다.The overall control process may correspond to an interrelated state transition occurring in accordance with a state transition occurring in the two regions.
이 때, 시스템 감시 장치(100)는 전체 제어 프로세스의 기설정된 패턴을 벗어나는 경우, 제어 시스템을 이상 상태로 판단할 수 있다.At this time, when the
이 때, 시스템 감시 장치(100)는 전체 제어 프로세스에서 현재의 상태 정보를 이용하여 운영 프로세스와 신호 프로세스의 현 단계를 시각화하여 표현할 수 있다.At this time, the
또한, 시스템 감시 장치(100)는 네트워크 스위치 미러링 및 탭핑 등 제어시스템 구성 및 운영 상황에 따라 적합한 수집 방법을 이용하여 제어 장치(20)와 HMI 장치(30)의 영역에서 데이터를 수집할 수 있다.In addition, the
이 때, 시스템 감시 장치(100)는 제어기기 데이터 수집 서버를 이용하거나, 별도의 신호 수집 장치(Data Acquisition, DAQ)를 설치하여 현장 장치(10)와 제어 장치(20)의 영역에 대한 데이터를 수집할 수 있다.At this time, the
시스템 감시 장치(100)는 현장 장치(10)와 제어 장치(20)가 입출력하는 디지털 신호와 아날로그 신호를 수집할 수 있다.The
이 때, 시스템 감시 장치(100)는 기계 학습에 기반하여 수집한 신호를 학습할 수 있고, 학습된 신호의 패턴을 이용하여 시스템 감시를 수행할 수 있다.At this time, the
이 때, 시스템 감시 장치(100)는 기계 학습을 통해 현장 장치(10)와 제어 장치(20)의 입출력 신호에 대한 이해가 없어도 장치들의 정상 상태를 학습할 수 있다.At this time, the
이 때, 시스템 감시 장치(100)는 시스템이 운영되는 동안 장치들이 입출력 하는 신호로부터 지속적으로 장치들의 상태를 학습할 수 있다.At this time, the
이 때, 시스템 감시 장치(100)는 정상 신호 값을 학습할 수 있고, 이후 새롭게 수집된 신호 값을 비교하여 장치들의 정상 상태 여부를 판단할 수 있다.At this time, the
이 때, 시스템 감시 장치(100)는 새롭게 수집된 신호로부터 기존에 발생하지 않았던 새로운 패턴이 검출된 경우, 장치들을 이상 상태로 판단할 수 있다.At this time, the
또한, 시스템 감시 장치(100)와 제어 장치(20)는 하나의 장치로 결합되어 제어 장치(20)와 시스템 감시 장치(100)의 기능을 수행할 수도 있다.The
도 2는 본 발명의 일실시예에 따른 시스템 감시 장치를 나타낸 블록도이다.2 is a block diagram illustrating a system monitoring apparatus according to an embodiment of the present invention.
도 2를 참조하면, 본 발명의 일실시예에 따른 시스템 감시 장치(100)는 신호 수집부(110), 신호 학습부(120) 및 상태 판단부(130)를 포함할 수 있다.2, a
신호 수집부(110)는 적어도 두 개의 장치들이 서로 입출력 하는 신호를 수집할 수 있다.The
이 때, 신호 수집부(110)는 현장 장치(10)와 제어 장치(20)가 서로 입출력 하는 신호를 수집할 수 있다.At this time, the
이 때, 신호 수집부(110)는 현장 장치(10)와 제어 장치(20)가 서로 입출력 하는 디지털 입출력 신호와 아날로그 입출력 신호를 분리하여 수집할 수도 있다.At this time, the
신호 학습부(120)는 신호 상태 머신(Signal-State Machine) 및 지도 학습(Supervised Learning) 기법 중 적어도 하나 이상을 이용하여 수집된 신호를 학습할 수 있다.The
이 때, 신호 학습부(120)는 장치들의 정상 운영 상태에서 수집한 신호의 수집 시각과 데이터를 이용하여 신호의 디지털 입출력 신호 값에 대한 신호 상태 머신(Signal-State Machine)을 생성할 수 있다.At this time, the
이 때, 신호 학습부(120)는 마르코프 프로세스(Markov Process)를 이용하여 복수개(n개)의 디지털 입출력 신호 값에 대한 신호 상태 머신을 생성할 수 있다.At this time, the
이 때, 신호 학습부(120)는 디지털 입출력 신호 값에 대한 천이 확률(transition probability)과 천이 시간(transition time) 통계를 포함하는 상태 천이 정보를 생성할 수 있고, 상태 천이 정보를 저장할 수 있다.At this time, the
예를 들어, 신호 상태 머신은 상태(state)를 S=([신호명]_[ON 또는 OFF])로 생성할 수 있다.For example, a signal state machine can generate a state S = ([signal name] _ [ON or OFF]).
이 때, 신호명은 제어 장치(20)의 심볼 테이블 또는 테그 테이블을 이용하거나 신호 수집을 위해 사용되는 신호 수집부(110) 또는 신호 수집 서버의 심볼을 사용할 수도 있다.At this time, the signal name may be a symbol table of the
또한, 신호 상태 머신은 상태 A 에서 B 로의 상태 천이(state transition)를 천이 확률(transition probability) 와 천이 시간(transition time) 통계 로 나타낼 수 있다.The signal state machine also determines the state transition from state A to state B as a transition probability, And transition time statistics .
이 때, 천이 시간 통계는 천이 시간 평균과 표준 편차를 포함할 수 있다.At this time, the transition time statistics may include transition time averages and standard deviations.
또한, 신호 학습부(120)는 복수개(m개)의 아날로그 입출력 신호 값에 대해, 장치들의 신호 상태 정보와 상태 천이 정보를 학습 기계(Learning Machine)에 입력하여 천이 시간 동안의 아날로그 입출력 신호 값의 변화율을 학습할 수 있다.Also, the
이 때, 신호 학습부(120)는 디지털 입출력 신호 값이 아닌 상태 천이 정보를 학습 기계에 입력하게 되므로, 학습 시간을 단축할 수 있다.At this time, since the
상태 판단부(130)는 학습된 신호와 새롭게 수집된 신호를 이용하여 장치들의 상태를 판단할 수 있다.The
이 때, 상태 판단부(130)는 디지털 입출력 신호 값에 대한 상태 천이 정보가 비정상적 경우, 장치들을 이상 상태로 판단할 수 있다.At this time, if the state transition information for the digital input / output signal value is abnormal, the
이 때, 상태 판단부(130)는 천이 확률이 기설정된 값 이상으로 변화하는 경우에도 장치들을 이상 상태로 판단할 수 있다.At this time, the
이 때, 상태 판단부(130)는 장치들의 신호 상태 정보와 새롭게 수집된 신호의 상태 천이 정보를 학습 기계에 입력하여 예측된 아날로그 입출력 신호 예측 값과 새롭게 수집된 신호의 아날로그 입출력 신호 값의 잔차(residual)을 계산하고, 잔차가 기설정된 범위를 초과하는 경우, 장치들을 이상 상태로 판단할 수 있다.At this time, the
또한, 신호 학습부(120)는 수집된 신호의 디지털 입출력 신호 값을 제1 학습 기계에 입력하고, 신호의 아날로그 입출력 신호 값을 제2 학습 기계에 각각 입력하여 지도 학습(Supervised Learning)을 수행할 수 있다.Also, the
이 때, 신호 학습부(120)는 제1 학습 기계가 출력하는 제1 결과 값과 상기 제2 학습 기계가 출력하는 제2 결과 값을 연결(concatenation)한 연결 값을 제3 학습 기계에 입력하여 출력한 최종 결과 값을 학습할 수 있다.At this time, the
즉, 신호 학습부(120)는 수집된 복수개(n개)의 디지털 입출력 신호 값 과 복수개(m개)의 아날로그 입출력 신호 값 을 학습기계 에 입력하여 지도 학습을 수행할 수 있다.That is, the
이 때, 학습 기계 은 입력(input) x와 출력(output) y로 지도 학습 하는 것을 로 나타낼 수 있다. 이 때, 학습 기계 은 수학식 1을 이용하여 지도 학습을 수행할 수 있다.At this time, Is to map the input x and output y . At this time, Can perform map learning using Equation (1).
예를 들어, 수학식 1과 같이, 신호 학습부(120)는 지도 학습 시 입력과 출력에 동일한 값을 이용할 수 있다. 디지털 입출력 신호 값과 아날로그 입출력 신호 값은 범위가 다를 수 있어, 별도의 두 개의 학습 기계()를 사용할 수 있다.For example, as shown in Equation (1), the
이 때, 은 상기에서 설명한 제1 학습 기계, 는 제2 학습 기계에 상응할 수 있다.At this time, The first learning machine, May correspond to the second learning machine.
이 때, 신호 학습부(120)는 두 개의 학습 기계가 출력한 결과 값을 연결(concatenation)하여 다른 학습 기계()에 입력할 수 있다.At this time, the
이 때, 는 상기에서 설명한 제3 학습 기계에 상응할 수 있다.At this time, May correspond to the third learning machine described above.
이 때, 신호 학습부(120)는 입력 값을 나눠서 학습 기계에 입력하는 방식과 출력한 결과 값을 연결하는 방식을 해당 제어 시스템의 입출력 신호의 특성에 맞게 변경될 수 있다.In this case, the
즉, 신호 학습부(120)는 수학식 1을 제어시스템이 가지는 입출력 신호의 특성에 맞게 변형시켜 이용할 수 있다.That is, the
이 때, 신호 학습부(120)는 수학식 1과 같이 디지털 입출력 신호 값과 아날로그 입출력 신호 값을 단순하게 구분 지어 학습을 시도할 수 있다. 이 때, 신호 학습부(120)는 현장 장치(10)를 센서와 엑츄에이터로 구분하거나 특정 중요 신호만 학습하고 일부 신호는 학습에 참여시키지 않는 등 여러 방식으로 변형시켜 학습을 수행할 수 있다.At this time, the
본 발명의 일실시예에 따른 학습 네트워크는 LSTM(Long-short term memory) 셀(cell)을 이용한 RNN(recurrent neural network)을 사용할 수도 있고 CNN(convolutional neural network)을 사용할 수도 있다. 학습 네트워크는 마지막 계층이 입력값의 개수를 가지도록 만 설정하면 된다.The learning network according to an embodiment of the present invention may use a recurrent neural network (RNN) using a long-short term memory (LSTM) cell or a convolutional neural network (CNN). The learning network only needs to be set so that the last layer has the number of input values.
즉, 신호 학습부(120)는 최종적으로 학습 기계를 통해 산출되는 결과 값이 입력값과 동일하게 출력되도록 설정할 수 있다.That is, the
이 때, 신호 학습부(120)는 학습 기계 이 기존에 학습한(관찰한) 디지털/아날로그 입출력 신호 값의 패턴을 다시 입력 받는 다면, 기존과 유사한 결과 값을 출력할 수 있지만, 한 번도 학습한(관찰한) 적이 없는 디지털/아날로그 입출력 신호 값을 입력 받게 되면 새로운 결과 값을 출력하게 된다.At this time, the
따라서, 신호 학습부(120)는 초기에 정상 운용 상태에서의 디지털/아날로그 입출력 신호 값을 학습시키는 것이 필요할 수 있다.Therefore, the
상태 판단부(130)는 학습된 신호의 최종 결과 값과 새롭게 수집된 신호의 최종 결과 값의 차이가 기설정된 임계 값을 초과하는 경우, 상기 장치들을 이상 상태로 판단할 수 있다.The
또한, 상태 판단부(130)는 MSE(mean square error)를 이용하여 최종 결과 값을 비교할 수 있다.In addition, the
즉, 상태 판단부(130)는 출력된 최종 결과 값을 MSE를 통해 특성 숫자로 산출할 수 있다.That is, the
이 때, 상태 판단부(130)는 기설정된 임계값을 학습 시 산출되는 MSE에 따라 다르게 설정할 수도 있다.At this time, the
이 때, 상태 판단부(130)는 높은 임계값을 설정하면 부정 오류(false negative)를 높일 수 있고, 낮은 임계값을 설정하면 긍정 오류(false positive)를 높일 수 있다.At this time, the
이 때, 상태 판단부(130)는 임계값에 기반하여 알람을 생성하게 하면 민감한 오류에 반응할 수 있지만 긍정 오류가 발생할 확률이 높아질 수 있다.At this time, when the
또한, 상태 판단부(130)는 MSE 값을 축적(cumulative)하다가 특정 임계값에 점검하게 되면 긍정 오류는 줄일 수 있지만 반응 시간이 늦어질 수 있다.In addition, if the MSE value is accumulated and checked to a specific threshold value, the
따라서, 상태 판단부(130)는 제어시스템의 중요도에 따라 임계값을 다르게 설정할 수 있다.Therefore, the
또한, 상태 판단부(130)는 신호 상태 머신을 이용한 상태 판단 결과와 상기 지도 학습 기법을 이용한 상태 판단 결과가 모두 이상 상태인 경우에만 장치들을 이상 상태로 판단할 수 있다.In addition, the
나아가, 상태 판단부(130)는 네트워크 트래픽 기반 보안 감시 기술과 연동하여 이상 상태 감지 효율을 높일 수 있다.In addition, the
제어 장치(20)와 HMI 장치(30)의 영역에서 이상 행위가 발견 될 경우, 상태 판단부(130)는 입출력 신호 분석을 조금 더 상세하게 수행할 수 있다.In a case where an abnormal behavior is found in the area of the
예를 들어, 상태 판단부(130)는 이상 징후 판단 기준이 되는 임계값을 낮게 설정할 수 있다.For example, the
반대로, 상태 판단부(130)는 현장 장치(10)와 제어 장치(10)의 영역에서, 입출력 신호를 분석 한 결과, 의심되는 정황이 감지되면 네트워크 트래픽 보안 감시를 상세히 관찰할 수 있다.On the contrary, the
예를 들어, 상태 판단부(130)는 네트워크 트래픽에서 패킷의 페이로드(payload)까지 상세히 검사할 수 있다.For example, the
또한, 상태 판단부(130)는 현장 장치(10)와 제어 장치(20)의 영역과, 제어 장치(20)와 HMI 장치(30)의 영역 모두에서 이상 상태로 판단된 경우에만, 최종적으로 이상 상태로 판단하도록 판단 기준을 설정할 수도 있다.The
이 때, 상태 판단부(130)는 각 영역에서 이상 상태로 의심되는 정도를 정량화하여 영역 별로 특정 임계값을 설정할 수 있고, 임계값을 초과하는 경우에만 알림을 울리는 방식 등을 이용할 수도 있다.At this time, the
도 3는 본 발명의 일실시예에 따른 신호 상태 머신을 이용한 시스템 감시 방법을 나타낸 동작흐름도이다.3 is a flowchart illustrating a system monitoring method using a signal state machine according to an embodiment of the present invention.
도 3을 참조하면, 본 발명의 일실시예에 따른 신호 상태 머신을 이용한 시스템 감시 방법은 먼저 신호를 수집할 수 있다(S210).Referring to FIG. 3, a system monitoring method using a signal state machine according to an embodiment of the present invention may first collect signals (S210).
즉, 단계(S210)는 적어도 두 개의 장치들이 서로 입출력 하는 신호를 수집할 수 있다.That is, the step S210 may collect signals that at least two devices input and output to / from each other.
이 때, 단계(S210)는 현장 장치(10)와 제어 장치(20)가 서로 입출력 하는 신호를 수집할 수 있다.At this time, the step S210 can collect signals that the
이 때, 단계(S210)는 현장 장치(10)와 제어 장치(20)가 서로 입출력 하는 디지털 입출력 신호와 아날로그 입출력 신호를 분리하여 수집할 수도 있다.At this time, the step S210 may separate and collect the digital input / output signal and the analog input / output signal which the
또한, 본 발명의 일실시예에 따른 신호 상태 머신을 이용한 시스템 감시 방법은 신호 상태 머신을 생성할 수 있다(S220).In addition, the system monitoring method using the signal state machine according to an embodiment of the present invention can generate a signal state machine (S220).
즉, 단계(S220)는 장치들의 정상 운영 상태에서 수집한 신호의 수집 시각과 데이터를 이용하여 신호의 디지털 입출력 신호 값에 대한 신호 상태 머신(Signal-State Machine)을 생성할 수 있다.That is, the step S220 may generate a signal-state machine for the digital input / output signal value of the signal using the collected time of the signal collected in the normal operating state of the apparatuses and the data.
이 때, 단계(S220)는 마르코프 프로세스(Markov Process)를 이용하여 복수개(n개)의 디지털 입출력 신호 값에 대한 신호 상태 머신을 생성할 수 있다.At this time, the step S220 may generate a signal state machine for a plurality of (n) digital input / output signal values using a Markov process.
이 때, 단계(S220)는 디지털 입출력 신호 값에 대한 천이 확률(transition probability)과 천이 시간(transition time) 통계를 포함하는 상태 천이 정보를 생성할 수 있고, 상태 천이 정보를 저장할 수 있다.At this time, the step S220 may generate state transition information including transition probability and transition time statistics for the digital input / output signal value, and may store the state transition information.
예를 들어, 신호 상태 머신은 상태(state)를 S=([신호명]_[ON 또는 OFF])로 생성할 수 있다.For example, a signal state machine can generate a state S = ([signal name] _ [ON or OFF]).
이 때, 신호명은 제어 장치(20)의 심볼 테이블 또는 테그 테이블을 이용하거나 신호 수집을 위해 사용되는 신호 수집부(110) 또는 신호 수집 서버의 심볼을 사용할 수도 있다.At this time, the signal name may be a symbol table of the
또한, 신호 상태 머신은 상태 A 에서 B 로의 상태 천이(state transition)를 천이 확률(transition probability) 와 천이 시간(transition time) 통계 로 나타낼 수 있다.The signal state machine also determines the state transition from state A to state B as a transition probability, And transition time statistics .
이 때, 천이 시간 통계는 천이 시간 평균과 표준 편차를 포함할 수 있다.At this time, the transition time statistics may include transition time averages and standard deviations.
또한, 본 발명의 일실시예에 따른 신호 상태 머신을 이용한 시스템 감시 방법은 아날로그 입출력 신호 값을 학습할 수 있다(S230).In addition, the system monitoring method using the signal state machine according to an embodiment of the present invention can learn an analog input / output signal value (S230).
즉, 단계(S230)는 복수개(m개)의 아날로그 입출력 신호 값에 대해, 장치들의 신호 상태 정보와 상태 천이 정보를 학습 기계(Learning Machine)에 입력하여 천이 시간 동안의 아날로그 입출력 신호 값의 변화율을 학습할 수 있다.That is, in step S230, the signal state information and state transition information of the devices are input to a learning machine for a plurality of (m) analog input / output signal values, and the rate of change of the analog input / You can learn.
이 때, 단계(S230)는 디지털 입출력 신호 값이 아닌 상태 천이 정보를 학습 기계에 입력하게 되므로, 학습 시간을 단축할 수 있다.At this time, since the state transition information, not the digital input / output signal value, is input to the learning machine in step S230, the learning time can be shortened.
또한, 발명의 일실시예에 따른 신호 상태 머신을 이용한 시스템 감시 방법은 장치들의 상태를 판단할 수 있다(S240).In addition, the system monitoring method using the signal state machine according to an embodiment of the present invention can determine the states of the devices (S240).
즉, 단계(S240)는 학습된 신호와 새롭게 수집된 신호를 이용하여 장치들의 상태를 판단할 수 있다.That is, the step S240 can determine the state of the devices using the learned signal and the newly collected signal.
이 때, 단계(S240)는 디지털 입출력 신호 값에 대한 상태 천이 정보가 비정상적 경우, 장치들을 이상 상태로 판단할 수 있다.At this time, if the state transition information for the digital input / output signal value is abnormal, step S240 may determine that the devices are in an abnormal state.
이 때, 단계(S240)는 천이 확률이 기설정된 값 이상으로 변화하는 경우에도 장치들을 이상 상태로 판단할 수 있다.At this time, step S240 may determine that the devices are in an abnormal state even when the transition probability changes to a predetermined value or more.
이 때, 단계(S240)는 장치들의 신호 상태 정보와 새롭게 수집된 신호의 상태 천이 정보를 학습 기계에 입력하여 예측된 아날로그 입출력 신호 예측 값과 새롭게 수집된 신호의 아날로그 입출력 신호 값의 잔차(residual)을 계산하고, 잔차가 기설정된 범위를 초과하는 경우, 장치들을 이상 상태로 판단할 수 있다.At this time, in step S240, the signal state information of the devices and the state transition information of the newly collected signal are inputted to the learning machine, and the residual of the predicted analog input / output signal predicted value and the analog input / And if the residual exceeds the predetermined range, the devices can be judged as abnormal.
도 4는 본 발명의 일실시예에 따른 지도 학습 기법을 이용한 시스템 감시 방법을 나타낸 동작흐름도이다.4 is a flowchart illustrating a system monitoring method using a map learning method according to an embodiment of the present invention.
도 4를 참조하면, 본 발명의 일실시예에 따른 지도 학습 기법을 이용한 시스템 감시 방법은 먼저 신호를 수집할 수 있다(S310).Referring to FIG. 4, a system monitoring method using a map learning technique according to an embodiment of the present invention may collect signals (S310).
즉, 단계(S310)는 적어도 두 개의 장치들이 서로 입출력 하는 신호를 수집할 수 있다.That is, the step S310 may collect signals that at least two devices input and output to / from each other.
이 때, 단계(S310)는 현장 장치(10)와 제어 장치(20)가 서로 입출력 하는 신호를 수집할 수 있다.At this time, in step S310, the
이 때, 단계(S310)는 현장 장치(10)와 제어 장치(20)가 서로 입출력 하는 디지털 입출력 신호와 아날로그 입출력 신호를 분리하여 수집할 수도 있다.At this time, the step S310 may separate and collect the digital input / output signal and the analog input / output signal which the
또한, 본 발명의 일실시예에 따른 지도 학습 기법을 이용한 시스템 감시 방법은 지도 학습을 수행할 수 있다(S320).In addition, the system monitoring method using the map learning method according to an embodiment of the present invention can perform the map learning (S320).
즉, 단계(S320)는 수집된 신호의 디지털 입출력 신호 값을 제1 학습 기계에 입력하고, 신호의 아날로그 입출력 신호 값을 제2 학습 기계에 각각 입력하여 지도 학습(Supervised Learning)을 수행할 수 있다.That is, the digital input / output signal value of the collected signal may be input to the first learning device, and the analog input / output signal value of the signal may be input to the second learning device, respectively, to perform supervised learning .
이 때, 단계(S320)는 제1 학습 기계가 출력하는 제1 결과 값과 상기 제2 학습 기계가 출력하는 제2 결과 값을 연결(concatenation)한 연결 값을 제3 학습 기계에 입력하여 출력한 최종 결과 값을 학습할 수 있다.At this time, in step S320, a connection value obtained by concatenating the first result value output from the first learning machine and the second result value output from the second learning machine is input to the third learning machine and output The final result value can be learned.
예를 들어, 단계(S320)는 수집된 복수개(n개)의 디지털 입출력 신호 값 과 복수개(m개)의 아날로그 입출력 신호 값 을 학습기계 에 입력하여 지도 학습을 수행할 수 있다.For example, in step S320, a plurality of (n) digital input / output signal values And a plurality of (m) analog input / output signal values Learning machine So that map learning can be performed.
이 때, 학습 기계 은 입력(input) x와 출력(output) y로 지도 학습 하는 것을 로 나타낼 수 있다. 이 때, 학습 기계 은 수학식 1을 이용하여 지도 학습을 수행할 수 있다.At this time, Is to map the input x and output y . At this time, Can perform map learning using Equation (1).
예를 들어, 수학식 1과 같이, 단계(S320)는 지도 학습 시 입력과 출력에 동일한 값을 이용할 수 있다. 디지털 입출력 신호 값과 아날로그 입출력 신호 값은 범위가 다를 수 있어, 별도의 두 개의 학습 기계()를 사용할 수 있다.For example, as in Equation (1), step S320 may use the same value for input and output at the time of map learning. Digital I / O signal values and analog I / O signal values can be in different ranges, and two separate learning machines ) Can be used.
이 때, 은 상기에서 설명한 제1 학습 기계, 는 제2 학습 기계에 상응할 수 있다.At this time, The first learning machine, May correspond to the second learning machine.
이 때, 단계(S320)는 두 개의 학습 기계가 출력한 결과 값을 연결(concatenation)하여 다른 학습 기계()에 입력할 수 있다.At this time, the step S320 concatenates the result values output from the two learning machines, ).
이 때, 는 상기에서 설명한 제3 학습 기계에 상응할 수 있다.At this time, May correspond to the third learning machine described above.
이 때, 단계(S320)는 입력 값을 나눠서 학습 기계에 입력하는 방식과 출력한 결과 값을 연결하는 방식을 해당 제어 시스템의 입출력 신호의 특성에 맞게 변경될 수 있다.In this case, the method of dividing the input values into the learning machine and the method of connecting the output values may be changed according to the characteristics of the input / output signals of the corresponding control system.
즉, 단계(S320)는 수학식 1을 제어시스템이 가지는 입출력 신호의 특성에 맞게 변형시켜 이용할 수 있다.That is, the step S320 may be modified by adapting Equation (1) to the characteristics of the input and output signals of the control system.
이 때, 단계(S320)는 수학식 1과 같이 디지털 입출력 신호 값과 아날로그 입출력 신호 값을 단순하게 구분 지어 학습을 시도할 수 있다. 이 때, 단계(S320)는 현장 장치(10)를 센서와 엑츄에이터로 구분하거나 특정 중요 신호만 학습하고 일부 신호는 학습에 참여시키지 않는 등 여러 방식으로 변형시켜 학습을 수행할 수 있다.At this time, in step S320, it is possible to attempt learning by simply classifying the digital input / output signal value and the analog input / output signal value as in Equation (1). In this case, in step S320, the
본 발명의 일실시예에 따른 학습 네트워크는 LSTM(Long-short term memory) 셀(cell)을 이용한 RNN(recurrent neural network)을 사용할 수도 있고 CNN(convolutional neural network)을 사용할 수도 있다. 학습 네트워크는 마지막 계층이 입력값의 개수를 가지도록 만 설정하면 된다.The learning network according to an embodiment of the present invention may use a recurrent neural network (RNN) using a long-short term memory (LSTM) cell or a convolutional neural network (CNN). The learning network only needs to be set so that the last layer has the number of input values.
즉, 단계(S320)는 최종적으로 학습 기계를 통해 산출되는 결과 값이 입력값과 동일하게 출력되도록 설정할 수 있다.That is, in step S320, it is possible to finally set the result value calculated through the learning machine to be the same as the input value.
이 때, 단계(S320)는 학습 기계 이 기존에 학습한(관찰한) 디지털/아날로그 입출력 신호 값의 패턴을 다시 입력 받는 다면, 기존과 유사한 결과 값을 출력할 수 있지만, 한 번도 학습한(관찰한) 적이 없는 디지털/아날로그 입출력 신호 값을 입력 받게 되면 새로운 결과 값을 출력하게 된다.At this time, in step S320, Analog input / output signal values that have been learned (observed) once can be output if the pattern of the previously learned (observed) digital / analog input / output signal values is input again. And the new result value is output.
따라서, 단계(S320)는 초기에 정상 운용 상태에서의 디지털/아날로그 입출력 신호 값을 학습시키는 것이 필요할 수 있다.Thus, step S320 may require initial learning of the digital / analog input / output signal values in the normal operating state.
또한, 본 발명의 일실시예에 따른 지도 학습 기법을 이용한 시스템 감시 방법은 장치들의 상태를 판단할 수 있다(S330).In addition, the system monitoring method using the map learning method according to an embodiment of the present invention can determine the states of the devices (S330).
즉, 단계(S330)는 학습된 신호의 최종 결과 값과 새롭게 수집된 신호의 최종 결과 값의 차이가 기설정된 임계 값을 초과하는 경우, 상기 장치들을 이상 상태로 판단할 수 있다.That is, the step S330 may determine that the devices are abnormal if the difference between the final result value of the learned signal and the final result value of the newly collected signal exceeds a predetermined threshold value.
또한, 단계(S330)는 MSE(mean square error)를 이용하여 최종 결과 값을 비교할 수 있다.In addition, the final result value may be compared using a mean square error (MSE) in step S330.
즉, 단계(S330)는 출력된 최종 결과 값을 MSE를 통해 특성 숫자로 산출할 수 있다.That is, in step S330, the output final result value may be calculated as a characteristic number through the MSE.
이 때, 단계(S330)는 기설정된 임계값을 학습 시 산출되는 MSE에 따라 다르게 설정할 수도 있다.In this case, in step S330, the predetermined threshold value may be set differently according to the MSE calculated at the time of learning.
이 때, 단계(S330)는 높은 임계값을 설정하면 부정 오류(false negative)를 높일 수 있고, 낮은 임계값을 설정하면 긍정 오류(false positive)를 높일 수 있다.In this case, step S330 may raise a false negative by setting a high threshold value, and may increase a false positive by setting a low threshold value.
이 때, 단계(S330)는 임계값에 기반하여 알람을 생성하게 하면 민감한 오류에 반응할 수 있지만 긍정 오류가 발생할 확률이 높아질 수 있다.In this case, if an alarm is generated based on the threshold value in step S330, it may respond to a sensitive error, but the probability of occurrence of a positive error may increase.
또한, 단계(S330)는 MSE 값을 축적(cumulative)하다가 특정 임계값에 점검하게 되면 긍정 오류는 줄일 수 있지만 반응 시간이 늦어질 수 있다.Also, if the MSE value is accumulated and checked at a specific threshold value in step S330, the positive error may be reduced but the reaction time may be delayed.
따라서, 단계(S330)는 제어시스템의 중요도에 따라 임계값을 다르게 설정할 수 있다.Therefore, the threshold value may be set differently according to the importance of the control system in step S330.
도 3 및 도 4를 참조하면, 단계(S240) 및 단계(S330)는 신호 상태 머신을 이용한 상태 판단 결과와 상기 지도 학습 기법을 이용한 상태 판단 결과가 모두 이상 상태인 경우에만 장치들을 이상 상태로 판단할 수 있다.Referring to FIGS. 3 and 4, steps S240 and S330 determine that the devices are in an abnormal state only when both the state determination result using the signal state machine and the state determination result using the map learning technique are abnormal can do.
나아가, 단계(S240) 및 단계(S330)는 네트워크 트래픽 기반 보안 감시 기술과 연동하여 이상 상태 감지 효율을 높일 수 있다.In addition, steps S240 and S330 may increase the efficiency of abnormal state detection in conjunction with the network traffic based security monitoring technology.
단계(S240) 및 단계(S330)는 제어 장치(20)와 HMI 장치(30)의 영역에서 이상 행위가 발견 될 경우, 입출력 신호 분석을 조금 더 상세하게 수행할 수 있다.The steps S240 and S330 may perform the input / output signal analysis in a slightly more detailed manner if an abnormal behavior is found in the area of the
예를 들어, 단계(S240) 및 단계(S330)는 이상 징후 판단 기준이 되는 임계값을 낮게 설정할 수 있다.For example, steps S240 and S330 may set the threshold value, which is a criterion for determining an abnormal symptom, to be low.
반대로, 단계(S240) 및 단계(S330)는 현장 장치(10)와 제어 장치(10)의 영역에서, 입출력 신호를 분석 한 결과, 의심되는 정황이 감지되면 네트워크 트래픽 보안 감시를 상세히 관찰할 수 있다.On the other hand, steps S240 and S330 can observe the network traffic security monitoring in detail when the suspicious condition is detected as a result of analyzing the input / output signals in the area of the
예를 들어, 단계(S240) 및 단계(S330)는 네트워크 트래픽에서 패킷의 페이로드(payload)까지 상세히 검사할 수 있다.For example, step S240 and step S330 can check the payload of the packet from the network traffic in detail.
또한, 단계(S240) 및 단계(S330)는 현장 장치(10)와 제어 장치(20)의 영역과, 제어 장치(20)와 HMI 장치(30)의 영역 모두에서 이상 상태로 판단된 경우에만, 최종적으로 이상 상태로 판단하도록 판단 기준을 설정할 수도 있다.Steps S240 and S330 are performed only when the abnormal state is determined in both the area of the
이 때, 단계(S240) 및 단계(S330)는 각 영역에서 이상 상태로 의심되는 정도를 정량화하여 영역 별로 특정 임계값을 설정할 수 있고, 임계값을 초과하는 경우에만 알림을 울리는 방식 등을 이용할 수도 있다.In this case, steps S240 and S330 may be performed by quantifying the degree of suspicion of an abnormal state in each area and setting a specific threshold value for each area, or by notifying only when the threshold value is exceeded have.
도 5는 본 발명의 일실시예에 따른 컴퓨터 시스템을 나타낸 블록도이다.5 is a block diagram illustrating a computer system in accordance with one embodiment of the present invention.
도 5를 참조하면, 본 발명의 일실시예에 따른 제어 장치(20), HMI 장치(30) 및 시스템 감시 장치(100)는 컴퓨터로 읽을 수 있는 기록매체와 같은 컴퓨터 시스템(1100)에서 구현될 수도 있다. 도 12에 도시된 바와 같이, 컴퓨터 시스템(1100)은 버스(1120)를 통하여 서로 통신하는 하나 이상의 프로세서(1110), 메모리(1130), 사용자 인터페이스 입력 장치(1140), 사용자 인터페이스 출력 장치(1150) 및 스토리지(1160)를 포함할 수 있다. 또한, 컴퓨터 시스템(1100)은 네트워크(1180)에 연결되는 네트워크 인터페이스(1170)를 더 포함할 수 있다. 프로세서(1110)는 중앙 처리 장치 또는 메모리(1130)나 스토리지(1160)에 저장된 프로세싱 인스트럭션들을 실행하는 반도체 장치일 수 있다. 메모리(1130) 및 스토리지(1160)는 다양한 형태의 휘발성 또는 비휘발성 저장 매체일 수 있다. 예를 들어, 메모리는 ROM(1131)이나 RAM(1132)을 포함할 수 있다.5, a
이상에서와 같이 본 발명에 따른 시스템 감시 장치 및 방법은 상기한 바와 같이 설명된 실시예들의 구성과 방법이 한정되게 적용될 수 있는 것이 아니라, 상기 실시예들은 다양한 변형이 이루어질 수 있도록 각 실시예들의 전부 또는 일부가 선택적으로 조합되어 구성될 수도 있다.As described above, the system monitoring apparatus and method according to the present invention are not limited to the configuration and method of the embodiments described above, but the embodiments can be applied to all of the embodiments Or some of them may be selectively combined.
10: 현장 장치 20: 제어 장치
30: HMI 장치 100: 시스템 감시 장치
110: 신호 수집부 120: 신호 학습부
130: 상태 판단부
1100: 컴퓨터 시스템 1110: 프로세서
1120: 버스 1130: 메모리
1131: 롬 1132: 램
1140: 사용자 인터페이스 입력 장치
1150: 사용자 인터페이스 출력 장치
1160: 스토리지 1170: 네트워크 인터페이스
1180: 네트워크10: Field device 20: Control device
30: HMI device 100: System monitoring device
110: Signal collecting unit 120: Signal learning unit
130:
1100: Computer system 1110: Processor
1120: bus 1130: memory
1131: ROM 1132: RAM
1140: User interface input device
1150: User interface output device
1160: Storage 1170: Network Interface
1180: Network
Claims (20)
신호 상태 머신(Signal-State Machine) 및 지도 학습(Supervised Learning) 기법 중 적어도 하나 이상을 이용하여 상기 신호를 학습하는 신호 학습부; 및
학습된 신호와 새롭게 수집된 신호를 이용하여 상기 장치들의 상태를 판단하는 상태 판단부;
를 포함하고,
상기 신호 학습부는
상기 장치들의 정상 운영 상태에서 수집한 신호의 수집 시각과 데이터를 이용하여 상기 신호의 디지털 입출력 신호 값에 대한 신호 상태 머신(Signal-State Machine)을 생성하는 것을 특징으로 하는 시스템 감시 장치.A signal collecting unit for collecting a signal that at least two devices mutually input and output;
A signal learning unit for learning the signal using at least one of a signal-state machine and a supervised learning technique; And
A state determiner for determining a state of the devices using the learned signal and the newly collected signal;
Lt; / RTI >
The signal learning unit
And a signal-state machine for a digital input / output signal value of the signal using the collected time and data of the signal collected in the normal operating state of the devices.
상기 신호 학습부는
상기 디지털 입출력 신호 값에 대한 천이 확률(transition probability)과 천이 시간(transition time) 통계를 포함하는 상태 천이 정보를 생성하는 것을 특징으로 하는 시스템 감시 장치.The method according to claim 1,
The signal learning unit
And generates state transition information including transition probabilities and transition time statistics for the digital input / output signal values.
상기 신호 학습부는
상기 장치들의 신호 상태 정보와 상기 상태 천이 정보를 학습 기계(Learning Machine)에 입력하여 상기 천이 시간 동안의 상기 신호의 아날로그 입출력 신호 값의 변화율을 학습하는 것을 특징으로 하는 시스템 감시 장치.The method of claim 3,
The signal learning unit
And the state transition information is input to a learning machine to learn a rate of change of an analog input / output signal value of the signal during the transition time.
상기 상태 판단부는
상기 디지털 입출력 신호 값에 대한 상기 상태 천이 정보가 비정상적 경우 및 상기 천이 확률이 기설정된 값 이상으로 변화하는 경우 중 적어도 하나 이상 해당하는 경우 상기 장치들을 이상 상태로 판단하는 것을 특징으로 하는 시스템 감시 장치.The method of claim 4,
The state determiner
Wherein the control unit determines the devices to be in an abnormal state when at least one of the state transition information for the digital input / output signal value is abnormal and the transition probability is greater than a predetermined value.
상기 상태 판단부는
상기 장치들의 신호 상태 정보와 상기 새롭게 수집된 신호의 상태 천이 정보를 상기 학습 기계에 입력하여 예측된 아날로그 입출력 신호 예측 값과 상기 새롭게 수집된 신호의 아날로그 입출력 신호 값의 잔차(residual)을 계산하고, 상기 잔차가 기설정된 범위를 초과하는 경우, 상기 장치들을 이상 상태로 판단하는 것을 특징으로 하는 시스템 감시 장치.The method of claim 5,
The state determiner
Calculating a residual of an estimated analog input / output signal prediction value and an analog input / output signal value of the newly collected signal by inputting signal state information of the devices and state transition information of the newly collected signal to the learning machine, And when the residual exceeds the predetermined range, judges the devices to be in an abnormal state.
상기 신호 학습부는
상기 신호의 디지털 입출력 신호 값을 제1 학습 기계에 입력하고, 상기 신호의 아날로그 입출력 신호 값을 제2 학습 기계에 각각 입력하여 지도 학습(Supervised Learning)을 수행하는 것을 특징으로 하는 시스템 감시 장치.The method of claim 6,
The signal learning unit
Output signal value of the signal to the first learning machine and inputs the analog input / output signal value of the signal to the second learning machine, respectively, to perform supervised learning.
상기 신호 학습부는
상기 제1 학습 기계가 출력하는 제1 결과 값과 상기 제2 학습 기계가 출력하는 제2 결과 값을 연결(concatenation)한 연결 값을 제3 학습 기계에 입력하여 출력한 최종 결과 값을 학습하는 것을 특징으로 하는 시스템 감시 장치.The method of claim 7,
The signal learning unit
A connection value obtained by concatenating a first result value output from the first learning machine and a second result value output from the second learning machine is input to a third learning machine and a final result value output from the third learning machine is learned Characterized by a system monitoring device.
상기 상태 판단부는
상기 학습된 신호의 최종 결과 값과 상기 새롭게 수집된 신호의 최종 결과 값의 차이가 기설정된 임계 값을 초과하는 경우, 상기 장치들을 이상 상태로 판단하는 것을 특징으로 하는 시스템 감시 장치.The method of claim 8,
The state determiner
And determines the devices to be in an abnormal state if a difference between a final result value of the learned signal and a final result value of the newly collected signal exceeds a preset threshold value.
상기 상태 판단부는
상기 신호 상태 머신을 이용한 상태 판단 결과와 상기 지도 학습 기법을 이용한 상태 판단 결과가 모두 이상 상태인 경우에만 상기 장치들을 이상 상태로 판단하는 것을 특징으로 하는 시스템 감시 장치.The method of claim 9,
The state determiner
And determines that the devices are in an abnormal state only when both the state determination result using the signal state machine and the state determination result using the guidance learning technique are in an abnormal state.
적어도 두 개의 장치들이 서로 입출력 하는 신호를 수집하는 단계;
신호 상태 머신(Signal-State Machine)을 이용하여 상기 신호를 학습하는 단계; 및
학습된 신호와 새롭게 수집된 신호를 이용하여 상기 장치들의 상태를 판단하는 단계;
를 포함하고,
상기 신호를 학습하는 단계는
상기 장치들의 정상 운영 상태에서 수집한 신호의 수집 시각과 데이터를 이용하여 상기 신호의 디지털 입출력 신호 값에 대한 신호 상태 머신(Signal-State Machine)을 생성하는 것을 특징으로 하는 시스템 감시 방법.A system monitoring method using a system monitoring device,
Collecting signals that at least two devices input and output to and from each other;
Learning the signal using a signal-state machine; And
Determining a state of the devices using the learned signal and the newly collected signal;
Lt; / RTI >
The step of learning the signal
And generating a signal-state machine for a digital input / output signal value of the signal using the collected time and data of the signal collected in a normal operating state of the devices.
상기 신호를 학습하는 단계는
상기 디지털 입출력 신호 값에 대한 천이 확률(transition probability)과 천이 시간(transition time) 통계를 포함하는 상태 천이 정보를 생성하는 것을 특징으로 하는 시스템 감시 방법.The method of claim 11,
The step of learning the signal
And generates state transition information including transition probability and transition time statistics for the digital input / output signal value.
상기 신호를 학습하는 단계는
상기 장치들의 신호 상태 정보와 상기 상태 천이 정보를 학습 기계(Learning Machine)에 입력하여 상기 천이 시간 동안의 상기 신호의 아날로그 입출력 신호 값의 변화율을 학습하는 것을 특징으로 하는 시스템 감시 방법.14. The method of claim 13,
The step of learning the signal
Wherein the signal state information of the devices and the state transition information are input to a learning machine to learn the rate of change of the analog input / output signal value of the signal during the transition time.
상기 상태를 판단하는 단계는
상기 디지털 입출력 신호 값에 대한 상기 상태 천이 정보가 비정상적 경우 및 상기 천이 확률이 기설정된 값 이상으로 변화하는 경우 중 적어도 하나 이상 해당하는 경우 상기 장치들을 이상 상태로 판단하는 것을 특징으로 하는 시스템 감시 방법.15. The method of claim 14,
The step of determining the condition
And determining that the devices are in an abnormal state when at least one of the state transition information for the digital input / output signal value is abnormal and the transition probability is greater than a predetermined value.
상기 상태를 판단하는 단계는
상기 장치들의 신호 상태 정보와 상기 새롭게 수집된 신호의 상태 천이 정보를 상기 학습 기계에 입력하여 예측된 아날로그 입출력 신호 예측 값과 상기 새롭게 수집된 신호의 아날로그 입출력 신호 값의 잔차(residual)을 계산하고, 상기 잔차가 기설정된 범위를 초과하는 경우, 상기 장치들을 이상 상태로 판단하는 것을 특징으로 하는 시스템 감시 방법.16. The method of claim 15,
The step of determining the condition
Calculating a residual of an estimated analog input / output signal prediction value and an analog input / output signal value of the newly collected signal by inputting signal state information of the devices and state transition information of the newly collected signal to the learning machine, And if the residual exceeds a predetermined range, judges the devices to be in an abnormal state.
상기 신호를 학습하는 단계는
상기 신호의 디지털 입출력 신호 값을 제1 학습 기계에 입력하고, 상기 신호의 아날로그 입출력 신호 값을 제2 학습 기계에 각각 입력하여 지도 학습(Supervised Learning)을 수행하는 것을 특징으로 하는 시스템 감시 방법.18. The method of claim 16,
The step of learning the signal
Inputting a digital input / output signal value of the signal to a first learning machine, and inputting an analog input / output signal value of the signal to a second learning machine, respectively, to perform supervised learning.
상기 신호를 학습하는 단계는
상기 제1 학습 기계가 출력하는 제1 결과 값과 상기 제2 학습 기계가 출력하는 제2 결과 값을 연결(concatenation)한 연결 값을 제3 학습 기계에 입력하여 출력한 최종 결과 값을 학습하는 것을 특징으로 하는 시스템 감시 방법.18. The method of claim 17,
The step of learning the signal
A connection value obtained by concatenating a first result value output from the first learning machine and a second result value output from the second learning machine is input to a third learning machine and a final result value output from the third learning machine is learned A system monitoring method characterized by.
상기 상태를 판단하는 단계는
상기 학습된 신호의 최종 결과 값과 상기 새롭게 수집된 신호의 최종 결과 값의 차이가 기설정된 임계 값을 초과하는 경우, 상기 장치들을 이상 상태로 판단하는 것을 특징으로 하는 시스템 감시 방법.19. The method of claim 18,
The step of determining the condition
And if the difference between the final result value of the learned signal and the final result value of the newly collected signal exceeds a predetermined threshold value, the devices are determined to be in an abnormal state.
상기 상태를 판단하는 단계는
상기 신호 상태 머신을 이용한 상태 판단 결과와 상기 지도 학습 기법을 이용한 상태 판단 결과가 모두 이상 상태인 경우에만 상기 장치들을 이상 상태로 판단하는 것을 특징으로 하는 시스템 감시 방법.The method of claim 19,
The step of determining the condition
Wherein the apparatus is determined to be in an abnormal state only when both the state determination result using the signal state machine and the state determination result using the guidance learning method are in an abnormal state.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020170143790A KR101989579B1 (en) | 2017-10-31 | 2017-10-31 | Apparatus and method for monitoring the system |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020170143790A KR101989579B1 (en) | 2017-10-31 | 2017-10-31 | Apparatus and method for monitoring the system |
Publications (2)
Publication Number | Publication Date |
---|---|
KR20190048656A KR20190048656A (en) | 2019-05-09 |
KR101989579B1 true KR101989579B1 (en) | 2019-06-14 |
Family
ID=66545538
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
KR1020170143790A KR101989579B1 (en) | 2017-10-31 | 2017-10-31 | Apparatus and method for monitoring the system |
Country Status (1)
Country | Link |
---|---|
KR (1) | KR101989579B1 (en) |
Families Citing this family (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR102484932B1 (en) * | 2022-03-24 | 2023-01-06 | 온시큐리티 주식회사 | Method and apparatus for detecting anomalies in industrial control system using status information of industrial facilities |
KR102500033B1 (en) * | 2022-03-24 | 2023-02-16 | 온시큐리티 주식회사 | Method and apparatus for detecting anomalies in industrial control system |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2017120649A (en) * | 2015-07-31 | 2017-07-06 | ファナック株式会社 | Machine learning method and machine learning device for learning fault condition, and fault prediction device and fault prediction system including machine learning device |
-
2017
- 2017-10-31 KR KR1020170143790A patent/KR101989579B1/en active IP Right Grant
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2017120649A (en) * | 2015-07-31 | 2017-07-06 | ファナック株式会社 | Machine learning method and machine learning device for learning fault condition, and fault prediction device and fault prediction system including machine learning device |
Also Published As
Publication number | Publication date |
---|---|
KR20190048656A (en) | 2019-05-09 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
EP3834401B1 (en) | Industrial system event detection and corresponding response | |
US20240214351A1 (en) | Security system, device, and method for protecting control systems | |
Maglaras et al. | Intrusion detection in SCADA systems using machine learning techniques | |
US8850582B2 (en) | Security monitoring system and security monitoring method | |
US20160330225A1 (en) | Systems, Methods, and Devices for Detecting Anomalies in an Industrial Control System | |
US20170237752A1 (en) | Prediction of potential cyber security threats and risks in an industrial control system using predictive cyber analytics | |
CN111600880A (en) | Method, system, storage medium and terminal for detecting abnormal access behavior | |
JP2007179542A (en) | System and method for detecting network intrusion | |
WO2020046260A1 (en) | Process semantic based causal mapping for security monitoring and assessment of control networks | |
US11647029B2 (en) | Probing and responding to computer network security breaches | |
WO2019035120A1 (en) | Cyber threat detection system and method | |
CN115996146A (en) | Numerical control system security situation sensing and analyzing system, method, equipment and terminal | |
CN112840616A (en) | Hybrid unsupervised machine learning framework for industrial control system intrusion detection | |
KR101989579B1 (en) | Apparatus and method for monitoring the system | |
CN114666088A (en) | Method, device, equipment and medium for detecting industrial network data behavior information | |
US11089033B2 (en) | Intrusion detection device, intrusion detection method, and computer readable medium | |
Maglaras et al. | A real time OCSVM intrusion detection module with low overhead for SCADA systems | |
JP6711452B2 (en) | Extraction device, extraction method, and program | |
Maglaras et al. | A novel intrusion detection method based on OCSVM and K-means recursive clustering | |
US20200183340A1 (en) | Detecting an undefined action in an industrial system | |
CN112799356A (en) | Device and method for secure data recording | |
Hill et al. | Using bro with a simulation model to detect cyber-physical attacks in a nuclear reactor | |
JP2022101083A (en) | Communication monitoring coping device, communication monitoring coping method, and communication monitoring coping system | |
EP3751813B1 (en) | Device and method for performing threat detection and/or mitigation | |
Jeffries et al. | Behavior-based approach to misuse detection of a simulated SCADA system |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A201 | Request for examination | ||
E902 | Notification of reason for refusal | ||
E701 | Decision to grant or registration of patent right | ||
GRNT | Written decision to grant |