CN114721264B 一种基于两阶段自编码器的工业信息物理系统攻击检测方法 （浙江工业大学）

一种基于两阶段自编码器的工业信息物理一种基于两阶段自编码器的工业信息物理2将这两种攻击所产生的执行器和传感器运行数据看作是长时间的所述步骤2)中自编码器是一种无监督的神经网络算法，自编码器可以向量的隐含特征，使之从高维数据变为多维数据，也就是数据降维，这一步称为编码定义误差err作为原始输入X与重构向量之间的差异值，err=灭-x,训练的目标就3根据步骤2)所述的自编码器的构造步骤，根据已描述的步骤需要构建出两个自编码习去判别哪些数据是真实的哪些数据是重构的；该阶段需要使AE2能够识别真实数据和来4其中α+β=1并且用于将假阳性和真阳性之间的权衡参数化；如果α大于β,会减少真阳序列在每一个时刻只包含一个变量，而多维时间序列在每个时刻含有多个变量Γ={x1,多变量时间序列在某一段时期内的正常行为，并且为每一个时间窗口生成异常判别分数，5[0001]本发明涉及工业信息物理系统(IndustrialCyber-PhysicalSystem,ICPS)安全控制与运行领域，具体涉及一种基于两阶段自编码器的工业信息物理系统攻击检测方[0002]随着IT技术和信息物理系统(CyberPhysicalSystem,CPS)技术发展的日益成业中，信息物理系统在工业中的应用形成了工业信息物理系统(IndustrialCyber再去工业现场进行人工方式的物理操作，而是可以利用中央计算机和数据采集系统(SupervisoryControlAndDataAcquisition,SCADA)结合ICPS的远程管理特性实现对现场进行指令下发和数据采集等工作。这种智能化的编写的操作得益于工业生产的物理了可乘之机，这种物理过程与信息空间连接的方式使得ICPS遭受不同类型的网络攻击的层主要负责控制层与感知层的信息交互与数据传输；感知层主要由现场设备和控制器组组成如工业传感器和可编程逻辑控制器(ProgrammableLogicController,PLC)，主要进骗控制层使得控制层发出看似正常的错误命令，生产现场不知不觉产生了意外事故以至[0004]攻击者在掌握了需要大范围长路径传输数据的目标大型流程工业系统相关知识网络流量分析的攻击检测成为可能。传统的基于网络流量分析的检测方法通常提取节点6[0007](2)基于过程数据分析：由于FDI攻击正是通过篡改进程数据来误导控制器做出水平的攻击者并不只是简单地对单个设备进行攻击，而是对多个设备或多链路同时发起7[0025]将这两种攻击所产生的执行器和传感器运行数据看作是长时间的时间序列向[0026]X,=T,列(i=1,2,3.)3)[0027]所述步骤2)中自编码器是一种无监督的神经网络算法，他可以学习到输入数据(向量)的隐含特征，使之从高维数据变为多维数据，也就是数据降维，这一步称为编码标就是要减少均方误差(MeanSqua与真实的数据之间的相似性差距，差距值越小说明生成的伪造数据与真实原始输入越像。GAN的整个对抗学习过程可以看成是关于优化目标函数函数V(D,G)极大极小值的博弈过8案具有很大的工业意义。它允许使用单个训练模型在推理期间获得一组不同的灵敏度异9时间序列在每一个时刻只包含一个变量，而多为时间序列在每个时刻含有多个变量Γ=间窗口的形成，该模型会生成每一个窗口对应的异常分数Sct，若是高于给定的阈值λ,则据可能一直处于正常范围而没有被发觉，但是执行器等部件却被攻击者欺骗影响了实际对多变量时间序列的攻击检测，模型训练的阶段1只需训练编码器正常运行并在检测到攻击的同时提升系统安[0074]其中δ2为攻击向量，y1为传感器1输出值，为控制器2的输入值(即为实[0075]将这两种攻击所产生的执行器和传感器运行数据看作是长时间的时间序列向[0076]X,=⃞,砂,(i=1,2,3…)(3)灭=f(y)=f(h(x))(5)标就是要减少均方误差(MeanSqua大化这种差异(如图4)。AE1训练是否成功欺骗AE2，而AE2则是训练至能区分真实数据与从案具有很大的工业意义。它允许使用单个训练模型在推理期间获得一组不同的灵敏度异的可参数化调节使得检测模型的灵敏度可以满足各时间序列在每一个时刻只包含一个变量，而多为时间序列在每个时刻含有多个变量Γ=旨在捕获到多变量时间序列在某一段时期内的正常行为，并且为每一个时间窗口生成异间窗口的形成，该模型会生成每一个窗口对应的异常分数Sct，若是高于给