T∕ZISIA 0001-2026 工业领域数据流转异常行为监测技术要求

T/ZISIA0001-2026ICS35.240.50CCSL70/842026-07-02发布T/ZISIA0001-2026i I 12.规范性引用文件 13.术语和定义 13.1工业数据industrialdata 13.2数据流转dataflow 13.3数据流转异常行为anomalousbehaviorofdataflow 14.缩略语 15.技术框架 26.数据采集 26.1工业领域数据流转数据采集数据源 36.2工业领域数据流转数据采集方式 36.3工业领域数据采集的数据类型 37.数据预处理 37.1协议解析 37.2文件识别 37.3敏感数据处理 47.4数据清洗与过滤 47.5数据整理 48.异常行为分析 48.1规则匹配异常行为分析 48.2智能建模异常行为分析 48.3异常行为综合关联分析 59.告警与响应 59.1安全告警 59.2安全响应 5附录A（资料性）工业领域数据流转典型场景 6A.1生产计划与生产执行 6A.2研发设计 6A.3设备运维管理 7A.4供应链管理 7A.5外部数据交互 8附录B（资料性）工业领域数据流转全生命周期异常行为 9B.1数据采集 9B.2数据传输 9B.3数据存储 9B.4数据使用 9B.5数据共享 B.6数据销毁 参考文献 T/ZISIA0001-2026I本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中关村网络安全与信息化产业联盟提出并归口。本文件起草单位：中国信息通信研究院、中关村网络安全与信息化产业联盟、北京六方云信息技术有限公司、贵州大学、中国兵器工业信息中心、北京天地和兴科技股份有限公司、北京安帝科技有限公司、鞍钢数智科技（辽宁）有限公司、大庆油田有限责任公司数智技术公司、北京天融信网络安全技术有限公司、北京工业大学、广东工业大学、中远海运科技股份有限公司。本文件主要起草人：李江力、张镇勇、董悦、邹冬、朱伟光、苏凯旋、韩剑飞、刁婉睿、宋小茜、安高峰、杨兴城、宋乐、张瑜、吴诗雨、何昀峰、涂哲、周磊、王自强、王智民、王昱波、王海龙、白俊娟、成进幸、唐建航、李世正、夏文新。1工业领域数据流转异常行为监测技术要求本文件规定了工业领域数据流转过程中异常行为监测的技术要求，包括数据采集、数据预处理、异常行为分析、告警与响应等内容。本文件适用于工业企业在数据流转过程中的异常行为识别及应对处理。2.规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改版）适用于本文件。GB/T25069-2022信息安全技术术语YD/T4246-2023电信网和互联网数据异常行为监测技术要求与测试方法YD/T4981-2024工业领域重要数据识别指南YD/T4982-2024工业企业数据安全防护要求3.术语和定义GB/T25069-2022、YD/T4246-2023、YD/T4982-2024、YD/T4982-2024界定的以及下列术语和定义适用于本文件。3.1工业领域industrialfield包括钢铁、有色、稀土、石化、化工、建材、汽车、通用机械、专用机械、民用飞机、民用船舶、轻工、纺织、家电、食品、医药、电子、民爆、节能、软件和信息技术服务等细分行业。[来源：YD/T4981-2024，3.2]3.2工业数据industrialdata在工业领域生产、运营、管理等环节中产生的数据，包括生产数据、设备数据、供应链数据、用户数据等。[来源：YD/T4982-2024，3.2]3.3数据流转dataflow数据在采集、存储、传输、使用、共享、销毁等全生命周期中的流动过程。3.4数据流转异常行为anomalousbehaviorofdataflow针对数据流转过程中的异常的、不符合管理要求的、与预期不符的访问和利用的行为，包括并不限于对数据超频次访问、越权访问、绕行访问、非常规时间访问等。[来源：YD/T4246-2023，3.1.6]4.缩略语下列缩略语适用于本文件。AIDC：自动识别和数据提取（AutomaticIdentificationandDataCapture）AGV：自动导引车（AutomatedGuidedVehicle）BI：商业智能（BusinessIntelligence）2生产计划与生产执行协议解析数据整理外部数据共享数据采集数据传输数据存储数据使用数据共享数据销毁安全响应6.数据采集T/ZISIA0001-202636.1工业领域数据流转数据采集数据源监测数据采集数据源包括：a)应针对工业领域数据流转的主要场景进行风险数据的采集和监控，包括：生产计划与生产执行场景、研发设计场景、设备运维场景、供应链管理场景以及外部数据交互场景等；b)应针对工业领域数据流转过程中存在数据安全风险的关键节点进行数据的采集和监控，包括：各类工业应用服务器（如CRM、MRP、MES、CAD、CAE、PLM、OPC等）、工业控制系统（DCS、SCADA、PLC）、工业控制系统上位机、组态软件客户端、OPC客户端等，涵盖相关工业数据的数据生成、传输、存储、使用、共享、销毁等各个阶段。6.2工业领域数据流转数据采集方式应支持以下一种或多种数据采集方式：a)实时采集：关键操作（如数据导出、权限变更）应实时记录；b)定时采集：非敏感操作可按固定周期采集；c)事件触发采集：异常事件（如高频访问、异常IP登录）触发额外数据采集；d)自定义格式数据源导入方式：通过文件导入，支持通过导入XML、PCAP、JSON、CSV等文件收集行为数据；也支持人工报备资产进行采集，支持资产信息的人工填报能力。6.3工业领域数据采集的数据类型应支持以下一种或多种数据类型：a)支持常用的网络协议数据采集，如HTTP、FTP、NFS、SMTP、POP3、IMAP等；b)支持常用的工业协议数据采集，如ModbusTCP、S7、OPC-DA、OPC-UA、IEC-104、GE-SRTP、ENIP/CIP等；Hbase、MongoDB等；d)支持不同类别的日志数据源采集，包括各类工业控制系统、工业组态软件、生产管理系统及其他应用系统，可采集多种日志包括系统日志、应用日志、数据库审计日志、安全事件日志、认证日志、运维告警日志并支持相应日志格式；e)支持从自定义格式数据源采集，包括信息录入、数据文件导入等格式；f)支持从本地、远程、以及云环境采集数据。7.数据预处理7.1协议解析本项要求包括：a)应支持常见工业协议深度解析，对于ModbusTCP、S7、GE-SRTP、ENIP/CIP、IEC104等常见工业协议可解析站地址、功能码、寄存器地址、值域解析与控制等；b)应支持OPC协议深度解析，支持OPCDA，HAD，A&E，DX，XML-DA等操作，包括支持OPC的动态端口、OPC只读等，支持OPC操作接口、操作码的控制等；c)应支持常见互联网应用协议的解析，对于HTTP、FTP、NFS、SMTP、POP3、IMAP等可解析IP地址、协议端口、数据域数据等，可准确识别数据域关键信息包括账号、IP、接口、用户信息等；d)当遇到协议数据不完整或格式错误时，应能及时记录错误信息，并尝试根据协议规范进行合理的修复或提示可能的异常来源，避免因解析错误而导致的异常漏检。7.2文件识别本项要求包括：a)应支持常见的电子文件类型，包括文本文件、程序文件、压缩文件等；T/ZISIA0001-20264b)应能够准确识别工业领域常见的各类数据文件类型，如CSV、XML、JSON、CAD图纸文件等。对于不同格式的文件，应避免误判文件类型导致后续处理错误；c)在识别文件类型的基础上，应对文件内容的完整性进行检查。当发现文件内容不完整或存在损坏时，应及时标记该文件为异常，并记录相关错误信息，以便进一步排查问题；d)对文件的访问权限应进行实时监测，只有授权的用户或系统能够访问特定类型的文件；e)应建立文件访问权限规则库，根据不同的用户角色和业务需求，动态调整文件访问权限，确保文件数据的安全性和合规性。7.3敏感数据处理本项要求包括：a)支持自定义与预置规则方式，实现工业领域敏感数据的识别与标注；b)支持对于敏感数据的全路径监测与自定义路径监测；c)应严格控制对敏感数据的访问权限，只有经过授权的人员和系统才能访问敏感数据；d)应定期对敏感数据的访问情况进行审计，检查是否存在异常的访问行为，如未经授权的访问、越权访问等。7.4数据清洗与过滤本项要求包括：a)应支持根据异常行为分析需求对数据进行过滤，提取对分析有价值的数据；b)应支持字段取值的标准化处理；c)应支持数据校验、错误标识、修正处理等；d)应对重复数据可进行清洗和过滤，去除无用数据；e)数据清洗范围涵盖工业领域产品和服务全生命周期产生和应用的数据；7.5数据整理本项要求包括：a)应对采集到的不同格式、不同来源的数据进行标准化处理，统一数据的格式、编码、单位等，确保数据的一致性和可比性；b)对于一些特殊的数据类型，如时间序列数据、地理空间数据等，应采用专门的标准化方法进行处理，确保数据可用于异常行为分析。8.异常行为分析8.1规则匹配异常行为分析基本要求包括：a)应支持基于安全规则匹配的异常行为识别，可匹配工业数据流量的网络特征、以及应用层协议解析后的数据内容特征、数据使用者记录、访问权限及日志分析等；b)宜支持基于第三方威胁情报的异常行为识别与分析；c)宜建立安全情报反馈机制，及时将相关信息反馈到情报收集环节，完善情报体系和更新安全规则；d)以上分析方法应支持针对已知安全风险的对数据越权访问、数据加密异常、高频操作、权限滥用、数据篡改、数据泄露等异常行为的识别。8.2智能建模异常行为分析本项要求包括：a)应支持基于智能建模的异常行为识别与分析，应提供多种算法支持，能够涵盖有监督与无监督学习模型，方法包括聚类分析和分类分析等；b)应支持行为基线建模：建立正常行为基线，偏离基线的行为视为异常；T/ZISIA0001-20265c)应支持异常行为识别模型的动态更新，将审核修正后的错误的监测结果保存到异常样本数据库中，以对模型进行更新；d)应能够输出用于异常行为分析的训练数据集和测试数据集；e)以上分析方法应支持针对未知安全风险的对数据越权访问、数据加密异常、高频操作、权限滥用、数据篡改、数据泄露等异常行为的识别。8.3异常行为综合关联分析本项要求包括：a)应支持基于工业数据流转的路径分析、规则匹配、威胁情报关联、以及智能建模分析的结果，对工业领域数据流转异常行为进行综合关联分析；b)应能够支持异常行为场景初始配置或基线规则的优化变更；c)应能够支持将不同来源的日志、数据流转行为进行关联分析；d)应采用关联分析技术，挖掘不同情报源之间的潜在联系，提高规则对复杂异常行为的识别能力。9.告警与响应9.1安全告警本项要求包括：a)当监测到异常行为时，应自动发出安全警告；b)告警应包含事件级别、事件内容、事件时间、事件主体、事件客体、处置建议；c)告警方式包括分级告警、实施告警、聚合告警等。9.2安全响应本项要求包括：a)应支持高风险操作（如未授权数据导出）自动拦截；b)宜实现应用层协议、网络层协议，主动阻断能力；c)应支持记录异常行为关联信息（用户、设备、时间等）用于调查；d)宜实现与其它安全管控平台按照设定的策略进行联动的能力。T/ZISIA0001-20266附录A（资料性）工业领域数据流转典型场景A.1生产计划与生产执行企业的生产计划通过ERP系统将这些计划数据传递给MES系统。MES会根据车间实际的生产能力、设备实时状态和物料库存等情况，将宏观计划分解为详细的可执行作业指令（例如具体到每条生产线、每个工作站的日计划甚至班次计划下发到车间的生产系统，完成生产的同时，会采集相关数据进行汇总处理和分析。以下是生产计划与生产执行相关的数据流转路径与过程。a）物料准备：市场与客户需求数据从CRM系统或销售部门流入ERP系统。ERP系统利用需求数据和主数据，运行MPS和MRP，生成具体的生产工单，并将其下发至MES系统。MES根据BOM和生产任务量，向WMS发送物料需求。仓库按需配送物料，并将出库信息反馈给MES。b）生产执行：MES将生产指令下达到具体设备（如DCS、数控系统）和相关操作人员，生产设备按工艺流程执行生产任务。生产现场通过终端、传感器、设备PLC等采集实时数据（如产量、工时、设备状态或由操作员通过触摸屏、扫码枪等手动录入的方式汇集到MES。MES成为车间级数据的集散中心。c）过程监控：MES实时采集设备运行数据（如转速、温度）和质量检测数据（如工艺参数、检验结果）。一旦发现异常（如温度超标），系统能立即报警，触发调整，并记录用于追溯。d）数据反馈：生产数据如生产进度、质量数据、设备效率、物料消耗等最终会汇总并反馈回ERP系统。这些数据用于生产计划跟踪与调整、财务成本核算、库存更新以及质量改进等等。经过整合处理后，传递给BI工具，也会转化为直观的报表、图表和仪表盘（如管理驾驶舱为管理层提供数据驱动的决策支持，如评估生产效率、分析质量趋势、优化资源配置等。A.2研发设计研发设计是一个系统性的创新过程，它将市场需求、科学原理和技术能力转化为具体的产品方案和生产方法。研发设计一般包括市场调研与需求分析、概念与详细设计、样品制作与测试、生产准备与产品上市等阶段。研发设计是数字化的产品定义，数据流转主要表现在以CAD、CAE、PLM为核心的数据生成和处理，与内部ERP、CRM等系统的数据交互，依托工业互联网平台和SCM完成的数据协同等三个方面。a）市场调研与需求分析阶段：研发部门从领导层、市场部门、CRM系统等获取产品定位及需要满足的功能、性能、法规等要求等数据，结合PDM数据及技术储备进行分析，就需求可行性及项目概算进行反馈，形成共识需求与规格数据。b）概念与详细设计阶段：研发部门会基于需求规格数据提出初步的产品概念和技术规范，确定产品的具体结构、外观、材料等，依托CAD、CAE完成产品的3D数字外观与结构定义，建立数字化模型，进行仿真和优化，并在过程中听取市场部门和制造部门的意见，形成研发部门内部流转的软件与代码、仿真与分析数据、设计变更等数据。对于大型项目，存在跨地域的多研发部门协同引起的数据流动。c）样品制作与测试阶段：通过PLM、SCM与生产部门和供应链协同，制作物理样机或通过DMU进行功能、性能测试，并收集反馈，以便发现并修正设计缺陷，形成BOM，明确产品所需的所有物料、部件及数量关系。d）生产准备与产品上市阶段：需要进行工艺设计，规划生产工艺路线、设计工装夹具、制定工时定额等，形成附加在3D模型上的标注信息（尺寸、公差、表面处理、注释）、生产设备上的工序、程序等，确保产品能被高效、高质量地制造出来。根据产品正式上市后的市场反馈进行优化设计。研发设计阶段数据流转的载体既包括Word、PDF和CAD图纸等非格式化数据，也包括PLM、SCM、ERP、CRM等格式化数据。T/ZISIA0001-20267A.3设备运维管理工业领域设备运维的数据流转始于设备层各类传感器对物理状态（如振动、温度、压力）和运行参数（如转速、电流）的实时采集，数据经由网络层（如工业网关）汇聚至平台层。在平台层，数据经过清洗、存储和处理，形成统一的数据资产。随后，数据根据运维场景的需求，流向不同的应用层，驱动从实时监控、智能诊断到预测性维护、决策优化等一系列智能化运维活动，以下是相关的数据流转路径与过程。a）监控与发现阶段:数据从设备传感器实时流出，在监控屏上进行可视化展示（如参数曲线、设备状态灯）。系统将实时数据与预设阈值、历史基线进行比对。一旦数据异常（如温度骤升、振动超标），系统立即生成告警事件。b）分析与诊断阶段:告警或异常数据会触发深入分析流程。人工或系统自动关联该设备的历史运行数据、维护记录、同类设备工况数据等，并利用算法模型（如故障诊断模型、根因分析）进行挖掘。数据在此阶段被深度整合与关联，输出诊断报告。c）处理与恢复阶段:诊断结果生成后，数据流导向运维执行系统。系统自动生成包含处理建议的工单，并派发给相应维护人员。人员通过移动终端接收工单、查阅设备图纸和历史维修数据，并在完成后上传处理过程（如更换的零件、采取的措施）和结果数据。d）变更与管理阶段:当需要进行设备升级、参数调整或规程修改时，变更管理流程启动。变更申请、风险评估、审批记录、实施方案等所有结构化与非结构化数据都被记录在案。变更生效后，新的参数配置或维护规程数据被同步至设备档案和监控系统。e）优化与改进阶段:系统长期汇聚全生命周期的运维数据（如故障间隔、维修成本、性能趋势）。通过大数据分析和机器学习，数据被用于评估设备健康度、预测剩余寿命、优化维护策略（如从定期维护转向预测性维护）乃至改进设备设计。A.4供应链管理供应链管理涉及到生产管理、质量管理、采购管理、库存管理、物流管理、销售管理与资金管理等各方面，工业数据流贯穿生产、质量、采购、库存、物流、销售全流程，核心场景归纳为以下部分。a）生产管理：从ERP销售系统获取客户需求数据，从ERP物流系统获取企业库存数据，流向MES生产系统形成生产计划，根据工艺生产，生成库存数据流向ERP库存系统。b）质量管理：从ERP销售系统获取客户需求数据，流向MES质量系统实现质量设计，完成生产过程对产品的质量判定数据和质量复测数据，质量合格完成销售出库，质量不合格形成废品，成品库存数据流向ERP库存系统。c）采购管理：从ERP销售系统获取客户需求数据，从ERP库存系统获取企业库存数据，在ERP采购系统生成采购计划数据，形成采购合同数据，生成原料库存数据，数据流向ERP库存系统。d）库存管理：在ERP物流系统进行采购入库生成原料库存数据，从MES生产系统完成生产入库生成成品库存数据流向ERP库存系统，在物流系统内部生成原料库存和成品库存在库内的移动数据，从ERP销售系统获取销售出库数据，消耗成品库存数据，从MES生产系统获取生产出库数据，消耗原料库存数据。e）物流管理：在ERP物流系统内部生成运输实际数据，形成原料库存，数据流向ERP库存系统。从ERP销售系统获取客户需求数据和运输协议，生成运输实际数据，完成销售出库，消耗成品库存，数据流向ERP销售系统。f）销售管理：在ERP销售系统内部获取客户需求，形成销售合同数据，从ERP库存系统获取企业库存数据，生成采购实际数据和生产实际数据，生产后，根据ERP销售系统的销售合同进行销售出库，成品库存数据流向ERP库存系统。g）资金管理：在ERP采购系统中，根据采购合同生成采购结算数据，完成付款，形成入账数据和付款数据，流向ERP财务系统；在ERP物流系统中，根据运输协议生成物流结算数据，形成入账数据和收付款数据，流向ERP财务系统；在ERP销售系统T/ZISIA0001-20268中，根据销售合同生成销售结算数据，形成入账数据和收款数据，流向ERP财务系A.5外部数据交互工业企业与外部的数据交互的场景包括与上下游企业间的供应商协同管理、不同企业间的客户协同服务、与行业监管部门的数据报送与共享等多个场景，核心场景可以归纳为以下几部分。a）上下游供应商协同管理：工业企业与上游供应商之间通过数据共享平台（如工业互联网平台或上下游企业间定制的数据共享系统）实现订单数据、物料需求数据、库存数据等方面的数据共享，提升效率。b）客户协同服务：工业企业与下游服务商之间通过数据共享平台实现销售订单、产品交付、售后服务等方面的数据交互，提升效率。c）企业向行业监管部门的数据报送：由于行业监管的需要，企业的业务系统通过专用数据接口向行业监管部门的监控平台报送数据（如环保数据、能耗数据等）。d）企业与市场监管部门数据共享：企业通过接入市场监管部门的数据平台，定期报送可以公开的企业数据，如企业基本信息、经营数据、信用信息，不要企业间可以共享。T/ZISIA0001-20269（资料性）工业领域数据流转全生命周期异常行为B.1数据采集数据采集指工业企业自身创建数据或从业务单元获取数据的行为。工业企业采集的数据主要源于两大范畴：一是由生产现场各类设备与系统实时创建的数据，二是从各业务单元信息系统获取的归档数据。生产现场是工业数据的主要源头。传感器、PLC、DCS、SCADA等设备持续产生海量的实时运行数据，包括工艺参数、设备状态、质量检测记录与能耗监测等。这些数据通常呈现为高频率、大体量的结构化或半结构化数据流。为实现有效采集，企业通常通过在现场部署边缘网关等设备，将原始信号统一转换为标准工业协议（如OPCUA、MQTT），并传输至上层管理系统。从业务单元获取的数据同样至关重要。这类数据来源于MES、ERP、质量管理、供应链管理等业务系统，涵盖生产计划、工艺文档、维修记录及订单信息等。其形态多样，既有关系型数据库中的结构化数据，也包括文档、日志等非结构化形式数据。数据的获取通常通过API接口调用、批量导出或专门的ETL工具，实现对历史记录与业务信息的集成利用。数据采集环节可能存在的异常行为主要表现为数据源的失陷与污染，如：未经授权的非法设备仿冒合法身份接入网络；传感器或控制器被攻击后上报被篡改、注入的虚假数据；数据上报频率出现异常波动，如突然激增、中断或变为无意义的恒定值；以及数据内容明显违背物理定律，如温度读数瞬间超限等，这些都预示着采集端可能正遭受攻击或已出现故障。B.2数据传输数据传输指数据在工业企业不同业务单元之间，以及企业外部网络和内部网络之间传输的过程。数据传输环节的安全保护措施聚焦于保障数据在流动过程中的机密性与完整性。关键在于对通信通道进行全程加密，利用TLS、IPSecVPN等技术防止数据在传输中被窃听；通过网络分区与防火墙策略，实现OT与IT网络的安全隔离，并在关键网络节点部署流量监控与入侵检测系统，实时感知异常数据流，同时采用哈希校验等技术确保数据包在传输途中未被篡改。数据传输环节的异常行为主要围绕通信链路的劫持与窃取。攻击者可能在网络路径上进行嗅探以截获明文传输的数据；或中间人攻击篡改、重放数据包，扰乱生产秩序；此外，非业务时间出现的大规模数据外发流量，或传输带宽被异常占满，都可能是数据被窃取或网络正遭受DDoS攻击的迹象。B.3数据存储数据存储指工业领域数据在使用过程中的进行存储的行为与过程。数据存储环节的安全保护措施旨在确保静态数据的保密性与可用性。通过对存储在数据库、文件服务器中的静态数据进行加密处理，即使存储介质被窃，数据内容也不会泄露；通过实施严格的、基于角色的访问控制，遵循最小权限原则，防止越权访问；同时建立完善的数据备份与容灾机制，确保在系统故障或遭受勒索软件攻击时能快速恢复业务；对于开发测试等非生产环境，则应使用脱敏后的数据。数据存储环节的异常行为通常和越权访问与恶意操作相关。内部人员或外部攻击者可能利用漏洞或权限滥用，批量下载、篡改或删除核心工艺参数、设计图纸等敏感数据；也可能出现数据被非法复制到未授权的