CN119519998A 针对分布式工控网络的入侵检测方法、设备及介质 （中国石油天然气集团有限公司）

号本发明公开了一种针对分布式工控网络的构建入侵检测模型；服务器初始化模型权重参2步骤S3：在多个所述工控网络客户端上构建相同结构步骤S4：根据所述超参数选取多个所述工控网络客步骤S5：服务器将所述初始权重参数进行加密并步骤S6：被选中的所述工控网络客户端接收所述初始权重参数并将所述权重参数解步骤S8：所述服务器对训练得到的所述模型权重步骤S13：多个所述工控网络客户端解码来自所述服务器的最终的权重参数并更新本在每个所述工控网络客户端上分别开展采集工控协基于所述超参数中的每个全局轮次下选取的参与模型参数训练的客户端的个数K选取3t+1表示第t+1轮更新的权重参数，表示第i个工控网络客户端在第t+1轮训(1)判断当前全局训练的累计轮次数是否等于所述超参数中设定的全局训练轮次，等(2)判断当前中央入侵检测模型的训练的损失值是否不再发生显著降低，利用早停机16.一种实施如权利要求1_15中任一项所述的针对分布式工控网络的入侵检测方法的4多个处理器执行如权利要求1至15中任一项所述的针对分布式工控网络的入侵检测方法的可读指令被一个或多个处理器执行时，使得一个或多个处理器执行如权利要求1至15中任5检测的结果统一汇总至中心端进行结果呈现。这种方式融入了机器学习等先进处理技术，6[0012]步骤S3：在多个所述工控网络客户端上构建相同结构的初始本[0022]步骤S13：多个所述工控网络客户端解码来自所述服务器的最终的权重参数并更[0024]在每个所述工控网络客户端上分别开展采集工控协议内容及数据特征的提取工7[0028]基于所述超参数中的每个全局轮次下选取的参与模型参数训练的客户端的个数K[0038]根据本发明的一个实施例，步骤S10中，基于以下条件判断当前模型训练是否结[0039](1)判断当前全局训练的累计轮次数是否等于所述超参数中设定的全局训练轮[0040](2)判断当前中央入侵检测模型的训练的损失值是否不再发生显著降低，利用早8[0046]步骤S03：利用更新的本地入侵检测模型检测提取后的工控协议内容和数据特征行时，使得一个或多个处理器执行如上所述的针对分布式工控网络的入侵检测方法的步[0053](1)该方法能够在不共享分布式工控网络内各个工控网络子网网络行为数据的前[0055](3)本发明提供了一种检测模型迭代升级的手段，以便后续能够持续不断优化升[0059]图2为根据本发明的一个实施例的针对分布式工控网络的入侵检测方法的总体流[0060]图3为根据本发明的一个实施例的针对分布式工控网络的入侵检测方法实施生效9[0065]图2示出了根据本发明的一个实施例的针对分布式工控网络的入侵检测方法的总[0069]步骤S4：根据超参数选取多个工控网络客户端中的部分客户端参与模型迭代训[0070]步骤S5：服务器将初始权重参数进行加密并全部发送至被选中的工控网络客户[0078]步骤S13：多个工控网络客户端解码来自服务器端的最终的权重参数并更新本地包括在服务器端全局训练轮次数global_epochs、工控网络客户端局部训练轮次数local_[0082]在步骤S3中，在多个工控网络客户端上构建结构相同的初始本地入侵检测模型，域中所熟知的机器学习模型框架来实施，例如但不限于，TensorFlowFederated(TFF)、取的参与模型参数训练的客户端的个数K选取K个客户端，其中K的取值小于全部工控网络[0084]在步骤S5中，服务器将权重参数进行加密并全部发送至被选中的工控网络客户地训练后的模型权重参数。被选中的K个工控网络客户端分别基于各自的训练数据在本地[0086]在步骤S7中，K个工控网络客户端将训练得到的模型权重参数加密并发送给服务[0087]在步骤S8中，服务器对各个客户端训练得到的模型权重参数进行解密和聚合处条件判断当前模型训练是否结束：(1)判断当前全局训练的累计轮次数是否等于超参数中侵检测模型的训练的损失值loss是否不再发生显著降低，可以利用早停机制自动予以判[0094]在步骤S13中，多个工控网络客户端解码来自服务器端的最终的权重参数并更新[0095]图3示出了根据本发明的一个实施例的针对分布式工控网络的入侵检测方法实施[0098]在步骤S03中，利用更新的本地入侵检测模型检测提取后的工控协议内容和数据[0102]图4示出了实施根据本发明的针对分布式工控网络的入侵检测方法的示例性架构端200，服务器100和多个客户端200之间通过网络300连接通信。服务器100和多个客户端[0103]服务器100用于将各个客户端200提供的训练后的模型参数进行并验证聚合后的模型参数是否满足要求。各个客户端200基于本地数据对本地模型进行迭处理器执行如上述实施例所述的针对分布式工