一种融合多图神经网络的工业系统异常数据流检测与诊断方法

技术领域

本发明属于工业异常监测技术领域，具体涉及一种融合多图神经网络的工业系统异常数据流检测与诊断方法。

背景技术

工业系统作为国家的重要基础设施，被广泛地运用在能源化工、智能农业、交通等重大工业生产领域。与传统工业系统处于封闭和独立的环境不同，现代工业系统信息化进程中加入了许多计算机相关的技术，使其变得开放、便捷和互联，但同时也带来了许多信息安全问题。

工业系统采集的是工业的时空数据，具有数据量大、采集时间长、数据类型多的特点，不适合大规模人工标记标签做有监督学习，因此工业系统的异常检测通常是采用无监督的学习方式。然而基于无监督的算法往往需要大量的数据去学习，但有的工业系统在短时间内并不能产生足够的数据量，而时间越长被入侵的风险就越大。工业系统异常检测方法主要包括传统检测方法(如型图、简单贝叶斯模型和基于规则的IP流异常检测等)、基于机器学习的方法(如EGADS、HSVM等)和深度学习的方法(如稀疏自编码器结构、AMDN等)。

然而，现有用于工业系统异常数据流诊断的模型最大的不足在于：(1)只考虑了数据流的时间关联，未考虑工业系统中设备之间的关联。(2)对异常数据缺乏可解释性。首先，工业系统中设备的拓扑结构是一种最直观的空间关联，如处于同一局域网的设备之间的相互影响，同时具有相同功能的设备之间也会互相有影响，因此，在先进的深度学习模型中同时考虑上述空间关联和时间关联，可有效地提高模型的性能。其次，在模型中引入注意力机制能对时空数据进行可解释性，做到诊断的全面性、精确性。

发明内容

本发明的目的在于提供一种融合多图神经网络的工业系统异常数据流检测与诊断方法，实现诊断的全面性和精确性。

为实现上述目的，本发明所采取的技术方案为：

一种融合多图神经网络的工业系统异常数据流检测与诊断方法，所述融合多图神经网络的工业系统异常数据流检测与诊断方法，包括：

步骤1、工业系统的拓扑结构图构建：基于工业系统中各设备之间的直接连接关系建立拓扑结构图；

步骤2、工业系统的功能结构图构建：基于工业系统中各设备之间的功能相似度建立功能结构图；

步骤3、融合多图神经网络的异常检测：融合多个图神经网络建立工业系统数据流预测模型，并根据预测数据与真实数据的差异实现异常检测；

步骤4、基于注意力机制的异常诊断：通过注意力权重的反向计算，得到影响异常产生的时间因素、语义因素和设备因素；

其中，所述融合多个图神经网络建立工业系统数据流预测模型包括：融合图注意力网络、注意力机制、循环神经网络构建工业系统数据流预测模型，所述工业系统数据流预测模型的网络结构如下：

输入层：对输入数据D

图注意力层：对每个小矩阵D

融合层：基于注意力机制对特征矩阵TGM

循环层：采用循环神经网络对融合层的输出进行处理，即将所有小矩阵D

输出层：将输出状态矩阵HM

以下还提供了若干可选方式，但并不作为对上述总体方案的额外限定，仅仅是进一步的增补或优选，在没有技术或逻辑矛盾的前提下，各可选方式可单独针对上述总体方案进行组合，还可以是多个可选方式之间进行组合。

作为优选，所述基于工业系统中各设备之间的直接连接关系建立拓扑结构图，包括：

步骤1-1、将工业系统中每个设备R

步骤1-2、采用一个邻接矩阵TM表示无向图TG，完成拓扑结构图的构建。

作为优选，所述直接连接关系为物理连接或处于同一局域网。

作为优选，所述基于工业系统中各设备之间的功能相似度建立功能结构图，包括：

步骤2-1、将工业系统中各设备按照功能进行分类，若设备R

步骤2-2、采用一个邻接矩阵FM表示无向图FG，完成功能结构图的构建。

作为优选，所述工业系统数据流预测模型的训练如下：

步骤3-1、令训练样本S

步骤3-2、取训练样本中的数据部分WD

步骤3-3、根据工业系统数据流预测模型输出的N维向量Y

步骤3-4、若达到训练结束条件，则输出加载最新参数的工业系统数据流预测模型，并接收训练；否则返回步骤3-2继续训练。

作为优选，所述通过注意力权重的反向计算，得到影响异常产生的时间因素、语义因素和设备因素，包括：

步骤4-1、诊断异常的时间因素：取工业系统数据流预测模型的循环层所计算的注意力权重向量γ

步骤4-2、诊断异常的语义因素：取工业系统数据流预测模型的融合层所计算的历史时刻K的注意力权重Ta

步骤4-2、诊断异常的设备因素：取工业系统数据流预测模型的图注意力层所计算的历史时刻K的注意力权重矩阵TGA

本发明提供的融合多图神经网络的工业系统异常数据流检测与诊断方法的有益效果主要表现在：(1)同时考虑工业系统中设备之间的多种关联，提高了异常检测的精度。(2)基于层次化注意力机制组织深度神经网络，从而能够对异常检测结果进行诊断和解释。

附图说明

图1为本发明的融合多图神经网络的工业系统异常数据流检测与诊断方法的流程框图；

图2为本发明工业系统数据流预测模型的结构示意图；

图3为本发明异常诊断的流程框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中在本发明的说明书中所使用的术语只是为了描述具体的实施例的目的，不是在于限制本发明。

如图1所示，为了克服现有工业系统异常数据流诊断模型的不足，本实施例提供一种融合多图神经网络的工业系统异常数据流检测与诊断方法，包括如下步骤：

(1)工业系统的拓扑结构图构建：基于工业系统中设备之间的直接连接关系建立拓扑结构图。

(1-1)工业系统拓扑结构图建立：首先，将工业系统中每个设备R

(1-2)工业系统拓扑结构图表示：采用一个N×N维的邻接矩阵TM表示TG(其中，N为设备个数)，若节点R

本实施例首先根据设备建立对应的节点，例如根据设备R

(2)工业系统的功能结构图构建：基于工业系统中设备之间的功能相似度建立功能结构图。

(2-1)工业系统功能图建立：首先，根据工业系统中设备的不同功能将其分类，例如：传感设备(如压力传感器、温度传感器等)，传动设备(如调速器、马达等)，自动化设备(如PLC、开关等)，计算设备(如计算机的CPU、内存等)，通信设备(如交换机、网桥等)等。针对不同的工业系统可有不同的分类标准。然后，如果设备R

(1-2)工业系统功能结构图表示：采用一个N×N维的邻接矩阵FM表示FG(其中，N为设备个数)，若节点R

(3)融合多图神经网络的异常检测：融合多个图神经网络建立工业系统数据流预测模型，并根据预测数据与真实数据的差异实现异常检测。

(3-1)预测模型构建：假定目标时刻为t，预测模型的功能为根据工业系统在[t–W,t-1]时间内的数据流预测工业系统在t时刻的数据。融合图注意力网络、注意力机制、循环神经网络构建预测模型，其网络结构如图2所示。对网络结构的解释如下：

a、输入层：对输入数据D

b、图注意力层：对每个小矩阵D

c、融合层：基于注意力机制对TGM

d、循环层：采用LSTM对融合层的输出进行处理，即将所有小矩阵D

e、输出层：将HM

(3-2)训练样本集构建：假定训练样本S

(3-3)预测模型训练：基于训练样本集TS对步骤(3-1)中构建的预测模型进行训练。

(3-3-1)取训练样本中的数据部分WD

(3-3-2)根据工业系统数据流预测模型输出的N维向量Y

(3-3-3)若达到训练结束条件，则输出加载最新参数的工业系统数据流预测模型，并接收训练；否则返回(3-3-1)继续训练。

(3-4)数据流异常检测：对于目标时刻t，首先采用训练好的预测模型得到工业系统在时刻t的预测数据向量Y

(4)基于注意力机制的异常诊断：通过注意力权重的反向计算，得到影响异常产生的时间因素、语义因素和设备因素。具体诊断流程如图3所示。

(4-1)诊断异常的时间因素：得到预测模型的循环层所计算的注意力权重向量γ

(4-2)诊断异常的语义因素：得到预测模型的融合层所计算的历史时刻K的注意力权重β

(4-3)诊断异常的设备因素：得到预测模型的图注意力层所计算的历史时刻K的注意力权重矩阵α

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明的保护范围应以所附权利要求为准。