工控传感器数值异常检测方法及装置

【技术领域】

本申请涉及一种工控传感器数值异常检测方法及装置，属于计算机技术领域。

【背景技术】

在真实的工业生产中，ICS(工业生产中的控制系统，Industrial controlsystem)根据工业生产的实际流程设计HMI(人机界面(Human Machine Interaction，简称HMI))可视化界面，HMI通过SCADA系统(Supervisory Control And Data Acquisition系统，即数据采集与监视控制系统)实时与PLC通信(可编程逻辑控制器，Programmable LogicController)并将通信流量中的数据信息显示在HMI界面上，生产者可以通过HMI实时了解工业生产的实际情况。但是随着攻击的不断升级，攻击者为了隐藏攻击活动，会通过恶意软件劫持HMI和PLC间通信的流量包，阻止从PLC端发出的真实数据包，并将更改后的数据包发送到HMI端。

现有的攻击方式包括针对ICS的渗透攻击，它们在获取PLC的控制权后，会捕获PLC正常工作时的出站值并重播以掩盖对受控进程发起攻击时产生的异常，这使得生产者无法通过HMI来了解ICS真实的生产情况。

但是，针对PLC已经被攻击者入侵控制的问题，现有方法难以有效检测。

【发明内容】

本申请提供了一种工控传感器数值异常检测方法及装置，可以解决PLC已经被攻击者入侵控制时，无法检测数值异常的问题。本申请提供如下技术方案：

第一方面，提供一种工控传感器数值异常检测方法，所述方法包括：

获取工控传感器采集到的测试数据；

对所述测试数据进行K级离散小波变换，得到多尺度时间序列；所述K为正整数；

对所述多尺度时间序列进行切分处理，得到测试样本；

将所述测试样本输入预先训练的WAGAN模型中，得到异常检测结果；其中，所述WAGAN包括生成器和判别器；

所述生成器用于根据所述测试样本生成重构样本，并计算所述重构样本和所述测试样本间的误差，得到重构误差；

所述判别器用于根据所述测试样本得到判别器误差；

所述异常检测结果基于所述重构误差和所述判别器误差确定。

可选地，所述根据所述测试样本生成重构样本，包括：

确定最接近所述测试样本的目标随机噪声；

生成所述目标随机噪声的重构样本。

可选地，所述确定最接近所述测试样本的目标随机噪声，包括：

生成初始随机噪声的初始重构样本；

最小化所述初始重构样本与所述测试样本之间的差值，得到所述目标随机噪声。

可选地，所述计算所述重构样本和所述测试样本间的误差，得到重构误差，通过下式表示：

其中，

可选地，所述根据所述测试样本得到判别器误差，通过下式表示：

其中，y

可选地，所述异常检测结果通过下式计算：

其中，λ为误差权重，w为切分处理时使用的滑动窗口的尺寸，w

可选地，所述生成器和所述判别器引入注意力机制，所述注意力机制的输入包括上下文内容和时间序列中每一个时刻的隐藏单元，输出为权值和。

可选地，所述生成器从前至后依次包括输入层、第一循环神经网络LSTM层、注意力机制层、第二LSTM层、tanh函数层和输出层；

所述判别器从前之后依次包括输出层、第三LSTM层、注意力机制层、第四LSTM层、sigmoid函数层和输出层。

可选地，所述WAGAN模型的训练过程包括：

获取真实样本，所述真实样本为对所述工控传感器采集到的正常数据进行经过K级离散小波变换和切分处理后得到的；

将生成随机噪声输入生成器中，得到生成样本；

将所述真实样本和所述生成样本输入判别器，得到样本输出结果；

根据所述样本输出结果更新所述生成器和所述判别器的参数，得到训练后的WAGAN模型。

第二方面，提供一种工控传感器数值异常检测装置，所述装置包括：

数据获取模块，用于获取工控传感器采集到的测试数据；

小波变换模块，用于对所述测试数据进行K级离散小波变换，得到多尺度时间序列；所述K为正整数；

数据切分模块，用于对所述多尺度时间序列进行切分处理，得到测试样本；

异常检测模块，用于将所述测试样本输入预先训练的WAGAN模型中，得到异常检测结果；其中，所述WAGAN包括生成器和判别器；

所述生成器用于根据所述测试样本生成重构样本，并计算所述重构样本和所述测试样本间的误差，得到重构误差；

所述判别器用于根据所述测试样本得到判别器误差；

所述异常检测结果基于所述重构误差和所述判别器误差确定。

本申请的有益效果在于：通过获取工控传感器采集到的测试数据；对测试数据进行K级离散小波变换，得到多尺度时间序列；对多尺度时间序列进行切分处理，得到测试样本；将测试样本输入预先训练的WAGAN模型中，得到异常检测结果；其中，WAGAN包括生成器和判别器；生成器用于根据测试样本生成重构样本，并计算重构样本和测试样本间的误差，得到重构误差；判别器用于根据测试样本得到判别器误差；异常检测结果基于重构误差和判别器误差确定；可以解决PLC已经被攻击者入侵控制时，无法检测数值异常的问题；根据生成器数值可能出现波动采用多级离散小波变换分解重组的方式去除噪声并增强数据特征，同时，生成器根据测试样本寻找与其最接近的随机噪声并得到重构误差，判别器根据测试样本得到判别器误差，结合重构误差和判别器误差判断测试样本是否异常，，可以实现数值异常的检测。

另外，使用注意力机制来提取有效特征，可以提高异常检测的准确性。

上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，并可依照说明书的内容予以实施，以下以本申请的较佳实施例并配合附图详细说明如后。

【附图说明】

图1是本申请一个实施例提供的工控传感器数值异常检测方法的流程图；

图2是本申请一个实施例提供的数值变化的示意图；

图3是本申请一个实施例提供的小波变换的示意图；

图4是本申请另一个实施例提供的小波变换的示意图；

图5是本申请一个实施例提供的WAGAN的训练过程和检测过程的示意图；

图6是本申请一个实施例提供的注意力机制的计算过程的示意图；

图7是本申请一个实施例提供的生成器的网络结构示意图；

图8是本申请一个实施例提供的判别器的网络结构示意图；

图9是本申请一个实施例提供的工控传感器数值异常检测装置的框图。

【具体实施方式】

下面结合附图和实施例，对本申请的具体实施方式作进一步详细描述。以下实施例用于说明本申请，但不用来限制本申请的范围。

本申请提供的工控传感器数值异常检测方法，绕过PLC与HMI通信的方式采集传感器数值信息，直接让传感器定时上传数据到服务器，通过对ICS正常运行下服务器采集的传感器数据进行建模来检测异常行为。

在ICS入侵检测中使用的异常检测方法可以大致分为有监督学习，无监督学习和半监督学习方法。有监督学习的方法包括支持向量机，随机森林和人工神经网络等，此类方法需要事先标记正常行为的样本和恶意行为的样本。在实践中很难获得准确且具有代表性的标记数据，并且该数据高度依赖于特定系统，使用该数据训练出的模型在异常检测方面普适性较差。无监督学习的方法是从未标记的真实数据中学习检测模型，比如：基于一类SVM和K-means聚类的方法进行无监督的入侵检测，但是无监督学习方法没有充分利用数据的空间-时间相关性以及检测异常系统中多个传感器变量之间的其他依赖性，其针对语义攻击的检测能力较弱。半监督学习方法是使用一组部分标记的数据(例如无异常的干净数据)进行训练，在ICS入侵检测中这些数据代表不包含任何攻击的系统正常行为。与无监督学习方法相比，半监督学习方法能有效学习ICS系统正常运行时数据的特征，此方法具有更低的假阳性率。

目前，大多数现有方法是将传感器当前状态和模型预测的正常范围做简单比较来进行异常检测，但是由于现在工业生产工艺越来越复杂，生产过程会涉及非常多的传感器且传感器的变化也呈现多样性，传统的基于阈值的异常检测方法无法有效检测异常。为了充分挖掘传感器之间的依赖关系来提高检测准确率，可以基于GAN的多元时间序列异常检测方法，此方法使用LSTM作为基础网络来构建GAN模型，将时间序列按多尺度进行划分来挖掘数据的潜在关联，模型训练完成以后通过利用GAN训练的生成器和鉴别器，以真实数据和生成数据的重建和误差损失来检测异常。

为了进一步提高模型准确率，本申请提出一个基于小波变换和注意力机制的生成对抗网络模型，首先使用离散小波变换来生成多个层次的传感器数值，增强了数据特征。同时小波变换能有效降低数据的波动性，防止数值波动带来的结果误判。然后通过注意力机制和LSTM网络学习小波变换后的多层次传感器数值中的关联特征，最后通过训练后的生成对抗网络来识别异常流量。

下面对本申请提供的工控传感器数值异常检测方法进行详细介绍。

可选地，本申请以各个实施例的执行主体为具有计算能力的电子设备为例进行说明，该电子设备可以为终端或服务器，该终端可以为计算机、笔记本电脑、平板电脑等，本实施例不对终端的类型和电子设备的类型作限定。

图1是本申请一个实施例提供的工控传感器数值异常检测方法的流程图。该方法至少包括以下几个步骤：

步骤101，获取工控传感器采集到的测试数据。

工控传感器是指安装在工业控制系统中的传感器，该测试数据是工控传感器在实际运行时采集到的数据，该测试数据包括正常数据和/或异常数据。

步骤102，对测试数据进行K级离散小波变换，得到多尺度时间序列。其中，K为正整数。

ICS依据工业传感器实时掌控工业生产流程，但是传感器的数值变化并不是线性的，存在一定的波动性和噪声。比如：在图2中示出了400个传感器数值样本的图，其中分界线前200个样本代表正常数值，后200个样本代表异常数值。在图2(a)中，根据分界线可以看到正常样本和异常样本中都存在到波动点。传统的机器学习分类方法仅根据当前时刻的状态做出决策，因此很有可能将正常样本中的波动点A判断为异常，异常样本中的波动点B判断为正常。但是如果检测异常时将波动点周围更多样本信息考虑进去，则可以发现波动点A周围的样本都是正常的，其实波动点A只是传感器的一个噪声点，属于正常样本。同理可知，波动点B是异常样本中的噪声，虽然从传感器数值上看是正常的，但依旧属于攻击行为。针对这种因传感器数值波动而使得模型检测准确率降低的情况，本申请引入离散小波变换来去除数值波动噪声和提取数据高维特征。

离散小波变换基本原理是选取一个基础的小波，通过对基波进行平移伸缩来拟合原始的离散数据。经过一级离散小波变换可以将原始序列X

离散小波变换能不同尺度上对原始数据信号进行分解，分解的尺度可以根据不同的目标来确定。通过将原始信号与低通滤波器H

图3是离散小波变换的具体分解过程，一级变换就是将X

不同级别离散小波变换生成的低频信息和高频信息，从多维度提供原始信号的特征信息，其中较高级别的低频信息能反映原始信号全局变化趋势。对于不同尺度级别的离散小波变换进行重构即进行逆离散小波变换，可以提取原始信号的多尺度特征。如图4所示，原始信号经过离散小波变换后会生成低频信息和高频信息，将高频信息经过阈值量化处理，再使用重构滤波器将处理后的高频信息和低频信息进行卷积，从而得到重构信号，重构信号可以让数据特征更加明显。比如：图2(b)中是经过一级离散小波变换再重构后的传感器时间序列图，从图中可以明显看到噪声点被去除，正常样本和异常样本被水平分界线清晰区分开。图2(c)是经过二级离散小波变换再重构后的传感器时间序列图，从图中可以看待原本在分界线处有较多重合的正负样本被进一步区分，多级小波变换可以进一步挖掘正常样本和异常样本各自的数据特征，可以反映序列的整体趋势。

数现有的异常检测方法仅根据当前数据来构建传统的异常检测模型，而忽略了时间序列间的前后关联。在真实的工业生产中各个生产环节前后关联，各传感器数值是反映工业生产的实际情况，因此当前传感器数值变化在时间维度上是有关联的。

本章所提的WAGAN模型不是单独处理每个数据流，而是同时考虑整个变量集，以便让模型捕获变量之间的潜在关联。对于数据进行多尺度处理的过程为：给定输入数据集

其中R

步骤103，对多尺度时间序列进行切分处理，得到测试样本。

具体地，将获得的多尺度序列使用长度为w的滑动窗口进行切分处理且步长为1，可以得到新的输入X

步骤104，将测试样本输入预先训练的基于小波变换和注意力机制的GAN(WaveletAttention GAN，WAGAN)模型中，得到异常检测结果。其中，WAGAN包括生成器和判别器；生成器用于根据测试样本生成重构样本，并计算重构样本和测试样本间的误差，得到重构误差；判别器用于根据测试样本得到判别器误差；异常检测结果基于重构误差和判别器误差确定。

参考图5，WAGAN模型分为两个部分：WAGAN训练模型和WAGAN检测模型。在训练模型中，首先生成随机的噪声Z输入到生成器G中，G根据Z输出生成样本；然后从训练数据中选取真实样本(训练数据全为正常样本)，将真实样本和生成样本一起输入给判别器D，D根据样本输出结果；最后根据D的输出更新D和G的参数，让G能生成以假乱真的样本，让D能准确辨别真假样本。D通过生成逼真的样本来捕获训练数据的异常特征，可以将其视为ICS正常运行下的运行规律。

具体地，训练过程包括：获取真实样本，真实样本为对工控传感器采集到的正常数据进行经过K级离散小波变换和切分处理后得到的；

将生成随机噪声输入生成器中，得到生成样本；

将真实样本和生成样本输入判别器，得到样本输出结果；

根据样本输出结果更新生成器和判别器的参数，得到训练后的WAGAN模型。

在检测模型中，检测所使用的生成器G和判别器D是训练模型训练所得。首先从测试数据中选出要测试的真实样本，并将测试样本映射到随机噪声Z所在的潜在向量空间来寻找最接近测试样本的随机噪声Z；然后将最接近测试样本的噪声Z输入到G中生成重构的测试样本，将重构样本和实际测试样本进行对比得到重构损失(Reconstruction loss)；其次将测试样本输入到D中得到判别器损失(Discrimination loss)；最后根据重构损失和判别器损失可以得到异常分数(Discrimination and Reconstruction Anomaly Score，DRS)，根据DRS可以判断测试样本是否异常。

生成器和判别器引入注意力机制(Attention)，该注意力机制的输入包括上下文内容和时间序列中每一个时刻的隐藏单元，输出为权值和。

注意力机制是指在神经网络过程中将训练的注意力从全局转移到目标关注的局部重点的一种机制，其原理就类似于人观察眼前画面的过程，人眼在观察某个画面时，人的注意力往往集中在感兴趣的区域并自动过滤掉画面中一些无关背景，从而迅速获取整个画面的有用信息。使用注意力机制帮助解码器获取所有输入状态的加权组合来进行输出。

为了进一步挖掘传感器数值的潜在特征，本文对原始的时间序列经过K级离散小波变换重构并对重构后的数据使用滑动窗口进行重新分组，让数据尺度扩大了K-1级，数据的复杂化使得模型变得难以训练。因此本申请引入注意力机制来学习多尺度重构数据每一级的特征权重，权重越大表示该特征向量对模型结果的影响力更大。根据权重确定多尺度信息的主导特征所在，充分利用主导特征的信息，抑制权重小的特征表示，从而过滤掉无用的信息、筛选出有价值的信息，使得模型有选择地学习这些输入样本。从解释性的层次来说，向量权值的获取对训练过程的可解释性有一定的提高，通过使用注意力机制能帮助模型选择出那一级或哪几级离散小波变换在WAGAN模型构建中起到决策作用。

参考图6，注意力机制输入为D和h，D指上下文内容，h指时间序列中每一个时刻的隐藏单元，a是表示经过softmax函数后的h和d的关联权重，c指用来做为下文LSTM网络输入的权值和。具体计算过程如下：

u

a

c＝∑

参考图7，生成器从前至后依次包括输入层、第一循环神经网络LSTM层、注意力机制层、第二LSTM层、tanh函数层和输出层。

在WAGAN模型中，生成器的作用是模仿真实样本生成能欺骗判别器的假样本，因为在训练过程中使用的训练数据全是正常样本，使用经过训练后，生成器生成的假样本能准确包含真实样本的主要特征。生成器网络的具体结构如图7所示，包含两个LSTM层和一个Attention模块。生成器的输入为随机噪声Z，

其中，C

L(G)＝-[ylnG(z)+(1-y)ln(1-G(z))]。

参考图8，判别器从前之后依次包括输出层、第三LSTM层、注意力机制层、第四LSTM层、sigmoid函数层和输出层。

判别器D的作用是判断输入的样本是真实样本还是生成的假样本，输出的结果为0-1序列，“0”代表真实样本，“1”代表生成的假样本，然后根据输出的结果更新生成器和判别器。判别器的网络结构如图4-5所示，和生成器的结构类似，包括两层LSTM网络和一个Attention模块。判别器的输入为假样本G(z)或真样本x，x∈X

在训练过程中使用的训练数据集X

根据测试样本生成重构样本，包括：确定最接近测试样本的目标随机噪声；生成目标随机噪声的重构样本。

在一个示例中，确定最接近测试样本的目标随机噪声，包括：生成初始随机噪声的初始重构样本；最小化初始重构样本与测试样本之间的差值，得到目标随机噪声。

生成器经过训练以后能够将随机噪声Z转换成真实样本：G(z):z→x。生成器在训练时所使用的训练数据全是正常样本，可以认为生成器G可以学习到正常状态下工控系统传感器数值的分布，而Z则是这些数值变化的向量空间。因此对于测试数据X

m

寻找最优最接近测试样本Z′的过程就是最小化X

其中，

训练模型中所用的训练数据全是ICS正常运行下捕获的正常数据，因此通过训练模型获得的判别器D能学习到正常样本的特征来准确地识别出正常的真实样本。测试样本都是真实样本，对于判别器D而言标签都为“1”，当测试样本为异常样本时，由于异常样本不符合正常样本的特征，判别器D误差会将异常样本识别为假样本，判别结果经过sigmoid激活函数输出接近“0”，这使得判别器误差会很大，通过这种方式可以识别异常样本。具体地，根据测试样本得到判别器误差，通过下式表示：

其中，y

由于测试样本全为真实样本所以标签全为“1”，上式可简化为下面公式：

检测异常时，根据重构误差和判别器误差来共同计算异常损失，通过参数λ来调节两部分误差权重。具体地，异常检测结果通过下式计算：

其中，λ为误差权重，w为切分处理时使用的滑动窗口的尺寸，w

WAGAN模型训练和检测时使用滑动窗口w将时间序列进行分组，可以充分挖掘时间序列前后关联。为了减小检测，误差检测时需要将前w个检测结果取平均值来确定最后检测结果，w

根据上式可知，若

综上所述，本实施例提供的工控传感器数值异常检测方法，通过获取工控传感器采集到的测试数据；对测试数据进行K级离散小波变换，得到多尺度时间序列；对多尺度时间序列进行切分处理，得到测试样本；将测试样本输入预先训练的WAGAN模型中，得到异常检测结果；其中，WAGAN包括生成器和判别器；生成器用于根据测试样本生成重构样本，并计算重构样本和测试样本间的误差，得到重构误差；判别器用于根据测试样本得到判别器误差；异常检测结果基于重构误差和判别器误差确定；可以解决PLC已经被攻击者入侵控制时，无法检测数值异常的问题；根据生成器数值可能出现波动采用多级离散小波变换分解重组的方式去除噪声并增强数据特征，同时，生成器根据测试样本寻找与其最接近的随机噪声并得到重构误差，判别器根据测试样本得到判别器误差，WAGAN模型将两者的权重和与阈值比较判断测试样本是否异常，可以实现数值异常的检测。

另外，使用注意力机制来提取有效特征，可以提高异常检测的准确性。

下面对本申请提供的工控传感器数值异常检测方法举一个实例进行说明。比如：工控系统为安全水处理平台(Secure Water Treatment，SWaT)所捕获的传感器数据集。SWaT是一个按照真实的水处理厂缩小的仿真平台，每分钟可产生5加仑的干净水资源。该仿真平台水处理过程主要分为六个步骤：(1)吸收需要处理的污水并将其存储在水箱中；(2)将污水进行预处理并评估水质，如果水质不在可接受的范围内，则执行化学处理；(3)使用滤膜去除水中的杂质；(4)使用紫外线灯在脱氯过程中去除化学反应产生的氯化胆碱；(5)将上面处理后的水使用水泵输送到反渗透系统中以减少无机杂质；(6)最后将处理后的水存储起来，以便在水分配系统中进行分配。

SWaT仿真平台是由HMI、PLC、SCADA系统、现场设备以及实时数据库组成。现场设备中包含51个传感器可以实时检测和控制设备运行情况，污水处理的六个过程分别由六个PLC设备控制，SCADA系统将传感器的状态通过PLC和HMI通信实时反馈在HMI界面上。传感器可以通过无线网络每隔一秒将传感器的数值上传到实时数据库中，传感器数值包括水位高度等浮点数值和代表阀门开关状态等整数。

SWaT数据集在十一天内共采集了946722个样本，包含51个传感器数值，其中前七天是SWaT仿真平台正常运行状态下采集的传感器数值信息，后四天是对SWaT平台进行多种类型攻击后采集的传感器信息。针对SWaT平台的攻击共有36种，包含传统的常规攻击，如侦查攻击；也包含语义攻击，通过劫持PLC的方式来修改传感器数值，或者打开传感器阀门等直接影响系统运行。攻击的持续时间为几分钟到一个小时不等。为了保证数据采集的准确性，系统在正常运行的前七天内稳定运行；在进行攻击时，需要在发起另一次攻击之前或连续发起攻击之前将系统运行至正常状态。SWaT数据集中，系统正常运行下收集的样本数为496800个，攻击开始后收集的样本数为449919。由于正常运行时的系统是从启动状态开始运行，考虑到系统运行到正常状态需要一定时间，本文在训练时将前六个小时的数据即21600条样本去除。本文中正常样本标记为负样本“0”，异常样本标记为正样本“1”。

图9是本申请一个实施例提供的工控传感器数值异常检测装置的框图。该装置至少包括以下几个模块：数据获取模块910、小波变换模块920、数据切分模块930和异常检测模块940。

数据获取模块910，用于获取工控传感器采集到的测试数据；

小波变换模块920，用于对所述测试数据进行K级离散小波变换，得到多尺度时间序列；所述K为正整数；

数据切分模块930，用于对所述多尺度时间序列进行切分处理，得到测试样本；

异常检测模块940，用于将所述测试样本输入预先训练的WAGAN模型中，得到异常检测结果；其中，所述WAGAN包括生成器和判别器；

所述生成器用于根据所述测试样本生成重构样本，并计算所述重构样本和所述测试样本间的误差，得到重构误差；

所述判别器用于根据所述测试样本得到判别器误差；

所述异常检测结果基于所述重构误差和所述判别器误差确定。

相关细节参考上述方法实施例。

需要说明的是：上述实施例中提供的工控传感器数值异常检测装置在进行工控传感器数值异常检测时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将工控传感器数值异常检测装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的工控传感器数值异常检测装置与工控传感器数值异常检测方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

可选地，本申请还提供有一种计算机可读存储介质，所述计算机可读存储介质中存储有程序，所述程序由处理器加载并执行以实现上述方法实施例的工控传感器数值异常检测方法。

可选地，本申请还提供有一种计算机产品，该计算机产品包括计算机可读存储介质，所述计算机可读存储介质中存储有程序，所述程序由处理器加载并执行以实现上述方法实施例的工控传感器数值异常检测方法。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

上述仅为本申请的一个具体实施方式，其它基于本申请构思的前提下做出的任何改进都视为本申请的保护范围。