技术领域
[0001] 本
发明涉及工业控制系统功能安全保障领域，具体涉及一种基于免疫学习的工业控制系统功能安全验证方法。
背景技术
[0002] 工业控制系统是国家关键
基础设施的重要组成部分，关系到国家的战略安全。在工业的转型升级正成为全球经济发展新一轮竞争焦点的背景下，美国的“制造业回归”、德国的“工业4.0”，以及中国的“中国制造2025”战略，都异曲同工地表达了同样的内容：用物联
感知、
云计算、
大数据、工业互联等技术引领工业生产方式的变革，拉动工业经济的创新发展。至此，控制系统与信息技术深度融合的帷幕已经拉开，以电
力、
能源、交通等工业过程的监测与控制为核心的工业控制系统也正经历着一场前所未有的转型变革，智能化、网络化、服务化、集成
化成为不可逆转的潮流趋势，其演进变革体现为以下三个方面的特征：一是专用性向通用性演进。工控系统伴随着IT技术的发展而发展，且大量采用IT通用软
硬件，如PC、
操作系统、
数据库系统、以太网、TCP/IP协议等；二是封闭性向开发性演进。互联网、
物联网技术的发展，工业化与信息化的深度融合，使工控系统不再是一个独立的系统。三是硬件型向
软件型演进。工控系统由机械化、电
气化、
电子化朝着软件智能化的方向不断演进。即工控系统不断的由硬到软在演进。
[0003] 工业控制系统功能安全验证的技术路径选择：
[0004] “力”不从心。产品原理封闭、代码文档隐私、开发团队缺位、三方软件依赖是现代工业控制领域的共性问题，由此导致现有控制系统及其装备
质量安全保障技术只能应对自有品牌的已知故障与
风险。跨行业、跨装备机理性解析的方式难以有效获得通用电气、西
门子、施耐德等工控市场主流公司的支持，更谈不上收集控制数据开展基于先验信息的创新型主动防御。典型代表包括通用电气的Predix平台和西门子的Sinalytics平台等。
[0005] “防”不胜防。目前，工业系统部署形成的以工业级
防火墙、防病毒、防篡改、防拒绝和入侵防御为核心的安全体系，是以“防”为主的、被动式的安全解决思路。然而，“防”不胜防，以“非法”、“异常”、“恶意”等黑色特征为检测目的安全监控根本无法应对主动化、动态式、多变性的网络空间攻击。典型代表包括启明星辰工控漏洞扫描系统和卓越信通工控入侵防御系统等。
[0006] “名”不符实。对于工控PC、HMI、操作员与工程师站、以及WEB
服务器和数据库服务器等
进程服务的白名单化，工业系统
访问控制列表和用户资产的白名单化，只是在名义上对其身份资格予以了认证
鉴别，而在实际的工业过程中，未能对其行为功能进行验证与稽核。“名”不符实的风险隐患，使得传统的工业系统安全保障形同虚设。典型代表包括海天炜业工业级防火墙和三零卫士工控安全
监控系统等。
发明内容
[0007] 本发明为了解决上述技术问题提供一种基于免疫学习的工业控制系统功能安全验证方法，其不依赖于正常解析规律和异常黑色特征等先验信息，在不掌握具体
缺陷成因、特征及其利用细节的前提下，从行为表现层面精准
锁定失效和隐患，显著降低功能安全风险。
[0008] 本发明通过下述技术方案实现：
[0009] 一种基于免疫学习的工业控制系统功能安全验证方法，包括以下步骤：
[0010] A、采用离线在环测试工业控制组件的方式获得工业控制的行为参量数据；
[0011] B、根据行为参量数据，塑造多尺度下工业控制的安全基准模式库；
[0012] C、通过安全基准模式库辨识异常控制行为；
[0013] D、基于异常控制行为构筑异常行为模式数据库。
[0014] 本方法通过工业控制组件离线测试的行为大数据驱动塑造安全基准模式库，实现主动防御，以缺陷诱发的异常行为实例集学习构筑异常行为模式数据库，产生进化选择似的缺陷免疫
抗体库，通过安全基准模式库和异常行为模式数据库的双因子联合诊断，推动各尺度下控制功能的标准符合性认定，提高工业控制系统的安全性。采用上述方法，基于大量的离线行为参量数据直接构筑安全基准模式库，不依赖于正常解析规律和异常黑色特征等先验信息，在不掌握具体缺陷成因、特征及其利用细节的前提下，构筑多尺度下工业控制的安全基准模式库，从行为表现层面精准锁定失效和隐患，显著降低功能安全风险。
[0015] 步骤B具体为：
[0016] B1、根据行为参量数据，采用基于
贝叶斯网络构建与概率推理的方法重构数据分布痕迹；
[0017] B2、结合各项工控工业过程实例内置的实际工控对象状态，以主元分析方法把过程变迁实例转化成行为功能模型；结合各项工控作业过程实例内置的实际工控作业指令，以主元分析方法等把本体属性实例转化成处理服务模型；
[0018] B3、依据行为功能模型和处理服务模型，用图形符号表达工控访问与作业过程中的信息流动形态，形成安全基准模式库。
[0019] 进一步的，步骤B1具体为：
[0020] B1-1、在行为参量数据上根据各变量对其他变量的相关性影响程度排序，对其他变量影响最大的排在第1位，最先进入建网步骤，在建网阶段每个变量都
迭代地从已进入贝叶斯网络的变量中查找可增加当前得分的
节点加入
父节点集合，直至全部得分不再增加；
[0021] B1-2、针对每条不完整的行为参量数据进行基于贝叶斯网络的概率推理，找出所有候选值及其相对概率，以概率最大的候选值作为空缺数据填充。
[0022] 进一步的，步骤B2中基于主元分析方法构建行为功能模型具体方法为：
[0023] B2-1-1、将正常工况下的工业控制对象状态表现数据集变换为均值为0，方差为1的标准数据集；
[0024] B2-1-2、通过上述标准数据集建立工控访问过程主元模型，提取主元；
[0025] B2-1-3、计算标准数据集工控访问过程主元模型的统计量及相应的控制限。
[0026] 进一步的，步骤B2中基于主元分析方法构建处理服务模型具体方法为：
[0027] B2-2-1、将正常工况下的工业控制组件行为指令数据集变换为均值为0，方差为1的标准数据集；
[0028] B2-2-2、通过上述标准数据集建立工控作业过程主元模型，提取主元；
[0029] 进一步的，步骤C中的辨识方法具体为：
[0030] C-1、以安全基准模式库推动各尺度下控制功能的标准符合性认定，通过主元分析方法从表现层面辨识异常行为倾向是否会发生；
[0031] C-2、针对异常控制行为，若可判定其缺陷利用簇类归属，则锁定此病态行为；若无法判定，则转入步骤D。
[0032] 进一步的，在步骤C-1中从表现层面辨识异常行为倾向的方法具体为：
[0033] C-1-1、在线获取增量化的状态表现行为参量数据，并进行标准化；
[0034] C-1-2、对标准数据集分别计算统计量Hotelling's T2和平方预测误差SPE，监控其值是否超过正常状态的控制限，若没有超限，重复步骤C-1-1，若超限，进入步骤C-1-3；
[0035] C-1-3、计算每个变量对Hotelling's T2统计量和平方预测误差SPE统计量的贡献率，贡献率最大的变量就是可能引起故障的变量。
[0036] 进一步的，步骤D具体为：
[0037] D-1、利用计算机技术搭建支持网络与系统高仿真复现、用户行为复制、资源自动配置与释放、环境安全隔离与受控交换的工控蜜网，诱捕病态行为；
[0038] D-2、在明确缺陷利用机理的前提下，采用特性关系下粗糙集构造的
决策树，挖掘先验黑色特征，构筑异常行为模式数据库。
[0039] 步骤D-2构筑异常行为模式数据库的方法具体为：
[0040] D-2-1、调用基于峰值法的云变换
算法来离散化行为参量数据中的所有连续型属性，得到新的行为参量数据集；
[0041] D-2-2、对于新的行为参量数据集，计算每一个条件属性相对于决策属性每个划分集合的上下近似度和每一个条件属性的加权平均粗糙度；
[0042] D-2-3、选择特性关系下加权平均粗糙度最小的属性B作为当前的分裂节点，以B为根构造决策树，即对B的每个取值，都可以得到一个样本分枝Q；
[0043] D-2-4、对于每个样本分支Q，如果他没有达到叶节点，则继续重复步骤D-2-2。
[0044] 本发明与
现有技术相比，具有如下的优点和有益效果：
[0045] 本发明通过工业控制组件离线测试的行为大数据驱动塑造安全基准模式库，实现主动防御，以缺陷诱发的异常行为实例集学习构筑异常行为模式数据库，产生进化选择似的缺陷免疫抗体库，通过安全基准模式库和异常行为模式数据库的双因子联合诊断，推动各尺度下控制功能的标准符合性认定，提高工业控制系统的安全性。
附图说明
[0046] 此处所说明的附图用来提供对本发明
实施例的进一步理解，构成本
申请的一部分，并不构成对本发明实施例的限定。在附图中：
[0048] 图2是本发明的离线在环测试工业控制组件时的原理
框图。
具体实施方式
[0049] 为使本发明的目的、技术方案和优点更加清楚明白，下面结合实施例和附图，对本发明作进一步的详细说明，本发明的示意性实施方式及其说明仅用于解释本发明，并不作为对本发明的限定。
[0050] 实施例1
[0051] 一种基于免疫学习的工业控制系统功能安全验证方法，包括以下步骤：
[0052] A、采用离线在环测试工业控制组件的方式获得工业控制的行为参量数据；
[0053] B、根据行为参量数据，塑造多尺度下工业控制的安全基准模式库；
[0054] C、在实际工业控制过程中，通过安全基准模式库辨识异常控制行为；
[0055] D、基于异常控制行为构筑异常行为模式数据库。
[0056] 本发明针对现有工业控制系统功能安全验证方法受限于开放机理和已知故障条件下实施诊断的缺陷，探索不依赖于机理解析模型和先验故障模式的创新型保障机制，发展基于封闭原理构件和潜隐故障组件建立风险可控式工业控制系统，该系统对风险的可控具有内生性和获得性。以被控对象的大量的行为参量数据构建工业控制的安全基准模式库，支持解决功能安全问题；且大量的行为参量数据的生成，以离线在环测试制造为主，并非依赖于在线状态表现的监测数据。在线监测获得的数据往往无法对应具体的功能行为、噪声太多；此外，还无法区分是正常行为表现数据还是异常行为表现数据，标记太难。
[0057] 实施例2
[0058] 本实施例在实施例1的基础上对各步骤进行具体细化。
[0059] 在进行步骤A之前，需要对工控系统的作业过程和工控访问过程进行形式化表达：
[0060] 一是展开访问功能说明：通过明确界定被控对象、工业控制实施前后的初始状态和终止状态，以及实施期间状态变化的各个关键的中间状态，说明工控访问过程的具体行为功能；把行为功能作为承载工控访问过程的实体，把被控对象状态作为实体间依循逻辑流动的信息。
[0061] 二是展开作业功能说明：把处理信息的服务作为承载工控作业过程的实体，把调度处理服务的功能代理作为行为功能
角色，把工控作业指令作为实体间依循逻辑流动的信息。
[0062] 三是绘制工控信息流图：用规范化的图形符号表达工控访问与作业过程中的信息流动形态；把访问与作业信息流图中的每个实体视为一个信息输入输出单元即IPO单元，详细说明该单元的输入信息来源、输入信息内容、输出信息流向、输出信息内容等。
[0063] 步骤A中，具体的可围绕工业控制组件展开硬件在环仿真驱动测试，离线制造工业控制的行为参量大数据。
[0064] 在步骤A中，离线在环测试主要包括：A1、界定工业控制系统中具有共同认可粒度的、承载同质功能特性的可交付级构件；在工控领域，通常有两类可交付级组件会特别引起关注，即：计算组件和通信组件；A2、以支持测试工具调用、测试序列生成、测试模型仿真的测控平台，围绕工业控制组件展开离线式硬件在环测试，制造行为参量大数据。如图2所示，测控平台包含三个功能部件：主控计算机、总线仪器测控组合、
信号调理与转接装置。其中主控计算机提供测试执行程序的开发与运行环境，并通过控制总线控制测试测量仪器完成测试执行程序的执行、取回测试数据。总线仪器测控组合中主要包括模
块化测试测量仪器、各类控制
开关、通讯总线等。信号调理与转接装置主要包括各类测量与激励
控制信号的转接与适配。
[0065] 基于步骤A采集的大量工业控制行为实例化的行为参量数据，建模内生性免疫机制，塑造机理逼近似的安全基准模式库，具体包括以下步骤：
[0066] B1、根据行为参量数据，采用基于贝叶斯网络构建与概率推理的方法重构数据分布痕迹，重构的数据分布痕迹，主要以确保行为实例建模、功能结构建模的有效性为目的，把必要的工业过程数据完整补齐，以避免测试
盲点和测量断点导致的数据残缺与模型偏倚；
[0067] B2、结合各项工控工业过程实例内置的实际工控对象状态，以主元分析方法把过程变迁实例转化成行为功能模型；结合各项工控作业过程实例内置的实际工控作业指令，以主元分析方法等把本体属性实例转化成处理服务模型；
[0068] B3、依据行为功能模型、处理服务模型和路由导航模型，用图形符号表达工控访问与作业过程中的信息流动形态，形成安全基准模式库。
[0069] 其中，B1具体为：
[0070] B1-1、在原始的行为参量数据上根据各变量对其他变量的相关性影响程度排序，对其他变量影响最大的排在第1位，最先进入建网步骤，这样能使多数变量尽可能多地找到相关父节点；在建网阶段每个变量都迭代地从已进入贝叶斯网络的变量中查找可增加当前得分的节点加入父节点集合，直至全部得分不再增加；
[0071] B1-2、针对每条不完整的行为参量数据进行基于贝叶斯网络的概率推理，找出所有候选值及其相对概率，以概率最大的候选值作为空缺数据填充。
[0072] B2中构建行为功能模型具体方法为：
[0073] B2-1-1、将正常工况下的工业控制对象状态表现数据集变换为均值为0，方差为1的标准数据集；
[0074] B2-1-2、通过上述标准数据集建立工控访问过程主元模型，提取主元；
[0075] B2-1-3、计算标准数据集工控访问过程主元模型的统计量及相应的控制限。
[0076] 步骤B2中构建处理服务模型具体方法为：
[0077] B2-2-1、将正常工况下的工业控制组件行为指令数据集变换为均值为0，方差为1的标准数据集；
[0078] B2-2-2、通过上述标准数据集建立工控作业过程主元模型，提取主元；
[0079] B2-2-3、计算标准数据集工控作业过程主元模型的统计量及相应的控制限。
[0080] 步骤C在实际工业控制过程中实现，采集在线数据，安置传感测点，现场监测采集工业控制过程在组件范畴上的表征化行为参量数据。
[0081] 在线
数据采集主要包括：1、选择测点，优化配置
传感器，确保对工业控制组件的安全检测效果最佳、动态性能影响最小；2、建立基于工业实时数据库的控制过程数据集成平台，充分采集现场操作、作业指令、设备状态等线上信息，支持面向可编程嵌入式电子设备的功能模态检测、实时控制与监控软件的逻辑行为捕获，以及工控网络协议的通信传输解析。工业实时数据库应该符合以下模式：以高
精度的时间
分辨率支持品牌各异的设备与软件，以多协议的采集适配率支持广泛的数据源形态，以超高效的
数据压缩率支持行为大数据的传输与存储性能。
[0082] 步骤C中的辨识方法具体为：
[0083] C-1、以行为功能模型、处理服务模型和路由导航模型共同建立的安全基准模式库推动各尺度下控制功能的标准符合性认定，通过主元分析方法从表现层面辨识异常行为倾向是否会发生；
[0084] C-2、针对异常控制行为，利用异常行为特征库村储的决策规则判定其缺陷利用簇类归属，若有明确分类，则锁定此病态行为；若无法判定，则转入步骤D。
[0085] 从表现层面辨识异常行为倾向的方法具体为：
[0086] C-1-1、在线获取增量化的状态表现行为参量数据，并进行标准化；
[0087] C-1-2、对标准数据集分别计算统计量Hotelling's T2和平方预测误差SPE，监控其值是否超过正常状态的控制限，若没有超限，重复步骤C-1-1，若超限，进入步骤C-1-3；
[0088] C-1-3、计算每个变量对Hotelling's T2统计量和平方预测误差SPE统计量的贡献率，贡献率最大的变量就是可能引起故障的变量。
[0089] C-2中，利用异常行为特征库村储的决策规则判定其缺陷利用簇类归属的方法具体为：
[0090] C-2-1、调用基于峰值法的云变换算法来离散化行为参量数据中的所有连续型属性，得到新的数据记录；
[0091] C-2-2、调用异常行为特征库存储的基于特性关系下粗糙集构造的决策树对异常控制行为进行缺陷利用簇类归属的判定。
[0092] 步骤D基于异常控制行为构筑静动态缺陷的异常行为模式数据库具体为：
[0093] D-1、利用计算机技术搭建支持网络与系统高仿真复现、用户行为复制、资源自动配置与释放、环境安全隔离与受控交换的工控余度蜜网，诱捕病态行为；
[0094] D-2、在明确缺陷利用机理的前提下，采用特性关系下粗糙集构造的决策树，挖掘先验黑色特征，构筑异常行为模式数据库。
[0095] 将无法判定缺陷利用簇类归属的异常控制行为诱入以工控作业为基因承载、支持拟态化重构的疏导式工控余度蜜网，对其进行潜在病态倾向研判、先验黑色特征挖掘，构筑异常行为模式数据库，该异常行为模式数据库具有获得性，可根据先验黑色特征等异常数据进行更新，
预防先验黑色特征的攻击。
[0096] 步骤D-2构筑异常行为模式数据库的方法具体为：
[0097] D-2-1、调用基于峰值法的云变换算法来离散化行为参量数据中的所有连续型属性，得到新的行为参量数据集；
[0098] D-2-2、对于新的行为参量数据集，计算每一个条件属性相对于决策属性每个划分集合的上下近似度和每一个条件属性的加权平均粗糙度；
[0099] D-2-3、选择特性关系下加权平均粗糙度最小的属性B作为当前的分裂节点，以B为根构造决策树，即对B的每个取值，都可以得到一个样本分枝Q，Q是行为参量数据集中满足B的属性值为v的子样本；
[0100] D-2-4、对于每个样本分支Q，如果他没有达到叶节点，则继续重复步骤D-2-2。
[0101] 以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何
修改、等同替换、改进等，均应包含在本发明的保护范围之内。
