基于PSO‑OCSVM的工业控制系统通信行为异常检测方法

摘要

本发明基于OCSVM算法提出了一种基于PSO‑OCSVM的工业控制系统通信行为异常检测方法。该发明利用改进的单类支持向量机算法，根据正常的Modbus功能码序列建立正常通信行为轮廓，设计了一种基于粒子群算法(PSO)进行参数优化的PSO‑OCSVM方法，建立入侵检测模型，识别出异常的Modbus TCP通信流量。该发明提高了异常检测的效率及其可靠性，更适用于实际应用。

主权项

一种基于PSO‑OCSVM的工业控制系统通信行为异常检测方法，其特征在于，包括以下步骤：特征提取：抓取网络中的Modbus TCP通信流量数据包，剔除不包含有Modbus功能码的数据包，统计Modbus TCP客户端和Modbus TCP服务器端的通信流量；数据预处理：设定短序列的长度r，以长度为r的滑动窗口循环处理Modbus功能码，将Modbus功能码转换为若干个长度为r的短序列，去除其中重复的短序列，获得短序列集合并按照每一个短序列出现的顺序进行排列构造成单类支持向量机OCSVM特征向量；建模：将单类支持向量机OCSVM特征向量导入到matlab中，通过matlab调动libsvm工具箱生成单类支持向量机OCSVM异常检测模型；粒子群优化PSO算法：将初始化的粒子传递给单类支持向量机OCSVM异常检测模型作为单类支持向量机OCSVM固有参数v和高斯核函数参数g，将单类支持向量机OCSVM异常检测模型返回的交叉验证意义下的分类正确率作为粒子群优化PSO算法中的适应度值，并据此进行粒子群迭代更新，得到最优的单类支持向量机OCSVM固有参数ν和高斯核函数参数g；PSO‑OCSVM异常检测：利用最优的单类支持向量机OCSVM固有参数v和高斯核函数参数g，建立PSO‑OCSVM流程模型进行异常检测，并且返回交叉验证意义下的分类正确率。