基于PSO-OCSVM的工业控制系统通信行为异常检测方法

摘要

本发明基于OCSVM算法提出了一种基于PSO-OCSVM的工业控制系统通信行为异常检测方法。该发明利用改进的单类支持向量机算法，根据正常的Modbus功能码序列建立正常通信行为轮廓，设计了一种基于粒子群算法(PSO)进行参数优化的PSO-OCSVM方法，建立入侵检测模型，识别出异常的Modbus TCP通信流量。该发明提高了异常检测的效率及其可靠性，更适用于实际应用。

主权项

一种基于PSO‑OCSVM的工业控制系统通信行为异常检测方法，其特征在于，包括以下步骤：特征提取：抓取网络中的Modbus TCP通信流量数据包，剔除不包含有Modbus功能码的数据包，统计Modbus TCP客户端和Modbus TCP服务器端的通信流量；数据预处理：设定短序列的长度r，以长度为r的滑动窗口循环处理Modbus功能码，将Modbus功能码转换为若干个长度为r的短序列，去除其中重复的短序列，获得短序列集合并按照每一个短序列出现的顺序进行排列构造成OCSVM特征向量；建模：将OCSVM特征向量导入到matlab中，通过matlab调动libsvm工具箱生成OCSVM异常检测模型；PSO优化：将初始化的粒子传递给OCSVM异常检测模型作为OCSVM固有参数ν和高斯径向基参数g，将OCSVM异常检测模型返回的交叉验证意义下的分类准确率作为PSO优化模型中的适应度值，并据此进行粒子群迭代更新，得到最优的OCSVM固有参数ν和高斯径向基参数g；PSO‑OCSVM异常检测：利用最优的OCSVM固有参数ν和高斯径向基参数g，建立PSO‑OCSVM流程模型进行异常检测，并且返回交叉验证意义下的分类正确率。