◆門嘉平

工業(yè)大數(shù)據(jù)安全應(yīng)用探討

◆門嘉平

(南京天規(guī)信息技術(shù)有限公司 江蘇 210000)

在工業(yè)互聯(lián)網(wǎng)快速應(yīng)用推廣的當(dāng)下，工業(yè)大數(shù)據(jù)伴隨工業(yè)互聯(lián)網(wǎng)應(yīng)用而呈幾何倍數(shù)增加。信息技術(shù)在工業(yè)生產(chǎn)領(lǐng)域中也被廣泛普及，以及在工業(yè)領(lǐng)域中大量使用價(jià)格低廉的傳感器，工業(yè)控制和生產(chǎn)過程具備了基本的狀態(tài)感知能力，海量數(shù)據(jù)的采集和傳送已經(jīng)突破了時(shí)間和空間的限制，源源不斷地匯集到企業(yè)的數(shù)據(jù)中心。這些工業(yè)大數(shù)據(jù)的產(chǎn)生，同時(shí)帶來了巨大的隱性安全隱患，隨時(shí)可能會(huì)給工業(yè)生產(chǎn)造成災(zāi)難事件。本文根據(jù)工業(yè)大數(shù)據(jù)的自身特點(diǎn)，對工業(yè)大數(shù)據(jù)的安全性分析方面進(jìn)行了探討。

工業(yè)互聯(lián)網(wǎng)；工業(yè)大數(shù)據(jù)；安全性；安全分析方法

隨著信息技術(shù)在工業(yè)生產(chǎn)領(lǐng)域的不斷普及，以及價(jià)格低廉的傳感器的廣泛應(yīng)用，工業(yè)控制和生產(chǎn)過程具備了基本的狀態(tài)感知能力，海量數(shù)據(jù)的采集和傳送已經(jīng)突破了時(shí)間和空間的限制，源源不斷地匯集到企業(yè)的數(shù)據(jù)中心。一方面，存儲(chǔ)和計(jì)算設(shè)備的成本在不斷降低，從軟盤、硬盤、內(nèi)存卡到固態(tài)硬盤，有限的存儲(chǔ)空間和存取速度已經(jīng)不再成為瓶頸；另一方面，以虛擬化為核心的大數(shù)據(jù)關(guān)聯(lián)與處理技術(shù)，不但降低了工業(yè)數(shù)據(jù)使用的技術(shù)門檻和支出成本，還大幅減輕了工業(yè)大數(shù)據(jù)的處理成本，從而降低了企業(yè)負(fù)擔(dān)。

工業(yè)大數(shù)據(jù)是連接工業(yè)控制生產(chǎn)環(huán)境中物理空間（Physical Space）實(shí)體設(shè)備和網(wǎng)絡(luò)空間（Cyber Space）虛擬資產(chǎn)的紐帶，也是工業(yè)互聯(lián)網(wǎng)相關(guān)技術(shù)在企業(yè)生產(chǎn)業(yè)務(wù)應(yīng)用過程中的具體應(yīng)用與落地。本文主要對工業(yè)大數(shù)據(jù)自身安全性分析方面的應(yīng)用進(jìn)行了探討。

1 工業(yè)大數(shù)據(jù)的分類和特點(diǎn)

根據(jù)企業(yè)具體生產(chǎn)過程中產(chǎn)生的工業(yè)大數(shù)據(jù)頻度，可以將其按兩個(gè)維度進(jìn)行劃分，分為靜態(tài)數(shù)據(jù)和動(dòng)態(tài)數(shù)據(jù)。靜態(tài)數(shù)據(jù)包括企業(yè)資產(chǎn)信息、控制流程設(shè)計(jì)、網(wǎng)絡(luò)拓?fù)?、管理員賬戶、訪問權(quán)限控制及管理等不變化或者改動(dòng)較小的數(shù)據(jù)；動(dòng)態(tài)數(shù)據(jù)包括控制生產(chǎn)設(shè)備、傳感器等產(chǎn)生的大量模擬量、數(shù)字量、網(wǎng)絡(luò)流等信息，生成的頻度較高，而且數(shù)據(jù)量大，實(shí)時(shí)性強(qiáng)。

根據(jù)工業(yè)大數(shù)據(jù)各個(gè)環(huán)節(jié)與各類設(shè)備產(chǎn)生的具體來源，可以將其按兩個(gè)維度分為生產(chǎn)性數(shù)據(jù)和輔助生產(chǎn)性數(shù)據(jù)。生產(chǎn)性數(shù)據(jù)包括工業(yè)控制生產(chǎn)環(huán)節(jié)產(chǎn)生的各種數(shù)據(jù)，構(gòu)成了工業(yè)大數(shù)據(jù)的主體；輔助性生產(chǎn)數(shù)據(jù)包括各類傳感器采集的數(shù)據(jù)，包括生產(chǎn)環(huán)境的溫濕度、實(shí)時(shí)監(jiān)測的設(shè)備運(yùn)行狀態(tài)、設(shè)備健康狀況等信息，甚至包括監(jiān)控探頭等采集的信息，對工業(yè)生產(chǎn)過程具有輔助決策作用。

工業(yè)大數(shù)據(jù)的采集和傳輸具有時(shí)間跨度大，空間范圍廣、數(shù)據(jù)粒度細(xì)的優(yōu)勢，這些使得工業(yè)大數(shù)據(jù)既具備常規(guī)大數(shù)據(jù)的基本特征，同時(shí)還具有工業(yè)生產(chǎn)應(yīng)用方面的獨(dú)特特征。

1.1 首先，工業(yè)大數(shù)據(jù)具備典型大數(shù)據(jù)的“4V”特征

第一個(gè)V是Volume（數(shù)量巨大），體現(xiàn)了大數(shù)據(jù)本身應(yīng)該具有的規(guī)模特征。對于工業(yè)大數(shù)據(jù)來說，尤其是工業(yè)生產(chǎn)環(huán)境中大量傳感器和各類設(shè)備日志，涵蓋了工業(yè)生產(chǎn)過程的設(shè)備運(yùn)行狀況、用戶操作行為、環(huán)境參數(shù)等海量數(shù)據(jù)。

第二個(gè)V是Variety（種類繁多），代表工業(yè)大數(shù)據(jù)自身生產(chǎn)過程的具有多樣性。能將熟知的各種關(guān)系型數(shù)據(jù)庫（比如Mysql、SqlServer、Oracle等）儲(chǔ)存與處理的數(shù)據(jù)按特定算法轉(zhuǎn)化為結(jié)構(gòu)化數(shù)據(jù)，保存在指定的數(shù)據(jù)庫表中。工業(yè)大數(shù)據(jù)中存在大量控制信息、報(bào)表、圖像和音頻、視頻等多源異構(gòu)數(shù)據(jù)，其實(shí)時(shí)存儲(chǔ)和處理是當(dāng)前研究的熱點(diǎn)之一。

第三個(gè)V是Value（價(jià)值挖掘），具有兩方面的含義：（1）大數(shù)據(jù)中包含的數(shù)據(jù)類型、數(shù)據(jù)規(guī)模均超過了以往數(shù)據(jù)集，但是數(shù)據(jù)中有價(jià)值部分占比較低；（2）海量數(shù)據(jù)中數(shù)據(jù)類型豐富，來源廣泛，因此可以更加詳細(xì)、系統(tǒng)地進(jìn)行數(shù)據(jù)分析，從而獲得在小數(shù)據(jù)集中無法獲得的重要結(jié)論。但是，數(shù)據(jù)的真正價(jià)值往往隱匿在海量數(shù)據(jù)之中，需要通過定制化的算法對海量數(shù)據(jù)進(jìn)行全面而深入的數(shù)據(jù)挖掘才可能挖掘找出其真正價(jià)值。

第四個(gè)V是Velocity（速度要求），具有兩方面的含義：（1）數(shù)據(jù)生成速度快，需要較快的采集和存儲(chǔ)；（2）數(shù)據(jù)分析結(jié)果有較強(qiáng)時(shí)效性，對海量工業(yè)數(shù)據(jù)的分析結(jié)果需要對數(shù)據(jù)處理過程的速度非常高。

1.2 其次，工業(yè)大數(shù)據(jù)具有其獨(dú)特的“2V”特征

第一個(gè)V是Veracity（信息真實(shí)），強(qiáng)調(diào)的是工業(yè)大數(shù)據(jù)生產(chǎn)的數(shù)據(jù)來源與數(shù)據(jù)質(zhì)量，即工業(yè)大數(shù)據(jù)存在生產(chǎn)數(shù)據(jù)的時(shí)間跨度大，數(shù)據(jù)來源的范圍廣，數(shù)據(jù)采集和提煉過程既需要確定數(shù)據(jù)來源的可靠性，還需要保證數(shù)據(jù)本身的質(zhì)量，從而為數(shù)據(jù)挖掘和分析提供堅(jiān)實(shí)的基礎(chǔ)。

第二個(gè)V是Visibility（結(jié)果呈現(xiàn)），工業(yè)大數(shù)據(jù)分析的任務(wù)是發(fā)掘數(shù)據(jù)的價(jià)值（value），對生產(chǎn)的大數(shù)據(jù)中隱匿的各類信息進(jìn)行全面分析和深入挖掘，最終將簡單而清晰的數(shù)據(jù)提取結(jié)果呈現(xiàn)給具體工業(yè)用戶使用。工業(yè)控制和計(jì)算機(jī)科學(xué)是兩個(gè)相對不同領(lǐng)域，因此工業(yè)大數(shù)據(jù)的分析需要考慮結(jié)果呈現(xiàn)的方式。

1.3 最后，工業(yè)大數(shù)據(jù)還存在“3B”問題

第一個(gè)B是Blow Surface（特征隱藏），工業(yè)大數(shù)據(jù)注重的是數(shù)據(jù)背后的物理意義。如果不考慮實(shí)際的物理場景，分析的結(jié)論將毫無意義。

第二個(gè)B是Broken（數(shù)據(jù)碎片），從工業(yè)生產(chǎn)環(huán)境獲得大數(shù)據(jù)由于其來源多樣，呈現(xiàn)出明顯的異步性和相對無序性，導(dǎo)致雖然獲得的數(shù)據(jù)量比較大，但是仍然有分散、不連續(xù)的特點(diǎn)。另一方面，工業(yè)生產(chǎn)全生命周期不同時(shí)段的數(shù)據(jù)也具有相對獨(dú)立性，給工業(yè)大數(shù)據(jù)的關(guān)聯(lián)分析帶來了困難。

第三個(gè)B是Bad Quality（質(zhì)量較差），工業(yè)大數(shù)據(jù)來自不斷反復(fù)的生產(chǎn)過程，具有一定的重復(fù)性和相對周期性，但同時(shí)還有一些操作和控制頻度很低。因此，數(shù)據(jù)的“量”和數(shù)據(jù)的“質(zhì)”需要進(jìn)行權(quán)衡，有時(shí)為了保證樣本數(shù)據(jù)的完整性，數(shù)據(jù)采集過程需要持續(xù)很長時(shí)間。

2 工業(yè)大數(shù)據(jù)安全利用特點(diǎn)

工業(yè)大數(shù)據(jù)的“量變”促成了對數(shù)據(jù)進(jìn)行安全分析的“質(zhì)變”。主要體現(xiàn)在以下幾個(gè)方面：

第一，從抽樣分析到關(guān)注全體。傳統(tǒng)的數(shù)據(jù)分析，往往采用統(tǒng)計(jì)學(xué)中抽樣分析的方式，以盡可能少的數(shù)據(jù)，去評估數(shù)據(jù)整體的特征。但是在安全分析領(lǐng)域，網(wǎng)絡(luò)攻擊和異常操作所占的比例相對較小，如果采用抽樣的方式，極有可能導(dǎo)致結(jié)論的偏差。而且，工業(yè)大數(shù)據(jù)中海量數(shù)據(jù)也不再具有抽樣分析方法作出的獨(dú)立同分布的假設(shè)，因此，統(tǒng)計(jì)學(xué)中假設(shè)檢驗(yàn)、參數(shù)估計(jì)等應(yīng)用條件和算法機(jī)制需要進(jìn)行較大改進(jìn)才能繼續(xù)使用。

第二，準(zhǔn)確性要求高。在利用互聯(lián)網(wǎng)大數(shù)據(jù)進(jìn)行分析和預(yù)測時(shí)，往往使用概率來給出結(jié)論。但是工業(yè)大數(shù)據(jù)的安全分析，需要在有效數(shù)據(jù)占比較低的情況下，進(jìn)行全面的數(shù)據(jù)分析，從而能確定出相對準(zhǔn)確的數(shù)據(jù)分析結(jié)論，以便安全或業(yè)務(wù)操作管理人員進(jìn)行快速而有效的決策。如果出現(xiàn)失誤，可能會(huì)造成嚴(yán)重的后果。在工業(yè)大數(shù)據(jù)諸多安全分析研究中，誤報(bào)率均是重要的評價(jià)指標(biāo)之一。

第三，跨類型、跨領(lǐng)域數(shù)據(jù)聯(lián)合分析。工業(yè)大數(shù)據(jù)的安全分析涉及控制設(shè)備、生產(chǎn)設(shè)備、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等多種異構(gòu)日志和數(shù)據(jù)流量，往往呈現(xiàn)出多源異構(gòu)的特點(diǎn)。這些工業(yè)生產(chǎn)過程中產(chǎn)生的數(shù)據(jù)類型不同，有結(jié)構(gòu)化數(shù)據(jù)，也有非結(jié)構(gòu)化數(shù)據(jù)；有些數(shù)據(jù)來自一般計(jì)算機(jī)領(lǐng)域和通信領(lǐng)域，更有些數(shù)據(jù)大量來自工業(yè)自動(dòng)化控制領(lǐng)域、工業(yè)生產(chǎn)領(lǐng)域和工業(yè)安全保障領(lǐng)域。因此，需要對這些海量的各類數(shù)據(jù)進(jìn)行跨域的整合與梳理，生產(chǎn)歸并為同類型數(shù)據(jù)后，才能比較好的開展關(guān)聯(lián)分析，進(jìn)而為發(fā)現(xiàn)工業(yè)生產(chǎn)各環(huán)境中的異常成為可能。

3 工業(yè)大數(shù)據(jù)安全分析方法

“有之以為利，無之以為用”，工業(yè)大數(shù)據(jù)時(shí)代，我們面臨的是海量數(shù)據(jù)是“有”，而數(shù)據(jù)蘊(yùn)含的價(jià)值是“無”，工業(yè)大數(shù)據(jù)安全分析就是去發(fā)掘和利用“無”的過程。

3.1 關(guān)聯(lián)規(guī)則分析

關(guān)聯(lián)規(guī)則分析就是從工業(yè)生產(chǎn)及其輔助過程產(chǎn)生的海量數(shù)據(jù)中進(jìn)行數(shù)據(jù)管理分析與挖掘的過程，屬于無監(jiān)督（unsupervised）的機(jī)器學(xué)習(xí)算法。頻繁模式是指在數(shù)據(jù)集中頻繁出現(xiàn)的模式，一般包括頻繁項(xiàng)集、頻繁子序列、頻繁子結(jié)構(gòu)等類型。頻繁項(xiàng)是指在數(shù)據(jù)集中頻發(fā)出現(xiàn)的個(gè)體；頻繁子序列是頻繁項(xiàng)按照一定的先后特征構(gòu)成的序列片段；頻繁子結(jié)構(gòu)與頻繁子序列有些類似，只不過針對的是樹、圖、網(wǎng)格等具有復(fù)雜內(nèi)部結(jié)構(gòu)的數(shù)據(jù)集。常用的關(guān)聯(lián)規(guī)則分析算法有：Apriori算法和FP-growth算法。Apriori算法基于頻繁項(xiàng)集的所有非子集也是頻繁的規(guī)則進(jìn)行逐層迭代搜索，第 k此迭代獲得的頻繁k項(xiàng)集用于支持對頻繁（k+1）項(xiàng)集的挖掘。FP-growth算法不生成候選的頻繁項(xiàng)集，采用的頻繁模式逐段增長的方法，面對海量數(shù)據(jù)集具有更高的效率。關(guān)聯(lián)規(guī)則分析主要用于工業(yè)生產(chǎn)控制的正常行為建模和安全事件的關(guān)聯(lián)分析，常被用來進(jìn)行異常行為檢測和追溯，比如閥門的開合順序。

3.2 分類和回歸分析

分類（classification）和回歸（regression）分析都屬于有監(jiān)督的（supervised）機(jī)器學(xué)習(xí)算法。都是使用函數(shù)對目標(biāo)變量進(jìn)行擬合，從而進(jìn)行預(yù)測，區(qū)別在于前者的目標(biāo)變量是離散型，后者的目標(biāo)變量是連續(xù)型。分類是根據(jù)一定的分類算法或模式對挖掘研究對象提取共有的相關(guān)特征，然后建立關(guān)聯(lián)與分類模型并對未知數(shù)據(jù)進(jìn)行遠(yuǎn)期預(yù)測。常用的分類方法有決策樹、貝葉斯、SVM（支持向量機(jī)）、神經(jīng)網(wǎng)絡(luò)等，常用回歸方法有線性回歸、多項(xiàng)式回歸、樹回歸等?！邦A(yù)測”能力體現(xiàn)了工業(yè)大數(shù)據(jù)安全應(yīng)用的強(qiáng)大之處，通過分類，可以識(shí)別不同類別的網(wǎng)絡(luò)攻擊，如掃描，欺騙等；通過回歸，可以對實(shí)體行為（用戶+設(shè)備）進(jìn)行分析。

3.3 聚類分析

聚類分析時(shí)將一組對象按照其相似性劃分為若干不同類別（簇、子集等），使得同一類別中樣本的相似性盡可能大。聚類算法屬于無監(jiān)督的機(jī)器學(xué)習(xí)算法之一。聚類分析需要根據(jù)研究對象的特有屬性選擇恰當(dāng)?shù)南嗨菩?差異性指標(biāo)，在選擇指標(biāo)并計(jì)算相似度的過程中，一般會(huì)使用歐氏距離、馬氏距離、余弦相似度等空間距離計(jì)算方法。在工業(yè)大數(shù)據(jù)安全分析領(lǐng)域，常用于區(qū)分惡意文件和正常文件，也可用于用戶行為分析，將多個(gè)用戶根據(jù)其操作行為劃入不同的用戶組。

4 工業(yè)大數(shù)據(jù)安全應(yīng)用關(guān)鍵問題

工業(yè)大數(shù)據(jù)的安全應(yīng)用在日產(chǎn)各種生產(chǎn)與生活過程中的前景非常廣闊。但是，我們應(yīng)該清晰地認(rèn)識(shí)到我國工業(yè)目前正處在“工業(yè)2.0補(bǔ)課、工業(yè)3.0普及、工業(yè)4.0示范”的并聯(lián)式發(fā)展道路，工業(yè)大數(shù)據(jù)存在數(shù)據(jù)質(zhì)量差、數(shù)據(jù)管理水平弱、關(guān)聯(lián)程度低等缺點(diǎn)，需要從以下幾個(gè)方面進(jìn)行加強(qiáng)。

第一，工業(yè)大數(shù)據(jù)質(zhì)量問題。目前我國的工業(yè)大數(shù)據(jù)尚未形成統(tǒng)一的標(biāo)準(zhǔn)，導(dǎo)致同一企業(yè)內(nèi)部數(shù)據(jù)質(zhì)量沒有參考依據(jù)，往往采集了大量重復(fù)無用的數(shù)據(jù)，而造成采集的數(shù)據(jù)不完整；不同企業(yè)間的大數(shù)據(jù)共享能力較差，無法有效遷移到其他數(shù)據(jù)分析平臺(tái)。所幸工信部已經(jīng)在著手相關(guān)工作，一直在致力于推進(jìn)工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析體系的建設(shè)，從源頭上保證了工業(yè)大數(shù)據(jù)的質(zhì)量。

第二，工業(yè)大數(shù)據(jù)集成問題。工業(yè)大數(shù)據(jù)的安全應(yīng)用需要重構(gòu)數(shù)據(jù)支撐平臺(tái)，通過數(shù)據(jù)支撐平臺(tái)接口打通企業(yè)內(nèi)部各個(gè)部門、各個(gè)生產(chǎn)過程，數(shù)據(jù)支撐平臺(tái)接口能夠成為工業(yè)內(nèi)部網(wǎng)絡(luò)生產(chǎn)數(shù)據(jù)與外部網(wǎng)絡(luò)相關(guān)交互數(shù)據(jù)、結(jié)構(gòu)化數(shù)據(jù)與非結(jié)構(gòu)化數(shù)據(jù)的必經(jīng)通道，實(shí)現(xiàn)多源異構(gòu)海量數(shù)據(jù)的有效整合，才能降低數(shù)據(jù)采集成本，實(shí)現(xiàn)工業(yè)大數(shù)據(jù)利用的效益最大化。同時(shí)，由于工業(yè)大數(shù)據(jù)安全應(yīng)用的時(shí)效性問題，需要有支撐異構(gòu)、海量、非結(jié)構(gòu)化數(shù)據(jù)的快速存取平臺(tái)和工具，比如支持非結(jié)構(gòu)化數(shù)據(jù)存儲(chǔ)的NoSQL數(shù)據(jù)庫、分布式計(jì)算的MapReduce和Hadoop平臺(tái)等。

第三，工業(yè)大數(shù)據(jù)關(guān)聯(lián)分析問題。工業(yè)大數(shù)據(jù)由于業(yè)務(wù)與應(yīng)用的差異，導(dǎo)致其來源各異，具有海量、異構(gòu)、多源、高噪等特點(diǎn)，使得工業(yè)大數(shù)據(jù)的安全分析面臨巨大挑戰(zhàn)。如何建立關(guān)聯(lián)分析模型，對海量多源異構(gòu)數(shù)據(jù)進(jìn)行關(guān)聯(lián)分析，從而發(fā)現(xiàn)隱藏在數(shù)據(jù)中的異常，是目前大數(shù)據(jù)安全分析要解決的重點(diǎn)問題。尤其是在APT（高級持續(xù)性威脅）攻擊日益嚴(yán)重的今天，如何做跨時(shí)間、跨空間的關(guān)聯(lián)分析，具有很大的研究價(jià)值和現(xiàn)實(shí)意義。

[1]李杰.工業(yè)大數(shù)據(jù):工業(yè)4.0時(shí)代的工業(yè)轉(zhuǎn)型與價(jià)值創(chuàng)造[M].機(jī)械工業(yè)出版社，2015.

[2]周濟(jì).智能制造—“中國制造2025”的主攻方向[J].中國機(jī)械工程，2015，26（17）:2273-2284.

[3]維克托?邁爾-舍恩伯格.大數(shù)據(jù)時(shí)代:生活、工作與思維的大變革[M].浙江人民出版社，2013.

[4]艾伯特-拉斯洛?巴拉巴西.爆發(fā):大數(shù)據(jù)時(shí)代預(yù)見未來的新思維[M].北京聯(lián)合出版有限公司，2012.

[5]工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟.工業(yè)大數(shù)據(jù)分析指南[M].2019.