劉遠(yuǎn)彬 徐茹枝 崔東

（1.華北電力大學(xué)（北京）控制與計(jì)算機(jī)工程學(xué)院，北京 102206；2.內(nèi)蒙古大唐國際托克托發(fā)電有限責(zé)任公司，內(nèi)蒙古 呼和浩特 010205）

0 引言

工業(yè)控制系統(tǒng)(ICS,Industrial Control Control System)是指由計(jì)算機(jī)與工業(yè)過程控制部件等共同組成的，以工業(yè)生產(chǎn)、提供服務(wù)為主要目的的自動(dòng)控制系統(tǒng)[1]，是生產(chǎn)活動(dòng)的控制中心和神經(jīng)中樞，負(fù)責(zé)數(shù)據(jù)監(jiān)測(cè)和智能控制，涉及能源轉(zhuǎn)化、商品生產(chǎn)、交通運(yùn)輸?shù)缺姸嗌婕爸螄野l(fā)展的重點(diǎn)行業(yè)。在ICS最初發(fā)展過程中，極大地忽視了網(wǎng)絡(luò)安全方面的考慮，采取隔離的方式切斷與外界的通信，同時(shí)工業(yè)控制系統(tǒng)信息化程度有限[2]，對(duì)于網(wǎng)絡(luò)安全的需求較低，隨著“兩化”融合以及工業(yè)智能化發(fā)展趨勢(shì)，工業(yè)控制系統(tǒng)對(duì)于數(shù)據(jù)通信的需求急劇增加，工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全能夠?qū)I(yè)控制系統(tǒng)產(chǎn)生嚴(yán)重影響。2010年發(fā)生的“震網(wǎng)病毒”事件，證明了網(wǎng)絡(luò)攻擊能夠?qū)ΜF(xiàn)實(shí)設(shè)備產(chǎn)生實(shí)質(zhì)性損壞[3]。相關(guān)報(bào)道顯示，對(duì)于工業(yè)控制系統(tǒng)的攻擊變得越來越頻繁[4]，且隨著“等保2.0”時(shí)代的到來，工控安全問題得到了足夠重視，但是現(xiàn)實(shí)的理論研究與實(shí)際需求之間仍有較大差距，主要由于工業(yè)控制系統(tǒng)具有自身特殊原因，互聯(lián)網(wǎng)中成熟的安全方案不適合工業(yè)控制系統(tǒng)，例如很多工業(yè)控制系統(tǒng)不能輕易加裝防病毒軟件，系統(tǒng)補(bǔ)丁不能迅速更新、工業(yè)控制系統(tǒng)對(duì)于數(shù)據(jù)實(shí)時(shí)性和網(wǎng)絡(luò)穩(wěn)定性要求較高以及工業(yè)控制系統(tǒng)中協(xié)議眾多等[2]。在某國對(duì)電網(wǎng)的一次攻擊中，黑客被認(rèn)為在能源公司的IT網(wǎng)絡(luò)中隱藏了六個(gè)月而未被發(fā)現(xiàn)，他們?cè)诓扇∮袟l不紊的步驟使電源脫機(jī)之前獲得了訪問系統(tǒng)的特權(quán)[5]。在對(duì)某工廠的攻擊中，Stuxnet蠕蟲使用零時(shí)差攻擊來感染系統(tǒng)，同時(shí)使用復(fù)雜的rootkit隱藏其更改，并使用被盜的受信任證書來驗(yàn)證其驅(qū)動(dòng)程序[6]?；痣姀S是一個(gè)復(fù)雜的工業(yè)控制系統(tǒng)，作為重點(diǎn)電力基礎(chǔ)設(shè)施，其安全性關(guān)乎國家和人民的用電質(zhì)量。而為了提高電力基礎(chǔ)設(shè)施網(wǎng)絡(luò)信息的安全水平，人們對(duì)于電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)技術(shù)進(jìn)行了研究，由于電力監(jiān)控系統(tǒng)屬于工業(yè)控制系統(tǒng)的一種并且在網(wǎng)絡(luò)安全研究方面具有較大的相似度，本研究以傳統(tǒng)工業(yè)控制系統(tǒng)為對(duì)象進(jìn)行建模，說明網(wǎng)絡(luò)攻擊方法和檢測(cè)技術(shù)的有效性。

近些年對(duì)于工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全研究較多，對(duì)于不同的網(wǎng)絡(luò)攻擊形式提出了針對(duì)性的檢測(cè)方法，進(jìn)行數(shù)據(jù)攻擊的檢測(cè)往往采用主成分分析、小波分析和機(jī)器學(xué)習(xí)等檢測(cè)方法。王金煥等人[7]提出一種基于田納西伊斯曼過程（TE）的數(shù)據(jù)攻擊方式，并采用小波與KPCA方法進(jìn)行檢測(cè)。劉大龍等人[8]提出一種基于多尺度主成分的檢測(cè)方法，用于檢測(cè)數(shù)據(jù)的欺騙性攻擊，這種檢測(cè)方法不依賴物理模型，能夠很好地檢測(cè)正弦攻擊。Li,Senyu等人[9]適用布谷鳥搜索方法優(yōu)化BP神經(jīng)網(wǎng)絡(luò)，提高了檢測(cè)的準(zhǔn)確性和檢測(cè)效率。Krotofil,M等人在TE系統(tǒng)的基礎(chǔ)上研發(fā)了一個(gè)DVCP攻擊框架，支持Dos攻擊和數(shù)據(jù)攻擊，并將TE仿真初始種子設(shè)為隨機(jī)數(shù)，使得每次仿真的數(shù)據(jù)是變化的，便于驗(yàn)證數(shù)據(jù)攻擊的有效性。Krotofil,M等人提出一種基于相關(guān)熵的數(shù)據(jù)攻擊檢測(cè)方法，并說明工控系統(tǒng)數(shù)據(jù)之間存在一定相關(guān)性，這種相關(guān)性能夠在檢測(cè)攻擊行為時(shí)提供幫助。Aoudi等人[10]提出一種基于過程數(shù)據(jù)的數(shù)據(jù)攻擊檢測(cè)方法（Pasad），能夠適用于數(shù)據(jù)攻擊及具有欺騙性質(zhì)的數(shù)據(jù)攻擊，具有較高的魯棒性，利用系統(tǒng)過程參數(shù)的矩陣映射，通過判斷系統(tǒng)過程數(shù)據(jù)是否偏離正常值來確定是否受到網(wǎng)絡(luò)攻擊。

為了提高火電廠機(jī)組安全運(yùn)行的穩(wěn)定性，本文提出一種多傳感器攻擊方法，其攻擊數(shù)據(jù)與原始正常數(shù)據(jù)盡可能相似，傳統(tǒng)的檢測(cè)方法難以檢測(cè)出攻擊行為，并提出一種基于過程穩(wěn)定性的檢測(cè)模型以檢測(cè)控制器和傳感器信號(hào)是否被惡意操縱，以便及時(shí)發(fā)現(xiàn)問題進(jìn)行報(bào)警，檢測(cè)模型通過引入相關(guān)性特點(diǎn)，對(duì)異常數(shù)據(jù)進(jìn)行放大，并對(duì)Pasad模型優(yōu)化，使其適用于全廠數(shù)據(jù)的檢測(cè)，通過weiszfeld算法求矩陣的中位中心，增強(qiáng)檢測(cè)的準(zhǔn)確性和及時(shí)性，并使用田納西伊士曼模型進(jìn)行驗(yàn)證，證明檢測(cè)方法的有效性。

1 系統(tǒng)模型

1.1 實(shí)驗(yàn)對(duì)象

本文選取的實(shí)驗(yàn)對(duì)象為田納西-伊斯曼模型，是由美國伊斯曼化學(xué)公司開發(fā)的一個(gè)基于matlab的仿真平臺(tái)，模擬了一個(gè)真實(shí)的化工生產(chǎn)過程，其中包括反應(yīng)釜、冷凝器、分離器、汽提塔和壓縮機(jī)等設(shè)備，構(gòu)成了一個(gè)復(fù)雜的非線性控制過程，常被用于多變量控制、故障診斷等領(lǐng)域，Downs和Vogel[11]于1993年對(duì)該控制過程進(jìn)行詳細(xì)的描述。這使得TE系統(tǒng)成為一個(gè)很好的案例，支持研究人員在此基礎(chǔ)上開展各種研究。

該生產(chǎn)過程主要為通過使用A、B、C、D、E五種反應(yīng)物生產(chǎn)G和H兩個(gè)主要產(chǎn)品，其中B為一種惰性氣體，F(xiàn)為一種副產(chǎn)品，該過程所有反應(yīng)都是放熱、不可逆過程。TE系統(tǒng)共有41個(gè)傳感器變量（19個(gè)成分測(cè)量值和22個(gè)連續(xù)數(shù)據(jù)測(cè)量值）、12個(gè)控制器變量和15個(gè)環(huán)境擾動(dòng)，其中根據(jù)G/H的出產(chǎn)率不同TE系統(tǒng)有六種工作模式。

其反應(yīng)過程為：

本文采用的DVCP攻擊框架將Ricker[12]的初始模型的傳感器信號(hào)和執(zhí)行器實(shí)施數(shù)據(jù)攻擊和Dos攻擊，并且通過修改原始代碼，為每次模擬運(yùn)行生成隨機(jī)數(shù)，從而在模型中允許模擬中的隨機(jī)性，保證數(shù)據(jù)運(yùn)行有隨機(jī)干擾，每次仿真所產(chǎn)生的數(shù)據(jù)都有所不同。

單個(gè)模擬時(shí)間設(shè)為72小時(shí)，仿真數(shù)據(jù)的實(shí)時(shí)信號(hào)采樣為fs=2000s/h的采樣速率進(jìn)行采樣，數(shù)據(jù)輸出數(shù)據(jù)的采樣為100s/h存儲(chǔ)在Matlab的工作空間。

傳感器的時(shí)序數(shù)據(jù)M是一個(gè)t×n的矩陣，表示n個(gè)傳感器在時(shí)間t中每個(gè)時(shí)間點(diǎn)數(shù)據(jù)值的大小。

1.2 Pasad模型

Pasad模型為Aoudi[12]等人提出的一種數(shù)據(jù)驅(qū)動(dòng)的檢測(cè)技術(shù)，Pasad方法主要分為兩部分，第一部分為訓(xùn)練部分，其將傳感器測(cè)量的連續(xù)時(shí)間序列作為輸入，通過獲取正常時(shí)間段的穩(wěn)定狀態(tài)，將待檢測(cè)時(shí)間段的數(shù)據(jù)映射到狀態(tài)矩陣中，檢測(cè)異常行為。

假設(shè)有一個(gè)單個(gè)傳感器中連續(xù)的時(shí)序數(shù)據(jù)，設(shè)滯后參數(shù)為L，其中K=N-L+1，將其嵌入L×K的hankel矩陣中，得到如下的矩陣X成為軌跡空間：

矩陣X包含系統(tǒng)運(yùn)行中產(chǎn)生的誤差信息，為了獲取數(shù)據(jù)，將穩(wěn)定時(shí)間段的數(shù)據(jù)X進(jìn)行奇異值分解，獲得L個(gè)特征向量的正交集，保留r個(gè)前導(dǎo)正交特征向量(r

將時(shí)序數(shù)據(jù)進(jìn)行計(jì)算時(shí)序的平均值：

通過將時(shí)序數(shù)據(jù)投影到投影矩陣中，得到此數(shù)據(jù)對(duì)應(yīng)的狀態(tài)中心，則數(shù)據(jù)狀態(tài)中心為:

1.3 相關(guān)系數(shù)

對(duì)于工業(yè)控制系統(tǒng)來說，傳感器的數(shù)據(jù)所反映的狀態(tài)變換具有相互關(guān)聯(lián)性，例如同一區(qū)域相似類型的傳感器比來自其他區(qū)域傳感器之間變化的關(guān)聯(lián)更加緊密。為了分析傳感器信號(hào)的相關(guān)性，使用皮爾遜相關(guān)系數(shù)(Pearson Correlation Coefficient)計(jì)算獨(dú)立的兩個(gè)傳感器之間的相關(guān)程度，其數(shù)值大小介于-1和1之間，具體公式如下：

相關(guān)系數(shù)的引入能夠區(qū)分不同數(shù)值之間的密切程度，通過對(duì)不同信號(hào)進(jìn)行區(qū)分，將數(shù)據(jù)趨勢(shì)變化密切的信號(hào)劃分為一種信號(hào)簇，同簇的信號(hào)變化呈大致相同的趨勢(shì)，在攻擊者進(jìn)行網(wǎng)絡(luò)攻擊的過程中會(huì)導(dǎo)致數(shù)據(jù)進(jìn)入紊亂的狀態(tài)，導(dǎo)致信號(hào)之間的相關(guān)性減小。本文將對(duì)于同簇之間傳感器變化進(jìn)行有選擇的放大，以達(dá)到放大攻擊的目的，方便檢測(cè)裝置檢測(cè)進(jìn)行更好的檢測(cè)。

2 多傳感器攻擊模型

對(duì)于工業(yè)控制系統(tǒng)的攻擊往往是對(duì)單個(gè)控制器或傳感器進(jìn)行攻擊，為了最終實(shí)現(xiàn)系統(tǒng)中斷生產(chǎn)過程，往往需要修改控制值或傳感器值以與正常值產(chǎn)生較大程度的偏離，且為了構(gòu)建一種更加難以被監(jiān)測(cè)到同時(shí)能產(chǎn)生較大危害的攻擊行為，本文采取將傳感器或控制器進(jìn)行組合的方式來攻擊。

為了產(chǎn)生攻擊組合，本文提出一種基于相關(guān)系數(shù)來構(gòu)造多傳感器攻擊的方法，使得攻擊能夠盡可能減少被檢測(cè)到的可能性。本文在重放歷史數(shù)據(jù)的基礎(chǔ)上增加選取均值為0的白噪聲作為攻擊信號(hào)。

ω(k)為正常數(shù)據(jù)最大值與最小值差的1/5與能量為0.01的白噪聲的乘積，這樣在保證能夠干擾適中的情況下，躲避常規(guī)的檢測(cè)手段同時(shí)能夠?qū)ο到y(tǒng)產(chǎn)生影響。Δd數(shù)值為20，y1(k-Δd)表示2小時(shí)前此結(jié)點(diǎn)數(shù)據(jù)的參數(shù)，利用歷史數(shù)據(jù)重放能夠在確保數(shù)據(jù)最大可能的接近正常數(shù)據(jù)的同時(shí)使得數(shù)據(jù)進(jìn)行欺騙，達(dá)到難以被檢測(cè)的效果。

為了確定攻擊結(jié)點(diǎn)，首先，對(duì)系統(tǒng)確定響應(yīng)的攻擊對(duì)象，從被攻擊對(duì)象中選取被攻擊的目標(biāo)，通過執(zhí)行攻擊行為達(dá)到攻擊效果，確定攻擊結(jié)點(diǎn)個(gè)數(shù)；其次，根據(jù)系統(tǒng)各參數(shù)之間的相關(guān)性數(shù)據(jù)嘗試增加被攻擊結(jié)點(diǎn)；最后，驗(yàn)證攻擊是否能夠引起系統(tǒng)失衡。

3 基于過程穩(wěn)定性的檢測(cè)模型

對(duì)于系統(tǒng)內(nèi)n結(jié)點(diǎn)時(shí)序數(shù)據(jù)M，表示n個(gè)結(jié)點(diǎn)在時(shí)間為N范圍內(nèi)的所有時(shí)序數(shù)據(jù)：

第一步：對(duì)每個(gè)結(jié)點(diǎn)的數(shù)據(jù)，將數(shù)據(jù)以10為步長求時(shí)序數(shù)據(jù)的滑動(dòng)平均值，將數(shù)據(jù)進(jìn)行平滑處理，減少系統(tǒng)噪聲和設(shè)備測(cè)量誤差帶來的影響。為了方便數(shù)據(jù)后續(xù)疊加計(jì)算，將數(shù)據(jù)進(jìn)行標(biāo)準(zhǔn)化處理，將數(shù)據(jù)變成以100為均值、以10為方差的時(shí)序數(shù)據(jù)。

第二步：根據(jù)3.2中計(jì)算數(shù)據(jù)相關(guān)性公式，計(jì)算系統(tǒng)中各個(gè)數(shù)據(jù)的相關(guān)性，當(dāng)相關(guān)性絕對(duì)值大于等于0.8時(shí)，說明數(shù)據(jù)之間存在較強(qiáng)的相關(guān)關(guān)系，對(duì)于數(shù)據(jù)的升降變化存在聯(lián)系。將相關(guān)性大于0.8的結(jié)點(diǎn)歸類為同簇?cái)?shù)據(jù)，通過隨機(jī)設(shè)定一個(gè)結(jié)點(diǎn)作為標(biāo)準(zhǔn)結(jié)點(diǎn)，200減去與其相關(guān)性呈負(fù)相關(guān)所對(duì)應(yīng)結(jié)點(diǎn)的數(shù)據(jù)，目的使其對(duì)應(yīng)數(shù)據(jù)進(jìn)行翻轉(zhuǎn)，使數(shù)據(jù)的相關(guān)性均統(tǒng)一變?yōu)檎嚓P(guān)。然后利用下式對(duì)同簇的數(shù)據(jù)進(jìn)行放大，作為訓(xùn)練數(shù)據(jù)，mean(st)表示同簇?cái)?shù)據(jù)相同時(shí)間所有結(jié)點(diǎn)對(duì)應(yīng)的數(shù)據(jù)的均值，stj表示同簇?cái)?shù)據(jù)中第j個(gè)結(jié)點(diǎn)的數(shù)據(jù)，data為數(shù)據(jù)空間矩陣。

第三步：將每個(gè)結(jié)點(diǎn)對(duì)應(yīng)的放大后的數(shù)據(jù)x_j分別嵌入L為1100、K為1101的hankel矩陣中，形成如下矩陣。

第四步：將每個(gè)結(jié)點(diǎn)所對(duì)應(yīng)的hankel矩陣數(shù)據(jù)進(jìn)行運(yùn)算并疊加，得到軌跡空間。

其中，

第六步：取訓(xùn)練數(shù)據(jù)的2小時(shí)后逐漸穩(wěn)定的數(shù)據(jù)，投影到投影空間矩陣中，得到狀態(tài)矩陣c。

對(duì)于狀態(tài)矩陣c中數(shù)據(jù)x通過weiszfeld算法求狀態(tài)矩陣的中位中心，其中y(i+1)表示下一個(gè)時(shí)間點(diǎn)的中心，第一個(gè)y可以選取算數(shù)平均數(shù)中心，‖xj-yi‖表示第j個(gè)時(shí)間的數(shù)據(jù)與第i個(gè)中心值的歐式距離，最后通過迭代優(yōu)化的限值讓迭代停止，本文設(shè)置當(dāng)?shù)鷥?yōu)化步長低于0.0001視為已獲得最優(yōu)中位中心值。本文中位中心的獲取比Aoudi等人[12]所提出方法均值獲取的數(shù)據(jù)更能準(zhǔn)確地表達(dá)數(shù)據(jù)的穩(wěn)定狀態(tài)。

第七步：取長度為L的數(shù)據(jù)data作為訓(xùn)練數(shù)據(jù)，通過對(duì)data中同一時(shí)間所有結(jié)點(diǎn)數(shù)據(jù)求二范數(shù)，獲得當(dāng)前系統(tǒng)狀態(tài)距離。

通過投影空間進(jìn)行投影得到穩(wěn)定狀態(tài)，然后將穩(wěn)定狀態(tài)中心與獲得的新的穩(wěn)定狀態(tài)矩陣進(jìn)行做差，求矩陣的歐式距離，得到穩(wěn)定狀態(tài)空間與形心之間的距離ΔD。將訓(xùn)練數(shù)據(jù)ΔD+δ的最大值作為距離上限，用來檢測(cè)測(cè)試數(shù)據(jù)是否存在異常，本文δ取值為100。

3.2 攻擊檢測(cè)

第一步：按照訓(xùn)練部分對(duì)數(shù)據(jù)進(jìn)行平滑處理的運(yùn)算方式對(duì)待檢測(cè)時(shí)序數(shù)據(jù)進(jìn)行平滑處理，然后使用訓(xùn)練部分獲取的均值和方差對(duì)待檢測(cè)數(shù)據(jù)進(jìn)行標(biāo)準(zhǔn)化處理，得到時(shí)序數(shù)據(jù)st。

第二步：如訓(xùn)練部分第二步所示，利用公式（17）～（18）得到待檢測(cè)部分的數(shù)據(jù)空間矩陣data。

第三步：如訓(xùn)練部分第七步所示，利用公式（25）～（27）得到狀態(tài)矩陣w，然后利用訓(xùn)練部分獲得的穩(wěn)定狀態(tài)中心Y和投影空間P，進(jìn)行公式（28）的運(yùn)算，得到穩(wěn)定狀態(tài)空間與形心之間的距離，通過檢測(cè)每個(gè)時(shí)間點(diǎn)的距離ΔD值的大小判斷是否存在異常行為。

基于過程穩(wěn)定性的檢測(cè)方法主要結(jié)合Pasad方法所提出的投影矩陣思想，將適用于單個(gè)結(jié)點(diǎn)的檢測(cè)方法改進(jìn)為適用于全廠大量結(jié)點(diǎn)數(shù)據(jù)的對(duì)象，同時(shí)結(jié)合相關(guān)性思想，將攻擊行為進(jìn)行放大，增強(qiáng)檢測(cè)算法對(duì)于隱藏性較強(qiáng)的攻擊行為的檢測(cè)能力，同時(shí)能夠減少檢測(cè)時(shí)間，增強(qiáng)檢測(cè)攻擊行為的實(shí)時(shí)性，能夠使得運(yùn)行維護(hù)人員及時(shí)發(fā)現(xiàn)攻擊行為，對(duì)于減小損失和及時(shí)的災(zāi)后重建具有重要意義。

4 結(jié)果實(shí)驗(yàn)與分析

4.1 多傳感器攻擊結(jié)果

為了說明攻擊方法的有效性，本文選取攻擊對(duì)象為TE模型中的反應(yīng)器，為了對(duì)TE生產(chǎn)過程產(chǎn)生破壞，實(shí)現(xiàn)攻擊途徑為主要對(duì)反應(yīng)器液位進(jìn)行攻擊，最終導(dǎo)致系統(tǒng)生產(chǎn)過程中斷，并確定攻擊結(jié)點(diǎn)個(gè)數(shù)為4。本文按照第2部分多傳感器攻擊模型描述步驟，通過實(shí)驗(yàn)確定對(duì)于一個(gè)多結(jié)點(diǎn)的系統(tǒng)，有眾多攻擊方式組合可以達(dá)到對(duì)攻擊對(duì)象產(chǎn)生嚴(yán)重影響的目的。本文列舉三種攻擊方式，攻擊方式1(xmv8、xmeas1、xmeas4、xmeas8)、攻擊方式2(xmeas1、xmeas5、xmeas7、xmeas8)、攻擊方式3(xmv8、xmeas1、xmeas4、xmeas8)和攻擊方式3(xmv1、xmeas5、xmeas7、xmeas8)均可導(dǎo)致系統(tǒng)生產(chǎn)過程中斷。其中對(duì)于攻擊方式1中xmv5中加的ω(k)（噪聲）取正值，目的是增大給進(jìn)量，同時(shí)結(jié)點(diǎn)xmeas1、xmeas4、xmeas8噪聲均為負(fù)，使采集數(shù)據(jù)低于正常水平，這種噪聲增加方式能夠縮短攻擊引起系統(tǒng)中斷的時(shí)間；對(duì)于攻擊方式2，只有對(duì)于xmeas8采用負(fù)值的噪聲，其余均為正值的噪聲，這樣能夠激化測(cè)量值的矛盾，縮短攻擊引起系統(tǒng)中斷的時(shí)間。為展示攻擊效果本文以攻擊方式1和2為代表進(jìn)行展示，結(jié)果如圖1和圖2所示。

圖1 攻擊方式1

圖2 攻擊方式2

為了說明本文提出的攻擊方式具有較強(qiáng)的欺騙性，本文使用Aoudi等人[12]所提出的Pasad模型對(duì)于以上攻擊方式1和攻擊方式2檢測(cè)攻擊行為，檢測(cè)結(jié)果如圖3和圖4所示。

圖3 檢測(cè)攻擊方式1

圖4 檢測(cè)攻擊方式2

根據(jù)檢測(cè)結(jié)果可知，對(duì)于多傳感器構(gòu)造的攻擊模型，適用Pasad方法均檢測(cè)不出攻擊結(jié)點(diǎn)遭受攻擊的情況。

為了說明基于過程穩(wěn)定性檢測(cè)模型的有效性，利用此模型對(duì)于攻擊方式1和攻擊方式2分別進(jìn)行檢測(cè)，檢測(cè)結(jié)果如圖5所示。

圖5 基于過程穩(wěn)定性的檢測(cè)結(jié)果

對(duì)于攻擊方式1，在5008時(shí)間檢測(cè)到攻擊行為；對(duì)于攻擊方式2，在5008時(shí)間檢測(cè)到攻擊行為。根據(jù)TE模型仿真時(shí)間每小時(shí)有100個(gè)數(shù)據(jù)點(diǎn)，所以對(duì)于以上兩種攻擊方法，均在攻擊發(fā)生后的4.8分時(shí)檢測(cè)到攻擊行為，檢測(cè)時(shí)間較常規(guī)方法有較大提升。

4.2 其他攻擊數(shù)據(jù)分析

為了說明基于過程穩(wěn)定性檢測(cè)方法的性能，同時(shí)對(duì)于Aoudi等人[12]提出Pasad方法文中所列的網(wǎng)絡(luò)攻擊所有行為進(jìn)行檢測(cè)，結(jié)果證實(shí)均能檢測(cè)出攻擊行為，結(jié)合文中描述的DA1攻擊數(shù)據(jù)，將基于過程穩(wěn)定性檢測(cè)模型與Pasad模型的檢測(cè)結(jié)果進(jìn)行比較，檢測(cè)結(jié)果如圖6所示。

圖6 檢測(cè)結(jié)果對(duì)比

如圖6所示，攻擊在4小時(shí)的時(shí)間點(diǎn)發(fā)生，使用Pasad模型檢測(cè)，在4363時(shí)間點(diǎn)檢測(cè)到攻擊行為，使用基于過程穩(wěn)定性的檢測(cè)模型進(jìn)行檢測(cè)，在4190時(shí)間點(diǎn)檢測(cè)到攻擊行為，檢測(cè)到的時(shí)間較之前提前1.5小時(shí)。由于基于過程穩(wěn)定性的檢測(cè)模型能夠?qū)ο到y(tǒng)所有數(shù)據(jù)進(jìn)行分析，相較于之前的算法能夠極大節(jié)省算力。綜上所述，基于過程穩(wěn)定性的檢測(cè)模型在檢測(cè)準(zhǔn)確性、及時(shí)性以及計(jì)算性能上都有顯著提升。

5 結(jié)論

本文提出一種多傳感器攻擊模型，在對(duì)控制系統(tǒng)進(jìn)行攻擊時(shí)具有較高的隱藏性，并能夠?qū)е孪到y(tǒng)中止生產(chǎn)過程，為了應(yīng)對(duì)這種多傳感器攻擊方式，本文結(jié)合相關(guān)性特點(diǎn)改進(jìn)一種Pasad檢測(cè)模型，提出一種基于過程穩(wěn)定性的檢測(cè)模型，使其適用于全廠設(shè)備同時(shí)檢測(cè)，并在TE系統(tǒng)中進(jìn)行實(shí)驗(yàn)論證，實(shí)驗(yàn)結(jié)果表明基于過程穩(wěn)定性的檢測(cè)模型能夠提高檢測(cè)網(wǎng)絡(luò)攻擊的準(zhǔn)確性、及時(shí)性和計(jì)算性能。