[发明专利]用于确定系统情况的方法、计算机程序和计算机

说明书

技术领域

本发明涉及确定系统的情况或支持该确定的技术，并且尤其涉及适合于确定工业控制系统的情况的技术。

背景技术

解决复杂系统的异常情况已经日益困难，特别是在包括多个工业控制系统(ICS)的混合体的环境中。即，由于不同类型的异常要求采取不同的动作，因此重要的是不仅在ICS维护的范围内检测异常而且还要快速而精确地识别异常的类型、位置和原因。例如，异常的类型和对于该异常要采取的动作之间的关系可以包括以下各项：1.对于终端中的软件错误，重启和版本更新；2.对于终端中的硬件故障、维修和更换；3.对于网络故障，识别故障点、维修和更换网络设备以及重新连接；4.对于网络入侵，排除入侵者、识别入侵者来自哪里以及防止入侵到其它系统；5.对于物理错误，识别位置、捕获误做者以及防止二次影响。6.对于由于自然灾害导致的故障，识别灾害区域并且辨别故障的范围和程度。

出于对于诸如电厂的复杂系统的离群点检测等等目的，提出了包括在下面的专利文献1到3中描述的技术。

[专利文献1]日本专利公开No.6-3637

[专利文献2]日本专利公开No.11-344589

[专利文献3]日本专利公开No.8-234832

发明内容

要解决的技术问题

不幸的是，手动理解和表示全部类型异常的数据倾向性是困难的，这导致对于在发生异常时获得的数据的必备知识不足。具体地说，随着终端和数据的混合类型的增加，能够综合处理全部这样的终端和数据的通用离群点检测技术变得难以实行。另一方面，对ICS提出了采取实施应对动作的可用性和能力的严峻要求。因此，快速而精确地确定情况(有效识别异常的类型、位置和原因)相当重要。

考虑到上面问题做出了本发明，并且本发明的目的在于提供一种用于有效确定复杂系统中的异常的类型、位置和原因或者用于支持所述确定的方法、计算机程序和计算机。

技术方案

在作为方法进行考虑时，本发明是一种应用于计算机以确定系统的情况的方法，包括步骤：从所述系统中的多个测量目标中的每一个测量目标接收测量数据；根据与每一个测量目标的多个属性相对应的多个类别以所述测量数据、以及预定的计算算法为基础来计算多个反常值集合；以及以所述反常值集合以及预定的确定算法为基础来确定系统的情况。该类别可以是层级类别或者可以是非层级类别。示例性层级类别可以包括以测量目标的功能为基础的层级结构、以网络为基础的层级结构、以物理区域为基础的层级结构、以及以终端的类型为基础的层级结构。可以采用彼此不同的独立属性作为属性。

可以假设要被寻址的系统包括多个子系统，每一个子系统包括各种终端(测量目标)。终端的具体示例可以包括传感器、致动器、控制设备和网络设备。作为测量数据，可以按时间先后顺序测量每一个终端的状态。测量数据的具体示例可以是物理测量(ICS操作状态或者物理传感器信息)，并且更加具体地，可以是温度信息或者发电厂内的灯泡开/关事件。另一测量数据的具体示例可以是非物理测量(IT系统的状态)，并且更加具体地，可以是网络装置(接入日志、延迟时间或者分组损失速率)、软件信息(版本信息、工作记录或者数据交换记录)、或者硬件信息(固件信息)。

根据测量数据监测异常的方案可以包括：1.根据不知道是正常还是异常的数据集检测异常，2.通过使用正常时间数据和已知异常时间数据检测已知异常，以及3.通过仅使用正常时间数据检测未知异常。在方案3中，例如，获得关于正常操作ICS的按时间先后顺序的物理测量/事件数据作为学习数据，并且获得关于ICS的最新按时间先后顺序的物理测量/事件数据作为应用数据。然后，作为输出，输出正常/异常判断或异常程度(代表异常可能性的值)。代表性的离群值检测技术可以包括：对于数字数据的霍特林T²测试、一级SVM和本地离群值因数；以及对于事件数据的不频繁模式挖掘、朴素贝叶斯和隐式马尔科夫模型。