[发明专利]智能电网工控流量异常检测系统

说明书

本发明提供一种智能电网工控流量异常检测系统，包括：安全防护主站、数据采集子站，安全防护主站通讯连接若干数据采集子站，异常检测系统工作方法包括以下步骤：步骤(1).筛选通信协议为TCP和UDP数据集,步骤(2).将字符型数据转化为多维数值向量,步骤(3).设计卷积核、池化核和全连接层卷积神经网络参数,加入级联卷积层优化网络架构；步骤(4).使用处理后的训练集和测试集训练网络；步骤(5).当epoch数量增加使得准确率有下降趋势时,停止训练；步骤(6).将预测后的数据每隔一段时间加入到数据集中,用于下一步训练。本发明提高了入侵检测的准确率,降低了误检率,可以有效检测出对于电网工控系统的入侵行为。

技术领域

本发明涉及智能电网技术领域，具体为一种智能电网工控流量异常检测系统。

背景技术

工控系统涉及很多重要国家基础设施,比如电力,所以国家对工控系统安全很重视.而工控系统安全与传统网络安全又有较多差异,相当于一个较新的领域.流量异常检测技术虽已经广泛地应用于互联网信息安全防护中,但是在工业控制系统(IndustrialControl System,ICS)中的研究较少,在电网工控系统中研究较之又少。

就电网工控系统来说,目前企业电力系统内部遭受网络攻击的问题仍无法得到有效的监测、预防与解决.为了确保电力系统安全运行工作,重视电力系统内防水平低于外防水平这一问题已成为共识[3].对于电力系统内部,现有的电力监控系统主站与厂站的安全监视主要依赖于内网监视平台,该平台主要是针对边界处的安全设备和网络设备的日志进行收集,但没有针对电网工控系统内部网络流量进行异常检测。

发明内容

本发明所解决的技术问题在于提供一种智能电网工控流量异常检测系统，以解决上述背景技术中提出的问题。

本发明所解决的技术问题采用以下技术方案来实现：智能电网工控流量异常检测系统，包括：安全防护主站、数据采集子站，安全防护主站通讯连接若干数据采集子站，异常检测系统工作方法包括以下步骤：

步骤(1).筛选通信协议为TCP和UDP数据集,剔除无效数据集,增加未授权入侵行为数据比例,使得四种入侵行为所占比例相同；

步骤(2).将字符型数据转化为多维数值向量,同时使用PCA算法,降低数据维度；

步骤(3).设计卷积核、池化核和全连接层卷积神经网络参数,加入级联卷积层优化网络架构；

步骤(4).使用处理后的训练集和测试集训练网络,比较准确率和误检率指标表现,调整参数使得网络结构最优；

步骤(5).训练集的全部数据训练一次称为一次epoch,增加epoch数量,当epoch数量增加使得准确率有下降趋势时,停止训练；

步骤(6).将预测后的数据每隔一段时间加入到数据集中,用于下一步训练。

所述安全防护主站包括流量数据接收单元，流量数据接收单元连接有流量监测与展示单元、流量异常检测单元，所述流量异常检测单元连接有告警单元。

所述步骤(1)中数据预处理从传感器传入控制中心的数据和从控制中心对各个传感器发送的命令指令。

所述步骤(1)中数据集每条初始数据由42维组成,其中38维为数值特征,4维为符号特征，每一个维度之间用逗号分隔,用来刻画网络协议、字节数、流量统计等特征,最后一维标签为normal或者attack。

所述步骤(3)中包括4个卷积层、4个池化层和1个级联卷积层,另外还有1个全连接层,其中级联卷积层包4个卷积层,每个卷积层之后相连1个激活层,最终相连1个池化层，输入数据通过卷积层卷积操作之后,数据不同维度特征将被提取出来。

与现有技术相比，本发明的有益效果是：本发明提高了入侵检测的准确率,降低了误检率,可以有效检测出对于电网工控系统的入侵行为。