基于图神经和门控循环网络的工控异常检测方法及系统技术方案

本发明专利技术属于工业控制系统异常检测技术领域，提供了一种基于图神经和门控循环网络的工控异常检测方法及系统，首先将传感器的时序数据转化为嵌入向量的形式，显式地对不同特征的相关性进行建模，将结构学习方法与图神经网络相结合，利用门控循环网络深入挖掘多元时间序列间的潜在关系，同时结合注意力机制为检测到的异常提供可解释性；本发明专利技术能够有效实现对工业控制系统数据的异常检测，能够实现出色的检测性能。测性能。测性能。

【技术实现步骤摘要】
基于图神经和门控循环网络的工控异常检测方法及系统


[0001]本专利技术属于工业控制系统异常检测
，尤其涉及一种基于图神经和门控循环网络的工控异常检测方法及系统。

技术介绍

[0002]可解释的多元时间序列异常检测是预防事故和确保工业控制系统可靠运行的重要技术。异常检测是从正常时间序列中识别异常事件或异常行为的过程。我们将多元时间序列异常检测方法分为基于统计的异常检测方法、基于机器学习的异常检测方法和基于深度学习的异常检测方法。基于统计的异常检测方法中，学习一个适合给定数据集的生成模型，然后将模型低概率区域中的对象识别为异常值。基于机器学习的异常检测方法中，使用诸如隔离森林、线性回归、聚类和支持向量机等算法来尽可能地对异常进行分类或识别。基于深度学习的异常检测方法中，利用深度神经网络预测多元时间序列或重构正常时间序列模型，包括长短期记忆网络（Long Short
‑
Term Memory，LSTM）、生成式对抗网络（Generative Adversarial Networks，GAN）和自动编码器（autocoder）等，实现异常检测。如今，可解释性对于定位异常和帮助用户在多元时间序列异常检测中识别受影响的传感器是必要的。
[0003]专利技术人发现，现有的多元时间序列异常检测方法虽然取得了阶段性成果，如提高攻击检测精度和部分实现可解释性等。但是，仍有一些不足之处有待解决，比如：异常检测能力有待提高，目前的异常检测对于工业互联网来说并不是一个完全令人满意的结果；基于统计的异常检测方法和基于机器学习的异常检测方法在异常检测中易受噪声影响，检测效果不稳定；大多数基于深度学习的异常检测方法对噪声具有鲁棒性，并且这些方法可以通过扩展到更高维度来对各个领域的复杂模式进行建模，然而，它们缺乏从多元时间序列中深度挖掘潜在相关性的能力，导致检测精度和召回率较低。工业控制系统的可解释性能力不足，在工业控制系统安全领域，不仅要达到更好的检测效果，还要能够解释哪些组件受到了攻击，以便及时拦截攻击，大多数工业控制系统的异常检测方案只考虑检测效果，而忽略了解释能力。需要在性能效率和训练优化之间取得平衡，虽然增加神经网络的层数可以提高模型性能，但训练和优化的难度也随之增加，同时梯度消失和梯度爆炸的问题也开始出现；这两个问题都受到反向传播中梯度累积乘法的影响，导致网络参数变浅，包括小的变化或大的冲击。

技术实现思路

[0004]本专利技术为了解决上述问题，提出了一种基于图神经和门控循环网络的工控异常检测方法及系统，本专利技术旨在解决工业控制系统异常检测方法挖掘潜在相关性不深入、缺乏异常可解释能力和性能效率同训练优化不平衡的缺陷，以及解决训练过程中存在的梯度消失和梯度爆炸的问题，实现具备更好的检测性能和更可靠的可解释性，并在性能效率和训练优化之间保持平衡的工业控制系统异常检测方法，目的是提高工业控制系统异常检测模
型的鲁棒性。
[0005]为了实现上述目的，本专利技术是通过如下的技术方案来实现：第一方面，本专利技术提供了一种基于图神经和门控循环网络的工控异常检测方法，包括：获取工业控制系统中每个传感器的时序数据；依据时序数据，建立包含每个传感器时序数据的嵌入向量；基于图神经网络，得到每个嵌入向量之间的依赖关系；在得到每个嵌入向量之间依赖关系的基础上，基于门控循环网络，预测得到某一时刻的传感器向量；计算得到传感器向量的偏差，并对偏差进行定位和解释。
[0006]进一步的，所有嵌入向量之间的相似性表明行为的相似性。
[0007]进一步的，基于图神经网络，通过使用每个传感器的前k个邻居来学习稀疏邻接矩阵来实现，并计算出节点的嵌入向量与其相邻向量的相似度；其中，节点表示传感器，边则表示它们之间的依赖关系。
[0008]进一步的，将工控工业控制系统的时序数据进行归一化，得到任意两个传感器之间的余弦相似度。
[0009]进一步的，图结构的先验信息表示为每个传感器的候选关系集合，候选关系为可能存在依赖关系的传感器；若不知道任何先验信息，则传感器的候选关系为所有传感器。
[0010]进一步的，传感器i的嵌入向量与传感器j的嵌入向量之间的相似性为：其中，Topk是返回k个最近节点的索引；是指示函数；e
ki
是传感器k和传感器i之间的余弦相似度；C
i
是候选关系。
[0011]进一步的，对嵌入向量进行特征提取，确定不同类型传感器的不同行为；采用门控循环网络，将特征提取后的嵌入向量作为输入，结合注意力机制预测某一时刻的传感器向量。
[0012]进一步的，从特征提取器中，获得节点特征向量，将节点特征向量与传感器嵌入向量进行逐元素相乘，使用所有节点的结果作为全连接层的输入，来预测传感器向量行为值。
[0013]进一步的，每个传感器的异常分数通过将某一时刻的预测行为数据与观察到的行为数据进行比较，计算预测行为数据与观察到的行为数据两者的误差值，利用不同传感器行为特征的差异性，对误差值进行归一化操作；对传感器进行模糊定位，计算某一时刻处的总体异常，并对传感器的行为特征数据进行聚合操作，判断存在异常传感器的范围。
[0014]第二方面，本专利技术还提供了一种基于图神经和门控循环网络的工控异常检测系统，包括：数据采集模块，被配置为：获取工业控制系统中每个传感器的时序数据；嵌入向量建立模块，被配置为：依据时序数据，建立包含每个传感器时序数据的嵌入向量；依赖关系计算模块，被配置为：基于图神经网络，得到每个嵌入向量之间的依赖关系；
传感器向量计算模块，被配置为：在得到每个嵌入向量之间依赖关系的基础上，基于门控循环网络，预测得到某一时刻的传感器向量；偏差计算模块，被配置为：计算得到传感器向量的偏差，并对偏差进行定位和解释。
[0015]与现有技术相比，本专利技术的有益效果为：1、本专利技术首先将传感器的时序数据转化为嵌入向量的形式，显式地对不同特征的相关性进行建模，将结构学习方法与图神经网络相结合，利用门控循环网络深入挖掘多元时间序列间的潜在关系，同时结合注意力机制为检测到的异常提供可解释性；本专利技术能够有效实现对工业控制系统数据的异常检测，能够实现出色的检测性能；2、本专利技术通过对图神经网络与门控循环网络的使用，解决了工业控制系统异常检测方法挖掘潜在相关性不深入、缺乏异常可解释能力和性能效率同训练优化不平衡的缺陷；结合注意力机制，解决了训练过程中存在的梯度消失和梯度爆炸的问题，实现具备更好的检测性能和更可靠的可解释性，并在性能效率和训练优化之间保持平衡的工业控制系统异常检测方法，提高了工业控制系统异常检测模型的鲁棒性。
附图说明
[0016]构成本实施例的一部分的说明书附图用来提供对本实施例的进一步理解，本实施例的示意性实施例及其说明用于解释本实施例，并不构成对本实施例的不当限定。
[0017]图1为本专利技术实施例1的流程图。
具体实施方式
[0018]下面结合附图与实施例对本专利技术作进一步说明。
[0019]应该指出，以下详细本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.基于图神经和门控循环网络的工控异常检测方法，其特征在于，包括：获取工业控制系统中每个传感器的时序数据；依据时序数据，建立包含每个传感器时序数据的嵌入向量；基于图神经网络，得到每个嵌入向量之间的依赖关系；在得到每个嵌入向量之间依赖关系的基础上，基于门控循环网络，预测得到某一时刻的传感器向量；计算得到传感器向量的偏差，并对偏差进行定位和解释。2.如权利要求1所述的基于图神经和门控循环网络的工控异常检测方法，其特征在于，所有嵌入向量之间的相似性表明行为的相似性。3.如权利要求1所述的基于图神经和门控循环网络的工控异常检测方法，其特征在于，基于图神经网络，通过使用每个传感器的前k个邻居来学习稀疏邻接矩阵来实现，并计算出节点的嵌入向量与其相邻向量的相似度；其中，节点表示传感器，边则表示它们之间的依赖关系。4.如权利要求3所述的基于图神经和门控循环网络的工控异常检测方法，其特征在于，将工控工业控制系统的时序数据进行归一化，得到任意两个传感器之间的余弦相似度。5.如权利要求4所述的基于图神经和门控循环网络的工控异常检测方法，其特征在于，图结构的先验信息表示为每个传感器的候选关系集合，候选关系为可能存在依赖关系的传感器；若不知道任何先验信息，则传感器的候选关系为所有传感器。6.如权利要求5所述的基于图神经和门控循环网络的工控异常检测方法，其特征在于，传感器i的嵌入向量与传感器j的嵌入向量之间的相似性为：其中，Topk是返回k个最近节点的索引；是指示函数；e
ki
是传感器k和传感器i之间的余弦相似度；C
...

【专利技术属性】
技术研发人员：赵大伟，唐超凡，徐丽娟，陈川，李鑫，仝丰华，
申请(专利权)人：山东省计算中心国家超级计算济南中心，
类型：发明
国别省市：