工业控制指令校验方法、电子设备、介质及产品与流程

本技术涉及工业网络安全，具体涉及一种工业控制指令校验方法、电子设备、可读存储介质及计算机程序产品。

背景技术：

1、在工业智能化与it/ot深度融合趋势下，企业资源计划系统、制造执行系统等上层生产管理系统与可编程逻辑控制器、分布式控制系统等底层工控设备之间的互联互通已成标配，在提升生产调度与自动化管控效率的同时，也使工业网络边界进一步开放，面临更为复杂的网络攻击与业务误操作风险。针对工业控制网络通信过程中可能出现的违规操控指令，现有的指令校验方法通常采用基于工业防火墙或入侵检测系统的访问控制机制，依赖固定端口、协议类型、ip地址及已知攻击特征库进行规则匹配与流量过滤，实现对已知网络层攻击的识别与阻断。然而，该类技术方案仅在网络通信层面执行合规性检查，无法识别协议格式完整但违背工艺规程或工序逻辑的恶意指令，因缺乏与上层生产工单及当前工序上下文的关联校验能力，导致此类业务逻辑攻击能够穿透传统防护体系直接影响物理生产过程，构成重大安全隐患。

技术实现思路

1、鉴于上述问题，本技术提供一种工业控制指令校验方法、电子设备、可读存储介质及计算机程序产品，能够解决现有工业安全防护无法识别协议格式合规但违背工艺规程的业务逻辑攻击指令的问题。

2、第一方面，本技术提供了一种工业控制指令校验方法，包括：

3、根据语义映射字典对待检测指令进行语义还原，得到业务语义数据；

4、获取与所述业务语义数据相匹配的目标活跃工单；

5、以所述目标活跃工单的行为基线模型为基准，对所述业务语义数据进行校验，得到第一校验结果；

6、调用ai裁决模型对所述待检测指令进行校验，得到第二校验结果；

7、根据所述第一校验结果和所述第二校验结果生成所述待检测指令的语义裁决结果。

8、在上述技术方案中，该方法能够先通过根据语义映射字典对指令进行语义还原，将底层寄存器地址与协议点位翻译为统一业务对象，从而消除it与ot系统间的语义异构鸿沟，为后续校验奠定数据对齐基础；其次，通过获取与业务语义相匹配的目标活跃工单，实现控制指令与当前生产任务及工序的精准绑定，从而确保指令判定不脱离实际生产场景；再次，以目标活跃工单的行为基线模型为基准进行校验，从参数值域、设备关联逻辑、操作时序约束多维度审视指令合法性，从而实现已知违规行为的精准可解释拦截；然后，调用ai裁决模型进行辅助校验，通过行为模式学习识别参数合规但操作频率、变化梯度或序列关系异常等未知隐蔽攻击，以此弥补规则引擎对新型威胁的漏判缺陷；最后，融合第一与第二校验结果生成语义裁决结论，形成确定性规则与自适应智能检测双擎互补的联合判定机制，在兼顾低误报率的同时全面提升威胁检测覆盖度与响应可靠性。

9、在一些实施方式中，在所述根据语义映射字典对待检测指令进行语义还原，得到业务语义数据之前，所述方法还包括：

10、通过无侵入采集方式采集系统中已下发且处于执行状态的生产工单数据和工业网络中的网络工控报文；

11、对所述生产工单数据进行结构化解析，得到三元组数据；其中，所述三元组数据包括工序信息、设备信息和工艺参数；

12、对所述网络工控报文进行协议解析，得到指令语义信息；

13、根据所述三元组数据，获取所述指令语义信息对应的系统活跃工单和当前执行工序；

14、以时间维度、设备维度、工序维度为关联依据，对所述指令语义信息和所述三元组数据进行关联，得到关联数据；

15、根据所述关联数据构建所述系统活跃工单对应的行为基线模型；

16、其中，所述行为基线模型定义了当前生产阶段下合法操作的设备范围、各工艺参数的允许值域区间、操作时序逻辑顺序、工序间互斥约束关系以及多变量工艺耦合关系。

17、在上述技术方案中，该方法能够在校验前完成从数据采集、工单解析、协议还原到动态基线构建的全流程前置准备，从而为后续实时语义裁决提供场景化的合规判定基准，进而在根本上解决传统方案因缺乏生产上下文依据而无法开展业务逻辑校验的问题。

18、在一些实施方式中，所述对所述网络工控报文进行协议解析，得到指令语义信息，包括：

19、对所述网络工控报文进行深度协议解析，得到深度解析数据；其中，所述深度解析数据包括原始寄存器地址、原始协议点位、操作类型、操作数值和时间戳；

20、根据语义映射字典获取所述原始寄存器地址对应的工艺对象名称以及所述原始协议点位对应的业务操作含义；

21、其中，所述指令语义信息包括所述工艺对象名称、所述业务操作含义、所述操作数值及所述时间戳。

22、在上述技术方案中，该方法能够打通从网络层原始数据到生产层业务语义的翻译链路，从而为后续指令与工单的精准关联及合规性判定提供结构化、可理解的数据基础，进而有效解决it与ot系统间数据孤岛导致的语义不可读问题。

23、在一些实施方式中，所述根据语义映射字典对待检测指令进行语义还原，得到业务语义数据，包括：

24、对所述待检测指令进行协议解析，得到目标解析数据；

25、从所述目标解析数据中提取指令信息；其中，所述指令信息包括操作类型、操作数值及时间戳；

26、根据语义映射字典对所述指令信息进行语义还原，得到业务语义数据；

27、其中，所述语义映射字典用于消除it系统与ot系统间的语义异构，所述语义映射字典包括与工艺对象一一对应的多源标识、工程计量单位、工艺量程区间及数据读写权限属性字段。

28、在上述技术方案中，该方法能够消除it系统与ot系统间的语义异构，使底层裸指令被翻译为具备工艺对象归属与业务含义的可理解数据，从而为后续指令与工单的精准关联及合规性判定提供统一的数据基础。

29、在一些实施方式中，所述获取与所述业务语义数据相匹配的目标活跃工单，包括：

30、根据所述业务语义数据获取工艺对象名称和操作设备标识；

31、获取已下发的生产工单数据，并在所述生产工单数据中检索包含所述工艺对象名称和所述操作设备标识的工单，得到目标活跃工单。

32、在上述技术方案中，该方法能够依据待检测指令涉及的工艺对象与操作设备，在已下发工单中精准检索并锁定当前对应的目标活跃工单，实现底层控制指令与上层生产任务的实时绑定，确保后续合规性判定始终处于明确的生产场景上下文之中。

33、在一些实施方式中，所述以所述目标活跃工单的行为基线模型为基准，对所述业务语义数据进行校验，得到第一校验结果，包括：

34、根据所述待检测指令的目标时间戳，从所述目标活跃工单的行为基线模型中获取目标当前工序上下文；其中，所述目标当前工序上下文是所述目标活跃工单的行为基线模型中与所述目标时间戳所对应的约束规则集合；

35、以所述目标当前工序上下文中的约束规则集合为基准，通过规则引擎对所述业务语义数据进行校验，得到第一校验结果；

36、其中，所述第一校验结果包括参数值域合规校验结果、操作时序合规校验结果、工序互斥逻辑校验结果和多变量耦合校验结果。

37、在上述技术方案中，该方法能够依据指令时间戳精准定位当前所属工序上下文，并通过规则引擎对待检测指令进行参数值域、操作时序、工序互斥及多变量耦合的多维度合规校验，从而实现对已知违规行为的精准、可解释拦截。

38、在一些实施方式中，所述调用ai裁决模型对所述待检测指令进行校验，得到第二校验结果，包括：

39、根据预设时间窗口和所述待检测指令的目标时间戳，从历史指令日志中提取包含所述待检测指令在内的连续指令序列；

40、对所述连续指令序列进行特征提取，得到特征数据；其中，所述特征数据包括指令发送频次、参数变化梯度以及操作序列模式；

41、以所述特征数据为输入，调用ai裁决模型进行校验，得到第二校验结果；

42、其中，所述ai裁决模型用于校验所述特征数据是否存在行为模式异常。

43、在上述技术方案中，该方法能够有效识别参数表面合规但行为模式异常的各种行为（例如隐蔽攻击、设备异常扰动或未知威胁等），从而弥补纯规则引擎对新型复杂攻击的检测盲区。

44、在一些实施方式中，所述根据所述第一校验结果和所述第二校验结果生成所述待检测指令的语义裁决结果，包括：

45、当所述第一校验结果中任一项规则校验未通过时，生成表示违规的语义裁决结果；

46、当所述第一校验结果全部通过，但所述第二校验结果为异常结果时，生成表示需要复核的语义裁决结果；

47、当所述第一校验结果全部通过且所述第二校验结果判定为正常时，生成表示合规的语义裁决结果；

48、其中，所述语义裁决结果至少包含合规或违规的判定结论、违规严重程度等级以及具体违反的规则类型。

49、在上述技术方案中，该方法能够实现规则与ai双引擎的分级联合裁决，从而对确定性违规精准拦截、对疑似异常触发复核机制，进而在兼顾高拦截精准度与未知威胁响应灵活性的基础上实现风险分层管控。

50、在一些实施方式中，所述方法还包括：

51、当所述语义裁决结果中的违规严重程度等级为低风险等级时，根据所述待检测指令、所述业务语义数据、所述目标活跃工单和所述语义裁决结果生成日志数据，并根据所述语义裁决结果输出低风险预警提示信息。

52、在上述技术方案中，该方法能够对低风险违规进行差异化柔性处置，通过日志留存与预警提示实现安全事件的轻量化响应，避免单一处置方式导致的资源浪费。

53、在一些实施方式中，所述方法还包括：

54、当所述语义裁决结果中的违规严重程度等级为高风险等级时，在所述待检测指令传输至底层控制设备的链路中执行前置拦截处理，并根据所述语义裁决结果输出高风险告警信息。

55、在上述技术方案中，该方法能够对高风险违规指令在抵达底层控制设备前实施前置拦截，避免恶意指令落地执行，从而将安全防护关口从事后追溯前移至事中实时阻断。

56、在一些实施方式中，所述方法还包括：

57、当所述语义裁决结果中的违规严重程度等级为极端违规等级时，根据所述待检测指令、所述业务语义数据、所述目标活跃工单和所述语义裁决结果获取相匹配的违规场景；

58、获取与所述违规场景对应的安全优先级控制指令，并根据所述安全优先级控制指令执行相应的设备安全兜底防护操作。

59、在上述技术方案中，该方法能够对极端违规场景触发设备安全兜底防护，通过匹配违规场景并执行相应安全优先级控制指令，确保在极端情况下物理生产安全得到最优先级保障。

60、在一些实施方式中，所述方法还包括：

61、在授权学习模式下，采集合规数据；其中，所述合规数据包括合规的工艺变更操作数据以及常态化新型生产操作行为数据；

62、根据所述合规数据对所述系统活跃工单对应的行为基线模型进行迭代优化。

63、在上述技术方案中，该方法能够使行为基线模型随合规工艺变更与新型生产操作自动迭代优化，从而减少人工策略维护工作量，进而提升系统对生产动态变化的长期自适应能力。

64、第二方面，本技术提供一种电子设备，所述电子设备包括存储器和处理器，所述存储器用于存储有计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行第一方面中任一项所述的工业控制指令校验方法。

65、第三方面，本技术提供一种可读存储介质，所述可读存储介质中存储有计算机程序，所述计算机程序被处理器运行时，执行第一方面中任一项所述的工业控制指令校验方法。

66、第四方面，本技术提供了一种计算机程序产品，所述计算机程序产品包括计算机程序，所述计算机程序被处理器运行时，执行第一方面中任一项所述的工业控制指令校验方法。

67、本技术的有益效果为：通过工单驱动的动态语义校验、双引擎智能裁决及基线自适应演化，实现从网络协议合规到业务逻辑合规的防护升级，从而将安全防护深度延伸至生产业务应用层，进而有效识别并阻断基于合法协议发起的业务逻辑攻击；同时，安全基线与上层生产工单实时绑定，可以随生产任务与工序流程自动迭代，从而无需人工干预即可完成合法操作边界重构，进而解决静态策略与柔性制造脱节问题；此外，融合规则引擎与ai模型双引擎裁决，能够兼顾已知违规的精准拦截与未知隐蔽攻击的智能识别，从而显著提升威胁检测覆盖度与准确性；最后，通过对违规指令的实时拦截、基线自学习减少人工运维、稳定工艺参数保障产品质量，全面提升生产安全与运行效率，从而形成可传承、可执行的数字化安全防护能力。