工控安全的控制方法及电子设备、存储介质与流程

1.本技术涉及工业安全技术领域，特别涉及一种工控安全的控制方法及电子设备、计算机可读存储介质。


背景技术：

2.随着互联网技术和工业控制的不断发展，在工业生产中越来越多地采用安全控制技术。
3.现有技术根据工控设备间的流量传输，学习不同设备的各种可能操作和参数。学习完毕后，确认完成生成对应的工控安全策略。根据工控安全策略进行分析，告警和控制。在现有技术中，主要针对单条指令是否合规的学习，在某条指令不合规时，立即进行告警。过于严格的策略，可能会造成告警数量增加，难以维护。


技术实现要素：

4.本技术实施例提供了一种工控安全的控制方法，用以减少告警数量，减少误报。
5.本技术实施例提供了一种工控安全的控制方法，包括：
6.对目标作用域的工控流量进行解析，并将解析得到的工控状态进行缓存；
7.根据预设的时间周期，统计所述时间周期内不同工控状态对应的状态密度信息；
8.根据正常工作期间不同工控状态对应的状态密度规则，将所述状态密度信息与所述状态密度规则进行匹配，若不匹配，进行安全控制操作。
9.在一实施例中，所述工控状态包括单一状态、序列状态、元组状态以及组合元组状态中的一种或多种。
10.在一实施例中，所述根据预设的时间周期，统计所述时间周期内不同工控状态对应的状态密度信息，包括：
11.根据预设的时间周期，统计所述时间周期内每种工控状态对应的状态密度值以及状态分布函数。
12.在一实施例中，所述状态密度规则包括周期密度基线和密度分布函数基线；所述根据正常工作期间不同工控状态对应的状态密度规则，将所述状态密度信息与所述状态密度规则进行匹配，若不匹配，进行安全控制操作，包括：
13.针对每种工控状态，将所述工控状态对应的状态密度值和周期密度基线进行匹配，将所述工控状态对应的状态分布函数与所述密度分布函数基线进行匹配；
14.若所述状态密度值与所述周期密度基线不匹配或者所述状态分布函数与所述密度分布函数基线不匹配，进行安全控制操作。
15.在一实施例中，所述将所述工控状态对应的状态密度值和周期密度基线进行匹配，将所述工控状态对应的状态分布函数与所述密度分布函数基线进行匹配，包括：
16.若所述工控状态对应的状态密度值和所述周期密度基线之间的差距大于第一阈值，确定所述状态密度值和周期密度基线不匹配；
17.若所述工控状态对应的状态分布函数和所述密度分布函数基线之间的距离大于第二阈值，确定所述状态分布函数和所述密度分布函数基线不匹配。
18.在一实施例中，所述状态密度规则包括周期密度基线和密度分布函数基线；在所述根据正常工作期间不同工控状态对应的状态密度规则，将所述状态密度信息与所述状态密度规则进行匹配之前，所述方法还包括：
19.获取正常工作期间所述目标作用域内的流量数据；
20.对所述流量数据进行解析，学习不同工控状态对应的周期密度基线和密度分布函数基线。
21.在一实施例中，所述方法还包括：
22.若所述密度分布函数基线对应的采样次数大于第三阈值，
23.下个时间周期生成的周期密度基线与前一个时间周期生成的周期密度基线之间差异小于第四阈值，
24.下个时间周期生成的密度分布函数基线与前一个时间周期生成的密度分布函数基线之间的期望偏差小于第五阈值，
25.且采样总时长大于第六阈值，则所述状态密度规则学习完成。
26.本技术实施例还提供了一种工控安全的控制装置，所述装置包括：
27.数据缓存模块，用于对目标作用域的工控流量进行解析，并将解析得到的工控状态进行缓存；
28.数据统计模块，用于根据预设的时间周期，统计所述时间周期内不同工控状态对应的状态密度信息；
29.数据匹配模块，用于根据正常工作期间不同工控状态对应的状态密度规则，将所述状态密度信息与所述状态密度规则进行匹配，若不匹配，进行安全控制操作。
30.本技术实施例还提供了一种电子设备，所述电子设备包括：
31.处理器；
32.用于存储处理器可执行指令的存储器；
33.其中，所述处理器被配置为执行上述工控安全的控制方法。
34.本技术实施例还提供了一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序可由处理器执行以完成上述工控安全的控制方法。
35.本技术上述实施例提供的技术方案，通过对工控状态进行缓存，根据预设的时间周期，统计所述时间周期内不同工控状态对应的状态密度信息；根据正常工作期间不同工控状态对应的状态密度规则，将状态密度信息与状态密度规则进行匹配，若不匹配，进行安全控制操作，从而可以基于状态密度的分析进行工控安全的控制，相比针对单个工控指令进行分析和告警，减少了告警次数和误报次数，降低了维护成本。
附图说明
36.为了更清楚地说明本技术实施例的技术方案，下面将对本技术实施例中所需要使用的附图作简单地介绍。
37.图1为本技术一实施例提供的工控安全的控制方法的应用场景示意图；
38.图2是本技术实施例提供的电子设备的结构示意图；
39.图3为本技术一实施例提供的工控安全的控制方法的流程示意图；
40.图4为本技术一实施例提供的一种状态分布函数的示意图；
41.图5为本技术一实施例提供的状态密度规则匹配的流程示意图；
42.图6为本技术一实施例提供的工控安全的控制方法流程示意图；
43.图7为本技术一实施例提供的状态密度规则的学习过程示意图；
44.图8为本技术一实施例提供的不同工控状态的状态密度规则的学习过程示意图；
45.图9为本技术一实施例提供的工控安全的控制装置的框图。
具体实施方式
46.下面将结合本技术实施例中的附图，对本技术实施例中的技术方案进行描述。
47.相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本技术的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。
48.请参照图1，其为本技术一实施例提供的工控安全的控制方法的应用场景示意图。该应用场景包括第一终端101、第二终端102和工业设备103，第二终端102分别连接第一终端101和工业设备103。第一终端101可以是台式电脑、笔记本电脑等智能终端。第二终端102可以是工控设备。第一终端101用于通过第二终端102向工业设备103发送工控流量。第二终端102可以执行本技术下述实施例提供的方法，对目标作用域的工控流量进行解析，并将解析得到的工控状态进行缓存；根据预设的时间周期，统计所述时间周期内不同工控状态对应的状态密度信息；根据预先学习的不同工控状态对应的状态密度规则，将所述状态密度信息与所述状态密度规则进行匹配，若不匹配，进行安全控制操作，从而减少基于单个工控指令进行判断产生的告警数量，减少误报。
49.请参照图2，其为本技术一实施例提供的电子设备200的结构示意图，该电子设备200可以用于执行本技术实施例提供的工控安全的控制方法。电子设备200包括：至少一个处理器203、至少一个存储器202和总线201，总线201用于实现这些组件的连接通信。电子设备200可以是主机、平板电脑等，用于执行工控安全的控制方法。
50.于一实施例中，存储器202可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，包括但不限于，随机存取存储器(random access memory，ram)，只读存储器(read only memory，rom)，静态随机存取存储器(static random access memory，sram)，可编程只读存储器(programmable read-only memory，prom)，可擦除只读存储器(erasable programmable read-only memory，eprom)，电可擦除只读存储器(electric erasable programmable read-only memory，eeprom)。
51.于一实施例中，处理器203可以是通用处理器，包括但不限于中央处理器(central processing unit，cpu)、网络处理器(network processor，np)等，还可以是数字信号处理器(digital signal processor，dsp)、专用集成电路(application specific integrated circuit，asic)、现成可编程门阵列(field programmable gate array，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器203也可以是任何常规的处理器等，处理器203是电子设备200的控制中心，利用各种接口和线路连接整个电子设备200的各个部分。处理器203可以实现或者执行本技术
实施例中公开的各方法、步骤及逻辑框图。
52.于一实施例中，图2以一个处理器203和一个存储器202为例，处理器203和存储器202通过总线201连接，存储器202存储有可被处理器203执行的指令，指令被处理器203执行，以使电子设备200可执行下述的实施例中方法的全部流程或部分流程，以实现对工控安全的控制。
53.本技术实施例还提供了一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序可由处理器执行以完成下述实施例提供的工控安全的控制方法。
54.请参照图3，其为本技术一实施例提供的工控安全的控制方法的流程示意图，该方法可由图1所示的第二终端102执行，该方法包括步骤s310-s330。
55.步骤s310：对目标作用域的工控流量进行解析，并将解析得到的工控状态进行缓存。
56.其中，目标作用域是指工控流量采集的范围。目标作用域可以是连接控制域，即在一个网络五元组(源ip、目的ip、源端口号、目的端口号、协议类型)连接之内考虑状态的集合。目标作用域可以是区域控制域，一般是网络设备的接口为一个通讯区域考虑状态的集合。目标作用域也可以是设备控制域，即以一个网络控制或采集设备考虑状态的集合。目标作用域还可以是全网控制域，即以公司或集团网络整体考虑状态的集合。
57.工控流量可以由外部设备发送到工控设备，由工控设备对工控流量进行解密分析等，工控流量可以包括一个个的工业控制指令，工业控制指令可以包括操作和参数，例如加热到300度，通入氮气10分钟等。
58.工控状态可以包括单一状态、序列状态、元组状态以及组合元组状态中的一种或多种。
59.其中，单一状态是指不同的操作、不同的参数、不同的(操作、参数)组合。举例来说，“源地址x，目的地址y，操作a，参数m”是一种单一状态，简称状态1。“源地址x，目的地址y，操作b，参数f”是另一种单一状态，简称状态2，以此类推，可以有状态3、状态4
……
60.序列状态是指将不同状态按照顺序进行排列作为一个序列化状态。举例来说，“源地址x，目的地址y，操作a，参数m；源地址x，目的地址y，操作b，参数f；源地址x，目的地址y，操作c，参数r”是一个序列状态，简称序列状态1，以此类推，可以有序列状态2，序列状态3
……
61.元组状态是指不考虑顺序，只要在一起先后出现，例如“状态1，状态2，序列状态1”成组出现，可以称为元组状态1,以此类推，可以有元组状态2、元组状态3
……
62.组合元组状态是指单一状态、序列状态和元组状态组合出现，例如“状态10，序列状态2，(状态1，状态2，序列状态1)”可以称为组合元组状态1，以此类推，可以有组合元组状态2、组合元组状态3
……
组合元组状态可以设定严格顺序或非严格顺序。以上几个类型，是递进强化关系。以上，状态1，状态2
……
序列状态1、序列状态2
…
元组状态1、元组状态2
……
组合元组状态1、组合元组状态2
……
可以认为是不同的工控状态。
63.步骤s320：根据预设的时间周期，统计所述时间周期内不同工控状态对应的状态密度信息。
64.其中，时间周期是指进行状态密度统计的时间长度，例如可以是1小时，6小时，12小时或24小时。状态密度信息用于表征某个状态出现的次数多少以及分布情况。在一实施
例中，状态密度信息可以包括状态密度值以及状态分布函数，工控设备可以根据预设的时间周期，统计所述时间周期内每种工控状态对应的状态密度值以及状态分布函数。
65.其中，状态密度值用于表征某个状态在一个时间周期内出现的次数，可以用ρ表示，例如：每1小时，状态1出现了50次，状态1的状态密度值ρ等于50。状态分布函数用于表征在一个时间周期内某个状态的分布情况，可以用f(t)表示。图4是一种状态分布函数的示意图。如图4所示，横坐标代表时间t，分析粒度d比如，是1分钟，2分钟，5分钟等。纵坐标采用粒度的状态出现的次数，比如：上图中，8分钟是，出现2次代表着7到9分钟时，总共有2次出现。其中，t时刻的状态出现次数统计，是(t-d,t d)这段时间内，出现的次数。这样以便统计分布情况，某个时间点密度越大，代表这个时刻附近出现的状态次数越多。
66.假设状态1在一个小时内出现了50次，50次在这一小时内出现的位置集中度情况，如图4所示，随着时间推进，状态出现的次数按照1、2、1、0、1、2、1、0这样的规律分布。
67.步骤s330：根据正常工作期间不同工控状态对应的状态密度规则，将所述状态密度信息与所述状态密度规则进行匹配，若不匹配，进行安全控制操作。
68.其中，状态密度规则是设备正常运行期间(未出现安全问题)学习到的每种工控状态的状态密度信息，为与测试阶段统计得到的状态密度信息进行区分，称为状态密度规则。
69.针对每种工控状态，可以将该工控状态对应的状态密度信息与该工控状态对应的状态密度规则进行相似度匹配，如果测试阶段得到的每种工控状态的状态密度信息与正常运行时每种工控状态的状态密度规则近似，则可以认为工控状态未出现异常，如果不近似，可以认为出现异常。安全控制操作可以是拦截工控流量下发到下游的工业设备，并进行告警。
70.本技术上述实施例提供的技术方案，通过对工控状态进行缓存，根据预设的时间周期，统计所述时间周期内不同工控状态对应的状态密度信息；根据正常工作期间不同工控状态对应的状态密度规则，将状态密度信息与状态密度规则进行匹配，若不匹配，进行安全控制操作，从而可以基于状态密度的分析进行工控安全的控制，相比针对单个工控指令进行分析和告警，减少了告警次数和误报次数，降低了维护成本。
71.为与测试阶段统计得到的状态密度值以及状态分布函数进行区分，状态密度规则中的状态密度值可以称为周期密度基线，状态密度规则中的状态分布函数可以称为密度分布函数基线。
72.在一实施例中，上述步骤s330具体包括：针对每种工控状态，将所述工控状态对应的状态密度值和周期密度基线进行匹配，将所述工控状态对应的状态分布函数与所述密度分布函数基线进行匹配；若所述状态密度值与所述周期密度基线不匹配或者所述状态分布函数与所述密度分布函数基线不匹配，进行安全控制操作。
73.在一实施例中，若所述工控状态对应的状态密度值和所述周期密度基线之间的差距大于第一阈值，确定所述状态密度值和周期密度基线不匹配；若所述工控状态对应的状态分布函数和所述密度分布函数基线之间的距离大于第二阈值，确定所述状态分布函数和所述密度分布函数基线不匹配。
74.状态密度值可以用ρ表示，周期密度基线可以用ρb表示；状态分布函数可以用f(t)表示，密度分布函数基线可以用g(t)表示。
75.状态密度值和所述周期密度基线之间的差距可以用下述公式(1)计算得到：
76.l＝|ρ-ρb|(1)
77.其中，状态分布函数和所述密度分布函数基线之间的距离可以用下述公式(2)计算得到：
[0078][0079]
l大于第一阈值或l
t(0,1,2,3，m)
大于第二阈值，则表示该工控状态的状态密度信息与预先学习到的状态密度规则不匹配，进行告警提示或阻断工控流量的下发。相反的，l小于等于第一阈值且l
t(0,1,2,3，m)
小于等于第二阈值，才认为状态密度信息与预先学习到的状态密度规则匹配，工控流量通过后续处理。
[0080]
由于工控状态包括单一状态、序列状态、元组状态以及组合元组状态中的一种或多种，如图5所示，可以先进行单一状态的状态密度信息与密状态度规则的比对，如果比对成功(即匹配)，则进行序列状态的状态密度信息与状态密度规则的比对，如果比对成功，则进行元组状态的状态密度信息与状态密度规则的比对，如果比对成功，则进行组合元组状态的状态密度信息与状态密度规则的比对，如果比对成功，流量通过后续处理。相反的，在每次比对不成功(即不匹配)时，进行告警或阻断；
[0081]
在上述步骤s330之前，本技术实施例提供的方法还包括：获取正常工作期间所述目标作用域内的流量数据；对所述流量数据进行解析，学习不同工控状态对应的状态密度规则，状态密度规则包括周期密度基线和密度分布函数基线。
[0082]
具体的，可以通过统计正常工作期间每种工控状态的状态密度值和状态分布函数，作为每种工控状态的周期密度基线和密度分布函数基线。密度学习阶段，会不断读取工控流量，获取全面信息，不断计算如下结果：基于几个预设的时间周期，获得每个时间点出现的聚集度分布(参见上文状态分布函数)，并进行函数拟合，不断迭代，获得密度分布函数基线g(x)。基于几个预设的时间周期，统计某个状态在每个时间周期的出现次数的平均值，作为周期密度基线ρb。
[0083]
如图6所示，在学习阶段，要对工控流量进行解析，学习不同工控状态的状态密度规则。在告警防护阶段，将学习到的状态密度规则与当前阶段的状态密度信息进行匹配，匹配成功，则流量通过；如果不匹配，则告警处理。
[0084]
在一实施例中，若所述密度分布函数基线对应的采样次数大于第三阈值，下个时间周期生成的周期密度基线与前一个时间周期生成的周期密度基线之间差异小于第四阈值，下个时间周期生成的密度分布函数基线与前一个时间周期生成的密度分布函数基线之间的期望偏差小于第五阈值，且采样总时长大于第六阈值，则所述状态密度规则学习完成。
[0085]
也就是说，上述四个目标均达到，则表示状态密度规则学习完成。第一个目标，密度分布函数基线对应的采样次数大于第三阈值，表示某个状态的采集次数达到目标次数，从而避免样本数量不足，密度分布函数基线不准确。
[0086]
第二个目标，下个时间周期生成的周期密度基线与前一个时间周期生成的周期密度基线之间差异小于第四阈值；具体的，用ρ
n 1
表示前n 1次的ρ平均值；用ρn表示前n次的ρ平均值；l＝|ρ
n 1-ρn|，若l小于某个设定的阈值(即第三阈值),则ρb(周期基线密度)＝ρ
n 1
。
[0087]
第三个目标，下个时间周期生成的密度分布函数基线与前一个时间周期生成的密度分布函数基线之间的期望偏差小于第五阈值，具体的，在设置的时间周期内(每小时，天，周等)，状态密度曲线变化率，为f(t)函数。在下一个t的时间周期内，状态密度曲线前后未发生明显变化，未超过某个阈值，则第三个目标达成。
[0088]
假设用于f
n 1
(t)表示n 1次统计周期计算的f(x)；用fn表示前n次统计周期计算拟合的f(x)，计算如果l
t
小于某个设定的阈值(即第五阈值)，则密度分布函数基线g(x)＝f
n 1
(x)。
[0089]
第四个目标，采样总时长大于第六阈值，也就是状态的采集时长足够长，达到目标时长。
[0090]
如图7所示，在学习阶段，流量进入工控设备后，对解析得到的工控状态进行缓存；然后分析状态密度，生成状态密度规则；如果状态密度确定完成即上述目标二和目标三达成，继续判断采集时间是否达标，即目标四是否达成，如果达成，继续判断目标一，状态数量样本是否达标，如果均达标，则状态密度规则学习完成。任意一个目标未达成，则继续进行流量解析。
[0091]
由于工控状态包括单一状态、序列状态、元组状态以及组合元组状态中的一种或多种，如图8所示，可以先进对单一状态进行密度分析，学习单一状态的状态密度规则，直到符合策略生成的全部条件(即上述四个目标均达成)；继续进行序列状态的密度分析，学习序列状态的状态密度规则，直到符合策略生成的全部条件；之后进行元组状态的密度分析，学习元组状态的状态密度规则，直到符合策略生成的全部条件；然后进行组合元组状态的密度分析，学习组合元组状态的状态密度规则，直到符合策略生成的全部条件，完成不同工控状态的状态密度规则的学习。
[0092]
在一实施例中，还可以对状态密度规则进行编辑。当需要针对出现的提示、告警、阻断信息，再经客户人工验证，需要追加此策略进入“工控白名单”；针对此场景，可以对状态密度策略进行编辑，将现有的当前状态密度分布函数f(t)，和之前的密度分布函数基线g(t)做整合处理，例如可以简单采用算术平均法，算出新的密度分布函数基线g’(t)和新的周期密度基线ρ’b
，如下述公式所示。
[0093][0094][0095]
下述为本技术装置实施例，可以用于执行本技术上述工控安全的控制方法实施例。对于本技术装置实施例中未披露的细节，请参照本技术工控安全的控制方法实施例。
[0096]
图9为本技术一实施例示出的工控安全的控制装置的框图。如图9所示，该装置包括：数据缓存模块910、数据统计模块920以及数据匹配模块930。
[0097]
数据缓存模块910，用于对目标作用域的工控流量进行解析，并将解析得到的工控状态进行缓存；
[0098]
数据统计模块920，用于根据预设的时间周期，统计所述时间周期内不同工控状态对应的状态密度信息；
[0099]
数据匹配模块930，用于根据正常工作期间不同工控状态对应的状态密度规则，将所述状态密度信息与所述状态密度规则进行匹配，若不匹配，进行安全控制操作。
[0100]
上述装置中各个模块的功能和作用的实现过程具体详见上述工控安全的控制方法中对应步骤的实现过程，在此不再赘述。
[0101]
在本技术所提供的几个实施例中，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本技术的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
[0102]
另外，在本技术各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。
[0103]
功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本技术的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本技术各个实施例方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read-only memory)、随机存取存储器(ram，random access memory)、磁碟或者光盘等各种可以存储程序代码的介质。