引用本文

陆耿虹, 冯冬芹. 基于粒子滤波的工业控制网络态势感知建模. 自动化学报, 2018, 44(8): 1405-1412. doi: 10.16383/j.aas.2017.c160830

LU Geng-Hong, FENG Dong-Qin. Modeling of Industrial Control Network Situation Awareness With Particle Filtering. ACTA AUTOMATICA SINICA, 2018, 44(8): 1405-1412. doi: 10.16383/j.aas.2017.c160830

http://www.aas.net.cn/cn/article/doi/10.16383/j.aas.2017.c160830

关键词

工控系统，态势感知，粒子滤波，态势理解 

摘要

粒子滤波(Particle filtering，PF)算法能有效地对工控系统这一类非线性、非高斯噪声系统进行状态估计，但在实际采用经典粒子滤波状态估计检测攻击时，实验结果显示该方法存在很高的漏检率，无法保障系统安全.因此改进经典算法，提出了基于粒子滤波输入估计的态势理解算法.该算法在考虑系统输入与输出关系的同时，结合蒙特卡洛思想，提取工控系统态势特征，计算态势指标，最终实现态势理解.实验结果表明，该算法能有效地感知持续性攻击，并判断系统态势.

文章导读

工控网络处于快速发展阶段, 由于工业通信协议中存在不可避免的漏洞, 工控网络容易遭受攻击者的恶意攻击, 给工控网络的安全带来巨大威胁[1], 例如伊朗的震网病毒事件[2], 就是攻击者借助Stuxnet病毒对可编程逻辑控制器(Programmable logic controller, PLC)代码进行篡改, 实现攻击, 从而达到破坏离心机正常运行的恶意目的, 并造成不可逆转的严重事故.此外, 由于工控网络自身存在的复杂性增加了攻击判断与检测的难度, 尤其当管理员处于高压紧张的环境下, 更容易发生判断失误[3].

因此, 如何提高对工控系统网络整体态势的准确判断成为当务之急. 1999年, Bass[4]首次将态势感知(Situation awareness, SA)与网络安全技术相结合, 以期能准确全面地掌握系统的安全状态, 预防事故发生, 为安全管理员提供可靠有效的决策依据. Naderpour等[5]提出新型异常态势模型(Abnormal situation modeling, ASM), 构建贝叶斯网络对多种态势进行分析, 该方法针对安全性要求极高的系统, 利用风险指标判断系统在出现异常态势(Abnormal situation)情况下的危险态势(Hazardous situation)风险等级, 以此确定系统态势. Kim等[6]提出一个基于贝叶斯推论的核电厂态势评估解析模型, 该方法是对核电厂操作员在面对事故发生时的态势评估思考模型(Mental model)建模.

以上两种方法, 均是在系统出现异常或事故的情况下对系统态势进行分析, 其前提是异常或事故报警为可信的; 但是, 若系统遭受到欺骗性攻击(例如假数据注入攻击[7]), 由于系统内的报警系统被攻击者蒙蔽, 此类态势感知技术将无法对系统真实态势进行感知.

针对以上问题, 结合系统在遭受到攻击的情况下系统内部状态值会发生相应改变, 本文提出基于粒子滤波的工业控制网络态势感知建模方法.粒子滤波(Particle filtering, PF)[8-9]是采用蒙特卡罗仿真完成递推贝叶斯滤波过程, 核心是采用一组粒子近似表示系统的后验概率分布, 然后使用近似表示估计非线性系统的状态[10]. Arulampalam等[11]对PF的非线性/非高斯噪声系统状态的估计性能进行了考察, 并将其与扩展卡尔曼滤波进行比较, 证明PF能有效解决非线性/非高斯噪声系统的状态估计问题.

由上述文献的研究结果可知, 传统的PF状态估计, 可以预测非线性非高斯系统的态势变化.但是在实际应用PF状态估计算法对工控系统受到的持续攻击进行检测时, 实验结果显示漏检率高达96%, 这是因为在控制器的作用下, 系统从临界状态趋于稳态, 此时, 由于PF状态估计算法自身的跟踪能力可跟踪到系统的攻击状态导致无法检测出异常, 从而使得该算法在检测持续性攻击时, 存在较高的漏检率, 这一不足也为工控系统安全带来威胁.

因此, 为了实现对持续性攻击的检测, 降低PF状态估计算法对该类攻击的漏检率, 本文将工控系统内在特征与攻击特征相结合, 提出基于PF输入估计的态势理解算法.该方法考虑了工控系统遭受到网络攻击时(以传感器参数篡改为例), 虚假的传感器参数导致系统的输入值与输出值之间的非线性关系发生变化, 利用这一特点, 结合Monte-Carlo思想, 对系统输入的先验概率进行随机取样, 依据相似性对样本粒子分配权值, 并获取系统输入的估计值将估计值与实际值之间的差值, 作为系统态势特征, 判断工控系统是否处于危险态势, 避免了由于PF状态估计引起的漏检, 为针对工控系统网络的持续性攻击检测提出新思路.在本文最后, 对经典PF状态估计算法和态势理解算法进行仿真验证.需要说明, 不同于文献[12]对网络安全态势预测算法的精度进行考察(算法精度越高, 对复杂网络环境的预测结果越准确), 本文考虑到工控系统遭受攻击的后果严重性, 系统中出现的漏报与误报将会误导操作员对工控系统的态势判断, 从而引发灾难, 因此参考Salerno等[13]提出的态势指标, 对本文提出算法报警结果的漏检率与错误率进行分析, 而不再考虑算法精度.实验结果表明, 本文提出的算法能有效感知系统中的不同态势(正常态势及危险态势), 漏检率与错误率均处于较低水平.

图 1  态势感知模型

图 2  PLC系统示意图

图 3  工控网络态势感知模型

本文介绍了基于粒子滤波的工业控制网络态势感知建模, 将文中构造的态势感知模型中的态势理解层作为研究重点, 提出了基于PF输入估计的态势理解算法.该算法是对经典PF状态估计的改进, 在Monte-Carlo思想的基础上, 考虑到系统输入与输出之间的联系, 通过输出值校准输入的估计值, 利用实际值与估计值之间存在的差值, 判断系统是处于安全态势还是危险态势.该算法具有较好的输入值估计能力, 可准确获取系统态势特征, 给出态势指标, 对特征的可靠性进行定量衡量.该算法可为后续的态势预测过程提供科学可靠的数据信息, 提升态势感知结果的准确性.

实验结果表明, 本文提出的态势理解算法, 能有效地利用数据源中的信息对系统内存在的危险态势进行感知.仿真结果表明该算法具有较高的可靠性与准确性.

作者简介

陆耿虹

浙江大学智能系统与控制研究所博士研究生.主要研究方向为工业控制系统网络安全态势感知.E-mail:olivialu@zju.edu.cn

冯冬芹 

浙江大学工业控制技术国家重点实验室和浙江大学智能系统与控制研究所教授.主要研究方向为现场总线, 实时以太网, 工业无线通信技术, 工业控制系统安全以及网络控制系统的研发与标准化工作.本文通信作者.E-mail:dongqinfeng@zju.edu.cn