(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111544631.6 (22)申请日 2021.12.16 (71)申请人 网御铁卫 （北京） 科技有限公司 地址 100000 北京市石景山区双峪路3 5号 爱玛裕家居购物广场B区四层B909 (72)发明人 陈功磊　王洪兴　 (74)专利代理 机构 重庆卓茂专利代理事务所 (普通合伙) 50262 代理人 徐顺荣 (51)Int.Cl. G05B 19/418(2006.01) G06K 9/62(2022.01) G06F 16/2457(2019.01) G06F 16/28(2019.01) G06N 20/00(2019.01) (54)发明名称 一种关于工业控制系统网络行为自学习系 统 (57)摘要 本发明涉及工业控制系统技术领域， 公开了 一种关于工业控制系统网络行为自学习系统， 所 述数据采集单元用于采集工业控制系统中的工 控网络信息， 并将采集到的工控网络信息发送至 数据拆分单元上， 所述基线创建单元用于接收数 据关联单元发送的关联数据， 并自动创建针对异 常网络行为判断标准的网络行为基线。 能够拆分 并分析不同种类的工控数据， 同时在采集工控数 据时可以根据实际需求筛选目标数据， 并对多维 度分析出来的结果进行数据关联， 如： 资产、 漏 洞、 威胁等， 使得分析出来的工控数据更加全面 和线性， 同时在获取网络行为基线后， 可 以据此 判断后续的网络流程与网络操作行为是否正常 或异常， 进 而触发报警 或其他操作。 权利要求书2页 说明书4页 附图1页 CN 114217591 A 2022.03.22 CN 114217591 A 1.一种关于工业控制系统网络行为自学习系统， 其特征在于， 包括数据采集单元、 数据 拆分单元、 数据分析单元、 信息梳理单元、 日志记录单元、 数据关联单元、 基线创建单元、 告 警单元和风险评估单 元， 其中， 所述数据采集单元用于采集工业控制系统中的工控 网络信息， 并将采集到的工控 网络 信息发送至数据拆分单 元上； 所述数据拆分单元用于对数据采集单元发送的工控 网络信息进行接收， 并对工控 网络 信息进行拆分处 理； 所述数据分析单元用于对数据拆分单元发送的拆分后工控 网络信息进行接收， 经过分 析后， 发送至信息 梳理单元和日志 记录单元上； 所述日志记录单元用于对分析后工控网络信息中数据的网络位置和数据产生的网络 会话进行记录和审计调查， 并标记当前工控网络信息中存在的潜在故障节点； 所述信息梳理单元用于对数据拆分单元发送的分析结果进行接收， 自动获取分析结果 中的网络连接信息、 网络实时动态和活跃IP， 生成当前分析结果中特有的工控网络信息桥 段， 并将获取到的网段进行梳理后绘制呈网络 拓扑图； 所述数据关联单元用于对信 息梳理单元发送的工控 网络信息桥段进行接收， 并对不同 桥段下的工控网络信息进行深度包分析、 处 理和机器自学习， 然后进行 数据关联； 所述基线创建单元用于接收数据关联单元发送的关联数据， 并自动创建针对异常网络 行为判断标准的网络行为基线； 所述风险评估单元用于对基线创建单元发送的网络行为基线进行接收， 并作 出紧急风 险评估报告； 所述告警单 元用于对基线创建单 元发送的网络行为基线 进行接收并显示 通知。 2.根据权利要求1所述的一种关于工业控制系统网络行为自学习系统， 其特征在于， 所 述数据采集单元还包括数据筛选模块和网络诊断模块， 其中， 数据筛选模块用于对当前工 控网络信息中特定(可自定义)的数据进行后续分析， 排除无关数据的干扰， 网络诊断模块 用于对当前工控网络信息上的网络状态进 行在线监测， 并判断当前的网络状态是否达到正 常信息传输标准。 3.根据权利要求2所述的一种关于工业控制系统网络行为自学习系统， 其特征在于， 所 述网络状态包括当前网速和 抗干扰强度， 网络状态的在线监测方法为： 在当前工控网络信 息上的网络上建立多组信号监测点， 同时采集网络信息标准传输速度S1， 并获取当前信号 监测点进行信号传输的往返时间， 然后计算出当前信号监测点的实际信号传输速度S2， 当 标准传输速度S1＞实际信号传输速度S2时， 说明当前网络状态出现异常， 当标准传输速度 S1≤实际信号传输 速度S2时， 说明当前网络状态处于正常状态。 4.根据权利要求1所述的一种关于工业控制系统网络行为自学习系统， 其特征在于， 所 述数据拆分单元还用于对接收的工控网络信息进 行分组解析， 并提取分组解析后的应用层 数据， 对应用层数据进行应用识别后， 生成识别结果， 并将识别结果用多个整数值分开标 记。 5.根据权利要求1所述的一种关于工业控制系统网络行为自学习系统， 其特征在于， 所 述基线创建单元还与外部的互联网相连， 并由互联网中获取标准网络操作行为， 将网络行 为基线与标准网络操作行为进 行比对后， 判断当前网络行为基线 下的网络流程与网络操作权　利　要　求　书 1/2 页 2 CN 114217591 A 2行为是否正常， 当异常时， 触发报警信号。 6.根据权利要求1所述的一种关于工业控制系统网络行为自学习系统， 其特征在于， 所 述数据分析单元的数据分析方式包括初始分析、 中间分析和末尾 分析， 其中初始分析、 中间 分析和末尾分析的分析时间相同， 所述初始分析包括交互式查询汇总分析和OLAP多维分 析， 所述中间分析包括对数据传输类型进行解析， 所述高级分析包括对数据进行挖掘建模。 7.根据权利要求5所述的一种关于工业控制系统网络行为自学习系统， 其特征在于， 所 述基线创建单元还用于将网络行为基线与标准网络操作行为进行比对后， 对当前网络行为 基线按照标准网络操作行为进行模拟改进， 并生成新的网络行为基线。权　利　要　求　书 2/2 页 3 CN 114217591 A 3