工業(yè)大數(shù)據(jù)安全應(yīng)用探討

◆門嘉平

工業(yè)大數(shù)據(jù)安全應(yīng)用探討

◆門嘉平

(南京天規(guī)信息技術(shù)有限公司 江蘇 210000)

在工業(yè)互聯(lián)網(wǎng)快速應(yīng)用推廣的當(dāng)下，工業(yè)大數(shù)據(jù)伴隨工業(yè)互聯(lián)網(wǎng)應(yīng)用而呈幾何倍數(shù)增加。信息技術(shù)在工業(yè)生產(chǎn)領(lǐng)域中也被廣泛普及，以及在工業(yè)領(lǐng)域中大量使用價格低廉的傳感器，工業(yè)控制和生產(chǎn)過程具備了基本的狀態(tài)感知能力，海量數(shù)據(jù)的采集和傳送已經(jīng)突破了時間和空間的限制，源源不斷地匯集到企業(yè)的數(shù)據(jù)中心。這些工業(yè)大數(shù)據(jù)的產(chǎn)生，同時帶來了巨大的隱性安全隱患，隨時可能會給工業(yè)生產(chǎn)造成災(zāi)難事件。本文根據(jù)工業(yè)大數(shù)據(jù)的自身特點，對工業(yè)大數(shù)據(jù)的安全性分析方面進行了探討。

工業(yè)互聯(lián)網(wǎng)；工業(yè)大數(shù)據(jù)；安全性；安全分析方法

隨著信息技術(shù)在工業(yè)生產(chǎn)領(lǐng)域的不斷普及，以及價格低廉的傳感器的廣泛應(yīng)用，工業(yè)控制和生產(chǎn)過程具備了基本的狀態(tài)感知能力，海量數(shù)據(jù)的采集和傳送已經(jīng)突破了時間和空間的限制，源源不斷地匯集到企業(yè)的數(shù)據(jù)中心。一方面，存儲和計算設(shè)備的成本在不斷降低，從軟盤、硬盤、內(nèi)存卡到固態(tài)硬盤，有限的存儲空間和存取速度已經(jīng)不再成為瓶頸；另一方面，以虛擬化為核心的大數(shù)據(jù)關(guān)聯(lián)與處理技術(shù)，不但降低了工業(yè)數(shù)據(jù)使用的技術(shù)門檻和支出成本，還大幅減輕了工業(yè)大數(shù)據(jù)的處理成本，從而降低了企業(yè)負(fù)擔(dān)。

工業(yè)大數(shù)據(jù)是連接工業(yè)控制生產(chǎn)環(huán)境中物理空間（Physical Space）實體設(shè)備和網(wǎng)絡(luò)空間（Cyber Space）虛擬資產(chǎn)的紐帶，也是工業(yè)互聯(lián)網(wǎng)相關(guān)技術(shù)在企業(yè)生產(chǎn)業(yè)務(wù)應(yīng)用過程中的具體應(yīng)用與落地。本文主要對工業(yè)大數(shù)據(jù)自身安全性分析方面的應(yīng)用進行了探討。

1 工業(yè)大數(shù)據(jù)的分類和特點

根據(jù)企業(yè)具體生產(chǎn)過程中產(chǎn)生的工業(yè)大數(shù)據(jù)頻度，可以將其按兩個維度進行劃分，分為靜態(tài)數(shù)據(jù)和動態(tài)數(shù)據(jù)。靜態(tài)數(shù)據(jù)包括企業(yè)資產(chǎn)信息、控制流程設(shè)計、網(wǎng)絡(luò)拓?fù)洹⒐芾韱T賬戶、訪問權(quán)限控制及管理等不變化或者改動較小的數(shù)據(jù)；動態(tài)數(shù)據(jù)包括控制生產(chǎn)設(shè)備、傳感器等產(chǎn)生的大量模擬量、數(shù)字量、網(wǎng)絡(luò)流等信息，生成的頻度較高，而且數(shù)據(jù)量大，實時性強。

根據(jù)工業(yè)大數(shù)據(jù)各個環(huán)節(jié)與各類設(shè)備產(chǎn)生的具體來源，可以將其按兩個維度分為生產(chǎn)性數(shù)據(jù)和輔助生產(chǎn)性數(shù)據(jù)。生產(chǎn)性數(shù)據(jù)包括工業(yè)控制生產(chǎn)環(huán)節(jié)產(chǎn)生的各種數(shù)據(jù)，構(gòu)成了工業(yè)大數(shù)據(jù)的主體；輔助性生產(chǎn)數(shù)據(jù)包括各類傳感器采集的數(shù)據(jù)，包括生產(chǎn)環(huán)境的溫濕度、實時監(jiān)測的設(shè)備運行狀態(tài)、設(shè)備健康狀況等信息，甚至包括監(jiān)控探頭等采集的信息，對工業(yè)生產(chǎn)過程具有輔助決策作用。

工業(yè)大數(shù)據(jù)的采集和傳輸具有時間跨度大，空間范圍廣、數(shù)據(jù)粒度細(xì)的優(yōu)勢，這些使得工業(yè)大數(shù)據(jù)既具備常規(guī)大數(shù)據(jù)的基本特征，同時還具有工業(yè)生產(chǎn)應(yīng)用方面的獨特特征。

1.1 首先，工業(yè)大數(shù)據(jù)具備典型大數(shù)據(jù)的“4V”特征

第一個V是Volume（數(shù)量巨大），體現(xiàn)了大數(shù)據(jù)本身應(yīng)該具有的規(guī)模特征。對于工業(yè)大數(shù)據(jù)來說，尤其是工業(yè)生產(chǎn)環(huán)境中大量傳感器和各類設(shè)備日志，涵蓋了工業(yè)生產(chǎn)過程的設(shè)備運行狀況、用戶操作行為、環(huán)境參數(shù)等海量數(shù)據(jù)。

第二個V是Variety（種類繁多），代表工業(yè)大數(shù)據(jù)自身生產(chǎn)過程的具有多樣性。能將熟知的各種關(guān)系型數(shù)據(jù)庫（比如Mysql、SqlServer、Oracle等）儲存與處理的數(shù)據(jù)按特定算法轉(zhuǎn)化為結(jié)構(gòu)化數(shù)據(jù)，保存在指定的數(shù)據(jù)庫表中。工業(yè)大數(shù)據(jù)中存在大量控制信息、報表、圖像和音頻、視頻等多源異構(gòu)數(shù)據(jù)，其實時存儲和處理是當(dāng)前研究的熱點之一。

第三個V是Value（價值挖掘），具有兩方面的含義：（1）大數(shù)據(jù)中包含的數(shù)據(jù)類型、數(shù)據(jù)規(guī)模均超過了以往數(shù)據(jù)集，但是數(shù)據(jù)中有價值部分占比較低；（2）海量數(shù)據(jù)中數(shù)據(jù)類型豐富，來源廣泛，因此可以更加詳細(xì)、系統(tǒng)地進行數(shù)據(jù)分析，從而獲得在小數(shù)據(jù)集中無法獲得的重要結(jié)論。但是，數(shù)據(jù)的真正價值往往隱匿在海量數(shù)據(jù)之中，需要通過定制化的算法對海量數(shù)據(jù)進行全面而深入的數(shù)據(jù)挖掘才可能挖掘找出其真正價值。

第四個V是Velocity（速度要求），具有兩方面的含義：（1）數(shù)據(jù)生成速度快，需要較快的采集和存儲；（2）數(shù)據(jù)分析結(jié)果有較強時效性，對海量工業(yè)數(shù)據(jù)的分析結(jié)果需要對數(shù)據(jù)處理過程的速度非常高。

1.2 其次，工業(yè)大數(shù)據(jù)具有其獨特的“2V”特征

第一個V是Veracity（信息真實），強調(diào)的是工業(yè)大數(shù)據(jù)生產(chǎn)的數(shù)據(jù)來源與數(shù)據(jù)質(zhì)量，即工業(yè)大數(shù)據(jù)存在生產(chǎn)數(shù)據(jù)的時間跨度大，數(shù)據(jù)來源的范圍廣，數(shù)據(jù)采集和提煉過程既需要確定數(shù)據(jù)來源的可靠性，還需要保證數(shù)據(jù)本身的質(zhì)量，從而為數(shù)據(jù)挖掘和分析提供堅實的基礎(chǔ)。

第二個V是Visibility（結(jié)果呈現(xiàn)），工業(yè)大數(shù)據(jù)分析的任務(wù)是發(fā)掘數(shù)據(jù)的價值（value），對生產(chǎn)的大數(shù)據(jù)中隱匿的各類信息進行全面分析和深入挖掘，最終將簡單而清晰的數(shù)據(jù)提取結(jié)果呈現(xiàn)給具體工業(yè)用戶使用。工業(yè)控制和計算機科學(xué)是兩個相對不同領(lǐng)域，因此工業(yè)大數(shù)據(jù)的分析需要考慮結(jié)果呈現(xiàn)的方式。

1.3 最后，工業(yè)大數(shù)據(jù)還存在“3B”問題

第一個B是Blow Surface（特征隱藏），工業(yè)大數(shù)據(jù)注重的是數(shù)據(jù)背后的物理意義。如果不考慮實際的物理場景，分析的結(jié)論將毫無意義。

第二個B是Broken（數(shù)據(jù)碎片），從工業(yè)生產(chǎn)環(huán)境獲得大數(shù)據(jù)由于其來源多樣，呈現(xiàn)出明顯的異步性和相對無序性，導(dǎo)致雖然獲得的數(shù)據(jù)量比較大，但是仍然有分散、不連續(xù)的特點。另一方面，工業(yè)生產(chǎn)全生命周期不同時段的數(shù)據(jù)也具有相對獨立性，給工業(yè)大數(shù)據(jù)的關(guān)聯(lián)分析帶來了困難。

第三個B是Bad Quality（質(zhì)量較差），工業(yè)大數(shù)據(jù)來自不斷反復(fù)的生產(chǎn)過程，具有一定的重復(fù)性和相對周期性，但同時還有一些操作和控制頻度很低。因此，數(shù)據(jù)的“量”和數(shù)據(jù)的“質(zhì)”需要進行權(quán)衡，有時為了保證樣本數(shù)據(jù)的完整性，數(shù)據(jù)采集過程需要持續(xù)很長時間。

2 工業(yè)大數(shù)據(jù)安全利用特點

工業(yè)大數(shù)據(jù)的“量變”促成了對數(shù)據(jù)進行安全分析的“質(zhì)變”。主要體現(xiàn)在以下幾個方面：

第一，從抽樣分析到關(guān)注全體。傳統(tǒng)的數(shù)據(jù)分析，往往采用統(tǒng)計學(xué)中抽樣分析的方式，以盡可能少的數(shù)據(jù)，去評估數(shù)據(jù)整體的特征。但是在安全分析領(lǐng)域，網(wǎng)絡(luò)攻擊和異常操作所占的比例相對較小，如果采用抽樣的方式，極有可能導(dǎo)致結(jié)論的偏差。而且，工業(yè)大數(shù)據(jù)中海量數(shù)據(jù)也不再具有抽樣分析方法作出的獨立同分布的假設(shè)，因此，統(tǒng)計學(xué)中假設(shè)檢驗、參數(shù)估計等應(yīng)用條件和算法機制需要進行較大改進才能繼續(xù)使用。

第二，準(zhǔn)確性要求高。在利用互聯(lián)網(wǎng)大數(shù)據(jù)進行分析和預(yù)測時，往往使用概率來給出結(jié)論。但是工業(yè)大數(shù)據(jù)的安全分析，需要在有效數(shù)據(jù)占比較低的情況下，進行全面的數(shù)據(jù)分析，從而能確定出相對準(zhǔn)確的數(shù)據(jù)分析結(jié)論，以便安全或業(yè)務(wù)操作管理人員進行快速而有效的決策。如果出現(xiàn)失誤，可能會造成嚴(yán)重的后果。在工業(yè)大數(shù)據(jù)諸多安全分析研究中，誤報率均是重要的評價指標(biāo)之一。

第三，跨類型、跨領(lǐng)域數(shù)據(jù)聯(lián)合分析。工業(yè)大數(shù)據(jù)的安全分析涉及控制設(shè)備、生產(chǎn)設(shè)備、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等多種異構(gòu)日志和數(shù)據(jù)流量，往往呈現(xiàn)出多源異構(gòu)的特點。這些工業(yè)生產(chǎn)過程中產(chǎn)生的數(shù)據(jù)類型不同，有結(jié)構(gòu)化數(shù)據(jù)，也有非結(jié)構(gòu)化數(shù)據(jù)；有些數(shù)據(jù)來自一般計算機領(lǐng)域和通信領(lǐng)域，更有些數(shù)據(jù)大量來自工業(yè)自動化控制領(lǐng)域、工業(yè)生產(chǎn)領(lǐng)域和工業(yè)安全保障領(lǐng)域。因此，需要對這些海量的各類數(shù)據(jù)進行跨域的整合與梳理，生產(chǎn)歸并為同類型數(shù)據(jù)后，才能比較好的開展關(guān)聯(lián)分析，進而為發(fā)現(xiàn)工業(yè)生產(chǎn)各環(huán)境中的異常成為可能。

3 工業(yè)大數(shù)據(jù)安全分析方法

“有之以為利，無之以為用”，工業(yè)大數(shù)據(jù)時代，我們面臨的是海量數(shù)據(jù)是“有”，而數(shù)據(jù)蘊含的價值是“無”，工業(yè)大數(shù)據(jù)安全分析就是去發(fā)掘和利用“無”的過程。

3.1 關(guān)聯(lián)規(guī)則分析

關(guān)聯(lián)規(guī)則分析就是從工業(yè)生產(chǎn)及其輔助過程產(chǎn)生的海量數(shù)據(jù)中進行數(shù)據(jù)管理分析與挖掘的過程，屬于無監(jiān)督（unsupervised）的機器學(xué)習(xí)算法。頻繁模式是指在數(shù)據(jù)集中頻繁出現(xiàn)的模式，一般包括頻繁項集、頻繁子序列、頻繁子結(jié)構(gòu)等類型。頻繁項是指在數(shù)據(jù)集中頻發(fā)出現(xiàn)的個體；頻繁子序列是頻繁項按照一定的先后特征構(gòu)成的序列片段；頻繁子結(jié)構(gòu)與頻繁子序列有些類似，只不過針對的是樹、圖、網(wǎng)格等具有復(fù)雜內(nèi)部結(jié)構(gòu)的數(shù)據(jù)集。常用的關(guān)聯(lián)規(guī)則分析算法有：Apriori算法和FP-growth算法。Apriori算法基于頻繁項集的所有非子集也是頻繁的規(guī)則進行逐層迭代搜索，第 k此迭代獲得的頻繁k項集用于支持對頻繁（k+1）項集的挖掘。FP-growth算法不生成候選的頻繁項集，采用的頻繁模式逐段增長的方法，面對海量數(shù)據(jù)集具有更高的效率。關(guān)聯(lián)規(guī)則分析主要用于工業(yè)生產(chǎn)控制的正常行為建模和安全事件的關(guān)聯(lián)分析，常被用來進行異常行為檢測和追溯，比如閥門的開合順序。

3.2 分類和回歸分析

分類（classification）和回歸（regression）分析都屬于有監(jiān)督的（supervised）機器學(xué)習(xí)算法。都是使用函數(shù)對目標(biāo)變量進行擬合，從而進行預(yù)測，區(qū)別在于前者的目標(biāo)變量是離散型，后者的目標(biāo)變量是連續(xù)型。分類是根據(jù)一定的分類算法或模式對挖掘研究對象提取共有的相關(guān)特征，然后建立關(guān)聯(lián)與分類模型并對未知數(shù)據(jù)進行遠(yuǎn)期預(yù)測。常用的分類方法有決策樹、貝葉斯、SVM（支持向量機）、神經(jīng)網(wǎng)絡(luò)等，常用回歸方法有線性回歸、多項式回歸、樹回歸等。“預(yù)測”能力體現(xiàn)了工業(yè)大數(shù)據(jù)安全應(yīng)用的強大之處，通過分類，可以識別不同類別的網(wǎng)絡(luò)攻擊，如掃描，欺騙等；通過回歸，可以對實體行為（用戶+設(shè)備）進行分析。

3.3 聚類分析

聚類分析時將一組對象按照其相似性劃分為若干不同類別（簇、子集等），使得同一類別中樣本的相似性盡可能大。聚類算法屬于無監(jiān)督的機器學(xué)習(xí)算法之一。聚類分析需要根據(jù)研究對象的特有屬性選擇恰當(dāng)?shù)南嗨菩?差異性指標(biāo)，在選擇指標(biāo)并計算相似度的過程中，一般會使用歐氏距離、馬氏距離、余弦相似度等空間距離計算方法。在工業(yè)大數(shù)據(jù)安全分析領(lǐng)域，常用于區(qū)分惡意文件和正常文件，也可用于用戶行為分析，將多個用戶根據(jù)其操作行為劃入不同的用戶組。

4 工業(yè)大數(shù)據(jù)安全應(yīng)用關(guān)鍵問題

工業(yè)大數(shù)據(jù)的安全應(yīng)用在日產(chǎn)各種生產(chǎn)與生活過程中的前景非常廣闊。但是，我們應(yīng)該清晰地認(rèn)識到我國工業(yè)目前正處在“工業(yè)2.0補課、工業(yè)3.0普及、工業(yè)4.0示范”的并聯(lián)式發(fā)展道路，工業(yè)大數(shù)據(jù)存在數(shù)據(jù)質(zhì)量差、數(shù)據(jù)管理水平弱、關(guān)聯(lián)程度低等缺點，需要從以下幾個方面進行加強。

第一，工業(yè)大數(shù)據(jù)質(zhì)量問題。目前我國的工業(yè)大數(shù)據(jù)尚未形成統(tǒng)一的標(biāo)準(zhǔn)，導(dǎo)致同一企業(yè)內(nèi)部數(shù)據(jù)質(zhì)量沒有參考依據(jù)，往往采集了大量重復(fù)無用的數(shù)據(jù)，而造成采集的數(shù)據(jù)不完整；不同企業(yè)間的大數(shù)據(jù)共享能力較差，無法有效遷移到其他數(shù)據(jù)分析平臺。所幸工信部已經(jīng)在著手相關(guān)工作，一直在致力于推進工業(yè)互聯(lián)網(wǎng)標(biāo)識解析體系的建設(shè)，從源頭上保證了工業(yè)大數(shù)據(jù)的質(zhì)量。

第二，工業(yè)大數(shù)據(jù)集成問題。工業(yè)大數(shù)據(jù)的安全應(yīng)用需要重構(gòu)數(shù)據(jù)支撐平臺，通過數(shù)據(jù)支撐平臺接口打通企業(yè)內(nèi)部各個部門、各個生產(chǎn)過程，數(shù)據(jù)支撐平臺接口能夠成為工業(yè)內(nèi)部網(wǎng)絡(luò)生產(chǎn)數(shù)據(jù)與外部網(wǎng)絡(luò)相關(guān)交互數(shù)據(jù)、結(jié)構(gòu)化數(shù)據(jù)與非結(jié)構(gòu)化數(shù)據(jù)的必經(jīng)通道，實現(xiàn)多源異構(gòu)海量數(shù)據(jù)的有效整合，才能降低數(shù)據(jù)采集成本，實現(xiàn)工業(yè)大數(shù)據(jù)利用的效益最大化。同時，由于工業(yè)大數(shù)據(jù)安全應(yīng)用的時效性問題，需要有支撐異構(gòu)、海量、非結(jié)構(gòu)化數(shù)據(jù)的快速存取平臺和工具，比如支持非結(jié)構(gòu)化數(shù)據(jù)存儲的NoSQL數(shù)據(jù)庫、分布式計算的MapReduce和Hadoop平臺等。

第三，工業(yè)大數(shù)據(jù)關(guān)聯(lián)分析問題。工業(yè)大數(shù)據(jù)由于業(yè)務(wù)與應(yīng)用的差異，導(dǎo)致其來源各異，具有海量、異構(gòu)、多源、高噪等特點，使得工業(yè)大數(shù)據(jù)的安全分析面臨巨大挑戰(zhàn)。如何建立關(guān)聯(lián)分析模型，對海量多源異構(gòu)數(shù)據(jù)進行關(guān)聯(lián)分析，從而發(fā)現(xiàn)隱藏在數(shù)據(jù)中的異常，是目前大數(shù)據(jù)安全分析要解決的重點問題。尤其是在APT（高級持續(xù)性威脅）攻擊日益嚴(yán)重的今天，如何做跨時間、跨空間的關(guān)聯(lián)分析，具有很大的研究價值和現(xiàn)實意義。

[1]李杰.工業(yè)大數(shù)據(jù):工業(yè)4.0時代的工業(yè)轉(zhuǎn)型與價值創(chuàng)造[M].機械工業(yè)出版社，2015.

[2]周濟.智能制造—“中國制造2025”的主攻方向[J].中國機械工程，2015，26（17）:2273-2284.

[3]維克托?邁爾-舍恩伯格.大數(shù)據(jù)時代:生活、工作與思維的大變革[M].浙江人民出版社，2013.

[4]艾伯特-拉斯洛?巴拉巴西.爆發(fā):大數(shù)據(jù)時代預(yù)見未來的新思維[M].北京聯(lián)合出版有限公司，2012.

[5]工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟.工業(yè)大數(shù)據(jù)分析指南[M].2019.