基于Kmeans和稀疏自編碼器的工控網絡安全態勢評估研究

摘" 要：工控網絡安全態勢評估是保障工業控制系統安全的重要任務。為提高評估精度和效率，研究提出了一種基于改進K均值聚類算法和稀疏自編碼器的評估模型。首先，模型使用稀疏自編碼器對數據進行降維處理，然后通過改進K均值聚類算法進行聚類。實驗采用田納西伊斯曼過程數據集，并與傳統模型進行對比，結果表明，所提出的模型在準確率和評估效率上均優于其他對照模型，準確率達到98%，評估時間為87 ms。研究結果表明，該模型能夠有效提高工控網絡安全態勢的評估能力。

關鍵詞：改進Kmeans" "稀疏自編碼器" "態勢評估" "工控網絡

中圖分類號：TP273

Research on Industrial Control Network Security Situation Assessment Based on Kmeans and Sparse Autoencoder

HUANG Xiaopei" ZHANG Chunfang

China Software Testing Center（Software and Iintegrated Circuit Promotion Center of the， Ministry of Iindustry and Information Technology）， Beijing， 100048 China

Abstract： The assessment of industrial control network security situation is an important task to ensure the security of industrial control systems. To improve the accuracy and efficiency of evaluation， a" research proposes an evaluation model based on improved K-means clustering algorithm and sparse autoencoder. Firstly， the model uses a sparse autoencoder to reduce the dimensionality of the data， and then clusters it using an improved K-means clustering algorithm. The experiment used the Tennessee Eastman process dataset and compared it with traditional models. The results showed that the proposed model outperformed other control models in both accuracy and evaluation efficiency， with an accuracy of 98% and an evaluation time of 87 ms. The research results indicate that the model can effectively improve the assessment capability of industrial control network security situation.

Key Wwords： Improve Kmeans; Sparse autoencoder; Situation assessment; Control network

隨著工業控制系統在各類關鍵基礎設施中的廣泛應用，其網絡安全問題愈發受到重視，工業控制系統的復雜性和互聯性顯著增加，這在提高生產效率的同時，也帶來了更多的安全挑戰。特別是在近年來，網絡攻擊的手段和頻率不斷升級，針對工業控制系統的攻擊事件頻發，引發了人們對其安全態勢的關注。工業控制系統的網絡環境復雜且高度依賴實時數據傳輸，一旦遭受攻擊，可能導致嚴重的經濟損失和社會影響。因此，保障工控網絡的安全性成為當前研究的重點[1]。網絡安全態勢評估是保障工業控制系統安全的重要手段，通過對系統狀態的實時監控和分析，識別潛在的安全威脅，提供決策支持。傳統的安全態勢評估方法多基于規則或基于經驗，但隨著攻擊手段的多樣化和復雜化，這些方法往往難以應對新型威脅，并且存在一定的滯后性。因此，研究提出了一種結合改進K均值聚類算法（Kmeans clustering algorithm，K-means）和稀疏自編碼器（Sparse Auto-Encoder，SAE）的工控網絡安全態勢評估模型。該模型中的稀疏自編碼器引入稀疏性約束，而改進Kmeans算法通過優化初始化過程來進行改進。研究的創新點在于將這兩種方法結合應用于工控網絡安全領域，從而提高評估模型的準確性和效率，旨在能為工業控制系統的安全管理提供更可靠的支持。

1" 安全態勢評估模型設計

自編碼器是一種神經網絡模型，主要用于數據的無監督學習。其主要目的是將輸入數據壓縮到一個低維的隱空間，然后再將其還原回原始的高維空間。這個過程可以用于數據降維、特征提取、去噪、生成模型等，自編碼器分為編碼器和解碼器，編碼器將輸入數據映射到一個較低維度的隱空間表示，解碼器將隱空間中的表示重新映射回輸入數據的原始維度。解碼器的目的是在還原過程中盡可能地保持數據的原始結構和特征[2]。自編碼器可以在無監督的情況下學習數據的表示，不需要標記數據，并且能夠有效地將高維數據壓縮到低維空間中，同時保留數據的主要特征。但是，自編碼器可能會在壓縮數據時丟失一些重要的細節信息，尤其是當編碼維度設置得過低時，因此采用自編碼器的變形結構SAE。

稀疏自編碼器是一種自編碼器的變體，它在學習數據表示時引入了稀疏性約束，以獲取更加具有辨識度和解釋性的特征[3]。稀疏自編碼器與普通自編碼器的基本結構相似，依然由編碼器和解碼器組成。但它的核心不同點在于，通過在隱藏層上引入稀疏性約束，控制隱藏層神經元的激活情況。為了實現稀疏性約束，稀疏自編碼器通常在損失函數中加入額外的懲罰項。研究采用的稀疏性約束方法為信息散度（Kullback-Leibler divergence，KL），KL散度是一種衡量兩個概率分布之間差異的方法。稀疏自編碼器使用KL散度來限制隱藏層神經元的平均激活值接近于一個較小的目標稀疏率，KL散度懲罰項的表達式如式（1）所示。

式（1）中，表示隱藏層神經元的平均激活值，表示目標稀疏率。總的損失函數則是重建誤差與所有隱藏層神經元的KL散度之和，其表達式如式（2）所示。

式（2）中：表示稀疏自編碼器的總損失函數；表示自編碼器重建輸入的損失；表示控制稀疏性懲罰項的參數。K-means是一種常用的無監督學習算法，主要用于解決聚類問題。該方法的核心目標是將數據集劃分為k個簇，使得每個簇中的數據點彼此之間的相似性最大，而不同簇之間的數據點相似性最小[4]。

雖然K-mean算法直觀且計算效率高，適用于大規模數據集，但是初始質心的選擇對最終聚類結果有較大影響，不同的初始化會導致不同的聚類結果。K-means++算法就是在選取初始化中心點的方式上做了改進，K-means++的核心思想是盡量使初始質心彼此之間保持距離，以覆蓋數據集的不同區域。首先，在數據集中隨機選擇一個數據點作為第一個質心，對于數據集中的各個數據點計算它到最近已選質心的距離，根據每個數據點與最近質心的距離，選擇下一個質心。選擇的概率與距離平方成正比，即距離越遠的點被選為質心的概率越高。選擇好初始質心后，使用這些質心作為K-means算法的起始點，執行標準的K-means算法。最終的模型結構如圖1所示。

由圖1可知，首先，模型從兩個來源獲取數據，一是實時獲取的檢測數據，二是系統在正常工作狀態下的數據，后者用于模型訓練和作為參考標準。為了簡化分析過程，模型對檢測數據進行降維處理。降維處理的目的是減少數據的維度，從而降低計算復雜度并提高聚類算法的效率。同時，模型使用SAE對正常數據進行降維，將處理后的數據保存為參數以供后續聚類使用。接下來，模型應用K-means++算法對降維后的檢測數據進行聚類。聚類完成后，模型計算每個聚類中心與其他數據點之間的距離，將這些距離與初始聚類中心或正常狀態下的數據進行比較，從而形成距離矩陣。然后，模型會找出所有距離中的最小值，作為評估系統狀態的一個關鍵指標。這個最小距離用于判斷系統的狀態：如果最小距離超過某個預設的閾值，表明系統可能處于異常狀態；如果距離在閾值范圍內，則系統被認為是處于正常狀態[5]。

2仿真測試結果分析

實驗硬件配置采用的CPU為Intel Core i5-8750H，GPU為NVIDIA Geforce GTX2080Ti，顯存為8 GB，內存為16 GB。研究采用的數據集為田納西伊斯曼過程數據集，該數據集一共有500個數據，其中160個為正常工作數據，其余數據均為異常工作數據。選擇SAE-Kmeans模型和AE-Kmeans模型作為對照模型，采用準確率和評估時間作為評價指標，結果如圖2所示。

圖2表示的是3種模型的評估準確率，由圖2可知，隨著數據量的增大，各個模型的準確率也隨之上升，在數據量為500時，SAE-Kmeans++模型、SAE-Kmeans模型和AE-Kmeans模型的準確率為98%、92%、89%。實驗結果表明，所提出的基于改進Kmeans和稀疏自編碼器的工控網絡安全態勢評估模型有著較高的評估準確率。對各個模型的評估時間分析進行分析，結果如圖3所示。

圖3表示的是3種模型的評估時間。由圖3可知，隨著數據量的增大，各個模型的評估效率也在逐漸增大，在數據量為500時，SAE-Kmeans++模型、SAE-Kmeans模型和AE-Kmeans模型的評估時間分別為87 ms、124 ms、207 ms。實驗結果表明，所提出的基于改進Kmeans和稀疏自編碼器的工控網絡安全態勢評估模型有著較為出色的評估效率。

3" 結論

針對傳統工控網絡安全態勢評估較為困難的問題，研究提出了一種基于改進Kmeans++算法和SAE的態勢評估模型。研究結果表明，SAE-Kmeans++模型在評估準確率和效率上都優于傳統的AE-Kmeans和SAE-Kmeans模型，準確率達到98%，評估時間僅為87 ms。研究結果表明，基于改進Kmeans++和稀疏自編碼器的模型能夠有效提升工控網絡安全態勢評估的精度和速度，為工業控制系統的安全防護提供了新的技術手段。然而，研究仍存在一些不足，模型在處理更大規模的數據集時，會面臨計算復雜度增加的問題。未來的研究應進一步優化模型的計算效率，并探索其在不同類型工業控制系統中的應用潛力，以確保其在更廣泛的實際應用場景中具有良好的性能。

參考文獻

[1]凡靜，李娜.基于并行約簡的多節點網絡安全態勢評估方法[J].科技通報，2023，39（6）：35-39.

[2]張然，潘芷涵，尹毅峰，等.基于SAA-SSA-BPNN的網絡安全態勢評估模型[J].計算機工程與應用，2022，58（11）：117-124.

[3]楊宏宇，張梓鋅，張良.基于并行特征提取和改進BiGRU的網絡安全態勢評估[J].清華大學學報（自然科學版）， 2022，62（5）：842-848.

[4]楊攀，蘇波，劉敏賢，等.BPVis：面向DPoS區塊鏈網絡安全態勢感知的可視化系統[J].計算機應用研究，2023，40（6）：1641-1647.

[5]王群，李馥娟，倪雪莉，等.域間路由安全增強及區塊鏈技術的應用研究[J/OL].計算機科學與探索：1-34[2024-09-18]. http：//kns.cnki.net/kcms/detail/11.5602.tp.20240829.1555.019.html.