(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211082200.7 (22)申请日 2022.09.06 (71)申请人 北京理工大 学 地址 100081 北京市海淀区中关村南大街5 号北京理工大 学 (72)发明人 崔灵果　蒋汉锟　柴森春　申爽　 李耀兵　高建磊　 (74)专利代理 机构 北京盛广信合知识产权代理 有限公司 161 17 专利代理师 张军艳 (51)Int.Cl. H04L 9/40(2022.01) G06N 3/04(2006.01) G06F 16/215(2019.01) (54)发明名称 一种工业互联网入侵 检测方法 (57)摘要 本申请公开了一种工业互联网入侵检测方 法， 包括获取特征数据， 对所述特征数据进行清 洗， 得到清洗后的数据； 对所述清洗后的数据进 行预处理， 得到预处理后的数据； 对所述预处理 后的数据特征构造， 建立卷积神经网络模型进行 特征提取； 对 特征提取后的数据进行分类空间线 性变换的阈值优化， 得到监测结果。 本申请实时 调用训练完成的模型， 对工控系统网络流量进行 实时检测， 实现网络安全的态 势感知。 权利要求书2页 说明书7页 附图2页 CN 115459993 A 2022.12.09 CN 115459993 A 1.一种工业互联网入侵检测方法， 其特 征在于， 包括以下步骤： 获取特征数据， 对所述特 征数据进行清洗， 得到清洗后的数据； 对所述清洗后的数据进行 预处理， 得到预处 理后的数据； 对所述预处 理后的数据进行 特征构造， 建立卷积神经网络模型进行 特征提取； 对特征提取后的数据进行分类空间线性变换的阈值优化， 得到检测结果。 2.根据权利要求1所述的工业互联网入侵检测方法， 其特征在于， 所述清洗后的数据包 括TCP连接基本特征、 TCP连接的内容特征、 基于时间的网络流量统计特征、 基于主机的网络 流量统计特 征。 3.根据权利要求1所述的工业互联网入侵检测方法， 其特征在于， 对所述清洗后的数据 进行预处理的方法包括： 数据归一 化处理和数据重采样处 理。 4.根据权利要求3所述的工业互联网入侵检测方法， 其特征在于， 所述数据归一化处理 方法包括： 所述清洗后的数据通过归一 化方法降低高离 差特征数据， 公式如下： 其中， qi,min表示列向量q中的最小值， qi,max表示列向量q中的最大值。 5.根据权利要求3所述的工业互联网入侵检测方法， 其特征在于， 所述数据重采样处理 方法包括： 首先通过单次采样算法对所述清洗后的数据进行SMOTE采样， 其次， 在单次采样的基础 上， 进行数据集的动态策略。 6.根据权利要求1所述的工业互联网入侵检测方法， 其特征在于， 对所述预处理后的数 据进行特征构造， 建立卷积神经网络模型进行特征提取 的方法包括： 对所述预处理后的数 据进行特征构造， 建立重组特 征数据集的公式为： 在此基础上， 建立卷积神经网络模型进行 特征提取。 7.根据权利要求1所述的一种工业互联网入侵检测方法， 其特征在于， 对特征提取后的 数据进行分类空间线性变换的阈值优化方法包括： 基于ROC获取Youden系数和基于Youden 系数进行多分类优化。 8.根据权利要求7所述的工业互联网入侵检测方法， 其特征在于， 所述基于ROC获取 Youden系数的方法包括： 首先通过ROC曲线来测试模 型准确性， 以及AUC度量准确性， 用如下 公式表示：权　利　要　求　书 1/2 页 2 CN 115459993 A 2在上式中， 表示第i条样本的序号， 表示只把正类样本的序号相 加。 AUC表示ROC的线下面积， 用Youden系数来获取AUC的最佳阈值， 如下公式表示： J＝TPR‑FPR 其中， TPR表示最接近左上角的ROC曲线上的点的横坐标， FPR表示最接近左上角的ROC 曲线上的点的纵坐标， J表示 最佳阈值。 9.根据权利 要求8所述的工业互联网入侵检测方法， 其特征在于， 所述基于Youden系数 进行多分类优化包括： 使用分类空间的线性变化方法： Pnew＝P·diag(J) 即 则分类器对结果的判断如下 result即为检测结果。权　利　要　求　书 2/2 页 3 CN 115459993 A 3