王敏， 王勇， 邹春明， 田英杰， 郭乃网

(1.上海电力大学， 计算机科学与技术学院， 上海 200090； 2.公安部第三研究所， 上海 200031； 3.国网上海市电力公司， 电力科学研究院， 上海 200120)

0 引言

工业控制系统作为基础设施中的重要组成部分，被广泛应用于生产、生活和交通等各个方面[1]。传统的工控系统利用专有的通信协议和物理设施，确保了与外界网络的隔离，较大程度上保障了系统的物理安全。但由于其在信息化和网络化方面的不断发展，使用了更多开放的通信协议和操作系统，也不可避免地带来了新的针对工控系统的网络安全问题，由此出现过“震网”病毒、“Havex”病毒和乌克兰大面积停电等严重事件。

入侵检测技术作为常用的安全防护技术[1]，其通过对控制系统的网络信息特征和数据集进行建模和分析，以此来检测出可疑的攻击行为。Beaver等[2]利用SCADA系统入侵检测标准数据集，使用支持向量机、决策树和随机森林等算法，主要研讨了数据集中的注入攻击。张腾飞等[3]使用支持向量机建立攻击检测模型，并将该方法应用于SCADA系统中的Modbus协议，实验结果表明其效果良好。尚文利等[4]使用粒子群优化(particle swarm optimization，PSO)算法建立SVM异常检测模型，实验以Modbus TCP 通信数据为数据来源，最终实现对Modbus 功能码序列的检测。李琳等[5]利用主成分分析(principal component analysis，PCA)法和单类支持向量机建立针对Modbus/TCP协议的入侵检测模型。王华忠等[6]利用PCA法和粒子群优化算法建立了基于SVM的入侵检测模型，然而标准的粒子群算法易陷入局部极小问题。……