6.1 工控网络异常检测算法（时间序列机器学习/深度学习）

信源等级：L2 学术权威（IEEE/PMC/SUTD 数据集） ｜ 最后核验：2026-09-17

一、问题定义

工控系统（ICS）持续产生多传感器时间序列（压力、液位、温度、阀门状态、电机转速等）。异常检测用于发现系统中：

• 传感器/执行器故障；
• 网络攻击（数据篡改、指令注入、重放、DoS 导致的物理过程偏移）；
• 操作员误操作导致的物理过程异常。

为什么适合数据驱动：ICS 物理过程具有较强时序规律性与周期性，正常行为可学习建模；数据驱动方法不依赖对系统内部机理的完整知识，安装简化。

二、公开基准数据集（评估必用）

数据集	来源	规模/特征	攻击
SWaT（Secure Water Treatment，新加坡 SUTD iTrust 实验室）	真实水处理六级流程试验台	51 个传感器/执行器特征，11 天连续采集（7 天正常 + 4 天攻击），90 万+ 记录，1Hz 物理数据/185Hz 网络数据	36~41 种攻击场景，经 EtherNet/IP + CIP 协议注入，标签 0/1
HAI（HIL-based Augmented ICS，SUTD）	硬件在环增强 ICS 试验台	尺寸大于 SWaT	多类型攻击标签
TEP（Tennessee Eastman Process）	NIST 化工过程仿真	化工过程标准基准	21 种故障模式（偏过程控制）
BATADAL	供水管网	有攻击注入	攻击类别

三、主流算法族与实证对比（关键数据）

对比研究（PMC9921147，2023，SWaT/HAI 同配置评测）

模型	类型	SWaT F1	HAI F1	训练耗时	备注
InterFusion	层次时序 VAE	90.7%	高	超 6000s	SWaT 最优精度，训练昂贵
RANSynCoder	随机自编码器+VAE	82.7%	82.9%（HAI 最优）	较快	精度/耗时平衡推荐项
GDN	图偏差网络	80.6%	—	471s	图结构捕捉传感器关联
LSTM-ED	LSTM 编码器-解码器	81.2%	—	较长	重构误差 + MLE 阈值
USAD	对抗自编码器	75.0%	—	测试仅 8s	检测精度偏低，不推荐

关键结论：

• 无单一最优模型，SWaT 上 InterFusion 最优、HAI 上 RANSynCoder 最优——数据集依赖显著；
• 工程取舍：RANSynCoder（精度高+训练快）> GDN（快速基线）> LSTM-ED；
• 训练集仅需约 40% 即可达到与全量相当的检测性能（显著降低训练成本）。

经典对比研究（LSTM vs 传统方法，SWaT，通信技术2020）

方法	SWaT 准确率	特点
LSTM	96.5%	显式建模时序性；一次判别仅需 30 个连贯数据点；训练仅 5 min
OCSVM（一类SVM，rbf核）	87.96%	将更多攻击判定为正常（漏报风险更高）
Isolation Forest（孤立森林）	37.14%	误报率极高，不适用工控
Matrix Profile	受噪声影响严重	需要 ≥500 点序列、空间复杂度 n²

结论：序列建模（LSTM 类）显著优于逐点独立判断（OCSVM/IF）；复杂攻击引起物理属性连锁变化时，属性间关联建模（GDN/图神经网络、ClozeLSTM）更具优势。

混合模型（RF + LSTM-AE，SWaT）

模型	Accuracy	F1
Random Forest（已知攻击）	92%	89%
LSTM Autoencoder（未知异常）	95%	93%
混合融合（RF + LSTM-AE）	97%	96%

结论：有监督（已知攻击模式）+ 无监督（未知异常）混合检测是工程化落地最优路径之一。

云化检测（CloudPAD / ClozeLSTM）

• ClozeLSTM：带前视预测（lookahead）的 LSTM，比注意力基线 PR-AUC 平均提升 ≥2.4%，支持云端部署的远程推理（U Calgary, 2024）；
• 应对跨传感器关联攻击：利用其他传感器/执行器特征预测未来状态，攻击者篡改单一特征难以绕过。

四、算法选型决策树（产品落地建议）

场景：已知攻击模式较多（有标签数据）  →  随机森林/XGBoost（有监督）做兜底
场景：未知威胁、无标签             →  无监督自编码器族（VAE/LSTM-AE/USAD）
场景：跨传感器关联攻击（物理连锁）  →  图神经网络（GDN）/ ClozeLSTM（跨特征预测）
场景：单点脉冲攻击（瞬时异常）      →  重建误差类方法（InterFusion/RANSynCoder）
在线约束：低延时           →  LSTM-ED/USAD 类推理轻量模型
训练约束：样本少            →  40% 训练集可用 + 迁移学习/预训练

五、评价指标要点

• ICS 评测普遍采用 Point-Adjust（PA）F1（段内任一点检出即整段计分）——标准论文做法；
• 除 F1 外需报告：PR-AUC、ROC-AUC、误报率（工控环境误报代价极高）；
• 真实部署必须考虑类不平衡（正常88% vs 攻击12%）。

六、开源资源

• IEEE IES Industrial-AI-Lab：SWaT 异常检测教程（LSTM-AE + PA 评测全流程）
• GitHub：Sajatronic/SWaT-Anomaly-Detection-Industrial-IoT（VAE/USAD/LSTM-AE/IF/OCSVM/K-Means 多模型实现）
• GitHub：Tahirahmad1002/Hybrid-ML-Anomaly-Detection-SWaT（RF+LSTM-AE 混合实现）

七、来源引用

1. PMC9921147：A Comparative Study of Time Series Anomaly Detection Models for ICS（2023, DOI: 10.3390/s23052415）
2. 李昊璋 等：《通信技术》2020 年第11期《工控入侵检测》（LSTM vs OCSVM/IF/MP，SWaT）
3. Mathur & Tippenhauer: SWaT: A Water Treatment Testbed（IEEE IES 2016）
4. U Calgary：Managed Anomaly Detection for ICS（CloudPAD/ClozeLSTM）
5. IEEE Access 2021：Industrial and Critical Infrastructure Security 综述（DOI: 10.1109/ACCESS.2021.3133348）