基于樣本波形比對的SCADA系統鏈路數據信息檢測方法

劉文涵 田曦 李星宇 梁光明

摘要：本文深入研究工業控制系統中SCADA系統，即數據采集與監控系統的基本原理、鏈路數據特點，總結分析了現有信息檢測、數據分析方法，提出了通過對上、下位機間鏈路數據的采集、處理并制成關鍵信息模板進行比對的方法，建立了基于樣本波形比對的SCADA系統鏈路數據關鍵信息檢測模型，具有自動化程度高、準確性高、能夠有效處理大規模相互關系復雜的數據等優點，并搭建了實驗平臺，驗證了該模型的有效性。

關鍵詞：SCADA系統 鏈路數據 信息檢測 波形比對

中圖分類號：TE973.6 文獻標識碼：A 文章編號：1007-9416（2016）08-0089-02

工業控制系統廣泛的應用于我國電力、水利、污水處理、石油天然氣、化工、交通運輸、制藥以及大型制造行業，其中超過80%的涉及國計民生的關鍵基礎設施依靠工業控制系統來實現自動化作業，工業控制系統已是國家安全戰略的重要組成部分[1]。

數據采集與監控系統，即SCADA（Supervisory Control And Data Acquisition）系統，是工控系統中的重要組成部分，它以計算機為基礎實現對工控系統中現場的運行設備控制，數據監控，測量、參數調節以及各類信號報警等各項功能。研究SCADA系統鏈路信息檢測方法對確保工控系統安全有著重要意義。在已有的檢測方法中，文獻[2，3]中介紹了最早提出的靜態性能數據分析方法——假設檢驗法，如Kolmogorov-Smirnov檢驗、Caemer-VonMises 檢驗等，此類方法準確性較高，但具有自動化程度低，對分析人員能力要求較高等缺點。文獻[4]采用了一種基于支持向量機理論的預測建模分析方法，具有能夠快速確定數據趨勢預測、準確性較高等優點，但缺乏能夠有效處理大規模、相互關系復雜的數據的能力。本文總結分析了現有信息檢測、數據分析方法，提出了基于樣本波形比對的SCADA系統鏈路數據信息檢測方法，具有自動化程度高、準確性較高、能夠有效處理大規模、相互關系復雜的數據等優點，為獲取SCADA系統鏈路數據關鍵信息中提供了有效手段。

1 SCADA系統鏈路數據特點

在生產調度過程中，SCADA系統起到了整個工控系統監視和控制數據傳導的作用，大量的數據在WinCC監控機、PLC控制器和外設3個終端設備不斷傳輸，深入分析SCADA系統鏈路數據特點是實現SCADA系統鏈路信息檢測的基礎性工作。

圖1為工業控制系統中SCADA的監控原理簡圖。SCADA系統實時監視的信息主要來自于PLC、現場的變送器、過程量轉換器、開關、控制閥、執行器等之間交互的數據，信息包括諸如設備型號、監測量、系統組態，報警標識等[5]。這些數據報文的數據量很大，其所攜帶信息量之間的關系也較為復雜，普通的數據分析方法難以滿足對其數據分析的要求。

對通信數據的分析發現，上裝下載直接以明文形式的ASCII碼傳輸。通過實驗能夠識別出PLC型號、硬件組態、外設屬性等信息，檢測出包括通信數據格式和通信時序，獲取讀寫過程中WinCC與PLC之間傳輸的數據內容。

在工業以太網上編程上位機和目標PLC通信數據中，通過不斷比對各個數據包內容，可以發現step7和PLC的物理地址、IP地址等信息。如圖2所示為編程上位機和目標PLC的通信數據包，紅色圓圈為PLC的物理地址為00 1b 1b 8d 79 a6，IP地址為192.168.3.2。藍色圓圈為step7主機的物理地址為28 d2 44 5d 90 4c，對應的IP地址為C0 A8 03 64即192.163.3.100。而數據中的具體操作指令、協議機制等則以二進制代碼形式體現，目前沒有公開通用的方法可以分析此類二進制代碼的具體含義。

通過對SCADA系統鏈路數據特點的分析，為接下來模型的建立及實驗的驗證做好了準備工作。

2 基于樣本波形比對模型的建立

基于樣本波形比對的SCADA系統鏈路數據信息檢測的核心思想，就是利用預先設定好的關鍵信息數據樣本作訓練集，得到訓練模型后，將從內部網絡獲取網絡數據包與訓練模型比對，檢測該數據包中是否含有相同的關鍵信息，其模型如圖3所示。

該模型分為五個部分：第一部分為樣本數據采集，采集感興趣的關鍵鏈路信息數據，如上裝OB塊、下載FC塊、關鍵控制量C等，進行簡單的數據與處理；第二、三部分為對數據進行互相關運算、時間同步，利于接下來的波形比對。當各組數據完成時間同步后，對各組中同一位置的數據求平均值，減少誤差，得到的各個平均值為SCADA系統關鍵信息的數字化，將各平均值用曲線擬合，則構成了能描述SCADA系統關鍵信息的波形圖，即為訓練樣本。第四部分為采用同樣的方法，得到采集PLC與上位機傳輸數據，繪制測試數據的波形圖。最后，將兩個波形圖對比擬合，并計算變化率，就可以得知所采集的數據中是否包含所需要的關鍵信息。

3 基于樣本波形比對法的基本原理

假設設定PLC編程中A為某個關鍵信息量，在采集的數據中，等時間間隔地采取100有效數據為一組，重復采取k組后，得到樣本數據（i=1，2，…k；j=1，2.…，100）。以第一組數據為基準，分別將其他組數據與第一組數據做滑動互相關運算。

是檢測組與樣本對照組的變化率，當于小于5%，可以認為檢測組與樣本對照組完全擬合，即該檢測量為樣本對照組代表的關鍵信息。

4 編程實現及實驗驗證

根據上文提出的SCADA系統鏈路數據信息檢測模型，本文設計了實驗來驗證該模型的準確性。

搭建一個簡單的實驗平臺，包括編程上位機、監視監控主機，可編程邏輯控制器等，通過交換機相連構成工業控制局域網系統。PLC編寫了3個監控量的用戶程序，分別是刪除FC9、下載OB1、上裝FB2，根據模型將刪除FC9的二進制代碼制作了樣本對照組。

首先通過網絡抓包程序，從內部網絡中獲取包含監控量的網絡數據包，根據應用層協議的規則，從二進制數據中提取監控量信息。取100個樣本數據組，代入模型進行分析，得到刪除FC9二進制代碼的對照樣本波形圖，如圖4所示。并將其與測試組的樣本波形圖，如圖5，進行比對，最終通過計算誤差率得到實驗結果如圖6。

通過實驗分析，測試組與樣本組擬合程度達到要求，即數據包中是樣本對照組代表的關鍵信息。比對編寫的PLC用戶程序，確認實驗結果與預先設置相同。

5 結語

本文分析了SCADA系統的基本原理以及其鏈路數據基本特點，研究總結了現有數據分析方法，提出了一種SCADA系統鏈路數據信息檢測方法，建立了基于樣本波形比對法的SCADA系統關鍵信息檢測模型，并搭建了實驗平臺，驗證了檢測模型的有效性。該檢測方法在維護工業控制系統安全、保證工業控制系統定運行方面有一定的參考價值。

參考文獻

[1]王坤.淺談工控系統的安全威脅及防護體系建立[J].信息網絡安全，2013.

[2]T.H. Naylor， J.M. Finger. Verification of Computer Simulation Models.Management Science，1967，14（2）：92～101.

[3]A.V. Gafarian， J.E. Walsh. Statistical Approach for Validating Simulation Modelsby Comparison with Operational Systems. Proceeding of the 4th International Conference on Operations Research， New York， 1969： 702～705.

[4]田萌.基于數據挖掘的復雜仿真數據分析方法研究[D].哈爾濱工業大學，2010.

[5]Li H， Zhu G. Establish and improve Chinas industrial control system information security system[J]. Microcomputer & Its Applications，2015.