摘 要 分析了基于數(shù)據(jù)和基于模型的兩類工控系統(tǒng)生產(chǎn)過程異常檢測方法的優(yōu)缺點。針對化工生產(chǎn)過程中工況參數(shù)變量之間的變化隨工藝裝置與生產(chǎn)條件而變化的實際，提出基于工藝生產(chǎn)模型的特征變量模型，并結(jié)合模糊C均值聚類算法對化工生產(chǎn)過程異常數(shù)據(jù)進行檢測，基于TE模型的4個場景的仿真結(jié)果驗證了該方法的有效性。

關(guān)鍵詞 異常數(shù)據(jù)檢測 工控系統(tǒng)安全 模型分析 數(shù)據(jù)挖掘 聚類檢測

中圖分類號 TP274" "文獻標(biāo)志碼 A" "文章編號 1000-3932（2024）06-1028-07

2010年“震網(wǎng)”病毒事件發(fā)生后，針對工控系統(tǒng)的入侵與攻擊檢測、防護成為工控系統(tǒng)網(wǎng)絡(luò)安全領(lǐng)域的一個重要研究方向。相比傳統(tǒng)互聯(lián)網(wǎng)信息系統(tǒng)，為提高系統(tǒng)的實時性和可靠性，在工控系統(tǒng)網(wǎng)絡(luò)中設(shè)計者將傳統(tǒng)網(wǎng)絡(luò)的信息層和物理層進行了融合，因此對于工控系統(tǒng)的入侵與攻擊，攻擊者不僅可以通過攻擊工控系統(tǒng)本身來引發(fā)系統(tǒng)混亂，也可以在攻入工控系統(tǒng)的信息系統(tǒng)后通過篡改控制指令來改變生產(chǎn)工況，破壞生產(chǎn)過程，甚至損毀系統(tǒng)設(shè)備，因此工控系統(tǒng)的異常檢測對于工業(yè)生產(chǎn)過程的安全非常重要。近年來，一些學(xué)者提出了基于系統(tǒng)模型的異常檢測方法，文獻［1］基于工控系統(tǒng)元件的機理構(gòu)建數(shù)學(xué)模型，通過優(yōu)化辨識模型參數(shù)，實現(xiàn)動態(tài)建模，在此基礎(chǔ)上引入零動態(tài)概念，設(shè)計了集中式和分布式攻擊檢測過濾器，進而實現(xiàn)對典型攻擊和異常的檢測；文獻［2］提出一種用于非線性系統(tǒng)自動故障檢測的自適應(yīng)高斯混合模型（Adaptive Gaussian Mixture Model，AGMM），利用高斯混合模型回歸（Gaussian Mixture Model Regression，GMMR）技術(shù)對非線性系統(tǒng)進行建模，并將該技術(shù)與無跡卡爾曼濾波（Unscented Kalman Filter，UKF）集成，然后基于觀測值和模型預(yù)測值之間的殘差反饋辨識模型參數(shù)。這類基于模型方法的缺點是對模型的有效性和精確性要求較高。也有學(xué)者提出了基于知識的異常檢測方法，文獻［3］提出基于狀態(tài)遷移圖的異常檢測方法，將系統(tǒng)的運行狀態(tài)通過相鄰數(shù)據(jù)向量間的余弦相似度和歐氏距離進行表征，然后利用新檢測點對應(yīng)狀態(tài)相對狀態(tài)遷移圖的位置或已有檢測點前一狀態(tài)到當(dāng)前狀態(tài)的可達性，判定系統(tǒng)的兩類異常；文獻［4］提出一種利用多維度量判斷系統(tǒng)是否異常的方法，該多維度量指標(biāo)提供了給定狀態(tài)與臨界狀態(tài)集之間的曼哈頓距離、差異距離等參數(shù)度量，用于跟蹤系統(tǒng)的演變，揭示給定狀態(tài)與臨界狀態(tài)集的接近度。然而，需要依賴大量難以獲取的經(jīng)驗和過程知識是此類基于知識方法的主要缺點。此外，還有學(xué)者提出基于數(shù)據(jù)驅(qū)動的異常檢測方法，文獻［5］提出基于多尺度主元分析（Principal Components Analysis，PCA）的正弦攻擊檢測方法，該方法將基于小波變換提取的信號多尺度特征與主元分析結(jié)合獲得的各個尺度的控制限作為異常檢測的依據(jù)；文獻［6］提出一種多變量指數(shù)加權(quán)滑動平均結(jié)合主元分析的檢測方法，用于實現(xiàn)化工生產(chǎn)過程中的微小異常檢測，該方法通過構(gòu)建新的PCA模型T 2和Q統(tǒng)計量，并建立相應(yīng)的統(tǒng)計限，分析各變量的統(tǒng)計性能指標(biāo)及影響因素。聚類作為數(shù)據(jù)挖掘的一種重要分析方法，也常被用于進行異常檢測研究，文獻［7］針對化工生產(chǎn)數(shù)據(jù)在線異常檢測準(zhǔn)確性低的情況，提出基于動態(tài)增量信息熵的聚類算法，實現(xiàn)對生產(chǎn)數(shù)據(jù)的在線異常檢測；文獻［8］提出一種相關(guān)分析法-聚類-支持向量描述（Support Vector Data Description，SVDD）方法，用于煉化裝置中檢測儀表與執(zhí)行機構(gòu)的異常檢測，該方法利用k-means算法對所辨識的多組有限脈沖響應(yīng)函數(shù)模型參數(shù)矩陣進行聚類分析，以選取SVDD超球體的訓(xùn)練集，最后基于訓(xùn)練后的SVDD超球體對在線識別的模型參數(shù)進行異常檢測。這類基于數(shù)據(jù)驅(qū)動的方法的主要問題是對生產(chǎn)過程中的動態(tài)變化缺乏適應(yīng)性。

總結(jié)上述研究工作可知，針對工控系統(tǒng)異常數(shù)據(jù)檢測的研究已經(jīng)取得一定成果。然而，這些研究還存在一些不足，首先大多數(shù)異常檢測方法將工業(yè)生產(chǎn)過程視為一種常量化過程，無法區(qū)分生產(chǎn)中常見的原料變化（如組分、濃度、未反應(yīng)物循環(huán)利用等）等干擾引起的工況波動；其次多數(shù)方法只停留在信息層的數(shù)據(jù)包或者單一生產(chǎn)裝置物理過程數(shù)據(jù)的應(yīng)用，未充分考慮物理空間中各生產(chǎn)工藝單元之間是耦合級聯(lián)反應(yīng)的情況。針對上述問題，筆者以TE模型為對象，將模型分析與數(shù)據(jù)挖掘相結(jié)合，提出一種基于模型分析的化工生產(chǎn)過程異常數(shù)據(jù)聚類檢測方法，以生產(chǎn)過程模型為依據(jù)，對異常數(shù)據(jù)聚類分析進行模型回歸，以期提高異常檢測的準(zhǔn)確性。

1 TE過程

1.1 TE模型

TE模型是一個復(fù)雜過程控制系統(tǒng)的仿真模型［9］，具有復(fù)雜性、多變量、非線性、動態(tài)性、交互性等特征，在化工工程領(lǐng)域的監(jiān)控系統(tǒng)設(shè)計、系統(tǒng)優(yōu)化、故障診斷等方面應(yīng)用廣泛。

TE過程通常包括反應(yīng)器、冷凝器、氣液分離器、循環(huán)壓縮機和汽提塔5個單元，涉及8種成分，其中包括4種氣態(tài)反應(yīng)物（A、C、D、E）、一種惰性成分（B）、生成的兩種產(chǎn)品（G和H）和一種副產(chǎn)物（F）。反應(yīng)物在反應(yīng)器內(nèi)進行反應(yīng)，反應(yīng)過程放熱且不可逆，化學(xué)反應(yīng)方程式［9］如下：

" " A（g）+C（g）+D（g）→G（l）

" " A（g）+C（g）+E（g）→H（l）

" " "A（g）+E（g）→F（l）

" " " 3D（g）→2F（l）

其中，g表示氣體，l表示液體。

TE過程的主要化工生產(chǎn)流程如圖1所示［10］。首先，氣態(tài)反應(yīng)物（A、C、D、E）匯聚后進入反應(yīng)器并發(fā)生化學(xué)反應(yīng)。生成的產(chǎn)品（G和H）、副產(chǎn)物（F）和部分未反應(yīng)完全的反應(yīng)物以氣相形式進入冷凝器，經(jīng)冷凝器冷卻后得到氣液兩相混合物。接著上述混合物被送入氣液分離器進行分離處理。然后，分離的氣體和液體通過兩種流向進行不同的處理，其中，分離的氣體通過循環(huán)壓縮機被重新送入反應(yīng)器，而分離的液體則被送入汽提塔進行后續(xù)處理。在汽提塔中，圖1流10中所包含的剩余反應(yīng)物將被進料流4剝離并通過循環(huán)管道重新送入反應(yīng)器，而液體產(chǎn)品（G和H）則從汽提塔底部排出，并在下游進行處理，此部分則不再包含于TE過程。同時，為避免惰性成分B以及副產(chǎn)物F堆積，從氣液分離器中分離并進入再循環(huán)的部分氣體將通過流9排放［9］。

1.2 控制方案與場景特征分析

基于TE過程機理，反應(yīng)器溫度控制回路可表示為圖2所示的結(jié)構(gòu)，TE過程中的反應(yīng)器溫度的基本控制原理是：PID控制器以反應(yīng)器溫度給定值與測量值的偏差作為輸入，通過PID控制器調(diào)整反應(yīng)器冷凝水流量輸出。冷凝水流量的變化將對反應(yīng)器冷凝水出口閥門的開度產(chǎn)生影響，并進一步影響反應(yīng)器冷凝水的出口溫度。該出口溫度的變化通過影響反應(yīng)器內(nèi)的熱交換速率對反應(yīng)器內(nèi)能產(chǎn)生影響，進而反映到反應(yīng)器溫度的變化，最終實現(xiàn)對反應(yīng)器溫度設(shè)定值的跟蹤控制。

當(dāng)反應(yīng)器溫度出現(xiàn)異常時，將形成圖3所示的異常傳播路徑。

基于圖3所示的異常傳播路徑，當(dāng)反應(yīng)器溫度T■發(fā)生異常時，TE過程場景的特征變量值也將隨之改變，具體的特征變量及其變化如下。

a. 反應(yīng)器壓力p■?；赥E模型，p■受反應(yīng)器溫度T■影響的表達式為：

p■=■■+■x■A■+■（2）

其中，N■為成分i在反應(yīng)器中的物質(zhì)的量含量；R為氣體常數(shù)；V■為反應(yīng)器體積；V■為反應(yīng)器液位/液體體積；x■為反應(yīng)器液相中成分i的物質(zhì)的量百分?jǐn)?shù)；A■、B■、C■為成分i的常系數(shù)。

b. 反應(yīng)器液位V■。T■的變化引起反應(yīng)器內(nèi)液體密度ρ■的變化，進而影響V■，表達式為：

■

其中，MW■表示成分i的分子量；AD■、BD■和

CD■分別為成分i的密度公式常系數(shù)。

c. 分離器液位V■。T■的變化引起分離器溫度變化及液體密度ρ■的變化，并最終影響V■，表達式為：

■

其中，N■為成分i在分離器中的物質(zhì)的量含量；x■為反應(yīng)器液相中成分i的物質(zhì)的量百分?jǐn)?shù)；T■表示離開冷凝器的混合物的溫度。

d. 汽提塔液位V■。T■的變化引起分離器溫度變化，并進一步影響汽提塔溫度T■和液體密度ρ■，最終導(dǎo)致V■改變，具體如下：

■

其中，N■為成分i在汽提塔中的物質(zhì)的量含量；x■為汽提塔液相中成分i的物質(zhì)的量百分?jǐn)?shù)。

e. 產(chǎn)品質(zhì)量比y■。T■的變化引起分離器壓力變化，最終對y■產(chǎn)生影響，具體如下：

y■=■（6）

其中，K■、K■和K■為常數(shù)項；VP■為放空閥位置（流9）；p■為分離器壓力；y■為蒸汽流6中成分i的物質(zhì)的量百分?jǐn)?shù)。

f. 生產(chǎn)率F■。T■的變化導(dǎo)致分離器溫度變化，并進一步影響汽提塔液體密度ρ■，最終影響F■，具體為：

F■=■（7）

其中，VP■為汽提塔底流閥門位置；F■為汽提塔底流閥門額定流量；K■為常數(shù)項。

2 模糊C均值聚類算法

聚類是通過計算數(shù)據(jù)點之間的相似度或距離將原始數(shù)據(jù)集劃分為多個具有相似特征的類或簇，其目標(biāo)是尋找數(shù)據(jù)中的內(nèi)在結(jié)構(gòu)，使得同類數(shù)據(jù)具備高相似性，不同類數(shù)據(jù)具備高差異性。

聚類方法可劃分為硬聚類和模糊聚類兩種。前者將數(shù)據(jù)嚴(yán)格地劃分為某一類；后者在聚類分析中應(yīng)用了模糊的概念，基于隸屬度進行劃分，數(shù)據(jù)可在不同程度上隸屬于多個類，其隸屬于各類別的隸屬度值在［0，1］區(qū)間，模糊聚類對分離性較差的數(shù)據(jù)具有良好的適用性，可對數(shù)據(jù)隸屬于不同類別的不確定度進行描述。

文獻［11］提出一種基于目標(biāo)函數(shù)的模糊C均值（Fuzzy C-Means，F(xiàn)CM）聚類算法，該算法的目標(biāo)函數(shù)為各類數(shù)據(jù)與其所屬聚類中心的相似度總和。以一個給定數(shù)據(jù)集X =（x■，x■，…，x■）■為例，假設(shè)其可基于FCM算法得到聚類中心集合C=（c■，c■，…，c■）■，其中，下角c表示聚類中心數(shù)量。相應(yīng)的隸屬度矩陣為U，元素u■表征數(shù)據(jù)x■隸屬于c■的隸屬度，滿足：

u■∈［0，1］，？坌i，j■u■=1 ，？坌i（8）

通過使目標(biāo)函數(shù)J（U，C）值達到最小，以獲得最優(yōu)的聚類效果［11］，即：

min{J（U，C）}=min■■（u■）■（d■）■（9）

其中，m為模糊加權(quán)指數(shù)；d■=||x■-c■||表示數(shù)據(jù)x■與聚類中心c■的歐氏距離。

通過拉格朗日乘子法可求解得到聚類中心c■和隸屬度u■：

c■=■（10）

u■=■（11）

相應(yīng)的FCM算法步驟如下：

a. 初始化聚類中心數(shù)量c和模糊加權(quán)指數(shù)m；

b. 基于式（8）的約束條件，初始化隸屬度矩陣U；

c. 利用式（10）更新聚類中心C；

d. 利用式（11）更新隸屬度矩陣U；

e. 比較迭代前后的隸屬度矩陣U，若‖u■■-

u■■‖＜ε則表明目標(biāo)函數(shù)已收斂，停止迭代，否則轉(zhuǎn)向步驟c。

3 異常檢測方案設(shè)計

基于FCM算法的化工生產(chǎn)過程異常數(shù)據(jù)檢測包括兩個過程，即用于確定場景中心和場景模型的離線建模過程，以及用于檢測實時樣本數(shù)據(jù)是否異常的在線檢測過程。

3.1 離線建模

離線建模過程通過對化工生產(chǎn)過程的樣本數(shù)據(jù)集進行訓(xùn)練，確定TE過程中各場景中心和場景模型，建立異常數(shù)據(jù)檢測系統(tǒng)。主要步驟如下。

a. 數(shù)據(jù)標(biāo)準(zhǔn)化。數(shù)據(jù)標(biāo)準(zhǔn)化預(yù)處理的主要作用是消除不同變量之間的量綱影響。首先，采集對反應(yīng)器溫度參數(shù)施加異常后的TE過程數(shù)據(jù)集X，并根據(jù)式（2）～（7）生成用于離線訓(xùn)練的數(shù)據(jù)集X′。然后利用z-score方法計算數(shù)據(jù)集X′內(nèi)樣本數(shù)據(jù)的均值μ■和標(biāo)準(zhǔn)差σ■，對樣本數(shù)據(jù)進行標(biāo)準(zhǔn)化得到x′■：

μ■=■■x■

σ■=■（12）

x′■=■

其中，x■和x′■分別表示執(zhí)行標(biāo)準(zhǔn)化處理前后的樣本數(shù)據(jù)。

b. 樣本數(shù)據(jù)隸屬度值初始化?；谑剑?）約束條件，對樣本數(shù)據(jù)隸屬度值初始化。

c. 聚類中心計算。利用式（10）計算新的聚類中心，并更新聚類中心集合C。

d. 隸屬度值計算。利用式（11）計算新的隸屬度值，并更新隸屬度矩陣U。

e. 迭代終止判定。當(dāng)‖u■■-u■■‖＜ε或Lgt;L■（其中，L為迭代次數(shù)，L■為最大迭代次數(shù)）時，停止迭代，并執(zhí)行步驟f；否則重新執(zhí)行步驟c。

f. 最終場景中心和場景模型確定。通過標(biāo)類TE過程中的不同場景，確定各個場景的聚類中心以及相應(yīng)的場景模型。

3.2 在線檢測

在線檢測過程計算實時采樣工控數(shù)據(jù)隸屬于各個場景的隸屬度值，通過判別該工況數(shù)據(jù)所隸屬的場景以檢測是否存在異常。具體步驟如下：

a. 數(shù)據(jù)采集及標(biāo)準(zhǔn)化處理。在線采集TE過程中的實時工況數(shù)據(jù)，根據(jù)式（2）～（7），構(gòu)建實時樣本數(shù)據(jù)集，并進行標(biāo)準(zhǔn)化處理，方法同離線建模。

b. 隸屬度值計算。根據(jù)式（11）計算實時樣本數(shù)據(jù)隸屬于TE過程中各個場景的隸屬度值。

c. 檢測結(jié)果判定。基于步驟b中所有場景隸屬度值構(gòu)成的隸屬度集合M，將樣本數(shù)據(jù)判定為M中最大隸屬度值所對應(yīng)的場景。

4 實驗仿真

4.1 實驗方案設(shè)計

為驗證本方案的有效性，設(shè)計如下4種場景。

場景1，正常運行。該場景特征為TE過程各個過程變量的波動率Δ小于閾值δ，即：

Δ＜δ（13）

場景2，生產(chǎn)不穩(wěn)定。該場景特征為TE過程產(chǎn)品質(zhì)量比r■或生產(chǎn)率r■關(guān)于兩者對應(yīng)期望值的變化率分別超過對應(yīng)閾值δ■和δ■，即：

■＞δ■或■＞δ■（14）

其中，R■為產(chǎn)品質(zhì)量比期望值，R■為生產(chǎn)率期望值。

場景3，產(chǎn)線停機。特征為TE過程中反應(yīng)器的溫度、壓力和液位3個變量以及分離器液位變量和汽提塔液位變量值f（t）超出正常生產(chǎn)波動范圍［f■，f■］，即：

f（t）？埸［f■，f■］（15）

場景4，災(zāi)難。特征為反應(yīng)器實際壓力p■超出正常值p■的k倍，即：

p■≥kp■（16）

在TE過程中，當(dāng)實時樣本數(shù)據(jù)被判定為產(chǎn)線停機場景時，反應(yīng)器可能已經(jīng)受到威脅，此時應(yīng)該立即停機并報警；當(dāng)實時樣本數(shù)據(jù)被判定為災(zāi)難場景時，反應(yīng)器隨時可能突發(fā)爆炸事故，此時除必須立即停機并報警外，還應(yīng)馬上組織疏散人員，確保安全。

對于場景1，取δ=5%；對于場景2，取δ■=δ■=5%；對于場景3，5個過程變量約束值范圍見表1；對于場景4，取k=3。

4.2 結(jié)果與討論

基于TE過程4個場景數(shù)據(jù)訓(xùn)練獲取的場景中心需要利用關(guān)鍵特征對聚類結(jié)果進行標(biāo)類，以確定各個場景中心，進而實現(xiàn)對實時樣本數(shù)據(jù)的異常檢測。標(biāo)類結(jié)果見表2，相應(yīng)的檢測結(jié)果見表3。

從表3的檢測結(jié)果可以看出，筆者算法取得了極高的準(zhǔn)確率，同時具備較低的誤報率和漏報率，僅對場景3的漏報率為4.86%，說明了本方案的有效性，但同時也需要對場景3的特征和算法進行進一步細化研究。

5 結(jié)束語

針對化工生產(chǎn)過程中的異常數(shù)據(jù)檢測問題，以TE模型為對象，提出了一種基于FCM算法的異常數(shù)據(jù)檢測方法。該方法將模型分析與數(shù)據(jù)挖掘相結(jié)合，針對TE過程可能存在的4種場景，基于FCM算法并利用數(shù)據(jù)間的相似度關(guān)系確定4個場景的聚類中心和場景模型。在線檢測時實時采樣并計算工控數(shù)據(jù)相對于各個場景聚類中心的隸屬度值，并根據(jù)“隸屬度最大”原則進行場景決策，從而實現(xiàn)化工生產(chǎn)過程中異常數(shù)據(jù)的檢測?；赥E過程的實驗仿真結(jié)果顯示，筆者方法具有較高的準(zhǔn)確率和較低的誤報率、漏報率，為化工生產(chǎn)過程異常數(shù)據(jù)檢測提供了一種新的思路和方法，具有一定的理論和應(yīng)用價值。

參 考 文 獻

［1］" " 張環(huán)宇，陳凱.基于零動態(tài)的工控系統(tǒng)攻擊檢測識別安全模型［J］.計算機工程，2017（10）：104-109.

［2］" " KARAMI M，WANG L.Fault detection and diagnosis for nonlinear system：A new adaptive Faussian mixture modeling approach［J］.Energy amp; Building，2018，166：S0378778817326452.

［3］" " 呂雪峰，謝耀濱.一種基于狀態(tài)遷移圖的工控系統(tǒng)異常檢測方法［J］.自動化學(xué)報，2018，44（9）：1662-1671.

［4］" "CARCANO A，COLETTA A，GUGLIELMI M，et al.A Multidimensional Critical State Analysis for Detecting Intrusions in SCADA Systems［J］.IEEE Transactionson on Industrial Informatics，2011，7（2）：179-186.

［5］" " 劉大龍，馮冬芹.采用多尺度主成分分析的控制系統(tǒng)欺騙攻擊檢測［J］.浙江大學(xué)學(xué)報（工學(xué)版），2018，52（9）：1738-1746.

［6］" " 葛志強，楊春節(jié)，宋執(zhí)環(huán).基于MEWMA-PCA的微小故障檢測方法研究及其應(yīng)用［J］.信息與控制，2007，36（5）：124-130.

［7］" " 姬威.數(shù)據(jù)流聚類分析及其異常檢測方法研究［D］.北京：北京化工大學(xué)，2015.

［8］" " 王珠，吳巖松，王少賢，等.煉化裝置中檢測儀表與執(zhí)行機構(gòu)的異常診斷［J］.化工自動化及儀表，2023，50（1）：88-94.

［9］" "DOWNS J J， VOGEL E F. A plant-wide industrial process control problem［J］.Computers amp; Chemical Engineering，1993，17（3）：245-255.

［10］" " 孫四通，李師慶.基于DGLPP-SVDD算法的化工過程故障檢測［J］.化工自動化及儀表，2024，51（2）：310-318.

［11］" " PAL N R， BEZDEK J C.On cluster validity for the fuzzy c-means model［J］.IEEE Transactions on Fuzzy Systems，1995，3（3）：370-379.

（收稿日期：2023-11-25，修回日期：2024-04-13）

Abnormal Data Detection in Chemical Production Based on Model Clustering Algorithm

LI Jun-jie， MA Jun-peng， MA Chun-lei， HE Hai-bo， ZHU Tian-yu， CHEN Ji，"WANG Guang-ping， CUI Peng， CAO Yan-dong

（China Coal Shaanxi Energy and Chemical Industry Group Co.， Ltd.）

Abstract" "Based on the data and model， both advantages and disadvantages of detection methods for two industrial control system’s abnormal operation were analyzed. In view of the fact that the variation of working condition parameter variables varies with process equipment and production conditions in chemical production， a characteristic variable model based on process model was proposed， including having fuzzy C-means clustering algorithm adopted to detect abnormal data in chemical production. The simulation results of four scenes based on TE model verify effectiveness of the method proposed.

Key words" "detecting abnormal data， industrial control system security， model analysis， data mining， clustering detection