(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211244198.9 (22)申请日 2022.10.12 (71)申请人 北京安帝科技有限公司 地址 100080 北京市海淀区西四环北路158 号1幢9层9H -5-1 (72)发明人 周磊　姜双林　韩洋　 (74)专利代理 机构 北京星通盈泰知识产权代理 有限公司 1 1952 专利代理师 葛战波 (51)Int.Cl. G06K 9/62(2022.01) G06N 3/04(2006.01) G06N 3/08(2006.01) G06F 16/33(2019.01) G06F 16/35(2019.01) (54)发明名称 面向海量工控网络日志数据的异常事件挖 掘方法及系统 (57)摘要 本发明涉及面向海量工控网络日志数据的 异常事件挖掘方法及系统， 其特征在于， 包括以 下步骤： S1： 根据历史日志信息， 建立专业语料 库； S2： 构建异常事件挖掘模型， 并将语料库输入 所述异常事件挖掘模型训练； S3： 将上文日志数 据输入训练好的异常事件挖掘模 型， 并输出预测 结果； S4： 将所述预测结果与下文日志数据进行 比较， 得到异常事件挖掘结果。 本发明所提供的 面向海量工控网络日志数据的异常事件挖掘方 法及系统， 能够对工控网络的日志信息进行解 析， 从而建立一个专业语料库， 并将该专业语料 库作为训练集， 训练一个基于长短期记忆神经网 络的异常事件挖掘模型， 进而能够根据该模型对 日志序列进行预测， 进而根据预测结果， 来判断 日志的异常事 件。 权利要求书2页 说明书6页 附图2页 CN 115329900 A 2022.11.11 CN 115329900 A 1.面向海量工控网络日志数据的异常事 件挖掘方法， 其特 征在于， 包括以下步骤： S1： 根据历史日志信息， 建立专业语料库； S2： 构建异常事 件挖掘模型， 并将语料库输入所述异常事 件挖掘模型训练； S3： 将上文日志数据输入训练好的异常事 件挖掘模型， 并输出 预测结果； S4： 将所述预测结果与下文日志数据进行比较， 得到异常事 件挖掘结果。 2.根据权利要求1所述的面向海量工控网络日志数据的异常事件挖掘方法， 其特征在 于， 所述S1包括： S11： 提取部分正常历史日志信息； S12： 对所述 正常历史日志信息中的每一条日志数据进行状态编码； S13： 将所述 正常历史日志信息的状态编码结果 生成专业语料库。 3.根据权利要求2所述的面向海量工控网络日志数据的异常事件挖掘方法， 其特征在 于， 所述S12包括： S121： 读取 所述正常历史日志信息， 并将所述 正常历史日志信息转 化为状态序列； S122： 逐一比较所述状态序列中每一条日志数据的最大公共部分， 若所述最大公共部 分长度大于所在日志数据长度的一半， 将所述最大公共部分作为一类状态， 并赋予状态编 码； S123： 利用状态编码， 对所述状态序列中的每一条日志数据进行 标记。 4.根据权利要求3所述的面向海量工控网络日志数据的异常事件挖掘方法， 其特征在 于， 所述异常事件挖掘模型为长短期记忆神经网络模 型， 包括多个LSTM单元， 每个所述LSTM 单元的输出门后均设置有全连接层， 用于 输出对应LSTM单 元的时间步输出 结果。 5.根据权利要求4所述的面向海量工控网络日志数据的异常事件挖掘方法， 其特征在 于， 所述S3包括： S31： 对所述上文日志数据进行状态编码处 理； S32： 将状态编码处理后的上文日志数据输入所述异常事件挖掘模型， 并通过所述异常 事件挖掘模型的全连接层输出 预测结果。 6.根据权利要求5所述的面向海量工控网络日志数据的异常事件挖掘方法， 其特征在 于， 所述S4中 “将所述预测结果与下文日志数据进行比较 ”包括： S41： 比较所述预测结果与所述下文日志数据的差异值， 并比较差异值与预设阈值之间 的大小关系。 7.面向海量工控网络日志数据的异常事 件挖掘系统， 其特 征在于， 包括： 语料库构建模块， 用于配置安全策略并生成安全策略配置文件； 异常事件挖掘模型训练模块， 用于构建异常事件挖掘模型， 并将语料库输入所述异常 事件挖掘模型训练； 异常预测模块， 用于将上文日志数据输入训练好的异常事件挖掘模型， 并输出预测结 果； 结果比较模块， 用于将所述预测结果与下文日志数据进行比较， 得到异常事件挖掘结 果。 8.根据权利要求7所述的面向海量工控网络日志数据的异常事件挖掘系统， 其特征在 于， 所述语料库构建模块包括：权　利　要　求　书 1/2 页 2 CN 115329900 A 2历史日志信息提取子模块， 用于提取部分正常历史日志信息； 状态编码子模块， 用于对所述 正常历史日志信息中的每一条日志数据进行状态编码； 语料库生成子模块， 用于将所述 正常历史日志信息的状态编码结果 生成专业语料库。 9.根据权利要求8所述的面向海量工控网络日志数据的异常事件挖掘系统， 其特征在 于， 所述状态编码子模块包括： 状态序列转化单元， 用于读取所述正常历史日志信息， 并将所述正常历史日志信息转 化为状态序列； 状态编码赋予单元， 用于逐一比较所述状态序列中每一条日志数据的最大公共部分， 若所述最大公共部 分长度大于所在日志数据长度的一半， 将所述最大公共部分作为一类状 态， 并赋予状态编码； 日志数据标记单元， 用于利用状态编码， 对所述状态序列中的每一条日志数据进行标 记。 10.根据权利要求9所述的面向海量工控 网络日志数据的异常事件挖掘系统， 其特征在 于， 所述异常预测模块包括： 数据预处 理子模块， 用于对所述上文日志数据进行状态编码处 理； 结果输出子模块， 用于将状态编码处理后的上文日志数据输入所述异常事件挖掘模 型， 并通过 所述异常事 件挖掘模型的全连接层输出 预测结果。权　利　要　求　书 2/2 页 3 CN 115329900 A 3