论文标题：Unsupervised Learning Approach for Anomaly Detection in Industrial Control Systems

论文链接：https://www.mdpi.com/2571-5577/7/2/18

期刊名：Applied System Innovation (ASI)

期刊主页：https://www.mdpi.com/journal/asi

1. 引言

工业控制系统（ICS）广泛应用于制造、能源、水处理和交通等关键领域，负责监测并控制真实的工业过程。随着工业设备联网程度提高，系统面临的网络攻击、设备故障和异常操作风险也随之增加。传统的监督式机器学习通常依赖大量已标注的数据，而工业现场的数据可能受到安全限制，异常样本也难以提前收集和标记。因此，如何在缺少预先标注数据的情况下，从复杂、多源的工业运行数据中及时发现异常，是本文关注的核心问题。作者提出一种基于无监督学习的异常检测方法，将运行模式预聚类与CNN-LSTM复合自编码器的时序重建流程深度结合，尝试识别不同传感器数据测点（tag）的异常变化，并为操作人员提供异常测点、发生时间及数值等信息。

2. 材料与方法

研究采用 HAI（HIL-based augmented ICS）数据集。该数据集通过硬件在环（HIL）仿真构建工业控制场景，包含锅炉、涡轮机和水处理等模块。该数据由 59 个传感器每秒采集一次，持续 4 天，期间在环仿真环境下注入的28次模拟工业攻击。研究使用 HAI 22.04 版本的六个训练文件，每个文件含 87 列，将数据合并后移除 attack 标签列，保留 86 个运行变量，以探索不依赖预先攻击标签的检测方式。预处理包括将数值缩放至 [0,1] （基于训练集统计量完成归一化，未引入测试集信息）、利用主成分分析（PCA）进行特征降维（降至 3 维），以及通过 K-means 对变化模式相似的数据进行聚类（按 SSE 拐点确定为 6 个簇，各簇包含的测点数分别为 41、26、9、6、3、1）。随后以 3600 秒为窗口计算均值、标准差、斜率和截距等统计特征，并将聚类后的测点数据输入复合自编码器。模型结合卷积神经网络（CNN）与长短期记忆网络（LSTM），通过重建误差和阈值判断异常。

图 1 所提出方法的整体流程图（引用自原文 Figure 2）

3. 分析与结果

实验首先评估模型对聚类类别的区分能力。第 4 类精确率为 0.96；第 1 类召回率达到 0.96。各类别的 F1 分数均高于 0.86，整体分类准确率约为 0.93。需要说明的是，这些指标衡量的是模型对聚类类别的归类能力，并非异常检测本身的检出率。这些结果表明，模型能够较好地区分聚类后的数据模式。研究还通过人为修改数据，检验模型对不同异常情形的响应能力。第一类实验在3600 秒数据内的一个变量中连续 3 秒改变数据值，用于模拟短时传感器异常；第二类实验分别在两个不同测点各修改一个数据点，以模拟多变量异常；第三类实验只改变单个测点中的一个数据点，用于检验模型识别微小离群值的能力。论文报告，模型能够识别超过阈值的异常值，并输出对应的测点名称、时间戳和数值。研究的重点不只是判断某个样本是否异常，还包括将异常定位到具体的工业数据测点，帮助操作人员进一步排查。

4. 讨论

本文的主要价值在于将无监督学习应用于工业控制系统中难以提前标注的运行数据，并尝试兼顾数据数值特征与时间变化特征。K-means 聚类用于归纳具有相似变化模式的测点，复合自编码器则学习这些数据的重建规律，再通过阈值识别偏离正常模式的行为。CNN 与 LSTM 的结合使模型能够同时提取局部特征并建模时间序列中的变化关系。与只给出整体告警的检测方式相比，输出测点、时间和数值有助于缩小排查范围。

与此同时，实验中的异常由人工注入，能够说明方法对所测试异常的响应能力，但并不能完全代表真实工业网络中复杂、隐蔽且持续变化的攻击。实际部署还需要关注误报率、阈值如何设定、不同设备和工况变化对模型的影响，以及系统在现场环境中的实时运行表现。

5. 展望与结论

本文提出了一套结合聚类与复合自编码器的工业控制系统异常检测流程，并在 HAI 数据集上开展分类评估及单变量、多变量和单点异常实验。研究结果显示，该方法能够识别多种被测试的异常变化，并为操作人员提供较具体的异常定位信息，为在缺少标注数据的工业环境中开展主动监测提供了思路。未来工作可在更丰富的工业数据和真实运行环境中验证模型，评估不同攻击类型、设备差异及工况切换下的稳定性；同时应系统报告检测率、误报率、检测延迟和计算开销，并研究阈值自适应调整及与现有工业安全告警系统的集成。只有在更广泛的场景中完成验证，才能进一步判断该方法对实际工业运营安全和可靠性的贡献。

Choi, W.-H.; Kim, J. Unsupervised Learning Approach for Anomaly Detection in Industrial Control Systems. Appl. Syst. Innov. 2024, 7, 18.

期刊介绍

主编：Prof. Dr. Christos Douligeris, University of Piraeus, Greece

Applied System Innovation (ASI, ISSN 2571-5577) 是一个聚焦于集成工程与技术，经同行评审的国际性开放获取期刊。该期刊由国际知识创新和发明学会 (IIKII) 所有，由MDPI以月刊的形式在线出版。目前期刊已被Ei Compendex、Scopus、ESCI (Web of Science) 等重要数据库收录。

期刊致力于发表应用系统创新方面的研究成果，最终目标是发现与未来设计相关的新型学科知识，促进一系列行业技术的发展。期刊欢迎对应用系统创新感兴趣的研究者提交原创性研究论文和综述文章。

2025 Impact Factor：3.4

2025 CiteScore：9.0

Time to First Decision：21.3 Days

Acceptance to Publication：4.5 Days