工业信息物理系统中信息物理跨域级联故障的预警方法

《Process Safety and Environmental Protection》：Early warning method for cyber-physical cross-domain cascading faults in industrial cyber physical systems

　　

摘要

工业信息物理系统（ICPS）由于网络攻击、异常控制与物理故障的耦合，容易发生跨域级联故障。然而，由于监测能力和告警机制的局限性，在跨域级联过程中，攻击行为、控制逻辑变化以及设备的异常物理状态难以直接观测，无法及时追溯和阻断跨域级联故障。此外，跨域级联故障的演化方向具有高度不确定性，增加了早期预警的难度。针对这一问题，本文提出了一种基于多层知识图谱和GRU-Attention的ICPS跨域级联故障在线早期预警方法。首先，在网络层、攻击层、物理层和后果层构建知识图谱，使用NFA和乘积图搜索跨域级联路径，并将其投影形成可观测路径库。随后，对异构告警进行语义对齐，使用GRU-Attention提取时序特征，并引入路径可达性约束来预测下一个可观测状态。实验结果表明，该方法取得了Top-1、Top-3和Top-5预警准确率分别为73.98%、91.54%和94.85%；与基线模型相比，准确率分别提高了9.26%、9.16%和4.67%。交叉熵损失和Top-3 Brier分数分别降至0.601和0.0451——与最佳基线相比分别降低了32.91%和39.71%——在80次独立实验中，平均预警提前时间增加了86.1秒。

引言

工业信息物理系统（ICPS）整合了感知、通信和控制功能，以实现对关键基础设施过程的实时监测、告警、决策和协同运行（Abshari和Sridhar, 2026）。高度集成和互联的网络虽然提高了系统运行效率和安全管理能力，但也带来了新的安全威胁（Moriano等, 2025, Kim等, 2018）。网络资产、数据传输、控制逻辑、关键基础设施和工艺流程形成了一个紧密耦合的依赖网络。网络层的干扰可以通过数据篡改（Chen等, 2022a, Abdellaoui等, 2025）、异常控制指令（Catillo等, 2023a）和工艺偏差（Gong等, 2026）渗透到物理层，导致跨域级联故障（Xiao等, 2024, Tian等, 2025, El-Kady等, 2023, Hu等, 2025, July, Wu等, 2023, July）。

目前，ICPS异常监测和安全预警主要依赖于入侵检测系统（Susarla等, 2026, Ma等, 2025）、设备告警系统（Tu等, 2022, Catillo等, 2023b, Kang等, 2025, November）、过程风险控制（Futalef等, 2026, Xiao等, 2024, Xiao等, 2024, July, Wang等, 2025, July）以及基于专家知识的规则库（Sun等, 2023, Jiang等, 2024, August, Hu等, 2026, March, Ge等, 2024）。针对ICPS的网络异常，网络攻击识别和检测技术在网络异常识别和防御机制更新方面展现了出色的性能。Santhi等（Santhi和Srinivasan, 2025）提出了一种创新的边缘云协同无监督网络攻击检测方法，以解决CPS网络中难以区分恶意攻击和异常的问题。残差比较可以在不依赖系统模型或标记数据的情况下，准确区分故障、网络攻击和协同威胁。Al Tfaily等（Al Tfaily等, 2026）提出了AdapCVP框架，以应对关键基础设施中物联网网络的复杂攻击。该框架能够捕获协同攻击模式，在攻击蔓延之前实现主动检测，同时降低计算复杂性。Dao等（Dao等, 2025）关注一种新型非定向攻击——噪声数据攻击，并提出了一种名为NDAD的新型防御机制，该机制使用置信度分数来评估本地模型在预测客户数据方面的准确性。对于ICPS的物理异常，存在基于过程数据、传感器监测数据和告警信息的异常检测方法。Yuan等（Yuan等, 2026）提出了一种基于机器学习和共形预测的异常检测方法，以解决工业网络物理系统中高误报率导致不必要的停机问题，实现了低误报率的实时异常检测。Xu等（Xu等, 2025a）考虑了ICS中设备组件之间的因果关系，提出了一种用于多变量时间序列异常检测的双注意力网络（DAN），并引入了一种基于注意力机制的图神经网络，以实现异常检测的良好可解释性。

上述研究在ICPS网络和物理异常的实时检测方面取得了较高的准确率和可解释性，在已知故障模式识别和单点异常检测方面具有良好的适用性。然而，在跨域级联故障场景中，网络端告警和物理端告警通常由不同的监测系统独立生成，其事件标识符、语义粒度和时间尺度存在显著差异。虽然单个告警可以反映局部异常，但很难直接描述不同异常状态之间的因果关系和传播。此外，基于固定规则或阈值的早期预警方法通常对已知事件进行一对一匹配。当多条级联路径具有相似的告警特征或相同的初始状态时，仅凭当前告警难以进一步确定其后续演化方向。

为准确描述ICPS复杂的跨域级联故障传播过程，攻击图、贝叶斯网络、Petri网和知识图谱等结构化建模方法（Xiao等, 2024, Jinqiu等, 2026a, Hu等, 2025a, Mingyuan等, 2026, Vairo等, 2025, Ahmad等, 2026, Jinqiu等, 2026b）已被越来越多地用于安全事件关联和传播分析。通过显式表示实体、状态及其关系，可以将分散的网络事件和物理故障组织成具有拓扑关系的传播路径，为跨域风险机制分析提供知识库。特别是分层知识图谱（Xu等, 2025b, Li等, 2024, August, Qin和Hu, 2023）可以同时容纳网络资产、攻击行为、设备状态、物理故障和事故后果等异构信息，并分层描述不同的攻击阶段，因此适用于ICPS中复杂的跨层级风险传播关系。

另一方面，随着工业过程数据的不断积累，机器学习和深度学习方法已开始被用于ICPS中的异常检测、故障诊断和时间序列状态预测。CNN、循环神经网络（RNN）、长短期记忆网络（LSTM）和门控循环单元（GRU）（Rasheed等, 2026, Kumar和Kumar, 2026, Min等, 2025, Hannan等, 2026, Hu等, 2025b, Chen等, 2022b）可以从连续告警或状态序列中提取时间依赖性，为预测复杂故障演化提供了新的技术方案；注意力机制进一步增强了模型选择序列中关键历史状态的能力。然而，与一般的时间序列预测不同，ICPS跨域级联过程表现出显著的部分可观测性和多路径共享前缀特征。相同的告警前缀可能同时对应多条潜在级联路径，而真正决定路径分化的内部状态在在线运行过程中不可见。在短告警前缀条件下，模型对后续状态面临显著不确定性。此外，仅依赖数据驱动模型进行无约束分类可能导致预测结果与实际跨域传播拓扑不一致。同时，ICPS跨域级联故障样本稀缺，不同级联路径的训练样本分布差异较大，进一步限制了完全依靠大量标记数据训练预测模型的能力。

为克服这些局限性，本文提出了一种基于多层知识图谱与GRU-Attention融合的ICPS跨域级联故障在线早期预警框架。首先，构建用于跨域级联故障早期预警的多层知识图谱，按照网络层、攻击层、物理层和后果层组织异构实体及其关系。其次，提取完整的跨域级联故障路径并构建离线路径库。通过路径约束、NFA和乘积图提取满足跨域传播规则的完整路径，并进一步获得相应的可观测状态骨架。然后，从实时告警信息中提取可观测状态前缀，基于设备标识符、告警类型和时间关系完成原始告警的语义映射和序列化，实现在线告警与离线路径知识的对齐。最后，基于GRU-Attention进行跨域级联故障的在线早期预警，学习可观测状态前缀的时序演化特征，并结合离线路径约束输出下一个可观测状态和Top-K候选结果，实现跨域级联故障的动态预测和早期预警。

本文其余部分安排如下：第2章对ICPS跨域级联故障的演化进行特征描述和定义；第3章介绍所提出的框架和具体方法；第4章基于ICPS实验平台，构建油气行业信息物理系统中的典型跨域级联故障场景，进行案例研究，并基于五个指标评估所提出框架的性能：候选状态预测准确率、不同观测阶段的预警判别能力、预测状态与实际级联过程的一致性、预警置信度可靠性以及在线预警及时性；第5章选择马尔可夫链、XGBoost和GRU等典型模型进行在线预警性能的对比分析，展示所提出框架的优越性；第6章为结论。

第2章片段：ICPS跨域级联故障动态传播行为机制

本章从在线早期预警的角度出发，对ICPS跨域级联故障的动态传播机制进行特征描述。与单一异常状态检测不同，本文的目标不仅在于完整刻画跨域级联故障随时间和攻击进程的演化过程，还在于明确级联过程中的可观测部分和不可观测部分。跨域级联故障的早期预警需要三个要素：1）完整的

第3章片段：所提出的框架

如图3.1所示，本文提出的跨域级联故障在线早期预警框架包含四个步骤：1）构建跨域级联故障的多层知识图谱；2）提取完整的跨域级联故障路径并构建离线路径库；3）从实时告警信息中提取可观测状态前缀；4）基于GRU-Attention实现对下一个可观测状态的预警。

第4章片段：ICPS实验平台、工艺流程及漏洞设置

为验证和评估所提出的在线早期预警方法，本文采用了一个具有代表性的工业信息物理系统案例研究平台。该平台基于液化天然气终端工艺，包含典型的ICPS组件，如关键现场基础设施、传感器和执行器、基于DCS的控制系统、工业局域网（LAN）以及生产管理系统。该平台允许观测网络异常对ICPS的影响。

第5章片段：对比分析

为进一步验证所提出模型在跨域级联故障在线预警任务中的有效性，选取马尔可夫链、XGBoost和GRU作为基线模型，并在同一测试集上进行评估。图5.1展示了马尔可夫链、XGBoost、GRU以及所提出方法的行归一化混淆矩阵。总体而言，所有模型对某些状态都展现了较强的确定性映射特征。然而，马尔可夫链、XGBoost和GRU模型

结论

本文提出了一种面向ICPS跨域网络物理级联故障的在线早期预警框架。通过将多层知识图谱与时序预测学习相结合，该框架将复杂的网络物理级联故障机制转化为可观测状态预测任务。通过级联路径提取、可观测状态骨架构建和知识约束序列预测，该方法实现了在线预测跨域级联故障的

CRediT作者贡献声明

肖尚瑞：撰写——审阅与编辑，撰写——原稿撰写，方法论，数据管理。张瑞佳：软件。胡金秋：撰写——审阅与编辑，获取研究经费。王燕燕：方法论。

利益冲突声明

作者声明，他们不存在已知的可能影响本文所述工作的竞争性经济利益或个人关系。

致谢

本研究得到中华人民共和国应急管理部（2024EMST060605）的支持。

SHANGRUI XIAO|JINQIU HU|YANYAN WANG|RUIJIA ZHANG