沈阳化工大学学生团队在企业现场反复测试、持续迭代工业信息安全防御平台

2017年5月，WannaCry勒索病毒在全球蔓延，中国石油所属部分加油站也受到波及。病毒导致加油卡、银行卡和第三方支付等网络支付功能无法使用，中国石油随后紧急中断加油站上连网络端口，连夜排查风险并逐站恢复。虽然加油和销售等基本业务保持正常，但这次事件让人们看到：网络攻击一旦进入能源等重要行业，影响会从电脑屏幕延伸到真实业务现场。

工业安全的难点，不只是发现一个告警，还要看懂设备之间在传递什么信息、判断风险从哪里来，并考虑防御动作会不会影响正常生产。围绕这一问题，沈阳化工大学学生团队将人工智能技术融入工业协议解析、异常检测、攻击追踪和数字孪生验证，逐步形成“工安智盾”工业信息安全防御平台。

图1  团队赴企业现场开展应用验证

走出实验室，在真实任务中找到问题

走出实验室后，团队首先面对的是真实工业环境带来的复杂性。在辽河油田油气集输分站，负责人带领2人团队连续驻守13天，检测11台设备，分析约1236万条工业报文，覆盖4类工业协议，并开展3轮攻防测试。AI模型需要从海量通信数据中识别设备交互规律和异常特征，团队则根据每轮测试结果不断修正协议解析和检测策略，再投入下一轮验证。

“在实验室里系统能跑起来，不代表到了企业就一定能用。只有真正接进去、反复测，才能知道问题在哪里。”项目负责人沈骄龙说。经过多轮迭代，团队进一步提高了系统对深层协议异常和潜在风险的识别能力，也让学生的研发思路从“功能做出来”转向“问题解决掉”。

图2  团队驻场开展设备接入与工业协议测试

让AI不仅“发现异常”，还要“看清攻击”

在北方华锦化学工业集团，团队驻守7天，接入13台设备，分析约1580万条工业报文，捕获300余项异常行为，围绕4类攻击场景开展10轮攻防测试。AI不再只是发现单个异常，而是尝试把网络流量、设备日志和控制行为等信息关联起来，帮助还原攻击从哪里进入、经过哪些环节、可能影响什么。

随着验证深入，团队又把AI与数字孪生结合起来。真实工厂不能随意试错，防御策略即使能拦住攻击，也可能误伤正常控制。因此，团队先在虚拟环境中“预演”防御方案，再判断是否适合进入真实现场。在相关验证任务中，团队采集约1580万条报文，关联3类OT日志，构建12类攻击用例，开展10余轮攻防测试，并成功拦截18次系统高风险行为。

在团队的设计中，AI并不是替人直接作出生产决策，而是帮助研发人员更快发现和理解风险，并把防御策略先放到数字孪生环境中验证。现场测试也让团队持续发现实验室环境中难以暴露的问题，再针对性修改系统。

图3  数字孪生验证：在虚拟环境中预演防御策略并评估生产影响

从“能检测”到“敢防御”

在沈阳欣欣晶智工程有限公司，团队进一步接入23台设备，部署18项防御策略，针对5类高风险行为开展16轮攻防测试。通过不断调整策略并复测，平台实现了对高风险行为的精准识别与联动阻断。

从11台设备到23台设备，从3轮测试到16轮测试，从“看懂协议”到“发现异常、追踪攻击、验证防御”，一次次企业现场任务推动“工安智盾”不断迭代。对于团队成员而言，最大的收获也不只是形成论文、专利或软件成果，而是学会在真实设备、真实数据和生产约束下重新理解工程问题。

如今，“工安智盾”仍在持续完善。团队希望继续发挥AI在海量工业数据分析和复杂风险研判中的优势，让安全技术不仅在实验室里有效，更能在工业现场真正经得起检验。

图4  安全防御平台部署与现场验证

案例资料来源：新华社2017年5月14日报道《中石油紧急应对勒索病毒影响》。