360陶耀东：工业大数据助力工控安全

互联网IDC圈4月27日报道，互联网的发展使得大数据引起人们广泛关注。现如今大数据技术早已渗透到金融、通讯等行业以及生物学、物理学等领域。大数据在容量、多样性和高增速方面的爆炸式增长全面考验着现代企业的数据处理和分析能力，与此同时也为各个行业带来了准确洞察市场行为的机会。迄今为止大数据技术与产品有哪些创新，工业大数据应用面临哪些挑战，金融行业大数据应用现状如何等。围绕这一系列问题，4月27日至28日，由工业和信息化部指导、中国信息通信研究院主办的"2016大数据产业峰会"在北京国际会议中心盛大召开。

其中在27日下午的"大数据与工业互联网"分会坛上，360沈阳研发中心总经理陶耀东先生作了关于"互联网和工业大数据的关系"的主题演讲。

360沈阳研发中心总经理陶耀东先生

陶总在安全领域为大家做了分享。大家可能会想怎么360还会在工业互联网里。我们现在叫360网神。360因为在安全领域这么多年技术的积累，从美国退市以后有一个战略是要为国家的安全服务，所以360成立了企业安全集团。专注于为国家、为企业解决相关的安全问题，同时还收购了传统的安全企业像网神。所以，对于企业安全的品牌我们叫360网神。

我原来做了很多年的工业控制系统，差不多十多年，而且我是用国产的龙兴处理器来做数控系统，现在也在批量的使用。我相当于也是从工业界跨到互联网界，刚才有些专家是从互联网界IT界跨到工业界，非常的感同身受。

王院长介绍的智能制造前面一端的数据，我们都有，但是后端我们开始关注于维护和使用数据的时候，又有点像互联网，我的东西卖给你、交给你以后我们的联系才刚刚开始，你之后产生的需求才是对我们真正有价值的。

我今天演讲的题目叫工业大数据助力工控安全。李总讲到工业互联网的架构里，最左边对于保障的支撑她提到了安全，今天各位演讲嘉宾对安全提的比较少，但是在李总演讲的架构里涉及到网络安全、设备安全、控制安全、数据安全、应用安全。安全会像我们开车的保险一样是一个标配，是少不了的。

从以下四个方面做介绍，一是工业大数据特点，二是工业安全的挑战，三是大数据与工控安全模型，四是实践与展望。

工业大数据是我们把电机的电流信号、加速度的信号拿出来就叫工业大数据了吗？如果我们不会用的情况下它只是一堆数，根本不叫大数据，工业大数据就有一定的它自己的特点，与传统大数据相比。

传统大数据思维的特性、量、多样性、速度、精确性、可见性、价值，要让数据变成人可以看得懂的东西，并且找到它后面的价值。这是工业大数据更看重的。工业大数据跟传统大数据的差别还在于它的专业性。任何的工业领域基本上都会有一个专门的门类或者一个大学里面的专业，如果只是数据分析师没有专业背景是做不了的。还有工业大数据数据的维度之间有各种各样的关联。

然后是流程性，不管是离散制造业还是流程工业，工序都是一步接着一步的，打乱了都是做不了的。所以有流程性和时序性，如果时序打乱了肯定是违反基本原则的。另外就是它的可解释性。工业大数据一般你找它的数据的结果都是有一定的逻辑和解释性的。

工业大数据和传统说的大数据或互联网大数据，有这么一个表格，这是我之前跟美国智能维护系统合作。互联网大数据在数据量的需求上是大样本数，工业大数据是尽可能全面的使用样本。它不一定要求数特别大，但是量要全面。对于数据质量来说，互联网大数据相对低，但是工业大数据较高。因为工业现场可能会有很多的噪声，比如说AD值等等。对于数据属性的解读，互联网大数据关心它们之间的关联关系，可能不强调他们的目的关联，而工业大数据会有这样的要求。在分析手段上互联网大数据常用的统计分析为主，比如说关联聚类，工业大数据还有一定逻辑的流水线式的分析在里面，一定顺着正常工业流程来分析。同时强调跨学科技术的融合，包括数学、物理、机器学习等等。

对于准确性的结果来说，互联网大数据是较低的，而工业大数据较高。我分析人的绘像以后推给你，如果推错了没有关系，但是在工业领域如果绘错了有可能停机。所以分析的结果要求是非常高的。

刚才有的嘉宾说需要把工业大数据的分析变成自动化，我自己理解这个环节里还真的少不了人。工业大数据里常用的方法是信号验证、希尔伯特变化等等。

工业大数据核心解决的目标有3B的问题。一个是隐匿性的问题，我们要看一堆的AD值、净给值、摩擦力等等，它们之后的关系是什么，表达的意思是什么。工业控制系统许多的数据，很长时间内我并搞不清楚这些数到底怎么用。还有碎片化的问题，因为工业环境的限制，我们的数据经常不是连续的，这个时候我们要处理碎片化，同时还有时效性的问题。

如果这个东西要损坏了，等它已经坏了我再说意义就不大了。

另外就是低质性，如何提高分析结果的准确性。因为工业大数据天然要求有低容错性的。所以，工业大数据对分析结果容错率远低于互联网大数据。由沈阳政府出面在建工业大数据平台，解决沈阳工业和装备制造业的问题，希望实现转型升级。

国外工业大数据的一些应用案例，像台湾的高盛用工业大数据分析以后，推出带锯机床，分析带锯机床的健康状态、带锯的衰退，最后确定什么时候换带锯。

还有尼桑和丰田用在机器人的生产线管理。他可以提前预测机器人什么坏，提前进行检修。

还有GE，GE原来是做发动机的，叫GE航空发动机，后来改名叫GE航空，开始做引擎健康监控，并且提供增值服务。我的机器交给你以后，我的生意越来越多，还可以获得更多的增值。

GOOD YEAR做轮胎的大数据分析，做物流省油价值管理。

我的母校做的蓝天数控，做数控机床智能预测，可以对主轴、刀具磨损进行大数据的研究。

工业大数据关注在后阶段零故障、零隐患、零意外、零污染来保证使用，所以IMS提出的是健康预测与维护系统，我觉得跟我们安全的概念很像。

工业大数据的价值和趋势分为三点。一是使得原本隐性的问题变得显性。二是实现产品智能化升级和增值服务。三是寻找价值缺口，开拓新的商业模式。美国工业互联网、德国工业4.0、我们的中国制造2025，都在推动互联网变成一个信息网。

我们都去联网了它的安全是不是自然而然的就会来，因为没有网络安全就没有国家安全。工业控制系统的安全挑战在哪里？这是我们的一个合作伙伴东北大学进行的全球工业系统的扫描。这是北美，他们的工业系统联网密度非常高，大量的在联网。中国像北京、江苏、浙江以及台湾这些经济发达地区联网也越来越多，这是一个趋势。也就是说，我们不能因为怕安全问题而不去联网，而且今年像ISA，美国最著名的安全公司开的ISA2016会提出用连接去保护，也是提倡连完以后用数据进行保护。

随着工业设备越来越联网，安全问题也是越来越紧迫。比如说2010年的伊朗nataz8000台离心机损坏，延期三年发电。去年乌克兰10万用户的停电。用一个常规的导弹能不能让10万用户停电，我估计做不到，有可能得用战术核导弹之类的。一个网络安全造成的威胁有多大？工业系统一旦联网以后，安全就会变成它的刚需，这是一定要解决的。IT领域的信息安全问题一定会暴露出来，工业数据的维度在极速的扩张，工控的边界，因为联网了，制造业越来越复杂，边界在扩张，我们在边界上要做好防御也是非常难的。

安全事件相当于一个核弹的攻击，后果相当严重。而且现在工业领域的安全问题大家经常能听到了。很多攻击已经从普通攻击向APT攻击发展。

我们老说安全，其实英文里有两个词，一个叫SAFETY，一个叫Security.SAFETY是对无意制造的事故或事件进行安全保护工作。Security是对人为的有意破坏的进行保障和保卫。零故障、零疾患、零意外、零污染我们是避免它损坏。避免毁坏、操作停机、处理错误、知识产权丢失，就是我们要发现故障的前兆。

伊朗和乌克兰的事件我们都叫定向的攻击，是看不见的，但传统攻防是看得见的。工业系统多长时间升一次级，基本很少，漏洞是不是永远在里面。所以，工业系统联网其实对它的挑战是很大的。

传统的攻防，在一个地方发现了木马，360发现了木马可以推给其他的用户，告诉你怎么防。所以这种群体防还是比较容易的。

APT是定向的，可能在它出生的那一刻就针对某一目标，别的地方根本不知道，怎么防。

由于攻击的价值非常大，它是不计成本的，而传统攻击是成本攻击，花10万块钱才能得1万块钱，我不会去干这个活，但是APT不会这样。

而且APT是未知威胁，用的是社会工程学。像伊朗的病毒就是通过社工先把病毒通过U盘传进去。我们工控的内网一定有，只是让它不联网就能解决问题吗？其实是没有用的。APT是想象力的战争，只有你想不到。工业大数据将有利于发现工控安全中看不见的威胁。

我的观点就是工业大数据会有助于解决工控的安全问题。根据自己的理解我们总结的一个模型，叫做PC4R，工业大数据的安全模型，形成了信息感知、数据汇集、转化分析、网络融合、认知预测和相应决策的闭环。通过连接来保护，工业大数据也可以这么做。

信息感知是各种物理量数字化的变化，我们要找到里面最有特征的一些东西。

数据的汇集。刚才有专家说过像现场层、控制层、坚实层、企业层、调度层的数据要汇聚，跨层收集数据。

我们要建立安全数据仓库，2020年40%的工业企业要建立安全仓库。我们要对它下一步进行转化分析，对数据提取、筛选、分类，变成可读的东西。对于网络的融合，我们还要结合工业环境的机理、群体、操作对象，关键一点是要结合外部的威胁情报进行内容化和情景化。你不能因为防一片叶子而不去看整片森林，通过整片森林去防一片叶子更容易。

响应决策是人在回路的决策、部署、优化、响应、实现安全价值。

2015年底360威胁情报中心针对中国境内发动APT的攻击组织29个，14个为360首先发现，最早可以追溯到2007年。APT教育科研排在第一位，然后是政府、工业系统、军事系统。科研教育为什么排在第一位，这里面应该有更多的我们国家正在做的科研的水平、科研的布局等等相关的。

我们的天眼系统是专门用于发现未知威胁的，360是率先用大数据技术来发现未知威胁的厂商。发现和溯源的效果远远优于传统手段。2015年至今，已通过云端大数据积累了近2000多份定向攻击的威胁情报，覆盖美欧、俄、半岛、台、越等多个方向。我们通过云端大数据进行关联分析，每周有超过百万份定向攻击的威胁情报，包括IP地址等等。今年4月份之前威胁情报已经推送给政府、军工、教育、能源、军队等多个行业。值得提的是今年3月份我们率先披露了长期对亚洲国家能源、交通等基础行业进行网络渗透的APT组织——洋葱狗。攻击的主要是韩国的电力、地铁、供暖等等。洋葱狗主要是针对韩语系国家的攻击。

360用大数据在做安全分析，像猎网平台用在公安领域。

还有DDoS追踪系统。

还有伪基站的实时分析系统，360通过大数据能把它的运行轨迹画出来。

还有360的威胁情报中心。

还有可视化分析的平台。

我们的观点是认为工业大数据+安全大数据+人是工控安全的解决之道。我们的理念还是数据驱动安全。谢谢各位！