★ 赵剑明 郝鹏亮 邱国龙 张博文 王铭浩
油气管网是国家关键信息基础设施，一旦被攻击，后果可能是管线破裂、泄漏甚至爆炸。但传统"写死剧本+人工响应"的模式，面对快速变异的攻击根本跟不上。中科院沈阳自动化所赵剑明团队提出的"自学习安全响应框架"，让系统能从历史数据和实时威胁里自己学、自己生成新剧本——这套思路，对所有关基行业都有借鉴意义。
油气管网工控遵循"三层两网"架构，安全优先级是：保物理过程安全 > 保实时可用 > 才轮到机密性。Modbus、DNP3等协议普遍缺加密和强认证。传统SOAR依赖专家手写的静态剧本，维护成本高、难应对新攻击；直接套用IT的"断网关机"动作，还可能触发工艺中断。更关键的是：系统不会从历史里"学"。
框架分三层：数据采集层解析DNP3/Modbus等协议、采集SCADA业务数据；智能分析层植入"自学习与增补引擎"；响应执行层把剧本翻译成原子化动作。其灵魂是"学习闭环"：从数据里持续挖掘新攻击模式、归纳新剧本、仿真验证、在线优化。
图 智能分析与决策平台设计
☑ 挖场景：用改进PrefixSpan序列挖掘，结合资产拓扑，找出频繁共现的攻击步骤组合；
☑ 编剧本：用CBR案例推理+决策树，从历史成功案例归纳策略，生成结构化YAML剧本；
☑ 调参数：在数字孪生里用PPO强化学习调优，奖励函数兼顾"遏制率+业务影响+成本"。
新剧本绝不直接上生产。先在数字孪生沙盒里"彩排"，同时满足"攻击遏制率>95%、业务影响指数<0.05"才签名部署。响应动作分三级：一级观察预警、二级逻辑遏制、三级物理隔离（需人工确认）。框架旁路部署，"看得见、控得准"而不"摸得着"生产系统。
图 核心算法的集成与动态工作流程
💬 你们的关键基础设施，安全响应现在是"人工处置"为主，还是已经上了自动化编排？欢迎在评论区聊聊。
📌 原文内容：
🔖
· end ·
来源 | 《自动化博览》2026年第二期暨《工业控制系统信息安全专刊（第十二辑）》，由工业安全产业联盟平台整理编辑
责任编辑 | 赫敏
如需合作或咨询，请联系工业安全产业联盟平台小秘书微信号：ICSISIA20140417
往期荐读
重磅 |
征求意见稿丨
工信部丨
干货丨
DeepSeek分析丨
数字化安全丨
AI安全丨
干货丨
荐读 |
可信数据丨
关注丨
数据安全｜
工信部、国家标准委联合印发丨
国家标准丨
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
