工业控制系统在设计之初,主要考虑的是生产的可靠性和稳定性,并未将信息安全作为主要的设计指标。但随着信息化与工业化的深度融合以及以太网技术在工控系统中的应用,在拓展了工控系统发展空间的同时,也带来了工控系统信息安全等问题。造成工控系统信息安全脆弱性的一个重要原因是工业通信协议的脆弱性,这些协议在设计之初,并没有任何安全加密机制,不要求任何认证,便可以在系统间进行通信。然而,现有的信息安全技术不能直接应用于工控系统中,必须针对工控系统的特点,找到适合工控系统的安全技术。本文重点研究保障Modbus通信安全,提出一种基于单类支持向量机(OCSVM)的工控系统入侵检测算法。本文首先从Modbus协议入手,介绍了Modbus TCP协议及其存在的设计缺陷和安全问题,重点分析了Modbus TCP的数据包结构,对工业数据特征进行选择。结合主成分分析原理对所选择的特征进行特征提取,降低了数据的复杂度。工控系统一般情况下,均长期稳定地工作在正常状态下,致使工业数据的特点是正常数据多,异常数据少,两种数据样本不均衡,很难建立入侵检测模型。OCSVM是在支持向量机算法的基础上发展起来了,只需要一类样本便可以训练模型,而且对噪声数据具有鲁棒性。本文利用OCSVM训练正常的工业数据,得到工控系统入侵检测模型,具有良好的泛化能力,能够有效地识别未知攻击。针对入侵检测算法存在的检测准确率低、模型训练时间长、误报率、漏报率高等问题,本文利用粒子群优化(PSO)算法对入侵检测模型的参数和结构进行了优化,粒子群优化算法快速收敛的特性,大大降低了参数的寻优时间,从而有效降低了OCSVM的训练时间,而且利用粒子群优化算法优化参数的同时也优化了模型结构,降低了入侵检测模型的复杂程度,在降低了误报率和漏报率的同时,有效地提高了入侵检测模型的检测准确率,满足工控系统对入侵检测算法准确性、可靠性、高效性的要求。工业数据样本是一个不断积累的过程,入侵检测模型要不断的更新,提出一种简单的OCSVM增量学习检测算法,在保留原有系统历史学习的基础上,根据新增样本引起的变化对入侵检测模型进行相应的调整,达到耗费尽可能小的代价对现有系统改进的目的。针对工控系统入侵检测模型存在的一定程度漏报率问题,提出一种基于OCSVM的双轮廓检测模型,同时用正常工业样本数据和异常工业样本数据分别建立检测模型,并通过协同判别机制共同判断异常,可以对OCSVM漏报率高的问题提供一种求解思路。