集通信、计算和控制于一体的工业认知网络系统(Industrial Cognitive Network System,ICNS)是一种大规模、分布式、复杂异构且深度嵌入式的实时系统,被认为是实现智能制造的核心技术。工业控制系统原有的相对独立和隔离的封闭性被打破,变得开放和网络化,因系统隔离而带来的天然安全性不复存在。然而,ICNS的系统保障机制还没有达到安全性能要求,如何做好ICNS安全防护迫在眉睫。一些对抗性网络攻击可以基于所获取的系统知识、传感器系统节点历史数据等,将自身网络攻击行为伪装或隐藏于合法正常网络数据流中,从而躲避传统的网络安全监测,大大增加了ICNS入侵检测的漏检率。另外,系统正常模式转换产生的流量波动易被传统的基于流量异常的网络入侵检测判定为攻击行为,导致较高的误报率。因此,本文提出一种融合系统状态估计与网络流量异常监测的ICNS入侵检测方法,在ICNS安全监测中同时引入状态异常检测和流量异常检测,不仅能检测到具备模型知识和披露资源的隐蔽性攻击,还能检测到导致系统状态变化的系统攻击,实现较为全面的ICNS安全防护。论文主要研究工作如下:(1)针对传统的入侵检测方法对隐蔽性攻击具有检测率低和误报率高的问题,提出一种基于系统状态残差估计的ICNS入侵检测方法。首先提出一种改进的变分贝叶斯自适应非线性卡尔曼滤波方法,用于非线性传感器系统状态建模;然后基于系统的状态(估计)残差异常进行网络安全监测。同时,为了解决因节点较多导致检测效率低的问题,提出一种分布式入侵检测框架,将工业认知网络中的传感器进行节点分簇,实现分布式的ICNS安全监测。(2)针对传统基于流量异常的入侵检测方法稳定性(降噪性)差、对算法初始化依赖性强等问题,提出一种基于正/异常网络流量模式在线自适应学习的入侵检测方法。首先,设计一种改进的N-Burst模型用于工业认知网流量模式描述;然后提出一种改进的基于聚类稳定性优化的K-means方法用于正/异常网络流量模式学习以建立相应的模式库,用于在线的入侵检测;同时,为了进一步提高稀少以及未知入侵类型的检测率,并降低误报率,本文在正常模式库和异常模式库基础上增设了缓存模式库,用于稀疏未知攻击模式监测,从而降低未知攻击的误报率,提升ICNS入侵检测性能。最后,结合数值仿真系统和TrueTime仿真系统对提出的入侵检测方法的有效性和性能优越性进行实验验证。结果表明,所提方法能够快速有效地检测出工业认知网络系统中可能存在的入侵攻击,具有检测率高、误检率低的优点,为实现ICNS的整体安全防护提供了一种有效的解决方案。