随着工业4.0的稳步推进,工业控制系统逐渐成为全球各个工业生产领域中的重要部分。随着工业控制系统孤立网络发展的成熟和应用瓶颈,该系统开始逐渐接入复杂的外部网络环境中以适应工业物联网和工业信息物理系统等新兴技术。然而外部网络的复杂性导致工业控制系统面临这严峻的安全挑战,因此工业控制系统的信息安全问题亟待解决。入侵响应机制作为工控系统中入侵对抗统体系的最后一道屏障显得尤为重要,因此本文将针对入侵响应机制展开分析与研究。在分析工业控制系统的特点并结合工业环境包含的不同类型数据后,本文提出了一种实时评估风险模型。其次本文基于风险评估模型提出一种面向工业控制系统的入侵响应决策模型。该系统决策模块将根据当前风险状态计算出最优响应策略并对入侵行为做出响应。本文主要工作内容和创新点如下:1)针对工业控制系统的网络结构和数据来源特点,本文提出了一种基于各节点风险评估的实时系统风险评估模型。该模型将入侵检测系统的警报数据和工业生产环境中的信息物理系统的传感器表示的物理量统一化后形成了一个新的数据体系。实验结果表明,弥补了传统入侵响应系统的数据源单一造成的策略片面化的问题,并使其产生的最优策略效益更高。除此之外,本文衔接该风险评估系统设计了一种单智能体的基于部分可观测的蒙特卡洛规划方法的入侵响应决策模型,该决策模型利用了随机采样及蒙特卡洛搜索树模型,在入侵者行为已知的情况下对防御策略决策进行了策略决策建模。实验结果表明,该入侵响应决策模型相较于同类型的决策模型,拥有更高的策略决策平均收益以及更低的决策时延。2)所以本文利用1)中所述的实时风险评估模型,将工控系统中的入侵者与防御者双方的行为模拟为一个以系统风险系数作为奖励函数参量的双人非合作随机博弈模型,并且在此基础上将该决策模型的策略收益计算过程替换为部分可观测的马尔科夫决策过程,再通过将二者结合的形式形成一个新的决策模型。实验表明,该模型可以对现场情况进行充分模拟并在考虑攻击方可能做出的行为后进行防守方收益最大化的响应决策。除此之外本文对马尔科夫决策的每轮迭代过程采取近似化处理,有效减少了其策略计算迭代轮数,对博弈过程做了并行化处理对攻击方的策略求解进行加速,缓解了决策过程迭代次数多,收敛速度慢的问题。