[发明专利]基于有限状态机动态可扩展的电力通信协议异常检测方法

权利要求书

1.基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：包括以下步骤，

步骤（1），针对电力通信中所用的电力应用层协议，分析其报文格式、交互流程，建立针对该电力应用层协议的有限状态机模型及异常处理模型；

步骤（2），基于可配置扩展的PDL语言，分别对该电力应用层协议的报文格式定义、协议状态机逻辑及异常处理逻辑进行描述，形成协议规则定义文件；

步骤（3），通过协议规则解析引擎对协议规则定义文件进行翻译，形成协议规则库；

步骤（4），从标准PCAP文件或者网络适配器中获取电力通信的网络数据包；

步骤（5），根据协议规则库对网络数据包进行协议识别与解析、状态检查与跟踪，在检测到异常时，触发异常处理动作，

其中，步骤（3）形成协议规则库，包括针对网络协议的识别与解析逻辑，还包括电力通信中所用的电力应用层协议的状态机逻辑及异常处理逻辑，通过协议规则解析引擎对协议规则定义文件进行翻译，形成协议规则库的方法，包括以下步骤，

（31）根据协议规则解析引擎对协议规则定义文件进行解析，建立全局的网络协议层次嵌套结构表；

（32）依据电力通信中所用的电力应用层协议的有限状态机逻辑建立相应的状态转移表，形成协议规则库。

2.根据权利要求1的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（2）协议状态机逻辑是指应用层协议有限个状态之间转移的关系。

3.根据权利要求1的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（2）协议规则定义文件采用XML格式，且协议规则定义文件可编辑，并支持动态可扩展。

4.根据权利要求1的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（5）对网络数据包进行协议识别与解析的过程为，

（501）根据全局的网络协议层次嵌套结构表，对网络数据包进行识别与解析，实现解析网络数据包的链路层到传输层协议；

（502）根据解析结果，匹配该网络数据包所属的数据流；

（503）针对网络数据包的应用层内容进行解析，将解析结果存入相应的结构体中；

（504）若解析过程中出错，则进行异常处理。

5.根据权利要求1的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（5）状态检查与跟踪的过程为，

（511）针对网络数据包内的每一条数据流，维护当前状态信息；

（512）当状态信息发生改变时，依据协议规则库中相应的应用层协议的状态转移表，检查状态的改变是否符合预期，若符合，则更新当前状态信息，否则，进行异常处理。

6.根据权利要求1的基于有限状态机动态可扩展的电力通信协议异常检测方法，其特征在于：步骤（5）触发异常处理动作包括审计、告警、阻断处理。