[发明专利]一种基于非嵌入式探针的跨域功能安全异常检测溯源方法

权利要求书

1.一种基于非嵌入式探针的跨域功能安全异常检测溯源方法，其特征在于，步骤如下：

步骤1，在网络协同制造平台的核心网络设备构建网络镜像的非侵入式跨域监测探针，在不影响协同平台的正常业务运行的情况下，有效采集功能安全关联的各类异常数据；

步骤2，通过基于分布式共识机制建立各节点采集数据的及时数据信息留痕存储；参与IT/OT跨域网络协同过程的实体作为基本单元节点，依次建立多节点分布式共识的联盟信任群组，运行的群组代码上定义安全交互信息数据集合的操作方法，边缘节点能够对数据集合进行调用更改操作，并请求其他节点验证，通过后节点利用共识机制将该安全交互信息添加到本地存储的数据集合，完成安全交互信息的共享；

步骤3，借助已上链数据进行多维关联数据检测分析，利用基于多维关联数据监测的功能安全异常精准定位技术，对联盟信任群组批量汇总后的安全交互信息，通过深度智能关联分析技术，对包、流、文件、协议元数据、网络行为、文件行为的多维数据进行实时透视监测的关联分析和比对分析与异常功能安全模型匹配，完成实体的健康度评价、攻击行为检测；通过跨域信任群组的实体异常定位执行中心，根据异常行为监测结果，在跨域信任链条上准确定位溯源功能安全事件主体。

2.根据权利要求1所述的一种基于非嵌入式探针的跨域功能安全异常检测溯源方法，其特征在于，所述步骤1中：

采用非侵入式方法对核心交换设备部署跨域监测探针，实时监测跨域网络中的功能安全异常，将捕获到的数据提交给联盟信任群组留痕存储；核心层包括IT信息网层、OT控制中心层、OT设备层。

3.根据权利要求2所述的一种基于非嵌入式探针的跨域功能安全异常检测溯源方法，其特征在于：

所述OT设备层以核心网络设备为中心，包括传感器、阀门、监控设备、马达、驱动器设备，监测探针接入其中的驱动器以检测到整个OT设备层中任何有功能安全异常的设备；

所述OT控制中心层包括网络核心设备，连接工业交换机、图像传输终端PTU、PLC控制系统、监测系统，监测探针接入其中选定的设备，可监测到整个OT控制中心层的功能安全异常信息；

IT信息网层中网络核心设备连接PDM(Product Data Management)系统、MES(Manufacturing Execution System)系统、ERP(Enterprise Resource Planning)系统以及PLM(Product Lifecycle Management)系统，同样的，将监测探针接入该层任意设备可实现对整个IT信息网层的功能安全异常信息监测。

4.根据权利要求2所述的一种基于非嵌入式探针的跨域功能安全异常检测溯源方法，其特征在于，所述步骤1中：

所述探针的设计以分流器的工作原理作为基础，配置两块网卡用于嗅探；该探针设计有4个RJ45口，形成一个飞镖状的十字结构，将J1和J2串接入待嗅探的核心交换设备网络中，J3和J4连接监听系统；J3和J4两个接口分别捕获流入方向和流出方向的流量数据，分别复制给监听系统的两个网络端口，通过深度包检测、高效数据包捕获、包重组过滤技术，利用端口镜像方式进行流入、流出网络流量全量镜像复制，对捕获到数据经过格式化处理，提交给基于分布式共识机制建立的节点联盟信任群组留痕存储。

5.根据权利要求1所述的一种基于非嵌入式探针的跨域功能安全异常检测溯源方法，其特征在于，所述步骤2中：

联盟各节点与节点之间以P2P方式通信，提高了网络的可扩展性，节点能随意的添加和删除；联盟信任群组通过高速共识机制和实体可信身份指纹，并借助节点自主调用执行的运行在联盟信任群组上的代码，快速完成分布式实体功能安全交互信息的高通量、高精确的深度留痕存储；

所述边缘节点都具有安全交互数据集合的一个副本，并且都能调用代码中定义的操作方法对数据集合进行更改，联盟信任群组节点通过调用代码中安全交互信息数据集合的添加方法实现数据的提交，添加请求会被扩散到全群组，其它节点对该请求进行验证。