[发明专利]基于自动分析的调度层报文异常定位方法、装置及系统

权利要求书

1.一种基于自动分析的调度层报文异常定位方法，其特征在于，包括：

按照调度层网络报文的特点，自动对捕获的报文数据流进行分类，获得多个分类数据；对各分类数据分别进行建模、特征提取和分析，生成用作异常判断依据的基准库，所述基准库中包括数据和行为；

基于所述基准库，判断实时报文状态，在出现异常时进行记录并定位出异常环节，所述异常环节包括异常发生的时间、链路的统计特征和异常内容，同时产生告警信号；通过带认证和加密的私有协议，将所述告警信号实时发送到监控终端，使得监控终端进行统一的展示和告警。

2.根据权利要求1所述的一种基于自动分析的调度层报文异常定位方法，其特征在于：所述报文数据流为主子站通信协议，包括IEC104协议报文、IEC103协议报文和IEC61850协议报文。

3.根据权利要求1所述的一种基于自动分析的调度层报文异常定位方法，其特征在于：各分类数据分别对应不同的应用层协议。

4.根据权利要求1所述的一种基于自动分析的调度层报文异常定位方法，其特征在于：同一分类数据具有相同的协议、目的IP地址、源IP地址、目的端口和源端口。

5.根据权利要求1所述的一种基于自动分析的调度层报文异常定位方法，其特征在于：对各分类数据分别进行建模是指：针对各分类数据分别进行数据和行为提取。

6.根据权利要求1所述的一种基于自动分析的调度层报文异常定位方法，其特征在于：所述特征提取是指根据分类结果，针对不同应用层协议进行协议特征提取，对于IEC104协议报文提取分析点号，对于IEC103协议报文提取组号条目号，对于IEC61850协议报文提取FCDA。

7.根据权利要求1所述的一种基于自动分析的调度层报文异常定位方法，其特征在于：所述告警信号的内容包括：异常发生的时间、链路的统计特征和异常内容。

8.根据权利要求1所述的一种基于自动分析的调度层报文异常定位方法，其特征在于：所述报文数据流的捕获通过调度层交换机的镜像口抓包实现，或通过串接在通道中的具有报文捕获和分析能力的专用设备实现。

9.一种基于自动分析的调度层报文异常定位装置，其特征在于，包括：

数据分类模块，用于按照调度层网络报文的特点，自动对捕获的报文数据流进行分类，获得多个分类数据；

基准库生成模块，用于对各分类数据分别进行建模、特征提取和分析，生成用作异常判断依据的基准库，所述基准库中包括数据和行为；

异常分析模块，用于基于所述基准库，判断实时报文状态，在出现异常时进行记录并定位出异常环节，所述异常环节包括异常发生的时间、链路的统计特征和异常内容，同时产生告警信号；

告警模块，用于通过带认证和加密的私有协议，将所述告警信号实时发送到监控终端，使得监控终端进行统一的展示和告警。

10.一种基于自动分析的调度层报文异常定位系统，其特征在于，包括存储介质和处理器；

所述存储介质用于存储指令；

所述处理器用于根据所述指令进行操作以执行根据权利要求1-8中任一项所述方法的步骤。