[发明专利]一种工控网络流量解析系统

权利要求书

1.一种工控网络流量解析系统，其特征在于，包括主控模块、数据包捕获模块和流量解析模块；所述主控模块用于系统的初始化；所述数据包捕获模块，用于采集镜像端口的镜像流量，生成数据包解析任务并放入对应的解析任务队列中；所述流量解析模块，用于从解析任务队列中获取数据包进行解析，生成并更新全局流量状态Hash表和镜像流量状态Hash表。

2.根据权利要求1所述的工控网络流量解析系统，其特征在于，所述主控模块、数据包捕获模块和流量解析模块均设有一个守护协程，各模块的守护协程负责本模块资源的分配和任务指定，并且监测本模块子任务的运行状态。

3.根据权利要求1所述的工控网络流量解析系统，其特征在于，系统的初始化包括配置文件的处理，以及系统运行资源的创建和分配；当系统启动时，系统的主进程被启动，系统的主进程将配置文件路径作为唯一外部参数，创建并运行中枢守护协程；中枢守护协程执行配置文件的处理以及系统运行资源的创建和分配。

4.根据权利要求3所述的工控网络流量解析系统，其特征在于，中枢守护协程执行以下步骤：

步骤1、为数据包捕获模块和流量解析模块创建各自的守护协程；

步骤2、创建链路状态表、镜像流量状态表和全局流量状态表；

步骤3、运行各子协程，并轮询各子协程的反馈信道，检测各子协程的运行情况。

5.根据权利要求4所述的工控网络流量解析系统，其特征在于，所述链路状态Hash表以源交换机ID和目的交换机ID生成的Hash值为键，所述Hash值记录的链路状态信息包括：源交换机ID、目的交换机ID和用于记录流经当前链路的所有流量状态的流量状态Hash表，所述流量状态Hash表的键和值分别为流量Hash和布尔值；

所述镜像流量状态Hash表以流量Hash为键，值的内容包括时间戳信息，时间戳信息包括流量创建时间和更新时间；

所述全局流量Hash表以流量Hash为键，值的内容为实时更新的基本数据，包括流量的头部信息、当前流量的最近更新时间和当前流量的来源交换机编号列表。

6.根据权利要求4所述的工控网络流量解析系统，其特征在于，当镜像流量到达端口时，数据包捕获模块执行以下几个步骤：

步骤1：建立入站记录Hash表，键为数据包hash，值为Boolen类型；

步骤2：为数据包生成hash值，在Hash表中查找该hash键；

步骤3：若键存在且值的结果为true，则判断该数据包为出站数据包，删除当前键值对，否则认为是入站数据包，并以计算得到的hash为键写入Hash表，值为true；

步骤4：根据步骤3分类结果，将数据包放入入站或出站解析任务队列中。

7.根据权利要求6所述的工控网络流量解析系统，其特征在于，入站和出站解析任务队列由数据包捕获模块的守护协程创建，由于每个端口接收一个交换机的镜像流量，每个镜像端口创建入站和出站两种队列。

8.根据权利要求6所述的工控网络流量解析系统，其特征在于，以一个端口为例，流量状态解析模块执行以下几个步骤：

步骤1：判断数据包类型，如果是非以太网帧，则丢弃；

步骤2：提数据包以太网层信息：源MAC地址、目的MAC地址和以太网类型；

步骤3：若存在IP层协议数据单元，则提取IP层信息：源IP地址、目的IP地址和协议类型；

步骤4：若存在传输层协议数据单元，则提取源端口和目的端口。

步骤5：更新镜像流量状态Hash表；

步骤6：更新全局流量状态表。

9.根据权利要求8所述的工控网络流量解析系统，其特征在于，更新镜像流量状态Hash表，包括如下步骤：

根据数据包Hash值查找到该数据包对应的表项；

更新实时更新的数据，包括时间戳信息和统计信息，所述时间戳信息包括流量创建时间和更新时间，所述统计信息包括收到的总数据包数量和所有数据包的总数据量。