CN111427307A

CN111427307A - 一种工控异常检测方法、装置及设备

Info

Publication number: CN111427307A
Application number: CN202010322574.6A
Authority: CN
Inventors: 欧阳柳; 郑斌; 姚一杨; 孙钢; 吴恺源; 江樱; 梅峰
Original assignee: State Grid Zhejiang Electric Power Co Ltd; Information and Telecommunication Branch of State Grid Zhejiang Electric Power Co Ltd
Current assignee: State Grid Zhejiang Electric Power Co Ltd; Information and Telecommunication Branch of State Grid Zhejiang Electric Power Co Ltd
Priority date: 2020-04-22
Filing date: 2020-04-22
Publication date: 2020-07-17
Anticipated expiration: 2040-04-22
Also published as: CN111427307B

Abstract

本发明提供了一种工控异常检测方法、装置及设备，包括：获取服务器与PLC设备之间的传输报文；对所述传输报文进行解析，获取解析后的报文；利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果。本发明实施例通过获取服务器与PLC设备之间的传输报文，并对其进行解析，得到解析后的报文，利用解析后的报文对预先下载到PLC设备中的代码进行异常检测，能够及时发现预先下载到PLC设备中的代码是否存在异常情况，以保证PLC的安全运行。

Description

一种工控异常检测方法、装置及设备

技术领域

本发明涉及自动控制技术领域，更具体的说，是涉及一种工控异常检测方法、装置及设备。

背景技术

当前在工业控制系统领域，网络安全性是保证工业控制系统有效运行的关键，而在工业控制系统领域，PLC(Programmable Logic Controller，可编程逻辑控制器)是一种专门为在工业控制系统环境下应用而设计的数字运算操作电子系统，它采用一种可编程的存储器，在其内部存储执行多种操作的指令，通过数字式或模拟式的输入输出来控制工业控制系统中各种类型的机械设备的运行。

因此，在工业控制系统领域，PLC的安全运行是工业控制系统安全运行的可靠保障，基于此，如何保证PLC的安全运行成为目前需要解决的技术问题。

发明内容

有鉴于此，本发明提供了一种工控异常检测方法、装置及设备，以保证PLC的安全运行。

为实现上述目的，本发明提供如下技术方案：

一种工控异常检测方法，所述方法包括：

获取服务器与可编程逻辑控制器PLC设备之间的传输报文；

对所述传输报文进行解析，获取解析后的报文；

利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果。

优选的，所述获取服务器与可编程逻辑控制器PLC设备之间的传输报文包括：

获取服务器与PLC设备之间传输的过程特性分析软件包PCAP报文以及工业通信协议报文。

优选的，所述对所述传输报文进行解析，获取解析后的报文包括：

对PCAP报文进行解析，得到PCAP报文对应的解析文件；

对工业通信协议报文进行解析，得到工业通信协议报文对应的解析文件。

优选的，所述对PCAP报文进行解析，得到PCAP报文对应的解析文件包括：

按照预先设置的PCAP报文解析规则，对所述PCAP报文进行解析，获取所述PCAP报文对应的机器码；

按照预先设置的机器码解析规则，对所述机器码进行解析，获取所述机器码对应的步进触点指令STL文件。

优选的，所述利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果包括：

将解析后的报文与预先下载到PLC设备中的代码进行比对，得到代码异常检测结果。

优选的，在获取服务器与PLC设备之间的传输报文之前，所述方法还包括：

对工业控制网络中的报文进行解析，确定工业控制网络中的PLC设备。

优选的，在利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果之后，还包括：

依据所述代码异常检测结果，对所述PLC设备中的代码执行删除、添加或更改操作。

一种工控异常检测装置，所述装置包括：

传输报文获取单元，用于获取服务器与可编程逻辑控制器PLC设备之间的传输报文；

报文解析单元，用于对所述传输报文进行解析，获取解析后的报文；

异常检测单元，用于利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果。

优选的，所述报文解析单元包括：

PCAP报文解析单元，用于对PCAP报文进行解析，得到PCAP报文对应的解析文件；

工业通信协议报文解析单元，用于对工业通信协议报文进行解析，得到工业通信协议报文对应的解析文件。

一种工控异常检测设备，所述工控异常检测设备包括：

处理器和存储器；

所述处理器，用于调用并执行所述存储器中存储的程序；

所述存储器用于存储所述程序，所述程序至少用于：

执行如上所述的工控异常检测方法。

经由上述的技术方案可知，与现有技术相比，本发明提供了一种工控异常检测方法、装置及设备，包括：获取服务器与PLC设备之间的传输报文；对所述传输报文进行解析，获取解析后的报文；利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果。本发明实施例通过获取服务器与PLC设备之间的传输报文，并对其进行解析，得到解析后的报文，利用解析后的报文对预先下载到PLC设备中的代码进行异常检测，能够及时发现预先下载到PLC设备中的代码是否存在异常情况，以保证PLC的安全运行。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的工控异常检测方法的流程图；

图2为本发明实施例提供的另一种工控异常检测方法的流程图；

图3为本发明实施例提供的PCAP报文结构示意图；

图4为本发明实施例提供的工控异常检测装置的结构框图；

图5为本发明实施例提供的工控异常检测设备的硬件结构框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

当前在工业控制系统领域，网络安全性是保证工业控制系统有效运行的关键，而在工业控制系统领域，PLC是一种专门为在工业控制系统环境下应用而设计的数字运算操作电子系统，它采用一种可编程的存储器，在其内部存储执行多种操作的指令，通过数字式或模拟式的输入输出来控制工业控制系统中各种类型的机械设备的运行。

本发明实施例为了解决上述技术问题，提供了一种工控异常检测方法，通过获取服务器与PLC设备之间的传输报文；对所述传输报文进行解析，获取解析后的报文；利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果。本发明实施例通过获取服务器与PLC设备之间的传输报文，并对其进行解析，得到解析后的报文，利用解析后的报文对预先下载到PLC设备中的代码进行异常检测，能够及时发现预先下载到PLC设备中的代码是否存在异常情况，以保证PLC的安全运行。

下面对本发明实施例公开的工控异常检测方法进行详细介绍：

图1为本发明实施例提供的工控异常检测方法的流程图，该方法可应用于工控异常检测系统，参照图1，所述方法可以包括：

步骤S100、获取服务器与PLC设备之间的传输报文；

本发明实施例主要在服务器与PLC设备之间进行通信的过程中，通过截获的方式获取服务器与PLC设备之间交互过程中传输的传输报文。

并且，在报文获取过程中，通过建立异常动作数据库和建立正常行为数据库的混合模式，将获取的正常的报文存储在正常行为数据库中，将存在异常的报文存储在异常动作数据库中。后续只针对正常行为数据库中的报文进行解析。

步骤S110、对所述传输报文进行解析，获取解析后的报文；

通过对传输报文进行解析，将传输报文解析为与PLC设备中的代码格式相同的报文。

步骤S120、利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果。

利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果的过程主要为：将解析后的报文与预先下载到PLC设备中的代码进行比对，得到代码异常检测结果。

具体的，本发明实施例还包括：利用解析后的报文对PLC设备中的相关操作进行分析，从而发现PLC设备中相关操作的异常情况。

在得到代码异常检测结果或者相关操作的异常情况之后，可以发出异常报警信息。

需要说明的是，在得到代码异常检测结果之后，可以将代码异常检测结果通过界面化的方式呈现给用户，具体的可以显示发现代码异常的PLC设备，以及发现代码异常的PLC设备对应的异常代码。

本发明实施例通过获取服务器与PLC设备之间的传输报文；对所述传输报文进行解析，获取解析后的报文；利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果。本发明实施例通过获取服务器与PLC设备之间的传输报文，并对其进行解析，得到解析后的报文，利用解析后的报文对预先下载到PLC设备中的代码进行异常检测，能够及时发现预先下载到PLC设备中的代码是否存在异常情况，以保证PLC的安全运行。

下面本发明实施例提供了如下另外一种工控异常检测方法，图2为本发明实施例提供的另外一种工控异常检测方法的流程图，该方法可应用于工控异常检测系统，参照图2，所述方法可以包括：

步骤S200、对工业控制网络中的报文进行解析，确定工业控制网络中的PLC设备；

需要说明的是，在对PLC设备中的代码进行异常检测之前，需要发现工业控制网络中的PLC设备，具体通过对工业控制网络中的报文进行解析的方式，发现工业控制网络中的PLC设备。

步骤S210、获取服务器与PLC设备之间传输的PCAP(Process CharacteristicAnalysis Package，过程特性分析软件包)报文以及工业通信协议报文；

具体可以获取上位机与PLC设备之间传输的PCAP报文以及工业通信协议报文。

PCAP报文是以PCAP格式存储的网络报文，工业通信协议报文是指符合工业通信协议的网络报文。

下面结合图3所示的PCAP报文结构示意图，对PCAP报文的结果做如下介绍：

一个PCAP报文包括PCAP报头(Pcap Header)以及数据区(Pcap Data)两个部分，其中数据区又分成多个数据包，每个数据包由数据报头和数据内容两个组成部分。

如图3所示的Pcap Header中包括：标识符Magic、主版本号Major、副版本号Minor、区域时间ThisZone、精确时间戳SigFigs、可以抓获的数据包的最大长度SnapLen以及链路层类型LinkType。

Magic，其值例如为0x1b2c3d4，大小为4字节。Major，其值例如为0x02，大小为2字节。Minor，其值例如为0x04，大小为2字节。ThisZone大小为4字节。SigFigs大小为4字节。SnapLen大小为4字节。LinkType大小为4字节。

数据报头Pcap Header1中Timestamp表示时间戳，大小为4字节；CapLen表示当前分组的长度，大小为4字节；Len表示数据包的长度，大小为4字节。在PCAP报文没有设置分隔符分割数据包之间的内容，故需要依靠CapLen进行定位下一个数据包在PCAP报文中的开始位置。Packet Data1表示数据内容。

可选的，本发明实施例读取PCAP报文的过程可以包括：

采用Python语言，首先利用一个集合存储读出的PCAP Header信息，读出数据包中的内容后转存到本地文件中。之后同样利用一个集合存储Packet Header信息，再读出数据包中的内容，在读取数据包的过程中是根据CapLen的数值大小确定数据内容的起始位置，通过循环读出数据内容，并将数据内容存储在本地文件中。

具体的，工业通信协议报文可以至少包括如下形式的报文：S7comm、Modbus、RS232/485、EtherNet/IP，本发明实施例并不做具体限定。

步骤S220、对PCAP报文进行解析，得到PCAP报文对应的解析文件；

可选的，本发明实施例对PCAP报文进行解析，得到PCAP报文对应的解析文件的过程包括：按照预先设置的PCAP报文解析规则，对所述PCAP报文进行解析，获取所述PCAP报文对应的机器码；按照预先设置的机器码解析规则，对所述机器码进行解析，获取所述机器码对应的STL文件。

机器码为机器能够识别的代码，例如西门子MC7码、三菱FNC等，本发明实施例并不做具体限定。

STL文件是一种PLC命令格式的文件。

由于不同厂家或不同型号的PLC所使用的机器码的数据格式不同，因此在获取机器码的过程中主要是按照机器码的数据格式不同进行PCAP报文的解析，将PCAP报文转化成机器码。

步骤S230、对工业通信协议报文进行解析，得到工业通信协议报文对应的解析文件；

通过对工业通信协议报文进行解析，得到与PLC设备中的代码格式相同的工业通信协议报文对应的解析文件。

需要说明的是，本发明实施例对PCAP报文以及对工业通信协议报文进行解析的过程不分先后顺序，两者可以同时执行，也可以先后执行，本发明实施例不做具体限定。

步骤S240、将PCAP报文对应的解析文件以及工业通信协议报文对应的解析文件进行组合，得到解析后的报文；

步骤S250、将解析后的报文与预先下载到PLC设备中的代码进行比对，得到代码异常检测结果。

需要说明的是，在将解析后的报文与预先下载到PLC设备中的代码进行比对，得到代码异常检测结果之后，可以依据所述代码异常检测结果，对所述PLC设备中的代码执行删除、添加或更改操作。

例如将PLC设备中的异常代码删除，或对PLC设备中的异常代码执行更改操作，在发现PLC设备中缺少某种代码的情况下，可以将缺少的代码添加到PLC设备中。

本发明实施例通过获取服务器与PLC设备之间的PCAP报文以及工业通信协议报文，并对两者分别进行解析，得到PCAP报文对应的解析文件以及工业通信协议报文对应的解析文件，并将PCAP报文对应的解析文件以及工业通信协议报文对应的解析文件进行组合，得到解析后的报文，利用解析后的报文对预先下载到PLC设备中的代码进行异常检测，能够及时发现预先下载到PLC设备中的代码是否存在异常情况，以保证PLC的安全运行。并能够在服务器与PLC设备交互的过程中实时进行异常监测，快速发现PLC设备中存在的代码异常情况，代码异常情况定位准确，代码异常情况检出率高，耗时少，代码异常情况检测效率高。并通过将工业控制网络协议进行深度解析的方式，使网络内部数据流进行透明化。

下面对本发明实施例提供的工控异常检测装置进行介绍，下文描述的工控异常检测装置可与上文工控异常检测方法相互对应参照。

图4为本发明实施例提供的工控异常检测装置的结构框图，参照图4，该工控异常检测装置可以包括：

传输报文获取单元400，用于获取服务器与可编程逻辑控制器PLC设备之间的传输报文；

报文解析单元410，用于对所述传输报文进行解析，获取解析后的报文；

异常检测单元420，用于利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果。

需要说明的是，本发明实施例中的工控异常检测装置可以基于Python中的Tkinter相关库构建GUI，至少具备展示层，业务处理层(包括功能逻辑代码等)以及本地存储。在界面模块实现时，使用了Python中的Tkinter库，实现PLC管理、PLC发现、PLC监控、代码转换、分析对比等功能。

所述传输报文获取单元具体用于：获取服务器与PLC设备之间传输的过程特性分析软件包PCAP报文以及工业通信协议报文。

所述报文解析单元包括：

所述PCAP报文解析单元包括：

机器码解析单元，用于按照预先设置的PCAP报文解析规则，对所述PCAP报文进行解析，获取所述PCAP报文对应的机器码；

STL文件解析单元，用于按照预先设置的机器码解析规则，对所述机器码进行解析，获取所述机器码对应的步进触点指令STL文件。

所述异常检测单元包括：

代码比对单元，用于将解析后的报文与预先下载到PLC设备中的代码进行比对，得到代码异常检测结果。

所述工控异常检测装置还包括：

PLC设备确定单元，用于对工业控制网络中的报文进行解析，确定工业控制网络中的PLC设备。

所述工控异常检测装置还包括：

代码操作单元，用于依据所述代码异常检测结果，对所述PLC设备中的代码执行删除、添加或更改操作。

可选的，本发明实施例还公开了一种工控异常检测设备。图5示出了工控异常检测设备的硬件结构框图，参照图5，工控异常检测设备可以包括：处理器1，通信接口2，存储器3和通信总线4；其中处理器1、通信接口2、存储器3通过通信总线4完成相互间的通信；可选的，通信接口2可以为通信模块的接口，如GSM模块的接口；

处理器1，用于执行程序；存储器3，用于存放程序；程序可以包括程序代码，所述程序代码包括计算机操作指令；

处理器1可能是一个中央处理器CPU，或者是特定集成电路ASIC(ApplicationSpecific Integrated Circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路；存储器3可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatilememory)，例如至少一个磁盘存储器。

其中，程序可具体用于：

执行如上所述的工控异常检测方法。

综上所述：

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims

1.一种工控异常检测方法，其特征在于，所述方法包括：

获取服务器与可编程逻辑控制器PLC设备之间的传输报文；

对所述传输报文进行解析，获取解析后的报文；

2.根据权利要求1所述的方法，其特征在于，所述获取服务器与可编程逻辑控制器PLC设备之间的传输报文包括：

3.根据权利要求2所述的方法，其特征在于，所述对所述传输报文进行解析，获取解析后的报文包括：

对PCAP报文进行解析，得到PCAP报文对应的解析文件；

4.根据权利要求3所述的方法，其特征在于，所述对PCAP报文进行解析，得到PCAP报文对应的解析文件包括：

5.根据权利要求1所述的方法，其特征在于，所述利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果包括：

6.根据权利要求1-5任意一项所述的方法，其特征在于，在获取服务器与PLC设备之间的传输报文之前，所述方法还包括：

7.根据权利要求1-5任意一项所述的方法，其特征在于，在利用所述解析后的报文对预先下载到PLC设备中的代码进行异常检测，得到代码异常检测结果之后，还包括：

8.一种工控异常检测装置，其特征在于，所述装置包括：

9.根据权利要求8所述的装置，其特征在于，所述报文解析单元包括：

10.一种工控异常检测设备，其特征在于，所述工控异常检测设备包括：

处理器和存储器；

所述处理器，用于调用并执行所述存储器中存储的程序；

所述存储器用于存储所述程序，所述程序至少用于：

执行如上权利要求1-7任意一项所述的工控异常检测方法。