一种基于大语言模型的协议状态机构建方法与流程

本发明涉及协议状态机构建，具体涉及一种基于大语言模型的协议状态机构建方法。

背景技术：

1、配电系统作为智能电网能源传输与分配的关键环节，其安全稳定运行直接关系到社会生产生活与能源供给保障。配电系统核心通信协议iec 60870-5-104（以下简称iec104协议）作为电网远动通信的标准协议，承担调度指令传输、设备状态监控等关键任务。然而，随着终端设备互联规模扩大，网络攻击面持续增加，iec104 协议易受到拒绝服务、报文伪造、数据篡改等针对性攻击，对电网安全构成严重威胁。入侵检测技术能够实时监测网络与系统行为，及时识别安全威胁，是保障电网安全的重要手段。目前的入侵检测工作，部分依赖人工设定的规则和特征库（cn114553580a，cn113221107a），虽能快速响应已知攻击，却难以识别未知攻击、变异攻击及协议逻辑异常；部分入侵检测方法采用基于机器学习的训练手段（cn115865486a，cn113901448a，cn120498808a），能够在一定程度上识别未知攻击和异常行为，但在训练资源受限、训练样本不足或协议状态复杂的情况下，其检测效果仍不理想，难以充分应对复杂电网通信场景下的异常状态和未知攻击。

2、为突破这一局限，基于状态机的异常检测方法逐渐受到关注。该方法通过建模系统或协议的正常状态及状态转移逻辑，以状态合法性判断行为是否异常，能够有效识别未知异常。在iec104协议应用中，状态机方法显示出明显优势，但协议状态多样、逻辑复杂，使得传统方法构建状态机存在显著困难，主要体现在：1、手动梳理协议状态与状态转移规则耗时费力；2、人为疏忽可能导致状态遗漏或转移规则错误，影响检测准确性；3、难以应对协议更新、业务扩展及未知异常行为的变化。

技术实现思路

1、有鉴于此，本发明要解决的问题是提供一种基于大语言模型的协议状态机构建方法，能够显著降低构建和更新状态机时的工作量，同时减少状态遗漏和转移规则错误的情况，提高了状态机的构建效率、准确性和扩展灵活性。

2、为解决上述技术问题，本发明采用的技术方案是：

3、一种基于大语言模型的协议状态机构建方法，包括构建阶段行为规范，大语言模型从协议规范文档中提取协议内单个功能阶段包含的报文信息、报文在设备间交互时相关设备和报文的行为信息，以构成功能阶段对应的阶段行为规范；

4、生成功能状态机，大语言模型基于阶段行为规范构建以设备状态为节点、报文信息和报文的行为信息为节点的触发条件、设备的行为信息为节点迁移条件的功能状态机；

5、生成协议状态机，大语言模型基于协议规范文档提取的各功能阶段之间关系融合对应功能状态机以构成协议状态机。

6、进一步的，所述功能阶段包括建立连接阶段、总召唤阶段、对时阶段、rtu遥测/遥信突变阶段、遥控预置与执行阶段。

7、进一步的，构建阶段行为规范包括基于功能阶段分割协议规范文档。

8、进一步的，所述报文信息包括报文格式类型标识信息、报文触发原因标识信息、寻址标识信息。

9、进一步的，构建阶段行为规范包括校验不同功能阶段内相同报文其报文信息的一致性。

10、进一步的，所述行为信息包括报文行为信息和设备行为信息，所述报文行为信息包括报文类型信息、报文格式信息和报文传输方向信息，所述设备行为信息包括收发报文设备的设备状态定义、状态间转换规则、接收异常交互报文的处理规则。

11、进一步的，构建阶段行为规范包括：大语言模型多次提取同一功能阶段的行为信息，将相同次数最多的行为信息定义成阶段行为规范。

12、本发明的有益效果是：

13、将协议的单个功能阶段转换成以报文触发设备状态切换、设备状态间的状态切换逻辑为状态迁移规则构建协议状态机，方便大语言模型从功能阶段对应的规范文档内针对性提取类型标识信息、行为信息，以构建对应功能阶段的功能状态机。再基于大语言模型对文本信息的提取能力，从协议规范文档中获取各功能阶段之间的依赖或互斥关系，将不同功能阶段对应的功能状态机融合以构成协议状态机。当协议更新或扩展时，可还快速响应并更新协议状态机，实现对复杂电网通信环境的持续监测和快速响应，提升入侵检测的应用灵活性。

14、设置大语言模型多次提取初始阶段行为规范、校验不同功能阶段对应相同报文其类型标识信息的一致性，可提高于大语言模型提取类型标识信息和行为信息的准确性。

1.一种基于大语言模型的协议状态机构建方法，其特征在于，包括，

2.根据权利要求1所述的一种基于大语言模型的协议状态机构建方法，其特征在于，所述功能阶段包括建立连接阶段、总召唤阶段、对时阶段、rtu遥测/遥信突变阶段、遥控预置与执行阶段。

3.根据权利要求1所述的一种基于大语言模型的协议状态机构建方法，其特征在于，构建阶段行为规范包括基于功能阶段分割协议规范文档。

4.根据权利要求1所述的一种基于大语言模型的协议状态机构建方法，其特征在于，所述报文信息包括报文格式类型标识信息、报文触发原因标识信息、寻址标识信息。

5.根据权利要求4所述的一种基于大语言模型的协议状态机构建方法，其特征在于，构建阶段行为规范包括校验不同功能阶段内相同报文其报文信息的一致性。

6.根据权利要求1所述的一种基于大语言模型的协议状态机构建方法，其特征在于，所述行为信息包括报文行为信息和设备行为信息，所述报文行为信息包括报文类型信息、报文格式信息和报文传输方向信息，所述设备行为信息包括收发报文设备的设备状态定义、状态间转换规则、接收异常交互报文的处理规则。

7.根据权利要求1所述的一种基于大语言模型的协议状态机构建方法，其特征在于，构建阶段行为规范包括：大语言模型多次提取同一功能阶段的行为信息，将相同次数最多的行为信息定义成阶段行为规范。