让组态数据的每一次篡改与越权
都在毫秒间被看见

面向 SCADA 组态软件的 AI 行为分析与数据完整性守护平台。深度解析工业协议，构建「人员—终端—点位」三级行为基线，实时识别数据篡改、越权访问与异常操作，为电力、石化、水务、轨交等关键信息基础设施守住最后一道数据防线。

查看技术架构 ↓

旁路镜像部署 · 不改造现有组态系统 · 不影响生产控制回路

正常业务流

异常写操作

越权会话

LIVE

篡改

#2 汽轮机转速 在 1.2s 内阶跃 +18%，偏离物理模型 6.2σ · 已触发一级预警

当前风险评分

+18

78.4

当前风险评分

+18

越权会话

3 起待处置

<50

协议解析时延

ms / 单帧

30+

工业协议支持

OPC · Modbus · IEC 104 · DNP3

99.2%

篡改识别准确率

AI 多模型融合

7×24

全天候监测预警

7 天基线自学习

已适配主流组态软件与工业通讯协议

iFIX

InTouch

WinCC

组态王 KingView

力控 ForceControl

MCGS

紫金桥 RealInfo

OPC DA / UA

Modbus TCP

IEC 60870-5-104

DNP3

S7 Comm

CIP / EtherNet-IP

IEC 61850 MMS

生产网络从来不缺"边界防护"，
缺的是对数据本身的守护

边界防火墙拦得住外来的攻击流量，却看不懂组态系统内部一次"合法账号的非法操作"。当篡改与越权发生在信任域之内，传统安全体系几乎完全失明。

组态数据"看得见、改得动"

工程师站与操作员站对实时库、历史库拥有高权限。一次误操作或一次蓄意改写，就能伪造工况、掩盖故障、修改报警阈值，而系统日志里只留下一行冰冷的"写值成功"。

#2 汽轮机转速 · 写入成功 · 操作人 admin

越权访问隐蔽，传统审计"只见到账号"

共享账号、跨岗操作、非工作时段登录、非注册终端接入——审计日志记录的是账号，不是"人"。谁在什么场景下越了哪条权限线，事后往往难以还原。

eng_zhang 于 02:17 对 3# 炉膛温度执行写操作（非本班次权限）

通用安全设备"听不懂"工业协议

基于 IT 规则的检测引擎无法理解点位语义，也就无法判断"这个值在这个时刻该不该变"。缺少工艺语境，再多的告警也只是噪音。

TCP 61234 → 502 · 载荷 00 06 00 00 …（无法判定语义）

事后取证难，责任无法闭环

数据变更缺少"操作—数据—会话"的完整证据链。面对监管问询与事故复盘，往往拿不出可采信的原始凭证。

缺少操作前后的点位快照与会话回放，责任界定困难

六大核心能力，覆盖从发现到取证的闭环

不只是"告警"，而是把每一次异常都还原成可判断、可处置、可追溯的业务事实。

数据篡改检测 INTEGRITY

以点位为最小单元，守护组态数据的真实与完整。

• 点位值阶跃突变、速率越限、物理模型偏差检测

• 报警阈值 / 屏蔽表 / 联锁条件被改写即触发

• 组态工程文件与历史库的完整性基线校验

越权访问识别 UEBA

建立"人员—终端—点位"三级行为基线，越线即知。

• 账号—角色—权限矩阵实时比对，识别越岗操作

• 登录时段、来源终端、操作频次的行为偏离分析

• 共享账号识别与操作人归属推断

工业协议深度解析 DPI

从字节流还原到点位语义，让检测"听得懂工艺"。

• 30+ 工业协议全字段解析，点位级语义映射

• 读写指令、功能码、异常响应全量还原

• 无需下装探针，纯镜像流量旁路分析

AI 动态基线建模 BASELINE

不依赖人工写规则，让系统自己学会"什么是正常"。

• 自学习工况周期、班次规律与设备运行特征

• 多模型融合（时序 / 图关联 / 序列模式）降噪

• 工况切换自动适配，避免检修期批量误报

实时告警与联动预警 ALERT

分级预警，把正确的人在最合适的时刻叫醒。

• 四级风险分级 + 影响面评估（关联点位与回路）

• 站内弹窗、短信、邮件、企业微信 / 钉钉多渠道触达

• 开放 API 联动 SOAR、工单与视频监控系统

全链路溯源取证 FORENSIC

把一次异常完整地"回放"出来，责任到人、证据到帧。

• 操作人 / 终端 / 时间 / 前后值五要素原始记录

• 会话级操作序列回放与关联分析

• 一键导出合规审计报告，满足监管报送

五层技术架构，旁路接入、零改造

流量镜像进、分析结论出。控制网络的实时性由生产系统决定，安全分析在一侧独立完成。

接入采集层

INGEST

交换机端口镜像

网络分流器 TAP

Syslog / SNMP 接收

组态日志采集代理

协议解析层

PARSING

OPC DA / UA

Modbus TCP / RTU

IEC 60870-5-104

DNP3 / S7 / CIP

点位语义映射引擎

数据治理层

GOVERN

点位资产台账

人员与终端档案

角色权限矩阵

组态配置基线

数据标准化与时序入库

AI 分析引擎层

ANALYTICS

时序异常检测

行为基线建模

图关联分析

序列模式识别

多模型融合评分

应用与响应层

RESPONSE

实时监测大屏

告警工单中心

权限基线管理

溯源取证回放

合规报表导出

开放 API

四步闭环，从流量到判断

一次异常从发生到形成预警，全程无需人工介入。

STEP 01

全量采集

通过交换机端口镜像或分流器 TAP，旁路获取控制网络全量通讯流量，不占用生产链路带宽、不引入时延。

STEP 02

语义还原

深度解析工业协议，把原始字节流还原为「谁、在什么时间、对哪个设备的哪个点位、做了什么操作、值是多少」。

STEP 03

基线比对

与自学习得到的正常行为基线、权限矩阵与数据完整性基线逐项比对，多模型融合输出风险评分。

STEP 04

分级预警

按风险等级与影响面生成告警，推送至对应责任人，同时留存完整证据链供后续复盘与取证。

已在关键信息基础设施行业落地

不同行业的组态系统形态各异，但对"数据真实、操作合规"的要求一致。

电力与新能源

POWER

关注风险

调度遥控遥调被越权下发、遥测数据被伪造、集控站与升压站间通讯被篡改

检测重点

遥控操作权限校验、遥测值物理一致性、IEC 104 / IEC 61850 报文完整性

石油与化工

CHEMICAL

关注风险

DCS / SIS 联锁参数被修改、报警被屏蔽、生产数据被"美化"上报

检测重点

联锁与阈值变更监控、报警屏蔽表变更、安全仪表回路关键点位守护

水务与燃气

UTILITY

关注风险

泵站阀门远程指令越权、管网压力数据篡改、第三方代维账号滥用

检测重点

代维/第三方账号行为审计、远程指令合法性与时序校验

轨道交通

TRANSIT

关注风险

综合监控系统（ISCS）数据被改、信号与供电专业间的跨系统越权操作

检测重点

多专业子系统权限隔离校验、跨系统联动操作留痕与溯源

离散制造

MANUFACTURE

关注风险

工艺配方参数被改、产量与能耗数据造假、MES 与产线数据不一致

检测重点

配方与工艺参数变更监控、OT 与 IT 数据一致性交叉校验

市政与热力

MUNICIPAL

关注风险

换热站无人值守场景下的异常参数下发、监控组态被远程改写

检测重点

无人值守站点操作基线、组态工程文件完整性校验

把复杂留给我们，把清晰留给你

监测、分析、处置、取证，收敛在同一个工作台里。

安全运营工作台 / 实时态势

数据源 18/18 在线 基线学习 已完成

MONITOR

实时态势总览

篡改告警监测

越权行为分析

点位资产台账

权限基线管理

溯源取证回放

合规审计报表

CONFIG

协议与探针配置

告警策略

今日篡改告警

7

越权访问

3

在线监测点位

12,480

点位写入频次基线偏离趋势 / 近 24h

异常写操作 TOP 点位

3# 炉膛温度

41 次

#2 汽轮机转速

28 次

1# 出线开关位置

16 次

越权会话来源终端

EWS-02（工程师站）

2

未注册终端 10.20.31.88

3

代维账号 vpn_03

1

实时告警流

实时

篡改 · 高

02:17:41

3# 炉膛温度被写入 1284.6℃，前值 942.1℃

操作人 eng_zhang · EWS-02

越权 · 中

02:19:06

非值班账号执行遥控预置指令

越岗：运行岗 → 维护岗

配置 · 中

03:41:12

报警屏蔽表被修改，新增屏蔽 12 条

组态文件校验不一致

接入 · 低

04:02:35

HMI-07 从非注册网段接入

10.20.31.88 · 首次出现

已处置 12

待处置 4

误报 0

* 界面示意，数据为演示样例

让安全能力，变成可衡量的运营指标

不做"堆设备"的安全，只做能被验证、能被审计、能被追溯的安全。

−90%

异常发现时间大幅压缩

从依赖人工巡检与事后复盘，转为秒级自动发现

0.3%

无效告警占比

多模型融合与工况自适应，抑制检修期批量误报

100%

关键操作留痕率

操作人、终端、前后值、会话序列全量留存

0

对现有组态系统的改造需求

旁路接入，不下装探针、不改控制逻辑、不停产

合规对齐

满足《网络安全法》《数据安全法》《关键信息基础设施安全保护条例》及等级保护 2.0 对工业控制系统的 安全审计、入侵防范、数据完整性 要求，审计记录可导出、可追溯。

信创与国产化适配

支持麒麟、统信等国产操作系统与鲲鹏、飞腾、海光平台，适配组态王、力控、MCGS、紫金桥等国产组态软件，可纯内网离线部署，数据不出厂区。

部署前，你可能会关心

不会。平台采用旁路部署：通过交换机端口镜像或网络分流器（TAP）获取流量副本，不串接在生产链路中，不在 PLC / RTU 或组态服务器上下装任何代理程序、不占用控制网带宽。即使分析节点故障，生产系统仍按原逻辑独立运行。单帧协议解析时延为毫秒级，与生产实时性无关。

不需要。平台以"外部观察者"身份工作，读写点位语义通过协议解析与点位台账映射获得，无需修改组态工程、无需接口对接、无需停机窗口。首次上线只需配置镜像端口与点位资产台账，通常在一个检修窗口期内即可完成调试投产。

系统上线即开始自学习，覆盖典型工况周期后基线趋于稳定。在此期间可先启用规则策略兜底（如权限矩阵校验、阈值变更监控、组态文件完整性校验等确定性检测），保证从第一天起就有防护能力。随着运行周期增加，基线会持续自适应调整，检修期、季节性工况切换都会被自动识别。

我们通过三层机制控制告警质量：一是多模型融合评分，单模型异常不直接出告警；二是工况自适应，识别到检修、停机、工况切换时自动放宽阈值；三是分级推送，只有高等级事件才触达值班人员，中低等级进入工作台待办。告警自带影响面评估与处置建议，支持一键转工单或标记误报，标记结果会回流优化模型。

平台内置主流组态软件与 30+ 工业协议的解析能力，并支持私有协议扩展：对于企业自研或行业专有协议，可通过协议描述文件配置新增解析规则，无需二次开发。点位语义映射支持批量导入现有台账，也可从组态工程文件中自动提取。

典型如：共享账号下的越岗操作（日志里只显示账号，平台可结合终端、时段、操作序列推断实际操作人）；合法的写值权限被用于非法值（如运行人员把温度阈值改成不可能值以屏蔽报警）；组态配置被静默变更（报警屏蔽、量程上下限、联锁条件）；以及长期潜伏的"低频、慢变"式篡改——单次变化幅度很小，但累积偏离物理规律。这些往往是通用安全设备与人工审计的盲区。

让组态数据的每一次篡改与越权都在毫秒间被看见

生产网络从来不缺"边界防护"，缺的是对数据本身的守护

组态数据"看得见、改得动"

越权访问隐蔽，传统审计"只见到账号"

通用安全设备"听不懂"工业协议

事后取证难，责任无法闭环

六大核心能力，覆盖从发现到取证的闭环

数据篡改检测 INTEGRITY

越权访问识别 UEBA

工业协议深度解析 DPI

AI 动态基线建模 BASELINE

实时告警与联动预警 ALERT

全链路溯源取证 FORENSIC

五层技术架构，旁路接入、零改造

四步闭环，从流量到判断

全量采集

语义还原

基线比对

分级预警

已在关键信息基础设施行业落地

把复杂留给我们，把清晰留给你

让安全能力，变成可衡量的运营指标

合规对齐

信创与国产化适配

部署前，你可能会关心

让组态数据的每一次篡改与越权
都在毫秒间被看见

生产网络从来不缺"边界防护"，
缺的是对数据本身的守护