建模的核心是覆盖工况
流量基线的用途是给白名单、异常检测与规则定制提供事实依据，因此它的质量取决于采集是否反映了现场的全部真实行为。很多建模失败的现场都栽在同一件事上：采集只跨了几个正常生产日，结果把月度任务、年度检修、换型操作、季节设备启停与备用机组投运全部漏掉，上线后第一次遇到这些工况就误拦。正确的节奏是先明确需要覆盖哪些工况，再据此刻画采集窗口，必要时跨月甚至跨季度分段采集，并在评审时把每条通信关系对应回具体业务动作。
基本信息
| 前置条件 | 监测点容量充足、时间同步已配置、现场状态已确认为正常 |
|---|---|
| 采集覆盖 | 正常生产、启停、换型、检修、季节工况、备用设备投运与周期性任务 |
| 聚合维度 | 源、目的、协议、方向、频率与周期、数据量量级 |
| 产物形式 | 通信矩阵、协议与服务清单、周期特征说明、资产角色清单 |
| 评审要求 | 工艺、设备管理与安全共同确认，重点核对难以解释的通信关系 |
| 维护触发 | 新增设备、工艺改造、软件升级、设备更换与工况改变 |
建模步骤
- 定范围：明确为哪些区域或链路建模，避免一次覆盖全厂导致质量下降
- 定监测点：确认镜像或分流容量足够，避免采集过程中静默丢包
- 确认状态：采集前确认无异常主机与异常通信，否则基线会被污染
- 分段采集：按工况分段采集并标注时间段，便于后续解释通信差异
- 清洗聚合：去掉广播噪声与无关流量，把海量会话聚合成可读关系条目
- 评审成文：形成通信矩阵与协议清单，逐条确认业务依据与责任人
- 上线维护：以基线驱动白名单与检测规则，并随变更同步更新
采集方式对照
| 采集方式 | 特点 | 注意点 |
|---|---|---|
| 交换机端口镜像 | 部署简单，无需断开链路 | 容量不足会静默丢包，需核对峰值流量 |
| 网络分流设备 | 性能稳定，可多路复用 | 需要接入链路，涉及施工与窗口 |
| 主机侧采集 | 能看到本机协议交互细节 | 覆盖范围有限，适合重点设备补充 |
| 设备日志与计数器 | 不增加网络负载 | 工控设备日志能力有限，粒度过粗 |
评审阶段是拦住污染基线的最后一道关。建议专门安排一次会议逐条过一遍通信关系，重点看三类条目：从未听说过的源目的组合、跨越区域边界的通信、以及访问范围明显偏大的写操作，这些通常需要解释或整改。