[发明专利]一种面向集散控制系统的上位机异常状态监测方法

权利要求书

1.一种面向集散控制系统的上位机异常状态监测方法，该方法利用部署在集散控制系统的上位机中的Moniter进程模块，对上位机的CPU、内存及I/O性能进行监测；所述上位机为工程师站或操作站；所述方法包括：

步骤1)上位机加载Moniter进程模块；

步骤2)加载Moniter进程句柄表；

步骤3)读取Moniter线程列表；

步骤4)对上位机的CPU、内存及I/O进行性能监测；

步骤5)如果某个性能的数值超过设定的阈值，发送上位机出现异常状态信息，否则，转入步骤4)。

2.根据权利要求1所述的面向集散控制系统的上位机异常状态监测方法，其特征在于，所述步骤1)的具体实现过程为：

Moniter进程模块信息存储在_LDR_DATA_TABLE_ENTRY中，包含了DLL文件路径、加载基地址、模块大小等信息；该结构索引路径为：

EPROCESS->PEB->PEB_LDR_DATA->InLoadOrderModuleList

根据数字签名验证加强算法对该模块进行签名验证。

3.根据权利要求1所述的面向集散控制系统的上位机异常状态监测方法，其特征在于，所述步骤2)的具体实现过程为：

进程句柄表包含了该进程创建或打开的句柄信息，包括：文件句柄、进程句柄、线程句柄和事件句柄；句柄表索引路径为：

EPROCESS->HANDLE_TABLE->HANDLE_TABLE_ENTRY

句柄表分为三层，最顶层最多包含256个指针，指向中间层；中间层最多包含256个指针，指向最底层；三段句柄值分别用来寻址三层结构；由最低层的值解析出句柄类型、句柄名和句柄对象信息；再根据句柄类型进一步解析句柄对象，若是文件句柄，解析出文件路径；若是进程句柄，解析出进程名。

4.根据权利要求1所述的面向集散控制系统的上位机异常状态监测方法，其特征在于，所述步骤3)的具体实现过程为：

内核使用ETHREAD结构描述线程体信息，包括线程ID、优先级、状态、创建时间和线程入口地址信息；

所以该结构索引路径为EPROCESS->ThreadListHead->ETHREAD，根据入口地址定位该线程的宿主模块，并对该模块进行签名验证。

5.根据权利要求1所述的面向集散控制系统的上位机异常状态监测方法，其特征在于，所述步骤4)的具体实现过程为：

CPU时钟数的计算公式为：

其中idel为闲散进程CPU时钟数，sum为所有进程CPU时钟数；进程CPU时钟数由EPROCESS->KPROCESS->(KernelTime,UserTime)提供；

内存检测用于统计进程所占用的内存数量：

EPROCESS->MMSUPPORT->(PeakWorkingSetSize,WorkingSet

Size,MinimumWorkingSetSize,MaximumWorkingSetSize)定义了进程的内存峰值、当前值、允许的最大值与最小值；

进程的I/O访问量由

EPROCESS->(ReadOperationCount,WriteOperationCount,OtherOperationCount)实现。