对比文件的名称：2014-03-27_US2014089506A_发明申请_US20140089506A1 SECURING SOFTWARE DEFINED NETWORKS VIA FLOW DEFLECTION
目标专利的名称：732软件定义网络中的安全CN113055369B
本次调用的模型名称：AI语言模型
### 特征比对表格
| 技术特征描述以及公开性判断结果 | 对比文件原文引用 | 公开性论述 |
| **技术特征A：** 在软件定义的网络的控制器处从策略生成器获得至少一个安全策略。 **未公开**。 | D1[0038]：“The controller 127 monitors a network element 122 for detection of a resource utilization condition...” D1[0048]：“The controller 127 generates a flow forwarding rule...” | D1的控制器是直接生成流规则的主体，其生成规则的触发条件是网络元件的资源利用率状况，而非从外部的策略生成器获得安全策略。D1未公开目标专利中由独立于控制器的实体（如安全管理系统、管理应用、管理员）生成安全策略并发送给控制器的架构。本领域技术人员无法毫无疑义地确定D1公开了该特征，也无法通过合理推理得出。 |
| **技术特征B：** 基于指定所述安全策略的特性、所述安全策略的所述生成器的角色以及所述安全策略的所述生成器的所述角色的安全权限等级的一个或者多个属性在所述软件定义的网络中经由所述控制器实施所述安全策略。 **未公开**。 | D1[0048]：“The controller 127 generates a flow forwarding rule for the first network element 122...” | D1的控制器生成转发规则的基础是网络元件的资源利用率状况。D1完全没有公开“安全策略的特性”、“策略生成器的角色”、“角色的安全权限等级”这些属性。本领域技术人员无法从D1中推理出基于这些特定属性来实施安全策略的技术方案。 |
| **技术特征C：** 所述安全策略的属性的所述特性描述所述安全策略是实时策略还是能够具有一些延迟地生效。 **未公开**。 | D1[0063]-[0069] 描述了流偏转的移除可以延迟，但规则生成是实时的。 | D1未将安全策略划分为实时或延迟生效，也未定义“特性”属性来描述此特征。D1的规则生成是实时触发的，而目标专利的策略特性是策略本身的一种属性，决定了同步方式。D1未公开此技术特征。 |
| **技术特征D：** 将所获得的至少一个安全策略翻译成反映至少所述一个或多个属性的流规则。 **未公开**。 | D1[0048]：“The controller 127 generates a flow forwarding rule...” | D1的控制器生成的是流转发规则，其反映的是资源利用状况和偏转目标。D1未公开将“安全策略”翻译成反映“策略特性、生成器角色、安全权限等级”的流规则。该特征涉及对安全策略的语义翻译，而D1是对资源状况的响应，两者本质不同。 |
| **技术特征E：** 在所述控制器的一个或多个流表中更新所述一个或多个流规则。 **《隐含公开》** | D1[0048]：“The controller 127 generates a flow forwarding rule for the first network element 122...” D1[0025]：“...computes forwarding rules...and propagates the forwarding rules...” | 在软件定义网络中，控制器生成规则后，必然会在其自身的状态数据库或流表中维护这些规则的副本，以便进行网络状态管理、策略一致性检查和后续操作。D1虽然没有明确写出“在控制器的流表中更新”这一步骤，但这是SDN控制器实现其控制功能的固有和必然操作。本领域技术人员可以合理推断，D1的控制器在生成流转发规则后，会在其内部流表中进行相应的更新。 |
| **技术特征F：** 根据所述安全策略的属性，将所述一个或多个流规则与所述软件定义的网络中的相关SDN交换机同步。 **未公开**。 | D1[0051]：“The controller 127 propagates the flow forwarding rule to the first network element 122.” | D1公开了将规则同步（传播）到交换机的步骤，但其同步的触发条件是资源利用状况的检测，而非“根据安全策略的属性”。D1未公开“安全策略的属性”，因此无法根据该属性进行同步。本特征限定了同步的依据，D1未公开该依据。 |
| **技术特征G：** 对于实时策略，所述一个或多个流规则的同步是实时实现的，并且对于能够具有一些延迟地生效的安全策略，所述一个或多个流规则的同步是周期地实现的。 **未公开**。 | D1[0063]-[0069] 描述了流偏转规则的移除可以延迟，但初始规则同步是实时的。 | D1仅公开了实时同步（规则生成后立即下发），未公开基于策略特性（实时/延迟）来选择不同的同步方式（实时/周期）。D1未定义“实时策略”和“延迟策略”的概念，也未公开周期同步的实现方式。 |
| **技术特征H：** 所述从策略生成器获得至少一个安全策略的步骤还包括所述控制器利用所述策略生成器执行认证操作、授权操作、完整性验证操作以及机密性验证操作中的至少一项。 **未公开**。 | D1[0034]：“...the connections between the controller and the network elements (e.g., Secure Socket Layer (SSL) connections or other types of connections)...are secure.” D1[0022]：“...communicate using a control protocol of the SDN...” | D1公开了控制器与网络元件（交换机）之间的安全通信通道（SSL/TLS），涉及认证和机密性。然而，本技术特征要求的是控制器与“策略生成器”之间的认证/授权/完整性/机密性验证。D1中不存在与控制器分离的“策略生成器”实体，因此D1未公开控制器与策略生成器之间的此类操作。 |
| **技术特征I：** 所述从策略生成器获得至少一个安全策略的步骤还包括所述控制器在所述认证操作、所述授权操作、所述完整性验证操作以及所述机密性验证操作中的至少一项失败的条件下丢弃所述安全策略。 **未公开**。 | D1[0034], D1[0022]。 | 基于与特征H相同的理由，D1未公开控制器与策略生成器之间的安全验证，因此更未公开验证失败后丢弃安全策略的步骤。 |
| **技术特征J：** 所获得的所述安全策略是响应于由所述软件定义的网络的安全装置检测到的新安全威胁而开发的安全策略。 **未公开**。 | D1[0028]-[0036] 讨论了资源耗尽攻击，但检测是由控制器通过监控网络元件资源利用率实现的。 D1[0038]：“The controller 127 monitors a network element 122 for detection of a resource utilization condition...” | D1的触发机制是控制器监控到的网络元件资源利用率状况，而非由独立的安全装置（如防火墙、IPS、DPI）检测到的新安全威胁。D1未公开安全装置检测威胁并触发策略开发的架构。 |
| **技术特征K：** 所述安全策略的所述特性为紧急、一般以及默认中的一个。 **未公开**。 | D1全文。 | D1未定义安全策略的“特性”属性，也未公开“紧急”、“一般”、“默认”等具体特性值。 |
| **技术特征L：** 所述安全策略的所述生成器的所述角色指定向所述安全策略的所述生成器指配的网络角色。 **未公开**。 | D1全文。 | D1未公开“策略生成器的角色”这一概念。D1的规则生成主体是控制器，不存在被指配网络角色的策略生成器。 |
| **技术特征M：** 所述安全策略的所述生成器的所述角色为安全管理员、一般管理员、用户以及访客中的一个。 **未公开**。 | D1全文。 | D1未公开任何角色划分，更未公开安全管理员、一般管理员、用户、访客等具体角色。 |
| **技术特征N：** 所述安全策略的所述生成器的所述角色的所述安全权限等级针对可向所述策略生成器指配的每个不同角色指定不同层级的安全权限等级。 **未公开**。 | D1全文。 | D1未公开安全权限等级的概念及其与角色的关联。 |
| **技术特征O：** 在指配给第一角色的所述安全权限等级在层级上低于指配给第二角色的所述安全权限等级的条件下，与所述第二角色关联的所述安全策略取得超过与所述第一角色关联的所述安全策略的实施优先权。 **未公开**。 | D1全文。 | D1未公开基于安全权限等级的策略冲突解决和优先级机制。 |
| **技术特征P：** 所述实施所述安全策略的步骤还包括所述控制器基于指定所述安全策略的特性、所述安全策略的所述生成器的角色以及所述安全策略的所述生成器的所述角色的安全权限等级的所述一个或者多个属性来将所述安全策略翻译成至少一个流规则。 **未公开**。 | D1[0048]：“The controller 127 generates a flow forwarding rule...” | 与特征D/B类似，D1的规则生成基础是资源利用率，而非安全策略的上述三个属性。该特征进一步明确了翻译的依据，D1未公开。 |
| **技术特征Q：** 所述实施所述安全策略的步骤还包括所述控制器执行以下一项或多项：确定从所述安全策略翻译的所述流规则与流表中的现有流规则之间是否存在冲突。 **未公开**。 | D1[0050] 描述了基于流定义的选择性流偏转。 | D1在选择性流偏转中，控制器需要判断哪些流需要偏转，但这并非判断“从安全策略翻译的流规则”与“现有流规则”之间的冲突。D1未公开针对安全策略翻译规则与现有规则进行冲突检测的步骤。 |
| **技术特征R：** 基于所述安全策略的所述生成器的所述角色的所述安全权限等级解决从所述安全策略翻译的所述流规则与所述流表中的所述现有流规则之间的冲突。 **未公开**。 | D1全文。 | D1未公开安全权限等级，也未公开基于该等级解决规则冲突的方法。 |
| **技术特征S：** 利用从所述安全策略翻译的所述流规则来更新所述流表。 **《隐含公开》** | D1[0048]：“The controller 127 generates a flow forwarding rule...” D1[0051]：“The controller 127 propagates the flow forwarding rule to the first network element 122.” | 与特征E类似，控制器生成规则后，必然会在其流表中更新该规则，以维护网络状态和进行管理。尽管D1未明确写出控制器更新其自身流表的步骤，但这是SDN控制器的标准操作。本领域技术人员可以合理推断，D1的控制器在生成并传播规则后，会利用该规则更新其内部的流表。 |
| **技术特征T：** 向所述软件定义的网络中的一个或者多个交换机分发从所述安全策略翻译的所述流规则，以使得所述一个或者多个交换机能够根据所述流规则完成所述软件定义的网络中的数据流。 **《隐含公开》** | D1[0051]：“The controller 127 propagates the flow forwarding rule to the first network element 122.” D1[0052]：“...the first network element 122, based on reception of a request for a new data flow...forwards a new flow request...to the second network element 122...” | D1明确公开了控制器向网络元件（交换机）分发流规则，使得该交换机能够根据该规则处理数据流（将新流请求转发给邻居交换机）。虽然D1的规则是流转发规则而非直接由安全策略翻译而来，但“向交换机分发规则以完成数据流处理”这一核心操作已被D1完全公开。结合安全策略翻译这一本领域公知常识，D1部分公开了本技术特征。 |
| **技术特征U：** 在向一个或者多个交换机分发所述流规则之前利用所述一个或者多个交换机执行认证操作、完整性验证操作以及机密性验证操作中的至少一项。 **《隐含公开》** | D1[0034]：“...the connections between the controller and the network elements (e.g., Secure Socket Layer (SSL) connections or other types of connections)...are secure.” D1[0022]：“...communicate using a control protocol of the SDN...” | D1明确公开了控制器与网络元件（交换机）之间的通信通道是安全的，并具体例举了SSL连接。SSL/TLS协议在建立连接时会自动执行双向认证、加密（机密性）和完整性校验。本领域技术人员可以合理推断，在利用该安全通道分发流规则之前，必然已经执行了认证、完整性验证和机密性验证中的至少一项操作。 |
| **技术特征V：** 所获得的所述安全策略包括分组扫描检测指令。 **未公开**。 | D1全文。 | D1主要关注资源耗尽攻击的缓解，未涉及分组数据扫描检测。D1未公开安全策略中包含分组扫描检测指令。 |
| **技术特征W：** 所述实施所述安全策略的步骤还包括所述控制器基于数据流情况和分组扫描模式将具有所述分组扫描检测指令的所述安全策略翻译成流规则，以使得所翻译的所述流规则被分发到的所述软件定义的网络中的一个或者多个交换机被指示为向所述软件定义的网络中的安全装置转发经过所述交换机的一个或者多个指定的分组。 **未公开**。 | D1全文。 | D1未公开分组扫描检测指令、分组扫描模式或指示交换机向安全装置转发指定分组的流规则。 |
<<<e>>><<<s>>><<<t>>><<<u>>>