对比文件的名称：2014-03-13_US2014075498A_发明申请_US20140075498A1 SECURITY MEDIATION FOR DYNAMICALLY PROGRAMMABLE NETWORK
目标专利的名称：732软件定义网络中的安全CN113055369B
本次调用的模型名称：通义千问
| 技术特征描述及公开性判断结果 | 对比文件原文引用 | 公开性论述 |
| 技术特征A：包括：在软件定义的网络的控制器处从策略生成器获得至少一个安全策略 《直接公开》 | 对比文件[0038]‑[0044]：安全中介服务150接收来自网络应用110、112的分组处置指令154。网络控制器/交换机接口120控制软件应用与交换机之间的通信。 | 对比文件明确描述了在SDN控制器处（网络控制器/交换机接口120）从策略生成器（网络应用110、112）获得分组处置指令（相当于安全策略），本领域技术人员可以毫无疑义地确定该特征被直接公开。 |
| 技术特征B：基于指定所述安全策略的特性、所述安全策略的所述生成器的角色以及所述安全策略的所述生成器的所述角色的安全权限等级的一个或者多个属性在所述软件定义的网络中经由所述控制器实施所述安全策略 | 对比文件[0005]：冲突分析器基于与分组处置指令源关联的角色和/或能力决定是否在交换机实施该指令。对比文件[0055]描述安全角色（role）和能力（capability），但未提及“安全策略的特性”属性。 | 对比文件公开了基于角色和能力（能力可视为安全权限等级的近似）来实施策略，但未公开“安全策略的特性”（实时或延迟）这一属性。特征B要求指定该特性属性，对比文件未指定，因此未公开。 |
| 技术特征C：其中所述安全策略的属性的所述特性描述所述安全策略是实时策略还是能够具有一些延迟地生效 | 对比文件全文未描述安全策略的特性分类（实时/延迟）。 | 对比文件没有公开策略特性用于区分实时或延迟生效，本领域技术人员无法从对比文件得出该特征。 |
| 技术特征D：将所获得的至少一个安全策略翻译成反映至少所述一个或多个属性的流规则 | 对比文件[0052]描述安全指令翻译器将高级指令转换为分组处置指令，但未明确翻译成反映属性（特性、角色、权限等级）的流规则。 | 对比文件未公开将安全策略翻译成明确反映所述属性的流规则，流规则与属性的关联是通过源间接实现，而非翻译步骤直接体现。 |
| 技术特征E：在所述控制器的一个或多个流表中更新所述一个或多个流规则 《直接公开》 | 对比文件[0042]：安全策略在交换机处实施为流规则，维护在本地流表中。对比文件[0063]：状态表管理器管理聚合活跃状态表。对比文件[0073]：更新聚合活跃状态表和交换机本地流表。 | 对比文件明确公开了在控制器（安全中介服务）的流表（聚合活跃状态表）中更新流规则，本领域技术人员可毫无疑问地确定该特征被直接公开。 |
| 技术特征F：根据所述安全策略的属性，将所述一个或多个流规则与所述软件定义的网络中的相关SDN交换机同步 | 对比文件[0073]：将分组处置更新发送到交换机以实例化指令，但未提及根据属性（如特性、角色等）进行同步。 | 对比文件公开了同步流规则到交换机，但未公开同步过程是根据安全策略的属性（如实时/延迟）进行的，因此未公开该特征。 |
| 技术特征G：其中对于实时策略，所述一个或多个流规则的同步是实时实现的，并且对于能够具有一些延迟地生效的安全策略，所述一个或多个流规则的同步是周期地实现的。 | 对比文件[0037]提及“实时”但未作为策略属性，且未区分实时同步与周期性同步。 | 对比文件没有公开基于策略特性（实时/延迟）采用不同同步方式（实时/周期），本领域技术人员无法得出该特征。 |
| 技术特征H：其中所述从策略生成器获得至少一个安全策略的步骤还包括所述控制器利用所述策略生成器执行认证操作、授权操作、完整性验证操作以及机密性验证操作中的至少一项。 《直接公开》 | 对比文件[0062]：角色源认证器认证源；[0067]：确定源是否被允许（授权）；[0056]：数字签名用于完整性验证；[0054]：SSL通信提供机密性。 | 对比文件公开了在获得策略时执行认证、授权、完整性验证（数字签名）和机密性验证（SSL）中的至少一项，本领域技术人员可毫无疑问地确定该特征被直接公开。 |
| 技术特征I：其中所述从策略生成器获得至少一个安全策略的步骤还包括所述控制器在所述认证操作、所述授权操作、所述完整性验证操作以及所述机密性验证操作中的至少一项失败的条件下丢弃所述安全策略。 《直接公开》 | 对比文件[0070]：拒绝分组处置指令；[0067]：如果源不被允许则拒绝。 | 对比文件公开了在认证、授权等失败时拒绝（丢弃）策略，本领域技术人员可毫无疑义地确定该特征被直接公开。 |
| 技术特征J：其中所获得的所述安全策略是响应于由所述软件定义的网络的安全装置检测到的新安全威胁而开发的安全策略。 | 对比文件[0037]提及对安全威胁做出反应，但未提及安全装置（如防火墙、IDS）检测威胁。对比文件[0086]描述网络应用检测恶意扫描器，但并非安全装置。 | 对比文件未公开安全策略是由安全装置检测到新安全威胁而开发的，本领域技术人员无法合理推断出该特征。 |
| 技术特征K：其中所述安全策略的所述特性为紧急、一般以及默认中的一个。 | 对比文件全文未定义策略特性为紧急、一般或默认。 | 对比文件没有公开策略特性的具体分类（紧急、一般、默认），本领域技术人员无法得出该特征。 |
| 技术特征L：其中所述安全策略的所述生成器的所述角色指定向所述安全策略的所述生成器指配的网络角色。 《直接公开》 | 对比文件[0055]：网络安全凭证表维护源与安全角色的关联，角色定义可分配给源的安全角色。 | 对比文件明确公开了角色指定给策略生成器（源），本领域技术人员可毫无疑问地确定该特征被直接公开。 |
| 技术特征M：其中所述安全策略的所述生成器的所述角色为安全管理员、一般管理员、用户以及访客中的一个。 | 对比文件[0055]列出预定义角色示例：网络管理员、安全相关网络应用、非安全相关应用。未出现“一般管理员”、“用户”、“访客”等具体角色名称。 | 对比文件公开的角色类型与目标专利的具体角色列表不完全对应，本领域技术人员无法从对比文件合理推断出“安全管理员、一般管理员、用户、访客”这一具体集合。 |
| 技术特征N：其中所述安全策略的所述生成器的所述角色的所述安全权限等级针对可向所述策略生成器指配的每个不同角色指定不同层级的安全权限等级。 《直接公开》 | 对比文件[0055]：每个角色具有关联的优先级（priority），用于冲突解决，不同角色具有不同优先级。 | 对比文件公开了不同角色具有不同安全权限等级（优先级），本领域技术人员可毫无疑问地确定该特征被直接公开。 |
| 技术特征O：其中在指配给第一角色的所述安全权限等级在层级上低于指配给第二角色的所述安全权限等级的条件下，与所述第二角色关联的所述安全策略取得超过与所述第一角色关联的所述安全策略的实施优先权。 《直接公开》 | 对比文件[0079]：如果候选规则的角色优先级高于冲突的活跃规则的角色优先级，则覆盖活跃规则。 | 对比文件公开了高优先级角色策略优先于低优先级角色策略，本领域技术人员可毫无疑问地确定该特征被直接公开。 |
| 技术特征P：其中所述实施所述安全策略的步骤还包括所述控制器基于指定所述安全策略的特性、所述安全策略的所述生成器的角色以及所述安全策略的所述生成器的所述角色的安全权限等级的所述一个或者多个属性来将所述安全策略翻译成至少一个流规则。 | 对比文件[0052]描述安全指令翻译器，但未明确基于特性、角色、权限等级属性进行翻译；对比文件[0061]描述流规则但未反映属性。 | 与特征D类似，对比文件未公开基于所述属性将安全策略翻译成流规则的过程，本领域技术人员无法得出该特征。 |
| 技术特征Q：其中所述实施所述安全策略的步骤还包括所述控制器执行以下一项或多项：确定从所述安全策略翻译的所述流规则与流表中的现有流规则之间是否存在冲突 《直接公开》 | 对比文件[0064]：冲突分析器确定候选流规则是否与当前活跃指令集冲突。对比文件[0074]‑[0078]详细描述冲突检测方法。 | 对比文件明确公开了确定流规则与现有流规则之间是否存在冲突，本领域技术人员可毫无疑问地确定该特征被直接公开。 |
| 技术特征R：基于所述安全策略的所述生成器的所述角色的所述安全权限等级解决从所述安全策略翻译的所述流规则与所述流表中的所述现有流规则之间的冲突 《直接公开》 | 对比文件[0079]：冲突解决基于候选规则的角色优先级与冲突活跃规则的角色优先级比较，高优先级覆盖低优先级。 | 对比文件公开了基于角色安全权限等级（优先级）解决冲突，本领域技术人员可毫无疑问地确定该特征被直接公开。 |
| 技术特征S：利用从所述安全策略翻译的所述流规则来更新所述流表 《直接公开》 | 对比文件[0073]：更新聚合活跃状态表（相当于流表）以包含新批准的指令，并更新交换机本地流表。 | 对比文件明确公开了利用批准的流规则更新流表，本领域技术人员可毫无疑问地确定该特征被直接公开。 |
| 技术特征T：向所述软件定义的网络中的一个或者多个交换机分发从所述安全策略翻译的所述流规则，以使得所述一个或者多个交换机能够根据所述流规则完成所述软件定义的网络中的数据流 《直接公开》 | 对比文件[0073]：通过发送分组处置更新到交换机来实例化指令，交换机据此更新本地流表并处理数据流。 | 对比文件明确公开了向交换机分发流规则以使交换机根据规则处理数据流，本领域技术人员可毫无疑问地确定该特征被直接公开。 |
| 技术特征U：在向一个或者多个交换机分发所述流规则之前利用所述一个或者多个交换机执行认证操作、完整性验证操作以及机密性验证操作中的至少一项。 | 对比文件[0054]描述与外部应用使用SSL，但未提及在分发前与交换机执行认证、完整性或机密性验证。对比文件[0065]提及交换机状态变化检测，但非认证操作。 | 对比文件未公开在分发流规则前与交换机执行认证、完整性或机密性验证，本领域技术人员无法得出该特征。 |
| 技术特征V：其中所获得的所述安全策略包括分组扫描检测指令。 | 对比文件全文未提及分组扫描检测（packet scanning detection）或类似指令。 | 对比文件未公开任何关于分组扫描检测的内容，本领域技术人员无法得出该特征。 |
| 技术特征W：其中所述实施所述安全策略的步骤还包括所述控制器基于数据流情况和分组扫描模式将具有所述分组扫描检测指令的所述安全策略翻译成流规则，以使得所翻译的所述流规则被分发到的所述软件定义的网络中的一个或者多个交换机被指示为向所述软件定义的网络中的安全装置转发经过所述交换机的一个或者多个指定的分组。 | 对比文件全文未提及分组扫描检测指令、数据流情况、分组扫描模式或向安全装置转发指定分组。 | 对比文件未公开任何与分组扫描检测相关的特征，本领域技术人员无法得出该特征。 |
<<<A>>><<<E>>><<<H>>><<<I>>><<<L>>><<<N>>><<<O>>><<<Q>>><<<R>>><<<S>>><<<T>>>