传统的工业控制网络由于物理上的隔离,无需担心安全问题。但是近年来,随着工业信息化概念的提出,工业技术与互联网技术逐渐融合,越来越多的工业控制网络打破了物理隔离与传统计算机网络相连,这一变化在给工业生产带来了效率提升的同时,也带来了一系列的安全问题。传统网络安全防护方法由于对协议规范依赖度高,在引入工控领域时面临大量私有工控协议会产生解析困难的问题。因此,为了网络安全防护技术和工控协议能够更好地兼容协作并达到防护工控网络安全的目的,本文提出新的逆向分析方法,旨在通过对工控协议报文的分析推断出具体的协议规范。本文的具体研究内容和创新点如下:（1）一种基于关键字段的未知工控协议报文分类方法。本文对工控协议报文格式进行了深入剖析,发现工控协议对话报文在结构上具有关联性,针对工控协议单一报文类别特征不明显的问题进行分析,提出了一种基于关键字段的未知工控协议报文分类方法。该方法首先通过序列比对提取对话报文结构中的关联性特征,产生能反映关联性特征的状态序列。其次使用投票的方法,从状态序列相近的对话报文中识别关键字段位置。然后基于关键字段构造特征矩阵。最后选取合适的降维、聚类算法完成报文分类。与私有二进制协议报文聚类方法相比,该方法在分类效率获得了大幅提升的情况下,分类效果优化了3%到15%,具体提升效果与参数选取有关。（2）一种基于字段冗余的未知工控协议报文分段方法。由于创新点（1）仅达到了分类目的,缺少对报文的分段,且由于其他传统的报文分段方法不能很好地处理工控协议报文不同字段取值重复率高地问题,本文提出了一种基于字段冗余的未知工控协议报文分段方法。该方法利用了工控协议报文字段前普遍存在的冗余位,首先统计同类报文中每个报文不同位置元素的冗余位数量,计算出该类报文不同位置的冗余度。其次依据冗余度计算分界特征值。然后从分界特征值中发现字段规律并找出分段位置。最后结合工控协议报文中的字段特征,对错误分段进行识别和修正。与NEMESYS方法相比,该方法在参数选取合适的情况下,分段效果优化了10%以上,并且该方法同样保证了较高的分段效率。