一种方法，包括： 在软件定义的网络的控制器处从策略生成器获得至少一个安全策略； 基于指定所述安全策略的特性、所述安全策略的所述生成器的角色以及所述安全策略的所述生成器的所述角色的安全权限等级的一个或者多个属性在所述软件定义的网络中经由所述控制器实施所述安全策略，其中所述安全策略的属性的所述特性描述所述安全策略是实时策略还是能够具有一些延迟地生效； 将所获得的至少一个安全策略翻译成反映至少所述一个或多个属性的流规则； 在所述控制器的一个或多个流表中更新所述一个或多个流规则；以及 根据所述安全策略的属性，将所述一个或多个流规则与所述软件定义的网络中的相关SDN交换机同步，其中对于实时策略，所述一个或多个流规则的同步是实时实现的，并且对于能够具有一些延迟地生效的安全策略，所述一个或多个流规则的同步是周期地实现的。

作为一名经验丰富的专利代理师，我将针对目标专利（授权公告号：CN113055369B，以下简称“本申请”）的权利要求1，结合对比文件D1-D4进行深度解析与创造性评述。

### 一、 目标专利权利要求1 技术特征分解

权利要求1可分解为以下技术特征：

* **特征A**：一种方法，包括：在软件定义的网络（SDN）的控制器处从策略生成器获得至少一个安全策略；

* **特征B**：基于指定安全策略的特性、策略生成器的角色以及策略生成器的角色的安全权限等级的一个或者多个属性在SDN中经由控制器实施安全策略；

* **特征C**：安全策略的属性的特性描述安全策略是实时策略还是能够具有一些延迟地生效；

* **特征D**：将所获得的至少一个安全策略翻译成反映至少一个或多个属性的流规则；

* **特征E**：在控制器的一个或多个流表中更新一个或多个流规则；

* **特征F**：根据安全策略的属性，将流规则与SDN中的相关SDN交换机同步；

* **特征G**：对于实时策略，同步是实时实现的，对于能够延迟生效的安全策略，同步是周期地实现的。

---

### 二、 特征比对表格（特征比对表）

我们将对比文件分别代指为：

* **D1**: JP2008537829A

* **D2**: WO2012141086A1

* **D3**: CN103326884A

* **D4**: WO2013158917A2

---

### 三、 对比文件详细出处与技术特征分析

#### 1. D2 (WO2012141086A1)

* **出处**：说明书第[0035]-[0042]段，图3、图4。

* **分析**：D2公开了SDN控制器（OFC1）根据包含认证ID、策略ID（对应角色）和优先级（对应安全等级）的策略信息，通过流控制部将策略翻译并下发到OpenFlow交换机（OFS2）的过程。这涵盖了**特征A、D、E**。D2的“优先级”在一定程度上对应于“安全权限等级”（特征B），但D2未明确提出根据策略的“实时性特性”来区分“实时同步”与“周期同步”。

#### 2. D3 (CN103326884A)

* **出处**：说明书第[0010]段、第[0024]段、第[0040]段。

* **分析**：D3重点在于“业务流感知”。它明确区分了“视频、语音、数据”等业务类型，并识别“实时特征和非实时特征”（**特征C**）。在实施上，D3提到控制器可以“随机、定时或者定分组数采样实时业务流”（**特征G的上位体现**）。虽然D3侧重于对已有流的感知采样，但其公开了针对不同实时性特征的流采取不同的处理频率/时机，对特征G具有极强的启示。

#### 3. D4 (WO2013158917A2)

* **出处**：说明书[p0006]、[p0098]、[p0128]段。

* **分析**：D4主要解决SDN中流规则同步的一致性问题。它提到控制器计算转发状态并下发，特别强调了“事务化”传播。它公开了在更新首跳和非首跳设备时的时序控制（**特征F**）。虽然它没有直接说“周期同步”，但其通过“Barrier”（屏障）和“Batching”（批处理）机制（[p0156]段）来管理更新流的提交，这在技术本质上与“周期/成批同步”异曲同工。

---

### 四、 最接近对比文件分析

在创造性分析中，**D3 (CN103326884A)** 和 **D2 (WO2012141086A1)** 均适合作为最接近的对比文件。

* **理由（D3）**：D3与本申请解决的技术问题最接近，即如何在SDN中根据业务流的不同特征进行有效感知和管理。D3已经公开了区分“实时”与“非实时”特征（特征C），并给出了定时处理的手段（特征G）。

* **理由（D2）**：D2公开了SDN中基于安全认证和策略ID进行流规则转换的完整架构，其“角色/优先级”模型与本申请的“生成器角色/权限等级”高度重合（特征B）。

**技术问题与效果分析**：

本申请解决的整体技术问题是：**如何既保证高等级安全策略的及时响应，又减少控制器与交换机之间频繁同步带来的性能开销。**

其技术效果是：通过“实时策略实时同步”确保了对攻击的快速反应（如场景1），通过“延迟策略周期同步”优化了系统整体性能（如场景4）。

---

### 五、 创造性评述与无效请求突破口

**1. 缺失特征的结合分析：**

* **特征B/C/G的结合**：如果以D2为最接近对比文件，其缺失特征主要是“根据实时/延迟特性区分同步方式（特征G）”。然而，D3已经公开了业务感知的实时/非实时分类及定时处理。对于本领域技术人员来说，将D3的流特征识别逻辑引入D2的安全策略控制框架，以优化同步效率，是显而易见的。

* **特征G的细节**：D4公开了批处理同步（Batching）以提高效率。将D3的实时性分类与D4的批处理更新机制结合，基本可以覆盖特征G。

**2. 结论：最薄弱的技术特征**

若提出无效请求，本权利要求**最薄弱的技术特征是：特征G**。

* **原因**：虽然特征G在形式上是本申请的核心贡献，但在SDN领域，“批处理同步（Batching）”以节省资源以及“高优先级实时下发”已经是公知常识或被D3、D4实质公开。本申请将其挂钩到“策略生成器的角色和权限等级”上虽然具有一定的针对性，但在D2已经公开了基于角色的访问控制（RBAC）和优先级设置的前提下，这种结合往往被认为仅是行政管理规则在技术手段上的常规映射。

**总结建议**：

在无效程序中，应重点通过 **D2+D3+D4** 的组合进行打击。D2负责架构和角色权限，D3负责实时/非实时的特性识别，D4负责证明定时/批处理同步是SDN中的通用技术手段。三者结合，权利要求1的创造性将面临极大挑战。

尊敬的委托人：

我是您的专利代理师。针对您提出的无效宣告请求预研需求，我紧密结合目标专利（CN113055369B，以下简称“本专利”）的说明书，对权利要求1进行了深入解析。在此基础上，我详细审阅了您提供的四份对比文件（原文），进行了逐项特征比对和创造性分析。

以下是我的详细分析报告：

### 第一部分：目标专利权利要求解释与技术问题分析

#### 1. 权利要求1的技术特征分解

根据本专利说明书的描述，我将权利要求1分解为以下7个逻辑技术特征，并结合说明书给出了具体解释：

#### 2. 本专利整体解决的技术问题及技术效果

* **技术问题：** 在SDN网络中，如何保证安全策略生成的可靠性，精确翻译策略为流规则，处理流规则冲突（防止低权限应用篡改高权限安全策略），以及如何针对不同类型（实时性要求不同）的攻击做出高效反应。

* **技术效果：** 通过引入角色和权限等级属性，防止了恶意篡改，解决了规则冲突（场景2）；通过引入特性属性（实时/延迟），实现了对新攻击的自动迅速反应，同时兼顾系统整体性能（紧急立即同步，普通定期同步）。

---

### 第二部分：对比文件特征比对及分析

我们对四篇对比文件进行了分析，具体公开号如下：

* **D1:** US20130291088A1

* **D2:** US20140052836A1

* **D3:** CN103607379A

* **D4:** US20140075498A1

以下是本专利权利要求1与各对比文件的详细特征比对表：

#### 特征比对表格

#### 各对比文件详细分析：

**1. D1 (US20130291088A1 Cooperative Network Security Inspection)**

* **公开的技术特征：** D1侧重于分布式防火墙架构，其中OpenFlow控制器用于管理网络接入设备和安全处理节点。它公开了特征A（由管理员通过控制器或管理实体配置过滤规则，【0018】）和特征D的部分（规则安装到交换机，【0026】）。特征B、E、F仅有上位概念的隐喻，完全没有公开特征C和G。

**2. D2 (US20140052836A1 Network Switching System Using SDN Applications)**

* **公开的技术特征：** D2专注于解决多个相互独立的SDN应用产生冲突规则的问题。它公开了特征A（控制器基于SDN应用创建流条目，【0019】-【0020】）。特别地，D2公开了**应用优先级**（特征B的部分）和翻译/resolving冲突（特征D），公开了流规则处理引擎根据优先级应用至少一个规则【0006】。在特征C和G（实时性特性属性）上是空白。

**3. D3 (CN103607379A 一种软件定义网络安全实施方法、系统及控制器)**

* **技术特征分析（原文出处）：**

* **毫无异议公开特征A：** 【0011】“安全应用根据网络状态信息...生成相应的安全策略...将所述安全应用生成的安全策略转换成流表项规则”。

* **毫无异议公开特征D：** 【0012】“所述安全核心模块将所述安全应用生成的安全策略转换成流表项规则，安装或更新至数据层交换机。”

* **实质公开特征B（除了特性属性）：** D3明确提出了基于应用**角色**和受信模型建立应用**优先级**。在说明书【0018】原文中指出：“安全核心模块根据受信模型建立应用优先级，其中，安全应用具有最高应用优先等级，一般应用根据所属角色划分为若干应用优先级。”并在规则冲突时“权重采用应用优先级”。这实质上公开了基于生成器的角色及其权限等级（优先级）来实施策略。

* **关于特征E、F：** D3隐含了规则在控制器的管理（【0007】提及安装和修改交换机流规则来动态改变网络视图）和向交换机的下发。

**4. D4 (US20140075498A1 Security Mediation for Dynamically Programmable Network)**

* **技术特征分析（原文出处）：**

* **毫无异议公开特征A：** D4核心是Security Mediation Service，接收Packet Disposition Directives。原文【0005】：“authentication source to authenticate a source of a packet disposition directive... where the source includes one of a network administrator and a software application.”

* **毫无异议公开特征B（除了特性属性）：**原文【0005】：“conflict analyzer to determine whether to implement the packet disposition directive at the network switch based on one or more of a **role** associated with the source... and a capability associated with the source”。并在【0006】指出角色有优先级，等级（Level）取决于鉴权【0055】（“The source 158's role 160 and/or capabilities 162 may be determined based at least in part on whether the source 158 has associated digital authentication content”）。这完全公开了基于策略生成器的角色和权限等级属性来实施策略的技术特征。

* **毫无异议公开特征D：**原文【0008】：“security directive translator to prepare the packet disposition directive based on a network security policy associated with the source.” Directive反映了角色属性。

* **毫无异议公开特征E：**原文【0008】：“state table manager to maintain consistency between an aggregate table... across a plurality of network switches... and a local table... at the network switch”。Aggregate table实质上是控制器处的流表。

* **关于特征F、G：**原文提到可以有序地向多个交换机同步更新【0074】，“order ensures that the state of the network 100 remains consistent”。但这侧重于多交换机一致性，并未提及根据安全策略是“实时策略”还是“延迟策略”属性来选择实时同步或周期同步。特征C和G未公开。

---

### 第三部分：最接近的对比文件（D1-D4）的选择与创造性分析

#### 1. 选择最接近的对比文件

在进行创造性分析（尤其是基于无效宣告请求的目的）时，选择最接近的对比文件通常基于以下标准：领域相同、解决的技术问题最相似、或者公开的技术特征最多。

* **整体解决的技术问题：**

* 本专利解决的是SDN中安全策略的安全实施、冲突解决和高效同步问题。

* D1解决的是分布式防火墙下流配置问题。

* D2解决的是多个独立SDN应用导致的规则冲突问题。

* D3解决的是SDN面临的安全问题（策略一致性、恶意应用），通过独立的“安全切面”来实施安全策略。

* D4解决的是动态可编程网络中安全策略实施的鉴权和冲突分析问题。

* **分析与结论：**

D1和D2涉及的技术问题较为单一，且特征公开数量明显少于D3和D4。

**D3**涉及了角色、优先级解决冲突、策略鉴权，且本专利本身就是一件中国专利申请的分案申请，D3同属中国申请，技术背景和思维模式极其相近。

**D4**公开的技术特征数量最多（A、B、D、E部分、F部分），且其角色优先级体系（管理员>安全应用>其他）与本专利几乎完全一致，重点解决的冲突分析问题也高度重合。

综上，**对比文件D3和D4在创造性分析过程中都适合作为最接近的对比文件。** 可以单独基于D3或D4出发，结合本领域公知常识或其他对比文件对创造性发起挑战。

#### 2. 最薄弱的技术特征分析

通过特征比对表可以清晰地看出，尽管D3和D4公开了大部分特征（A、B部分、D、E、F），但均未能毫无异议地公开特征C和G，特征F也仅具有隐喻性质。

* **特征C和G的具体定义：** 根据策略特性属性（是否为实时策略）明确规定同步方式（实时实现 vs 周期批量实现）。

这个特征是本专利技术方案中的一个重要技术支点，用于说明说明书【0025】中提到的技术效果——“提高系统性能”。在SDN领域，控制器的处理能力和控制通道的带宽往往是系统瓶颈。将安全策略区分为需要紧急响应的攻击（如防火墙在线检测，实时策略）和允许一定延迟的策略（成批同步以优化性能，能够具有延迟地生效的安全策略），在安全性和系统性能之间取得了很好的平衡。

因此，**特征G（权利要求1中将特征C和F结合，描述根据实时/延迟特性执行实时同步或周期同步的具体动作）是如果提出无效请求最薄弱的技术特征，或者说是最具有创造性的技术特征。** 任何试图通过公知常识来论证这一特定技术方案的合理性的尝试，都容易引入“后见之明”的风险。除非能找到其他明确公开基于不同安全等级/特性调整同步频率（实时与定期对比）的对比文件，否则无效权利要求1的难度极大。

以上是我的专业分析。如有任何疑问，欢迎随时进一步沟通。

专利代理师

[代理师姓名]

[日期]

作为一名经验丰富的专利代理师，我紧密结合目标专利说明书（CN113055369B，以下简称“目标专利”）以及提供的对比文件，对权利要求1进行深入的侵权/无效分析和创造性比对。

### 第一部分：权利要求特征分解及术语解释

根据目标专利说明书的描述，权利要求1的技术方案旨在解决SDN网络中，如何基于策略生成器的属性（角色、权限等级）和策略特性（实时性）来精确翻译并实施安全策略，特别是通过不同的同步方式（实时或周期）来平衡安全性和系统性能的问题。

我们将权利要求1分解为以下技术特征，并结合目标专利说明书进行解释：

* **Preamble（前序部分）：** 一种方法，包括：

* **特征A：** 在软件定义的网络的控制器处从策略生成器获得至少一个安全策略

* *解释：* 对应图1中的SDN控制器102-1从自动安全管理模块110、一般应用112等（策略生成器）接收策略。

* **特征B：** 基于指定所述安全策略的特性、所述安全策略的所述生成器的角色以及所述安全策略的所述生成器的所述角色的安全权限等级的一个或者多个属性在所述软件定义的网络中经由所述控制器实施所述安全策略，

* *解释：* 核心在于引入了三个属性：特性、角色、安全权限等级。目标专利通过这些属性处理新的流规则与之前的流规则冲突的场景（[0010]）。

* **特征C：** 其中所述安全策略的属性的所述特性描述所述安全策略是实时策略还是能够具有一些延迟地生效

* *解释：* 特性属性的具体定义，分为“实时”和“可延迟（非实时）”两类（[0025]）。

* **特征D：** 将所获得的至少一个安全策略翻译成反映至少所述一个或多个属性的流规则

* *解释：* 将高层策略翻译成底层的流规则，且流规则中要包含或关联上述属性（[0024]）。

* **特征E：** 在所述控制器的一个或多个流表中更新所述一个或多个流规则

* *解释：* 翻译后的流规则首先存储在控制器的流表134中（图1）。

* **特征F：** 根据所述安全策略的属性，将所述一个或多个流规则与所述软件定义的网络中的相关SDN交换机同步，

* *解释：* 控制器将规则推送到下层交换机，同步的时机取决于属性。

* **特征G：** 其中对于实时策略，所述一个或多个流规则的同步是实时实现的，并且对于能够具有一些延迟地生效的安全策略，所述一个或多个流规则的同步是周期地实现的。

* *解释：* 核心发明点之一。实时策略（如针对安全攻击的对策）立即同步；可延迟策略定期成批同步以提高性能（[0025]）。

---

### 第二部分：特征比对表格及详细出处分析

本部分将紧密结合对比文件的原文，指出各对比文件公开了权利要求的哪些技术特征。

**对比文件列表：**

* **D1：** US20140075519A1 (SECURITY MEDIATION FOR DYNAMICALLY PROGRAMMABLE NETWORK)

* **D2：** US20140089506A1 (SECURING SOFTWARE DEFINED NETWORKS VIA FLOW DEFLECTION)

* **D3：** WO2014063129A1 (PROVIDING A VIRTUAL SECURITY APPLIANCE ARCHITECTURE TO A VIRTUAL CLOUD INFRASTRUCTURE)

#### 1. D1 (US20140075519A1) 特征比对与分析

D1公开了一种在动态可编程网络（SDN/OpenFlow）中实施安全策略的安全中介服务。其核心是基于策略来源的角色和能力进行冲突分析和解决。

**D1比对总结：** D1实质公开了权利要求1的大部分特征（A、B、D、E、F）。特别地，D1基于角色的优先级（权限等级）来决定是否在控制器和交换机实施新的流规则。**D1的核心区别在于没有公开特征C和G**，即没有基于策略自身的实时性/延迟特性属性来分类，并据此采用不同的同步策略（实时vs周期）。

#### 2. D2 (US20140089506A1) 特征比对与分析

D2公开了一种通过“流偏转(flow deflection)”来保护SDN网络的方法。旨在当首个网络元件（交换机）资源利用率过高（遭攻击）时，将新流请求转发给第二个元件处理。

* **技术领域和解决的技术问题：** SDN网络安全，旨在应对资源利用攻击（DDoS），通过流偏转腾出TCAM或CPU资源（[0028], [0036]）。

* **核心特征比对：**

* 特征A（从策略生成器获得策略）：D2公开了**控制器**监控网络元件资源状态（[0038]），并在检测到资源利用条件时**生成流转发规则**（[0004], [0048]）。这属于控制器自身基于监控状态生成的规则，**并非**本申请所指的从“策略生成器”（应用、管理员）处获得安全策略。

* 特征B（基于角色、权限等级）：D2完全没有提及策略生成器的“角色”或“安全权限等级”。D2生成规则是基于**网络元件资源状态**，而非生成者的属性。

* 特征C、F、G（实时vs周期同步）：D2公开了控制器将规则传播（propagate）给网络元件（[0051]）。从方法论上讲，当控制器检测到资源危机生成规则后，为了应对DDoS攻击，该规则的下发必然是及时的。但是，D2**完全没有提及**基于策略属性特性描述其为“实时策略”还是“可延迟策略”，更**没有公开**对于可延迟策略采用“周期地实现”同步。D2不具备基于策略 urgency 进行实时和周期同步切换的教导。

* **分析结论：** D2解决的是具体防DDoS攻击的流编排问题，而非高层安全策略的管理。其规则生成依据（资源状态）和属性（无角色权限、无实时性分类同步）与本申请权利要求1存在实质差异。

#### 3. D3 (WO2014063129A1) 特征比对与分析

D3公开了一种为虚拟云基础设施提供虚拟安全设备（VSA，如防火墙、IPS）架构的方法。

* **技术领域和解决的技术问题：** 云计算和虚拟化安全。旨在扁平化网络中动态分配VSA资源，根据流负荷调整VSA计算资源（弹性安全）（[0033], [0039]）。提及可整合入OpenFlow架构。

* **核心特征比对：**

* 特征A、B、D（控制器获得策略，基于角色、权限实施及翻译）：D3公开了策略管理器 detect VM变化（[0143]），从策略数据库（用户定义、系统定义）确定VM所需的安全控制（IPS, FW等）（[0135], [0136]）。提及整合OpenFlow控制器可覆盖标准软件的流路由决定，依据策略分类创建流片段（[0103]）。D3提到依据策略确定流向哪些VSA及顺序（[0103]），虽然涉及策略应用，但对于**生成策略源的角色和安全权限等级**并没有像目标专利或D1那样清晰的教导作为实施依据。

* 特征C、F、G（实时vs周期同步）：D3提及整合OpenFlow控制器时，当交换机接收新流会通知控制器，控制器依据策略创建多个流路由片段传给交换机（[0100], [0103]）。在[0102]中提及流路由片段也可随着各片段出现而增量编程入交换机。然而，D3的核心在于根据策略将流引导至防火墙等VSA处理（[0038]），**并未公开**基于策略特性属性（实时vs delay）采用不同的**同步机制**（实时下发vs周期下发流规则）。D3涉及新流触发时的路由实施，隐含及时性，但没有周期性同步的教论，更没有基于策略特性的分类。

* **分析结论：** D3解决的技术问题是安全功能实体（VSA）如何随着虚拟机变化动态弹性部署和连接，不属于解决SDN控制器中流规则同步机制的技术问题。D3没有公开本申请的核心发明点特征G。

---

### 第三部分：最接近对比文件分析及创造性讨论

#### 1. 创造性分析过程中适合做最接近对比文件的分析

从整体解决的技术问题以及技术效果角度分析：

* **目标专利解决的技术问题及效果：** 解决SDN网络中的安全顾虑，核心在于提高策略实施的**精确性**（基于生成器身份角色、权限等级准确翻译规则，防止低权限覆写高权限策略，见[0018], [0028]）以及提高网络**性能**（根据策略特性的实时/非实时，灵活采用实时同步和周期同步，平衡紧急安全对策和性能优化，见[0025]）。

* **对比文件比对分析：**

* **D1 (最接近)：** D1的技术领域、解决的技术问题与目标专利高度契合。D1明确旨在解决动态可编程网络（SDN）中基于来源（管理员 vs 应用）进行安全策略（packet disposition directive）的实施和冲突分析。D1实质公开了基于来源**角色及其关联的优先级（权限等级）**来决定是否实施策略，以及翻译成流规则并更新流表同步到交换机的过程。这实质解决了目标专利所述的防止低权限绕开高权限安全对策的问题（即提高策略实施精确性）。

* **D2：** 解决的是特定的防TCAM/CPU耗尽攻击的技术问题。其规则依据是下层交换机的硬件资源状态，而非上层策略生成器的属性。D2在技术层面偏向具体的底层编排方法，不具备管理层基于来源属性实施策略的整体框架教导。

* **D3：** 解决的是云环境中虚拟安全设备（防火墙实体）的动态部署和流引导问题。其重点是“弹性安全”，即安全设备实体的扩缩容（[0039]），而非SDN控制器内部流规则的管理机制。不适合作为基础。

* **结论：创造性分析中唯一的、最接近的对比文件是D1。**

#### 2. 结合最接近对比文件的无效策略分析

针对权利要求1，由于D1被认定为最接近的对比文件，若要提出无效请求，分析如下：

1. **确定区别特征：** 权利要求1的技术方案与D1相比，区别特征在于**特征C和特征G**，即：目标专利在安全策略中定义了专门的属性描述其特性（实时vs可延迟生效），且根据该特性属性，SDN控制器对实时策略实时实现同步流规则，对可延迟生效策略周期地实现同步流规则。

2. **区别特征解决的实际技术问题：** 该区别特征（特征G）解决的是如何在SDN网络中平衡紧急安全实施与系统开销的问题。实时同步紧急对策，而非紧急对策（通常针对一般应用或默认策略）通过定期成批同步来提高系统性能（[0025]）。

3. **技术薄弱环节及无效论证：**

* 从技术方案整体来看，引入角色RBAC机制解决SDN安全冲突已被D1充分教导（薄弱环节一）。

* 真正的发明高度在于**特征G**：基于策略的实时性属性分类进行实时/周期同步。

* **若要攻破权利要求1：** 鉴于D1已充分公开了角色、权限和基本同步。代理师需要从**性能优化**或**通信协议**的角度寻找更细致的证据。

* **无效薄弱点：** 本领域技术人员知道，在控制器-交换机通信中，所有信息都实时下发会导致南向接口带宽压力和交换机CPU负荷（薄弱点）。将普通应用产生的不紧急规则“成批(batch)”收集并“定期/周期”下发是计算机和网络领域常见的性能优化手段（例如TCP粘包优化、邮件成批发送、数据库异步更新）。

* **无效逻辑（结合对比文件）：** 在D1给出的SDN RBAC实施框架下，如果D1描述的情景出现大量普通应用的流量规则更新请求。为了避免南向接口拥塞，本领域技术人员具有动机将这些非管理员产生的、低权限的、非应对攻击的指令收集起来，定期分发。而D1在[0005]提及来源包括“网络管理员”和“软件应用”，且[0023]提及指令集随着时间变化，隐含了性能优化的诉求。因此，从RBAC实施框架迁移到结合周期同步性能优化手段，对本领域技术人员而言是显而易见的。权利要求1的这一区分特征并没有产生意料之外的技术效果，只是常见的优化手段在特定场景（SDN安全策略）的应用。

综上所述，代理师认为：**D1 (US20140075519A1)** 实质公开了权利要求1的基础框架（基于角色权限实施策略）。权利要求1的核心技术贡献在于特征G（实时vs周期同步分类），这实质是一种常见的系统性能优化手段的应用，是其技术薄弱环节所在。若提出无效请求，代理师建议以**D1作为 Closest Prior Art**，结合网络通信领域的**常识或结合教导了网络数据异步/周期处理的对比文件**，论证特征G是常规性能优化手段，不具备创造性。特征C仅是对特性的定义描述，依附于特征G，随之丧失创造性。

根据权利要求1所述的方法，其中所述从策略生成器获得至少一个安全策略的步骤还包括所述控制器利用所述策略生成器执行认证操作、授权操作、完整性验证操作以及机密性验证操作中的至少一项。

根据权利要求2所述的方法，其中所述从策略生成器获得至少一个安全策略的步骤还包括所述控制器在所述认证操作、所述授权操作、所述完整性验证操作以及所述机密性验证操作中的至少一项失败的条件下丢弃所述安全策略。

根据权利要求1所述的方法，其中所获得的所述安全策略是响应于由所述软件定义的网络的安全装置检测到的新安全威胁而开发的安全策略。

根据权利要求1所述的方法，其中所述安全策略的所述特性为紧急、一般以及默认中的一个。

根据权利要求1所述的方法，其中所述安全策略的所述生成器的所述角色指定向所述安全策略的所述生成器指配的网络角色。

根据权利要求6所述的方法，其中所述安全策略的所述生成器的所述角色为安全管理员、一般管理员、用户以及访客中的一个。

根据权利要求1所述的方法，其中所述安全策略的所述生成器的所述角色的所述安全权限等级针对可向所述策略生成器指配的每个不同角色指定不同层级的安全权限等级。

根据权利要求8所述的方法，其中在指配给第一角色的所述安全权限等级在层级上低于指配给第二角色的所述安全权限等级的条件下，与所述第二角色关联的所述安全策略取得超过与所述第一角色关联的所述安全策略的实施优先权。

根据权利要求1所述的方法，其中所述实施所述安全策略的步骤还包括所述控制器基于指定所述安全策略的特性、所述安全策略的所述生成器的角色以及所述安全策略的所述生成器的所述角色的安全权限等级的所述一个或者多个属性来将所述安全策略翻译成至少一个流规则。

根据权利要求10所述的方法，其中所述实施所述安全策略的步骤还包括所述控制器执行以下一项或多项：确定从所述安全策略翻译的所述流规则与流表中的现有流规则之间是否存在冲突； 基于所述安全策略的所述生成器的所述角色的所述安全权限等级解决从所述安全策略翻译的所述流规则与所述流表中的所述现有流规则之间的冲突； 利用从所述安全策略翻译的所述流规则来更新所述流表； 向所述软件定义的网络中的一个或者多个交换机分发从所述安全策略翻译的所述流规则，以使得所述一个或者多个交换机能够根据所述流规则完成所述软件定义的网络中的数据流；以及在向一个或者多个交换机分发所述流规则之前利用所述一个或者多个交换机执行认证操作、完整性验证操作以及机密性验证操作中的至少一项。

根据权利要求1所述的方法，其中所获得的所述安全策略包括分组扫描检测指令。

根据权利要求12所述的方法，其中所述实施所述安全策略的步骤还包括所述控制器基于数据流情况和分组扫描模式将具有所述分组扫描检测指令的所述安全策略翻译成流规则，以使得所翻译的所述流规则被分发到的所述软件定义的网络中的一个或者多个交换机被指示为向所述软件定义的网络中的安全装置转发经过所述交换机的一个或者多个指定的分组。

一种包括处理器可读存储介质的处理设备，所述处理器可读存储介质具有体现在其中的可执行程序代码，所述可执行程序代码在由所述处理设备执行时，促使所述处理设备执行步骤：在软件定义的网络的控制器处从策略生成器获得至少一个安全策略；以及基于指定所述安全策略的特性、所述安全策略的所述生成器的角色以及所述安全策略的所述生成器的所述角色的安全权限等级的一个或者多个属性在所述软件定义的网络中经由所述控制器实施所述安全策略，并且其中所述安全策略的属性的所述特性描述所述安全策略是实时策略还是能够具有一些延迟地生效； 将所获得的至少一个安全策略翻译成反映至少所述一个或多个属性的流规则； 在所述控制器的一个或多个流表中更新所述一个或多个流规则；以及 根据所述安全策略的属性，将所述一个或多个流规则与所述软件定义的网络中的相关SDN交换机同步，其中对于实时策略，所述一个或多个流规则的同步是实时实现的，并且对于能够具有一些延迟地生效的安全策略，所述一个或多个流规则的同步是周期地实现的。

一种装置，包括： 存储器；和 处理器，所述处理器操作地耦合到所述存储器，以形成软件定义的网络的控制器，所述控制器被配置为：从策略生成器获得至少一个安全策略；以及 基于指定所述安全策略的特性、所述安全策略的所述生成器的角色以及所述安全策略的所述生成器的所述角色的安全权限等级的一个或者多个属性在所述软件定义的网络中实施所述安全策略，并且其中所述安全策略的属性的所述特性描述所述安全策略是实时策略还是能够具有一些延迟地生效； 将所获得的至少一个安全策略翻译成反映至少所述一个或多个属性的流规则； 在所述控制器的一个或多个流表中更新所述一个或多个流规则；以及 根据所述安全策略的属性，将所述一个或多个流规则与所述软件定义的网络中的相关SDN交换机同步，其中对于实时策略，所述一个或多个流规则的同步是实时实现的，并且对于能够具有一些延迟地生效的安全策略，所述一个或多个流规则的同步是周期地实现的。