PacketLensTAP 智能诊断本地分析 · 数据不离开浏览器
NETWORK FORENSICS / INDUSTRIAL PROTOCOL READY
上传抓包，
快速定位故障。
无需复杂配置。深度解析 EtherCAT 与 Modbus TCP，把 WKC、AL 状态、周期异常、协议异常码和事务时延转化为可执行线索。
1 上传文件→2 自动分析→3 定位异常
↥
拖入 PCAP 开始诊断支持 EtherCAT / Modbus TCP / TCP / UDP / ARP · 文件仅在浏览器内处理⌁
TAP-LINK-042.pcapng24.8 MB · 示例数据，非真实诊断
✓示例模式
当前为示例模式页面中的异常和帧号仅用于展示。上传真实 PCAP 后会自动替换。
综合健康度25 / 100基于本次抓包内的异常数量、严重度与占比
DIAGNOSIS VERDICT
存在严重故障证据
首要关注：连接被重置，共 1 条证据。会话被端点强制中止，可能与服务拒绝、超时或中间设备有关。
建议处理顺序
- 1先处理最高优先级故障检查服务端日志、防火墙会话超时与端口状态。
- 2核对协议专项证据复核事务配对、异常码、Unit ID 与响应时延
- 3结合现场信息闭环对照拓扑、PLC/主站日志、端口计数与设备状态
01
时间趋势
时间单位：秒（s），从首帧 0.000000 开始流量与异常时间线点击曲线可筛选该时段的证据帧
流量强度严重异常
怎么看？蓝线越高代表该时段流量越大；红色标记代表严重异常。
02
工业协议
自动模式 · 当前显示 Modbus TCPMB
1 项需关注Modbus TCP 专项分析
MBAP · Transaction Pairing · Unit ID · Function · Register Range · Latency
Function Profile功能码调用结构
2 functionsFC 03读保持寄存器2FC 06写单寄存器2 · 1 异常Unit Activity从站地址与事务统计
1 unitsUnit 1FC3 · FC6Req 2 · Rsp 2 · Ex 1Transaction Evidence请求、响应、时延和结果
2 requests| TID | Unit | 功能 | 地址范围 | 证据帧 | 响应时间 | 结果 |
|---|---|---|---|---|---|---|
| 301 | 1 | FC3 读保持寄存器 | 400–403 | #1880 → #1881 | 2.35 ms | 成功 |
| 302 | 1 | FC6 写单寄存器 | 900 | #1882 → #1883 | 1.74 ms | 异常 0x02 非法数据地址 |
Register Access Map访问区与地址范围
2 rangesHolding Register
400 – 403FC3 · 1 次Holding Register
900FC6 · 1 次Exception Evidence协议异常与未响应请求
1 eventsFrame #1883Unit 1 · FC60x02 · 非法数据地址
分析边界 当前按单个完整 TCP 负载解析 MBAP ADU；遇到跨 TCP Segment 的 Modbus PDU 会标记为报文不完整，需结合 Wireshark TCP Reassembly 复核。Unit ID 是协议地址，不等同于设备在物理网络中的顺序。
03
关键发现
按影响程度与诊断置信度排序01
严重确定事实
连接被重置
× 1会话被端点强制中止，可能与服务拒绝、超时或中间设备有关。
证据帧
02
严重确定事实
目标不可达
× 1网关或主机明确返回不可达，通信路径在网络层中断。
证据帧
03
严重确定事实
EtherCAT WKC=0
× 1Datagram 未被任何目标从站成功处理，常见于从站掉线、寻址失败或状态不允许访问。
证据帧
04
严重确定事实
EtherCAT AL 状态错误
× 1从站 AL Status 的错误位或 AL Status Code 非零，状态机切换未正常完成。
证据帧
05
严重确定事实
Modbus 异常响应
× 1服务端返回 Modbus Exception，功能请求未按预期完成。
证据帧
06
严重高可信
TCP 重传
× 1相同数据被再次发送，链路可能存在丢包或时延抖动。
证据帧
07
注意高可信
重复确认
× 1接收端重复确认同一序号，通常意味着中间数据段缺失。
证据帧
08
注意需复核
ARP 请求峰值
× 1短时间内 ARP 请求异常集中，可能存在地址解析故障或扫描。
证据帧
04
异常帧取证
14 条当前结果| No. | 相对时间（秒） | 源 | 目的 | 协议 | 长度 | 摘要 |
|---|---|---|---|---|---|---|
| 1842 | 4.201388 | 10.24.8.31:50214 | 10.24.8.10:443 | TCP | 66 | ![TCP Retransmission] 50214 → 443 Seq=14921 Ack=8831 |
| 1843 | 4.202104 | 10.24.8.31:50214 | 10.24.8.10:443 | TCP | 66 | ![TCP Dup ACK 1840#3] Ack=14921 Win=64240 |
| 1847 | 4.217942 | 10.24.8.1 | 10.24.8.255 | ARP | 60 | !Who has 10.24.8.88? Tell 10.24.8.1 |
| 1851 | 4.301275 | 10.24.8.10:443 | 10.24.8.31:50214 | TCP | 54 | !443 → 50214 [RST, ACK] Seq=8831 Ack=14921 |
| 1858 | 4.411904 | 10.24.8.42 | 10.24.8.1 | ICMP | 98 | !Destination unreachable (Host unreachable) |
| 1862 | 4.503821 | 10.24.8.31:50214 | 10.24.8.10:443 | TCP | 1514 | TCP segment of a reassembled PDU |
| 1869 | 4.622150 | 10.24.8.12:5353 | 224.0.0.251:5353 | MDNS | 214 | Standard query response PTR workstation.local |
| 1870 | 4.623150 | 00:01:05:1a:00:01 | 01:01:05:01:00:00 | EtherCAT | 112 | LRW · Log 0x00100000 · 64 B · WKC=6 |
| 1871 | 4.624150 | 00:01:05:1a:00:01 | 01:01:05:01:00:00 | EtherCAT | 112 | !LRW · Log 0x00100000 · 64 B · WKC=0 [工作计数器异常] |
| 1872 | 4.627920 | 00:01:05:1a:00:01 | 01:01:05:01:00:00 | EtherCAT | 60 | !FPRD · Station 0x0003 / Reg 0x0130 · AL=SAFE-OP · ERROR · AL Code=0x001b SyncManager 看门狗 |
| 1880 | 4.701200 | 10.24.8.31:55002 | 10.24.8.20:502 | Modbus TCP | 66 | Request · TID=301 · Unit=1 · FC=3 读保持寄存器 · Addr=400 · Qty=4 |
| 1881 | 4.703550 | 10.24.8.20:502 | 10.24.8.31:55002 | Modbus TCP | 71 | Response · TID=301 · Unit=1 · FC=3 读保持寄存器 · ByteCount=8 |
| 1882 | 4.711800 | 10.24.8.31:55002 | 10.24.8.20:502 | Modbus TCP | 66 | Request · TID=302 · Unit=1 · FC=6 写单寄存器 · Addr=900 · Value=1 |
| 1883 | 4.713540 | 10.24.8.20:502 | 10.24.8.31:55002 | Modbus TCP | 63 | !Response · TID=302 · Unit=1 · FC=6 写单寄存器 · Exception 0x02 非法数据地址 |