本发明公开了一种工控流量的采集与协议解析方法，所述方法包括：基于工控网络交换机的镜像口获取数据；对获取到的数据进行预处理，所述预处理包括还原传输层的网络会话、识别应用协议、抽取结构化的元数据；分别对经过还原传输层的网络会话、识别应用协议、抽取结构化的元数据处理后的各类数据进行分类存储；根据设定的规则对各分类存储的数据分别进行监测和分析，找出异常数据。本发明采用镜像方式接入流量数据，避免了串联设备部署时的风险隐患；同时建立了采集、预处理、分析、存储以及回传的五层处理架构，明确各架构层级的作用，对工控流量的采集与解析有明确的指导作用，避免各层角色重叠。