[发明专利]一种面向可编程网络的协作式大流检测方法

权利要求书

1.一种面向可编程网络的协作式大流检测方法，其特征在于：包括以下步骤：

A.可编程交换机实时检测并记录流入的可编程交换机的流量数据；

B.控制器向各个可编程交换机分别下发对应的本地阈值；

C.可编程交换机对比检测到的流量数据与本地阈值，如果判定流量数据超过本地阈值则向控制器发送报告，反之则不触发报告；

D.控制器识别接收到的报告中的流量数据，抽取转发了该流量数据但未触发报告的可编程交换机的报告；

E.控制器结合接收到的和抽取的可编程交换机的报告，统计该流量数据的所有数值，并将统计的数值与网络全局阈值对比判断该流量数据是否为全网范围内的大流；

F.控制器根据以往收到的报告调整下发至各个可编程交换机的本地阈值；

步骤A具体包括以下步骤：通过部署在边缘可编程交换机上的HDBM算法实时地检测并记录流入的交换机的流量数据：HDBM算法在可编程交换机转发流的过程中，对每个数据包进行处理，将其映射到数据结构中对应的槽位，更新流的数值并进行储存作为可编程交换机的流量大小数值。

2.根据权利要求1所述的一种面向可编程网络的协作式大流检测方法，其特征在于步骤A中：分别对各数据包中具有相同标识符的流在检测周期内对槽位中的流的总数值进行计算。

3.根据权利要求2所述的一种面向可编程网络的协作式大流检测方法，其特征在于：所述HDBM算法具体包括以下步骤：

将每类数据包定义为一个键值对(x,v_x)，x是标识流的唯一识别符，v_x是x对应的大小；

定义S_i,j为第i行，第j列的槽位，每个槽位包含三种信息：(1)Sum_i,j，所有被哈希到该位置的流的总数；(2)Hf_i,j，被认为当前可能为大流的流标识符；(3)C_i,h(x)，当前可能为大流的流计数值；

对于每一个输入(x,v_x)，在每一行中，将流标识符x通过哈希运算到的槽S_i,j中；首先统计记录流过该槽位的总数，即将当前v_x添加到Sum_i,j中；然后判断流x是否与该槽位记录的Hf_i,j相匹配；如果匹配，则将v_x的值添加到当前记录流计数C_i,h(x)中；如果不匹配，则从当前记录流计数C_i,h(x)中减去v_x的值；如果此时C_i,h(x)的值为负数，说明当前已经记录的流不太可能是大流，于是更新流的信息，将Hf_i,j替换为流x。

4.根据权利要求3所述的一种面向可编程网络的协作式大流检测方法，其特征在于：

获取流x的在检测周期内经过设备的值S‘_i(x)，对于每个流x，在每行中进行判断，如果x与槽位中的Hf_i,j相同，那么该槽位中流的总和为如果不同，则

5.根据权利要求4所述的一种面向可编程网络的协作式大流检测方法，其特征在于所述步骤D中：

控制器接收交换机发送的报告，根据创建的用于记录交换机ID与流标识x映射关系数据结构MAP，找到转发该流的交换机，针对未触发报告的交换机，主动进行报告抽取。

6.根据权利要求5所述的一种面向可编程网络的协作式大流检测方法，其特征在于所述步骤D具体包括以下步骤：控制器首先接收部分触发报告的边缘可编程交换机发送来的报告，提取报告中流的相关信息；通过控制器掌握的全局网络拓扑视图，创建一个用于记录交换机ID与流标识映射关系数据结构MAP，根据映射关系找到转发了该流的交换机，针对没有触发报告的可编程交换机，抽取交换机中的报告，提取出该流在这些交换机上的数值。