[发明专利]高速多链路逻辑信道环境下的自适应抽样流测量方法

摘要

高速多链路逻辑信道环境下的自适应抽样流测量方法是一种用于计算机网络设备的自适应抽样流测量方法，该方法基于对NetraMet和NetFlow系统设计的分析，本发明使用了支持高速多链路逻辑信道网络测量的抽样比，能根据网络流量的状况自调节报文抽样比和流抽样比，并且支持时间片方式输出流信息，以通用的方式支持任何信道的流量监测。本发明利用基于阈值检测－趋势触发的报文抽样比自适应调节算法和基于抽样一保持流抽样算法以较小的资源开销监测任何高速多链路逻辑信道，并在流量突发的情况下维持系统开销不变，支持以时间片的方式输出链路上的流量信息，误差小，为流量分析、异常检测等应用提供了精确的信息。

主权项

1.一种高速多链路逻辑信道环境下的自适应抽样流测量方法，其特征在于该测量方法为：1)原始报文经过采集器，首先统计其数量，使用当前每秒报文到达数量PPS计算间隔ΔtPPS内的报文数量除以ΔtPPS，得出当前链路的PPS，记为PPS当前，并以此改变下一次的计算间隔ΔtPPS，2)计算报文抽样比，过程如下：a)根据PPS当前和测量系统中央处理器CPU安全的最大报文流速设置PPSCPU计算出理论抽样比RateC，b)使用理论抽样比RateC、前一次PPS采样所对应的抽样比值RateCL和当前正在使用的报文抽样比RateL，计算出当前PPS采样前后的抽样比变化量k和当前PPS对应抽样比与当前使用中的之间的偏差量d，c)若当前PPS采样前后的抽样比变化量k的绝对值大于抽样比最大阈值限制K或者当前PPS对应抽样比与当前使用中的之间的偏差量d的绝对值大于偏差量最大阈值限制D，则流量有变化的情况发生；此时，若d＞0，则流量显著增大；若d＜0，流量显著减小，d)若此次流量变化趋势和前一次变化趋势相同，则使用理论抽样比RateC 设置新的报文抽样比RateL，否则RateL不变，3)使用报文抽样比RateL进行报文的抽样采集，4)对采集到的报文组流，并计算流抽样比，过程如下：a)提取每个报文中的源、宿IP地址，源、宿端口号和传输层协议信息作为流标识，将此五元组相等并且报文间隔时间小于64秒的报文归结为同一条流记录，b)利用128k字节的多哈希”Bloomfilter”位图进行流存在查询，如果流已经存在，则更新内存中的流信息，否则，使用当前的流抽样比来决定是否记录该流，c)如果内存的使用超过某个预先设定的阈值，则将当前流抽样比降低为新抽样比RFlow，其是通过计算一元三次方程1-RFlow＝c0+c1q+c2q2+c3q3 得到报文丢弃率q，进而改变报文丢弃率来实现的，其中c0、c1、c2、c3为常数，5)定时器超时，前端系统执行系统中哈希索引表的轮换、使用报文抽样比和流抽样比还原出本链路上的流量基本信息、流记录缓存的清空，并以用户数据报协议UDP报文的形式将流信息发送到后端系统，6)后端系统接收多条链路来的流信息报告，将流量总体信息累加，同一条流的信息合并，形成信道流信息报告，7)根据用户所定义的时间片设置定时，轮换后端系统的哈希索引表、清空信道流记录缓存、形成信道流综合信息报告并以UDP报文形式输出供后续其它分析程序使用。