[发明专利]基于后验特征的流识别方法

说明书

(一)、技术领域：本发明涉及一种流识别方法，特别是涉及一种基于后验特征的流识别方法。

(二)、背景技术：利用业务流识别与分类技术实现对不同业务流的分类处理在现有网络设备中有着非常普遍的应用。当前网络设备中，实时的流识别与分类技术的实现均基于特定的先验策略进行，即，策略匹配发生后，提取流量特征，再对随后的流量进行处理。

这种先验策略的处理逻辑，在需要提取完整的流数据时，对于策略匹配发生前已经到达的流内分组无法进行有效的识别与分类。从而无法获取完整的流数据或无法对完整的流数据采取动作。

(三)、发明内容：

本发明要解决的技术问题是：提供一种基于后验特征的流识别方法，该方法可实现对数据流的完整报文分组进行回溯处理，且实现简单、可靠性高。

本发明的技术方案：

一种基于后验特征的流识别方法，含有下列步骤：

步骤1：设置后验策略；

步骤2：设置派生策略及老化时间T_r，老化时间T_r对应派生策略的有效作用时间；

步骤3：构建派生流表；

步骤4：构建回溯数据池；

步骤5：对进入识别系统的报文分组进行后验策略的匹配，如果有一个报文分组P匹配命中，则表明此时的数据流符合后验策略条件，标记并输出该数据流的所有报文分组；

步骤6：提取出命中后验策略的报文分组所含的流特征信息，对流特征信息进行hash运算，将hash值设置为检索关键字并建立派生流表的表项，在表项中存储完整的流特征信息和匹配发生时的时间戳T_m，将表项写入派生流表；

步骤7：将进入识别系统的报文分组写入回溯数据池，在回溯数据池的存储器内进行时长为T_d的延时处理，然后读出延时后的报文分组P_d，提取延时后的报文分组P_d的流特征信息，根据该流特征信息的hash值检索派生流表，并记录当前时间为T_n，如果派生流表中流特征信息与延时后的报文分组的流特征信息匹配，则比较时间戳T_m，若满足T_n-T_m<T_r，则标记当前的报文分组为命中报文分组。

后验策略有如下特征：数据流持续周期内的一个时刻，一个报文分组与该后验策略的特征匹配时，匹配成功后的处理动作要求是对该数据流之前到达的分组进行回溯；

派生策略是由命中后验策略的报文分组提取并派生出来的，派生策略对应一条唯一的数据流以及数据流内任意报文分组；

派生流表中含有N个派生策略，N为大于等于1的自然数，派生流表的索引项为派生流特征信息的hash值，派生流表中含有派生流的完整特征信息和派生策略的生成时间；

回溯数据池采用双存储器乒乓方式分别存储和读取报文分组。

步骤5中的所有报文分组含有匹配命中前进入识别系统的报文分组。

步骤6中的流特征信息含有五元组。

步骤7中的时长T_d根据识别系统的设计能力、数据流的平均时长、数据输入速率大小这些指标动态确定，或者指定为固定值，该固定值小于识别系统的设计能力能承受的时长。延时处理是实现后验的关键手段，保证了在报文分组到达前先行生成派生策略。

为解决hash冲突问题，可设置hash桶深度大于2，当有冲突产生时，通过比较不同表项的时间戳T_m来确定对较早的表项进行覆盖。

一种基于后验特征的流识别系统，该系统基于FPGA/CAM/SRAM/DDR-II实现，其中CAM为内容可寻址存储器的简称。该系统包括：

预筛选引擎：该模块采用基于CAM的查表逻辑实现，用于根据已知条件对特定流进行预筛选，降低进入后验策略流识别系统的数据流量，从而为系统提供更长的特定时长T_d；

后验策略匹配引擎：该模块采用基于CAM的查表逻辑实现，用于进行后验策略的匹配；

派生流表维护模块：该模块用于后验策略匹配后生成的派生流表项的维护，并将流表项写入SRAM进行存储；

回溯数据池模块：该模块基于双DDR-II存储/读取切换的方式实现对报文分组的延时，为系统提供回溯能力；

派生流表搜索引擎：该模块用于对延时后的报文分组进行流表项匹配，并根据匹配结果队报文进行标记。

本发明的有益效果：