[发明专利]从用于检测大流的串行多级过滤器去除头部过滤器以便清除流以实现延长操作

说明书

一种检测大流的网络装置包括接收流的分组的卡。装置包括大流检测模块，大流检测模块包括串行多级过滤器模块，多级过滤器模块包括串联过滤器模块，串联过滤器模块包括头部过滤器模块和尾部过滤器模块。每个过滤器模块包括计数器。串行过滤器模块将串行递增计数器以反映流，并且仅在所有以前过滤器模块的对应于流的所有计数器已串行递增至最大值后才将递增随后过滤器模块的对应于流的计数器。串行过滤器模块将尾部过滤器模块的对应于已递增至最大值的计数器的流检测为大流。大流检测模块包括头部过滤器去除模块以从串联的开始处去除头部过滤器模块。

技术领域

本发明的实施例涉及连网领域，并且更具体地说，涉及检测网络中的大流。

背景技术

在许多网络中，情况经常是小部分的大流使用不成比例的大部分的总体带宽和其它网络资源。这些大流有时称为大象流或重量级流(heavy hitter flow)。类似地，大部分的小型流经常只使用小部分的总体带宽和其它网络资源。这些小的流有时称为小流(miceflow)。例如，在一些网络中，最大10%的流可使用超过80%的带宽和其它网络资源。

人们经常希望能够识别或检测此类大流，以便可以与小型流不同的方式处理它们，或者实现与网络监视、网络管理或其它目的相关联的各种其它目的。作为一个示例，识别的大流可用于开单和/或记帐（例如，可以与小型流不同的方式向大流计费）。作为另一示例，识别的大流可用于带宽管理和/或业务工程（例如，重新路由业务，升级链路等）。作为又一示例，识别的大流可用于管理拥塞和/或服务质量（例如，通过放弃大流的分组，取消大流的优先级，应用速率限制策略或惩罚大流）。作为仍有的另一示例，识别的大流可用于帮助检测或分析拒绝服务(DoS)攻击。还有的又一示例可涉及使用识别的大流以实现服务流卸载（例如，其中对大流的分组绕过深度分组检查、安全性或其它量大处理）。这些只是几个说明性示例。

尝试检测或识别此类重量级流、大象流或其它大流的各种不同方案在技术领域已为人所知。在这些方案中，计数器经常用于统计流的分组或采样的分组。

在一个方案中，为每个不同流提供不同计数器。每次收到对应流的分组时，递增计数器。递增计数器基本上统计收到的对应流的分组的数量。然而，不同流的数量经常可较大。因此，此类方案有关的一个可能缺陷是包括用于每个不同流的计数器可在实现较大数量的计数器需要的存储器和存储器访问带宽资源量方面是过高的。

各种其它方案尝试使用更详尽的机制检测大流，以便降低存储器和其它资源量。在由Cristian Estan等人所著，在2002年8月在Proceedings of ACM SIGCOMM，pp. 323-326中发表的论文“业务测量和记帐的新方向”(NEW DIRECTIONS IN TRAFFIC MEASUREMENTAND ACCOUNTING)中描述了一种方案。此文献描述用于识别大流，涉及采样保持和多级过滤器的方案。采样保持以某个概率对分组进行采样。如果采样分组，并且当前未跟踪它所属的流（例如，尚不具有计数器），则在流监视存储器中创建新条目以跟踪该流。在为流创建条目后，为流的每个随后分组而不是只为该流的采样的分组更新计数器。并行多级过滤器并联操作。通过不同哈希函数对分组流标识符进行哈希处理以识别并联布置的不同过滤器级的每个级中的计数器，并且更新不同并行过滤器级的每个级中的不同计数器以计及分组。也有串行多级过滤器的提议。

然而，与本文献中并行多级过滤器讨论有关的一个可能缺陷是，随着时间的过去，并行多级过滤器检测大流的能力往往会下降。所有计数器可达到其阈值或最大值，并且不再递增。文献描述可不时擦除或重置流存储器和计数器。然而，计数器的此擦除或重置往往造成大流检测的不连续，并且对大流检测增加另外的迟滞。使用并行多级过滤器以实现连续操作而不存在大流检测的中断和无需定期擦除或重置计数器的方式未提供。

发明内容