[发明专利]一种SDN应用的策略冲突检测方法及系统

权利要求书

1.一种SDN应用的策略冲突检测系统，其特征在于，包括：

应用接入层，包括已接入网络的应用和欲接入网络的应用；

控制检测层，用于接收所述欲接入网络的应用的访问授权请求，根据应用类型赋予各个欲接入网络的应用相应的优先级，发放私有证书，进行访问认证授权，并通过冲突分析算法对获取认证授权的应用下发的流规则插入请求进行冲突分析，若存在冲突则通过冲突决策算法进行冲突决策以缓解冲突，以防止网络中存在相互冲突的策略规则；

监管可视化层，用于实时显示网络中的流规则信息、冲突信息、网络拓扑信息给网络管理员。

2.如权利要求1所述的系统，其特征在于，所述应用接入层中的应用包括：

网管应用，所述网管应用具体是由所述网络管理人员接入的应用，所述网管应用用于进行网络的管理和监控；

安全应用，所述安全应用主要是网络中接入的安全服务应用，用于建立网络的安全防御机制；

第三方应用，所述第三方应用是指由第三方接入的常规应用，用于通过调用控制器的开源API(应用程序编程接口)实现自定义的功能。

3.如权利要求1所述的系统，其特征在于，所述控制检测层包括：

应用认证授权模块，用于接收各个欲接入网络的应用的访问授权请求，并根据应用类型赋予各个欲接入网络的应用相应的优先级，发放私有证书给各个欲接入网络的应用，并对各个欲接入网络的应用进行访问认证授权；

流规则冲突检测与决策模块，用于根据所述冲突分析算法对获取认证授权的应用下发的流规则插入请求进行冲突分析，判断是否与流表集合中已有的流规则存在冲突，若存在冲突，则根据所述冲突决策算法进行冲突决策以缓解冲突，以防止网络中存在相互冲突的策略规则，并将冲突分析与决策的结果发送给状态表管理模块；

所述状态表管理模块，用于管理获取认证授权的应用下发的流规则插入请求，根据所述冲突分析与决策的结果对获取认证授权的应用下发的流规则插入请求进行接受或拒绝操作，并实时更新所述流表集合和底层交换机流表，对所述流表集合进行更新维护；

信息反馈模块，用于将所述流规则信息、所述冲突信息、所述网络拓扑信息实时反馈给所述监管可视化层，通过所述用户界面报告给所述网络管理人员，并将所述网络管理人员的操作指令发送给对应的模块；

所述流表集合，用于保存网络中正在运行的所有流表信息；

数据库，用于存储策略冲突检测日志信息，向所述流规则冲突检测与决策模块提供数据支持。

4.根据权利要求1所述的系统，其特征在于，所述监管可视化层包括：

所述用户界面，用于从消息处理模块获得网络状态信息，以图表化的形式实时显示网络状态信息，以使所述网络管理人员通过所述用户界面下发操作指令至所述消息处理模块；

所述消息处理模块，用于接收所述信息反馈模块发送的网络消息，按照消息类型进行缓存，当有来自所述用户界面的HTTP(超文本传输协议)信息请求时，将所述HTTP信息请求通过HTTP资源响应发送给所述用户界面，当接收到来自所述用户界面的操作指令时，缓存所述操作指令，并转化为所述信息反馈模块能够识别的操作指令形式，然后下发给所述信息反馈模块，其中，所述网络消息包括所述网络拓扑信息、所述流表信息以及所述冲突信息。

5.根据权利要求1或3所述的系统，其特征在于，所述冲突分析算法具体是：

将所述流表集合中已有的流规则和新插入的流规则全部转化为集合化的流规则，得到集合化流表集合和集合化待检测流规则；

对所述集合化流表集合和所述集合化待检测流规则中的所有集合化流规则进行成对比较，根据冲突匹配原则判断是否冲突。

6.根据权利要求1或3所述的系统，其特征在于，所述冲突决策算法具体是：

当冲突分析算法检测出规则冲突时，比较两条冲突的流规则对应的应用的优先级大小，若发送流规则插入请求的应用的优先级高，则将新的流规则覆盖已有流规则；若发送流规则插入请求的应用的优先级低，则拒绝新的流规则插入请求；若两条冲突的流规则对应的应用的优先级相同，则上报所述网络管理员进行抉择。