[发明专利]协议处理中的异常检测

权利要求书

1.一种由结构控制器执行的方法，包括：

执行第一异常检测处理，以确定多个交换机中的具有相同作用的交换机之间的异常，从而在与所述具有相同作用的交换机中的其他交换机相比较时找出所述交换机中是否有任一交换机行为异常，其中所述具有相同作用的交换机包括脊交换机或叶交换机；

执行第二异常检测处理，以确定所述多个交换机中的给定交换机的历史模式之间是否存在任何异常；以及

当在所述第一异常检测处理和所述第二异常检测处理中都检测到所述给定交换机的异常时，确定在所述给定交换机处存在异常；

其中执行所述第一异常检测处理和所述第二异常检测处理中的任一处理包括：

收集数据采样点以形成第一数据集合，所述数据采样点中的每个数据采样点表示多个网络特征变量中的一个，所述多个网络特征变量中的每个网络特征变量与多个网络特征中的相应的网络特征相关联，所述多个网络特征在第二异常检测处理的情况下出现在所述给定交换机上，在第一次异常检测处理的情况下出现在所述具有相同作用的交换机之间；

计算所述多个网络特征中的每个网络特征的网络特征变量的标准差和平均值；

对所述网络特征变量执行归一化以获得归一化的网络特征变量；

使用每个网络特征的所述标准差和所述平均值来计算每个归一化的网络特征变量的概率值p值；并且

至少基于每个归一化的网络特征变量的所述p值来确定是否存在关于所述多个网络特征中的每个网络特征的异常。

2.如权利要求1所述的方法，还包括：确定所述第一数据集合的至少两个网络特征之间是否存在相关性，其中，计算每个归一化的网络特征变量的所述p值包括：如果所述至少两个网络特征之间存在相关性，则针对所述归一化的网络特征变量中的每个执行多变量分布函数。

3.如权利要求2所述的方法，其中，如果至少两个网络特征之间存在相关性，则所述方法还包括：

减少所述第一数据集合中的网络特征变量的数量以产生第二数据集合，所述第二数据集合具有少于所述第一数据集合中的网络特征变量的数量的网络特征变量，并且所述第二数据集合仅包括不相关的网络特征。

4.如权利要求3所述的方法，其中，减少所述第一数据集合中的网络特征变量的数量以产生具有少于所述第一数据集合中的网络特征变量的数量的网络特征变量的第二数据集合包括：对所述第一数据集合执行主组分分析(PCA)。

5.如权利要求4所述的方法，其中，计算每个归一化的网络特征值的p值包括：针对所述第二数据集合中的每个网络特征变量执行独立高斯分布函数。

6.如权利要求1所述的方法，还包括：当确定存在异常时采取补救动作来校正所述异常。

7.如权利要求1所述的方法，其中，每个采样数据点表示在一段时间内收集的多个网络特征变量。