[发明专利]滑动窗口下基于GPU的网络访问超点连接数估算方法

说明书

本发明提供了滑动窗口下基于GPU的网络访问超点连接数估算方法，数据结构均保存在GPU的显存里，由GPU并行进行超点连接数估算，包括以下步骤：在GPU上初始化滑动估值器矩阵和滑动候选超点列表、扫描一个时间片里的所有报文、在时间片结束时估算超点连接数、窗口滑动。本发明能在滑动窗口下检测超点并估算器连接数，估算值更准确，不受窗口起始时间的影响，不会遗漏跨越时间边界的超点；比现有方法具有更低的时间延迟，能及时对超点连接数进行估算；能实时并行处理高速网络流量，缩小了计算范围，提高了算法的整体速度，滑动估值器矩阵可以同时被多个IP地址对更新而不产出错误。

技术领域

本发明属于高速网络管理和并行计算技术领域，涉及一种滑动窗口下基于GPU的高速网络实时超点连接数估算技术。

背景技术

超点是一类特殊的主机。假设有两个网络：ANet和BNet。这两个网络通过边界路由器ER进行通信。ANet可以是城域网或者是某个国家的网络。BNet是另一个城域网或者是Internet。ANet和BNet之间的所有流量都可以从ER观察到。对于ANet里的一个主机“aip”，在一段时间里通过ER与aip进行通信的BNet里的主机称为aip的连接数。当aip的连接数大于某个指定的阈值θ时，aip就称为一个超点。

超点与网络里的许多事件有关，如DDoS，扫描攻击等等。主机连接数也是网络管理和测量里的一个重要属性。由于超点仅占全部主机的一小部分，对超点进行重点监测是一种高效的高速网络实时管理方法。

在超点定义里的时间窗口可以是离散时间窗口也可以是滑动时间窗口。现有超点连接数计算方法都是在离散窗口下进行的。离散时间窗口下，相邻两个窗口之间没有重叠的时间。图1描述了离散窗口和滑动窗口下的流量划分情况。

网络ANet和BNet之间的流量可以按照大小相同的连续时间片进行划分。时间片的长度可以是1秒，1分钟或根据具体应用设置为其它值。每个时间片用一个数字标识。如图1上半部分所示，一个滑动时间窗口包含从第t个时间片开始的连续k个时间片，记为W(t,k)。滑动时间窗口每次向前移动一个时间片。因此相邻两个滑动时间窗口之间含有k-1个相同的时间片。当k为1时，相邻两个时间窗口之间没有相互重叠的时间段。此时的时间窗口就是离散时间窗口，如图1的下半部分所示。

网络数据包在网络ANet和BNet之间连续传输。如果将它们离散的划分，则连接数的估算结果会受到时间窗口起始点的影响。例如，令aip是ANet里的一个主机。如图2所示，假设它只在从p0到p1的时间段之内和BNet里的主机通信。本文的“通信”是指aip向BNet里的主机发送数据包或者从BNet里的主机接受数据包。令Pkt(aip,p0,p1)表示在时间段p0到p1里与aip通信的数据包流。

p0是离散时间窗口W(t,1)里的一个时间点，p1是离散时间窗口W(t+1,1)里的一个时间点。令p2表示W(t,1)和W(t+1,1)的时间边界。aip的数据包可以分为两部分：从p0到p2时间段里的数据包和从p2到p1时间段里的数据包。分别记为Pkt(aip,p0,p2)和Pkt(aip,p2,p1)。在离散时间窗口下，aip的连接数计算会由于以下两个原因而产生错误：

半丢失(Half loss,HL)根据Pkt(aip,p0,p2)计算得到的连接数大于θ；但是从Pkt(aip,p2,p1)计算得到的连接数小于θ。此时aip只在W(t,1)里被检测为超点。并且aip的连接数会丢失在时间段p2到p1之间的部分。

全丢失(Full loss,FL)从Pkt(aip,p0,p2)和Pkt(aip,p2,p1)里分别计算的连接数都小于θ，但是从Pkt(aip；p0；p1)里计算得到的连接数大于θ。此时，超点aip在W(t,1)和W(t+1,1)里都不会被检测到。