[發明專利]一種AMP架構下處理器負載均衡的實現方法及裝置

無效

• 申請號: 201110362232.8
• 申請日: 2011-11-15
• 公開（公告）號: CN102404211A
• 公開（公告）日: 2012-04-04
• 發明（設計）人: 劉彤
• 申請（專利權）人: 北京天融信科技有限公司
• 主分類號: H04L12/56
• 分類號: H04L12/56;H04L12/24
• 代理公司: 工業和信息化部電子專利中心 11010
• 代理人: 肖偉先

技術領域

本發明屬于通信技術領域，特別是涉及一種多核并行計算環境中，AMP(Asymmetric?MultiProcessing，非對稱多處理)架構下CPU(Central?Processing?Unit，中央處理器，以下簡稱處理器)負載均衡的實現方法及裝置。

背景技術

最近幾年，IPS(Intrusion?Prevention?System，入侵防御系統)產品成為安全產品市場新的熱點，不僅保持了每年100％以上的市場增長率，而且應用領域不斷擴大，應用技術也逐步普及。與傳統的IDS(Intrusion?Detection?Systems，入侵檢測系統)旁路接入不同，IPS產品采用在線工作方式，即對接收的數據進行檢測，然后按照其目的轉發，這與安全網關類產品如防火墻、VPN(Virtual?Private?Network，虛擬專用網)等非常相似。這種工作方式決定了IPS產品除了要有準確的檢測能力，還要有與應用網絡相適應的性能要求。

實際上自IPS產品誕生以來，一直采用協議識別和攻擊特征模式匹配等成熟技術，困擾其應用范圍的主要是性能要求。目前的防火墻達到千兆線速、4G、甚至10G轉發能力已屬平常，但IPS要實現這一性能絕非易事。在IPS中不僅需要檢查數據報文的頭部，還要針對具體的應用協議檢查數據報文的內容，這就使得在IPS中五元組相同的數據報文也不能“加速處理”，也就是說在IPS處理數據報文的整個路途中沒有“捷徑”，IPS需要對流經自身的每一個報文進行逐一檢測。這樣IPS成為CPU資源的主要耗費者，其性能很大程度上取決于硬件處理器的處理能力。

近年來多核處理器的發展為利用并行處理技術提升IPS產品性能提供了廣闊的空間，由于處理器計算能力的提升對IPS檢測全路徑都是有效的，所以從理論上講內核數量與性能提升成正比。但是理論不等于實踐，實際性能的提升主要取決于IPS對各個處理器均衡的利用，即發揮每一個處理器的最大計算能力。

在多核并行計算環境中一般有兩種處理器工作構架，一種是SMP(Symmetrical?MultiProcessing，對稱多處理)方式，也稱為同構方式，SMP方式顧名思義就是將多個內核平等看待，每個內核擔負的工作都相同，且每個內核上都運行一套IPS系統，這樣從數據接收、連接建立、數據檢測到數據發送都是并發執行的，相當于多個IPS系統在同時運行。這種架構比較簡潔，各個處理器內核負載均衡，但是因為所有內核都擔負相同的工作，勢必產生對共享資源(內存數據、文件描述符、I/O設備等)的大量爭用，為處理這些并發與同步使用的大量鎖機制，又嚴重制約了性能發揮，更嚴重的是隨著內核數量的增多，并發與同步的消耗達到一定的量級，性能不但不會增長反而會有所下降。

另一種為AMP方式，也稱為異構方式。AMP方式就是將多個內核區別看待，可以運行不同的操作系統也可以在相同的操作系統上運行不同的任務，各個處理器內核按照任務劃分，各負其責，規避共享資源的競爭，從而提升IPS產品的綜合性能。完整的操作系統往往比較龐大，耗費資源較多，效率也較低。拿出幾個物理內核，在其上建立一種簡易的系統環境(有時候直接叫做“裸核”環境)，在這個“潔凈的空間”內運行單一任務(比如收發數據、模式匹配等)往往可以獲得極高的性能，這是AMP方式的特點，也是其優勢。雖然AMP構架比較復雜，但因其性能提升非常有效，目前已被廣泛應用。

AMP構架的難點在于需要仔細權衡各個內核的任務分擔，否則會造成內核負載不均衡，影響性能發揮。目前普遍采用的方法是將處理器內核分為兩類，一類叫作網絡處理器，用于處理網絡數據報文的接收和發送，另一類叫做檢測處理器，用于進行IPS檢測。網絡處理器接收到網絡數據報文后，根據其五元組建立連接(數據流)，然后用hash算法將連接平均地定位到唯一的檢測處理器上，這樣實現負載均衡，即將數據流平均地分配到檢測處理器上，同時保障將同一個數據流分配到同一個檢測處理器上，保障一個數據流始終由一個檢測處理器處理。圖1為該現有技術中AMP架構下處理器負載均衡的實現方法原理圖。