[發明專利]一種識別異常IP數據流的方法、裝置和系統

有效

• 申請號: 201410175828.0
• 申請日: 2014-04-28
• 公開（公告）號: CN105099732B
• 公開（公告）日: 2018-11-20
• 發明（設計）人: 何誠;黃群;李柏晴
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24
• 代理公司: 北京中博世達專利商標代理有限公司 11274
• 代理人: 申健

1.一種識別異常IP數據流的方法，其特征在于，應用于工作節點中，所述方法包括：

在當前時間區間內，接收數據收集節點發送的Y個元素；其中，Y≥1，Y為整數；

按照映射算法將所述Y個元素映射到N個桶中；其中，N≥1，N為整數；

獲取所述N個桶中的、所映射的所有元素的總流量大于或者等于第一閾值的桶作為目標桶；

獲取所述當前時間區間內第一對象在所映射到的r個桶中的r個流量上界；其中，所述第一對象為映射到所述目標桶中的任一對象，所述r個桶中的每個桶中包含針對所述第一對象的1個流量上界，r≥1，r為整數；

根據預設的異常對象的類型和所述當前時間區間內的r個流量上界識別所述第一對象是否為異常對象；所述預設的異常對象的類型為大流量對象或大變化對象。

2.根據權利要求1所述的方法，其特征在于，所述預設的異常對象的類型為大流量對象；所述根據預設的異常對象的類型和所述當前時間區間內的r個流量上界識別所述第一對象是否為異常對象，包括：

當所述當前時間區間內的r個流量上界中的r1個流量上界均大于或者等于第二閾值時，確定所述第一對象為大流量對象；其中，r≥r1≥1。

3.根據權利要求1所述的方法，其特征在于，所述預設的異常對象的類型為大變化對象；所述方法還包括：

獲取所述當前時間區間的前一個時間區間內所述第一對象在所映射到的r個桶中的r個流量上界；

所述根據預設的異常對象的類型和所述當前時間區間內的r個流量上界識別所述第一對象是否為異常對象，包括：

根據所述當前時間區間內的r個流量上界和所述前一個時間區間內的r個流量上界，獲取r個流量上界的變化量；

當所述r個流量上界的變化量中的r2個流量上界的變化量均大于或者等于第三閾值時，確定所述第一對象為大變化對象；其中，r≥r2≥1。

4.根據權利要求1至3任一項所述的方法，其特征在于，針對所述第一對象的元素分布在包括所述工作節點的d個工作節點上，d≥2，d為整數，所述d個工作節點識別得到d個異常對象集合，每個工作節點識別得到1個異常對象集合；在所述根據預設的異常對象的類型和所述當前時間區間內的r個流量上界識別所述第一對象是否為異常對象之后，所述方法還包括：

接收其他d-1個工作節點發送的d-1個異常對象集合，當所述d個異常對象集合中的d1個異常對象集合均包含所述第一對象時，確定所述第一對象為目標異常對象；其中，d≥d1≥1；

或者，向控制節點發送所述工作節點識別得到的異常對象集合，以使得所述控制節點在所述d個異常對象集合中的d2個異常對象集合均包含所述第一對象時，確定所述第一對象為目標異常對象；其中，d≥d2≥1。

5.根據權利要求1至3任一項所述的方法，其特征在于，所述按照映射算法將所述Y個元素映射到N個桶中，包括：

按照映射算法將所述Y個元素中的、針對所述第一對象的任一元素映射到第一桶中；其中，所述第一桶是指所述第一對象按照所述映射算法能夠映射到的任一桶；

所述方法還包括：

更新所述第一桶包含的記錄信息；所述記錄信息包括：映射到所述第一桶中的所有元素的總流量和附屬隊列；其中，所述附屬隊列用于確定所述第一桶所映射的各對象在所述第一桶中的流量上界。

6.根據權利要求5所述的方法，其特征在于，所述附屬隊列由映射到所述第一桶中的對象的對象總流量構成，第一元素包含所述第一對象的流量值v；其中，所述第一元素為針對所述第一對象的元素；所述更新所述第一桶包含的記錄信息包括：

當所述附屬隊列中包含所述第一對象的對象總流量時，將所述v疊加到所述第一對象的對象總流量的值上；或者，

當所述附屬隊列中不包含所述第一對象的對象總流量時，在所述附屬隊列中添加所述第一對象的對象總流量，并將所述v賦值給所述第一對象的對象總流量。