CN101114938B - 分布式系统减少统计所需控制报文量的方法、系统和装置 - Google Patents

Abstract

本发明公开了一种分布式系统中带有阈值限制的统计方法，设置集中统计装置和要统计特征值的总阈值，该统计方法包括：集中统计装置根据所述总阈值确定不同业务处理装置的分阈值，并下发给各业务处理装置，通知进入分散统计状态；业务处理装置分别对所述特征值进行统计，任一业务处理装置中所述特征值的当前统计值达到自身对应的分阈值时，通知集中统计装置；集中统计装置通知业务处理装置进入集中统计状态。本发明还公开了一种具有阈值限制统计功能的分布式系统、集中统计装置和业务处理装置。应用本发明，能够大大减少统计所需的交互报文，减轻交换网络的负担，降低对交换网络交换能力的要求，并能够保证严格的总阈值限制要求。

Description

分布式系统减少统计所需控制报文量的方法、系统和装置

技术领域

本发明涉及通信技术领域，特别涉及一种分布式系统降低统计所需控制报文量的方法、系统和装置。

背景技术

在网络设备中，通常需要对一些参量进行统计。在一些特定的参量统计过程中，会针对统计的参量预先设置阈值，当统计结果达到或超过该阈值时，对生成该参量的处理过程进行相应的限制性处理，从而将统计结果控制在一定范围内，以满足网络的特定需求。

随着网络规模的日益扩大，许多传统的位于一个单独网络设备上的功能均出现了分布式的实现方式。在这些分布式系统中包括一个主控装置和多个业务处理装置，业务处理在主控装置的控制下可能分布于不同的业务处理装置进行。因此，在对分布式系统进行参量统计时，也往往要综合考虑所有不同业务处理装置中的情况。在这类分布式系统中，针对带有阈值限制要求的参量进行统计时，设置的阈值通常为所有业务处理装置中相应参量的总数量限制值。目前，对于这类分布式系统中针对带有阈值限制要求的参量统计通常采用集中统计的方式进行。下面，具体介绍该集中统计方式。在本文中，将需要统计的参量称为特征值。

在现有的具有阈值限制的特征值统计中，一类典型的应用是：在网络安全系统中，为进行拒绝服务(DoS Denial of Service)攻击防御，对源或目的IP地址进行的各类连接数统计。在这类连接数统计中，需要对超过阈值的连接进行限制处理，如会话(session)数限制、用户数据包协议(UDP)连接数限制、同步(SYN，Synchronization)连接数限制、ICMP连接数限制等。

目前，在分布式系统中，特征值的统计过程通常由主控装置发起。当主控装置需要触发对某一特征值进行带有阈值限制的统计时，主控装置通知各个业务处理装置，业务处理装置将业务处理过程中涉及到特征值变化的情况逐一向主控装置上报，即需对某一特征值进行带有阈值限制的统计时，各个业务处理装置对该特征值的统计值进行原子加1或减1操作时都需要通过控制报文上报给主控装置；主控装置接收到业务处理装置的控制报文后，对保存的特征值进行相应的加1或减1操作，并将特征值的当前统计值与阈值进行比较，判断是否已经超过阈值限制。若超过阈值限制，发送控制报文通知各个业务处理装置启动相应的限制操作，若未超过阈值限制，发送控制报文通知发送控制报文的业务处理装置进行正常操作。各个业务处理装置接收到主控装置的控制报文后，根据报文内容进行相应的限制操作或正常操作。

采用上述统计方法，能够保证在分布式系统中进行严格的总阈值限制要求。但该统计方法中，业务处理装置进行的所有涉及特征值改变的操作，均需要通过控制报文上报主控装置，在得到主控装置的允许后才能进行，这使得业务处理过程中，统计所需的控制报文交互量巨大，对交换网络要求较高，通常需要采用如Infiniband、PCIE(Peripheral Component InterconnectExpression)等交换网络方能满足业务处理要求。但此类交换网络价格十分昂贵，仅仅为了特征值统计而建立此类交换网络并不十分可取。

发明内容

有鉴于此，本发明提供一种分布式系统中带有阈值限制的统计方法，能够减少统计所需的控制报文量。

本发明还提供一种具有阈值限制统计功能的分布式系统和装置，能够减少统计所需的控制报文量。

为实现上述目的，本发明采用如下的技术方案：

一种分布式系统中减少统计所需控制报文量的方法，预先设置集中统计装置，并根据业务要求在该集中统计值装置中设置要统计的特征值的总阈值，该统计方法包括：

a、集中统计装置根据所述总阈值确定参与统计的不同业务处理装置对应的分阈值，并将确定的分阈值对应下发给各个业务处理装置，通知所有业务处理装置进入分散统计状态；

b、不同的业务处理装置分别对所述特征值进行统计，当任一业务处理装置中所述特征值的当前统计值达到自身对应的分阈值时，通知集中统计装置；集中统计装置通知所有业务处理装置进入集中统计状态，对特征值进行集中统计。

较佳地，所述根据要统计的特征值的总阈值确定不同业务处理装置对应的分阈值前，该方法进一步包括：比较总阈值与预先设定的分界阈值，当总阈值大于或等于所述分界阈值时，继续执行所述根据要统计的特征值的总阈值确定不同业务处理装置对应的分阈值的操作，否则通知各个业务处理装置对特征值进行集中统计。

较佳地，在集中统计状态下，该方法进一步包括：集中统计装置保存并更新各个业务处理装置中特征值的当前统计值，当所有业务处理装置中的当前统计值均小于预先设置的该业务处理装置的下限阈值时，通知各个业务处理装置退出集中统计状态、进入分散统计状态，并返回步骤b。

较佳地，在所述对特征值进行集中统计后，该方法进一步包括：每隔预设的时间间隔，集中统计装置和各个业务处理装置退出集中统计状态进入分散统计状态，将各自的当前统计值置0，并返回步骤b。

较佳地，所述设置集中统计装置为，将集中统计装置设置为主控装置或新增的专用于集中统计的装置；

所述对特征值进行集中统计为：

集中统计装置获取各个业务处理装置对应的当前统计值，并对所有当前统计值求和作为当前总统计值；

各个业务处理装置接收改变特征值的操作请求，将该请求上报给集中统计装置，集中统计装置根据该请求更新特征值的当前总统计值，然后比较当前总统计值与总阈值，若当前总统计值达到或超过总阈值，则通知启动限制操作，通知发送操作请求的业务处理装置拒绝所述改变特征值的操作请求；否则，通知发送操作请求的业务处理装置进行正常操作。

较佳地，所述设置集中统计装置为，将主控装置设置为预先指定的一个业务处理装置。

较佳地，所述根据要统计的特征值的总阈值确定不同业务处理装置对应的分阈值为：

计算总阈值与参与统计的业务处理装置数目之商，并将该商值设置为业务处理装置对应的分阈值；

或者，根据参与统计的业务处理装置的数目和业务处理装置的处理能力，为不同的业务处理装置设置不同的分阈值，并且所有参与统计业务处理装置的分阈值之和为所述总阈值。

较佳地，在分散统计状态时，该方法进一步包括：集中统计装置判断是否需要更新所述分阈值，若是，则更新并向各个业务处理装置下发分阈值，执行所述步骤b。

较佳地，定时执行所述判断是否需要更新分阈值的操作；

所述判断是否需要更新分阈值为：获取所有业务处理装置中所述特征值的当前统计值，并计算所有当前统计值中最大值与最小值间的差值，比较该差值与预先设置的差值门限，若前者大于后者，则计算总阈值与所有业务处理装置中当前统计值之和的差，作为安全余量，进一步比较安全余量与预先设置的分界阈值，若安全余量大于或等于所述分界阈值，判定需要更新分阈值；若所述差值不大于所述差值门限，和/或安全余量小于分界阈值，判定不需要更新分阈值，保持所述分阈值不变。

较佳地，在所述任一业务处理装置通知集中统计装置后、集中统计装置通知所有业务处理装置进入集中统计状态前，执行所述判断是否需要更新分阈值的操作；

所述判断是否需要更新分阈值为：获取所有业务处理装置中所述特征值的当前统计值，计算总阈值与所有业务处理装置中当前统计值之和的差作为安全余量，比较安全余量与预先设置的分界阈值，若安全余量大于或等于所述分界阈值，判定需要更新分阈值，否则，判定不需要更新分阈值，执行所述集中统计装置通知所有业务处理装置进入集中统计状态的操作。

较佳地，所述更新并下发分阈值为：根据安全余量和不同业务处理装置的当前统计值确定各个业务处理装置对应的分阈值，下发给各个业务处理装置。

较佳地，所述分界阈值根据业务处理单元的数量和统计的特征值类型确定。

较佳地，所述根据要统计的特征值的总阈值确定不同业务处理装置对应的分阈值为：将所述总阈值均分得到分阈值，且总阈值与分阈值之比大于参与统计的业务处理装置数目；

所述将确定的分阈值对应下发给各个业务处理装置为：为每个参与统计的业务处理装置下发一个分阈值；

在所述将确定的分阈值对应下发给各个业务处理装置后，该方法进一步包括：保存剩余的分阈值。

较佳地，在分散统计状态时，该方法进一步包括：集中统计装置判断是否需要更新所述分阈值，若是，则更新并向各个业务处理装置下发分阈值，执行所述步骤b。

较佳地，定时执行所述判断是否需要更新分阈值的操作；

所述判断是否需要更新分阈值为：获取所有业务处理装置中所述特征值的当前统计值，并依次判断各个业务处理装置中的当前统计值与预先设置的该业务处理装置的更新阈值，若前者大于后者，则进一步判断是否存在剩余的分阈值，若是，则判定该业务处理装置需要更新所述分阈值，否则，判定该业务处理装置不需要更新所述分阈值。

较佳地，在所述任一业务处理装置通知集中统计装置后、集中统计装置通知所有业务处理装置进入集中统计状态前，执行所述判断是否需要更新分阈值的操作；

所述判断是否需要更新分阈值为：集中统计装置判断是否还有剩余的分阈值，若是，则判定上报通知的业务处理装置需要更新所述分阈值，否则，判定所有业务处理装置不需要更新所述分阈值，继续执行所述集中统计装置通知所有业务处理装置进入集中统计状态的操作。

较佳地，所述更新并向各个业务处理装置下发分阈值为：将剩余的其中一个分阈值下发给需要更新分阈值的业务处理装置，该业务处理装置将接收到的分阈值与本身保存的分阈值之和作为新的分阈值。

较佳地，在所述更新并向各个业务处理装置下发分阈值后，该方法进一步包括：该业务处理装置在更新当前统计值后，判断分阈值与当前统计值之差是否大于预先设置的可回收阈值，若是，则将被分配的剩余分阈值中的一个返回给主控装置。

较佳地，所述对特征值进行集中统计包括：

集中统计装置获取各个业务处理装置对应的当前统计值，并对所有当前统计值求和作为当前总统计值；

各个业务处理装置接收改变特征值的操作请求，将该请求上报给集中统计装置，集中统计装置根据该请求更新特征值的当前总统计值，然后比较当前总统计值与总阈值，若当前总统计值达到或超过总阈值，则通知启动限制操作，通知发送操作请求的业务处理装置拒绝所述改变特征值的操作请求；否则，通知发送操作请求的业务处理装置进行正常操作；

所述改变特征值的操作包括：使所述特征值加1的操作和使所述特征值减1的操作；

所述限制操作为：拒绝特征值加1的操作请求，和/或记录超出阈值的事件，和/或发出告警。

较佳地，所述对特征值进行集中统计包括：

集中统计装置获取各个业务处理装置对应的当前统计值，并对所有当前统计值求和作为当前总统计值；

各个业务处理装置接收改变特征值的操作请求，将该请求上报给集中统计装置，集中统计装置根据该请求更新特征值的当前总统计值，然后比较当前总统计值与总阈值，若当前总统计值达到或超过总阈值，则通知启动限制操作，通知发送操作请求的业务处理装置拒绝所述改变特征值的操作请求；否则，通知发送操作请求的业务处理装置进行正常操作；

所述改变特征值的操作为：使所述特征值加1的操作和定时清零特征值的操作；

所述限制操作为：拒绝特征值加1的操作请求，和/或记录超出阈值的事件，和/或发出告警。

一种减少统计所需控制报文量的分布式系统，包括集中统计装置和至少两个除集中统计装置外的参与统计的业务处理装置，

所述集中统计装置，根据要统计的特征值的总阈值确定参与统计的不同业务处理装置对应的分阈值，并对应下发给各个所述业务处理装置，通知各个所述业务处理装置进入分散统计状态；并在接收到任一业务处理装置达到分阈值的通知后，通知各个所述业务处理装置进入集中统计状态；

除集中统计装置外的任一业务处理装置，用于在接收到集中统计装置进入分散统计状态的通知后对所述特征值进行统计，并在所述特征值的当前统计值达到自身对应的分阈值时，通知集中统计装置；并在接收到所述集中统计装置进入集中统计状态的通知后，对特征值进行集中统计。

较佳地，所述集中统计装置和业务处理装置是相互独立的物理设备，或者，是位于同一物理设备中的不同组成部分。

较佳地，所述集中统计装置为主控装置、预先指定的一个业务处理装置或新增的装置。

一种分布式系统中减少统计所需控制报文量的集中统计装置，包括分阈值计算模块、控制模块和第一统计模块，

所述分阈值计算模块，用于根据要统计的特征值的总阈值确定分布式系统中除集中统计装置外参与统计的不同业务处理装置对应的分阈值，并发送给所述控制模块；

所述控制模块，用于将接收的分阈值对应下发给各个所述业务处理装置，通知各个所述业务处理装置进入分散统计状态；并在接收到分布式系统中任一所述业务处理装置达到分阈值的通知后，通知所述各个业务处理装置进入集中统计状态，通知所述第一统计模块进行集中统计；

所述第一统计模块，用于接收到所述控制模块的通知后，对特征值进行集中统计。

较佳地，所述控制模块进一步用于比较总阈值与预先设定的分界阈值，当总阈值大于或等于所述分界阈值时，触发所述分阈值计算模块计算分阈值；

所述分阈值计算模块，用于在接收到所述控制模块的触发通知后计算分阈值。

较佳地，所述第一统计模块，用于保存并更新各个业务处理装置中特征值的当前统计值，提供给所述控制模块；

所述控制模块，接收所述第一统计模块中更新后的当前统计值，比较当前统计值与预先设置的该业务处理装置的下限阈值，当所有所述业务处理装置中的当前统计值均小于对应的下限阈值时，通知各个所述业务处理装置和所述第一统计模块退出集中统计状态、进入分散统计状态；

所述第一统计模块，在接收到进入分散统计状态的通知后，停止集中统计。

较佳地，所述第一统计模块，在进入集中统计状态后，每隔预设的时间间隔，进入分散统计状态，停止集中统计。

较佳地，所述控制模块，在进入分散统计状态后，判断是否需要更新分阈值，当判断需要时，通知所述分阈值计算模块更新分阈值；并在接收到更新后的分阈值后对应下发给所述各个业务处理装置；

所述分阈值计算模块，在接收到更新分阈值的通知后，更新分阈值并发送给控制模块。

一种分布式系统中减少统计所需控制报文量的业务处理装置，包括接口模块和第二统计模块，

所述接口模块，将分布式系统中的集中统计装置发送的通知和分阈值转发给所述第二统计模块；

所述第二统计模块，在接收到转发的进入分散统计状态的通知后，进入分散统计状态，对所述特征值进行统计，更新并保存所述特征值的当前统计值，并在该当前统计值达到自身对应的分阈值时，通过所述接口模块通知集中统计装置；并在接收到进入集中统计状态的通知后，对特征值进行集中统计。

较佳地，所述第二统计模块，在进入集中统计状态后，每隔预设的时间间隔，将保存的当前统计值清零，进入分散统计状态。

较佳地，所述接口模块，将所述集中统计装置发送的更新后的分阈值转发给所述第二统计模块；

所述第二统计模块，利用接收的分阈值更新保存的分阈值。

由上述技术方案可见，本发明中，首先设置集中统计装置，该集中统计装置根据要统计的特征值的总阈值确定不同业务处理装置对应的分阈值并对应下发给各个业务处理装置，通知业务处理装置进入分散统计状态；各个业务处理装置在分散统计状态中，分别统计自身的特征值，并在特征值的当前统计值达到或超过接收的分阈值时，通知集中统计装置；然后，集中统计装置通知所有业务处理装置进入集中统计状态，开始对特征值进行集中统计。这样，业务处理装置在分散统计状态中时，对于涉及特征值改变的操作可以直接进行，不需要通过报文上报给集中统计装置以进行特征值统计，从而大大减轻了集中统计装置与业务处理装置间交换网络的负担，降低了对交换网络交换能力的要求。同时，当任一装置的特征值当前统计值到达分阈值后，还可以进入集中统计状态，从而使与特征值相应的限制处理操作能够在所有业务处理装置的当前统计值之和超出总阈值限制时开始生效，以保证严格的总阈值限制要求。

附图说明

图1为本发明提供的分布式系统中带有阈值限制的统计方法总体流程图。

图2为本发明提供的具有阈值限制统计功能的分布式系统的总体结构图。

图3为本发明提供的分布式系统中主控装置的总体结构图。

图4为本发明提供的分布式系统中业务处理装置的总体结构图。

图5为本发明实施例一中对分布式会话进行统计的方法具体流程图。

图6为本发明实施例一中主控单元的状态转移图。

图7为本发明实施例一中业务处理单元的状态转移图。

图8为本发明实施例一中的主控单元的具体结构图。

图9为本发明实施例一中的业务处理单元的具体结构图。

图10为本发明实施例二中对分布式SYN连接数进行统计的方法具体流程图。

图11为本发明实施例二中主控单元的状态转移图。

图12为本发明实施例二中业务处理单元的状态转移图。

图13为本发明实施例三中对分布式会话进行统计的方法具体流程图。

图14为本发明实施例四中对分布式会话进行统计的方法具体流程图。

具体实施方式

为使本发明的目的、技术手段和优点更加清楚明白，以下结合附图对本发明作进一步详细说明。

本发明的基本思想是：在特征值统计过程中，设置一个集中统计装置，采用先分散后集中的方式进行统计，从而限制该集中统计装置和业务处理装置间控制报文的交换数量，进而降低对交换网络的性能要求。

图1为本发明提供的分布式系统中带有阈值限制的统计方法总体流程图。如图1所示，该方法包括：

步骤101，预先设置集中统计装置，并在该装置中设置特征值的总阈值。

本步骤中，设置的集中统计装置可以是主控装置，也可以预先指定的一个业务处理装置，还可以是新增的专用于集中统计的装置。针对统计的特征值，设置特征值的总阈值。

步骤102，集中统计装置根据要统计的特征值的总阈值确定不同业务处理装置对应的分阈值，并将确定的分阈值对应下发给各个参与统计的业务处理装置，通知所有业务处理装置进入分散统计状态。

本步骤中，首先将特征值的总阈值限制换算为分阈值限制，其中，所有业务处理装置的分阈值之和为总阈值。

步骤103，业务处理装置对所述特征值进行统计，当任一业务处理装置中所述特征值的当前统计值达到自身对应的分阈值时，通知集中统计装置；集中统计装置通知所有业务处理装置进入集中统计状态，对特征值进行集中统计。

图2为本发明提供的具有阈值限制统计功能的分布式系统的总体结构图。如图2所示，该系统包括集中统计装置和除该集中统计装置外的至少两个业务处理装置。

在该系统中，集中统计装置，用于保存预设的统计特征值的总阈值，根据该总阈值确定不同业务处理装置对应的分阈值，并将确定的分阈值对应下发给各个业务处理装置，通知所有业务处理装置进入分散统计状态；集中统计装置在接收到任一业务处理装置发送的超过分阈值的通知后，通知所有业务处理装置进入集中统计状态。

业务处理装置，用于在接收到集中统计装置发送的进入分散统计状态的通知后，对特征值进行统计，当任一业务处理装置中所述特征值的当前统计值达到或超过接收到的分阈值时，通知主控装置；在接收到主控装置发送的进入集中统计状态的通知后，对特征值进行集中统计。

图3为本发明提供的分布式系统中集中统计装置的总体结构图。可以用于上述图2所示的系统中，其中，集中统计装置包括分阈值计算模块、控制模块和第一统计模块。

在集中统计装置中，分阈值计算模块，用于保存预设的统计特征值的总阈值，并根据该总阈值确定参与统计的不同业务处理装置对应的分阈值，发送给控制模块。

控制模块，将接收的分阈值对应下发给各个业务处理装置，通知分布式系统中除本集中统计装置外其它参与统计的各个业务处理装置进入分散统计状态；并在接收到分布式系统中任一业务处理装置达到分阈值的通知后，通知各个业务处理装置进入集中统计状态，通知第一统计模块进行集中统计。

第一统计模块，用于接收到所述控制模块的通知后，对特征值进行集中统计。

图4为本发明提供的分布式系统中业务处理装置的总体结构图。可以用于上述图2所示的系统中，其中，业务处理装置包括接口模块和第二统计模块。

在业务处理装置中，接口模块，将分布式系统中的集中统计装置发送的通知和分阈值转发给所述第二统计模块。

第二统计模块，在接收到转发的进入分散统计状态的通知后，对所述特征值进行统计，更新并保存所述特征值的当前统计值，并在该当前统计值达到自身对应的分阈值时，通过接口模块通知主控装置；并在接收到进入集中统计状态的通知后，对特征值进行集中统计。

由上述可见，本发明中，在各个业务处理装置中的当前统计值尚未达到对应的分阈值前，业务处理装置可以直接执行涉及特征值改变的操作，不需要上报集中统计装置，从而可以大大减少集中统计装置与业务处理装置间的控制报文交互。但是，如果一直保持分散统计状态，则可能某业务处理装置中已经达到分阈值，但所有业务处理装置中特征值的统计值总和并未超过总阈值，而由于分布式系统中是以总阈值对所有业务处理装置中的相应特征值的总和进行限制的，因此在这种情况下不应该进行限制性处理。于是为保证严格的总阈值限制，当任一业务处理装置中特征值的当前统计值达到对应的分阈值后，开始启动集中统计。可见，利用本发明后，在统计的前一阶段，进行业务处理装置的分散统计，当统计值达到一定数量后，再进行集中统计，确定是否进行限制处理。总之，在分布式系统中应用上述先分散后集中的统计方式后，能够减少所需的控制报文交互量，降低对交互网络的性能要求，同时也能够保证严格的总阈值限制。

上述即为对本发明的总体概述，以下通过具体实施例说明本发明的具体

实施方式。

目前，在分布式的网络安全系统中包括一个主控装置和多个业务处理装置。其中，业务处理装置可以分别处理用户的连接请求，同时，主控装置控制所有业务处理装置中各项统计数值之和不超过阈值限制。

在下面的具体实施例中，就以在上述系统中应用本发明为例，说明本发明的具体实施方式。其中，该分布式的网络安全系统既可以由多个分离的设备构成，也可以是一个单独的网络安全设备，内部采用多个不同的单板实现业务处理。在下面的实施例中，以一个单独的网络安全设备为例进行说明，其中，业务处理单元即为业务处理装置，主控单元即为主控装置。

实施例一：

本实施例中，对分布式网络安全设备中，到达某一目的IP地址的会话数进行统计，设该目的IP地址为IP1，即将到达IP1的会话连接数作为特征值。

图5为本发明实施例一中对分布式会话进行统计的方法具体流程图。在该方法中，首先将主控单元设置为集中统计装置，并通过管理员在该主控单元中配置会话连接数的总阈值，接下来的具体统计过程包括如下步骤：

步骤501，主控单元判断会话连接数的总阈值是否大于或等于预先设定的分界阈值，若是，则执行步骤502及其后续步骤，进行分散统计；否则执行步骤509及其后续步骤，进行集中统计。

对于带有阈值限制的特征值统计，当总阈值较低时，可能无法进行或者没有必要进行分散统计，例如在总阈值低于参与统计的业务处理单元数量时。因此，为保证分散统计的正常进行，优选地，在本实施例中，预先设定一个分界阈值，该分界阈值用来判定当前的特征值是否可以采用分散统计方式进行统计。具体地，当特征值(也就是会话连接数)的总阈值大于或等于设定的分界阈值时，对特征值统计采用分散统计的方式，否则，依然沿用现有的集中统计方式进行统计。

具体设定分界阈值的方式为：根据业务处理单元的数量和连接类别(也就是特征值类型)，设定一个合适的分界阈值。其中，设定的分界阈值不能太高，否则能够进入先分散后集中统计的要求太高，使大部分特征值的统计一直处于集中统计状态，为主控单元和业务处理单元间的交换网络造成负担；同时，设定的分界阈值也不能太低，一方面要求至少大于业务处理单元数量，以使得各个参与统计的业务处理单元能被分到一定的分阈值，另一方面，分界阈值过低，可能导致总阈值比较低时也将进入分散统计状态，这时，由于总阈值较低使得分阈值也较低，将很快由分散统计状态进入集中统计状态，由于进入集中统计状态时主控单元要向所有业务处理单元发送通知，因此可能造成在此过程中承载通知的控制报文量大于始终处于集中统计状态下交互的控制报文量，那么这时进行的分散统计就得不偿失了。而业务处理单元与主控单元间的控制报文量又与连接类别有关，因此分界阈值的设定也就与连接类别相关。

当然，实施本实施例时，也可以不执行本步骤，而直接执行步骤502进行分散统计。

步骤502，根据会话连接数的总阈值确定参与统计的不同业务处理单元对应的分阈值。

本步骤中，在进行分散统计时，首先将用于限制总连接数的总阈值换算为不同业务处理单元对应的分阈值，其中，所有分阈值之和与总阈值相等。

具体在划分总阈值确定分阈值时，可以将总阈值按照参与统计会话类连接数的业务处理单元总数进行均分，得到分阈值；或者，也可以根据不同业务处理单元的处理能力划分总阈值，为参与统计的不同业务处理单元确定不同的分阈值。通常，在参与统计的所有业务处理单元是完全对等时，采用前者的划分方式，当不同业务处理单元间处理能力不同时，采用后者的划分方式。这里，所谓参与统计的业务处理单元是指在此处统计的特征值中，与该特征值的改变操作相关的业务处理单元。例如，本实施例中进行的是到达IP1的会话数统计，则参与统计的业务处理单元就是能够实现到达IP1的会话建立或会话删除的业务处理单元。

步骤503，将步骤502中确定的分阈值对应下发给各个业务处理单元，通知业务处理单元进入分散统计状态。

本步骤中，可以定义一个新的消息用来携带确定的分阈值，将该消息发送给各个业务处理单元，业务处理单元收到该消息后，保存被分配的分阈值，创建特征值，并进入分散统计状态。

在本发明中，所有业务处理装置与主控装置的统计状态均保持一致，本实施例中，也就是所有业务处理单元与主控单元的统计状态均保持一致。

接下来，在分散统计状态中，不同的业务处理单元分别对会话连接数进行实时统计，具体包括：

步骤504，业务处理单元接收改变会话连接数的操作请求，更新会话连接数的当前统计值，并执行该改变会话连接数的操作。

在分散状态下，当业务处理单元接收到改变特征值的操作请求时，更新特征值的当前统计值，并直接执行改变特征值的操作。具体在本实施例中，就是在接收到到达IP1的会话建立或会话删除请求时，更新会话连接数的当前统计值，并执行相应的会话建立或会话删除请求。具体更新会话连接数的方式为：当该请求是会话建立时，将会话连接数加1作为当前统计值；当该请求是会话删除时，将会话连接数减1作为当前统计值。

由本步骤可以看出，应用本发明进行分散统计后，业务处理单元接收到改变特征值的操作请求后，不需要上报控制报文给主控单元请示是否可以进行该操作，而是可以直接执行该操作，因此大大减少了主控单元与业务处理单元间的控制报文交互。

步骤505，步骤504中接收到请求的业务处理单元判断当前统计值是否达到保存的分阈值，若是，则执行步骤506，否则返回步骤504。

本步骤的操作可以在每次更新当前统计值后进行，或者也可以只在当前统计值增加后进行。具体地，对于会话数统计时，可以在接收到会话建立请求以及会话删除请求并更新当前统计值后均执行上述比较步骤，也可以只在接收到会话建立请求并更新当前统计值后执行比较步骤，而在接收到会话删除请求并更新当前统计值后不执行该步骤。

步骤506，当前统计值达到分阈值的业务处理单元向主控单元发送通知。

至此，任一业务处理单元的当前统计值达到或超过分阈值时，该业务处理单元会通知主控单元。

步骤507，主控单元接收到任一业务处理单元的通知后，确定该业务处理单元的当前统计值已达到分阈值，通知所有业务处理单元进入集中统计状态。

本步骤中，通知所有业务处理单元进入集中统计状态的方式可以为：

考虑到可能出现如下的情况：至少两个业务处理单元的当前统计值均达到对应的分阈值，并同时向主控单元发送通知，而主控单元一定是以某种先后顺序接收到上述通知，可能会造成主控单元先后多次发送要求所有业务处理单元进入集中统计状态的通知。因此，优选地，主控单元可以首先判断是否首次收到该通知，若是，则通知所有业务处理单元进入集中统计状态，否则表明已经发送过该通知，则可以不必再次发送通知。

至此，所有业务处理单元和主控单元退出分散统计状态，进入集中统计状态，对特征值进行集中统计。本实施例中，在集中统计状态下，主控单元和业务处理单元对特征值进行集中统计时进行下述操作：

步骤508，主控单元获取参与统计的所有业务处理单元的特征值当前统计值，并计算所有当前统计值之和作为当前总统计值。

本步骤中，主控单元综合参与统计的所有业务处理单元的情况，对特征值的当前统计状况进行记录。具体地，主控单元获取参与统计的所有业务处理单元的特征值当前统计值的方式可以为：通过步骤507中发送的通知消息向各个业务处理单元请求特征值的当前统计值，或者另外发送一个消息请求该当前统计值。在获取所有业务处理单元的当前统计值后，将所有当前统计值之和作为当前总统计值，并以该总统计值为基础进行集中统计。

步骤509，参与统计的各个业务处理单元接收到改变特征值的操作请求后，向主控单元上报该请求。

步骤510，主控单元接收到上报的请求后，更新特征值的当前总统计值，判断当前总统计值是否达到总阈值，若是，则执行步骤511，否则执行步骤512。

本步骤中，在主控单元对特征值进行集中统计，随时更新并检查当前总统计值是否达到总阈值，若达到，则进行限制处理，否则，通知业务处理单元正常处理。在集中统计过程中，业务处理单元和主控单元中相应特征值的当前统计值的变化始终保持一致。具体本实施例中，在主控单元中保存各个业务处理单元到达IP1的会话连接数的当前统计值，该当前统计值与各个业务处理单元自身保存的到达IP1的会话连接数的当前统计值始终保持一致。

步骤511，主控单元进行限制性处理。

本步骤中，进行的限制性处理可以为：通知发送请求的业务处理单元拒绝操作请求、和/或将超阈值事件记录在日志中、和/或向管理系统发出会话连接数超阈值告警。

步骤512，主控单元通知发送请求的业务处理单元对请求进行正常处理。

至此，本实施例提供的方法可以结束。或者，考虑到会话连接数可能由于会话删除操作的影响而逐渐减少，当主控单元中的当前统计值降到比较低时，可以考虑退回到分散统计状态，以进一步减少控制报文的交互量。因此，优选地，本实施例还可以在集中统计状态下，在主控单元中对应保存和更新所有业务处理单元对应的当前统计值，并在步骤509后执行以下操作：

主控单元依次判断各个业务处理单元的当前统计值与预先设置的该业务处理单元的下限阈值，若所有的当前统计值均低于相应的下限阈值，则通知所有的业务处理单元进入分散统计状态，并返回步骤504对特征值进行分散统计，否则执行步骤510。

上述操作中，需要将当前统计值与预先设置的下限阈值进行比较。这里，可以根据该业务处理单元的分阈值和总阈值设置该业务处理单元合适的下限阈值。其中，下限阈值的设置不能太高，避免分散统计状态和集中统计状态间的频繁切换；同时，下限阈值的设置也不能太低，避免下限阈值与对应分阈值间的绝对值过大，从而导致长期处于集中统计状态，使业务处理单元与主控单元间的控制报文为交换网络带来过大的负担。通常以相应分阈值的百分比作为下限阈值，优选地，将分阈值的90％作为相应的下限阈值。

上述判断操作可以在每次更新当前统计值(包括当前统计值增加及减少)后进行，或者也可以只在当前统计值减少后进行。具体地，对于会话数统计时，可以在接收到会话建立请求以及会话删除请求并更新当前统计值后均执行上述比较步骤，也可以只在接收到会话删除请求并更新当前统计值后执行比较步骤，而在接收到会话建立请求并更新当前统计值后不执行该步骤。

应用上述本实施例提供的方法后，可以获得图6和图7所示的主控单元和业务处理单元的状态转移图。在图6和图7中，代表分散统计状态的圆圈有两个边界，代表该分散统计状态是起始状态，也就是忽略掉步骤501、直接执行步骤502的情况。由图6和图7可以看出，在对会话连接数进行统计的过程中，随着会话连接数的改变，业务处理单元和主控单元可以在分散统计状态和集中统计状态之间进行调整，以尽可能地减轻统计过程对业务处理单元和主控单元间的控制报文交互量，并同时保证严格的总阈值限制。

本实施例还提供了一种具有阈值限制统计功能的分布式网络安全系统，该系统结构如图2所示。在下面的描述中，以在网络安全设备中进行阈值限制统计为例说明系统中的具体构成。具体地，该网络安全设备包括主控单元和业务处理单元。其中，主控单元即为图2所示的集中统计装置，业务处理单元即为图2所示的业务处理装置。主控单元和业务处理单元的具体结构，分别为图3和图4所示集中统计装置和业务处理装置的一种具体实施方式，可以用于实施上述图5所示的方法流程。图8即为本实施例中主控单元的具体结构图。如图8所示，该主控单元包括分阈值计算模块、控制模块和第一统计模块。

主控单元中的控制模块，用于保存配置的统计特征值的总阈值，比较该总阈值与预先设定的分界阈值，当总阈值大于或等于所述分界阈值时，触发所述分阈值计算模块计算分阈值。分阈值计算模块，接收到触发通知后，根据要统计的特征值的总阈值确定参与统计的不同业务处理装置对应的分阈值，并发送给控制模块。

控制模块将接收的分阈值对应下发给网络安全设备中参与会话连接数统计的各个业务处理单元，通知各个业务处理装置进入分散统计状态；并在接收到任一业务处理装置达到分阈值的通知后，通知各个业务处理装置进入集中统计状态，并通知第一统计模块进行集中统计。第一统计模块接收到控制模块的通知后，对特征值进行集中统计。

考虑到会话连接数可以减小，从而可以由集中统计状态转入分散统计状态的情况，优选地，主控单元中的第一统计模块，保存并更新各个业务处理单元中相应特征值的当前统计值，提供给控制模块。控制模块接收第一统计模块中更新后的当前统计值，比较当前统计值与预先设置的该业务处理单元的下限阈值，当业务处理单元中的当前统计值均小于对应的下限阈值时，控制模块通知各个业务处理单元和第一统计模块退出集中统计状态、进入分散统计状态。第一统计模块，在接收到进入分散统计状态的通知后，停止集中统计。

图9即为本实施例中业务处理单元的具体结构图。如图9所示，业务处理单元包括接口模块和第二统计模块。

业务处理单元中的接口模块，将网络安全设备中的主控单元发送的通知和分阈值转发给第二统计模块。

第二统计模块，在接收到转发的进入分散统计状态的通知后，对会话连接数进行统计，更新并保存会话连接数的当前统计值，并在该当前统计值达到自身对应的分阈值时，通知主控单元；并在接收到进入集中统计状态的通知后，对会话连接数进行集中统计。

同样考虑到会话连接数可以减小，从而可以由集中统计状态转入分散统计状态的情况，优选地，在主控单元向各个业务处理单元发出退出集中统计状态、进入分散统计状态后，业务处理单元中的接口模块将进入分散统计状态的通知转发给第二统计模块；第二统计模块，接收到分散统计的通知后，进行分散统计。

在本实施例中，在进行集中统计时，由主控单元获取所有业务处理单元的当前统计值，求和后进行特征值的集中统计；事实上，为进一步减少业务处理单元和主控单元间的控制报文量，或者，当主控单元当前执行的操作任务较重时，可以由预先指定的任意一个业务处理单元执行上述统计过程中主控单元的操作，也就是将集中统计装置设置为某个业务处理单元。具体地，首先由管理员在该业务处理单元中配置特征值的总阈值，或者也可以由主控单元将管理员配置在主控单元中的总阈值下发给该集中统计的业务处理单元，然后该业务处理单元获取所有业务处理单元的当前统计值，求和后进行特征值的集中统计；除该用于集中统计的业务处理单元外的其它业务处理单元在接收到特征值改变的操作后，向该进行集中统计的业务处理单元转发该请求，该业务处理单元接收请求后进行统计，以确定是进行正常操作还是限制操作。这样，由于该进行集中统计的业务处理单元不需要再向自己发送控制报文，上报操作请求，因此减少了一个业务处理单元与主控单元间的控制报文交互量。

又或者，集中统计装置也可以设置为一个新增的专用于进行集中统计的装置，在统计过程中，其执行的操作与本实施例中主控单元在统计过程中的操作相同。

实施例二：

在诸如网络安全设备等分布式系统的连接数统计中，对于实施例一中进行的会话连接数统计，既可能由于新建会话操作而增加统计的会话连接数，也可能由于删除会话操作而减少统计的会话连接数；而对于UDP连接数、SYN连接数和ICMP连接数等统计而言，由于存在新建连接操作而增加相应的连接数，但不存在删除连接操作，因此不存在减少相应的连接数，因此对这类连接数进行分布式统计时，统计方式与实施例一略有不同。在本实施例中，就以SYN连接数统计为例，说明具体的统计方式。

图10为本发明实施例二中对分布式SYN连接数进行统计的方法具体流程图。在该方法中，与实施例一相同，将集中统计装置设置为主控单元，并在该主控单元中设置特征值的总阈值。具体进行统计的方法流程包括以下步骤：

步骤1001，主控单元判断SYN连接数的总阈值是否大于或等于预先设定的分界阈值，若是，执行步骤1002及其后续步骤，进行分散统计；否则执行步骤1009及其后续步骤，进行集中统计。

步骤1002～1003，主控单元根据SYN连接数的总阈值确定参与统计的不同业务处理单元对应的分阈值；将确定的分阈值对应下发给各个业务处理单元，通知业务处理单元进入分散统计状态。

上述步骤1001～1003的操作与实施例一中步骤501～503的操作相同，这里就不再赘述。

步骤1004，业务处理单元接收新建SYN连接请求时，更新特征值的当前统计值，并执行该新建SYN连接请求的操作。

由于本实施例进行的是SYN连接数统计，因此改变特征值的操作为新建SYN连接操作，更新当前统计值的方式为：在接收到SYN连接建立请求时，将SYN连接数加1作为当前统计值。

步骤1005，判断当前统计值是否达到保存的分阈值，若是，则执行步骤1006，否则返回步骤1004。

步骤1006～1008，当前统计值达到分阈值的业务处理单元向主控单元发送通知；主控单元接收到任一业务处理单元的通知后，确定该业务处理单元的当前统计值已达到对应的分阈值，通知所有业务处理单元进入集中统计状态；主控单元获取参与统计的所有业务处理单元的特征值当前统计值，并计算所有当前统计值之和作为当前总统计值。

步骤1009～1012，参与统计的各个业务处理单元接收到新建SYN连接的请求后，向主控单元上报该请求；主控单元接收到上报的请求后，更新特征值的当前统计值，判断当前统计值是否达到总阈值，若是，则进行限制性处理，否则，通知发送请求的业务处理单元对请求进行正常处理。

至此，本实施例提供的方法流程可以结束。在上述方法流程中，与实施例一类似地，在进入集中统计状态后可以选择退出集中统计状态，进入分散统计状态，由于SYN连接数统计是与时间相关的统计，因此对于该统计过程中，退出集中统计状态的方式可以为定时清零的方式。具体地，当定时时间到时，将主控单元和业务处理单元中SYN连接数的当前统计值均清零，主控单元和业务处理单元自动返回分散统计状态，返回步骤1004。其中，定时时间可以任意设定，例如1秒钟。对于这类采用统一定时清零而退出集中统计状态的特征值统计来说，主控单元中可以保存各个业务处理单元对应的当前统计值，也可以不保存。这一点与实施例一中的情况有所不同。

应用上述本实施例提供的方法后，可以获得图11和图12所示的主控单元和业务处理单元的状态转移图。

本实施例还提供了一种具有阈值限制统计功能的分布式网络安全系统，与实施例一类似，仍以在网络安全设备中进行阈值限制统计为例说明系统中的具体构成。该网络安全设备与实施例一相同，包括业务处理单元和主控单元，并且其中业务处理单元和主控单元的具体结构与实施例一相同。区别在于，本实施例中进行统计的是SYN连接数，由于该连接数的统计与时间相关，因此统计过程中，退出集中状态、进入分散统计状态时业务处理单元和主控单元中的操作不同。具体地，本实施例中，主控单元中的第一统计模块在进入集中统计状态后，每隔预设的时间间隔，进入分散统计状态，停止集中统计；业务处理单元中的第二统计模块，在进入集中统计状态后，每隔预设的时间间隔，将保存的当前统计值清零，进入分散统计状态。

在实施例二中，与实施例一类似，主控单元的操作也可以利用任意一个业务处理单元来进行，这里就不再赘述。

在上述两个实施例中，根据特征值的总阈值确定的不同业务处理单元的分阈值都是确定的。但是，当不同业务处理单元间实际处理的业务量差别很大时，也就是业务向一部分业务处理单元倾斜时，可能会出现部分业务处理单元的当前统计值已经达到或接近相应的分阈值，但是其它部分业务处理单元的当前统计值还远低于相应的分阈值，这时，如果开始进行集中统计，则在总的统计值达到总阈值前，业务处理单元和主控单元间的控制报文交互量也比较大。

针对上述情况，本发明在特征值的统计过程中，还可以根据业务处理单元的当前统计值实时更新业务处理单元的分阈值，尽量减少处于集中统计状态的时间，以进一步减小业务处理单元与主控单元间的控制报文交互量。下面通过几个实施例说明带有更新分阈值机制的本发明的实施方式。

实施例三：

本实施例中，仍以会话数统计为例进行说明，并且在每次有业务处理单元的当前统计值达到分阈值、通知主控单元后，进行分阈值的更新操作。

本实施例中，在最初设置分阈值时，采用与实施例一中相同的方式，也就是说，根据参与统计的业务处理单元，将总阈值分成分阈值，所有业务处理单元的分阈值之和为总阈值。在更新分阈值时，获取所有参与统计的业务处理单元的当前统计值，并计算总阈值与所有业务处理单元的当前统计值之和的差，作为当前安全余量，也就是计算目前为止，还可以按正常情况处理的业务数量。然后，根据安全余量确定业务处理单元新的分阈值。

图13为本发明实施例三中对分布式会话进行统计的方法具体流程图。如图13所示，该方法包括：

步骤1301～1306，与实施例一中步骤501～506的操作相同，这里就不再赘述。

步骤1307，主控单元获取参与统计的所有业务处理单元的特征值的当前统计值，计算安全余量。

本步骤中，主控单元计算安全余量的方式可以为：将获取的所有业务处理单元的特征值的当前统计值求和，再计算总阈值与上述求和结果的差值作为安全余量。也就是说，该安全余量表示的是在对会话连接进行限制前，还可以正常处理的会话连接数。

步骤1308，主控单元根据计算的安全余量和预先设置的分界阈值，判断是否需要进行分阈值的更新，若是，则执行步骤1310，更新分阈值，否则执行步骤1309。

本步骤中，判断是否需要进行分阈值更新的方式可以为：比较安全余量和预先设置的分界阈值，若前者大于或等于后者，则判定可以进行分阈值更新，否则，判定不需要进行分阈值更新，直接进入集中统计状态。

比较上述判断方式和步骤1301的操作可以看出，事实上，本步骤中判断是否需要更新分阈值可以等价为判断剩余的安全余量是否能够满足进行分散统计的条件，从而判断是否可以将该安全余量再次分给各个业务处理单元进行分散统计。

步骤1309，主控单元获取所有业务处理单元的特征值的当前统计值之和作为当前总统计值，开始进行集中统计。

本步骤中，主控单元确定当前总统计值后，进入集中统计状态。在进行集中统计时，具体操作与实施例一中步骤509～511的操作相同，这里就不再赘述。

步骤1310，根据该安全余量确定新的分阈值下发给各个业务处理单元，返回步骤1304。

本步骤中，根据安全余量确定新的分阈值的方式可以为：主控单元将安全余量按照参与统计的业务处理单元数进行均分，并将该均分值与步骤1307获取的各个业务处理单元的当前统计值之和作为新的分阈值下发给各个业务处理单元。业务处理单元利用接收到的新的分阈值更新原有的分阈值，并在当前统计值基础上进入分散统计状态，返回步骤1304。

利用上述更新分阈值的操作，就使得各个业务处理单元重新确定了各自的分阈值，最大限度地使特征值的统计处于分散状态下，平衡了不同业务处理单元间剩余可以正常处理的连接数，进一步减小了处于集中统计状态的时间，减少了主控单元与业务处理单元间的控制报文交互。

至此，本实施例提供的方法流程可以结束。当然，考虑到会话连接数可能由于会话删除操作的影响而逐渐减少，本实施例也可以与实施例一类似，在当前总统计值减小到一定程度后，返回分散统计状态，以进一步减少主控单元和业务处理单元间的控制报文交互量。

本实施例中提到的更新分阈值可以循环进行，直到计算得到的安全余量低于预设的分界阈值，无法进行分阈值更新为止。

在本实施例中，为进一步改善更新分阈值的效果，更新分阈值的判断和具体的更新操作可以在主控单元中定时进行，从而实现分阈值预调节的目的。

具体地，在分散统计状态下，主控单元定时获取各个参与统计的业务处理单元中特征值的当前统计值，然后根据这些当前统计值判断业务是否向某些业务处理单元倾斜，若是，则初步确定需要更新分阈值。然后，计算当前的安全余量，并根据该安全余量进一步判断是否需要更新分阈值，若需要，则更新分阈值并通知各个业务处理单元，否则，进入集中统计状态。具体计算安全余量和进一步判断及更新分阈值的方式与前述步骤1308～1310相同，这里就不再赘述。

其中，根据获取的所有业务处理单元的当前统计值判断业务是否向某些业务处理单元倾斜的方式可以为：计算所有当前统计值中最大值与最小值之差，将该差值与预先设置的差值门限进行比较，若前者大于后者，则判定出现业务倾斜状况，有必要进行分阈值更新，否则，判定没有出现业务倾斜状况，不需要进行分阈值更新。这里，差值门限的设置可以根据总阈值及分阈值间的关系进行设置。

本实施例还提供了一种具有阈值限制统计功能的网络安全系统。如前所述，仍以在网络安全设备中进行阈值限制统计为例说明该系统的具体构成。该网络安全设备包括业务处理单元和主控单元。该设备、业务处理单元和主控单元的具体结构可以采用与实施例一相同的结构。进一步地，本实施例中，主控单元除具有实施例一中描述的功能外，其中的控制模块可以在进入分散统计状态后，判断是否需要更新分阈值，当控制模块判定需要更新时，通知所述分阈值计算模块更新分阈值。分阈值计算模块，在接收到更新分阈值的通知后，更新分阈值并发送给控制模块。控制模块在接收到更新后的分阈值后对应下发给各个业务处理单元。本实施例中的业务处理单元除具有实施例一中描述的功能外，其中的接口模块还可以将主控单元发送的更新后的分阈值转发给第二统计模块；第二统计模块，利用接收的分阈值更新保存的分阈值，继续进行分散统计。

实施例四：

在本实施例中，最初设置分阈值时，与前述实施例不同，是将总阈值分为多份分阈值，并且分阈值的份数大于参与统计的业务处理单元数量。在下发分阈值时，为各个业务处理单元下发一份分阈值，并保留部分分阈值。在更新分阈值时，将主控单元保留的部分分阈值，分配给需要更新分阈值的业务处理单元，每次分配一份，从而增加该业务处理单元的分阈值。

图14为本发明实施例四中对分布式会话进行统计的方法具体流程图。如图14所示，该方法包括：

步骤1401～1406，与实施例一中步骤501～506的操作基本相同，区别仅在于，步骤1402中设置分阈值的方式不同。本实施例中，设置分阈值的方式为：将总阈值均分成若干份，每份为一个分阈值，分阈值的份数大于参与统计的业务处理单元的个数。将每个分阈值分别发送给各个业务处理单元。这样，所有业务处理单元的分阈值总和小于总阈值。主控单元保存剩余的分阈值。例如，假定将总阈值均分为10份分阈值，共有7个参与统计的业务处理单元，则为每个业务处理单元分配一份分阈值后，还剩余3份分阈值，将这3份保存起来。

步骤1407，主控单元判断是否还有剩余的分阈值，若是，则判定需要进行分阈值更新，执行步骤1408，否则判定不需要进行分阈值更新，执行步骤1409。

步骤1408，主控单元将剩余分阈值中的一份下发给已达到分阈值的业务处理单元，该业务处理单元接收下发的分阈值，更新自身对应的分阈值，返回步骤1404。

本步骤中，对于已经达到对应分阈值的业务处理单元，如果主控单元中仍然剩余有分阈值，则可以将剩余分阈值中的一份分给该业务处理单元，该业务处理单元接收到新分配的分阈值后，与自身保存的分阈值相加作为新的分阈值进行保存，并返回步骤1404。

这里，由于最初分阈值的分配是平均进行的，因此最先达到分阈值的业务处理单元一定在之前的时间内进行了最多的相关业务操作；经过本步骤的操作，使得最先达到分阈值的业务处理单元可以有机会提高自己的分阈值，为相对处理业务较多的业务处理单元分配更大的分阈值，从而平衡各个业务处理单元间对于特征值的限制程度。

返回步骤1404，也就是依然保持在分散统计状态，可见，与实施例一中的在某业务处理单元的当前统计值达到分阈值后直接进入集中统计状态的状况相比，本实施例中还可以在某业务处理单元的当前统计值达到分阈值后有机会对分阈值进行更新，从而继续处于分散统计状态，进而减少主控单元与业务处理单元间控制报文的交互量。这一点与实施例三类似，只是具体判断是否需要更新以及具体的分阈值更新方式有所差别。

在本实施例中，某业务处理单元更新分阈值后，如果统计的特征值可能减少，例如，会话连接数统计，则优选地，还可以包括：在每次特征值的当前统计值减小后，业务处理单元判断分阈值与当前统计值之差是否大于预先设置的可回收阈值，若是，则该业务处理单元将更新分阈值时被分配的一份分阈值归还给主控单元，主控单元回收该业务处理单元归还的一份分阈值。业务处理单元归还分阈值的过程可以循环进行，直到该业务处理单元的分阈值等于最初分配的分阈值。其中，可回收阈值的设置应略大于一份分阈值的大小，否则会造成在更新分阈值和回收分阈值间的频繁切换，优选地，将可回收阈值设置为大于等于分阈值的1.5倍。经过上述处理后，就可以在某业务处理单元的特征值减小到一定程度后，降低其分阈值，将这部分分阈值归还主控单元，由主控单元再次将其分配给需要更新分阈值的业务处理单元。

步骤1409，主控单元获取所有业务处理单元的特征值的当前统计值，求和后作为特征值的当前总统计值，开始进行集中统计。

在进行集中统计时，具体操作与实施例一中步骤509～511的操作相同，这里就不再赘述。

在本实施例中，与实施例三类似，为进一步改善更新分阈值的效果，更新分阈值的判断和具体的更新操作可以在主控单元中定时进行，从而实现分阈值预调节的目的。

具体地，在分散统计状态下，主控单元定时获取各个参与统计的业务处理单元中特征值的当前统计值，然后根据这些当前统计值判断业务是否向某些业务处理单元倾斜，若是，则初步确定需要更新分阈值。接下来，针对需要更新分阈值的业务处理单元，逐个进一步判断是否需要更新分阈值，若需要，则更新分阈值并通知该业务处理单元，否则，不进行任何操作。

其中，根据获取的所有业务处理单元的当前统计值判断业务是否向某些业务处理单元倾斜的方式可以为：主控单元比较任意业务处理单元的当前统计值与预先设置的该业务处理单元对应的更新阈值，若前者大于后者，则判定业务向该业务处理单元倾斜，初步确定需要对该业务处理单元进行分阈值更新，否则，判定不需要进行分阈值更新。主控单元对初步确定需要更新分阈值的业务处理单元逐个进一步判断是否需要更新，该判断的顺序为：依据超出对应更新阈值的程度进行，超出更新阈值的百分比越大，判断的次序越靠前。对于预先设置的业务处理单元对应的更新阈值，通常以相应分阈值的百分比表示，例如，相应分阈值的90％。当业务处理单元的当前统计值超过该分阈值的90％后，即判定需要进行分阈值更新。

上述即为本发明的具体实施方式。在上述四个实施例中，均以网络安全系统为例说明的本发明的具体实施方式，事实上，对于其它分布式系统，在进行带有阈值限制的特征值统计时，均可以采用本发明提供的方法和系统进行。例如，可以应用于具有分布式结构的L4～L7网络设备中。

以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (31)

1.一种分布式系统中带有阈值限制的统计方法，其特征在于，预先设置集中统计装置，并根据业务要求在该集中统计值装置中设置要统计的特征值的总阈值，该统计方法包括：

a、集中统计装置根据所述总阈值确定参与统计的不同业务处理装置对应的分阈值，并将确定的分阈值对应下发给各个业务处理装置，通知所有业务处理装置进入分散统计状态；

b、不同的业务处理装置分别对所述特征值进行统计，当任一业务处理装置中所述特征值的当前统计值达到自身对应的分阈值时，通知集中统计装置；集中统计装置通知所有业务处理装置进入集中统计状态，对特征值进行集中统计。

2.根据权利要求1所述的方法，其特征在于，所述根据要统计的特征值的总阈值确定不同业务处理装置对应的分阈值前，该方法进一步包括：比较总阈值与预先设定的分界阈值，当总阈值大于或等于所述分界阈值时，继续执行所述根据要统计的特征值的总阈值确定不同业务处理装置对应的分阈值的操作，否则通知各个业务处理装置对特征值进行集中统计。

3.根据权利要求1所述的方法，其特征在于，在集中统计状态下，该方法进一步包括：集中统计装置保存并更新各个业务处理装置中特征值的当前统计值，当所有业务处理装置中的当前统计值均小于预先设置的该业务处理装置的下限阈值时，通知各个业务处理装置退出集中统计状态、进入分散统计状态，并返回步骤b。

4.根据权利要求1所述的方法，其特征在于，在所述对特征值进行集中统计后，该方法进一步包括：每隔预设的时间间隔，集中统计装置和各个业务处理装置退出集中统计状态进入分散统计状态，将各自的当前统计值置0，并返回步骤b。

5.根据权利要求1到4中任一所述的方法，其特征在于，所述设置集中统计装置为，将集中统计装置设置为主控装置或新增的专用于集中统计的装置；

所述对特征值进行集中统计为：

集中统计装置获取各个业务处理装置对应的当前统计值，并对所有当前统计值求和作为当前总统计值；

各个业务处理装置接收改变特征值的操作请求，将该请求上报给集中统计装置，集中统计装置根据该请求更新特征值的当前总统计值，然后比较当前总统计值与总阈值，若当前总统计值达到或超过总阈值，则通知启动限制操作，通知发送操作请求的业务处理装置拒绝所述改变特征值的操作请求；否则，通知发送操作请求的业务处理装置进行正常操作。

6.根据权利要求1到4中任一所述的方法，其特征在于，所述设置集中统计装置为，将主控装置设置为预先指定的一个业务处理装置。

7.根据权利要求1所述的方法，其特征在于，所述根据要统计的特征值的总阈值确定不同业务处理装置对应的分阈值为：

计算总阈值与参与统计的业务处理装置数目之商，并将该商值设置为业务处理装置对应的分阈值；

或者，根据参与统计的业务处理装置的数目和业务处理装置的处理能力，为不同的业务处理装置设置不同的分阈值，并且所有参与统计业务处理装置的分阈值之和为所述总阈值。

8.根据权利要求7所述的方法，其特征在于，在分散统计状态时，该方法进一步包括：集中统计装置判断是否需要更新所述分阈值，若是，则更新并向各个业务处理装置下发分阈值，执行所述步骤b。

9.根据权利要求8所述的方法，其特征在于，定时执行所述判断是否需要更新分阈值的操作；

所述判断是否需要更新分阈值为：获取所有业务处理装置中所述特征值的当前统计值，并计算所有当前统计值中最大值与最小值间的差值，比较该差值与预先设置的差值门限，若前者大于后者，则计算总阈值与所有业务处理装置中当前统计值之和的差，作为安全余量，进一步比较安全余量与预先设置的分界阈值，若安全余量大于或等于所述分界阈值，判定需要更新分阈值；若所述差值不大于所述差值门限，和/或安全余量小于分界阈值，判定不需要更新分阈值，保持所述分阈值不变。

10.根据权利要求8所述的方法，其特征在于，在所述任一业务处理装置通知集中统计装置后、集中统计装置通知所有业务处理装置进入集中统计状态前，执行所述判断是否需要更新分阈值的操作；

所述判断是否需要更新分阈值为：获取所有业务处理装置中所述特征值的当前统计值，计算总阈值与所有业务处理装置中当前统计值之和的差作为安全余量，比较安全余量与预先设置的分界阈值，若安全余量大于或等于所述分界阈值，判定需要更新分阈值，否则，判定不需要更新分阈值，执行所述集中统计装置通知所有业务处理装置进入集中统计状态的操作。

11.根据权利要求9或10所述的方法，其特征在于，所述更新并下发分阈值为：根据安全余量和不同业务处理装置的当前统计值确定各个业务处理装置对应的分阈值，下发给各个业务处理装置。

12.根据权利要求2、9或10所述的方法，其特征在于，所述分界阈值根据业务处理单元的数量和统计的特征值类型确定。

13.根据权利要求1所述的方法，其特征在于，所述根据要统计的特征值的总阈值确定不同业务处理装置对应的分阈值为：将所述总阈值均分得到分阈值，且总阈值与分阈值之比大于参与统计的业务处理装置数目；

所述将确定的分阈值对应下发给各个业务处理装置为：为每个参与统计的业务处理装置下发一个分阈值；

在所述将确定的分阈值对应下发给各个业务处理装置后，该方法进一步包括：保存剩余的分阈值。

14.根据权利要求13所述的方法，其特征在于，在分散统计状态时，该方法进一步包括：集中统计装置判断是否需要更新所述分阈值，若是，则更新并向各个业务处理装置下发分阈值，执行所述步骤b。

15.根据权利要求14所述的方法，其特征在于，定时执行所述判断是否需要更新分阈值的操作；

所述判断是否需要更新分阈值为：获取所有业务处理装置中所述特征值的当前统计值，并依次判断各个业务处理装置中的当前统计值与预先设置的该业务处理装置的更新阈值，若前者大于后者，则进一步判断是否存在剩余的分阈值，若是，则判定该业务处理装置需要更新所述分阈值，否则，判定该业务处理装置不需要更新所述分阈值。

16.根据权利要求14所述的方法，其特征在于，在所述任一业务处理装置通知集中统计装置后、集中统计装置通知所有业务处理装置进入集中统计状态前，执行所述判断是否需要更新分阈值的操作；

所述判断是否需要更新分阈值为：集中统计装置判断是否还有剩余的分阈值，若是，则判定上报通知的业务处理装置需要更新所述分阈值，否则，判定所有业务处理装置不需要更新所述分阈值，继续执行所述集中统计装置通知所有业务处理装置进入集中统计状态的操作。

17.根据权利要求15或16所述的方法，其特征在于，所述更新并向各个业务处理装置下发分阈值为：将剩余的其中一个分阈值下发给需要更新分阈值的业务处理装置，该业务处理装置将接收到的分阈值与本身保存的分阈值之和作为新的分阈值。

18.根据权利要求14所述的方法，其特征在于，在所述更新并向各个业务处理装置下发分阈值后，该方法进一步包括：该业务处理装置在更新当前统计值后，判断分阈值与当前统计值之差是否大于预先设置的可回收阈值，若是，则将被分配的剩余分阈值中的一个返回给主控装置。

19.根据权利要求3或18所述的方法，其特征在于，

所述对特征值进行集中统计包括：

集中统计装置获取各个业务处理装置对应的当前统计值，并对所有当前统计值求和作为当前总统计值；

各个业务处理装置接收改变特征值的操作请求，将该请求上报给集中统计装置，集中统计装置根据该请求更新特征值的当前总统计值，然后比较当前总统计值与总阈值，若当前总统计值达到或超过总阈值，则通知启动限制操作，通知发送操作请求的业务处理装置拒绝所述改变特征值的操作请求；否则，通知发送操作请求的业务处理装置进行正常操作；

所述改变特征值的操作包括：使所述特征值加1的操作和使所述特征值减1的操作；

所述限制操作为：拒绝特征值加1的操作请求，和/或记录超出阈值的事件，和/或发出告警。

20.根据权利要求4所述的方法，其特征在于，

所述对特征值进行集中统计包括：

集中统计装置获取各个业务处理装置对应的当前统计值，并对所有当前统计值求和作为当前总统计值；

各个业务处理装置接收改变特征值的操作请求，将该请求上报给集中统计装置，集中统计装置根据该请求更新特征值的当前总统计值，然后比较当前总统计值与总阈值，若当前总统计值达到或超过总阈值，则通知启动限制操作，通知发送操作请求的业务处理装置拒绝所述改变特征值的操作请求；否则，通知发送操作请求的业务处理装置进行正常操作；

所述改变特征值的操作为：使所述特征值加1的操作和定时清零特征值的操作；

所述限制操作为：拒绝特征值加1的操作请求，和/或记录超出阈值的事件，和/或发出告警。

21.一种具有阈值限制统计功能的分布式系统，其特征在于，该系统包括集中统计装置和至少两个除集中统计装置外的参与统计的业务处理装置，

所述集中统计装置，根据要统计的特征值的总阈值确定参与统计的不同业务处理装置对应的分阈值，并对应下发给各个所述业务处理装置，通知各个所述业务处理装置进入分散统计状态；并在接收到任一业务处理装置达到分阈值的通知后，通知各个所述业务处理装置进入集中统计状态；

除集中统计装置外的任一业务处理装置，用于在接收到集中统计装置进入分散统计状态的通知后对所述特征值进行统计，并在所述特征值的当前统计值达到自身对应的分阈值时，通知集中统计装置；并在接收到所述集中统计装置进入集中统计状态的通知后，对特征值进行集中统计。

22.根据权利要求21所述的分布式系统，其特征在于，所述集中统计装置和业务处理装置是相互独立的物理设备，或者，是位于同一物理设备中的不同组成部分。

23.根据权利要求21或22所述的分布式系统，其特征在于，所述集中统计装置为主控装置、预先指定的一个业务处理装置或新增的装置。

24.一种分布式系统中的集中统计装置，其特征在于，所述集中统计装置包括分阈值计算模块、控制模块和第一统计模块，

所述分阈值计算模块，用于根据要统计的特征值的总阈值确定分布式系统中除集中统计装置外参与统计的不同业务处理装置对应的分阈值，并发送给所述控制模块；

所述控制模块，用于将接收的分阈值对应下发给各个所述业务处理装置，通知各个所述业务处理装置进入分散统计状态；并在接收到分布式系统中任一所述业务处理装置达到分阈值的通知后，通知所述各个业务处理装置进入集中统计状态，通知所述第一统计模块进行集中统计；

所述第一统计模块，用于接收到所述控制模块的通知后，对特征值进行集中统计。

25.根据权利要求24所述的集中统计装置，其特征在于，所述控制模块进一步用于比较总阈值与预先设定的分界阈值，当总阈值大于或等于所述分界阈值时，触发所述分阈值计算模块计算分阈值；

所述分阈值计算模块，用于在接收到所述控制模块的触发通知后计算分阈值。

26.根据权利要求24所述的集中统计装置，其特征在于，所述第一统计模块，用于保存并更新各个业务处理装置中特征值的当前统计值，提供给所述控制模块；

所述控制模块，接收所述第一统计模块中更新后的当前统计值，比较当前统计值与预先设置的该业务处理装置的下限阈值，当所有所述业务处理装置中的当前统计值均小于对应的下限阈值时，通知各个所述业务处理装置和所述第一统计模块退出集中统计状态、进入分散统计状态；

所述第一统计模块，在接收到进入分散统计状态的通知后，停止集中统计。

27.根据权利要求24所述的集中统计装置，其特征在于，所述第一统计模块，在进入集中统计状态后，每隔预设的时间间隔，进入分散统计状态，停止集中统计。

28.根据权利要求24所述的集中统计装置，其特征在于，所述控制模块，在进入分散统计状态后，判断是否需要更新分阈值，当判断需要时，通知所述分阈值计算模块更新分阈值；并在接收到更新后的分阈值后对应下发给所述各个业务处理装置；

所述分阈值计算模块，在接收到更新分阈值的通知后，更新分阈值并发送给控制模块。

29.一种分布式系统中的业务处理装置，其特征在于，所述业务处理装置包括接口模块和第二统计模块，

所述接口模块，将分布式系统中的集中统计装置发送的通知和分阈值转发给所述第二统计模块；

所述第二统计模块，在接收到转发的进入分散统计状态的通知后，进入分散统计状态，对所述特征值进行统计，更新并保存所述特征值的当前统计值，并在该当前统计值达到自身对应的分阈值时，通过所述接口模块通知集中统计装置；并在接收到进入集中统计状态的通知后，对特征值进行集中统计。

30.根据权利要求29所述的业务处理装置，其特征在于，所述第二统计模块，在进入集中统计状态后，每隔预设的时间间隔，将保存的当前统计值清零，进入分散统计状态。

31.根据权利要求29所述的业务处理装置，其特征在于，所述接口模块，将所述集中统计装置发送的更新后的分阈值转发给所述第二统计模块；

所述第二统计模块，利用接收的分阈值更新保存的分阈值。

Images