CN106059944A - 一种过载保护方法及装置 - Google Patents

Abstract

本申请实施例公开了一种过载保护方法及装置，涉及网络技术领域，其中，上述方法包括：获得设备资源使用率；判断所述设备资源使用率是否大于预设的第一阈值；若为是，判断是否存在处于可关闭状态的规则；若存在，按照预先确定的各个规则的过载关闭优先级由高到低的顺序，从处于可关闭状态的规则中选择待关闭规则，关闭所述待关闭规则，并将所述待关闭规则的状态更新为可开启状态。应用本申请实施例提供的方案，能够最大限度的保护设备所保护的区域。

Description

一种过载保护方法及装置

技术领域

本申请涉及网络技术领域，特别涉及一种过载保护方法及装置。

背景技术

近年来网络技术得到了越来越广泛的应用，因而网络安全也就显得越来越重要，基于此一些安全类或者上网行为管理类设备一般需要对经过的流量进行深度检测，以保证其所保护区域的安全性。

现有技术中，上述设备对经过的流量进行检测时，一般通过流量对应的各种规则进行检测，然而各种规则的性能消耗不同，也就是对设备资源的需求程度不同，有些规则对设备资源的需求较低，而有些规则对设备资源的需求较高，基于此，当经过设备的流量过大或者对设备资源需求较高的规则被频繁命中时，会造成设备资源使用率过高。

当设备资源使用率高到一定程度时，设备往往会将工作模式切换至二层回退模式。当设备工作于二层回退模式时，设备将暂时不再对经过的流量进行检测，这样设备所保护的区域失去了保护，导致上述区域完全暴露在互联网环境中，存在极大的安全隐患。

发明内容

本申请实施例公开了一种过载保护方法及装置，以最大限度的保护设备所保护的区域。

为达到上述目的，本申请实施例公开了一种过载保护方法，所述方法包括：

获得设备资源使用率；

判断所述设备资源使用率是否大于预设的第一阈值；

若为是，判断是否存在处于可关闭状态的规则；

若存在，按照预先确定的各个规则的过载关闭优先级由高到低的顺序，从处于可关闭状态的规则中选择待关闭规则，关闭所述待关闭规则，并将所述待关闭规则的状态更新为可开启状态。

为达到上述目的，本申请实施例公开了一种过载保护装置，所述装置包括：

获得模块，用于获得设备资源使用率；

第一判断模块，用于判断所述设备资源使用率是否大于预设的第一阈值；

第二判断模块，用于在所述第一判断模块的判断结果为是的情况下，判断是否存在处于可关闭状态的规则；

关闭模块，用于在所述第二判断模块的判断结果为是的情况下，按照预先确定的各个规则的过载关闭优先级由高到低的顺序，从处于可关闭状态的规则中选择待关闭规则，关闭所述待关闭规则，并将所述待关闭规则的状态更新为可开启状态。

由以上可见，本申请实施例提供的方案中，当设备资源使用率大于预设的第一阈值，且存在处于可关闭状态的规则时，按照预先确定的各个规则的过载关闭优先级由高到低的顺序，从处于可关闭状态的规则中选择待关闭规则，并关闭这些待关闭规则。与现有技术相比，本申请实施例提供的方案中，在设备资源使用率较高时，首先考虑仅仅关闭一部分规则，以降低设备资源使用率，而非直接将工作模式切换至二层回退模式，这样可以使得设备所保护的区域不完全暴露在互联网环境中，最大限度的保护设备所保护的区域。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的一种过载保护方法的流程示意图；

图2为本申请实施例提供的另一种过载保护方法的流程示意图；

图3为本申请实施例提供的一种过载保护装置的结构示意图；

图4为本申请实施例提供的另一种过载保护装置的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

图1为本申请实施例提供的一种过载保护方法的流程示意图，该方法包括：

S101：获得设备资源使用率。

对于一个设备而言，其具有各种资源，例如：CPU资源、内存资源、硬盘资源等等。上述设备资源使用率可以理解为：设备的一种资源的使用量占该资源总量的比例。相应的，上述设备资源使用率可以是：CPU资源使用率、内存资源使用率、硬盘资源使用等等。

上述获得设备资源使用率，可以是实时获得设备资源使用率，还可以是按照一定的时间间隔获得设备资源使用率，具体的，上述时间间隔可以根据实际情况设定。

S102：判断设备资源使用率是否大于预设的第一阈值，若为是，执行S103。

当设备资源使用率大于预设的第一阈值时，可以理解为：该种设备资源出现了资源不足的情况，也就是针对设备资源出现了设备过载的情况。上述预设的第一阈值可以根据具体情况设定，例如，70％、80％、90％等等。

S103：判断是否存在处于可关闭状态的规则，若存在，执行S104。

值得一提的是，本申请实施例中所提及的“规则”可以理解为：用于对经过作为执行主体的设备的流量进行安全性检测的规则。

具体的，规则的状态可以是由过载关闭状态和用户配置的开启状态两者确定的，当然，也可以是根据其他情况确定的，例如，默认所有的规则均是开启的，且不允许用户配置，这种情况下，上述规则的状态则可以仅仅是由过载关闭状态确定的，本申请并不对此进行限定。

上述过载关闭状态用于表示：对于一个规则，该规则在设备过载的情况下是否被关闭，过载关闭状态的具体取值可以为：关闭状态和未关闭状态。

上述用户配置的开启状态用于表示：对于一个规则，用户配置的规则的状态，用户配置的开启状态的具体取值可以为：开启状态和未开启状态。

以规则的状态由过载关闭状态和用户配置的开启状态两者确定的情况为例，上述三者之间的对应关系可以参见如下表1。由于规则的状态可以从不同角度进行划分，该表中所列的信息分别从“可关闭状态”和“已关闭状态”的角度划分规则的状态，从“可开启状态”和“不可开启状态”的角度划分规则的状态。

表1

用户配置的开启状态	过载关闭状态	规则的状态
			开启状态	未关闭状态	可关闭状态/不可开启状态
开启状态	关闭状态	已关闭状态/可开启状态
			未开启状态	未关闭状态	已关闭状态/不可开启状态
未开启状态	关闭状态	已关闭状态/不可开启状态

鉴于上述表1所列的情况，在用户配置的开启状态为：开启状态、过载状态为：未关闭状态时，可以判定存在处于可关闭状态的规则，其他情况下可以判定不存在处于可关闭状态的规则。

S104：按照预先确定的各个规则的过载关闭优先级由高到低的顺序，从处于可关闭状态的规则中选择待关闭规则，关闭待关闭规则，并将待关闭规则的状态更新为可开启状态。

具体的，可以预先设定从处于可关闭状态的规则中选择待关闭规则的数量，也可以预先设定从处于可关闭状态的规则中选择待关闭规则的比例。

由于一个规则被关闭之后，随着设备资源使用情况的改变，还有可能会重新开启这一规则，所以关闭上述待关闭规则后，可以更新其状态为可开启状态。

仍然以上述表1为例，规则关闭前和关闭后的状态如下表2所示。

表2

	用户配置的开启状态	过载关闭状态	规则的状态
				关闭前	开启状态	未关闭状态	可关闭状态/不可开启状态
关闭后	开启状态	关闭状态	已关闭状态/可开启状态

该规则属于在设备过载状态下发生的关闭，所以“过载关闭状态”发生变化，而用户未对该规则的状态进行配置，所以“用户配置的开启状态”没有发生变化。鉴于上述“过载关闭状态”和“用户配置的开启状态”的情况，规则的状态更新为“已关闭状态/可开启状态”。

上述各个规则的过载关闭优先级是预先确定的，具体的，每个规则的过载关闭优先级可以为根据该规则的性能消耗系数和该规则对安全性的影响程度系数确定的。

其中，性能消耗系数用于表示规则所消耗性能的多少，进一步的可以表示规则对设备资源的需求程度，例如，以1、2、3表示性能消耗系数的具体取值，可以认为该系数的取值越大，运行规则所消耗性能越多，也就是规则对设备资源的需求程度越高；对安全性的影响程度系数用于表示规则对安全性所带来的影响程度，例如，以1、2、3表示上述影响程度系数的具体取值。可以认为规则对安全性所带来的影响程度越低，上述影响程度系数的取值越大；而规则对安全性所带来的影响程度越高，上述影响程度系数的取值越小，当然，也可以是该系数的取值越大，规则对安全性所带来的影响程度越高。

需要说明的是，本申请仅仅以上述为例进行说明，实际应用中并不限定性能消耗系数和规则对安全性的影响程度系数的具体取值。

另外，根据一个规则的性能消耗系数和该规则对安全性的影响程度系数确定的该规则的过载关闭优先级时，可以根据以下表达式确定：

过载关闭优先级＝性能消耗系数*对安全性的影响程度系数。

当然，还可以根据以下表达式确定：

过载关闭优先级＝性能消耗系数+对安全性的影响程度系数。

本申请仅仅以上述为例进行说明，实际应用中，过载关闭优先级的计算方式并不仅限于上述情况。

在判断是否存在处于可关闭状态的规则时，还有可能发现并不存在处于可关闭状态的规则，这种情况下，可以在预设时长内拒绝对经过的流量进行安全性检测，这样可以在预设时长内缓解设备资源不足的情况。上述预设时长可以根据具体情况确定，该时长过长可能会导致经过的流量长时间得到安全性检测，带来安全隐患，而该时长过短又可能会导致无法缓解设备资源不足的情况。

具体的，二层回退模式可以理解为：暂时不再对经过设备的流量进行安全性检测，这样在上述不存在处于可关闭状态的规则时，也可以理解为：将工作模式切换至二层回退模式。进一步的，设备在工作于二层回退模式一定时间后，可以主动退出二层回退模式，切换至正常工作状态，也就是恢复切换至二层回退模式之前的状态，这样可以继续对经过其的流量进行安全性检测。

另外，考虑到设备所保护区域的安全性等因素，在设备工作于二层回退模式时，用户还可以手动关闭设备的二层回退模式，使其切换至上述正常工作状态。

可以理解的，由于设备工作于二层回退模式时，不再对经过其的流量进行安全性检测，也就是各种规则处于无法被命中的阶段，所以，在此期间可以对设备资源使用率是否大于预设的第一阈值进行检测，进而也就不会根据规则的过载关闭优先级关闭规则。

实际应用中，用户的需求随时有可能发生变化，因而用户随时有可能改变各个规则的状态，鉴于此，在本申请的一种实现方式中，上述过载保护方法还可以包括：接收用户针对目标规则的状态更改指令，根据上述状态更改指令，更新目标规则的状态。

仍然以上述表1为例，根据用户指令更新前和更新后规则的状态如下表3所示。

表3

用户发出针对目标规则的状态更改指令时，其所改变的通常为“用户配置的开启状态”，一般用户不会直接去改变“过载关闭状态”。值得一提的是，上述表3的情况二中，“用户配置的开启状态”由“开启状态”变化为“未开启状态”，由于通常情况下，“过载关闭状态”的初始值为“未关闭状态”，所以这时可以将“过载关闭状态”更新为其初始值“未关闭状态”以便于后续的过载保护。

由以上可见，本实施例提供的方案中，当设备资源使用率大于预设的第一阈值，且存在处于可关闭状态的规则时，按照预先确定的各个规则的过载关闭优先级由高到低的顺序，从处于可关闭状态的规则中选择待关闭规则，并关闭这些待关闭规则。与现有技术相比，本实施例提供的方案中，在设备资源使用率较高时，首先考虑仅仅关闭一部分规则，以降低设备资源使用率，而非直接将工作模式切换至二层回退模式，这样可以使得设备所保护的区域不完全暴露在互联网环境中，最大限度的保护设备所保护的区域。

在本申请的一种实现方式中，参见图2，提供了另一种过载保护方法的流程示意图，与前述实施例相比，本实施例中，在获得设备资源使用率(S101)之后，还包括：

S105：判断设备资源使用率是否小于预设的第二阈值，若为是，执行S106。

其中，上述第一阈值大于上述第二阈值。

随着实际情况的改变，上述设备资源使用率有可能会发生变化，当设备资源使用率小于预设的第二阈值时，可以理解为：该种设备资源充足。上述预设的第二阈值可以根据具体情况设定，例如，60％、50％、40％等等。

S106：判断是否存在处于可开启状态的规则，若存在，执行S107。

以表1所示情况为例，在用户配置的开启状态为：开启状态、过载状态为：关闭状态时，可以判定存在处于可开启状态的规则，其他情况下可以判定不存在处于可开启状态的规则。

S107：按照过载关闭优先级由低到高的顺序，从处于可开启状态的规则中选择待开启规则，开启待开启规则，并将待开启规则的状态更新为可关闭状态。

具体的，可以预先设定从处于可开启状态的规则中选择待开启规则的数量，也可以预先设定从处于可开启状态的规则中选择待开启规则的比例。

由于一个规则被开启之后，随着设备资源使用情况的改变，还有可能会重新关闭这一规则，所以开启上述待开启规则后，可以更新其状态为可关闭状态。

仍然以上述表1为例，规则开启前和开启后的状态如下表4所示。

表4

	用户配置的开启状态	过载关闭状态	规则的状态
				开启前	开启状态	关闭状态	已关闭状态/可开启状态
开启后	开启状态	未关闭状态	可关闭状态/不可开启状态

该规则开启属于在设备资源充足的情况下发生的规则开启，所以“过载关闭状态”发生变化，而用户未对该规则的状态进行配置，所以“用户配置的开启状态”没有发生变化。鉴于上述“过载关闭状态”和“用户配置的开启状态”的情况，规则的状态更新为“可关闭状态/不可开启状态”。

可以理解的，由于设备工作于二层回退模式时，不再对经过其的流量进行安全性检测，也就是各种规则处于无法被命中的阶段，所以，在此期间可以对设备资源使用率是否大于预设的第二阈值进行检测，进而也就不会根据规则的过载关闭优先级开启规则。

由以上可见，本申请实施例提供的方案中，当设备资源使用率小于预设的第二阈值，且存在处于可开启状态的规则时，按照过载关闭优先级由低到高的顺序，从处于可开启状态的规则中选择待开启规则，并开启待开启规则，可以有效保证在设备资源充足的情况，及时开启规则，进而进一步有效保护设备所保护的区域。

下面通过具体实例对上述过载保护方法进行详细介绍。

假设，上述第一阈值为80％，上述第二阈值为50％，设备中存储的规则过载关闭信息如下表5所示。

表5

性能消耗、性能消耗系数、对安全性的影响程度、对安全性的影响程度系数以及过载关闭优先级之间的对应关系如下表6所示，其中，过载关闭优先级为按照如下公式计算得到的：过载关闭优先级＝性能消耗系数*对安全性的影响程度系数。

表6

则结合表5和表6可以得知各个规则的过载关闭优先级分别为：

10001：9；10002：6；10003：6；1004：2；10005：2；10006：1。

实例一：假设，获得的设备资源使用率为85％，85％>80％，

从表1可以看出规则10001、10003、10004处于可关闭状态，若仅仅需要从中选择一个规则作为待关闭规则，规则10001的过载关闭优先级最高，则待关闭规则为规则10001，关闭规则10001，并将规则10001的过载关闭状态更新为关闭状态。

实例二：假设，获得的设备资源使用率为45％，45％<50％，

从表1中可以看出规则10005、10006处于可开启状态，若仅仅需要从中选择一个规则作为待开启规则，规则10006的过载关闭优先级低于规则10005的过载关闭优先级，则待开启规则为规则10006，开启规则10006，并将规则10006的过载关闭状态更新为未关闭状态。

性能消耗、性能消耗系数、对安全性的影响程度、对安全性的影响程度系数以及过载关闭优先级之间的对应关系如下表7所示，其中，过载关闭优先级为按照如下公式计算得到的：过载关闭优先级＝性能消耗系数+对安全性的影响程度系数。

表7

则结合表5和表6可以得知各个规则的过载关闭优先级分别为：

10001：6；10002：5；10003：5；1004:：3；10005：3；10006：2。

实例三：假设，获得的设备资源使用率为85％，85％>80％，

从表1可以看出规则10001、10003、10004处于可关闭状态，若仅仅需要从中选择一个规则作为待关闭规则，规则10001的过载关闭优先级最高，则待关闭规则为规则10001，关闭规则10001，并将规则10001的过载关闭状态更新为关闭状态。

实例四：假设，获得的设备资源使用率为45％，45％<50％，

从表1中可以看出规则10005、10006处于可开启状态，若仅仅需要从中选择一个规则作为待开启规则，规则10006的过载关闭优先级低于规则10005的过载关闭优先级，则待开启规则为规则10006，开启规则10006，并将规则10006的过载关闭状态更新为未关闭状态。

与上述过载保护方法相对应，本申请实施例还提供了一种过载保护装置。

图3为本申请实施例提供的一种过载保护装置的结构示意图，该装置包括：

获得模块301，用于获得设备资源使用率；

第一判断模块302，用于判断所述设备资源使用率是否大于预设的第一阈值；

第二判断模块303，用于在所述第一判断模块302的判断结果为是的情况下，判断是否存在处于可关闭状态的规则；

关闭模块304，用于在所述第二判断模块的判断结果为是的情况下，按照预先确定的各个规则的过载关闭优先级由高到低的顺序，从处于可关闭状态的规则中选择待关闭规则，关闭所述待关闭规则，并将所述待关闭规则的状态更新为可开启状态。

具体的，所述过载保护装置还可以包括：

处理模块，用于预设时长内拒绝对经过的流量进行安全性检测。

具体的，一个规则的过载关闭优先级可以为根据该规则的性能消耗系数和该规则对安全性的影响程度系数确定的。

具体的，所述过载保护装置还可以包括：

接收模块，用于接收用户针对目标规则的状态更改指令；

更新模块，用于根据所述状态更改指令，更新所述目标规则的状态。

由以上可见，本实施例提供的方案中，当设备资源使用率大于预设的第一阈值，且存在处于可关闭状态的规则时，按照预先确定的各个规则的过载关闭优先级由高到低的顺序，从处于可关闭状态的规则中选择待关闭规则，并关闭这些待关闭规则。与现有技术相比，本实施例提供的方案中，在设备资源使用率较高时，首先考虑仅仅关闭一部分规则，以降低设备资源使用率，而非直接将工作模式切换至二层回退模式，这样可以使得设备所保护的区域不完全暴露在互联网环境中，最大限度的保护设备所保护的区域。

在本申请的一种实现方式中，参见图4，提供了另一种过载保护装置的结构示意图，与前述实施例相比，本实施例中，上述过载保护装置还包括：

第三判断模块305，用于在所述获得模块301获得所述设备资源使用率之后，判断所述设备资源使用率是否小于预设的第二阈值，其中，所述第一阈值大于所述第二阈值；

第四判断模块306，用于在所述第三判断模块305的判断结果为是的情况下，判断是否存在处于可开启状态的规则；

开启模块307，用于在所述第四判断模块306的判断结果为是的情况下，按照所述过载关闭优先级由低到高的顺序，从处于可开启状态的规则中选择待开启规则，开启所述待开启规则，并将所述待开启规则的状态更新为可关闭状态。

由以上可见，本申请实施例提供的方案中，当设备资源使用率小于预设的第二阈值，且存在处于可开启状态的规则时，按照过载关闭优先级由低到高的顺序，从处于可开启状态的规则中选择待开启规则，并开启待开启规则，可以有效保证在设备资源充足的情况，及时开启规则，进而进一步有效保护设备所保护的区域。

对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本领域普通技术人员可以理解实现上述方法实施方式中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于计算机可读取存储介质中，这里所称得的存储介质，如：ROM/RAM、磁碟、光盘等。

以上所述仅为本申请的较佳实施例而已，并非用于限定本申请的保护范围。凡在本申请的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本申请的保护范围内。

Claims (10)

1.一种过载保护方法，其特征在于，所述方法包括：

获得设备资源使用率；

判断所述设备资源使用率是否大于预设的第一阈值；

若为是，判断是否存在处于可关闭状态的规则；

若存在，按照预先确定的各个规则的过载关闭优先级由高到低的顺序，从处于可关闭状态的规则中选择待关闭规则，关闭所述待关闭规则，并将所述待关闭规则的状态更新为可开启状态。

2.根据权利要求1所述的方法，其特征在于，在所述获得设备资源使用率之后，还包括：

判断所述设备资源使用率是否小于预设的第二阈值，其中，所述第一阈值大于所述第二阈值；

若为是，判断是否存在处于可开启状态的规则；

若存在，按照所述过载关闭优先级由低到高的顺序，从处于可开启状态的规则中选择待开启规则，开启所述待开启规则，并将所述待开启规则的状态更新为可关闭状态。

3.根据权利要求1或2所述的方法，其特征在于，若判断不存在处于可关闭状态的规则时，还包括：

预设时长内拒绝对经过的流量进行安全性检测。

4.根据权利要求1或2所述的方法，其特征在于，

每个规则的过载关闭优先级为根据该规则的性能消耗系数和该规则对安全性的影响程度系数确定的。

5.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

接收用户针对目标规则的状态更改指令；

根据所述状态更改指令，更新所述目标规则的状态。

6.一种过载保护装置，其特征在于，所述装置包括：

获得模块，用于获得设备资源使用率；

第一判断模块，用于判断所述设备资源使用率是否大于预设的第一阈值；

第二判断模块，用于在所述第一判断模块的判断结果为是的情况下，判断是否存在处于可关闭状态的规则；

关闭模块，用于在所述第二判断模块的判断结果为是的情况下，按照预先确定的各个规则的过载关闭优先级由高到低的顺序，从处于可关闭状态的规则中选择待关闭规则，关闭所述待关闭规则，并将所述待关闭规则的状态更新为可开启状态。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第三判断模块，用于在所述获得模块获得所述设备资源使用率之后，判断所述设备资源使用率是否小于预设的第二阈值，其中，所述第一阈值大于所述第二阈值；

第四判断模块，用于在所述第三判断模块的判断结果为是的情况下，判断是否存在处于可开启状态的规则；

开启模块，用于在所述第四判断模块的判断结果为是的情况下，按照所述过载关闭优先级由低到高的顺序，从处于可开启状态的规则中选择待开启规则，开启所述待开启规则，并将所述待开启规则的状态更新为可关闭状态。

8.根据权利要求6或7所述的装置，其特征在于，所述装置还包括：

处理模块，用于预设时长内拒绝对经过的流量进行安全性检测。

9.根据权利要求6或7所述的装置，其特征在于，

每个规则的过载关闭优先级为根据该规则的性能消耗系数和该规则对安全性的影响程度系数确定的。

10.根据权利要求6或7所述的装置，其特征在于，所述装置还包括：

接收模块，用于接收用户针对目标规则的状态更改指令；

更新模块，用于根据所述状态更改指令，更新所述目标规则的状态。