CN109714266B - 一种数据处理方法及网络设备 - Google Patents

Abstract

本发明实施例提供一种数据处理方法及网络设备，应用于通信技术领域，以解决IPFIX流量监控分析的统计准确定与统计实时性矛盾的问题。具体的，本方案应用于网络设备，包括：接收目标数据流中的第一数据包；根据第一数据包的IP五元组，确定第一流表项，第一流表项为与第一数据包匹配的流表项，第一流表项的老化时长为与第一业务类型对应的第一老化时长，目标数据流的业务类型为第一业务类型；在第一老化时长内，根据第一流表项，对目标参数进行累加，目标参数为目标流量统计信息中用于指示目标数据流中的数据包的数量的参数。本方案具体应用于网络设备向管理设备上报一个数据流的流量统计信息之前，确定与该数据流的业务类型对应的老化时长的过程中。

Description

一种数据处理方法及网络设备

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种数据处理方法及网络设备。

背景技术

当前在网络设备传输数据流的过程中，网络设备可以通过流信息输出(IP FlowInformation Export，IPFIX)协议与网络管理站点(Network Management Station，NMS)交互，以将该数据流的流量统计信息上报给NMS，使得NMS根据该流量统计信息分析该网络设备传输的数据流，以实现IPFIX流量监控分析的功能。

其中，在网络设备中的一个流表达到老化时长之后，网络设备便可以将该流表对应的一个流量统计信息上报至NMS。随后，该流表每老化一次，就需要新的数据包重新触发网络设备生成该流表，以重新记录该流表转发的数据流的流量统计信息，再将流量统计信息上报至NMS。具体的，网络设备有的流表需求的老化时长可能较长，有的流表需求的老化时长可能较短。示例性的，在网络设备传输基于IPFIX的流量计费业务的数据流的情况下，需求该数据流对应的流表(记为第一流表)的老化时间较短，使得网络设备上报发给NMS的流量统计信息可以完整地反映该数据流的完整性，以使得NMS根据该流量统计信息对该数据流的IPFIX流量监控分析的准确性较高。在网络设备传输基于IPFIX的网络监测业务的数据流的情况下，需求该数据流对应的流表(记为第二流表)的老化时间较长，使得网络设备上报发给NMS的流量统计信息可以实时地反映该数据流，以使得NMS针对该数据流的IPFIX流量监控分析的实时性较高。

存在的问题是，现有技术中在IPFIX流量监控分析的过程中，由于网络设备只能全局设置一个老化时长，如上述第一流表和上述第二流表的老化时长为同一时长，因此将导致网络设备传输的数据流的IPFIX流量监控分析的准确性较差或实时性较差，即导致IPFIX流量监控分析的统计准确性与统计实时性矛盾的问题。

发明内容

本发明实施例提供一种数据处理方法及网络设备，以解决IPFIX流量监控分析的结果不准确的问题。

为了解决上述技术问题，本发明实施例是这样实现的：

第一方面，本发明实施例提供一种数据处理方法，应用于网络设备，包括：接收目标数据流中的第一数据包；根据第一数据包的IP五元组，确定第一流表项，第一流表项为与第一数据包匹配的流表项，第一流表项的老化时长为与第一业务类型对应的第一老化时长，目标数据流的业务类型为第一业务类型；在第一老化时长内，根据第一流表项，对目标参数进行累加，以更新目标流量统计信息；其中，目标参数为目标流量统计信息中用于指示目标数据流中的数据包的数量的参数。

第二方面，本发明实施例还提供了一种网络设备，该网络设备包括：接收模块、确定模块和参数处理模块；接收模块，用于接收目标数据流中的第一数据包；确定模块，用于根据接收模块接收的第一数据包的IP五元组，确定第一流表项，第一流表项为与第一数据包匹配的流表项，第一流表项的老化时长为与第一业务类型对应的第一老化时长，目标数据流的业务类型为第一业务类型；参数处理模块，用于在第一老化时长内，根据确定模块得到的第一流表项，对目标参数进行累加，以更新目标流量统计信息；其中，所述目标参数为所述目标流量统计信息中用于指示所述目标数据流中的数据包的数量的参数。

第三方面，本发明实施例提供了一种网络设备，包括处理器、存储器及存储在该存储器上并可在该处理器上运行的计算机程序，该计算机程序被该处理器执行时实现如第一方面所述的数据处理方法的步骤。

第四方面，本发明实施例提供了一种计算机可读存储介质，该计算机可读存储介质上存储计算机程序，该计算机程序被处理器执行时实现如第一方面所述的数据处理方法的步骤。

在本发明实施例中，网络设备可以接收目标数据流中的第一数据包；根据第一数据包的IP五元组，确定第一流表项，第一流表项用于转发第一数据包，第一流表项的老化时长为与第一业务类型对应的第一老化时长，目标数据流的业务类型为第一业务类型；在第一老化时长内，根据第一流表项，转发第一数据包。基于本方案，由于网络设备确定的用于转发第一数据包的第一流表项的老化时长，为与第一业务类型对应的第一老化时长，因此使得网络设备可以在第一老化时长内转发目标数据流中的数据包，并记录第一流表项在有效的第一老化时长内的流量统计信息。从而，使得网络设备可以在与第一业务类型对应的第一老化时长内准确地记录目标数据流的流量统计信息，以提高流量监测分析的结果的准确性，如提高IPFIX流量监控分析的结果的确定性。

附图说明

图1为本发明实施例提供的一种数据处理方法所应用的网络架构示意图；

图2为本发明实施例提供的一种数据处理方法的流程示意图；

图3为本发明实施例提供的另一种数据处理方法的流程示意图；

图4为本发明实施例提供的一种流表老化模式示意图；

图5为本发明实施例提供的一种流表生成和流表老化过程的示意图；

图6为本发明实施例提供的一种可能的网络设备的结构示意图；

图7为本发明实施例提供的另一种可能的网络设备的结构示意图；

图8为本发明实施例提供的另一种可能的网络设备的结构示意图；

图9为本发明实施例提供的另一种可能的网络设备的结构示意图；

图10为本发明实施例提供的另一种可能的网络设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，本文中的“/”表示或的意思，例如，A/B可以表示A或B；本文中的“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。“多个”是指两个或多于两个。

需要说明的是，本发明实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本发明实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

本发明的说明书和权利要求书中的术语“第一”和“第二”等是用于区别不同的对象，而不是用于描述对象的特定顺序。例如，第一数据包和第二数据包等是用于区别不同的数据包，而不是用于描述数据包的特定顺序。

以下对发明实施例中涉及的名词进行解释：

1、流信息输出(IP Flow Information Export，IPFIX)，是用于网络中的数据流信息测量的标准协议。它使网络中流量统计信息的格式标准化。该协议可工作于任何厂商的网络设备和管理系统平台之上，并用于输出基于网络设备的流量统计信息。这使得网络管理员很容易地提取和查看存储在网络设备中的重要流量统计信息。

2、网络管理站点(Network Management Station，NMS)，是运行支持网管协议的网管软件客户端程序的工作站，在网络管理中起核心作用。

3、隐马尔科夫模型(Hidden Markov Model，HMM)，是用来描述一个含有隐含未知参数的马尔可夫过程，从可观察的参数中确定该过程的隐含参数。然后利用这些参数来作进一步的分析，本文用这个模型训练各个IPFIX模式参数。

参考图1所示，为本发明实施例提供的数据处理方法所应用的一种网络架构示意图。图1示出的网络结构中包括网络设备11和至少一个管理设备，该至少一个管理设备包括管理设备1～管理设备n，n为正整数。其中，网络设备11可以与一个管理设备，如管理设备1交互，以将网络设备11记录的数据流的流量统计信息上报至一个管理设备。具体的，网络设备11可以传输内网和互联网之间的数据流。

可选的，本发明实施例中提供的网络设备，如网络设备11可以为路由器，具体为互联网出口路由器或高低端路由器。

可选的，本发明实施例中提供的管理设备，如管理设备，如管理设备1可以为网络管理站点(Network Management Station，NMS)。

具体的，本发明实施例提供的数据处理方法中，网络设备11与管理设备1之间的交互，可以为网络设备11可以采用IPFIX模板向管理设备1上传流量统计信息，以使得管理设备1根据该流量统计信息对该数据流进行流量分析。具体的，上述流量统计信息中可以包括数据流的流量特征，如流量的持续时间、流量中的报文平均长度、流量总的字节数、时间戳和报文数(即指示数据包的数量的目标参数)等。

需要说明的是，本发明实施例提供的数据处理方法，执行主体可以为网络设备，或者，该网络设备的中央处理器(Central Processing Unit，CPU)，或者该网络设备中的用于执行数据处理方法的控制模块。本发明实施例中以网络设备执行数据处理方法为例，说明本发明实施例提供的数据处理方法。

下面结合图2所示的数据处理方法的流程图对本发明实施例提供的数据处理方法进行详细描述。其中，虽然在方法流程图中示出了本发明实施例提供的数据处理方法的逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。例如，图2中示出的数据处理方法可以包括S201-S203：

S201、网络设备接收目标数据流中的第一数据包。

可以理解的是，一个数据流，如上述目标数据流可以包括多个数据包。

具体的，网络设备接收到目标数据流中的一个数据包(如上述第一数据包)之后，通常需要对该数据包进行匹配和计数。具体的，网络设备传输第一数据包时，可以匹配网络设备中是否存在用于匹配、转发该第一数据包的流表或流表项。

可以理解的是，本发明实施例中，同一数据流中不同的数据包可以具有相同的互联网协议地址(Internet Protocol Address，IP)五元组，即本发明实施例可以通过五元组信息定义不同的数据流。

其中，五元组可以包括源IP地址、目的IP地址、协议号、源端口、目的端口。

S202、网络设备根据第一数据包的IP五元组，确定第一流表项，第一流表项为与第一数据包匹配的流表项，第一流表项的老化时长为与第一业务类型对应的第一老化时长，目标数据流的业务类型为第一业务类型。

可选的，本发明实施例中，第一流表项可以为网络设备当前请求的一个流表中的流表项，或者为网络设备当前已经存在的一个流表中重新请求的流表项。

可以理解的是，本发明实施例中，第一流表项中可以包括第一数据包的IP五元组。

具体的，第一流表项可以用于网络设备匹配、计数目标数据流中的所有数据包。

可选的，本发明实施例中，数据流的业务类型可以包括多种业务类型，如用户检测、流量计费、安全分析、网络应用、网络规划、攻击检测等业务类型。其中，上述第一业务类型即为一种业务类型，如流量计费这一业务类型。

其中，第一流表项的第一老化时长，即为与第一业务类型对应的老化时长(timeout)。

如此，在一种业务类型的数据流对应的流表(如该流表中用于匹配、计数该数据流中的数据包的流表项)的老化时长较长的情况下，网络设备可以确定与该业务类型对应的老化时长，即较长的老化时长。在一种业务类型的数据流对应的流表的老化时长较短的情况下，网络设备可以确定与该业务类型对应的老化时长，即较短的老化时长。

示例性的，在网络设备传输基于IPFIX的流量计费业务的数据流的情况下，网络设备确定的该数据流对应的流表项的老化时长可以较短，使得网络设备上报发给NMS的流量统计信息可以完整地反映该数据流的完整性，以使得NMS根据该流量统计信息对该数据流的IPFIX流量监控分析的准确性较高。在网络设备传输基于IPFIX的网络监测业务的数据流的情况下，网络设备确定的该数据流对应的流表项的老化时长可以较长，使得网络设备上报发给NMS的流量统计信息可以实时地反映该数据流，以使得NMS针对该数据流的IPFIX流量监控分析的实时性较高。

可以理解的是，本发明实施例中，网络设备针对不同业务类型设置的老化时长可以是不同的，即每种业务类型对应一种老化时长。

S203、在第一老化时长内，网络设备根据第一流表项，对目标参数进行累加，以更新目标流量统计信息；其中，目标参数为目标流量统计信息中用于指示目标数据流中的数据包的数量的参数。

可以理解的是，网络设备在第一老化时长内，可以根据第一流表项，计数与第一流表项匹配的数据包，如上述第一数据包。

需要说明的是，本发明实施例中，网络设备在生成第一流表项之后，经过第一老化时长，便会删除或无效该第一流表项，或者删除或无效该第一流表项所在的流表。

具体的，网络设备每接收并匹配一个数据包的时候，可以对该数据包进行计数，即更新该数据包所在的数据流的流量统计信息中的目标参数的数值。示例性的，网络设备在接收并转发目标数据流中的第一数据包之后，便可以对目标参数的数值进行累加如累加1，以更新目标数据流的目标流量统计信息。

可以理解的是，目标数据流对应的目标流量统计信息中可以包括目标数据流的流量的持续时间、数据包平均长度、流量总的字节数、时间戳和数据包的数量(如目标参数指示的数值)等。

可以理解的是，本发明实施例中，网络设备可以针对根据不同业务类型的数据流的特点，设置不同数据流的老化时长，使多条数据流的流表根据业务类型的特异性去老化，以满足不同场景下的业务需求，从而达到了网络流量分析和网络系统监控的功能。如此，可以解决网络设备同时部署多种对流表老化时长要求不一的IPFIX网络分析业务的问题。

需要说明的是，本发明实施例提供的数据处理方法，应用于网络设备。具体的，可以接收目标数据流中的第一数据包；根据第一数据包的IP五元组，确定第一流表项，第一流表项为与第一数据包匹配的流表项，第一流表项的老化时长为与第一业务类型对应的第一老化时长，目标数据流的业务类型为第一业务类型；在第一老化时长内，根据第一流表项，对目标参数累加1，以更新目标流量统计信息；其中，目标参数为目标流量统计信息中用于指示目标数据流中的数据包的数量的参数。基于本方案，由于网络设备确定的用于匹配、计数第一数据包的第一流表项的老化时长，为与第一业务类型对应的第一老化时长，因此使得网络设备可以在第一老化时长内匹配、计数目标数据流中的数据包，以得到第一流表项有效的第一老化时长内的目标流量统计信息。从而，使得网络设备可以在与第一业务类型对应的第一老化时长内记录目标数据流的目标流量统计信息，以解决IPFIX流量监测分析的统计准确性和统计实时性矛盾的问题。

在一种可能的实现方式中，本发明实施例提供的数据处理方法，网络设备在其中未保存有目标数据流对应的流表的情况下，在接收到目标数据流中的第二数据包时，该第二数据包可以触发网络设备生成该流表，具体为该流表中用于匹配、计数第二数据包的第一流表项。

示例性的，如图3所示，本发明实施例在上述S201之前，还可以包括S204-S206：

S204、网络设备接收目标数据流中的第二数据包，第二数据包为网络设备接收到的目标数据流的第一个数据包。

可以理解的是，本发明实施例中，网络设备传输的目标数据流中的第二数据包可以用于触发网络设备生成上述第一流表项的数据包。

可选的，网络设备可以根据第二数据包的IP五元组得到第二数据包所在的目标数据流的业务类型。

可选的，本发明实施例中，第一老化时长包括第一子时长和第二子时长。其中，在目标数据流为活跃流(Active flow)的情况下，第一流表项的老化时长为第一子时长；在目标数据流为非活跃流(Inactive flow)的情况下，第一流表项的老化时长为第二子时长。

其中，本发明实施例中，网络设备实时判断接收的数据包所在的数据流为活跃流还是非活跃流，再将相应设置数据流对应的流表项中的老化时长。如此，有利于进一步解决IPFIX流量监测分析的统计准确性和统计实时性矛盾的问题。

S205、网络设备根据第二数据包的IP五元组和与第一业务类型对应的第一老化时长，生成第一流表项。

可选的，第一流表项中可以包括第二数据包的IP五元组，如第一流表项中的源IP地址与第二数据包的源IP地址相同、第一流表项中的目的IP地址与第二数据包的目的IP地址相同等。

可选的，网络设备可以将第一流表项中的老化时长可以设置为第一老化时长，以生成第一流表项。

可选的，本发明实施例中，一种业务类型对应的老化时长可以为相关技术人员根据经验预先设置的，如上述与第一业务类型对应的第一老化时长为相关技术人员根据经验预先设置的。

S206、在第一老化时长内，网络设备根据第一流表项，对目标数量进行累加，以更新目标流量统计信息。

可选的，本发明实施例中，网络设备接收到第二数据包、并确定得到第一流表项之后，可以丢掉第二数据包，而不是匹配、计数第二数据包。

需要说明的是，本发明实施例提供的数据处理方法，由于网络设备接收到第二数据包之后，可以生成与第二数据包匹配的第一流表项，因此使得后续网络设备接收到目标数据流中的第一数据包时可以根据第一流表项匹配、计数第一数据流。并且，网络设备在后续接收并匹配、计数目标数据流中的数据包时可以记录这些数据流的目标流量统计信息。如此，可以实现网络设备在第一流表项生效的第一老化时长内记录目标数据流的目标流量统计信息。

在一种可能的实现方式中，本发明实施例提供的数据处理方法，网络设备在匹配、计数目标数据流中的数据包时，还可以更新目标数据流的目标流量信息。

可选的，本发明实施例提供的数据处理方法，还可以包括S207：

S207、在第一老化时长结束后，网络设备向第一管理设备发送目标流量统计信息，第一管理设备用于处理与第一业务类型的数据流对应的流量统计信息。

可选的，本发明实施例中，目标流量统计信息可以是网络设备按照用户数据报协议(User Datagram Protocol，UDP)封装为UDP报文后，向第一管理设备发送的。

相应的，第一管理设备可以执行S207-1和S207-2：

S207-1、第一管理设备接收网络设备发送的目标流量统计信息。

S207-2、第一管理设备分析目标流量统计信息。

如此，随着每个生效的第一流表项均按照第一老化时长失效，网络设备可以在每个第一老化时长的结束时刻将目标流量统计信息上报给第一管理设备。

可选的，第一业务类型为至少一个业务类型中的一个，至少一个业务类型中的每个业务类型分别对应一个管理设备，与一个业务类型对应的管理设备用于处理与一个业务类型的数据流对应的流量统计信息。

可以理解的是，由于网络设备可以将不同业务类型的数据流对应的流量统计信息上报至第一管理设备，而第一管理设备为与第一业务类型对应的管理设备，因此可以通过第一管理设备实现较为便捷地处理第一业务类型的目标数据流对应的目标流量统计信息。从而，有利于解决网络设备根据目标流量统计信息检测分析目标数据流的统计准确性和统计实时性矛盾的问题。

需要强调的是，本发明实施例中提供的数据处理方法中所应用的网络架构中，至少一个管理设备中的每个管理设备可以分别处理一种业务类型的数据流对应的流量统计信息，即每个管理设备对应一种业务类型。

需要说明的是，本发明实施例提供的数据处理方法，由于网络设备可以按照第一业务类型对应的第一老化时长，记录目标数据流对应的目标流量统计信息，并向与第一业务类型对应的第一管理设备发送目标流量统计信息，因此有利于第一管理设备根据目标流量统计信息便捷地检测分析目标数据流。

在一种可能的实现方式中，本发明实施例提供的数据处理方法，在上述S205之前、如S201之前，还可以包括S208-S210：

S208、网络设备获取目标信息。

其中，目标信息包括至少两个业务类型中任意两个业务类型之间的转换概率、至少两个业务类型中每个业务类型出现的初始概率、至少两个业务类型中任意一个业务类型和第二老化时长同时出现的概率、以及至少两个老化时长中每个老化时长出现的概率，第二老化时长为至少两个老化时长中的任意一个老化时长，至少两个业务类型包括第一业务类型。

S209、网络上设备对目标信息训练，得到隐马尔科夫模型HMM。

可选的，本发明实施例中，网络设备可以将现网中的活跃流老化时长和非活跃流老化时长两个参数作为特征向量输入到HMM模型中进行训练，训练HMM模型中的参数，直至参数稳定。

可选的，上述活跃流老化时长和非活跃流老化时长可以为网络设备当前不区分业务类型的数据流对应的流表设置的两个老化时长；此时，网络设备输入HMM模型的参数可以为一组老化时长，该组老化时长中包括一个活跃流老化时长和一个非活跃流老化时长。

可选的，上述活跃流老化时长和非活跃流老化时长可以为网络设备当前针对一种业务类型的数据流对应的流表预先设置的两个老化时长；此时，网络设备输入HMM模型的参数可以为多组老化时长，每组老化时长中包括一个活跃流老化时长和一个非活跃流老化时长。

可以理解的是，一个完整的隐马尔科夫模型(Hidden Markov Model，HMM)是由状态数N、观测值数M和三个概率矩阵A、B、π组成的。只要确定了这些因素，隐马尔可夫模型就确定了，所以，一个HMM模型记为λ＝{π,A,B}，其中π是初始状态概率矢量，表达式如下：

示例性的，本发明实施例中，状态数N中的每种状态可以指示一种数据流的业务类型。观测值数M中的每个观测数值可以为一种老化时长出现的概率，N、M均为正整数。初始状态概率矢量中的每个初始概率可以为一种数据流的业务类型初始出现的概率，如每个初始概率的取值可以为1/2，如

取值为1/2。

状态转移矩阵A，其中A的表达式如下：

其中，

表示从s_i到s_j的状态转移的概率，即s_i指示的业务类型到s_j指示的业务类型之间转换的概率。具体的，i和j的取值均为小于N的整数，且i和j相同或不同。

观测状态概率矩阵B，其中B的表达式如下：

其中，

表示当处于s_i状态时，观测到o_k的概率，k为小于或等于M的正整数。具体的，

为至少两个业务类型中任意一个业务类型和第二老化时长同时出现的概率，即在处于s_i指示的业务类型的情况下，观测到o_k指示的老化时长的概率。

随后，在给定一个观测序列O的情况下，观察序列O对HMM模型λ的输出概率P(O|λ)为：

易分析可知，只要a_i,j,b_i,j,p_i,q_i四个参数确定，就可以确定唯一的HMM模型，而且易计算可得观察序列O的输出概率。具体的，可以理解的是，a_i,j即为上述

b_i,j即为上述

p_i即为上述

q_i即为至少两个老化时长中每个老化时长出现的概率。

可以理解的是，本发明实施例中，上述z₁,z₂,...,z_T中的每个参数指示一个状态，即一个数据流的业务类型。

S210、网络设备采用HMM模型匹配第一业务类型，以获取第一老化时长。

进一步的，本发明实施例中，网络设备可以利用训练稳定的HMM模型，得出不同业务场景下，活跃流和非活跃流的老化时长经验值。根据这些经验值定义流表老化模式(IPFIX Mode)，定义过程如图4定义过程如下：

(1)、网络设备可以针对实时性要求比较高的业务，比如用户检测业务等，即针对业务类型为用户检测业务的数据流，通过对HMM模型的大量实验得出活跃流老化时长a1和非活跃流老化时长b1的经验值，定义为IPFIX Mode 1；

(2)、网络设备可以针对数据统计准确性要求比较高的业务，比如流量计费业务等，即针对业务类型为流量计费业务的数据流，通过对HMM模型的大量实验得出活跃流老化时长a2和非活跃流老化时长b2的经验值，定义为IPFIX Mode 2；

(3)、网络设备可以针对实时性和准确性要求比较折中的业务，比如安全分析业务等，即针对业务类型为安全分析业务的数据流，通过对HMM模型的大量实验得出活跃流老化时长a3和非活跃流老化时长b3的经验值，定义为IPFIX Mode 3；

(4)、类似的，网络设备可以根据某一个业务对实现性和准确性的要求，灵活定义活跃流和非活跃流的老化时长an和bn，定义为IPFIX Mode n；

这样，就生成了IPFIX Mode。

示例性的，本发明实施例中，目标数据流的业务类型，即第一业务类型对应上述IPFIX Mode 1，即与第一业务类型对应的第一老化时长可以包括上述活跃流老化时长a1和上述非活跃流老化时长b1。

如图5所示，当网络设备中有数据流量依据数据包的IP五元组去触发流表生成的情况下，网络设备可以根据数据包的业务类型去选择IPFIX Mode；随后，在网络设备记录该数据流的流量统计信息之后，可以通过流模板将该流量统计信息发送给不同的NMS去分析流量。

示例性的，图5示出的内容中，IP five trupe表示一个IP五元组，如IP fivetrupe 1～IP five trupe n为n个不同的IP五元组。具体的，一个IP five trupe用于表示一个网络设备中输入的数据流(即Flow Entries)，如IP five trupe 1表示Flow 1指示的数据流、IP five trupe 2表示Flow 2指示的数据流、IP five trupe n表示Flow n指示的数据流。

进一步的，网络设备可以将不同数据流对应的流量统计信息分别通过不同的IPFIX Mode上报至不同的NMS，如将Flow 1的流量统计信息通过IPFIX Mode 1上报至不同的NMS1、将Flow 2的流量统计信息通过IPFIX Mode 2上报至不同的NMS 2、以及将Flow n的流量统计信息通过IPFIX Mode 2上报至不同的NMS n。具体的，网络设备将一个数据流的流量统计信息通过IPFIX Mode上报至NMS的过程中，网络设备是通过出口缓存(Exportbuffer)将IPFIX Mode进行UDP封装之后，再将IPFIX Mode上报至NMS的。

具体的，在网络设备需要同时部署不同流量分析业务，如用户检测业务、流量计费业务、安全分析业务、网络应用业务、网络规划业务、攻击检测业务等不同业务类型的业务时，网络设备可以针对业务特点为每种业务类型的数据流选择不同的IPFIX Mode，上传到不同目的IP，选择不同的目的NMS，这些NMS收到后对流量进行对应的分析达到各业务目的。

示例性的，网络设备针对采用上述IPFIX Mode 1上报流量统计信息时，网络设备上报IPFIX Mode 1的管理设备可以为目的IP为10.0.1.2的管理设备，如图1示出的管理设备1。此时，网络设备通过命令格式#ipfix destination 10.0.1.2mode 1指示网络设备上报流量统计信息，如上述目标流量统计信息。示例性的，网络设备针对采用上述IPFIX Mode2上报流量统计信息时，网络设备上报IPFIX Mode 2的管理设备可以为目的IP为20.0.1.2的管理设备，如图1示出的管理设备2。此时，网络设备通过命令格式#ipfix destination20.0.1.2mode 2指示网络设备上报流量统计信息，如上述目标流量统计信息。示例性的，网络设备针对采用上述IPFIX Mode n上报流量统计信息时，网络设备上报IPFIX Mode n的管理设备可以为目的IP为30.0.1.2的管理设备，如图1示出的管理设备n。此时，网络设备通过命令格式#ipfix destination 30.0.1.2mode 3指示网络设备上报流量统计信息，如上述目标流量统计信息。

需要说明的是，本发明实施例提供的数据处理方法，由于网络设备可以通过训练HMM模型，并通过HMM模型得到较为准确的不同业务类型的数据流对应的老化时长和对应的管理设备，因此使得网络设备可以采用不同的IPFIX模板向相应的管理设备上报流量统计信息。从而，有利于对网络设备中的数据流，如目标数据流的流量监测分析，即解决IPFIX流量监控分析的统计确定性和统计实时性矛盾的问题。

如图6所示，为本发明实施例提高的一种网络设备的结构示意图。图6示出的网络设备60包括接收模块601、确定模块602和参数处理模块603；接收模块601，用于接收目标数据流中的第一数据包；确定模块602，用于根据接收模块601接收的第一数据包的IP五元组，确定第一流表项，第一流表项为与第一数据包匹配的流表项，第一流表项的老化时长为与第一业务类型对应的第一老化时长，目标数据流的业务类型为第一业务类型；参数处理模块603，用于在第一老化时长内，根据确定模块602得到的第一流表项，对目标参数进行累加，以更新目标流量统计信息；其中，目标参数为目标流量统计信息中用于指示目标数据流中的数据包的数量的参数。

可选的，如图7所示，网络设备60还包括：生成模块604；接收模块601，还用于接收目标数据流中的第一数据包之前，接收目标数据流中的第二数据包，第二数据包为网络设备60接收到的目标数据流的第一个数据包；生成模块604，用于根据第二数据包的IP五元组和与第一业务类型对应的第一老化时长，生成第一流表项；参数处理模块603，还用于在第一老化时长内，根据生成模块604生成的第一流表项，对目标数量进行累加，以更新目标流量统计信息。

可选的，如图8所示，网络设备60还包括：发送模块605；发送模块605，还用于在第一老化时长结束后，向第一管理设备发送参数处理模块603得到的目标流量统计信息，第一管理设备用于处理与第一业务类型的数据流对应的流量统计信息；其中，第一业务类型为至少一个业务类型中的一个，至少一个业务类型中的每个业务类型分别对应一个管理设备，与一个业务类型对应的管理设备用于处理与一个业务类型的数据流对应的流量统计信息。

可选的，第一老化时长包括第一子时长和第二子时长；在目标数据流为活跃流的情况下，第一流表项的老化时长为第一子时长；在目标数据流为非活跃流的情况下，第一流表项的老化时长为第二子时长。

可选的，如图9所示，网络设备60还包括：获取模块606；获取模块606，用于生成模块604生成第一流表项之前，获取目标信息，目标信息包括至少两个业务类型中任意两个业务类型之间的转换概率、至少两个业务类型中每个业务类型出现的初始概率、至少两个业务类型中任意一个业务类型和第二老化时长同时出现的概率、以及至少两个老化时长中每个老化时长出现的概率，第二老化时长为至少两个老化时长中的任意一个老化时长，至少两个业务类型包括第一业务类型；对目标信息训练，得到隐马尔科夫模型HMM；采用HMM匹配第一业务类型，以获取第一老化时长。

本发明实施例提供的网络设备60能够实现上述方法实施例中网络设备实现的各个过程，为避免重复，这里不再赘述。

需要说明的是，本发明实施例提供的网络设备，可以接收目标数据流中的第一数据包；根据第一数据包的IP五元组，确定第一流表项，第一流表项为与第一数据包匹配的流表项，第一流表项的老化时长为与第一业务类型对应的第一老化时长，目标数据流的业务类型为第一业务类型；在第一老化时长内，根据第一流表项，对目标参数进行累加，以更新目标流量统计信息；其中，目标参数为目标流量统计信息中用于指示目标数据流中的数据包的数量的参数。基于本方案，由于网络设备确定的用于匹配、计数第一数据包的第一流表项的老化时长，为与第一业务类型对应的第一老化时长，因此使得网络设备可以在第一老化时长内匹配、计数目标数据流中的数据包，以得到第一流表项有效的第一老化时长内的目标流量统计信息。从而，使得网络设备可以在与第一业务类型对应的第一老化时长内记录目标数据流的目标流量统计信息，以解决IPFIX流量监测分析的统计准确性和统计实时性矛盾的问题。

在采用集成的单元的情况下，上述网络设备中的确定模块602、参数处理模块603、生成模块604和获取模块606可以由一个处理模块实现。上述处理模块可以是处理器或控制器，例如可以是CPU，通用处理器，数字信号处理器(Digital Signal Processor，DSP)，专用集成电路(Application-Specific Integrated Circuit，ASIC)，现场可编程门阵列(FieldProgrammable Gate Array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本发明公开内容所描述的各种举例说明逻辑方框，模块和电路。上述处理单元也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等等。

需要说明的是，本发明实施例提供的管理设备还可以包括其他集成单元。例如，上述管理设备60中的接收模块601和发送模块606可以集成在一个通信接口中。

示例性的，如图10所示，为本发明实施例提供的另一种管理设备的结构示意图。具体的，图10示出的管理设备100包括处理器1001、存储器1002、通信接口1003、通信总线1004和处理器1005。

具体的，上述处理模块可以为图10所示的处理器1001以及处理器1005等一个或多个处理器。上述存储模块可以为图10所示的存储器1002。

其中，处理器1001是管理设备100的控制中心，可以是一个处理器，也可以是多个处理元件的统称。例如，处理器1001可以是一个CPU，也可以是特定ASIC，或者可以是被配置成实施本发明实施例的一个或多个集成电路，如：一个或多个DSP，或，一个或者多个FPGA。

其中，处理器1001可以通过运行或执行存储在存储器1002内的软件程序，以及调用存储在存储器1002内的数据，执行设备的各种功能。

在具体的实现中，作为一种实施例，处理器1001可以包括一个或多个CPU，例如图10中所示的CPU0和CPU1。

在具体实现中，作为一种实施例，管理设备可以包括多个处理器，例如图10中所示的处理器1001和处理器1005。这些处理器中的每一个可以是一个单核处理器(single-CPU)，也可以是一个多核处理器(multi-CPU)。这里的处理器可以指一个或多个设备、电路、和/或用于处理数据(例如计算机程序指令)的处理核。

存储器1002可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，EEPROM)、只读光盘(CompactDisc Read-Only Memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器1002可以是独立存在，通过通信总线1004与处理器1001相连接。存储器1002也可以和处理器1001集成在一起。其中，上述存储器1002用于存储执行本发明实施例提供方案的软件程序，并由处理器1001来控制执行。

通信接口1003，可以包括两个通信接口，一个用于向外部设备发送数据的发送接口和一个用于接收来自外部设备的数据的接收接口，即报文转发设备可以通过两个不同的通信接口分别实现数据的接收和数据的发送。当然，该通信接口1003可以将数据接收功能和数据发送功能集成在一个通信接口上，该通信接口具备数据接收功能和数据发送功能。

上述通信总线1004具体可以是外设部件互连标准(Peripheral ComponentInterconnect，PCI)总线或扩展工业标准结构(Extended Industry StandardArchitecture，EISA)总线等。上述通信总线1004可以分为地址总线、数据总线、控制总线等，本发明实施例对此不作限定。

图10中示出的管理设备100的结构并不构成对管理设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

其中，本发明实施例提供的管理设备100中各个模块的详细描述以及各个模块执行上述实施例中的相关方法步骤后所带来的技术效果可以参考本发明方法实施例中的相关描述，此处不再赘述。

本发明实施例还提供一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。其中，所述的计算机可读存储介质，如只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，均属于本发明的保护之内。

Claims (10)

1.一种数据处理方法，应用于网络设备，其特征在于，包括：

获取目标信息，所述目标信息包括至少两个业务类型中任意两个业务类型之间的转换概率、所述至少两个业务类型中每个业务类型出现的初始概率、所述至少两个业务类型中任意一个业务类型和第二老化时长同时出现的概率、以及至少两个老化时长中每个老化时长出现的概率，所述第二老化时长为所述至少两个老化时长中的任意一个老化时长，所述至少两个业务类型包括第一业务类型；

对所述目标信息训练，得到隐马尔科夫模型HMM；

采用所述HMM匹配所述第一业务类型，以获取第一老化时长；

接收目标数据流中的第二数据包，所述第二数据包为所述网络设备接收到的目标数据流的第一个数据包，所述目标数据流的业务类型为所述第一业务类型；

根据第二数据包的IP五元组和与所述第一业务类型对应的所述第一老化时长，生成第一流表项，所述第一流表项的老化时长为与所述第一业务类型对应的所述第一老化时长；

接收所述目标数据流中的第一数据包；

根据所述第一数据包的IP五元组，确定所述第一流表项，所述第一流表项为与所述第一数据包匹配的流表项；

在所述第一老化时长内，根据所述第一流表项，对目标参数进行累加，以更新目标流量统计信息；

其中，所述目标参数为所述目标流量统计信息中用于指示所述目标数据流中的数据包的数量的参数。

2.根据权利要求1所述的数据处理方法，其特征在于，所述接收目标数据流中的第一数据包之前，所述方法还包括：

在所述第一老化时长内，根据所述第一流表项，对所述目标参数进行累加，以更新所述目标流量统计信息。

3.根据权利要求1或2所述的数据处理方法，其特征在于，所述方法还包括：

在所述第一老化时长结束后，向第一管理设备发送所述目标流量统计信息，所述第一管理设备用于处理与所述第一业务类型的数据流对应的流量统计信息；

其中，所述第一业务类型为至少一个业务类型中的一个，所述至少一个业务类型中的每个业务类型分别对应一个管理设备，与一个业务类型对应的管理设备用于处理与所述一个业务类型的数据流对应的流量统计信息。

4.根据权利要求1所述的数据处理方法，其特征在于，所述第一老化时长包括第一子时长和第二子时长；

在所述目标数据流为活跃流的情况下，所述第一流表项的老化时长为所述第一子时长；在所述目标数据流为非活跃流的情况下，所述第一流表项的老化时长为所述第二子时长。

5.一种网络设备，其特征在于，包括：获取模块、接收模块、生成模块、确定模块和参数处理模块；

所述获取模块，用于获取目标信息，所述目标信息包括至少两个业务类型中任意两个业务类型之间的转换概率、所述至少两个业务类型中每个业务类型出现的初始概率、所述至少两个业务类型中任意一个业务类型和第二老化时长同时出现的概率、以及至少两个老化时长中每个老化时长出现的概率，所述第二老化时长为所述至少两个老化时长中的任意一个老化时长，所述至少两个业务类型包括第一业务类型；对所述目标信息训练，得到隐马尔科夫模型HMM；采用所述HMM匹配所述第一业务类型，以获取第一老化时长；

所述接收模块，用于接收目标数据流中的第二数据包，所述第二数据包为所述网络设备接收到的所述目标数据流的第一个数据包；所述目标数据流的业务类型为所述第一业务类型；

所述生成模块，用于根据所述第二数据包的IP五元组和与所述第一业务类型对应的所述第一老化时长，生成第一流表项；所述第一流表项的老化时长为与所述第一业务类型对应的所述第一老化时长；

所述接收模块，还用于接收所述目标数据流中的第一数据包；

所述确定模块，用于根据所述接收模块接收的所述第一数据包的IP五元组，确定所述第一流表项，所述第一流表项为与所述第一数据包匹配的流表项；

所述参数处理模块，用于在所述第一老化时长内，根据所述确定模块得到的所述第一流表项，对目标参数进行累加，以更新目标流量统计信息；

其中，所述目标参数为所述目标流量统计信息中用于指示所述目标数据流中的数据包的数量的参数。

6.根据权利要求5所述的网络设备，其特征在于，

所述参数处理模块，还用于在所述接收模块接收所述目标数据流中的所述第一数据包之前，在所述第一老化时长内，根据所述生成模块生成的所述第一流表项，对所述目标参数进行累加，以更新所述目标流量统计信息。

7.根据权利要求5或6所述的网络设备，其特征在于，所述网络设备还包括：发送模块；

所述发送模块，还用于在所述第一老化时长结束后，向第一管理设备发送所述参数处理模块得到的所述目标流量统计信息，所述第一管理设备用于处理与所述第一业务类型的数据流对应的流量统计信息；

其中，所述第一业务类型为至少一个业务类型中的一个，所述至少一个业务类型中的每个业务类型分别对应一个管理设备，与一个业务类型对应的管理设备用于处理与所述一个业务类型的数据流对应的流量统计信息。

8.根据权利要求5所述的网络设备，其特征在于，所述第一老化时长包括第一子时长和第二子时长；

在所述目标数据流为活跃流的情况下，所述第一流表项的老化时长为所述第一子时长；在所述目标数据流为非活跃流的情况下，所述第一流表项的老化时长为所述第二子时长。

9.一种网络设备，其特征在于，包括处理器、存储器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现如权利要求1至4中任一项所述的数据处理方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储计算机程序，所述计算机程序被处理器执行时实现如权利要求1至4中任一项所述的数据处理方法的步骤。

Images