CN110569987A - 自动化运维方法、运维设备、存储介质及装置 - Google Patents

Abstract

本发明公开了自动化运维方法、运维设备、存储介质及装置。本发明中运维设备获取本地网络中各设备的流量信息，基于所述流量信息按照预设流量数据结构建立流量模型，通过所述流量模型搭建应用运行环境，调用所述应用运行环境中的预设功能应用进行自动化运维操作。在本发明中基于自建立的流量模型搭建应用运行环境，并在该应用运行环境中运行预设功能应用以完成自动化运维操作，从而使得预设功能应用可基于流量模型进行自动化运维，使得运维过程更加简单与可靠，因为将立足于流量信息完成运维操作，所以，也就解决了当前的自动化运维方案存在的不能较好地应用流量信息完成自动化运维的技术问题。

Description

自动化运维方法、运维设备、存储介质及装置

技术领域

本发明涉及计算机技术领域，尤其涉及自动化运维方法、运维设备、存储介质及装置。

背景技术

随着数据中心的规模越来越大，其中部署的设备种类与数量也不断增加，比如，数据中心中往往会存在物理服务器、物理/虚拟交换设备、物理/虚拟运维设备、虚拟机以及容器等基础设施，由于设备种类与数量多，从而导致运行中的数据中心往往存在着成千上万条的网络转发/安全规则保证网络的正常运行。

但是，当其中一两条规则出现问题时，就可能导致整体性或局部性的网络中断，并且出现安全漏洞，这对于数据中心的整体运维而言具有较大缺陷。

而为了克服上述缺陷，常见的技术手段是采取人工管理，可是，当面对于数量繁多的转发/安全规则的配置操作以及复杂的管理操作时，人工管理存在着诸多问题。比如，其一，人工管理模式容易出错，可能导致网络中断或者网络边界出现漏洞；其二，人工难以给出最优配置以及全网规则的冗余；其三，人工管理效率低，也影响业务上线速度。

所以，为了规避掉人工管理存在的诸多问题，在体量以及设备量较大的数据中心组织架构中，可应用自动化且智能化的方法来保障网络更可靠，运维更简单。

目前，存在如下的两种自动化且智能化解决方案。

(1)通过访问关系自动推荐安全规则

首先，可应用特定的访问控制列表(Access Control List，ACL)来默认拒绝所有流量，然后，对一段时间内的历史流量进行分析，以分析出应用/服务访问关系，比如，究竟是哪个应用访问哪个应用、哪个源互联网协议地址(Internet Protocol Address，IP地址)访问了哪个目的IP地址、哪个安全组访问了哪个安全组、流量的方向及大小以及究竟是南北向流量还是东西向流量等访问关系。并通过上述访问关系来自动化推荐放行流量的ACL规则，从而配置推荐的放行流量的ACL规则来起到放行特定方向的特定流量的作用。

但是，该种解决方案存在一定缺陷，主要在于功能简单，而且只能应用于安全领域。

(2)网络数据平面建模

首先，可先从网络数据平面，例如，从物理与虚拟网络设备中，获取配置信息以及转发/安全规则，接着，可根据获取到的配置信息与规则建立网络模型，并在网络模型中验证现有策略的正确性。此外，还可在对本地网络中设备的配置信息、规则或现有策略进行更改以前，对网络行为进行提前预测，以判断是否进行更改操作。

但是，该种解决方案存在一定缺陷，主要在于，第一，通过建模的方式来实现自动化运维的实现方案未能与终端进行较好地结合，从而限制了该实现方案的部署场景，比如，通过建模的方式来实现自动化运维不能很好地提供对应的应用程序编程接口(Application Programming Interface，API)，以使得用户可调用API来获得终端存储的转发/安全规则，从而以终端为单位来完成终端的规则分析，但是，正由于不能提供对应的API，所以，也就不能完成上述终端的规则分析操作；第二，由于未结合流量信息，所以，只能根据转发/安全规则来完成规则分析操作。

所以，现有的技术方案在实现自动化运维时存在诸多缺陷，可认为，当前的自动化运维方案存在不能较好地应用流量信息完成自动化运维的技术问题。

上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。

发明内容

本发明的主要目的在于提供自动化运维方法、运维设备、存储介质及装置，旨在解决当前的自动化运维方案存在的不能较好地应用流量信息完成自动化运维的技术问题。

为实现上述目的，本发明提供一种自动化运维方法，所述自动化运维方法包括以下步骤：

运维设备获取本地网络中各设备的流量信息；

基于所述流量信息按照预设流量数据结构建立流量模型；

通过所述流量模型搭建应用运行环境；

调用所述应用运行环境中的预设功能应用进行自动化运维操作。

优选地，所述预设流量数据结构为预设键值对；

相应地，所述基于所述流量信息按照预设流量数据结构建立流量模型，具体包括：

确定所述流量信息的摘要信息；

将所述摘要信息设为预设键值对的键，将所述流量信息设为所述预设键值对中与所述键对应的值，以建立流量模型。

优选地，所述通过所述流量模型搭建应用运行环境之前，所述自动化运维方法还包括：

获取本地网络中各设备的安全规则；

基于所述安全规则按照预设规则数据结构建立规则模型；

相应地，所述通过所述流量模型搭建应用运行环境，具体包括：

通过所述流量模型和所述规则模型搭建应用运行环境。

优选地，所述预设规则数据结构为预设树形结构；

相应地，所述基于所述安全规则按照预设规则数据结构建立规则模型，具体包括：

从各设备的安全规则中基于各预设参数类型读取对应的参数信息；

从预设树形结构中选取与所述参数信息对应的叶子节点；

将所述安全规则保存至选取的叶子节点，以建立规则模型。

优选地，所述基于所述安全规则按照预设规则数据结构建立规则模型之前，所述自动化运维方法还包括：

通过所述流量模型对所述流量信息进行分析，以获得推导规则；

相应地，所述基于所述安全规则按照预设规则数据结构建立规则模型，具体包括：

基于所述推导规则和所述安全规则按照预设规则数据结构建立规则模型。

优选地，所述预设功能应用为冲突判断应用；

相应地，所述调用所述应用运行环境中的预设功能应用进行自动化运维操作，具体包括：

响应于用户输入的新增规则，调用所述应用运行环境中的冲突判断应用，以确定所述新增规则的第一流量路径与各设备的安全规则的第二流量路径；

判断所述第一流量路径与所述第二流量路径是否冲突，并生成判断结果，根据所述判断结果进行自动化运维操作。

优选地，所述预设功能应用为基于设备的运维应用；

相应地，所述调用所述应用运行环境中的预设功能应用进行自动化运维操作，具体包括：

通过调用所述应用运行环境中的基于设备的运维应用，以调用所述应用运行环境的API获取目标设备的流量信息；

基于目标设备的流量信息对所述目标设备进行自动化运维操作。

优选地，所述预设功能应用为规则推荐应用；

相应地，所述调用所述应用运行环境中的预设功能应用进行自动化运维操作，具体包括：

通过调用所述应用运行环境中的规则推荐应用，以从所述流量信息中提取访问关系；

通过所述访问关系确定流量规则，并根据所述流量规则进行自动化运维操作，所述流量规则为基于所述访问关系推导出的限制流量流向的推荐规则。

此外，为实现上述目的，本发明还提供一种运维设备，所述运维设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的自动化运维程序，所述自动化运维程序配置为实现如上文所述自动化运维方法的步骤。

此外，为实现上述目的，本发明还提供一种存储介质，所述存储介质上存储有自动化运维程序，所述自动化运维程序被处理器执行时实现如上文所述的自动化运维方法的步骤。

此外，为实现上述目的，本发明还提供一种自动化运维装置，所述自动化运维装置包括：信息获取模块、第一模型建立模块、环境搭建模块以及自动化运维模块；

所述信息获取模块，用于获取本地网络中各设备的流量信息；

所述第一模型建立模块，用于基于所述流量信息按照预设流量数据结构建立流量模型；

所述环境搭建模块，用于通过所述流量模型搭建应用运行环境；

所述自动化运维模块，用于调用所述应用运行环境中的预设功能应用进行自动化运维操作。

优选地，所述第一模型建立模块，还用于确定所述流量信息的摘要信息，将所述摘要信息设为预设键值对的键，将所述流量信息设为所述预设键值对中与所述键对应的值，以建立流量模型。

优选地，所述自动化运维装置还包括：规则获取模块与第二模型建立模块；

所述规则获取模块，用于获取本地网络中各设备的安全规则；

所述第二模型建立模块，用于基于所述安全规则按照预设规则数据结构建立规则模型；

相应地，所述环境搭建模块，还用于通过所述流量模型和所述规则模型搭建应用运行环境。

在本发明中基于自建立的流量模型搭建应用运行环境，并在该应用运行环境中运行预设功能应用以完成自动化运维操作，从而使得预设功能应用可基于流量模型进行自动化运维，使得运维过程更加简单与可靠，因为将立足于流量信息完成运维操作，所以，也就解决了当前的自动化运维方案存在的不能较好地应用流量信息完成自动化运维的技术问题。

附图说明

图1是本发明实施例方案涉及的硬件运行环境的运维设备结构示意图；

图2为本发明自动化运维方法第一实施例的流程示意图；

图3为本发明自动化运维方法第二实施例的流程示意图；

图4为预设树形结构的示意图；

图5为一个维度的预设树形结构的示意图；

图6为本发明自动化运维方法第三实施例的流程示意图；

图7为本发明自动化运维装置第一实施例的结构框图；

图8为本发明自动化运维装置第二实施例的结构框图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

参照图1，图1为本发明实施例方案涉及的硬件运行环境的运维设备结构示意图。

如图1所示，该运维设备可以包括：处理器1001，例如CPU，通信总线1002、用户接口1003，网络接口1004，存储器1005。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)，可选用户接口1003还可以包括标准的有线接口、无线接口，对于用户接口1003的有线接口在本发明中可为USB接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器1005可以是高速RAM存储器，也可以是稳定的存储器(non-volatile memory)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。

其中，所述运维设备可为服务器或主机等其他网络设备。

本领域技术人员可以理解，图1中示出的结构并不构成对运维设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

如图1所示，作为一种计算机可读存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及自动化运维程序。

在图1所示的运维设备中，网络接口1004主要用于连接后台服务器，与所述后台服务器进行数据通信；用户接口1003主要用于连接外设；所述运维设备通过处理器1001调用存储器1005中存储的自动化运维程序，并执行以下操作：

获取本地网络中各设备的流量信息；

基于所述流量信息按照预设流量数据结构建立流量模型；

通过所述流量模型搭建应用运行环境；

调用所述应用运行环境中的预设功能应用进行自动化运维操作。

进一步地，处理器1001可以调用存储器1005中存储的自动化运维程序，还执行以下操作：

确定所述流量信息的摘要信息；

将所述摘要信息设为预设键值对的键，将所述流量信息设为所述预设键值对中与所述键对应的值，以建立流量模型。

进一步地，处理器1001可以调用存储器1005中存储的自动化运维程序，还执行以下操作：

获取本地网络中各设备的安全规则；

基于所述安全规则按照预设规则数据结构建立规则模型；

相应地，还执行以下操作：

通过所述流量模型和所述规则模型搭建应用运行环境。

进一步地，处理器1001可以调用存储器1005中存储的自动化运维程序，还执行以下操作：

从各设备的安全规则中基于各预设参数类型读取对应的参数信息；

从预设树形结构中选取与所述参数信息对应的叶子节点；

将所述安全规则保存至选取的叶子节点，以建立规则模型。

进一步地，处理器1001可以调用存储器1005中存储的自动化运维程序，还执行以下操作：

通过所述流量模型对所述流量信息进行分析，以获得推导规则；

相应地，还执行以下操作：

基于所述推导规则和所述安全规则按照预设规则数据结构建立规则模型。

进一步地，处理器1001可以调用存储器1005中存储的自动化运维程序，还执行以下操作：

响应于用户输入的新增规则，调用所述应用运行环境中的冲突判断应用，以确定所述新增规则的第一流量路径与各设备的安全规则的第二流量路径；

判断所述第一流量路径与所述第二流量路径是否冲突，并生成判断结果，根据所述判断结果进行自动化运维操作。

进一步地，处理器1001可以调用存储器1005中存储的自动化运维程序，还执行以下操作：

通过调用所述应用运行环境中的基于设备的运维应用，以调用所述应用运行环境的API获取目标设备的流量信息；

基于目标设备的流量信息对所述目标设备进行自动化运维操作。

进一步地，处理器1001可以调用存储器1005中存储的自动化运维程序，还执行以下操作：

通过调用所述应用运行环境中的规则推荐应用，以从所述流量信息中提取访问关系；

通过所述访问关系确定流量规则，并根据所述流量规则进行自动化运维操作，所述流量规则为基于所述访问关系推导出的限制流量流向的推荐规则。

在本实施例中基于自建立的流量模型搭建应用运行环境，并在该应用运行环境中运行预设功能应用以完成自动化运维操作，从而使得预设功能应用可基于流量模型进行自动化运维，使得运维过程更加简单与可靠，因为将立足于流量信息完成运维操作，所以，也就解决了当前的自动化运维方案存在的不能较好地应用流量信息完成自动化运维的技术问题。

基于上述硬件结构，提出本发明自动化运维方法的实施例。

参照图2，图2为本发明自动化运维方法第一实施例的流程示意图，提出本发明自动化运维方法的第一实施例。

在第一实施例中，所述自动化运维方法包括以下步骤：

步骤S10：获取本地网络中各设备的流量信息；

可以理解的是，本实施例的执行主体为运维设备。考虑到现行的解决方案不能较好地结合流量信息完成自动化运维，本实施例将基于流量信息完成建模工作，以更好地进行自动化运维操作。

在具体实现中，将先获取本地网络中的各设备的流量信息，比如，可获取本地网络中设备A与设备B的流量信息。

步骤S20：基于所述流量信息按照预设流量数据结构建立流量模型；

应当理解的是，考虑到在进行自动化运维时，可先对本地网络进行建模，从而可以较快地收敛网络信息，以达到准确地判断本地网络的运行状况的效果，所以，可基于流量信息建立对应的流量模型。

进一步地，所述预设流量数据结构为预设键值对；相应地，所述基于所述流量信息按照预设流量数据结构建立流量模型，具体包括：确定所述流量信息的摘要信息；将所述摘要信息设为预设键值对的键，将所述流量信息设为所述预设键值对中与所述键对应的值，以建立流量模型。

可以理解的是，该预设流量数据结构可为预设键值对(Key Value Pair)。其中，键值对作为一种数据的组织形式，在重新编排流量信息时，可通过预设键值对来存储流量信息。

在具体实现中，由于预设键值对由键(Key)以及与键对应的值(Value)构成，可先确定流量信息的摘要信息，并将摘要信息作为Key。其中，所述摘要信息为消息摘要(Message Digest)，通过将流量信息换算为一个与流量信息唯一对应的固定长度的值即摘要信息，即可根据摘要信息来唯一地确定流量信息。

当然，所述摘要信息存在多种类型，比如，摘要信息可为哈希值(Hash Function)。更具体地，所述流量信息的摘要信息可为五元组的哈希值。其中，所述五元组可为流量信息中包含的源IP地址、源端口、目的IP地址、目的端口和传输层协议。

可以理解的是，在将摘要信息作为Key后，可将流量信息设为所述预设键值对中的Value。其中，流量信息是指流量的详细统计信息，流量信息中可包括五元组、预设功能应用的应用类型，流量的大小、连接开始时刻、持续时间、连接结束时刻以及是否被安全规则拒绝等。

步骤S30：通过所述流量模型搭建应用运行环境；

应当理解的是，在基于流量信息成功建立流量模型后，可通过建立出的流量模型去搭建应用运行环境。该应用运行环境由于是以流量模型为基础搭建而成，运行在该应用运行环境中的预设功能应用将基于流量模型完成应用的运行。所以，该应用运行环境中的预设功能应用皆可调用流量模型以及流量信息。

当然，所述应用运行环境在具体实现时可以网络平台的形式存在。

步骤S40：调用所述应用运行环境中的预设功能应用进行自动化运维操作。

在具体实现中，若预设功能应用为X应用，由于该X应用运行于基于流量模型搭建的应用运行环境中，X应用可以运用该流量模型完成应用的运行。此外，基于流量模型来进行预设功能应用的开发，使得预设功能应用也可以借助流量信息完成智能化的运维分析，从而可以更好地保障本地网络的可靠性，简化运维的计算过程。

其中，所述预设功能应用包括冲突判断应用、基于设备的运维应用以及规则推荐应用等。所述冲突判断应用，可检测用户新输入的新增规则与现有规则是否存在冲突；所述基于设备的运维应用，可以设备为单位进行自动化运维；所述规则推荐应用，可基于流量信息生成流量规则，以向用户推荐该流量规则。

在本实施例中基于自建立的流量模型搭建应用运行环境，并在该应用运行环境中运行预设功能应用以完成自动化运维操作，从而使得预设功能应用可基于流量模型进行自动化运维，使得运维过程更加简单与可靠，因为将立足于流量信息完成运维操作，所以，也就解决了当前的自动化运维方案存在的不能较好地应用流量信息完成自动化运维的技术问题。

参照图3，图3为本发明自动化运维方法第二实施例的流程示意图，基于上述图2所示的第一实施例，提出本发明自动化运维方法的第二实施例。

在第二实施例中，所述步骤S30之前，所述自动化运维方法还包括：

步骤S301：获取本地网络中各设备的安全规则；

可以理解的是，为了更加智能地完成自动化运维，在搭建应用运行环境，比如，在搭建可运行预设功能应用的网络平台时，不仅可基于流量模型，也可同时基于规则模型完成网络平台的搭建。

在具体实现中，为了完成对于规则模型的搭建，可先获取各设备的安全规则，并基于预设规则数据结构完成规则模型的搭建。其中，所述安全规则可为ACL。

步骤S302：基于所述安全规则按照预设规则数据结构建立规则模型；

此外，除了安全规则ACL外，还可同时参考各设备本地存储或处于运行状态的路由转发规则以及各设备的设备配置信息，以基于安全规则、路由转发规则以及配置信息共同建立规则模型。

相应地，所述步骤S30，可以具体包括：

步骤S303：通过所述流量模型和所述规则模型搭建应用运行环境。

应当理解的是，在完成建立规则模型后，可同时基于流量模型与规则模型完成对于应用运行环境的搭建。由于该应用运行环境以流量模型与规则模型作为基础，使得运行在该应用运行环境中的预设功能应用可以直接调用流量信息、与流量信息对应的流量模型、安全规则以及与安全规则对应的规则模型完成自动化运维操作，从而使得自动化运维过程更加智能，可以较好地对本地网络进行维护与可靠性分析。

进一步地，所述预设规则数据结构可为预设树形结构；

相应地，所述基于所述安全规则按照预设规则数据结构建立规则模型，具体包括：从各设备的安全规则中基于各预设参数类型读取对应的参数信息；从预设树形结构中选取与所述参数信息对应的叶子节点；将所述安全规则保存至选取的叶子节点，以建立规则模型。

可以理解的是，预设规则数据结构可为预设树形结构，可参见图4，图4为预设树形结构的示意图，预设树形结构可存在多级树，每一级树都是一个维度，比如，维度1、维度2、维度3、维度4及维度5等。其中，每一级树都对应着一类的预设参数类型，比如，图4中所示的预设树形结构可存在5种对应的预设参数类型，包括，源IP地址、目的IP地址、源媒体访问控制地址(Media Access Control Address，MAC地址)、目的MAC地址及端口号，而各设备的安全规则中正存在上述预设参数类型的参数信息。其中，预设参数类型可为数据包头部中的特定字段。

应当理解的是，在获取到一条当前安全规则时，将先提取出该条安全规则的源IP地址、目的IP地址、源MAC地址、目的MAC地址及端口号，比如，提取出的参数信息包括源IP地址为1.0.0.1、目的IP地址为1.0.0.25、源MAC地址为X1.X2.X3.X4、目的MAC地址为X5.X6.X7.X8以及端口号为X9。

在具体实现中，在提取出上述各种参数类型的参数信息后，将在如图4所示的预设树形结构中查找到对应的叶子节点以将当前安全规则保存至该叶子节点中。

参见图5，图5为一个维度的预设树形结构的示意图。

可以理解的是，根据图5可知，比如，图5所示的维度X为表征源IP地址的维度1，维度1对应的树形结构即图中的虚线三角形的高度为字段的长度，由于源IP地址为32比特，则对应的树形结构的高度也为32，即维度1的树形结构的每一层表示一个比特。

应当理解的是，每一层存在三种走向，分别为1、0以及通配符*，其中，“*”表示0或1都可。比如，源IP地址为1.0.0.1，则维度1对应的树形结构的取值应该为0000000100000000 00000000 00000001。从图5中可知，先可确定维度1对应的树形结构的第一层的走向为0，第二层的走向为0……第8层的走向为1……第32层的走向为1，而第32层也是维度1对应的树形结构的最后一层。在到达维度1对应的树形结构的最后一层后，下一步将进入维度2对应的树形结构的第一层，直至最终到达如图4所示的维度5的树形结构的最后一层。通过设计该种预设树形结构，可以将安全规则按照多种不同的参数类型进行分类存储。其中，本实施例不限制维度的数量。

在具体实现中，若该条安全规则同时存在上述5种参数类型的参数信息，则最终会在维度5对应的树形结构的最后一层设置一个叶子节点，并将当前安全规则保存至该维度5对应的树形结构的最后一层中确定的叶子节点，而最终基于预设树形结构处理完各设备中所有的安全规则后获得的模型即为规则模型。

进一步地，所述基于所述安全规则按照预设规则数据结构建立规则模型之前，所述自动化运维方法还可以包括：通过所述流量模型对所述流量信息进行分析，以获得推导规则；

相应地，所述基于所述安全规则按照预设规则数据结构建立规则模型，具体包括：基于所述推导规则和所述安全规则按照预设规则数据结构建立规则模型。

应当理解的是，在同时基于流量模型与规则模型完成对于应用运行环境的搭建过程中，为了进一步地提高两种模型之间的协同性，同时，提高模型的应用过程的准确性，可以通过流量模型推断出推导规则并应用于规则模型，以完成两种模型之间的联动。

在具体实现中，将基于流量信息来建立流量模型，将基于安全规则来建立规则模型，但是，为了引入两种模型之间的联动操作以提高两种模型的准确性，在使用流量模型时，可让流量模型分析流量信息以获得推导规则，该推导规则与各设备的安全规则的规则类型相同，但是，规则内容不一定相同。因为，推导规则来自于流量模型对于流量信息的分析所得，而安全规则来自于本地网络中各设备本地存储的由人工配置的规则。但是，需要注意的是，各设备的安全规则为人工配置的规则，但是，由于规则之间存在一定的编写规范与实际作用，可能存在无效的规则或者冲突的规则；而推导规则基于实际运行中产生的流量信息，所以，推导规则可理解为起效的规则。

可以理解的是，当各设备侧人工配置的安全规则中存在无效的规则或者冲突的规则时，各设备侧人工配置的安全规则将与推导规则的规则内容存在差异。通过同时基于安全规则与推导规则来建立规则模型可以提高规则模型的准确性。

此外，由于预设规则数据结构可为上述的预设树形结构，预设树形结构会基于规则中的参数信息将规则进行分类存储，从而在存储过程中可自动识别出冲突的规则，也就完成了对于安全规则与推导规则的冲突判断。

在本实施例中通过同时基于流量模型与规则模型完成对于应用运行环境的搭建，使得运行在该应用运行环境中的预设功能应用在完成自动化运维操作时，可以较好地结合流量模型与规则模型，从而提高了自动化运维过程的可靠性与智能化程度。

参照图6，图6为本发明自动化运维方法第三实施例的流程示意图，基于上述图3所示的第二实施例，提出本发明自动化运维方法的第三实施例。

在第三实施例中，所述预设功能应用可为冲突判断应用，所述步骤S40，具体包括：

步骤S401：响应于用户输入的新增规则，调用所述应用运行环境中的冲突判断应用，以确定所述新增规则的第一流量路径与各设备的安全规则的第二流量路径；

可以理解的是，在成功地搭建应用运行环境后，可在该应用运行环境中运行预设功能应用，以结合流量信息以及流量模型完成对于预设功能应用的调用。

在具体实现中，在应用运行环境中运行的预设功能应用可为冲突判断应用，可基于该冲突判断应用实现对于新增规则与现有规则的冲突性判断。比如，当用户新输入了新增规则后，在将该新增规则实际地配置到本地网络中的设备本地之前，可先对该新增规则进行冲突性判断。具体而言，可先确定该新增规则的第一流量路径，比如，第一流量路径可为“允许数据包从设备A发送至设备B，允许数据包从设备B发送至设备C”；然后，可获取各设备中正在运行的安全规则的第二流量规则，比如，第二流量规则可为“允许数据包从设备A发送至设备B，禁止数据包从设备B发送至设备C”。

步骤S402：判断所述第一流量路径与所述第二流量路径是否冲突，并生成判断结果，根据所述判断结果进行自动化运维操作。

可以理解的是，明显地，第一流量路径中“允许数据包从设备B发送至设备C”，而第二流量路径中“禁止数据包从设备B发送至设备C”，两条流量路径存在冲突，为了防止用户错误添加新增规则，或者，新增规则对原有的安全规则造成影响，可先生成判断结果，判断结果为第一流量规则与第二流量规则冲突。当第一流量规则与第二流量规则冲突时，可提示用户该冲突状况，也可禁止用户输入该新增规则。

应当理解的是，在将新增规则实际配置到本地网络之前，可先对第一流量规则与第二流量规则之间是否发生冲突进行预先判断，以预防用户向本地网络添加造成运行冲突的新增规则。

进一步地，所述预设功能应用还可为基于设备的运维应用；

相应地，所述调用所述应用运行环境中的预设功能应用进行自动化运维操作，具体包括：通过调用所述应用运行环境中的基于设备的运维应用，以调用所述应用运行环境的API获取目标设备的流量信息；基于目标设备的流量信息对所述目标设备进行自动化运维操作。

可以理解的是，当运行该“基于设备的运维应用”时，可实现以设备为单位的自动化运维，其中，现有的自动化建模方案由于未搭建如同本实施例中所述的应用运行环境，所以，现有的自动化建模方案只能以整体网络为对象进行流量信息以及安全规则的分析，但是，本实施例中由于可直接获取单个设备的流量信息以及安全规则，从而可实现以设备为单位完成流量信息以及安全规则的分析，使得细化自动化运维操作，可以更有针对性。

在具体实现中，比如，当成功搭建应用运行环境后，可在该应用运行环境中运行“基于设备的运维应用”，从而执行以设备为对象的自动化运维操作。其中，由于搭建了应用运行环境，可开放该应用运行环境的API，所以，可基于该API实现以设备为单位进行流量信息的获取。在获取到目标设备的流量信息后，可基于该目标设备的流量信息完成针对目标设备的自动化运维。

进一步地，所述预设功能应用还可为规则推荐应用；

相应地，所述调用所述应用运行环境中的预设功能应用进行自动化运维操作，具体包括：通过调用所述应用运行环境中的规则推荐应用，以从所述流量信息中提取访问关系；通过所述访问关系确定流量规则，并根据所述流量规则进行自动化运维操作，所述流量规则为基于所述访问关系推导出的限制流量流向的推荐规则。

应当理解的是，当运行该“规则推荐应用”时，可基于流量信息生成流量规则，该流量规则为基于实际运行的流量信息推断出的实际运行的安全规则。比如，在调用规则推荐应用后，可从流量信息中提取出访问关系，其中，所述访问关系包括哪个应用访问哪个应用、哪个源IP地址访问了哪个目的IP地址、哪个安全组访问了哪个安全组、流量的方向及大小以及究竟是南北向流量还是东西向流量等访问关系。

可以理解的是，在提取出访问关系后，可基于实际运行的访问关系自动化生成推荐的流量规则。若将该流量规则配置到本地网络中，可将本地网络中的运行流量限制于之前提取的访问关系中，从而实现了对于特定流量的限制或开放。

在本实施例中在真正添加新增规则之前，可预先判断新增规则是否与本地网络中运行的原有安全规则存在冲突，从而避免添加严重影响原有的安全规则的新增规则，以降低运维的风险。

此外，本发明实施例还提出一种存储介质，所述存储介质上存储有自动化运维程序，所述自动化运维程序被处理器执行时实现如下操作：

获取本地网络中各设备的流量信息；

基于所述流量信息按照预设流量数据结构建立流量模型；

通过所述流量模型搭建应用运行环境；

调用所述应用运行环境中的预设功能应用进行自动化运维操作。

进一步地，所述自动化运维程序被处理器执行时还实现如下操作：

确定所述流量信息的摘要信息；

将所述摘要信息设为预设键值对的键，将所述流量信息设为所述预设键值对中与所述键对应的值，以建立流量模型。

进一步地，所述自动化运维程序被处理器执行时还实现如下操作：

获取本地网络中各设备的安全规则；

基于所述安全规则按照预设规则数据结构建立规则模型；

相应地，还实现如下操作：

通过所述流量模型和所述规则模型搭建应用运行环境。

进一步地，所述自动化运维程序被处理器执行时还实现如下操作：

从各设备的安全规则中基于各预设参数类型读取对应的参数信息；

从预设树形结构中选取与所述参数信息对应的叶子节点；

将所述安全规则保存至选取的叶子节点，以建立规则模型。

进一步地，所述自动化运维程序被处理器执行时还实现如下操作：

通过所述流量模型对所述流量信息进行分析，以获得推导规则；

相应地，还实现如下操作：

基于所述推导规则和所述安全规则按照预设规则数据结构建立规则模型。

进一步地，所述自动化运维程序被处理器执行时还实现如下操作：

响应于用户输入的新增规则，调用所述应用运行环境中的冲突判断应用，以确定所述新增规则的第一流量路径与各设备的安全规则的第二流量路径；

判断所述第一流量路径与所述第二流量路径是否冲突，并生成判断结果，根据所述判断结果进行自动化运维操作。

进一步地，所述自动化运维程序被处理器执行时还实现如下操作：

通过调用所述应用运行环境中的基于设备的运维应用，以调用所述应用运行环境的API获取目标设备的流量信息；

基于目标设备的流量信息对所述目标设备进行自动化运维操作。

进一步地，所述自动化运维程序被处理器执行时还实现如下操作：

通过调用所述应用运行环境中的规则推荐应用，以从所述流量信息中提取访问关系；

通过所述访问关系确定流量规则，并根据所述流量规则进行自动化运维操作，所述流量规则为基于所述访问关系推导出的限制流量流向的推荐规则。

在本实施例中基于自建立的流量模型搭建应用运行环境，并在该应用运行环境中运行预设功能应用以完成自动化运维操作，从而使得预设功能应用可基于流量模型进行自动化运维，使得运维过程更加简单与可靠，因为将立足于流量信息完成运维操作，所以，也就解决了当前的自动化运维方案存在的不能较好地应用流量信息完成自动化运维的技术问题。

此外，参照图7，本发明实施例还提出一种自动化运维装置，所述自动化运维装置包括：信息获取模块10、第一模型建立模块20、环境搭建模块30以及自动化运维模块40；

所述信息获取模块10，用于获取本地网络中各设备的流量信息；

可以理解的是，本实施例的执行主体为运维设备。考虑到现行的解决方案不能较好地结合流量信息完成自动化运维，本实施例将基于流量信息完成建模工作，以更好地进行自动化运维操作。

在具体实现中，将先获取本地网络中的各设备的流量信息，比如，可获取本地网络中设备A与设备B的流量信息。

所述第一模型建立模块20，用于基于所述流量信息按照预设流量数据结构建立流量模型；

应当理解的是，考虑到在进行自动化运维时，可先对本地网络进行建模，从而可以较快地收敛网络信息，以达到准确地判断本地网络的运行状况的效果，所以，可基于流量信息建立对应的流量模型。

进一步地，所述第一模型建立模块20，还用于确定所述流量信息的摘要信息，将所述摘要信息设为预设键值对的键，将所述流量信息设为所述预设键值对中与所述键对应的值，以建立流量模型。

可以理解的是，该预设流量数据结构可为预设键值对(Key Value Pair)。其中，键值对作为一种数据的组织形式，在重新编排流量信息时，可通过预设键值对来存储流量信息。

在具体实现中，由于预设键值对由键(Key)以及与键对应的值(Value)构成，可先确定流量信息的摘要信息，并将摘要信息作为Key。其中，所述摘要信息为消息摘要(Message Digest)，通过将流量信息换算为一个与流量信息唯一对应的固定长度的值即摘要信息，即可根据摘要信息来唯一地确定流量信息。

当然，所述摘要信息存在多种类型，比如，摘要信息可为哈希值(Hash Function)。更具体地，所述流量信息的摘要信息可为五元组的哈希值。其中，所述五元组可为流量信息中包含的源IP地址、源端口、目的IP地址、目的端口和传输层协议。

可以理解的是，在将摘要信息作为Key后，可将流量信息设为所述预设键值对中的Value。其中，流量信息是指流量的详细统计信息，流量信息中可包括五元组、预设功能应用的应用类型，流量的大小、连接开始时刻、持续时间、连接结束时刻以及是否被安全规则拒绝等。

所述环境搭建模块30，用于通过所述流量模型搭建应用运行环境；

应当理解的是，在基于流量信息成功建立流量模型后，可通过建立出的流量模型去搭建应用运行环境。该应用运行环境由于是以流量模型为基础搭建而成，运行在该应用运行环境中的预设功能应用将基于流量模型完成应用的运行。所以，该应用运行环境中的预设功能应用皆可调用流量模型以及流量信息。

当然，所述应用运行环境在具体实现时可以网络平台的形式存在。

所述自动化运维模块40，用于调用所述应用运行环境中的预设功能应用进行自动化运维操作。

在具体实现中，若预设功能应用为X应用，由于该X应用运行于基于流量模型搭建的应用运行环境中，X应用可以运用该流量模型完成应用的运行。此外，基于流量模型来进行预设功能应用的开发，使得预设功能应用也可以借助流量信息完成智能化的运维分析，从而可以更好地保障本地网络的可靠性，简化运维的计算过程。

其中，所述预设功能应用包括冲突判断应用、基于设备的运维应用以及规则推荐应用等。所述冲突判断应用，可检测用户新输入的新增规则与现有规则是否存在冲突；所述基于设备的运维应用，可以设备为单位进行自动化运维；所述规则推荐应用，可基于流量信息生成流量规则，以向用户推荐该流量规则。

在本实施例中基于自建立的流量模型搭建应用运行环境，并在该应用运行环境中运行预设功能应用以完成自动化运维操作，从而使得预设功能应用可基于流量模型进行自动化运维，使得运维过程更加简单与可靠，因为将立足于流量信息完成运维操作，所以，也就解决了当前的自动化运维方案存在的不能较好地应用流量信息完成自动化运维的技术问题。

参照图8，图8为本发明自动化运维装置第二实施例的结构框图，基于上述图7所示的第一实施例，提出本发明自动化运维装置的第二实施例。

在第二实施例中，所述自动化运维装置还包括：规则获取模块301与第二模型建立模块302；

所述规则获取模块301，用于获取本地网络中各设备的安全规则；

可以理解的是，为了更加智能地完成自动化运维，在搭建应用运行环境，比如，在搭建可运行预设功能应用的网络平台时，不仅可基于流量模型，也可同时基于规则模型完成网络平台的搭建。

在具体实现中，为了完成对于规则模型的搭建，可先获取各设备的安全规则，并基于预设规则数据结构完成规则模型的搭建。其中，所述安全规则可为ACL。

所述第二模型建立模块302，用于基于所述安全规则按照预设规则数据结构建立规则模型；

相应地，所述环境搭建模块30'，还用于通过所述流量模型和所述规则模型搭建应用运行环境。

应当理解的是，在完成建立规则模型后，可同时基于流量模型与规则模型完成对于应用运行环境的搭建。由于该应用运行环境以流量模型与规则模型作为基础，使得运行在该应用运行环境中的预设功能应用可以直接调用流量信息、与流量信息对应的流量模型、安全规则以及与安全规则对应的规则模型完成自动化运维操作，从而使得自动化运维过程更加智能，可以较好地对本地网络进行维护与可靠性分析。

在本实施例中通过同时基于流量模型与规则模型完成对于应用运行环境的搭建，使得运行在该应用运行环境中的预设功能应用在完成自动化运维操作时，可以较好地结合流量模型与规则模型，从而提高了自动化运维过程的可靠性与智能化程度。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者系统中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。词语第一、第二、以及第三等的使用不表示任何顺序，可将这些词语解释为名称。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (13)

1.一种自动化运维方法，其特征在于，所述自动化运维方法包括以下步骤：

运维设备获取本地网络中各设备的流量信息；

基于所述流量信息按照预设流量数据结构建立流量模型；

通过所述流量模型搭建应用运行环境；

调用所述应用运行环境中的预设功能应用进行自动化运维操作。

2.如权利要求1所述的自动化运维方法，其特征在于，所述预设流量数据结构为预设键值对；

相应地，所述基于所述流量信息按照预设流量数据结构建立流量模型，具体包括：

确定所述流量信息的摘要信息；

将所述摘要信息设为预设键值对的键，将所述流量信息设为所述预设键值对中与所述键对应的值，以建立流量模型。

3.如权利要求1中所述的自动化运维方法，其特征在于，所述通过所述流量模型搭建应用运行环境之前，所述自动化运维方法还包括：

获取本地网络中各设备的安全规则；

基于所述安全规则按照预设规则数据结构建立规则模型；

相应地，所述通过所述流量模型搭建应用运行环境，具体包括：

通过所述流量模型和所述规则模型搭建应用运行环境。

4.如权利要求3中所述的自动化运维方法，其特征在于，所述预设规则数据结构为预设树形结构；

相应地，所述基于所述安全规则按照预设规则数据结构建立规则模型，具体包括：

从各设备的安全规则中基于各预设参数类型读取对应的参数信息；

从预设树形结构中选取与所述参数信息对应的叶子节点；

将所述安全规则保存至选取的叶子节点，以建立规则模型。

5.如权利要求3中所述的自动化运维方法，其特征在于，所述基于所述安全规则按照预设规则数据结构建立规则模型之前，所述自动化运维方法还包括：

通过所述流量模型对所述流量信息进行分析，以获得推导规则；

相应地，所述基于所述安全规则按照预设规则数据结构建立规则模型，具体包括：

基于所述推导规则和所述安全规则按照预设规则数据结构建立规则模型。

6.如权利要求3中所述的自动化运维方法，其特征在于，所述预设功能应用为冲突判断应用；

相应地，所述调用所述应用运行环境中的预设功能应用进行自动化运维操作，具体包括：

响应于用户输入的新增规则，调用所述应用运行环境中的冲突判断应用，以确定所述新增规则的第一流量路径与各设备的安全规则的第二流量路径；

判断所述第一流量路径与所述第二流量路径是否冲突，并生成判断结果，根据所述判断结果进行自动化运维操作。

7.如权利要求1至5中任一项中所述的自动化运维方法，其特征在于，所述预设功能应用为基于设备的运维应用；

相应地，所述调用所述应用运行环境中的预设功能应用进行自动化运维操作，具体包括：

通过调用所述应用运行环境中的基于设备的运维应用，以调用所述应用运行环境的API获取目标设备的流量信息；

基于目标设备的流量信息对所述目标设备进行自动化运维操作。

8.如权利要求1至5中任一项中所述的自动化运维方法，其特征在于，所述预设功能应用为规则推荐应用；

相应地，所述调用所述应用运行环境中的预设功能应用进行自动化运维操作，具体包括：

通过调用所述应用运行环境中的规则推荐应用，以从所述流量信息中提取访问关系；

通过所述访问关系确定流量规则，并根据所述流量规则进行自动化运维操作，所述流量规则为基于所述访问关系推导出的限制流量流向的推荐规则。

9.一种运维设备，其特征在于，所述运维设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的自动化运维程序，所述自动化运维程序被所述处理器执行时实现如权利要求1至8中任一项所述的自动化运维方法的步骤。

10.一种存储介质，其特征在于，所述存储介质上存储有自动化运维程序，所述自动化运维程序被处理器执行时实现如权利要求1至8中任一项所述的自动化运维方法的步骤。

11.一种自动化运维装置，其特征在于，所述自动化运维装置包括：信息获取模块、第一模型建立模块、环境搭建模块以及自动化运维模块；

所述信息获取模块，用于获取本地网络中各设备的流量信息；

所述第一模型建立模块，用于基于所述流量信息按照预设流量数据结构建立流量模型；

所述环境搭建模块，用于通过所述流量模型搭建应用运行环境；

所述自动化运维模块，用于调用所述应用运行环境中的预设功能应用进行自动化运维操作。

12.如权利要求11所述的自动化运维装置，其特征在于，所述第一模型建立模块，还用于确定所述流量信息的摘要信息，将所述摘要信息设为预设键值对的键，将所述流量信息设为所述预设键值对中与所述键对应的值，以建立流量模型。

13.如权利要求11所述的自动化运维装置，其特征在于，所述自动化运维装置还包括：规则获取模块与第二模型建立模块；

所述规则获取模块，用于获取本地网络中各设备的安全规则；

所述第二模型建立模块，用于基于所述安全规则按照预设规则数据结构建立规则模型；

相应地，所述环境搭建模块，还用于通过所述流量模型和所述规则模型搭建应用运行环境。