CN112532466A - 流量识别方法、装置及存储介质 - Google Patents

Abstract

本申请公开了一种流量识别方法、装置及存储介质，属于网络技术领域。所述方法包括：获取接收到的各路数据流的特征信息；基于所述数据流的特征信息，分别确定每一路所述数据流的业务类型；基于所述各路数据流的业务类型、以及所述数据流的特征信息，确定每一路所述数据流的应用类型。该方案在根据数据流的特征信息确定出业务类型后，再结合多个数据流的业务类型和特征信息确定出数据流的应用类型，由于不同应用所包括的数据流的业务类型可能不同，且不同应用中的同样业务类型的数据流的特征信息又可能不同，所以按照本申请的方案可以更加准确地识别出流量的应用类型，为后续流量传输配置方案做准备，以提高网络传输质量。

Description

流量识别方法、装置及存储介质

技术领域

本申请涉及网络技术领域，特别涉及一种流量识别方法、装置及存储介质。

背景技术

随着当前游戏、视频、视频通信业务流量的快速增长，网络需要识别出流量所属应用的应用类型，然后依据应用类型对流量进行业务保障，如通过配置服务质量(Quality ofService，QoS)优先级、实时选路等方法合理安排流量。

目前，一种流量识别方法是：按照流量的五元组(源英特网协议(InternetProtocol，IP)地址、目的IP地址、源端口号、目的端口号和协议号)来进行流量所属应用的识别。

但是，由于很多同厂商的应用可能存在相同五元组的流量，从而导致这种识别方法容易将一路流量同时匹配到多种应用上，造成识别不准确。

发明内容

本申请提供了一种流量识别方法、装置及存储介质，可以提高流量识别的准确性。

第一方面，本申请的至少一实施例提供了一种流量识别方法，所述方法包括：

获取接收到的各路数据流的特征信息；

基于所述数据流的特征信息，分别确定每一路所述数据流的业务类型；

基于所述各路数据流的业务类型、以及所述数据流的特征信息，确定每一路所述数据流的应用类型。

在本申请实施例中，通过数据流的特征信息先确定出该数据流的业务类型，然后再基于各个数据流的业务类型和各个数据流的特征信息，确定出各个数据流的应用类型。该方案在根据数据流的特征信息确定出业务类型后，再结合多个数据流的业务类型和特征信息确定出数据流的应用类型，由于不同应用所包括的数据流的业务类型可能不同，且不同应用中的同样业务类型的数据流的特征信息又可能不同，所以按照本申请的方案可以更加准确地识别出流量的应用类型，为后续流量传输配置方案做准备，以提高网络传输质量。

可选地，所述数据流的特征信息包括：所述数据流中报文的五元组、报文长度、报文类型、报文间隔、以及所述数据流的传输速度。

在该实现方式中，采用报文的五元组、报文长度、报文类型、报文间隔、以及所述数据流的传输速度等作为业务类型识别的参数，能够保证识别的准确性。

可选地，所述获取接收到的各路数据流的特征信息，包括：

获取各个报文的五元组、接收时间、报文长度和报文类型；

基于所述各个报文的接收时间，确定所述报文间隔；

基于所述各个报文的接收时间和报文长度，确定所述数据流的传输速度。

在该实现方式中，通过从报文中提取报文的五元组、接收时间和报文长度，然后通过计算的方式得到报文间隔及传输速度，从而得到各项特征信息。

可选地，所述基于所述数据流的特征信息，分别确定每一路所述数据流的业务类型，包括：

根据第一数据流中所述报文的五元组进行所述业务类型的识别，所述第一数据流为所述各路数据流中的任一路；

若未能识别出所述第一数据流的业务类型，则根据所述第一数据流中报文的报文长度、报文类型、报文间隔、以及所述第一数据流的传输速度进行所述业务类型的识别。

在该实现方式中，业务类型识别可以由两个模块一起完成识别，一个模块根据地址数据(五元组)识别业务类型，也即地址识别模块，另一个根据报文传输产生的行为数据(报文长度、报文间隔、传输速度)识别业务类型，也即行为识别模块。这里，地址识别模块的优先级高于行为识别模块，所以该业务类型识别模型在在工作时，可以先由地址识别模块进行业务类型识别，如果识别出来则无需再通过行为识别模块进行识别，但地址识别可能存在该模块不能识别的地址，此时采用行为识别。这种实现方式，一方面可以保证识别准确率，另一方面可以保证对每路数据流完成识别。

可选地，所述根据所述报文长度、报文类型、报文间隔、以及所述数据流的传输速度进行所述业务类型的识别，包括：将所述第一数据流中报文的报文长度、报文类型、报文间隔、以及所述第一数据流的传输速度输入机器学习模型；获取所述机器学习模型输出的业务类型。

可选地，所述方法还包括：

获取训练样本；

采用所述训练样本训练机器学习模型，得到所述行为识别模块。

在该实现方式中，行为识别模块采用的是卷积神经网络模型或梯度下降树模型，可以保证识别的准确性。

可选地，所述基于所述各路数据流的业务类型、以及所述数据流的特征信息，确定每一路所述数据流的应用类型，包括：

将所述各路数据流的业务类型、以及所述各路数据流的特征信息输入到应用类型识别模型；

获取所述应用类型识别模型输出的所述各路数据流的应用类型。

在该实现方式中，采用事先构建好的应用类型识别模型来识别各路数据流的应用类型，过程方便，且识别采用的是数据流的业务类型和特征信息，能够保证识别的准确性。

可选地，所述应用类型识别模型为决策树模型或子图匹配模型。

在该实现方式中，应用类型识别模型采用的是决策树模型，可以保证识别的准确性；同时采用决策树模型识别应用类型，算法简单，效率高。

第二方面，本申请的至少一实施例提供了一种流量识别装置，所述装置包括：

获取单元，被配置为获取接收到的各路数据流的特征信息；

第一识别单元，被配置为基于所述数据流的特征信息，分别确定每一路所述数据流的业务类型；

第二识别单元，被配置为基于所述各路数据流的业务类型、以及所述数据流的特征信息，确定每一路所述数据流的应用类型。

可选地，所述数据流的特征信息包括：所述数据流中报文的五元组、报文长度、报文类型、报文间隔、以及所述数据流的传输速度。

可选地，所述获取单元，被配置为获取各个报文的五元组、接收时间、报文长度和报文类型；基于所述各个报文的接收时间，确定所述报文间隔；基于所述各个报文的接收时间和报文长度，确定所述数据流的传输速度。

可选地，所述第一识别单元，被配置为根据第一数据流中所述报文的五元组进行所述业务类型的识别，所述第一数据流为所述各路数据流中的任一路；若未能识别出所述第一数据流的业务类型，则根据所述第一数据流中报文的报文长度、报文类型、报文间隔、以及所述第一数据流的传输速度进行所述业务类型的识别。

可选地，所述第一识别单元，被配置为将所述第一数据流中报文的报文长度、报文类型、报文间隔、以及所述第一数据流的传输速度输入机器学习模型；获取所述机器学习模型输出的业务类型。

可选地，所述装置还包括：

训练单元，被配置为获取训练样本；采用所述训练样本训练机器学习模型。

可选地，所述第二识别单元，被配置为将所述各路数据流的业务类型、以及所述各路数据流的特征信息输入到应用类型识别模型；获取所述应用类型识别模型输出的所述各路数据流的应用类型。

可选地，所述应用类型识别模型为决策树模型或子图匹配模型。

第三方面，本申请的至少一实施例提供了一种流量识别装置，所述流量识别装置包括处理器和存储器；所述存储器用于存储软件程序以及模块，所述处理器通过运行或执行存储在所述存储器内的软件程序和/或模块实现上述第一方面的任一种可能的实施方式中的方法。

可选地，所述处理器为一个或多个，所述存储器为一个或多个。

可选地，所述存储器可以与所述处理器集成在一起，或者所述存储器与处理器分离设置。

在具体实现过程中，存储器可以为非瞬时性(non-transitory)存储器，例如只读存储器(read only memory，ROM)，其可以与处理器集成在同一块芯片上，也可以分别设置在不同的芯片上，本申请实施例对存储器的类型以及存储器与处理器的设置方式不做限定。

第四方面，本申请的至少一实施例提供了一种计算机程序(产品)，所述计算机程序(产品)包括：计算机程序代码，当所述计算机程序代码被计算机运行时，使得所述计算机执行上述第一方面的任一种可能的实施方式中的方法。

第五方面，本申请的至少一实施例提供了一种计算机可读存储介质，所述计算机可读存储介质用于存储处理器所执行的程序代码，所述程序代码包括用于实现上述第一方面的任一种可能的实施方式中的方法。

第六方面，提供了一种芯片，包括处理器，处理器用于从存储器中调用并运行所述存储器中存储的指令，使得安装有所述芯片的通信设备执行上述第一方面的任一种可能的实施方式中的方法。

第七方面，提供另一种芯片，包括：输入接口、输出接口、处理器和存储器，所述输入接口、输出接口、所述处理器以及所述存储器之间通过内部连接通路相连，所述处理器用于执行所述存储器中的代码，当所述代码被执行时，所述处理器用于执行上述第一方面的任一种可能的实施方式中的方法。

附图说明

图1是本申请实施例提供的一种应用场景的示意图；

图2是本申请实施例提供的网络设备的结构示意图；

图3是本申请实施例提供的一种流量识别方法的流程图；

图4是本申请实施例提供的另一种流量识别方法的流程图；

图5是本申请实施例提供的一种业务类型识别模型的结构示意图；

图6是本申请实施例提供的一种决策树模型的示意图；

图7是本申请实施例提供的一种行为识别模块训练方法的流程图；

图8是本申请实施例提供的一种流量识别装置的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。

为便于对本申请实施例提供的技术方案的理解，首先介绍一下本申请的应用场景。

图1是本申请实施例所提供的应用场景的示意图。参见图1，在该场景中包括用户设备100、服务器200和网络300。其中，用户设备100与服务器200通过网络300进行数据交互，传输具体应用所需流量。

本申请所涉及到的用户设备100可以包括手持设备、车载设备、可穿戴设备、计算设备或连接到无线调制解调器的其它设备，以及云设备，终端(terminal)，终端设备(Terminal Equipment)，监控设备，服务器等等。

本申请所涉及到的网络300可以包括多个网络设备，例如路由器、网关等。该网络300中的网络设备可以用于执行本申请所提供的流量识别方法。

图2为前述网络设备的一种可能的硬件结构示意图。如图2所示，网络设备包括处理器10、存储器20以及通信接口30。本领域技术人员可以理解，图2中示出的结构并不构成对该网络设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。其中：

处理器10是网络设备的控制中心，利用各种接口和线路连接整个网络设备的各个部分，通过运行或执行存储在存储器20内的软件程序和/或模块，以及调用存储在存储器20内的数据，执行网络设备的各种功能和处理数据，从而对网络设备进行整体控制。处理器10可以是CPU，还可以是其他通用处理器、数字信号处理器(digital signal processing，DSP)、专用集成电路(application specific integrated circuit，ASIC)、现场可编程门阵列(field－programmable gate array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者是任何常规的处理器等。值得说明的是，处理器可以是支持进阶精简指令集机器(advanced RISC machines，ARM)架构的处理器。

存储器20可用于存储软件程序以及模块。处理器10通过运行存储在存储器20的软件程序以及模块，从而执行各种功能应用以及数据处理。存储器20可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统21、获取模块22、第一识别模块23、第二识别模块24和一个或多个功能所需的应用程序25(比如识别数据流的业务类型等)等；存储数据区可存储根据UE或者目标服务器的使用所创建的数据(比如业务类型识别模型等)等。该存储器20可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，ROM)、可编程只读存储器(programmable ROM，PROM)、可擦除可编程只读存储器(erasable PROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(random access memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用。例如，静态随机存取存储器(static RAM，SRAM)、动态随机存取存储器(dynamic random access memory，DRAM)、同步动态随机存取存储器(synchronousDRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(double data date SDRAM，DDRSDRAM)、增强型同步动态随机存取存储器(enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(direct rambusRAM，DR RAM)。相应地，存储器20还可以包括存储器控制器，以提供处理器10对存储器20的访问。

其中，处理器20通过运行获取模块22执行以下功能：获取接收到的各路数据流的特征信息；处理器20通过运行第一识别模块23执行以下功能：基于数据流的特征信息，分别确定每一路数据流的业务类型；处理器20通过运行第二识别模块24执行以下功能：基于各路数据流的业务类型、以及数据流的特征信息，确定每一路数据流的应用类型。

本申请实施例还提供了一种芯片，包括处理器，处理器用于从存储器中调用并运行存储器中存储的指令，使得安装有芯片的通信设备执行本申请提供的任一种的流量识别的方法。

本申请实施例还提供了一种芯片，包括：输入接口、输出接口、处理器和存储器，输入接口、输出接口、处理器以及存储器之间通过内部连接通路相连，处理器用于执行存储器中的代码，当代码被执行时，处理器用于执行上述任一种的流量识别的方法。

应理解的是，上述处理器可以是CPU，还可以是其他通用处理器、DSP、ASIC、FPGA或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者是任何常规的处理器等。值得说明的是，处理器可以是支持ARM架构的处理器。

进一步地，在一种可选的实施例中，上述处理器为一个或多个，存储器为一个或多个。可选地，存储器可以与处理器集成在一起，或者存储器与处理器分离设置。上述存储器可以包括只读存储器和随机存取存储器，并向处理器提供指令和数据。存储器还可以包括非易失性随机存取存储器。例如，存储器还可以存储设备类型的信息。

该存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是ROM、PROM、EPROM、EEPROM或闪存。易失性存储器可以是RAM，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用。例如，SRAM、DRAM、SDRAM、DDR SDRAM、ESDRAM、SLDRAM和DR RAM。

本申请提供了一种计算机程序，当计算机程序被计算机执行时，可以使得处理器或计算机执行本申请提供的任一种的流量识别的方法实施例中对应的各个步骤和/或流程。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线)或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid StateDisk)等。

图3是本申请实施例提供的一种流量识别方法的流程图。该方法可以由前述应用场景中的网络设备执行，如图3所示，该方法包括如下步骤。

步骤S31：获取接收到的各路数据流的特征信息。

这里，一路数据流是指用户设备和服务器之间传输某一种业务类型的报文所形成的数据流。业务类型是指该数据流中报文的类型。

例如，用户设备和服务器之间传输心跳报文形成心跳业务的数据流，用户设备和服务器之间传输用户数据报协议(User Datagram Protocol，UDP)游戏动作报文形成UDP动作业务的数据流。用户设备和服务器之间传输的数据流通常是双向的，即包括用户设备向服务器发送的报文，也包括服务器向用户设备发送的报文。

而对于用户设备的一个应用来说，可以同时产生多路数据流，这多路数据流可以是用户设备和同一个服务器之间产生的，也可以是用户设备和不同服务器之间产生的。

在本申请实施例中，数据流的特征信息可以包括数据流中报文的五元组、报文长度、报文类型、报文间隔、以及数据流的传输速度等。该数据流的特征信息不包括报文的具体数据，也即数据流识别时不依赖报文的内容，这样不会侵犯用户隐私，不会违反通用数据保护条例(General Data Protection Regulation，GDPR)等保护用户隐私的法案，保证本申请所提供的流量识别方案的合法性。

在其他实施例中，数据流的特征信息也可以包括更少的特征，例如包括五元组，以及报文长度、报文类型、报文间隔和数据流的传输速度中的部分特征。例如，在较小的网络或者局域网内，可以只采用报文长度、报文类型、报文间隔和数据流的传输速度中的一个或两个特征即可识别出各个数据流的应用类型。在其他实施例中，数据流的特征信息也可以包括更多的特征。

在上述数据流的特征信息中，报文长度、报文类型、报文间隔、以及数据流的传输速度等，通常可以采用特征信息一段时间内的平均值，当然也可以采用特征信息一段时间内的中间值、最大值或最小值等。或者，也可以采用这些特征信息的均方差作为参数，来进行后续识别。

其中，报文间隔是指网络设备收到两个同向(上行或下行)传输的报文的时间之差。在本申请实施例中，前述报文长度、报文类型、报文间隔、以及数据流的传输速度等均可以分为上行和下行两部分，例如报文长度可以分为上行报文长度和下行报文长度。上行是指从用户终端向服务器发送报文(例如UDP心跳请求报文、UDP单人动作上传报文)，下行是指从服务器向用户设备发送报文(例如UDP心跳答复报文、UDP多人状态下发报文)。

在其他实现方式中，数据流的特征信息还可以不限于上述五元组、报文长度、报文类型、报文间隔、以及传输速度，除了这些信息外还可以包括其他信息，本申请对此不做限制。

步骤S32：基于数据流的特征信息，分别确定每一路数据流的业务类型。

在本申请实施例中，可以根据每一路数据流的特征信息来确定每一路数据流的业务类型。

在本申请实施例中，该步骤可以包括：根据第一数据流中报文的五元组进行业务类型的识别，第一数据流为各路数据流中的任一路；

若未能识别出第一数据流的业务类型，则根据第一数据流中报文的报文长度、报文类型、报文间隔、以及第一数据流的传输速度进行业务类型的识别。

在该实现方式中，业务类型识别可以由两个模块一起完成识别，一个模块根据地址数据(五元组)识别业务类型，也即地址识别模块，另一个根据报文传输产生的行为数据(报文长度、报文间隔、传输速度)识别业务类型，也即行为识别模块。这里，地址识别模块的优先级高于行为识别模块，所以该业务类型识别模型在在工作时，可以先由地址识别模块进行业务类型识别，如果识别出来则无需再通过行为识别模块进行识别，但地址识别可能存在该模块不能识别的地址，此时采用行为识别。这种实现方式，一方面可以保证识别准确率，另一方面可以保证对每路数据流完成识别。

在该步骤中，确定出的业务类型是单路数据流中报文的类型，也即该步骤只确定出了数据流传输的是某个类型的业务的报文，但不确定该业务具体属于哪个应用。

例如，在步骤S32中，网络设备根据数据流的特征信息确定出该数据流的业务类型为心跳业务，但该心跳业务属于哪个应用此时还并未确定，需要进一步通过步骤S33来判断。

步骤S33：基于各路数据流的业务类型、以及数据流的特征信息，确定每一路数据流的应用类型。

这里，数据流的应用类型是指产生该数据流的应用的类型。例如，多人在线战术竞技游戏(Multiplayer Online Battle Arena，MOBA)、视频、直播等。

进一步地，这里除了确定出应用的类型外，还可以直接确定出应用的名称，例如具体是XX游戏，XX直播等。

在确定各个数据流的业务类型后，可以结合各个数据流的业务类型，以及各个数据流的特征信息，确定数据流的应用类型。

例如，当属于同一用户设备的数据流的业务类型包括心跳业务和UDP动作业务，且这两路数据流的特征信息满足MOBA游戏的数据流的特征信息特征时，可以确定这两路数据流的应用类型为MOBA游戏。

再例如，当属于同一用户设备的两路数据流的业务类型包括UDP音频业务和UDP视频业务，且这两路数据流的特征信息满足视频会议的数据流的特征信息特征时，可以确定这两路数据流的应用类型为视频会议。

又例如，当属于同一用户设备的两路数据流的业务类型包括直播请求业务和直播数据业务，且这两路数据流的特征信息满足视频直播的数据流的特征信息特征时，可以确定这两路数据流的应用类型为视频直播。

这里，在确定各个数据流的业务类型时，需要将属于同一用户设备的数据流进行匹配。属于同一用户设备的数据流是指上行报文中的源IP地址或者下行报文中的目的IP地址为该用户设备的IP地址。属于同一用户设备的数据流可以为一路也可以为多路，无论是一路或者多路，都能通过该步骤确定出应用类型。

并且，如果是多路数据流，这多路数据流可以属于同一个应用类型，也可以属于不同的应用类型。也即，步骤S33可以同时确定出一组或多组数据流的应用类型，每一组数据流对应一个应用，这一组数据流的应用类型相同，每一组数据流可以是一路也可以是多路。

在本申请实施例中，步骤S31-步骤S33可以由前述网络设备执行，该网络设备可以对属于不同用户设备的数据流均执行上述识别操作，然后再基于数据流所属的应用类型配置QoS优先级、实时选路、调节终端功率等，合理安排流量。

在本申请实施例中，通过数据流的特征信息先确定出该数据流的业务类型，然后再基于各个数据流的业务类型和各个数据流的特征信息，确定出各个数据流的应用类型。该方案在根据数据流的特征信息确定出业务类型后，再结合多个数据流的业务类型和特征信息确定出数据流的应用类型，由于不同应用所包括的数据流的业务类型可能不同，且不同应用中的同样业务类型的数据流的特征信息又可能不同，所以按照本申请的方案可以更加准确地识别出流量的应用类型，为后续流量传输配置方案做准备，以提高网络传输质量。

并且，这种做法可以对属于同一应用的不同业务类型的报文同时进行保障，例如MOBA游戏的心跳报文和UDP动作报文，从而保证用户的应用体验。

图4是本申请实施例提供的一种流量识别方法的流程图。该方法可以由前述应用场景中的网络设备执行，如图4所示，该方法包括如下步骤。

步骤S41：获取接收到的各路数据流的特征信息。

在步骤S31中已经对数据流以及数据流的特征信息进行过描述，可以参见步骤S31。

在本申请实施例中，步骤S41可以包括：获取各个报文的五元组、接收时间、报文长度和报文类型；基于各个报文的接收时间，确定报文间隔；基于各个报文的接收时间和报文长度，确定数据流的传输速度。

网络设备根据报文的五元组，从各个方向接收到的流量中筛选出各路数据流。这里，筛选时，主要是选择出源IP地址、目的IP地址及端口号相同的报文，这些报文即构成一路流量。

在确定出该各路数据流后，还可以将各路数据流排序，给每个数据流分配流标识，该流标识与五元组对应，在后续识别过程中采用流标识作为数据流的标识，更加方便。

在确定出各路数据流后，可以提取出各路数据流的五元组、接收时间、报文长度和报文类型，然后计算特征信息。

步骤S42：依次将每一路数据流的特征信息输入业务类型识别模型中。

在得到各路数据流的特征信息后，可以采用这些特征信息进行数据流的业务类型识别。这里，在识别时，是按照顺序串行完成的，也即每次输入一路数据流的特征信息，识别后再输入下一路数据流的特征信息。该顺序可以依据前述数据流的序号来实现。每一路数据流的特征信息可以并行输入到业务类型识别模型中。

在本申请实施例中，可以采用业务类型识别模型识别各个数据流的业务类型。

图5是本申请实施例提供的一种业务类型识别模型的结构示意图。参见图5，该业务类型识别模型400包括：地址识别模块401和行为识别模块402。地址识别模块401的优先级高于行为识别模块402，先使用地址识别模块401进行业务类型识别，如果未能识别则使用行为识别模块402识别，如果地址识别模块401能够识别，则无需使用行为识别模块402。地址识别模块401用于采用报文的五元组识别业务类型，行为识别模块402用于采用报文长度、报文类型、报文间隔、以及数据流的传输速度识别业务类型。

该步骤可以包括：将第一数据流中报文的五元组输入地址识别模块中进行业务类型的识别，第一数据流为各路数据流中的任一路；若地址识别模块能够输出第一数据流的业务类型，则执行步骤S43。

若地址识别模块未能输出第一数据流的业务类型，则将第一数据流中报文的报文长度、报文类型、报文间隔、以及第一数据流的传输速度输入行为识别模块进行业务类型的识别，然后执行步骤S43。

在按照上述完成一路数据流的识别后，再进行另一路数据流的识别。

具体地，地址识别模块可以采用五元组中的目的IP地址、端口号(源端口号、目的端口号)和协议号来识别业务类型。行为识别模块可以传输数据中的行为数据来进行识别，例如采用报文长度(上行报文长度、下行报文长度)、报文间隔(上行报文间隔、下行报文间隔)、传输速度(上行传输速度、下行传输速度)等进行识别。

在该实现方式中，业务类型识别模型由两个模块组成，一个模块根据地址数据(五元组)识别业务类型，另一个根据报文传输产生的行为数据(报文长度、报文间隔、传输速度)识别业务类型。这里，地址识别模块的优先级高于行为识别模块，该业务类型识别模型在在工作时，可以先由地址识别模块进行业务类型识别，如果识别出来则无需再通过行为识别模块进行识别；但地址识别可能存在该模块不能识别的地址，此时采用行为识别。这种实现方式，一方面可以保证识别准确率，另一方面可以保证对每路数据流完成识别。

这里不能识别既可以是因为该模块中没有该地址的信息，也可能是识别出该地址对应多个业务类型，这两种情况都可以算作未识别出业务类型，可以采用行为识别模块来识别。

在本申请实施例中，行为识别模块可以为机器学习模型。例如，卷积神经网络(Convolutional Neural Networks，CNN)模型、梯度下降树(Gradient Boosting DecisionTree，GBDT)模型、支持向量机(Support Vector Machine，SVM)模型或者随机森林(RandomForest，RM)模型。也即，将第一数据流中报文的报文长度、报文类型、报文间隔、以及第一数据流的传输速度输入行为识别模块进行业务类型的识别，包括：将第一数据流中报文的报文长度、报文类型、报文间隔、以及第一数据流的传输速度输入机器学习模型进行业务类型的识别。

在其他实施例中，该行为识别模块也可以为其他类型的神经网络模型。

地址识别模块可以采用事先分析的方式构建，该方案能够涵盖的地址有限，所以，在识别时就可能会出现地址识别模块无法识别的情况，此时采用行为识别模块进行识别。

这里，地址识别模块构建的方式如下：通过访问各种应用、网页，得到各种业务类型的数据流的五元组，基于得到的业务类型和五元组的对应关系，得到地址识别模块。

步骤S43：获取业务类型识别模型输出的每一路数据流的业务类型。

这里的业务类型指示的是应用传输的数据流所对应的业务，例如UDP视频业务、UDP音频业务等。

步骤S44：将各路数据流的业务类型、以及各路数据流的特征信息输入到应用类型识别模型。

在得到各路数据流的业务类型后，可以采用各路数据流的业务类型及特征信息识别各个数据流的应用类型。

在本申请实施例中，可以采用应用类型识别模型识别各个数据流的应用类型。

在本申请实施例中，应用类型识别模型可以为决策树模型。在其他实施例中，该应用类型识别模型也可以为其他类型模型，例如子图匹配模型等。

决策树模型可以包括多个层，每一层包括一种判决条件，每种判决条件对应一种特征信息或者对应应用所包括的单流业务类型，判决时按层的顺序依次判决，最终得到应用类型。

也即，在使用决策树模型进行识别时，该步骤可以包括：按照决策树模型中各层的判决条件及其先后顺序，对一路数据流的业务类型、以及数据流的特征信息进行判决，得到应用类型。

图6是本申请实施例提供的一种决策树模型的示意图，参见图6，先判断传输速度所处的范围，如果处于第一范围则走左边的分支，如果处于第二范围则走右边的分支，然后判决报文长度、包括的单流业务类型、报文间隔，直到得出应用类型。需要注意，不同分支下面同种类的判决条件的阈值可能相同，一个判决条件下面可能只有一条分支，这些都是根据分析各个应用的数据流得到的。

从图6可以看出，每个应用类型对应该决策树从根到最顶层节点之间的一条通路，每个应用类型对应的通路不同。不同的通路对应的数据流的业务类型、以及数据流的特征信息的至少部分不同。

例如，一条通路对应的判决条件为传输速度小于200Kbps、报文长度在80～200字节之间、业务类型同时包括心跳业务和UDP动作业务、报文间隔不限，该通路对应的应用类型为MOBA游戏，则该心跳业务和UDP动作业务对应的数据流的应用类型为MOBA游戏。

这里，在判断单流业务类型时，可以先确定出属于同一用户设备的数据流，然后根据这些数据流的业务类型，判断属于同一用户设备的数据流包括的业务类型是否满足判决条件。

判决树模型的结构及算法简单，能够快速查找出数据流对应的业务类型，因此采用判决树模型实现该步骤的识别，有利于减轻设备的负载和延迟。

该方法还可以包括：构建决策树模型。进一步地，构建决策树模型可以包括：获取各个应用类型的流量的特征信息的范围值以及所包括的单流业务类型；将获取到的各个应用类型的流量的特征信息的范围值以及所包括的单流业务类型，作为决策树模型的判决条件，生成决策树模型。

其中，获取各个应用类型的流量的特征信息的范围值以及所包括的单流业务类型的方式可以如下：先构建无干扰的流量环境，运行各种应用，对单个应用的流量构成进行分析，确定该应用的数据流的特征信息的数值范围，例如所包括的业务类型、报文长度、报文间隔、传输速度等，以及应用的数据流对应的业务类型。

然后，按照一定的顺序设定判决条件，并采用前述各个应用类型的流量的特征信息的范围值以及所包括的单流业务类型作为判决的阈值，形成决策树模型。这里的判决条件的顺序可以根据需要设计。

这里，决策树模型适用于与数据流较多的场景，这种场景下，采用决策树模型可以减少匹配时间，提高识别速度。而对于数据流数量较少的场景(如局域网)，可以直接对每种应用(数量较少)的数据流分析并形成模板，在识别时，将数据流的业务类型、以及数据流的特征信息依次与各个模板进行匹配，通过轮询的方式识别数据流的应用类型。

在该步骤中，网络设备既可以将获取到的各路数据流的业务类型和特征信息全部输入应用类型识别模型进行识别。

网络设备也可以只选取部分应用的数据流，然后将这部分应用的数据流的业务类型和特征信息输入应用类型识别模型进行识别。这种情况下，需要先确定出属于同一应用的数据流。

在本申请实施例中，确定属于同一应用的数据流可以包括：获取各个数据流的第一个报文的接收时间(也即数据流的起始时间)；确定第一个报文的接收时间的差值在设定范围内的数据流属于同一应用。

另外，虽然在本申请实施例的步骤S42和S44中使用的是同样的特征信息，但是可能在步骤S42识别时，该报文长度是在某个业务类型的数值范围内，而在步骤S44中，该报文长度是在某个应用类型的数值范围内，虽然使用的特征信息相同，但识别的阈值可能不同。例如，数据流中的报文长度为100比特，在业务类型识别时，由于该报文长度处于20-150比特，识别结果是该数据流为第一业务类型；在应用类型识别时，由于该报文长度处于80-200比特，识别结果是该数据流为第一应用类型。当然，这里只是举例，实际业务类型识别过程是由神经网络模型实现的，不会存在这样的一个明确的数值范围。在应用类型的识别时也不光考虑这一个参数。这里仅仅是为了说明同一特征信息在不同的识别步骤中的作用的差别。

步骤S45：获取应用类型识别模型输出的各路数据流的应用类型。

决策树模型在进行决策判断时，可以有如下两种方式：

决策树模型在判断应用类型时，即可有直接判断输入的信息所满足的判决条件的阈值，进而确定对应的分支，例如图6所示。

决策树模型也可以基于输入的信息和判决条件计算出属于各个分支的置信度，选择出置信度最高的分支。

在本申请实施例中，可以通过应用类型识别模型并行识别各个数据流的应用类型。在该步骤中，应用类型识别模型会输出各个数据流的应用类型，为了保证可以确定输出的应用类型属于谁，可以在输出应用类型时，绑定五元组或者数据流的序号。

在本申请实施例中，均可以执行步骤S41-S45可以由前述网络设备执行，该网络设备可以对属于不同用户设备的数据流均执行上述识别操作，然后再基于数据流所属的应用类型配置QoS优先级、实时选路、调节终端功率等，合理安排流量。

在本申请实施例中，网络设备通过业务类型识别模型和应用类型识别模型，来完成数据流的应用类型，识别准确度高。

图7是本申请实施例提供的一种行为识别模块训练方法的流程图，如图7所示，该方法可以在图4所提供的流量识别方法之前执行，该方法包括如下步骤：

步骤S51：获取训练样本。

这里训练样本包括多个样本，通过多个样本构建的训练样本库，作为后续模型训练的基础。

这里的训练样本可以在实验室中获得，例如，通过实验室产生各种应用类型的数据流，然后获取这些数据流的特征信息作为训练样本。当然，这里的训练样本也可以通过其他途径获得，本申请对此不做限制。

这里获取的数据流的特征信息就是行为识别模块所需的数据流的特征信息。

然后，对不同应用类型的报文进行标注，这里标注的目的是为了区分属于不同业务类型的训练样本。标注的方式可以是域名系统(Domain Name System，DNS)标签标注(例如采用统一资源定位符(Uniform Resource Locator，URL)标注)，也可以是固定地址标注(例如采用IP地址标注)。

步骤S52：采用样本数据训练行为识别模块。

如前，本申请的行为识别模块可以采用机器学习模型。也即，采用前述样本数据进行机器学习模型训练，得到行为识别模块。机器学习模型可以为CNN模型、GBDT模型、SVM模型或者RM模型。训练的具体方法可以采用常规的神经网络训练方法，例如反向传播(BackPropagation，BP)方法等。

图8是本申请实施例提供的一种流量识别装置的框图。该流量识别装置可以通过软件、硬件或者两者的结合实现成为网络设备的全部或者一部分。该流量识别装置可以包括：获取单元601、第一识别单元602和第二识别单元603。

其中，获取单元601被配置为获取接收到的各路数据流的特征信息；

第一识别单元602，被配置为基于数据流的特征信息，分别确定每一路数据流的业务类型；

第二识别单元603，被配置为基于各路数据流的业务类型、以及数据流的特征信息，确定每一路数据流的应用类型。

可选地，数据流的特征信息包括：数据流中报文的五元组、报文长度、报文类型、报文间隔、以及数据流的传输速度。

可选地，获取单元601，被配置为获取各个报文的五元组、接收时间、报文长度和报文类型；基于各个报文的接收时间，确定报文间隔；基于各个报文的接收时间和报文长度，确定数据流的传输速度。

可选地，第一识别单元602，被配置根据报文的五元组进行业务类的识别；若未能识别出第一数据流的业务类型，则根据第一数据流中报文的报文长度、报文类型、报文间隔、以及第一数据流的传输速度进行业务类型的识别。

可选地，第一识别单元602，被配置为将第一数据流中报文的报文长度、报文类型、报文间隔、以及第一数据流的传输速度输入机器学习模型；获取机器学习模型输出的业务类型。

可选地，该装置还包括：

训练单元604，被配置为获取训练样本；采用训练样本训练机器学习模型。

可选地，第二识别单元603，被配置为将各路数据流的业务类型、以及各路数据流的特征信息输入到应用类型识别模型；获取应用类型识别模型输出的各路数据流的应用类型。

可选地，应用类型识别模型为决策树模型或子图匹配模型。

需要说明的是：上述实施例提供的流量识别装置在进行流量识别时，仅以上述各功能单元的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元完成，即将设备的内部结构划分成不同的功能单元，以完成以上描述的全部或者部分功能。另外，上述实施例提供的流量识别装置与流量识别方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本申请的可选实施例，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应该以权利要求的保护范围为准。

Claims (18)

1.一种流量识别方法，其特征在于，所述方法包括：

获取接收到的各路数据流的特征信息；

基于所述数据流的特征信息，分别确定每一路所述数据流的业务类型；

基于所述各路数据流的业务类型、以及所述数据流的特征信息，确定每一路所述数据流的应用类型。

2.根据权利要求1所述的方法，其特征在于，所述数据流的特征信息包括：所述数据流中报文的五元组、报文长度、报文类型、报文间隔、以及所述数据流的传输速度。

3.根据权利要求2所述的方法，其特征在于，所述获取接收到的各路数据流的特征信息，包括：

获取各个报文的五元组、接收时间、报文长度和报文类型；

基于所述各个报文的接收时间，确定所述报文间隔；

基于所述各个报文的接收时间和报文长度，确定所述数据流的传输速度。

4.根据权利要求2或3所述的方法，其特征在于，所述基于所述数据流的特征信息，分别确定每一路所述数据流的业务类型，包括：

根据第一数据流中所述报文的五元组进行所述业务类型的识别，所述第一数据流为所述各路数据流中的任一路；

若未能识别出所述第一数据流的业务类型，则根据所述第一数据流中报文的报文长度、报文类型、报文间隔、以及所述第一数据流的传输速度进行所述业务类型的识别。

5.根据权利要求4所述的方法，其特征在于，所述根据所述第一数据流中报文的报文长度、报文类型、报文间隔、以及所述第一数据流的传输速度进行所述业务类型的识别，包括：

将所述第一数据流中报文的报文长度、报文类型、报文间隔、以及所述第一数据流的传输速度输入机器学习模型；

获取所述机器学习模型输出的业务类型。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

获取训练样本；

采用所述训练样本训练机器学习模型。

7.根据权利要求1至3任一项所述的方法，其特征在于，所述基于所述各路数据流的业务类型、以及所述数据流的特征信息，确定每一路所述数据流的应用类型，包括：

将所述各路数据流的业务类型、以及所述各路数据流的特征信息输入到应用类型识别模型；

获取所述应用类型识别模型输出的所述各路数据流的应用类型。

8.根据权利要求7所述的方法，其特征在于，所述应用类型识别模型为决策树模型或子图匹配模型。

9.一种流量识别装置，其特征在于，所述装置包括：

获取单元，被配置为获取接收到的各路数据流的特征信息；

第一识别单元，被配置为基于所述数据流的特征信息，分别确定每一路所述数据流的业务类型；

第二识别单元，被配置为基于所述各路数据流的业务类型、以及所述数据流的特征信息，确定每一路所述数据流的应用类型。

10.根据权利要求9所述的装置，其特征在于，所述数据流的特征信息包括：所述数据流中报文的五元组、报文长度、报文类型、报文间隔、以及所述数据流的传输速度。

11.根据权利要求10所述的装置，其特征在于，所述获取单元，被配置为获取各个报文的五元组、接收时间、报文长度和报文类型；基于所述各个报文的接收时间，确定所述报文间隔；基于所述各个报文的接收时间和报文长度，确定所述数据流的传输速度。

12.根据权利要求10或11所述的装置，其特征在于，所述第一识别单元，被配置为根据第一数据流中所述报文的五元组进行所述业务类型的识别，所述第一数据流为所述各路数据流中的任一路；若未能识别出所述第一数据流的业务类型，则根据所述第一数据流中报文的报文长度、报文类型、报文间隔、以及所述第一数据流的传输速度进行所述业务类型的识别。

13.根据权利要求12所述的装置，其特征在于，所述第一识别单元，被配置为将所述第一数据流中报文的报文长度、报文类型、报文间隔、以及所述第一数据流的传输速度输入机器学习模型；获取所述机器学习模型输出的业务类型。

14.根据权利要求13所述的装置，其特征在于，所述装置还包括：

训练单元，被配置为获取训练样本；采用所述训练样本训练机器学习模型。

15.根据权利要求9至11任一项所述的装置，其特征在于，所述第二识别单元，被配置为将所述各路数据流的业务类型、以及所述各路数据流的特征信息输入到应用类型识别模型；获取所述应用类型识别模型输出的所述各路数据流的应用类型。

16.根据权利要求15所述的装置，其特征在于，所述应用类型识别模型为决策树模型或子图匹配模型。

17.一种流量识别装置，其特征在于，所述流量识别装置包括处理器和存储器；所述存储器用于存储软件程序以及模块，所述处理器通过运行或执行存储在所述存储器内的软件程序和/或模块实现如权利要求1至8任一项所述的方法。

18.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质用于存储处理器所执行的程序代码，所述程序代码包括用于实现如权利要求1至8任一项所述的方法的指令。

Images