可编程网络异常检测及定位方法研究.pdfVIP

摘要

摘要

网络异常是指网络服务或设备无法正常运行的状态，异常在网络中时有发生，

可能导致网络服务中断，甚至引发网络瘫痪，造成巨大损失。因此，及时有效地检

测和定位异常对于确保网络高效运行至关重要。传统网络架构由于缺乏灵活的控

制和测量能力，异常检测精确度受限。相比之下，可编程网络架构具有可编程性和

全局控制能力，为实现细粒度的异常检测和定位提供了基础。然而由于网络流量

数量极大且交换机计算及存储资源有限，实现细粒度的异常检测与定位仍具有挑

战性。因此本文通过监测可编程网络中细粒度流（如，TCP/UDP）的传输性能指

标（包括丢包率、时延等）异常，快速发现和定位网络异常，本文主要工作如下：

在网络中，部分故障具有非常强的隐蔽性和偶然性，不会产生明确的警告，这

种现象被称为“灰色故障”，其显著特征是会发生数据包丢失。此类故障的检测与

定位耗时长，给网络运营商带来了难以预测的损失。因此，快速检测和准确定位

灰色故障十分重要。现有方案通常需要专用协议支持，采用上下游多次计数对比

的方式来定位受到影响的流量集合，开销大、可扩展性差。因此，本文第三章针

对可编程网络场景，提出了一种层次化的异常检测及定位方案，通过逐层检测的

方式减小测量开销，能实现细粒度的异常检测及定位。具体而言，该方案首先定

位到异常链路，再从异常链路中筛选出可疑异常流，最后采用哈希表来测量和发

现异常流，该方法开销小，可实现性和可扩展性好。结果表明，本章提出的方案

具有较高的准确性且需要较少的交换机内存开销。

对于非丢包异常，可编程交换机可以通过带内网络遥测（INT）技术将完整的

检测信息添加到其转发的数据包中，进而实现细粒度检测。然而，INT技术会造

成显著额外开销，包括因数据包增长而产生的开销，以及因交换机向INT服务器

发送信息所引发的开销。现有方案在交换机中利用sketch记录检测信息，通过减

小数据包头部长度以及减少向INT服务器发送的遥测信息，减小额外开销，但由

于哈希冲突，sketch不可避免地会产生记录误差，导致检测精度受限。因此，本文

第四章提出了一种基于轻量级INT的异常检测及定位方案，在交换机中用哈希表

记录异常信息，并在产生冲突时将异常信息添加到数据包内，交付下一跳交换机

记录，仅当数据平面无法记录时，才上报至INT服务器。实验结果表明，本章提

出的方案能精确记录流级别的时延异常，且能有效减小INT技术带来的额外开销。

关键词：可编程网络，异常检测，异常定位，带内网络遥测

I

ABSTRACT

ABSTRACT

Networkanomalyisastateinwhichanetworkserviceordevicefailstooperate

normally.Anomaliesoccurfromtimetotimeinthenetwork,whichmayleadtothein-

terruptionofnetworkservices,oreventriggernetworkparalysis,resultinginhugelosses.

Therefore,timelyandeffectivedetectionandlocalizationofanomaliesiscriticaltoen-

sureefficientnetworkoperation.Traditionalnetworkarchitectureshavelimitedanomaly

detectionaccuracyduetothelackofflexiblecontrolandmeasurementcapabilities.Incon-

trast,programmablenetworkarchitectures,withtheirprogrammabilityandglobalcontrol

capabilities,providethebasisforfine-grainedanomalydetectionandlocaliza