一种基于PFC关联分析的RDMA网络性能异常检测方法

本发明属于计算机网络安全领域，具体涉及一种基于pfc关联分析的rdma网络性能异常检测方法。

背景技术：

1、远程直接内存访问（remote direct memory access, rdma）技术因其极低的延迟和高效的cpu卸载能力，已成为构建高速网络基础设施的核心方案。rocev2是一种rdma协议，通过融合无损以太网，能够在保证高吞吐的同时提供微秒级的通信延迟，从而显著提升分布式应用的性能。

2、rdma的无损特性依赖于基于优先级的流量控制（priority-based flow control,pfc）机制。pfc通过在交换机端口出现拥塞时向上一跳交换机发送暂停帧，阻止数据包丢失。这种逐级反压的机制虽然在链路层保证了零丢包，却可能引发一系列严重的性能问题：队头（head-of-line, hol）阻塞、拥塞扩散以及pfc死锁，使得原本局部的拥塞迅速蔓延至整个网络。更为严峻的是，攻击者可以利用pfc背压发起低速率拒绝服务（low-rate denialof service, ldos）攻击，导致受攻击集群的性能下降。

3、现有针对rdma网络的异常检测方法主要分为两类。一类基于传统监控手段，通过设定静态阈值来判定异常。这类方法缺乏细粒度的pfc可见性，难以区分正常的流量突发与真正的拥塞事件，且无法定位造成拥塞的具体流，误报率高。另一类方法引入机器学习模型，直接对流的特征进行分类。虽然这类方法能够提高检测精度，但它们忽略了端口之间的依赖关系，导致异常根因定位不准确，并且在处理大量流时计算开销较高。

4、本发明提出一种基于pfc关联分析的rdma网络性能异常检测方法。该方法融合交换机端口遥测数据与流级遥测数据，通过端口暂停关联表确定需要重点分析的端口范围，并通过流贡献评分排序定位高贡献候选流，最后引入xgboost模型对候选流进行精细分类，区分真正导致异常的流与正常突发流。

技术实现思路

1、本发明针对rdma网络中由pfc机制引发的性能异常检测与定位问题，提出一种基于pfc关联分析的rdma网络性能异常检测与定位方法。该方法可以被部署在网络分析器上并对rdma网络性能异常进行有效检测与定位，实现高精度和低误报的检测。

2、本发明为实现上述目标所采用的技术方案为：该rdma中基于pfc关联分析的网络性能异常检测方法主要包括五个步骤：遥测数据收集、pfc关联分析、异常范围确定、拥塞贡献流选择和异常流检测。

3、1. 遥测数据收集。在交换机出口管道部署多窗口轮换机制，以pfc暂停帧的到达作为采集触发信号，同步获取端口级与流级两类遥测数据。其中端口级数据侧重刻画pfc状态与端口间的流量依赖，流级数据则记录每条流的数据包总量、入队深度及其遭遇pfc暂停的频次。对于小流量端口中的流，采用最小计数草图（count-min sketch, cms）结构进行近似统计以减少存储开销。采集窗口利用数据包48位纳秒级时间戳进行划分，通过窗口索引与窗口id的回绕检测机制确保不同窗口数据不会混淆，实现连续无中断的pfc感知测量。

4、2. pfc关联分析。分析器接收各交换机上报的遥测数据，以交换机端口为索引建立端口暂停关联表和流贡献评分表。端口暂停关联表按时间窗口记录端口的pfc暂停包数、队列深度以及与上、下游端口对应的流量比值；流贡献评分表以端口和流的标识符为联合索引，结合流的暂停数据包数、激活因子、速率因子、缓冲区占比因子和暂停率因子计算流贡献分数。所述关联表每0.5ms更新一次，为后续的精细分析提供依据。

5、3. 异常范围确定。分析器根据端口暂停关联表确定异常端口范围。当某端口在连续预设数量的时间窗口内，其pfc暂停包数超过阈值、队列深度持续增长且暂停状态保持激活时，将该端口标记为关键端口。对于关键端口，根据其与上游端口、下游端口之间的流量比值以及相邻端口的pfc暂停状态确定关联端口；若关联端口在相同或相邻时间窗口内同时出现暂停包数增加，则将该关联端口并入异常检测范围，由关键端口及其关联端口组成待检测端口集合。后续流贡献评分归一化和候选流筛选仅针对待检测端口集合执行。

6、4. 拥塞贡献流选择。对关键端口上所有流贡献评分执行最小–最大归一化，将其映射至[0,1]区间，然后以0.75为阈值筛选出高贡献流。该阈值的设定兼顾了检测精度与计算效率：过低的阈值会引入大量无关背景流增加后续分类模块的负担，过高的阈值则可能遗漏具有间歇性特征的异常流。候选流集合中同时包含导致异常的流和正常的微突发流，有待下一步的精细分类进行区分。

7、5. 异常流检测。提取候选流的五类特征：平均流速率、平均包大小、ip信息熵方差、平均包间隔、队列增长斜率，使用xgboost分类模型进行二分类，区分导致异常的流与正常突发流。

8、有益效果

9、本发明提出的rdma中基于pfc关联分析的网络性能异常检测方法，通过对pfc暂停状态、端口队列以及流贡献分数的关联分析，确定需要重点分析的端口和候选流，实现对rdma网络性能异常的检测与定位。通过基于贡献评分阈值的流筛选机制，显著减少了输入到机器学习模型的流数量，降低了检测开销。通过提取五类流级特征，并采用xgboost模型进行二分类，能够有效区分导致异常的流与正常突发流，具有较高的检测精度和较低的误报率。

1.一种基于pfc关联分析的rdma网络性能异常检测方法，其特征在于，该方法以pfc暂停帧为触发条件，采集端口级和流级遥测数据，对端口暂停状态与流级贡献指标进行关联分析，以确定异常检测范围和候选流，并基于拥塞贡献流筛选和异常流分类实现异常检测与定位；所述网络性能异常检测方法包括以下几个步骤：

2.根据权利要求1中所述的网络性能异常检测方法，其特征在于，步骤2中，流贡献评分由激活因子、速率因子、缓冲区占比因子、暂停率因子决定，这四项因子的计算公式如下：

3.根据权利要求1中所述的网络性能异常检测方法，其特征在于，步骤5中，提取的多维特征包括：平均流速率，定义为窗口内流的总字节数除以窗口时长；平均包大小，定义为窗口内流的总字节数除以总包数；ip信息熵方差，定义为各窗口内ip地址分布熵值的方差；平均包间隔，定义为相邻数据包到达时间差的平均值；队列增长斜率，定义为队列深度变化量与采样间隔之比。