技術(shù)部分創(chuàng)新點新產(chǎn)品

1、第二章 項目技術(shù)方案與創(chuàng)新性一、項目的技術(shù)原理項目的技術(shù)原理1、技術(shù)依托本項目產(chǎn)品的研發(fā)是在本公司研發(fā)團隊在綜合比較國內(nèi)外相關(guān)產(chǎn)品技術(shù)情況的基礎(chǔ)上，充分借鑒國內(nèi)外先進技術(shù)成果，并緊跟技術(shù)發(fā)展趨勢而開發(fā)的具有自主知識產(chǎn)權(quán)的產(chǎn)品，該項目的立項依托了：（1）國內(nèi)外同類的產(chǎn)品先進技術(shù)；（2）國內(nèi)外相關(guān)技術(shù)成果；（3）國內(nèi)外相關(guān)論文及專利。具體參考了以下材料：1孫瑋，無線充電，經(jīng)濟學人，20092馬勇，無線充電，龍源電子期刊，20083魏坤、王衛(wèi)潔，自制無線充電器，無線電，20084王傳亮，無線充電技術(shù)簡介及其監(jiān)管機制思考，人民郵電出版社，20115黃潔琳，無線充電器設(shè)計，山西電子技術(shù)，20096郭言平

2、，無線充電的關(guān)鍵技術(shù)和研究，合肥學院學報，20127白旭，基于無線充電的無線傳感網(wǎng)LEACH算法改進，武漢理工大學學報，20108肖志堅，關(guān)于便攜式電子設(shè)備新型無線充電系統(tǒng)的研究，自動化技術(shù)和應用，20079郭言平，無線充電技術(shù)持續(xù)發(fā)展，數(shù)字通訊，201010洪枚，無線充電-未來的充電模式，電動自行車，201011謝利濤，無線充電技術(shù)及其應用，河南科技，201112劉陽春，無線充電設(shè)備WILD CHARGE ，電世界，201113韓霜，無線充電,開啟移動設(shè)備充電新紀元 ，世界電子元器件，201114大秋，無線充電解決方案 ，軍民兩用技術(shù)與產(chǎn)品，20112、技術(shù)原理s 項目總體技術(shù)原理統(tǒng)計分析模

3、塊數(shù)據(jù)展現(xiàn)模塊DPI協(xié)議識別模塊策略控制模塊QoS流量控制模塊session流建立模塊網(wǎng)絡(luò)報文入口已識別未識別網(wǎng)絡(luò)報文出口內(nèi)核實現(xiàn)網(wǎng)絡(luò)流量控制與應用優(yōu)化產(chǎn)品可以控制網(wǎng)絡(luò)中s所有網(wǎng)絡(luò)應用和優(yōu)化網(wǎng)絡(luò)中的關(guān)鍵業(yè)務，能在復雜的網(wǎng)絡(luò)環(huán)境中，控制不同的業(yè)務流走不同的通道，關(guān)鍵的業(yè)務走可靠的通道并保證服務質(zhì)量，并且在網(wǎng)絡(luò)擁塞的情況下，動態(tài)調(diào)整數(shù)據(jù)傳輸，使得網(wǎng)絡(luò)資源得以優(yōu)化運用。本項目正是基于這種思想而實施的，其操作系統(tǒng)體系構(gòu)架框圖如下：其產(chǎn)品功能實現(xiàn)的具體步驟為：第一步：對網(wǎng)絡(luò)報文進行流控制，分類到每個session中，即：根據(jù)源IP、目的IP、協(xié)議號、源端口、目的端口五元組，為每個session的key。

4、第二步：對報文進行應用層協(xié)議識別，即用DPI技術(shù)，對應用層報文進行業(yè)務的識別工作。通過這兩步可以將報文根據(jù)用戶、應用和業(yè)務進行分類，利用網(wǎng)絡(luò)流量控制中的策略設(shè)置，對用戶、應用、vlan、時間等條件進行流量的管理。再次通過QoS來時帶寬的優(yōu)化工作，主要包括限速和流量整形兩部分工作。限速：對不同類別的流量按照用戶設(shè)置進行保證用戶的關(guān)鍵業(yè)務流量占用的帶寬，抑制非關(guān)鍵業(yè)務對網(wǎng)絡(luò)的影響；整形：為了讓網(wǎng)絡(luò)瓶頸的各類數(shù)據(jù)流平緩的注入主干網(wǎng)，減少數(shù)據(jù)包的邊緣網(wǎng)關(guān)排隊等待時間，從而減少了邊緣網(wǎng)關(guān)緩存的大小以及數(shù)據(jù)包的丟失率。整形能夠降低或避免擁塞的發(fā)生，保證網(wǎng)絡(luò)的穩(wěn)定性。最后流量統(tǒng)計和數(shù)據(jù)的展現(xiàn)，給用戶提供圖形

5、化的流量信息分析展現(xiàn)，能夠讓用戶對自己的網(wǎng)絡(luò)完全了解。以下為各模塊功能的實現(xiàn)及原理：（1）Session流建立模塊本模塊主要是通過模塊中的算法軟件，根據(jù)TCP/IP協(xié)議規(guī)定，IP報根據(jù)源IP、目的IP、協(xié)議號、源端口、目的端口五元組，從而找到相關(guān)鏈接和傳播方向，我們利用RBTree技術(shù)將五元組相同的報文歸屬于同一個流的報文，利用Session將這些報文聯(lián)系起來，為數(shù)據(jù)分流提供依據(jù)。（2） DPI協(xié)議識別模塊本模塊利用深度數(shù)據(jù)包檢測DPI技術(shù)，DPI技術(shù)在分析包頭的基礎(chǔ)上，增加了對應用層的分析，是一種基于應用層的流量檢測和控制技術(shù)，當IP數(shù)據(jù)包、TCP或UDP數(shù)據(jù)流經(jīng)過基于DPI技術(shù)的網(wǎng)絡(luò)設(shè)備時

6、，DPI引擎通過深入讀取IP包載荷的內(nèi)容來對OSI 7層協(xié)議中的應用層信息進行重組，從識別出IP包的應用層協(xié)議。這是通過對一系列數(shù)據(jù)包的包頭以及負載中的簽名特征(Signature)進行分析，同時DPI提供了對網(wǎng)絡(luò)的利用率的分析，為網(wǎng)絡(luò)性能優(yōu)化提供了手段。例如下圖，顯示了一個數(shù)據(jù)包的結(jié)構(gòu)；如果只是通過常見的HTTP應用簽名特征進行判斷， 就很容易將它誤判為一個Web 訪問的應用。因為如果我們只觀察第一個簽名特征樣本（例如HTTP/1.1），那么它看上去很像是一個標準的HTTP協(xié)議。然而通過對數(shù)據(jù)包的負載部分的進一步深入考察，我們發(fā)現(xiàn)了該數(shù)據(jù)包具有的第二個代碼樣本簽名特征，即KaZaA，這樣我們

7、就能夠了解這個數(shù)據(jù)包的真實身份和目的。有時候，不同的代碼樣本簽名特征是分散在一次協(xié)議會話的多個數(shù)據(jù)包之中的。為了能夠準確的對應用進行識別，就必須使用精密的第7層協(xié)議偵測系統(tǒng)對往來的數(shù)據(jù)包進行分析，從而實現(xiàn)與應用代碼樣本匹配。（3） 策略控制模塊 本模塊利用多維樹算法實現(xiàn)了內(nèi)置靈活的、高效的應用層防火墻策略控制方法。應用層防火墻通過將傳統(tǒng)防火墻的訪問控制策略深化到應用層面，管理員可以實現(xiàn)基于應用優(yōu)先級、源IP地址、目標IP地址、VLAN、時間段、協(xié)議或協(xié)議組、動作、會話數(shù)、帶寬的進出通道等靈活的帶寬流量控制和應用優(yōu)化功能，管理員可以根據(jù)上述參數(shù)對網(wǎng)絡(luò)流量進行劃分，并確定如何有效、合理地進行帶寬的

8、管理與控制。（4） QoS流量控制模塊本模塊采用令牌桶(tocken bucket)機制實現(xiàn)的一種流量控制方法。帶寬控制和應用優(yōu)化系統(tǒng)使用的流量整形對CAR中需要丟棄的報文進行緩存當令牌桶中的令牌少到報文不能發(fā)送時，報文將被緩存入流量整形隊列中。當流量整形隊列中有報文的時候，流量整形按一定的周期從隊列中取出報文來發(fā)送，每次發(fā)送都會與令牌桶中的令牌數(shù)作比較，直到令牌桶總的令牌數(shù)減少到隊列中的報文不能再發(fā)送或者是隊列中的報文全部發(fā)送完畢為止。該產(chǎn)品使用的帶寬流量管理和分配算法，提供自定義的虛擬帶寬通道、最大帶寬限制、保證帶寬、帶寬租借、Per-IP帶寬控制、Vlan帶寬控制、時間、應用優(yōu)先級以及隨

9、機公平隊列等一系列的應用優(yōu)化和帶寬管理控制功能。強大的應用層優(yōu)化策略將網(wǎng)絡(luò)帶寬的管理從被動的、消極的、無效的傳統(tǒng)模式提升到主動的、有效的、智能化的帶寬管理服務，最終達到保證關(guān)鍵應用正常運行的目標，有效地提升用戶網(wǎng)絡(luò)的運維、管理水平。 基于協(xié)議或應用組的帶寬保障和控制：流量控制和應用優(yōu)化系統(tǒng)支持組對象的配置，如：用戶可以自定義組(IP組)、協(xié)議組、時間組，方便用戶根據(jù)不同類型的應用、IP、時間等帶寬管理策略的控制。帶寬控制策略：流量控制和應用優(yōu)化系統(tǒng)基于源/目的IP、時間段、VLAN、應用協(xié)議、進入/出去帶寬通道等參數(shù)管理和控制用戶的網(wǎng)絡(luò)帶寬流量。（5） 統(tǒng)計分析和實時數(shù)據(jù)展現(xiàn)模塊統(tǒng)計分析模塊利

10、用了hash、樹、鏈表等算法的結(jié)合，能夠利用報文中IP信息，一次性定位到需要統(tǒng)計的單元數(shù)據(jù)中，實現(xiàn)高效的查詢統(tǒng)計功能。實時數(shù)據(jù)展現(xiàn)模塊采用應用實時系統(tǒng)（Application Real-Time Analyzer System）實現(xiàn)網(wǎng)絡(luò)的可視化。ARAS采用Java Swing構(gòu)架，提供了實時流量采集、分析和展現(xiàn)功能。本產(chǎn)品使用一套自主分析算法實現(xiàn)網(wǎng)絡(luò)信息的實時統(tǒng)計?；趯W(wǎng)絡(luò)報文的分析方法，即以網(wǎng)絡(luò)層分析和傳輸層分析為基礎(chǔ)，可以實現(xiàn)以IP、網(wǎng)段、端口、連接信息的實時統(tǒng)計和實時速率展現(xiàn)；基于以應用協(xié)議分析為基礎(chǔ)，可以提供應用、應用組的各類實時報表。將多種分析方法相互結(jié)合，可以展現(xiàn)出應用、應用組

11、、網(wǎng)段、IP等相互組合的實時分析數(shù)據(jù)，通道流量、設(shè)備運行的實時數(shù)據(jù)，讓用戶可以全面的掌控網(wǎng)絡(luò)帶寬的使用情況，使網(wǎng)絡(luò)運行狀況、應用使用情況、帶寬使用情況等完全可視化。二、項目國內(nèi)外研究開發(fā)現(xiàn)狀項目國內(nèi)外研究開發(fā)現(xiàn)狀一、國內(nèi)外技術(shù)開發(fā)總體現(xiàn)狀網(wǎng)絡(luò)數(shù)據(jù)流量監(jiān)控及優(yōu)化技術(shù)經(jīng)過近幾年的發(fā)展，技術(shù)越來越成熟，已經(jīng)達到實用的地步。目前，國內(nèi)外已經(jīng)有多種產(chǎn)品面世，但總體表現(xiàn)出國外產(chǎn)品質(zhì)量、性能明顯優(yōu)于國內(nèi)產(chǎn)品，高端市場83.7%為國外產(chǎn)品占據(jù)，國內(nèi)生產(chǎn)廠家完全是低端品牌，一直處于弱勢地位。造成這種結(jié)果主要的原因在于：國內(nèi)外生產(chǎn)廠家對于技術(shù)的開發(fā)采取了完全不同的態(tài)度，國外廠家注重對相關(guān)技術(shù)的全面研究，注重自主創(chuàng)

12、新，因而始終處于技術(shù)發(fā)展前沿；反觀國內(nèi)產(chǎn)品生產(chǎn)廠家很少重視技術(shù)研發(fā)，主要采取的是技術(shù)跟進、技術(shù)模仿和OEM的方式，因而產(chǎn)品質(zhì)量、性能均無法與國外同類產(chǎn)品比較。雖然國內(nèi)一些公司做了很大的努力，但在技術(shù)上仍然無法取得突破。1、國外技術(shù)現(xiàn)狀國外相關(guān)產(chǎn)品研究、開發(fā)、使用的時間相對較長，先后發(fā)展了幾代產(chǎn)品，有著豐富的研發(fā)和產(chǎn)業(yè)化經(jīng)驗，具有較高的技術(shù)水平，代表著行業(yè)技術(shù)發(fā)展的水平，引領(lǐng)著技術(shù)發(fā)展方向。目前，在網(wǎng)絡(luò)流控設(shè)備行業(yè)中領(lǐng)先的有ALLOT、Sandvine等公司，他們生產(chǎn)的相關(guān)產(chǎn)品性能不錯，但價格很高、國內(nèi)協(xié)議識別率較低、用戶界面不太友好、功能偏少、難以調(diào)試，不太符合國內(nèi)客戶的需求，另一方面，基于國

13、內(nèi)信息安全的考慮，國外產(chǎn)品也受到了較大的限制。2、國內(nèi)技術(shù)現(xiàn)狀我國研發(fā)、制造和使用網(wǎng)絡(luò)數(shù)據(jù)流量監(jiān)控及優(yōu)化產(chǎn)品的時間比較短，其產(chǎn)品主要采用OEM形式生產(chǎn)，因而核心技術(shù)不能被自己所掌握，產(chǎn)品質(zhì)量和功能都比國外差，不能滿足眾多客戶的需求，只能應用于要求不高的場合，因而無法得到眾多客戶的認可，無法實現(xiàn)大規(guī)模的市場銷售。目前，國內(nèi)僅有北京網(wǎng)康科技有限公司和深圳深信服科技有限公司等幾家公司展開了相關(guān)的研究和開發(fā)，然而其技術(shù)水平還處于較低的階段，短時間無法取得技術(shù)上的突破，因而其產(chǎn)品質(zhì)量和功能也無法得到較大的提升，仍屬于低端產(chǎn)品，市場認可度也不高，因而市場表現(xiàn)不佳。3、技術(shù)發(fā)展趨勢國內(nèi)外網(wǎng)絡(luò)數(shù)據(jù)流量監(jiān)控及優(yōu)

14、化技術(shù)發(fā)展現(xiàn)狀表明，研究具有網(wǎng)絡(luò)資源利用率高、識別率高、處理流量大的網(wǎng)絡(luò)流控管理與優(yōu)化產(chǎn)品是未來產(chǎn)品發(fā)展的方向，其所依托技術(shù)的主要算法也向著更加簡介、快速、高效、適用范圍更廣、可靠性和穩(wěn)定性都更高的方向發(fā)展，以便適應高速網(wǎng)絡(luò)發(fā)展的需求。二、本項目已有技術(shù)基礎(chǔ)及現(xiàn)狀本項目技術(shù)是在充分比較借鑒國內(nèi)外相關(guān)技術(shù)的基礎(chǔ)上提出來的，通過全體技術(shù)人員的協(xié)同攻關(guān)和創(chuàng)新而開發(fā)出來的，完全具有自主知識產(chǎn)權(quán)，產(chǎn)品達到國內(nèi)領(lǐng)先、國際先進的技術(shù)水平（見查新報告）。目前公司申請了一項與本項目相關(guān)的軟件著作權(quán)，與之配套的相關(guān)技術(shù)算法基本解決。目前，該項目已經(jīng)制造出樣品，正在做各項測試和改進，從各項數(shù)據(jù)的檢測結(jié)果和用戶試用的

15、情況來看，該產(chǎn)品質(zhì)量可靠，可以滿足各種復雜條件下的網(wǎng)絡(luò)數(shù)據(jù)流量的監(jiān)控及網(wǎng)絡(luò)數(shù)據(jù)傳輸優(yōu)化，產(chǎn)品具有智能化程度高、適應能力強、處理速度快、處理能力強等特點，產(chǎn)品質(zhì)量達到并部分超過國外同類產(chǎn)品。三、項目主要內(nèi)容及創(chuàng)新點1、項目主要內(nèi)容及技術(shù)路線申報項目研究內(nèi)容及涉及的關(guān)鍵技術(shù)及技術(shù)指標描述1、本項目研發(fā)內(nèi)容本項目旨在通過總結(jié)和借鑒目前國內(nèi)相關(guān)產(chǎn)品技術(shù)的基礎(chǔ)上，通過自我技術(shù)創(chuàng)新和技術(shù)改造，設(shè)計開發(fā)一種基于流的源端控制技術(shù)的高帶寬利用率的網(wǎng)絡(luò)業(yè)務優(yōu)化平臺，實現(xiàn)對網(wǎng)絡(luò)數(shù)據(jù)流量業(yè)務的綜合管理和優(yōu)化，滿足國內(nèi)網(wǎng)絡(luò)客戶對高性能產(chǎn)品的需求。本項目研發(fā)的主要內(nèi)容有：(1)網(wǎng)絡(luò)報文解析技術(shù)的研究本項目是對網(wǎng)絡(luò)業(yè)務進行

16、優(yōu)化，主要是研究對象是：網(wǎng)絡(luò)數(shù)據(jù)報文。網(wǎng)絡(luò)數(shù)據(jù)報文的基本結(jié)構(gòu)如下圖：TCP/IP網(wǎng)絡(luò)上面的數(shù)據(jù)報文主要有，二層數(shù)據(jù)鏈路層信息、三層IP頭部信息、四層傳輸層協(xié)議信息和七層應用層數(shù)據(jù)信息組成。通過我們的內(nèi)核實現(xiàn)對報文的逐步解開，根據(jù)IEEE802.1協(xié)議進行分類處理。(2)網(wǎng)絡(luò)流建立技術(shù)研究為了對網(wǎng)絡(luò)數(shù)據(jù)報文進行完整的分析，由于本設(shè)備放在網(wǎng)絡(luò)的出口處，我們將報文的五個關(guān)鍵域來表示每股網(wǎng)絡(luò)流量：·源 IP 地址·目的 IP 地址·4層協(xié)議號·TCP/UDP 源端口·TCP/UDP 目的端口如果不同的 IP 報文中所有的五個關(guān)鍵域都匹配，那么這些 IP

17、 報文都將被視為屬于同一股流量。程序?qū)崿F(xiàn)的構(gòu)架圖：(3)DPI協(xié)議識別技術(shù)研究DPI全稱為“Deep Packet Inspection”，即深度包檢測。所謂深度是和普通的L2-L4交換或路由器的報文分析層次相比較而言的。DPI除了像對IP數(shù)據(jù)包進行四層以下的分析之外，還增加了應用層特征分析，識別各種應用，甚至內(nèi)容的識別。DPI識別實現(xiàn)模型：DPI技術(shù)能夠精細和準確識別網(wǎng)絡(luò)協(xié)議。不同的應用通常會采用不同的協(xié)議，而各種協(xié)議都有其特殊的指紋，這些指紋可能是特定的端口、特定的字符串或者特定的Bit序列?；谔卣髯值淖R別技術(shù)，正是通過識別數(shù)據(jù)報文中的指紋信息來確定業(yè)務所承載的應用。根據(jù)具體檢測方式的不

18、同，基于特征字的識別技術(shù)又可細分為固定特征位置匹配、變動特征位置匹配和狀態(tài)特征字匹配三種分支技術(shù)。通過對指紋信息的升級，基于特征字的識別技術(shù)可以方便的擴展到對新協(xié)議的檢測。(4)DFI協(xié)議識別技術(shù)研究DFI(Deep/Dynamic Flow Inspection，深度/動態(tài)流檢測)采用的是一種基于流量行為的應用識別技術(shù)，即不同的應用類型體現(xiàn)在會話連接或數(shù)據(jù)流上的狀態(tài)各有不同。例如，網(wǎng)上IP語音流量體現(xiàn)在流狀態(tài)上的特征就非常明顯：RTP流的包長相對固定，一般在130220byte，連接速率較低，為2084kbit/s，同時會話持續(xù)時間也相對較長；而基于P2P下載應用的流量模型的特點為平均包長都

19、在450byte以上、下載時間長、連接速率高、首選傳輸層協(xié)議為TCP等。DFI技術(shù)正是基于這一系列流量的行為特征，建立流量特征模型，通過分析會話連接流的包長、連接速率、傳輸字節(jié)量、包與包之間的間隔等信息來與流量模型對比，從而實現(xiàn)鑒別應用類型。根據(jù)會話連接流的包長、連接速率、傳輸字節(jié)、包和包的間隔時間等元素，建立數(shù)學模型。數(shù)據(jù)報文通過設(shè)備建立的模型，將DPI無法準確識別的流，進行第二次識別。這樣將加密的協(xié)議進行分類識別了。(5)QoS流控制技術(shù)的研究QoS流控制技術(shù)利用了一個非常精確的調(diào)度程序。該調(diào)度程序決定某一特定時刻哪個流可能發(fā)送數(shù)據(jù)包。發(fā)送完數(shù)據(jù)包后，系統(tǒng)將根據(jù)定義的策略和每個流已發(fā)送的數(shù)

20、據(jù)包的數(shù)量來決定哪個流將發(fā)送下一個數(shù)據(jù)包。在該數(shù)據(jù)包到達 QoS模塊后，它將會檢查承諾的帶寬是否耗盡以及是否達到了最大界限。如果承諾的帶寬沒有耗盡，則將立即（沒有延遲）傳輸數(shù)據(jù)包。如果已經(jīng)達到了該流的最大界限，則數(shù)據(jù)包將被放入到緩存中。否則，該數(shù)據(jù)包將被放入到其流隊列中，并根據(jù)該流的優(yōu)先級和可用帶寬來傳輸它。(6)網(wǎng)絡(luò)流量可視化技術(shù)研究使用一套自主分析算法實現(xiàn)網(wǎng)絡(luò)信息的實時統(tǒng)計，同時通過直觀的圖形、圖表展現(xiàn)出應用、應用組、網(wǎng)段、IP等相互組合的實時分析數(shù)據(jù)，通道流量、設(shè)備運行的實時數(shù)據(jù)，讓用戶可以全面的掌控網(wǎng)絡(luò)帶寬的使用情況，使網(wǎng)絡(luò)運行狀況、應用使用情況、帶寬使用情況等完全可視化。2、涉及的關(guān)

21、鍵技術(shù)(1)利用RB樹建立流技術(shù)(2)DFA應用于DPI協(xié)議識別技術(shù)(3)網(wǎng)絡(luò)業(yè)務特征庫管理技術(shù)(4)DFI模型建立技術(shù)(5)DPI和DFI協(xié)議識別結(jié)合技術(shù)(6)ECBQ的流的網(wǎng)絡(luò)帶寬控制技術(shù)(7)Per IP的流控制技術(shù)和帶寬的公平分配技術(shù)(8)網(wǎng)絡(luò)業(yè)務流量可視化展現(xiàn)技術(shù)3、本項目主要解決的關(guān)鍵問題(1)網(wǎng)絡(luò)報文解析技術(shù)需要解決RFC、IEEE802.11的協(xié)議支持；(2)網(wǎng)絡(luò)流建立技術(shù)需要需要解決快速查找、插入和刪除Sessen信息的方法，快速確定流的服務方式等功能，使得設(shè)備能夠達到8G的網(wǎng)絡(luò)吞吐量；(3)DPI協(xié)議識別技術(shù)需要解決準確、快速識別網(wǎng)絡(luò)應用、將網(wǎng)絡(luò)上的應用識別率廣和支持大部分

22、網(wǎng)絡(luò)應用；(4)DFI協(xié)議識別技術(shù)需要解決加密協(xié)議的識別，數(shù)學模型參數(shù)的準確性學習性的問題；(5)DPI協(xié)議識別和DFI協(xié)議識別結(jié)合技術(shù)需要解決準確識別和DFI模糊識別的分類的問題，使得網(wǎng)絡(luò)流量的識別率達到90%以上；(6)QoS流控制技術(shù)需要解決準確的流的流控、流量控制的進度達到1KB和從流的源端控制技術(shù)達到93%以上的帶寬利用率；(7)實現(xiàn)網(wǎng)絡(luò)流量可視化技術(shù)需要，解決人性化的數(shù)據(jù)展現(xiàn)和準確的數(shù)據(jù)分析功能。4、技術(shù)路線描述：（1）項目生產(chǎn)方案 由于本項目產(chǎn)品由軟件和硬件兩部分組成，其中硬件部分基本為成熟產(chǎn)品，可以很容易購得，由上游廠商根據(jù)本公司的需求提供；軟件部分才是本項目產(chǎn)品的關(guān)鍵，它通常

23、固化在設(shè)備中，這部分由公司自主開發(fā)；因而本項目產(chǎn)品的生產(chǎn)將采取“硬件外購+軟件自主生產(chǎn)”的方式進行。（2）技術(shù)路線a、理論模型的建立b、各功能模塊算法設(shè)計c、各功能模塊無縫對接d、在設(shè)備中固化入軟件統(tǒng)計分析模塊數(shù)據(jù)展現(xiàn)模塊DPI協(xié)議識別模塊策略控制模塊QoS流量控制模塊session流建立模塊網(wǎng)絡(luò)報文入口已識別未識別網(wǎng)絡(luò)報文出口內(nèi)核實現(xiàn)e、系統(tǒng)配套試用調(diào)試f、產(chǎn)品功能的完善和最終定型。（3）項目實現(xiàn)的系統(tǒng)的框架圖2、項目創(chuàng)新點技術(shù)創(chuàng)新1、DFA技術(shù)應用于DPI引擎對于報文的識別方法主要使用正則表達式的匹配方式實現(xiàn)的，目前國內(nèi)大多數(shù)廠家及國外部分廠家使用的方法的是使用NFA（Non-determ

24、inistic finite automaton，不確定有窮自動機）的匹配方法。由于NFA的匹配需要對每一條正則表達式一條條的匹配，因而存在匹配速度較慢和難于維護等問題。而 DFA 引擎在任意時刻必定處于某個確定的狀態(tài)，而NFA引擎可能處于一組狀態(tài)之中的任何一個，所以，NFA引擎必須記錄所有的可能路徑（trace multiple possible routes through the NFA），NFA之所以能夠提供Backtrack的功能，原因就在這里。從理論上說，如果我們不需要Backtrack，或者僅僅需要很小級別的Backtrack，完全可以從NFA構(gòu)造出等價的DFA，再進行匹配，這樣

25、能大大提高速度代價是，DFA需要更多的空間。NFA 因為不確定，所以限制比DFA要少，構(gòu)造起來也比較方便一點，但匹配速度較慢.而DFA依次匹配并記錄匹配過程中每個字符的位置，因此每個字符最多被匹配一次，其匹配速度比NFA要高許多。雖然要把正則表達式先轉(zhuǎn)化為NFA，再把NFA轉(zhuǎn)換為DFA，其轉(zhuǎn)換時間相對要長，但是只需在匹配報文前對正則表達式編譯一次，因此匹配報文的總體時間要比NFA的匹配引擎快很多。但由于DFA的空間要求比較高，因而限制了其技術(shù)的使用，始終不能實現(xiàn)商業(yè)化，目前該技術(shù)主要使用在一些表達式的集合匹配算法上面，例如：linux上grep命令和一些簡單的數(shù)據(jù)挖掘上面。針對這種情況，本公司

26、技術(shù)團隊對DFA技術(shù)進行了改進、創(chuàng)新，對DFA節(jié)點進行最小化的處理，大大的較少了內(nèi)存空間的使用，克服了單純使用DFA技術(shù)的缺點，首次實現(xiàn)了DFA技術(shù)在DPI引擎上的應用，其技術(shù)具體實現(xiàn)過程為：首先將正則表達式轉(zhuǎn)化到NFA，將NFA的體現(xiàn)方式轉(zhuǎn)換成DFA，最后將DFA進行最小化。其中DFA最小化技術(shù)就是本項目最大的技術(shù)創(chuàng)新點之一。DFA最小化技術(shù)實現(xiàn)原理具體如下：有窮自動機分為確定的有窮自動機DFA和不確定的有窮自動機NFA兩種。定義1DFA ：一個確定的有窮自動機，M是一個五元組，M=( K, f , S , Z)，其中:K是一個有窮集,其元素稱為狀態(tài)；是一個有窮字母表,其元素稱為輸入符號；S

27、K,稱為初態(tài);ZÌ K，是終態(tài)集；f是轉(zhuǎn)換函數(shù)，是K×K上的映射，f(ki,a)=kj,(kiK,kjK)表示狀態(tài)ki，輸入符為a時，轉(zhuǎn)換為狀態(tài)kj。 定義2無用狀態(tài)：從自動機的開始狀態(tài)出發(fā),任何輸入串也不能到達的那個狀態(tài);或者從這個狀態(tài)沒有通路到達終態(tài)的狀態(tài)。 定義3等價狀態(tài)：如果說兩個狀態(tài)s 和t 是等價的, 應滿足如下條件:(a) 一致性條件：s 和t 必須同時為終態(tài)或為非終態(tài);(b) 蔓延性條件：對于所有輸入符號，狀態(tài)s 和t 必須轉(zhuǎn)換到等價的狀態(tài)里。 一個DFAM可以通過消除無用狀態(tài)和合并等價狀態(tài)而轉(zhuǎn)化為一個最小化的與之等價的DFAM。該過程稱為DFA的最小化。最

28、小化的思想是在不改變 DFA 識別的語言的前提下，合并相應的結(jié)點，使合并后的 DFA 與合并前的 DFA 等效，而結(jié)點數(shù)目減少。 但在實現(xiàn)上，采用是從合到分的方法。先從最精簡的結(jié)構(gòu)出發(fā)，即，整個系統(tǒng)就兩個集合，所有的終態(tài)結(jié)點并為一個結(jié)點，所有的非綜態(tài)結(jié)點合并為一個結(jié)點 。 然后看這種劃分是否可行，如不可行，再分解出更多的集合。而合并可行的依據(jù)就是集合中的每個元素通過同一條弧到達同一個目標集合。 如上圖，首先將所有的非綜態(tài)結(jié)點合并為 I0 ，。將綜態(tài)結(jié)點合并為 I1 。分別考察兩個集合。對于 I0 ，通過 0 弧，有如下跳轉(zhuǎn)： S0 à S1 ， S2 à S1 ， S1 &

29、#224; S3 。而 S1 I0 ， S3 I1 ，據(jù)此， S1 和 S0 、 S2 要分開位于不同集合。 現(xiàn)假定 I0= S0 ,S2 ， I1= S3 ,S4 ， I2 S1 ?？疾?I0 ，同樣是通過 1 弧，則有如下跳轉(zhuǎn)： S0 à S2 、 S2 à S4 ，而 S2 I 0 ,S4I 1 。故， S2 與 S4 分開?？梢钥闯觯灰l(fā)現(xiàn)一條弧不滿足上述條件，就可以將其分離。并非要考察完每條弧。 再來考察 I1 ，通過 0 弧可得： S3 à S3 I1 ， S4 à S3 I1 。通過 1 弧可得： S3 à S4 I1 ， S3

30、 à S4 I1 。顯然， I1 不可再分。 如此重復，直到每個集合 Ii ( I=0,1,) 均不可再分為止。 最小化后的狀態(tài)轉(zhuǎn)換圖如下： DFA應用于DPI技術(shù)易于理解、升級方便、維護簡單，是目前運用最有效的流量識別方法。其主要優(yōu)點包括：準確性高、健壯性好、具有分類功能等。準確性高是由于該方法執(zhí)行精確特征匹配，因此極少存在誤判問題。健壯性好是由于可以處理數(shù)據(jù)包丟失、重組等，因此能適應如今復雜的網(wǎng)絡(luò)應用。具有分類功能是由于深層數(shù)據(jù)包檢測技術(shù)可以依據(jù)不同應用的載荷特征來準確分類各網(wǎng)絡(luò)應用，因此可以為實施流量監(jiān)管策略提供準確的信息。2.DFI和DPI技術(shù)結(jié)合目前，在網(wǎng)絡(luò)數(shù)據(jù)流量控制與優(yōu)

31、化的相關(guān)產(chǎn)品中，國內(nèi)廠家大多采用DPI引擎技術(shù)，其主要通過源IP 地址、目的IP 地址、源端口、目的端口、會話信息以及對IP 包中的荷載Payload（應用層數(shù)據(jù)）深入分析，匹配應用協(xié)議的特征庫，可以探測和跟蹤動態(tài)端口分配的應用，能夠識別變動端口的會話流，并能夠?qū)κ褂猛欢丝诘牟煌瑓f(xié)議進行自動識別，從而可以做到基于真正七層的協(xié)議或應用實現(xiàn)流量整形和帶寬控制，來優(yōu)化用戶的網(wǎng)絡(luò)和應用的可用性。但在實際網(wǎng)絡(luò)中，很多應用為了逃避DPI的檢測來達到對網(wǎng)絡(luò)資源的占用；這些應用會對報文進行加密，特別是P2P的應用，如：BT、eDonkey等都有加密的流量，這就造成了國內(nèi)目前產(chǎn)品普遍存在網(wǎng)絡(luò)識別率低的問題。針

32、對這種情況，本公司技術(shù)團隊在總結(jié)DPI技術(shù)優(yōu)點的基礎(chǔ)上，結(jié)合DFI的優(yōu)點，提出了“DFI+DPI”相結(jié)合的協(xié)議識別方法。DFI全稱為“Deep Flow Inspection”，稱為深度流檢測。采用一種基于流量行為的應用識別技術(shù)，DFI技術(shù)的有力的補充了應用優(yōu)化過程中對加密流量的應用的識別。DFI 技術(shù)基于一系列流量的行為特征，建立流量特征模型，通過分析會話連接流的包長、連接速率、傳輸字節(jié)量、包與包之間的間隔等信息來與流量模型對比，從而實現(xiàn)鑒別應用類型的目的。有了DFI 技術(shù)的強力補充，能夠保證正確識別加密傳輸?shù)膽昧髁?。連接流的包長、速率、傳輸字節(jié)量、包與包之間的間隔、pps等統(tǒng)計主機、服務

33、器以及區(qū)域間的流量行為，并建立關(guān)系模型加密P2P和其他加密協(xié)議的識別FLOW特征模型模型FLOW統(tǒng)計加密協(xié)議識別該技術(shù)的使用，使得DPI 技術(shù)和DFI 技術(shù)相輔相成，從而保證了對800 多種網(wǎng)絡(luò)協(xié)議和應用軟件的識別，涵蓋了目前主流的各種應用，包括P2P、VoIP 、IM、視頻/流媒體、炒股軟件、網(wǎng)絡(luò)游戲、企業(yè)內(nèi)部核心應用等。本項目以DPI 和DFI 技術(shù)為核心，通過智能分類引擎，結(jié)合基于應用特征字（簽名）及基于行為啟發(fā)式的技術(shù)，可以識別L2 到L7 層的各種協(xié)議和應用，最終實現(xiàn)網(wǎng)絡(luò)傳輸?shù)娜婵梢暬?。主要協(xié)議和應用類別如下：P2P應用：Bittorrent、電驢、迅雷、KAZAA、KURO、NA

34、PSTER、EDONKEY、EZPEER、超級旋風、KUGOO、FASTTRACK、GNUTELLA、VAGAA、SOULSEEK、POCO、PIGO、PPDOG等30多種。IM應用：MSN、Yahoo、ICQ、AOL、QQ、YAHOO、WEBIM、IRC、XMPP等10多種主流軟件。Streaming應用：QQlive、PPSTREAM、PPLIVE、CCIPTV、REALPAYER、QUICKTIME、MMS、TVKOO、RTSP、TVANTS、MYSEE、FEIDIAN、KOOWO、新浪直播等主流的視頻和流媒體應用。VoIP協(xié)議：SIP、H.323、SKYPE、RTP、POLYCOM、R

35、TCP等常用的VoIP應用協(xié)議。網(wǎng)絡(luò)游戲：QQ堂、QQ游戲、浩方對戰(zhàn)平臺、WOW、聯(lián)眾游戲、DOOM3、YAHOO-GAME、QUAKE-HALFLIFE等網(wǎng)絡(luò)游戲。炒股軟件：同花順、大智慧、招商證券、錢龍、分析家、安信證券、華泰證券、光大證券、廣發(fā)證券、銀行證券、中銀國際證券、平安證券、聯(lián)合證券、證券之星、方正證券、國泰證券等數(shù)十種炒股軟件。企業(yè)辦公、數(shù)據(jù)庫：HTTP、FTP、SMTP、POP3、IMAP、TELNET、LOTUS-NOTES、SQL SEVER、ORACLE、HTTPS等企業(yè)關(guān)鍵應用。同時，對于新協(xié)議我們提供特征碼的跟蹤，保證協(xié)議識別的準確性。另外，客戶可以自定義本網(wǎng)絡(luò)中特

36、有的協(xié)議，能夠針對客戶使用自己特有的特征碼，使得每個客戶都擁有一個高效的、便捷的網(wǎng)絡(luò)環(huán)境。此技術(shù)為我們公司特有技術(shù)，在DPI準確識別的基礎(chǔ)上，對協(xié)議流量的特性進行建模，進一步實現(xiàn)對P2P流量的識別，我們的設(shè)備能夠達到95%的網(wǎng)絡(luò)識別率，遠遠高于國內(nèi)其他廠家80%左右的識別率。3、ECBQ技術(shù)的流控引擎目前，國內(nèi)外的流控一般采用的是htb/cbq的算法來實現(xiàn)，此算法將端口分類多個子類，并在葉子才有最終的通道，結(jié)合使用令牌桶算法，實現(xiàn)流量的控制技術(shù)。但基于終端的產(chǎn)品流控的設(shè)計思路，每個子類可以根據(jù)用戶或業(yè)務進行流控，無法實現(xiàn)用戶和業(yè)務復合的策略配置。針對這種情況，本公司提出了一個ECBQ的算法來實

37、現(xiàn)，這套算法為本公司首創(chuàng)，它既能夠?qū)崿F(xiàn)的用戶或業(yè)務單獨策略，又能實現(xiàn)用戶和業(yè)務復合策略，即真正做到帶寬嵌套的算法。結(jié)合流的觀念，我們將帶寬控制方法是根據(jù)下行流量來控制上行流量的大小。即如果流的下行流量將達到控制狀態(tài)時，此時將上行流量加于控制，這樣能夠控制下行流量的方法。ECBQ的設(shè)計實現(xiàn)原理：我們同網(wǎng)絡(luò)接口劃分出第一級PIPE父通道，第二級的VC虛擬子通道。所有的流量必須從VC通道流出，PIPE主要是負責分類，在此基礎(chǔ)上我們建立一中share共享通道，share共享通道將需要控制的多個VC通道或多個PIPE通道共享一定的流量限制。ECBQ引擎提供自定義Pipe通道、自定義VC通道、最大帶寬限制

38、、帶寬租借、Per-IP帶寬控制、Share Rate Pool帶寬控制、權(quán)重設(shè)置以及應用優(yōu)先級等一系列的應用優(yōu)化和帶寬管理控制功能。將網(wǎng)絡(luò)帶寬的管理從被動的、消極的、無效的傳統(tǒng)模式提升到主動的、有效的、智能化的帶寬管理服務，最終達到保證關(guān)鍵應用正常運行的目標，有效提升用戶網(wǎng)絡(luò)運維管理的水平。網(wǎng)管人員可以根據(jù)需求，將若干個Pipe（或者VC）放入一個Share Rate Pool中，并設(shè)置不同的權(quán)重，以達到多樣化的流量控制目的。ü Pipe和Pipe之間可以建立Share Rate Pool；ü VC和VC之間可以建立Share Rate Pool，并且VC可以分屬不同的P

39、ipe；ü Pipe和VC之間，由于所屬級別不同，不能建立Share Rate Pool；ü 同一個Share Rate Pool內(nèi)的所有Pipe（或者VC）的最大帶寬之和不大于Share Rate Pool的最大帶寬。如上圖所示，可以將Pipe1內(nèi)的VC2和VC3建立Share1；將Pipe2內(nèi)的VC5和VC6建立Share2；亦可跨越不同的Pipe，將Pipe1的VC1和Pipe2的VC4建立Share3；也可以將Pipe1和Pipe2建立Share4。我們將每個流的流出/流入都進入了VC中，我們提供一個數(shù)學模型，將流的帶寬能夠控制在源端。這樣我們大大的提高帶寬利用率，

40、減少了網(wǎng)口外的設(shè)備負載，做到了真正的流量控制、帶寬的節(jié)約和帶寬的優(yōu)化。通過利用我們自創(chuàng)的算法，能夠達到以下幾個優(yōu)點：（1）提高了設(shè)備的效率，大大節(jié)約了發(fā)送報文時的資源消耗，使得我們能夠開發(fā)達到更大流量的設(shè)備；（2）對帶寬的控制精度上面，我們控制的精度達到小于1kb，比我們設(shè)計要求的1KB，國外的設(shè)備能夠控制在1KB；（3）策略實現(xiàn)的靈活性，其他廠家有些測試無法實現(xiàn)的，利用此技術(shù)后完全能夠?qū)崿F(xiàn)只要用戶想要實現(xiàn)的策略，我們就能夠配置實現(xiàn)；（4）流的帶寬能夠控制在源端，做到了真正的流量控制、帶寬的節(jié)約和帶寬的優(yōu)化，減少了網(wǎng)絡(luò)設(shè)備的負載；（5）帶寬利用率上面得到了大大提高，國內(nèi)設(shè)備一般在70%左右，國

41、外的設(shè)備在85%左右，我們利用了ecbq算法后能夠達到93%左右的帶寬利用率，遠遠高于國外同類產(chǎn)品的水平；（6）由于是自己設(shè)計的算法，穩(wěn)定性和維護性強。4、虛擬端口限速算法創(chuàng)新 在流量監(jiān)管技術(shù)的運用上，目前國內(nèi)公司主要使用的CAR技術(shù)，其監(jiān)管原理如圖1所示： 根據(jù)預設(shè)的匹配規(guī)則先對報文進行分類，不符合匹配規(guī)則的報文不需要經(jīng)過令牌桶的處理，直接發(fā)送；符合匹配規(guī)則的報文，則需要令牌桶進行處理。當桶中有足夠的令牌則報文可以被繼續(xù)發(fā)送下去，同時令牌桶中的令牌 量按報文的長度做相應的減少；當令牌桶中的令牌不足時，報文將不能被發(fā)送，只有等到桶中生成了新的令牌，報文才可以發(fā)送。這就可以限制報文的流

42、量只能是小于等于令牌生成的速度，達到限制流量的目的。QoS技術(shù)盡管普遍使用，但絕大部分使用隊列機制實現(xiàn)，只能通過丟棄已收到數(shù)據(jù)包的方式限制下載方向流量，從而導致下載方向帶寬的損失(多達35%)，使得網(wǎng)絡(luò)帶寬資源依然不能得到最大利用，而且關(guān)鍵應用的帶寬保障也無法真正實現(xiàn)。針對這種情況，本公司采用的新令牌桶算法，并分別將其應用于通用流量整形和端口限速，其具體實現(xiàn)如下：（1）在流量整形中的應用通用流量整形中( GTS)(如圖2所示)與CAR的原理稍有差別：第一,GTS只用于出方向流量限速，CAR出入方向均可以，但一般多用于入方向；第二，利用CAR進行報文流量控制時，對超過速率限制的報文直接丟棄，而G

43、TS IJ 是對超過速率限制的報文進行緩沖即當令牌桶的令牌少到報文不能再發(fā)送時，報文將被緩存入隊列，等有了足夠的令牌之后再發(fā)送，這樣就減少了報文的丟棄，但是要注意的是，如果緩存隊列已滿，這時到達的報文仍舊會被丟棄。（2）在虛擬端口限速中的應用端口限速(LR)(如圖3所示)也用于出方向，但不同于GTS 的是：第一，GTS與CAR是在IP層實現(xiàn)的，所以對于不經(jīng)過IP層處理的報文不起作用，而LR IJ能夠限制在物理接口上通過的所有報文；第二，LR不但能夠?qū)Τ^流量限制的報文進行緩存，并且可以利用QoS豐富的隊列如優(yōu)先級隊列(PQ)、自定 義 隊列(CQ)、加權(quán)公平對列(WFQ)等來緩存報文。我們利用

44、此算法后能夠讓網(wǎng)絡(luò)的帶寬利用率達到93%以上，遠遠超過國外同類產(chǎn)品85%使用率，真正實現(xiàn)了關(guān)鍵應用的帶寬保障。5、網(wǎng)絡(luò)完全可視化在網(wǎng)絡(luò)可視化也是本項目一大技術(shù)創(chuàng)新。目前，國內(nèi)廠家利用的是內(nèi)嵌在設(shè)備上的利用Web界面展現(xiàn)技術(shù)，對設(shè)備要求高，維護性差，展現(xiàn)出的數(shù)據(jù)不多，只能根據(jù)協(xié)議或用戶來展現(xiàn)，因而不能完全實現(xiàn)網(wǎng)絡(luò)的完全可視化。針對這種情況，本公司采用了采用應用實時系統(tǒng)（Application Real-Time Analyzer System）實現(xiàn)網(wǎng)絡(luò)的可視化。ARAS采用Java Swing構(gòu)架技術(shù)，提供了實時流量采集、分析和展現(xiàn)功能。基于對網(wǎng)絡(luò)報文的分析方法，即以網(wǎng)絡(luò)層分析和傳輸層分析為基礎(chǔ)

45、，可以實現(xiàn)以IP、網(wǎng)段、端口、連接信息的實時統(tǒng)計和實時速率展現(xiàn)；基于以應用協(xié)議分析為基礎(chǔ)，可以提供應用、應用組的各類實時報表。將多種分析方法相互結(jié)合，可以展現(xiàn)出應用、應用組、網(wǎng)段、IP等相互組合的實時分析數(shù)據(jù)，通道流量、設(shè)備運行的實時數(shù)據(jù)，讓用戶可以全面的掌控網(wǎng)絡(luò)帶寬的使用情況，使網(wǎng)絡(luò)運行狀況、應用使用情況、帶寬使用情況等完全可視化。應用組實時圖表：顯示整個網(wǎng)絡(luò)的應用組實時圖表（堆疊圖、柱狀圖、餅圖及表格），其中自定義的應用可以加入到任意默認分組中。應用實時圖表：顯示整個網(wǎng)絡(luò)的應用實時圖表（堆疊圖、柱狀圖、餅圖及表格）。網(wǎng)段實時圖表：顯示整個網(wǎng)絡(luò)中的網(wǎng)段實時圖表。IP實時圖表：顯示整個網(wǎng)絡(luò)的I

46、P實時圖表。應用組子應用實時圖表：顯示某個應用組下的子應用實時圖表。IP應用實時圖表：顯示某個IP的所有應用的實時圖表。IP應用組實時圖表：顯示某個IP的所有應用組的實時圖表。Session實時圖表：顯示某個IP的某些應用的Session列表。流量通道實時圖表：實時流量通道的流量情況。INT口實時圖表：顯示INT口上線流量、下行流量及總流量曲線。EXT口實時圖表：顯示EXT口上線流量、下行流量及總流量曲線。在線IP數(shù)量實時圖表：顯示在線IP數(shù)量曲線。并發(fā)會話數(shù)實時圖表：顯示設(shè)備當前的并發(fā)會話數(shù)曲線。CPU利用率實時圖表：顯示設(shè)備的CPU利用率曲線。內(nèi)存利用率實時圖表：顯示設(shè)備的內(nèi)存利用率曲線。通過這一技術(shù)的應用，使得本項目產(chǎn)品具有了對網(wǎng)絡(luò)整體情況的實時監(jiān)控，能給用戶方便、直觀的展現(xiàn)網(wǎng)絡(luò)的實時使用狀況，為用戶管理優(yōu)化網(wǎng)絡(luò)、網(wǎng)絡(luò)規(guī)劃提供了科學依據(jù)，有效解決了帶寬的惡意使用的問題，從而有效提高了網(wǎng)絡(luò)的使用效率。 同時，通過這一技術(shù)的應用可以實現(xiàn)數(shù)據(jù)展現(xiàn)的ARAS系統(tǒng)和設(shè)備的分離，能夠獨立運行在任何PC機上，做到功