智融标识网络的切片安全映射方法及系统

1.本发明涉及物联网通信技术领域，具体涉及一种智融标识网络的切片安全映射方法及系统。


背景技术：

2.传统互联网架构旨在提升网络的通用性与异构性，随着网络的规模不断扩大与应用场景逐渐增多，传统互联网架构携带数据但不知其数据具体意义的弊端也逐渐显现。面对如今多样化的业务需求，传统互联网架构难以对其进行管理和控制，且不易衡量性能指标，网络安全问题也层出不穷，研究人员开始逐步探索新型的网络架构。
3.网络功能虚拟化nfv等技术的发展使虚拟化机制成为了互联网的重要架构属性之一，其核心思想是使得多个虚拟网络共享同一套物理基础设施，在其上承载不同的通信协议与支持不同的虚拟功能等。kim等提出了一个利用多资源基础设施的网络架构，它可以应用nfv技术，使网络运营商基于不同网络协议体系，在相同基础设备上运行多种端到端的网络定制服务，将虚拟化技术拓展到了共享设备上。albert等提出了4d网络架构，将网络分为四种平面：决策面、传播面、发现面与数据面，将决策逻辑与转发逻辑分离，路由器和交换机会在决策平面的要求下转发分组，收集测量数据以帮助决策面控制网络。物联网推动着物理世界与虚拟世界的融合，越来越多的资源被虚拟化和软件定义化，智能环境框架中的传感器设备通过nfv等技术提供着丰富的信息。美国国家科学基金会提出了geni计划，分析了传统互联网的缺陷与下一代互联网的技术走向，由此提出了提升网络性能的一系列措施，成为了新型互联网架构的研究热点之一。上述新型互联网架构在决策控制与数据平面转发等层面进行了创新与探索，但在面对网络切片这种需要高度集中资源与服务的新技术时，仍无法满足资源间的集中控制协作要求和切片用户群体庞大的个人定制需求。为此张宏科院士团队基于标识网络与智慧标识网络概念，提出了sinet，能够结合切片编排策略灵活实现虚拟网络功能的连接与映射，为用户提供端到端的定制化的切片服务。
4.sinet通过整合多维资源，满足个性化服务需求，其整体架构分为三层：智慧服务层、资源适配层和网络组件层。智慧服务层负责管理描述切片服务的标识和以及一些特定的行为，此外还负责管理标识和行为之间的映射关系。资源适配层可以根据智慧服务层发布的服务需求，动态匹配对应的网络切片编排算法，对vnf资源进行管理，并将编排结果发送到网络组件层，生成对应的nsi。网络组件层根据编排映射结果，设计数据层面的转发逻辑，构建切片实体并完成通信数据的交付和网络信息的收集。sinet实现了网络集成服务体系，在保证通信服务的基本性能要求上，提出了实现网络切片的差异化服务、统一调度和管理。sinet可以支持将现有网络资源抽象为逻辑服务，将用户的业务需求转换为抽象资源的调用需求，通过收集底层网络的参数信息和切片用户的相关需求，构建模型来描述切片状态。
5.切片系统多以restful api的形式对切片用户提供用户认证服务，rest的含义是表述性状态传递(representational state transfer，rest)，是一种软件架构风格，由roy
在2000年提出。rest是一种针对网络应用的设计和开发方式，优点是降低了开发复杂性并提高了系统可伸缩性。rest定义了一组体系架构原则，使开发人员可以按照该原则，通过http方式处理和传输网络资源的状态。针对用户使用restful api接入服务系统的安全问题，国内外学者展开了一系列研究。具体地，tao等提出基于restful架构的资源白名单和令牌检查机制，该机制在降低网络攻击风险的同时，可以减少高级安全域服务器的压力。serme等指出现在的主流服务提供商正在转向基于rest的服务，并提出一种rest安全协议来提供安全的服务通信，利用证书签名、对称加密等方法保证通信安全性。hittu等介绍了物联网中的中间件通过restful api公开设备数据并隐藏细节，从而作为用户与传感器数据交互的接口。huang等为保护restful api的交互信息不被窃取，提出了一种基于令牌的用户认证机制，客户端使用公共令牌、私有令牌和时间戳生成一次性令牌，交由服务器验证，使得每次通信只在固定的时间段内有效。
6.切片需要经过编排部署才能在底层网络中实现数据转发功能，5g切片网络以用户为中心，改变了传统网络单一化的服务模式，基于通用共享基础设施为不同用户提供按需定制的服务，切片编排过程中对vnf的部署算法需要满足用户的qos需求，编排算法需要具备高效率、高性能性和高安全性的要求。现有技术中基于不同优化目标设计了不同的切片编排部署算法。具体地，cao等基于多种遗传算法，将带宽消耗和最大链路利用率作为优化目标，提出了切片的vnf布局优化算法。savi等以提升切片编排性能为目标，提出了下文切换成本和升级成本的概念，作为多个vnf之间共享资源的约束条件。liang等针对切片部署存在的侧通道攻击风险，提出了一种基于分组的vnf编排映射策略，以牺牲部分资源利用率等编排效益为代价，提升了编排映射的安全性。khettab等提出了一种自动缩放切片的算法，解决切片网络的灵活性和弹性支持等为切片管理带来的安全问题。zahedi等以最小化切片编排过程中的总功耗为优化目标，提出了基于遗传算法的启发式和元启发式模型来优化切片编排过程。zhu等建立了一种博弈机制来调节切片资源的映射方案，以降低网络成本。baumgartner等以最小化映射成本为优化目标，结合网络拓扑优化方案提出了一种线性规划算法。cohen等提出一种近似算法，优化目标为减少映射成本和减少切片编排映射带来的运营成本。蒋等提出了secpso算法，基于粒子群算法，将网络物理链路资源利用率和网络收益作为优化目标，以切片安全隔离评估值为约束条件，优化网络切片的映射编排过程。
7.在vnf映射的物理节点发生宕机，或因病毒攻击等不同攻击方式导致节点不可用时，会使映射在该节点上的vnf集合不可用，此时需要进行切片重构以恢复切片的正常功能，以此为场景的研究主要围绕可生存性的虚拟网络映射(survivable virtual network embedding，svne)方法展开。wang等提出了一种基于节点重要性测量的vnf节点备份机制，通过备份关键虚拟网络功能节点来提高网络切片的可靠性。chowdhury等提出了一套vnf映射专用保护机制，为单个vnf的每个维度的资源提供冗余互斥的备份资源，使得网络可以快速恢复。kibalya等提出了一种基于多级图的切片重构算法，允许非关键用户使用高优先级用户未使用的备份资源，并降低其可能经历的抢占概率。rahman等提出了一种启发式混合策略，利用预先保留的配额在每个物理链路上对vnf进行备份。hu等提出了一个vnf映射框架来处理单个物理节点故障，故障节点若运行着某个虚拟网络服务，该框架会将该节点进行恢复，并使其执行的服务具备生存能力。
8.申请号为cn202210003854x的中国发明专利申请公开了一种基于粒子群遗传的网
络切片编排算法，该技术在使用上有如下不足之处：在进行安全认证鉴权后，没有将用户认证信息融入到切片映射编排方案中，没有有效通过用户信息提升映射安全性；映射算法只关注到了性能和收益上的收敛效益，忽略了过度重复利用容器可能造成的信息泄露等安全风险，映射算法的安全性有待提升；切片映射只能利用ipv4网络，不能适应今后多网络协议共存的网络背景。
9.申请号为cn2021115984643的中国发明专利申请公开了一种基于5g的网络切片资源编排与映射方法，该技术在使用上有如下不足之处：描述的保证切片可靠性指切片生命周期的完整性，切片使用过程中的认证安全性、映射环节中数据泄露安全性、数据传输过程中的安全性依然没有保障；缺乏一套统一的标识描述服务管理机制，拓展性较差。
10.综上，网络切片的构建与编排已成为研究热点，然而网络切片构建与编排过程中暴露出的安全问题对切片的可用性与应用推广提出巨大的挑战；一方面，切片系统交互接口的用户认证机制尚不完善，缺乏统一的数据校验与防止重放攻击的安全保障；另一方面，目前切片编排算法集中于优化编排性能与收益，尚未关注同驻攻击对切片构成的安全威胁。


技术实现要素：

11.本发明的目的在于提供一种智融标识网络的切片安全映射方法及系统，以解决上述背景技术中存在的至少一项技术问题。
12.为了实现上述目的，本发明采取了如下技术方案：
13.一方面，本发明提供一种智融标识网络的切片安全映射系统，包括：
14.用户认证模块，用于实现切片用户访问智融标识网络切片系统时的身份认证，采用签名认证算法在切片系统和用户之间建立可信任的访问通道；
15.切片控制模块，用于接收处理数据传输模块收集到的拓扑信息，将用户的切片使用意图映射为待启动的虚拟网络功能单元vnf集合，在vnf产生故障或节点不可用时提供vnf的水平重构切换；
16.切片编排模块，用于采用切片编排算法将切片控制模块生成的vnf列表在底层网络进行编排映射，采用基于sm9的加密算法，利用用户身份标识对编排信息进行加密；
17.数据传输模块，用于将切片编排模块生成的编排映射结果在网络组件层的可编程功能节点上实现，利用数据平面的可编程语言p4来实现切片的转发逻辑，将用户数据封装为不同类型的切片进行传输，基于int的带内感知遥测对切片拓扑进行全局感知与记录。
18.第二方面，本发明提供一种利用如上所述的系统实现的智融标识网络的切片安全映射方法，包括：
19.切片用户访问智融标识网络切片系统时的身份认证，采用签名认证算法在切片系统和用户之间建立可信任的访问通道；
20.接收处理数据传输模块收集到的拓扑信息，将用户的切片使用意图映射为待启动的虚拟网络功能单元vnf集合，在vnf产生故障或节点不可用时提供vnf的水平重构切换；
21.采用切片编排算法将切片控制模块生成的vnf列表在底层网络进行编排映射，采用基于sm9的加密算法，利用用户身份标识对编排信息进行加密；
22.将切片编排模块生成的编排映射结果在网络组件层的可编程功能节点上实现，利
用数据平面的可编程语言p4来实现切片的转发逻辑，将用户数据封装为不同类型的切片进行传输，基于int的带内感知遥测对切片拓扑进行全局感知与记录。
23.第三方面，本发明提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质用于存储计算机指令，所述计算机指令被处理器执行时，实现如上所述的智融标识网络的切片安全映射方法。
24.第四方面，本发明提供一种计算机程序产品，包括计算机程序，所述计算机程序当在一个或多个处理器上运行时，用于实现如上所述的智融标识网络的切片安全映射方法。
25.第五方面，本发明提供一种电子设备，包括：处理器、存储器以及计算机程序；其中，处理器与存储器连接，计算机程序被存储在存储器中，当电子设备运行时，所述处理器执行所述存储器存储的计算机程序，以使电子设备执行实现如上所述的智融标识网络的切片安全映射方法的指令。
26.术语解释：
27.①
软件定义网络：software defined network,软件定义网络是由美国斯坦福大学clean-slate课题研究组提出的一种新型网络创新架构，是网络虚拟化的一种实现方式。其核心技术openflow通过将网络设备的控制面与数据面分离开来，从而实现了网络流量的灵活控制，使网络作为管道变得更加智能，为核心网络及应用的创新提供了良好的平台。
28.②
p4可编程数据平面：programming protocol-independent packet processors，p4是一种用于网络设备的域特定语言，指定数据平面设备(交换机、nic、路由器、过滤器等)如何处理数据包。
29.③
智融标识网络：smart integration identifier networking，sinet是一种新型网络体系架构，由北京交通大学张宏科院士团队提出，其前身为标识网络和智慧标识网络。
30.④
网络切片：network slicing，网络切片是一种虚拟化，它允许在一个共享的物理网络基础架构上，运行多个逻辑网络。每个逻辑网络之间是隔离的，并且能提供定制的网络特性，如带宽、延时、容量等。同时，每个逻辑网络里除了网络资源外，还包含了计算和存储资源。
31.⑤
网络切片实例：network slice instance,nsi是实现网络切片概念的核心，它是一个端到端的逻辑网络，包含了一系列的网络功能、资源和连接关系。
32.⑥
网络功能虚拟化：network functions virtualization，nfv利用虚拟化技术，将网络节点阶层的功能分割成几个功能区块，分别以软件方式实作，不再拘限于硬件架构。
33.⑦
虚拟网络功能：virtual network function，vnf是在nfv背景下运行的网络功能。
34.⑧
带内网络遥测：in-bandnetwork telemetry，int是一种直接从数据平面上采集和报告网络状态的网络监控框架。
35.本发明有益效果：基于智融标识网络的切片安全编排机制，提高了用户认证与切片编排过程的安全性，为切片提供水平容灾方案，完成切片数据的交付与网络信息的收集；提出基于用户信任度与签名摘要的切片用户认证算法，能够校验交互过程并提高认证效率，减少请求数据长度与系统响应时间，提高用户请求接受率；提出基于意图翻译和k-means聚类的切片重构算法，能够构建切片向量模型，完成用户需求与可用虚拟网络功能之
间的映射过程，完成不可用节点上虚拟网络功能的水平替换，提高切片的可用性与容灾能力；提出基于映射安全水平的切片编排算法，能够在提高编排性能的同时，使映射安全水平高于门限值，提高切片编排过程中的安全性；此外，利用用户身份标识，对映射信令进行基于sm9的加解密处理，保护切片用户的数据隐私安全；提出基于p4的构建切片与带内网络遥测算法，能够按需定制不同协议类型的切片，包括ipv4切片、ipv6切片和智融标识网络切片，实时收集网络信息，包括带宽、队列深度和时延等。
附图说明
36.为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
37.图1为本发明实施例所述的智融标识网络切片安全编排机制模型功能原理图。
38.图2为本发明实施例所述的切片安全编排机制系统功能原理图。
39.图3为本发明实施例所述的用户认证模块流程图。
40.图4为本发明实施例所述的hmac-sha256算法步骤流程图。
41.图5为本发明实施例所述的标识映射及管理工作流程示意图。
42.图6为本发明实施例所述的切片生命周期管理模块图。
43.图7为本发明实施例所述的信令安全加解密模块功能原理框图。
44.图8为本发明实施例所述的切片数据包报头解析流程图。
45.图9为本发明实施例所述的带内感知遥测子模块的int报头格式图。
46.图10为本发明实施例所述的带内感知遥测模块运作模型结构图。
47.图11为本发明实施例所述的带内感知遥测模块数据包处理流程图。
48.图12为本发明实施例所述的带内感知遥测子模块中可编程功能节点在接受到数据包时处理的流程图。
49.其中：1-子网网关路由；2-接入控制设备；3-切片控制器；4-可编程功能节点；5-编排控制器；6-切片转发设备。
具体实施方式
50.下面详细叙述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。
51.本领域技术人员应该理解，附图只是实施例的示意图，附图中的部件并不一定是实施本发明所必须的。
52.网络切片通过共享公共物理基础设施，在其上创建多个逻辑隔离的虚拟网络，以此来满足不同切片用户和网络服务提供商提出的通信需求。nfv、云网络和sdn等技术使得网络切片系统能够根据用户需求映射为vnf集合，通过连接各个vnf单元构成nsi，将nsi映射在底层网络组件等通用设备中运行切片功能。在上述背景下，如何以较低的时间、金钱等成本进行编排过程中的安全性设计成为网络切片推广应用的重要挑战。
53.因此，本实施例中设计了切片安全编排机制需要具备以下特点：
54.(1)提供高可用的切片系统对外接入的api，能够以较快速率和较低成本对用户请求做出响应，提升用户身份数据校验的效率及面对重放攻击时的系统表现，实现记录用户互动行为的功能。
55.(2)实现将用户的切片使用需求与切片系统中可用vnf的相似性映射功能，能够准确反映用户的使用需求，其次实现在切片使用过程中节点不可用时的vnf容灾切换功能。
56.(3)考虑同驻一套基础设备的vnf的使用过程中潜在的数据泄露与攻击风险，实现一种安全编排算法，在提升资源利用率、成本利润率等条件下，引入安全控制的约束，提高编排算法的安全性能。同时对编排信令进行数据加密，保证用户数据的隐私安全。
57.(4)实现数据层的可编程传输转发功能，对底层传输设备进行切片网络的构建，将用户数据转为不同网络协议形式的切片数据在网络中传输。此外将切片拓扑中的资源信息等进行探测与日志记录等，实现带内网络遥测功能。
58.智融标识网络切片安全编排机制模型设计如图1所示。切片用户接入智融标识网络切片系统时，发送携带接入数据的请求数据包，数据包经过子网网关路由1后，到达位于智慧服务层的接入控制设备2。请求数据包会在接入控制设备2处进行用户认证，认证结束后接入请求若被切片控制系统判定为合法请求，会对用户的配置信息进行分析处理，并将这部分用户配置信息通过控制链路中的切片转发设备6传递到由切片控制器3组成的切片控制集群。切片控制集群将对服务标识进行管理，为该用户、接入位置以及联络终端和位置以及后续服务分配相应标识，分析用户历史交互行为与网络状况，计算出本次切片交互的用户信任度属性，并将相关信息记录到数据库中。切片控制集群会定时进行全局网络状态感知，分析可编程功能节点4以及各链路的使用情况和剩余资源分布情况，在此基础上构造虚拟及物理网络资源的分布模型。在获得可用资源情况和用户配置情况后，进行用户意图翻译工作，根据用户的功能和性能需求匹配最佳的vnf，生成编排配置信息，为用户提供服务。切片控制集群同时还承担切片生命周期的管理功能，通过对切片使用情况和状态的监测，提供切片重构、下线等服务。
59.切片控制集群将编排配置信息通过控制链路发送到位于资源适配层的由编排控制器5组成的编排控制集群，编排控制集群具有管理切片编排映射算法的功能，根据用户需求、vnf和请求链路的需求选择编排算法，结合用户信任度属性，在保证编排效益的情况下，为网络组件层下发切片映射信令，编排算法将保证编排结果的安全性。相关映射信令将得到信令安全加密处理，以防映射信令受到篡改和伪造等。
60.切片映射信令下发到位于网络组件层的可编程功能节点4后，可编程功能节点4将对用户数据进行切片封装与转发。这些可编程功能节点4搭载有p4数据平面可编程语言，通过预设转发逻辑来为不同数据包匹配相应的封装与转发逻辑，通过定期进行网络拓扑资源收集，将拓扑信息反馈到智慧服务层，这些节点具备多协议协同转发功能，可以适配具有复杂协议的网络。
61.本实施例中，切片安全编排机制系统设计如下图2所示，共分为四个模块，分别为：用户认证模块、切片控制模块、切片编排模块和数据传输模块。
62.各模块具体功能如下：
63.(1)用户认证模块负责实现切片用户访问智融标识网络切片系统时的身份认证，
即在切片系统中识别操作员的数字身份，验证访问人员身份的合法性。本模块采用签名认证算法在切片系统和用户之间建立可信任的访问通道，其中认证算法包括：摘要算法和签名算法。本模块提出信任度算法为切片生命周期管理、编排算法管理提供数据支持。
64.(2)切片控制模块负责实现智融标识网络切片系统的核心控制功能。切片控制模块支持多种控制器应用协作，保障切片系统的正常运行周转功能。本模块的输入是用户配置信息，接收到用户配置信息后，通过用户意图翻译模块对用户关于切片的资源需求进行分析，虚拟/物理网络资源管理模块在整理系统资源后将相应资源数据量提供给用户意图翻译模块，从而进行资源的匹配，整个服务过程都将得到智融标识网络的服务标识管理与监控，参与到切片的生命周期管理中，将切片编排配置传输给切片编排模块。
65.(3)切片编排模块负责实现智融标识网络切片在网络组件层的映射过程。本模块包括编排算法管理模块、信令安全加密和切片编排控制集群。编排算法管理负责分析用户需求和网络情况，采用不同的切片编排映射方法来满足用户对切片使用的性能需求，设计了智融标识网络切片编排算法，在保证编排收益的同时，使得编排满足一定的安全需求。信令安全加密模块可以保障切片映射命令传输过程中的信息安全，增强映射环节安全性。切片编排控制集群负责将相应编排命令映射到网络组件层，组成网络切片实体，高可靠、高有效地构建切片网络，监测切片状态。
66.(4)数据传输模块负责实现网络组件层的数据传输功能。本模块通过int收集处理网络拓扑信息，为切片编排模块提供网络实时资源信息，结合p4可编程数据平面编写数据层转发命令，具备重复配置性、平台无关性、协议无关性的特点，采用多种协议的切片形式灵活传输用户数据，为切片控制模块提供数据支持。
67.本实施例中，用户认证模块需要保障切片用户通过对外api访问智融标识网络切片系统的访问安全性，此模块流程图如图3所示。通过服务标识管理服务给予本次访问过程标识管理，并将相关数据存入数据库中以供查询。在确认用户身份的访问合法性后，获取用户对切片的使用需求，并根据用户信任度算法给予访问过程信任度的标识管理，为切片编排提供安全属性的数据准备。
68.本实施例中，对于用户签名认证子模块的设计如下：
69.切片用户在访问智融标识网络切片系统并申请切片资源时，根据自身的带宽需求、可接受的时延需求、安全性需求等需求选择切片类型，生成相应的用户需求元数据。这部分用户需求元数据将通过摘要算法计算出数据摘要，摘要算法对智融标识网络切片系统和切片用户是公开的，本实施中采用的摘要算法是将用户请求的关键字段进行拼接，summarydata由sinet_access_key、typedata、md5data、signaturemethod和timestamp组成。其中，summarydata是经过拼接得到的数据摘要。sinet_access_key保存了切片用户的身份信息，智融标识网络切片系统据此进行用户身份核验，typedata保存了切片用户的业务请求信息，md5data是对业务请求信息加密保护后产生的序列，可以避免请求信息被截获后的篡改或伪造，signaturemethod可以由用户指定其他签名算法，timestamp保存了切片用户请求过程的有效期，用于抵御重放攻击。数据摘要summarydata结合切片密钥在签名算法下生成唯一签名，签名算法对智融标识网络切片系统也是公开的，通常为散列算法或加密算法，本模块采用散列算法hmac-sha256来作为签名认证时的签名算法。
70.hmac-sha256算法是一种通过sha-256方法来产生哈希值的hmac算法，hmac算法的
过程如公式(4-1)所示：
[0071][0072]
其中k为密钥，k'为根据k推导出的密钥，m为需要进行签名认证的消息，h为密码hash函数，stuff为比特填充。
[0073]
hmac-sha256算法如公式(4-2)所示：
[0074][0075]
其中sha256为sha-256加密算法，输出的散列值长度为256比特。
[0076]
hmac-sha256算法的步骤如图4所示，首先计算密钥k'，如果密钥k的长度小于sha-256的长度512比特，需要在密钥k的比特末尾添加0直到密钥k的长度为512比特，此时得到密钥k'；若密钥k的长度大于512比特，此时密钥k'为密钥k经过sha-256函数处理得到的散列值。sha-256是一种哈希函数，它可以将任意长度的消息转化为长度为256比特的哈希值，转化过程首先将待处理的消息切分为a个长度为512比特的子消息，其中最后一个子消息进行比特补全，再进行a次子消息迭代，最后的迭代结果就是长度为256比特的哈希值。将得到的密钥k'，与将00110110比特序列循环填充至512比特的序列进行异或运算，得到长度为512比特的序列结果sa。将该序列结果拼接到需要进行签名认证的消息m的首部，并将拼接结果作为sha-256函数的输入，输出长度为256比特的哈希值ha。密钥k'再与将01011100比特序列循环填充至512比特的序列进行异或运算，得到长度为512比特的序列结果sb。将ha拼接在sb之后，并将拼接结果作为sha-256函数的输入，输出得到长度为256比特的用户签名。最终切片用户将请求元数据及生成的用户签名发送到智融标识网络切片系统的接入控制设备。
[0077]
接入控制设备在获取到切片用户发来的数据序列后，根据已公开的摘要算法计算获取到摘要，再根据hmac-sha256算法，经过上述步骤的计算得到用户签名，通过对比该签名与切片用户请求携带的签名的幂等性，验证该切片用户访问请求的合法性。
[0078]
本实施例中，对于用户信任度子模块的设计如下：
[0079]
在完成对切片用户请求的合法性验证后，用户认证模块将根据该用户的历史交互行为，结合交互评价机制对本次切片用户的访问接入行为作出评估，计算其用户信任度。
[0080]
设用户的互动值vn计算方式如公式(4-3)所示：
[0081][0082]
其中，n为切片用户访问智融标识网络切片系统的历史次数，本系统通过队列q来记录切片用户的历史访问数据，长度为l，当切片用户的历史访问统计次数大于l时，将清除队列首部访问记录较早的用户数据。α为系数因子，可以调节各历史阶段存在的切片用户访问数据对信任度计算的影响幅度，使发生时间较近的访问数据对信任度的修正幅度更大。ηi为第i次切片用户访问智融标识网络切片系统的安全评估数据，评估正常时为一个正数η
p
，评估为非正常访问数据时得到一个负数fiηn，其中fi为调节因子，计算过程如公式(4-4)所示：
[0083][0084]
其中，v
i-1
为切片用户最近一次访问时的互动值。
[0085]
本实施例中通过logistic曲线模拟切片用户信任度变化趋势，如公式(4-5)所示：
[0086][0087]
其中，d(0)是初始信任度，f为信任度最大限值，a调节曲线变化幅度，且a＞0。将切片用户的互动值vn代入公式(4-5)，并设f＝1，可得到本次用户访问的信任度如公式(4-6)所示：
[0088][0089]
其中，其中，的数值越小表明信任度越低。
[0090]
智融标识网络切片系统的智慧服务层可以根据用户信任度，结合自身访问控制策略来调整切片用户的访问权限。首先，根据用户的信任程度对用户进行划分。如果用户具备历史交互行为评价较差，计算得到相对较低的信任度，即d＜l，其中l为信任度访问门限，将拒绝用户使用切片资源。如果用户具备历史交互行为评价满足策略，即d＞l，则允许用户短期访问切片资源，其中若信任度较高，即d＞h＞l，h为可信任阈值，则允许用户长期访问切片资源。通过引入切片用户信任度概念，设置用户访问的有效持续时间，可以提高访问决策的效率，并实现用户对资源访问权限的动态变化。
[0091]
此外，用户信任度还将作为收敛条件之一加入到切片编排算法中，结合网络可用资源共同调整切片编排策略，提升编排效益的同时，可以增强编排的安全性与可靠性。
[0092]
本实施例中，对于切片控制模块，此模块负责接收处理数据传输模块收集到的拓扑信息，将用户的切片使用意图映射为待启动的虚拟网络功能单元vnf集合，在vnf产生故障或节点不可用时提供vnf的水平重构切换。此模块设计分为用户意图翻译子模块设计和切片生命周期管理子模块设计。
[0093]
本实施例中，对于用户意图翻译子模块的设计如下：
[0094]
用户意图翻译模块的设计目的是使用户输入服务需求，通过智融标识网络智慧服务层中的切片控制系统将这些需求转换为vnf的数据配置，执行资源编排。切片控制模块实时监听网络组件层中的物理链路拓扑信息，据此完成虚拟可用资源集合的统计，将网络组件层中底层网络拓扑以g表示：g＝(n,l,b,d)，其中n表示网络拓扑中的可编程功能节点，l表示可编程功能节点之间的网络拓扑链路，b表示网络拓扑的带宽，d表示网络拓扑的时延。对应地，切片网络拓扑以gv表示：gv＝(nv,lv,bv,dv)，其中nv表示切片拓扑的可编程功能节点，lv表示切片拓扑中的链路，bv表示切片拓扑的带宽资源，dv表示切片拓扑的时延。以cn＝{c
band
,c
cpu
}表示底层网络中的资源集合，其中c
band
、c
cpu
分别表示网络带宽资源和服务器的内存资源。假设有s个nsi需要映射到网络组件层，nsi用字符v表示，第j个nsi表示为vj，vj的有向图表示为g
jv
＝(n
jv
,l
jv
,b
jv
,d
jv
)，对应地，定义为vj所需的资源集合。
[0095]
本实施例中，结合余弦相似度匹配法来将用户意图映射为智融标识网络切片系统中的vnf集合。将智融标识网络切片系统中的vnf按带宽、时延、内存、通信安全等级、功能标号等不同维度划分为向量，每个维度给予一定的数值等级划分，将用户意图对应为各维度空间的向量集合，通过用户意图余弦相似度算法找到与用户意图需求的资源量分配情况最
为匹配的可用vnf，组成nsi。
[0096]
余弦相似度通过向量空间中两个向量夹角的余弦值来度量二者的相似度，相似度越接近1，两个向量的夹角越接近0度，证明两个向量越接近。设向量与向量在二维空间的坐标分别为(x1,y1)和(x2,y2)，则两个向量的余弦相似度计算公式如(4-7)所示：
[0097][0098]
切片用户输入所需的功能服务列表需求，以及为每项功能服务设置所需的资源列表集合，切片控制系统在接收到用户需求后，将其转换为与vnf资源属性相对应的vnf需求集合，将用户需求列表与从切片控制系统数据库中提取出的可用vnf列表集合通过余弦相似度算法进行匹配，并按照vnf差异度进行筛选，差异度计算方法公式如(4-8)所示：
[0099][0100]
其中diff代表差异值，值越接近0代表用户需要的vnf与切片控制系统中可用的vnf相似性越接近，α和β分别代表可用vnf的向量长度与用户需求的向量长度，cosθ代表两个向量的余弦相似度，λ和μ分别为向量长度比值与余弦相似度的调整系数。通过将用户需求向量集合与可用向量集合进行对比，筛选出差异度最小的可用向量，作为用户需求向量的映射对象，最终得出映射向量集合。
[0101]
具体算法过程如算法1所示：
[0102][0103]
用户意图余弦相似度算法通过输入用户意图向量和可用切片vnf向量集合来进行相似度对比，通过设置一个匹配阈值来限制参与对比过程的最低相似度大小。步骤2对一些中间变量进行初始化，包括向量涉及的维度，可用切片vnf集合的大小，以及设置一个最初的最佳匹配切片向量和最佳差异值。步骤3～9将每个可用切片的全维度属性进行用户意图余弦相似度算法匹配，计算出差异值，更新最佳匹配切片vnf向量和最佳差异值，最后通过步骤10返回最佳匹配结果。
[0104]
为了适应不同网络协议类型，标记并管理切片服务，记录切片服务的版本信息、使用情况与切片用户的身份、位置信息等，本实施例中采用服务标识对切片服务进行管理。在切片用户接入智融标识网络切片系统服务时，切片控制器将为该用户提供切片服务，并记录服务标识，设计了integer数据类型的版本id对切片版本进行标识，初始版本为1，在用户提出新需求或切片网络链路故障需要进行重新编排时会逐次增加，切片用户可以通过切片版本id和切片id的数据记录读取到各个版本的切片运行状态参数和切片参数，可以选择相应的切片版本id进行回溯，切片控制系统也可以根据版本id提取切片各版本的信息。为了方便对不同切片进行区分，设计了integer数据类型的切片id字段，是服务标识管理中的主要字段，作为主键记录在服务标识的数据库中，通过切片id，切片用户和切片控制系统可以迅速锁定切片对象，进而搜索到关于该切片的其他记录信息。为了标记切片所包含的资源数据量，设计了长度为5个integer数据类型，共20字节的切片参数字段，分别存储该切片的带宽需求、cpu需求、安全等级需求、时延需求和一个预留字段，从这些字段可以读取到该切
片携带的性能参数需求。切片的状态包括设计状态、实例化未投入使用、使用状态、重构状态、故障状态和下线状态，通过integer数据类型的状态参数字段来标识切片的可用状态。此外还设计了integer数据类型的用户身份标识和接入位置标识，对切片用户的接入状态进行记录，通过integer数据类型的目的接入身份标识和目的接入位置标识对切片网络的通信终端进行记录，后续的切片数据包转发将携带这些关键数据进行通信，提升通信效率。通过integer数据类型的协议标识来标记切片采用的协议类型，方便在切片的出口侧进行协议的还原等，标识的内容分布如下表1所示。
[0105]
表1
[0106][0107]
本模块的工作流程如图5所示，首先切片用户与切片联络终端请求通过接入控制设备来接入智融标识切片系统。接入控制设备在接收到接入请求后，将用户提交的相关身份信息和接入信息递交到切片控制器集群。切片控制器集群在完成身份验证等步骤后，将身份标识与位置标识分配到接入控制设备，同时将标识信息保存记录到数据库中。切片用户在发送数据时，数据到达可编程节点时会携带用户本身与切片联络终端的标识信息，据此进行数据的转发，参与后续根据标识采取的切片映射策略与切片管理服务操作等。
[0108]
本实施例中，对于切片生命周期管理子模块的设计如下：
[0109]
网络切片生命周期管理主要包含以下过程：首先需要定义一个切片，将切片用户需要的vnf集合连接，构成一条nsi。在定义了切片构成后，需要对切片进行实例化。实例化阶段要求切片编排控制器为切片保留相关资源，创建切片并将相关转发流表信息下发到网络组件层的可编程功能节点上，同时激活这些可编程功能节点上对应的vnf功能并使其可供使用。在激活阶段，网络切片的状态将被监听与监测。在切片实例化成功之后，监控程序将持续反馈切片运行状态信息，并根据服务需求将切片运行状态记录在数据库中。当用户的需求发生改变、可编程功能节点异常或链路异常时，将进行切片的重构，将vnf重新映射，并进行切片的实例化操作等，在完成重构后将重构结果与链路状态信息再次反馈给切片控制系统进行监测与监听等。当切片达到其寿命或用户失去使用需求时，切片将进入下线状态，此时需要将可编程功能节点上的相关vnf功能关闭，通过编排控制器将切片转发信息通过下发流表的方式进行删除，同时更新数据库中关于切片的使用状态等，完成切片的下线工作。
[0110]
本系统将切片的生命周期分为切片设计、切片实例化、切片状态检测、切片重构与切片下线五个阶段，模块划分如图6所示。切片设计阶段将根据用户提出的功能性需求对切片涵盖的vnf进行组合与设计，通过用户意图翻译模块将用户需求映射为vnf集合，再将vnf集合连接组成nsi。切片实例化阶段将设计好的nsi通过编排控制器集群映射到底层物理网络。切片状态监测阶段将观测切片的运行状态，记录使用日志、网络情况、宕机状态等，通过
网络组件层中的带内感知遥测收集网络拓扑中的带宽和时延信息等。切片重构阶段将根据切片状态与用户需求进行切片的重新构造与映射。切片下线阶段将回收切片的网络资源，解除切片连接。
[0111]
在切片重构阶段，若某个可编程功能节点发生故障，需要进行vnf的重新布局与映射，本发明提出了基于k-means聚类算法的vnf重构算法，通过将所有vnf集合划分为k个簇，使得簇内对象彼此相似，簇间对象不相似，使vnf可以在簇内的节点之中得到替换。本实施例中选择了基于划分的聚类算法，假设可编程功能节点个数为n，节点集合划分为k个子集，即构成k个类，将n个功能节点划分到这k个类中，使得每个功能节点到对应类的中心距离最小，聚类基础是误差平方和准则，如公式(4-9)所示：
[0112][0113]
其中代表了第i个聚类中心，ei代表第i个样本子集，ni代表第i个簇中包含的可编程功能节点的个数，x代表了子集中的一个样本，s为产生的总的误差平方。需要通过找到合适的ai使s全局最小，基于k-means聚类算法的vnf重构算法流程如算法2所示：
[0114]
[0115][0116]
[0117][0118][0119][0120]
ni＝n
i-1
ꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀ
(4-13)
[0121][0122][0123]
nk＝nk+1
ꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀ
(4-16)
[0124]
基于k-means聚类的vnf重构算法根据可编程功能节点集合、故障节点和簇个数，经过k-means聚类与替换节点的选择后，得到误差平方、各个簇集合与替换节点x1',...,xn'。步骤2为初始化阶段，对簇进行初始划分和，对相关中间变量值进行初始化计算。步骤3至步骤18为样本修正阶段，通过迭代循环，计算出簇的划分结果。步骤19至步骤25从簇中选择故障节点的替换节点，若簇的大小不为1，则替换节点为与故障节点处于同一簇下的另外一个随机节点，并从可选节点集合中将该故障节点与替换节点去除。若簇的大小为1，即簇内只有故障节点1个节点，证明簇的k值较大，需要将k值缩小后，进行下一轮重新划分簇的计算过程。步骤26至步骤29的目的是将上述没有替换节点对象的故障节点进行k值的重新划分，之后循环直至全部故障节点完成节点的替换。步骤30返回误差平方、各个簇分类结果与替换节点集合。关于k值的选取，可以采用手肘法，选取总误差平方和减少的趋势不再明显处的值，也就是拐点处。
[0125]
本实施例中，切片编排模块负责将切片控制模块生成的vnf列表在底层网络进行编排映射，设计一种切片编排算法，在优化编排性能的同时，提升编排过程中的安全性，采用一种基于sm9的加密算法，利用用户身份标识对编排信息进行加密。此模块设计分为编排算法子模块设计和信令安全加密子模块设计。
[0126]
对于编排算法子模块的设计如下：
[0127]
定义节点利用水平为nsi映射到可编程功能节点上时，该可编程功能节点能够提供给切片用户使用的资源量与nsi需要的资源量的比值。设切片实例vj存在k个vnf需要映射至网络组件层，网络组件层的可编程功能节点数量为r，则第i个vnf映射结束后的节点利用水平计算方式如公式(4-17)所示：
[0128][0129]
其中，平衡倍数δ1与δ2可以用来调整vj所需的资源量的比例，δ1+δ2＝1，为可编
程功能节点所剩的可使用的带宽资源，为所剩的可使用的cpu资源，为vj映射在第i个可编程功能节点上所需的带宽资源，为vj映射在第i个可编程功能节点所需的cpu资源。该nsi对应的节点利用水平如公式(4-18)所示：
[0130][0131]
其中，k为需要映射在网络组件层可编程功能节点的总节点数，通过评估各可编程功能节点的节点利用水平的加权平均值，可以计算出该nsi的节点利用水平，的值越大代表节点利用水平越高，值越小代表节点利用水平越低。vj的映射安全水平如公式(4-19)所示：
[0132][0133]
其中，是vj的节点利用水平，是vj的用户信任度，ε1+ε2＝1，可以根据需求调整取值平衡评级权重，映射安全水平算法的具体过程如算法3所示：
[0134][0135][0136]
步骤2为初始化阶段，设置算法需要的参数值，步骤3～步骤10为第二阶段，目的是
根据用户的历史交互评价值来循环计算出用户信任度步骤11为第三阶段，根据vj计算出节点利用水平，步骤12和步骤13为最终阶段，计算并返回映射安全水平
[0137]
首先初始化大小为r的粒子群，单枚粒子代表一种网络切片实例vj的映射方法，设vj共有a个节点需要进行映射，positioni＝(position
i1
,position
i2
,...,position
ia
)为粒子i的映射位置，其中i∈[1,r]，position
ia
代表粒子i将网络功能a映射在物理网络中的具体位置。粒子的速度更新如公式(4-20)所示，位置更新如公式(4-21)所示：
[0138]
vi(n+1)＝ωvi(n)+c1rand()(pbesti(n)-presenti(n))+c2rand()(gbesti(n)-presenti(n))
ꢀꢀ
(4-20)
[0139]
positioni(n+1)＝positioni(n)+vi(n+1)
ꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀ
(4-21)
[0140]
本系统编排算法的优化函数如公式(4-22)所示：
[0141]
max{p
·
c'
band
+(c
band-c'
band
)
·
b+dc'
cpu
}
[0142]
subject to
[0143][0144]
其中，vi(n)为粒子i的偏移速度，positioni(n)为粒子在物理网络中的位置，ω为惯性系数，用来调节位置空间的搜索速度，c1和c2为粒子的学习系数，pbesti(n)代表粒子当期映射最优值，gbesti(n)为所有粒子中的最佳映射值。c'
band
为vj分配的带宽，c'
cpu
为vj分配的cpu资源，p为vj的单位带宽收益，b为分配给非切片用途时的单位带宽收益，d为vj分配的单位cpu收益，γ为安全门限。定义智融标识网络切片编排算法(rusa)流程如算法4所示：
[0145][0146]
步骤2～6对编排算法涉及的中间变量进行初始化，包括粒子群的初始位置和初始速度大小，步骤7～步骤11依据切片映射的安全性能要求，结合实际物理资源集合，循环得出最佳映射位置，保证编排收益的同时，使映射结果满足安全门限γ，最后通过步骤12返回最佳映射位置。
[0147]
对于信令安全加密子模块的设计如下：
[0148]
切片编排模块的信令安全加解密模块如图7所示，本模块融合了智融标识网络的标识分配机制，设计了基于sm9的智融标识网络信令安全加密算法，对编排模块中转发的指令进行数据加密安全处理。本加密算法是一种建立在双线性对上的具有标识的加密算法，通过切片用户的用户身份标识来为切片用户的编排过程中的信令发送过程提供加解密服务，因其在利用过程中并不需要第三方的证书库或密钥库，更利于切片控制系统对编排安全的控制，在一定程度上也缓解了加解密过程的长周期与成本耗费较大的问题。
[0149]
设编排信令为信号流s，l为s的比特长度，用户的身份标识user_id的长度为user_len，目的接入身份标识dest_id的长度为dest_len，加密算法流程如算法5所示。首先计算群g1中的元素qb，之后产生随机数r，再计算群g1的元素c1以及群g
t
中的元素g和w。本算法中加密明文的方法是结合密钥派生函数的分组密码算法，因此计算得到整数klen，并计算得到c2和c3，并得到最终密文c。
[0150][0151]
设mlen为c2的比特长度，用户的身份标识user_id的长度为user_len，目的接入身份标识dest_id的长度为dest_len，解密算法流程如算法6所示。算法中首先检验最终密文c中的比特串c1是否为椭圆曲线g1上的点，检验通过后计算得到群g
t
中的元素w'，将其转换为比特串，算法中加密明文的方法是结合密钥派生函数的分组密码算法，因此解密中计算得到整数klen，并计算得出m'。最后计算u并与比特串c3进行比较，输出明文m'。
[0152][0153]
通过基于sm9的智融标识网络信令安全加解密算法可以对编排模块中转发的信令进行加密保护，防止编排信令被窃取而泄露用户隐私数据，增强了智融标识网络切片系统映射过程的安全性。
[0154]
本实施例中，数据传输模块负责将切片编排模块生成的编排映射结果在网络组件层的可编程功能节点上实现，利用数据平面的可编程语言p4来实现切片的转发逻辑，将用户数据封装为不同类型的切片进行传输，此外设计了基于int的带内感知遥测功能，对切片拓扑进行全局感知与记录。此模块设计分为可编程转发子模块设计和带内感知遥测子模块设计。
[0155]
本实施例中对于可编程转发子模块的设计如下：
[0156]
设计了三种切片网络数据传输格式，分别为：ipv4切片、ipv6切片和sinet切片，即网络层的传输协议包含以上三种类型，其中以太网字段中的协议类型ethertype的映射关系如下表2所示，报文格式如图8所示。
[0157]
表2协议类型映射关系
[0158][0159]
其中ipv4切片在以太网的映射字段为0x0800，ipv6切片的映射字段为0x86dd，sinet切片在以太网的映射字段为0x8999。在切片封装阶段，可编程交换机将在切片用户原数据包的基础上，为其添加各协议类型切片的封装报头。因此需要将以太网数据字段的协议类型进行相应更新，当切片数据即将传出切片网络，即切片数据抵达最后一个转发可编程功能节点时，将完成以太网协议字段的还原。
[0160]
分别对三种切片传输数据报头的字段功能进行阐述，其中ipv4切片的报头字段功
能如下表3所示。
[0161]
表3ipv4切片的报头字段功能
[0162][0163]
本模块设计支持ipv4/ipv6/sinet三种协议切片协同传输模式，每种切片逻辑隔离互不影响，用户可以选择单一协议切片形式来传输数据，还可以根据自身需求和联络终端的协议状态来选择切换其他协议类型的切片传输形式，或者同时选择两种以上的不同协议切片传输模式对数据进行传输。由于ipv6协议是近年提出的网络协议，寿命相对较短，目前ipv4协议仍然还是大多数互联网设备运行的基础协议，多数设备的端口仍然配置着ipv4地址，因此本模式设计支持ipv4协议类型的切片来为用户提供通信。此外也设计了ipv6协议类型的切片，可以承接部分设备的协议更新，为其提供ipv6的通信模式。此外设计了sinet切片，提供身份标识与接入标识，提升通信的灵活性。ipv6切片的报头字段功能如下表4所示：
[0164]
表4ipv6切片的报头字段功能
[0165][0166][0167]
sinet切片的报头字段功能如下表5所示：
[0168]
表5sinet切片的报头字段功能
[0169][0170]
接下来对可编程功能节点接收到切片数据时的转发逻辑进行设计，图9是报头解析过程流程图。
[0171]
首先是数据包到达之后的报头解析流程：
[0172]
(1)在数据包抵达后首先提取以太网字段，检查其协议类型，判断切片类型，提取出ipv4报头、ipv6报头或sinet报头。
[0173]
(2)若是sinet切片类型，还需要提取其src_id_len字段，判断其携带的主机节点标识的长度，根据判断结果转入相应的解析过程，提取不同长度的主机节点标识。
[0174]
(3)若是sinet切片类型，还需要提取pid字段，用来标识并还原用户协议类型。
[0175]
完成切片数据包的报头解析流程后，需要对处理切片的相关动作进行设计：
[0176]
(1)首先需要一个sinet封装的执行动作，其入参即需要的流表信息包含目的mac地址、源和目的可编程功能节点标识和主机标识以及出端口，通过该动作可以为用户组装一个sinet切片报头，并传入标识用于指示切片的转发路径，根据所传src_id_len所指示的不同长度的节点标识，需要对应数量，匹配该长度的封装动作。
[0177]
(2)ipv6切片数据包的封装动作，入参为目的mac地址、出端口、源ipv6和目的ipv6地址，用于创建ipv6切片，转发该切片数据包。
[0178]
(3)基于ipv4切片标识的转发动作，入参为目的mac地址以及出端口，用于指示该切片的传输路径。
[0179]
(4)基于sinet切片标识的转发动作，入参为目的mac地址以及出端口，根据采用的主机标识的不同长度，需要设计对应数量的转发动作。
[0180]
(5)基于ipv6切片标识的转发动作，入参为目的mac地址和出端口，根据标识进行切片转发路径的设置。
[0181]
(6)解除sinet切片数据封装的动作，在sinet切片数据包抵达最后一个可编程功能节点，即将传出切片网络时，需要将切片类型还原为用户原始数据包的对应协议类型，此时入参包含目的mac地址以及出端口。
[0182]
(7)解除ipv6切片数据封装的动作，原理同上，需要的入参是目的mac地址以及出端口，将切片协议还原为用户接入时的数据协议，交付切片数据。
[0183]
(8)丢包动作，切片数据不匹配任意表时，即不满足切片转发逻辑时，将该数据包丢弃。
[0184]
之后将上述各个动作组装为表与流表进行对应，表的相关功能设计如下表6所示：
[0185]
表6可编程转发子模块表相关功能设计
[0186][0187][0188]
当可编程功能节点接收到用户数据包，将按照上述表的匹配方式将用户数据包按照映射结果组装为相应协议的切片类型进行转发，当用户选择多协议切片时，将通过寄存器来控制数据包转化的协议类型。发包比例也将通过寄存器的值进行设置，并控制该切片
占用的带宽等。
[0189]
本实施例中，对于带内感知遥测子模块的设计如下：
[0190]
本模块采用int技术从网络组件层提取网络拓扑信息，通过在切片传输路径的可编程功能节点上为数据包头部添加探测信息的方式，可以获取到该切片的带宽、传输时延、丢包情况、队列深度情况等网络信息，并将数据反馈给切片控制模块，作为切片控制系统对切片生命周期和映射策略进行调整的数据支撑。首先对int报头进行设计，在原ipv4报头结构的基础上，在ipv4数据字段与tcp/udp数据字段之后设计额外的probe、probe_data、probe_fwd报头，最终设计的带内感知遥测子模块的int报头格式如图10所示，报头中的各字段功能如表7所示。
[0191]
表7带内感知遥测子模块int报头字段功能
[0192][0193][0194]
在本模块中，int探测报文将周期性地从int发送源遍历整个切片网络，获取网络拓扑信息，如带宽、时延、丢包、队列深度情况，在int接收端将上述信息整理反馈至带内感知遥测控制平面存储并供其他模块取用，切片用户在网络中发送的数据包情况将被实时记录并上传至控制平面。探测报文中probe将作为探测标识，记录目前在某切片上的遍历可编程功能节点的个数，每个探测报文将携带一个probe报头。probe_fwd报头用于为探测报头
指示路径，通过egress_spec字段来控制探测的方向，拓展功能是通过swid字段为可编程功能节点赋予节点标识，以及为节点的不同端口处的切片赋予特定的发包比例。在int发送源处，将事先根据拓扑信息，为探测报文构建与探测路径中可编程功能节点个数对等的probe_fwd报头。probe_data报头中记录有可编程功能节点关于各切片端口的字节数、入口数据包数、出口数据包数、队列深度、包到达时间与离开时间等数据，这些数据保存在寄存器对应端口号的位数上，在有探测报文抵达时会进行更新，并构造probe_data报头，每经过一次可编程功能节点都会构造一个相应的probe_data报头。最终组装完成的探测报文将抵达int接收端，将probe_data报头的信息提取并上传至带内感知遥测控制平面进行解析保存，记录在日志中。上述带内感知遥测模块运作模型如图11所示。
[0195]
接下来对数据采集流程进行设计，图12为带内感知遥测子模块中可编程功能节点在接受到数据包时处理的流程图：
[0196]
(1)为了周期性地感知切片网络中各条链路的资源信息，需要在int发送端周期性地发送int探测报文。int发送源要初始化探测报文，根据拓扑信息构造以太网头部，设置以太网类型ethertype为int探测报文，初始化probe报文头部，将hop_cnt置为0，代表此时还没有经过可编程功能节点。此外int发送源需要根据需求设置learn字段，若切片用户有使用多切片的需求，则可以通过learn字段为用户初始化在各个切片处的发包比例。之后初始化probefwd报头，根据探测路径上所需经过的可编程功能节点交换机的个数，为探测报文添加相应数量的probefwd报头，并根据希望探测的路径为各个probefwd报头设置egress_spec字段值，来代表到达对应可编程功能节点时的数据包出端口。
[0197]
(2)可编程功能节点在接收到探测报文时，会根据以太网报头的ethertype类型来选择报头的解析流程。若类型为ipv4、ipv6以及sinet报文，则代表是正常的用户切片数据流，按照切片转发逻辑来解析数据包头部并继续后续的转发流程。若类型为int探测包，首先会提取probe报头，并根据probe报头中的hop_cnt字段值来判断其是否含有probe_data报头。hop_cnt为0时代表此时的int探测包尚未经过可编程功能节点，此时将解析probe_fwd报头获取探测报文的出端口，以及若用户有需求，可以提取出希望使用的多切片的切片发包比例。hop_cnt大于0时代表此处可编程功能节点接收到的探测包在此前已经经过了一些节点，存有了记录的拓扑信息的probe_data报头，此时将循环提取对应数量的probe_data，并在probe_data报头提取完毕后转入提取probe_fwd报头。
[0198]
(3)在可编程功能节点对报头解析完毕后，需要根据提取到的报头信息对数据包作进一步处理。首先需要借助寄存器来读取以该数据包进入节点时的端口值位数处的值，来获取一个探测周期内从对应端口处接受到的数据包的个数，并在此基础上数量加一，若不是probe报头，则将新的数据包个数继续存放在对应端口位数的寄存器中，否则清零，代表一个周期内计数完毕。
[0199]
(4)统计数据包个数后，若用户开启了多切片发送数据的模式，则需要从寄存器中读取从该可编程功能节点切片对应的各个出端口处发送的数据包的个数，与本次数据包该发送的端口，并查询设置的发包比例。
[0200]
(5)若是probe探测报文，需要根据learn字段的值为该可编程功能节点设置相应端口处的发包比例；若是普通切片数据流，则根据在第(4)步中获取的发包个数来判断本次的发包端口，将端口号通过元数据的方式传递给节点。
[0201]
(6)在决定发送端口时，将根据目前已发的数据包个数，和对应端口处发送的数据包个数，根据设置的各条路的发包比例来更新寄存器中存储的值来决定下次的发包端口，之后将数据包从对应的端口处发出。
[0202]
(7)在发送的端口处，需要借助寄存器来设置probe_data各字段值，统计拓扑信息。首先读取在对应端口号为位数的寄存器的值，获取在一个探测周期内从该端口已发送的数据包个数，若本数据包不为probe探测报文，则代表周期未结束，在已有数据的基础上加一并再次存入对应端口位数的寄存器中，达到更新数据的目。若周期结束，则将数据清零，意味着新一轮的统计周期开启。此外需要以同样的方式获取从对应端口发送出的字节数量，并从寄存器中读取周期开始时第一个从对应端口发送出去的数据包的时间，存放在last_time字段中，将当前系统时间存放在cur_time字段，入口数据包个数存放在pckcont字段，出口数据包个数存放在enpckcont字段，从元数据中获取处理该数据包时的队列深度存放在qdepth字段。此外还需根据probe.hop_cnt是否为1来设置probe_data的bos字段为1，为下次节点的报头解析作标识。
[0203]
int接收端在接收到int探测包，可以根据probedata中byte_cnt字段和cur_time与last_time的差值计算切片的带宽，由qdepth得到队列深度，enpckcont与pckcont差值得到丢包率，首个probedata报头的cur_time与新probedata报头的cur_time作差可以得到时延，将拓扑信息以日志形式打印在带内遥测感知控制平面中，供控制平面读取信息。
[0204]
实施例2
[0205]
本实施例2提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质用于存储计算机指令，所述计算机指令被处理器执行时，实现智融标识网络的切片安全映射方法。
[0206]
实施例3
[0207]
本实施例3提供一种计算机程序产品，包括计算机程序，所述计算机程序当在一个或多个处理器上运行时，用于实现智融标识网络的切片安全映射方法。
[0208]
实施例4
[0209]
本实施例4提供一种电子设备，包括：处理器、存储器以及计算机程序；其中，处理器与存储器连接，计算机程序被存储在存储器中，当电子设备运行时，所述处理器执行所述存储器存储的计算机程序，以使电子设备执行实现智融标识网络的切片安全映射方法的指令。
[0210]
综上所述，本发明实施例所述的智融标识网络的切片安全映射方法及系统，能够在用户认证时，通过摘要算法和签名算法防篡改、防伪造、防重放、防抵赖。能够通过用户信任度算法计算出用户信任度，影响流表下发判决，增强切片编排的安全性能。能够通过智融标识网络，对切片服务进行标识管理，对底层网络资源进行抽象管理，实现切片的全生命周期管理和用户意图翻译工作等。能够通过基于映射安全水平的切片编排算法，提升切片编排的性能效益和安全性能。能够适应多种协议的网络，拓展性能较强。数据平面转发节点的交换机搭载有p4语言，具备自定义数据包转发处理逻辑的功能。数据平面转发节点的交换机搭载配置有int代码逻辑，能够收集底层网络拓扑中的时延、带宽、队列深度等拓扑信息。数据平面转发节点的交换机搭载有p4语言，能够通过智融标识网路协议，具备各种复杂协议之间的通信功能。切片编排过程中的控制信令受到基于sm9的标识加解密算法的安全控
制，可以增强切片编排过程中的安全性。sdn应用层中的切片生命周期管理具有连接mysql数据库的功能，并可以将切片状态数据定时写入数据库，用以记录与追溯切片状态信息。sdn网络控制器具有读取配置文件中配置信息的功能。sdn网络控制器可以根据切片编排需求，生成相应流表，并将流表下发至数据平面的可编程交换节点。
[0211]
本发明基于智融标识网络架构基础，设计了一种基于智融标识网络的切片安全编排机制及系统，能够通过标识对切片内的各项服务、交换机、主机、用户等信息给予统一的管理。具体优点如下：通过用户签名认证机制对切片用户身份的合法性进行确认，加强交互api的安全性与可用性，可以在一定程度上增强切片系统与用户之间的信息交互的安全性。通过用户信任度模型，基于切片用户与切片系统的历史交互数据为编排过程提供安全保护，为用户增加一个信任度维度的属性，用于切片的访问判决。设计了用户意图余弦相似度算法完成用户意图与vnf之间的映射，以及基于聚类的vnf重构算法提升容灾水平。提出了智融标识网络切片编排算法来提高切片编排安全水平与性能，在保证切片编排的性能收益的同时，提升切片映射的安全性。设计的切片编排过程中的信令经过sm9安全加密，可以增强编排命令下发的安全性，一定程度上保护了用户的隐私数据，增强了通信过程的安全性。通过使用p4可编程语言，提出的数据传输机制可以实现不同协议类型的切片数据的封装转发，按需为不同协议的网络之间提供数据通信服务支持，具有较高的拓展性。使用int收集网络信息，为切片的生命周期管理提供数据支持，从而动态对切片网络进行更新、重构等，具有较高的灵活性。
[0212]
上述虽然结合附图对本发明的具体实施方式进行了描述，但并非对本发明保护范围的限制，所属领域技术人员应该明白，在本发明公开的技术方案的基础上，本领域技术人员在不需要付出创造性劳动即可做出的各种修改或变形，都应涵盖在本发明的保护范围之内。

技术特征：
1.一种智融标识网络的切片安全映射系统，其特征在于，包括：用户认证模块，用于实现切片用户访问智融标识网络切片系统时的身份认证，采用签名认证算法在切片系统和用户之间建立可信任的访问通道；切片控制模块，用于接收处理数据传输模块收集到的拓扑信息，将用户的切片使用意图映射为待启动的虚拟网络功能单元vnf集合，在vnf产生故障或节点不可用时提供vnf的水平重构切换；切片编排模块，用于采用切片编排算法将切片控制模块生成的vnf列表在底层网络进行编排映射，采用基于sm9的加密算法，利用用户身份标识对编排信息进行加密；数据传输模块，用于将切片编排模块生成的编排映射结果在网络组件层的可编程功能节点上实现，利用数据平面的可编程语言p4来实现切片的转发逻辑，将用户数据封装为不同类型的切片进行传输，基于int的带内感知遥测对切片拓扑进行全局感知与记录。2.根据权利要求1所述的智融标识网络的切片安全映射系统，其特征在于，用户认证模块包括用户签名认证子模块和用户信任度子模块；所述用户签名认证子模块中，采用的摘要算法是将用户请求的关键字段进行拼接后得到数据摘要、保存切片用户的身份信息、保存切片用户的业务请求信息对业务请求信息加密保护后产生的序列以及保存切片用户请求过程的有效期；采用散列算法hmac-sha256来作为签名认证时的签名算法；所述用户信任度子模块，用于在完成对切片用户请求的合法性验证后，根据该用户的历史交互行为，结合交互评价机制对本次切片用户的访问接入行为作出评估，计算其用户信任度。3.根据权利要求1所述的智融标识网络的切片安全映射系统，其特征在于，切片控制模块包括用户意图翻译子模块和切片生命周期管理子模块；所述用户意图翻译子模块，用于通过智融标识网络智慧服务层中的切片控制系统将用户输入的服务需求转换为vnf的数据配置，执行资源编排；其中，结合余弦相似度匹配法来将用户服务需求映射为智融标识网络切片系统中的vnf集合；将用户服务需求对应智融标识网络切片系统各特征维度空间的向量集合，通过用户意图余弦相似度算法找到与用户服务需求的资源量分配情况最为匹配的可用vnf，组成nsi；所述切片生命周期管理子模块，用于将切片用户需要的vnf集合连接，构成nsi，对切片进行实例化，持续反馈切片运行状态信息，并根据服务需求将切片运行状态记录在数据库中；当用户的需求发生改变、可编程功能节点异常或链路异常时，将进行切片的重构，将vnf重新映射，并进行切片的实例化操作，在完成重构后将重构结果与链路状态信息再次反馈给切片控制系统进行监测与监听。4.根据权利要求1所述的智融标识网络的切片安全映射系统，其特征在于，切片编排模块包括编排算法子模块和信令安全加密子模块；所述编排算法子模块，用于定义节点利用水平为nsi映射到可编程功能节点上时，该可编程功能节点能够提供给切片用户使用的资源量与nsi需要的资源量的比值；其中，设置算法需要的参数值，根据用户的历史交互评价值来循环计算出用户信任度，根据切片实例信息计算出节点利用水平，计算并返回映射安全水平；所述信令安全加密子模块，用于基于sm9的智融标识网络信令安全加密算法，对编排模
块中转发的指令进行数据加密安全处理；其中，所述的安全加密算法建立在双线性对上的具有标识的加密算法，通过切片用户的用户身份标识来为切片用户的编排过程中的信令发送过程提供加解密服务。5.根据权利要求4所述的智融标识网络的切片安全映射系统，其特征在于，所述的切片编排算法包括：对中间变量进行初始化，中间变量包括粒子群的初始位置和初始速度大小；依据切片映射的安全性能要求，结合实际物理资源集合，循环得出最佳映射位置，保证编排收益的同时，使映射结果满足安全门限，返回最佳映射位置。6.根据权利要求4所述的智融标识网络的切片安全映射系统，其特征在于，基于sm9的智融标识网络信令安全加密算法，包括：首先计算群g1中的元素q
b
，之后产生随机数r，再计算群g1的元素c1以及群g
t
中的元素g和w；其中，加密明文的方法是结合密钥派生函数的分组密码算法，因此计算得到整数klen，并计算得到c2和c3，并得到最终密文c；基于sm9的智融标识网络信令安全解密算法，包括：首先检验最终密文c中的比特串c1是否为椭圆曲线g1上的点，检验通过后计算得到群g
t
中的元素w'，将其转换为比特串；算法中加密明文的方法是结合密钥派生函数的分组密码算法，因此，解密中计算得到整数klen，并计算得出m'；最后计算u并与比特串c3进行比较，输出明文m'。7.一种利用如权利要求1-6任一项所述的系统实现的智融标识网络的切片安全映射方法，其特征在于，包括：切片用户访问智融标识网络切片系统时的身份认证，采用签名认证算法在切片系统和用户之间建立可信任的访问通道；接收处理数据传输模块收集到的拓扑信息，将用户的切片使用意图映射为待启动的虚拟网络功能单元vnf集合，在vnf产生故障或节点不可用时提供vnf的水平重构切换；采用切片编排算法将切片控制模块生成的vnf列表在底层网络进行编排映射，采用基于sm9的加密算法，利用用户身份标识对编排信息进行加密；将切片编排模块生成的编排映射结果在网络组件层的可编程功能节点上实现，利用数据平面的可编程语言p4来实现切片的转发逻辑，将用户数据封装为不同类型的切片进行传输，基于int的带内感知遥测对切片拓扑进行全局感知与记录。8.一种计算机程序产品，其特征在于，包括计算机程序，所述计算机程序当在一个或多个处理器上运行时，用于实现如权利要求7所述的智融标识网络的切片安全映射方法。9.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质用于存储计算机指令，所述计算机指令被处理器执行时，实现如权利要求7所述的智融标识网络的切片安全映射方法。10.一种电子设备，其特征在于，包括：处理器、存储器以及计算机程序；其中，处理器与存储器连接，计算机程序被存储在存储器中，当电子设备运行时，所述处理器执行所述存储器存储的计算机程序，以使电子设备执行实现如权利要求7所述的智融标识网络的切片安全映射方法的指令。

技术总结
本发明提供一种智融标识网络的切片安全映射方法及系统，属于物联网通信技术领域，本发明提供了高可用的切片系统对外接入的API，能够以较快速率和较低成本对用户请求做出响应，提升了用户身份数据校验的效率及面对重放攻击时的系统表现，实现了记录用户互动行为的功能；能够准确反映用户的使用需求，实现在切片使用过程中节点不可用时的VNF容灾切换功能；通过安全编排算法，在提升资源利用率、成本利润率等条件下，引入安全控制的约束，提高了编排算法的安全性能；对编排信令进行数据加密；实现数据层的可编程传输转发功能，对底层传输设备进行切片网络的构建，将用户数据转为不同网络协议形式的切片数据在网络中传输。不同网络协议形式的切片数据在网络中传输。不同网络协议形式的切片数据在网络中传输。


技术研发人员：权伟 刘明远 高德云 罗一鸣 罗延 邓君 王新宇 郭子琛
受保护的技术使用者：北京交通大学
技术研发日：2023.07.10
技术公布日：2023/10/15