CN107851109A

CN107851109A - 软件定义网络的配置

Info

Publication number: CN107851109A
Application number: CN201680039610.XA
Authority: CN
Inventors: 马克·赖安·伯纳; 雷特·史密斯; 贾森·A·迪里恩; 乔什·鲍尔斯; 格兰特·O·布默
Original assignee: Schweitzer Engineering Laboratories Inc
Current assignee: Schweitzer Engineering Laboratories Inc
Priority date: 2015-07-20
Filing date: 2016-06-23
Publication date: 2018-03-27
Anticipated expiration: 2036-06-23
Also published as: EP3326088A1; CN107851109B; US9923779B2; WO2017014904A1; EP3326088A4; US20170026243A1

Abstract

本公开涉及用于在软件定义网络(“SDN”)中配置通信流的系统和方法。在一个实施例中，系统可操作用于配置在第一主机和第二主机之间的通信流。模式选择子系统被配置为使在网络中连接第一通信主机和第二通信主机的多个网络设备在开放模式和SDN操作模式之间转换。在开放模式下，网络设备可以发现在第一主机和第二主机之间的通信路径。分析子系统可以从多个网络设备信息接收关于发现的路径的信息，并且拓扑发现子系统可以被配置为创建与发现的路径相对应的通信流。通信流可以允许在SDN操作模式下在第一主机和第二主机之间的通信。

Description

软件定义网络的配置

技术领域

本公开涉及用于帮助配置软件定义网络(“SDN”)的系统和方法。更具体地但非排他地，本公开涉及网络可以在开放模式下操作的系统，在该开放模式下设备被允许通信使得可以识别设备之间的流。

附图简述

参照附图对本公开的非限制性和非穷举性实施例进行了描述，包括本公开的各个实施例，在附图中：

图1图示了与本公开的实施例一致的电力传输和配电系统的简化的单线图，其中多个通信设备可以促进软件定义网络中的通信。

图2图示了与本公开的实施例一致的包括可以部署在电力输送和配电系统中的控制面、数据面以及多个数据消耗者/产生者设备的SDN架构的概念表示。

图3图示了与本公开的实施例一致的在SDN在开放模式下操作时发现的多个通信路径以及由SDN控制器创建的多个通信流的概念性表示。

图4图示了与本公开的实施例一致的用于配置软件定义网络的方法的流程图。

图5图示了与本公开的实施例一致的包括SDN控制器、SDN和多个网络设备的系统的框图。

详细描述

现代的配电和传输系统可以纳入可用于监视和保护系统的各种通信技术。通信装备可以被配置成和用于促进对电力系统上的状况进行监视并实施控制动作以维持电力系统的稳定性的各种设备之间的数据交换。通信网络携带用于对电力系统状况进行适当评估并用于基于这些状况实施控制动作的信息。由于电力传输和配电系统中的状况可能发生快速变化，这些消息可能受时间限制。换句话说，如果消息被延迟，消息中的数据可能对接收设备来说不再是准确的或不再有用。

一些电力传输和配电系统可以纳入利用控制器在网络上进行配置和监视的软件定义网络(“SDN”)技术。SDN技术提供了在电力系统中可能是有利的各种功能(例如，默认拒绝安全策略、较好的延迟控制、对称传输能力、冗余和故障转移计划等)。

SDN允许程序化的变更控制平台，其允许将整个通信网络作为单一资产进行管理，简化对网络的理解，并能够对网络进行持续监视。在SDN中，决定将流量发送到哪里的系统(即，控制面)与执行流量在网络中的转发的系统(即，数据面)是分开的。

控制面可以用于通过通信网络创建特定的流量流来实现网络资源的最佳使用。本文使用的术语“流量流”是指用于基于网络分组内容匹配和采取动作的一组参数。流量流可以准许基于各种标准的特定路径，这些标准为网络运营商提供显著的控制和精确性。相比之下，在大型传统网络中，尝试使网络发现路径与应用期望的数据路径匹配可能是涉及改变许多设备中的配置的具有挑战性的任务。为了解决这个问题，很多设备上使用的管理接口和功能集都不是标准化的。更进一步，网络管理员经常需要重新配置网络以避免循环，获得路由收敛速度，并优先考虑某一类应用。

在电力传输和配电系统的背景下管理传统网络的显著复杂性是由于每个网络设备(例如，交换机或路由器)具有集成在一起的控制逻辑和数据转发逻辑的事实。例如，在传统的网络路由器中，诸如路由信息协议(RIP)或开放式最短路径优先(OSPF)的路由协议构成确定应该如何转发分组的控制逻辑。由路由协议确定的路径被编码在路由表中，其然后用于转发分组。类似地，在诸如网桥(或网络交换机)的第2层设备中，配置参数和/或生成树算法(STA)构成确定分组路径的控制逻辑。因此，传统网络中的控制面被分布在交换结构(网络设备)中，因而，改变网络的转发行为涉及改变许多(也许是全部)网络设备的配置。

在SDN中，控制器体现控制面并确定分组(或帧)应该如何在网络中流动(或转发)。控制器通过在设备中设置转发表，将该信息传送给构成数据面的网络设备。这实现了对网络的集中化配置和管理。这样，SDN中的数据面由相对简单的分组转发设备组成，该分组转发设备具有到控制器的通信接口以接收转发信息。除了简化网络的管理之外，SDN架构还可以实现可能有益于在配电系统中使用的监视和故障排除功能，包括但不限于：镜像选定的流量流而不是镜像整个端口；当接近饱和时，在带宽上报警；为指定流提供度量(例如，用于服务质量、分组计数、误差、丢弃或超限等的计数器和计量表)；准许监视指定的应用，而不是基于VLAN或MAC地址进行监视。

SDN的配置可能具有挑战性，因为必须配置主机之间的每个通信流，或者主机之间的流量可能会由于SDN网络中所采用的默认拒绝安全策略而被阻塞。为了便于对SDN的某些方面进行确认，本公开的发明人已经认识到，通过允许SDN在开放模式下操作一段时间，可以发现通信路径。在开放模式下，默认拒绝安全策略可以被默认允许策略取代。结果，网络中的所有流量可以被转发到其目的地，而不考虑特定的通信流是否启用了通信。在各个实施例中，多种通信协议和技术可用于使网络能够自动发现通信主机之间的通信路径。例如，路由信息协议(“RIP”)、开放最短路径优先(“OSPF”)协议、生成树协议(“STP”)等等可以允许在网络中路由信息而无需要求用户指定网络中的数据路由路径的细节。

在开放模式下识别到通信路径之后，可以分析该路径以识别待实现的多个通信流，以实现通过SDN控制器在网络中的各个通信主机之间的通信。在一些实施例中，可以在创建通信流之前由用户确认多个被识别的通信流。这样的确认可以允许用户保持对网络内的信息流的控制，同时受益于SDN内的多个通信流的自动识别。在被发现的通信路径被实现为通信流之后，SDN可以从开放模式转换到操作模式。在操作模式下，SDN中通常使用的默认拒绝安全策略可以被强制执行，并且SDN中的流量流可以通过由SDN控制器建立的通信流进行控制。

本文公开的系统和方法也可以用于对SDN的操作进行故障排除。在一个特定示例中，如果通信流没有使分组从源到目的地，则方法可以“单步执行”一个或更多个分组以查看分组停止在何处。这样的方法可以允许操作者识别导致网络上不合需要的行为的特定通信流操作。

通过参照附图将最好地理解本公开的实施例，其中通篇相似的部分由相似的数字标记。将容易理解的是，如在本文中的附图中一般性地描述和图示的，所公开的实施例的组件可以以各种不同的配置来布置和设计。因此，本公开的系统和方法的实施例的以下详细的描述不旨在限制本公开所要求保护的范围，而是仅代表本公开的可能实施例。另外，除非另有说明，方法的步骤不一定需要按照任何特定的顺序或甚至依次序地执行，也不需要步骤仅执行一次。

在一些情况下，众所周知的特征、结构或操作没有被详细示出或描述。此外，所描述的特征、结构或操作可以以任何合适的方式组合在一个或更多个实施例中。还将容易理解的是，如在本文中的附图中一般性地描述和图示的实施例的组件可以以各种不同的配置来布置和设计。

所描述的实施例的几个方面可作为软件模块或组件来实施。如本文中所使用的，软件模块或组件可包括位于存储设备内和/或作为电子信号通过系统总线或者有线或无线网络传输的任何类型的计算机指令或计算机可执行代码。例如，软件模块或组件可包括计算机指令的一个或更多个物理块或逻辑块，其可被组织为执行一个或更多个任务或实现特定的抽象数据类型的例程、程序、对象、组件、数据结构等。

在某些实施例中，特定的软件模块或组件可包括被储存在存储设备的不同位置中的不同指令，其共同实现模块的所描述的功能。事实上，模块或组件可包括单一指令或许多指令，并且可以分布在几个不同的代码段上、分布在不同的程序之间以及跨几个存储设备分布。一些实施例可在分布式计算环境中实践，其中任务由通过通信网络链接的远程处理设备执行。在分布式计算环境中，软件模块或组件可位于本地存储器储存设备和/或远程存储器储存设备中。另外，在数据库记录中绑定或呈现在一起的数据可驻留在相同的存储设备中或跨几个存储设备驻留，并且可以跨网络在数据库中的记录字段中链接在一起。

实施例可作为计算机程序产品来被提供，包括具有在其上所储存的指令的非暂时性计算机和/或机器可读介质，该指令可用于对计算机(或其他电子设备)进行编程以执行本文中所描述的过程。例如，非暂时性计算机可读介质可储存指令，当该指令由计算机系统的处理器执行时，使处理器执行本文中所公开的某些方法。非暂时性计算机可读介质可包括但不限于硬盘，软盘，光盘，CD-ROM，DVD-ROM，ROM，RAM，EPROM、EEPROM、磁卡或光卡、固态存储设备、或适用于储存电子指令和/或处理器可执行指令的其他类型的机器可读介质。

图1图示了与本公开的实施例一致的电力传输和配电系统100的简化的单线图，其中多个通信设备可以促进软件定义网络中的通信。电力输送系统100可被配置为生成、传输电能，并将电能分配给负载。电力输送系统可包括装备，诸如电力发电机(例如，发电机110、112、114和116)、电力变压器(例如，变压器117、120、122、130、142、144和150)、电力传输和输送线(例如，线124、134和158)、电路断路器(例如，断路器152、160、176)、总线(例如，总线118、126、132和148)、负载(例如，负载140和138)等等。各种其他类型的装备也可被包括在电力输送系统100中，诸如电压调节器、电容器组合以及各种其他类型的装备。

变电站119可包括发电机114，其可以是分布式发电机，并且其可通过升压变压器117连接到总线126。总线126可经由降压变压器130连接到配电总线132。各个配电线136和134可连接到配电总线132。配电线136可通向变电站141，其中使用IED 106来监控和/或控制该线，该IED 106可选择性地断开和闭合断路器152。负载140可从配电线136馈电。此外，经由配电线136与配电总线132进行通信的降压变压器144可用于降低由负载140消耗的电压。

配电线134可通向变电站151，并向总线148输送电力。总线148也可经由变压器150接收来自分布式发电机116的电力。配电线158可将电力从总线148输送到负载138，并且可包括降压变压器142。电路断路器160可用于选择性地将总线148连接到配电线134。IED 108可用于监控和/或控制电路断路器160以及配电线158。

电力输送系统100可使用智能电子设备(IED)(诸如IED 104、106、108、115和170)以及中央监控系统172来监视、控制、自动化和/或保护。通常，电力的生成和传输系统中的IED可用于在系统中的装备的保护、控制、自动化和/或监视。例如，IED可用于监视许多类型的装备，包括输电线、配电线、电流变压器、总线、开关、电路断路器、自动开关、变压器、自耦变压器、抽头变换器、电压调节器、电容器组合、发电机、电动机、泵、压缩机、阀以及各种其他类型的受监控的装备。

如本文中所使用的，IED(诸如IED 104、106、108、115和170)可指监视、控制、自动化和/或保护系统100内的受监视的装备的任何基于微处理器的设备。例如，这样的设备可包括远程终端单元、差动继电器、距离继电器、方向继电器、馈电继电器、过电流继电器、电压调节器控制、电压继电器、断路器故障继电器、发电机继电器、电动机继电器、自动化控制器、间隔控制器、计量表、自动开关控制、通信处理器、计算平台、可编程逻辑控制器(PLC)、可编程自动化控制器、输入和输出模块等等。术语IED可用于描述单个IED或包括多个IED的系统。

公共时间信号可分配在整个系统100中。利用公共或通用的时间源可确保IED具有可用于生成时间同步数据(诸如同步相量)的同步时间信号。在各个实施例中，IED 104、106、108、115和170可接收公共的时间信号168。时间信号可使用通信网络162或使用公共的时间源(诸如全球导航卫星系统(“GNSS”)等)分配在系统100中。

根据各个实施例，中央监视系统172可包括各种类型的系统中的一个或多个。例如，中央监视系统172可包括监控与数据采集(SCADA)系统和/或广域控制与态势感知(WACSA)系统。中央IED 170可与IED 104、106、108和115进行通信。IED 104、106、108和115可远离中央IED 170，并且可通过各种介质进行通信(诸如来自IED 106的直接通信)或通过广域通信网络162进行通信。根据各个实施例，某些IED可与其他IED直接进行通信(例如，IED 104与中央IED 170进行直接通信)，或可经由通信网络162进行通信(例如，IED 108经由通信网络162与中央IED 170进行通信)。

经由网络162的通信可通过包括但不限于多路复用器、路由器、集线器、网关、防火墙和交换机的联网设备来促进。在一些实施例中，IED和网络设备可包括物理上不同的设备。在其他实施例中，IED和网络设备可以是复合设备，或可被配置为用多种方式来执行重叠的功能。IED和网络设备可包括多功能硬件(例如，处理器、计算机可读储存介质、通信接口等)，其可被利用以便执行关于系统100内的装备的操作和/或网络通信的各种任务。

SDN控制器180可以被配置为与网络162中的装备对接以创建有助于IED170、115、108和监视系统172之间的通信的SDN。在各个实施例中，SDN控制器180可以被配置为与网络162中的控制面(未示出)对接。使用控制面，控制器180可以被配置为引导网络162内的数据流。

在各种实施例中，控制器180可以包括流量路由系统，其被配置为自动生成基于系统100内的用户指定的流量流而创建的指定的通信路径。例如，用户指定的流量流可以指示IED 115向IED 108提供数据。基于IED 115和IED 108之间的用户指定的流量流，流量路由系统可识别和配置多个中间设备(例如，交换机、物理通信链路等)以实现通过网络162的特定的通信路径。基于高级流量流使特定的通信路径的创建自动化可以减少施加于系统100的操作者的配置负担。

网络162的配置可能是具有挑战性的，因为主机之间的每个通信流必须被配置，或者主机之间的流量可能会被阻塞。例如，IED 108可能需要来自IED 115的信息来执行其监视和保护功能，因此，IED 115可能需要向IED 108提供与由IED 115监视的电参数有关的数据流。因此，在典型的SDN中，网络工程师或其他用户将需要在IED 115和IED 108之间创建通信流。在该通信流被忽略或者被错误实现的情况下，来自IED 115的数据可能被阻塞而不能到达IED 108。在系统100的调试或故障排除期间，网络162可以在开放模式下操作。

在开放模式下，网络162中的通信可以是默认允许。换句话说，流量可以不会由于没有特定的通信流或者由于安全限制而被阻塞。在开放模式下，各种通信协议可用于发现网络162中的设备之间的通信路径和网络拓扑。例如，路由信息协议(“RIP”)、开放最短路径优先(“OSPF”)协议、生成树协议(“STP”)、地址解析协议(“ARP”)、ping、被动发现等可以允许在网络中路由信息而无需要求用户指定网络中的数据路由路径的细节。跨通信路径的数据流可被监视并被分析以确定网络162内的多个通信流。SDN控制器180可以被配置为接收与数据流有关的信息，并且可以被配置为当网络返回到操作模式时在网络162中识别并创建通信流。在操作模式下，可以实施默认拒绝安全策略，因此，未被建立的通信流明确允许的流量可能会被阻塞。

在开放模式下通信路径被发现之后，该路径可被分析以识别待实现的多个通信流，从而实现通过SDN控制器在网络中的各个通信主机之间的通信。在一些实施例中，可以在创建通信流之前由用户确认多个被识别的通信流。这样的确认可以允许用户保持对网络内的信息流的控制，同时受益于SDN内的多个通信流的自动识别。在发现的通信路径被实现为通信流之后，SDN可以从开放模式转换到操作模式。在操作模式下，SDN中通常使用的默认拒绝安全策略可以被强制执行，并且SDN中的流量流可以通过由SDN控制器建立的通信流控制。

图2图示了与本公开的实施例一致的包括可以部署在电力传输和配电系统中的控制面202、数据面204以及多个数据消耗者/产生者设备210a-210c的SDN架构的概念表示200。控制面202引导数据流通过数据面204。更具体地说，控制器212可以经由接口214与多个通信设备206a-206f进行通信以建立流量流。控制器可以基于各种标准来指定用于通过数据面204路由流量的规则。

如图所示，数据面204包括经由多个物理通信链路208a-208h彼此进行通信的多个通信设备206a-206f。在各个实施例中，通信设备206a-206f可以实施为交换机、路由器、多路复用器以及其他类型的通信设备。物理通信链路208a-208h可以实施为以太网、光纤以及其他形式的数据通信信道。如图所示，通信设备206a-206f之间的物理通信链路208a-208h可以提供冗余连接，使得物理通信链路208a-208h之一的故障不能完全阻断与受影响的通信设备的通信。在一些实施例中，物理通信链路208a-208h可以提供N-1冗余或更好的冗余。

多个应用210a-210c可以表示在应用面中操作的各种应用210a-210c。在图2所示的SDN架构中，控制器212可以公开服务210a-210c可以用来配置数据面204的应用编程接口(API)。在这种情况下，当控制逻辑驻留在应用210a-210c中时，控制器212可以充当与数据面204的接口。控制器212和应用210a-210c的配置可以被定制以满足各种各样的特定需求。

数据消耗/产生设备216a-216c可以表示产生或消费数据的电力传输和配电系统内的各种设备。例如，数据消耗/产生设备可以实施为配置为监视电力传输线的一对传输线继电器。传输线继电器可以监视流过传输线的电力的各个方面(例如，电压测量结果、电流测量结果、相位测量结果、同步移相器等)，并且可以传送测量结果以实现对传输线的保护策略。传输线继电器之间的流量可以使用由控制器212实现的多个流量流来转发通过数据面204。当然，数据消耗/产生设备216a-216c可以通过与本公开的实施例一致的各种各样的设备来实施。

多个通信设备206a-206f可以各自包括通信链路监视系统，该通信链路监视系统可以监视与流经通信设备的数据有关的各种类型的信息。例如，当网络在开放模式下操作时，通信链路监视子系统可以被配置为收集关于数据的路由、通过各种通信路径传输的数据分组数量的计数器、延迟统计等的信息。这样的统计和路由信息可以被传送到控制器212，并用于识别在网络返回到操作模式时应该实现的通信主机之间的通信流。

图3图示了与本公开的实施例一致的在SDN在开放模式下操作时发现的多个通信路径302以及由SDN控制器304创建的多个通信流306的概念表示。在开放模式下，网络中的所有流量可以被转发到其目的地，而不考虑特定的通信流是否启用通信并且没有用户干预。在图示的实施例中，主机_1通过第一通信路径与主机_4进行通信，而主机_3与主机_5进行通信。由主机_1创建的数据分组可以被转发给主机_4。在第一通信路径中，由主机_1创建的数据分组可以被传输到交换机_1，分组从交换机_1被传输到交换机_2，并且数据分组从交换机_2被传输到主机_4。在第二通信路径中，由主机_3创建的数据分组被传输到交换机_5，然后该分组从交换机_5传输到交换机_4(端口4)，然后分组从交换机_4(端口3)传输到交换机_3(端口3)，分组然后从交换机_3(端口4)传输到主机_5。尽管使用单向箭头来图示流量流，但流量流可以是双向的。

在SDN的操作处于开放模式期间，可以收集与通信路径相关联的路由信息和统计信息，并如箭头308所指示的将其提供给SDN控制器304。SDN控制器304可以分析信息以识别如箭头310所指示的待创建的多个通信流306。基于分析，可以创建主机_1和主机_4之间的以及主机_3和主机_5之间的通信流306。通信流306不一定限于在开放操作模式期间发现的指定的通信路径302。当SDN操作时，用于连接通信主机的交换机的特定的通信可以通过SDN控制器304根据需要进行调整，以考虑各种条件(例如，链路故障、网络拥塞、优先次序等)。

图4图示了与本公开的实施例一致的用于配置软件定义网络的方法400的流程图。在402处，SDN可以在开放模式下操作。在开放模式下，默认拒绝安全策略可以被默认允许策略取代。结果，网络中的所有流量可以被转发到其目的地，而不考虑特定的通信流是否启用通信。在404处，可以允许多个设备基于通过网络转发的流量来发现通信设备之间的多个通信路径。

在406处，可以收集关于与通过网络传输的数据有关的拓扑和统计信息的路由信息和统计信息。在一些实施例中，可以收集通过网络的数据的路径和关于数据的信息。在408处，信息可以被分析以识别待创建的通信流。在一些实施例中，可以建立阈值以确定多个通信路径中的哪一个应该是创建通信流的基础。例如，在系统在开放状态到关闭状态之间转换之前，可以建立限制可以设定的流量的阈值。

在一些实施例中，可以在建立通信流之前获得用户确认。在这样的实施例中，在410处可以接收用户确认。允许用户具体确认每个通信流可允许用户保持对SDN中流量的路由的显着控制，同时还减少与识别和配置每个通信流相关联的配置负担。在412处，可以创建通过分析识别的通信流。

在创建适当的通信流之后，在414处可以将SDN转换到SDN操作模式，并且SDN中的流量的路由可以基于多个通信流。在418处，方法400可以确定故障排除是否有必要，如果有必要，则方法400可以返回到402。在一些情况下，SDN的操作者可能需要对由于应该允许的通信被阻塞而引起的问题进行故障排除。这样，网络的操作者可以将SDN转换到开放模式，以帮助识别未到达其目的地的流量。当分析在开放模式下的数据流时，被阻塞的数据可以被识别为新的通信流，并且当SDN返回到操作模式时由SDN控制器实现。在一些实施例中，系统实现的方法400可以被配置为具体识别在开放模式下识别的不对应于在412处创建的数据流的流量。

图5图示了与本公开的实施例一致的包括SDN控制器501、SDN 540和多个网络设备550a-550d的系统500的框图。在一些实施例中，系统500可使用硬件、软件、固件和/或它们的任意组合来实现。此外，本文描述的某些组件或功能可以与其他设备相关联或由其他设备执行。具体图示的配置仅代表与本公开一致的一个实施例。

SDN控制器501包括被配置为与SDN 540和网络设备550a-550d进行通信的通信接口504。通信接口504可便于与多个设备进行通信。SDN控制器501还可包括时间输入端502，其可用于接收时间信号(例如，公共时间参考)，从而允许SDN控制器501将时间戳施加到所接收的数据。在某些实施例中，公共时间参考可经由通信接口504接收，因此，可以不需要单独的时间输入端。一个这样的实施例可采用IEEE1588协议。数据总线524可以便于SDN控制器501的各个组件之间的通信。

处理器506可被配置为对经由通信接口504和时间输入端508接收的通信进行处理并协调与SDN控制器501的其他组件的操作理。处理器506可使用任意数量的处理速率和架构来操作。处理器506可被配置为执行本文中所描述的各种算法和计算中的任意一种。处理器506可被实施为通用集成电路、专用集成电路、现场可编程门阵列和/或任何其他合适的可编程逻辑设备。

待由处理器506执行的指令可以存储在随机存取存储器514(RAM)中。这样的指令可以包括用于基于多个流量流来处理路由和处理经由通信接口504接收的数据分组的信息。

用户接口子系统528可以被配置为从用户接收与配置SDN 540有关的各种类型的信息。在一些实施例中，用户接口子系统可以被配置为确认在SDN 540中创建通信流。在SDN540的操作处于开放模式期间，待确认的通信流可以由SDN控制器501识别。用户接口子系统528还可以被配置为允许用户在开放模式和操作模式下的操作之间转换SDN 540。

模式选择子系统536可以被配置成准许系统500在开放模式和SDN操作模式之间转换。在开放模式下，系统500中的设备可以被准许自由地进行通信。换句话说，系统500中的设备之间的流量不会由于特定的通信流的缺乏或由于安全限制而被阻塞或限制。在开放模式下，各种通信协议可用于发现系统500中的设备之间的通信路径。例如，路由信息协议(“RIP”)、开放最短路径优先(“OSPF”)协议、生成树协议(“STP”)等等可以允许在网络中路由信息而无需要求用户指定网络中的数据路由路径的细节。本领域技术人员将认识到，其他协议可用于在系统500内转发流量，而无需要求用户在开放模式下指定数据路由的细节。相比之下，在SDN操作模式下，当系统500在操作模式下操作时，可以实施默认拒绝安全策略，并且因此，未被建立的通信流指定允许的流量可能被阻塞。由SDN 540提供的各种其他功能也可以被启用。

分析子系统538可以被配置为分析与经由SDN 540传输的流量有关的数据。可以监视和分析在开放模式下跨SDN 540、网络设备550a-550d和主机552a-552f传输的数据，以识别网络162内的多个通信流。在各个实施例中，网络设备550a-550d可以收集关于跨SDN 540传输的数据的信息。由网络设备550a-550d收集的与网络上的流量有关的数据可以被提供给分析子系统538。

流量路由子系统534可以被配置为基于从分析子系统538和/或用户接口模块接收到的信息在SDN 540中生成各种通信流。流量路由子系统534可以指定分隔通信主机的各种中间设备(例如，路由器、交换机、多路复用器等)的配置。流量路由子系统534可以被配置成为系统500中的设备之间的流量流生成物理上不同的路径。例如，主机552f可以向主机552a提供数据流。对应于数据流的通信流可以包括从主机552f到网络设备550d、从网络设备550d到网络设备550b以及从网络设备550b到主机552a的路径。

故障排除子系统542可以被配置为帮助识别系统500中的配置问题并识别可能的解决方案。在一个具体示例中，SDN的操作者可能需要对由于应该被允许的通信被阻塞而引起的问题进行故障排除。网络的操作者可以在初始调试发生之后将SDN转换到开放模式。在开放模式下，未到达其目的地的流量可能被允许到达其目的地，这样，通信路径可被发现。当分析在开放模式下的数据流时，可以识别被阻塞的数据。在一些实施例中，分析子系统538可以被配置为具体识别在开放模式下识别的不对应于现有数据流的通信路径。通过这种方式，用户可以能够更容易地识别对于创建附加通信流以启用先前阻塞的流量的需求。

网络设备550a比其他网络设备550b-550c更详细地示出，然而，网络设备550b-550d可以包括相同的特征和元素中的一些或全部。在开放模式下，可以准许通信主机552a-552f之间的通信，而不考虑是否已经建立允许流量的特定的通信流。每个网络设备550-550d可以包括通信接口552、通信链路监视子系统554、路由信息子系统556、统计信息子系统558、SDN操作子系统560和开放模式子系统562。通信接口552可便于与多个设备进行通信。在各个实施例中，通信接口552可以被配置为经由包括以太网、光纤以及其他形式的数据通信信道的各种通信链路进行通信。

通信链路监视子系统554可以被配置为监视由网络设备550a接收或传输的通信。在一些实施例中，通信链路监视子系统554可以确定与正常参数的偏差，监视丢包，监视延迟以及监视与数据传输相关的其他度量。通信链路监视子系统554可以被配置为确定通信链路是否稳定和可靠，和/或确定是否应该转发数据流量以避免不稳定或不可靠的通信链路。

路由信息子系统556可以被配置为跟踪设备的连接和通过网络设备550a的数据的路由。在一些实施例中，路由信息子系统可以包括路由表、路由信息库、转发表等。路由信息子系统556可以被配置为向分析子系统538提供关于由网络设备550a传输的可以被分析子系统538利用来识别涉及网络设备550a的通信流的数据的信息。

统计信息子系统558可以被配置为收集与通过网络设备550a传递的数据相关的统计。在一些实施例中，这样的统计可以包括各种类型的信息，包括分组计数、错误、丢弃或超限等。统计信息子系统558可以被配置为向分析子系统538提供关于由网络设备550a传输的可以被分析子系统538用来识别涉及网络设备550a的通信流的数据的信息。

SDN操作子系统560可以被配置为允许网络设备在SDN操作模式下操作。SDN操作子系统560可以被配置为与SDN控制器501交互以接收与在SDN操作模式下的操作相关的配置指令。此外，SDN操作子系统560可以被配置为允许网络设备550a实现由SDN 540所使用的各种特征和功能。这些特征可以包括基于由SDN控制器501建立的通信流的数据的处理和路由以及默认拒绝安全策略的实现。

开放模式子系统562可以使网络设备550a能够利用与将数据传输到各个目的地有关的各种协议，而无需要求用户指定数据路由的细节。开放模式子系统562可以被配置为允许网络设备550a转发流量而不依赖于通信流并基于默认允许安全策略。

虽然已经图示并描述了本公开的特定实施例和应用，但是应理解的是，本公开不限于本文中所公开的明确的配置和组件。因此，在不脱离本公开的基本原理的情况下，可以对上述实施例的细节做出许多改变。因此，本发明的范围仅由随附的权利要求限定。

Claims

1.一种可操作用于配置软件定义网络(SDN)的系统，所述系统包括：

第一通信主机；

第二通信主机；

与所述第一通信主机和所述第二通信主机进行通信的网络，所述网络包括多个网络设备，所述多个网络设备被配置为：

选择性地在开放模式和SDN操作模式中的每一个模式下操作；

以及

在所述开放模式下识别在所述第一通信主机和所述第二通信主机之间的发现的路径，以通过所述网络转发数据；

与所述网络进行通信的SDN控制器，所述SDN控制器包括：

模式选择子系统，所述模式选择子系统被配置为使所述多个网络设备在所述开放模式和所述SDN操作模式之间转换；

分析子系统，所述分析子系统被配置为识别与在所述第一通信主机和所述第二通信主机之间的所述发现的路径对应的通信流；以及

流量路由子系统，所述流量路由子系统被配置为创建与所述发现的路径对应的通信流，所述通信流可操作用于允许在所述SDN操作模式下在所述第一通信主机和所述第二通信主机之间进行通信。

2.如权利要求1所述的系统，其中，所述SDN控制器还包括用户确认子系统，所述用户确认子系统被配置为接收用户对所述通信流的确认。

3.如权利要求1所述的系统，其中，所述多个网络设备可操作用于在没有用户干预的情况下识别在所述第一通信主机和所述第二通信主机之间的所述发现的路径。

4.如权利要求3所述的系统，其中，所述多个网络设备中的每一个网络设备被配置为使用多个自动化协议进行通信。

5.如权利要求4所述的系统，其中，所述自动化拓扑发现协议包括以下中的至少一个：路由信息协议、开放最短路径优先协议、生成树协议、地址解析协议、ping和被动监视。

6.如权利要求1所述的系统，其中，所述多个网络设备中的每一个网络设备被配置为收集与所述发现的路径有关的拓扑信息和统计信息。

7.如权利要求6所述的系统，其中，所述分析子系统还被配置为分析所述拓扑信息和统计信息，以识别在所述第一通信主机和所述第二通信主机之间的所述路径。

8.如权利要求1所述的系统，其中，在所述网络中的数据流量在所述SDN操作模式下受制于默认拒绝安全策略。

9.一种配置软件定义网络(SDN)的方法，包括：

在第一时间在开放模式下操作所述SDN；

识别在多个通信主机之间的多个通信路径，所述多个通信主机包括第一通信主机和第二通信主机，并且所述多个通信路径包括在所述第一通信主机和所述第二通信主机之间的发现的路径；

至少基于所述多个通信路径的子集来创建多个通信流，所述多个通信流包括与在所述第一通信主机和所述第二通信主机之间的所述发现的路径对应的通信流；

在第二时间将所述SDN转换到SDN操作模式；以及

基于所述多个通信流，在所述第一通信主机和所述第二通信主机之间路由所述SDN中的流量。

10.如权利要求9所述的方法，还包括，在基于所述通信流允许在所述第一通信主机和所述第二通信主机之间的流量之前，接收用户对所述通信流的确认。

11.如权利要求9所述的方法，其中，在通信设备之间的所述多个通信路径在没有用户干预的情况下被识别。

12.如权利要求9所述的方法，其中，所述SDN中的数据流量在所述SDN操作模式下受制于默认拒绝策略。

13.如权利要求9所述的方法，还包括：

将在所述SDN操作在开放模式下时发现的在所述第一通信主机和所述第二通信主机之间的所述路径传送给SDN控制器，以及其中，所述SDN控制器创建与在所述第一通信主机和所述第二通信主机之间的所述路径对应的通信流。

14.如权利要求13所述的方法，其中，传送在所述SDN操作在所述开放模式下时创建的在所述第一通信主机和所述第二通信主机之间的所述路径包括：

将与所述多个通信路径相关的拓扑信息和统计信息从所述多个设备传输到所述SDN控制器；

分析拓扑信息和统计信息以识别在所述第一通信主机和所述第二通信主机之间的所述路径。

15.一种可操作用于在软件定义网络(SDN)中配置在第一通信主机和第二通信主机之间的通信流的系统，所述系统包括：

模式选择子系统，所述模式选择子系统被配置为使连接所述第一通信主机和所述第二通信主机的网络中的多个网络设备在开放模式和SDN操作模式之间转换，其中，所述多个网络设备被配置为发现在所述第一通信主机和所述第二通信主机之间的路径；

分析子系统，所述分析子系统被配置为从所述多个网络设备信息接收关于在所述第一通信主机和所述第二通信主机之间所发现的路径的信息；以及

拓扑子系统，所述拓扑子系统被配置为创建与在所述第一通信主机和所述第二通信主机之间的所述发现的路径对应的通信流，所述通信流可操作用于在所述SDN操作模式下允许在所述第一通信主机和所述第二通信主机之间进行通信。

16.如权利要求15所述的系统，其中，所述系统还包括用户确认子系统，所述用户确认子系统被配置为接收用户对所述通信流的确认。

17.如权利要求15所述的系统，其中，所述多个网络设备中的每一个网络设备可操作用于在没有用户干预的情况下识别在所述第一通信主机和所述第二通信主机之间的所述发现的路径。

18.如权利要求15所述的系统，其中，所述多个网络设备中的每一个网络设备被配置为使用多个自动化拓扑发现协议进行通信。

19.如权利要求18所述的系统，其中，所述自动化路由协议包括以下中的至少一个：路由信息协议、开放最短路径优先协议、生成树协议、地址解析协议、ping和被动监视。

20.如权利要求15所述的系统，其中，所述网络中的数据流量在所述SDN操作模式下受制于默认拒绝安全策略。