摘要

  • 13 种合成 BGP 流量生成器中，原采集器内保真度最高者在跨采集器测试时退化最大，35%–41% 的异常未被检测到。
  • 检测器在伊比利亚停电的 BGP 信号开始后十分钟内识别出事件，误报率为 1.3%；AS766 的盲测中，运营人员独立确认了一段持续 65 分钟的路由事件。

分析

读博前，Shadi Motaali曾在伊朗一家 ISP 从事网络工程，亲历路由事故和随之而来的客户投诉。她在 RIPE 93 抛出一个运维问题：网络出故障后，团队会在几分钟内发现，还是要等客户打来电话？这项研究测试的，正是探测器换了路由采集点还能看到多少异常。

Motaali以RIPE RIS的RRC4训练、RRC5测试，依据公开时间戳整理了30起有记录的事件，再比较13种合成流量生成器。原采集器内保真度最高的一种，跨到另一个采集器时退化最大，35%–41%的异常没有被发现。

会议逐字稿还交代了输入如何变精简：UPDATE统计特征从48项缩减到25项，只有六种筛选算法一致认可的特征才保留。模型再把路由变化统计与AS级连接图结合。拓扑稀疏或呈星形时，简单分类器就够用；网络越密，越需要计算特征之间的关系。RIPE 93称这种拓扑视角恢复了跨采集器检测能力，但没有公布RRC4到RRC5之间究竟多找回了多少异常。

2025年4月伊比利亚停电期间，探测器在相关BGP信号开始后十分钟内识别出事件，误报率为1.3%；模型五个月前训练，此后没有重训。AS766（RedIRIS）的盲测中，运营者仅凭时间戳独立确认了一段65分钟的路由事件。Motaali还提到一次告警复核：运营者发现上游路由撤回，可能与路由收敛有关，但没有影响流量。

这组结果把风险落到一个容易忽视的选择上：最像本地网络的合成流量，未必能替下一张网络图说话。Motaali让模型按拓扑选型，也让每次告警留下运营者能检查的路由证据。

来源