CN111817923B - 交换机端口流量突变的预警分析方法和装置 - Google Patents

Abstract

本发明提供一种交换机端口流量突变的预警分析方法和装置，该方法获取被预判出现突变流量的交换机端口，获取该交换机端口的动态阈值；间隔时间段采集该交换机端口的实时流量数据，基于实时流量数据利用波比法得到实时流量增长百分比，其次，基于实时流量数据利用均值法得到实时流量偏差百分比，若实时流量增长百分比和实时流量偏差百分比均超过动态阈值，则确判该交换机端口出现突变流量，大大提高了端口流量突变预警的准确率，减少流量突变预警的误报率，有助于网络信息管理人员及早且准确地发现非正常流量突变问题，提高其工作效率。

Description

交换机端口流量突变的预警分析方法和装置

技术领域

本发明涉及网络流量监控领域，特别涉及一种交换机端口流量突变的预警分析方法和装置。

背景技术

网络管理软件是能够辅助网络信息管理人员进行网络管理的网络管理***,其可辅助网络信息管理人员监控交换机各个端口的网络流量情况，当监控发现某个端口流量出现突变，***会对该端口流量突变情况作出预警判断，并以多种方式通知网络信息管理人员对异常情况进行处理。

然而，目前网络管理软件监控端口流量突变的方式较为简单，其通过判断端口流量和设定阈值之间的关系来判断流量是否出现异常，存在预警算法单一、缺乏数据有效研判分析过程以及误报率高等问题，从而加大了网络信息管理人员的监控难度。

发明内容

本发明的目的在于提供一种交换机端口流量突变的预警分析方法和装置，大大提高了端口流量突变预警的准确率，减少流量突变预警的误报率，有助于网络信息管理人员及早且准确地发现非正常流量突变问题，提高其工作效率。

为实现以上目的，本技术方案提供一种交换机端口流量突变的预警分析方法，包括以下步骤：获取被预判出现突变流量的交换机端口，获取该交换机端口的动态阈值，其中动态阈值为该交换机端口的正常流量最大值和正常流量平均值的偏差百分比；间隔时间段采集该交换机端口的实时流量数据，基于实时流量数据利用波比法得到实时流量增长百分比，其次，基于实时流量数据利用均值法得到实时流量偏差百分比，若实时流量增长百分比和实时流量偏差百分比均超过动态阈值，则确判该交换机端口出现突变流量。

在另一些实施例中，一种交换机端口流量突变的预警分析方法，包括以下步骤：采集交换机流量，比对交换机流量和端口设定预警值，预判该交换机端口是否出现突变流量；获取该交换机端口的动态阈值，其中动态阈值为该交换机端口的正常流量最大值和正常流量平均值的偏差百分比；间隔时间段采集该交换机端口的实时流量数据，基于实时流量数据利用波比法得到实时流量增长百分比，其次基于实时流量数据利用均值法得到实时流量偏差百分比，若实时流量增长百分比和实时流量偏差百分比均超过动态阈值，则确判该交换机端口出现突变流量。

一种交换机端口流量突变的预警分析装置，包括：流量采集单元：采集交换机端口的实时流量数据以及历史流量数据；预判单元：比对实时流量数据和端口设定预警值，预判是否出现突变流量，若是则触发研判单元；研判单元：内载波比算法和均值算法，基于实时流量数据利用波比法得到实时流量增长百分比，其次，基于实时流量数据利用均值法得到实时流量偏差百分比，若实时流量增长百分比和实时流量偏差百分比均超过动态阈值，则确判该交换机端口出现突变流量，其中动态阈值为该交换机端口的正常流量最大值和正常流量平均值的偏差百分比。

一种电子设备，包括：至少一个处理器；与所述至少一个处理器通信连接的存储器，其中所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行本方案提供的方法。

一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行本方案提供的方法。

相较现有技术，本技术方案具有以下的特点和有益效果：通过计算动态阈值，采用组合式的预警研判算法对初判断异常流量进行多次研判，利用持续一段时间内的端口流量变化情况判断端口流量是否突变，能够在原来的流量异常判断基础上过滤掉误判数据，大大提高了端口流量突变预警的准确率。

附图说明

图1是根据本发明的一实施例的交换机端口流量突变的预警分析方法的工作流程示意图。

图2是根据本发明的一实施例的交换机端口流量突变的预警分析方法的方法流程框图。

图3是根据本发明的另一实施例的交换机端口流量突变的预警分析方法的方法流程框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本发明保护的范围。

本方案提供一实施例的交换机端口流量突变的预警分析方法，该预警分析方法包括如下步骤：

步骤101：获取被预判出现突变流量的交换机端口，获取该交换机端口的动态阈值，其中动态阈值为该交换机端口的正常流量最大值和正常流量平均值的偏差百分比；

步骤102：间隔时间段采集该交换机端口的实时流量数据，基于实时流量数据利用波比法得到实时流量增长百分比，其次，基于实时流量数据利用均值法得到实时流量偏差百分比，若实时流量增长百分比和实时流量偏差百分比均超过动态阈值，则确判该交换机端口出现突变流量。

通过该研判方式可以对预判出现突变流量的交换机端口的流量数据进行再次判断，且可判断该交换机端口的流量是否持续异常，多次研判后方可确认该交换机端口出现突变流量。换言之，该方案在原有的流量预警值预判的方案的基础上进一步对流量数据进行再次判断，结合波比法和均值法再次判断时间段内是否会出现持续的流量突变。

在步骤101中，若该交换机端口的流量数据值超过端口设定预警值，则预判该交换机端口的流量出现突变。为了使得被触发的预警分析信息更有效，，若该交换机端口的流量数据值超过端口设定预警值，且满足超过本端口上轮采集的流量数据值一定比例的条件，则预判该交换机端口的流量出现突变，在本方案中，流量数据需要满足超过本端口上轮采集的流量数据值50％的比例，才可预判该交换机端口出现突变流量。

另外，本方案比对该交换机端口的上行流量数据值和下行流量数据值和对应的端口设定预警值，进行突变流量的预判。另外，在本发明的技术方案里，同时对交换机端口的上行流量和下行流量进行监控，在全双工模式下，可以认为上行流量和下行流量的设定预警值是相同的。

示例性的，若该交换机端口的上行流量端口设定预警值为300G，上轮采集的上行流量数据值为250G，本轮采集的上行流量数据值为350G，则由于本轮采集的上行流量数据未超过上轮采集的上行流量数据值的50％，则不判断其为突变流量，不触发步骤102；对应的，若本轮采集的上行流量数据值为400G，则本轮采集的上行流量数据超过设定预警值，且超过上轮采集的流量数据值的50％，预判其为突变流量，触发步骤102。

当该交换机端口被预判出现突变流量，则将该交换机端口本轮采集的上行流量数据或下行流量数据、上轮采集的流量数据、采集时间等信息发送给研判程序，进行接下来的研判分析。

获取该交换机端口的动态阈值的过程：获取该交换机端口的历史流量数据，剔除历史流量数据中预判为突变流量的流量数据，得到正常流量数据，并得到正常流量数据最大值以及正常流量数据平均值，以以下公式得到动态阈值：

动态阈值＝(正常流量数据最大值-正常流量数据平均值)/正常流量数据平均值。

示例性的，若正常流量数据最大值为200M，正常流量数据平均值为80M，则动态阈值为(200-80)/80＝150％，则150％即为该次研判的动态阈值。

值得一提的是，由于每次进行数据研判的时间点不同，对应不同研判时间的交换机端口的历史流量数据会不断地更新，进而导致阈值会发生对应的数值变化，获取这样的动态阈值的优点是：根据当前日常运行中正常流量数据情况来进行动态判定，增加判断的准确性。

在步骤102中，在本方案中研判一段时间段内的数据情况，即本方案中间隔时间采集实时流量数据，并进行多次采集和研判。

获取实时流量增长百分比的过程：

获取交换机端口的实时流量数据，获取该交换机端口被触发预判时的预判流量数据，其中预判流量数据为预判为突变流量的流量数据，对应为当时的上行流量数据值和下行流量数据值，利用以下公式计算得到实时流量增长百分比：

实时流量增长百分比＝(实时流量数据-预判流量数据)/预判流量数据，

将实时流量增长百分比和动态阈值进行比对，判断是否超过动态阈值。在本方案中，实时流量增长百分比可表示此刻的流量数据和预判时的流量数据的增长比例，动态阈值表示该交换机端口数据的正常增长比例，若是实时流量增长比超过动态阈值的话，则表示此刻的流量增长超过了正常比例，若超过阈值，就表示此轮研判是判定流量突变，可以进行下一轮的研判，如果是最后一轮研判则确认流量数据突变，发出预警通知；否则，研判结束，流量非突变,则可进一步确认此时的实时流量数据是异常的。

示例性的，结合以上的例子，本轮采集的上行流量数据值为400G，即预判流量数据为400G，若此时实时流量数据为450G，则实时流量增长百分比为12.5％，未超过动态阈值18.18％，则此流量不为突变流量。

获取实时流量偏差百分比的过程如下：

获取交换机端口的实时流量数据，获取该交换机端口同一时间的历史流量数据均值，其中历史流量数据均值为该交换机端口历史时间节点的流量数据均值，利用以下公式计算得到实时流量偏差百分比：

实时流量偏差百分比＝(实时流量数据-历史流量数据均值)/历史流量数据均值；

将实时流量偏差百分比和动态阈值进行比对，判断是否超过动态阈值。在本方案中，实时流量偏差百分比可表示此刻的流量数据和历史时刻的流量数据的差值，若是实时流量偏差百分比超过动态阈值的话，则表示差值异常，超过阈值，就表示此轮研判是判定流量突变，可以进行下一轮的研判，如果是最后一轮研判则确认流量数据突变，发出预警通知；否则，研判结束，流量非突变。则可进一步确认此时的实时流量数据是异常的，排除可能存在某一时刻的流量就是很高的情况。

在本方案中，每间隔5分钟采集该交换机端口的实时流量数据并进行研判，进行三次研判，若三次研判的结果都超过动态阈值，则判定该交换机端口出现突变流量。

再者，本方案提供另一实施例的交换机端口流量突变的预警分析方法，该预警分析方法包括如下步骤：

步骤201:采集交换机流量，比对交换机流量和端口设定预警值，预判该交换机端口是否出现突变流量，若是进行步骤202；

步骤202：获取该交换机端口的动态阈值，其中动态阈值为该交换机端口的正常流量最大值和正常流量平均值的偏差百分比；

步骤203：间隔时间段采集该交换机端口的实时流量数据，基于实时流量数据利用波比法得到实时流量增长百分比，其次基于实时流量数据利用均值法得到实时流量偏差百分比，若实时流量增长百分比和实时流量偏差百分比均超过动态阈值，则确判该交换机端口出现突变流量。

其中步骤202和步骤203的步骤内容同前实施例的介绍，在此不再累赘说明，在本实施例中，重点介绍步骤201的内容。

在步骤201中，在采集交换机流量之前首先确认目标交换机，确认目标交换机的过程如下：从交换机数据表中读取目标交换机信息，其中目标交换机信息包括交换机名称、交换机IP以及端口数信息；依据目标交换机信息采用SNMP协议和交换机建立数据连接。

采集交换机流量的过程如下：利用交换机IP轮询获取对应交换机上各个端口的SNMP INDEX值，其后通过SNMP INDEX值获取该端口的上行流量数据以及下行流量数据，并对流量数据进行数据格式的解析，得到上行流量数据值以及下行流量数据值。

比对交换机流量和端口设定预警值过程：将采集的交换机上各个端口的上行流量、下行流量数据值与***设置的端口最小预警值及***上轮采集的端口上行流量、下行流量数据值进行一一比对，若该交换机端口的流量数据值超过端口设定预警值，且满足超过本端口上轮采集的流量数据值一定比例的条件，则预判该交换机端口的流量出现突变，在本方案中，流量数据需要满足超过本端口上轮采集的流量数据值50％的比例，才可预判该交换机端口出现突变流量。

在第一实施例和第二实施例中，当该交换机端口被确认出现突变流量后可触发各种报警措施进行报警，加载预警信息通知对应的网络信息管理人员，比如将数据保存入流量突变表内，发送给管理人员或者其他报警措施。

具体的，在本方案的实施例中，若判断该交换机端口出现突变流量的情况，将数据存储到交换机端口流量突变表中，读取网络信息管理人员的联系信息以及预警通知模板，其中联系信息可以是邮件信息也可以是电话信息，自动填写预警通知模板后通知网络信息管理人员。

另外，本方案提供一种交换机端口流量突变的预警分析装置，包括：

流量采集单元：采集交换机端口的实时流量数据以及历史流量数据，

预判单元：比对实时流量数据和端口设定预警值，若实时流量数据超过端口设定预警值，且实时流量数据超过上轮流量数据设定比例值，预判出现突变流量，触发研判单元；

研判单元：内载波比算法和均值算法，基于实时流量数据利用波比法得到实时流量增长百分比，其次，基于实时流量数据利用均值法得到实时流量偏差百分比，若实时流量增长百分比和实时流量偏差百分比均超过动态阈值，则确判该交换机端口出现突变流量，其中动态阈值为该交换机端口的正常流量最大值和正常流量平均值的偏差百分比。

值得一提的是，研判单元在被触发后间隔时间段获取实时流量数据，利用波比算法和均值算法进行多次的研判判断，若多次研判均判断为突变流量，则确认该交换机端口出现突变流量。

该预警分析装置进一步包括预警单元：加载预警信息通知对应的网络信息管理人员，具体的，该预警单元可将数据存储到交换机端口流量突变表中，读取网络信息管理人员的联系信息以及预警通知模板，其中联系信息可以是邮件信息也可以是电话信息，自动填写预警通知模板后通知网络信息管理人员。

流量采集单元依据SNMP协议和交换机建立联系，从交换机数据表中读取目标交换机信息，其中目标交换机信息包括交换机名称、交换机IP以及端口数信息；依据目标交换机信息采用SNMP协议和交换机建立数据连接。

具体过程如下：利用交换机IP轮询获取对应交换机上各个端口的SNMP INDEX值，其后通过SNMP INDEX值获取该端口的上行流量数据以及下行流量数据，并对流量数据进行数据格式的解析，得到上行流量数据值以及下行流量数据值。

关于该预警分析装置的预判单元和研判单元的判断方法均已详细地被展示，在此不进行多次说明。

用于实现本方案实施例方法的服务器的计算机***包括中央处理单元CPU)，其可以根据存储在只读存储器(ROM)中的程序或者从存储部分加载到随机访问存储器(RAM)中的程序而执行各种适当的动作和处理。在RAM中，还存储有***操作所需的各种程序和数据。CPU、ROM以及RAM通过总线彼此相连。输入/输出(I/O)接口也连接至总线。

以下部件连接至I/O接口：包括键盘、鼠标等的输入部分；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分；包括硬盘等的存储部分；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分。通信部分经由诸如因特网的网络执行通信处理。驱动器也根据需要连接至I/O接口。可拆卸介质，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器上，以便于从其上读出的计算机程序根据需要被安装入存储部分。

特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分从网络上被下载和安装，和/或从可拆卸介质被安装。在该计算机程序被中央处理单元(CPU)执行时，执行本发明的***中限定的上述功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本发明各种实施例的***、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的***来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现，所描述的模块也可以设置在处理器中。

作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备执行以下方法所对应过的流程步骤。

本发明不局限于上述最佳实施方式，任何人在本发明的启示下都可得出其他各种形式的产品，但不论在其形状或结构上作任何变化，凡是具有与本申请相同或相近似的技术方案，均落在本发明的保护范围之内。

Claims (10)

1.一种交换机端口流量突变的预警分析方法，其特征在于，包括以下步骤：

获取预判出现突变流量的交换机端口，获取所述交换机端口的动态阈值，其中动态阈值为该交换机端口的正常流量最大值和正常流量平均值的偏差百分比；间隔时间段采集该交换机端口的实时流量数据，获取该交换机端口被触发预判时的预判流量数据，利用以下公式计算得到实时流量增长百分比：实时流量增长百分比=（实时流量数据-预判流量数据）/预判流量数据；

其次基于实时流量数据利用均值法得到实时流量偏差百分比，若实时流量增长百分比和实时流量偏差百分比均超过动态阈值，则确判该交换机端口出现突变流量。

2.根据权利要求1所述的交换机端口流量突变的预警分析方法，其特征在于，获取该交换机端口同一时间的历史流量数据均值，利用以下公式计算得到实时流量偏差百分比：实时流量偏差百分比=（实时流量数据-历史流量数据均值）/历史流量数据均值。

3.根据权利要求1所述的交换机端口流量突变的预警分析方法，其特征在于，若交换机端口的流量数据值超过端口设定预警值，且超过本端口上轮采集的流量数据值设定比例，则预判该交换机端口出现突变流量。

4.一种交换机端口流量突变的预警分析方法，其特征在于，包括以下步骤：采集交换机流量，比对交换机流量和端口设定预警值，预判该交换机端口是否出现突变流量；获取该交换机端口的动态阈值，其中动态阈值为该交换机端口的正常流量最大值和正常流量平均值的偏差百分比；间隔时间段采集该交换机端口的实时流量数据，获取该交换机端口被触发预判时的预判流量数据，利用以下公式计算得到实时流量增长百分比：实时流量增长百分比=（实时流量数据-预判流量数据）/预判流量数据，其次基于实时流量数据利用均值法得到实时流量偏差百分比，若实时流量增长百分比和实时流量偏差百分比均超过动态阈值，则确判该交换机端口出现突变流量。

5.根据权利要求4所述的交换机端口流量突变的预警分析方法，其特征在于，若该交换机端口的流量数据值超过端口设定预警值，且超过本端口上轮采集的流量数据值设定比例，则预判该交换机端口出现突变流量。

6.根据权利要求4所述的交换机端口流量突变的预警分析方法，其特征在于，获取该交换机端口同一时间的历史流量数据均值，利用以下公式计算得到实时流量偏差百分比：实时流量偏差百分比=（实时流量数据-历史流量数据均值）/历史流量数据均值。

7.一种交换机端口流量突变的预警分析装置，其特征在于，包括：

流量采集单元：采集交换机端口的实时流量数据以及历史流量数据，

预判单元：比对实时流量数据和端口设定预警值，预判是否出现突变流量，若是则触发研判单元；

研判单元：内载波比算法和均值算法，获取该交换机端口被触发预判时的预判流量数据，利用以下公式计算得到实时流量增长百分比：实时流量增长百分比=（实时流量数据-预判流量数据）/预判流量数据,其次，基于实时流量数据利用均值法得到实时流量偏差百分比，若实时流量增长百分比和实时流量偏差百分比均超过动态阈值，则确判该交换机端口出现突变流量，其中动态阈值为该交换机端口的正常流量最大值和正常流量平均值的偏差百分比。

8.根据权利要求7所述的交换机端口流量突变的预警分析装置，其特征在于，包括预警单元：加载预警信息通知对应的网络信息管理人员。

9.一种电子设备，其特征在于，包括：

至少一个处理器；

与所述至少一个处理器通信连接的存储器，其中所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1到6任一所述的方法。

10.一种存储有计算机指令的非瞬时计算机可读存储介质，其特征在于，所述计算机指令用于使所述计算机执行权利要求1到6任一所述的方法。

Images