CN114500236A - 基于交换机信息状态和日志的设备故障分析方法及装置 - Google Patents

Abstract

本发明公开了一种基于交换机信息状态和日志的设备故障分析方法及装置，所述方法包括获取交换机的实时状态信息和多个交换机日志信息；根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障；根据判断结果确定出现故障的交换机。本发明基于各交换机的环网Master信息配置信息正常的情况下，基于流量特征、交换机实时状态信息和交换机日志信息判断出交换机端口故障位置，并快速定位出产生环网风暴的故障交换机位置，辅助运维人员进行快速的网络恢复，保障高铁列控***网络的稳定运行。

Description

基于交换机信息状态和日志的设备故障分析方法及装置

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于交换机信息状态和日志的设备故障分析方法及装置。

背景技术

在轨道铁路***网络中，产生环网风暴的原因是多方面的，其中设备故障引起的环网风暴也是极大地影响了轨道铁路***网络的运行效率。轨道铁路***网络中含有数据巨大的网络设备，这些设备随着使用时间的增长会出现一定程度的老化，导致端口或网卡损坏，从而不断的发送无用报文，造成环网风暴。

虽然轨道铁路***网络发生环网风暴产生的原因多样，但是导致的后果相同，在轨道铁路***网络中针对不同原因产生的环网风暴流量特征、设备日志、配置文件等相关信息不尽相同，且区别较大，因此这给了我们在轨道铁路***网络中产生环网风暴依据这些流量特征、设备日志、配置文件等信息判断环网风暴产生原因的条件。在轨道铁路***网络中如何快速发现网络风暴产生的原因，以便运维人员依据环网风暴产生的原因进行快速的恢复，保障轨道铁路***网络的安全稳定有序运行就成当前工作的重中之重。

发明内容

本发明是在当前轨道铁路***网络环网风暴识别基础之上，即当已经确定网络中已经出现了环网风暴后，并且排除基于网络中流量特征而引起的交换机短路、环网主节点（环网Master）配置错误和网络攻击等出设备以外的产生环网风暴的原因后，基于交换机设备的日志、配置文件等相关信息对交换机设备故障进行的判断方法。

为实现上述目的，本发明提供如下技术方案：

一种基于交换机信息状态和日志的设备故障分析方法，所述方法包括以下步骤：获取交换机的实时状态信息和多个交换机日志信息；根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障；根据交换机端口判断结果确定出现故障的交换机。

优选的，所述根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障，具体为：

根据简单网络管理协议采集交换机端口实时状态信息和日志信息；

对比正常状态下交换机端口实时状态信息和日志信息与当前状态下的交换机实时状态信息和日志信息，判断交换机端口是否故障。

优选的，所述根据判断结果确定出现故障的交换机具体为：

判断交换机端口出现故障时，将故障端口所在的交换机作为出现故障的交换机。

优选的，判断交换机端口没有出现故障时，则认为故障为未知原因产生的环网风暴。

优选的，所述交换机的实时状态信息包括端口开启状态、端口类型、端口收发包速率、端口收发包字节数和端口丢包率。

优选的，所述交换机的日志信息包括通过***日志syslog收集交换机产生的日志信息；所述日志信息包括端口重启日志、网线插拔日志、网卡启动禁用日志。

优选的，所述多个交换机日志信息是在各交换机的环网Master信息配置信息正常时获取的。

一种基于交换机信息状态和日志的设备故障分析装置，其特征在于，所述装置包括：

获取单元，用于获取交换机的实时状态信息和多个交换机日志信息；

判断单元，用于根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障；

确定单元，用于根据交换机端口判断结果确定出现故障的交换机。

优选的，所述根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障，具体为：

根据简单网络管理协议采集交换机端口实时状态信息和日志信息；

对比正常状态下交换机端口实时状态信息和日志信息与当前状态下的交换机实时状态信息和日志信息，判断交换机端口是否故障。

优选的，所述根据判断结果确定出现故障的交换机，具体为：

判断交换机端口出现故障时，将故障端口所在的交换机作为出现故障的交换机。

优选的，所述根据判断结果确定出现故障的交换机，还包括：

判断交换机端口没有出现故障时，则认为故障为未知原因产生的环网风暴。

优选的，所述交换机的实时状态信息包括端口开启状态、端口类型、端口收发包速率、端口收发包字节数和端口丢包率。

优选的，所述交换机的日志信息包括通过***日志syslog收集交换机产生的日端口重启日志、网线插拔日志、网卡启动禁用日志。

优选的，在各交换机的环网Master信息配置信息正常时，获取单元获取所述多个交换机日志信息。

本发明的技术效果和优点：

本发明基于各交换机的环网Master信息配置信息正常的情况下，获取各交换机的日志信息，并结合交换机实时状态信息和日志信息判断交换机端口是否故障，并且给出设备故障异常告警，并给出故障交换机位置。本发明尽可能的利用到轨道铁路列控***网络的现有资源，不会对轨道铁路列控***网络现有的网络架构及布局产生影响，也不受轨道铁路列控***网络环网风暴发生后网络带宽的影响，最大限度保障轨道铁路列控***网络环网风暴溯源分析的独立性和及时性。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所指出的结构来实现和获得。

附图说明

图1 为本发明设备故障分析方法流程图；

图2 为本发明设备故障分析装置图；

图3为环网风暴溯源分析流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为解决现有技术的不足，本发明公开了一种基于交换机信息状态和日志的设备故障分析方法及装置，本发明方法包括：获取交换机的实时状态信息和多个交换机日志信息；根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障；根据判断结果确定出现故障的交换机。

结合图1可知，在各交换机的环网Master（环网主节点）信息配置信息正常时，获取多个交换机日志信息，结合交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障，是根据简单网络管理协议采集到的交换机端口实时状态信息和日志信息，来判断交换机端口是否故障：具体为：

根据简单网络管理协议采集交换机端口实时状态信息和日志信息；

对比正常状态下交换机端口实时状态信息和日志信息与当前状态下的交换机实时状态信息和日志信息，判断交换机端口是否故障。

进一步地，判断交换机端口出现故障时，将故障端口所在的交换机作为出现故障的交换机，并发出设备故障异常告警，并给出故障交换机位置；判断交换机端口没有出现故障时，则认为故障为未知原因产生的环网风暴。

进一步地，所述交换机的实时状态信息包括端口开启状态、端口类型、端口收发包速率、端口收发包字节数和端口丢包率。

进一步地，所述交换机的日志信息包括通过***日志syslog收集交换机产生的日志信息；所述交换机的日志信息还包括交换机异常日志，所述日志信息包括端口重启日志、网线插拔日志、网卡启动禁用日志。

结合图2可知，一种基于交换机信息状态和日志的设备故障分析装置，所述装置包括获取单元、判断单元和确定单元，其中获取单元用于获取交换机的实时状态信息和多个交换机日志信息；判断单元用于根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障；确定单元用于根据判断结果确定出现故障的交换机。

进一步地，所述根据判断结果确定出现故障的交换机，具体为：判断交换机端口出现故障时，将故障端口所在的交换机作为出现故障的交换机。

进一步地，所述根据判断结果确定出现故障的交换机，具体为：判断交换机端口出现故障时，将故障端口所在的交换机作为出现故障的交换机；判断交换机端口没有出现故障时，则认为故障为未知原因产生的环网风暴。所述交换机的实时状态信息包括端口开启状态、端口类型、端口收发包速率、端口收发包字节数和端口丢包率。所述交换机的日志信息包括通过***日志syslog收集交换机产生的日志信息；所述日志信息包括端口重启日志、网线插拔日志、网卡启动禁用日志，所述交换机的日志信息还包括交换机异常日志。

进一步地，在各交换机的环网Master信息配置信息正常时，获取单元获取所述多个交换机日志信息。

以下将结合具体的实施案例进一步说明本发明的技术方案：

当轨道铁路***网络内出现环网风暴后将触发环网风暴成因判断流程，图3示出了环网风暴溯源分析流程图，根据图3可知，通过分析网络流量特征、设备日志、配置文件等信息得出环网风暴产生原因，分为以下预处理阶段、交换机短路分析阶段、环网Master配置错误分析阶段、网络攻击分析阶段、设备故障分析阶段、未知原因处理分析阶段等6个阶段。

本实施例需提前排除环网风暴由于交换机短路、环网Master配置错误和网络攻击等原因产生的，所以当出现环网风暴时，首先需要排查是否由交换机短路、环网Master配置错误和网络攻击所致，结合图3，具体步骤为：

第一阶段，预处理阶段

本阶段在轨道铁路***网络中出现环网风暴时自动触发，主要完成在发生环网风暴后网络流量的收集、分析和处理工作。具体步骤为：

步骤S1001，获取网络环网风暴后的全部流量数据

具体为通过收集旁路部署在网络内各个交换机节点处的流量采集设备镜像采集到的流量数据，进而获取全网在发生网络风暴后全部流量数据，从而为进一步分析提供数据支撑。

步骤S1002，获取报文类型，并将报文依据类型进行分析

具体为对步骤S1001收集到的报文进行预处理，通过报文的协议字段信息获取报文的协议类型，并将报文依据协议类型进行分类，最后将分类后的数据进行存储，等待下一步处理。

第二阶段，交换机短路分析阶段

本阶段依据预处理阶段收集、分类的数据报文，通过对流量特征进行分析并结合LLDP（链路层发现协议）配置文件信息判断交换机是否出现短路连接。具体步骤为：

步骤S1101，ARP类型报文是否激增

具体为获取按类型分类后的各类型报文数量，判断网络中ARP报文类型是否异常增加，当出现交换机短路连接后，环网内的ARP请求报文会急剧增加，远超网络内正常的ARP报文数，因此ARP报文激增可以作为判断交换机短路连接的一个重要调教。当网络内ARP报文并没有显著变化是，将触发进入第三阶段环网Master配置错误分析阶段；当分析后网络内ARP报文激增后，进入下一步，进一步确定是否发生了交换机短路连接。

步骤S1102，获取各交换机内维护的LLDP配置文件信息并分析

具体为通过部署在各关键节点处的网络采集设备，收集轨道交通网络交换机的LLDP（链路层发现协议）数据报文，其中LLDP报文是一个厂商无关的二层协议，它允许网络设备在本地子网中通告自己的设备标识和性能，可将本设备的主要能力，管理地址，设备标识，接口标识等信息发送给同一个局域网的其他设备，提供了一种标准的链路层发现方式。通过LLDP配置文件信息可获取各交换机端口邻居节点信息。

步骤S1103，是否出现交换机某个端口的邻居节点是本交换机自身其两端口处于同一VLAN中

具体以为依据步骤S1102获取的各交换机LLDP信息判断判断各交换机端口的邻居节点信息，当出现交换机短接是会是的某一端口的邻居节点信息是本交换机自身，且两个端口的VLAN信息也相同。通过判断各交换机端口邻居节点信息可以判断交换机是否发生短接，若未出现步骤S1103描述现象则环网风暴不是交换机短接引起的，需要进一步判断，触发进入第三阶段环网Master配置错误分析阶段；若出现步骤S1103描述现象，则发生了交换机短接，进行下一步告警处理。

步骤S1104，交换机短路连接告警，并给出短路连接的交换机位置及连接的两个端口号

具体为依据步骤S1103判断出的交换机短路连接现象，发出交换机短路连接告警，并依据LLDP配置文件属于的交换机位置给出短路连接的交换机位置和发生短路连接的交换机上端口，供运维人员进行处理。至此由交换机短路连接造成的环网风暴原因分析完成，导致轨道铁路***网络环网风暴原因找到，结束。

第三阶段，环网Master配置错误分析阶段

本阶段通过流量特征、交换机配置文件的相关信息分析环网风暴是否由环网Master配置错误引起。具体步骤为：

步骤S1201，判断激增报文协议类型是否与业务相关且校验码、时序等信息正常

具体为当步骤S1101判断为否或步骤S1103判断为否之后将触发环网Master配置错误分析。当环网Master配置错误导致网络成环时，此时轨道铁路***网络内大量业务相关类正常报文将在网内循环传输，直至TTL值降为0。因此，在此步骤需要获取预处理阶段各类型协议报文的数量，判断与轨道铁路***网络协议相关且报文的校验码和时序等状态数据正常的报文数量是否明显增加，若未出现明显增加现象将触发进入第四阶段网络攻击分析阶段；若正常报文数量激增，则进一步确定是否出现环网Master配置错误。

步骤S1202，获取报文TTL值

具体为分析获取激增的正常业务报文的TTL值，并将报文按TTL值进行分类，统计各类报文数量。

步骤S1203，是否出现大量报文TTL值为1或0的情况

具体为获取依据TTL值进行分类统计的报文的数量，由于当产生环路是网内将出现大量 TTL值为1或0的报文，因此判断是否出现大量报文的TTL值为1或0，若未出现则触发进入第四阶段网络攻击分析阶段；若出现则进一步确定是否出现环网Master配置错误。

步骤S1204，通过SNMP采集各交换机的配置、实时状态信息

具体为通过SNMP采集获取各交换机的配置、实时状态等信息，分析环网协议的配置。

步骤S1205，判断各交换机环网Master配置是否异常

具体为分析步骤S1204采集获取的各交换机环网配置信息，比较分析是否出现环网Master配置错误，若未出现则进入第五阶段设备故障分析流程；若出现进行环网Master配置错误告警等处理。

步骤S1206，交换机环网Master配置异常告警，并给出配置错误的交换机位置

具体为依据步骤S1205已经判断出环网风暴产生的原因为环网Master配置错误，因此在本步骤给出告警，并将配置错误的交换机位置告知管理员，由管理员进行进一步处理，结束。

第四阶段，网络攻击分析阶段

本阶段依据轨道铁路***网络环网风暴后的流量特征，提取流量特征指纹，与攻击库中的产生DDOS攻击是的报文指纹特征进行对比，进而判断是否发生网络攻击。具体步骤为：

步骤S1301，提取相关报文指纹特征

具体为分析激增的报文，通过一定的算法获取激增报文的指纹特征。

步骤S1302，是否满足DDOS攻击库中的报文特征

具体为将提取的报文特征与DDOS攻击库中的指纹进行对比，判定报文的指纹特征是否满足DDOS攻击特征，若不满足，则触发进入步骤S1204进行下一步判断；若满足则为网络遭受DDOS攻击，进入下一步告警处理。

步骤S1303，网络遭受DDOS攻击告警

具体为至本步骤时已经判断出网络遭受了DDOS攻击，因此需要发出告警，供管理运维人员进一步处理，结束。

前期工作已排除环网风暴不是由于交换机短路、环网Master配置错误和网络攻击本所产生，本实施例将依据采集到的交换机状态信息和交换机日志告警信息判断环网风暴是否由设备端口故障引起。由于当网络中交换机端口出现故障时，将不停的向外界发送报文，使得故障端口处的发送报文数量激增，导致环网风暴的产生。具体步骤如下：

步骤S1401，获取交换机日志日志信息

具体为通过***日志syslog收集交换机产生的日志信息，查找交换机异常日志。

步骤S1402，结合交换机实时状态信息和日志信息判断交换机端口是否故障

具体为通过SNMP采集到的交换机端口实时状态信息，检查是否出现某一端口的发送流量激增现象，并结合该交换机日志信息判断是否出现端口故障的告警日志，若未出现则进入未知原因处理分析阶段需要管理员协助进一步判断环网风暴尝试原因；若出现则为设备端口故障产生的环网风暴，进行下一步告警处理。

步骤S1403，设备故障异常告警，并给出设备故障交换机位置

具体为本步骤为已判断出环网风暴产生原因为设备故障所引起，将向管理人员进行告警，并给出故障交换机位置。

第六阶段，未知原因处理分析阶段

本阶段为经过以上各阶段判断后环网风暴并非由以上四种原因所产生，需要人工管理人员进行自行分析，进一步确定产生环网风暴的原因。具体步骤为：

步骤S1501，位置原因产生的环网风暴，需要管理人员辅助查找问题

具体为经过以上判断，轨道铁路***网络产生的环网风暴无法通过程序自动判断得出，可能为新的原因，也有可能为多种原因组合产生，此时需要管理人员辅助进行问题查找，以最终确定环网风暴的产生原因。

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (14)

1.一种基于交换机信息状态和日志的设备故障分析方法，其特征在于，所述方法包括以下步骤：

获取交换机的实时状态信息和多个交换机日志信息；

根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障；

根据交换机端口的判断结果确定出现故障的交换机。

2.根据权利要求1所述的方法，其特征在于，所述根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障，具体为：

根据简单网络管理协议采集交换机端口实时状态信息和日志信息；

对比正常状态下交换机端口实时状态信息和日志信息与当前状态下的交换机实时状态信息和日志信息，判断交换机端口是否故障。

3.根据权利要求1所述的方法，其特征在于，所述根据判断结果确定出现故障的交换机具体为：

判断交换机端口出现故障时，将故障端口所在的交换机作为出现故障的交换机。

4.根据权利要求1所述的方法，其特征在于，

判断交换机端口没有出现故障时，则认为故障为未知原因产生的环网风暴。

5.根据权利要求1或2所述的方法，其特征在于，

所述交换机的实时状态信息包括端口开启状态、端口类型、端口收发包速率、端口收发包字节数和端口丢包率。

6.根据权利要求1所述的方法，其特征在于，

所述多个交换机的日志信息包括通过***日志收集交换机产生的日志信息，其中，

所述日志信息包括端口重启日志、网线插拔日志和网卡启动禁用日志。

7.根据权利要求6所述的方法，其特征在于，

所述交换机日志信息是在各交换机的环网主节点信息配置信息正常时获取的。

8.一种基于交换机信息状态和日志的设备故障分析装置，其特征在于，所述装置包括：

获取单元，用于获取交换机的实时状态信息和多个交换机日志信息；

判断单元，用于根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障；

确定单元，用于根据交换机端口的判断结果确定出现故障的交换机。

9.根据权利要求8所述的装置，其特征在于，所述根据交换机的实时状态信息和多个交换机日志信息判断交换机端口是否故障，具体为：

根据简单网络管理协议采集交换机端口实时状态信息和日志信息；

对比正常状态下交换机端口实时状态信息和日志信息与当前状态下的交换机实时状态信息和日志信息，判断交换机端口是否故障。

10.根据权利要求8所述的装置，其特征在于，所述根据判断结果确定出现故障的交换机，具体为：

判断交换机端口出现故障时，将故障端口所在的交换机作为出现故障的交换机。

11.根据权利要求10所述的装置，其特征在于，所述根据判断结果确定出现故障的交换机，还包括：

判断交换机端口没有出现故障时，则认为故障为未知原因产生的环网风暴。

12.根据权利要求8所述的装置，其特征在于，

所述交换机的实时状态信息包括端口开启状态、端口类型、端口收发包速率、端口收发包字节数和端口丢包率。

13.根据权利要求8所述的装置，其特征在于，

所述交换机日志信息包括通过***日志收集交换机产生的日端口重启日志、网线插拔日志和网卡启动禁用日志。

14.根据权利要求8所述的装置，其特征在于，

在各交换机的环网主节点信息配置信息正常时，获取单元获取所述多个交换机日志信息。

Images