DE69020899T2

DE69020899T2 - Netzüberwachungssystem und -vorrichtung.

Info

Publication number: DE69020899T2
Application number: DE69020899T
Authority: DE
Inventors: Peter Phaal
Original assignee: Hewlett Packard Co
Current assignee: Hewlett Packard Development Co LP
Priority date: 1990-09-28
Filing date: 1990-09-28
Publication date: 1995-12-07
Anticipated expiration: 2010-09-29
Also published as: EP0477448A1; JPH04263536A; US5315580A; DE69122200D1; JP3329842B2; EP0480555B1; DE69122200T2; DE69020899D1; CA2044874A1; EP0480555A1; EP0477448B1; CA2044874C

Description

Die vorliegende Erfindung bezieht sich auf Netzwerküberwachungsgerät zum Überwachen der Aktivität auf einem Netzwerk, das Meldungspakete trägt, von denen jedes eine Quellen- und eine Zieladresse enthält; die Erfindung bezieht sich ferner auf ein Netzwerküberwachungssystem, das solche Geräte verwendet.
Derzeitig kommen die meisten Informationen, die verwendet werden, um Netzwerke zu verwalten, von Netzwerküberwachungsgeräten, wie zum Beispiel Brücken und Routern (Signalführungseinrichtungen), deren primäre Funktion es ist, den Durchgang von Paketen zwischen Abschnitten des Netzwerks zu steuern. Diese Geräte stellen im allgemeinen Informationen über ihre Konfiguration und einige Schnittstellenstatistiken bereit. Die Schnittstellenstatistiken sind normalerweise in der Form von Zählwerten unterschiedlicher Typen von Paketen, die durch die Geräte verarbeitet werden. Diese Zählstände schließen die gesamte Anzahl von korrekt gesendeten und empfangenen Paketen und die gesamte Anzahl von fehlerhaften Paketen ein, möglicherweise in Kategorien unterteilt (wie zum Beispiel CRC, Kollision, Runt, Jabber, etc.). Eine Netzwerküberwachung dieser Art ist in der Schrift "A Multi-Purpose Distributed LAN Traffic Monitoring Tool" von D. Rirtor und M. Senie in IEEE Network, Band 1, Nummer 3, Juli 87, Seiten 32 - 39, offenbart.
Das Problem mit diesen Zählständen besteht darin, daß, obwohl sie verwendet werden können, um ein Problem anzuzeigen (wie zum Beispiel eine übermäßige Paketkollisionsrate), sie wenig tun, um die Ursache zu isolieren.
zu diesem Zeitpunkt ist eine Verkehrsmatrix oft nützlich. Sie teilt den Paketzählstand in die Beiträge jeder Station des Netzwerks auf. Wenn der Gesamtpaketzählstand hoch war, wäre es zum Beispiel interessant zu sehen, welche Paare von Netzwerkstationen kommunizieren, und ihre jeweiligen Beiträge zu dem Paketzählstand. Lediglich mit diesen Informationen kann eine Entscheidung darüber gefällt werden, ob eine Station bewegt werden soll, Kapazität hinzugefügt werden soll, oder ob ein Service verdoppelt werden soll.
Die Berechnung von Verkehrsmatrizen ist eine teuere Operation, die das Decodieren jedes Pakets auf dem Netzwerk einschließt. Zusätzlich werden große Mengen an Speicher verwendet, um die Tabelle aufzubauen. Es ist nicht überraschend, daß Netzwerkgeräte normalerweise keine Verkehrsmatrizen bereitstellen, es wäre zu teuer und würde deren primäre Funktion beeinträchtigen.
Wenn jemand derzeitig eine Verkehrsmatrix aufbauen möchte, wird ein Instrument verwendet. Solche Instrumente umfassen im allgemeinen eine Empfangseinrichtung zum Erfassen und Empfangen von Meldungspaketen, die auf dem Netzwerk getragen werden, und eine Verarbeitungseinrichtung, die wirksam ist, um Daten über Pakete, die durch die Empfangseinrichtung empfangen wurden, zu sammeln und zu verarbeiten, wobei diese Daten die Quellen- und Zieladresse einschließen, die in dem Paket enthalten sind. Instrumente sind normalerweise zu teuer, um sie an Ort und Stelle zu lassen, und deshalb müßte jemand ein Instrument mit dem erforderlichen Ort verbinden, die Verkehrsmatrix aufnehmen und dann die Übung für den nächsten Ort, der überwacht werden soll, wiederholen. Dies kann in einem weit verteilten Netzwerk eine schwierige und zeitaufwendige Aufgabe sein.
Ein weiteres Problem besteht darin, daß es mit schneller werdenden Netzwerken schwieriger wird, Instrumente zu entwickeln, die mit der Datenrate auf dem Netzwerk Schritt halten können.
Gemäß der vorliegenden Erfindung wird ein Netzwerküberwachungsgerät zum Überwachen der Aktivität auf einem Netzwerk, das Meldungspakete trägt, von denen jedes eine Quellen- und eine Zieladresse enthält, geschaffen, wobei das Überwachungsgerät eine Empfangseinrichtung zum Erfassen und Empfangen von Meldungspaketen, die auf dem Netzwerk getragen werden, und eine Verarbeitungseinrichtung umfaßt, die wirksam ist, um Daten über Pakete, die durch die Empfangseinrichtung empfangen wurden, zu sammeln und zu verarbeiten, wobei diese Daten die Quellen- und Zieladresse einschließen, die in dem Paket enthalten sind, dadurch gekennzeichnet, daß
- das Überwachungsgerät ferner eine Abtasteinrichtung umfaßt, um lediglich einige der Pakete, die durch die Netzwerkschnittstelle erfaßt werden, auszuwählen, und
- die verarbeitungseinrichtung wirksam ist, um lediglich Daten zu verarbeiten, die bezüglich der ausgewählten Pakete gesammelt wurden.
Die Verwendung von Abtasttechniken ermöglicht es, Verkehrsmatrizen ohne die Prozessor- und/oder Speicheranforderungen einer herkömmlich erzeugten Verkehrsmatrix aufzubauen. Dies wurde es ermöglichen, daß Verkehrsmatrizen durch Geräte, wie zum Beispiel Brücken und Router, die als Überwachungsgeräte wirksam sind, gesammelt werden&sub1; und ermöglicht es ebenfalls, daß Instrumente aufgebaut werden, die billig genug sind, um sie an Ort und Stelle zurückzulassen. Selbstverständlich ergibt die verwendung lediglich ausgewählter Pakete, und nicht aller Pakete, zum Erzeugen einer Verkehrsmatrix eine angenäherte Verkehrsmatrix, aber über die Dauer einer Stunde kann die abgeschätzte Verkehrsmatrix eine sehr gute Annäherung der tatsächlichen Verkehrsmatrix sein.
Die Abtasteinrichtung kann ihre Auswahl der Pakete in einer deterministischen Art entweder auf der Basis des Auswählens jedes n-ten Pakets (zum Beispiel jedes 100. Pakets) oder auf der Basis des Auswählens des ersten Paketes nach einem festen Zeitraum nach dem letzten ausgewählten Paket ausführen. Ein solcher Auswahlprozeß wird es jedoch lediglich dann ermöglichen, eine realistische Verkehrsmatrix aus den ausgewählten Paketen aufzubauen, wenn der Verkehr bezüglich seiner Natur zufällig ist; dort wo dies nicht der Fall ist, könnte ein solcher deterministischer Auswahlprozeß zu bedeutenden Verzerrungen der Verkehrsmatrix führen. In einem extremen Fall könnte eine Netzwerkstation zum Beispiel programmiert werden, um ein Paket mit derselben Frequenz zu senden, mit der die Abtastung durch den Netzwerkmonitor ausgeführt wird; in diesem Fall würden die Pakete, die durch die Netzwerkstation gesendet werden, entweder durch den Abtastprozeß vollständig verloren gehen, oder sie wären die einzigen Pakete, die durch den Abtastprozeß ausgewählt würden.
Folglich führt die Abtasteinrichtung ihre Auswahl von Paketen bevorzugterweise in einer statistischen, zufälligen Art aus. Eine solche zufällige Auswahl kann auf der Grundlage der abgelaufenen Zeit seit der vorhergehenden Paketauswahl, oder bezüglich der Anzahl von Paketen, die durch die Netzwerkschnittstelle erfaßt wurde, ausgeführt werden.
Bevorzugterweise umfaßt das Überwachungsgerät ferner eine Sendeeinrichtung, um Pakete über ein Netzwerk zu senden, und die Verarbeitungseinrichtung ist wirksam, um die Daten, die von den ausgewählten Paketen gesammelt wurden, durch Bilden von Paketen mit gesammelten Daten zu verarbeiten, wobei in jedem dieser die Daten eingeschlossen sind, die bezüglich eines oder mehrerer der ausgewählten Pakete gesammelt wurden, wobei die Verarbeitungseinrichtung wirksam ist, um die Sendeeinrichtung zu veranlassen, jedes der Pakete mit gesammelten Daten über das Netzwerk für einen entfernten Empfang und eine weitere Verarbeitung zu senden. Durch Verwenden eines solchen Überwachungsgeräts wird es möglich, ein kostengünstiges Überwachungssystem durch Verteilen der kostengünstigen Überwachungsgeräte über das zu überwachende Netzwerk und durch Anordnen dieser, um ihre Datenabtastwerte in der Form von Paketen mit gesammelten Daten zurück an eine einzelne Meßstation zur Verarbeitung zu senden (zum Beispiel, um Verkehrsmatrizen aufzubauen) aufzubauen. Diese Anordnung minimiert die Prozessor- und Speicheranforderungen für jedes Überwachungsgerät und konzentriert diese teueren Betriebsmittel auf eine zentrale Station.
Im allgemeinen wird das zu überwachende Netzwerk eine oder mehrere Brücken und/oder Router einschließen, die das Netzwerk in eine Mehrzahl von Abschnitten unterteilen. In diesem Fall hat jeder Abschnitt bevorzugterweise sein eigenes zugeordnetes Abtastüberwachungsgerät; die Meßstation kann dann nicht nur Verkehrsmatrizen für jeden individuellen Netzwerkabschnitt erzeugen, sondern kann ebenfalls die Topologie des Netzwerks bezüglich der Netzwerkabschnitte bestimmen, mit denen die Überwachungsgeräte verbunden sind.
Die Übertragung der Pakete mit gesammelten Daten an die Meßstation kann entweder über das Netzwerk, das überwacht wird, oder über ein getrenntes Netzwerk, mit dem die Sendeeinrichtung der Überwachungsgeräte verbunden ist, durchgeführt werden.
Das abtastende Überwachungsgerät kann die Form eines alleinstehenden Gerätes, die Forin einer Karte in einem vernetzten Computer (lediglich unter Verwendung des Computers für die Leistung und eines Schlitzes), in der Form einer modifizierten Brücke oder eines modifizierten Routers oder in der Form eines Prozesses, der auf einem Prozessor einer verbundenen Netzwerkstation abläuft, annehmen.
Ein Netzwerküberwachungssystem, das eine Anzahl von abtastenden Überwachungsgeräten verwendet, die die Erfindung ausführen, wird nun durch ein nicht-beschränkendes Beispiel anhand der beiliegenden schematischen Zeichnungen beschrieben, in denen:
Fig. 1 ist ein Gesamtdiagramm eines Netzwerks, mit dem eine Meßstation und eine Anzahl von abtastenden Überwachungsgeräten verbunden wurde, um ein Netzwerküberwachungssystem zu bilden;
Fig. 2 ist ein Diagramm, das die allgemeine Form eines Datenpakets darstellt, das über das Netzwerk aus Fig. 1 gesendet wird;
Fig. 3 ist ein Blockdiagramm eines abtastenden Überwachungsgeräts aus Fig. 1; und
Fig. 4 ist ein Flußdiagramm, das die Haupt-Unterbrechungs-Service-Routine darstellt,die durch einen steuernden Mikroprozessor des Geräts in Fig. 3 ausgeführt wird.
Fig. 1 stellt ein typisches lokales Bereichsnetzwerk (local area network) dar, bei dem eine Mehrzahl von Stationen 11, 12 und 13 über Kabelsegmente 10A, 10B und 10C verbunden sind. Das Netzwerk ist durch Brücken 14, die die jeweiligen Kabelsegmente 10B, 10C mit dem Kabelsegment 10A verbinden, in drei logische Segmente unterteilt. Es ist in Fachkreisen gut bekannt, daß die Brücken dazu dienen, den Verkehr, der zwischen den Netzwerksegmenten läuft, derart zu filtern, daß Meldungen, die von einem bestimmten Segment stammen und für eine Station in demselben Segment bestimmt sind, nicht durch die Brücke oder Brücken 14 zu anderen Segmenten laufen, wohingegen es Meldungen, die in einem Segment ihren Ursprung haben und die für ein anderes bestimmt sind, ermöglicht wird, die Brücke zu überqueren.
In dem dargestellten lokalen Bereichsnetzwerk werden Meldungen zwischen den Stationen 11, 12 und 13 in der Form von Paketen, die über das Netzwerk gesendet werden, übertragen. Typischerweise wird ein Paket die Form haben, die in Fig. 2 dargestellt ist, mit einem Paketkopf 15, der eine Quellenadresse (die Adresse der Station, die das Paket sendet) und einer Zieladresse (die Adresse der Station, von der beabsichtigt ist, das Paket zu empfangen), und ein Informationsfeld 16, das die Daten enthält, die an die empfangende Station übergeben werden, und wird normalerweise Fehlerüberprüfungscodes einschließen. Abhängig von dem bestimmten Paketformat, das verwendet wird, können auch andere Felder vorhanden sein; folglich können zum Beispiel ein CRC-Feld (CRC = Cycle Redundancy Check = Zyklusredundanzüberprüfung) existieren, die sowohl den Paketkopf als auch das Informationsfeld überdecken.
Das Netzwerk in Fig. 1 kann zum Beispiel ein Ethernet-Netzwerk sein, das Fachleuten gut bekannt ist.
Das Netzwerk in Fig. 1 ist angeordnet, um durch ein Netzwerküberwachungssystem überwacht zu werden, das eine Mehrzahl von Überwachungsgeräten (Stationen 12) und eine zentrale Meßstation 13 umfaßt. Jedes der Überwachungsgeräte ist einem jeweiligen der logischen Segmente des Netzwerks zugeordnet. Wie es im Nachfolgenden offensichtlich wird, ist jedes Überwachungsgerät wirksam, um die Pakete auf seinem zugeordneten Netzwerksegment zufällig abzutasten, und um Daten der abgetasteten Pakete zurück an die Meßstation 13 zur Verarbeitung und Analyse zu senden.
Die Form jedes Überwachungsgeräts ist in Fig. 3 dargestellt. Das Gerät umfaßt eine Netzwerkschnittstelle 20, einen Mikroprozessor 21, und eine ROM- (nicht permanenter, vorprogrammierter Speicher) und eine RAM- (erneut beschreibbarer Speicher) Einheit 22 und 23. Diese Einheiten 20 bis 23 sind alle über Adress-, Daten- und Steuerungsbusse 27, 28 und 29 verbunden. Die Netzwerkschnittstelle 20 ist wirksam, um alle niederstufigen Funktionen auszuführen, die notwendig sind, um eine Schnittstelle zwischen dem Überwachungsgerät aus Fig. 3 und dem Netzwerkkabel 10 zu schaffen, und um die empfangenen Pakete zu einer Empfangsschlange, in der Form eines FIFO-Puffers 25 (FIFO = First In First Out = die zuerst eingelesenen Daten werden auch zuerst wieder ausgelesen) in dem RAM 23 zu führen. Die Netzwerkschnittstelle ist ferner wirksam, um Pakete, die in einer Sendeschlange, die durch einen FIFO-Puffer 26 im RAM 23 enthalten sind, zu senden. Die Netzwerkschnittstelle 20 bildet folglich eine Paketempfangseinrichtung und eine Paketsendeeinrichtung für das Überwachungsgerät. Bei dem vorliegenden Beispiel ist die Netzwerkschnittstelle 20 angeordnet, um alle Pakete unabhängig von ihrer Zieladresse, die in dem Paketkopf enthalten ist, zu empfangen. Ferner ist die Netzwerkschnittstelle 20 wirksam, um lediglich den Kopfabschnitt 30 jedes empfangenen Pakets an den FIFO-Empfangspuffer 25 weiterzugeben.
Die Netzwerkschnittstelle 20 ist angeordnet, um in Koordination mit der Mikroprozessorsteuerung 21 wirksam zu sein, und informiert insbesondere den Mikroprozessor 21 zu jedem Zeitpunkt, zu dem ein Paketkopf in den FIFO-Empfangspuffer 25 eingeführt wird, durch ein geeignetes Unterbrechungssteuerungssignal.
Die Netzwerkschnittstelle 20 enthält ebenfalls verschiedene Zähler 24, die eine Anzahl von Zählständen halten, die die gesamte Anzahl von empfangenen Paketen, die Anzahl von empfangenen Paketen, die gemäß ihrem CRC-Feld einen Fehler aufweisen, die Anzahl von empfangenen Paketen mit einer Länge unterhalb der minimal akzeptierten Länge (RUNT-Pakete), und die Anzahl von empfangenen Paketen mit einer Länge oberhalb der maximal akzeptierten Länge (JABBER) einschließen.
Ausführungen der Netzwerkschnittstelle 20 für bestimmte Netzwerkprotokolle sind in Fachkreisen gut bekannt. Folglich kann die Netzwerkschnittstelle 20 zum Beispiel für ein Ethernet-Netzwerk durch die Chips 82502, 82501 und 82586 der Intel Corporation gebildet sein; in diesem Fall ist ein geeigneter Mikroprozessor, der den Mikroprozessor mit dem Bezugszeichen 21 bildet, der Prozessor 80186 von Intel.
Das ROM 22 hält die Programme, die durch den Mikroprozessor 21 ausgeführt werden, und ebenfalls eine Tabelle von zufälligen Zählwerten, die gemäß einer exponentiellen Verteilung vorbestimmt sind.
Der Prozessor 21 ist wirksam, um ein Hintergrundprogramm ablaufen zu lassen, in dem er nichts durchführt (dies bedeutet ein Leerlaufprogramm). Das Hauptarbeitsprogramm für den Prozessor 21 ist eine Unterbrechungsserviceroutine, die jedesmal aufgerufen wird, wenn die Netzwerkschnittstelle 20 eine Prozessorunterbrechung erzeugt, um dem Prozessor mitzuteilen, daß sie einen neuen Paketkopf in dem Empfangs-FIFO 25 gespeichert hat. Die Unterbrechungsserviceroutine, die im Folgenden detaillierter beschrieben wird, ist wirksam, um zufällig einen empfangenen Paketkopf auszuwählen, und ihn zu einem Paket mit gesammelten Daten zusammen mit den derzeitigen Zählwerten der Zähler 24 zu bilden; die zufällige Auswahl der empfangenen Paketköpfe wird unter Verwendung der vorbestimmten zufälligen Zählwerte, die im ROM 22 gespeichert sind, bewirkt. Das Paket mit den gesammelten Daten, das so gebildet ist, wird in das Sendeschlangen-FIFO 26 eingegeben, und wird zu gegebener Zeit durch die Netzwerkschnittstelle 20 zurück an die Meßstation 13 gesendet. Der Kopf jedes Pakets mit gesammelten Daten enthält dessen Quellenadresse, die Adresse des betroffenen Überwachungsgeräts, während die Zieladresse diejenige der Meßstation ist (alternativ kann eine Multicastadresse verwendet werden, auf die die Meßstation eingestellt ist, um zuzuhören).
Eine detailliertere Beschreibung des Betriebs des Überwachungsgeräts erfolgt nun anhand der Fig. 4, die ein Flußdiagramm der Unterbrechungsserviceroutine ist, die durch den Mikroprozessor 21 ausgeführt wird. Von dem Mikroprozessor 21 sei angenommen, daß er in dem Zustand ist, in dem er sein Hintergrund- (Leerlauf-) Programm ausführt, und in dem er einen der zufälligen Zählstandswerte hat, die in einem internen Register gehalten sind (das Holen des ersten Zählstandswertes beim Einschalten des Überwachungsgeräts wäre ein Teil einer Initialisierungsroutine). Es sei ebenfalls angenommen, daß der FIFO-Empfangs- und der -Sende-Puffer 25 und 26 leer sind.
Beim Empfang eines Pakets über das Netzwerkkabel 10 wird die Netzwerkschnittstelle 20 den Paketkopf an den FIFO-Empfangspuffer 25 weitergeben, seinen Zähler 24 aktualisieren und ein Unterbrechungssignal für den Mikroprozessor 21 erzeugen. Beim Empfang dieser Unterbrechung führt der Mikroprozessor 21 die Unterbrechungsserviceroutine auf, die in Fig. 4 dargestellt ist. Der erste Schritt 40 dieser Routine führt die normalen Haushaltsaufgaben durch, die solchen Routinen zugeordnet sind, die das Sichern der permanenten Umgebungsparameter des Hintergrundprogramms und das Abbilden weiterer Unterbrechungen einschließen.
Als nächstes erniedrigt der Mikroprozessor den zufälligen Zählstandswert, der in seinem internen Register gehalten ist (Schritt 41) und überprüft dann den zurückbleibenden Wert, um zu sehen, ob dieser auf Null reduziert wurde (Schritt 42).
Wenn der Zählwert immer noch größer ist als Null, legt der Mikroprozessor 21 den Kopfeintrag in dem FIFO-Empfangspuffer 25 ab (Schritt 43).
Danach muß der Mikroprozessor den FIFO-Empfangspuffer 25 überprüfen, um zu sehen, ob irgendwelche weiteren Paketköpfe in den Puffer durch die Netzwerkschnittstelle 20 während der vorhergehenden Schritte der Unterbrechungsserviceroutine eingebracht wurden (Schritt 44). Im allgemeinen wird dies nicht der Fall sein, und der Mikroprozessor wird dann seine Unterbrechungsserviceroutine verlassen, und seine Hintergrundumgebung zurückgewinnen und seine Unterbrechungen demaskieren (Schritt 45). In dem Fall jedoch, daß der FIFO- Empfangspuffer 25 einen weiteren Paketkopf enthält, wird die Unterbrechungsserviceroutine vom Schritt 44 zurück zum Schritt 41 gehen.
Wenn der Mikroprozessor 21 während des Tests (Schritt 42), der bezüglich des Zählwertes, der in seinem internen Register gehalten ist, ausgeführt wird, herausfindet, daß dieser Zählwert auf Null reduziert wurde, wird die Unterbrechungsserviceroutine fortfahren, um ein Paket 31 mit gesammelten Daten bezüglich des Paketkopfes an der Spitze des FIFO-Empfangspuffers 25 zu erzeugen (Schritt 46). Dieses Paket 31 mit gesammelten Daten wird in dem FIFO-Sendepuffer 26 aus dem empfangenen Paketkopf 30, den Zählwerten der Zähler 24, der Adresse des Überwachungsgeräts (Quellenadresse für das Paket mit gesammelten Daten) und aus der Adresse der Meßstation (Zieladresse für den Kopf des Pakets mit gesammelten Daten) zusammengesetzt. Nachdem dieses Paket mit gesammelten Daten zusammengesetzt wurde, setzt der Mikroprozessor 21 eine Flag in der Netzwerkschnittstelle 20, um anzuzeigen, daß ein Paket existiert, das fertig zur Übertragung ist. (Die Netzwerkschnittstelle 20 wird das Paket senden, wenn sie dazu fähig ist, und die durch den Mikroprozessor 21 eingestellte Flag löschen, sobald sie dies durchgeführt hat).
Nach der Beendigung des Schritts 46 der Unterbrechungsserviceroutine holt der Mikroprozessor einen neuen zufälligen Zählstand aus dem ROM 22 und speichert diesen neuen zufälligen Zählwert in seinem internen Register (Schritt 47). Der Mikroprozessor geht dann weiter zum Schritt 44, und der Ablauf der Unterbrechungsserviceroutine geht weiter, wie es im vorhergehenden beschrieben wurde.
Die Größe der FIFO-Empfangs- und -Sende-Puffer 25 und 26 kann recht klein sein, zum Beispiel ausreichend, um lediglich zwei oder drei Einträge zu enthalten. Dies ist bezüglich des Empfangspuffers 25 möglich, weil das Intervall zwischen Paketen, die durch die Netzwerkschnittstelle 20 emPfangen werden, für den Mikroprozessor 21 ausreichend sein wird, um seine Unterbrechungsserviceroutine auszuführen und den obersten Eintrag aus dem Empfangspuffer zu löschen; in jedem Fall stellt der gelegentliche Überfluß des Empfangspuffers 25 kein Hauptproblem dar, nachdem das Verpassen eines Pakets im allgemeinen eine minimale Auswirkung auf die statistischen Messungen haben wird, die durch das Netzwerküberwachungssystem ausgeführt werden. Dasselbe gilt für den Sendepuffer 26, bei dem es sogar noch unwahrscheinlicher ist, daß ein Überfluß auftritt, nachdem seine Einträge lediglich bezüglich der zufällig ausgewählten der empfangenen Pakete sind.
Die oben beschriebene Ausführung des Überwachungsgeräts bedeutet, daß die zählwerte, die in einem Paket mit gesammelten Daten von einem Zähler 24 eingeschlossen sind, nicht die Zählwerte zu dem Zeitpunkt sind, zu dem die relevanten Pakete tatsächlich durch die Netzwerkschnittstelle empfangen wurden (dies liegt an der möglichen Verzögerung der tatsächlichen Verarbeitung des Paketkopfs). Jede Diskrepanz in diesem Bezug wird jedoch wiederum unbedeutend sein, und wird minimale Auswirkungen auf die Gültigkeit der statistisch bestimmten Ergebnisse haben, die durch das Netzwerküberwachungssystem erzeugt werden. Selbstverständlich wäre es möglich, eine Schaltung zu entwickeln, die den Zählwerten, die in den Zählern 24 vorhanden sind, den Kopf jedes empfangenen Pakets zuordnet; die hinzugefügte Schaltungskomplexität, die benötigt wird, um dies durchzuführen, ist jedoch im allgemeinen nicht gerechtfertigt.
Die Datenstrukturen, die verwendet werden, um die FIFO-Empfangs- und -Sende-Puffer 25 und 26 im RAM 23 auszuführen, sind für Fachleute offensichtlich, und werden hier deshalb nicht beschrieben. Ferner ist es offensichtlich, daß, obwohl in dem Ausführungsbeispiel in Fig. 3 die zufällige Auswahl der ankommenden Pakete durch Speichern vorbestimmter zufälliger Zahlen im ROM 22 bewirkt wird, diese zufälligen Zahlen alternativ erzeugt werden könnten, wenn sie durch den Prozessor 21 benötigt werden (obwohl dies nicht bevorzugt wird, nachdem es zusätzliche Prozessoranforderungen an den Mikroprozessor stellt). Typischerweise sind die Zufallszahlen derart, daß sich eine durchschnittliche Auslastung zwischen ausgewählten Paketen von Neunundneunzig ergibt; andere Werte können abhängig von der Verkehrsdichte, der Abtastperiode und annehmbaren statistischen Fehlerpegeln geeigneter sein. Die zufällige Auswahl von Paketen könnte auf einer Zeitbasis bewirkt werden und nicht bezüglich der Anzahl von empfangenen Paketen.
Die Pakete mit gesammelten Daten, die durch die Überwachungsgeräte 12 über das Netzwerk ausgesendet werden, werden alle durch die Meßstation 13 empfangen, die diese Pakete speichert und eine nachfolgende Verarbeitung und Analyse durchführt.
Es existiert eine Anzahl von Typen von Informationen, die die Meßstation 13 aus den Paketabtastwerten, die durch die Pakete mit gesammelten Daten bereitgestellt werden kann, ableiten kann:
a) Paket- und Fehlerraten - nachdem Paket- und Fehlerzählwerte in dem Paket mit gesammelten Daten eingeschlossen sind, können diese nachverfolgt werden. Die Raten können ohne weiteres durch Vergleichen der Zählwerte in aufeinanderfolgenden Paketen mit gesammelten Daten, die von dem gleichen Überwachungsgerät 12 empfangen werden, erhalten werden.
b) Schwellen - Schwellen könnten bezüglich irgendeinem der Werte, der aus den Paketen mit gesammelten Daten erzeugt wird, eingestellt werden, und Ereignisse bei höheren Pegeln können erzeugt werden. Eine typische Schwelle könnte die CRC-Rate sein, die anzeigt, daß ein Problem existieren könnte.
c) Verkehrsmatrizen - durch Decodieren der Köpfe, die in den Informationsfeldern der Pakete mit gesammelten Daten enthalten sind, können viele unterschiedliche Verkehrsmatrizen erhalten werden. Die einfachste Verkehrsmatrix würde die Anzahl von Bytes und Paketen angeben, die zwischen jedem Paar von Stationen auf dem Netzwerk ausgetauscht werden; eine solche Matrix könnte für jedes der logischen Segmente des Netzwerks sowie für eine Gesamtmatrix auf der Grundlage der maximalen Merkmale für jedes Stationspaar, das in den Segmentverkehrsmatrizen gefunden wird, gebildet werden.
d) Adressabbildungen - die abgetasteten Paketköpfe enthalten im allgemeinen Informationen, die LAN-Adressen mit höherstufigen Adressen verbinden (LAN = Local Area Network = lokales Bereichsnetzwerk). Folglich ist dort, wo das LAN ein Ethernet-LAN ist, über das der TCB/IP-Protokollstapel betrieben wird, die Ethernet zu IP Adressabbildung leicht erreicht.
e) Verfügbarkeit - wenn die Überwachungsgeräte 12 als zuverlässig betrachtet werden, könnte das Fehlen von Paketen mit gesammelten Daten von einem bestimmten Gerät oder von einer Gruppe von Geräten verwendet werden, um Netzwerkunterbrechungen anzuzeigen. Zusätzlich kann das Fehlen von Verkehr von einer bestimmten Station 11 (zum Beispiel einer Dateiverwaltung (Fileserver)) anzeigen, daß diese fehlerhaft ist.
Es ist selbstverständlich offensichtlich, daß eine Anzahl von Veränderungen bezüglich des beschriebenen Überwachungsgeräts und des Netzwerküberwachungssystems möglich sind. Folglich kann zum Beispiel jedes Paket mit gesammelten Daten, das durch ein Überwachungsgerät gebildet ist, Daten von mehr als einem zufällig ausgewählten Pakets enthalten. Ferner können die Daten, die in einem ausgewählten Paket gesammelt sind, andere Elemente als die beschriebenen umfassen, wie zu Beispiel andere Felder der ausgewählten Pakete, wie sie durch das Überwachungsgerät empfangen werden (mit anderen Worten, zusätzliche Felder, um sich von den Paketkopffeldern zu unterscheiden). Die Überwachungsgeräte selber können die Form einer alleinstehenden Station annehmen, wie es in Fig. 1 angezeigt ist, oder sie können Karten sein, die in vorhandenen Netzwerkstationen 11 eingeschoben sind, oder sie können ein Teil der Funktionalität sein, die durch eine Brücke oder einen Router bereitgestellt wird, oder sie können ein Prozeß sein, der auf einem Prozessor einer verbundenen Netzwerkstation ablaufen.
Ferner können das Netzwerküberwachungsgerät und das System sowohl auf Netzwerke vom asynchronen Datagrammtyp, wie zum Beispiel Ethernet, als auch auf mit einem Zeitschlitz arbeitende Netzwerke angewendet werden, bei denen jede Station Daten in eine vorbestimmte, gerahmte Struktur einfügt, die durch eine Kopfstation des Netzwerks erzeugt wurde.

Claims

1. Ein Netzwerküberwachungsgerät zum Überwachen der Aktivität auf einem Netzwerk (10), das Meldungspakete trägt, von denen jedes eine Quellen- und eine Zieladresse enthält, wobei das Überwachungsgerät folgende Merkmale umfaßt:

- eine Sammeleinrichtung (20, 21) zum Sammeln von Daten über Pakete, die auf dem Netzwerk (10) getragen werden, wobei die Sammeleinrichtung eine Empfangseinrichtung (20) zum Erfassen und Empfangen von Meldungspaketen, die auf dem Netzwerk (10) getragen werden, und eine Verarbeitungseinrichtung (21), die wirksam ist, um Daten über die Pakete, die durch die Empfangseinrichtung empfangen wurden, zu sammeln und zu verarbeiten, umfaßt; und

- eine Abtasteinrichtung (21, 22), die wirksam der Sammeleinrichtung (20, 21) derart zugeordnet ist, daß in der Verarbeitungseinrichtung (21) das Sammeln und Verarbeiten von Daten lediglich bezüglich einiger der Pakete, die durch das Netzwerk getragen werden, hervorgerufen wird,

dadurch gekennzeichnet, daß die Empfangseinrichtung wirksam ist, um im wesentlichen alle Meldungspakete zu erfassen, die auf dem Netzwerk getragen werden, und daß die Abtasteinrichtung auf die Anzahl von Paketen reagiert, die durch die Empfangseinrichtung erfaßt werden, um lediglich einige dieser Pakete auszuwählen, wobei die Verarbeitungseinrichtung Daten lediglich bezüglich der Pakete, die durch die Abtasteinrichtung ausgewählt sind, sammelt und verarbeitet.

2. Ein Netzwerküberwachungsgerät nach Anspruch 1, bei dem die Abtasteinrichtung (21, 22) ihre Auswahl von Paketen auf eine statistisch zufällige Art bewirkt.

3. Ein Netzwerküberwachungsgerät gemäß Anspruch 1, bei dem die Verarbeitungseinrichtung (21) wirksam ist, um die Daten, die bezüglich der ausgewählten Pakete gesammelt wurden, zu verarbeiten, um eine Verkehrsmatrix auf zubauen.

4. Ein Netzwerküberwachungsgerät gemäß Anspruch 1 oder 2, bei dem das Überwachungsgerät ferner eine Sendeeinrichtung (20) umfaßt, die wirksam ist, um Meldungspakete über ein Netzwerk zu senden, und wobei die Verarbeitungseinrichtung (21) wirksam ist, um die Daten, die bezüglich der ausgewählten Pakete gesammelt wurden, durch Bilden von Paketen (31) mit gesammelten Daten zu verarbeiten, wobei in jedem dieser die jeweiligen Daten eingeschlossen sind, die bezüglich eines oder mehrerer der ausgewählten Pakete gesammelt wurden, wobei die Verarbeitungseinrichtung wirksam ist, um die Sendeeinrichtung (20) zu veranlassen, die Pakete (31) mit gesammelten Daten für den entfernten Empfang und eine weitere Verarbeitung zu senden.

5. Ein Netzwerküberwachungsgerät gemäß Anspruch 4, das ferner eine Zählereinrichtung (24) umfaßt, um einen laufenden Zählwert bezüglich zumindest eines der Folgenden beizubehalten:

- die gesamte Anzahl von Paketen, die durch die Empfangseinrichtung (20) empfangen wird;

- die gesamte Anzahl von fehlerhaften Paketen, die durch die Empfangseinrichtung (20) empfangen wird;

- die gesamte Anzahl von Paketen mit nicht-korrekter Größe, die durch die Empfangseinrichtung (20) empfangen wird;

wobei die Verarbeitungseinrichtung (21) wirksam ist, um den derzeitigen Wert des oder jedes Zählwerts in die Daten einzufügen, die bezüglich jedes ausgewählten Pakets gesammelt werden, wodurch diese Zähldaten in das entsprechende Paket (31) mit gesammelten Daten eingebaut werden.

6. Ein Netzwerküberwachungssystem, das wirksam ist, um die Aktivität auf einem Netzwerk zu überwachen, das Meldungspakete trägt, von denen jedes eine Quellen- und eine Zieladresse enthält, wobei das Überwachungssystem folgende Merkmale umfaßt:

- zumindest ein Netzwerküberwachungsgerät (12) gemäß Anspruch 4, das mit seiner Empfangseinrichtung (20) mit dem Netzwerk verbunden ist, und

- eine Meßstation (13), die verbunden ist, um die Pakete (31) mit gesammelten Daten von der Sendeeinrichtung (20) des oder jedes der Netzwerküberwachungsgeräte (12) zu empfangen, und um die Daten bezüglich der ausgewählten Pakete, die in den Paketen (31) mit gesammelten Daten enthalten sind, herauszuziehen und weiter zu verarbeiten.

7. Ein Netzwerküberwachungssystem gemäß Anspruch 6, bei die Meßstation (13) wirksam ist, um Verkehrsmatrizen aus den Daten aufzubauen, die in den Paketen (31) mit gesammelten Daten, die durch die Station empfangen werden, enthalten sind.

8. Ein Netzwerküberwachungssystem gemäß Anspruch 6, bei dem das zu überwachende Netzwerk eine oder mehrere Brücken und/oder Router (14) einschließt, die das Netzwerk in eine Mehrzahl von logischen Segmenten unterteilen und dazu dienen, einen nicht-notwendigen Paketfluß zwischen den Segmenten zu unterdrücken, wobei das Überwachungssystem eine Mehrzahl von Netzwerküberwachungsgeräten (12) umfaßt, von denen jedes mit seiner Empfangseinrichtung (20) mit einem jeweiligen Segment des Netzwerks verbunden ist.

9. Ein Netzwerküberwachungssystem mit irgendeinem der Ansprüche 6 bis 8, bei dem die Meßstation (13) mit demselben Netzwerk (10) wie das oder jedes Überwachungsgerät (12) verbunden ist, wobei die Sendeeinrichtung (20) jedes Überwachungsgeräts (12) wirksam ist, um die Pakete mit gesammelten Daten auf demselben Netzwerk zu senden.

10. Ein Netzwerküberwachungsgerät zum Überwachen der Aktivität auf einem Netzwerk (10), das Meldungspakete trägt, von denen jedes eine Quellen- und Zieladresse enthält, wobei das Überwachungsgerät folgende Merkmale umfaßt:

- eine Sammeleinrichtung (20, 21) zum Sammeln von Daten über Pakete, die auf dem Netzwerk (10) getragen werden, wobei die Sammeleinrichtung eine Empfangseinrichtung (20), um Meldungspakete, die auf dem Netzwerk (10) getragen werden, zu erfassen und zu empfangen, und eine Verarbeitungseinrichtung (21) aufweist, die wirksam ist, um Daten über die Pakete, die durch die Empfangseinrichtung empfangen werden, zu sammeln und zu verarbeiten; und

- eine Abtasteinrichtung (21, 22), die wirksam der Sammeleinrichtung (20, 21) derart zugeordnet ist, daß in der Verarbeitungseinrichtung (21) das Sammeln und Verarbeiten der Daten lediglich bezüglich einiger der Pakete, die auf dem Netzwerk getragen werden, hervorgerufen wird;

dadurch gekennzeichnet, daß das Überwachungsgerät ferner eine Sendeeinrichtung (20) umfaßt, die wirksam ist, um Meldungspakete über ein Netzwerk zu senden, und daß die Verarbeitungseinrichtung (21) wirksam ist, um die Daten, die lediglich bezüglich einiger der Pakete, die durch das Netzwerk getragen werden, gesammelt werden, durch Bilden von Paketen (31) mit gesammelten Daten zu verarbeiten, wobei in jedem dieser die jeweiligen Daten eingeschlossen sind, die bezüglich eines oder mehrerer Pakete gesammelt werden, wobei die Verarbeitungseinrichtung wirksam ist, um zu bewirken, daß die Sendeeinrichtung (20) jedes der Pakete (31) mit gesammelten Daten für einen entfernten Empfang und eine weitere Verarbeitung sendet.

11. Ein Netzwerküberwachungsgerät gemäß Anspruch 10, das ferner eine Zählereinrichtung (24) umfaßt, um einen laufenden Zählwert bezüglich zumindest eines der Folgenden beizubehalten:

wobei die Verarbeitungseinrichtung (21) wirksam ist, um den derzeitigen Wert des oder jedes Zählwerts in die Daten einzuschließen, die bezüglich jedes der lediglich einigen Pakete, die durch das Netzwerk getragen werden, gesammelt werden, wodurch diese Zählwertdaten in die entsprechenden Pakete (31) mit gesammelten Daten eingebaut werden.

12. Ein Netzwerküberwachungssystem, das wirksam ist, um die Aktivität auf einem Netzwerk zu überwachen, das Meldungspakete trägt, von denen jedes eine Quellen- und eine Zieladresse enthält, wobei das Überwachungssystem folgende Merkmale umfaßt

- zumindest ein Netzwerküberwachungsgerät (12) gemäß Anspruch 10, das mit seiner Empfangseinrichtung (20) mit dem Netzwerk verbunden ist, und

- eine Meßstation (13), die verbunden ist, um von der Sendeeinrichtung (20) des oder jedes der Netzwerküberwachungsgeräte (12) die Pakete (31) mit gesammelten Daten zu empfangen und um die Daten bezüglich der ausgewählten Pakete, die in den Paketen (31) mit gesammelten Daten enthalten sind, herauszuziehen und weiter zu verarbeiten.

13. Ein Netzwerküberwachungssystem gemäß Anspruch 12, bei dem die Meßstation (13) wirksam ist, um Verkehrsmatrizen aus den Daten aufzubauen, die in den Paketen (31) mit gesammelten Daten enthalten sind, die durch die Station empfangen werden.

14. Ein Netzwerküberwachungssystem nach Anspruch 12, bei dem das zu überwachende Netzwerk eine oder mehrere Brücken und/oder Router (14) einschließt, die das Netzwerk in eine Mehrzahl von logischen Segmenten teilen und dazu dienen, einen nicht-notwendigen Paketfluß zwischen den Segmenten zu unterdrücken, wobei das Überwachungssystem eine Mehrzahl von Netzwerküberwachungsgeräten (12) einschließt, deren jeweilige Empfangseinrichtung (20) mit einem jeweiligen Segment des Netzwerks verbunden ist.

15. Ein Netzwerküberwachungssystem gemäß irgendeinem der Ansprüche 12 bis 14, bei dem die Meßstation (13) mit demselben Netzwerk (10) wie das oder jedes Überwachungsgerät (12) verbunden ist, wobei die Sendeeinrichtung (20) jedes Überwachungsgeräts (12) wirksam ist, um die Pakete mit gesammelten Daten auf demselben Netzwerk zu senden.