CN101651567B

CN101651567B - 一种可用性风险扩散评估方法

Info

Publication number: CN101651567B
Application number: CN2009101575221A
Authority: CN
Inventors: 戚建淮; 伍立华; 刘云; 曾干; 曾旭东
Original assignee: SHENZHEN RONGDA ELECTRONICS CO Ltd
Current assignee: Shenzhen Y&D Electronics Information Co Ltd
Priority date: 2009-07-10
Filing date: 2009-07-10
Publication date: 2012-08-01
Anticipated expiration: 2029-07-10
Also published as: CN101651567A

Abstract

本发明提供了一种可用性风险扩散评估方法，其包括设置各网元间的依赖关系、服务与网元间的依赖关系以及服务与服务间的依赖关系；将业务网络拓扑划分为至少两棵独立的网元依赖子树；在所述网元依赖子树上，定期测试每个网元节点所包含的物理设备以及部署在其上的各服务的可用性；计算物理设备和服务的可用性损耗值，并依据用户预设的风险等级映射关系表，计算相应的可用性风险等级该网元节点的可用性损耗以及可用性风险等级；计算该网元节点的可用性损耗在所述网元依赖子树中的扩散和在所有依赖该网元的服务集中的扩散；以及更新全网可用性风险态势图的步骤。本发明提供的方法提高了计算的客观性、风险评估的精细度和风险评估的可信度。

Description

一种可用性风险扩散评估方法

技术领域

本发明涉及计算机安全领域，尤其涉及一种可用性风险扩散评估方法。

背景技术

信息世界中，安全问题最容易产生“蝴蝶效应”。即使非常健壮的信息系统，也会因为某个不受重视的微小安全弱点被利用而导致重大安全灾难。因此，从信息安全角度上讲，怀疑一切是必要的，而要做到客观地怀疑一切，就必须有可靠的风险计量与评估支持。同时，只有一致的风险计量，才能实现一致的风险评估，从而提高风险评估的可信度。

风险评估有两大类：定性与定量。定性评估依赖评估者的知识、经验、历史教训、政策走向及特殊实例等非量化资料对待评估系统风险状况做出判断，它以对调查对象的调研记录为基础资料，然后通过一个理论推导出分析框架，并对基础资料进行整理，通过因素分析法、逻辑分析法、历史比较法和德尔费(Delphi)法，做出结论(即完成风险评估)。但是该方法所产生的数字是含糊的，主观性太强、无法重复，也难以通过计算机自动实现。定量评估则恰好相反，运用数据指标来对风险进行评估，借助因子分析法、聚类分析法、时序模型、回归模型、风险等势图法以及决策数法等方法，通过计算后的直观数据来表述评估结果。可以重复、可通过计算机自动实现。但是，该方法依赖资产价值和控制措施的价值，而现实中这些价值都是估算出来的，同样带有主观性。例如，在资产价值赋值中，需要先依据提示，给资产的机密性、完整性和可用性赋值；然后再依据提示，以及综合前面已经获得的赋值数据，最终给资产赋一个综合的值。

由于受主观性影响，风险评估的结果一般都只具有示意性。也就是说，一个定义为5级的风险与一个定义为4级的风险比较，对用户来说，其内部差别不是非常清楚。因而目前的信息安全风险评估的使用上，无法比较两个评估产品的优劣，同时，一个企业的风险评估结果，对另一个类似企业的参考作用也不大。这就导致了如下缺陷：1)用户在接收风险评估产品时，缺少参考标准；2)研发风险评估产品的生产厂家，无法有效地将从一个客户处获得的风险结果直接套用到另一个客户场景中。

目前的风险评估方法，都缺失可用性风险在逻辑关系上的扩散评估。可用性是用户最容易感知的损失，因此，针对可用性的风险评估容易被用户认可，并可用于比较不同风险评估产品的灵敏度；此外，可用性损失是可以产生明显“蝴蝶效用”的，可通过数字计算，获得其对全网其它资产的现实影响，从而及时告知全网的可用性风险。例如：主备热备的双机系统中，如果一台主机出了问题，对主机上的服务来说是没有可用性影响的。从节点资产视图上看，该事件应该评估为“最高级别的风险”，但在服务资产视图上看，该事件评估为“中等级别的风险”即可。同样地，主备热备的双交换机有一台重启时，从节点资产视图上看，该事件只评估为“低等级风险的通知事件”即可，因为不会中断业务，会成功自动启动；但是，如果有一台主机只挂接到重启的交换机上，则对该主机上的服务资产来说，该事件却是“最高等级风险的服务不可用事件”。也就是说，良好的评估算法，要求其不会丢失细节，同时又能较真实的反映出现网的安全态势。

发明内容

本发明需要解决的技术问题：可用性风险评估上主观性强、未考虑风险扩散、风险评估结果对用户指导作用不高的不足与缺陷。

为了解决上述问题，本发明提出了一种可用性风险扩散评估方法，包括如下步骤：

(1)依据现有的业务网络拓扑结构，设置各网元间的依赖关系；依据服务在网络中的部署位置以及服务间的提供与使用关系，设置各服务与网元间的依赖关系以及服务与服务间的依赖关系；

(2)依据步骤(1)得到的所述网元间依赖关系，将业务网络拓扑划分为至少两棵独立的网元依赖子树；

(3)在所述网元依赖子树上，针对每个网元节点，定期测试该网元节点所包含的物理设备以及部署在其上的各服务的可用性；计算物理设备的可用性损耗值和服务的可用性损耗值，并依据用户预设的风险等级映射关系表，计算相应的可用性风险等级；计算该网元节点的可用性损耗，并计算该网元节点的可用性风险等级；

(4)以发生可用性损耗值变更超过设定阈值的网元节点为参考根节点，计算该网元节点的可用性损耗在所述网元依赖子树中的扩散；

(5)计算该网元节点的可用性损耗在所有依赖该网元的服务集中的扩散；

(6)更新全网可用性风险态势图。

在本发明所述一种可用性风险扩散评估方法中，所述步骤(1)中所述网元间依赖关系，是从用户使用业务服务的上行方向划分的，在上行方向上，汇聚所有用户上行请求的网元为依赖终止网元；从用户终端出发，沿上行方向上每一个网元都是其前一个网元的父依赖，直到下一个网元是终止网元；所述步骤(2)中依据用户使用业务服务的上行方向上各网元间的依赖关系，组建用户视图子树；

优选地，所述步骤(1)中所述网元间依赖关系，是从用户使用业务服务的下行方向划分的，从业务服务所在的网元出发，在业务的下行方向上每一个网元都是其前一个网元的父依赖，直到该网元为所述依赖终止网元；所述步骤(2)中依据用户使用业务服务的下行方向上各网元的依赖关系，组建服务视图子树；

优选地，所述从业务的上行方向划分和所述从业务的下行方向划分时，所述从业务的下行方向划分拥有优先权，是当同一网元同时属于所述用户视图子树和服务视图子树时，所述用户视图子树中需删除该网元；

在本发明所述一种可用性风险扩散评估方法中，所述步骤(3)中，针对所述服务视图子树，从叶子节点层向树根节点层计算；针对所述用户视图子树，从树根节点层向叶子节点层计算，且叶子节点层不参与风险扩散计算；

所述计算物理设备的可用性损耗值，是指先检测物理设备的可用性指标项的运行参数值，然后再换算成损耗数值；所述计算服务的可用性损耗值，是指先检测服务的可用性指标项的运行参数值，再换算成损耗数值；所述计算可用性风险等级，是指依据换算后的损耗值直接查找风险等级表；

优选地，所述物理设备的可用性指标，至少包括CPU使用率、内存使用率、磁盘使用率、负载、磁盘读写反应速度、带宽使用率、宕机、重启、非法受控；所述服务的可用性指标，至少包括响应速度、资源使用率、非法受控、服务不在线、重启；

在本发明所述一种可用性风险扩散评估方法中，所述步骤(4)中，所述计算该网元的可用性损耗在所述网元依赖子树中的扩散，采用中序遍历方法，先计算根节点的可用性损耗，并计算根节点的风险等级；然后计算左子树中每个节点的可用性损耗和风险等级；然后再依次计算各右子树中各节点的可用性损耗和风险等级；

优选地，所述扩散计算中，针对所述可用性指标，包括带宽使用率、宕机、重启、非法受控，是以父节点相应指标的损耗值和节点相应指标的现有损耗值间进行比较运算；针对所述负载指标，是以父节点的CPU使用率、内存使用率、磁盘使用率、负载、磁盘读写反应速度中最大损耗值与节点的负载损耗值间进行比较运算；

在本发明所述一种可用性风险扩散评估方法中，所述步骤(5)中，所述计算该网元的可用性损耗在所依赖该网元的服务集中的扩散，包括：

如果待计算服务没有依赖服务，和/或所依赖服务不在当前待处理的服务集合中，和/或所依赖服务从属于当前待处理集合中但已经重新计算了，则直接计算该服务的可用性损耗值，即重新测试该待计算服务可用性指标，至少包括响应速度、资源使用率、非法受控、服务不在线、重启的损耗值，并从该待计算服务的所有依赖服务中提取最大的响应速度损耗、非法受控损耗、服务不在线损耗和重启损耗，与该待计算服务上相应指标值进行比较运算后，得到待计算服务的各可用性指标的真实损耗值；

否则，递归地计算该待计算服务的各依赖服务的可用性损耗；以及，

查找该待计算服务所预设的可用性损耗值与风险等级对照表，计算该服务的风险等级。

在本发明所述一种可用性风险扩散评估方法中，还包括：

所述步骤(3)中，仅有服务可用性损耗变更时，不执行步骤(4)，直接执行步骤(5)；

所述预设的可用性损耗值与风险等级映射关系表，缺省时，所述服务视图子树、所述用户视图子树、所述服务均使用不同的映射关系表；

本方法提供了在业务网络结构上依据网元间、服务与网元间、以及服务与服务间的真实依赖关系划分不同的子树，并在子树上计算网元与服务的可用性损耗和损耗扩散，未涉及资产估价、应急措施估价等主观活动，提高了计算的客观性；

本方法提供了可用性风险在树中扩散的计量法，可有效地度量可用性对其关联网元和服务的影响，提高了风险评估的精细度。

本方法提供的基于数据映射的风险等级映射法，其数据来源于数值计算，实现了可重复计算，提高了风险评估的可信度。

附图说明

图1是本发明所述风险扩散评估方法流程图

图2A是业务网络拓扑示意图

图2B是与图2A相对应的另一个业务网络拓扑示意图

图3A是图2A所述业务网络拓扑图所对应的网元子树示意图

图3B是图2A所述业务网络拓扑图所对应的业务服务依赖示意图

图4是本发明所述风险扩散评估方法中的网元可用性风险计算与评估流程图

图5是本发明所述风险扩散评估方法中的网元可用性风险扩散计算与评估流程图

图6是本发明所述风险扩散评估方法中的服务可用性风险扩散计算与评估流程图

具体实施方式

本发明提供了一种网络可用性风险扩散评估方法，其核心思想是，依据网元间通信承载依赖关系，从用户使用业务的上行方向、下行方向将整个业务网络划分为用户视图和服务视图两个大割集，并在两个割集中，将节点依据其依赖关系划分到不同的子树中；同时，在服务视图中，确定服务与网元间、服务与服务间的依赖关系；针对每棵子树，定期启动可用性风险计算与评估；当可用性损耗变更超过阈值时，计算该可用性风险在所属子树、服务依赖网内的扩散；通过各子树、各服务的具体风险来反应全网的可用性风险。以下对本发明方法进行详细说明。

如图1所示，是本发明所述风险扩散评估方法流程图，包括如下步骤：

步骤S1：依据业务拓扑结构，设定网元间的依赖关系，同时设定服务与服务间、服务与网元间的依赖关系。

确定业务网络中网元、服务间的依赖关系是本方法的基础，本发明所述的网元间依赖关系，在物理关系上，表现为网元设备间互联依赖；在逻辑关系上，表现为网元设备间通信承载依赖。本发明中物理互联且具有通信承载依赖的网元间关系表示为“父依赖关系”，当用有向实线段表示此关系时，由依赖方指向被依赖方。本发明所述的服务与网元间关系，在部署关系上，表现为服务直接寄宿在网元上；在通信依赖上，表现为服务工作时需要网元来承载其通信信道。因此，服务与网元间的关系表示为“宿主网元关系”和“通信承载关系”，前者用有向实线段表示，后者用有向虚线段表示，且从依赖方指向被依赖方；本发明所述的服务与服务间关系，只涉及服务提供者与服务使用者间的服务“使用关系”，用有向虚线段表示，且从使用方指向被使用方。

下面用实例来说明如何在业务网络拓扑图上设定网元间、服务与网元间以及服务与服务间的依赖关系。如图2A所示，是本发明所用的一种业务网络拓扑图，其包括1个核心机房、4个部门和一个传输网组成，其中各部门都通过内部的汇聚网元(如网元1、网元2、网元3、网元10)接入传输网络；核心机房通过网元5接入传输网络；主机1上部署了服务1和服务2，主机2上部署了服务3，主机3上部署了服务4，主机4上部署了服务5、服务6和服务7；其服务1、服务2、服务3和服务4为四个部门服务，同时服务1使用服务2的部分功能，服务5，服务6和服务7不对部门直接服务，仅为服务1提供支撑服务(如数据库服务、LDAP服务等)。

首先，定义网元间的依赖关系的存储结构，本发明采用如下格式：

{

父节点；

父节点1，逻辑网元标识1，物理网元标识1；

父节点n：逻辑网元标识n，物理网元标识n；

}

{

子节点；

子节点1，逻辑网元标识1，物理网元标识1；

子节点n：逻辑网元标识n，物理网元标识n；

}

本结构中，包括了逻辑网元和网络网元。在业务网络拓扑图上，网元一般仅表示了网络设备在业务网络中业务功能，而未深入描述该网元的物理设备个数，也未描述设备间的关系。本发明中将网元分为逻辑网元和物理网元，其中逻辑网元等同于业务网络拓扑图上的网元，而物理网元是对逻辑网元的组成设备进行描述，用以表明该逻辑网元是由单个设备、还是主备2个设备，还是负荷分担的多个设备组成。这个关系也是基于业务网络的客观事实而成的。因此，父节点用一个节点集合来描述更符合现实环境；同时，在业务网络拓扑图中存在环时，父节点也需要用节点集合才能有效描述。

本发明中，网元间的“父依赖关系”是从业务用户使用业务上行方向、下行方向上分别进行寻找的。从业务用户使用业务的上行方向寻找的方法描述如下：

步骤上1：从各部门的终端出发，沿业务用户的业务流上行方向，每碰到一个网元，就是其前一个网元的“父依赖”网元，直到碰到部署了服务的主机网元；

步骤上2：如表一所示，综合步骤1的所有“父依赖”，找到汇聚了全部部门的终端“父依赖”关系的汇聚网元(如表一所示，是网元6)，然后去掉所有从汇聚网元开始的“父依赖”关系，同时所有指向汇聚网元的“父依赖”关系打上特殊标签。剩下的“父依赖”关系，构成用户视图父依赖。

表一

节点	父节点	子节点
			终端11	网元1，网元1，网元1；
终端12	网元1，网元1，网元1；
			网元1	网元7，网元7，网元7；	终端11，终端11，终端11；终端12，终端12，终端12；
终端21	网元2，网元2，网元2；
			终端22	网元2，网元2，网元2；
网元2	网元7，网元7，网元7；	终端21，终端21，终端21；终端22，终端22，终端22；
			终端31	网元3，网元3，网元3；
终端32	网元3，网元3，网元3；
			网元3	网元6，网元6，网元6；(特殊标签)	终端31，终端31，终端31；终端32，终端32，终端32；
终端41	网元10，网元10，网元10；
			终端42	网元10，网元10，网元10；
网元10	网元6，网元6，网元6；(特殊标签)	终端41，终端41，终端41；终端42，终端42，终端42；
			网元7	网元6，网元6，网元6；(特殊标签)	网元1，网元1，网元1；网元2，网元2，网元2；

从业务用户使用业务的下行方向寻找“父依赖”的方法描述如下：

步骤下1：从各部门能使用的服务所在的主机出发，沿业务的下行方向，每碰到一个网元，是其前一个网元的“父依赖”网元，直到碰到上述汇聚网元；

步骤下2：从不对用户直接提供服务的服务所在主机网元出发，沿使用该服务的服务所在主机方向，每碰到一个网元则是其前一个网元的“父依赖”网元，直到该网元在步骤下1中已被使用；

步骤下3：综合上述两步的所有“父依赖”关系，构成服务视图父依赖，如表二所示。

表二

节点	父节点	子节点
			主机1	网元4，网元4，网元4；
主机2	网元4，网元4，网元4；
			主机3	网元4，网元4，网元4；
网元4	网元5，网元5，网元5；	主机1，主机1，主机1；主机2，主机2，主机2；主机3，主机3，主机3；
			网元5	网元6，网元6，网元6；	网元4，网元4，网元4；网元9，网元9，网元9；
网元6		网元5，网元5，网元5；
			主机4	网元9，网元9，网元9；
网元9	网元5，网元5，网元5；	主机4，主机4，主机4；

本发明中，进一步地，强制服务视图父依赖优先于用户视图父依赖。当网元既属于服务视图父依赖，又属于用户视图父依赖时，则将该类网元从用户视图父依赖中消除，并将该节点及其上的父依赖节点增加到服务视图父依赖中，再次更新服务视图中的父依赖关系。例如，如图2B所示，是将图2A所示网络中的主机4和网元9从核心机房1搬迁到核心机房2，并将网元9与网元7相连，其它都不变的业务网络拓扑图。则如图2B所示业务网络中，其初始的用户视图父依赖关系表，是与如图2A所示业务网络中所述的用户视图父依赖关系表是一致的，但是，其服务视图父依赖关系表是不一样的，具体描述如表三。

因为网元7既包含在服务视图父依赖关系中，又包含在用户视图父依赖关系中，依据“服务视图父依赖关系优先”原则，进行调整后，其最终的用户视图父依赖关系表为表四所示；而其最终的服务视图父依赖关系表为表五所示。

表三

节点	父节点	子节点
			主机1	网元4，网元4，网元4；
主机2	网元4，网元4，网元4；
			主机3	网元4，网元4，网元4；
网元4	网元5，网元5，网元5；	主机1，主机1，主机1；主机2，主机2，主机2；主机3，主机3，主机3；
			网元5	网元6，网元6，网元6；	网元4，网元4，网元4；
网元6		网元5，网元5，网元5；
			主机4	网元9，网元9，网元9；
网元9	网元7，网元7，网元7；	主机4，主机4，主机4；
			网元7	网元6，网元6，网元6；	网元9，网元9，网元9；

表四

节点	父节点	子节点
			终端11	网元1，网元1，网元1；
终端12	网元1，网元1，网元1；
			网元1	网元7，网元7，网元7；(特殊标签)	终端11，终端11，终端11；终端12，终端12，终端12；
终端21	网元2，网元2，网元2；
			终端22	网元2，网元2，网元2；
网元2	网元7，网元7，网元7；(特殊标签)	终端21，终端21，终端21；终端22，终端22，终端22；
			终端31	网元3，网元3，网元3；
终端32	网元3，网元3，网元3；
			网元3	网元6，网元6，网元6；(特殊标签)	终端31，终端31，终端31；终端32，终端32，终端32；
终端41	网元10，网元10，网元10；
			终端42	网元10，网元10，网元10；
网元10	网元6，网元6，网元6；(特殊标签)	终端41，终端41，终端41；终端42，终端42，终端42；

表五

节点	父节点	子节点
			主机1	网元4，网元4，网元4；
主机2	网元4，网元4，网元4；
			主机3	网元4，网元4，网元4；
网元4	网元5，网元5，网元5；	主机1，主机1，主机1；主机2，主机2，主机2；主机3，主机3，主机3；
			网元5	网元6，网元6，网元6；	网元4，网元4，网元4；
网元6		网元5，网元5，网元5；网元7，网元7，网元7；
			主机4	网元9，网元9，网元9；
网元9	网元7，网元7，网元7；	主机4，主机4，主机4；
			网元7	网元6，网元6，网元6；	网元9，网元9，网元9；

其次，定义服务与网元间、服务与服务间的依赖关系的存储结构，本发明采用如下格式：

{

宿主网元；

节点1：逻辑网元标识1，物理网元标识1；

节点n：逻辑网元标识n，物理网元标识n；

}

{

通信承载网元；

节点1；逻辑网元标识1，物理网元标识1；

节点n：逻辑网元标识n，物理网元标识n；

}

{

使用服务；

逻辑网元标识1，服务1；

逻辑网元标识n，服务n；

}

{

被服务使用；

逻辑网元标识1，服务1；

逻辑网元标识n，服务n；

}

本结构中，同时保留服务使用关系和服务被使用关系，可用于服务可用行风险扩散时，快速定位到使用方和被使用方。

本实施中，服务是直接为用户服务的业务服务，或为业务服务提供支撑的服务。在业务网络拓扑图上，通过网元即可找到服务，故服务属性中，只包含了逻辑网元标识。同时，本实施中为了减轻计算量，不对用户提供直接服务的服务，其通信承载依赖网元，不与任何对用户提供服务的通信承载依赖网元重复。在如图2A所示的业务拓扑网络图中，服务5、服务6、服务7仅为服务1提供支持，故这些服务的通信承载依赖网元，仅包括网元9。

在如图2A所示的业务拓扑图上，其服务与网元间、服务与服务间的关系如表六所示。与表六所示的服务关系表相对应的依赖关系图如图3B所示。在如图3B所示的服务依赖关系中，有向实线标识宿主依赖，有向虚线标识通信承载或服务使用依赖。服务1、服务2、服务3、服务4均通信承载依赖网元4、网元5和网元6。而服务5、服务6、服务7仅通信承载依赖网元9。服务1使用服务2、服务5、服务6和服务7。

步骤S2：依据网元间依赖关系，将网络划分为不同的逻辑树。

经过前述步骤S1后，业务网络拓扑中各网元均被划分到用户视图父依赖关系或服务视图父依赖关系中，即整个拓扑结构，已被划分为2个割集。

针对用户视图父依赖关系，将所有通过“父依赖”而级联在一起的网元节点，划分到同一棵逻辑子树中。同样，针对服务视图父依赖关系中的网元，也依据“父依赖”划分出不同的逻辑子树。这里所述的逻辑子树，不是严格意义上的“树”，因为在实际的网络拓扑中，一个网元可能同时“父依赖”多个网元，由此可能引入“环”。本发明中，为了减少“环”，允许将“父依赖”网元中功能相同的网元合成一个更大的单功能逻辑网元，其内部通过物理网元来区分。

如图2A所示的网络拓扑，其对应的逻辑子树图如图3A所示。在如图3A所示的逻辑子树示意图中，树1、树2、树3为用户视图子树，即这些子树是基于用户视图父依赖关系而划分所得，其中树1针对部门1和部门2，树2针对部门4，树3针对部门3。树4为服务视图子树，是依据服务视图父依赖关系而生成的。

表六

服务	宿主网元	通信承载网元	使用服务	被服务使用
					服务1	主机1，主机1，主机1；	网元4，网元4，网元4；网元5，网元5，网元5；网元6，网元6，网元6	主机1，服务2；主机4，服务5；主机4，服务6；主机4，服务7
服务2	主机1，主机1，主机1；	网元4，网元4，网元4；网元5，网元5，网元5；网元6，网元6，网元6		主机1，服务1；
					服务3	主机2，主机2，主机2；	网元4，网元4，网元4；网元5，网元5，网元5；网元6，网元6，网元6
服务4	主机3，主机3，主机3；	网元4，网元4，网元4；网元5，网元5，网元5；网元6，网元6，网元6
					服务5	主机4，主机4，主机4；	网元9，网元9，网元9；		主机1，服务1；
服务6	主机4，主机4，主机4；	网元9，网元9，网元9；		主机1，服务1；
					服务7	主机4，主机4，主机4；	网元9，网元9，网元9；		主机1，服务1；

步骤S3：计算单个网元节点的可用性风险值，并依据设定的等级划分标准，计算风险等级。

针对网元节点的可用性风险计算，包括物理可用性和寄宿在该网元上服务的可用性计算。本发明中，网元节点的物理可用性包括CPU使用率、内存使用率、磁盘使用率、负载、磁盘读写反应速度、带宽使用率、宕机、重启、非法受控等。

针对CPU使用率、内存使用率、磁盘利用率、带宽使用率和负载数据、以及重启，可用通过SNMP采集或直接在物理设备上部署采集工具进行采集；针对磁盘读写反应速度和非法受控，需要在物理设备上部署采集工具，并通过本地测试和预设数据或空载时采集的数据比较计算后，才能采集到真实数据；针对宕机，可通过远程连通测试，或心跳检测等方法，采集到数据。而服务的可用性，包括响应速度、资源使用率、非法受控、服务不在线、重启等。

同样地，针对服务的响应速度、服务不在线和重启，需要进行本地和远程测试，利用当前数据与预设数据或空载时采集的数据进行计算后，才能采集到数据；针对资源使用率和非法受控，需要部署检测工具，并通过对比计算后，才能采集到数据。

针对单个网元的可用性风险计算，均是在步骤S2中所划分的逻辑子树上进行的。针对每棵树，都设一个定时器和检测策略，定时器用于定期启动检测，而检测策略用于对检测进行约束，如时间界隔、目标网元集合、检测项等，便于在不同的时段内可以对不同网元检测不同的可用性指标。

同步骤S2对应，针对业务视图子树和服务视图子树中风险计算次序是不一样的，在用户视图子树上，从树根节点网元开始，逐层向叶子节点网元方向计算；而在服务视图子树上，则恰好相反，是从叶子节点网元开始，逐层向树根节点网元方向计算的。这种计算方法的依据是：在服务视图子树中，部署了业务服务的主机的可用性损耗是最可能影响业务用户的可用性，而在用户视图子树中，网络设备而非用户终端的可用性损耗是最可能影响业务用户的可用性。

此外，本发明中，带宽的可用性损耗计算进行了如下约束：网元节点带宽只计算其与“父依赖”网元节点间上行、下行带宽损耗。在服务视图子树上，各根节点网元不参与此计算；在用户视图子树上，针对各根节点网元，需要计算打上了特殊标记的父依赖关系所确定的、且位于服务视图中的网元间上行、下行带宽损耗。

如图4所示，为本步骤的详细流程图，包括：

步骤A31：利用分段函数计算物理节点的可用行损耗。

通过上述检测方法，采集到物理节点的物理可用性、以及其上各服务的服务可用性数据后，进行如表七所示的处理。

当该网元节点为单机模式时，只需计算该单机物理节点；当为主备备份，针对冷备模式，需要计算主机和备机两个物理网元节点；针对热备模式，只计算当前主机物理节点；当为负荷分担时，需要计算所有物理节点。

步骤A32：依据物理节点所处逻辑网元的风险等级数据，计算该物理节点的风险等级。

本发明中，要求用户为用户视图子树上各网元、服务视图子树上各网元、以及服务的可用性损耗值与风险等级间设定映射关系，缺省时，采用如表八中的映射关系。每个可用性指标，均要计算其风险等级，并以最高的风险等级，为本轮计算后该物理节点的当前可用性风险等级。

步骤A33：更新该物理网元所处逻辑网元的可用性损耗。

当网元为单机模式时，直接利用新计算出的物理网元的可用性损耗更新该逻辑网元的相应可用性指标的损耗值；当网元为双机冷备模式时，利用当前主机、备机上可用性损耗值中较大的值更新该逻辑网元中相应的可用性指标的损耗值；当为双机热备模式时，利用当前主机节点的可用性损耗值直接更新该逻辑网元中相应的可用性指标的损耗值；当网元为负荷分担模式时，利用当前所有物理节点机上可用性损耗值中最小的值更新该逻辑网元中相应的可用性指标的损耗值。

步骤A34：依据网元的风险等级数据，计算网元的风险等级。针对网元上各可用性指标的损耗值，通过查找如步骤A32中表八的映射关系表，计算各指标值的风险等级。以最高风险等级为逻辑网元的当前风险。

如果本次计算中只有服务发生了可用性损耗变更，则本轮计算标识为“服务引起”；将所有依赖于此服务的其它服务，都设置为“脏”。通过直接检索服务列表中的指定服务的使用关系链，即可找到所有的依赖于此服务的那些服务。

表七

表八

步骤S4：计算网元所在逻辑子树中以该网元为根的分子树上各网元的扩散风险值，并依据设定的风险等级划分标准，计算各网元的风险等级。

本发明中，利用中序遍历法实现网元的可用性风险在以此网元为根的子树上的扩散。特别地，如果步骤S3中，其最终标志为“服务引起”时，则本步骤自动跳过。

只有当网元的可用性损耗值变更量超过设定的阈值时，才对该网元为根的子树节点进行风险扩散计算；缺省时，针对服务视图的子树节点，只有变更超过10％才开始扩散计算；而针对用户视图子树节点，只有超过15％才进行扩散计算；用户可以调整此类阈值。所述损耗，分为：带宽损耗、宕机、重启、非法受控和性能损耗(负载、CPU使用率、内存使用率、磁盘使用率、以及磁盘读写速率)。其中性能损耗中各分项不会恰好影响其它节点的对应项，但又会真正的影响网络的性能，本实施例中，将性能损耗作为负载损耗向其它节点传递，且以分项中的最大损耗值传递。针对网元节点可用性风险扩散计算以及风险等级评估的具体方法如图5所示，包括：

步骤B01：保留当前节点信息到栈；将当前节点变量(Node)的节点信息，保存(压入)到NE-STACK栈中，该栈中的节点，保存了节点间在父依赖关系上的关系链。将当前节点变量(Node)的风险损失值(其内包括带宽损耗、宕机、重启、非法受控和性能损耗)，保存(压入)到VE-STACK栈中。

步骤B02：提取当前节点(Node)的儿子节点；在本实施例的步骤S1中，每个网元的存储结构中均保留了其所有的儿子节点信息，因此，在树中，各节点的子节点可通过检索自身的儿子链表提取到所有的儿子节点。

步骤B03：测试儿子节点是否存在；如果存在儿子节点，转步骤B04；否则，当前处理节点是叶子节点，本分支处理完毕，转步骤B11；

步骤B04：测试当前待处理的儿子节点的标志是否为“已结束”；如果为真，则转步骤B09，否则，转B05；

当前待处理儿子节点是由序号确定的，且该序号保存在节点的属性中，每轮计算启动前，所有节点的该属性初始化为0，每次处理完一个儿子节点后，该属性值增1，直到等于儿子节点数。每个节点的标志只能是：“未处理”，“已处理”和“已结束”。每轮计算前，各节点的标识标志均为“未处理”；参与1次扩散计算后，修改为“已处理”；只有1个父节点的子节点，自动变更为“已结束”；当存在环时(有些节点可能会有1个以上父节点)，当最后一个父节点的扩散计算完成后，才变更为“已结束”，

步骤B05：测试当前儿子节点的标志是否为“未处理”，如果为真，表示首次处理，转步骤B06，否则，转步骤B07；

步骤B06：修改当前儿子节点的标识为“已处理”；当该儿子节点只有一个父节点时，自动将标志修改为“已结束”；转步骤B08；

步骤B07：修改当前儿子节点的标志为“已结束”；若当前儿子节点的处理次数未达到父节点数，则自动恢复为“已处理”；转步骤B08：

步骤B08：计算当前儿子节点的可用性损耗，并计算可用性风险等级；针对服务视图子树的每个节点，其扩散风险计算公式采用如表九描述的那样。而用户视图子树中的节点，其计算是从根节点到叶子节点方向进行的，且叶子节点不参与风险扩散计算，从而可能会出现扩散计算早于针对节点自身的计算，因此，本实施例中，将各网元的指标值都初始化为0(作为“当前值”)，且将节点自身计算过程中所得的负载损耗、带宽损耗保留到节点上(作为“上次计算”的值)，具体地，针对用户视图子树中的每个节点，其扩散风险的计算公式采用如表十描述的那样；此外，通过查询可用性损耗值与风险等级的映射关系表(如表八所示)，即可计算出风险等级。该计算方法与如图4所示步骤A32中使用的风险等级计算方法一致。本实施例中，如果风险指标项损耗值发生变更，则该网元节点增加“需计算服务可用性”标志。

计算完毕后，修改NE-STACK栈顶节点的下一个待处理儿子节点的序号为MIN(当前序号+1，儿子总数)，以儿子节点为当前节点(Node)，转步骤B01；

表九

风险指标	计算法
		CPU使用率	当前CPU损耗
内存使用率	当前内存损耗
		磁盘使用率	当前磁盘使用损耗
负载	当前负载损耗+VE-STACK栈顶元素的性能损耗
		磁盘读写反应速度	当前的磁盘读写反应速度损耗
宕机	MAX(当前的宕机，VE-STACK栈顶元素的宕机)
		重启	MAX(当前的重启，VE-STACK栈顶元素的重启)
非法受控	MAX(当前的非法受控，VE-STACK栈顶元素的非法受控)
		带宽使用率	MIN(当前的宽使用率损耗，VE-STACK栈顶元素的带宽损耗)

表十

风险指标	计算法
		CPU使用率	当前的CPU损耗
内存使用率	当前的内存损耗
		磁盘使用率	当前的磁盘使用损耗
负载	上次计算的负载损耗+VE-STACK栈顶元素的性能损耗
		磁盘读写反应速度	当前的磁盘读写反应速度损耗
宕机	MAX(当前的宕机，VE-STACK栈顶元素的宕机)
		重启	MAX(当前的重启，VE-STACK栈顶元素的重启)
非法受控	MAX(当前的非法受控，VE-STACK栈顶元素的非法受控)
		带宽使用率	MAX(上次计算的带宽使用率损耗，VE-STACK栈顶元素的带宽损耗)

步骤B09：测试下一个儿子节点是否存在；如果存在，则转步骤B10；否则，转步骤B11；通过测试当前待处理儿子节点的序号与儿子数目，即可判断是否存在下一个儿子节点。

步骤B10：当前待处理儿子节点的序号增1，NE-STACK栈顶节点的待处理儿子序号增1，转步骤B04；

步骤B11：已处理完一个分支，进行出栈操作；将损耗值栈VE-STACK的栈顶元素弹出到变量(VAL)中；将节点栈NE-STACK的栈顶元素弹出到节点变量(Node)中，并将节点变量(Node)压入栈CLEAN-STACK中，以便清理。

步骤B12：测试当前节点变量(Node)是否还有未处理的儿子节点；通过比较当前待处理儿子节点的序号与儿子数目，即可判断是否还有未处理的儿子节点。如果有，则转B13；否则，转B14；

步骤B13：将变量(VAL)压入VE-STACK栈，将节点变量(Node)压入NE-STACK栈，转步骤B04；

步骤B14：测试节点栈NE-STACK是否为空，如果不为空，则继续出栈，并转步骤B11；否则，处理完毕，转步骤B15；

步骤B15；执行清理工作；依次弹出CLEAN-STACK中栈顶元素到节点变量(Node)中，如果节点变量(Node)的“需计算服务可用性”标志为真，则将所有依赖于此节点的服务标志为“脏”；恢复节点变量(Node)的处理标志为“未处理”，恢复节点变量(Node)的儿子节点序号为0；本实施中，在服务与所依赖的节点间通过双向链表的方式实现从任意一方导航到另一方，因此可方便地寻找到所有依赖于特定节点的服务。

步骤S5：计算所有依赖于本次计算中风险值发生变化的各服务的扩散风险值，并依据设定的风险等级划分标准，计算风险等级；

业务服务可能由于所依赖的服务，和/或所依赖的网元的可用性发生变更而引起可用性发生变化。其中，网元对服务可用性的影响，除非法受控外，其它都可以通过测试服务的响应速度和服务不在线这2个指标反应出来；同时，基于服务都有自身的安全防护机制，本发明中节点的非法受控损失不参与服务可用性损耗计算。因此，服务的可用性损耗只需考虑服务间的相互影响；同样，由于所依赖服务的响应速度、非法受控、服务不在线以及重启均影响当前服务的可用性，具体为：所依赖服务的响应速度会直接影响当前服务的响应速度；非法受控则可认为所依赖服务已经被非法控制了，从而导致当前服务也不可信，即归结到非法控制；所依赖服务不在线，会导致当前服务的响应超时，但为了区分，将服务不在线归结到当前服务的服务不在线损失；所依赖服务的重启中会影响当前服务的响应速度，但基于细分的目的，将所依赖服务的重启归结到当前服务的重启损失。

服务间可用性损耗扩散计算方法如图6所示，包括：

步骤SS1：检索所有带“脏”标志的服务，并保存到集合A中；通过遍历服务链表，即可查找到所有的“脏”服务；

步骤SS2：测试集合A是否为空，如果为空，则结束，否则，转步骤SS3；

步骤SS3：测试集合A中是否存在“脏”标识服务，如果存在，转步骤SS4；否则，本轮计算结束；

步骤SS4：从集合A中取“脏”标识的服务到服务变量(Srv)中；可以直接通过下标为索引，检索集合A，发现第1个“脏”服务时，将该服务指针表存到变量(Srv)中；

步骤SS5：计算服务变量(Srv)的依赖服务集合B与集合A间的集合交集C；查找服务变量(Srv)的所有依赖服务，组成集合B，并针对集合B中的每个服务，如果在集合A中存在与之相同的服务(实例级相同)，则将该服务保存到集合C中。

步骤SS6：测试集合C是否为空集，如果是，则转SS9；否则，转SS7；

步骤SS7：集合C不为空，检测该集合中是否存在“脏”标识服务；以下标为索引，检索集合C；如果存在“脏”服务，则转步骤SS8；否则，转步骤SS9；

步骤SS8：从集合C中取“脏”标识服务到服务变量(Srv)中，转步骤SS5；集合C中的服务存在“脏”标识，表明该依赖服务还未进行计算，需要首先对所依赖的服务进行计算。

步骤SS9：计算当前服务变量(Srv)的可用性损耗，同时计算该服务的风险等级；并更改服务为“干净”服务；当前服务变量(Srv)的所有依赖服务都已经参与了计算或是不受本轮计算影响，所以，可启动对其进行计算。针对服务的可用性损耗计算依据表十一进行。

本实施例中，服务间的依赖关系不允许循环依赖，在设置服务间的依赖关系时，如果存在彼此依赖或循环依赖，则新依赖关系不允许添加。

表十一

风险指标	计算法
		响应速度	MAX(当前计算的响应速度损耗，MAX(所有依赖服务的响应速度损耗))
资源使用率(活动文件句柄活动客户端数据库表空间License数)	当前计算的活动文件句柄损耗当前计算的活动客户端损耗当前计算的数据库表空间损耗当前计算的License数损耗
		非法受控	MAX(当前计算的非法受控损耗，MAX(所有依赖服务的非法受控损耗))
服务不在线	MAX(当前计算的服务不在线损耗，MAX(所有依赖服务的服务不在线损耗))
		重启	MAX(当前计算的服务重启损耗，MAX((所有依赖服务的服务重启损耗))

这里所用的“当前计算”，是指利用本发明中如图4所述步骤A33中计算服务的可用性损耗方法进行计算。同样地，在计算出服务可用性指标值后，依据本发明中如图4所述步骤A32中所述的表八，计算出相应的风险等级，并以最大的风险等级为本次计算的新的风险等级。本步执行完后，更新该服务变量(Srv)的标志为“干净”，并转步骤SS3，以便处理下一个服务。

步骤S6：更新全网可用性风险态势视图；

每棵子树计算完毕后，则立即更新该子树所包含网元节点(包括逻辑网元节点、相应的物理网元节点)和各服务的可用性风险态势视图，包括可用性指标、损耗值、风险等级、以及当前风险等级、风险发展趋势图；只有当所有子树都计算完毕后，才更新全网的风险统计视图，包括各等级风险的数量统计、新增风险统计、关闭风险统计、以及以风险等级为主线的风险分布的明细视图，和全网可用性风险发展趋势图。

至此，全网可用性风险计量与评估已经结束，可启动新一轮计算。

本发明中的可用性风险评估方法优选通过计算机软件的形式集成于位于网络中的任意计算机系统中，其也可以通过计算机系统的形式存在。

Claims

1.一种可用性风险扩散评估方法，其特征在于，包括如下步骤：

(5)计算发生可用性损耗值变更超过设定阈值的网元节点的可用性损耗在所有依赖该网元的服务集中的扩散；以及，

(6)更新全网可用性风险态势图。

2.如权利要求1所述一种可用性风险扩散评估方法，其特征在于，所述步骤(1)中所述网元间依赖关系，是从用户使用业务服务的上行方向划分的，在上行方向上，汇聚所有用户上行请求的网元为依赖终止网元；从用户终端出发，沿上行方向上每一个网元都是其前一个网元的父依赖，直到下一个网元是部署了服务的主机网元；所述步骤(2)中依据用户使用业务服务的上行方向上各网元间的依赖关系，组建用户视图子树。

3.如权利要求1所述一种可用性风险扩散评估方法，其特征在于，所述步骤(4)中，所述计算该网元节点的可用性损耗在所述网元依赖子树中的扩散，采用中序遍历方法，先计算根节点的可用性损耗，并计算根节点的可用性风险等级；然后计算左子树中每个节点的可用性损耗和可用性风险等级；然后再依次计算各右子树中各节点的可用性损耗和可用性风险等级。

4.如权利要求3所述一种可用性风险扩散评估方法，其特征在于，所述计算该网元节点的可用性损耗在所述网元依赖子树中的扩散中，针对可用性指标，包括带宽使用率、宕机、重启、非法受控，是以父节点相应指标的损耗值和节点相应指标的现有损耗值间进行比较运算；针对负载指标，是以父节点的CPU使用率、内存使用率、磁盘使用率、负载、磁盘读写反应速度中最大损耗值与节点的负载损耗值间进行比较运算。

5.如权利要求1所述一种可用性风险扩散评估方法，其特征在于，所述步骤(5)中，所述计算发生可用性损耗值变更超过设定阈值的网元节点的可用性损耗在所有依赖该网元的服务集中的扩散，包括：

如果待计算服务所依赖服务不在当前待处理的服务集合中，或所依赖服务从属于当前待处理集合中但已经重新计算了，则直接计算该服务的可用性损耗值，即重新测试该待计算服务可用性指标，至少包括响应速度、资源使用率、非法受控、服务不在线、重启的损耗值，并从该待计算服务的所有依赖服务中提取最大的响应速度损耗、非法受控损耗、服务不在线损耗和重启损耗，与该待计算服务上相应指标值进行比较运算后，得到待计算服务的各可用性指标的真实损耗值；

查找该待计算服务所预设的可用性损耗值与风险等级对照表，计算该服务的可用性风险等级。