CN103379002B

CN103379002B - 电信网络的自适应监测

Info

Publication number: CN103379002B
Application number: CN201310126605.0A
Authority: CN
Inventors: W.董; R.T.威尔金森
Original assignee: Network Search System Texas Co Ltd
Current assignee: Turcotte Rangnick Dirk Sass LLC
Priority date: 2012-04-13
Filing date: 2013-04-12
Publication date: 2018-11-13
Anticipated expiration: 2033-04-12
Also published as: EP2661020B1; US8817649B2; EP2661020A2; CN103379002A; US20130272144A1; EP2661020A3

Abstract

描述了用于电信网络的自适应监测的系统和方法。在一些实施方案中，一种方法可包括监测通过移动通信网络（例如，3G、4G、LTE等）传输的流量和识别监测规则。所述监测规则可（例如，基于内容类型、来源、目的地、运输协议、会话等）将流量的选定部分与监测采样率相关，且所述监测采样率可确定可用以提供一个或多个性能指示符（例如，服务指示符、网络拥塞、连接维护、服务质量和/或网络的可用性）的流量的选定部分的小部分。所述方法还可包括响应于网络监测条件的改变（例如，一个或多个探头操作达到或接近容量、定期维护事件、流量高峰等）而修改所述监测采样率。

Description

电信网络的自适应监测

技术领域

本说明书一般涉及网络监测，并且更具体而言涉及用于自适应监测电信网络的系统和方法。

发明背景

移动数据网络持续经历总流量前所未有的爆炸，尤其当新型客户端设备（例如，网络功能的智能手机、平板设备、互联网功能的电视、游戏机等）开始消耗更大量的带宽时更是如此。常规网络监测方案通常具有两个组成部分。首先，已知为“探头”的一个或多个实体接收总体网络数据并执行整个数据的分析和/或相关。然后，服务器（或服务器集群）进一步集合处理的数据并将它提供给终端用户。

然而，本发明的发明者已经认识到，不容易缩放常规监测来满足现有的流量扩充。对于大多数实体，分析100%的网络流量将很快成本过高。因此，为了解决这些和其它问题，本发明的发明者已经开发了用于自适应监测电信网络的系统和方法。

发明概要

本文描述了用于自适应监测电信网络的系统和方法的实施方案。在说明性而非限制性实施方案中，一种方法可包括监测通过移动通信网络传输的流量和识别监测规则，监测规则将流量的选定部分与监测采样率相关，监测采样率确定可用以提供一个或多个性能指示符的流量的选定部分的小部分。该方法也可包括响应于网络监测条件的改变而修改监测采样率。

在一些实施方式中，流量的选定部分可包括具有以下至少一个的流量：常见地址、常见用户标识符、常见传输协议、常见端口号或常见内容类型。一个或多个性能指示符可包括以下至少一个：服务性能指示符、网络拥塞指示符、连接维护指示符、服务质量指示符，或网络可用性指示符。此外，网络监测条件的改变可包括网络设备操作的改变。

该方法也可包括至少部分基于历史网络数据来预测网络监测条件的改变。另外或替代，方法可包括至少部分基于网络维护计划来识别网络监测条件的改变。在一些情况下，监测条件的改变可造成监测容量减小，且修改监测采样率可包括减小监测采样率。相反，监测条件的改变可造成监测容量增大，且修改监测采样率可包括增大监测采样率。

在一些实施方案中，修改监测采样率可包括响应于确定与监测规则相关的优先级代码允许修改而修改监测采样率。该方法也可包括将修改的监测采样率的指示传输到一个或多个监测探头。该方法还可包括至少部分基于修改的监测采样率来调整与一个或多个性能指示符相关的统计置信水平。

在另一说明性而非限制性实施方案中，一种方法可包括识别第一监测规则，第一监测规则被配置来使监测网络流量的第一部分与第一监测采样率相关，第一监测规则具有第一优先级。该方法也可包括识别第二监测规则，第二监测规则被配置来使监测网络流量的第二部分与第二监测采样率相关，第二监测规则具有第二优先级。该方法还可包括检测监测容量的减小，和响应于第一优先级比第二优先级大，至少部分基于监测容量的减小来减小第二监测采样率。

在一些实施方式中，该方法可包括至少部分基于历史数据来预测监测容量的减小。另外或替代，该方法可包括至少部分基于维护信息来识别监测容量的减小。该方法还可包括将减小的第二监测采样率传输到一个或多个探头，并降低与一个或多个性能指示符相关的统计置信水平，一个或多个性能指示符是至少部分基于监测的网络流量的第二部分而计算的。

在又一说明性而非限制性实施方案中，一种方法可包括识别通过第一监测探头并通过第二监测探头实施的网络监测规则，网络监测规则使监测的网络流量的第一部分与第一监测探头上的第一监测采样率相关，且网络监测规则使监测流量的第二部分与第二监测探头上的第二监测采样率相关。该方法也可包括响应于第一监测探头的容量减小而减小第一监测采样率并增大第二监测采样率。

在一些情况下，在减小第一监测采样率并增大第二监测采样率之前，第一和第二监测采样率可彼此相等。在其它情况下，第一和第二监测采样率可能彼此不同。另外或替代，第一监测采样率可与第一监测探头接收的流量的第一量成比例，且第二监测采样率可与第二监测探头接收的流量的第二量成比例。在一些实施方案中，该方法可包括将第二监测率增大配置来抵销第一监测采样率的减小并维持统计置信水平与性能指示符相关的量。例如，性能指示符可能是至少部分基于监测的流量的第一和第二部分而计算的。

在一些实施方案中，本文描述的一个或多个方法可由一个或多个计算机系统（例如，呈网络监测探头、控制器等形式）来执行。在其它实施方案中，一种有形计算机可读存储介质上面可储存有程序指令，程序指令被一个或多个计算机或网络监测系统执行时使得一个或多个计算机系统执行本文公开的一个或多个操作。在其它实施方案中，一种系统可包括至少一个处理器和耦接到至少一个处理器的存储器，存储器被配置来储存可由至少一个处理器执行来执行本文公开的一个或多个操作。

附图简述

现将参看附图进行描述，其中：

图1是根据一些实施方案的网络监测环境的框图。

图2是根据一些实施方案的网络监测环境的框图。

图3是根据一些实施方案的监测探头的框图。

图4是根据一些实施方案的自适应确定采样率的方法的流程图。

图5是根据一些实施方案的基于优先级自适应监测的方法的流程图。

图6是根据一些实施方案的采样率平衡的方法的流程图。

图7是根据一些实施方案的被配置来实施本文描述的各种系统和方法的计算机系统的框图。

虽然本说明书提供了若干实施方案和说明性附图，但是本领域的普通技术人员将认识到，本说明书并不仅限于实施方案或附图。应理解，附图和详细描述并不旨在将本发明限于公开的特定形式，相反，本发明将包括落入权利要求书的精神和范围内的所有修改、等价物和替代物。此外，本文使用的任何标题只是为了组织目的，而不旨在限制描述范围。如本文使用的“可”旨在传达许可含义（即，意指“有可能”），而不是强制含义（即，意指“必须”）。类似地，用语“包括”意指“包括但不限于”。

具体实施方式

图1示出根据一些实施方案的网络监测环境的框图。特别地，电信网络100包括网络节点102和端点101。例如，网络100可包括无线宽带网络、3G网络、4G网络、3GPP长期演进（LTE）网络、互联网语音传输协议（VoIP）网络、IP多媒体子系统（IMS）网络等。虽然图1只示出两个节点102和两个端点102，但是应理解，网络100可包括任何数量的节点102和端点101。此外，应理解，网络100中节点102和端点101可用任何适当的方式互连，包括耦接到一个或多个其它节点102和/或端点101。

在一些实施方式中，端点101可例如代表计算机、移动设备、用户设备（UE）、客户端应用程序、服务器应用程序等。同时，节点102可能是内联网、互联网或公共数据网络中的组件，例如，路由器或网关。节点102也可能是3G或4G无线网络中的组件，例如，服务GPRS支持节点（SGSN）、网关GPRS支持节点（GGSN）或通用分组无线服务（GPRS）网络中的边界网关、CDMA2000网络中的分组数据服务节点（PDSN）、长期演进/服务架构演进（LTE/SAE）网络中的移动管理实体（MME），或在端点101之间传递数据包或消息的任何其它核心网络节点或路由器。

当数据在端点101之间交换时，许多数据包穿过链接104和节点102。这些数据包可代表许多不同的会话和协议。例如，如果端点101用于语音或视频呼叫，那么它可使用实时传输协议（RTP）来与SIP/VoIP服务器（即，另一端点101）交换互联网语音传输协议（VoIP）或会话发起协议（SIP）数据包。如果端点101用于发送或检索电子邮件，那么设备102可与电子邮件服务器（即，另一端点101）交换互联网消息访问协议（IMAP）、邮局协议3协议（POP3），或简单邮件传输协议（SMTP）消息。如果端点101用以下载或流视频，那么设备101可使用实时流协议（RTSP）来与视频服务器（即，另一端点101）建立并控制媒体会话。此外，端点101处的用户可使用超文本传输协议（HTTP）访问许多网站，来与网络服务器（即，另一端点101）交换数据包。应理解，在设备101之间交换的数据包可符合已知或将来开发的许多其它协议。

在典型情况下，穿越网络100的数据包的大约百分之一携带控制数据，例如，设置、管理或拆卸端点101之间呼叫或会话的信息。数据包的其它百分之九十九从设备101携带用户数据并向设备101携带用户数据，例如，实际语音、视频、电子邮件或信息内容。

网络监测系统（NMS）103可用以监测网络100的性能。监测系统103捕获通过链接或接口104在节点102、端点101和/或任何其它网络链接或连接（未示出）之间传输的数据包。在一些实施方案中，数据包捕获设备可非插入式地耦接到网络链接104来捕获实质上所有通过链接传输的数据包。虽然图1中只示出三个链接104，但是应理解，在实际网络中，在网络节点之间可能有几十或几百个物理、逻辑或虚拟连接和链接。在一些情况下，网络监测系统103可耦接到所有这些链接或高百分比的这些链接。在其它实施方案中，监测系统103可仅耦接到网络100的部分，例如，仅耦接到与特定的运营商或服务供应商相关的链接。数据包捕获设备可以是网络监测系统103的部分，例如，线路接口卡，或者可以是从不同位置远程耦接到网络监测系统103的独立的组件。

监测系统103可包括运行收集、相关联和/或分析媒体的一个或多个软件应用并信令来自网络100的数据包的一个或多个处理器。监测系统103可并入协议分析器、会话分析器和/或流量分析器功能，功能通过用网络100上的链接、节点、应用和服务器特征化IP流量来提供OSI（开放系统互连）层2到层7故障排除。在一些实施方案中，例如，这些操作可由可购自Tektronix, Inc.的IRIS^®工具包提供，但是其它合适的工具也可能存在或将来被开发。将网络监测系统103耦接到链接104的数据包捕获设备可能是被优化来处理高带宽IP流量的高速、高密度探头，例如，也可购自Tektronix, Inc.的GEOPROBE^® G10，但是其它合适的工具也可能存在或将来被开发。服务供应商或网络运营商可通过用户接口站105从监测系统103存取数据，用户接口站105具有显示或图形用户接口106，例如，也可购自Tektronix, Inc.的向若干应用提供单一、集成平台的IRISVIEW可配置软件框架，包括到客户体验管理系统和操作支持系统（OSS）和业务支持系统（BSS）应用的馈送，但是其它合适的工具也可能存在或将来被开发。

监测系统103还可包括用于储存捕获的数据包、用户会话数据和配置信息的内部或外部存储器107。监测系统103可在链接104上捕获并相关联数据包相关特定数据会话。在一些实施方案中，相关数据包可相关联并被组合成网络100上特定流、会话或呼叫的记录。这些数据包或消息可用捕获文件来捕获。呼叫跟踪应用可用以将消息分类成呼叫并创建呼叫详细记录（CDR）。这些呼叫可属于基于底层网络或由底层网络定义的场景。在说明性而非限制性实例中，相关数据包可使用5元组关联机制来相关联。5元组关联过程可使用包括5个部分的IP关联键：服务器IP地址、客户端IP地址、源端口、目的端口和层4协议（传输控制协议（TCP）、用户数据报协议（UDP）或流控制传输协议（SCTP））。

因此，网络监测系统103可被配置来采样（例如，不显眼地）相关数据包来进行通信会话，从而跟踪每个会话和每个客户端的相同组用户经历信息，而不管用以支持会话的协议（例如，HTTP、RTMP、RTP等）。例如，如下文更详细描述，监测系统103可能能够识别关于每个用户经历的某些信息。例如，服务供应商可使用这个信息来调整可用于端点101的网络服务，例如，分配给每个用户的带宽和数据包通过网络100的路由。

然而，由于网络100的能力朝10千兆位/秒（Gbps）增大并超出10千兆位/秒（例如，100 Gbps），所以每个链接104支持更多用户流和会话。在一些实施方案中，链接104可以是10 Gbps或支持成千上万或上百万用户或订户的10 Gbps链接的集合（例如，一个或多个100Gbps链接）。许多订户可具有多个活动会话，多个活动会话可在任何每个流包括许多数据包的时候在链接104上产生天文数字个活动流。在这样大量数据包的情况下，服务供应商或网络运营商难以分析通过网络100的所有流量，例如，来识别问题节点或链接。一些系统可收集所有数据相对短的时间段，希望所取的采样是代表性的。其它系统可始终收集网络流量的百分之一并试图通过简单地缩放来外推整个网络的数据。

为了解决这些和其它问题，本文描述的各种系统和方法可使得能够进行电信网络的自适应监测。因此，图2示出根据一些实施方案的网络监测系统103。如图示出，一个或多个监测设备或探头205A-N可耦接到网络100。设备205A-N中每一个（即，第一层）也可耦接到智能引擎210（即，第二层）。虽然图2的系统示出为两层架构，但是本领域的普通技术人员鉴于本公开应理解，本文讨论的原理和技术可延伸到更大数量个层（例如，三层或四层网络监测架构）。

一般说来，探头205A-N可进入网络100并监测它的数据。例如，探头205A-N中的一个或多个可耦接到图1示出的网络100的一个或多个链接104。智能引擎210可包括被配置来进一步执行数据分析并将数据提供给用户的多个分配组件。例如，智能引擎可包括自适应采样引擎215；关键性能指示符（KPI）相关联和集合模块220；分析储存225；操作、管理和维护（OAM）模块230；和表示层235。

在一些实施方案中，设备205A-N可被配置来监测它所进入的网络流量（例如，10Gbps、100 Gpbs等）的可编程部分。可编程部分例如可由采样率等来定义。在一些情况下，每个设备205A-N可智能分析流量来基于一组启发式将高值流量与低值流量（或任何其它选择形式流量）区分开。启发式的实例可包括但不限于具有常见源地址或目的地址、常见订户标识符、常见传输协议、常见端口号、常见内容类型等的流量。取决于不同类型的流量，可应用不同采样规则（或规则集）。每个规则又确定将用于例如计算KPI等的后续处理的流量的部分。KPI的实例可包括但不限于服务性能指示符、网络拥塞指示符、连接维护指示符、服务质量指示符和/或网络可用性指示符。

设备205A-N也可被配置来集合数据来使得能够进行回程，从而产生净流和基本KPI计算、数据时间戳、数据端口戳，进而过滤掉不需要的数据、协议分类和深度包检测（DPI）分析。设备205A-N也可被配置来执行数据状态分析、呼叫相关的重要参数的提取，和呼叫数据记录（CDR）的产生、特定于应用程序的处理等。例如，设备205A-N也可被配置来用各种方式将数据分配到智能引擎210，方式可包括基于流或基于用户会话的平衡。设备205A-N也可向智能引擎210提供动态负载信息（例如，即CPU和存储器使用）来使得能够进行某些自适应监测操作。

智能引擎210可仿效分布式和可扩展的架构。在一些实施方案中，模块220可接收KPI并使来自前端设备205A-N的信息相关。OAM模块230可用以配置和/或控制前端设备205A-N、分发软件或固件升级等。表示层235可被配置来向终端用户提供KPI和其它相关信息。分析储存225可包括用于储存分析数据等的存储或数据库。下文参看图3更详细讨论自适应采样引擎215。

在一些实施方式中，智能引擎210可托管在异地位置（即，在远离前端设备205A-N的不同的物理位置）。另外或替代，智能引擎210可托管在云环境中。

图3是根据一些实施方案的自适应采样引擎215的框图。例如，控制器模块305可通过智能引擎210的输入端口耦接到一个或多个探头205A-N。控制器模块305也可耦接到负载信息数据库310、采样规则数据库315和自学习模块320。在操作中，控制器模块305可被配置来从探头205A-N中一个或多个接收负载信息（例如，CPU和/或存储器使用），并将信息储存到负载数据库310。控制器模块305也可被配置来创建且/或修改储存在规则数据库315中的采样规则。基于来自数据库310的负载信息和/或自学习模块320进行的网络条件确定，控制器模块可修改储存在数据库315中的规则的一个或多个方面，并且用修改的过滤器、优先级代码、采样率等来更新对应的探头205A-N。

为了进行说明，下文表I中提供可储存在数据库315中的假设采样规则的实例：

表I

规则	条件	优先级	采样率
				1	订户 = {A, B, or C}	0	SR = 100%
2	订户= {D, E, or F}	1	SR = 0.5%

在这个实例中，控制器模块305可接收规则1，并将规则1储存在数据库315中，使得对于任何与订户A、B或C相关的数据包，采样率是100%。至于规则2，对于识别订户D、E或F的数据包，采样率是0.5%。假设，在该实例中，规则1和2适用于所有探头205A-N（下文表II示出其它场景）。因此，在这种情况下，网络监测系统130检测到的来自订户A、B和C和/或到订户A、B和C去的每个数据包（即，SR=100%）可用于后续处理，例如，来计算与流量相关的KPI。相反，系统130检测到的来自订户D、E和F和/或到订户D、E和F去的数据包只有0.5%用于流量的KPI计算。在一些实施方式中，规则1可应用于重要客户，而规则2可应用于不太重要的订户。结合图4描述了涉及订户白名单或VIP监测的技术的实例。

当遵循每个规则基于采样的数据包计算KPI参数（和各自的采样率）时，每个参数可与统计置信水平等相关。一般来说，当给定采样率减小时，与各自的KPI参数相关的置信水平也倾向于减小。相反，当给定采样率增大时，置信因子也增大。在各种实施方案中，可使用现有的或将要开发的任何合适的数学或统计模型来计算统计置信因子或水平。

如表I示出，每个规则也可包括优先级代码或水平。在一些情况下，优先级代码可以是二进制（下文表II示出其它情况）。例如，取决于网络监测条件的改变（例如，添加有缺陷的探头到系统130、添加新探头等），“0”值可指示不能修改对应采样率（更高优先级），而“1”值可指示相关采样率经受自适应修改（更低优先级）。在这种场景下，控制器模块305可从探头205A-N和/或数据库310接收负载信息，并试图相应地修改规则1和/或2的采样率。

为了进行说明，假设监测系统130具有单个探头，且从探头（或数据库130）获得的CPU和/或存储器使用信息指示探头正以最大容量操作。作为响应，控制器模块305可将任何可修改采样率（即，规则2中）改变预定量（例如，从0.5%到0.1%）。控制器模块305然后可再次检查探头的CPU或存储器使用信息，且必要时可进一步降低可修改采样率。在一些实施方式中，一旦可修改采样率下降到低于最小阈值（例如，10%、0.1%、零等），那么不变的采样率（例如，规则1中）也可降低，例如，来防止某些类型的故障等。

在一些情况下，控制器模块305可从自学习模块320接收历史或其它操作信息，自学习模块320可触发采样规则中采样率的调整。例如，自学习模块320可基于历史信息确定网络监测系统130通常在工作日早上9:00至早上10:00小时之间操作达到或接近容量；否则它就操作低于容量。因此，控制器模块305可在这些高峰小时自动向下调整所有可修改采样率，而在这些小时以外就向上调整。另外或替代，自学习模块320可基于维护调度信息确定一个或多个探头将在某个时间段关闭。因此，控制器模块305可相应地自动调整采样率。

在一些实施方式中，自学习模块320可识别可能影响网络监测操作的即将发生的事件（例如，定期维护等），且它可例如就统计置信水平的可能性减小等来预计这些影响。如果对置信水平的影响达到阈值，那么自学习模块320可给予用户例如通过预防、取消或重新安排即将发生的事件来干预的选择。

在其它实施方式中，控制器模块305可将数据包流量或期望的流量信息（例如，由自学习模块320提供）纳入考量，来确定监测采样率的减小（或增大）等。控制器模块305也可模拟在更新这些采样率之前采样率的给定修改将导致每个个别探头205A-N（例如，CPU和/或存储器使用）和/或网络监测系统130作为整体的效果。因此，控制器模块305可在更新一个或多个探头205A-N之前模拟具有一个或多个不同采样率的一个或多个不同场景。此外，在一些情况下，控制器模块305可将规则1和2转变成流量或数据包过滤器，并将对应过滤器参数传输到各自的探头205A-N来实施这些规则。

为了进行说明，下文表II中提供假设采样规则的另一实例：

表II

规则	条件	探头	优先级	采样率
					1	订户 = {A-Z}	N, S	0	SR = 94%
2	订户 = {other than A-Z}	N, S	3	SR = 1.5%
					3	Content_Type = {voice}	N	1	SR = 8%
4	Content_Type = {voice}	S	1	SR = 8%
					5	Content_Type = {video}	N, S	4	SR = 0.1%
6	Content_Source = {premium}	N, S	2	SR = 25%
					7	Content_Source = {free}	N, S	5	SR = 2%

与表I的实例比较，表II示出的规则中的一个或多个可涉及基于内容类型、运输协议、用户会话等来识别特定类型的流量。一般说来，可通过检测数据包（例如，使用深度包检测等）获得的任何信息可用以创建规则。又，在一些实施方案中，条件的任何组合可由任何合适的布尔运算符（例如，Content-Type = {video}和Content-Source = {premium}）来连接。因此，自适应采样引擎215可被配置来将采样率修改应用到被选择而具有不同粒度的不同类型的流量。结合图5描述了涉及较高值流量和较低值流量之间区分的技术的实例。

仍参看表II，优先级可能不限于二进制值，因此提供额外的弹性来使监测系统130适应改变的条件。例如，在控制器模块305可确定将采样率减小固定量（例如，10%）的情况下，优先级可用作权重或乘法器来改变应用到每个各自的采样率的固定量。因此，受控模块305确定的10%向下采样调整可转变成规则5的采样率的40%的减小、规则6的采样率的20%的减小和规则4的采样率的10%的减小。

进一步与表I比较，表II示出的规则1-7中每一个与一个或多个探头（为了进行说明标为“北”和“南”）相关。例如，这个实施可用于使得自适应采样引擎215能够平衡监测系统130中特定探头上采样率的修改。下文结合图6更详细描述了涉及自适应采样率平衡的技术的实例。

本领域的普通技术人员鉴于本公开应理解，表I和II只是为了说明的目的而提供，且数据库310和/或315的特定实施可采用各种形式。在一些情况下，表I和II示出的信息中的一些信息可能缺失或以不同格式储存。在其它情况下，可添加本文并未详细讨论的其它信息。更一般说来，数据库310和/或315 可包括可配置为持久性数据存储库的任何适当类型的应用和/或数据结构。例如，数据库310和/或315可配置为关系型数据库，关系型数据库包括一个或多个列和行的表且可被根据例如结构化查询语言（SQL）版本的查询语言来搜索或查询。或者，数据库310和/或315可配置为结构化的数据存储，结构化的数据存储包括根据例如可扩展标记语言（XML）版本的标记语言来格式化的数据记录。在一些实施方案中，可使用通过适当程序管理并可存取的任意或最小结构化数据文件来实施数据库310和/或315。此外，数据库310和/或315可包括被配置来管理数据库310和/或315的创建、维护和使用的数据库管理系统（DBMS）。

在各种实施方案中，图2和3示出的块可代表被配置来执行特定操作的软件例程、逻辑函数和/或数据结构的集合。虽然某些操作可示出为不同的逻辑块，但是在一些实施方案中，这些操作中的至少一些可组合成更少的块。相反，可实施本文示出的块中的任何给定块，使得它的操作可分成两个或多个逻辑块。此外，虽然是用特定配置示出，但是在其它实施方案中，这些各种模块可用其它适当的方式来重新排列。

图4是自适应确定采样率的方法的流程图。在一些实施方案中，方法400可至少部分由自适应采样引擎215来执行。在块405，方法400可使网络监测系统130中的探头205A-N以给定采样率监测数据包。在块410，方法400可识别一个或多个监测或采样规则，例如，上文结合表I和/或II讨论的监测或采样规则。在块415，方法400可检测监测条件的改变。例如，一个或多个探头205A-N可向采样引擎215提供负载信息，采样引擎215又可确定一个或多个探头205A-N无功能、正在维护、操作接近或达到容量、已将新探头引入系统等。另外或替代，自学习模块可提供指示网络流量高峰等的历史或调度数据。

如果采样引擎215检测或接收监测条件已经（或很快将要）改变的指示，那么在块420它可检查与每个采样规则相关的优先级代码，来确定它们各自的采样率是否可修改。如果是，那么在块425，采样引擎215可修改或调整一个或多个采样率。另一方面，如果网络监测条件没有改变，或者如果一个或多个规则的优先级代码不允许修改，那么控制可返回到块405。

在块425调整一个或多个采样率之后，方法400可将新的或更新的采样率的指示传输给各自的探头。例如，自适应采样引擎215可用新的比率来重新创建或修改数据包过滤器，并将过滤器传输给一个或多个探头。此外，在块435，方法400可基于更新的规则来调整与计算的KPI相关的置信水平。又，置信水平通常遵循采样率的改变，使得例如如果采样率减小，那么置信水平也减小。

适于使用方法400的说明性而非限制性场景包括VIP监测。在VIP监测中，可创建一个或多个规则来建立以最高置信和数据完整性接收监测的订户的白名单。在这种状态下，自适应采样引擎215可被配置来监测白名单订户产生的100%的流量，而其它订户可用较低速率来采样且/或可基于改变的网络监测条件而经受自适应修改。上文表I示出可实施VIP监测的规则的实例。

图5是基于优先级的自适应监测的方法的流程图。在一些实施方案中，方法500可至少部分由自适应采样引擎215来执行。在块505，方法500可识别第一自适应采样规则，包括第一采样率和第一优先级或代码。在块510，方法500可识别第二自适应采样规则，包括第二采样率和第二优先级或代码。然后，在块515，方法500可检测网络监测容量的减小（例如，探头离线、负载信息指示探头超载、即将到来的定期维护、流量高峰等）。

因此，在块520，方法500可比较第一和第二优先级。在一些情况下，如果第一优先级比第二优先级大（例如，第一优先级是“0”而第二优先级是“1”），那么在块525，方法500可减小第二采样率。相反，如果第二优先级比第一优先级大，那么在块530，方法500可减小第一采样率。在替代性实施方案中，可减小第一和第二采样率，每个都与它各自的优先级比成比例。

适于使用方法500的说明性而非限制性场景包括高值流量监测。在这个实例中，可设置一个或多个规则来将可被认为是高值的某些类型的流量（例如，特定内容源提供的优质视频）与被认为是低值的其它类型的流量（例如，免费视频）区分开。在一些实施方案中，这种区分可手动配置在规则数据库315中。另外或替代，当操作监测系统130时，由于自学习模块320观察系统用户的使用模式，所以这种区分可被自学习模块320自动识别。在任一情况下，例如，在低资源条件下的自适应采样引擎215可减小低值流量的采样率。因此，例如基于低值流量计算的吞吐量/延迟的KPI将具有较低置信水平，但是仍代表整体KPI趋势。在一些情况下，高值流量的监测可保持不受影响。

图6是采样率平衡的方法的流程图。在一些实施方案中，方法600可至少部分由自适应采样引擎215来执行。在块605，方法600可识别与第一和第二探头中相同规则相关的采样率。在块610，方法600可检测或预测第一探头中监测容量的减小。因此，在块615，方法600可减小与第一探头相关的采样率。为了补偿第一探头的减小，方法600可增大与第二探头相关的采样率。此外，第二探头的增大可保持统计置信水平与基于规则选择的流量所计算的性能指示符（例如，组合来自第一和第二探头的KPI的集合指示符）相关。

适于使用方法600的说明性而非限制性场景包括高值流量监测。在这个实例中，探头可被部署成紧挨移动网络中的SGSN来监测移动数据。网络维护事件可关闭池中SGSN中一个SGSN，且该特定SGSN可经历比正常数据量高的数据量。探头可接近超过资源容量来监测数据。当探头将资源条件报告回自适应采样引擎215时，引擎可发送较低采样率到探头。它也可发送较高采样率到系统中其它探头，所以性能指示符的整体置信水平不改变。在一些情况下，自适应采样引擎215可暂时阻止系统用户配置的新性能学习并调度它以便以后使用（例如，如系统用户所同意）。

网络监测系统100的方面可由一个或多个计算机系统来实施或执行。图7中示出一个这种计算机系统。在各种实施方案中，计算机系统700可以是服务器、大型计算机系统、工作站、网络计算机、台式计算机、膝上型计算机等。例如，在一些情况下，图2示出的前端监测探头205可实施为计算机系统700。此外，分析器设备210和/或智能引擎中的一个或多个可包括呈计算机系统700形式的一个或多个计算机。如上文所解释，在不同实施方案中，这些各种计算机系统可被配置来以例如通过网络100的任何适当的方式彼此通信。

如图示出，计算机系统700包括通过输入/输出（I/O）接口730耦接到系统存储器720的一个或多个处理器710。计算机系统700还包括耦接到I/O接口730的网络接口740和一个或多个输入/输出设备750，诸如光标控制设备760、键盘770和显示器780。在一些实施方案中，可使用计算机系统700的单个实例来实施给定实体（例如，网络监测系统110），而在其它实施方案中，多个这种系统或组成计算机系统700的多个节点可被配置来托管实施方案的不同部分或实例。例如，在实施方案中，可通过计算机系统700的一个或多个节点来实施一些元件，这些节点与实施其它元件的那些节点不同（例如，第一计算机系统可实施分类引擎310，而另一计算机系统可实施路由/分配控制模块330）。

在各种实施方案中，计算机系统700可以是包括一个处理器710的单处理器系统，或包括两个或多个处理器710（例如，两个、四个、八个或其它适当的数量）的多处理器系统。处理器710可以是能够执行程序指令的任何处理器。例如，在各种实施方案中，处理器710可以是实施各种指令集体系结构（ISA）中任何一个的通用或嵌入式处理器，诸如x86、POWERPC^®、ARM^®、SPARC^®或MIPS^® ISA或任何其它适当的ISA。在多处理器系统中，处理器710中每一个可共同但并非必须实施相同的ISA。又，在一些实施方案中，至少一个处理器710可以是图形处理器（GPU）或其它专用图形渲染设备。

系统存储器720可被配置来储存处理器710可存取的程序指令和/或数据。在各种实施方案中，系统存储器720可使用例如静态随机存取存储器（SRAM）、同步动态RAM（SDRAM）、非易失性/闪存型存储器，或任何其它类型的存储器的任何适当的存储器技术来实施。如图示出，实施例如上文描述的操作的某些操作的程序指令和数据可储存在系统存储器720中分别作为程序指令725和数据存储735。在其它实施方案中，可在不同类型的计算机可存取介质或与系统存储器720或计算机系统700分开的类似介质上接收、发送或储存程序指令和/或数据。一般说来，计算机可存取介质可包括任何有形存储介质或存储器介质，例如，磁性或光学介质，例如，通过I/O接口730耦接到计算机系统700的磁碟或CD/DVD-ROM。以非临时性形式储存在有形计算机可存取介质上的程序指令和数据还可被传输介质或信号传输，信号例如可通过通信介质传输的电、电磁或数字信号，通信介质例如网络和/或无线链接，例如，可通过网络接口740来实施。

在实施方案中，I/O接口730可被配置来协调处理器710、系统存储器720和设备中任何周边设备之间的I/O流量，周边设备包括网络接口740或其它周边接口，诸如输入/输出设备750。在一些实施方案中，I/O接口730可执行任何必要的协议、定时或其它数据转换来将来自一个组件（例如，系统存储器720）的数据信号转化成适于被另一组件（例如，处理器710）使用的格式。在一些实施方案中，I/O接口730可包括通过各种类型的周边总线附接的设备的支撑，周边总线例如周边组件互连（PCI）总线标准或通用串行总线（USB）标准的变体。在一些实施方案中，I/O接口730的功能可分裂成两个或多个单独的组件，例如，北桥和南桥。此外，在一些实施方案中，例如到系统存储器720的接口的I/O接口730的功能性的一些或全部可直接并入处理器710。

网络接口740可被配置来允许数据在计算机系统700和诸如其它计算机系统的附接到网络115的其它设备之间交换，或在计算机系统700的节点之间交换。在各种实施方案中，例如，网络接口740可通过例如任何适当类型的以太网的有线或无线一般数据网络；通过例如模拟语音网络或数字光纤通信网络的电信/电话网络；通过例如光纤通道SAN的存储区域网络；或通过任何其它适当类型的网络和/或协议来支持通信。

在一些实施方案中，输入/输出设备750可包括一个或多个显示终端、键盘、小键盘、触摸屏、扫描设备、语音或光学识别设备，或适于通过一个或多个计算机系统700输入或检索数据的任何其它设备。计算机系统700中可能有多个输入/输出设备750，或者多个输入/输出设备750可分散在计算机系统700的各种节点上。在一些实施方案中，类似的输入/输出设备可与计算机系统700分开，且可通过有线或无线连接（诸如通过网络接口740）与计算机系统700的一个或多个节点互动。

如图7示出，存储器720可包括被配置来实施本文描述的某些实施方案的程序指令725和数据存储735，数据存储735包括程序指令725可存取的各种数据。在实施方案中，程序指令725可包括图2示出的实施方案的软件元素。例如，在各种实施方案中，可使用任何期望的编程语言、脚本语言，或编程语言和/或脚本语言的组合（例如，C、C++、C#、JAVA^®、JAVASCRIPT^®、PERL^®等）来实施程序指令725。数据存储735可包括可用于这些实施方案的数据。在其它实施方案中，可包括其它或不同的软件元素和数据。

本领域的普通技术人员将理解，计算机系统700只是说明性的，且不旨在限制本文描述的公开案的范围。详细说来，计算机系统和设备可包括可执行指定操作的硬件或软件的任何组合。此外，在一些实施方案中，示出的组件所执行的操作可由更少的组件来执行，或者可被分散到另外的组件。类似地，在其它实施方案中，一些示出组件的操作可能不执行，且/或可能进行其它另外的操作。因此，本文描述的系统和方法可用其它计算机系统配置来实施或执行。

本文描述的各种技术可用软件、硬件或它们的组合来实施。可改变给定方法的每个操作执行的次序，且本文说明的系统的各种元素可添加、重新排序、组合、省略、修改等。应理解，本文讨论的各种操作可同时且/或依次执行。还应理解，每个操作可用任何次序执行且可执行一次或多次。如受益于本说明书的本领域的普通技术人员将显而易见，可进行各种修改和改变。意图是，本文描述的本发明包括所有这种修改和改变，因此，以上描述应理解为说明性而不是限制性。

Claims

1.一种网络监测方法，其包括：

由网络监测系统执行以下操作，

经由第一监测探头以及经由第二监测探头来监测通过移动通信网络传输的流量；

识别监测规则，所述监测规则将监测的流量的第一部分与所述第一监测探头处的第一监测采样率相关，以及所述监测规则将监测的流量的第二部分与所述第二监测探头处的第二监测采样率相关；和

响应于网络监测条件的改变，按一定的量减小所述第一监测采样率以及增大所述第二监测采样率，所述一定的量被配置为抵销所述网络监测条件的改变并且维持与性能指示符相关的统计置信水平，所述性能指示符是至少部分基于所述监测的流量的第一和第二部分而计算的。

2.如权利要求1所述的方法，其中所述监测的流量的所述第一和第二部分包括具有以下至少一个的流量：常见地址、常见用户标识符、常见传输协议、常见端口号或常见内容类型。

3.如权利要求1所述的方法，其中所述性能指示符包括以下至少一个：服务性能指示符、网络拥塞指示符、连接维护指示符、服务质量指示符，或网络可用性指示符。

4.如权利要求1所述的方法，其中网络监测条件的所述改变包括网络设备操作的改变。

5.如权利要求1所述的方法，其还包括：

由所述网络监测系统执行以下操作，

至少部分基于历史网络数据来预测网络监测条件的改变。

6.如权利要求1所述的方法，其还包括：

由所述网络监测系统执行以下操作，

至少部分基于网络维护计划来识别网络监测条件的改变。

7.如权利要求1所述的方法，其中所述监测条件的改变造成监测容量减小。

8.如权利要求1所述的方法，其中减小所述第一监测采样率以及增大所述第二监测采样率包括响应于确定与所述监测规则相关的优先级代码允许所述减小和增大而减小所述第一监测采样率以及增大所述第二监测采样率。

9.如权利要求1所述的方法，其还包括：

由所述网络监测系统执行以下操作，

将减小的第一监测采样率的指示传输到所述第一监测探头，以及将增大的第二监测采样率的指示传输到所述第二监测探头。

10.一种网络监测系统，其包括：

处理器；和

耦接到所述处理器的存储器，所述存储器被配置来储存可由所述处理器执行来使所述网络监测系统进行以下操作的程序指令：

识别第一监测规则，所述第一监测规则被配置来使监测的网络流量的第一部分与第一监测采样率相关，所述第一监测规则具有第一优先级；

识别第二监测规则，所述第二监测规则被配置来使监测的网络流量的第二部分与第二监测采样率相关，所述第二监测规则具有第二优先级；

检测监测容量的减小；和

响应于所述第一优先级比所述第二优先级大，至少部分基于监测容量的所述减小来按一定的量减小所述第二监测采样率，所述一定的量被配置为抵销所述监测容量的改变并且维持与一个或多个性能指示符相关的统计置信水平，所述一个或多个性能指示符是至少部分基于所述监测的流量的第一和第二部分而计算的。

11.如权利要求10所述的网络监测系统，其中为了检测监测容量的所述减小，所述程序指令还可由所述处理器执行来使所述网络监测系统进行以下操作：

至少部分基于历史数据来预测监测容量的所述减小。

12.如权利要求10所述的网络监测系统，其中为了检测监测容量的所述减小，所述程序指令还可由所述处理器执行来使所述网络监测系统进行以下操作：

至少部分基于维护信息来识别监测容量的所述减小。

13.如权利要求10所述的网络监测系统，所述程序指令还可由所述处理器执行来使所述网络监测系统进行以下操作：

将所述减小的第二监测采样率传输到一个或多个探头；和

降低与一个或多个性能指示符相关的统计置信水平，所述一个或多个性能指示符是至少部分基于所述监测的网络流量的所述第二部分而计算的。

14.一种网络监测方法，其包括：

识别通过第一监测探头并通过第二监测探头实施的网络监测规则，所述网络监测规则使监测的网络流量的第一部分与所述第一监测探头上的第一监测采样率相关，且所述网络监测规则使监测的流量的第二部分与所述第二监测探头上的第二监测采样率相关；和

响应于所述第一监测探头的容量减小而按一定的量减小所述第一监测采样率并增大所述第二监测采样率，所述一定的量被配置来抵销所述第一监测采样率的所述减小并维持与性能指示符相关的统计置信水平，所述性能指示符是至少部分基于监测的流量的所述第一和第二部分而计算的。

15.如权利要求14所述的方法，其中，在减小所述第一监测采样率并增大所述第二监测采样率之前，所述第一和第二监测采样率彼此相等。

16.如权利要求14所述的方法，其中，在减小所述第一监测采样率并增大所述第二监测采样率之前，所述第一和第二监测采样率彼此不同。

17.如权利要求14所述的方法，其中，在减小所述第一监测采样率并增大所述第二监测采样率之前，所述第一监测采样率与所述第一监测探头接收的流量的第一量成比例，且所述第二监测采样率与所述第二监测探头接收的流量的第二量成比例。