CN113098725B

CN113098725B - 一种双网交织异常检测方法及系统

Info

Publication number: CN113098725B
Application number: CN202110645368.3A
Authority: CN
Inventors: 侯斯尧; 李强; 李亚红
Original assignee: CRSC Research and Design Institute Group Co Ltd
Current assignee: Tonghao Innovation Investment Group Co., Ltd; CRSC Research and Design Institute Group Co Ltd
Priority date: 2021-06-10
Filing date: 2021-06-10
Publication date: 2021-08-24
Anticipated expiration: 2041-06-10
Also published as: CN113098725A

Abstract

本发明提供一种双网交织异常检测方法及系统，方法包括：获取双网的网络拓扑基线数据，保存双网的各子网的网元信息，所述双网为互为冗余的环网；监测网元信息变化，生产变化信息，根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常。基于网络拓扑基线数据动态监测网络变化，实现了对于针对现有的信号安全数据网组网方案动态的异常交织检测。

Description

一种双网交织异常检测方法及系统

技术领域

本发明属于轨道交通通信领域，特别涉及一种双网交织异常检测方法及系统。

背景技术

在高铁列车控制网络中，目前的网络设计是物理隔离冗余的，目的是避免网络出现故障时发生通信异常或通信中断，列控系统各设备间无法正常进行数据传输，导致控制系统失效，列车以及地面设备无法获取实时信息，从而导致运营事故或列控安全事故。目前采用双网结构以保证轨道交通整个网络的正常通信，每台列控系统分别接入双网之中，双网分别属于不同的IP网段。如图1所示，信号安全数据网拓扑中的双网为左网与右网。在双网冗余的网络架构下，双网内的网元接入同一个网络管理服务器，该服务器通过隔离的两块网卡分别连接左右网内的一台网元的管理端口，获取子网内网元信息。同时对子网内的网元进行管理。

由于目前的高铁列控安全数据网没有流量采集设备，无法采集左（右）网的流量，对来源网络地址进行分析，判断左（右）网的主机发出的数据报是否在右（左）网中传输。

现有的网络管理服务器只具备网元信息收集与管理能力，如果出现设备跨网现象，无法做出告警动作，也无法对跨网设备进行定位，无法对故障进行快速恢复。

因此，亟需一种能够检测双网交织异常的方案。

发明内容

针对上述问题，本发明提供一种双网交织异常检测方法及系统，针对高铁列控系统安全数据网的双网交织异常进行检测，进一步地，还能够定位跨网设备与交织端口。

一种双网交织异常检测方法，包括：

获取双网的网络拓扑基线数据，保存双网的各子网的网元信息，所述双网为互为冗余的环网；

监测网元信息变化，获取变化信息，根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常。

进一步地，所述获取双网的网络拓扑基线数据包括：

采集子网的LLDP信息；

根据所述LLDP信息构建拓扑，并确认构建的拓扑是否为环网；

所述拓扑为环网时，生成网络拓扑基线数据。

进一步地，所述获取双网的网络拓扑基线数据还包括：

获取网络规划表；

根据网络规划表确认构建的拓扑的网元信息的正确性，正确时生成网络拓扑基线数据。

进一步地，采集子网的LLDP信息包括：

采用SNMP协议和LLDP协议采集网元的LLDP信息。

进一步地，监测网元信息变化，获取变化信息，根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常包括：

判断网元信息变化是否由新增邻居信息触发，如果是，则：

根据新增邻居信息判断是否在双网的另一个子网中存在该新增邻居信息，如果是，则判断存在双网异常交织，

其中另一个子网为双网中不同于发生所述网元信息变化的子网。

进一步地，监测网元信息变化，获取变化信息包括：

双网的网络管理服务器通过SNMP协议和LLDP协议监测网元的邻居信息变化；

邻居信息变化触发子网的网元生成交换机日志，并上传到网络管理服务器；

网络管理服务器解析采集到的交换机日志，获取因邻居信息变化而生成的LLDP信息。

进一步地，根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常包括：

解析变化信息，获取新增邻居信息、相应的本端端口信息、相应的本端设备信息；

在双网的另一个子网中查询新增邻居信息；

若另一个子网中存在该新增邻居信息，则：认为存在双网异常交织；生成本端端口信息、本端设备信息、新增对端设备信息和新增对端端口信息，其中，本端端口信息与新增对端端口信息相对应。

本发明还提供一种双网交织异常检测系统，包括：

获取模块，用于获取双网的网络拓扑基线数据，保存双网的各子网的网元信息，所述双网为互为冗余的环网；

监测模块，用于监测网元信息变化，获取变化信息，根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常。

进一步地，所述获取模块包括采集单元和构建单元，

所述采集单元，用于采集子网的LLDP信息；

所述构建单元，用于根据所述LLDP信息构建拓扑，并确认构建的拓扑是否为环网；所述拓扑为环网时，生成网络拓扑基线数据。

进一步地，所述获取模块还包括规划表获取单元，

所述规划表获取单元，用于获取网络规划表；

所述构建单元，用于根据网络规划表确认构建的拓扑的网元信息的正确性，正确时生成网络拓扑基线数据。

进一步地，所述采集单元，用于采用SNMP协议和LLDP协议采集网元的LLDP信息。

进一步地，所述监测模块包括变化监测单元和异常分析单元，

所述变化监测单元，用于监测网元信息变化，获取变化信息；

所述异常分析单元，用于根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常包括：

判断网元信息变化是否由新增邻居信息触发，如果是，则：

进一步地，所述变化监测单元，用于在双网的网络管理服务器通过SNMP协议和LLDP协议监测网元的邻居信息变化；

邻居信息变化触发子网的网元生成交换机日志，并通过所述采集单元上传到网络管理服务器；

所述变化监测单元，用于在网络管理服务器解析采集到的交换机日志，获取因邻居信息变化而生成的LLDP信息。

进一步地，所述异常分析单元，用于：

在双网的另一个子网中查询新增邻居信息；

本发明还提供一种双网交织异常检测系统，所述系统包括至少一个处理器以及至少一个存储器；

所述存储器存储执行上述双网交织异常检测方法的计算机程序，所述处理器调用存储器中的所述计算机程序以执行上述双网交织异常检测方法。

本发明的具有以下优点：

基于网络拓扑基线数据动态监测网络变化，实现了对于针对现有的信号安全数据网组网方案动态的异常交织检测，不需要改变的现网拓扑,高效灵敏且消耗低，所有功能实现都在正常的性能阈值范围内，不影响网元设备的正常功能和运转。

借助SNMP协议与交换机的LLDP协议实现冗余网络动态监测，方便易用，通过记录对新增网元的相关信息，能够让运维人员快速定位故障来源，保障信号安全信号数据网的安全传输，快速恢复异常，有利于网络的稳定性和可靠性。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所指出的结构来实现和获得。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了根据现有技术的信号安全数据网拓扑示意图；

图2示出了根据本发明实施例的双网交织异常检测过程示意图；

图3示出了根据本发明实施例的拓扑构建与确认流程图；

图4示出了根据本发明实施例的双网交织异常检测与分析流程图；

图5示出了根据本发明实施例的双网交织异常检测过程整体流程图；

图6示出了根据本发明实施例的一种双网交织异常检测系统结构示意图；

图7示出了根据本发明实施例的另一种双网交织异常检测系统结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地说明，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明提供一种双网交织异常检测方法，用于针对冗余网络交织异常的情况进行检测。方法包括：

获取双网的网络拓扑基线数据，双网为互为冗余的环网，保存双网的各子网的网元信息；

示例性地，本发明实施例的冗余网络拓扑如图1所示，冗余网络为双网冗余的轨道交通信号安全数据网络，不失一般性地，该数据网络用于列控系统，但并不限制将该方法应用在其他冗余网络系统中。冗余网络包括两个子网，分别为第一网络（左网）和第二网络（右网）。本发明实施例中第一、第二仅用于区分不同子网对象。在双网冗余的网络架构下，两个子网的网元接入同一个网络管理服务器（网管服务器），该服务器通过隔离的两块网卡分别连接左右子网内的一台网元的管理端口，获取子网内网元信息，对子网内的网元进行管理。每个子网分别为环形拓扑结构，包括依次连接的多个网元，其中最末端的网元与最首端的网元相连接并通过网卡接入网络管理服务器。网元是网络中的元素，是网络管理的最小单位。网元可以采用交换机、路由器、传输设备等设备来实现，本发明实施例以交换机为例。冗余双网包括左网和右网，左网包括依次连接的左网交换机1、左网交换机2、左网交换机3、左网交换机4，其中左网交换机1还和左网交换机4连接，构成环形拓扑，并且左网交换机1与网络管理服务器的网卡1连接。右网包括依次连接的右网交换机1、右网交换机2、右网交换机3、右网交换机4，右网交换机4与右网交换机1连接后通过网卡2计入网络管理服务器。

具体地，获取双网的网络拓扑基线数据包括：

采集子网的LLDP信息；

根据所述LLDP信息构建拓扑，并确认构建的拓扑是否为环网，拓扑为环网时，生成网络拓扑基线数据。

其中，LLDP信息是通过LLDP协议获取的网元之间的连接关系信息，例如设备A通过端口1与设备B的端口2相连接，在本发明实施例中，将LLDP信息作为网元信息的一部分。

进一步地，还包括在判断拓扑为环网之后根据网络规划表确认构建的拓扑的网元信息的正确性，正确时才生成网络拓扑基线数据。

如图2所示，本发明实施例中获取双网的网络拓扑基线数据的过程主要包括数据采集与提取和拓扑构建与确认，将确认后的网络拓扑基线数据作为异常检测基础数据，监测网元信息变化，获取变化信息，进行异常检测与分析。

数据采集与提取为SNMP实时采集与LLDP日志采集两种方式相结合。SNMP实时采集为通过SNMP协议采集网络中的基本网元信息，包括各个网元的设备名称、设备型号、设备网络地址、设备连接状态等。SNMP协议为简单网络管理协议（Simple Network ManagementProtocol），是用于管理网络设备的应用层协议。LLDP日志采集为通过LLDP协议解析网元的LLDP相关的日志，获取网元的连接关系。LLDP为链路层发现协议（Link Layer DiscoveryProtocol）是一种能够使网络中的设备互相发现并通告状态、交互信息的协议。采用LLDP协议能够进行LLDP变化日志（变化信息）采集，当网络中的网络拓扑发生变化时，生成交换机日志，上传至网络管理服务器。本发明实施例中，将SNMP协议与LLDP协议相结合，实现网络管理服务器通过SNMP采集LLDP信息。

拓扑构建与确认包括环网拓扑识别和拓扑信息确认。

如图3所示，环网拓扑识别包括：通过SNMP采集到LLDP信息，通过每个网元的LLDP信息构建拓扑，确认拓扑是否为环形。

在轨道交通列控系统信号安全数据网中，每一个子网都是首尾相连的环网，每一个网元通过LLDP机制获取到的邻居信息都应为两个。其中，邻居信息是指与指定网元相邻（一般为直接连接）的网元设备的网元信息。在正常的、连接无误的轨道交通列控系统信号安全数据子网中的所有网元通过LLDP信息能够构建出该子网的环形拓扑。

其中，SNMP应用在轨道交通列控系统信号安全数据网的网络管理服务器的应用层，网络管理服务器具备SNMP采集功能，能够采集子网内的基本网元信息；在轨道交通列控系统信号安全数据网的子网内的网元即网络设备开启LLDP功能，LLDP协议应用在链路层，在这种情况下，采集的网元信息包括网元的LLDP信息。即，本发明实施例中，网元信息包括基本网元信息和LLDP信息。通过这样的网元信息，网络管理服务器可以明确知道每个网元设备的名称、端口和连接关系等。具体地，网元信息包括本端端口信息和本端设备信息（如网元设备自身的设备名称信息、设备型号等），还包括两个邻居的对端端口信息（即邻居端口信息）、对端设备信息（如设备名称信息、设备型号等）。当拓扑异常时，对端端口信息不限于两个，可能是三或一个等。其中，采集的LLDP信息通过上层应用层的SNMP协议被传输的网络管理服务器。

拓扑信息确认包括：判断拓扑是否与规划的网络拓扑一致，结合预先导入网管系统的网络规划表确认拓扑内网元信息的正确性，将网络规划表与采集到的网元信息进行自动比对，校验网络拓扑的正确性，生成环网拓扑基线数据。具体地，将校验一致的网元信息加入拓扑构建，以此完成拓扑构建和确认，并保存冗余双网各子网的网元信息。

本发明实施例中，首先对冗余环网进行是否为环形的拓扑检查，只有通过检查才进行根据网络规划标的网元信息确认，提高了发现错误的效率，充分利用了网元的LLDP功能，在基线数据构建阶段首先排除了交织异常的情况。经过识别和确认的网元信息作为环网拓扑基线数据，用于后续双网交织异常的检测，避免周期性地进行全局检测造成网络系统负担。

双网交织异常检测与分析过程的包括异常检测和异常信息分析，如图2所示。具体地，根据变化信息判断网元信息变化是否由新增邻居触发，如果是，则根据新增的邻居信息（邻居端口信息和邻居设备信息）判断是否在双网的另一个子网中存在该新增的邻居信息，如果是，则判断存在双网异常交织。其中另一个子网为双网中不同于发生所述网元信息变化的子网，即：发生新增邻居信息的子网为左网时，判断在右网中是否存在该新增的邻居信息；发生新增邻居信息的子网为右网时，判断在左网中是否存在该新增的邻居信息。

异常检测为监测网元信息变化，生产变化信息，变化信息是指监测过程中因邻居信息变化而生成的LLDP信息,即LLDP变化信息。采用LLDP协议监测双网变化，在邻居信息变化时触发异常监测。双网的网络管理服务器通过SNMP协议结合子网的LLDP协议监测到邻居信息变化；通过SNMP协议周期性采集双网各网元的LLDP信息，当网络中的网络拓扑发生变化时，生成交换机日志即新的LLDP信息，上传（即被采集）至网络管理服务器，网络管理服务器通过解析该LLDP信息发现邻居信息变化。

网络管理服务器进行异常信息分析，根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常。包括：解析变化信息，获取新增邻居信息（新增对端设备信息、新增对端端口信息）、相应的本端（即出现新增邻居的本端网元）端口信息和本端设备信息；在双网的另一个子网中查询新增邻居信息；若另一个子网中存在该新增邻居信息，则：认为存在双网异常交织；生成本端端口信息、本端设备信息、新增对端设备信息和新增对端端口信息，其中本端端口信息与新增对端端口信息相对应，是具有连接关系的两个端口的信息。

下面结合图4，对异常检测与分析过程进行示例性说明。信号安全数据网冗余环网会出现双网异常交织的网络异常现象，如左网交换机1与右网交换机1出现链路连接。通过LLDP协议能够发现左网交换机的LLDP信息发生变化，如增加1个邻居，该邻居为右网交换机1，此时为双网交织异常，采用本发明实施例的异常检测方式能够发现双网交织异常，并定位异常位置为左网交换机1和右网交换机1。具体过程如下：通过SNMP采集LLDP信息，构建拓扑以发现原本隔离独立的左右网环状拓扑结构是否存在链路连接。首先由LLDP变化信息触发异常检测机制，将交换机的LLDP变化信息即日志上传至网络管理服务器。在网管服务器中，确认该LLDP变化信息是由新增邻居信息触发生成的，可以通过LLDP日志确认是否为新增。若LLDP变化信息是由邻居减少信息触发的，停止双网交织异常检测策略，转由其他异常检测功能处理；其次，若LLDP变化信息是由新增邻居信息触发，如在左网中出现了新增邻居信息，则解析该LLDP变化信息，获取并保存新增邻居信息-右网交换机1的网元信息（包括设备信息和端口信息）、相应的本端网元信息-左网交换机1的网元信息（包括设备信息和端口信息）；最后，在双网另一子网中查询新增邻居信息，具体地，查询对端设备信息是否存在于另一冗余子网的基线数据所记录的网元列表中，如果存在，则可以确认该异常为双网交织异常，触发双网交织事件，记录本端新增连接端口信息、对端设备信息、对端设备端口信息，以便在反馈双网交织异常时反馈这些信息，便于管理人员定位问题。

本发明实施例中的网络交织异常检测过程可以通过网络管理服务器实现。如图5所示，网络管理服务器通过不同的网卡接入冗余网络，通过SNMP协议采集双网各自的网元信息，将采集的双网各自的网元信息作为基线数据。通过SNMP协议周期性采集双网各网元的LLDP信息，并基于LLDP变化信息触发异常检测机制对网络进行动态的灵活的异常检查，并以网络拓扑基线数据为基础发现新增网元信息，通过在另一子网中查询新增网元确认交织异常，当出现网元设备跨网情况时进行记录和告警。本发明实施例的网络交织异常检测过程不需要对整个网络进行反复的拓扑分析，而是通过LLDP实现增量模式的检测，并直接基于增加的LLDP变化信息定位交织异常在两个子网中的位置，精确高效。

基于相同的发明构思，本发明实施例还提供一种双网交织异常检测系统，如图6所示，系统包括获取模块和监测模块。其中，获取模块用于获取双网的网络拓扑基线数据，保存双网的各子网的网元信息，双网为互为冗余的环网。监测模块用于监测网元信息变化，生产变化信息，根据变化信息和网络拓扑基线数据确定是否发生双网交织异常。

具体地，获取模块包括采集单元和构建单元，采集单元采集子网的LLDP信息，本发明实施例中，采用SNMP协议和LLDP协议采集网元的LLDP信息；构建单元根据所述LLDP信息构建拓扑，并确认构建的拓扑是否为环网；当拓扑为环网时，生成网络拓扑基线数据。

进一步地，获取模块还包括规划表获取单元，用于获取网络规划表；构建单元根据网络规划表确认构建的拓扑的网元信息的正确性，正确时生成网络拓扑基线数据。

监测模块包括变化监测单元和异常分析单元。其中，变化监测单元用于监测网元信息变化，获取变化信息；异常分析单元，用于根据变化信息和网络拓扑基线数据确定是否发生双网交织异常，包括：判断网元信息变化是否由新增邻居信息触发，如果是，则：根据新增邻居信息判断是否在双网的另一个子网中存在该新增邻居信息，如果是，则判断存在双网异常交织，其中另一个子网为双网中不同于发生所述网元信息变化的子网。

变化监测单元用于监测网元信息变化的具体方式为，在双网的网络管理服务器通过SNMP协议和LLDP协议监测网元的邻居信息变化；邻居信息变化触发子网的网元生成交换机日志，并通过采集单元上传到网络管理服务器。变化监测单元能够在网络管理服务器解析采集到的交换机日志，获取因邻居信息变化而生成的LLDP信息。当邻居信息变化是由于新增邻居引起时，异常分析单元可以根据变化信息分析、定位双网交织的异常设备和端口。具体包括；解析变化信息，获取新增邻居信息、相应的本端端口信息、相应的本端设备信息；在双网的另一个子网中查询新增邻居信息；若另一个子网中存在该新增邻居信息，则：认为存在双网异常交织；生成本端端口信息、本端设备信息、新增对端设备信息和新增对端端口信息，其中，本端端口信息与新增对端端口信息相对应。

本发明的方法可以是由计算机或嵌入式程序控制的系统来实现。因此，与之相对应地，本发明的实施例中还提供了另一种双网交织异常检测系统，如图7所示，一种双网交织异常检测系统包括至少一个处理器以及至少一个存储器；存储器存储执行以上本发明任意实施例方法的计算机程序，处理器调用存储器中计算机程序以执行本发明任意实施例方法。

进一步地，存储器可与一个或多个处理器通信连接，存储器中存储有可被一个或多个处理器执行的指令，指令被一个或多个处理器执行，以使一个或多个处理器能够实现本发明的方法。

需要说明的是，本发明实施例的网络交织异常检测方式不限于应用在双网冗余，多个（两个以上）的冗余子网交织异常监测也可以基于本发明实施例的检测方式进行扩展，如在三个冗余网络的交织异常检测中，发现新增的网元时，将对端新增邻居信息在另外两个子网中进行查询，已确定是否出现异常交织。

尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims

1.一种双网交织异常检测方法，其特征在于，包括：

监测网元信息变化，获取变化信息，根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常，包括：

判断网元信息变化是否由新增邻居信息触发，如果是，则：

2.根据权利要求1所述的双网交织异常检测方法，其特征在于，所述获取双网的网络拓扑基线数据包括：

采集子网的LLDP信息；

根据所述LLDP信息构建拓扑，并确认构建的拓扑是否为环网；

所述拓扑为环网时，生成网络拓扑基线数据。

3.根据权利要求2所述的双网交织异常检测方法，其特征在于，所述获取双网的网络拓扑基线数据还包括：

获取网络规划表；

4.根据权利要求2所述的双网交织异常检测方法，其特征在于，采集子网的LLDP信息包括：

采用SNMP协议和LLDP协议采集网元的LLDP信息。

5.根据权利要求2所述的双网交织异常检测方法，其特征在于，监测网元信息变化，获取变化信息包括：

6.根据权利要求5所述的双网交织异常检测方法，其特征在于，根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常包括：

在双网的另一个子网中查询新增邻居信息；

7.一种双网交织异常检测系统，其特征在于，包括：

监测模块，用于监测网元信息变化，获取变化信息，根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常;

所述监测模块包括变化监测单元和异常分析单元，

所述异常分析单元，用于根据变化信息和所述网络拓扑基线数据确定是否发生双网交织异常,包括：

判断网元信息变化是否由新增邻居信息触发，如果是，则：

8.根据权利要求7所述的双网交织异常检测系统，其特征在于，所述获取模块包括采集单元和构建单元，

所述采集单元，用于采集子网的LLDP信息；

9.根据权利要求8所述的双网交织异常检测系统，其特征在于，所述获取模块还包括规划表获取单元，

所述规划表获取单元，用于获取网络规划表；

10.根据权利要求8所述的双网交织异常检测系统，其特征在于，

所述采集单元，用于采用SNMP协议和LLDP协议采集网元的LLDP信息。

11.根据权利要求8所述的双网交织异常检测系统，其特征在于，

所述变化监测单元，用于在双网的网络管理服务器通过SNMP协议和LLDP协议监测网元的邻居信息变化；

12.根据权利要求11所述的双网交织异常检测系统，其特征在于，所述异常分析单元，用于：

在双网的另一个子网中查询新增邻居信息；

13.一种双网交织异常检测系统，所述系统包括至少一个处理器以及至少一个存储器；

所述存储器存储执行权利要求1－6任一所述方法的计算机程序，所述处理器调用存储器中的所述计算机程序以执行权利要求1－6任一所述的方法。