CN115103362A

CN115103362A - 5g网元调用序列还原方法及装置、电子设备

Info

Publication number: CN115103362A
Application number: CN202210740487.1A
Authority: CN
Inventors: 刘文懋; 高深; 阮博男
Original assignee: Nsfocus Technologies Inc; Nsfocus Technologies Group Co Ltd
Current assignee: Nsfocus Technologies Inc; Nsfocus Technologies Group Co Ltd
Priority date: 2022-06-27
Filing date: 2022-06-27
Publication date: 2022-09-23

Abstract

本申请公开了一种5G网元调用序列还原方法及装置、电子设备，该方法包括：从核心网流量的历史数据包中筛选出与目标用户设备关联的业务产生的数据包，并基于所述数据包得到至少一个通信信息集合，其中同一个所述通信信息集合包括的通信信息是同一个业务产生的数据包中的通信信息，所述通信信息集合包括的通信信息是按照调用网元的时间排序的；对所述任意一个通信信息集合中的通信信息进行遍历，并根据遍历结果得到网元调用序列。以此解决5G核心网中无法对网元的调用序列进行还原的问题。

Description

5G网元调用序列还原方法及装置、电子设备

技术领域

本发明涉及网络安全领域，特别涉及一种5G网元调用序列还原方法及装置、电子设备。

背景技术

5G(5th Generation Mobile Communication Technology，第五代移动通信技术)核心网采用SBA(Service-based Architecture，服务化架构)，借鉴了计算机领域的“微服务”理念，把原来具有多个功能的整体分拆为多个具有独自功能的个体，使得核心网更加灵活开放。而与微服务场景类似，网元间通过API(Application Program Interface，应用程序编程接口)进行通信，网元与网元之间的通信过程中会产生东西向流量且存在调用序列。调用序列为核心网网元服务的一项重要特征，将网元调用序列作为一个维度加入检测原型中，既可以对横向移动等攻击手段进行检测，又可以对攻击发起IP进行有效定位。

在高并发业务流程下，网元数量是固定的，不同目标用户设备完成不同业务调用的网元的数量以及网元调用的顺序都各不相同，如果预先获取到5G核心网中，所有目标用户设备完成不同业务各自的网元调用序列，便可以对5G核心网进行安全检测，当出现与历史业务有差异的网元调用序列时，可确定出现异常，但是如今，5G核心网中无法对网元之间的调用序列进行还原。

发明内容

本申请提供一种5G网元调用序列还原方法及装置、电子设备，用以确定5G核心网中的各目标用户设备完成不同业务时的网元调用序列。

第一方面，本申请实施例提供了一种5G网元调用序列还原方法，所述方法包括：

从核心网流量的历史数据包中筛选出与目标用户设备关联的业务产生的数据包，并基于所述数据包得到至少一个通信信息集合，其中同一个所述通信信息集合包括的通信信息是同一个业务产生的数据包中的通信信息，所述通信信息集合包括的通信信息是按照调用网元的时间排序的；

对所述任意一个通信信息集合中的通信信息进行遍历，并根据遍历结果得到网元调用序列；

每遍历一个通信信息执行下列过程：

若当前遍历的第一通信信息与所述任意一个通信信息集合中的上一条第二通信信息不同，则确定所述第一通信信息和所述第二通信信息的类型；

根据所述第一通信信息的类型与所述第二通信信息的类型，确定所述第二通信信息所属的网元调用序列。

本申请实施例根据5G核心网中通信信息的类型和所述通信信息中网元之间的调用时间先后，确定属于同一网元调用序列的通信信息，从而能够还原5G核心网中目标用户设备对应的业务所调用网元的序列。

作为一种可选的实施方式，通过下列方式确定目标用户设备，包括：

从核心网流量中确定设备标识；

将符合预设的标识格式规则的设备标识对应的用户设备作为目标用户设备。

依据符合预设的标识格式规则的方式筛选出核心网流量中符合标识格式的目标用户设备，提高网元调用序列还原的效率，避免无效还原。

作为一种可选的实施方式，通过下列方式判断当前遍历的第一通信信息与所述任意一个通信信息集合中的上一条第二通信信息是否相同：

若所述第一通信信息的信息项与所述第二通信信息的信息项中，除通信时间外的其他信息项不完全相同，则确定所述第一通信信息与所述第二通信信息不同；

其中，所述信息项为预先记录的用于表示所述通信信息不同属性的信息。

在网元调用序列还原之前预先筛掉重复信息，避免还原出的网元调用序列出现冗余错误。

作为一种可选的实施方式，确定所述第一通信信息、所述第二通信信息的类型，包括：

当所述第一通信信息的所述信息项中存在请求方式时，确定所述第一通信信息的类型为请求；

当所述第二通信信息的所述信息项中存在请求方式时，确定所述第二通信信息的类型为请求；

当所述第一通信信息的所述信息项中存在响应码时，确定所述第一通信信息的类型为响应；

当所述第二通信信息的所述信息项中存在响应码时，确定所述第二通信信息的类型为响应。

作为一种可选的实施方式，根据所述第一通信信息的类型与所述第二通信信息的类型，确定所述第二通信信息所属的网元调用序列，包括：

若所述第一通信信息的类型为请求，且所述第二通信信息的类型为请求，则将所述第一通信信息存放到栈中；

若所述第一通信信息的类型为响应，且所述第二通信信息的类型为请求，则将位于所述栈的顶部的通信信息出栈并加入预设存储字符中；

若所述第一通信信息的类型为请求，且所述第二通信信息的类型为响应，则将所述第一通信信息存放到栈中，并获取存储字符中的所有通信信息，将获取的所述通信信息按加入存储字符的时间顺序以倒序的方式组成调用序列；

若所述第一通信信息的类型为响应，且所述第二通信信息的类型为响应，则将位于所述栈的顶部的通信信息出栈并加入预设存储字符中。

作为一种可选的实施方式，所述方法还包括：

针对任意一个通信信息集合，当遍历完所述通信信息集合后，若所述存储字符非空，将所述预设存储字符中的通信信息按加入存储字符的时间顺序以倒序的方式组成调用序列。

作为一种可选的实施方式，所述方法还包括：

若当前遍历的第一通信信息为所述通信信息集合中的第一条通信信息，则将该第一通信信息定义为首次通信信息，当所述首次通信信息与所述任意一个通信信息集合中的下一条通信信息不同，将所述首次通信信息存放到栈中。

作为一种可选的实施方式，所述方法还包括：

若所述第一通信信息与所述第二通信信息相同，则删除所述第二通信信息。

第二方面，本申请实施例提供了一种5G网元调用序列还原装置，所述装置包括：

筛选模块，用于从核心网流量的历史数据包中筛选出与目标用户设备关联的业务产生的数据包，并基于所述数据包得到至少一个通信信息集合，其中同一个所述通信信息集合包括的通信信息是同一个业务产生的数据包中的通信信息，所述通信信息集合包括的通信信息是按照调用网元的时间排序的；

遍历还原模块，用于对所述任意一个通信信息集合中的通信信息进行遍历，并根据遍历结果得到网元调用序列；

所述遍历还原模块具体用于：

若当前遍历的第一通信信息与所述任意一个通信信息集合中的上一条第二通信信息不同，则确定所述第一通信信息、第二通信信息的类型；

第三方面，本申请实施例提供一种电子设备，包括至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执上述第一方面提供的5G网元调用序列还原的方法。

第四方面，本申请实施例提供计算机存储介质，所述计算机存储介质存储有计算机程序，所述计算机程序用于使计算机执行上述第一方面提供的5G网元调用序列还原的方法。

本申请的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请而了解。本申请的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，显而易见地，下面所介绍的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为根据本申请一个实施例的5G网元调用序列还原方法的流程示意图；

图2为根据本申请一个实施例的5G网元调用序列还原第一过程图；

图3为根据本申请一个实施例的5G网元调用序列还原第二过程图；

图4为根据本申请一个实施例的5G网元调用序列还原第三过程图；

图5为根据本申请一个实施例的5G网元调用序列还原方法的整体流程示意图；

图6为根据本申请一个实施例的5G网元调用序列还原装置结构示意图；

图7为根据本申请一个实施例的一种电子设备结构示意图。

具体实施方式

下面将结合附图对本申请实施例中的技术方案进行清楚、详尽地描述。在本申请实施例的描述中，除非另有说明，“/”表示或的意思，例如，A/B可以表示A或B；文本中的“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况，另外，在本申请实施例的描述中，“多个”是指两个或多于两个。

为进一步说明本申请实施例提供的技术方案，下面结合附图以及具体实施方式对此进行详细的说明。虽然本申请实施例提供了如下述实施例或附图所示的方法操作步骤，但基于常规或者无需创造性的劳动在方法中可以包括更多或者更少的操作步骤。在逻辑上不存在必要因果关系的步骤中，这些步骤的执行顺序不限于本申请实施例提供的执行顺序。方法在实际的处理过程中或者控制设备执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行。

鉴于相关技术中无法对网元的调用序列进行还原的问题。本申请提出一种5G网元调用序列还原方法及装置、电子设备，能够根据5G核心网中网元调用序列在核心网流量中的特征，公开了网元调用序列还原方法，利用核心网流量数据对网元的调用序列进行还原，无需分布式追踪工具，不会占用核心网资源。

下面结合附图对本申请实施例中的5G网元调用序列还原方法进行详细说明。

图1示出了本申请一个实施例提供的5G网元调用序列还原方法流程示意图，包括：

步骤101：从核心网流量的历史数据包中筛选出与目标用户设备关联的业务产生的数据包，并基于所述数据包得到至少一个通信信息集合，其中同一个所述通信信息集合包括的通信信息是同一个业务产生的数据包中的通信信息，所述通信信息集合包括的通信信息是按照调用网元的时间排序的。

5G核心网中多种业务流程并发进行，每个业务对应多条网元的调用序列，首先需要从核心网流量的历史数据包中确定每个目标用户设备关联的每个业务产生的数据包，通过对数据包的解析完成对高并发业务的分离处理从而实现网元调用序列的还原。例如，当PDU(Professional Development Units，专业发展单元)会话建立业务发生时，会产生包括AMF(Access and Mobility Management Function，接入及移动性管理功能)网元向SMF(Session Management Function，会话管理功能)发起请求时的时间戳，IP地址，端口信息，请求方式，请求路径，请求参数等信息以及SMF向AMF发起响应时的时间戳，响应码，IP地址，端口信息，响应参数等信息。

由于核心网中网元数量是特定的，在核心网中存在若干用户设备，每个用户设备与核心网中的不同网元进行连接，每个用户设备完成不同业务调用与自身连接的网元的调用顺序不同，本申请中将一个网元到另一个网元的请求或者响应过程定义为通信信息集合中的一条通信信息。

目标用户设备指的是，由于在核心网流量中存在多个用户设备，有些用户设备不符合预设的目标用户设备对应的规则，需要在核心网流量中先筛选出目标用户设备，并对目标用户设备对应的数据包进行后续的解析。

对于同一个目标用户设备完成一个业务产生的数据包所包括的通信信息构成一个通信信息集合，通信信息集合中包括多条通信信息，每条通信信息按照发生的时间先后在通信信息集合中进行排序。例如，目标用户设备A完成业务A的网元调用序列为网元1-网元2-网元3，则调用序列的发生时间顺序为：网元1向网元2发请求定义为通信信息一，网元2向网元3发请求定义为通信信息二，网元3向网元2发送响应定义为通信信息三，网元2向网元1发送响应定义为通信信息四，在目标用户设备A完成业务A产生的数据包中，通信信息集合中的通信信息排序即为：通信信息一、通信信息二、通信信息三、通信信息四。

下面介绍一种本申请公开的确定上述目标用户设备的实施方式：

从核心网流量中确定设备标识；将符合预设的标识格式规则的设备标识对应的用户设备作为目标用户设备。

为解决高并发业务流程下的数据包的归属问题，需要从核心网流量中提取关于目标用户设备的用户信息。这里的用户信息主要是指目标用户设备在核心网中的设备标识。根据5G用户设备标识的字段特征，可利用正择匹配的方法对设备标识进行提取。

3GPP标准为5G用户身份标识制定了格式规范，其中，

<5G-GUTI>＝<PLMN ID>+<AMF ID>+<5G TMSI>

根据5G设备标识的预设的标识格式规则以及其中部分已知字段，从核心网流量中将符合预设的标识格式规则的设备标识对应的用户设备作为目标用户设备。

例如，预设的目标用户设备标识格式规则为符合前三位是数字，第四位为字符，后四位为文字，假设核心网流量中存在用户设备A，IP标识为0.0.0.0；用户设备B，IP标识为0.0.0.1；则在核心网流量中筛选出用户设备B为目标用户设备。

步骤102：对所述任意一个通信信息集合中的通信信息进行遍历。

针对任意一个目标用户设备对应的任意一项业务所对应的通信信息集合，对该通信信息集合中的每一条通信信息进行遍历，遍历的过程中进行网元调用序列的还原。

作为一种可选的实施方式，当所述第一通信信息的所述信息项中存在请求方式时，确定所述第一通信信息的类型为请求；

具体来讲，在进行调用序列还原之前，预先为通信集合中每一条通信信息标注通信类型，标记标准为对存在请求方式不存在响应码的数据标记为请求，对存在响应码不存在请求方式的数据标记为响应。例如：第一通信信息标注的通信类型为：请求方式GET；第二通信信息标注的通信类型为：响应码201；即第一通信信息通信类型为请求，第二通信信息通信类型为响应。

每遍历一个通信信息执行下列过程：

每遍历一个通信信息执行：若当前遍历的第一通信信息与所述任意一个通信信息集合中的上一条第二通信信息不同，则确定所述第一通信信息、第二通信信息的类型。

具体来讲，在遍历的过程中，首先要判断当前遍历的第一通信信息与所述任意一个通信信息集合中的上一条第二通信信息是否相同：

1)不相同

若所述第一通信信息的信息项与所述第二通信信息的信息项中，除通信时间外的其他信息项不完全相同，则确定所述第一通信信息与所述第二通信信息不同，其中，所述信息项为预先记录的用于表示所述通信信息不同属性的信息。

在数据包构成通信信息集合的过程中，会预先在数据包中提取关于网元之间调用的信息作为通信信息集合中每条通信信息的信息项，例如包括请求方式、响应码等。

请求方式即例如HTTP2.0中所定义的五种请求方式：GET，POST，PUT，DELETE，PATCH。响应码为HTTP状态码，反映了网元处理HTTP请求状态，标识了对应请求是否成功。

例如第一通信信息中通信时间为9:00，请求方式为：GET；第二通信信息中通信时间为：9:01，请求方式为：POST。由于第一通信信息与第二通信信息除通信时间外的请求方式不同，即可确定所述第一通信信息与所述第二通信信息不同。

2)相同

具体来讲，如果第一通信信息与第二通信信息除了通信时间其他信息项完全相同，证明第二通信信息与第一通信信息构成重复通信，为了避免还原的调用序列出现错误，所以将发生时间在先的第二通信信息删除。

例如，网元1向网元2请求构成第二通信信息，在通信信息集合中发现第二通信信息的下一条第一通信信息中也是网元1向网元2请求，而且第一通信信息与第二通信信息通信时间相同，此种情况可能在第二通信信息中，网元1请求失败了，网元2未收到请求消息，固在第一通信信息中，网元1又重新向网元2发出请求。

判断两条通信信息是否属于同一网元调用序列的一项重要标准为：这两条通信信息对应的通信间是否存在“响应等待”。

由于网元调用过程中，都是从第一个网元依次按照调用顺序对后面网元进行请求直至请求到该串调用序列最末尾的网元，再由最末尾的网元向第一个网元依次进行响应，第一个网元等到最末尾的网元依次响应回来时，该串调用序列整个调用过程完成。即两条通信信息对应的通信间如果存在“响应等待”，则属于同一网元调用序列。

以核心网对目标用户设备的鉴权流程为例，此流程的网元调用序列为AMF-AUSF(Authentication Server Function鉴权服务功能)-UDM(Unified Data Management，统一数据管理功能)-UDR(Unified Data Repository，统一数据仓储功能)，映射到通信信息集合中体现为AMF向AUSF发起请求，AUSF向UDM发起请求，UDM向UDR发起请求，UDR向UDM返回响应，UDM向AUSF返回响应，AUSF向AMF返回响应。由此看来，序列存在的一项关键特征为，序列前置位的网元发送通信类型为请求后，不会立刻收到响应回复，需要等待序列后置位的网元以序列逆序依次返回响应。所以如果还原一串网元调用序列需要等到序列后置位网元完全响应回序列前置位网元，这串网元调用序列才被完整的还原。

作为一种可选的实施方式，根据第一通信信息的类型与所述第二通信信息的类型可以将网元调用序列还原的过程概括为下述步骤：

具体来讲，若第一通信信息的类型为响应，上一条通信信息类型为请求，证明该串调用序列中，第一个网元已经请求至末尾网元，末尾网元已经开始往第一网元方向进行响应了，栈的顶部此时存储的通信信息是该串网元调用序列中最后两个网元之间的调用，所以将该通信信息出栈，加入预设存储字符中作为该串网元调用序列最后两个网元之间调用顺序的还原。

具体来讲，若第一通信信息的类型为请求，上一条通信信息的类型为响应，证明当前存储字符中临时存储的调用序列已经由末尾网元响应至第一个网元，该串调用序列已经还原完成，所以将通信信息按加入存储字符的时间顺序以倒序的方式组成调用序列。

若所述第一通信信息的类型为响应，且所述第二通信信息的类型为响应，则将位于所述栈的顶部的通信信息出栈并加入预设存储字符中；

具体来讲，若所述第一通信信息的类型为响应，且所述第二通信信息的类型为响应，证明正在进行该串调用序列由末尾网元向第一个网元进行响应的过程，每响应一次，即可从栈的顶部出栈一条通信信息，作为该串调用序列中的一部分网元调用序列。

步骤103：根据遍历结果得到网元调用序列。

当完成通信集合的遍历后，得到的若干串网元调用序列即为该目标用户设备完成一项业务所囊括的所有网元调用序列。输出的多串网元调用序列包含该通信信息集合中所涵盖的所有网元链路信息。

具体来讲，参见图2，假设通信信息集合中的通信信息如图所示，且本例中第一通信信息的信息项与所述第二通信信息的信息项中，除通信时间外的其他信息项不完全相同，1、2、3、4、5数字代表网元1、网元2、网元3、网元4、网元5，为了简便表述，本申请中使用数字简化表示；此外将栈中封口一端定义为栈底，栈中开口一端定义为栈顶。

预先建立一个空栈，用于存储从通信信息集合中转出的通信信息；预先建立一预设存储字符，用于存储出栈的通信信息，该预设存储字符中按时间顺序组成的序列经处理后即可构成还原的网元调用序列。需要说明的是栈的结构决定通信信息的存储是先进后出，换句话就是最先存入栈的通信信息在出栈时，是最后一个出栈的。

当开始遍历时：

第一行通信信息的类型为请求，将1-2通信信息存放到栈中，此时栈中存储了一条1-2通信信息；

第二行通信信息的类型为请求，且第一行通信信息的类型也为请求，将第二行的2-3通信信息存放到栈中，此时栈中存储了两条通信信息，栈底为1-2通信信息，栈的第二行为2-3，参见图3；

第三行通信信息的类型为响应，且第二行通信信息的类型为请求，将位于所述栈的顶部的通信信息2-3出栈并加入预设存储字符中，此时栈中存储了一条1-2通信信息，预设存储字符中存储一条2-3通信信息；

第四行通信信息的类型为请求，且第三行通信信息的类型为响应，将第四行通信信息2-4存放到栈中，并将预设存储字符中存储的2-3通信信息从预设存储字符中导出，组成调用序列，参见图4，此时栈中存储信息从栈底到栈顶依次为：1-2请求，2-4请求，预设存储字符中为空，至此完成第一串调用序列的还原2-3请求。

需要说明的是，由于在栈中，出栈和入栈顺序相反，例如第二行通信信息2-3入栈时顺序为2-3，出栈时进入预设存储字符的顺序就为3-2，固存储在预设存储字符中的序列实际与所要还原的网元调用序列相反，所以在从预设存储字符中导出调用序列时需要以倒序的方式组成调用序列，上述图中举例说明的情况中，只要出现从预设存储字符中导出调用序列，为了简化描述默认为已经完成倒序操作的序列。

第五行通信信息的类型为请求，且第四行通信信息的类型为请求，类似第二行通信信息的处理，将第五行通信信息4-5存放到栈中；

第六行通信信息的类型为响应，且第五行通信信息的类型为请求，参见第三行通信信息的处理，将位于所述栈的顶部的通信信息4-5出栈并加入预设预设存储字符中，此时栈中存储了两条通信信息，由栈底到栈顶依次为：1-2和2-4，预设存储字符中存储一条4-5通信信息；

第七行、第八行通信信息的类型均为响应，且第五行通信信息的类型为响应，从所述栈的顶部开始，将2-4和1-2两条通信信息出栈并加入预设预设存储字符中；

第九行通信信息的类型为请求，且第八行通信信息的类型为响应，即将预设存储字符中的通信信息记录导出，组成调用序列，完成第二串调用序列的还原，即还原后的调用序列为：1-2-4-5。

需要说明的是，由上面例子可以看出，如果当前行的通信信息类型为请求，当前行通信信息需要入栈；一串调用序列的还原完成，需要当前行的通信信息类型为响应，且下一行通信信息的类型为请求时，预设存储字符中的通信信息才能导出预设存储字符组成该串网元的调用序列，所以当遍历完所述通信信息集合后，若所述预设存储字符非空，即预设存储字符中存储有未导出的网元的调用序列时：

作为一种可选的实施方式，针对任意一个通信信息集合，将所述预设存储字符中的通信信息按加入存储字符的时间顺序以倒序的方式组成调用序列。

当存储字符非空时，证明预设存储字符中存在组成一串网元调用序列的通信信息，需要新的一行类型为请求的通信信息触发预设存储字符中的调用序列导出预设存储字符，但是此时通信信息集合中全部通信信息已经遍历完成，所以需要额外增加一步操作，将预设存储字符中的通信信息从预设存储字符中导出，组成调用序列。

本申请公开了根据5G核心网中网元调用序列在核心网流量中的特征，公开了网元调用序列还原方法，利用核心网流量数据对网元的调用序列进行还原，无需分布式追踪工具，不会占用核心网资源。

参见图5为本申请的整体流程图：

步骤501：从核心网流量中确定设备标识；

步骤502：将符合预设的标识格式规则的设备标识对应的用户设备作为目标用户设备；

步骤503：从核心网流量的历史数据包中筛选出与目标用户设备关联的业务产生的数据包，并基于所述数据包得到至少一个通信信息集合；

步骤504：遍历通信信息集合；

步骤505：判断是否遍历到通信信息集合的最后一条通信信息，若是执行步骤506，若否执行步骤507；

步骤506：判断预设存储字符中是否为空，若是执行步骤515，若否执行步骤514；

步骤507：判断第一通信信息的信息项与所述第二通信信息的信息项中，除通信时间外的其他信息项是否完全相同，若是执行步骤508，若否执行步骤509；

步骤508：删除所述第二通信信息；

步骤509：判断第一通信信息的类型是否为请求，若是，执行步骤510，若否执行步骤513；

步骤510：判断第二通信信息的类型是否为请求，若是，执行步骤511，若否，执行步骤512；

步骤511：将第一通信信息存放到栈中，返回步骤505；

步骤512：将第一通信信息存放到栈中，继续执行步骤514；

步骤513：将位于栈的顶部的通信信息出栈并加入预设存储字符中，返回步骤505；

步骤514：将所述预设存储字符中的通信信息按加入存储字符的时间顺序以倒序的方式组成调用序列，返回步骤505；

步骤515：根据遍历结果得到网元调用序列。

需要说明的是，上述整体流程图只是本发明的一个实施例，在实现过程中的步骤时序不局限于上述步骤509-步骤513的步骤顺序，可以根据实际需要对步骤509-步骤513的顺序进行适当调整，比如510、509、511、512、513。

实施例2

基于相同的发明构思，本申请还提供一种5G网元调用序列还原装置，如图6所示，该装置包括：

筛选模块601，用于从核心网流量的历史数据包中筛选出与目标用户设备关联的业务产生的数据包，并基于所述数据包得到至少一个通信信息集合，其中同一个所述通信信息集合包括的通信信息是同一个业务产生的数据包中的通信信息，所述通信信息集合包括的通信信息是按照调用网元的时间排序的；

遍历还原模块602，用于对所述任意一个通信信息集合中的通信信息进行遍历，并根据遍历结果得到网元调用序列；

所述遍历还原模块具体用于：

若当前遍历的第一通信信息与所述任意一个通信信息集合中的上一条第二通信信息不同，则确定所述第一通信信息、所述第二通信信息的类型；

可选地，筛选模块601具体用于：

从核心网流量中确定设备标识；

可选地，遍历还原模块602还用于通过下列方式判断当前遍历的第一通信信息与所述任意一个通信信息集合中的上一条第二通信信息是否相同：

可选地，遍历还原模块602还用于：当所述第一通信信息的所述信息项中存在请求方式时，确定所述第一通信信息的类型为请求；

可选地，遍历还原模块602还具体用于：若所述第一通信信息的类型为请求，且所述第二通信信息的类型为请求，则将所述第一通信信息存放到栈中；

可选地，遍历还原模块602还用于：针对任意一个通信信息集合，当遍历完所述通信信息集合后，若所述存储字符非空，将所述预设存储字符中的通信信息按加入存储字符的时间顺序以倒序的方式组成调用序列。

可选地，遍历还原模块602还用于：

可选地，遍历还原模块602还用于：若所述第一通信信息与所述第二通信信息相同，则删除所述第二通信信息。

在介绍了本申请示例性实施方式的5G网元调用序列还原方法和装置之后，接下来，介绍根据本申请的另一示例性实施方式的电子设备。

所属技术领域的技术人员能够理解，本申请的各个方面可以实现为系统、方法或程序产品。因此，本申请的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

在一些可能的实施方式中，根据本申请的电子设备可以至少包括至少一个处理器、以及至少一个存储器。其中，存储器存储有程序代码，当程序代码被处理器执行时，使得处理器执行本说明书上述描述的根据本申请各种示例性实施方式的5G网元调用序列还原方法中的步骤。

下面参照图7来描述根据本申请的这种实施方式的电子设备130，即上述网元调用序列还原设备。图7显示的电子设备130仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图7所示，电子设备130以通用电子设备的形式表现。电子设备130的组件可以包括但不限于：上述至少一个处理器131、上述至少一个存储器132、连接不同系统组件(包括存储器132和处理器131)的总线133。

总线133表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器、外围总线、处理器或者使用多种总线结构中的任意总线结构的局域总线。

存储器132可以包括易失性存储器形式的可读介质，例如随机存取存储器(RAM)1321和/或高速缓存存储器1322，还可以进一步包括只读存储器(ROM)1323。

存储器132还可以包括具有一组(至少一个)程序模块1324的程序/实用工具1325，这样的程序模块1324包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

电子设备130也可以与一个或多个外部设备134(例如键盘、指向设备等)通信，还可与一个或者多个使得用户能与电子设备130交互的设备通信，和/或与使得该电子设备130能与一个或多个其它电子设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口135进行。并且，电子设备130还可以通过网络适配器136与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器136通过总线133与用于电子设备130的其它模块通信。应当理解，尽管图中未示出，可以结合电子设备130使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理器、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

在一些可能的实施方式中，本申请提供的一种5G网元调用序列还原方法的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在计算机设备上运行时，程序代码用于使计算机设备执行本说明书上述描述的根据本申请各种示例性实施方式的一种5G网元调用序列还原方法的步骤。

程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以是——但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

本申请的实施方式的用于监控的程序产品可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在电子设备上运行。然而，本申请的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本申请操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户电子设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户电子设备上部分在远程电子设备上执行、或者完全在远程电子设备或服务端上执行。在涉及远程电子设备的情形中，远程电子设备可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户电子设备，或者，可以连接到外部电子设备(例如利用因特网服务提供商来通过因特网连接)。

应当注意，尽管在上文详细描述中提及了装置的若干单元或子单元，但是这种划分仅仅是示例性的并非强制性的。实际上，根据本申请的实施方式，上文描述的两个或更多单元的特征和功能可以在一个单元中具体化。反之，上文描述的一个单元的特征和功能可以进一步划分为由多个单元来具体化。

此外，尽管在附图中以特定顺序描述了本申请方法的操作，但是，这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和方框图来描述的。应理解可由计算机程序指令实现流程图和方框图中的每一流程和/或方框、以及流程图和方框图中的流程和方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims

1.一种5G网元调用序列还原方法，其特征在于，所述方法包括：

每遍历一个通信信息执行下列过程：

2.根据权利要求1所述的方法，其特征在于，通过下列方式确定目标用户设备，包括：

从核心网流量中确定设备标识；

3.根据权利要求1所述的方法，其特征在于，通过下列方式判断当前遍历的第一通信信息与所述任意一个通信信息集合中的上一条第二通信信息是否相同：

4.根据权利要求3所述的方法，其特征在于，确定所述第一通信信息、所述第二通信信息的类型，包括：

当所述第二通信信息的所述信息项中存在请求方式时，确定所述第二通信信息的类型为请求

5.根据权利要求1所述的方法，其特征在于，根据所述第一通信信息的类型与所述第二通信信息的类型，确定所述第二通信信息所属的网元调用序列，包括：

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

8.根据权利要求1-7任一所述的方法，其特征在于，所述方法还包括：

9.一种5G网元调用序列还原装置，其特征在于，该装置包括：

所述遍历还原模块具体用于：

10.一种电子设备，其特征在于，包括至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器执行如权利要求1-8中任何一项所述的方法。

11.一种计算机存储介质，其特征在于，所述计算机存储介质存储有计算机程序，所述计算机程序用于使计算机执行如权利要求1-8中任何一项所述的方法。