DE19623823A1 - Protokollanalysator - Google Patents

Description

Die vorliegende Erfindung bezieht sich auf Datenanalysatoren und insbesondere auf Datenanalysatoren, die in der Weise arbeiten, daß sie eine Folge digitaler Nachrichten analysie­ ren, die zwischen zwei Kommunikationseinheiten gemäß einem vorherbestimmten Protokoll ausgetauscht werden. Solche Da­ tenanalysatoren sind als Protokollanalysatoren bekannt.

Das Europäische Telekommunikationsstandardisierungsinstitut (ETSI) ist ein Beispiel eines Normungsgremiums. Solche Gremien dienen dazu, Telekommunikationsnormen, Empfehlungen und Vorschriften für die Form, Implementierung und den Be­ trieb verschiedener Telekommunikationssysteme zu veröffent­ lichen. Ein Beispiel sind die GSM (Globales System für Mobi­ le Systeme)-Empfehlungen für ein gesamteuropäisches digita­ les Mobilfunksystem. Das Errichten und Festhalten an einer Norm oder Empfehlung ermöglicht den Aufbau eines Kommunika­ tionssystems aus Anlagenelementen, die von verschiedenen Herstellern geliefert werden. Um dieses Ziel zu erreichen, werden neu entwickelte Kommunikationsanlagenelemente, Norm­ gerechtheitstests unterzogen. Diese Normgerechtheitstests überprüfen unter anderem Kommunikationsprotokolle, die gemäß der relevanten Norm arbeiten. Nach Bestehen dieser vorgege­ benen Normgerechtheitstests darf der Hersteller die Geräte als mit der relevanten Norm kompatible Geräte auf den Markt bringen.

Die Kommunikationsprotokolle arbeiten in der Weise, daß sie Kommunikationsverbindungen zwischen Einheiten in einem Kom­ munikationssystem errichten, dem Daten zugeführt werden sol­ len. Ein Kommunikationsprotokoll besteht aus einer Reihe von oft komplizierten digitalen Nachrichten, die während einer Transaktion zwischen jeweiligen Einheiten in dem Kommunika­ tionssystem ausgetauscht werden. Ein Beispiel hierfür ist ein Nachrichtenaustausch zwischen einem Telefon und einem ISDN-Telekommunikationsnetzwerk, der dazu dient, eine Ver­ bindung zwischen dem Telefon und einem anderen Telefon in einem Telekommunikationsnetz aufzubauen.

Eine digitale Protokollnachricht soll hier als ein digitales Datenwort definiert sein, das Daten enthält, die zu einem Befehl oder einem Informationsstück gehören, die gemäß einem Kommunikationsprotokoll erzeugt wurden.

Um einen Normgerechtheitstest an einem Kommunikationspro­ tokoll durchzuführen, wird ein Testgerät verwendet, das als Protokollanalysator bekannt ist.

Ein Protokollanalysator kann auf zwei Arten verwendet wer­ den.

Üblicherweise wird ein Protokollanalysator direkt über eine geeignete Schnittstelle mit einem zu testenden Element einer Kommunikationsanlage verbunden. Der Protokollanalysator ist dafür eingerichtet, gemäß dem Kommunikationsprotokoll der betreffenden Norm Nachrichten anzuregen und mit der sich im Test befindenden Kommunikationsanlage auszutauschen. In die­ sem Fall simuliert der Protokollanalysator ein Kommunika­ tionssystem, mit dem sich im Test befindenden Anlagenelement verbunden werden soll. Dieser Typ von Analyse ist unter dem Namen aktive Analyse bekannt.

Einer der wesentlichen Nachteile bei einem Protokollanalysa­ tor, der dafür eingerichtet ist, eine aktive Analyse durch­ zuführen, besteht darin, daß er eine Datenbank beinhalten muß, die alle möglichen Folgen digitaler Protokollnachrich­ ten enthält, die erforderlich sind, um ein Kommunikations­ protokoll zu simulieren. Das Programmieren einer solchen Datenbank erfordert ein beträchtliches Ausmaß an Arbeit und Kosten, da die Kommunikationsprotokolle oft hochentwickelt sind. Darüber hinaus muß die Datenbank selbst gründlich ge­ testet werden, bevor man sich auf ihren Betrieb verlassen kann. Noch ein weiterer Nachteil besteht darin, daß die Da­ tenbank umprogrammiert werden muß, wenn irgendeine Verände­ rung in dem Kommunikationsprotokoll, z. B. gemäß einer Ver­ besserung eines Telekommunikationssystems durchgeführt wird. Diese Umprogrammierung würde noch höhere Kosten bedingen. Die Verwendung von Datenbanken zum Testen von Telekommuni­ kationsprotokollen ist daher im allgemeinen ziemlich un­ flexibel.

Eine andere Möglichkeit zur Durchführung eines Normge­ rechtheitstests an einer Kommunikationsanlage besteht da­ rin, die sich im Test befindende Anlage mit einem bestehen­ den Kommunikationssystem zu verbinden, das dem gleichen Standard entspricht. So wird ein "funktioniert/funktioniert nicht"-Test geliefert, so daß, die Anlage, wenn sie dem Standard entspricht, arbeiten wird, wenn sie diesem jedoch nicht entspricht, nicht arbeiten wird. Der Nachteil bei die­ sem stark vereinfachten Test besteht darin, daß, wenn die Anlage nicht arbeitet, keine Informationen darüber geliefert werden, warum das Kommunikationsprotokoll zusammengebrochen ist. Dieses Problem kann jedoch dadurch gelöst werden, daß ein Protokollanalysator so eingerichtet und angeordnet wird, daß er an der Schnittstelle zwischen der zu testenden Anlage und dem Kommunikationssystem angeschlossen wird. Diese An­ ordnung ermöglicht es dem Protokollanalysator die Protokoll­ nachrichten zu überprüfen, die zwischen der sich im Test befindenden Kommunikationsanlage und den entsprechenden Ein­ heiten in dem System ausgetauscht werden. Diese Anordnung beseitigt bezüglich eines Protokollanalysators das Erforder­ nis, die zu testende Kommunikationsanlage anzuregen oder dieser zu antworten, da die anregenden Nachrichten von dem bestehenden Kommunikationssystem geliefert werden. Diese Anordnung zur Protokollanalyse ist unter dem Namen passive Protokollanalyse bekannt.

Bekannte Protokollanalysatoren, die so angeordnet werden können, daß sie die oben beschriebene passive Protokoll­ analyse durchführen, weisen bis jetzt den Nachteil auf, daß sie eine Datenbank erfordern, in die alle möglichen Folgen von Protokollnachrichten vorher einprogrammiert werden müs­ sen, um in der Lage zu sein, eine richtige oder falsche Nachrichtenfolge zu erkennen.

Neuronale Computerberechnungen sind ein bekanntes Verfahren zum Erkennen von Sätzen aus digitalen Datenwörtern. Ein neuronales Netzwerk ist in der Lage, zwischen digitalen Datenwörtern, die zu einem gewünschten Satz gehören, und digitalen Datenwörtern, die nicht zu diesem Satz gehören, zu unterscheiden. Das wird dadurch erreicht, daß ein neuronales Netzwerk mit einem Satz von bekanntermaßen richtigen Daten­ wörtern und einem Satz von bekanntermaßen falschen digitalen Datenwörtern trainiert wird. Der Satz falscher Datenwörter wird als negativer Trainingssatz bezeichnet. Es wird sich hier auf das Buch mit dem Titel "Neural Computing an Introduction" von R. Beale und T. Jackson bezogen, dem eine genauere Erklärung neuronaler Netzwerke entnommen werden kann.

Wie für Fachleute auf diesem Gebiet zu erkennen ist, ist die Anzahl und Anordnungsvielfalt von Protokollnachrichten, die einem richtig arbeitenden Kommunikationsprotokoll entspre­ chen, typischerweise klein im Verhältnis zu der Anzahl, die nicht in dem gewünschten Satz liegt. Daher ist es eine müh­ same und zeitaufwendige Aufgabe, alle falschen Protokoll­ nachrichten bereitzustellen. Man betrachte beispielsweise den Fall, daß die Protokollnachrichten binär sind und N Bits aufweisen. In diesem Fall gibt es zwei 2^N mögliche Proto­ kollnachrichten. Beträgt die Anzahl richtiger Protokollnach­ richten W, was typischerweise wesentlich weniger als 2^N ist, dann wird die Anzahl möglicher fehlerbehafteter Protokoll­ nachrichten groß sein. Die Anzahl fehlerbehafteter Proto­ kollnachrichten beträgt 2^N-W. Das sind alle möglichen Bit­ kombinationen, die nicht in dem Satz richtiger Protokoll­ nachrichten liegen. Beträgt W z. B. 20 und N 10, dann werden 1.004 Worte in dem fehlerbehafteten Satz liegen.

Es ist eine Aufgabe der vorliegenden Erfindung, einen Proto­ kollanalysator zur Durchführung einer passiven Analyse eines Kommunikationsprotokolls zu schaffen, der nicht den Einsatz einer vorprogrammierten Datenbank erfordert.

Gemäß einem Gesichtspunkt der vorliegenden Erfindung wird ein Protokollanalysator zum Analysieren eines Kommunika­ tionsprotokolls geschaffen, der ein Überprüfungsmittel zum Überprüfen digitaler Protokollnachrichten aufweist, die ge­ mäß dem Kommunikationsprotokoll ausgetauscht werden, und ein Mittel mit einem neuronalen Netzwerk aufweist, das mit dem Überprüfungsmittel verbunden und so eingerichtet ist, daß es in Abhängigkeit von ersten Daten, die zu einem Satz über­ prüfter digitaler Protokollnachrichten gehören, und von zweiten Daten arbeitet, die zu einem Satz fehlerhafter digi­ taler Protokollnachrichten gehören, wobei das Mittel mit einem neuronalen Netzwerk entweder in einem Trainingsmodus arbeitet, in dem das neuronale Netzwerk aus den ersten und den zweiten Daten lernt, den Satz überprüfter digitaler Pro­ tokollnachrichten zu erkennen, oder in einem Analysemodus arbeitet, in dem das Mittel mit einem neuronalen Netzwerk die ersten Daten, die zu dem überprüften Satz digitaler Pro­ tokollnachrichten gehören, analysiert, wodurch der Proto­ kollanalysator mit einem Mittel ausgestattet wird, um einen Satz digitaler Protokollnachrichten zu erlernen, der zu ei­ nem richtig arbeitenden Kommunikationsprotokoll gehört, und um zu erkennen, ob ein anschließend überprüftes Kommunika­ tionsprotokoll, das dem erlernten Kommunikationsprotokoll entspricht, falsch arbeitet.

Der Protokollanalysator kann darüber hinaus einen ersten Datenspeicher, der mit dem Überprüfungsmittel und dem Mittel mit einem neuronalen Netzwerk verbunden ist, um die ersten Daten zu speichern, die zu den digitalen, durch das Überprü­ fungsmittel überprüften Protokollnachrichten gehören, einen Datenprozessor, der mit dem ersten Datenspeicher verbunden ist, um gemäß den Daten, die in dem ersten Datenspeicher enthalten sind, die zweiten Daten zu erzeugen, die zu einem entsprechenden Satz fehlerbehafteter digitaler Protokoll­ nachrichten gehören, und eine zweiten Datenspeicher umfas­ sen, der mit dem Datenprozessor und den Mitteln mit einem neuronalen Netzwerk verbunden ist, um die durch den Daten­ prozessor erzeugten Daten zu speichern.

Der Protokollanalysator kann dazu verwendet werden, eine passive Protokollanalyse eines Kommunikationsprotokolls durchzuführen und sein Überprüfungsmittel kann so eingerich­ tet und angeordnet sein, um an einer Schnittstelle zwischen zwei Kommunikationseinheiten angeschlossen zu werden, wobei über diese Schnittstelle digitale Protokollnachrichten gemäß dem Kommunikationsprotokoll ausgetauscht werden.

Wie für Fachleute auf dem Gebiet zu erkennen ist, kann da­ durch, daß ein Mittel zum Erzeugen eines Satzes falscher Protokollnachrichten bereitgestellt wird, das neuronale Netzwerk innerhalb des Protokollanalysators so trainiert werden, daß es zwischen einem richtig und einem falsch ar­ beitenden Protokoll unterscheiden kann. Der Protokollanaly­ sator ist daher mit Mitteln zum Erlernen des richtigen Pro­ tokolls ausgestattet, was die Notwendigkeit für eine Daten­ bank beseitigt.

Der Datenprozessor kann die zweiten Daten erzeugen, die zu einem Satz fehlerbehafteter Protokollnachrichten gehören, wobei der fehlerhafte Satz alle Protokollnachrichten mit einer fehlerbehafteten Stelle für jede richtige Protokoll­ nachricht umfaßt.

Wenn die digitalen Protokollbefehlswörter binär sind, wird der negative Trainingssatz durch Erzeugen aller möglichen Protokollnachrichten mit einem fehlerbehafteten Bit für jede richtige Protokollnachricht erzeugt. Das heißt, daß jede richtige Protokollnachricht eine entsprechende Teilmenge von Protokollnachrichten aufweist, wobei jedes Element dieser Teilmenge 1 Bit besitzt, das anders ist als bei der rich­ tigen Protokollnachricht. Die Anzahl der Teilmengen ent­ spricht der Anzahl richtiger Protokollnachrichten. Es gibt in dem fehlerbehafteten Satz keine zwei übereinstimmenden Protokollnachrichten.

Das Mittel mit einem neuronalen Netzwerk kann ein neuronales Netzwerk umfassen, das mit dem ersten Datenspeicher verbun­ den ist und aus wenigstens zwei Neuronen besteht, wobei je­ des Neuron einen oder mehrere Eingänge besitzt, denen je­ weils ein multiplikativer Gewichtungsfaktor zugeordnet ist, wobei die Neuronen so verbunden sind, daß sie ein Netzwerk bilden, und ein oder mehrere Neuronen ein Ausgangssignal bilden, und es kann ein Trainingsmittel umfassen, das mit dem ersten Datenspeicher und dem zweiten Datenspeicher sowie in operativer Weise mit jedem Gewichtungsfaktor und dem Aus­ gangssignal von dem neuronalen Netzwerk verbunden ist, um im Trainingsmodus so zu wirken, daß die Gewichtungsfaktoren in Abhängigkeit von den Daten, die in dem ersten Datenspeicher und in dem zweiten Datenspeicher gespeichert sind, und einem Ausgangssignal von dem neuronalen Netzwerk eingestellt wer­ den, wobei dieses Trainingsmittel im Analysemodus blockiert ist, wodurch Mittel zum Trainieren des neuronalen Netzwerks im Trainingsmodus und zum nachfolgenden Analysieren der Pro­ tokollnachrichten eines Kommunikationsprotokolls im Analyse­ modus geliefert werden.

Das neuronale Netzwerk, das einen Teil des Mittels mit einem neuronalen Netzwerk bildet, kann ein neuronales Netzwerk vom Rückwärtsausbreitungstyp sein, das mehrere in wenigstens zwei Schichten angeordnete Neuronen umfaßt, wobei die Anzahl der Neuronen in einer ersten Schicht proportional zur Anzahl der Stellen in den digitalen Protokollnachrichten ist, die Neuronen in einer Schicht mit den Neuronen in einer nachfol­ genden Schicht verbunden sind, und ein Ausgangsneuron mit der letzten Neuronenschicht zur Bildung des Ausgangssignals verbunden ist.

Die Neuronen innerhalb des neuronalen Netzwerks können ein Summiermittel, das mit allen Eingängen des Neurons zur Sum­ mierung der von diesen empfangenen gewichteten Signale ver­ bunden ist, und ein Schwellenmittel umfassen, das mit dem Ausgang des Summiermittels zum Erzeugen eines Ausgangssig­ nals gemäß dem Pegel des Ausgangssignals von den Summiermit­ teln verbunden ist.

Die Gewichtungsfaktoren an den Eingängen jedes Neurons wer­ den durch das Trainingsmittel gemäß einem Trainingsalgo­ rithmus in Abhängigkeit von den richtigen und fehlerbehaf­ teten Protokollnachrichtensätzen und dem Ausgangssignal von dem neuronalen Netzwerk eingestellt. Nachdem das neuronale Netzwerk trainiert worden ist, wird es einen Satz digitaler Protokollnachrichten, der einem richtigen Kommunikationspro­ tokoll entspricht, erkennen können, und Protokollnachrich­ ten, die einem falschen Protokoll entsprechen, zurückweisen können. Ein geeignetes Ausgangssignal wird durch das neuro­ nale Netzwerk entsprechend richtigen oder falschen Protokol­ len erzeugt.

Der Protokollanalysator kann einen dritten Datenspeicher zum Speichern eines Satzes von Gewichtungsfaktoren von dem neu­ ronalen Netzwerk enthalten, dessen Gewichtungsfaktoren einem bestimmten Protokoll entsprechen, für das das neuronale Netzwerk trainiert wurde.

Der Protokollanalysator kann darüber hinaus einen Gewich­ tungsfaktor-Selektor enthalten, der mit dem dritten Daten­ speicher und dem Mittel mit einem neuronalen Netzwerk ver­ bunden ist, um aus dem dritten Datenspeicher die für ein bestimmtes Protokoll gelernten Gewichtungsfaktoren in selek­ tiver Weise wieder abzurufen und um die Gewichtungsfaktoren des neuronalen Netzwerks gemäß einem zu analysierenden Pro­ tokoll zu ersetzen.

Gemäß einem weiteren Gesichtspunkt der vorliegenden Erfin­ dung wird ein Verfahren geschaffen, um ein neuronales Netz­ werk so zu trainieren, daß es ein Kommunikationsprotokoll erkennt, wobei das Verfahren aus dem Herleiten eines Satzes richtiger Protokollnachrichten gemäß einem richtig arbeiten­ den Kommunikationsprotokoll, dem Erzeugen eines Satzes feh­ lerbehafteter Protokollnachrichten, dessen fehlerbehafteter Satz aus allen Protokollnachrichten mit einer fehlerbehafte­ ten Stelle besteht, die zu jeder Protokollnachricht in dem Satz richtiger Protokollnachrichten gehören, und dem Trai­ nieren des neuronalen Netzwerks mit einem Trainingsalgorith­ mus besteht, der den richtigen Satz von Protokollnachrichten als einen gewünschten Trainingssatz verwendet und den feh­ lerbehafteten Satz von Protokollnachrichten als einen nega­ tiven Trainingssatz verwendet.

Ein negativer Trainingssatz, der ausreicht, um das neuro­ nale Netzwerk zu trainieren, kann aus dem richtigen Satz von Protokollnachrichten, die für ein richtig arbeitendes Kommu­ nikationsprotokoll überprüft werden, hergeleitet werden. Das wird dadurch erreicht, daß für jede richtige Protokollnach­ richt alle entsprechenden Protokollnachrichten mit einer einzigen fehlerhaften Stelle erzeugt werden. Wenn W die An­ zahl der Nachrichten in dem korrekten Satz ist, besteht der Satz, der dem richtigen Satz am nahesten kommt, aus den Pro­ tokollnachrichten, die einen einzigen Fehler haben, d. h. die einen minimalen Hammingabstand von dem richtigen Satz auf­ weisen. Das neuronale Netzwerk kann mit einem negativen Trainingssatz trainiert werden, der aus den fehlerbehafte­ ten, einen einzigen Fehler enthaltenden Protokollnachrichten besteht, die einen minimalen Hammingabstand aufweisen. Daher werden alle fehlerbehafteten Protokollnachrichten mit einer größeren Fehleranzahl einen größeren Hammingabstand aufwei­ sen und werden so von dem neuronalen Netzwerk zurückgewie­ sen. Das beseitigt die Notwendigkeit, das neuronale Netzwerk mit allen möglichen fehlerbehafteten Protokollnachrichten zu trainieren. Wenn N die Anzahl der Bits in den Protokollnach­ richten ist, wird die maximale Anzahl an Nachrichten in dem Satz fehlerbehafteter Protokollnachrichten W × N sein. Wenn W zwanzig und N zehn beträgt, beträgt die gesamte Wörteran­ zahl in dem Satz fehlerbehafteter Nachrichten zweihundert.

Eine Ausführungsform der vorliegenden Erfindung wird nun nur beispielsweise mit Bezug auf die beigefügten Zeichnungen beschrieben, in denen

Fig. 1 ein schematisches Blockdiagramm ist, das den Protokollanalysator darstellt, der so ausgeführt ist, daß er eine passive Analyse eines Kommunikationsprotokolls durch­ führt,

Fig. 2 ein schematisches Blockdiagramm ist, das das Mittel mit einem neuronalen Netzwerk des Protokollanalysa­ tors zeigt, wobei die Teile des Mittels mit einem neuronalen Netzwerk, die in Fig. 1 dargestellt sind, die gleichen Be­ zugszeichen aufweisen,

Fig. 3 ein schematisches Blockdiagramm eines neuronalen Netzwerks ist, in dem die in Fig. 2 dargestellten Teile des neuronalen Netzwerks die gleichen Bezugszeichen aufweisen,

Fig. 4 ein schematisches Blockdiagramm ist, das die Struktur eines Neurons darstellt, wobei die Teile des Neu­ rons, die in Fig. 3 dargestellt sind, die gleichen Bezugs­ zeichen aufweisen, und

Fig. 5 eine Tabelle eines richtigen und fehlerbehafte­ ten Satzes von Protokollwörtern zeigt.

Eine Darstellung des Protokollanalysators, der eine passive Protokollanalyse durchführt, wird in Fig. 1 gezeigt. Eine zu testende Einheit 1 ist über eine geeignete Schnittstelle 3 mit einem bestehenden Kommunikationssystem 2 verbunden. In die Schnittstelle 3 ist ein Überprüfungsmittel 4 eingeschal­ tet, das dazu dient, digitale Protokollnachrichten zu über­ prüfen, die gemäß einem zu testenden Kommunikationsprotokoll ausgetauscht werden. Das Überprüfungsmittel 4 erzeugt Daten, die die überprüften digitalen Protokollnachrichten darstel­ len, die in einer ersten Speichereinheit 5 gespeichert sind. Dann wirkt ein Datenprozessor 6 in der Weise, daß er einen Satz fehlerbehafteter Protokollnachrichten entsprechend den in der ersten Speichereinheit 5 gespeicherten digitalen Pro­ tokollnachrichten erzeugt. In diesem Beispiel sind die Pro­ tokollnachrichten binäre Datenwörter. Der Satz fehlerbehaf­ teter Protokollnachrichten besteht aus allen möglichen Pro­ tokollnachrichten mit einem Bitfehler für jede Protokoll­ nachricht, die in der ersten Speichereinheit 5 gespeichert ist. Der Satz fehlerbehafteter Protokollnachrichten wird in einer zweiten Speichereinheit 7 gespeichert. Ein neuronales Netzwerk 8 ist mit der ersten Speichereinheit 5 und der zweiten Speichereinheit 7 verbunden.

Im Trainingsmodus wird das neuronale Netzwerk gemäß den Daten in der ersten Speichereinheit 5 und in der zweiten Speichereinheit 7 trainiert, um die durch das Überprüfungs­ mittel 4 überprüften Protokollnachrichten zu erkennen. Indem es dem Protokollanalysator 9 erlaubt wird, ein bekannter­ maßen richtig arbeitendes Kommunikationsprotokoll zu erler­ nen, während sich das neuronale Netzwerk im Trainingsmodus befindet, kann der Protokollanalysator 9 anschließend ein Kommunikationsprotokoll analysieren, wenn sich das neuronale Netzwerk 8 im Analysemodus befindet. Daher kann ein schon funktionierender Kommunikationsanlagengegenstand, der einem zu testenden Gegenstand entspricht, verwendet werden, um das neuronale Netzwerk 8 in dem Protokollanalysator 9 zu trai­ nieren. Dieser Anlagengegenstand wird durch den zu testenden Anlagengegenstand ersetzt und durch den Protokollanalysator 9 mit dem neuronalen Netzwerk 8 im Analysemodus analysiert.

Das Mittel 8 mit einem neuronalen Netzwerk, das in Fig. 2 dargestellt ist, enthält ein Trainingsmittel 10 und ein neu­ ronales Netzwerk 11. Das Trainingsmittel 10 wirkt so, daß es das neuronale Netzwerk 11 in Abhängigkeit von dem Satz rich­ tiger Protokollnachrichten, die in der ersten Speicherein­ heit 5 gespeichert sind, dem Satz fehlerbehafteter Proto­ kollnachrichten, die in der zweiten Speichereinheit 7 ge­ speichert sind, und einem Ausgangssignal von einem neuro­ nalen Netzwerk 12 trainiert. Ein Satz von Protokollnachrich­ ten wird dem Trainingsmittel und dem neuronalen Netzwerk 11 von der ersten Speichereinheit 5 über einen parallelen Datenbus 13 zugeführt. Der Satz fehlerbehafteter Protokoll­ nachrichten wird dem Trainingsmittel 10 von der zweiten Speichereinheit 7 über einen zweiten parallelen Datenbus 14 zugeführt.

Ein Beispiel dafür, wie die Verbindungen in dem neuronalen Netzwerk verlaufen können, ist in Fig. 3 dargestellt. Das neuronale Netzwerk besteht aus einer Anzahl von Neuronen. Ein Beispiel eines Neurons ist in Fig. 3 und noch detail­ lierter in Fig. 4 dargestellt. In Fig. 3 ist eine Eingangs­ schicht 16 aus Neuronen mit einer zweiten oder verborgenen Neuronenschicht 17 verbunden, die nachfolgend mit einem Ausgangsneuron 18 verbunden ist, um ein Ausgangssignal zu bilden, das einem Leiter 12 zugeführt wird.

Zur Beschreibung der Arbeitsweise des Protokollanalysators 9 wird ein Kommunikationsprotokoll betrachtet, das aus einer Folge von Nachrichtenaustauschvorgängen besteht, die aus Datenwörtern mit vier Bits gebildet werden können. Aus diesem Grund ist der erste parallele Datenbus 13 und der zweite parallele Datenbus 14 jeweils mit vier Leitern dar­ gestellt, wobei jeder Leiter ein Bit des 4-Bit-Wortes zum neuronalen Netzwerk 11 liefert. Darüber hinaus besteht die Eingangsschicht der Neuronen 16 aus vier Neuronen, wobei jedes Neuron entsprechend mit einem Leiter des ersten Daten­ busses 13 verbunden ist.

An jedem Eingang jedes Neurons in dem neuronalen Netzwerk 11 liegt ein multiplikativer Gewichtungsfaktor. Diese sind nicht in Fig. 3 dargestellt. Jedoch ist in Fig. 4 das Neuron 15 mit vier Eingängen und vier entsprechenden Gewichtungs­ faktoren 19, 20, 21 und 22 dargestellt.

Das Neuron 15 besteht darüber hinaus aus einem Summiermittel 23 und einem Schwellenmittel 24. Es sei angenommen, daß vier Signale x₁, x₂, x₃ und x₄ jeweils an die vier Eingänge des Neurons 26, 27, 28 bzw. 29 angelegt werden. Es sei auch angenommen, daß die Faktoren w₁, w₂, w₃ und w₄ jeweils an die multiplikativen Gewichtungsfaktoren 19, 20, 21 bzw. 22 angelegt werden. Dann entspricht das Ausgangssignal 25, das durch das Summiermittel 23 erzeugt wird, der Gleichung 1.

Das Ausgangssignal von den Summiermitteln 23 wird dann an das Schwellenmittel 24 angelegt, das ein binäres Ausgangs­ signal 1 oder 0 entsprechend dem Pegel des Ausgangssignals 25 im Vergleich zu einer Schwelle Θ gemäß den Gleichungen 2 erzeugt.

1 wenn Sout < 0
0 wenn Sout Θ

Das Ausgangssignal 30 von dem neuronalen Netzwerk 15 ist daher ein einzelnes binäres Zeichen, das eine Funktion der Eingangssignale x_i und der Gewichtungsfaktoren w_i mit i = 1 bis 4 ist.

Wenn es sich im Trainingsmodus befindet, stellt das Trainingsmittel 10 die Gewichtungsfaktoren so ein, daß das Ausgangssignal 12 von dem neuronalen Netzwerk für eine richtige Protokollnachricht eine binäre 1 und für falsche Protokollnachricht eine binäre 0 ist.

Man nehme zur Veranschaulichung an, daß es zwei Vier-Bit- Protokollnachrichten gibt, die dem von dem Überprüfungs­ mittel 4 gelieferten Satz richtiger Protokollnachrichten entsprechen. Es sei angenommen, daß es zwei richtige Proto­ kollnachrichten 0000 und 1111 gibt. Das Überprüfungsmittel 4 gibt diese zwei binären Datenwörter in die erste Speicher­ einheit 5 ein, wo sie gespeichert werden. Dann wirkt der Datenprozessor 6, um den Satz fehlerbehafteter Protokoll­ nachrichten zu erzeugen, der aus allen möglichen Wörtern mit einem Bitfehler für jedes Wort in dem Satz richtiger Proto­ kollnachrichten besteht. Diese sind in der Tabelle in Fig. 5 dargestellt.

In Fig. 5 gibt es acht Wörter in dem Satz fehlerbehafteter Protokollwörter. Das ist die maximal mögliche Anzahl, da kein Element der ersten Teilmenge fehlerbehafteter Wörter in der zweiten Teilmenge auftaucht. Wäre dies der Fall, dann würde der gesamte fehlerbehaftete Satz reduziert worden sein, da das gleiche fehlerbehaftete Protokollwort nur ein­ mal aufzutreten braucht. Das Trainingsmittel 10 stellt jeden Gewichtungsfaktor in dem neuronalen Netzwerk 11 ein, mit dem das Trainingsmittel über einen Satz von Leitern 31 verbunden ist. Jeder Satz in dem Satz 31 von Leitern stellt eine Ver­ bindung zu einem entsprechenden Gewichtungsfaktor dar.

Ein Trainingsmittel 10 stellt den Gewichtungsfaktor w_i gemäß einem Lernalgorithmus ein. Ein Beispiel eines Lernalgorith­ mus, der verwendet werden könnte, um das neuronale Netzwerk bei dieser Anwendung zu trainieren, ist die Widrow-Hoff- Delta-Regel. Diese wird im folgenden beschrieben.

Nachdem der Gewichtungsfaktor w_i auf einen willkürlichen Anfangswert eingestellt ist, wird für jeden Schritt in dem Algorithmus, der durch eine Zeit t repräsentiert wird, dem Eingang des neuronalen Netzwerks eines der Datenwörter aus entweder dem Satz richtiger oder fehlerbehafteter Protokoll­ wörter präsentiert. Bei jedem Schritt in der Zeit t wird ein Fehlerwert Δ durch Vergleichen der gewünschten Antwort d(t) mit der aktuellen Antwort des Ausgangssignals y(t) gebildet, wenn entweder eine richtige oder fehlerbehaftete Protokoll­ nachricht an der Eingangsschicht von Neuronen anliegt. Die Abgriffgewichtungen w_i werden gemäß der Gleichung (3) ein­ gestellt.

Δ = d(t) - y(t)
w_i (t+1) = w_i (t) + η Δ X_i (t)
d(t) = { +1, wenn die Eingabe von einem richtigen Satz stammt
{ 0, wenn die Eingabe von einem falschen Satz stammt
η ist ein Verstärkungsfaktor 0 < η 1. (3)

Nach einer Anzahl von Iterationen des Algorithmus wird das neuronale Netzwerk 11 durch das Trainingsmittel 10 trainiert worden sein, um den Satz richtiger oder fehlerbehafteter Protokollwörter zu erkennen, so daß entsprechend am Ausgang des Netzwerks 12 eine binäre 1 oder 0 erzeugt wird.

Der Protokollanalysator ist dann in einem Zustand, wo er ein Kommunikationsprotokoll entsprechend dem Gelernten analysie­ ren kann. Darüber hinaus wurde das Protokoll gelernt, ohne daß alle möglichen fehlerbehafteten Protokollnachrichten erzeugt werden mußten. Bei diesem Beispiel, wo es zwei rich­ tige Vier-Bit-Wörter gibt, beträgt die Anzahl möglicher feh­ lerbehafteter Protokollnachrichten vierzehn, wobei nur acht fehlerbehaftete Wörter erforderlich waren, um das neuronale Netzwerk 11 zu trainieren. Das liegt daran, daß der fehler­ behaftete Satz von Protokollwörtern so ausgewählt wurde, daß er diejenigen acht Wörter beinhaltet, die in bezug auf den Hammingabstand am dichtesten an dem richtigen Satz liegen. Diejenigen fehlerbehafteten Wörter, die nicht in dem Trai­ ningssatz verwendet werden, werden auf natürliche Weise von dem neuronalen Netzwerk im Analysemodus dank der Tatsache erkannt, daß sie einen größeren Hammingabstand haben werden, als diejenigen, die verwendet wurden, um das Netzwerk zu trainieren.

Der Protokollanalysator kann dann anschließend verwendet werden, um ein Kommunikationsprotokoll zu analysieren, das den gelernten Protokollnachrichten entspricht. Hierzu wird der Kommunikationsanlagengegenstand, von dem bekannt ist, daß er korrekt arbeitet, durch einen zu testenden ersetzt. Das Trainingsmittel wird dann durch ein geeignetes, an einen äußeren Eingang 32 angelegtes Signal vom Trainings- in den Analysemodus umgeschaltet. Im Analysemodus werden die Trainingsmittel davon abgehalten, die Abgriffsgewichte des neuronalen Netzwerks 12 weiter zu verändern, die es dem neuronalen Netzwerk erlauben, die an seinem Eingang an­ liegenden Datenwörter zu analysieren.

Die Gewichtungsfaktoren des neuronalen Netzwerks, die gemäß dem Lernalgorithmus eintrainiert wurden, enthalten die In­ formationen, wodurch das neuronale Netzwerk 11 dieses Proto­ koll erkennen kann. Wenn der Protokollanalysator ein be­ stimmtes Kommunikationsprotokoll gelernt hat, können die Gewichtungsfaktoren gespeichert und wieder aufgerufen wer­ den, wenn dieses spezielle Kommunikationsprotokoll analy­ siert werden soll. Auf diese Weise kann der Protokollanaly­ sator für eine Vielzahl von Kommunikationsprotokollen ver­ wendet werden, indem selektiv die geeigneten Gewichtungs­ faktoren wieder aufgerufen werden. Um das zu erreichen, wird eine dritte Speichereinheit 33 verwendet, um die Gewich­ tungsfaktoren zu speichern. Eine Selektoreinheit 34 speichert die Gewichtungsfaktoren und ruft sie gemäß dem zu analysierenden Kommunikationsprotokoll wieder auf, was von außen bestimmt wird (nicht dargestellt). Die Gewichtungs­ faktoren werden dann über einen Datenbus 35 in das neuronale Netzwerk eingegeben und von diesem ausgegeben, was nicht im einzelnen dargestellt ist.

Obwohl der Protokollanalysator im Zusammenhang mit dem Testen eines Kommunikationsprotokolls dargestellt worden ist, ist zu erkennen, daß er in gleicher Weise bei anderen Anwendungen, die das Testen einer Folge von digitalen Daten­ wörtern erfordern, eingesetzt werden könnte. Z.B. könnte der Protokollanalysator dazu verwendet werden, eine richtige Folge von Befehlen nachzuprüfen, die von einem Mikropro­ zessor oder anderen Computer- oder logischen Bausteinen aus­ gegeben wurden.

Claims (10)

1. Protokollanalysator zum Analysieren eines Kommunikations­ protokolls, mit einem Überprüfungsmittel zum Überprüfen di­ gitaler Protokollnachrichten, die gemäß dem Kommunikations­ protokoll ausgetauscht werden, und einem Mittel mit einem neuronalen Netzwerk, das mit dem Überprüfungsmittel verbun­ den und so eingerichtet ist, daß es in Abhängigkeit von er­ sten Daten, die zu einem Satz überprüfter digitaler Proto­ kollnachrichten gehören, und von zweiten Daten arbeitet, die zu einem Satz fehlerhafter digitaler Protokollnachrichten gehören, wobei das Mittel mit einem neuronalen Netzwerk ent­ weder in einem Trainingsmodus arbeitet, in dem das neuronale Netzwerk aus den ersten und den zweiten Daten lernt, den Satz überprüfter digitaler Protokollnachrichten zu erkennen, oder in einem Analysemodus arbeitet, in dem das Mittel mit einem neuronalen Netzwerk die ersten Daten, die zu dem über­ prüften Satz digitaler Protokollnachrichten gehören, ana­ lysiert, wodurch der Protokollanalysator mit einem Mittel ausgestattet wird, um einen Satz digitaler Protokollnach­ richten zu erlernen, der zu einem richtig arbeitenden Kom­ munikationsprotokoll gehört, und um zu erkennen, ob ein an­ schließend überprüftes Kommunikationsprotokoll, das dem er­ lernten Kommunikationsprotokoll entspricht, falsch arbei­ tet.

2. Protokollanalysator nach Anspruch 1 mit einem ersten Da­ tenspeicher, der mit dem Überprüfungsmittel und dem Mittel mit einem neuronalen Netzwerk verbunden ist, um die ersten Daten zu speichern, die zu den digitalen, durch das Über­ prüfungsmittel überprüften Protokollnachrichten gehören, einem Datenprozessor, der mit dem ersten Datenspeicher ver­ bunden ist, um gemäß den Daten, die in dem ersten Daten­ speicher enthalten sind, die zweiten Daten zu erzeugen, die zu einem entsprechenden Satz fehlerbehafteter digitaler Pro­ tokollnachrichten gehören, und einem zweiten Datenspeicher, der mit dem Datenprozessor und den Mitteln mit einem neuro­ nalen Netzwerk verbunden ist, um die durch den Datenprozes­ sor erzeugten Daten zu speichern.

3. Protokollanalysator nach Anspruch 1 oder 2, der verwendet wird, um eine passive Protokollanalyse eines Kommunikations­ protokolls durchzuführen und bei dem das Überprüfungsmittel so eingerichtet und angeordnet ist, um an einer Schnittstel­ le zwischen zwei Kommunikationseinheiten angeschlossen zu werden, wobei über diese Schnittstelle digitale Protokoll­ nachrichten gemäß dem Kommunikationsprotokoll ausgetauscht werden.

4. Protokollanalysator nach Anspruch 2 oder 3, bei dem der Datenprozessor die zweiten Daten erzeugen kann, die zu einem Satz fehlerbehafteter Protokollnachrichten gehören, wobei der fehlerbehaftete Satz alle Protokollnachrichten mit einer fehlerbehafteten Stelle für jede richtige Protokollnachricht umfaßt.

5. Protokollanalysator nach Anspruch 4, bei dem das Mittel mit einem neuronalen Netzwerk ein neuronales Netzwerk um­ faßt, das mit dem ersten Datenspeicher verbunden ist und aus wenigstens zwei Neuronen besteht, wobei jedes Neuron einen oder mehrere Eingänge besitzt, denen jeweils ein multiplika­ tiver Gewichtungsfaktor zugeordnet ist, wobei die Neuronen so verbunden sind, daß sie ein Netzwerk bilden, und ein oder mehrere Neuronen ein Ausgangssignal bilden, und ein Trai­ ningsmittel umfaßt, das mit dem ersten Datenspeicher und dem zweiten Datenspeicher sowie in operativer Weise mit jedem Gewichtungsfaktor und dem Ausgangssignal von dem neuronalen Netzwerk verbunden ist, um im Trainingsmodus so zu wirken, daß die Gewichtungsfaktoren in Abhängigkeit von den Daten, die in dem ersten Datenspeicher und in dem zweiten Daten­ speicher gespeichert sind, und einem Ausgangssignal von dem neuronalen Netzwerk eingestellt werden, wobei dieses Trai­ ningsmittel im Analysemodus blockiert ist, wodurch Mittel zum Trainieren des neuronalen Netzwerks im Trainingsmodus und zum nachfolgenden Analysieren der Protokollnachrichten eines Kommunikationsprotokolls im Analysemodus geliefert werden.

6. Protokollanalysator nach Anspruch 5, bei dem das neurona­ le Netzwerk, das einen Teil des Mittels mit einem neuronalen Netzwerk bildet, aus einem neuronalen Netzwerk vom Rück­ wärtsausbreitungstyp besteht, das mehrere in wenigstens zwei Schichten angeordnete Neuronen umfaßt, wobei die Anzahl der Neuronen in einer ersten Schicht proportional zur Anzahl der Stellen in den digitalen Protokollnachrichten ist, die Neu­ ronen in einer Schicht mit den Neuronen in einer nachfolgen­ den Schicht verbunden sind, und ein Ausgangsneuron mit der letzten Neuronenschicht zur Bildung des Ausgangssignals ver­ bunden ist.

7. Protokollanalysator nach Anspruch 6, bei dem die Neuronen innerhalb des neuronalen Netzwerks aus einem Summiermittel, das mit allen Eingängen des Neurons zur Summierung der von diesen empfangenen gewichteten Signale verbunden ist, und einem Schwellenmittel bestehen, das mit dem Ausgang des Sum­ miermittels zum Erzeugen eines Ausgangssignals gemäß dem Pegel des Ausgangssignals von den Summiermitteln verbunden ist.

8. Protokollanalysator nach einem der vorhergehenden An­ sprüche, bei dem der Protokollanalysator einen dritten Da­ tenspeicher zum Speichern eines Satzes von Gewichtungsfak­ toren von dem neuronalen Netzwerk enthält, die zu einem be­ stimmten Protokoll gehören, für das das neuronale Netzwerk trainiert wurde, wodurch eine Möglichkeit geschaffen wird, den Protokollanalysator in selektiver Weise dazu zu verwen­ den, eine Anzahl verschiedener Protokolle zu erlernen.

9. Protokollanalysator nach Anspruch 8, bei dem der Proto­ kollanalysator einen Gewichtungsfaktor-Selektor enthält, der mit dem dritten Datenspeicher und dem Mittel mit einem neu­ ronalen Netzwerk verbunden ist, um aus dem dritten Daten­ speicher die für ein bestimmtes Protokoll erlernten Gewich­ tungsfaktoren in selektiver Weise wieder abzurufen und um die Gewichtungsfaktoren des neuronalen Netzwerks gemäß einem zu analysierenden Protokoll zu ersetzen.

10. Verfahren, um ein neuronales Netzwerk so zu trainieren, daß es ein Kommunikationsprotokoll erkennt, wobei das Ver­ fahren aus dem Herleiten eines Satzes richtiger Protokoll­ nachrichten gemäß einem richtig arbeitenden Kommunikations­ protokoll, dem Erzeugen eines Satzes fehlerbehafteter Proto­ kollnachrichten, dessen fehlerbehafteter Satz aus allen Pro­ tokollnachrichten mit einer fehlerbehafteten Stelle besteht, die zu jeder Protokollnachricht in dem Satz richtiger Proto­ kollnachrichten gehören, und dem Trainieren des neuronalen Netzwerks mit einem Trainingsalgorithmus besteht, der den richtigen Satz von Protokollnachrichten als einen gewünsch­ ten Trainingssatz verwendet und den fehlerbehafteten Satz von Protokollnachrichten als einen negativen Trainingssatz verwendet.