DE60000307T2

DE60000307T2 - Verfahren und Vorrichtung zur Feststellung von Service Abweichungen in transaktionsorientierten Netzwerken

Info

Publication number: DE60000307T2
Application number: DE60000307T
Authority: DE
Inventors: Campbell Lap-Wah Lawrence Ho.
Original assignee: Lucent Technologies Inc
Current assignee: Nokia of America Corp
Priority date: 1999-06-29
Filing date: 2000-06-13
Publication date: 2003-04-10
Anticipated expiration: 2020-06-14
Also published as: US6597777B1; DE60000307D1; EP1065827B1; EP1065827A1; JP2001057555A

Description

Technisches Gebiet

Die vorliegende Erfindung betrifft die proaktive Fehlererkennung und Anomalieerkennung auf Transaktionsnetzen.

Allgemeiner Stand der Technik

Transaktionsorientierte Netze, wie zum Beispiel das TAS-Netz (Transaction Access Services) von AT&T liefern allgegenwärtige Wähl-zu-Paket-Dienste zum Führen von Transaktionsverkehr kurzer Dauer. Die durchschnittliche Benutzung des TAS-Netzes kann an einem wenig geschäftigen und typischen Tag auf Millionen von Transaktionen kommen. Die Benutzung solcher Transaktionsnetze steigt weiter mit hoher Geschwindigkeit an. Typische Transaktionen unterstützen Kassenanwendungen und -dienste (z. B. Kredit-/Guthabenkartenauthorisierungen und Bezahlungen), Krankenkassenanwendungen, Bank- und Verkaufsanwendungen und andere datengestützte Verkaufsanwendungen.
Bei solchen transaktionsorientierten Netzen kann es sich um großflächige Netze (WANs) für Daten, Telekomm oder eine Kombination von Daten und Telekomm handeln, die solche Transaktionen kurzer Dauer (mit einer Dauer in der Größenordnung von Sekunden) zwischen einer Menge von Endgeräten (z. B. Kreditkarten-Scanner oder PCs) und einer Menge von Verarbeitungs-Servern (z. B. Kreditverarbeitungs-Servern) versorgen. Fig. 1 zeigt ein typisches Netz 101, wie zum Beispiel das TAS-Netz von AT&T, mit dem sehr viele Endgeräte verbunden sind, wie zum Beispiel Kreditkarten-Scanner 102-1-102-N und mehrere Host-Prozessoren 103-1-103-M. Das TAS-Netz von AT&T umfaßt drei Komponenten: ein AT&T-800-Netz 104, TAS-Knoten 105 und das AT&T-Paketnetz 106. Das TAS-Netz 101 ermöglicht eine transaktionsorientierte Kommunikation zwischen beliebigen der angeschlossenen Endgeräte 102, die geographisch über das gesamte Land verstreut sind, und ihrem gekennzeichneten bestimmten Verarbeitungs-Host. Der Zugang der mehreren Endgeräte 102 zu dem TAS-Netz erfolgt durch das 800-Netz 104, das an der Menge von TAS-Knoten (Modems) 105 abgeschlossen ist, in denen die POTS-zu-Paket-Protokollumsetzung bewirkt wird. Diese Knoten verwenden die Ziffern des Identifikationsdienstes für die gewählte Nummer (DNIS), die von den 4ESSTM-Vermittlungen in dem 800-Netz bereitgestellt werden, um vermittelte virtuelle Leitungen (SVCs) in dem Paketnetz 106 herzustellen. Das Paketnetz 106 schließt die Verbindung zwischen einem einzelnen Endgerät 102-i, das eine Transaktion eines bestimmten Typs einleitet, und dem bestimmten Host- Prozessor 103-j, der diesen Typ von Transaktion abschließen kann, ab.
Das TAS-Netz 101 unterstützt gleichzeitig Transaktionen mehrerer Dienstklassen, wobei jede Dienstklasse einen verschiedenen Typ von Transaktion darstellt. Zum Beispiel fallen VISA®-Kreditkartentransaktionen, die an den bestimmten VISA-Host-Prozessor gerichtet sind, der solche Transaktionen behandelt, in eine Klasse, MasterCard®-Kreditkartentransaktionen, die an den Mastercard-Host-Prozessor gerichtet sind, der solche Transaktionen behandelt, fallen in eine andere Klasse, Gesundheits-Kartentransaktionen für einen bestimmten pharmazeutischen Anbieter, die an den Host-Prozessor dieses Anbieters gerichtet sind, fallen in eine dritte Klasse usw. Transaktionen zwischen Klassen weisen wahrscheinlich sehr unterschiedliche zeitliche Kenngrößen auf, wie zum Beispiel die mittlere Transaktionsdauer und die Dauerverteilung, aufgrund der diversen Beschaffenheit des Typs von Transaktionen, die zwischen Klassen unterstützt werden. Zum Beispiel würde erwartet, daß eine Kreditkartenauthorisierung für einen Kauf unter Verwendung einer VISA-Kreditkarte eine kürzere Dauer aufweist als eine Gesundheits- Kartentransaktion, die mit einer Medikamenten- Nachfüllbestellung zusammenhängt.
Aufgrund der ungeheuer großen Anzahl von Transaktionen, die auf dem Netz unterstützt wird, ist es äußerst wichtig, daß Netzausfälle und Leistungsverschlechterungen möglichst gering gehalten werden. Ein Netzausfall oder eine Leistungsverschlechterung könnten zum Beispiel leicht die Fähigkeit von Verbrauchern in dem gesamten Land, mit ihren Kreditkarten Einkäufe zu tätigen, beeinträchtigen. Ein solches Szenario würde zu ernsthaften ökonomischen Auswirkungen für ein großes Segment der Business-Gemeinschaft führen. Sogar der Ausfall oder die Leistungsverschlechterung eines bestimmten einzelnen Host-Prozessors kann sich stark auf die Leistungen anderer Dienstklassen und des Netzes als Ganzes auswirken.
Zur Zeit überwachen und verwalten Netzmanagementsysteme die TAS-Knoten 105 in dem TAS-Netz 101, um Leistungsausfall in den Modem-Schaltkreisen zu erkennen. Solche Systeme reagieren auf einen harten Ausfall, wenn dieser auftritt. Ähnlich überwachen Managementsysteme Vermittlungen in dem 800-Netz 104 und Vermittlungen in dem Paketnetz 106 und reagieren ebenfalls nur auf tatsächliche Ausfälle auf dem überwachten Teil des Netzes. Somit werden nur das Netz selbst und die Komponenten, aus denen das Netz besteht, gerade überwacht und innerhalb des Netzes verwaltet. Bei solchen Managementsystemen kann der Ausfall oder die Leistungsverschlechterung von keinen nicht verwalteten Elementen erkannt werden.
Es ist jedoch häufig der Ausfall oder die Leistungsverschlechterung eines nichtverwalteten Elements, der bzw. die sich sehr nachteilig auf das gesamte Netz auswirken kann. Zum Beispiel kann die Leistungsverschlechterung eines Host-Prozessors, der Transaktionen in einer bestimmten Dienstklasse versorgt, nicht nur zu einer Verweigerung des Dienstes für diese eine Dienstklasse, sondern auch für Transaktionen in anderen Dienstklassen führen, die von anderen Host-Prozessoren versorgt werden, da alle Dienstklassen dieselbe Netzinfrastruktur und -betriebsmittel gemeinsam nutzen. Während Perioden mit hoher Verkehrsintensität, wie zum Beispiel während der Weihnachts-Einkaufssaison können außerdem Betriebsmitteldienste für die Dienstklassen VISA und MasterCard überlastet werden, was zu einer Betriebsmittelentführung von diesen dominanten Dienstklassen von anderen, weniger dominanten Dienstklassen führt, was zu einer Zugangsverweigerung für Transaktionen in diesen anderen, weniger dominanten Dienstklassen führt. Weiterhin bleibt auf der Transaktionseingangsseite des Netzes ein allgemeiner Ausfall von unverwalteten Transaktionensendgeräten, die einer bestimmten Dienstklasse zugeordnet sind, durch ein Netzmanagementsystem, das nur Netzelemente überwacht, unerkannt.
Es ist deshalb wünschenswert, in der Lage zu sein, die Netzleistung in Echtzeit zu messen und zu analysieren, woraus eine Anomalie erkannt werden kann, bevor ein tatsächlicher Ausfall auftritt, so daß rechtzeitig Korrekturmaßnahmen ausgeführt werden können, um Ausfälle zu vermeiden. Die Fehlererkennung auf einem lokalen Netz unter Verwendung der Anomalieerkennung wird von F. Feather, D. Siewiorek und R. Maxion in einer Arbeit mit dem Titel "Fault Detection in and Ethernet Using Anomaly Signature Matching", Computer Cornmuni ca tion Revi ew (ACM SIGCOMM' 93), Band 23, Nr. 4, Oktober 1993, beschrieben. Wie in dieser Arbeit beschrieben, werden beobachtbare Netzleistungsdaten direkt analysiert, um Anomalien zu erkennen. Es hat sich jedoch herausgestellt, daß eine Analyse von direkt beobachteten Netzleistungsdaten nicht empfindlich genug ist, damit Anomalien außerhalb des Netzes erkannt und somit proaktiv korrigiert werden können. Außerdem betreffen die von Feather et al. vorgeschlagenen Techniken im wesentlichen die Umgebung eines lokalen Ethernet-Netzes (Ethernet-LAN).
C. S. Hood und C. Ji beschreiben die Fehlererkennung auf einem bayesischen Netz unter Verwendung der Anomalieerkennung in einer Arbeit mit dem Titel "Probalistic Network Fault Detection", Global Telecommunications Conference (Globecom), IEEE, 18. November 1996 (18.11.1996), Seiten 1872-1876. Diese Arbeit beschreibt ein System, bei dem geringfügige Änderungen der Beschaffenheit gemessener Variablen aus einem bayesischen Netz durch Verwendung von Parametern eines autoregressiven Prozesses zweiter Ordnung bestimmt werden. Dann wird eine Wahrscheinlichkeitsfunktion, daß das Netz für eine gegebene Menge von Variablen abnormal ist, abgeschätzt. Spitzen in dieser zeitabhängigen Wahrscheinlichkeitsverteilung liefern eine Anzeige einer starken Wahrscheinlichkeit des Vorliegens einer Anomalie in dem Netz.

Kurze Darstellung der Erfindung

Die unabhängigen Ansprüche definieren ein Verfahren und einen Detektor gemäß der Erfindung. Bevorzugte Formen werden in den abhängigen Ansprüchen definiert.
Gemäß der vorliegenden Erfindung wird eine proaktive und automatische Erkennung von Netzausfällen und Leistungsverschlechterungen erzielt, indem zunächst Echtzeit-Netzleistungsdaten in eine auf Leistung basierende Zielfunktion umgesetzt werden. Die Zielfunktion, die aktuelle Echtzeitdaten verwendet, ist direkt mit den bestimmten Anomalien korelliert, die die Netzüberwachungsvorrichtung zu erkennen versucht. Diese Zielfunktion, die aus aktuellen Daten erzeugt wird, wird dann mit derselben Zielfunktion verglichen, die aus Vorgeschichte-Leistungsdaten vorhergesagt wird, um Anomalien in der Zielfunktion zu bestimmen, die aus den aktuellen Daten erzeugt wird, die probabilistisch einen potientiellen Fehler bedeuten. Durch einen solchen Echtzeitvergleich können Warnungen erzeugt werden, wenn in der aus den aktuellen Daten erzeugten Zielfunktion Anomalien erkannt werden.
Bei der Ausführungsform der vorliegenden Erfindung wird eine Zielfunktion, die zur Charakterisierung der Leistung von transaktionsorientierten Netzen verwendet wird, als Verkehrsintensität definiert. Für jede Transaktion ist die Transaktion durch die Dienstklasse, zu der die Transaktion gehört, die Startzeit der Transaktion und die Dauer der Transaktion gekennzeichnet. Aus aktuellen Transaktionsdaten wird für jede Dienstklasse eine zeitabhängige Verkehrsintensität berechnet, die als gleich der Gesamtzahl aktiver Transaktionen auf dem überwachten Netz, die in ein berechnetes Ablegeintervall fallen, definiert ist. Dieses Ablegeintervall wird für jede Dienstklasse adaptiv und dynamisch aus jüngsten Vorgeschichtetransaktionsdatensätzen bestimmt und ist eine Funktion des Median und der Wahrscheinlichkeitsverteilung der Transaktionsdauer für diese bestimmte Dienstklasse aus solchen vergangenen Daten. Aus einem größeren vergangenen Zeitrahmenfenster von Vorgeschichtedaten werden eine vorhergesagte Grundlinie und obere und untere zeitabhängige Verkehrsintensitätsschwellen für jede Dienstklasse unter Verwendung dieses Ablegeintervalls bestimmt. Eine Anomalie wird erkannt, wenn die Echtzeit- Verkehrsintensität zu einem bestimmten Zeitpunkt, die aus den aktuellen Daten unter Verwendung des bestimmten Ablegeintervalls berechnet wird, länger als ein vorbestimmtes Zeitintervall lang größer als die vorhergesagte zeitabhängige obere Schwelle oder kleiner als die vorhergesagte zeitabhängige untere Schwelle ist. Um die Entwicklung des Netzverkehrs zu berücksichtigen, werden die jüngsten Leistungsdaten periodisch mit den Vorgeschichtedaten integriert, um die Leistungsschwellen und die Grundlinie zu aktualisieren. Bei Erkennung einer Anomalie kann eine Warnung ertönen, wie zum Beispiel durch eine graphische Benutzeroberfläche (GUI), um eine Netzbedienungsperson auf das Vorliegen von Netzanomalien und -fehlern hinzuweisen. Die Bedienungsperson kann dann die Dienstklasse oder -klassen identifizieren, die der Anomalie zugeordnet sind, und die mögliche Ursache bzw. die möglichen Ursachen der Anomalie bestimmen. Als Alternative oder in Zusammenwirkung mit einer GUI kann bei Erkennung einer Anomalie eine Netzsteuermodul für eine automatische Rückkopplung und Steuerung, wie zum Beispiel das Ablösen eines potentiell ordnungswidrigen Host-Prozessors, oder zur Einleitung eines Umlenkmoduls signalisiert werden. Bei Erkennung einer Anomalie werden die Daten, die zu dieser Anomalie führen, aus der Datenbank entfernt, um eine Verwendung dieser Daten als Teil der zur Berechnung von Ablegeintervallen und der Grundlinie und der oberen und unteren Schwelle verwendeten Vorgeschichtedaten zu verhindern.

Kurze Beschreibung der Zeichnung

Fig. 1 ist ein Blockschaltbild eines vorbekannten Transaktionsnetzes eines Typs, für den die vorliegende Erfindung Anomalien mit Ursprung innerhalb oder außerhalb dieses Netzes erkennen kann;
Fig. 2A-2G zeigen die normierten Wahrscheinlichkeitsverteilungsfunktionen von Transaktionsdauern für eine bestimmte Dienstklasse für jeweils einen Montag- Sonntag;
Fig. 3 zeigt, wie die Verkehrsintensität bestimmt wird, an einem Ankunftsdiagramm, das als Pfeile dargestellte Transaktionen zeigt;
Fig. 4A-4G zeigen die Verkehrsintensitäten, die jeweils den Wahrscheinlichkeitsverteilungsfunktionen in Fig. 2A-2G entsprechen;
Fig. 5A-5C zeigen auf einer einzigen Zeitskala die Wochen-lange Verkehrsintensität, die entsprechenden Wochentag- und Wochenend-/Feiertagbeiträge bzw. eine entsprechende Fehlerfunktion;
Fig. 6 ist ein Blockschaltbild der Architektur des Transaktionsanomalieerkennungssystems der vorliegenden Erfindung;
Fig. 7 ist ein Funktionsblockschaltbild eines Regelgeneratorprozessors in dem Anomalieerkennungssystem von Fig. 6;
Fig. 8 ist eine Visualisierungsinstanz auf einer GUI für eine bestimmte Dienstklasse, die während normalen Betriebsbedingungen erzeugt wird, wobei die Echtzeit- Verkehrsintensität bis zu einem aktuellen Zeitpunkt gezeigt ist;
Fig. 9 ist eine Visualisierungsinstanz auf einer GUI einer anomalen Bedingung, die bei einem Abstürzen eines Transaktions-Servers für eine bestimmte Dienstklasse erzeugt wird, wenn diese Bedingung nicht von der vorliegenden Erfindung erkannt wird; und
Fig. 10 ist ein Flußdiagramm, das das Verfahren der vorliegenden Erfindung zusammenfaßt.

Ausführliche Beschreibung

Die vorliegende Erfindung wird nun für das Erkennen von Netz-/Dienstanomalien auf einem transaktionsorientierten großflächigen Netz (WAN), wie zum Beispiel dem in Fig. 1 gezeigten AT&T-Transaktions-Zugangs- Dienst-Netz (TAS-Netz) 101, beschrieben. Es versteht sich, daß die beschriebene Ausführungsform nicht auf das Erkennen von Netz-/Dienstanomalien dieser Art von Netz oder unbedingt auf einen WAN beschränkt ist. Statt dessen kann die Erfindung auf die Erkennung von Netz-/Dienstanomalien einer beliebigen Art von Netz angewandt werden, aus dem aus gerade beobachtbaren Echtzeit-Netzleistungsdaten eine Zielfunktion erzeugt werden kann, und bei dem diese Zielfunktion dann mit der Zielfunktion verglichen werden kann, die aus Vorgeschichte-Netzleistungsdaten erzeugt wird, um eine Anomalie in der aus aktuellen Leistungsdaten erzeugten Zielfunktion zu erkennen.
Auf dem vorliegenden transaktionsorientierten Netz 101 in Fig. 1, das Transaktionen kurzer Dauer zwischen einer Menge von Endgeräten 102-1 - 102-N und mehreren Host-Prozessoren 103-1-103-M versorgt, wird jede Transaktion eindeutig durch das folgende 4-Tuple identifiziert:
(i, s, ti.s, Δti.s) (2)
Hierbei bedeutet
- "i" die Transaktionskennung,
- "s" die Dienstklassenkennung, zu der die Transaktion gehört,
- ti.s die Startzeit der Transaktion und
- Δti.s die Dauer der Transaktion (für jede Dienstklasse "s" weist Δti.s einen Median, ein oberes und ein unteres Quartil und eine Wahrscheinlichkeitsverteilungsfunktion auf).
Die Transaktionskennung identifiziert eindeutig eine Transaktion (z. B. ein Zähler positiver ganzer Zahlen, während Transaktionen in dem Netz hervortreten). Die Dienstklassenkennung identifiziert, zu welcher Dienstklasse eine Transaktion gehört. Zum Beispiel sind eine VISA-Kreditkartentransaktion und eine mit der Gesundheitsversorgung zusammenhängende Transaktion (z. B. eine Medikamenten-Nachfüllbestellung) zwei verschiedene Klassen von Transaktionen. Sie gehören zu zwei verschiedenen Dienstklassen (bei einem typischen Mehrfach-Dienstklassen-Netz kann die Anzahl von Dienstklassen mehrere zehn oder sogar hunderte betragen), wobei eine eine wesentlich längere Median- Transaktionsdauer als die der anderen aufweist. Formal weist jede Transaktionsdienstklasse ihre eigene Median- Transanktionsdauer, ihr eigenes oberes und unteres Quartil und ihre eigene Wahrscheinlichkeitsverteilungsfunktion (PDF) von Transaktionsdauern auf.
Innerhalb jeder Dienstklasse zeigt eine Analyse der Transaktionsdaten (das 4-Tuple von Gleichung 1) eine beständige wochentägliche Dauerverteilung auf, möglicherweise mit einer anderen Dauerverteilung an jedem Wochenendtag oder an Feiertagen. Als Beispiel zeigen Fig. 2A-2G die normierten Wahrscheinlichkeitsverteilungen von Transaktionsdauern für eine bestimmte Dienstklasse, die hier als Dienstklasse 1 bezeichnet wird, jeweils für Montag-Sonntag. Um eine zuverlässige und effektive Netz-/Dienstanomalieerkennung zu entwickeln, müssen die statistischen Eigenschaften der beobachtbaren Zufallsgrößen (wie zum Beispiel der Transaktionsdauer) zeitlich relativ invariant (und daher im Mittel in die Zukunft vorhersehbar) sein. Aus den PDFs der Transaktionsdauer der Dienstklasse 1 in Fig. 2A-2G ist ihre tägliche Montag-Freitag-Wochentag- Wiederholbarkeitsbeschaffenheit beobachtbar. Weiterhin konnte auch eine wöchentliche Wochenend- und Feiertagsbeständigkeit beobachtet werden (nicht gezeigt).
Gemäß der vorliegenden Erfindung ist die Zielfunktion, die für die Anomalieerkennung gewählt wird, eine auf Dienstklassen basierende Verkehrsintensität. Verkehrsintensitäten werden direkt aus der beobachteten Transaktionsdauer und der Transaktionseinleitungszeit für die Transaktionen in jeder Dienstklasse berechnet. Die Verkehrsintensität ist ein Maß für die Anzahl aktiver Transaktionen, die als Funktion der Zeit einer bestimmten Dienstklasse gewidmet werden, unter Berücksichtigung der Größe eines Ablegeintervalls δT. Wie später besprochen wird, ist das Ablegeintervall δT eine Variable, die als Funktion der Median- Transaktionsdauer bestimmt wird, so daß probabilistisch ein sehr großer Anteil aller Transaktionen eine Dauer von weniger als dem Ablegeintervall aufweist. Fig. 3 zeigt Transaktionen, die als Pfeile in einem Ankunftsdiagramm dargestellt sind (die x-Achse stellt die ablaufende Zeit in Einheiten von δT dar, während die y-Achse die verschiedenen Transaktionen überspannt, die von einer ganzzahligen Menge von Transaktionskennungen dargestellt werden).
Mit dieser Darstellung werden die Startzeiten von Transaktionen als die Anfänge der Transaktionspfeile dargestellt, während die Transaktionsdauer durch die Länge der Transaktionspfeile dargestellt wird. In jedem Ablegeintervall der Dauer δT ist die Verkehrsintensität gleich der Gesamtzahl von Transaktionen, die entweder teilweise oder komplett in diese Ablage fallen. Die Transaktionszahl wird durch Summieren aller Transaktionen (d. h. Pfeile), die in diese Ablage fallen δT, berechnet, und die Verkehrsintensität Is für eine Dienstklasse s zum Zeitpunkt Tns wird gegeben durch:
Is(Tn,s) = Δti/δTs T = Tn,s; Tn,s = n · δTs, n = 0, 1, ..., Ns (2)
Für die sechs in Fig. 3 gezeigten beispielhaften Transaktionen enthält die erste Ablage (0 < T ≤ δT) alle sechs Transaktionen und daher sechs Einheiten (Kreise oder Erlang) der Verkehrsintensität; die zweite Ablage (δT < T ≤ 2δT) enthält vier Transaktionen und daher vier Einheiten der Verkehrsintensität; und die dritte Ablage (2δT < T ≤ 3δT) enthält zwei Transaktionen und daher zwei Einheiten (Kreise oder Erlang) der Verkehrsintensität.
Es folgt nun unmittelbar die mathematische Grundlage und Bestätigung aus tatsächlichen Daten, die die Verwendung der Verkehrsintensität als Zielfunktion, die für die Anomalieerkennung gemäß der vorliegenden Erfindung verwendet werden kann, rechtfertigt. Nach dieser Analyse wird die Anomaliedetektionsmethodologie der vorliegenden Erfindung beschrieben.
Die Montag-Sonntag-Verkehrsintensitäten der sogenannten Dienstklasse 1 sind jeweils in Fig. 4A-4G gezeigt, so wie sie aus den entsprechenden PDFs (Fig. 2A-2G) unter Verwendung der mathematischen Definition der Verkehrsintensität von Gleichung (2) erzeugt werden. Das Ablegeintervall, mit dem die Verkehrsintensitäten in diesen Figuren erzeugt werden, wurde als 23,6 s gewählt. Wie bereits erwähnt und noch weiter erläutert werden wird, ist das Ablegeintervall eine Funktion des Median von Transaktionen, so daß Transaktionen mit hoher Wahrscheinlichkeit, anormal zu sein, in den Verkehrsintensitäten hervorgehoben werden. Aus diesen Daten stellt das Ablegeintervall von 23,6 s viermal die Median-Transaktionsdauer aus Vorgeschichtedaten in der bestimmten beobachteten Dienstklasse dar.
Aus einer Analyse einer großen Datenmenge (Daten von einem Jahr) der auf Dienstklassen basierenden Verkehrsintensitäten wurde gefunden, daß tägliche wöchentliche und Wochenende-/Feiertagskomponenten existieren. Durch eine Analyse der Varianz kann die Verkehrsintensität für eine Dienstklasse "s" durch die folgende nichtstationäre Zeitreihe approximiert werden:
Is(t) = α (t) + B (t) + &epsi;s(t), (3)
wobei α(t) der Wochentag-Beitrag zu der Verkehrsintensität, β(t) der Wochenende-Beitrag (Samstag, Sonntag und Feiertag) und &epsi;(t) die Fehlerfunktion (relative Fluktuation) ist, die effektiv die Abweichung der Verkehrsintensitäten von den Wochentag- und Wochenende-Grundlinien mißt. Fig. 5A-5C zeigen auf einer einzigen Zeitskala die Wochen-lange Verkehrsintensität der Dienstklasse 1 in Fig. 5A, den entsprechenden Wochentag-Beitrag α(t) und den Wochenende-/Feiertagbeitrag β(t) in Fig. 5B, sowie die entsprechende Fehlerfunktion &epsi;(t) in Fig. 5C. An einem Wochentag gilt: β(t) = 0 für alle t; an einem Tag des Wochenendes: α(t) = 0 für alle t. Es zeigt sich, daß der zeitliche Mittelwert von &epsi;(t) eine Potenzabhängigkeit zu dem zeitlichen Mittelwert von α(t) und β(t) aufweist, so daß folgendes gilt:
[&epsi;(t)]² t { [α(t)]² t}r, 1,1 ≤ r ≤ 1,5, (4)
wobei die zeitlichen Mittelwerte über eine Dauer von einer Größenordnung größer als das Ablegeintervall genommen werden (für die der Dienstklasse 1 zugeordneten Daten beträgt diese Zahl 240 Sekunden).
Die α(t) und β(t) der Dienstklassen können durch die folgenden Beziehungen approximiert werden:
so daß das aktuelle α(t) und β(t) aus einer Reihe von α(t)s und β(t)s und einem Skalierungsfaktor cs und ds aus den vorherigen fünf Wochentagen und vier vorherigen Wochenendtagen (einen Monat) unter Berücksichtigung der Fehler Δs vorhergesagt (d. h. extrapoliert) werden können. In der Praxis werden die Skalierungsfaktoren cs und ds aus den Verhältnissen der α(t)s und β(t)s der vorherigen Woche bzw. des vorherigen Monats bestimmt, d. h.
wobei die inneren zeitlichen Mittelwerte für die Dauer von 10 Ablegeintervallen berechnet werden, während der äußere Mittelwert für den gesamten Tag (oder 4 Wochen im Fall des ds) berechnet werden. Typische Werte von Δ liegen im Bereich von 5% bis 15%, so daß die Vorhersage von Verkehrsintensitäten sehr zuverlässig wird, und dieser Umstand wird von der Anomalieerkennungsmethodologie der Erfindung ausgenutzt.
Da nun somit die oben definierte und beschriebene Verkehrsintensität als eine Zielfunktion gerechtfertigt worden ist, wird nun die Verwendung dieser Funktion, die aus den Netz-Transaktionsdaten abgeleitet wird, für die adaptive Netzanomalieerkennung gemäß der vorliegenden Erfindung beschrieben. Allgemein gesagt, besteht die adaptive Anomalieerkennungsmethodologie aus drei Prozeßbestandteilen: 1) für jede Dienstklasse wird ein Ablegeintervall als eine Funktion des Median von Transaktionsdauern vergangener Transaktionsdaten bestimmt, wobei das Ablegeintervall so gewählt wird, daß aus der Verteilung von Transaktionsdauern in den zur Ableitung des Ablegeintervalls verwendeten Daten nur ein kleiner Anteil (z. B. ≤10%) von Transaktionsdauern größer als das Ablegeintervall ist; 2) unter Verwendung des in dem ersten Prozeß für jede Dienstklasse bestimmten Ablegeintervalls werden die zeitlich-basierte Grundlinie und obere und untere Schwellen-Leistungs-Schwellen der Verkehrsintensität (entsprechend dem oben beschriebenen prädiktiven α(t), β(t) und &epsi;(t)) für jede Dienstklasse aus Vorgeschichte- Transaktionsdaten abgeleitet; und 3) in jeder Dienstklasse und unter Verwendung des für diese Klasse in dem ersten Teil bestimmten Ablegeintervalls werden Echtzeit-Transaktionsdaten in eine zeitliche Verkehrsintensität umgesetzt und mit den zeitlichen oberen und unteren Schwellen verglichen, um zu bestimmen, ob die Echtzeit-Verkehrsintensität die oberen oder unteren Schwellen übersteigt oder unter diese fällt, beziehungsweise, wenn dies der Fall ist, um welchen Grad und für wie lange. Aus diesem Vergleich kann das Vorliegen einer anormalen Bedingung erkannt werden und es kann entweder manuell durch Eingriff durch die Bedienungsperson oder automatisch durch Netzsteuermodule darauf reagiert werden.
Der Netzanomaliedetektor, der die drei oben beschriebenen Funktionsprozesse durchführt, wird bei der Ausführungsform der vorliegenden Erfindung als Echtzeitsoftware implementiert, die die Leistungsdaten des verwalteten Netzes adaptiv für jede Dienstklasse in eine Zielfunktion umsetzt (d. h. Verkehrsintensität), um Anomalien in der Verkehrsintensität in jedem Dienst in bezug auf vorgeschichtliche Grundlinien oder statistisch erwartetes Verhalten solcher Verkehrsintensitäten zu erkennen, wobei diese Anomalien Signaturen von weichen und harten Netzfehlern sind.
Bei dem ersten Prozeß werden die durch Netzvermittlungen erzeugten Transaktionsdatensätze gemäß einer Ablegestrategie, die von der vorgeschichtlichen Leistung der in Frage kommenden Dienstklasse abhängt, abgelegt, um Transaktionen zu erkennen, die mit hoher Wahrscheinlichkeit anormal sind. Durch Verwendung von Gleichung (2) werden Transaktionsdauern (mit dem Zeitstempel ti) berechnet, um in diskreten Zeitintervallen für jede Dienstklasse Verkehrsintensitäten zu bilden. Die Verkehrsintensität einer Dienstklasse liefert ein Maß der Gesamtzahl von Leitungen, die dieser Dienstklasse in Echtzeit zugewiesen werden. Für eine Dienstklasse "i" wird ihre Verkehrsintensität Is(Tn,s) zu diskreten Zeitpunkten Tn,s (n ist eine ganze Zahl, wobei ihr Maximalwert Ns die Gesamtzahl täglicher Zeitintervalle bestimmt) durch Gleichung (2) gegeben, wobei Transaktionen in einer Zeitablage (definiert durch das Ablegeintervall δTs, das dienstklassenabhängig ist) für die Dienstklasse summiert werden; und NS = (24 · 60 · 60)/δTs (wobei die Einheit von δTs s ist) ist die tägliche Anzahl von Zeitablagen von "s". Das Ablegeintervall δTs wird adaptiv und dynamisch aus vorgeschichtlichen Transaktionsdatensätzen bestimmt. Bei der bestimmten Ausführungsform der vorliegenden Erfindung umfassen die zur Bestimmung von δTs verwendeten vorgeschichtlichen Transaktionsdatensätze Transaktionsdatensätze für einen vergangenen Tag in dieser Dienstklasse. Der Wert von δTs hängt mit dem Median von Transaktionsdauern aus diesen Vorgeschichtedaten und der PDF dieser Transaktionsdauern in einer Dienstklasse zusammen und wird so bestimmt, daß nur ein kleiner Anteil von Vorgeschichte-Transaktionsdauern (z. B. 5%) dieses Ablegeintervall überschreitet. Wenn dieses Ablegeintervall auf Echtzeit-Transaktionsdaten angewandt wird, werden vorzugsweise somit Transaktionen, die mit hoher Wahrscheinlichkeit anormal sind, hervorgehoben.
Bei der Ausführungsform der Erfindung ist das Ablegeintervall direkt proportional zu dem Median der Transaktionsdauer einer Dienstklasse. Genauer gesagt gilt für diese Ausführungsform
δTs = 4 · median(Δti,s), (9)
wobei der Faktor vier aus empirischen Daten so bestimmt wurde, daß probabilistisch erwartet werden kann, daß ungefähr 95% aller Transkaktionsdauern kleiner als dieses Ablegeintervall sind.
Bei dem zweiten Prozeßbestandteil werden unter Verwendung des in dem ersten Prozeß für jede Dienstklasse bestimmten Ablegeintervalls zeitlichbasierte Lesstungsmeßverkehrsintensitätsschwellen für jede Klasse mit Hilfe eines größeren Körpers von Vorgeschichtedaten bestimmt. Zur Überwachung eines TAS- oder eines TAS-artigen Transaktionsnetzes werden Verkehrsintensitätsschwellen jeder TAS-Dienstklasse in vier separate tagesbezogene Gruppen klassifiziert: Wochentage, Samstage, Sonntage und Feiertage. Die Vorgeschichtedaten für jede Dienstklasse und für jede tagesbezogene Gruppe dienen dann zur Konstruktion adaptiver zeitlicher Verkehrsintensitätsschwellen für jede TAS-Dienstklasse für jede tagesbezogene Gruppe.
Für jede der vier Schwellengruppe wird eine Menge adaptiver Schwellen bestimmt, um die erwartete Leistung von TAS-Diensten an Wochentagen, Samstagen, Sonntagen bzw. Feiertagen vorherzusagen. Jede Menge von dynamischen Schwellen (obere und untere Schwellen) ist aus einer vorhergesagten Grundlinie s(Tn,s) und einer Toleranz s(Tn,s) (wobei "~" einen vorhergesagten Wert bezeichnen) folgendermaßen zusammengesetzt:
Die Grundlinie s(Tn,s) und die Toleranz s(Tn,s) werden aus Vorgeschichte-Transaktionsdaten durch eine eindimensionale Zeitreihenanalyse berechnet und werden in den Klassen "Wochentag", "Samstag", "Sonntag" und "Feiertag" klassifiziert. Die s(Tn,s) stellen die vorhergesagten mittleren Verkehrsintensitäten von Dienstklassen dar, während die s(Tn,s) die vorhergesagten mittleren Fluktuationen der entsprechenden Verkehrsintensitäten darstellen. Sowohl die s(Tn,s) als auch die s(Tn,s) werden periodisch unter Verwendung der jüngsten Transaktionsdaten aktualisiert, um die Entwicklung des Netzverkehrs zu berücksichtigen.
Die vorhergesagten s(Tn,s) und s(Tn,s) werden aus Gleichung (5) bis Gleichung (8) berechnet, und zwar explizit als:
s(t) = αs(t) + βs(t) (13)
s(t) = { [&epsi;s(t)]² t}1/&sub2; (14)
Da das aktuelle α(t) und β(t) und &epsi;(t) durch die Gleichungen (5), (6) bzw. (7) wie bereits beschrieben aus ihren vergangenen Werten berechnet werden können, können die oberen/unteren Schwellen und die Grundlinien der zeitlichen Verkehrsintensität für eine Dienstklasse aus Vorgeschichte-Netzdaten aus dieser Dienstklasse vorhergesagt werden. Bei der spezifischen Ausführungsform der vorliegenden Erfindung werden Transaktionsdaten von fünf Wochentagen zu für Wochentage und vier aufeinanderfolgende Wochenendtage zur Bestimmung der Grundlinie und der oberen und unteren Verkehrsintensitätsschwellen in jeder Dienstklasse für Wochenendtage verwendet.
Die erwartete Leistung von TAS-Diensten wird durch die obigen Schwellen vorhergesagt, und Abweichungen (sowohl bezüglich Betrag als auch Dauer, gemäß Definition durch eine Menge von Fehlerkriterien) von dem Erwarteten sind Anzeigen von Netz-/Dienstanomalien.
Bei der Anomalieerkennung ertönt eine Warnung, die die Ankunft einer Netz-/Dienstanomalie signalisiert, wenn (1) die gemessene (in Echtzeit) Verkehrsintensität Is,measured(Tn,s) zum Zeitpunkt Tn,s über die oberen oder unteren Schwellen hinaus abweicht; und (2) der vorherige Zustand für mehr als Tpersist andauert, d. h.
wobei Es(Tn,s) ein Fehlersignal ist, das abhängig davon, ob die gemessene Verkehrsintensität unter oder über die vorhergesagten unteren bzw. oberen Schwellen fällt, folgendermaßen bestimmt wird:
wobei abhängig davon, ob der aktuelle Tag der Woche ein Wochentag, Samstag, Sonntag oder ein Feiertag ist, separate Vergleiche durchgeführt werden.
Die Wahl der Parameter "a" und Tpersist in Gleichung (15) werden experimentell bestimmt. Bei der spezifischen Ausführungsform der vorliegenden Erfindung ertönt eine Warnung, um die Erkennung einer Netz-/Dienstanomalie zu signalisieren, wenn die Echtzeit-Verkehrsintensität Is,measured(Tn,s) zum Zeitpunkt Tn,s für eine Dauer von mehr als 15 Minuten von den oberen oder unteren Schwellen abweicht, d. h.
was wiederum von dem Tag der Woche abhängt (Wochentag, Samstag, Sonntag, Feiertag). In den Gleichungen (18) und (19) wird die Wahl des Parameters 15 Minuten für eine TAS-Netzfehlermanagementausführungsform gewählt, bei der Netzleistungsdaten alle 15 Minuten geliefert werden. Anormale Ereignisse, die weniger als 15 Minuten andauern, können somit nicht in Echtzeit erkannt werden. Der Parameter a in den Gleichungen (15), (18) und (19) wird aus einer Analyse experimenteller TAS- Transaktionsdaten bestimmt.
Die Architektur des Transaktionsanomalieerkennungssystems der vorliegenden Erfindung ist in Fig. 6 gezeigt. Transaktionsdaten zum Beispiel in Form von 4-Tuples pro Gleichung (1) werden kontinuierlich am Ende jedes 15-Minuten-Intervalls aus dem überwachten Netz 601 einem Sampler-Prozessor 602 und einer Datenbank 603 zugeführt. Unter Verwendung von Transaktionsdaten von einem vergangenen Tag in jeder Dienstklasse, die aus der Datenbank 603 zugeführt werden (unter der Annahme, daß der vergangene Tag und der aktuelle Tag beides Wochentage sind) berechnet der Sampler-Prozessor 602 das Ablegeintervall für jede Dienstklasse als Funktion der Median-Transaktionsdauer unter Verwendung von Gleichung (9). Unter Verwendung des berechneten Ablegeintervalls für jede Dienstklasse verarbeitet der Sampler-Prozessor 602 die Echtzeit- Transaktionsdaten dann, um die aktuelle Echtzeit- Verkehrsintensität für jede Dienstklasse zu erzeugen. Die Echtzeit-Verkehrsintensität in jeder Dienstklasse wird dann einem Detektor-Prozessor 604 zugeführt. Außerdem werden dem Detektor-Prozessor 604 die zeitliche Grundlinie, die oberen und unteren Schwellen für jede Dienstklasse aus einem Regelgenerator- Prozessor 605 für einen Tagestyp als der aktuelle Tag zugeführt. Der Regelgenerator-Prozessor 605 leitet unter Verwendung des durch den Sampler-Prozessor 602 bestimmten Ablegeintervalls und der in der Datenbank 603 aus den Daten der vergangenen Woche für Wochentage oder Monatsdaten für Wochenendtage gespeicherten Vorgeschichtedaten die zeitliche Grundlinie, die oberen und unteren adaptiven Schwellen für jede Dienstklasse für Wochentage bzw. Wochenendtage ab. Nach der Bestimmung, daß die aktuelle Verkehrsintensität in einer beliebigen Dienstklasse für eine Dauer von 15 oder mehr Minuten über die obere Schwelle oder unter die untere Schwelle fällt, erzeugt der Detektor- Prozessor 604 eine Warnung. Diese Warnung wird einer GUI 606 und/oder einem oder mehreren Korrektursteuermodulen 607, die mit dem Netz 601 verbunden sind, zugeführt. Die GUI 606 kann eine Kontrolltafel, ein Warnungsprotokoll und eine Verkehrs- Visualisierungsvorrichtung enthalten.
Fig. 7 ist ein Funktionsblockschaltbild, das zeigt, wie der Regelgenerator-Prozessor 605 die Grundlinie und die oberen und unteren Schwellen aus Vorgeschichtedaten bestimmt. Unverarbeitete, auf Dienstklassen basierende Vorgeschichtedaten der Transaktionszeit und der Verkehrsintensität Tn,s und Is[Tn,s] aus Gleichungen (1) und (2) für eine vergangene 24-Stunden-Periode für jede Dienstklasse werden in eine Kern-Glättungsvorrichtung 701 eingegeben, die eine Dreieck-Abklingfunktion mit einer im voraus berechneten Bandbreite über den Bandbreitengenerator 702 verwendet, um die unverarbeitete Verkehrsintensität zu glätten. Der Bandbreitengenerator 702 bestimmt, wie viele Datenpunkte geglättet werden sollen. Die geglättete Verkehrsintensität des letzten 24-Stunden-Perioden-Tags wird dann ablageweise mit den entsprechenden Verkehrsintensitäten Is der vorherigen fünf Wochentage, die aus der Datenbank 603 erhalten werden, durch den Skalierer 703 dividiert. Das Ergebnis sind fünf Skalierungsfaktoren, das cs in Gleichung (8), das dann in der Datenbank 603 gespeichert wird. Die fünf Skalierungsfaktoren des nächsten Tags in der vorherigen Woche (d. h. sechs Tage zuvor) werden dann aus der Datenbank 603 abgerufen und zusammen mit den Verkehrsintensitäten Is aus den letzten 24 Stunden und den vorherigen vier Wochentagen von dem Grundliniengenerator 704 zur Berechnung der vorhergesagten Grundlinie für den kommenden Tag unter Verwendung von Gleichung (5) verwendet. Dieselbe Prozedur wird durch Gleichung (6) auf Wochenendtage angewandt, mit der Ausnahme, daß statt der Verwendung von fünf vorherigen Wochentagen vier vorherige Samstage oder Sonntage verwendet werden und die entsprechenden Skalierungsfaktoren ds in Gleichung (8) von dem Skalierer 703 berechnet werden. Die aktuelle geglättete Verkehrsintensität I wird dann von dem Relativ- Fluktuations-Generator 705 zur Berechnung der Fluktuation (σ in Gleichung (14) und Gleichung (3)) in bezug auf die nicht geglättete unverarbeitete Verkehrsintensität I verwendet. Die Fluktuation wird dann denselben Skalierungsschritten unterzogen, die oben für die Verkehrsintensität benutzt wurden, wobei der Skalierer 706 zur Berechnung seiner eigenen Wochentag- und Wochenende-Skalierungsfaktoren, der cs bzw. ds verwendet wird. Diese Skalierungsfaktoren werden dann von dem Schwellengenerator 707 zur Berechnung der vorhergesagten oberen und unteren Schwellen durch die Gleichungen (7) und (14) verwendet. Die Ausgaben des Grundliniengenerators 704 und des Schwellengenerators 707 sind die vorhergesagten Grundlinien und Schwellen für jede Dienstklasse sowohl für Wochentage als auch für Wochenenden.
Fig. 8 ist eine Visualisierungsinstanz für eine bestimmte Dienstklasse, die während normalen Betriebsbedingungen erzeugt wurde, wobei die Echtzeit- Verkehrsintensität für einen gegebenen Tag bis zu einer aktuellen Zeit gezeigt ist. Fig. 9 ist eine Visualisierungsinstanz, die die Verkehrsintensität für eine bestimmte Dienstklasse bei einem anormalen Zustand zeigt, der bei einem Abstürzen von Transaktions-Servern einer bestimmten Kreditkartenverarbeitungsdienstklasse erzeugt worden sein könnte. Diese Figur zeigt die Auswirkung auf die Verkehrsintensität für diese bestimmte Dienstklasse ohne Ausnutzung der vorliegenden Erfindung. Beim Einsetzen eines Serverausfalls belegt die ausfallende Dienstklasse unfairerweise Netzbetriebsmittel (physische Leitungen in dem Telcom- Netz und virtuelle Leitungen in dem Datennetz), was zu Spikes in der Transaktionsintensität führt. Wie in Fig. 9 gezeigt, dauert dieser Zustand mehr als zwei Stunden lang an. Die vorliegende Erfindung erkennt jedoch innerhalb der ersten 15 Minuten des Einsetzens des Serverausfalls den Umstand, daß die Verkehrsintensität dauernd die obere Schwelle übersteigt und erkennt die Dienstklasse, der der Ausfall zugeordnet ist. Bei Beobachtung der erzeugten Warnung und der Visualisierungsdaten kann ein Netzmanager dann Korrekturmaßnahmen durchführen, um die Auswirkung der bemerkten Anomalie in der Verkehrsintensität der betroffenen Dienstklasse möglichst gering zu halten. Durch Beachten der Dienstklasse, in der eine Anomalie erkannt wurde, kann der Netzmanager somit Verkehr auf dem Netz umlenken, andere Zugriffspunkte auf das Netz wählen oder die einer bestimmten betroffenen Dienstklasse zugeteilten Betriebsmittel zurückskalieren, um eine Betriebsmittelentführung durch diese betroffene Dienstklasse von anderen Dienstklassen zu verhindern. Wieder mit bezug auf Fig. 6 können zusätzlich zu oder anstatt der GUI 606 ein oder mehrere Korrektursteuermodule 607, die den Detektor 604 und das Netz 601 verbinden, auf eine erzeugte Warnung reagieren, um automatische Korrekturmaßnahmen zu treffen, wie zum Beispiel das Auslösen eines Unterbrechers zum Trennen der Versorgung für einen abstürzenden Transaktions-Server und/oder ein Umlenkmodul zum Umlenken von Verkehr in dem Netz.
Während die Zeit voranschreitet und aktuelle Transaktionsdaten in der Datenbank 603 gespeichert werden, werden die neueren Daten periodisch mit den älteren Daten integriert, so daß der Regelgenerator- Prozessor 605 bei der Bestimmung der oberen und unteren Leistungsschwellen die aktuelleren Daten verwenden kann, um die Entwicklung der Netzverkehrsstatistiken zu berücksichtigen. Wenn jedoch eine Anomalie erkannt wird, werden die aktuellen Transaktionsdaten, die diese Anomalie erzeugt haben, aus jeder Speicherstelle in der Datenbank 603, die aktuelle Daten speichert, entfernt, um zu verhindern, daß diese anormalen Daten etwaige nachfolgende Berechnungen des Ablegeintervalls und der Grundlinie und der oberen und unteren Schwellen kontaminieren.
Fig. 10 ist ein Flußdiagramm, das das Verfahren der vorliegenden Erfindung zusammenfaßt. Im Schritt 1001 wird für jede Dienstklasse unter Verwendung von Transaktionsdaten einer vergangenen Woche ein Ablegeintervall bestimmt. Im Schritt 1002 werden für jede Dienstklasse unter Verwendung des bestimmten Ablegeintervalls für diese Dienstklasse zeitliche Grundlinien, obere und untere Verkehrsintensitätsschwellen bestimmt. Im Schritt 1003 werden alle 15 Minuten aktuelle Transaktionsdaten empfangen. Diese Daten werden im Schritt 1004 gespeichert, während im Schritt 1005 für jede Dienstklasse unter Verwendung des im Schritt 1001 für jede Dienstklasse bestimmten Ablegeintervalls und der aktuellen Transaktionsdaten für jede Dienstklasse eine aktuelle zeitliche Verkehrsintensität bestimmt wird. Im Schritt 1006 wird für jede Dienstklasse die aktuelle Verkehrsintensität mit den im Schritt 1002 bestimmten zeitlich zugeordneten oberen und unteren Schwellen verglichen. Im Entscheidungsschritt 1007 wird für jede Dienstklasse bestimmt, ob die aktuelle Verkehrsintensität länger als eine vorgeschriebene Zeit lang größer als die obere Schwelle oder kleiner als die untere Schwelle ist. Wenn nicht, wird im Schritt 1009 keine Anomalie erkannt. Im Fall ja im Entscheidungsschritt 1007 wird dann im Schritt 1010 eine der Dienstklasse bzw. den Dienstklassen, für die aktuelle Verkehrsintensität die obere bzw. untere Schwelle überschritten hat oder darunter gefallen ist, eine Anomalie erkannt. Im Schritt 1011 wird die Fehlererkennung und die Entfernung einer ordnungswidrigen Dienstklasse durch eine GUI oder mit dem Netz verbundene Steuermodule bewirkt. Die Verarbeitung wird im Schritt 1003 fortgesetzt, in dem weiter neue aktuelle Transaktionsdaten empfangen und im Schritt 1004 in einer Datenbank gespeichert werden. Nach dem Schritt 1004 wird im Schritt 1012 bestimmt, ob seit der Aktualisierung der Vorgeschichtedaten, mit denen die oberen und unteren Schwellen bestimmt wurden, mit aktuelleren Daten ein größeres Intervall als ein vorbestimmtes Intervall vergangen ist. Wenn dieses vorbestimmte Intervall vergangen ist, dann werden im Schritt 1013 die Vorgeschichtedaten mit den neueren Daten aktualisiert, so daß die Grundlinie, die oberen und unteren Schwellen, die im Schritt 1002 aus Vorgeschichtedaten bestimmt wurden, statistisch die statistische Entwicklung aktueller Daten wiedergeben.
Wie bereits erwähnt, ist die vorliegende Erfindung nicht auf die Bestimmung von Anomalien auf einem großflächigen Transaktionsnetz beschränkt. Sie kann gleichermaßen auf die Bestimmung von Anomalien auf einer beliebigen Art von Netz angewandt werden, indem auf einem Netz beobachtete Leistungsdaten in eine Zielfunktion umgesetzt werden, die empfindlich auf Anomalien reagiert, die einen Netzfehler anzeigen können. Die obige Beschreibung ist deshalb lediglich ein Beispiel für die Prinzipien der Erfindung. Es versteht sich somit, daß Fachleute in der Lage sein werden, verschiedene Anordnungen zu konzipieren, die zwar hier nicht explizit beschrieben oder gezeigt wurden, aber dennoch die Erfindung, so wie sie in den Ansprüchen definiert wird, realisieren. Weiterhin sind alle Beispiele und konditionale Sprache, die hier angeführt wurden, hauptsächlich ausdrücklich nur für pädagogische Zwecke gedacht, um dem Leser ein Verständnis der Prinzipien der Erfindung und der von dem Erfinder zur Erzielung eines Fortschritts in der Technik beigetragenen Konzepte zu erleichtern und sollen nicht als Einschränkung auf solche spezifisch angeführten Beispiele und Konditionen aufgefaßt werden. Außerdem sollen alle Aussagen, die hier Prinzipien, Aspekte und Ausführungsformen der Erfindung sowie spezifische Beispiele dafür angeben, sowohl strukturelle als funktionelle Äquivalente dieser umfassen. Zusätzlich ist beabsichtigt, daß solche Äquivalente sowohl zur Zeit bekannte Äquivalente als auch in der Zukunft entwickelte Äquivalente, d. h. etwaige entwickelte Elemente, die dieselbe Funktion ungeachtet der Struktur durchführen, umfassen.
Somit ist zum Beispiel für Fachleute erkennbar, daß die hier angegebenen Blockschaltbilder Konzeptansichten von beispielhaften Schaltkreisen repräsentieren, die die Prinzipien der Erfindung realisieren. Ähnlich versteht sich, daß alle Flußdiagramme, Ablaufdiagramme und dergleichen verschiedene Prozesse darstellen, die im wesentlichen in einem computerlesbaren Medium dargestellt und so durch einen Computer oder Prozessor ausgeführt werden können, gleichgültig, ob ein solcher Computer oder Prozessor explizit gezeigt ist oder nicht.
Die Funktionen der verschiedenen in den Figuren gezeigten Elemente, einschließlich als "Prozessoren" oder "Server" bezeichneter Funktionsblöcke können entweder durch eigene Hardware oder durch Hardware, die Software ausführen kann, in Verbindung mit entsprechender Software, bereitgestellt werden. Bei Bereitstellung durch einen Prozessor, Server oder Computer können die Funktionen von einem einzigen eigenen Prozessor, von einem einzigen gemeinsam genutzten Prozessor oder von mehreren einzelnen Prozessoren, von denen einige gemeinsam genutzt werden können, bereitgestellt werden. Außerdem sollte die explizite Verwendung des Begriffs "Prozessor", "Server" oder "Computer" nicht als sich ausschließlich auf Hardware, die Software ausführen kann, beziehend aufgefaßt werden und kann implizit ohne Einschränkung Hardware für digitale Signalverarbeitung (DSP), Nur- Lese-Speicher (ROM) zum Speichern von Software, Direktzugriffsspeicher (RAM) und nichtflüchtige Speicherung umfassen. Andere Hardware, ob herkömmlich und/oder kundenspezifisch, kann ebenfalls enthalten sein.
In den vorliegenden Ansprüchen soll jedes Element, das als ein Mittel zum Durchführen einer spezifizierten Funktion ausgedrückt wird, jede beliebige Art der Durchführung dieser Funktion umfassen, darunter zum Beispiel a) eine Kombination von Schaltungselementen, die diese Funktion durchführen, oder b) Software in beliebiger Form, einschließlich daher Firmware, Mikrocode oder dergleichen in Kombination mit entsprechenden Schaltkreisen zur Ausführung dieser Software, um die Funktion durchzuführen. Die durch diese Ansprüche definierte Erfindung ist in dem Umstand verankert, daß die von den verschiedenen angeführten Mitteln bereitgestellten Funktionalitäten so kombiniert und zusammengebracht werden, wie es die Ansprüche vorschreiben. Der Anmelder betrachtet somit jedes beliebige Mittel, das diese Funktionalitäten bereitstellen kann, als den hier gezeigten äquivalent.

Claims

1. Verfahren zum Erkennen einer Anomalie auf einem Netzwerk mit den folgenden Schritten:

Verwenden beobachteter Netzwerkdaten zur Bildung eines Vergleichs mit oberen und unteren Schwellen, die aus Vorgeschichtedaten bestimmt werden; und

Bestimmen, daß eine Anomalie in dem Netzwerk vorliegt, wenn der Vergleich zeigt, daß die verwendeten beobachteten Netzwerkdaten außerhalb der oberen und unteren Schwellen liegen;

dadurch gekennzeichnet, daß

das Netzwerk ein Transaktionsnetzwerk ist, über das elektronisch Transaktionen durchgeführt werden, und beobachtete Transaktionsdaten für jede Transaktion eine Startzeit der Transaktion und eine Dauer der Transaktion enthalten; und das Verfahren weiterhin die folgenden Schritte umfaßt:

Bestimmen (1001) eines Ablegeintervalls aus vergangenen Transaktionsdaten, das so gewählt wird, daß die Dauer von ungefähr mindestens 90% aller vergangenen Transaktionen kleiner als das Ablegeintervall ist;

Verwenden dieses bestimmten Ablegeintervalls zur Ableitung (1005) einer zeitveränderlichen Transaktionsintensität aus aktuellen Transaktionsdaten, wobei die Verkehrsintensität den Verkehr in dem Netzwerk zu einem gegebenen Zeitpunkt in dem bestimmten Ablegeintervall darstellt;

Verwenden dieses bestimmten Ablegeintervalls zur Ableitung (1002) von zeitveränderlichen oberen und unteren Transaktionsintensitätsschwellen aus Vorgeschichtedaten, die Arbeitstag-Vorgeschichtedaten von Nicht-Arbeitstag-Wochenende- und -Feiertags- Vorgeschichtedaten trennen, um die Schwellen abzuleiten;

Vergleichen (1006) der aus aktuellen Transaktionsdaten abgeleiteten Verkehrsintensität mit Werten der oberen und unteren Schwellen zu Zeitpunkten, die den Zeiten entsprechen, die den aktuellen Transaktionsdaten zugeordnet sind; und

Bestimmen (1007, 1010), daß eine Anomalie vorliegt, wenn der Vergleichsschritt zeigt, daß die aus aktuellen Transaktionsdaten abgeleitete Transaktionsintensität länger als eine vorbestimmte Zeit über der oberen Schwelle oder unter der unteren Schwelle liegt.

2. Verfahren nach Anspruch 1, wobei die Transaktionen in mehreren Dienstklassen stattfinden, wobei für mindestens eine bestimmte der mehreren Dienstklassen ein Ablegeintervall aus vergangenen Transaktionsdaten für diese bestimmte Dienstklasse bestimmt wird, wobei die Schritte des Ableitens einer zeitveränderlichen Transaktionsintensität, des Ableitens von zeitveränderlichen oberen und unteren Schwellen, des Vergleichens der Verkehrsintensität mit den oberen und unteren Schwellen und des Bestimmens, daß eine Anomalie vorliegt, für die bestimmte Dienstklasse durchgeführt werden.

3. Verfahren nach Anspruch 1, weiterhin gekennzeichnet durch die folgenden Schritte:

periodisches Aktualisieren (1013) der Vorgeschichtedaten mit aktuellen und kurz zurückliegenden Transaktionsdaten, die bei der Ableitung der zeitveränderlichen oberen und unteren Transaktionsintensitätsschwellen nicht benutzt wurden; und

Neuableiten (1002) der zeitveränderlichen oberen und unteren Transaktionsintensitätsschwellen unter Verwendung der aktualisierten Vorgeschichtedaten.

4. Verfahren nach Anspruch 3, wobei Transaktionsdaten, die eine Anomalie erzeugt haben, von den bei zur Aktualisierung der Vorgeschichtedaten verwendeten aktuellen und kurz zurückliegenden Transaktionsdaten ausgeschlossen (1008) werden.

5. Netzwerkanomaliedetektor, umfassend:

ein Mittel zur Verwendung beobachteter Netzwerkdaten zur Bildung eines Vergleichs mit oberen und unteren Schwellen, die aus Vorgeschichtedaten aus dem Netzwerk bestimmt werden; und

ein Mittel, das bestimmt, daß eine Anomalie in dem Netzwerk vorliegt, wenn der Vergleich zeigt, daß die verwendeten beobachteten Netzwerkdaten außerhalb der oberen und unteren Schwellen liegen;

dadurch gekennzeichnet, daß

das Netzwerk ein Transaktionsnetzwerk ist, über das elektronisch Transaktionen durchgeführt werden, und beobachtete Transaktionsdaten für jede Transaktion eine Startzeit der Transaktion und eine Dauer der Transaktion enthalten; und daß der Netzwerkanomaliedetektor weiterhin folgendes umfaßt:

ein Mittel (602) zum Bestimmen eines Ablegeintervalls aus vergangenen Transaktionsdaten, das so gewählt wird, daß die Dauer von ungefähr mindestens 90% aller vergangenen Transaktionen kleiner als das Ablegeintervall ist;

ein Mittel (602) zum Ableiten einer zeitveränderlichen Transaktionsintensität aus aktuellen Transaktionsdaten unter Verwendung des bestimmten Ablegeintervalls, wobei die Verkehrsintensität den Verkehr in dem Netzwerk zu einem gegebenen Zeitpunkt in dem bestimmten Ablegeintervall darstellt;

ein Mittel (605), das das bestimmte Ablegeintervall zur Ableitung von zeitveränderlichen oberen und unteren Transaktionsintensitätsschwellen aus Vorgeschichtedaten, die Arbeitstag-Vorgeschichtedaten von Nicht-Arbeitstag-Wochenende- und -Feiertags- Vorgeschichtedaten trennen, verwendet;

ein Mittel (604) zum Vergleichen der aus aktuellen Transaktionsdaten abgeleiteten Verkehrsintensität mit Werten der oberen und unteren Schwellen zu Zeitpunkten, die den Zeiten entsprechen, die den aktuellen Transaktionsdaten zugeordnet sind; und

ein Mittel (606, 607) zum Bestimmen, daß eine Anomalie vorliegt, wenn das Mittel zum Vergleichen bestimmt, daß die aus aktuellen Transaktionsdaten abgeleitete Transaktionsintensität länger als eine vorbestimmte Zeit über der oberen Schwelle oder unter der unteren Schwelle liegt.

6. Netzwerkanomaliedetektor nach Anspruch 5, wobei die Transaktionen in mehreren Dienstklassen stattfinden, wobei das Mittel zum Bestimmen eines Ablegeintervalls aus vergangenen Transaktionsdaten für mindestens eine bestimmte der mehreren Dienstklassen ein Ablegeintervall aus vergangenen Transaktionsdaten für diese bestimmte Dienstklasse bestimmt und das Mittel zum Ableiten einer zeitveränderlichen Transaktionsintensität, das Mittel zum Ableiten von zeitveränderlichen oberen und unteren Schwellen, das Mittel zum Vergleichen der Verkehrsintensität mit den oberen und unteren Schwellen und das Mittel zum Bestimmen, daß eine Anomalie vorliegt, diese Funktionen für die bestimmte Dienstklasse durchführen.

7. Netzwerkanomaliedetektor nach Anspruch 5, wobei die Vorgeschichtedaten periodisch mit aktuellen und kurz zurückliegenden Transaktionsdaten aktualisiert werden, die bei der Ableitung der zeitveränderlichen oberen und unteren Transaktionsintensitätsschwellen nicht benutzt wurden;

wobei das Mittel zum Ableiten der zeitveränderlichen oberen und unteren Transaktionsintensitätsschwellen die Schwellen unter Verwendung der aktualisierten Vorgeschichtedaten neu ableitet.

8. Netzwerkanomaliedetektor nach Anspruch 7, wobei Transaktionsdaten, die eine Anomalie erzeugt haben, von den bei zur Neuableitung der zeitveränderlichen oberen und unteren Transaktionsintensitätsschwellen verwendeten aktuellen und kurz zurückliegenden Transaktionsdaten ausgeschlossen werden.