WO2013185489A1 - 分析信令流量的方法及装置 - Google Patents

分析信令流量的方法及装置 Download PDF

Info

Publication number
WO2013185489A1
WO2013185489A1 PCT/CN2013/071089 CN2013071089W WO2013185489A1 WO 2013185489 A1 WO2013185489 A1 WO 2013185489A1 CN 2013071089 W CN2013071089 W CN 2013071089W WO 2013185489 A1 WO2013185489 A1 WO 2013185489A1
Authority
WO
WIPO (PCT)
Prior art keywords
signaling
terminal device
signaling traffic
data packets
generated
Prior art date
Application number
PCT/CN2013/071089
Other languages
English (en)
French (fr)
Inventor
钱莉
陈焕华
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP13803790.8A priority Critical patent/EP2717504B1/en
Publication of WO2013185489A1 publication Critical patent/WO2013185489A1/zh
Priority to US14/140,380 priority patent/US9763109B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received
    • H04L1/24—Testing correct operation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W24/00—Supervisory, monitoring or testing arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Definitions

  • the present invention relates to the field of wireless communications, and in particular, to a method and apparatus for analyzing signaling traffic.
  • 3G networks have developed rapidly as a new generation of cellular mobile communication technology, and its advantage lies in its high data transmission rate.
  • the increase in data transmission rate enables communication systems to provide more business services to users.
  • the direct beneficial impact on the communication industry is the rise of the communication terminal industry, such as smart phones and tablets.
  • a communication terminal When a communication terminal provides a service for a user, a certain amount of signaling needs to be transmitted through the wireless network. The more service the communication terminal provides to the user, the more signaling needs to be transmitted through the wireless network, for example: the 3G network is a user.
  • the signaling transmitted in the communication system has also increased dramatically, and since the design of traditional IP applications and protocols has not fully considered the subsequent expansion of the 3G network protocol, the communication system will also be generated.
  • a large amount of additional signaling forms a signaling storm, which consumes a large amount of radio resources, increases the communication and processing load of the network element devices in the communication system, and even affects data transmission.
  • the operator needs to know the running status of the communication system in real time, for example: The operator needs to obtain the network in the network through a network side server (such as a Radio Network Controller (RNC)).
  • RNC Radio Network Controller
  • the air interface flow value thereby monitoring the signaling traffic in the communication system.
  • the problem with the prior art is that the existing network side server only monitors the information in the communication system. For traffic, there is no further analysis of signaling traffic. Due to the lack of further analysis of the signaling traffic, it is difficult for the operator to take further processing measures for the abnormal signaling traffic when the abnormal signaling traffic is generated, that is, the prior art only monitors the signaling traffic in the communication system. Without analysis, without the analysis result of signaling traffic, it is impossible to adopt further means of regulating signaling traffic to mitigate or solve the impact of signaling storm on the communication system.
  • Embodiments of the present invention provide a method and apparatus for analyzing signaling traffic, which can analyze signaling traffic and obtain analysis results.
  • an embodiment of the present invention provides a method for analyzing signaling traffic, including: acquiring, according to user plane data of a terminal device, a quantity of signaling generated by the terminal device in transmitting a data packet, where The user plane data includes: a time interval at which the terminal device transmits the data packet or a packet length of each data packet transmitted by the terminal device;
  • the analysis result includes: address information of the terminal device that generates abnormal signaling traffic and/or impact signaling traffic Feature information.
  • an embodiment of the present invention provides an apparatus for analyzing signaling traffic, including: a recording module, configured to acquire, according to user plane data of a terminal device, a message generated by the terminal device in a process of transmitting a data packet
  • the user plane data includes: a time interval at which the terminal device transmits the data packet or a packet length of each data packet transmitted by the terminal device; and an analysis module, configured to analyze that the terminal device is transmitting the data packet
  • the number of signaling generated in the process and obtaining an analysis result, where the analysis result includes: address information of the terminal device that generates the abnormal signaling traffic and/or characteristic information that affects the signaling traffic.
  • the method and device for analyzing signaling traffic provided by the embodiment of the present invention can determine whether the terminal device is a source of abnormal signaling traffic by analyzing signaling generated when the terminal device transmits a data packet, and can also determine the impact signaling.
  • the characteristic information of the data packet of the traffic can be analyzed.
  • the present invention can analyze signaling traffic and find a source of abnormal signaling traffic and Characteristic information that affects signaling traffic.
  • Figure la is a flowchart of a method for analyzing signaling traffic according to Embodiment 1 of the present invention
  • Figure lb is a schematic diagram of a network structure of a specific example provided by the present invention
  • FIG. 2a is a flowchart of a method for analyzing signaling traffic according to Embodiment 2 of the present invention
  • FIG. 2b is a schematic structural diagram of a specific example provided by Embodiment 2 of the present invention.
  • FIG. 3 is a schematic structural diagram of an apparatus for analyzing signaling traffic according to Embodiment 3 of the present invention
  • FIG. 4 is a schematic structural diagram of an apparatus for analyzing signaling traffic according to Embodiment 4 of the present invention.
  • the embodiment of the invention provides a method for analyzing signaling traffic. As shown in FIG. la, the method includes:
  • Step 101 Acquire, according to user plane data of the terminal device, the number of signaling generated by the terminal device in the process of transmitting the data packet.
  • the user plane data includes: a time interval at which the terminal device transmits the data packet or a packet length of each data packet transmitted by the terminal device.
  • the network side server may capture the data packet sent by the terminal device by using a probe deployed on the network element interface of each node in the communication system, for example:
  • the network architecture of the WCDMA (Wideband Code Division Multiple Access) network includes a GPRS (General Packet Radio Service) Gateway Support Node (GGSN).
  • GPRS General Packet Radio Service
  • Basic network elements such as the GPRS Service Support Node (SGSN), the radio network controller, the base station, and the terminal equipment (UE).
  • the IP data packet sent by the terminal device passes through the base station, the radio network controller, and the GPRS service support node until it is aggregated to the GPRS gateway support node, and then transmitted to the Internet.
  • the operator deploys a probe on the Gn interface between the GPRS gateway support node and the GPRS service support node, or on the Iu interface between the GPRS service support node and the radio network controller, so that the terminal device can be captured. Send IP packets or get signaling traffic.
  • Step 102 Analyze the number of signaling generated by the terminal device in the process of transmitting a data packet, and obtain an analysis result.
  • the analysis result includes: address information of the terminal device that generates the abnormal signaling traffic and/or characteristic information that affects the signaling traffic.
  • the network side server may analyze the number of signaling generated by the terminal device in the process of transmitting the data packet, and obtain the analysis result, for example:
  • the network side server may determine whether the number of signaling generated by the terminal device in the process of transmitting the data packet is greater than a preset threshold by using a threshold method, thereby determining whether the terminal device generates abnormal signaling traffic.
  • the preset threshold value may be set by a technician, or may be automatically set by the network side server according to the running condition of the communication system, and is not limited herein.
  • the network side server can process the terminal devices in all communication systems through the above method, thereby finding all the terminal devices in the communication system that generate abnormal signaling traffic, and recording the IP address of the terminal device.
  • the network side server can obtain the feature information in the data packet transmitted by the terminal device, and use the existing means to collect the data packet when the terminal device transmits the same feature information.
  • the method for analyzing signaling traffic can analyze signaling generated when a terminal device transmits a data packet, determine whether the terminal device is a source of abnormal signaling traffic, and can also determine a data packet that affects signaling traffic. Characteristic information.
  • the present invention is capable of analyzing signaling traffic and finding characteristic information that generates an abnormal signaling traffic source and affects signaling traffic.
  • An embodiment of the present invention provides a method for analyzing signaling traffic. As shown in FIG. 2a, the method includes:
  • Step 201 Acquire, according to user plane data of the terminal device, the number of signaling generated by the terminal device in the process of transmitting the data packet.
  • the user plane data includes: a time interval at which the terminal device transmits the data packet or a packet length of each data packet transmitted by the terminal device.
  • the specific method for the network side server to analyze the number of signaling generated by the terminal device in the process of transmitting the data packet may include two types: 1.
  • the method flow of step 202 to step 205, the purpose is to determine The source of the abnormal signaling traffic is generated; 2.
  • the method flow of step 206 to step 211 is to obtain the feature information that affects the signaling traffic.
  • the specific methods of the two types of analysis may be performed at the same time, or may be performed in a certain order, and are not limited herein.
  • the final analysis result may include: two or any one of address information of the terminal device that generates the abnormal signaling traffic and characteristic information that affects the signaling traffic.
  • Step 202 Detect whether a traffic flowing through the radio network controller in a specified time is greater than a preset traffic threshold.
  • a radio network controller is an indispensable device, and data interaction between the terminal device and the network side and transmission of signaling are required.
  • the probe is often deployed on the Iu interface between the service support node and the radio network controller, so that the traffic flowing through the radio network controller signaling in a specified time can be obtained.
  • the network side server detects that it has flowed through the specified time If the signaling of the radio network controller is too large (for example, greater than the preset traffic threshold), the current signaling traffic of the communication system is abnormal, and the flow of the subsequent steps needs to be further divided. If the flow is within the specified time. If the traffic of the signaling of the radio network controller is not greater than the preset traffic threshold, no processing is performed.
  • Step 203 If the traffic of the signaling flowing through the radio network controller in the specified time is greater than the preset threshold, acquiring, during the specified time, the terminal device is in the process of transmitting a data packet. The amount of signaling generated.
  • the network side server can intercept the signaling flowing through the radio network controller through the existing probe deployed on the communication system, and find and send through the existing technical means (such as source address query).
  • the terminal device of the signaling so as to obtain the number of signaling generated by the terminal device in the process of transmitting a data packet within a specified time period
  • a radio network controller in a communication system can often manage a plurality of terminal devices, and data interaction and signaling transmission between the plurality of terminal devices and the network side pass through the radio network controller.
  • step 202 detecting that the current signaling flow abnormality of the radio network controller is abnormal, indicating that at least one terminal device belonging to the radio network controller generates abnormal signaling traffic during the process of transmitting the data packet, and step 203 to
  • the method flow described in step 205 is a process of determining whether the terminal device is a source of abnormal signaling traffic.
  • the network side server may perform the method described in steps 203 to 205 for all mobile terminals belonging to the radio network controller, thereby finding a terminal device that generates abnormal signaling traffic.
  • Step 204 Detect whether the number of signaling generated by the terminal device in the process of transmitting a data packet in the specified time is abnormal.
  • the manner of detecting whether the number of signaling is abnormal may be included, including:
  • Step 2041 Detect a process in which the terminal device transmits a data packet within the specified time. Whether the number of signalings generated in the method is greater than a preset threshold, where the number of signaling is abnormal if the threshold is greater than the preset threshold.
  • the length of the specified time may be set by the technician, or may be automatically set by the network side server according to the operation of the communication system, and is not limited herein.
  • Step 2042 Detect whether the quantity of the signaling is abnormal according to a preset abnormality detection algorithm.
  • the anomaly detection algorithm includes: any one of a cumulative sum (CUSUM), a wavelet transform (Wavelet transform), or a Kalman filter.
  • the anomaly detection algorithm running on the network side server is not limited thereto, and may be any abnormality detection algorithm well known to those skilled in the art.
  • Step 205 Record the IP address of the terminal device if the number of signaling generated by the terminal device in the process of transmitting a data packet is abnormal during the specified time.
  • the network side server after detecting that the number of signaling generated by the terminal device in the process of transmitting the data packet is abnormal, the network side server records the IP address of the terminal device, thereby finding that abnormal signaling is generated.
  • the source of the traffic is so that the network side server or technician can take corresponding measures according to the IP address of the source of the abnormal signaling traffic (the terminal device) to solve or mitigate the adverse impact of the abnormal signaling traffic on the communication system.
  • This embodiment only relates to the process of analyzing the abnormal signaling traffic, and the specific implementation manner of solving or mitigating the adverse impact of the abnormal signaling traffic on the communication system may be any manner well known to those skilled in the art, and details are not described herein.
  • the reason for generating the abnormal signaling traffic is not only the terminal device, but also may be caused by other reasons.
  • One of the methods for analyzing the cause of the abnormal signaling traffic is the data packet.
  • the characteristic information is analyzed, and the characteristic information affecting the signaling traffic is found, so that the network side server or the technician can further process the abnormal signaling traffic according to the analysis result (the characteristic information affecting the signaling traffic), so the terminal is analyzed.
  • the process of the number of signaling generated by the device in the process of transmitting the data packet may further include:
  • Step 206 Acquire feature information.
  • the feature information includes any one of an IP address, a data packet length, and a source port number of the data packet transmitted by the terminal device.
  • the feature information to be analyzed by the network side server is not limited to the foregoing three types, and may also be characteristic information of the data packet in various aspects such as an IP layer, a transport layer, and an application layer, for example, an IP layer of the IP layer. Address, packet length, etc., transport layer source port number, etc., application layer protocol header information (such as HTTP Referer, HTTP Host).
  • Step 207 Determine, according to the quantity of signaling generated by the terminal device in the process of transmitting a data packet, the data packet in which the signaling is generated.
  • the network side server may determine, by using a prior art means, a data packet that generates signaling, for example, the network side server determines, according to a character string used to identify the data packet in each signaling.
  • the strip signaling is generated when the terminal device transmits which data packet, thereby determining the data packet in which the signaling is generated during the transmission.
  • there are various reasons for generating a packet of a signal during transmission for example:
  • the communication system allocates a Radio Resource Control (RRC) state machine to each terminal device, and according to the latest data packet transmitted by the terminal device (such as packet transmission rate, data packet) Long, etc., set the state of the corresponding radio resource control state machine for the terminal device, and the state of each radio resource control state machine correspondingly allocates a certain radio resource, that is, the data packet transmitted by each terminal device may cause the terminal
  • the device's radio resource controls the state of the state machine.
  • a certain amount of signaling is generated. For example, as shown in FIG.
  • the radio resource control state machine used by an actual operating network is shown, where IDLE ( The idle state is the default state after the communication terminal is powered on, and does not occupy any resources; and the DCH (Dedicated CHannel) state and the FACH (Forward Access CHannel) state correspond to the communication terminal in the transmission process. A certain resource is occupied, the DCH state represents that the user allocates more radio resources in the process of high-speed data transmission, and the FACH state represents that the user allocates less resources in the process of low-speed data transmission.
  • IDLE The idle state is the default state after the communication terminal is powered on, and does not occupy any resources
  • the DCH (Dedicated CHannel) state and the FACH (Forward Access CHannel) state correspond to the communication terminal in the transmission process. A certain resource is occupied, the DCH state represents that the user allocates more radio resources in the process of high-speed data transmission, and the FACH state represents that the user allocates less resources in the process of low-speed data transmission.
  • the communication terminal and the radio network controller A
  • Step 208 Acquire feature information to be detected.
  • the network side server may perform the processes of step 209 to step 211 for each feature information, thereby finding all the feature information that affects the signaling traffic.
  • the method flow corresponding to the step 206 and the step 208 may be performed at the same time as the method flow corresponding to the step 207, or may be performed in a certain order, which is not limited herein.
  • Step 209 Record, among the data packets that generate signaling, the number of data packets having the feature information to be detected. Screening, obtaining a data packet having feature information to be detected therefrom, and recording the number of data packets having the feature information to be detected.
  • Step 210 Detect whether the number of data packets having the feature information of the to-be-checked 'J is greater than a second preset threshold.
  • the second preset threshold may be automatically set by the network side server or set by a technician. If the number of data packets of the feature information to be detected is not greater than the second preset threshold, the feature information to be detected is not characteristic information affecting the signaling traffic, and is not processed.
  • Step 211 If the number of the data packets with the feature information to be detected is greater than the second preset threshold, the feature information of the to-be-checked J is characteristic information that affects signaling traffic. Recording the feature information to be detected.
  • the feature information may be used as the characteristic information that affects the signaling traffic, for example:
  • the terminal device When the terminal device transmits a plurality of data packets with the same target port number in the transmission process, more signaling is generated, indicating that the device pointed to by the target port number may be one of the causes of abnormal signaling traffic, and the network is required.
  • the server or the technician performs further processing. For example, when the user uploads data using the 3G smart phone, the data packets sent by the smart phone to the network side have the same target port number. If the target port number is detected as the influence letter at this time, The characteristic information of the traffic indicates that the communication service (uploading data) affects the signaling traffic. If a signaling storm occurs, the operator can obtain the cause of the signaling storm when the source of the abnormal signaling traffic is found.
  • the cause of the signaling storm is: The user uses 3G intelligence. Mobile phone upload data).
  • the method for analyzing the signaling traffic by the network side server can not only find the source of the abnormal signaling traffic (the terminal device), but also further analyze and obtain the cause of the abnormal signaling traffic, so that the network side server or The technician can further process according to the source and cause of the abnormal signaling flow by other technical means.
  • the embodiment is only related to the process of analyzing the feature information, and the specific implementation manner for solving or reducing the adverse effect of the abnormal signaling traffic on the communication system may be any manner well known to those skilled in the art, and details are not described herein.
  • the method for analyzing signaling traffic can analyze signaling generated when a terminal device transmits a data packet, determine whether the terminal device is a source of abnormal signaling traffic, and can also determine a data packet that affects signaling traffic. Characteristic information.
  • the present invention is capable of analyzing signaling traffic and finding characteristic information that generates an abnormal signaling traffic source and affects signaling traffic.
  • An embodiment of the present invention provides an apparatus for analyzing signaling traffic. As shown in FIG. 3, the apparatus 300 includes:
  • a recording module 31 configured to acquire, according to user plane data of the terminal device, the terminal device The amount of signaling generated during the transmission of the data packet.
  • the user plane data includes: a time interval at which the terminal device transmits the data packet or a packet length of each data packet transmitted by the terminal device.
  • the analyzing module 32 is configured to analyze the number of signaling generated by the terminal device in the process of transmitting a data packet, and obtain an analysis result.
  • the analysis result includes: address information of the terminal device that generates the abnormal signaling traffic and/or characteristic information that affects the signaling traffic.
  • the device for analyzing signaling traffic provided by the embodiment can obtain the number of signaling generated when the terminal device transmits a data packet by using the recording module, and determine, by the analysis module, whether the terminal device is a source of abnormal signaling traffic, and also The characteristic information of the data packet affecting the signaling traffic can be determined by the analysis module.
  • the present invention can analyze signaling traffic and find characteristic information that generates an abnormal signaling traffic source and affects signaling traffic.
  • An embodiment of the present invention provides an apparatus for analyzing signaling traffic. As shown in FIG. 4, the apparatus 400 includes:
  • the recording module 41 is configured to obtain, according to user plane data of the terminal device, the number of signaling generated by the terminal device in the process of transmitting a data packet.
  • the user plane data includes: a time interval at which the terminal device transmits the data packet or a packet length of each data packet transmitted by the terminal device.
  • the analyzing module 42 is configured to analyze the number of signaling generated by the terminal device in the process of transmitting a data packet, and obtain an analysis result.
  • the analysis module 42 includes:
  • the traffic detecting unit 421 is configured to detect whether the traffic flowing through the radio network controller in the specified time is greater than a preset traffic threshold.
  • the signaling quantity statistics unit 422 is configured to: when the traffic of the signaling flowing through the radio network controller in the specified time is greater than the preset threshold, acquiring, by the terminal device, the transmission in the specified time The amount of signaling generated during the course of the packet.
  • the abnormality detecting unit 423 is configured to detect whether the number of signaling generated by the terminal device in the process of transmitting a data packet is abnormal during the specified time.
  • the abnormality detecting unit 423 includes:
  • a first detecting subunit 4231 configured to detect whether the number of signaling generated by the terminal device in the process of transmitting a data packet is greater than a preset threshold, and if greater than the preset threshold, The number of signaling is abnormal.
  • the second detecting subunit 4232 is configured to detect whether the quantity of the signaling is abnormal according to a preset abnormality detecting algorithm.
  • the anomaly detection algorithm includes: any one of a cumulative sum (CUSUM), a wavelet transform (Wavelet transform), or a Kalman filter.
  • the address recording unit 424 is configured to record an IP address of the terminal device if the number of signaling generated by the terminal device in the process of transmitting the data packet is abnormal during the specified time.
  • the analyzing module 42 further includes:
  • the feature information obtaining unit 425 is configured to acquire feature information.
  • the feature information includes: any one of an IP address, a data packet length, and a source port number of the data packet transmitted by the terminal device.
  • the feature information recording unit 426 is configured to record feature information that affects signaling traffic.
  • the feature information recording unit 426 includes:
  • the first selecting subunit 4261 is configured to determine, according to the quantity of signaling generated by the terminal device in the process of transmitting a data packet, the data packet in which the signaling is generated.
  • the feature information obtaining subunit 4262 is configured to acquire feature information to be detected.
  • the second screening subunit 4263 is configured to record, among the data packets that generate the signaling, the number of data packets having the feature information to be detected.
  • the third detecting subunit 4264 is configured to detect whether the number of the data packets having the feature information to be detected is greater than a second preset threshold.
  • the feature information recording sub-unit 4265 is configured to: if the number of the data packets having the feature information to be detected is greater than the second preset threshold, the feature information to be detected is an influence letter The characteristic information of the traffic is recorded, and the feature information of the to-be-checked 'J is recorded.
  • the device for analyzing signaling traffic provided by the embodiment can obtain the number of signaling generated when the terminal device transmits a data packet by using the recording module, and determine, by the analysis module, whether the terminal device is a source of abnormal signaling traffic, and also The feature information affecting the signaling traffic can be analyzed and determined by the feature information recording unit in the analysis module.
  • the present invention is capable of analyzing signaling traffic and finding feature information that generates anomalous signaling traffic sources and affects signaling traffic.
  • the storage medium may be a magnetic disk, an optical disk, a read-only memory (ROM), or a random access memory (RAM).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例公开了一种分析信令流量的方法及装置，涉及无线通讯领域，能够对信令流量进行分析，并记录分析结果。本发明的方法包括：根据终端设备的用户面数据，获取终端设备在传输数据包的过程中所产生的信令的数量，用户面数据包括：终端设备传输数据包的时间间隔或终端设备所传输的每一个数据包的包长；分析终端设备在传输数据包的过程中所产生的信令的数量，并获取分析结果，分析结果包括：产生异常信令流量的终端设备的地址信息和/或影响信令流量的特征信息。

Description

分析信令流量的方法及装置 本申请要求于 2 01 2 年 06 月 1 3 日提交中国专利局、 申请号为 2 01 2 1 01 9 5 008 . 9 , 发明名称为 "分析信令流量的方法及装置" 的中 国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及无线通讯领域， 尤其涉及一种分析信令流量的方法及装 置。
背景技术
近几年， 3G 网络作为新一代蜂窝移动通讯技术得到了迅速的发展， 其优势在于其较高的数据传输速率。数据传输速率提高使得通讯系统可以 为用户提供更多的业务服务，对通讯产业带来的直接有益影响就是通讯终 端产业的兴起， 如智能手机、 平板电脑等。
在通讯终端为用户提供业务服务时，需要通过无线网络传输一定数量 的信令， 通讯终端为用户提供业务服务越多， 需要通过无线网络传输的信 令也就越多， 例如： 3G 网络为用户带来更多的业务服务的同时， 在通讯 系统中传输的信令也急剧增加， 并且由于传统 IP应用及协议的设计由于 没有充分考虑 3G网络协议的后续扩展， 使得通讯系统中还会产生了大量 额外的信令， 从而形成信令风暴， 这样会消耗大量的无线资源， 增加通讯 系统中的网元设备的通信及处理负载， 甚至影响数据传输。
在现有的通讯系统的实际应用中，运营商需要实时的掌握通讯系统的 运行状态， 例如： 运营商需要通过网侧服务器（如无线网络控制器 （Radio Network Controller, RNC ) ) 获取网络中的空口流量值， 从而监控通讯系 统中的信令流量。
现有技术的问题在于，现有的网侧服务器只是监控了通讯系统中的信 令流量， 并没有对信令流量进行进一步的分析。 由于缺乏对对信令流量进 一步的分析， 当产生异常信令流量时， 运营商难以对异常信令流量采取更 进一步的处理措施，即现有技术只对通讯系统中的信令流量进行监控而不 进行分析， 没有信令流量的分析结果， 也就无法采取进一步的调控信令流 量的手段来緩减或解决信令风暴对于通讯系统的影响。
发明内容
本发明的实施例提供一种分析信令流量的方法及装置，能够对信令流 量进行分析， 并获取分析结果。
为达到上述目的， 本发明的实施例采用如下技术方案：
一方面， 本发明的实施例提供一种分析信令流量的方法， 包括： 根据终端设备的用户面数据，获取所述终端设备在传输数据包的过程 中所产生的信令的数量， 所述用户面数据包括： 终端设备传输数据包的时 间间隔或所述终端设备所传输的每一个数据包的包长；
分析所述终端设备在传输数据包的过程中所产生的信令的数量，并获 取分析结果， 所述分析结果包括： 产生异常信令流量的终端设备的地址信 息和 /或影响信令流量的特征信息。
另一方面， 本发明的实施例提供一种分析信令流量的装置， 包括： 记录模块， 用于根据终端设备的用户面数据， 获取所述终端设备在传 输数据包的过程中所产生的信令的数量， 所述用户面数据包括： 终端设备 传输数据包的时间间隔或所述终端设备所传输的每一个数据包的包长； 分析模块，用于分析所述终端设备在传输数据包的过程中所产生的信 令的数量， 并获取分析结果， 所述分析结果包括： 产生异常信令流量的终 端设备的地址信息和 /或影响信令流量的特征信息。
本发明实施例提供的分析信令流量的方法及装置，能够通过分析终端 设备传输数据包时所产生的信令，确定该终端设备是否为异常信令流量的 来源， 同时还能够确定影响信令流量的数据包的特征信息。 与现有技术相 比， 本发明能够对信令流量进行分析， 并找到产生异常信令流量来源以及 影响信令流量的特征信息。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所 需要使用的附图作筒单地介绍， 显而易见地， 下面描述中的附图仅仅是本 发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动 的前提下， 还可以根据这些附图获得其它的附图。
图 la为本发明实施例 1提供的分析信令流量的方法的流程图； 图 lb为本发明提供的具体实例的网络结构示意图；
图 2a为本发明实施例 2提供的分析信令流量的方法的流程图； 图 2 b为本发明实施例 2提供的具体实例的结构示意图；
图 3为本发明实施例 3提供的分析信令流量的装置的结构示意图； 图 4为本发明实施例 4提供的分析信令流量的装置的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进 行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例， 而不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没 有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的 范围。
为使本发明技术方案的优点更加清楚，下面结合附图和实施例对本发 明作详细说明。
实施例 1
本发明实施例提供一种分析信令流量的方法， 如图 la所示， 该方法包 括：
步骤 101 , 根据终端设备的用户面数据， 获取所述终端设备在传输数 据包的过程中所产生的信令的数量。
其中， 用户面数据包括： 终端设备传输数据包的时间间隔或所述终端 设备所传输的每一个数据包的包长。 具体的， 在本实施例中， 网侧服务器可以通过在通讯系统中的各个节 点的网元接口上部署的探针， 捕获到终端设备发送的数据包， 例如：
如图 lb所示， 为 WCDMA ( Wideband Code Division Multiple Access , 宽带码分多址） 网络的网络架构， 包含 GPRS ( General Packet Radio Service,通用分组无线业务 )网关支持节点（ Gateway GPRS Support Node, GGSN )、 GPRS服务支持节点 （ Serving GPRS Support Node , SGSN )、 无 线网络控制器、 基站、 终端设备 （UE ) 等基本网元。 其中， 终端设备发 送的 IP数据包经过基站、 无线网络控制器、 GPRS服务支持节点， 直至汇 聚到 GPRS网关支持节点， 再传输至互联网。
现有技术中，运营商会在 GPRS网关支持节点与 GPRS服务支持节点之 间的 Gn接口上， 或在 GPRS服务支持节点与无线网络控制器之间的 Iu接口 上部署探针， 从而可以捕获终端设备发送的 IP数据包或获取信令流量。
步骤 102 , 分析所述终端设备在传输数据包的过程中所产生的信令的 数量， 并获取分析结果。
其中， 分析结果包括： 产生异常信令流量的终端设备的地址信息和 / 或影响信令流量的特征信息。
具体的， 在本实施例中， 网侧服务器可以分析终端设备在传输数据包 的过程中所产生的信令的数量， 并获取分析结果， 例如：
网侧服务器可以通过阈值法确定终端设备在传输数据包的过程中所 产生的信令的数量是否大于预设的阈值，从而确定终端设备是否产生了异 常的信令流量。 其中， 预设的阈值可以由技术人员设定， 也可以由网侧服 务器根据通讯系统的运行情况自动设定， 在此不做限定。 同理， 网侧服务 器可以通过上述方法流程处理所有通讯系统中的终端设备，从而找到通讯 系统中所有产生了异常的信令流量的终端设备， 并记录该终端设备的 IP 地址。
再例如： 网侧服务器可以获取终端设备所传输的数据包中的特征信 息，并通过现有手段统计终端设备在传输具备同一种特征信息的数据包时 的信令的产生情况， 从而筛选出影响信令流量的特征信息。
本实施例提供的分析信令流量的方法，能够分析终端设备传输数据包 时所产生的信令， 确定该终端设备是否为异常信令流量的来源， 同时还能 够确定影响信令流量的数据包的特征信息。 与现有技术相比， 本发明能够 对信令流量进行分析，并找到产生异常信令流量来源以及影响信令流量的 特征信息。
实施例 2
本发明实施例提供一种分析信令流量的方法， 如图 2a所示， 该方法包 括：
步骤 201 , 根据终端设备的用户面数据， 获取所述终端设备在传输数 据包的过程中所产生的信令的数量。
其中， 用户面数据包括： 终端设备传输数据包的时间间隔或所述终端 设备所传输的每一个数据包的包长。
在本实施例中，网侧服务器对终端设备在传输数据包的过程中所产生 的信令的数量进行分析的具体方法可以包括两种： 1、 步骤 202至步骤 205 的方法流程， 目的在于确定产生异常信令流量的来源； 2、 步骤 206至步骤 211的方法流程， 目的在于获取影响信令流量的特征信息。 其中， 这二种 分析的具体方法可以同时执行， 也可以以一定的先后顺序执行， 在此不做 限定。 并且， 最终的分析结果可以包括： 产生异常信令流量的终端设备的 地址信息、 影响信令流量的特征信息这二种或其中的任意一种。
步骤 202 , 检测在指定时间内流经所述无线网络控制器的信令的流量 是否大于预设的流量阈值。
具体的， 如图 lb所示， 在现有的通讯系统中 （如 3G网络）， 无线网络 控制器是一种必不可少的设备，终端设备与网侧的数据交互以及信令的传 输都需要经过无线网络控制器，所以现有技术中往往会在服务支持节点与 无线网络控制器之间的 Iu接口上部署探针，从而可以获取在指定时间内流 经无线网络控制器的信令的流量。当网侧服务器检测到在指定时间内流经 无线网络控制器的信令的流量过大 （如大于预设的流量阈值）， 则说明通 讯系统当前的信令流量异常， 需要进一步地通过后续步骤的流程进行分 其中，若在指定时间内流经无线网络控制器的信令的流量不大于预设 的流量阈值， 则不作处理。
步骤 203 , 若在所述指定时间内流经所述无线网络控制器的信令的流 量大于所述预设阈值，则获取在所述指定时间内所述终端设备在传输数据 包的过程中所产生的信令的数量。
具体的， 在本实施例中， 网侧服务器可以通过已有的部署在通讯系统 上的探针截获流经无线网络控制器的信令， 并通过现有技术手段（如源地 址查询）找到发送了这条信令的终端设备， 从而获取在述指定时间内所述 终端设备在传输数据包的过程中所产生的信令的数量
通讯系统中的一个无线网络控制器往往可以管理多个终端设备，这多 个终端设备与网侧的数据交互以及信令传输都会经过该无线网络控制器。 在步骤 202中， 检测出该无线网络控制器当前的信令流量异常， 则说明归 属于该无线网络控制器的至少一个终端设备在传输数据包的过程中产生 了异常信令流量，步骤 203至步骤 205所述的方法流程即为判定终端设备是 否为异常信令流量的来源的过程。 在本实施例中， 网侧服务器可以对归属 于该无线网络控制器所有移动终端以此执行步骤 203至步骤 205所述的方 法流程， 从而找到产生了异常信令流量的终端设备。
步骤 204 , 检测在所述指定时间内所述终端设备在传输数据包的过程 中所产生的信令的数量是否异常。
其中，若在所述指定时间内所述终端设备在传输数据包的过程中所产 生的信令的数量正常， 则不作处理。
具体的， 在本实施例中， 检测信令的数量是否异常的方式可以有中， 其中包括：
步骤 2041 ,检测在所述指定时间内所述终端设备在传输数据包的过程 中所产生的信令的数量是否大于预设阈值， 其中， 若大于所述预设阈值， 则所述信令数量异常。
其中， 指定时间的长短可以由技术人员设定， 也可以由网侧服务器根 据通讯系统的运行情况自动设定， 在此不做限定。
并列可选的，还可以根据其他常用的异常检测算法来检测信令数量是 否异常：
步骤 2042 ,根据预设的异常检测算法，检测所述信令的数量是否异常。 其中， 异常检测算法包括： 累积和 （CUSUM )、 小波变换 （Wavelet transform ) 或卡尔曼（kalman)滤波中的任意一项。
具体的， 在本实施例中， 在网侧服务器上所运行的异常检测算法并不 只限于此， 还可以是任意本领域技术人员所熟知的异常检测算法。
步骤 205 , 若在所述指定时间内所述终端设备在传输数据包的过程中 所产生的信令的数量异常， 则记录所述终端设备的 IP地址。
具体的， 在本实施例中， 网侧服务器经过检测确定了终端设备在传输 数据包的过程中所产生的信令的数量异常， 则记录该终端设备的 IP地址， 从而找到了产生异常信令流量的来源，以便于网侧服务器或技术人员根据 异常信令流量的来源（终端设备）的 IP地址采取相应的措施解决或緩减异 常信令流量对通讯系统带来的不利影响。本实施例只涉及分析异常信令流 量的过程，解决或緩减异常信令流量对通讯系统带来的不利影响的具体实 施方式可以是本领域技术人员所熟知的任意方式， 在此不作赘述。
进一步可选的， 在本实施例中， 产生异常信令流量的原因不仅仅是终 端设备， 也可能是由于其他原因引起的， 分析产生异常信令流量的原因的 其中一种方法是对数据包的特征信息进行分析，并找出影响信令流量的特 征信息， 以便于网侧服务器或技术人员根据分析结果（影响信令流量的特 征信息）对进一步处理异常信令流量， 所以分析所述终端设备在传输数据 包的过程中所产生的信令的数量的过程还可以包括：
步骤 206 , 获取特征信息。 其中，特征信息包括终端设备所传输的数据包的 IP地址、数据包包长、 源端口号中的任意一项。
具体的， 在本实施例中， 网侧服务器所要分析的特征信息并不只限于 上述三种， 还可以是数据包在 IP层、 传输层、 应用层等各个方面的特征信 息， 例如 IP层的 IP地址、 数据包包长等， 传输层源端口号等， 应用层的协 议头信息 （如 HTTP Referer, HTTP Host ) 等。
步骤 207 , 根据所述终端设备在传输数据包的过程中所产生的信令的 数量， 确定产生了信令的数据包。
具体的， 在本实施例中， 网侧服务器可以通过现有技术手段来确定产 生了信令的数据包， 例如： 网侧服务器根据每条信令中用于识别数据包的 字符串来确定每条信令是终端设备在传输哪一个数据包时所产生的，从而 确定在传输过程中产生了信令的数据包。 具体的， 在传输过程中产生了信 令的数据包的原因有多种， 例如：
在实际应用中， 通讯系统会为每个终端设备分配一个无线资源控制 ( Radio Resource Control , RRC ) 状态机， 并根据终端设备传输的最新 一个数据包的情况 （如数据包传输速率、 数据包包长等）， 为终端设备设 置相应的无线资源控制状态机上的状态，每一个无线资源控制状态机的状 态对应分配一定的无线资源，即每一个终端设备所传输的数据包都有可能 会导致终端设备的无线资源控制状态机的状态的切换。当终端设备的无线 资源控制状态机的状态进行切换时， 会产生一定数量的信令， 例如： 如图 2b所示， 所示为某实际运营网络使用的无线资源控制状态机， 其中， IDLE (空闲状态） 态是通讯终端开机后的默认状态， 不占用任何资源； 而 DCH ( Dedicated CHannel, 专有信道） 态和 FACH ( Forward Access CHannel, 前向接入信道） 态则对应通讯终端在传输过程中占用一定的资 源， DCH 态代表用户在高速数据传输过程中分配较多的无线资源， 而 FACH态则代表用户在低速数据传输过程中分配较少的资源。 当用户在各 个无线资源控制状态机的状态之间切换时，通讯终端和无线网络控制器之 间会产生一定数目的信令，而无线资源控制状态机相关信令是无线空口侧 信令流量的主要来源。 表 1为状态间转换所对应的信令数目。
Figure imgf000011_0001
表 1
步骤 208 , 获取待检测的特征信息。
具体的， 在本实施例中， 网侧服务器可以对每一个特征信息都执行步 骤 209至步骤 211的流程， 从而找到所有影响信令流量的特征信息。
其中， 步骤 206和步骤 208所对应的方法流程可以与步骤 207所对应的 方法流程同时执行， 也可以以一定的先后顺序执行， 在此不做限定。
步骤 209 , 记录在所述产生了信令的数据包之中， 具有所述待检测的 特征信息的数据包的数量。 筛选， 从中获取具有待检测的特征信息的数据包， 并记录具有待检测的 特征信息的数据包的数量。
步骤 210 , 检测所述具有所述待检 'J的特征信 , 的数据包的数量是否 大于第二预设阈值。
其中， 第二预设阈值可以由网侧服务器自动设定或由技术人员设定。 若待检测的特征信息的数据包的数量不大于第二预设阈值，则待检测 的特征信息不是影响信令流量的特征信息， 不作处理。
步骤 211 , 若所述具有所述待检测的特征信息的数据包的数量大于所 述第二预设阈值， 则所述待检 'J的特征信息为影响信令流量的特征信息， 记录所述待检测的特征信息。
当具有同一个特征信息的数据包在传输的过程中所引发产生的信令 较多时， 可以将该特征信息作为影响信令流量的特征信息， 例如：
当终端设备在传输诸多具有相同目标端口号的数据包在传输过程中， 产生了较多的信令，则说明目标端口号所指向的设备可能是引起异常信令 流量的原因之一， 需要网侧服务器或技术人员进行进一步地处理， 比如： 用户使用 3G智能手机上传数据时， 智能手机向网侧所发送的数据包都具 有相同的目标端口号，若此时检测出目标端口号为影响信令流量的特征信 息， 则说明这个通讯业务（上传数据）影响了信令流量。 若发生了信令风 暴， 则运营商在找到异常信令流量的来源时， 还能获取发生了信令风暴的 原因 （在本实例中， 发生了信令风暴的原因即为： 用户使用 3G智能手机 上传数据）。 使得本实施例中， 网侧服务器通过分析信令流量的方法流程 不仅可以找到异常信令流量的来源 （终端设备）， 还能进一步分析并获取 产生异常信令流量的原因，以便网侧服务器或技术人员能够通过其他技术 手段， 根据产生异常信令流量的来源以及原因进行进一步的处理。
本实施例只涉及分析特征信息的过程，解决或緩减异常信令流量对通 讯系统带来的不利影响的具体实施方式可以是本领域技术人员所熟知的 任意方式， 在此不作赘述。
本实施例提供的分析信令流量的方法，能够分析终端设备传输数据包 时所产生的信令， 确定该终端设备是否为异常信令流量的来源， 同时还能 够确定影响信令流量的数据包的特征信息。 与现有技术相比， 本发明能够 对信令流量进行分析，并找到产生异常信令流量来源以及影响信令流量的 特征信息。
实施例 3
本发明实施例提供一种分析信令流量的装置， 如图 3所示， 该装置 300 包括：
记录模块 31 , 用于根据终端设备的用户面数据， 获取所述终端设备在 传输数据包的过程中所产生的信令的数量.
其中， 用户面数据包括： 终端设备传输数据包的时间间隔或所述终端 设备所传输的每一个数据包的包长。
分析模块 32 ,用于分析所述终端设备在传输数据包的过程中所产生的 信令的数量， 并获取分析结果。
其中， 分析结果包括： 产生异常信令流量的终端设备的地址信息和 / 或影响信令流量的特征信息。
本实施例提供的分析信令流量的装置，能够通过记录模块获取终端设 备传输数据包时所产生的信令的数量，并通过分析模块确定该终端设备是 否为异常信令流量的来源，同时还能够通过分析模块确定影响信令流量的 数据包的特征信息。 与现有技术相比， 本发明能够对信令流量进行分析， 并找到产生异常信令流量来源以及影响信令流量的特征信息。
实施例 4
本发明实施例提供一种分析信令流量的装置， 如图 4所示， 该装置 400 包括：
记录模块 41 , 用于根据终端设备的用户面数据， 获取所述终端设备在 传输数据包的过程中所产生的信令的数量。
其中， 用户面数据包括： 终端设备传输数据包的时间间隔或所述终端 设备所传输的每一个数据包的包长。
分析模块 42 ,用于分析所述终端设备在传输数据包的过程中所产生的 信令的数量， 并获取分析结果。
其中， 所述分析模块 42包括：
流量检测单元 421 , 用于检测在指定时间内流经所述无线网络控制器 的信令的流量是否大于预设的流量阈值。
信令数量统计单元 422 , 用于若在所述指定时间内流经所述无线网络 控制器的信令的流量大于所述预设阈值，则获取在所述指定时间内所述终 端设备在传输数据包的过程中所产生的信令的数量。 异常检测单元 423 , 用于检测在所述指定时间内所述终端设备在传输 数据包的过程中所产生的信令的数量是否异常。
其中， 所述异常检测单元 423包括：
第一检测子单元 4231 ,用于检测在所述指定时间内所述终端设备在传 输数据包的过程中所产生的信令的数量是否大于预设阈值，若大于所述预 设阈值， 则所述信令数量异常。
第二检测子单元 4232 , 用于根据预设的异常检测算法， 检测所述信令 的数量是否异常。
其中， 异常检测算法包括： 累积和 （CUSUM )、 小波变换 （Wavelet transform ) 或卡尔曼（kalman)滤波中的任意一项。
地址记录单元 424 , 用于若在所述指定时间内所述终端设备在传输数 据包的过程中所产生的信令的数量异常， 则记录所述终端设备的 IP地址。
进一步的可选的， 所述分析模块 42还包括：
特征信息获取单元 425 , 用于获取特征信息。
其中， 特征信息包括： 终端设备所传输的数据包的 IP地址、 数据包包 长、 源端口号中的任意一项。
特征信息记录单元 426 , 用于记录影响信令流量的特征信息。
其中， 所述特征信息记录单元 426包括：
第一 选子单元 4261 ,用于根据所述终端设备在传输数据包的过程中 所产生的信令的数量， 确定产生了信令的数据包。
特征信息获取子单元 4262 , 用于获取待检测的特征信息。
第二筛选子单元 4263 , 用于记录在所述产生了信令的数据包之中， 具 有所述待检测的特征信息的数据包的数量。
第三检测子单元 4264 ,用于检测所述具有所述待检测的特征信息的数 据包的数量是否大于第二预设阈值。
特征信息记录子单元 4265 ,用于若所述具有所述待检测的特征信息的 数据包的数量大于所述第二预设阈值，则所述待检测的特征信息为影响信 令流量的特征信息， 记录所述待检 'J的特征信息。
本实施例提供的分析信令流量的装置，能够通过记录模块获取终端设 备传输数据包时所产生的信令的数量，并通过分析模块确定该终端设备是 否为异常信令流量的来源，同时还能够通过分析模块中的特征信息记录单 元分析并确定影响信令流量的特征信息。 与现有技术相比， 本发明能够对 信令流量进行分析，并找到产生异常信令流量来源以及影响信令流量的特 征信息。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相 同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的 不同之处。 尤其， 对于设备实施例而言， 由于其基本相似于方法实施例， 所以描述得比较筒单， 相关之处参见方法实施例的部分说明即可。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分 流程， 是可以通过计算机程序来指令相关的硬件来完成， 所述的程序可存 储于一计算机可读取存储介质中， 该程序在执行时， 可包括如上述各方法 的实施例的流程。 其中， 所述的存储介质可为磁碟、 光盘、 只读存储记忆 体 ( Read-Only Memory , ROM ) 或随机存^ ^己忆体 ( Random Access Memory , RAM ) 等。
以上所述， 仅为本发明的具体实施方式， 但本发明的保护范围并不局 限于此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可 轻易想到的变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发 明的保护范围应该以权利要求的保护范围为准。

Claims

权 利 要 求 书
1、 一种分析信令流量的方法， 其特征在于， 包括：
根据终端设备的用户面数据， 获取所述终端设备在传输数据包的过程 中所产生的信令的数量， 所述用户面数据包括： 终端设备传输数据包的时 间间隔或所述终端设备所传输的每一个数据包的包长；
分析所述终端设备在传输数据包的过程中所产生的信令的数量， 并获 取分析结果， 所述分析结果包括： 产生异常信令流量的终端设备的地址信 息和 /或影响信令流量的特征信息。
2、 根据权利要求 1所述的分析信令流量的方法， 其特征在于， 所述终 端设备归属于一个无线网络控制器（RNC ), 所述分析结果为产生异常信令 流量的终端设备的地址信息， 所述分析所述终端设备在传输数据包的过程 中所产生的信令的数量， 并获取分析结果包括：
检测在指定时间内流经所述无线网络控制器的信令的流量是否大于预 设阈值；
若在所述指定时间内流经所述无线网络控制器的信令的流量大于所述 预设阈值， 则获取在所述指定时间内所述终端设备在传输数据包的过程中 所产生的信令的数量；
检测在所述指定时间内所述终端设备在传输数据包的过程中所产生的 信令的数量是否异常；
若在所述指定时间内所述终端设备在传输数据包的过程中所产生的信 令的数量异常， 则记录所述终端设备的 IP地址。
3、 根据权利要求 2所述的分析信令流量的方法， 其特征在于， 所述检 测在所述指定时间内所述终端设备在传输数据包的过程中所产生的信令的 数量是否异常包括：
检测在所述指定时间内所述终端设备在传输数据包的过程中所产生的 信令的数量是否大于预设阈值， 若大于所述预设阈值， 则所述信令数量异 常。
4、 根据权利要求 2所述的分析信令流量的方法， 其特征在于， 所述检 测在所述指定时间内所述终端设备在传输数据包的过程中所产生的信令的 数量是否异常包括：
根据预设的异常检测算法， 检测所述信令的数量是否异常， 所述异常 检测算法包括： 累积和（ CUSUM )、 小波变换（ Wavelet transform )或卡尔 曼 (kalman)滤波中的任意一项。
5、 根据权利要求 1所述的分析信令流量的方法， 所述分析结果为影响 信令流量的特征信息， 所述分析所述终端设备在传输数据包的过程中所产 生的信令的数量， 并获取分析结果包括：
获取特征信息， 所述特征信息包括： 所述终端设备所传输的数据包的 IP地址、 数据包包长、 源端口号中的任意一项；
记录影响信令流量的特征信息。
6、 根据权利要求 1或 5所述的分析信令流量的方法， 其特征在于， 所述 记录影响信令流量的特征信息包括：
根据所述终端设备在传输数据包的过程中所产生的信令的数量， 确定 产生了信令的数据包；
获取待检测的特征信息；
记录在所述产生了信令的数据包之中， 具有所述待检测的特征信息的 数据包的数量；
检测所述具有所述待检测的特征信息的数据包的数量是否大于第二预 设阈值；
若所述具有所述待检测的特征信息的数据包的数量大于所述第二预设 阈值， 则所述待检测的特征信息为影响信令流量的特征信息， 记录所述待 检测的特征信息。
7、 一种分析信令流量的装置， 其特征在于， 包括：
记录模块， 用于根据终端设备的用户面数据， 获取所述终端设备在传 输数据包的过程中所产生的信令的数量， 所述用户面数据包括： 终端设备 传输数据包的时间间隔或所述终端设备所传输的每一个数据包的包长； 分析模块， 用于分析所述终端设备在传输数据包的过程中所产生的信 令的数量， 并获取分析结果， 所述分析结果包括： 产生异常信令流量的终 端设备的地址信息和 /或影响信令流量的特征信息。
8、 根据权利要求 7所述的分析信令流量的装置， 其特征在于， 所述终 端设备归属于一个无线网络控制器， 所述分析模块包括：
流量检测单元， 用于检测在指定时间内流经所述无线网络控制器的信 令的流量是否大于预设的流量阈值；
信令数量统计单元， 用于若在所述指定时间内流经所述无线网络控制 器的信令的流量大于所述预设阈值， 则获取在所述指定时间内所述终端设 备在传输数据包的过程中所产生的信令的数量；
异常检测单元， 用于检测在所述指定时间内所述终端设备在传输数据 包的过程中所产生的信令的数量是否异常；
地址记录单元， 用于若在所述指定时间内所述终端设备在传输数据包 的过程中所产生的信令的数量异常， 则记录所述终端设备的 IP地址。
9、 根据权利要求 8所述的分析信令流量的装置， 其特征在于， 所述异 常检测单元包括：
第一检测子单元， 用于检测在所述指定时间内所述终端设备在传输数 据包的过程中所产生的信令的数量是否大于预设阈值， 若大于所述预设阈 值， 则所述信令数量异常。
10、 根据权利要求 8所述的分析信令流量的装置， 其特征在于， 所述异 常检测单元包括：
第二检测子单元， 用于根据预设的异常检测算法， 检测所述信令的数 量是否异常， 所述异常检测算法包括： 累积和、 小波变换或卡尔曼滤波中 的任意一项。
11、 根据权利要求 7所述的分析信令流量的装置， 其特征在于， 所述分 析模块包括： 特征信息获取单元， 用于获取特征信息， 所述特征信息包括： 所述终 端设备所传输的数据包的 IP地址、 数据包包长、 源端口号中的任意一项； 特征信息记录单元， 用于记录影响信令流量的特征信息。
12、 根据权利要求 7或 11所述的分析信令流量的装置， 其特征在于， 所 述特征信息记录单元包括：
第一筛选子单元， 用于根据所述终端设备在传输数据包的过程中所产 生的信令的数量， 确定产生了信令的数据包；
特征信息获取子单元， 用于获取待检测的特征信息；
第二 选子单元， 用于记录在所述产生了信令的数据包之中， 具有所 述待检测的特征信息的数据包的数量；
第三检测子单元， 用于检测所述具有所述待检测的特征信息的数据包 的数量是否大于第二预设阈值；
特征信息记录子单元， 用于若所述具有所述待检测的特征信息的数据 包的数量大于所述第二预设阈值， 则所述待检 'J的特征信息为影响信令流 量的特征信息， 记录所述待检测的特征信息。
PCT/CN2013/071089 2012-06-13 2013-01-29 分析信令流量的方法及装置 WO2013185489A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP13803790.8A EP2717504B1 (en) 2012-06-13 2013-01-29 Method for analyzing signaling traffic
US14/140,380 US9763109B2 (en) 2012-06-13 2013-12-24 Method and apparatus for analyzing signaling traffic

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210195008.9 2012-06-13
CN201210195008.9A CN103490849A (zh) 2012-06-13 2012-06-13 分析信令流量的方法及装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/140,380 Continuation US9763109B2 (en) 2012-06-13 2013-12-24 Method and apparatus for analyzing signaling traffic

Publications (1)

Publication Number Publication Date
WO2013185489A1 true WO2013185489A1 (zh) 2013-12-19

Family

ID=49757484

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/071089 WO2013185489A1 (zh) 2012-06-13 2013-01-29 分析信令流量的方法及装置

Country Status (4)

Country Link
US (1) US9763109B2 (zh)
EP (1) EP2717504B1 (zh)
CN (1) CN103490849A (zh)
WO (1) WO2013185489A1 (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104780526B (zh) * 2014-01-14 2019-02-26 中国移动通信集团江苏有限公司 一种移动终端上网业务的控制方法及装置
CN106572483B (zh) * 2015-10-12 2020-02-14 中国移动通信集团公司 一种数据传输方法、装置及核心网络自配置自优化平台
CN105429819B (zh) * 2015-11-04 2018-08-17 深圳市蜂联科技有限公司 一种应用识别的包长检测方法
CN107579878B (zh) * 2017-09-19 2020-08-21 浙江明讯网络技术有限公司 一种信令监测方法及装置
CN109600243B (zh) 2017-09-30 2021-09-03 华为技术有限公司 数据分析方法和装置
CN111277552B (zh) * 2018-12-05 2022-06-14 中国移动通信集团广西有限公司 一种对直径信令安全威胁识别的方法、装置及存储介质
US11294930B2 (en) * 2019-01-10 2022-04-05 Citrix Systems, Inc. Resource scaling for distributed database services
CN112448894B (zh) * 2019-09-03 2022-08-19 华为技术有限公司 阻断信令风暴的方法、装置、设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1735040A (zh) * 2004-08-09 2006-02-15 安捷伦科技有限公司 分发信令数据以并行分析的方法和装置
CN1878141A (zh) * 2005-05-20 2006-12-13 阿拉克斯拉网络株式会社 网络控制装置及其控制方法
EP2418617A1 (en) * 2009-04-06 2012-02-15 NTT DoCoMo, Inc. Communication system, information analyzing apparatus and information analyzing method

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060068712A1 (en) * 2004-09-24 2006-03-30 Kroboth Robert H Method of remotely monitoring and troubleshooting multiple radio network controllers
CN100361453C (zh) * 2005-03-23 2008-01-09 华为技术有限公司 一种用户面数据跟踪方法
US20060230450A1 (en) * 2005-03-31 2006-10-12 Tian Bu Methods and devices for defending a 3G wireless network against a signaling attack
WO2006108989A2 (fr) * 2005-04-13 2006-10-19 France Telecom Procede de lutte contre l'envoi d'information vocale non sollicitee
WO2007019583A2 (en) * 2005-08-09 2007-02-15 Sipera Systems, Inc. System and method for providing network level and nodal level vulnerability protection in voip networks
US9036540B2 (en) * 2007-09-28 2015-05-19 Alcatel Lucent Method and system for correlating IP layer traffic and wireless layer elements in a UMTS/GSM network
US8176001B2 (en) * 2007-10-18 2012-05-08 Redshift Internetworking, Inc. System and method for detecting spam over internet telephony (SPIT) in IP telecommunication systems
US9148440B2 (en) * 2013-11-25 2015-09-29 Imperva, Inc. Coordinated detection and differentiation of denial of service attacks

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1735040A (zh) * 2004-08-09 2006-02-15 安捷伦科技有限公司 分发信令数据以并行分析的方法和装置
CN1878141A (zh) * 2005-05-20 2006-12-13 阿拉克斯拉网络株式会社 网络控制装置及其控制方法
EP2418617A1 (en) * 2009-04-06 2012-02-15 NTT DoCoMo, Inc. Communication system, information analyzing apparatus and information analyzing method

Also Published As

Publication number Publication date
US9763109B2 (en) 2017-09-12
EP2717504A4 (en) 2014-10-01
CN103490849A (zh) 2014-01-01
EP2717504A1 (en) 2014-04-09
US20140105032A1 (en) 2014-04-17
EP2717504B1 (en) 2017-12-13

Similar Documents

Publication Publication Date Title
WO2013185489A1 (zh) 分析信令流量的方法及装置
US9888399B2 (en) Adaptive monitoring for cellular networks
WO2019184433A1 (zh) 一种网络数据的监测方法及装置
US11258719B1 (en) Methods, systems and computer readable media for network congestion control tuning
JP5688143B2 (ja) データフローをスケジューリングする方法、装置、及びシステム
EP3036865A1 (en) Subscriber tracing in communications
US20100226278A1 (en) Method and monitoring component for network traffic monitoring
JP6092409B2 (ja) 無線ネットワーク毛管路性能を評価する方法及び装置
WO2012083789A1 (zh) 资源分配处理方法、装置和网络服务系统
CN107371179B (zh) 测量结果上报方法、测量结果接收方法、相关设备和系统
CN110972199B (zh) 一种流量拥塞监测方法及装置
WO2016019155A1 (en) Voice optimization enablement apparatus
KR101423975B1 (ko) 모니터링 및 필터링 정책을 이용한 네트워크 트래픽 관리 시스템 및 그 방법
US9450768B2 (en) Subscriber-specific tracing in communications
JP2017050753A (ja) 品質監視装置、システム、および方法
TWI510109B (zh) 遞迴式異常網路流量偵測方法
WO2023079354A1 (en) Analytics generation in a communication network
KR101149587B1 (ko) 이동통신망의 시그널링 도스 트래픽 탐지방법
CN114257625A (zh) 共享上网检测方法、检测装置及存储介质
US10003988B2 (en) Detecting apparatus and method for determining air interface resources consumed by service
KR20150073375A (ko) 이동통신망에서 시그널링 DoS 트래픽을 탐지하기 위한 시스템 및 그 방법
WO2017133059A1 (zh) 业务数据的传输方法和装置
CN106452979A (zh) 一种在线捕包方法及工具
WO2024224142A1 (en) Transport reporting by radio for analytics
KR20140112645A (ko) 트래픽 채널 검출장치 및 방법과 기록매체

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13803790

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE