CN1700657A - 用于采集和分析通信数据的装置及方法 - Google Patents

Abstract

一种将数据传输到通信线路上的方法，包括步骤：将时间与数据相关；产生包括多个字段的分组，其中至少一个字段对应于与数据相关的时间，并且至少一个另外的字段对应于数据；以及将分组传输到通信线路上。

Description

用于采集和分析通信数据的装置及方法

本申请为1999年11月23日提交的、申请号为99813560.7、发明名称为“用于采集和分析通信数据的装置及方法”的申请的分案申请。

技术领域

本发明一般涉及数据通信，更具体地说，它涉及一种用于采集、分析和监视通信数据的系统及相关方法。

背景技术

当前，通过一个通信或数据网络在不同点之间交流数据和其它信息已经十分普及。在一个典型例子中，这种数据网络包括多个端用户计算机，它们沿着包括这种网络在内的各种路径相互进行通信。这种计算机网络结构的范围可从在数量相对较小的计算机之间的简单的点对点连接到LAN、WAN，当然还有被称为互联网的全球计算机网络。这些网络的架构根据特定的应用而广为不同，但即使最复杂的网络也需使用构架、节点以及用于在网络上支持数据和信息传输的计算机服务器。

公司和个人对这种网络日益增加的依赖不仅在于发送和接收信息方面，而且还在于商务活动以及包括信息的发送、接收或查看在内的大量其它活动。

在网络上发送和接收数据的需求产生了所谓的“通信量”，也就是，经由网上适当路径的数字编码信息的容量或“有效负荷”。不幸的是，穿过网络的通信量经常导致在确定点上或沿网络的特定路径产生阻塞或“故障点”。这些阻塞可能会使数据传输极其缓慢，或者，在最坏情况下，它会导致在这个网络上完全不能发送或接收所需数据。这种问题主要由以下情况造成，即，在确定的网络架构下，通信的进行通常只有其最慢链路或路径所允许的速度。

显然，无论什么原因，这种通信阻塞都是不应有的。被“粘在”这样的通信之中的用户会向网络服务提供商抱怨网络的阻塞，从而对提供商造成潜在的商业损失。这种网络延迟还具有这样一种负面作用，即，它直接和间接地影响了网络用户的工作效率。

解决这种网络阻塞或其它网络“故障点”的一个方案是获取与阻塞或故障点有关的及时和精确的信息。不幸的是，现有技术中对解决计算机网络错综复杂情况以及对解决阻塞问题的尝试受到了各种不利因素和缺陷的制约。例如，现有技术中的网络监视工具很难定制，从而造成缺少用来分析网络阻塞或故障点的所需工具。这种网络“取样器”通常被限制为只能执行确定的特殊协议的清除通信阻塞工作，而这也会造成不能精确地描述或指出网络阻塞的源头。换句话说，工作中，大部分网络监视器和“取样器”都被它们对实时数据进行列表显示或在扩展的时间周期上记录数据的能力所限制。

现有技术中的网络监视器通常会侵入网络以评价或估计网络性能。在参考文献“TCP/IP说明，卷I-协议”(由Addison-Wesley出版公司在1994年出版)的第7和第8章中就说明了一种这样的技术。为了对互联网中信息“分组”的往返时间进行评估，网络监视器将在网络中插入额外的分组，并且允许这种额外分组在网络中传输。因此，这种用来确定网络性能本身的特定过程将因在通信信息中增加了额外的分组而进一步降低网络的性能。

上述方法不仅具有侵入性，而且一般还是不精确的。具体来说，单程时间一般是通过将测试分组的往返延迟除以2而被估计出来的；但是，往返周期的一半通常并不等于一个单程延迟，其一部分原因是基于网络中的非对称性(将在后面说明)。为了补偿这种非对称性，现有技术中所采用的办法就是在网络中更为频繁地插入测试分组，而这种解决方案将会进一步降低正被测试或监视的网络的性能。

如果网络通信流或网络带宽尺度可得到更为精确的建模，则网络性能将得到进一步地提高。具体来说，通信流并不需要对称地穿过一给定的网络路径。当路径终止于互联网连接上的一个终端用户时，这一点尤为正确。这种路径的非对称性体现在端用户一般下载的负荷或通信要多于其上载的负荷或通信。现有技术中的网络监视器通常不对这种非对称性进行检测和建模，从而导致较多的网络资源超出需要地集中在特定路由上。这会花费额外的金钱并且浪费计算机资源。

因此，存在一种提高网络性能并解决网络通信阻塞问题的需要。还需要有一种不需侵入通信流的工具，它可用来分析“分组”的不同通信量参数或类型，并且能够快速精确地采集和列表显示所需的统计。

随着计算机数据网络应用的发展，公司和个人的兴趣越来越集中于采集、过滤或“描绘”与网络上的用户或它们的通信量有关的数据。商场企业或其它销售单位可能对人口统计或其它可通过精确记录和分析网络通信量而搜集到的数据尤为感兴趣。但不幸的是，许多互联网广告商是通过让用户填表和回答问题而获得用户的概况。因此广告商会错过大部分客户信息，因为用户一般不愿因回答这些问题而被打扰。所以就存在一种通过较少的侵入性的方式来获取用户“概况”的需要。

网络的扩展应用也增加了“黑客”或其它进行恶作剧或甚至犯罪活动的破坏性入侵者在专有或受保护网络中出现的可能性。因此，对阻止计算机犯罪和过失的执行机构(如FBI)来说，一个能够确定安全破坏动机的系统是十分有价值的。然而，现有的工作一般不能以一种优化的方式对网络上的数据流进行分析、列表、监视或记录从而便于安全活动。

负责监视网络的公司或个人不仅需要及时地获取大量的信息和统计资料，而且还需快速、简单地观察这些以一种可理解的格式存在的数据。然而，现有技术通常仅限于按时间顺序提供“废物”，而对这些数据的统计编制或图形表示不足。因此，不仅需要能够对网络通信信息进行编译，还要执行某些普通计算，并且还需以一种用户友好和灵活的方式将这些计算结果用图形表示出来。

为了解决传统数据通信监视方法和系统所存在的缺陷，本发明提供了一种用于监视通信线路的新方法。本发明的一个目的就是提供一种用于采集和分析通信数据的网络监视器。其另一个目的是提供一种用于采集和分析通信数据的方法。

发明内容

为实现本发明的上述及其它目的，本发明提供了一种用于对一第一通信线路上的数据进行监视的方法。首先从该第一通信线路接收数据，并且从此数据中提取出多个分组，然后递归地生成统计结果，这些统计结果与多个分组相对应。

具体而言，本发明提供了一种采集和分析在第一通信线路上的第一数据的方法，包括如下步骤：(a)从所述第一通信线路上接收第一数据；(b)将所接收的第一数据分离为分组；(c)根据分组各自的第一特性选择分组；(d)将各个相应的索引与每个所选择的分组相关联；(e)将各所选择的分组转换为包括该分组相应索引的各个记录；(f)储存所述记录；(g)根据多个连续的时间段的每一个中接收的每个所选择分组各自的第二特性储存一计数。

另外本发明还提供了一种采集和分析数据的方法，包括如下步骤：(a)从第一通信线路上接收第一数据；(b)将所述第一数据分离为分组；(c)产生与在各个连续的第一时间段中接收的分组相应的统计，所述第一时间段具有第一持续时间值；(d)对于所述的各个连续的第一时间段，分别存储所产生的统计；(e)通过合计所述各个存储的统计产生进一步的统计。

另外，本发明该提供了一种采集和分析数据的系统，包括：(a)用于从第一通信线路上接收第一数据的装置；(b)用于将所述第一数据分离为分组的装置；(c)用于产生与在各个连续的第一时间段中接收的分组相应的统计的装置，所述第一时间段具有第一持续时间值；(d)用于对于所述的各个连续的第一时间段分别存储所产生的统计的装置；(e)用于通过合计所述各个存储的统计产生进一步的统计的装置。

另外，本发明提供了一种将数据传输到通信线路上的方法，包括如下步骤：将时间与所述数据相关；产生包括多个字段的分组，其中至少一个字段对应于与所述数据相关的所述时间，并且至少一个另外的字段对应于所述数据；以及将所述分组传输到通信线路上。

另外，本发明提供了一种从第一通信线路接收数据的方法，其中，所述数据包括分组，该分组具有至少一个对应于与所述分组相关的时间的字段，并且至少一个其他字段对应于所述数据，该方法包括如下步骤：将从所述第一通信线路接收的所述数据分离为分组；以及从所述分组解码所述时间。

应该明白，不管是上面的一般描述还是以下的详细说明都是示范性的，它们并不是对本发明的限制。

附图说明

通过以下的详细文字说明并参考附图，本发明将获得最好的理解。应该强调的是，根据通常的做法，附图中的各个部件都不成比例。相反，各个部件的尺寸可以任意扩大或缩小以便于澄清。在附图中：

图1显示了根据本发明所述的一种与通信线路相连的网络监视器；

图2显示了一种典型的协议分级体系；

图3是根据本发明的典型网络监视器的框图；

图4的流程图显示了根据本发明的一个用于监视通信线路的典型方法；

图5的数据流图显示了根据本发明的网络监视器的数据采集和分析方法的多个替代方案；

图6的流程图显示了一种用于识别有问题的服务器的方法；

图7显示了一种使用了本发明所述网络监视器的网络，此网络监视器与网络中的两条单独通信线路相连；

图8的流程图显示了一种用于确定传输延迟的方法；

图9A的流程图显示了计算机主机用来与一接口计算机同步的操作；

图9B的流程图显示了接口计算机用来与一计算机主机同步的操作；

图10-28是一些屏幕显示，它们用来说明接收监视参数的用户界面，并且说明了显示和提供通信分析信息的方法。

具体实施方式

现在参考附图，附图中相同的参考序号代表了相同的单元。图1显示了根据本发明的一种示例性网络监视器102，它通过一第一通信线路104与一典型网络N1106相连。网络监视器102接收(监视)通信线路104上的数据通信(通信量)，并提供通信线路104上数据通信的实时度量或统计。

通信线路104可使用一个单数据链路层协议来传输大量不同的高层分级体系协议层协议通信。图2显示出了一种这样的分级体系协议结构200。网络N1106与路由器108之间通信的数据链路层协议202(在本示范情况下为以太网)可以包括封装的IPX、IP、ARP或其它网络层204通信。IP通信可以包括封装的UDP、TCP、ICMP或其它传输层206通信。TCP通信可包括封装的Web、FTP、域名服务或其它应用层208通信。

根据本发明所述的网络监视器102包括硬件及软件(将在后面讨论)，软件能够按照这样一种方式来采集和分析网络通信，即，它能够在一个或多个协议层上对通信产生各种实时统计结果。网络监视器102所产生的实时统计结果使得对服务质量和数量的分析、根据服务质量和服务数量进行收费、动态网络资源分配和规划、基于数据内容的客户注册、网络安全分析以及会议播放成为可能。典型的统计结果包括：字节计数、位计数、单程或往返延迟、响应时间、重发的字节、每个主机的初始字节、每个主机的终止字节、初始-终止主机对计数、Web放弃率、吞吐量、有效通过量以及因延迟或丢失而造成的重发字节的百分比。可根据第一通信线路104上的通信而有选择地提供出这些在数据链接层与应用层之间的一个或多个协议层之上的统计结果。

对图3所示的典型网络监视器302的操作的说明参考了图4的流程图。该网络监视器302包括一个通过第一接头312与第一通信线路308相连的第一网络接口304以及一个通过第二接头314与第二通信线路310相连的第二网络接口306。第一接口304从第一通信线路308接收第一数据(比特流)(步骤402)，然后该比特流被分离成多个分组(步骤404)。此处所用术语“分离”的意思是将预先定义的分组从比特流中提取出来。比特流可通过接口304或通过计算机主机316而被分离成多个分组。这些分组被保存在存储器318中，在本实施例中，存储器318是分层的，它包括一个短期存储器320和至少一个长期存储器322。处理器和查询引擎316可受到用户界面324的控制，以随后对分组进行如下所述的处理(参考图4)。

在一个典型实施例中，网络监视器302以非侵入性的方式与第一通信线路308相连接。就是说，它不会直接阻碍通信线路中的通信流。通过(例如)将第一接头312插入交换机或路由器的一个端口或插口、断开通信线路308并安装一个Y型接头以连接第一接头312、利用一个分光器将第一接头连接在一个集线器上、或将网络监视器302连接在中央控制室的监视插口上，就可使网络监视器302与通信线路308相连接。

处理器和查询引擎316将分组转换成记录并将记录保存在存储器中(步骤414-422)。处理器和查询引擎306含有适当的程序以产生和分组相对应的统计结果(步骤406-412)。虽然可以通过各种方式来完成分组统计结果的生成，但最好通过采用一个优选方案来处理在预定时间间隔或“采样周期”上接收到的一套分组(步骤406)以产生相应的统计结果(步骤408)。然后过程将被以递归的方式被重复以处理连续时间周期内接收到的连续分组序列(步骤410)。在这种处理期间，适当的程序将按适当的时间间隔而把生成的统计结果保存在存储器当中，此时间间隔最好与和分组集相对应的时间间隔具有相同的顺序。

将分组转换成记录可以允许产生大量的其它统计结果，以下就对其进行说明。记录是通过首先确定各个分组的类型(步骤414)然后根据它们已确定的类型对分组进行过滤(步骤416)而被生成的。为各个分组产生一个索引(步骤418)然后将分组转换成一个带索引的记录(步骤420)并保存在存储器中(步骤422)。进一步的统计结果是利用先前生成的分组统计结果而产生的，然后这些记录被提供给一个或多个应用部分，如显示设备(步骤428)、用于根据进一步的统计结果来动态调整网络路由的路由器(430)、以及根据统计结果确定的基于服务质量或数量而对客户进行收费的计费服务(步骤432)。以下将对图4所示过程在以太网通信线路中的应用进行说明，该以太网线路中含有封装的IP分组，其中封装有TCP分组，而TCP分组内则封装有web通信量(见图2)。以太网比特流被从通信线路中接收到(步骤402)并被分离成多个分组(步骤404)。这些分组被分割成多个群，每群分组都含有在连续的一秒的时间周期(示例性的时间周期)之一的期间内接收到的分组(步骤406)。在各个一秒时间周期内接收到的比特的数目(示例性的统计)被计算出来(步骤408)。通过接收与下一个一秒时间周期相对应的一套分组(步骤412)并随后计算出这些分组中的比特数(步骤408)，就可产生连续时间周期内的连续统计结果。各个一秒时间间隔内的比特计数一旦生成就被保存在存储器当中(步骤412)。

确凿各个分组的类型(如：IP、ARP…)(步骤414)。如果用户只想分析IP分组的通信量，则分组将被过滤以仅使IP分组通过(步骤416)。网络监视器接收到各个IP分组的时间被用作各个IP分组的一个索引(步骤418)。然后一个用于各个IP分组的带索引的记录将被生成(步骤420)并被保存在存储器中(步骤422)。以下列出了一个典型记录，该记录含有一个作为第一字段F1的索引以及作为第二字段F2的分组。

F1：索引(接收时间)

F2：分组或部分分组

除了进行只让IP分组通过的过滤以外，过滤器也可通过截断以太网的附加部分而只让IP分组的一部分通过(如IP部分)，这样，上述记录内的第二字段F2中就只包含IP部分。另外，记录中也可含有多个字段，每个字段都对应于IP分组的一个部分(如源地址或目标地址)，而且过滤也可根据任何一个或多个字段来进行。

可以单独从保存的记录中产生任意数量的统计结果，也可用步骤406-412中所产生的分组统计结果的混合来产生统计结果。在本例中，一个相关技术中所公知的进一步统计结果含有接收到的IP分组中的比特数与在各个连续分钟内接收到的所有分组中的比特数之比(步骤426)。这个统计结果的计算在本发明中易于执行，因为所保存的分组已经全部是IP分组，而且都按接收时间编了索引。因此，就可通过用索引对记录进行排序、读取各个连续分钟的记录群、并将各个记录群中的比特数累加起来以完成计算。可通过对先前计算出来的按秒为单位产生的比特计数以60秒钟(等于1分钟)为一组求和来计算每分钟全部分组的比特数。这样，就可同时利用保存的记录和保存的统计结果而产生另一个统计结果，从而减少了所需的额外计算量以及产生此统计结果所需的时间。

以上参考图4对由根据本发明所述的网络监视器所执行的过滤和保存方法的一个特定例子进行了说明。以下将根据图5所示的数据流图对根据本发明所述的网络监视器500的时间采集和分析方法的灵活性进行说明。

一个进入的比特流被分组装置502进行分组。比特流的解码可自动根据已知协议进行，或者也可根据用户指定的参数以对定制或专有协议的比特流进行解码。例如，如果一个新的数据链路层协议被引入，则网络监视器500将包含适当的程序以响应用户通过用户界面输入而定义的协议。因此，所发明的网络监视器500就可识别出新协议的分组结构以对一进入的比特流进行分组。然后，网络监视器就可通过更高的协议层来执行其数据采集和分析方法。这种灵活性不仅限于数据链路层。换句话说，根据本发明所述的网络监视器500能够采集和分析其它协议层上定制协议的数据通信。

分组可利用路径A被直接保存在短期存储器508之中。对保存从通信线路接收到的全部数据来说，这是十分有用的。短期存储器508可周期性地将数据转移到长期存储器510中以防止溢出。尽管图中描绘的只有单一一个短期存储器508和一个长期存储器510，但本发明的内容也可应用于其它含有多个存储设备的分层存储器结构中。例如，存储器可包括随机存取存储器(RAM)、磁盘存储器以及磁带存储器。当RAM装满时，数据将被转移至磁盘存储器。当磁盘存储器装满时，数据将被转移至磁带存储器。当磁带存储器装满时，可以更换磁带以进行连续的长期数据存储，从而达到(例如)存档的目的。如图中位于存储器508和510之间并指向短期存储器508的双箭头所示，保存在存储器中的数据可在以后被检索出来以用于分析或者用于将在下面讨论的多个应用522-530之一。

将全部分组直接保存进存储器是安全应用528所需要的。例如，网络监视器可被编程为能够保存一周内的全部通信信息然后再覆盖最旧的保存数据。如果安全中的一个漏洞在其出现的一周内被检测到，则网络监视器可对保存的数据进行分析以确定漏洞的源头和程度。

分组的数据也由分组装置502提供给索引生成器504。索引生成器504产生一个与一个或多个接收到的分组相对应的索引。与一分组相对应的索引例子包括：用以说明分组被网络监视器接收到的时间的时间标记、分组长度、分组序号(1，2，…)、接口号、应用、以及相关的对话。记录发生器506接收分组以及生成的索引并产生一个含有生成的索引的记录。另外，记录发生器506还可将接收到的分组和索引与一个先前保存在存储器508、510当中的现有记录混合起来。记录发生器也可通过路径C直接接收一个分组并生成一个含有分组的未加索引的记录，或者也可将分组与一个先前保存在存储器508、510当中的现有记录混合起来。

例如，可以生成一个与ATM对话相对应的单个记录。当接收到一个与ATM对话相对应的第一信元(固定长度的分组)时，可对其加上索引并且生成一个加有索引的记录并保存在存储器508、510中。上述索引可以是(例如)一个ATM对话的标识符。当与ATM对话相对应的其它信元被接收到时，无需按照顺序，记录发生器506也可通过路径C直接接收到这些信元、从存储器508、510中读取先前保存的加索引的记录，然后将最新收到的信元与加索引的记录混合起来。除了简单地将属于一个普通ATM对话的分组混合入一个普通的记录以外，记录发生器506还可按正确的顺序在记录内将接收到的ATM信元排列出来。

记录/分组类型标识装置512或者从记录发生器506或者从存储器508接收分组或记录，然后通过对接收到的分组或记录的相应“类型”或“特性”进行标识来对它们实现特征说明。分组或记录的类型或特性是一个通用标识符，它可通过用户界面520得到编程。分组或记录的类型或特性的例子包括相应比特或字节数、其协议层、其在特定协议层上的协议类型、源地址、目标地址、终端用户ID以及应用ID。然后记录或分组将根据由记录/分组类型标识符512所识别出来的特性或类型而在分组类型过滤器516中得到过滤。经过滤的记录或分组随后被加上索引并被转成记录或直接保存进存储器508、510。

时间周期过滤器514从记录发生器或存储器508、510接收记录或分组，并根据它们被网络监视器从通信线路中接收到的时间而对其进行过滤。然后记录或分组被分离成多个与网络监视器在各个连续时间周期内所接收到的分组相对应的组。然后，统计结果发生器518对与在各个连续时间周期内所接收到的分组相对应的各个连续时间周期产生统计结果。

经过滤的分组和生成的统计结果可被保存在存储器中。图5所示功能块之间的路径表示存储器的内容可随后被用来执行其它的过滤或统计结果生成工作。这样，根据本发明所述的网络监视器就可通过根据先前生成的统计结果或保存的分组来生成统计结果以递归地采集和分析数据。

除了上述对网络监视器进行编程以用于定制的协议以外，也可通过用户界面来定义网络监视器内功能块的操作参数。例如，用户可以为每个连续时间周期指定待由索引生成器504使用的索引、待由时间周期过滤器514使用的时间周期以及待由统计结果发生器518产生的统计结果。

采集的数据以及由网络监视器500产生的相应分析可被提供给一个或多个应用522-530。例如，显示设备522可以显示统计结果、与用户的选择相对应的记录或分组，这些将在后面参考图10-28的屏幕显示得到说明。

网络监视器500所产生的统计结果可被提供给网络管理员或路由器524，从而允许在网络上根据相应于网络性能的统计结果进行通信的动态路由选择以及网络带宽管理，这也被称为“产生管理”。应该容易明白，通过测量单程延迟并通过在不同协议层上逐个协议地提供通信量统计结果，根据本发明所述的网络监视器就可通过定量表示通信流以识别出这些非对称性，从而使管理员能够根据测得的通信流正确地规划网络资源。

通信网络可在服务层上得到优化。因为根据本发明所述的网络监视器含有适当的程序用来分析任何协议层上的通信流。尽管不同的服务可能有不同的服务需求，而且这些服务经常被集成在一个通信网络中。但是，诸如实时多媒体、IP语音、数据以及Intranet的服务可能每个都具有独特的网络服务需求。例如，对IP语音来说，由于对语音传输衰减的容忍度低，所以含有数据延迟或丢失的低质量服务是不能容忍的。相反，数据传输是可以在有丢失情况的环境中进行的，因为可通过重发而修正错误。一个典型的路由器524被配置成能够根据不同服务的不同服务需求而相应地为通信流进行路由选择。

根据本发明所述的网络监视器具有可编程的特点，它能够识别出与每个单独服务和/或个人相对应的通信流，并且可提供与不同服务的交互分析。这个信息可被路由器用来(例如)在对网络拓扑、路由或服务分割进行优化等时做出实时或非实时的决定，从而完成一个适于为每个服务提供其自身服务需求所独有的质量的优化配置。

计费系统526可被配置成能够接收与不同服务和不同主机相对应的服务统计的质量和/或数量，并据此向客户收费。这样就可使客户根据这些统计结果来付费，而不是为先前未测量的服务提供费率平均的收费率。例如，客户可以使用其未受限制的互联网服务来进行IP语音通话。根据本发明所述，网络监视器500可为一个特定的客户产生统计结果，如号码、持续时间以及IP语音通话的目的地。然后这些统计结果被计费系统526转换成计费信息，并且该客户将据此付费。这样，就可根据通话的数量、持续时间以及通话目的地而对使用互联网IP语音通话的互联网用户进行计费，就好象非互联网对话服务一样。也可以类似地根据客户的电子商务交易次数、股票交易数量、请求股票实时报价的次数以及其它交易而对客户进行计费。另外，客户也可有根据服务质量而按不同计费率收费的服务合约并据此付费。网络监视器也可被用来保证与服务合约的一致性，它保证了最低服务标准或服务等级协议。

如上所述，采集到的数据可被安全应用528用来识别出安全中的漏洞、识别出不正当的网络使用或非法活动。例如，可对分组进行过滤以识别出已与服务器进行FTP的特定文件，识别出谁在特定的机器或服务器上进行过telnet(远程登录)，以及他们在登录后输入了些什么。

网络监视器所作的统计可与一个用户或一群用户相对应以用于获取用户或群组的概况。许多互联网广告都是根据通过询问用户几个问题所产生的用户概况而发送给用户的。根据本发明的网络监视器能够根据接收到的分组的内容对每个分组进行过滤以构筑出个人用户概况。例如，一个监视费城客户群的节点可以在每个用户发出的分组信息包进入互联网之前都对其进行查看。还有，也可通过查看(过滤)分组内的特定文本或用户所访问的web站点来对返回给这些用户的通信量进行分析。然后就可根据经过滤的数据而生成每个用户或用户群的概况，并将此内容提供给那些感兴趣向用户发E-mail的用户。上述用于过滤分组的方法也可类似地被法律机构或安全局用来监视通信以检查出非法活动或监视选定用户的行动。

网络监视器还可被用来向播放设备530提供数据以播放从通信线路监视到的客户会议。所有接收到的分组可被记录然后再根据特定的对话而得到过滤。可以根据包含在分组信息自身内的信息或者根据从诸如SDR(对话目录协议)的特殊分组或信道中接收到的对话信息而对该对话进行识别。然后再将与该对话相对应的分组原样播放给用户。这种方法可被用于重播用户的所有web活动或IP语音谈话。

网络监视器可被用户设置成能够利用专有或定制的协议对传输通信量的通信线路进行监视。沿着网络监视器与通信线路之间的适当物理层接口，用户就可以利用用户界面而输入专有的协议参数。这些参数为网络监视器定义了通信线路上传输的比特流内的分组结构，用于从比特流中分离出分组。附加的参数还在分组内定义了字段，从而使网络监视器能够根据这些分组字段的内容而按特定顺序来提供统计结果。网络监视器也可类似地被编程为能够监视和分析与比链路层更高的层中的定制协议相对应的数据。

在一个典型网络中，数据传输协议为每个分组提供了一个时间标记字段。从源向目的地传输的分组的时间标记字段中含有一个代表源传输时间的时间标记值。当分组在目的地被接收到时，目的地可以通过从当前时间值中减去时间标记值而计算出从源到目的地的单程传输延续时间或延迟。这种协议使得单程传输延迟和服务质量的测量变得更加简单，因为它无需在网络监视器之间进行通信以在单独的网络监视器上匹配分组对。对一个在源和目的地之间含有许多单独的中间传输路径的网络来说，单程端-端传输延续信息并不会提供与源和目的地之间某处的具体瓶颈有关的信息。作为改进了的瓶颈诊断来说，根据本发明所述的一种网络监视器不是仅计算端-端延迟，而是可被连接在源与目的地之间的中间独立传输路径之一上。该网络监视器能够接收在网络中从源传向目的地的分组之中的时间标记值。通过从接收到分组的当前时间中减去时间标记值，网络监视器就可确定一个中间持续值。可以用上述一个或多个中间放置的监视器来找出网络中的瓶颈。在一个典型实施例中，各个源、目的地以及网络监视器都含有一个GPS(全球定位卫星)接口，它用来接收当前时间以用于计算传输持续时间。

根据本发明所述的网络监视器，其能够提供的量度之一就是一个相对于特定源-目的地对、特定源或目的地而言的被放弃的连接数的指示以及相对于特定源或目的地而言的被放弃的连接数与总连接数之间的比率信息。以下将参考图6的流程图600对一种用于识别有问题的TCP(传输控制协议)服务器的典型方法进行说明。

正如本领域技术人员所知道的那样，一个TCP对话通常是由客户打开，随后当它没有更多的数据向客户发送时由服务器关闭。如果一个TCP对话被客户关闭，这就说明该对话被过早地终止。作为一个例子，客户(使用浏览器的用户)可以利用web来关闭对话，因为他改变了对与所需数据有关的需求的主意或者在接收所需数据时因延迟而失去耐心。

网络监视器接收到从一通信线路发出的分组信息包(步骤602)并识别出该分组是否属于TCP对话(步骤604)。网络监视器可以通过对分组中的一个协议字段(它代表了该分组属于多个传输层协议中的哪一个)进行识别和解码，从而识别出该分组是否为一个TCP分组。一旦分组被判定为TCP分组，则TCP客户和TCP服务器就会被识别出来(步骤606)。然后，该分组将受到检验以确定它是否为打开或初始化TCP连接(步骤608)。如果该分组是打开或初始化TCP对话的分组，则一个用于先前识别出来(在步骤606中)的TCP服务器的TCP对话总数的计数将被加1(步骤610)。

如果该分组不是一个开启分组，则网络监视器将接着确定该分组是否要关闭TCP连接(步骤612)。如果不是，则网络监视器继续获取下一个分组(步骤602)。否则，网络监视器将确定(步骤614)连接是否正在被服务器关闭(例如，通过检查FIN位)，或者连接是否正在被客户关闭。由服务器关闭代表了对话的正常终止，然后网络监视器将接着获取下一个分组(步骤602)。不是服务器关闭则表示对话的过早终止，并且一个与特定服务器相对应的过早关闭计数将被加1(步骤616)。特定服务器的过早关闭的TCP对话与总TCP对话数之比被计算出来(步骤620)并且被与一预定的门阈值进行比较(步骤622)。如果过早关闭比超过了此阈值，则特定的服务器将被判定为是一个“有问题的服务器”(步骤624)。

正如本领域技术人员所知道的那样，在一些网络中，所有相应于特定TCP对话的分组可能不是通过同一条通信线路传送，因此就不能用单一一个监视器接口来检测它们。网络监视器可被放置在服务器或与服务器相邻的位置或者放在客户端以“抓取”所有的分组。另外，也可用上述多个网络监视器接口来保存与分组相对应的记录。保存的记录随后可得到分析以确定哪个服务器可能是“有问题的”。在一个示例性实施例中，每个远程网络监视器都利用(例如)过滤器寻找FIN分组，当检测到FIN分组时，它们将把含有FIN分组内容的信息发送给一个将做出“有问题的服务器”的中央监视器。

尽管上述内容是针对TCP对话而考虑测量被放弃的连接并且识别出有问题的服务器。但这些内容通常也适用于其它协议和其它协议层，而且它们并不仅限于识别有问题的TCP服务器。例如，在另一个协议中，一个对话可以被同一个节点打开和关闭，无论它是服务器还是客户机。另外，对话有效负荷可在单独的分组中传输或者在单独的通信链路上从对话控制消息中传输。

在图7所示的其它备选实施例中，根据本发明所述用于监视通信的系统701可以包含一个或多个网络监视器，每个监视器都分别与网络中的各个通信线路相连接，如图7所示。第一、第二和第三网络监视器700、710、720分别与第一、第二和第三通信线路702、712及722相连。每个网络监视器700、710、720都能以如图5所示的数据流框图按照上述方法采集和分析从其各个通信线路中接收到的数据。

除了可提供独立的数据采集和分析以外，含有多个网络监视器700、710、720的系统也可将从不同网络监视器接收到的数据相关联起来，从而提供经改进的网络性能分析。例如，可为从第一通信线路702传向第二通信线路712的数据计算单程延迟。

图8的流程图显示了一种计算单程延迟的典型方法。一般来说，当“同一个”分组在两个单独的网络监视器上得到识别时，其被各个监视器接收之间的时间差异可被用来计算单程延迟。“同一个”分组可通过将分组中在单独网络监视器之间发生变化的各个部分排除出去而得到识别。

第一和第二网络监视器700、710分别从其相应的通信线路702、712中接收数据(步骤802、806)。分组规格器502将接收到的数据分离成多个分组(步骤803、807)，并且各个索引生成器(504)将各个分组的接收时间(时间标记)与各个分组相关联。记录生成器506产生一个含有与各个分组相对应的时间标记的记录以及一个数据分组的独特部分(UDPD)，并将记录保存在存储器508、510当中(步骤804、808)。

UPDP是接收到的分组的一部分，它使数据单元是唯一可识别的。例如，对以太网通信线路和IP负荷来说，以太网首标被从分组信息包中清除，IP ttl和校验和字段被置零，而且IP首标和其后20个连续字节被保存起来并被记录生成器506引入到一个UPDP记录中。UPDP对不同的协议可以是不同的，并且可利用用户界面对其进行编程。

第一网络监视器700的UPDP记录被与第二网络监视器710的UPDP记录进行比较以匹配出UPDP对(步骤810)。第一和第二网络监视器可通过通信链路730进行通信。通信链路730可由网络监视器通过它们所监视(频带内)的网络进行通信而实现。另外，通信链路730也可在网络外部通过(例如)电话线路、无线连接或卫星连接(频带外)进行通信而实现。

对每个相互匹配的UPDP来说，第二网络监视器的相应时间标记ts2被从第一网络监视器的相应时间标记ts1中减去(步骤812)。这个时间差ts1-ts2代表与此UPDP相应的数据从第二网络监视器710传输至第一网络监视器700的持续时间。通过计算UPDP，使用相同或不同通信协议的第一和第二通信线路702、712之间的确定负荷的传输延续时间就可得根据上述方法到确定。

在一个典型实施例中，时间差ts1-ts2被归一化(步骤814、816)以用于计算第一通信线路702的延迟。延迟是通过从时间差中减去与UPDP相对应的分组在第一通信线路中传输的延迟xmit-delay而被归一化的，其公式如下：

归一化网络延迟＝(ts1-ts2)-(1ink_speed/packet_length)

其中，linkspeed是第一通信线路712上的传输速率，而packet_length则是分组在含有UPDP的第一通信线路上分组的长度。计算出来的网络延迟可以包含排列延迟部分和传输延迟部分。如图5的数据流框图所示，统计结果生成器518能够接收待被生成UPDP记录的分组，统计结果生成器518计算出分组中的比特数并将此统计结果提供给记录生成器以引入UPDP记录用于归一化计算。通过类似地计算出从第一至第二网络监视器的延迟时间并将此延迟与从第二到第一网络监视器之间的延迟相加，就可估计出往返时间。

计算出来的传输延迟，其精确度取决于第一和第二网络监视器700、710的时钟的同步程度。网络监视器可以通过通信线路730进行通信以将它们各自的时钟进行同步。在一个典型实施例中，网络监视器的同步校对是通过接收从一个公共时间源740发出的时间信号而实现的。在一个典型实施例中，传输延迟产生的精确程度小于10微秒，就是说，计算出来的延迟与实际延迟之间的差异小于10微秒。在一个优选实施例中，公共时间源740是一个诸如全球定位卫星(GPS)的全球卫星系统，并且各个网络监视器700、710都含有一个接收器以用于接收从一个或多个全球卫星发出的时间信号。当被监视的两个通信线路彼此相邻时，第一和第二网络监视器700、710之一含有一个主GPS接收器，而另一个则可含有一个与主GPS相连的从GPS接收器。

一个典型的网络监视器是由一个在与正在监视的通信线路相连的网络接口卡(NIC)上具有一接口计算机的计算机主机来实现的。如上所述，NIC所接收的数据可在被发送给计算机主机之前得到处理。同样如上所述，网络监视器可以使用从通信线路传输的数据的接收时间来产生网络通信统计结果或度量。为了精确地记录数据在通信线路中的接收时间，接口计算机将接收时间与数据关联起来(给数据加上时间标记)。通过使接口计算机而不是计算机主机给数据加上时间标记，就可减少或消除因从接口计算机向计算机主机传送数据而造成的接收时间中的不精确性。

在一个典型实施例中，接口计算机含有一个接口时钟并且计算机主机含有一个主机时钟。主机时钟和接口时钟被同步，从而使计算机主机可以使用时间标记来精确地产生与接收到的数据相对应的统计结果。在一个典型实施例中，接口时钟由一个计数器实现。随着各个分组被从通信线路中接收到，计数器的当前值也被与该分组相关联起来。分组随后被与计数器值一起传送给计算机主机。计算机主机含有一个与绝对时间基准同步的主机时钟。如上所述，此绝对时间基准可由全球定位卫星提供。

主机时钟和接口时钟的同步是通过将被接口计算机与各个分组关联起来的计数器值与绝对时间基准相关联而实现的。对接口时钟与主机时钟的同步方法的说明参考了图9A和9B所示的流程图，图9A和9B分别对应于计算机主机和接口计算机的操作。一般来说，计算机主机会周期性地请求从接口计算机获取接口时钟计数器的数值，并利用这个数值与主机时钟的计数器相关联。

参考图9A和9B，如果计算机主机已经从接口计算机接收到一套分组(步骤902)，则计算机主机将接着通过向接口计算机发送一个“获取计数器”消息以请求从接口计算机获取计数器值(步骤906)，在一个典型实施例中，接口计算机通过直接存储器访问(DMA)操作在计算机主机的存储器中保存了一套分组信息包，然后中断计算机主机以表明分组的传输。如果计算机主机尚未受到一套分组，则它会在一个超时时间内等待分组(步骤904)，在超时时间之后，计算机主机将请求获取计数器值(步骤906)。当请求获取接口计数器值时，计算机主机记录下其主机时钟的时间。

当接口计算机收到一个从计算机主机发出的“获取计数器”消息(步骤920)时，接口计算机将确定(步骤922)其当前是处于空闲状态还是正在从通信线路接收数据。如果不是空闲状态，则接口计算机将向计算机主机发送(步骤924)一个“重试”信息。如果是空闲状态，则接口计算机将读取计数器值并减去一个预先计算好的中断服务时间(步骤926)，以生成一个经调整的计数器值。然后，接口计算机将此经调整的计数器值发送给计算机主机(步骤928)。

预先计算好的中断服务时间对应于接口计算机收到主机发出的计数器请求与接口计算机向计算机主机提供经调整的计数器值之间的持续时间。可以利用例如一个逻辑分析器实验性地测定接口收到获取计数器的请求与接口提供计数器值之间的持续时间，从而确定出这个预先计算好的中断服务时间。为了使实验获得的延迟测量结果与正常操作期间的延迟相符合，实验性的请求在当接口处于空闲状态时被提供给接口，并且接口仅在空闲状态下才为请求进行服务。正如本领域技术人员所知道的那样，接口计算机的响应时间可被重复获取以生成一个在操作期间使用的平均服务时间。

当接收到计数器值后，计算机主机将计算出接口时钟计数器相对于计算机主机时钟的频率估计值(步骤912)。此相对频率可被用于将在下一次同步校对程序执行之前接口计算机所收到的分组与计数器值进行关联。在一个典型实施例中，在计算相对频率之前，计算机主机会从步骤906中所记录的时间中减去一个主机中断服务时间，以算出主机收到从接口发出的计数与主机开始计算相对频率之间的延迟。

在一个典型实施例中，有多个与各自的通信线路相连的网络接口被作为单个单元而实现，它们共享了一个公共时钟。因此，只需利用与从任何一个通信线路接收到的数据相关的时间标记对公共时钟与主机时钟进行同步校对就可实现同步。

图10-28是一些典型的屏幕显示，它们描绘出了一个图形用户界面(GUI)，此界面用于显示网络监视器所采集和分析的数据并且用于控制根据本发明所述网络监视器所执行的数据分析。图10的显示中包括：表格框1010、第二框1030以及按钮框1050。表格框1010包括：第一部分1011，它带有可由用户选择的可选框以及文本输入框；以及第二部分1012，它含有与接收到的数据相对应的统计结果的表格。位于可选按钮、框和字段下方的表格1023含有与被分析的特定数据相对应的项目。绘图框1030包括：标绘图形1032和1034，它们显示出了与接收到的数据相对应的统计结果。按钮框1050含有一套可由用户配置的按钮。

表格框1010的第一部分1011的文本输入框及可选框可被任选地固定以阻止用户对选项的选择以及防止用户在文本框内进行输入。以下列出了图10所示的选项及方框的相关功能：

1·Start(开始)：Start字段1013指定了对通信量进行分析的开始时间，其结果被显示在GUI中。

2·Stop(停止)：Stop字段1014指定了通信量受到分析的结束时间，而且其结果被显示在GUI中。因此，Start/Stop字段1013、1014就指定了通信量开始受到分析与通过GUI被提供给用户之间的时间。可按多种格式来显示Start/Stop字段1013、1014的内容。例如，图10是以日期格式来显示其内容的。另外，也可用+/-小时的格式(它表明与当前时间相关的时间)来显示其内容，词条“now”可被用于表示当前时间，或者词条“never”可被用于表示数据应被连续更新。

3·Window(窗口)：Window字段1015说明了在计算待被在第二框1030中绘制出来的数值时的时间间隔。例如，如果用户输入“1”作为Window字段，则绘图字段中的数值将被逐秒地绘制。用户也可在Window字段中以代表绘图解析度的适当实用单位输入数值(例如：1s、1ms、100μs、…如果水平尺度的单位是时间，则它代表时间的分辨率)。空白的Window字段1015表示水平尺度的解析度应被自动设定。

4·Top N(最高N)：Top N字段1016指定了出现在表格框1010的第二部分1012之中的表格1023的最大表项数目。如果Top N为10，则表格1023将含有被一特定列值以降序排序的10个行。如果Top N为-10，则表格1023将含有被一特定列值以升序排序的10个行(即，这变成了底部N的概念)。

5·Filter(过滤)：Filter窗口1017描述了一个待被应用到将要显示的数据上的过滤器。例如，过滤器可以是“协议IEEE802.3”用以为带有链接层协议IEEE802.3的分组显示结果。对先前已经过过滤的数据可以只显示IP通信量，一个“主机10.0.0.1”的过滤器可以为IP通信量显示出结果(即，不是源主机就是目标主机为10.0.0.1)。当然也可采用各种复杂的过滤器。

6·Do DNS(执行DNS)：Do DNS检查框1018将表格1023中的表项从数字表述转换成文本表述。例如，在IP中，数字表述(IP地址)被用于识别一个主机。DNS(域名服务器)可含有一个从这个IP地址的数字表述到文本表述的映射。例如，当Do DNS检查框受到检查时，IP地址10.0.0.1可被转换成文本表述foo.niksun.com。对DNS以外的其它协议来说，检查框被赋予的标记将随着等效的功能而发生变化。

7·Help(帮助)：当紧接于各个字段之后的Help按钮1019被选中时，屏幕上将会显示文字提示帮助。例如，如果Filter 1017之后的帮助按钮被选中，则屏幕上将弹出一个针对该“Filter”的帮助窗口。

8·Refresh(刷新)：Refresh按钮1020可对所有框内的内容进行刷新。

9·Forward and Backward Buttons(前进和后退按钮)：位于表格框1010的第一部分1011的顶部的Forward按钮1021和Backward按钮1022与浏览器中的“Forward”和“Backward”按钮相类似，只是它增加了使所有框架的内容都保持对应的功能。与此相反，点击浏览器中的“Forward”和“Backward”按钮会造成逐帧的向前或向后移动，从而导致丢失各个帧之间的对应性。

绘图框1030含有图形1032、1034、文本输入框以及可选框和按钮。文本输入框及可选框可被任选地固定以阻止用户对选项的选择以及防止用户在文本框内进行输入。以下列出了图10中绘图框1030内所示的选项及方框的相关功能：

1·Update Tables and Plots(更新表格和图形)：此按钮1036可以用协调的方式更新表格和框架。例如，如果用户通过用鼠标选择图形的一部分以进行放大，则点击按钮1036将更新选定时间范围内被放大的图形和表格。

2·Byte/Packet Counts(and Bit/Packet Rates)(and Utilization)(字节/分组计数)(比特/分组速率)(以及利用率)：此按钮1037在以下三个选项之间改变：“字节/分组计数”、“比特/分组速率”以及“利用率”。而图形也相应地在确定窗口、比特和分组速率(即，每秒钟的比特或分组数)以及利用率之间改变。在一个典型实施例中，字节图形显示出了与链接速度(即，比特速率除以单位为比特每秒的链接或信道或虚拟电路容量)相关的归一化数值。

3·Toggle Parent Plot(切换父图形)：此按钮1038可如下所述地对图形中的线条进行切换。

4·Toggle Plot ofAverage(切换至平均值图形)：选中该按钮1039可将图形的Y轴的平均值(未示出)显示出来。

5·Play/Forward/Stop/Fast Forward/Rewind/Fast Rewind/Pause按钮(播放/前进/停止/快进/后退/快退/暂停按钮)：这些按钮1040可控制屏幕上图形的播放，从而允许图形被随时更新并随时间滚动。表格框1010中的表格1023可被更新成与图形1032、1034相符合。

6·Top Plot(顶部图形)：图10中的顶部图形按钮1032是一个以字节/秒为单位的链路层比特速率(Link Level Bit Rate)图。

7·Bottom Plot(底部图形)：图10中的底部图形按钮1034是一个以分组/秒为单位的链路层分组速率(Link Level Packet Rate)图。

表格框1010中的表格1023根据在由开始字段1013和停止字段1014所指定的时间间隔内被发现为有效的协议而自动生成的。图10中，表格1023显示出了IP分组和919ARP分组被网络监视器接收的开始与停止之间的时间间隔为264K(K＝1000)。此IP分组和ARP分组分别含有99M和55K字节(M＝1,000,000)。

表格1023中的表项可被选择以通过选定的字段对数据进行排序。例如，如果表格中的分组报头被点击，然后表格将按分组列以降序进行排序活动，当首标被再次点击时，则它将被以相反的顺序排序。选择其它表格报头也可类似地对表项进行排序。

图11显示了本发明的缩放能力。图10中的开始/停止时间间隔7:18/12:02被缩小至图11中的9:00/10:00。表格1023和图形1032、1034也因此被更新。通过在字段1013、1014中手动输入图形1032、1034中的时间间隔或通过用(例如)鼠标进行图形选择，就可对Start字段1013和Stop字段1014的数值进行调整。在进行选择时，显示将移近到选定的间隔内。移近图形可使用户所选定间隔的图形被重新生成。选择“Update Tables and Plots”(更新表格和图形)按钮1036将使表格框内的数据1010与图形1032、1034同步变化。如果用户选择“auto-sync”(自动同步)功能(未示出)，则图形也可被自动更新。“Update Tables and Plots”按钮1036允许用户在不对数据进行更新的情况下向所需的时间间隔移近几次。这样就减少了网络监视器在选定最终间隔之前的不必要处理。

用户可将由图10中表格1023内的表项所列出的协议选择为(例如)超链接，从而列出其中封装有选定协议的协议。点击或选取图10中表格1023内的IP表项将出现图12所示的屏幕显示。这个选择可使图10中图形框1030内的图形1032、1034自动进行更新以仅显示出图12所示图形1232、1243中的IP通信量。

此图形用线图1235表示从链接层发出的所有通信量并且用条形图表示所有的IP通信量。这种双显示格式提供了一层(本情况下为IP)内所有通信量与上一层(本情况下为以太网)内的所有通信量之间的全局性图形表示。

表格框1210内表格的内容也可得到更新以与IP通信量相对应。表格1223列出了“Start”与“Stop”之间所有在链路中使用并正被监视的IP协议。在这种特殊情况下，只有TCP、UDP和ICMP IP协议被找到。IP主机的活动也可被显示出来。通过向下滚动表格框1210，就可在图13中看到源主机在TopN＝2的情况下通过计数所获得的IP表格。

图13中，通信量被显示在一个源主机表格1302中以用于由主机产生的通信量、被显示在一个目标主机表格1306中以用于由主机产生和收到的通信量。点击表格框1310中的链路1308将产生一个如图14所示的“host-pairs”(主机对)表格1402的屏幕显示。

主机-对表格1402为每个已识别出的主机对列出了在主机对之间传送的分组和字节的总数。

把“destination host”(目标主机)选择为(例如)10.0.0.47(图14中的1404)将进一步对选定的“destination host”进行过滤，从而仅显示出目的地为主机10.0.0.47的通信量。参考图15，在这种情况下，表格1502中所显示的在开始与停止间隔之间监视的通信量就是所有从主机128.32.130.10发出并且目的地为10.0.0.47的通信量。

因此，我们可以看到，只有主机128.32.130.10在开始与停止间隔之间向10.0.0.47发送通信量。应该注意的是，此时，图形框1530中的图形1532、1534用条形图1535的形式显示了这两个主机之间的活动，并用线形图1536的形式显示了所有的IP通信量。也可用颜色来区分图形或表格中的数据。

如果图12中表格1223内的TCP表项被选中，则我们可使协议栈上移，而且表格框1610被更新成图16所示内容(它包括了用于各个基础应用1612的TCP层计数)。例如，它有27K HTTP(web)分组，其中含有在指定时间间隔内接收到的21M字节。

在图16中，如果“TCP flow”(TCP流)按钮1604被选中，则所有的TCP流将与它们的持续时间以及性能的量度一起被显示出来，如图17所示。一个TCP流含有一套属于在两个主机之间进行的一个TCP对话的分组信息包。每个TCP流都可被绘制出来，或者可以通过选择“Plot”(图形)按钮1702或“pkts”按钮1704来分别观看与一个TCP流或所需TCP流相对应的分组。应该注意的是，如果Do DNS选项被选中，则所有的TCP主机IP地址将被它们各自的名称所取代(例如：foo.niksun.com)。用户可以通过点击其它链接(如：一个将一特定主机识别为10.0.0.47的链接)以集合各个流。如果用户点击10.0.0.47(1706)，则用于主机10.0.0.47的集合流将被如图18那样被显示出来。

图18显示出了始发自主机10.0.0.47的所有TCP流。图18的屏幕显示是通过给图17所示的数据加上一个对10.0.0.47主机的过滤选择而生成的。通过点击图18中的其它主机(超链接)就可类似地加上其它的过滤。例如，在“Term host”列中，如果用户选取主机10.0.0.5(1802)，则在主机10.0.0.47(作为源)与主机10.0.0.5(作为目的地)之间的所有TCP流将被显示出来。

在图16的屏幕显示中可以提供一个诸如“TCP Performance”(TCP性能)的选择以用于生成TCP性能表格。通过点击“TCP Performance”超链接，TCP性能表格1902就被显示在图19中。整个表格框被清晰地显示在图19中。此屏幕显示含有一个“Troubled TCP Clients”(有问题的TCP客户机)表格以及一个“Troubled TCP Servers”(有问题的TCP服务器)表格以用于在TCP客户机和服务器都出现问题的最坏情况(TopN字段的数值等于2)。在由开始和停止字段所指定的时间间隔上，下表显示了对各个TCP客户机和服务器的测量结果：

1.No.of Connections(连接数)：它代表了与客户机或服务器相连的TCP总数。

2.TCP Data Bytes(TCP数据字节)：它代表了全部TCP连接所运载的数据字节总数。

3.TCP goodput(Bytes/sec)(TCP有效吞吐量(字节/秒))：它代表了TCP负荷吞吐量(应用吞吐量)或TCP运送量。即，应用字节的总数除以发送的由连接数平均的这些字节的时间。

4.TCP throughput(Bytes/sec)(TCP吞吐量(字节/秒))：它表示TCP连接中运载的字节总数除以时间(TCP流速)。

5.Avg RTT(平均RTT)：它显示了客户机与服务器在多个连接之间的平均往返时间。

6.Avg Response(平均响应)：它代表了从服务器至客户机的平均响应时间。

7.Retransmit％(重发％)：它显示了被重发(由阻塞、丢失、延迟或任何其它原因造成)的TCP字节的百分比。

TCP性能表格可被定制以通过用户界面来增加其它的量度或删除已有的量度。

选择图16中的http超链接将出现如图20所示的web通信量(http)统计结果。

在图20的屏幕显示中可以提供一个诸如“http performance”(http性能)的选择以用于生成http性能表格。通过点击“http performance”超链接，http性能表格2102就被显示在图21中。整个表格框被清晰地显示在图21中。此屏幕显示含有一个“Troubled WWW Client”(有问题的WWW客户机)表格以及一个“Troubled WWW Servers”(有问题的WWW服务器)表格以用于在WWW客户机和服务器都出现问题的最坏情况(TopN字段的数值等于2)。

http性能表格2102中的量度可被在线生成，并且被显示给用户以作为有问题的WWW客户机和WWW服务器，或者也可被直接发送到网络管理系统以便立刻采取行动。这些量度可以帮助网络管理员找出坏的服务器和连接。此信息也可被作为根据以通知web服务器操作员购买更多的带宽或修复他的服务器。另外，它还可被用于通知客户机：它们需要更多的带宽或需选择另一家服务提供商。因此，这些量度可被用于提高对用户的服务质量并最终可以给网络管理者带来更多的回报。例如，在表格“有问题的WWw服务器”中，其中列出的第二个服务器(204.162.96.10)具有约33％的web放弃率。这说明此web站点潜在损失的客户约有33％。

表格框1610被更新成图16所示内容(其中含有用于各个基础应用1612的TCP层计数)。例如，它有27K HTTP(web)分组，这些分组中含有在指定时间间隔内接收到的21M字节。

当图12中的UDP超链接1240项被选中时，使协议栈上移，并且提供图22的显示以用于说明UDP通信量的层次。在表格框2210中，“UDP层计数”表格被显示出来以表示各个UDP应用或UDP端口的活动。例如，此显示中说明了有453个域分组，它们共含有69K字节。

应该注意到，UDP带宽利用率仅为全部IP(见图12中的表格1223)的约0.32％。因此，图形框仅显示出了IP通信量(红色图线)，它使UDP通信量(蓝色图线)显得十分矮小。现在，通过点击“ToggleParent Display”，用户就可以仅放大与UDP通信量相对应的Y轴(未示出)，而将IP图线(父图形)清除掉。

选中图22中的“MBONE”按钮2202将会出现对MBONE(多媒体构架)对话的应用层分析的显示，如图23所示。

选中图22的按钮框2250之内的“View Packets”按钮2204将会给出如图24所示的所有分组的映象。由于网络监视器能够记录所有的分组，所以全部分组及其内容都可被看到。图24中的链接允许用户灵活地过滤数据流。如果用户点击10.0.0.12(2402)，则转储的下一个屏幕显示中将只含有从10.0.0.12发出或发往10.0.0.12的分组。在此下一屏中，如果用户选取10.0.0.5，则更新后的屏幕显示将只显示10.0.0.12与10.0.0.5之间的分组。用户也可通过选取端口对转储进行进一步的限制。通过从位于屏幕显示顶部的各个选择2404中选取一种转储类型，就可使用各种用于转储分组的选项。

选中图22的按钮框2250之内的“Recommend”按钮2206将会显示出对网络的实时容量或带宽建议。当检测到“Recommend”按钮2206被选中后，网络监视器将利用一个数学模型来对用户观看到的数据进行解释以提供对应用(或其它类型的通信量)的带宽利用率的建议，或者用于设置链接/交换容量以获取一个指定的服务质量。图25中显示了几个这样的统计结果2502。用户可以输入所需的服务质量值(如损失率和最大延迟)以为被分析的通信量的类型获取对支持所需服务质量而需要的容量的建议。图25和26显示出了可以提供的建议。

在一个典型实施例中，用户可能选择一个特殊应用以及一个“忙周期”，因为他想通过对网络资源进行“测评”以确定特定质量的服务水平。随后，网络监视器中的适当子程序会对该特殊应用的通信量进行分析并提取或估计出“模型参数”。利用数学模型和对参数的估计以及服务的质量参数(如分组损失率、网络延迟、帧速率、等等)，就可计算出各种统计结果(如：统计性多路复用增益、容量需求、以及缓冲区分配)，并可为用户提供交换机/路由器配置、网络资源或服务器参数的优化建议以在满足服务质量需求的同时使网络利用率最大化。这种建议可在统计结果针对属于不同服务的每个分组或一套分组而得到更新的实时基础上被计算出来，并且可以沿着用于优化配置上的每个流的路径向网络成员提供反馈以达到动态资源分配，从而满足服务质量需求。

图中的X轴2602代表了用户数，Y轴2604则代表容量(其单位为比特/秒)。对所需数量的用户，可从图表或从与表格结果相应的图形显示中读出容量。图27描绘了一个与图22相似的屏幕显示，它用于当Do DNS被选中以使IP地址被解析成其注册名称时的情况。

图28是当图22所示的按钮框2250中的“Statistics”(统计)按钮2208被选中时在屏幕上显示出来的统计结果图。当选中“Statistics”按钮2208后，网络监视器将根据当前被用户观看的数据而计算出各种统计结果。典型的统计结果包括：分组长度分布、协议分布、每个用户的带宽利用率、域的带宽利用率、每个服务器的平均响应时间、服务器-客户机对之间的平均往返时间以及性能量度。

本发明不仅限于计算机主机和接口计算机之间的特殊功能区分。也可只用一个计算机来完成计算机主机和接口计算机的功能。而且与根据本发明所述的网络监视器的接口也不仅限于用户接口，也可通过正在受到监视的网络或其它通信线路来与网络监视器连接。

尽管以上的说明是参考了具体实施例来进行的，但本发明并不受这些具体细节的限制。相反，在本发明权利要求的范围和等价范围之内的各种具体修改都不会脱离本发明的精神。

Claims (9)

1.一种将数据传输到通信线路上的方法，包括如下步骤：

将时间与所述数据相关；

产生包括多个字段的分组，其中至少一个字段对应于与所述数据相关的所述时间，并且至少一个另外的字段对应于所述数据；以及

将所述分组传输到通信线路上。

2.根据权利要求1所述的方法，其中，与所述数据相关的所述时间是将分组传输到通信线路时的时间。

3.根据权利要求2所述的方法，其中，所述相关的时间是根据绝对时间基准确定的。

4.根据权利要求2所述的方法，其中，所述相关的时间是根据来自至少一个全球定位卫星的信号确定的。

5.根据权利要求1所述的方法，其中，从另一条通信线路接收所述数据，而且与所述数据相关的所述时间是从该另一条通信线路接收所述数据时的时间。

6.一种从第一通信线路接收数据的方法，其中，所述数据包括分组，该分组具有至少一个对应于与所述分组相关的时间的字段，并且至少一个其他字段对应于所述数据，该方法包括如下步骤：

将从所述第一通信线路接收的所述数据分离为分组；以及

从所述分组解码所述时间。

7.根据权利要求6所述的方法，其中，所述分组来自第二通信线路，并且与所述分组相关的所述时间对应于其在所述第二通信线路上的传输，该方法进一步包括如下步骤：

当从所述第一通信线路接收各个分组时，确定各自的接收时间；以及

通过从传输时间减去所述接收时间产生对应于每个分组的传输延迟。

8.根据权利要求7所述的方法，其中，基于与所述分组相关的所述时间、所述分组的所述接收时间、所述第一通信线路上的数据传输速率以及所述第一通信线路上的所述分组的长度中的至少一个，来计算对应于每个分组的所述传输延迟。

9.根据权利要求8所述的方法，其中，对应于每个分组的所述传输延迟用下列等式计算

传输延迟＝(ts1-ts2)-(link_speed/packet_length)

其中，ts1是接收所述分组的所述时间，ts2是与所述分组相关的所述时间，link_speed是所述第一通信线路上的数据速率，而packet_length是所述第一通信线路上的各个分组的长度。

Images