[发明专利]一种应用系统性能故障取证分析的方法

权利要求书

1.一种应用系统性能故障取证分析的方法，其特征在于，包括以下步骤：

A、采集模块采集工业交换机端口镜像流量，对采集到的应用系统网络报文数据进行序列化，并缓存在内存中，构建原始报文缓冲区PacketCache；

B、元数据构建模块使用PacketCache中的报文计算应用系统网络中任意两个IP节点对[源IP，目的IP]的业务交互响应时间brt，将任意两个IP对的一次交互行为形成一个业务交互元数据，构建元数据缓存BrtCache，同时所有的元数据存储至硬盘；

C、周期性学习，建立采样点，构建应用系统网络业务交互基线缓存

BaselineCache；

D、每当获取新的交互响应元数据，与对应的基线阈值进行对比，并生成应用系统网络异常告警；

E、当告警发生时，数据存储模块将告警相关的原始报文从PacketCache提取，形成pcap格式并存储至硬盘，作为告警取证依据。

2.根据权利要求1所述的一种应用系统性能故障取证分析的方法，其特征在于：在所述步骤A中原始报文缓冲区PacketCache的构建，该缓冲区是一个环形队列，实现算法如下：

1)缓冲区是一个先进先出队列。写入模块将信息插入队列；读出模块将信息弹出队列；

2)写入模块与读出模块需要进行信息的协调和同步；

3)对于多线程和多进程的写入或读出模块，写入模块间以及读出模块间需要进行临界区处理。

3.根据权利要求1所述的一种应用系统性能故障取证分析的方法，其特征在于：在所述步骤A中原始报文序列化方法为，将原始报文序列化为对象mPacket，该对象数据结构如下：

4.根据权利要求1所述的一种应用系统性能故障取证分析的方法，其特征在于：在所述步骤B中业务交互响应时间brt计算步骤为：

1)会话重组，采用五元组确定会话，五元组是{源IP地址，源端口，目的IP地址，目的端口和传输层协议号}这五个量组成的一个集合，采用TCP头中的Sequence Number来保证数据报文的顺序；一段时间内的会话表示为：

{S₀,S₁,S₂,S₃,S₄,S₅,......S_n}

2)确定业务交互，业务交互确定的原则发生在IP节点对[源IP，目的IP]之间的会话序列按发生时间先后为{S_i,S_i+1,S_i+2,S_i+3,......S_i+m},则该会话序列应具备以下特征：

相邻会话发生时间间隔不能超过3秒，即上一个会话结束时间与一个会话开始时间相差不超过3秒

整个会话序列的总时长不超过60s，即最后发生会话S_i+m的结束时间与第一个发生会话的开始时间相差不超过60秒

3)计算会话响应时间，S_i会话的响应时间计算为该会话最后一个数据报文的发生时间与该会话中第一个数据报文发生时间的差值，设为rt_i，则该业务交互对应的会话响应时间序列为：{rt_i,rt_i+1,rt_i+2,......rt_i+m}；

4)业务交互相应时间brt的计算公式为：

5.根据权利要求1所述的一种应用系统性能故障取证分析的方法，其特征在于：在所述步骤B中业务交互元数据对象mBusiness，该对象的数据结构为：