基于永久在線應用識別的信令風暴解決方案研究

許石多

【摘 要】智能終端，尤其是智能手機近些年的快速普及和廣泛應用，促使大量PC 端應用軟件逐步向智能終端轉移。智能終端新出現(xiàn)的大量應用需要傳統(tǒng)互聯(lián)網(wǎng)的支持。其中需要通過向服務器發(fā)送心跳包，并以此維護自身在線狀態(tài)的永久在線應用，會占用大量的信令資源對傳統(tǒng)移動互聯(lián)網(wǎng)運營造成了巨大的壓力。為了解決這個問題，作者從永久在線應用對傳統(tǒng)互聯(lián)網(wǎng)影響的原因探索出發(fā)，對目前傳統(tǒng)移動互聯(lián)網(wǎng)信令風暴的解決方案進行深入調(diào)研，重點研究了解決信令風暴中的幾項關鍵技術：對傳統(tǒng)移動互聯(lián)網(wǎng)基站的改造，以及與改造相對應的永久在線應用識別技術的研究。

【關鍵詞】永久在線；智能終端；信令風暴

1.研究背景

隨著智能終端的快速普及，以及無線通信技術的快速發(fā)展，使得移動互聯(lián)網(wǎng)隨之快速興起，據(jù)Gartner 公司的數(shù)據(jù)，2011年全球智能手機終端用戶銷量達到4.72億部，在所有移動設備銷量中占比為31%，同比增長58%。然而跟隨終端出現(xiàn)的大量移動應用對網(wǎng)絡的信令處理能力產(chǎn)生了巨大挑戰(zhàn)。

根據(jù)SRG2011 年數(shù)據(jù)，信令流量目前已經(jīng)超過數(shù)據(jù)流量的30% 到50%，而信令流量逐年的增速在70% 遠大于數(shù)據(jù)流量逐年增速的20%[1]，這意味著移動網(wǎng)絡運營商在提供相同的數(shù)據(jù)接入能力時，需要付出更多的信令網(wǎng)絡資源，而信令資源的消耗并不能為移動網(wǎng)絡運營商帶來收益。心跳包對信令資源的大量占用已經(jīng)威脅到了網(wǎng)絡的安全穩(wěn)定運行。

心跳包對網(wǎng)絡資源的占用主要包括無線接入承載（RAB）、用戶承載上下文（PDP），以及長期占用公網(wǎng)IP 地址等。主要由于以下兩方面的原因加劇了信令資源的大量占用和浪費。

1.1大量永久在線應用

永久在線應用（Long-term online application， LOA）是指那些長時在線，并通過心跳包來維持連接的應用。這些應用有非常長的連接時間，但是平均流量非常少。

1.2終端快速休眠

當移動網(wǎng)絡數(shù)據(jù)進行傳輸時，手機終端的電量會大量被消耗，而LOA每隔較短時間會向服務器發(fā)送“心跳包”以維護在線狀態(tài)，目前大多移動智能終端為了提供更長時間的待機時間，智能終端在短時間內(nèi)沒有數(shù)據(jù)傳輸時釋放連接，當后續(xù)再次有數(shù)據(jù)發(fā)送時再次建立連接。[2]這種“心跳包機制”和“快速休眠機制”導致無線連接反復建立釋放，占用了大量移動網(wǎng)絡信令資源，產(chǎn)生信令風暴。

本文將基于識別LOA技術，發(fā)現(xiàn)網(wǎng)絡中的LOA和其心跳包，從而為解決信令風暴提供有效的數(shù)據(jù)依據(jù)。

2.解決方案

對LOA的探測面臨著許多困難，首先，LOA長時間在線，意味著對于其狀態(tài)的監(jiān)測也需要維持較長時間，在當前核心網(wǎng)絡設備中網(wǎng)絡流數(shù)目爆炸式增長的背景下，長時間維護流狀態(tài)是系統(tǒng)不可接受的負載；其次，使用抽樣方法難以評估LOA的狀態(tài)，由于LOA流量很小，甚至很長一段時間內(nèi)沒有流量產(chǎn)生，使用抽樣方法無法確認該流的狀態(tài)，從而也無法探測到LOA；最后，使用統(tǒng)計方法進行流量統(tǒng)計也會有較大的誤差問題。由于LOA也有突發(fā)流量，統(tǒng)計方法給出的探測結果會受突發(fā)流量的影響而造成錯判。這些特點給LOA的探測帶來了巨大的挑戰(zhàn)。

我們使用DPI深度包檢測技術進行心跳包的檢測。深度包檢測（Deep Packet Inspection，DPI）一直是網(wǎng)絡測量中非常重要的技術手段，之前，DPI 技術較多的應用在入侵檢測系統(tǒng)（Intrusion Detection System，IDS）中，近年來，隨著網(wǎng)絡服務提供商逐漸從“銷售帶寬”轉向“銷售服務”，DPI 技術越來越多的被應用在控制識別用戶行為中，從而實現(xiàn)網(wǎng)絡服務提供商差異化服務的依據(jù)。DPI 深度包檢測技術需要維護一個應用特征數(shù)據(jù)庫，當有數(shù)據(jù)包到來時，需要解包之后將包信息與后臺特征數(shù)據(jù)庫來進行對比從而確定應用的類型，因此需要根據(jù)新協(xié)議與新應用的產(chǎn)生而不斷更新維護后臺特征數(shù)據(jù)庫。

2.1數(shù)據(jù)包采集

在對現(xiàn)有智能終端數(shù)據(jù)包采集文獻的調(diào)研中，發(fā)現(xiàn)大多數(shù)文獻中分析采用的智能終端數(shù)據(jù)包通過兩種方法得到。第一種是通過在電腦端模擬智能終端客戶端，然后使用Wireshark 等數(shù)據(jù)包截取軟件獲得虛擬終端的數(shù)據(jù)包。第二種是使用計算機網(wǎng)卡建立無線網(wǎng)絡鏈接，將智能終端連接到計算機網(wǎng)卡架設的無線網(wǎng)絡上，再使用Wireshark在計算機上直接截取計算機與智能終端的通信數(shù)據(jù)包。這兩種方法采集到的數(shù)據(jù)包均混雜有智能終端與計算機之間通信的數(shù)據(jù)，并且在模擬條件下智能終端行為與實際智能終端應用數(shù)據(jù)行為有偏差。因此，本文采用直接在智能終端上采集數(shù)據(jù)包的方法來避免上述偏差的產(chǎn)生。

2.2對心跳包進行初步分析

在使用Wireshark 對LOA數(shù)據(jù)包進行分析的時候，我們發(fā)現(xiàn)，永久在線發(fā)送的心跳包一般會在比較固定的時間間隔內(nèi)發(fā)送數(shù)據(jù)。正如之前我們看到的那樣，Android 下QQ 約每隔300s 向服務器發(fā)送一次心跳包，MSN 大約150s 向服務器發(fā)送一次心跳包，摩托羅拉系統(tǒng)應用大約每隔240s 向服務器發(fā)送一次心跳包。

因此我們可以簡單的通過對數(shù)據(jù)包到來時間間隔的統(tǒng)計來判定智能終端是否開啟了LOA。在判斷之前，我們首先需要得到數(shù)據(jù)到來的特征時間間隔。

我們通過算法，讓程序自動探測數(shù)據(jù)包中存在的特征時間間隔。并將以特征時間間隔到來的數(shù)據(jù)包進行統(tǒng)計，以此判定LOA的狀態(tài)。我們將每一條流中的前兩次數(shù)據(jù)包到來的時間間隔作為第一個特征時間間隔。并以此來判定之后的數(shù)據(jù)包是否按照此時間間隔到來。若不按照此時間間隔，那么我們繼續(xù)通過一定算法擴充時間間隔數(shù)據(jù)庫。特征時間間隔法適用于LOA以固定時間間隔發(fā)送心跳包數(shù)據(jù)的情況。

在隨后的實驗中我們對兩種方法進行了測試，對LOA的心跳包與非LOA的數(shù)據(jù)包到來的時間間隔進行了統(tǒng)計分析。在對msn，qq 等LOA進行分析之后，我們發(fā)現(xiàn)在類似的LOA中固定的時間間隔十分明顯，因此我們采用特征時間間隔的方法來對LOA進行探測是可行的。

3.系統(tǒng)驗證與結論

對包含心跳包的LOA探測程序的輸入為離線數(shù)據(jù)包，輸出為此數(shù)據(jù)包中包含心跳包的流信息（包括數(shù)據(jù)包時間間隔，以及特征時間間隔，特征時間間隔到達次數(shù)，流中是否為心跳包流），和對數(shù)據(jù)包中是否存在包含心跳包的LOA的判別。輸出結果儲存在與離線數(shù)據(jù)包同名的txt 文件中。

我們使用對采集到的共285MB，617 種不同應用的不同行為數(shù)據(jù)包進行分析，LOA探測程序的探測結果進行分析。由于測試環(huán)境為Linux，使用了Shell 編程對617 種數(shù)據(jù)包進行一次性處理。

結果表明該系統(tǒng)可準確的判定包含心跳包的LOA，通過特征時間間間隔法，對每條流的時間間隔進行統(tǒng)計識別，最后達到了對包含心跳包的LOA的識別目的。測試的結果顯示了高識別率和高正確率。 [科]

【參考文獻】

[1]The Impact of Smartphones on 3G Network Performance[Z/OL].Signals Research Group，2010.

[2]Behavior Analysis of Smartphone[R/OL].HUAWEI，2011.www.huawei.com/ilink/en/download/HW_001545.