基于永久在线应用识别的信令风暴解决方案研究

许石多

【摘 要】智能终端，尤其是智能手机近些年的快速普及和广泛应用，促使大量PC 端应用软件逐步向智能终端转移。智能终端新出现的大量应用需要传统互联网的支持。其中需要通过向服务器发送心跳包，并以此维护自身在线状态的永久在线应用，会占用大量的信令资源对传统移动互联网运营造成了巨大的压力。为了解决这个问题，作者从永久在线应用对传统互联网影响的原因探索出发，对目前传统移动互联网信令风暴的解决方案进行深入调研，重点研究了解决信令风暴中的几项关键技术：对传统移动互联网基站的改造，以及与改造相对应的永久在线应用识别技术的研究。

【关键词】永久在线；智能终端；信令风暴

1.研究背景

随着智能终端的快速普及，以及无线通信技术的快速发展，使得移动互联网随之快速兴起，据Gartner 公司的数据，2011年全球智能手机终端用户销量达到4.72亿部，在所有移动设备销量中占比为31%，同比增长58%。然而跟随终端出现的大量移动应用对网络的信令处理能力产生了巨大挑战。

根据SRG2011 年数据，信令流量目前已经超过数据流量的30% 到50%，而信令流量逐年的增速在70% 远大于数据流量逐年增速的20%[1]，这意味着移动网络运营商在提供相同的数据接入能力时，需要付出更多的信令网络资源，而信令资源的消耗并不能为移动网络运营商带来收益。心跳包对信令资源的大量占用已经威胁到了网络的安全稳定运行。

心跳包对网络资源的占用主要包括无线接入承载（RAB）、用户承载上下文（PDP），以及长期占用公网IP 地址等。主要由于以下两方面的原因加剧了信令资源的大量占用和浪费。

1.1大量永久在线应用

永久在线应用（Long-term online application， LOA）是指那些长时在线，并通过心跳包来维持连接的应用。这些应用有非常长的连接时间，但是平均流量非常少。

1.2终端快速休眠

当移动网络数据进行传输时，手机终端的电量会大量被消耗，而LOA每隔较短时间会向服务器发送“心跳包”以维护在线状态，目前大多移动智能终端为了提供更长时间的待机时间，智能终端在短时间内没有数据传输时释放连接，当后续再次有数据发送时再次建立连接。[2]这种“心跳包机制”和“快速休眠机制”导致无线连接反复建立释放，占用了大量移动网络信令资源，产生信令风暴。

本文将基于识别LOA技术，发现网络中的LOA和其心跳包，从而为解决信令风暴提供有效的数据依据。

2.解决方案

对LOA的探测面临着许多困难，首先，LOA长时间在线，意味着对于其状态的监测也需要维持较长时间，在当前核心网络设备中网络流数目爆炸式增长的背景下，长时间维护流状态是系统不可接受的负载；其次，使用抽样方法难以评估LOA的状态，由于LOA流量很小，甚至很长一段时间内没有流量产生，使用抽样方法无法确认该流的状态，从而也无法探测到LOA；最后，使用统计方法进行流量统计也会有较大的误差问题。由于LOA也有突发流量，统计方法给出的探测结果会受突发流量的影响而造成错判。这些特点给LOA的探测带来了巨大的挑战。

我们使用DPI深度包检测技术进行心跳包的检测。深度包检测（Deep Packet Inspection，DPI）一直是网络测量中非常重要的技术手段，之前，DPI 技术较多的应用在入侵检测系统（Intrusion Detection System，IDS）中，近年来，随着网络服务提供商逐渐从“销售带宽”转向“销售服务”，DPI 技术越来越多的被应用在控制识别用户行为中，从而实现网络服务提供商差异化服务的依据。DPI 深度包检测技术需要维护一个应用特征数据库，当有数据包到来时，需要解包之后将包信息与后台特征数据库来进行对比从而确定应用的类型，因此需要根据新协议与新应用的产生而不断更新维护后台特征数据库。

2.1数据包采集

在对现有智能终端数据包采集文献的调研中，发现大多数文献中分析采用的智能终端数据包通过两种方法得到。第一种是通过在电脑端模拟智能终端客户端，然后使用Wireshark 等数据包截取软件获得虚拟终端的数据包。第二种是使用计算机网卡建立无线网络链接，将智能终端连接到计算机网卡架设的无线网络上，再使用Wireshark在计算机上直接截取计算机与智能终端的通信数据包。这两种方法采集到的数据包均混杂有智能终端与计算机之间通信的数据，并且在模拟条件下智能终端行为与实际智能终端应用数据行为有偏差。因此，本文采用直接在智能终端上采集数据包的方法来避免上述偏差的产生。

2.2对心跳包进行初步分析

在使用Wireshark 对LOA数据包进行分析的时候，我们发现，永久在线发送的心跳包一般会在比较固定的时间间隔内发送数据。正如之前我们看到的那样，Android 下QQ 约每隔300s 向服务器发送一次心跳包，MSN 大约150s 向服务器发送一次心跳包，摩托罗拉系统应用大约每隔240s 向服务器发送一次心跳包。

因此我们可以简单的通过对数据包到来时间间隔的统计来判定智能终端是否开启了LOA。在判断之前，我们首先需要得到数据到来的特征时间间隔。

我们通过算法，让程序自动探测数据包中存在的特征时间间隔。并将以特征时间间隔到来的数据包进行统计，以此判定LOA的状态。我们将每一条流中的前两次数据包到来的时间间隔作为第一个特征时间间隔。并以此来判定之后的数据包是否按照此时间间隔到来。若不按照此时间间隔，那么我们继续通过一定算法擴充时间间隔数据库。特征时间间隔法适用于LOA以固定时间间隔发送心跳包数据的情况。

在随后的实验中我们对两种方法进行了测试，对LOA的心跳包与非LOA的数据包到来的时间间隔进行了统计分析。在对msn，qq 等LOA进行分析之后，我们发现在类似的LOA中固定的时间间隔十分明显，因此我们采用特征时间间隔的方法来对LOA进行探测是可行的。

3.系统验证与结论

对包含心跳包的LOA探测程序的输入为离线数据包，输出为此数据包中包含心跳包的流信息（包括数据包时间间隔，以及特征时间间隔，特征时间间隔到达次数，流中是否为心跳包流），和对数据包中是否存在包含心跳包的LOA的判别。输出结果储存在与离线数据包同名的txt 文件中。

我们使用对采集到的共285MB，617 种不同应用的不同行为数据包进行分析，LOA探测程序的探测结果进行分析。由于测试环境为Linux，使用了Shell 编程对617 种数据包进行一次性处理。

结果表明该系统可准确的判定包含心跳包的LOA，通过特征时间间间隔法，对每条流的时间间隔进行统计识别，最后达到了对包含心跳包的LOA的识别目的。测试的结果显示了高识别率和高正确率。 [科]

【参考文献】

[1]The Impact of Smartphones on 3G Network Performance[Z/OL].Signals Research Group，2010.

[2]Behavior Analysis of Smartphone[R/OL].HUAWEI，2011.www.huawei.com/ilink/en/download/HW_001545.