Verteilte Ereignisanalyse in paketvermittelnden Netzen

Kurzfassung

Der Artikel stellt einen neuen Ansatz zum verteilten Monitoring in paketvermittelnden Netzwerken, insbesondere dem Internet, vor. Im Gegensatz zu existierenden Ansätzen wird dabei nicht nur die Aufzeichnung sondern auch die Ereignisanalyse verteilt realisiert. Um eine vollständige Ereignisanalyse durchführen zu können, müssen die beobachteten Ereignisse aller beteiligten Rechnerknoten total geordnet werden. Das ist jedoch nur möglich, wenn die Uhren aller beteiligten Hosts synchron laufen. Da dies in der Regel nicht vorausgesetzt werden kann, haben wir in den Ereignismonitor ein neues Verfahren zur Uhrensynchronisation integriert. Es handelt sich dabei um einen zweistufigen Ansatz: Zunächst wird die relative Abweichung des Drifts je zweier Uhren bestimmt, bevor mit einem zweiten Verfahren der absolute Offset zwischen den Uhren berechnet wird. Im Gegensatz zu bestehenden Verfahren geht dieses Verfahren nicht davon aus, daß die Paketlaufzeiten symmetrisch, d.h. in beiden Übertragungsrichtungen gleich sind. Ein weiteres netzspezifisches Problem der verteilten Ereigniserkennung in paketvermittelnden Netzen sind die unterschiedlichen Nachrichtenlaufzeiten. Dadurch kann es zu Fehlentscheidungen bei der Erkennung komplexer Ereignisse kommen. Das hier entwickelte Uhrensynchronisationsverfahren erlaubt je-doch eine genaue Bestimmung von unidirektionalen Ereignislaufzeiten, mit deren Hilfe das Problem verspäteter Ereignisse behoben wird.