MRTG日志文件的分析研究

摘要：对MRTG日志格式做了详细的分析，进一步说明了MRTG日志文件的形成，并且通过ped语言对日志文件进行了再分析。

关键词：监控 日志 流量

中图分类号：TP393

文献标识码：A 文章编号：1002-2422(2007)06-0022-02

1　MRTG的日志文件格式

MRTG的日志文件是一个文本文件，最大只有2530行，文件中每行代表一项数据，段间采用空白字符(Ox20)分隔。按照数据表示的意义可以分为五种数据：当前取样值、日数据、周数据、月数据、年数据。其中当前取样值只有一行。日数据、周数据、月数据、最多为600行，年数据可以有730多行。

1.1　当前样植分析

日志文件第一行为当前取值，包括三个字段：数据采集时间、流入流量字节计数值和流出流量字节数值。可使用公式(x+((365*66+17)*86400))/86400将它转换成EXCEL工作表内的时间。流入流量字节计数值为725433999Byte/s，流出流量字节计数值为3960069128 Byte/s，

1.2　日数据分析

日志文件的第二行至第600行为日流量数据。按照缺省配置，MRTG每五分钟采集一次数据，并将这个数据存为日志文件中日数据的一行，日数据满载时为600行，因此日数据部分最多可以存储数据的时间长度为5分钟*600=3000分钟：50小时=2.1天。MRTG使用400个点的数据生成日统计图，时间长度大约为33.33小时。每个日数据由五个字段组成，分别为数据采集时间、入流流量均值、出流量均值、入流量最大值、出流量最大值。如：956219400 4141390698 41413 90698，数据采集时间为956219400秒，入流量均值为41413 Byte/s，出流量均值90698 Byto/s，入流量最大值41413 Byte/s，出流量最大值90698 Byto/s。

1.3　周数据分析

日志文件的第601行至第1200行为周流量数据，数据格式和数据意义与日数据基本相同，例如，956039400 5301354396 59143 61263，数据采集时间为956039400秒，入流量均值为53013 Byte/s，出流量均值为54396Byte/s，入流量最大值为59143Byte/s，出流量最大值为61263Bytes。

其中周数据采集时间承接日数据采集时间，每行数据时间间隔为30分钟，周数据的时间长度为：30分钟*600=300小时=12.5天。