特開 2023-106807 データ取得装置及びデータ取得方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023106807

(43)【公開日】2023-08-02

(54)【発明の名称】データ取得装置及びデータ取得方法

(51)【国際特許分類】

   H04L 69/22 20220101AFI20230726BHJP

【ＦＩ】

H04L69/22

【審査請求】有

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2022007754

(22)【出願日】2022-01-21

(11)【特許番号】

(45)【特許公報発行日】2023-02-10

(71)【出願人】

【識別番号】000102739

【氏名又は名称】エヌ・ティ・ティ・アドバンステクノロジ株式会社

(74)【代理人】

【識別番号】110001634

【氏名又は名称】弁理士法人志賀国際特許事務所

(72)【発明者】

【氏名】右近 祐太

(72)【発明者】

【氏名】片山 勝

(72)【発明者】

【氏名】宮崎 昭彦

(57)【要約】

【課題】任意のプロトコルにおいて、より容易に必要となるデータを取得すること。
【解決手段】通信データの先頭から有効データまでのオフセットと、有効データのデータ長と、を含む解析パラメータに基づいて、前記通信データから有効データを取得し、取得された有効データを出力する有効データ取得部、を備えるデータ取得装置である。
【選択図】図１

【特許請求の範囲】

【請求項1】

通信データの先頭から有効データまでのオフセットと、有効データのデータ長と、を含む解析パラメータに基づいて、前記通信データから有効データを取得し、取得された有効データを出力する有効データ取得部、
を備えるデータ取得装置。

【請求項2】

前記有効データ取得部は、前記通信データを複数に分割し、分割されたそれぞれの領域を含む複数のデータのうち一つを取得することで前記有効データを取得する、請求項１に記載のデータ取得装置。

【請求項3】

前記有効データ取得部は、前記通信データを複数に分割し、分割されたそれぞれの領域を含む複数のデータのうち一つを取得する処理を実行し、
取得された一つのデータをさらに複数に分割し、分割されたそれぞれの領域を含む複数のデータのうち一つを取得するという処理を１又は複数回実行することで前記有効データを取得する、請求項１に記載のデータ取得装置。

【請求項4】

前記通信データに対して有効データ以外のビットをマスクするデータマスク部をさらに備え、
前記有効データ取得部は、前記データマスク部によってマスクされた通信データから前記有効データを取得する、請求項１から３のいずれか一項に記載のデータ取得装置。

【請求項5】

前記有効データ取得部は、一つの通信データから複数の有効データを取得し、
複数の有効データに対して論理和を計算することで有効ヘッダを作成する論理和計算部をさらに備える、請求項１から４のいずれか一項に記載のデータ取得装置。

【請求項6】

前記通信データを保持して複数サイクルにわたって前記データマスク部に出力するデータ保持部を更に備える、請求項４に記載のデータ取得装置。

【請求項7】

データ取得装置が、通信データの先頭から有効データまでのオフセットと、有効データのデータ長と、を含む解析パラメータに基づいて、前記通信データから有効データを取得するステップと、
データ取得装置が、取得された有効データを出力するステップと、
を有するデータ取得方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データ取得装置及びデータ取得方法の技術に関する。

【背景技術】

【0002】

近年、ＳＤＮ（Software-Defined Network）やＮＦＶ（Network functions Virtualization）などの仮想化技術が進展している。これらの仮想化技術の進展に伴い、ＶＸＬＡＮ（Virtual eXtensible Local Area Network）やＭＰＬＳ（Multi-Protocol Label Switching）やＳＲｖ６（Segment Routing over IPv6）などの新しいプロトコルを用いたネットワークが登場している。ネットワークの多様化により、ネットワーク装置には様々なプロトコルに対するパケット処理が求められている。

【0003】

これまで、パケット処理を高速に行うためにＡＳＩＣ（Application Specific Integrated Circuit）が用いられてきた。しかし、ＡＳＩＣの開発は膨大な時間とコストがかかるため、現在の多様なネットワークに向けて開発することは現実的でない。ネットワークの目まぐるしい変化に対応するため、ＣＰＵ（Central Processing Unit）やＦＰＧＡ（Field-Programmable Gate Array）を用いたパケット処理が注目されている。これらのデバイスの開発に関しては、パケット処理プログラムを開発すればよく、ＡＳＩＣに比べて開発に要する時間やコストが小さい。

【0004】

パケット処理プログラムを効率的に開発するためのプログラミング言語も提案されている（例えば非特許文献１、非特許文献２を参照。）。これらのプログラミング言語を用いることで、設計者はネットワークや用途に応じたパケットヘッダ解析機能やパケット処理機能を簡単に設計できる。

【先行技術文献】

【非特許文献】

【0005】

【非特許文献1】P4.org, “P4 Language Tutorial”，2018，<https://opennetworking.org/wp-content/uploads/2020/12/P4_D2_East_2018_01_basics.pdf>

【非特許文献2】Xilinx,“SDNet Packet Processor User Guide”，October 2017，＜https://www.xilinx.com/support/documentation/sw_manuals/xilinx2017_3/UG1012-sdnet-packet-processor.pdf＞

【発明の概要】

【発明が解決しようとする課題】

【0006】

一般的なネットワーク装置を新しいプロトコルに対応させるには、パケットヘッダ解析機能を追加開発しなければならない。しかし、非特許文献１や非特許文献２に記載の技術を用いた開発であっても、仕様検討からプログラムの作成までに少なくとも数日の時間を要する。また、一般的な追加開発では、デグレーションが発生していないかシステム全体を再検証する必要がある。そのため、検証工程にも多くの時間を要する。このようにパケットヘッダ解析機能の開発には、時間とコストを要してしまうという課題があった。このような問題は、パケットに限定された問題ではなく、ヘッダ情報を有する通信データ全般に共通する問題である。

【0007】

上記事情に鑑み、本発明は、任意のプロトコルにおいて、より容易に必要となるデータを取得することができる技術の提供を目的とする。

【課題を解決するための手段】

【0008】

本発明の一態様は、通信データの先頭から有効データまでのオフセットと、有効データのデータ長と、を含む解析パラメータに基づいて、前記通信データから有効データを取得し、取得された有効データを出力する有効データ取得部、を備えるデータ取得装置である。

【0009】

本発明の一態様は、上記のデータ取得装置であって、前記有効データ取得部は、前記通信データを複数に分割し、分割されたそれぞれの領域を含む複数のデータのうち一つを取得することで前記有効データを取得する。

【0010】

本発明の一態様は、上記のデータ取得装置であって、前記有効データ取得部は、前記通信データを複数に分割し、分割されたそれぞれの領域を含む複数のデータのうち一つを取得する処理を実行し、取得された一つのデータをさらに複数に分割し、分割されたそれぞれの領域を含む複数のデータのうち一つを取得するという処理を１又は複数回実行することで前記有効データを取得する。

【0011】

本発明の一態様は、上記のデータ取得装置であって、前記通信データに対して有効データ以外のビットをマスクするデータマスク部をさらに備え、前記有効データ取得部は、前記データマスク部によってマスクされた通信データから前記有効データを取得する。

【0012】

本発明の一態様は、上記のデータ取得装置であって、前記有効データ取得部は、一つの通信データから複数の有効データを取得し、複数の有効データに対して論理和を計算することで有効ヘッダを作成する論理和計算部をさらに備える。

【0013】

本発明の一態様は、上記のデータ取得装置であって、前記通信データを保持して複数サイクルにわたって前記データマスク部に出力するデータ保持部を更に備える。

【0014】

本発明の一態様は、データ取得装置が、通信データの先頭から有効データまでのオフセットと、有効データのデータ長と、を含む解析パラメータに基づいて、前記通信データから有効データを取得するステップと、データ取得装置が、取得された有効データを出力するステップと、を有するデータ取得方法である。

【発明の効果】

【0015】

本発明により、任意のプロトコルにおいて、より容易に必要となるデータを取得することが可能となる。

【図面の簡単な説明】

【0016】

【図1】本発明の実施形態に係るヘッダ解析技術の概略を示す図である。

【図2】本発明の第１実施形態に係るデータ取得装置の具体例（ヘッダ解析部２０）の構成例を示すブロック図である。

【図3】本発明の実施形態に係る有効データ取得部２２ａの構成例を示すブロック図である。

【図4】本発明の実施形態に係る有効データ取得部２２ａの構成例を示すブロック図である。

【図5】図４の有効データ取得部２２ａを用いてＮ＝２０４８ビットのパケット１０から有効データ１４ｃを取得する具体的な手順である。

【図6】本発明の第２実施形態に係るヘッダ解析部２０を示すブロック図である。

【図7】本発明の第３実施形態に係るヘッダ解析部２０を示すブロック図である。

【図8】本発明の第４実施形態に係るヘッダ解析部２０を示すブロック図である。

【図9】本発明の第３実施形態に係るヘッダ解析部２０の処理の具体例を示すフローチャートである。

【図10】本発明の実施形態（第１～第４に共通）に係るヘッダ解析部２０の解析パターン登録処理に用いられる解析パターンファイルの一例を示す図である。

【図11】本発明の実施形態（第１～第４に共通）に係るヘッダ解析部２０に対する解析パラメータ登録処理の具体例を示すフローチャートである。

【図12】本発明の実施形態に係るヘッダ解析部２０のユースケースであるトラフィック監視システム１２０の構成を示すブロック図である。

【図13】トラフィック監視システム１２０に用いられるルールファイルの一例を示す図である。

【図14】トラフィック監視システム１２０に用いられる変換プログラム１４０の概略を示す図である。

【図15】トラフィック監視システム１２０の運用手順の一例を示す図である。

【発明を実施するための形態】

【0017】

以下、本発明の実施形態について図面を参照して説明する。図１は本発明の実施形態に係るヘッダ解析技術の概略を示す図である。本発明のヘッダ解析技術は、任意のＰＤＵ（Protocol Data Unit）に対して適用することができる。本発明の実施形態では、任意のＰＤＵにおいて必要となるデータを含む一部分のデータ（以下「有効データ」という。）が、１又は複数取得される。有効データが複数取得される場合には、各有効データがそれぞれ出力されてもよいし、複数の有効データを結合することで得られる有効ヘッダが出力されてもよい。有効データが１つである場合には、１つの有効データが出力される。以下の説明では、ＰＤＵの具体例としてパケットを用いて説明する。ただし、本発明を適用可能なＰＤＵはパケットに限定される必要なく、例えばフレームであってもよい。

【0018】

適用されるプロトコルに応じて、１又は複数の解析パラメータが定義される。解析パラメータは、オフセット及び有効データ長の２つの値を含む。オフセットは、データの先頭から有効データの先頭までのデータ長を示す。有効データ長は、オフセットによって示された有効データの先頭から有効データの末尾までのデータの長さ（有効データのデータ長）を示す。

【0019】

図１の例では、３つの解析パラメータが定義されている。１つ目の解析パラメータは、有効データ１を示す情報であり、オフセット１及び有効データ長１を含むように定義されている。オフセット１は、パケットの先頭から有効データ１までのデータ長を示し、有効データ長１は有効データ１のデータ長を示す。２つ目の解析パラメータ及び３つ目の解析パラメータも、それぞれ有効データ２及び有効データ３のオフセット及び有効データ長を示す。これらの解析パラメータに基づいて、各有効データが取得され、取得された有効データを結合することによって有効ヘッダが生成される。

【0020】

解析パラメータは、例えばユーザによって定義されてもよいし、他の者によって定義されてもよい。有効データを取得する装置において解析パラメータを設定することによって、任意のプロトコルに応じて有効データを取得するための設定を容易に迅速に行うことが可能となる。

【0021】

有効データは、例えば、ＭＡＣアドレスやＩＰアドレス等のアドレスに関する情報、ポート番号、プロトコル番号、ＶＬＡＮ ＩＤ、ＶＮＩ、ＭＰＬＳラベル、ＳＲｖ６のセグメントリスト、ＴＣＰフラグ、シーケンス番号、ペイロード等の情報である。ただし、有効データはこれらの具体例に限定されるものではない。これらの有効データを含む有効ヘッダは、様々な通信処理（例えばパケット処理）に利用できる。例えば、有効データは、パケット識別、ネットワーク識別、サイバー攻撃検知、ジッタ計測、レイテンシ計測、コネクション数計測、パケットロス検出などに用いられてもよい。

【0022】

図２は本発明の第１実施形態に係るデータ取得装置の具体例（ヘッダ解析部２０）の構成例を示すブロック図である。ヘッダ解析部２０はデータマスク部２１a～２１cと、有効データ取得部２２a～２２cと、論理和計算部２３と、ビット拡張部２４と、セレクタ制御部２５と、を備える。なお、ヘッダ解析部２０が一度に取得できる有効データの数はデータマスク部２１及び有効データ取得部２２の数に依存する。

【0023】

ヘッダ解析部２０はＮビットのパケット１０（解析対象の通信データ）の入力を受ける。ヘッダ解析部２０は、入力されたパケット１０から有効データ１４ａ～１４ｃを取得してＭビットの有効ヘッダ１１を作成する（Ｎ＞Ｍ、Ｎ、Ｍは整数）。この機能により不要な情報を除去することで、後段に転送するデータ量の削減や、後段の処理負荷を下げる効果が期待できる。

【0024】

ヘッダ解析部２０の各ブロックの役割を説明する。データマスク部２１（２１ａ～２１ｃ）は入力されたパケット１０に対してビットマスクを行い、不要なビットをマスクする。例えば、データマスク部２１は、不要なビットを“０”に置き換えることでマスクを行っても良い。データマスク部２１は、マスクデータ（マスクで使用されるデータ。例えば上述した“０”を１又は複数並べたもの）をビット拡張部２４より受け取ってもよい。このように構成されることで、メモリリソースを必要とせずマスクを行うことが可能となる。

【0025】

ビット拡張部２４は、参照データを拡張してマスクデータを作成する。例えば、参照データを４倍に拡張するビット拡張部２４では、参照データ「０ｂ１００１」が入力されると、マスクデータ「０ｂ１１１１＿００００＿００００＿１１１１」が作成される。ビット拡張部２４の目的は、ヘッダ解析部２０のメモリリソースの削減である。一般的なＰＤＵ（例えばパケット）のサイズは数十バイト～十キロバイトであることから、マスクデータのサイズは最大で十キロバイトになることが多い。さらに、データマスク部２１ａ～２１ｃの数だけマスクデータが必要である。ＦＰＧＡなどのハードウェアはメモリリソースが限られるため、マスクデータをそのまま保持するとヘッダ解析部２０が多くのメモリリソースを消費し、他機能の実装に影響する可能性がある。そこで、ビット拡張部２４でデータサイズの小さい参照データを保持し、参照データを拡張することでマスクデータを作成する。このように構成されることで、ヘッダ解析部２０のメモリリソースを減らすことが可能となる。この場合、ビット拡張部２４は、記憶装置（例えば半導体記憶装置）を備え、ユーザ等によって設定される参照データを記憶しておく。なお、ビット拡張部２４において参照データのデータ拡張の倍率が高いほど、マスクデータの精度は低下する。低精度のマスクデータでは、有効データ１４ａ～１４ｃ以外のビットもマスク対象外になる可能性がある。よって、マスクデータの精度とメモリリソースのトレードオフを考慮してビット拡張部２４の倍率を決める必要がある。

【0026】

有効データ取得部２２ａ～２２ｃは、マスクしたパケットから有効データ１４ａ～１４ｃを取得する。なお、取得するデータには有効データ以外の領域（例えばマスクされた領域）が含まれる。これは有効データ取得部２２ａ～２２ｃ間で有効データ１４ａ～１４ｃの位置が重ならないように調整するためである。有効データ１４ａ～１４ｃの取得方法については後述する。

【0027】

論理和計算部２３は、結合部の一具体例である。論理和計算部２３は、有効データ取得部２２ａ～２２ｃで取得したデータに対して論理演算を行い、有効ヘッダ１１を作成する。前述したように、論理和計算部２３に入力される各データは有効データ１４ａ～１４ｃの位置が重ならないように調整されている。そのため、論理和計算部２３は単純にビットごとの論理和を計算すればよい。

【0028】

セレクタ制御部２５は、解析パラメータに基づいて有効データ取得部２２ａ～２２ｃのセレクタを制御する。解析パラメータに応じてセレクタ設定を変更することで、取得する有効データの位置を変えることができる。

【0029】

図３は本発明の実施形態に係る有効データ取得部２２ａの構成を示すブロック図である。有効データ取得部２２ａは、複数のデータ切出し部３０と複数のセレクタ３１とを備える。例えば、有効データ取得部２２ａは、データ切出し部３０ａ～３０ｆとセレクタ３１ａ～３１ｄを備える。有効データ取得部２２ａは、複数のステージに分かれている。例えば、有効データ取得部２２ａは１１のステージに分かれている。１つのステージは、２つのデータ切出し部３０と１つのセレクタ３１とを有する。

【0030】

データ切出し部３０ａ～３０ｆの役割は、入力されたデータの上半分もしくは下半分を取得することである。ただし、単純に二分割すると有効データ２７ａ～２７ｃが分割の境界線上にあった場合に欠落してしまう。そのため、データ切出し部３０ａ～３０ｆはＭビット（取得データサイズ）余分に取得する。

【0031】

ステージ１を例にデータ切出し部３０ａ～３０ｆの動作とセレクタ３１ａ～３１ｄの動作とを説明する。図３に示すように、有効データ取得部２２ａに入力するパケットサイズをＮ＝２０４８ビットとする。小さいパケットに対しては上位ビットを０で埋めればよい。このときデータ切出し部３０ａは、入力されたパケットの上位１０２４ビットと取得データサイズ（Ｍビット）のデータを取得する。一方、データ切出し部３０ｂは入力されたパケットから下位１０２４＋Ｍビットのデータを取得する。これらのデータのうち片方がセレクタ３１ａで選択され、次のステージに送られる。セレクタ３１ａがどちらのデータを選択するかは、セレクタ制御部２５の制御によって制御される。

【0032】

図３の有効データ取得部２２ａは、１１段のステージで処理することでＮ＝２０４８ビットのパケットに対して１ビット単位で切り出し位置を制御できる。しかし、これほど高精度な制御は不要な場合もある。ステージ段数が多いと処理遅延が大きくなるし、多くの計算リソースが必要になる。そのため、ステージ段数は適当な値に設計されるべきである。例えば、図４の有効データ取得部２２ａのようにステージ段数を減らすことができる。図４の有効データ取得部２２ａでは、６４ビット単位で切り出し位置を制御できる。このように構成することで、制御の精度が低下し、必要とされない部分のデータがより多く含まれてしまう可能性が高くなるが、処理遅延と計算リソースとを削減できる。例えば図３と図４とを比べると、図４の場合は６ステージ分の処理遅延と計算リソースとを削減できる。

【0033】

図５は、図４の有効データ取得部２２ａを用いてＮ＝２０４８ビットのパケット１０から有効データ１４ｃを取得する具体的な手順である。有効データ１４ｃまでのオフセットを１６００ビット、データ長を１２８ビットとする。また、取得するデータサイズを３８４ビット、マージン１５を６４ビットとする。

【0034】

このとき取得するデータに３２１～４４８ビット目の有効データ１４ｃと４４９～５１２ビット目のマージン１５を残さなければならない。各ステージでこれらのデータを残すには、ステージ１からステージ４では下位のデータを、ステージ５では上位のデータを選択して残せばよい。ステージ５の出力において、下位６４ビットは余分であり削除してよい。

【0035】

パケットサイズ、オフセット、データ長、データサイズ、マージン１５は定数のため、各ステージにおける切り出し方は一意に決まる。よって、セレクタ３１ａ～３１ｄの設定は事前に決定できる。

【0036】

図６は本発明の第２実施形態に係るヘッダ解析部２０を示すブロック図である。第２実施形態に係るヘッダ解析部２０は、有効データ１４ａ～１４ｃを出力する構成である。この構成は図２の構成から論理和計算部２３を除いたものである。

【0037】

有効データ取得部２２ａ～２２ｃは設定により様々なデータ長の有効データ１４ａ～１４ｃを取得するため、このヘッダ解析部２０の出力は有効データ１４ａ～１４ｃ以外にマスクされたデータを含むことがある。また、この構成では有効データ取得部２２ａ～２２ｃの間で有効データ１４ａ～１４ｃの位置調整が不要である。そのため、有効データ１４ａ～１４ｃは出力の上位もしくは下位に寄せてしまってよい。

【0038】

この構成では、有効データ１４ａ～１４ｃごとに出力先を変えることができる。そのため、ヘッダ解析部２０の後段に位置するモジュールは、必要な有効データのみ受け取ることができる。

【0039】

図７は本発明の第３実施形態に係るヘッダ解析部２０を示すブロック図である。第３実施形態に係るヘッダ解析部２０は、時分割処理により有効ヘッダ１１を出力する構成である。この構成は図２の構成にデータ保持部７０と記憶部７１とを加えたものである。

【0040】

この構成では、データ保持部７０は、受信されたパケット１０を保持する。データ保持部７０は、複数サイクルの間継続して各サイクルで後段に保持しているパケット１０を繰り返し転送する。ビット拡張部２４とセレクタ制御部２５は、サイクル毎に適切なマスクデータとセレクタ設定をデータマスク部２１ａ～２１ｃ、有効データ取得部２２ａ～２２ｃに送信する。これにより、有効データ取得部２２ａ～２２ｃはサイクルごとに異なる有効データを取得できる。有効データ取得部２２ａ～２２ｃが出力したデータに対し、論理和計算部２３は毎サイクルで論理演算を行い、その結果を記憶部７１に保持する。そして、論理和計算部２３は、記憶部７１に保持されていた各計算結果に対して最終サイクルで再度論理和演算を行い、有効ヘッダ１１を作成して出力する。以上の動作により、データマスク部２１ａ～２１ｃと有効データ取得部２２ａ～２２ｃとの数によらずヘッダ解析部２０は複数の有効データを取得することができる。

【0041】

図８は本発明の第４実施形態に係るヘッダ解析部２０を示すブロック図である。第４実施形態に係るヘッダ解析部２０は、時分割処理により有効データを出力する構成である。この構成は図２の構成にデータ保持部７０を加え、論理和計算部２３を除いたものである。

【0042】

基本的な動作は、図７の構成と同じである。ただし、第４実施形態では、論理和演算を行わず、サイクル毎に有効データが出力される。図の例では、入力したパケット１０に対し、３つの有効データ取得部２２ａ～２２ｃで有効データを取得し、サイクル１において３種類の有効データを出力している。一方、サイクル２では、有効データ取得部２２ｂと２２ｃは取得すべき有効データがない。そのため、有効データ取得部２２ｂと２２ｃは、マスクされたデータ（例えばオール“０”のデータ）を出力する。

【0043】

図９は本発明の第３実施形態に係るヘッダ解析部２０の処理の具体例を示すフローチャートである。ヘッダ解析部２０は、受信したパケット１０を保持し（ステップＳ１０１）、マスク値を読み込んでからパケット１０に対してマスク処理を行う（ステップＳ１０２、ステップＳ１０３）。その後、ヘッダ解析部２０は、セレクタ設定を行いマスクしたパケットに対して有効データ取得処理を行う（ステップＳ１０４、ステップＳ１０５）。ヘッダ解析部２０は、取得したデータに対して論理和の計算を行い（ステップＳ１０６）、その結果を記憶部に格納する（ステップＳ１０７）。ヘッダ解析部２０は、有効データ取得処理の回数をカウントし、規定回数に到達したかを判定する（ステップＳ１０８）。到達していなければ、ヘッダ解析部２０は、ステップＳ１０２からステップＳ１０７までの処理を繰り返す。一方、到達していれば、ヘッダ解析部２０は、記憶部７１に格納したすべての計算結果に対して論理和を計算することで有効ヘッダを作成し、出力する（ステップＳ１０９）。

【0044】

なお、第１実施形態及び第２実施形態のヘッダ解析部２０のように、時分割処理を行わない場合、ステップＳ１０８の規定処理回数は１であり、ステップＳ１０１及びステップＳ１０９の処理は不要である。また、第２実施形態及び第４実施形態のヘッダ解析部２０のように、有効ヘッダではなく有効データを出力する場合、ステップＳ１０６とステップＳ１０７とステップＳ１０９との処理が不要である。

【0045】

図１０は、本発明の実施形態（第１～第４に共通）に係るヘッダ解析部２０の解析パターン登録処理に用いられる解析パターンファイルの一例を示す図である。このファイルは、パターン番号１００（ｐａｔｔｅｒｎ）、解析パラメータ１０１ａ～１０１ｃ（ｆｉｅｌｄ１～３）、フィールド名１０２を有する。パターン番号１００は、ヘッダ解析部２０に対応しており、各行に登録した解析パラメータ１０１ａ～１０１ｃがその番号に対応するヘッダ解析部２０に登録される。

【0046】

解析パラメータ１０１ａ～１０１ｃは、それぞれデータマスク部２１ａ～２１ｃと有効データ取得部２２ａ～２２ｃの設定値である。ここでは、有効データ１４ａ～１４ｃの最上位ビット（Ａｈ、Ｂｈ、Ｃｈ、Ｄｈ、Ｅｈ）と最下位ビット（Ａｌ、Ｂｌ、Ｃｌ、Ｄｌ、Ｅｌ）でオフセット１２ａ～１２ｃとデータ長１３ａ～１３ｃとを指定している。例えば、解析パターン１００（ｐａｔｔｅｒｎ１）の解析パラメータ１０１ａ（ｆｉｅｌｄ１）について、オフセットはパケット長をＮビットとするとＮ－Ａｈであり、データ長はＡｈ－Ａｌ＋１である。

【0047】

フィールド名１０２は、解析パラメータ１０１ａ～１０１ｃと有効データ１４ａ～１４ｃとの名称を対応させるために用いられる。ここではカンマで区切られているが、表し方はこれに限られない。解析パラメータ１０１ａ～１０１ｃだけでは有効データの種類が不明であるが、ユーザや別アプリケーションは、フィールド名１０２を参照することでどのようなヘッダ解析が行われるかを知ることができる。なお、解析パラメータの具体的な内容は図１０に示したものに限定される必要は無い。

【0048】

図１１は、本発明の実施形態（第１～第４に共通）に係るヘッダ解析部２０に対する解析パラメータ登録処理の具体例を示すフローチャートである。この処理は、例えば後述する設定制御部１２６によって実行されてもよいし、他の装置に設定制御部１２６の機能が実装されてもよい。この場合、設定制御部１２６は、情報処理装置を用いて構成される。

【0049】

設定制御部１２６は、解析パターンファイルを読み込み（ステップＳ２０１）、パターン１の第一の解析パラメータを取得する（ステップＳ２０２）。設定制御部１２６は、続いて解析パラメータから前述した方法で参照データとセレクタ設定を計算する（ステップＳ２０３、ステップＳ２０４）。設定制御部１２６は、未取得の解析パラメータがないかチェックし（ステップＳ２０５）、あればステップＳ２０２からステップＳ２０４を繰り返す。未取得の解析パラメータがなくなると、設定制御部１２６は、次のパターン番号に対して同様の処理を行う。設定制御部１２６は、これらの処理を未取得のパターン番号がなくなるまで繰り返す（ステップＳ２０６）。その後、設定制御部１２６は、参照データとセレクタ設定とをパターン番号に対応するヘッダ解析部２０に登録する（ステップＳ２０７、ステップＳ２０８）。

【0050】

図１２は本発明の実施形態に係るヘッダ解析部２０のユースケースであるトラフィック監視システム１２０の構成を示すブロック図である。トラフィック監視システム１２０は、パケット受信部１２１、ヘッダ解析部２０ａ～２０ｃ、ルールマッチング部１２２、トラフィック分析部１２３、表示部１２４、アクション部１２５、設定制御部１２６を備える。なお、ヘッダ解析部２０は図１２に示すように並列に並べることで複数の解析パターンで処理できる。なお、以下の説明では、各ヘッダ解析部２０が有効ヘッダを生成して出力する構成を例に説明するが、各ヘッダ解析部２０は有効ヘッダではなく各有効データを出力するように構成されてもよい。

【0051】

パケット受信部１２１がネットワーク１２７からパケットを受信すると、そのパケットはヘッダ解析部２０ａ～２０ｃで解析され、有効ヘッダが作成される。ルールマッチング部１２２は、有効ヘッダを検索キーとして完全一致又は部分一致のルール検索を行い、パケットをルールごとに分類する。トラフィック分析部１２３は、ルールごとにパケット数計測、パケットバイト数計測、ジッタ計測、レイテンシ計測、コネクション数計測、フロー数計測、マイクロバースト検出などの処理を行う。これらの分析結果は、表示部１２４で可視化されたり、アクション部１２５でアラートや外部機器操作などのアクションのトリガーに用いられたりする。

【0052】

表示部１２４には、ディスプレイ等の画像出力装置が用いられる。表示部１２４では、ルールごとに分析結果を表示する。表示部１２４は、分析結果の表示のために、ルール情報が必要になることがある。ルールファイルだけでは有効データの種類が分からないが、解析パターンファイルのフィールド名１０２を参照することで解決できる。

【0053】

図１３はトラフィック監視システム１２０に用いられるルールファイルの一例を示す図である。ルールファイルは、ルール要素１３０ａ～１３０ｃ（ｆｉｅｌｄ１～３）、パラメータ１３１を含む。このファイルに記載されたルールがトラフィック監視システム１２０に登録される。

【0054】

ルール要素１３０ａ～１３０ｃには、有効データの値が１６進数で記されてもよい。これは解析パラメータ１０１ａ～１０１ｃに任意の有効データが登録されることに起因して、特定の有効データに特化した記載が難しいためである。仮に特別な記載を許容した場合、ルール登録処理が複雑になる可能性がある。

【0055】

ルール要素１３０ａ～１３０ｃに登録する値について、ＩＰｖ４を例に説明する。登録したいＩＰアドレスが「１９２．１６８．０．１」の場合、「Ｃ０Ａ８０００１」となる。また、「１９２．１６８．０．０／２４」といったサブネットを登録したい場合は「Ｃ０Ａ８００」とすればよい。

【0056】

パラメータ１３１には、ルールマッチング部１２２やトラフィック分析部１２３、アクション部１２５に対するパラメータが記載される。例えば、ルールマッチング部１２２に対してはホワイトリストやブラックリスト、パケットキャプチャ対象などに関する情報が記載される。トラフィック分析部１２３に対しては、トラフィック量の閾値やジッタ・レイテンシ計測の分解能などの情報が記載される。アクション部に対しては、アクション対象などのパラメータが記載される。

【0057】

図１４は、トラフィック監視システム１２０に用いられる変換プログラム１４０の概略を示す図である。先述したように、ルールファイルには１６進数でルールを登録することが望ましい。しかし、そのような登録方法は視認性を低下させる。そこで、変換プログラム１４０を用いてユーザが作成したルールファイルをシステム向けのルールファイル（ＨＥＸ）に変換してもよい。このような変換プログラムは、例えば設定制御部１２６によって実行されてもよい。

【0058】

変換プログラム１４０は、ルールファイルと解析パターンファイルとを入力する。変換プログラム１４０は、ルール要素１３０ａ～１３０ｃを１６進数に変換する。ルール要素１３０ａ～１３０ｃと解析パターンのデータ長とが一致しない場合、変換プログラム１４０は、解析パターンのデータ長に合うようにルール要素１３０ａ～１３０ｃをシフトさせてもよい。

【0059】

図１５はトラフィック監視システム１２０の運用手順の一例を示す図である。この手順は、全てが情報処理装置（例えばトラフィック監視システム１２０）によって実行されてもよいし、一部が人間によって実行されてもよい。この手順では、はじめに監視対象のネットワークからパケットを取得し、パケット解析アプリケーション１５０を用いて解析し、取得する有効データを決める。その後、解析パターンを解析パターンファイルに、ルールをルールファイルに、それぞれ登録する。この登録処理は、パケット解析アプリケーション１５０と連携して自動で行われても良いし、手動で行われてもよい。また、この時点でルールファイルは視認性の高い記述であってもよい。作成された解析パターンファイルとルールファイルとを変換プログラム１４０に入力し、システム向けのルールファイル（ＨＥＸ）を作成する。その後、解析パターンファイルとルールファイル（ＨＥＸ）とをトラフィック監視システム１２０に入力し、登録処理を行った後、トラフィック監視が開始される。監視結果は統計情報ファイルに出力される。

【0060】

このように構成されたヘッダ解析部２０は、パケットの先頭からのオフセットとデータ長とが設定されることで、任意のプロトコルに対して必要なデータを取得することが可能となる。すなわち、任意のプロトコルの通信データにおいて必要なデータを取得するために要する設定の手間を大幅に削減し、より容易に設定することが可能となる。

【0061】

上述したヘッダ解析部２０は、例えばＣＰＵ等のプロセッサーとメモリーとを用いて構成されてもよい。なお、ヘッダ解析部２０の各機能の全て又は一部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＰＬＤ（Programmable Logic Device）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアを用いて実現されても良い。上記のプログラムは、コンピューター読み取り可能な記録媒体に記録されても良い。コンピューター読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ、半導体記憶装置（例えばＳＳＤ：Solid State Drive）等の可搬媒体、コンピューターシステムに内蔵されるハードディスクや半導体記憶装置等の記憶装置である。上記のプログラムは、電気通信回線を介して送信されてもよい。

【0062】

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

【符号の説明】

【0063】

１０…パケット、１１…有効ヘッダ、１２a～１２c…オフセット、１３a～１３c…データ長、１４a～１４c…有効データ、１５…マージン、２０…ヘッダ解析部、２１a～２１c…データマスク部、２２a～２２c…有効データ取得部、２３…論理和計算部、２４…ビット拡張部、２５…セレクタ制御部、３０a～３０f…データ切出し部、３１a～３１d…セレクタ、７０…データ保持部、７１…記憶部、１００…パターン番号、１０１a～１０１c…解析パラメータ、１０２…フィールド名、１２１…パケット受信部、１２２…ルールマッチング部、１２３…トラフィック分析部、１２４…表示部、１２５…アクション部、１２６…設定制御部、１３０a～１３０c…ルール要素、１３１…パラメータ、１４０…変換プログラム、１５０…パケット解析アプリケーション

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【手続補正書】

【提出日】2023-01-10

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

通信データの先頭から有効データまでのオフセットと、有効データのデータ長と、を含む解析パラメータに基づいて、前記通信データから有効データを取得し、取得された有効データを出力する有効データ取得部と、
前記通信データに対して有効データ以外のビットをマスクするデータマスク部と、
前記通信データを保持して複数サイクルにわたって前記データマスク部に出力するデータ保持部と、
を備え、
前記データマスク部は、サイクルに応じたマスクデータを用いて前記通信データに対して有効データ以外のビットをマスクし、
前記有効データ取得部は、前記データマスク部によってマスクされた通信データから前記有効データを取得する、データ取得装置。

【請求項2】

前記有効データ取得部は、前記通信データを複数に分割し、分割されたそれぞれの領域を含む複数のデータのうち一つを取得することで前記有効データを取得する、請求項１に記載のデータ取得装置。

【請求項3】

前記有効データ取得部は、前記通信データを複数に分割し、分割されたそれぞれの領域を含む複数のデータのうち一つを取得する処理を実行し、
取得された一つのデータをさらに複数に分割し、分割されたそれぞれの領域を含む複数のデータのうち一つを取得するという処理を１又は複数回実行することで前記有効データを取得する、請求項１に記載のデータ取得装置。

【請求項4】

前記有効データ取得部は、一つの通信データから複数の有効データを取得し、取得された前記有効データそれぞれの位置が重ならないように所定長のデータ内にそれぞれ配置することで、有効データ毎にデータを生成し、
前記有効データ取得部によって生成された前記有効データ毎のデータの論理和を計算することで有効ヘッダを作成する論理和計算部をさらに備える、請求項１から３のいずれか一項に記載のデータ取得装置。

【請求項5】

データ取得装置が、通信データの先頭から有効データまでのオフセットと、有効データのデータ長と、を含む解析パラメータに基づいて、前記通信データから有効データを取得する有効データ取得ステップと、
データ取得装置のデータマスク部が、前記通信データに対して有効データ以外のビットをマスクするデータマスクステップと、
データ取得装置のデータ保持部が、前記通信データを保持して複数サイクルにわたって前記データマスク部に出力するデータ保持ステップと、
データ取得装置が、取得された有効データを出力するステップと、
を有し、
前記データマスクステップにおいて、サイクルに応じたマスクデータを用いて前記通信データに対して有効データ以外のビットをマスクし、
前記有効データ取得ステップにおいて、前記データマスクステップでマスクされた通信データから前記有効データを取得する、データ取得方法。