特開 2023-32853 フロー情報収集装置及びフロー情報の生成方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023032853

(43)【公開日】2023-03-09

(54)【発明の名称】フロー情報収集装置及びフロー情報の生成方法

(51)【国際特許分類】

   H04L 43/00 20220101AFI20230302BHJP

【ＦＩ】

H04L12/70 100Z

【審査請求】未請求

【請求項の数】12

【出願形態】ＯＬ

(21)【出願番号】P 2021139197

(22)【出願日】2021-08-27

【国等の委託研究の成果に係る記載事項】（出願人による申告）令和２年度 新エネルギー・産業技術総合開発機構、「ポスト５Ｇ情報通信システム基盤強化研究開発事業／先導研究（委託）／ポスト５Ｇに向けたフレキシブルネットワークセンサと連携した高度ネットワーク監視・制御技術の研究開発」委託研究、産業技術力強化法第１９条の適用を受ける特許出願

(71)【出願人】

【識別番号】504411166

【氏名又は名称】アラクサラネットワークス株式会社

(74)【代理人】

【識別番号】110001678

【氏名又は名称】藤央弁理士法人

(72)【発明者】

【氏名】下田 誠

(72)【発明者】

【氏名】櫻井 広人

(72)【発明者】

【氏名】佐藤 佳祐

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030GA14

5K030HD03

5K030JA10

5K030JA11

5K030MC07

5K030MC08

5K030MC09

(57)【要約】

【課題】大局的及び局所的なフローの変化を監視するための情報をアナライザに送信する。
【解決手段】フロー情報収集装置は、フローを監視するアナライザと通信可能に接続し、第１時間範囲単位で、通信の属性が共通するパケットを集約することによってフロー情報を生成し、第１時間範囲より小さい第２時間範囲で、フロー情報の生成に用いた複数のパケットを用いて局所的なフローの特性を解析する解析処理を繰り返し実行することによって、局所的なフローの特性を示す局所解析情報を生成し、フロー情報に付加し、局所解析情報が付加されたフロー情報を含むＮｅｔＦｌｏｗパケットを生成し、アナライザに送信する。
【選択図】図２Ｂ

【特許請求の範囲】

【請求項1】

フロー情報を生成するフロー情報収集装置であって、
演算装置、前記演算装置に接続される記憶装置、及び前記演算装置に接続されるネットワークインタフェースを備え、
ネットワーク上のフローを監視するアナライザと通信可能に接続し、
前記演算装置は、
第１時間範囲単位で、通信の属性が共通するパケットを集約することによってフロー情報を生成し、
前記第１時間範囲より小さい第２時間範囲で、前記フロー情報の生成に用いた複数の前記パケットを用いて局所的な前記フローの特性を解析する解析処理を繰り返し実行することによって、局所的な前記フローの特性を示す局所解析情報を生成し、前記フロー情報に付加し、
前記局所解析情報が付加された前記フロー情報を含むＮｅｔＦｌｏｗパケットを生成し、
前記アナライザに前記ＮｅｔＦｌｏｗパケットを送信することを特徴とするフロー情報収集装置。

【請求項2】

請求項１に記載のフロー情報収集装置であって、
前記フロー情報は、パケット数の受信レート及びデータ量の受信レートを含み、
前記演算装置は、前記解析処理において、前記パケット数の受信レート及び前記データ量の受信レートの少なくともいずれかのピーク値を算出することを特徴とするフロー情報収集装置。

【請求項3】

請求項１に記載のフロー情報収集装置であって、
前記フロー情報は、パケット数の受信レート及びデータ量の受信レートを含み、
前記演算装置は、前記解析処理において、前記パケット数の受信レート及び前記データ量の受信レートの少なくともいずれかの分散値を算出することを特徴とするフロー情報収集装置。

【請求項4】

請求項１に記載のフロー情報収集装置であって、
前記フロー情報は、パケット数の受信レート及びデータ量の受信レートを含み、
前記演算装置は、前記解析処理において、前記パケットの受信数の増加に起因するバースト及び受信するデータ量の増加に起因するバーストの少なくともいずれかの発生を検知し、発生回数をカウントすることを特徴とするフロー情報収集装置。

【請求項5】

請求項１に記載のフロー情報収集装置であって、
前記フロー情報は、パケット数の受信レート及びデータ量の受信レートを含み、
前記演算装置は、
パケットロス率を算出し、
前記パケットロス率に基づいて、前記パケット数の受信レート及び前記データ量の受信レートを補正し、
前記パケット数の受信レート及び前記データ量の受信レートの少なくともいずれかを用いて前記解析処理を実行することを特徴とするフロー情報収集装置。

【請求項6】

請求項１に記載のフロー情報収集装置であって、
前記記憶装置は、前記第２時間範囲を含み、前記解析処理の処理内容を定義する設定情報を格納し、
前記演算装置は、前記設定情報に基づいて、前記解析処理を実行することを特徴とするフロー情報収集装置。

【請求項7】

フロー情報収集装置が実行するフロー情報の生成方法であって、
前記フロー情報収集装置は、
演算装置、前記演算装置に接続される記憶装置、及び前記演算装置に接続されるネットワークインタフェースを有し、
ネットワーク上のフローを監視するアナライザと通信可能に接続し、
前記フロー情報の生成方法は、
前記演算装置が、第１時間範囲単位で、通信の属性が共通するパケットを集約することによってフロー情報を生成する第１のステップと、
前記演算装置が、前記第１時間範囲より小さい第２時間範囲で、前記フロー情報の生成に用いた複数の前記パケットを用いて局所的な前記フローの特性を解析する解析処理を繰り返し実行することによって、局所的な前記フローの特性を示す局所解析情報を生成し、前記フロー情報に付加する第２のステップと、
前記演算装置が、前記局所解析情報が付加された前記フロー情報を含むＮｅｔＦｌｏｗパケットを生成する第３のステップと、
前記演算装置が、前記アナライザに前記ＮｅｔＦｌｏｗパケットを送信する第４のステップと、
を含むことを特徴とするフロー情報の生成方法。

【請求項8】

請求項７に記載のフロー情報の生成方法であって、
前記フロー情報は、パケット数の受信レート及びデータ量の受信レートを含み、
前記第２のステップは、前記演算装置が、前記解析処理において、前記パケット数の受信レート及び前記データ量の受信レートの少なくともいずれかのピーク値を算出するステップを含むことを特徴とするフロー情報の生成方法。

【請求項9】

請求項７に記載のフロー情報の生成方法であって、
前記フロー情報は、パケット数の受信レート及びデータ量の受信レートを含み、
前記第２のステップは、前記演算装置が、前記解析処理において、前記パケット数の受信レート及び前記データ量の受信レートの少なくともいずれかの分散値を算出するステップを含むことを特徴とするフロー情報の生成方法。

【請求項10】

請求項７に記載のフロー情報の生成方法であって、
前記フロー情報は、パケット数の受信レート及びデータ量の受信レートを含み、
前記第２のステップは、前記演算装置が、前記解析処理において、前記パケットの受信数の増加に起因するバースト及び受信するデータ量の増加に起因するバーストの少なくともいずれかの発生を検知し、発生回数をカウントするステップを含むことを特徴とするフロー情報の生成方法。

【請求項11】

請求項７に記載のフロー情報の生成方法であって、
前記フロー情報は、パケット数の受信レート及びデータ量の受信レートを含み、
前記第２のステップは、
前記演算装置が、パケットロス率を算出するステップと、
前記演算装置が、前記パケットロス率に基づいて、前記パケット数の受信レート及び前記データ量の受信レートを補正するステップと、
前記演算装置が、前記パケット数の受信レート及び前記データ量の受信レートを用いて前記解析処理を実行するステップと、を含むことを特徴とするフロー情報の生成方法。

【請求項12】

請求項７に記載のフロー情報の生成方法であって、
前記記憶装置は、前記第２時間範囲を含み、前記解析処理の処理内容を定義する設定情報を格納し、
前記第２のステップは、前記演算装置が、前記設定情報に基づいて、前記解析処理を実行するステップを含むことを特徴とするフロー情報の生成方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワークのフローのフロー情報を収集する装置及びフロー情報の生成方法に関する。

【背景技術】

【0002】

ネットワークを監視する手段として、ＮｅｔＦｌｏｗ（非特許文献１を参照）のモニタリング機能を備えたフロー情報収集装置が、中継装置から送信されるポートミラーリングパケットを収集してフロー情報を生成し、フロー情報をネットワークフロー解析装置（以下、アナライザと呼ぶ）に送信し、アナライザがネットワークフローを解析するシステムがある。

【0003】

上記構成によれば、ネットワーク上のトラフィックが統計情報に変換された後、ＮｅｔＦｌｏｗパケットとして送信されるため、アナライザの負荷を低減することができる。

【0004】

また、特許文献１には、ＮｅｔＦｌｏｗ技術を用いずに、微小時間単位でパケットキャプチャの実施及び停止を切り替えることで、アナライザの負荷を低減しつつ大局的、及び局所的なトラフィックの帯域を同時に測定する方式が記載されている。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２００８－１８７６６６号公報

【非特許文献】

【0006】

【非特許文献1】ＲＦＣ３９５４ ”Ｃｉｓｃｏ Ｓｙｓｔｅｍｓ ＮｅｔＦｌｏｗ Ｓｅｒｖｉｃｅｓ Ｅｘｐｏｒｔ Ｖｅｒｓｉｏｎ ９”，Ｃｉｓｃｏ Ｓｙｓｔｅｍｓ，２００４年１０月

【発明の概要】

【発明が解決しようとする課題】

【0007】

ＮｅｔＦｌｏｗ技術を用いたネットワークフロー監視システムの欠点として、フロー情報が集計期間単位でトラフィック量が平均化されるため、例えば、マイクロバーストのような局所的なフローの変化を捉えることができないことが挙げられる。

【0008】

解決策の一つとしては、集計期間を短くし、アナライザの解析の分解能を上げる方法が考えられる。しかし、送信するＮｅｔＦｌｏｗパケット数が増大することによってアナライザの負荷が増大する。また、集計期間を過度に短くするとフロー収集効率が低下し、ＮｅｔＦｌｏｗの利点を損なう。

【0009】

特許文献１の方式では、（１）パケットキャプチャを一定期間停止するため、局所的なトラフィック量の変化を見逃す可能性があり、また、（２）アナライザが直接パケットキャプチャを行う構成であるため、トラフィック量の増加に伴ってアナライザの負荷が増大する、という課題が存在する。

【0010】

本発明は、アナライザによる大局的及び局所的なフローの変化の監視を実現するフロー情報を送信することを目的とする。

【課題を解決するための手段】

【0011】

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、フロー情報を生成するフロー情報収集装置であって、演算装置、前記演算装置に接続される記憶装置、及び前記演算装置に接続されるネットワークインタフェースを備え、ネットワーク上のフローを監視するアナライザと通信可能に接続し、前記演算装置は、第１時間範囲単位で、通信の属性が共通するパケットを集約することによってフロー情報を生成し、前記第１時間範囲より小さい第２時間範囲で、前記フロー情報の生成に用いた複数の前記パケットを用いて局所的な前記フローの特性を解析する解析処理を繰り返し実行することによって、局所的な前記フローの特性を示す局所解析情報を生成し、前記フロー情報に付加し、前記局所解析情報が付加された前記フロー情報を含むＮｅｔＦｌｏｗパケットを生成し、前記アナライザに前記ＮｅｔＦｌｏｗパケットを送信する。

【発明の効果】

【0012】

本発明の一形態によれば、大局的及び局所的なフローの特性を示す情報を格納したフロー情報をアナライザに送信することができる。これによって、アナライザは大局的及び局所的なフローの変化を監視できる。

【図面の簡単な説明】

【0013】

【図1】実施例１のネットワークフロー監視システムの構成例を示す図である。

【図2A】実施例１のフロー情報収集装置の構成例を示すブロック図である。

【図2B】実施例１のフロー情報収集装置の構成例を示すブロック図である。

【図3】実施例１の局所解析設定情報のデータ構造の一例を示す図である。

【図4】実施例１のインタフェース統計情報のデータ構造の一例を示す図である。

【図5A】実施例１のフロー情報ＤＢのデータ構造の一例を示す図である。

【図5B】実施例１のフロー情報ＤＢのデータ構造の一例を示す図である。

【図5C】実施例１のフロー情報ＤＢのデータ構造の一例を示す図である。

【図5D】実施例１のフロー情報ＤＢのデータ構造の一例を示す図である。

【図6】実施例１のフロー情報記録制御部が実行する処理の概要を説明するフローチャートである。

【図7A】実施例１のフロー情報記録制御部が実行する局所解析処理の詳細を説明するフローチャートである。

【図7B】実施例１のフロー情報記録制御部が実行する局所解析処理の詳細を説明するフローチャートである。

【図8】実施例１のフロー情報記録制御部が実行する受信レートピーク解析処理の詳細を説明するフローチャートである。

【図9】実施例１のフロー情報記録制御部が実行する受信レート分散解析処理の詳細を説明するフローチャートである。

【図10】実施例１のフロー情報記録制御部が実行するバースト解析処理の詳細を説明するフローチャートである。

【図11】実施例１のフロー情報記録制御部が実行する受信レート補正処理の詳細を説明するフローチャートである。

【図12】実施例１のＮｅｔＦｌｏｗパケット生成部が生成するＮｅｔＦｌｏｗパケットに含まれるフロー情報のデータフォーマットの一例を示す図である。

【図13】実施例１のフロー情報収集装置が実行するＮｅｔＦｌｏｗパケットの送信処理の一例を説明するフローチャートである。

【図14A】実施例１のアナライザの構成例を示すブロック図である。

【図14B】実施例１のアナライザの構成例を示すブロック図である。

【図15A】実施例１のフロー情報ＤＢのデータ構造の一例を示す図である。

【図15B】実施例１のフロー情報ＤＢのデータ構造の一例を示す図である。

【図16】実施例１のＮｅｔＦｌｏｗ可視化部が提示する情報の一例を示す図である。

【図17】実施例２のネットワークフロー監視システムの構成例を示す図である。

【図18】実施例３のネットワークフロー監視システムの構成例を示す図である。

【発明を実施するための形態】

【0014】

以下、本発明の実施例について図面を用いて説明する。ただし、本実施例は本発明を実現するための一例にすぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。以下に説明する発明の構成において、同一又は類似する構成又は機能には同一の符号を付し、重複する説明は省略する。図面等において示す各構成の位置、大きさ、形状、及び範囲等は、発明の理解を容易にするため、実際の位置、大きさ、形状、及び範囲等を表していない場合がある。したがって、本発明では、図面等に開示された位置、大きさ、形状、及び範囲等に限定されない。

【実施例0015】

図１は、実施例１のネットワークフロー監視システム１００の構成例を示す図である。

【0016】

ネットワークフロー監視システム１００は、中継装置１０３、フロー情報収集装置１０１、及びアナライザ１０２から構成される。

【0017】

中継装置１０３は、複数のネットワーク１１１－１、１１１－２、１１１－３、ＷＡＮ１１２、及びフロー情報収集装置１０１と接続する。以下の説明では、ネットワーク１１１－１、１１１－２、１１１－３を区別しない場合、ネットワーク１１１と記載する。中継装置１０３は、ネットワーク１１１間、ネットワーク１１１及びＷＡＮ１１２間で送受信されるパケット１２０を中継する。また、中継装置１０３は、中継するパケット１２０を複製したポートミラーリングパケット１２１をフロー情報収集装置１０１に送信する。

【0018】

フロー情報収集装置１０１は、中継装置１０３及びアナライザ１０２と接続する。フロー情報収集装置１０１は、ポートミラーリングパケット１２１を用いてフロー情報及び局所解析情報を生成する。フロー情報収集装置１０１は、フロー情報を含むＮｅｔＦｌｏｗパケット１２２をアナライザ１０２に送信する。なお、フロー情報収集装置１０１は、中継装置１０３の機能を有してもよい。

【0019】

アナライザ１０２は、ＮｅｔＦｌｏｗパケット１２２に含まれるフロー情報を用いてネットワークフローを解析する。

【0020】

図２Ａ及び図２Ｂは、実施例１のフロー情報収集装置１０１の構成例を示すブロック図である。

【0021】

まず、ハードウェア構成について説明する。フロー情報収集装置１０１は、演算装置２０１、主記憶装置２０２、補助記憶装置２０３、リアルタイムクロック２０４、入出力装置２０５、ネットワークインタフェース２０６－１、及びネットワークインタフェース２０６－２を有する。各ハードウェア要素はバス２０８を介して互いに接続される。

【0022】

演算装置２０１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等であり、主記憶装置２０２等に格納されるプログラムを実行する。演算装置２０１がプログラムにしたがって処理を実行することによって、特定の機能を実現する機能部（モジュール）として動作する。以下の説明では、機能部を主語に処理を説明する場合、演算装置２０１が機能部を実現するプログラムを実行していることを示す。

【0023】

なお、フロー情報収集装置１０１が有する各機能部については、複数の機能部を一つの機能部にまとめてもよいし、一つの機能部を機能毎に複数の機能部に分けてもよい。

【0024】

主記憶装置２０２は、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等であり、演算装置２０１が実行するプログラム及びプログラムが使用する情報を格納する。また、主記憶装置２０２はワークエリアとしても用いられる。実施例１の主記憶装置２０２は、各種機能を実現するプログラム群２１０を格納する。プログラム群２１０の詳細は後述する。

【0025】

補助記憶装置２０３は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、及びＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等であり、永続的にデータを格納する。実施例２の補助記憶装置２０３は、ＢＯＯＴ２２１及びコンフィグレーション２２２を格納する。ＢＯＯＴ２２１及びコンフィグレーション２２２の詳細は後述する。

【0026】

リアルタイムクロック２０４は、時刻情報を保持する。

【0027】

入出力装置２０５は、例えば、キーボード、マウス、タッチパネル、及びディスプレイ等である。なお、ネットワークを介して、フロー情報収集装置１０１を操作できる場合、フロー情報収集装置１０１は入出力装置２０５を有していなくてもよい。

【0028】

ネットワークインタフェース２０６－１は、中継装置１０３と通信するためのネットワークインタフェースである。フロー情報収集装置１０１は、ネットワークインタフェース２０６－１を介してポートミラーリングパケット１２１を受信する。ネットワークインタフェース２０６－２は、アナライザ１０２と通信するためのインタフェースである。以下の説明では、ネットワークインタフェース２０６－１、２０６－２を区別しない場合、ネットワークインタフェース２０６と記載する。

【0029】

次に、ソフトウェア構成について説明する。なお、図２Ｂの実線は情報の入出力を表し、点線は情報の参照を表す。

【0030】

ＢＯＯＴ２２１は、フロー情報収集装置１０１の起動時に実行されるプログラムである。演算装置２０１は、補助記憶装置２０３からＢＯＯＴ２２１を読み出し、主記憶装置２０２にロードし、実行する。ＢＯＯＴ２２１を実行する演算装置２０１は、補助記憶装置２０３に格納されるプログラム群２１０を主記憶装置２０２にロードし、実行する。なお、フロー情報収集装置１０１は、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）等を用いて、ネットワークインタフェース２０６を介して接続される外部の装置からプログラム群２１０を取得してもよい。

【0031】

コンフィグレーション２２２は、プログラム群２１０に含まれるプログラムを制御するための設定情報である。コンフィグレーション２２２には、例えば、局所解析設定情報２４１の初期値が格納される。この場合、演算装置２０１は、プログラム群２１０の起動時に、局所解析設定情報２４１に初期値を設定する。なお、コンフィグレーション２２２は、予め設定されていてもよいし、アナライザ１０２が設定してもよい。

【0032】

プログラム群２１０は、パケット受信部２３１、パケット判定部２３２、局所解析設定部２３３、フロー情報記録制御部２３４、統計情報収集部２３５、情報記録部２３６、フロー情報監視部２３７、ＮｅｔＦｌｏｗパケット生成部２３８、及びパケット送信部２３９を含む。

【0033】

情報記録部２３６は、各種情報を格納するデータストアを管理する。具体的には、情報記録部２３６は、局所解析設定情報２４１、フロー情報ＤＢ２４２、インタフェース統計情報２４３を管理する。局所解析設定情報２４１、フロー情報ＤＢ２４２、インタフェース統計情報２４３は、主記憶装置２０２に格納されてもよいし、補助記憶装置２０３に格納されてもよい。

【0034】

パケット受信部２３１は、ネットワークインタフェース２０６に到達したパケットの受信処理を実行する。

【0035】

パケット判定部２３２は、受信したパケットを判別し、振り分けを行う。具体的には、パケット判定部２３２は、ネットワークインタフェース２０６－１を介して受信したパケット（ポートミラーリングパケット１２１）である場合、フロー情報記録制御部２３４にパケットを出力し、ネットワークインタフェース２０６－２を介して受信したパケット（制御パケット）である場合、局所解析設定部２３３に受信したパケットを出力する。

【0036】

局所解析設定部２３３は、パケット判定部２３２から受信した制御パケットに基づいて、情報記録部２３６を介して、局所解析設定情報２４１を設定又は更新する。

【0037】

フロー情報記録制御部２３４は、パケット判定部２３２から受信したポートミラーリングパケット１２１からフロー情報に含める値を抽出し、情報記録部２３６を介して、抽出した値をフロー情報ＤＢ２４２の該当するフロー情報に記録する。また、フロー情報記録制御部２３４は、局所解析設定情報２４１を参照して、フロー情報に対して局所解析処理を実行し、情報記録部２３６を介して、処理結果をフロー情報ＤＢ２４２に記録する。

【0038】

統計情報収集部２３５は、ネットワークインタフェース２０６が保持する統計情報を周期的に取得し、情報記録部２３６を介して、インタフェース統計情報２４３に記録する。

【0039】

フロー情報監視部２３７は、フロー情報ＤＢ２４２から監視期間がタイムアウトしたフロー情報を取り出し、ＮｅｔＦｌｏｗパケット生成部２３８に出力する。

【0040】

ＮｅｔＦｌｏｗパケット生成部２３８は、フロー情報監視部２３７から受信したフロー情報を含むＮｅｔＦｌｏｗパケット１２２を生成し、パケット送信部２３９に出力する。

【0041】

パケット送信部２３９は、ネットワークインタフェース２０６－２を介して、ＮｅｔＦｌｏｗパケット１２２をアナライザ１０２に送信する。

【0042】

図３は、実施例１の局所解析設定情報２４１のデータ構造の一例を示す図である。

【0043】

局所解析設定情報２４１は、局所解析有効化フラグ３０１、受信レート測定期間３０２、受信パケット数レート閾値３０３、及び受信バイト数レート閾値３０４を含む。

【0044】

局所解析有効化フラグ３０１は、局所解析に関する処理の有効及び無効を制御するフラグを設定するビット列である。局所解析有効化フラグ３０１には、４つのビット３１１、３１２、３１３、３１４を含む。各ビットには、有効を表す「１」及び無効を表す「０」のいずれかが設定される。

【0045】

受信レート測定期間３０２は、局所解析の処理単位となる時間幅（受信レートの測定期間）を格納するフィールドである。

【0046】

受信パケット数レート閾値３０３及び受信バイト数レート閾値３０４は、局所解析において使用する閾値を格納するフィールドである。

【0047】

ここで、局所解析有効化フラグ３０１にて管理する処理の概要を説明する。

【0048】

ビット３１１に対応する処理では、受信レート測定期間における受信パケット数のレートのピーク値及びピーク発生時刻と、受信レート測定期間における受信バイト数のレートのピーク値及びピーク発生時刻とを測定する。以下の説明では、ビット３１１に対応する処理を受信レートピーク解析処理と記載する。

【0049】

ビット３１２に対応する処理では、受信レート測定期間における受信パケット数及びバイト数の各々のレートの分散値を算出する。以下の説明では、ビット３１２に対応する処理を受信レート分散解析処理と記載する。

【0050】

ビット３１３に対応する処理では、受信レート測定期間における受信パケット数のレートの増加量が受信パケット数レート閾値を超過した回数と、受信レート測定期間における受信バイト数のレートの増加量が受信バイト数レート閾値を超過した回数とを測定する。以下の説明では、ビット３１３に対応する処理をバースト解析処理と記載する。

【0051】

ビット３１４に対応する処理では、受信レート測定期間におけるパケットロス率に応じて受信パケット数及びバイト数の各々のレートを補正する。以下の説明では、ビット３１４に対応する処理を受信レート補正処理と記載する。

【0052】

図４は、実施例１のインタフェース統計情報２４３のデータ構造の一例を示す図である。

【0053】

インタフェース統計情報２４３は、テーブル形式の情報であり、インタフェース番号４０１、受信パケット数４０２、及びパケットロス数４０３を含むエントリを格納する。一つのエントリが一つのネットワークインタフェース２０６に対応する。なお、エントリに含まれるフィールドは前述したものに限定されない。前述したフィールドのいずれかを含まなくてもよいし、また、他のフィールドを含んでもよい。

【0054】

インタフェース番号４０１は、ネットワークインタフェース２０６を一意に識別するための番号を格納するフィールドである。当該番号は、インタフェースの種別を管理するために予め割り当てられている。

【0055】

受信パケット数４０２及びパケットロス数４０３は、ネットワークインタフェース２０６が計測し、管理する統計値を格納するフィールドである。なお、前述した統計値は一例でありこれに限定されない。例えば、エントリは、受信バイト数及び送信パケット数等を格納するフィールドを含んでもよい。

【0056】

図５Ａ、図５Ｂ、図５Ｃ、及び図５Ｄは、実施例１のフロー情報ＤＢ２４２のデータ構造の一例を示す図である。

【0057】

図５Ａに示すように、フロー情報ＤＢ２４２はフローエントリ５０１を格納する。図５Ａのフロー情報ＤＢ２４２にはＮ個のフローエントリ５０１が格納される。一つのエントリが一つのフロー情報に対応する。

【0058】

フローエントリ５０１は、フロー識別子情報５１１及び統計情報５１２を含む。

【0059】

フロー識別子情報５１１は、フローを識別するための情報を格納するフィールド群である。図５Ｂに示すように、フロー識別子情報５１１は、宛先ＩＰアドレス５２１、送信元ＩＰアドレス５２２、プロトコル番号５２３、宛先ポート番号５２４、及び送信元ポート番号５２５を含む。なお、フロー識別子情報５１１に含まれるフィールドは一例であってこれに限定されない。例えば、ＶＬＡＮ－ＩＤ情報及びＭＡＣアドレス情報等を含んでもよい。

【0060】

統計情報５１２は、フローに関する情報を格納するフィールド群である。図５Ｃに示すように、統計情報５１２は、受信パケット数５３１、受信バイト数５３２、タイムアウト時間５３３、及び局所解析情報５３４を含む。

【0061】

受信パケット数５３１及び受信バイト数５３２には、フローエントリ５０１がフロー情報ＤＢ２４２に登録されてからタイムアウト時間５３３に設定された時間が経過するまでに受信したパケットの数及びバイト数の集計値が格納される。

【0062】

タイムアウト時間５３３には、例えば、リアルタイムクロック２０４から取得した現時刻と、現時刻からフロー監視期間（ｎ秒）経過後の時刻とが格納される。なお、フロー監視期間は、例えば、コンフィグレーション２２２で定義される。

【0063】

局所解析情報５３４は、局所解析の実行に必要な一時情報、及び処理結果を格納するフィールド群である。図５Ｄに示すように、局所解析情報５３４は、共通情報を構成するフィールド群、受信レートピーク解析情報を構成するフィールド群、受信レート分散解析情報を構成するフィールド群、バースト解析情報を構成するフィールド群を含む。

【0064】

共通情報は、開始時刻５３４０１、局所受信パケット数５３４０２、局所受信バイト数５３４０３、統計受信パケット数５３４０４、統計パケットロス数５３４０５、受信パケット数レート５３４０６、及び受信バイト数レート５３４０７を含む。受信パケット数レート５３４０６は、パケット数の受信レートを格納するフィールドである。受信バイト数レート５３４０７は、データ量の受信レートを格納するフィールドである。

【0065】

受信レートピーク解析情報は、ビット３１１に「１」が設定されている場合に実行される受信レートピーク解析処理において使用されるフィールド群であり、受信パケット数ピークレート５３４０８、受信パケット数ピーク時刻５３４０９、受信バイト数ピークレート５３４１０、及び受信バイト数ピーク時刻５３４１１を含む。受信パケット数ピークレート５３４０８は、パケット数の受信レートのピーク値を格納するフィールドである。受信バイト数ピークレート５３４１０は、データ量の受信レートのピーク値を格納するフィールドである。

【0066】

受信レート分散解析情報は、ビット３１２に「１」が設定されている場合に実行される受信レート分散解析処理において使用されるフィールド群であり、受信パケット数レート分散値５３４１２、受信バイト数レート分散値５３４１３、受信パケット数レート平均値５３４１４、受信パケット数レート測定回数５３４１５、受信バイト数レート平均値５３４１６、及び受信バイト数レート測定回数５３４１７を含む。受信パケット数レート分散値５３４１２は、パケット数の受信レートの分散値を格納するフィールドである。受信バイト数レート分散値５３４１３は、データ量の受信レートの分散値を格納するフィールドである。

【0067】

バースト解析情報は、ビット３１３に「１」が設定されている場合に実行されるバースト解析処理において使用されるフィールド群であり、受信パケット数バースト発生回数５３４１８、受信バイト数バースト発生回数５３４１９、受信パケット数レート前回値５３４２０、及び受信バイト数レート前回値５３４２１を含む。受信パケット数バースト発生回数５３４１８は、局所的なパケット数の増加に起因したマイクロバーストの発生回数を格納するフィールドである。受信バイト数バースト発生回数５３４１９は、局所的なデータ量の増加に起因したマイクロバーストの発生回数を格納するフィールドである。

【0068】

図６は、実施例１のフロー情報記録制御部２３４が実行する処理の概要を説明するフローチャートである。

【0069】

フロー情報記録制御部２３４は、パケット判定部２３２から受信パケット（ポートミラーリングパケット１２１）を取得した場合（ステップＳ６０１）、受信パケットからフロー識別子情報を抽出する（ステップＳ６０２）。

【0070】

フロー情報記録制御部２３４は、フロー情報ＤＢ２４２を参照し、抽出したフロー識別子情報に一致するフローエントリ５０１を検索し（ステップＳ６０３）、当該フローエントリ５０１が存在するか否かを判定する（ステップＳ６０４）。

【0071】

抽出したフロー識別子情報に一致するフローエントリ５０１が存在する場合（ステップＳ６０４がＹＥＳ）、フロー情報記録制御部２３４は、当該フローエントリ５０１を更新し（ステップＳ６０５）、その後、ステップＳ６０７に進む。

【0072】

具体的には、フロー情報記録制御部２３４は、フローエントリ５０１の受信パケット数５３１に１を加算し、受信バイト数５３２に受信パケットのバイト数を加算する。

【0073】

抽出したフロー識別子情報に一致するフローエントリ５０１が存在しない場合（ステップＳ６０４がＮＯ）、フロー情報記録制御部２３４は、フロー情報ＤＢ２４２にフローエントリ５０１を登録し（ステップＳ６０６）、その後、ステップＳ６０７に進む。

【0074】

具体的には、フロー情報記録制御部２３４は、新規のフローエントリ５０１をフロー情報ＤＢ２４２に追加し、追加されたフローエントリ５０１のフロー識別子情報５１１に抽出されたフロー識別子情報を設定する。フロー情報記録制御部２３４は、追加されたフローエントリ５０１の受信パケット数５３１に１を設定し、受信バイト数５３２に受信パケットのバイト数を設定する。フロー情報記録制御部２３４は、現時刻に基づいてタイムアウト時間を算出し、追加されたフローエントリ５０１のタイムアウト時間５３３に設定する。

【0075】

ステップＳ６０７では、フロー情報記録制御部２３４は、局所解析処理を実行し（ステップＳ６０７）、その後、処理を終了する。

【0076】

図７Ａ及び図７Ｂは、実施例１のフロー情報記録制御部２３４が実行する局所解析処理の詳細を説明するフローチャートである。

【0077】

フロー情報記録制御部２３４は、局所解析処理を開始できるか否かを判定する（ステップＳ７０１）。

【0078】

具体的には、フロー情報記録制御部２３４は、フローエントリ５０１の開始時刻５３４０１に時刻が設定され、かつ、受信パケットの受信時刻が開始時刻に受信レート測定期間３０２に設定された期間を加算した時刻を経過しているか否かを判定する。二つの条件を満たす場合、フロー情報記録制御部２３４は、局所解析処理を開始できると判定する。本実施例では、フロー情報収集装置１０１は、フロー監視期間において、当該フロー監視期間より短い期間で局所解析処理を繰り返し実行する。

【0079】

局所解析処理を開始できない場合（ステップＳ７０１がＮＯ）、フロー情報記録制御部２３４は、ステップＳ７１２に進む。

【0080】

局所解析処理を開始できる場合（ステップＳ７０１がＹＥＳ）は、フロー情報記録制御部２３４は、受信パケット数レート及び受信バイト数レートを算出する（ステップＳ７０２）。

【0081】

具体的には、フロー情報記録制御部２３４は、フローエントリ５０１の局所受信パケット数５３４０２及び局所受信バイト数５３４０３の値を用いて、受信レート測定期間における受信パケット数レート及び受信バイト数レートを算出する。フロー情報記録制御部２３４は、算出された値を受信パケット数レート５３４０６及び受信バイト数レート５３４０７に設定する。本実施例では、単位時間が１秒であるものとして各レートを算出するものとする。なお、受信レート測定期間を単位時間として扱ってもよい。

【0082】

フロー情報記録制御部２３４は、受信レート補正処理のビット３１４が有効化されているか否かを判定する（ステップＳ７０３）。

【0083】

具体的には、フロー情報記録制御部２３４は、局所解析設定情報２４１を参照し、ビット３１４の値が「１」であるか否かを判定する。ビット３１４の値が「１」である場合、フロー情報記録制御部２３４は、受信レート補正処理のフラグが有効化されていると判定する。

【0084】

受信レート補正処理のビット３１４が有効化されていない場合（ステップＳ７０３がＮＯ）、フロー情報記録制御部２３４はステップＳ７０５に進む。

【0085】

受信レート補正処理のビット３１４が有効化されている場合（ステップＳ７０３がＹＥＳ）、フロー情報記録制御部２３４は、受信レート補正処理を実行し（ステップＳ７０４）、その後、ステップＳ７０５に進む。

【0086】

ステップＳ７０５では、フロー情報記録制御部２３４は、受信レートピーク解析処理のビット３１１が有効化されているか否かを判定する（ステップＳ７０５）。

【0087】

具体的には、フロー情報記録制御部２３４は、局所解析設定情報２４１を参照し、ビット３１１の値が「１」であるか否かを判定する。ビット３１１の値が「１」である場合、フロー情報記録制御部２３４は、受信レートピーク解析処理のビット３１１が有効化されていると判定する。

【0088】

受信レートピーク解析処理のビット３１１が有効化されていない場合（ステップＳ７０５がＮＯ）、フロー情報記録制御部２３４はステップＳ７０７に進む。

【0089】

受信レートピーク解析処理のビット３１１が有効化されている場合（ステップＳ７０５がＹＥＳ）、フロー情報記録制御部２３４は、受信レートピーク解析処理を実行し（ステップＳ７０６）、その後、ステップＳ７０７に進む。

【0090】

ステップＳ７０７では、フロー情報記録制御部２３４は、受信レート分散解析処理のビット３１２が有効化されているか否かを判定する（ステップＳ７０７）。

【0091】

具体的には、フロー情報記録制御部２３４は、局所解析設定情報２４１を参照し、ビット３１２の値が「１」であるか否かを判定する。ビット３１２の値が「１」である場合、フロー情報記録制御部２３４は、受信レート分散解析処理のビット３１２が有効化されていると判定する。

【0092】

受信レート分散解析処理のビット３１２が有効化されていない場合（ステップＳ７０７がＮＯ）、フロー情報記録制御部２３４はステップＳ７０９に進む。

【0093】

受信レート分散解析処理のビット３１２が有効化されている場合（ステップＳ７０７がＹＥＳ）、フロー情報記録制御部２３４は、受信レート分散解析処理を実行し（ステップＳ７０８）、その後、ステップＳ７０９に進む。

【0094】

ステップＳ７０９では、フロー情報記録制御部２３４は、バースト解析処理のビット３１３が有効化されているか否かを判定する（ステップＳ７０９）。

【0095】

具体的には、フロー情報記録制御部２３４は、局所解析設定情報２４１を参照し、ビット３１３の値が「１」であるか否かを判定する。ビット３１３の値が「１」である場合、フロー情報記録制御部２３４は、バースト解析処理のビット３１３が有効化されていると判定する。

【0096】

バースト解析処理のビット３１３が有効化されていない場合（ステップＳ７０９がＮＯ）、フロー情報記録制御部２３４はステップＳ７１１に進む。

【0097】

バースト解析処理のビット３１３が有効化されている場合（ステップＳ７０９がＹＥＳ）、フロー情報記録制御部２３４は、バースト解析処理を実行し（ステップＳ７１０）、その後、ステップＳ７１１に進む。

【0098】

ステップＳ７１１では、フロー情報記録制御部２３４は、共通情報の開始時刻５３４０１、局所受信パケット数５３４０２、及び局所受信バイト数５３４０３を初期化し（ステップＳ７１１）、その後、ステップＳ７１２に進む。

【0099】

ステップＳ７１２では、フロー情報記録制御部２３４は、開始時刻が未登録であるか否かを判定する（ステップＳ７１２）。

【0100】

具体的には、フロー情報記録制御部２３４は、共通情報の開始時刻５３４０１に値が設定されているか否かを判定する。

【0101】

開始時刻が登録されている場合（ステップＳ７１２がＮＯ）、フロー情報記録制御部２３４はステップＳ７１５に進む。

【0102】

開始時刻が未登録である場合（ステップＳ７１２がＹＥＳ）、フロー情報記録制御部２３４は、共通情報の開始時刻５３４０１に現時刻を設定する（ステップＳ７１３）。また、フロー情報記録制御部２３４は、インタフェース統計情報２４３を参照し、ネットワークインタフェース２０６－１に対応するエントリの受信パケット数４０２及びパケットロス数４０３の値を取得し、共通情報の統計受信パケット数５３４０４及び統計パケットロス数５３４０５に設定する（ステップＳ７１４）。その後、フロー情報記録制御部２３４はステップＳ７１５に進む。

【0103】

ステップＳ７１５では、フロー情報記録制御部２３４は、共通情報の局所受信パケット数５３４０２及び局所受信バイト数５３４０３を更新する（ステップＳ７１５）。その後、フロー情報記録制御部２３４は局所解析処理を終了する。

【0104】

具体的には、フロー情報記録制御部２３４は、局所受信パケット数５３４０２に１を加算し、局所受信バイト数５３４０３に受信パケットのバイト数を加算する。

【0105】

図８は、実施例１のフロー情報記録制御部２３４が実行する受信レートピーク解析処理の詳細を説明するフローチャートである。

【0106】

フロー情報記録制御部２３４は、受信パケット数レート５３４０６の値が受信パケット数ピークレート５３４０８の値より大きいか否かを判定する（ステップＳ８０１）。

【0107】

受信パケット数レート５３４０６の値が受信パケット数ピークレート５３４０８の値以下の場合（ステップＳ８０１がＮＯ）、フロー情報記録制御部２３４はステップＳ８０３に進む。

【0108】

受信パケット数レート５３４０６の値が受信パケット数ピークレート５３４０８の値より大きい場合（ステップＳ８０１がＹＥＳ）、フロー情報記録制御部２３４は、受信パケット数ピークレート５３４０８を更新し（ステップＳ８０２）、その後、ステップＳ８０３に進む。

【0109】

具体的には、フロー情報記録制御部２３４は、受信パケット数ピークレート５３４０８に受信パケット数レート５３４０６の値を設定し、また、受信パケット数ピーク時刻５３４０９にリアルタイムクロック２０４から取得した現時刻を設定する。

【0110】

ステップＳ８０３では、フロー情報記録制御部２３４は、受信バイト数レート５３４０７の値が受信バイト数ピークレート５３４１０の値より大きいか否かを判定する（ステップＳ８０３）。

【0111】

受信バイト数レート５３４０７の値が受信バイト数ピークレート５３４１０の値以下の場合（ステップＳ８０３がＮＯ）、フロー情報記録制御部２３４は受信レートピーク解析処理を終了する。

【0112】

受信バイト数レート５３４０７の値が受信バイト数ピークレート５３４１０の値より大きい場合（ステップＳ８０３がＹＥＳ）、フロー情報記録制御部２３４は、受信バイト数ピークレート５３４１０を更新し（ステップＳ８０４）、その後、受信レートピーク解析処理を終了する。

【0113】

具体的には、フロー情報記録制御部２３４は、受信バイト数ピークレート５３４１０に受信バイト数レート５３４０７の値を設定し、受信バイト数ピーク時刻５３４１１にリアルタイムクロック２０４から取得した現時刻を設定する。

【0114】

図９は、実施例１のフロー情報記録制御部２３４が実行する受信レート分散解析処理の詳細を説明するフローチャートである。

【0115】

フロー情報記録制御部２３４は、受信パケット数レート平均値を算出する（ステップＳ９０１）。例えば、式（１）に示す逐次更新式を用いて受信パケット数レート平均値を算出する。

【0116】

【数1】

【0117】

ここで、ｎは受信パケット数レート測定回数５３４１５の値であり、ｘ_ｎ＋１は受信パケット数レート５３４０６の値であり、μ_ｎは受信パケット数レート平均値５３４１４の値であり、μ_ｎ＋１はステップＳ９０１において算出する受信パケット数レート平均値である。

【0118】

フロー情報記録制御部２３４は、受信パケット数レート分散値を算出する（ステップＳ９０２）。例えば、式（２）の逐次更新式を用いて受信パケット数レート分散値を算出する。

【0119】

【数2】

【0120】

ここで、ｎは受信パケット数レート測定回数５３４１５の値であり、ｘ_ｎ＋１は受信パケット数レート５３４０６の値であり、μ_ｎは受信パケット数レート平均値５３４１４の値であり、μ_ｎ＋１はステップＳ９０１において算出する受信パケット数レート平均値であり、σ_ｎ ^２は受信パケット数レート分散値５３４１２の値であり、σ_ｎ＋１ ^２はステップＳ９０２において算出される受信パケット数レート分散値である。

【0121】

フロー情報記録制御部２３４は、局所解析情報５３４の受信パケット数レート平均値５３４１４及び受信パケット数レート分散値５３４１２を更新する（ステップＳ９０３）。

【0122】

具体的には、フロー情報記録制御部２３４は、受信パケット数レート平均値５３４１４にステップＳ９０１で算出された値を設定し、受信パケット数レート分散値５３４１２にステップＳ９０２で算出された値を設定する。

【0123】

フロー情報記録制御部２３４は、受信パケット数レートの測定回数をカウントアップする（ステップＳ９０４）。

【0124】

具体的には、フロー情報記録制御部２３４は、受信パケット数レート測定回数５３４１５の値に１を加算する。

【0125】

フロー情報記録制御部２３４は、受信バイト数レート平均値を算出する（ステップＳ９０５）。例えば、式（１）と同様の逐次更新式を用いて受信バイト数レート平均値を算出する。ただし、ｎは受信バイト数レート測定回数５３４１７の値であり、ｘ_ｎ＋１は受信バイト数レート５３４０７の値であり、μ_ｎは受信バイト数レート平均値５３４１６の値であり、μ_ｎ＋１はステップＳ９０５において算出する受信バイト数レート平均値である。

【0126】

フロー情報記録制御部２３４は、受信バイト数レート分散値を算出する（ステップＳ９０６）。例えば、式（２）と同様の逐次更新式を用いて受信バイト数レート分散値を算出する。ただし、ｎは受信バイト数レート測定回数５３４１７の値であり、ｘ_ｎ＋１は受信バイト数レート５３４０７の値であり、μ_ｎは受信バイト数レート平均値５３４１６の値であり、μ_ｎ＋１はステップＳ９０５において算出された受信バイト数レート平均値であり、σ_ｎ ^２は受信バイト数レート分散値５３４１３の値であり、σ_ｎ＋１ ^２はステップＳ９０５において算出される受信バイト数レート分散値である。

【0127】

フロー情報記録制御部２３４は、局所解析情報５３４の受信バイト数レート平均値５３４１６及び受信バイト数レート分散値５３４１３を更新する（ステップＳ９０７）。

【0128】

具体的には、フロー情報記録制御部２３４は、受信バイト数レート平均値５３４１６にステップＳ９０５で算出された値を設定し、受信バイト数レート分散値５３４１３にステップＳ９０６で算出された値を設定する。

【0129】

フロー情報記録制御部２３４は、受信バイト数レートの測定回数をカウントアップし（ステップＳ９０８）、その後、受信レート分散解析処理を終了する。

【0130】

具体的には、フロー情報記録制御部２３４は、受信バイト数レート測定回数５３４１７の値に１を加算する。

【0131】

図１０は、実施例１のフロー情報記録制御部２３４が実行するバースト解析処理の詳細を説明するフローチャートである。

【0132】

フロー情報記録制御部２３４は、受信パケット数レート前回値５３４２０及び受信バイト数レート前回値５３４２１に値が登録されているか否かを判定する（ステップＳ１００１）。

【0133】

受信パケット数レート前回値５３４２０及び受信バイト数レート前回値５３４２１に値が登録されていない場合（ステップＳ１００１がＮＯ）、フロー情報記録制御部２３４は、受信パケット数レート前回値５３４２０及び受信バイト数レート前回値５３４２１を更新し（ステップＳ１００６）、バースト解析処理を終了する。

【0134】

具体的には、フロー情報記録制御部２３４は、受信パケット数レート前回値５３４２０及び受信バイト数レート前回値５３４２１の各々に、受信パケット数レート５３４０６及び受信バイト数レート５３４０７の値を設定する。

【0135】

受信パケット数レート前回値５３４２０及び受信バイト数レート前回値５３４２１に値が登録されている場合（ステップＳ１００１がＹＥＳ）、フロー情報記録制御部２３４は、受信パケット数レートの変化量が閾値より大きいか否かを判定する（ステップＳ１００２）。

【0136】

具体的には、フロー情報記録制御部２３４は、受信パケット数レート５３４０６の値から受信パケット数レート前回値５３４２０の値を減算し、当該値が受信パケット数レート閾値３０３の値より大きいか否かを判定する。

【0137】

受信パケット数レートの変化量が閾値以下の場合（ステップＳ１００２がＮＯ）、フロー情報記録制御部２３４はステップＳ１００４に進む。

【0138】

受信パケット数レートの変化量が閾値より大きい場合（ステップＳ１００２のＹｅｓ）、フロー情報記録制御部２３４は、受信パケット数の増加に伴うバーストが発生したと判定し、受信パケット数のバースト発生回数をカウントアップし（ステップＳ１００３）、ステップＳ１００４に進む。

【0139】

具体的には、フロー情報記録制御部２３４は、受信パケット数バースト発生回数５３４１８の値に１を加算する。

【0140】

ステップＳ１００４では、フロー情報記録制御部２３４は、受信バイト数レートの変化量が閾値より大きいか否かを判定する（ステップＳ１００４）。

【0141】

具体的には、フロー情報記録制御部２３４は、受信バイト数レート５３４０７の値から受信バイト数レート前回値５３４２１の値を減算し、当該値が受信バイト数レート閾値３０４の値より大きいか否かを判定する。

【0142】

受信バイト数レートの変化量が閾値以下の場合（ステップＳ１００４がＮＯ）、フロー情報記録制御部２３４はステップＳ１００６に進む。

【0143】

受信バイト数レートの変化量が閾値より大きい場合（ステップＳ１００４がＹＥＳ）、フロー情報記録制御部２３４は、受信バイト数の増加に伴うバーストが発生したと判定し、受信バイト数のバースト発生回数をカウントアップし（ステップＳ１００５）、その後、ステップＳ１００６に進む。

【0144】

具体的には、フロー情報記録制御部２３４は、受信バイト数バースト発生回数５３４１９の値に１を加算する。

【0145】

ステップＳ１００６では、フロー情報記録制御部２３４は、受信パケット数レート前回値５３４２０及び受信バイト数レート前回値５３４２１を更新し（ステップＳ１００６）、バースト解析処理を終了する。

【0146】

具体的には、フロー情報記録制御部２３４は、受信パケット数レート前回値５３４２０及び受信バイト数レート前回値５３４２１の各々に、受信パケット数レート５３４０６及び受信バイト数レート５３４０７の値を設定する。

【0147】

図１１は、実施例１のフロー情報記録制御部２３４が実行する受信レート補正処理の詳細を説明するフローチャートである。

【0148】

実施例１では、フロー情報収集装置１０１は、収集性能を超過したポートミラーリングパケット１２１が送信された場合における負荷制御の手法として、ネットワークインタフェース２０６で確率的にパケットの廃棄を行うＲＥＤ（Ｒａｎｄｏｍ Ｅａｒｌｙ Ｄｅｔｅｃｔｉｏｎ）を採用しているものとする。

【0149】

フロー情報記録制御部２３４は、インタフェース統計情報２４３から、ポートミラーリングパケット１２１を受信するネットワークインタフェース２０６の受信パケット数及び統計パケットロス数を取得する（ステップＳ１１０１）。

【0150】

具体的には、フロー情報記録制御部２３４は、インタフェース統計情報２４３を参照し、インタフェース番号４０１にポートミラーリングパケット１２１を受信するネットワークインタフェース２０６の識別番号が格納されるエントリを検索する。フロー情報記録制御部２３４は、検索されたエントリの受信パケット数４０２及びパケットロス数４０３の値を取得する。

【0151】

フロー情報記録制御部２３４は、パケットロス数が統計パケットロス数より大きいか否かを判定する（ステップＳ１１０２）。

【0152】

具体的には、フロー情報記録制御部２３４は、パケットロス数４０３の値が統計パケットロス数５３４０５より大きいか否かを判定する。

【0153】

パケットロス数が統計パケットロス数以下である場合（ステップＳ１１０２がＮＯ）、フロー情報記録制御部２３４は受信レート補正処理を終了する。

【0154】

パケットロス数が統計パケットロス数より大きい場合（ステップＳ１１０２がＹＥＳ）、フロー情報記録制御部２３４は、フロー情報収集装置１０１全体のパケットロス率を算出する（ステップＳ１１０３）。例えば、式（３）を用いてパケットロス率を算出する。

【0155】

【数3】

【0156】

ここで、Ｐは受信パケット数４０２の値から統計受信パケット数５３４０４の値を減算した値であり、Ｐ_Ｄはパケットロス数４０３の値から統計パケットロス数５３４０５の値を減算した値であり、Ｌはフロー情報収集装置１０１全体のパケットロス率である。

【0157】

フロー情報記録制御部２３４は、受信パケットが属するフローのパケットロス率を算出する（ステップＳ１１０４）。

【0158】

ネットワークインタフェース２０６－１ではＲＥＤによるパケットの廃棄を行うことから、全てのフローはフロー情報収集装置１０１全体のパケットロス率と同じ割合でパケットの欠落が発生しているとみなすことができる。そのため、フローのパケットロス率は式（４）のように与えられる。

【0159】

【数4】

【0160】

ここで、Ｌ_ｆｌｏｗは受信パケットが属するフローのパケットロス率である。

【0161】

フロー情報記録制御部２３４は、受信パケット数レート及び受信バイト数レートを補正し（ステップＳ１１０５）、その後、受信レート補正処理を終了する。

【0162】

例えば、フロー情報記録制御部２３４は、式（５）を用いて、補正された受信パケット数レートを算出し、式（６）を用いて、補正された受信バイト数レートを算出する。フロー情報記録制御部２３４は、算出された受信パケット数レート及び受信バイト数レートを、受信パケット数レート５３４０６及び受信バイト数レート５３４０７に格納する。

【0163】

【数5】

【0164】

【数6】

【0165】

ここで、式（５）のＲ_{ｐｋｔ＿ｆｌｏｗ}は補正前の受信パケット数レート（受信パケット数レート５３４０６の値）であり、Ｒ’_{ｐｋｔ＿ｆｌｏｗ}は補正後の受信パケット数レートであり、Ｌ_ｆｌｏｗはフローのパケットロス率である。式（６）のＰ_ｆｌｏｗは局所受信パケット数５３４０２の値であり、Ｂ_ｆｌｏｗは局所受信バイト数５３４０３の値であり、Ｒ’_{ｐｋｔ＿ｆｌｏｗ}は補正後の受信パケット数レートであり、Ｒ’_{Ｂｙｔｅ＿ｆｌｏｗ}は補正後の受信バイト数レートである。

【0166】

図１２は、実施例１のＮｅｔＦｌｏｗパケット生成部２３８が生成するＮｅｔＦｌｏｗパケット１２２に含まれるフロー情報のデータフォーマットの一例を示す図である。

【0167】

ＮｅｔＦｌｏｗパケット１２２には、Ｄａｔａ ＦｌｏｗＳｅｔ１２００としてフロー情報が含まれる。Ｄａｔａ ＦｌｏｗＳｅｔ１２００の先頭４バイトは、ＦｌｏｗＳｅｔ ＩＤとＤａｔａ ＦｌｏｗＳｅｔのデータ長を格納する。

【0168】

以降は、アナライザ１０２へ通知するＤａｔａ ＦｌｏｗＳｅｔ１２００のフィールドと、各フィールドに格納する情報について説明する。

【0169】

宛先ＩＰアドレス１２０１、送信元ＩＰアドレス１２０２、宛先ポート番号１２０３、送信元ポート番号１２０４、及びプロトコル番号１２１５の各々には、フロー識別子情報５１１の宛先ＩＰアドレス５２１、送信元ＩＰアドレス５２２、プロトコル番号５２３、宛先ポート番号５２４、及び送信元ポート番号５２５の値が格納される。

【0170】

受信パケット数１２０５及び受信バイト数１２０６の各々には、統計情報５０３の受信パケット数５３１及び受信バイト数５３２の値が格納される。

【0171】

受信パケット数ピークレート１２０７、受信パケット数ピーク時刻１２０８、受信バイト数ピークレート１２０９、及び受信バイト数ピーク時刻１２１０の各々には、局所解析情報５３４の受信パケット数ピークレート５３４０８、受信パケット数ピーク時刻５３４０９、受信バイト数ピークレート５３４１０、及び受信バイト数ピーク時刻５３４１１の値が格納される。

【0172】

受信パケット数レート分散値１２１１及び受信バイト数レート分散値１２１２の各々には、局所解析情報５３４の受信パケット数レート分散値５３４１２及び受信バイト数レート分散値５３４１３の値が格納される。

【0173】

受信パケット数バースト発生回数１２１３及び受信バイト数バースト発生回数１２１４の各々には、局所解析情報５３４の受信パケット数バースト発生回数５３４１８及び受信バイト数バースト発生回数５３４１９の値が格納される。

【0174】

なお、受信パケット数ピークレート１２０７から受信バイト数バースト発生回数１２１４までのフィールドについては、フィールドタイプ値を標準規格外の値を新規に設定した独自拡張である。そのため、独自拡張のフィールドに関しては、標準規格外の範囲で本実施例以外のフィールドタイプ値を設定してもよいし、フィールド長も、例えば８バイトのように変更してもよい。

【0175】

また、Ｄａｔａ ＦｌｏｗＳｅｔ１２００は、必ずしも図１２に示したデータフォーマットに限定されない。例えば、受信レート分散解析処理のビット３１２が無効である場合、受信パケット数レート分散値１２１１及び受信バイト数レート分散値１２１２のフィールドを省略したフォーマットでもよい。

【0176】

図１３は、実施例１のフロー情報収集装置１０１が実行するＮｅｔＦｌｏｗパケット１２２の送信処理の一例を説明するフローチャートである。

【0177】

フロー情報収集装置１０１は周期的にＮｅｔＦｌｏｗパケット１２２の送信処理を実行する。図１３では、一つのフローに対するＮｅｔＦｌｏｗパケット１２２の送信処理を説明する。フロー情報ＤＢ２４２に複数のフローエントリ５０１が存在する場合、各フローエントリ５０１について同一の処理が実行される。

【0178】

フロー情報監視部２３７は、フロー情報ＤＢ２４２に登録されているフローエントリ５０１のタイムアウト時間５３３の値（タイムアウト時間）を取得し（ステップＳ１３０１）、タイムアウト時間を経過しているか否かを判定する（ステップＳ１３０２）。

【0179】

タイムアウト時間を経過していない場合（ステップＳ１３０２がＮＯ）、フロー情報監視部２３７はＮｅｔＦｌｏｗパケット１２２の送信処理を終了する。

【0180】

タイムアウト時間を経過している場合（ステップＳ１３０２がＹＥＳ）、フロー情報監視部２３７は、フローエントリ５０１のフロー識別子情報５１１及び統計情報５１２の値を取得し（ステップＳ１３０３）、ＮｅｔＦｌｏｗパケット生成部２３８に出力する。また、フロー情報監視部２３７は、フローエントリ５０１のフロー識別子情報５１１及び統計情報５１２を初期化し（ステップＳ１３０４）、フロー情報ＤＢ２４２からフローエントリ５０１を削除する（ステップＳ１３０５）。

【0181】

ＮｅｔＦｌｏｗパケット生成部２３８は、フロー情報監視部２３７から受信したフロー識別子情報及び統計情報に基づいてＤａｔａ ＦｌｏｗＳｅｔ１２００を含むＮｅｔＦｌｏｗパケット１２２を生成し（ステップＳ１３０６）、パケット送信部２３９に出力する。Ｄａｔａ ＦｌｏｗＳｅｔ１２００のフォーマットは図１２に示すとおりである。

【0182】

パケット送信部２３９は、ＮｅｔＦｌｏｗパケット生成部２３８から受信したＮｅｔＦｌｏｗパケット１２２を、ネットワークインタフェース２０６－２を介してアナライザ１０２に送信し（ステップＳ１３０７）、送信完了をフロー情報監視部２３７に通知する。フロー情報監視部２３７は、当該通知を受信した後、ＮｅｔＦｌｏｗパケット１２２の送信処理を終了する。

【0183】

図１４Ａ及び図１４Ｂは、実施例１のアナライザ１０２の構成例を示すブロック図である。

【0184】

まず、ハードウェアの構成について説明する。アナライザ１０２は、演算装置１４０１、主記憶装置１４０２、補助記憶装置１４０３、リアルタイムクロック１４０４、入出力装置１４０５、及びネットワークインタフェース１４０６を有する。各ハードウェア要素はバス１４０８を介して互いに接続される。

【0185】

演算装置１４０１、主記憶装置１４０２、補助記憶装置１４０３、リアルタイムクロック１４０４、入出力装置１４０５、及びネットワークインタフェース１４０６は、演算装置２０１、主記憶装置２０２、補助記憶装置２０３、リアルタイムクロック２０４、入出力装置２０５、及びネットワークインタフェース２０６と同一のものである。

【0186】

次に、ソフトウェアの構成要素について説明する。なお、図中の実線は情報の入出力を表し、点線は情報の参照を表す。

【0187】

ＢＯＯＴ１４２１はアナライザ１０２の起動時に実行されるプログラムである。コンフィグレーション１４２２は、プログラム群１４１１に含まれるプログラムを制御するための設定情報である。コンフィグレーション１４２２には、例えば、ＮｅｔＦｌｏｗ閾値監視部１４３４、ＮｅｔＦｌｏｗ可視化部１４３５、制御パケット生成部１４３６等の制御情報を含む。コンフィグレーション１４２２は、予め補助記憶装置１４０３に格納されてもよいし、入出力装置１４０５を介して外部から設定してもよい。

【0188】

ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）１４１０は、補助記憶装置１４０３に格納されており、ＢＯＯＴ１４２１が主記憶装置１４０２にＯＳ１４１０を展開し、実行する。

【0189】

プログラム群１４１１は、フロー情報収集装置１０１から受信したＮｅｔＦｌｏｗパケット１２２を解析する機能を実現するプログラムを含む。プログラム群１４１１は、補助記憶装置１４０３に格納されており、ＯＳ１４１０が主記憶装置１４０２に展開し、実行する。なお、ＢＯＯＴ１４２１が主記憶装置１４０２にプログラム群１４１１を展開し、実行してもよい。

【0190】

プログラム群１４１１は、パケット受信部１４３１、ＮｅｔＦｌｏｗ情報記録制御部１４３２、情報記録部１４３３、ＮｅｔＦｌｏｗ閾値監視部１４３４、ＮｅｔＦｌｏｗ可視化部１４３５、制御パケット生成部１４３６、及びパケット送信部１４３７を含む。

【0191】

情報記録部１４３３は、各種情報を格納するデータストアを管理する。具体的には、情報記録部１４３３はフロー情報ＤＢ１４４１を管理する。フロー情報ＤＢ１４４１は、主記憶装置１４０２に格納されてもよいし、補助記憶装置１４０３に格納されてもよい。

【0192】

パケット受信部１４３１は、ネットワークインタフェース１４０６に到達したＮｅｔＦｌｏｗパケット１２２を受信し、ＮｅｔＦｌｏｗ情報記録制御部１４３２に出力する。

【0193】

ＮｅｔＦｌｏｗ情報記録制御部１４３２は、ＮｅｔＦｌｏｗパケット１２２からフロー情報を抽出し、受信時刻とともにフロー情報ＤＢ１４４１に記録する。

【0194】

ＮｅｔＦｌｏｗ閾値監視部１４３４は、フロー情報に基づいて、フローのトラフィック量を監視し、予め設定された閾値との比較結果に基づいて、トラフィックの増加を検知する。閾値は、例えば、コンフィグレーション１４２２で与えられてもよい。

【0195】

ＮｅｔＦｌｏｗ可視化部１４３５は、フロー情報ＤＢ１４４１に格納されるフロー情報に基づいて、入出力装置１４０５を介して、フローに関する情報を提示する。例えば、各フローのトラフィック量の時間推移を示すグラフが提示される。なお、本実施例では出力先を入出力装置１４０５としているが、パケット送信部１４３７及びネットワークインタフェース１４０６を介して、ＨＴＴＰ等の通信によって外部装置へ出力する構成でもよい。

【0196】

制御パケット生成部１４３６は、フロー情報収集装置１０１の局所解析を制御するための設定情報を含む制御パケットを生成し、パケット送信部１４３７に出力する。制御パケットに含める設定情報は、コンフィグレーション１４２２で与えてもよいし、入出力装置１４０５を介して外部から与えてもよい。また、制御パケット生成部１４３６の動作契機は、例えば、入出力装置１４０５によって与えられてもよい。

【0197】

パケット送信部１４３７は、制御パケット生成部１４３６が生成した制御パケットを受け取り、ネットワークインタフェース１４０６を介してフロー情報収集装置１０１に送信する。

【0198】

図１５Ａ及び図１５Ｂは、実施例１のフロー情報ＤＢ１４４１のデータ構造の一例を示す図である。

【0199】

フロー情報ＤＢ１４４１は、テーブル形式の情報であり、ＩＤ１５０１、受信時刻１５０２、フロー情報収集装置ＩＰアドレス１５０３、フロー識別子情報１５０４、及び統計情報１５０５を含むエントリを格納する。一つのエントリは、ＮｅｔＦｌｏｗパケット１２２に含まれるＤａｔａ ＦｌｏｗＳｅｔ１２００に対応する。

【0200】

ＩＤ１５０１は、エントリの識別情報を格納するフィールドである。受信時刻１５０２は、ＮｅｔＦｌｏｗパケット１２２を受信した時刻を格納するフィールドである。フロー情報収集装置ＩＰアドレス１５０３は、ＮｅｔＦｌｏｗパケット１２２を送信したフロー情報収集装置１０１のＩＰアドレスを格納するフィールドである。

【0201】

フロー識別子情報１５０４は、Ｄａｔａ ＦｌｏｗＳｅｔ１２００に含まれるフロー識別子情報を格納するフィールド群である。例えば、宛先ＩＰアドレス１２０１及び送信元ＩＰアドレス１２０２等の値が格納される。

【0202】

統計情報１５０５は、Ｄａｔａ ＦｌｏｗＳｅｔ１２００に含まれる統計情報を格納するフィールド群である。例えば、受信パケット数１２０５、受信バイト数１２０６、受信パケット数ピークレート１２０７、受信バイト数ピークレート１２０９、受信バイト数ピーク時刻１２１０、受信パケット数バースト発生回数１２１３、及び受信バイト数バースト発生回数１２１４等の値が格納される。

【0203】

図１６は、実施例１のＮｅｔＦｌｏｗ可視化部１４３５が提示する情報の一例を示す図である。

【0204】

ＮｅｔＦｌｏｗ可視化部１４３５は、バースト発生の検知結果として表示画面１６００を提示する。表示画面１６００には、あるフローに対して単位時間ごとの平均受信レート及びピーク受信レートの推移を表すグラフが表示されており、横軸は時刻、縦軸は受信レートである。単位時間は、例えばコンフィグレーション１４２２によって与えられる。図１６の表示例では、単位時間を３０秒に設定している。なお、単位時間は必ずしもフロー情報収集装置１０１のフロー監視期間と一致させる必要はなく、フロー監視期間より長い時間を設定してもよい。

【0205】

ＮｅｔＦｌｏｗ可視化部１４３５は、フロー情報ＤＢ１４４１に記録されているフロー情報のうち、単位時間内に記録された同一フローのエントリの受信バイト数を積算し、単位時間で除算することで平均受信レートを算出する。

【0206】

ＮｅｔＦｌｏｗ可視化部１４３５は、フロー情報ＤＢ１４４１に記録されているフロー情報のうち、単位時間内に記録された同一フローエントリの受信バイト数ピークレートを取得し、最大の受信バイト数ピークレートをピーク受信レートとして採用する。また、ＮｅｔＦｌｏｗ可視化部１４３５最大の受信バイト数ピークレートが発生した受信バイト数ピーク時刻を取得し、グラフに表示してもよい。

【0207】

ＮｅｔＦｌｏｗ閾値監視部１４３４によるバースト検知では、バーストが発生したと判定するための受信レートをバースト検知閾値として事前に設定し、受信バイト数ピークレートが閾値を超過した場合にバーストの発生と判定する。バースト検知閾値は、例えばコンフィグレーション１４２２によって与えられる。なお、図１６では、点線１６０１がバースト検知閾値を表す。

【0208】

バースト発生を検知した場合、例えば、ＮｅｔＦｌｏｗ可視化部１４３５はバースト発生を通知する警告を表示してもよい。また、本実施例ではアナライザ１０２がフロー情報収集装置１０１以外と接続しない構成としているが、例えばアナライザ１０２と通信を行う制御装置に対し、バースト検知を表す通知パケットを、Ｓｙｓｌｏｇ等で送信してもよい。

【0209】

実施例１によれば、フロー情報収集装置１０１は、フロー情報の収集中に、微小時間範囲の解析を行うことによって、局所的なフローの変化を示す局所解析情報を生成し、フロー情報に付与することができる。これによって、アナライザ１０２は、従来のフロー情報では把握できなかった、マイクロバースト等の局所的なフローの変化を監視できる。なお、情報の生成に伴うアナライザ１０２の処理負荷は増大しない。

【0210】

なお、局所解析処理では、受信パケット数及び受信バイト数のいずれか一方のみについて処理を行ってよい。

【実施例0211】

実施例２では、ネットワークフロー監視システムの構成が実施例１と異なる。以下、実施例１との差異を中心に実施例２について説明する。

【0212】

図１７は、実施例２のネットワークフロー監視システム１００の構成例を示す図である。

【0213】

ネットワークフロー監視システム１００は、中継装置１０３、フロー情報収集装置１０１、及び複数のアナライザ１０２－１、１０２－２、１０２－３から構成される。アナライザ１０２－１、１０２－２、１０２－３を区別しない場合、アナライザ１０２と記載する。図１７に示すネットワークフロー監視システム１００は、三つのアナライザ１０２－１、１０２－２、１０２－３を含んでいるが、アナライザ１０２の数はこれに限定されない。

【0214】

実施例２では、フロー情報収集装置１０１に複数のアナライザ１０２が接続されている点が実施例１と異なる。フロー情報収集装置１０１は、各アナライザ１０２に同一のＮｅｔＦｌｏｗパケット１２２を送信する。

【0215】

実施例２のフロー情報収集装置１０１のハードウェア構成及びソフトウェア構成は実施例１と同一である。また、実施例２のフロー情報収集装置１０１が実行する処理は実施例１と同一である。

【0216】

実施例２のアナライザ１０２のハードウェア構成及びソフトウェア構成は実施例１と同一である。また、実施例２のアナライザ１０２が実行する処理は実施例１と同一である。なお、複数のアナライザ１０２の各々は、フロー情報の利用目的が異なっていてもよい。例えば、監視する項目を分ける利用方法が考えられる。アナライザ１０２－１はフロー識別子情報に基づいて大局的なフロー数の推移を監視し、アナライザ１０２－２は受信バイト数に基づいて大局的なトラフィック量の推移を監視し、アナライザ１０２－３は受信バイト数ピークレート及び受信バイト数バースト発生回数等に基づいて局所的なトラフィック量の変化を監視する。

【0217】

なお、フロー情報収集装置１０１を制御する場合、システム管理者は、例えば、複数のアナライザ１０２の中の一つのアナライザ１０２を操作して、制御パケットを送信する。また、コンフィグレーション２２２に制御パケットを受け付けるアナライザ１０２のＩＰアドレスを設定し、パケット判定部２３２がアナライザ１０２の制御パケットをフィルタリングしてもよい。

【0218】

実施例２によれば、フロー情報収集装置１０１が複数のアナライザ１０２と接続することによって、アナライザ１０２の冗長化を図ることができる。