特許 7597231 パケットキャプチャ装置および方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-12-02

(45)【発行日】2024-12-10

(54)【発明の名称】パケットキャプチャ装置および方法

(51)【国際特許分類】

   H04L 43/18 20220101AFI20241203BHJP

【ＦＩ】

H04L43/18

【請求項の数】 8

(21)【出願番号】P 2023547952

(86)(22)【出願日】2021-09-14

(86)【国際出願番号】 JP2021033670

(87)【国際公開番号】W WO2023042245

(87)【国際公開日】2023-03-23

【審査請求日】2024-02-21

(73)【特許権者】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(74)【代理人】

【識別番号】100098394

【弁理士】

【氏名又は名称】山川 茂樹

(74)【代理人】

【識別番号】100153006

【弁理士】

【氏名又は名称】小池 勇三

(74)【代理人】

【識別番号】100064621

【弁理士】

【氏名又は名称】山川 政樹

(74)【代理人】

【識別番号】100121669

【弁理士】

【氏名又は名称】本山 泰

(72)【発明者】

【氏名】鵜澤 寛之

(72)【発明者】

【氏名】八田 彩希

(72)【発明者】

【氏名】吉田 周平

(72)【発明者】

【氏名】関原 悠介

(72)【発明者】

【氏名】大輝 晶子

(72)【発明者】

【氏名】池田 奈美子

【審査官】佐賀野 秀一

(56)【参考文献】

【文献】特開２０１８－０８８７１６（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１６／０１２７２７６（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４３／１８

(57)【特許請求の範囲】

【請求項1】

監視対象のネットワークを流れるパケットのうち、外部からのキャプチャ開始指示によって第１のフローテーブルに登録された対象フローの条件と合致するパケットを蓄積してキャプチャファイルに変換するように構成された第１のキャプチャ機能部と、
前記キャプチャ開始指示の到来から前記第１のフローテーブルに前記対象フローの条件が登録されるまでに要する期間内に前記ネットワークから受信するパケットを蓄積してキャプチャファイルに変換するように構成された第２のキャプチャ機能部とを備えることを特徴とするパケットキャプチャ装置。

【請求項2】

請求項１記載のパケットキャプチャ装置において、
前記第１のキャプチャ機能部は、
前記対象フローの条件を記憶するように構成された前記第１のフローテーブルと、
前記ネットワークから受信したパケットのうち、前記第１のフローテーブルに登録された条件と合致するパケットのみを通過させるように構成された第１のフィルタ部と、
前記第１のフィルタ部を通過したパケットを蓄積するように構成された第１のバッファ部と、
前記第１のバッファ部に蓄積されたパケットをキャプチャファイルに変換するように構成された第１のキャプチャファイル生成部と、
前記キャプチャ開始指示によって指定された対象フローの条件を前記第１のフローテーブルに登録するように構成されたキャプチャ制御部とを備え、
前記第２のキャプチャ機能部は、
前記ネットワークから受信したパケットを蓄積するように構成されたリングバッファ構造の第２のバッファ部と、
前記第２のバッファ部に蓄積されたパケットをキャプチャファイルに変換するように構成された第２のキャプチャファイル生成部とを備え、
前記キャプチャ制御部は、前記第１のフローテーブルへの登録完了時に前記第２のバッファ部に対してパケットの蓄積停止を指示し、
前記第２のキャプチャファイル生成部は、前記第２のバッファ部に蓄積されたパケットから生成したキャプチャファイルの出力完了時に前記第２のバッファ部に対してパケットの蓄積再開を指示することを特徴とするパケットキャプチャ装置。

【請求項3】

請求項１記載のパケットキャプチャ装置において、
前記第２のキャプチャ機能部は、蓄積したパケットのうち、前記対象フローの条件と合致するパケットのみを選択的にキャプチャファイルに変換することを特徴とするパケットキャプチャ装置。

【請求項4】

請求項３記載のパケットキャプチャ装置において、
前記第１のキャプチャ機能部は、
前記対象フローの条件を記憶するように構成された前記第１のフローテーブルと、
前記ネットワークから受信したパケットのうち、前記第１のフローテーブルに登録された条件と合致するパケットのみを通過させるように構成された第１のフィルタ部と、
前記第１のフィルタ部を通過したパケットを蓄積するように構成された第１のバッファ部と、
前記第１のバッファ部に蓄積されたパケットをキャプチャファイルに変換するように構成された第１のキャプチャファイル生成部と、
前記キャプチャ開始指示によって指定された対象フローの条件を前記第１のフローテーブルと前記第２のキャプチャ機能部の第２のフローテーブルとに登録するように構成されたキャプチャ制御部とを備え、
前記第２のキャプチャ機能部は、
前記対象フローの条件を記憶するように構成された前記第２のフローテーブルと、
前記ネットワークから受信したパケットを蓄積するように構成されたリングバッファ構造の第２のバッファ部と、
前記第２のバッファ部に蓄積されたパケットのうち、前記第２のフローテーブルに登録された条件と合致するパケットのみを選択的にキャプチャファイルに変換するように構成された第２のキャプチャファイル生成部とを備えることを特徴とするパケットキャプチャ装置。

【請求項5】

請求項１記載のパケットキャプチャ装置において、
前記第１のキャプチャ機能部は、前記ネットワークからパケットを受信する度に前記第１のフローテーブルに登録された条件とパケットとの照合を行い、照合結果を前記第２のキャプチャ機能部に出力し、
前記第２のキャプチャ機能部は、前記キャプチャ開始指示の到来から前記第１のフローテーブルに前記対象フローの条件が登録されるまでに要する期間内に前記ネットワークから受信するパケットのうち、前記第１のフローテーブルに登録された条件と合致しないという前記照合結果が得られたパケットのみを蓄積してキャプチャファイルに変換することを特徴とするパケットキャプチャ装置。

【請求項6】

請求項５記載のパケットキャプチャ装置において、
前記第１のキャプチャ機能部は、
前記対象フローの条件を記憶するように構成された前記第１のフローテーブルと、
前記ネットワークから受信したパケットのうち、前記第１のフローテーブルに登録された条件と合致するパケットのみを通過させると同時に、前記照合結果を前記第２のキャプチャ機能部に出力するように構成された第１のフィルタ部と、
前記第１のフィルタ部を通過したパケットを蓄積するように構成された第１のバッファ部と、
前記第１のバッファ部に蓄積されたパケットをキャプチャファイルに変換するように構成された第１のキャプチャファイル生成部と、
前記キャプチャ開始指示によって指定された対象フローの条件を前記第１のフローテーブルに登録するように構成されたキャプチャ制御部とを備え、
前記第２のキャプチャ機能部は、
前記ネットワークから受信したパケットのうち、前記第１のフローテーブルに登録された条件と合致しないという前記照合結果が得られたパケットのみを通過させるように構成された第２のフィルタ部と、
前記第２のフィルタ部を通過したパケットを蓄積するように構成されたリングバッファ構造の第２のバッファ部と、
前記第２のバッファ部に蓄積されたパケットをキャプチャファイルに変換するように構成された第２のキャプチャファイル生成部とを備えることを特徴とするパケットキャプチャ装置。

【請求項7】

請求項１乃至６のいずれか１項に記載のパケットキャプチャ装置において、
前記第１のキャプチャ機能部と前記第２のキャプチャ機能部の各々が出力するキャプチャファイルを記憶するための記憶部と、
前記キャプチャファイルを前記記憶部に書き込む際に、前記第１のキャプチャ機能部が生成したキャプチャファイルの書き込みを優先するように制御するように構成された調停部とをさらに備えることを特徴とするパケットキャプチャ装置。

【請求項8】

監視対象のネットワークを流れるパケットのうち、外部からのキャプチャ開始指示によってフローテーブルに登録された対象フローの条件と合致するパケットを第１のバッファ部に蓄積する第１のステップと、
前記第１のバッファ部に蓄積されたパケットをキャプチャファイルに変換する第２のステップと、
前記キャプチャ開始指示の到来から前記フローテーブルに前記対象フローの条件が登録されるまでに要する期間内に前記ネットワークから受信するパケットを第２のバッファ部に蓄積する第３のステップと、
前記第２のバッファ部に蓄積されたパケットをキャプチャファイルに変換する第４のステップとを含むことを特徴とするパケットキャプチャ方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、監視対象のネットワークを流れるパケットを採取するパケットキャプチャ装置および方法に関するものである。

【背景技術】

【0002】

ＮＦＶ（Network Functions Virtualization）／ＳＤＮ（Software Defined Networking）における仮想化技術の進展に伴い、ＶＭ（Virtual Machine）等を用いた様々なサービスが提供されている。パケットキャプチャ装置は、特定フローのパケット、例えば送信元ＭＡＣ（Media Access Control）アドレスと宛先ＭＡＣアドレスとＩＰ（Internet Protocol）アドレス等を組み合わせたルールが同一のパケットの集合体を選択的に取り込むことができる。このようなパケットキャプチャ装置は、上記のサービス提供時における品質の解析、障害の解析に必須な装置の１つである。

【0003】

図１４に、特許文献１に開示されたパケットキャプチャ装置の構成を示す。パケットキャプチャ装置２００は、監視対象のネットワーク（ＮＷ）１００から、ミラーリングパケットを受信する。フィルタ部２０１は、キャプチャ対象を選別する。フィルタ部２０１における選別とは、キャプチャ対象として指定されたフローと合致したパケットを選別する処理である。

【0004】

パケットを選別する目的のために、フィルタ部２０１は、指定されたキャプチャ対象フローの条件が登録されたフローテーブル２０２を備える。フィルタ部２０１は、パケットが入力されると、フローテーブル２０２に記録されたキャプチャ対象フローの条件とパケットとの照合を行い、条件と合致したパケットを通過させ、条件と合致しないパケットを廃棄する。

【0005】

バッファ部２０３は、フィルタ部２０１を通過したパケットを蓄積する。キャプチャファイル生成部２０４は、バッファ部２０３に蓄積されたパケットデータが所定データ量に到達するか、もしくは所定時間が経過すると、パケットデータをｐｃａｐ（packet capture）形式のキャプチャファイルに変換する。キャプチャファイルは、記憶部２０５に保存される。

【0006】

キャプチャ制御部２０６は、外部からのキャプチャ対象フローの指定に基づいて対象フローの条件をフローテーブル２０２に追加したりフローテーブル２０２から削除したりする。

【0007】

特定フローの障害解析を目的としたパケットキャプチャにおいては、障害検出直後からのパケットの取り込みが必要となる。しかしながら、従来のパケットキャプチャ装置２００においては、障害発生を契機として外部からキャプチャ開始指示が通知されたとしても、当該通知の受信処理と通知に基づく対象フローの条件登録処理とが完了してからでなければパケットの取り込みが開始されない。このため、パケット取り込み開始までにタイムラグが発生し、障害発生直後のパケットを取り込むことが出来ず、障害解析が困難になるという課題があった。

【先行技術文献】

【特許文献】

【0008】

【文献】特許第４９５５７２２号公報

【発明の概要】

【発明が解決しようとする課題】

【0009】

本発明は、上記課題を解決するためになされたもので、外部からキャプチャ開始指示が発出されたときに従来のキャプチャ機能のタイムラグ中に流入するパケットを取りこぼすことなく取り込むことが可能なパケットキャプチャ装置および方法を提供することを目的とする。

【課題を解決するための手段】

【0010】

本発明のパケットキャプチャ装置は、監視対象のネットワークを流れるパケットのうち、外部からのキャプチャ開始指示によって第１のフローテーブルに登録された対象フローの条件と合致するパケットを蓄積してキャプチャファイルに変換するように構成された第１のキャプチャ機能部と、前記キャプチャ開始指示の到来から前記第１のフローテーブルに前記対象フローの条件が登録されるまでに要する期間内に前記ネットワークから受信するパケットを蓄積してキャプチャファイルに変換するように構成された第２のキャプチャ機能部とを備えることを特徴とするものである。

【0011】

また、本発明のパケットキャプチャ装置の１構成例において、前記第１のキャプチャ機能部は、前記対象フローの条件を記憶するように構成された前記第１のフローテーブルと、前記ネットワークから受信したパケットのうち、前記第１のフローテーブルに登録された条件と合致するパケットのみを通過させるように構成された第１のフィルタ部と、前記第１のフィルタ部を通過したパケットを蓄積するように構成された第１のバッファ部と、前記第１のバッファ部に蓄積されたパケットをキャプチャファイルに変換するように構成された第１のキャプチャファイル生成部と、前記キャプチャ開始指示によって指定された対象フローの条件を前記第１のフローテーブルに登録するように構成されたキャプチャ制御部とを備え、前記第２のキャプチャ機能部は、前記ネットワークから受信したパケットを蓄積するように構成されたリングバッファ構造の第２のバッファ部と、前記第２のバッファ部に蓄積されたパケットをキャプチャファイルに変換するように構成された第２のキャプチャファイル生成部とを備え、前記キャプチャ制御部は、前記第１のフローテーブルへの登録完了時に前記第２のバッファ部に対してパケットの蓄積停止を指示し、前記第２のキャプチャファイル生成部は、前記第２のバッファ部に蓄積されたパケットから生成したキャプチャファイルの出力完了時に前記第２のバッファ部に対してパケットの蓄積再開を指示することを特徴とするものである。

【0012】

また、本発明のパケットキャプチャ装置の１構成例において、前記第２のキャプチャ機能部は、蓄積したパケットのうち、前記対象フローの条件と合致するパケットのみを選択的にキャプチャファイルに変換することを特徴とするものである。

【0013】

また、本発明のパケットキャプチャ装置の１構成例において、前記第１のキャプチャ機能部は、前記対象フローの条件を記憶するように構成された前記第１のフローテーブルと、前記ネットワークから受信したパケットのうち、前記第１のフローテーブルに登録された条件と合致するパケットのみを通過させるように構成された第１のフィルタ部と、前記第１のフィルタ部を通過したパケットを蓄積するように構成された第１のバッファ部と、前記第１のバッファ部に蓄積されたパケットをキャプチャファイルに変換するように構成された第１のキャプチャファイル生成部と、前記キャプチャ開始指示によって指定された対象フローの条件を前記第１のフローテーブルと前記第２のキャプチャ機能部の第２のフローテーブルとに登録するように構成されたキャプチャ制御部とを備え、前記第２のキャプチャ機能部は、前記対象フローの条件を記憶するように構成された前記第２のフローテーブルと、前記ネットワークから受信したパケットを蓄積するように構成されたリングバッファ構造の第２のバッファ部と、前記第２のバッファ部に蓄積されたパケットのうち、前記第２のフローテーブルに登録された条件と合致するパケットのみを選択的にキャプチャファイルに変換するように構成された第２のキャプチャファイル生成部とを備えることを特徴とするものである。

【0014】

また、本発明のパケットキャプチャ装置の１構成例において、前記第１のキャプチャ機能部は、前記ネットワークからパケットを受信する度に前記第１のフローテーブルに登録された条件とパケットとの照合を行い、照合結果を前記第２のキャプチャ機能部に出力し、前記第２のキャプチャ機能部は、前記キャプチャ開始指示の到来から前記第１のフローテーブルに前記対象フローの条件が登録されるまでに要する期間内に前記ネットワークから受信するパケットのうち、前記第１のフローテーブルに登録された条件と合致しないという前記照合結果が得られたパケットのみを蓄積してキャプチャファイルに変換することを特徴とするものである。

【0015】

また、本発明のパケットキャプチャ装置の１構成例において、前記第１のキャプチャ機能部は、前記対象フローの条件を記憶するように構成された前記第１のフローテーブルと、前記ネットワークから受信したパケットのうち、前記第１のフローテーブルに登録された条件と合致するパケットのみを通過させると同時に、前記照合結果を前記第２のキャプチャ機能部に出力するように構成された第１のフィルタ部と、前記第１のフィルタ部を通過したパケットを蓄積するように構成された第１のバッファ部と、前記第１のバッファ部に蓄積されたパケットをキャプチャファイルに変換するように構成された第１のキャプチャファイル生成部と、前記キャプチャ開始指示によって指定された対象フローの条件を前記第１のフローテーブルに登録するように構成されたキャプチャ制御部とを備え、前記第２のキャプチャ機能部は、前記ネットワークから受信したパケットのうち、前記第１のフローテーブルに登録された条件と合致しないという前記照合結果が得られたパケットのみを通過させるように構成された第２のフィルタ部と、前記第２のフィルタ部を通過したパケットを蓄積するように構成されたリングバッファ構造の第２のバッファ部と、前記第２のバッファ部に蓄積されたパケットをキャプチャファイルに変換するように構成された第２のキャプチャファイル生成部とを備えることを特徴とするものである。

【0016】

また、本発明のパケットキャプチャ装置の１構成例は、前記第１のキャプチャ機能部と前記第２のキャプチャ機能部の各々が出力するキャプチャファイルを記憶するための記憶部と、前記キャプチャファイルを前記記憶部に書き込む際に、前記第１のキャプチャ機能部が生成したキャプチャファイルの書き込みを優先するように制御するように構成された調停部とをさらに備えることを特徴とするものである。

【0017】

また、本発明のパケットキャプチャ方法は、監視対象のネットワークを流れるパケットのうち、外部からのキャプチャ開始指示によってフローテーブルに登録された対象フローの条件と合致するパケットを第１のバッファ部に蓄積する第１のステップと、前記第１のバッファ部に蓄積されたパケットをキャプチャファイルに変換する第２のステップと、前記キャプチャ開始指示の到来から前記フローテーブルに前記対象フローの条件が登録されるまでに要する期間内に前記ネットワークから受信するパケットを第２のバッファ部に蓄積する第３のステップと、前記第２のバッファ部に蓄積されたパケットをキャプチャファイルに変換する第４のステップとを含むことを特徴とするものである。

【発明の効果】

【0018】

本発明によれば、第１のキャプチャ機能部に加えて、キャプチャ開始指示の到来から第１のフローテーブルに対象フローの条件が登録されるまでに要する期間内にネットワークから受信するパケットを蓄積してキャプチャファイルに変換する第２のキャプチャ機能部を設ける。第２のキャプチャ機能部を設けたことにより、本発明では、キャプチャ開始指示の前から予めパケットを第２のキャプチャ機能部で蓄積しているので、例えばネットワークの障害発生の検出等を契機として、外部からキャプチャ開始指示が発出されたときに、第１のキャプチャ機能部のタイムラグ中に流入するパケットを取りこぼすことなく取り込むことが可能となる。

【図面の簡単な説明】

【0019】

【図1】図１は、本発明の第１の実施例に係るパケットキャプチャ装置の構成を示すブロック図である。

【図2】図２は、本発明の第１の実施例に係る短期キャプチャ機能部の動作を説明するフローチャートである。

【図3】図３は、本発明の第１の実施例に係る通常キャプチャ機能部のキャプチャ制御部の動作を説明するフローチャートである。

【図4】図４は、本発明の第１の実施例に係る通常キャプチャ機能部のフィルタ部とバッファ部とキャプチャファイル生成部の動作を説明するフローチャートである。

【図5】図５は、本発明の第１の実施例に係る調停部の動作を説明するフローチャートである。

【図6】図６は、本発明の第１の実施例に係るパケットキャプチャ装置の動作例を示す図である。

【図7】図７は、本発明の第２の実施例に係るパケットキャプチャ装置の構成を示すブロック図である。

【図8】図８は、本発明の第２の実施例に係る短期キャプチャ機能部の動作を説明するフローチャートである。

【図9】図９は、本発明の第２の実施例に係る通常キャプチャ機能部のキャプチャ制御部の動作を説明するフローチャートである。

【図10】図１０は、本発明の第３の実施例に係るパケットキャプチャ装置の構成を示すブロック図である。

【図11】図１１は、本発明の第３の実施例に係る通常キャプチャ機能部のフィルタ部とバッファ部とキャプチャファイル生成部の動作を説明するフローチャートである。

【図12】図１２は、本発明の第３の実施例に係る短期キャプチャ機能部の反転フィルタ部の動作を説明するフローチャートである。

【図13】図１３は、本発明の第１～第３の実施例に係るパケットキャプチャ装置を実現するコンピュータの構成例を示すブロック図である。

【図14】図１４は、従来のパケットキャプチャ装置の構成を示すブロック図である。

【発明を実施するための形態】

【0020】

［第１の実施例］
以下、本発明の実施例について図面を参照して説明する。図１は本発明の第１の実施例に係るパケットキャプチャ装置の構成を示すブロック図である。
本実施例のパケットキャプチャ装置１は、外部からのキャプチャ開始指示に基づいて特定フローの条件と合致するパケットを取り込むための通常キャプチャ機能部２（第１のキャプチャ機能部）に加えて、通常キャプチャ機能部２が取り込み開始するまでのタイムラグ期間中に入力されるパケットを取り込むための短期キャプチャ機能部３（第２のキャプチャ機能部）を新たに備える点が従来と異なる。

【0021】

さらに、パケットキャプチャ装置１は、通常キャプチャ機能部２と短期キャプチャ機能部３の各々が出力するキャプチャファイルを記憶するための記憶部４と、キャプチャファイルを記憶部４に書き込む際に、通常キャプチャ機能部２が生成したキャプチャファイルの書き込みを優先するように制御する調停部５とを備えている。

【0022】

通常キャプチャ機能部２は、キャプチャ対象フローの条件を記憶するフローテーブル２０と、監視対象のネットワーク１００から受信したパケットのうち、フローテーブル２０に登録された条件と合致するパケットのみを通過させるフィルタ部２１（第１のフィルタ部）と、フィルタ部２１を通過したパケットを蓄積するバッファ部２２（第１のバッファ部）と、バッファ部２２に蓄積されたパケットをキャプチャファイルに変換するキャプチャファイル生成部２３（第１のキャプチャファイル生成部）と、外部からのキャプチャ開始指示によって指定されたキャプチャ対象フローの条件をフローテーブル２０に登録するキャプチャ制御部２４とを備えている。

【0023】

短期キャプチャ機能部３は、ネットワーク１００から受信したパケットを蓄積するリングバッファ部３０（第２のバッファ部）と、リングバッファ部３０に蓄積されたパケットをキャプチャファイルに変換する短期キャプチャファイル生成部３１（第２のキャプチャファイル生成部）とを備えている。

【0024】

図２は短期キャプチャ機能部３の動作を説明するフローチャート、図３は通常キャプチャ機能部２のキャプチャ制御部２４の動作を説明するフローチャート、図４は通常キャプチャ機能部２のフィルタ部２１とバッファ部２２とキャプチャファイル生成部２３の動作を説明するフローチャートである。

【0025】

短期キャプチャ機能部３は、外部から通知されるキャプチャ対象フローを予め知ることはできない。このため、短期キャプチャ機能部３は、通常キャプチャ機能部２のキャプチャ制御部２４から蓄積停止の指示があるまで、全てのフローのパケットを取り込む。

【0026】

具体的には、短期キャプチャ機能部３は、リングバッファ部３０を有する。リングバッファ部３０は、ネットワーク１００を流れるパケットをコピーしたミラーリングパケットを蓄積する（図２ステップＳ１００）。

【0027】

ミラーリングパケットは、ネットワーク１００上の機器のミラーリング機能によって生成される。リングバッファ部３０が満杯になると、蓄積された最も古いパケットが最新のパケットで上書きされる。このようなリングバッファ部３０によるパケットの蓄積が継続的に行われる。

【0028】

なお、本実施例では、通常キャプチャ機能部２が取り込み開始するまでのタイムラグ期間中に入力されるパケットを短期キャプチャ機能部３で取り込む。したがって、リングバッファ部３０は、通常キャプチャ機能部２のタイムラグよりも長い時間分のパケットを蓄積可能な容量を備えている必要がある。

【0029】

一方、通常キャプチャ機能部２のキャプチャ制御部２４は、外部から特定フローのキャプチャ開始指示を受信すると（図３ステップＳ２００においてＹＥＳ）、キャプチャ対象フローの条件をフローテーブル２０に登録する（図３ステップＳ２０１）。キャプチャ対象フローの条件は、例えば送信元ＭＡＣアドレスと宛先ＭＡＣアドレスとＩＰアドレス等の情報を含む。これら対象フローの条件は、外部から受信したキャプチャ開始指示に付加されている。

【0030】

フローテーブル２０への登録完了後、キャプチャ制御部２４は、短期キャプチャ機能部３のリングバッファ部３０に対して停止指示信号を出力し（図３ステップＳ２０２）、短期キャプチャ機能部３の短期キャプチャファイル生成部３１と通常キャプチャ機能部２のキャプチャファイル生成部２３とに対してファイル生成指示信号を出力する（図３ステップＳ２０３）。

【0031】

短期キャプチャ機能部３のリングバッファ部３０は、キャプチャ制御部２４から停止指示信号が入力されたことにより（図２ステップＳ１０１においてＹＥＳ）、パケットの蓄積を停止する（図２ステップＳ１０２）。

【0032】

短期キャプチャ機能部３の短期キャプチャファイル生成部３１は、キャプチャ制御部２４からファイル生成指示信号が入力されたことにより（図２ステップＳ１０３においてＹＥＳ）、リングバッファ部３０に蓄積されたパケットを取り出してｐｃａｐ形式のキャプチャファイルに変換する（図２ステップＳ１０４）。

【0033】

短期キャプチャファイル生成部３１は、生成したキャプチャファイルを調停部５に転送する（図２ステップＳ１０５）。短期キャプチャファイル生成部３１は、キャプチャファイルの転送完了後、リングバッファ部３０部に対してパケット蓄積の再開指示信号を出力する（図２ステップＳ１０６）。

【0034】

リングバッファ部３０は、短期キャプチャファイル生成部３１から再開指示信号が入力されたことにより、パケットの蓄積を再開する（図２ステップＳ１０７）。

【0035】

一方、通常キャプチャ機能部２のフィルタ部２１は、ネットワーク１００からミラーリングパケットを受信する度に、フローテーブル２０に登録されたキャプチャ対象フローの条件とパケットとの照合を行い、条件と合致したパケットを通過させ、条件と合致しないパケットを廃棄する（図４ステップＳ３００）。

【0036】

通常キャプチャ機能部２のバッファ部２２は、フィルタ部２１を通過したパケットを蓄積する（図４ステップＳ３０１）。バッファ部２２の代表例としては、ＦＩＦＯ（First In, First Out）バッファがある。

【0037】

通常キャプチャ機能部２のキャプチャファイル生成部２３は、キャプチャ制御部２４からファイル生成指示信号が入力されると（図４ステップＳ３０２においてＹＥＳ）、ファイル生成条件が満たされたときに（図４ステップＳ３０３）、バッファ部２２に蓄積されたパケットを取り出してｐｃａｐ形式のキャプチャファイルに変換する（図４ステップＳ３０４）。

【0038】

ファイル生成条件は、バッファ部２２に蓄積されたパケットが所定量に到達することと、所定時間が経過することのいずれかである。これらのいずれをファイル生成条件とするかは予め設定されている。
こうして、バッファ部２２に蓄積されたパケットが所定量に到達する度に、あるいは所定時間が経過する度に、キャプチャファイル生成部２３によってキャプチャファイルが生成される。

【0039】

キャプチャファイル生成部２３は、生成したキャプチャファイルを調停部５に転送する（図４ステップＳ３０５）。なお、キャプチャ制御部２４からファイル生成指示信号が入力された後は、後述するファイル停止指示信号が入力されるまで、ステップＳ３０２は常に判定ＹＥＳとなる。

【0040】

次に、通常キャプチャ機能部２のキャプチャ制御部２４は、外部から特定フローのキャプチャ停止指示を受信すると（図３ステップＳ２０４においてＹＥＳ）、キャプチャ停止が指定されたキャプチャ対象フローの条件をフローテーブル２０から削除する（図３ステップＳ２０５）。

【0041】

フローテーブル２０の削除完了後、キャプチャ制御部２４は、通常キャプチャ機能部２のキャプチャファイル生成部２３に対してファイル停止指示信号を出力する（図３ステップＳ２０６）。

【0042】

通常キャプチャ機能部２のキャプチャファイル生成部２３は、キャプチャ制御部２４からファイル停止指示信号が入力されると（図４ステップＳ３０６においてＹＥＳ）、キャプチャファイル生成を停止する（図４ステップＳ３０７）。

【0043】

次に、調停部５の動作を図５を用いて説明する。調停部５は、通常キャプチャ機能部２から転送されたキャプチャファイルと短期キャプチャ機能部３から転送されたキャプチャファイルとを記憶部４に格納する。ここで、調停部５は、通常キャプチャ機能部２から転送されたキャプチャファイルがある場合には（図５ステップＳ４００においてＹＥＳ）、通常キャプチャ機能部２から転送されたキャプチャファイルの記憶部４への格納を優先する（図５ステップＳ４０１）。

【0044】

また、調停部５は、通常キャプチャ機能部２からのキャプチャファイル転送がなく、短期キャプチャ機能部３から転送されたキャプチャファイルがある場合には（図５ステップＳ４０２においてＹＥＳ）、短期キャプチャ機能部３から転送されたキャプチャファイルを記憶部４に格納する（図５ステップＳ４０３）。

【0045】

図６は本実施例のパケットキャプチャ装置１の動作例を示す図である。ここでは、フローテーブル２０に登録された対象フローの条件に合致するフロー＃Ａのパケットをパケットキャプチャ装置１に取り込む例で説明する。

【0046】

上記のとおり、短期キャプチャ機能部３のリングバッファ部３０は、全てのフローのパケットを蓄積する。図６の時間幅ＴＷは、リングバッファ部３０がパケットを蓄積可能な期間を示しており、リングバッファ部３０の容量に対応する。

【0047】

時刻ｔ１において外部から特定フローのキャプチャ開始指示が入力されると、タイムラグが経過した後の時刻ｔ２においてリングバッファ部３０によるパケット蓄積が停止する。タイムラグは、キャプチャ開始指示が到来してからフローテーブル２０にキャプチャ対象フローの条件が登録されるまでに要する時間である。

【0048】

上記のとおり、フローテーブル２０にキャプチャ対象フローの条件が登録されると、キャプチャ制御部２４からリングバッファ部３０に対して停止指示信号が出力され、短期キャプチャファイル生成部３１とキャプチャファイル生成部２３に対してファイル生成指示信号が出力される。

【0049】

したがって、時刻ｔ２においてリングバッファ部３０によるパケットの蓄積が停止し、以後は通常キャプチャ機能部２によって対象フローのパケットが蓄積され、キャプチャファイルが生成される。通常キャプチャ機能部２によるキャプチャファイルは、外部からキャプチャ停止指示があるまで継続的に生成される。

【0050】

一方で、短期キャプチャ機能部３が記憶部４に転送するキャプチャファイルは、通常キャプチャ機能部２が対象フローのパケットを蓄積中の状態においては既に生成が完了した状態である。

【0051】

そこで、調停部５は、通常キャプチャ機能部２によって連続的に生成されるキャプチャファイルの転送を優先し、通常キャプチャ機能部２がキャプチャファイルを転送しない時間帯において、短期キャプチャ機能部３から転送されたキャプチャファイルを記憶部４に格納する。

【0052】

以上のように、本実施例では、キャプチャ開始指示の前から予めパケットを短期キャプチャ機能部３で蓄積しているので、例えばネットワークの障害発生の検出等を契機として、外部からキャプチャ開始指示が発出されたときに、通常キャプチャ機能部２のタイムラグ中に流入するパケットを取りこぼすことなく取り込むことが可能となる。

【0053】

なお、調停部５へのキャプチャファイル転送が完了すると、短期キャプチャファイル生成部３１がリングバッファ部３０部に対して再開指示信号を出力し、リングバッファ部３０がパケットの蓄積を再開する。したがって、次のキャプチャ開始指示が到来する前からパケットの蓄積を再開しているので、次のキャプチャ開始指示が外部から到来したとき、到来直後からのパケットの取り込みが可能となる。

【0054】

［第２の実施例］
次に、本発明の第２の実施例について説明する。図７は本発明の第２の実施例に係るパケットキャプチャ装置の構成を示すブロック図である。本実施例のパケットキャプチャ装置１ａは、通常キャプチャ機能部２ａ（第１のキャプチャ機能部）と、短期キャプチャ機能部３ａ（第２のキャプチャ機能部）と、調停部５と、記憶部４とを備えている。

【0055】

通常キャプチャ機能部２ａは、フローテーブル２０と、フィルタ部２１と、バッファ部２２と、キャプチャファイル生成部２３と、外部からのキャプチャ開始指示によって指定されたキャプチャ対象フローの条件をフローテーブル２０と短期キャプチャ機能部３ａのフローテーブル３２とに登録するキャプチャ制御部２４ａとを備えている。

【0056】

短期キャプチャ機能部３ａは、リングバッファ部３０と、リングバッファ部３０に蓄積されたパケットのうち、キャプチャ対象フローの条件と合致するパケットのみを選択的にキャプチャファイルに変換する短期キャプチャファイル生成部３１ａと、フローテーブル３２とを備えている。

【0057】

本実施例では、短期キャプチャファイル生成部３１ａが、リングバッファ部３０部に蓄積されたパケットの中からキャプチャ対象フローのデータのみを選別してキャプチャファイル化する点が第１の実施例と異なる。

【0058】

図８は短期キャプチャ機能部３ａの動作を説明するフローチャート、図９は通常キャプチャ機能部２ａのキャプチャ制御部２４ａの動作を説明するフローチャートである。
短期キャプチャ機能部３ａのリングバッファ部３０の動作（図８ステップＳ１００～Ｓ１０２，Ｓ１０７）は、第１の実施例と同じである。

【0059】

通常キャプチャ機能部２ａのキャプチャ制御部２４ａは、外部から特定フローのキャプチャ開始指示を受信すると（図９ステップＳ２００においてＹＥＳ）、キャプチャ対象フローの条件をフローテーブル２０と短期キャプチャ機能部３ａのフローテーブル３２とに登録する（図９ステップＳ２０１ａ）。こうして、フローテーブル２０と同じ内容がフローテーブル３２に登録される。第１の実施例で説明したとおり、キャプチャ対象フローの条件は、外部から受信したキャプチャ開始指示に付加されている。

【0060】

フローテーブル２０，３２への登録完了後、キャプチャ制御部２４ａは、短期キャプチャ機能部３ａのリングバッファ部３０に対して停止指示信号を出力し（図９ステップＳ２０２）、短期キャプチャ機能部３ａの短期キャプチャファイル生成部３１ａと通常キャプチャ機能部２ａのキャプチャファイル生成部２３とに対してファイル生成指示信号を出力する（図９ステップＳ２０３）。

【0061】

短期キャプチャ機能部３ａの短期キャプチャファイル生成部３１ａは、キャプチャ制御部２４ａからファイル生成指示信号が入力されたことにより（図８ステップＳ１０３においてＹＥＳ）、リングバッファ部３０に蓄積されたパケットを取り出してキャプチャファイルに変換する（図８ステップＳ１０４ａ）。

【0062】

このとき、短期キャプチャファイル生成部３１ａは、リングバッファ部３０から取り出したパケットとフローテーブル３２に登録されたキャプチャ対象フローの条件との照合を行い、条件と合致したパケットのみを選択的にキャプチャファイルに変換する。

【0063】

短期キャプチャファイル生成部３１ａは、生成したキャプチャファイルを調停部５に転送し（図８ステップＳ１０５）、転送完了後、リングバッファ部３０部に対してパケット蓄積の再開指示信号を出力する（図８ステップＳ１０６）。

【0064】

通常キャプチャ機能部２ａのキャプチャ制御部２４ａは、外部から特定フローのキャプチャ停止指示を受信すると（図９ステップＳ２０４においてＹＥＳ）、キャプチャ停止が指定されたキャプチャ対象フローの条件をフローテーブル２０とフローテーブル３２とから削除する（図９ステップＳ２０５ａ）。

【0065】

フローテーブル２０，３２の削除完了後、キャプチャ制御部２４ａは、通常キャプチャ機能部２ａのキャプチャファイル生成部２３に対してファイル停止指示信号を出力する（図９ステップＳ２０６）。

【0066】

通常キャプチャ機能部２ａのフィルタ部２１とバッファ部２２とキャプチャファイル生成部２３の動作（図４）、および記憶部４と調停部５の動作（図５）は、第１の実施例と同じである。

【0067】

第１の実施例で説明したとおり、短期キャプチャ機能部３のリングバッファ部３０部は、キャプチャ対象フロー以外のパケットも含む、全てのフローのパケットを蓄積する。このため、第１の実施例の短期キャプチャ機能部３は、全てのフローのパケットをキャプチャファイルに変換する。

【0068】

一方、本実施例の短期キャプチャファイル生成部３１ａは、リングバッファ部３０から取り出したパケットとフローテーブル３２に登録されたキャプチャ対象フローの条件との照合を行い、条件と合致したパケットのみを選択的にキャプチャファイルに変換する。このような選択的なファイル変換により、本実施例では、キャプチャ対象でないフローのパケットをキャプチャファイル化しないようにすることができる。その結果、本実施例では、キャプチャファイルを用いた障害解析が容易になるだけでなく、記憶部４の容量を低減することも可能となる。

【0069】

［第３の実施例］
次に、本発明の第３の実施例について説明する。図１０は本発明の第３の実施例に係るパケットキャプチャ装置の構成を示すブロック図である。本実施例のパケットキャプチャ装置１ｂは、通常キャプチャ機能部２ｂ（第１のキャプチャ機能部）と、短期キャプチャ機能部３ｂ（第２のキャプチャ機能部）と、調停部５と、記憶部４とを備えている。

【0070】

通常キャプチャ機能部２ｂは、フローテーブル２０と、ネットワーク１００からパケットを受信する度にフローテーブル２０に登録された条件とパケットとの照合を行い、照合結果を短期キャプチャ機能部３ｂに出力するフィルタ部２１ｂと、バッファ部２２と、キャプチャファイル生成部２３と、キャプチャ制御部２４とを備えている。

【0071】

短期キャプチャ機能部３ｂは、リングバッファ部３０と、短期キャプチャファイル生成部３１と、ネットワーク１００から受信したパケットのうち、フローテーブル２０に登録された条件と合致しないという照合結果が得られたパケットのみを通過させる反転フィルタ部３３（第２のフィルタ部）とを備えている。

【0072】

本実施例では、通常キャプチャ機能部２ｂのフィルタ部２１ｂが、フローテーブル２０に登録されたキャプチャ対象フローの条件とミラーリングパケットとの照合結果を出力する点と、短期キャプチャ機能部３ｂが反転フィルタ部３３を新たに備える点が第１の実施例と異なる。

【0073】

図１１は通常キャプチャ機能部２ｂのフィルタ部２１ｂとバッファ部２２とキャプチャファイル生成部２３の動作を説明するフローチャート、図１２は短期キャプチャ機能部３ｂの反転フィルタ部３３の動作を説明するフローチャートである。

【0074】

通常キャプチャ機能部２ｂのフィルタ部２１ｂは、ネットワーク１００からミラーリングパケットを受信する度に、フローテーブル２０に登録されたキャプチャ対象フローの条件とパケットとの照合を行い、条件と合致したパケットを通過させ、条件と合致しないパケットを廃棄する。同時に、フィルタ部２１ｂは、照合結果（合致／合致しない）を短期キャプチャ機能部３ｂに出力する（図１１ステップＳ３００ｂ）。

【0075】

短期キャプチャ機能部３ｂの反転フィルタ部３３は、ネットワーク１００からミラーリングパケットを受信する度にフィルタ部２１ｂから照合結果を受信し（図１２ステップＳ５００）、キャプチャ対象フローの条件と合致しないという照合結果が得られたパケットのみを後段のリングバッファ部３０に出力する（図１２ステップＳ５０１，Ｓ５０２）。

【0076】

短期キャプチャ機能部３ｂのリングバッファ部３０と短期キャプチャファイル生成部３１の動作（図２）、通常キャプチャ機能部２ｂのバッファ部２２とキャプチャファイル生成部２３の動作（図１１ステップＳ３０１～Ｓ３０７）、通常キャプチャ機能部２ｂのキャプチャ制御部２４の動作（図３）、および記憶部４と調停部５の動作（図５）は、第１の実施例と同じである。

【0077】

第１の実施例で説明したとおり、通常キャプチャ機能部２ｂのタイムラグは、キャプチャ開始指示が到来してからフローテーブル２０にキャプチャ対象フローの条件が登録されるまでに要する時間である。フローテーブル２０にキャプチャ対象フローの条件が登録されると、キャプチャ制御部２４からリングバッファ部３０に対して停止指示信号が出力され、短期キャプチャファイル生成部３１とキャプチャファイル生成部２３に対してファイル生成指示信号が出力される。

【0078】

フローテーブル２０にキャプチャ対象フローの条件が登録されるまでは、キャプチャ対象フローのパケットについては、条件と合致しないという照合結果がフィルタ部２１ｂから出力される。したがって、反転フィルタ部３３は、キャプチャ対象フローのパケットを後段のリングバッファ部３０に出力する。フィルタ部２１ｂは、キャプチャ対象フローのパケットを後段のバッファ部２２に出力しない。

【0079】

通常キャプチャ機能部２ｂのタイムラグが経過してフローテーブル２０にキャプチャ対象フローの条件が登録されると、キャプチャ対象フローのパケットについて、条件と合致するという照合結果がフィルタ部２１ｂから出力される。このため、反転フィルタ部３３は、キャプチャ対象フローのパケットを廃棄して後段のリングバッファ部３０に出力しないようになる。一方で、フィルタ部２１ｂは、キャプチャ対象フローのパケットをバッファ部２２に出力する。

【0080】

すなわち、通常キャプチャ機能部２ｂのタイムラグが経過するまでは、キャプチャ対象フローのパケットは、短期キャプチャ機能部３ｂでのみ蓄積され、タイムラグ経過後は通常キャプチャ機能部２ｂでのみ蓄積されるようになり、短期キャプチャ機能部３ｂと通常キャプチャ機能部２ｂとで重複して対象フローのパケットを蓄積することを防ぐことが可能となる。

【0081】

本実施例では、通常キャプチャ機能部２ｂと短期キャプチャ機能部３ｂとで同一フローに対するキャプチャ期間が重複しなくなるだけでなく、既に通常キャプチャ機能部２ｂにおいてキャプチャ中のデータが短期キャプチャ機能部３から出力されることが無くなる。このため、リングバッファ部３０部が効率的にパケットを保持できるようになると共に、記憶部４の容量を低減することも可能となる。

【0082】

第１～第３の実施例で説明したパケットキャプチャ装置１，１ａ，１ｂは、ＣＰＵ（Central Processing Unit）、記憶装置及びインタフェースを備えたコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。このコンピュータの構成例を図１３に示す。

【0083】

コンピュータは、ＣＰＵ３００と、記憶装置３０１と、インタフェース装置（Ｉ／Ｆ）３０２とを備えている。Ｉ／Ｆ３０２には、パケット受信の回路とキャプチャデータの出力先の装置等が接続される。このようなコンピュータにおいて、本発明のパケットキャプチャ方法を実現させるためのプログラムは記憶装置３０１に格納される。ＣＰＵ３００は、記憶装置３０１に格納されたプログラムに従って第１～第３の実施例で説明した処理を実行する。

【0084】

また、第１～第３の実施例で説明したパケットキャプチャ装置１，１ａ，１ｂの一部をＡＳＩＣ（application specific integrated circuit）あるいはＦＰＧＡ（field-programmable gate array）などのハードウェアロジックで構成してもよい。

【産業上の利用可能性】

【0085】

本発明は、例えばネットワークの通信障害の原因を解析する技術に適用することができる。

【符号の説明】

【0086】

１，１ａ，１ｂ…パケットキャプチャ装置、２，２ａ，２ｂ…通常キャプチャ機能部、３，３ａ，３ｂ…短期キャプチャ機能部、４…記憶部、５…調停部、２０，３２…フローテーブル、２１，２１ｂ…フィルタ部、２２…バッファ部、２３…キャプチャファイル生成部、２４，２４ａ…キャプチャ制御部、３０…リングバッファ部、３１，３１ａ…短期キャプチャファイル生成部、３３…反転フィルタ部。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】