JP2003533925A - ネットワーク用のセキュリティ・カメラ - Google Patents

ネットワーク用のセキュリティ・カメラ

Info

Publication number
JP2003533925A
JP2003533925A JP2001585059A JP2001585059A JP2003533925A JP 2003533925 A JP2003533925 A JP 2003533925A JP 2001585059 A JP2001585059 A JP 2001585059A JP 2001585059 A JP2001585059 A JP 2001585059A JP 2003533925 A JP2003533925 A JP 2003533925A
Authority
JP
Japan
Prior art keywords
data
network
packet
packets
communication line
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2001585059A
Other languages
English (en)
Other versions
JP2003533925A5 (ja
Inventor
プルーシ パラーグ
Original Assignee
ニクスン インコーポレイテツド
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ニクスン インコーポレイテツド filed Critical ニクスン インコーポレイテツド
Publication of JP2003533925A publication Critical patent/JP2003533925A/ja
Publication of JP2003533925A5 publication Critical patent/JP2003533925A5/ja
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/22—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks comprising specially adapted graphical user interfaces [GUI]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/18—Protocol analysers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/108—Network architectures or network communication protocols for network security for controlling access to devices or network resources when the policy decisions are valid for a limited amount of time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/121—Timestamp
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0681—Configuration of triggering conditions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/50—Network service management, e.g. ensuring proper service fulfilment according to agreements
    • H04L41/5003—Managing SLA; Interaction between SLA and QoS
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/50—Network service management, e.g. ensuring proper service fulfilment according to agreements
    • H04L41/5029—Service quality level-based billing, e.g. dependent on measured service level customer is charged more or less
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/028—Capturing of monitoring data by filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H04L43/045—Processing captured monitoring data, e.g. for logfile generation for graphical visualisation of monitoring data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H04L43/062—Generation of reports related to network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0823—Errors, e.g. transmission errors
    • H04L43/0829—Packet loss
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0852—Delays
    • H04L43/0858—One way delays
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0852—Delays
    • H04L43/0864—Round trip delays
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H04L43/0882—Utilisation of link capacity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H04L43/0888—Throughput
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H04L43/0894—Packet rate
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
    • H04L43/106—Active monitoring, e.g. heartbeat, ping or trace-route using time related information in packets, e.g. by adding timestamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mathematical Analysis (AREA)
  • Pure & Applied Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Algebra (AREA)
  • Human Computer Interaction (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Closed-Circuit Television Systems (AREA)
  • Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)
  • Polymerisation Methods In General (AREA)
  • Transition And Organic Metals Composition Catalysts For Addition Polymerization (AREA)

Abstract

(57)【要約】 【目的】通信回線からのデータを処理する。 【構成】通信回線からのデータを処理するための方法であって、データは通信回線から受信され、パケットに分離される。パケットは各特性に基づいて選択され、選択されたパケットは複数のデータ処理ユニットの１つに供給される。

Description

【発明の詳細な説明】
この出願は、２０００年５月１２日に出願した米国特許仮出願第６０／２０３
，６５９号による３５Ｕ．Ｓ．Ｃ．第１１９条に基づく優先権を主張するもので
、ここで、この仮出願を参照により組み込む。ＰＣＴ出願ＰＣＴ／ＵＳ９９／２
７９６９を参照によりここに組み込む。
【０００１】
【発明の属する技術分野】
この発明は、一般的にはデータ通信に関し、特に、通信データを収集し、分析
しおよびモニタするシステムおよび関連する方法に関する。
【０００２】
【発明の背景】
現在、通信またはデータ・ネットワークを介して相異なる点にデータおよびそ
の他の情報が通信伝送されることは日常的に行われている。そのようなデータ・
ネットワークの一例には、そのようなネットワークを構成する種々のパス（経路
）に沿って互いに通信する複数のエンド・ユーザ・コンピュータが含まれている
。そのようなコンピュータ・ネットワークの複雑さは、相対的に少数のマシンの
間の単純なピアツーピア（peer-to-peer、対等）通信から、ＬＡＮ、ＷＡＮ、お
よびもちろんインターネットとして知られているグローバル・コンピュータ・ネ
ットワークまでの範囲に及び得る。そのようなネットワークのアーキテクチャは
、特定のアプリケーションに応じて大きく変化するが、最も洗練されたネットワ
ークは、そのようなネットワークを介したデータおよび情報の伝送を支援するバ
ックボーン、ノードおよびコンピュータ・サーバを利用する。
【０００３】 会社および個人は、情報を送受信するためだけでなく、ビジネスを処理するた
め、および情報を送出し受信し再検討するのに必要な考え得る任意の数のその他
の活動のためにも、そのようなデータ・ネットワークにますます依存するように
なっている。インターネットの出現およびその後に続けられた開発によって、会
社、個人およびそのようなネットワークのその他のユーザの間で効率的通信を求
める要求は増大するばかりである。
【０００４】 そのようなネットワークを介したデータの送信および受信に対するその要求は
、いわゆる“トラフィック（トラヒック）”、即ちそのネットワーク上の適当な
パスを通る（traverse）ディジタル符号化情報のボリュームまたは“ペイロード
”を発生させる。不幸なことに、ネットワークを通るトラフィックは、しばしば
或る点においてまたはそのネットワークの或るパスに沿って輻輳（congestion）
または“障害スポット（点）”を生じさせる。そのような輻輳は、腹立たしいほ
ど低速のデータ伝送の形態をとり、または最悪の場合はそのようなネットワーク
を介して所要の情報を送信または受信することが全く不可能な状態になることが
ある。この問題は、或るネットワーク・アーキテクチャの下で、せいぜいその最
も低速のリンクまたはパス（pathway）が許容する速さでしかそのトラフィック
が進行しないことによっていっそうひどくなる。
【０００５】 明らかに、そのようなトラフィック輻輳は幾つもの理由によって望ましくない
。そのようなトラフィックに“置かれた（stuck）”ユーザは、彼らのネットワ
ーク・サービス・プロバイダに対してその輻輳について非難し、その結果、その
ようなプロバイダは潜在的にビジネスを失う可能性がある。また、そのようなネ
ットワーク遅延は、ネットワーク・ユーザの生産性に対して直接的および間接的
に負（マイナス）の効果を与える。
【０００６】 そのようなネットワーク輻輳またはその他のネットワーク“障害スポット”の
状態を緩和する１つのアプローチ（解決法）は、その輻輳または障害スポットに
関する適時で正確な情報を得ることである。不幸なことに、コンピュータ・ネッ
トワークの複雑さ（intricacies）を解明しその輻輳を緩和しようとする現在の
技術による試みには、種々の欠点および短所がある。例えば、現在の技術のネッ
トワーク・モニタ・ツール（監視手段）は、カストマイズ（customize、注文設
計）するのが難しく、従ってネットワーク輻輳または障害スポットを分析するた
めの必要なツールが欠けている。そのようなネットワーク“探知器（sniffer）
”は、或る特定のプロトコルのトラフィック・ダンプ（dump）を実行することに
しばしば限定され、そのダンプではやはりネットワーク輻輳のソース（源）を正
確に記述または特定できないかもしれない。換言すれば、現在の技術の大部分の
ネットワーク・モニタおよび“検出器（sniffer）”は、その機能がリアルタイ
ム・データをまとめる（tabulate、表作成）機能または長い期間にわたってデー
タを記録する機能に限定されている。
【０００７】 現在の技術によるネットワーク・モニタは、一般的に、ネットワークの性能（
パフォーマンス）を評価し推定するためにネットワークに侵入する（入り込む）
。参考文献“ＴＣＰ／ＩＰ Illustrated, Volume I − The Protocols”Chapter
７および８、Addison-Wesley Publishing Co.より市販、１９９４年には、その
ような技術の１つが記載されている。インターネットにおける情報の“パケット
”のラウンドトリップ（往復）時間を推定するために、そのネットワーク・モニ
タは、追加的なパケットをそのネットワークに送って、そのような追加的パケッ
トの伝達を追跡する。従って、ネットワーク性能そのものを判定するプロセスそ
のものが、そのトラフィックに情報の追加的パケットを加えることによってその
性能をますます低下させる。
【０００８】 上述の方法は侵入的だけでなく概して不正確でもある。特に、一方向（one-wa
y、片道）の時間はテスト・パケットのラウンドトリップの遅延時間を概ね２で
除算することによって評価される。しかし、そのネットワークにおける非対称性
（この点については後述する）に一部基づいて考えると、ラウンドトリップ時間
の半分は一般的に一方向遅延時間に等しくはない。その不正確さを補償するため
に、現在の技術の或る教示によれば、テスト・パケットをより頻繁にそのネット
ワークに送り込んで、テスト中またはモニタ（監視）中のそのネットワークの性
能をさらに低下させる解決法を用いる。
【０００９】 ネットワーク・トラフィック・フローまたはネットワーク帯域幅のディメンシ
ョン（測定）がより正確にモデル化できれば、ネットワーク性能はより増強（改
善）され得る。特に、トラフィックは或るネットワーク・パス中を必ずしも対称
に流れる必要はない。これは、特に、インターネット接続上のエンド・ユーザに
おいてそのパスが終端しているときに言えることである。そのようなパスは、エ
ンド・ユーザが、通常、アップロードするペイロードまたはトラフィックより多
量のペイロードまたはトラフィックをダウンロードするという点で、非対称であ
る。現在の技術によるネットワーク・モニタは、一般的に、そのような非対称性
を検出したりまたはモデル化したりせず、その結果、そうでない場合に要求され
得るよりも多くのネットワーク資源が特定のルート（経路）に充てられる。それ
には追加的費用がかかりそれはコンピュータ資源を浪費する。
【００１０】 従って、ネットワーク性能を改善しネットワーク・トラフィック輻輳を緩和す
ることに対するニーズ（要求）が存在する。さらに、トラフィック・フローに侵
入せず、様々なトラフィック・パラメータまたは“パケット”のタイプを分析す
るよう適合化でき、さらに所要の統計的情報を高速で正確に収集しまとめる（表
作成する）ようなツールに対するニーズが存在する。
【００１１】 コンピュータ・データ・ネットワークの利用が増大するに従って、会社および
個人は、そのようなネットワーク上でユーザに関するデータまたはそのトラフィ
ックに関するデータを収集し濾波しまたは“プロフィールを生成する（分析をま
とめる）”ことにますます興味を持つようになっている。マーケティング会社ま
たはその他の販売組織は、ネットワーク・トラフィックの正確な記録および分析
によって収集できる動態的人口統計的情報またはその他のデータに特に関心を持
つかもしれない。不幸なことに、多数のインターネット広告者（アドバタイザ）
は、ユーザにフォームおよびアンケートに書き込むよう依頼することによって顧
客のプロフィール（概要）を取得する。顧客はしばしばそのような質問に回答す
るのに煩わされたくないので、広告者はその顧客情報のほとんどを逃してしまう
。従って、より侵入的でない形態で顧客の“プロフィール”を入手することに対
するニーズが存在する。
【００１２】 ネットワークの拡大する利用は、同様に、“ハッカ”またはその他の損害を与
える侵入者たちが民間（私有）のまたは保護されたネットワークにおいていたず
ら（mischief）または場合によっては犯罪的活動を行う可能性を拡大させた。そ
のようにして、セキュリティ破りのソースを決定することができるシステムは、
例えばＦＢＩのような施行機関にとって、コンピュータ関連の犯罪または軽犯罪
の風潮を抑えるのに役立つであろう。しかし、現在の技術では、前述のように、
セキュリティ動作を容易にするための最適な方法でネットワークにおけるデータ
のフローを分析し、まとめ（表作成し）、モニタし（監視し）または記録するこ
とは一般的にはできない。
【００１３】 ネットワークのモニタを託された会社または個人は、適時的に大量の情報およ
び統計的情報を取得する必要があるだけでなく、そのようなデータを高速で容易
に理解可能なフォーマットで見る必要がある。それでも前述のように、現在の技
術の解決法は、しばしば時間的順序でそのようなデータの不充分な統計編集また
はグラフィック表現を用いて“ダンプ”を供給することにしばしば限定される。
従って、ネットワーク・トラフィック情報を編集するだけでなく、さらに或る一
般的に必要な計算を行い、ユーザ・フレンドリで（使いやすく）柔軟なフォーマ
ットでそのような計算結果をグラフィック的に表現することが望ましい。
【００１４】 通常のデータ通信モニタ方法およびシステムの短所を克服するために、通信回
線（ライン）をモニタする新しい方法を実現する。本発明の目的は、通信データ
を収集して分析するネットワーク・モニタを実現することである。本発明の別の
目的は、通信データを収集して分析する方法を実現することである。
【００１５】
【発明の概要】
これらの目的およびその他の目的を達成するために、およびその目的を考慮し
て、本発明は、通信回線から受信されたデータを処理するための方法を実現する
。データはその通信回線から受信されて、パケットに分離される。パケットは各
特性に基づいて選択され、選択されたパケットは複数のデータ処理ユニットの１
つに供給される。そのデータから複数のパケットが抽出される。次いで、その複
数のパケットに対応する統計的情報が再帰的に生成される。
【００１６】 上述の概略の説明および次の詳細な説明は本発明の典型例であって、本発明を
それらに限定されるものではないと理解すべきである。
【００１７】 本発明は図面を参照して読むことによって次の詳細な説明から最も良く理解さ
れる。一般的プラクティスによれば、図面の種々の特徴がスケール（拡大縮小）
されるものではないことを強調しておく。逆に、種々の特徴の寸法は、明瞭にす
るために任意に拡大または縮小されている。図面には図１〜３２が含まれている
。
【００１８】
【発明の実施形態】
次に、図面を参照して説明する。図面において同じ参照番号は同じ構成要素を
示している。図１は、第１の通信回線（ライン）１０４を介して典型例のネット
ワークＮ１ １０６に結合された、本発明による典型例のネットワーク・モニタ
１０２を例示している。ネットワーク・モニタ１０２は、通信回線１０４上でデ
ータ通信（トラフィック）を受信（モニタ）して、通信回線１０４上のデータ・
トラフィックのリアルタイム・メトリック（距離、計量、測定基準）または統計
的情報を供給する。
【００１９】 通信回線１０４は、単一データ・リンク層プロトコルを用いて、より高い階層
プロトコル層の様々な多数のプロトコルのトラフィックをトランスポート（輸送
）する。そのような１つの階層プロトコル構成２００が図２に例示されている。
ネットワークＮ１ １０６とルータ１０８の間のトラフィックにおけるデータ・
リンク層プロトコル２０２、この典型例の場合はイーサネット（登録商標）（Et
hernet）は、カプセル化された（encapsulated、隠蔽された）ＩＰＸ、ＩＰ、Ａ
ＲＰまたはその他のネットワーク層２０４のトラフィックを含んでいてもよい。
そのＩＰトラフィックは、カプセル化されたＵＤＰ、ＴＣＰ、ＩＣＭＰまたはそ
の他のトランスポート層２０６のトラフィックを含んでいてもよい。そのＴＣＰ
トラフィックは、カプセル化されたＷｅｂ、ＦＴＰ（ファイル転送プロトコル）
、ドメイン・ネーム・サービスまたはその他のアプリケーション層２０８のトラ
フィックを含んでいてもよい。
【００２０】 本発明によるネットワーク・モニタ１０２はハードウェアおよびソフトウェア
（後述する）を含んでいる。そのハードウェアおよびソフトウェアは、１つまた
は複数のプロトコル層におけるそのようなトラフィック上で種々のリアルタイム
統計的情報を発生することができるような方法で、ネットワーク・トラフィック
を収集して分析する。ネットワーク・モニタ１０２によって発生されるリアルタ
イム統計的情報は、サービスの品質と量の分析、サービスの品質とサービスの量
に基づく課金、ダイナミック（動的）なネットワーク資源の割り当ておよび計画
、データ・コンテンツに基づく顧客プロフィール作成、ネットワーク・セキュリ
ティ分析、およびセッション再生を可能にする。典型例の統計的情報は、バイト
・カウント（計数値）、ビット・カウント（計数値）、一方向（片道）またはラ
ウンドトリップ（往復）の遅延、応答時間、再送信バイト、１つのホスト当たり
の発信バイト数、１つのホスト当たりの着信バイト数、発信−着信ホスト・ペア
（対）カウント、ｗｅｂアボート（打ち切り）レート（率）、スループット、グ
ッドプット（goodput）、および遅延または欠落（ロス）による再送信バイト百
分率（パーセント）を含んでいる。これらの統計的情報は、データ・リンク層と
アプリケーション層の間の１つまたは複数のプロトコル層における第１の通信回
線１０４上のトラフィックに基づいて選択的に供給されればよい。
【００２１】 図３に示した典型例のネットワーク・モニタ３０２の動作を、図４におけるフ
ローチャートを参照して説明する。ネットワーク・モニタ３０２は、第１の接続
３１２によって第１の通信回線３０８に結合された第１のネットワーク・インタ
フェース３０４と、第２の接続３１４によって第２の通信回線３１０に結合され
た第２のネットワーク・インタフェース３０６とを含んでいる。第１のインタフ
ェース３０４は第１の通信回線３０８から第１のデータ（ビットストリーム）を
受信し（ステップ４０２）、次いでそのビットストリームが複数のパケットに分
離（分解、segregate）される（ステップ４０４）。ここでは分離（segregate）
という用語は、前に定義したパケットがビットストリームから抽出されているこ
とを意味するものとして用いられる。そのビットストリームは、インタフェース
３０４またはホスト・コンピュータ３１６のいずれかによって複数のパケットに
分離すればよい。そのパケットはメモリ３１８に格納される。そのメモリは、こ
の実施形態では階層的であり、短期メモリ３２０および少なくとも１つの長期メ
モリ３２２を含んでいる。次いで、ユーザ・インタフェース３２４によって最適
制御されるプロセッサおよびクエリ（問合せ）エンジン３１６は、図４を参照し
て以下で説明するようにそのパケットを処理する。
【００２２】 典型例の実施形態において、ネットワーク・モニタ３０２は、第１の通信回線
３０８に非侵入的形態で結合される。即ち、ネットワーク・モニタ３０２は通信
回線上のトラフィックのフローを直接的に妨害しない。ネットワーク・モニタ３
０２は、例えば、第１の接続３１２をスイッチまたはルータにおけるポートまた
はジャックにプラグインする（差し込む）ことによって、通信回線３０８をブレ
ークして第１の接続３１２が結合されるＹコネクタをインストールすることによ
って、その第１の接続をハブに接続することによって、またはネットワーク・モ
ニタ３０２を中央局（交換局）におけるモニタ・ジャック３０２に接続すること
によって、通信回線３０８に結合されてもよい。
【００２３】 プロセッサおよびクエリ・エンジン３１６は、パケットをレコードに変換して
、メモリにそのレコードを格納する（ステップ４１４〜４２２）。プロセッサお
よびクエリ・エンジン３１６は、そのパケットに対応する統計的情報を発生する
適正なプログラムを含んでいる（ステップ４０６〜４１２）。パケットに対する
統計的情報の発生は種々の方法で実現できるが、１つの好ましいアプローチ（方
法）では、所定のタイマ期間または“サンプリング時間”にわたって受信された
１組のパケットを処理して、対応する統計的情報を発生する（ステップ４０８）
。次いで、その処理が、連続する複数の期間（time periods）に受信された連続
するパケット組に対して、再帰的に繰り返される（ステップ４１０）。その処理
中に、適正なプログラムが、適正な期間に（時間間隔で、intervals）その発生
された統計的情報をメモリに格納する。そのような期間（間隔）は、パケットの
各組に対応する各期間（間隔）の順序と同じ順序であることが好ましい。
【００２４】 そのパケットをレコードに変換することによって、次に説明するように多様な
種々の別の統計的情報を発生させることが可能になる。そのレコードは、まず各
パケットのタイプを決定して（ステップ４１４）次いでその決定されたタイプに
基づいてそのパケットを濾波する（ステップ４１６）ことによって、生成される
。各パケットに対してインデックスが発生され（ステップ４１８）、次いでその
パケットはインデックスされた（インデックスが付加された、インデキシングさ
れた）レコードに変換されて（ステップ４２０）、メモリに格納される（ステッ
プ４２２）。次いで各パケットに対して前に発生された統計的情報を用いてさら
に統計的情報が発生され（ステップ４２６）、次いで、例えば表示装置（ステッ
プ４２８）、別の統計的情報に基づいてネットワーク・ルーティングをダイナミ
ックに（動的に）調整するルータ（ステップ４３０）、その発生された統計的情
報に基づいて決定されたサービスの品質または量に基づいてクライアントに課金
する課金サービス（ステップ４３２）のような、１つ以上の（１つまたはそれよ
り多い）アプリケーションに供給される。
【００２５】 次に、ｗｅｂトラフィックをカプセル化するＴＣＰパケットをさらにカプセル
化するカプセル化されたＩＰパケットを含んだイーサネット（Ethernet）通信回
線について（図２参照）、図４のプロセスのアプリケーションを説明する。その
イーサネット・ビットストリームは、通信回線から受信されて（ステップ４０２
）、パケットに分離される（ステップ４０４）。そのパケットは複数の組に分割
される。その各組は、連続する複数の１秒期間（典型例の期間）の中の１つの期
間において受信されたパケットを含んでいる（ステップ４０６）。各１秒期間に
おいて受信したビット数（典型例の統計的情報）が計算される（ステップ４０８
）。次の１秒期間に対応する次の組のパケットを受信し（ステップ４１０）次い
でそれらのパケットにおけるビット数を計算する（ステップ４０８）ことによっ
て、連続する期間に対して連続的な統計的情報が生成される。各１秒期間に対す
るビット・カウントは、それが生成されたときにメモリに格納される（ステップ
４１２）。
【００２６】 各パケットのタイプ（例えば、ＩＰ、ＡＲＰ、・・・）が判定される（ステッ
プ４１４）。ユーザがＩＰパケットのトラフィックを分析したいだけの場合には
、そのパケットは濾波されてＩＰパケットだけを通過させる（ステップ４１６）
。ネットワーク・モニタが各ＩＰパケットを受信した時間は、各対応するＩＰパ
ケットに対するインデックスとして用いられる（ステップ４１８）。次いで、イ
ンデックスされたレコードが、各ＩＰパケットに対して生成されて（ステップ４
２０）、メモリに格納される（ステップ４２２）。第１のフィールドＦ１として
のインデックスと第２のフィールドＦ２としてのパケットとを有する典型例のレ
コードを次に例示する。
【００２７】
【表１】
【００２８】 ＩＰパケットを通過させるだけの濾波に加えて（ステップ４１６）、そのフィ
ルタを用いて、上述のレコードが第２のフィールドＦ２にＩＰ部分のみを含むよ
うにイーサネット（Ethernet）オーバヘッド部分を切り捨てる（トランケートす
る）ことによって、例えばＩＰ部分のみのようなパケットの一部をだけを通過さ
せる。その代替構成として、そのレコードは複数のフィールドを含んでいてもよ
い。その各フィールドは、例えばソース（送信元、発信）アドレスまたは宛先ア
ドレスのようなＩＰパケットの一部に対応する。濾波は複数のフィールドの中の
任意の１つ以上のものに基づいて行われてもよい。
【００２９】 その格納されたレコードのみからまたはステップ４６〜４１２において発生さ
れたパケットに対する統計的情報との組み合わせで、任意の数の統計的情報を発
生させることができる。この例において、関連する技術において知られている別
の統計的情報には、連続する各１分において受信された全てのパケットにおける
ビットの数に対する受信したＩＰパケットにおけるビットの数の比率が含まれる
（ステップ４２６）。この統計的情報の計算は本発明によって容易に行われる。
その理由は、その格納されたパケットは既に全てがＩＰパケットであり、受信時
間によってインデックスされているからである。そのようにして、インデックス
によってそのレコードをソートし、連続する各１分に対するレコードの組を読み
出し、各組のレコードにおけるビット数を付加することによって、その計算が実
行される。１分当たりの全てのパケットにおけるビットの数は、１秒毎に発生さ
れそれぞれ６０個からなる複数のグループ（即ち各グループは１分に等しい）に
おいて発生される前に計算されたビット・カウントの総和を求めることによって
計算される。
【００３０】 以上で、本発明によるネットワーク・モニタによって行われる濾波および格納
の方法の具体例を、図４を参照して説明した。本発明によるネットワーク・モニ
タ５００のデータ収集および分析の方法の柔軟性を、図５のデータ・フロー図を
参照して以下説明する。
【００３１】 入来するビットストリームは、パケタイザ（パケット化器）５０２によってパ
ケット化される。ビットストリームの復号は、既知のプロトコルについては自動
的に実行すればよく、またはカスタムの（特注、オーダメイド）または民間の（
proprietary）プロトコルについてはユーザ固有のパラメータに従って実行すれ
ばよい。例えば、新しいデータ・リンク層プロトコルが導入される場合には、ネ
ットワーク・モニタ５００は、ユーザ・インタフェース５２０を用いて入力され
たユーザ決定（規定）のプロトコルに応答するための適正なプログラムを含んで
いる。従って、本発明のネットワーク・モニタ５００は、新しいプロトコルのパ
ケット構成を認識して入来ビットストリームをパケット化する。次いで、そのネ
ットワーク・モニタは、より高い各プロトコル層を通してそのデータ収集および
分析の方法を実行する。この柔軟性は、データ・リンク層に限定されない。換言
すれば、本発明によるネットワーク・モニタ５００は、他のプロトコル層におけ
るカスタム・プロトコルに対して通信データ（データ通信）を収集し分析するこ
とができる。
【００３２】 そのパケットは、パスＡを用いて短期メモリ５０８に直接格納すればよい。こ
れは、通信回線から受信した全てのデータを格納するのに役立つ。その短期メモ
リ５０８は、周期的にデータを長期メモリ５１０に転送して、オーバフローを防
止する。１つの短期メモリ５０８および１つの長期メモリ５１０を有するものお
して示されているが、本発明の教え（知見）は、複数のメモリ装置を含むその他
の階層的メモリ構成にも適用できる。例えば、そのメモリは、ランダム・アクセ
ス・メモリ（ＲＡＭ）、ディスク・メモリおよびテープ・メモリを含んでいても
よい。ＲＡＭが満たされると、データがディスク・メモリに転送される。ディス
ク・メモリが満たされると、データはテープ・メモリに転送される。テープ・メ
モリが満たされると、例えば、記録保管のために連続的または長期データ蓄積の
ためにテープが交換される。長期メモリ５０８に対する二重矢印およびメモリ５
０８、５１０の間の二重矢印によって示されているように、そのメモリに格納さ
れたデータは、後で分析用にまたは後述するアプリケーション５２２〜５３０の
中の１つのアプリケーション用に検索されてもよい。
【００３３】 セキュリティ・アプリケーション５２８用に、全てのパケットをメモリに直接
格納することが望ましい。例えば、ネットワーク・モニタは、１週間の期間に対
する全ての通信を格納して最も古い蓄積データをオーバライト（上書き）するよ
うにプログラムしてもよい。セキュリティ破りがその発生の１週間以内に検出さ
れた場合には、その蓄積データはネットワーク・モニタによって分析されてその
ソースおよびそのセキュリティ破りの度合いが決定される。
【００３４】 そのパケット化されたデータは、代替構成として、パケタイザ５０２によって
インデックス発生器５０４へ供給されてもよい。インデックス発生器５０４は、
受信パケットの中の１つ以上のものに対応するインデックスを発生する。１つの
パケットに対応する１つのインデックスの例には、そのネットワーク・モニタが
そのパケットを受信した時間を示すタイム・スタンプ、パケット（プロトコルお
よび／または層）のタイプ、パケットのサイズ、パケット番号（１、２、３、・
・・）、インタフェース番号、アプリケーションおよび関係するセッションが含
まれる。レコード発生器５０６は、パケットおよびその発生されたインデックス
を受け取り、その発生されたインデックスを含んだレコードを発生する。その代
替構成として、レコード発生器５０６は、その受け取ったパケットおよびインデ
ックスを、メモリ５０８および５１０に前に格納された現在のレコードと結合さ
せてもよい。また、そのレコード発生器は、パスＣを介してパケットを直接受毛
取って、そのパケットを含んだインデックスされていないレコードを生成しても
よく、またはメモリ５０８、５１０に前に格納された現在のレコード中にそのパ
ケットを結合させてもよい。
【００３５】 例えば、１つのレコードはＡＴＭセッションに対応して発生される。ＡＴＭセ
ッションに対応する第１のセル（固定サイズのパケット）が受信されたとき、そ
の第１のセルはインデックスされて、インデックスされたレコードが発生されて
メモリ５０８、５１０に格納される。そのインデックスは例えばＡＴＭセッショ
ンの識別子であってもよい。ＡＴＭセッションに対応する別のセルが受信された
とき、順番に受信されるとは限らないが、レコード発生器５０６は、パスＣを介
してそのセルを直接受け取り、前に格納されたインデックスされたレコードをメ
モリ５０８、５１０から読み出し、次いでその新しく受け取ったセルをそのイン
デックスされたレコードに結合させてもよい。レコード発生器５０６は、一般的
なレコードにおける一般的なＡＴＭセッションに属するパケットを単に結合させ
ることに加えて、さらにそのレコード内のその受信ＡＴＭセルをその正しい順序
に配置してもよい。
【００３６】 レコード／パケット・タイプ識別器（identifier）５１２は、レコード発生器
５０６またはメモリ５０８のいずれかからパケットまたはレコードを受け取って
、その対応する“タイプ”または“プロパティ（特性）”を識別することによっ
てその受け取ったパケットまたはレコードを特徴付ける（特徴を判別する）。パ
ケットまたはレコードのタイプまたはプロパティは、多様性のある（versatile
）識別子であり、ユーザ・インタフェース５２０を介してプログラムすればよい
。パケットまたはレコードのタイプまたはプロパティの例には、対応するビット
またはタイプの数、そのプロトコル層、特定のプロトコル層におけるそのプロト
コル・タイプ、ソース・アドレス、宛先アドレス、エンド・ユーザＩＤおよびア
プリケーションＩＤが含まれる。次いで、レコードまたはパケットは、パケット
・タイプ・フィルタ５１６において、レコード／パケット・タイプ識別器５１２
によって識別されたプロパティまたはタイプに基づいて濾波される。次いで、そ
の濾波されたレコードまたはパケットはインデックスされ、インデックスされて
レコードに向けられ、またはメモリ５０８、５１０に直接格納される。
【００３７】 期間（time period）フィルタ５１４は、そのレコード発生器またはメモリ５
０８、５１０からレコードまたはパケットを受け取って、ネットワーク・モニタ
によって通信回線からそれが受信された時間に基づいてそれを濾波する。次いで
、そのレコードまたはパケットは、連続するそれぞれの期間においてそのネット
ワーク・モニタによって受信されたパケットに対応する複数のグループに分離さ
れる。次いで、スタティスティック（統計的情報）発生器５１８は、連続する対
応する各期間において受信されたパケットに対応する連続する期間の各々に対し
て統計的情報を発生する。
【００３８】 その濾波されたパケットおよびその濾波された統計的情報はメモリに格納され
る。図５における機能ブロック相互間のパスは、メモリのその内容（コンテンツ
）を再び用いて別の濾波または統計的情報発生を実行してもよいことを示してい
る。従って、本発明によるネットワーク・モニタは、前に発生した統計的情報ま
たは格納されたパケットに基づいて統計的情報を発生することによって、再帰的
に（recursively）データを収集して分析してもよい。
【００３９】 ユーザ・インタフェース５２０は、上述のようにそのネットワーク・モニタを
カスタム・プロトコル用にプログラムすることに加えて、さらにそのネットワー
ク・モニタ内における各機能ブロックの各動作パラメータを規定してもよい。例
えば、ユーザは、インデックス発生器５０４によって用いられるインデックス、
期間フィルタ５１４によって用いられる期間、および連続する期間の各々に対し
てスタティスティック発生器５１８によって発生される統計的情報を特定（指定
）してもよい。
【００４０】 ネットワーク・モニタ５００によって発生されるその収集されたデータおよび
その対応する分析（結果）は、１つ以上のアプリケーション５２２〜５３０に供
給されてもよい。例えば、表示装置５２２は、図１０〜２８における表示スクリ
ーンに関してさらに後で説明するように、ユーザ選択に応答して統計的情報、レ
コードまたはパケットを表示してもよい。
【００４１】 ネットワーク・モニタ５００によって発生された統計的情報は、ネットワーク
・アドミニストレータ（administrator）またはルータ５２４に供給されて、ネ
ットワーク性能に対応する統計的情報に応答してネットワーク上で、通信のダイ
ナミックなルーティング、および“イールド・マネジメント（yield management
）”としても知られているネットワーク帯域幅管理（マネジメント）を可能にす
る。一方向遅延を測定すること、および様々なプロトコル層におけるプロトコル
毎のトラフィック統計的情報を供給することにより、本発明によるネットワーク
・モニタが、トラフィック・フローを定量化することによってその非対称性を識
別して、その測定されたフローに従ってネットワーク・アドミニストレータにネ
ットワーク資源のサイズを適正に決定させることができるということが、直ぐに
分かる。
【００４２】 通信ネットワークはそのサービス層において最適化できる。その理由は、本発
明によるネットワーク・モニタは任意のプロトコル層におけるトラフィック・フ
ローを分析するのに適したプログラムを含んでいるからである。様々なサービス
が相異なるサービス要求を有するかもしれないが、それらのサービスはしばしば
１つの通信ネットワークにおいて統合される。それにもかかわらず、例えばリア
ルタイム・マルチメディア、ＩＰ上の音声、データおよびインターネットのよう
なサービスの各々は、固有のネットワーク・サービス要求を有する。例えば、Ｉ
Ｐ上の音声について、音声伝送品質低下についての許容度が低いために、遅延ま
たはデータ欠落を含むサービスの品質がより低くなることは許容できないかもし
れない。それに対して、データ伝送は、再送によるエラー回復（修復）によって
欠落的環境においても進めることができる。典型例のルータ５２４は、それらの
サービス要求に応じて様々に決定される相異なるサービスに対応するトラフィッ
クをルーティング（経路指定）するよう構成される。
【００４３】 本発明によるネットワーク・モニタは、各個々のサービスおよび／またはユー
ザに対応するフローを識別し様々なサービスとの間のインタラクション（対話）
の分析（結果）を供給するプログラムされた機能を含んでいる。その情報はルー
タによって使用されて、例えば、ネットワーク・トポロジ、ルートまたはサービ
ス分離等の最適化についてリアルタイムまたは非リアルタイムの判断を行って、
全ての各サービスにそのサービス固有のサービス品質要求を与えるのに適した最
適構成を実現する。
【００４４】 課金システム５２６は、様々なサービスおよび様々なホストに対応するサービ
スの品質および／または量の統計的情報を受け取ってそれに従ってクライアント
に課金するよう構成してもよい。それによって、前の測定されないサービスに対
する均一（flat）レートの課金ではなくて、その統計に基づいてクライアントに
課金することが可能になる。例えば、クライアントは、ＩＰ通信を介した音声に
対してクライアントの制限のないインターネット・サービスを用いてもよい。本
発明によれば、ネットワーク・モニタ５００は、ＩＰ呼における音声の番号、持
続時間および宛先に関する特定のクライアントに対する統計的情報を発生しても
よい。次いで、その統計的情報は課金システム５２６によって課金情報に変換さ
れて、そのクライアントはそれに従って課金される。従って、ＩＰ呼における音
声に対してインターネットを使用するインターネット加入者は、非インターネッ
ト電話サービスに対して行われるように、呼の品質、持続時間および宛先に従っ
て課金されてもよい。同様に、クライアントは、電子商取引（ｅコマース）、株
取引の数、リアルタイム株相場（取引価格）に対する要求の数、およびその他の
取引に基づいて課金されてもよい。その代替構成として、クライアントは、提供
されたサービスの品質に応じて決まる相異なる課金レートを含んだサービス契約
をしてもよく、それに従って課金されてもよい。また、ネットワーク・モニタを
用いて、最低サービス標準またはサービス・レベル契約を保証するサービス契約
に従うことを保証してもよい。
【００４５】 上述のように、その収集されたデータをセキュリティ５２８に対して用いて、
セキュリティ破りを識別し、不適切なネットワーク使用または違法な活動を識別
してもよい。例えば、パケットを濾波して、サーバに対してＦＴＰ（ファイル転
送プロトコル、ファイル転送プログラム）された特定のファイルを識別して、誰
が特定のマシンまたはサーバをテルネット（telnet）（にログオン）したかを識
別し、いったんログオンされたときはその者が何をタイプしたかを確認し（見）
てもよい。
【００４６】 ネットワーク・モニタからの統計的情報は、ユーザまたはユーザのグループの
プロフィールを作成するためのそのユーザまたはユーザ・グループに対応してい
てもよい。多くのインターネット広告は、ユーザに幾つかの質問に回答するよう
依頼することによって生成された顧客プロフィールに基づいて、各顧客に送られ
る。本発明によるネットワーク・モニタは、その内容（コンテンツ）に基づいて
各受信パケットを濾波して個々の顧客プロフィールを形成することができる。例
えば、フィラデルフィア顧客ベースをモニタするノードは、全てのユーザからの
全てのパケットをそれがインターネットに入る前において検査してもよい。また
、それらのユーザに返されたトラフィックは、パケット内の特定のテキストを探
す（濾波する）またはそのユーザによって訪問（アクセス）されたｗｅｂサイト
を探すことによって、分析することができる。次いで、例えば目標（ターゲット
）の電子メールのようなユーザにとって興味のあるユーザに対する内容（コンテ
ンツ）を目標にすべく、その濾波されたデータに基づいてユーザまたはユーザ・
グループ毎のプロフィールが発生されてもよい。濾波のための上述の方法が法律
施行またはセキュリティ当局によって同様に用いられて、通信がモニタされて、
不法な動作が検出され、または選択されたユーザの活動がモニタされてもよい。
【００４７】 また、ネットワーク・モニタを用いて、再生装置５３０にデータを供給して、
通信回線からモニタされたクライアント・セッションを再生してもよい。全ての
受信パケットは記録されて、特定のセッションに基づいて濾波されてもよい。そ
のセッションは、パケットそのものに含まれている情報に基づいて、または例え
ばＳＤＲ（セッション・ディレクトリ・プロトコル）のような特定のパケットま
たはチャネルにおいて受信されたセッション情報に基づいて、識別されてもよい
。次いで、そのセッションに対応するパケットは、そのユーザに対して元々提示
された形態で再生すればよい。この方法を用いて、ユーザのまたはＩＰ会話にお
ける音声の全ての活動を再生してもよい。
【００４８】 そのネットワーク・モニタは、ユーザによって、民間のまたはカスタムのプロ
トコルを用いてトラフィックをトランスポートする通信回線をモニタするように
構成されてもよい。ユーザは、ネットワーク・モニタと通信回線の間の適した物
理層インタフェースと共に、ユーザ・インタフェースを用いて民間のプロトコル
・パラメータを入力してもよい。そのパラメータは、ネットワーク・モニタがビ
ットストリームからパケットを分離するように通信回線上でトランスポートされ
たビットストリーム内のパケット構成を規定する。また、そのパケット・フィー
ルドの内容（コンテンツ）に基づいた統計的情報を供給するようにそのネットワ
ーク・モニタをカスタム・クエリ（問合せ）を用いて構成することができるよう
に、追加的パラメータがパケット内の各フィールドを規定してもよい。同様に、
ネットワーク・モニタは、リンク層より高い層におけるカスタム・プロトコルに
対応するデータを受信して分析するようプログラムされてもよい。
【００４９】 典型例のネットワークにおいて、データ通信プロトコルは、タイム・スタンプ
・フィールドを含むように各パケットを規定してもよい。ソースから宛先に送信
されたパケットは、ソースによる送信の時間を示すタイム・スタンプ・フィール
ドにタイム・スタンプ値を含んでいる。パケットが宛先で受信されたとき、その
宛先は、現在の時間値からタイム・スタンプ値を減算することによってそのソー
スからその宛先までの一方向送信持続時間または遅延を計算できる。そのプロト
コルは、ネットワーク・モニタ相互間の通信によって別々のネットワーク・モニ
タにおけるパケット・ペア（対）をマッチさせる（一致させる、突合せる）必要
性をなくすことによって、より単純な一方向の送信遅延およびサービス品質の測
定を可能にする。
【００５０】 そのソースとその宛先の間に多数の別々の中間伝送パスを含んでいるネットワ
ークに対して、一方向のエンドツーエンド（end-to-end）送信持続時間情報は、
そのソースとその宛先の間のどこかにおける特定の障害に関する情報を供給しな
い。障害診断を改善するために、エンドツーエンド遅延を計算するだけでなくて
、本発明によるネットワーク・モニタは、そのソースとその宛先の間の中間の別
々の伝送パスの中の１つに結合できる。そのネットワーク・モニタは、そのソー
スからその宛先までそのネットワークを通るパケットからタイム・スタンプ値を
受信できる。そのタイム・スタンプ値を、ネットワーク・モニタによるパケット
の受信時における現在の時間に対して減算して、中間持続時間値を決定してもよ
い。上述のような１つ以上の中間的に隔たったモニタを用いてネットワークにお
ける障害の位置を突き止めてもよい。典型例の実施形態において、そのソース、
宛先およびネットワーク・モニタの各々は、伝送持続時間を計算するために用い
られる現在の時間を受信するためのＧＰＳ（グローバル・ポジショニング衛星、
全世界測位衛星）インタフェースを含んでいる。
【００５１】 本発明によるネットワーク・モニタが供給できるメトリックのうちの１つは、
特定のソースまたは宛先に関する特定のソース−宛先のペア（対）に対するアボ
ートされた接続（コネクション）の数の表示（インジケーション）、特定のソー
スまたは宛先に対する接続の合計に対するアボートされた接続の配分（割当て、
ration）に関する情報である。障害のあるＴＣＰ（伝送制御プロトコル）サービ
スを識別する典型例の方法を、図６におけるフローチャート６００を参照して説
明する。
【００５２】 この分野の専門家に知られているように、ＴＣＰセッションは、クライアント
によって通常オープンされ（開かれ）ており、それがクライアントに送信するデ
ータをそれ以上持っていないときにサーバによってクローズされる（閉じられる
、終了される）。ＴＣＰセッションがクライアントによってクローズされている
場合、それはそのセッションが途中で中断されていることを示す。一例としてｗ
ｅｂを用いると、クライアント（ユーザはブラウザを用いる）は、所望のデータ
に対する要求に関する考えが単純に変わったこと、または受信中の所望のデータ
の遅延に耐えられないことを含めた諸々の理由によって、そのセッションをクロ
ーズしてもよい。
【００５３】 ネットワーク・モニタは、通信回線からパケットを受信して（ステップ６０２
）、そのパケットがＴＣＰセッションに属するかどうかを識別する（ステップ６
０４）。そのネットワーク・モニタは、そのパケットが属する幾つかのトランス
ポート層プロトコルの中のいずれかを識別するパケット中のプロトコル・フィー
ルドを識別して復号することによって、そのパケットがＴＣＰパケットかどうか
を識別してもよい。いったんパケットがＴＣＰとして識別されると、ＴＣＰクラ
イアントおよびＴＣＰサーバは識別される（ステップ６０６）。次いで、そのパ
ケットを検査して、それがＴＣＰ接続をオープンするかまたはＴＣＰ接続を開始
するかを判定する（ステップ６０８）。そのパケットがＴＣＰセッションのオー
プニングまたは開始のパケットである場合には、前に識別された（ステップ６０
６における識別）ＴＣＰサーバに対するＴＣＰセッションの合計数のカウントが
インクリメント（増分）される（ステップ６１０）。
【００５４】 そのパケットがオープニング・パケットでなかった場合は、次にネットワーク
・モニタはそのパケットがＴＣＰ接続をクローズしているかどうかを判定する（
ステップ６１２）。そのパケットがＴＣＰ接続をクローズしていない場合は、ネ
ットワーク・モニタは、次のパケットを取得する（ステップ６０２）。それ以外
の場合は、ネットワーク・モニタは、例えばＦＩＮビットを検査することによっ
てその接続がサーバによってクローズされるかどうか、またはその接続がクライ
アントによってクローズされるかどうかを判定する（ステップ６１４）。サーバ
によるクローズはセッションの正常終了を示し、ネットワーク・モニタは、次の
パケットを取得する（ステップ６０２）。サーバ以外のものによるクローズはそ
のセッションの途中終了（中断）を示し、特定のサーバに対応する途中のクロー
ズ・カウントはインクリメントされる（ステップ６１６）。特定のサーバのＴＣ
Ｐセッションの合計に対する途中クローズの比率が計算されて（ステップ６２０
）、所定の閾値と比較される（ステップ６２２）。途中クローズの比率がその閾
値を越えた場合には、その特定のサーバは“障害のあるサーバ”として識別され
る（ステップ６２４）。
【００５５】 この分野の専門家に知られているように、幾つかのネットワークでは、特定の
ＴＣＰセッションに対応する全てのパケットは同じ通信回線中を伝達しなくても
よく、従って１つのネットワーク・モニタ・インタフェースによって検出されな
くてもよい。ネットワーク・モニタは、全てのパケットを“捕捉（catch）”す
るためにサーバまたはクライアントにまたはその近傍に配置することができる。
その代替構成として、上述のように複数のネットワーク・モニタ・インタフェー
スを用いてパケットに対応するレコードを格納してもよい。次いで、その格納さ
れたレコードが分析されて、いずれのサーバに“障害”があり得るかが判定され
る。典型例の実施形態において、遠隔ネットワーク・モニタの各々は、例えばフ
ィルタを用いてＦＩＮパケットを探し、ＦＩＮパケットを検出したときに、遠隔
ネットワーク・モニタは、ＦＩＮパケットの内容（コンテンツ）を含んだメッセ
ージを、“障害のあるサーバ”の判定を行う中央モニタに送信する。
【００５６】 アボートされた接続の測定および障害のあるサーバの識別に関する教えをＴＣ
Ｐセッションについて以上説明したが、その教えは、一般的にその他のプロトコ
ルおよびその他のプロトコル層に適用でき、障害のあるＴＣＰサーバを識別する
ことに限定されない。例えば、他のプロトコルにおいて、セッションは、それが
クライアントであってもまたはサーバであっても、同じノードによってオープン
されてクローズされる。さらに、そのセッションのペイロードは、別々の通信リ
ンクからのまたは別々の通信リンク上のセッション制御メッセージからの別々の
パケットで送信されてもよい。
【００５７】 図７に示された別の代替実施形態において、本発明による通信をモニタするた
めのシステム７０１は、１つ以上のネットワーク・モニタを含んでいてもよい。
その各モニタは図７に示されたネットワークにおけるそれぞれの通信回線に結合
されている。第１、第２および第３のネットワーク・モニタ７００、７１０、７
２０は、第１、第２および第３の通信回線７０２、７１２、７２２にそれぞれ結
合される。各ネットワーク・モニタ７００、７１０、７２０は、図５におけるデ
ータ・フロー図に関して上述したようなそのそれぞれの通信回線から受信された
データを収集して分析する。
【００５８】 複数のネットワーク・モニタ７００、７１０、７２０を含んでいるシステムは
、独立のデータ収集および分析を実現することに加えて、その相異なるネットワ
ーク・モニタにおいて受信されたデータを相関させて、改善されたネットワーク
性能分析を実現する。例えば、一方向遅延は、第１の通信回線７０２から第２の
通信回線７１２まで伝達するデータに対して計算すればよい。
【００５９】 一方向遅延を計算する典型例の方法が、図８におけるフローチャートによって
示されている。一般的に、“同じ”パケットが別々の２つのネットワーク・モニ
タにおいて識別されて、それが各モニタによって受信されたときの両者の間の時
間の差を用いて一方向遅延が計算される。“同じ”パケットは、別々のネットワ
ーク・モニタの間で変化するパケットの各部分を削除（消去）することによって
識別される。
【００６０】 第１と第２のネットワーク・モニタ７００、７１０の各々は、そのそれぞれの
通信回線７０２、７１２からデータを受信する（ステップ８０２、８０６）。パ
ケタイザ５０２は、その受信データをパケットに分離して（ステップ８０３、８
０７）、各インデックス発生器（５０４）は、各パケットの受信時間（タイム・
スタンプ）を各パケットに関連付ける。レコード発生器５０６は、各パケットに
対応するタイム・スタンプとデータ・パケットの固有の部分（ＵＤＰＤ）とを含
んでいるレコードを発生して、そのレコードをメモリ５０８、５１０に格納する
（ステップ８０４、８０８）。
【００６１】 ＵＰＤＰは、データ・ユニットを一意的に識別可能にする受信パケットの部分
である。例えば、イーサネット（Ethernet）通信回線およびＩＰペイロードにつ
いて、そのパケットからイーサネット・ヘッダが取り出され、ＩＰｔｔｌおよび
チェックサム・フィールドがゼロにされ、ＩＰヘッダおよび連続する２０個のバ
イトがセーブ（保存）されてレコード発生器５０６によってＵＰＤＰレコードに
組み込まれる。そのＵＰＤＰは、様々なプロトコルに対して異なるものであり、
ユーザ・インタフェースを用いてプログラムされればよい。
【００６２】 第１のネットワーク・モニタ７００のＵＰＤＰレコードは第２のネットワーク
・モニタ７１０のＵＰＤＰレコードと比較されて、ＵＰＤＰのペア（対）がマッ
チされる（突合され）（ステップ８１０）。第１と第２のネットワーク・モニタ
は通信リンク７３０を介して通信すればよい。通信リンク７３０は、モニタ中の
（帯域内の）ネットワークを通してネットワーク・モニタの通信によって構成す
ればよい。その代替構成として、通信リンク７３０は、例えば電話回線、無線接
続または衛星接続を介してそのネットワークの外側の（帯域外）通信によって構
成してもよい。
【００６３】 マッチ（一致）したＵＰＤＰの各ペア（対）に対して、第２のネットワーク・
モニタからの対応するタイム・スタンプｔｓ２が第１のネットワーク・モニタか
らのタイム・スタンプｔｓ１から減算される（ステップ８１２）。この時間差ｔ
ｓ１−ｔｓ２は、ＵＰＤＰに対応するデータが第２のネットワーク・モニタ７１
０から第１のネットワーク・モニタ７００まで伝達するための持続時間を表す。
ＵＰＤＰを計算することによって、同じまたは相異なる通信プロトコルを用いる
第１と第２の通信回線７０２、７１２の間における或るペイロードの伝送持続時
間を、上述の方法によって決定すればよい。
【００６４】 典型例の実施形態において、時間差ｔｓ１−ｔｓ２は、第１の通信回線７０２
の遅延を明示するよう正規化される（ステップ８１４、８１６）。その遅延は、
次の等式によって示されるように、ＵＰＤＰに対応するパケットが第１の通信回
線を通るための遅延ｘｍｉｔ−ｄｅｌａｙ（伝送遅延）をその時間差から減算す
ることによって、正規化される。
【００６５】 正規化されたネットワーク遅延 ＝（ｔｓ１−ｔｓ２）−（linked_speed／packet_length） ここで、ｌｉｎｋ＿ｓｐｅｅｄ（リンク速度）は第１の通信回線７１２におけ
る伝送レート（速度、率）であり、ｐａｋｅｔ＿ｌｅｎｇｔｈ（パケット長）は
ＵＰＤＰを含んでいた第１の通信回線上のパケットの長さである。その計算され
たネットワーク遅延は、キュー（待ち行列）遅延および伝送遅延による成分（コ
ンポーネント）含んでいるかもしれない。図５にデータ・フロー図によって示さ
れているように、スタティスティック発生器５１８はパケットを受信することが
でき、そのパケットに対してＵＰＤＰレコードが発生され、スタティスティック
発生器５１８は、パケットにおけるビット数を計算し、正規化の計算において使
用されるＵＰＤＰレコードに組み込まれるようにそのレコード発生器にその統計
的情報を供給する。ラウンドトリップ時間は、第１のネットワーク・モニタから
第２のネットワーク・モニタまでの遅延を計算し、その遅延を第２のネットワー
ク・モニタから第１のネットワーク・モニタまでの遅延に加算することによって
、推定してもよい。
【００６６】 その計算された伝送遅延の精度は第１と第２のネットワーク・モニタ７００、
７１０の時間クロックの同期に応じて決まる。そのネットワーク・モニタは、通
信回線７３０を介して通信してそのそれぞれのクロックを同期させてもよい。典
型例の実施形態において、そのネットワーク・モニタは、共通時間供給源７４０
から時間信号を受信することによって同期させてもよい。典型例の実施形態にお
いて、その伝送遅延は１０ミリ秒より小さい誤差の精度のレベルで発生され、即
ちその計算された遅延と実際の遅延の間の差は１０ミリ秒より少ない。好ましい
実施形態において、共通時間供給源７４０は例えばＧＰＳ（グローバル・ポジシ
ョナル衛星）のようなグローバル衛星のシステムであり、各ネットワーク・モニ
タ７００、７１０は、１つ以上のグローバル衛星から時間信号を受信するための
受信機を含んでいる。モニタされる２つの通信回線が互いに接近しているときは
、第１と第２のネットワーク・モニタ７００、７１０のうちの一方はマスタＧＰ
Ｓ受信機を含んでいればよく、その他方は、そのマスタに結合されたスレーブＧ
ＰＳ受信機を含んでいればよい。
【００６７】 典型例のネットワーク・モニタは、モニタ中の通信回線に結合されたネットワ
ーク・インタフェース・カード（ＮＩＣ）上にインタフェース・コンピュータを
有するホスト・コンピュータを用いて実装される。上述のように、ＮＩＣによっ
て受信したデータは、そのホスト・コンピュータに送出力される前に処理すれば
よい。また、上述のように、そのネットワーク・モニタは、通信回線からのデー
タの受信時間を用いて、ネットワーク通信統計的情報またはメトリックを発生さ
せればよい。データが通信回線から受信されたときの時間を正確に記録するため
には、インタフェース・コンピュータは、受信時間をそのデータに関係付ける（
そのデータに時間をスタンプ（記録）する）。そのホスト・コンピュータではな
くてそのインタフェース・コンピュータにそのデータに時間をスタンプさせるこ
とによって、そのインタフェース・コンピュータからそのホスト・コンピュータ
までデータを転送するときの遅延による受信時間における不正確さが減少しまた
は除去される。
【００６８】 典型例の実施形態において、そのインタフェース・コンピュータはインタフェ
ース・クロックを含んでおり、そのホスト・コンピュータはホスト・クロックを
含んでいる。そのインタフェース・クロックおよびホスト・クロックは、そのホ
スト・コンピュータがタイム・スタンプを用いてその受信データに対応する統計
的情報を正確に発生させることができるように、同期化される。典型例の実施形
態において、そのインタフェース・クロックはカウンタとして実装される。各パ
ケットが通信回線から受信されるときに、そのカウンタの現在の値がそのパケッ
トと関係付けられる。そのパケットは後でそのカウンタ値と共にそのホスト・コ
ンピュータに転送される。そのホスト・コンピュータは、絶対時間基準に同期し
たホスト・クロックを含んでいる。上述のように、絶対時間基準は、ＧＰＳ（グ
ローバル・ポジショニング衛星）によって供給すればよい。
【００６９】 そのホスト・クロックおよびインタフェース・クロックは、そのインタフェー
ス・コンピュータによって各パケットに関係付けられたカウンタ値を絶対時間に
相関させることによって、同期される。そのインタフェース・クロックをそのホ
スト・クロックに同期させる方法を、図９Ａおよび９Ｂにおけるフローチャート
を参照して、それぞれホスト・コンピュータおよびインタフェース・コンピュー
タに関して説明する。一般的には、そのホスト・コンピュータは、インタフェー
ス・コンピュータに対してインタフェース・クロック・カウンタの値を周期的に
要求して、その値を用いてそのカウンタをホスト・コンピュータに相関させる。
【００７０】 図９Ａおよび９Ｂを参照すると、そのホスト・コンピュータがそのインタフェ
ース・コンピュータから１組のパケットを受け取った場合（ステップ９０２）、
そのホスト・コンピュータは、“ゲット・カウンタ（カウンタの獲得）”メッセ
ージをそのインタフェース・コンピュータに送出することによって、そのインタ
フェース・コンピュータに対してカウンタ値を要求することを進める（ステップ
９０６）。典型例の実施形態において、そのインタフェース・コンピュータは、
直接メモリ・アクセス（ＤＭＡ）動作によってそのホスト・コンピュータのメモ
リに１組のパケットを格納し、次いでそのホスト・コンピュータに割り込んでそ
のパケットの転送を示す。そのホスト・コンピュータが１組のパケットを受け取
っていない場合は、そのホスト・コンピュータは、タイムアウト期間だけパケッ
トを待ち（ステップ９０４）、その期間の後、カウンタ値を要求する（ステップ
９０６）。そのホスト・コンピュータは、それがインタフェース・カウンタ値を
要求したときに、そのホスト・クロックの時間を記録する（ステップ９０６）。
【００７１】 そのインタフェース・コンピュータがそのホスト・コンピュータから“ゲット
・カウンタ”メッセージを受け取ったときに（ステップ９２０）、そのインタフ
ェース・コンピュータは、それが現在アイドル状態かどうかまたはそれが通信回
線からデータを受信しているかどうかを判定する（ステップ９２２）。それがア
イドル状態でない場合は、そのインタフェース・コンピュータは、“トライ・ア
ゲン（再試行）”メッセージをそのホスト・コンピュータに送出する（ステップ
９２４）。それがアイドル状態である場合は、そのインタフェース・コンピュー
タは、カウンタ値を読み出して、予め計算された割り込みサービス時間を減算し
て（ステップ９２６）調整されたカウンタ値を発生する。次いで、そのインタフ
ェース・コンピュータは、そのホスト・コンピュータにその調整されたカウンタ
値を送出する（ステップ９２８）。
【００７２】 その予め計算された割り込みサービス時間は、そのインタフェース・コンピュ
ータがそのホストからカウンタ要求を受け取った時点と、そのインタフェース・
コンピュータがそのホスト・コンピュータにその調整されたカウンタ値を供給し
た時点の間の持続時間（長さ）に対応する。その予め計算された割り込みサービ
ス時間は論理分析器を用いて実験的に求めてもよく、例えば、そのインタフェー
スがそのカウンタの要求を受け取った時点からそのインタフェースがそのカウン
タ値を供給するまでの間の持続時間を測定すればよい。実験の遅延測定を正常（
通常）動作の期間における遅延にマッチ（整合、一致）させるために、そのイン
タフェースがアイドル状態であることが分かりそのアイドル状態のときに正常（
通常）動作の期間においてそのインタフェースが要求に対してサービス（応答処
理）したときに、その実験の要求がそのインタフェースに供給される。この分野
の専門家に知られているように、そのインタフェース・コンピュータの応答時間
は繰り返し取得されて、動作の期間における使用のために平均サービス時間が発
生される。
【００７３】 そのホスト・コンピュータは、そのカウンタ値を受け取ったときに、そのホス
ト・コンピュータ・クロックに対するそのインタフェース・クロック・カウンタ
の相対的周波数の推定値を計算する（ステップ９１２）。その相対的周波数を用
いて、同期ルーチンの次の実行まで、そのインタフェース・コンピュータから受
け取ったパケットに関連付けられたカウンタ値を相関させる。典型例の実施形態
において、そのホスト・コンピュータは、その相対的周波数を計算する前に、ス
テップ９０６において記録した時間からホスト割り込みサービス時間を減算して
、そのホストがそのインタフェースからそのカウントを受け取った時点からその
ホストがその相対的周波数を計算した時点までの間の遅延を求める。
【００７４】 典型例の実施形態において、各々がそれぞれの通信回線に結合された複数のネ
ットワーク・インタフェースが１つのユニットとして実装されており、共通のク
ロックを共用する。従って、その共通クロックと同期させるだけで、そのホスト
・クロックが、それぞれの通信回線の中の任意のものから受信されたデータに関
連付けられたタイム・スタンプに同期化される。
【００７５】 図１０〜２８は、本発明によるネットワーク・モニタによって収集され分析さ
れたデータを表示しまたネットワーク・モニタによるデータ分析を制御するため
のグラフィカル・ユーザ・インタフェース（ＧＵＩ）を例示するスクリーン表示
である。図１０における表示は、テーブル・フレーム（表枠）１０１０、第２の
フレーム１０３０、およびボタン・フレーム１０５０を含んでいる。そのテーブ
ル・フレーム１０１０は、ユーザ選択用の選択可能なボックスおよびテキスト入
力ボックスを有する第１の部分１０１１と、受信データに対応する統計的情報の
テーブルを有する第２の部分１０１２とを含んでいる。テーブル１０２３は、そ
の選択可能なボタン、ボックスおよびフィールドの下に現れるものであって、分
析中の特定のデータに対応するエントリ（項目）を含んでいる。プロット・フレ
ーム１０３０は、受信データに対応する統計的情報を示すプロット１０３２およ
び１０３４を含んでいる。ボタン・フレーム１０５０は、ユーザ設定（構成）可
能な１組のボタンを含んでいる。
【００７６】 テーブル・フレーム１０１０の第１の部分１０１１におけるそのテキスト入力
ボックスおよび選択可能なボックスは、ユーザによるそのオプションの選択を防
止しそのテキスト・ボックスにおけるユーザの入力（エントリ）を防止するよう
オプションとして選択可能な形態で設定（固定）されればよい。図１０に表示さ
れたそのオプションおよびボックスに関連付けられた諸機能を以下で説明する。
１．スタート（Start）:スタート（開始）フィールド１０１３は、トラフィック
が分析されてその結果がＧＵＩに表示される開始時間を指定するものである。 ２．ストップ（Stop）：ストップ（停止）フィールド１０１４は、トラフィック
が分析されてその結果がＧＵＩに表示される終了時間を指定するものである。従
って、そのスタート／ストップ・フィールド１０１３および１０１４は、トラフ
ィックが分析されてからＧＵＩを通してユーザに提示されるまでの間の時間を指
定する。スタートおよびストップ・フィールド１０１３および１０１４の内容（
コンテンツ）は、複数のフォーマットで表示してもよい。例えば、図１０には日
付フォーマットでそのコンテンツが表示される。その代替構成として、そのコン
テンツが＋／−時間として表示されて現在の時間に対する相対的時間が示されて
もよく、用語“現在（今、ナウ）”を用いて現在の時間を表してもよく、または
用語“したことがない（ネバー）”を用いてそのデータが連続的に更新されるべ
きことを表してもよい。 ３．ウィンドウ（Window）：ウィンドウ（窓）フィールド１０１５は、第２のフ
レーム１０３０においてプロットされる値を計算する時間間隔（期間）を示すも
のである。例えば、ユーザがウィンドウ・フィールドとして“１”を入力した場
合、プロット・フィールドにおける値は１秒毎にプロットされる。ユーザは、そ
のプロットの分解能を示すための適当な単位を用いて、ウィンドウ・フィールド
に値を入力してもよい（例えば、水平スケールの単位が時間である場合の時間分
解能を示すための１ｓ、１ｍｓ、１００μｓ、・・・）。空欄のウィンドウ・フ
ィールド１０１５は、水平スケールにおけるその分解能が自動的に設定されるべ
きことを示している。 ４．トップＮ（Top N）：トップ（上位）Ｎフィールド１０１６は、テーブル・
フレーム１０１０の第２の部分１０１２に現れるテーブル１０２３用のエントリ
の最大数を指定するものである。トップＮが１０である場合は、テーブル１０２
３は、特定の列の値によって降順にソートされた１０行を含んでいる。トップＮ
が−１０である場合は、テーブル１０２３は、特定の列の値によって昇順にソー
トされた１０行を含んでいる（即ち、これがボトム（下位）Ｎのノーション（概
念）になる）。 ５．フィルタ（Filter）：フィルタ・ウィンドウ（フィールド）１０１７は、表
示されるデータに適用されるフィルタを記述するものである。例えば、フィルタ
は、リンク層プロトコルＩＥＥＥ８０２．３を用いたパケットに対する結果を表
示するための“プロトコルＩＥＥＥ８０２．３”にできるであろう。ＩＰトラフ
ィックだけを示すように前に濾波されたデータに対して、“ホスト１０．０．０
．１”のフィルタは、ソースまたは宛先のホストのいずれかが１０．０．０．１
であった場合のＩＰトラフィックに対する結果を表示するであろう。種々の複雑
なフィルタも可能である。 ６．ドゥＤＮＳ（Do DNS）：ドゥＤＮＳ（ＤＮＳ実行）チェックボックス１０１
８は、テーブル１０２３における各エントリを数（ニューメリカル）表現からテ
キスト表現に変換するものである。例えば、ＩＰにおいて、数表現（ＩＰアドレ
ス）を用いてホストが識別される。ＤＮＳ（ドメイン・ネーム・サーバ）はＩＰ
アドレスのこの数表現からテキスト表現へのマッピングを含んでいてもよい。例
えば、ドゥＤＮＳチェックボックスがチェックされたときに、ＩＰアドレス１０
．０．０．１をテキスト表現foo.niksun.comに変換してもよい。ＤＮＳ以外のプ
ロトコルに対して、チェックボックスに付与されるラベルはそれに従って同等の
機能に応じて変化する。 ７．ヘルプ（Help）：各フィールドの隣にあるヘルプ・ボタン１０１９は、選択
されたときに、コンテキスト（文脈、状況）に敏感な支援（アシスタンス）の表
示を生じさせるものである。例えば、フィルタ１０１７の隣のヘルプ・ボタンが
選択された場合、フィルタに対するヘルプ・ウィンドウがポップアップするであ
ろう。 ８．リフレッシュ（Refresh）：リフレッシュ・ボタン１０２０は、全てのフレ
ームの内容（コンテンツ）をリフレッシュ（復元）するものである。 ９．フォワードおよびバックワード・ボタン（Forward and Backward Buttons）
：テーブル・フレーム１０１０の第１の部分１０１１のトップ（頂部）における
フォワード（進む、順方向）１０２１およびバックワード（戻る、逆方向）１０
２２のボタンは、整列された全てのフレームの内容（コンテンツ）を保つ付加さ
れた機能を有するブラウザの“フォワード”および“バック”ボタンと同様に機
能するものである。それに対して、ブラウザの“フォワード”および“バック”
ボタンをクリックすると、フレーム単位で順方向の動きおよび逆方向の動きを生
じさせ、従って種々のフレームの相互間の対応関係が失われる。
【００７７】 プロット・フレーム１０３０は、プロット１０３２、１０３４、テキスト入力
ボックス、および選択可能なボックスおよびボタンを含んでいる。そのテキスト
入力ボックスおよび選択可能なボックスは、ユーザによるオプションの選択を防
止しテキスト・ボックスにおけるユーザ入力を防止するようオプションとして選
択可能な形態で設定（固定）されればよい。 １．アップデート・テーブル・アンド・プロット（Update Tables and Plots、
テーブルおよびプロットを更新する）：このボタン１０３６は、調整（coordina
te）された形態でそのテーブルおよびフレームを更新するものである。例えば、
ユーザがマウスを用いてそのプロットの一部を選択することによってズームイン
する場合は、そのボタン１０３６をクリックすることによって、ズームインされ
た選択された時間領域に対するプロットおよびテーブルが更新されるであろう。 ２．バイト／パケット・カウント（およびビット／パケット・レート）（および
ユティリゼーション）（Byte/Packet Counts (and Bit/Packet Rates) (and Uti
lization（利用））：このボタン１０３７は、選択時に“バイト／パケット・カ
ウント”、“ビット／パケット・レート”および“ユティリゼーション”の３つ
のオプションの間でその１つを変更するものである。また、そのプロットは、そ
れに従って、或るウィンドウにおけるバイト／パケット・カウントから、ビット
およびパケット・レート（即ち、１秒当たりのビットまたはパケットの数）へ、
さらにユティリゼーションへと変化させる。典型例の実施形態において、バイト
・プロットは、リンク速度に対する正規化された値を表示する（即ち、ビット・
レートをリンクまたはチャネルまたは仮想回路容量で除算してビット数毎秒で表
したもの）。 ３．トグル・ペアレント・プロット（Toggle Parent Plot、ペアレント・プロッ
トをトグルする）：このボタン１０３８は、次に説明するようにそのプロット上
のラインをトグル動作させるものである。 ４．トグル・プロット・オブ・アベレージ（Toggle Plot of Average、平均プロ
ットをトグルする）：トグル・プロット・オブ・アベレージのボタン１０３９は
、そのプロットのｙ軸の平均値（図示せず）が表示されるかどうかをトグル動作
させるものである。 ５．プレイ／フォワード／ストップ／ファースト・フォワード／リワインド／フ
ァースト・リワインド／ポーズ・ボタン（Play/Forward/Stop/Fast Forward/Rew
ind/Fast Rewind/Pause Buttons）：これらのボタン１０４０は、そのスクリー
ン上のプロットの再生を制御して、そのプロットを時間経過とともに更新させ時
間ととにもスクロールさせるものである。テーブル・フレーム１０１０における
そのテーブル１０２３は、プロット１０３２および１０３４とマッチ（一致）す
るように更新される。 ６．トップ・プロット（Top Plot）：図１０に示されたトップ（頂部）プロット
１０３２は、バイト／秒で表現されたリンク・レベル・ビット・レートのプロッ
トである。 ７．ボトム・プロット（Bottom Plot）：図１０におけるボトム（底部）プロッ
ト１０３４は、パケット／秒で表現されたリンク・レベル・パケット・レートの
プロットである。
【００７８】 テーブル・フレーム１０１０におけるテーブル１０２３は、スタート１０１３
およびストップ１０１４のフィールドによって指定された期間において活動状態
にあることが見出されたプロトコルに基づいて自動的に発生される。図１０にお
いて、テーブル１０２３は、スタート時間とストップ時間の間で、２６４Ｋ（Ｋ
＝１０００（キロ））ＩＰパケットおよび９１９ＡＲＰパケットがネットワーク
・モニタによって受信されたことを示している。ＩＰパケットおよびＡＲＰパケ
ットはそれぞれ９９Ｍバイトおよび５５Ｋバイトを含んでいる（Ｍ＝１００，０
００（メガ））。
【００７９】 テーブル１０２３におけるエントリは、選択されたフィールドによってデータ
をソートするように選択できる。例えば、テーブルにおけるパケット・ヘッディ
ングがクリックされてそのテーブルがそのパケットの列によって動作（活動）の
降順にソートされ、かつそのヘッダが再度クリックされた場合には、逆の順序で
ソートされるであろう。その他のテーブル・ヘッディングの選択によって、同様
にそのエントリがソートされる。
【００８０】 図１１は本発明のズーム機能を示している。図１０におけるスタート／ストッ
プ期間（時間間隔）７：１８／１２：０２が、図１１において９：００／１０：
００の期間に狭められている。それに従って、テーブル１０２３およびプロット
１０３２が更新されている。スタート１０１３およびストップ１０１４、１０３
４のフィールド値は、フィールド１０１３、１０１４そのものにおける手動入力
によってまたはプロット１０３２、１０３４における期間の例えばマウス等によ
るグラフィック選択によって、調整されてもよい。その表示は、選択時に、その
選択された期間にズームする。そのプロットをズームインすると、ユーザによっ
て選択された期間においてそのプロットが再生成される。次いで、“アップデー
ト・テーブル・アンド・プロット（Update Tables and Plots）”ボタン１０３
６の選択によって、テーブル・フレーム１０１０におけるデータがプロット１０
３２、１０３４に同期する。また、ユーザが“オート・シンク（自動同期、auto
-synch）”機能（図示せず）を選択した場合は、そのプロットは自動的に更新で
きるであろう。“アップデート・テーブル・アンド・プロット”ボタン１０３６
は、ユーザが数回でそのデータを更新することなく所望の期間までズームするこ
とを可能にする。それによって、最後の期間が選択されるまでネットワーク・モ
ニタによる不要な処理を減少させることができるという利点が得られる。
【００８１】 図１０におけるテーブル１０２３においてエントリとしてリストアップ（リス
ト）されているプロトコルは、ハイパーリンクとしてユーザによって選択可能で
、例えば、その選択されたプロトコル内にカプセル化されたプロトコルがリスト
アップされる。図１０におけるテーブル１０２３におけるＩＰエントリをクリッ
クまたは選択すると、結果として図１２の表示が得られる。その選択によって、
図１０のプロット・フレーム１０３０におけるプロット１０３２、１０３４は、
図１２におけるプロット１２３２、１２４３におけるＩＰトラフィックだけを表
示するように自動的に更新する。
【００８２】 そのプロットは、リンク層からの全てのトラフィックをライン・チャート（線
グラフ）１２３５として、全てのＩＰトラフィックをバー・チャート（棒グラフ
）として示す。この二重表示フォーマットは、前のレベル（この場合はイーサネ
ット）の全てのトラフィックと比較したときの１つのレベル（この場合はＩＰ）
の全てのトラフィックの両者の間の相関関係のグラフィック表現を与える。
【００８３】 また、テーブル・フレーム１２１０におけるテーブルの内容（コンテンツ）は
、ＩＰトラフィックに対応するように更新される。テーブル１２２３は、“スタ
ート”時間と“ストップ”時間の間のモニタ中のリンク上で使用されていた全て
のＩＰプロトコルをリストアップする。この特定の場合において、ＴＣＰ、ＵＰ
ＤおよびＩＣＭＰ ＩＰプロトコルだけが見出された。また、ＩＰホストによる
動作が表示されてもよい。テーブル・フレーム１２１０をスクロール・ダウンす
ることによって、ソース・ホストによるＩＰカウントのテーブルが、ＴｏｐＮ＝
２の場合について図１３に示されているように表される。
【００８４】 図１３において、ホストによって発生されたトラフィックに対するソース・ホ
スト・テーブル１３０２に、ホストによって受信されたトラフィックに対する宛
先ホスト・テーブル１３０４に、およびホストによって発生され受信されたトラ
フィックに対するホスト・テーブル１３０６に、トラフィックが表示される。テ
ーブル・フレーム１３１０におけるリンク１３０８上でクリックすることによっ
て、図１４に示された“ホスト−ペア（ホスト・ペア、host-pair）”テーブル
１４０２の表示が発生される。
【００８５】 ホスト−ペア・テーブル１４０２は、識別された各ペア（対）に対するホスト
のペアの間で送信されたパケットおよびバイトの合計の数をリストアップしてい
る。
【００８６】 “宛先ホスト”例えば１０．０．０．４７（図１４における１４０４）を選択
すると、その選択された“宛先ホスト”によってそのトラフィックをさらに濾波
してホスト１０．０．０．４７に宛てたトラフィックだけが表示される。これが
図１５に示されている。図１５において、テーブル１５０２は、この場合、スタ
ートとストップの間の期間にモニタされたトラフィックに対して、全てホスト１
２８．３２．１３０．１０から１０．０．０．４７に宛てたトラフィックを示す
。
【００８７】 従って、ホスト１２８．３２．１３０．１０だけが、“スタート”時間と“ス
トップ”時間の間で１０．０．０．４７にトラフィックを送信していることが分
かる。プロット・フレーム１５３０におけるプロット１５３２、１５３４は、こ
れら２つのホストの間のこの動作を、バー・チャート１５３５としておよび全て
のトラフィックをライン・チャート１５３６として、表示する。また、カラーを
用いてプロットまたはテーブル中のデータを区別する。
【００８８】 図１２におけるテーブル１２２３におけるＴＣＰエントリが選択された場合は
、プロトコル・スタックを上がって、テーブル・フレーム１６１０は、図１６に
示されているように、基礎となる（underlying）各アプリケーション１６１２に
対するＴＣＰレベル・カウントを含むように更新される。例えば、設計された期
間において受信された２１メガバイト（ＭＢｙｔｅ）を含んだ２７Ｋ ＨＴＴＰ
（ｗｅｂ）パケットが存在した。
【００８９】 図１６において、“ＴＣＰフロー（TCP Flow）”ボタン１６０４が選択された
場合、全てのＴＣＰフローが、図１７に示されているように持続時間および性能
メトリックとともに表示される。ＴＣＰフローは、２つのホストの間の１つのＴ
ＣＰセッションに属する１組のパケットを含んでいる。各フローはプロットされ
ればよく、またはその対応するパケットは、所望のＴＣＰフローにそれぞれ対応
する“プロット”ボタン１７０２または“ｐｋｔｓ”ボタン１７０４を選択する
ことによって表示される。ドゥＤＮＳオプションが選択された場合には、全ての
ＴＣＰホストＩＰアドレスがそのそれぞれのネーム（例えば、foo.niksun.com）
によって置き換えられるであろうことに留意すべきである。ユーザは、例えば１
０．０．０．４７のような特定のホストを識別するリンクのような他のリンク上
でクリックすることによって、フローを収集（集計）してもよい。ユーザが１０
．０．０．４７（１７０６）上でクリックした場合、ホスト１０．０．０．４７
に対する収集（集計）されたフローは図１８に示されているように表示される。
【００９０】 図１８は、ホスト１０．０．０．４７から発信している全てのＴＣＰフローを
示している。図１８における表示は、１０．０．０．４７ホストに選択したフィ
ルタを図１７に表示されたデータに適用することによって発生されたものである
。さらに、フィルタを、同様に図１８におけるその他のホスト（ハイパーリンク
）上でクリックすることによって適用することもできる。例えば、“ターム・ホ
スト（Term Host）”の列において、ユーザがホスト１０．０．０．５（１８０
２）を選択した場合には、ホスト１０．０．０．４７（ソースとして）とホスト
１０．０．０．５（宛先として）の間の全てのフローが表示される。
【００９１】 図１６のスクリーン表示に“ＴＣＰパフォーマンス（TCP performance（ＴＣ
Ｐ性能））”選択を提示して、例えばＴＣＰパフォーマンス・テーブルを発生さ
せてもよい。“ＴＣＰパフォーマンス”ハイパーリンク上でクリックすることに
よって、図１９に示されているようにＴＣＰ用のパフォーマンス・テーブル１９
０２を表示してもよい。明確にするために図１９に全体のテーブルのフレームが
表示されている。その表示は、最悪の２つの実行中のＴＣＰクライアントおよび
サーバ（ＴｏｐＮフィールド値２）に対する“トラブルドＴＣＰクライアント（
Troubled TCP Clients（障害のあるＴＣＰクライアント））”テーブルおよび“
トラブルドＴＣＰクライアント（Troubled TCP Servers（障害のあるＴＣＰサー
バ））”テーブルを含んでいる。スタート・フィールドおよびストップ・フィー
ルドによって指定された期間にわたって、そのテーブルは、各ＴＣＰクライアン
トまたはサーバに対して次の測定（結果）を示す。 １．ナンバ・オブ・コネクション（No. of Connections）：これは、クライアン
トまたはサーバに対するＴＣＰ接続の合計数である。 ２．ＴＣＰデータ・バイト（TCP Data Bytes）：これは、全てのＴＣＰ接続によ
って搬送されるデータ・バイトの合計数である。 ３．ＴＣＰグッド・プット（バイト毎秒）（TCP goodput(Bytes/sec)）：これは
、ＴＣＰペイロード・スループット（アプリケーション・スループット）または
ＴＣＰグッド・プットを示している。即ち、アプリケーション・バイトの合計数
を、それらのバイトを送信するのに必要な時間で除算してその数の接続について
平均したものである。 ４．ＴＣＰスループット（バイト毎秒）（TCP throughput (Bytes/sec)）：これ
は、ＴＣＰ接続において搬送されたバイトの合計数を時間で除算したもの（ＴＣ
Ｐフォロー・レート）である。 ５．アベレージＲＴＴ（Avg RTT（平均ＲＴＴ））：これは、その数の接続を通
るクライアントとサーバの間の平均ラウンドトリップ時間を示している。 ６．アベレージ・レスポンス（Avg Response）：これはサーバからクライアント
までの平均応答時間を示している。 ７．リトランスミット％（Retransmit %）：これは、再送された（輻輳、欠落ま
たは遅延、またはその他の理由によるもの）ＴＣＰバイトの百分率を示している
。
【００９２】 ＴＣＰパフォーマンス・テーブルは、ユーザ・インタフェースを介してその他
のメトリックを追加しまたは現在のメトリックを削除するようカストマイズされ
てもよい。
【００９３】 図１６におけるｈｔｔｐハイパーリンクを選択することによって、結果として
図２０に示したようなｗｅｂトラフィック（ｈｔｔｐ）に対する統計的情報の表
示が得られる。
【００９４】 図２０のスクリーン表示に“ｈｔｔｐパフォーマンス（http performance（ｈ
ｔｔｐ性能））”選択が提示されて、例えば、ｈｔｔｐパフォーマンス・テーブ
ルを発生させる。“ｈｔｔｐパフォーマンス”ハイパーリンク上でクリックする
ことによって、図２１に示されているようにｈｔｔｐ用のパフォーマンス・テー
ブル２１０２が表示される。明確にするために図２１に全体のテーブル・フレー
ムが示されている。その表示は、最悪の２つの実行中のＷＷＷクライアントおよ
びサーバ（トップＮフィールド値が２）に対する“トラブルドＷＷＷクライアン
ト（Troubled WWW Clients（障害のあるＷＷＷクライアント））”テーブルおよ
び“トラブルドＷＷＷサーバ（Troubled WWW Servers（障害のあるＷＷＷサーバ
））”テーブルを含んでいる。
【００９５】 ｈｔｔｐパフォーマンス・テーブル２１０２におけるメトリックは、オンライ
ンで生成されて、障害のあるＷＷＷクライアントおよびＷＷＷサーバとしてユー
ザに表示されてもよく、または直ぐに動作させるためにネットワーク管理システ
ムに直接供給されてもよい。これらのメトリックは、ネットワーク・アドミニス
トレータ（管理者）が悪いサーバおよび接続を識別するのを助ける。また、この
情報を、ｗｅｂサーバ・オペレータに、より広い帯域幅を購入しまたは彼のサー
バを設定するよう通知するためのベース（基礎）として用いてもよい。さらに、
それを用いて、クライアントに、彼らがより広い帯域幅を必要としているかもし
れないこと、または別のサービス・プロバイダを選択する必要があるかもしれな
いことを通知することができる。従って、それらのメトリックを用いてユーザに
与えられるサービスの品質を改善してもよく、それらのメトリックは最終的にネ
ットワーク・アドミニストレータに別の収入を与えるかもしれない。例えば、テ
ーブル“トラブルドＷＷＷサーバ”において、リストアップされた第２のサーバ
（２０４．１６２．９６．１０）は約３３％のｗｅｂアボート（打ち切り）を示
した。これは、そのｗｅｂサイトからの顧客の３３％の潜在的ロス（消失、逸失
）を示している。
【００９６】 テーブル・フレーム１６１０は、図１６に示されているように基礎となる（un
derlying）各アプリケーション１６１２に対するＴＣＰレベルのカウントを含む
ように更新される。例えば、設定された期間において受信された２１メガバイト
（ＭＢｙｔｅ）を含んだ２７Ｋ ＨＴＴＰ（ｗｅｂ）が存在した。
【００９７】 図１２におけるＵＤＰハイパーリンク１２４０が選択されると、プロトコル・
スタックを上がって、図２２の表示がＵＤＰトラフィックのレベルを示すように
提示される。テーブル・フレーム２２１０において、各ＵＤＰアプリケーション
またはＩＤＰポートについての動作を示す“ＵＤＰレベル・カウント（UDP Leve
l Counts）”テーブルが表示される。例えば、その表示は、６９ＫＢｙｔｅ（キ
ロバイト）を含んだ４５３個のドメイン・パケットが存在することを示した。
【００９８】 ＵＤＰ帯域幅使用は合計のＩＰの約０．３２％だけであったことに留意すべき
である（図１２におけるテーブル１２２３を参照）。従って、プロット・フレー
ムは、ＵＤＰトラフィック（BLUE（青）のもの）を縮小するＩＰトラフィック（
RED（赤）グラフ）だけを示す。“トグル・ペアレント・ディスプレイ（Toggle
Parent Display）”上でクリックすることによって、ユーザは、ＩＰに対するプ
ロット（ペアレント・プロット）が除去されると、ＵＤＰトラフィック上のＹ軸
だけをズームすることができる（これは示されていない）。
【００９９】 図２２における“Ｍボーン（MBONE）”ボタン２２０２が選択されると、図２
３に示されているようなMBONE（マルチメディア・バックボーン）セッションの
アプリケーション層分析（結果）の表示が得られる。
【０１００】 図２２におけるボタン・フレーム２２５０における“ビュー・パケット（View
Packets（パケット表示））”ボタン２２０４の選択によって、図２４に示され
ているように全てのパケットのダンプが与えられる。ネットワーク・モニタは全
てのパケットを記録できるので、全てのパケットおよびその内容（コンテンツ）
が表示できる。図２４の表示におけるリンクによって、ユーザは、そのデータス
トリームを柔軟に濾波できる。ユーザが１０．０．０．１２（２４０２）上でク
リックした場合、次のダンプのスクリーンは１０．０．０．１２へのおよび１０
．０．０．１２からのパケットだけを含んでいる。次のそのスクリーンにおいて
、ユーザが１０．０．０．５を選択した場合、その更新された表示は１０．０．
０．１２と１０．０．０．５の間のパケットだけを示すであろう。また、ユーザ
は、ポートを選択することによってさらにそのダンプを品質評価（qualify、修
飾）することもできる。スクリーン表示の頂部における選択２４０４からダンプ
のタイプを選択することによって、ダンプ・パケットに対する種々のオプション
が適用できる。
【０１０１】 図２２のボタン・フレーム２２５０における“レコメンド（Recommend（推奨
））”ボタン２２０６の選択によって、ネットワークに対するリアルタイム容量
または帯域幅推奨（値）の表示が結果として得られる。“レコメンド”ボタン２
２０６の選択を検出すると、ネットワーク・モニタは、数学的モデルを用いて、
ユーザが見ているデータを翻訳（解釈）して、アプリケーション（またはその他
のタイプのトラフィック）による帯域幅使用に対する推奨（値）、または特定の
サービス品質を得るためのリンク／スイッチ容量の設定に対する推奨を提示する
。図２５にはそのような幾つかの統計的情報２５０２が示されている。ユーザは
、分析されたトラフィックのタイプに対する所望のサービス品質を支援（サポー
ト）するのに必要な容量に対する推奨を得るために、例えばロス・レート（欠落
率）および最大遅延のような所望のサービス品質の値を入力してもよい。図２５
および２６は、設定可能な推奨（値）を示している。
【０１０２】 典型例の実施形態において、ユーザは、特定のアプリケーションと、特定のサ
ービス品質レベルに対するネットワーク資源の“サイズを決定”したい“ビジー
期間”を選択してもよい。次いで、ネットワーク・モニタにおける適当なサブル
ーチンが、特定のアプリケーション・トラフィックを分析し、“モデル・パラメ
ータ”を抽出して分析する。数学的モデル、およびパラメータおよびサービス品
質のパラメータ（例えばパケット・ロス・レート（欠落率）、ネットワーク遅延
、フレーム・レート、等）の推定を用いて、その数学的モデルは、例えば統計的
マルチプレクス・ゲイン（多重化利得）、容量要求およびバッファ割り当てのよ
うな統計的情報を計算し、また、サービス品質要求を満たしながらネットワーク
利用を最大化するためのスイッチ／ルータ構成、ネットワーク資源またはサーバ
・パラメータを、ユーザに提供する。そのような推奨（レコメンデーション）は
、リアルタイムで計算できる。その際、様々なサービスに属する全てのパケット
または１組のパケットに対して統計的情報が更新され、また、サービス品質要求
を満たす動的資源割当を可能にするための最適構成における各フローに対して、
フィードバックをパスに沿って各ネットワーク要素を供給する。
【０１０３】 そのグラフのｘ軸２６０２はユーザの数を表し、ｙ軸２６０４はビット毎秒の
容量を表す。所望のユーザ数に対して、その容量は、そのチャートから読み取ら
れ、または対応するテーブルによって算出した結果の表示から読み取られる。図
２７は、ＩＰアドレスがその登録されたネームに決定（分解）されるようにドゥ
ＤＮＳボタンが選択された場合について、図２２の表示と同様の表示を例示して
いる。
【０１０４】 図２８は、図２２におけるボタン・フレーム２２５０に“スタティスティック
ス（Statistics（統計））”ボタン２２０８が選択されたときに表示される統計
的情報を示す表示である。“スタティスティックス”ボタン２２０８が選択され
ると、ネットワーク・モニタは、ユーザが現在見ているデータに基づいて種々の
統計的情報を計算する。典型例の統計的情報は、パケット・サイズ配分、プロト
コル配分、クライアント毎の帯域幅使用、ドメインによる帯域幅使用、サーバ当
たりの平均応答時間、サーバ−クライアントペア（対）の間の平均ラウンドトリ
ップ時間、およびパフォーマンス・メトリックを含んでいる。
【０１０５】 本発明は、ホスト・コンピュータとインタフェース・コンピュータの間の諸機
能の特定の分割（配分）に限定されるものではない。ホスト・コンピュータとイ
ンタフェース・コンピュータの機能は、１つのコンピュータによって実行される
。本発明によるネットワーク・モニタに対するインタフェースは、ユーザ・イン
タフェースに限定されることなく、モニタ中のネットワークまたは別の通信回線
を介するものであってもよい。
【０１０６】 図２９は、ネットワーク・モニタ２９０２（NetDetector：ネットディテクタ
）を含む典型的なモニタ・システムを例示するもので、ネットワーク・モニタ２
９０２はタップ２９０６を介して第１の通信回線２９０４に結合されている。ネ
ットワーク・モニタ２９０２は、通信回線２９０４上のデータ通信（通話、トラ
フィック：traffic）を受信（モニタ）し、それらのパケットの特性に基づいて
データからあるパケットを選択する。ネットワーク・モニタ２９０２は、次いで
選択されたパケットを複数のデータ処理ユニット２９０８、２９１０、２９１２
のうちの１つに供給する。ネットワーク・モニタは受信したパケットを直ちにデ
ータ処理ユニットに供給することができるし、また濾波基準（尺度、標準）に従
ってパケットをストア（記憶、蓄積）し、後刻それを復元することもできる。受
信したパケットは、例えば、ソース・アドレス、宛先アドレス、パケットのタイ
プ（形式）、自立（autonomous）システム、ソース・ポート、時間、宛先ポート
、ネットワーク識別子、１対のホストの１あるいはそれ以上に基づいて選択され
る。
【０１０７】 この構造によれば、大きな処理能力（処理量、スループット）ならびに大容量
の蓄積能力を有するネットワーク・モニタ２９０２に対して、このネットワーク
・モニタ２９０２の処理能力よりも小さい処理能力を有するデータ処理ユニット
２９０８乃至２９１２を使用して、幾つかの選択されたパケットのグループの各
々について並列的にデータ処理機能を実行させることが可能になる。 例示の実施形態では、データ処理ユニット２９０８，２９１０、２９１２は侵入
発見システム（ＩＤＳ）である。ネットワーク・モニタ２９０２は、選択された
パケットのグループを各ＩＤＳに供給し、システムが単一の侵入発見システムの
場合よりも高い処理能力をもって侵入に対してスキャン（精査、綿密に調査）す
ることができるようにする。
【０１０８】 このシステムは、通信回線から受信したパケットを選択するために基準（尺度
、標準）に基づいて侵入発見システムを最適化することができる。例示の実施形
態では、ネットワーク・モニタは、記憶媒体上のセッションを記録（レコーディ
ング）し、異なるＩＤＳ装置に向けてセッション（またはフロー：flows、例え
ば、ＴＣＰ／ＩＰフロー−ＳＹＮ-ＦＩＮ）を再生することによって、あるいは
ネットワーク・キャプチャ装置から、通信回線上と同じまたは異なるプロトコル
の下にある、またはエンクリプテット（encrypted）フォーマットにある１個の
または複数のインタフェースまたはデータ処理ユニットへ直説セッションを流す
ことによって上記の最適化を行う。
【０１０９】 セッションは、例えば、ＳＯＵＲＣＥ ＩＰ->ＤＥＳＴ ＩＰからのすべての
パケットとして、または１個のＳＯＵＲＣＥ ＩＰまたはネットワーク（Networ
k）からのすべてのものとして、または１対のホスト間のＴＰＣの流れとして、
または１対のホスト間のＨＴＴＰの流れとして、または１個のホストまたはネッ
トワーク（Network）からのＵＤＰパケットとして識別される。
【０１１０】 このシステムは、特定のＩＤＳに対する分配のために単一ポート用のポート・
スキャンに対応するすべてのパケットを選択することによって、異なるデータ処
理ユニットまたはＩＤＳへの分配用のパケットをランダムに選択するシステム全
体にわたるポート・スキャンの改善された検出を行う。これは、また低速（遅い
率）または高速（早い率）で生じる可能性のあるポート・スキャンまたはアドレ
ス・スキャンを識別し、またサービスの否定（Denial of Service）またはサー
ビス・アタック（攻撃）の分配（配信）された否定が生じたネットワーク、ホス
トを識別し、履歴（設定された標準または閾値に対する１日の中の時刻、週の中
の曜日）活動（動作）と比較されたホストまたはユーザからの異常なトラフィッ
ク（通信量）または“ふるまい（反応、作用：behavior）”、電子商取引におけ
る偽のまたは異常なトランザクション（処理、取り扱い、取引）、例えば１つの
ＩＰアドレスから異なる複数のユーザに対する株式取引（stock exchange）に関
する取引を処理するための突然の活動（動作）、を識別するためにシステムの能
力を改善することができる。
【０１１１】 図３０は、ネットワークをモニタするためのネットワーク・モニタの階層を示
す。この階層は、単一のインタフェースでネットワーク・モニタ・システム集中
化管理を可能にするものである。ユーザは、ネットワーク・モニタの１個のネッ
トワークを見ることができ、またそれらの互いの階層的関係を見ることができる
。ネットワーク中の任意のユニットを構成することができ、またトラフィック（
通行量、通信量）の統計値を一体化されたユーザのインタフェースから見ること
ができる。
【０１１２】 集中化管理により、一体化構成を可能にし、また単一のインタフェースで多数
のネットワーク・モニタ（NetVCR）ノードのアクセスを可能にする。ネットワー
ク・モニタはアンセスタ（先祖：ancestor）/ディセンダント（子孫：descendan
t）の階層に構成され、アンセスタはそのディセンダントに関する情報を維持し
、ディセンダントはその状況（およびこのディセンダントの任意の状況）をそれ
らの直前のアンセスタに報告（report）する。集中化された管理インタフェース
によりすべてのディセンダントのノードを容易に見ることが可能になり、トラフ
ィック分析（Traffic Analysis）およびネットワーク・モニタ構成のインタフェ
ースへのアクセスを与えことができる。
【０１１３】 新しいネットワーク・モニタがネットワークに追加されると、登録処理（レジ
ストレーション・プロセス：registration process）を開始するために直前のア
ンセスタのＩＰアドレスをもって構成する必要がある。新しいディセンダントの
ネットワーク・モニタはそのアンセスタのノードを用いて登録し、それ自体およ
びそのディセンダントに関する情報を供給する。アンセスタは、そのデータベー
ス中にそのディセンダント（または複数のディセンダント）の記録を生成する。
登録後、ディセンダントはキープ−アライブ（生存：keep-alive）メッセージを
その直前のアンセスタに周期的に送る。ディセンダントがシステムから除去され
ると、アンセスタはもはやそのディセンダントからの信号を受信することはなく
、アンセスタはディセンダントの状態をダウン（オフライン）に設定する。
【０１１４】 図３１は、階層ネットワーク・モニタ・システムの集中化管理インタフェース
を示す。集中化管理は、ＮｅｔＶＣＲネットワークの“ファミリ・ツリー（fami
ly tree）”ビュー（観察）を与える。インタフェースは各種のＮｅｔＶＣＲユ
ニットの階層関係を図式に示す。ツリー観察は、一度に１レベル拡大され、ユー
ザがＮｅｔＶＣＲネットワークの階層をドリルダウン（drill down）することを
許容する。
【０１１５】 インタフェースの左側面はＮｅｔＶＣＲツリー・ビューを含んでいる。これは
、ディレクトリ（登録簿：directory）、サブディレクトリ（サブ登記簿：subdi
rectory）およびファイルのファイル・マネージャ（file manager）の表示とフ
ォーマットにおいて類似している。ツリー・ビューは、頂部、アナリシス（Ａｎ
ａｌｙｓｉｓ）、ＳＬＡ、およびアラーム（Alarms）を横切る３個のタブを有し
ている。図３１では、アナリシス・タブのみが実行される。最初に、ツリー・ビ
ューは完全に消失（崩壊）し、ルート・ノード（root node）のみがツリー中で
可視であることを意味する。ダブルクリックすることによりノードはその１レベ
ル拡大し、ノードのすぐ隣のディセンダントが現れるようにする。ダブルクリッ
クすることにより、ノードは再びブランチを消失（崩壊）させる。
【０１１６】 各ノード名の左のアイコンはＮｅｔＶＣＲネットワーク中のその役割を示す。
グローブ（globe）のアイコンはアンセスタのノードを示し、コンピュータのア
イコンはディセンダントのみのノードを示す。アイコンが赤に変わると、ノード
は一般にオフラインすなわちディセンダントとアンセスタとの間の通信リンクが
失われる。
【０１１７】 ノード上を１回クリックすると、そのノード上のデータベースに関する情報を
持ったネットワーク・トラフィック・データ・テーブル（Network Traffic Da
ta Table）をツリー・ビュー（tree view）の右に配置する。そのテーブルは次
の情報を供給する。
【０１１８】 Recorded On：データセット（dataset）を記録したＮｅｔＶＣＲのホームネー
ム。
【０１１９】 Interface ：データセットのインタフェース形式。
【０１２０】 Status：データセットの記録状態。これは次の４個の値の１つを持つことがで
きる。即ち、記録（Recording）、停止（Stopped）、保管されたレコーディング
（Archived Recording）および保管停止（Archive Stopped）（各用語の定義に
ついてはチャプタ３（第３章）を参照のこと）。
【０１２１】 Comment：データセット構成ページ（Dataset Configuration Page）で定義さ
れているようなデータセットのデータセット名（Dataset Name）。
【０１２２】 Data Start and Data Stop(データ開始およびデータ停止)：データセットの開
始及び停止時間・ Device（装置）：トラフィック（通信量：traffic）データを記録するために
使用される物理的インタフェース。
【０１２３】 Network Traffic Data Table（ネットワーク・トラフィック・データ・テーブ
ル）の底には、テーブル上の水平および垂直グリッド・ラインをイネーブルする
（動作可能にする）２個のボタンがある。一旦データセットがネットワーク・ト
ラフィック・データ・テーブル（Network Traffic Data Table）から選択される
と、Data Table（データ・テーブル）の右のDataset Operation Menu（データセ
ット・オペレーション・メニュ)が、表示すべきデータのパラメータを指定する
ために使用される。これらのフィールドおよびボタンはデータセット分析のため
の制御に対応する。
【０１２４】 Start and Stop(開始および停止)：分析のために必要な時間間隔。時間間隔を
指定することに関する詳細についてはUser’s Guide（ユーザのガイド）のChapt
er ４を参照されたし。
【０１２５】 Protocol Layer（プロトコル・レア）：（Frame（フレーム）、Link（リンク
）、ＩＰ、ＴＣＰ、およびＵＤＰを含む）分析のために利用可能なプロトコル・
レアのプルダウン・メニュのリスト。
【０１２６】 Analyze（分析）：このボタンをクリックすると、スタート（Start）、ストッ
プ（ Stop）、およびプロトコル・レア（Protocol Layer）のフィールドによっ
てセットされたパラメータを使用して、選択されたデータセット用のNetVCR Ana
lysis Pageに接続する（この特徴に関するより詳細についてはUser’s Guide（
ユーザのガイド）のChapter ４を参照されたし）。
【０１２７】 Configure(構成)：このボタンは、選択されたデータセット用のNetVCR Datase
t Configuration Page）に接続する（この特徴に関するより詳細についてはUser
’s Guide（ユーザのガイド）のChapter ３を参照されたし）。
【０１２８】 Reports（レポート）：このボタンをクリックすると、NetVCR Reports Pageに
接続し、ユーザは標準（Standard）およびカスタム（Custom）レポートを見るこ
とができる。
【０１２９】 Schd. Reports：このボタンは、選択されたデータセットおよび選択されたプ
ロトコル・レア用のNetVCR Report Configuration Pageに接続する Autonomous System（ＡＳ：自立したシステム）は、単一のまたは明確に指定
された外部ルーチン・ポリシ（方針、処理、政策）を有する１あるいはそれ以上
のネットワーク・オペレータによって操作されるＩＰネットワークのグループで
ある。例えば、有効な資格（適性、技能：qualification）は、（net １２１．
０９７．０．０ mask ２５５．２５５．０．）または（１２１．０９ mask
２５５．２５５．０．０）または（net １２１．１００/１６）になり得る。
【０１３０】 分配ネットワーク・モニタは、ネットワークを横切ってデータの相関と集合を
行うようにする。これは、（ソース：source）へのネットワークを横切ってイベ
ント（事件、出来事）（例えば、ハッカーまたはクラッカー（cracker）の活動
）を追跡するようにする。これはインタフェースを横切る正確な時間スタンプに
より有効である。
【０１３１】 ネットワーク・モニタは、侵入者を表すパターンに対してスキャン（精査、細
かく調べる）ことができる。すなわち、すべての侵入点（entry points）上のポ
ート・スキャン（port scans）、侵入点（entry points）上のテルネット（teln
et）の試み、サービス・アタック（攻撃）の否定（denial）を表すパターン、サ
ービス・アタックの調整された否定（coordinated denial）を表すパターン、シ
ステムへのバック・ドア（秘密の：back door）侵入を表すキー・ファイルへの
修正をスキャンすることができる。
【０１３２】 ネットワーク・モニタは次のために使用される。 ・ 侵入（entry）点を閉鎖（shut down）するために“Request for Action（ア
クションに対する要求）”通知（notification）を供給する。 このアクションは、知識のある代理人（intelligent agent）によってＡＣＬへ
の修正（変形：Modification）によって、またはオペレータによって行うことが
できる。 ・ “バック・ドア（back door）”が生成されたか否かの決定。 ・ ハッカーによって作られたすべての追加の侵入パス（entry path）を閉じる
（close）ために“Request for Action（アクションに対する要求）”の通知（n
otification）を供給する。このアクションは、知識のある代理人またはオペレ
ータによって実行される。 ・ ハッカーの行為の履歴を表示する。 ・ 突破されたシステム（breached system）にダウンロードされた任意のファ
イルの記録を与える。 ・ 何が妥協（解決）されたかを確認し、“Request for Action”の通知（noti
fication）を供給し、それによって管理者は、受けた損害を無効にする“undo”
行動をとることができるようにする。 ・ 起訴（遂行：prosecution）のために容疑者に関する情報、すなわち“証拠
の痕跡”を提供する。
【０１３３】 NetDetector（ネットディテクタ）によってサポートされる特定のアプリケーシ
ョンには次のものが含まれる。 - 外部侵入者をあらわすパターンをスキャン（精査、細かく調べる）し、進行
中（継続中）のアタック（攻撃）の可能性に関する管理者を変更する。 - 内部の全職員による共同資源の誤用のパターンをスキャン（精査、細かく調
べる）する。 - 侵入者がすでに進行中であるか否か、バック・ドア（秘密のドア：back door
）が作られているか否か、何が妥協されたか、および容疑者に関する詳細な情報
を識別するために、ネットワーク内にすでに配置された防御システムの第１のラ
インと共同して動作する。 - 連続して拡張し、アラームのパターンを改善するために自己学習することが
できる知能の高いエンジン（才能）と共同して動作する。
【０１３４】 本発明によるネットワーク・モニタは、異常な活動（アクティビティ：activi
ty）を検出するために次の閾値を設定することができる。 - アプリケーションの特定の組に対して、共通のＩＰアドレス（ソースまたは
宛先のいずれか）を必然的に含むＩＰホスト・ペア（host pair）接続の数はｙ
の時間窓を超えるｘを超過する。ｘおよびｙはユーザによる構成が可能なもので
ある。アプリケーションのセットは、例えばテルネット（telnets）およびピン
（pings）のような１組の肯定的なルールと、“not http”のような否定的なル
ールを含んでいる。
【０１３５】 これはサービス攻撃（Service attacks）およびＩＰホスト・スキャン（精査
、細かく調べる）の否定を追跡するために使用することができる。 - 特定のＩＰホスト・ペア（host pair）に対して、バイト率（byte rate）は
ｘを超過するか、またはｙの維持された期間を超える。ｘとｙはユーザによる構
成が可能なものである。アプリケーションのセットは、例えばテルネット（teln
ets）およびピン（pings）のような１組の肯定的なルールと、“not http”のよ
うな否定的なルールを含んでいる。
【０１３６】 これは特定のソースからの宛先に対する疑惑のある“過度の”使用を追跡する
ために使用することができる。例えば、特定のホストに対するブレーク・イン（
割り込み：break-ins）がある。 - 特定のＩＰホスト（host）に対して、個々のセッションの数がｘを超過する
か、またはｙの維持された期間を超える。ｘとｙはユーザによる構成が可能なも
のである。アプリケーションのセットは、例えばテルネット（telnets）および
ピン（pings）のような１組の肯定的なルールと、“not http”のような否定的
なルールを含んでいる。
【０１３７】 これは特定のソースからの宛先に対する疑惑のある“過度の”セッション活動
を追跡するために使用することができる。例えば、特定のホストに対するブレー
ク・イン（割り込み：break-ins）がある。 - モニタされたリンクの利用率がｘを超過するか、または期間ｙの期間中維持
される。ｘとｙはユーザによる構成が可能なものである。 これは、サービス攻撃（service attacks）の否定を追跡するために使用するこ
とができる。 - 無効なソースまたは宛先ＩＰアドレスをもったパケットがモニタされたリン
クを横断する。（これは、終了ネットワーク・クラウド（end network cloud）
を含む１組の“有効”ＩＰソース・アドレスを静的に（statically）に指定する
ことができれば行われる。） 一方向リンクについては、ソースおよび宛先は各
別にチェックされる。イーサネット（Ethernets）のような割り当てられた（分
けられた）メディア（媒体）については、ソースおよび宛先アドレスの両方が無
効である場合のみアラームをトリガすることができる。
【０１３８】 これはスプーフド（だました、ちゃかした、ふざけた：spoofed）アドレスに
対してチェックすることができる。 - ペイロード中の一般的な（generic）バイトのパターンに対するチェック。こ
の特徴は、ユーザが指定したバイトのパターンのマッチ（match）に対する選択
されたパケット（濾波されたトラフィック）をスキャンする（精査、詳しく調べ
る）。（エリック、このハプニングを短期間だけ見ないでくれ。いずれにしても
それを追加するよ。：Eric-don’t see this happening in the short term, bu
t added it anyway.） ALARMING FEATURE(警告の特徴) 閾値を超過したとき、ＳＮＭＰトラップが接続された管理（処理、制御）シス
テムに送られる。さらに、ウエブ基準（web-based）インタフェースに関する警
告（アラーム）を示すために、ジェイナス（Janus）に警告（alarming）が与え
られる（ｅ−メールを受信したとき特にその傾向がある）。
【０１３９】 GUI/CONFIGURATION FEATURE(ガイ／コンフィグレーションの特徴) ユーザは、閾値チェックのために必要なパラメータを構成することができる。
このことは、上述のようにして指定されたｘおよびｙは、閾値を指定するたに必
要な他の情報、例えば“有効（valid）”ソースおよび／または宛先アドレスの
みならず、ユーザによる指定が可能なものであることを意味する。 - 他のＩＰホストとの開始された“過大（excessive）”な接続量をもった単一
のＩＰを指定する能力。 - 時間間隔（スパン）、過大とみなす接続を試みる数、過大とみなすべき試み
の頻度（frequency）を指定する能力。 - 接続中で使用される過大なポート（port）の過大な量とのＩＰ接続に対する
単一のＩＰを指定する能力。 - ネットワークの活動状態（動作状態、アクティビティ）が“正常な閾値（nor
mal thresholds）”（拡張された期間に対する帯域幅スパイク）を超過した時を
決定する能力。 - 過大と考えられるスパイクの時間間隔（スパン）および高さを指定する能力
。 - ユーザが、指定されていないポートへのあらゆる接続を試みるときに“有効
なポート”および警告（アラーム）のリストを指定する能力。 - 不審な（疑念のある：、suspicious）活動（動作）が生じたときにネットワ
ークの管理者に警告する能力。 - ネットワークの管理者のスクリーンに音声および可視的警告を与える能力。 - 警告に関して最大の融通性（例えば、ペイジャ（pager）、セルホーン（cell
phone）、e-メール）を管理者に与える能力。
【０１４０】 構成上の総覧（Architectural Overview） 図３２はネットディテクタ・システム（NetDetector system）の基本的な構成
を示す。
【０１４１】 制御モジュール（Control Module）は全ての他のネットディテクタ・コンポー
ネント（NetDetector components）(楕円形で示されている)の活動（動作）と通
信し、指示する。これには次のものが存在する。 - 活動（動作）検出器（Activity Detector）：ネットワークの活動（動作）お
よびパターン認識（Pattern Recognition）モジュール、 - データ・マネージャ（Data Manager）：データ・アーカイブ（データ保管：D
ata Archive）およびエクスポート・モジュール（Export Module）、 - 警告発生器（Alerter）：警告モジュール（Alert Module）、 コンフィギュレーション・モジュール（構成モジュール：Configuration Modu
le）は制御モジュールを形成する（適合させる）。コンフィギュレーション・モ
ジュールはパターン認識データベース（Pattern Recognition Database）(ＤＢ)
に応答し、これから検出されるべきパターン、およびとるべき行動（動作）が活
動（動作）検出器（Activity Detector）によって読み取られる。
【０１４２】 警告モジュール（Alert Module）は、形成された活動（動作）パラメータに従
って警告を発生するように応答する。警告は、例えばＳＮＭＰトラップ、Ｅｍａ
ｉｌ（Ｅメール）、ペイジャ（pager）、またはコンソール（Console）のように
、ユーザによって選択される各種の形式がある。
【０１４３】 データ・マネージャ（Data Manager）は２つのコンポーネントを持っている：
アーカイブ・モジュール（Archive Module）とエクスポート・モジュール（Expo
rt Module）。アーカイブ・モジュール（Archive Module）は警告を与える事象
に関係のあるパケット・データをセーブ（節約）するように応答し、それによっ
て正規のエージング・プロセスはそれを消去しない。エクスポート・モジュール
（Export Module）は関連するデータをさらに分析するために外部システムに転
送するのを管理する。
【０１４４】 指定された期間を超過して継続するネットワーク・トラフィック（ネットワー
ク通信量）の突然のピークを検出することによって、ネットディテクタ（NetDet
ector）は、可能性のあるＤｏＳ攻撃（アタック：attack）が進行中であるとき
信号を発生する。さらに、未決のＳＹＮ要求およびＩＣＭＰエコー要求パケット
のトラックを保持する（キープする）ことは、可能性のあるＤｏＳ攻撃（アタッ
ク）を検出する他の方法である。
【０１４５】 本発明によるネットワーク・モニタは、変化を指定（特定：specifying）する
ネットワーク管理者なしに、増加したネットワーク活動（動作）が標準（一般水
準、平均）になったときを自覚する（示す、悟る）ことができるように自己学習
する。 - ｅ−メール中の規則正しい表現（表示：expression）サーチ（ＳＭＴＰ／Ｐ
ＯＰ分析）、ウエブ・ページ（web pages）（ＨＴＴＰ分析）、および他のアプ
リケーション・レベルのメッセージ（例えば、ＦＴＢ、ＴＥＬＮＥＴ）。 - 外部侵入検出システム（external Intrusion Detection Systems）との共同
作業性（interoperability）
【０１４６】 以上、或る特定の実施形態を参照して例示し説明したが、本発明は、示した詳
細に限定しようとするものではない。むしろ、請求の範囲の範囲および均等手段
の範囲内で本発明の精神から逸脱することなくその詳細について種々の変形を行
うことができる。
【図面の簡単な説明】
【図１】 図１は、通信回線に結合された本発明によるネットワーク・モニタを示してい
る。
【図２】 図２は、典型例のプロトコル階層を例示している。
【図３】 図３は、本発明による典型例のネットワーク・モニタのブロック図である。
【図４】 図４は、本発明による通信回線をモニタする典型例の方法を例示するフローチ
ャートである。
【図５】 図５は、本発明によるネットワーク・モニタのデータ収集および分析方法の多
数の順列配置である。
【図６】 図６は、障害サーバを識別する方法を例示するフローチャートである。
【図７】 図７は ネットワークにおける別々の２つの通信回線に結合された本発明によ
るネットワーク・モニタを用いたネットワークを示している。
【図８】 図８は、伝送遅延を求める方法を例示するフローチャートである。
【図９】 図９Ａは、インタフェース・コンピュータに同期させるホスト・コンピュータ
の動作を例示するフローチャートである。図９Ｂは、ホスト・コンピュータに同
期させるインタフェース・コンピュータの動作を例示するフローチャートである
。
【図１０】 図１０は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図１１】 図１１は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図１２】 図１２は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図１３】 図１３は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図１４】 図１４は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図１５】 図１５は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図１６】 図１６は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図１７】 図１７は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図１８】 図１８は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図１９】 図１９は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図２０】 図２０は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図２１】 図２１は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図２２】 図２２は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図２３】 図２３は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図２４】 図２４は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図２５】 図２５は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図２６】 図２６は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図２７】 図２７は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図２８】 図２８は、モニタ・パラメータを受信するユーザ・インタフェースを例示し、
および通信分析情報を表示し提供する方法を例示するスクリーン表示である。
【図２９】 図２９は、本発明の典型的な実施形態による典型的ネットワーク・モニタ・シ
ステムを示している。
【図３０】 図３０は、分配形ネットワーク・モニタ・システムを例示するブロック図であ
る。
【図３１】 図３１は、階層的ネットワーク・モニタ・システムの中央集中化された管理用
のユーザ・インタフェースを示すスクリーン・ディスプレイである。
【図３２】 図３２は、本発明の典型的な実施形態によるネットワーク・モニタのブロック
図である。
───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ，ＴＲ)，ＯＡ(ＢＦ ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ， ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，Ｇ Ｍ，ＫＥ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ， ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ， ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，Ｂ Ｚ，ＣＡ，ＣＨ，ＣＮ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ ，ＤＭ，ＤＺ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ， ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，Ｊ Ｐ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ，ＭＧ，ＭＫ， ＭＮ，ＭＷ，ＭＸ，ＭＺ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，Ｒ Ｏ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ，ＵＳ，ＵＺ， ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者 パラーグ プルーシ アメリカ合衆国 ニユージヤージー州 08816 イースト・ブランズウイツク マ ーロー・ロード 18 Ｆターム(参考） 5B085 AC11 AC14 AE29 5K030 GA11 GA15 HC01 HC13 HD03 MA04 MC07 MC08

Claims (18)

    【特許請求の範囲】
  1. 【請求項１】 （ａ）通信回線からデータを受信するステップと、 （ｂ）上記データをパケットに分離するステップと、 （ｃ）パケットを各特性に基づいて選択するステップと、 （ｄ）選択されたパケットを複数のデータ処理ユニットのうちの１つに供給す
    るステップと、 を含む、通信回線上のデータを処理する方法。
  2. 【請求項２】 ステップ（ｃ）は、セッションに対応するパケットを選択す
    ることを含む、請求項１に記載の方法。
  3. 【請求項３】 ステップ（ｃ）は、ソース・アドレス、宛先アドレス、自立
    システム、ソース・ポート、宛先ポート、およびネットワーク識別子および１対
    のホストの少なくとも１つに基づいてパケットを選択することを含む、請求項１
    に記載の方法。
  4. 【請求項４】 ステップ（ｄ）は、選択されたパケットを、複数の侵入発見
    装置のうちの１つに供給することを含む、請求項２に記載の方法。
  5. 【請求項５】 ステップ（ｄ）の前にさらに選択されたパケットを暗号化す
    るステップを含む、請求項１に記載の方法。
  6. 【請求項６】 ステップ（ｃ）は、各タイプに基づいてパケットを選択する
    ことを含む、請求項１に記載の方法。
  7. 【請求項７】 さらに、分離されたパケットをストアするステップを含み、
    またステップ（ｃ）は、ストアされたパケットを各特性に基づいて選択すること
    を含む、請求項１に記載の方法。
  8. 【請求項８】 ステップ（ａ）は、第１のプロトコルの下でデータを受信す
    ることを含み、ステップ（ｄ）は選択されたパケットを、上記第１のプロトコル
    とは異なる第２のプロトコルの下で供給することを含む、請求項１に記載の方法
    。
  9. 【請求項９】 （ａ）通信回線からデータを受信するステップと、 （ｂ）上記データをパケットに分離するステップと、 （ｃ）パケットを各特性に基づいて選択するステップと、 （ｄ）選択されたパケットに対応する統計値を発生するステップと、 （ｅ）上記統計値の履歴値に基づいて閾値を発生するステップと、 （ｆ）統計値が閾値を超過すると警報信号を発生するステップと、 を含む、通信回線上のデータを処理する方法。
  10. 【請求項１０】 統計値は、１つのソース・アドレスから受信された異なる
    ユーザのパケットの数に対応する、請求項９に記載の方法。
  11. 【請求項１１】 統計値はキー・ファイルを修正するために受信されたパケ
    ットの数に対応する、請求項９に記載の方法。
  12. 【請求項１２】 統計値は、共通ソースまたは宛先アドレスに関連するホス
    ト・ペア接続の数に対応する、請求項９に記載の方法。
  13. 【請求項１３】 統計値は、ホスト・ペアに対応するパケット・レートに対
    応する、請求項９に記載の方法。
  14. 【請求項１４】 統計値は、ホストに対応する個々のセッションに対応する
    、請求項９に記載の方法。
  15. 【請求項１５】 統計値は、所定の時間周期にわたる通信回線の利用に対応
    する、請求項９に記載の方法。
  16. 【請求項１６】 統計値は、無効ソースまたは宛先アドレスの数に対応する
    、請求項９に記載の方法。
  17. 【請求項１７】 各通信回線からのデータを受信するように結合された複数
    のネットワーク・モニタと、 複数のネットワークモニタの各々に結合されていて、受信データの少なくとも
    １つと、複数のネットワーク・モニタの少なくとも１つからの受信データに対応
    する統計値を受信する管理モジュールと、 を含むネットワーク上の通信をモニタするシステム。
  18. 【請求項１８】 （ａ）第１の通信回線からデータを受信するステップと、 （ｂ）上記第１の通信回線からのデータをパケットに分離するステップと、 （ｃ）第２の通信回線からのデータを受信するステップと、 （ｄ）上記第２の通信回線からのデータをパケットに分離するステップと、 （ｅ）第１の通信回線からの選択されたパケットの少なくとも１つと、上記第
    １の通信回線からの選択されたパケットに対応する統計値を中央管理モジュール
    に供給するステップと、 （ｆ）第２の通信回線からの選択されたパケットの少なくとも１つと、上記第
    ２の通信回線からの選択されたパケットに対応する統計値を中央管理モジュール
    に供給するステップと、 を含む、ネットワーク上の伝送されたデータを収集し、分析する方法。
JP2001585059A 2000-05-12 2001-05-12 ネットワーク用のセキュリティ・カメラ Pending JP2003533925A (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US20365200P 2000-05-12 2000-05-12
US60/203,652 2000-05-12
PCT/US2001/015601 WO2001088731A1 (en) 2000-05-12 2001-05-12 Security camera for a network

Publications (2)

Publication Number Publication Date
JP2003533925A true JP2003533925A (ja) 2003-11-11
JP2003533925A5 JP2003533925A5 (ja) 2008-07-10

Family

ID=22754787

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2001585059A Pending JP2003533925A (ja) 2000-05-12 2001-05-12 ネットワーク用のセキュリティ・カメラ

Country Status (10)

Country Link
US (1) US8275875B2 (ja)
EP (2) EP2018018B1 (ja)
JP (1) JP2003533925A (ja)
AT (2) ATE406615T1 (ja)
AU (1) AU2001263127A1 (ja)
DE (2) DE60135550D1 (ja)
DK (1) DK1297440T3 (ja)
ES (1) ES2313959T3 (ja)
SG (1) SG143052A1 (ja)
WO (1) WO2001088731A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100442702C (zh) * 2005-01-05 2008-12-10 华为技术有限公司 实现调制解调器信号故障分析的方法及装置
US8020205B2 (en) 2004-02-02 2011-09-13 Cyber Solutions Inc. Unauthorized information detection system and unauthorized attack source search system
JP2015019372A (ja) * 2013-07-09 2015-01-29 テクトロニクス・インコーポレイテッドＴｅｋｔｒｏｎｉｘ，Ｉｎｃ． データ分析システム及び方法
WO2021085455A1 (ja) * 2019-11-01 2021-05-06 日本電気株式会社 データ集計装置、データ集計方法、及びプログラム

Families Citing this family (60)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7080160B2 (en) * 2000-04-27 2006-07-18 Qosmetrics, Inc. Method for creating accurate time-stamped frames sent between computers via a network
US7325029B1 (en) * 2000-08-08 2008-01-29 Chang Ifay F Methods for enabling e-commerce voice communication
GB2386531B (en) * 2000-11-29 2005-07-06 Unilogic Inc Method of facilitating operations on data
US8255791B2 (en) 2000-11-29 2012-08-28 Dov Koren Collaborative, flexible, interactive real-time displays
US7058843B2 (en) * 2001-01-16 2006-06-06 Infonet Services Corporation Method and apparatus for computer network analysis
US7451110B2 (en) * 2001-05-18 2008-11-11 Network Resonance, Inc. System, method and computer program product for providing an efficient trading market
US7124299B2 (en) * 2001-05-18 2006-10-17 Claymore Systems, Inc. System, method and computer program product for auditing XML messages in a network-based message stream
US7936693B2 (en) * 2001-05-18 2011-05-03 Network Resonance, Inc. System, method and computer program product for providing an IP datalink multiplexer
US7464154B2 (en) * 2001-05-18 2008-12-09 Network Resonance, Inc. System, method and computer program product for analyzing data from network-based structured message stream
US6874089B2 (en) * 2002-02-25 2005-03-29 Network Resonance, Inc. System, method and computer program product for guaranteeing electronic transactions
US7769997B2 (en) * 2002-02-25 2010-08-03 Network Resonance, Inc. System, method and computer program product for guaranteeing electronic transactions
TWI244297B (en) * 2002-06-12 2005-11-21 Thomson Licensing Sa Apparatus and method adapted to communicate via a network
US7716737B2 (en) * 2002-11-04 2010-05-11 Riverbed Technology, Inc. Connection based detection of scanning attacks
JP2006506842A (ja) 2002-11-13 2006-02-23 ケイティーフリーテル シーオー リミテッド 移動通信網でのパケットデータ分析装置及びその方法
US7263553B2 (en) * 2003-04-11 2007-08-28 Alcatel Network manager SNMP trap suppression
US7602725B2 (en) * 2003-07-11 2009-10-13 Computer Associates Think, Inc. System and method for aggregating real-time and historical data
US7817567B2 (en) * 2003-07-28 2010-10-19 Jds Uniphase Corporation Troubleshooting a specific voice over internet protocol (VOIP) telephone call transmitted over a communications network
US8127356B2 (en) * 2003-08-27 2012-02-28 International Business Machines Corporation System, method and program product for detecting unknown computer attacks
US7698730B2 (en) * 2004-03-16 2010-04-13 Riverbed Technology, Inc. Service detection
DK1736016T3 (en) 2004-04-14 2015-09-28 Mbalance Res B V Process for the prevention of delivery of spam via sms
WO2005119476A2 (en) * 2004-05-19 2005-12-15 Wurld Media, Inc. Routing of digital content in a peer-to-peer dynamic connection structure
US7672003B2 (en) * 2004-09-01 2010-03-02 Eric Morgan Dowling Network scanner for global document creation, transmission and management
US7603460B2 (en) * 2004-09-24 2009-10-13 Microsoft Corporation Detecting and diagnosing performance problems in a wireless network through neighbor collaboration
EP1667360A1 (en) * 2004-12-06 2006-06-07 BMC Software, Inc. Generic discovery for computer networks
US20060230450A1 (en) * 2005-03-31 2006-10-12 Tian Bu Methods and devices for defending a 3G wireless network against a signaling attack
US7774849B2 (en) * 2005-04-15 2010-08-10 Tekelec Methods, systems, and computer program products for detecting and mitigating denial of service attacks in a telecommunications signaling network
US7704347B2 (en) * 2005-05-27 2010-04-27 Prairie Packaging, Inc. Reinforced plastic foam cup, method of and apparatus for manufacturing same
US7552841B2 (en) * 2005-05-27 2009-06-30 Prairie Packaging, Inc. Reinforced plastic foam cup, method of and apparatus for manufacturing same
US7536767B2 (en) * 2005-05-27 2009-05-26 Prairie Packaging, Inc. Method of manufacturing a reinforced plastic foam cup
US7818866B2 (en) 2005-05-27 2010-10-26 Prairie Packaging, Inc. Method of reinforcing a plastic foam cup
US7814647B2 (en) * 2005-05-27 2010-10-19 Prairie Packaging, Inc. Reinforced plastic foam cup, method of and apparatus for manufacturing same
US7694843B2 (en) * 2005-05-27 2010-04-13 Prairie Packaging, Inc. Reinforced plastic foam cup, method of and apparatus for manufacturing same
US20070033641A1 (en) * 2005-07-07 2007-02-08 Acenet Technology Inc. Distributed Network Security System
US8965334B2 (en) * 2005-12-19 2015-02-24 Alcatel Lucent Methods and devices for defending a 3G wireless network against malicious attacks
EP1871038B1 (en) * 2006-06-23 2010-06-02 Nippon Office Automation Co., Ltd. Network protocol and session analyser
DE102006035834A1 (de) * 2006-08-01 2008-02-07 Nokia Siemens Networks Gmbh & Co.Kg Analyseeinheit für ein paketvermittelndes Kommunikationsnetz
WO2008124947A1 (en) * 2007-04-16 2008-10-23 Neuralitic Systems A method and system for filtering ip traffic in mobile ip networks
US20090006252A1 (en) * 2007-06-29 2009-01-01 Ebay Inc. Billing data report system
US7839268B2 (en) * 2007-08-22 2010-11-23 International Business Machines Corporation Method, system and program product for tonal audio-based monitoring of network alarms
KR101397012B1 (ko) * 2007-11-20 2014-06-27 엘지전자 주식회사 단말기 및 단말기의 데이터 통신을 위한 서비스 설정 방법
US8949257B2 (en) * 2008-02-01 2015-02-03 Mandiant, Llc Method and system for collecting and organizing data corresponding to an event
GB2503128B8 (en) * 2008-10-09 2014-03-12 Sonicwall Inc Computer networks
US8553582B1 (en) * 2009-01-08 2013-10-08 Marvell Israel (M.I.S.L) Ltd. Traffic spraying in a chassis-based network switch
US8828170B2 (en) 2010-03-04 2014-09-09 Pactiv LLC Apparatus and method for manufacturing reinforced containers
US9350616B1 (en) * 2010-05-11 2016-05-24 Trend Micro Inc. Bandwidth prediction using a past available bandwidth value and a slope calculated from past available bandwidth values
US8789176B1 (en) * 2011-03-07 2014-07-22 Amazon Technologies, Inc. Detecting scans using a bloom counter
US9172659B1 (en) 2011-07-12 2015-10-27 Marvell Israel (M.I.S.L.) Ltd. Network traffic routing in a modular switching device
GB2499237A (en) * 2012-02-10 2013-08-14 Ibm Managing a network connection for use by a plurality of application program processes
EP2696322B1 (en) * 2012-08-10 2018-12-05 Zhilabs S.L. Action triggering based on Subscriber Profile
CA2920122A1 (en) * 2013-08-08 2015-02-12 Ricoh Company, Limited Program, communication quality estimation method, information processing apparatus, communication quality estimation system, and storage medium
US10148669B2 (en) * 2014-05-07 2018-12-04 Dell Products, L.P. Out-of-band encryption key management system
US9608879B2 (en) 2014-12-02 2017-03-28 At&T Intellectual Property I, L.P. Methods and apparatus to collect call packets in a communications network
ES2580304B1 (es) * 2015-02-19 2017-07-12 Endesa Generación, S.A. Sistema de inspección y diagnóstico de infraestructuras yprocedimiento asociado
US10693724B1 (en) * 2015-02-25 2020-06-23 Amazon Technologies, Inc. Context-sensitive techniques for optimizing network connectivity
US10440035B2 (en) * 2015-12-01 2019-10-08 Cisco Technology, Inc. Identifying malicious communication channels in network traffic by generating data based on adaptive sampling
US10904150B1 (en) 2016-02-02 2021-01-26 Marvell Israel (M.I.S.L) Ltd. Distributed dynamic load balancing in network systems
US10218986B2 (en) * 2016-09-26 2019-02-26 Google Llc Frame accurate splicing
CN107087006B (zh) * 2017-05-24 2019-08-16 全讯汇聚网络科技（北京）有限公司 一种协议分流方法、系统及服务器
WO2019211650A1 (en) * 2018-05-02 2019-11-07 Pratik Sharma Cloud data segregator
JPWO2022059328A1 (ja) * 2020-09-17 2022-03-24

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5991881A (en) * 1996-11-08 1999-11-23 Harris Corporation Network surveillance system

Family Cites Families (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2830270B2 (ja) 1990-01-17 1998-12-02 日本電気株式会社 Ｌａｎモニタ回路
JP3315404B2 (ja) 1990-09-28 2002-08-19 ヒューレット・パッカード・カンパニー ネットワークのトポロジ的特徴を探知する方法
EP0477448B1 (en) 1990-09-28 1995-07-12 Hewlett-Packard Company Network monitoring device and system
GB2261799B (en) 1991-11-23 1995-04-19 Dowty Communications Ltd Packet transmission system
JPH05227218A (ja) 1992-02-10 1993-09-03 Nec Corp パケット交換網の伝播遅延測定システム
JP3212040B2 (ja) 1992-03-23 2001-09-25 株式会社荏原製作所 遠心送風機
US5483468A (en) 1992-10-23 1996-01-09 International Business Machines Corporation System and method for concurrent recording and displaying of system performance data
JPH07321783A (ja) 1994-05-25 1995-12-08 Fuji Xerox Co Ltd ネットワーク監視装置
US5615323A (en) 1994-11-04 1997-03-25 Concord Communications, Inc. Displaying resource performance and utilization information
US5570346A (en) 1994-12-08 1996-10-29 Lucent Technologies Inc. Packet network transit delay measurement system
US6044400A (en) * 1995-03-25 2000-03-28 Lucent Technologies Inc. Switch monitoring system having a data collection device using filters in parallel orientation and filter counter for counting combination of filtered events
US5521907A (en) 1995-04-25 1996-05-28 Visual Networks, Inc. Method and apparatus for non-intrusive measurement of round trip delay in communications networks
GB2300789B (en) 1995-05-12 2000-04-05 Gen Datacomm Adv Res Data network
US5790605A (en) 1995-07-28 1998-08-04 Motorola, Inc. Method for determining voting windows in a diversity repeater
JPH0946391A (ja) 1995-08-01 1997-02-14 Nippon Telegr & Teleph Corp <Ntt> データパケットへのタイムスタンプ付加方法
US5781449A (en) * 1995-08-10 1998-07-14 Advanced System Technologies, Inc. Response time measurement apparatus and method
US5878420A (en) 1995-08-31 1999-03-02 Compuware Corporation Network monitoring and management system
US5812528A (en) 1995-11-17 1998-09-22 Telecommunications Techniques Corporation Measuring round trip time in ATM network virtual connections
US5761191A (en) 1995-11-28 1998-06-02 Telecommunications Techniques Corporation Statistics collection for ATM networks
US5905736A (en) 1996-04-22 1999-05-18 At&T Corp Method for the billing of transactions over the internet
US5787253A (en) * 1996-05-28 1998-07-28 The Ag Group Apparatus and method of analyzing internet activity
US5734962A (en) 1996-07-17 1998-03-31 General Electric Company Satellite communications system utilizing parallel concatenated coding
US5850386A (en) * 1996-11-01 1998-12-15 Wandel & Goltermann Technologies, Inc. Protocol analyzer for monitoring digital transmission networks
US5867483A (en) 1996-11-12 1999-02-02 Visual Networks, Inc. Method and apparatus for measurement of peak throughput in packetized data networks
US5796942A (en) 1996-11-21 1998-08-18 Computer Associates International, Inc. Method and apparatus for automated network-wide surveillance and security breach intervention
US6085243A (en) * 1996-12-13 2000-07-04 3Com Corporation Distributed remote management (dRMON) for networks
US6006264A (en) 1997-08-01 1999-12-21 Arrowpoint Communications, Inc. Method and system for directing a flow between a client and a server
US6073089A (en) 1997-10-22 2000-06-06 Baker; Michelle Systems and methods for adaptive profiling, fault detection, and alert generation in a changing environment which is measurable by at least two different measures of state
JP2002521919A (ja) * 1998-07-21 2002-07-16 レイセオン カンパニー 情報セキュリティ解析システム
US6954775B1 (en) * 1999-01-15 2005-10-11 Cisco Technology, Inc. Parallel intrusion detection sensors with load balancing for high speed networks
CN100405784C (zh) 1999-06-30 2008-07-23 倾向探测公司 用于监控网络流量的方法和设备
US6775657B1 (en) * 1999-12-22 2004-08-10 Cisco Technology, Inc. Multilayered intrusion detection system and method
US7429319B2 (en) 2005-07-26 2008-09-30 Rufus Davis Sewage slurry separation system

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5991881A (en) * 1996-11-08 1999-11-23 Harris Corporation Network surveillance system

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8020205B2 (en) 2004-02-02 2011-09-13 Cyber Solutions Inc. Unauthorized information detection system and unauthorized attack source search system
CN100442702C (zh) * 2005-01-05 2008-12-10 华为技术有限公司 实现调制解调器信号故障分析的方法及装置
JP2015019372A (ja) * 2013-07-09 2015-01-29 テクトロニクス・インコーポレイテッドＴｅｋｔｒｏｎｉｘ，Ｉｎｃ． データ分析システム及び方法
WO2021085455A1 (ja) * 2019-11-01 2021-05-06 日本電気株式会社 データ集計装置、データ集計方法、及びプログラム
JPWO2021085455A1 (ja) * 2019-11-01 2021-05-06
JP7294442B2 (ja) 2019-11-01 2023-06-20 日本電気株式会社 データ集計装置、データ集計方法、及びプログラム

Also Published As

Publication number Publication date
AU2001263127A1 (en) 2001-11-26
EP2018018A2 (en) 2009-01-21
DE60144035D1 (de) 2011-03-24
ES2313959T3 (es) 2009-03-16
DE60135550D1 (de) 2008-10-09
DK1297440T3 (da) 2008-12-15
EP2018018A3 (en) 2009-04-08
ATE498270T1 (de) 2011-02-15
EP2018018B1 (en) 2011-02-09
EP1297440A1 (en) 2003-04-02
US20040015582A1 (en) 2004-01-22
EP1297440A4 (en) 2006-10-18
EP1297440B1 (en) 2008-08-27
US8275875B2 (en) 2012-09-25
ATE406615T1 (de) 2008-09-15
SG143052A1 (en) 2008-06-27
WO2001088731A1 (en) 2001-11-22

Similar Documents

Publication Publication Date Title
JP2003533925A (ja) ネットワーク用のセキュリティ・カメラ
US8873410B2 (en) Apparatus and method for collecting and analyzing communications data
EP1367771B1 (en) Passive network monitoring system
US7313141B2 (en) Packet sequence number network monitoring system
EP1999890B1 (en) Automated network congestion and trouble locator and corrector
EP1618706A2 (en) Methods and systems for monitoring network routing
CN115766471B (zh) 一种基于组播流量的网络业务质量分析方法

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20050120

RD02 Notification of acceptance of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7422

Effective date: 20050120

RD04 Notification of resignation of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7424

Effective date: 20050124

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20080512

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20080512

RD03 Notification of appointment of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7423

Effective date: 20080512

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20100622

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20100922

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20100930

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20101221