JP2008072496A - ネットワーク監視システム、通信品質測定システム及び通信品質測定方法 - Google Patents

Abstract

【課題】ネットワークの安定稼動を図るために、複数の監視回線のトラフィック状況を監視し、変化するネットワークの通信状況を的確に把握し、ネットワーク資源の最適化行なうため、通信経路の品質状況を正確に把握することができるようにする。
【解決手段】本発明のネットワーク監視システムは、監視回線上を監視する複数の収集装置と、少なくともタイムスタンプを有する通信データ情報を記憶する手段と、各収集情報に基づいて、少なくとも監視回線のトラフィック情報をアプリケーション別に集計する集計手段と、集計結果に基づいて、あるアプリケーションを用いてデータ通信を行なっている測定対象のデータ通信を決定し、測定対象とするデータ通信について、送信元の送信データのタイムスタンプと送信先の受信データのタイムスタンプの比較に基づいて、アプリケーション別の通信品質を測定する通信品質測定手段とを少なくとも有する。
【選択図】 図１

Description

本発明は、ネットワーク監視システム、通信品質測定システム及び通信品質測定方法に関し、例えば、ネットワークにおけるトラフィック情報を収集して、ネットワーク状況を監視するシステムに適用し得る。

近年、ネットワーク技術の発展に伴い、その重要性が高まり、ネットワークシステムが社会基盤として浸透している。その一方で、高度化・複雑化した新しいウィルスが日々発生しており、ウィルス感染等の脅威がネットワーク障害を引き起こし、その被害はネットワークの規模に応じて大きくなる。そこで、ネットワークにおける異常を検出、監視するシステムが強く望まれている。

従来、ネットワークにおける異常を検出するシステムとして、特許文献１に示す技術がある。

特許文献１には、ネットワーク内に配置された複数の監視対象機器から内部におけるトラフィック流量情報を取得し、正常なトラフィックと、正常でないトラフィックの総量とを比較し、正常でないトラフィックの総量が所定の比率を超えた場合に異常と判定する障害検出装置が記載されている。

特開２００５−７２７２３号公報

複数のネットワーク（監視対象ネットワーク）の通信状況を統合的に監視することは、技術的に困難であり、またそのコストも増大する。

近年のネットワーク技術はさらに複雑化しており、ネットワーク設計時に、管理者が想定していない通信アプリケーションや、リアルタイムアプリケーション（例えば、ＶｏＩＰや映像などのアプリケーション）などの出現と大きく変化している。

従って、ネットワーク管理者は、ネットワークの安定稼動に加え、これら変化するネットワークの状況を把握し、ネットワーク資源の最適化を行なうため、通信経路の品質状況を正確に把握することが求められている。

上述した特許文献１に記載の障害検出装置は、ネットワーク内に複数の監視対象機器を設けることで、ネットワーク内の広範囲に渡って、一括で監視することが可能であるが、正常であるか又は異常であるかの判断は、監視対象機器の内部のトラフィックの総量から判定している。そのため、障害検出装置は遠隔地における異常の有無は把握することができるが、その異常がどのような特性（例えば、特定の端末を対象とした攻撃であるか否か）を持っているか等を個別具体的に把握することはできない。

また、上記の検出方法は、異常の検出方法が本来監視対象機器に流入すべきでない通信トラフィック量のみを扱っているため、経路情報は正常であるが、実際には異常であるトラフィックを検出することができない。

そのため、ネットワークの安定稼動を図るために、複数の監視回線のトラフィック状況を監視し、変化するネットワークの通信状況を的確に把握し、ネットワーク資源の最適化行なうため、通信経路の品質状況を正確に把握することができるネットワーク監視システム、通信品質測定システム及び通信品質測定方法が求められている。

かかる課題を解決するため、第１の本発明のネットワーク監視システムは、（１）１又は複数の監視回線上の通信データを取得し、取得した通信データの通信データ情報に基づいて所定の収集情報を作成する複数の収集手段と、（２）各収集手段が取得した通信データについて、少なくともタイムスタンプを有する通信データ情報を記憶する通信データ情報記憶手段と、（３）各収集手段が作成した上記各収集情報を受け取り、各収集情報に基づいて、少なくとも各監視回線のトラフィック情報をアプリケーション別に集計する集計手段と、（４）集計手段により集計された集計結果に基づいて、あるアプリケーションを用いてデータ通信を行なっている測定対象のデータ通信を決定する測定対象決定手段と、（５）測定対象とするデータ通信について、送信元の送信データの通信データ情報と送信先の受信データの通信データ情報とを、通信データ情報記憶手段から取得し、送信データのタイムスタンプと受信データのタイムスタンプとの比較に基づいて、アプリケーション別の通信品質を測定する通信品質測定手段と、（６）集計手段による集計結果及び通信品質測定手段によるアプリケーション別の通信品質結果を、監視情報として記憶する監視情報記憶手段とを備えることを特徴とする。

第２の本発明の通信品質測定システムは、１又は複数の監視回線上の通信データを取得し、取得した通信データの通信データ情報に基づいて所定の収集情報を作成する複数の収集手段と、各収集手段が作成した各収集情報を受け取り、各収集情報に基づいて、少なくとも各監視回線のトラフィック情報をアプリケーション別に集計する集計手段とを備えるシステムで、アプリケーション別の通信品質を測定する通信品質測定システムにおいて、（１）各収集手段が取得した通信データについて、少なくともタイムスタンプを有する通信データ情報を記憶する通信データ情報記憶手段と、（２）集計手段により集計された集計結果に基づいて、あるアプリケーションを用いてデータ通信を行なっている測定対象のデータ通信を決定する測定対象決定手段と、（３）測定対象とするデータ通信について、送信元の送信データの通信データ情報と送信先の受信データの通信データ情報とを、通信データ情報記憶手段から取得し、送信データのタイムスタンプと受信データのタイムスタンプとの比較に基づいて、アプリケーション別の通信品質を測定する通信品質測定手段とを備えることを特徴とする。

第３の本発明の通信品質測定方法は、１又は複数の監視回線上の通信データを取得し、取得した通信データの通信データ情報に基づいて所定の収集情報を作成する複数の収集手段と、各収集手段が作成した各収集情報を受け取り、各収集情報に基づいて、少なくとも各監視回線のトラフィック情報をアプリケーション別に集計する集計手段とを備えるシステムで、アプリケーション別の通信品質を測定する通信品質測定方法において、（１）通信データ情報記憶手段が、各収集手段が取得した通信データについて、少なくともタイムスタンプを有する通信データ情報を記憶する通信データ情報記憶工程と、（２）測定対象決定手段が、集計手段により集計された集計結果に基づいて、あるアプリケーションを用いてデータ通信を行なっている測定対象のデータ通信を決定する測定対象決定工程と、（３）通信品質測定手段が、測定対象とするデータ通信について、送信元の送信データの通信データ情報と送信先の受信データの通信データ情報とを、通信データ情報記憶手段から取得し、送信データのタイムスタンプと受信データのタイムスタンプとの比較に基づいて、アプリケーション別の通信品質を測定する通信品質測定工程と、を備えることを特徴とする。

本発明のネットワーク監視システム、通信品質測定システム及び通信品質測定方法によれば、ネットワークの安定稼動を図るために、複数の監視回線のトラフィック状況を監視し、変化するネットワークの通信状況を的確に把握し、ネットワーク資源の最適化行なうため、通信経路の品質状況を正確に把握することができる。

（Ａ）第１の実施形態
以下、本発明のネットワーク監視システム、通信品質測定システム及び通信品質測定方法の第１の実施形態について図面を参照して説明する。

第１の実施形態では、本発明のネットワーク監視システム、通信品質測定システム及び通信品質測定方法を、複数の監視回線を監視し、各監視回線の通信状況を把握すると共に、アプリケーション実行に係る通信経路の品質状況を把握するネットワーク監視システムに適用した場合を示す。

（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態のネットワーク監視システムの概略的な構成を示す全体構成図である。

図１において、実施形態のネットワーク監視システム９は、バックボーンネットワーク３と、複数のネットワークＡ、Ｂ及びＣと、転送装置５（５−１〜５−３）と、収集装置２（２−１〜２−３）と、統合管理装置１と、管理者端末４と、を少なくとも有して構成される。なお、ネットワーク、転送装置５、収集装置２の構成数は特に限定されるものではない。

バックボーンネットワーク３は、それぞれの転送装置５−１〜５−３を介して、複数のネットワークＡ〜Ｃと接続するネットワークであり、例えば、企業内ネットワークを構成する広域イーサネット（登録商標）網が該当する。

ネットワークＡ〜Ｃは、各拠点において構築されたネットワークであり、収集装置２−１〜２−３により監視対象となる監視ネットワークである。なお、ネットワークＡ〜Ｃの回線媒体としては、例えば、電気回線や光ファイバ回線などの有線回線や、一部又は全部に無線回線を有するものを適用できる。また、図１では省略しているが、各ネットワークＡ〜Ｃの構成要素としては、複数のユーザ通信端末や、音声通信端末（ソフトフォンを実現する通信端末、携帯電話機等を含む概念）や、ネットワーク機器などを有して構成されるものである。また、ネットワークＡ〜Ｃにおいて、ＯＳＩ基本参照モデルのトランスポート層に対応する層のプロトコルは特に限定されないが、例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰなどを適用できる。

転送装置５−１〜５−３は、バックボーンネットワーク３と各ネットワークＡ〜Ｃとの間のデータ転送を行なう中継装置であり、例えば、スイッチ装置、ルータ等が該当する。

収集装置２−１〜２−３は、監視ネットワークであるネットワークＡ〜Ｃ上を流れる全ての通信データを取得し、全通信データを記憶し、ネットワークＡ〜Ｃのトラフィック量を解析したり、解析したトラフィック量に基づいてトラフィック異常を検出したり、通信データのヘッダ情報に基づいて所定のネットワーク異常を検出したり、通信データのヘッダ情報に基づいて所定内容の統計処理を行ない、その統計データを記憶したりするものである。また、収集装置２−１〜２−３は、定期的に、通信データの解析結果としての統計データ、及び、後述するように、利用量の多いアプリケーションに関する情報を統合管理装置１に与えるものである。これにより、監視ネットワークＡ〜Ｃ上の通信状況に関する解析結果を収集することができると共に、その解析結果を統合管理装置１に与え、統合的に集約したネットワークの分析をさせることができる。なお、図１では１つのネットワークを監視するものとして示しているが、収集装置２は複数のネットワークを監視するものとしても良い。

なお、収集装置２−１〜２−３は、図１では省略しているが、例えば、ＴＡＰ装置や、転送装置５のミラー回線などと接続しており、このＴＡＰ装置や転送装置のミラー回線から、転送装置５が扱う通信データを取得できる。

統合管理装置１は、複数の収集装置２−１〜２−３からの収集情報（統計データ）を取得し、所定の集約方法に従って収集情報（統計データ）を集約するものである。統合管理装置１における統計データの集約方法の詳細は後述するが、統合管理装置１を備えることにより、常時監視回線を監視することができ、その監視結果に基づいて複数の監視ポイントを集計した集計情報を作成させたり、それぞれの監視ポイントの統計情報を作成させたり、監視回線の回線プロトコル毎の集計情報を作成させたり、特定のアプリケーションを利用している通信トラフィックの通信品質の計測や、各収集装置２における時刻調整を行なうことができる。

また、統合管理装置１は、ネットワークＡ〜Ｃに異常が検出された場合に、管理者端末４に対してアラームを通知するアラーム通知機能を有する。

また、統合管理装置１は、管理者端末４からの指示に基いて、監視対象の設定、異常検出の設定など各種分析設定をする設定機能、統合管理装置１から集約情報を取得し、各種設定に従って集約情報を分析し、分析結果を管理者端末４に与える分析機能を有する。これにより、監視対象となる監視回線(ネットワーク)を常時監視することができ、ネットワーク異常が生じた場合だけでなく、正常時のトラフィック解析等をすることができる。

管理者端末４は、ネットワークを管理する管理者が操作する端末であり、統合管理装置１に対して異常検出、ネットワーク監視等に関する設定情報の設定や分析結果の表示などその他各種操作をするための端末である。

次に、統合管理装置１、収集装置２の詳細な機能構成について図面を参照して説明する。以下では、まず、収集装置２（２−１〜２−３）のハードウェア構成及び機能を図２及び図３を参照しながら説明する。

図２は、収集装置２のハードウェア構成を示すブロック図である。また、図３は、収集装置２が実現する機能を示す機能ブロック図である。

図２に示すように、収集装置２は、ＣＰＵ２１、記憶部２２、通信部２３を少なくとも有する。ＣＰＵ２１は、収集装置２における全体の制御機能を司っているものである。記憶部２２は、例えば、ＲＯＭ、ＲＡＭ（ＥＥＰＲＯＭなどの不揮発性の書き込み可能メモリを含む概念である）等により構成されているものである。例えば、ＣＰＵ２１は、ＲＯＭに格納されている固定データやＲＡＭに格納されているテンポラリーデータを用い、ＲＡＭをワーキングメモリとして、ＲＯＭに格納されている処理プログラムを実行することにより、収集装置２の機能を制御する。また、通信部２３は、所定の通信プロトコルに従って、統合管理装置１との間の情報の送受信と転送装置５からの情報の受信するものである。

図３において、この実施形態の収集装置２が実現する主な機能部としては、通信データ収集機能部２２１、データ保存管理機能部２２３、異常検出機能部２２４、一時蓄積機能部２２５、通信データ記憶部２２６、詳細データ記憶部２２７、一時蓄積データ記憶部２２８、を少なくとも有する。

通信データ収集機能部２２１は、監視回線（ネットワーク）を流れる通信データを全て取得し、全ての通信データ情報を通信データ記憶部２２６に記憶し、記憶した通信データに含まれているヘッダ情報に基づいてトラフィックフローの統計解析を行なうものである。また、通信データ収集機能部２２１は、通信データ記憶部２２６に記憶されている通信データの下層レイヤ情報（例えば、ＯＳＩ基本参照モデルの第２層や第３層の情報）であって、少なくとも送信元又は送信先において付されたタイムスタンプ（日時情報）を有するデータを詳細データとして詳細データ記憶部２２７に記憶するものである。

ここで、通信データ収集機能部２２１は、トラフィックフローの統計データを、所定時間毎（例えば、１分等）で作成するものである。また、通信データ収集機能部２２１は、通信データのヘッダ情報に基づいて、アプリケーションプロトコルの判別、送信元の判別、送信先の判別、パケット長の判別、ＴＣＰフラグの判別などを行なう。そして、通信データ収集機能部２２１は、上記所定時間内において、アプリケーション別に、トラフィック量（パケット数やパケット量）や、アプリケーションプロトコルがＴＣＰである場合にはＴＣＰフラグ情報や、パケット長別の分布情報等の統計データを作成し、記憶する。これにより、アプリケーション別のトラフィック量情報を計測することができるので、ネットワーク状況をアプリケーション別で正確に把握することができる。

また、通信データ収集機能部２２１は、所定のトラフィックフローの統計データを統合管理装置１に通知するが、この実施形態においては、特に、アプリケーション別のトラフィック量情報、特定のＴＣＰフラグ情報、パケット長分布情報の統計データと共に、利用量が多いアプリケーション（上位アプリケーション情報）を統合管理装置１に通知するものである。

この上位アプリケーション情報は、アプリケーション別のトラフィック情報に基づいて、パケット数又はパケット量が多いものから所定順位までのアプリケーションとしたり、また、アプリケーション別のパケット数又はパケット量が所定閾値を超えたアプリケーションとしたりすることができる。

さらに、通信データ収集機能部２２１は、統合管理装置１から指定された宛先（例えばあるアプリケーションを利用して通信している相手先ネットワーク）の通信データ情報を詳細データ記憶部２２７から検索し、タイムスタンプ（日時情報）を有する詳細データを、統合管理装置１に送信するものである。

データ保存管理機能部２２３は、通信データ記憶部２２６の記憶容量を監視し、所定の記憶量を超えると、古いデータから削除するものである。これにより、全ての通信データを取得するために、過大な記憶容量の記憶装置を用意することなく、通信データを記憶することができる。また、データ保存管理機能部２２３は、通信データ記憶部２２６に記憶されている通信データの詳細データを詳細データ記憶部２２７に記憶させるものである。

異常検出機能部２２４は、通信データ記憶部２２６に記憶されている通信データに基づいて、特定の送信先への通信量や、特定の送信元からの通信量や、送信先や送信元に関係なくポート種別毎の通信量を監視し、それぞれの通信量が、それぞれの設定された閾値を超えた場合にトラフィック異常を検出する機能である。これにより、例えば、いわゆるＰｏｒｔＳｃａｎやいわゆるＩＰスイープやポート種別毎のトラフィック異常を判定できる。また、異常検出機能部２２４が異常を検出すると、検出した異常に関する異常検出情報を統合管理装置１に対し通知する。このとき、異常検出情報としては、例えば、収集装置２の識別情報、監視ネットワークの識別情報、閾値条件（例えば、アプリケーションプロトコル名や閾値の値や単位など）、異常時のトラフィック量、検知時刻などとする。また、異常検出情報の通知方法としては、例えば、メール通知やＳＮＭＰＴＲＡＰ通知や任意のコマンド通知などを適用することができる。

一時蓄積機能部２２５は、異常検出機能部２２４により異常が検出されると、異常検出時の通信データ情報を一時的に蓄積するものである。これにより、異常検出時の通信データ情報を別に保存することができる。一時蓄積機能部２２５は、例えば、異常検出時の通信データにハードリンク等を設置することで実現することができ、また所定の保存期間後に保存した通信データを消去する。なお、異常に関連する通信データ情報については、例えば、その情報にフラグを付け、保存期間が経過しても消去できないようにしても良い。このように、蓄積機能部２２５は、いわゆるスナップショット機能として、集約の効率化を図るためのものであり、収集情報の転送軽減ができれば分散配置しても良い。

通信データ記憶部２２６は、データ保存管理機能部２２３の管理の下、通信データ収集機能部２２１が取得した全ての通信データを記憶するものである。詳細データ記憶部２２７は、通信データ収集機能部２２１が解析した、各アプリケーション別のトラフィック量情報、特定のＴＣＰフラグ情報、パケット長分布情報を記憶するものである。一時蓄積データ記憶部２２８は、一時蓄積機能部２２５の指示の下、異常検出時の通信データ情報を一時的に記憶するものである。

次に、統合管理装置１のハードウェア構成及び機能を図面を参照しながら説明する。図４は、統合管理装置１のハードウェア構成を示すブロック図である。また、図５は、統合管理装置１が実現する機能を示す機能ブロック図である。

図４に示すように、統合管理装置１は、ＣＰＵ１１、記憶部１２、通信部１３を少なくとも有する。ＣＰＵ１１は、統合管理装置１における全体の制御機能を司っているものである。記憶部１２は、例えば、ＲＯＭ、ＲＡＭ（ＥＥＰＲＯＭなどの不揮発性の書き込み可能メモリを含む概念である）等により構成されているものである。例えば、ＣＰＵ１１は、ＲＯＭに格納されている固定データやＲＡＭに格納されているテンポラリーデータを用い、ＲＡＭをワーキングメモリとして、ＲＯＭに格納されている処理プログラムを実行することにより、統合管理装置１の機能を制御する。また、通信部１３は、所定の通信プロトコルに従って、収集装置２と情報を送受信するものである。

図５において、この実施形態の統合管理装置１が実現する主な機能は、統計データ収集機能部１２１、統計データ集約機能部１２２、通信品質測定機能部１２３、統計データ読込機能部１２４、出力機能部１２５、異常検出機能部１２７、統計データ記憶部１２８、集約データ記憶部１２９、を少なくとも有する。

統計データ収集機能部１２１は、各収集装置２からの統計データを取得し、取得した統計データを統計データ記憶部１２８に与えて記憶するものである。統計データ収集機能部１２１は、取得した統計データを、各収集装置２毎に記憶させたり又は各監視ネットワークＡ〜Ｃ毎に記憶させたりする。

ここで、統計データは、各収集装置１において解析したトラフィックフローの解析データであり、すなわち、アプリケーション別のトラフィック情報（パケット数やパケット量）や、送信先別のトラフィック情報（パケット数やパケット量）や、送信元別のトラフィック情報（パケット数やパケット量）である。また、アプリケーション別に解析したアプリケーション別のトラフィック量情報（パケット数やパケット量）や、特定ＴＣＰフラグ情報や、パケット長分布情報（パケット長別のパケット量やパケット数）や、上位アプリケーション情報も含む。

統計データ集約機能部１２２は、統計データ記憶部１２８に記憶されている統計データに基づいて、所定の集約方法に従って所定の集約データを作成し、作成した集約データを集約データ記憶部１２９に記憶するものである。

ここで、統計データ集約機能部１２２における集約データの集約方法としては、例えば、物理的な観点から集約する方法、論理的な観点から集約する方法、時間的な観点から集約する方法、若しくは、これら上記の集約方法を組み合わせた集約方法などがある。

この実施形態では、統計データ集約機能部１２２は、少なくとも、後述する物理的集約方法である監視回線のプロトコル毎の集約方法を適用して、アプリケーションプロトコル毎のトラフィック情報を集計するものとする。

これにより、統計データ集約機能部１２２は、各収集装置２による統計データを集計して、アプリケーションプロトコル毎のトラフィック量情報（パケット数やパケット量）、ＴＣＰフラグ別のパケット数又はパケット量情報、パケット長別のトラフィック情報（パケット長別のパケット量やパケット数）を得ることができる。

また、統計データ集約機能部１２２は、上記集計データに基づいて、利用量の多いアプリケーションが、どのアプリケーションであるかを判別する。このとき、各収集装置２が得た利用量上位アプリケーションに関する情報も集約データ記憶部１２９に記憶させ、利用量の多いアプリケーションの判別に寄与される。

物理的な観点からの集約方法は、例えば、（ａ）監視回線毎の集約、（ｂ）監視回線が採用するプロトコル毎の集約、（ｃ）特定接続先の複数の監視回線毎の集約、（ｄ）接続先全ての監視回線毎の集約などのように物理的に有形なものを集約の対象とし、統計データを集約する方法をいう。

（ａ）監視回線毎の集約は、監視対象であるネットワークＡ〜Ｃ毎に統計データを集約する方法であり、例えば、収集装置２からの統計データに当該収集装置２が監視したネットワークの識別情報を含ませるようにし、そのネットワーク識別情報に基づいてネットワーク別の統計データを識別し、各ネットワークＡ〜Ｃ毎に統計データを集計（例えば、パケット数の集計、帯域（データ量）の集計等）することでき実現できる。これにより、例えば、光回線と電気回線等のように媒体が異なるネットワークを監視する収集装置２と、各ネットワーク上の設置ロケーションの異なる収集装置２からの統計データであっても、各ネットワーク毎の集約データを集計することができ、回線媒体の違いによるトラフィック量の差分や物理的に離れているネットワークのトラフィック量を集計することができる。

（ｂ）監視回線プロトコル毎の集約は、例えば、ＴＣＰ／ＩＰ、ＡＴＭ、ＯＣ３、ＳＯＮＥＴなどそれぞれ監視回線プロトコルが異なる収集装置２をグループ化し、各プロトコルの違いによるトラフィック量の差分や同一プロトコルのトラフィック量の集約を集計するものである。これにより、アプリケーションプロトコル毎のトラフィック量の違いを示すことができる。

（ｃ）特定接続先の複数の監視回線毎の集約は、例えば、ある特定の送信先（宛先）に対する通信があった複数の監視回線のトラフィック量を集計するものである。これにより、ある特定の送信先に対する通信を監視することができる。

（ｄ）接続先全ての監視回線毎の集約は、例えば、同一の送信元から全接続先に対する回線６をグループ化し、その同一の送信元からのトラフィック量を集計するものである。これにより、ある特定の送信元からの通信を監視することができる。

論理的な観点からの集約方法は、例えば、（ｅ）特定の送受信先の通信毎の集約、（ｆ）セキュリティ攻撃に使用される特殊なデータ毎の集約などのように論理的なものを集約の対象として、統計データを集約する方法をいう。

（ｅ）特定送受信先通信毎の集約は、特定の宛先への通信、若しくは特定の発信元からの通信の統計データを集約する。

（ｆ）特殊データのみの集約は、セキュリティ攻撃に使用される特殊な攻撃用パケットデータ（例えば、Ｓｙｎパケットや、属性の誤ったパケット等）の統計データを集約する。

時間的な観点からの集約方法は、（ｇ）例えば、分、時、日、月などの時間間隔で収集情報を集約する方法をいう。例えば、５分毎、１時間毎、１日毎、１週間毎、１ヶ月毎の集約情報を作成できる。

通信品質測定機能部１２３は、アプリケーションプロトコル別の通信品質を測定するものである。通信品質測定機能部１２３による通信品質の測定方法の詳細については、後述する動作の項で説明するが、通信品質の測定対象は、各収集装置２から受信した各ネットワークＡ〜Ｃにおいて利用量が多いとされる上位アプリケーション情報とする。

また、通信品質測定機能部１２３は、アプリケーションプロトコルを利用した通信の遅延時間を計測すると共に、各収集装置２間の時刻調整を行なうものである。これら通信品質測定機能部１２３による遅延時間の計測方法及び各収集装置２間の時刻調整方法の詳細については、後述する動作の項で説明する。

なお、通信品質測定機能部１２３は、測定したアプリケーションプロトコル別の通信品質や、アプリケーションプロトコルを利用した通信の遅延時間を、集約データ記憶部１２９に記憶し、これらのデータも出力表示データとすることができる。

統計データ読込機能部１２４は、集約データ記憶部１２９に記憶されている集約データの中から、例えば、所定のアプリケーションプロトコルに関する集約データや、利用量の多いアプリケーションプロトコルに関する集約データ等を読み込み、出力機能部１２５に与えるものである。

出力機能部１２５は、統計データ読込機能部１２４により読み込まれたデータを受け取り、管理者端末４において表示される表示画面データを形成し、管理者端末４に向けて出力するものである。なお、表示画面データとしては、例えばテキスト形式データ、グラフデータ、ＸＭＬ形式データ等を用いることができる。

異常検出機能部１２７は、集約データ記憶部１２９に記憶されている集約データに基づいて、例えば、ｐｐｓやｂｐｓで表わされるトラフィックの流量や、単位時間当たりのスキャン数及び又はスイープホスト数などが閾値を超過していないか、通常と大きく乖離していないか判断し、通知データの異常の度合いを数値化（例えば、％表示）し、異常が検出された場合に、各収集装置２の設定ファイルを配布し、特定の送受信先のデータを監視する設定や、グループ化範囲の設定、閾値の更新などを実施するものである。この設定値は、各収集装置２に反映され、新たな設定での監視を継続することができる。

統計データ記憶部１２８は、各収集装置１２１からの統計データを記憶するものであり、集約データ記憶部１２９は、統計データ集約機能部１２２により集約された集約データを記憶するものである。

（Ａ−２）第１の実施形態の動作
次に、この実施形態の統合管理装置１におけるアプリケーションプロトコル別の通信品質の測定動作を図面を参照して説明する。

図６は、この実施形態のアプリケーションプロトコル別の通信品質計測処理を実現するための全体動作の流れを示す概略的なシーケンスである。

図６においては、各収集装置２−１〜２−３は、監視対象であるネットワークＡ〜Ｃを構成する回線上を流れる全ての通信データを取得し、全通信データを解析し、予め設定された所定のトラフィックフローの統計データを統合管理装置１に送信する（Ｓ１０１）。

なお、図６では、説明便宜上、ネットワークＡの収集装置２−１のみが、トラフィックフローの統計データを統合管理装置１に送信する場合を示す。

図７は、Ｓ１０１における各収集装置２−１〜２−３の詳細な処理動作を説明するフローチャートである。

図７において、各収集装置２−１〜２−３の通信データ収集機能部２２１は、監視ネットワークＡ〜Ｃの回線上を流れる全ての通信データを取得する（Ｓ２０１）。全通信データの取得方法としては、例えば、図１では省略するが、ＴＡＰ装置や各転送装置５−１〜５−３のミラー回線を通じて、ネットワークＡ〜Ｃ上に配置された各転送装置５−１〜５−３が扱う通信データを全て取得することにより実現することができる。

通信データ収集機能部２２１により取得された全通信データは、通信データ収集機能部２２１により、通信データのヘッダ情報に基づいて所定のデータ情報が判別され、その判決結果に基づいて所定のトラフィックフローの統計データが作成され、各統計データが通信データ記憶部２２６に記憶される（Ｓ２０２）。

このとき、通信データ収集機能部２２１が判別するデータ内容の設定については、例えば、予め判別するデータ内容を設定するようにしてもよいし、また例えば、管理者端末４及び統合管理装置１を通じてデータ内容を設定・変更等できるようにしても良い。また、ヘッダ情報に基づいて判別するデータ内容としては、例えば、アプリケーションプロトコル、送信元、送信先、ＴＣＰフラグの内容、パケット長などを判別する。

また、通信データ収集機能部２２１が作成する統計データの設定についても、例えば、どのような観点からデータを分類し、どのような統計データを作成するか等の統計分類方法を予め設定しておくようにしてもよいし、また例えば、管理者端末４及び統合管理装置１を通じて設定・変更等できるようにしても良い。作成する統計データの内容としては、例えば、アプリケーション別にデータを集計するものとし、アプリケーション別のパケット数又はパケット量、アプリケーションプロトコルがＴＣＰである場合にはＴＣＰフラグ別のパケット数、パケット長毎の分布、送信元及び送信先などで分別する。

さらに、通信データ収集機能部２２１は、上記の観点からの統計データを所定の通信データ取得時間毎で集計するものとする。例えば、１分間のうちで取得した通信データに基づいてデータ内容の判別処理及び統計処理を行ない、その統計データを取得時間毎に記憶するようにする。

また、通信データ収集機能部２２１により取得された全通信データは、データ保存管理機能部２２３の管理の下、タイムスタンプを有する第２層及び第３層のデータ情報を詳細データとして詳細データ記憶部２２７に記憶される（Ｓ２０３）。これは、データ保存管理機能部２２３の管理化の下、通信データ記憶部２２６に記憶されるデータ情報は所定保存期間後に削除されるから、通信データ情報を保持するために、詳細データを別に記憶する。

通信データ収集機能部２２１により統計データが通信データ記憶部２２６に記憶されると、通信データ収集機能部２２１は、通信データ記憶部２２６に記憶されている統計データに基づいて、アプリケーションプロトコル別のトラフィック情報（パケット数やパケット量）に基づいて、監視ネットワークＡ〜Ｃ上において利用量の多い１又は複数のアプリケーションが判別される（Ｓ２０４）。

そして、通信データ収集機能部２２１により統計処理された統計データと共に、判別された利用量の多い上位アプリケーション情報とが、統合管理装置１に送信される（Ｓ２０５）。

ここで、統合管理装置１に送信される統計データは、所定時間毎に統計した統計データを所定時間おきに送信するものとし、どの監視ネットワークＡ〜Ｃに対応するものであるかを示す識別情報を付与して送信する。また上位アプリケーション情報は、統計データとは別に所定間隔をもって送信するようにしても良く、この場合には、どの統計データに対応する情報であるかを示す識別情報を含ませる。

各収集装置２−１〜２−３からの統計データ及び上位アプリケーション情報が統合管理装置１に向けて送信されると、統計データ及び上位アプリケーション情報は、統合管理装置１の統計データ収集機能部１２１により受信される。

図６では省略しているが、統合管理装置１の統計データ収集機能部１２１は、各収集装置２−１〜２−３との間で、例えば、所定時間毎（例えば、５分毎など）に統計データを要求し、統計データを収集する。

各収集装置２−１〜２−３からの統計データ及び上位アプリケーション情報が統合管理装置１の統計データ収集機能部１２１により収集されると、統合管理装置１は、受信した各収集装置２−１〜２−３からの統計データを統計データ記憶部１２８に記憶し、所定の集約処理を行なう（Ｓ１０２）。

また、統合管理装置１は、各収集装置２−１〜２−３から上位アプリケーション情報を取得すると、集約データ及び各上位アプリケーション情報に基づいて、通信品質の計測対象とするアプリケーションを決定する（Ｓ１０３）。

図８は、統合管理装置１の統計データ集約機能部１２２による統計データの集約処理を示すフローチャートである。

図８において、統計データ集約機能部１２２は、統計データ記憶部１２８に記憶されている統計データを参照して（Ｓ３０１）、物理的な観点、論理的な観点、時間的な観点から、所定の集約方法により集約データを集計し（Ｓ３０２〜Ｓ３０４）、集計した集約データを集約記憶部１２９に記憶する（Ｓ３０５）。

この実施形態では、例えば、統計データ集約機能部１２２は、監視対象の各ネットワークＡ〜Ｃ毎の統計データに基づいて、各ネットワークＡ〜Ｃ毎に所定時間毎（例えば、５分、１時間、１日（２４時間）等）の集約データを作成する。また、統計データ集約機能部１２２は、アプリケーション別にデータを集約するものとし、アプリケーション別のトラフィック量（パケット数又はパケット量）、アプリケーションプロトコルがＴＣＰである場合には特定ＴＣＰフラグ別のパケット数、パケット長別の分布情報、送信先及び送信元についてのデータを作成する。

図９は、統合管理装置１による通信品質の計測対象の決定方法の例を説明するフローチャートである。

図９において、各収集装置２−１〜２−３から上位アプリケーション情報を受け取ると、通信品質測定機能部１２３は、上位アプリケーション情報に基づくネットワーク及びアプリケーションを検索条件として、集約データ記憶部１２９に記憶されているデータの中から対応する集約データを検索し、（Ｓ４０１）、その検索した集計データに基づいて、通信品質の計測対象を決定する（Ｓ４０２）。

ここで、通信品質の計測対象の決定方法の例を図１０を参照して説明する。図１０は、検索した集約データの検索内容を示すイメージ図であり、その検索条件としてのネットワーク及びアプリケーションをネットワークＡ及びＴＣＰとする場合である。図１０では、例えば、音声信号、データ信号、画像信号を分別するため、パケット長に基づいて３段階に分布させ、それぞれの分布において、送信元、送信先、パケット数、ＴＣＰフラグ情報からなる。

例えば、通信品質測定機能部１２３は、３段階に分けたパケット長分布のうちトラフィック量が多いものを選択し（例えば、音声信号、データ信号、画像信号の分布情報のうち音声信号のトラフィック量が他の信号に比べて多いときには音声信号の分布情報を選択し）、更に、その選択したパケット長分布の中でパケット数が多い送信元及び送信先を選択し、この選択した送信元及び送信先に関する通信を計測対象とする。

なお、通信品質の測定対象の決定の際、検索する集約データは、例えば、５分毎に集約したデータであったり、１時間毎に集約したデータであったり、１日における集約データであっても良い。これにより、その時間帯で最も利用量の高いアプリケーションを計測対象としたり、１日の中で最も利用量の高いアプリケーションを計測対象とすることができる。

また、ここでは、１種類のアプリケーションを計測対象とする場合を示すが、１種類以上（例えば、音声信号と画像信号）を計測対象としても良い。

通信品質測定機能部１２３が計測対象のアプリケーションを決定すると、通信品質測定機能部１２３は、その決定した計測対象のアプリケーションの詳細データの送信を、送信元が属すネットワークの収集装置２及び送信先が属すネットワークの収集装置２に対し要求する（Ｓ４０３）。

なお、図６では、送信元が属すネットワークをネットワークＡとし、送信先が属すネットワークをネットワークＣとし、統合管理装置１は、ネットワークＡの収集装置２−１及びネットワークＣの収集装置２−３に対し、同一アプリケーションの詳細データの送信要求をする場合を示す。

統合管理装置１の通信品質測定機能部１２３から詳細データの要求を受けると、ネットワークＡの収集装置２−１及びネットワークＣ２−３の通信データ収集機能部２２１は、統合管理装置１から要求された送信先、送信元及びＴＣＰフラグの通信データの詳細データを、詳細データ記憶部２２７から検索し、検索した詳細データを統合管理装置１に対して送信する（Ｓ１０４、Ｓ１０５）。このとき、詳細データは、送信元又は送信先におけるタイムスタンプを有するものである。

送信元のネットワークＡの収集装置２及び送信先のネットワークＣの収集装置２のそれぞれから、詳細データが統合管理装置１に与えられると、統合管理装置１の通信品質測定機能部１２３は、ネットワークＡの収集装置２からの詳細データ（送信元詳細データ）と、送信先のネットワークＣの収集装置２からの詳細データ（送信先詳細データ）とに基づいて、当該ネットワーク間における当該アプリケーションの通信品質を計測する（Ｓ１０６）。

ここで、統合管理装置１は、図１１のフローチャートに示すように、同一アプリケーションであって、ネットワークＡからネットワークＣへの通信時間と、ネットワークＣからネットワークＡへの通信時間を測定し、さらに時刻を調整し、ネットワークＡとネットワークＣとの間の通信品質を測定する。

図１１は、この実施形態の通信品質測定処理を説明するフローチャートである。

図１１において、まず、統合管理装置１の通信品質測定機能部１２３は、計測対象のアプリケーションであって、送信元のネットワークＡの収集装置２−１から、ネットワークＡからネットワークＣへの通信に係る送信元詳細データを受信すると共に（Ｓ５０１）、送信元詳細データと同一アプリケーションであって、送信先のネットワークＣの収集装置２−３から、ネットワークＣからネットワークＡへの通信に係る送信先詳細データを受信する（Ｓ５０２）。

統合管理装置１の通信品質測定機能部１２３は、収集装置２−１から受信したネットワークＡからネットワークＣへの通信に係る詳細データに含まれているタイムスタンプと、収集装置２−３から受信したネットワークＣからネットワークＡへの通信に係る詳細データに含まれているタイムスタンプとに基づいて、ネットワークＡからネットワークＣへの通信に係る時間を求めると共に（Ｓ５０３）、ネットワークＣからネットワークＡへの通信に係る時間を求める（Ｓ５０４）。

このとき、高トラフィックの環境下で、ネットワーク間の通信品質を求める場合、精密なタイムスタンプと時刻同期システムが必要となる。

しかし、この実施形態では、ネットワークＡからネットワークＣへの通信（例えばこれを上り方向とする）と、ネットワークＣからネットワークＡへの通信（例えばこれを下り方向とする）とみて、これら上り方向と下り方向との時間差に基づいて、時刻同期をすることなく、高トラフィックの通信品質を測定する。

すなわち、Ｓ５０５において、統合管理装置１の通信品質測定機能部１２３は、同一アプリケーションについて、ネットワークＡからネットワークＣへの通信に係る時間と、ネットワークＣからネットワークＡへの通信に係る時間とを加算し、その加算結果を２で割った演算結果（すなわち、ネットワークＡ及びネットワークＣ間の時刻調整をした結果）を求める（Ｓ５０５）。

そして、統合管理装置１の通信品質測定機能部１２３は、加算結果を２で割った演算結果と、ネットワークＡからネットワークＣへのトラフィック量（パケット量）及びネットワークＣからネットワークＡへのトラフィック量（パケット量）に基づいて、ネットワークＡとネットワークＣとの間の通信品質を求め（Ｓ５０６）、集約データ記憶部１２９に記憶する（Ｓ５０７）。

また、管理者端末４から表示要求があると（Ｓ１０７）、統合管理装置１の統計データ読込機能部１２４は、その要求に対応する集約データを集約データ記憶部１２９から読み込み、出力機能部１２５が、所定の表示データに形成し、その表示データを管理者端末４に送信する（Ｓ１０８）。

管理者端末４は、統合管理装置１からの表示データを出力表示することで、所望のデータを表示することができる（Ｓ１０９）。特に、この実施形態では、アプリケーション別のパケット数、パケット量、ＴＣＰフラグ、パケット長、通信品質を監視データとして表示することができる。

（Ａ−３）第１の実施形態の効果
以上のように、第１の実施形態によれば、統合管理装置が監視ネットワークを流れる全通信データのデータ情報を集計することで、アプリケーション別のトラフィック情報や、ＴＣＰフラグ情報や、パケット長別のトラフィック情報や、アプリケーション別の通信品質を監視することができる。その結果、変化するネットワークの状況を的確に把握することができる。

また、第１の実施形態によれば、通信データの上り方向の通信時間と下り方向の通信時間とに基づいて、送信元側の収集装置と送信先側の収集装置との間の遅延時間を計測することにより、収集装置の時刻調整をすることができるので、通信経路の通信品質を把握することができる。

（Ｂ）他の実施形態
上記の実施形態において説明した収集装置の機能構成は、上記の実施形態で説明した機能を実現することができるのであれば、その一部又は全部を統合管理装置が備えるものとしてもよい。また、統合管理装置の機能構成、若しくは収集装置の機能構成は、ネットワーク上で接続可能であり、上記の実施形態で説明した機能を実現できるのであれば、ネットワーク上に分散配置させるようにしてもよい。

上記の実施形態では、複数の拠点ネットワークを有して構成される企業内ネットワークの監視システムを例に挙げて説明したが、企業内ネットワークではなく、例えば、通信事業者が有するネットワークを複数接続して構成される広域ネットワークに対しても適用することができる。

上記の実施形態で説明したアプリケーション別の通信品質の測定方法は、ネットワークのデータ通信状態をトラフィックフローの統計データとして管理し、具体的なデータ通信を管理しないシステムに適用することができる。すなわち、ネットワーク状態を全体的なトラフィックフローの統計データとして管理することはできるが、個別的な通信状況までは管理できないようなシステムであれば、本発明を広く適用することができる。

第１の実施形態のネットワーク監視システムの全体構成図である。 第１の実施形態の収集装置のハードウェア構成を示すブロック図である。 第１の実施形態の収集装置が実現する機能を示す機能ブロック図である。 第１の実施形態の統合管理装置のハードウェア構成を示すブロック図である。 第１の実施形態の統合管理装置が実現する機能を示す機能ブロック図である。 第１の実施形態のアプリケーション別の通信品質の計測処理を示すシーケンスである。 第１の実施形態の収集装置における通信データの統計処理を示すフローチャートである。 第１の実施形態の統合管理装置における集約処理を示すフローチャートである。 第１の実施形態の統合管理装置における通信品質の計測対象の決定方法を示すフローチャートである。 第１の実施形態の集約データの一例を示すイメージ図である。 第１の実施形態の統合管理装置におけるアプリケーション別の通信品質の計測処理を示すフローチャートである。

符号の説明

１…統合管理装置、２（２−１〜２−３）…収集装置、３…バックボーンネットワーク、４…管理者端末、５（５−１〜５−３）…転送装置、ネットワークＡ〜ネットワークＣ、９…ネットワーク監視システム。

Claims (5)

1. １又は複数の監視回線上の通信データを取得し、取得した通信データの通信データ情報に基づいて所定の収集情報を作成する複数の収集手段と、
   上記各収集手段が取得した通信データについて、少なくともタイムスタンプを有する通信データ情報を記憶する通信データ情報記憶手段と、
   上記各収集手段が作成した上記各収集情報を受け取り、上記各収集情報に基づいて、少なくとも上記各監視回線のトラフィック情報をアプリケーション別に集計する集計手段と、
   上記集計手段により集計された集計結果に基づいて、あるアプリケーションを用いてデータ通信を行なっている測定対象のデータ通信を決定する測定対象決定手段と、
   上記測定対象とするデータ通信について、送信元の送信データの上記通信データ情報と送信先の受信データの上記通信データ情報とを、上記通信データ情報記憶手段から取得し、上記送信データのタイムスタンプと上記受信データのタイムスタンプとの比較に基づいて、アプリケーション別の通信品質を測定する通信品質測定手段と、
   上記集計手段による集計結果及び上記通信品質測定手段によるアプリケーション別の通信品質結果を、監視情報として記憶する監視情報記憶手段と
   を備えることを特徴とするネットワーク監視システム。
2. 上記通信品質測定手段が、上記測定対象とするデータ通信について、通信データの一方向の通信時間とその反対方向の通信時間との時間差に基づいて、送信元と送信先との時刻調整を行なうことを特徴とする請求項１に記載のネットワーク監視システム。
3. １又は複数の監視回線上の通信データを取得し、取得した通信データの通信データ情報に基づいて所定の収集情報を作成する複数の収集手段と、
   上記各収集手段が作成した上記各収集情報を受け取り、上記各収集情報に基づいて、少なくとも上記各監視回線のトラフィック情報をアプリケーション別に集計する集計手段と
   を備えるシステムで、アプリケーション別の通信品質を測定する通信品質測定システムにおいて、
   上記各収集手段が取得した通信データについて、少なくともタイムスタンプを有する通信データ情報を記憶する通信データ情報記憶手段と、
   上記集計手段により集計された集計結果に基づいて、あるアプリケーションを用いてデータ通信を行なっている測定対象のデータ通信を決定する測定対象決定手段と、
   上記測定対象とするデータ通信について、送信元の送信データの上記通信データ情報と送信先の受信データの上記通信データ情報とを、上記通信データ情報記憶手段から取得し、上記送信データのタイムスタンプと上記受信データのタイムスタンプとの比較に基づいて、アプリケーション別の通信品質を測定する通信品質測定手段と、
   を備えることを特徴とする通信品質測定システム。
4. 上記通信品質測定手段が、上記測定対象とするデータ通信について、通信データの一方向の通信時間とその反対方向の通信時間との時間差に基づいて、送信元と送信先との時刻調整を行なうことを特徴とする請求項１に記載の通信品質測定システム。
5. １又は複数の監視回線上の通信データを取得し、取得した通信データの通信データ情報に基づいて所定の収集情報を作成する複数の収集手段と、
   上記各収集手段が作成した上記各収集情報を受け取り、上記各収集情報に基づいて、少なくとも上記各監視回線のトラフィック情報をアプリケーション別に集計する集計手段と
   を備えるシステムで、アプリケーション別の通信品質を測定する通信品質測定方法において、
   通信データ情報記憶手段が、上記各収集手段が取得した通信データについて、少なくともタイムスタンプを有する通信データ情報を記憶する通信データ情報記憶工程と、
   測定対象決定手段が、上記集計手段により集計された集計結果に基づいて、あるアプリケーションを用いてデータ通信を行なっている測定対象のデータ通信を決定する測定対象決定工程と、
   通信品質測定手段が、上記測定対象とするデータ通信について、送信元の送信データの上記通信データ情報と送信先の受信データの上記通信データ情報とを、上記通信データ情報記憶手段から取得し、上記送信データのタイムスタンプと上記受信データのタイムスタンプとの比較に基づいて、アプリケーション別の通信品質を測定する通信品質測定工程と、
   を備えることを特徴とする通信品質測定方法。

Images