JP2008258996A - 統計情報収集装置 - Google Patents

Abstract

【課題】 ネットワーク内に流れるトラフィックの分析を行うため、任意の計測期間において出現した種類数を収集すること。
【解決手段】 統計情報収集装置とコレクタ装置を備え、統計情報収集装置は、パケットを受信し、前記受信パケットの統計情報を収集し、前記収集された統計情報を前記コレクタ装置に送信する通信情報収集システムにおいて、統計情報収集装置には、前記受信パケットが属するフローを識別するためのフロー識別条件を含むフロー情報と、統計情報の収集期間を表す識別子と、が格納され、統計情報収集装置は、前記識別子を参照し、統計情報を更新することを特徴とする。
【選択図】 図４

Description

本発明は、転送されるパケットのパケット数及び異なり数等の統計情報を収集する通信統計収集装置に関する。

今日、インターネットは、重要な社会インフラとして定着している。そのため、従来のベストエフォート型のデータ通信だけでなく、通信品質が保証されなければならないデータが通信され始めている。例えば、通信品質が保証されなければならないデータには、音声及び動画並びに基幹業務のトランザクションデータ等がある。また、ADSL(Asymmetric Digital Subscriber Line)及びFTTH(Fiber To The Home)技術によってアクセス回線がブロードバンド化し、通信されるデータの容量も増大している。

このような背景から、通信事業者及びＩＳＰ(Internet Service Provider)にとって、ネットワーク内の通信の状態を把握するため、ネットワーク内で通信されるデータの統計を収集し、収集された統計を分析することによってネットワークを監視する機能が必要とされる。

データの送信元、データの宛先、アプリケーション、及び品質レベル等によって分類されるデータ群（以下、フローという）毎に統計情報を収集する機能及びフロー毎の統計情報を分析する機能が、ネットワークを監視する機能の中でも特に要求される。
収集する統計情報の種類として、通信したデータの容量を示す統計情報や、端末毎に発信したフロー数や通信相手数等の出現した種類数（異なり数）が挙げられる。

通信事業者及びＩＳＰは、フロー毎の統計情報を利用することによって、通信の品質保証サービスを提供する際に、通信の品質が保証されているか否かの状況を確認できる。また、フロー毎の統計情報を利用することによって、限られたネットワーク資源において通信されるデータの容量が増大しているので、ネットワーク資源を有効に活用するためのトラフィック・エンジニアリング（ＴＥ）を利用できる。

さらに、フロー毎の統計情報を利用することによって、顧客の需要を予測してネットワーク資源を事前に準備して、ユーザからの要求に対して、迅速にネットワーク資源を提供するプロビジョニングを実行できる。また、フロー毎の統計情報を利用することによって、ネットワークへの不正アタックを検出し、分析できる。また、フロー毎の統計情報を利用することによって、フロー毎に課金等を行える。

なお、統計情報を収集する機能は、ネットワーク上でパケットを転送するルータ及びスイッチ等のノード装置に備わる。

統計情報収集システムは、ネットワーク上に分散して配置される複数の統計情報収集装置と、これらの統計情報収集装置から送信される統計情報に基づいて、ネットワーク全体のトラフィックを分析するコレクタ装置と、を備える。

分析に有効な異なり数を計測するには、新規と既出を判別する必要があり、既出情報を保持する必要がある。また、フロー毎に任意の期間で異なり数を計測することが求められている。従って、各フローの計測期間毎に新規と既出を判別する必要がある。
フロー毎にメモリ空間を用意し既出情報を保持すれば、既出情報の管理は容易である。しかし、カウントする異なり数の最大値分のメモリをフロー毎に用意する必要があり、メモリ量が膨大となる問題点がある。
既出情報を一つのメモリ空間で管理する場合、メモリを効率的に利用できる反面、メモリ管理が複雑になり、高速処理を行うことが困難である。

本発明の代表的な一形態によると、演算処理をする第一プロセッサと、前記第一プロセッサに接続される第一記憶領域と、前記第一プロセッサに接続される第一インタフェースと、を備える統計情報収集装置と、演算処理をする第二プロセッサと、前記第二プロセッサに接続される第二記憶領域と、前記第二プロセッサに接続され、前記統計情報収集装置に接続される第二インタフェースと、を備えるコレクタ装置と、を備え、前記第一プロセッサは、パケットを受信し、前記受信パケットの統計情報を収集し、前記収集された統計情報を前記コレクタ装置に送信する通信情報収集システムにおいて、前記第一記憶領域には、前記受信パケットが属するフローを識別するためのフロー識別条件を含むフロー情報と、統計情報の収集期間を表す識別子と、が格納され、前記第一プロセッサは、前記識別子を参照し、統計情報を更新することを特徴とする。

本発明の一形態によると、出力する統計情報の世代を管理するため、任意の計測期間において出現した種類数を精度良く収集することができる。

本発明の実施の形態を図面を用いて説明する。

本発明の第一の実施の形態を図１から図６を用いて説明する。

図１は本発明の第一の実施の形態の通信統計情報収集システムを示すブロック図である。

統計情報収集システムは、ルータ１０１、サーバ１０２、端末１０３、及びコレクタ装置１０４を備える。これらの装置はネットワークを介して接続される。例えば、ネットワークは、ＩＳＰ（Internet Service Provider）によって提供される。また、ネットワークは、企業内ネットワークであってもよい。

具体的には、端末Ａ１０３、端末Ｂ１０３、及び端末Ｃ１０３は、ルータＡ１０１と接続される。サーバＡ１０２はルータＢ１０１と接続され、サーバＣ１０２はルータＣ１０１と接続される。コレクタ装置Ａ１０４は、ルータＡ１０１と接続される。また、ルータＡ１０１、ルータＢ１０１、及びルータＣ１０１は、各々接続される。

ルータ１０１は、ネットワーク内で通信される情報をその情報の宛先に転送する装置で、プロセッサ、記憶装置及び通信インタフェースを備える。また、ルータ１０１は、通信される情報の統計情報を収集し、収集した統計情報をコレクタ装置１０４に送信する。

図２は、本発明の第一の実施の形態のルータ１０１の機能ブロック図である。

ルータ１０１は、受信パケット処理部２０１、送信パケット処理部２０２、検索処理部２０３、トラフィック統計処理部２０４、ルーティングテーブル２１１、統計情報テーブル２１２、及び制御部２０５を備える。

管理端末２０６は、制御部２０５に接続される。管理者は、管理端末２０６を介して受信パケット処理部２０１、送信パケット処理部２０２、検索処理部２０３、及びトラフィック統計処理部２０４に設定されている各種パラメータを変更できる。なお、管理端末２０６は、ネットワークを介して制御部２０５に接続されてもよい。

受信パケット処理部２０１は、入力ポートを介してパケットを受信する。受信パケット処理部２０１は、受信したパケットをバッファに蓄積し、蓄積されたパケットのヘッダ情報を検索処理部２０３、トラフィック統計処理部２０４に送信する。

検索処理部２０３は、受信パケット処理部２０１からヘッダ情報を受信すると、検索処理を実行し、検索処理の結果を受信パケット処理部２０１に送信する。なお、トラフィック統計処理部の動作については、図３で詳細を説明する。

受信パケット処理部２０１は、検索処理部２０３から検索結果を受信すると、検索結果に含まれる出力ポートに基づいて、送信パケット処理部２０２へパケットを送信する。

送信パケット処理部２０２の動作を説明する。送信パケット処理部２０２は、受信パケット処理部２０１からパケット及び検索結果を受信すると、検索結果に含まれる出力ポートにパケットを送信する。

ルーティングテーブル２１１は、宛先のＩＰアドレスと宛先のＩＰアドレスに対応する出力ポートとが登録される。統計情報テーブル２１２は、収集されたフローを特定する条件、及びフロー毎の統計情報を保持する。

図３は、トラフィック統計処理部２０４の機能ブロック図である。

トラフィック統計処理部２０４は、ヘッダ情報蓄積部３０１、統計テーブル作成部３０２、フロー分析部３０３、及び統計情報パケット生成部３０４を備える。

ヘッダ情報蓄積部３０１は、受信パケット処理部２０１からヘッダ情報を受信し、受信したヘッダ情報を統計テーブル作成部３０２に送信する。

統計テーブル作成部３０２は、受信したヘッダ情報に含まれるトラフィック情報を構成する項目（送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、及び宛先ポート番号）から事前に設定された組み合わせを生成し、統計情報テーブル２１２に保存する。なお、統計情報テーブル２１２の更新方法については図５で説明する。

統計情報テーブル２１２に格納された統計情報が条件を満たすと、統計テーブル作成部３０２から、フロー分析部３０３へ該当するフローの統計情報を送信する。
フロー分析部３０３は、統計テーブル作成部３０２から送信された統計情報テーブル２１２の該当するエントリの情報に基づいて、トラフィックの帯域と種別を判定する。

なお、フロー分析部３０３は、必要に応じて統計情報テーブル２１２から他のエントリ情報を検索し、フローの種別を分析する。

フロー分析部３０３で分析した結果及び該当するエントリの統計情報は、統計情報パケット生成部３０４に送信される。また、フロー分析部３０３は、エントリの種別に異常と分析すると、そのエントリの統計情報を制御部２０８に送信する。

統計情報パケット生成部３０４は、フロー分析部３０３から受信した分析結果及び統計情報を送信フォーマットに整形し、ルータ１０１の受信パケット処理部２０１に送信する。なお、統計情報の送信先となるコレクタ装置１０４のアドレスは、管理者によって制御部２０５を介して、統計情報パケット生成部３０４に事前に設定される。

図４は、統計情報テーブル２１２の一例を示した図である。統計情報テーブル２１２は統計情報を収集する組合せ毎にテーブルを作成する。本実施例では、ＳＩＰテーブル４０１、ＤＩＰテーブル４０２、ＳＩＰ−ＤＩＰテーブル４０３、及びＳＩＰ−ＤＩＰ−ＤＰＴテーブル４０４を保持する例を示す。なお、組合せは、ヘッダ情報から任意の項目を選択することが可能である。

組合せ毎に作成されたテーブルは、エントリ番号４１１、項目４２１、統計情報４３１、異なり数世代情報４４１、及び世代識別子４５１から構成される。エントリ番号４１１はエントリを一意に識別する識別子である。項目４２１はフローを定義するヘッダ情報を表し、ＳＩＰテーブルはＳＩＰの値を、ＤＩＰテーブルはＤＩＰの値を、ＳＩＰ−ＤＩＰテーブルはＳＩＰとＤＩＰの値を、ＳＩＰ−ＤＩＰ−ＤＰＴテーブルはＳＩＰ、ＤＩＰ、ＤＰＴの値を格納する。統計情報４３１はパケット数４３２、及び異なり数４３３を保持する。なお、統計情報４３１に積算バイト数や、フロー開始時刻等の統計情報を格納してもよい。世代識別子４５１は収集している統計情報の世代を表す識別子である。異なり数世代情報は、異なり数をカウントしているエントリの世代識別子を保持する。

図５は、統計テーブル作成部３０２の処理フローを示す。本実施例では、組合せとして、ＳＩＰ、ＤＩＰ、ＳＩＰ−ＤＩＰ、及びＳＩＰ−ＤＩＰ−ＤＰＴを作成する例を示す。また、ＳＩＰ−ＤＩＰの組合せを保持することから、ＳＩＰテーブルではＤＩＰの異なり数、ＤＩＰテーブルではＳＩＰの異なり数をカウントし、ＳＩＰ−ＤＩＰ−ＤＰＴの組合せを保持することからＳＩＰ−ＤＩＰテーブルではＤＰＴの異なり数をカウントする。

統計テーブル作成部３０２はヘッダ情報蓄積部３０１からヘッダ情報を取得し（ステップ５０１）、事前に設定された組合せを作成する（ステップ５０２）。次に、作成した組合せを格納するエントリの検索を行う（ステップ５０３、５０４、５０５、５０６）。ここで、テーブル内に組合せを格納したエントリが存在しない場合、メモリ管理方法に従い、新規にエントリを作成する。各組合せで格納するエントリが決定すると、パケット数４３２やバイト数等の積算可能な統計情報の更新を行う（ステップ５０７）。一方、ＳＩＰ−ＤＩＰテーブルで新規の組合せが現れると（ステップ５０８）、新しく種類数が増えるので、ＳＩＰテーブルのＤＩＰの異なり数、ＤＩＰテーブルのＳＩＰの異なり数を加算する（ステップ５０９）。同様に、ＳＩＰ−ＤＩＰ−ＤＰＴテーブルで新規の組合せが現れると（ステップ５０８）、ＳＩＰ−ＤＩＰテーブルのＤＰＴの異なり数を加算する（ステップ５０９）。ステップ５０９で示した、組合せが新規であるかの判定方法は図６に示す。

パケット数等の積算可能な統計情報の更新（ステップ５０７）と、異なり数の加算（ステップ５０９）が終了すると、パケット数と閾値を比較し（ステップ５１１）統計情報の出力を行う。パケット数が閾値に達すると統計情報をフロー分析部３０３へ出力し、統計テーブル内の統計情報４３１をリセットする（ステップ５１２）。同時に、世代識別子４５１をインクリメントし（ステップ５１３）、統計情報の収集している世代が変化したことを示す。パケット数が閾値に達していない場合、処理を終了する。

図６に、統計テーブル作成部処理フローのステップ５０９で示した、新規・既出判定方法を示す。作成した組合せがテーブル内に存在し（ステップ６０１）、異なり数をカウントするエントリの世代識別子４５１と、異なり数世代情報４４１に保持した世代識別子が一致する場合、既出と判断する（ステップ６０３）。それ以外の場合である、作成した組合せがテーブル内に存在しない場合（ステップ６０１）、及び異なり数をカウントするエントリの世代識別子４５１と、異なり数世代情報４４１に保持した世代識別子が異なる場合、新規と判定する（ステップ６０４）。新規と判定された場合、異なり数をカウントするエントリの世代識別子４５１を異なり数世代情報にコピーする（ステップ６０５）。
（ＳＩＰ、ＤＩＰ、ＳＰＴ、ＤＰＴ）＝（Ｘ１、Ｙ１、Ａ１、Ｂ１）となるパケットを受信した時を例に説明する。ＳＩＰテーブル４０１にエントリ番号Ｅ１＿１、ＤＩＰテーブル４０２にエントリ番号Ｅ２＿１、ＳＩＰ−ＤＩＰテーブル４０３にエントリ番号Ｅ３＿１、ＳＩＰ−ＤＩＰ−ＤＰＴテーブル４０４にエントリ番号Ｅ４＿１が登録されている。ＳＩＰテーブル４０１では、ＤＩＰの異なり数をカウントしており、世代識別子４５１はＮ１＿１となる。ＳＩＰ−ＤＩＰテーブル４０３では、ＤＩＰの異なり数をカウントするため、異なり数世代情報４４１のＳＩＰｔａｂｌｅ４４２に前回ＤＩＰの異なり数を加算した時のＥ１＿１の世代識別子Ｎ１＿３を保持している。Ｎ１＿１とＮ１＿３を比較し（ステップ６０２）、異なる場合は新規、一致する場合は既出と判定する。新規と判定した場合、Ｎ１＿１をＳＩＰ−ＤＩＰテーブル４０３の異なり数世代情報ＳＩＰｔａｂｌｅ４４２に上書き保持する。

同様に、ＤＩＰテーブル４０２では、ＳＩＰの異なり数をカウントしており、世代識別子４５１はＮ２＿１となる。ＳＩＰ−ＤＩＰテーブル４０３の異なり数世代情報ＤＩＰｔａｂｌｅ４４３に保持するＮ２＿３とＮ２＿１を比較し、異なる場合は新規、一致する場合は既出と判定する。新規と判定した場合、Ｎ２＿１をＳＩＰ−ＤＩＰテーブル４０３の異なり数世代情報ＤＩＰｔａｂｌｅ４４３に上書き保持する。

本発明の第二の実施の形態を図７を用いて説明する。

本発明の第二の実施の形態は、第一の実施の形態のトラフィックの統計を分析する機能をネットワーク制御装置７０１に実装する。ネットワーク制御装置７０１の機能ブロック図を図７に示す。

ネットワーク制御装置７０１は、ＣＰＵ（Central Processing Unit）７０２、ワークメモリ７０３、プログラムメモリ７０４、統計情報データベース７０５、通信インタフェース（通信Ｉ／Ｆ）７０６、及び入出力装置７０７を備える。また、これらは、各々バス７０８によって接続される。

パケット送受信処理部７１１、統計情報パケット解析処理部７１２、トラフィック統計処理部７１３は、プログラムメモリ７０４に格納される。ＣＰＵ７０２は、プログラムメモリ７０４に格納される各種プログラム等をワークメモリにロードし、実行する。

パケット送受信処理部７１１は、ＩＰパケットを送受信する。統計情報パケット解析処理部７１２は、ルータ１０１から送信されたパケットに含まれるヘッダ情報を取得する。トラフィック統計処理部７１３は、第一の実施の形態のトラフィック統計処理部２０４と同様の処理を実行する。トラフィック統計処理部７１３は、第一の実施の形態のトラフィック統計処理部２０４は、統計情報パケット生成部３０４が生成したパケットを受信パケット処理部２０１に送信するのに対して、本実施の形態のトラフィック統計処理部７１３は、統計情報パケット生成部３０４が生成したパケットをパケット送受信処理７１１に送信する点で異なる。

統計情報データベース７０５は、統計情報テーブル２１２を含む。また、統計情報データベース７０５は、トラフィック統計処理部７１３によって参照される。

ネットワーク制御装置７０１への入力は、ルータ１０１のｓＦｌｏｗ機能やｎｅｔＦｌｏｗ機能によって出力された統計情報とする。

なお、ルータ１０１を通過するパケットの数が少ない場合、パケットを複製して、複製されたパケットをネットワーク制御装置７０１に送信するようにしてもよい。

本発明は、ネットワークの運用管理に利用できる。特に、大規模のネットワークにおいて高速回線に流れるトラフィックを解析する場合に効果的である。

本発明の第一の実施の形態の通信統計情報収集システムを示す図である。 本発明の第一の実施の形態のルータの機能ブロック図である。 本発明の第一の実施の形態のトラフィック統計処理部の機能ブロック図である。 本発明の第一の実施の形態の統計情報テーブルを示す図である。 本発明の第一の実施の形態の統計テーブル作成部の動作のフローチャートである。 本発明の第一の実施の形態の新規・既出判定処理の動作のフローチャートである。 本発明の第二の実施の形態の統計情報収集装置の機能ブロック図である。

符号の説明

１０１ ルータ
１０２ サーバ
１０３ 端末
１０４ コレクタ装置
２０１ 受信パケット処理部
２０２ 送信パケット処理部
２０３ 検索処理部
２０４ トラフィック統計処理部
２０５ 制御部
２０６ 管理端末
２１１ ルーティングテーブル
２１２ 統計情報テーブル
７０１ ネットワーク制御装置
７０２ ＣＰＵ
７０３ ワークメモリ
７０４ プログラムメモリ
７０５ 統計情報データベース。

Claims (5)

1. 演算処理をする第一プロセッサと、前記第一プロセッサに接続される第一記憶領域と、前記第一プロセッサに接続される第一インタフェースと、を備える統計情報収集装置と、
   演算処理をする第二プロセッサと、前記第二プロセッサに接続される第二記憶領域と、前記第二プロセッサに接続され、前記統計情報収集装置に接続される第二インタフェースと、を備えるコレクタ装置と、を備えた通信情報収集システムであって、
   前記第一プロセッサは、パケットを受信し、前記受信パケットの統計情報を収集し、前記収集された統計情報を前記コレクタ装置に送信し、
   前記第一記憶領域には、前記受信パケットが属するフローを識別するためのフロー識別条件を含むフロー情報と、統計情報の収集期間を表す識別子と、が格納され、
   前記第一プロセッサは、
   前記識別子に基づいて、統計情報を更新することを特徴とする統計情報収集システム。
2. 前記第一記憶領域は前記識別子として、前記受信パケット受信時の収集期間を表す第一識別子と、統計情報を更新した時の収集期間を表す第二識別子とを、保持することを特徴とする請求項１に記載の統計情報収集システム。
3. 前記第一プロセッサは、
   前記第一識別子と前記第二識別子を比較し、前期格納された統計情報の収集期間で、新規と既出を判定することを特徴とする請求項２に記載の統計情報収集システム。
4. 演算処理をするプロセッサと、前記プロセッサに接続される記憶領域と、コレクタ装置に接続され、前記プロセッサに接続されるインタフェースと、を備え、パケットを受信し、前記受信パケットの統計情報を収集し、前記収集された統計情報を前記コレクタ装置に送信する統計情報収集装置において、
   前記記憶領域には、前記受信パケットが属するフローを識別するためのフロー識別条件を含むフロー情報と、統計情報の収集期間を表す識別子と、が格納され、
   前記プロセッサは、
   前記識別子を参照し、統計情報を更新することを特徴とする統計情報収集システム。
5. 前記記憶領域は前記識別子として、前記受信パケット受信時の収集期間を表す第一識別子と、統計情報を更新した時の収集期間を表す第二識別子とを、保持することを特徴とする請求項４に記載の統計情報収集システム。

Images