JP2011259014A

JP2011259014A - トラフィック分析システムおよびトラフィック分析方法

Info

Publication number: JP2011259014A
Application number: JP2010129070A
Authority: JP
Inventors: Jun Ho; 濬許; Tetsuya Kusumoto; 哲也楠本; Chen Eric; チェンエリック
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2010-06-04
Filing date: 2010-06-04
Publication date: 2011-12-22

Abstract

【課題】非正常的なトラフィックを制限しつつ、正常なトラフィックを優先的に取り扱うこと。
【解決手段】トラフィック分析システムは、ＳＩＰサーバ１０、トラフィックデータベース２０、トラフィック分析装置１００を有する。トラフィック分析装置１００は、トラフィックによるネットワークの通信品質の影響に基づいて、トラフィックの分析を行うか否かを判定する。そして、トラフィックの分析を行うと判定した場合には、トラフィック分析装置１００は、トラフィックデータベース２０に記憶されたトラフィックの情報を基にして、トラフィックの特徴を分析する。このトラフィックの特徴は、非正常的なトラフィックの特徴である。トラフィック分析装置１００は、ＳＩＰサーバ１０を制御して、トラフィックの特徴に対応するネットワーク上のトラフィックを制限する。
【選択図】図１

Description

本発明は、トラフィック分析システムおよびトラフィック分析方法に関する。

ＳＩＰ（Session Initiation Protocol）基盤のインターネット電話サービスでは、ＳＩＰサーバを介して、各ＩＰ電話端末がＳＩＰメッセージを送受信することで通話を確立する。このため、インターネット電話サービスのサービス品質を保つためには、ＳＩＰメッセージが滞ることなく、宛先に送信される必要がある。以下の説明において、ＳＩＰサーバやＩＰ電話端末間で発生するＳＩＰメッセージをトラフィックと表記する。

しかし、悪意のある第三者などにより、非正常的（abnormal）なトラフィックが大量にネットワークに流入すると、ネットワークの資源が損失してしまう。このような場合には、ＳＩＰサーバは、正常なトラフィックをスムーズに送受信することができず、サービスの品質が著しく低下してしまう。

ここで、インターネット電話サービスの品質低下を監視する技術には様々なものが存在する。例えば、パケットの遅延時間の分布に基づいてパケットの送信順序を判定することや、リクエスト送信に対する回答が得られるまでの時間を分析することで、サービスの品質低下を監視する技術がある。

特開２００６−５０２５０号公報

サービスの品質低下を効果的に抑制するためには、サービス品質低下を監視するだけでは不十分であり、非正常的なトラフィックの発生頻度や通信経路等のパターンを見つけ出し、適切な対策を講じる必要がある。しかし、このようなパターンを検出するための支援システムが現状存在していない。このため、上述した従来技術では、異常なトラフィックの発生に対応することができず、非正常的なトラフィックを制限しつつ、正常なトラフィックを優先的に取り扱うことができないという問題があった。

なお、ＩＰ電話端末の呼と１対１に対応する制御信号を低レイヤに埋め込んでおき、この制御信号を認識・分析して、他のノードへの優先度を設定することで、所定のトラフィックを優先的に送信するという技術が存在する。しかし、かかる技術では、優先的に取り扱うべきトラフィックが予め分かっていることが前提となっているため、それ以外の正常なトラフィックを優先的に取り扱うことができない。

本発明は、上記に鑑みてなされたものであって、非正常的なトラフィックを制限しつつ、正常なトラフィックを優先的に取り扱うことが可能なトラフィック分析システムおよびトラフィック分析方法を提供することを目的とする。

上述した課題を解決し、目的を達成するために、開示の技術は、一つの態様において、ネットワークを介して端末およびサーバ間で送受信されるトラフィックの情報を記憶する記憶部と、前記トラフィックによる前記ネットワークの通信品質への影響に基づいて、前記トラフィックの分析を行うか否かを判定する判定部と、前記判定部によって前記トラフィックの分析を行うと判定された場合に、前記記憶部に記憶されたトラフィックの情報に基づいて、トラフィックの特徴を特定するトラフィック分析部と、前記トラフィック分析部によって特定されたトラフィックの特徴に対応する前記ネットワーク上のトラフィックを制限するトラフィック制限部とを備える。

また、開示の技術は、一つの態様において、コンピュータが、ネットワークを介して端末およびサーバ間で送受信されるトラフィックによる前記ネットワークの通信品質への影響に基づいて、前記トラフィックの分析を行うか否かを判定する判定工程と、前記判定工程において前記トラフィックの分析を行うと判定した場合に、記憶装置に記憶された前記トラフィックの情報に基づいて、トラフィックの特徴を特定するトラフィック分析工程と、前記トラフィック分析工程において特定したトラフィックの特徴に対応する前記ネットワーク上のトラフィックを制限するトラフィック制限工程とを含む。

開示の技術によれば、非正常的なトラフィックを制限しつつ、正常なトラフィックを優先的に取り扱うことができるという効果を奏する。

図１は、本実施例にかかるトラフィック分析システムの概要を示す図である。図２は、トラフィックデータベースのデータ構造の一例を示す図である。図３は、トラフィック分析装置の構成を示す機能ブロック図である。図４は、Temporaryタイプを説明する図である。図５は、Growthタイプを説明する図である。図６は、Continuousタイプを説明する図である。図７は、Pulsingタイプを説明する図である。図８は、Growth pulsingタイプを説明する図である。図９は、Gradational growthタイプを説明する図である。図１０は、トラフィックの経路タイプを示す図である。図１１は、トラフィックパターンのデータ構造の一例を示す図である。図１２は、トラフィック分析装置の処理手順を示すフローチャートである。図１３は、トラフィックタイプの分析処理の処理手順を示すフローチャートである。図１４は、トラフィック経路の分析処理の処理手順を示すフローチャートである。図１５は、開示の技術に係るトラフィック分析プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。

以下に、本発明にかかるトラフィック分析システムおよびトラフィック分析方法の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。

図１は、本実施例にかかるトラフィック分析システムの概要を示す図である。図１に示すように、このトラフィック分析システムは、ＳＩＰサーバ１０、トラフィックデータベース２０、トラフィック分析装置１００を有する。

ＳＩＰサーバ１０は、ネットワークを介して複数のＩＰ電話端末等に接続され、このＩＰ電話端末の電話番号とＩＰアドレスとの対応づけを行うサーバ装置である。また、ＳＩＰサーバ１０は、ＩＰ電話端末間で通話を確立するためのＳＩＰメッセージを中継する。以下の説明において、ＳＩＰメッセージの送信元、送信先、ＳＩＰサーバ間で送受信されるＳＩＰメッセージをトラフィックと表記する。ＳＩＰサーバ１０は、トラフィックの送信元、受信者、ＳＩＰサーバ１０から発生したトラフィックの情報をトラフィックデータベース２０に登録する。

トラフィックデータベース２０は、トラフィックの情報を記憶する記憶装置である。図２は、トラフィックデータベース２０のデータ構造の一例を示す図である。図２に示すように、トラフィックデータベース２０は、src_UID、src_URI、dst_UID、dst_URI、message type、call_id、src_IP、dst_IP、timestampeを含む。この各情報は、トラフィック毎に存在する。

図２において、「src_UID」はトラフィックの送信元のユーザを識別する情報である。「src_URI」はトラフィックの送信元のＵＲＩ（Uniform Resource Identifier）を示すものである。「dst_UID」はトラフィックの送信先のユーザを識別する情報である。「dst_URI」はトラフィックの送信先のＵＲＩを示すものである。「message type」は、トラフィックのメッセージタイプを識別するものである。たとえば、メッセージタイプには、REQUEST（INVITE、REGISTER）、RESPONSEなどが含まれる。

「call_id」は、トラフィックに対応する通話を識別する情報である。「src_IP」は、トラフィックの送信元のＩＰアドレスを示し、「dst_IP」は、トラフィックの送信先のＩＰアドレスを示す。「timestampe」は、トラフィックが発生した時間を示すものである。

トラフィック分析装置１００は、ネットワーク上のトラフィックを分析する装置である。このトラフィック分析装置１００は、トラフィックによるネットワークの通信品質の影響に基づいて、トラフィックの分析を行うか否かを判定する。そして、トラフィックの分析を行うと判定した場合には、トラフィック分析装置１００は、トラフィックデータベース２０に記憶されたトラフィックの情報を基にして、トラフィックの特徴を分析する。このトラフィックの特徴は、非正常的なトラフィックの特徴である。トラフィック分析装置１００は、ＳＩＰサーバ１０を制御して、トラフィックの特徴に対応するネットワーク上のトラフィックを制限する。

図１に示す例では、ＳＩＰサーバ１０は、各トラフィック１ａを受信した場合に、非正常的なトラフィックの特徴に対応する各トラフィック１ｂを排除し、その他の各トラフィック１ｃを優先的に送信する。

このように、トラフィック分析装置１００は、分析結果となるトラフィックの特徴に対応するネットワーク上のトラフィックを制限することで、非正常的なトラフィックを制限しつつ、正常な送信者からのトラフィックを優先的に取り扱うことができる。

次に、図１に示したトラフィック分析装置１００の構成について説明する。図３は、トラフィック分析装置１００の構成を示す機能ブロック図である。図３に示すように、このトラフィック分析装置１００は、トラフィック抽出部１１０、通信品質管理部１２０、トラフィック分析部１３０、トラフィックパターン決定部１４０、優先制御部１５０を有する。

トラフィック抽出部１１０は、特定の時間に発生したトラフィックの情報をトラフィックデータベース２０から抽出し、抽出したトラフィックの情報を通信品質管理部１２０、トラフィック分析部１３０に出力する。上記特定の時間は、ネットワーク管理者によって適宜変更可能とする。

通信品質管理部１２０は、トラフィックの情報を基にして、トラフィックが通信品質に与える影響を算出し、算出結果に応じて、トラフィックの分析を行うか否かの情報をトラフィック分析部１３０に出力する処理部である。以下において、通信品質管理部１２０の処理を具体的に説明する。

まず、通信品質管理部１２０はＱ_ｆを算出する。Ｑ_ｆは、トラフィックによる帯域幅（bandwidth）の減少値を示す。通信品質管理部１２０は、式（１）を利用して、Ｑ_ｆを算出する。

式（１）に示すように、Ｑ_ｆは、Ｑ_ｒからＱ_ｎを減じた値となる。Ｑ_ｒは、トラフィック全体を処理するために必要となる帯域幅を示し、Ｑ_ｎは、正常な使用者から送信されたトラフィックを処理するために必要となる帯域幅を示す。

Ｑ_ｒおよびＱ_ｎを算出するためのμは、各呼のメッセージ数の平均値（average of message number by each caller）である。また、δは、各呼のメッセージ数の標準偏差（standard deviation of message number by each caller）である。また、α´は、式（２）を利用して算出する。

式（２）に含まれるεは、キューオーバーフロー（queue overflow）の最大値（upper bound）である。

通信品質管理部１２０は、Ｑ_ｆを算出した後に、式（３）の条件を満たすか否かを判定し、式（３）の条件を満たす場合には、トラフィックの分析を行うと判定する。これに対して、式（３）の条件を満たさない場合には、通信品質管理部１２０は、トラフィックの分析を行わないと判定する。
Ｑ_ｆ＞（１−ｘ）＊Ｑ_Ｔ・・・（３）

式（３）において、Ｑ_Ｔは、ＳＩＰサーバ１０が処理可能な最大の帯域幅を示す。ｘは、Ｑｏｓ（Quality of Service）が保証する帯域幅のパラメータである。通信品質管理部１２０は、予め設定された値をｘの値として用いてもよい。上記のように、通信品質管理部１２０が、式（３）に基づいて、トラフィックの分析を行うか否かを判定することは、ネットワークの通信品質への影響に基づいて、トラフィックの分析を行うか否かを判定することを意味する。

トラフィック分析部１３０は、異常なトラフィックのタイプや、異常なトラフィックの経路を分析する処理部である。このトラフィック分析部１３０は、通信品質管理部１２０から、トラフィックの分析を行う旨の判定結果を受け付けた場合にトラフィックの分析を行う。トラフィック分析部１３０は、トラフィックタイプ分析部１３０ａ、トラフィック経路分析部１３０ｂを有する。

トラフィックタイプ分析部１３０ａは、トラフィック抽出部１１０からトラフィックの情報を取得し、トラフィックの特徴に応じて、トラフィックのトラフィックタイプを分析する。例えば、トラフィックタイプ分析部１３０ａは、時間と時間に対応するＳＩＰメッセージの数との関係を利用して、トラフィックタイプを分析する。

ここで、各種のトラフィックタイプについて説明する。例えば、トラフィックタイプには、Temporaryタイプ、Growthタイプ、Continuousタイプ、Pulsingタイプ、Growth pulsingタイプ、Gradational growthタイプが含まれる。以下において、Temporaryタイプ、Growthタイプ、Continuousタイプ、Pulsingタイプ、Growth pulsingタイプ、Gradational growthタイプについて順に説明する。

図４は、Temporaryタイプを説明する図である。図４の横軸は時間を示し、縦軸はＳＩＰメッセージの数を示す。このTemporaryタイプは、ＳＩＰメッセージの数が一時的に大量発生するものである。図４に示す例では、時間がｔ_０からｔ_１の間に、ＳＩＰメッセージの数がＮ_ｉとなっている。このように、ＳＩＰメッセージの数が一時的に大量発生する場合には、トラフィックタイプ分析部１３０ａはトラフィックタイプをTemporaryタイプと判定する。

図５は、Growthタイプを説明する図である。図５の横軸は時間を示し、縦軸はＳＩＰメッセージの数を示す。このGrowthタイプは、ある時間を境に、急激にＳＩＰメッセージの数が増加するものである。図５に示す例では、時間がｔ_０からｔ_１の間ではＳＩＰメッセージの数が少ないが、時間ｔ_１を過ぎてからＳＩＰメッセージの数が急激にＮ_ｉとなる。このように、ある時間を境に、急激にＳＩＰメッセージの数が増加する場合には、トラフィックタイプ分析部１３０ａはトラフィックタイプをGrowthタイプと判定する。

図６は、Continuousタイプを説明する図である。図６の横軸は時間を示し、縦軸はＳＩＰメッセージの数を示す。このContinuousタイプは、ある時間から継続的に大量のＳＩＰメッセージが発生するものである。図６に示す例では、時間ｔ_０からＳＩＰメッセージの数が急激にＮ_ｉとなる。このように、ある時間から継続的に大量のＳＩＰメッセージが発生する場合には、トラフィックタイプ分析部１３０ａはトラフィックタイプをContinuousタイプと判定する。

図７は、Pulsingタイプを説明する図である。図７の横軸は時間を示し、縦軸はＳＩＰメッセージの数を示す。このPulsingタイプは、断続的に大量のＳＩＰメッセージが発生するものである。図Ｄに示す例では、時間ｔ_０からｔ_１の間、時間ｔ_２からｔ_３の間、時間ｔ_４からｔ_５の間に、ＳＩＰメッセージの数がＮ_ｉとなっている。このように、断続的に大量のＳＩＰメッセージが発生する場合には、トラフィックタイプ分析部１３０ａはトラフィックタイプを、Pulsingタイプと判定する。

図８は、Growth pulsingタイプを説明する図である。図８の横軸は時間を示し、縦軸はＳＩＰメッセージの数を示す。このGrowth pulsingタイプは、段階的に量が変化するＳＩＰメッセージが断続的に発生するものである。図８に示す例では、時間ｔ_０からｔ_１の間、時間ｔ_２からｔ_３の間、時間ｔ_４からｔ_５の間にＳＩＰメッセージの量がＮ_０からＮ_ｉに段階的に変化している。このように、段階的に量が変化するＳＩＰメッセージが断続的に発生する場合には、トラフィックタイプ分析部１３０ａはトラフィックタイプを、Growth pulsingタイプと判定する。

図９は、Gradational growthタイプを説明する図である。図９の横軸は時間を示し、縦軸はＳＩＰメッセージの数を示す。このGradational growthタイプは、段階的にＳＩＰメッセージの数が増加するものである。図９に示す例では、時間ｔ_０からｔ_１の間のＳＩＰＩメッセージの数がＮ_０となり、時間ｔ_１からｔ_２の間のＳＩＰメッセージの数がＮ_１となり、時間ｔ_２からｔ_３の間のＳＩＰＩメッセージの数がＮ_２となり、時間ｔ_３からｔ_４の間のＳＩＰＩメッセージの数がＮ_ｉとなる。このように、段階的にＳＩＰメッセージの数が増加する場合には、トラフィックタイプ分析部１３０ａはトラフィックタイプを、Gradational growthタイプと判定する。

トラフィック分析部１３０ａは、分析結果をトラフィックパターン決定部１４０に出力する。この分析結果には、該当するトラフィックのトラフィックタイプ、周期、持続時間が対応づけられているものとする。すなわち、トラフィック分析部１３０ａは、トラフィックのトラフィックタイプを判定すると共に、このトラフィックの周期や持続時間も合わせて分析するものとする。

図３の説明に戻る。トラフィック経路分析部１３０ｂは、トラフィック抽出部１１０からトラフィックの情報を取得し、トラフィックがどのような経路を通じて送信者からサーバまで送信されたのかを分析する処理部である。トラフィックの経路は、トラフィックの目的地、送信元のＵＲＩ、送信元のＩＰに基づいて、７個の経路タイプに判別される。図１０は、トラフィックの経路タイプを示す図である。図１０に示すように、経路タイプは、Ｓ−Ｓ−Ｏ、Ｓ−Ｍ−Ｏ、Ｍ−Ｓ−Ｏ、Ｍ−Ｍ−Ｏ、Ｓ−Ｓ−Ｍ、Ｓ−Ｍ−Ｍ、Ｍ−Ｍ−Ｍが含まれる。

Ｓ−Ｓ−Ｏは、送信元ＵＲＩが単一、かつ、送信元ＩＰが単一、かつ、目的地が単一となるメッセージの経路タイプを示す。Ｓ−Ｍ−Ｏは、送信元のＵＲＩが単一、かつ、送信元のＩＰが複数、かつ、目的地が単一となるメッセージの経路タイプを示す。Ｍ−Ｓ−Ｏは、送信元ＵＲＩが複数、かつ、送信元ＩＰが単一、かつ、目的地が単一となるメッセージの経路タイプを示す。

Ｍ−Ｍ−Ｏは、送信元ＵＲＩが複数、かつ、送信元ＩＰが複数、かつ、目的地が単一となるメッセージの経路タイプを示す。Ｓ−Ｓ−Ｍは、送信元ＵＲＩが単一、かつ、送信元ＩＰが単一、かつ、目的地が複数となるメッセージの経路タイプを示す。Ｓ−Ｍ−Ｍは、送信元ＵＲＩが単一、かつ、送信元ＩＰが複数、かつ、目的地が複数となるメッセージの経路タイプを示す。Ｍ−Ｍ−Ｍは、送信元ＵＲＩが複数、かつ、送信元ＩＰが複数、かつ、目的地が複数となるメッセージの経路タイプを示す。

トラフィック経路分析部１３０ｂは、分析結果をトラフィックパターン決定部１４０に出力する。この分析結果には、該当するトラフィックの経路タイプ、送信元ＵＲＩ、送信元ＩＰ、目的地が対応づけられているものとする。

トラフィックパターン決定部１４０は、トラフィックタイプ分析部１３０ａおよびトラフィック経路分析部１３０ｂから分析結果を取得し、トラフィックパターンを生成する処理部である。このトラフィックパターンは、トラフィックタイプ分析部１３０ａおよびトラフィック経路分析部１３０ｂから取得した分析結果を組み合わせたものとなる。

図１１は、トラフィックパターンのデータ構造の一例を示す図である。図１１に示すように、このトラフィックパターンは、トラフィックタイプ、周期、持続時間、経路タイプ、送信元ＵＲＩ、送信元ＩＰ、目的地を有する。例えば、図１１では、トラフィックタイプは「Pulsingタイプ」、周期は「３０分」、持続時間「１０分」となる。また、経路タイプは「Ｍ−Ｍ−Ｍ」、送信元ＵＲＩは「Ｕ１」、「Ｕ２」、「Ｕ３」、送信元ＩＰは「Ｉ１」、「Ｉ２」、「Ｉ３」、「Ｉ４」、目的地は「Ｄ１」、「Ｄ２」、「Ｄ３」となる。トラフィックパターン決定部１４０は、生成したトラフィックパターンを優先制御部１５０に出力する。

優先制御部１５０は、トラフィックパターンを基にして優先制御情報を生成し、生成した優先制御情報をＳＩＰサーバ１０に通知する処理部である。この優先制御情報には、異常なトラフィックの発生が予想される時間帯や、異常なトラフィックに含まれる送信元ＵＲＩ、送信元ＩＰ、目的地が含まれる。以下の説明では、異常なトラフィックの発生が予想される時間帯を制限時間帯と表記する。また、異常なトラフィックに含まれる送信元ＵＲＩ、送信元ＩＰ、目的地の組を、異常トラフィック特定情報と表記する。

優先制御部１５０は、制限時間帯を、発生予想時間（Ｔ）を基準に特定する。例えば、異常なトラフィックの周期を（Ｃ）、持続時間（ＴＡ）とすると、制限時間帯は、「Ｔ〜Ｔ＋ＴＡ」、「Ｔ＋Ｃ〜Ｔ＋Ｃ＋ＴＡ」、・・・となる。優先制御部１５０は、異常トラフィック特定情報を特定する場合には、トラフィックパターンに含まれる送信元ＵＲＩ、送信元ＩＰ、目的地の組をそのまま利用する。

ＳＩＰサーバ１０はかかる優先制御情報を基にして、トラフィックを制御する。すなわち、ＳＩＰサーバ１０は、制御時間帯において、異常トラフィック特定情報に対応するトラフィックの優先度を低くし、その他のトラフィックの優先度を高くしてトラフィックの送受信を実行する。このように、ＳＩＰサーバ１０が優先制御情報を基にしてトラフィックを制御することにより、異常なトラフィックの発生に対応でき、異常な送信者からのトラフィックを制限しつつ、正常な送信者からのトラフィックを優先的に取り扱うことができる。

次に、本実施例にかかるトラフィック分析装置１００の処理手順について説明する。図１２は、トラフィック分析装置１００の処理手順を示すフローチャートである。図１２に示すように、トラフィック分析装置１００は、トラフィックデータベース２０からトラフィックの情報を取得し（ステップＳ１０１）、通信品質の変化を算出する（ステップＳ１０２）。

トラフィック分析装置１００は、Ｑ_ｆの値が（１−ｘ）Ｑ_Ｔの値以下の場合には（ステップＳ１０３，Ｎｏ）、処理を終了する。一方、トラフィック分析装置１００は、Ｑ_ｆの値が（１−ｘ）Ｑ_Ｔの値よりも大きい場合には（ステップＳ１０３，Ｙｅｓ）、トラフィックタイプの分析処理を行う（ステップＳ１０４）。

続いて、トラフィック分析装置１００は、トラフィック経路の分析処理を行い（ステップＳ１０５）、トラフィックパターンを特定する（ステップＳ１０６）。トラフィック分析装置１００は、優先制御情報を生成し（ステップＳ１０７）、優先制御情報をＳＩＰサーバ１０に通知する（ステップＳ１０８）。

次に、図１２のステップＳ１０４に示したトラフィックタイプの分析処理について説明する。図１３は、トラフィックタイプの分析処理の処理手順を示すフローチャートである。図１３に示すように、トラフィックタイプ分析部１３０ａは、分析ウィンドウを決定し（ステップＳ２０１）、分析ウィンドウに存在するトラフィックをメッセージのタイプとトラフィックを発生させたソース毎に区分する（ステップＳ２０２）。

続いて、トラフィックタイプ分析部１３０ａは、トラフィックのタイプがパルスタイプである場合には（ステップＳ２０３，Ｙｅｓ）、トラフィックのタイプが静的であるか否かを判定する（ステップＳ２０４）。トラフィックタイプ分析部１３０ａは、トラフィックのタイプが静的の場合には（ステップＳ２０４，Ｙｅｓ）、Pulsingタイプと判定する（ステップＳ２０５）。一方、トラフィックタイプ分析部１３０ａは、トラフィックのタイプが動的の場合には（ステップＳ２０４，Ｎｏ）、Growth pulsingタイプと判定する（ステップＳ２０６）。

ところでステップＳ２０３において、トラフィックタイプ分析部１３０ａは、トラフィックのタイプがパルスタイプではない場合には（ステップＳ２０３，Ｎｏ）、トラフィックのタイプが静的であるか否かを判定する（ステップＳ２０７）。トラフィックタイプ分析部１３０ａは、トラフィックのタイプが静的ではない場合には（ステップＳ２０７，Ｎｏ）、トラフィックの量が増加中であるか否かを判定する（ステップＳ２０８）。

トラフィックタイプ分析部１３０ａは、トラフィックの量が増加中の場合には（ステップＳ２０８，Ｙｅｓ）、Gradational growthタイプと判定する（ステップＳ２０９）。一方、トラフィックタイプ分析部１３０ａは、トラフィックの量が増加中ではない場合には（ステップＳ２０８，Ｎｏ）、Growthタイプと判定する（ステップＳ２１０）。

ところでステップＳ２０７において、トラフィックタイプ分析部１３０ａは、トラフィックのタイプが静的の場合には（ステップＳ２０７，Ｙｅｓ）、トラフィックのタイプが一時的なものであるか否かを判定する（ステップＳ２１１）。トラフィックタイプ分析部１３０ａは、トラフィックのタイプが一時的なものでない場合には（ステップＳ２１１，Ｎｏ）、Continuousタイプと判定する（ステップＳ２１２）。一方、トラフィックのタイプが一時的なものである場合には（ステップＳ２１１，Ｙｅｓ）、Temporaryタイプと判定する（ステップＳ２１３）。

次に、図１２のステップＳ１０５に示したトラフィック経路の分析処理について説明する。図１４は、トラフィック経路の分析処理の処理手順を示すフローチャートである。図１４に示すように、トラフィック経路分析部１３０ｂは、分析ウィンドウを決定し（ステップＳ３０１）、分析ウィンドウに存在するトラフィックをメッセージのタイプとトラフィックを発生させたソース毎に区分する（ステップＳ３０２）。

トラフィック経路分析部１３０ｂは、トラフィックの目的地が単一ではない場合に（ステップＳ３０３，Ｎｏ）、送信元のＵＲＩが単一であるか否かを判定する（ステップＳ３０４）。トラフィック経路分析部１３０ｂは、送信元のＵＲＩが単一ではない場合に（ステップＳ３０４，Ｎｏ）、経路タイプをＭ−Ｍ−Ｍタイプと判定する（ステップＳ３０５）。

一方、トラフィック経路分析部１３０ｂは、送信元のＵＲＩが単一の場合には（ステップＳ３０４，Ｙｅｓ）、送信元のＩＰが単一であるか否かを判定する（ステップＳ３０６）。トラフィック経路分析部１３０ｂは、送信元のＩＰが単一ではない場合に（ステップＳ３０６，Ｎｏ）、経路タイプをＳ−Ｍ−Ｍと判定する（ステップＳ３０７）。これに対して、トラフィック経路分析部１３０ｂは、送信元のＩＰが単一の場合に（ステップＳ３０６，Ｙｅｓ）、経路タイプをＳ−Ｓ−Ｍタイプと判定する（ステップＳ３０８）。

ところでステップＳ３０３において、トラフィック経路分析部１３０ｂは、トラフィックの目的地が単一の場合に（ステップＳ３０３，Ｙｅｓ）、送信元のＵＲＩが単一であるか否かを判定する（ステップＳ３０９）。

トラフィック経路分析部１３０ｂは、送信元のＵＲＩが単一である場合には（ステップＳ３０９，Ｙｅｓ）、送信元のＩＰが単一であるか否かを判定する（ステップＳ３１０）。トラフィック経路分析部１３０ｂは、送信元のＩＰが単一である場合には（ステップＳ３１０，Ｙｅｓ）、経路タイプをＳ−Ｓ−Ｏタイプと判定する（ステップＳ３１１）。これに対して、トラフィック経路分析部１３０ｂは、送信元のＩＰが単一ではない場合に（ステップＳ３１０，Ｎｏ）、経路タイプをＳ−Ｍ−Ｏタイプと判定する（ステップＳ３１２）。

ところでステップＳ３０９において、トラフィック経路分析部１３０ｂは、送信元のＵＲＩが単一ではない場合に（ステップＳ３０９，Ｎｏ）、送信元のＩＰが単一であるか否かを判定する（ステップＳ３１３）。

トラフィック経路分析部１３０ｂは、送信元のＩＰが単一ではない場合に（ステップＳ３１３，Ｎｏ）、経路タイプをＭ−Ｍ−Ｏタイプと判定する（ステップＳ３１４）。一方、トラフィック経路分析部１３０ｂは、送信元のＩＰが単一の場合には（ステップＳ３１３，Ｙｅｓ）、経路タイプをＭ−Ｓ−Ｏタイプと判定する（ステップＳ３１５）。

次に、本実施例にかかるトラフィック分析システムの効果について説明する。上記のように、トラフィック分析装置１００は、ネットワークの通信品質からトラフィックの分析が必要であると判定した場合に、トラフィックタイプおよびトラフィック経路を分析し、分析結果に基づいて優先制御情報を生成する。そして、トラフィック分析装置１００は、この優先制御情報をＳＩＰサーバ１０に通知することで、ネットワーク上の非正常的なトラフィックを制限する。このため、本実施例にかかるトラフィック分析システムによれば、異常な送信者からのトラフィックを制限しつつ、正常な送信者からのトラフィックを優先的に取り扱うことができるという効果を奏する。

また、本実施例にかかるトラフィック分析システムは、トラフィック分析装置１００が、トラフィック全体を処理するために必要となる帯域幅から正常な使用者から送信されたトラフィックの帯域幅を減じた帯域幅と、ＳＩＰサーバ１０が処理可能な帯域幅との関係に基づいて、トラフィックの分析を行うか否かを判定するので、トラフィックの分析が真に必要となる場合にだけ、トラフィックの分析を行うことができ、トラフィック分析装置１００の負担を軽減することができる。

ところで、上記実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順（図１２、図１３、図１４）、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、図１２、図１３、図１４で示した処理手順は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのＩＰネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、ＭＯ（Magneto-Optical disk）、ＤＶＤ（Digital Versatile Disk）などのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

図１５は、開示の技術に係るトラフィック分析プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。図１５に例示するように、コンピュータ２００は、例えば、メモリ２０１と、ＣＰＵ（Central Processing Unit）２０２と、ハードディスクドライブインタフェース２０３と、ディスクドライブインタフェース２０４と、シリアルポートインタフェース２０５と、ビデオアダプタ２０６と、ネットワークインタフェース２０７とを有し、これらの各部はバス２０８によって接続される。

メモリ２０１は、図１５に例示するように、ＲＯＭ（Read Only Memory）２０１ａ及びＲＡＭ（Random Access Memory）２０１ｂを含む。ＲＯＭ２０１ａは、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース２０３は、図１５に例示するように、ハードディスクドライブ２０３ａに接続される。ディスクドライブインタフェース２０４は、図１５に例示するように、ディスクドライブ２０４ａに接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ２０４ａに挿入される。シリアルポートインタフェース２０５は、図１５に例示するように、例えばマウス２０５ａ、キーボード２０５ｂに接続される。ビデオアダプタ２０６は、図１５に例示するように、例えばディスプレイ２０６ａに接続される。

ここで、図１５に例示するように、ハードディスクドライブ２０３ａは、例えば、ＯＳ（Operating System）、アプリケーションプログラム、プログラムモジュール、プログラムデータを記憶する。すなわち、開示の技術に係るトラフィック分析プログラムは、コンピュータによって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ２０３ａに記憶される。具体的には、上記実施例で説明した通信品質管理部１２０、トラフィック分析部１３０、トラフィックパターン決定部１４０、優先制御部１５０と同様の情報処理を実行する各手順が記述されたプログラムモジュールが、ハードディスクドライブ２０３ａに記憶される。また、トラフィック分析プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えばハードディスクドライブ２０３ａに記憶される。そして、ＣＰＵ２０２が、ハードディスクドライブ２０３ａに記憶されたプログラムモジュールやプログラムデータを必要に応じてＲＡＭ２０１ｂに読み出し、各手順を実行する。

なお、トラフィック分析プログラムに係るプログラムモジュールやプログラムデータは、ハードディスクドライブ２０３ａに記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ２０２によって読み出されてもよい。あるいは、トラフィック分析プログラムに係るプログラムモジュールやプログラムデータは、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェースを介してＣＰＵ２０２によって読み出されてもよい。

１０ＳＩＰサーバ
２０トラフィックデータベース
１００トラフィック分析装置
１１０トラフィック抽出部
１２０通信品質管理部
１３０トラフィック分析部
１４０トラフィックパターン決定部
１５０優先制御部

Claims

ネットワークを介して端末およびサーバ間で送受信されるトラフィックの情報を記憶する記憶部と、
前記トラフィックによる前記ネットワークの通信品質への影響に基づいて、前記トラフィックの分析を行うか否かを判定する判定部と、
前記判定部によって前記トラフィックの分析を行うと判定された場合に、前記記憶部に記憶されたトラフィックの情報に基づいて、トラフィックの特徴を特定するトラフィック分析部と、
前記トラフィック分析部によって特定されたトラフィックの特徴に対応する前記ネットワーク上のトラフィックを制限するトラフィック制限部と
を備えたことを特徴とするトラフィック分析システム。
前記トラフィック分析部は、前記記憶部に記憶されたトラフィックの情報に基づいて、前記トラフィックの数と該トラフィックの発生した時間との関係を示すトラフィックタイプと、前記トラフィックの経路を識別する経路情報とを特定し、前記トラフィック制限部は、前記トラフィックタイプおよび前記経路情報に対応する前記ネットワーク上のトラフィックを制限することを特徴とする請求項１に記載のトラフィック分析システム。
前記判定部は、トラフィック全体を処理するために必要となる帯域幅から正常な使用者から送信されたトラフィックの帯域幅を減じた帯域幅と、前記サーバが処理可能な帯域幅との関係に基づいて、トラフィックの分析を行うか否かを判定することを特徴とする請求項１または２に記載のトラフィック分析システム。
コンピュータが、
ネットワークを介して端末およびサーバ間で送受信されるトラフィックによる前記ネットワークの通信品質への影響に基づいて、前記トラフィックの分析を行うか否かを判定する判定工程と、
前記判定工程において前記トラフィックの分析を行うと判定した場合に、記憶装置に記憶された前記トラフィックの情報に基づいて、トラフィックの特徴を特定するトラフィック分析工程と、
前記トラフィック分析工程において特定したトラフィックの特徴に対応する前記ネットワーク上のトラフィックを制限するトラフィック制限工程と
を含んだことを特徴とするトラフィック分析方法。
前記トラフィック分析工程は、前記記憶装置に記憶されたトラフィックの情報に基づいて、前記トラフィックの数と該トラフィックの発生した時間との関係を示すトラフィックタイプと、前記トラフィックの経路を識別する経路情報とを特定し、前記トラフィック制限工程は、前記トラフィックタイプおよび前記経路情報に対応する前記ネットワーク上のトラフィックを制限することを特徴とする請求項４に記載のトラフィック分析方法。
前記判定工程は、トラフィック全体を処理するために必要となる帯域幅から正常な使用者から送信されたトラフィックの帯域幅を減じた帯域幅と、前記サーバが処理可能な帯域幅との関係に基づいて、トラフィックの分析を行うか否かを判定することを特徴とする請求項４または５に記載のトラフィック分析方法。