JP2017500807A - ネットワークパケットイベント特徴付け及び分析のためのシステム及び方法 - Google Patents

Abstract

ネットワーク監視のためのコンピュータ実装方法は、仮想ネットワークにおける異なるタイプの複数の処理要素にわたって収集されたネットワークパケットトレースの要約及び特徴付けを支持することを含む、ネットワーク監視のためのネットワークパケットイベント特徴付け及び分析を提供することを含み、個々のパケットイベントをパスベースのトレーススライスに組織化するためのトレーススライシングと、それらのトレーススライスを説明する少なくとも２つのタイプの特性マトリクスを抽出するためのトレース特徴付けと、特性マトリクスのメトリクスに基づいて、パケットトレースをクラスタリング、ランク付け、及びクエリするためのトレース分析とを含む。【選択図】図１

Description

（関連出願の相互参照）
本出願は、２０１３年１２月２０日出願の仮特許出願第６１／９１８，９５７号、名称「Ｓｙｓｔｅｍ ａｎｄ Ｍｅｔｈｏｄ ｆｏｒ Ｎｅｔｗｏｒｋ Ｐａｃｋｅｔ Ｅｖｅｎｔ Ｃｈａｒａｃｔｅｒｉｚａｔｉｏｎ ａｎｄ Ａｎａｌｙｓｉｓ」への優先権を主張するものであり、その内容は、参照により本明細書に組み込まれる。

本発明は、概して、ソフトウェアシステム性能診断に関し、より具体的には、ネットワークパケットイベント特徴付け及び分析に関する。

ネットワーク仮想化は、将来のインターネットワーキングパラダイムの多様化する特質として提唱されている。共有される物理的基板上に共生する複数の異種ネットワークアーキテクチャを導入することによって、ネットワーク仮想化は、革新及び多様化された適用を推進する。コアネットワーク仮想化技術のうちの１つとして、Ｏｐｅｎ ｖＳｗｉｔｃｈ（ＯＶＳ）［１］は、生産品質、多層仮想スイッチである。それは、プログラム拡張を通じた大規模なネットワーク自動化を可能にしつつ、依然として、標準的な管理インターフェースアーキテクチャ及びプロトコル（例えば、ＮｅｔＦｌｏｗ、ｓＦｌｏｗ、ＳＰＡＮ、ＲＳＰＡＮ、ＣＬＩ、ＬＡＣＰ、８０２．１ａｇ）を支持するように設計される。ハイパーバイザ内で実行するソフトスイッチとして、かつスイッチングシリコンのための制御スタックとして、動作することができる。それは、複数の仮想化プラットフォーム及びスイッチングチップセットにポートされている。

しかしながら、この新しい分散環境に移動するとき、明瞭な可視性及びどのようにネットワークが性能しているかの理解を有する方法が存在した方が良い。問題が生じたとき、いずれのテナントに対するいずれのビジネスインパクトにも先立って、それらを解決するための診断及びトラブルシューティング能力を有することが不可欠である。

ネットワークを監視するための従来の抽象的概念及び機構は、しばしば、いくらか断片化される。ｎｅｔｆｌｏｗ及びシンプルネットワークマネージメントプロトコルＳＮＭＰ等のインターフェースアーキテクチャを使用して、ネットワーク要素を監視する、集中化されたソフトウェアアプリケーションが存在する。しかしながら、これらの機構は、機器にわたって一貫性のない実装に悩まされる可能性があり、しばしば、適切な粒度及び抽象的概念において、情報を公開しない。

したがって、以前には教示されていない、ネットワークパケットイベント特徴付け及び分析のための解決策に対する必要性が存在する。

本発明は、ネットワーク監視のためのコンピュータ実装方法を対象とし、仮想ネットワークにおける異なるタイプの複数の処理要素にわたって収集されたネットワークパケットトレースの要約及び特徴付けを支持することと、仮想ネットワークで何が起こっているかの集約図を提供することと、を含む、ネットワーク監視のためのネットワークパケットイベント特徴付け及び分析を提供することを含み、該提供は、個々のパケットイベントをパスベースのトレーススライスに組織化するためのトレーススライシング、それらのトレーススライスを説明する少なくとも２つのタイプの特性マトリクスを抽出するためのトレース特徴付け、並びに特性マトリクスのメトリクスに基づいて、パケットトレースをクラスタリング、ランク付け、及びクエリするためのトレース分析を含み、ネットワーク監視のためのネットワークパケットトレース要約及び特徴付けは、ネットワークにおけるデータパスルーティング問題を診断することを可能にし、かつ新しいネットワーク可視化及びトラフィック分析を可能にする。

本発明の類似の様態において、ネットワーク監視のためのコンピュータ実装方法を可能にするための命令を有する非一時的記憶媒体が提供され、該ネットワーク監視のためのコンピュータ実装方法は、仮想ネットワークにおける異なるタイプの複数の処理要素にわたって収集されたネットワークパケットトレースの要約及び特徴付けを支持することと、仮想ネットワークで何が起こっているかの集約図を提供することと、を含む、ネットワーク監視のためのネットワークパケットイベント特徴付け及び分析を提供することを含み、該提供は、個々のパケットイベントをパスベースのトレーススライスに組織化するためのトレーススライシング、それらのトレーススライスを説明する少なくとも２つのタイプの特性マトリクスを抽出するためのトレース特徴付け、並びに特性マトリクスのメトリクスに基づいて、パケットトレースをクラスタリング、ランク付け、及びクエリするためのトレース分析を含み、ネットワーク監視のためのネットワークパケットトレース要約及び特徴付けは、ネットワークにおけるデータパスルーティング問題を診断することを可能にし、かつ新しいネットワーク可視化及びトラフィック分析を可能にする。

本発明のこれらの及び他の利点は、以下の発明を実施するための形態及び添付の図面を参照することによって、当業者には明らかとなるであろう。

本発明に従う、ＦｌｏｗＶｉｅｗパケットトレース分析の図である。 ＦｌｏｗＶｉｅｗパケットイベントの例を示す。 本発明に従う、ＦｌｏｗＶｉｅｗトレーススライシング手順を示す。 ＦｌｏｗＶｉｅｗトレーススライスの例を示す。 本発明に従う、ＦｌｏｗＶｉｅｗトレース特徴付けの図である。 本発明に従う、ＦｌｏｗＶｉｅｗトレース分析の図である。 エンド・ツー・エンドパケット待ち時間を伴うランク付けの例を示す。 トレーススライスにおけるリンクの数を伴うランク付けを示す。 パケットサイズを伴うランク付けを示す。 クエリ条件の例を示す。 クエリ関数によって報告される一組のパケットトレースを示す。 本発明を実施するための例示的なコンピュータの図である。

本発明は、異なるタイプの複数の処理要素にわたって収集されたＯｐｅｎ ｖＳｗｉｔｃｈ ＯＶＳトレース等のネットワークパケットトレースの要約及び特徴付けを支持し、かつ仮想ネットワークで何が起こっているかの集約図を提供するための方法を対象とする。それは、個々のパケットイベントをパスベースのトレーススライスに組織化するためのトレーススライシングスキームを含む。それはまた、それらのトレーススライスを説明する２つのタイプの特性マトリクスを抽出するためのスライス特徴付けスキーム、並びにそれらの特性メトリクスに基づいてパケットトレースをクラスタリング、ランク付け、及びクエリするための一組のトレース分析アルゴリズムを含む。

図１は、本発明−ＦｌｏｗＶｉｅｗパケットトレース要約及び分析のプロセスを示す。フローチャートは、以下の通りに詳細に説明される：

ブロック１０１は、パケットトレース収集を表す。この工程は、ターゲットネットワークからネットワークパケットトレースを収集する。かかるパケットイベントトレースは、オープンソースｌｉｂｐｃａｐベースのパケットキャプチャツール又は任意の専用パケットダンプツールで、ＯＶＳ又はスイッチ若しくはルータ等の物理的ネットワーク要素から得ることができる。パケットイベントｅは、５タプルオブジェクト［時間Ｔ_ｅ、スイッチＩＤ ＳＷ_ｅ、スイッチポートＰｏｒｔ_ｅ、ＩＮ／ＯＵＴ、パケットヘッダＨ_ｅ、ペイロードＰ_ｅ］として定義され、ここで、時間Ｔ_ｅは、イベントが記録された時間であり、スイッチＩＤ ＳＷ_ｅ、ポートＰｏｒｔ_ｅ、及びＩＮ／ＯＵＴは、どのスイッチ及びポートで、パケットｅがＩＮ又はＯＵＴであったかを説明し、パケットヘッダＨ_ｅ及びペイロードＬ_ｅは、ネットワークヘッダ（イーサネット（登録商標）フレーム及びＩＰヘッダ）、並びにパケットｅのペイロードを記録する。

ブロック１０２は、トレーススライシングを表す。この工程は、元の個々のパケットイベントを別個のトレーススライスに変換し、各スライスは、ネットワークパケットが呼び出し、かつネットワークを横断したときに記録された１０１からの全てのパケットイベントを含む。

ブロック１０３は、トレース特徴付けを表す。この工程は、１０２によるトレーススライス出力から２つのタイプの特性マトリクスを抽出する。

ブロック１０４は、トレース分析を表す。この工程は、一組のデータ分析技術を、１０３による特性メトリクス出力に基づいて、１０２からのトレーススライスに適用する。

本発明の特性は、１０２（トレーススライシング）及び１０３（トレース特徴付け）にある。これらの特性の詳細は、以下で説明される。

図３は、以下の通り、ＦｌｏｗＶｉｅｗトレーススライシング手順の詳細を示す。

ブロック２０１は、収集されたパケットイベントを前処理するための工程を表す。以降は、ターゲットネットワークから収集された全てのパケットイベントにおける前処理手順である：ブロック２０１は、ａ）各パケットイベントｅに対して、［時間Ｔ_ｅ、スイッチＩＤ ＳＷ_ｅ、スイッチポートＰｏｒｔ_ｅ、ＩＮ／ＯＵＴ、パケットヘッダＨ_ｅ、ペイロードＰ_ｅ］を含み、パケットシグネチャＳ_ｅは、ヘッダＨ_ｅ及びペイロードＰ_ｅに基づいて作成される。シグネチャＳ_ｅは、ルーティングプロセスを通じて変化しないイベントｅと関連付けられたパケットにおける不変コンテンツである。ヘッダＨ_ｅにおいて、ＩＰフロー情報［ソースＩＰアドレス、ソースポート、宛先ＩＰアドレス、宛先ポート］は、不変コンテンツの一部である（ＩＰトンネリングに関して、内部ＩＰヘッダのフロー情報は、不変である）。ペイロードＰ_ｅにおいて、全コンテンツ又はコンテンツのハッシュ値は、シグネチャの一部として使用することができる。シグネチャＳ_ｅは、ヘッダＨ_ｅ及びペイロードＰ_ｅの両方から作成された不変コンテンツの組み合わせである。この工程後、各パケットイベントｅは、５タプルオブジェクト［時間Ｔ_ｅ、スイッチＩＤ ＳＷ_ｅ、スイッチポートＰｏｒｔ_ｅ、ＩＮ／ＯＵＴ、パケットヘッダＨ_ｅ、シグネチャＳ_ｅ］に更新され、ペイロードが空間節約のために除去される。

前処理後のＦｌｏｗＶｉｅｗパケットイベントの例が、図２に示される。

ブロック２０１は、ｂ）全てのパケットイベントを集約し、イベントタイムスタンプＴ_ｅによって昇順でそれらを分類し、それらを順序リストデータ構造Ｍに記憶することを含む。

ブロック２０２は、スライスパケットイベントを表す。１つのトレーススライス（ＴＳ）は、ネットワークを横断するときにネットワークパケットが呼び出した全ての記録されたパケットイベントを含む時間順序イベントシーケンスデータ構造＜Ｓ＞として定義される。

以降は、工程２０１において生成されたパケットシグネチャを使用して、１０１における収集されたパケットイベントからトレーススライスを生成するためのスライシングアルゴリズムである。

ブロック２０２は、以下を含む：ａ）空のＴＳセットＴＳＳ＝｛｝を初期化すること、
２０２．ｂ−Ｍにおける第１のパケットイベントｅから開始して最後のものまで続けることと、以下の工程を繰り返すこと：

２０２．ｂ．１−セットＴＳＳにおいてｅのシグネチャＳ_ｅと同じシグネチャを有するいずれかの既存のＴＳを検索し、ＴＳが見つけられない場合、新しいＴＳを作成し、ｅをこのＴＳの第１のイベントとして挿入し、そのシグネチャをＳ_ｅとラベル付けし、継続し、そうでなければ、２０２．ｂ．２に進む、工程。

２０２．ｂ．２−あらゆる見つけられたＴＳについて、その最後のパケットイベントのタイムスタンプが、パケットがネットワークにとどまることができる最大時間であり、かつネットワーク直径の関数であるＴ_Ｄだけｅのタイムスタンプよりも早い場合、新しいＴＳを作成し、このＴＳの第１のイベントとしてｅを挿入し、そのシグネチャをＳ_ｅとラベル付けし、継続し、そうでなければ、２０２．ｂ．３に進む工程。

２０３．ｂ．３−最後のパケットイベントのタイムスタンプがＴ_Ｄを超えて、ｅのタイムスタンプよりも早くない各見つけられたＴＳについて、ｅをこのＴＳの最後のイベントとして付加する工程。

２０２．ｃ−ＴＳセットＴＳＳを返すこと。

ＦｌｏｗＶｉｅｗトレーススライスの例が、以下で図３に示されている。スライスは、（スイッチＩＤ ０００００ｅａ０ａｅｄ９０５４２、ポート１）、（スイッチＩＤ ００００００３０４８９０ｆ９５ｄ、ポート２）、及び（スイッチＩＤ ００００００３０４８９０ｆ９５ｄ、ポート１）を通って横断した１つのパケットに対する３つのネットワークイベントを含む。

図４は、以下の通り、ＦｌｏｗＶｉｅｗトレース特徴付け手順の詳細を示す。

ブロック３０１は、トレーススライスベクトル生成を表す。各パケットは、多様なルートを有し得る。各パケットの挙動を正確に分析し、そのルートを表すために、我々は、トレーススライスベクトルと呼ばれるマトリクスを定義した。この手順は、どのようにトレーススライスベクトルを生成するかを提示する。

入力：
一組のトレーススライス：Ｔ＝｛Ｔ_ｋ｝であり、ｋは、スライスに対する指数であり、｜Ｔ｜＝Ｎ，１≦ｋ≦Ｎである。

トレーススライスは、パスリンクノードの時間順序リストである。Ｔ_ｋ＝｛ｐ_１，．．．，ｐ_ｍ｝である。

パスノードは、パケットが通過するルータ又はスイッチの情報に関する。それは、ｐ_ｍ＝｛タイムスタンプ，スイッチＩＤ，ポート，ＩＮ／ＯＵＴ，パケットヘッダシグネチャ｝からなる。

出力：
トレーススライスは、行がスイッチＩＤを表し、列がポート（＝ｖ_ｋ［スイッチＩＤ］［ポート］）を表す、２次元マトリクスである、トレーススライスベクトルｖ_ｋを有する。

アルゴリズム：ＧｅｎｅｒａｔｅＰａｃｋｅｔＰａｔｈＶｅｃｔｏｒ（Ｔ）
／／各トレースに対して
Ｔにおける各Ｔ_ｋに対して：
ｖ_ｋ＝Ｖ［ｋ］
ｖ_ｋを初期化
Ｔ_ｋにおける各パスリンクノードに対して：
ｖｋ［ｐ．ｓｗｉｔｃｈ ｉｄ］［ｐ．ｐｏｒｔ］＋＝１
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
Ｖを返す。

ブロック３０２は、パケット特性の生成を表す。このコンポーネントは、種々の様態における挙動を理解するためにトレース情報の新しい観点を生成する。この情報は、パケット特性と呼ばれる（３０２）。我々は、均一な方法でパケットトレースイベントからパケット特性を生成するための伝達関数を定義する。トレースイベントとパケット特性との間のマッピングは、多様である。例えば、待ち時間は、パケットの伝送において費やしたエンド・ツー・エンド時間を測定する。パケットのリンクの数は、いくつのスイッチ／ルータを伝送において横断するかを表す。

入力：
一組のトレーススライス：Ｔ＝｛Ｔｋ｝であり、ｋは、トレーススライスに対する指数であり、｜Ｔ｜＝Ｎ，１≦ｋ≦Ｎである。
一組の伝達関数：Ｆ＝｛ｆ_ｌ｝であり、ｌは、リソース伝達関数の指数である。
｜Ｆ｜＝Ｌ，１≦ｌ≦Ｌ

出力：
一組のパケット特性ベクトル：Ｒ

アルゴリズム：ＧｅｎｅｒａｔｅＰａｃｋｅｔＦｅａｔｕｒｅｓ（Ｔ，Ｆ）

／／各トレースに対して
Ｔにおける各Ｔ_ｋに対して：
Ｆにおける各ｆ_ｌに対して：
Ｒ_ｋ，ｌ＝ｆ_ｌ（Ｔ_ｋ）
ｅｎｄ ｆｏｒ
ｅｎｄ ｆｏｒ
Ｒを返す。

伝達関数のいくつかの例は以下の通りである。

待ち時間特性は、第１及び最後のパスリンクノード間の時間である。
ｆ_{ｌａｔｅｎｃｙ}（Ｔ_ｋ）＝｜ｔ_Ｎ−ｔ_１｜，ｅ_ｊ∈Ｔ_ｋ，Ｔ_ｊは、ｅ_ｊに対するタイムスタンプであり、１≦ｊ≦Ｎ。

リンクの数は、単に、スライスの内側のパスリンクノードの数である。
ｆ_{ｎｕｍｌｉｎｋ}（Ｔ_ｋ）＝｜Ｔ_ｋ｜である。

パケットサイズ特性は、パスリンクにわたって一定であるはずであるパケットのサイズである。ｆ_ｓｉｚｅ（Ｔ_ｋ）＝パケットのサイズＴ_ｋ

ブロック１０４は、パケットトレース分析手順を表す。Ｆｌｏｗｖｉｅｗトレース分析手順が、図５に示されている。ＦｌｏｗＶｉｅｗは、３つのタイプのパケットトレース分析：クラスタリング（４０１）、ランク付け（４０２）、及びクエリ（４０３）を提供する。これらの３つの関数は、多用途のパケットトレース分析関数を提供する。

トレーススライスクラスタリング４０１は、パケットのパスの類似性に基づいて、トレーススライスのクラスタを構築する。このパス類似性は、トレーススライスベクトルとして表されるスイッチＩＤ及びポート対の類似性として判定される。

トレーススライスは、トレーススライスベクトルを使用してクラスタリングされる。クラスタリング方法に関して、我々は、距離関数における閾値（Ｔｈｒｅｓ_Ｃ）とともに、接続性に基づくクラスタリング（階層的クラスタリングとも呼ばれる）を使用した。このスキームは、凝集型方法（ボトムアップアプローチ）を使用し、単一結合（最近隣アプローチ）は、クラスタを接続するために使用される。ここで、ａ及びｂは、トレーススライスを表す。それらのトレーススライスベクトルは、ｖ_ａ及びｖ_ｂとして表される。Ａ及びＢは、トレースのクラスタである。

結合基準：ｍｉｎ｛ｄ（ａ，ｂ）：ａ∈Ａ，ｂ∈Ｂ，ｄ（ａ，ｂ）≦Ｔｈｒｅｓ_ｃ｝

トレーススライスベクトルの比較のための距離関数は、Ｅｕｃｌｉｄｅａｎ距離に基づく：

トレースセットにおける各トレース対は、この距離関数をそれらのトレーススライスベクトルに適用することによって比較され、それらは、それらの距離が閾値未満である場合、接続される。

パケットランク付け４０２は、ユーザが、関心対象の所与のランク付けスキームにおけるパケットトレースの有意性を理解することができるように、パケットトレースのランク付けを提供する。

ユーザの関心に依存して、種々の特性ベクトルは、パケットをランク付けするために使用することができる。例えば、我々は、待ち時間、ホップの数、及びパケットサイズを使用して、３つの例のランク付けトレースを示す。トレースは、異なる特性によってランク付けされるが、ランク付け機構は、共通である。

入力：
ランク付け特性数：１
パケット特性ベクトル：Ｒ
トレース：Ｔ

出力：
ランク結果のプリント

アルゴリズム：ＲａｎｋＰａｃｋｅｔＴｒａｃｅｓ（ｌ，Ｒ，Ｔ）

（１，｜Ｔ｜）内の各ｋに対して：
Ｓ．ｐｕｓｈｂａｃｋ（ｋ，Ｒ_ｋ，ｌ）
ｅｎｄ ｆｏｒ
パケット特性Ｒ_ｋ，ｌに関してＳを分類、
Ｒ_ｋ，ｌの昇順でＳをプリント

図６は、待ち時間特性（Ｒ_{ｋ，ｌａｔｅｎｃｙ}）を使用してランク付けされるパケットトレースを示す。

図７は、リンクの数（Ｒ_{ｋ，ｎｕｍｌｉｎｋ}）を使用してランク付けされるパケットトレースを示す。

図８は、パケットサイズ（Ｒ_{ｋ，ｓｉｚｅ}）を使用してパケットトレースをランク付けするランク付けの例を示す。

パケットクエリ４０３では、ユーザがある入力のパケットトレースを見つけたい場合、クエリ関数がかかる目標を達成することができる。一組の条件を前提として、この手順は、一組のトレーススライスをクエリし、クエリ条件に一致する組を報告する。

図９は、クエリ条件の例を示す。図１０は、クエリ関数によって報告される一組のパケットトレースを示す。

クエリアルゴリズムは、パケット特性ベクトルを横断し、全てのクエリ条件を満たすいずれかの一致した項目が存在する場合、それは、一致した項目をリストにプッシュする。横断後、それは、一致したパケットトレースのリストを提示する。

入力：
クエリ数：１
クエリ条件：Ｑ＝｛ｑ｝であり、クエリ条件は、「ａｎｄ」又は「ｏｒ」のいずれかで接続され得る。
パケット特性ベクトル：Ｒ
トレーススライス：Ｔ

出力：
クエリ結果のプリント

アルゴリズム：Ｑｕｅｒｙ（ｌ，Ｑ，Ｒ，Ｔ）

（１，｜Ｔ｜）内の各ｋに対して：
Ｒ_ｋ，ｌが、Ｑにおける条件を満たす場合：
Ｓ．ｐｕｓｈｂａｃｋ（ｋ，Ｒ_ｋ，ｌ）
ｅｎｄ ｆｏｒ
Ｒ_ｋ，ｌの昇順でＳをプリント

本発明は、ハードウェア、ファームウェア、若しくはソフトウェア、又はこれら３つの組み合わせにおいて実施され得る。好ましくは本発明は、プロセッサ、データ記憶システム、揮発性及び不揮発性メモリ、及び／又は記憶素子、少なくとも１つの入力装置、並びに少なくとも１つの出力装置を有する、プログラム可能なコンピュータにおいて実行されるコンピュータプログラムにて実施される。更なる詳細は、米国特許第８３８０５５７号で述べられており、その内容は、参照により組み込まれる。

例として、本発明を支持するためのコンピュータのブロック図が、次に図１１で述べられている。コンピュータは好ましくは、プロセッサ、ランダムアクセスメモリ（ＲＡＭ）、プログラムメモリ（好ましくは、書き込み可能な読み取り専用メモリ（ＲＯＭ）、例えば、フラッシュＲＯＭ）、及びＣＰＵバスにより接続された入力／出力（Ｉ／Ｏ）コントローラを含む。コンピュータは、任意に、ハードディスク及びＣＰＵバスに接続されたハードドライブコントローラを含み得る。ハードディスクは、本発明のようなアプリケーションプログラム及びデータを記憶するために使用され得る。あるいは、アプリケーションプログラムは、ＲＡＭ又はＲＯＭに記憶され得る。Ｉ／Ｏコントローラは、Ｉ／Ｏバスにより、Ｉ／Ｏインターフェースに接続される。Ｉ／Ｏインターフェースは、シリアルリンク、ローカルエリアネットワーク、ワイヤレスリンク、及び並列リンクなどの通信リンクを介して、アナログ又はデジタルの形態でデータを送受信する。任意により、ディスプレイ、キーボード、及びポインティング装置（マウス）がまた、Ｉ／Ｏバスに接続されてもよい。あるいは、Ｉ／Ｏインターフェース、ディスプレイ、キーボード、及びポインティング装置のために別個の接続（別個のバス）が使用されてもよい。プログラミング可能な処理システムが予めプログラムされてもよく、又はこれは別のソース（例えば、フロッピーディスク、ＣＤ−ＲＯＭ、又は別のコンピュータ）からプログラムをダウンロードすることにより、プログラム（及び再プログラム）されてもよい。

各コンピュータプログラムは、機械可読記憶媒体、又は汎用若しくは特定目的プログラム可能コンピュータにより読み取り可能な装置（例えば、プログラムメモリ、又は磁気ディスク）に有形に記憶され、記憶媒体又は装置がコンピュータにより読み込まれるときに、本明細書に記載される手順を実行するように、コンピュータの動作を構成及び制御する。本発明のシステムはまた、コンピュータプログラムを備えるものとして構成されるコンピュータ可読記憶媒体において実現されるものとみなすこともでき、このように構成された記憶媒体は、コンピュータを特定の規定の様式で動作させ、本明細書に記載される機能を実行する。

上述から、本発明は、それらのサイズ、分散状態、及びネットワーク仮想化によって導入される追加の複雑性により、大変な作業であり得る、動作ネットワークの監視及びトラブルシューティングを提供するということが理解され得る。ネットワークオペレータ／インテグレータに利用可能なトラフィック分析ツールセットは、限られている。本発明は、ネットワーク監視及びトラブルシューティングのためのネットワークパケットトレース要約及び特徴付けの技術を提供する。それは、オペレータ／インテグレータがデータパスルーティング問題を診断することを加速することに役立ち得、かつ新しいネットワーク可視化及びトラフィック分析を可能にする。該技術は、柔軟性があり、ネットワークトポロジ情報における事前要件がなく、完全又は部分的ルーティングパスのいずれかを変換するパケットトレースに対処することができる。

上述は、あらゆる点において、制限的ではなく、例解的かつ例示的であるとして理解されるものとし、本明細書において開示される本発明の範囲は、発明を実施するための形態からではなく、むしろ特許法によって許容される最も広い範囲に従って解釈される請求項から判断されるものとする。本明細書において図示及び説明される実施形態は、本発明の原理を例解するものであるにすぎず、当業者は、本発明の範囲及び趣旨から逸脱することなく、種々の修正を実装し得ることが理解されるものとする。当業者は、本発明の範囲及び趣旨から逸脱することなく、種々の他の特性の組み合わせを実装し得る。

Claims (20)

1. ネットワーク監視のためのコンピュータ実装方法であって、
   仮想ネットワークにおける異なるタイプの複数の処理要素にわたって収集されたネットワークパケットトレースの要約及び特徴付けを支持することと、前記仮想ネットワークで何が起こっているかの集約図を提供することと、を含む、ネットワーク監視のためのネットワークパケットイベント特徴付け及び分析を提供することを含み、
   前記提供が、個々のパケットイベントをパスベースのトレーススライスに組織化するためのトレーススライシングと、それらのトレーススライスを説明する少なくとも２つのタイプの特性マトリクスを抽出するためのトレース特徴付けと、前記特性マトリクスのメトリクスに基づいて、パケットトレースをクラスタリング、ランク付け、及びクエリするためのトレース分析と、を含み、
   ネットワーク監視のための前記ネットワークパケットトレース要約及び特徴付けが、前記ネットワークにおけるデータパスルーティング問題の診断を可能にし、かつ新しいネットワーク可視化及びトラフィック分析を可能にする、方法。
2. 前記トレーススライシングが、元の個々のパケットイベントを別個のトレーススライスに変換することを含み、各スライスが、ネットワークパケットが呼び出し、かつ前記ネットワークを横断したときに記録されたパケットトレース収集物からの全てのパケットイベントを含む、請求項１に記載の方法。
3. 前記トレーススライシングが、ターゲットネットワークから収集された全てのパケットイベントを前処理することと、全てのパケットイベントを集約することと、イベントタイムスタンプによって昇順で前記集約されたパケットイベントを分類することと、前記集約されたパケットイベントを順序リストデータ構造に記憶することと、を含む、請求項１に記載の方法。
4. 前記トレーススライシングが、各パケットイベントｅに対して、時間Ｔ_ｅ、スイッチ識別ＩＤ ＳＷ_ｅ、スイッチポートＰｏｒｔ_ｅ、ＩＮ／ＯＵＴ、パケットヘッダＨ_ｅ、及びペイロードＰ_ｅを含む全てのパケットイベントの前処理を含む、請求項１３に記載の方法。
5. 前記前処理が、前記ヘッダＨ_ｅ及びペイロードＰ_ｅに基づいてパケットシグネチャＳ_ｅを作成することを含み、前記シグネチャＳ_ｅが、前記ルーティングプロセスを通して変化しないイベントｅと関連付けられたパケットにおける不変コンテンツであり、前記ヘッダＨ_ｅにおいて、ＩＰフロー情報［ソースＩＰアドレス、ソースポート、宛先ＩＰアドレス、宛先ポート］が、ＩＰトンネリングのための前記不変コンテンツの一部であり、内部ＩＰヘッダのフロー情報が不変である、請求項４に記載の方法。
6. 前記前処理が、前記ペイロードＰ_ｅにおいて、前記コンテンツの全コンテンツ又はハッシュ値が、前記シグネチャの一部として使用され得ることを含み、前記シグネチャＳ_ｅが、前記ヘッダＨ_ｅ及びペイロードＰ_ｅの両方から作成された不変コンテンツの組み合わせであり、次いで、各パケットイベントｅが、時間Ｔ_ｅ、スイッチＩＤ ＳＷ_ｅ、スイッチポートＰｏｒｔ_ｅ、ＩＮ／ＯＵＴ、パケットヘッダＨ_ｅ、及びシグネチャＳ_ｅの５タプルオブジェクトに更新され、前記ペイロードが空間節約のために除去される、請求項４に記載の方法。
7. 前記トレーススライシングが、パケットイベントをスライスすることであって、１つのトレーススライス（ＴＳ）が、前記ネットワークを横断するときにネットワークパケットが呼び出した全ての記録されたパケットイベントを含む時間順序イベントシーケンスデータ構造＜Ｓ＞として定義される、スライスすることと、パケットシグネチャを使用して、収集されたパケットイベントからトレーススライスを生成することと、を含む、請求項１に記載の方法。
8. パケットシグネチャを使用した収集されたパケットイベントからのトレーススライスの前記生成が、
   空トレーススライスＴＳセットＴＳＳ＝｛｝を初期化することと、
   順序リストデータ構造Ｍにおける第１のパケットイベントｅから開始して最後のものまで続けることと、以下の工程：
   前記セットＴＳＳにおいてｅのシグネチャＳ_ｅと同じシグネチャを有する任意の既存のＴＳを検索し、ＴＳが見つけられない場合、新しいＴＳを作成し、このＴＳの第１のイベントとしてｅを挿入し、そのシグネチャをＳ_ｅとラベル付けし、継続する工程、そうでなければ、
   あらゆる見つけられたＴＳについて、その最後のパケットイベントのタイムスタンプが、パケットが前記ネットワークにとどまることができる最大時間であり、かつネットワーク直径の関数であるＴ_Ｄだけｅのタイムスタンプよりも早い場合、新しいＴＳを作成し、このＴＳの前記第１のイベントとしてｅを挿入し、そのシグネチャをＳ_ｅとラベル付けし、継続する工程、そうでなければ、
   最後のパケットイベントのタイムスタンプがＴ_Ｄだけｅのタイムスタンプよりも早くない各見つけられたＴＳについて、ｅをこのＴＳの最後のイベントとして付加し、前記ＴＳセットＴＳＳを返す工程、を繰り返すことと、を含む、請求項７に記載の方法。
9. 前記トレース特徴付けが、トレーススライスベクトル生成を含み、パケットが、多様なルートを有し得、各パケットの挙動を正確に分析し、かつそのルートを表すために、トレーススライスベクトルと呼ばれる定義されたマトリクスに応答して、前記トレーススライスベクトル生成がどのようにトレーススライスベクトルを生成するかを提示する、請求項１に記載の方法。
10. 前記トレース特徴付けが、種々の様態における挙動を理解するためにトレース情報の新しい観点を生成するパケット特性の生成を含み、この情報が、パケット特性と呼ばれ、均一な方法でパケットトレースイベントからパケット特性を生成するための伝達関数の定義が存在し、前記トレースイベントとパケット特性との間のマッピングが多様である、請求項１に記載の方法。
11. ネットワーク監視のためのコンピュータ実装方法を可能にするための命令を有する非一時的記憶媒体であって、前記ネットワーク監視のためのコンピュータ実装方法が、
    仮想ネットワークにおける異なるタイプの複数の処理要素にわたって収集されたネットワークパケットトレースの要約及び特徴付けを支持することと、前記仮想ネットワークで何が起こっているかの集約図を提供することと、を含む、ネットワーク監視のためのネットワークパケットイベント特徴付け及び分析を提供することを含み、
    前記提供が、個々のパケットイベントをパスベースのトレーススライスに組織化するためのトレーススライシングと、それらのトレーススライスを説明する少なくとも２つのタイプの特性マトリクスを抽出するためのトレース特徴付けと、前記特性マトリクスのメトリクスに基づいて、パケットトレースをクラスタリング、ランク付け、及びクエリするためのトレース分析と、を含み、
    ネットワーク監視のための前記ネットワークパケットトレース要約及び特徴付けが、前記ネットワークにおけるデータパスルーティング問題の診断を可能にし、かつ新しいネットワーク可視化及びトラフィック分析を可能にする、非一時的記憶媒体。
12. 前記トレーススライシングが、元の個々のパケットイベントを別個のトレーススライスに変換することを含み、各スライスが、ネットワークパケットが呼び出し、かつ前記ネットワークを横断したときに記録されたパケットトレース収集物からの全てのパケットイベントを含む、請求項１１に記載の方法。
13. 前記トレーススライシングが、ターゲットネットワークから収集された全てのパケットイベントを前処理することと、全てのパケットイベントを集約することと、イベントタイムスタンプによって昇順で前記集約されたパケットイベントを分類することと、前記集約されたパケットイベントを順序リストデータ構造に記憶することと、を含む、請求項１１に記載の方法。
14. 前記トレーススライシングが、各パケットイベントｅに対して、時間Ｔ_ｅ、スイッチ識別ＩＤ ＳＷ_ｅ、スイッチポートＰｏｒｔ_ｅ、ＩＮ／ＯＵＴ、パケットヘッダＨ_ｅ、及びペイロードＰ_ｅを含む全てのパケットイベントの前処理を含む、請求項１３に記載の方法。
15. 前記前処理が、前記ヘッダＨ_ｅ及びペイロードＰ_ｅに基づいてパケットシグネチャＳ_ｅを作成することを含み、前記シグネチャＳ_ｅが、前記ルーティングプロセスを通じて変化しないイベントｅと関連付けられたパケットにおける不変コンテンツであり、前記ヘッダＨ_ｅにおいて、ＩＰフロー情報［ソースＩＰアドレス、ソースポート、宛先ＩＰアドレス、宛先ポート］が、ＩＰトンネリングのための前記不変コンテンツの一部であり、内部ＩＰヘッダのフロー情報が不変である、請求項１４に記載の方法。
16. 前記前処理が、前記ペイロードＰ_ｅにおいて、前記コンテンツの全コンテンツ又はハッシュ値が、前記シグネチャの一部として使用され得ることを含み、前記シグネチャＳ_ｅが、前記ヘッダＨ_ｅ及びペイロードＰ_ｅの両方から作成された不変コンテンツの組み合わせであり、次いで、各パケットイベントｅが、時間Ｔ_ｅ、スイッチＩＤ ＳＷ_ｅ、スイッチポートＰｏｒｔ_ｅ、ＩＮ／ＯＵＴ、パケットヘッダＨ_ｅ、及びシグネチャＳ_ｅの５タプルオブジェクトに更新され、前記ペイロードが空間節約のために除去される、請求項１４に記載の方法。
17. 前記トレーススライシングが、パケットイベントをスライスすることであって、１つのトレーススライス（ＴＳ）が、前記ネットワークを横断するときにネットワークパケットが呼び出した全ての記録されたパケットイベントを含む時間順序イベントシーケンスデータ構造＜Ｓ＞として定義される、スライスすることと、パケットシグネチャを使用して、収集されたパケットイベントからトレーススライスを生成することと、を含む、請求項１１に記載の方法。
18. パケットシグネチャを使用した収集されたパケットイベントからのトレーススライスの前記生成が、
    空トレーススライスＴＳセットＴＳＳ＝｛｝を初期化することと、
    順序リストデータ構造Ｍにおける第１のパケットイベントｅから開始して最後のものまで続けることと、以下の工程：
    前記セットＴＳＳにおいてｅのシグネチャＳ_ｅと同じシグネチャを有する任意の既存のＴＳを検索し、ＴＳが見つけられない場合、新しいＴＳを作成し、このＴＳの第１のイベントとしてｅを挿入し、そのシグネチャをＳ_ｅとラベル付けし、継続する工程、そうでなければ、
    あらゆる見つけられたＴＳについて、その最後のパケットイベントのタイムスタンプが、パケットが前記ネットワークにとどまることができる最大時間であり、かつネットワーク直径の関数であるＴ_Ｄだけｅのタイムスタンプよりも早い場合、新しいＴＳを作成し、このＴＳの前記第１のイベントとしてｅを挿入し、そのシグネチャをＳ_ｅとラベル付けし、継続する工程、そうでなければ、
    最後のパケットイベントのタイムスタンプがＴ_Ｄだけｅのタイムスタンプよりも早くない各見見つけられたＴＳについて、ｅをこのＴＳの最後のイベントとして付加し、
    前記ＴＳセットＴＳＳを返す工程、を繰り返すことと、を含む、請求項１７に記載の方法。
19. 前記トレース特徴付けが、トレーススライスベクトル生成を含み、パケットが、多様なルートを有し得、各パケットの挙動を正確に分析し、かつそのルートを表すために、トレーススライスベクトルと呼ばれる定義されたマトリクスに応答して、前記トレーススライスベクトル生成がどのようにトレーススライスベクトルを生成するかを提示する、請求項１１に記載の方法。
20. 前記トレース特徴付けが、種々の様態における挙動を理解するためにトレース情報の新しい観点を生成するパケット特性の生成を含み、この情報が、パケット特性と呼ばれ、均一な方法でパケットトレースイベントからパケット特性を生成するための伝達関数の定義が存在し、前記トレースイベントとパケット特性との間のマッピングが多様である、請求項１１に記載の方法。

Images