JP2021111940A - 情報収集装置、情報収集方法及び情報収集プログラム - Google Patents

Abstract

【課題】リアルタイム性を確保しながら、トラフィック情報を周期的に収集し、ネットワークに障害が生じたときでも正確なデータを収集できるようにする。【解決手段】本発明は、ネットワーク上のトラフィック情報を生成する解析装置から、トラフィック情報を収集して記憶部に蓄積する情報収集装置において、第１の収集期間毎に、解析装置に対してトラフィック情報を要求して収集すると共に、第１の収集期間後、第２の収集期間毎に、周期的に、収集されたトラフィック情報について解析装置から再収集する収集制御手段と、情報保持手段とを備え、収集制御手段が、収集されたトラフィック情報に含まれている通信量の総計値と、再収集されたトラフィック情報に含まれている通信量の総計値とを比較し、その比較結果に応じてトラフィック情報を記憶部に蓄積する。【選択図】 図１

Description

本発明は、情報収集装置、情報収集方法及び情報収集プログラムに関し、例えば、ネットワーク上に発生する大量のトラフィックのトラフィック情報（トラフィックレポート）を解析装置から収集して蓄積する装置に適用し得るものである。

近年、ネットワーク上には膨大な通信データが流れ、大量のトラフィックが発生している。ネットワークの通信品質の劣化等を回避するため、ネットワークの状況を逐次監視して通信制御等を行なう必要性がある。その際、トラフィックの発生要因を把握することが重要となり、例えば、通信データが流れたネットワークのエリア、時刻、ユーザ端末種別、通信量、アプリケーションなどを特定して通信量を把握することが有効である。

従来、例えば、ネットワーク上のゲートウェイやルータ等のネットワーク機器と接続しているＤＰＩ（Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ）装置が、トラフィックに関する情報（トラフィックレポート）を作成している。また、解析情報収集装置は、ＤＰＩ装置から、周期的に、大容量のトラフィック情報（トラフィックレポート）を収集して、内部ストレージに蓄積している（特許文献１参照）。

この解析情報収集装置によって蓄積されたトラフィックに関する情報は、その後のトラフィックの解析や分析に利用されるので、解析情報収集装置には、正確なデータをリアルタイムで参照できることが求めれている。

特開２０１７−７３５７８号公報

しかしながら、ＤＰＩ装置におけるトラフィックレポートの作成処理に遅延が生じた場合に、解析情報収集装置が、ＤＰＩ装置に対して目的とするトラフィックレポートを要求したとき、トラフィックレポートが完全なデータでない可能性がある。解析情報収集装置が、取得したトラフィックレポートのデータの正確性を判断することは難しく、データを比較するために、例えば、収集後、所定時間経過後に、再度同じトラフィックレポートを収集する必要がある。

また、ＤＰＩ装置と解析情報収集装置との間のネットワークにおいて障害が生じた場合には、トラフィックレポートの収集や再収集ができないことも生じ得、収集処理や収集に係る時間が冗長してしまう。

一方、膨大なトラフィックが発生しているため、トラフィックレポートも大容量であり、そのようなトラフィックレポートを蓄積するストレージの容量負担もある。そのため、リアルタイム性を確保するために、不要なストレージへの書き込みを回避する必要もある。

さらに、ＤＰＩ装置は汎用的な装置を用いており、ＤＰＩ装置に対するトラフィックレポートの収集処理が、本来のＤＰＩ装置の通信制御機能への影響を最小限に抑える必要がある。

そこで、本発明は、リアルタイム性を確保しながら、トラフィック情報を周期的に収集し、ネットワークに障害が生じたときでも正確なデータを収集することができる情報収集装置、情報収集方法及び情報収集プログラムを提供しようとする。

かかる課題を解決するために、第１の本発明に係る情報収集装置は、ネットワークを通過するパケット情報を解析してトラフィック情報を生成する解析装置から、トラフィック情報を収集して記憶部に蓄積する情報収集装置において、第１の収集期間毎に、解析装置に対して所望のトラフィック情報を要求して、解析装置から当該トラフィック情報を収集すると共に、第１の収集期間後、第２の収集期間毎に、周期的に、収集されたトラフィック情報について解析装置から再収集する収集制御手段と、収集されたトラフィック情報を一時的に保持する情報保持手段とを備え、収集制御手段が、情報保持手段に保持されている、収集されたトラフィック情報に含まれている通信量の総計値と、再収集されたトラフィック情報に含まれている通信量の総計値とを比較し、その比較結果に基づいてデータの正確性が高いとみなされるトラフィック情報を記憶部に蓄積することを特徴とする。

第２の本発明に係る情報収集方法は、ネットワークを通過するパケット情報を解析してトラフィック情報を生成する解析装置から、トラフィック情報を収集して記憶部に蓄積する情報収集装置における情報収集方法において、収集制御手段が、第１の収集期間毎に、解析装置に対して所望のトラフィック情報を要求して、解析装置から当該トラフィック情報を収集すると共に、第１の収集期間後、第２の収集期間毎に、周期的に、収集されたトラフィック情報について解析装置から再収集し、情報保持手段が、収集されたトラフィック情報を一時的に保持し、収集制御手段が、情報保持手段に保持されている、収集されたトラフィック情報に含まれている通信量の総計値と、再収集されたトラフィック情報に含まれている通信量の総計値とを比較し、その比較結果に基づいてデータの正確性が高いとみなされるトラフィック情報を記憶部に蓄積することを特徴とする。

第３の本発明に係る情報収集プログラムは、ネットワークを通過するパケット情報を解析してトラフィック情報を生成する解析装置から、トラフィック情報を収集して記憶部に蓄積する情報収集装置に搭載されるコンピュータを、第１の収集期間毎に、解析装置に対して所望のトラフィック情報を要求して、解析装置から当該トラフィック情報を収集すると共に、第１の収集期間後、第２の収集期間毎に、周期的に、収集されたトラフィック情報について解析装置から再収集する収集制御手段と、収集されたトラフィック情報を一時的に保持する情報保持手段として機能させ、収集制御手段が、情報保持手段に保持されている、収集されたトラフィック情報に含まれている通信量の総計値と、再収集されたトラフィック情報に含まれている通信量の総計値とを比較し、その比較結果に基づいてデータの正確性が高いとみなされるトラフィック情報を記憶部に蓄積することを特徴とする。

本発明によれば、リアルタイム性を確保しながら、トラフィック情報を周期的に収集し、ネットワークに障害が生じたときでも正確なデータを収集することができる。

実施形態に係る情報通信システムの全体構成を示す全体構成図である。 実施形態に係る解析情報収集装置の内部構成を示す内部構成図である。 実施形態に係る解析情報収集装置のトラフィック情報の第１の収集の処理動作を示すフローチャートである。 実施形態に係る解析情報収集装置のトラフィック情報の第１の収集の処理動作を説明する説明図である。 実施形態に係る解析情報収集装置のトラフィック情報の第２の収集の処理動作を示すフローチャートである。 実施形態に係る解析情報収集装置のトラフィック情報の第２の収集の処理動作を説明する説明図である。 実施形態に係る解析情報収集装置のトラフィック情報の第３の収集の処理動作を説明する説明図である。

（Ａ）主たる実施形態
以下では、本発明に係る情報収集装置、情報収集方法及び情報収集プログラムの実施形態を、図面を参照しながら詳細に説明する。

（Ａ−１）実施形態の構成
［全体構成］
図１は、実施形態に係る情報通信システムの全体構成を示す全体構成図である。

図１において、実施形態に係る情報通信システム１０は、解析情報収集装置１、解析情報参照装置２、解析装置３（３−１、３−２）を有する。

解析装置３−１及び３−２は、ネットワークＮＷ上を流れる通信データ（パケット）のトラフィック情報を解析するものである。例えば、解析装置３−１及び３−２は、ネットワークＮＷ上のゲートウェイやルータ等のネットワーク機器と接続しており、ネットワーク機器から収集したトラフィック情報を解析する。例えば、解析装置３−１及び３−２は、ＤＰＩ（Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ）機能を有しており、パケットのヘッダ情報に含まれている送信元ＩＰアドレス、宛先ＩＰアドレス、ＴＣＰポート番号、プロトコル、データ種別、通信時刻等を含む情報を逐次解析し、これら解析結果をトラフィック情報として保持する。解析装置３−１及び３−２は、解析情報収集装置１からの収集リクエストにより要求されたトラフィック情報（以下「トラフィックレポート」とも呼ぶ。）を解析情報収集装置１に送信する。なお、この実施形態では、２台の解析装置３−１及び３−２を例示するが、解析装置３の数は限定されない。

解析情報収集装置１は、解析装置３−１及び３−２から解析結果としてのトラフィックレポートを周期的に収集して、内部ストレージ（図２の記憶部１３）にトラフィック情報を蓄積する。解析情報収集装置１と解析装置３−１及び３−２とは、例えばＨＴＴＰを用いた伝送方式を適用でき、解析情報収集装置１が、周期的に、解析装置３−１及び３−２に対して、所望のトラフィックレポートを指定した収集リクエストを送信する。そして、解析情報収集装置は、解析装置３−１及び３−２から、トラフィックレポートを含む収集レスポンスを受信して蓄積する。これにより、解析情報収集装置１は、所望のトラフィックレポートを収集して蓄積（保持）することができる。

例えば、解析情報収集装置１が、解析装置３−１及び３−２からトラフィックレポートを収集する際、要求先である解析装置３−１及び３−２の処理遅延により、送信すべきトラフィックレポートを作成できておらず、不完全なデータを収集してしまうことが生じ得る。また、ネットワーク障害等が発生した場合、解析情報収集装置１は、要求したトラフィックレポートを収集できないことも生じ得る。このように、解析装置３−１及び３−２における処理遅延やネットワーク障害等の影響により、要求したトラフィックレポートの内容が正確なデータではない可能性もある。

そこで、解析情報収集装置１は、収集する特定のトラフィックレポートの正確性を判断するため、今回再収集したトラフィックレポートの通信量の総計値と、前回収集したトラフィックレポートの通信量の総計値とを比較し、通信量の総計値が高い方を、より正確性が高いトラフィックレポートとみなし、そのトラフィックレポートを内部ストレージ（記憶部１３）に蓄積する。なお、解析情報収集装置１の処理の詳細な説明は動作の項で行なう。

ここで、「再収集」は、すでに収集に成功している特定時間帯のトラフィックレポートを再度収集することをいう。つまり、データの正確性を判断するために、今回の収集処理よりも前の収集処理で、収集している特定時間帯のトラフィックレポートを再度収集している。

また、解析情報収集装置１が実施するトラフィックレポートの収集処理には、少なくとも「第１の収集」、「第２の収集」、「第３の収集」が含まれる。

ここで、「第１の収集」は、第１の収集期間毎に、トラフィックレポートを収集する処理であり、最もリアルタイム性が高いものである。第１の収集は、解析装置３−１及び３−２でトラフィックレポートが作成されたと思われる時刻の後、最初に行なう収集である。

「第２の収集」は、第２の収集期間毎に、周期的に、トラフィックレポートを収集する処理である。例えば、１時間毎、数時間毎等に周期的に実施する収集である。第２の収集での収集対象とするトラフィックレポートは、第１の収集で収集に失敗したトラフィックレポートや、再収集するためのトラフィックレポートとすることができる。

「第３の収集」は、第１の収集期間の時刻後（第１の収集後）、第２の収集期間よりも時間長が大きい第３の期間毎又は事前に設定した時刻に、トラフィックレポートを収集する処理である。例えば、第１の収集期間の時刻から２４時間経過後の時刻や、その日の２４時（午前０時）などのように事前設定した時刻に、トラフィックレポートを収集する。第３の収集での収集対象とするトラフィックレポートは、第１の収集又は第２の収集で収集に失敗したトラフィックレポートや、再収集するためのトラフィックレポートとすることができる。例えばネットワーク障害等のように復旧に時間を要する場合もあり、トラフィックレポートを収集できないこともある。そこで、第２の収集期間よりも長い時間経過後又は事前設定した時刻に、再度、トラフィックレポートを収集することで、ネットワーク障害の復旧後に、トラフィックレポートを収集できる。なお、リアルタイム性の確保、無駄なトラフィックの回避、トラフィックレポートの収集に係る処理負荷の軽減等の観点から、第３の収集においても収集又は再収集に失敗したトラフィックレポートについては、その後、収集を実施しないようにしてもよい。換言すると、第３の収集は、トラフィックレポート収集の最終的な実施ともいえる。

また、解析情報収集装置１は、解析情報参照装置２からリクエストされた特定のトラフィック情報をストレージ（記憶部１３）から読み出し、そのトラフィック情報を含む情報を、要求元の解析情報参照装置２に送信する。

ここで、解析情報収集装置１と解析情報参照装置２とは、例えばＨＴＴＰを用いた伝送方式を適用しており、解析情報参照装置２が、解析情報収集装置１に対して参照リクエスト（ＨＴＴＰリクエスト）を送信し、参照リクエストで要求された特定のトラフィック情報を記憶部１３から読み出す。

このとき、解析情報収集装置１は、記憶部１３から読み出した複数のトラフィック情報を、所定のアーカイブフォーマットでまとめてアーカイブ化して参照レスポンス（ＨＴＴＰレスポンス）を、要求元の解析情報参照装置２に送信する。ここで、所定のアーカイブフォーマットとは、複数のトラフィック情報をまとめて取り扱うためのフォーマットであり、複数のトラフィック情報を格納可能な構造を有する。所定のアーカイブフォーマットとしては、例えばＺＩＰフォーマットを適用できる。

解析情報参照装置２は、解析情報収集装置１から取得したトラフィック情報を参照して、詳細な解析や分析を行なうものである。解析情報参照装置２は、解析情報収集装置１に対して、所望のトラフィック情報を指定した参照リクエストを送信する。そして、解析情報参照装置２は、解析情報収集装置１から指定したトラフィック情報を取得して蓄積する。

［解析情報収集装置］
図２は、実施形態に係る解析情報収集装置１の内部構成を示す内部構成図である。

図２において、実施形態に係る解析情報収集装置１は、通信部１１、制御部１２、記憶部１３を有する。図２では、解析情報収集装置１において、解析装置３との間で情報の授受を行なう側の構成を示しており、通信部１１、制御部１２、記憶部１３、補助記憶部１４を有する構成を情報収集装置５０とも呼ぶ。

補助記憶部１４は、一時的に、収集したトラフィックレポートを保持する記憶領域である。後述するように、制御部１１により正確なデータとみなされたトラフィックレポートは記憶部１３に蓄積されるが、それより前の段階で、補助記憶部１４は、一時的にトラフィックレポートを保持する。

記憶部１３は、解析装置３−１及び３−２から収集したトラフィックレポートを蓄積する記憶領域（ストレージ）である。例えば、トラフィックレポートは、ネットワークＮＷを流れた通信データのヘッダ情報に含まれている情報を解析・分析した情報であって、当該通信データの送信元及び宛先のＩＰアドレス、通信ポート番号、通信プロトコル、通信種別、送信元及び宛先のＭＡＣアドレス、通信量等を含む情報である。より具体的には、トラフィックレポートは、上述した通信データのヘッダ情報に基づいて解析・分析された情報であって、エンドユーザ単位又はＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）単位の通信量等を含む。

通信部１１は、解析装置３−１及び３−２との間の通信インタフェースである。通信部１１は、例えばＳＯＡＰ等を適用できる。通信部１１は、解析装置３−１及び３−２に対して収集リクエスト（ＨＴＴＰリクエスト）を送信する送信部１１２と、解析装置３−１及び３−２から受信した収集レスポンス（ＨＴＴＰレスポンス）を、制御部１２に与える受信部１１１とを有する。

制御部１２は、解析情報収集装置１の各種処理を司るものである。制御部１２のハードウェア（図示しない）は、例えば、ＣＰＵ、ＲＯＭ、ＲＡＭ、ＥＥＰＲＯＭ等を有する演算処理装置であり、ＣＰＵが、ＲＯＭに格納される処理プログラム（例えば情報通信プログラム等）を実行することにより、各種処理が実現できる。なお、情報通信プログラムがインストールされることにより、システムが構築されるようにしてもよく、その場合でも、情報通信プログラムは、コンピュータを、図２の制御部１２のブロック図で示した処理として機能させるものとして表すことができる。

制御部１２は、収集レスポンス取得部１２１、トラフィックレポート収集制御部１２２、トラフィックレポート再収集制御部１２３、収集リクエスト作成部１２４を有する。

収集リクエスト作成部１２４は、トラフィックレポート収集制御部１２２又はトラフィックレポート再収集制御部１２３の制御により、特定時間帯のトラフィックレポートを指定した収集リクエスト（例えばＨＴＴＰリクエスト）を作成して、送信部１１２を通じて解析装置３−１及び３−２に送信する。

トラフィックレポート収集制御部１２２は、所定の収集期間毎に、特定時間帯のトラフィックレポートの収集を制御するものである。トラフィックレポートの収集制御部１２２の処理の詳細な説明については後述する。

トラフィックレポート再収集制御部１２３は、所定の再収集期間毎に、特定時間帯のトラフィックレポートの再収集を制御するものである。トラフィックレポート再収集制御部１２３は、前回収集成功している特定時間帯のトラフィックレポートの通信量の総計値と、今回再収集に成功した同じ特定時間帯のトラフィックレポートの通信量の総計値とを比較して、通信量の総計値が大きいトラフィックレポートを記憶部１３に蓄積する。なお、トラフィックレポートの再収集制御部１２３の処理の詳細な説明については後述する。

収集レスポンス取得部１２１は、解析装置３−１及び３−２から取得した収集レスポンスを解析する。

（Ａ−２）実施形態の動作
次に、実施形態に係る解析情報収集装置１における情報送信処理の動作を、図面を参照しながら詳細に説明する。

［トラフィック情報の第１の収集］
図３は、実施形態に係る解析情報収集装置１のトラフィック情報の第１の収集の処理動作を示すフローチャートである。図４は、実施形態に係る解析情報収集装置１のトラフィック情報の第１の収集の処理動作を説明する説明図である。

解析情報収集装置１において、トラフィックレポート収集制御部１２２は、所定の収集期間毎の収集時刻まで待機し（Ｓ１１／ＮＯ）、収集時刻に達すると（Ｓ１１／ＹＥＳ）、解析装置３−１及び３−２に対して、特定時間帯におけるトラフィックレポートの収集を行なう（Ｓ１２）。

例えば、図４において、解析装置３−１及び３−２は、ネットワークＮＷ等のトラフィックに関する情報を取得して、例えば「１０：００〜１０：０５（１０時〜１０時５分）」の５分間隔で、その時間帯に発生したトラフィックのトラフィックレポートを作成しているものとする。トラフィックレポート収集制御部１２１は、解析装置３−１及び３−２において、その時間帯のトラフィックレポートが作成されていると思われる時刻を、収集開始時刻となるように収集期間を設定して、トラフィックレポートの収集を実施する。図４を用いて具体的に説明すると、例えば、「１０：００〜１０：０５」の時間帯のトラフィックレポートを要求しようとする場合、解析装置３−１及び３−２が当該時間帯のトラフィックレポートの作成が完了していると思われる「１０：１０（１０時１０分）」に、解析情報収集装置１が、「１０：００〜１０：０５」の時間帯のトラフィックレポートを、解析装置３−１及び３−２に要求する。なお、収集期間は、図４の例に限定されない。

そして、収集開始時刻に達すると、解析情報収集装置１は解析装置３−１及び３−２に対して収集リクエストを送信する。解析装置３−１及び３−２では、受信した収集リクエストで指定された特定時間帯のトラフィックレポートを読み出し、その特定時間帯のトラフィックレポートを含む収集レスポンスを解析情報収集装置１に送信する。

収集レスポンスを受信した解析情報収集装置１では、収集レスポンス取得部１２１が収集レスポンスを解析し、収集レスポンスから要求した特定時間帯のトラフィックレポートを抽出して、要求した特定時間帯のトラフィックレポートの収集が成功したか否かを判断する（Ｓ１３）。

収集成功の場合（Ｓ１３／ＹＥＳ）、トラフィックレポート収集制御部１２２は、周期収集成功を示す収集実施フラグを当該特定時間帯のトラフィックレポートに関連付けて管理し（Ｓ１４）、当該特定時間帯の特定のトラフィック情報を記憶部１３に蓄積する（Ｓ１６）。

他方、解析装置３−１又は解析装置３−２の処理遅延やネットワーク障害などにより収集失敗の場合（Ｓ１３／ＮＯ）、解析情報収集装置１は、周期収集失敗を示す収集実施フラグを当該特定時間帯のトラフィックレポートに関連付けて管理する（Ｓ１５）。この場合、第１の収集で収集失敗した、当該特定時間帯のトラフィックレポートについては、第２の収集で収集することになる。

その後、図４には図示していないが、例えば、「１０：２０（１０時２０分）」に、解析情報収集装置１が、「１０：０５〜１０：１０」の時間帯のトラフィックレポートを、解析装置３−１及び３−２から収集するなどのように、Ｓ１１〜Ｓ１６の処理を繰り返し行ない、解析情報収集装置１は特定時間帯のトラフィックレポートを収集していく。

［トラフィック情報の第２の収集］
図５は、実施形態に係る解析情報収集装置１のトラフィック情報の第２の収集の処理動作を示すフローチャートである。図６は、実施形態に係る解析情報収集装置１のトラフィック情報の第２の収集の処理動作を説明する説明図である。

解析情報収集装置１において、トラフィックレポート収集制御部１２２は、第２の収集期間の収集時刻になるまで待機し（Ｓ２０１／ＮＯ）、収集時刻に達すると（Ｓ２０１／ＹＥＳ）、収集実施フラグを確認する。

そして、それまでに、収集が成功しているトラフィックレポートについてはＳ２０８の処理に移行する（Ｓ２０２／ＹＥＳ）。他方、それまでに、収集が失敗しているトラフィックレポートについてはＳ２０３の処理に移行する（Ｓ２０２／ＮＯ）。なお、Ｓ２０２では、同じ時間帯のトラフィックレポートを２つ収集することを目的とするので、既に再収集が成功しているトラフィックレポートについては再収集の対象としない。

図６を用いて、第２の収集を説明する。第２の収集は、例えば、１時間毎、数時間毎に行なわれる。

例えば、周期収集やそれ以前に実施された収集処理で、「１０：００〜１０：０５」の時間帯のトラフィックレポートの収集が失敗しているものとする。その場合、１時間毎や数時間毎等の第２の収集の処理により、当該時間帯のトラフィックレポートの収集を実施する。

また例えば、図６において、「１０：００〜１０：０５」の時間帯のトラフィックレポートの収集が成功しているものとする。その場合、１つのトラフィックレポートだけでデータの正確性を判断することができないので、当該時間帯のトラフィックレポートが完全なデータであるか否かを判断するため、当該時間帯のトラフィックレポートの再収集を実施する。

Ｓ２０３では、収集失敗している特定時間帯のトラフィックレポートについて、トラフィックレポート収集制御部１２２が収集する（Ｓ２０３）。

つまり、解析情報収集装置１は、前回収集失敗している特定時間帯のトラフィックレポートを要求対象として、解析装置３−１及び３−２に収集リクエストを送信する。その後、解析装置３−１及び３−２は、受信した収集リクエストで指定された特定時間帯のトラフィックレポートを含む収集レスポンスを解析情報収集装置１に送信する。複数のトラフィックレポートが収集失敗している場合、当該複数のトラフィックレポートについて順次収集を実施するようにしてもよい。

収集レスポンスを受信した解析情報収集装置１では、収集レスポンス取得部１２１が収集レスポンスを解析して、収集レスポンスから要求した特定時間帯のトラフィックレポートを抽出する。そして、要求した特定時間帯のトラフィックレポートの収集が成功したか否かを判断する（Ｓ２０４）。

収集成功の場合（Ｓ２０４／ＹＥＳ）、トラフィックレポート収集制御部１２２は、収集成功を示す収集実施フラグを当該特定時間帯のトラフィックレポートに関連付けて管理し（Ｓ２０５）、当該特定時間帯の特定のトラフィック情報を記憶部１３に蓄積する（Ｓ２０７）。

他方、例えばネットワーク障害などにより収集失敗の場合（Ｓ２０４／ＮＯ）、トラフィックレポート収集制御部１２２は、収集失敗を示す収集実施フラグを、当該特定時間帯のトラフィックレポートに関連付けて管理する（Ｓ２０６）。この収集失敗したトラフィックレポートは、次回の第２の収集（例えば、更に１時間後の第２の収集）で再度収集される対象としてもよい。換言すると、収集失敗したトラフィックレポートは、その後周期的に実施される第２の収集での収集対象としてもよい。

Ｓ２０８では、トラフィックレポート再収集制御部１２３が、収集成功している特定時間帯のトラフィックレポートに含まれている膨大なトラフィックに関して、各トラフィックの通信量の総計値を導出する（Ｓ２０８）。

そして、収集成功している特定時間帯のトラフィックレポートについて、トラフィックレポート再収集制御部１２３は再収集する（Ｓ２０９）。つまり、解析情報収集装置１は、前回収集成功している特定時間帯のトラフィックレポートを要求対象として、解析装置３−１及び３−２に収集リクエストを送信する。その後、解析装置３−１及び３−２は、受信した収集リクエストで指定された特定時間帯のトラフィックレポートを含む収集レスポンスを解析情報収集装置１に送信する。

収集レスポンスを受信した解析情報収集装置１では、収集レスポンス取得部１２１が収集レスポンスを解析し、収集レスポンスから要求した特定時間帯のトラフィックレポートを抽出して、要求した特定時間帯のトラフィックレポートの再収集が成功したか否かを判断する（Ｓ２１０）。

そして、再収集成功の場合（Ｓ２１０／ＹＥＳ）、トラフィックレポート再収集制御部１２３は、２回以上の再収集を回避するため、再収集成功を示す収集実施フラグを当該特定時間帯のトラフィックレポートに関連付けて管理する（Ｓ２１１）。他方、例えばネットワーク障害などにより、再収集失敗の場合（Ｓ２１０／Ｎｏ）、トラフィックレポート再収集制御部１２３は、再収集失敗を示す収集実施フラグを、当該特定時間帯のトラフィックレポートに関連付けて管理する（Ｓ２１５）。

Ｓ２１２では、トラフィックレポート再収集制御部１２３が、今回再収集した特定時間帯のトラフィックレポートに含まれている膨大なトラフィックに関して、各トラフィックの通信量の総計値を導出する（Ｓ２１２）。

トラフィックレポート再収集制御部１２３は、Ｓ２０８で導出した前回収集成功している特定時間帯のトラフィックレポートの通信量の総計値と、今回再収集に成功した同じ特定時間帯のトラフィックレポートの通信量の総計値とを比較する（Ｓ２１３）。そして、通信量の総計値が大きいトラフィックレポートを記憶部１３に蓄積する（Ｓ２１４）。

つまり、ここでは、トラフィックレポートの通信量の総計値を用いてデータの正確性を判断している。トラフィックレポートは、大容量のデータであり、膨大な数のトラフィックに関する情報が含まれている。そのため、２つのトラフィックレポートに含まれている全てのトラフィックデータの差分等をとり、データの正確性を判断しようとすると、その処理負荷や処理時間が非常に大きくなり、リアルタイム性を確保できない。

そこで、この実施形態では、２つのトラフィックレポートのそれぞれに含まれている全てのトラフィックデータの通信量の総計値をとり、２つの通信量の総計値を比べて、通信量の総計値が大きい方を、より正確なトラフィックレポートとみなし、これを記憶部１３に蓄積するようにしている。これにより、データ正確性の判断についてリアルタイム性を確保することができる。

［トラフィック情報の第３の収集］
図７は、実施形態に係る解析情報収集装置１のトラフィック情報の第３の収集の処理動作を説明する説明図である。

第３の収集の処理動作は、基本的には第２の収集の処理動作と同じであるので、図５を参照して説明する。

例えば解析装置３−１及び３−２において、トラフィックレポートの作成処理が遅延している場合や、一時的なネットワークの輻輳等が生じた場合などでは、第２の収集を実施することで、トラフィックレポートを収集又は再収集することが可能である。しかし、例えばネットワーク障害等によりその復旧に時間がかかっている場合には、トラフィックレポートの収集又は再収集ができない場合もある。その一方で、第２の収集を続行していくことで、収集処理に時間がかかってしまい、リアルタイム性の確保が難しくなる。

そこで、第３の収集では、ネットワーク復旧等を考慮した時刻に、最終的なトラフィックレポートの収集を実施する。

以下、図５及び図７を用いて、第３の収集の処理動作を説明する。なお、第２の収集の処理動作で重複する処理については簡単に説明する。

図５において、解析情報収集装置１において、トラフィックレポート収集制御部１２２は、第３の収集の収集時刻になるまで待機し（Ｓ２０１／ＮＯ）、収集時刻に達すると（Ｓ２０１／ＹＥＳ）、収集実施フラグを確認する。

そして、それまでに収集成功のトラフィックレポートについてはＳ２０８の処理に移行し（Ｓ２０２／ＹＥＳ）、それまでに収集失敗のトラフィックレポートについてはＳ２０３の処理に移行する（Ｓ２０２／ＮＯ）。なお、Ｓ２０２では、既に再収集が成功しているトラフィックレポートについては再収集の対象としない。

図７の例では、第１の収集の収集時刻から２４時間経過後の時刻に、第３の収集が実施される場合を例示している。例えば、周期収集やそれ以前に実施された収集処理で、「１０：００〜１０：０５」の時間帯のトラフィックレポートの収集又は再収集が失敗しているものとする。その場合、第１の収集の収集時刻の２４時間経過後に、当該時間帯のトラフィックレポートの収集を実施する。

Ｓ２０３では、収集失敗している特定時間帯のトラフィックレポートについて、トラフィックレポート収集制御部１２２が収集する（Ｓ２０３）。解析情報収集装置１では、収集レスポンスから要求した特定時間帯のトラフィックレポートを抽出する。そして、要求した特定時間帯のトラフィックレポートの収集が成功したか否かを判断する（Ｓ２０４）。

収集成功の場合（Ｓ２０４／ＹＥＳ）、トラフィックレポート収集制御部１２２は、収集成功を示す収集実施フラグを当該特定時間帯のトラフィックレポートに関連付けて管理し（Ｓ２０５）、当該特定時間帯の特定のトラフィック情報を記憶部１３に蓄積する（Ｓ２０７）。

他方、収集失敗の場合（Ｓ２０４／ＮＯ）、トラフィックレポート収集制御部１２２は、収集失敗を示す収集実施フラグを、当該特定時間帯のトラフィックレポートに関連付けて管理する（Ｓ２０６）。その後、当該時間帯のトラフィックレポートの収集を実施しない。

Ｓ２０８では、トラフィックレポート再収集制御部１２３が、収集成功している特定時間帯のトラフィックレポートに含まれている、各トラフィックの通信量の総計値を導出する（Ｓ２０８）。

そして、収集成功している特定時間帯のトラフィックレポートについて、トラフィックレポート再収集制御部１２３は再収集し（Ｓ２０９）、要求した特定時間帯のトラフィックレポートの再収集が成功したか否かを判断する（Ｓ２１０）。

再収集成功の場合（Ｓ２１０／ＹＥＳ）、トラフィックレポート再収集制御部１２３は、再収集成功を示す収集実施フラグを当該特定時間帯のトラフィックレポートに関連付けて管理する（Ｓ２１１）。他方、再収集失敗の場合（Ｓ２１０／Ｎｏ）、トラフィックレポート再収集制御部１２３は、再収集失敗を示す収集実施フラグを、当該特定時間帯のトラフィックレポートに関連付けて管理する（Ｓ２１５）。

Ｓ２１２では、トラフィックレポート再収集制御部１２３が、今回再収集した特定時間帯のトラフィックレポートに含まれている膨大なトラフィックに関して、各トラフィックの通信量の総計値を導出する（Ｓ２１２）。

トラフィックレポート再収集制御部１２３は、Ｓ２０８で導出した前回収集成功している特定時間帯のトラフィックレポートの通信量の総計値と、今回再収集に成功した同じ特定時間帯のトラフィックレポートの通信量の総計値とを比較する（Ｓ２１３）。そして、通信量の総計値が大きいトラフィックレポートを記憶部１３に蓄積する（Ｓ２１４）。

（Ａ−３）実施形態の効果
以上のように、実施形態によれば、不要な収集処理を抑止しながら、ネットワークレポートの収集が可能となる。

また、実施形態によれば、トラフィックレポートの収集及び蓄積処理のＩ／Ｏ負荷を軽減することで、トラフィックレポートの周期的な収集を、リアルタイム性を確保して実施することができる。

１０…情報通信システム、１…解析情報収集装置、１１…通信部、１２…制御部、１３…記憶部、１４…補助記憶部、１２１…収集レスポンス取得部、１２２…トラフィックレポート収集制御部、１２３…トラフィックレポート再収集制御部、１２４…収集リクエスト作成部、２…解析情報参照装置、３（３−１、３−２）…解析装置。

Claims (5)

1. ネットワークを通過するパケット情報を解析してトラフィック情報を生成する解析装置から、上記トラフィック情報を収集して記憶部に蓄積する情報収集装置において、
   第１の収集期間毎に、上記解析装置に対して所望のトラフィック情報を要求して、上記解析装置から当該トラフィック情報を収集すると共に、上記第１の収集期間後、第２の収集期間毎に、周期的に、収集された上記トラフィック情報について上記解析装置から再収集する収集制御手段と、
   収集された上記トラフィック情報を一時的に保持する情報保持手段と
   を備え、
   上記収集制御手段が、上記情報保持手段に保持されている、収集された上記トラフィック情報に含まれている通信量の総計値と、再収集された上記トラフィック情報に含まれている通信量の総計値とを比較し、その比較結果に基づいてデータの正確性が高いとみなされるトラフィック情報を上記記憶部に蓄積する
   ことを特徴とする情報収集装置。
2. 上記収集制御手段は、上記第１の収集期間で上記トラフィック情報の収集に失敗したときに、上記第１の収集期間よりも長い上記第２の収集期間毎に、周期的に、収集失敗した上記トラフィック情報を上記解析装置から収集することを特徴とする請求項１に記載の情報収集装置。
3. 上記収集制御手段は、上記第１の収集期間後の第３の収集期間で、上記トラフィック情報の収集又は再収集を行ない、当該第３の収集期間で、上記トラフィック情報の収集又は再収集に失敗したときには、その後、当該トラフィック情報の収集を行なわないことを特徴とする請求項１又は２に記載の情報収集装置。
4. ネットワークを通過するパケット情報を解析してトラフィック情報を生成する解析装置から、上記トラフィック情報を収集して記憶部に蓄積する情報収集装置における情報収集方法において、
   収集制御手段が、第１の収集期間毎に、上記解析装置に対して所望のトラフィック情報を要求して、上記解析装置から当該トラフィック情報を収集すると共に、上記第１の収集期間後、第２の収集期間毎に、周期的に、収集された上記トラフィック情報について上記解析装置から再収集し、
   情報保持手段が、収集された上記トラフィック情報を一時的に保持し、
   上記収集制御手段が、上記情報保持手段に保持されている、収集された上記トラフィック情報に含まれている通信量の総計値と、再収集された上記トラフィック情報に含まれている通信量の総計値とを比較し、その比較結果に基づいてデータの正確性が高いとみなされるトラフィック情報を上記記憶部に蓄積する
   ことを特徴とする情報収集方法。
5. ネットワークを通過するパケット情報を解析してトラフィック情報を生成する解析装置から、上記トラフィック情報を収集して記憶部に蓄積する情報収集装置に搭載されるコンピュータを、
   第１の収集期間毎に、上記解析装置に対して所望のトラフィック情報を要求して、上記解析装置から当該トラフィック情報を収集すると共に、上記第１の収集期間後、第２の収集期間毎に、周期的に、収集された上記トラフィック情報について上記解析装置から再収集する収集制御手段と、
   収集された上記トラフィック情報を一時的に保持する情報保持手段と
   して機能させ、
   上記収集制御手段が、上記情報保持手段に保持されている、収集された上記トラフィック情報に含まれている通信量の総計値と、再収集された上記トラフィック情報に含まれている通信量の総計値とを比較し、その比較結果に基づいてデータの正確性が高いとみなされるトラフィック情報を上記記憶部に蓄積する
   ことを特徴とする情報収集プログラム。

Images