JP4267633B2

JP4267633B2 - ネットワークシステム及びトラヒック情報集約装置

Info

Publication number: JP4267633B2
Application number: JP2006050154A
Authority: JP
Inventors: 大典松原; 靖福田; 聡史清藤; 智宏馬場
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2006-02-27
Filing date: 2006-02-27
Publication date: 2009-05-27
Anticipated expiration: 2026-02-27
Also published as: US20070201359A1; CN101030896A; US8311039B2; CN100499523C; JP2007228513A

Description

本発明は、トラヒック情報集約装置及び監視サーバを備えるネットワークシステムに関し、特に、トラヒック情報を集約する技術に関する。

従来のトラヒック情報監視システムは、ルータ装置、トラヒック情報集約装置及び監視サーバを備える。トラヒック情報集約装置は、ルータ装置に接続される。また、監視サーバは、トラヒック情報集約装置に接続される。

ルータ装置は、トラフック情報をトラヒック情報集約装置に送信する。トラヒック情報集約装置は、ルータ装置から受信したトラヒック情報を、ファイルとして記憶する。そして、トラヒック情報集約装置は、監視サーバからトラヒック情報を要求されると、トラヒック情報のファイルを監視サーバに送信する。

なお、トラヒック情報の集約に関しては、非特許文献１に開示されている。
IPFIX Aggregation <draft-dressler-ipfix-aggregation-02.txt>、インターネット<URL:http://www.ietf.org/internet-drafts/draft-dressler-ipfix-aggregation-02.txt>

従来のトラヒック情報監視システムでは、監視サーバは、ファイル単位でトラヒック情報を受信する。つまり、監視サーバは、特定のトラヒック情報だけを受信することができない。そのため、監視サーバによって受信されるデータ量が多くなるという問題があった。これによって、従来のトラヒック情報監視システムでは、大規模ネットワークにおけるシステム拡張性に問題があった。

本発明は、前述した問題点に鑑みてなされたものであって、監視サーバによって受信されるデータ量を削減するネットワークシステムを提供することを目的とする。

本発明の代表的な形態は、ネットワークにおいてデータを転送するルータ装置に接続され、プロセッサ、メモリ及びインタフェースを備えるトラヒック情報集約装置と、前記トラヒック情報集約装置に接続され、プロセッサ、メモリ及びインタフェースを備える監視サーバと、を備えるネットワークシステムにおいて、前記トラヒック情報集約装置は、前記ルータ装置からトラヒック情報を受信し、前記受信したトラヒック情報に集約識別子を付与し、前記付与された集約識別子に基づいて、前記トラヒック情報を集約することによって、前記トラヒック情報を統計処理した集約情報を作成し、前記作成された集約情報及び前記付与された集約識別子を前記監視サーバに送信し、前記集約識別子を含む検索要求を前記監視サーバから受信すると、当該受信した検索要求に含まれる集約識別子に基づいて、前記受信したトラヒック情報の中から、要求されたトラヒック情報を検索することを特徴とする。

本発明の代表的な形態によれば、監視サーバによって受信されるデータ量を削減できる。

以下、本発明の実施の形態を図面を参照して説明する。

（第１の実施の形態）
図１は、本発明の第１の実施の形態のトラヒック情報監視システムの構成のブロック図である。

トラヒック情報監視システムは、ルータ装置１１１、トラヒック情報集約装置１２１及び監視サーバ１３１を備える。トラヒック情報集約装置１２１は、一台以上のルータ装置１１１に接続される。また、監視サーバ１３１は、一台以上のトラヒック情報集約装置１２１に接続される。

ルータ装置１１１は、異なるネットワークを相互に接続する。つまり、ルータ装置１１１は、ネットワーク上を流れるデータを転送する。また、ルータ装置１１１は、トラヒック情報をトラヒック情報集約装置１２１に送信する。

トラヒック情報集約装置１２１は、ルータ装置１１１から送信されたトラヒック情報を集約する。なお、トラヒック情報集約装置１２１については、図２で詳細を説明する。監視サーバ１３１は、ＣＰＵ、メモリ及びインタフェースを備える計算機である。

なお、ルータ装置１１１とトラヒック情報集約装置１２１とが同一の筐体内にあってもよい。また、監視サーバ１３１とトラヒック情報集約装置１２１とが同一の筐体内にあってもよい。

次に、トラヒック情報監視システムの処理の概略を説明する。

ルータ装置１１１は、接続されているトラヒック情報集約装置１２１に、トラヒック情報を送信する。トラヒック情報は、例えば、ＮｅｔＦｌｏｗ又はｓＦｌｏｗなどである。

トラヒック情報集約装置１２１は、ルータ装置１１１からトラヒック情報を受信する。次に、トラヒック情報集約装置１２１は、受信したトラヒック情報をファイルとして記憶する。

次に、トラヒック情報集約装置１２１は、記憶しているトラヒック情報を集約することによって、集約情報を作成する。なお、集約情報は、トラヒック情報に関する統計情報である。

次に、トラヒック情報集約装置１２１は、ＮｅｔＦｌｏｗなどのプロトコルを用いて、作成した集約情報を監視サーバ１３１に送信する。

一方、監視サーバ１３１は、クエリ要求をトラヒック情報集約装置１２１に送信する。トラヒック情報集約装置１２１は、監視サーバ１３１からクエリ要求を受信すると、記憶しているトラヒック情報の中から、当該クエリ要求に対応するトラヒック情報を検索する。そして、トラヒック情報集約装置１２１は、検索したトラヒック情報を監視サーバ１３１に送信する。

図２は、本発明の第１の実施の形態のトラヒック情報集約装置１２１の構成のブロック図である。

トラヒック情報集約装置１２１は、通信インタフェース部３０１、制御処理プロセッサ３２０、データ入出力制御部３０４、データ記憶装置３０６、管理者入出力部（図示省略）及びメモリ（図示省略）を備える。

通信インタフェース部３０１は、ルータ装置１１１及び監視サーバ１３１に接続される。

データ記憶装置３０６は、各種情報を記憶する。具体的には、データ記憶装置３０６は、トラヒック情報テーブル３０７を記憶する。トラヒック情報テーブル３０７には、ルータ装置１１１から送信されたトラヒック情報が格納される。なお、トラヒック情報テーブル３０７については、図３で詳細を説明する。

データ入出力制御部３０４は、データ記憶装置３０６に対するデータの入出力を制御する。

管理者入出力部には、管理者から情報が入力される。また、管理者入出力部は、各種情報を出力する。例えば、管理者入出力部は、ディスプレイ及びキーボード等を含む。

制御処理プロセッサ３２０は、メモリに記憶されているプログラムを実行することによって、通信プロトコル制御部３０２及びサーバ制御論理部３０３を実現する。メモリには、制御処理プロセッサ３２によって実行されるプログラム及び制御処理プロセッサ３２０によって必要とされる情報が記憶される。

通信プロトコル処理部３０２は、通信プロトコルを処理する。具体的には、通信プロトコル処理部３０２は、トラヒック情報集約装置１２１の内部のプロトコルと外部のプロトコルとを相互に変換する。

また、サーバ制御論理部３０３は、トラヒック情報蓄積部３１０、集約処理部３１１、集約情報送信部３１２、クエリ処理部３１３及び集約タイマ処理部３１４を含む。

トラヒック情報蓄積部３１０は、ルータ装置１１１からトラヒック情報を受信する。そして、トラヒック情報蓄積部３１０は、受信したトラヒック情報をトラヒック情報テーブル３０７に格納する。

集約処理部３１１は、トラヒック情報テーブル３０７に格納されているトラヒック情報を集約することによって、集約情報を作成する。

集約情報送信部３１２は、集約処理部３１１によって作成された集約情報を、監視サーバ１３１に送信する。

クエリ処理部３１３は、監視サーバ１３１からクエリ要求を受信する。クエリ処理部３１３は、受信したクエリ要求に対応するトラヒック情報を、トラヒック情報テーブル３０７から検索する。そして、クエリ処理部３１３は、検索したトラヒック情報をクエリ結果として、監視サーバ１３１に送信する。

集約タイマ処理部３１４は、集約処理部３１１に集約用のタイマを提供する。これによって、集約処理部３１１は、所定の時間内に受信されたトラヒック情報を集約することによって、集約情報を作成する。

図３は、本発明の第１の実施の形態のトラヒック情報テーブル３０７の構成図である。

トラヒック情報テーブル３０７は、トラヒック情報識別子（ＲＥＣＯＲＤ＿ＩＤ）３０７１、送信元ＩＰアドレス（ＩＰＶ４＿ＳＲＣ＿ＡＤＤＲ）３０７２、送信先ＩＰアドレス（ＩＰＶ４＿ＤＳＴ＿ＡＤＤＲ）３０７３、バイト数（ＩＮ＿ＢＹＴＥＳ）３０７４及び集約識別子（ＡＧＧＲ＿ＩＤ）３０７５を含む。

トラヒック情報識別子３０７１は、トラヒック情報の一意な識別子である。送信元ＩＰアドレス３０７２は、当該レコードのトラヒック情報識別子３０７１によって識別されるトラヒック情報に対応する通信フローの送信元のＩＰアドレスである。送信先ＩＰアドレス３０７３は、当該レコードのトラヒック情報識別子３０７１によって識別されるトラヒック情報に対応する通信フローの送信先のＩＰアドレスである。

バイト数３０７４は、当該レコードのトラヒック情報識別子３０７１によって識別されるトラヒック情報に対応する通信フローにおいて送信されるデータのバイト数である。集約識別子３０７５は、当該レコードのトラヒック情報識別子３０７１によって識別されるトラヒック情報に対応する集約情報の一意な識別子である。集約識別子３０７８は、トラヒック情報集約装置１２１がトラヒック情報を集約する際に使用される。更に、集約識別子３０７８は、トラヒック情報集約装置１２１がトラヒック情報を検索する際にも使用される。

図４は、本発明の第１の実施の形態のトラヒック情報監視システムの処理のシーケンス図である。

まず、監視サーバ１３１はトラヒック情報集約装置１２１に集約条件を送信する（５０１）。

集約条件は、トラヒック情報集約装置１２１がトラヒック情報を集約する条件である。具体的には、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号、送信元ＩＰアドレスのプレフィックス、送信先ＩＰアドレスのプレフィックス、ＡＳ（ＡｕｔｏｎｏｍｏｕｓＳｙｓｔｅｍ）、プロトコル番号又はＴｏＳ（ＴｙｐｅｏｆＳｅｒｖｉｃｅ）が、集約条件として送信される。また、これらの組み合わせが、集約条件として送信されてもよい。なお、集約条件については、図５で詳細を説明する。

トラヒック情報集約装置１２１は、集約条件を監視サーバから受信する。すると、トラヒック情報集約装置１２１は、受信した集約条件を、当該トラヒック情報集約装置１２１に備わるメモリに記憶する。そして、トラヒック情報集約装置１２１は、到着確認パケット（ＡＣＫ）を監視サーバ１３１に送信する（５０２）。

一方、ルータ装置１１１は、トラヒック情報をトラヒック情報集約装置１２１に送信する。

トラヒック情報集約装置１２１は、トラヒック情報を受信する（５０３、５０４、５０５）。すると、トラヒック情報集約装置１２１は、受信したトラヒック情報を、トラヒック情報テーブル３０７に格納する。

具体的には、トラヒック情報集約装置１２１は、受信したトラヒック情報にトラヒック情報識別子を付与する。更に、トラヒック情報集約装置１２１は、メモリに記憶されている集約条件に基づいて、受信したトラヒック情報に集約識別子を付与する。

次に、トラヒック情報集約装置１２１は、トラヒック情報テーブル３０７に新たなレコードを作成する。次に、トラヒック情報集約装置１２１は、付与したトラヒック情報識別子を、新たなレコードのトラヒック情報識別子３０７１に格納する。次に、トラヒック情報集約装置１２１は、付与した集約識別子を、新たなレコードの集約識別子３０７５に格納する。

次に、トラヒック情報集約装置１２１は、受信したトラヒック情報に対応する通信フローの送信元ＩＰアドレスを、新たなレコードの送信元ＩＰアドレス３０７２に格納する。次に、トラヒック情報集約装置１２１は、受信したトラヒック情報に対応する通信フローの送信先ＩＰアドレスを、新たなレコードの送信先ＩＰアドレス３０７３に格納する。次に、トラヒック情報集約装置１２１は、受信したトラヒック情報に対応する通信フローのバイト数を、新たなレコードのバイト数３０７４に格納する。

このようにして、トラヒック情報集約装置１２１は、受信したトラヒック情報をトラヒック情報テーブル３０７に格納する。

次に、トラヒック情報集約装置１２１は、トラヒック情報テーブル３０７に格納されているトラヒック情報を集約する。なお、トラヒック情報集約装置１２１は、所定の時間内に受信されたトラヒック情報を集約する。所定の時間は、集約タイマ処理部３１４によって測定される。

具体的には、トラヒック情報集約装置１２１は、トラヒック情報テーブル３０７の集約識別子３０７５が同一のトラヒック情報を集約することによって、集約情報を作成する。なお、トラヒック情報集約装置１２１によって実行される集約処理については、図６で詳細を説明する。

次に、トラヒック情報集約装置１２１は、作成した集約情報を監視サーバ１３１に送信する（５０６）。本実施の形態における集約情報には、集約識別子が含まれる。なお、集約情報については、図７で詳細を説明する。

監視サーバ１３１は、集約情報をトラヒック情報集約装置１２１から受信する。すると、監視サーバ１３１は、ＡＣＫを監視サーバに送信する（５０７）。

その後、監視サーバ１３１は、トラヒック情報集約装置１２１にクエリ要求を送信する（５０８）。本実施の形態におけるクエリ要求には、集約識別子が含まれる。なお、クエリ要求については、図８で詳細を説明する。

トラヒック情報集約装置１２１は、クエリ要求を監視サーバ１３１から受信する。すると、トラヒック情報集約装置１２１は、当該クエリ要求に含まれる集約識別子に基づいて、トラヒック情報テーブル３０７の中から、当該クエリ要求に対応するトラヒック情報を検索する。

そして、トラヒック情報集約装置１２１は、検索したトラヒック情報を、クエリ結果として監視サーバ１３１に送信する。なお、クエリ結果については、図９で詳細を説明する。

図５は、本発明の第１の実施の形態の監視サーバ１３１によって送信される集約条件の説明図である。

集約条件は、集約のキー（ＡＧＧＲ＿ＫＥＹ）、集約する値（ＡＧＧＲ＿ＶＡＬＵＥ）、及び集約識別子の種類（ＡＧＧＲ＿ＩＤ＿ＴＹＰＥ）を含む。

トラヒック情報集約装置１２１は、集約のキーが同一の値のトラヒック情報を集約することによって、集約情報を作成する。集約する値は、トラヒック情報に含まれる値のうち、トラヒック情報集約装置１２１によって集約される値である。

集約識別子の種類は、集約情報に付与される識別子の種類である。

本説明図の集約条件では、集約のキーは、送信元ＩＰアドレス（ＩＰＶ４＿ＳＲＣ＿ＡＤＤＲ）と送信先ＩＰアドレス（ＩＰＶ４＿ＤＳＴ＿ＡＤＤＲ）との組み合わせである。また、集約する値は、通信フローのバイト数（ＩＮ＿ＢＹＴＥＳ）である。

また、集約識別子の種類は、シークエンシャルである。この場合、トラヒック情報集約装置１２１は、順番に低い番号を集約識別子とする。

トラヒック情報集約装置１２１は、図５に示す集約条件を受信する。その後、トラヒック情報集約装置１２１は、当該集約条件に基づいて、トラヒック情報をトラヒック情報テーブル３０７（図３）に格納する。

図６は、本発明の第１の実施の形態のトラヒック情報集約装置１２１の集約処理の説明図である。

ここでは、図５に示す集約条件の場合を説明する。

トラヒック情報集約装置１２１は、送信元ＩＰアドレスと送信先ＩＰアドレスとの組み合わせが同一の通信フローに関するトラヒック情報を集約する。

具体的には、トラヒック情報集約装置１２１は、トラヒック情報テーブル３０７（図３）の送信元ＩＰアドレス３０７２と送信先ＩＰアドレス３０７３との組み合わせが同一のレコードを選択する。次に、トラヒック情報集約装置１２１は、選択したレコードに対応するトラヒック情報に、同一の集約識別子を付与する。そして、トラヒック情報集約装置１２１は、同一の集約識別子が付与されたトラヒック情報を集約することによって、集約情報を作成する。

例えば、トラヒック情報集約装置１２１は、トラヒック情報識別子３０７１の「１」によって識別されるレコード２０１、トラヒック情報識別子３０７１の「２」によって識別されるレコード２０２及びトラヒック情報識別子３０７１の「４」によって識別されるレコード２０４を、トラヒック情報テーブル３０７（図３）から選択する。なぜなら、これらのレコード２０１、２０２及び２０４に対応するトラヒック情報は、送信元ＩＰアドレス３０７２と送信先ＩＰアドレス３０７３との組み合わせが同一だからである。

そして、トラヒック情報集約装置１２１は、レコード２０１に対応するトラヒック情報、レコード２０２に対応するトラヒック情報及びレコード２０４に対応するトラヒック情報に、集約識別子の「１」を付与する。そこで、トラヒック情報集約装置１２１は、付与された集約識別子の「１」を、レコード２０１、２０２及び２０４の集約識別子３０７５に格納する。

次に、トラヒック情報集約装置１２１は、選択したすべてのレコード２０１、２０２及び２０４のバイト数３０７４の合計を算出することによって、集約情報２０６を作成する。

同様に、トラヒック情報集約装置１２１は、トラヒック情報識別子３０７１の「３」によって識別されるレコード２０３及びトラヒック情報識別子３０７１の「５」によって識別されるレコード２０５を、トラヒック情報テーブル３０７から選択する。なぜなら、これらのレコード２０３及び２０５に対応するトラヒック情報は、送信元ＩＰアドレス３０７２と送信先ＩＰアドレス３０７３との組み合わせが同一だからである。

そして、トラヒック情報集約装置１２１は、レコード２０３に対応するトラヒック情報及びレコード２０５に対応するトラヒック情報に、集約識別子の「２」を付与する。そこで、トラヒック情報集約装置１２１は、付与された集約識別子の「２」を、レコード２０３及び２０５の集約識別子３０７５に格納する。

次に、トラヒック情報集約装置１２１は、選択したすべてのレコード２０３及び２０５のバイト数３０７４の合計を算出することによって、集約情報２０７を作成する。

図７は、本発明の第１の実施の形態のトラヒック情報集約装置１２１によって送信される集約情報の説明図である。

集約情報は、送信元ＩＰアドレス（ＩＰＶ４＿ＳＲＣ＿ＡＤＤＲ）、送信先ＩＰアドレス（ＩＰＶ４＿ＤＳＴ＿ＡＤＤＲ）、通信フローのバイト数の合計値（ＩＮ＿ＢＹＴＥＳ）及び集約識別子（ＡＧＧＲ＿ＩＤ）を含む。

集約情報に含まれる送信元ＩＰアドレスは、当該集約情報に対応する通信フローの送信元のＩＰアドレスである。また、集約情報に含まれる送信先ＩＰアドレスは、当該集約情報に対応する通信フローの送信先のＩＰアドレスである。集約情報に含まれる通信フローのバイト数の合計値は、当該集約情報に対応する通信フローにおいて送信されたデータのバイト数の合計値である。また、集約識別子は、当該集約情報の一意な識別子である。

本説明図の集約情報では、送信元ＩＰアドレスは「１９２．１６８．１．１」である。また、送信先ＩＰアドレスは「１９２．１６８．１．２」である。また、通信フローのバイト数の合計値は、「４４８」バイトである。また、集約識別子は「１」である。

図８は、本発明の第１の実施の形態の監視サーバ１３１によって送信されるクエリ要求の説明図である。

クエリ要求には、要求される情報の種類が含まれる。本説明図のクエリ要求では、トラヒック情報識別子（ＲＥＣＯＲＤ＿ＩＤ）、送信元ＩＰアドレス（ＩＰＶ４＿ＳＲＣ＿ＡＤＤＲ）、送信先ＩＰアドレス（ＩＰＶ４＿ＤＳＴ＿ＡＤＤＲ）及び通信フローのバイト数（ＩＮ＿ＢＹＴＥＳ）が要求される。

また、クエリ要求には、検索の条件として、集約識別子（ＡＧＧＲ＿ＩＤ）が含まれる。本説明図のクエリ要求は、集約識別子が「１」であるトラヒック情報の検索を要求する。

トラヒック情報集約装置１２１は、クエリ要求を受信すると、当該クエリ要求から集約識別子を抽出する。次に、トラヒック情報集約装置１２１は、抽出した集約識別子によって識別される集約情報に対応するトラヒック情報を特定する。そして、トラヒック情報集約装置１２１は、特定したトラヒック情報を、クエリ結果として監視サーバ１３１に送信する。

具体的には、トラヒック情報集約装置１２１は、抽出した集約識別子とトラヒック情報テーブル３０７の集約識別子３０７５とが一致するレコードを、トラヒック情報テーブル３０７から選択する。次に、トラヒック情報集約装置１２１は、選択したレコードから、トラヒック情報識別子３０７１、送信元ＩＰアドレス３０７２、送信先ＩＰアドレス３０７３及びバイト数３０７４を抽出する。次に、トラヒック情報集約装置１２１は、抽出したトラヒック情報識別子３０７１、送信元ＩＰアドレス３０７２、送信先ＩＰアドレス３０７３及びバイト数３０７４を、クエリ結果として監視サーバ１３１に送信する。

従来のトラヒック情報集約装置は、送信元ＩＰアドレス及び送信先ＩＰアドレスを検索のキーとして検索する。つまり、従来のトラヒック情報集約装置は、複数の列を検索しなければならない。一方、本実施の形態のトラヒック情報集約装置１２１は、集約識別子を検索のキーとして、トラヒック情報を検索する。そのため、本実施の形態では、トラヒック情報集約装置１２１の検索処理の負担が低減される。

ＩＰアドレスがＩＰｖ４アドレスの場合、検索キーの長さは６４ビットとなる。また、ＩＰアドレスがＩＰｖ６アドレスの場合、検索キーの長さは２５６ビットとなる。一方、本実施の形態では、検索キーの長さは数ビットとなる。つまり、本実施の形態では、検索キーの長さが短いので、トラヒック情報集約装置１２１の検索処理の負担が更に低減される。

図９は、本発明の第１の実施の形態のトラヒック情報集約装置１２１によって送信されるクエリ結果の説明図である。

クエリ結果には、クエリ要求に対応するすべてのトラヒック情報が含まれる。具体的には、クエリ結果は、トラヒック情報識別子（ＲＥＣＯＲＤ＿ＩＤ）、送信元ＩＰアドレス（ＩＰＶ４＿ＳＲＣ＿ＡＤＤＲ）、送信先ＩＰアドレス（ＩＰＶ４＿ＤＳＴ＿ＡＤＤＲ）及び通信フローのバイト数（ＩＮ＿ＢＹＴＥＳ）を、クエリ要求に対応するトラヒック情報ごとに含む。

以上のように、本発明の第１の実施の形態では、トラヒック情報集約装置１２１は、トラヒック情報に集約識別子を付与する。そして、トラヒック情報集約装置１２１は、集約識別子を用いて、集約処理を行う。また、監視サーバ１３１は、集約識別子を検索のキーとして指定する。そのため、トラヒック情報集約装置１２１は、指定された集約識別子を用いて、検索処理を行う。つまり、トラヒック情報集約装置１２１は、集約識別子に基づいて、集約処理及び検索処理の二つの処理を行うことができる。

（第２の実施の形態）
本発明の第２の実施の形態では、トラヒック情報集約装置１２１は、送信先ＩＰアドレス及び送信先ポート番号に基づいて、トラヒック情報を集約する。

第２の実施の形態のトラヒック情報監視システムの構成は、第１の実施の形態のトラヒック情報監視システム（図１）と同一なので説明を省略する。また、第２の実施の形態のトラヒック情報監視システムの処理の概要は、第１の実施の形態のトラヒック情報監視システムの処理（図４）と同一なので説明を省略する。

図１０は、本発明の第２の実施の形態の監視サーバ１３１によって送信される集約条件の説明図である。

第２の実施の形態の集約条件では、集約のキーは、送信先ＩＰアドレス（ＩＰＶ４＿ＤＳＴ＿ＡＤＤＲ）と送信先ポート番号（Ｌ４＿ＤＳＴ＿ＰＯＲＴ）との組み合わせである。また、集約する値は、通信フローのパケット数（ＩＮ＿ＰＫＴＳ）である。

また、集約識別子の種類は、送信先ＩＰアドレス（ＩＰＶ４＿ＤＳＴ＿ＡＤＤＲ）と送信先ポート番号（Ｌ４＿ＤＳＴ＿ＰＯＲＴ）との組み合わせである。

トラヒック情報集約装置１２１は、図１０の集約条件を受信する。その後、トラヒック情報集約装置１２１は、当該集約条件に基づいて、トラヒック情報をトラヒック情報テーブル３０７に格納する。

図１１は、本発明の第２の実施の形態のトラヒック情報テーブル３０７の構成図である。

トラヒック情報テーブル３０７は、トラヒック情報識別子（ＲＥＣＯＲＤ＿ＩＤ）３０７１、送信先ＩＰアドレス（ＩＰＶ４＿ＤＳＴ＿ＡＤＤＲ）３０７３、送信先ポート番号（Ｌ４＿ＤＳＴ＿ＰＯＲＴ）３０７６、パケット数（ＩＮ＿ＰＫＴＳ）３０７７及び集約識別子（ＡＧＧＲ＿ＩＤ）３０７８を含む。

トラヒック情報識別子３０７１は、トラヒック情報の一意な識別子である。送信先ＩＰアドレス３０７３は、当該レコードのトラヒック情報識別子３０７１によって識別されるトラヒック情報に対応する通信フローの送信先のＩＰアドレスである。送信先ポート番号３０７６は、当該レコードのトラヒック情報識別子３０７１によって識別されるトラヒック情報に対応する通信フローの送信先のポート番号である。

パケット数３０７７は、当該レコードのトラヒック情報識別子３０７１によって識別されるトラヒック情報に対応する通信フローにおいて送信されるパケットの数である。集約識別子３０７８は、当該レコードのトラヒック情報識別子３０７１によって識別されるトラヒック情報に対応する集約情報の一意な識別子である。集約識別子３０７８は、トラヒック情報集約装置１２１がトラヒック情報を集約する際に使用される。更に、集約識別子３０７８は、トラヒック情報集約装置１２１がトラヒック情報を検索する際にも使用される。

第２の実施の形態では、監視サーバ１３１は、送信先ＩＰアドレス（ＩＰＶ４＿ＤＳＴ＿ＡＤＤＲ）と送信先ポート番号（Ｌ４＿ＤＳＴ＿ＰＯＲＴ）との組み合わせを、集約識別子の種類として指定する。そのため、トラヒック情報集約装置１２１は、トラヒック情報に対応する通信フローの送信先のＩＰアドレスと送信先のポート番号との組み合わせを、集約識別子３０７８に格納する。

図１２は、本発明の第２の実施の形態のトラヒック情報集約装置１２１の集約処理の説明図である。

ここでは、図１０に示す集約条件の場合を説明する。

トラヒック情報集約装置１２１は、送信先ＩＰアドレスと送信先ポート番号との組み合わせが同一の通信フローに関するトラヒック情報を集約する。

具体的には、トラヒック情報集約装置１２１は、トラヒック情報テーブル３０７（図１１）の送信先ＩＰアドレス３０７３と送信先ポート番号３０７６との組み合わせが同一のレコードを選択する。次に、トラヒック情報集約装置１２１は、選択したレコードに対応するトラヒック情報に、同一の集約識別子を付与する。そして、トラヒック情報集約装置１２１は、同一の集約識別子が付与されたトラヒック情報を集約することによって、集約情報を作成する。

例えば、トラヒック情報集約装置１２１は、トラヒック情報識別子３０７１の「１」によって識別されるレコード６０１、トラヒック情報識別子３０７１の「２」によって識別されるレコード６０２及びトラヒック情報識別子３０７１の「４」によって識別されるレコード６０４を、トラヒック情報テーブル３０７（図１１）から選択する。なぜなら、これらのレコード６０１、６０２及び６０４に対応するトラヒック情報は、送信先ＩＰアドレス３０７３と送信先ポート番号３０７６との組み合わせが同一だからである。

そして、トラヒック情報集約装置１２１は、レコード６０１に対応するトラヒック情報、レコード６０２に対応するトラヒック情報及びレコード６０４に対応するトラヒック情報に、集約識別子の「１９２．１６８．１．１，２０」を付与する。そこで、トラヒック情報集約装置１２１は、付与された集約識別子の「１９２．１６８．１．１，２０」を、レコード６０１、６０２及び６０４の集約識別子３０７８に格納する。

次に、トラヒック情報集約装置１２１は、選択したすべてのレコード６０１、６０２及び６０４のパケット数３０７７の合計を算出することによって、集約情報６０６を作成する。

同様に、トラヒック情報集約装置１２１は、トラヒック情報識別子３０７１の「３」によって識別されるレコード６０３及びトラヒック情報識別子３０７１の「５」によって識別されるレコード６０５を、トラヒック情報テーブル３０７から選択する。なぜなら、これらのレコード６０３及び６０５に対応するトラヒック情報は、送信先ＩＰアドレス３０７３と送信先ポート番号３０７６との組み合わせが同一だからである。

そして、トラヒック情報集約装置１２１は、レコード６０３に対応するトラヒック情報及びレコード６０５に対応するトラヒック情報に、集約識別子の「１９２．１６８．１．３，８０」を付与する。そのため、トラヒック情報集約装置１２１は、付与された集約識別子の「１９２．１６８．１．３，８０」を、レコード６０３及び６０５の集約識別子３０７８に格納する。

次に、トラヒック情報集約装置１２１は、選択したすべてのレコード６０３及び６０５のパケット数３０７７の合計を算出することによって、集約情報６０７を作成する。

図１３は、本発明の第２の実施の形態のトラヒック情報集約装置１２１によって送信される集約情報の説明図である。

集約情報は、送信先ＩＰアドレス（ＩＰＶ４＿ＤＳＴ＿ＡＤＤＲ）、送信先ポート番号（Ｌ４＿ＤＳＴ＿ＰＯＲＴ）、通信フローのパケット数の合計値（ＩＮ＿ＰＫＴＳ）及び集約識別子（ＡＧＧＲ＿ＩＤ）を含む。

集約情報に含まれる送信先ＩＰアドレスは、当該集約情報に対応する通信フローの送信先のＩＰアドレスである。また、集約情報に含まれる送信先ポート番号は、当該集約情報に対応する通信フローの送信先のポート番号である。集約情報に含まれる通信フローのパケット数の合計値は、当該集約情報に対応する通信フローにおいて送信されたパケット数の合計値である。また、集約識別子は、当該集約情報の一意な識別子である。

本説明図の集約情報では、送信先ＩＰアドレスは「１９２．１６８．１．１」である。また、送信先ポート番号は「２０」である。また、通信フローのパケット数の合計値は、「１５」である。また、集約識別子は「１９２．１６８．１．１，２０」である。

図１４は、本発明の第２の実施の形態の監視サーバ１３１によって送信されるクエリ要求の説明図である。

クエリ要求には、要求される情報の種類が含まれる。本説明図のクエリ要求では、通信フローのパケット数（ＩＮ＿ＰＫＴＳ）が要求される。

また、クエリ要求には、検索の条件として、集約識別子（ＡＧＧＲ＿ＩＤ）が含まれる。本説明図のクエリ要求は、集約識別子が「１９２．１６８．１．１，２０」であるトラヒック情報の検索を要求する。

具体的には、トラヒック情報集約装置１２１は、抽出した集約識別子とトラヒック情報テーブル３０７の集約識別子３０７８とが一致するレコードを、トラヒック情報テーブル３０７から選択する。次に、トラヒック情報集約装置１２１は、選択したレコードから、トラヒック情報識別子３０７１及びパケット数３０７７を抽出する。次に、トラヒック情報集約装置１２１は、抽出したトラヒック情報識別子３０７１及びパケット数３０７７を、クエリ結果として監視サーバ１３１に送信する。

図１５は、本発明の第２の実施の形態のトラヒック情報集約装置１２１によって送信されるクエリ結果の説明図である。

クエリ結果には、クエリ要求に対応するすべてのトラヒック情報が含まれる。具体的には、クエリ結果は、トラヒック情報識別子（ＲＥＣＯＲＤ＿ＩＤ）及び通信フローのパケット数（ＩＮ＿ＰＫＴＳ）を、クエリ要求に対応するトラヒック情報ごとに含む。

本発明の第１の実施の形態のトラヒック情報監視システムの構成のブロック図である。本発明の第１の実施の形態のトラヒック情報集約装置の構成のブロック図である。本発明の第１の実施の形態のトラヒック情報テーブルの構成図である。本発明の第１の実施の形態のトラヒック情報監視システムの処理のシーケンス図である。本発明の第１の実施の形態の監視サーバによって送信される集約条件の説明図である。本発明の第１の実施の形態のトラヒック情報集約装置の集約処理の説明図である。本発明の第１の実施の形態のトラヒック情報集約装置によって送信される集約情報の説明図である。本発明の第１の実施の形態の監視サーバによって送信されるクエリ要求の説明図である。本発明の第１の実施の形態のトラヒック情報集約装置によって送信されるクエリ結果の説明図である。本発明の第２の実施の形態の監視サーバによって送信される集約条件の説明図である。本発明の第２の実施の形態のトラヒック情報テーブルの構成図である。本発明の第２の実施の形態のトラヒック情報集約装置の集約処理の説明図である。本発明の第２の実施の形態のトラヒック情報集約装置によって送信される集約情報の説明図である。本発明の第２の実施の形態の監視サーバによって送信されるクエリ要求の説明図である。本発明の第２の実施の形態のトラヒック情報集約装置によって送信されるクエリ結果の説明図である。

符号の説明

１１１ルータ装置
１２１トラヒック情報集約装置
１３１監視サーバ
３０１通信インタフェース部
３０２通信プロトコル処理部
３０３サーバ制御論理部
３０４データ入出力制御部
３０６データ記憶装置
３０７トラヒック情報テーブル
３１０トラヒック情報蓄積部
３１１集約処理部
３１２集約情報送信部
３１３クエリ処理部
３１４集約タイマ処理部
３２０制御処理プロセッサ

Claims

ネットワークにおいてデータを転送するルータ装置に接続され、プロセッサ、メモリ及びインタフェースを備えるトラヒック情報集約装置と、前記トラヒック情報集約装置に接続され、プロセッサ、メモリ及びインタフェースを備える監視サーバと、を備えるネットワークシステムにおいて、
前記トラヒック情報集約装置は、
前記ルータ装置からトラヒック情報を受信し、
前記受信したトラヒック情報に集約識別子を付与し、
前記付与された集約識別子に基づいて、前記トラヒック情報を集約することによって、前記トラヒック情報を統計処理した集約情報を作成し、
前記作成された集約情報及び前記付与された集約識別子を前記監視サーバに送信し、
前記集約識別子を含む検索要求を前記監視サーバから受信すると、当該受信した検索要求に含まれる集約識別子に基づいて、前記受信したトラヒック情報の中から、要求されたトラヒック情報を検索することを特徴とするネットワークシステム。
前記トラヒック情報集約装置は、前記トラヒック情報に対応する通信フローにおける送信元のＩＰアドレス、送信先のＩＰアドレス、送信元のポート番号及び送信先のポート番号のうち少なくとも一つを参照して、前記トラヒック情報に集約識別子を付与することを特徴とする請求項１に記載のネットワークシステム。
前記トラヒック情報集約装置は、所定の時間内に受信したトラヒック情報を集約することによって、前記集約情報を作成することを特徴とする請求項１に記載のネットワークシステム。
前記トラヒック情報集約装置は、
前記トラヒック情報の一意な識別子であるトラヒック情報識別子と、当該トラヒック情報に付与された集約識別子と、の対応を示すトラヒック情報テーブルを記憶し、
前記トラヒック情報テーブルを参照して、前記受信したトラヒック情報の中から、要求されたトラヒック情報を検索することを特徴とする請求項１に記載のネットワークシステム。
前記監視サーバは、前記集約識別子の付与方法を前記トラヒック情報集約装置に指示し、
前記トラヒック情報集約装置は、前記指示された集約識別子の付与方法を用いて、前記トラヒック情報に集約識別子を付与することを特徴とする請求項１に記載のネットワークシステム。
前記監視サーバは、低い番号から順に集約識別子を付与する方法、又はＩＰアドレスとポート番号との組み合わせを集約識別子として付与する方法のいずれかを前記トラヒック情報集約装置に指示可能であることを特徴とする請求項５に記載のネットワークシステム。
前記トラヒック情報集約装置が、前記ルータ装置内に備わることを特徴とする請求項１に記載のネットワークシステム。
ルータ装置と、監視サーバと、に接続され、プロセッサ、メモリ及びインタフェースを備えるトラヒック情報集約装置において、
前記プロセッサは、
前記ルータ装置からトラヒック情報を受信し、
前記受信したトラヒック情報に集約識別子を付与し、
前記付与された集約識別子に基づいて、前記トラヒック情報を集約することによって、前記トラヒック情報を統計処理した集約情報を作成し、
前記作成された集約情報及び前記付与された集約識別子を前記監視サーバに送信し、
前記集約識別子を含む検索要求を前記監視サーバから受信すると、当該受信した検索要求に含まれる集約識別子に基づいて、前記受信したトラヒック情報の中から、要求されたトラヒック情報を検索することを特徴とするトラヒック情報集約装置。
前記プロセッサは、前記トラヒック情報に対応する通信フローにおける送信元のＩＰアドレス、送信先のＩＰアドレス、送信元のポート番号及び送信先のポート番号のうち少なくとも一つを参照して、前記トラヒック情報に集約識別子を付与することを特徴とする請求項８に記載のトラヒック情報集約装置。
前記プロセッサは、所定の時間内に受信したトラヒック情報を集約することによって、集約情報を作成することを特徴とする請求項８に記載のトラヒック情報集約装置。
前記プロセッサは、
前記トラヒック情報の一意な識別子であるトラヒック情報識別子と、当該トラヒック情報に付与された集約識別子と、の対応を示すトラヒック情報テーブルを前記メモリに記憶し、
前記トラヒック情報テーブルを参照して、前記受信したトラヒック情報の中から、要求されたトラヒック情報を検索することを特徴とする請求項８に記載のトラヒック情報集約装置。
前記プロセッサは、前記監視サーバから指示された前記集約識別子の付与方法を用いて、前記トラヒック情報に集約識別子を付与することを特徴とする請求項８に記載のトラヒック情報集約装置。
前記プロセッサは、低い番号から順に集約識別子を付与する方法、又はＩＰアドレスとポート番号との組み合わせを集約識別子として付与する方法のいずれかを用いて、前記トラヒック情報に集約識別子を付与することを特徴とする請求項１２に記載のトラヒック情報集約装置。
前記ルータ装置内に備わることを特徴とする請求項８に記載のトラヒック情報集約装置。