JP4860745B2

JP4860745B2 - Ｂｇｐトラヒック変動監視装置、方法、およびシステム

Info

Publication number: JP4860745B2
Application number: JP2009265130A
Authority: JP
Inventors: 淳史小林; 弘倉上; 裕廣川; 伸吾加島
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2009-11-20
Filing date: 2009-11-20
Publication date: 2012-01-25
Anticipated expiration: 2029-11-20
Also published as: JP2011109587A

Description

本発明は、ＢＧＰプロトコルにより通知される経路の経路変動要因によるトラヒック変動を検知する監視技術に関する。

インターネットはインターネット・サービス・プロバイダ（Internet Service Provider：ＩＳＰ）や企業や大学などの異なる組織によって運営される１万以上の自律システム（Autonomous System：ＡＳ）が有機的に接続されたものである。上述のＡＳ間は、専用線或いはインターネット・エクスチェンジ（Internet Exchange：ＩＸ）によって接続され、ボーダ・ゲートウェイ・プロトコル（Border Gateway Protocol：ＢＧＰ）によりＢＧＰ経路情報を交換する。交換する情報は、経路情報に対して経由するＢＧＰＮｅｘｔｈｏｐアドレス属性、ＡＳパス属性、Ｃｏｍｍｕｎｉｔｙ属性となる。

トラヒックを経由するＡＳの隣接ＡＳ番号は、ＡＳパス属性の先頭番号を示す番号で、ＢＧＰプロトコルを受信する当該ＩＳＰからみて、直接隣接するＡＳを表す。また、ＡＳパス属性の末尾番号を示す番号は、ＯｒｉｇｉｎＡＳ番号を表し、当該経路の最終到着先のＡＳを示すものである。隣接ＡＳ番号とＯｒｉｇｉｎＡＳ番号内に記述されたＡＳ番号列は、途中経由するＡＳを示している。また、ＢＧＰＮｅｘｔｈｏｐアドレス属性は、ＢＧＰプロトコルを受信するルータから見て、次の向う先のＢＧＰルータのＩＰアドレスを示す。Ｃｏｍｍｕｎｉｔｙとは、これらの経路に対して、ネットワークオペレータなどが、経路情報の識別を容易に可能とするために、任意に設定可能な識別子である。これは、非特許文献１で示されるように、地域情報単位や顧客種別単位に付与することは一般的と言われている。

このようにＢＧＰは、異なるＡＳ間の経路情報を交換するためのプロトコルであり、同一ＡＳ内の主要なバックボーンルータ間においてもインターネット全体の経路情報を交換するためのプロトコルである。

このようにインターネットのトラヒックの宛先は、ＢＧＰによって交換される経路情報をもとにしており、経路情報の変動は、同一ＡＳ内のルータ間のトラヒックの変動はもとより、隣接ＡＳへの流入・流出トラヒックに多大な影響を与える。経路の変更は、ルータ等の故障や機器間を接続するケーブルの故障などによって、発生することがあるが、バックボーンネットワーク上のトラヒックに影響を与えるため、それを監視することが、要望されている。

しかし、経路の変動量（つまりＢＧＰのＵｐｄａｔｅメッセージ数）は、１分間においても数千に上り、単純に監視することは容易ではない。隣接ＡＳ（ＰｅｅｒＡＳ）もしくはＮｅｘｔｈｏｐアドレス単位に経路数を収集し、その変動量を監視するシステムも考えられるが、経路数の変動量と実際のトラヒック量の変動量は、関連性がなく、経路数が大きく変化した場合でもトラヒックに影響を与えない場合もある。

また、ＢＧＰの受信情報を選別、グループ化し、共通部分を抽出することで、インターネット上の原因探索も可能であるが、これも実際のトラヒックとの関連性がないため、実際にトラヒックが流れていない箇所の問題を検出してしまうという問題を抱えている。

これに対して、非特許文献２では、受信した経路を分析し、トラヒック変動の起こすタイプに分類し、実際のトラヒックに突合させることで、その影響度を予測するためのシステムを開発している。しかし、当該手法では、トラヒック変動量の予測を行っているのみで、リアルタイムに監視を行い、実際に発生したトラヒック変動量をもとに、関連する経路情報を付き合わせて、その原因探索を行うということができていない。

特開２００８−１６７４８４号公報

RFC4384 BGP Communities for Data Collection Jian Wu, Z. Morley Mao, Jennifer Rexford, and Jia Wang, Finding a needle in a haystack: Pinpointing significant BGP routing changes in an IP network, Proc. Networked Systems Design and Implementation, May 2005. J. Scudder, et. al, "BGP Monitoring Protocol, " Internet-Draft <draft-ietf-grow-bmp-02>, July, 2009.

インターネット上に流れるトラヒック量は増加しているが、ＩＳＰ間のパケット・ルーティングは、ＢＧＰプロトコルにより通知される経路情報によって決められている。トラヒックの変動は、攻撃トラヒックやルータなどの障害に起因する場合もあるが、ＢＧＰ経路変動による要因で変動する場合もありうる。急激なトラヒック変動が発生した場合には、ルータ、回線を逼迫し、サービスに支障をきたすことも考えられる。このようなトラヒック変動を迅速に検知し、その要因となるＢＧＰ経路変動を探索することが要望されている。

ＢＧＰ経路の監視システムとトラヒック変動の監視システムは、個々に多く存在するが、その双方のデータを監視し、突合することで経路変動によるトラヒック変動の原因検知を行うシステムは、まだない。特に、経路においては、１分間で数千の経路情報を分析する必要があり、また、膨大なトラヒック量と突合させることが必要である。

本発明の目的は、ＢＧＰ経路変動要因によるトラヒック変動を検知する技術を提供することである。

本明細書において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。

第１の発明は、ＢＧＰＵｐｄａｔｅメッセージを収集し、そのＢＧＰ経路情報を管理するとともに、ＢＧＰＵｐｄａｔｅメッセージをＢＧＰの属性単位に分類したＢＧＰログ情報を蓄積するＢＧＰ経路受信部と、トラヒック情報を収集し、前記ＢＧＰ経路情報をもとにＢＧＰの属性単位にトラヒック集計を行い、集計したトラヒック集計データを蓄積するトラヒック情報受信部と、時間的に前後するトラヒック集計データの類似度からトラヒック変動を検出し、トラヒック変動に寄与したＢＧＰの属性値と当該時間間隔の前記ＢＧＰログ情報を比較し、当該ＢＧＰの属性値に関するＢＧＰ経路変動が発生していたのか否かを評価する相関性照合機能部と、を備えることを特徴とする。

第２の発明は、第１の発明において、前記ＢＧＰ経路受信部は、新たに受信したＢＧＰＵｐｄａｔｅメッセージを既に受信したＢＧＰＵｐｄａｔｅメッセージと比較し、トラヒック変動に影響があるＢＧＰの属性単位にＵｐｄａｔｅメッセージを分類するＢＧＰＵｐｄａｔｅ分類機能部を備えることを特徴とする。

第３の発明は、第１の発明において、前記ＢＧＰ経路受信部は、ＢＧＰ経路情報をルーティングテーブルとして管理するルーティング管理機能部を備え、前記トラヒック情報受信部は、収集したトラヒック情報をもとに前記ルーティングテーブルを検索し、トラヒック変動に影響があるＢＧＰの属性単位にトラヒックを集計するトラヒック集計機能部を備えることを特徴とする。

第４の発明は、第３の発明において、前記トラヒック集計機能部は、ＢＧＰの属性単位にトラヒック集計を行う際に、前記ルーティングテーブルの中から、送信元ＩＰアドレス、ＮｅｘｔＨｏｐアドレス、または地域情報に基づいて、参照先とするルーティングテーブルを選択することを特徴とする。

第５の発明は、第１の発明において、前記ＢＧＰトラヒック変動監視装置は、ＢＧＰの属性単位のトラヒック量の時系列変化と当該ＢＧＰ属性が変化したことを示すＢＧＰＵｐｄａｔｅメッセージの発生量の時系列変化を表示することを特徴とする。

本発明により、ＢＧＰ経路変動要因によるトラヒック変動を検知することができる。

本発明の実施例のシステム構成図である。ＢＧＰ経路受信部の機能構成図である。ＢＧＰメッセージ分類方法を示す図である。トラヒック情報受信部の機能構成図である。トラヒック項目が増加した場合の比較評価方法を示す図である。トラヒック項目が減少した場合の比較評価方法を示す図である。表示例を示す図である。

図１に本発明の実施例のシステムの構成概要図を示す。図１において、１００はＢＧＰトラヒック変動監視装置、１０１はＢＧＰ経路受信部、１０２はトラヒック情報受信部、１０３は相関性照合機能部、１１０は自ＡＳドメイン、１１１〜１１５は自ＡＳドメイン１１０内のルータ、１２０は隣接ＡＳ＃１、１２１は隣接ＡＳ＃１（１２０）内のルータ、１３０は隣接ＡＳ＃１（１２０）を経由して接続されているインターネット、１４０は隣接ＡＳ＃２、１４１は隣接ＡＳ＃２（１４０）内のルータ、１５０は隣接ＡＳ＃３、１５１は隣接ＡＳ＃３（１５０）内のルータ、１６０は隣接ＡＳ＃３を経由して接続されているインターネット、１７０は端末Ｗｅｂ描画クライアントである。各ＡＳ内のルータの数は任意であり、図示されたものに限定されない。

自ＡＳドメイン１１０にＢＧＰトラヒック変動監視装置１００を配置する。ＢＧＰトラヒック変動監視装置１００は、直接的にＢＧＰルータ１１１〜１１５とＢＧＰプロトコルにて接続し、ＢＧＰ経路情報を収集するものとする。ここでは、ＢＧＰ以外にＢＭＰプロトコル（非特許文献３）を用いて経路情報を収集することでもよい。また、ＢＧＰトラヒック変動監視装置１００は、自ＡＳドメイン１１０内の全ＢＧＰルータと接続するのではなく、複数のルート・リフレクタとＢＧＰにより接続し、経路を収集することでもよい。

また、ＢＧＰトラヒック変動監視装置１００は、自ＡＳドメイン１１０内の各ルータ，スイッチからＮｅｔＦｌｏｗ，ｓＦｌｏｗ，ＩＰＦＩＸといったトラヒック配信プロトコルによってフロー情報と呼ばれるトラヒック情報を収集する。また、自ＡＳ以外の顧客ユーザのルータ、スイッチからＮｅｔＦｌｏｗ，ｓＦｌｏｗ，ＩＰＦＩＸといったトラヒック配信プロトコルによってフロー情報と呼ばれるトラヒック情報を収集し、自ＡＳのＢＧＰの経路情報をもとにトラヒック集計することも可能とする。

自ＡＳドメイン１１０から得られるトラヒック情報は、フロー情報とよばれ、パケットのＩＰ／ＴＣＰ／ＵＤＰ／ＩＣＭＰのヘッダ情報が含まれる。

本実施例のＢＧＰトラヒック変動監視装置は、ＢＧＰの変動状況と実際のトラヒック変動を相関させ、これに合致するものを経路変動によるトラヒック変動として検知する。ＢＧＰの経路変動は、既に受信したＢＧＰ経路情報と新たに受信したＢＧＰ経路情報を比較し、トラヒック変動に寄与するＢＧＰ属性単位に変更したか否かを判定し、分類分けを行う。ＮｅｔＦｌｏｗ，ｓＦｌｏｗ，ＩＰＦＩＸによりルータより配信されるトラヒック情報（フロー情報と呼ばれる）を用いて、ＢＧＰ属性単位のトラヒック量を集計する。トラヒック量の変動は、ある時間間隔に測定したトラヒック量とその前周期で測定したトラヒック量の類似度をもとに評価する。その類似度がある閾値を逸脱し、最も影響度の大きいＢＧＰ属性を抽出し、トラヒック変動が発生した時間間隔内で、実際にＢＧＰ経路変動が発生していたのか否かを評価することで、ＢＧＰ経路変動によるトラヒック変動であると識別する。

ＢＧＰトラヒック変動監視装置１００は、ＢＧＰＵｐｄａｔｅメッセージを収集し、そのＢＧＰ経路情報を管理するとともに、ＢＧＰＵｐｄａｔｅメッセージをＢＧＰの属性単位に分類したＢＧＰログ情報２０６（図２参照）を蓄積するＢＧＰ経路受信部１０１と、トラヒック情報を収集し、ＢＧＰ経路情報をもとにＢＧＰの属性単位にトラヒック集計を行い、集計したトラヒック集計データ４０４（図４参照）を蓄積するトラヒック情報受信部１０２と、時間的に前後するトラヒック集計データの類似度からトラヒック変動を検出し、トラヒック変動に寄与したＢＧＰの属性値と当該時間間隔のＢＧＰログ情報を比較し、当該ＢＧＰの属性値に関するＢＧＰ経路変動が発生していたのか否かを評価する相関性照合機能部１０３とで構成される。

ＢＧＰトラヒック変動監視装置１００は、ＢＧＰＵｐｄａｔｅメッセージを収集・分類し、このＢＧＰ経路情報をもとにＢＧＰの属性単位にトラヒック集計を行い、過去のデータとの類似度からトラヒック変動を検出し、トラヒック変動に寄与した属性条件で、当該時間間隔にＢＧＰＵｐｄａｔｅの変更有無を評価することにより、ＢＧＰ経路変動要因によるトラヒック変動を検知することができる。

以下に各部の動作について記述する。

［ＢＧＰ経路受信部の動作概要］
図２にＢＧＰ経路受信部１０１の詳細構成を示す。図２において、２０１はＢＧＰセッション管理部、２０２はルーティング管理機能部、２０３はＢＧＰＵｐｄａｔｅ分類機能部、２０４は２分岐ルーティングテーブル、２０５は削除済み経路テーブル、２０６はＢＧＰログ情報である。

ＢＧＰセッション管理部２０１では、各ＢＧＰルータ単位に接続をおこない経路情報を収集する。

ＢＧＰＵｐｄａｔｅ分類機能部２０３では、新たに受信したＢＧＰＵｐｄａｔｅメッセージを既に受信したＢＧＰＵｐｄａｔｅメッセージと比較し、トラヒック変動に影響があるＢＧＰの属性単位にＵｐｄａｔｅメッセージを分類し、ＢＧＰログ情報２０６を蓄積する。

ルーティング管理機能部２０２では、ＢＧＰ経路情報をルーティングテーブルとして管理する。その際に、ピアリング先のアドレス単位に情報を格納する。格納する情報は、２分岐ルーティングテーブル２０４、削除済み経路テーブル２０５、がある。

２分岐ルーティングテーブル２０４は、一般にルーティング用に構成されるＰａｔｒｉｃｉａＴｒｉｅが作成され、これは、ルーティング管理機能部２０２にて、常に最新の状態が維持され、ＢＧＰピアリングアドレス先単位に構成される。２分岐ルーティングテーブル２０４には、経路（ネットワークアドレス、プレフィックスレングス）の他にＢＧＰにより受け付けた時刻とＢＧＰ属性情報も格納する。Ｕｐｄａｔｅメッセージを受けた場合には、常に情報が更新され、同じ情報のものは上書きされる。Ｗｉｔｈｄｒａｗメッセージを受信した際には、２分岐ルーティングテーブルから当該経路の削除も行う。

削除済み経路テーブル２０５は、Ｗｉｔｈｄｒａｗメッセージを受信した際に、ルーティング管理機能部２０２にて当該経路とＢＧＰにより受け付けた時刻を削除済み経路テーブル２０５に格納する。

ＢＧＰログ情報２０６は、ＢＧＰＵｐｄａｔｅ分類機能部２０３にて受信したＢＧＰＵｐｄａｔｅメッセージを分類し、各経路単位にログ情報として蓄積する。ＢＧＰのＵｐｄａｔｅの分類は、以下の表１に分類する。ＢＧＰの属性に変更があったか否かは、２分岐ルーティングテーブル２０４を参照し、その検索結果の情報が、受信したＢＧＰＵｐｄａｔｅに含まれる属性と比較して評価する。複数のＢＧＰ属性が変更している場合には、複数のメッセージタイプが指定されることを可能とする。例えば、ＢＧＰＮｅｘｔｈｏｐ属性とＰｅｅｒＡＳの双方に変更があった場合には、複数のメッセージタイプ（ＰとＨ）が指定される。Ｗｉｔｈｄｒａｗ，ＯｒｉｇｉｎＡＳ，ＰｅｅｒＡＳ，ＢＧＰＮｅｘｔｈｏｐ，ＡＳｐａｔｈＣｈａｎｇｅがあるものについては、トラヒック変動に影響を及ぼす可能性がある経路変動を示す。

実際の分類する際の手法を以下に示す。

図３はＢＧＰメッセージ分類方法を示す図である。ＢＧＰ経路情報を受信すると、ＢＧＰＵｐｄａｔｅ分類機能部２０３は、３０１でＷｉｔｈｄｒａｗメッセージか？を判断し、Ｙｅｓの場合はメッセージタイプ：Ｗを設定する。Ｎｏの場合は３０２で２分岐ルーティングテーブル２０４を参照し同一の経路情報は存在するか？を判断する。Ｙｅｓの場合は３０３でＯｒｉｇｉｎＡＳは同一か？を判断する。Ｙｅｓの場合は３０４に進み、Ｎｏの場合はメッセージタイプ：Ｏを設定した後３０４に進む。３０４でＰｅｅｒＡＳは同一か？を判断する。Ｙｅｓの場合は３０５に進み、Ｎｏの場合はメッセージタイプ：Ｐを設定した後３０５に進む。３０５でＢＧＰＮｅｘｔＨｏｐは同一か？を判断する。Ｙｅｓの場合は３０６に進み、Ｎｏの場合はメッセージタイプ：Ｈを設定した後３０６に進む。３０６でＡＳＰａｔｈ同一か？（ＰｅｅｒＡＳ，ＯｒｉｇｉｎＡＳ以外）を判断する。Ｙｅｓの場合は３０７に進み、Ｎｏの場合はメッセージタイプ：Ｃを設定した後３０７に進む。３０７でＣｏｍｍｕｎｉｔｙは同一か？を判断する。Ｙｅｓの場合は３０８に進み、Ｎｏの場合はメッセージタイプ：Ｍを設定した後３０８に進む。３０８で上記の属性が同一か？を判断し、Ｙｅｓであればメッセージタイプ：Ｄを設定する。３０２でＮｏの場合は、３０９で削除済み経路テーブル２０５を参照し、削除済み経路テーブルに存在するか？を判断する。Ｙｅｓの場合はメッセージタイプ：Ｒを設定し、Ｎｏの場合はメッセージタイプ：Ｎを設定する。

分類された経路情報は、各メッセージタイプの情報を含めて、以下の表２の情報要素を含めたＢＧＰログ情報２０６として格納する。

［トラヒック情報受信部の動作概要］
ＢＧＰ経路受信部１０１とは別に、トラヒック情報受信部１０２では、ＢＧＰ属性単位のトラヒック項目を集計する。図４にトラヒックデータ情報受信部１０２の構成図を示す。図４において、４０１はフロー情報受信部、４０２はトラヒック集計機能部、４０３はピアリングＩＰ管理テーブル、４０４はトラヒック集計データ、２０４は２分岐ルーティングテーブルである。２分岐ルーティングテーブル２０４はＢＧＰ経路受信部１０１によってＢＧＰピアリング先ＩＰアドレス単位に作成されたものである。

トラヒック集計機能部４０２では、フロー情報受信部４０１が収集したトラヒック情報をもとに２分岐ルーティングテーブル２０４を検索し、トラヒック変動に影響があるＢＧＰの属性単位にトラヒックを集計する。また、トラヒック集計機能部４０２では、ＢＧＰの属性単位にトラヒック集計を行う際に、２分岐ルーティングテーブル２０４の中から、送信元ＩＰアドレス、ＮｅｘｔＨｏｐアドレス、または地域情報に基づいて、参照先とするルーティングテーブルを選択する。

トラヒック集計機能部４０２がＢＧＰ属性単位のトラヒック項目を集計する際には、送信元ＩＰアドレス、送信先ＩＰアドレスをもとに、２分岐ルーティングテーブル２０４を参照してＢＧＰ属性情報を収集する必要がある。ＢＧＰピアリング先のルータ単位に格納されている２分岐ルーティングテーブル２０４のどのテーブルを使用するかを決定する必要がある。予め、トラヒック情報受信部１０２には、ＢＧＰ接続先のピアリングルータの全ＩＦアドレス(ＩＰアドレスと当該ネットマスク)が格納されているピアリングＩＰ管理テーブル４０３を保持する。これは、ＳＮＭＰにより当該ルータからＩＰ−ＭＩＢをもとに収集することでよい。また、このピアリングＩＰ管理テーブル４０３は、ＢＧＰピアリング接続先ルータの地域情報も保持しておく。これをもとにトラヒック集計機能部４０２では、以下の順に参照先テーブルを選定する。

１）ＮｅｔＦｌｏｗ，ＩＰＦＩＸ，ｓＦｌｏｗにて配信される送信元ＩＰアドレスが、ＢＧＰ接続先のピアリングルータがもつ全ＩＦのＩＰアドレスに含まれていた場合に、当該ピアリングルータの２分岐ルーティングテーブルを使用する。

２）上記以外で、ＮｅｔＦｌｏｗ，ＩＰＦＩＸ，ｓＦｌｏｗにて配信される送信元ＩＰアドレスが、ＢＧＰ接続先のピアリングルータがもつ全ＩＦのネットワークアドレスに属する場合に、当該ピアリングルータの２分岐ルーティングテーブルを使用する。

３）上記以外で、フロー情報内に含まれるＮｅｘｔＨｏｐアドレスが、ＢＧＰ接続先のピアリングルータがもつ全ＩＦのＩＰアドレスに含まれていた場合に、当該ピアリングルータの２分岐ルーティングテーブルを使用する。

４）上記以外で、ＮｅｔＦｌｏｗ，ＩＰＦＩＸ，ｓＦｌｏｗにて配信される送信元ＩＰアドレスから地域情報を参照し、同一地域に属するピアリングルータの２分岐ルーティングテーブルを使用する。

トラヒック集計機能部４０２では、トラヒック集計の際に、受信したトラヒック情報に含まれる送信元ＩＰアドレス、送信先ＩＰアドレスをもとに、ＢＧＰ経路受信部１０１で構成した２分岐ルーティングテーブル２０４を参照してＢＧＰ経路情報を収集する。テーブル参照の際には、アドレスレングスが最長一致（ロンゲストマッチ）となるように、検索を行う。得られたＢＧＰ経路情報をもとにＢＧＰ属性単位で、下記のトラヒック項目を集計する。

− ＯｒｉｇｉｎＡＳ
− ＰｅｅｒＡＳ
− ＢＧＰＮｅｘｔｈｏｐアドレス
− ＡＳＰａｔｈ
− ＡＳＬｉｎｋ（ＡＳＰａｔｈに含まれる任意に隣接するＡＳの対）
− Ｐｒｅｆｉｘ
− Ｃｏｍｍｕｎｉｔｙ

上記のトラヒック項目は、全トラヒックについて集計するのではなく、ある単位時間あたりのトラヒック流量（バイト数，パケット数、フロー数）をもとに上位Ｎ位までの項目のみを集計することでもよい。上記のトラヒック項目は、経路変動がない定常的な状態であれば、日変動によるトラヒックの変動を除けば、上位Ｎ位のトラヒックの類似性は維持される。ＯｒｉｇｉｎＡＳは、最終的な基点ＡＳに向けたトラヒック量を表すものである、ＰｅｅｒＡＳは、隣接するＡＳとのトラヒック量を表し、ＡＳＰａｔｈ，ＡＳＬｉｎｋについては、インターネットに自ＡＳ発・自ＡＳ着のトラヒックがどのようなＡＳを経由したかを表す。また、Ｃｏｍｍｕｎｉｔｙは、非特許文献１によると一般的に地域単位で、Ｃｏｍｍｕｎｉｔｙ番号をアサインしている場合が多く、Ｃｏｍｍｕｎｉｔｙ単位のトラヒック量は、地域単位のトラヒック量を表す。また、ＢＧＰＮｅｘｔｈｏｐアドレスは、自ＡＳ領域の出口ルータを指すため、出口ルータ向きのトラヒック量を示す。

これらのトラヒック量は、ルータの収容能力や物理回線などの設備設計をする上では、重要な情報であり、ＢＧＰ経路の変動により、急激なトラヒック変動が発生した場合には、設備設計の再検討が必要となるばかりではなく、ある回線・ルータへのトラヒックが逼迫し、サービスに支障をきたすこともある。そのため、これらのトラヒック量を集計することが必要である。

［相関性照合機能部の動作概要］
相関性照合機能部１０３では、時間的に前後するトラヒック集計データ４０４の類似度からトラヒック変動を検出し、トラヒック変動に寄与したＢＧＰの属性値と当該時間間隔のＢＧＰログ情報２０６を比較し、当該ＢＧＰの属性値に関するＢＧＰ経路変動が発生していたのか否かを評価する。

相関性照合機能部１０３では、得られたトラヒック集計データ４０４とＢＧＰログ情報２０６から相関性を評価する。トラヒック集計データの変動は、以下の手順で、前周期との類似度をもとに評価する。特許文献１を参考とする。

・周期毎にトラヒック量上位のキー属性をもとにトラヒック変動（増減）を検出する。

・ある特定のキー属性に対して、ランキングの順位変動が大きい場合にアラートとして検出する。その際に、トラヒック変動要因となりうるキー属性もあわせてアラートとする。

・トラヒック分析を行うキー属性は、集計済みのトラヒック項目に対して実施する。

・トラヒック変動の検出は、以下の検出式に従う。
− ＯｒｉｇｉｎＡＳ（例）のＴｏｐＮの順位変動を検知すると仮定する。
− 上位Ｎ位のＯｒｉｇｉｎＡＳのトラヒック量（ｂ／ｓ）を抽出。
− ある時間（ｔ）のｉ位のＯｒｉｇｉｎＡＳをｆ（ｉ，ｔ）とする。
− ＯｒｉｇｉｎＡＳのある時間（ｔ）のトラヒック量をｃ（ｆ（ｉ，ｔ），ｔ）とする。
− ある時間（ｔ）の上位Ｎ位までのトラヒック量データ列を抽出
− Ｃ（ｔ）_ｉ＝｛ｃ（ｆ（１，ｔ），ｔ），ｃ（ｆ（２，ｔ），ｔ），…，ｃ（ｆ（Ｎ，ｔ），ｔ）｝（ｉ＝１，２，…，Ｎ）
− １スロット前の時間（ｔ−１）のｆ（ｉ，ｔ）をもとにしたトラヒック量データ列を抽出
− Ｃ（ｔ−１）_ｉ＝｛ｃ（ｆ（１，ｔ），ｔ−１），ｃ（ｆ（２，ｔ），ｔ−１），…，ｃ（ｆ（Ｎ，ｔ），ｔ−１）｝（ｉ＝１，２，…，Ｎ）
− その際にランク外のトラヒック量は、０とみなす。
− 配列｛（Ｃ（ｔ）_ｉ，Ｃ（ｔ−１）_ｉ）｝（ｉ＝１，２，…，Ｎ）の相関係数を求める。
− 相関係数ｒ（ｔ，ｔ−１）とすると以下のようになる。

− ｃ_ａｖｇ（ｔ）は、ある時間（ｔ）の上位Ｎ位のトラヒック量の平均。

− ｃ_ａｖｇ（ｔ−１）は、時間（ｔ）の上位Ｎ位のＯｒｉｇｉｎＡＳをもとにした時間（ｔ−１）のトラヒック量の平均。
− 相関係数は、１から−１の値をとり、より１に近い場合は、順位変動がないと判断。
− ある閾値（Ｍ：例えば０．５）を下回ったときに変動があったとして、ｉｎｆｏレベルの表示を実施。

・変動原因と推定されるｆ（ｉ，ｔ）（例：ＯｒｉｇｉｎＡＳ）とトラヒック量ｃ（ｆ（ｉ，ｔ），ｔ）について検出する。変動原因の探索は、それぞれのｆ（ｉ，ｔ）のデータを省いて相関係数をもとめ、閾値より大きいものを抽出する。以下に示す。
− ある順位（ｋ）のデータを抜いたデータ列を作成
− Ｃ（ｔ）_ｉ＝｛ｃ（ｆ（１，ｔ），ｔ），ｃ（ｆ（２，ｔ），ｔ），…，ｃ（ｆ（ｋ，ｔ），ｔ），…，ｃ（ｆ（Ｎ，ｔ），ｔ）｝
− これにより得られた相関係数をｒ（ｋ）（ｔ，ｔ−１）とする。

・予め指定されるパラメータは以下の通り。
− Ｎ：順位変動検出機能にて有効とする上位Ｎ位までのトラヒック・ランキング情報。（キー属性毎に指定可能とする。）
− Ｍ：相関係数の閾値（１〜０），閾値Ｍより小さい場合にアラート対象とする。（閾値は、キー属性種別毎に指定可能とする。）

以下に、トラヒック変動が発生した場合の事象イメージを示す。

相関性照合機能部１０３は、得られたトラヒック変動が発生したトラヒック項目と発生要因となったＢＧＰ属性値をもとに、実際に経路変動が発生しているかを判定する。判定手法は、ＢＧＰ属性単位に以下のように行う。

・前周期のトラヒック量から、変動に起因したＢＧＰ属性値のトラヒック項目が、増加したか減少したかを評価し、ＢＧＰログ情報２０６と比較評価を行う。

・変動に起因したＢＧＰ属性値のトラヒック項目が増加した場合は、トラヒック変動が発生した期間のＢＧＰログ情報２０６と比較評価を行う。

図５は、トラヒック項目が増加した場合の比較評価方法を示す図ある。

５０１で、当該ＢＧＰ属性値を含む、ＢＧＰメッセージタイプ＝Ｎｅｗ（Ｎ），Ｒｅｎｅｗ（Ｒ）のＢＧＰログ情報が発生しているか？の判断を行う。Ｙｅｓの場合はＢＧＰ経路情報によるトラヒック変動と判断する。Ｎｏの場合は５０２に進み、トラヒック項目により分類する。５０３で、当該ＢＧＰ属性値を新規情報に含む、ＢＧＰメッセージタイプ＝ＯｒｉｇｉｎＡＳＣｈａｎｇｅ（Ｏ）のＢＧＰログ情報が発生しているか？を判断し、Ｙｅｓの場合はＢＧＰ経路変動によるトラヒック変動と判断する。５０４で、当該ＢＧＰ属性値を新規情報に含む、ＢＧＰメッセージタイプ＝ＰｅｅｒＡＳＣｈａｎｇｅ（Ｐ）のＢＧＰログ情報が発生しているか？を判断し、Ｙｅｓの場合はＢＧＰ経路変動によるトラヒック変動と判断する。５０５で、当該ＢＧＰ属性値を新規情報に含む、ＢＧＰメッセージタイプ＝ＢＧＰＮｅｘｔＨｏｐＣｈａｎｇｅ（Ｈ）のＢＧＰログ情報が発生しているか？を判断し、Ｙｅｓの場合はＢＧＰ経路変動によるトラヒック変動と判断する。５０６で、当該ＢＧＰ属性値を新規情報に含む、ＢＧＰメッセージタイプ＝ＡＳＰａｔｈＣｈａｎｇｅ（Ｃ）のＢＧＰログ情報が発生しているか？を判断し、Ｙｅｓの場合はＢＧＰ経路変動によるトラヒック変動と判断する。５０７で、当該ＢＧＰ属性値を新規情報に含む、ＢＧＰメッセージタイプ＝Ｃｏｍｍｕｎｉｔｙ（Ｍ）のＢＧＰログ情報が発生しているか？を判断し、Ｙｅｓの場合はＢＧＰ経路変動によるトラヒック変動と判断する。

・変動に起因したＢＧＰ属性値のトラヒック項目が減少した場合は、トラヒック変動が発生した期間のＢＧＰログ情報と比較評価を行う。

図６は、トラヒック項目が減少した場合の比較評価方法を示す図である。

６０１で、当該ＢＧＰ属性値を含む、ＢＧＰメッセージタイプ＝Ｗｉｔｈｄｒａｗ（Ｗ）のＢＧＰログ情報が発生しているか？の判断を行う。Ｙｅｓの場合はＢＧＰ経路情報によるトラヒック変動と判断する。Ｎｏの場合は６０２に進み、トラヒック項目により分類する。６０３で、当該ＢＧＰ属性値を旧情報に含む、ＢＧＰメッセージタイプ＝ＯｒｉｇｉｎＡＳＣｈａｎｇｅ（Ｏ）のＢＧＰログ情報が発生しているか？を判断し、Ｙｅｓの場合はＢＧＰ経路変動によるトラヒック変動と判断する。６０４で、当該ＢＧＰ属性値を旧情報に含む、ＢＧＰメッセージタイプ＝ＰｅｅｒＡＳＣｈａｎｇｅ（Ｐ）のＢＧＰログ情報が発生しているか？を判断し、Ｙｅｓの場合はＢＧＰ経路変動によるトラヒック変動と判断する。６０５で、当該ＢＧＰ属性値を旧情報に含む、ＢＧＰメッセージタイプ＝ＢＧＰＮｅｘｔＨｏｐＣｈａｎｇｅ（Ｈ）のＢＧＰログ情報が発生しているか？を判断し、Ｙｅｓの場合はＢＧＰ経路変動によるトラヒック変動と判断する。６０６で、当該ＢＧＰ属性値を旧情報に含む、ＢＧＰメッセージタイプ＝ＡＳＰａｔｈＣｈａｎｇｅ（Ｃ）のＢＧＰログ情報が発生しているか？を判断し、Ｙｅｓの場合はＢＧＰ経路変動によるトラヒック変動と判断する。６０７で、当該ＢＧＰ属性値を旧情報に含む、ＢＧＰメッセージタイプ＝Ｃｏｍｍｕｎｉｔｙ（Ｍ）のＢＧＰログ情報が発生しているか？を判断し、Ｙｅｓの場合はＢＧＰ経路変動によるトラヒック変動と判断する。

また、これらの結果を、実際の当該ＢＧＰ属性値のトラヒック項目とその情報を含むＢＧＰメッセージタイプ毎のＢＧＰログ情報２０６を時系列に表示することも可能とする。トラヒック量とＢＧＰメッセージタイプ別の発生数を同じ時間軸で表示可能とし、特定のＢＧＰ属性値で絞りこみを行って実際に得られた結果から、ＢＧＰ変動によるトラヒック変動の相関性を確認することも可能とする。図７にトラヒック量の時系列変化とＢＧＰメッセージタイプ別の発生数の時系列変化を同じ時間軸で表示した表示例を示す。このような表示は、ＢＧＰトラヒック変動監視装置１００が端末Ｗｅｂ描画クライアント１７０を介して行ってもよいし、他の方法で表示してもよい。

以上説明したＢＧＰトラヒック変動監視装置は、コンピュータとプログラムで構成できる。また、そのプログラムの一部または全部をハードウェアで構成してもよい。

以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

１００…ＢＧＰトラヒック変動監視装置、１０１…ＢＧＰ経路受信部、１０２…トラヒック情報受信部、１０３…相関性照合機能部、１１０…自ＡＳドメイン、１１１〜１１５…自ＡＳドメイン１１０内のルータ、１２０…隣接ＡＳ＃１、１２１…隣接ＡＳ＃１（１２０）内のルータ、１３０…隣接ＡＳ＃１（１２０）を経由して接続されているインターネット、１４０…隣接ＡＳ＃２、１４１…隣接ＡＳ＃２（１４０）内のルータ、１５０…隣接ＡＳ＃３、１５１…隣接ＡＳ＃３（１５０）内のルータ、１６０…隣接ＡＳ＃３を経由して接続されているインターネット、１７０…端末Ｗｅｂ描画クライアント、２０１…ＢＧＰセッション管理部、２０２…ルーティング管理機能部、２０３…ＢＧＰＵｐｄａｔｅ分類機能部、２０４…２分岐ルーティングテーブル、２０５…削除済み経路テーブル、２０６…はＢＧＰログ情報、４０１…フロー情報受信部、４０２…トラヒック集計機能部、４０３…ピアリングＩＰ管理テーブル、４０４…トラヒック集計データ

Claims

ＢＧＰ経路変動要因によるトラヒック変動を検知するＢＧＰトラヒック変動監視装置であって、
ＢＧＰＵｐｄａｔｅメッセージを収集し、そのＢＧＰ経路情報を管理するとともに、ＢＧＰＵｐｄａｔｅメッセージをＢＧＰの属性単位に分類したＢＧＰログ情報を蓄積するＢＧＰ経路受信部と、
トラヒック情報を収集し、前記ＢＧＰ経路情報をもとにＢＧＰの属性単位にトラヒック集計を行い、集計したトラヒック集計データを蓄積するトラヒック情報受信部と、
時間的に前後するトラヒック集計データの類似度からトラヒック変動を検出し、トラヒック変動に寄与したＢＧＰの属性値と当該時間間隔の前記ＢＧＰログ情報を比較し、当該ＢＧＰの属性値に関するＢＧＰ経路変動が発生していたのか否かを評価する相関性照合機能部と、
を備えることを特徴とするＢＧＰトラヒック変動監視装置。
請求項１に記載のＢＧＰトラヒック変動監視装置において、
前記ＢＧＰ経路受信部は、新たに受信したＢＧＰＵｐｄａｔｅメッセージを既に受信したＢＧＰＵｐｄａｔｅメッセージと比較し、トラヒック変動に影響があるＢＧＰの属性単位にＵｐｄａｔｅメッセージを分類するＢＧＰＵｐｄａｔｅ分類機能部を備えることを特徴とするＢＧＰトラヒック変動監視装置。
請求項１に記載のＢＧＰトラヒック変動監視装置において、
前記ＢＧＰ経路受信部は、ＢＧＰ経路情報をルーティングテーブルとして管理するルーティング管理機能部を備え、
前記トラヒック情報受信部は、収集したトラヒック情報をもとに前記ルーティングテーブルを検索し、トラヒック変動に影響があるＢＧＰの属性単位にトラヒックを集計するトラヒック集計機能部を備える
ことを特徴とするＢＧＰトラヒック変動監視装置。
請求項３に記載のＢＧＰトラヒック変動監視装置において、
前記トラヒック集計機能部は、ＢＧＰの属性単位にトラヒック集計を行う際に、前記ルーティングテーブルの中から、送信元ＩＰアドレス、ＮｅｘｔＨｏｐアドレス、または地域情報に基づいて、参照先とするルーティングテーブルを選択することを特徴とするＢＧＰトラヒック変動監視装置。
請求項１に記載のＢＧＰトラヒック変動監視装置において、
前記ＢＧＰトラヒック変動監視装置は、ＢＧＰの属性単位のトラヒック量の時系列変化と当該ＢＧＰ属性が変化したことを示すＢＧＰＵｐｄａｔｅメッセージの発生量の時系列変化を表示することを特徴とするＢＧＰトラヒック変動監視装置。
ＢＧＰ経路変動要因によるトラヒック変動を検知するＢＧＰトラヒック変動監視装置におけるＢＧＰトラヒック変動監視方法であって、
ＢＧＰトラヒック変動監視装置は、ＢＧＰ経路受信部とトラヒック情報受信部と相関性照合機能部を備え、
前記ＢＧＰ経路受信部が、ＢＧＰＵｐｄａｔｅメッセージを収集し、そのＢＧＰ経路情報を管理するとともに、ＢＧＰＵｐｄａｔｅメッセージをＢＧＰの属性単位に分類したＢＧＰログ情報を蓄積し、
前記トラヒック情報受信部が、トラヒック情報を収集し、前記ＢＧＰ経路情報をもとにＢＧＰの属性単位にトラヒック集計を行い、集計したトラヒック集計データを蓄積し、
前記相関性照合機能部が、時間的に前後するトラヒック集計データの類似度からトラヒック変動を検出し、トラヒック変動に寄与したＢＧＰの属性値と当該時間間隔の前記ＢＧＰログ情報を比較し、当該ＢＧＰの属性値に関するＢＧＰ経路変動が発生していたのか否かを評価する、
ことを特徴とするＢＧＰトラヒック変動監視方法。
ＢＧＰ経路変動要因によるトラヒック変動を検知するＢＧＰトラヒック変動監視システムであって、
ＢＧＰＵｐｄａｔｅメッセージを収集し、そのＢＧＰ経路情報を管理するとともに、ＢＧＰＵｐｄａｔｅメッセージをＢＧＰの属性単位に分類したＢＧＰログ情報を蓄積するＢＧＰ経路受信手段と、
トラヒック情報を収集し、前記ＢＧＰ経路情報をもとにＢＧＰの属性単位にトラヒック集計を行い、集計したトラヒック集計データを蓄積するトラヒック情報受信手段と、
時間的に前後するトラヒック集計データの類似度からトラヒック変動を検出し、トラヒック変動に寄与したＢＧＰの属性値と当該時間間隔の前記ＢＧＰログ情報を比較し、当該ＢＧＰの属性値に関するＢＧＰ経路変動が発生していたのか否かを評価する相関性照合機能手段と、
を備えることを特徴とするＢＧＰトラヒック変動監視システム。