JP5117534B2 - ネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラム - Google Patents

Description

本発明は、ネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムに関する。

一般に、ＩＰ（Internet Protocol）ネットワークは、共通の管理下において運用されるネットワークの集合であるＡＳ（Autonomous System：自律システム）毎に分けられる。このようなＡＳ間でのルーティングは、ＥＧＰ（Exterior Gateway Protocol）と呼ばれるルーティングプロトコルによって行われる。ＥＧＰとしては、例えば、ＡＳ間の経路制御を行うＢＧＰ（Border Gateway Protocol）が知られている。

ところで、ＩＳＰ（Internet Services Provider）や、ホスティングプロバイダ、通信事業者等は、安全なネットワーク運用を目的として、ネットワークのトラフィック等を監視し、異常を検出した場合に異常に対する処置を施す。例えば、上記のＢＧＰ等が適用されるＡＳを監視する場合には、ネットワーク監視システムが、監視対象のＡＳ内に配置されるルータ等から経路情報やトラフィック量を収集する。そして、ネットワーク管理者は、ネットワーク監視システムによって収集された各種情報を用いて、監視対象のＡＳを流通するトラフィックの経路変動やトラフィック量を監視する。

NANOG 39 Toronto 「Best Practices for Determining the Traffic Matrix in IP Networks V3.0」, Thomas Telkamp, Cariden Technologies, Inc.

しかしながら、上記の従来技術には、ネットワーク監視システムが配置されるＡＳ以外のＡＳを流通するトラフィック量を監視することができないという問題があった。例えば、ＡＳを監視する従来のネットワーク監視システムは、監視対象のＡＳ内に配置されるルータ等から経路情報やトラフィック量を収集するだけであるので、監視対象外のＡＳを流通するトラフィック量を収集することができなかった。

本発明は、上記に鑑みてなされたものであって、監視対象外のＡＳを流通するトラフィック量を収集することができるネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係るネットワーク監視装置は、ネットワークに含まれる複数の自律システムのうち特定の自律システムを監視するネットワーク監視装置であって、前記特定の自律システムから、該特定の自律システムを経由するトラフィックの送信先情報及びトラフィック量を含むフロー情報を収集するフロー情報収集部と、前記特定の自律システムから、該特定の自律システムを経由するトラフィックの送信先情報と、前記複数の自律システムのうち該トラフィックが経由する自律システムの経路とを含む経路情報を収集する経路情報収集部と、前記フロー情報収集部によって収集されたフロー情報のうち、前記経路情報収集部によって収集された経路情報に含まれる送信先情報と一致する送信先情報を含むフロー情報のトラフィック量を加算することにより、前記複数の自律システムにおける自律システム間毎にトラフィック量を集計するトラフィック集計部とを備えることを特徴とする。

また、本発明に係るネットワーク監視方法は、ネットワークに含まれる複数の自律システムのうち特定の自律システムを監視するネットワーク監視方法であって、コンピュータが、前記特定の自律システムから、該特定の自律システムを経由するトラフィックの送信先情報及びトラフィック量を含むフロー情報を収集するフロー情報収集工程と、前記特定の自律システムから、該特定の自律システムを経由するトラフィックの送信先情報と、前記複数の自律システムのうち該トラフィックが経由する自律システムの経路とを含む経路情報を収集する経路情報収集工程と、前記フロー情報収集工程によって収集されたフロー情報のうち、前記経路情報収集工程によって収集された経路情報に含まれる送信先情報と一致する送信先情報を含むフロー情報のトラフィック量を加算することにより、前記複数の自律システムにおける自律システム間毎にトラフィック量を集計するトラフィック集計工程とを含むことを特徴とする。

また、本発明に係るネットワーク監視プログラムは、コンピュータを上記のネットワーク監視装置として機能させることを特徴とする。

本発明に係るネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムは、監視対象外のＡＳを流通するトラフィック量を収集することができるという効果を奏する。

図１Ａは、実施例に係るネットワーク監視装置が適用されるネットワークの構成例を示す図である。 図１Ｂは、実施例に係るネットワーク監視装置が適用されるネットワークの構成例を示す図である。 図２は、実施例に係るネットワーク監視装置の構成例を示すブロック図である。 図３は、フロー情報記憶部の一例を示す図である。 図４Ａは、経路情報記憶部の一例を示す図である。 図４Ｂは、経路情報記憶部の一例を示す図である。 図５Ａは、送信先プレフィックス毎に集計されたトラフィック量の一例を示す図である。 図５Ｂは、送信先プレフィックス毎に集計されたトラフィック量の一例を示す図である。 図６Ａは、経路トラフィック記憶部の一例を示す図である。 図６Ｂは、経路トラフィック記憶部の一例を示す図である。 図７Ａは、ＡＳ間トラフィック記憶部の一例を示す図である。 図７Ｂは、ＡＳ間トラフィック記憶部の一例を示す図である。 図８は、トラフィック履歴記憶部の一例を示す図である。 図９は、本実施例における制御部による処理の流れを示すシーケンス図である。 図１０は、本実施例に係るネットワーク監視装置による集計処理手順を示すフローチャートである。 図１１は、本実施例に係るネットワーク監視装置による監視処理手順を示すフローチャートである。

以下に、本発明に係るネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例により本発明が限定されるものではない。

［ネットワーク構成］
まず、図１Ａ及び図１Ｂを用いて、本実施例に係るネットワーク監視装置が適用されるネットワークの構成例について説明する。図１Ａ及び図１Ｂは、本実施例に係るネットワーク監視装置が適用されるネットワークの構成例を示す図である。なお、図１Ａと図１Ｂに例示したネットワーク１は、同様の構成であるが、以下に説明するようにトラフィックが経由するＡＳの経路が異なるものとする。

図１Ａに示すように、本実施例におけるネットワーク１には、ＡＳ１０〜５０が含まれる。なお、ネットワーク１は、ＢＧＰによってＡＳ間のルーティングが行われているものとする。

ＡＳ１０は、本実施例に係るネットワーク監視装置１００と、パケットの中継処理を行うルータ１１〜１３とを含む。また、ＡＳ２０はルータ２１及び２２を含み、ＡＳ３０はルータ３１を含み、ＡＳ４０はルータ４１及び４２を含み、ＡＳ５０はルータ５１を含む。

ルータ１１とルータ２１とは相互に接続される。すなわち、ルータ１１は、ＡＳ１０を経由するトラフィックをＡＳ２０に中継する処理を行う。また、ルータ２１は、ＡＳ２０を経由するトラフィックをＡＳ１０に中継する処理を行う。同様に、ルータ２２は、ＡＳ２０を経由するトラフィックをＡＳ３０に中継する処理や、ＡＳ２０を経由するトラフィックをＡＳ４０に中継する処理を行う。

以下では、このようなＡＳ間を接続する接続線を「ＡＳリンク」と表記する場合がある。図１Ａに示した例では、ＡＳ１０とＡＳ２０とはＡＳリンクＬ１２により接続されており、ＡＳ２０とＡＳ３０とはＡＳリンクＬ２３により接続されており、ＡＳ２０とＡＳ４０とはＡＳリンクＬ２４により接続されており、ＡＳ３０とＡＳ４０とはＡＳリンクＬ３４により接続されており、ＡＳ３０とＡＳ５０とはＡＳリンクＬ３５により接続されており、ＡＳ４０とＡＳ５０とはＡＳリンクＬ４５により接続されている。

ネットワーク監視装置１００は、ＡＳ１０を監視対象とし、ルータ１１〜１３と接続される。かかるネットワーク監視装置１００は、ルータ１１〜１３等から、ＡＳ１０を経由するトラフィックの送信先ＩＰアドレス及びトラフィック量を含むフロー情報を収集する。例えば、ネットワーク監視装置１００は、ｓＦｌｏｗ（登録商標）、ＮｅｔＦｌｏｗ、ＩＰＦＩＸ等の技術により、ルータ１１〜１３等からフロー情報を取得する。

また、ネットワーク監視装置１００は、ルータ１１〜１３等から、ＡＳ１０を経由するトラフィックの送信先を示す送信先プレフィックスと、かかるトラフィックが経由するＡＳの経路とを含む経路情報を収集する。ネットワーク監視装置１００は、ＡＳ１０内に配置されるので、例えば、Ｉ−ＢＧＰ（Internal−BGP）におけるＯＰＥＮメッセージやＵＰＤＡＴＥメッセージ等を受信することにより、ルータ１１〜１３等から経路情報を取得する。なお、以下では、トラフィックが経由するＡＳの経路を「ＡＳパス」と表記する場合がある。

そして、ネットワーク監視装置１００は、ルータ１１〜１３等から収集したフロー情報及び経路情報を用いて、ＡＳ間を接続するＡＳリンク毎にトラフィック量を集計する。そして、ネットワーク監視装置１００は、ＡＳリンク毎にトラフィック変動量を監視し、トラフィック変動量が所定の閾値よりも大きい場合に、かかるＡＳリンクに関する各種情報を図示しない管理者端末等に送信する。このようなネットワーク監視装置１００による処理について、図１Ａ及び図１Ｂに示した例を用いて具体的に説明する。

まず、図１Ａに示した例において、トラフィックＴ１１は、ＡＳ１０内のルータ１１等に接続される図示しない端末から、ＡＳ１０、ＡＳ２０、ＡＳ３０、ＡＳ５０を経由して、ＡＳ５０内のルータ５１等に接続される図示しない端末に流通するものとする。また、トラフィックＴ１２は、ＡＳ１０内のルータ１１等に接続される端末から、ＡＳ１０、ＡＳ２０、ＡＳ３０を経由して、ＡＳ３０内のルータ３１等に接続される端末に流通するものとする。

このような状態において、ネットワーク監視装置１００は、例えば、ルータ１１からフロー情報を収集することで、トラフィックＴ１１の送信先ＩＰアドレス及びトラフィック量と、トラフィックＴ１２の送信先ＩＰアドレス及びトラフィック量とを取得する。また、ネットワーク監視装置１００は、ルータ１１等から経路情報を収集することで、トラフィックＴ１１の送信先プレフィックス及びＡＳパスと、トラフィックＴ１２の送信先プレフィックス及びＡＳパスとを取得する。

そして、ネットワーク監視装置１００は、経路情報に含まれる送信先プレフィックスとマッチする送信先ＩＰアドレスを含むフロー情報を抽出する。そして、ネットワーク監視装置１００は、抽出したフロー情報に含まれるトラフィック量を送信先プレフィックス毎に集計するとともに、ＡＳパス毎にトラフィック量を集計する。そして、ネットワーク監視装置１００は、ＡＳパス毎のトラフィック量に基づいて、ＡＳリンク毎にトラフィック量を集計する。

図１Ａに示した例の場合、ネットワーク監視装置１００は、経路情報に含まれるトラフィックＴ１１のＡＳパスを流通するトラフィックのトラフィック量をフロー情報から取得する。また、ネットワーク監視装置１００は、経路情報に含まれるトラフィックＴ１２のＡＳパスを流通するトラフィックのトラフィック量をフロー情報から取得する。

トラフィックＴ１１のＡＳパスは、ＡＳ１０、ＡＳ２０、ＡＳ３０、ＡＳ５０であるので、トラフィックＴ１１のＡＳパスに含まれるＡＳリンクは、ＡＳリンクＬ１２、ＡＳリンクＬ２３、ＡＳリンクＬ３５である。すなわち、ＡＳリンクＬ１２、ＡＳリンクＬ２３、ＡＳリンクＬ３５には、トラフィックＴ１１が流通する。また、トラフィックＴ１２のＡＳパスは、ＡＳ１０、ＡＳ２０、ＡＳ３０であるので、トラフィックＴ１２のＡＳパスに含まれるＡＳリンクは、ＡＳリンクＬ１２、ＡＳリンクＬ２３である。すなわち、ＡＳリンクＬ１２、ＡＳリンクＬ２３には、トラフィックＴ１２が流通する。

したがって、ネットワーク監視装置１００は、ＡＳリンクＬ１２のトラフィック量として、トラフィックＴ１１のトラフィック量と、トラフィックＴ１２のトラフィック量とを加算した値を集計する。また、ネットワーク監視装置１００は、ＡＳリンクＬ２３のトラフィック量として、トラフィックＴ１１のトラフィック量と、トラフィックＴ１２のトラフィック量とを加算した値を集計する。また、ネットワーク監視装置１００は、ＡＳリンクＬ３５のトラフィック量として、トラフィックＴ１１のトラフィック量を集計する。このようにして、ネットワーク監視装置１００は、ＡＳパス毎のトラフィック量に基づいて、ＡＳリンク毎にトラフィック量を集計する。

ここで、ＡＳリンクＬ３５を形成するケーブルが断線し、ＡＳ３０とＡＳ５０との間でトラフィックの流通が不能になったものとする。かかる場合に、トラフィックＴ１１は、ＡＳリンクＬ３５以外のＡＳリンクを経由して、ＡＳ１０からＡＳ５０へ流通する。例えば、図１Ｂに示した例のように、トラフィックＴ１１は、ＡＳ１０から、ＡＳ２０とＡＳ４０とを経由して、ＡＳ５０に流通するトラフィックＴ１３となる。

このような状態において、ネットワーク監視装置１００は、ルータ１１からフロー情報を収集することで、トラフィックＴ１３の送信先ＩＰアドレス及びトラフィック量を取得する。また、ネットワーク監視装置１００は、ルータ１１等から経路情報を収集することで、トラフィックＴ１３の送信先プレフィックス及びＡＳパスを取得する。なお、ネットワーク監視装置１００は、図１Ａに示した例と同様に、ルータ１１からフロー情報及び経路情報を収集することで、トラフィックＴ１３の送信先ＩＰアドレス、トラフィック量、送信先プレフィックス及びＡＳパスを取得する。

そして、ネットワーク監視装置１００は、図１Ａに示した例と同様に、フロー情報及び経路情報に含まれる各種情報に基づいて、送信先プレフィックス毎にトラフィック量を集計し、ＡＳパス毎にトラフィック量を集計する。そして、ネットワーク監視装置１００は、ＡＳパス毎のトラフィック量に基づいて、ＡＳリンク毎にトラフィック量を集計する。

図１Ｂに示した例の場合、トラフィックＴ１２のＡＳパスは、図１Ａに示した例と同様に、ＡＳ１０、ＡＳ２０、ＡＳ３０であるので、トラフィックＴ１２のＡＳパスに含まれるＡＳリンクは、ＡＳリンクＬ１２、ＡＳリンクＬ２３である。すなわち、ＡＳリンクＬ１２、ＡＳリンクＬ２３には、トラフィックＴ１２が流通する。また、トラフィックＴ１３のＡＳパスは、ＡＳ１０、ＡＳ２０、ＡＳ４０、ＡＳ５０であるので、トラフィックＴ１３のＡＳパスに含まれるＡＳリンクは、ＡＳリンクＬ１２、ＡＳリンクＬ２４、ＡＳリンクＬ４５である。すなわち、ＡＳリンクＬ１２、ＡＳリンクＬ２４、ＡＳリンクＬ４５には、トラフィックＴ１３が流通する。

したがって、ネットワーク監視装置１００は、ＡＳリンクＬ１２のトラフィック量として、トラフィックＴ１２のトラフィック量と、トラフィックＴ１３のトラフィック量とを加算した値を集計する。また、ネットワーク監視装置１００は、ＡＳリンクＬ２３のトラフィック量として、トラフィックＴ１２のトラフィック量を集計する。また、ネットワーク監視装置１００は、ＡＳリンクＬ２４のトラフィック量として、トラフィックＴ１３のトラフィック量を集計する。また、ネットワーク監視装置１００は、ＡＳリンクＬ４５のトラフィック量として、トラフィックＴ１３のトラフィック量を集計する。

そして、ネットワーク監視装置１００は、各ＡＳリンクを流通するトラフィックのトラフィック変動量を定期的に監視する。そして、トラフィック変動量が所定の閾値よりも大きいＡＳリンクを検出した場合に、かかるＡＳリンクを流通していたトラフィックに関する各種情報を管理者端末等に通知する。

例えば、ネットワーク１を流通するトラフィックが図１Ａに示した状態から図１Ｂに示した状態に変動した場合には、ＡＳリンクＬ３５を流通するトラフィックのトラフィック量は、トラフィックＴ１１のトラフィック量から「０」に変動する。かかる変動量が所定の閾値よりも大きい場合には、ネットワーク監視装置１００は、ＡＳリンクＬ３５を流通していたトラフィックＴ１１のトラフィック量や送信先ＩＰアドレス等を管理者端末等に通知する。

このように、本実施例に係るネットワーク監視装置１００は、ＡＳパス毎のトラフィック量を集計するとともに、ＡＳリンク毎にトラフィック量を集計する。これにより、本実施例に係るネットワーク監視装置１００は、監視対象のＡＳ１０以外のＡＳ２０〜４０を流通するトラフィックのトラフィック量を収集することができる。また、本実施例に係るネットワーク監視装置１００は、トラフィック変動量が所定の閾値よりも大きいＡＳリンクに関する各種情報を通知するので、故障した可能性のあるＡＳリンクをネットワーク管理者に通知することができる。

［本実施例に係るネットワーク監視装置の構成］
次に、図２を用いて、本実施例に係るネットワーク監視装置１００について説明する。図２は、本実施例に係るネットワーク監視装置１００の構成例を示すブロック図である。図２に示すように、本実施例に係るネットワーク監視装置１００は、記憶部１１０と、制御部１２０とを有する。

記憶部１１０は、各種情報を記憶する記憶デバイスであり、例えば、ハードディスク装置や、半導体記憶装置、ＲＡＭ（Random Access Memory）等である。図２に示すように、記憶部１１０は、フロー情報記憶部１１１と、経路情報記憶部１１２と、経路トラフィック記憶部１１３と、ＡＳ間トラフィック記憶部１１４と、トラフィック履歴記憶部１１５とを有する。記憶部１１０に記憶される各種情報は、後述する制御部１２０によって格納及び更新される。

制御部１２０は、ネットワーク監視装置１００を全体制御する制御部であり、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）などの集積回路、又は、ＣＰＵ（Central Processing Unit）などの電子回路である。図２に示すように、制御部１２０は、フロー情報収集部１２１と、経路情報収集部１２２と、経路トラフィック集計部１２３と、ＡＳ間トラフィック集計部１２４と、トラフィック変動検出部１２５とを有する。

フロー情報収集部１２１は、ネットワーク監視装置１００の監視対象であるＡＳからフロー情報を収集する。図１Ａ及び図１Ｂに示すように、本実施例に係るネットワーク監視装置１００の監視対象はＡＳ１０であるので、フロー情報収集部１２１は、ルータ１１〜１３等からフロー情報を収集する。具体的には、ルータ１１〜１３等は、ｓＦｌｏｗ（登録商標）、ＮｅｔＦｌｏｗ、ＩＰＦＩＸ等の技術が適用されている場合に、フロー情報をネットワーク監視装置１００へ送信する。フロー情報収集部１２１は、ルータ１１〜１３等から送信されるフロー情報を受信することにより、フロー情報を収集する。そして、フロー情報収集部１２１は、ルータ１１〜１３等から収集したフロー情報をフロー情報記憶部１１１に格納する。

フロー情報収集部１２１によって収集されるフロー情報には、トラフィックの送信元端末のＩＰアドレス及びポート番号、トラフィックの送信先端末のＩＰアドレス及びポート番号、パケットの流通に用いられるプロトコル等が含まれる。すなわち、フロー情報収集部１２１は、ルータ１１〜１３等から収集したフロー情報に含まれる送信元ＩＰアドレスや、送信先ＩＰアドレス等をフロー情報記憶部１１１に格納する。

図３に、フロー情報記憶部１１１の一例を示す。図３に示すように、フロー情報記憶部１１１は、フロー情報収集部１２１によって、「送信元ＩＰアドレス」、「送信先ＩＰアドレス」、「プロトコル」、「送信元ポート番号」、「送信先ポート番号」、「トラフィック量」といった情報が格納される。

すなわち、図３に例示したフロー情報記憶部１１１は、送信元ＩＰアドレス「Ａ．Ａ．Ａ．１１」である端末のポート番号「Ｐｏ１１」から、送信先ＩＰアドレス「Ｘ．Ｘ．Ｘ．１２」である端末のポート番号「Ｐｏ１２」に対して、トラフィック量「１５０Ｍｂｐｓ」のトラフィックが流通することを示している。また、図３に例示したフロー情報記憶部１１１は、送信元ＩＰアドレス「Ｂ．Ｂ．Ｂ．２１」である端末から、送信先ＩＰアドレス「Ｙ．Ｙ．Ｙ．２２」である端末に対して、トラフィック量「１００Ｍｂｐｓ」のトラフィックが流通し、送信元ＩＰアドレス「Ｃ．Ｃ．Ｃ．３１」である端末から、送信先ＩＰアドレス「Ｚ．Ｚ．Ｚ．３２」である端末に対して、トラフィック量「５０Ｍｂｐｓ」のトラフィックが流通することを示している。

なお、ネットワーク１が図１Ａ又は図１Ｂのいずれの状態であっても、フロー情報収集部１２１によって収集されるフロー情報は、図３に示した情報であるものとする。これは、フロー情報には、トラフィックの送信先ＩＰアドレスやトラフィック量等が含まれるが、トラフィックのＡＳパスに関する情報が含まれないからである。すなわち、図１Ａ及び図１Ｂに示した例のように、トラフィックの流通経路が変動した場合であっても、フロー情報に含まれる各種情報は変動しない場合がある。

経路情報収集部１２２は、ネットワーク監視装置１００の監視対象であるＡＳから経路情報を収集する。上述したように、ネットワーク監視装置１００の監視対象はＡＳ１０であるので、経路情報収集部１２２は、ルータ１１〜１３等から経路情報を収集する。具体的には、経路情報収集部１２２は、ルータ１１〜１３等から、Ｉ−ＢＧＰにおけるＯＰＥＮメッセージやＵＰＤＡＴＥメッセージ等を受信することにより、経路情報を取得する。そして、経路情報収集部１２２は、ルータ１１〜１３等から収集した経路情報を経路情報記憶部１１２に格納する。

経路情報収集部１２２によって収集される経路情報には、トラフィックの送信先のネットワークアドレスを示すプレフィックスや、かかるトラフィックが経由するＡＳの経路であるＡＳパス等を含む。すなわち、経路情報収集部１２２は、ルータ１１〜１３等から収集した経路情報に含まれるプレフィックスやＡＳパスを経路情報記憶部１１２に格納する。

図４Ａ及び図４Ｂに、経路情報記憶部１１２の一例を示す。なお、図４Ａは、ネットワーク１が図１Ａに例示した状態である場合に、経路情報収集部１２２によって経路情報が格納された経路情報記憶部１１２の状態を示す。また、図４Ｂは、ネットワーク１が図１Ｂに例示した状態である場合に、経路情報収集部１２２によって経路情報が格納された経路情報記憶部１１２の状態を示す。

図４Ａ及び図４Ｂに示すように、経路情報記憶部１１２は、経路情報収集部１２２によって、「送信先プレフィックス」、「ＡＳパス」といった情報が格納される。なお、図４Ａ及び図４Ｂでは、「ＡＳパス」が、トラフィックが経由するＡＳの順を、かかるＡＳのＡＳ番号を左から順に空白によって区切って記憶する例を示している。また、ＡＳのＡＳ番号とは、ＡＳを識別する識別情報であり、図１Ａ及び図１Ｂに示した各ＡＳに付した符号であるものする。例えば、ＡＳ１０のＡＳ番号は「１０」であり、ＡＳ２０のＡＳ番号は「２０」である。

すなわち、図４Ａに例示した経路情報記憶部１１２は、送信先プレフィックスが「Ｘ．Ｘ．Ｘ．Ｘ／Ｎ」であるトラフィックが、ＡＳ１０、ＡＳ２０、ＡＳ３０、ＡＳ５０を経由することを示している。また、図４Ａに例示した経路情報記憶部１１２は、送信先プレフィックスが「Ｙ．Ｙ．Ｙ．Ｙ／Ｎ」であるトラフィックが、ＡＳ１０、ＡＳ２０、ＡＳ３０、ＡＳ５０を経由することを示している。また、図４Ａに例示した経路情報記憶部１１２は、送信先プレフィックスが「Ｚ．Ｚ．Ｚ．Ｚ／Ｎ」であるトラフィックが、ＡＳ１０、ＡＳ２０、ＡＳ３０を経由することを示している。

なお、図４Ａに例示した経路情報記憶部１１２に記憶されている各種情報のうち、送信先プレフィックスが「Ｘ．Ｘ．Ｘ．Ｘ／Ｎ」であるトラフィックと、送信先プレフィックスが「Ｙ．Ｙ．Ｙ．Ｙ／Ｎ」であるトラフィックは、図１Ａに示したトラフィックＴ１１を示す。また、送信先プレフィックスが「Ｚ．Ｚ．Ｚ．Ｚ／Ｎ」であるトラフィックは、図１Ａに示したトラフィックＴ１２を示す。

また、図４Ｂに例示した経路情報記憶部１１２は、送信先プレフィックスが「Ｘ．Ｘ．Ｘ．Ｘ／Ｎ」であるトラフィックが、ＡＳ１０、ＡＳ２０、ＡＳ４０、ＡＳ５０を経由することを示している。また、図４Ｂに例示した経路情報記憶部１１２は、送信先プレフィックスが「Ｙ．Ｙ．Ｙ．Ｙ／Ｎ」であるトラフィックが、ＡＳ１０、ＡＳ２０、ＡＳ４０、ＡＳ５０を経由することを示している。また、図４Ｂに例示した経路情報記憶部１１２は、送信先のプレフィックスが「Ｚ．Ｚ．Ｚ．Ｚ／Ｎ」であるトラフィックが、ＡＳ１０、ＡＳ２０、ＡＳ３０を経由することを示している。

なお、図４Ａに例示した経路情報記憶部１１２に記憶されている各種情報のうち、送信先プレフィックスが「Ｘ．Ｘ．Ｘ．Ｘ／Ｎ」であるトラフィックと、送信先プレフィックスが「Ｙ．Ｙ．Ｙ．Ｙ／Ｎ」であるトラフィックは、図１Ｂに示したトラフィックＴ１３を示す。また、送信先プレフィックスが「Ｚ．Ｚ．Ｚ．Ｚ／Ｎ」であるトラフィックは、図１Ａに示したトラフィックＴ１２を示す。

経路トラフィック集計部１２３は、フロー情報収集部１２１によって収集されたフロー情報と、経路情報収集部１２２によって収集された経路情報とに基づいて、ＡＳパス毎にトラフィック量を集計する。具体的には、経路トラフィック集計部１２３は、経路情報に含まれる送信先プレフィックスとマッチする送信先ＩＰアドレスを含むフロー情報を抽出する。そして、経路トラフィック集計部１２３は、抽出したフロー情報に含まれるトラフィック量を送信先プレフィックス毎に集計する。続いて、経路トラフィック集計部１２３は、ＡＳパスが同一であるトラフィックのトラフィック量を加算することにより、ＡＳパス毎にトラフィック量を集計する。そして、経路トラフィック集計部１２３は、ＡＳパス毎のトラフィック量を経路トラフィック記憶部１１３に格納する。

経路トラフィック集計部１２３による集計処理について、図５Ａ、図５Ｂ、図６Ａ及び図６Ｂを用いて具体的に説明する。図５Ａ及び図５Ｂは、送信先プレフィックス毎に集計されたトラフィック量の一例を示す図である。また、図６Ａ及び図６Ｂは、経路トラフィック記憶部１１３の一例を示す図である。なお、図６Ａは、ネットワーク１が図１Ａに例示した状態である場合に、経路トラフィック集計部１２３によって更新された経路トラフィック記憶部１１３の状態を示す。また、図６Ｂは、ネットワーク１が図１Ｂに例示した状態である場合に、経路トラフィック集計部１２３によって更新された経路トラフィック記憶部１１３の状態を示す。

例えば、ネットワーク１が図１Ａに例示した状態である場合、ＩＰアドレス「Ｘ．Ｘ．Ｘ．１２」のプレフィックスは、「Ｘ．Ｘ．Ｘ．Ｘ／Ｎ」であるので、図４Ａに例示したプレフィックス「Ｘ．Ｘ．Ｘ．Ｘ／Ｎ」と、図３に示した送信先ＩＰアドレス「Ｘ．Ｘ．Ｘ．１２」とがマッチする。したがって、経路トラフィック集計部１２３は、図５Ａに示すように、プレフィックス「Ｘ．Ｘ．Ｘ．Ｘ／Ｎ」に対応付けて、送信先ＩＰアドレス「Ｘ．Ｘ．Ｘ．１２」に対応するトラフィック量「１５０Ｍｂｐｓ」を集計する。同様にして、経路トラフィック集計部１２３は、図５Ａに示すように、プレフィックス「Ｙ．Ｙ．Ｙ．Ｙ／Ｎ」に対応付けてトラフィック量「１００Ｍｂｐｓ」を集計し、プレフィックス「Ｚ．Ｚ．Ｚ．Ｚ／Ｎ」に対応付けてトラフィック量「５０Ｍｂｐｓ」を集計する。

そして、経路トラフィック集計部１２３は、図５Ａに示したトラフィック量をＡＳパス毎に集計する。具体的には、経路トラフィック集計部１２３は、図５Ａに示したトラフィック量のうち、ＡＳパスが「１０ ２０ ３０ ５０」であるトラフィック量「１５０Ｍｂｐｓ」と「１００Ｍｂｐｓ」とを加算することにより、トラフィック量「２５０Ｍｂｐｓ」を算出する。そして、経路トラフィック集計部１２３は、図６Ａに示すように、ＡＳパス「１０ ２０ ３０ ５０」と、算出結果のトラフィック量「２５０Ｍｂｐｓ」とを対応付けて経路トラフィック記憶部１１３に格納する。また、図５Ａに示すように、ＡＳパス「１０ ２０ ３０」は１個のみ存在するので、経路トラフィック集計部１２３は、図６Ａに示すように、ＡＳパス「１０ ２０ ３０」と、トラフィック量「５０Ｍｂｐｓ」とを対応付けて経路トラフィック記憶部１１３に格納する。

また、例えば、ネットワーク１が図１Ｂに例示した状態である場合、図４Ｂに例示した送信先プレフィックス「Ｘ．Ｘ．Ｘ．Ｘ／Ｎ」と、図３に示した送信先ＩＰアドレス「Ｘ．Ｘ．Ｘ．１２」とがマッチする。したがって、経路トラフィック集計部１２３は、図５Ｂに示すように、送信先プレフィックス「Ｘ．Ｘ．Ｘ．Ｘ／Ｎ」に対応付けて、送信先ＩＰアドレス「Ｘ．Ｘ．Ｘ．１２」に対応するトラフィック量「１５０Ｍｂｐｓ」を集計する。同様にして、経路トラフィック集計部１２３は、図５Ｂに示すように、送信先プレフィックス「Ｙ．Ｙ．Ｙ．Ｙ／Ｎ」に対応付けてトラフィック量「１００Ｍｂｐｓ」を集計し、送信先プレフィックス「Ｚ．Ｚ．Ｚ．Ｚ／Ｎ」に対応付けてトラフィック量「５０Ｍｂｐｓ」を集計する。

そして、経路トラフィック集計部１２３は、図５Ｂに示したトラフィック量をＡＳパス毎に集計する。具体的には、経路トラフィック集計部１２３は、図５Ｂに示したトラフィック量のうち、ＡＳパスが「１０ ２０ ４０ ５０」であるトラフィック量「１５０Ｍｂｐｓ」と「１００Ｍｂｐｓ」とを加算することにより、トラフィック量「２５０Ｍｂｐｓ」を算出する。そして、経路トラフィック集計部１２３は、図６Ｂに示すように、ＡＳパス「１０ ２０ ４０ ５０」と、算出結果のトラフィック量「２５０Ｍｂｐｓ」とを対応付けて経路トラフィック記憶部１１３に格納する。また、経路トラフィック集計部１２３は、図６Ｂに示すように、ＡＳパス「１０ ２０ ３０」と、トラフィック量「５０Ｍｂｐｓ」とを対応付けて経路トラフィック記憶部１１３に格納する。

ＡＳ間トラフィック集計部１２４は、経路トラフィック集計部１２３によって集計されたＡＳパス毎のトラフィック量に基づいて、ＡＳリンク毎のトラフィック量を集計する。具体的には、ＡＳ間トラフィック集計部１２４は、経路トラフィック集計部１２３によって集計されたＡＳパスに対応するトラフィック量を、かかるＡＳパスに含まれるＡＳリンクのトラフィック量とする。そして、ＡＳ間トラフィック集計部１２４は、同一のＡＳリンクのトラフィック量を加算することにより、ＡＳリンク毎のトラフィック量を集計する。そして、ＡＳ間トラフィック集計部１２４は、ＡＳリンク毎のトラフィック量をＡＳ間トラフィック記憶部１１４に格納する。

ＡＳ間トラフィック集計部１２４による集計処理について、図７Ａ及び図７Ｂを用いて具体的に説明する。図７Ａ及び図７Ｂは、ＡＳ間トラフィック記憶部１１４の一例を示す図である。なお、図７Ａは、ネットワーク１が図１Ａに例示した状態である場合に、ＡＳ間トラフィック集計部１２４によって更新されたＡＳ間トラフィック記憶部１１４の状態を示す。また、図７Ｂは、ネットワーク１が図１Ｂに例示した状態である場合に、ＡＳ間トラフィック集計部１２４によって更新されたＡＳ間トラフィック記憶部１１４の状態を示す。また、図７Ａ及び図７Ｂに例示した「ＡＳリンク」には、ＡＳリンクを識別する識別情報として、図１Ａ及び図１Ｂに示した各ＡＳリンクに付した符号を記憶するものする。例えば、ＡＳリンクＬ１２の識別情報は「Ｌ１２」であり、ＡＳリンクＬ２３の識別情報は「Ｌ２３」である。

例えば、ネットワーク１が図１Ａに例示した状態である場合、経路トラフィック集計部１２３によって、図６Ａに示したトラフィック量が集計される。ここで、ＡＳパス「１０ ２０ ３０ ５０」のトラフィック量が「２５０Ｍｂｐｓ」であるので、ＡＳリンクＬ１２、ＡＳリンクＬ２３、ＡＳリンクＬ３５には、トラフィック量「２５０Ｍｂｐｓ」のトラフィックが流通する。したがって、ＡＳ間トラフィック集計部１２４は、ＡＳリンクＬ１２、ＡＳリンクＬ２３、ＡＳリンクＬ３５のトラフィック量を「２５０Ｍｂｐｓ」とする。また、ＡＳ間トラフィック集計部１２４は、ＡＳパス「１０ ２０ ３０」のトラフィック量が「５０Ｍｂｐｓ」であるので、ＡＳリンクＬ１２、ＡＳリンクＬ２３のトラフィック量を「５０Ｍｂｐｓ」とする。

そして、ＡＳ間トラフィック集計部１２４は、ＡＳリンクＬ１２のトラフィック量「２５０Ｍｂｐｓ」と「５０Ｍｂｐｓ」とを加算することにより、トラフィック量「３００Ｍｂｐｓ」を算出する。また、ＡＳ間トラフィック集計部１２４は、ＡＳリンクＬ２３のトラフィック量「２５０Ｍｂｐｓ」と「５０Ｍｂｐｓ」とを加算することにより、トラフィック量「３００Ｍｂｐｓ」を算出する。そして、ＡＳ間トラフィック集計部１２４は、図７Ａに示すように、ＡＳリンクＬ１２とトラフィック量「３００Ｍｂｐｓ」とを対応付け、ＡＳリンクＬ２３とトラフィック量「３００Ｍｂｐｓ」とを対応付け、ＡＳリンクＬ３５とトラフィック量「２５０Ｍｂｐｓ」とを対応付けてＡＳ間トラフィック記憶部１１４に格納する。

また、例えば、ネットワーク１が図１Ｂに例示した状態である場合、経路トラフィック集計部１２３によって、図６Ｂに示したトラフィック量が集計される。かかる場合に、ＡＳ間トラフィック集計部１２４は、ＡＳパス「１０ ２０ ４０ ５０」のトラフィック量が「２５０Ｍｂｐｓ」であるので、ＡＳリンクＬ１２、ＡＳリンクＬ２４、ＡＳリンクＬ４５のトラフィック量を「２５０Ｍｂｐｓ」とする。また、ＡＳ間トラフィック集計部１２４は、ＡＳパス「１０ ２０ ３０」のトラフィック量が「５０Ｍｂｐｓ」であるので、ＡＳリンクＬ１２、ＡＳリンクＬ２３のトラフィック量を「５０Ｍｂｐｓ」とする。

そして、ＡＳ間トラフィック集計部１２４は、ＡＳリンクＬ１２のトラフィック量「２５０Ｍｂｐｓ」と「５０Ｍｂｐｓ」とを加算することにより、トラフィック量「３００Ｍｂｐｓ」を算出する。そして、ＡＳ間トラフィック集計部１２４は、図７Ｂに示すように、ＡＳリンクＬ１２とトラフィック量「３００Ｍｂｐｓ」とを対応付け、ＡＳリンクＬ２３とトラフィック量「５０Ｍｂｐｓ」とを対応付け、ＡＳリンクＬ２４とトラフィック量「２５０Ｍｂｐｓ」とを対応付け、ＡＳリンクＬ４５とトラフィック量「２５０Ｍｂｐｓ」とを対応付けてＡＳ間トラフィック記憶部１１４に格納する。

トラフィック変動検出部１２５は、ＡＳ間トラフィック集計部１２４によって集計されたＡＳリンク毎のトラフィック量を定期的に監視する。具体的には、トラフィック変動検出部１２５は、ＡＳ間トラフィック記憶部１１４から、定期的にＡＳリンク毎のトラフィック量を取得し、取得した情報を履歴としてトラフィック履歴記憶部１１５に格納する。そして、トラフィック変動検出部１２５は、ＡＳリンク毎にトラフィック変動量が所定の閾値よりも大きいか否かを判定し、所定の閾値よりも大きいＡＳリンクを検出した場合に、かかるＡＳリンクを流通していたトラフィックに関するフロー情報や経路情報を管理者端末等に通知する。

トラフィック変動検出部１２５による監視処理について図８を用いて具体的に説明する。図８は、トラフィック履歴記憶部１１５の一例を示す図である。図８では、図１Ａに示したネットワーク１の状態を「状態Ａ」とし、図１Ｂに示したネットワーク１の状態を「状態Ｂ」とする例を示している。

例えば、ネットワーク１が図１Ａに例示した状態である場合、ＡＳ間トラフィック集計部１２４によって、図７Ａに示したトラフィック量が集計される。すなわち、トラフィック変動検出部１２５は、ネットワーク１内のＡＳ１０〜５０を接続する各ＡＳリンクのトラフィック量として、図８の「トラフィック量（状態Ａ）」に示した値を記憶しておく。そして、ネットワーク１が図１Ｂに例示した状態である場合、ＡＳ間トラフィック集計部１２４によって、図７Ｂに示したトラフィック量が集計される。すなわち、トラフィック変動検出部１２５は、ネットワーク１内の各ＡＳリンクのトラフィック量として、図８の「トラフィック量（状態Ｂ）」に示した値を記憶しておく。

図８に示すように、ネットワーク１を流通するトラフィックが図１Ａに示した状態から図１Ｂに示した状態に変動した場合には、ＡＳリンクＬ３５を流通するトラフィックのトラフィック量は、トラフィック量「２５０Ｍｂｐｓ」から「０ｂｐｓ」に変動する。すなわち、ＡＳリンクＬ３５におけるトラフィック変動量は、「２５０Ｍｂｐｓ」である。ここで、例えば、所定の閾値が「２００Ｍｂｐｓ」である場合に、ＡＳリンクＬ３５におけるトラフィック変動量「２５０Ｍｂｐｓ」が所定の閾値「２００Ｍｂｐｓ」よりも大きいので、トラフィック変動検出部１２５は、ＡＳリンクＬ３５に関する警告を通知する。例えば、トラフィック変動検出部１２５は、ＡＳリンクＬ３５を流通していたトラフィックに関する情報として、例えば、図３、図４Ａ、図５Ａ、図６Ａ、図７Ａ等に示した各種情報を含む警告を管理者端末等に通知する。

また、図８に示すように、ＡＳリンクＬ２３、ＡＳリンクＬ２４、ＡＳリンクＬ４５についても、トラフィック量が変動している。したがって、トラフィック変動検出部１２５は、かかるトラフィック変動量が所定の閾値よりも大きい場合には、ＡＳリンクＬ２３、ＡＳリンクＬ２４、ＡＳリンクＬ４５を流通していたトラフィックに関する各種情報を管理者端末等に通知する。

なお、トラフィック変動検出部１２５は、トラフィック量の減少値が所定の閾値よりも大きいか否かを判定してもよいし、トラフィック量の増加値が所定の閾値よりも大きいか否かを判定してもよい。例えば、トラフィック変動検出部１２５は、トラフィック量の減少値が所定の閾値よりも大きいか否かを判定する場合には、図８のＡＳリンクＬ２３やＡＳリンクＬ３５のように、トラフィック量が減少した値が所定の閾値よりも大きい場合に、通知処理を行ってもよい。また、例えば、トラフィック変動検出部１２５は、トラフィック量の増加値が所定の閾値よりも大きいか否かを判定する場合には、図８のＡＳリンクＬ２４やＡＳリンクＬ４５のように、トラフィック量が増加した値が所定の閾値よりも大きい場合に、通知処理を行ってもよい。

また、トラフィック変動検出部１２５は、トラフィック量が減少し、かつ、所定の閾値以下になった場合に、通知処理を行ってもよい。例えば、所定の閾値が「０ｂｐｓ」である場合、トラフィック変動検出部１２５は、トラフィック量が減少して「０ｂｐｓ」になった場合に、通知処理を行ってもよい。例えば、図８に示した例において、ＡＳリンクＬ３５のトラフィック量が「２５０Ｍｂｐｓ」から「０ｂｐｓ」に変動しているので、トラフィック変動検出部１２５は、ＡＳリンクＬ３５に関する各種情報を管理者端末等に通知する。

また、トラフィック変動検出部１２５は、一方のＡＳリンクにおけるトラフィック量の減少値が所定の閾値以上であり、かつ、他方のＡＳリンクにおけるトラフィック量の増加値が所定の閾値以上である場合に、通知処理を行ってもよい。これは、一方のＡＳリンクが故障したために、一方のＡＳリンクを流通していたトラフィックが他方のＡＳリンクを流通するようになったと考え得るからである。例えば、図８に示した例において、所定の閾値が「２００Ｍｂｐｓ」であるものとする。このとき、ＡＳリンクＬ３５のトラフィック量が「２５０Ｍｂｐｓ」から「０ｂｐｓ」に減少しており、ＡＳリンクＬ２４及びＬ４５のトラフィック量が「０ｂｐｓ」から「２５０Ｍｂｐｓ」に増加している。すなわち、ＡＳリンクＬ３５におけるトラフィック量の減少値が閾値「２００Ｍｂｐｓ」以上であり、かつ、ＡＳリンクＬ２４及びＬ４５のトラフィック量の増加値が閾値「２００Ｍｂｐｓ」以上であるので、トラフィック変動検出部１２５は、ＡＳリンクＬ３５や、ＡＳリンクＬ２４及びＬ４５に関する各種情報を管理者端末等に通知する。なお、図８に示した例では、ＡＳリンクＬ３５を流通していたトラフィックが、ＡＳリンクＬ２４及びＬ４５を流通するようになったと考え得る。

［本実施例における制御部１２０による処理シーケンス］
次に、図９を用いて、本実施例に係るネットワーク監視装置１００の制御部１２０による処理シーケンスについて説明する。図９は、本実施例における制御部１２０による処理の流れを示すシーケンス図である。

図９に示すように、制御部１２０のフロー情報収集部１２１は、監視対象のＡＳ内に配置されるルータ等からフロー情報を収集する（ステップＳ１１）。そして、フロー情報収集部１２１は、ルータ等から収集したフロー情報をフロー情報記憶部１１１に格納するとともに、経路トラフィック集計部１２３に出力する（ステップＳ１２）。

また、経路情報収集部１２２は、監視対象のＡＳ内に配置されるルータ等から経路情報を収集する（ステップＳ１３）。そして、経路情報収集部１２２は、ルータ等から収集した経路情報を経路情報記憶部１１２に格納するとともに、経路トラフィック集計部１２３に出力する（ステップＳ１４）。

続いて、経路トラフィック集計部１２３は、フロー情報収集部１２１によって収集されたフロー情報と、経路情報収集部１２２によって収集された経路情報とに基づいて、トラフィックの送信先プレフィックス毎にトラフィック量を集計する（ステップＳ１５）。そして、経路トラフィック集計部１２３は、送信先プレフィックス毎のトラフィック量に基づいて、ＡＳパス毎にトラフィック量を集計する（ステップＳ１６）。そして、経路トラフィック集計部１２３は、ＡＳパス毎のトラフィック量をＡＳ間トラフィック集計部１２４に出力する（ステップＳ１７）。

続いて、ＡＳ間トラフィック集計部１２４は、経路トラフィック集計部１２３によって集計されたＡＳパス毎のトラフィック量に基づいて、ＡＳリンク毎にトラフィック量を集計する（ステップＳ１８）。そして、ＡＳ間トラフィック集計部１２４は、ＡＳリンク毎のトラフィック量をトラフィック変動検出部１２５に出力する（ステップＳ１９）。

続いて、トラフィック変動検出部１２５は、ＡＳ間トラフィック集計部１２４によって集計されたＡＳリンク毎のトラフィック量を定期的に監視することにより、ＡＳリンク毎にトラフィック量の変動量を検出する（ステップＳ２０）。そして、トラフィック変動検出部１２５は、トラフィック変動量が所定の閾値よりも大きいＡＳリンクを検出した場合に、かかるＡＳリンクに関する各種情報を管理者端末等に通知する。

［本実施例に係るネットワーク監視装置による集計処理手順］
次に、図１０を用いて、本実施例に係るネットワーク監視装置１００による集計処理の手順について説明する。図１０は、本実施例に係るネットワーク監視装置１００による集計処理手順を示すフローチャートである。

図１０に示すように、制御部１２０のフロー情報収集部１２１は、監視対象のＡＳ内に配置されるルータ等から送信されるフロー情報を受信することにより、フロー情報を収集する（ステップＳ１０１）。また、経路情報収集部１２２は、監視対象のＡＳ内に配置されるルータ等から送信されるＩ−ＢＧＰメッセージを受信することにより、経路情報を収集する（ステップＳ１０２）。

続いて、経路トラフィック集計部１２３は、経路情報に含まれる送信先プレフィックスとマッチする送信先ＩＰアドレスを含むフロー情報を抽出する（ステップＳ１０３）。そして、経路トラフィック集計部１２３は、抽出したフロー情報に含まれるトラフィック量を加算することにより、送信先プレフィックス毎にトラフィック量を集計する（ステップＳ１０４）。そして、経路トラフィック集計部１２３は、ＡＳパスが同一であるトラフィックのトラフィック量を加算することにより、ＡＳパス毎にトラフィック量を集計する（ステップＳ１０５）。

続いて、ＡＳ間トラフィック集計部１２４は、ＡＳパスに対応するトラフィック量をかかるＡＳパスに含まれるＡＳリンクのトラフィック量として、同一のＡＳリンクのトラフィック量を加算することにより、ＡＳリンク毎にトラフィック量を集計する（ステップＳ１０６）。このようにして、制御部１２０のフロー情報収集部１２１、経路情報収集部１２２、経路トラフィック集計部１２３、ＡＳ間トラフィック集計部１２４は、ＡＳリンク毎にトラフィック量を集計する。

ネットワーク監視装置１００は、ルータ等からフロー情報及び経路情報が送信されるたびに上記の集計処理手順を行う。なお、ルータ等からフロー情報と経路情報とが同時に送信されるとは限らない。例えば、ルータ等からフロー情報のみが送信される場合や、経路情報のみが送信される場合がある。ここで、ネットワーク監視装置１００は、ルータ等からフロー情報のみが送信された場合には、上記のステップＳ１０２における処理を行わない。このとき、経路トラフィック集計部１２３は、フロー情報収集部１２１によって収集されたフロー情報と、経路情報記憶部１１２に記憶されている経路情報とを用いて上記のステップＳ１０３における処理を行う。また、ネットワーク監視装置１００は、ルータ等から経路情報のみが送信された場合には、図１０に示した集計処理手順を行わなくてもよい。また、ネットワーク監視装置１００は、ルータ等からフロー情報と、かかるフロー情報に対応する経路情報が送信された場合のみ、図１０に示した集計処理手順を行ってもよい。

［本実施例に係るネットワーク監視装置による監視処理手順］
次に、図１１を用いて、本実施例に係るネットワーク監視装置１００による監視処理の手順について説明する。図１１は、本実施例に係るネットワーク監視装置１００による監視処理手順を示すフローチャートである。

図１１に示すように、制御部１２０のトラフィック変動検出部１２５は、監視タイミングになった場合に（ステップＳ２０１肯定）、ＡＳ間トラフィック集計部１２４によって集計されたＡＳリンク毎のトラフィック量を履歴として保持する（ステップＳ２０２）。

そして、トラフィック変動検出部１２５は、前回に保持したＡＳリンク毎のトラフィック量と、ステップＳ２０２において新たに保持したＡＳリンク毎のトラフィック量とを比較することにより、ＡＳリンク毎にトラフィック変動量を監視する（ステップＳ２０３）。

そして、トラフィック変動検出部１２５は、トラフィック変動量が所定の閾値よりも大きいＡＳリンクを検出した場合に（ステップＳ２０４肯定）、かかるＡＳリンクを流通していたトラフィックに関する各種情報を管理者端末等に通知する（ステップＳ２０５）。そして、トラフィック変動検出部１２５は、ステップＳ２０５における通知処理が終了した場合や、トラフィック変動量が所定の閾値よりも大きいＡＳリンクを検出しなかった場合に（ステップＳ２０４否定）、ステップＳ２０１における処理に戻る。

［本実施例の効果］
上述してきたように、本実施例に係るネットワーク監視装置１００は、監視対象のＡＳからフロー情報及び経路情報を収集し、ＡＳリンク毎にトラフィック量を集計する。すなわち、ネットワーク監視装置１００は、監視対象のＡＳを流通するトラフィックが経由するＡＳリンクのトラフィック量を集計する。これにより、本実施例に係るネットワーク監視装置１００は、監視対象のＡＳ以外のＡＳを流通するトラフィック量についても監視することができる。

また、本実施例に係るネットワーク監視装置１００は、フロー情報及び経路情報に基づいて、ＡＳパス毎にトラフィック量を集計する。これにより、本実施例に係るネットワーク監視装置１００は、監視対象のＡＳ以外のＡＳを流通する場合であっても、ＡＳパス毎のトラフィック量を監視することができる。

また、本実施例に係るネットワーク監視装置１００は、ＡＳリンク毎のトラフィック量を定期的に監視し、トラフィック量の変動量が所定の閾値よりも大きいＡＳリンクを検出した場合に、かかるＡＳリンクに関する各種情報を通知する。これにより、本実施例に係るネットワーク監視装置１００は、故障した可能性のあるＡＳリンクをネットワーク管理者に通知することができる。すなわち、ネットワーク監視装置１００は、ネットワーク１内に発生する故障を自動的に検出することができる。

以上のように、本実施例に係るネットワーク監視装置１００は、監視対象のＡＳから収集したフロー情報及び経路情報を利用することによって、監視対象のネットワーク以外のネットワークにおいてトラフィック量の増加又は減少が発生した場合であっても、トラフィック量が変動した原因となっているＡＳリンクを自動的に検出することができる。例えば、ネットワーク監視装置１００は、ＡＳ間を接続する海底ケーブルが切断したような監視対象のネットワーク外でトラフィック量に影響を与える障害が発生した際に、ＡＳ間単位で故障地点の特定が可能になる。

なお、上記実施例では、図９に示した例のように、ネットワーク監視装置１００が、送信先プレフィックス毎にトラフィック量を集計し、さらに、ＡＳパス毎にトラフィック量を集計した後に、ＡＳリンク毎にトラフィック量を集計する例を示した。しかし、ネットワーク監視装置１００は、送信先プレフィックス毎にトラフィック量を集計する処理や、ＡＳパス毎にトラフィック量を集計する処理を行わなくてもよい。例えば、ネットワーク監視装置１００は、ＡＳリンク毎にトラフィック量を集計する処理だけを行ってもよい。また、例えば、ネットワーク監視装置１００は、ＡＳパス毎にトラフィック量を集計した後に、ＡＳリンク毎にトラフィック量を集計する処理を行ってもよい。

また、上記実施例では、図１Ａ及び図１Ｂに示した例のように、ＡＳ１０内にネットワーク監視装置１００が配置される例を示した。しかし、ネットワーク監視装置１００は、ＡＳ１０外に配置されてもよい。かかる場合には、ネットワーク監視装置１００は、監視対象のＡＳ１０からＥ−ＢＧＰ（External−BGP）メッセージを受信することにより、経路情報を収集する。

また、上記実施例では、図１０のステップＳ１０３に示したように、経路トラフィック集計部１２３が、経路情報に含まれる送信先プレフィックスとマッチする送信先ＩＰアドレスを含むフロー情報を抽出する例をしめした。しかし、経路情報が送信元プレフィックスを含む場合には、経路トラフィック集計部１２３は、経路情報に含まれる送信元プレフィックスとマッチする送信元ＩＰアドレスを含むフロー情報を抽出し、抽出したフロー情報に含まれるトラフィック量を送信元プレフィックス毎に集計するとともに、ＡＳパス毎にトラフィック量を集計してもよい。

また、上記実施例で説明したネットワーク監視装置１００は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。かかる場合には、プログラムは、インターネットなどのネットワークを介して配布することができる。また、プログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

１ ネットワーク
１０、２０、３０、４０、５０ ＡＳ
１１、１２、１３、２１、２２、３１、４１、４２、５１ ルータ
１００ ネットワーク監視装置
１１０ 記憶部
１１１ フロー情報記憶部
１１２ 経路情報記憶部
１１３ 経路トラフィック記憶部
１１４ ＡＳ間トラフィック記憶部
１２０ 制御部
１２１ フロー情報収集部
１２２ 経路情報収集部
１２３ 経路トラフィック集計部
１２４ ＡＳ間トラフィック集計部
１２５ トラフィック変動検出部

Claims (5)

1. ネットワークに含まれる複数の自律システムのうち特定の自律システムを監視するネットワーク監視装置であって、
   前記特定の自律システムから、該特定の自律システムを経由するトラフィックの送信先情報及びトラフィック量を含むフロー情報を収集するフロー情報収集部と、
   前記特定の自律システムから、該特定の自律システムを経由するトラフィックの送信先情報と、前記複数の自律システムのうち該トラフィックが経由する自律システムの経路とを含む経路情報を収集する経路情報収集部と、
   前記フロー情報収集部によって収集されたフロー情報のうち、前記経路情報収集部によって収集された経路情報に含まれる送信先情報と一致する送信先情報を含むフロー情報のトラフィック量を加算することにより送信先情報毎にトラフィック量を集計し、集計した送信先情報毎のトラフィック量のうち、当該送信先情報に対応する経路が同一であるトラフィック量を加算することにより、経路毎にトラフィック量を集計する経路トラフィック集計部と、
   前記経路トラフィック集計部によって集計された各経路に対応するトラフィック量を当該経路に含まれる各自律システム間のトラフィック量とし、同一の自律システム間に対応するトラフィック量を加算することにより、自律システム間毎にトラフィック量を集計する自律システム間トラフィック集計部と
   を備えたことを特徴とするネットワーク監視装置。
2. 前記自律システム間トラフィック集計部によって集計された自律システム間毎のトラフィック量の変動量を定期的に監視し、トラフィック量の変動量が所定の閾値よりも大きい場合に、警告を通知する通知部
   をさらに備えたことを特徴とする請求項１に記載のネットワーク監視装置。
3. 前記フロー情報収集部は、
   前記特定の自律システムから、該特定の自律システムを経由するトラフィックの送信元情報を含むフロー情報を収集し、
   前記経路情報収集部は、
   前記特定の自律システムから、該特定の自律システムを経由するトラフィックの送信元情報を含む経路情報を収集し、
   前記経路トラフィック集計部は、
   前記フロー情報収集部によって収集されたフロー情報のうち、前記経路情報収集部によって収集された経路情報に含まれる送信元情報と一致する送信元情報を含むフロー情報のトラフィック量を加算することにより送信元情報毎にトラフィック量を集計し、集計した送信元情報毎のトラフィック量のうち、当該送信元情報に対応する経路が同一であるトラフィック量を加算することにより、経路毎にトラフィック量を集計し、
   前記自律システム間トラフィック集計部は、前記経路トラフィック集計部によって集計された各経路に対応するトラフィック量を当該経路に含まれる各自律システム間のトラフィック量とし、同一の自律システム間に対応するトラフィック量を加算することにより、自律システム間毎にトラフィック量を集計する
   ことを特徴とする請求項１又は２に記載のネットワーク監視装置。
4. ネットワークに含まれる複数の自律システムのうち特定の自律システムを監視するネットワーク監視方法であって、
   コンピュータが、
   前記特定の自律システムから、該特定の自律システムを経由するトラフィックの送信先情報及びトラフィック量を含むフロー情報を収集するフロー情報収集工程と、
   前記特定の自律システムから、該特定の自律システムを経由するトラフィックの送信先情報と、前記複数の自律システムのうち該トラフィックが経由する自律システムの経路とを含む経路情報を収集する経路情報収集工程と、
   前記フロー情報収集工程によって収集されたフロー情報のうち、前記経路情報収集工程によって収集された経路情報に含まれる送信先情報と一致する送信先情報を含むフロー情報のトラフィック量を加算することにより送信先情報毎にトラフィック量を集計し、集計した送信先情報毎のトラフィック量のうち、当該送信先情報に対応する経路が同一であるトラフィック量を加算することにより、経路毎にトラフィック量を集計する経路トラフィック集計工程と、
   前記経路トラフィック集計工程によって集計された各経路に対応するトラフィック量を当該経路に含まれる各自律システム間のトラフィック量とし、同一の自律システム間に対応するトラフィック量を加算することにより、自律システム間毎にトラフィック量を集計する自律システム間トラフィック集計工程と
   を含むことを特徴とするネットワーク監視方法。
5. コンピュータを請求項１〜３のいずれか一つに記載のネットワーク監視装置として機能させることを特徴とするネットワーク監視プログラム。

Images