JP5963974B2 - 情報処理装置及び情報処理方法及びプログラム - Google Patents

Description

本発明は、マイクロバーストトラフィックが発生したか否かを判定する技術に関する。

データセンタ内やクラウドサービス等では、クライアントからサーバへのアクセスが集中して瞬間的に通信データ量が増大する現象（バーストトラフィック）が発生する場合がある。
特にミリ秒単位で発生する現象はマイクロバーストトラフィック（以下、マイクロバーストともいう）呼ばれている。
マイクロバーストトラフィックが発生すると、パケットロスや遅延などが発生し、ネットワーク回線での通信障害を引き起こすことがある。

このようなマイクロバーストを検出する技術として、例えば特許文献１に開示された技術と非特許文献１に開示された技術がある。
特許文献１の技術では、マイクロ秒で監視対象機器のパケットをキャプチャし、ミリ秒やマイクロ秒単位で集計することにより、マイクロバーストを検出している。
また、非特許文献１では、マイクロ秒やミリ秒単位で監視対象機器の状態を取得し、マイクロバーストを検出している。

特開２００３−２４４２３８号公報

コービル・ネット ｈｔｔｐ：／／ｂｉｚｅｘ．ｇｏｏ．ｎｅ．ｊｐ／ｒｅｌｅａｓｅ／ｄｅｔａｉｌ／２７５３８／

特許文献１の記載のマイクロ秒でパケットをキャプチャし、マイクロ秒／ミリ秒で集計を行う方法では、キャプチャを行う収集装置と監視対象機器との間のネットワーク回線の負荷が高くなるため、収集装置と監視対象機器を専用線で接続する必要がある。
また、非特許文献１に記載のマイクロ秒／ミリ秒で監視対象機器の状態を取得する方法では、収集期間が微小間隔であるため監視対象機器の負荷が高いという課題がある。

この発明は、上記のような課題を解決することを主な目的としており、マイクロバーストトラフィックの検出に要する負荷を軽減することを主な目的とする。

本発明に係る情報処理装置は、
通信装置から、ミリ秒単位又はマイクロ秒単位で計測された前記通信装置におけるデータ通信量を１秒以上の集計時間の単位で集計して得られたデータ通信量の集計値及びミリ秒単位又はマイクロ秒単位で計測された前記通信装置におけるデータ蓄積量を前記集計時間の単位で集計して得られたデータ蓄積量の集計値の少なくともいずれかが示される集計値情報を受信する受信部と、
前記集計値情報に示されるデータ通信量の集計値及びデータ蓄積量の集計値の少なくともいずれかを解析して、前記通信装置に対するマイクロバーストトラフィックの発生有無を判定する判定部とを有することを特徴とする。

本発明によれば、１秒以上の集計時間の単位で集計して得られたデータ通信量の集計値及びデータ蓄積量の集計値の少なくともいずれかを用いてマイクロバーストトラフィックの発生有無を判定するため、マイクロバーストトラフィックの検出に要する負荷を軽減することができる。

実施の形態１に係る機器群とマイクロバースト検出装置を示す図。 実施の形態１に係る通知取得テーブルの例を示す図。 実施の形態１に係るレベル判定条件情報の例を示す図。 実施の形態１に係るマイクロバースト判定条件情報の例を示す図。 実施の形態２に係る機器群とマイクロバースト検出装置を示す図。 実施の形態３に係る機器群とマイクロバースト検出装置を示す図。 実施の形態１に係るマイクロバースト検出装置の動作例を示すフローチャート図。 実施の形態１に係るマイクロバースト検出装置の動作例を示すフローチャート図。 実施の形態１〜３に係るマイクロバースト検出装置のハードウェア構成例を示す図。

実施の形態１．
本実施の形態及び以降の実施の形態では、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）など従来のネットワーク監視で行われる秒／分単位での状態取得で、マイクロバーストを簡易に検出する構成を説明する。

図１は、本実施の形態に係るマイクロバースト検出装置１００と、マイクロバースト検出装置１００がマイクロバーストの検出の対象とする機器群を示す。

図１において、ネットワーク機器２００、ネットワーク機器２０１及びネットワーク機器２０２は、それぞれ、例えばネットワークシステムで使用されるスイッチやルータ等の機器である。
以下では、ネットワーク機器２００、ネットワーク機器２０１、ネットワーク機器２０２を、それぞれ、機器２００、機器２０１、機器２０２という。
機器２００、機器２０１及び機器２０２は、それぞれ、通信装置の例に相当する。
なお、図１では、機器２００、機器２０１及び機器２０２の３台のみが図示されているが、機器の台数は３台に限らない。

ケーブル２１０は、機器２００と機器２０１を接続するケーブルであり、例えばＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）ケーブルである。
ケーブル２１１は、機器２０１と機器２０２を接続するケーブルであり、例えばＬＡＮケーブルである。
ケーブル２１２は、機器２０１とマイクロバースト検出装置１００を接続するケーブルであり、例えばＬＡＮケーブルである。
なお、図示を省略しているが、機器２００とマイクロバースト検出装置１００、機器２０２とマイクロバースト検出装置１００もケーブルによって接続されている。

機器２０１において、バッファ２２０は、ケーブル２１０を通じて機器２００から受信したパケット２３０を蓄積する記憶領域である。
バッファ２２０に蓄積されているパケット２３０は、機器２０２に送信される。
バッファ２２１は、ケーブル２１１を通じて機器２０２から受信したパケット２３０を蓄積する記憶領域である。
バッファ２２１に蓄積されているパケット２３０は、機器２００に送信される。
図１では、機器２０１のバッファ２２０及びバッファ２２１のみが図示されているが、機器２００及び機器２０２でもバッファ２２０及びバッファ２２１に相当するバッファが設けられている。

また、機器２０１において、通知メッセージ２４０は、所定の監視項目についての集計値が閾値を超えた場合に、集計値をマイクロバースト検出装置１００に通知するためのデータである。
機器２０１は、機器２０１におけるデータ通信量（データ受信量、データ送信量）をミリ秒単位又はマイクロ秒単位で計測し、計測値を所定の集計時間の単位で集計する。
また、機器２０１は、機器２０１におけるデータ蓄積量をミリ秒単位又はマイクロ秒単位で計測し、計測値を所定の集計時間の単位で集計する。
そして、機器２０１は、集計値が閾値を超えた場合に、閾値を超えた集計値を通知する通知メッセージ２４０をマイクロバースト検出装置１００に送信する。
集計時間は、１秒以上の時間であり、例えば、１０秒や１分でもよい。
また、集計値は、例えば、計測値の平均値である。
通知メッセージ２４０は、例えばＳＮＭＰトラップである。
データベース２５０は、機器２０１の状態を記録するＭＩＢ（Ｍａｎａｇｅｍｅｎｔ ｉｎｆｏｒｍａｔｉｏｎ ｂａｓｅ）などのデータベースである。
なお、機器２００、機器２０２も、データベース２５０を有し、また、集計値が閾値を超えた場合に通知メッセージ２４０をマイクロバースト検出装置１００に送信する。

マイクロバースト検出装置１００は、機器２００から通知メッセージ２４０を受信し、通知メッセージ２４０に示される集計値を解析して、機器２００に対するマイクロバーストの発生有無を判定する。
また、マイクロバースト検出装置１００は、機器２０１から通知メッセージ２４０を受信し、通知メッセージ２４０に示される集計値を解析して、機器２０１に対するマイクロバーストの発生有無を判定する。
また、マイクロバースト検出装置１００は、機器２０２から通知メッセージ２４０を受信し、通知メッセージ２４０に示される集計値を解析して、機器２０２に対するマイクロバーストの発生有無を判定する。
なお、以下では、マイクロバースト検出装置１００は、機器２０１からの通知メッセージ２４０に基づき、機器２０１に対するマイクロバーストの発生有無を判定する例を説明する。
マイクロバースト検出装置１００は、情報処理装置の例に相当する。

マイクロバースト検出装置１００において、通知取得部１０１は、機器２０１から通知メッセージ２４０を受信し、受信した通知メッセージ２４０を通知取得テーブル記憶部１１０に格納するとともに、判定部１０４へ出力する。
通知メッセージは、集計値情報の例に相当する。
また、通知取得部１０１は、後述する廃棄数取得部１０２とともに受信部の例に相当する。

通知取得テーブル記憶部１１０は、図２に示す通知取得テーブルを記憶している。
通知取得テーブルには、機器２０１から受信した通知メッセージ２４０に示された集計値が記述される。
通知取得テーブルの詳細は後述する。

廃棄数取得部１０２は、機器２０１から定期的に機器２０１でのバケット廃棄数（データ廃棄量）を示すバケット廃棄数情報を受信し、受信したバケット廃棄数情報を時間差分評価部１０３へ出力する。
パケット廃棄数情報も、集計値情報の例に相当する。
また、廃棄数取得部１０２も、受信部の例に相当する。

時間差分評価部１０３は、前回のバケット廃棄数情報の受信からの経過時間を記憶しておき、単位時間当たりのパケット廃棄数を演算する。
そして、時間差分評価部１０３は、単位時間当たりのパケット廃棄数を判定部１０４へ出力する。

レベル判定条件情報記憶部１２０は、図３に示すレベル判定条件情報を記憶している。
レベル判定条件情報は、データ受信量のレベル、データ送信量のレベル、データ蓄積量のレベル、パケット廃棄数のレベルを判定するためのレベル判定条件が定義されている。
レベル判定条件情報の詳細は後述する。

マイクロバースト判定条件情報記憶部１３０は、図４に示すマイクロバースト判定条件情報を記憶している。
マイクロバースト判定条件情報では、マイクロバーストの発生有無を判定するためのマイクロバースト判定条件が、監視項目のレベルの組合せにより定義されている。
マイクロバースト判定条件情報の詳細は後述する。

判定部１０４は、レベル判定条件情報記憶部１２０のレベル判定条件情報を参照してレベルを判定し、判定したレベルとマイクロバースト判定条件情報記憶部１３０のマイクロバースト判定条件情報に基づき、機器２０１に対するマイクロバーストが発生したか否かを判定する。
そして、判定部１０４は、マイクロバーストが発生したと判定した場合は、マイクロバーストが発生したことを警告通知部１０５に通知する。

警告通知部１０５は、判定部１０４からマイクロバーストの発生が通知された場合に、外部（例えば、オペレータが使用するＰＣ）に警告を通知する。

次に、通知取得テーブル（図２）の詳細を説明する。
本実施の形態では、１つの通知メッセージに、機器２０１でのデータ受信量の集計値、機器２０１でのデータ送信量の集計値、機器２０１でのデータ蓄積量の集計値のいずれかが記述されている。
通知取得テーブルでは、通知メッセージごとにレコードが割当てられ、通知メッセージに記載されている情報が各レコードに記述される。
図２において、「日時」は、機器２０１において閾値を超えた集計値が得られた日時を示す。
「項目」は、集計値が閾値を超えた監視項目を示す。
監視項目とは、データ受信量、データ送信量、データ蓄積量（機器２０１のバッファに滞留するパケット数）、パケット廃棄数である。
監視項目のうち、データ受信量、データ送信量、データ蓄積量は、通知メッセージ２４０で集計値が通知される。
また、パケット廃棄数は、通知メッセージでは集計値が通知されないが、監視項目に含まれる。
また、「値」とは、上限値に対する集計値の比率を示す。
例えば、１行目のレコードの「８２％」は、機器２０１に割り当てられている帯域の８２％に相当するデータ受信量を表す。
２行目のレコードの「７１％」は、機器２０１のバッファの容量の７１％に相当するデータ蓄積量を表す。
また、「ＩＰアドレス」とは、通知メッセージの送信元の機器２０１のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスを示す。

次に、レベル判定条件情報（図３）の詳細を説明する。
レベル判定条件情報は、監視項目（データ受信量、データ送信量、バッファに滞留するパケット数、パケット廃棄数）ごとに、レベルを決定するための条件が定義されている。
例えば、「データ受信量」では、帯域の８０％以上の集計値が通知メッセージ２４０で通知されている場合は、レベルＡと判定される。
また、帯域の６０％以上で８０％未満の集計値が通知メッセージ２４０で通知されている場合は、レベルＢと判定される。
図３では、パケット廃棄数のレベル判定条件を標準偏差で定義しているが、その他の値で定義してもよい。
なお、図３の「データ受信量」についてのレベル判定条件は、データ受信量レベル判定条件の例に相当し、「データ送信量」についてのレベル判定条件は、データ送信量レベル判定条件の例に相当する。
また、「バッファに滞留するパケット数」についてのレベル判定条件は、データ蓄積量レベル判定条件の例に相当し、「パケット廃棄数」についてのレベル判定条件は、データ廃棄量レベル判定条件の例に相当する。

次に、マイクロバースト判定条件情報（図４）の詳細を説明する。
マイクロバースト判定条件情報では、監視項目のレベルの組合せにより、マイクロバーストの発生有無を判定するためのマイクロバースト判定条件が定義されている。
図４の例では、「データ受信量」のレベルがＡであれば、他の監視項目のレベルに関わりなく、マイクロバーストが発生していると判定される。
また、「データ受信量」のレベルがＢで、「パケットに滞留するパケット数」のレベルがＡであれば、他の監視項目のレベルに関わりなく、マイクロバーストが発生していると判定される。
一方、「データ受信量」のレベル、「データ送信量」のレベル、「パケットに滞留するパケット数」のレベルが全てＣの場合は、「パケット廃棄数」のレベルに関わりなく、マイクロバーストが発生していないと判定される。
なお、図４では図示していないが、「データ送信量」のレベルがＡであれば、他の監視項目のレベルに関わりなく、マイクロバーストが発生していると判定される条件を定義してもよい。
また、「パケットに滞留するパケット数」のレベルがＡであれば、他の監視項目のレベルに関わりなく、マイクロバーストが発生していると判定される条件を定義してもよい。

次に、本実施の形態に係る動作を説明する。

機器２００から機器２０１に送信されたパケットは、機器２０１のバッファ２２０に一旦蓄積される。
バッファ２２０に蓄積されたパケットはＦＩＦＯ（Ｆｉｒｓｔ Ｉｎ Ｆｉｒｓｔ Ｏｕｔ）で逐次ケーブル２１１を通じて機器２０２に送出される。
機器２０１は、データ受信量、データ送信量、データ蓄積量（バッファ２２０に滞留するパケット数）を計測し、計測値をデータベース２５０に記録する。
これらデータ受信量、データ送信量、データ蓄積量は、マイクロバーストが発生した場合に瞬間的に値が増大／変化する項目であり、マイクロバーストの検出のために機器２０１ではミリ秒単位又はマイクロ秒単位でデータ受信量、データ送信量、データ蓄積量を計測している。
そして、機器２０１は、データ受信量の計測値、データ送信量の計測値、データ蓄積量の計測値を集計時間の単位で集計して集計値を得る。
また、機器２０１では、データ受信量の集計値に対する閾値、データ送信量の集計値に対する閾値、データ蓄積量の集計値に対する閾値が設定されている。
そして、機器２０１は、データ受信量の集計値、データ送信量の集計値、データ蓄積量の集計値がそれぞれの閾値を超えた瞬間に、通知メッセージ２４０を送信する。
通知メッセージ２４０には、集計値が閾値を超えたことを検出した日時と、集計値が閾値を超えた項目と、閾値を超えた集計値が含まれる。

また、機器２０１が多量のパケットを受信すると、バッファ２２０に空きがなく、パケットが廃棄される場合がある。
機器２０１では、このパケット廃棄数も集計し、パケット廃棄数がデータベース２５０に記録される。
そして、機器２０１は、パケット廃棄数を通知するパケット廃棄数情報を定期的にマイクロバースト検出装置１００に送信する。

マイクロバースト検出装置１００が、マイクロバーストが発生したことを検出する方法として以下の２つを説明する。
第１の方法は、マイクロバースト検出装置１００が、機器２０１からの通知メッセージ２４０のみを利用してマイクロバーストを検出する方法である。
第２の方法は、マイクロバースト検出装置１００が、通知メッセージ２４０と、パケット廃棄数情報とを利用してマイクロバーストを検出する方法である。

まず、図７のフローチャートを用いて、第１の方法におけるマイクロバースト検出装置１００の動作を説明する。

前述のように、機器２０１が通知メッセージ２４０を送信すると、通知取得部１０１が、通知メッセージ２４０を受信する（Ｓ１０１）。
また、通知取得部１０１は、通知取得テーブル記憶部１１０の通知取得テーブルに通知メッセージ２４０を格納する。
また、通知取得部１０１は、判定部１０４に通知メッセージ２４０を出力する。

次に、判定部１０４が、通知取得部１０１から通知メッセージ２４０を入力し、通知メッセージ２４０に示される項目と集計値と、レベル判定条件情報のレベル判定条件から、当該項目のレベルを判定する（Ｓ１０２）。
例えば、図２の１行目のレコードにあるように、項目：データ受信量、値：８２％が示された通知メッセージ２４０の場合は、判定部１０４は、レベルＡと判定する。

判定部１０４は、Ｓ１０１で受信した通知メッセージ２４０に記述されている日時から所定のウィンドウ時間内の日時が記述されている通知メッセージであって、Ｓ１０１で受信した通知メッセージ２４０と同じ送信元の通知メッセージを通知取得テーブルから検索する（Ｓ１０３）。
ウィンドウ時間は、任意の時間であり、例えば１０秒から１分の範囲内である。
本実施の形態では、１つの通知メッセージには１つの監視項目の集計値のみが記述されているが、図４に示すように、マイクロバースト判定条件は、複数の監視項目のレベルの組合せで定義されている。
このため、Ｓ１０１で受信した通知メッセージのみでは、マイクロバーストの発生有無を適正に判定できない可能性がある。
従って、判定部１０４は、Ｓ１０３において、他の監視項目の集計値が記述されている通知メッセージが存在するかどうかを検索している。

Ｓ１０３で通知メッセージを検索できた場合は、判定部１０４は、Ｓ１０２と同様にして、検索した通信メッセージに示される項目のレベルを判定する（Ｓ１０４）。

次に、判定部１０４は、Ｓ１０２で判定したレベル及びＳ１０４で判定したレベルによって、マイクロバースト判定条件情報に定義されているマイクロバースト判定条件が成立しているか否かを判断する（Ｓ１０５）。

判断の結果、マイクロバースト判定条件が成立し、マイクロバーストが発生したと判断できる場合（Ｓ１０６でＹＥＳ）は、判定部１０４は、マイクロバーストが発生した旨を警告通知部１０５に通知し、警告通知部１０５がマイクロバーストが発生した旨を通知する。
そして、警告通知部１０５は、判定部１０４から通知を受けた場合に、外部に接続された装置（例えばＰＣ）に警告を出力する（Ｓ１０７）。
一方、マイクロバースト判定条件が成立せず、マイクロバーストが発生しなかったと判断できる場合（Ｓ１０６でＮＯ）は、判定部１０４は、処理を終了する。

次に、図８のフローチャートを用いて、第２の方法におけるマイクロバースト検出装置１００の動作を説明する。

まず、廃棄数取得部１０２が、機器２０１からパケット廃棄数情報を受信し（Ｓ２０１）、受信したパケット廃棄数情報を時間差分評価部１０３に出力する。

次に、時間差分評価部１０３は、単位時間当たりのパケット廃棄数の値を算出する（Ｓ２０２）。
より具体的には、時間差分評価部１０３は、Ｓ２０１の段階で入力したパケット廃棄数情報のパケット廃棄数の値と、直前に入力した値とのパケット廃棄数情報のパケット廃棄数の値との差分値を求め、差分値を、経過時間で除算することにより単位時間当たりのパケット廃棄数を算出する。
その後、時間差分評価部１０３は、単位時間当たりのパケット廃棄数を判定部１０４に出力する。

次に、判定部１０４は、単位時間当たりのパケット廃棄数と、レベル判定条件情報のレベル判定条件とに基づき、パケット廃棄数のレベルを判定する（Ｓ２０３）。

この後は、図７のＳ１０３以降の処理が行われる。
具体的には、判定部１０４は、Ｓ２０１で受信したパケット廃棄数情報に記述されている日時からウィンドウ時間内の日時が記述されている通知メッセージであって、Ｓ２０１で受信したパケット廃棄数情報と同じ送信元の通知メッセージを通知取得テーブルから検索する（Ｓ１０３）。
また、判定部１０４は、Ｓ１０２と同様にして、Ｓ１０３で検索した通信メッセージに示される項目のレベルを判定する（Ｓ１０４）。
そして、判定部１０４は、マイクロバースト判定条件が成立するか否かを判定し（Ｓ１０５）、マイクロバースト判定条件が成立する場合（Ｓ１０６でＹＥＳ）は、判定部１０４は、マイクロバーストが発生した旨を警告通知部１０５に通知し、警告通知部１０５がマイクロバーストが発生した旨を通知する。
そして、警告通知部１０５は、判定部１０４から通知を受けた場合に、外部に接続された装置（例えばＰＣ）に警告を出力する（Ｓ１０７）。

ここで、判定部１０４によるバースト判定の例を示す。
図２のレベル判定条件情報、図３のマイクロバースト判定条件情報が用いられる場合に、例えば、「データ受信量」の値が「帯域の７０％」という通知メッセージをＳ１０１で受信し、「バッファに滞留するパケット数」の値が「バッファの９５％」という通知メッセージをＳ１０３で検索したと仮定する。
この場合に、判定部１０４は、レベル判定条件情報（図２）を参照して、「データ受信量」はレベルＢ、「バッファに滞留するパケット数」はレベルＡと判定する。
その後、判定部１０４は、マイクロバースト判定条件情報（図３）を参照した結果、「データ受信量」のレベルと「バッファに滞留するパケット数」のレベルは、項番２のレコードの判定条件に合致すると判定する。
そして、項番２のレコードのバースト判定は、「ＹＥＳ」（バーストが発生した）なので、判定部１０４は、マイクロバーストが発生したと判定する。

以上のように、本実施の形態では、マイクロバースト発生時に瞬間的に値が有効となる、データ受信量、データ送信量、バッファに滞留するパケット数を、ＳＮＭＰトラップで受信し、受信した値を評価することによりマイクロバーストを検出することができる。
また、本実施の形態では、ＳＮＭＰトラップでの評価でマイクロバーストを検出できなかった場合でも、パケット廃棄数の評価によってマイクロバーストを検出することができるため、マイクロバースト検出精度を向上させることができる。

なお、以上では、１つの通知メッセージに１つの監視項目の集計値のみが記述されていることとしたが、１つの通知メッセージに複数の監視項目の集計値が記述されるようにしてもよい。

実施の形態２．
以上の実施の形態１では、マイクロバースト検出装置１００は、パケット廃棄数が記述されるパケット廃棄数情報を定期的に受信しているが、本実施の形態では、これに代えて、マイクロバースト検出装置１００は、パケット廃棄数が記述される通知メッセージを受信して、マイクロバーストを検出する。
なお、以下では、実施の形態１との差異について説明を行う。
以下にて説明していない事項は、実施の形態１と同じである。

図５は、本実施の形態に係るマイクロバースト検出装置１００の構成例を示す。
本実施の形態では、パケット廃棄数を含む全ての値を通知メッセージ（ＳＮＭＰトラップ）で取得するため、図１で示した廃棄数取得部１０２、時間差分評価部１０３は不要である。
また、本実施の形態では、機器２０１にて、パケットの廃棄数に関する閾値が設定されている。
マイクロバースト検出装置１００では、実施の形態１で示した第１の方法（図７）にて、マイクロバーストの発生有無を判定する。

以上のように、本実施の形態によれば、全ての項目を通知メッセージで取得した場合でもマイクロバーストの発生有無を判定することができる。

実施の形態３．
以上の実施の形態２では、全ての項目の値が通知メッセージで通知されているが、本実施の形態では、通知メッセージではなく機器からのログにて各項目の値を通知する構成を説明する。
つまり、マイクロバースト検出装置１００は、機器２０１からログを定期的に収集し、ログの内容を評価することによりマイクロバーストの発生有無を判定する。
なお、以下では、実施の形態１との差異について説明を行う。
以下にて説明していない事項は、実施の形態１と同じである。

図６は、本実施の形態に係るマイクロバースト検出装置１００の構成例を示す。
ログ取得部１０６は、機器からログを収集する。
本実施の形態では、ログ取得部１０６が、受信部の例に相当する。
イベント抽出部１０７は、前回のログ取得からの経過時間を記憶し、また、前回取得したログと今回取得したログとの差分を抽出する。
イベント抽出部１０７により抽出された情報には、実施の形態１で示した通知メッセージと同じ内容が記述されている。
機器２０１は、実施の形態１と同様にして、ミリ秒単位又はマイクロ秒単位で各監視項目（データ受信量、データ送信量、データ蓄積量、データ廃棄量）の値を計測するとともに、集計時間単位で集計値を算出する。
そして、機器２０１は、集計値が閾値を超えている場合に、閾値を超えた項目と集計値をログ２６０に記録する。
つまり、本実施の形態では、機器２０１は、実施の形態１での通知メッセージの送信の代わりに、ログ２６０への記録を行う。

次に、本実施の形態に係る動作を説明する。

前述したように、機器２０１は、ミリ秒単位又はマイクロ秒単位で各監視項目（データ受信量、データ送信量、データ蓄積量、データ廃棄量）の値を計測するとともに、集計時間単位で集計値を算出し、集計値が閾値を超えている場合に、閾値を超えた項目と集計値をログ２６０に記録する。

マイクロバースト検出装置１００では、ログ取得部１０６が定期的に機器２０１のログ２６０を取得する。
そして、ログ取得部１０６は、取得したログ２６０をイベント抽出部１０７に出力する。
イベント抽出部１０７は、今回取得したログと直前に取得したログとの差分をとり、新たに発生したイベントとして抽出する。
イベント抽出部１０７は、抽出した差分部分を表す情報を生成する。
イベント抽出部１０７は、具体的には、図２に示すように、日時、項目、値、ＩＰアドレスからなる情報を生成する。
そして、イベント抽出部１０７は、生成した情報を判定部１０４に出力する。
以降は、図７のＳ１０２〜Ｓ１０７の処理が行われる。
Ｓ１０２〜Ｓ１０７の処理は、実施の形態１に示したものと同様なので、説明を省略する。

以上のように、本実施の形態では、通知メッセージからではなく、機器内のログからマイクロバーストが発生したことを検出することができる。
通知メッセージが例えばＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）で送信されると、通知メッセージの受信に失敗することがあるが、ログを利用することによりこの問題を解決することができる。

最後に、実施の形態１〜３に示したマイクロバースト検出装置１００のハードウェア構成例を図９を参照して説明する。
マイクロバースト検出装置１００はコンピュータであり、マイクロバースト検出装置１００の各要素をプログラムで実現することができる。
マイクロバースト検出装置１００のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。

演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置である。
「〜記憶部」は、例えば外部記憶装置９０２により実現される。
主記憶装置９０３は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
また、通知取得部１０１、廃棄数取得部１０２、ログ取得部１０６は、通信装置９０４を用いて、機器２０１から情報を取得する。
入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。

プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
プログラムは、図１に示す「〜部」（「〜記憶部」を除く、以下も同様）として説明している機能を実現するプログラムである。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、図１に示す「〜部」の機能を実現するプログラムを実行する。
また、実施の形態１〜３の説明において、「〜の判断」、「〜の判定」、「〜の取得」、「〜の検出」、「〜の抽出」、「〜の解析」、「〜の設定」、「〜の検索」、「〜の選択」、「〜の生成」、「〜の算出」、「〜の入力」、「〜の出力」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。
また、暗号鍵・復号鍵や乱数値やパラメータが、主記憶装置９０３にファイルとして記憶されてもよい。

なお、図９の構成は、あくまでもマイクロバースト検出装置１００のハードウェア構成の一例を示すものであり、マイクロバースト検出装置１００のハードウェア構成は図９に記載の構成に限らず、他の構成であってもよい。

また、実施の形態１〜３に示す手順により、本発明に係る情報処理方法を実現可能である。

１００ マイクロバースト検出装置、１０１ 通知取得部、１０２ 廃棄数取得部、１０３ 時間差分評価部、１０４ 判定部、１０５ 警告通知部、１０６ ログ取得部、１０７ イベント抽出部、１１０ 通知取得テーブル記憶部、１２０ レベル判定条件情報記憶部、１３０ マイクロバースト判定条件情報記憶部、２００ 機器、２０１ 機器、２０２ 機器。

Claims (8)

1. 通信装置から、ミリ秒単位又はマイクロ秒単位で計測された前記通信装置におけるデータ通信量を１秒以上の集計時間の単位で集計して得られたデータ通信量の集計値及びミリ秒単位又はマイクロ秒単位で計測された前記通信装置におけるデータ蓄積量を前記集計時間の単位で集計して得られたデータ蓄積量の集計値の少なくともいずれかが示される集計値情報を受信する受信部と、
   前記集計値情報に示されるデータ通信量の集計値及びデータ蓄積量の集計値の少なくともいずれかを解析して、前記通信装置に対するマイクロバーストトラフィックの発生有無を判定する判定部とを有することを特徴とする情報処理装置。
2. 前記情報処理装置は、更に、
   データ通信量のレベルを判定するためのデータ通信量レベル判定条件と、データ蓄積量のレベルを判定するためのデータ蓄積量レベル判定条件とが示されるレベル判定条件情報を記憶するレベル判定条件情報記憶部と、
   マイクロバーストトラフィックの発生有無を判定するためのマイクロバースト判定条件が、データ通信量のレベル及びデータ蓄積量のレベルの少なくともいずれかにより定義されているマイクロバースト判定条件情報を記憶するマイクロバースト判定条件情報記憶部とを有し、
   前記判定部は、
   前記集計値情報にデータ通信量の集計値が示されている場合に、前記データ通信量レベル判定条件と前記データ通信量の集計値とに基づき、データ通信量のレベルを判定し、判定したデータ通信量のレベルと前記マイクロバースト判定条件とに基づき、前記通信装置に対するマイクロバーストトラフィックの発生有無を判定し、
   前記集計値情報にデータ蓄積量の集計値が示されている場合に、前記データ蓄積量レベル判定条件と前記データ蓄積量の集計値とに基づき、データ蓄積量のレベルを判定し、判定したデータ蓄積量のレベルと前記マイクロバースト判定条件とに基づき、前記通信装置に対するマイクロバーストトラフィックの発生有無を判定することを特徴とする請求項１に記載の情報処理装置。
3. 前記マイクロバースト判定条件情報記憶部は、
   前記マイクロバースト判定条件が、データ通信量のレベルとデータ蓄積量のレベルとの組合せにより定義されているマイクロバースト判定条件情報を記憶し、
   前記判定部は、
   規定のウィンドウ時間内に前記受信部によりデータ通信量の集計値が示される集計値情報とデータ蓄積量の集計値が示される集計値情報とが受信された場合に、
   前記データ通信量レベル判定条件と前記データ通信量の集計値とに基づき、データ通信量のレベルを判定し、
   前記データ蓄積量レベル判定条件と前記データ蓄積量の集計値とに基づき、データ蓄積量のレベルを判定し、
   判定したデータ通信量のレベルとデータ蓄積量のレベルとの組合せと、前記マイクロバースト判定条件とに基づき、前記通信装置に対するマイクロバーストトラフィックの発生有無を判定することを特徴とする請求項２に記載の情報処理装置。
4. 前記受信部は、
   前記通信装置におけるデータ通信量の集計値として、ミリ秒単位又はマイクロ秒単位で計測された前記通信装置におけるデータ受信量を前記集計時間の単位で集計して得られたデータ受信量の集計値及びミリ秒単位又はマイクロ秒単位で計測された前記通信装置におけるデータ送信量を前記集計時間の単位で集計して得られたデータ送信量の集計値の少なくともいずれかが示される集計値情報を受信し、
   前記レベル判定条件情報記憶部は、
   前記データ通信量レベル判定条件として、データ受信量のレベルを判定するためのデータ受信量レベル判定条件と、データ送信量のレベルを判定するためのデータ送信量レベル判定条件とが示されるレベル判定条件情報を記憶し、
   前記マイクロバースト判定条件情報記憶部は、
   前記マイクロバースト判定条件が、データ受信量のレベルとデータ送信量のレベルとデータ蓄積量のレベルとの組合せにより定義されているマイクロバースト判定条件情報を記憶し、
   前記判定部は、
   前記ウィンドウ時間内に前記受信部によりデータ受信量の集計値が示される集計値情報とデータ送信量の集計値が示される集計値情報とデータ蓄積量の集計値が示される集計値情報とが受信された場合に、
   前記データ受信量レベル判定条件と前記データ受信量の集計値とに基づき、データ受信量のレベルを判定し、
   前記データ送信量レベル判定条件と前記データ送信量の集計値とに基づき、データ送信量のレベルを判定し、
   判定したデータ受信量のレベルとデータ送信量のレベルとデータ蓄積量のレベルとの組合せと、前記マイクロバースト判定条件とに基づき、前記通信装置に対するマイクロバーストトラフィックの発生有無を判定することを特徴とする請求項３に記載の情報処理装置。
5. 前記受信部は、
   前記通信装置におけるデータ廃棄量の集計値が示される集計値情報を受信し、
   前記レベル判定条件情報記憶部は、
   データ廃棄量のレベルを判定するためのデータ廃棄量レベル判定条件が示されるレベル判定条件情報を記憶し、
   前記マイクロバースト判定条件情報記憶部は、
   前記マイクロバースト判定条件が、データ廃棄量のレベルと、データ通信量のレベル及びデータ蓄積量のレベルの少なくともいずれかとの組合せにより定義されているマイクロバースト判定条件情報を記憶し、
   前記判定部は、
   規定のウィンドウ時間内に前記受信部によりデータ廃棄量の集計値が示される集計値情報とデータ通信量の集計値及びデータ蓄積量の集計値の少なくともいずれかが示される集計値情報とが受信された場合に、
   前記データ廃棄量レベル判定条件と前記データ廃棄量の集計値とに基づき、データ廃棄量のレベルを判定し、
   判定したデータ廃棄量のレベルと、データ通信量のレベル及びデータ蓄積量のレベルの少なくともいずれかとの組合せと、前記マイクロバースト判定条件とに基づき、前記通信装置に対するマイクロバーストトラフィックの発生有無を判定することを特徴とする請求項２に記載の情報処理装置。
6. 前記受信部は、
   閾値を超えたデータ通信量の集計値及び閾値を超えたデータ蓄積量の集計値の少なくともいずれかが示される集計値情報を受信することを特徴とする請求項１に記載の情報処理装置。
7. 通信装置から、ミリ秒単位又はマイクロ秒単位で計測された前記通信装置におけるデータ通信量を１秒以上の集計時間の単位で集計して得られたデータ通信量の集計値及びミリ秒単位又はマイクロ秒単位で計測された前記通信装置におけるデータ蓄積量を前記集計時間の単位で集計して得られたデータ蓄積量の集計値の少なくともいずれかが示される集計値情報を、コンピュータが受信し、
   前記コンピュータが、前記集計値情報に示されるデータ通信量の集計値及びデータ蓄積量の集計値の少なくともいずれかを解析して、前記通信装置に対するマイクロバーストトラフィックの発生有無を判定することを特徴とする情報処理方法。
8. 通信装置から、ミリ秒単位又はマイクロ秒単位で計測された前記通信装置におけるデータ通信量を１秒以上の集計時間の単位で集計して得られたデータ通信量の集計値及びミリ秒単位又はマイクロ秒単位で計測された前記通信装置におけるデータ蓄積量を前記集計時間の単位で集計して得られたデータ蓄積量の集計値の少なくともいずれかが示される集計値情報を受信する受信処理と、
   前記集計値情報に示されるデータ通信量の集計値及びデータ蓄積量の集計値の少なくともいずれかを解析して、前記通信装置に対するマイクロバーストトラフィックの発生有無を判定する判定処理とをコンピュータに実行させることを特徴とするプログラム。

Images