WO2010095588A1 - 分散監視システム、分散監視方法、及びプログラム - Google Patents

分散監視システム、分散監視方法、及びプログラム Download PDF

Info

Publication number
WO2010095588A1
WO2010095588A1 PCT/JP2010/052181 JP2010052181W WO2010095588A1 WO 2010095588 A1 WO2010095588 A1 WO 2010095588A1 JP 2010052181 W JP2010052181 W JP 2010052181W WO 2010095588 A1 WO2010095588 A1 WO 2010095588A1
Authority
WO
WIPO (PCT)
Prior art keywords
node
network
distributed monitoring
nodes
mediation
Prior art date
Application number
PCT/JP2010/052181
Other languages
English (en)
French (fr)
Inventor
杉田　貴英
サベーリオ ニッコリーニ
フェリィッペ フィチ
ヤン ゼードルフ
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2011500595A priority Critical patent/JP5578445B2/ja
Priority to US13/148,527 priority patent/US8560682B2/en
Priority to EP10743714.7A priority patent/EP2400701A4/en
Publication of WO2010095588A1 publication Critical patent/WO2010095588A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/54—Store-and-forward switching systems 
    • H04L12/56—Packet switching systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/50—Network service management, e.g. ensuring proper service fulfilment according to agreements
    • H04L41/5003—Managing SLA; Interaction between SLA and QoS
    • H04L41/5019—Ensuring fulfilment of SLA
    • H04L41/5025—Ensuring fulfilment of SLA by proactively reacting to service quality change, e.g. by reconfiguration after service quality degradation or upgrade
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/12—Network monitoring probes

Definitions

  • the present invention relates to a distributed monitoring system, a distributed monitoring method, and a program.
  • a centralized or hierarchical centralized type has been proposed as a distributed monitoring method for large-scale networks. In these methods, all monitoring data obtained by the monitoring node is directly transmitted to the central node, or is aggregated and arbitrated once at the intermediate node before being transmitted to the central node.
  • the centralized or hierarchical centralized monitoring method has problems of scalability and reliability, and is not suitable for many monitoring applications.
  • Non-Patent Document 2 “Distributed Aggregation Algorithms with Load-Balancing for Scalable Grid Resource monitoring” (Parallel and Distributed Processing Symposium, 2007. IPDPS2007. IEEE International Volume, Issue, 26-30, March 2007 pp.1-10) by Cai, M. , Hwang, K. (Non-Patent Document 2) has been proposed.
  • Non-Patent Document 1 the monitoring application performs a process of calculating the total of events for generating a worm signature.
  • Non-Patent Document 2 the monitoring application performs processing for monitoring the average CPU usage rate of a large number of nodes.
  • DAT Distributed Aggregation Tree
  • P2P Peer to Peer
  • DAT has a tree structure and operates on Chord, which is one of DHT (Distributed Hash Table) algorithms. While aggregating information from node to node, the aggregation result is finally passed to the root node existing on the DAT.
  • DHT is one of structured P2P networks.
  • a structured P2P network is a network configuration (search request, route) that can be described by mathematical expressions.
  • Well known DHT algorithms include Chord, Pastry, and CAN (Content Addressable Network). When these DHT algorithms are used, high scalability and fault tolerance are taken into consideration, so that data can be stored and data search can be performed with high reliability.
  • Non-Patent Document 1 and Non-Patent Document 2 are simple monitoring functions that count events, and the monitoring targets to which the methods described in Non-Patent Document 1 and Non-Patent Document 2 are applicable are as follows. Limited and inflexible.
  • VoIP Voice over IP
  • IPTV Internet TV
  • VOD Video On Demand
  • VoIP uses SIP (Session Initiation Protocol) as a protocol for signaling
  • RTP Real-time Transport Protocol
  • Patent Document 1 discloses a traffic information collection device.
  • a traffic information collection request is received from a user terminal or a network management terminal that makes a request for collecting traffic information between two specific points in the IP communication network, and is adjacent according to the received request.
  • An information request packet including the request is transmitted to another communication device.
  • An information reply packet in which traffic information of a plurality of communication apparatuses other than the own apparatus is written is received from another adjacent communication apparatus, and the traffic information in the own apparatus and the traffic information written in the received information reply packet are collected. It is done.
  • An information reply packet including the integrated overall traffic information is transmitted to the terminal that has requested the traffic information collection.
  • the request relay node receives the information request packet, creates an information reply packet based on the traffic information in the own device according to the request included in the received information request packet, and sends the created information reply packet to the request reception node. Sent.
  • the information request packet including the request is transferred to another adjacent communication device other than the transmission source of the information request packet.
  • the information request packet is received, and an information reply packet is created from the traffic information in the own device according to the request included in the received information request packet, and this created information reply packet is sent to the request receiving node. Sent.
  • the received information request packet is discarded.
  • Patent Document 2 discloses a network monitoring system.
  • communication information of communication signals flowing through each monitoring line is constantly collected, and packet information and flow statistical information that associates a transmission source and / or a transmission destination are obtained based on header information included in the communication signal.
  • the traffic information is tabulated and grouped according to physical aggregation targets set in advance.
  • Non-Patent Document 3 A Scalable Distributed Information Management System: Paveen Yalagandula3, Mike Dahlulin4 (ACM SIGComMumVuCom4). Publication: 2004) (Non-Patent Document 3) has been proposed.
  • Non-Patent Document 3 does not consider load distribution in the tree itself configured by the nodes.
  • the administrator collects information from the network, but depending on the content of the collected information, there are cases where more detailed information is desired. For example, when an event that a worm has occurred occurs, information on the actual packet may be referred to.
  • backtracking function a function for grasping details of information related to events
  • Non-Patent Documents 1, 2, and 3 do not have a back tracking function, it is difficult for an administrator to refer to details of collected information later.
  • the present invention provides a distributed monitoring system capable of monitoring advanced functions such as monitoring of applications using a control plane and a data plane while balancing the load in consideration of scalability and fault tolerance.
  • a back tracking function is added to the above distributed monitoring system as necessary.
  • a network distributed monitoring method includes a plurality of first predetermined points in each of a first probe node of a plurality of nodes in a network including a plurality of nodes connected to a management network. Detecting the first traffic on the target network of the corresponding first application among the received applications and generating a first detection message, only the first function identifier indicating the type of the corresponding first application, or Transmitting a first detection message to a node determined from the first hash value of the address information of the first traffic and the DAT of the first traffic of the management network; and a plurality of at a first mediation node among the plurality of nodes
  • the first predetermined application of That comprises the steps of generating a first mediation processing result by the first mediation processing the detection message, and storing the first mediation processing result in the first collector node of the plurality of nodes.
  • a computer readable program is a network including a plurality of nodes connected to a management network, and traffic on a target network of a corresponding application among a plurality of predetermined applications. Detecting and generating a detection message, and transmitting the detection message to a node determined from only the function identifier indicating the type of the corresponding application, or the traffic address information, the hash value, and the traffic DAT of the management network This is to make the computer function as a probe node that executes the steps.
  • This program can be stored in a storage medium (media).
  • a network distributed monitoring system includes a management network and a plurality of nodes connected to the management network, and each of the probe nodes of the plurality of nodes is determined in advance.
  • the traffic on the target network of the corresponding first application is detected to generate a detection message, and only the function identifier indicating the type of the corresponding application or the hash value of the address information of the traffic and the management network
  • a detection message is transmitted to a node determined from the DAT of the traffic of the other, and the mediation node of the plurality of nodes performs mediation processing on the detection message for a plurality of predetermined applications and generates a mediation processing result.
  • the collector node of the plurality of nodes stores the mediation process results.
  • a node used in a network distributed monitoring system is provided.
  • the collector node of the plurality of nodes may have a function of inquiring detailed information by tracing the nodes on the DAT to all the probe nodes that have captured packets related to a certain event. is there. Also, all the probe nodes that have captured a packet related to a certain event have a function of transmitting detailed information to the collector node of the plurality of nodes by tracing the node on the DAT. Further, in order to perform backtracking, each node may have information on the event type, the lower node ID, the event count, the first time when the event is received, and the last time when the event is received.
  • a flexible monitoring system capable of realizing high-level monitoring such as monitoring not only a simple monitoring application that counts events but also an application that needs to associate an event between a control plane and a data plane.
  • different monitoring target applications can coexist. Even if the monitoring target applications are different, if the functions used for monitoring are common to them, there is no need to prepare or develop (double development) the same monitoring function.
  • the administrator can refer to the detailed information of the packet.
  • FIG. 1 is a diagram showing a distributed monitoring system according to a first embodiment of the present invention.
  • FIG. 2 is a diagram showing a configuration example of a management node network in the distributed monitoring system according to the first embodiment of the present invention.
  • FIG. 3 is a block diagram showing the configuration of the monitoring node in the distributed monitoring system according to the first embodiment of the present invention.
  • FIG. 4 is a diagram showing an example of a rule table in the distributed monitoring system according to the first embodiment of the present invention.
  • FIG. 5 is a diagram showing an example of a monitoring table in the distributed monitoring system according to the first embodiment of the present invention.
  • FIG. 6 is a diagram showing a node table in the distributed monitoring system according to the first embodiment of the present invention.
  • FIG. 7A is a flowchart showing the operation of the monitoring node in the distributed monitoring system according to the first embodiment of the present invention.
  • FIG. 7B is a flowchart showing the operation of the monitoring node in the distributed monitoring system according to the first embodiment of the present invention.
  • FIG. 8 is a diagram showing a distributed monitoring system according to the second embodiment of the present invention.
  • FIG. 9 is a block diagram showing the configuration of the second embodiment of the present invention.
  • FIG. 10A is a diagram showing an example of a management node network in the distributed monitoring system according to the present invention.
  • FIG. 10B is a diagram showing a DAT configuration corresponding to the management node network in the distributed monitoring system according to the present invention.
  • FIG. 11 is a block diagram showing a configuration of a monitoring node equipped with a back tracking function in the distributed monitoring system according to the third embodiment of the present invention.
  • FIG. 12 is a diagram showing an example of the backtrack table in the distributed monitoring system according to the third embodiment of the present invention.
  • FIG. 13 is a flowchart showing the operation of the monitoring node equipped with the back tracking function in the distributed monitoring system according to the third embodiment of the present invention.
  • FIG. 14 is a block diagram showing an example of a hardware configuration for realizing the distributed monitoring system according to each embodiment of the present invention.
  • a probe or a probe node serves to capture a packet from a network interface and provide information about the packet.
  • Mediation is a function that combines and reduces information obtained from nodes.
  • a node having a mediation function is called a mediator.
  • a collector is a node that collects all mediated information.
  • a node is a device that exists on a network. Probes, mediators, and collectors are types of nodes.
  • a device having a probe function and a mediator function is also called a node.
  • FIG. 1 is a diagram showing a distributed monitoring system according to a first embodiment of the present invention.
  • the distributed monitoring system includes a management network 50.
  • Each of the plurality of monitoring nodes 51-i is arranged at a predetermined position in the monitoring target network, and monitors traffic flowing through the arrangement position in the monitoring target network.
  • Each monitoring node 51-i has a node ID.
  • Each node 51-i transmits the traffic monitoring result to another node 51-j (i ⁇ j) via the management network 50.
  • one server 53 is used. However, in the actual service, a plurality of servers may be used.
  • FIG. 2 shows a message transfer example of the distributed monitoring system of the present invention.
  • FIG. 10A shows the transfer example of the present invention in detail
  • FIG. 10B shows the DAT structure.
  • the management network 50 has 16 monitoring nodes N2, N4,..., N30 and a server 53.
  • the server 53 distributes a rule table and a monitoring table (described later) to at least the monitoring nodes N2, N6, N16, N18, N22, and N24 among the above monitoring nodes.
  • the server 53 distributes a node table (described later) to all monitoring nodes.
  • the monitoring node N2 monitors traffic passing through it, detects SIP packets of the SIP application call A and call B, and transmits them to the monitoring node N18.
  • the monitoring node N6 monitors the traffic passing through it, detects the RTP packet of the call B, and transmits it to the monitoring node N22.
  • the monitoring node N16 monitors the traffic passing through it, detects the RTP packet of call A, and transmits it to the monitoring node N24.
  • the monitoring node N18 transfers the detection result of the SIP packets of the calls A and B from the monitoring node N2 to the monitoring node N22.
  • the monitoring node N22 receives the detection result of the RTP packet of the call B from the monitoring node N6, receives the detection result of the SIP packet of the call B from the monitoring node N18, obtains the correlation between the detection results, and the result Is transmitted to the monitoring node N24.
  • the monitoring node N24 receives and stores the correlation processing result of the call B from the monitoring node N22.
  • the monitoring node N24 receives the detection result of the SIP packet of the call A from the monitoring node N22, receives the detection result of the RTP packet of the call A from the monitoring node N16, obtains a correlation between these detection results, Store the result.
  • the two correlation results are both stored in the monitoring node N24, but the present invention is not limited to this, and may be stored in different monitoring nodes.
  • FIG. 3 is a block diagram showing a configuration in each monitoring node in the distributed monitoring system according to the first embodiment of the present invention.
  • each monitoring node 51-i includes a main signal system network interface unit 101, a reception unit 102, a detection unit 103, a management system network interface unit 201, a reception unit 202, a DHT / DAT. Unit 203, monitoring unit 204, transmission unit 205, and storage unit 110.
  • the storage unit 110 stores a rule table 111, a monitoring table 211, a node table 212, a monitoring result data buffer 213, and a DAT buffer 214.
  • Each unit other than the storage unit 110 of the monitoring node may be realized as hardware, software, or a mixed type.
  • the program is fixedly stored in a storage device in the monitoring node or loaded from an external storage medium (media), and the CPU or processor executes the program.
  • the receiving unit 102 receives traffic data from the monitored network 52 via the main signal system network interface unit 101.
  • the reception unit 102 can perform session management, stream reconstruction, and the like necessary for traffic monitoring on the traffic data as necessary.
  • the receiving unit 102 sends a message included in the traffic data to the detecting unit 103.
  • the detection unit 103 When the detection unit 103 receives a message from the reception unit 102, the detection unit 103 refers to a rule registered in the rule table 111 and confirms whether the message corresponds to the rule. When detecting that the message corresponds to the rule, the detection unit 103 sends a notification message to the monitoring unit 204.
  • FIG. 4 shows the rule table 111.
  • the rule table 111 has a plurality of entries, and a rule for specifying a message to be detected is registered in each entry. These rules are transmitted from the server 53 to the monitoring node and stored in the rule table 111. That is, the server 53 transmits these rules to the monitoring node. The monitoring node receives these rules and stores them in the rule table 111.
  • the protocol is SIP.
  • the source IP address is 192.168.0.1.
  • the transmission destination IP address is 192.168.0.11.
  • the source SIP-URI (Uniform Resource Identifier) is sender1 @ sip. com.
  • the destination SIP-URI is receiver1 @ sip. com.
  • the SIP method is INVITE. This rule is to confirm that one such message has flowed per second.
  • the monitoring unit 204 processes the notification message received from the detection unit 103 according to the data stored in the monitoring table.
  • FIG. 5 shows an example of the monitoring table 211.
  • the monitoring table 211 shows a plurality of entries.
  • Each entry of the monitoring table 211 includes a serial number, a function name indicating a function to be monitored, a function identifier (identifier indicating the type of application to be monitored) for specifying the function to be monitored, and an argument of a hash function , Have mediation type data.
  • These entries are transmitted from the server 53 to the monitoring node and stored in the monitoring table 211. That is, the server 53 transmits these entries to the monitoring node.
  • the monitoring node receives these entries and stores them in the monitoring table 211.
  • the function name is VoIP monitoring.
  • the function identifier is 7.
  • the argument of the hash function is a function identifier.
  • the mediation type is the correlation (IP address, port number) between SIP and RTP.
  • the function name is IPTV monitoring.
  • the function identifier is 8.
  • the argument of the hash function is a function identifier and a source IP address.
  • the mediation type is the correlation (IP address, port number) between SIP and RTP.
  • the function identifier and the source IP address are used, but the destination IP address may be used, or both IP addresses may be used. Further, both or one of the transmission source URI and the transmission destination URI may be used.
  • the monitoring unit 204 extracts the function identifier in the notification message received from the detection unit 103, and checks whether there is an entry corresponding to the extracted function identifier. When there is an entry, the monitoring unit 204 refers to the monitoring result data buffer 213 and determines whether monitoring result data is stored. The monitoring unit 204 refers to the mediation type field of the entry and performs mediation processing using the monitoring result data in the notification message and the monitoring result data in the monitoring result data buffer 213. In this example, when the extracted function identifier is 7, the monitoring unit 204 refers to the IP address and the port number, and if there is RTP information belonging to a certain SIP session, the monitoring unit 204 combines them and is the same as the VoIP application. Associate as a session.
  • the monitoring unit 204 does nothing if there is no RTP data belonging to a certain SIP session in the monitoring result data buffer 213. Further, when receiving a notification message including RTP data from another monitoring node, the monitoring unit 204 stores the RTP data in the monitoring result data buffer 213.
  • the monitoring unit 204 Since the argument of the hash function is a function identifier, 24 is obtained when the monitoring unit 204 calculates the hash function hash (7). Thus, it can be seen that the monitoring node (route monitoring node or collector monitoring node) to which the message is finally delivered is the monitoring node N24 with the node ID of 24. The monitoring unit 204 passes this node ID and the result of mediation processing to the DHT / DAT unit 203 as an event.
  • the value output by the hash function determines which node becomes the collector node. Therefore, when there is a certain node, it becomes a collector node and may become a mediation node. Further, a node that is a collector in one monitoring application may be a collector of another monitoring application, or a node that is a mediator in one monitoring application may be a mediator of another monitoring application. That is, a plurality of monitoring applications share a network.
  • the DHT / DAT unit 203 refers to the DAT buffer 214 that stores a predetermined DAT shown in FIG. 2, and prepares the processing result received from the monitoring unit 204 for transmission to the next monitoring node on the DHT / DAT. I do.
  • the DHT / DAT unit 203 refers to the DAT in the DAT buffer 214 based on the node ID of the collector monitoring node and the own node ID, and determines the next transmission destination node.
  • FIG. 2 is a diagram showing an example of DAT. For example, if the ID of the own node is 18, the DHT / DAT unit 203 can send a message including the processing result to the monitoring node N22 with the node ID 22.
  • the DHT / DAT unit 203 refers to the node table 212 based on the node ID 22 of the transmission destination monitoring node, and acquires the IP address of the node specified by the node ID.
  • FIG. 6 shows an example of the node table 212, and it is understood that the DHT / DAT unit 203 only needs to transmit data to the IP address 192.168.0.22 corresponding to ID22.
  • the DHT / DAT unit 203 passes the message and the acquired transmission destination IP address to the transmission unit 205.
  • the transmission destination is determined based on a predetermined DAT, but the transmission destination may be determined by other methods. At that time, the transmission destination may be dynamically determined each time, or may be determined in advance.
  • the transmission unit 205 transmits the message from the DHT / DAT unit 203 to the destination IP address via the management network interface unit 201.
  • the receiving unit 202 passes the message to the monitoring unit 204 via the DHT / DAT unit 203.
  • the monitoring unit 204 executes the same processing as described above, determines the node ID of the final destination monitoring node, and passes this node ID and the result of mediation processing to the DHT / DAT unit 203 as an event.
  • the DHT / DAT unit 203 refers to the DAT in the DAT buffer 214 and prepares to transmit the processing result received from the monitoring unit 204 to the next monitoring node on the DHT / DAT.
  • the monitoring nodes N2, N6, and N16 are probe nodes, and the monitoring nodes N16 and N22 are mediator nodes.
  • the management node N24 is a collector node.
  • the monitoring node N16 detects an RTP packet and transmits a message including monitoring result data and a function identifier to the collector monitoring node N24.
  • the monitoring node N18 that has received the message from the monitoring node N2 determines whether there is a function identifier whose function identifier in the message matches the monitoring table 211 of the monitoring node N18. When there is a matching function identifier, the monitoring node N18 performs processing according to the mediation type of the corresponding function identifier. Also, when there is no matching function identifier, the monitoring node N18 refers to the DAT and transfers the received message to the monitoring node N22. The monitoring node N22 that has received the message from the monitoring node N18 also performs the same operation as the monitoring node 18 and transfers the message to the collector monitoring node N24. By processing in this way, the message reaches the monitoring node N24 that is the collector. The monitoring node N24 performs correlation processing between SIP and RTP and stores the result. This enables stream correlation processing.
  • the monitoring node N6 detects an RTP packet and transmits a message including monitoring result data and a function identifier to the monitoring result node N22.
  • the monitoring node N18 that has received the message from the monitoring node N2 determines whether there is a function identifier whose function identifier in the message matches the monitoring table 211 of the monitoring node N18. When there is a matching function identifier, the monitoring node N18 performs processing according to the mediation type of the corresponding function identifier. Also, when there is no matching function identifier, the monitoring node N18 refers to the DAT and transfers the received message to the monitoring node N22.
  • the monitoring node N22 performs mediation processing (correlation processing) defined in the mediation type determined based on the message from the monitoring node N18 and the message received from the monitoring node N6, and transmits the processing result to the collector monitoring node N24. To do.
  • the collector monitoring node N24 receives and stores the processing result. This enables stream correlation processing.
  • the monitoring node N22 performs a correlation process.
  • the object to be hashed may be not only the function identifier but also the function identifier and address information.
  • a function identifier and a source IP address or a source IP address and a destination IP address.
  • both or one of the transmission source URI and the transmission destination URI may be used.
  • Step S1 When the monitoring node N2 receives a packet flowing on the network via the main signal network interface unit 101, the receiving unit 102 performs termination processing of layers L2, L3, and L4.
  • Step S2 Subsequently, the reception unit 102 performs session management based on the IP address and the port number, and in the case of a TCP or SCTP packet, performs stream reconstruction, and transfers the packet to the detection unit 103.
  • Step S3 The detection unit 103 checks whether or not the received packet matches the rule registered in the rule table 111.
  • the detection unit 103 checks whether the packet includes an IP address, a SIP-URI, or the like.
  • the detection unit 103 notifies the monitoring unit 204 of an event when a rule (filtering condition) is satisfied as a result of the inspection.
  • the monitoring application is determined in advance by filtering condition data.
  • Step S4 The monitoring unit 204 confirms whether an event related to the event received from the detection unit 103 is received from another node.
  • Step S5 The monitoring unit 204 aggregates events when receiving messages from other nodes.
  • Step S6 Thereafter, the monitoring unit 204 performs processing according to the mediation type in the monitoring table 211 (FIG. 5).
  • the monitoring unit 204 since the monitoring node N2 has not received an event from another node, the monitoring unit 204 processes only the event detected by the node having the node ID 2 according to the mediation type.
  • the monitoring unit 204 passes the node ID of the collector monitoring node N24 and the mediation processing result to the DHT / DAT unit 203.
  • the DHT / DAT unit 203 refers to the DAT in the DAT buffer 214 and prepares to transmit the event to the next node on the DHT / DAT.
  • the DHT / DAT unit 203 refers to the DAT in the DAT buffer 214, and determines a message transmission destination node from the node ID of the collector monitoring node. In the example of FIG. 2, the node ID is transmitted to the monitoring node N18.
  • the DHT / DAT unit 203 refers to the node table 212 to acquire the IP address of the node ID 18 and passes it to the transmission unit 205.
  • Step S8 The transmission unit 205 transmits the event received from the DHT / DAT unit 203 to the IP address of the next node via the management network interface unit 201.
  • Step S11 A message transmitted from another monitoring node is received by the receiving unit 202 via the management network interface unit 201.
  • the receiving unit 202 transfers the received message to the monitoring unit 204 via the DHT / DAT unit 203.
  • Step S12 When receiving a message from the DHT / DAT unit 203, the monitoring unit 204 checks whether the message includes monitoring result data. At this time, if the function identifier in the message is registered in the monitoring table 211, the monitoring unit 204 transfers the monitoring result data (for example, RTP data) to the collector monitoring node based on the function identifier. The data is stored in the monitoring result data buffer 213 together with necessary data.
  • the monitoring result data for example, RTP data
  • Step S13 When the message received from the DHT / DAT unit 203 includes monitoring result data (SIP data), the monitoring unit 204, based on the function identifier, stores RTP data and SIP data stored in the monitoring result data buffer 213. Execute mediation processing that correlates Thereafter, the monitoring unit 204 passes the node ID of the collector monitoring node N24 and the mediation processing result to the DHT / DAT unit 203.
  • SIP data monitoring result data
  • the DHT / DAT unit 203 refers to the DAT in the DAT buffer 214 and prepares to transmit a message to the next node on the DHT / DAT.
  • the DHT / DAT unit 203 refers to the DAT in the DAT buffer 214, and determines a message transmission destination node from the node ID of the collector monitoring node. In the example of FIG. 2, the node ID is transmitted to the monitoring node N18.
  • the DHT / DAT unit 203 refers to the node table 212 to acquire the IP address of the node ID 18 and passes it to the transmission unit 205.
  • Step S15 The transmission unit 205 transmits the event received from the DHT / DAT unit 203 to the IP address of the next node via the management network interface unit 201.
  • each monitoring node has all functions, but there are two types of nodes in the distributed monitoring system according to the second embodiment shown in FIG. 8, a detection node 120 that performs detection and a processing node 220 that performs monitoring. It is divided. The function is the same as when one node has all functions.
  • a detection node 120 that performs detection
  • a processing node 220 that performs monitoring. It is divided. The function is the same as when one node has all functions.
  • one or more detection nodes 120 may be connected to one processing node 220 as shown in FIG. it can.
  • FIG. 9 shows the detection node 120 and the processing node 220.
  • the main signal system network interface unit 101, the reception unit 102, the detection unit 103, and the rule table 111 are the same as those of the first embodiment. Therefore, the description of the configuration and operation is omitted.
  • the interface unit 104 has a transmission function, and transmits an event message to the processing node 220 serving as a monitoring node when the received packet matches a rule registered in the rule table 111.
  • the detection unit 103 checks whether or not a rule (filtering condition) registered in the rule table 111 is matched.
  • the application to be monitored is determined in advance based on filtering conditions.
  • the processing node 220 of the second embodiment includes a management network interface unit 201, a reception unit 202, a DHT / DAT unit 203, a monitoring unit 204, a transmission unit 205, an interface unit 206, a monitoring table 211, a node table 212, and monitoring result data.
  • a buffer 213 and a DAT buffer 214 are provided. Among these components, the components other than the interface unit 206 and the DAT buffer 214 are the same as the corresponding components in the first embodiment. Therefore, description of their configuration and operation is omitted.
  • the interface unit 206 has a reception function, receives an event message transmitted from the detection node 120, and transfers the event message to the monitoring unit 204.
  • the object to be hashed may be not only a function identifier but also a function identifier and address information.
  • a function identifier and a source IP address or a source IP address and a destination IP address.
  • both or one of the transmission source URI and the transmission destination URI may be used.
  • the mediation results are collected and stored in the collector monitoring node N24.
  • which node is the collector node is determined by the value output by the hash function. Therefore, when there is a certain node, it becomes a collector node and may become a mediation node. Further, a node that is a collector in one monitoring application may be a collector of another monitoring application, or a node that is a mediator in one monitoring application may be a mediator of another monitoring application. That is, a plurality of monitoring applications share a network.
  • the monitoring node N22 associates two detection results of SIP traffic and RTP traffic, and transmits the result to the monitoring node N24.
  • the type of traffic to be associated is not limited to two.
  • the traffic type may be 3 or more.
  • the detection results of all types of traffic are associated with one monitoring node.
  • the detection results of two types of traffic are associated with each other at the first node, and the results and detection results of the remaining types of traffic are associated. May be associated. In this way, messages may be transferred while associating in order.
  • the load can be further distributed.
  • the present invention is not limited to DAT, and other data aggregation algorithms may be applied.
  • the distributed monitoring system of the VoIP communication system has been described. However, even if different monitoring applications of the distributed monitoring system perform, for example, QoS (Quality of Service) monitoring and security monitoring of the communication system simultaneously. good.
  • QoS Quality of Service
  • a filter function can be realized and desired traffic can be monitored.
  • the collector node is determined by the monitoring table. Specifically, the node ID of the collector node is determined by calculating a hash function value defined in the monitoring table.
  • the monitoring node to which the detection result is to be transmitted next is determined from the node ID and DAT. If the monitoring node of the transmission destination is an association node, a plurality of detection result data received by the node are associated, and the next node is determined in the same manner as described above.
  • the load can be distributed not only with respect to the node but also with respect to time.
  • rule table and the monitoring table have been described as being sent to the node via the management network, they may be sent from the server 53 via the server network (not shown). In this case, it is desirable that the monitoring node has an interface with the server separately from the above configuration.
  • a rule table and a monitoring table are sent from the server 53 to the detection node, and further, the interface unit and processing of the detection node
  • the monitoring table may be sent from the detection node to the processing node via the interface unit of the node.
  • the first and second embodiments can support different monitoring applications while being scalable and fault tolerant by configuring a network with DHT / DAT and further determining a collector with a hash value.
  • the monitoring system of the present invention it is possible to monitor advanced functions such as monitoring applications using the control plane and data plane in consideration of scalability and fault tolerance.
  • the probe holds a filter that detects packets in which worms are generated.
  • the probe uses the DAT mechanism to pass the packet information to the mediator and collector.
  • the operator can check packet information related to the events by using the backtracking function.
  • a backtracking function can be provided by adding a backtrack table 501 to the processing node 220 in FIG.
  • the backtrack table 501 stores the event type, the lower node ID, the event count, the first time when the event is received, and the last time when the event is received. Each time an event is collected by the collector, information is stored in the backtrack table 501 of each node.
  • the collector When the operator gives an instruction for backtracking to the collector, the collector confirms a lower node on the DAT through which the event has passed, and the collector notifies each node on the corresponding DAT.
  • the monitoring unit 204 can confirm the lower node ID on the DAT through which the event has passed by referring to the backtrack table 501.
  • each node on the corresponding DAT is notified from the monitoring unit 204 via the DHT / DAT unit 203, the transmission unit 205, and the management system interface 201.
  • each node confirms a lower-level node on the DAT that has passed through the corresponding event, and each node notifies the corresponding node on the DAT.
  • the notification is received by the monitoring unit 204 via the management system interface 201, the receiving unit 202, and the DHT / DAT unit 203 of the lower level node. If the monitoring unit 204 determines that the own node is not a probe, the backtrack table 501 is similarly referred to, the ID of the lower node is confirmed, and each node on the corresponding DAT is notified.
  • Each node repeats the above processing until it arrives at the probe, and when its own node is a probe, the monitoring unit 204 searches for packet information related to the event. Subsequently, the packet information is transmitted to the upper node on the DAT. Packet information is transmitted until it reaches the collector, and when it reaches the collector, the process is complete.
  • Step S51 When the operator issues a back tracking instruction to the collector, the collector confirms the lower node on the DAT through which the event has passed.
  • Step S52 The collector notifies each node on the corresponding DAT.
  • Step S53 Each node that receives the notification from the collector confirms whether its own node is a probe.
  • Step S54 If each node is not a probe, each node confirms a lower-order node on the DAT through which the event has passed.
  • Step S55 Each node notifies the corresponding node on the confirmed DAT. Each node repeats these processes until it reaches the probe.
  • Step S56 When each node is a probe, each node searches for packet information related to the event.
  • Step S57 Subsequently, the node that is a probe transmits packet information to an upper node on the DAT. That is, the packet information transmission process is performed in the reverse flow of the notification process in steps S52 to S55.
  • Step S58 The node that is a probe transmits packet information until it reaches the collector, and when it reaches the collector, the process is completed.
  • each node that receives the packet information from the node that is the probe confirms whether or not its own node is a collector. If the node is not a collector, each node confirms a higher-order node on the DAT through which the event has passed.
  • Each node transmits packet information to the corresponding node on the confirmed DAT. Each node repeats these processes until it reaches the collector.
  • the operator can know the probe that detected the event and acquire information related to the event.
  • each of the detection node 120 and the processing node 220 of the second embodiment illustrated in FIG. 9 are independent computers. That is, each of the detection node 120 and the processing node 220 of the second embodiment is assumed to have the same hardware configuration as each of the monitoring nodes 51-i.
  • the hardware configuration of the distributed monitoring system varies depending on the program acquisition path.
  • the hardware configuration of the distributed monitoring system includes a storage medium 1000 and a computer 2000.
  • the hardware configuration of the distributed monitoring system includes a computer 2000 and an external storage device 3000. In either case, the hardware configuration of the distributed monitoring system includes a storage medium 1000, a computer 2000, and an external storage device 3000.
  • the storage medium 1000 stores a computer-readable program 1500 for causing the computer to function as each monitoring node 51-i.
  • Examples of the storage medium 1000 include a DVD (Digital Versatile Disk), a USB memory (Universal Serial Bus memory), an SD card (Secure Digital memory card), and other memory cards.
  • the storage medium 1000 may be an electronic device connected to a computer via a USB cable or the like. Because it is essentially the same. However, actually, it is not limited to these examples.
  • the computer 2000 is an electronic device that functions as each monitoring node 51-i by executing the program 1500.
  • Examples of the computer 2000 include computers such as PCs (personal computers), thin client terminals / servers, workstations, mainframes, supercomputers, home game machines, interactive televisions, digital recorders, information home appliances (information home appliances).
  • POS Point of Sale
  • OA Office Automation
  • the computer 2000 may be mounted on a moving body such as a vehicle, a ship, or an aircraft. However, actually, it is not limited to these examples.
  • the computer 2000 includes a processing device 2001, a main storage device 2002, a secondary storage device 2003, a network interface 2004, and a storage medium insertion port 2005.
  • the processing device 2001, the main storage device 2002, the secondary storage device 2003, the network interface 2004, and the storage medium insertion port 2005 are connected to each other via a data bus.
  • the computer 2000 may further include an input device, a display device, and the like.
  • the processing device 2001 reads the program 1500 and actually executes the program 1500.
  • a CPU Central Processing Unit
  • microprocessor microprocessor
  • microcontroller a semiconductor integrated circuit (Integrated Circuit (IC)) having a similar function
  • IC Integrated Circuit
  • the main storage device 2002 temporarily stores the program 1500 and the data being processed when the processing device 2001 is actually executing the program 1500.
  • Examples of the main storage device 2002 include a RAM (Random Access Memory), a ROM (Read Only Memory), an EEPROM (Electrically Erasable and Programmable Read Only Memory), a flash memory, or a combination thereof. However, actually, it is not limited to these examples.
  • the secondary storage device 2003 stores the program 1500 and provides the program 1500 to the processing device 2001.
  • the secondary storage device 2003 stores a program 1500, data used for processing, and processing result data.
  • the processing device 2001 loads the program 1500 directly from the storage medium 1000 and temporarily stores the program 1500 in the main storage device 2002, the secondary storage device 2003 does not need to store the program 1500. good.
  • Examples of the secondary storage device 2003 include an HDD (Hard Disk Drive) and an SSD (Solid State Drive).
  • the secondary storage device 2003 is not necessarily built in the computer 2000.
  • the secondary storage device 2003 may be a peripheral device (such as an external HDD). However, actually, it is not limited to these examples.
  • the network interface 2004 communicates between the computer 2000 and the outside via the network.
  • a network adapter such as NIC (Network Interface Card)
  • a communication device such as an antenna
  • a communication port such as a connection port (connector), and the like
  • networks include the Internet, a LAN (Local Area Network), a wireless LAN (Wireless LAN), a backbone (Backbone), a cable TV (CATV) line, a fixed telephone network, a mobile phone network, a leased line (lease line), IrDA (Infrared Data Association), Bluetooth (registered trademark), a serial communication line, etc. can be considered. However, actually, it is not limited to these examples.
  • the storage medium insertion port 2005 is an insertion port for reading the storage medium by arranging the storage medium.
  • the storage medium insertion port 2005 reads the program 1500 stored in the storage medium 1000 when the storage medium 1000 is arranged.
  • Examples of the storage medium insertion port 2005 include a DVD drive (DVD drive), a USB port, an SD memory card slot, and a connection port (connector) into which various cables compliant with standards other than USB are inserted. However, actually, it is not limited to these examples.
  • the external storage device 3000 stores a computer-readable program 1500 for causing the computer to function as each monitoring node 51-i.
  • Examples of the external storage device 3000 include an external server (Web server, file server, etc.), DAS (Direct Attached Storage), FC-SAN (Fibre Channel-Storage Area Network), NAS (Network Attached Storage-Storage) IP-Storage Area Network) is considered.
  • the external storage device 3000 may be another monitoring node 51-i or server 53. However, actually, it is not limited to these examples.
  • the main signal system network interface unit 101, the reception unit 102, the interface unit 104, the management system network interface unit 201, the reception unit 202, the transmission unit 205, and the interface unit 206 correspond to the network interface 2004.
  • the detection unit 103, the DHT / DAT unit 203, and the monitoring unit 204 correspond to the processing device 2001.
  • the storage unit 110 corresponds to the main storage device 2002 and the secondary storage device 2003. That is, the main storage device 2002 and the secondary storage device 2003 store necessary ones of the rule table 111, the monitoring table 211, the node table 212, the monitoring result data buffer 213, the DAT buffer 214, and the backtrack table 501.
  • each of the processing device 2001, the main storage device 2002, the secondary storage device 2003, the network interface 2004, and the storage medium insertion port 2005 may be an assembly of devices of the same system.
  • the individual NICs are collectively referred to as a network interface 2004.
  • the computer 2000 is a multi-CPU computer, the individual CPUs are collectively referred to as a processing device 2001.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Quality & Reliability (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Telephonic Communication Services (AREA)

Abstract

　ネットワーク分散監視方法は、管理ネットワークに接続された複数のノードを含むネットワークにおいて、前記複数のノードのうちの第１プローブノードの各々において、複数の第１の予め決められたアプリケーションのうちの対応する第１アプリケーションの対象ネットワーク上の第１トラヒックを検出して第１検出メッセージを生成するステップと、前記対応する第１アプリケーションの種類を示す第１機能識別子だけ、あるいはそれと前記第１トラヒックのアドレス情報との第１ハッシュ値と前記管理ネットワークの前記第１トラヒックのＤＡＴとから決定されるノードに前記第１検出メッセージを送信するステップと、前記複数のノードのうちの第１メディエーションノードにおいて前記複数の第１の予め決められたアプリケーションに対する前記検出メッセージに第１メディエーション処理をして第１メディエーション処理結果を生成するステップと、前記複数のノードのうちの第１コレクタノードにおいて前記第１メディエーション処理結果を格納するステップとを備える。こうして、高度な機能の監視も可能な分散監視システムを提供する。

Description

分散監視システム、分散監視方法、及びプログラム
　本発明は、分散監視システム、分散監視方法、及びプログラムに関する。
　トラヒック量や回線帯域が増加するにつれて、大規模なネットワークの監視は容易ではなくなる。監視対象のネットワーク全体を把握するには、複数の監視場所においてトラヒックを監視し、発生した複数のイベントの相互関係を比較したり、同種の複数イベントを集約したり、異なる種類の複数イベントを１つのイベントにまとめる（調停）ことが必要となる。特に大量のトラヒックは、スケーラビリティの問題をもたらす。例えば、ユーザに高信頼サービスを提供するために、大規模なＩＳＰ（Ｉｎｔｅｒｎｅｔ　Ｓｅｒｖｉｃｅｓ　Ｐｒｏｖｉｄｅｒ）は、重要なイベント（障害、コンフィギュレーションの誤り、攻撃、シグナリング設定（課金を想定））を監視している。イベントを検知したとき、イベントに応じた対応をいかに迅速に行うかは、ＩＳＰにとって大変重要である。従って、大規模ネットワークの大量のトラフィックを監視可能な高スケーラビリティで高効率な分散監視方式が求められている。
　大規模なネットワークの分散監視の方式として、集中型、または階層化した集中型が提案されている。これらの方式は、監視ノードで得られた監視データを全て中央ノードに直接送信するか、中央ノードに送信される前に中間ノードで一旦、集約し調停する。しかし、集中型または階層化した集中型監視方式は、スケーラビリティや信頼性の問題があり、多くの監視アプリケーションには向いていない。
　これらの問題を解決するために、“ＷｏｒｍＳｈｉｅｌｄ：　Ｆａｓｔ　Ｗｏｒｍ　Ｓｉｇｎａｔｕｒｅ　Ｇｅｎｅｒａｔｉｏｎ　ｗｉｔｈ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｆｉｎｇｅｒｐｒｉｎｔ　Ａｇｇｒｅｇａｔｉｏｎ”　（ＩＥＥＥ　Ｔｒａｎｓａｃｔｉｏｎｓ　ｏｎ　Ｄｅｐｅｎｄａｂｌｅ　ａｎｄ　Ｓｅｃｕｒｅ　Ｃｏｍｐｕｔｉｎｇ，　Ｖｏｌ．　４，　Ｎｏ．　２，　ｐｐ．８８－１０４，　Ａｐｒ－Ｊｕｎ，　２００７）　ｂｙ　Ｍｉｎ　Ｃａｉ，　Ｋａｉ　Ｈｗａｎｇ，　Ｊｉａｎｐｉｎｇ　Ｐａｎ，　Ｃｈｒｉｓｔｏｓ　Ｐａｐａｄｏｐｏｕｌｏｓ　（非特許文献１）が提案されている。
　また、“Ｄｉｓｔｒｉｂｕｔｅｄ　Ａｇｇｒｅｇａｔｉｏｎ　Ａｌｇｏｒｉｔｈｍｓ　ｗｉｔｈ　Ｌｏａｄ－Ｂａｌａｎｃｉｎｇ　ｆｏｒ　Ｓｃａｌａｂｌｅ　Ｇｒｉｄ　Ｒｅｓｏｕｒｃｅ　ｍｏｎｉｔｏｒｉｎｇ”　　（Ｐａｒａｌｌｅｌ　ａｎｄ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｐｒｏｃｅｓｓｉｎｇ　Ｓｙｍｐｏｓｉｕｍ，　２００７．　ＩＰＤＰＳ２００７．　ＩＥＥＥ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｖｏｌｕｍｅ，　Ｉｓｓｕｅ，　２６－３０，　Ｍａｒｃｈ　２００７　ｐｐ．１－１０）　ｂｙ　Ｃａｉ，　Ｍ．，　Ｈｗａｎｇ，　Ｋ．　（非特許文献２）が提案されている。
　非特許文献１では、監視アプリケーションは、ワームのシグナチャ生成のためにイベントの合計を計算する処理を行っている。非特許文献２では、監視アプリケーションは、多数ノードの平均のＣＰＵ使用率を監視する処理を行っている。非特許文献１、非特許文献２では、Ｐ２Ｐ（Ｐｅｅｒ　ｔｏ　Ｐｅｅｒ）ネットワーク技術を用いて処理の負荷分散とスケーラビリティやフォールトトレランスを考慮し、監視情報を受け渡し、集約する方式であるＤＡＴ（Ｄｉｓｔｒｉｂｕｔｅｄ　Ａｇｇｒｅｇａｔｉｏｎ　Ｔｒｅｅ）を提案している。
　ＤＡＴは、ツリー構造であり、ＤＨＴ（Ｄｉｓｔｒｉｂｕｔｅｄ　Ｈａｓｈ　Ｔａｂｌｅ）のアルゴリズムの１つであるＣｈｏｒｄ上で動作する。ノードからノードへ情報を集約しながら、集約結果は最終的にはＤＡＴ上に存在するルートノードに渡される。なお、ＤＨＴは、構造化Ｐ２Ｐネットワークの一つである。構造化Ｐ２Ｐネットワークとは、ネットワーク構成（検索要求、経路）を数式で記述できるものである。ＤＨＴのアルゴリズムとして良く知られているのは、Ｃｈｏｒｄ、Ｐａｓｔｒｙ、ＣＡＮ（Ｃｏｎｔｅｎｔ　Ａｄｄｒｅｓｓａｂｌｅ　Ｎｅｔｗｏｒｋ）などである。これらのＤＨＴのアルゴリズムを用いると、高スケーラビリティやフォールトトレランスが考慮されるので、高信頼でデータを保存したり、データ検索を行うことが可能になる。
　各ノードからルートノードに直接情報を送信するのではなく、ノードからノードへ情報を送信することを繰り返した後にルートノードへ情報を送信することで、各ノードから直接ルートノードへ情報を送信するよりも、ルートノードの処理負荷とネットワーク帯域を削減することができる。更に、ツリーの深さができるだけ均一になるようにノードを配置することで、負荷分散を実現している。
　しかしながら、非特許文献１、非特許文献２に示される方法は、イベントをカウントするような単純な監視機能であり、非特許文献１、非特許文献２に記載の方式を適用可能な監視対象は限られており、柔軟性がない。
　例えば、ＶｏＩＰ（Ｖｏｉｃｅ　ｏｖｅｒ　ＩＰ）、ＩＰＴＶ、ＶＯＤ（Ｖｉｄｅｏ　Ｏｎ　Ｄｅｍａｎｄ）のようなインターネットのアプリケーションは、制御プレーン（シグナリングプレーン）とデータプレーン（ユーザプレーン）で構成されている。そのため、ＶｏＩＰは、シグナリングを行うプロトコルとしてＳＩＰ（Ｓｅｓｓｉｏｎ　Ｉｎｉｔｉａｔｉｏｎ　Ｐｒｏｔｏｃｏｌ）を、音声信号を送信するプロトコルとしてＲＴＰ（Ｒｅａｌ－ｔｉｍｅ　Ｔｒａｎｓｐｏｒｔ　Ｐｒｏｔｏｃｏｌ）を使用し、ＳＩＰとＲＴＰはネットワーク上の異なる経路を通過する場合がある。このため、非特許文献１、非特許文献２に提案されている技術では、イベントを効率良く関連付けることができない。
　従って、制御プレーンとデータプレーンで発生するイベントを効率良く相互に関連付ける技術が求められている。
　上記の説明と関連して、特開２００３－１５８５４９号公報（特許文献１）には、トラヒック情報収集装置が開示されている。この技術の要求受付ノードでは、ＩＰ通信網における特定の２点間のトラヒック情報収集の要求を行うユーザ端末もしくはネットワーク管理端末からのトラヒック情報収集の要求が受信され、受信された要求にしたがって隣接する他通信装置へ該要求を含む情報要求パケットが送信される。隣接する他通信装置から自装置以外の複数の通信装置のトラヒック情報が書込まれた情報回答パケットが受信され、自装置内のトラヒック情報及び受信した情報回答パケットに書込まれたトラヒック情報はとりまとめられる。トラヒック情報収集を要求した端末に、とりまとめられた統括的なトラヒック情報を含む情報回答パケットが送信される。要求中継ノードでは、情報要求パケットが受信され、受信された情報要求パケットに含まれる要求にしたがって自装置内のトラヒック情報により情報回答パケットを作成して要求受付ノードへこの作成された情報回答パケットが送信される。情報要求パケットの送信元以外の隣接する他通信装置へ要求を含む情報要求パケットが転送される。要求終端ノードでは、情報要求パケットが受信され、受信された情報要求パケットに含まれる要求にしたがって自装置内のトラヒック情報により情報回答パケットが作成されて要求受付ノードへこの作成された情報回答パケットが送信される。受信された情報要求パケットは廃棄される。
　特開２００７－０１３５９０号公報（特許文献２）には、ネットワーク監視システムが開示されている。この技術では、それぞれの監視回線を流れる通信信号の通信情報が常時収集され、通信信号が有するヘッダ情報に基づいて、パケット情報と、送信元及び又は送信先を関連付けたフロー統計情報とが求められ、予め設定された物理的な集約対象でグループ化してトラフィック情報が集計される。
　また、収集するイベント属性を指定して監視機能を提供する仕組みとして、“Ａ　Ｓｃａｌａｂｌｅ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｍａｎａｇｅｍｅｎｔ　Ｓｙｓｔｅｍ”　Ｐｒａｖｅｅｎ　Ｙａｌａｇａｎｄｕｌａ，Ｍｉｋｅ　Ｄａｈｌｉｎ　（ＡＣＭ　ＳＩＧＣＯＭＭ　Ｃｏｍｐｕｔｅｒ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｒｅｖｉｅｗ　Ｖｏｌｕｍｅ３４，　Ｉｓｓｕｅ４　（Ｏｃｔｏｂｅｒ２００４）Ｐａｇｅｓ：３７９－３９０　Ｙｅａｒ　ｏｆ　Ｐｕｂｌｉｃａｔｉｏｎ：２００４）　（非特許文献３）が提案されている。
　しかしながら、非特許文献３に示される方法は、ノードが構成するツリー自体で負荷分散を考慮することはしていない。
　ネットワークの広域監視において、管理者はネットワークから情報を収集するが、収集した情報の内容によっては、更に詳細な情報を得たい場合がある。例えば、ワームが発生したというイベントが発生した場合に、実パケットの情報を参照することがある。
　このようなオペレーションを実現するためには、ネットワーク全体からイベントを収集するだけではなく、イベントに関連した情報の詳細を把握する機能（以下、バックトラッキング機能と呼ぶ）が広域監視の仕組みとして必要である。
　しかしながら、非特許文献１、２、３では、バックトラッキング機能はもたないため、収集した情報の詳細を後から管理者が参照することは困難である。
特開２００３－１５８５４９号公報 特開２００７－０１３５９０号公報
"ＷｏｒｍＳｈｉｅｌｄ：　Ｆａｓｔ　Ｗｏｒｍ　Ｓｉｇｎａｔｕｒｅ　Ｇｅｎｅｒａｔｉｏｎ　ｗｉｔｈ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｆｉｎｇｅｒｐｒｉｎｔ　Ａｇｇｒｅｇａｔｉｏｎ，"　ｂｙ　Ｍｉｎ　Ｃａｉ，　Ｋａｉ　Ｈｗａｎｇ，　Ｊｉａｎｐｉｎｇ　Ｐａｎ，　Ｃｈｒｉｓｔｏｓ　Ｐａｐａｄｏｐｏｕｌｏｓ　（ＩＥＥＥ　Ｔｒａｎｓａｃｔｉｏｎｓ　ｏｎ　Ｄｅｐｅｎｄａｂｌｅ　ａｎｄ　Ｓｅｃｕｒｅ　Ｃｏｍｐｕｔｉｎｇ，　Ｖｏｌ．　４，　Ｎｏ．　２，　ｐｐ．８８－１０４，　Ａｐｒ－Ｊｕｎ，　２００７） "Ｄｉｓｔｒｉｂｕｔｅｄ　Ａｇｇｒｅｇａｔｉｏｎ　Ａｌｇｏｒｉｔｈｍｓ　ｗｉｔｈ　Ｌｏａｄ－Ｂａｌａｎｃｉｎｇ　ｆｏｒ　Ｓｃａｌａｂｌｅ　Ｇｒｉｄ　Ｒｅｓｏｕｒｃｅ　ｍｏｎｉｔｏｒｉｎｇ"　ｂｙ　Ｃａｉ，　Ｍ．，　Ｈｗａｎｇ，　Ｋ．，　（Ｐａｒａｌｌｅｌ　ａｎｄ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｐｒｏｃｅｓｓｉｎｇ　Ｓｙｍｐｏｓｉｕｍ，　２００７．　ＩＰＤＰＳ２００７．　ＩＥＥＥ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｖｏｌｕｍｅ，　Ｉｓｓｕｅ，　２６－３０　Ｍａｒｃｈ　２００７　Ｐａｇｅ（ｓ）：１－１０） "Ａ　Ｓｃａｌａｂｌｅ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｍａｎａｇｅｍｅｎｔ　Ｓｙｓｔｅｍ"　Ｐｒａｖｅｅｎ　Ｙａｌａｇａｎｄｕｌａ，Ｍｉｋｅ　Ｄａｈｌｉｎ　（ＡＣＭ　ＳＩＧＣＯＭＭ　Ｃｏｍｐｕｔｅｒ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｒｅｖｉｅｗ　Ｖｏｌｕｍｅ３４，　Ｉｓｓｕｅ４　（Ｏｃｔｏｂｅｒ２００４）Ｐａｇｅｓ：３７９－３９０　Ｙｅａｒ　ｏｆ　Ｐｕｂｌｉｃａｔｉｏｎ：２００４）
　本発明は、スケーラビリティとフォールトレランスを考慮し、負荷分散しながら、制御プレーンとデータプレーンを使用するアプリケーションの監視のような、高度な機能の監視も可能な分散監視システムを提供する。
　更に、本発明では、必要に応じて、上記の分散監視システムにバックトラッキング機能を追加する。
　本発明の第１の観点では、ネットワーク分散監視方法は、管理ネットワークに接続された複数のノードを含むネットワークにおいて、複数のノードのうちの第１プローブノードの各々において、複数の第１の予め決められたアプリケーションのうちの対応する第１アプリケーションの対象ネットワーク上の第１トラヒックを検出して第１検出メッセージを生成するステップと、対応する第１アプリケーションの種類を示す第１機能識別子だけ、あるいはそれと第１トラヒックのアドレス情報との第１ハッシュ値と管理ネットワークの第１トラヒックのＤＡＴとから決定されるノードに第１検出メッセージを送信するステップと、複数のノードのうちの第１メディエーションノードにおいて複数の第１の予め決められたアプリケーションに対する検出メッセージに第１メディエーション処理をして第１メディエーション処理結果を生成するステップと、複数のノードのうちの第１コレクタノードにおいて第１メディエーション処理結果を格納するステップとを備える。
　本発明の第２の観点では、計算機読み取り可能なプログラムは、管理ネットワークに接続された複数のノードを含むネットワークにおいて、複数の予め決められたアプリケーションのうちの対応するアプリケーションの対象ネットワーク上のトラヒックを検出して検出メッセージを生成するステップと、対応するアプリケーションの種類を示す機能識別子だけ、あるいはそれとトラヒックのアドレス情報とハッシュ値と管理ネットワークのトラヒックのＤＡＴとから決定されるノードに検出メッセージを送信するステップとを実行するプローブノードとして計算機を機能させるためのものである。なお、このプログラムは、記憶媒体（メディア）に記憶することができる。
　本発明の第３の観点では、ネットワーク分散監視システムは、管理ネットワークと、管理ネットワークに接続された複数のノードとを備え、複数のノードのうちのプローブノードの各々は、複数の予め決められたアプリケーションのうちの対応する第１アプリケーションの対象ネットワーク上のトラヒックを検出して検出メッセージを生成し、対応するアプリケーションの種類を示す機能識別子だけの、あるいはそれとトラヒックのアドレス情報とのハッシュ値と管理ネットワークのトラヒックのＤＡＴとから決定されるノードに検出メッセージを送信し、複数のノードのうちのメディエーションノードは、複数の予め決められたアプリケーションに対する検出メッセージにメディエーション処理をしてメディエーション処理結果を生成し、複数のノードのうちのコレクタノードは、メディエーション処理結果を格納する。
　本発明の他の観点では、ネットワーク分散監視システムにおいて使用されるノードが提供される。
　上記の各観点において、複数のノードのうちのコレクタノードは、あるイベントに関係するパケットをキャプチャした全てのプローブノードに対して、ＤＡＴ上のノードを辿って詳細情報を問い合わせする機能を持つ場合がある。また、あるイベントに関係するパケットをキャプチャした全てのプローブノードは、ＤＡＴ上のノードを辿って詳細情報を前記複数のノードのうちのコレクタノードまで送信する機能を持つ。更に、バックトラッキングするために、各ノードは、イベントの種類、下位ノードＩＤ、イベントのカウント、イベントを受信した最初の時刻、イベントを受信した最後の時刻、の情報を持つようにしても良い。
　本発明によれば、イベントを計数するような単純な監視アプリケーションだけではなく、制御プレーンとデータプレーンのイベントの関連付けが必要なアプリケーションの監視など、高度な監視を実現できる柔軟な監視システムが提供される。
　また、本発明によれば、異なる監視対象アプリケーションが共存することができる。監視対象アプリケーションは異なっていても、監視に使用される機能がそれらに共通である場合、同じ監視機能を用意し、あるいは開発（二重開発）する必要がない。
　更に、本発明によれば、バックトラッキング機能を追加することで、管理者がパケットの詳細情報を参照できるようになる。
図１は、本発明の第１実施形態による分散監視システムを示す図である。 図２は、本発明の第１実施形態による分散監視システムにおける管理ノードネットワークの構成例を示す図である。 図３は、本発明の第１実施形態による分散監視システムにおける監視ノードの構成を示すブロック図である。 図４は、本発明の第１実施形態による分散監視システムにおけるルールテーブルの例を示す図である。 図５は、本発明の第１実施形態による分散監視システムにおける監視テーブルの例を示す図である。 図６は、本発明の第１実施形態による分散監視システムにおけるノードテーブルを示す図である。 図７Ａは、本発明の第１実施形態による分散監視システムにおける監視ノードの動作を示すフローチャートである。 図７Ｂは、本発明の第１実施形態による分散監視システムにおける監視ノードの動作を示すフローチャートである。 図８は、本発明の第２実施形態による分散監視システムを示す図である。 図９は、本発明の第２実施形態における構成を示すブロック図である。 図１０Ａは、本発明による分散監視システムにおける管理ノードネットワークの例を示す図である。 図１０Ｂは、本発明による分散監視システムにおける管理ノードネットワークに対応するＤＡＴ構成を示す図である。 図１１は、本発明の第３実施形態による分散監視システムにおけるバックトラッキング機能を搭載した監視ノードの構成を示すブロック図である。 図１２は、本発明の第３実施形態による分散監視システムにおけるバックトラックテーブルの例を示した図である。 図１３は、本発明の第３実施形態による分散監視システムにおけるバックトラッキング機能を搭載した監視ノードの動作を示すフローチャートである。 図１４は、本発明の各実施形態による分散監視システムを実現するためのハードウェア構成の一例を示すブロック図である。
　以下に添付図面を参照して、本発明の分散監視システムが適用される通信システムをＶｏＩＰを例に取って詳細に説明する。
　ここでは、プローブまたはプローブノードとは、ネットワークインタフェース（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ）からパケットをキャプチャしパケットに関する情報を提供する役割をするものである。メディエーションは、ノードから得た情報を組み合わせたり、削減したりする機能である。メディエーション機能を持つノードをメディエータと呼ぶ。コレクタは、メディエーションされた全情報を収集するノードである。ノードは、ネットワーク上に存在する装置である。プローブ、メディエータ、コレクタは、ノードの一種である。プローブの機能とメディエータの機能を持つ装置もノードと呼ぶ。
　＜第１実施形態＞
　図１は、本発明の第１実施形態による分散監視システムを示す図である。図１に示すように、分散監視システムは、管理系ネットワーク５０を備える。管理系ネットワーク５０には、複数の監視ノード５１－ｉ（ｉ＝１，２，・・・，ｎ）とサーバ５３が接続されている。また、複数の監視ノード５１－ｉは、それぞれ監視対象ネットワーク内の所定の位置に配置されており、監視対象ネットワーク内の配置位置を流れるトラヒックを監視している。各監視ノード５１－ｉは、ノードＩＤを有している。各ノード５１－ｉは、トラヒックの監視結果について、管理系ネットワーク５０を介して他のノード５１－ｊ（ｉ≠ｊ）に送信する。この例では本発明の内容を理解し易くするために、サーバ５３を１台としているが、実サービスではサーバは複数台になっても良い。
　図２は、本発明の分散監視システムのメッセージの転送例を示している。図１０Ａは、本発明の転送例を詳細に示し、図１０Ｂは、ＤＡＴ構造を示している。管理系ネットワーク５０は、１６個の監視ノードＮ２，Ｎ４，・・・，Ｎ３０と、サーバ５３を有している。サーバ５３は、上記の監視ノードのうち、少なくとも監視ノードＮ２，Ｎ６，Ｎ１６，Ｎ１８，Ｎ２２，Ｎ２４に、ルールテーブルと、監視テーブル（後述する）を配信する。サーバ５３は、ノードテーブル（後述する）を全監視ノードに配信する。
　監視ノードＮ２は、それを通るトラヒックを監視してＳＩＰアプリケーションの通話Ａと通話ＢのＳＩＰパケットを検出して、監視ノードＮ１８に送信する。監視ノードＮ６は、それを通るトラヒックを監視して通話ＢのＲＴＰパケットを検出して、監視ノードＮ２２に送信する。監視ノードＮ１６は、それを通るトラヒックを監視して通話ＡのＲＴＰパケットを検出し、監視ノードＮ２４に送信する。監視ノードＮ１８は、監視ノードＮ２からの通話Ａ，ＢのＳＩＰパケットの検出結果を監視ノードＮ２２に転送する。監視ノードＮ２２は、監視ノードＮ６から通話ＢのＲＴＰパケットの検出結果を受信し、監視ノードＮ１８から通話ＢのＳＩＰパケットの検出結果を受信して、それらの検出結果の相関を求めて、その結果を監視ノードＮ２４に送信する。監視ノードＮ２４は、監視ノードＮ２２から通話Ｂの相関処理結果を受信して、格納する。また、監視ノードＮ２４は、監視ノードＮ２２から通話ＡのＳＩＰパケットの検出結果を受信し、監視ノードＮ１６から通話ＡのＲＴＰパケットの検出結果を受信し、それらの検出結果の相関を求めて、その結果を格納する。
　この例では、２つの相関の結果が共に監視ノードＮ２４に格納されているが、本発明はこれに限られず、別の監視ノードにそれぞれ格納されても良い。
　図３は、本発明における第１実施形態による分散監視システム内の各監視ノード内の構成を示すブロック図である。図３を参照して、第１実施形態による各監視ノード５１－ｉは、主信号系ネットワークインタフェース部１０１、受信部１０２、検知部１０３、管理系ネットワークインタフェース部２０１、受信部２０２、ＤＨＴ／ＤＡＴ部２０３、監視部２０４、送信部２０５、格納部１１０を備えている。格納部１１０には、ルールテーブル１１１、監視テーブル２１１、ノードテーブル２１２、監視結果データバッファ２１３、ＤＡＴバッファ２１４が格納されている。監視ノードの格納部１１０以外の各部は、ハードウェアとして、ソフトウェアとして、あるいは混合型として実現されても良い。ソフトウェアとして実現されるときには、監視ノード内の記憶装置にプログラムが固定的に格納され、あるいは外部の記憶媒体（メディア）からロードされ、ＣＰＵまたはプロセッサがそのプログラムを実行することにより実現される。
　受信部１０２は、主信号系ネットワークインタフェース部１０１を介して、監視対象ネットワーク５２からトラヒックデータを受信する。受信部１０２は、トラヒックデータに対して、トラヒック監視のために必要なセッション管理や、ストリーム再構築等を必要に応じて行うことができる。受信部１０２は、トラヒックデータ中に含まれるメッセージを検知部１０３に送る。
　検知部１０３は、受信部１０２からメッセージを受け取ると、ルールテーブル１１１に登録されているルールを参照し、メッセージがルールに該当するか否かを確認する。検知部１０３は、メッセージがルールに該当することを検知すると、監視部２０４へ通知メッセージを送る。
　図４は、ルールテーブル１１１を示す。ルールテーブル１１１は、複数のエントリを有し、各エントリには、検知されるべきメッセージを特定するためのルールが登録されている。これらのルールは、サーバ５３から、監視ノードに送信され、ルールテーブル１１１に格納される。すなわち、サーバ５３は、これらのルールを監視ノードに送信する。監視ノードは、これらのルールを受信してルールテーブル１１１に格納する。例えば、あるルールでは、プロトコルはＳＩＰである。送信元ＩＰアドレスは１９２．１６８．０．１である。送信先ＩＰアドレスは１９２．１６８．０．１１である。送信元ＳＩＰ－ＵＲＩ（Ｕｎｉｆｏｒｍ　Ｒｅｓｏｕｒｃｅ　Ｉｄｅｎｔｉｆｉｅｒ）はｓｅｎｄｅｒ１＠ｓｉｐ．ｃｏｍである。送信先ＳＩＰ－ＵＲＩはｒｅｃｅｉｖｅｒ１＠ｓｉｐ．ｃｏｍである。ＳＩＰメソッドはＩＮＶＩＴＥである。このルールは、そのようなメッセージが、１秒間に１個流れたことを確認するためのものである。
　監視部２０４は、検知部１０３から受け取った通知メッセージを、監視テーブルに格納されているデータに従って処理する。
　図５は、監視テーブル２１１の一例を示している。監視テーブル２１１は、複数のエントリを示している。監視テーブル２１１の各エントリは、連続番号、監視されるべき機能を示す機能名、監視されるべき機能を特定するための機能識別子（監視されるべきアプリケーションの種類を示す識別子）、ハッシュ関数の引数、メディエーションタイプのデータを有している。これらのエントリは、サーバ５３から、監視ノードに送信され、監視テーブル２１１に格納される。すなわち、サーバ５３は、これらのエントリを監視ノードに送信する。監視ノードは、これらのエントリを受信して監視テーブル２１１に格納する。例えば、番号７のエントリでは、機能名は、ＶｏＩＰ監視である。機能識別子は７である。ハッシュ関数の引数は、機能識別子である。メディエーションタイプはＳＩＰとＲＴＰの相関（ＩＰアドレス、ポート番号）である。また、番号８のエントリでは、機能名は、ＩＰＴＶ監視である。機能識別子は８である。ハッシュ関数の引数は、機能識別子、送信元ＩＰアドレスである。メディエーションタイプはＳＩＰとＲＴＰの相関（ＩＰアドレス、ポート番号）である。この例では、機能識別子と送信元ＩＰアドレスを用いているが、送信先ＩＰアドレスでも良く、あるいは両方のＩＰアドレスを用いても良い。更に、送信元のＵＲＩと送信先ＵＲＩの両方あるいは一方を用いても良い。ハッシュ関数の入力を選択することにより、動的にスケーラビリティを制御できる。
　監視部２０４は、検知部１０３から受け取った通知メッセージ内の機能識別子を抽出し、抽出された機能識別子に対応するエントリがあるか否かを確認する。監視部２０４は、エントリが存在するときは、監視結果データバッファ２１３を参照して、監視結果データが格納されているか否かを判断する。また、監視部２０４は、そのエントリのメディエーションタイプのフィールドを参照して、通知メッセージ内の監視結果データと監視結果データバッファ２１３内の監視結果データとを用いてメディエーション処理を行う。この例では、監視部２０４は、抽出された機能識別子が７であるとき、ＩＰアドレスとポート番号を参照し、あるＳＩＰセッションに属するＲＴＰの情報があれば、それらをまとめて、ＶｏＩＰアプリケーションと同じセッションとして関連付けする。監視部２０４は、あるＳＩＰセッションに属するＲＴＰのデータが監視結果データバッファ２１３になければ、何もしない。更に、監視部２０４は、ＲＴＰのデータを含む通知メッセージを他の監視ノードから受信したときは、そのＲＴＰのデータを監視結果データバッファ２１３に格納する。
　ハッシュ関数の引数は、機能識別子であるので、監視部２０４は、ハッシュ関数ｈａｓｈ（７）を計算すると２４が得られる。こうして、メッセージが最終的に送り届けられるべき監視ノード（ルート監視ノードまたはコレクタ監視ノード）は、ノードＩＤが２４の監視ノードＮ２４であることがわかる。監視部２０４は、このノードＩＤと、メディエーション処理した結果をイベントとしてＤＨＴ／ＤＡＴ部２０３へ渡す。
　なお、ハッシュ関数が出力する値により、どのノードがコレクタノードになるかが決まる。そのため、あるノードがあるときはコレクタノードになり、メディエーションノードになる場合がある。更に、ある監視アプリケーションでコレクタになっているノードが別の監視アプリケーションのコレクタになる場合や、ある監視アプリケーションでメディエータになっているノードが別の監視アプリケーションのメディエータになる場合がある。つまり、複数の監視アプリケーションがネットワークを共有する。
　ＤＨＴ／ＤＡＴ部２０３は、図２に示される、予め決められたＤＡＴを格納するＤＡＴバッファ２１４を参照し、監視部２０４から受け取った処理結果をＤＨＴ／ＤＡＴ上の次の監視ノードへの送信準備を行う。ＤＨＴ／ＤＡＴ部２０３は、コレクタ監視ノードのノードＩＤと、自ノードＩＤに基づいてＤＡＴバッファ２１４のＤＡＴを参照し、次の送信先ノードを決定する。図２は、ＤＡＴの例を示した図である。例えば、ＤＨＴ／ＤＡＴ部２０３は、自ノードのＩＤが１８の場合、ノードＩＤ２２の監視ノードＮ２２へ、処理結果を含むメッセージを送れば良いことがわかる。次に、ＤＨＴ／ＤＡＴ部２０３は、送信先監視ノードのノードＩＤ２２に基づいてノードテーブル２１２を参照し、ノードＩＤにより特定されるノードのＩＰアドレスを取得する。図６は、ノードテーブル２１２の例であり、ＤＨＴ／ＤＡＴ部２０３は、ＩＤ２２に該当するＩＰアドレス１９２．１６８．０．２２へデータを送信すれば良いことがわかる。ＤＨＴ／ＤＡＴ部２０３は、メッセージと取得した送信先ＩＰアドレスを送信部２０５へ渡す。この例では、予め決められたＤＡＴに基づいて送信先が決定されているが、他の方法により送信先が決定されても良い。そのとき、送信先はその都度動的に決定されても良いし、予め決定されていても良い。
　送信部２０５は、ＤＨＴ／ＤＡＴ部２０３からのメッセージを、管理系ネットワークインタフェース部２０１を介して、送信先ＩＰアドレス宛に送信する。
　また、受信部２０２は、管理系ネットワークインタフェース部２０１を介して他の監視ノードからメッセージを受信すると、メッセージをＤＨＴ／ＤＡＴ部２０３を介して監視部２０４に渡す。監視部２０４は、上記と同様の処理を実行して、最終的な宛先監視ノードのノードＩＤを決定し、このノードＩＤと、メディエーション処理した結果をイベントとしてＤＨＴ／ＤＡＴ部２０３へ渡す。ＤＨＴ／ＤＡＴ部２０３は、ＤＡＴバッファ２１４のＤＡＴを参照して、監視部２０４から受け取った処理結果をＤＨＴ／ＤＡＴ上の次の監視ノードへの送信する準備を行う。
　次に、本発明の第１実施形態による分散監視システムの全体動作を説明する。ここでは、監視ノードＮ２，Ｎ６，Ｎ１６は、プローブノードであり、監視ノードＮ１６と、Ｎ２２はメディエータノードである。管理ノードＮ２４は、コレクタノードである。
　今、監視ネットワーク上に、通話Ａ，通話Ｂの２つのＶｏＩＰの通話が発生したとする。更に、通話Ａ、通話ＢのＳＩＰトラヒックがプローブＮ２を通過し、通話ＡのＲＴＰトラヒックがＮ１６を、通話ＢのＲＴＰトラヒックがＮ６を通過したとする。
　まず、通話Ａについて考える。監視ノードＮ２が、図４のルールテーブル１１１を用いて、ＳＩＰパケットを検知する。また、図５の監視テーブル２１１より、ＶｏＩＰ監視の機能識別子は７であることがわかる。ここで、ハッシュ関数ｈａｓｈ（７）＝２４より、コレクタ監視ノードのノードＩＤが２４であることがわかるので、図２のＤＡＴより、監視ノードＮ２は、監視ノードＮ１８に監視結果データと機能識別子を含むメッセージを送信する（ｓｔｏｒｅ（ｈａｓｈ（７））＝＜７，ＤＡＴＡ＞と表現する）。
　同様に、監視ノードＮ１６は、ＲＴＰパケットの検知を行い、コレクタ監視ノードＮ２４へ監視結果データと機能識別子を含むメッセージを送信する。
　監視ノードＮ２からメッセージを受け取った監視ノードＮ１８は、メッセージ内の機能識別子が、監視ノードＮ１８が持つ監視テーブル２１１に一致する機能識別子が存在するか否かを判定する。監視ノードＮ１８は、一致する機能識別子が存在する場合には、該当する機能識別子のメディエーションタイプに従って処理を行う。また、監視ノードＮ１８は、一致する機能識別子が存在しない場合には、ＤＡＴを参照して、受信されたメッセージを監視ノードＮ２２に転送する。監視ノードＮ１８からメッセージを受け取った監視ノードＮ２２も、監視ノード１８と同様の動作を行い、メッセージをコレクタ監視ノードＮ２４に転送する。このように処理することにより、コレクタである監視ノードＮ２４にメッセージが届く。監視ノードＮ２４は、ＳＩＰとＲＴＰの相関処理を行い、結果を保存する。これにより、ストリームの相関処理が可能になる。
　通話Ｂについても同様な処理を行う。監視ノードＮ２が、図４のルールテーブル１１１を用いて、通話ＢのＳＩＰパケットを検知する。また、図５の監視テーブル２１１より、ＶｏＩＰ監視の機能識別子は７であることがわかる。ここで、ハッシュ関数ｈａｓｈ（７）＝２４より、コレクタ監視ノードのノードＩＤが２４であることがわかるので、図２のＤＡＴより、監視ノードＮ２は監視ノードＮ１８に監視結果データと機能識別子を含むメッセージを送信する（ｓｔｏｒｅ（ｈａｓｈ（７））＝＜７，ＤＡＴＡ＞と表現する）。
　同様に、監視ノードＮ６は、ＲＴＰパケットの検知を行い、監視結果ノードＮ２２へ監視結果データと機能識別子を含むメッセージを送信する。
　監視ノードＮ２からメッセージを受け取った監視ノードＮ１８は、メッセージ内の機能識別子が、監視ノードＮ１８が持つ監視テーブル２１１に一致する機能識別子が存在するか否かを判定する。監視ノードＮ１８は、一致する機能識別子が存在する場合には、該当する機能識別子のメディエーションタイプに従って処理を行う。また、監視ノードＮ１８は、一致する機能識別子が存在しない場合には、ＤＡＴを参照して、受信されたメッセージを監視ノードＮ２２に転送する。
　監視ノードＮ２２は、監視ノードＮ１８からメッセージと、監視ノードＮ６から受信されるメッセージとに基づいて定まるメディエーションタイプに規定されたメディエーション処理（相関処理）を行い、その処理結果をコレクタ監視ノードＮ２４に送信する。コレクタ監視ノードＮ２４は、処理結果を受信して、格納する。これにより、ストリームの相関処理が可能になる。
　ここで、監視ノードＮ２２でＳＩＰの監視結果データとＲＴＰの監視結果データがそろうと、監視ノードＮ２２は、相関処理を行う。全ての監視結果データの相関がとれると、監視ノードＮ２４は処理結果を保存する。なお、ＤＡＴ上のどのノードでも（ｇｅｔ（ｈａｓｈ（７））＝７）を実行することができる。このｇｅｔ（）要求は、コレクタ監視ノードＮ２４に転送され、監視機能に関する全ての監視結果データをｇｅｔ（）要求元に送り返す。また、ハッシュ関数の引数に例えばＳＩＰユーザ名を指定することで、該当する監視データのみを取り出すことも可能である。
　なお、ハッシュにかける対象は、機能識別子だけでなく、機能識別子とアドレス情報でも良い。例えば、機能識別子と送信元ＩＰアドレス、あるいは送信元ＩＰアドレスと送信先ＩＰアドレスである。更に、送信元ＵＲＩと送信先ＵＲＩの両方あるいは一方を用いても良い。ハッシュ関数の入力を選択することにより、動的にスケーラビリティを制御できる。
　次に、本発明の第１実施形態による分散監視システムで使用される各監視ノードの動作を図７Ａ、図７Ｂを参照して説明する。
　まず、図７Ａを参照して、他のノードから受信したメッセージを他の監視ノードへ送信する動作について説明する。
　（１）ステップＳ１
　監視ノードＮ２が主信号系ネットワークインタフェース部１０１を介してネットワーク上を流れるパケットを受信すると、受信部１０２は、レイヤーＬ２、Ｌ３、Ｌ４の終端処理を行う。
　（２）ステップＳ２
　続いて、受信部１０２は、ＩＰアドレスやポート番号をもとにしたセッション管理を行い、ＴＣＰやＳＣＴＰパケットの場合はストリーム再構築を行い、パケットを検知部１０３に転送する。
　（３）ステップＳ３
　検知部１０３は、ルールテーブル１１１に登録されているルールに、受信パケットがマッチするか否かを確認する。図４の例では、検知部１０３は、パケットにＩＰアドレスやＳＩＰ－ＵＲＩなどが含まれているか否かを検査する。検知部１０３は、検査した結果としてルール（フィルタリング条件）に該当する場合は、監視部２０４へイベントを通知する。ルールテーブル１１１にルール（フィルタリング条件）を登録することで、監視アプリケーションはフィルタリング条件のデータにより予め決められる。
　（４）ステップＳ４
　監視部２０４は、検知部１０３から受け取ったイベントに関連するイベントを他ノードから受信しているか否かを確認する。
　（５）ステップＳ５
　監視部２０４は、他ノードからメッセージを受信している場合には、イベントを集約する。
　（６）ステップＳ６
　その後、監視部２０４は、監視テーブル２１１（図５）のメディエーションタイプに従って処理を行う。この例では、監視ノードＮ２は、他ノードからイベントを受け取っていないので、監視部２０４は、ノードＩＤ２を持つノードが検知したイベントのみをメディエーションタイプに従って処理する。監視部２０４は、コレクタ監視ノードＮ２４のノードＩＤとメディエーション処理した結果をＤＨＴ／ＤＡＴ部２０３へ渡す。
　（７）ステップＳ７
　続いて、ＤＨＴ／ＤＡＴ部２０３は、ＤＡＴバッファ２１４のＤＡＴを参照して、ＤＨＴ／ＤＡＴ上の次のノードへイベントを送信する準備を行う。ＤＨＴ／ＤＡＴ部２０３は、ＤＡＴバッファ２１４のＤＡＴを参照し、コレクタ監視ノードのノードＩＤから、メッセージの送信先のノードを決定する。図２の例では、ノードＩＤが１８の監視ノードＮ１８に送信することになる。ＤＨＴ／ＤＡＴ部２０３は、ノードテーブル２１２を参照してノードＩＤ１８のＩＰアドレスを取得し、送信部２０５へ渡す。
　（８）ステップＳ８
　送信部２０５は、管理系ネットワークインタフェース部２０１を介して、ＤＨＴ／ＤＡＴ部２０３より受け取ったイベントを次ノードのＩＰアドレス宛に送信する。
　次に、図７Ｂを参照して、他の監視ノードから送信されたメッセージを受信する動作について説明する。
　（１）ステップＳ１１
　他の監視ノードから送信されたメッセージは、管理系ネットワークインタフェース部２０１を介して受信部２０２により受信される。受信部２０２は、受信したメッセージをＤＨＴ／ＤＡＴ部２０３を介して監視部２０４に転送する。
　（２）ステップＳ１２
　監視部２０４は、ＤＨＴ／ＤＡＴ部２０３からメッセージを受け取ると、そのメッセージに監視結果データを含んでいるか否かを調べる。このとき、監視部２０４は、メッセージ内の機能識別子が監視テーブル２１１に登録されていれば、その機能識別子に基づいて、監視結果データ（例えば、ＲＴＰデータ）を、コレクタ監視ノードに転送するために必要なデータとともに、監視結果データバッファ２１３に格納する。
　（３）ステップＳ１３
　ＤＨＴ／ＤＡＴ部２０３から受信されるメッセージが監視結果データ（ＳＩＰデータ）を含んでいるとき、監視部２０４は、機能識別子に基づいて、監視結果データバッファ２１３に格納されているＲＴＰデータとＳＩＰデータの相関を取るメディエーション処理を実行する。その後、監視部２０４は、コレクタ監視ノードＮ２４のノードＩＤとメディエーション処理した結果をＤＨＴ／ＤＡＴ部２０３へ渡す。
　（４）ステップＳ１４
　続いて、ＤＨＴ／ＤＡＴ部２０３は、ＤＡＴバッファ２１４のＤＡＴを参照して、ＤＨＴ／ＤＡＴ上の次のノードへメッセージを送信する準備を行う。ＤＨＴ／ＤＡＴ部２０３は、ＤＡＴバッファ２１４のＤＡＴを参照し、コレクタ監視ノードのノードＩＤから、メッセージの送信先のノードを決定する。図２の例では、ノードＩＤが１８の監視ノードＮ１８に送信することになる。ＤＨＴ／ＤＡＴ部２０３は、ノードテーブル２１２を参照してノードＩＤ１８のＩＰアドレスを取得し、送信部２０５へ渡す。
　（５）ステップＳ１５
　送信部２０５は、管理系ネットワークインタフェース部２０１を介して、ＤＨＴ／ＤＡＴ部２０３より受け取ったイベントを次ノードのＩＰアドレス宛に送信する。
　＜第２実施形態＞
　次に、本発明の第２実施形態による分散監視システムについて説明する。
　図１は、各監視ノードが全機能を持っているが、図８に示される第２実施形態による分散監視システムにおけるノードは、検知を行う検知ノード１２０と監視を行う処理ノード２２０の２種類に分けられている。１つのノードに全機能を持つ場合と機能は変わらない。図３に示す各監視ノード５１－ｉを、検知ノード１２０と処理ノード２２０に分けた場合、図８のように１台の処理ノード２２０に１台または複数台の検知ノード１２０を接続することができる。
　図９は、検知ノード１２０と処理ノード２２０を示している。第２実施形態の検知ノード１２０において、主信号系ネットワークインタフェース部１０１、受信部１０２、検知部１０３、ルールテーブル１１１は、第１実施形態のそれらと同じである。従って、その構成と動作の説明は省略する。インタフェース部１０４は、送信機能を有し、受信パケットがルールテーブル１１１に登録されているルールにマッチするとき、監視ノードとなる処理ノード２２０にイベントメッセージを送信する。
　第１実施形態と同じく、検知部１０３は、ルールテーブル１１１に登録されているルール（フィルタリング条件）にマッチするか否かを確認する。監視対象にするアプリケーションは、フィルタリング条件に基づいて予め決められている。
　第２実施形態の処理ノード２２０は、管理系ネットワークインタフェース部２０１、受信部２０２、ＤＨＴ／ＤＡＴ部２０３、監視部２０４、送信部２０５、インタフェース部２０６、監視テーブル２１１、ノードテーブル２１２、監視結果データバッファ２１３、ＤＡＴバッファ２１４を有している。これらの構成要素のうち、インタフェース部２０６とＤＡＴバッファ２１４以外のものは、第１実施形態における対応するものと同じである。従って、それらの構成と動作の説明は省略する。インタフェース部２０６は、受信機能を有し、検知ノード１２０から送信されるイベントメッセージを受信し、監視部２０４に転送する。
　第１実施形態と同様に、ハッシュにかける対象は、機能識別子だけでなく、機能識別子とアドレス情報でも良い。例えば、機能識別子と送信元ＩＰアドレス、あるいは送信元ＩＰアドレスと送信先ＩＰアドレスである。更に、送信元ＵＲＩと送信先ＵＲＩの両方あるいは一方を用いても良い。ハッシュ関数の入力を選択することにより、動的にスケーラビリティを制御できる。
　第２実施形態による分散監視システムでも、メディエーション結果は、コレクタ監視ノードＮ２４に集められ、格納されている。
　第１実施形態と同様に、ハッシュ関数が出力する値により、どのノードがコレクタノードになるかが決まる。そのため、あるノードがあるときはコレクタノードになり、メディエーションノードになる場合がある。更に、ある監視アプリケーションでコレクタになっているノードが別の監視アプリケーションのコレクタになる場合や、ある監視アプリケーションでメディエータになっているノードが別の監視アプリケーションのメディエータになる場合がある。つまり、複数の監視アプリケーションがネットワークを共有する。
　上記の実施形態では、例えば、監視ノードＮ２２では、ＳＩＰトラヒックとＲＴＰトラヒックの２つの検出結果を関連付けて、その結果を監視ノードＮ２４に送信している。しかしながら、関連付けられるべきトラヒックの種類は２には限られない。例えば、トラヒックの種類は３以上であっても良い。その場合、１つの監視ノードで全ての種類のトラヒックの検出結果を関連付けているが、例えば第１ノードで、２つの種類のトラヒックの検出結果を関連付け、その結果と残りの種類のトラヒックの検出結果を関連付けても良い。このように、順番に関連付けを行いながら、メッセージが転送されても良い。
　また、ＤＡＴの階層の深さが一定になるように、ノードを配置すれば、より一層負荷分散を行うことができる。ＤＡＴに限定されず、他のデータアグリゲーションアルゴリズムを適用しても良い。
　また、本発明では、ＶｏＩＰ用通信システムの分散監視システムについて説明したが、この分散監視システムの異なる監視アプリケーションが、例えば通信システムのＱｏＳ（Ｑｕａｌｉｔｙ　ｏｆ　Ｓｅｒｖｉｃｅ）の監視とセキュリティの監視を同時に行なっても良い。
　また、各テーブルの各フィールドのデータを制限することにより、フィルター機能を実現し、望まれるトラヒックを監視することができる。
　また、本発明では、監視ノードがプローブノードとしてどのアプリケーションのトラヒックを監視して検出すべきかは、サーバ５３から配布されるルールテーブルで決まり、その検出結果についてのデータが、最終的に送られるべきかコレクタノードは、監視テーブルで決まり、具体的には監視テーブルに規定されたハッシュ関数値を計算してコレクタノードのノードＩＤが決定されている。そのノードＩＤとＤＡＴとから検出結果が次に送信されるべき監視ノードが決定されている。送信先の監視ノードが関連付けノードであれば、そのノードにより受信された複数の検出結果データが関連付けられ、上述と同様にして、次のノードが決定される。
　このように、関連付けられるべきアプリケーションごとに動的にサーバ５３から種々のテーブルを監視ノードに配布すれば、ノードに関してばかりでなく、時間的にも負荷を分散することができる。
　ルールテーブルや監視テーブルは、管理系ネットワークを介してノードに送付されているとして説明したが、サーバ５３からサーバ用ネットワーク（図示せず）を介して送付しても良い。この場合、監視ノードは、サーバとのインターフェースを、上記構成とは別個に有していることが望ましい。また、第２実施形態のように、監視ノードが検知ノードと処理ノードに分けられるときは、サーバ５３から検知ノードに対してルールテーブルや監視テーブルを送付し、更に、検知ノードのインターフェース部と処理ノードのインターフェース部とを介して、検知ノードから処理ノードに対して監視テーブルを送付するようにしても良い。
　第１、２の実施形態は、ＤＨＴ／ＤＡＴでネットワークを構成し、更にハッシュ値でコレクタを決定することにより、スケーラブル、フォールトトレラントでありながら異なる監視アプリケーションをサポートすることができる。
　こうして、本発明の監視システムでは、スケーラビリティとフォールトレランスを考慮し、制御プレーンとデータプレーンを使用するアプリケーションの監視のような、高度な機能の監視も可能となる。
　＜第３実施形態＞
　次に、本発明の第３実施形態による分散監視システムについて説明する。
　本実施形態では、更に、上記の各実施形態による分散監視システムにバックトラッキング機能を追加する事例について説明する。
　以下、ワーム検知を例に、バックトラッキング機能の構成、及び動作を説明する。
　ワーム検知の場合は、プローブがワームが発生するパケットを検知するフィルタを保持しているとする。プローブがワームが発生させたパケットを検知すると、ＤＡＴの仕組みを活用して、パケットの情報をメディエータ、コレクタにわたす。コレクタに、ワームのパケットを検知したというイベントが大量に集まった場合、オペレータは、バックトラッキング機能を使うことで、イベントに関するパケットの情報を確認することができる。
　図３の第１実施形態に、バックトラッキング機能のために、バックトラックテーブル５０１が追加した図１１を用いて構成の説明をする。
　なお、第２実施形態においても、同様にバックトラックテーブル５０１を図９の処理ノード２２０に追加することでバックトラッキング機能を提供できる。
　バックトラックテーブル５０１の例を図１２に示す。バックトラックテーブル５０１には、イベントの種類、下位ノードＩＤ、イベントのカウント、イベントを受信した最初の時刻、イベントを受信した最後の時刻が格納されている。コレクタにイベントが収集されるたびに、各ノードがそれぞれに持つバックトラックテーブル５０１に情報を格納していく。
　オペレータがコレクタにバックトラッキングの指示を出すと、コレクタは、該当イベントが経由したＤＡＴ上の下位ノードを確認し、コレクタが該当するＤＡＴ上の各ノードに通知する。監視部２０４が、バックトラックテーブル５０１を参照することで、該当イベントが経由したＤＡＴ上の下位ノードＩＤを確認することができる。また、ＤＨＴ／ＤＡＴ部２０３、送信部２０５、管理系インタフェース２０１を介して監視部２０４から、該当するＤＡＴ上の各ノードへ通知される。
　通知を受け取った下位のノードがプローブではない場合は、各ノードは、該当イベント経由したＤＡＴ上の更に下位のノードを確認し、各ノードはＤＡＴ上の該当ノードへ通知する。通知は、下位ノードの管理系インタフェース２０１、受信部２０２、ＤＨＴ／ＤＡＴ部２０３、を介して監視部２０４が受け取る。監視部２０４が自ノードはプローブでないと判断したら、同じように、バックトラックテーブル５０１を参照し、下位ノードのＩＤを確認し、該当するＤＡＴ上の各ノードへ通知される。
　各ノードは、上記の処理を、プローブに辿り着くまで繰り返し、自ノードがプローブである場合は、該当イベントに関連するパケットの情報を監視部２０４が検索する。続いて、パケットの情報をＤＡＴ上の上位ノードに送信する。コレクタに辿り着くまでパケット情報を送信し、コレクタに辿り着いたら処理は完了である。
　第１の実施例の処理フローを示す図７Ａにバックトラッキング処理を追加した図１３を用いて動作の説明をする。
　なお、第２の実施例においても同様にバックトラッキング処理を追加できる。
　（１）ステップＳ５１
　オペレータがコレクタにバックトラッキングの指示を出すと、コレクタは、該当イベントが経由したＤＡＴ上の下位ノードを確認する。
　（２）ステップＳ５２
　コレクタは、該当するＤＡＴ上の各ノードに通知する。
　（３）ステップＳ５３
　コレクタから通知を受け取った各ノードは、自ノードがプローブかどうか確認する。
　（４）ステップＳ５４
　各ノードは、自ノードがプローブではない場合は、該当イベントが経由したＤＡＴ上の更に下位のノードを確認する。
　（５）ステップＳ５５
　各ノードは、確認されたＤＡＴ上の該当ノードへ通知する。各ノードは、プローブに辿り着くまでこれらの処理を繰り返す。
　（６）ステップＳ５６
　各ノードは、自ノードがプローブである場合は、該当イベントに関連するパケットの情報を検索する。
　（７）ステップＳ５７
　続いて、プローブであるノードは、パケットの情報をＤＡＴ上の上位ノードに送信する。すなわち、ステップＳ５２～ステップＳ５５における通知の処理と逆の流れでパケット情報の送信の処理が行われる。
　（８）ステップＳ５８
　プローブであるノードは、コレクタに辿り着くまでパケット情報を送信し、コレクタに辿り着いたら処理を完了する。ここでは、プローブであるノードからパケット情報を受け取った各ノードは、自ノードがコレクタかどうか確認する。各ノードは、自ノードがコレクタではない場合は、該当イベントが経由したＤＡＴ上の更に上位のノードを確認する。各ノードは、確認されたＤＡＴ上の該当ノードへパケット情報を送信する。各ノードは、コレクタに辿り着くまでこれらの処理を繰り返す。
　以上のプロセスを踏むことで、オペレータは、イベントを検知したプローブがわかり、イベントに関連する情報を取得することが可能となる。
　最後に、図１４を参照して、本発明の各実施形態による分散監視システムを実現するためのハードウェア構成の一例について説明する。ここでは、各監視ノード５１－ｉの例として、計算機を想定している。この場合、図９に示す第２実施形態の検知ノード１２０及び処理ノード２２０は、それぞれ独立した計算機とする。すなわち、第２実施形態の検知ノード１２０及び処理ノード２２０の各々は、それぞれが各監視ノード５１－ｉと同じハードウェア構成であるものとする。
　本発明の各実施形態による分散監視システムのハードウェア構成は、プログラムの取得経路によって変化する。計算機が記憶媒体（メディア）からプログラムを取得する場合、分散監視システムのハードウェア構成は、記憶媒体１０００と、計算機２０００を含む。計算機がネットワークを介してプログラムを取得する場合、分散監視システムのハードウェア構成は、計算機２０００と、外部記憶装置３０００を含む。なお、どちらでも良い場合、分散監視システムのハードウェア構成は、記憶媒体１０００と、計算機２０００と、外部記憶装置３０００を含む。
　記憶媒体１０００は、各監視ノード５１－ｉとして計算機を機能させるための計算機読み取り可能なプログラム１５００を格納している。記憶媒体１０００の例として、ＤＶＤ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｋ）、ＵＳＢメモリ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ　ｍｅｍｏｒｙ）、ＳＤカード（Ｓｅｃｕｒｅ　Ｄｉｇｉｔａｌ　ｍｅｍｏｒｙ　ｃａｒｄ）、或いは他のメモリカード等が考えられる。なお、記憶媒体１０００は、ＵＳＢケーブル等を介して計算機に接続される電子装置でも良い。本質的に同じだからである。但し、実際には、これらの例に限定されない。
　計算機２０００は、プログラム１５００を実行することで、各監視ノード５１－ｉとして機能する電子装置である。計算機２０００の例として、ＰＣ（パソコン）、シンクライアント端末／サーバ、ワークステーション、メインフレーム、スーパーコンピュータ等のコンピュータを始め、家庭用ゲーム機、双方向テレビ、デジタルレコーダー、情報家電（ｉｎｆｏｒｍａｔｉｏｎ　ｈｏｍｅ　ａｐｐｌｉａｎｃｅ）、ＰＯＳ（Ｐｏｉｎｔ　ｏｆ　Ｓａｌｅ）端末、ＯＡ（Ｏｆｆｉｃｅ　Ａｕｔｏｍａｔｉｏｎ）機器等が考えられる。計算機２０００は、車両や船舶、航空機等の移動体に搭載されていても良い。但し、実際には、これらの例に限定されない。
　計算機２０００は、処理装置２００１と、主記憶装置２００２と、二次記憶装置２００３と、ネットワークインタフェース２００４と、記憶媒体挿入口２００５を備える。ここでは、処理装置２００１、主記憶装置２００２、二次記憶装置２００３、ネットワークインタフェース２００４、及び記憶媒体挿入口２００５は、互いにデータバスで接続されているものとする。なお、特に図示しないが、実際には、計算機２０００は、更に、入力装置や表示装置等を備えていても良い。
　処理装置２００１は、プログラム１５００を読み取り、実際にプログラム１５００を実行する。処理装置２００１の例として、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、マイクロプロセッサ（ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）、マイクロコントローラ、或いは、同様の機能を有する半導体集積回路（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ（ＩＣ））等が考えられる。但し、実際には、これらの例に限定されない。
　主記憶装置２００２は、処理装置２００１が実際にプログラム１５００を実行している時、プログラム１５００や処理中のデータを一時的に記憶する。主記憶装置２００２の例として、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ　Ｅｒａｓａｂｌｅ　ａｎｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、フラッシュメモリ、又はこれらの組み合わせ等が考えられる。但し、実際には、これらの例に限定されない。
　二次記憶装置２００３は、プログラム１５００を記憶し、処理装置２００１にプログラム１５００を提供する。ここでは、二次記憶装置２００３は、プログラム１５００、処理に使用するデータ、及び処理結果のデータを記憶する。なお、処理装置２００１が記憶媒体１０００から直接プログラム１５００をロードし、主記憶装置２００２にプログラム１５００を一時的に記憶して使用する場合、二次記憶装置２００３は、プログラム１５００を記憶しなくても良い。二次記憶装置２００３の例として、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）等が考えられる。二次記憶装置２００３は、必ずしも計算機２０００に内蔵されていなくても良い。例えば、二次記憶装置２００３は、周辺機器（外付けＨＤＤ等）でも良い。但し、実際には、これらの例に限定されない。
　ネットワークインタフェース２００４は、ネットワークを介して、計算機２０００と外部との間で通信を行う。ネットワークインタフェース２００４の例として、ＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）等のネットワークアダプタや、アンテナ等の通信装置、接続口（コネクタ）等の通信ポート等が考えられる。また、ネットワークの例として、インターネット、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、無線ＬＡＮ（Ｗｉｒｅｌｅｓｓ　ＬＡＮ）、バックボーン（Ｂａｃｋｂｏｎｅ）、ケーブルテレビ（ＣＡＴＶ）回線、固定電話網、携帯電話網、専用線（ｌｅａｓｅ　ｌｉｎｅ）、ＩｒＤＡ（Ｉｎｆｒａｒｅｄ　Ｄａｔａ　Ａｓｓｏｃｉａｔｉｏｎ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、シリアル通信回線等が考えられる。但し、実際には、これらの例に限定されない。
　記憶媒体挿入口２００５は、記憶媒体を配置することで、記憶媒体を読み取るための挿入口である。ここでは、記憶媒体挿入口２００５は、記憶媒体１０００が配置された際に、記憶媒体１０００に格納されたプログラム１５００を読み取る。記憶媒体挿入口２００５の例として、ＤＶＤ駆動装置（ＤＶＤドライブ）、ＵＳＢポート、ＳＤメモリーカードスロット、ＵＳＢ以外の規格に準拠した各種ケーブルを差し込む接続口（コネクタ）等が考えられる。但し、実際には、これらの例に限定されない。
　外部記憶装置３０００は、各監視ノード５１－ｉとして計算機を機能させるための計算機読み取り可能なプログラム１５００を格納している。外部記憶装置３０００の例として、外部のサーバ（Ｗｅｂサーバ、ファイルサーバ等）、ＤＡＳ（Ｄｉｒｅｃｔ　Ａｔｔａｃｈｅｄ　Ｓｔｏｒａｇｅ）、ＦＣ－ＳＡＮ（Ｆｉｂｒｅ　Ｃｈａｎｎｅｌ　－　Ｓｔｏｒａｇｅ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）、ＮＡＳ（Ｎｅｔｗｏｒｋ　Ａｔｔａｃｈｅｄ　Ｓｔｏｒａｇｅ）、ＩＰ－ＳＡＮ（ＩＰ　－　Ｓｔｏｒａｇｅ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）等が考えられる。なお、外部記憶装置３０００は、他の監視ノード５１－ｉやサーバ５３でも良い。但し、実際には、これらの例に限定されない。
　ここで、主信号系ネットワークインタフェース部１０１、受信部１０２、インタフェース部１０４、管理系ネットワークインタフェース部２０１、受信部２０２、送信部２０５、及びインタフェース部２０６は、ネットワークインタフェース２００４に該当する。また、検知部１０３、ＤＨＴ／ＤＡＴ部２０３、及び監視部２０４は、処理装置２００１に該当する。格納部１１０は、主記憶装置２００２及び二次記憶装置２００３に該当する。すなわち、主記憶装置２００２及び二次記憶装置２００３には、ルールテーブル１１１、監視テーブル２１１、ノードテーブル２１２、監視結果データバッファ２１３、ＤＡＴバッファ２１４、及びバックトラックテーブル５０１のうち必要なものが格納される。
　なお、処理装置２００１、主記憶装置２００２、二次記憶装置２００３、ネットワークインタフェース２００４、及び記憶媒体挿入口２００５の各々は、それぞれ同系統の装置の集合体でも良い。例えば、主信号系ネットワークインタフェース部１０１と管理系ネットワークインタフェース部２０１（及び、図９のインタフェース部１０４とインタフェース部２０６）には、それぞれ別個のＮＩＣを使用することが考えられる。この場合、個々のＮＩＣをまとめてネットワークインタフェース２００４と呼ぶ。また、計算機２０００がマルチＣＰＵの計算機である場合、個々のＣＰＵをまとめて処理装置２００１と呼ぶ。
　以上、本発明の実施形態を詳述してきたが、実際には、上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の変更があっても本発明に含まれる。
　尚、この出願は、２００９年２月１８日に出願された日本特許出願２００９－０３５９４２号、及び、２００９年９月１日に出願された日本特許出願２００９－２０１３００号を基礎とする優先権を主張し、その開示の全てを引用によりここに組み込む。

Claims (43)

  1. 　管理ネットワークに接続された複数のノードを含むネットワークにおいて、前記複数のノードの各々を構成する計算機により実施されるネットワーク分散監視方法であって、
    　前記複数のノードのうちの第１プローブノードの各々において、予め決められた複数の第１のアプリケーションのうちの対応する第１アプリケーションの対象ネットワーク上の第１トラヒックを検出して第１検出メッセージを生成することと、
    　前記対応する第１アプリケーションの種類を示す第１機能識別子だけに対する、あるいは前記第１機能識別子と前記第１トラヒックのアドレス情報とに対する第１ハッシュ値を決定することと、
    　前記第１ハッシュ値と前記第１トラヒックの第１ＤＡＴとから決定されるノード、前記第１ハッシュ値と前記管理ネットワークとに関して予め決められたノード、あるいは前記第１ハッシュ値と前記管理ネットワークとに関して動的に決定されるノードのうちのいずれかのノードに、前記第１検出メッセージを送信することと、
    　前記複数のノードのうちの第１メディエーションノードにおいて前記複数の第１の予め決められたアプリケーションに対する前記検出メッセージに第１メディエーション処理をして第１メディエーション処理結果を生成することと、
    　前記複数のノードのうちの第１コレクタノードにおいて前記第１メディエーション処理結果を格納することと
    を含む
    　ネットワーク分散監視方法。
  2. 　請求項１に記載のネットワーク分散監視方法であって、
    　前記第１検出メッセージを送信する際に、前記第１ハッシュ値から前記第１コレクタノードのノードＩＤを決定することと、
    　前記第１コレクタノードのノードＩＤと前記第１ＤＡＴとから送信先ノードを決定することと、
    　前記第１検出メッセージに、前記第１コレクタノードのノードＩＤを挿入することと
    を更に含む
    　ネットワーク分散監視方法。
  3. 　請求項２に記載のネットワーク分散監視方法であって、
    　前記第１検出メッセージに含まれる前記第１コレクタノードのノードＩＤと、前記第１メディエーションノードが有するＤＡＴとに基づいて決まるノードに前記第１メディエーション処理結果を含む第１処理結果メッセージを送信することと、
    　前記第１メディエーション処理結果を格納する際に、前記第１メディエーションノードから受信される前記第１処理結果メッセージの処理結果を格納することと
    を更に含む
    　ネットワーク分散監視方法。
  4. 　請求項１乃至３のいずれか一項に記載のネットワーク分散監視方法であって、
    　前記第１メディエーションノードは、前記第１コレクタノードと同一である
    　ネットワーク分散監視方法。
  5. 　請求項１乃至４のいずれか一項に記載のネットワーク分散監視方法であって、
    　前記複数のノードのうちの第２プローブノードの各々において、予め決められた複数の第２のアプリケーションのうちの対応する第２アプリケーションの前記対象ネットワーク上の第２トラヒックを検出して第２検出メッセージを生成することと、
    　前記対応する第２アプリケーションの種類を示す第２機能識別子だけに対応する、あるいは第２機能識別子と前記第２トラヒックのアドレス情報とに対応する第２ハッシュ値を決定することと、
    　前記第２ハッシュ値と前記管理ネットワークの第２ＤＡＴとから決定されるノードに、前記第２検出メッセージを送信することと、
    　前記複数のノードのうちの第２メディエーションノードにおいて前記複数の第２の予め決められたアプリケーションに対する前記検出メッセージに第２メディエーション処理をして第２メディエーション処理結果を生成することと、
    　前記複数のノードのうちの第２コレクタノードにおいて前記第２メディエーション処理結果を格納することと
    を更に含む
    　ネットワーク分散監視方法。
  6. 　請求項５に記載のネットワーク分散監視方法であって、
    　前記第２検出メッセージを送信する際に、前記第２ハッシュ値から前記第２コレクタノードのノードＩＤを決定することと、
    　前記第２コレクタノードのノードＩＤと前記第２ＤＡＴとから送信先ノードを決定することと、
    　前記第２検出メッセージに、前記第２コレクタノードのノードＩＤを挿入することと
    を更に含む
    　ネットワーク分散監視方法。
  7. 　請求項６に記載のネットワーク分散監視方法であって、
    　前記第２検出メッセージに含まれる前記第２コレクタノードのノードＩＤと、前記第２メディエーションノードが有するＤＡＴとに基づいて決まるノードに前記第２メディエーション処理結果を含む第２処理結果メッセージを送信することと、
    　前記第２メディエーション処理結果を格納する際に、前記第２メディエーションノードから受信される前記第２処理結果メッセージの処理結果を格納することと
    を更に含む
    　ネットワーク分散監視方法。
  8. 　請求項５乃至７のいずれか一項に記載のネットワーク分散監視方法であって、
    　前記第２コレクタノードは、前記第１コレクタノードと同一である
    　ネットワーク分散監視方法。
  9. 　請求項５乃至８のいずれか一項に記載のネットワーク分散監視方法であって、
    　前記複数の第１のアプリケーションと前記複数の第２のアプリケーションが前記管理ネットワークを共有することと、
    　前記管理ネットワークを介して、前記複数の第１のアプリケーションと前記複数の第２のアプリケーションを監視することと
    を更に含む
    　ネットワーク分散監視方法。
  10. 　請求項１乃至９のいずれか一項に記載のネットワーク分散監視方法であって、
    　前記複数の第１のアプリケーションを、フィルタリング条件のデータに基づいて予め決めること
    を更に含む
    　ネットワーク分散監視方法。
  11. 　請求項１乃至１０のいずれか一項に記載のネットワーク分散監視方法であって、
    　前記対象ネットワーク上の各トラヒックのアドレス情報は、当該トラヒックの送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ＵＲＩ、及び送信先ＵＲＩの少なくとも１つを含む
    　ネットワーク分散監視方法。
  12. 　請求項１乃至１１のいずれか一項に記載のネットワーク分散監視方法であって、
    　ＤＨＴ／ＤＡＴでネットワークを構成することと、
    　ハッシュ値でコレクタを決定することと、
    　スケーラブルでありフォールトトレラントであるネットワークにおいて、異なる監視アプリケーションをサポートすることと
    を更に含む
    　ネットワーク分散監視方法。
  13. 　請求項１乃至１２のいずれか一項に記載のネットワーク分散監視方法であって、
    　前記第１ハッシュ値を、ハッシュ関数により決定することと、
    　前記第１メディエーション処理と該ハッシュ関数の入力を選択することにより、スケーラビリティを動的に制御することと
    を更に含む
    　ネットワーク分散監視方法。
  14. 　請求項１乃至１３のいずれか一項に記載のネットワーク分散監視方法であって、
    　前記複数のノードのうちのコレクタノードに、あるイベントに関係するパケットをキャプチャした全てのプローブノードに対して、ＤＡＴ上のノードを辿って詳細情報を問い合わせる機能を持たせること
    を更に含む
    　ネットワーク分散監視方法。
  15. 　請求項１４に記載のネットワーク分散監視方法であって、
    　前記複数のノードのうち、あるイベントに関係するパケットをキャプチャした全てのプローブノードに、ＤＡＴ上のノードを辿って詳細情報を前記複数のノードのうちのコレクタノードまで送信する機能を持たせること
    を更に含む
    　ネットワーク分散監視方法。
  16. 　請求項１４又は１５に記載のネットワーク分散監視方法であって、
    　各ノードに、イベントの種類、下位ノードＩＤ、イベントのカウント、イベントを受信した最初の時刻、イベントを受信した最後の時刻、の情報を持たせること
    を更に含む
    　ネットワーク分散監視方法。
  17. 　管理ネットワークに接続された複数のノードを含むネットワークにおいて、前記複数のノードの各々として計算機を機能させるための計算機読み取り可能なプログラムであって、
    　プローブノードとして計算機を機能させる際に、予め決められた複数のアプリケーションのうちの対応するアプリケーションの対象ネットワーク上のトラヒックを検出して検出メッセージを生成するステップと、
    　前記対応するアプリケーションの種類を示す機能識別子だけに対する、あるいはそれと前記トラヒックのアドレス情報とに対するハッシュ値を決定するステップと、
    　前記ハッシュ値と前記管理ネットワークの前記トラヒックのＤＡＴとから決定されるノード、前記ハッシュ値と前記管理ネットワークに関して予め決められた、あるいは動的に決定されるノードのうちのいずれかのノードに、前記検出メッセージを送信するステップと
    を計算機に実行させるための
    　プログラム。
  18. 　請求項１７に記載のプログラムであって、
    　前記アドレス情報は、前記トラヒックの送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ＵＲＩ、及び送信先ＵＲＩの少なくとも１つを含む
    　プログラム。
  19. 　請求項１７又は１８に記載のプログラムであって、
    　前記検出メッセージを送信する際に、前記ハッシュ値からコレクタノードのノードＩＤを決定するステップと、
    　前記コレクタノードのノードＩＤと前記ＤＡＴとから送信先ノードを決定するステップと、
    　前記検出メッセージに、前記コレクタノードのノードＩＤを挿入するステップと
    を更に計算機に実行させるための
    　プログラム。
  20. 　請求項１９に記載のプログラムであって、
    　メディエーションノードとして前記計算機を機能させる際に、前記複数の予め決められたアプリケーションに対する前記検出メッセージにメディエーション処理をしてメディエーション処理結果を生成するステップ
    を更に計算機に実行させるための
    　プログラム。
  21. 　請求項２０に記載のプログラムであって、
    　前記コレクタノードとして前記計算機を機能させる際に、前記メディエーション処理結果を格納するステップ
    を更に計算機に実行させるための
    　プログラム。
  22. 　請求項２１に記載のプログラムであって、
    　前記検出メッセージに含まれる前記コレクタノードのノードＩＤと、前記メディエーションノードが有するＤＡＴとに基づいて決まるノードとして前記計算機を機能させる際に、前記メディエーション処理結果を含む処理結果メッセージを受信するステップと、
    　前記処理結果メッセージの前記メディエーション処理結果を格納するステップと
    を更に計算機に実行させるための
    　プログラム。
  23. 　請求項１７乃至２２のいずれか一項に記載のプログラムであって、
    　ＤＨＴ／ＤＡＴでネットワークを構成するステップと、
    　ハッシュ値でコレクタを決定するステップと、
    　スケーラブルでありフォールトトレラントであるネットワークにおいて、異なる監視アプリケーションをサポートするステップと
    を更に計算機に実行させるための
    　プログラム。
  24. 　請求項１７乃至２３のいずれか一項に記載のプログラムであって、
    　前記第１ハッシュ値を、ハッシュ関数により決定するステップと、
    　前記第１メディエーション処理と該ハッシュ関数の入力を選択することにより、スケーラビリティを動的に制御するステップと
    を更に計算機に実行させるための
    　プログラム。
  25. 　請求項１７乃至２４のいずれか一項に記載のプログラムであって、
    　前記複数のアプリケーションを、フィルタリング条件のデータに基づいて予め決めるステップ
    を更に計算機に実行させるための
    　プログラム。
  26. 　請求項１７乃至２５のいずれか一項に記載のプログラムであって、
    　前記複数のアプリケーションと他のノード上にある複数のアプリケーションとが前記管理ネットワークを共有するステップと、
    　前記管理ネットワークを介して、前記複数のアプリケーションと他のノード上にある複数のアプリケーションとを監視するステップと
    を更に計算機に実行させるための
    　プログラム。
  27. 　請求項１７乃至２６のいずれか一項に記載のプログラムであって、
    　前記コレクタノードとして計算機を機能させる際に、あるイベントに関係するパケットをキャプチャした全てのプローブノードに対して、ＤＡＴ上のノードを辿って詳細情報を問い合わせるステップ
    を更に計算機に実行させるための
    　プログラム。
  28. 　請求項２７に記載のプログラムであって、
    　あるイベントに関係するパケットをキャプチャした全てのプローブノードの各々として計算機を機能させる際に、ＤＡＴ上のノードを辿って詳細情報を前記複数のノードのうちのコレクタノードまで送信するステップ
    を更に計算機に実行させるための
    　プログラム。
  29. 　請求項２７又は２８に記載のプログラムであって、
    　各ノードに、イベントの種類、下位ノードＩＤ、イベントのカウント、イベントを受信した最初の時刻、イベントを受信した最後の時刻、の情報を持たせるステップと
    を更に計算機に実行させるための
    　プログラム。
  30. 　管理ネットワークと、
    　前記管理ネットワークに接続された複数のノードと
    を具備し、
    　前記複数のノードは、
    　予め決められた複数のアプリケーションのうちの対応する第１アプリケーションの対象ネットワーク上のトラヒックを検出して検出メッセージを生成し、前記対応するアプリケーションの種類を示す機能識別子だけに対する、あるいはそれと前記トラヒックのアドレス情報とに対するハッシュ値を決定し、前記ハッシュ値と前記トラヒックのＤＡＴとから決定されるノード、前記ハッシュ値と前記管理ネットワークとに関して予め決められたノード、あるいは前記ハッシュ値と前記管理ネットワークとに関して動的に決定されるノードのうちのいずれかのノードに、前記検出メッセージを送信するプローブノードと、　前記複数の予め決められたアプリケーションに対する前記検出メッセージにメディエーション処理をしてメディエーション処理結果を生成するメディエーションノードと、
    　前記メディエーション処理結果を格納するコレクタノードと
    を含む
    　ネットワーク分散監視システム。
  31. 　請求項３０に記載のネットワーク分散監視システムであって、
    　前記アドレス情報は、前記トラヒックの送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ＵＲＩ、及び送信先ＵＲＩの少なくとも１つを含む
    　ネットワーク分散監視システム。
  32. 　請求項３０又は３１に記載のネットワーク分散監視システムであって、
    　前記プローブノードは、前記ハッシュ値から前記コレクタノードのノードＩＤを決定し、前記コレクタノードのノードＩＤと前記ＤＡＴとから送信先ノードを決定し、
    　前記検出メッセージは、前記コレクタノードのノードＩＤを含んでいる
    　ネットワーク分散監視システム。
  33. 　請求項３２に記載のネットワーク分散監視システムであって、
    　前記メディエーションノードは、前記検出メッセージに含まれる前記コレクタノードのノードＩＤと、前記メディエーションノードが有するＤＡＴとに基づいて決まるノードに前記メディエーション処理結果を含む処理結果メッセージを送信し、
    　前記コレクタノードは、前記メディエーションノードから受信される前記処理結果メッセージの前記メディエーション処理結果を格納する
    　ネットワーク分散監視システム。
  34. 　請求項３０乃至３３のいずれか一項に記載のネットワーク分散監視システムであって、
    　前記メディエーションノードは、前記コレクタノードと同一である
    　ネットワーク分散監視システム。
  35. 　請求項３０乃至３４のいずれか一項に記載のネットワーク分散監視システムであって、
    　前記プローブノードは、
    　複数の予め決められたアプリケーションのうちの対応する第１アプリケーションの対象ネットワーク上のトラヒックを検出してトラヒック検出メッセージを生成する検知ノードと、
    　前記対応するアプリケーションの種類を示す機能識別子だけの、あるいはそれと前記トラヒックのアドレス情報とのハッシュ値と前記管理ネットワークの前記トラヒックのＤＡＴとから決定されるノードに前記検出メッセージを送信する処理ノードと
    を含む
    　ネットワーク分散監視システム。
  36. 　請求項３０乃至３５のいずれか一項に記載のネットワーク分散監視システムであって、
    　前記複数のノードの各々は、スケーラブルでありフォールトトレラントであるネットワークにおいて、異なる監視アプリケーションをサポートする
    　ネットワーク分散監視システム。
  37. 　請求項３０乃至３６のいずれか一項に記載のネットワーク分散監視システムであって、
    　前記第１ハッシュ値は、ハッシュ関数により定まり、
    　前記各メディエーションノードは、前記第１メディエーション処理と該ハッシュ関数の入力を選択することにより、スケーラビリティを動的に制御する
    　ネットワーク分散監視システム。
  38. 　請求項３０乃至３７のいずれか一項に記載のネットワーク分散監視システムであって、
    　前記各プローブノードは、フィルタリング条件のデータに基づいて複数のアプリケーションを予め決める
    　ネットワーク分散監視システム。
  39. 　請求項３０乃至３８のいずれか一項に記載のネットワーク分散監視システムであって、
    　前記複数のアプリケーションと他のノード上にある複数のアプリケーションとは、前記管理ネットワークを共有し、
    　前記各プローブノードは、前記管理ネットワークを介して、前記複数のアプリケーションと他のノード上にある複数のアプリケーションとを監視する
    　ネットワーク分散監視システム。
  40. 　請求項３０乃至３９のいずれか一項に記載のネットワーク分散監視システムであって、
    　前記コレクタノードは、あるイベントに関係するパケットをキャプチャした全てのプローブノードに対して、ＤＡＴ上のノードを辿って詳細情報を問い合わせる機能を持つ
    　ネットワーク分散監視システム。
  41. 　請求項４０に記載のネットワーク分散監視システムであって、
    　前記複数のノードのうち、あるイベントに関係するパケットをキャプチャした全てのプローブノードは、ＤＡＴ上のノードを辿って詳細情報を前記複数のノードのうちのコレクタノードまで送信する機能を持つ
    　ネットワーク分散監視システム。
  42. 　請求項４０又は４１に記載のネットワーク分散監視システムであって、
    　各ノードは、イベントの種類、下位ノードＩＤ、イベントのカウント、イベントを受信した最初の時刻、イベントを受信した最後の時刻、の情報を持つ
    　ネットワーク分散監視システム。
  43. 　請求項３０乃至４２のいずれか一項に記載のネットワーク分散監視システムにおいて、
    複数のノードの各々として使用される計算機。
PCT/JP2010/052181 2009-02-18 2010-02-15 分散監視システム、分散監視方法、及びプログラム WO2010095588A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2011500595A JP5578445B2 (ja) 2009-02-18 2010-02-15 分散監視システム、分散監視方法、及びプログラム
US13/148,527 US8560682B2 (en) 2009-02-18 2010-02-15 Distribution monitoring system, distribution monitoring method, and program
EP10743714.7A EP2400701A4 (en) 2009-02-18 2010-02-15 DECENTRALIZED MONITORING SYSTEM, DECENTRALIZED MONITORING METHOD AND PROGRAM

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2009035942 2009-02-18
JP2009-035942 2009-02-18
JP2009201300 2009-09-01
JP2009-201300 2009-09-01

Publications (1)

Publication Number Publication Date
WO2010095588A1 true WO2010095588A1 (ja) 2010-08-26

Family

ID=42633870

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2010/052181 WO2010095588A1 (ja) 2009-02-18 2010-02-15 分散監視システム、分散監視方法、及びプログラム

Country Status (4)

Country Link
US (1) US8560682B2 (ja)
EP (1) EP2400701A4 (ja)
JP (1) JP5578445B2 (ja)
WO (1) WO2010095588A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105978852A (zh) * 2016-04-14 2016-09-28 北京北信源软件股份有限公司 一种网络设备访问历史信息的确定方法、设备及交换机

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140012975A1 (en) * 2012-07-09 2014-01-09 National Applied Research Laboratories Computer cluster, management method and management system for the same
TWI461927B (zh) * 2012-10-15 2014-11-21 Nat Applied Res Laboratories 計算機叢集裝置、用於計算機叢集裝置的管理方法及系統
EP2840739A1 (en) * 2013-08-22 2015-02-25 EXFO Oy Displaying signal flows in network analysis tool
EP3086514B1 (en) * 2013-12-17 2024-06-12 Sony Group Corporation Communication apparatus, packet monitoring method, and computer program
CN106549825A (zh) * 2016-10-13 2017-03-29 重庆金美通信有限责任公司 一种通信网络路由转发表正确性测试的方法、系统和设备
CN109189403B (zh) * 2018-07-13 2022-04-22 超聚变数字技术有限公司 操作系统os批量安装方法、装置和网络设备
CN111556122B (zh) * 2020-04-23 2023-04-07 东电创新(北京)科技发展股份有限公司 一种基于窄带宽的视频传输存储方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008193221A (ja) * 2007-02-01 2008-08-21 Oki Electric Ind Co Ltd アプリケーション分類方法、ネットワーク異常検知方法、アプリケーション分類プログラム、ネットワーク異常検知プログラム、アプリケーション分類装置、ネットワーク異常検知装置
JP2008217135A (ja) * 2007-02-28 2008-09-18 Mitsubishi Electric Corp 情報管理装置
JP2008259047A (ja) * 2007-04-06 2008-10-23 Hitachi Ltd ネットワーク監視システムおよび集中監視装置

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CA2246867A1 (en) * 1997-09-26 1999-03-26 Robert Joseph Thornberry Jr. Internet performance network
US20020049815A1 (en) * 2000-04-14 2002-04-25 Kayshav Dattatri System for monitoring and managing information and information transfers in a computer network
JP3781663B2 (ja) 2001-11-21 2006-05-31 日本電気株式会社 トラヒック情報収集装置およびトラヒック情報収集方法およびプログラムおよび記録媒体
CA2548960C (en) * 2003-12-23 2012-07-10 Telecom Italia S.P.A. System and method for the automatic setup of switched circuits based on traffic prediction in a telecommunications network
US7313565B2 (en) * 2004-02-19 2007-12-25 Microsoft Corporation Data overlay, self-organized metadata overlay, and associated methods
JP2007013590A (ja) 2005-06-30 2007-01-18 Oki Electric Ind Co Ltd ネットワーク監視システム、ネットワーク監視装置及びプログラム
CN101442479B (zh) * 2007-11-22 2011-03-30 华为技术有限公司 P2p对等网络中节点失效后的路由更新方法、设备及系统
EP2377294B1 (en) * 2008-12-18 2017-05-17 Scality, SA Multipurpose storage system based upon a distributed hashing mechanism with transactional support and failover capability

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008193221A (ja) * 2007-02-01 2008-08-21 Oki Electric Ind Co Ltd アプリケーション分類方法、ネットワーク異常検知方法、アプリケーション分類プログラム、ネットワーク異常検知プログラム、アプリケーション分類装置、ネットワーク異常検知装置
JP2008217135A (ja) * 2007-02-28 2008-09-18 Mitsubishi Electric Corp 情報管理装置
JP2008259047A (ja) * 2007-04-06 2008-10-23 Hitachi Ltd ネットワーク監視システムおよび集中監視装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2400701A4 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105978852A (zh) * 2016-04-14 2016-09-28 北京北信源软件股份有限公司 一种网络设备访问历史信息的确定方法、设备及交换机

Also Published As

Publication number Publication date
EP2400701A1 (en) 2011-12-28
US8560682B2 (en) 2013-10-15
JP5578445B2 (ja) 2014-08-27
EP2400701A4 (en) 2015-10-07
US20110314146A1 (en) 2011-12-22
JPWO2010095588A1 (ja) 2012-08-23

Similar Documents

Publication Publication Date Title
JP5578445B2 (ja) 分散監視システム、分散監視方法、及びプログラム
US10917322B2 (en) Network traffic tracking using encapsulation protocol
US7921282B1 (en) Using SYN-ACK cookies within a TCP/IP protocol
US10033602B1 (en) Network health management using metrics from encapsulation protocol endpoints
JP2015518336A (ja) Ｄｉａｍｅｔｅｒ過負荷制御を実行するための方法、システムおよびコンピュータ読取可能媒体
US7830816B1 (en) Network access and quality of service troubleshooting
JP2016536939A (ja) Ｄｉａｍｅｔｅｒ負荷および過負荷情報ならびに仮想化のための方法、システムおよびコンピュータ読取可能媒体
US9269080B2 (en) Hierarchical publish/subscribe system
JP5673805B2 (ja) ネットワーク装置、通信システム、異常トラヒックの検出方法およびプログラム
JP2015535669A (ja) 暗号化されたセッションのモニタリング
CN113472646B (zh) 一种数据传输方法、节点、网络管理器及系统
US20030023877A1 (en) System and method of managing data transmission loads
JP2007004361A (ja) 負荷分散装置
JP5871908B2 (ja) ネットワーク内部のデータ通信を制御するための方法およびシステム
WO2023185828A1 (zh) 流量控制方法、网关及交换机
US7783784B1 (en) Method and apparatus for adaptive selection of algorithms to load and spread traffic on an aggregation of network interface cards
JP5519079B2 (ja) クラウドベースのメディア適合化および変換サービスのための方法およびシステム
JP2020141191A (ja) データ取得装置、クライアントサーバシステム、データ取得方法、及び、プログラム
JP7151901B2 (ja) スライスゲートウェイ、品質集計装置、検査パケット処理方法、及びプログラム
JP5292335B2 (ja) 接続先ノード選択方法及び装置及びプログラム
TWI572167B (zh) 頻寬整合網路裝置、主機板與網路卡
JP5572850B2 (ja) メール配信システム、メール配信方法、及びプログラム
JP2004166023A (ja) 通信路監視システム
Bryan et al. Internet Engineering Task Force (IETF) H. Song Request for Comments: 7851 X. Jiang Category: Standards Track R. Even
EP2680537B1 (en) Hierarchical publish/subscribe system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10743714

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2011500595

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 13148527

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2010743714

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE