WO2020230265A1 - パケットキャプチャ装置および方法 - Google Patents

パケットキャプチャ装置および方法 Download PDF

Info

Publication number
WO2020230265A1
WO2020230265A1 PCT/JP2019/019123 JP2019019123W WO2020230265A1 WO 2020230265 A1 WO2020230265 A1 WO 2020230265A1 JP 2019019123 W JP2019019123 W JP 2019019123W WO 2020230265 A1 WO2020230265 A1 WO 2020230265A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
communication failure
cumulative
address
unit
Prior art date
Application number
PCT/JP2019/019123
Other languages
English (en)
French (fr)
Inventor
周平 吉田
祐太 右近
晶子 大輝
奈美子 池田
新田　高庸
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US17/604,943 priority Critical patent/US11683255B2/en
Priority to PCT/JP2019/019123 priority patent/WO2020230265A1/ja
Priority to JP2021519098A priority patent/JP7160189B2/ja
Publication of WO2020230265A1 publication Critical patent/WO2020230265A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/12—Network monitoring probes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/069—Management of faults, events, alarms or notifications using logs of notifications; Post-processing of notifications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0805—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability
    • H04L43/0811—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability by checking connectivity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0823—Errors, e.g. transmission errors
    • H04L43/0829—Packet loss
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0823—Errors, e.g. transmission errors
    • H04L43/0847—Transmission error
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H04L43/0882—Utilisation of link capacity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0686—Additional information in the notification, e.g. enhancement of specific meta-data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring

Definitions

  • the present invention relates to a packet capture device and a method for collecting packets during the period before and after the occurrence of a communication failure in a network.
  • IP Internet Protocol
  • packets flowing through a network with a communication failure are captured and saved using a capture device, and the field information in the header of each saved packet data is stored in Wireshark, etc.
  • the flow refers to a group of packets defined by a combination of field information in the packet header, such as a source IP address and a destination IP address.
  • the traffic of the network in which the communication failure has occurred is captured for a certain period of time using a capture device.
  • the general procedure is to save and check whether the saved data includes the location where the failure occurred. In this procedure, it takes time to confirm whether or not the saved data includes the location where the failure occurred. Also, in the case of a communication failure with low reproducibility, the saved data does not always include the traffic at the time of the failure, and the above procedure may need to be repeated multiple times. The analysis may take additional time.
  • Non-Patent Document 1 proposes a method of realizing automatic storage of abnormal traffic by combining an intrusion detection system and a traffic monitoring system.
  • Non-Patent Document 2 introduces a packet capture product equipped with a function of capturing and storing packets for a certain period before and after the trigger by using an SNMP (Simple Network Management Protocol) trap reception as a trigger.
  • SNMP Simple Network Management Protocol
  • Non-Patent Documents 1 and 2 packet saving is automatically started when a network communication failure is detected, so that it is not necessary to capture and save the packet again after detecting the communication failure. Therefore, when analyzing the communication failure with low reproducibility described above, it is possible to solve the problem that the packet storage needs to be repeated a plurality of times, which hinders the efficiency of the analysis.
  • Non-Patent Documents 1 and 2 it is possible to capture and store packets in a period before and after the timing of receiving a notification via a network such as an SNMP trap.
  • packet capture is started before the network communication failure is detected, and the captured packet data is stored in a PCAP (packet capture) format file at any time. Is output as.
  • the PCAP format file in which the packet data of the period before and after the failure detection time (for example, several minutes before and after) is recorded is prohibited from being overwritten.
  • packets in the period before and after the timing when the SNMP trap is received are stored.
  • Non-Patent Document 2 when the captured packet data is output as a file at any time, it is necessary to secure a sufficient storage capacity such as HDD (Hard Disk Drive) / SSD (Solid State Drive). For example, if you want to capture a packet by detecting a communication failure with an extremely short failure period, such as microburst traffic (data that increases rapidly in the time width of the microsecond order), the packet data output as a file Among them, the ratio of packet data including the failure occurrence period required for analysis becomes extremely small, and the utilization efficiency of the storage capacity becomes extremely low.
  • HDD Hard Disk Drive
  • SSD Solid State Drive
  • the failure detection function and the capture function are installed in the same capture device so that the capture device can detect the failure, and the packet is captured from the failure detection timing. It is conceivable to reduce the delay time until the start timing of.
  • the packet capture is started before the communication failure is detected, and the packet capture is continued for a certain period after the failure detection, so that the period before and after the failure detection
  • the buffer memory may be filled with packet data after failure detection, and packets before failure detection may not be captured. was there.
  • the present invention has been made to solve the above problems, and an object of the present invention is to provide a packet capture device and a method capable of guaranteeing packet collection during the period before and after a failure with the minimum necessary memory configuration. And.
  • the packet capture device of the present invention receives a packet receiving unit configured to receive a packet from a network, a packet holding unit configured to store the received packet in a memory and temporarily hold the received packet.
  • a failure detection unit configured to determine whether or not a communication failure has occurred in the network based on packet information, and a time point when the communication failure is detected when a communication failure is detected by the failure detection unit.
  • the capture control unit configured to determine the operation stop address so as to guarantee the retention of the packet for the period before and after the above, and the storage destination address of the packet in the memory reaches the operation stop address, or the communication.
  • the packet holding unit has the memory having a ring buffer configuration, and when a packet is received by the packet receiving unit, before the detection of the communication failure is performed. In this case, or when the storage destination address does not reach the operation stop address and the elapsed time from the detection time of the communication failure is less than the waiting time, the packet received by the packet receiving unit is stored in the memory. It is characterized in that it is stored in the area of the destination address and the storage destination address is updated.
  • the capture control unit is preset to guarantee the retention of the storage destination address at the time of detecting the communication failure and the packet before the detection of the communication failure. It is characterized in that the operation stop address is determined based on the length of the warranty period.
  • the failure detection unit is used when the cumulative number of packets received by the packet receiving unit per fixed cycle exceeds the cumulative packet number upper limit threshold, or the above. When the cumulative number of bytes per fixed cycle of the packet received by the packet receiving unit exceeds the cumulative byte number upper limit threshold, it is determined that a communication failure has occurred in the network.
  • one configuration example of the packet capture device of the present invention includes a flow identification unit configured to identify a flow to which a packet received by the packet reception unit belongs, and a cumulative total of packets received by the packet reception unit.
  • the capture data generation unit uses the operation stop address as a start address, and packets stored in the memory area up to the address obtained by subtracting 1 from the storage destination address. Is output as the captured data.
  • the packet capture device of the present invention is characterized in that it further includes a parameter setting unit configured so that the waiting time can be set.
  • the packet capture method of the present invention includes a first step of receiving a packet from a network, a second step of determining whether or not a communication failure has occurred in the network based on the information of the received packet, and a second step.
  • a communication failure is detected in the second step, a third step of determining an operation stop address so as to guarantee retention of packets for a period before and after the detection of the communication failure, and the first step.
  • the fourth step of storing the packet received in the above in memory and temporarily holding the packet, and a predetermined wait from the time when the storage destination address of the packet in the memory reaches the operation stop address or the time when the communication failure is detected. It is characterized by including a fifth step of outputting a packet stored in the memory as capture data when a time or more has elapsed.
  • the operation stop address is determined so that the retention of the packet for the period before and after the detection of the communication failure is guaranteed, and the memory packet storage destination address operates.
  • the memory packet storage destination address Before and after the failure occurs in a memory-saving system configuration by outputting the packet stored in the memory as capture data when the stop address is reached or when a predetermined waiting time or more has elapsed from the time when the communication failure was detected. It is possible to guarantee the collection of packets for a period.
  • FIG. 1 is a diagram illustrating an outline of the operation of the packet capture device of the present invention.
  • FIG. 2 is a block diagram showing a configuration of a packet capture device according to the first embodiment of the present invention.
  • FIG. 3 is a diagram showing a physical configuration of a packet storage memory according to the first embodiment of the present invention.
  • FIG. 4 is a diagram showing a logical configuration of a packet storage memory according to the first embodiment of the present invention.
  • FIG. 5 is a diagram illustrating an example of a method of storing a packet in the packet storage memory according to the first embodiment of the present invention.
  • FIG. 6 is a diagram illustrating another example of a method of storing a packet in the packet storage memory according to the first embodiment of the present invention.
  • FIG. 1 is a diagram illustrating an outline of the operation of the packet capture device of the present invention.
  • FIG. 2 is a block diagram showing a configuration of a packet capture device according to the first embodiment of the present invention.
  • FIG. 3 is
  • FIG. 7 is a flowchart illustrating the operation of the packet capture device according to the first embodiment of the present invention.
  • FIG. 8 is a flowchart illustrating the operation of the failure detection unit of the packet capture device according to the first embodiment of the present invention.
  • FIG. 9 is a block diagram showing a configuration of a packet capture device according to a second embodiment of the present invention.
  • FIG. 10 is a diagram showing details of flow information held by the flow information holding unit of the packet capture device according to the second embodiment of the present invention.
  • FIG. 11 is a diagram showing details of cumulative information held by the cumulative information holding unit of the packet capture device according to the second embodiment of the present invention.
  • FIG. 12 is a flowchart illustrating the operation of the packet capture device according to the second embodiment of the present invention.
  • FIG. 13 is a flowchart illustrating the operation of the packet capture device according to the second embodiment of the present invention.
  • FIG. 14 is a flowchart illustrating the operation of the failure detection unit of the packet capture device according to the second embodiment of the present invention.
  • FIG. 15 is a block diagram showing a configuration example of a computer that realizes the packet capture device according to the first and second embodiments of the present invention.
  • FIG. 1 is a diagram illustrating an outline of the operation of the packet capture device of the present invention.
  • the DP in FIG. 1 shows the time when a communication failure is detected.
  • 50 in FIG. 1 shows a period in which packet retention is guaranteed before the DP at the time of detection of a communication failure
  • 101 indicates a period in which packet retention is guaranteed in a period after the DP at the time of detection. Shows the period.
  • the maximum period after the DP at the time of detection that the packet retention is guaranteed is ⁇ seconds.
  • FIG. 2 is a block diagram showing a configuration of a packet capture device according to the first embodiment of the present invention.
  • the packet capture device is a network based on the packet receiving unit 12 that receives the packet 11 from the connected network, the packet holding unit 13 that stores the received packet in the memory and temporarily holds the received packet, and the information of the received packet.
  • a failure detection unit 14 that determines whether or not a communication failure has occurred in the data at regular intervals, a cumulative information holding unit 15 that holds the cumulative number of received packets and the cumulative number of bytes, and a communication failure detection unit 14 by the failure detection unit 14.
  • Capture control unit 16 that determines the operation stop address so that packet retention for the period before and after the detection of communication failure is guaranteed when is detected, parameter setting unit 17 that sets various parameters, and packet retention. It is composed of a capture data generation unit 18 that outputs a packet held in the unit 13 as capture data in, for example, a PCAP format.
  • the packet holding unit 13 internally has a packet storage memory 130 that functions as a ring buffer that temporarily holds received packets.
  • the physical configuration of the packet storage memory 130 is shown in FIG. FIG. 4 shows a logical configuration in which the end and the beginning of the packet storage memory 130 shown in FIG. 3 are connected.
  • FIGS. 5 and 6 show an outline of a method of storing a packet in the packet storage memory 130.
  • the packet storage memory 130 functions as a ring buffer.
  • the packet holding unit 13 stores packets in order from the start address of the packet storage memory 130, and when the packet is stored up to the last address of the packet storage memory 130, the packet holding unit 13 returns to the start address of the packet storage memory 130 and stores the stored data. Store the packet to overwrite.
  • the operation of the packet holding unit 13 is continued until a communication failure is detected. After the communication failure is detected, the packet holding unit 13 terminates the operation when any of the following two termination conditions is satisfied.
  • the first condition is that a predetermined waiting time ⁇ seconds has elapsed from the DP at the time of detecting the communication failure.
  • the second condition is that the storage destination address of the packet storage memory 130 has reached the operation stop address SA described later. The method of determining the operation stop address SA will be described later.
  • FIG. 5 shows an example of stopping under the first condition.
  • the packet holding unit 13 has waited ⁇ from the communication failure detection time point DP before the storage destination address of the packet storage memory 130 reaches the operation stop address SA, so that time point (time point when the address is 0xXXX3) ) Stops operation.
  • FIG. 6 shows an example of stopping under the second condition.
  • the packet holding unit 13 has reached the operation stop address SA (address 0x0002) of the packet storage memory 130 before the waiting time ⁇ elapses from the DP at the time of detecting the communication failure. It has stopped working at that point.
  • 100 in FIGS. 5 and 6 indicates a period before the DP at the time of detection of the communication failure
  • 101 indicates a period after the DP at the time of detection.
  • 102 of FIGS. 5 and 6 shows a capture guarantee period for guaranteeing that the packet is retained in the period before the DP at the time of detecting the communication failure.
  • FIGS. 7 and 8 are for the purpose of explaining the control operation of the present embodiment in an easy-to-understand manner, and do not limit the control procedure and the mounting method of the present invention.
  • the packet receiving unit 12 receives the packet 11 from the network to which the packet capture device is connected (step S20 in FIG. 7).
  • the packet holding unit 13 increases the packet storage destination address of the packet storage memory 130 by 1 in response to the packet reception by the packet receiving unit 12 (step S21 in FIG. 7).
  • the failure detection unit 14 increases the cumulative number of packets held in the cumulative information holding unit 15 by 1 according to the packet reception in the packet receiving unit 12, and receives the cumulative number of bytes held in the cumulative information holding unit 15. Increase by the number of bytes in (FIG. 7, step S22).
  • the failure detection unit 14 is held by the cumulative information holding unit 15 by comparing the cumulative number of packets held in the cumulative information holding unit 15 with the cumulative packet number upper limit threshold PH at regular intervals. By comparing the cumulative number of bytes and the cumulative byte number upper limit threshold BH at regular intervals, it is determined whether or not a communication failure has occurred in the network (step S32 in FIG. 8).
  • the user can set an arbitrary cumulative packet number upper limit threshold PH and cumulative byte number upper limit threshold BH for the packet capture device.
  • the cumulative packet number upper limit threshold PH and the cumulative byte number upper limit threshold BH input by the user are set by the parameter setting unit 17.
  • the failure detection unit 14 determines that a communication failure has occurred in the network when the cumulative number of packets exceeds the cumulative packet number upper limit threshold PH or when the cumulative byte number exceeds the cumulative byte number upper limit threshold BH. (Yes in step S33 of FIG. 8), and outputs a failure detection notification signal to the capture control unit 16 (step S34 of FIG. 8).
  • step S33 when the failure detection unit 14 determines that the cumulative number of packets is equal to or less than the cumulative packet number upper limit threshold PH and the cumulative number of bytes is equal to or less than the cumulative byte number upper limit threshold BH, and no communication failure has occurred in the network (step S33). No) or when the failure detection notification signal is output (step S34), the cumulative number of packets and the cumulative number of bytes held in the cumulative information holding unit 15 are initialized to 0 (step S35 in FIG. 8).
  • the communication failure detection method may be other than the above method. For example, in the failure detection unit 14, when the cumulative number of packets held in the cumulative information holding unit 15 is lower than the cumulative packet number lower limit threshold PL, or the cumulative number of bytes held in the cumulative information holding unit 15 is the cumulative number of bytes. If it is below the lower limit threshold BL, it may be determined that a communication failure has occurred in the network (step S33).
  • the failure detection unit 14 has the fault detection unit 14 that the cumulative packet number is equal to or more than the cumulative packet number lower limit threshold PL, the cumulative packet number upper limit threshold PH or less, and the cumulative byte number is cumulative bytes. If the number lower limit threshold BL or more and the cumulative byte number upper limit threshold BH or less, it is determined that no communication failure has occurred in the network.
  • the user can set an arbitrary cumulative packet number lower limit threshold PL and cumulative byte number lower limit threshold BL for the packet capture device.
  • the cumulative packet number lower limit threshold PL and the cumulative byte number lower limit threshold BL input by the user are set by the parameter setting unit 17.
  • the failure detection unit 14 performs the above steps S32 to S35 at regular intervals.
  • the capture control unit 16 determines whether or not a failure detection notification signal has been received from the failure detection unit 14 (step S23 in FIG. 7). When the capture control unit 16 receives the failure detection notification signal, it determines the operation stop address SA (step S24 in FIG. 7).
  • the capture control unit 16 subtracts the number N of addresses for the preset capture guarantee period from the storage destination address PA of the packet storage memory 130 at the time of receiving the failure detection notification signal (PA). Let ⁇ N) be the operation stop address SA.
  • the capture control unit 16 has a negative subtraction result (PA-N) obtained by subtracting the number of addresses N for the capture guarantee period from the current storage destination address PA (from the start address 0x0000 in FIGS. 5 and 6). (When it becomes the previous address value), the value obtained by further subtracting the absolute value of the subtraction result (PA-N) from the last address (0xXXX4 in FIGS. 5 and 6) of the packet storage memory 130 is referred to as the operation stop address SA. To do.
  • PA-N negative subtraction result obtained by subtracting the number of addresses N for the capture guarantee period from the current storage destination address PA (from the start address 0x0000 in FIGS. 5 and 6).
  • the user can set any length of the capture guarantee period for the packet capture device.
  • the capture guarantee period (number of addresses) input by the user is set by the parameter setting unit 17.
  • the capture guarantee period may be defined as a ratio to the total memory capacity, not the number of addresses.
  • the operation stop address SA is determined only once when a communication failure is detected.
  • the capture control unit 16 determines whether or not the communication failure has been detected (step S25 in FIG. 7). The capture control unit 16 determines that the communication failure has been detected when the failure detection notification signal has already been received from the failure detection unit 14, and determines that the communication failure has not been detected when the failure detection notification signal has not been received.
  • the packet holding unit 13 stores the packet received by the packet receiving unit 12 in the area of the current storage address PA of the packet storage memory 130 (FIG. FIG. 7 Step S26), the process returns to step S20.
  • the capture control unit 16 determines whether or not the current storage address PA of the packet storage memory 130 has reached the operation stop address SA (step S27 in FIG. 7).
  • the capture data generation unit 18 uses the operation stop address SA of the packet storage memory 130 as the output start address as the output start address. Packets stored in the area from (PA-1) to (PA-1) are converted into, for example, a PCAP format file in the order from SA to (PA-1), and the PCAP format file is output as capture data 19 ( FIG. 7 Step S28). After outputting the capture data 19, the packet capture device returns to step S20.
  • the capture control unit 16 receives a failure detection notification signal (when a communication failure is detected). It is determined whether or not the waiting time ⁇ or more has elapsed from DP) (step S29 in FIG. 7).
  • the user can set an arbitrary waiting time ⁇ for the packet capture device.
  • the value of the waiting time ⁇ input by the user is set by the parameter setting unit 17.
  • the total of the number of addresses corresponding to the waiting time ⁇ and the number of addresses corresponding to the capture guarantee period must be equal to or less than the number of addresses from the start address to the last address of the packet storage memory 130.
  • the capture data generation unit 18 uses the operation stop address SA of the packet storage memory 130 as the output start address and starts from the output start address (PA-).
  • the packets stored in the area up to 1) are converted into, for example, a PCAP format file in the order from SA to (PA-1), and the PCAP format file is output as capture data 19 (step S28).
  • the packet holding unit 13 stores the packet received by the packet receiving unit 12 in the area of the current storage destination address PA of the packet storage memory 130. (FIG. 7, step S29), and the process returns to step S20.
  • a failure is detected for each traffic flow.
  • the flow refers to a group of packets defined by a combination of field information in the packet header, such as a source IP address and a destination IP address.
  • failure determination was performed for the entire traffic, but in this embodiment, after analyzing the header of the received packet to identify the flow, whether or not a failure has occurred for each flow. Judgment is made.
  • FIG. 9 is a block diagram showing the configuration of the packet capture device according to this embodiment.
  • the packet capture device of this embodiment has a packet receiving unit 32 that receives a packet 31 from a connected network, a header analysis unit 33 that extracts the header of the received packet, and header information extracted by the header analysis unit 33.
  • a flow identification unit 34 that identifies the flow to which the packet belongs, a flow information holding unit 35 that holds the flow information, and a packet holding unit 36 that stores the received packet in the memory and temporarily holds the received packet.
  • a failure detection unit 37 that determines whether or not a communication failure has occurred in the network based on the information of each flow of received packets at regular intervals, and cumulative information that holds the cumulative number of packets and the cumulative number of bytes for each flow.
  • holding unit 38 capture control unit 39 that determines the operation stop address so that when a communication failure is detected by the failure detection unit 37, the holding of packets for the period before and after the detection of the communication failure is guaranteed. It is composed of a parameter setting unit 310 for setting parameters and a capture data generation unit 311 for outputting a packet held in the packet holding unit 36 as capture data in, for example, a PCAP format.
  • FIG. 10 shows the details of the flow information held by the flow information holding unit 35.
  • the flow information includes a flow ID, which is a unique identification number assigned to each flow, a source MAC (Media Access Control) address, a destination MAC address, a source IP address, and a destination.
  • the IP address is recorded for each flow.
  • the flow information held by the flow information holding unit 35 may be other than that shown in FIG.
  • header field information such as source port number, destination port number, protocol type, VLAN ID (Virtual Local Area Network IDentifier), VXLAN ID (Virtual eXtensible Local Area Network IDentifier) is used as flow information. May be.
  • the details of the cumulative information held by the cumulative information holding unit 38 are shown in FIG.
  • the cumulative information holding unit 38 holds the cumulative packet number and the cumulative byte number as in the cumulative information holding unit 15 of the first embodiment, but in addition to the cumulative packet number and the cumulative byte number of the entire received traffic, the flow. It also holds the cumulative number of packets and the cumulative number of bytes in a unit.
  • the packet holding unit 36 has a packet storage memory 130 inside as in the packet holding unit 13 of the first embodiment.
  • FIGS. 12 to 14 are for the purpose of explaining the control operation of the present embodiment in an easy-to-understand manner, and do not limit the control procedure and the mounting method of the present invention.
  • the packet receiving unit 32 receives the packet 31 from the network to which the packet capture device is connected (step S40 in FIG. 12).
  • the header analysis unit 33 analyzes the header of the packet received by the packet reception unit 12 and extracts the field information of the header (step S41 in FIG. 12).
  • the flow identification unit 34 identifies the flow to which the packet received by the packet reception unit 12 belongs based on the field information of the header extracted by the header analysis unit 33 (step S42 in FIG. 12). Specifically, the flow identification unit 34 searches whether the information of the flow to which the received packet belongs is already registered in the flow information holding unit 35, and if the information of the corresponding flow is registered, this The flow ID is acquired from the flow information holding unit 35.
  • the source MAC address, the destination MAC address, the source IP address, and the destination IP address of the received packet match the flow information registered in the flow information holding unit 35. For example, it is determined that the received packet belongs to the registered flow, and the ID of this flow is acquired.
  • the flow identification unit 34 determines that the flow information to which the received packet belongs is not registered in the flow information holding unit 35, that is, the source MAC address, destination MAC address, source IP address, and destination IP address of the received packet. If the flow information matching the above is not registered in the flow information holding unit 35, it is determined that the received packet belongs to the new flow.
  • the flow identification unit 34 determines an ID to be assigned to this new flow, and determines the determined ID and the source MAC address of the received packet. And the destination MAC address, the source IP address, and the destination IP address are registered in the flow information holding unit 35 as new flow information (step S44 in FIG. 12).
  • the packet holding unit 36 increases the packet storage destination address of the packet storage memory 130 by 1 after the flow identification unit 34 identifies the flow (step S45 in FIG. 12).
  • the flow identification unit 34 notifies the failure detection unit 37 of the ID of the flow to which the received packet belongs and the number of bytes of the received packet.
  • the failure detection unit 37 searches for whether or not the flow ID notified from the flow identification unit 34 is registered in the cumulative information holding unit 38, and if the corresponding flow ID is registered (in FIG. 12 step S46). No), the cumulative number of packets of the corresponding flow ID held in the cumulative information holding unit 38 is increased by 1, and the cumulative number of bytes of the corresponding flow ID held in the cumulative information holding unit 38 is notified from the flow identification unit 34. The number of bytes of the received packet is increased (step S47 in FIG. 12).
  • the failure detection unit 37 increases the cumulative number of packets of the entire traffic held in the cumulative information holding unit 38 by 1, and increases the cumulative number of bytes of the entire traffic held in the cumulative information holding unit 38 from the flow identification unit 34. Increase by the number of bytes of the notified received packet (step S47).
  • the failure detection unit 37 determines that the received packet belongs to the new flow.
  • the cumulative number of packets of the flow is 1, and the cumulative number of bytes of the flow is the number of bytes of the received packet notified from the flow identification unit 34.
  • the failure detection unit 37 newly registers the cumulative number of packets and the cumulative number of bytes in the cumulative information holding unit 38 in association with the flow ID notified from the flow identification unit 34 (step S48 in FIG. 12).
  • the failure detection unit 37 increases the cumulative number of packets of the entire traffic held in the cumulative information holding unit 38 by 1, and increases the cumulative number of bytes of the entire traffic held in the cumulative information holding unit 38 from the flow identification unit 34. Increase by the number of bytes of the notified received packet (step S48).
  • the failure detection unit 37 is held by the cumulative information holding unit 38 by comparing the cumulative number of packets for each flow held in the cumulative information holding unit 38 with the cumulative packet number upper limit threshold value FPH at regular intervals, or by the cumulative information holding unit 38. By comparing the cumulative number of bytes for each flow and the cumulative byte number upper limit threshold FBH at regular intervals, it is determined whether or not a communication failure has occurred in the network (step S62 in FIG. 14).
  • the user can set the cumulative packet number upper limit threshold FPH for each flow and the cumulative byte number upper limit threshold FBH for each flow for the packet capture device.
  • the cumulative packet number upper limit threshold value FPH and the cumulative byte number upper limit threshold value FBH input by the user are set by the parameter setting unit 310.
  • the failure detection unit 37 accumulates at least one of the cumulative packets for each flow when the cumulative number of packets for the flow exceeds the cumulative packet number upper limit threshold value FPH, or for the cumulative number of bytes for each flow.
  • FPH cumulative packet number upper limit threshold
  • FBH cumulative packet number upper limit threshold
  • the failure detection unit 37 causes a communication failure in the network when all the cumulative number of packets for each flow is equal to or less than the cumulative packet number upper limit threshold FPH and all the cumulative bytes for each flow are equal to or less than the cumulative byte number upper limit threshold FBH. If it is determined that this is not the case (No in step S63), or if a failure detection notification signal is output (step S64), the total number of cumulative packets and the total number of bytes held in the cumulative information holding unit 38 are calculated. It is initialized to 0 (step S65 in FIG. 14).
  • the communication failure detection method may be other than the above method.
  • the failure detection unit 37 when the cumulative number of packets in at least one of the cumulative packets for each flow held in the cumulative information holding unit 38 is less than the cumulative packet number lower limit threshold FPL, or the cumulative information holding unit If the cumulative number of bytes of at least one flow among the cumulative number of bytes held in 38 for each flow is less than the cumulative byte number lower limit threshold FBL, it may be determined that the network has a communication failure (). Step S63).
  • the failure detection unit 37 detects that the cumulative number of packets for each flow is equal to or greater than the cumulative packet number lower limit threshold FPL and equal to or less than the cumulative packet number upper limit threshold FPH, and for each flow. If the cumulative number of bytes is equal to or higher than the cumulative byte number lower limit threshold value FBL and equal to or lower than the cumulative byte number upper limit threshold value FBH, it is determined that no communication failure has occurred in the network.
  • the user can set the cumulative packet number lower limit threshold value FPL for each flow and the cumulative byte number lower limit threshold value FBL for each flow to the packet capture device.
  • the cumulative packet number lower limit threshold value FPL and the cumulative byte number lower limit threshold value FBL input by the user are set by the parameter setting unit 310.
  • the fault detection unit 37 performs the above steps S62 to S65 at regular intervals.
  • the capture control unit 39 determines whether or not a failure detection notification signal has been received from the failure detection unit 37 (step S49 in FIG. 12).
  • the capture control unit 39 determines the operation stop address SA when the failure detection notification signal is received (step S50 in FIG. 12).
  • the method for determining the operation stop address SA is the same as that in the first embodiment. Similar to the first embodiment, the capture guarantee period (number of addresses) is set in advance by the parameter setting unit 310.
  • the capture control unit 39 determines whether or not the communication failure has been detected (step S51 in FIG. 13). The capture control unit 39 determines that the communication failure has been detected when the failure detection notification signal has already been received from the failure detection unit 37, and determines that the communication failure has not been detected when the failure detection notification signal has not been received.
  • the packet holding unit 36 stores the packet received by the packet receiving unit 32 in the area of the current storage destination address PA of the packet storage memory 130 (FIG. FIG. 13 Step S52), the process returns to step S40.
  • the capture control unit 39 determines whether or not the current storage address PA of the packet storage memory 130 has reached the operation stop address SA (step S53 in FIG. 13).
  • the capture data generation unit 311 uses the operation stop address SA of the packet storage memory 130 as the output start address and starts from the output start address (PA-1).
  • the packets stored in the area up to () are converted into, for example, a PCAP format file in the order from SA to (PA-1), and the PCAP format file is output as capture data 312 (step S54 in FIG. 13). .. After outputting the capture data 312, the packet capture device returns to step S40.
  • the capture control unit 39 waits from the time when the failure detection notification signal is received (communication failure detection time DP). It is determined whether or not ⁇ or more has passed (step S55 in FIG. 13). Similar to the first embodiment, the waiting time ⁇ is set in advance by the parameter setting unit 310.
  • the capture data generation unit 311 uses the operation stop address SA of the packet storage memory 130 as the output start address and starts from the output start address (PA-).
  • the packets stored in the area up to 1) are converted into, for example, a PCAP format file in the order from SA to (PA-1), and the PCAP format file is output as capture data 19 (step S54).
  • the packet holding unit 36 stores the packet received by the packet receiving unit 32 in the area of the current storage destination address PA of the packet storage memory 130. (FIG. 13 step S56), and the process returns to step S40.
  • a communication failure can be detected for each flow.
  • the packet capture device described in the first and second embodiments can be realized by a computer provided with a CPU (Central Processing Unit), a storage device, and an interface, and a program that controls these hardware resources.
  • a computer provided with a CPU (Central Processing Unit), a storage device, and an interface, and a program that controls these hardware resources.
  • CPU Central Processing Unit
  • storage device e.g., a hard disk drive
  • interface e.g., a program that controls these hardware resources.
  • the computer includes a CPU 200, a storage device 201, and an interface device (hereinafter, abbreviated as I / F) 202.
  • the circuits of the packet receiving units 12 and 32 and the device of the output destination of the captured data are connected to the I / F 202.
  • a program for realizing the packet capture method of the present invention is stored in the storage device 201.
  • the CPU 200 executes the processes described in the first and second embodiments according to the program stored in the storage device 201.
  • a part of the packet capture device described in the first and second embodiments may be configured by hardware logic such as an ASIC (application specific integrated circuit) or an FPGA (field-programmable gate array).
  • the present invention can be applied to a technique for analyzing the cause of a communication failure such as burst traffic in an IP network.

Abstract

パケットキャプチャ装置は、ネットワークからパケットを受信するパケット受信部（１２）と、受信したパケットをメモリに格納して一時的に保持するパケット保持部（１３）と、受信したパケットの情報を基にネットワークに通信障害が発生しているかどうかを判定する障害検知部（１４）と、通信障害が検知されたときに、通信障害の検知時点の前後期間のパケットの保持が保証されるように動作停止アドレスを決定するキャプチャ制御部（１６）と、メモリのパケットの格納先アドレスが動作停止アドレスに到達したとき、または通信障害の検知時点から所定の待ち時間以上が経過したときに、メモリに格納されたパケットをキャプチャデータとして出力するキャプチャデータ生成部（１８）とを備える。

Description

パケットキャプチャ装置および方法
　本発明は、ネットワークにおける通信障害発生の前後期間のパケットを採取するパケットキャプチャ装置および方法に関するものである。
　データセンタ内のネットワークやクラウドサービスを提供するネットワークなどのＩＰ（Internet Protocol）ネットワークでは、パケットロスやバーストトラフィックなどの通信障害が発生するとサービス品質の低下を招く。このため、ＩＰネットワークでは、障害発生原因を特定し、迅速に障害復旧を行うことが重要である。
　一般的なネットワーク障害解析の方法としては、通信障害が発生しているネットワークを流れるパケットをキャプチャ装置を用いて取り込んで保存し、保存した各パケットデータのヘッダのフィールド情報をワイヤシャーク（Wireshark）などの解析ツールを用いて確認することで、どのフローのトラフィックが通信障害の原因となっているかを特定する方法が挙げられる。ここで、フローとは、送信元ＩＰアドレスや宛先ＩＰアドレスなどの、パケットヘッダのフィールド情報の組み合わせで定義されるパケットのグループのことを言う。
　上記の障害解析の方法を人手で行う場合、ネットワークに通信障害が発生していることを何らかの手段で確認した後に、通信障害が発生しているネットワークのトラフィックをキャプチャ装置を用いて一定期間取り込んで保存し、保存したデータの中に障害発生箇所が含まれているか否かを確認するという手順が一般的である。この手順において、保存したデータの中に障害発生箇所が含まれているか否かを確認する工程には時間を要する。また、再現性の低い通信障害の場合には保存したデータの中に障害発生時のトラフィックが含まれているとは限らず、上記の手順を複数回繰り返す必要がある可能性があるため、障害解析には更なる時間を要する可能性がある。
　このような従来の障害解析の方法の問題を解決することを目的とした技術が提案されている（非特許文献１，２参照）。例えば非特許文献１では、侵入検知システムとトラフィックモニタリングシステムとを組み合わせることで、異常トラヒックの自動保存を実現する方法が提案されている。また、非特許文献２では、ＳＮＭＰ（Simple Network Management Protocol）トラップ受信をトリガとして、そのトリガの前後一定期間のパケットを取り込んで保存する機能が搭載されたパケットキャプチャ製品が紹介されている。
　非特許文献１，２に開示された方法では、ネットワークの通信障害を検知したときに自動的にパケット保存を開始するので、通信障害を検知した後で改めてパケットを取り込んで保存する必要が無い。このため、上記で述べた再現性が低い通信障害の解析を行う場合に、パケットの保存を複数回繰り返す必要があるという、解析の効率化を妨げる問題を解消することが可能である。
　また、非特許文献１，２に開示された方法では、ＳＮＭＰトラップなどの、ネットワーク経由の通知を受信したタイミングの前後期間のパケットを取り込んで保存することを可能としている。具体的には、非特許文献１，２に開示された方法では、ネットワークの通信障害を検知する以前からパケットの取り込みを開始しておき、取り込んだパケットデータを随時ＰＣＡＰ（packet capture）形式のファイルとして出力している。そして、ＳＮＭＰトラップを受信すると、障害検知時刻の前後期間（例えば前後数分）のパケットデータが記録されたＰＣＡＰ形式ファイルを上書き禁止とする。以上により、非特許文献１，２に開示された方法では、ＳＮＭＰトラップを受信したタイミングの前後期間のパケットが保存される。
　しかしながら、ネットワーク経由で通知を行うＳＮＭＰでは、実際の障害発生タイミングからＳＮＭＰトラップを受信するまでに遅延が生じる可能性がある。このため、遅延時間を考慮して、パケットを保持するバッファの容量を余分に確保する必要がある。データセンタ内ネットワークのような高帯域なネットワークを監視対象とする場合、例え数秒の遅延時間であったとしても、余分に確保しなければならないバッファの容量は膨大となる。
　また、非特許文献２のように、取り込んだパケットデータをファイルとして随時出力する場合、ＨＤＤ（Hard Disk Drive）／ＳＳＤ（Solid State Drive）などのストレージの容量を十分に確保する必要がある。例えば、マイクロバーストトラフィック（マイクロ秒オーダの時間幅で急激に増加するデータ）のような、障害発生期間が極めて短い通信障害を検知してパケットを取り込みたい場合は、ファイルとして出力されるパケットデータの内、解析に必要な障害発生期間が含まれるパケットデータの割合は極めて小さくなり、ストレージ容量の利用効率が極めて低くなる。
　ストレージの容量増大の回避策としては、障害検知機能とキャプチャ機能とを同一のキャプチャ装置内に搭載するなどして、キャプチャ装置側で障害を検知できるようにすることで、障害検知タイミングからパケット取り込みの開始タイミングまでの遅延時間を削減することが考えられる。
　しかしながら、非特許文献２に開示された装置と同様に、通信障害を検知する以前からパケットの取り込みを開始しておき、障害検知後一定期間パケットの取り込みを継続することで、障害検知の前後期間のパケットを保存する方法を、省メモリな構成で実現しようとすると、以下のような課題がある。
　すなわち、省メモリな構成では、バーストトラフィックのように一時的に入力レートが増加した際に、バッファメモリが障害検知後のパケットデータで埋め尽くされてしまい、障害検知前のパケットを取り込めない可能性があった。
中村豊他，"侵入検知とモニタリングシステムを組み合わせた異常トラヒックの自動保存"，情報処理学会研究報告，Vol.2011-IOT-12，No.38，2011/3/1 "100GbE S2D フルレートパケットキャプチャ／解析装置　Synesis（登録商標）"，株式会社東陽テクニカ，インターネット＜http://www.kyoei-ele.com/products/index.php/prod/info/299/file/7.pdf＞
　本発明は、上記課題を解決するためになされたもので、必要最小限のメモリ構成で障害発生の前後期間のパケットの採取を保証することが可能なパケットキャプチャ装置および方法を提供することを目的とする。
　本発明のパケットキャプチャ装置は、ネットワークからパケットを受信するように構成されたパケット受信部と、受信したパケットをメモリに格納して一時的に保持するように構成されたパケット保持部と、受信したパケットの情報を基に前記ネットワークに通信障害が発生しているかどうかを判定するように構成された障害検知部と、前記障害検知部によって通信障害が検知されたときに、前記通信障害の検知時点の前後期間のパケットの保持が保証されるように動作停止アドレスを決定するように構成されたキャプチャ制御部と、前記メモリのパケットの格納先アドレスが前記動作停止アドレスに到達したとき、または前記通信障害の検知時点から所定の待ち時間以上が経過したときに、前記メモリに格納されたパケットをキャプチャデータとして出力するように構成されたキャプチャデータ生成部とを備えることを特徴とするものである。
　また、本発明のパケットキャプチャ装置の１構成例において、前記パケット保持部は、リングバッファ構成の前記メモリを有し、前記パケット受信部によってパケットが受信されたときに、前記通信障害の検知前の場合、または前記格納先アドレスが前記動作停止アドレスに到達せず、前記通信障害の検知時点からの経過時間が前記待ち時間未満の場合に、前記パケット受信部によって受信されたパケットを前記メモリの格納先アドレスの領域に格納して、前記格納先アドレスを更新することを特徴とするものである。
　また、本発明のパケットキャプチャ装置の１構成例において、前記キャプチャ制御部は、前記通信障害の検知時点における前記格納先アドレスと、前記通信障害の検知前のパケットの保持を保証する予め設定された保証期間の長さとに基づいて、前記動作停止アドレスを決定することを特徴とするものである。
　また、本発明のパケットキャプチャ装置の１構成例において、前記障害検知部は、前記パケット受信部によって受信されたパケットの一定周期あたりの累積パケット数が累積パケット数上限閾値を超えた場合、または前記パケット受信部によって受信されたパケットの一定周期あたりの累積バイト数が累積バイト数上限閾値を超えた場合に、前記ネットワークに通信障害が発生していると判定することを特徴とするものである。
　また、本発明のパケットキャプチャ装置の１構成例は、前記パケット受信部によって受信されたパケットが属するフローを識別するように構成されたフロー識別部と、前記パケット受信部によって受信されたパケットの累積パケット数および累積バイト数をフロー毎に保持するように構成された累積情報保持部とをさらに備え、前記障害検知部は、一定周期あたりのフロー毎の前記累積パケット数が累積パケット数上限閾値を超えた場合、または一定周期あたりのフロー毎の前記累積バイト数が累積バイト数上限閾値を超えた場合に、前記ネットワークに通信障害が発生していると判定することを特徴とするものである。
　また、本発明のパケットキャプチャ装置の１構成例において、前記キャプチャデータ生成部は、前記動作停止アドレスを開始アドレスとして、前記格納先アドレスから１引いたアドレスまでの前記メモリの領域に格納されたパケットを前記キャプチャデータとして出力することを特徴とするものである。
　また、本発明のパケットキャプチャ装置の１構成例は、前記待ち時間を設定可能なように構成されたパラメータ設定部をさらに備えることを特徴とするものである。
　また、本発明のパケットキャプチャ方法は、ネットワークからパケットを受信する第１のステップと、受信したパケットの情報を基に前記ネットワークに通信障害が発生しているかどうかを判定する第２のステップと、前記第２のステップで通信障害を検知したときに、前記通信障害の検知時点の前後期間のパケットの保持が保証されるように動作停止アドレスを決定する第３のステップと、前記第１のステップで受信したパケットをメモリに格納して一時的に保持する第４のステップと、前記メモリのパケットの格納先アドレスが前記動作停止アドレスに到達したとき、または前記通信障害の検知時点から所定の待ち時間以上が経過したときに、前記メモリに格納されたパケットをキャプチャデータとして出力する第５のステップとを含むことを特徴とするものである。
　本発明によれば、ネットワークの通信障害を検知したときに、通信障害の検知時点の前後期間のパケットの保持が保証されるように動作停止アドレスを決定し、メモリのパケットの格納先アドレスが動作停止アドレスに到達したとき、または通信障害の検知時点から所定の待ち時間以上が経過したときに、メモリに格納されたパケットをキャプチャデータとして出力することにより、省メモリなシステム構成で障害発生の前後期間のパケットの採取を保証することが可能となる。
図１は、本発明のパケットキャプチャ装置の動作の概要を説明する図である。 図２は、本発明の第１の実施例に係るパケットキャプチャ装置の構成を示すブロック図である。 図３は、本発明の第１の実施例に係るパケット格納メモリの物理構成を示す図である。 図４は、本発明の第１の実施例に係るパケット格納メモリの論理構成を示す図である。 図５は、本発明の第１の実施例に係るパケット格納メモリへのパケットの格納方法の１例を説明する図である。 図６は、本発明の第１の実施例に係るパケット格納メモリへのパケットの格納方法の別の例を説明する図である。 図７は、本発明の第１の実施例に係るパケットキャプチャ装置の動作を説明するフローチャートである。 図８は、本発明の第１の実施例に係るパケットキャプチャ装置の障害検知部の動作を説明するフローチャートである。 図９は、本発明の第２の実施例に係るパケットキャプチャ装置の構成を示すブロック図である。 図１０は、本発明の第２の実施例に係るパケットキャプチャ装置のフロー情報保持部で保持されるフロー情報の詳細を示す図である。 図１１は、本発明の第２の実施例に係るパケットキャプチャ装置の累積情報保持部で保持される累積情報の詳細を示す図である。 図１２は、本発明の第２の実施例に係るパケットキャプチャ装置の動作を説明するフローチャートである。 図１３は、本発明の第２の実施例に係るパケットキャプチャ装置の動作を説明するフローチャートである。 図１４は、本発明の第２の実施例に係るパケットキャプチャ装置の障害検知部の動作を説明するフローチャートである。 図１５は、本発明の第１、第２の実施例に係るパケットキャプチャ装置を実現するコンピュータの構成例を示すブロック図である。
［本発明の概要］
　図１は本発明のパケットキャプチャ装置の動作の概要を説明する図である。本発明のパケットキャプチャ装置では、通信量が閾値ＴＨを超えたときに、ネットワークに通信障害が発生したと判定する。図１のＤＰは通信障害の検知時点を示している。また、図１の５０は通信障害の検知時点ＤＰよりも前の期間のうちパケットの保持が保証される期間を示し、１０１は検知時点ＤＰよりも後の期間のうちパケットの保持が保証される期間を示している。検知時点ＤＰよりも後の期間のうちパケットの保持が保証される期間は、最大でα秒である。
［第１の実施例］
　以下、本発明の第１の実施例について詳細に説明する。図２は本発明の第１の実施例に係るパケットキャプチャ装置の構成を示すブロック図である。パケットキャプチャ装置は、接続されたネットワークからパケット１１を受信するパケット受信部１２と、受信したパケットをメモリに格納して一時的に保持するパケット保持部１３と、受信したパケットの情報を基にネットワークに通信障害が発生しているかどうかを一定周期毎に判定する障害検知部１４と、受信パケットの累積パケット数と累積バイト数とを保持する累積情報保持部１５と、障害検知部１４によって通信障害が検知されたときに、通信障害の検知時点の前後期間のパケットの保持が保証されるように動作停止アドレスを決定するキャプチャ制御部１６と、各種パラメータを設定するパラメータ設定部１７と、パケット保持部１３に保持されたパケットを例えばＰＣＡＰ形式などのキャプチャデータとしてファイル出力するキャプチャデータ生成部１８とから構成される。
　パケット保持部１３は、受信したパケットを一時的に保持するリングバッファとして機能するパケット格納メモリ１３０を内部に有する。
　パケット格納メモリ１３０の物理構成を図３に示す。図３に示したパケット格納メモリ１３０の末尾と先頭を繋げた論理構成を図４に示す。
　また、パケット格納メモリ１３０へのパケットの格納方法の概要を図５、図６に示す。上記のように、パケット格納メモリ１３０は、リングバッファとして機能する。パケット保持部１３は、パケット格納メモリ１３０の先頭アドレスから順にパケットを格納し、パケット格納メモリ１３０の最後尾アドレスまでパケットを格納した場合は、パケット格納メモリ１３０の先頭アドレスに戻って格納済みのデータを上書きするようにパケットを格納する。
　パケット保持部１３の動作は、通信障害が検知されるまで継続される。パケット保持部１３は、通信障害が検知された後に、以下の２つの終了条件のうちいずれかが成立した場合に動作を終了する。第１の条件は、通信障害の検知時点ＤＰから所定の待ち時間α秒が経過したという条件である。第２の条件は、パケット格納メモリ１３０の格納先アドレスが後述する動作停止アドレスＳＡに達したという条件である。動作停止アドレスＳＡの決定方法については後述する。
　図５は第１の条件で停止する例を示している。この場合、パケット保持部１３は、パケット格納メモリ１３０の格納先アドレスが動作停止アドレスＳＡに到達する前に、通信障害の検知時点ＤＰから待ち時間αが経過したため、その時点（アドレスが０ｘＸＸＸ３の時点）で動作を停止している。
　図６は第２の条件で停止する例を示している。図６の例では、パケット保持部１３は、通信障害の検知時点ＤＰから待ち時間αが経過する前に、パケット格納メモリ１３０の格納先アドレスが動作停止アドレスＳＡ（アドレス０ｘ０００２）に到達したため、その時点で動作を停止している。
　なお、図５、図６の１００は通信障害の検知時点ＤＰよりも前の期間を示し、１０１は検知時点ＤＰよりも後の期間を示している。また、図５、図６の１０２は、通信障害の検知時点ＤＰよりも前の期間のうち、パケットが保持されていることを保証するキャプチャ保証期間を示している。
　次に、本実施例のパケットキャプチャ装置の動作を図７、図８を用いて説明する。なお、図７、図８は、あくまで本実施例の制御動作を分り易く説明するためのものであり、本発明の制御手順や実装方法を制限するものでは無い。
　まず、パケット受信部１２は、パケットキャプチャ装置が接続されたネットワークからパケット１１を受信する（図７ステップＳ２０）。
　次に、パケット保持部１３は、パケット受信部１２におけるパケット受信に応じて、パケット格納メモリ１３０のパケットの格納先アドレスを１増やす（図７ステップＳ２１）。
　障害検知部１４は、パケット受信部１２におけるパケット受信に応じて、累積情報保持部１５に保持されている累積パケット数を１増やし、累積情報保持部１５に保持されている累積バイト数を受信パケットのバイト数分だけ増やす（図７ステップＳ２２）。
　また、障害検知部１４は、累積情報保持部１５に保持されている累積パケット数と累積パケット数上限閾値ＰＨとを一定周期毎に比較することにより、あるいは累積情報保持部１５に保持されている累積バイト数と累積バイト数上限閾値ＢＨとを一定周期毎に比較することにより、ネットワークに通信障害が発生しているかどうかを判定する（図８ステップＳ３２）。
　ユーザは、任意の累積パケット数上限閾値ＰＨ、累積バイト数上限閾値ＢＨをパケットキャプチャ装置に対して設定することが可能である。ユーザによって入力された累積パケット数上限閾値ＰＨ、累積バイト数上限閾値ＢＨは、パラメータ設定部１７によって設定される。
　障害検知部１４は、累積パケット数が累積パケット数上限閾値ＰＨを超えている場合、あるいは累積バイト数が累積バイト数上限閾値ＢＨを超えている場合、ネットワークに通信障害が発生していると判定し（図８ステップＳ３３においてＹｅｓ）、キャプチャ制御部１６に対して障害検知通知信号を出力する（図８ステップＳ３４）。
　そして、障害検知部１４は、累積パケット数が累積パケット数上限閾値ＰＨ以下、かつ累積バイト数が累積バイト数上限閾値ＢＨ以下で、ネットワークに通信障害が発生していないと判定した場合（ステップＳ３３においてＮｏ）、あるいは障害検知通知信号を出力した場合（ステップＳ３４）、累積情報保持部１５に保持されている累積パケット数および累積バイト数を０に初期化する（図８ステップＳ３５）。
　なお、通信障害の検知方法は、上記の方法以外であっても構わない。例えば、障害検知部１４は、累積情報保持部１５に保持されている累積パケット数が累積パケット数下限閾値ＰＬを下回る場合、あるいは累積情報保持部１５に保持されている累積バイト数が累積バイト数下限閾値ＢＬを下回る場合、ネットワークに通信障害が発生していると判定するようにしてよい（ステップＳ３３）。
　累積パケット数下限閾値ＰＬ、累積バイト数下限閾値ＢＬを用いる場合、障害検知部１４は、累積パケット数が累積パケット数下限閾値ＰＬ以上で累積パケット数上限閾値ＰＨ以下、かつ累積バイト数が累積バイト数下限閾値ＢＬ以上で累積バイト数上限閾値ＢＨ以下であれば、ネットワークに通信障害が発生していないと判定する。
　ユーザは、任意の累積パケット数下限閾値ＰＬ、累積バイト数下限閾値ＢＬをパケットキャプチャ装置に対して設定することが可能である。ユーザによって入力された累積パケット数下限閾値ＰＬ、累積バイト数下限閾値ＢＬは、パラメータ設定部１７によって設定される。
　障害検知部１４は、以上のステップＳ３２～Ｓ３５の処理を一定周期毎に行う。
　次に、キャプチャ制御部１６は、障害検知部１４から障害検知通知信号を受信したかどうかを判定する（図７ステップＳ２３）。キャプチャ制御部１６は、障害検知通知信号を受信したときに、動作停止アドレスＳＡを決定する（図７ステップＳ２４）。
　具体的には、キャプチャ制御部１６は、障害検知通知信号を受信した時点でのパケット格納メモリ１３０の格納先アドレスＰＡから、予め設定されたキャプチャ保証期間分のアドレス数Ｎを引いた値（ＰＡ－Ｎ）を動作停止アドレスＳＡとする。
　このとき、キャプチャ制御部１６は、現時点の格納先アドレスＰＡからキャプチャ保証期間分のアドレス数Ｎを引いた減算結果（ＰＡ－Ｎ）が負となる場合（図５、図６における先頭アドレス０ｘ００００より前のアドレス値になる場合）、パケット格納メモリ１３０の最後尾のアドレス（図５、図６における０ｘＸＸＸ４）から、減算結果（ＰＡ－Ｎ）の絶対値を更に引いた値を動作停止アドレスＳＡとする。
　ユーザは、任意のキャプチャ保証期間の長さをパケットキャプチャ装置に対して設定することが可能である。ユーザによって入力されたキャプチャ保証期間（アドレス数）は、パラメータ設定部１７によって設定される。キャプチャ保証期間は、アドレス数でなく、全体のメモリ容量に対する割合で定義するようにしてよい。
　なお、動作停止アドレスＳＡの決定は、通信障害が検知された時点で１回だけ行われることは言うまでもない。
　次に、キャプチャ制御部１６は、通信障害の検知後か否かを判定する（図７ステップＳ２５）。キャプチャ制御部１６は、障害検知部１４から既に障害検知通知信号を受信しているときには通信障害の検知後と判定し、障害検知通知信号を受信していないときには通信障害の検知前と判定する。
　パケット保持部１３は、キャプチャ制御部１６が通信障害の検知前と判定した場合、パケット受信部１２によって受信されたパケットを、パケット格納メモリ１３０の現時点の格納先アドレスＰＡの領域に格納し（図７ステップＳ２６）、ステップＳ２０に戻る。
　また、キャプチャ制御部１６は、通信障害の検知後と判定した場合、パケット格納メモリ１３０の現時点の格納先アドレスＰＡが動作停止アドレスＳＡに到達しているかどうかを判定する（図７ステップＳ２７）。
　キャプチャデータ生成部１８は、格納先アドレスＰＡが動作停止アドレスＳＡに到達していると判定された場合（ＰＡ＝ＳＡ）、パケット格納メモリ１３０の動作停止アドレスＳＡを出力開始アドレスとして、出力開始アドレスから（ＰＡ－１）までの領域に格納されたパケットを、このＳＡから（ＰＡ－１）までの並び順で例えばＰＣＡＰ形式のファイルに変換し、ＰＣＡＰ形式のファイルをキャプチャデータ１９として出力する（図７ステップＳ２８）。キャプチャデータ１９の出力後、パケットキャプチャ装置はステップＳ２０に戻る。
　また、キャプチャ制御部１６は、パケット格納メモリ１３０の現時点の格納先アドレスＰＡが動作停止アドレスＳＡに到達していない場合（ＰＡ≠ＳＡ）、障害検知通知信号を受信した時点（通信障害の検知時点ＤＰ）から待ち時間α以上経過しているかどうかを判定する（図７ステップＳ２９）。
　ユーザは、任意の待ち時間αをパケットキャプチャ装置に対して設定することが可能である。ユーザによって入力された待ち時間αの値は、パラメータ設定部１７によって設定される。
　なお、待ち時間αに相当するアドレス数とキャプチャ保証期間に相当するアドレス数の合計は、パケット格納メモリ１３０の先頭アドレスから最後尾アドレスまでのアドレス数以下である必要がある。
　キャプチャデータ生成部１８は、通信障害の検知時点ＤＰから待ち時間α以上経過していると判定された場合、パケット格納メモリ１３０の動作停止アドレスＳＡを出力開始アドレスとして、出力開始アドレスから（ＰＡ－１）までの領域に格納されたパケットを、このＳＡから（ＰＡ－１）までの並び順で例えばＰＣＡＰ形式のファイルに変換し、ＰＣＡＰ形式のファイルをキャプチャデータ１９として出力する（ステップＳ２８）。
　また、パケット保持部１３は、通信障害の検知時点ＤＰからの経過時間が待ち時間α未満の場合、パケット受信部１２によって受信されたパケットを、パケット格納メモリ１３０の現時点の格納先アドレスＰＡの領域に格納し（図７ステップＳ２９）、ステップＳ２０に戻る。
　こうして、本実施例では、必要最小限のメモリ構成で障害発生の前後期間のパケットの採取を保証することができる。
［第２の実施例］
　次に、本発明の第２の実施例について詳細に説明する。本実施例では、トラフィックのフロー毎に障害を検知する。ここで、フローとは、送信元ＩＰアドレスや宛先ＩＰアドレスなどの、パケットヘッダのフィールド情報の組み合わせで定義されるパケットのグループのことを言う。第１の実施例では、トラフィック全体に対して障害判定を行っていたが、本実施例では、受信したパケットのヘッダを解析してフローを識別した後、フロー毎に障害が発生しているか否かの判定を行う。
　図９は本実施例に係るパケットキャプチャ装置の構成を示すブロック図である。本実施例のパケットキャプチャ装置は、接続されたネットワークからパケット３１を受信するパケット受信部３２と、受信したパケットのヘッダを抽出するヘッダ解析部３３と、ヘッダ解析部３３によって抽出されたヘッダの情報を基にパケットが属するフローを識別するフロー識別部３４と、フロー情報を保持するフロー情報保持部３５と、受信したパケットをメモリに格納して一時的に保持する保持するパケット保持部３６と、受信したパケットのフロー単位の情報を基にネットワークに通信障害が発生しているかどうかを一定周期毎に判定する障害検知部３７と、フロー毎の累積パケット数と累積バイト数とを保持する累積情報保持部３８と、障害検知部３７によって通信障害が検知されたときに、通信障害の検知時点の前後期間のパケットの保持が保証されるように動作停止アドレスを決定するキャプチャ制御部３９と、各種パラメータを設定するパラメータ設定部３１０と、パケット保持部３６に保持されたパケットを例えばＰＣＡＰ形式などのキャプチャデータとしてファイル出力するキャプチャデータ生成部３１１とから構成される。
　フロー情報保持部３５で保持されるフロー情報の詳細を図１０に示す。図１０に示すように、フロー情報は、各フローに割り当てられた固有の識別番号であるフローＩＤと、送信元ＭＡＣ（Media Access Control）アドレスと、宛先ＭＡＣアドレスと、送信元ＩＰアドレスと、宛先ＩＰアドレスとをフロー毎に記録したものである。
　なお、フロー情報保持部３５で保持されるフロー情報は、図１０に示したもの以外であっても構わない。図１０に示した例以外に、例えば送信元ポート番号、宛先ポート番号、プロトコル種別、ＶＬＡＮ　ＩＤ（Virtual Local Area Network IDentifier）、ＶＸＬＡＮ　ＩＤ（Virtual eXtensible Local Area Network IDentifier）などのヘッダフィールド情報をフロー情報としてもよい。
　累積情報保持部３８で保持される累積情報の詳細を図１１に示す。累積情報保持部３８は、第１の実施例の累積情報保持部１５と同様に累積パケット数および累積バイト数を保持するが、受信したトラフィック全体の累積パケット数および累積バイト数の他に、フロー単位での累積パケット数および累積バイト数も併せて保持する。
　パケット保持部３６は、第１の実施例のパケット保持部１３と同様にパケット格納メモリ１３０を内部に有する。
　次に、本実施例のパケットキャプチャ装置の動作を図１２～図１４を用いて説明する。なお、図１２～図１４は、あくまで本実施例の制御動作を分り易く説明するためのものであり、本発明の制御手順や実装方法を制限するものでは無い。
　まず、パケット受信部３２は、パケットキャプチャ装置が接続されたネットワークからパケット３１を受信する（図１２ステップＳ４０）。
　次に、ヘッダ解析部３３は、パケット受信部１２によって受信されたパケットのヘッダを解析して、ヘッダのフィールド情報を抽出する（図１２ステップＳ４１）。
　フロー識別部３４は、ヘッダ解析部３３によって抽出されたヘッダのフィールド情報に基づいて、パケット受信部１２によって受信されたパケットが属するフローを識別する（図１２ステップＳ４２）。具体的には、フロー識別部３４は、受信パケットが属するフローの情報がフロー情報保持部３５に既に登録されているかどうかを検索し、該当するフローの情報が登録されている場合には、このフローのＩＤをフロー情報保持部３５から取得する。
　例えば図１０の例では、フロー識別部３４は、受信パケットの送信元ＭＡＣアドレスと宛先ＭＡＣアドレスと送信元ＩＰアドレスと宛先ＩＰアドレスとがフロー情報保持部３５に登録済みのフローの情報と一致すれば、受信パケットを登録済みのフローに属するものと判定して、このフローのＩＤを取得する。
　また、フロー識別部３４は、受信パケットが属するフローの情報がフロー情報保持部３５に登録されていない場合、すなわち受信パケットの送信元ＭＡＣアドレスと宛先ＭＡＣアドレスと送信元ＩＰアドレスと宛先ＩＰアドレスとに一致するフローの情報がフロー情報保持部３５に登録されていない場合、受信パケットを新規のフローに属するものと判定する。
　フロー識別部３４は、受信パケットを新規のフローに属するものと判定した場合（図１２ステップＳ４３においてＹｅｓ）、この新規のフローに割り当てるＩＤを決定し、決定したＩＤと受信パケットの送信元ＭＡＣアドレスと宛先ＭＡＣアドレスと送信元ＩＰアドレスと宛先ＩＰアドレスとを新規のフローの情報としてフロー情報保持部３５に登録する（図１２ステップＳ４４）。
　パケット保持部３６は、フロー識別部３４によるフローの識別後に、パケット格納メモリ１３０のパケットの格納先アドレスを１増やす（図１２ステップＳ４５）。
　次に、フロー識別部３４は、受信パケットが属するフローのＩＤと受信パケットのバイト数とを障害検知部３７に対して通知する。
　障害検知部３７は、フロー識別部３４から通知されたフローＩＤが累積情報保持部３８に登録されているかどうかを検索し、該当するフローＩＤが登録されている場合には（図１２ステップＳ４６においてＮｏ）、累積情報保持部３８に保持されている該当するフローＩＤの累積パケット数を１増やし、累積情報保持部３８に保持されている該当するフローＩＤの累積バイト数をフロー識別部３４から通知された受信パケットのバイト数分だけ増やす（図１２ステップＳ４７）。
　さらに、障害検知部３７は、累積情報保持部３８に保持されているトラフィック全体の累積パケット数を１増やし、累積情報保持部３８に保持されているトラフィック全体の累積バイト数をフロー識別部３４から通知された受信パケットのバイト数分だけ増やす（ステップＳ４７）。
　また、障害検知部３７は、フロー識別部３４から通知されたフローＩＤが累積情報保持部３８に登録されていない場合（ステップＳ４６においてＹｅｓ）、受信パケットを新規のフローに属するものと判定し、フローの累積パケット数を１とし、フローの累積バイト数をフロー識別部３４から通知された受信パケットのバイト数とする。そして、障害検知部３７は、この累積パケット数と累積バイト数とをフロー識別部３４から通知されたフローＩＤと対応付けて累積情報保持部３８に新規に登録する（図１２ステップＳ４８）。
　さらに、障害検知部３７は、累積情報保持部３８に保持されているトラフィック全体の累積パケット数を１増やし、累積情報保持部３８に保持されているトラフィック全体の累積バイト数をフロー識別部３４から通知された受信パケットのバイト数分だけ増やす（ステップＳ４８）。
　障害検知部３７は、累積情報保持部３８に保持されているフロー毎の累積パケット数と累積パケット数上限閾値ＦＰＨとを一定周期毎に比較することにより、あるいは累積情報保持部３８に保持されているフロー毎の累積バイト数と累積バイト数上限閾値ＦＢＨとを一定周期毎に比較することにより、ネットワークに通信障害が発生しているかどうかを判定する（図１４ステップＳ６２）。
　ユーザは、フロー単位の累積パケット数上限閾値ＦＰＨおよびフロー単位の累積バイト数上限閾値ＦＢＨをパケットキャプチャ装置に対して設定することが可能である。ユーザによって入力された累積パケット数上限閾値ＦＰＨおよび累積バイト数上限閾値ＦＢＨは、パラメータ設定部３１０によって設定される。
　障害検知部３７は、フロー毎の累積パケット数のうち少なくとも１つのフローの累積パケット数が累積パケット数上限閾値ＦＰＨを超えている場合、あるいはフロー毎の累積バイト数のうち少なくとも１つのフローの累積バイト数が累積バイト数上限閾値ＦＢＨを超えている場合、ネットワークに通信障害が発生していると判定し（図１４ステップＳ６３においてＹｅｓ）、キャプチャ制御部３９に対して障害検知通知信号を出力する（図１４ステップＳ６４）。
　そして、障害検知部３７は、フロー毎の累積パケット数の全てが累積パケット数上限閾値ＦＰＨ以下、かつフロー毎の累積バイト数の全てが累積バイト数上限閾値ＦＢＨ以下で、ネットワークに通信障害が発生していないと判定した場合（ステップＳ６３においてＮｏ）、あるいは障害検知通知信号を出力した場合（ステップＳ６４）、累積情報保持部３８に保持されている全ての累積パケット数および全ての累積バイト数を０に初期化する（図１４ステップＳ６５）。
　なお、通信障害の検知方法は、上記の方法以外であっても構わない。例えば、障害検知部３７は、累積情報保持部３８に保持されているフロー毎の累積パケット数のうち少なくとも１つのフローの累積パケット数が累積パケット数下限閾値ＦＰＬを下回る場合、あるいは累積情報保持部３８に保持されているフロー毎の累積バイト数のうち少なくとも１つのフローの累積バイト数が累積バイト数下限閾値ＦＢＬを下回る場合、ネットワークに通信障害が発生していると判定するようにしてよい（ステップＳ６３）。
　累積パケット数下限閾値ＦＰＬ、累積バイト数下限閾値ＦＢＬを用いる場合、障害検知部３７は、フロー毎の累積パケット数が累積パケット数下限閾値ＦＰＬ以上で累積パケット数上限閾値ＦＰＨ以下、かつフロー毎の累積バイト数が累積バイト数下限閾値ＦＢＬ以上で累積バイト数上限閾値ＦＢＨ以下であれば、ネットワークに通信障害が発生していないと判定する。
　ユーザは、フロー単位の累積パケット数下限閾値ＦＰＬおよびフロー単位の累積バイト数下限閾値ＦＢＬをパケットキャプチャ装置に対して設定することが可能である。ユーザによって入力された累積パケット数下限閾値ＦＰＬおよび累積バイト数下限閾値ＦＢＬは、パラメータ設定部３１０によって設定される。
　障害検知部３７は、以上のステップＳ６２～Ｓ６５の処理を一定周期毎に行う。
　次に、キャプチャ制御部３９は、障害検知部３７から障害検知通知信号を受信したかどうかを判定する（図１２ステップＳ４９）。キャプチャ制御部３９は、障害検知通知信号を受信したときに、動作停止アドレスＳＡを決定する（図１２ステップＳ５０）。動作停止アドレスＳＡの決定方法は、第１の実施例と同じである。第１の実施例と同様に、キャプチャ保証期間（アドレス数）は、予めパラメータ設定部３１０によって設定される。
　次に、キャプチャ制御部３９は、通信障害の検知後か否かを判定する（図１３ステップＳ５１）。キャプチャ制御部３９は、障害検知部３７から既に障害検知通知信号を受信しているときには通信障害の検知後と判定し、障害検知通知信号を受信していないときには通信障害の検知前と判定する。
　パケット保持部３６は、キャプチャ制御部３９が通信障害の検知前と判定した場合、パケット受信部３２によって受信されたパケットを、パケット格納メモリ１３０の現時点の格納先アドレスＰＡの領域に格納し（図１３ステップＳ５２）、ステップＳ４０に戻る。
　また、キャプチャ制御部３９は、通信障害の検知後と判定した場合、パケット格納メモリ１３０の現時点の格納先アドレスＰＡが動作停止アドレスＳＡに到達しているかどうかを判定する（図１３ステップＳ５３）。
　キャプチャデータ生成部３１１は、格納先アドレスＰＡが動作停止アドレスＳＡに到達していると判定された場合、パケット格納メモリ１３０の動作停止アドレスＳＡを出力開始アドレスとして、出力開始アドレスから（ＰＡ－１）までの領域に格納されたパケットを、このＳＡから（ＰＡ－１）までの並び順で例えばＰＣＡＰ形式のファイルに変換し、ＰＣＡＰ形式のファイルをキャプチャデータ３１２として出力する（図１３ステップＳ５４）。キャプチャデータ３１２の出力後、パケットキャプチャ装置はステップＳ４０に戻る。
　また、キャプチャ制御部３９は、パケット格納メモリ１３０の現時点の格納先アドレスＰＡが動作停止アドレスＳＡに到達していない場合、障害検知通知信号を受信した時点（通信障害の検知時点ＤＰ）から待ち時間α以上経過しているかどうかを判定する（図１３ステップＳ５５）。第１の実施例と同様に、待ち時間αは、予めパラメータ設定部３１０によって設定される。
　キャプチャデータ生成部３１１は、通信障害の検知時点ＤＰから待ち時間α以上経過していると判定された場合、パケット格納メモリ１３０の動作停止アドレスＳＡを出力開始アドレスとして、出力開始アドレスから（ＰＡ－１）までの領域に格納されたパケットを、このＳＡから（ＰＡ－１）までの並び順で例えばＰＣＡＰ形式のファイルに変換し、ＰＣＡＰ形式のファイルをキャプチャデータ１９として出力する（ステップＳ５４）。
　また、パケット保持部３６は、通信障害の検知時点ＤＰからの経過時間が待ち時間α未満の場合、パケット受信部３２によって受信されたパケットを、パケット格納メモリ１３０の現時点の格納先アドレスＰＡの領域に格納し（図１３ステップＳ５６）、ステップＳ４０に戻る。
　こうして、本実施例では、フロー毎に通信障害を検知することができる。
　第１、第２の実施例で説明したパケットキャプチャ装置は、ＣＰＵ（Central Processing Unit）、記憶装置及びインターフェースを備えたコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。このコンピュータの構成例を図１５に示す。
　コンピュータは、ＣＰＵ２００と、記憶装置２０１と、インターフェース装置（以下、Ｉ／Ｆと略する）２０２とを備えている。Ｉ／Ｆ２０２には、パケット受信部１２，３２の回路とキャプチャデータの出力先の装置等が接続される。このようなコンピュータにおいて、本発明のパケットキャプチャ方法を実現させるためのプログラムは記憶装置２０１に格納される。ＣＰＵ２００は、記憶装置２０１に格納されたプログラムに従って第１、第２の実施例で説明した処理を実行する。
　また、第１、第２の実施例で説明したパケットキャプチャ装置の一部をＡＳＩＣ（application specific integrated circuit）あるいはＦＰＧＡ（field-programmable gate array）などのハードウェアロジックで構成してもよい。
　本発明は、ＩＰネットワークにおけるバーストトラフィックなどの通信障害の原因を解析する技術に適用することができる。
　１１，３１…パケット、１２，３２…パケット受信部、１３，３６…パケット保持部、１４，３７…障害検知部、１５，３８…累積情報保持部、１６，３９…キャプチャ制御部、１７，３１０…パラメータ設定部、１８，３１１…キャプチャデータ生成部、１９，３１２…キャプチャデータ、３３…ヘッダ解析部、３４…フロー識別部、３５…フロー情報保持部、１３０…パケット格納メモリ。

Claims (8)

  1. 　ネットワークからパケットを受信するように構成されたパケット受信部と、
    　受信したパケットをメモリに格納して一時的に保持するように構成されたパケット保持部と、
    　受信したパケットの情報を基に前記ネットワークに通信障害が発生しているかどうかを判定するように構成された障害検知部と、
    　前記障害検知部によって通信障害が検知されたときに、前記通信障害の検知時点の前後期間のパケットの保持が保証されるように動作停止アドレスを決定するように構成されたキャプチャ制御部と、
    　前記メモリのパケットの格納先アドレスが前記動作停止アドレスに到達したとき、または前記通信障害の検知時点から所定の待ち時間以上が経過したときに、前記メモリに格納されたパケットをキャプチャデータとして出力するように構成されたキャプチャデータ生成部とを備えることを特徴とするパケットキャプチャ装置。
  2. 　請求項１記載のパケットキャプチャ装置において、
    　前記パケット保持部は、リングバッファ構成の前記メモリを有し、前記パケット受信部によってパケットが受信されたときに、前記通信障害の検知前の場合、または前記格納先アドレスが前記動作停止アドレスに到達せず、前記通信障害の検知時点からの経過時間が前記待ち時間未満の場合に、前記パケット受信部によって受信されたパケットを前記メモリの格納先アドレスの領域に格納して、前記格納先アドレスを更新することを特徴とするパケットキャプチャ装置。
  3. 　請求項１または２記載のパケットキャプチャ装置において、
    　前記キャプチャ制御部は、前記通信障害の検知時点における前記格納先アドレスと、前記通信障害の検知前のパケットの保持を保証する予め設定された保証期間の長さとに基づいて、前記動作停止アドレスを決定することを特徴とするパケットキャプチャ装置。
  4. 　請求項１乃至３のいずれか１項に記載のパケットキャプチャ装置において、
    　前記障害検知部は、前記パケット受信部によって受信されたパケットの一定周期あたりの累積パケット数が累積パケット数上限閾値を超えた場合、または前記パケット受信部によって受信されたパケットの一定周期あたりの累積バイト数が累積バイト数上限閾値を超えた場合に、前記ネットワークに通信障害が発生していると判定することを特徴とするパケットキャプチャ装置。
  5. 　請求項１乃至３のいずれか１項に記載のパケットキャプチャ装置において、
    　前記パケット受信部によって受信されたパケットが属するフローを識別するように構成されたフロー識別部と、
    　前記パケット受信部によって受信されたパケットの累積パケット数および累積バイト数をフロー毎に保持するように構成された累積情報保持部とをさらに備え、
    　前記障害検知部は、一定周期あたりのフロー毎の前記累積パケット数が累積パケット数上限閾値を超えた場合、または一定周期あたりのフロー毎の前記累積バイト数が累積バイト数上限閾値を超えた場合に、前記ネットワークに通信障害が発生していると判定することを特徴とするパケットキャプチャ装置。
  6. 　請求項１乃至５のいずれか１項に記載のパケットキャプチャ装置において、
    　前記キャプチャデータ生成部は、前記動作停止アドレスを開始アドレスとして、前記格納先アドレスから１引いたアドレスまでの前記メモリの領域に格納されたパケットを前記キャプチャデータとして出力することを特徴とするパケットキャプチャ装置。
  7. 　請求項１乃至６のいずれか１項に記載のパケットキャプチャ装置において、
    　前記待ち時間を設定可能なように構成されたパラメータ設定部をさらに備えることを特徴とするパケットキャプチャ装置。
  8. 　ネットワークからパケットを受信する第１のステップと、
    　受信したパケットの情報を基に前記ネットワークに通信障害が発生しているかどうかを判定する第２のステップと、
    　前記第２のステップで通信障害を検知したときに、前記通信障害の検知時点の前後期間のパケットの保持が保証されるように動作停止アドレスを決定する第３のステップと、
    　前記第１のステップで受信したパケットをメモリに格納して一時的に保持する第４のステップと、
    　前記メモリのパケットの格納先アドレスが前記動作停止アドレスに到達したとき、または前記通信障害の検知時点から所定の待ち時間以上が経過したときに、前記メモリに格納されたパケットをキャプチャデータとして出力する第５のステップとを含むことを特徴とするパケットキャプチャ方法。
PCT/JP2019/019123 2019-05-14 2019-05-14 パケットキャプチャ装置および方法 WO2020230265A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/604,943 US11683255B2 (en) 2019-05-14 2019-05-14 Apparatus and method for capturing packets before and after network communication failure
PCT/JP2019/019123 WO2020230265A1 (ja) 2019-05-14 2019-05-14 パケットキャプチャ装置および方法
JP2021519098A JP7160189B2 (ja) 2019-05-14 2019-05-14 パケットキャプチャ装置および方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/019123 WO2020230265A1 (ja) 2019-05-14 2019-05-14 パケットキャプチャ装置および方法

Publications (1)

Publication Number Publication Date
WO2020230265A1 true WO2020230265A1 (ja) 2020-11-19

Family

ID=73289843

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/019123 WO2020230265A1 (ja) 2019-05-14 2019-05-14 パケットキャプチャ装置および方法

Country Status (3)

Country Link
US (1) US11683255B2 (ja)
JP (1) JP7160189B2 (ja)
WO (1) WO2020230265A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112787883A (zh) * 2020-12-26 2021-05-11 中国农业银行股份有限公司 一种设备nat故障检测方法、装置及设备
WO2022123676A1 (ja) * 2020-12-09 2022-06-16 日本電信電話株式会社 パケットキャプチャシステム、方法およびプログラム
WO2022269790A1 (ja) * 2021-06-23 2022-12-29 日本電信電話株式会社 パケットキャプチャ方法およびその装置
WO2023084599A1 (ja) * 2021-11-09 2023-05-19 日本電信電話株式会社 トラフィック監視装置およびトラフィック監視プログラム
JP7466809B1 (ja) 2023-06-21 2024-04-12 三菱電機株式会社 ストリーム監視方式、中継装置、ネットワークシステム、ストリーム監視プログラム、および監視端末

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020241546A1 (ja) * 2019-05-27 2020-12-03 日本電気株式会社 推定装置、伝送レート推定方法及びプログラム
CN116319488B (zh) * 2023-05-22 2023-08-11 神州灵云（北京）科技有限公司 一种利用pcap数据包循环测试的方法、装置及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003087356A (ja) * 2001-09-13 2003-03-20 Iwatsu Electric Co Ltd 可変長パケットデータ収録システム
JP2004088289A (ja) * 2002-08-26 2004-03-18 Yokogawa Electric Corp ネットワーク品質評価装置
WO2008129641A1 (ja) * 2007-04-13 2008-10-30 Fujitsu Limited キャプチャ装置、キャプチャ方法

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001211405A (ja) * 1999-11-16 2001-08-03 Sony Corp データ再生装置及び方法
JP2002342262A (ja) * 2001-05-11 2002-11-29 Fujitsu Ltd ダイレクトメモリアクセス制御装置およびダイレクトメモリアクセス制御方法
US7792014B2 (en) * 2007-09-28 2010-09-07 Integrated Device Technology, Inc. Method of skipping nullified packets during mass replay from replay buffer
US9806904B2 (en) * 2015-09-08 2017-10-31 Oracle International Corporation Ring controller for PCIe message handling
JP6616230B2 (ja) * 2016-04-07 2019-12-04 ＡＰＲＥＳＩＡ Ｓｙｓｔｅｍｓ株式会社 ネットワーク装置
US10972388B2 (en) * 2016-11-22 2021-04-06 Cisco Technology, Inc. Federated microburst detection
US10587486B2 (en) * 2018-04-30 2020-03-10 Hewlett Packard Enterprise Development Lp Detecting microbursts
US11171869B2 (en) * 2019-04-10 2021-11-09 At&T Intellectual Property I, L.P. Microburst detection and management

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003087356A (ja) * 2001-09-13 2003-03-20 Iwatsu Electric Co Ltd 可変長パケットデータ収録システム
JP2004088289A (ja) * 2002-08-26 2004-03-18 Yokogawa Electric Corp ネットワーク品質評価装置
WO2008129641A1 (ja) * 2007-04-13 2008-10-30 Fujitsu Limited キャプチャ装置、キャプチャ方法

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022123676A1 (ja) * 2020-12-09 2022-06-16 日本電信電話株式会社 パケットキャプチャシステム、方法およびプログラム
JP7405281B2 (ja) 2020-12-09 2023-12-26 日本電信電話株式会社 パケットキャプチャシステム、方法およびプログラム
CN112787883A (zh) * 2020-12-26 2021-05-11 中国农业银行股份有限公司 一种设备nat故障检测方法、装置及设备
WO2022269790A1 (ja) * 2021-06-23 2022-12-29 日本電信電話株式会社 パケットキャプチャ方法およびその装置
WO2023084599A1 (ja) * 2021-11-09 2023-05-19 日本電信電話株式会社 トラフィック監視装置およびトラフィック監視プログラム
JP7466809B1 (ja) 2023-06-21 2024-04-12 三菱電機株式会社 ストリーム監視方式、中継装置、ネットワークシステム、ストリーム監視プログラム、および監視端末

Also Published As

Publication number Publication date
US20220217069A1 (en) 2022-07-07
US11683255B2 (en) 2023-06-20
JP7160189B2 (ja) 2022-10-25
JPWO2020230265A1 (ja) 2020-11-19

Similar Documents

Publication Publication Date Title
WO2020230265A1 (ja) パケットキャプチャ装置および方法
US11228515B2 (en) Data packet detection method, device, and system
US10129115B2 (en) Method and system for network monitoring using signature packets
US20140219101A1 (en) Feature Extraction Apparatus, and Network Traffic Identification Method, Apparatus, and System
US10505952B2 (en) Attack detection device, attack detection method, and attack detection program
US10834125B2 (en) Method for defending against attack, defense device, and computer readable storage medium
JP2010206698A (ja) ログ情報発行装置、ログ情報発行方法およびプログラム
EP3791543B1 (en) Packet programmable flow telemetry profiling and analytics
US20230041307A1 (en) Network Performance Monitoring Method, Network Device, and Storage Medium
CN106302001B (zh) 数据通信网络中业务故障检测方法、相关装置及系统
WO2013185489A1 (zh) 分析信令流量的方法及装置
US20090213745A1 (en) Frame monitoring device and frame monitoring method
KR20100114521A (ko) 이더넷 멀티캐스트의 연속성 체크를 위한 방법 및 시스템
WO2016011819A1 (zh) 一种光网络单元业务开通方法、装置及存储介质
US8064454B2 (en) Protocol incompatibility detection
KR101587845B1 (ko) 디도스 공격을 탐지하는 방법 및 장치
WO2017070965A1 (zh) 一种基于软件定义网络的数据处理方法及相关设备
KR101263218B1 (ko) 단일 세션 내 단일 패킷 집성 방법 및 장치
CN103688508B (zh) 报文识别方法和防护设备
WO2016202025A1 (zh) 陷阱Trap报文处理方法及装置
CN106027405B (zh) 数据流的分流方法及装置
US20180004624A1 (en) Debugging failure of a service validation test
US20230067780A1 (en) Flow information collection apparatus and method of generating flow information
CN108092848B (zh) 一种设备性能检测方法及装置
CN109672648B (zh) 一种tcp链接动态管理方法及设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19929173

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021519098

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19929173

Country of ref document: EP

Kind code of ref document: A1