WO2023238354A1 - トラヒック監視装置、トラヒック監視方法及びトラヒック監視プログラム - Google Patents

トラヒック監視装置、トラヒック監視方法及びトラヒック監視プログラム Download PDF

Info

Publication number
WO2023238354A1
WO2023238354A1 PCT/JP2022/023372 JP2022023372W WO2023238354A1 WO 2023238354 A1 WO2023238354 A1 WO 2023238354A1 JP 2022023372 W JP2022023372 W JP 2022023372W WO 2023238354 A1 WO2023238354 A1 WO 2023238354A1
Authority
WO
WIPO (PCT)
Prior art keywords
flow
statistical data
data
traffic
traffic amount
Prior art date
Application number
PCT/JP2022/023372
Other languages
English (en)
French (fr)
Inventor
千晴 森岡
裕平 林
賢杜 山田
勇樹 三好
晶規 古田
里美 井上
篤史 須藤
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2022/023372 priority Critical patent/WO2023238354A1/ja
Publication of WO2023238354A1 publication Critical patent/WO2023238354A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data

Definitions

  • the present invention relates to a traffic monitoring device, a traffic monitoring method, and a traffic monitoring program.
  • xFlow technology which aggregates and analyzes traffic by transferring flow statistical information calculated from packet header information and the header part itself (header sample).
  • IPFIX w/IE315 Non-Patent Document 1
  • sFlow Non-Patent Document 2
  • NW network
  • NW network device tFlow
  • IPFIX non-patent documents 4 to 9
  • the NW devices on the network can also transmit IF statistical information such as the total traffic amount and the total number of packets for each interface (hereinafter referred to as "IF") of the NW device at fixed time intervals using telemetry.
  • IF the total traffic amount and the total number of packets for each interface
  • IPFIX IP Flow Information Export
  • IPFIX Information Model for IP Flow Information Export
  • online [Retrieved May 24, 2020]
  • B. Trammell 1 other person, “Guidelines for Authors and Reviewers of IP Flow Information Export (IPFIX) Information Elements”, [online], [Retrieved May 24, 2020], Internet ⁇ URL: https:// www.rfc-editor.org/rfc/rfc7013.txt> S.
  • the traffic monitoring device of the present invention uses IF statistical data, which is statistical information for each IF acquired from network devices, and flow statistical data, which is statistical information calculated from sampled packets.
  • an acquisition unit that acquires the IF statistical data and the flow statistical data from an external storage device that accumulates the IF statistical data, the total traffic amount for each IF calculated from the IF statistical data, and the flow calculated from the flow statistical data; and a first calculation unit that calculates the total traffic amount for each individual flow based on the total traffic amount for each flow.
  • the present invention makes it possible to estimate the total traffic amount for each flow based on statistical information for each IF collected by telemetry and flow statistical information of sampled header samples without collecting header samples of all packets. be effective.
  • FIG. 1 is a diagram illustrating an example of an overview of traffic monitoring according to an embodiment.
  • FIG. 2 is a diagram illustrating an example of the device configuration of the data lake and traffic monitoring device according to the embodiment.
  • FIG. 3 is a data table diagram showing an example of IF statistical data collected by the data lake according to the embodiment.
  • FIG. 4 is a data table diagram showing an example of flow statistical data that the traffic monitoring device according to the embodiment acquires from the data lake.
  • FIG. 5 is a diagram illustrating an example of calculating the total traffic amount for each flow according to the embodiment.
  • FIG. 6 is a diagram illustrating an example of calculating the total amount of traffic for each flow in a NW device in an area other than the representative area according to the embodiment.
  • FIG. 1 is a diagram illustrating an example of an overview of traffic monitoring according to an embodiment.
  • FIG. 2 is a diagram illustrating an example of the device configuration of the data lake and traffic monitoring device according to the embodiment.
  • FIG. 3 is a data table diagram showing an example of
  • FIG. 7 is a flowchart of data collection and unified management by the data lake according to the embodiment.
  • FIG. 8 is a flowchart of calculation of the total amount of traffic for each flow in the NW device in the representative area by the traffic monitoring device according to the embodiment.
  • FIG. 9 is a flowchart of calculation of the total amount of traffic for each flow in NW devices in other areas by the traffic monitoring device according to the embodiment.
  • FIG. 10 is a diagram illustrating an example of a computer on which the data lake and traffic monitoring device according to the embodiment is implemented.
  • the total traffic amount is defined as "the sum of the traffic amounts of all packets that meet a predetermined condition”
  • the "traffic amount per flow of sampling packets that meet a predetermined condition” is defined as “total traffic amount”.
  • the total traffic volume of all flows is defined as the total traffic volume of all flows, and the sum of the traffic volume of sampling packets that meet a predetermined condition for each flow, only for monitored flows, is defined as the total traffic volume of all flows.
  • the total amount of traffic is defined as “total traffic volume” and is unified below.
  • a data lake 10 (hereinafter simply referred to as "data lake 10"), which is an external storage device, encapsulates telemetry data 50 from a NW device 40 from a format conversion device 30 in a network where a plurality of service networks overlap. Flow statistics of xFlow packets 52 are collected and centrally managed. Furthermore, the traffic monitoring device 20 stores IF statistical data 55 including information such as the total traffic amount per IF, and flow statistical data 56 including information such as the traffic amount per flow of sampled encapsulated packets. Traffic is monitored by acquiring data from the data lake 10 based on conditions and calculating the total amount of traffic for each flow of applications, services, etc. to be monitored.
  • FIG. 1 is a diagram illustrating an example of an overview of traffic monitoring according to an embodiment.
  • the NW device 40 which is a communication device on the network, transmits telemetry data 50 to the data lake 10.
  • the telemetry data 50 includes "NW device identification information", “NW device IF identification information”, “time information”, “received traffic amount”, “transmitted traffic amount” acquired by telemetry, It includes "number of received packets" and "number of transmitted packets".
  • the number of NW devices 40 in the network is not limited, and may include a plurality of NW devices as required for the network configuration.
  • the telemetry data 50 may include information other than the information described above.
  • the NW device 40 transmits the xFlow packet 51 of the sampled encapsulated packet to the format conversion device 30.
  • the xFlow packet 51 mentioned above includes "header sample of encapsulated packet", “sampling rate”, “time information”, “NW device identification information”, “NW device IF identification information”, and “communication direction”. "Packet size before sampling” is included. Note that the xFlow packet 51 may include information other than the information described above.
  • the format conversion device 30 that has received the xFlow packet 51 calculates statistical information for each flow from the xFlow packet 51 and transmits the flow statistics xFlow packet 52 to the data lake 10.
  • the aforementioned flow statistics xFlow packet 52 includes "flow information including outer header information, inner header information, etc.” and “traffic amount of inner packets, traffic amount of packets including outer header, and number of packets calculated for each flow.” "flow statistical information including”, “time information”, “sampling rate”, "NW device identification information”, “NW device IF identification information", and "communication direction”. Note that the flow statistics xFlow packet 52 may include information other than the information described above.
  • the data lake 10 includes NW topology information 53, NW device information 54 such as the IF and IP address of the NW devices constituting the network, information included in the telemetry data 50 (hereinafter referred to as IF statistical data 55), and flow Information included in the statistics xFlow packet 52 (hereinafter referred to as flow statistics data 56) is centrally managed.
  • the traffic monitoring device 20 acquires the IF statistical data 55 and the flow statistical data 56 from the data lake 10 based on predetermined conditions. Subsequently, the traffic monitoring device 20 calculates an estimated value of the total amount of traffic for each flow of the monitored application, service, etc., based on the acquired IF statistical data 55 and flow statistical data 56.
  • FIG. 2 The configurations of the data lake 10 and traffic monitoring device 20 according to the embodiment will be described using FIG. 2. As shown in FIG. 2, the present invention is realized by a device configuration including a data lake 10 and a traffic monitoring device 20. The detailed functions of each part are described below.
  • the data lake 10 includes a communication section 11, a storage section 12, and a control section 13. Although not shown, the data lake 10 may include an input unit (for example, a keyboard, a mouse, etc.) that accepts various operations, and a display unit (for example, a display) for displaying various information.
  • an input unit for example, a keyboard, a mouse, etc.
  • a display unit for example, a display
  • the data lake 10 is a device that can centrally store structured data and unstructured data.
  • structured data with regularity such as XML files and CSV files
  • unstructured data such as image files, document files, video files, and e-mails can be stored in their original format.
  • the data lake 10 may have a function of storing only structured data.
  • the communication unit 11 of the data lake 10 is implemented by a NIC (Network Interface Card) or the like, and controls communication via a telecommunication line such as a LAN (Local Area Network) or the Internet.
  • the storage unit 12 of the data lake 10 stores data and programs necessary for various processing by the control unit 13. Furthermore, the storage unit 12 includes an IF statistical data storage unit 121 and a flow statistical data storage unit 122.
  • the storage unit 12 is realized by a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • the IF statistical data storage unit 121 stores IF statistical data 55 based on information included in the telemetry data 50 transmitted from the NW device 40.
  • the flow statistics data storage unit 122 stores flow statistics data 56 based on information included in the flow statistics xFlow packet 52 transmitted from the format conversion device 30.
  • the control unit 13 of the data lake 10 includes a collection unit 131.
  • the control unit 13 has an internal memory for temporarily storing programs and processing data that define various processing procedures, etc., and includes electronic circuits such as a CPU (Central Processing Unit) and an MPU (Micro Processing Unit), and an ASIC. This is realized by an integrated circuit such as an application specific integrated circuit (Application Specific Integrated Circuit) or a field programmable gate array (FPGA).
  • CPU Central Processing Unit
  • MPU Micro Processing Unit
  • ASIC Application Specific Integrated Circuit
  • FPGA field programmable gate array
  • Collection unit 131 Based on the information included in the telemetry data 50 transmitted from the NW device 40, the collection unit 131, based on the IF statistical data 55 and the information included in the flow statistics xFlow packet 52 transmitted from the format conversion device 30, Flow statistics data 56 is collected. Note that the data collected by the collection unit 131 is not limited to the above-mentioned information, and other information may be collected.
  • the traffic monitoring device 20 includes a communication section 21, a storage section 22, and a control section 23.
  • the traffic monitoring device 20 may include an input unit (for example, a keyboard, a mouse, etc.) for accepting various operations, and a display unit (for example, a display) for displaying various information. .
  • the communication unit 21 of the traffic monitoring device 20 is implemented by a NIC or the like, and controls communication via a telecommunication line such as a LAN or the Internet.
  • the traffic monitoring device 20 acquires data via the communication unit 11 of the data lake 10 described above and the communication unit 21 of the traffic monitoring device 20.
  • the storage unit 22 of the traffic monitoring device 20 stores data and programs necessary for various processing by the control unit 23.
  • the storage unit 22 is realized by a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • the control unit 23 of the traffic monitoring device 20 includes an acquisition unit 231, a first calculation unit 232, and a second calculation unit 233.
  • the control unit 23 has an internal memory for temporarily storing programs and processing data that define various processing procedures, and is realized by an electronic circuit such as a CPU or MPU, or an integrated circuit such as an ASIC or FPGA. .
  • the acquisition unit 231 acquires data from the data lake 10, which is an external storage device, that stores IF statistical data 55, which is statistical information for each IF acquired from the network device, and flow statistical data 56, which is statistical information calculated from sampled packets. IF statistical data 55 and flow statistical data 56 are acquired based on predetermined acquisition conditions. Then, the acquisition unit 231 acquires the NW device identification information, the IF identification information, the IF statistical data 55 and the flow statistical data 56 in which the communication direction is the same and the measurement time is within a predetermined period from the data lake 10. .
  • the data acquisition conditions may include conditions other than those described above.
  • the traffic amount obtained from the flow statistical data 56 may be the "traffic amount of inner packets" or the "traffic amount of packets including the outer header.”
  • the acquisition unit 231 may identify the same NW device with different identification information. If expressed, the above data can be acquired from the data lake 10 by storing identification information for the same attribute in the IF statistical data 55 and flow statistical data 56 in advance in association with each other in the management device.
  • the first calculation unit 232 calculates that the NW device identification information and the IF identification information, which are information included in the IF statistical data 55 acquired by the acquisition unit 231 in paragraph number 0033, have the same communication direction and a predetermined measurement time. The total amount of traffic for each IF within the period is added up to calculate the total amount of traffic for the IF in a predetermined measurement period. In addition, in paragraph number 0033, when acquiring the "traffic amount of inner packets" from the flow statistical data 56, the traffic of inner packets per IF calculated based on the total traffic amount per IF and the total number of packets per IF of the IF statistical data 55. The total amount is added up for a predetermined measurement period to calculate the total traffic amount of the IF for the predetermined measurement period.
  • the first calculation unit 232 calculates the total traffic amount for a predetermined measurement period of the flow unit traffic amount of sampling packets, which is information included in the flow statistical data 56 acquired by the acquisition unit 231 in paragraph number 0033, and the aforementioned Based on the total traffic amount of the IF, an estimated value of the total traffic amount for each individual flow of monitored applications, services, etc. is calculated.
  • the traffic monitoring device 20 identifies the flow of an application or service to be monitored by using Outer header information and Inner header information, which are information included in the flow statistical data 56, alone or in combination.
  • the acquisition unit 231 acquires the IF statistical data 55 and the flow statistical data 56, and the first calculation unit 232 calculates the total traffic amount of the application k to be monitored in the NW device in the representative area.
  • the acquisition conditions for the IF statistical data 55 and the flow statistical data 56 are the measurement period "T1 to T2", the NW device identification information "NE1", the IF identification information "IF1", and the communication direction " "Down” and explain.
  • the acquisition unit 231 acquires the IF statistical data 55 that matches the data acquisition conditions described above from the data lake 10.
  • FIG. 3 is an example of the IF statistical data 55 acquired by the acquisition unit 231.
  • the acquisition unit 231 stores the data in the first row of the table as start time “T1”, end time “T1_3”, and NW device identification information “ IF statistical data 55 is acquired for the IF identification information "IF1", the total downlink IF unit traffic (byte) "X1", and the total number of downlink IF unit packets "N1".
  • the acquisition unit 231 acquires the IF statistical data 55 in the upstream direction.
  • the acquisition unit 231 acquires flow statistical data 56 that matches the data acquisition conditions described above from the data lake 10.
  • FIG. 4 is an example of the flow statistical data 56 that the acquisition unit 231 acquires.
  • the acquisition unit 231 stores the data in the first row of the table as start time "T1", end time "T1_1", and NW device identification information " NE1'', IF identification information ⁇ IF1'', communication direction ⁇ down'', sampling rate ⁇ 10,000'', outer header information ⁇ f1_out'', inner header information ⁇ f1_in', and the traffic amount per flow (byte). ) is "100" and the number of packets per flow is "10".
  • the outer header information is displayed as "f1_out” and the inner header information is displayed as "f1_in” in FIG. 4, but the actual outer header information includes the source IP address, source port number, and , a 5tuple including a destination IP address, a destination port number, and a protocol number, an MPLS (Multi-Protocol Label Switching) label, etc., and the actual inner header information includes the above-mentioned 5tuples.
  • MPLS Multi-Protocol Label Switching
  • the traffic monitoring device 20 identifies the flow of the application or service to be monitored by using the port number, source IP address, etc. included in the 5 tuples of the above-mentioned Outer header information and Inner header information, either singly or in combination. Note that the combination of information such as 5tuples for specifying a flow is not limited to the information and combinations described above, and it is possible to specify a flow using other information and combinations.
  • the first calculation unit 232 calculates whether the NW device identification information and the IF identification information of the flow statistical data 56 of the sampling packet acquired by the acquisition unit 231 in paragraph number 0039 for the NW device in the representative area have the same communication direction and , all flow unit traffic amounts (bytes) whose measurement times are within a predetermined period are added up to calculate the total traffic amount Sa of all flows.
  • the first calculation unit 232 extracts the data of the application k to be monitored based on the inner header information such as the port number of the inner header and the server side IP address included in the flow statistical data 56 mentioned above, and extracts the data of the application k to be monitored. A total traffic amount Sk for each k flow is calculated.
  • the first calculation unit 232 uses the total traffic amount Sa of all flows, the total traffic amount Sk of application k, and the total traffic amount (byte) XA of the IF calculated in paragraph number 0035 to calculate the representative
  • the total traffic amount ⁇ of application k in the NW devices in the area is calculated. For example, it is calculated using the following formula (1).
  • the first calculation unit 232 can calculate the total traffic amount ⁇ of the application m in the NW device in the representative area using the total traffic amount Sm of the application m.
  • the second calculation unit 233 calculates the total traffic amount for each IF and the total traffic amount for each flow in the NW device in the representative area calculated by the first calculation unit 232, and the total traffic amount for each IF in the NW device in any area other than the representative area. , the estimated value of the total amount of traffic for each flow in the NW device in the arbitrary area is calculated.
  • the traffic amount for each application flow in the NW device in other areas is An example of calculating the total amount of traffic will be explained. Furthermore, since the topology of carrier networks is designed so that network equipment is used uniformly based on user distribution, the geographical trend differences in traffic observed at core routers are small, and the difference between the representative area where the flow statistical data 56 was obtained and the The application flow distribution is almost the same in other areas.
  • the acquisition unit 231 acquires IF statistical data 55 in NW devices in areas other than the representative area. Data acquisition conditions and communication direction of IF statistical data 55 that match the NW device identification information and IF identification information of NW devices in other areas and that are obtained when calculating the total traffic amount ⁇ of application k in the NW device in the representative area. IF statistical data 55 with matching measurement periods is acquired. Next, the first calculation unit 232 derives the total traffic amount (bytes) YB of the IF in a predetermined measurement period from the acquired IF statistical data 55 in the NW devices in other areas.
  • the second calculation unit 233 calculates the total traffic amount ⁇ of the application k in the NW device in the representative area, calculated by the first calculation unit 232, and the total traffic amount XA for each IF in the NW device in the representative area. , the total traffic amount YB for each IF in the NW device in the other area, and the total traffic amount ⁇ ' of the application k in the NW device in the other area is calculated. For example, it is calculated using the following formula (2).
  • the second calculation unit 233 can calculate the total traffic amount ⁇ ' of the application m in the NW device in another area using the total traffic amount ⁇ of the application m in the NW device in the representative area.
  • the format conversion device 30 collects header samples from the xFlow packet 51 (step S11).
  • the data lake 10 collects telemetry data 50 from the NW device 40 and flow statistics xFlow packets 52 from the format conversion device 30 (step S12).
  • the data lake 10 centrally manages the NW topology information 53, the NW device information 54, the IF statistical data 55, and the flow statistical data 56 (step S13).
  • the acquisition unit 231 acquires the IF statistical data 55 and flow statistical data 56 in the NW devices in the representative area from the data lake 10 based on predetermined conditions (step S21).
  • the first calculation unit 232 calculates the total traffic amount XA for each IF in the NW device in the representative area based on the IF statistical data 55 (step S22).
  • the first calculation unit 232 calculates the total traffic amount Sa of all flows and the total traffic amount Sk of the application k to be monitored, based on the flow statistical data 56 (step S23).
  • the first calculation unit 232 uses the total traffic amount XA for each IF in the NW device in the representative area, the total traffic amount Sa of all flows, and the total traffic amount Sk of the application k to be monitored to calculate the total traffic amount in the representative area.
  • the total traffic amount ⁇ of application k in the NW device is calculated and held (step S24).
  • the acquisition unit 231 acquires IF statistical data 55 in NW devices in other areas from the data lake 10 based on predetermined conditions (step S31).
  • the first calculation unit 232 calculates the total traffic amount YB for each IF in the NW devices in other areas (step S32).
  • the second calculation unit 233 obtains the total traffic amount ⁇ of the application k in the NW device in the representative area, which was calculated in advance by the first calculation unit 232 (S24 in FIG. 8) (step S33).
  • the second calculation unit 233 calculates the total traffic amount YB for each IF in the NW devices in other areas, the total traffic amount ⁇ of application k in the NW devices in the representative area, and the total traffic amount XA for each IF in the NW devices in the representative area.
  • the total traffic amount ⁇ ' of the application k in the NW device in the other area is calculated using (step S34).
  • the data lake 10 collects and centrally manages the telemetry data 50 transmitted by the NW device 40 and the flow statistics xFlow packets 52 transmitted by the format conversion device 30.
  • the traffic monitoring device 20 acquires the IF statistical data 55 and flow statistical data 56 accumulated in the data lake 10 based on predetermined conditions, and calculates the total traffic amount for each flow of the application or service to be monitored. do. Therefore, according to the present invention, the following effects are achieved.
  • traffic monitoring device 20 can calculate the total amount of traffic for each flow of an application or service to be monitored, it is possible to monitor traffic for each flow to be monitored in order to detect anomalies in applications, services, etc.
  • the traffic monitoring device 20 uses flow statistical data 56 of sampled header samples and IF statistical data 55, which is telemetry data with a small amount of data, without collecting header samples of all packets. Calculate the total traffic amount for each service flow. Therefore, the traffic monitoring device 20 can calculate the target total traffic amount using a method that places less load on the network.
  • the traffic monitoring device 20 collects header samples only from NW devices in the representative area, and only acquires IF statistical data 55 for NW devices in other areas other than the representative area, and collects header samples of the applications and services to be monitored. Since the total amount of traffic for each flow can be calculated, the load on the network and the load on the NW device can be reduced.
  • each component of each device shown in the drawings is functionally conceptual, and does not necessarily need to be physically configured as shown in the drawings.
  • the specific form of distributing and integrating each device is not limited to what is shown in the diagram, and all or part of the devices can be functionally or physically distributed or integrated in arbitrary units depending on various loads, usage conditions, etc. Can be integrated and configured.
  • all or any part of each processing function performed by each device can be realized by a CPU and a program that is analyzed and executed by the CPU, or can be realized as hardware using wired logic.
  • the data lake 10 and the traffic monitoring device 20 can be implemented as package software or online software by installing a traffic monitoring program that executes the above-described data collection and traffic monitoring on a desired computer.
  • a traffic monitoring program that executes the above-described data collection and traffic monitoring on a desired computer.
  • the information processing device can function as the data lake 10 and the traffic monitoring device 20.
  • the information processing device referred to here includes a desktop or notebook personal computer.
  • information processing devices include mobile communication terminals such as smartphones, mobile phones, and PHSs (Personal Handyphone Systems), as well as slate terminals such as PDAs (Personal Digital Assistants).
  • FIG. 10 is a diagram showing an example of a computer on which the data lake 10 and the traffic monitoring device 20 are implemented.
  • Computer 1000 includes, for example, a memory 1010 and a CPU 1020.
  • the computer 1000 also includes a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These parts are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores, for example, a boot program such as BIOS (Basic Input Output System).
  • Hard disk drive interface 1030 is connected to hard disk drive 1090.
  • Disk drive interface 1040 is connected to disk drive 1100.
  • Serial port interface 1050 is connected to, for example, mouse 1110 and keyboard 1120.
  • Video adapter 1060 is connected to display 1130, for example.
  • the hard disk drive 1090 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. That is, a program that defines each process of the data lake 10 and the traffic monitoring device 20 is implemented as a program module 1093 in which code executable by a computer is written. Program module 1093 is stored in hard disk drive 1090, for example. For example, a program module 1093 for executing processing similar to the functional configuration of the data lake 10 and the traffic monitoring device 20 is stored in the hard disk drive 1090. Note that the hard disk drive 1090 may be replaced by an SSD (Solid State Drive).
  • SSD Solid State Drive
  • the setting data used in the processing of the embodiment described above is stored as program data 1094 in, for example, the memory 1010 or the hard disk drive 1090. Then, the CPU 1020 reads out the program module 1093 and program data 1094 stored in the memory 1010 and the hard disk drive 1090 to the RAM 1012 as necessary, and executes the processing of the embodiment described above.
  • program module 1093 and the program data 1094 are not limited to being stored in the hard disk drive 1090, but may be stored in a removable storage medium, for example, and read by the CPU 1020 via the disk drive 1100 or the like.
  • program module 1093 and program data 1094 may be stored in another computer connected via a network (LAN, WAN (Wide Area Network), etc.). The program module 1093 and program data 1094 may then be read by the CPU 1020 from another computer via the network interface 1070.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

トラヒック監視装置（２０）は、ネットワーク装置から取得したＩＦ単位の統計情報であるＩＦ統計データ及びサンプリングしたパケットから算出した統計情報であるフロー統計データを蓄積する外部の記憶装置から、ＩＦ統計データと、フロー統計データとを、取得し、ＩＦ統計データから算出したＩＦごとのトラヒック総量と、フロー統計データから算出したフローごとの合計トラヒック量に基づいて、個別のフローごとのトラヒック総量を算出する。

Description

トラヒック監視装置、トラヒック監視方法及びトラヒック監視プログラム
　本発明は、トラヒック監視装置、トラヒック監視方法及びトラヒック監視プログラムに関する。
　近年、アプリケーションやサービス等の障害や異常検知等のために、トラヒック収集及び分析の重要性が高まっている。そのための技術として、パケットのヘッダ情報から算出したフロー統計情報や、ヘッダ部分そのもの（ヘッダサンプル）を転送することにより、トラヒックの集計及び分析を行うｘＦｌｏｗ技術が知られている。このｘＦｌｏｗ技術のうち、ヘッダサンプルを切り取って転送する方式のＩＰＦＩＸ　ｗ／ＩＥ３１５（非特許文献１）や、ｓＦｌｏｗ（非特許文献２）が知られている。また、パケットのヘッダ情報から算出したフロー統計情報を転送する方式のネットワーク（以下、「ＮＷ」）装置ｔＦｌｏｗ（非特許文献３）や、ＩＰＦＩＸ（非特許文献４から９）が知られている。
　他方、カプセル化パケットの分析手法として、サンプリングしたカプセル化パケットのヘッダサンプルを解析し、Ｏｕｔｅｒ／Ｉｎｎｅｒヘッダ情報等のフロー情報及びフロー単位に算出したトラヒック量やパケット数等のフロー統計情報を送信する、フォーマット変換装置が知られている（特許文献１及び非特許文献１０参照）。
　さらに、ネットワーク上のＮＷ装置等は、テレメトリにより一定時間間隔でＮＷ装置のインタフェース（以下、「ＩＦ」）単位のトラヒック総量や、パケット総数等のＩＦ統計情報を送信することもできる。
特開２０２１－０９０１６１号公報
S.　Kashima,　他２名,　「Information　Elements　for　Data　Link　Layer　Traffic　Measurement」,　　［online］,　　［令和４年５月２４日検索］,　インターネット＜ＵＲＬ：https://www.rfc-editor.org/rfc/rfc7133.html＞ Peter　Phaal,　　他１名,　「sFlow　Version　5」,　　［online］,　　［令和４年５月２４日検索］,　インターネット＜ＵＲＬ：https://sflow.org/sflow_version_5.txt＞ B.　Claise,　「Cisco　Systems　NetFlow　Services　Export　Version　9」,　　［online］,　　［令和４年５月２４日検索］,　インターネット＜ＵＲＬ：https://www.rfc-editor.org/rfc/rfc3954.txt＞ B.　Trammell,　他１名,　「Bidirectional　Flow　Export　Using　IP　Flow　Information　Export　(IPFIX)」,　　［online］,　　［令和４年５月２４日検索］,　インターネット＜ＵＲＬ：https://www.rfc-editor.org/rfc/rfc5103.txt＞ B.　Claise,　他２名,　「Specification　of　the　IP　Flow　Information　Export　(IPFIX)　Protocol　for　the　Exchange　of　Flow　Information」,　　［online］,　　［令和４年５月２４日検索］,　インターネット＜ＵＲＬ：https://www.rfc-editor.org/rfc/rfc7011.txt＞ B.　Claise,　他１名,　「Information　Model　for　IP　Flow　Information　Export　(IPFIX)」,　　［online］,　　［令和４年５月２４日検索］,　インターネット＜ＵＲＬ：https://www.rfc-editor.org/rfc/rfc7012.txt＞ B.　Trammell,　他１名,　「Guidelines　for　Authors　and　Reviewers　of　IP　Flow　Information　Export　(IPFIX)　Information　Elements」,　　［online］,　　［令和４年５月２４日検索］,　インターネット＜ＵＲＬ：https://www.rfc-editor.org/rfc/rfc7013.txt＞ S.　D'Antonio,　他３名,　「Flow　Selection　Techniques」,　　［online］,　　［令和４年５月２４日検索］,　インターネット＜ＵＲＬ：https://www.rfc-editor.org/rfc/rfc7014.txt＞ B.　Trammell,　他２名,　「Flow　Aggregation　for　the　IP　Flow　Information　Export　(IPFIX)　Protocol」,　　［online］,　　［令和４年５月２４日検索］,　インターネット＜ＵＲＬ：https://www.rfc-editor.org/rfc/rfc7015.txt＞ 西岡、他「複数事業者を収容するキャリア網のトラヒックを可視化するFast　xFlow　Proxy　の提案」電子情報通信学会　2021年3月　総合大会　B-6-33
　しかしながら、従来技術では、全パケットのヘッダサンプルを収集することなく、サンプリングされたヘッダサンプルのフロー統計情報及びテレメトリで収集するＩＦ単位の統計情報に基づいて、フローごとのトラヒック総量を推定することができなかった。
　例えば、アプリケーションやサービスに起因するトラヒック異常検知等を行う場合は、アプリケーションやサービスのフローごとでのトラヒック総量の監視が必要である。しかし、ｘＦｌｏｗ技術によりパケットのサンプリングを行い、ヘッダサンプルを得る方法では、サンプリングされていない全パケットのフローごとのトラヒック総量を算出することはできない。他方で、サンプリングではなく全パケットのヘッダサンプルを収集する方法は、フローごとのトラヒック総量を算出できるが、転送されるヘッダサンプルが増加し、ネットワーク負荷の著しい増加が懸念される。
　また、テレメトリを用いてＮＷ装置からＩＦ単位の統計情報を収集する方法では、ＮＷ装置からＩＦ単位のトラヒック総量を収集することは可能であるが、前述のＩＦ単位のトラヒック総量からフローごとのトラヒック総量を算出することはできない。
　上記の課題を解決し目的を達成するために、本発明のトラヒック監視装置は、ネットワーク装置から取得したＩＦ単位の統計情報であるＩＦ統計データ及びサンプリングしたパケットから算出した統計情報であるフロー統計データを蓄積する外部の記憶装置から、前記ＩＦ統計データと、前記フロー統計データとを、取得する取得部と、前記ＩＦ統計データから算出したＩＦごとのトラヒック総量と、前記フロー統計データから算出したフローごとの合計トラヒック量に基づいて、個別のフローごとのトラヒック総量を算出する第１算出部と、を備えることを特徴とする。
　本発明は、全パケットのヘッダサンプルを収集することなく、テレメトリで収集するＩＦ単位の統計情報及びサンプリングされたヘッダサンプルのフロー統計情報に基づいて、フローごとのトラヒック総量を推定可能となる、という効果を奏する。
図１は、実施形態に係るトラヒック監視の概要の一例を示す図である。 図２は、実施形態に係るデータレイク及びトラヒック監視装置の装置構成の一例を示す図である。 図３は、実施形態に係るデータレイクが収集するＩＦ統計データの一例を示すデータテーブル図である。 図４は、実施形態に係るトラヒック監視装置がデータレイクから取得するフロー統計データの一例を示すデータテーブル図である。 図５は、実施形態に係るフローごとのトラヒック総量算出の一例を示す図である。 図６は、実施形態に係る代表エリア以外の他エリアのＮＷ装置におけるフローごとのトラヒック総量算出の一例を示す図である。 図７は、実施形態に係るデータレイクによるデータ収集及び一元管理のフローチャートである。 図８は、実施形態に係るトラヒック監視装置による代表エリアのＮＷ装置におけるフローごとのトラヒック総量算出のフローチャートである。 図９は、実施形態に係るトラヒック監視装置による他エリアのＮＷ装置におけるフローごとのトラヒック総量算出のフローチャートである。 図１０は、実施形態に係るデータレイク及びトラヒック監視装置が実現されるコンピュータの一例を示す図である。
　以下、図面を参照しながら、本発明を実施するための形態（以下、「実施形態」）について説明する。なお、本発明は、本実施形態に限定されない。また、本発明の実施形態においては、「所定の条件が合致する全パケットのトラヒック量を合算した値」を「トラヒック総量」と定義し、「所定の条件が合致するサンプリングパケットのフロー単位のトラヒック量をすべて合算した値」を「全フローの合計トラヒック量」と定義し、「所定の条件が合致するサンプリングパケットのフロー単位のトラヒック量を、監視対象のフローのみ合算した値」を「フローごとの合計トラヒック量」と定義し、以下統一して記載する。
〔１．概要〕
　本発明は、外部の記憶装置であるデータレイク１０（以下、単に「データレイク１０」）が、複数のサービスネットワークが重畳したネットワークにおいて、ＮＷ装置４０からテレメトリデータ５０を、フォーマット変換装置３０からカプセル化パケットのフロー統計ｘＦｌｏｗパケット５２を収集し、一元管理する。また、トラヒック監視装置２０は、ＩＦ単位のトラヒック総量等の情報を含むＩＦ統計データ５５と、サンプリングされたカプセル化パケットのフロー単位のトラヒック量等の情報を含むフロー統計データ５６とを、所定の条件に基づいてデータレイク１０から取得し、監視対象のアプリケーションやサービス等のフローごとのトラヒック総量を算出して、トラヒック監視をする。
〔２．実施形態に係るトラヒック監視の一例〕
　まず、図１を用いてデータレイク１０と、トラヒック監視装置２０と、が行う処理についての一例を説明する。図１は、実施形態に係るトラヒック監視の概要の一例を示す図である。図１では、まずネットワーク上の通信機器であるＮＷ装置４０が、テレメトリデータ５０をデータレイク１０に送信する。なお、テレメトリデータ５０には、テレメトリで取得した「ＮＷ装置識別情報」と、「ＮＷ装置のＩＦ識別情報」と、「時刻情報」と、「受信トラヒック量」と、「送信トラヒック量」と、「受信パケット数」と、「送信パケット数」と、が含まれる。なお、ネットワーク内におけるＮＷ装置４０の台数は限定されるものではなく、ネットワーク構成に必要な台数が複数台含まれていてよい。また、テレメトリデータ５０には、前述した情報以外の情報が含まれていてよい。
　続いて、ＮＷ装置４０が、サンプリングしたカプセル化パケットのｘＦｌｏｗパケット５１を、フォーマット変換装置３０へ送信する。前述のｘＦｌｏｗパケット５１には、「カプセル化パケットのヘッダサンプル」と、「サンプリングレート」と、「時刻情報」と、「ＮＷ装置識別情報」と、「ＮＷ装置のＩＦ識別情報」「通信方向」「サンプリング前のパケットサイズ」と、が含まれる。なお、ｘＦｌｏｗパケット５１には、前述した情報以外の情報が含まれていてよい。
　次に、ｘＦｌｏｗパケット５１を受信したフォーマット変換装置３０は、ｘＦｌｏｗパケット５１からフロー単位に統計情報を算出し、フロー統計ｘＦｌｏｗパケット５２をデータレイク１０に送信する。前述のフロー統計ｘＦｌｏｗパケット５２には、「Ｏｕｔｅｒヘッダ情報、Ｉｎｎｅｒヘッダ情報等を含むフロー情報」と、「フロー単位に算出した、Ｉｎｎｅｒパケットのトラヒック量、Ｏｕｔｅｒヘッダを含むパケットのトラヒック量、パケット数等を含むフロー統計情報」と、「時刻情報」と、「サンプリングレート」と、「ＮＷ装置識別情報」と、「ＮＷ装置のＩＦ識別情報」と、「通信方向」と、を含む。なお、フロー統計ｘＦｌｏｗパケット５２には、前述した情報以外の情報が含まれていてよい。
　そして、データレイク１０は、ＮＷトポロジ情報５３と、ネットワークを構成するＮＷ装置のＩＦやＩＰアドレス等のＮＷ装置情報５４と、テレメトリデータ５０に含まれる情報（以下、ＩＦ統計データ５５）と、フロー統計ｘＦｌｏｗパケット５２に含まれる情報（以下、フロー統計データ５６）とを一元管理する。
　次に、トラヒック監視装置２０は、所定の条件に基づいてＩＦ統計データ５５及びフロー統計データ５６を、データレイク１０から取得する。続いて、トラヒック監視装置２０は、取得したＩＦ統計データ５５及びフロー統計データ５６に基づいて、監視対象のアプリケーションやサービス等のフローごとのトラヒック総量の推定値を算出する。
〔３．データレイク及びトラヒック監視装置の構成例〕
　実施形態に係るデータレイク１０及びトラヒック監視装置２０の構成について、図２を用いて説明する。図２に示すように、本発明は、データレイク１０と、トラヒック監視装置２０と、を含む装置構成で実現される。以下に、各部の詳細な機能について記載する。
（データレイク１０）
　データレイク１０は、通信部１１と、記憶部１２と、制御部１３と、を有する。なお、図示していないが、データレイク１０は、各種操作を受け付ける入力部（例えば、キーボードやマウス等）や、各種情報を表示するための表示部（例えば、ディスプレイ等）を備えてもよい。
　またデータレイク１０は、構造化データと非構造化データを一元的に保存可能な装置である。例えば、ＸＭＬファイルやＣＳＶファイルのように規則性を有する構造化データや、画像ファイルや、文書ファイルや、動画ファイルや、電子メール等の非構造化データを、そのままの形式で格納することができる。なお、データレイク１０は、構造化データのみを格納する機能を有していてもよい。
（通信部１１）
　データレイク１０の通信部１１は、ＮＩＣ（Network　Interface　Card）等で実現され、ＬＡＮ（Local　Area　Network）やインターネット等の電気通信回線を介して通信を制御する。後述のトラヒック監視装置２０は、データレイク１０の通信部１１と、トラヒック監視装置２０の通信部２１とを介して、データを取得する。
（記憶部１２）
　データレイク１０の記憶部１２は、制御部１３による各種処理に必要なデータおよびプログラムを格納する。また、記憶部１２は、ＩＦ統計データ記憶部１２１と、フロー統計データ記憶部１２２と、を有する。そして、記憶部１２は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置等で実現する。
（ＩＦ統計データ記憶部１２１）
　ＩＦ統計データ記憶部１２１は、ＮＷ装置４０から送信される、テレメトリデータ５０に含まれる情報に基づいてＩＦ統計データ５５を記憶する。
（フロー統計データ記憶部１２２）
　フロー統計データ記憶部１２２は、フォーマット変換装置３０から送信される、フロー統計ｘＦｌｏｗパケット５２に含まれる情報に基づいてフロー統計データ５６を記憶する。
（制御部１３）
　データレイク１０の制御部１３は、収集部１３１を有する。制御部１３は、各種の処理手順等を規定したプログラムや処理データを一時的に格納するための内部メモリを有し、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）等の電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）等の集積回路によって実現される。
（収集部１３１）
　収集部１３１は、ＮＷ装置４０から送信されるテレメトリデータ５０に含まれる情報に基づいて、ＩＦ統計データ５５と、フォーマット変換装置３０から送信されるフロー統計ｘＦｌｏｗパケット５２に含まれる情報に基づいて、フロー統計データ５６とを、収集する。なお、収集部１３１が収集するデータは、前述の情報に限定されるものではなく、それ以外の情報を収集してよい。
（トラヒック監視装置２０）
　次に、トラヒック監視装置２０の説明を行う。トラヒック監視装置２０は、通信部２１と、記憶部２２と、制御部２３を有する。なお、図示していないが、トラヒック監視装置２０は、各種操作を受け付ける入力部（例えば、キーボードやマウス等）や、各種情報を表示するための表示部（例えば、ディスプレイ等）を備えてもよい。
（通信部２１）
　トラヒック監視装置２０の通信部２１は、ＮＩＣ等で実現され、ＬＡＮやインターネット等の電気通信回線を介して通信を制御する。トラヒック監視装置２０は、前述したデータレイク１０の通信部１１と、トラヒック監視装置２０の通信部２１とを介して、データを取得する。
（記憶部２２）
　トラヒック監視装置２０の記憶部２２は、制御部２３による各種処理に必要なデータおよびプログラムを格納する。そして、記憶部２２は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置等で実現する。
（制御部２３）
　トラヒック監視装置２０の制御部２３は、取得部２３１と、第１算出部２３２と、第２算出部２３３とを、有する。制御部２３は、各種の処理手順等を規定したプログラムや処理データを一時的に格納するための内部メモリを有し、ＣＰＵやＭＰＵ等の電子回路やＡＳＩＣやＦＰＧＡ等の集積回路によって実現される。
（取得部２３１）
　取得部２３１は、ネットワーク装置から取得したＩＦ単位の統計情報であるＩＦ統計データ５５及びサンプリングしたパケットから算出した統計情報であるフロー統計データ５６を蓄積する外部の記憶装置であるデータレイク１０から、所定の取得条件に基づいて、ＩＦ統計データ５５と、フロー統計データ５６とを、取得する。そして、取得部２３１は、ＮＷ装置識別情報と、ＩＦ識別情報と、通信方向が同一かつ、測定時刻が所定の期間内であるＩＦ統計データ５５及びフロー統計データ５６を、データレイク１０から取得する。なお、データ取得条件には上記以外の条件が含まれていてよい。また、フロー統計データ５６で取得するトラヒック量は、「Ｉｎｎｅｒパケットのトラヒック量」であってもよいし、「Ｏｕｔｅｒヘッダを含むパケットのトラヒック量」であってもよい。
　ここで、取得部２３１は、データレイク１０において、ＩＦ統計データ５５とフロー統計データ５６とで同じ属性に対して異なる表現の情報を保持している場合、例えば、同じＮＷ装置を異なる識別情報で表現している場合は、管理装置で予め、ＩＦ統計データ５５とフロー統計データ５６における同じ属性に対する識別情報を対応づけて保持しておくことにより、上記データをデータレイク１０から取得できる。
（第１算出部２３２）
　第１算出部２３２は、段落番号００３３で取得部２３１が取得するＩＦ統計データ５５に含まれる情報である、ＮＷ装置識別情報と、ＩＦ識別情報と、通信方向が同一かつ、測定時刻が所定の期間内のＩＦ単位のトラヒック総量を合算して、所定の測定期間の当該ＩＦのトラヒック総量を算出する。なお、段落番号００３３においてフロー統計データ５６で「Ｉｎｎｅｒパケットのトラヒック量」を取得する場合は、ＩＦ統計データ５５のＩＦ単位トラヒック総量とＩＦ単位パケット総数に基づいて算出したＩＦ単位のＩｎｎｅｒパケットのトラヒック総量を所定の測定期間について合算して、所定の測定期間の当該ＩＦのトラヒック総量を算出する。
　また、第１算出部２３２は、同じく段落番号００３３で取得部２３１が取得するフロー統計データ５６に含まれる情報であるサンプリングパケットのフロー単位トラヒック量の所定の測定期間の合計トラヒック量と、前述の当該ＩＦのトラヒック総量に基づいて、監視対象のアプリケーションやサービス等の個別のフローごとのトラヒック総量の推定値を算出する。トラヒック監視装置２０は、監視対象のアプリケーションやサービスのフローを、フロー統計データ５６に含まれる情報であるＯｕｔｅｒヘッダ情報およびＩｎｎｅｒヘッダ情報を単独もしくは複数を組み合わせて、特定する。
　続いて、図３から図５を用いて、取得部２３１によるＩＦ統計データ５５及びフロー統計データ５６の取得と、第１算出部２３２による代表エリアのＮＷ装置における監視対象のアプリケーションｋのトラヒック総量の推定値を算出する、一例を説明する。なお、本例示においては、ＩＦ統計データ５５及びフロー統計データ５６の取得条件は、測定期間「Ｔ１からＴ２」と、ＮＷ装置識別情報「ＮＥ１」と、ＩＦ識別情報「ＩＦ１」と、通信方向「下り」と設定し説明する。
　まず、取得部２３１は、前述したデータ取得条件と合致するＩＦ統計データ５５をデータレイク１０から取得する。図３は取得部２３１が取得するＩＦ統計データ５５の一例であり、例えば、取得部２３１は、テーブル１行目データが開始時刻「Ｔ１」で、終了時刻「Ｔ１＿３」で、ＮＷ装置識別情報「ＮＥ１」で、ＩＦ識別情報「ＩＦ１」で、下り方向のＩＦ単位トラヒック総量（ｂｙｔｅ）「Ｘ１」で、下り方向のＩＦ単位パケット総数「Ｎ１」の、ＩＦ統計データ５５を取得する。なお、取得部２３１は、取得条件で通信方向「上り」と設定する場合には、上り方向のＩＦ統計データ５５を取得する。
　次に、取得部２３１は、前述のデータ取得条件と合致するフロー統計データ５６を、データレイク１０から取得する。図４は取得部２３１が取得するフロー統計データ５６の一例であり、例えば、取得部２３１は、テーブル１行目データが開始時刻「Ｔ１」で、終了時刻「Ｔ１＿１」で、ＮＷ装置識別情報「ＮＥ１」で、ＩＦ識別情報「ＩＦ１」で、通信方向「下り」で、サンプリングレート「１０，０００」で、Ｏｕｔｅｒヘッダ情報「ｆ１＿ｏｕｔ」で、Ｉｎｎｅｒヘッダ情報「ｆ１＿ｉｎ」で、フロー単位トラヒック量（ｂｙｔｅ）「１００」で、フロー単位パケット数「１０」で、というフロー統計データ５６を取得する。
　なお、図４で本例示のＯｕｔｅｒヘッダ情報は「ｆ１＿ｏｕｔ」と、Ｉｎｎｅｒヘッダ情報は「ｆ１＿ｉｎ」と表示しているが、実際のＯｕｔｅｒヘッダ情報には、送信元ＩＰアドレスと、送信元ポート番号と、宛先ＩＰアドレスと、宛先ポート番号と、プロトコル番号とを含む５ｔｕｐｌｅや、ＭＰＬＳ（Multi-Protocol　Label　Switching）ラベル等が含まれ、実際のＩｎｎｅｒヘッダ情報には、前述の５ｔｕｐｌｅ等が含まれる。
　トラヒック監視装置２０は、前述のＯｕｔｅｒヘッダ情報および、Ｉｎｎｅｒヘッダ情報の５ｔｕｐｌｅに含まれるポート番号や送信元ＩＰアドレス等を単独もしくは複数を組み合わせて、監視対象のアプリケーションやサービスのフローを特定する。なおフローを特定するための５ｔｕｐｌｅ等の情報の組み合わせは、前述した情報や組み合わせに限定されるものではなく、その他の情報や組み合わせでフローを特定することができる。
　続いて、図５において、代表エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量αを算出する一例を説明する。まず、第１算出部２３２は、代表エリアのＮＷ装置について段落番号００３９で取得部２３１が取得したサンプリングパケットのフロー統計データ５６の、ＮＷ装置識別情報と、ＩＦ識別情報と、通信方向が同一かつ、測定時刻が所定の期間内であるフロー単位トラヒック量（ｂｙｔｅ）をすべて合算し、全フローの合計トラヒック量Ｓａを算出する。続いて、第１算出部２３２は、前述のフロー統計データ５６に含まれるＩｎｎｅｒヘッダのポート番号やサーバ側ＩＰアドレス等のＩｎｎｅｒヘッダ情報に基づいて、監視対象のアプリケーションｋのデータを抽出し、アプリケーションｋのフローごとの合計トラヒック量Ｓｋを算出する。
　次に、第１算出部２３２は、全フローの合計トラヒック量Ｓａと、アプリケーションｋの合計トラヒック量Ｓｋと、段落番号００３５で算出した当該ＩＦのトラヒック総量（ｂｙｔｅ）ＸＡと、を用いて、代表エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量αを算出する。例えば、下記式（１）を用いて計算する。
Figure JPOXMLDOC01-appb-M000001
　なお、前述の計算式（１）のＳｋには、他のアプリケーションのフローごとの合計トラヒック量を代入してよい。例えば、第１算出部２３２は、アプリケーションｍの合計トラヒック量Ｓｍを用いて、代表エリアのＮＷ装置におけるアプリケーションｍのトラヒック総量βを算出できる。
（第２算出部２３３）
　第２算出部２３３は、第１算出部２３２が算出した代表エリアのＮＷ装置におけるＩＦごとのトラヒック総量及びフローごとのトラヒック総量と、代表エリア以外の任意エリアのＮＷ装置におけるＩＦごとのトラヒック総量と、に基づいて、任意エリアのＮＷ装置におけるフローごとのトラヒック総量の推定値を算出する。
　以下、図６において、代表エリアのＮＷ装置におけるＩＦ統計データ５５及びフロー統計データ５６に基づいて算出した、各アプリケーションのフローごとのトラヒック総量を用いて、他エリアのＮＷ装置における各アプリケーションのフローごとのトラヒック総量を算出する例を説明する。なお、キャリア網はユーザ分布に基づいてネットワーク設備が均一に使用されるようトポロジ設計が行われるため、コアルータで観測されるトラヒックの地理的傾向差は小さく、フロー統計データ５６を取得した代表エリアと他エリアとでアプリケーションのフロー分布はほぼ同じとなる。
　まず、取得部２３１は、代表エリア以外の他エリアのＮＷ装置におけるＩＦ統計データ５５を取得する。他エリアのＮＷ装置のＮＷ装置識別情報とＩＦ識別情報に合致し、かつ代表エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量αを算出する際に取得したＩＦ統計データ５５のデータ取得条件と通信方向および測定期間が合致するＩＦ統計データ５５を取得する。次に、第１算出部２３２は、取得した前述の他エリアのＮＷ装置におけるＩＦ統計データ５５について、所定の測定期間の当該ＩＦのトラヒック総量（ｂｙｔｅ）ＹＢを導出する。続けて、第２算出部２３３は、第１算出部２３２が算出した、前述の代表エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量αと、前述の代表エリアのＮＷ装置におけるＩＦごとのトラヒック総量ＸＡと、他エリアのＮＷ装置におけるＩＦごとのトラヒック総量ＹＢと、を用いて、他エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量α’を算出する。例えば、下記式（２）を用いて計算する。
Figure JPOXMLDOC01-appb-M000002
　なお、前述の計算式（２）のαには、他のアプリケーションにおけるフローごとのトラヒック総量を代入してよい。例えば、第２算出部２３３は、代表エリアのＮＷ装置におけるアプリケーションｍのトラヒック総量βを用いて、他エリアのＮＷ装置におけるアプリケーションｍのトラヒック総量β’を算出できる。
〔４．トラヒック監視方法の手順〕
　次に、図７から図９を用いて、データレイク１０及びトラヒック監視装置２０によるトラヒック監視方法の手順について説明する。まず、図７を用いて、データレイク１０がデータを収集し、一元管理する手順を説明する。
　図７では、フォーマット変換装置３０が、ｘＦｌｏｗパケット５１からヘッダサンプルを収集する（工程Ｓ１１）。次に、データレイク１０が、ＮＷ装置４０からテレメトリデータ５０を、フォーマット変換装置３０からフロー統計ｘＦｌｏｗパケット５２を、収集する（工程Ｓ１２）。そして、データレイク１０は、ＮＷトポロジ情報５３と、ＮＷ装置情報５４と、ＩＦ統計データ５５と、フロー統計データ５６とを、一元管理する（工程Ｓ１３）。
　次に、図８を用いて、トラヒック監視装置２０による代表エリアのＮＷ装置におけるフローごとのトラヒック総量算出の手順について説明する。まず、取得部２３１は、所定の条件に基づいて代表エリアのＮＷ装置におけるＩＦ統計データ５５及びフロー統計データ５６を、データレイク１０から取得する（工程Ｓ２１）。次に、第１算出部２３２は、ＩＦ統計データ５５に基づいて、代表エリアのＮＷ装置におけるＩＦごとのトラヒック総量ＸＡを算出する（工程Ｓ２２）。第１算出部２３２は、フロー統計データ５６に基づいて、全フローの合計トラヒック量Ｓａと、監視対象のアプリケーションｋの合計トラヒック量Ｓｋとを、算出する（工程Ｓ２３）。さらに、第１算出部２３２は、代表エリアのＮＷ装置におけるＩＦごとのトラヒック総量ＸＡと、全フローの合計トラヒック量Ｓａと、監視対象のアプリケーションｋの合計トラヒック量Ｓｋと、を用いて、代表エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量αを算出し、保持する（工程Ｓ２４）。
　続いて、図９を用いて、トラヒック監視装置２０による他エリアのＮＷ装置におけるトラヒック総量算出の手順について説明する。まず、取得部２３１は、所定の条件に基づいて他エリアのＮＷ装置におけるＩＦ統計データ５５を、データレイク１０から取得する（工程Ｓ３１）。次に、第１算出部２３２が、他エリアのＮＷ装置におけるＩＦごとのトラヒック総量ＹＢを算出する（工程Ｓ３２）。続いて、第２算出部２３３は、第１算出部２３２が事前に算出した（図８のＳ２４）、代表エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量αを取得する（工程Ｓ３３）。続けて、第２算出部２３３が、他エリアのＮＷ装置におけるＩＦごとのトラヒック総量ＹＢと、代表エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量αと、代表エリアのＮＷ装置におけるＩＦごとのトラヒック総量ＸＡと、を用いて、他エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量α’を算出する（工程Ｓ３４）。
〔５．効果〕
　前述してきたように、本発明において、データレイク１０は、ＮＷ装置４０が送信するテレメトリデータ５０と、フォーマット変換装置３０が送信するフロー統計ｘＦｌｏｗパケット５２とを、収集し、一元管理する。また、トラヒック監視装置２０が、データレイク１０に蓄積しているＩＦ統計データ５５及びフロー統計データ５６を、所定の条件に基づいて取得し、監視対象のアプリケーションやサービスのフローごとのトラヒック総量を算出する。そのため、本発明によれば、下記の効果を奏する。
〔５－１．フローごとのトラヒック監視〕
　トラヒック監視装置２０は、監視対象のアプリケーションやサービス等のフローごとのトラヒック総量を算出できるため、アプリケーションやサービス等の異常検知のための、監視対象のフローごとのトラヒック監視が可能である。
〔５－２．低負荷な方法によるフローごとのトラヒック総量算出〕
　トラヒック監視装置２０は、全パケットのヘッダサンプルを収集することなく、サンプリングされたヘッダサンプルのフロー統計データ５６と、データ量の少ないテレメトリデータであるＩＦ統計データ５５を用いて、監視対象のアプリケーションやサービスのフローごとのトラヒック総量を算出する。そのため、トラヒック監視装置２０は、ネットワークへの負荷が低い方法で目的のトラヒック総量を算出できる。
〔５－３．ネットワーク全体のトラヒック量の削減〕
　トラヒック監視装置２０は、収集するヘッダサンプルが代表エリアのＮＷ装置のみであり、代表エリア以外の他エリアのＮＷ装置については、ＩＦ統計データ５５を取得するのみで、監視対象のアプリケーションやサービス等のフローごとのトラヒック総量を算出可能であるため、ネットワークへの負荷およびＮＷ装置への負荷を削減することができる。
〔６．ハードウェア構成〕
　図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を公知の方法で手動的に行うこともできる。この他、図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。　
［プログラム］
　一実施形態として、データレイク１０及びトラヒック監視装置２０は、パッケージソフトウェアやオンラインソフトウェアとして、前述したデータの収集及びトラヒック監視を実行するトラヒック監視プログラムを、所望のコンピュータにインストールさせることによって実装できる。例えば、上記のトラヒック監視プログラムを情報処理装置に実行させることにより、情報処理装置をデータレイク１０及びトラヒック監視装置２０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。
　図１０は、データレイク１０及びトラヒック監視装置２０が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、データレイク１０及びトラヒック監視装置２０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、データレイク１０及びトラヒック監視装置２０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid　State　Drive）により代替されてもよい。
　また、前述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、前述した実施形態の処理を実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
〔７．その他〕
　以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等はすべて本発明の範疇に含まれる。
　１０　　　データレイク
　１１　　　通信部
　１２　　　記憶部
　１２１　　ＩＦ統計データ記憶部
　１２２　　フロー統計データ記憶部
　１３　　　制御部
　１３１　　収集部
　２０　　　トラヒック監視装置
　２１　　　通信部
　２２　　　記憶部
　２３　　　制御部
　２３１　　取得部
　２３２　　第１算出部
　２３３　　第２算出部
　３０　　　フォーマット変換装置
　４０　　　ＮＷ装置
　５０　　　テレメトリデータ
　５１　　　ｘＦｌｏｗパケット
　５２　　　フロー統計ｘＦｌｏｗパケット
　５３　　　ＮＷトポロジ情報
　５４　　　ＮＷ装置情報
　５５　　　ＩＦ統計データ
　５６　　　フロー統計データ
　ＸＡ　　　代表エリアのＮＷ装置におけるＩＦごとのトラヒック総量
　ＹＢ　　　他エリアのＮＷ装置におけるＩＦごとのトラヒック総量
　α　　　　代表エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量
　α’　　　他エリアのＮＷ装置におけるアプリケーションｋのトラヒック総量
　β　　　　代表エリアのＮＷ装置におけるアプリケーションｍのトラヒック総量
　β’　　　他エリアのＮＷ装置におけるアプリケーションｍのトラヒック総量
　Ｓｋ　　　アプリケーションｋの合計トラヒック量
　Ｓｍ　　　アプリケーションｍの合計トラヒック量
　Ｓａ　　　全フローの合計トラヒック量
　１０００　コンピュータ
　１０１０　メモリ
　１０１１　ＲＯＭ
　１０１２　ＲＡＭ
　１０２０　ＣＰＵ
　１０３０　ハードディスクドライブインタフェース
　１０４０　ディスクドライブインタフェース
　１０５０　シリアルポートインタフェース
　１０６０　ビデオアダプタ
　１０７０　ネットワークインタフェース
　１０８０　バス
　１０９０　ハードディスクドライブ
　１０９１　ＯＳ
　１０９２　アプリケーションプログラム
　１０９３　プログラムモジュール
　１０９４　プログラムデータ
　１１００　ディスクドライブ
　１１１０　マウス
　１１２０　キーボード

Claims (4)

  1. 　ネットワーク装置から取得したＩＦ単位の統計情報であるＩＦ統計データ及びサンプリングしたパケットから算出した統計情報であるフロー統計データを蓄積する外部の記憶装置から、前記ＩＦ統計データと、前記フロー統計データとを、取得する取得部と、
    　前記ＩＦ統計データから算出したＩＦごとのトラヒック総量と、前記フロー統計データから算出したフローごとの合計トラヒック量に基づいて、個別のフローごとのトラヒック総量を算出する第１算出部と、
    　を備えることを特徴とするトラヒック監視装置。
  2. 　代表エリアのＮＷ装置における前記ＩＦごとのトラヒック総量及び前記フローごとのトラヒック総量と、代表エリア以外の任意エリアのＮＷ装置における前記ＩＦごとのトラヒック総量と、に基づいて、前記任意エリアのＮＷ装置における前記フローごとのトラヒック総量を算出する第２算出部を、さらに有する、
    　ことを特徴とする、請求項１に記載のトラヒック監視装置。
  3. 　ネットワーク装置から取得したＩＦ単位の統計情報であるＩＦ統計データ及びサンプリングしたパケットから算出した統計情報であるフロー統計データを蓄積する外部の記憶装置から、前記ＩＦ統計データと、前記フロー統計データとを、取得する工程と、
    　前記ＩＦ統計データから算出したＩＦごとのトラヒック総量と、前記フロー統計データから算出したフローごとの合計トラヒック量に基づいて、個別のフローごとのトラヒック総量を算出する工程と、
    　を含むことを特徴とするトラヒック監視方法。
  4. 　方法をコンピュータに実行させるトラヒック監視プログラムであって、
    　ネットワーク装置から取得したＩＦ単位の統計情報であるＩＦ統計データ及びサンプリングしたパケットから算出した統計情報であるフロー統計データを蓄積する外部の記憶装置から、前記ＩＦ統計データと、前記フロー統計データとを、取得するステップと、
    　前記ＩＦ統計データから算出したＩＦごとのトラヒック総量と、前記フロー統計データから算出したフローごとの合計トラヒック量に基づいて、個別のフローごとのトラヒック総量を算出するステップと、
    　を実行させることを特徴とするトラヒック監視プログラム。
PCT/JP2022/023372 2022-06-09 2022-06-09 トラヒック監視装置、トラヒック監視方法及びトラヒック監視プログラム WO2023238354A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/023372 WO2023238354A1 (ja) 2022-06-09 2022-06-09 トラヒック監視装置、トラヒック監視方法及びトラヒック監視プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/023372 WO2023238354A1 (ja) 2022-06-09 2022-06-09 トラヒック監視装置、トラヒック監視方法及びトラヒック監視プログラム

Publications (1)

Publication Number Publication Date
WO2023238354A1 true WO2023238354A1 (ja) 2023-12-14

Family

ID=89117818

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/023372 WO2023238354A1 (ja) 2022-06-09 2022-06-09 トラヒック監視装置、トラヒック監視方法及びトラヒック監視プログラム

Country Status (1)

Country Link
WO (1) WO2023238354A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009231890A (ja) * 2008-03-19 2009-10-08 Alaxala Networks Corp パケット中継装置およびトラフィックモニタシステム
JP2011151514A (ja) * 2010-01-20 2011-08-04 Hitachi Ltd トラフィック量監視システム
WO2021149245A1 (ja) * 2020-01-24 2021-07-29 日本電信電話株式会社 変換装置、変換方法及び変換プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009231890A (ja) * 2008-03-19 2009-10-08 Alaxala Networks Corp パケット中継装置およびトラフィックモニタシステム
JP2011151514A (ja) * 2010-01-20 2011-08-04 Hitachi Ltd トラフィック量監視システム
WO2021149245A1 (ja) * 2020-01-24 2021-07-29 日本電信電話株式会社 変換装置、変換方法及び変換プログラム

Similar Documents

Publication Publication Date Title
JP4774357B2 (ja) 統計情報収集システム及び統計情報収集装置
US9577906B2 (en) Scalable performance monitoring using dynamic flow sampling
Su et al. CeMon: A cost-effective flow monitoring system in software defined networks
US8005935B2 (en) Methods and computer program products for managing application performance on a network
US20170171050A1 (en) A system and method for integrating legacy flow-monitoring systems with sdn networks
US9634851B2 (en) System, method, and computer readable medium for measuring network latency from flow records
JPWO2012098786A1 (ja) ネットワークシステム、コントローラ、スイッチ、及びトラフィック監視方法
So-In A survey of network traffic monitoring and analysis tools
Gulenko et al. A practical implementation of in-band network telemetry in open vswitch
WO2018223825A1 (zh) 数据流的处理方法和设备
Jia et al. Reducing and balancing flow table entries in software-defined networks
Feamster Revealing utilization at Internet interconnection points
EP3163801A1 (en) Packet collection method and system, network device and network management centre
Yan et al. A network management system for handling scientific data flows
WO2023238354A1 (ja) トラヒック監視装置、トラヒック監視方法及びトラヒック監視プログラム
JP5684748B2 (ja) ネットワーク品質監視装置及びネットワーク品質監視方法
US10103950B2 (en) Hub filtering
JP2008219383A (ja) ネットワーク監視システム、方法及びプログラム
JP4938042B2 (ja) フロー情報送信装置、中間装置、フロー情報送信方法およびプログラム
JP2013240017A (ja) ネットワーク遅延測定装置及びネットワーク遅延測定方法
Nugroho et al. Mapping of quality of service parameter with monitoring end-to-end method of ITU-T Y. 1541 standard in the hotspot area
He et al. A low-cost measurement framework in software defined networks
Sahni et al. Real time monitoring and analysis of available bandwidth in cellular network-using big data analytics
CN112436951A (zh) 一种预知流量路径的方法和装置
KR20180015916A (ko) Sdn 기반 네트워크에서의 플로우 트래픽 모니터링 장치 및 그 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22945855

Country of ref document: EP

Kind code of ref document: A1