(57)【要約】【課題】分析対象のトラヒックをその他通常のトラヒックと同じ回線を用いて転送する場合、通常トラヒックに影響を及ぼす可能性を排除できなかった。【解決手段】条件によって、そのセッションに含まれるパケットを識別するためのマークを付与するマーク付与装置４００と、マークが付与されたパケットのコピーを行ない、トラヒックの分析を行うトラヒック分析装置６００に転送するトラヒック複製装置８００と、マークが付与されたトラヒックについて帯域制御を行なう帯域制御装置５００と、マークが付与されたパケットを受信し、その内容の分析を行ない、分析結果を出力するトラヒック分析装置６００と、トラヒック分析装置６００からの出力に応じて帯域制御装置５００に向けて命令を出力する制御指示装置７００を備えるトラヒック観測・制御システムにより、解決できる。【選択図】図１
2010213048.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを流れるパケットより導出される条件によって、そのセッションに含まれるパケットを識別するためのマークを付与するマーク付与装置と、
マークが付与されたパケットのコピーを行ない、トラヒック分析装置に転送するトラヒック複製装置と、
指示を受けたセッションのトラヒックについて帯域制御を行なう帯域制御装置と、
転送されたマークが付与されたパケットの内容の分析を行ない、分析結果を出力する前記トラヒック分析装置と、
前記トラヒック分析装置からの出力に応じて前記帯域制御装置に向けて命令を出力する制御指示装置と
からなるトラヒック観測・制御システム。
【請求項２】
請求項１に記載のトラヒック観測・制御システムであって、
前記ネットワークを流れるパケットより導出される前記条件は、前記マーク付与装置を単位時間当たりに通過するトラヒック量が予め定めたよりも大きいという条件であることを特徴とするトラヒック観測・制御システム。
【請求項３】
請求項１または請求項２に記載のトラヒック観測・制御システムであって、
前記帯域制御は、帯域制御装置を単位時間当たりに通過するトラヒック量の上限値を定め、この上限値を上回らないようにトラヒックを制御することを特徴とするトラヒック観測・制御システム。
【請求項４】
請求項１ないし請求項３のいずれか一つに記載のトラヒック観測・制御システムであって、
前記トラヒック分析装置は、転送されたトラヒックより、そのトラヒックを発生させているソフトウェアを推定し、そのソフトウェアの情報を前記分析結果に含めることを特徴とするトラヒック観測・制御システム。
【請求項５】
請求項１ないし請求項４のいずれか一つに記載のトラヒック観測・制御システムであって、
前記のマーク付与装置、前記トラヒック複製装置、前記帯域制御装置、前記トラヒック分析装置または前記制御指示装置から選択された二つの装置の機能が、物理的に同一の機器の中に実装されていることを特徴とするトラヒック観測・制御システム。
【請求項６】
請求項１ないし請求項４のいずれか一つに記載のトラヒック観測・制御システムであって、
前記マーク付与装置を複数台備えることを特徴とするトラヒック観測・制御システム。
【請求項７】
請求項１ないし請求項４のいずれか一つに記載のトラヒック観測・制御システムであって、
前記帯域制御装置は、トラヒックの遮断、あるいは経路変更を行うことを特徴とするトラヒック観測・制御システム。
【請求項８】
請求項１ないし請求項４のいずれか一つに記載のトラヒック観測・制御システムであって、
前記帯域制御装置は、すべてのトラヒックを遮断し、制御指示装置の指示に応じて許可したトラヒックのみを通過させることを特徴とするトラヒック観測・制御システム。
【請求項９】
請求項１ないし請求項４のいずれか一つに記載のトラヒック観測・制御システムであって、
前記のマーク付与装置、前記トラヒック複製装置、前記帯域制御装置、前記トラヒック分析装置または前記制御指示装置のうち一つ以上の機能は、ソフトウェアプログラムとして実装されていることを特徴とするトラヒック観測・制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラヒック観測・制御システムに係り、ネットワークを流れるトラヒックを観測し、制御するトラヒック観測・制御システムに関する。
【背景技術】
【０００２】
インターネット上では様々な通信が行なわれている。通信の中には、ＷＥＢの閲覧、ＦＴＰによるファイル転送などの通常のトラヒックと、コンピュータウィルスによる感染活動、ウィルスに感染したＰＣから特定のサーバに対するＤｏＳ攻撃などの、他者に迷惑をかける可能性のあるトラヒックとが混在している。
【０００３】
このため、ＩＳＰ、企業のネットワーク管理部門においては、ネットワークを流れるトラヒックを分析し、一部の好ましくないと判断されたトラヒック通信を制限する処理を行なうことがある。具体的には、Ｐ２Ｐソフトウェアなどのファイル交換ソフトウェアによって発生するトラヒックがネットワークの帯域を圧迫している場合、これらのトラヒックについて帯域の制限を行なうことがある。
【０００４】
トラヒックの分析においては、分析対象となるトラヒックを何らかの方法で分析装置に入力することが必要となる。特許文献１は、ネットワークトラヒックを観測し、分析するシステムにおいて、トラヒックの観測装置で分析対象となるトラヒックを専用の回線にコピーし、分析装置に転送する方法および共用の回線にコピーして分析装置に転送する方法を開示している。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−１８４７９９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
インターネット上におけるトラヒックを観測し、制御を行なう場合、トラヒックのすべてを観測対象としようとすると、観測に伴って生じる処理は、通常膨大な量となる。
特許文献１で述べられている手法では、分析対象のトラヒックをその他通常のトラヒックと同じ回線を用いて転送する方法については考慮されていなかった。このため、分析対象のトラヒックをその他通常のトラヒックと同じ回線を用いて転送する場合、通常トラヒックに影響を及ぼす可能性を排除できなかった。
【課題を解決するための手段】
【０００７】
上述した課題は、ネットワークを流れるパケットより導出される条件によって、そのセッションに含まれるパケットを識別するためのマークを付与するマーク付与装置と、マークが付与されたパケットのコピーを行ない、トラヒック分析装置に転送するトラヒック複製装置と、指示を受けたセッションのトラヒックについて帯域制御を行なう帯域制御装置と、転送されたマークが付与されたパケットの内容の分析を行ない、分析結果を出力するトラヒック分析装置と、トラヒック分析装置からの出力に応じて帯域制御装置に向けて命令を出力する制御指示装置とからなるトラヒック観測・制御システムにより、解決することができる。
【発明の効果】
【０００８】
本発明によれば、ネットワーク上を流れる通信において、分析対象となったトラヒックを、その他のトラヒックに一定以上の影響を与えることがない。したがって、その他のトラヒックと同じネットワークを介してトラヒック分析装置に転送することが可能である。このため、分析対象トラヒックを通常のネットワークに接続された任意の分析装置に転送することが可能となり、離れた拠点間でのトラヒックの観測・分析が可能となる。
【図面の簡単な説明】
【０００９】
【図１】トラヒックの観測・制御を行なう装置を含むネットワークのブロック図である。
【図２】通信端末のハードウェアブロック図である。
【図３】トラヒック制御装置のハードウェアブロック図である。
【図４】マーク付与装置のハードウェアブロック図である。
【図５】セッション管理データを説明する図である。
【図６】パケット管理データを説明する図である。
【図７】マーク付与装置の処理を説明するフローチャートである。
【図８】トラヒック複製装置のハードウェアブロック図である。
【図９】トラヒック複製装置の処理を説明するフローチャートである。
【図１０】帯域制御装置のハードウェアブロック図である。
【図１１】転送レート変換データを説明する図である。
【図１２】制御ポリシデータを説明する図である。
【図１３】帯域制御装置の処理を説明するフローチャートである。
【図１４】トラヒック分析装置のハードウェアブロック図である。
【図１５】トラヒック分析データを説明する図である。
【図１６】制御指示装置のハードウェアブロック図である。
【図１７】制御対象変換データを説明する図である。
【図１８】制御レベル変換データを説明する図である。
【図１９】制御指示データを説明する図である。
【図２０】制御指示装置の処理を説明するフローチャートである。
【図２１】通信端末とトラヒック観測・制御システムとの間のシーケンス図である。
【図２２】トラヒックの観測・制御を行なう装置を含む他のネットワークのブロック図である。
【発明を実施するための形態】
【００１０】
以下、本発明の実施形態について、実施例を用い図面を参照しながら詳細に説明する。なお、実質同一部位には、同じ参照番号を振り、説明を繰り返さない。
【００１１】
図１において、通信システム１０００は、ネットワーク１００と、ネットワーク１００に接続された２台のトラヒック制御装置３００、制御指示装置７００、帯域制御装置５００と、トラヒック制御装置３００−１に接続された２台の通信端末２００、トラヒック分析装置６００と、トラヒック制御装置３００−２に接続された２台の通信端末２００と、帯域制御装置５００に接続されたトラヒック複製装置８００と、トラヒック複製装置８００に接続されたマーク付与装置４００と、マーク付与装置４００に接続された２台の通信端末２００とから構成される。なお、トラヒック分析装置６００は、制御指示装置７００とも直接接続されている。
【００１２】
通信端末２００は、ネットワーク通信を行なう端末である。ここで述べるネットワーク通信とは、具体的にはＴＣＰ／ＩＰのプロトコルを用いた通信のことを指す。本実施例で以下に述べる通信、ネットワーク通信などの用語も同様である。これらの通信端末２００は、ＷＥＢブラウザ、ＦＴＰクライアントなどの通信ソフトウェアがインストールされたＰＣ、ＷＥＢサーバ、ＦＴＰサーバなどのサーバソフトウエアがインストールされたサーバマシンを指す。
【００１３】
トラヒック制御装置３００は、ネットワーク通信においてパケットの転送を行なう装置である。トラヒック制御装置３００に該当する機器としては、ルータ、スイッチが挙げられる。トラヒック分析装置６００は、トラヒック制御装置３００から転送されてきたトラヒックの内容を分析する。トラヒック分析装置６００は、分析結果よりトラヒック制御情報を生成する。トラヒック分析装置６００は、生成したトラヒック制御情報について、制御指示装置７００に転送する。
【００１４】
制御指示装置７００は、トラヒック制御情報をもとに適切な帯域制御装置５００を選択する（図１では１台のみ図示）。制御指示装置７００は、選択した帯域制御装置５００に対して、制御コマンドを実行する。
【００１５】
帯域制御装置５００は、通過するトラヒックに対して、その帯域の制御を行なう。帯域制御装置５００は、トラヒック制御装置３００と同様のルータ、スイッチなどの装置に、帯域制御の機能を付加した装置として実装されることがある。
【００１６】
トラヒック複製装置８００は、通過するトラヒックの一部または全部を複製する。トラヒック複製装置８００は、トラヒック分析装置６００に複製されたトラヒックを転送する。トラヒック複製装置８００は、トラヒック制御装置３００と同様のルータ、スイッチなどの装置に、トラヒック複製の機能を付加した装置として実装されることがある。
【００１７】
マーク付与装置４００は、通過するトラヒックの一部に対しマークを付与する。マーク付与装置４００は、トラヒック制御装置３００と同様のルータ、スイッチなどの装置に、マーク付与の機能を付加した装置として実装されることがある。
【００１８】
図２を参照して、通信端末のハードウェア構成を説明する。図２において、通信端末２００は、インターネットなどのネットワークに接続されて、通信を行うプログラムを内蔵した端末である。通信端末２００は、ＣＰＵ２０２、入出力装置２０３、通信を行うインタフェース（ＩＦ）２０４、メモリ２１０が含まれており、これらがデータバス２０６を介して接続されている。インタフェース２０４は、通信路２０５と接続されている。メモリ２１０は、通信プログラム２１１を記憶している。通信プログラム２１１は、インタフェース２０４、通信路２０５を介して、他の装置との通信を行なうための処理が記述されている。通信プログラムは、ウェブブラウザ、ウェブサーバメールクライアント、メールサーバなどである。なお、図１に記載した各通信端末２００は、それぞれ別の機能を実現するプログラムが含まれていることもあり得る。
【００１９】
図３を参照して、トラヒック制御装置のハードウェア構成を説明する。図３において、トラヒック制御装置３００は、インターネットなどのネットワークに接続されて、ネットワーク上においてやりとりされるパケットを適切な経路に転送する装置である。トラヒック制御装置３００は、ＣＰＵ３１４、入出力装置３０４、パケット転送用インタフェース３０２、制御用インタフェース３０６、メモリ３１３、パケット処理装置３０３で構成されている。トラヒック制御装置３００は、これら装置がデータバス３１０、３０８を介して接続されている。制御用インタフェース３０６は、通信路３０５を介して外部のネットワークと接続されている。制御用インタフェース３０６は、主に装置の外部からトラヒック制御装置３００の制御を行なうためインタフェースである。
【００２０】
また、パケット処理装置３０３は、２つのインタフェース３０２がデータバス３０８を介して接続されている。インタフェース３０２は、通信路３０７と接続されている。パケット処理装置３０３を外部ネットワークと接続するインタフェース３０２は、外部ネットワークからのパケットを受信する。パケット処理装置３０３は、パケットを出力される適切なインタフェース３０２を選択する。パケット処理装置３０３は、選択したインタフェース３０２からパケットを送出する。
【００２１】
トラヒック制御装置３００は、通常、このような外部ネットワークと接続されたインタフェースを複数備えている。トラヒック制御装置３００の構成は、前述のルータ、スイッチなど、パケットの転送を行う機能を備えている機器であれば、必ずしも図３に示すとおりの構成でなくても良い。
【００２２】
図４を参照して、マーク付与装置のハードウェア構成を説明する。図４において、マーク付与装置４００は、ＣＰＵ４０５、メモリ４２０、入出力装置４０４、パケット処理装置４０３、制御用インタフェース４０７、２つのパケット転送用インタフェース４０２がそれぞれデータバス４０９、４１０で接続されている。マーク付与装置４００の構成は、トラヒック制御装置３００と同様である。メモリ４２０は、マーク付与プログラム４２１、セッション管理データ４２２、パケット管理データ４２３を記憶している。制御用インタフェース４０７は、通信路４０６と接続されている。２つのパケット転送用インタフェース４０２は、それぞれ通信路４０８と接続されている。
【００２３】
図５を参照して、マーク付与装置が保持するセッション管理データの詳細を説明する。図５において、セッション管理データ４２２は、送信元ＩＰアドレス１１、送信元ポート番号１２、宛先ＩＰアドレス１３、宛先ポート番号１４、プロトコル１５、パケット転送速度１６を記録した複数のレコードを保持する。セッション管理データ４２２は、送信元ＩＰアドレス１１、送信元ポート番号１２、宛先ＩＰアドレス１３、宛先ポート番号１４およびプロトコル１５は、ネットワークを流れる通信の中からセッション（一連のパケットの集合）を特定するためのデータである。パケット転送速度１６は、セッションに含まれるパケットがマーク付与装置４００を通過する速度を記録する。
【００２４】
前者のデータは、ＴＣＰ／ＩＰネットワーク上においてパケットの送受信を行う際に用いる情報で、セッションを特定するために用いる。これらの５項目について同一の値を持つパケットを同じセッションに属すると定義する。パケット通過速度１６は、送信元１Ｐアドレス１１〜プロトコル１５によって特定されるセッションに属するパケットが、どれくらいの速度でマーク付与装置を通過しているかを示す。なお、ここでは、パケット通過速度１６をパケット／秒で定義したが、バイト／秒等であっても構わない。
【００２５】
図６を参照して、マーク付与装置が保持するパケット管理データの詳細を説明する。パケット管理データ４２３は、マーク付与装置４００を通過するパケットの通過時刻をセッションごとに保持するためのテーブルである。パケット管理データ４２３は、送信元ＩＰアドレス２１、送信元ポート番号２２、宛先ＩＰアドレス２３、宛先ポート番号２４、プロトコル２５、パケット通過時刻保持領域２６を記録した複数のレコードを保持する。送信元ＩＰアドレス２１、送信元ポート番号２２、宛先ＩＰアドレス２３、宛先ポート番号２４およびプロトコル２５は、図５の同じ名称の項目と同様、ＴＣＰ／ＩＰネットワーク上においてセッションを定義するために用いられる情報である。パケット通過時刻保持領域２６は、送信元１Ｐアドレス２１〜プロトコル２５の値によって特定されるセッションのパケットで、マーク付与装置４００を通過したパケットの通過時刻が最も新しいものから過去にさかのぼって一定数記録されている。具体的には、マーク付与装置４００を通過した最新の１００パケットの通過時刻を記録する。
【００２６】
図７を参照して、マーク付与装置のマーク付与処理の動作を説明する。この処理はパケットがマーク付与装置４００を通過する度に行なわれる。図７において、マーク付与装置４００は、パケットを受信すると、パケットのヘッダ情報より、そのパケットが所属するセッション情報を検索する。マーク付与装置４００は、そのパケットの通過時刻をパケット通過時刻保持領域２６に記録する。マーク付与装置４００は、そのセッションの単位時間当たりの通過パケット数を算出する（Ｓ１１）。このために、マーク付与装置４００は、パケット管理データ４２３の対象となるセッションのパケット通過時刻保持領域２６を参照し、マーク付与装置４００は、記録されているパケット数を最も古い時刻と最も新しい時刻の差分で除算することにより、一定時間当たりの通過パケット数を算出する。マーク付与装置４００は、セッション管理データ４２２の該当するセッションのパケット通過速度１６に記録する。より具体的には、パケット通過時刻保持領域で１００個のパケットを保持し、それらのパケットの最も古い通過時刻と最も新しい通過時刻の差分が１０秒である場合、そのセッションのパケット通過速度は１０パケット／秒となる。
【００２７】
マーク付与装置４００は、セッション管理データ４２２のパケット通過速度１６の値を参照し、算出したパケット通過速度が、この値を超えているか判定する（Ｓ１２）。一定値を超えている場合（ＹＥＳ）、マーク付与装置４００は、パケットのヘッダの特定の位置にフラグを立て（Ｓ１３）、終了する。ステップ１２がＮＯのとき、マーク付与装置４００は、そのまま終了する。
フラグを立てるフィールドは、通常のＴＣＰ／ＩＰ通信に影響を及ぼさない限り任意であるが、ここではＣｏＳ（Class of Service）フィールドを用いる。
【００２８】
図８を参照して、トラヒック複製装置のハードウェア構成を説明する。図８において、トラヒック複製装置８００は、ＣＰＵ８０５、メモリ８２１、入出力装置８０４、パケット処理装置８０３、制御用インタフェース８０７、２つのパケット転送用インタフェース８０２がそれぞれデータバス８０９、８１０で接続されている。制御用インタフェース８０７には、通信路８０６が接続されている。また、２つのパケット転送用インタフェース８０２には、それぞれ通信路８０８が接続されている。トラヒック複製装置８００の構成は、トラヒック制御装置３００と同様である。メモリ８２１は、トラヒック複製プログラム８２１を記憶している。
【００２９】
図９を参照して、トラヒック複製装置のトラヒック複製処理の動作を説明する。この処理は、パケットがパケット転送用インタフェース８０２−１または８０２−２から入力される度に実行される。
【００３０】
図９において、トラヒック複製装置８００は、パケットヘッダのＣｏＳフィールドにフラグが立っているかどうかをチェックする（Ｓ２１）。トラヒック複製装置８００は、フラグにマークされているか判定する（Ｓ２２）。ＹＥＳのとき、トラヒック複製装置８００は、パケットをコピーし、コピーを帯域制御装置に転送する（Ｓ２３）。トラヒック複製装置８００は、オリジナルのマークを削除し、帯域制御装置に転送して（Ｓ２４）、終了する。ステップ２２でＮＯのとき、トラヒック複製装置８００は、そのまま終了する。
【００３１】
なお、ステップ２３において、コピーのパケットの宛先ＩＰアドレスは、もとの宛先ＩＰアドレスのままだが、トラヒック複製装置８００は、コピーについて、トラヒック分析装置６００に転送するよう制御する。また、ステップ２４において、オリジナルは、パケットの宛先ＩＰアドレスに転送される。
【００３２】
図１０を参照して、帯域制御装置のハードウェア構成を説明する。図１０において、帯域制御装置５００は、ＣＰＵ５０５、メモリ５２０、入出力装置５０４、パケット処理装置５０３、制御用インタフェース５０７、２つのパケット転送用インタフェース５０２がそれぞれデータバス５０９、５１０で接続されている。制御用インタフェース５０７には、通信路５０６が接続されている。また、２つのパケット転送用インタフェース５０２には、それぞれ通信路５０８が接続されている。帯域制御装置８００の構成は、トラヒック制御装置３００と同様である。メモリ５２０は、帯域制御プログラム５２１、転送レート変換データ５２２、制御ポリシデータ５２３を記憶している。このような機器としては、パケットシェイパが挙げられる。
【００３３】
図１１を参照して、帯域制御装置の転送レート変換データを説明する。図１１において、転送レート変換データ５２２は、帯域制御プログラム５２１がどのセッションにどのような制御ポリシを適用するか記述されている。転送レート変換データ５２２は、送信元ＩＰアドレス３１、送信元ポート番号３２、宛先ＩＰアドレス３３、宛先ポート番号３４、プロトコル３５、制御レベル３６で構成される複数のレコードからなる。ここで、送信元ＩＰアドレス３１、送信元ポート番号３２、宛先ＩＰアドレス３３、宛先ポート番号３４、プロトコル３５は、ＴＣＰ／ＩＰネットワーク上においてセッションを定義するために用いられる情報である。一方、制御レベル３６は、送信元ＩＰアドレス３１〜プロトコル３５で決定されるセッションデータに対して、どのような種別の制御を行うのかを指定するデータである。
【００３４】
図１２を参照して、帯域制御装置の制御ポリシデータを説明する。図１２において、制御ポリシデータ５２３は、制御レベル４１、最大転送レート４２で構成される複数のレコードからなる。制御レベル４１は、図１１の制御レベル３６に対応する制御の種別を示す識別子である。最大転送レート４２は、対応する制御レベルにおいて許可するトラヒック転送レートの最大値である。
【００３５】
図１３を参照して、帯域制御装置の帯域制御処理を説明する。なお、帯域制御処理は、帯域制御装置５００のパケット処理装置５０３にパケットが入力されるたびに実行される処理である。
【００３６】
帯域制御装置５００は、パケット入力装置５０３に入力されたパケットのヘッダ情報を取得する（Ｓ３１）。帯域制御装置５００は、パケットヘッダのＣｏＳフィールドにフラグが立っているか（マーク付き）どうかを判定する（Ｓ３２）。ＹＥＳのとき、帯域制御装置５００は、マーク付きのパケットに対して帯域制御を実行する（Ｓ３３）。具体的には、当該パケットについて、帯域制御装置５００は、パケット転送レートの上限を制限する。帯域制御装置５００は、それ以外のトラヒックに影響を与えることなく、当該パケットについて、ネットワーク１００、トラヒック制御装置３００−１を介してトラヒック分析装置６００に転送する。ここでパケット転送レートの上限は、別途外部より指定し、メモリ内で保持している値である。なお、このような帯域制御は、パケットシェイパの一機能として実現される。
【００３７】
ステップ３２でＮＯのとき、帯域制御装置５００は、図１１で示した転送レート変換データ５２２を参照し、制御の対象となっているセッション情報であるか否かを判断する（Ｓ３４）。制御対象のセッションである場合（ＹＥＳ）、帯域制御装置５００は、通常トラヒック制御を実行し（Ｓ３５）、終了する。具体的には、帯域制御装置５００は、制御情報変換データより、対象セッションに対して行う制御の種別を制御レベル３６より取得する。また、帯域制御装置５００は、制御ポリシデータ５２３よりその制御レベルに対応する最大転送レートを取得する。さらに、帯域制御装置５００は、対象のセッションに対する帯域制御を実行する。帯域制御は、対象のセッションのトラヒックに対して、その転送レートの上限を指定する形で行われる。
ステップ３４でＮＯのとき、帯域制御装置５００は、そのまま終了する。
【００３８】
図１４を参照して、トラヒック分析装置のハードウェア構成を説明する。図１４において、トラヒック分析装置６００は、ＣＰＵ６０４、メモリ６１０、入出力装置６０３、通信インタフェース６０２、がそれぞれデータバス６０６で接続されている。通信インタフェース６０２は、通信路６０５が接続されている。トラヒック分析装置６００の構成は、通信端末２００と同様である。メモリ６１０は、トラヒック分析プログラム６１１とトラヒック分析データ６１２を記憶している。トラヒック分析装置６００は、分析結果であるトラヒック分析データ６１２を、制御指示装置７００に送信する。
【００３９】
トラヒック分析プログラム６１１は、通信インタフェース６０２から入力される分析対象トラヒックの内容を分析し、通信に用いられているアプリケーションの種別を特定する。具体的には、トラヒック分析プログラム６１１は、分析対象トラヒックのパケットの内容をチェックする。「あるセッションに含まれるパケットにＷｉｎｎｙを用いた通信に固有の文字列が含まれている場合、そのセッションではＷｉｎｎｙの通信が行われていると判定する」などの処理を行なう。通信インタフェース６０２から入力されるトラヒックが分析対象トラヒックか否かは、そのトラヒックに含まれるパケットのヘッダ情報を見て判断する。たとえば、トラヒック分析装置６００に入力されるパケットで、パケットの宛先ＩＰアドレスがトラヒック分析装置６００ではないトラヒックを分析対象のトラヒックとして分析を行なう。ここで、パケットの宛先ＩＰアドレスがトラヒック分析装置６００ではないトラヒックとは、トラヒック複製装置８００がコピーしたパケットである。
【００４０】
図１５を参照して、トラヒック分析データを説明する。図１５において、トラヒック分析データ６１２は、送信元ＩＰアドレス５１、送信元ポート番号５２、宛先ＩＰアドレス５３、宛先ポート番号５４、プロトコル５５、アプリケーション種別５６とからなる複数のレコードから構成されている。送信元ＩＰアドレス５１、送信元ポート番号５２、宛先ＩＰアドレス５３、宛先ポート番号５４、プロトコル５５は、ＴＣＰ／ＩＰネットワーク上においてセッションを定義するために用いられる情報である。アプリケーション種別５６は、送信元ＩＰアドレス５１〜プロトコル５５で指定されるセッションにおいて用いられているアプリケーションの種別である。このアプリケーション種別５６は、トラヒック分析プログラム６１１によって判定され、書き込まれる。
【００４１】
図１６を参照して、制御指示装置のハードウェア構成を説明する。図１６において、制御指示装置７００は、ＣＰＵ７０４、メモリ７１０、入出力装置７０３、通信インタフェース７０２がそれぞれデータバス７０６で接続されている。通信インタフェース７０２は、通信路７０５と接続されている。制御指示装置７００の構成は、通信端末２００と同様である。メモリ７１０は、制御指示プログラム７１１、制御対象変換データ７１２、制御対象変換データ７１３、制御指示データ７１４を記憶している。
【００４２】
図１７を参照して、制御対象変換データを説明する。図１７において、制御対象変換データ７１２は、通信を実際に行っている端末のＩＰアドレス６１と、その端末が含まれるネットワークを制御する制御装置のＩＰアドレス６２の対応が複数のレコードに格納されている。端末ＩＰアドレス６１は、ネットワークに接続して実際に通信を行う端末のＩＰアドレスである。
【００４３】
図１のネットワーク１０００においては、通信端末２００−５、２００−６などがこれに相当する。この端末ＩＰアドレスの指定はサブネットの範囲指定も可能である。制御装置ＩＰアドレス６２は、帯域制御装置５００のＩＰアドレスであり、この帯域制御装置を制御することによりその帯域制御装置に接続されている通信端末が行う通信の帯域を制御する。
【００４４】
図１に戻って、通信端末２００−５、２００−６は、帯域制御装置５００を介してネットワーク１００に接続されている。したがって、制御指示装置７００は、帯域制御装置５００に制御を指示することにより、通信端末２００−５、２００−６の行なう通信の帯域を制御することができる。
【００４５】
図１８を参照して、制御レベル変換データを説明する。図１８において、制御レベル変換データ７１３は、トラヒック分析装置６００が出力したアプリケーションの種別に応じてどの種別の制御を行うのかを特定するためのテーブルである。制御レベル変換データ７１３は、アプリケーション種別７１と制御レベル７２とを記録する複数のレコードを保持する。アプリケーション種別７１は、ネットワークを流れる通信に用いられているアプリケーション種別である。アプリケーション種別７１は、トラヒック分析装置６００が出力するアプリケーション種別を網羅している。制御レベル７１は、該当する種別のアプリケーションに対して、どのレベルの制御を行なうのかを示す識別子である。
【００４６】
図１９を参照して、制御指示データを説明する。図１９において、制御指示データ７１４は、送信元ＩＰアドレス８１、送信元ポート番号８２、宛先ＩＰアドレス８３、宛先ポート番号８４、プロトコル８５、制御装置ＩＰアドレス８６、制御レベル８７とを記録する複数のレコードを保持する。送信元ＩＰアドレス８１、送信元ポート番号８２、宛先ＩＰアドレス８３、宛先ポート番号８４、プロトコル８５は、ＴＣＰ／ＩＰネットワーク上においてセッションを定義するために用いられる情報である。制御装置ＩＰアドレス８６は、送信元ＩＰアドレス８１〜プロトコル８５の情報で特定されるセッションに制御を行なうために、制御命令を送信する制御装置のＩＰアドレスを示している。制御レベル８７は、送信元ＩＰアドレス８１〜プロトコル８５の情報で特定されるセッションに対して、どのような種別の制御を行なうのかを示す識別子である。
【００４７】
図２０を参照して、制御指示装置の制御指示処理を説明する。図２０において、制御指示装置７００は、トラヒック分析装置６００が出力した、セッション情報とそのセッションで利用されているアプリケーション情報より、適切な帯域制御装置に対して制御のための情報を伝える。
【００４８】
制御指示装置７００は、通信インタフェース７０２から入力された、トラヒック分析結果を取得する（Ｓ４１）。ステップ４１は、具体的には、セッション情報を制御指示データ７１４の送信元ＩＰアドレス８１〜プロトコル８５に書き込む処理である。トラヒック分析結果は、図１５で説明したトラヒック分析データ６１２の各項目を含む形式で入力される。
【００４９】
制御指示装置７００は、ステップ４１で取得したトラヒック分析結果に含まれるセッション情報より、制御対象変換データ７１２を参照して制御命令を発行する帯域制御装置を特定する（Ｓ４２）。このステップは、セッション情報に対応する制御装置ＩＰアドレス８６の項目に書きこむ処理である。制御指示装置７００は、トラヒック分析結果の送信元ＩＰアドレスに対応する制御装置ＩＰアドレスを、制御対象変換データ７１２から取得する。なお、これ以外にも、宛先ＩＰアドレスに対応する制御装置ＩＰアドレスを取得することもできる。さらに、送信元ＩＰアドレス、宛先ＩＰアドレスそれぞれに対応する制御装置ＩＰアドレスを取得することもできる。
【００５０】
制御指示装置７００は、ステップ４１で取得したトラヒック分析結果に含まれるアプリケーション種別より、制御指示データ７１４を参照して制御レベルを特定する（Ｓ４３）。ステップ４３は、セッション情報に対応する制御レベルを制御レベル変換データ７１３から取得し、制御レベル８７の項目に書き込む処理である。
【００５１】
制御指示装置７００は、制御指示データ７１４のテーブルに基づいて、制御実行コマンドを送信して（Ｓ４４）、終了する。具体的には、制御装置ＩＰアドレス８６に対して、送信元ＩＰアドレス８１〜プロトコル８５で特定されるセッションのトラヒックを、制御レベル８７の値で制御を行なうようにコマンドを発行する。
【００５２】
以上で説明した各装置において、トラヒック観測・制御システム全体としてどのようなトラヒック制御がなされるのかを、図２１を参照して説明する。
なお、ここでは通信端末２００−５が、通信端末２００−３に対して、大量のデータを送信するとする。このデータ送信のセッションは、通信端末２００−５、２００−３のＩＰアドレス、ポート番号、使っているプロトコルで特定することができる。いま、この通信のアプリケーションがＰ２Ｐ＿Ｗｉｎｎｙ（Ｐ２Ｐ通信ソフトのＷｉｎｎｙ）であり、この通信は一定以上の転送速度（マーク付与装置４００でマーク付与の対象となる）で行なわれている。また、Ｐ２Ｐ＿Ｗｉｎｎｙは、制御レベルＡのアプリケーションであり、帯域制御装置における制御レベルＡの最大転送レートは１２８ｋｂｉｔ／ｓである。また、通信端末２００−５のトラヒックを制御する制御装置は、帯域制御装置５００であり、その情報は制御対象変換データ７１２に記述されている。
【００５３】
まず、通信端末２００−５が、通信端末２００−３に対して、大量のデータ送信を開始する（Ｓ５１）。なお、ここでは通信端末２００−５から通信端末２００−３への１本の矢印で通信セッションを示しているが、実際には中間の各装置で転送されている。また、転送のタイミングも図示した順ではない。これは、ここではミラートラヒックに注目して説明するからである。このセッションの通信について、マーク付与装置４００は、セッションに含まれるパケットにマークを付与する（Ｓ５２）。
【００５４】
マークが付与されたパケットについて、トラヒック複製装置８００は、複製を作成する（Ｓ５３）。トラヒック複製装置８００は、複製を帯域制御装置５００に送信する（Ｓ５４）。トラヒック複製装置８００は、オリジナルのマークを削除し（Ｓ５６）、帯域制御装置５００に送信する。帯域制御装置５００は、ミラートラヒックについて、帯域制御を行なう（Ｓ５７）。帯域制御装置５００は、ミラートラヒックについて、トラヒック分析装置６００に転送する（Ｓ５８）。
【００５５】
トラヒック分析装置６００は、この転送されてきたトラヒックの分析を行なう（Ｓ５９）。トラヒック分析装置６００は、この通信の内容はＰ２Ｐ＿Ｗｉｎｎｙであることを特定する。トラヒック分析装置６００は、分析結果を制御指示装置７００に転送する（Ｓ６１）。
【００５６】
制御指示装置７００は、分析結果を評価する（Ｓ６２）。制御指示装置７００は、通信端末２００−５のトラヒックを制限するために、帯域制御装置５００に対して制御レベルＡで制御を行なう制御命令を発行する（Ｓ６３）。
【００５７】
帯域制御装置５００は、対象のセッションに対する制御レベルＡの制御命令を受信し、制御レベルＡ、すなわち最大転送レート１２８ｋｂｉｔ／ｓで通信を行なうよう、通信端末２００−５と２００−３のデータ送信のセッションを制御する（Ｓ６４）。
【００５８】
上述した実施例によれば、マーク付与装置は、１台の構成である。しかし、これを変更して複数のマーク付与装置を備える通信システムとしてもよい。この場合の通信システム構成について、図２２を参照して説明する。図２２においては、通信システム１０００Ａは、ネットワーク１００、帯域制御装置５００、トラヒック複製装置８００、２台のマーク付与装置４００、４台の通信端末２００から構成される。なお、図２２では、ネットワーク１００に接続された対向側のトラヒック制御装置３００、トラヒック分析装置６００、制御指示装置７００の図示を省いている。
【００５９】
ネットワーク１００は、帯域制御装置５００を直接接続する。帯域制御装置５００は、トラヒック複製装置８００を接続する。トラヒック複製装置８００は、２台のマーク付与装置４００を接続する。通信端末２００−７、２００−８からなるサブネットワークをマーク付与装置４００−１に接続する。通信端末２００−９、２００−１０からなるサブネットワークをマーク付与装置４００−２に接続する。
【００６０】
マーク付与装置４００−１、４００−２によってマークが付与されたパケットは、トラヒック複製装置８００、帯域制御装置５００を介して、ネットワーク１００に接続された図示しないトラヒック分析装置６００に転送される。ここで、トラヒック複製装置８００、帯域制御装置５００の機能は、上述した実施例で記述したものと同じである。
【００６１】
この実施例によれば、マーク付与装置の設置個所の自由度が増し、よりトラヒック複製装置８００、帯域制御装置５００にさらに負荷をかけることなく、マーク付与の装置４００の台数を増やした柔軟なシステムを構成することが可能となる。
【００６２】
上述した実施例によれば、ネットワーク上を流れる通信において、分析対象となったトラヒックを、その他のトラヒックに一定以上の影響を与えることなく、その他のトラヒックと同じネットワークを介してトラヒック分析装置に転送することができる。このため、離れた拠点間でのトラヒックの観測・分析が可能となる。
【００６３】
また、上述した実施例は、その一部を変更して以下のように実施することが可能である。
（１）実施例によれば、帯域制御装置５００、トラヒック複製装置８００、マーク付与装置４００は物理的に別の装置として実装されているが、これを変更してこれらの複数の機能を物理的に一つの装置の中に実装しても良い。
この変形実施例によれば、装置の数を減らして、ハードウェアにかかるコストを抑え、またシンプルな構成のシステムを構築することが可能になる。
【００６４】
（２）マーク付与プログラム４２１において、パケットにマークを付与する方法は、必ずしも、単位時間当たりに装置を通過するパケット数を基準とする必要はなく、別途マークを付与する条件を指定し、その条件に応じてパケットを付与する形式であれば任意の方法で良い。
【００６５】
説明した以外の条件として、「宛先ポート番号が特定のポート（例えば８０番ポート）である」という条件でパケットにマークを付与する変更することができる。また、「パケットのペイロードに特定の文字列（例えばＰ２Ｐソフトに固有の文字列）を含む」という条件を設定しうる。
この変形実施例によれば、マーク付与の条件を設定する形式を柔軟にすることにより、さまざまな特徴をもつインシデントに対応できるシステムを構築することが可能となる。
【００６６】
（３）トラヒック複製装置７００において、パケットのミラーリングを行なう代わりに、マークが付与されたパケットから算出される情報をトラヒック分析装置６００に送信してもよい。具体的には、パケットの通過速度が大きいホスト（マークが付与されたパケット）の上位一定数のＩＰアドレスをトラヒック分析装置６００に送信する。トラヒック分析装置は、これらのＩＰアドレスを用いて可能な分析を行うような構成としてもよい。
この変形実施例によれば、トラヒック分析装置が行なう計算の一部をトラヒック複製装置が行なうようにして、トラヒック分析装置の負荷を軽減することができる。
【００６７】
（４）帯域制御装置５００における帯域制御は、該当するトラヒックの遮断や経路変更を行なってもよい。この場合、制御ポリシデータは、制御の種別（帯域制限、遮断、経路変更）を表すデータと、その種別の制御を行うのに必要なパラメータを備えるように変更して実施してもよい。
【００６８】
このパラメータとは、経路変更の場合、該当するトラヒックを次に転送する装置を示すＩＰアドレスのデータなどである。経路変更においては、制御対象のトラヒックを通常のトラヒックとは別の装置に転送することにより、該当するトラヒックの詳細分析や、トラヒックに含まれるパケットの記憶装置への保存、あるいは単にそれらのパケットの破棄などの処理を行うことが考えられる。なお、遮断の場合は、特段追加のパラメータは必要としない。
この変形実施例によれば、より柔軟なトラヒック制御を行なうことが可能になる。
【００６９】
（５）帯域制御装置５００における帯域制御は、最初にすべてのトラヒックを遮断し、制御指示装置７００によって許可されたトラヒックだけを通過するように変更して実施してもよい。
この変形実施例によれば、分析の結果安全と分かったトラヒックのみを通過させることにより、より堅牢なネットワークを構築することが可能になる。
【符号の説明】
【００７０】
１００…ネットワーク、２００…通信端末、３００…トラヒック制御装置、４００…マーク付与装置、５００…帯域制御装置、６００…トラヒック分析装置、７００…制御指示装置、８００…トラヒック複製装置、１０００…通信システム。
【図１】
2010213048.tif 000003
【図２】
2010213048.tif 000004
【図３】
2010213048.tif 000005
【図４】
2010213048.tif 000006
【図５】
2010213048.tif 000007
【図６】
2010213048.tif 000008
【図７】
2010213048.tif 000009
【図８】
2010213048.tif 000010
【図９】
2010213048.tif 000011
【図１０】
2010213048.tif 000012
【図１１】
2010213048.tif 000013
【図１２】
2010213048.tif 000014
【図１３】
2010213048.tif 000015
【図１４】
2010213048.tif 000016
【図１５】
2010213048.tif 000017
【図１６】
2010213048.tif 000018
【図１７】
2010213048.tif 000019
【図１８】
2010213048.tif 000020
【図１９】
2010213048.tif 000021
【図２０】
2010213048.tif 000022
【図２１】
2010213048.tif 000023
【図２２】
2010213048.tif 000024