(57)【特許請求の範囲】
【請求項１】
リングネットワークを構成する複数の通信装置のうちの一の通信装置を通過するトラヒックから当該リングネットワーク上を流れるトラヒックを測定するトラヒック測定装置であって、
前記一の通信装置を通じてリングネットワークのブロッキング経路を制御し、リングネットワーク上を流れるトラヒックの経路を変更するリング制御部と、
前記トラヒックの経路変更に応じてリングネットワーク上を流れるトラヒックを前記一の通信装置から収集し、所定の規則に従って分別してトラヒック情報を生成するトラヒック収集部と、
前記生成されたトラヒック情報を保持するトラヒック情報保持部と、
トラヒック情報保持部に保持されたトラヒック情報を基にリングネットワーク上を流れる全トラヒックを推定するトラヒック推定部と、
前記推定結果を保持するトラヒック推定結果保持部と、
トラヒック情報保持部に保持されたトラヒック情報を基にトラヒックの送信元または宛先となっている端末がどの通信装置に接続されているかを推定する集合推定部と、
前記推定結果を保持する集合推定結果保持部とを少なくとも備えた
ことを特徴とするトラヒック測定装置。
【請求項２】
トラヒック情報保持部に保持された、各経路をブロックした場合のトラヒック情報を比較し、送信元および宛先の組み合わせが合致したトラヒック情報についてはトラヒック量について所定の計算を行って統合し、合致しないトラヒック情報についてはそのままとするトラヒック推定部を備えた
ことを特徴とする請求項１に記載のトラヒック測定装置。
【請求項３】
トラヒック情報保持部に保持された、通信装置に隣接する経路をブロックした場合のトラヒック情報の差分を通信装置毎に抽出し、差分情報内で送信元および宛先の組み合わせとして抽出されている２つの端末を同一グループに含まないように、測定された全ての端末を２つのグループに分割して通信装置毎に接続されている端末の集合の候補を作成し、全集合で重複のない集合の候補の組み合わせを探索して通信装置毎に接続されている端末の集合を推定する集合推定部を備えた
ことを特徴とする請求項１に記載のトラヒック測定装置。
【請求項４】
リングネットワークを構成する複数の通信装置のうちの一の通信装置を通過するトラヒックから当該リングネットワーク上を流れるトラヒックを測定するトラヒック測定方法であって、
リング制御部により、前記一の通信装置を通じてリングネットワークのブロッキング経路を制御し、リングネットワーク上を流れるトラヒックの経路を変更する工程と、
トラヒック収集部により、前記トラヒックの経路変更に応じてリングネットワーク上を流れるトラヒックを前記一の通信装置から収集し、所定の規則に従って分別してトラヒック情報を生成してトラヒック情報保持部に保持する工程と、
トラヒック推定部により、トラヒック情報保持部に保持されたトラヒック情報を基にリングネットワーク上を流れる全トラヒックを推定する工程と、
集合推定部により、トラヒック情報保持部に保持されたトラヒック情報を基にトラヒックの送信元または宛先となっている端末がどの通信装置に接続されているかを推定する工程とを少なくとも備えた
ことを特徴とするトラヒック測定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数の通信装置により構成されるリングネットワーク上を流れるトラヒックを測定・解析する技術に関する。
【背景技術】
【０００２】
複数の通信装置により構成されるリングネットワークまたはリングネットワークの集合からなるリングネットワークシステムを複数のグループ（企業や組織等）で共有する方法として、ＶＬＡＮを用いて物理的なネットワーク上に仮想的なネットワークを構成する方法がある。この方法では、それぞれのグループが異なるＶＬＡＮ、つまり仮想ネットワークを介してトラヒック（パケット）を流すことで、セキュリティを確保するとともに、物理的なリングネットワークの通信帯域を効率的に利用することが可能になる。
【０００３】
リングネットワーク（以下、単に「リング」とも記す。）において、リング上を流れるトラヒックを詳細に解析することは運用上、様々なメリットがある。リング上を流れる、ユーザの拠点毎あるいはそこに収容されている端末毎のトラヒックを測定し、解析することができれば、各ユーザのリングの帯域使用状況をより詳細に得ることが可能となる。帯域使用状況を詳細に得ることができれば、例えばユーザのトラヒックを異なるリングに分散させる収容替えを効果的に行うことや、トラヒックの異常時や逼迫時における原因特定を行うことなどが可能になる。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
トラヒックの解析には、リングを構成する通信装置（Ｌ２ＳＷ）の管理情報（ＭＩＢ情報）を収集する方法が主に取られている。しかしながら、この管理情報には規定されたトラヒック情報（具体的には、ＶＬＡＮ毎のトラヒック量）のみが記載されているため、上記方法で得られるトラヒック情報には制約があった。
【０００５】
リング上を流れるトラヒックの詳細な情報を収集するためには、非特許文献１に記載されているように、ミラーポート設定と呼ばれる、通信装置に対してその装置を経由するトラヒックを全て特定のポートに複製・転送する設定を行い、その後、キャプチャ装置と呼ばれる専用の装置を用いてトラヒックの内容を記録し、その後、オフラインで解析する方法が一般的である。これは通常、通信装置はトラヒックを解析する機能を有しておらず、仮にその機能を有していたとしても大量のトラヒックをリアルタイムに解析することは非常に困難であるからである。
【０００６】
しかし、Ｌ２ＮＷのようにトラヒックの流通がフォワーディングデータベースによって自動的に定まる場合、トラヒックの経路が自動的に学習されるため、あるリングを経由するトラヒックであってもそのリング上の全ての通信装置を経由するとは限らない。よって、リング上を流れるトラヒックを全て測定するためには、上記のミラーポート設定およびキャプチャ装置への接続をリング上の全ての通信装置に対して行う必要があるが、これには多くのコストと手間が発生するという問題があった。
【０００７】
本発明は、上記のような課題に対し、リングを構成する一部の通信装置に対してミラーポート設定およびキャプチャ装置への接続を行うだけで、リング上を流れる全トラヒックを推定し、その詳細情報を得ることを目的とする。
【課題を解決するための手段】
【０００８】
本発明では前記課題を解決するため、リングネットワークを構成する複数の通信装置のうちの一の通信装置を通過するトラヒックから当該リングネットワーク上を流れるトラヒックを測定するトラヒック測定装置であって、前記一の通信装置を通じてリングネットワークのブロッキング経路を制御し、リングネットワーク上を流れるトラヒックの経路を変更するリング制御部と、前記トラヒックの経路変更に応じてリングネットワーク上を流れるトラヒックを前記一の通信装置から収集し、所定の規則に従って分別してトラヒック情報を生成するトラヒック収集部と、前記生成されたトラヒック情報を保持するトラヒック情報保持部と、トラヒック情報保持部に保持されたトラヒック情報を基にリングネットワーク上を流れる全トラヒックを推定するトラヒック推定部と、前記推定結果を保持するトラヒック推定結果保持部と、トラヒック情報保持部に保持されたトラヒック情報を基にトラヒックの送信元または宛先となっている端末がどの通信装置に接続されているかを推定する集合推定部と、前記推定結果を保持する集合推定結果保持部とを少なくとも備えた  ことを特徴とするトラヒック測定装置を提案する。
【０００９】
また、本発明では前記課題を解決するため、リングネットワークを構成する複数の通信装置のうちの一の通信装置を通過するトラヒックから当該リングネットワーク上を流れるトラヒックを測定するトラヒック測定方法であって、リング制御部により、前記一の通信装置を通じてリングネットワークのブロッキング経路を制御し、リングネットワーク上を流れるトラヒックの経路を変更する工程と、トラヒック収集部により、前記トラヒックの経路変更に応じてリングネットワーク上を流れるトラヒックを前記一の通信装置から収集し、所定の規則に従って分別してトラヒック情報を生成してトラヒック情報保持部に保持する工程と、トラヒック推定部により、トラヒック情報保持部に保持されたトラヒック情報を基にリングネットワーク上を流れる全トラヒックを推定する工程と、集合推定部により、トラヒック情報保持部に保持されたトラヒック情報を基にトラヒックの送信元または宛先となっている端末がどの通信装置に接続されているかを推定する工程とを少なくとも備えたことを特徴とするトラヒック測定方法を提案する。
【発明の効果】
【００１０】
本発明によれば、リング上の全ての通信装置に対してミラーポート設定およびキャプチャ装置への接続を行うことによるコストや手間をかけずに、リング上を流れる全トラヒックを推定し、その詳細情報を得ることができる。
【図面の簡単な説明】
【００１１】
【図１】本発明で想定するネットワーク構成の一例を示す構成図
【図２】本発明のトラヒック測定装置の実施の形態の一例を示す構成図
【図３】リングのブロッキング経路を切り替えることによって収集可能なトラヒックの一例を示す説明図
【図４】トラヒック情報の一例を示す説明図
【図５】トラヒック情報を基にトラヒック推定部によって生成され、トラヒック推定結果保持部が保持する情報の一例を示す説明図
【図６】集合推定部における動作のフローチャート
【図７】トラヒック情報の差分抽出によって生成される差分情報の一例を示す説明図
【図８】各集合についての差分情報とその情報を基に作成された各集合の候補の一例を示す説明図
【図９】各集合について得られた集合候補から、どちらがその集合かを選定する手順を示す説明図
【発明を実施するための形態】
【００１２】
以下、図面を用いて本発明の実施の形態について詳細に説明する。
【００１３】
図１は、本発明で想定するネットワーク構成の一例を示している。本例では、４台の（通常の）通信装置１，２，３，４と１台のトラヒック収集用の通信装置（以下、「トラヒック収集装置」または「収集装置」と記す。）５とによりリングネットワーク６を構成している。
【００１４】
トラヒック収集装置５は、リング制御やトラヒック推定を可能とするトラヒック測定装置Ｘと接続され、当該収集装置５を通過するトラヒックについて、ミラーポート設定およびトラヒックのキャプチャにより、送信元アドレスや宛先アドレスを始めとするトラヒックの詳細情報が取得可能である点を除き、通常の通信装置と同様である。
【００１５】
各通信装置１，２，３，４からリング６外に伸びる経路にはそれぞれ、当該リング６を利用する通信端末の集合Ａ，Ｂ，Ｃ，Ｄが接続されているものとする。なお、図中、集合Ａ，Ｂ，Ｃ，Ｄそれぞれの下部の（）内に記載されたｎｏｄｅ１〜ｎｏｄｅ５は、あるＶＬＡＮにおいてその集合に含まれる端末の例を表している。
【００１６】
また、リングプロトコルでは、トラヒックがリング上をループすることを防ぐために経路の一部をあえて疎通不可（ブロック）とする。ここで、収集装置５−通信装置１間の経路をＸ−Ａ、通信装置１−２間の経路をＡ−Ｂ、通信装置２−３間の経路をＢ−Ｃ、通信装置３−４間の経路をＣ−Ｄ、通信装置４−収集装置５間の経路をＤ−Ｘとするが、図１では経路Ｘ−Ａがブロッキング経路として指定されている。
【００１７】
図２は、本発明のトラヒック測定装置Ｘの実施の形態の一例を示すものである。本発明のトラヒック測定装置Ｘは、リング制御部１１と、トラヒック収集部１２と、トラヒック情報保持部１３と、トラヒック推定部１４と、トラヒック推定結果保持部１５と、集合推定部１６と、集合推定結果保持部１７とにより構成される。
【００１８】
リング制御部１１は、収集装置５を通じてリング６のブロッキング経路（ブロッキングポート）を制御し、リング６上を流れるトラヒックの経路を変更する。トラヒック収集部１２は、リング制御部１１によるトラヒックの経路変更に応じてリング６上を流れるトラヒックを収集装置５から収集し、これを所定の規則に従って分別してトラヒック情報を生成する。トラヒック情報保持部１３は、トラヒック収集部１２により生成されたトラヒック情報を保持する。
【００１９】
トラヒック推定部１４は、トラヒック情報保持部１３に保持されたトラヒック情報を基にリング６上を流れる全トラヒックを推定する。トラヒック推定結果保持部１５は、トラヒック推定部１４により推定された結果を保持する。
【００２０】
集合推定部１６は、トラヒック情報保持部１３に保持されたトラヒック情報を基にトラヒックの送信元または宛先となっている端末がどの通信装置に接続されているかを推定する。集合推定結果保持部１７は、集合推定部１６により推定された結果を保持する。
【００２１】
図３は、リング６のブロッキング経路を切り替えることによって収集できるトラヒックの一例を示すものである。図中の表は、各経路をブロックした場合において、特定の集合の組を送信元（Ｓｒｃ）および宛先（Ｄｅｓｔ）とするトラヒックが収集装置５を通過するか否か（収集可能か否か）を表しており、通過する（収集可）トラヒックには「○」を、通過しない（収集不可）トラヒックには「×」を記述している。
【００２２】
本発明では、リング制御部１１により上述したリングプロトコルにおけるブロッキング経路を切り替えることでリング６上のトラヒック経路を変更し、その都度、トラヒック収集部１２により収集装置５を通過するトラヒックを一定時間収集することで、リング６上を流れる全体のトラヒックを推定する。但し、前提として、リング６上を流れるトラヒックの傾向は長期的に見て大きな変化はないものとする。これは、トラヒックの測定をリング６のブロック経路を順次に切り替えて行うため、全てのトラヒック情報を同じ時間（期間）中に取得することができないためである。
【００２３】
トラヒック測定を行わない場合は、収集装置５に隣接する経路（Ｘ−Ａ、Ｄ−Ｘ）をブロックすることで、各端末集合間の通信経路上から収集装置５を外し、通信に影響を及ぼさないことが可能である。このとき、全てのトラヒックは収集装置５を通過しない。但し、ブロードキャスト、マルチキャストのトラヒックは収集可能であるが、ここでは以降の説明を簡単にするため、これを考慮しないものとする。
【００２４】
一方、トラヒック測定を行う場合には、ブロックする経路を順次切り替えていく。例として、経路Ａ−Ｂをブロックした場合を考える。このとき、集合Ａについて送受するトラヒックは必ず収集装置５を通過するため、集合Ａに含まれる端末（ｎｏｄｅ１）を送信元あるいは宛先とするトラヒックを収集装置５によって収集可能となる。経路Ａ−Ｂをブロックした場合、集合Ｂ−Ｃ間、Ｂ−Ｄ間、Ｃ−Ｄ間を交流するトラヒックを取得することはできないが、これらも同様に、ブロッキング経路を順次切り替えることで図中の表のように取得できる。
【００２５】
図４は、トラヒック情報保持部１３が保持するトラヒック情報の一例を示すものである。本例では、トラヒック収集部１２は、各経路をブロックした場合それぞれにおいて収集したトラヒックを送信元アドレスおよび宛先アドレスの組み合わせで分別し、それらのトラヒック量を含むトラヒック情報として出力し、トラヒック情報保持部１３に保持している。なお、トラヒックの分別には他の情報（例えば、トラヒックの使用しているポート番号など）を用いても良い。なお、簡単のため、経路を切り替えた場合でも、同一の特徴量を有するトラヒックのトラヒック量は変わらなかったものとしている。
【００２６】
図５は、トラヒック情報保持部１３が保持するトラヒック情報を基にトラヒック推定部１４によって生成され、トラヒック推定結果保持部１５が保持する情報の一例を示すものである。
【００２７】
トラヒック推定部１４は、トラヒック情報保持部１３が保持する、各経路をブロックした場合のトラヒック情報を比較し、送信元アドレスおよび宛先アドレスの組み合わせ（並びにその他のポート番号等の付加情報）が合致したトラヒック情報について統合処理を行う。統合処理では、統合対象となるトラヒックについて測定されたトラヒック量の平均値算出を行い、その値を統合後のトラヒック量とし、トラヒック推定結果保持部１５に格納する。なお、統合後のトラヒック量として、平均値ではなく最大値を取るなど、他の方法によって算出しても良い。また、トラヒック情報を比較した結果、送信元アドレスおよび宛先アドレスの組み合わせ等が合致する情報がなく、統合処理を行う必要がなかった情報については、唯一測定されたトラヒック情報をトラヒック推定結果保持部１５に格納する。トラヒック情報保持部１３の保持する全トラヒック情報について上記の処理を行うことで、リング６上を流れる全トラヒックを推定できる。
【００２８】
図６は、集合推定部１６における動作のフローチャートを示すものである。収集したトラヒックの送信元または宛先となっている端末がどの集合に含まれているか（どの通信装置に接続されているか）は、集合に含まれる端末をあらかじめ把握している場合を除き、トラヒックに記載されたアドレス情報だけで判別することはできない。集合を特定する方法として、例えば各通信装置のフォワーディングデータベース（経路情報）を参照する方法があるが、この方法は通信機器に負荷がかかる場合がある。
【００２９】
集合推定部１６では、上記のような方法を取らずに、トラヒック情報保持部１３に保持されたトラヒック情報からトラヒックの送信元または宛先となっている端末がどの集合に含まれているかの推定を行う。集合推定部１６は「トラヒック情報の差分抽出」、「集合候補の作成」、「集合の推定」によって各端末を含む集合の推定を行う。以下に図を用いて動作例を説明する。
【００３０】
図７は、トラヒック情報の差分抽出によって生成される差分情報の一例を示したものである。本例では、集合Ｂに隣接する経路（Ａ−Ｂ，Ｂ−Ｃ）をブロック経路とした場合に得られたトラヒック情報を比較し、アドレス情報（送信元アドレスおよび宛先アドレスの組み合わせ）が重複しない情報を差分情報として抽出している。同様に、集合Ａ，Ｃ，Ｄについても、その隣接経路をブロックした場合に得られたトラヒック情報を比較し、差分情報として抽出する。なお、集合Ａ，Ｄについては、隣接経路Ｘ−Ａ，Ｄ−Ｘをブロックした場合に得られる情報がないことから、一方の隣接経路（経路Ａ−Ｂ，Ｃ−Ｄ）をブロックした場合に得られたトラヒック情報をそのまま差分情報として抽出する。
【００３１】
ある集合の隣接経路をブロックした場合、その集合に含まれる端末を送信元または宛先とするトラヒックの経路が変更される。従って、二つの隣接経路のどちらをブロックした場合においても収集されるトラヒック、およびどちらの場合も収集されないトラヒックは、その集合に関係のないトラヒックと考えられる。従って、上記のように差分情報を抽出することで、ある集合に関係する送信元アドレスおよび宛先アドレスの組み合わせのみが抽出されることになる。
【００３２】
図８は、各集合についての差分情報とその情報を基に作成された各集合の候補の一例を示すものである。以降では、差分情報を抽出することによって得られたアドレスの組み合わせについて、送信元アドレスまたは宛先アドレスのどちらがその集合に含まれる端末のものであるかの推定を行う。そのために、まず、抽出した差分情報から集合の候補を作成する。同一集合に含まれる（同一の通信装置に接続されている）端末間のトラヒックはリング６上に設置された収集装置５によって収集されないことから、送信元および宛先の組み合わせとして抽出されている２つの端末を同一グループに含まないように、測定された全ての端末アドレスを２つのグループに分割する。
【００３３】
具体的には、例えば１番目の送信元および宛先アドレスの組み合わせのうちの一方をグループ１に入れ、他方をグループ２に入れ、２番目の送信元および宛先アドレスの組み合わせのうち、いずれかのグループ内のアドレスと合致するものがあればそのアドレスを当該合致したグループに入れ、他方のアドレスを別のグループに入れ、３番目以降の送信元および宛先アドレスの組み合わせについても同様に繰り返す。なお、送信元および宛先アドレスのいずれも合致するものがない場合は、（１）別の２つのグループ３，４（必要に応じてグループ５，６、グループ７，８、…）を作成して最終的にマージする、（２）処理を後回しにする、（３）無視する、等を行う。このようにして全ての送信元および宛先アドレスの組み合わせについて処理した結果、得られた２つのグループのうち一方が特定の集合、もう一方がそれ以外の端末で構成される集合となる。
【００３４】
図９は、各集合について得られた集合の候補から、どちらがその集合かを選定する手順を示すものである。複数の集合に含まれる端末が存在しないことを前提に、全集合で重複のない集合の候補の組み合わせを探索する。本例では、集合候補のリストを作成し、２つの候補を並び替えることで候補１の欄に重複のない集合候補の組み合わせを並べている。以上で得られた結果を、各集合に属している端末の集合であるとし、集合推定保持部１７に格納する。
【００３５】
以上により、リングを構成する全ての通信装置にミラーポートの設定等を行わずとも、リング上に流れる全トラヒックの詳細情報および特定の端末が接続されている通信装置の推定を可能にする。
【符号の説明】
【００３６】
１〜４：通信装置、５：トラヒック収集装置、６：リングネットワーク、Ｘ：トラヒック測定装置、１１：リング制御部、１２：トラヒック収集部、１３：トラヒック情報保持部、１４：トラヒック推定部、１５：トラヒック推定結果保持部、１６：集合推定部、１７：集合推定結果保持部。
【先行技術文献】
【非特許文献】
【００３７】
【非特許文献１】遠藤一義「Wiresharkを導入してケーブルの中をのぞく」、日経ＮＥＴＷＯＲＫ ２０１０年１１月号、株式会社日経ＢＰ、2010年10月発行、pp.60〜65.
【図１】
0005467698.tif 000002
【図２】
0005467698.tif 000003
【図３】
0005467698.tif 000004
【図４】
0005467698.tif 000005
【図５】
0005467698.tif 000006
【図６】
0005467698.tif 000007
【図７】
0005467698.tif 000008
【図８】
0005467698.tif 000009
【図９】
0005467698.tif 000010