(57)【要約】【課題】トラフィック変動の要因を正確に抽出することができるネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムを提供すること。【解決手段】経路情報の属性毎にトラフィック量を集計し、経路情報の属性毎に監視対象日時から所定の周期分だけ過去の日時における所定の時間範囲分のトラフィック量を複数の日時について抽出し、抽出された複数の日時に対応するトラフィック量のうち、トラフィックの変動分布が監視対象日時におけるトラフィックの変動分布と類似するトラフィック量に基づいて、トラフィックの変動許容範囲を示す閾値を算出し、経路情報の属性毎に、監視対象日時におけるトラフィック量が閾値の範囲内に含まれるか否かを検出する。【選択図】図２
2011250201.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに含まれる自律システムを監視するネットワーク監視装置であって、
前記自律システムを流通するトラフィックの経路を示す経路情報の属性毎に、該属性を含む経路を流通するトラフィック量を集計するトラフィック集計部と、
前記経路情報の属性毎に、前記トラフィック集計部によって集計されたトラフィック量から、監視対象日時から所定の周期分だけ過去の日時における所定の時間範囲分のトラフィック量を複数の日時について抽出する抽出部と、
前記抽出部によって抽出された複数の日時に対応するトラフィック量のうち、トラフィックの変動分布が前記監視対象日時におけるトラフィックの変動分布と類似するトラフィック量に基づいて、トラフィックの変動許容範囲を示す閾値を前記経路情報の属性毎に算出する閾値算出部と、
前記経路情報の属性毎に、前記監視対象日時におけるトラフィック量が前記閾値算出部によって算出された閾値の範囲内に含まれるか否かを検出するトラフィック変動検出部と
を有することを特徴とするネットワーク監視装置。
【請求項２】
前記自律システムから経路情報を収集し、経路情報に含まれる属性の変更内容を検出した場合に、該変更内容を属性変更情報記憶部に格納する経路情報格納部と、
前記トラフィック変動検出部によって、前記閾値の範囲に前記監視対象日時におけるトラフィック量が含まれないと判定された場合に、該トラフィック量に対応する経路情報の属性の変更内容を前記属性変更情報記憶部から取得し、取得した変更内容を含む警告を通知する警告部と
をさらに備えたことを特徴とする請求項１に記載のネットワーク監視装置。
【請求項３】
前記トラフィック変動検出部は、
前記閾値の範囲に前記監視対象日時におけるトラフィック量が含まれないと判定した日時から、該記閾値の範囲に該監視対象日時におけるトラフィック量が含まれると判定した日時までの異常検出区間を所定の検出履歴記憶部に格納し、
前記閾値算出部は、
前記検出履歴記憶部に記憶されている異常検出区間におけるトラフィック量を除外して閾値を算出する
ことを特徴とする請求項１又は２に記載のネットワーク監視装置。
【請求項４】
前記抽出部は、
前記トラフィック集計部によって集計されたトラフィック量のうち、監視対象日時から所定の週数だけ過去のトラフィック量と、該監視対象日時から所定の日数だけ過去のトラフィック量と、監視対象日時に対して直近の休日のトラフィック量とを抽出する
ことを特徴とする請求項１〜３のいずれか一つに記載のネットワーク監視装置。
【請求項５】
前記警告部は、
前記トラフィック変動検出部によって前記閾値の範囲にトラフィック量が含まれないと複数の属性について判定された場合に、該複数の属性に対応する変更内容を前記属性変更情報記憶部から取得し、取得した変更内容が重複する場合には、該複数の属性を一括して警告を行う
ことを特徴とする請求項２〜４のいずれか一つに記載のネットワーク監視装置。
【請求項６】
ネットワークに含まれる自律システムを監視するネットワーク監視方法であって、
コンピュータが、
前記自律システムを流通するトラフィックの経路を示す経路情報の属性毎に、該属性を含む経路を流通するトラフィック量を集計するトラフィック集計工程と、
前記経路情報の属性毎に、前記トラフィック集計工程によって集計されたトラフィック量から、監視対象日時から所定の周期分だけ過去の日時における所定の時間範囲分のトラフィック量を複数の日時について抽出する抽出工程と、
前記抽出工程によって抽出された複数の日時に対応するトラフィック量のうち、トラフィックの変動分布が前記監視対象日時におけるトラフィックの変動分布と類似するトラフィック量に基づいて、トラフィックの変動許容範囲を示す閾値を前記経路情報の属性毎に算出する閾値算出工程と、
前記経路情報の属性毎に、前記監視対象日時におけるトラフィック量が前記閾値算出工程によって算出された閾値の範囲内に含まれるか否かを検出するトラフィック変動検出工程と
を含むことを特徴とするネットワーク監視方法。
【請求項７】
コンピュータを請求項１〜５のいずれか一つに記載のネットワーク監視装置として機能させることを特徴とするネットワーク監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムに関する。
【背景技術】
【０００２】
一般に、ＩＰ（Internet  Protocol）ネットワークは、共通の管理下において運用されるネットワークの集合であるＡＳ（Autonomous  System：自律システム）毎に分けられる。このようなＡＳ間でのルーティングは、ＥＧＰ（Exterior  Gateway  Protocol）と呼ばれるルーティングプロトコルによって行われる。ＥＧＰとしては、例えば、ＡＳ間の経路制御を行うＢＧＰ（Border  Gateway  Protocol）が知られている。
【０００３】
ＢＧＰが適用されるＩＰネットワークでは、ＡＳ間によってＢＧＰメッセージが送受されることにより、ＡＳ間を流通するパケットの経路が決定される。このＡＳ間のパケット流通経路は、ＡＳ間のケーブル故障等によって変動する場合がある。経路変動が発生すると、各ＡＳ間を流通するトラフィック量が変動するので、安定したネットワーク通信が困難になるおそれがある。そこで、通信事業者等は、安全なネットワーク運用を目的として、ネットワークの経路変動を監視したり、ネットワークのトラフィック等を監視したりする。
【０００４】
例えば、所定のＡＳ間を流通するトラフィック量を定期的に取得し、現在のトラフィック量と、直前のトラフィック量とを比較することでトラフィック変動量を監視する技術が知られている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−１６７４８４号公報
【非特許文献】
【０００６】
【非特許文献１】Jian Wu, Z. Morley Mao, Jennifer Rexford, and Jia Wang, Finding a needle in a haystack: Pinpointing significant BGP routing changes in an IP network, Proc. Networked Systems Design and Implementation, May 2005.
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記の従来技術には、トラフィック変動の要因を正確に抽出することが困難であるという問題がある。例えば、例えば、現在のトラフィック量と、直前のトラフィック量とを比較する技術では、トラフィック変動量を検出することが可能であっても、トラフィック変動の要因を正確に特定することは困難である。近年、ＩＰネットワーク環境が普及している状況において、トラフィック変動の要因を正確に抽出する技術が求められている。
【０００８】
そこで、本発明は、上記に鑑みてなされたものであって、トラフィック変動の要因を正確に抽出することができるネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決し、目的を達成するために、本発明に係るネットワーク監視装置は、ネットワークに含まれる自律システムを監視するネットワーク監視装置であって、前記自律システムを流通するトラフィックの経路を示す経路情報の属性毎に、該属性を含む経路を流通するトラフィック量を集計するトラフィック集計部と、前記経路情報の属性毎に、前記トラフィック集計部によって集計されたトラフィック量から、監視対象日時から所定の周期分だけ過去の日時における所定の時間範囲分のトラフィック量を複数の日時について抽出する抽出部と、前記抽出部によって抽出された複数の日時に対応するトラフィック量のうち、トラフィックの変動分布が前記監視対象日時におけるトラフィックの変動分布と類似するトラフィック量に基づいて、トラフィックの変動許容範囲を示す閾値を前記経路情報の属性毎に算出する閾値算出部と、前記経路情報の属性毎に、前記監視対象日時におけるトラフィック量が前記閾値算出部によって算出された閾値の範囲内に含まれるか否かを検出するトラフィック変動検出部とを有することを特徴とする。
【００１０】
また、本発明に係るネットワーク監視方法は、ネットワークに含まれる自律システムを監視するネットワーク監視方法であって、コンピュータが、前記自律システムを流通するトラフィックの経路を示す経路情報の属性毎に、該属性を含む経路を流通するトラフィック量を集計するトラフィック集計工程と、前記経路情報の属性毎に、前記トラフィック集計工程によって集計されたトラフィック量から、監視対象日時から所定の周期分だけ過去の日時における所定の時間範囲分のトラフィック量を複数の日時について抽出する抽出工程と、前記抽出工程によって抽出された複数の日時に対応するトラフィック量のうち、トラフィックの変動分布が前記監視対象日時におけるトラフィックの変動分布と類似するトラフィック量に基づいて、トラフィックの変動許容範囲を示す閾値を前記経路情報の属性毎に算出する閾値算出工程と、前記経路情報の属性毎に、前記監視対象日時におけるトラフィック量が前記閾値算出工程によって算出された閾値の範囲内に含まれるか否かを検出するトラフィック変動検出工程とを含むことを特徴とする。
【００１１】
また、本発明に係るネットワーク監視プログラムは、コンピュータを上記のネットワーク監視装置として機能させることを特徴とする。
【発明の効果】
【００１２】
本発明に係るネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムは、トラフィック変動の要因を正確に特定することができるという効果を奏する。
【図面の簡単な説明】
【００１３】
【図１】図１は、実施例１に係るネットワーク監視装置が適用されるネットワークの構成例を示す図である。
【図２】図２は、実施例１に係るネットワーク監視装置の構成例を示すブロック図である。
【図３】図３は、経路情報記憶部の一例を示す図である。
【図４】図４は、属性変更情報記憶部の一例を示す図である。
【図５】図５は、フロー情報記憶部の一例を示す図である。
【図６】図６は、プレフィックス単位記憶部の一例を示す図である。
【図７】図７は、オリジンＡＳ単位記憶部の一例を示す図である。
【図８】図８は、ピアＡＳ単位記憶部の一例を示す図である。
【図９】図９は、ＡＳパス単位記憶部の一例を示す図である。
【図１０】図１０は、ＡＳリンク単位記憶部の一例を示す図である。
【図１１】図１１は、ルータアドレス単位記憶部の一例を示す図である。
【図１２】図１２は、トラフィック変動の一例を示す図である。
【図１３】図１３は、単位時間当たりのトラフィック変動の一例を示す図である。
【図１４】図１４は、トラフィック変動の一例を示す図である。
【図１５】図１５は、実施例１に係るネットワーク監視装置によるトラフィック集計処理手順を示すフローチャートである。
【図１６】図１６は、実施例１に係るネットワーク監視装置によるトラフィック変動検出処理手順を示すフローチャートである。
【図１７】図１７は、ネットワーク監視プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。
【発明を実施するための形態】
【００１４】
以下に、本発明に係るネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例により本発明が限定されるものではない。
【実施例１】
【００１５】
［ネットワーク構成］
まず、図１を用いて、実施例１に係るネットワーク監視装置が適用されるネットワークの構成例について説明する。図１は、実施例１に係るネットワーク監視装置が適用されるネットワークの構成例を示す図である。
【００１６】
図１に示すように、実施例１におけるネットワーク１には、ＡＳ１０〜ＡＳ８０が含まれる。ＡＳ１０は、実施例１に係るネットワーク監視装置１００と、ルータ１１及び１２と、端末１３とを含む。また、ＡＳ２０は、ルータ２１を含み、ＡＳ３０は、ルータ３１と、Ｗｅｂサーバ３２とを含む。
【００１７】
ルータ１１とルータ２１とは、相互に接続される。すなわち、ルータ１１は、ＡＳ１０を経由するトラフィックをＡＳ２０に中継する処理を行うとともに、ＡＳ２０を経由するトラフィックをルータ２１から受け付ける。また、ルータ１２とルータ３１とは、相互に接続される。すなわち、ルータ１２は、ＡＳ１０を経由するトラフィックをＡＳ３０に中継する処理を行うとともに、ＡＳ３０を経由するトラフィックをルータ３１から受け付ける。図１に示した例では、ＡＳ４０〜ＡＳ８０内に配置されるルータを図示することを省略したが、ＡＳ４０〜ＡＳ８０には、ルータが配置されているものとする。そして、ＡＳ４０〜ＡＳ８０は、自ＡＳ内のルータと他のＡＳ内のルータとが接続されることにより、他のＡＳと接続される。
【００１８】
このようにして、各ＡＳ内に配置されるルータ間が接続されることにより、各ＡＳは相互に接続される。図１に示した例では、ＡＳ１０は、ＡＳ２０とＡＳ３０とＡＳ８０と相互に接続され、ＡＳ２０は、ＡＳ１０とＡＳ５０とＡＳ６０と相互に接続され、ＡＳ３０は、ＡＳ１０とＡＳ４０と相互に接続され、ＡＳ４０は、ＡＳ３０とＡＳ８０と相互に接続され、ＡＳ７０は、ＡＳ５０とＡＳ６０と相互に接続されている。
【００１９】
このようなＡＳ間の接続関係は、「ＡＳリンク」と呼ばれる。図１に示した例では、ＡＳ１０とＡＳ２０とはＡＳリンクＬ１２により接続されており、ＡＳ１０とＡＳ３０とはＡＳリンクＬ１３により接続されている。このように、各ＡＳ間は、図１に示した例において、「Ｌ」から始まる符号を付したＡＳリンクによって接続される。
【００２０】
端末１３は、ＡＳ１０内に形成されるローカルネットワークＮ１に配置される。かかる端末１３は、ルータ１１と接続されており、ルータ１１を介して、他の端末やサーバとの間でパケットの送受を行う。また、Ｗｅｂサーバ３２は、ＡＳ３０内に配置されており、例えば、端末１３からアクセスされた場合に、ＨＴＭＬ（HyperText  Markup  Language）文書等を端末１３に送信する。
【００２１】
ネットワーク監視装置１００は、ＡＳ１０を監視しており、ルータ１１及び１２と接続される。かかるネットワーク監視装置１００は、ルータ１１及び１２から、ＡＳ１０を経由するトラフィックの送信先プレフィックスと、かかるトラフィックが経由するＡＳの経路（ＡＳパス）とを含む経路情報を収集する。図１に示した例では、ネットワーク監視装置１００は、ＡＳ１０内に配置されるので、例えば、Ｉ−ＢＧＰ（Internal−BGP）におけるＯＰＥＮメッセージやＵＰＤＡＴＥメッセージ等をルータ１１及び１２から受信することにより、経路情報を収集する。
【００２２】
また、ネットワーク監視装置１００は、ルータ１１及び１２から、ＡＳ１０を経由するトラフィックの送信元ＩＰアドレス、送信先ＩＰアドレス及びトラフィック量を含むフロー情報を収集する。例えば、ネットワーク監視装置１００は、ｓＦｌｏｗ（登録商標）、ＮｅｔＦｌｏｗ、ＩＰＦＩＸ等の技術により、ルータ１１〜１３等からフロー情報を収集する。
【００２３】
そして、実施例１に係るネットワーク監視装置１００は、ルータ１１及び１２から収集した経路情報及びフロー情報を用いて、経路情報の属性ごとに、かかる属性を含む経路を流通するトラフィック量を時系列に集計する。なお、実施例１における経路情報の属性とは、例えば、ＢＧＰメッセージに含まれる「送信先プレフィックス」、「ＡＳパス」、「ネクストホップ」及び「コミュニティ」や、ＡＳパスから抽出可能な「ピアＡＳ（隣接ＡＳ）」、「オリジンＡＳ（経路情報生成元のＡＳ）」、「ＡＳリンク」、「ＡＳパス長」等である。すなわち、ネットワーク監視装置１００は、例えば、送信先プレフィックス毎に、かかる送信先プレフィックスに流通するトラフィック量を時系列に集計する。また、例えば、ネットワーク監視装置１００は、ＡＳパス毎に、かかるＡＳパスを流通するトラフィック量を時系列に集計したり、ＡＳリンク毎に、かかるＡＳリンクを流通するトラフィック量を時系列に集計したりする。
【００２４】
なお、ネットワーク監視装置１００は、ＢＧＰメッセージから収集した送信先プレフィックスのうち、トラフィックの集計対象とするプレフィックスを、プレフィックス長が最も長いプレフィックス及びかかるプレフィックスが有する属性値のみとする。これは、経路のルーティングにおいては、プレフィックス長の長いプレフィックスが優先的に選択されるためである。すなわち、ネットワーク監視装置１００は、プレフィックス長が最も長いプレフィックスのみをトラフィックの集計対象とすることで、トラフィックを多重加算することを防止することができる。
【００２５】
そして、ネットワーク監視装置１００は、経路情報の属性毎に集計したトラフィック量を用いて、経路情報の属性毎にトラフィック量を監視する。以下に、ネットワーク監視装置１００によるトラフィック変動検出処理の概要について説明する。ここでは、ネットワーク監視装置１００が送信先プレフィックス毎に集計されたトラフィック量を監視する場合を例に挙げて説明する。
【００２６】
ネットワーク監視装置１００は、まず、送信先プレフィックス毎に時系列に集計されたトラフィック量から、トラフィック監視対象の日時（以下、「監視対象日時」と表記する場合がある）から所定の周期分だけ過去の日時における所定の時間範囲分のトラフィック量を複数の日時について抽出する。そして、ネットワーク監視装置１００は、抽出した複数の日時におけるトラフィック量のうち、トラフィック量の変動分布が監視対象日時におけるトラフィック量の変動分布と類似するトラフィック量を特定する。
【００２７】
例えば、ネットワーク監視装置１００は、送信先プレフィックス毎に集計されたトラフィック量から、監視対象日時の前日におけるトラフィック量や、監視対象日時から１週間前の日時におけるトラフィック量等を取得する。そして、ネットワーク監視装置１００は、取得した各日時におけるトラフィック量のうち、トラフィック量の変動分布が監視対象日時におけるトラフィック量の変動分布と類似するトラフィック量を特定する。
【００２８】
そして、ネットワーク監視装置１００は、前述において特定したトラフィック量に基づいて、トラフィックの変動許容範囲を示す閾値を算出する。例えば、ネットワーク監視装置１００は、前述において特定したトラフィック量の平均値を算出し、算出した平均値に所定のマージンを加減することにより、トラフィックの変動許容範囲を示す閾値を算出する。そして、ネットワーク監視装置１００は、監視対象日時における監視対象のトラフィック量が、前述において算出した閾値の範囲内に含まれない場合に、警告を通知する。
【００２９】
上記では、ネットワーク監視装置１００が送信先プレフィックス毎に集計されたトラフィック量を監視する場合を例に挙げて説明したが、ネットワーク監視装置１００は、経路情報の各属性について、上記の閾値算出処理と、トラフィック変動検出処理とを行う。
【００３０】
このように、実施例１に係るネットワーク監視装置１００は、経路情報の属性毎にトラフィック量を集計し、経路情報の属性毎にトラフィックの変動を監視する。これにより、実施例１に係るネットワーク監視装置１００は、経路情報の属性毎にトラフィック変動の異常を検出することができる。すなわち、ネットワーク監視装置１００は、トラフィック変動の異常を検出した場合に、かかる異常に影響を与えた経路情報の属性を抽出することができるので、トラフィック変動の要因となった経路変動を抽出することができる。
【００３１】
また、実施例１に係るネットワーク監視装置１００は、トラフィック変動検出処理において、監視対象日時より所定の周期分だけ過去の日時におけるトラフィック量を複数の日時について抽出し、抽出した複数の日時におけるトラフィック量のうち、トラフィック量の変動分布が監視対象日時におけるトラフィック量の変動分布と類似するトラフィック量に基づいて、トラフィックの変動許容範囲を示す閾値を算出する。監視対象日時とトラフィック変動が類似している日時におけるトラフィック変動は、監視対象日時のその後のトラフィック変動と類似する可能性が高い。すなわち、実施例１に係るネットワーク監視装置１００は、監視対象日時とトラフィック変動が類似している日時におけるトラフィック変動に基づいて閾値を算出するので、トラフィック変動の異常を正確に検出することができる。以上のことから、トラフィック変動の要因を正確に抽出することができる。以下に、実施例１に係るネットワーク監視装置１００の構成や処理手順について詳細に説明する。
【００３２】
［ネットワーク監視装置の構成］
次に、図２を用いて、実施例１に係るネットワーク監視装置１００の構成について説明する。図２は、実施例１に係るネットワーク監視装置１００の構成例を示すブロック図である。
【００３３】
図２に示すように、実施例１に係るネットワーク監視装置１００は、ネットワーク情報記憶部１１０と、経路情報格納部１２１と、フロー情報格納部１２２と、トラフィック量記憶部１３０と、トラフィック集計部１４１と、閾値算出部１４２と、トラフィック変動検出部１４３と、検出履歴記憶部１４４と、警告部１４５とを有する。
【００３４】
ネットワーク情報記憶部１１０は、各種情報を記憶する記憶デバイスであり、経路情報記憶部１１１と、属性変更情報記憶部１１２と、フロー情報記憶部１１３を有する。ネットワーク情報記憶部１１０に記憶される各種情報は、後述する経路情報格納部１２１やフロー情報格納部１２２によって格納及び更新される。経路情報記憶部１１１、属性変更情報記憶部１１２、フロー情報記憶部１１３については、経路情報格納部１２１やフロー情報格納部１２２とともに説明する。
【００３５】
経路情報格納部１２１は、ルータ１１等からＢＧＰメッセージを受信し、受信したＢＧＰメッセージに含まれる各種情報を経路情報格納部１２１に格納する。具体的には、経路情報格納部１２１は、ルータ１１等から、Ｉ−ＢＧＰにおけるＯＰＥＮメッセージやＵＰＤＡＴＥメッセージ等を受信することにより経路情報を収集する。そして、経路情報格納部１２１は、ルータ１１等から収集した経路情報を経路情報記憶部１１１に格納する。
【００３６】
経路情報格納部１２１によって収集される経路情報には、トラフィックの送信先のネットワークアドレスを示す送信先プレフィックス、経路情報の追加又は削除を示す情報、ネクストホップアドレス、トラフィックが経由するＡＳの経路であるＡＳパス等が含まれる。経路情報格納部１２１は、このような経路情報に含まれる各種情報を経路情報記憶部１１１に格納する。このとき、経路情報格納部１２１は、ＡＳパスの情報から、自装置が属するＡＳ１０に隣接するピアＡＳ、経路情報を生成したオリジンＡＳ、ＡＳパス長、隣り合うＡＳの組合せであるＡＳリンクを抽出して、抽出した各種情報についても経路情報記憶部１１１に格納する。
【００３７】
ここで、図３に、経路情報記憶部１１１の一例を示す。図３に示すように、経路情報記憶部１１１は、「受信時刻」、「ルータアドレス」、「追加／削除」、「プレフィックス」、「ネクストホップ」、「ＡＳパス」、「コミュニティ」、「ピアＡＳ」、「オリジンＡＳ」、「ＡＳパス長」、「ＡＳリンク」といった項目を有する。
【００３８】
「受信時刻」は、経路情報格納部１２１がルータからＢＧＰメッセージを受信した日時、又は、ＢＧＰメッセージが生成された日時を示す。なお、図３では、「受信時刻」に月日時分の単位で日時が記憶される例を示している。しかし、「受信時刻」には、例えば、年月日時分秒の単位で日時が記憶されてもよい。以下で説明する他の記憶部における「受信時刻」についても、年月日時分秒の単位で日時が記憶されてもよい。
【００３９】
「ルータアドレス」は、ＢＧＰメッセージを送信したルータのＩＰアドレスを示す。なお、図３に示した例において、「ルータアドレス」に記憶されている「ＲＡ１１」は、図１に示したルータ１１のＩＰアドレスであり、「ＲＡ１２」は、ルータ１２のＩＰアドレスであるものとする。「追加／削除」は、経路情報が追加であるか、又は、削除であるかを識別する情報を示す。
【００４０】
「プレフィックス」は、ＢＧＰメッセージに含まれる送信先プレフィックスを示す。なお、図３に示した例において、「プレフィックス」に記憶されている「Ｍ．０．０．０／Ｎ」は、図１に示したＡＳ１０〜ＡＳ８０のうち、ＡＳ”Ｍ”０と接続されるネットワークのネットワークアドレスを示すものとする。例えば、図３の「プレフィックス」に記憶されている「５０．０．０．０／２４」は、ＡＳ５０と接続されるネットワークのネットワークアドレスを示し、「７０．０．０．０／２４」は、ＡＳ７０と接続されるネットワークのネットワークアドレスを示すものとする。
【００４１】
「ネクストホップ」は、ＢＧＰメッセージに含まれるネクストホップアドレスを示す。「ＡＳパス」は、ＢＧＰメッセージに含まれるＡＳパスを示す。なお、図３では、「ＡＳパス」に、ＢＧＰメッセージが経由したＡＳの順が、かかるＡＳのＡＳ番号を右から順に空白によって区切って記憶される例を示している。また、ＡＳのＡＳ番号とは、ＡＳを識別する識別情報であり、図１に示した各ＡＳに付した符号であるものする。例えば、ＡＳ１０のＡＳ番号は「１０」であり、ＡＳ２０のＡＳ番号は「２０」である。「コミュニティ」は、ＢＧＰメッセージに含まれるコミュニティを示す。
【００４２】
「ピアＡＳ」は、経路情報格納部１２１によってＡＳパスから抽出される情報であり、ネットワーク監視装置１００が設置されているＡＳ１０と隣接するＡＳを示す。「オリジンＡＳ」は、経路情報格納部１２１によってＡＳパスから抽出される情報であり、経路情報を生成したＡＳを示す。なお、図３では、「ピアＡＳ」及び「オリジンＡＳ」に、ピアＡＳのＡＳ番号が記憶される例を示している。
【００４３】
「ＡＳパス長」及び「ＡＳリンク」は、経路情報格納部１２１によってＡＳパスから抽出される情報である。なお、図３では、「ＡＳリンク」に、ＡＳリンクを識別するための情報として、図１に示した各ＡＳリンクに付した符号が記憶される例を示している。また、図３では、「ＡＳリンク」に、ＡＳリンクを示す情報がカンマ区切りで記憶される例を示している。また、上記の「ＡＳパス長」などは、ＢＧＰメッセージに含まれる場合もある。かかる場合には、経路情報格納部１２１は、ＢＧＰメッセージに含まれるＡＳパス長を経路情報記憶部１１１に格納する。
【００４４】
したがって、図３に例示した経路情報記憶部１１１の１行目は、例えば、受信時刻「４月１０日１０時００分」に、経路情報格納部１２１が、ＩＰアドレスが「ＲＡ１１」であるルータ１１から、送信先プレフィックス「５０．０．０．０／２４」、ネクストホップ「ＲＡ１１」、ＡＳパス「１０  ２０  ５０」、コミュニティ「Ｃ１１」を含むＢＧＰメッセージを受信したことを示している。そして、図３に例示した経路情報記憶部１１１の１行目は、ＡＳパスが「１０  ２０  ５０」であるので、ＡＳ１０に隣接するピアＡＳが「ＡＳ２０」であり、経路情報を生成したＡＳが「ＡＳ５０」であり、ＡＳパス長が「３」であり、ＡＳリンクが「ＡＳリンクＬ１２」と「ＡＳリンクＬ２５」である例を示している。
【００４５】
なお、経路情報が削除される場合には、ＢＧＰメッセージに「ＡＳパス」等の属性情報が含まれない場合がある。したがって、経路情報格納部１２１は、経路情報が削除される旨の情報を含むＢＧＰメッセージを受信した場合には、「ネクストホップ」、「ＡＳパス」、「コミュニティ」、「ピアＡＳ」、「オリジンＡＳ」、「ＡＳパス長」、「ＡＳリンク」といった項目に、以下の条件（Ａ１）〜（Ａ３）を全て満たすレコードに記憶されている情報をコピーする。
（Ａ１）経路情報記憶部１１１の「ルータアドレス」に記憶されている情報と、ＢＧＰメッセージの送信元のルータのＩＰアドレスとが一致する
（Ａ２）経路情報記憶部１１１の「プレフィックス」に記憶されている情報と、ＢＧＰメッセージに含まれる送信先プレフィックスとが一致する
（Ａ３）上記の（Ａ１）及び（Ａ２）を満たすレコードのうち、「受信時刻」が最大（直近の日時）である
【００４６】
また、経路情報格納部１２１は、ルータ１１等から受信した経路情報に基づいて、経路情報の属性が変更されたか否かを検出し、検出した変更内容を属性変更情報記憶部１１２に格納する。具体的には、経路情報格納部１２１は、ルータ１１等からＢＧＰメッセージを受信した場合に、経路情報記憶部１１１から、上記の条件（Ａ１）〜（Ａ３）を全て満たすレコードを取得する。
【００４７】
そして、経路情報格納部１２１は、上記の条件（Ａ１）〜（Ａ３）を全て満たすレコードを取得した場合には、取得したレコードに含まれる各種情報と、ルータ１１等から受信したＢＧＰメッセージに含まれる各種情報やかかる各種情報から抽出される各種情報とを比較して、ネクストホップ、ピアＡＳ、オリジンＡＳ、ＡＳパスのいずれかに変更があったか否かを検出する。そして、経路情報格納部１２１は、いずれかの情報に変更があった場合には、変更内容を属性変更情報記憶部１１２に格納する。
【００４８】
例えば、図３に例示した経路情報記憶部１１１の２行目と５行目とを参照すると、双方のレコードにおけるルータアドレス及びプレフィックスは一致する。したがって、経路情報格納部１２１は、図３に例示した経路情報記憶部１１１の５行目に対応するＢＧＰメッセージを受信したときに、かかるＢＧＰメッセージに含まれる各種情報と、図３に例示した経路情報記憶部１１１の２行目に記憶されているレコードとを比較する。そして、経路情報格納部１２１は、ＡＳパスが「１０  ２０  ５０  ７０」から「１０  ２０  ６０  ７０」に変更されたことを検出し、検出した変更内容を属性変更情報記憶部１１２に格納する。
【００４９】
また、経路情報格納部１２１は、図３に例示した経路情報記憶部１１１の７行目に対応するＢＧＰメッセージを受信したときに、かかるＢＧＰメッセージに含まれる各種情報と、図３に例示した経路情報記憶部１１１の３行目に記憶されているレコードとを比較する。そして、経路情報格納部１２１は、ＡＳパスが「１０  ３０  ４０」から「１０  ８０  ４０」に変更され、ピアＡＳが「ＡＳ３０」から「ＡＳ８０」に変更されたことを検出し、検出した変更内容を属性変更情報記憶部１１２に格納する。
【００５０】
また、経路情報格納部１２１は、図３に例示した経路情報記憶部１１１の６行目に対応するＢＧＰメッセージを受信したときに、かかるＢＧＰメッセージに含まれる各種情報と、図３に例示した経路情報記憶部１１１の４行目に記憶されているレコードとを比較する。そして、経路情報格納部１２１は、経路情報が削除されたことを検出し、検出結果を属性変更情報記憶部１１２に格納する。
【００５１】
図４に、属性変更情報記憶部１１２の一例を示す。図４に示すように、属性変更情報記憶部１１２は、「受信時刻」、「ルータアドレス」、「ネクストホップ変更」、「ピアＡＳ変更」、「オリジンＡＳ変更」、「ＡＳパス変更」、「プレフィックス」、「ネクストホップ」、「ＡＳパス」、「コミュニティ」といった項目を有する。
【００５２】
「受信時刻」、「ルータアドレス」、「プレフィックス」、「ネクストホップ」、「ＡＳパス」、「コミュニティ」は、図３に示した経路情報記憶部１１１が有する各項目に対応する。
【００５３】
「ネクストホップ変更」は、ネクストホップが変更された場合に格納される情報であり、変更前のネクストホップと変更後のネクストホップとが格納される。「ピアＡＳ変更」は、ピアＡＳが変更された場合に格納される情報であり、変更前後のピアＡＳが格納される。「オリジンＡＳ変更」は、オリジンＡＳが変更された場合に格納される情報であり、変更前後のオリジンＡＳが格納される。「ＡＳパス変更」は、ＡＳパスが変更された場合に格納される情報であり、変更前後のＡＳパスが格納される。
【００５４】
例えば、図４に例示した属性変更情報記憶部１１２の１行目は、経路情報格納部１２１が、図３に例示した経路情報記憶部１１１の５行目に対応するＢＧＰメッセージを受信した際に格納される情報である。具体的には、図４に例示した属性変更情報記憶部１１２の１行目は、時刻「４月１６日２１時」に受信したＢＧＰメッセージによって、ＡＳパスが「１０  ２０  ５０  ７０」から「１０  ２０  ６０  ７０」に変更されたことを示している。
【００５５】
図２の説明に戻って、フロー情報格納部１２２は、ルータ１１等からフロー情報を受信し、受信したフロー情報に含まれる各種情報をフロー情報記憶部１１３に格納する。具体的には、ルータ１１等は、ｓＦｌｏｗ（登録商標）、ＮｅｔＦｌｏｗ、ＩＰＦＩＸ等の技術が適用されている場合に、フロー情報をネットワーク監視装置１００へ送信する。フロー情報格納部１２２は、ルータ１１等から送信されるフロー情報を受信することにより、フロー情報を収集する。
【００５６】
フロー情報格納部１２２によって収集されるフロー情報には、トラフィックの送信元端末のＩＰアドレス及びポート番号、トラフィックの送信先端末のＩＰアドレス及びポート番号、パケットの流通に用いられるプロトコル、トラフィック量等が含まれる。フロー情報格納部１２２は、このようなフロー情報に含まれる各種情報をフロー情報記憶部１１３に格納する。
【００５７】
図５に、フロー情報記憶部１１３の一例を示す。図５に示すように、フロー情報記憶部１１３は、「受信時刻」、「ルータアドレス」、「インタフェースＩＤ」、「送信元ＩＰアドレス」、「送信先ＩＰアドレス」、「プロトコル」、「送信元ポート番号」、「送信先ポート番号」、「トラフィック量」といった項目を有する。
【００５８】
「受信時刻」は、フロー情報格納部１２２がルータからフロー情報を受信した日時、又は、ルータによってフロー情報が生成された日時を示す。「ルータアドレス」は、フロー情報を送信したルータのＩＰアドレスを示す。「インタフェースＩＤ」は、フロー情報を送信したルータのインタフェースを識別する識別情報を示す。図５に示した例において、「インタフェースＩＤ」に記憶されている「ＩＦ１１ａ」は、ルータ１２と接続されているルータ１１のインタフェースを示すものとする。
【００５９】
「送信元ＩＰアドレス」、「送信先ＩＰアドレス」、「プロトコル」、「送信元ポート番号」、「送信先ポート番号」、「トラフィック量」は、上述したように、フロー情報に含まれる各種情報を示す。
【００６０】
図２の説明に戻って、トラフィック量記憶部１３０は、経路情報の属性毎に、所定の時間間隔に対応付けてトラフィック量を時系列に記憶する。具体的には、トラフィック量記憶部１３０は、プレフィックス単位記憶部１３１と、オリジンＡＳ単位記憶部１３２と、ピアＡＳ単位記憶部１３３と、ＡＳパス単位記憶部１３４と、ＡＳリンク単位記憶部１３５と、ルータアドレス単位記憶部１３６とを有する。トラフィック量記憶部１３０に記憶される各種情報は、後述するトラフィック集計部１４１によって格納及び更新される。
【００６１】
なお、トラフィック量記憶部１３０に記憶されるトラフィック量は、経路情報記憶部１１１に記憶されるプレフィックスのうち、プレフィックス長が最も長いプレフィックスに対応するトラフィック量や、かかるプレフィックスが有する属性値に対応するトラフィック量のみである。
【００６２】
図６に、プレフィックス単位記憶部１３１の一例を示す。図６に示すように、プレフィックス単位記憶部１３１は、「集計時刻」、「プレフィックス」、「入力トラフィック量」、「出力トラフィック量」といった項目を有する。「集計時刻」は、トラフィックが流通した時刻を示す。図６に示した例では、トラフィックの集計時間間隔が「５分」である場合を示している。「プレフィックス」は、経路情報に含まれる送信先プレフィックスを示し、図３に示した経路情報記憶部１１１の「プレフィックス」に対応する。「入力トラフィック量」は、ＡＳに入力されるトラフィックを示す。「出力トラフィック量」は、ＡＳから出力されるトラフィックを示す。実施例１に係るネットワーク監視装置１００は、ＡＳ１０内に配置されるので、「入力トラフィック量」は、ＡＳ１０に入力されるトラフィック量を示し、「出力トラフィック量」は、ＡＳ１０から出力されるトラフィック量を示す。
【００６３】
例えば、図６に例示したプレフィックス単位記憶部１３１の１行目は、「４月１３日１０時０分〜１０時５分」に、プレフィックスが「５０．０．０．０／２４」であるトラフィックがＡＳ１０に「５０Ｍｂｐｓ」だけ入力され、プレフィックスが「５０．０．０．０／２４」であるトラフィックがＡＳ１０から「２５０Ｍｂｐｓ」だけ出力されたことを示している。
【００６４】
図７に、オリジンＡＳ単位記憶部１３２の一例を示す。図７に示すように、オリジンＡＳ単位記憶部１３２は、「集計時刻」、「オリジンＡＳ」、「入力トラフィック量」、「出力トラフィック量」といった項目を有する。「オリジンＡＳ」は、図３に示した経路情報記憶部１１１の「オリジンＡＳ」に対応する。「入力トラフィック量」は、対応する「オリジンＡＳ」に記憶されているＡＳがオリジンＡＳである経路を流通してＡＳ１０に入力されるトラフィックを示す。「出力トラフィック量」は、ＡＳ１０から出力され、対応する「オリジンＡＳ」に記憶されているＡＳがオリジンＡＳである経路を流通するトラフィックを示す。
【００６５】
例えば、図７に例示したオリジンＡＳ単位記憶部１３２の３行目は、「４月１３日１０時０分〜１０時５分」に、オリジンＡＳがＡＳ５０である経路を流通するトラフィックがＡＳ１０に「５０Ｍｂｐｓ」だけ入力され、オリジンＡＳがＡＳ５０である経路を流通するトラフィックがＡＳ１０から「２５０Ｍｂｐｓ」だけ出力されたことを示している。
【００６６】
図８に、ピアＡＳ単位記憶部１３３の一例を示す。図８に示すように、ピアＡＳ単位記憶部１３３は、「集計時刻」、「ピアＡＳ」、「入力トラフィック量」、「出力トラフィック量」といった項目を有する。「ピアＡＳ」は、図３に示した経路情報記憶部１１１の「ピアＡＳ」に対応する。「入力トラフィック量」は、対応する「ピアＡＳ」に記憶されているＡＳがピアＡＳである経路を流通してＡＳ１０に入力されるトラフィックを示す。「出力トラフィック量」は、ＡＳ１０から出力され、対応する「ピアＡＳ」に記憶されているＡＳがピアＡＳである経路を流通するトラフィックを示す。
【００６７】
例えば、図８に例示したピアＡＳ単位記憶部１３３の１行目は、「４月１３日１０時０分〜１０時５分」に、ピアＡＳがＡＳ２０である経路を流通するトラフィックがＡＳ１０に「２５０Ｍｂｐｓ」だけ入力され、ピアＡＳがＡＳ２０である経路を流通するトラフィックがＡＳ１０から「３５０Ｍｂｐｓ」だけ出力されたことを示している。
【００６８】
図９に、ＡＳパス単位記憶部１３４の一例を示す。図９に示すように、ＡＳパス単位記憶部１３４は、「集計時刻」、「ＡＳパス」、「入力トラフィック量」、「出力トラフィック量」といった項目を有する。「ＡＳパス」は、図３に示した経路情報記憶部１１１の「ＡＳパス」に対応する。「入力トラフィック量」は、対応する「ＡＳパス」に記憶されている経路を流通してＡＳ１０に入力されるトラフィックを示す。「出力トラフィック量」は、ＡＳ１０から出力され、対応する「ＡＳパス」に記憶されている経路を流通するトラフィックを示す。
【００６９】
例えば、図９に例示したＡＳパス単位記憶部１３４の１行目は、「４月１３日１０時０分〜１０時５分」に、ＡＳパス「１０  ２０  ５０」が示す経路を流通するトラフィックがＡＳ１０に「５０Ｍｂｐｓ」だけ入力され、ＡＳパス「１０  ２０  ５０」が示す経路を流通するトラフィックがＡＳ１０から「２５０Ｍｂｐｓ」だけ出力されたことを示している。
【００７０】
図１０に、ＡＳリンク単位記憶部１３５の一例を示す。図１０に示すように、ＡＳリンク単位記憶部１３５は、「集計時刻」、「ＡＳリンク」、「入力トラフィック量」、「出力トラフィック量」といった項目を有する。「ＡＳリンク」は、図３に示した経路情報記憶部１１１の「ＡＳリンク」に対応する。「入力トラフィック量」は、対応する「ＡＳリンク」に記憶されているＡＳリンクを流通してＡＳ１０に入力されるトラフィックを示す。「出力トラフィック量」は、ＡＳ１０から出力され、対応する「ＡＳリンク」に記憶されているＡＳリンクを流通するトラフィックを示す。
【００７１】
例えば、図１０に例示したＡＳリンク単位記憶部１３５の１行目は、「４月１３日１０時０分〜１０時５分」に、ＡＳリンクＬ１２を流通するトラフィックがＡＳ１０に「２５０Ｍｂｐｓ」だけ入力され、ＡＳリンク１２を流通するトラフィックがＡＳ１０から「３５０Ｍｂｐｓ」だけ出力されたことを示している。
【００７２】
図１１に、ルータアドレス単位記憶部１３６の一例を示す。図１１に示すように、ルータアドレス単位記憶部１３６は、「集計時刻」、「ルータアドレス」、「入力トラフィック量」、「出力トラフィック量」といった項目を有する。「ルータアドレス」は、図３に示した経路情報記憶部１１１の「ルータアドレス」に対応する。「入力トラフィック量」は、対応する「ルータアドレス」に記憶されているルータに入力されるトラフィックを示す。「出力トラフィック量」は、対応する「ルータアドレス」に記憶されているルータから出力されるトラフィックを示す。
【００７３】
図２の説明に戻って、トラフィック集計部１４１は、フロー情報記憶部１１３に記憶されている送信元ＩＰアドレスと送信先ＩＰアドレスとトラフィック量、及び、経路情報記憶部１１１に記憶されているプレフィックスとに基づいて、経路情報の属性毎にトラフィック量を集計する。
【００７４】
具体的には、トラフィック集計部１４１は、所定の時間間隔で送信先プレフィックス毎にトラフィックを集計し、集計結果をプレフィックス単位記憶部１３１に格納する。また、トラフィック集計部１４１は、所定の時間間隔でオリジンＡＳ毎にトラフィックを集計し、集計結果をオリジンＡＳ単位記憶部１３２に格納する。また、トラフィック集計部１４１は、所定の時間間隔でピアＡＳ毎にトラフィックを集計し、集計結果をピアＡＳ単位記憶部１３３に格納する。また、トラフィック集計部１４１は、所定の時間間隔でＡＳパス毎にトラフィックを集計し、集計結果をＡＳパス単位記憶部１３４に格納する。また、トラフィック集計部１４１は、所定の時間間隔でＡＳリンク毎にトラフィックを集計し、集計結果をＡＳリンク単位記憶部１３５に格納する。また、トラフィック集計部１４１は、所定の時間間隔でルータのＩＰアドレス毎にトラフィックを集計し、集計結果をルータアドレス単位記憶部１３６に格納する。
【００７５】
なお、トラフィック集計部１４１は、上記以外の経路情報の属性についても、かかる属性毎にトラフィック量を集計する。具体的には、トラフィック集計部１４１は、ネクストホップ毎にトラフィックを集計し、コミュニティ毎にトラフィックを集計し、ＡＳパス長毎にトラフィックを集計し、各々の集計結果を図示しない記憶部に格納する。
【００７６】
ここで、トラフィック集計部１４１によるトラフィック集計処理について説明する。なお、ここでは、経路情報記憶部１１１が図３に示した状態であり、フロー情報記憶部１１３が図５に示した状態であるものとする。また、以下では、トラフィック集計部１４１は、５分間隔でトラフィック量を集計するものとする。
【００７７】
トラフィック集計部１４１は、まず、フロー情報記憶部１１３から、受信時刻が集計対象時間に該当するレコードを取得する。そして、トラフィック集計部１４１は、取得したレコードに含まれるトラフィック量を、入力トラフィックと出力トラフィックとに分けて、プレフィックス毎に集計する。このとき、フロー情報記憶部１１３は、経路情報記憶部１１１に記憶されているプレフィックス毎にトラフィック量を集計する。そして、トラフィック集計部１４１は、集計したトラフィック量をプレフィックス単位記憶部１３１に格納する。なお、トラフィック集計部１４１は、経路情報記憶部１１１に記憶されているプレフィックスのうち、プレフィックス長が最も長いプレフィックスのみをトラフィックの集計対象とする。
【００７８】
例えば、集計対象時間が「４月１３日１０時０分〜１０時５分」である場合に、トラフィック集計部１４１は、図５に例示したフロー情報記憶部１１３の１行目〜６行目のレコードを取得する。そして、トラフィック集計部１４１は、取得したレコードに含まれるトラフィック量がＡＳ１０に入力される入力トラフィックを示すか、又は、ＡＳ１０から出力される出力トラフィックを示すかを判定する。
【００７９】
ここで、トラフィックの入出力を判定する処理について、図５に示したフロー情報記憶部１１３の１行目のレコードを例に挙げて説明する。図５に示したフロー情報記憶部１１３の１行目を参照すると、ルータアドレスが「ＲＡ１１」であり、インタフェースＩＤが「ＩＦ１１ａ」であり、送信元ＩＰアドレスが「１０．０．０．１」であり、送信先ＩＰアドレスが「５０．０．０．１」である。
【００８０】
上述したように、ルータアドレス「ＲＡ１１」はルータ１１を示し、インタフェースＩＤ「ＩＦ１１ａ」は、ルータ１２と接続されるルータ１１のインタフェースを示す。また、プレフィックス「Ｍ．０．０．０／Ｎ」は、ＡＳ１０〜ＡＳ８０のうち、ＡＳ”Ｍ”０と接続されるネットワークのネットワークアドレスを示す。すなわち、ＩＰアドレス「１０．０．０．１」に対応するネットワークアドレス「１０．０．０．０／Ｎ」は、ＡＳ１０と接続されるネットワークであり、ＩＰアドレス「５０．０．０．１」に対応するネットワークアドレス「５０．０．０．０／Ｎ」は、ＡＳ５０と接続されるネットワークである。
【００８１】
したがって、フロー情報記憶部１１３の１行目は、ＡＳ１０からＡＳ５０へ流通するトラフィックが「１５０Ｍｂｐｓ」であることを示している。言い換えれば、図５に示したフロー情報記憶部１１３の１行目は、ＡＳ１０内のルータ１１のインタフェースからルータ１２に出力されるトラフィック量が「１５０Ｍｂｐｓ」であることを示している。
【００８２】
同様の理由により、例えば、図５に例示したフロー情報記憶部１１３の２行目は、ルータ１１からルータ１２に出力されるトラフィック量が「１００Ｍｂｐｓ」であることを示し、図５に例示したフロー情報記憶部１１３の３行目は、ルータ１２からルータ１１に入力されるトラフィック量が「５０Ｍｂｐｓ」であることを示している。
【００８３】
このように、トラフィック集計部１４１は、フロー情報記憶部１１３に記憶されているルータアドレス、インタフェースＩＤ、送信元ＩＰアドレス及び送信先ＩＰアドレスに基づいて、トラフィックが流通するルータのインタフェースを特定することができ、さらに、かかるトラフィックがルータのインタフェースに入力されるのか出力されるのかを特定することができる。
【００８４】
このようにしてトラフィックの入出力を判定した後に、トラフィック集計部１４１は、経路情報記憶部１１１からプレフィックスを取得する。ここでは、集計対象時間が「４月１３日１０時０分〜１０時５分」であるので、図３に示した経路情報記憶部１１１には、１行目〜４行目までしか情報が記憶されていない。したがって、トラフィック集計部１４１は、経路情報記憶部１１１からプレフィックス「５０．０．０．０／２４」、「７０．０．０．０／１６」、「４０．０．０．０／２４」及び「３０．０．０．０／１６」を取得する。
【００８５】
続いて、トラフィック集計部１４１は、フロー情報記憶部１１３から取得したレコードのうち、送信元ＩＰアドレスがプレフィックス「５０．０．０．０／２４」に属するレコードを特定する。ここでは、トラフィック集計部１４１は、フロー情報記憶部１１３の３行目のレコードを特定する。そして、トラフィック集計部１４１は、プレフィックス「５０．０．０．０／２４」の入力トラフィックとして、フロー情報記憶部１１３の３行目のレコードに含まれるトラフィック量「５０Ｍｂｐｓ」を集計する。
【００８６】
続いて、トラフィック集計部１４１は、フロー情報記憶部１１３から取得したレコードのうち、送信先ＩＰアドレスがプレフィックス「５０．０．０．０／２４」に属するレコードを特定する。ここでは、トラフィック集計部１４１は、フロー情報記憶部１１３の１行目及び２行目のレコードを特定する。そして、トラフィック集計部１４１は、プレフィックス「５０．０．０．０／２４」の出力トラフィックとして、フロー情報記憶部１１３の１行目及び２行目のレコードに含まれるトラフィック量「１５０Ｍｂｐｓ」と「１００Ｍｂｐｓ」とを加算した「２５０Ｍｂｐｓ」を集計する。
【００８７】
同様にして、トラフィック集計部１４１は、プレフィックス「７０．０．０．０／１６」の出力トラフィックとしてトラフィック量「２００Ｍｂｐｓ」を集計し、プレフィックス「７０．０．０．０／１６」の入力トラフィックとしてトラフィック量「１００Ｍｂｐｓ」を集計する。
【００８８】
そして、トラフィック集計部１４１は、集計したトラフィック量をプレフィックス単位記憶部１３１に格納する。具体的には、図６に例示したプレフィックス単位記憶部１３１のように、トラフィック集計部１４１は、集計時刻「４月１３日１０時０分〜１０時５分」と、プレフィックス「５０．０．０．０／２４」と、入力トラフィック量「５０Ｍｂｐｓ」と、出力トラフィック量「２５０Ｍｂｐｓ」とを対応付けて、プレフィックス単位記憶部１３１に格納する。また、トラフィック集計部１４１は、集計時刻「４月１３日１０時０分〜１０時５分」と、プレフィックス「７０．０．０．０／１６」と、入力トラフィック量「２００Ｍｂｐｓ」と、出力トラフィック量「１００Ｍｂｐｓ」とを対応付けて、プレフィックス単位記憶部１３１に格納する。
【００８９】
続いて、トラフィック集計部１４１は、オリジンＡＳ毎にトラフィック量を集計する。具体的には、トラフィック集計部１４１は、経路情報記憶部１１１から、オリジンＡＳを取得する。上述したように、ここでは、監視対象時間が「４月１３日１０時０分〜１０時５分」であるので、図３に示した経路情報記憶部１１１には、１行目〜４行目までしか情報が記憶されていない。したがって、トラフィック集計部１４１は、経路情報記憶部１１１から、オリジンＡＳとして、ＡＳ３０、ＡＳ４０、ＡＳ５０、ＡＳ７０を取得する。
【００９０】
そして、トラフィック集計部１４１は、経路情報記憶部１１１から、ＡＳ３０がオリジンＡＳであるプレフィックス「３０．０．０．０／１６」を取得する。そして、トラフィック集計部１４１は、プレフィックス単位記憶部１３１から、プレフィックス「３０．０．０．０／１６」に対応する入力トラフィック量と出力トラフィック量とを取得する。図６に示すように、プレフィックス単位記憶部１３１は、集計時刻「４月１３日１０時０分〜１０時５分」に対応する入力トラフィック量及び出力トラフィック量を保持しない。したがって、トラフィック集計部１４１は、プレフィックス単位記憶部１３１から、プレフィックス「３０．０．０．０／１６」に対応する入力トラフィック量及び出力トラフィック量を取得しない。
【００９１】
そして、トラフィック集計部１４１は、図７に示すように、集計時刻「４月１３日１０時０分〜１０時５分」と、オリジンＡＳ「３０」と、入力トラフィック量「０Ｍｂｐｓ」と、出力トラフィック量「０Ｍｂｐｓ」とを対応付けて、オリジンＡＳ単位記憶部１３２に格納する。同様に、トラフィック集計部１４１は、オリジンＡＳ「４０」と、入力トラフィック量「０Ｍｂｐｓ」と、出力トラフィック量「０Ｍｂｐｓ」とを対応付けて、オリジンＡＳ単位記憶部１３２に格納する。
【００９２】
また、トラフィック集計部１４１は、経路情報記憶部１１１から、ＡＳ５０がオリジンＡＳであるプレフィックス「５０．０．０．０／２４」を取得する。そして、トラフィック集計部１４１は、図６に例示したプレフィックス単位記憶部１３１から、プレフィックス「５０．０．０．０／２４」に対応する入力トラフィック量「５０Ｍｂｐｓ」と、出力トラフィック量「２５０Ｍｂｐｓ」とを取得する。そして、トラフィック集計部１４１は、図７に示すように、集計時刻「４月１３日１０時０分〜１０時５分」と、オリジンＡＳ「５０」と、入力トラフィック量「５０Ｍｂｐｓ」と、出力トラフィック量「２５０Ｍｂｐｓ」とを対応付けて、オリジンＡＳ単位記憶部１３２に格納する。同様に、トラフィック集計部１４１は、集計時刻「４月１３日１０時０分〜１０時５分」と、オリジンＡＳ「７０」と、入力トラフィック量「２００Ｍｂｐｓ」と、出力トラフィック量「１００Ｍｂｐｓ」とを対応付けて、オリジンＡＳ単位記憶部１３２に格納する。
【００９３】
続いて、トラフィック集計部１４１は、ピアＡＳ毎にトラフィック量を集計する。具体的には、トラフィック集計部１４１は、経路情報記憶部１１１から、ピアＡＳを取得する。ここでは、トラフィック集計部１４１は、経路情報記憶部１１１から、ピアＡＳとして、ＡＳ２０、ＡＳ３０を取得する。
【００９４】
そして、トラフィック集計部１４１は、経路情報記憶部１１１から、ＡＳ２０がピアＡＳであるプレフィックス「５０．０．０．０／２４」及び「７０．０．０．０／１６」を取得する。そして、トラフィック集計部１４１は、プレフィックス単位記憶部１３１から、プレフィックス「５０．０．０．０／２４」に対応する入力トラフィック量「５０Ｍｂｐｓ」と、出力トラフィック量「２５０Ｍｂｐｓ」とを取得する。また、トラフィック集計部１４１は、プレフィックス単位記憶部１３１から、プレフィックス「７０．０．０．０／１６」に対応する入力トラフィック量「２００Ｍｂｐｓ」と、出力トラフィック量「１００Ｍｂｐｓ」とを取得する。
【００９５】
そして、トラフィック集計部１４１は、プレフィックス「５０．０．０．０／２４」に対応する入力トラフィック量「５０Ｍｂｐｓ」と、プレフィックス「７０．０．０．０／１６」に対応する入力トラフィック量「２００Ｍｂｐｓ」とを加算して「２５０Ｍｂｐｓ」を算出する。また、トラフィック集計部１４１は、プレフィックス「５０．０．０．０／２４」に対応する出力トラフィック量「２５０Ｍｂｐｓ」と、プレフィックス「７０．０．０．０／１６」に対応する出力トラフィック量「１００Ｍｂｐｓ」とを加算して「３５０Ｍｂｐｓ」を算出する。
【００９６】
そして、トラフィック集計部１４１は、図８に示すように、集計時刻「４月１３日１０時０分〜１０時５分」と、ピアＡＳ「２０」と、入力トラフィック量「２５０Ｍｂｐｓ」と、出力トラフィック量「３５０Ｍｂｐｓ」とを対応付けて、ピアＡＳ単位記憶部１３３に格納する。同様に、トラフィック集計部１４１は、集計時刻「４月１３日１０時０分〜１０時５分」と、ピアＡＳ「３０」と、入力トラフィック量「０Ｍｂｐｓ」と、出力トラフィック量「０Ｍｂｐｓ」とを対応付けて、ピアＡＳ単位記憶部１３３に格納する。
【００９７】
また、トラフィック集計部１４１は、経路情報記憶部１１１から、ＡＳ５０がピアＡＳであるプレフィックス「５０．０．０．０／２４」を取得する。そして、トラフィック集計部１４１は、図６に例示したプレフィックス単位記憶部１３１から、プレフィックス「５０．０．０．０／２４」に対応する入力トラフィック量「５０Ｍｂｐｓ」と、出力トラフィック量「２５０Ｍｂｐｓ」とを取得する。そして、トラフィック集計部１４１は、図７に示すように、集計時刻「４月１３日１０時０分〜１０時５分」と、ピアＡＳ「５０」と、入力トラフィック量「５０Ｍｂｐｓ」と、出力トラフィック量「２５０Ｍｂｐｓ」とを対応付けて、ピアＡＳ単位記憶部１３３に格納する。同様に、トラフィック集計部１４１は、ピアＡＳ「７０」と、入力トラフィック量「２００Ｍｂｐｓ」と、出力トラフィック量「１００Ｍｂｐｓ」とを対応付けて、ピアＡＳ単位記憶部１３３に格納する。
【００９８】
同様にして、トラフィック集計部１４１は、ＡＳパス毎にトラフィックを集計してＡＳパス単位記憶部１３４を更新し、ＡＳリンク毎にトラフィックを集計してＡＳリンク単位記憶部１３５を更新し、ルータアドレス毎にトラフィックを集計してルータアドレス単位記憶部１３６を更新する。
【００９９】
閾値算出部１４２は、トラフィック監視を行う場合に、トラフィック量記憶部１３０に記憶されている情報に基づいて、後述するトラフィック変動検出部１４３によってトラフィック量の異常が検出される際に用いられる閾値を算出する。後述するトラフィック変動検出部１４３は、経路情報の属性毎に、トラフィック量が異常であるか否かを判定する。したがって、閾値算出部１４２は、経路情報の属性毎に、入力トラフィック用の閾値と、出力トラフィック用の閾値とを算出する。なお、入力トラフィック用の閾値を算出する処理と、出力トラフィック用の閾値を算出する処理とは同様であるので、以下では、入力トラフィック用の閾値と、出力トラフィック用の閾値とのいずれでもよい場合には、双方を区別せずに説明する。
【０１００】
具体的には、閾値算出部１４２は、プレフィックス単位記憶部１３１に記憶されている情報を用いて、トラフィック変動検出部１４３によってプレフィックス毎のトラフィック量が異常であるか否かが判定される際に用いられる閾値を算出する。同様に、閾値算出部１４２は、オリジンＡＳ毎、ピアＡＳ毎、ＡＳパス毎、ＡＳリンク毎、ルータアドレス毎のトラフィック量が異常であるか否かが判定される際に用いられる閾値をそれぞれ算出する。
【０１０１】
ここで、図１２及び図１３を用いて、閾値算出部１４２による閾値算出処理について詳細に説明する。図１２は、トラフィック変動の一例を示す図である。図１３は、単位時間当たりのトラフィック変動の一例を示す図である。なお、閾値算出部１４２による閾値算出処理は、経路情報の属性によって異なるものではないので、ここでは、プレフィックス毎のトラフィック量に対応する閾値を算出する場合を例に挙げて説明する。すなわち、図１２は、プレフィックス単位記憶部１３１に記憶されているトラフィック量をグラフで表した図であるものとする。
【０１０２】
図１２に示した例では、後述するトラフィック変動検出部１４３が、トラフィック監視対象日時における監視時間帯「ｔ０」におけるトラフィックが異常であるか否かを検出するものとする。なお、実施例１において、監視時間帯は、図６〜図１１に例示した集計時刻に対応するものとする。すなわち、図６〜図１１に示した例では、監視時間帯は、「５分」となる。
【０１０３】
かかる場合に、閾値算出部１４２は、プレフィックス単位記憶部１３１から、閾値を算出するために用いる単位時間（以下、「閾値算出単位時間」と表記する場合がある）分のトラフィック量を取得する。このとき、閾値算出部１４２は、プレフィックス単位記憶部１３１から、例えば、監視時間帯「ｔ０」の直前における閾値算出単位時間「ｔ１」分のトラフィック量を取得する。
【０１０４】
また、閾値算出部１４２は、プレフィックス単位記憶部１３１から、閾値算出単位時間「ｔ１」における日時よりも所定の周期分だけ過去であり、かつ、かかる日時と同時間帯であるトラフィック量を取得する。ここで、実施例１における閾値算出部１４２は、上記の「所定の周期」として、「１日」、「１週間（７日）」、「直近の休日」を用いる。
【０１０５】
すなわち、閾値算出部１４２は、図１２に示した例において、閾値算出単位時間「ｔ１」における日時よりも１日前であり、かつ、かかる日時と同時間帯である閾値算出単位時間「ｔ２」におけるトラフィック量を取得する。また、閾値算出部１４２は、閾値算出単位時間「ｔ１」における日時に対して直近の休日であり、かつ、かかる日時と同時間帯である閾値算出単位時間「ｔ３」におけるトラフィック量を取得する。また、閾値算出部１４２は、閾値算出単位時間「ｔ１」における日時よりも１週間前であり、かつ、かかる日時と同時間帯である閾値算出単位時間「ｔ４」におけるトラフィック量を取得する。
【０１０６】
例えば、閾値算出単位時間が「１時間」であり、監視時間帯「ｔ０」が「４月１３日１０時０分〜１０時５分」であるものとする。かかる場合に、閾値算出部１４２は、監視時間帯ｔ０＝「４月１３日１０時０分〜１０時５分」の直前における閾値算出単位時間「ｔ１」＝「４月１３日９時〜１０時」のトラフィック量を取得する。また、閾値算出部１４２は、「１日」前のトラフィック量として、閾値算出単位時間「ｔ２」＝「４月１２日９時〜１０時」のトラフィック量を取得する。また、閾値算出部１４２は、「直近の休日」のトラフィック量として、閾値算出単位時間「ｔ３」＝「４月１１日９時〜１０時」のトラフィック量を取得する。なお、ここでは、「４月１１日」が休日であるものとする。また、閾値算出部１４２は、「１週間」前のトラフィック量として、閾値算出単位時間「ｔ４」＝「４月６日９時〜１０時」のトラフィック量を取得する。
【０１０７】
そして、閾値算出部１４２は、このようにして取得した閾値算出単位時間「ｔ２」〜「ｔ４」のトラフィック量のうち、トラフィック量の変動分布が、監視時間帯「ｔ０」の直前における閾値算出単位時間「ｔ１」のトラフィック量の変動分布と類似するトラフィック量を抽出する。そして、閾値算出部１４２は、抽出したトラフィック量を用いてトラフィック量の変動許容範囲である閾値を算出する。
【０１０８】
なお、「所定の周期」として「１日」を用いる理由は、トラフィック変動は前日と大きく変わらないことが多いからであり、前日のトラフィック量と大きく異なる場合には、異常であると判定できるからである。また、「所定の周期」として「１週間」を用いる理由は、トラフィック変動は同じ曜日で大きく変わらないことが多いからである。また、「所定の周期」として「直近の休日」を用いる理由は、トラフィック変動は平日と休日で異なる場合があり、監視対象日が祝日である場合には、前日や１週間前のトラフィック量と比較しても正しいトラフィック変動検出処理を行えない可能性があるからである。しかし、「所定の周期」に「直近の休日」を用いることで、監視対象日が祝日であっても正確にトラフィック変動検出処理を行うことができ、その結果、トラフィック変動の要因を正確に抽出することができる。
【０１０９】
ここで、閾値算出部１４２によるトラフィック量の類似性を判定する処理の一例について説明する。閾値算出単位時間「ｔ１」〜「ｔ４」におけるトラフィック量は、例えば、図１３に例示するように、所定の集計時間間隔毎に集計されたトラフィック量で表される。閾値算出部１４２は、図１３のように表されるトラフィック量の変動分布が類似するか否かを判定する場合に、例えば、閾値算出単位時間「ｔ１」におけるトラフィック量の平均値を算出する。また、閾値算出部１４２は、閾値算出単位時間「ｔ２」におけるトラフィック量の平均値、閾値算出単位時間「ｔ３」におけるトラフィック量の平均値、閾値算出単位時間「ｔ４」におけるトラフィック量の平均値についても算出する。そして、閾値算出部１４２は、閾値算出単位時間「ｔ２」〜「ｔ４」におけるトラフィック量のうち、トラフィック量の平均値が閾値算出単位時間「ｔ１」におけるトラフィック量の平均値に最も近いトラフィック量が、閾値算出単位時間「ｔ１」におけるトラフィック量に最も類似すると判定する。
【０１１０】
また、例えば、閾値算出部１４２は、トラフィック量の最大値と最小値との差異であるトラフィック変動幅を算出して類似性を判断してもよい。具体的には、閾値算出部１４２は、閾値算出単位時間「ｔ１」〜「ｔ４」におけるトラフィック量のトラフィック変動幅をそれぞれ算出する。そして、閾値算出部１４２は、閾値算出単位時間「ｔ２」〜「ｔ４」におけるトラフィック量のうち、トラフィック変動幅が閾値算出単位時間「ｔ１」におけるトラフィック変動幅に最も近いトラフィック量が、閾値算出単位時間「ｔ１」におけるトラフィック量に最も類似すると判定してもよい。
【０１１１】
続いて、閾値算出部１４２による閾値算出処理の一例について説明する。閾値算出部１４２は、上記のようにして閾値算出単位時間「ｔ１」におけるトラフィック量と類似する閾値算出単位時間のトラフィック量として、図１３に例示するトラフィック量を抽出したものとする。かかる場合に、閾値算出部１４２は、例えば、図１３に例示したトラフィック量の平均値Ｔ１０を算出する。そして、閾値算出部１４２は、図１３に例示するように、平均値Ｔ１０にマージンＭ１０を加算することで上限閾値Ｔ１１を算出し、閾値Ｔ１０からマージンＭ１０を減算することで下限閾値Ｔ１２を算出する。このように算出された上限閾値Ｔ１１〜下限閾値Ｔ１２が、変動許容範囲の閾値となる。
【０１１２】
なお、閾値算出部１４２は、トラフィック量の平均値と標準偏差を用いて、トラフィック量が所定の乖離度を超えた場合にかかるトラフィック量が異常であると判定されるように閾値を算出してもよい。
【０１１３】
図２の説明に戻って、トラフィック変動検出部１４３は、経路情報の属性毎に、監視時間帯におけるトラフィック量が、閾値算出部１４２によって算出されたトラフィック用の閾値の範囲に含まれるか否かを判定する。なお、トラフィック変動検出部１４３は、入力トラフィックと、出力トラフィックとの双方について、閾値との比較処理を行う。入力トラフィックに対する処理と出力トラフィックに対する処理とは同様であるので、以下では、入力トラフィックに対する処理と出力トラフィックに対する処理とのいずれでもよい場合には、双方を区別せずに説明する。
【０１１４】
そして、トラフィック変動検出部１４３は、出力トラフィック量についても同様に判定する。そして、トラフィック変動検出部１４３は、監視対象時間におけるトラフィック量が閾値の範囲内に含まれない場合には、トラフィック量が異常であることを検出する。そして、トラフィック変動検出部１４３は、検出結果を検出履歴記憶部１４４に格納する。例えば、トラフィック変動検出部１４３は、トラフィック量の異常を検出した日時から、トラフィック量の異常を検出しなくなった日時までの異常検出区間を検出履歴記憶部１４４に格納する。トラフィック変動検出部１４３は、経路情報の属性毎に、このようなトラフィック変動検出処理を行う。
【０１１５】
検出履歴記憶部１４４は、トラフィック変動検出部１４３による検出結果を記憶する。例えば、検出履歴記憶部１４４は、上述したように、トラフィック変動検出部１４３によってトラフィック量が異常であると検出された異常検出区間を記憶する。
【０１１６】
なお、上記の閾値算出部１４２は、検出履歴記憶部１４４に記憶されている異常検出区間を除外して閾値を算出する。図１４を用いて具体的に説明する。図１４は、トラフィック変動の一例を示す図である。閾値算出部１４２は、図１４に示したトラフィック量から閾値を算出する場合に、検出履歴記憶部１４４を参照して、異常検出区間Ｇ１１を特定する。そして、閾値算出部１４２は、特定した異常検出区間Ｇ１１を除外してトラフィック量の平均値等を算出することにより、閾値を算出する。
【０１１７】
警告部１４５は、トラフィック変動検出部１４３によってトラフィック量の異常が検出された場合に、警告を通知する。具体的には、警告部１４５は、トラフィック変動検出部１４３によってトラフィック量の異常が検出された場合に、経路情報記憶部１１１、属性変更情報記憶部１１２、フロー情報記憶部１１３等に記憶されている各種情報を含む警告を、図示しない表示部に表示したり、ネットワーク管理者等に通知したりする。
【０１１８】
例えば、警告部１４５は、トラフィック変動検出部１４３によって、プレフィックス毎のトラフィック量に対して異常が検出された場合には、経路情報記憶部１１１から、異常が検出されたプレフィックスに対応する各種情報を取得するとともに、属性変更情報記憶部１１２から異常が検出されたプレフィックスに対応する各種情報を取得する。このとき、警告部１４５は、経路情報記憶部１１１や属性変更情報記憶部１１２から、「受信時刻」に記憶されている情報が、異常が検出された日時の近傍である各種情報を取得する。そして、警告部１４５は、経路情報記憶部１１１や属性変更情報記憶部１１２から取得した各種情報をネットワーク管理者等に通知する。
【０１１９】
また、例えば、警告部１４５は、トラフィック変動検出部１４３によって、オリジンＡＳ単位記憶部１３２に記憶されているオリジンＡＳ毎のトラフィック量に対してトラフィック量の異常が検出された場合には、経路情報記憶部１１１から、異常が検出されたオリジンＡＳに対応する各種情報を取得するとともに、属性変更情報記憶部１１２から異常が検出されたオリジンＡＳに対応する各種情報を取得し、取得した各種情報をネットワーク管理者等に通知する。
【０１２０】
このようにして、警告部１４５は、トラフィック変動検出部１４３によってトラフィック量の異常が検出された場合に、検出対象の経路情報の属性に関する各種情報を経路情報記憶部１１１、属性変更情報記憶部１１２やフロー情報記憶部１１３等から取得して、取得した各種情報をネットワーク管理者等に通知する。
【０１２１】
［トラフィック集計処理手順］
次に、図１５を用いて、実施例１に係るネットワーク監視装置１００によるトラフィック集計処理の手順について説明する。図１５は、実施例１に係るネットワーク監視装置１００によるトラフィック集計処理手順を示すフローチャートである。
【０１２２】
図１５に示すように、ネットワーク監視装置１００の経路情報格納部１２１は、ルータ１１等からＢＧＰメッセージを受信することで経路情報を収集し（ステップＳ１０１）、収集した経路情報を経路情報記憶部１１１に格納する（ステップＳ１０２）。また、経路情報格納部１２１は、経路情報の属性が変更されている場合に（ステップＳ１０３肯定）、変更内容を属性変更情報記憶部１１２に格納する（ステップＳ１０４）。
【０１２３】
また、ネットワーク監視装置１００のフロー情報格納部１２２は、ルータ１１等からフロー情報を受信することでフロー情報を収集し（ステップＳ１０５）、収集したフロー情報をフロー情報記憶部１１３に格納する（ステップＳ１０６）。そして、トラフィック集計部１４１は、フロー情報記憶部１１３にトラフィック量を、経路情報の属性毎に集計する（ステップＳ１０７）。
【０１２４】
なお、上記のＳ１０１〜Ｓ１０４における処理手順と、Ｓ１０５及びＳ１０６における処理手順とは、同時に行われてもよいし、いずれか一方のみが行われてもよい。また、Ｓ１０７における処理手順は、Ｓ１０１〜Ｓ１０７における処理手順の後に行われる必要はなく、独立して定期的に行われてもよい。
【０１２５】
［トラフィック変動検出処理手順］
次に、図１６を用いて、実施例１に係るネットワーク監視装置１００によるトラフィック変動検出処理の手順について説明する。図１６は、実施例１に係るネットワーク監視装置１００によるトラフィック変動検出処理手順を示すフローチャートである。
【０１２６】
図１６に示すように、ネットワーク監視装置１００の閾値算出部１４２は、監視タイミングになった場合に（ステップＳ２０１肯定）、監視対象日時から所定の周期分だけ過去の日時における閾値算出単位時間分のトラフィック量を複数の日時について抽出する（ステップＳ２０２）。
【０１２７】
そして、閾値算出部１４２は、ステップＳ２０２において抽出した複数の日時におけるトラフィック量のうち、トラフィック量の変動分布が監視対象日時におけるトラフィック量の変動分布と類似するトラフィック量を特定し（ステップＳ２０３）、特定したトラフィック量に基づいて閾値を算出する（ステップＳ２０４）。このとき、閾値算出部１４２は、検出履歴記憶部１４４に記憶されている異常検出区間を除外して閾値を算出する。
【０１２８】
そして、トラフィック変動検出部１４３は、監視対象日時におけるトラフィック量が、閾値の範囲内に含まれるか否かを判定する（ステップＳ２０５）。トラフィック変動検出部１４３によって、トラフィック量が閾値の範囲内に含まれないと判定された場合には（ステップＳ２０５否定）、警告部１４５は、属性変更情報記憶部１１２に記憶されている属性情報の変更内容を含む警告を通知する（ステップＳ２０６）。
【０１２９】
ネットワーク監視装置１００は、経路情報の全属性についてトラフィック変動検出処理を行っていない場合には（ステップＳ２０７否定）、ステップＳ２０２に戻る。一方、ネットワーク監視装置１００は、経路情報の全属性についてトラフィック変動検出処理を行った場合には（ステップＳ２０７肯定）、処理を終了する。
【０１３０】
［実施例１の効果］
上述してきたように、実施例１に係るネットワーク監視装置１００は、経路情報の属性毎にトラフィック量を集計し、経路情報の属性毎にトラフィックの変動を監視する。また、ネットワーク監視装置１００は、トラフィック変動検出処理において、監視対象日時より所定の周期分だけ過去の日時におけるトラフィック量を複数の日時について抽出し、抽出した複数の日時におけるトラフィック量のうち、トラフィック量の変動分布が監視対象日時におけるトラフィック量の変動分布と類似するトラフィック量に基づいて、トラフィックの変動許容範囲を示す閾値を算出する。これにより、実施例１に係るネットワーク監視装置１００は、以上のことから、トラフィック変動の要因を正確に抽出することができる。また、実施例１に係るネットワーク監視装置１００は、経路情報の属性として送受信ホスト数が少ないトラフィックに対しても、トラフィック異常として検出することが可能になり、トラフィック変動要因として経路変動要因を抽出することができる。
【０１３１】
また、実施例１に係るネットワーク監視装置１００は、トラフィック変動の異常を検出した場合に、異常が検出されたトラフィックに対応する経路情報の属性の変更内容等をを含む警告を通知する。これにより、ネットワーク監視装置１００は、ネットワーク管理者等にトラフィック変動の要因を通知することができる。
【０１３２】
また、実施例１に係るネットワーク監視装置１００は、トラフィック変動の異常が検出された異常検出区間におけるトラフィック量を除外して閾値を算出するので、トラフィック変動の要因をより正確に抽出することができる。
【実施例２】
【０１３３】
ところで、本願の開示するネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムは、上述した実施例以外にも、種々の異なる形態にて実施されてよい。そこで、実施例２では、本願の開示するネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラムの他の実施例について説明する。
【０１３４】
［周期］
上記実施例１では、閾値算出部１４２が、所定の周期として、「１日」、「１週間（７日）」、「直近の休日」を用いる例を示した。しかし、これは一例であって、閾値算出部１４２は、所定の周期として、「１日」、「２日」、「３日」等の１日おきの周期を用いてもよいし、「１週間」、「２週間」、「３週間」等の１週間おきの周期を用いてもよい。
【０１３５】
［閾値算出処理］
上記実施例１では、閾値算出部１４２が、トラフィック量記憶部１３０に記憶されているトラフィック量に基づいて閾値を算出する例を示した。しかし、トラフィック量記憶部１３０にトラフィック量が記憶されている場合や、トラフィック量記憶部１３０に監視対象日時におけるトラフィック量の変動分布と類似するトラフィック量が記憶されていない場合には、閾値算出部１４２は、予め定められている閾値を用いてもよい。
【０１３６】
［グループ化］
また、上記のトラフィック変動検出部１４３は、複数の属性について同時期にトラフィック異常を検出している場合に、経路情報記憶部１１１に記憶されている情報や、属性変更情報記憶部１１２に記憶されている情報に基づいて、属性の変更内容やＢＧＰメッセージが重複しているか否かを判定してもよい。そして、トラフィック変動検出部１４３は、属性の変更内容やＢＧＰメッセージが重複している場合には、かかる複数の属性におけるトラフィック変動については、同一の要因であるものとして、かかる複数の属性をグループ化する。そして、トラフィック変動検出部１４３は、トラフィック異常が検出されている複数の属性と、重複している属性の変更内容やＢＧＰメッセージとに対して同一のグループＩＤを付与し、グループＩＤ毎に、属性の変更内容やＢＧＰメッセージに含まれる各種情報を表示部に表示したり、ネットワーク管理者等に通知したりしてもよい。
【０１３７】
［経路情報］
また、上記のトラフィック集計部１４１等は、上記の経路情報記憶部１１１に重複するＢＧＰメッセージが格納されている場合には、マージした後に処理を行ってもよい。してもよい。
【０１３８】
［システム構成等］
また、上記実施例において、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、図２に示したフロー情報格納部１２２とトラフィック集計部１４１とは統合されてもよいし、閾値算出部１４２とトラフィック変動検出部１４３とは統合されてもよい。
【０１３９】
［プログラム］
また、上記実施例で説明した各種の処理は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図１７を用いて、図２に示したネットワーク監視装置１００と同様の機能を有するネットワーク監視プログラムを実行するコンピュータの一例を説明する。
【０１４０】
図１７は、開示の技術に係るネットワーク監視プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。図１７に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central  Processing  Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【０１４１】
メモリ１０１０は、図１７に例示するように、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１７に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図１７に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェース１０５０は、図１７に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図１７に例示するように、例えばディスプレイ１０６１に接続される。
【０１４２】
ここで、図１７に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ、アプリケーションプログラム、プログラムモジュール、プログラムデータを記憶する。すなわち、開示の技術に係るネットワーク監視プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。具体的には、上記実施例で説明した経路情報格納部１２１と同様の情報処理を実行する経路情報格納手順と、フロー情報格納部１２２と同様の情報処理を実行するフロー情報格納手順と、トラフィック集計部１４１と同様の情報処理を実行するトラフィック集計手順と、閾値算出部１４２と同様の情報処理を実行する閾値算出手順と、トラフィック変動検出部１４３と同様の情報処理を実行するトラフィック変動検出手順と、警告部１４５と同様の情報処理を実行する警告手順とが記述されたプログラムモジュールが、ハードディスクドライブ１０３１に記憶される。
【０１４３】
また、上記実施例で説明したネットワーク情報記憶部１１０、トラフィック量記憶部１３０及び検出履歴記憶部１４４に記憶されるデータのように、ネットワーク監視プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えばハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュールやプログラムデータを必要に応じてＲＡＭ１０１２に読み出し、経路情報格納手順、フロー情報格納手順、トラフィック集計手順、閾値算出手順、トラフィック変動検出手順、警告手順を実行する。
【０１４４】
なお、ネットワーク監視プログラムに係るプログラムモジュールやプログラムデータは、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、転送プログラムに係るプログラムモジュールやプログラムデータは、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【０１４５】
１  ネットワーク
１０〜８０  ＡＳ
１１、１２、２１、３１  ルータ
１３  端末
３２  Ｗｅｂサーバ
１００  ネットワーク監視装置
１１０  ネットワーク情報記憶部
１１１  経路情報記憶部
１１２  属性変更情報記憶部
１１３  フロー情報記憶部
１２１  経路情報格納部
１２２  フロー情報格納部
１３０  トラフィック量記憶部
１３１  プレフィックス単位記憶部
１３２  オリジンＡＳ単位記憶部
１３３  ピアＡＳ単位記憶部
１３４  ＡＳパス単位記憶部
１３５  ＡＳリンク単位記憶部
１３６  ルータアドレス単位記憶部
１４１  トラフィック集計部
１４２  閾値算出部
１４３  トラフィック変動検出部
１４４  検出履歴記憶部
１４５  警告部
【図１】
2011250201.tif 000003
【図２】
2011250201.tif 000004
【図３】
2011250201.tif 000005
【図４】
2011250201.tif 000006
【図５】
2011250201.tif 000007
【図６】
2011250201.tif 000008
【図７】
2011250201.tif 000009
【図８】
2011250201.tif 000010
【図９】
2011250201.tif 000011
【図１０】
2011250201.tif 000012
【図１１】
2011250201.tif 000013
【図１２】
2011250201.tif 000014
【図１３】
2011250201.tif 000015
【図１４】
2011250201.tif 000016
【図１５】
2011250201.tif 000017
【図１６】
2011250201.tif 000018
【図１７】
2011250201.tif 000019