(57)【要約】【課題】トラフィックデータ中継システムにトラフィックデータの集約・選択・振り分け機能を実装することで、トラフィックデータの集約・蓄積処理を、ネットワークの規模に応じて柔軟に拡張する。【解決手段】少なくとも１個のトラフィックデータ蓄積機器と、ネットワーク機器との間に配置され、収集プロセス手段と、選択プロセス手段と、集約プロセス手段と、配信プロセス手段とを有し、前記収集プロセス手段はトラフィックデータを受信し、前記選択プロセス手段はトラフィックデータを前記集約プロセス手段に引き継ぐか否かを判定し、前記集約プロセス手段は、前記トラフィックデータの所定のフィールド情報をキー情報として、ある時間内のトラフィックデータを集約し、前記配信プロセス手段は、前記集約プロセス手段で集約されたトラフィックデータを、所定のトラフィックデータ蓄積機器に振り分けて、配信する。【選択図】図２
2008099105.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも１個のトラフィックデータ蓄積機器と、ネットワーク機器との間に配置されるトラフィックデータ中継システムであって、
収集プロセス手段と、選択プロセス手段と、集約プロセス手段と、配信プロセス手段と、蓄積プロセス手段とを有し、
前記収集プロセス手段は、前記ネットワーク機器、あるいは、他のトラフィックデータ中継システムから配信されるトラフィックデータを受信し、
前記蓄積プロセス手段は、前記収集プロセス手段で受信されたトラフィックデータを蓄積し、
前記選択プロセス手段は、前記収集プロセス手段で受信されたトラフィックデータを前記集約プロセス手段に引き継ぐか否かを判定し、
前記集約プロセス手段は、前記トラフィックデータの所定のフィールド情報をキー情報として、ある時間内のトラフィックデータを集約し、
前記配信プロセス手段は、前記集約プロセス手段で集約されたトラフィックデータを、前記少なくとも１個のトラフィックデータ蓄積機器の中の所定のトラフィックデータ蓄積機器、あるいは、所定の他のトラフィック中継システムに振り分けて、配信することを特徴とするトラフィックデータ中継システム。
【請求項２】
前記収集プロセス手段は、トラフィックデータ配信プロトコル単位毎に生成され、
前記選択プロセス手段と、前記集約プロセス手段と、前記配信プロセス手段とは複数組設けられ、
前記各組の前記選択プロセス手段において、前記トラフィックデータの所定のフィールド情報に基づいて前記トラフィックデータを選択し、
前記各組の前記集約プロセス手段は、前記各組の前記各選択プロセス手段で選択された前記トラフィックデータを集約し、
前記各組の前記配信プロセス手段は、前記各組の前記集約プロセス手段で集約されたトラフィックデータを、前記少なくとも１個のトラフィックデータ蓄積機器の中の所定のトラフィックデータ蓄積機器、あるいは、所定の他のトラフィック中継システムに振り分けて、配信することを特徴とする請求項１に記載のトラフィックデータ中継システム。
【請求項３】
複数のネットワーク機器と、複数のトラフィックデータ蓄積機器との間に、請求項１に記載のトラフィックデータ中継システムを少なくとも１個配置して構成されるシステムにおけるトラフィックデータの分散配置方法であって、
前記トラフィックデータ中継システムは、前記選択プロセス手段により選択され、前記集約プロセス手段により集約されたトラフィックデータを、前記配信プロセス手段により、前記複数のトラフィックデータ蓄積機器の中の所定のトラフィックデータ蓄積機器に振り分けて配信し、
前記各トラフィックデータ蓄積機器は、前記トラフィックデータ中継システムの前記配信プロセス手段から配信されたトラフィックデータを蓄積することを特徴とするトラフィックデータの分散配置方法。
【請求項４】
複数のネットワーク機器と、複数のトラフィックデータ蓄積機器との間に、請求項２に記載のトラフィックデータ中継システムを少なくとも１個配置して構成されるシステムにおけるトラフィックデータの分散配置方法であって、
前記トラフィックデータ中継システムは、前記各選択プロセス手段により選択され、各選択プロセス手段毎に設けられた前記各集約プロセス手段により集約されたトラフィックデータを、各選択プロセス手段毎に設けられた前記各配信プロセス手段により、前記複数のトラフィックデータ蓄積機器の中の所定のトラフィックデータ蓄積機器に振り分けて配信し、
前記各トラフィックデータ蓄積機器は、前記トラフィックデータ中継システムの前記各配信プロセス手段から配信されたトラフィックデータを蓄積することを特徴とするトラフィックデータの分散配置方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、振り分け機能を持つトラフィックデータ中継システム、およびトラフィックデータの分散配置方法に係り、特に、インターネットに代表されるネットワーク上を流れるトラフィックをモニタする際に、大容量化したネットワーク上のトラフィックを効率的にモニタする手法に関する。
【背景技術】
【０００２】
近年、ＤＤｏＳ攻撃トラフィックなどの異常トラフィックを検知する目的から、ネットワーク上に流れているトラフィックをモニタする機能（sFlow，netFlow（非特許文献１参照），IPFIX）に注目が集まっている。
そして、トラフィックデータ蓄積機器の負荷を軽減するため、トラフィックデータの集約機能をネットワーク機器（以下、ＮＷ機器という。）に実装しているが、この場合には、集約前のトラフィックデータを参照することができなくなるという問題がある。
また、あるＮＷ機器では、トラフィックデータ配信プロトコルを使用して、複数のトラフィックデータ蓄積機器に同一のトラフィックデータを配信することが可能となっている。但し、これは、トラフィックデータを冗長配置するためのものであり、蓄積処理そのものの負荷軽減を目的としているものではない。
現状では、トラフィックデータの特性に応じて、配信するデータを振り分ける機能については、検討されていない。
また、ＮＷ機器から配信されるトラフィックデータを受信し、集約処理を実施後、トラフィックデータ配信プロトコルにより再度、集約トラフィックデータを配信するシステムについては、ＩＰＦＩＸ（IPFIX-aggregation）にて提案されている。（下記、非特許文献２参照）また、蓄積及び負荷分散機能への提案としては、IPFIX-concentrator（以下、非特許文献３及び非特許文献４参照）がある。
【０００３】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【非特許文献１】RFC3954 Cisco NetFlow Version9
【非特許文献２】http://tools.ietf.org/wg/ipfix/draft-dressler-ipfix-aggregation-03.txt
【非特許文献３】http://tools.ietf.org/wg/ipfix/draft-kobayashi-ipfix-concentrator-model-01.txt
【非特許文献４】http://tools.ietf.org/wg/ipfix/draft-kobayashi-ipfix-concentrator-mib-01.txt
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、IPFTX-aggregationによる手法は、集約処理機能のみに特化している。そのため、集約前のトラフィックデータを蓄積することができず、集約レベルの高いデータから小さいデータまでを参照・分析することができない。また、性能面においても、集約処理のみに特化しているため、蓄積機能に関する負荷分散機能が実現されていない。
近年、ＮＷ規模が爆発的に増大していくことを想定すると、集約処理、蓄積処理双方ともに１つの機器で実現することは困難である。そのため、あらゆるＮＷ規模に対応した集約処理、蓄積処理の負荷分散方式が求められている。
また、非特許文献３及び非特許文献４で提案されているIPFIX-Concentratorは、トラフィックデータの蓄積及び段階的集約による負荷分散方式を提案しているものの、トラフィックデータの特性に応じて、配信するトラフィックデータを振り分ける機能モジュールがないため、トラフィックデータの振り分けが非効率になるという問題がある。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、トラフィックデータ蓄積機器とネットワーク機器との間に振り分け機能を持つトラフィックデータ中継システムを仲介させ、トラフィックデータの集約・選択・振り分けを実行することにより、トラフィックデータの集約・蓄積処理を、ネットワークの規模に応じて柔軟に拡張するとともに、分析目的に合わせたトラフィックデータの分散配置を可能とする技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【課題を解決するための手段】
【０００５】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）少なくとも１個のトラフィックデータ蓄積機器と、ネットワーク機器との間に配置されるトラフィックデータ中継システムであって、収集プロセス手段と、選択プロセス手段と、集約プロセス手段と、配信プロセス手段と、蓄積プロセス手段とを有し、前記収集プロセス手段は、前記ネットワーク機器、あるいは、他のトラフィックデータ中継システムから配信されるトラフィックデータを受信し、前記蓄積プロセス手段は、前記収集プロセス手段で受信されたトラフィックデータを蓄積し、前記選択プロセス手段は、前記収集プロセス手段で受信されたトラフィックデータを前記集約プロセス手段に引き継ぐか否かを判定し、前記集約プロセス手段は、前記トラフィックデータの所定のフィールド情報をキー情報として、ある時間内のトラフィックデータを集約し、前記配信プロセス手段は、前記集約プロセス手段で集約されたトラフィックデータを、前記少なくとも１個のトラフィックデータ蓄積機器の中の所定のトラフィックデータ蓄積機器、あるいは、所定の他のトラフィックデータ中継システムに振り分けて、配信することを特徴とする。
【０００６】
（２）（１）において、前記収集プロセス手段は、トラフィックデータ配信プロトコル単位毎に生成され、前記選択プロセス手段と、前記集約プロセス手段と、前記配信プロセス手段とは複数組設けられ、前記各組の前記選択プロセス手段において、前記トラフィックデータの所定のフィールド情報に基づいて前記トラフィックデータを選択し、前記各組の前記集約プロセス手段は、前記各組の前記各選択プロセス手段で選択された前記トラフィックデータを集約し、前記各組の前記配信プロセス手段は、前記各組の前記集約プロセス手段で集約されたトラフィックデータを、前記少なくとも１個のトラフィックデータ蓄積機器の中の所定のトラフィックデータ蓄積機器、あるいは、所定の他のトラフィックデータ中継システムに振り分けて、配信することを特徴とする。
【０００７】
（３）複数のネットワーク機器と、複数のトラフィックデータ蓄積機器との間に、前記（１）の手段のトラフィックデータ中継システムを少なくとも１個配置して構成されるシステムにおけるトラフィックデータの分散配置方法であって、前記トラフィックデータ中継システムは、前記選択プロセス手段により選択され、前記集約プロセス手段により集約されたトラフィックデータを、前記配信プロセス手段により、前記複数のトラフィックデータ蓄積機器の中の所定のトラフィックデータ蓄積機器に振り分けて配信し、前記各トラフィックデータ蓄積機器は、前記トラフィックデータ中継システムの前記配信プロセス手段から配信されたトラフィックデータを蓄積することを特徴とする。
【０００８】
（４）複数のネットワーク機器と、複数のトラフィックデータ蓄積機器との間に、前記（２）の手段のトラフィックデータ中継システムを少なくとも１個配置して構成されるシステムにおけるトラフィックデータの分散配置方法であって、前記トラフィックデータ中継システムは、前記各選択プロセス手段により選択され、各選択プロセス手段毎に設けられた前記各集約プロセス手段により集約されたトラフィックデータを、各選択プロセス手段毎に設けられた前記各配信プロセス手段により、前記複数のトラフィックデータ蓄積機器の中の所定のトラフィックデータ蓄積機器に振り分けて配信し、前記各トラフィックデータ蓄積機器は、前記トラフィックデータ中継システムの前記各配信プロセス手段から配信されたトラフィックデータを蓄積することを特徴とする。
【０００９】
本発明では、トラフィックデータ蓄積機器（トラフィック・コレクタ）と、ルータなどのネットワーク機器（以下、ＮＷ機器という）との間にトラフィックデータ中継システムを介在させ、トラフィックデータ中継システムにトラフィックデータの集約・選択・振り分け機能を実装することで、トラフィックデータの集約・蓄積に関する処理を負荷分散させる。これにより、トラフィックデータ情報の効率的な集約及びトラフィックデータの分散配置を実現する。
本発明のトラフィックデータ中継システムは、ＮＷ機器から出力されるトラフィックデータを受信し、トラフィックデータの蓄積、選択、集約を行い、トラフィックデータ配信プロトコルを用いて、トラフィックデータを配信する。
本発明のトラフィックデータ中継システムを使用することで、ＮＷ規模に応じたトラフィックデータの蓄積・制御を行うことが可能となる。例えば、トラフィックデータ中継システムを多段に接続することで、集約レベルの異なるトラフィックデータを分散して配置することが可能となり、後段のシステムにて集約レベルを順次上げて処理を行うことで、集約処理そのものの負荷分散が可能となる。
また、ＮＷ規模が大きくなった場合には、トラフィックデータ中継システムの台数を増加させることで、ネットワーク規模に応じたトラフィックデータの集約、蓄積能力を持たせることも可能となる。
更に、トラフィックデータ中継システムが、ＳＮＭＰ（Simple Network Management Protocol）のような他ノードから閲覧可能な設定情報を定義することで、他ノードがトラフィックデータを検索する際に、データの配置を認識することが可能となる。
【発明の効果】
【００１０】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、トラフィックデータ蓄積機器とネットワーク機器との間に振り分け機能を持つトラフィックデータ中継システムを仲介させ、トラフィックデータの集約・選択・振り分けを実行することにより、トラフィックデータの集約・蓄積処理を、ネットワークの規模に応じて柔軟に拡張するとともに分析目的に合わせたトラフィックデータの分散配置を可能とする。
【発明を実施するための最良の形態】
【００１１】
以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
図１は、本発明のトラフィックデータ中継システムが適用されるシステム構成を示すブロック図である。
図１において、１０−１〜１０−８はルータなどのＮＷ機器、１１−１〜１１−６はトラフィックデータ中継システム、１２はトラフィックデータ蓄積機器（トラフィック・コレクタ）である。
本発明のトラフィックデータ中継システム（１１−１〜１１−６）は、トラフィックデータ蓄積機器１２と、ＮＷ機器（１０−１〜１０−８）との間に配置される。
ＮＷ機器（１０−１〜１０−８）から出力されるトラフィックデータは、ミラーリングされたパケット、トラフィックデータ配信プロトコル（sFlow，netFlow，IPFIX）の情報など様々である。
本実施例のトラフィックデータ中継システム（１１−１〜１１−６）は、ＮＷ機器（１０−１〜１０−８）から出力されるトラフィックデータを受信し、トラフィックデータの蓄積、選択、集約を行い、トラフィックデータ配信プロトコルを用いて、トラフィックデータを配信する。
ＮＷ機器（１０−１〜１０−８）から受信するトラフィックデータは、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコルなどをキー情報にバイト数、パケット数などのカウンタ情報が格納されており、フロー単位に配信される。これらひとつのフロー情報をフローレコードといい各情報要素をフィールドと定義する。
【００１２】
図２は、本発明の実施例のトラフィックデータ中継システムの概略構成を示すブロック図である。
図２に示すように、本実施例のトラフィックデータ中継システム１１は、収集プロセス手段１と、選択プロセス手段２と、集約プロセス手段３と、配信プロセス手段４と、蓄積プロセス手段５と、データベース６とを有する。
収集プロセス手段１は、ＮＷ機器（１０−１〜１０−８）、あるいは、他のトラフィックデータ中継システム１１から配信されるトラフィックデータを受信する機能を持つ。収集プロセス手段１は、トラフィックデータ配信プロトコル単位毎に生成され、相手先ＩＰアドレス、ポート番号などのセッション情報を管理する。また、配信されるトラフィックデータを構成するフローレコード内に含まれる情報要素を管理するために、フローレコード内に含まれるフィールド値と対応するデータ形式を管理する。
収集プロセス手段１で受信したトラフィックデータは、複数の選択プロセス手段２、あるいは、蓄積プロセス手段５に引き継ぐことが可能である。
蓄積プロセス手段５は、受信したトラフィックデータをデータベース６に蓄積する機能をもつ。この際、蓄積プロセス手段５は、フィールド単位にデータベース６へ蓄積するかどうかを判定する。これらの情報は、予めユーザにより設定される。蓄積プロセス手段５では、指定されたフィールド情報のみを含むトラフィックデータをデータベース６に格納する。
【００１３】
選択プロセス手段２は、配信されたトラフィックデータを集約プロセス手段３に引き継ぐか否かを判定する。これらの条件は、予めユーザにより設定される。判定においては、各フィールド単位に条件文を指定し、全ての条件に合致したトラフィックデータのみを集約プロセス手段３に引き継ぐ。
集約プロセス手段３は、送信元ＩＰアドレスなどの値をキー情報として、ある時間内のトラフィックデータを集約する。その際に、バイト数などのカウンタ情報については合算し、集約したトラフィックデータ（即ち、フローレコード）を生成する。トラフィックデータ内のどのフィールドをキー情報とするか、カウンタ情報にするかは、予めユーザにより指定される。集約したトラフィックデータは、次の配信プロセス手段４に引き継がれる。
配信プロセス手段４は、トラフィックデータ蓄積機器１２、あるいは、他のトラフィックデータ中継システム（１１−１〜１１−６）へトラフィックデータを配信する機能をもつ。この際、配信プロセス手段４は、トラフィックデータの内容に合わせて、任意の次段装置へ振り分け配信をすることが可能である。これらの条件は、予めユーザにより設定される。判定においては、各フィールド単位に条件文を指定し、条件に合致したトラフィックデータを特定の次段装置に向けて配信する。配信プロセス手段４は、宛先のＩＰアドレスやボード番号などのセッション情報とは別に、配信するトラフィックデータ内のフィールド情報についても管理する。
【００１４】
以下、本実施例のトラフィックデータ中継システムを使用したトラフィックデータの目的毎分散配置法について説明に説明する。
図３は、本実施例のトラフィックデータの目的毎分散配置法を説明するための図である。
本実施例のトラフィックデータの目的毎分散配置法は、トラフィックデータ中継システム（１１−１，１１−２）内に、目的の数だけ、選択プロセス手段２、集約プロセス３および配信プロセス４のセット（以下、集約機能ブロック；図３では、１３−１〜１３−３の３個）を用意することで、必要なトラフィックデータだけを、目的に合わせた集約度で集約し、目的に合わせた次段の装置（トラフィックデータ中継システム、あるいは、トラフィックデータ蓄積機器）へ中継することで実現する。
トラフィックデータ中継システム（１１−１，１１−２）が受信したトラフィックデータは、収集プロセス１によりコピーされ、各集約機能ブロック（１３−１〜１３−３）の選択プロセス２へ引き継がれる。引き継がれたトラフィックデータは、目的毎の選択プロセス２において、それぞれ分析目的毎に選択される。
【００１５】
選択プロセス２は、トラフィックデータの情報要素の内容に合わせて選択を行う。選択に使用する情報要素は、トラフィックデータを構成するフローレコード内に含まれる情報を任意に指定可能とする。
選択されたトラフィックデータはそれぞれ、後段の集約プロセス３に引き継がれ、集約プロセス３によって分析目的に合わせて集約される。
集約されたトラフィックデータはそれぞれ、後段の配信プロセス４に引き継がれ、それぞれの情報要素の内容に従って、複数のトラフィックデータ蓄積機器（１２−１〜１２−５）もしくはトラフィックデータ中継システムへ振り分け送信される。ここで、各トラフィックデータ蓄積機器（１２−１〜１２−５）は、それぞれデータベース（７−１〜７−５）を有する。
振り分けに使用する情報要素は、トラフィックデータを構成するフローレコード内に含まれる情報を任意に指定可能とする。
本実施例では、各集約機能ブロック（１３−１〜１３−３）の各選択プロセス２が平行してトラフィックデータを処理するため、同じトラフィックデータを異なる目的に用いることができる。
【００１６】
［具体的な事例１］
本実施例の分散配置法を用いることで、例えば、BGP_NextHop router単位でトラフィックデータを蓄積、分析を行うことが可能になる。
トラフィックデータ中継システム（１１−１，１１−２）において、受信したトラフィックデータを、情報要素内のBGP_NextHopの値に合わせ、次段のトラフィックデータ蓄積機器（１２−１〜１２−３）へ振り分けることにより、特定（単数もしくは複数）のBGP_NextHop routerへ向かうトラフィックデータを特定のトラフィックデータ蓄積機器（１２−１〜１２−３）に集中させる。これにより、ＤＤｏＳの攻撃特定などに代表される、宛先ルータ毎や、宛先アドレス毎の分析などを行うことが容易になる。
例えば、図３では、それぞれ、BGP_NextHop aaa宛のトラフィックデータをトラフィックデータ蓄積機器（１２−１）に、BGP_NextHop bbb宛のトラフィックデータをトラフィックデータ蓄積機器（１２−２）に、BGP_NextHop ccc宛のトラフィックデータをトラフィックデータ蓄積機器（１２−３）に蓄積することができる。
また、後段のトラフィックデータ蓄積機器（１２−１〜１２−３）が特定のBGP_NextHop routerへ向かうトラフィックデータを集めることにより、対向するピアリング単位のトラフィック量を把握することを容易にし、トラフィックデータ蓄積機器（１２−１〜１２−３）を介して、ピアリング先相手とトラフィック情報を共有することが可能となる。
トラフィックデータの目的毎分散配置法を用いない場合には、トラフィックデータはそれを出力したルータなどの装置単位で蓄積されるため、同様の分析を行うには、ネットワーク中に散らばっているトラフィックデータ蓄積機器（１２−１〜１２−３）すべてから、いったん対象となるデータを収集する必要がある。
【００１７】
［具体的な事例２］
そのほか、事例としては、UDP flood攻撃に対する分析などの例が考えられる。この例では、選択プロセス２において情報要素内のProtocol情報がＵＤＰであるトラフィックデータのみを選択し、集約プロセス３では分析の精度や分析装置の能力に合わせて集約を行う（もしくは集約を行わない）。
集約後のトラフィックデータは、配信プロセス４によって、次段のトラフィックデータ中継システムもしくはトラフィックデータ蓄積機器もしくは分析装置へ振り分け中継される。この際、振り分け機能により複数の次段の装置間で負荷分散を行うことができる。具体的には、対象となるトラフィックデータが多い場合、トラフィックデータの宛先情報要素の内容などに従い、中継先の装置を選択し振り分け送信を行うことで実現する。
この動作をネットワーク中のトラフィック中継装置で行うことで、ネットワークを流れる大量のトラフィックの中から、分析の目的に合わせたデータのみを少数のトラフィックデータ蓄積機器（１２−１〜１２−５）に集中し、分析に用いることができる。
例えば、図３では、ネットワーク中を流れるＵＤＰのトラフィックデータのみを、トラフィックデータ蓄積機器（１２−４）に集め、蓄積することにより、UDP flood攻撃に対する分析を行うことができる。また、図３では、トラフィックデータ中継システムで集約されたトラフィックデータが、トラフィックデータ蓄積機器（１２−５）に集め、蓄積されている。
さらに、トラフィックデータ蓄積機器（１２−４）の代わりに、トラフィックデータ中継システムを用い、さらなる集約を行い検出装置へ中継することで、検出装置の負荷を軽減することも可能である。
【００１８】
［具体的な事例３］
本実施例の分散配置法を用いることで、配信プロセス４において、お客様を識別する情報をもとに後段のトラフィックデータ蓄積機器（１２−１〜１２−５）にトラフィック−データを振り分けることが可能となる。
例えば、ＭＰＬＳネットワーク上のＶＰＮを示すＲＤ（RouteDistingisher）やＰＷＩＤ（PseudoWireID）、特定のパスを示すＭＰＬＳラベル、対向するピアリングを示すピアリングＡＳ番号、お客様が利用しているＩＦやＶＬＡＮなどが該当する。
これにより、後段のトラフィックデータ蓄積機器（１２−１〜１２−５）は、特定の振り分け機能を持つことなく、お客さま単位のトラフィックデータの傾向分析、異常トラフィックの分析、課金情報収集が可能となる。また、後段のトラフィックデータ蓄積機器（１２−１〜１２−５）を介して、お客さまとトラフィック情報を共有するようサービス提供が可能となる。
【００１９】
［負荷分散への適応］
大規模なネットワークでは場合には、多数のネットワーク機器（１０−１，１０−２）により、大量のトラフィックデータが生成される。これを処理するために、通常、ネットワーク機器の台数に合わせて初段のトラフィックデータ中継システムの台数を増やすことになる。
しかし、振り分け機能の無い場合には、集約機能ブロック毎に単一の次段装置への送信しか行えないため、次段のトラフィックデータ中継システム、あるいは、次段のトラフィックデータ蓄積機器の台数を増やすことによる負荷分散を行うことができない。振り分け機能を用いたトラフィックデータの分散配置法を用いることで、初段のトラフィックデータ中継システムだけでなく、次段のトラフィックデータ中継システム、あるいは、次段のトラフィックデータ蓄積機器の台数も増やすことが可能になり、増大するトラフィックデータに対応することができる。
【００２０】
図４は、本実施例のトラフィックデータ中継システムを使用したトラフィックデータの集約、蓄積処理の負荷分散配置方式を説明するための図である。
以下、本実施例のトラフィックデータ中継システムを使用したトラフィックデータの集約、蓄積処理の負荷分散配置方式について説明する。
図４に示すように、トラフィックデータ中継システム（１１−１〜１１−３）を多段に接続することで、集約処理の負荷分散を実施する。なお、図４の負荷分散配置方式は、図３の１つの集約機能ブロックが実行し、その他の集約機能ブロックは、その他のトラフィックデータの集約・選択・振り分け機能を実行する。
ＮＷ機器（１０−１〜１０−２）から配信されるトラフィックデータをもとに前段のトラフィックデータ中継システム（１１−１）で一次的なトラフィック集約を行い、また、ＮＷ機器（１０−３〜１０−４）から配信されるトラフィックデータをもとに前段のトラフィックデータ中継システム（１１−２）で一次的なトラフィック集約を行う。そして、後段のトラフィックデータ中継システム（１１−３）で二次集約を行う。
例えば、図４では、前段のトラフィックデータ中継システム（１１−１〜１１−２）では、送信元ＩＰアドレス、宛先ＩＰアドレスにプレフィックス値をマスクで指定して、その値をキー情報として集約を行う。
その後、後段のトラフィックデータ中継システム（１１−３）では、送信元ＡＳ（Antonomous System）、宛先ＡＳをキー情報として、集約処理を行う。これにより集約処理の負荷分散を実現する。
最終的に、トラフィックデータ蓄積機器１２では、送信元ＡＳ、宛先ＡＳをキー情報としたトラフィックデータが受信可能となる。
これにより、図４の８−１に示すフローレコードは、トラフィックデータ中継システム（１１−１）により、図４の８−２に示すフローレコードに集約され、さらに、トラフィックデータ中継システム（１１−３）により、図４の８−３に示すフローレコードに集約される。
【００２１】
図５は、本実施例のトラフィックデータ中継システムを使用し、トラフィックデータ中継システムで受信したトラフィックデータをデータベースに蓄積していくことで、集約レベルの異なるトラフィックデータを分散して蓄積する方法を説明するための図である。
以下、本実施例のトラフィックデータ中継システムを使用し、トラフィックデータ中継システムで受信したトラフィックデータをデータベースに蓄積していくことで、集約レベルの異なるトラフィックデータを分散して蓄積する方法を説明する。
ＮＷ機器（１０−１〜１０−４）から受信したトラフィックデータは、前段のトラフィックデータ中継システム（１１−１〜１１−２）にて蓄積され、１次集約後、後段のトラフィックデータ中継システム（１１−３）に配信される。
後段のトラフィックデータ中継システム（１１−３）では、１次集約結果を蓄積し、２次集約後、トラフィックデータ蓄積機器１２に配信する。これにより、集約レベルの異なるトラフィックデータを分散して配置する。
なお、図５において、９−１は、ＮＷ機器（１０−１）から配信されるトラフィックデータのキー情報とカウンタ情報を示し、９−２は、トラフィックデータ中継システム（１１−１）において、トラフィックデータを集約する際の、キー情報とカウンタ情報を示し、９−３は、トラフィックデータ中継システム（１１−３）において、トラフィックデータを集約する際の、キー情報とカウンタ情報を示す。
これらのデータを検索する際には、収集プロセス手段１、集約プロセス手段３に保持されている管理情報を参照し、どのシステムにどのようなトラフィックデータが格納されているのかを特定することで可能となる。
【００２２】
各プロセス手段で管理する情報を、ＳＮＭＰ  ＭＩＢ（Management Information Base）オブジェクトに定義することで、外部ノードからの参照可能となる。
これにより、トラフィックデータ蓄積機器１２にて参照したトラフィックデータをもとに、より詳細なトラフィックデータへと遡って、データ検索することを可能とする。
以上説明したように、本実施例では、トラフィックデータ蓄積機器１２とＮＷ機器１０との間にトラフィックデータ中継システム１１を介在させ、トラフィックデータ中継システム１１にトラフィックデータの集約・選択・振り分け機能を実装することで、ネットワークの規模に応じて、柔軟にシステムを拡張することが可能となる。
また、ネットワーク規模が大きくなった場合には、トラフィックデータ中継システムの台数を増加させることで、ネットワーク規模に応じたトラフィックデータの集約、蓄積能力を持たせることも可能となる。そのため、ネットワーク規模が増加する傾向にあるＩＰトラフィックを監視する分野で有効である。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【図面の簡単な説明】
【００２３】
【図１】本発明のトラフィックデータ中継システムが適用されるシステム構成を示すブロック図である。
【図２】本発明の実施例のトラフィックデータ中継システムの概略構成を示すブロック図である。
【図３】本発明の実施例のトラフィックデータの目的毎分散配置法を説明するための図である。
【図４】本発明の実施例のトラフィックデータ中継システムを使用したトラフィックデータの集約、蓄積処理の負荷分散配置方式を説明するための図である。
【図５】本発明の実施例のトラフィックデータ中継システムを使用し、トラフィックデータ中継システムで受信したトラフィックデータをデータベースに蓄積していくことで、集約レベルの異なるトラフィックデータを分散して蓄積する方法を説明するための図である。
【符号の説明】
【００２４】
１  収集プロセス手段
２  選択プロセス手段
３  集約プロセス手段
４  配信プロセス手段
５  蓄積プロセス手段
６，７，７−１〜７−３  データベース
８−１〜８−３  フローレコード
９−１〜９−３  キー情報とカウンタ情報
１０−１〜１０−８  ネットワーク機器
１１，１１−１〜１１−６  トラフィックデータ中継システム
１２，１２−１〜１２−６  トラフィックデータ蓄積機器
１３−１〜１３−３  集約機能ブロック
【図１】
2008099105.tif 000003
【図２】
2008099105.tif 000004
【図３】
2008099105.tif 000005
【図４】
2008099105.tif 000006
【図５】
2008099105.tif 000007