(57)【要約】【課題】  サンプリングによるトラフィック情報を出力するネットワーク装置では、サンプリングの割合が大きいと、ネットワーク装置から管理装置に出力するトラフィック量が多くなり、管理装置の負荷や管理用ネットワークに発生するトラフィック量が増加する。その一方で、上限を設けると必要十分なサンプリング情報を計測サーバが得ることができない。【解決手段】  ネットワーク装置からトラフィック情報を収集し、ネットワークの性能を把握する計測サーバを有する計測システムにおいて、計測サーバは、トラフィックが集中する箇所で高いサンプリングの割合でフロー情報を収集する手段と、前記フロー情報を基に異常状態を判断する判断手段と、フローの異常状態の判断結果を基に異常となるフローソースに近いネットワーク装置を同定する手段と、同定されたネットワーク装置に対してサンプリングの割合を小さくする手段を持つことを特徴とする。【選択図】  図２
2005286684.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワーク装置からなるネットワーク内のトラフィック情報を把握するためにネットワークを流れるトラフィック情報を出力するネットワーク装置と任意のネットワーク装置からトラフィック情報を収集し、ネットワークの性能を把握する計測サーバとで構成される計測システムにおいて、計測サーバは、
ネットワーク装置から収集されたトラフィック情報をもとに任意のネットワーク装置から出力されるパケットの集合体であるフローの統計情報を算出する手段と、
フローの統計情報が更なる監視を要求する条件を満たしたときに、そのフローを構成するパケットが通過する別なネットワーク装置を同定する手段と、
前記同定されたネットワーク装置から、前記更なる監視を要求するフロー情報を監視するためにトラフィック監視を要求する手段を
設けたことを特徴とする計測システム。
【請求項２】
複数のネットワーク装置からなるネットワーク内のトラフィック情報を把握するためにネットワークを流れるトラフィック情報の一部を出力するネットワーク装置と任意のネットワーク装置からトラフィック情報を収集し、ネットワークの性能を把握する計測サーバとで構成される計測システムにおいて、計測サーバは、
ネットワーク装置から収集されたトラフィック情報をもとに任意のネットワーク装置から出力されるパケットの集合体であるフローの統計情報を算出する手段と、
フローの統計情報が更なる監視を要求する条件を満たしたときに、そのフローを構成するパケットが通過する別なネットワーク装置を同定する手段と、
前記同定されたネットワーク装置から、前記更なる監視を要求するフロー情報を監視するために出力するトラフィック情報の割合の増加を要求する手段を
設けたことを特徴とする計測システム。
【請求項３】
請求項１の計測システムにおいて、計測サーバは、さらに
フローの統計情報が更なる監視を要求する条件を満足しなくなったときに、前記トラフィック監視を要求したネットワーク装置に対して、トラフィック監視の停止を要求する手段を
設けたことを特徴とする計測システム
【請求項４】
請求項２の計測システムにおいて、計測サーバは、さらに
フローの統計情報が更なる監視を要求する条件を満足しなくなったときに、前記トラフィック監視を要求したネットワーク装置の出力するトラフィック情報の割合を元に戻す手段を
設けたことを特徴とする計測システム
【請求項５】
請求項１もしくは請求項２の計測システムにおいて、計測サーバが同定するためのネットワーク装置は、
フローを構成するパケットが管理対象であるネットワーク内に入ってくるインターフェースを持つネットワーク装置である
ことを特徴とする。
【請求項６】
請求項１もしくは請求項２の計測システムにおいて、計測サーバは、
複数のネットワーク装置の中で、トラフィックの集中するネットワーク装置に対してまずトラフィックの監視を行い、
フローの統計情報が更なる監視を要求する条件を満たしたときに、そのフローを構成するパケットが管理対象であるネットワーク内に入ってくるインターフェースを持つネットワーク装置を同定する
ことを特徴とする計測システム
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク装置から出力されるトラフィック情報を収集し、ネットワークの振る舞いを解析するトラフィック計測に関するものである。
【背景技術】
【０００２】
ネットワーク装置からネットワークに流れるトラフィックの把握を目的としてネットワークに流れるフロー（例えば、エンドホストからエンドホストに流れるトラフィック）統計情報を出力する手段がある。その中でも、運用管理を効率化するためにすべてのパケットに着目してフロー情報を出力するのではなく、ネットワーク内に流れる任意のパケットに着目してフロー情報を作成するサンプリング方式がある（非特許文献１）。これらの情報を収集する方式では、個々のネットワーク装置から収集されたサンプリング情報を表示させることができる。しかしながら、サンプリング設定が変更できる機能は持つが、どのように変更させるかの記載はない。
【０００３】
その一方でネットワーク装置からの管理情報の収集は、従来はSNMP（Simple Network Management Protocol）を用いたものが一般的であり、この場合、ネットワーク管理装置かネットワーク装置へ定期的な情報要求処理（すなわちポーリング）を行うことによって時系列の管理情報を収集する。これに対してネットワークの負荷から情報収集のポーリング間隔を変更する手段が、特許文献１に存在する。
【０００４】
【特許文献１】特開２００２−１４１９２１号
【非特許文献１】ＩＥＴＦ  ＲＦＣ３１７６：“InMon Corporation's sFlow: A Method for Monitoring Traffic in Switched and Routed Networks”（２００１年９月）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上記サンプリング方式の場合、ネットワーク装置に設定するサンプリングの割合を決定する必要がある。ここでサンプリングの割合とは、ネットワークを流れるＮ個のパケットのうち１つといった値であり、Ｎが状況に応じて決める必要がある。このサンプリングの割合によって誤差が発生するため、実際のトラフィック状況を把握することが難しい。サンプリングの割合を大きくすると、ネットワーク装置から管理装置に出力するトラフィック量が多くなってしまい、管理装置の負荷や管理用ネットワークに発生するトラフィック量が増加する。
【０００６】
その一方でトラフィック量を抑えるために、ネットワークの負荷を考慮して全体のサンプリングの割合の設定限界を決めてしまうと、必要となるサンプル数でネットワークの状状態を把握することができない。
【課題を解決するための手段】
【０００７】
ネットワークの構成として、サーバやクライアントなどのLANに近いネットワークのトラフィックは低速であり、ネットワークの中心部のネットワーク装置はトラフィックが集約されて転送速度も上がる構成となっている。そこで、本課題を解決するために、ネットワークを構成するネットワーク装置で、トラフィックが集中する箇所で高いサンプリングの割合でフロー情報を収集する手段と、前記フロー情報を基に異常状態を判断する判断手段と、フローの異常状態の判断結果を基に異常となるフローソースに近いネットワーク装置を同定する手段と、同定されたネットワーク装置に対してサンプリングの割合を小さくする手段を持つことを特徴とする。
【発明の効果】
【０００８】
複数のネットワーク装置から得られるトラフィック情報を用いることにより、サンプリング方式で、管理用のトラフィックを増大させることなく、必要とするフローに関連する詳細なトラフィック情報を収集することができる。
【発明を実施するための最良の形態】
【０００９】
本発明に基づく実施例について図１から図１３を用いて説明する。
【実施例１】
【００１０】
図１は、本発明に基づくフロー計測システムの概念構成を表している。ホスト(202)は、ネットワーク装置(201)を介してさまざまなトラフィックを対向するホストに送信する。ルータやスイッチなどのネットワーク装置(201,203,204,205)は、ホストから送られてくるパケットのあて先情報と自身が持つフォワーディング情報を基にパケットを対向のホストに転送する。ネットワーク装置(201,203,204,205)は、それと同時にサンプリングレートに基づいてサンプリングパケットを抽出し、サンプリングパケットのコピーのパケットを計測サーバ(10)に送信し、又はサンプリングパケットに関する情報を計測サーバ(10)に通知する。あるネットワーク装置(205)は、インターネット接続のように別なネットワーク(210)とつながっている。計測サーバ(10)は、ネットワーク装置(201)から通知されるサンプリング情報を収集，解析する機能と、ネットワーク装置に対してサンプリングするポートやサンプリングレートを設定する機能を持つ。ネットワーク管理サーバ(20)は、ネットワークの構成情報，障害情報などを収集しネットワークを監視する。本構成では、計測サーバ(10)とネットワーク管理サーバ(20)は異なる装置として扱っているが、ひとつの装置によって実現してもよい。また、計測サーバ(10)はネットワーク装置に対してサンプリングを設定する機能とサンプルパケットを収集する機能を持っているが、それぞれの機能を別装置に実装してもよい。
【００１１】
図２は、本発明に基づくフロー計測システムを実現する各サーバの構成要素の一例を示したものである。計測サーバ(10)は、監視対象となるルータやスイッチといたフロー統計情報を出力する装置とデータのやり取りを行うための通信制御装置(11)，プログラム処理のための演算領域および結果の格納領域として利用するワークメモリ(12)，サンプリングデータやフロー情報など様々な情報を格納するデータベース(13)，管理・計測に関するプログラムを格納したプログラムメモリ(14)とプログラムメモリに格納されたプログラムの実行やデータベースのアクセス制御を行う中央処理装置（ＣＰＵ）(15)，計測システムの構成や設定情報を表示するＣＲＴディスプレイ(16)，初期条件や様々な情報を入力するためのキーボード(17)やマウス(18)、前記入出力装置を制御するための入出力制御装置(19)からなる。
【００１２】
プログラムメモリ(14)には、ネットワーク監視機能に対して通信を行って構成／状態情報収集を制御するネットワーク情報収集プログラム(141)，ネットワーク装置に対してサンプリングレートや計測ポートを設定するサンプリング設定プログラム(142)，ネットワーク装置から通知されるサンプリングパケットを収集・格納するフロー情報収集プログラム(143)，収集されたサンプリングパケットを基にフローを解析するフロー解析プログラム(144)，フロー解析結果を基にサンプリングレートを変更させるサンプリング変更プログラム(145)，などが含まれている。
【００１３】
ネットワーク管理サーバ(20)には、計測サーバと同様の通信制御装置(21)，プログラムメモリ(22)，ワークメモリ(23)，ＣＰＵ(24)，およびデータベース(25)が存在し、プログラムメモリの中には、ネットワーク装置から様々な管理情報を収集しデータベースに蓄える構成／状態情報収集プログラム(26)とデータベースに蓄えられた管理情報を提供する管理情報提供プログラム(27)が存在する。またデータベースにはネットワーク装置の構成や状態などの管理情報を蓄積している。
【００１４】
ネットワーク管理サーバ(20)と計測サーバ(10)が同じ装置で実装される場合には、ネットワーク管理サーバ上の構成／状態情報収集プログラム(26)と管理情報提供プログラム(27)が計測サーバ上のプログラムメモリ(14)に存在し、管理情報を蓄積したデータベース(25)も計測サーバ上のデータベース(13)内に存在することを示す。また計測サーバ(10)の設定機能と収集機能が別々の装置上に実装される場合、計測サーバ上のサンプリング設定プログラム(142)とデータベース内の計測設定に必要な情報が別装置上に格納されることになる。
【００１５】
次に、本実施例におけるフロー計測システムの動作について説明する。
【００１６】
フロー計測システムにおいて、着目するフローを設定する初期設定処理と、実際にネットワークのトラフィックを監視し、異常フローが見つかったときにサンプリングレートを変更する変更処理、異常フローがなくなったときにサンプリングレートを基に戻す回復処理についてそれぞれ示す。
【００１７】
まず初めに着目するフローを設定する初期設定処理について説明する。
【００１８】
初期設定処理では、管理オペレータによって着目するフローを設定する。フローは様々な条件によって設定することができる。図３は本実施例において設定可能なフロー条件の要素を表す。たとえば、フロー情報(301)が“あて先サブネットフロー”である場合には、意図としているもの(302)は、“あて先のサブネットワークアドレス”であり、その値(303)は“１”となる。また“アプリケーションフロー”である場合には“ポート番号”で値が“４”となる。これらの要素の組み合わせにより実際のフロー種別識別子が設定される。すなわち、フロー種別識別子の値が“３（＝１＋２）”とすれば、“あて先サブネットフロー”と“送信元サブネットフロー”の両方の条件を持ち、このフローは、あるサブネットワークとあるサブネットワークに流れるフローの組み合わせを表している。このテーブルはあらかじめ計測サーバ上のデータベース(13)内に格納されており、管理オペレータはこのテーブルを基にフロー種別識別子を設定する。また、設定時に計測するネットワーク装置を指定してよいし、初期のサンプリングレートおよび収集したデータからフロー統計を行う時間間隔を示すフロー解析時間も設定される。また、必要であればフローサンプリングを変化させるときに着目するフロー情報をフロー種別識別子として指定することもできる。この設定されたフロー計測条件は、データベース(13)内に格納される。
【００１９】
図４が、格納される初期条件テーブル(400)である。初期条件テーブル識別子(401)は、本データを一意に指定するものである。フロー種別識別子(402)は、フロー解析する条件をあらわす。フローエクスポートリスト(403)は、フローを算出するためのサンプリングパケットを出力するルータ等の装置群を示す。このデータの中には、対象となるネットワーク装置だけでなく、その装置上でパケットを監視するポート番号も含まれる。ここでは、ＩＰアドレスがE.F.G.Hのネットワーク装置でポート番号が1のエクスポートエージェントと、ＩＰアドレスがA.B.C.Dのネットワーク装置で全てのポート番号(＊)のエクスポートエージェントを設定している。変更後のフロー種別識別子(404)は、サンプリングレートを変えた後のフロー解析を行うためのフロー種別の識別子を表す。ここでは、変更後フロー種別識別子は２４に設定しており、フロー情報(310)が“宛先ホスト”と“送信元ホスト”（値：８＋１６）に関するフロー情報収集を実行するように変更される。デフォルトサンプリングレート(405)は、最初に設定するサンプリングレートを示す。フロー解析時間 (406)は、フロー解析を行う時間間隔である。閾値(407)は、フローに対して異常状態と判断する値である。本実施例での閾値は、フロー解析の結果がある一定値以下になったときに異常と判断しているが、そのほかにも、ある一定値以上になったときや、計測している装置のポートでのフローの分布として任意のフローがある一定の割合（たとえば、全サンプル値の６０％）よりも大きい場合や小さい場合を閾値としてとることができる。
【００２０】
このテーブルはそれぞれのネットワーク装置ごとに設定してもよく、この場合はデータベース(13)内には複数の初期条件テーブル(400)が存在することになる。管理オペレータは、マウスもしくはキーボードを用いて上記情報をデータベースに格納し、サンプリング設定プログラム(142)を起動させる。
【００２１】
サンプリング設定プログラム(142)は、起動するとデータベース(13)内に存在する初期条件テーブル(400)を基に、もし対象となるネットワーク装置にサンプリング条件が設定されていなければ設定する。
【００２２】
以上により初期設定処理は終了する。
【００２３】
次に変更処理について説明する。
【００２４】
図５は変更処理における全体処理フロー概要である。
【００２５】
ここでは、初期設定処理によりサンプリング設定プログラム(142)を用いて、中央のネットワーク装置(203)に対してサンプリングレートを１００００に１個の割合でパケットをキャプチャするように設定しているものとする。また、フロー解析においては、図４において設定された初期条件に基づいて、サブネットワーク単位（あて先サブネットと送信元サブネットのペア）でフロー解析を実行し、異常と判断した場合には、あて先アドレスと送信元アドレスペアをひとつのフローとしてフロー解析を実行する。
【００２６】
この状態で、計測サーバ上のパケット情報収集機能を有するフロー収集プログラム(143)では、装置から通知されるサンプリングパケットを収集し、データベースに格納する。そして、一定時間が経過するとフロー解析プログラムに通知する(501)。
【００２７】
フロー解析プログラム(144)は通知を受信すると、前記初期条件テーブル(400)のフロー種別識別子に基づいて得られたフロー情報を作成し、データベース(13)に格納する。
【００２８】
図６は保持されるフロー情報のデータフォーマットの一実施例を表している。フロー識別子(601)は、フロー情報(600)を一意に識別する値である。フロー条件識別子(602)は、どのフローに対して着目しているかを表す。エクスポートエージェント(603)は、フローデータの基となるネットワーク装置、すなわちサンプリングパケットを抽出する対象のネットワーク装置を示す。ここでは、ＩＰアドレスがE.F.G.Hであって番号１のポートを指定している。レファレンスリスト(604)は、異常が同定されたときに作成されるフロー情報の識別子を示す。フロー履歴(605)はフロー情報をあらわすものであり、格納するフロー情報を算出する時間を表す計測時間(606)とサンプルデータによるサンプル値(607)および算出したフロー情報において設定されるネットワーク装置からの出力データのサンプリングレート(608)で構成される。最後に属性(609)は本テーブルがサンプリング変更によって作成されたものかそうでないかを表すものであり、本実施例では、予め監視していたものは“M”の値を持ち、サンプリング変更時に作成されたものの場合は“S”の値を持つ。
【００２９】
図７は、解析するフロー条件を表すテーブルである。前記のフロー条件識別子(602)は、このテーブルを参照するために用いる。フロー条件テーブル(700)は、このテーブルを一意に指定するフロー条件識別子(701)、フローを識別するフロー種別識別子(702)、フロー識別子に従って設定されるフロー情報定義データ(703)で構成される。フロー種別識別子(702)は、初期設定処理で記載したフロー種別識別子(402)と同じである。図７の例は、初期条件テーブル(400)に従って作成されたフローテーブルのためのフロー条件であり、フロー種別識別子には“３”が設定されている。フロー定義データ(704)には、フロー種別識別子の値(図４の値1と値２)により指定されたフロー条件の実際のＩＰアドレス等が格納され、ここでは、あて先サブネットと送信元サブネットのＩＰアドレスが格納される。
【００３０】
前記フローテーブルのフロー種別に基づいて格納されたサンプリングパケットから対象となるフロー群に対してどの程度のパケットが通過したかのフロー情報を算出する(502)。
【００３１】
フロー解析プログラム(144)は、フローを解析するとデータベース内のフローデータと比較し、既存のフロー情報であれば、算出した時間と算出した値をフロー履歴(605)に追加する。新規のフローであれば、データベースにフロー情報テーブルを作成し、発見したフローに対するサンプリング値をフロー履歴(605)に格納する。フロー解析処理は、フロー解析を終了すると、サンプリング変更判定プログラム(145)に処理の終了を通知する。
【００３２】
サンプリング変更判定プログラム(145)は、今回算出したフロー結果を基にフロー判定条件の閾値を超えていればサンプリング変更処理を行う(504)。フローが閾値を超えていなければ処理を終了し、パケット収集プログラムにより次のフロー解析までの時間が経過したことを待つ(505)。
【００３３】
図８は、サンプリング変更プログラムの処理概要を表したフローチャートである。
【００３４】
フローに異常があるとき、サンプリング変更判定プログラム(145)は、異常状態と判断したフローのデータテーブル内のフロー種別識別子からフローの定義の中に送信元アドレス情報が含まれているかチェックする(801)。もし含まれていなければ、データベースに格納されているサンプリングパケットから、異常フローに関連するサンプリングパケットを収集する。そして、サンプリングパケットの中から抽出しなければならないパケットのアドレス情報を収集する(802)。アドレス情報が明確になると、サンプリング変更プログラムは、構成情報収集プログラムを用いて対象となるアドレス情報を含んだエッジのネットワーク装置を同定する(803)。
【００３５】
構成情報収集プログラムは、要求があるとまずネットワーク管理サーバ(20)上の構成／状態収集プログラム(26)に対してネットワークのエッジのネットワーク装置からあて先のネットワークアドレスを持つネットワーク装置を収集する。外部ネットワーク(205)からのトラフィックの場合、送信元アドレスはネットワーク装置の持つアドレスと異なる場合がある。このように、もし存在しなければ、ネットワーク装置が持つルーティングテーブルとネットワーク装置間の接続関係を基に、キャプチャパケットを出力したネットワーク装置を介してあて先アドレスにたどり着く経路を選定し、かつ、計測対象であったネットワーク装置を解する経路を絞り込み、その入り口となるネットワーク装置を同定する。
【００３６】
サンプリング変更判定プログラム(145)は、対象となるネットワーク装置を同定すると、ネットワーク監視サーバを介してフローを監視するネットワーク装置のインターフェースに対する全体のパケット通過の情報を収集し、対象となるネットワーク装置へのサンプリングレートを決定する(804)。
【００３７】
図９はサンプリングレートとパケット通過数の関係を示したものである。パケット通過数(901)は、サンプルリングを行うインターフェースに流れる総パケット数である。サンプリングレート(902)はネットワーク装置に設定できるサンプリングレートの最大値であり、指定された値以下に設定すればよい。たとえば、パケット通過数が100,000ppsであれば、パケットサンプリングレートは10個に１個の値から1,000個に１個のレートの間で設定すればよい。ここでは、ネットワーク装置の負荷も考え、それぞれの範囲においてサンプリングレートの最大値をとることとした。
【００３８】
上述のように、ネットワーク装置が同定されサンプリングレートが決定されると、データベース内のフローデータの中で変更した条件と同じデータが存在するかを判断する。もし、存在すればそのテーブル識別子をレファレンスリスト(604)に設定し、もし存在しなければ、新たに該当フローのフローデータテーブル(600)を作成し、作成されたテーブルの属性(609)を“S”とし、さらにそのテーブル識別子をレファレンスリスト(604)に設定する(805)。
【００３９】
以上のようにしてサンプリング変更プログラムは変更するサンプリングレートと変更するネットワーク装置を同定し、サンプリング設定プログラムとフロー解析プログラムに通知する(806)。
【００４０】
サンプリング設定プログラムは、指定されたサンプリングレートを指定したネットワーク装置に対してサンプリングレートを設定する。
【００４１】
フロー解析プログラムは、サンプリング設定プログラムから通知されたネットワーク装置からのサンプリングパケットの収集とフロー解析条件をチェックして、もし解析するフロー条件が異なればそれを基に算出を行う。このとき、解析時間内のサンプリングパケットのサンプリングレートがこれまでと変わっていた場合には、その時点までの時間間隔でサンプリング値をフローデータに格納し、残りの時間でのサンプル値をさらに追加する。
【００４２】
以上が変更処理である。
【００４３】
最後に、最終的なフロー解析を元に戻す回復処理について述べる。
【００４４】
図１０は回復処理の全体概要を表したフローチャートである。この全体処理概要を表したフローチャートは、図５を用いて説明した変更処理概要も含んでいる。図５では、変更処理に焦点をあてた処理のみを記述したのみであり、本実施例におけるプログラム群は変更処理，回復処理を合わせた以下で説明する動作を行う。
【００４５】
はじめに、変更処理と同様にフロー収集プログラムがサンプリングパケットを収集し、データベースに格納し、フロー解析時間間隔になるとフロー解析プログラムに通知する(501)。そして、フロー解析処理がサンプリングパケットを基に各フロー統計情報を算出する(502)。その後、フロー解析プログラム(144)は、サンプリング変更判定プログラム(145)に処理の終了を通知する。
【００４６】
サンプリング変更判定プログラム(145)は、フロー解析する対象となるフロー情報をもつフローデータを検索し、存在しなければ新しいフローデータを作成する。フローデータが存在するときには、回復条件を満足するかを判断する(1001)。回復条件とは、フローデータが存在しているとき、今回のフロー解析結果が閾値を超えていない場合でかつデータ履歴(605)を用いてひとつ前のサンプル値をとりだし、この値が閾値を超えている場合を示す。これ以外の場合、つまり今回のフロー解析結果が閾値を超えている場合、もしくは前回のフローデータが閾値を越えていない場合には、サンプリング変更条件を満足しているかを判断する(1002)。
【００４７】
サンプリング変更条件とは、前回のフロー解析結果が閾値を超えておらず、今回のフロー解析結果が閾値を越えている場合を言う。この場合、新たにサンプリング変更処理を行う(1003)。このサンプリング変更処理は、図５のフロー情報から異常フローを検出した以降の処理(504)〜(507)を実行する。
【００４８】
サンプリング変更処理条件を満足していない場合には、以後の処理を行わず、次のフロー解析まで待機する。
【００４９】
さて、回復条件を満足したとき、フロー解析処理はフローデータ内(600)のレファレンスリスト(604)を抽出し、その中に含まれるテーブル識別子を基に対象となるフローデータを抽出する(1004)。そして、抽出されたフローデータ内のエクスポートエージェント情報が同じ値をもつフローデータテーブルを検索する(1005)。このとき、抽出されたフローデータが前記レファレンスリストから抽出されたデータだけであり、かつ各フローデータの属性が“S”（すなわち、サンプリング時に作成されたもの）であるかを判定する(1006)。もし、すべ属性が全て“S”であれば、対象とするネットワーク装置からのサンプリングをする必要がないため、サンプリング設定プログラムに対象ネットワーク装置に設定されていたサンプリング値を削除する要求を行う(1007)。もしひとつでも“M”が存在していれば、そのネットワーク装置からのデータを用いたフロー解析はサンプリング変更前から行われていると判断し、サンプリング変更プログラムに元のサンプリングに戻すように要求を出力する。
【００５０】
サンプリング設定プログラムは、サンプリング変更プログラムの要求に従って対象ネットワーク装置からのサンプリング設定を変更する。
【００５１】
以上が回復処理である。
【００５２】
以上の処理によって、任意のフローが異常になっていると判断したときに、管理対象ネットワークのエッジ側のネットワーク装置からサンプリングレートを変更，追加させることにより、全体のサンプリングパケットのデータを不必要に増加させることなく対象フローに関連するフローの動向を自動的に把握することができる。
【００５３】
最後に、フロー分布の表示について図１１〜図１３を用いて説明する。
【００５４】
図１１は、ＣＲＴ(16)上に表示するフロー統計情報をグラフにより表示する一実施例を表したものである。フロー統計情報グラフ(1101)には、監視対象となるネットワーク装置（E.F.G.H-1）の情報(1102)があり、縦軸にサンプリング値によって類推される実トラフィック(1103)を横軸に計測時間(1104)を表示している。このとき、(1105)が閾値を超えたフローの動向を現している。類推値(1103)の算出は、サンプリング値からサンプリングレートを積算した値を表示している。
【００５５】
このグラフでは、ネットワーク装置（E.F.G.H）のボート番号１を通過する全てのフローを表示しているが、対象となるフローを含め、たとえばパケット数の多さで上位フローのみを表示する場合も考えられる。このグラフにおいて閾値を越えたフロー(1105)に対して、本発明によるサンプリングレート変更処理が実行された後のネットワーク装置（同定されたネットワーク装置）に対するフロー情報を見ることができる。この画面遷移は、対象となるフロー(1105)を選択しても良いし、メニューから遷移しても良い。
【００５６】
図１２は、ＣＲＴ(16)上に表示する画面遷移後のグラフを表している。このグラフ(1201)は、同定されたネットワーク装置（G.H.I.K）のポート番号１に監視対象が変更されており、そのネットワーク装置のポート番号１のフローを表示している。図１２によれば、図１１のフロー(1105)の減少の理由として、 (1202)と(1203)のフローの減少が影響していることが類推できる。
【００５７】
図１３は、ＣＲＴ(16)上に表示するフロー情報が、サンプリングレートの変更前から初期サンプリングレートで収集していた場合の表示例を示したものである。この場合、サンプリングレートが異なるフロー情報のグラフ表示に関する一実施例である。この場合、サンプリングレートが異なるため、サンプリングレートが異なった区間に対して背景色を変更させる。これにより、類推値のサンプリングレートが変わっていることが視覚的に判断することができる。
【００５８】
本実施例では、サンプリングレートの変更箇所を視覚的に見せるために背景色を変更したが、他にもグラフの線の色を変更させても良いし、時間軸の色を変更させても良い。
【００５９】
また、別な表示方法として、縦軸(1102)を割合で表示する場合もあるし、実際のサンプル値を表示する場合もある。実際のサンプリング値のばあい、図１３のように複数のサンプリングレートが含まれている場合は、どちらかのサンプリングレートに合わせて表示させる。たとえば、サンプリング変更後の値にあわせるのであれば、変更前のサンプリング値の表示の値は以下の式によって補正される。
【００６０】
（表示値）＝（（サンプル値）／（元のサンプリングレート））
×（変更後のサンプリングレート）
【産業上の利用可能性】
【００６１】
キャリアやインターネットサービスプロバイダーなど独自のネットワークを持ち、その運用管理の上でフロー情報を用いてトラフィック障害を解析する場合に用いられる。
【図面の簡単な説明】
【００６２】
【図１】本発明における監視対象のネットワークおよび管理システムの一構成を表した図である。
【図２】本発明における計測システムの詳細構成を表した図である。
【図３】本発明における設定可能なフロー条件を表したテーブルの一構成である。
【図４】本発明におけるトラフィック解析するための条件を格納した初期条件テーブルの一構成である。
【図５】本発明における変更処理の全体処理概要を表したフローチャートである。
【図６】本発明におけるフロー情報を格納するフローデータの一構成である。
【図７】本発明におけるフローデータにおいてフローを識別するためのフロー条件を格納したテーブルの一構成である。
【図８】本発明におけるサンプリング変更決定の処理概要を表したフローチャートである。
【図９】本発明におけるサンプリングレートとネットワーク装置からの総パケット通過数との関係を表したテーブルの一構成である。
【図１０】本発明における変更，回復処理概要を示したフローチャートである。
【図１１】本発明における初期のサンプリング環境でのフローのトレンドを表すグラフの一構成である。
【図１２】本発明におけるサンプリング変更後に収集されたデータを基にフローのトレンドを表すグラフの一構成である。
【図１３】本発明におけるサンプリング変更後と変更前に収集されたデータが混在したときのフローのトレンドを表すグラフの一構成である。
【符号の説明】
【００６３】
１…  管理用通信網，１０…  ネットワーク管理装置，１１…  通信制御装置，１２…  プログラムメモリ，１３…  管理情報データベース，１４…  中央処理装置，１５…  ワークメモリ，１６…  ディスプレイ，１７…  キーボード，18…  マウス，１９…  入出力装置，２０…  管理対象装置，２１…  管理対象装置上の通信装置，２２…  構成情報提供処理装置 
【図１】
2005286684.tif 000003
【図２】
2005286684.tif 000004
【図３】
2005286684.tif 000005
【図４】
2005286684.tif 000006
【図５】
2005286684.tif 000007
【図６】
2005286684.tif 000008
【図７】
2005286684.tif 000009
【図８】
2005286684.tif 000010
【図９】
2005286684.tif 000011
【図１０】
2005286684.tif 000012
【図１１】
2005286684.tif 000013
【図１２】
2005286684.tif 000014
【図１３】
2005286684.tif 000015