(57)【要約】【課題】ユーザの用途に応じた柔軟なトラフィックデータの集約を可能とする。【解決手段】前記情報追加プロセスが、情報追加指示テンプレートに従い、第１のアプリケーションプロセスを起動し、配信されたトラフィックデータの各フローレコードに必要とされる情報を取得し、前記取得した情報を、新規のフィールドに追加、あるいは、既存のフィールドに上書し、集約プロセスが、集約指示テンプレートで指示されたフィールドをキー情報として、集約指示テンプレートで指示されたフィールド情報を合算、あるいは集約指示テンプレートで指示されたフィールドを破棄することにより、配信された各トラフィックデータのフローレコードを集約するとともに、補正情報追加指示テンプレートに基づき、第２のアプリケーションプロセスを起動し、集約したトラフィックデータの各フローレコードに追加する情報を取得し、前記取得した情報を、新規のフィールドに追加する。【選択図】図１
2007228113.tif 000002
【特許請求の範囲】
【請求項１】
トラフィックデータの各フローレコードに追加する情報を指示する情報追加指示テンプレートと、
前記情報追加指示テンプレートに従い、起動されるアプリケーションプロセスと、
前記情報追加指示テンプレートに基づき、前記アプリケーションプロセスを起動し、配信されたトラフィックデータの各フローレコードに追加する情報を取得する情報追加プロセスとを備えることを特徴とするトラフィックデータ集約装置。
【請求項２】
前記情報追加指示テンプレートは、各フィールド単位に記述される情報追加動作指示語を含み、
前記情報追加動作指示語が記述されたフィールドには、起動されるアプリケーションプロセスを指定する情報と、引用するフィルドを指定する情報も記述されることを特徴とする請求項１に記載のトラフィックデータ集約装置。
【請求項３】
トラフィックデータの各フローレコードの集約方法を指示する集約指示テンプレートと、
前記集約指示テンプレートに基づき、配信された各トラフィックデータのフローレコードを集約する集約プロセスとを備えることを特徴とするトラフィックデータ集約装置。
【請求項４】
前記集約指示テンプレートは、各フィールド単位に記述される第１ないし第３の動作指示語を含み、
前記第１の動作指示語は、当該第１の動作指示語が記述されたフィールドが、フローレコードの集約の際にキー情報となるフィールドであることを表し、
前記第２の動作指示語は、当該第２の動作指示語が記述されたフィールドが、フローレコードの集約の際にそのまま引き継がれるフィールドであることを表し、
前記第３の動作指示語は、当該第３の動作指示語が記述されたフィールドが、フローレコードの集約の際に破棄されるフィールドであることを表すことを特徴とする請求項３に記載のトラフィックデータ集約装置。
【請求項５】
集約したトラフィックデータの各フローレコードに追加する情報を指示する補正情報追加指示テンプレートと、
前記補正情報追加指示テンプレートに従い、起動されるアプリケーションプロセスとを備え、
前記集約プロセスは、前記補正情報追加指示テンプレートに基づき、前記アプリケーションプロセスを起動し、集約したトラフィックデータの各フローレコードに追加する補正情報を取得することを特徴とする請求項３または請求項４に記載のトラフィックデータ集約装置。
【請求項６】
前記補正情報追加指示テンプレートは、各フィールド単位に記述される補正情報追加動作指示語を含み、
前記補正情報追加動作指示語が記述されたフィールドには、起動されるアプリケーションプロセスを指定する情報と、引用するフィールドを指定する情報も記述されることを特徴とする請求項５に記載のトラフィックデータ集約装置。
【請求項７】
トラフィックデータの各フローレコードに追加する情報を指示する情報追加指示テンプレートと、
トラフィックデータの各フローレコードの集約方法を指示する集約指示テンプレートと、
集約したトラフィックデータの各フローレコードに追加する補正情報を指示する補正情報追加指示テンプレートと、
前記情報追加指示テンプレートに従い、起動される第１のアプリケーションプロセスと、
前記補正情報追加指示テンプレートに従い、起動される第２のアプリケーションプロセスと、
前記情報追加指示テンプレートに基づき、前記第１のアプリケーションプロセスを起動し、配信されたトラフィックデータの各フローレコードに追加する情報を取得する情報追加プロセスと、
前記集約指示テンプレートに基づき、配信された各トラフィックデータのフローレコードを集約するとともに、前記補正情報追加指示テンプレートに基づき、前記第２のアプリケーションプロセスを起動し、集約したトラフィックデータの各フローレコードに追加する補正情報を取得する集約プロセスとを備えることを特徴とするトラフィックデータ集約装置。
【請求項８】
トラフィックデータの各フローレコードに追加する情報を指示する情報追加指示テンプレートと、
配信されたトラフィックデータの各フローレコードに追加する情報を取得する情報追加プロセスとを備えるトラフィックデータ集約装置のトラフィックデータ集約方法であって、
前記情報追加プロセスは、前記情報追加指示テンプレートに従い、アプリケーションプロセスを起動し、前記配信されたトラフィックデータの各フローレコードに必要とされる情報を取得し、
前記取得した情報を、新規のフィールドに追加、あるいは、既存のフィールドに上書きすることを特徴とするトラフィックデータ集約方法。
【請求項９】
トラフィックデータの各フローレコードの集約方法を指示する集約指示テンプレートと、
前記集約指示テンプレートに基づき、配信された各トラフィックデータのフローレコードを集約する集約プロセスとを備えることを特徴とするトラフィックデータ集約装置のトラフィックデータ集約方法であって、
前記集約プロセスは、前記集約指示テンプレートで指示されたフィールドをキー情報として、前記集約指示テンプレートで指示されたフィールド情報を合算、あるいは、前記集約指示テンプレートで指示されたフィールドを破棄することにより、配信された各トラフィックデータのフローレコードを集約することを特徴とするトラフィックデータ集約方法。
【請求項１０】
集約したトラフィックデータの各フローレコードに追加する補正情報を指示する補正情報追加指示テンプレートを備え、
前記集約プロセスは、前記補正情報追加指示テンプレートに基づき、前記アプリケーションプロセスを起動し、集約したトラフィックデータの各フローレコードに追加する補正情報を取得し、
前記取得した補正情報を、新規のフィールドに追加することを特徴とする請求項８に記載のトラフィックデータ集約方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラフィックデータ集約装置およびトラフィックデータ集約方法に係り、特に、インターネットに代表されるネットワーク上を流れるトラフィックデータをモニタする際に、大容量化したネットワーク上のトラフィックデータを効率的に柔軟に集約する手法に関する。
【背景技術】
【０００２】
近年、ＤＤｏＳ攻撃トラフィックなどの異常トラフィックを検知する目的から、ネットワーク上に流れているトラフィックをモニタする機能（sFlow,netFlow,IPFIX）に注目が集まっている。
従来、トラフィックデータの集約は、ネットワーク機器（以下、ＮＷ機器という）内やトラフィックデータ情報収集機器内で、システム独自に実施されている。この場合、集約に使用されるキーとなる情報は、システムに依存して決められたもので、予めシステムで変更等を行うことはできない。
現在、Net Flowなどを利用して、集約したトラフィックデータを配信する機能が具備されているが、それは、システムにより固定的となっている。
また、ＩＰＦＩＸにて提案されている集約手法（IPFIX-aggregation）では、ユーザによって集約手法を可変可能とすることが提案されている。（下記、非特許文献１参照）
【０００３】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【非特許文献１】http://www.ietf.org/internet-drafts/draft-dressler-ipfix-aggregation-02.txt    RFC3954 Cisco NetFlow version9
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、ＩＰＦＩＸにて提案されている集約手法（IPFIX-aggregation）は、以下の点で、十分柔軟性があるとはいえない。
（ａ）キー情報に指定可能な情報は、予め制限されているため、ＢＹＴＥ値などをもとにした統計データを算出することができない。キー情報に指定可能なフィールドは、Flow-Keyに指定されたもの以外には、指定できない。
（ｂ）外部情報など追加情報をキー情報として、集約する手法が考えられていない。
（ｃ）集約の際に、失われる情報を補正するための追加情報について、その生成手法について検討されていない。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、トラフィックデータ集約装置およびトラフィックデータ集約方法において、ユーザの用途に応じた柔軟なトラフィックデータの集約を可能とする技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【課題を解決するための手段】
【０００５】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）トラフィックデータの各フローレコードに追加する情報を指示する情報追加指示テンプレートと、前記情報追加指示テンプレートに従い、起動されるアプリケーションプロセスと、前記情報追加指示テンプレートに基づき、前記アプリケーションプロセスを起動し、配信されたトラフィックデータの各フローレコードに追加する情報を取得する情報追加プロセスとを備えることを特徴とする。
（２）（１）において、前記情報追加指示テンプレートは、各フィールド単位に記述される情報追加動作指示語を含み、前記情報追加動作指示語が記述されたフィールドには、起動されるアプリケーションプロセスを指定する情報と、引用するフィールドを指定する情報も記述される。
【０００６】
（３）トラフィックデータの各フローレコードの集約方法を指示する集約指示テンプレートと、前記集約指示テンプレートに基づき、配信された各トラフィックデータのフローレコードを集約する集約プロセスとを備えることを特徴とする。
（４）（３）において、前記集約指示テンプレートは、各フィールド単位に記述される第１ないし第３の動作指示語を含み、前記第１の動作指示語は、当該第１の動作指示語が記述されたフィールドが、フローレコードの集約の際にキー情報となるフィールドであることを表し、前記第２の動作指示語は、当該第２の動作指示語が記述されたフィールドが、フローレコードの集約の際にそのまま引き継がれるフィールドであることを表し、前記第３の動作指示語は、当該第３の動作指示語が記述されたフィールドが、フローレコードの集約の際に破棄されるフィールドであることを表す。
【０００７】
（５）（３）または（４）において、集約したトラフィックデータの各フローレコードに追加する情報を指示する補正情報追加指示テンプレートと、前記補正情報追加指示テンプレートに従い、起動されるアプリケーションプロセスとを備え、前記集約プロセスは、前記補正情報追加指示テンプレートに基づき、前記アプリケーションプロセスを起動し、集約したトラフィックデータの各フローレコードに追加する補正情報を取得することを特徴とする。
（６）（５）において、前記補正情報追加指示テンプレートは、各フィールド単位に記述される補正情報追加動作指示語を含み、前記補正情報追加動作指示語が記述されたフィールドには、起動されるアプリケーションプロセスを指定する情報と、引用するフィールドを指定する情報も記述される。
【０００８】
（７）トラフィックデータの各フローレコードに追加する情報を指示する情報追加指示テンプレートと、配信されたトラフィックデータの各フローレコードに追加する情報を取得する情報追加プロセスとを備えるトラフィックデータ集約装置のトラフィックデータ集約方法であって、前記情報追加プロセスは、前記情報追加指示テンプレートに従い、アプリケーションプロセスを起動し、前記配信されたトラフィックデータの各フローレコードに必要とされる情報を取得し、前記取得した情報を、新規のフィールドに追加、あるいは、既存のフィールドに上書きすることを特徴とする。
（８）トラフィックデータの各フローレコードの集約方法を指示する集約指示テンプレートと、前記集約指示テンプレートに基づき、配信された各トラフィックデータのフローレコードを集約する集約プロセスとを備えることを特徴とするトラフィックデータ集約装置のトラフィックデータ集約方法であって、前記集約プロセスは、前記集約指示テンプレートで指示されたフィールドをキー情報として、前記集約指示テンプレートで指示されたフィールド情報を合算、あるいは、前記集約指示テンプレートで指示されたフィールドを破棄することにより、配信された各トラフィックデータのフローレコードを集約することを特徴とする。
（９）（８）において、集約したトラフィックデータの各フローレコードに追加する補正情報を指示する補正情報追加指示テンプレートを備え、前記集約プロセスは、前記補正情報追加指示テンプレートに基づき、前記アプリケーションプロセスを起動し、集約したトラフィックデータの各フローレコードに追加する補正情報を取得し、前記取得した補正情報を、新規のフィールドに追加することを特徴とする。
【０００９】
本発明では、ルータ等のネットワーク機器（以下、ＮＷ機器という）から出力されるトラフィックデータを受信し、フローレコードの追加、集約を行い、トラフィックデータを汎用的に集約する。
一般的なトラフィックデータの集約方法は、送信元ＩＰアドレスなどの値をキー情報として、ある時間内のトラフィックデータを集約する。集約する際のカウンタ値については、ＢＹＴＥ量、フロー数などがこれに該当する。
これらのキー情報やカウンタ値については、システム固定に予め決められているもので、汎用性がない。例えば、ＢＹＴＥ量などをキー情報として、フロー数の分布などを算出することができない。
本発明では、外部情報などをもとにフロー情報に新たなフィールド値を追加する情報追加プロセスと複数のフローレコードを集約する集約プロセスの２つのプロセスにて、フロー情報の汎用的な集約機能を実現する。
各プロセスは、実行手順を指し示す指示テンプレートをもとに動作し、指示テンプレートに応じて、柔軟な集約方法を実現する。
また、集約の際に、失われる情報を補正する情報も追加する。例えば、集約の際には、カウンタ値以外の情報は、失われることが多い。即ち、集約によりある時間内のＢＹＴＥ数の総計は、算出可能となるが、フロー当たりのＢＹＴＥ数といった情報が失われてしまう。このような失われる情報を補正するために、例えば、１フロー当たりの平均ＢＹＴＥ量や１フロー当たりの最小ＢＹＴＥ量などが、利用できる。これについても集約プロセスが、指示テンプレートに従って、動作することで、この追加情報を生成することを可能とする。
【発明の効果】
【００１０】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明のトラフィックデータ集約装置およびトラフィックデータ集約方法によれば、ユーザの用途に応じた柔軟なトラフィックデータの集約が可能となる。
【発明を実施するための最良の形態】
【００１１】
以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
図１は、本発明の実施例のトラフィックデータ集約装置の概略構成を示すブロック図である。
図１において、１−１，１−２はアプリケーションプロセス、２は追加指示テンプレート、３は集約指示テンプレート、５は情報追加プロセス、６は集約プロセス、１０−１〜１０−４はＮＷ機器、１１はトラフィックデータ集約装置、１２はデータベースあるいは外部トラフィック情報収集機器である。
本実施例のトラフィックデータ集約装置１１は、主にトラフィック情報収集機器に実装されることを前提としているが、集約機能を具備するＮＷ機器に実装してもよい。
ＮＷ機器（１０−１〜１０−４）から配信されるトラフィックデータは、ミラーリングされたパケット及びトラフィックフロー統計配信プロトコル（sFlow,netFbw,IPFIX）の情報など様々である。
ＮＷ機器（１０−１〜１０−４）から配信されたトラフィックデータは、トラフィックデータ集約装置１１において集約され、当該集約された情報は、図１の１２に示す、自システム内のデータベースに保持するか、あるいは、トラフィックフロー統計配信プロトコルで外部トラフィック情報収集機器に配信される。
【００１２】
本明細書でいうフローとは、トラフィックデータに関して共通な情報要素をもつデータをフローと呼ぶ。
ＮＷ機器（１０−１〜１０−４）から受信するフロー情報は、送信元ｌＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコルなどをキー情報にＢＹＴＥ数、パケット数などのカウンタ情報が格納されている。これらひとつのフロー情報をフローレコードといい、各情報要素をフィールドと定義する。
フロー情報を受信した情報追加プロセス５は、情報追加指示テンプレート２をもとに各フローレコードに必要とされるフィールドを追加する。
情報追加指示テンプレート２は、フィールド単位に動作指示語が設定される。情報追加指示テンプレート２の動作指示語は、”ｕｓｅ”，”ｎｏｕｓｅ”，”ａｄｄ”の３つである。
情報追加指示テンプレート２で、”ｕｓｅ”が指定された場合、このフィールドで設定された値は、新たなフィールドを追加する際に、引用されることを意味する。
また、”ｎｏｕｓｅ”が指定された場合は、このプロセスでは、このフィールドを参照しないことを意味する。
更に、追加する情報要素については、”ａｄｄ”を指定する。”ａｄｄ”が指定されるフィールドについては、この他、起動する別のアプリケーションプロセスの識別子が含まれており、そのアプリケーションプロセスに引用されるフィールドＩＤも設定される。
【００１３】
情報追加プロセス５は、このアプリケーションプロセス（１−１）に、指定されたフィールド値を引数として渡すことで、新たな追加情報を取得することを可能とする。
また、ＮＷ機器（１０−１〜１０−４）から受信したフローレコード内に既に追加予定のフィールド値が含まれている場合は、情報追加指示テンプレート２に従って、指定のアプリケーションが起動され、起動結果により、情報が上書きされる。
例えば、図２に示す情報追加指示テンプレート２では、「送信元BGP NEXT-HOPアドレス」が追加されており、この追加指示の内容は、０２のフィールドＩＤに記載の送信元ＩＰアドレスをもとに、アプリケーション識別子がBGPSEARCHのアプリケーションプロセスを起動し、対応する経路のBGP（Border Gateway Protocol） NEXT-HOPアドレスを検索して求めることを意味している。
同様に、図２に示す情報追加指示テンプレート２には、「宛先BGP NEXT-HOPアドレス」が追加されており、この追加指示の内容は、０３のフィールドＩＤに記載の宛先ＩＰアドレスをもとに、対応する経路のBGP NEXT-HOPアドレスを検索して求めることを意味している。
【００１４】
図２に示す情報追加指示テンプレート２により、情報が追加された場合のフロー情報を図３に示す。なお、図３において、１０はＮＷ機器である。
図３に示す例では、情報追加プロセス５が、図３の情報追加指示テンプレート２に従い、アプリケーション識別子がBGPSEARCHのアプリケーションプロセスを起動する。その際に、０２のフィールドＩＤに記載の送信元ＩＰアドレス＝”10.10.10.10”を引数として渡すことで、送信元BGP NEXT-HOPアドレス＝”30.30.30.30”を取得することが可能となる。また、宛先ＩＰアドレスの場合も同様である。
これにより、ＮＷ機器１０から配信される、７−１のフロー情報に、送信元BGP NEXT-HOPアドレスと、宛先BGP NEXT-HOPアドレスのフィールドが追加され、７−２のフロー情報が得られる。
また、既に、ＢＹＴＥ数というフィールド値が、ＮＷ機器１０から送信される情報に含まれているにも関わらず、”ａｄｄ”設定されている場合には、この値を上書きする。
例えば、送信されるＢＹＴＥ数を”キロＢＹＴＥ”単位にして、小数点以下は四捨五入する場合の情報追加指示テンプレート２を図４に示す。また、図４に示す情報追加指示テンプレート２により、情報が追加された場合のフロー情報を図５に示す。
図４に示す例では、情報追加プロセス５が、図４の情報追加指示テンプレート２に従い、アプリケーション識別子がKBYTEのアプリケーションプロセスを起動する。その際に、０５のフィールドＩＤに記載のＢＹＴＥ数＝”45907”を引数として渡すことで、”46”キロＢＹＴＥとして結果を取得する。そして、ＮＷ機器１０から配信される、７−３のフロー情報に、既に設定済みのＢＹＴＥ数フィールドに対して上書きすることにより、７−４のフロー情報が得られる。
【００１５】
本明細書では、複数のフローレコードを集約することによって、生成される新たなレコードを集約フローレコードと呼ぶ。
フロー情報を引き継いだ集約プロセス６は、集約指示テンプレート３をもとに各フローレコードを集約する。
図６に示すように、集約指示テンプレート３は、フィールド単位に動作指示語が設定される。集約指示テンプレート３の動作指示語は、”ｋｅｙ”，”ｋｅｅｐ”，”ｄｉｓｃａｒｄ”の３つである。
集約指示テンプレート３で、”ｋｅｙ”が指定された場合は、このフィールドで設定された値は、集約フローレコードのキー情報となることを意味する。
例えば、ＩＰアドレスフィールドと、プレフィックスフィールドの両方が、”ｋｅｙ”と指定された場合には、ＩＰアドレスにプレフィックをマスクして、そのマスクされた値が、キー情報として利用される。
また、”ｋｅｅｐ”が指定された場合には、そのフィールド値は、集約フローレコードにおいてもそのまま引き継がれる。
【００１６】
”ｋｅｅｐ”で指定されたフィールド値がカウンタであれば、合算して引き継がれ、追加情報などの場合には、そのままの情報が引き継がれる。引き継ぐべき情報が、被集約フローレコード内で、一致しない場合、無効値が設定されることとする。
”ｄｉｓｃａｒｄ”が指定された場合には、そのフィールドは、集約プロセス６内で破棄される。
図６に、送信元ＩＰアドレスをプレフィック値でマスクして、この値を集約キーとする場合の集約指示テンプレート３の設定例を示す。
図６に示す集約指示テンプレート３により、情報が集約された場合の集約フロー情報を図７に示す。
図７では、集約プロセス６が、ＮＷ機器１０から配信される、７−５、７−６のフロー情報に対して、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元プレフィックス値、宛先プレフィックス値をキー情報として、ＢＹＴＥ数、ＰＡＣＫＥＴ数を合算する。これにより、７−８のフロー情報が得られる。
【００１７】
本実施例では、集約を実施する際に、損失する情報を補正するためにフィールドを追加する機能を有する。この機能は、集約プロセス６の集約過程の中で、補正情報追加指示テンプレート４をもとに各フローレコードに必要とされるフィールドを追加する。
補正情報追加指示テンプレート４は、フィールド単位に動作指示語が設定される。補正情報追加指示テンプレート４の動作指示語は、”ｕｓｅ”，”ｎｏｕｓｅ”，”ａｄｄ”の３つである。
補正情報追加指示テンプレート４で、”ｕｓｅ”が指定された場合、このフィールドで設定された値は、新たなフィールドを追加する際に、引用されることを意味する。
また、”ｎｏｕｓｅ”が指定された場合は、このプロセスでは、このフィールドを参照しないことを意味する。
更に、追加する情報要素については、”ａｄｄ”を指定する。”ａｄｄ”が指定されるフィールドについては、この他、起動する別のアプリケーション識別子が、含まれており、そのアプリケーションに引用されるフィールドｌＤも設定される。
引数として指定される情報は、ここで指定されるフィールドＩＤの他に、集約フローレコードのキー情報も含まれる。
【００１８】
補正することを目的に追加されるフィールドとしては、以下のような例が挙げられる。
（１）フローカウント数（集約フローレコード内の被集約フロー数）
（２）平均ACTIVE TIME（集約フローレコード内の被集約フローの平均ACTIVE時間）
（３）最小ACTIVE TIME（集約フローレコード内の被集約フローの最小ACTIVE時間）
（４）最大ACTIVE TIME（集約フローレコード内の被集約フローの最大ACTIVE時間）
（５）SYNカウント数（TCP Flagなどの情報をもとにSYNフラグが設定されていたフロー数）
（６）ACKカウント数（TCP Flagなどの情報をもとにACKフラグが設定されていたフロー数）
（７）PSHカウント数（TCP Flagなどの情報をもとにPSHフラグが設定されていたフロー数）
（８）FINカウント数（TCP Flagなどの情報をもとにFINフラグが設定されていたフロー数）
（９）RSTカウント数（TCP Flagなどの情報をもとにRSTフラグが設定されていたフロー数）
図８は、補正情報追加指示テンプレート４の一例を示す図である。
図８に示す例では、集約プロセス６が、例えば、アプリケーション識別子がAVE-ACTIVEのアプリケーションプロセスを起動する。その際に、１２、１３のフィールドＩＤに記載の、フロー開始時間、フロー終了時間を引数として渡すことで、フロー開始時間、フロー終了時間をもとに、集約対象となったフローレコード内の平均ACTIVE-TIMEを求めることができる。また、集約対象となったフローレコード内の最小ACTIVE-TIMEを求める場合も同様である。
【００１９】
個々のホスト間の通信量を把握するためには、送信元ＩＰアドレス−宛先ＩＰアドレスをキー情報として、集約する必要がある。但し、この条件で集約を行った場合、送信元ＩＰアドレス−宛先Ｐアドレスの組み合わせは、相当量に達するため、効果的にフローレコード数を削減できない。
この場合、送信元ＩＰアドレス及び宛先ＩＰアドレスのハッシュ値を求めて、ハッシュ値をキー情報とした集約を行えば、フローレコード数の削減及び個々のホスト間の通信量を把握といった目的を達成できる。
また、集約により個々のフロー情報を補正する目的で、平均ACTIVE TIME、最小ACTIVE TIMEを追加する場合について説明する。
図９に、本ケースの場合の情報追加指示テンプレート２を、図１０に、本ケースの場合の集約指示テンプレート３を、図１１に、本ケースの場合の補正情報追加指示テンプレート４を示す。
また、図１２に、図９に示す情報追加指示テンプレート２、図１０に示す集約指示テンプレート３、図１１に示す補正情報追加指示テンプレート４により生成されるフロー情報を示す。
【００２０】
情報追加プロセス５において、情報追加プロセス５が、図９の情報追加指示テンプレート２に従い、アプリケーション識別子がHASHのアプリケーションプロセス（１−５）を起動する。それにより、ＮＷ機器１０から配信される、７−９のフロー情報に、ハッシュ（送信元ＩＰアドレス）とハッシュ（宛先ＩＰアドレス）のフィールドが追加され、７−１０のフロー情報が得られる。
また、集約プロセス６が、図１０の集約指示テンプレート３に従い、ハッシュ（送信元ＩＰアドレス）とハッシュ（宛先ＩＰアドレス）をキー情報として、ＢＹＴＥ数、ＰＡＣＫＥＴ数を合算する。
さらに、図１１の補正情報追加指示テンプレート４に従い、アプリケーション識別子がAVE-ACTIVEのアプリケーションプロセス（１−６）と、アプリケーション識別子がMIN-ACTIVEのアプリケーションプロセス（１−７）を起動する。これにより、集約対象となったフローレコード内の平均ACTIVE TIMEと、最小ACTIVE TIMEを求め、７−１１のフロー情報が得られる。
【００２１】
以上説明したように、本実施例によれば、指示テンプレート（２，３，４）をもとに各プロセスが動作することで、ユーザが任意に考えた集約手法を構築することが可能となる。
この指示テンプレートは、ＳＮＭＰで利用されるＭＩＢとするか、システムによって変更可能とするconfiguration情報等にするなど、予めユーザによって、定義されるものである。
本実施例により、効率的で、柔軟な集約手法が実装されることで、動的に集約の方法を変更することが可能となり、設備設計の把握、異常トラフィックの検知等様々な用途で利用されるトラフィック監視機能において特に有益となる。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【図面の簡単な説明】
【００２２】
【図１】本発明の実施例のトラフィックデータ集約装置の概略構成を示すブロック図である。
【図２】本発明の実施例の情報追加指示テンプレートの一例を示す図である。
【図３】図２に示す情報追加指示テンプレートにより、情報が追加された場合のフロー情報を示す図である。
【図４】本発明の実施例の情報追加指示テンプレートの他の例を示す図である。
【図５】図４に示す情報追加指示テンプレートにより、情報が追加された場合のフロー情報を示す図である。
【図６】本発明の実施例の集約指示テンプレートの一例を示す図である。
【図７】図６に示す集約指示テンプレートにより、情報が集約された場合の集約フロー情報を示す図である。
【図８】本発明の実施例の補正情報追加指示テンプレートの一例を示す図である。
【図９】本発明の実施例のトラフィックデータ集約装置の一例の情報追加指示テンプレートを示す図である。
【図１０】本発明の実施例のトラフィックデータ集約装置の一例の集約指示テンプレートを示す図である。
【図１１】本発明の実施例のトラフィックデータ集約装置の一例の補正情報追加指示テンプレートを示す図である。
【図１２】図９に示す情報追加指示テンプレート、図１０に示す集約指示テンプレート、図１１に示す補正情報追加指示テンプレートにより生成されるフロー情報を示す図である。
【符号の説明】
【００２３】
１−１〜１−７  アプリケーションプロセス
２  追加指示テンプレート
３  集約指示テンプレート
５  情報追加プロセス
６  集約プロセス
７−１〜７−１１  フローレコード
１０，１０−１〜１０−４  ネットワーク機器
１１  トラフィックデータ集約装置
１２  データベースあるいは外部トラフィック情報収集機器
【図１】
2007228113.tif 000003
【図２】
2007228113.tif 000004
【図３】
2007228113.tif 000005
【図４】
2007228113.tif 000006
【図５】
2007228113.tif 000007
【図６】
2007228113.tif 000008
【図７】
2007228113.tif 000009
【図８】
2007228113.tif 000010
【図９】
2007228113.tif 000011
【図１０】
2007228113.tif 000012
【図１１】
2007228113.tif 000013
【図１２】
2007228113.tif 000014