(57)【要約】【課題】  通信事業者網のような大規模ネットワークにされ、汎用サーバ内蔵通信装置のような複数の出力ポートを持つ装置を安価に監視できないことが課題である。【解決手段】  通信装置が設置されているネットワークと他のネットワークとの境界に配備される監視前処理装置と監視集計処理装置による監視システムおよび方法であって、監視前処理装置は、他のネットワークから流入するトラフィックを監視し、所定の前処理ルールに合致した場合、トラフィックが所定の監視対象宛てであるか判断し、所定の監視対象宛てであった場合、所定の前処理ルール毎に定められた優先度および速報度の高いものから順に、所定の前処理ルールに合致したことを示す報告メッセージを監視集計処理装置に送信する。監視集計処理装置は、複数の前記監視前処理装置から報告された複数の報告メッセージを集計し、集計結果に基づいて所定の集計処理ルールに合致するか否かで異常を検知する。【選択図】  図１
2016100799.tif 000002
【特許請求の範囲】
【請求項１】
通信部および機能部を有する通信装置と、前記通信装置が設置されているネットワークと複数の他のネットワークとの境界にそれぞれ配備される複数の監視前処理装置と、前記通信装置を制御する監視集計処理装置と、を含む監視システムであって、
複数の前記監視前処理装置のそれぞれは、
前記他のネットワークから前記ネットワークに流入するトラフィックを監視し、
前記トラフィックが所定の前処理ルールに合致するか判断し、
前記所定の前処理ルールに合致した場合、前記トラフィックが所定の監視対象宛てのトラフィックであるか判断し、
前記所定の監視対象宛てのトラフィックであった場合、前記所定の前処理ルール毎に定められた優先度および速報度の高いものから順に、前記所定の前処理ルールに合致したことを示す報告メッセージを前記監視集計処理装置に送信し、
前記監視集計処理装置は、
複数の前記監視前処理装置から報告された複数の報告メッセージを集計し、集計結果に基づいて所定の集計処理ルールに合致するか判定し、
前記所定の集計処理ルールに合致した場合、前記所定の集計処理ルール毎に定められた対処方法に基づいて、所定のトラフィックの通信を制御するよう前記通信装置の前記通信部に設定することを特徴とする監視システム。
【請求項２】
請求項１に記載の監視システムであって、
前記通信装置の前記機能部は、仮想マシンと前記仮想マシン上で動作するソフトウエア部品とを含み、
前記所定の監視対象とは、所定の前記仮想マシンまたは所定の前記ソフトウエア部品であることを特徴とする監視システム。
【請求項３】
請求項２に記載の監視システムであって、
前記監視対象と前記監視対象が動作する前記通信装置との対応関係を管理する管理装置を有し、
前記監視集計処理装置は、所定の集計処理ルールに合致した場合、前記監視対象が動作する前記通信装置を前記管理装置に問合せて特定し、特定された前記通信装置の前記通信部に対してのみ前記所定のトラフィックの通信を制御するよう設定することを特徴とする監視システム。
【請求項４】
請求項３に記載の監視システムであって、
前記管理装置は、前記対応関係に変更があった場合は、変更された前記監視対象と前記通信装置との対応関係を前記監視集計処理装置に通知し、
前記監視集計処理装置は、通知された前記対応関係に基づき、変更前の対応関係で示される通信装置の通信部から前記所定のトラフィックに対する通信制御の設定を削除し、変更後の対応関係で示される通信装置の通信部に対して前記通信制御の設定を追加することを特徴とする監視システム。
【請求項５】
通信部および機能部を有する通信装置が設置されているネットワークと複数の他のネットワークとの境界にそれぞれ配備される複数の監視前処理装置と、前記通信装置を制御する監視集計処理装置と、を含むシステムによる監視方法であって、
複数の前記監視前処理装置のそれぞれにより、
前記他のネットワークから前記ネットワークに流入するトラフィックを監視し、
前記トラフィックが所定の前処理ルールに合致するか判断し、
前記所定の前処理ルールに合致した場合、前記トラフィックが所定の監視対象宛てのトラフィックであるか判断し、
前記所定の監視対象宛てのトラフィックであった場合、前記所定の前処理ルール毎に定められた優先度および速報度の高いものから順に、前記所定の前処理ルールに合致したことを示す報告メッセージを前記監視集計処理装置に送信し、
前記監視集計処理装置により、
複数の前記監視前処理装置から報告された複数の報告メッセージを集計し、集計結果に基づいて所定の集計処理ルールに合致するか判定し、
前記所定の集計処理ルールに合致した場合、前記所定の集計処理ルール毎に定められた対処方法に基づいて、所定のトラフィックの通信を制御するよう前記通信装置の前記通信部に設定することを特徴とする監視方法。
【請求項６】
請求項５に記載の監視方法であって、
前記通信装置の前記機能部は、仮想マシンと前記仮想マシン上で動作するソフトウエア部品とを含み、
前記所定の監視対象とは、所定の前記仮想マシンまたは所定の前記ソフトウエア部品であることを特徴とする監視方法。
【請求項７】
請求項６に記載の監視方法であって、
前記システムは、前記監視対象と前記監視対象が動作する前記通信装置との対応関係を管理する管理装置を含み、
前記所定の集計処理ルールに合致した場合、前記監視集計処理装置により、
前記監視対象が動作する前記通信装置を前記管理装置に問合せて特定し、特定された前記通信装置の前記通信部に対してのみ前記所定のトラフィックの通信を制御するよう設定することを特徴とする監視方法。
【請求項８】
請求項７に記載の監視方法であって、
前記管理装置により、
前記対応関係に変更があった場合に、変更された前記監視対象と前記通信装置との対応関係を前記監視集計処理装置に通知し、
前記監視集計処理装置により、
通知された前記対応関係に基づき、変更前の対応関係で示される通信装置の通信部から前記所定のトラフィックに対する通信制御の設定を削除し、変更後の対応関係で示される通信装置の通信部に対して前記通信制御の設定を追加することを特徴とする監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、装置を監視する技術に関する。
【背景技術】
【０００２】
NFV (Network Functions Virtualization、通信機能仮想化) の台頭により、通信事業者の網内にある汎用サーバ装置の上でサードパーティーのソフトウエア部品が流通する可能性が生じる。だが通信事業者はバグやセキュリティホールなどに起因する不可避の誤動作から通信事業者網を守るために、汎用サーバ装置の監視を行わないとこれらのソフトウエア部品を使う事が出来ない。なお、NFVのような応用技術では汎用サーバ装置とL3SWもしくはルータ装置を高速な内部バスで接続した汎用サーバ内蔵通信装置が広く用いられると考えられている。
【０００３】
通信事業者網内に置いた装置を監視する従来技術にIDS (Intrusion Detection System、不正侵入検知システム) やIPS (Intrusion Prevention System、不正侵入遮断システム) がある。また、これらの装置を用いた通信事業者網内に置いた装置の監視方法に特許文献1で開示された方法がある。特許文献1には「複数のネットワーク試験装置と、複数のネットワーク試験装置と通信する中央サーバと、を有する。中央サーバは、試験用に複数のネットワーク試験装置を設定し、試験に関連する計測結果を受信する。さらに中央サーバは、複数のネットワーク試験装置からの計測結果を集計し、パターンが検出された場合にトリガアクションを起動する。」と記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開2005-312035号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に開示された方法およびシステムでは中央サーバに負荷が集中する。そのため例えば通信事業者網のような大規模ネットワークに特許文献1に開示された方法およびシステムを適用すると、高負荷時にネットワーク試験装置の計測結果を取りこぼしてしまう。ここで、計算速度の進化と通信速度の進化は同程度であり、監視処理性能の問題は本質的な問題である。
【０００６】
すなわち装置監視の課題は、汎用サーバ内蔵通信装置のような複数の出力ポートを持つ装置を安価に監視できないことである。
【課題を解決するための手段】
【０００７】
本発明では、上述した課題のうち少なくとも一つを解決するために、
通信部および機能部を有する通信装置と、前記通信装置が設置されているネットワークと複数の他のネットワークとの境界にそれぞれ配備される複数の監視前処理装置と、前記通信装置を制御する監視集計処理装置と、を含む監視システムであって、
複数の前記監視前処理装置のそれぞれは、
前記他のネットワークから前記ネットワークに流入するトラフィックを監視し、
前記トラフィックが所定の前処理ルールに合致するか判断し、
前記所定の前処理ルールに合致した場合、前記トラフィックが所定の監視対象宛てのトラフィックであるか判断し、
前記所定の監視対象宛てのトラフィックであった場合、前記所定の前処理ルール毎に定められた優先度および速報度の高いものから順に、前記所定の前処理ルールに合致したことを示す報告メッセージを前記監視集計処理装置に送信し、
前記監視集計処理装置は、
複数の前記監視前処理装置から報告された複数の報告メッセージを集計し、集計結果に基づいて所定の集計処理ルールに合致するか判定し、
前記所定の集計処理ルールに合致した場合、前記所定の集計処理ルール毎に定められた対処方法に基づいて、所定のトラフィックの通信を制御するよう前記通信装置の前記通信部に設定する監視システムを提供する。
【０００８】
また、通信部および機能部を有する通信装置が設置されているネットワークと複数の他のネットワークとの境界にそれぞれ配備される複数の監視前処理装置と、前記通信装置を制御する監視集計処理装置と、を含むシステムによる監視方法であって、
複数の前記監視前処理装置のそれぞれにより、
前記他のネットワークから前記ネットワークに流入するトラフィックを監視し、
前記トラフィックが所定の前処理ルールに合致するか判断し、
前記所定の前処理ルールに合致した場合、前記トラフィックが所定の監視対象宛てのトラフィックであるか判断し、
前記所定の監視対象宛てのトラフィックであった場合、前記所定の前処理ルール毎に定められた優先度および速報度の高いものから順に、前記所定の前処理ルールに合致したことを示す報告メッセージを前記監視集計処理装置に送信し、
前記監視集計処理装置により、
複数の前記監視前処理装置から報告された複数の報告メッセージを集計し、集計結果に基づいて所定の集計処理ルールに合致するか判定し、
前記所定の集計処理ルールに合致した場合、前記所定の集計処理ルール毎に定められた対処方法に基づいて、所定のトラフィックの通信を制御するよう前記通信装置の前記通信部に設定する監視方法を提供する。
【発明の効果】
【０００９】
本発明によれば、ネットワークに設置された通信装置の監視を安価に行うことが可能となる。
【図面の簡単な説明】
【００１０】
【図１】実施例１における監視システムの全体構成を示す図である。
【図２】監視システムにより通信事業者網内の装置を監視する全体処理フローを示す図である。
【図３】監視前処理装置102の構成図である。
【図４】前処理ルール342の詳細を示した図である。
【図５】監視対象ルール352の詳細を示した図である。
【図６】監視前処理装置102による一次監視の詳細を示した図である。
【図７】優先度と速報度に基づく報告メッセージの送信処理を説明する図である。
【図８】監視集計処理装置101の構成図である。
【図９】集計処理ルール842の詳細を示した図である。
【図１０】実施例１における監視集計処理装置101による二次監視の詳細を示した図である。
【図１１】実施例２における監視システムの全体構成を示す図である。
【図１２】監視対象−汎用サーバ内蔵通信装置対応表1201の詳細を示した図である。
【図１３】実施例２における監視集計処理装置101による二次監視の詳細を示した図である。
【図１４】監視対象−汎用サーバ内蔵通信装置対応表1201に変更が及んだ際の処理を示すフローチャートである。
【発明を実施するための形態】
【００１１】
以下、実施例を図面を用いて説明する。
【実施例１】
【００１２】
本実施例では1台もしくは複数台の監視前処理装置を用いて通信事業者網内の汎用サーバ装置を監視する方法、装置およびシステムを開示する。
【００１３】
図１は、実施例１における監視システムの全体構成を示す図である。本実施例では、図１に示すように5台の監視前処理装置102〜106と1台の監視集計処理装置101を用いて汎用サーバ162を内蔵する通信装置108、109を監視する。
【００１４】
監視集計処理装置101は全ての監視前処理装置102〜106および制御対象である全ての汎用サーバ内蔵通信装置108〜109のL3SW 161と接続されている。監視集計処理装置101の詳細は後で記す。
【００１５】
監視前処理装置102〜106はそれぞれ他事業者網との接続点であるGW (Gateway、ゲートウェイ) 192〜196手前のチョークポイントに設置する。また、本実施例では、これらＧＷ192〜196はそれぞれ異なるネットワークセグメント182〜186に属していることを想定しているが、同じネットワークセグメントに複数のＧＷが存在していたり、複数のネットワークセグメントが同一のＧＷを共有していたりしてもよく、それらの場合でも監視前処理装置は通信事業者網内のGW付近のチョークポイントに置く。監視前処理装置102〜106では、ＧＷ192〜196を介して他事業者網から汎用サーバ内蔵通信装置108〜109が設置された通信事業者網へ流入する通信トラフィックを監視する。監視前処理装置の詳細は後で記す。
【００１６】
汎用サーバ内蔵通信装置108〜109は、L3SW（もしくはルータ）161と汎用サーバであるホスト162が内部バスで接続された通信装置であり、所定の通信事業者網内に設置され、ＧＷ192〜196を介して他事業者網と接続されている。また、ホスト162の上で1台もしくは複数台の仮想マシン (VM) 163を動作させ、その上でソフトウエア部品 (Function) 164を動作させる。ソフトウエア部品の例として、ポリシー・ベースド・ルーティング機能を提供するソフトウエアや、HTTPサーバ機能を提供するソフトウエア等があげられる。また本実施例では仮想マシン163の上でソフトウエア部品164を動作させる例を示すが、仮想マシン163を介することなくホスト162の上でソフトウエア部品164を直接動作させてもよい。なお、L3SW 161は、複数の通信ポートを備えており、GW192〜196を介して他事業者網から流入するトラフィックを遮断/廃棄したり帯域制御することにより、汎用サーバ162に到達するトラフィックを制御する機能を有する。L3SW161は、監視集計処理装置101からの制御により、これらの機能を実行する。
【００１７】
図２は、本実施例の監視システムにより通信事業者網内の装置を監視する全体処理フローを示す図である。
【００１８】
監視システムにより監視処理を開始すると（ステップ201）、監視前処理装置102〜106は、GW192〜196を介して他通信事業者網から流入する通信トラフィックを監視し、前処理ルールにマッチするパケットやメッセージを探す（ステップ202）。
【００１９】
続いて監視前処理装置102〜106はマッチしたパケットやメッセージのうち、監視対象ルールにマッチする監視対象に関するパケットやメッセージだけを選択する（ステップ203）。なお監視対象ルールに関する詳細は監視前処理装置102〜106の説明の中で詳しく説明する。
【００２０】
続いて監視前処理装置102〜106は選択したパケットやメッセージのうち、優先度と速報度の高いものから順にマッチ報告として監視集計処理装置101に送信する（ステップ204）。なお、優先度と速報度に関する詳細は監視前処理装置102〜106の説明の中で詳しく説明する。
【００２１】
続いて監視集計処理装置101は受信したマッチ報告を集計し、集計ルールにマッチしていたら、マッチした集計ルールに対応する処置をするようL3SW161に設定変更を指示する（ステップ205）。なお集計ルールに関する詳細は監視集計処理装置101の説明の中で詳しく説明する。
【００２２】
図３は、本実施例における監視前処理装置102の構成図である。なお、監視前処理装置102〜106は全て同じ構成の装置であるため、ここでは代表して番号102を用いる。
【００２３】
監視前処理装置102はCPU 301と、主記憶302と、二次記憶303と3つのネットワークインターフェース304〜306を備える。
【００２４】
CPU 301は前処理ルール監視プロセス321を実行することにより、図２のステップ202〜ステップ204に相当する処理を行う。なお、CPU301を単に制御部とも呼ぶ。
【００２５】
主記憶302上には監視前処理装置102の動作中に前処理ルール監視プロセス321を展開する。
【００２６】
二次記憶303上には前処理ルール監視プログラム331と、前処理ルール蓄積データベース332と、監視対象リスト蓄積データベース333を保存する。
【００２７】
前処理ルール監視プログラム331は監視前処理装置102の起動時に、主記憶302上に前処理ルール監視プロセス321として展開される。
【００２８】
前処理ルール蓄積データベース332には前処理ルール342を保存する。前処理ルール342の詳細は後に記す。
【００２９】
監視対象リスト蓄積データベース333には監視対象ルール352を保存する。監視対象ルール352の詳細は後に記す。
【００３０】
3つのネットワークインターフェース304〜306は、それぞれGW192、通信事業者網内のセグメント182、監視集計処理装置101に接続される。
【００３１】
図４は、本実施例における前処理ルール342の詳細を示した図である。
前処理ルール342は、前処理ルールID列401と、前処理ルール詳細列402と、監視範囲列403と、優先度列404と、速報度列405の5列からなる表で管理する。
前処理ルールID列401は、各前処理ルール411〜441をあらわす一意な番号である。
前処理ルール詳細列402は、各前処理ルール411〜441の具体的な内容を表している。
監視範囲列403は、各前処理ルール411〜441で監視する範囲を表している。本実施例ではOSI参照モデルのレイヤで監視範囲を表している。
優先度列404は、監視したトラフィックが各前処理ルール411〜441にヒットしたことを監視集計処理装置101に報告する際の優先度を表す。優先度404の値が小さい程、優先度が高いことを示す。優先度の詳細は後に記す。
速報度列405は、監視したトラフィックが各前処理ルール411〜441にヒットしたことを監視集計処理装置101に報告する際の速報度を表す。速報度405の値が小さい程、速報度が高いことを示す。速報度の詳細は後に記す。
【００３２】
図５は、本実施例における監視対象ルール352の詳細を示した図である。
監視対象ルール352は、監視対象ルールID列501と、監視対象ルール詳細列502と、監視対象範囲列503の3列からなる表で管理する。
監視対象ルールID列501は、各監視対象ルール511〜531を表す一意な番号である。
監視対象ルール詳細列502は、各監視対象ルール511〜531の具体的な内容を表している。本実施例ではIPアドレスもしくはIPアドレスの範囲で監視対象を示しており、監視対象とする機能164もしくはVM 163のIPアドレスもしくはIPアドレスの範囲が設定されている。他にもMPLSのラベルによって監視する経路を監視対象として設定してもよい。
監視対象範囲列503は、各監視対象ルール511〜531で監視する範囲を表している。本実施例ではOSI参照モデルのレイヤで監視範囲を表している。
【００３３】
図６は、本実施例における監視前処理装置102の前処理ルール監視プロセス321による一次監視の詳細を示した図である。なお、図６に示す処理は、図２で説明したステップ202〜ステップ204に対応する。ここでは、監視前処理装置102による一次監視の詳細を説明するが、他の監視前処理装置103〜106も同様に一次監視を行う。
【００３４】
監視前処理装置102は、監視を開始すると（ステップ601）、他事業者網からＧＷ192を介してIPパケットが受信するのを待つ（ステップ602）。
【００３５】
続いて監視前処理装置102は、受信したパケットが前処理ルール342にヒットするか判断する（ステップ603）。具体的には、例えば前処理ルール411の場合は受信したパケットがある装置宛てのpingパケットであるかどうかを判断する（宛先IPアドレスの内容は問わない）。また、前処理ルール421の場合は受信したパケットの送信元IPアドレスが「192.0.2.10」であるかどうかを判断する（宛先IPアドレスの内容は問わない）。なお前処理ルール431のように監視対象トラフィックが複数パケットにまたがる場合、つまり複数のパケットをチェックした結果で前処理ルールにヒットするか判断する場合もあるが、ステップ603では例えばスライディングウインドウのような仕組みを用いて時系列に複数のパケットを集めてヒット判定する。前処理ルール342のいずれにもヒットしていなければステップ602に戻る。
【００３６】
なお、前処理ルール342の前処理ルール詳細402に記載されている「ある装置」とは、ある特定の物理装置に限定するものではなく、VM 163や機能164であってもよい。これは、後述する集計処理ルール842の集計処理詳細902においても同様である。
【００３７】
ステップ603においていずれかの前処理ルール342にヒットした場合、続いて監視前処理装置102は監視対象ルール352にヒットするか判断する（ステップ604）。本実施例では、受信したパケットや監視対象トラフィックの宛先IPアドレスが監視対象ルール352の監視対象ルール詳細列502に記載されたIPアドレスの範囲に含まれており、かつ (AND条件) ステップ603でヒットした前処理ルール342の監視範囲列403に記載されたOSI参照モデルのレイヤが監視対象ルール352の監視対象範囲列503に含まれている場合にヒットしたとみなす。他にも監視対象ルール352の監視対象ルール詳細列502がMPLSのラベルで監視する経路を示している場合には、ここでも受信パケットや監視対象トラフィックのラベルを用いてヒット判定を行う。監視対象ルール352のいずれにもヒットしていなければステップ602に戻る。
【００３８】
ステップ604においていずれかの監視対象ルール352にヒットした場合、続いて監視前処理装置102は優先度と速報度の高いものから監視集計処理装置101に報告する（ステップ605）。この報告は、監視前処理装置102が監視集計処理装置101に対して報告メッセージを送信する形で行われるが、この報告メッセージには、ステップ603においてヒットした前処理ルール342の内容、ステップ604においてヒットした監視対象ルールの内容、受信したパケットのヘッダ情報（宛先IPアドレス、送信元IPアドレス等）やパケットの受信時刻を示すタイムスタンプ等、監視集計処理装置101が後述する集計処理ルールのヒット判定やその後の対処に必要な情報を含んでいる。
【００３９】
図７は、本実施例における優先度と速報度に基づく報告メッセージの送信処理（ステップ605）を説明する図である。ここでは優先度別に複数のキューを用意し、優先度と速報度を制御する。
【００４０】
処理開始（ステップ701）後、監視前処理装置102は、ヒットした前処理ルール342の優先度列404の値に基づきキューを選択し報告メッセージをエンキューする（ステップ702）。もっとも単純かつ優先度制御が正確な実装は1つの優先度に対して1本ずつキューを用いることだが、隣接する複数の優先度でキューを共有するなど、他の実装方式も考えられる。
【００４１】
続いて監視前処理装置102は、ステップ702でエンキューしたキューの中で報告メッセージを速報度列405の値の順にソート（速報度が高い報告メッセージが先にデキューされるようにソート）し（ステップ703）、処理を終える（ステップ704）。
【００４２】
その後、監視前処理装置102は定期的にキューから一定量の報告メッセージを監視集計処理装置101へ送信する。このとき、優先度の高い (本実施例では値の小さい) キューの先頭から順に報告メッセージをデキューし、送信する。
【００４３】
図８は、本実施例における監視集計処理装置101の構成図である。
【００４４】
監視集計処理装置101はCPU 801と、主記憶802と、二次記憶803と1つのネットワークインターフェース804を備える。
【００４５】
CPU 801は集計処理ルール監視プロセス821を実行することにより、図２のステップ205に相当する処理を行う。なお、CPU801を単に制御部とも呼ぶ。
【００４６】
主記憶802上には監視集計処理装置101の動作中に集計処理ルール監視プロセス821を展開する。
【００４７】
二次記憶803上には集計処理ルール監視プログラム831と、集計処理ルール蓄積データベース832を保存する。
【００４８】
集計処理ルール監視プログラム831は監視集計処理装置101の起動時に、主記憶802上に集計処理ルール監視プロセス821として展開される。
【００４９】
集計処理ルール蓄積データベース832には集計処理ルール842を保存する。集計処理ルール842の詳細は後に記す。
【００５０】
図９は、本実施例における集計処理ルール842の詳細を示した図である。
集計処理ルール842は、集計処理ルールID列901と、集計処理詳細列902と、対処方法列903の3列からなる表で管理する。
集計処理ルールID列901は、各集計処理ルール911〜941を表す一意な番号である。
集計処理詳細列902は、各集計処理ルール911〜941の具体的な内容を表している。
対処方法列903は、各ルール集計処理911〜941にヒットした際に監視集計処理装置101が取るべき対処方法を表している。
【００５１】
図１０は、監視集計処理装置101の集計処理ルール監視プロセス821による二次監視の詳細を示した図である。なお、図１０に示す処理は、図２で説明したステップ205に対応する。
【００５２】
監視集計処理装置101は、監視を開始すると（ステップ1001）、監視前処理装置102〜106から報告メッセージを受信するのを待つ（ステップ1002）。
【００５３】
続いて監視集計処理装置101は、受信した報告メッセージが集計処理ルール842にヒットするか判断する（ステップ1003）。例えば、集計処理ルール911の場合は、複数の報告メッセージを集計し、ある特定の装置宛て（ある特定のIPアドレス宛て）のpingパケットを1秒間に1000回以上受信しているかどうかを判断する。また、集計処理ルール921の場合は、複数の報告メッセージを集計し、送信元IPアドレスが「192.0.2.10」であるパケットを1秒間に100回以上受信しているかどうかを判断する。このように複数の報告メッセージを集めないと集計処理ルールにヒットするかどうか判断できない場合もあるため、ステップ1003では例えばスライディングウインドウのような仕組みを用いて時系列に複数の報告メッセージを集めてヒット判定する。集計処理ルール842のいずれにもヒットしていなければステップ1002に戻る。
【００５４】
ステップ1003においていずれかの集計処理ルールにヒットした場合、続いて監視集計処理装置1001は集計処理ルール842の対処方法列903に記載された対処方法に従い汎用サーバ内蔵通信装置108〜109のL3SW 161の設定を変更し（ステップ1004）、処理を終える（ステップ1005）。ステップ1004において、例えば集計処理ルール911にヒットした場合の対処方法として、監視集計処理装置1001は、集計処理ルール911にヒットする原因となったpingパケットを送信した送信装置のIPアドレス（pingパケットの送信元IPアドレス）を報告メッセージから特定し、当該送信装置のIPアドレスからのIPパケットを全て廃棄するように、汎用サーバ内蔵通信装置108〜109のL3SW 161に設定する。また、集計処理ルール921にヒットした場合の対処方法として、監視集計処理装置1001は、送信元IPアドレスが「192.0.2.10」であるIPパケットを全て廃棄するように、汎用サーバ内蔵通信装置108〜109のL3SW 161に設定する。
【００５５】
このように、本実施例において開示された方法、装置及びシステムを用いることで、トラフィックの監視を監視前処理装置による一次監視と、監視集計処理装置による二次監視に分割することで、通信事業者網の包括的な監視を実現する。また、一式の監視システムにより複数の汎用サーバ内蔵通信装置を監視することが可能であり、スケールメリットがある。さらに一次監視において監視対象ルールによる絞り込みを行い、それを優先度と速報度を用いて重要なものから選択的に二次監視に回すことで、突発的な高負荷に対する耐性を高める事が可能となっている。一般に通信事業者網においては網内の汎用サーバ内蔵通信装置を通ることなく他事業者網に抜けていくような通信も扱う。そのため一次監視において監視対象ルールによる絞り込みを行う効果は大きい。
【実施例２】
【００５６】
本実施例では実施例１の方法、装置、およびシステムを元に、さらに仮想サーバの運用において頻繁に用いられるマイグレーションなど特殊な運用方法への対応を改善した方法、装置およびシステムを開示する。
【００５７】
図１１は、実施例２における監視システムの全体構成を示す図である。本実施例では実施例１における監視システムの全体構成（図１）に対して、汎用サーバ管理装置1107を追加した構成を用いる。
【００５８】
汎用サーバ管理装置1107は監視集計処理装置101および全ての汎用サーバ内蔵通信装置108〜109と接続する。また、汎用サーバ管理装置1107は全ての汎用サーバ162のVM 163および機能164の構成を把握しているものとする。これは、一般的な仮想サーバ管理システムが持っている機能である。
【００５９】
本実施例では、図１０のステップ1004において汎用サーバ内蔵通信装置108〜109のL3SW 161の設定を変える際に、全ての汎用サーバ内蔵通信装置のL3SW 161の設定を変えるのではなく、二次監視にヒットした機能164もしくはVM 163を含む汎用サーバ内蔵通信装置のL3SW 161の設定だけを変更する。さらに、機能164もしくはVM 163がマイグレーションなどの特殊な運用によって他の汎用サーバ内蔵通信装置に移動した場合には、それに追随して汎用サーバ内蔵通信装置のL3SW 161の設定を変更する。
【００６０】
図１２は、実施例２における汎用サーバ管理装置1107が管理する監視対象−汎用サーバ内蔵通信装置対応表1201の詳細を示した図である。
【００６１】
監視対象−汎用サーバ内蔵通信装置対応表1201は、監視装置列1211と、汎用サーバ内蔵通信装置列1212の2列からなる表で管理する。
【００６２】
監視装置列1211は、監視対象ルール352の監視対象ルール詳細列502と同じく、監視対象の機能164もしくはVM 163を指すIPアドレスもしくはIPアドレスの範囲である。他にもMPLSのラベルによって監視する経路を監視対象として設定してもよい。
【００６３】
汎用サーバ内蔵通信装置列1212は、監視装置列1211が指す機能164もしくはVM 163が動作している汎用サーバ通信装置を示している。
【００６４】
図１３は、実施例２における監視集計処理装置101の集計処理ルール監視プロセス821による二次監視の詳細を示した図である。実施例２の二次監視は実施例１の図１０と比べ、ステップ1004の代わりにステップ1301およびステップ1302を実行するため、その差分のみ説明する。
【００６５】
ステップ1003においていずれかの集計処理ルールにヒットした場合、続いて監視集計処理装置101は汎用サーバ管理装置1107に制御対象の汎用サーバ内蔵通信装置を問い合わせる（ステップ1301）。このとき、汎用サーバ管理装置1107は監視対象−汎用サーバ内蔵通信装置対応表1201を用いて対応する汎用サーバ内蔵通信装置を返す。具体的には、例えばステップ1003において集計処理ルール911にヒットしていた場合、監視集計処理装置101は、pingパケットの宛先となっていたVM 163や機能164が動作している汎用サーバ内蔵通信装置を特定するために、pingパケットの宛先IPアドレスを利用して汎用サーバ管理装置1107に問い合わせる。汎用サーバ管理装置1107は、監視集計処理装置101から問い合わせされたIPアドレスを用いて監視対象−汎用サーバ内蔵通信装置対応表1201を検索し、対応する汎用サーバ内蔵通信装置を応答する。このようにして、監視集計処理装置101は、制御対象とする汎用サーバ内蔵通信装置を特定する。
【００６６】
続いて監視集計処理装置101は、ステップ1301で入手した汎用サーバ内蔵通信装置に対してのみ、集計処理ルール842の対処方法列903に記載された対処方法に従いL3SW 161の設定を変更し（ステップ1302）、処理を終える（ステップ1005）。なお、ステップ1302において、L3SW 161の設定変更する際、どの監視装置1211のための設定であるかをL3SW 161の設定内容に含めておく。
【００６７】
図１４は、仮想マシン163のマイグレーションなどの影響で監視対象−汎用サーバ内蔵通信装置対応表1201に変更が及んだ際の処理を示すフローチャートである。
【００６８】
ここでは汎用サーバ管理装置1107が監視対象−汎用サーバ内蔵通信装置対応表1201に変更が及んだことを検出したことをトリガに処理を開始する。変更の検出方法には、例えば汎用サーバ管理装置1107が汎用サーバ内蔵通信装置108〜109を監視していたり、例えば汎用サーバ内蔵通信装置108〜109を管理する装置や管理者が汎用サーバ管理装置1107に変更を伝えたりといった方法がある。
【００６９】
処理開始（ステップ1401）後、汎用サーバ管理装置1107は、変更があった監視装置と汎用サーバ内蔵通信装置のペアを監視集計処理装置101に送る（ステップ1402）。
【００７０】
続いて監視集計処理装置101は、全ての汎用サーバ内蔵通信装置108〜109のL3SW 161から現在の設定内容を取得する（ステップ1403）。
【００７１】
続いて監視集計処理装置101、は変更が必要な設定を抽出する（ステップ1404）。図１３のステップ1302により、L3SW 161の各設定にはどの監視装置1211のための設定であるかを示す情報が含まれているため、ペアに変更があった監視装置1211に関する設定を抽出することができる。
【００７２】
続いて監視集計処理装置101は設定変更が必要な汎用サーバ内蔵通信装置のL3SW 161を設定変更し（ステップ1405）、処理を終える（ステップ1406）。例えばある監視装置1211がマイグレーションにより汎用サーバ内蔵通信装置108から汎用サーバ内蔵通信装置109に移動した場合（監視装置1211に対応する汎用サーバ内蔵通信装置が108から109に変更された場合）、汎用サーバ内蔵通信装置108のL3SW 161からは監視装置1211のための設定を削除し、汎用サーバ内蔵通信装置109のL3SW 161には監視装置1211のための設定を追加する。
【００７３】
本実施例によれば、仮想マシンのマイグレーションなど特殊な運用に追従してL3SW 161の設定内容を変更するため、L3SW 161が保持するフィルタリングや帯域制御等に関する設定内容が少なくなり、メモリ量の削減および処理負荷の低減を実現することが可能となる。
【符号の説明】
【００７４】
101：監視集計処理装置、102〜106：監視前処理装置、108〜109：汎用サーバ内蔵通信装置、161：L3SW（ルータ）、162：汎用サーバ（Host）、163：仮想マシン（VM）、164：ソフトウエア部品（機能、Function）、301：CPU、302：主記憶、303：二次記憶、304〜306：NIF、321：前処理ルール監視プロセス、331：前処理ルール監視プログラム、332：前処理ルール蓄積データベース、333：監視対象リスト蓄積データベース、342：前処理ルール、352：監視対象ルール、801：CPU、802：主記憶、803：二次記憶、804：NIF、821：集計処理ルール監視プロセス、831：集計処理ルール監視プログラム、832：集計処理ルール蓄積データベース、842：集計処理ルール、1107：汎用サーバ管理装置、1201：監視対象−汎用サーバ内蔵通信装置対応表
【図１】
2016100799.tif 000003
【図２】
2016100799.tif 000004
【図３】
2016100799.tif 000005
【図４】
2016100799.tif 000006
【図５】
2016100799.tif 000007
【図６】
2016100799.tif 000008
【図７】
2016100799.tif 000009
【図８】
2016100799.tif 000010
【図９】
2016100799.tif 000011
【図１０】
2016100799.tif 000012
【図１１】
2016100799.tif 000013
【図１２】
2016100799.tif 000014
【図１３】
2016100799.tif 000015
【図１４】
2016100799.tif 000016