(57)【特許請求の範囲】
【請求項１】
少なくとも２方向のトラヒックに関して調べられるように、入力されたトラヒックからトラヒックの特徴的な情報を取得する、少なくとも２方向のトラヒック情報計測手段と、
取得した異なる方向のトラヒックの特徴情報の相関度を求め、それが設定された閾値を上回るか否かを判定する相関度計算・閾値判定手段とを有し、
上記相関度計算・閾値判定手段の判定結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力する
ことを特徴とするオーバレイトラヒック検出システム。
【請求項２】
少なくとも２方向のトラヒックに関して調べられるように、入力されたトラヒックからトラヒックの特徴的な情報を取得する、少なくとも２方向のトラヒック情報計測手段と、
上記トラヒック情報計測手段から取得したトラヒックの特徴的な情報を、このトラヒックに含まれるパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、ポート番号等の特定の識別情報ごとに分別して蓄積するプロファイル作成手段と、
上記プロファイル作成手段で取得した異なる方向の特定の識別情報ごとに分離されたトラヒックの特徴的な情報の相関度を求め、それが設定された閾値を上回るか否かを判定する相関度計算・閾値判定手段とを有し、
上記相関度計算・閾値判定手段の判定結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力することを特徴とするオーバレイトラヒック検出システム。
【請求項３】
トラヒックの特徴的な情報とトラヒックを識別する情報を併せてプロファイルとし、
上記相関度計算・閾値判定手段は、比較する一方のプロファイルをトラヒックを特定するために用い、他方のプロファイルを相関度を求めるために用いることを特徴とする請求項２に記載のオーバレイトラヒック検出システム。
【請求項４】
上記プロファイル作成手段によって蓄積された情報のうち、トラヒックを識別する情報として、宛先及び又は送信元のＩＰアドレス情報を用い、特徴的な情報として同一パケット長の出現順序又は頻度を、相関度を求める指標として用いていることを特徴とする請求項２又は３に記載のオーバレイトラヒック検出システム。
【請求項５】
第１の上記トラヒック情報計測手段は、外部のネットワークから自ネットワークへの接続インタフェース間に設置され、第２の上記トラヒック情報計測手段は、自ネットワークから外部のネットワークへの接続インタフェース間に設置され、上記プロファイル作成手段として、第１及び第２の上記トラヒック情報計測手段に対応したものが設けられ、上記プロファイル相関度計算・閾値判定手段は、これらのプロファイル作成手段が作成したものを処理することを特徴とする請求項２〜４のいずれかに記載のオーバレイトラヒック検出システム。
【請求項６】
２方向の上記トラヒック情報計測手段は、自ネットワークと加入者端末との上り下り双方向のインタフェースにそれぞれ設けられていることを特徴とする請求項１〜４のいずれかに記載のオーバレイトラヒック検出システム。
【請求項７】
入力されたある方向のトラヒックに対して識別子を付与して出力し、又は、識別子となり得るものを認識した後、出力する識別子付与・認識手段と、
入力された他の方向のトラヒックについて、上記識別子付与・認識手段によって付与又は認識された識別子を有するものがあるかを検出する識別子検出手段とを有し、
上記識別子検出手段の検出結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力する
ことを特徴とするオーバレイトラヒック検出システム。
【請求項８】
上記識別子付与・認識手段が識別子を付与するものであり、
入力された他の方向のトラヒックにおいて、識別子が付与されたものが存在した場合には識別子を外して出力させる識別子取外し手段をさらに有する
ことを特徴とする請求項７に記載のオーバレイトラヒック検出システム。
【請求項９】
上記識別子付与・認識手段は、外部のネットワークから自ネットワークへの接続インタフェース間に設置され、上記識別子検出手段は、自ネットワークから外部のネットワークへの接続インタフェース間に設置されていることを特徴とする請求項７又は８に記載のオーバレイトラヒック検出システム。
【請求項１０】
上記識別子付与・認識手段は、自ネットワークから加入者端末への下り方向のインタフェースに設けられ、上記識別子検出手段は、加入者端末から自ネットワークへの上り方向のインタフェースに設けられていることを特徴とする請求項７又は８に記載のオーバレイトラヒック検出システム。
【請求項１１】
入力されたある方向のトラヒックに対して、指定期間だけ選択的に指定された遅延時間を付与し、指定期間外では遅延なく出力させる遅延付与手段と、
入力された他の方向のトラヒックについて、その到着時刻を計測する到着時刻計測手段と、
上記遅延付与手段で付与した遅延時間と、上記到着時刻計測手段で計測された到着時刻間隔との対応関係を確認し、遅延時間を付与したトラヒックが上記到着時刻計測手段に入力されたかを判別する遅延付与トラヒック検出手段とを有し、
上記遅延付与トラヒック検出手段の検出結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力する
ことを特徴とするオーバレイトラヒック検出システム。
【請求項１２】
入力された他の方向のトラヒックにおいて、遅延付与されたものが存在した場合には、トラヒックの送信間隔を調整する送信間隔調整手段をさらに有することを特徴とする請求項１１に記載のオーバレイトラヒック検出システム。
【請求項１３】
上記遅延付与手段は、外部のネットワークから自ネットワークへの接続インタフェース間に設置され、上記到着時刻計測手段及び上記遅延付与トラヒック検出手段は、自ネットワークから外部のネットワークへの接続インタフェース間に設置されていることを特徴とする請求項１１又は１２に記載のオーバレイトラヒック検出システム。
【請求項１４】
上記遅延付与手段は、自ネットワークから加入者端末への下り方向のインタフェースに設けられ、上記到着時刻計測手段及び上記遅延付与トラヒック検出手段は、加入者端末から自ネットワークへの上り方向のインタフェースに設けられていることを特徴とする請求項１１又は１２に記載のオーバレイトラヒック検出システム。
【請求項１５】
入力されたある方向のトラヒックに対して、指定期間だけ選択的に破棄するトラヒック破棄手段と、
入力された他の方向のトラヒックを観測するトラヒック観測手段と、
上記トラヒック破棄手段が選択的に破棄したトラヒックと、上記トラヒック観測手段が観測したトラヒックの出現状況の変化から、上記トラヒック観測手段が観測したトラヒックが、破棄したトラヒックと同一のトラヒックに係るものかを検出する破棄トラヒック検出手段とを有し、
上記破棄トラヒック検出手段の検出結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力する  ことを特徴とするオーバレイトラヒック検出システム。
【請求項１６】
上記トラヒック破棄手段は、外部のネットワークから自ネットワークへの接続インタフェース間に設置され、上記トラヒック観測手段及び上記破棄トラヒック検出手段は、自ネットワークから外部のネットワークへの接続インタフェース間に設置されていることを特徴とする請求項１５に記載のオーバレイトラヒック検出システム。
【請求項１７】
上記トラヒック破棄手段は、自ネットワークから加入者端末への下り方向のインタフェースに設けられ、上記トラヒック観測手段及び上記破棄トラヒック検出手段は、加入者端末から自ネットワークへの上り方向のインタフェースに設けられていることを特徴とする請求項１５に記載のオーバレイトラヒック検出システム。
【請求項１８】
入力されたある方向のトラヒックに対して、指定期間だけ選択的に破棄するトラヒック破棄手段と、
入力された他の方向のトラヒックを観測するトラヒック観測手段と、
上記トラヒック破棄手段が選択的に破棄したトラヒックと、上記トラヒック観測手段が観測したトラヒックの出現状況の変化から、選択的に廃棄したトラヒックに対する再送要求のトラヒック、あるいは、再送トラヒックが、他方向においても観測されたことにより、破棄したトラヒックと同一のトラヒックに係るものかを検出する破棄トラヒック検出手段とを有し、
上記破棄トラヒック検出手段の検出結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力する
ことを特徴とするオーバレイトラヒック検出システム。
【請求項１９】
請求項１〜１８のいずれかに記載のオーバレイトラヒック検出システムと、
ルータに関連して設置されている、特定トラヒックを選択的に除外処理するフィルタリング手段と、
上記オーバレイトラヒック検出システムがオーバレイトラヒックとして検出したトラヒックに対し、上記フィルタリング手段が除外処理するように制御する制御手段と
を有することを特徴とするトラヒック監視・制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はオーバレイトラヒック検出システム及びトラヒック監視・制御システムに関し、例えば、オーバレイ網やピアツーピア（Ｐ２Ｐ；Ｐｅｅｒ−ｔｏ−Ｐｅｅｒ）網でのトラヒックの監視や制御に適用し得るものである。
【背景技術】
【０００２】
近年、オーバレイイ網、あるいは、Ｐ２Ｐ網と呼ばれる通信技術が盛んに研究開発され、実際に適用されつつある。特許文献１に開示されている技術もその１つである。
【０００３】
オーバレイ網は、ある網の機能を伝送路としてその上位に構築される網であり、下位の網と別のルーティング機能を持つ網を意味する。また、Ｐ２Ｐは、各コンピュータが、対等な関係を有する接続関係を持つことを意味する。Ｐ２Ｐ網では、各ＰＣ（パーソナルコンピュータ）は、あるときは端末として、あるときは中継用のノードとなり、全く同等の機能を果たす。そのため、インターネット上で広域に実現されるＰ２Ｐ網は、オーバレイ網の形態をとる場合が多い。
【０００４】
図２は、オーバレイ網の一例の物理的な接続状態を示しており、図３は、そのオーバレイ網の論理的な接続状態を示している。
【０００５】
なお、図２及び図３において、ＩＳＰはインターネットサービスプロバイダ（Ｉｎｔｅｒｎｅｔ−Ｓｅｒｖｉｃｅ−Ｐｒｏｖｉｄｅｒ）若しくはその提供している網を表し、Ｒはルータを表し、ＩＸはインターネット接続点（Ｉｎｔｅｒｎｅｔ−ｅＸｃｈａｎｇｅ）を表し、ＰＣはパーソナルコンピュータ（や大型ホストコンピュータ）等の端末を表し、ＳＷはスイッチを表している。図２及び図３に示す例では、ＩＸと直接接続しているＩＳＰ１〜ＩＳＰ３は１次プロバイダと呼ばれ、ＩＸとは直接接続せず、直接接続する１次プロバイダと接続するＩＳＰ４〜ＩＳＰ６は２次プロバイダと呼ばれている。２次プロバイダＩＳＰ４及びＩＳＰ５、並びに、ＩＳＰ４及びＩＳＰ６は、ピアリング接続からのトラヒックを上流へ流したり上流からのトラヒック他のＩＳＰ網に流したりできないようにルータの経路を設定するなどの協定を伴った、ピアリングという相互接続を行っている。
【０００６】
図２に示す例では、ＰＣ１１、ＰＣ４１及びＰＣ５１が端末の機能と転送ノードの機能を持ち、オーバレイ網を構築している。構築されたオーバレイ網は、論理的には、図３に示すようなトポロジーとなる。
【０００７】
このオーバレイ網でのルーティングは、オーバレイのルーティングポリシに従うため、その下のＩＳＰ網でのルーティングに左右されない。例えば、ＰＣ４１がファイルサーバ１１にアクセスする際、ファイルサーバ１１→ＰＣ１１→ＰＣ５１→ＰＣ４１の経路での転送も可能である。一般的には、ＩＳＰのルーティングポリシ（ピアリングの協定）によって、ファイルサーバ１１→ＩＳＰ１→ＩＳＰ３→ＩＳＰ５→ＩＳＰ４→ＰＣ４１という転送はできないようになっている。しかし、ＩＳＰ１→ＩＳＰ３→ＩＳＰ５→ＰＣ５１というファイル転送と、ＰＣ５１→ＩＳＰ５→ＩＳＰ４→ＰＣ４１というファイル転送は可能なため、各ＰＣが共謀してＰＣ５１が中継ノードの役割をＩＳＰから隠れてこっそり行えば、ファイルサーバ１１→ＰＣ５１→ＰＣ４１という転送が可能になる。
【０００８】
オーバレイ網の課題が発生する前提条件を示すと、以下の通りである。
【０００９】
（１）ＩＳＰ４は、支出削減を重視し、Ｒ３３−Ｒ４１間の回線をとても細いもので運用するポリシで事業を行っている。
【００１０】
（２）ＩＳＰ５は、収入増大を重視し、ユーザ獲得のため、サービス品質を重視して、Ｒ３４−Ｒ５１間に太い回線を用いるポリシで事業を行っている。
【００１１】
このような前提条件において、上述したように、ＰＣ４１、ＰＣ５１及びＰＣ１１（のユーザ）がオーバレイ網を構築していたとすると、ＰＣ４１は、オーバレイ網を用いて、ＰＣ５１経由でファイルサーバ１１とアクセスし、快適な環境を得る。また、Ｒ６１−Ｒ３２の回線が細く、Ｒ６１−Ｒ４２が太い場合、ＰＣ５１のユーザがＷＥＢサーバ６１にアクセスする際、通常のＩＳＰ３経由ではなく、Ｒ６１−Ｒ４２−ＰＣ４１−Ｒ４２−Ｒ４３というＩＳＰ４経由で接続できて快適になれるので、ＰＣ５１とＰＣ４１は互いに利益がある。以上のように、オーバレイ網の加入者は『協力して賢く快適な環境』を得ることも可能である。
【００１２】
しかし、ＩＳＰ５は、自分の加入者のサービス品質向上のために、多額の支出をしてＲ３４−Ｒ５１間に太い回線を設定したのに、他のＩＳＰの加入者が多くの帯域を使ってしまい、自分の加入者の利用に悪影響を与えるおそれがある。つまり、大きな支出をした分、競争力を失ったが、顧客満足度が余り向上せず、ユーザ数の獲得重視という目的が果たせない事態が発生する。
【００１３】
そこで、ＩＳＰは、自網内を流れるオーバレイ網のトラヒックがどの程度であるかを把握し、そのトラヒックを制御したいと言う欲求がある。しかし、現在のところ、充分な対応手段は存在しない。以降、オーバレイ網のトラヒックをオーバレイトラヒックと呼び、その課題を考える。このような状況と課題は、しばしば、ネットワークのただ乗り問題と呼ばれている（非特許文献１参照）。
【００１４】
これらの課題に対する対策の従来技術として、特許文献２〜５に記載されたものがある。
【００１５】
特許文献２の記載技術は、ヘッダのアドレス情報の解析によってＰ２Ｐトラヒックを分離する手法を示し（請求項１）、アドレス情報取得のため、Ｐ２Ｐサービスに参加する方法を示し（請求項２）、アドレス情報が一致したトラヒックを分離する機能を示し（請求項３）、これらの改良方法を示し（請求項４〜７）、当該パケット毎に、タイムスタンプ情報、発信ＩＰアドレス、着信ＩＰアドレス、発信ポート番号、着信ポート番号及びパケットサイズの解析を行い（請求項８）、Ｐ２Ｐトラヒックを判定する手法を示している。
【００１６】
特許文献３の記載技術（請求項１）は、ダミーのＰＣを用いてＰ２Ｐのノード情報を取得し、Ｐ２Ｐトラヒックを把握する方法であり、また、特許文献３は、その改良を加えた技術を示している。
【００１７】
特許文献４は、ユーザアクティビティに関する複数のサンプルを含む網に関連する結合性に関する情報を受信して分析し、網領域間の結合性を数学的に予測する統計的なモデルを構築して、一致するかどうかを判別することでＰ２Ｐ網を判定する方法、及び、その改良方法を示している。また、検出したＰ２Ｐトラヒックを制御することも記載している。
【００１８】
特許文献５の記載技術は、Ｐ２Ｐのメッセージを第３者が自由に検出し、トラヒックを把握するものである。
【特許文献１】特開２００４−２６６７９６
【特許文献２】特開２００４−３４３１８６
【特許文献３】特開２００５−２０２５８９
【特許文献４】特開２００５−２７８１７６
【特許文献５】特表２００６−５０６８７７
【非特許文献１】長谷川、村田他著，”オーバレイルーティングに起因するネットワークただ乗り問題に関する一検討” ，信学技報，Ｖｏｌ．１０６，ｎｏ．４２０，ＩＮ２００６−１３６．ｐｐ．１３３−１３８，２００６年１２月
【発明の開示】
【発明が解決しようとする課題】
【００１９】
しかしながら、特許文献２の記載技術では、（１）自網上でＰ２Ｐ網が展開されていることが既知で、Ｐ２ＰノードとなっているＰＣとそのＩＰアドレスが既知である、（２）Ｐ２Ｐ網への参加が自由にできる等が前提であり、Ｐ２Ｐ網に参加しているＰＣが不明であったり、Ｐ２Ｐ網への参加に認証が必要であってＰ２Ｐトラヒックを特定できなかったりする場合には、適用できないという課題を有する。
【００２０】
特許文献３の記載技術も、上述の（１）及び（２）が前提となっており、特許文献２の記載技術と同様な課題を有する。
【００２１】
特許文献４の記載技術では、『ネットワーク領域間の結合性を数学的に予測する統計的なモデル』の構築が必要となっており、充分な信頼性のおけるモデルをどのように構築するかが課題となっている。
【００２２】
特許文献５の記載技術は、Ｐ２Ｐのメッセージを第３者が自由に検出して取得できることが前提条件となっているため、Ｐ２Ｐのメッセージの検出が困難であったり、メッセージの内容が暗号化され解析不能な場合には、この技術を適用することができない。
【００２３】
そのため、ＩＰアドレスが既知であるなどの制約を設けずに、又は、緩い制約下で、オーバレイ網やＰ２Ｐ網でのオーバレイトラヒックを検出し、制御できるオーバレイトラヒック検出システムやトラヒック監視・制御システムが望まれている。
【課題を解決するための手段】
【００２４】
第１の本発明のオーバレイトラヒック検出システムは、（１）少なくとも２方向のトラヒックに関して調べられるように、入力されたトラヒックからトラヒックの特徴的な情報を取得する、少なくとも２方向のトラヒック情報計測手段と、（２）取得した異なる方向のトラヒックの特徴情報の相関度を求め、それが設定された閾値を上回るか否かを判定する相関度計算・閾値判定手段とを有し、（３）上記相関度計算・閾値判定手段の判定結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力することを特徴とする。
【００２５】
第２の本発明のオーバレイトラヒック検出システムは、（１）少なくとも２方向のトラヒックに関して調べられるように、入力されたトラヒックからトラヒックの特徴的な情報を取得する、少なくとも２方向のトラヒック情報計測手段と、（２）上記トラヒック情報計測手段から取得したトラヒックの特徴的な情報を、このトラヒックに含まれるパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、ポート番号等の特定の識別情報ごとに分別して蓄積するプロファイル作成手段と、（３）上記プロファイル作成手段で取得した異なる方向の特定の識別情報ごとに分離されたトラヒックの特徴的な情報の相関度を求め、それが設定された閾値を上回るか否かを判定する相関度計算・閾値判定手段とを有し、（４）上記相関度計算・閾値判定手段の判定結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力することを特徴とする。
【００２６】
第３の本発明のオーバレイトラヒック検出システムは、（１）入力されたある方向のトラヒックに対して識別子を付与して出力し、又は、識別子となり得るものを認識した後、出力する識別子付与・認識手段と、（２）入力された他の方向のトラヒックについて、上記識別子付与・認識手段によって付与又は認識された識別子を有するものがあるかを検出する識別子検出手段とを有し、（３）上記識別子検出手段の検出結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力することを特徴とする。
【００２７】
第４の本発明のオーバレイトラヒック検出システムは、（１）入力されたある方向のトラヒックに対して、指定期間だけ選択的に指定された遅延時間を付与し、指定期間外では遅延なく出力させる遅延付与手段と、（２）入力された他の方向のトラヒックについて、その到着時刻を計測する到着時刻計測手段と、（３）上記遅延付与手段で付与した遅延時間と、上記到着時刻計測手段で計測された到着時刻間隔との対応関係を確認し、遅延時間を付与したトラヒックが上記到着時刻計測手段に入力されたかを判別する遅延付与トラヒック検出手段とを有し、（４）上記遅延付与トラヒック検出手段の検出結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力することを特徴とする。
【００２８】
第５の本発明のオーバレイトラヒック検出システムは、（１）入力されたある方向のトラヒックに対して、指定期間だけ選択的に破棄するトラヒック破棄手段と、（２）入力された他の方向のトラヒックを観測するトラヒック観測手段と、（３）上記トラヒック破棄手段が選択的に破棄したトラヒックと、上記トラヒック観測手段が観測したトラヒックの出現状況の変化から、上記トラヒック観測手段が観測したトラヒックが、破棄したトラヒックと同一のトラヒックに係るものかを検出する破棄トラヒック検出手段とを有し、（４）上記破棄トラヒック検出手段の検出結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力することを特徴とする。
【００２９】
第６の本発明のオーバレイトラヒック検出システムは、（１）入力されたある方向のトラヒックに対して、指定期間だけ選択的に破棄するトラヒック破棄手段と、（２）入力された他の方向のトラヒックを観測するトラヒック観測手段と、（３）上記トラヒック破棄手段が選択的に破棄したトラヒックと、上記トラヒック観測手段が観測したトラヒックの出現状況の変化から、選択的に廃棄したトラヒックに対する再送要求のトラヒック、あるいは、再送トラヒックが、他方向においても観測されたことにより、破棄したトラヒックと同一のトラヒックに係るものかを検出する破棄トラヒック検出手段とを有し、（４）上記破棄トラヒック検出手段の検出結果を、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するオーバレイトラヒックが存在するか否かを表しているものとして出力することを特徴とする。
【００３０】
第７の本発明のトラヒック監視・制御システムは、（１）第１〜第６の本発明のいずれかのオーバレイトラヒック検出システムと、（２）ルータに関連して設置されている、特定トラヒックを選択的に除外処理するフィルタリング手段と、（３）上記オーバレイトラヒック検出システムがオーバレイトラヒックとして検出したトラヒックに対し、上記フィルタリング手段が除外処理するように制御する制御手段とを有することを特徴とする。
【発明の効果】
【００３１】
本発明によれば、オーバレイ網を構築するノードの宛先や送信元のＩＰアドレスやポートなどが既知でなくても、オーバレイトラヒックを検出し、制御できるオーバレイトラヒック検出システムやトラヒック監視・制御システムを提供できる。
【発明を実施するための最良の形態】
【００３２】
（Ａ）第１の実施形態
以下、本発明によるオーバレイトラヒック検出システムの第１の実施形態を、図面を参照しながら詳述する。
【００３３】
（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態に係るオーバレイトラヒック検出装置の詳細構成を示すブロック図である。図４は、第１の実施形態に係るオーバレイトラヒック検出装置の設置位置の説明図である。
【００３４】
図１及び図４は、上述した図２に示す物理的な接続状態、かつ、図３に示す論理的な接続状態をとるオーバレイ網に対し、第１の実施形態に係るオーバレイトラヒック検出装置を適用した場合を示している。
【００３５】
オーバレイトラヒック検出装置１００（１００−１、１００−２）は、例えば、ルータの内部、又は、ルータの外部に実装されるものである。図４は、オーバレイトラヒック検出装置１００−１が、ＩＳＰ網ＩＳＰ５のルータＲ５１と他のＩＳＰ網ＩＳＰ３との間に設けられ、オーバレイトラヒック検出装置１００−２が、ＩＳＰ網ＩＳＰ５のルータＲ５２と他のＩＳＰ網ＩＳＰ４との間に設けられた例を示している。このように、オーバレイトラヒック検出装置１００は、ＩＳＰ網のルータと他のＩＳＰ網との間に設けられることが好ましい。
【００３６】
なお、オーバレイトラヒック検出装置１００をＩＳＰ網内の回線上に設置することもできるが、観測されたトラヒックが、外部ＩＳＰ網から入力されて外部に転送されるオーバレイ網のものか否かを判別するのに、パケットの宛先ＩＰアドレスとネットワークの経路情報から判断する機能を追加しなければならず、そのため、上記の設置位置が好ましい。また、図４に示すように、外部ＩＳＰ網と自ＩＳＰ網とのインタフェースに設置すると、設置台数が少なくて済む利点を有する。
【００３７】
図１に示す例は、第１のオーバレイトラヒック検出システムが、２個のオーバレイトラヒック検出装置１００−１及び１００−２によって構成されている例である。
【００３８】
各オーバレイトラヒック検出装置１００−１、１００−２はそれぞれ、ミラーリング手段１０１−１、１０１−２、トラヒック情報計測手段１０２−１、１０２−２、トラヒックプロファイル作成手段１０３−１、１０３−２、通信手段１０４−１、１０４−２、及び、プロファイル相関度計算・閾値判定手段１０５−１、１０５−２を有する。
【００３９】
各ミラーリング手段１０１−１、１０１−２は、入力パケット（トラヒック）を通過させる際にコピーし、コピーした入力パケットを対応するトラヒック情報計測手段１０２−１、１０２−２に与えるものである。なお、ミラーリング手段１０１−１、１０１−２は必須ではなく、トラヒック情報計測手段１０２−１、１０２−２に、ルータ又は伝送路からトラヒックが入力されれば良い。トラヒック情報計測手段１０２−１、１０２−２に入力するトラヒックは、全トラヒックでも良いし、サンプリングしたものであっても良い（但し、サンプリングしたトラヒックの場合、検出精度が低下する可能性がある）。
【００４０】
各トラヒック情報計測手段１０２−１、１０２−２は、入力されたトラヒックから、オーバレイトラヒックを判定するのに必要な情報を抽出し、対応するトラヒックプロファイル作成手段１０３−１、１０３−２に出力するものである。判定方法としては、複数の方法があり、判定に必要な情報は判定方法によって異なる。以下では、パケット長を利用して判定する方法について説明する。各トラヒック情報計測手段１０２−１、１０２−２は、入力されたパケットについて、パケット長、パケットの到着時刻、宛先又は送信元ＩＰアドレスを取得する。
【００４１】
各トラヒックプロファイル作成手段１０２−１、１０２−２は、対応するトラヒック情報計測手段１０２−１、１０２−２から与えられた情報に基づいて、トラヒックのプロファイルを作成するものである。プロファイルとしては『トラヒックの特徴的な情報』と『トラヒックを識別する情報』がある。トラヒックを識別する情報としては例えば、宛先、送信元のＩＰアドレスがあり、トラヒックの特徴的な情報としては、例えばパケット長と到着時間間隔を示したものを使用することができる。プロファイル作成手段は、識別する情報別に、特徴的な情報を蓄積する。
【００４２】
各通信手段１０４−１、１０４−２は、他のオーバレイトラヒック検出装置１００−２、１００−１の通信手段１０４−２、１０４−１と通信する機能を有し、例えば、作成したトラヒックプロファイルを授受する。
【００４３】
各プロファイル相関度計算・閾値判定手段１０５−１、１０５−２は、当該オーバレイトラヒック検出装置１００−１、１００−２の各トラヒックプロファイル作成手段１０２−１、１０２−２によって作成されたプロファイルと、他のオーバレイトラヒック検出装置１００−２、１００−１の各トラヒックプロファイル作成手段１０２−２、１０２−１によって作成されたプロファイルと比較し、相関度を計算するものである。各プロファイル相関度計算・閾値判定手段１０５−１、１０５−２は、計算の結果、相関度が閾値以上のトラヒックがあれば、オーバレイトラヒックと判定し、閾値未満であれば違うと判定するものである。
【００４４】
なお、図４では、複数のオーバレイトラヒック検出装置１００−１、１００−２が全て、各手段１０１〜１０５を実装しているものを示したが、通信を利用することにより、他の装置の所定の手段に機能の一部を代行させるようにしても良い。
【００４５】
（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のトラヒック監視・制御システム及びオーバレイトラヒック検出装置の動作を説明する。
【００４６】
第１の実施形態のトラヒック監視・制御システムにおけるオーバレイトラヒック検出装置１００−１、１００−２は同様な動作を行うので、以下では、オーバレイトラヒック検出装置１００−１に着目して動作を説明する。
【００４７】
オーバレイトラヒック検出装置１００−１に入力されたパケット（ＩＰパケット）は、ミラーリング手段１０１−１によってコピーされ、トラヒック情報計測手段１０２−１に与えられる。そして、トラヒック情報計測手段１０２−１によって、入力されたパケットについて、パケット長、パケットの到着時刻、宛先又は送信元ＩＰアドレスが取得され、トラヒックプロファイル作成手段１０３−１によって、取得された情報に基づいて、トラヒックのプロファイルが作成される。
【００４８】
作成されたトラヒックプロファイルは、通信手段１０４−１に与えられ、他のオーバレイトラヒック検出装置１００−２に転送され、また、通信手段１０４−１によって、他のオーバレイトラヒック検出装置１００−２で作成されたトラヒックプロファイルが受信される。
【００４９】
プロファイル相関度計算・閾値判定手段１０５−１には、トラヒックプロファイル作成手段１０３−１によって作成されたトラヒックプロファイルと、通信手段１０４−１が受信した他のオーバレイトラヒック検出装置１００−２で作成されたトラヒックプロファイルとが入力される。そして、プロファイル相関度計算・閥値判定手段１０５−１によって、作成された装置が異なる２種類のトラヒックプロファイルの相関度が識別されたトラヒック毎に計算され、その相関度の大小に応じてオーバレイトラヒックを検出する。トラヒック毎に相関を取らずに、全てをまとめて特徴的な情報だけで相関を取ることもできる。前者の場合、並列的な演算を行うことで処理速度を高速化できる。後者の場合はハードウェアやソフトウェアの構成が簡単になるので、実装が容易になる。
【００５０】
図５は、ＩＳＰ５へ入力されるトラヒック（インバンド（Ｉｎｂｏｕｎｄ）なトラヒック）やＩＳＰ５から出力されるトラヒック（アウトバンド（Ｏｕｔｂｏｕｎｄ）なトラヒック）を示し、図６は、オーバレイトラヒック検出装置１００−１、１００−２で宛先ＩＰアドレスを識別情報と、パケット長を特徴情報としてプロファイリングされたトラヒックを示している。なお、図５及び図６において、黒矩形はオーバレイトラヒックを表し、白矩形はオーバレイトラヒック以外のトラヒックを表している。
【００５１】
オーバレイトラヒックは、他のトラヒックと共にＩＳＰ５を通過する。解決しようとする課題は、ＩＳＰ５を通過するトラヒックの中から、オーバレイトラヒックとそれ以外のトラヒックを分別することである。
【００５２】
第１の実施形態では、オーバレイトラヒックについての以下の仮定（１）、（２）に基づいて、課題を解決しようとしたものである。
【００５３】
（１）オーバレイトラヒックは、外部の第１のＩＳＰより入力され、当該ＩＳＰに接続されるＰＣを経由して、外部の第２のＩＳＰに転送される。
【００５４】
（２）同一の宛先ＩＰアドレスを持つパケットだけを時系列に並べると、外部の第１のＩＳＰより入力されたある第１の宛先ＩＰアドレスに係るトラヒック（オーバレイトラヒック）と、外部の第２のＩＳＰへ転送されるある第２の宛先ＩＰアドレスに係るトラヒック（オーバレイトラヒック）とは、同一のパケット長のパケットが同じ順番で出現する頻度が高い。
【００５５】
そこで、この第１の実施形態では、同一宛先別にトラヒックを分類して、時系列のトラヒックプロファイルを作成し、トラヒックプロファイル間の相関が高いトラヒックがあれば、オーバレイトラヒックと判定することとした。なお、送信元ＩＰアドレスが偽装されていないならば、送信元ＩＰアドレスも使用することができる。
【００５６】
ＩＳＰ３からＰＣ５１のＩＰアドレスに送信されるデータには、オーバレイ網でないトラヒックも含まれる。また、ＰＣ５１で終端されるオーバレイトラヒックもあれば、ＰＣ５１から送り出されるオーバレイトラヒックも存在する。また、パケット損失も発生する。そのため、オーバレイトラヒックだからといって、宛先ＩＰアドレス別に並べたパケットのパケット長が時系列で完全に一致する訳ではない。しかし、比較的類似したパターンを持つことが期待できる。
【００５７】
宛先別のトラヒックプロファイル間の相関度を、相互相関関数を用いて評価し、ある閾値を設け、これを超えるトラヒックの組があれば、オーバレイトラヒックと判定して出力することとした。
【００５８】
上記では、使用するプロファイルとして、パケット長とＩＰアドレスと、パケット到着順序の情報を用いたが、代わりにパケットのポート番号等、別の情報を用いたり、組合せる方法もある。
【００５９】
また、上記では、オーバレイトラヒック検出装置１００−１及び１００−２が互いに情報を交換して、両方で比較作業が行われるため、無駄な計算も行われる。そのような無駄を避けるため、例えば、トラヒックプロファイルを先に受信した装置は、相手に自分が作成したトラヒックプロファイルを送信しない等の手法を取ることで比較の無駄をなくすことができる。
【００６０】
さらに、上記では、ある１つの宛先ＩＰアドレスを持つトラヒックに対して、オーバレイ網の中継トラヒックか否かの判別をしていたが、同時に複数の宛先ＩＰアドレスに対して、オーバレイ網の中継トラヒックか否かの判別をすれば、より高速にオーバレイトラヒックの検出が可能となる。
【００６１】
（Ａ−３）第１の実施形態の効果
第１の実施形態によれば、ＩＳＰ内を流れるオーバレイ網のただ乗りトラヒックを検出することが可能となり、必要に応じて、対策を取ることが可能となる。
【００６２】
（Ａ−４）第１の実施形態の変形実施形態
図７は、第１の実施形態の変形実施形態に係るオーバレイトラヒック検出装置の詳細構成を示すブロック図であり、図８は、図７に示すオーバレイトラヒック検出装置の設置位置の説明図である。
【００６３】
この変形実施形態では、オーバレイトラヒック検出システムは１個のオーバレイトラヒック検出装置１００Ａによって構成されている。
【００６４】
第１の実施形態の変形実施形態に係るオーバレイトラヒック検出装置１００Ａは、ミラーリング手段１０１、トラヒック情報計測手段１０２、トラヒックプロファイル作成手段１０３、及び、プロファイル相関度計算・閾値判定手段１０５を有し、ＩＳＰ網（ＩＳＰ５）のルータ（Ｒ５３）と加入者（ＰＣ５１）との聞に配置されるものである。一般に、加入者数は接続する外部ＩＳＰ数よりも多いので、台数は増えるがオーバレイトラヒック検出装置間で情報を交換する通信機能が不要になると言う利点がある。なお、加入者が協力する場合には、加入者ＰＣの内部に設置するようにしても良い。これは、例えば、加入者のＰＣが、保有者の意図に反してインターネットボット（Ｂｏｔ）にされており、オーバレイ網のノードとして勝手に使用されているのを検知する場合である。
【００６５】
オーバレイトラヒック検出装置１００Ａは、ＰＣ５１へ向かうトラヒックについてトラヒックプロファイルを作成すると共に、ＰＣ５１から出力されたトラヒックについてトラヒックプロファイルを作成し、第１の実施形態と同様な判定処理を実行しようとしたものである。
【００６６】
送信元が送り出したトラヒックのうち、オーバレイ網のトラヒックは、ＰＣで中継されて戻ってくるので、他と通信を行わなくても単体でオーバレイトラヒックを特定することができる。但し、送信元ノードとの通信ではなく、別ノードとの通信であることをＩＰアドレスや入出力エッジノード等から確認する必要がある。勿論、通信機能を持たせ、他のオーバレイトラヒック検出装置と通信して精度を上げることもできる。
【００６７】
（Ｂ）第２の実施形態
次に、本発明によるオーバレイトラヒック検出システムの第２の実施形態を、図面を参照しながら詳述する。
【００６８】
（Ｂ−１）第２の実施形態の構成
図９は、第２の実施形態のオーバレイトラヒック検出装置２００の詳細構成を示すブロック図である。
【００６９】
第２の実施形態のオーバレイトラヒック検出装置２００は、ルータの内部、又は、ルータと加入者のＰＣの間に設置される。なお、加入者が協力する場合には、加入者ＰＣの内部に設置するようにしても良い。図９では、ＩＳＰ網のルータと加入者のＰＣの間に設置された場合を示している（図８参照）。
【００７０】
図９において、第２の実施形態のオーバレイトラヒック検出装置２００は、パケットマーク付与手段２０１、パケットマーク検出手段２０２、パケットマーク取外し手段２０３及び制御手段２０４を有する。制御手段２０４の内部には、マーク／パケット対応情報テーブル２０５が内蔵されている。
【００７１】
パケットマーク付与手段２０１は、ＩＳＰ網のルータからＰＣに向かうパケットに対して、それらのペイロード部分に印（パケットマーク）を付け、パケット長やチェックサム等に問題が生じないようにヘッダ部分を修正した上で送出するものである。送出する際に付与したマークの情報は、制御手段２０４にも与えられる。ここで、パケットへのマーキングは、全パケットに対して行う方法が好ましいが、一部だけに行うようにしても良い（この場合、パケットマーク検出手段では一部だけに付与したものかを順に検索することになる）。また、マークは、上述のようにパケットのペイロード部分につけることができるが、マークを、ＩＰヘッダのオプションフィールドを利用して付与するようにしても良い。また、ＩＰヘッダ情報に既に含まれているフラグメント用のＩＤフィールドの値（フラグメントＩＤ）をそのままパケットマークとして利用することもできる。この場合には、フラグメントＩＤを付与したパケットマークとして記憶しておき、他方の方向のトラヒックの中に、そのフラグメントＩＤを有するものが存在するか否かを監視すれば良い。
【００７２】
上記構成を利用して、あるネットワークに流入したトラヒックが、一旦そのネットワーク外に出た後、同ネットワークに戻ってきて、再度、別のネットワークに出力するトラヒックが存在するか否かと、存在した場合、そのトラヒックを特定して示す機能を有するオーバレイトラヒック検出装置としても良い。
【００７３】
パケットマーク検出手段２０２は、ＰＣからＩＳＰのルータに向かうトラヒックを監視し、ペイロード部分にマークが付いているか否かをチェックするものであり、マークの付いたパケットを検出したときには、そのことをパケットマーク取外し手段２０３及び制御手段２０４に通知するものである。なお、パケットマーク検出手段２０２は、パケットマーク取外し手段２０３には、ＰＣからＩＳＰのルータに向かう全てのトラヒックをそのまま引き渡すものである。
【００７４】
パケットマーク取外し手段２０３は、マークが付いたパケットからマークを取外し、ヘッダ部を修正した上で、ルータ側に送出すると共に、マークが付いていないパケットはそのままルータ側に送出するものである。なお、パケットマーク取外し手段２０３は、オーバレイトラヒックを流すことが、ユーザとＩＳＰとの間で禁止する約束がなされていた場合には、マークが付いたパケットを廃棄するようにしても良い。
【００７５】
制御手段２０４は、パケットマーク付与手段２０１から与えられたマークが付与されたパケットの情報とマークとの関係をマーク／パケット対応情報テーブル２０５に記憶させると共に、パケットマーク検出手段２０２から通知されたマークが付いたパケットの情報を、マーク／パケット対応情報テーブル２０５の記憶内容と照合し、オーバレイトラヒック（オーバレイパケット）を特定し、その情報を管理装置などに出力するものである。
【００７６】
（Ｂ−２）第２の実施形態の動作
次に、第２の実施形態のオーバレイトラヒック検出装置２００の動作を説明する。
【００７７】
ＩＳＰ網のルータからＰＣに向かうパケットに対して、パケットマーク付与手段２０１によって、それらのペイロード部分に印を付け、パケット長やチェックサムに問題が生じないようにヘッダ部分を修正した上で送出する。送出する際に付与するマークは、ＩＰアドレスやポート番号別に複数用意し、それらの対応は、制御手段２０４の内部のマーク／パケット対応方法テーブル２０５に保存する。
【００７８】
次に、オーバレイトラヒック検出装置２００では、ＰＣからＩＳＰのルータに向かうトラヒックを監視し、ペイロード部分にマークが付いているか否かをパケットマーク検出手段２０２でチェックする。マークの付いたパケットが検出されれば、ＰＣはオーバレイ網の中継処理を行っていると推定される。このマークの付いたパケットから、パケットマーク取外し手段２０３でマークを外し、ヘッダ部を修正した上で、ルータに送出する。
【００７９】
パケットマーク検出手段２０２でマークの付いたパケットが検出されれば、制御手段２０４によって、マーク／パケット対応情報テーブル２０５の記憶内容と照合され、オーバレイトラヒックが特定される。
【００８０】
なお、マークをつけたパケットが、ＰＣで終端された場合、受信データにエラーが生じる可能性があるので、第２の実施形態によるオーバレイトラヒックの検出手法を長時間連続で使用するのは控えることが望ましい。
【００８１】
ここで、第２の実施形態のパケットマーク付与手段２０１を、外部のＩＳＰから自ＩＳＰへのインバウンド回線に接続し、マークパケット検出手段２０２とパケットマーク取外し手段２０３を自ＩＳＰから外部ＩＳＰへのアウトバウンド回線に接続し、両者間で情報を交換する構成として（図４参照）、同じ機能を実現するようにしても良い。
【００８２】
（Ｂ−３）第２の実施形態の効果
第２の実施形態によれば、第１の実施形態の効果に加え、パケット長が同じ長さのパケットが多く流れる場合であっても、オーバレイネットワークのトラヒックを検出することができるという効果を奏する。
【００８３】
第１の実施形態の検出方法は、パケット長の情報に基づいてオーバレイ網のパケットを検出する方法であった。しかし、この方法では、同一パケット長のトラヒックが多い網の場合、オーバレイトラヒックでないものをオーバレイトラヒックと誤認識する確率が高まる可能性がある。第２の実施形態によれば、パケット長を検出に利用していないので、パケット長が同じ長さのパケットが多く流れる網であっても、オーバレイネットワークのトラヒックを検出することができる
（Ｃ）第３の実施形態
次に、本発明によるオーバレイトラヒック検出システムの第３の実施形態を、図面を参照しながら詳述する。
【００８４】
（Ｃ−１）第３の実施形態の構成
図１０は、第３の実施形態のオーバレイトラヒック検出装置３００の詳細構成を示すブロック図である。
【００８５】
第３の実施形態のオーバレイトラヒック検出装置３００は、ルータの内部、又は、ルータと加入者のＰＣの間に設置される。なお、加入者が協力する場合には、加入者ＰＣの内部に設置するようにしても良い。図１０では、ＩＳＰ網のルータと加入者のＰＣの間に設置された場合を示している（図８参照）。
【００８６】
図１０において、第３の実施形態のオーバレイトラヒック検出装置３００は、パケット遅延付与手段３０１、ミラーリング手段３０２、パケット到着時刻計測手段３０３、パケット送信間隔調整手段３０４及び制御手段３０５を有する。
【００８７】
パケット遅延付与手段３０１は、ＩＳＰ網のルータからＰＣに向かうパケットに対して、制御手段３０５が選択的に指定した任意の遅延時間を付与するものである。
【００８８】
ミラーリング手段３０２は、ＰＣからＩＳＰ網のルータに向かうトラヒックをコピーして取り出してパケット到着時刻計測手段３０３に与えると共に、コピー元のトラヒックをパケット送信間隔調整手段３０４に与えるものである。
【００８９】
パケット到着時刻計測手段３０３は、ミラーリング手段３０２から出力されたコピーパケットの到着時間を計測するものである。
【００９０】
パケット送信間隔調整手段３０４は、制御手段３０５の制御下で、ＩＳＰ網のルータに出力するパケットの送信間隔を調整するものである。
【００９１】
制御手段３０５は、パケット遅延付与手段３０１によってＩＳＰ網のルータからＰＣに向かうパケットに対して任意の遅延時間を付与させるものである。なお、制御手段３０５は、パケット遅延付与手段３０１に対して遅延付与させる時間帯と、パケット遅延付与手段３０１に対して遅延付与させない時間帯とを制御する。また、制御手段３０５は、パケット到着時刻計測手段３０３が計測した、遅延付与させる時間帯のパケット到着時刻と、遅延付与させない時間帯のパケット到着時刻とに基づいて、遅延付与させる時間帯と遅延付与させない時間帯とで、到着間隔に差が現れる宛先ＩＰアドレスを検出し、オーバレイトラヒックを認識するものである。なお、制御手段３０５によるオーバレイトラヒックの検出は、仮検出と検証との２段階で実行されるようになされている（検証を省略するようにしても良い）。さらに、制御手段３０５は、オーバレイトラヒックの認識結果に応じて、パケット送信間隔調整手段３０４を制御するものである。
【００９２】
（Ｃ−２）第３の実施形態の動作
次に、第３の実施形態のオーバレイトラヒック検出装置３００の動作を説明する。
【００９３】
ＩＳＰ網のルータからＰＣに向かうパケットに対し、パケット遅延付与手段３０１によって、制御手段３０５が選択的に指定した任意の遅延時間を付与して出力する。
【００９４】
ＰＣからＩＳＰ網のルータに向かうトラヒックは、ミラーリング手段３０２によってコピーされてパケット到着時刻計測手段３０３に与えられると共に、コピー元のトラヒックはパケット送信間隔調整手段３０４に与えられる。ミラーリング手段３０２から出力されたコピーパケットの到着時間は、パケット到着時刻計測手段３０３によって計測され、到着時間の情報が制御手段３０５に与えられる。
【００９５】
後述するように、制御手段３０５によって、遅延付与させる時間帯と遅延付与させない時間帯とで、到着間隔に差が現れる宛先ＩＰアドレスが検出され、オーバレイトラヒックが特定される。
【００９６】
ＩＳＰ網のルータに出力するパケットの送信間隔は、制御手段３０５の制御下で、パケット送信間隔調整手段３０４によって調整される。この操作によって、ルータのポリシング制御で、ユーザパケットがはじかれることを防止する。
【００９７】
図１０では、オーバレイ網のトラヒックが、オーバレイ網のＰＣで転送される際、複数の宛先（黒矩形と白矩形）に分割されて送出される場合を示している。また、複数の前段のオーバレイ網のＰＣから送信されたトラヒックが、ＰＣで中継される際に合成されて、１台の次段のオーバレイ網のＰＣに転送される状態を示している。第３の実施形態は、このようなパケットの分割や合成がある場合でも、高い検出精度でオーバレイトラヒックを検出することを目的とする。
【００９８】
第３の実施形態では、オーバレイトラヒックとオーバレイトラヒック以外のトラヒックを分別するために、ある同一の送信元ＩＰアドレスとポート番号を持つトラヒックに対して、遅延をかけたりかけなかったりするものである。
【００９９】
遅延の与え方としては、例えば、２種類の遅延量０及びＴ０のいずれかを与える方法がある。また例えば、パケットのＰＣ到着間隔が一定になるようにする遅延を付与する時間帯と、パケットの到着間隔がなるべく０に近づくように、固めて送信する時間を設けるような方法がある。図１０は、後者の場合を示している。
【０１００】
このようにしてＰＣ側に送信されたトラヒックが、オーバレイ網のＰＣで中継され、再び、オーバレイ網のルータへ転送されたとき、転送されたオーバレイトラヒックは、他のトラヒックと比べ、統計的に有意な差が発生することが期待できる。つまり、遅延操作ありの時間帯と、遅延操作なしの時間帯とで、特定の宛先ＩＰを持つパケットの到着間隔に差が現れることが期待できる。図１０は、遅延操作の有無で、オーバレイトラヒック（ハッチ付与矩形、黒色矩形）の到着間隔が変化している様子を示している。図１０では見え難いが、黒色矩形のパケットの到着時間間隔でも、これらがオーバレイ網の中継トラヒックであれば、統計的に遅延操作による影響が見られるはずである。一方、オーバレイ網の中継トラヒックでなければ、遅延操作の有無に関わらず、到着遅延時間間隔に有意な差は生じない、あるいは、オーバレイ網のトラヒックに比べて小さいはずである。この差を検出することにより、オーバレイ網のトラヒックを特定する。
【０１０１】
制御手段３０５は、例えば、同一の宛先（又は送信元）のＩＰパケットについて、遅延操作ありの時間帯の到着間隔データと、遅延操作なしの時間帯の到着間隔データとに統計的に有意な差があるか否かを検出することでオーバレイトラヒックを検出（仮検出）する。
【０１０２】
上記操作で、特定のＩＰアドレスを持つトラヒックがオーバレイ網の中継トラヒックの疑いが濃厚になれば、次に、検証作業を行う。検証作業では、オーバレイトラヒックの疑いが濃厚なパケットにだけ、極端に大きな遅延時間を付与したり遅延０としたりすることで、送出されるパケットがオーバレイ網のＰＣで中継されたのか否かを確定させる。
【０１０３】
なお、第１及び第２の実施形態と同様に、パケット遅延付与手段３０１を、外部のＩＳＰから自ＩＳＰへのインバウンド回線に接続し、ミラーリング手段３０２、パケット到着時刻計測手段３０３、パケット送信間隔調整手段３０４及び制御手段３０５を自ＩＳＰから外部ＩＳＰへのアウトバウンド回線に接続し、両者間で情報を交換する構成として（図４参照）、同じ機能を実現するようにしても良い。
【０１０４】
（Ｃ−３）第３の実施形態の効果
第３の実施形態によれば、既述した実施形態と同様な効果に加え、オーバレイ網のＰＣがトラヒックを転送する際に、パケット長を変更したり、複数の宛先に分割してパケットを転送したりしても、オーバレイトラヒックをオーバレイトラヒック以外のトラヒックとを識別できるという効果を奏することができる。
【０１０５】
上記第１の実施形態では、オーバレイトラヒックは、下記（１）及び（２）の特徴があることを前提としており、第２の実施形態では下記（３）の特徴があることを前提としている。
【０１０６】
（１）ＩＳＰのルータからＰＣに送られるオーバレイトラヒックであって、ＰＣが次のＰＣに向けて再度ＩＳＰのルータに転送してくるトラヒックは、ペイロードが分割されたり、合成されたりすることはない。言い換えると、転送の前後でパケット長は変更されない。
【０１０７】
（２）ＰＣが転送するオーバレイトラヒックは、入力ＩＰアドレスと出力ＩＰアドレスがほぼ１対１の対応をとる（複数のＩＰアドレスの組の場合でも、対応できるように組み合わせでの一致検索をすれば対応付けることができる）。
【０１０８】
（３）ＰＣが転送するオーバレイトラヒックは、平文で内容の改竄検出は行われない。なお、Ｐ２Ｐソフトとして有名なＷｉｎｎｙは、転送されるデータがＭＤ５によって暗号化されているが、データのうち、最初の２バイトはダミーの乱数、次の４バイトがＭＤ５の共通鍵になっており、容易に鍵を開錠できるので、第２の実施形態でも暗号を解読して操作することで容易に精度を確保できる。
【０１０９】
これらの前提が成立しない場合、第１及び第２の実施形態は、性能が劣化する可能性がある。第３の実施形態は、上記（１）〜（３）の場合でも、高精度にオーバレイ網の中継トラヒックを検出する。
【０１１０】
（Ｄ）第４の実施形態
次に、本発明によるオーバレイトラヒック検出システムの第４の実施形態を、図面を参照しながら詳述する。
【０１１１】
（Ｄ−１）第４の実施形態の構成
図１１は、第４の実施形態のオーバレイトラヒック検出装置４００の詳細構成を示すブロック図である。
【０１１２】
第４の実施形態のオーバレイトラヒック検出装置４００は、ルータの内部、又は、ルータと加入者のＰＣの間に設置される。なお、加入者が協力する場合には、加入者ＰＣの内部に設置するようにしても良い。図１１では、ＩＳＰ網のルータと加入者のＰＣの間に設置された場合を示している（図８参照）。
【０１１３】
図１１において、第４の実施形態のオーバレイトラヒック検出装置４００は、パケット廃棄・再送パケット監視手段４０１、ミラーリング手段４０２、パケット流量監視・再送要求監視手段４０３及び制御手段４０４を有する。
【０１１４】
第３の実施形態は、トラヒックに対して遅延付与時間帯では遅延を付与し、遅延付与時間帯と遅延なし時間帯とで、オーバレイノードからのオーバレイトラヒックの到着間隔に有意な差がある一方、非オーバレイトラヒック（オーバレイトラヒック以外のトラヒック）の到着間隔に有意な差が生じないことに基づいて、オーバレイトラヒックを検出するものである。
【０１１５】
この第４の実施形態は、遅延操作に代えて、廃棄操作を利用して、オーバレイトラヒックを検出しようとしたものである。
【０１１６】
パケット廃棄・再送パケット監視手段４０１は、制御手段４０４の制御下で、廃棄操作あり期間（一定時間）においては、同一送信元かつ同一宛先ＩＰアドレスを持つＩＳＰ網のルータからＰＣに向かうあるパケット流に関して、伝送品質保証契約（ＳＬＡ）を満たす範囲で、パケットをわざと廃棄するものである。また、パケット廃棄・再送パケット監視手段４０１は、廃棄されたパケットの再送を監視するものであり、再送パケットの情報を制御手段４０４に与えるものである。この情報も、後述するように、オーバレイトラヒックの判定に利用される。
【０１１７】
ミラーリング手段４０２は、ＰＣからＩＳＰ網のルータに向かうトラヒックをコピーして取り出して流量監視・再送要求監視手段４０３に与えると共に、コピー元のトラヒックをそのまま出力するものである。
【０１１８】
パケット流量監視・再送要求監視手段４０３は、コピーされたトラヒックに基づいて、同じ宛先のトラヒックのデータ量（パケット流量若しくは単位時間当たりのパケット流量）を得るものである。また、パケット流量監視・再送要求監視手段４０３は、制御手段４０４の制御下で、再送要求を監視するものである。再送要求の監視理由については、動作の項で明らかにする。
【０１１９】
制御手段４０４は、廃棄操作あり期間と、廃棄操作なし期間とのデータ量に差があるか否かや、再送要求の存在などを判別し、オーバレイトラヒックか否かを判定するものである。
【０１２０】
（Ｄ−２）第４の実施形態の動作
次に、第４の実施形態のオーバレイトラヒック検出装置４００の動作を説明する。
【０１２１】
第４の実施形態においては、ルータからＰＣに向かうトラヒックは、オーバレイトラヒック検出装置４００のパケット廃棄・再送パケット監視手段４０１に入力され、ここで、同一送信元かつ同一宛先ＩＰアドレスを持つあるパケット流に関して、一定時間だけＳＬＡを満たす範囲で、パケットがわざと廃棄される。
【０１２２】
一方で、ＰＣからルータに向かうトラヒックは、オーバレイトラヒック検出装置４００のミラーリング手段４０２でコピーされ、パケット流量監視・再送要求監視手段４０３に入力され、パケット流量監視・再送要求監視手段４０３によって、入力されるパケットの流量が監視される。なお、ミラーリングして監視するのではなく、パケット流量監視・再送要求監視手段４０３の中を通過してルータヘ送る構成としても良い。
【０１２３】
上述したようなパケット廃棄・再送パケット監視手段４０１でパケット廃棄を行っている時間帯は、そうでない時間帯と比べて、転送されるオーバレイトラヒックが減少すると推定されるので、特定の宛先ＩＰアドレス宛トラヒック量（パケット流量）が減少しているトラヒックを検出することで、オーバレイトラヒックを推定できる。また、オーバレイ網に、廃棄されたパケットをＥｎｄ−Ｅｎｄで再送制御するプロトコルが実装されている場合がある。このような場合、パケットの終端点がＰＣであるにも関わらず、オーバレイでの転送先から再送要求が廃棄したパケットの送信元に向けて出される。そこで、図１１にはないが、逆向きに再送要求と推定されるパケットが流れないかを監視することで、オーバレイのトラヒックを検出することもできる。また、再送要求と推定されるパケットがルータ側に送られた後、ルータからＰＣに向けて再送パケットが送られると思われるので、これをルータ→ＰＣ間と、ＰＣ→ルータ間の両方で検出可能かを確認することで推定確度を高める。一般に、再送要求パケットの長さはどれも等しく、再送パケットは、廃棄したパケットのパケット長と等しいことが期待できる。廃棄操作あり期間、及び、その直後の所定時間内に、再送要求パケットが採用している可能性が高いパケット長（この長さ又は長さの範囲を設定しておく）を有するパケットがあれば、再送要求パケットと推定する。なお、再送要求の宛先ＩＰアドレスは廃棄したパケットの送信元ＩＰアドレスと異なることが充分に予想される。これは、廃棄したパケットの送信元ＩＰアドレスがしばしば偽装されているからである。廃棄操作あり期間、及び、その直後の所定時間内に、廃棄パケットが有するパケット長と同じパケット長を有する、廃棄パケットと同じ送信元及び宛先のパケットがあれば再送パケットの可能性が高いと思われる。なお、再送パケットや再送要求パケットの認識方法は、この方法に限定されない。
【０１２４】
制御手段４０４は、あるトラヒックのフローに関してパケットの廃棄を行っても、減少するトラヒックのフローがなく、再送要求を行っていたり、再送と思しきトラヒックが存在しない場合、廃棄したフローは、オーバレイと無関係なトラヒックであると推定する。
【０１２５】
なお、上記ではパケットをアクティブに（意図的に）廃棄する場合を示したが、パケット廃棄をわざと行わなくても、ＰＣやルータが処理能力不足で廃棄してしまう場合などもある。そこで、アクティブにパケット廃棄を生じさせず、自然に発生するパケット損失と、これによって生じるトラヒック量の変化や、再送要求や再送と推定されるパケットの監視によって、オーバレイトラヒックを検出するようにしても良い。
【０１２６】
なお、第１〜第３の実施形態と同様に、パケット廃棄・再送パケット監視手段４０１を、外部のＩＳＰから自ＩＳＰへのインバウンド回線に接続し、ミラーリング手段４０２、パケット流量監視・再送要求監視手段４０３及び制御手段４０４を自ＩＳＰから外部ＩＳＰへのアウトバウンド回線に接続し、両者間で情報を交換する構成として（図４参照）、同じ機能を実現するようにしても良い。
【０１２７】
（Ｄ−３）第４の実施形態の効果
第４の実施形態によれば、パケット廃棄によるデータ量の変動や、再送の有無などによって、オーバレイ網のトラヒックを識別することができる。
【０１２８】
（Ｅ）第５の実施形態
次に、本発明によるトラヒック監視・制御システムの第５の実施形態を、図面を参照しながら詳述する。
【０１２９】
（Ｅ−１）第５の実施形態の構成
第５の実施形態のトラヒック監視・制御システム５００は、オーバレイトラヒックをフィルタリングさせるためのシステムであり、図１２に示す構成を有する。
【０１３０】
第５の実施形態のトラヒック監視・制御システム５００は、オーバレイトラヒック検出システム５０１、経路情報取得手段５０２及び制御手段５０３を有し、制御手段５０３の内部には、フィルタリング依頼手段５０４が設けられている。
【０１３１】
オーバレイトラヒック検出システム５０１は、第１〜第４の実施形態のいずれかのオーバレイトラヒック検出システムが該当し、オーバレイトラヒック情報を制御手段５０３に与えるものである。
【０１３２】
経路情報取得手段５０２は、制御手段５０３の制御下で、ルータ（１台とは限らない）における経路情報テーブル５０５の経路情報を取得するものである。
【０１３３】
制御手段５０３は、オーバレイトラヒック検出装置５００から与えられたオーバレイトラヒック情報や、ルータから取得した経路情報に基づいて、オーバレイトラヒックをフィルタリングする箇所を定め、フィルタリング依頼手段５０４によって、該当するルータ内のフィルタリング手段５０６にフィルタリングを依頼するものである。
【０１３４】
（Ｅ−２）第５の実施形態の動作
次に、第５の実施形態のトラヒック監視・制御システム５００の動作、特に、オーバレイトラヒックをフィルタリングさせるための動作を説明する。
【０１３５】
第１〜第４の実施形態のじれかのオーバレイトラヒック検出システム５０１から出力されたオーバレイトラヒック情報は、制御手段５０３に入力される。制御手段５０３では、オーバレイトラヒックの宛先や送信元ＩＰアドレス情報と一致するトラヒックに関する情報を、経路情報取得手段５０２によって、ルータの経路情報テーブル５０５から検索して取得し、オーバレイ網のトラヒックを具体的に特定する。
【０１３６】
そして、制御手段５０３は、特定したオーバレイ網のトラヒックに関して、ルータを通過しないように、あるいは、帯域を絞って通過させるように、フィルタリング依頼手段５０４を介してルータを制御する。なお、そのようなトラヒックに遅延を付与させるように依頼しても良い。また、オーバレイ網の帯域を絞る、あるいは、通さないという処理を行う代わりに、異なる経路を通過するようにルータの経路表を設定する動作を行わせても良い。この場合、代替経路は、他のトラヒックに与える影響が最も小さくなるようにすると好適である。
【０１３７】
（Ｅ−３）第５の実施形態の効果
第５の実施形態によれば、好ましくないオーバレイ網のトラヒックを削除あるいは削減することができる。その結果、他のトラヒックに与える影響を減じさせることもできる。
【０１３８】
（Ｆ）他の実施形態
上記第１〜第５の実施形態ではそれぞれ、異なる方法によるオーバレイトラヒックの検出方法を適用していたが、これら方法を２以上組み合わせて適用し、検出精度を高めるようにしても良い。
【０１３９】
第１〜第５の実施形態では、オーバレイトラヒックと判定するための情報を得る構成と、オーバレイトラヒックと判定する構成（プロファイル相関度・閾値判定手段、制御手段）とが、同一の装置に搭載されたものを示したが、異なる装置に搭載されたものであっても良い。
【図面の簡単な説明】
【０１４０】
【図１】第１の実施形態に係るオーバレイトラヒック検出装置の詳細構成を示すブロック図である。
【図２】オーバレイ網の一例の物理的な接続状態を示すブロック図である。
【図３】図２の論理的な接続状態を示すブロック図である。
【図４】図１のオーバレイトラヒック検出装置の設置位置の説明図である。
【図５】第１の実施形態におけるオーバレイトラヒックの検出方法の説明図（１）である。
【図６】第１の実施形態におけるオーバレイトラヒックの検出方法の説明図（２）である。
【図７】第１の実施形態の変形実施形態に係るオーバレイトラヒック検出装置の詳細構成を示すブロック図である。
【図８】図７のオーバレイトラヒック検出装置の設置位置の説明図である。
【図９】第２の実施形態に係るオーバレイトラヒック検出装置の詳細構成を示すブロック図である。
【図１０】第３の実施形態に係るオーバレイトラヒック検出装置の詳細構成を示すブロック図である。
【図１１】第４の実施形態に係るオーバレイトラヒック検出装置の詳細構成を示すブロック図である。
【図１２】第５の実施形態に係るトラヒック監視・制御システム５００の構成を示すブロック図である。
【符号の説明】
【０１４１】
１００−１、１００−２、１００Ａ、２００、３００、４００…オーバレイトラヒック検出装置、１０１、１０１−１、１０１−２…ミラーリング手段、１０２、１０２−１、１０２−２…トラヒック情報計測手段、１０３、１０３−１、１０３−２…トラヒックプロファイル作成手段、１０４、１０４−１、１０４−２…通信手段、１０５、１０５−１、１０５−２…プロファイル相関度計算・閾値判定手段、２０１…パケットマーク付与手段、２０２…パケットマーク検出手段、２０３…パケットマーク取外し手段、２０４…制御手段、２０５…マーク／パケット対応情報テーブル、３０１…パケット遅延付与手段、３０２…ミラーリング手段、３０３…パケット到着時刻計測手段、３０４…パケット送信間隔調整手段、３０５…制御手段、４０１…パケット廃棄・再送パケット監視手段、４０２…ミラーリング手段、４０３…パケット流量監視・再送要求監視手段、４０４…制御手段、５００…トラヒック監視・制御システム、５０１…オーバレイトラヒック検出システム、５０２…経路情報取得手段、５０３…制御手段、５０４…フィルタリング依頼手段。
【図１】
0004867848.tif 000002
【図２】
0004867848.tif 000003
【図３】
0004867848.tif 000004
【図４】
0004867848.tif 000005
【図５】
0004867848.tif 000006
【図６】
0004867848.tif 000007
【図７】
0004867848.tif 000008
【図８】
0004867848.tif 000009
【図９】
0004867848.tif 000010
【図１０】
0004867848.tif 000011
【図１１】
0004867848.tif 000012
【図１２】
0004867848.tif 000013