JP5061088B2 - 解析支援装置、解析システムおよびプログラム - Google Patents

Description

本発明は、解析支援装置、解析システムおよびプログラムに関する。

ネットワーク内の複数のパケットモニタリングポイント（パケット取得点とも称する）を通過するパケットをモニタリングし、ネットワークの状態を解析（例えば、パケットロス、遅延などの発生有無、原因の解析）する方法が知られている。パケットモニタリングポイントとして設定されるのは、ネットワーク内に設置されるルータ、レイヤ３スイッチ、レイヤ２スイッチなどである。各パケットモニタリングポイントには、各パケットモニタリングポイントを通過するパケットを取得（キャプチャ）するための装置（以下、「パケット取得装置」という）を設置する。パケットモニタリングポイントを通過するパケットを取得（キャプチャ）する方法は、ルータなどのミラーポートを利用して取得する方法、物理的にパケットをコピーする装置（タップ）を設置して取得する方法などがある。

まず、パケットロス、検査対象（モニタ対象）のセッション（送信元端末と宛先端末の組、具体的には、送信元ＩＰアドレス、宛先ＩＰアドレスの組)として指定したセッション（以下、「指定セッション」という）に係る経路（送信元ＩＰアドレスから宛先ＩＰアドレスに至る往路、宛先ＩＰアドレスから送信元ＩＰアドレスに至る復路）を決定する。続いて、ネットワーク内のパケットモニタリングポイントの設置場所に関する情報を参照し、決定した経路上から複数のパケットモニタリングポイントを決定する。その後、決定した各パケットモニタリングポイントにおいて同一のパケットを取得し、各パケットモニタリングポイントにおいて取得したパケットの一部または全部の情報（以下、「パケット情報」という）を当該パケットの取得時刻（以下、「パケット取得時刻」という）とともに記憶部に蓄積する。そして、記憶部に蓄積した複数のパケット情報から、同一のパケットに係る複数のパケット情報を同定し、指定セッションにおける複数のパケットのネットワーク内における流れ（例えば、各パケットモニタリングポイントにおけるパケット取得時刻）からネットワークの状態を解析する。なお、パケット同定は、複数の地点で観測された同一のパケットを関連づける作業である。

なお、指定セッションに係る経路は、例えば、ルーチングプロトコルによって自動設定されたルーチング情報をモニタする技術（特許文献1および非特許文献1参照）を用いて決定してもよいし、経路探索コマンド（例えばｔｒａｃｅｒｏｕｔｅ）を用いて決定してもよい。
特開２００８‐０６１１３９号公報 Yuichiro Hei, Tomohiko Ogishi, Shigehiro Ano,"Efficient Method of Collecting Routing Tables based on OSPF/iBGP Monitoring", NOMS2008 Proceedings pp.449-456, IEEE 978-1-4244-2066-7/08

しかしながら、パケットモニタリングポイントには、上述したようにパケット取得装置を設置しておく必要があるが、セッションを指定する都度、当該指定セッションに係るパケットを取得するパケットモニタリングポイントとして決定されたルータ、レイヤ３スイッチ、レイヤ２スイッチなどにパケット取得装置を接続するのは、ネットワークの管理者（運用者）の負担となるという問題がある。特に、多数のパケットモニタリングポイントを有するネットワーク（例えば、通信事業者の網）の場合、管理者の負担が非常に大きくなるという問題がある。

また、管理者の負担を考慮して、パケットモニタリングポイントとして決定され得るルータ、レイヤ３スイッチ、レイヤ２スイッチなどにパケット取得装置を事前に設置し、ネットワーク内の全てのパケットモニタリングポイントにて、常に（指定セッションに係るパケットを取得するパケットだけでなく全てのパケット）、パケットを取得するという方法も考えられる。しかし、無数のパケットが送受信されるネットワーク（例えば、通信事業者の網）の場合、膨大なパケット情報を蓄積する大容量の記憶装置（ＨＤＤ等)を設置しなければならないという問題がある。仮に、大容量の記憶装置を設置したとしても、膨大なパケット情報から同一のパケットに係る複数のパケット情報を同定してネットワークの状態を解析するのは、システム上の負荷が大きいという問題がある。

本発明は、このような事情に鑑みてなされたものであり、ネットワークの状態を解析する際の、管理者の負担およびシステム上の負荷を低減させる技術を提供することを目的とする。

上記問題を解決するために、本発明の一態様である解析支援装置は、パケットを取得する複数のパケット取得点を有するネットワーク上の複数のパケット取得点のなかから、送信元と宛先とを指定されたパケットの経路上に存在する特定パケット取得点を決定する決定部と、複数のパケット取得点からパケット情報を受信する受信部と、受信部によって受信されるパケット情報のうち、特定パケット取得点から受信するパケット情報のみを出力する選択部とを備えることを特徴とする。

上記解析支援装置において決定部は、特定パケット取得点毎の優先度に基づいて、所定の数以下の特定パケット取得点を決定してもよい。

上記解析支援装置において決定部は、経路上に存在する特定パケット取得点の位置関係に基づいて優先度を決定してもよい。

上記解析支援装置において決定部は、複数指定されたセッションにおいて利用される特定パケット取得点を優先して決定してもよい。

上記解析支援装置は、選択部によって出力されるパケット情報に当該パケット情報の送信元である特定パケット取得点を識別する識別情報を付加する識別情報付加部を更に備えてもよい。

上記問題を解決するために、本発明の他の一態様である解析システムは、パケットを取得する複数のパケット取得点を有するネットワークの状態を解析するネットワーク解析システムであって、
複数のパケット取得点のなかから、送信元と宛先とを指定されたパケットの経路上に存在する特定パケット取得点を決定する決定部と、複数のパケット取得点からパケット情報を受信する受信部と、受信部によって受信されるパケット情報のうち、特定パケット取得点から受信するパケット情報のみを出力する選択部と、選択部が出力した複数のパケット情報から、同一のパケットに係る複数のパケット情報を同定し、同定した複数のパケット情報に基づいてネットワークの状態を解析する解析部とを備えることを特徴とする。

上記問題を解決するために、本発明の他の一態様であるプログラムは、パケットを取得する複数のパケット取得点を有するネットワークの状態の解析を支援する解析支援装置のコンピュータに、
ネットワーク上の複数のパケット取得点のなかから、送信元と宛先とを指定されたパケットの経路上に存在する特定パケット取得点を決定する決定ステップと、複数のパケット取得点からパケット情報を受信する受信ステップと、受信ステップによって受信されるパケット情報のうち、特定パケット取得点から受信するパケット情報のみを出力する選択ステップとを実行させることを特徴とする。

上記問題を解決するために、本発明の他の一態様であるプログラムは、パケットを取得する複数のパケット取得点を有するネットワークの状態の解析する解析システムを構成する１以上の装置のコンピュータに、ネットワーク上の複数のパケット取得点のなかから、送信元と宛先とを指定されたパケットの経路上に存在する特定パケット取得点を決定する決定ステップと、複数のパケット取得点からパケット情報を受信する受信ステップと、受信ステップによって受信されるパケット情報のうち、特定パケット取得点から受信するパケット情報のみを出力する選択ステップと、選択ステップによって出力された複数のパケット情報から、同一のパケットに係る複数のパケット情報を同定し、同定した複数のパケット情報に基づいてネットワークの状態を解析する解析ステップとを実行させることを特徴とする。

本発明によれば、パケット取得点として決定され得るルータ、レイヤ３スイッチ、レイヤ２スイッチなどにパケット取得装置を事前に設置しつつ、指定セッションの状態を解析するために必要な最小限の受信情報を蓄積して解析するため、ネットワークの状態を解析する際の、管理者の負担およびシステム上の負荷を低減させることができるようになる。

以下、本発明の実施形態について図面を参照して詳細に説明する。図１は、ネットワークの模式図である。図１において、Ｒ１、Ｒ２、…Ｒ７はルータ、ＳＷ１、ＳＷ２、…ＳＷ４はレイヤ２スイッチである。７０、８０はパケットを送受信する端末である。１は解析システムである。また、ルータＲ１、ルータＲ２、…ルータＲ８に付されたＭ１、Ｍ２、…Ｍ８は、当該ルータがパケットモニタリングポイント（本発明のパケット取得点に相当する）である旨を表している。なお、各パケットモニタリングポイント（ルータＲ１、ルータＲ２、…ルータＲ８）には、パケット取得装置（非図示）が接続されている。解析システム１は、管理装置１０（本発明の解析支援装置に相当する）および解析装置２０から構成される。管理装置１０および解析装置２０から構成される解析システム１は、ネットワーク内の複数のパケットモニタリングポイントのなかから指定セッションに係るパケットを取得する複数のパケットモニタリングポイントを決定し、当該複数のパケットモニタリングポイントから受信した情報に基づいて、ネットワークの状態を解析する。

図２は、本発明の一実施形態による解析システム１の構成例である。図３、４は、解析装置２０から出力される画面例である。解析システム１の管理装置１０は、決定部１１および選択部１２（本願の受信部および選択部に相当する）を備える。解析システム１の解析装置２０は、入出力部２１および解析部２２を備える。

入出力部２１は、管理者からセッションを指定する入力を受け付ける。例えば、入出力部２１は、送信元ＩＰアドレスとして図１に示す端末７０のＩＰアドレス、宛先ＩＰアドレスとして図１に示す端末８０のＩＰアドレスの入力を受け付ける。入力受付部２１は、セッションを指定する入力を受け付けた場合、指定セッションを示す情報（以下、「セッション指定情報」という）を決定部１１に通知する。また、入出力部２１は、解析部２２から解析結果を取得し管理者に出力する（解析結果の出力に関する詳細は後述）。

決定部１１は、入出力部２１からセッション指定情報を取得する。決定部１１は、セッション指定情報を取得した場合、ネットワーク内の複数のパケットモニタリングポイントのなかから、セッション指定情報によって示される指定セッションに係るパケットを取得する複数のパケットモニタリングポイントを決定する。なお、決定部１１によって決定されたパケットモニタリングポイントを特定パケットモニタリングポイント（本願の「特定パケット取得点」に相当）とも称する。

具体的には、決定部１１は、まず、指定セッションに係る経路（送信元ＩＰアドレスから宛先ＩＰアドレスに至る往路、宛先ＩＰアドレスから送信元ＩＰアドレスに至る復路）を決定する。例えば、決定部１１は、セッション指定情報として送信元ＩＰアドレスとして図１に示す端末７０のＩＰアドレス、宛先ＩＰアドレスとして図１に示す端末８０のＩＰアドレスを取得した場合には、例えば、往路として経路Ａを決定し、復路として経路Ｂを決定する。なお、指定セッションに係る経路は、例えば、ルーチングプロトコルによって自動設定されたルーチング情報をモニタする技術を用いて決定してもよいし、経路探索コマンド（例えばｔｒａｃｅｒｏｕｔｅ）を用いて決定してもよい。

決定部１１は、指定セッションに係る経路を決定した場合、ネットワーク内のパケットモニタリングポイントの設置場所に関する情報を参照し、決定した経路上から複数のパケットモニタリングポイントを決定する。例えば、決定部１１は、図１に示す経路Ａ、経路Ｂを決定した場合には、経路Ａ上からパケットモニタリングポイントＭ１、Ｍ２、Ｍ３、Ｍ５、Ｍ８を決定し、経路Ｂ上からパケットモニタリングポイントＭ７、Ｍ４、Ｍ１を決定する。

決定部１１は、複数のパケットモニタリングポイントを決定した場合、当該複数のパケットモニタリングポイントを識別する情報（以下、「パケットモニタリングポイント識別情報」という）を選択部１２に通知する。例えば、決定部１１は、図１に示す経路Ａ上からパケットモニタリングポイントＭ１、Ｍ２、Ｍ３、Ｍ５、Ｍ８を決定し、経路Ｂ上からパケットモニタリングポイントＭ７、Ｍ４、Ｍ１を決定した場合には、パケットモニタリングポイントＭ１、Ｍ２、Ｍ３、Ｍ４、Ｍ５、Ｍ７、Ｍ８の各パケットモニタリングポイント識別情報を選択部１２に通知する。

また、複数のパケットモニタリングポイントを決定した決定部１１は、決定した経路を識別する情報（以下、「経路識別情報」という）と当該経路上から決定した複数のパケットモニタリングポイントを識別するパケットモニタリングポイント識別情報とを対応付けて解析部２２に通知する。例えば、決定部１１は、図１に示す経路Ａ上からパケットモニタリングポイントＭ１、Ｍ２、Ｍ３、Ｍ５、Ｍ８を決定し、経路Ｂ上からパケットモニタリングポイントＭ７、Ｍ４、Ｍ１を決定した場合には、経路Ａを識別する経路識別情報に対応付けてパケットモニタリングポイントＭ１、Ｍ２、Ｍ３、Ｍ５、Ｍ８の各パケットモニタリングポイント識別情報を選択部１２に通知し、経路Ｂを識別する経路識別情報に対応付けてパケットモニタリングポイントＭ７、Ｍ４、Ｍ１の各パケットモニタリングポイント識別情報を選択部１２に通知する。

選択部１２は、決定部１１からパケットモニタリングポイント識別情報を取得する。選択部１２は、パケットモニタリングポイント識別情報を取得した場合、パケットモニタリングポイント識別情報を一時記憶する。

また、選択部１２は、一時記憶しているパケットモニタリングポイント識別情報によって識別されるパケットモニタリングポイント（特定パケットモニタリングポイント）において取得されたパケットに係るパケット情報をパケット取得時刻とともに受信した場合には、当該受信情報（パケット情報、パケット取得時刻）を解析部２２に供給する。例えば、選択部１２は、図１に示すパケットモニタリングポイントＭｘ（ｘ＝１、２、３、４、５、７、８）を識別する各パケットモニタリングポイント識別情報を一時記憶している場合に、パケットモニタリングポイント１において取得されたパケットに係るパケット情報をパケットモニタリングポイント１におけるパケット取得時刻とともに受信したときは、当該パケット情報、当該パケット取得時刻を解析部２２に供給する。

一方、選択部１２は、一時記憶しているパケットモニタリングポイント識別情報によって識別されるパケットモニタリングポイント（特定パケットモニタリングポイント）以外のパケットモニタリングポイントにおいて取得されたパケットに係るパケット情報をパケット取得時刻とともに受信した場合には、当該受信情報を破棄（無視）する。即ち、選択部１２は、特定パケットモニタリングポイントからの受信情報のみを解析部２２に供給する。

なお、受信情報は、パケット情報とパケット取得時刻とをデータ部（ペイロード）とするパケット（パケット情報とパケット取得時刻とをカプセル化したパケット）であってもよい。

なお、選択部１２が、所望のパケットモニタリングポイント（一時記憶しているパケットモニタリングポイント識別情報によって識別されるパケットモニタリングポイント）からの受信情報のみを解析部２２に供給する方法は種々の方法が考えられる。例えば、選択部１２は、入力ポートのＯＮ／ＯＦＦを物理的に切り替えるスイッチ (レイヤ１スイッチ) を利用して、所望のパケットモニタリングポイントからの受信情報のみを解析部２２に供給してもよい。また、選択部１２は、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）やレイヤ３スイッチやレイヤ2スイッチなどに備わるパケットフィルタリング機能を利用して、所望のパケットモニタリングポイントからの受信情報のみを解析部２２に供給してもよい。また、選択部１２は、これらの方法を組み合わせて、所望のパケットモニタリングポイントからの受信情報のみを解析部２２に供給してもよい。

解析部２２は、決定部１１から経路識別情報とパケットモニタリングポイント識別情報とを対応付けて取得する。解析部２２は、経路識別情報とパケットモニタリングポイント識別情報とを対応付けて取得した場合、経路識別情報とパケットモニタリングポイント識別情報とを対応付けて一時記憶する。

また、解析部２２は、選択部１２から受信情報（パケット情報、パケット取得時刻）を取得する。解析部２２は、受信情報を取得した場合、取得した受信情報を記憶部（非図示）に蓄積する。

解析部２２は、入出力部２１を介してパケットを解析すべき旨の命令の入力を受け付けた場合、記憶部に蓄積した受信情報から、同一のパケットに係る複数のパケット情報を同定する。また、解析部２２は、命令の入力を受け付けた場合に変えてまたは加えて、所定の時刻、または、所定の数に蓄積するパケット数が達した時に、パケット情報を同定してもよい。

例えば、記憶部（非図示）が、図１に示す経路Ａを通過した４個のパケットに係る各５個のパケットモニタリングポイントＭｘ（ｘ＝１、２、３、５、８）において取得された計２０個のパケット情報、および、経路Ｂを通過した３個のパケットに係る各３個のパケットモニタリングポイントＭｘ（ｘ＝７、４、１）において取得された計９個のパケット情報を蓄積している場合には、解析部２２は、経路Ａを通過した１個目のパケット（パケットＡ１）に係る５個のパケット情報（パケット情報Ａ１−Ｍ１、Ａ１−Ｍ２、Ａ１−Ｍ３、Ａ１−Ｍ５、Ａ１−Ｍ８）を同定し、経路Ａを通過した２個目のパケット（パケットＡ２）に係る５個のパケット情報（パケット情報Ａ２−Ｍ１、Ａ２−Ｍ２、Ａ２−Ｍ３、Ａ２−Ｍ５、Ａ２−Ｍ８）を同定し、経路Ａを通過した３個目のパケット（パケットＡ３）に係る５個のパケット情報（パケット情報Ａ３−Ｍ１、Ａ３−Ｍ２、Ａ３−Ｍ３、Ａ３−Ｍ５、Ａ３−Ｍ８）を同定し、経路Ａを通過した４個目のパケット（パケットＡ４）に係る５個のパケット情報（パケット情報Ａ４−Ｍ１、Ａ４−Ｍ２、Ａ４−Ｍ３、Ａ４−Ｍ５、Ａ４−Ｍ８）を同定し、経路Ｂを通過した１個目のパケット（パケットＢ１）に係る３個のパケット情報（パケット情報Ｂ１−Ｍ７、Ｂ１−Ｍ４、Ｂ１−Ｍ１）を同定し、経路Ｂを通過した２個目のパケット（パケットＢ２）に係る３個のパケット情報（パケット情報Ｂ２−Ｍ７、Ｂ２−Ｍ４、Ｂ２−Ｍ１）を同定し、経路Ｂを通過した３個目のパケット（パケットＢ３）に係る３個のパケット情報（パケット情報Ｂ３−Ｍ７、Ｂ３−Ｍ４、Ｂ３−Ｍ１）を同定する。

なお、解析部２２は、例えば、パケット情報の各データ項目のうち経路内において変化しないデータ項目を比較し、一致した場合に同定する。解析部２２は、変化しないデータ項目のハッシュ値を算出し、ハッシュ値が一致した場合に同定してもよい。

解析部２２は、同一のパケットに係る複数の解析対象情報を同定した場合、指定セッションにおける複数のパケットのネットワーク内における流れからネットワークの状態を解析する。例えば、解析部２２は、同定した複数のパケット情報の情報（例えば、送信元ＩＰアドレス、宛先ＩＰアドレス、生存時間（ＴＴＬ））と、同定した複数のパケット情報の経路を識別する経路識別情報に対応付けて一時記憶しているパケットモニタリングポイント識別情報を参照し、同定した複数のパケット情報をパケットモニタリングポイント順に並べるとともに、各パケット情報に係るパケット取得時刻から各パケットモニタリングポイントの通過時刻を特定し、ネットワークの状態を解析する。解析部２２は、ネットワークの状態を解析した場合、解析結果を入出力部２１に供給する。

入出力部２１は、解析部２２から解析結果を取得する。入出力部２１は、解析結果を取得した場合、管理者に解析結果を出力する。例えば、入出力部２１は、解析結果として、図３の画面を管理者に出力する。図３の縦方向は時刻、横方向はパケットの流れである。パケットＡ１、Ａ２、Ａ３、Ａ４は、図１に示す経路Ａを通過した４個のパケットの流れを表している。また、Ｐ１はパケットモニタリングポイントＭ１におけるパケットＡ１のパケット取得時刻（つまり通過時刻、以下、同様）、Ｐ２はパケットモニタリングポイントＭ２におけるパケットＡ１のパケット取得時刻である（Ｐ３、Ｐ４…Ｐ１８についても同様）。また、Ｔ_１−２は、パケット取得時刻Ｐ１とパケット取得時刻Ｐ２の時間差（つまり、パケットＡ１がパケットモニタリングポイントＭ１からパケットモニタリングポイントＭ２に送信されるのに要した所要時間）、Ｔ_２−３は、パケット取得時刻Ｐ２とパケット取得時刻Ｐ３の時間差（つまり、パケットＡ１がパケットモニタリングポイントＭ２からパケットモニタリングポイントＭ３に送信されるのに要した所要時間）である（Ｔ_３−４、Ｔ_４−５…Ｔ_{１７−１８}についても同様）。

なお、管理者は、図３に例示した画面を参照し、問題の所在を確認し原因を究明する。例えば、管理者は、所要時間Ｔ_９−１０が、所要時間Ｔ_４−５、Ｔ_{１７−１８}に比べて長いことから、パケットモニタリングポイントＭ５−Ｍ８間の遅延を確認し、原因（例えば、ルータ５若しくはルータ８の過負荷、又は、ルータ５−ルータ８間の輻輳）を究明する。また、例えば、管理者は、パケットモニタリングポイントＭ５におけるパケットＡ３の通過時刻が無いことから、パケットモニタリングポイントＭ３−Ｍ５間のパケットロスを確認し、原因（例えば、ルータ３若しくはルータ５の一時的異常）を究明する。さらに、管理者は、各パケットモニタリングポイント別に保存されたパケット情報を元に詳細な原因究明を行うことも可能である。

なお、図４は、他の画面例である。図４において、左側のＩＰアドレス（ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ）は送信元ＩＰアドレス、右側のＩＰアドレス（ＹＹＹ．ＹＹＹ．ＹＹＹ．ＹＹＹ）は宛先ＩＰアドレス、Ｍ１、３、４は、パケットモニタリングポイント（図１のパケットモニタリングポイントとは無関係）である。また、「１７：５０：３０．２４６９５６」「１７：５０：３０．３４８２１３」などはパケット取得時刻、「１０１」「６」などは所要時間である。さらに、図４に例示したように、解析結果はプロトコル（ＴＣＰ、ＵＤＰ、ＩＣＭＰ等）や発／着ポート番号の組を単位として、表示してもよい。

続いて、解析システム１の動作を説明する。図５は、本発明の実施形態に係る解析システム１の動作の一例を示すフローチャートである。具体的には、図５（ａ）のフローチャートは管理装置１０の動作、図５（ｂ）フローチャートは解析装置２０の動作例を示す。

図５（ａ）において、入出力部２１は、セッションを指定する入力を受け付ける（ステップＳ１００）。セッションを指定する入力を受け付けた入力受付部２１は、セッション指定情報を決定部１１に通知する。

入出力部２１からセッション指定情報を取得した決定部１１は、指定セッションに係る経路を決定する（ステップＳ１１０）。指定セッションに係る経路を決定した決定部１１は、決定した経路上から複数のパケットモニタリングポイントを決定する（ステップＳ１２０）。決定部１１は、解析装置２０の選択部１２に、ステップＳ１２０において決定した複数のパケットモニタリングポイントを識別する複数のパケットモニタリングポイント識別情報を通知し、解析装置２０の解析部２２に、ステップＳ１１０にて決定した経路を識別する経路識別情報とステップＳ１２０において決定した複数のパケットモニタリングポイントを識別する複数のパケットモニタリングポイント識別情報とを対応付けて通知する。そして、図５（ａ）のフローチャートは終了する。なお、パケットモニタリングポイント識別情報を取得した選択部１２は、当該パケットモニタリングポイント識別情報を一時記憶し、経路識別情報とパケットモニタリングポイント識別情報とを対応付けて取得した解析部２２は、当該経路識別情報と当該パケットモニタリングポイント識別情報とを対応付けて一時記憶する。

図５（ｂ）において、選択部１２は、パケットモニタリングポイント識別情報によって識別されるパケットモニタリングポイントから情報を受信したか否かを判断する（ステップＳ２００）。選択部１２は、パケットモニタリングポイント識別情報によって識別されるパケットモニタリングポイントから情報を受信したと判断した場合（ステップＳ２００：Ｙｅｓ）、当該受信情報を解析部２２に供給する。

選択部１２から受信情報を取得した解析部２２は、当該受信情報を記憶部（非図示）に蓄積する（ステップＳ２１０）。解析部２２は、入出力部２１を介して、パケットを解析すべき旨の命令の入力を受け付けたか否かを判断する（ステップＳ２２０）。解析部２２は、パケットを解析すべき旨の命令の入力を受け付けたと判断した場合（ステップＳ２２０：Ｙｅｓ）、記憶部に蓄積した受信情報から、同一のパケットに係る複数のパケット情報を同定し、指定セッションにおける複数のパケットのネットワーク内における流れからネットワークの状態を解析する（ステップＳ２３０）。ネットワークの状態を解析した解析部２２は、解析結果を入出力部２１に供給する。解析部２２から解析結果を取得した入出力部２１は、管理者に解析結果を出力する（ステップＳ２４０）。そして、図５（ｂ）のフローチャートは終了する。

なお、解析システム１では、指定セッションに係る経路を決定した決定部１１が、当該経路上の全てのパケットモニタリングポイントを決定した場合に、決定部１１が決定するパケットモニタリングポイントの数がモニタリング可能数（解析部２２に入力可能な数、入力ポート数）を上回る可能性がある。例えば、指定セッションの数が多い場合、指定セッションに係る経路上に存在するパケットモニタリングポイントの数が多い場合などにおいて、決定部１１が、当該経路上の全てのパケットモニタリングポイントを決定した場合に、決定部１１が決定するパケットモニタリングポイントの数がモニタリング可能数を上回る可能性が高くなる。

以下、決定部１１がパケットモニタリングポイント毎の優先度に基づいて、所定の数（モニタリング可能数）以下のパケットモニタリングポイントを決定する動作について説明する。具体的には、決定部１１が、所定の数に至る迄のパケットモニタリングポイントを選択する動作について説明する。

例えば、決定部１１は、パケットモニタリングポイント毎に予め設定されている優先度に基づいて、所定の数以下のパケットモニタリングポイントを決定する。即ち、決定部１１は、経路を決定した場合、経路上（今回決定した経路上および先に決定した経路上）に存在する複数のパケットモニタリングポイントから優先度が高い順に所定の数に至る迄のパケットモニタリングポイントを選択する。これにより、決定部１１が決定するパケットモニタリングポイントの数は、常に、モニタリング可能数以下となる。

また、決定部１１は、予め設定されている優先度に代えて動的に設定した優先度に基づいて、所定の数（モニタリング可能数）以下のパケットモニタリングポイントを決定してもよい。例えば、決定部１１は、経路を決定した後に、当該経路上の各パケットモニタリングポイントの位置関係（経路上の順序）に基づいて、当該経路上の各パケットモニタリングポイントに優先度を設定し、経路（既に決定した経路も含む）上に存在する複数のパケットモニタリングポイントから優先度が高い順に所定の数に至る迄のパケットモニタリングポイントを選択する。これにより、決定部１１が決定するパケットモニタリングポイントの数は、常に、モニタリング可能数以下となる。また、経路毎（指定セッション毎）に柔軟に優先度を設定することができる。

なお、決定部１１は、経路に折り返しが存在する場合などにおいて、同一の経路上の同一のパケットモニタリングポイントにそれぞれ異なる優先度を設定した場合には、より高い優先度を当該パケットモニタリングポイントの優先度としてもよい。また、決定部１１は、異なる経路に同一のパケットモニタリングポイントが属した場合などにおいて、当該同一のパケットモニタリングポイントにそれぞれ異なる優先度を設定した場合には、より高い優先度を当該パケットモニタリングポイントの優先度としてもよい。

また、決定部１１は、同一の経路上の異なるパケットモニタリングポイントに同一の優先度を設定した場合には、送信元に一番近いパケットモニタリングポイントを優先して選択（決定）してもよい。また、決定部１１は、異なる経路上の異なるパケットモニタリングポイントに同一の優先度を設定した場合には、当該同一の優先度が高い優先度（例えば、所定の値以上）のときは、先に決定した経路（古い経路）上のパケットモニタリングポイントを優先して選択（決定）し、当該同一の優先度が低い優先度（例えば、所定の値未満）のときは、後に決定した経路（新しい経路）上のパケットモニタリングポイントを優先して選択（決定）してもよい。

さらに、決定部１１は、複数指定されたセッション上の経路で同一のパケットモニタリングポイントが選択された場合、そのパケットモニタリングポイントを優先して選択（決定）してもよい。

以下、具体例を用いて補足説明する。図６は、決定部１１の動作を説明する為の説明図である。なお、図６に示す経路ｘ（ｘ＝ａ、ｂ、ｃ）、パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４、５、７、８）は、図１、図３における経路、パケットモニタリングポイントとは無関係である。

図６に示す例において、決定部１１は、指定セッションの追加に伴って、経路ａ（送信元端末→パケットモニタリングポイントｍ１→パケットモニタリングポイントｍ２→パケットモニタリングポイントｍ３→パケットモニタリングポイントｍ４→宛先端末）、経路ｂ（送信元端末→パケットモニタリングポイントｍ５→パケットモニタリングポイントｍ１→パケットモニタリングポイントｍ６→パケットモニタリングポイントｍ１→宛先端末）、経路ｃ（送信元端末→パケットモニタリングポイントｍ７→パケットモニタリングポイントｍ８→宛先端末）を順次決定するものとする。なお、経路ｂには折り返し（パケットモニタリングポイントｍ１→パケットモニタリングポイントｍ６→パケットモニタリングポイントｍ１）が存在する。なお、所定の数（モニタリング可能数）は４とする。

決定部１１は、最初の経路（経路ａ）を決定した場合、経路ａ上の各パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４）の位置関係に基づいて、経路上ａの各パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４）に優先度を設定する。具体的には、決定部１１は、図６（ａ）に示すように、パケットモニタリングポイントｍ１に優先度３０を設定し、パケットモニタリングポイントｍ２に優先度２０を設定し、パケットモニタリングポイントｍ３、ｍ４に優先度１０を設定する。即ち、決定部１１は、運用ポリシ（図６の説明上利用する運用ポリシ）に基づいて、経路上の送信元端末に最も近い位置にあるパケットモニタリングポイント（経路上に存在する唯一のパケットモニタリングポイントも含む）に最も高い優先度を設定し、経路上の宛先端末に最も近い位置にあるパケットモニタリングポイントに次に高い優先度を設定し、経路上の他の位置（中間位置）にあるパケットモニタリングポイントに次に高い優先度（最も低い優先度）を設定する。なお、上記運用ポリシは一例であって、種々の運用ポリシが考えられる。例えば、経路上の宛先端末に最も近い位置にあるパケットモニタリングポイントに最も高い優先度を設定する運用ポリシ、経路上の中間位置にあるパケットモニタリングポイントに最も高い優先度を設定する運用ポリシなども考えられる。

決定部１１は、経路ａ上の各パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４）に優先度を設定した場合、今回設定した経路ａ上の各パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４）の優先度に基づいて、図６（ｂ）に示すように、まず、優先度３０のパケットモニタリングポイントｍ１を選択し、続いて、優先度２０のパケットモニタリングポイントｍ４を選択し、続いて、優先度１０のパケットモニタリングポイントｍ２を選択し、続いて、優先度１０のパケットモニタリングポイントｍ３を選択する。

以上から、決定部１１は、経路ａの決定時には、図６（ｂ）の太枠内に示すように、経路ａ上のパケットモニタリングポイントｘ（ｘ＝１、２、３、４）を決定する。なお、決定部１１は、同一経路ａの異なるパケットモニタリングポイントｍ２、ｍ３に同一の優先度１０を設定しているが、送信元に近いパケットモニタリングポイントｍ２を優先している。

なお、決定部１１は、経路上（今回決定した経路ａ上）に存在するパケットモニタリングポイントの数がモニタリング可能数４を超えないため、経路ａを決定した時点では、経路ａ上の各パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４）に優先度を設定せずに、経路ａ上の全パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４）を全て決定してもよい。

決定部１１は、２番目の経路（経路ｂ）を決定した場合、経路ｂ上の各パケットモニタリングポイントｍｘ（ｘ＝５、１、６、１）の位置関係に基づいて、経路上ｂの各パケットモニタリングポイントｍｘ（ｘ＝５、１、６、１）に優先度を設定する。具体的には、決定部１１は、図６（ｃ）に示すように、経路ｂ上の送信元端末に最も近い位置にあるパケットモニタリングポイントｍ５に優先度３０を設定し、経路ｂ上の宛先端末に最も近い位置にあるパケットモニタリングポイントｍ１に優先度２０を設定し、経路ｂ上の他の位置にあるパケットモニタリングポイントｍ１、ｍ６に優先度１０を設定する。但し、決定部は、同一の経路ｂの同一パケットモニタリングポイントｍ１に異なる優先度２０、１０を設定しているが、最終的にはより高い優先度２０をパケットモニタリングポイントｍ１の優先度する。なお、図６（ｃ）のｍ１（１０）の訂正線はパケットモニタリングポイントｍ１の優先度が２０であって１０ではない旨を表している。

決定部１１は、経路ｂ上の各パケットモニタリングポイントｍｘ（ｘ＝５、ｍ１、ｍ６）に優先度を設定した場合、前回設定した経路ａ上の各パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４）の優先度と今回設定した経路ｂ上の各パケットモニタリングポイントｍｘ（ｘ＝５、１、６、１）の優先度に基づいて、図６（ｄ）に示すように、まず、優先度３０のパケットモニタリングポイントｍ１を選択し、続いて、優先度３０のパケットモニタリングポイントｍ５を選択し、続いて、優先度２０のパケットモニタリングポイントｍ４を選択し、続いて、優先度１０のパケットモニタリングポイントｍ６を選択する。

以上から、決定部１１は、経路ｂの決定時には、図６（ｄ）の太枠内に示すように、経路ａ若しくは経路ｂ上の各パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４、５、６）のなかからモニタリング可能数４のパケットモニタリングポイントｍｘ（ｘ＝１、４、５、６）を決定する。なお、決定部１１は、異なる経路ａ、ｂの同一パケットモニタリングポイントｍ１に異なる優先度３０、２０を設定しているが、優先度３０をパケットモニタリングポイントｍ１の優先度としている。また、決定部１１は、異なる経路ａ、ｂの異なるパケットモニタリングポイントｍ１、ｍ５に同一の優先度３０を設定しているが、先に決定した経路（経路ａ）上のパケットモニタリングポイントｍ１を優先している（但し、優先度３０は所定の値（例えば３０）以上である高い優先度）。また、決定部１１は、異なる経路ａ、ｂの異なるパケットモニタリングポイントｍ２、ｍ３、ｍ６に同一の優先度１０を設定しているが、後に決定した経路（経路ｂ）上のパケットモニタリングポイントｍ６を優先している（但し、優先度１０は所定の値（例えば３０）未満である低い優先度）。

決定部１１は、３番目の経路（経路ｃ）を決定した場合、経路ｃ上の各パケットモニタリングポイントｍｘ（ｘ＝７、８）の位置関係に基づいて、経路上ｃの各パケットモニタリングポイントｍｘ（ｘ＝７、８）に優先度を設定する。具体的には、決定部１１は、図６（ｅ）に示すように、経路上の送信元端末に最も近い位置にあるパケットモニタリングポイントｍ７に優先度３０を設定し、経路上の宛先端末に最も近い位置にあるパケットモニタリングポイントｍ８に優先度２０を設定する。

決定部１１は、経路ｃ上の各パケットモニタリングポイントｍｘ（ｘ＝７、ｍ８）に優先度を設定した場合、前々回設定した経路ａ上の各パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４）の優先度と前回設定した経路ｂ上の各パケットモニタリングポイントｍｘ（ｘ＝５、１、６、１）の優先度と今回設定した経路ｃ上の各パケットモニタリングポイントｍｘ（ｘ＝７、８）の優先度に基づいて、図６（ｆ）に示すように、まず、優先度３０のパケットモニタリングポイントｍ１を選択し、続いて、優先度３０のパケットモニタリングポイントｍ５を選択し、続いて、優先度３０のパケットモニタリングポイントｍ７を選択し、続いて、優先度１０のパケットモニタリングポイントｍ８を選択する。

以上から、決定部１１は、経路ｃの決定時には、図６（ｆ）の太枠内に示すように、経路ａ、経路ｂ若しくは経路ｃ上の各パケットモニタリングポイントｍｘ（ｘ＝１、２、３、４、５、６、７、８）のなかからモニタリング可能数４のパケットモニタリングポイントｍｘ（ｘ＝１、５、７、８）を決定する。なお、決定部１１は、異なる経路ａ、ｂ、ｃの異なるパケットモニタリングポイントｍ１、ｍ５、ｍ７に同一の優先度３０を設定しているが、先に決定した経路順（経路ａ、ｂ、ｃの準）にパケットモニタリングポイントｍ１、ｍ５、ｍ７としている。また、決定部１１は、異なる経路ａ、ｃの異なるパケットモニタリングポイントｍ４、ｍ８に同一の優先度２０を設定しているが、後に決定した経路（経路ｃ）上のパケットモニタリングポイントｍ８を優先している。

以上、モニタリング可能数に対応すべく、決定部１１によるパケットモニタリングポイントを選択して決定する動作を説明したが、解析部２２に供給する受信情報を集約することによってモニタリング可能数に対応してもよい。具体的には、選択部１２から供給された受信情報に、当該受信情報の送信元であるパケットモニタリングポイントを識別する識別情報を付加し、識別情報を付加した受信情報を解析部２２に供給する識別情報付加部１３を更に備えるようにしてもよい。

図７は、識別情報付与部１３を備える場合の管理装置１０の構成例である。識別情報付与部１３を備える場合、選択部１２は、図７に示すように、受信情報を識別情報付加部１３に供給する。識別情報付加部１３は、選択部１２から供給された受信情報に、当該受信情報の送信元であるパケットモニタリングポイントを識別する識別情報を付加し、識別情報を付加した受信情報を解析部２２に供給する。例えば、識別情報付加部１３は、Ｅｔｈｅｒｎｅｔスイッチで実現する。但し、多数のポートがあり、入力ポートの選択が可能で、ポート単位にＶＬＡＮ‐ＩＤを設定（付与）可能な機器であれば、Ｅｔｈｅｒｎｅｔスイッチでなくてもよい。なお、選択部１２と識別情報付加部１３とは同一機器で構成されていてもよい。

図８は、識別情報付加部１３の動作を説明する為の説明図である。識別情報付加部１３は、Ｅｔｈｅｒｎｅｔフレームのデータ部に受信情報を収容して解析部２２に供給する場合、図８（ｂ）のテーブルを参照し、図８（ａ）に示すように、付加すべきパケットモニタリングポイント識別情報（パケットを取得したパケットモニタリングポイントを識別するパケットモニタリングポイント識別情報）に対応するＶＬＡＮ‐ＩＤを設定する。なお、ＶＬＡＮ‐ＩＤは、パケットモニタリングポイントを識別する識別情報に相当する。図８（ｂ）に示すテーブルに基づいて、ＶＬＡＮ‐ＩＤの値からパケットモニタリングポイントを識別可能だからである。なお、図８（ｂ）に示すテーブルの内容は、例えば、決定部１１がパケットモニタリングポイントを決定したときに追加、更新、削除される。

一方、解析部２２は、識別情報付加部１３からＥｔｈｅｒｎｅｔフレームを取得した場合、図８（ｂ）に示すテーブルを参照し、データ部に収容されている受信情報（パケット情報）が何れのパケットモニタリングポイントにて取得されたものであるかを特定する。以上のように、識別情報付加部１３から解析部２２に供給する情報を、ＶＬＡＮを活用して集約することによってモニタリング可能数に対応する。なお、識別情報付加部１３は、ＶＬＡＮ‐ＩＤの値に付加すべきパケットモニタリングポイント識別情報を直接代入してもよい。

以上、本実施形態によれば、パケット取得点として決定され得るルータ、レイヤ３スイッチ、レイヤ２スイッチなどにパケット取得装置を事前に設置しつつ、指定セッションの状態を解析するために必要な最小限の受信情報を蓄積して解析するため、ネットワークの状態を解析する際の、管理者の負担およびシステム上の負荷を低減させることができるようになる。

また、モニタリング可能数に制限がある場合であっても、パケットモニタリングポイントの選択、受信情報の集約によって、複数のセッションに対して最低限の解析をすることができるようになる。

なお、本発明の一実施形態による解析システム１の各処理を実行するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、当該記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、本発明の一実施形態による解析システム１に係る上述した種々の処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

ネットワークの模式図である。 本発明の一実施形態による解析システム１の構成例である。 解析装置２０から出力される画面例である。 解析装置２０から出力される画面例である。 本発明の実施形態に係る解析システム１の動作の一例を示すフローチャートである。 決定部１１の動作を説明する為の説明図である。 識別情報付与部１３を備える場合の管理装置１０の構成例である。 識別情報付与部１３の動作を説明する為の説明図である。

符号の説明

１ 解析システム １０ 管理装置（解析支援装置） １１ 決定部 １２ 選択部 １３ 識別情報付加部 ２０ 解析装置 ２１ 入出力部 ２２ 解析部

Claims (7)

1. パケットを取得する複数のパケット取得点を有するネットワーク上の前記複数のパケット取得点のなかから、送信元と宛先とを指定されたパケットの経路上に存在する特定パケット取得点を決定する決定部と、
   前記複数のパケット取得点からパケット情報を受信する受信部と、
   前記受信部によって受信される前記パケット情報のうち、前記特定パケット取得点から受信する前記パケット情報のみを出力する選択部と
   を備えることを特徴とする解析支援装置。
2. 前記決定部は、
   前記特定パケット取得点毎の優先度に基づいて、所定の数以下の前記特定パケット取得点を決定することを特徴とする請求項１に記載の解析支援装置。
3. 前記決定部は、
   前記経路上に存在する前記特定パケット取得点の位置関係に基づいて前記優先度を決定することを特徴とする請求項２に記載の解析支援装置。
4. 前記選択部によって出力される前記パケット情報に当該パケット情報の送信元である前記特定パケット取得点を識別する識別情報を付加する識別情報付加部を
   更に備えることを特徴とする請求項１に記載の解析支援装置。
5. パケットを取得する複数のパケット取得点を有するネットワークの状態を解析するネットワーク解析システムであって、
   前記複数のパケット取得点のなかから、送信元と宛先とを指定されたパケットの経路上に存在する特定パケット取得点を決定する決定部と、
   前記複数のパケット取得点からパケット情報を受信する受信部と、
   前記受信部によって受信される前記パケット情報のうち、前記特定パケット取得点から受信する前記パケット情報のみを出力する選択部と、
   前記選択部が出力した複数の前記パケット情報から、同一のパケットに係る複数の前記パケット情報を同定し、同定した前記複数のパケット情報に基づいてネットワークの状態を解析する解析部と
   を備えることを特徴とする解析システム。
6. パケットを取得する複数のパケット取得点を有するネットワークの状態の解析を支援する解析支援装置のコンピュータに、
   前記ネットワーク上の前記複数のパケット取得点のなかから、送信元と宛先とを指定されたパケットの経路上に存在する特定パケット取得点を決定する決定ステップと、
   前記複数のパケット取得点からパケット情報を受信する受信ステップと、
   前記受信ステップによって受信される前記パケット情報のうち、前記特定パケット取得点から受信する前記パケット情報のみを出力する選択ステップと
   を実行させることを特徴とするプログラム。
7. パケットを取得する複数のパケット取得点を有するネットワークの状態の解析する解析システムを構成する１以上の装置のコンピュータに、
   前記ネットワーク上の前記複数のパケット取得点のなかから、送信元と宛先とを指定されたパケットの経路上に存在する特定パケット取得点を決定する決定ステップと、
   前記複数のパケット取得点からパケット情報を受信する受信ステップと、
   前記受信ステップによって受信される前記パケット情報のうち、前記特定パケット取得点から受信する前記パケット情報のみを出力する選択ステップと、
   前記選択ステップによって出力された複数の前記パケット情報から、同一のパケットに係る複数の前記パケット情報を同定し、同定した前記複数のパケット情報に基づいてネットワークの状態を解析する解析ステップと
   を実行させることを特徴とするプログラム。

Images