WO2021014552A1 - バーストトラフィック検知装置及び方法 - Google Patents

バーストトラフィック検知装置及び方法 Download PDF

Info

Publication number
WO2021014552A1
WO2021014552A1 PCT/JP2019/028797 JP2019028797W WO2021014552A1 WO 2021014552 A1 WO2021014552 A1 WO 2021014552A1 JP 2019028797 W JP2019028797 W JP 2019028797W WO 2021014552 A1 WO2021014552 A1 WO 2021014552A1
Authority
WO
WIPO (PCT)
Prior art keywords
burst
detection
flow rule
flow
unit
Prior art date
Application number
PCT/JP2019/028797
Other languages
English (en)
French (fr)
Inventor
周平 吉田
祐太 右近
晶子 大輝
奈美子 池田
新田　高庸
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2021534442A priority Critical patent/JP7238993B2/ja
Priority to US17/628,954 priority patent/US20220263733A1/en
Priority to PCT/JP2019/028797 priority patent/WO2021014552A1/ja
Publication of WO2021014552A1 publication Critical patent/WO2021014552A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/18—Protocol analysers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2441—Traffic characterised by specific attributes, e.g. priority or QoS relying on flow classification, e.g. using integrated services [IntServ]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2483—Traffic characterised by specific attributes, e.g. priority or QoS involving identification of individual flows
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/55—Push-based network services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers

Definitions

  • the present invention relates to a technique for detecting burst traffic, which is one of the causes of communication failures such as packet loss and network delay in an IP network.
  • burst traffic In recent years, as networks have become faster and larger in capacity, communication failures caused by rapidly increasing traffic (burst traffic) in a short period of time have become a problem.
  • burst traffic occurs, a large number of packets arrive in the buffer of the switch device in the network path, which may cause network delay or packet loss.
  • the service quality deteriorates. Therefore, it is important to identify the cause of burst traffic traffic and quickly recover from the failure.
  • Non-Patent Document 1 relates to a commercially available network monitoring device, and can be detected with a time resolution of up to 1 ms.
  • burst traffic is displayed on the screen at each detection interval (for example, every 1 ms). Retaining all the detected burst traffic information is detailed as detection information, but when performing microburst detection for traffic of thousands to tens of thousands of flows in the data center, the amount of data to be retained is It becomes excessive and requires a lot of memory resources.
  • the present invention has been made to solve the above problems, and provides a burst traffic detection device capable of realizing burst traffic analysis for a plurality of flows with less memory resources as compared with the prior art.
  • the purpose is to do.
  • the burst traffic detection device of the present invention has a packet receiving unit that receives a packet from a network, a flow identification unit that identifies a flow rule based on the header information of the packet, and the identified flow.
  • a flow information holding unit that holds the flow information of the rule, a statistical information holding unit that holds statistical information consisting of the cumulative number of packets and / or the cumulative number of bytes for each flow rule, and a burst traffic based on the statistical information.
  • the burst detection unit includes a burst detection unit that detects the occurrence and a detection number holding unit that holds the number of occurrences of the burst traffic, and the burst detection unit has a preset threshold value for the cumulative number of packets and / or the cumulative number of bytes. Is determined in a predetermined first cycle, the detection number holding unit accumulates the number of times the threshold is exceeded as the burst detection number for each flow rule, and the statistical information holding unit said. After accumulating the number of burst detections for each flow rule, the statistical information of the flow rule is deleted.
  • the traffic monitoring method of the present invention includes a packet reception step of receiving a packet from a network, a flow identification step of identifying a flow rule based on the header information of the packet, and the identified flow rule.
  • a flow information holding unit that holds the flow information of the above, a statistical information holding step that holds statistical information consisting of the cumulative number of packets and / or the cumulative number of bytes for each flow rule, and the cumulative number of packets and / or the cumulative number of packets for each flow rule.
  • a burst detection step for detecting the occurrence of burst traffic by determining whether or not the cumulative number of bytes exceeds a preset threshold in a predetermined first cycle, and the number of times the threshold is exceeded are determined for each flow rule. Includes a detection number holding step that accumulates as the burst detection number, and a statistical information deletion step that deletes the statistical information of the flow rule after accumulating the burst detection number for each flow rule.
  • FIG. 1 is a block diagram showing a configuration of a burst traffic detection device according to a first embodiment of the present invention.
  • FIG. 2 is a flowchart showing an operation procedure of the burst traffic detection method according to the first embodiment of the present invention.
  • FIG. 3 is a block diagram showing details of the burst detection unit.
  • FIG. 4 is a diagram showing a flow information table held in the flow information holding unit.
  • FIG. 5 is a diagram showing a statistical information table held in the statistical information holding unit.
  • FIG. 6 is a diagram showing a detection information table held in the detection information holding unit.
  • FIG. 7 is a block diagram showing a configuration of a burst traffic detection device according to a second embodiment of the present invention.
  • FIG. 8 is a flowchart showing an operation procedure of the burst traffic detection method according to the second embodiment of the present invention.
  • FIG. 1 is a block diagram showing a configuration of a burst traffic detection device according to a first embodiment of the present invention.
  • the detection unit 100 may further include a detection number transmission unit 19 that transmits the burst detection number for each flow rule accumulated in the detection number holding unit 17 to the analysis unit 200.
  • the number of burst detections for each flow rule may be transmitted in a predetermined cycle T2 (second cycle).
  • the analysis unit 200 that analyzes the burst traffic is composed of a detection number reception unit 20 that receives the burst detection number from the detection number transmission unit 19 and a detection information holding unit 21 that holds the received detection number.
  • the above-mentioned predetermined cycles T1 and T2 and the threshold information used for burst detection may be set in advance in the burst detection unit 15 and the detection number transmission unit 19, or the burst detection unit may be set in the predetermined cycles T1 and T2. It is also possible to include a timer unit 18 that transmits a trigger to the 15 and the detection number transmission unit 19, and a parameter setting unit 16 that sets various parameters (cycles T1, T2, threshold values used for burst detection).
  • the functions of the detection unit 100 and the analysis unit 200 may be implemented as software using a CPU, or as hardware such as FPGA (Field Programmable Gate Array) or ASIC (Application Specific Integrated Circuit). You may.
  • FPGA Field Programmable Gate Array
  • ASIC Application Specific Integrated Circuit
  • the packet receiving unit 10 receives a packet from the network to which the burst traffic detecting device is connected (packet receiving step S1-1).
  • the header analysis unit 11 analyzes the header by extracting the value of each header field of the received packet (header analysis step S1-2). Then, the flow identification unit 12 determines which flow rule the received packet belongs to based on the value of each extracted header field (flow identification step S1-3). Specifically, it searches whether the corresponding flow rule is registered in the flow information holding unit 13, and if it is already registered, the flow ID of the corresponding flow rule is acquired. If it is not registered, a flow rule is newly registered in the flow information holding unit 13 and a new flow ID is acquired.
  • the flow identification unit 12 notifies the statistical information holding unit 14 of the flow ID and the number of bytes of the packet.
  • the statistical information holding unit 14 searches whether the notified flow ID is already registered in the held statistical information, and if it is registered, increments the cumulative number of packets of the corresponding flow ID by 1 and calculates the cumulative number of bytes. By incrementing by the number of notified bytes, statistical information consisting of the cumulative number of packets and the cumulative number of bytes is held for each flow rule (statistical information holding step S1-4). If the notified flow ID is not registered in the statistical information, the statistical information holding unit 14 newly registers the flow ID, sets the cumulative number of packets to 1, and sets the cumulative number of bytes to the notified number of bytes.
  • both the cumulative number of packets and the cumulative number of bytes may be retained, or it may be configured to retain either the cumulative number of packets or the cumulative number of bytes.
  • the statistical information may be appropriately set according to the analysis content of the burst traffic.
  • the burst detection unit 15 detects the occurrence of burst traffic based on the cumulative number of packets and the cumulative number of bytes.
  • the occurrence of burst traffic is determined by determining whether or not the cumulative number of packets and the cumulative number of bytes of any of the flow rules exceeds a preset threshold value for each predetermined cycle T1. Burst detection step S1-9). If the threshold is exceeded, it is determined that burst traffic has occurred, and the number of burst detections of the corresponding flow rule held by the detection count holding unit 17 is incremented by 1, so that the number of burst detections is increased for each flow rule. Accumulate (detection count holding step S1-10).
  • the statistical information holding unit 14 clears 0 of the retained statistical information of the corresponding flow rule that has accumulated the number of burst detections (S1-11).
  • the statistical information holding unit 14 clears the statistical information of the corresponding flow rule to 0 even if the cumulative number of packets and the cumulative number of bytes do not exceed a preset threshold value (statistical information deletion step S1-11).
  • the statistical information used to detect the occurrence of burst traffic is deleted, and only the number of burst detections for each flow rule is deleted. Will be accumulated, so that burst traffic analysis for multiple flows can be realized with less memory resources.
  • the number of burst detections for each flow rule accumulated in the detection unit 100 is transmitted to the analysis unit 200 in a predetermined second cycle. It is determined whether the predetermined cycle T2 has elapsed (S1-6), and if it has elapsed, the detection number transmission unit 19 determines the burst detection number held by the detection number holding unit 17 as the detection number reception unit 20. (Detection number transmission step S1-7). After the burst detection number is transmitted, the burst detection number held in the detection number holding unit 17 is cleared to 0 (detection number deletion step S1-8).
  • the detection information holding unit 21 of the analysis unit 200 can detect the bursts in each predetermined cycle T2. Only the number of times will be retained. By holding only the number of burst detections in the predetermined cycle T2, it is possible to realize the analysis of the burst traffic in a fine cycle with less memory resources.
  • a predetermined cycle T2 may be registered in advance in the detection count transmission unit 19, or a burst detection count may be transmitted triggered by a trigger transmitted from the timer unit 18 in the predetermined cycle T2. You may.
  • the predetermined period T2 may be set to a time equal to or longer than the period T1.
  • the predetermined cycles T1 and T2 can be appropriately set according to the state of the traffic to be analyzed and the content of the data analysis.
  • FIG. 3 is a block diagram showing details of the burst detection unit.
  • the burst detection unit 15 includes a byte counter for accumulating the number of bytes of packets conforming to the flow rule, a packet counter 151 for accumulating the number of packets, and the number of packets and bytes accumulated in a predetermined cycle T1. It is composed of a comparator 152 that determines whether or not the number exceeds a preset threshold, and a detection count counter 153 that counts the number of times the number exceeds the threshold.
  • the threshold value may be set to a different value for each flow rule.
  • FIG. 4 is a diagram showing a flow information table held in the flow information holding unit.
  • the source / destination MAC address and the source / destination IP address are adopted as header field information for identifying the flow rule as an example, but the information for identifying the flow rule is limited to them. It's not a thing.
  • the flow rule may be identified using header field information such as source / destination port number, protocol type, VLAN ID, and VXLAN ID.
  • FIG. 5 is a diagram showing a statistical information table held in the statistical information holding unit.
  • the statistical information holding unit 14 can hold the cumulative number of packets and the cumulative number of bytes for each flow rule, and the cumulative number of packets and the cumulative number of bytes of the entire received traffic together.
  • both the cumulative number of packets and the cumulative number of bytes may be retained, or it may be configured to retain either the cumulative number of packets or the cumulative number of bytes.
  • FIG. 6 is a diagram showing a detection information table held in the detection information holding unit.
  • the detection number holding unit 17 holds the burst detection number for one period of the predetermined cycle T2, transmits the burst detection number to the analysis unit 200 for each cycle T2, and clears the burst detection number to 0.
  • the detection information holding unit 21 of the analysis unit 200 holds the number of detections for a plurality of periods of the transmitted cycle T2.
  • the statistical information used for determining the occurrence of burst traffic is deleted, so that the burst traffic is generated for each flow rule. Only the number of times is accumulated, and analysis of burst traffic for a plurality of flows can be realized with less memory resources. Further, if it is configured to hold only the number of burst detections accumulated in each predetermined cycle, it is possible to realize the analysis of burst traffic in a fine cycle with a smaller number of memory resources. According to the present embodiment, it is possible to acquire sufficient analysis data for primary isolation for identifying the flow that causes burst traffic while saving memory resources.
  • FIG. 7 is a block diagram showing a configuration of a burst traffic detection device according to a second embodiment of the present invention.
  • the burst traffic detection device 1 includes a capture unit 300 in addition to the detection unit 100 of the first embodiment. Similar to the detection unit 100 and the analysis unit 200, the function of the capture unit 300 may be implemented as software using a CPU, or may be implemented as hardware such as FPGA or ASIC.
  • the capture unit 300 generates capture data based on the capture control unit 30 that controls the capture operation of the received packet, the packet holding unit 31 that stores the received packet as needed, and the packet stored in the packet holding unit 31. It is composed of a capture data generation unit 32.
  • the analysis unit 200 in the second embodiment includes a capture data receiving unit 22 that receives the capture data transmitted from the capture data generation unit 32 of the capture unit 300, and a capture data holding unit 23 that holds the received capture data. ..
  • the captured data is data that captures at least a part of the packet received by the burst traffic detection device 1, and is used to analyze the traffic when the burst traffic is detected in more detail. For example, packet data in a predetermined period when burst traffic occurs can be extracted from received packets and used as capture data.
  • the packet holding unit 31 stores the data of the received packet identified by the flow identification unit as needed.
  • the capture data generation unit 32 generates capture data using the data of the received packet stored in the packet holding unit 31, triggered by the accumulation of the number of burst detections in the burst detection unit 15.
  • the capture data generated by the capture data generation unit 32 is transmitted to the analysis unit 200, and is used for burst traffic analysis together with the burst detection number data transmitted from the detection unit 100.
  • the steps (S2-1 to S2-10) from receiving the packet to detecting the occurrence of burst traffic in the burst traffic detection method according to the second embodiment are the same as those in the first embodiment. ..
  • step S2-10 as a result of determining whether the cumulative number of packets and the cumulative number of bytes exceed the preset threshold value, if the threshold value is exceeded, the number of burst detections is accumulated (S2-11).
  • the number of burst detections is accumulated (S2-11).
  • the capture data is appropriately set according to the state of the traffic to be analyzed and the content of the data analysis. It is possible. Further, the storage timing and the amount of data of the received packet stored in the packet holding unit 31 used for generating the capture data may be appropriately set according to the content of the data analysis and the required memory resource.
  • the statistical information is cleared to 0 as in the first embodiment (S2-14). Similar to the first embodiment, the burst detection number may be transmitted every predetermined cycle T2 (S2-7 to S2-9).
  • the burst detection function and the packet capture function together, it is possible to perform a two-step analysis of a coarse analysis according to the first embodiment and a detailed analysis using the captured data. Therefore, efficient analysis is possible as compared with the case of analyzing all received data.
  • 1 ... Burst traffic detection device 10 ... Packet reception unit, 11 ... Header analysis unit, 12 ... Flow identification unit, 13 ... Flow information holding unit, 14 ... Statistical information holding unit, 15 ... Burst detection unit, 16 ... Parameter setting unit , 17 ... Detection number holding unit, 18 ... Timer unit, 19 ... Detection number transmission unit, 100 ... Detection unit, 200 ... Analysis unit.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Mining & Analysis (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Pure & Applied Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本発明のバーストトラフィック検知装置（１）は、ネットワークからパケットを受信するパケット受信部（１０）と、パケットのヘッダ情報に基づいてフロールールを識別するフロー識別部（１２）と、識別したフロールールのフロー情報を保持するフロー情報保持部（１３）と、フロールール毎の累積パケット数および／または累積バイト数からなる統計情報を保持する統計情報保持部（１４）と、統計情報に基づいて、バーストトラフィックの発生を検知するバースト検知部（１５）と、バーストトラフィックの発生の回数を保持する検知回数保持部（１７）とを備え、バースト検知部（１５）は、累積パケット数および／または累積バイト数が、予め設定された閾値を超えたかどうかを所定の第１の周期で判定し、検知回数保持部（１７）は、閾値を超えた回数を、フロールール毎にバースト検知回数として蓄積し、統計情報保持部（１４）は、フロールール毎のバースト検知回数の蓄積後に、当該フロールールの統計情報を削除するように構成される。　複数フローに対するバーストトラフィックの解析を、より少ないメモリリソースで実現することができる。

Description

バーストトラフィック検知装置及び方法
　本発明は、ＩＰネットワークにおいてパケットロスやネットワーク遅延などの通信障害の要因の一つであるバーストトラフィックを検知する技術に関するものである。
　近年ネットワークの高速大容量化が進んだことで、短時間で急激に増加するトラフィック（バーストトラフィック）に起因する通信障害が問題視されるようになった。バーストトラフィックが発生すると、ネットワーク経路中にあるスイッチ機器のバッファに大量のパケットが到着し、ネットワーク遅延あるいはパケットロスが発生する可能性がある。上記のような通信障害が発生するとサービス品質の低下を招くため、バーストトラフィックトラフィック発生原因を特定し、迅速に障害復旧を行うことが重要である。
　バーストトラフィックを検知することを目的として、種々の検討がなされている。例えば、パケットが入力される度に、パケット数やバイト数といった統計情報をフロー毎に蓄積し、一定の検知間隔で設定した閾値を超えるかを判定することでどの時刻にどのフローでバーストが発生したかという情報を取得できる方法がある。非特許文献１は、市販のネットワーク監視装置に関するものであるが、１ｍｓまでの時間分解能で検知可能となっている。
「Data Quality Analyzer MD1230B」, Anritsu, Product Brochure,［令和1年７月２３日検索］、インターネット〈URL：https://dl.cdn-anritsu.com/ja-jp/test-measurement/files/Brochures-Datasheets-Catalogs/Brochure/md1230b-j11100.pdf
　非特許文献１の製品では、検知間隔毎（例えば、１ｍｓ毎）にバーストトラフィックを画面表示している。検知したバーストトラフィックの情報を全て保持するのは検知情報として詳細ではあるが、データセンタ内の数千～数万フローのトラフィックに対してマイクロバースト検知を行う場合には、保持すべきデータ量が過大になり、多くのメモリリソースが必要になる。
　本発明は、上記課題を解決するためになされたものであり、従来技術と比較して、複数フローに対するバーストトラフィックの解析を、より少ないメモリリソースで実現することが可能なバーストトラフィック検知装置を提供することを目的とする。
　上記課題を解決するために、本発明のバーストトラフィック検知装置は、ネットワークからパケットを受信するパケット受信部と、前記パケットのヘッダ情報に基づいてフロールールを識別するフロー識別部と、識別した前記フロールールのフロー情報を保持するフロー情報保持部と、前記フロールール毎の累積パケット数および／または累積バイト数からなる統計情報を保持する統計情報保持部と、前記統計情報に基づいて、バーストトラフィックの発生を検知するバースト検知部と、前記バーストトラフィックの発生の回数を保持する検知回数保持部とを備え、前記バースト検知部は、前記累積パケット数および／または累積バイト数が、予め設定された閾値を超えたかどうかを所定の第１の周期で判定し、前記検知回数保持部は、前記閾値を超えた回数を、前記フロールール毎にバースト検知回数として蓄積し、前記統計情報保持部は、前記フロールール毎の前記バースト検知回数の蓄積後に、当該フロールールの前記統計情報を削除するように構成される。
　上記課題を解決するために、本発明のトラフィック監視方法は、ネットワークからパケットを受信するパケット受信ステップと、前記パケットのヘッダ情報に基づいてフロールールを識別するフロー識別ステップと、識別した前記フロールールのフロー情報を保持するフロー情報保持部と、前記フロールール毎の累積パケット数および／または累積バイト数からなる統計情報を保持する統計情報保持ステップと、前記フロールール毎の累積パケット数および／または累積バイト数が予め設定された閾値を超えるかどうかを所定の第１の周期で判定することにより、バーストトラフィックの発生を検知するバースト検知ステップと、前記閾値を超えた回数を、前記フロールール毎に前記バースト検知回数として蓄積する検知回数保持ステップと、前記フロールール毎の前記バースト検知回数の蓄積後に、当該フロールールの前記統計情報を削除する統計情報削除ステップとを含む。
　本発明によれば、従来技術と比較して、複数フローに対するバーストトラフィックの解析を、より少ないメモリリソースで実現することができる。
図１は、本発明の第１の実施の形態に係るバーストトラフィック検知装置の構成を示すブロック図である。 図２は、本発明の第１の実施の形態に係るバーストトラフィック検知方法の動作手順を示すフローチャートである。 図３は、バースト検知部の詳細を示すブロック図である。 図４は、フロー情報保持部に保持されるフロー情報テーブルを示す図である。 図５は、統計情報保持部に保持される統計情報テーブルを示す図である。 図６は、検知情報保持部に保持される検知情報テーブルを示す図である。 図７は、本発明の第２の実施の形態に係るバーストトラフィック検知装置の構成を示すブロック図である。 図８は、本発明の第２の実施の形態に係るバーストトラフィック検知方法の動作手順を示すフローチャートである。
　以下、本発明の実施の形態を図面に基づいて詳細に説明する。本発明は、以下の実施の形態に限定されるものではない。
＜第１の実施の形態＞
　本発明の第１の実施の形態について説明する。図１は、本発明の第１の実施の形態のバーストトラフィック検知装置の構成を示すブロック図である。
＜バーストトラフィック検知装置の構成＞
　第１の実施の形態のバーストトラフィック検知装置１は、バーストトラフィックの発生を検知し、バーストトラフィックの発生回数を保持する検知部１００から構成され、必要に応じてバーストトラフィックを解析する解析部２００を備えることもできる。
　検知部１００は、接続されたネットワークからパケットを受信するパケット受信部１０と、受信したパケットのヘッダを解析するヘッダ解析部１１と、解析したヘッダ情報に基づいて、そのパケットに係るトラフィックのフロールールを識別するフロー識別部１２と、フロー情報を保持するフロー情報保持部１３と、フロールール毎の累積パケット数および累積バイト数からなる統計情報を保持する統計情報保持部１４と、統計情報保持部１４に保持されたフロールール毎の累積パケット数および累積バイト数が予め設定された閾値を超えるかどうかを所定の周期Ｔ１（第１の周期）で判定するバースト検知部１５と、閾値を超えた回数を、フロールール毎にバースト検知回数として蓄積する検知回数保持部１７とから構成される。
　検知部１００は、更に、検知回数保持部１７に蓄積されたフロールール毎のバースト検知回数を解析部２００に送信する検知回数送信部１９を備えてもよい。例えば、所定の周期Ｔ２（第２の周期）でフロールール毎のバースト検知回数を送信するようにしてもよい。バーストトラフィックを解析する解析部２００は、検知回数送信部１９からバースト検知回数を受信する検知回数受信部２０と、受信した検知回数を保持する検知情報保持部２１から構成される。
　上述した所定の周期Ｔ１、Ｔ２や、バースト検知に用いる閾値の情報は、予めバースト検知部１５と検知回数送信部１９に設定しておいてもよいし、所定の周期Ｔ１、Ｔ２でバースト検知部１５と検知回数送信部１９にトリガを送信するタイマー部１８と、各種パラメータ（周期Ｔ１、Ｔ２、バースト検知に用いる閾値）を設定するパラメータ設定部１６を備えることもできる。
　ここで、検知部１００と解析部２００の機能は、ＣＰＵを用いてソフトウェアとして実装してもよいし、あるいはＦＰＧＡ（Field Programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit）などのハードウェアとして実装してもよい。
＜バーストトラフィック検知方法の動作フロー＞
　第１の実施の形態におけるバーストトラフィック検知方法の動作手順を図２を用いて説明する。図２のフローチャートは、あくまでバーストトラフィック検知方法の動作を分りやすく説明するためのものであり、制御手順や実装方法を限定するものでは無い。
　本実施の形態に係るバーストトラフィック検知方法では、まず、パケット受信部１０においてバーストトラフィック検知装置が接続されたネットワークからパケットを受信する（パケット受信ステップＳ１－１）。
　次に、ヘッダ解析部１１において、受信したパケットの各ヘッダフィールドの値を抽出することによりヘッダを解析する（ヘッダ解析ステップＳ１－２）。そして、フロー識別部１２において、抽出した各ヘッダフィールドの値に基づいて受信したパケットがどのフロールールに属するかを判定する（フロー識別ステップＳ１－３）。具体的には、フロー情報保持部１３に該当フロールールが登録されているか検索し、すでに登録されていれば、該当フロールールのフローＩＤを取得する。登録されていなければ、新規にフロー情報保持部１３にフロールールを登録し、新規のフローＩＤを取得する。
　次に、フロー識別部１２は、統計情報保持部１４に対して、フローＩＤとパケットのバイト数を通知する。統計情報保持部１４は、保持する統計情報に、通知されたフローＩＤがすでに登録されているかを検索し、登録されていれば、該当フローＩＤの累積パケット数を１インクリメントし、累積バイト数を通知されたバイト数分インクリメントすることにより、フロールール毎に累積パケット数および累積バイト数からなる統計情報を保持する（統計情報保持ステップＳ１－４）。統計情報保持部１４では、通知されたフローＩＤが統計情報に登録されていなければ、新規にフローＩＤを登録し、累積パケット数を１とし、累積バイト数を通知されたバイト数とする。
　ここで、統計情報としては、累積パケット数と累積バイト数の両方を保持するようにしてもよいし、累積パケット数と累積バイト数のいずれかを保持するように構成することができる。統計情報は、バーストトラフィックの解析内容に応じて適宜設定すればよい。
　バースト検知部１５は、累積パケット数および累積バイト数に基づいて、バーストトラフィックの発生を検知する。本実施の形態では、所定の周期Ｔ１毎に、いずれかのフロールールの累積パケット数および累積バイト数が予め設定された閾値を超えているかどうかを判定することによりバーストトラフィックの発生を判定する（バースト検知ステップＳ１－９）。もし、閾値を超えている場合は、バーストトラフィックが発生したと判定し、検知回数保持部１７に保持された該当フロールールのバースト検知回数を１インクリメントすることにより、フロールール毎にバースト検知回数を蓄積する（検知回数保持ステップＳ１－１０）。
　統計情報保持部１４では、バースト検知回数の蓄積後において、保持された統計情報の内、バースト検知回数を蓄積した該当フロールールの統計情報を０クリアする（Ｓ１－１１）。ここで、統計情報保持部１４では、累積パケット数および累積バイト数が予め設定された閾値を超えていない場合でも、該当フロールールの統計情報を０クリアする（統計情報削除ステップＳ１－１１）。
　このように、バーストトラフィックの発生の判定後において、統計情報を削除するように構成することで、バーストトラフィックの発生を検知するために用いた統計情報は削除され、フロールール毎のバースト検知回数のみが蓄積されることとなるため、複数フローに対するバーストトラフィックの解析を、より少ないメモリリソースで実現することができるようになる。
　図２のフローチャートでは、検知部１００において蓄積されたフロールール毎のバースト検知回数を、所定の第２の周期で解析部２００に送信する。所定の周期Ｔ２が経過しているかを判定し（Ｓ１－６）、経過している場合には、検知回数送信部１９が検知回数保持部１７に保持されたバースト検知回数を検知回数受信部２０に送信する（検知回数送信ステップＳ１－７）。バースト検知回数の送信後において、検知回数保持部１７に保持されたバースト検知回数は０クリアされる（検知回数削除ステップＳ１－８）。
　所定の周期Ｔ２で蓄積されたバースト検知回数を送信して、バースト検知回数を０クリアするように構成することで、解析部２００の検知情報保持部２１には、所定の周期Ｔ２毎のバースト検知回数のみが保持されることとなる。所定の周期Ｔ２でバースト検知回数のみを保持することで、細かい周期でのバーストトラフィックの解析を、より少ないメモリリソースで実現することができる。
　検知回数送信部１９には、所定の周期Ｔ２を予め登録しておいてもよいし、タイマー部１８から所定の周期Ｔ２で送信されるトリガを契機として、バースト検知回数を送信するように構成してもよい。所定の周期Ｔ２は、周期Ｔ１と等しい時間かあるいはＴ１よりも長い時間に設定すればよい。所定の周期Ｔ１、Ｔ２は、解析対象となるトラフィックの状態やデータ解析の内容に応じて適宜設定することが可能である。
　図３は、バースト検知部の詳細を示すブロック図である。バースト検知部１５は、フロールール毎に、そのフロールールに適合するパケットのバイト数を蓄積するバイト数カウンタおよびパケット数を蓄積するパケット数カウンタ１５１と、所定の周期Ｔ１で蓄積したパケット数およびバイト数が予め設定された閾値を超えているかどうかを判定する比較器１５２と、閾値を超えた回数をカウントする検知回数カウンタ１５３とから構成される。ここで、閾値はフロールール毎に異なる値を設定するようにしても良い。
　図４は、フロー情報保持部に保持されるフロー情報テーブルを示す図である。図４では、一例として送信元／宛先ＭＡＣアドレスと送信元／宛先ＩＰアドレスをフロールールを識別するためのヘッダフィールド情報として採用しているが、フロールールを識別する情報は、それらに限定されるものではない。送信元／宛先ポート番号、プロトコル種別、ＶＬＡＮ ＩＤ、ＶＸＬＡＮ ＩＤなどのヘッダフィールド情報を用いてフロールールを識別してもよい。
　図５は、統計情報保持部に保持される統計情報テーブルを示す図である。統計情報保持部１４では、フロールール単位での累積パケット数、累積バイト数と、受信したトラフィック全体の累積パケット数、累積バイト数を併せて保持することができる。統計情報としては、累積パケット数と累積バイト数の両方を保持するようにしてもよいし、累積パケット数と累積バイト数のいずれかを保持するように構成することができる。
　図６は、検知情報保持部に保持される検知情報テーブルを示す図である。検知回数保持部１７では、バースト検知回数を所定の周期Ｔ２の１期間分だけ保持し、周期Ｔ２毎に解析部２００にバースト検知回数を送信し、バースト検知回数を０クリアする。解析部２００の検知情報保持部２１では、送信された周期Ｔ２の複数期間分の検知回数を保持する。
　このように、第１の実施形態によれば、バーストトラフィックの発生の判定後において、バーストトラフィックの発生の判定に用いた統計情報を削除するように構成したので、フロールール毎のバーストトラフィックの発生回数のみが蓄積されることとなり、複数フローに対するバーストトラフィックの解析を、より少ないメモリリソースで実現することができる。また、所定の周期毎に蓄積したバースト検知回数のみを保持するように構成すれば、細かい周期でのバーストトラフィックの解析を、より少ないメモリリソースで実現することが可能となる。本実施の形態によれば、メモリリソースを節約しながら、バーストトラフィックの要因となるフローを特定するための一次切り分けをするのに十分な解析データを取得することができる。
＜第２の実施の形態＞
　本発明の第２の実施の形態について説明する。図７は、本発明の第２の実施の形態に係るバーストトラフィック検知装置の構成を示すブロック図である。
＜バーストトラフィック検知装置の構成＞
　第２の実施の形態に係るバーストトラフィック検知装置１は、第１の実施の形態の検知部１００に加えて、キャプチャ部３００を備える。キャプチャ部３００の機能は、検知部１００、解析部２００と同様に、ＣＰＵを用いてソフトウェアとして実装してもよいし、あるいはＦＰＧＡやＡＳＩＣなどのハードウェアとして実装してもよい。
　キャプチャ部３００は、受信パケットのキャプチャ動作を制御するキャプチャ制御部３０と、受信パケットを必要に応じて格納するパケット保持部３１と、パケット保持部３１に格納されたパケットに基づいてキャプチャデータを生成するキャプチャデータ生成部３２からなる。第２の実施の形態における解析部２００は、キャプチャ部３００のキャプチャデータ生成部３２から送信されたキャプチャデータを受信するキャプチャデータ受信部２２と受信したキャプチャデータを保持するキャプチャデータ保持部２３を備える。
　キャプチャデータは、バーストトラフィック検知装置１が受信したパケットの少なくとも一部をキャプチャしたデータであり、バーストトラフィックを検知した際のトラフィックをより詳細に解析するために用いられる。例えば、受信パケットの中からバーストトラフィックの発生時の所定の期間におけるパケットデータを抽出してキャプチャデータとすることもできる。
　パケット保持部３１には、フロー識別部において識別された受信パケットのデータが必要に応じて保存される。キャプチャデータ生成部３２では、バースト検知部１５におけるバースト検知回数の蓄積を契機として、パケット保持部３１に保存された受信パケットのデータを用いてキャプチャデータを生成する。
　キャプチャデータ生成部３２で生成されたキャプチャデータは、解析部２００に送信され、検知部１００から送信されたバースト検知回数のデータとともに、バーストトラフィックの解析のために用いられる。
＜バーストトラフィック検知方法の動作フロー＞
　第２の実施の形態におけるバーストトラフィック検知方法の動作手順を図８を用いて説明する。ここで、図８のフローチャートは、あくまで制御動作を分りやすく説明するためのものであり、制御手順や実装方法を限定するものでは無い。
　第２の実施の形態に係るバーストトラフィック検知方法におけるパケットを受信してからバーストトラフィックの発生を検知するまでのステップ（Ｓ２－１～Ｓ２－１０）は、第１の実施の形態と同様である。
　ステップＳ２－１０において、累積パケット数および累積バイト数が予め設定された閾値を超えるかどうかを判定した結果、閾値を超えている場合には、バースト検知回数を蓄積する（Ｓ２－１１）。図８の例では、バースト検知回数の蓄積後において、バーストトラフィックの検知から予め設定した所定の時間α秒を経過しているかどうかを判定し（Ｓ２－１２）、所定の時間α秒が経過している場合は、パケット保持部３１に格納されている受信パケットのデータを基にキャプチャデータを生成する（Ｓ２－１３）。
　ここで、上記では、バーストトラフィックの検知から所定の時間経過後のキャプチャデータを生成する例を説明したが、キャプチャデータは、解析対象となるトラフィックの状態やデータ解析の内容に応じて適宜設定することが可能である。また、キャプチャデータの生成に用いられるパケット保持部３１に保存される受信パケットのデータの保存タイミングやデータ量もデータ解析の内容や必要となるメモリリソースに応じて適宜設定すればよい。
　キャプチャデータの生成後においては、第１の実施の形態と同様に、統計情報が０クリアされる（Ｓ２－１４）。第１の実施の形態と同様に、所定の周期Ｔ２毎にバースト検知回数を送信するように構成してもよい（Ｓ２－７～Ｓ２－９）。
　このように、第２の実施形態によれば、バースト検知機能とパケットキャプチャ機能を併用することで、第１の実施の形態による粗い解析とキャプチャデータを用いた詳細解析の２段階の解析が可能となり、全ての受信データを解析する場合と比較して効率的な解析が可能となる。
＜実施の形態の拡張＞
　以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
　１…バーストトラフィック検知装置、１０…パケット受信部、１１…ヘッダ解析部、１２…フロー識別部、１３…フロー情報保持部、１４…統計情報保持部、１５…バースト検知部、１６…パラメータ設定部、１７…検知回数保持部、１８…タイマー部、１９…検知回数送信部、１００…検知部、２００…解析部。

Claims (8)

  1. 　ネットワークからパケットを受信するパケット受信部と、
    　前記パケットのヘッダ情報に基づいてフロールールを識別するフロー識別部と、
    　識別した前記フロールールのフロー情報を保持するフロー情報保持部と、
    　前記フロールール毎の累積パケット数および／または累積バイト数からなる統計情報を保持する統計情報保持部と、
    　前記統計情報に基づいて、バーストトラフィックの発生を検知するバースト検知部と、
    　前記バーストトラフィックの発生の回数を保持する検知回数保持部と
    　を備え、
    　前記バースト検知部は、
    　前記累積パケット数および／または累積バイト数が、予め設定された閾値を超えたかどうかを所定の第１の周期で判定し、
    　前記検知回数保持部は、
    　前記閾値を超えた回数を、前記フロールール毎にバースト検知回数として蓄積し、
    　前記統計情報保持部は、
    　前記フロールール毎の前記バースト検知回数の蓄積後に、当該フロールールの前記統計情報を削除する
    　ように構成されるバーストトラフィック検知装置。
  2. 　前記バースト検知部は、
    　前記フロールール毎の累積パケット数および／または累積バイト数を蓄積するカウンタと、
    　前記累積パケット数および／または累積バイト数が、予め設定された閾値を超えたかどうかを所定の第１の周期で判定する比較器と、
    　前記閾値を超えた回数を、前記フロールール毎に前記バースト検知回数として蓄積するカウンタと
    　を備える請求項１記載のバーストトラフィック検知装置。
  3. 　バーストトラフィックの解析を行う解析部と、
    　前記検知回数保持部に蓄積された前記フロールール毎のバースト検知回数を、所定の第２の周期で、前記解析部に送信する検知回数送信部を備え、
    　前記検知回数保持部は、
    　前記フロールール毎の前記バースト検知回数の送信後に、当該フロールールの前記バースト検知回数を削除する
    　請求項１又は２に記載のバーストトラフィック検知装置。
  4. 　前記フロールール毎の前記バースト検知回数の蓄積後において、所定の期間に受信されたパケットの情報を保持するキャプチャ部をさらに備え、
    　前記キャプチャ部は、保持したパケットの情報を前記解析部に送信する
    　請求項３記載のバーストトラフィック検知装置。
  5. 　ネットワークからパケットを受信するパケット受信ステップと、
    　前記パケットのヘッダ情報に基づいてフロールールを識別するフロー識別ステップと、
    　前記フロールール毎の累積パケット数および／または累積バイト数からなる統計情報を保持する統計情報保持ステップと、
    　前記フロールール毎の累積パケット数および／または累積バイト数が予め設定された閾値を超えるかどうかを所定の第１の周期で判定することにより、バーストトラフィックの発生を検知するバースト検知ステップと、
    　前記閾値を超えた回数を、前記フロールール毎にバースト検知回数として蓄積する検知回数保持ステップと、
    　前記フロールール毎の前記バースト検知回数の蓄積後に、当該フロールールの前記統計情報を削除する統計情報削除ステップと
    　を含むバーストトラフィック検知方法。
  6. 　前記バースト検知ステップは、
    　前記フロールール毎の累積パケット数および／または累積バイト数を蓄積するステップと、
    　前記累積パケット数および／または累積バイト数が予め設定された閾値を超えるかどうかを所定の第１の周期で判定するステップと、
    　前記閾値を超えた回数を、前記フロールール毎に前記バースト検知回数として蓄積するステップと
    　を含む請求項５記載のバーストトラフィック検知方法。
  7. 　前記検知回数保持ステップで蓄積された前記フロールール毎のバースト検知回数を、所定の第２の周期で送信する検知回数送信ステップと
    　前記フロールール毎の前記バースト検知回数の送信後に、当該フロールールの前記バースト検知回数を削除する検知回数削除ステップを含む
    　請求項５又は６に記載のバーストトラフィック検知方法。
  8.  前記フロールール毎の前記バースト検知回数の蓄積後において、所定の期間に受信されたパケットの情報を保持するステップを更に含む
    　請求項５～７の何れか１項に記載のバーストトラフィック検知方法。
PCT/JP2019/028797 2019-07-23 2019-07-23 バーストトラフィック検知装置及び方法 WO2021014552A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2021534442A JP7238993B2 (ja) 2019-07-23 2019-07-23 バーストトラフィック検知装置及び方法
US17/628,954 US20220263733A1 (en) 2019-07-23 2019-07-23 Burst Traffic Detection Device and Method
PCT/JP2019/028797 WO2021014552A1 (ja) 2019-07-23 2019-07-23 バーストトラフィック検知装置及び方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/028797 WO2021014552A1 (ja) 2019-07-23 2019-07-23 バーストトラフィック検知装置及び方法

Publications (1)

Publication Number Publication Date
WO2021014552A1 true WO2021014552A1 (ja) 2021-01-28

Family

ID=74193536

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/028797 WO2021014552A1 (ja) 2019-07-23 2019-07-23 バーストトラフィック検知装置及び方法

Country Status (3)

Country Link
US (1) US20220263733A1 (ja)
JP (1) JP7238993B2 (ja)
WO (1) WO2021014552A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015087404A1 (ja) * 2013-12-11 2015-06-18 三菱電機株式会社 情報処理装置及び情報処理方法及びプログラム
JP2017028431A (ja) * 2015-07-21 2017-02-02 富士通株式会社 伝送装置及び流量計測方法
JP2017188814A (ja) * 2016-04-07 2017-10-12 ＡＰＲＥＳＩＡ Ｓｙｓｔｅｍｓ株式会社 ネットワーク装置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2692096A1 (en) * 2011-03-29 2014-02-05 NEC Europe Ltd. User traffic accountability under congestion in flow-based multi-layer switches
US10412005B2 (en) * 2016-09-29 2019-09-10 International Business Machines Corporation Exploiting underlay network link redundancy for overlay networks
JP7103883B2 (ja) * 2018-07-27 2022-07-20 アラクサラネットワークス株式会社 通信システム、通信制御方法、及び通信装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015087404A1 (ja) * 2013-12-11 2015-06-18 三菱電機株式会社 情報処理装置及び情報処理方法及びプログラム
JP2017028431A (ja) * 2015-07-21 2017-02-02 富士通株式会社 伝送装置及び流量計測方法
JP2017188814A (ja) * 2016-04-07 2017-10-12 ＡＰＲＥＳＩＡ Ｓｙｓｔｅｍｓ株式会社 ネットワーク装置

Also Published As

Publication number Publication date
US20220263733A1 (en) 2022-08-18
JP7238993B2 (ja) 2023-03-14
JPWO2021014552A1 (ja) 2021-01-28

Similar Documents

Publication Publication Date Title
US20060159028A1 (en) Monitoring system, method of sampling datagrams, and apparatus therefor
US8848528B1 (en) Network data flow collection and processing
TW536890B (en) Scalable real-time quality of service monitoring and analysis of service dependent subscriber satisfaction in IP networks
JP3776542B2 (ja) サービス品質を測定するための方法および装置
CN109617743B (zh) 网络性能监测与业务测试***及测试方法
US7889656B2 (en) Binned duration flow tracking
US8243599B2 (en) Method and apparatus for high resolution passive network latency measurement
US9961000B2 (en) Estimation of network path segment delays
JP7160189B2 (ja) パケットキャプチャ装置および方法
CA2411848A1 (en) Network packet tracking
CN114285767B (zh) 时间触发以太网交换机业务转发性能检测装置
Marques et al. Intsight: Diagnosing slo violations with in-band network telemetry
US20120110012A1 (en) Estimating User-Perceived TCP Throughput
JP5199224B2 (ja) フロー通信品質推定方法と装置およびプログラム
WO2021014552A1 (ja) バーストトラフィック検知装置及び方法
US7385930B2 (en) Packet discard point probing method and device
KR101338485B1 (ko) 대형 아이피망에서의 서비스 종류별 품질관리 방법 및시스템
US20060125619A1 (en) Method and system for monitoring the quality of service in telecommunication networks, components and computer products thereof
JP3953999B2 (ja) 輻輳検知装置、ｔｃｐトラヒックの輻輳検知方法およびプログラム
JP2015204538A (ja) 呼処理シーケンスの解析装置および通信システム
JP2002164890A (ja) ネットワークの診断装置
Yoo et al. Active capture of wireless traces: overcome the lack in protocol analysis
Sinha et al. Fingerprinting internet paths using packet pair dispersion
US11528203B2 (en) Packet switch with hardware interval counters and associated computer to generate network traffic activity data
CN116781975B (zh) 一种媒体流检测方法、装置、终端设备和存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19938904

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021534442

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19938904

Country of ref document: EP

Kind code of ref document: A1