WO2021014552A1 - バーストトラフィック検知装置及び方法 - Google Patents
バーストトラフィック検知装置及び方法 Download PDFInfo
- Publication number
- WO2021014552A1 WO2021014552A1 PCT/JP2019/028797 JP2019028797W WO2021014552A1 WO 2021014552 A1 WO2021014552 A1 WO 2021014552A1 JP 2019028797 W JP2019028797 W JP 2019028797W WO 2021014552 A1 WO2021014552 A1 WO 2021014552A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- burst
- detection
- flow rule
- flow
- unit
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/02—Capturing of monitoring data
- H04L43/026—Capturing of monitoring data using flow identification
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/142—Network analysis or design using statistical or mathematical methods
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/04—Processing captured monitoring data, e.g. for logfile generation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/16—Threshold monitoring
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/18—Protocol analysers
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L47/00—Traffic control in data switching networks
- H04L47/10—Flow control; Congestion control
- H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
- H04L47/2441—Traffic characterised by specific attributes, e.g. priority or QoS relying on flow classification, e.g. using integrated services [IntServ]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L47/00—Traffic control in data switching networks
- H04L47/10—Flow control; Congestion control
- H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
- H04L47/2483—Traffic characterised by specific attributes, e.g. priority or QoS involving identification of individual flows
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/50—Network services
- H04L67/55—Push-based network services
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/22—Parsing or analysis of headers
Definitions
- the present invention relates to a technique for detecting burst traffic, which is one of the causes of communication failures such as packet loss and network delay in an IP network.
- burst traffic In recent years, as networks have become faster and larger in capacity, communication failures caused by rapidly increasing traffic (burst traffic) in a short period of time have become a problem.
- burst traffic occurs, a large number of packets arrive in the buffer of the switch device in the network path, which may cause network delay or packet loss.
- the service quality deteriorates. Therefore, it is important to identify the cause of burst traffic traffic and quickly recover from the failure.
- Non-Patent Document 1 relates to a commercially available network monitoring device, and can be detected with a time resolution of up to 1 ms.
- burst traffic is displayed on the screen at each detection interval (for example, every 1 ms). Retaining all the detected burst traffic information is detailed as detection information, but when performing microburst detection for traffic of thousands to tens of thousands of flows in the data center, the amount of data to be retained is It becomes excessive and requires a lot of memory resources.
- the present invention has been made to solve the above problems, and provides a burst traffic detection device capable of realizing burst traffic analysis for a plurality of flows with less memory resources as compared with the prior art.
- the purpose is to do.
- the burst traffic detection device of the present invention has a packet receiving unit that receives a packet from a network, a flow identification unit that identifies a flow rule based on the header information of the packet, and the identified flow.
- a flow information holding unit that holds the flow information of the rule, a statistical information holding unit that holds statistical information consisting of the cumulative number of packets and / or the cumulative number of bytes for each flow rule, and a burst traffic based on the statistical information.
- the burst detection unit includes a burst detection unit that detects the occurrence and a detection number holding unit that holds the number of occurrences of the burst traffic, and the burst detection unit has a preset threshold value for the cumulative number of packets and / or the cumulative number of bytes. Is determined in a predetermined first cycle, the detection number holding unit accumulates the number of times the threshold is exceeded as the burst detection number for each flow rule, and the statistical information holding unit said. After accumulating the number of burst detections for each flow rule, the statistical information of the flow rule is deleted.
- the traffic monitoring method of the present invention includes a packet reception step of receiving a packet from a network, a flow identification step of identifying a flow rule based on the header information of the packet, and the identified flow rule.
- a flow information holding unit that holds the flow information of the above, a statistical information holding step that holds statistical information consisting of the cumulative number of packets and / or the cumulative number of bytes for each flow rule, and the cumulative number of packets and / or the cumulative number of packets for each flow rule.
- a burst detection step for detecting the occurrence of burst traffic by determining whether or not the cumulative number of bytes exceeds a preset threshold in a predetermined first cycle, and the number of times the threshold is exceeded are determined for each flow rule. Includes a detection number holding step that accumulates as the burst detection number, and a statistical information deletion step that deletes the statistical information of the flow rule after accumulating the burst detection number for each flow rule.
- FIG. 1 is a block diagram showing a configuration of a burst traffic detection device according to a first embodiment of the present invention.
- FIG. 2 is a flowchart showing an operation procedure of the burst traffic detection method according to the first embodiment of the present invention.
- FIG. 3 is a block diagram showing details of the burst detection unit.
- FIG. 4 is a diagram showing a flow information table held in the flow information holding unit.
- FIG. 5 is a diagram showing a statistical information table held in the statistical information holding unit.
- FIG. 6 is a diagram showing a detection information table held in the detection information holding unit.
- FIG. 7 is a block diagram showing a configuration of a burst traffic detection device according to a second embodiment of the present invention.
- FIG. 8 is a flowchart showing an operation procedure of the burst traffic detection method according to the second embodiment of the present invention.
- FIG. 1 is a block diagram showing a configuration of a burst traffic detection device according to a first embodiment of the present invention.
- the detection unit 100 may further include a detection number transmission unit 19 that transmits the burst detection number for each flow rule accumulated in the detection number holding unit 17 to the analysis unit 200.
- the number of burst detections for each flow rule may be transmitted in a predetermined cycle T2 (second cycle).
- the analysis unit 200 that analyzes the burst traffic is composed of a detection number reception unit 20 that receives the burst detection number from the detection number transmission unit 19 and a detection information holding unit 21 that holds the received detection number.
- the above-mentioned predetermined cycles T1 and T2 and the threshold information used for burst detection may be set in advance in the burst detection unit 15 and the detection number transmission unit 19, or the burst detection unit may be set in the predetermined cycles T1 and T2. It is also possible to include a timer unit 18 that transmits a trigger to the 15 and the detection number transmission unit 19, and a parameter setting unit 16 that sets various parameters (cycles T1, T2, threshold values used for burst detection).
- the functions of the detection unit 100 and the analysis unit 200 may be implemented as software using a CPU, or as hardware such as FPGA (Field Programmable Gate Array) or ASIC (Application Specific Integrated Circuit). You may.
- FPGA Field Programmable Gate Array
- ASIC Application Specific Integrated Circuit
- the packet receiving unit 10 receives a packet from the network to which the burst traffic detecting device is connected (packet receiving step S1-1).
- the header analysis unit 11 analyzes the header by extracting the value of each header field of the received packet (header analysis step S1-2). Then, the flow identification unit 12 determines which flow rule the received packet belongs to based on the value of each extracted header field (flow identification step S1-3). Specifically, it searches whether the corresponding flow rule is registered in the flow information holding unit 13, and if it is already registered, the flow ID of the corresponding flow rule is acquired. If it is not registered, a flow rule is newly registered in the flow information holding unit 13 and a new flow ID is acquired.
- the flow identification unit 12 notifies the statistical information holding unit 14 of the flow ID and the number of bytes of the packet.
- the statistical information holding unit 14 searches whether the notified flow ID is already registered in the held statistical information, and if it is registered, increments the cumulative number of packets of the corresponding flow ID by 1 and calculates the cumulative number of bytes. By incrementing by the number of notified bytes, statistical information consisting of the cumulative number of packets and the cumulative number of bytes is held for each flow rule (statistical information holding step S1-4). If the notified flow ID is not registered in the statistical information, the statistical information holding unit 14 newly registers the flow ID, sets the cumulative number of packets to 1, and sets the cumulative number of bytes to the notified number of bytes.
- both the cumulative number of packets and the cumulative number of bytes may be retained, or it may be configured to retain either the cumulative number of packets or the cumulative number of bytes.
- the statistical information may be appropriately set according to the analysis content of the burst traffic.
- the burst detection unit 15 detects the occurrence of burst traffic based on the cumulative number of packets and the cumulative number of bytes.
- the occurrence of burst traffic is determined by determining whether or not the cumulative number of packets and the cumulative number of bytes of any of the flow rules exceeds a preset threshold value for each predetermined cycle T1. Burst detection step S1-9). If the threshold is exceeded, it is determined that burst traffic has occurred, and the number of burst detections of the corresponding flow rule held by the detection count holding unit 17 is incremented by 1, so that the number of burst detections is increased for each flow rule. Accumulate (detection count holding step S1-10).
- the statistical information holding unit 14 clears 0 of the retained statistical information of the corresponding flow rule that has accumulated the number of burst detections (S1-11).
- the statistical information holding unit 14 clears the statistical information of the corresponding flow rule to 0 even if the cumulative number of packets and the cumulative number of bytes do not exceed a preset threshold value (statistical information deletion step S1-11).
- the statistical information used to detect the occurrence of burst traffic is deleted, and only the number of burst detections for each flow rule is deleted. Will be accumulated, so that burst traffic analysis for multiple flows can be realized with less memory resources.
- the number of burst detections for each flow rule accumulated in the detection unit 100 is transmitted to the analysis unit 200 in a predetermined second cycle. It is determined whether the predetermined cycle T2 has elapsed (S1-6), and if it has elapsed, the detection number transmission unit 19 determines the burst detection number held by the detection number holding unit 17 as the detection number reception unit 20. (Detection number transmission step S1-7). After the burst detection number is transmitted, the burst detection number held in the detection number holding unit 17 is cleared to 0 (detection number deletion step S1-8).
- the detection information holding unit 21 of the analysis unit 200 can detect the bursts in each predetermined cycle T2. Only the number of times will be retained. By holding only the number of burst detections in the predetermined cycle T2, it is possible to realize the analysis of the burst traffic in a fine cycle with less memory resources.
- a predetermined cycle T2 may be registered in advance in the detection count transmission unit 19, or a burst detection count may be transmitted triggered by a trigger transmitted from the timer unit 18 in the predetermined cycle T2. You may.
- the predetermined period T2 may be set to a time equal to or longer than the period T1.
- the predetermined cycles T1 and T2 can be appropriately set according to the state of the traffic to be analyzed and the content of the data analysis.
- FIG. 3 is a block diagram showing details of the burst detection unit.
- the burst detection unit 15 includes a byte counter for accumulating the number of bytes of packets conforming to the flow rule, a packet counter 151 for accumulating the number of packets, and the number of packets and bytes accumulated in a predetermined cycle T1. It is composed of a comparator 152 that determines whether or not the number exceeds a preset threshold, and a detection count counter 153 that counts the number of times the number exceeds the threshold.
- the threshold value may be set to a different value for each flow rule.
- FIG. 4 is a diagram showing a flow information table held in the flow information holding unit.
- the source / destination MAC address and the source / destination IP address are adopted as header field information for identifying the flow rule as an example, but the information for identifying the flow rule is limited to them. It's not a thing.
- the flow rule may be identified using header field information such as source / destination port number, protocol type, VLAN ID, and VXLAN ID.
- FIG. 5 is a diagram showing a statistical information table held in the statistical information holding unit.
- the statistical information holding unit 14 can hold the cumulative number of packets and the cumulative number of bytes for each flow rule, and the cumulative number of packets and the cumulative number of bytes of the entire received traffic together.
- both the cumulative number of packets and the cumulative number of bytes may be retained, or it may be configured to retain either the cumulative number of packets or the cumulative number of bytes.
- FIG. 6 is a diagram showing a detection information table held in the detection information holding unit.
- the detection number holding unit 17 holds the burst detection number for one period of the predetermined cycle T2, transmits the burst detection number to the analysis unit 200 for each cycle T2, and clears the burst detection number to 0.
- the detection information holding unit 21 of the analysis unit 200 holds the number of detections for a plurality of periods of the transmitted cycle T2.
- the statistical information used for determining the occurrence of burst traffic is deleted, so that the burst traffic is generated for each flow rule. Only the number of times is accumulated, and analysis of burst traffic for a plurality of flows can be realized with less memory resources. Further, if it is configured to hold only the number of burst detections accumulated in each predetermined cycle, it is possible to realize the analysis of burst traffic in a fine cycle with a smaller number of memory resources. According to the present embodiment, it is possible to acquire sufficient analysis data for primary isolation for identifying the flow that causes burst traffic while saving memory resources.
- FIG. 7 is a block diagram showing a configuration of a burst traffic detection device according to a second embodiment of the present invention.
- the burst traffic detection device 1 includes a capture unit 300 in addition to the detection unit 100 of the first embodiment. Similar to the detection unit 100 and the analysis unit 200, the function of the capture unit 300 may be implemented as software using a CPU, or may be implemented as hardware such as FPGA or ASIC.
- the capture unit 300 generates capture data based on the capture control unit 30 that controls the capture operation of the received packet, the packet holding unit 31 that stores the received packet as needed, and the packet stored in the packet holding unit 31. It is composed of a capture data generation unit 32.
- the analysis unit 200 in the second embodiment includes a capture data receiving unit 22 that receives the capture data transmitted from the capture data generation unit 32 of the capture unit 300, and a capture data holding unit 23 that holds the received capture data. ..
- the captured data is data that captures at least a part of the packet received by the burst traffic detection device 1, and is used to analyze the traffic when the burst traffic is detected in more detail. For example, packet data in a predetermined period when burst traffic occurs can be extracted from received packets and used as capture data.
- the packet holding unit 31 stores the data of the received packet identified by the flow identification unit as needed.
- the capture data generation unit 32 generates capture data using the data of the received packet stored in the packet holding unit 31, triggered by the accumulation of the number of burst detections in the burst detection unit 15.
- the capture data generated by the capture data generation unit 32 is transmitted to the analysis unit 200, and is used for burst traffic analysis together with the burst detection number data transmitted from the detection unit 100.
- the steps (S2-1 to S2-10) from receiving the packet to detecting the occurrence of burst traffic in the burst traffic detection method according to the second embodiment are the same as those in the first embodiment. ..
- step S2-10 as a result of determining whether the cumulative number of packets and the cumulative number of bytes exceed the preset threshold value, if the threshold value is exceeded, the number of burst detections is accumulated (S2-11).
- the number of burst detections is accumulated (S2-11).
- the capture data is appropriately set according to the state of the traffic to be analyzed and the content of the data analysis. It is possible. Further, the storage timing and the amount of data of the received packet stored in the packet holding unit 31 used for generating the capture data may be appropriately set according to the content of the data analysis and the required memory resource.
- the statistical information is cleared to 0 as in the first embodiment (S2-14). Similar to the first embodiment, the burst detection number may be transmitted every predetermined cycle T2 (S2-7 to S2-9).
- the burst detection function and the packet capture function together, it is possible to perform a two-step analysis of a coarse analysis according to the first embodiment and a detailed analysis using the captured data. Therefore, efficient analysis is possible as compared with the case of analyzing all received data.
- 1 ... Burst traffic detection device 10 ... Packet reception unit, 11 ... Header analysis unit, 12 ... Flow identification unit, 13 ... Flow information holding unit, 14 ... Statistical information holding unit, 15 ... Burst detection unit, 16 ... Parameter setting unit , 17 ... Detection number holding unit, 18 ... Timer unit, 19 ... Detection number transmission unit, 100 ... Detection unit, 200 ... Analysis unit.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Data Mining & Analysis (AREA)
- General Physics & Mathematics (AREA)
- Algebra (AREA)
- Mathematical Analysis (AREA)
- Mathematical Optimization (AREA)
- Mathematical Physics (AREA)
- Probability & Statistics with Applications (AREA)
- Pure & Applied Mathematics (AREA)
- Physics & Mathematics (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本発明のバーストトラフィック検知装置(1)は、ネットワークからパケットを受信するパケット受信部(10)と、パケットのヘッダ情報に基づいてフロールールを識別するフロー識別部(12)と、識別したフロールールのフロー情報を保持するフロー情報保持部(13)と、フロールール毎の累積パケット数および/または累積バイト数からなる統計情報を保持する統計情報保持部(14)と、統計情報に基づいて、バーストトラフィックの発生を検知するバースト検知部(15)と、バーストトラフィックの発生の回数を保持する検知回数保持部(17)とを備え、バースト検知部(15)は、累積パケット数および/または累積バイト数が、予め設定された閾値を超えたかどうかを所定の第1の周期で判定し、検知回数保持部(17)は、閾値を超えた回数を、フロールール毎にバースト検知回数として蓄積し、統計情報保持部(14)は、フロールール毎のバースト検知回数の蓄積後に、当該フロールールの統計情報を削除するように構成される。 複数フローに対するバーストトラフィックの解析を、より少ないメモリリソースで実現することができる。
Description
本発明は、IPネットワークにおいてパケットロスやネットワーク遅延などの通信障害の要因の一つであるバーストトラフィックを検知する技術に関するものである。
近年ネットワークの高速大容量化が進んだことで、短時間で急激に増加するトラフィック(バーストトラフィック)に起因する通信障害が問題視されるようになった。バーストトラフィックが発生すると、ネットワーク経路中にあるスイッチ機器のバッファに大量のパケットが到着し、ネットワーク遅延あるいはパケットロスが発生する可能性がある。上記のような通信障害が発生するとサービス品質の低下を招くため、バーストトラフィックトラフィック発生原因を特定し、迅速に障害復旧を行うことが重要である。
バーストトラフィックを検知することを目的として、種々の検討がなされている。例えば、パケットが入力される度に、パケット数やバイト数といった統計情報をフロー毎に蓄積し、一定の検知間隔で設定した閾値を超えるかを判定することでどの時刻にどのフローでバーストが発生したかという情報を取得できる方法がある。非特許文献1は、市販のネットワーク監視装置に関するものであるが、1msまでの時間分解能で検知可能となっている。
「Data Quality Analyzer MD1230B」, Anritsu, Product Brochure,[令和1年7月23日検索]、インターネット〈URL:https://dl.cdn-anritsu.com/ja-jp/test-measurement/files/Brochures-Datasheets-Catalogs/Brochure/md1230b-j11100.pdf
非特許文献1の製品では、検知間隔毎(例えば、1ms毎)にバーストトラフィックを画面表示している。検知したバーストトラフィックの情報を全て保持するのは検知情報として詳細ではあるが、データセンタ内の数千~数万フローのトラフィックに対してマイクロバースト検知を行う場合には、保持すべきデータ量が過大になり、多くのメモリリソースが必要になる。
本発明は、上記課題を解決するためになされたものであり、従来技術と比較して、複数フローに対するバーストトラフィックの解析を、より少ないメモリリソースで実現することが可能なバーストトラフィック検知装置を提供することを目的とする。
上記課題を解決するために、本発明のバーストトラフィック検知装置は、ネットワークからパケットを受信するパケット受信部と、前記パケットのヘッダ情報に基づいてフロールールを識別するフロー識別部と、識別した前記フロールールのフロー情報を保持するフロー情報保持部と、前記フロールール毎の累積パケット数および/または累積バイト数からなる統計情報を保持する統計情報保持部と、前記統計情報に基づいて、バーストトラフィックの発生を検知するバースト検知部と、前記バーストトラフィックの発生の回数を保持する検知回数保持部とを備え、前記バースト検知部は、前記累積パケット数および/または累積バイト数が、予め設定された閾値を超えたかどうかを所定の第1の周期で判定し、前記検知回数保持部は、前記閾値を超えた回数を、前記フロールール毎にバースト検知回数として蓄積し、前記統計情報保持部は、前記フロールール毎の前記バースト検知回数の蓄積後に、当該フロールールの前記統計情報を削除するように構成される。
上記課題を解決するために、本発明のトラフィック監視方法は、ネットワークからパケットを受信するパケット受信ステップと、前記パケットのヘッダ情報に基づいてフロールールを識別するフロー識別ステップと、識別した前記フロールールのフロー情報を保持するフロー情報保持部と、前記フロールール毎の累積パケット数および/または累積バイト数からなる統計情報を保持する統計情報保持ステップと、前記フロールール毎の累積パケット数および/または累積バイト数が予め設定された閾値を超えるかどうかを所定の第1の周期で判定することにより、バーストトラフィックの発生を検知するバースト検知ステップと、前記閾値を超えた回数を、前記フロールール毎に前記バースト検知回数として蓄積する検知回数保持ステップと、前記フロールール毎の前記バースト検知回数の蓄積後に、当該フロールールの前記統計情報を削除する統計情報削除ステップとを含む。
本発明によれば、従来技術と比較して、複数フローに対するバーストトラフィックの解析を、より少ないメモリリソースで実現することができる。
以下、本発明の実施の形態を図面に基づいて詳細に説明する。本発明は、以下の実施の形態に限定されるものではない。
<第1の実施の形態>
本発明の第1の実施の形態について説明する。図1は、本発明の第1の実施の形態のバーストトラフィック検知装置の構成を示すブロック図である。
本発明の第1の実施の形態について説明する。図1は、本発明の第1の実施の形態のバーストトラフィック検知装置の構成を示すブロック図である。
<バーストトラフィック検知装置の構成>
第1の実施の形態のバーストトラフィック検知装置1は、バーストトラフィックの発生を検知し、バーストトラフィックの発生回数を保持する検知部100から構成され、必要に応じてバーストトラフィックを解析する解析部200を備えることもできる。
第1の実施の形態のバーストトラフィック検知装置1は、バーストトラフィックの発生を検知し、バーストトラフィックの発生回数を保持する検知部100から構成され、必要に応じてバーストトラフィックを解析する解析部200を備えることもできる。
検知部100は、接続されたネットワークからパケットを受信するパケット受信部10と、受信したパケットのヘッダを解析するヘッダ解析部11と、解析したヘッダ情報に基づいて、そのパケットに係るトラフィックのフロールールを識別するフロー識別部12と、フロー情報を保持するフロー情報保持部13と、フロールール毎の累積パケット数および累積バイト数からなる統計情報を保持する統計情報保持部14と、統計情報保持部14に保持されたフロールール毎の累積パケット数および累積バイト数が予め設定された閾値を超えるかどうかを所定の周期T1(第1の周期)で判定するバースト検知部15と、閾値を超えた回数を、フロールール毎にバースト検知回数として蓄積する検知回数保持部17とから構成される。
検知部100は、更に、検知回数保持部17に蓄積されたフロールール毎のバースト検知回数を解析部200に送信する検知回数送信部19を備えてもよい。例えば、所定の周期T2(第2の周期)でフロールール毎のバースト検知回数を送信するようにしてもよい。バーストトラフィックを解析する解析部200は、検知回数送信部19からバースト検知回数を受信する検知回数受信部20と、受信した検知回数を保持する検知情報保持部21から構成される。
上述した所定の周期T1、T2や、バースト検知に用いる閾値の情報は、予めバースト検知部15と検知回数送信部19に設定しておいてもよいし、所定の周期T1、T2でバースト検知部15と検知回数送信部19にトリガを送信するタイマー部18と、各種パラメータ(周期T1、T2、バースト検知に用いる閾値)を設定するパラメータ設定部16を備えることもできる。
ここで、検知部100と解析部200の機能は、CPUを用いてソフトウェアとして実装してもよいし、あるいはFPGA(Field Programmable Gate Array)やASIC(Application Specific Integrated Circuit)などのハードウェアとして実装してもよい。
<バーストトラフィック検知方法の動作フロー>
第1の実施の形態におけるバーストトラフィック検知方法の動作手順を図2を用いて説明する。図2のフローチャートは、あくまでバーストトラフィック検知方法の動作を分りやすく説明するためのものであり、制御手順や実装方法を限定するものでは無い。
第1の実施の形態におけるバーストトラフィック検知方法の動作手順を図2を用いて説明する。図2のフローチャートは、あくまでバーストトラフィック検知方法の動作を分りやすく説明するためのものであり、制御手順や実装方法を限定するものでは無い。
本実施の形態に係るバーストトラフィック検知方法では、まず、パケット受信部10においてバーストトラフィック検知装置が接続されたネットワークからパケットを受信する(パケット受信ステップS1-1)。
次に、ヘッダ解析部11において、受信したパケットの各ヘッダフィールドの値を抽出することによりヘッダを解析する(ヘッダ解析ステップS1-2)。そして、フロー識別部12において、抽出した各ヘッダフィールドの値に基づいて受信したパケットがどのフロールールに属するかを判定する(フロー識別ステップS1-3)。具体的には、フロー情報保持部13に該当フロールールが登録されているか検索し、すでに登録されていれば、該当フロールールのフローIDを取得する。登録されていなければ、新規にフロー情報保持部13にフロールールを登録し、新規のフローIDを取得する。
次に、フロー識別部12は、統計情報保持部14に対して、フローIDとパケットのバイト数を通知する。統計情報保持部14は、保持する統計情報に、通知されたフローIDがすでに登録されているかを検索し、登録されていれば、該当フローIDの累積パケット数を1インクリメントし、累積バイト数を通知されたバイト数分インクリメントすることにより、フロールール毎に累積パケット数および累積バイト数からなる統計情報を保持する(統計情報保持ステップS1-4)。統計情報保持部14では、通知されたフローIDが統計情報に登録されていなければ、新規にフローIDを登録し、累積パケット数を1とし、累積バイト数を通知されたバイト数とする。
ここで、統計情報としては、累積パケット数と累積バイト数の両方を保持するようにしてもよいし、累積パケット数と累積バイト数のいずれかを保持するように構成することができる。統計情報は、バーストトラフィックの解析内容に応じて適宜設定すればよい。
バースト検知部15は、累積パケット数および累積バイト数に基づいて、バーストトラフィックの発生を検知する。本実施の形態では、所定の周期T1毎に、いずれかのフロールールの累積パケット数および累積バイト数が予め設定された閾値を超えているかどうかを判定することによりバーストトラフィックの発生を判定する(バースト検知ステップS1-9)。もし、閾値を超えている場合は、バーストトラフィックが発生したと判定し、検知回数保持部17に保持された該当フロールールのバースト検知回数を1インクリメントすることにより、フロールール毎にバースト検知回数を蓄積する(検知回数保持ステップS1-10)。
統計情報保持部14では、バースト検知回数の蓄積後において、保持された統計情報の内、バースト検知回数を蓄積した該当フロールールの統計情報を0クリアする(S1-11)。ここで、統計情報保持部14では、累積パケット数および累積バイト数が予め設定された閾値を超えていない場合でも、該当フロールールの統計情報を0クリアする(統計情報削除ステップS1-11)。
このように、バーストトラフィックの発生の判定後において、統計情報を削除するように構成することで、バーストトラフィックの発生を検知するために用いた統計情報は削除され、フロールール毎のバースト検知回数のみが蓄積されることとなるため、複数フローに対するバーストトラフィックの解析を、より少ないメモリリソースで実現することができるようになる。
図2のフローチャートでは、検知部100において蓄積されたフロールール毎のバースト検知回数を、所定の第2の周期で解析部200に送信する。所定の周期T2が経過しているかを判定し(S1-6)、経過している場合には、検知回数送信部19が検知回数保持部17に保持されたバースト検知回数を検知回数受信部20に送信する(検知回数送信ステップS1-7)。バースト検知回数の送信後において、検知回数保持部17に保持されたバースト検知回数は0クリアされる(検知回数削除ステップS1-8)。
所定の周期T2で蓄積されたバースト検知回数を送信して、バースト検知回数を0クリアするように構成することで、解析部200の検知情報保持部21には、所定の周期T2毎のバースト検知回数のみが保持されることとなる。所定の周期T2でバースト検知回数のみを保持することで、細かい周期でのバーストトラフィックの解析を、より少ないメモリリソースで実現することができる。
検知回数送信部19には、所定の周期T2を予め登録しておいてもよいし、タイマー部18から所定の周期T2で送信されるトリガを契機として、バースト検知回数を送信するように構成してもよい。所定の周期T2は、周期T1と等しい時間かあるいはT1よりも長い時間に設定すればよい。所定の周期T1、T2は、解析対象となるトラフィックの状態やデータ解析の内容に応じて適宜設定することが可能である。
図3は、バースト検知部の詳細を示すブロック図である。バースト検知部15は、フロールール毎に、そのフロールールに適合するパケットのバイト数を蓄積するバイト数カウンタおよびパケット数を蓄積するパケット数カウンタ151と、所定の周期T1で蓄積したパケット数およびバイト数が予め設定された閾値を超えているかどうかを判定する比較器152と、閾値を超えた回数をカウントする検知回数カウンタ153とから構成される。ここで、閾値はフロールール毎に異なる値を設定するようにしても良い。
図4は、フロー情報保持部に保持されるフロー情報テーブルを示す図である。図4では、一例として送信元/宛先MACアドレスと送信元/宛先IPアドレスをフロールールを識別するためのヘッダフィールド情報として採用しているが、フロールールを識別する情報は、それらに限定されるものではない。送信元/宛先ポート番号、プロトコル種別、VLAN ID、VXLAN IDなどのヘッダフィールド情報を用いてフロールールを識別してもよい。
図5は、統計情報保持部に保持される統計情報テーブルを示す図である。統計情報保持部14では、フロールール単位での累積パケット数、累積バイト数と、受信したトラフィック全体の累積パケット数、累積バイト数を併せて保持することができる。統計情報としては、累積パケット数と累積バイト数の両方を保持するようにしてもよいし、累積パケット数と累積バイト数のいずれかを保持するように構成することができる。
図6は、検知情報保持部に保持される検知情報テーブルを示す図である。検知回数保持部17では、バースト検知回数を所定の周期T2の1期間分だけ保持し、周期T2毎に解析部200にバースト検知回数を送信し、バースト検知回数を0クリアする。解析部200の検知情報保持部21では、送信された周期T2の複数期間分の検知回数を保持する。
このように、第1の実施形態によれば、バーストトラフィックの発生の判定後において、バーストトラフィックの発生の判定に用いた統計情報を削除するように構成したので、フロールール毎のバーストトラフィックの発生回数のみが蓄積されることとなり、複数フローに対するバーストトラフィックの解析を、より少ないメモリリソースで実現することができる。また、所定の周期毎に蓄積したバースト検知回数のみを保持するように構成すれば、細かい周期でのバーストトラフィックの解析を、より少ないメモリリソースで実現することが可能となる。本実施の形態によれば、メモリリソースを節約しながら、バーストトラフィックの要因となるフローを特定するための一次切り分けをするのに十分な解析データを取得することができる。
<第2の実施の形態>
本発明の第2の実施の形態について説明する。図7は、本発明の第2の実施の形態に係るバーストトラフィック検知装置の構成を示すブロック図である。
本発明の第2の実施の形態について説明する。図7は、本発明の第2の実施の形態に係るバーストトラフィック検知装置の構成を示すブロック図である。
<バーストトラフィック検知装置の構成>
第2の実施の形態に係るバーストトラフィック検知装置1は、第1の実施の形態の検知部100に加えて、キャプチャ部300を備える。キャプチャ部300の機能は、検知部100、解析部200と同様に、CPUを用いてソフトウェアとして実装してもよいし、あるいはFPGAやASICなどのハードウェアとして実装してもよい。
第2の実施の形態に係るバーストトラフィック検知装置1は、第1の実施の形態の検知部100に加えて、キャプチャ部300を備える。キャプチャ部300の機能は、検知部100、解析部200と同様に、CPUを用いてソフトウェアとして実装してもよいし、あるいはFPGAやASICなどのハードウェアとして実装してもよい。
キャプチャ部300は、受信パケットのキャプチャ動作を制御するキャプチャ制御部30と、受信パケットを必要に応じて格納するパケット保持部31と、パケット保持部31に格納されたパケットに基づいてキャプチャデータを生成するキャプチャデータ生成部32からなる。第2の実施の形態における解析部200は、キャプチャ部300のキャプチャデータ生成部32から送信されたキャプチャデータを受信するキャプチャデータ受信部22と受信したキャプチャデータを保持するキャプチャデータ保持部23を備える。
キャプチャデータは、バーストトラフィック検知装置1が受信したパケットの少なくとも一部をキャプチャしたデータであり、バーストトラフィックを検知した際のトラフィックをより詳細に解析するために用いられる。例えば、受信パケットの中からバーストトラフィックの発生時の所定の期間におけるパケットデータを抽出してキャプチャデータとすることもできる。
パケット保持部31には、フロー識別部において識別された受信パケットのデータが必要に応じて保存される。キャプチャデータ生成部32では、バースト検知部15におけるバースト検知回数の蓄積を契機として、パケット保持部31に保存された受信パケットのデータを用いてキャプチャデータを生成する。
キャプチャデータ生成部32で生成されたキャプチャデータは、解析部200に送信され、検知部100から送信されたバースト検知回数のデータとともに、バーストトラフィックの解析のために用いられる。
<バーストトラフィック検知方法の動作フロー>
第2の実施の形態におけるバーストトラフィック検知方法の動作手順を図8を用いて説明する。ここで、図8のフローチャートは、あくまで制御動作を分りやすく説明するためのものであり、制御手順や実装方法を限定するものでは無い。
第2の実施の形態におけるバーストトラフィック検知方法の動作手順を図8を用いて説明する。ここで、図8のフローチャートは、あくまで制御動作を分りやすく説明するためのものであり、制御手順や実装方法を限定するものでは無い。
第2の実施の形態に係るバーストトラフィック検知方法におけるパケットを受信してからバーストトラフィックの発生を検知するまでのステップ(S2-1~S2-10)は、第1の実施の形態と同様である。
ステップS2-10において、累積パケット数および累積バイト数が予め設定された閾値を超えるかどうかを判定した結果、閾値を超えている場合には、バースト検知回数を蓄積する(S2-11)。図8の例では、バースト検知回数の蓄積後において、バーストトラフィックの検知から予め設定した所定の時間α秒を経過しているかどうかを判定し(S2-12)、所定の時間α秒が経過している場合は、パケット保持部31に格納されている受信パケットのデータを基にキャプチャデータを生成する(S2-13)。
ここで、上記では、バーストトラフィックの検知から所定の時間経過後のキャプチャデータを生成する例を説明したが、キャプチャデータは、解析対象となるトラフィックの状態やデータ解析の内容に応じて適宜設定することが可能である。また、キャプチャデータの生成に用いられるパケット保持部31に保存される受信パケットのデータの保存タイミングやデータ量もデータ解析の内容や必要となるメモリリソースに応じて適宜設定すればよい。
キャプチャデータの生成後においては、第1の実施の形態と同様に、統計情報が0クリアされる(S2-14)。第1の実施の形態と同様に、所定の周期T2毎にバースト検知回数を送信するように構成してもよい(S2-7~S2-9)。
このように、第2の実施形態によれば、バースト検知機能とパケットキャプチャ機能を併用することで、第1の実施の形態による粗い解析とキャプチャデータを用いた詳細解析の2段階の解析が可能となり、全ての受信データを解析する場合と比較して効率的な解析が可能となる。
<実施の形態の拡張>
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
1…バーストトラフィック検知装置、10…パケット受信部、11…ヘッダ解析部、12…フロー識別部、13…フロー情報保持部、14…統計情報保持部、15…バースト検知部、16…パラメータ設定部、17…検知回数保持部、18…タイマー部、19…検知回数送信部、100…検知部、200…解析部。
Claims (8)
- ネットワークからパケットを受信するパケット受信部と、
前記パケットのヘッダ情報に基づいてフロールールを識別するフロー識別部と、
識別した前記フロールールのフロー情報を保持するフロー情報保持部と、
前記フロールール毎の累積パケット数および/または累積バイト数からなる統計情報を保持する統計情報保持部と、
前記統計情報に基づいて、バーストトラフィックの発生を検知するバースト検知部と、
前記バーストトラフィックの発生の回数を保持する検知回数保持部と
を備え、
前記バースト検知部は、
前記累積パケット数および/または累積バイト数が、予め設定された閾値を超えたかどうかを所定の第1の周期で判定し、
前記検知回数保持部は、
前記閾値を超えた回数を、前記フロールール毎にバースト検知回数として蓄積し、
前記統計情報保持部は、
前記フロールール毎の前記バースト検知回数の蓄積後に、当該フロールールの前記統計情報を削除する
ように構成されるバーストトラフィック検知装置。 - 前記バースト検知部は、
前記フロールール毎の累積パケット数および/または累積バイト数を蓄積するカウンタと、
前記累積パケット数および/または累積バイト数が、予め設定された閾値を超えたかどうかを所定の第1の周期で判定する比較器と、
前記閾値を超えた回数を、前記フロールール毎に前記バースト検知回数として蓄積するカウンタと
を備える請求項1記載のバーストトラフィック検知装置。 - バーストトラフィックの解析を行う解析部と、
前記検知回数保持部に蓄積された前記フロールール毎のバースト検知回数を、所定の第2の周期で、前記解析部に送信する検知回数送信部を備え、
前記検知回数保持部は、
前記フロールール毎の前記バースト検知回数の送信後に、当該フロールールの前記バースト検知回数を削除する
請求項1又は2に記載のバーストトラフィック検知装置。 - 前記フロールール毎の前記バースト検知回数の蓄積後において、所定の期間に受信されたパケットの情報を保持するキャプチャ部をさらに備え、
前記キャプチャ部は、保持したパケットの情報を前記解析部に送信する
請求項3記載のバーストトラフィック検知装置。 - ネットワークからパケットを受信するパケット受信ステップと、
前記パケットのヘッダ情報に基づいてフロールールを識別するフロー識別ステップと、
前記フロールール毎の累積パケット数および/または累積バイト数からなる統計情報を保持する統計情報保持ステップと、
前記フロールール毎の累積パケット数および/または累積バイト数が予め設定された閾値を超えるかどうかを所定の第1の周期で判定することにより、バーストトラフィックの発生を検知するバースト検知ステップと、
前記閾値を超えた回数を、前記フロールール毎にバースト検知回数として蓄積する検知回数保持ステップと、
前記フロールール毎の前記バースト検知回数の蓄積後に、当該フロールールの前記統計情報を削除する統計情報削除ステップと
を含むバーストトラフィック検知方法。 - 前記バースト検知ステップは、
前記フロールール毎の累積パケット数および/または累積バイト数を蓄積するステップと、
前記累積パケット数および/または累積バイト数が予め設定された閾値を超えるかどうかを所定の第1の周期で判定するステップと、
前記閾値を超えた回数を、前記フロールール毎に前記バースト検知回数として蓄積するステップと
を含む請求項5記載のバーストトラフィック検知方法。 - 前記検知回数保持ステップで蓄積された前記フロールール毎のバースト検知回数を、所定の第2の周期で送信する検知回数送信ステップと
前記フロールール毎の前記バースト検知回数の送信後に、当該フロールールの前記バースト検知回数を削除する検知回数削除ステップを含む
請求項5又は6に記載のバーストトラフィック検知方法。 - 前記フロールール毎の前記バースト検知回数の蓄積後において、所定の期間に受信されたパケットの情報を保持するステップを更に含む
請求項5~7の何れか1項に記載のバーストトラフィック検知方法。
Priority Applications (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2021534442A JP7238993B2 (ja) | 2019-07-23 | 2019-07-23 | バーストトラフィック検知装置及び方法 |
US17/628,954 US20220263733A1 (en) | 2019-07-23 | 2019-07-23 | Burst Traffic Detection Device and Method |
PCT/JP2019/028797 WO2021014552A1 (ja) | 2019-07-23 | 2019-07-23 | バーストトラフィック検知装置及び方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
PCT/JP2019/028797 WO2021014552A1 (ja) | 2019-07-23 | 2019-07-23 | バーストトラフィック検知装置及び方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2021014552A1 true WO2021014552A1 (ja) | 2021-01-28 |
Family
ID=74193536
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2019/028797 WO2021014552A1 (ja) | 2019-07-23 | 2019-07-23 | バーストトラフィック検知装置及び方法 |
Country Status (3)
Country | Link |
---|---|
US (1) | US20220263733A1 (ja) |
JP (1) | JP7238993B2 (ja) |
WO (1) | WO2021014552A1 (ja) |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2015087404A1 (ja) * | 2013-12-11 | 2015-06-18 | 三菱電機株式会社 | 情報処理装置及び情報処理方法及びプログラム |
JP2017028431A (ja) * | 2015-07-21 | 2017-02-02 | 富士通株式会社 | 伝送装置及び流量計測方法 |
JP2017188814A (ja) * | 2016-04-07 | 2017-10-12 | APRESIA Systems株式会社 | ネットワーク装置 |
Family Cites Families (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
EP2692096A1 (en) * | 2011-03-29 | 2014-02-05 | NEC Europe Ltd. | User traffic accountability under congestion in flow-based multi-layer switches |
US10412005B2 (en) * | 2016-09-29 | 2019-09-10 | International Business Machines Corporation | Exploiting underlay network link redundancy for overlay networks |
JP7103883B2 (ja) * | 2018-07-27 | 2022-07-20 | アラクサラネットワークス株式会社 | 通信システム、通信制御方法、及び通信装置 |
-
2019
- 2019-07-23 JP JP2021534442A patent/JP7238993B2/ja active Active
- 2019-07-23 US US17/628,954 patent/US20220263733A1/en active Pending
- 2019-07-23 WO PCT/JP2019/028797 patent/WO2021014552A1/ja active Application Filing
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2015087404A1 (ja) * | 2013-12-11 | 2015-06-18 | 三菱電機株式会社 | 情報処理装置及び情報処理方法及びプログラム |
JP2017028431A (ja) * | 2015-07-21 | 2017-02-02 | 富士通株式会社 | 伝送装置及び流量計測方法 |
JP2017188814A (ja) * | 2016-04-07 | 2017-10-12 | APRESIA Systems株式会社 | ネットワーク装置 |
Also Published As
Publication number | Publication date |
---|---|
US20220263733A1 (en) | 2022-08-18 |
JP7238993B2 (ja) | 2023-03-14 |
JPWO2021014552A1 (ja) | 2021-01-28 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US20060159028A1 (en) | Monitoring system, method of sampling datagrams, and apparatus therefor | |
US8848528B1 (en) | Network data flow collection and processing | |
TW536890B (en) | Scalable real-time quality of service monitoring and analysis of service dependent subscriber satisfaction in IP networks | |
JP3776542B2 (ja) | サービス品質を測定するための方法および装置 | |
CN109617743B (zh) | 网络性能监测与业务测试***及测试方法 | |
US7889656B2 (en) | Binned duration flow tracking | |
US8243599B2 (en) | Method and apparatus for high resolution passive network latency measurement | |
US9961000B2 (en) | Estimation of network path segment delays | |
JP7160189B2 (ja) | パケットキャプチャ装置および方法 | |
CA2411848A1 (en) | Network packet tracking | |
CN114285767B (zh) | 时间触发以太网交换机业务转发性能检测装置 | |
Marques et al. | Intsight: Diagnosing slo violations with in-band network telemetry | |
US20120110012A1 (en) | Estimating User-Perceived TCP Throughput | |
JP5199224B2 (ja) | フロー通信品質推定方法と装置およびプログラム | |
WO2021014552A1 (ja) | バーストトラフィック検知装置及び方法 | |
US7385930B2 (en) | Packet discard point probing method and device | |
KR101338485B1 (ko) | 대형 아이피망에서의 서비스 종류별 품질관리 방법 및시스템 | |
US20060125619A1 (en) | Method and system for monitoring the quality of service in telecommunication networks, components and computer products thereof | |
JP3953999B2 (ja) | 輻輳検知装置、tcpトラヒックの輻輳検知方法およびプログラム | |
JP2015204538A (ja) | 呼処理シーケンスの解析装置および通信システム | |
JP2002164890A (ja) | ネットワークの診断装置 | |
Yoo et al. | Active capture of wireless traces: overcome the lack in protocol analysis | |
Sinha et al. | Fingerprinting internet paths using packet pair dispersion | |
US11528203B2 (en) | Packet switch with hardware interval counters and associated computer to generate network traffic activity data | |
CN116781975B (zh) | 一种媒体流检测方法、装置、终端设备和存储介质 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 19938904 Country of ref document: EP Kind code of ref document: A1 |
|
ENP | Entry into the national phase |
Ref document number: 2021534442 Country of ref document: JP Kind code of ref document: A |
|
NENP | Non-entry into the national phase |
Ref country code: DE |
|
122 | Ep: pct application non-entry in european phase |
Ref document number: 19938904 Country of ref document: EP Kind code of ref document: A1 |