專利名稱：通信量分析裝置、通信量分析方法以及通信量分析系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信量分析裝置、通信量分析方法以及通信量分析系統(tǒng)。
背景技術(shù)：
以往，作為對(duì)線路的通信量進(jìn)行分析的方法，公知有取出通信量收 集裝置收集的通信量數(shù)據(jù)來(lái)向?qū)I(yè)技術(shù)人員委托通信量分析的方法。并 且，公知有直接將通信量收集裝置收集的通信量數(shù)據(jù)轉(zhuǎn)換為計(jì)數(shù)表或波 形，管理者根據(jù)這些波形進(jìn)行分析的方法。
專利文獻(xiàn)1日本特開2007-006477號(hào)公報(bào)
但是，最近，由于聲音、影像、數(shù)據(jù)的統(tǒng)合，流入IP網(wǎng)絡(luò)的通信量 的種類和數(shù)量增加，在網(wǎng)絡(luò)(NW)的運(yùn)用上、穩(wěn)定品質(zhì)服務(wù)的提供上， 通信量的狀態(tài)把握和管理不可或缺。因此，開發(fā)了能夠收集網(wǎng)絡(luò)的通信 量的通信量收集裝置。
而且，為了更準(zhǔn)確地把握網(wǎng)絡(luò)的狀態(tài)，所收集的數(shù)據(jù)的精度提高， 所收集的通信量的種類也增大。與此相伴，所收集的數(shù)據(jù)變得龐大，數(shù) 據(jù)分析日益復(fù)雜，在沒(méi)有網(wǎng)絡(luò)通信量分析技巧的情況下，產(chǎn)生不清楚分 析的重點(diǎn)、分析變困難的問(wèn)題。并且，也產(chǎn)生龐大的數(shù)據(jù)的取出、處理、 分析花費(fèi)時(shí)間的問(wèn)題。與此相伴，管理者的負(fù)擔(dān)和網(wǎng)絡(luò)運(yùn)用費(fèi)用增大。

發(fā)明內(nèi)容
因此，本發(fā)明是鑒于上述問(wèn)題而完成的，本發(fā)明的目的在于，提供 能夠可靠且高精度地對(duì)網(wǎng)絡(luò)的通信量進(jìn)行分析的新的和改良后的通信量 分析裝置、通信量分析方法以及通信量分析系統(tǒng)。
為了解決上述課題，根據(jù)本發(fā)明的某個(gè)觀點(diǎn)，提供--種通信量分析 裝置，其對(duì)與網(wǎng)絡(luò)連接的接入網(wǎng)的通信量進(jìn)行分析，其中，該通信量分
4析裝置具有實(shí)時(shí)監(jiān)控功能部，其從通信量收集裝置實(shí)時(shí)收集與網(wǎng)絡(luò)和
接入網(wǎng)之間的通信數(shù)據(jù)有關(guān)的信息;報(bào)警(alert)條件設(shè)定部，其設(shè)定與 從所述通信量收集裝置實(shí)時(shí)收集到的信息有關(guān)的報(bào)警條件；以及報(bào)警管 理通知部，其根據(jù)所述報(bào)警條件，產(chǎn)生與網(wǎng)絡(luò)和接入網(wǎng)之間的通信量有 關(guān)的報(bào)警。
根據(jù)上述結(jié)構(gòu)，在對(duì)與網(wǎng)絡(luò)連接的接入網(wǎng)的通信量進(jìn)行分析的通信 量分析裝置中，從通信量收集裝置實(shí)時(shí)收集與網(wǎng)絡(luò)和接入網(wǎng)之間的通信 數(shù)據(jù)有關(guān)的信息，設(shè)定與從通信量收集裝置實(shí)時(shí)收集到的信息有關(guān)的報(bào) 警條件，根據(jù)所設(shè)定的報(bào)警條件，產(chǎn)生與網(wǎng)絡(luò)和接入網(wǎng)之間的通信量有 關(guān)的報(bào)警。因此，能夠?qū)崟r(shí)監(jiān)控并監(jiān)視異常通信量/正常通信量，在符合 報(bào)警條件的情況下，使管理者認(rèn)知該情況，由此，能夠容易地分析通信 量的實(shí)際狀態(tài)。
另外，通信量分析裝置也可以具有通信量分析部，該通信量分析部 關(guān)于從所述通信量收集裝置實(shí)時(shí)收集的信息，根據(jù)每小時(shí)的波形、每天 的波形或每月的波形對(duì)通信量進(jìn)行分析。根據(jù)該結(jié)構(gòu)，能夠根據(jù)每小時(shí) 的波形、每天的波形或每月的波形對(duì)通信量進(jìn)行分析，所以，能夠高精 度地分析通信量的實(shí)際狀態(tài)。
另外，通信量分析裝置也可以具有分析報(bào)告生成部，該分析報(bào)告生 成部根據(jù)所述通信量分析部的分析結(jié)果，生成報(bào)告。根據(jù)該結(jié)構(gòu)，能夠 根據(jù)分析報(bào)告，在管理者側(cè)容易地把握通信量的實(shí)際狀態(tài)。
另外，也可以是如下的通信量分析裝置，即從所述通信量收集裝置 實(shí)時(shí)收集的信息包含由所述通信量收集裝置的分組過(guò)濾器收集的信息、
或作為異常通信量收集的信息，所述通信量分析部進(jìn)行全部接收分組的 基本統(tǒng)計(jì)分析、特定范圍的分組的統(tǒng)計(jì)分析、或所述異常通信量的分析， 其中全部接收分組的基本統(tǒng)計(jì)分析和特定范圍的分組的統(tǒng)計(jì)分析基于由 所述分組過(guò)濾器收集到的信息。根據(jù)該結(jié)構(gòu)，通過(guò)進(jìn)行基于由分組過(guò)濾 器收集的信息的全部接收分組的基本統(tǒng)計(jì)分析、基于由分組過(guò)濾器收集 的信息的特定范圍的分組的統(tǒng)計(jì)分析、或所述異常通信量的分析，由此， 能夠根據(jù)各分析條件，詳細(xì)地分析通信量的實(shí)際狀態(tài)。
5另外，為了解決上述課題，根據(jù)本發(fā)明的另一個(gè)觀點(diǎn)，提供一種通 信量分析方法，其中，該通信量分析方法包括以下步驟從通信量收集 裝置實(shí)時(shí)收集與網(wǎng)絡(luò)和接入網(wǎng)之間的通信數(shù)據(jù)有關(guān)的信息的步驟；設(shè)定 與從所述通信量收集裝置實(shí)時(shí)收集到的信息有關(guān)的報(bào)警條件的步驟；以 及根據(jù)所述報(bào)警條件，產(chǎn)生與網(wǎng)絡(luò)和接入網(wǎng)之間的通信量有關(guān)的報(bào)警的 步驟。
根據(jù)上述結(jié)構(gòu)，從通信量收集裝置實(shí)時(shí)收集與網(wǎng)絡(luò)和接入網(wǎng)之間的 通信數(shù)據(jù)有關(guān)的信息，設(shè)定與從通信量收集裝置實(shí)時(shí)收集到的信息有關(guān) 的報(bào)警條件，根據(jù)所設(shè)定的報(bào)警條件，產(chǎn)生與網(wǎng)絡(luò)和接入網(wǎng)之間的通信 量有關(guān)的報(bào)警。因此，能夠?qū)崟r(shí)監(jiān)控并監(jiān)視異常通信量/正常通信量，在 符合報(bào)警條件的情況下，使管理者認(rèn)知該情況，由此，能夠容易地分析 通信量的實(shí)際狀態(tài)。
另外，為了解決上述課題，根據(jù)本發(fā)明的另一個(gè)觀點(diǎn)，提供一種通 信量分析系統(tǒng)，其連接有從與網(wǎng)絡(luò)連接的接入網(wǎng)收集通信量信息的通信 量收集裝置和對(duì)所述通信量信息進(jìn)行分析的通信量分析裝置，，其中，所 述通信量分析裝置具有實(shí)時(shí)監(jiān)控功能部，其從所述通信量收集裝置實(shí)
時(shí)收集與網(wǎng)絡(luò)和接入網(wǎng)之間的通信數(shù)據(jù)有關(guān)的信息；報(bào)警條件設(shè)定部， 其設(shè)定與從所述通信量收集裝置實(shí)時(shí)收集到的信息有關(guān)的報(bào)警條件；以 及報(bào)警管理通知部，其根據(jù)所述報(bào)警條件，產(chǎn)生與網(wǎng)絡(luò)和接入網(wǎng)之間的 通信量有關(guān)的報(bào)警。
根據(jù)上述結(jié)構(gòu)，在連接有從與網(wǎng)絡(luò)連接接入網(wǎng)收集通信量信息的通 信量收集裝置和對(duì)所述通信量信息進(jìn)行分析的通信量分析裝置的通信量 分析系統(tǒng)中，在通信量分析裝置中，從通信量收集裝置實(shí)時(shí)收集與網(wǎng)絡(luò) 和接入網(wǎng)之間的通信數(shù)據(jù)有關(guān)的信息，設(shè)定與從通信量收集裝置實(shí)時(shí)收 集到的信息有關(guān)的報(bào)警條件，根據(jù)所設(shè)定的報(bào)警條件，產(chǎn)生與網(wǎng)絡(luò)和接 入網(wǎng)之間的通信量有關(guān)的報(bào)警。因此，能夠?qū)崟r(shí)監(jiān)控并監(jiān)視異常通信量/ 正常通信量，在符合報(bào)警條件的情況下，使管理者認(rèn)知該情況，由此， 能夠容易地分析通信量的實(shí)際狀態(tài)。
根據(jù)本發(fā)明，能夠提供一種能夠可靠且高精度地對(duì)網(wǎng)絡(luò)的通信量進(jìn)行分析的通信量分析裝置、通信量分析方法以及通信量分析系統(tǒng)。


圖1是示出本發(fā)明的一個(gè)實(shí)施方式的通信量收集裝置的網(wǎng)絡(luò)設(shè)置結(jié) 構(gòu)的示意圖。
圖2是示出通信量收集裝置的功能和結(jié)構(gòu)的示意圖。
圖3是示出Ingress (輸入)分組過(guò)濾部和Egress (輸出)分組過(guò)濾 部的結(jié)構(gòu)的示意圖。
圖4是示出異常通信量檢測(cè)部的結(jié)構(gòu)的示意圖。
圖5是示出對(duì)話(session)處理部進(jìn)行的處理的流程圖。
圖6是示出通信量分析裝置的功能和用于實(shí)現(xiàn)該功能的結(jié)構(gòu)的示意圖。
圖7是示出統(tǒng)合管理裝置的功能結(jié)構(gòu)的示意圖。 圖8是示出實(shí)時(shí)統(tǒng)計(jì)信息設(shè)定管理部的結(jié)構(gòu)的示意圖。 圖9是示出實(shí)時(shí)統(tǒng)計(jì)信息設(shè)定管理部的結(jié)構(gòu)的示意圖。 圖IO是示出實(shí)時(shí)統(tǒng)計(jì)信息監(jiān)控部的處理的示意圖。 圖11是示出由報(bào)警條件設(shè)定部進(jìn)行的設(shè)定的示意圖。 圖12是示出報(bào)警管理通知部的處理的流程圖。 圖13是示出由定時(shí)報(bào)告設(shè)定管理部、定時(shí)統(tǒng)計(jì)信息監(jiān)控部以及定時(shí) 統(tǒng)計(jì)信息報(bào)告生成部進(jìn)行的處理的示意圖。
圖14是示出通信量分析設(shè)定管理部進(jìn)行的處理的示意圖。 圖15是示出通信量分析部和分析報(bào)告生成部進(jìn)行的處理的示意圖。 圖16是示出通信量分析部和分析報(bào)告生成部進(jìn)行的處理的示意圖。 圖17是示出通信量分析部和分析報(bào)告生成部進(jìn)行的處理的示意圖。 圖18是示出通信量分析部和分析報(bào)告生成部進(jìn)行的處理的示意圖。
具體實(shí)施例方式
下面，參照附圖對(duì)本發(fā)明的優(yōu)選實(shí)施方式進(jìn)行詳細(xì)說(shuō)明。另外，在 本說(shuō)明書和附圖中，對(duì)實(shí)質(zhì)上具有相同功能結(jié)構(gòu)的結(jié)構(gòu)要素附加相同標(biāo)號(hào)，由此省略重復(fù)說(shuō)明。
首先，說(shuō)明本發(fā)明的第l實(shí)施方式。圖1是示出本發(fā)明的一個(gè)實(shí)施 方式的通信量收集裝置100的網(wǎng)絡(luò)200設(shè)置結(jié)構(gòu)的示意圖。在圖1的例
子中，在接入網(wǎng)300和ISP (Internet Services Provider,互聯(lián)網(wǎng)服務(wù)提供 商)400之間的線路中，配置使通信信號(hào)分支輸出的轉(zhuǎn)送裝置(網(wǎng)絡(luò)分接 器裝置)500、 510、 520、 530，將轉(zhuǎn)送裝置500、 510、 520、 530的In (輸 入)側(cè)(接入網(wǎng)300側(cè))、Out (輸出)側(cè)(ISP400側(cè))的分支的輸出線 路分別連接在通信量收集裝置100的線路側(cè)的In側(cè)、Out側(cè)。同樣，將 通信量收集裝置100的監(jiān)控側(cè)的輸出線路與監(jiān)控裝置600連接。在圖1 的例子中，假設(shè)監(jiān)控裝置600是單獨(dú)的可以進(jìn)行直接插入(in-line)設(shè)置 的裝置。
如圖1所示，在通信量收集裝置IOO上連接有用于進(jìn)行通信量分析 的通信量分析裝置(A) 700。
通過(guò)轉(zhuǎn)送裝置500和通信量收集裝置100來(lái)收集接入網(wǎng)300和ISP 400之間的多個(gè)線路通信量信息。通信量分析裝置700自動(dòng)地分析從多個(gè) 線路收集到的通信量，提取分析結(jié)果的重點(diǎn)來(lái)生成分析報(bào)告。通信量分 析裝置700以所設(shè)定的秒/分間隔，定期地取出這些通信量數(shù)據(jù)，實(shí)施通 信量的監(jiān)視，同時(shí)實(shí)時(shí)顯示表和波形，生成定時(shí)報(bào)告和分析報(bào)告。
同樣，經(jīng)由其他配置在接入網(wǎng)300和ISP400之間的線路中的轉(zhuǎn)送裝 置500，通過(guò)通信量收集裝置100來(lái)收集通信量信息，通過(guò)通信量分析裝 置(B) 700、通信量分析裝置(C) 700進(jìn)行分析。
圖2是示出通信量收集裝置100的功能和結(jié)構(gòu)的示意圖。如圖2(A) 所示，通信量收集裝置IOO具有收集功能、異常通信量檢測(cè)功能、信息 保持功能。并且，圖2 (B)是示出通信量收集裝置IOO的功能塊結(jié)構(gòu)的 示意圖。接收部105從轉(zhuǎn)送裝置510、 520、 530區(qū)分接收In側(cè)、Out側(cè) 的輸入。Ingress (輸入)分組過(guò)濾部110能夠在從線路側(cè)的各轉(zhuǎn)送裝置 510、520、530接收到的分組中，提取并檢索以太網(wǎng)報(bào)頭、IP報(bào)頭、TCP/UDP 報(bào)頭的識(shí)別符，根據(jù)識(shí)別符進(jìn)行過(guò)濾。
異常通信量檢測(cè)部120對(duì)通過(guò)了 Ingress分組過(guò)濾部110后的In側(cè)、
8Out側(cè)的雙方的分組進(jìn)行處理，由此，能夠識(shí)別為對(duì)話(session)。
Egress (輸出)分組過(guò)濾部170與Ingress分組過(guò)濾部110同樣，能 夠根據(jù)報(bào)頭的識(shí)別符對(duì)分組進(jìn)行過(guò)濾。通過(guò)了 Egress分組過(guò)濾部170后 的分組從監(jiān)控側(cè)的發(fā)送部180發(fā)送。
管理部190由以下部分構(gòu)成Ingress分組過(guò)濾部110的統(tǒng)計(jì)收集部 191、異常通信量檢測(cè)部120的統(tǒng)計(jì)收集部192、 Egress分組過(guò)濾部170 的統(tǒng)計(jì)收集部193、 Ingress分組過(guò)濾部110的設(shè)定部194、異常通信量檢 測(cè)部120的設(shè)定部195、以及Egress分組過(guò)濾部170的設(shè)定部196。
管理部190經(jīng)由收發(fā)部195與通信量分析裝置700連接，成為與通 信量分析裝置700之間的統(tǒng)計(jì)信息、設(shè)定信息的界面。
下面，根據(jù)圖3 、圖4以及圖5，對(duì)通信量收集裝置100的Ingress/Egress 分組過(guò)濾部IIO、 170的結(jié)構(gòu)、異常通信量檢測(cè)部120的結(jié)構(gòu)、對(duì)話處理 的流程進(jìn)行說(shuō)明。根據(jù)這些信息和條件，來(lái)設(shè)計(jì)圖8的實(shí)時(shí)統(tǒng)計(jì)信息設(shè) 定管理部704。
圖3示出Ingress分組過(guò)濾部10和Egress分組過(guò)濾部170的結(jié)構(gòu)。 這些分組過(guò)濾部IIO、 170由分組過(guò)濾表115構(gòu)成。作為可以在策略規(guī)則 中設(shè)定的以太網(wǎng)報(bào)頭、IP報(bào)頭、TCP/UDP報(bào)頭的識(shí)別符，如圖3所示， 可以列舉VLAN-ID、以太優(yōu)先級(jí)(EtherPriority)、以太網(wǎng)類型(Ether Type)、接收方IP地址、發(fā)送方IP地址、TOS、協(xié)議編號(hào)、TCP標(biāo)志、 接收方端口編號(hào)和發(fā)送方端口編號(hào)。可以在各個(gè)識(shí)別符中指定屏蔽位， 來(lái)進(jìn)行范圍檢索。
分組過(guò)濾表115對(duì)各入口賦予優(yōu)先級(jí)，在圖3所示的例子中，小的 編號(hào)為高優(yōu)先級(jí)。作為檢索識(shí)別符后的結(jié)果，采用符合更高優(yōu)先級(jí)的入 口，按照預(yù)先設(shè)定的與各入口對(duì)應(yīng)的動(dòng)作(permit或deny),選擇通過(guò) (permit)還是丟棄(deny)。并且，分組過(guò)濾表115作為每個(gè)入口的統(tǒng) 計(jì)信息，具有分組計(jì)數(shù)器(pps)和字節(jié)計(jì)數(shù)器(bps)。分組計(jì)數(shù)器和字 節(jié)計(jì)數(shù)器對(duì)符合檢索結(jié)果的所有入口進(jìn)行相加。
圖4是示出異常通信量檢測(cè)部120的結(jié)構(gòu)的示意圖。輸入到異常通 信量檢測(cè)部120的In側(cè)和Out側(cè)的雙方的分組被輸入到對(duì)話處理部122，
9按照?qǐng)D5的對(duì)話處理的流程圖進(jìn)行處理。
這里，對(duì)圖5的對(duì)話處理進(jìn)行說(shuō)明。首先，在步驟S1中，在對(duì)話處
理部中輸入分組，在接下來(lái)的步驟S2中，檢索簽名(signature),在檢索到簽名的情況下，進(jìn)入步驟S3。在步驟S3中，對(duì)簽名異常分組統(tǒng)計(jì)信息進(jìn)行相加，在步驟S4中，丟棄分組。
在步驟S2中沒(méi)有檢索到簽名的情況下，進(jìn)入步驟S5，檢索對(duì)話管理表。在對(duì)話管理表中檢索到分組的情況下，進(jìn)入步驟S6，判定是否接收到了 FIN/RST。在步驟S6中，在接收到FIN/RST的情況下，進(jìn)入步驟S7，承接步驟S8的無(wú)用定時(shí)器(GarbageTimer)的結(jié)束，而刪除對(duì)話管理表。然后，在步驟S9中，對(duì)對(duì)話異常分組統(tǒng)計(jì)信息進(jìn)行相加，在步驟S10中，丟棄分組。
另一方面，在步驟S5中在對(duì)話管理表中沒(méi)有檢索到分組的情況下，進(jìn)入步驟Sll，接收第一個(gè)分組(lst分組)。在接下來(lái)的步驟S12中，設(shè)定無(wú)用定時(shí)器，在接下來(lái)的步驟S13中，判定是否存在同時(shí)對(duì)話數(shù)的登記。
在步驟S13中存在同時(shí)對(duì)話數(shù)登記的情況下，進(jìn)入步驟S14，判定同時(shí)對(duì)話數(shù)是否是上限值。在步驟S14中同時(shí)對(duì)話數(shù)是上限值的情況下，在步驟S15中，對(duì)同時(shí)對(duì)話數(shù)超過(guò)上限值的異常分組的統(tǒng)計(jì)信息進(jìn)行相加，在步驟S10中，丟棄分組。另一方面，在步驟S14中同時(shí)對(duì)話數(shù)不是上限值的情況下、或者在步驟S13中沒(méi)有同時(shí)對(duì)話數(shù)的登記的情況下，進(jìn)入步驟S16。
在步驟S16中，判定是否存在秒間對(duì)話數(shù)的登記，在存在秒間對(duì)話數(shù)的登記的情況下，在步驟S17中判定秒間對(duì)話數(shù)是否是上限值。在步驟S17中秒間對(duì)話數(shù)是上限值的情況下，在步驟S18中，秒間對(duì)話數(shù)超過(guò)上限值的分組的統(tǒng)計(jì)信息進(jìn)行相加，在步驟S19中，丟棄分組。另一方面，在步驟S17中秒間對(duì)話數(shù)不是上限值的情況下、或者在步驟S16中沒(méi)有秒間對(duì)話數(shù)的登記的情況下，進(jìn)入步驟S20。
在步驟S20中，對(duì)對(duì)話統(tǒng)計(jì)信息進(jìn)行相加。在接下來(lái)的步驟S21中，登記對(duì)話管理表。在接下來(lái)的步驟S22中，輸出分組。步驟S22之后，
10結(jié)束處理(END)。
經(jīng)對(duì)話處理部122處理后的對(duì)話被登記在對(duì)話管理表124中。此時(shí)，所登記的識(shí)別符為圖4所示的5個(gè)識(shí)別符(接收方IP地址、發(fā)送方IP地址、協(xié)議編號(hào)、接收方端口編號(hào)、發(fā)送方端口編號(hào))。對(duì)話統(tǒng)計(jì)信息保持部126以接收方IP地址和發(fā)送方IP地址的組合為單位，來(lái)保持被登記在對(duì)話管理表124中并在該時(shí)刻所維持的對(duì)話數(shù)。
關(guān)于輸入到異常通信量檢測(cè)部120的分組，在圖5的步驟S2中，與登記在簽名保持部128中的各簽名相匹配，判斷該分組是否是異常分組。登記在簽名保持部128中的簽名記述作為異常分組的類型，例如，記述有接收方IP地址和發(fā)送方IP地址相同、發(fā)送方IP地址被謊稱、或利用接收方主機(jī)再構(gòu)筑IP分組時(shí)超過(guò)最大長(zhǎng)度等的類型。異常分組統(tǒng)計(jì)信息保持部129保持按照簽名單位檢測(cè)出的異常分組數(shù)，在步驟S2中檢索到簽名的情況下，在步驟S3中，對(duì)異常分組統(tǒng)計(jì)信息進(jìn)行相加。
通信量分析裝置700以秒/分間隔定期地對(duì)通過(guò)通信量收集裝置100的管理部190的Ingress分組過(guò)濾統(tǒng)計(jì)收集部191、異常通信量檢測(cè)統(tǒng)計(jì)收集部192和Egress分組過(guò)濾統(tǒng)計(jì)收集部193所收集的數(shù)據(jù)進(jìn)行取出、處理、監(jiān)視、實(shí)時(shí)顯示表和波形、以及生成報(bào)告等。為了根據(jù)通信量收集裝置100收集到的數(shù)據(jù)，來(lái)實(shí)施報(bào)告和分析，通信量分析裝置700識(shí)別收集到的數(shù)據(jù)的格式信息、數(shù)據(jù)的收集方法等。
圖6是示出通信量分析裝置700的功能和用于實(shí)現(xiàn)該功能的結(jié)構(gòu)的示意圖。通信量分析裝置700具有運(yùn)算處理部(CPU)，通過(guò)軟件(程序)使運(yùn)算處理部發(fā)揮功能，由此，可以實(shí)現(xiàn)通信量分析裝置700的各結(jié)構(gòu)要素。
圖6 (A)示出通信量分析裝置700的功能，圖6 (B)示出通信量分析裝置700的結(jié)構(gòu)。如圖6 (A)所示，通信量分析裝置700具有結(jié)構(gòu)管理功能、實(shí)時(shí)監(jiān)控功能、監(jiān)視功能、報(bào)警通知功能、定時(shí)報(bào)告功能、自動(dòng)分析功能(通信量分析功能)、以及數(shù)據(jù)蓄積功能。
并且，如圖6 (B)所示，通信量分析裝置700具有結(jié)構(gòu)管理部702、實(shí)時(shí)統(tǒng)計(jì)信息設(shè)定管理部704、實(shí)時(shí)統(tǒng)計(jì)信息監(jiān)控部706、報(bào)警條件設(shè)定部708、報(bào)警管理通知部710、定時(shí)報(bào)告設(shè)定管理部712、定時(shí)統(tǒng)計(jì)信息監(jiān)控部714、定時(shí)統(tǒng)計(jì)信息報(bào)告生成部716、通信量分析設(shè)定管理部718、通信量分析部720、分析報(bào)告生成部722、以及數(shù)據(jù)庫(kù)部724。并且，通信量分析裝置700具有與通信量收集裝置100之間收發(fā)信息的收發(fā)部730、以及與統(tǒng)合管理裝置800之間收發(fā)信息的收發(fā)部732。
通信量分析裝置700在通信量監(jiān)視中發(fā)出的報(bào)警、生成的定時(shí)報(bào)告和分析報(bào)告，被發(fā)送到對(duì)多個(gè)通信量分析裝置(A) 700、通信量分析裝置(B) 700、通信量分析裝置(C) 700進(jìn)行統(tǒng)合管理的統(tǒng)合管理裝置800。圖7是示出統(tǒng)合管理裝置800的功能結(jié)構(gòu)的示意圖。統(tǒng)合管理裝置800具有結(jié)構(gòu)管理功能部802、報(bào)警顯示功能部804、以及報(bào)告蓄積功能部806。管理者能夠利用統(tǒng)合管理裝置800對(duì)多個(gè)通信量分析裝置700進(jìn)行統(tǒng)合管理，并參照各通信量分析裝置700的通信量數(shù)據(jù)。
通過(guò)實(shí)時(shí)統(tǒng)計(jì)信息設(shè)定管理部704和實(shí)時(shí)統(tǒng)計(jì)信息監(jiān)控部706來(lái)實(shí)現(xiàn)通信量分析裝置700的實(shí)時(shí)監(jiān)控功能(實(shí)時(shí)監(jiān)控功能部)。
圖8和圖9是示出實(shí)時(shí)統(tǒng)計(jì)信息設(shè)定管理部704的結(jié)構(gòu)的示意圖。實(shí)時(shí)統(tǒng)計(jì)信息設(shè)定管理部704對(duì)通信量分析裝置700在實(shí)時(shí)的信息收集時(shí)所監(jiān)控的信息的設(shè)定進(jìn)行管理。如圖8所示，實(shí)時(shí)統(tǒng)計(jì)信息設(shè)定管理部704對(duì)監(jiān)控基本設(shè)定和監(jiān)控項(xiàng)目設(shè)定進(jìn)行管理。作為監(jiān)控項(xiàng)目設(shè)定，有Ingress/Egress監(jiān)控設(shè)定和異常通信量監(jiān)控設(shè)定。在Ingress/Egress監(jiān)控設(shè)定中具有全部接收分組基本統(tǒng)計(jì)設(shè)定和策略規(guī)則統(tǒng)計(jì)設(shè)定。而且，作為策略規(guī)則統(tǒng)計(jì)設(shè)定，如圖9所示，有基于接收方/發(fā)送方IP地址范圍指定統(tǒng)計(jì)的項(xiàng)目選擇的設(shè)定、和TCP/UDP端口編號(hào)分析指定設(shè)定。而且，在TCP/UDP端口編號(hào)分析指定中有基于TCP/UDP端口編號(hào)指定統(tǒng)計(jì)的項(xiàng)目選擇的設(shè)定。
圖10是示出實(shí)時(shí)統(tǒng)計(jì)信息監(jiān)控部706的處理的示意圖。實(shí)時(shí)統(tǒng)計(jì)信息監(jiān)控部706以利用實(shí)時(shí)監(jiān)控間隔設(shè)定所設(shè)定的時(shí)間間隔，從通信量收集裝置100取得數(shù)據(jù)(步驟S31)。然后，計(jì)算所取得的數(shù)據(jù)的平均值pps/bps (步驟S32)，對(duì)30分鐘的實(shí)時(shí)監(jiān)控波形的顯示進(jìn)行更新(步驟S33)。在步驟S32中計(jì)算出的平均值pps/bps被輸出到實(shí)時(shí)監(jiān)控監(jiān)視A。通過(guò)實(shí)時(shí)統(tǒng)計(jì)信息監(jiān)控部706、報(bào)警條件設(shè)定部708和報(bào)警管理通知部710的協(xié)作來(lái)實(shí)現(xiàn)通信量分析裝置700的監(jiān)視功能和報(bào)警通知功能。
圖11是示出由報(bào)警條件設(shè)定部708進(jìn)行的設(shè)定的示意圖。如圖11所示，在報(bào)警條件設(shè)定部708中，主要進(jìn)行實(shí)時(shí)統(tǒng)計(jì)信息監(jiān)控的監(jiān)視設(shè)定，在產(chǎn)生報(bào)警時(shí)，進(jìn)行向統(tǒng)合管理裝置800發(fā)送報(bào)警信息、向管理者發(fā)送郵件等的動(dòng)作。
圖12是示出報(bào)警管理通知部710的處理的流程圖。報(bào)警管理通知部710根據(jù)輸出到實(shí)時(shí)監(jiān)控監(jiān)視A的平均值pps/bps，產(chǎn)生報(bào)警。首先，在步驟S41中，確認(rèn)有無(wú)實(shí)時(shí)統(tǒng)計(jì)信息監(jiān)控的監(jiān)視設(shè)定，在有監(jiān)視設(shè)定的情況下，進(jìn)入步驟S42。在步驟S42中，確認(rèn)有無(wú)設(shè)定上限閾值，在有上限設(shè)定值的情況下，在接下來(lái)的步驟S43中，判定平均值pps/bps是否超過(guò)上限閾值。
在步驟S43中超過(guò)上限閾值的情況下，進(jìn)入步驟S44，判定是否超過(guò)連續(xù)產(chǎn)生次數(shù)。在超過(guò)連續(xù)產(chǎn)生次數(shù)的情況下，進(jìn)入步驟S45，產(chǎn)生報(bào)警。具體而言，進(jìn)行向統(tǒng)合管理裝置發(fā)送報(bào)警信息、向管理者發(fā)送郵件等的處理。
另一方面，在步驟S42中沒(méi)有設(shè)定上限閾值的情況下、在步驟S43中沒(méi)有超過(guò)上限閾值的情況下、或者在步驟S44中沒(méi)有超過(guò)連續(xù)產(chǎn)生次數(shù)的情況下，進(jìn)入步驟S46。在步驟S46中，確認(rèn)有無(wú)設(shè)定下限閾值，在設(shè)定了下限閾值的情況下，進(jìn)入步驟S47。
在步驟S47中判定是否超出下限閾值(即是否低于下限閾值)，在超出下限閾值的情況下，進(jìn)入步驟S48，判定是否超過(guò)連續(xù)產(chǎn)生次數(shù)。在超過(guò)連續(xù)產(chǎn)生次數(shù)的情況下，進(jìn)入步驟S49，產(chǎn)生報(bào)警。具體而言，進(jìn)行向統(tǒng)合管理裝置800發(fā)送報(bào)警信息、向管理者發(fā)送郵件等的處理。
另一方面，在步驟S41中沒(méi)有監(jiān)視設(shè)定的情況下、在步驟S46中沒(méi)有設(shè)定下限閾值的情況下、在步驟S47中沒(méi)有超出下限閾值的情況下、或者在步驟S48中沒(méi)有超過(guò)連續(xù)產(chǎn)生次數(shù)的情況下，不產(chǎn)生動(dòng)作。如上所述，報(bào)警管理通知部710能夠通過(guò)報(bào)警條件設(shè)定部708的設(shè)定和平均值pps/bps的比較，來(lái)產(chǎn)生報(bào)警。
13通過(guò)定時(shí)報(bào)告設(shè)定管理部712、定時(shí)統(tǒng)計(jì)信息監(jiān)控部714、以及定時(shí) 統(tǒng)計(jì)信息報(bào)告生成部716來(lái)實(shí)現(xiàn)通信量分析裝置700的定時(shí)報(bào)告功能。
圖13是示出由定時(shí)報(bào)告設(shè)定管理部712、定時(shí)統(tǒng)計(jì)信息監(jiān)控部714 以及定時(shí)統(tǒng)計(jì)信息報(bào)告生成部716進(jìn)行的處理的示意圖。如圖13所示， 定時(shí)報(bào)告設(shè)定管理部712進(jìn)行報(bào)告的基本設(shè)定。定時(shí)統(tǒng)計(jì)信息監(jiān)控部714 進(jìn)行以規(guī)定的時(shí)間間隔(例如l分鐘間隔)從通信量收集裝置IOO取得 數(shù)據(jù)的處理。定時(shí)統(tǒng)計(jì)信息報(bào)告生成部716通過(guò)圖13所示的步驟S51 S53、步驟S54 S56、步驟S57 S59的處理，進(jìn)行時(shí)表波形報(bào)告、日表 波形報(bào)告、月表波形報(bào)告的保持/顯示。時(shí)表波形報(bào)告被輸出到通信量分 析部B，日表波形報(bào)告被輸出到通信量分析部C，月表波形報(bào)告被輸出到 通信量分析部D。
通過(guò)通信量分析設(shè)定管理部718、通信量分析部720、以及分析報(bào)告 生成部722對(duì)定時(shí)報(bào)告的數(shù)據(jù)進(jìn)行分析，來(lái)實(shí)現(xiàn)通信量分析裝置700的 通信量分析功能。
圖14是示出通信量分析設(shè)定管理部718進(jìn)行的處理的示意圖。如圖 14所示，在通信量分析設(shè)定管理部718中，進(jìn)行分析基本設(shè)定，通過(guò)分 析對(duì)象選擇，選擇Ingress/Egress監(jiān)控的全部接收分組基本統(tǒng)計(jì)分析(X)、 Ingress/Egress監(jiān)控的策略規(guī)則統(tǒng)計(jì)分析、以及異常通信量監(jiān)控的分析
(Z)。作為Ingress/Egress監(jiān)控的策略規(guī)則統(tǒng)計(jì)分析，進(jìn)行接收方/發(fā)送方 IP地址范圍(子網(wǎng)絡(luò))指定統(tǒng)計(jì)分析(Yl)、 TCP/UDP端口編號(hào)指定統(tǒng) 計(jì)分析(Y2)的處理。
圖15 圖18是示出通信量分析部720和分析報(bào)告生成部724進(jìn)行 的處理的示意圖。這里，圖15示出Ingress/Egress監(jiān)控的全部接收分組基 本統(tǒng)計(jì)分析(X)。在通信量分析部720中，根據(jù)從定時(shí)統(tǒng)計(jì)信息報(bào)告生 成部716輸出的時(shí)表波形報(bào)告、日表波形報(bào)告、月表波形報(bào)告，來(lái)進(jìn)行 通信量的分析。
在通信量分析部B中輸入時(shí)表波形報(bào)告，按照從大到小的順序排序 指定期間的全部時(shí)表數(shù)據(jù)(l分鐘內(nèi)的平均值(pps/bps))(步驟S61)， 將排前5位的瞬間通信量數(shù)據(jù)的量(pps/bps)和日期時(shí)間輸出到分析報(bào)
14告中(步驟S62)。并且，將在步驟S61中排序的數(shù)據(jù)分為指定的階段，
計(jì)算各階段的數(shù)據(jù)比例(各階段的數(shù)據(jù)個(gè)數(shù)/全部階段的數(shù)據(jù)個(gè)數(shù))(步驟
S63)。然后，將各階段的信息(通信量范圍/數(shù)據(jù)個(gè)數(shù)/比例)輸出到分析 報(bào)告中(步驟S64)。
在通信量分析部C中輸入日表波形報(bào)告，按照從大到小的順序排序 指定期間的全部日表的數(shù)據(jù)(1小時(shí)內(nèi)的平均值(pps/bps))(步驟S65)， 對(duì)排在前面的1成的通信量的產(chǎn)生時(shí)間段進(jìn)行合計(jì)，將1成的通信量范 圍和排前3位的時(shí)間段作為通信量集中的時(shí)間段，輸出到分析報(bào)告中(步 驟S66)。
在通信量分析部D中輸入月表波形報(bào)告，針對(duì)每個(gè)子網(wǎng)絡(luò)按照從大 到小的順序排序指定期間的月表的數(shù)據(jù)(1日內(nèi)的平均值(pps/bps))(步 驟S67)，將前3位的日平均數(shù)據(jù)的通信量(pps/bps)和日期輸出到分析 報(bào)告中(步驟S68)。
分析報(bào)告生成部722根據(jù)通信量分析部720進(jìn)行的通信量分析，生 成分析報(bào)告(步驟S69)，并對(duì)其進(jìn)行保持和顯示(步驟S70)。
并且，圖16示出接收方/發(fā)送方IP地址范圍(子網(wǎng)絡(luò))指定統(tǒng)計(jì)分 析(YO。圖16的基本處理與圖15相同，但是，在圖16中，針對(duì)每個(gè) 子網(wǎng)絡(luò)進(jìn)行處理。
并且，圖17是示出TCP/UDP端口編號(hào)指定統(tǒng)計(jì)分析(Y2)的示意 圖。圖17的基本處理與圖15相同，但是，在圖17中，針對(duì)每個(gè)聲音/ 影像/控制/其他數(shù)據(jù)進(jìn)行處理。
并且，圖18是示出異常通信量監(jiān)控的分析(Z)的示意圖。如圖18 所示，在通信量分析部B中輸入時(shí)表波形報(bào)告，根據(jù)指定期間的全部時(shí) 表的數(shù)據(jù)(l分鐘內(nèi)的平均值(pps/bps))，按照簽名異常/對(duì)話異常/超過(guò) 同時(shí)對(duì)話數(shù)異常/超過(guò)秒間對(duì)話數(shù)異常/全部異常分組數(shù)的每個(gè)項(xiàng)目，對(duì)異 常分組進(jìn)行統(tǒng)計(jì)(步驟S81)。然后，計(jì)算各種異常分組的比例，將其結(jié) 果輸出到分析報(bào)告中(步驟S82)。
在通信量分析部C中輸入日表波形報(bào)告，按照簽名異常/對(duì)話異常/ 超過(guò)同時(shí)對(duì)話數(shù)異常/超過(guò)秒間對(duì)話數(shù)異常的每個(gè)項(xiàng)目，按照從大到小的順序排序指定期間的全部日表的數(shù)據(jù)(l小時(shí)平均值(pps/bps))(步驟
S83)，按照各種異常，對(duì)異常通信量的產(chǎn)生時(shí)間段進(jìn)行合計(jì)，算出前3
位的時(shí)間段(異常頻發(fā)時(shí)間段)，并輸出到分析報(bào)告中(步驟S84)。
在通信量分析部D中輸入月表波形報(bào)告，按照簽名異常/對(duì)話異常/
超過(guò)同時(shí)對(duì)話數(shù)異常/超過(guò)秒間對(duì)話數(shù)異常的每個(gè)項(xiàng)目，按照從大到小的
順序排序指定期間的月表的數(shù)據(jù)(1日平均值(pps/bps))(步驟S85)， 按照各種異常，對(duì)異常通信量的產(chǎn)生日期時(shí)間/星期幾進(jìn)行合計(jì)，推斷前
3位的日期/星期幾(異常頻發(fā)日期/星期幾)，并輸出到分析報(bào)告中(步驟 S86)。并且，通過(guò)指定期間的月表的數(shù)據(jù)(1日平均值(pps/bps))，對(duì)全 部異常分組數(shù)進(jìn)行統(tǒng)計(jì)(步驟S87)，計(jì)算全部異常分組數(shù)/全部正常接收 分組數(shù)的比例，并輸出到分析報(bào)告中(步驟S88)。
分析報(bào)告生成部722根據(jù)通信量分析部720進(jìn)行的通信量分析，生 成分析報(bào)告(步驟S89)，并對(duì)其進(jìn)行保持和顯示(步驟S90)。
如以上說(shuō)明的那樣，根據(jù)本實(shí)施方式，能夠?qū)崟r(shí)監(jiān)控和監(jiān)視異常通 信量/正常通信量，能夠向管理者發(fā)送超過(guò)閾值的報(bào)警郵件。并且，能夠 生成時(shí)表/日表/月表的定時(shí)報(bào)告(波形)，所以，能夠容易地分析通信量 的實(shí)際狀態(tài)。
并且，能夠通過(guò)Ingress/Egress監(jiān)控的全部接收分組基本統(tǒng)計(jì)分析， 對(duì)排前5位的瞬間通信量及其產(chǎn)生日期時(shí)間、各階段的通信量的比例、 排前1成的通信量范圍及這些通信量集中的前3位的時(shí)間段、前3位的 日平均數(shù)據(jù)的通信量(pps/bps)和日期等進(jìn)行分析。
并且，能夠通過(guò)接收方/發(fā)送方IP地址范圍(子網(wǎng)絡(luò))指定的統(tǒng)計(jì)分 析，按照子網(wǎng)絡(luò)，對(duì)前3位的瞬間通信量及其產(chǎn)生日期時(shí)間、各階段的 通信量的比例、排前1成的通信量范圍及這些通信量集中的前3位的時(shí) 間段、前3位的日平均數(shù)據(jù)的通信量(pps/bps)和日期、整體的各子網(wǎng) 絡(luò)的通信量比例等進(jìn)行分析。
并且，能夠通過(guò)TCP/UDP端口編號(hào)指定統(tǒng)計(jì)分析，針對(duì)聲音/影像/ 控制/其他數(shù)據(jù)，對(duì)各階段的通信量的比例、排前3位的瞬間通信量數(shù)據(jù) 的量(pps/bps)和日期時(shí)間、排前l(fā)成的通信量范圍及其集中時(shí)間段的
16排前3位、排前3位的日平均數(shù)據(jù)的通信量(pps/bps)和日期、整體上
各自的通信量比例等進(jìn)行分析。
并且，能夠通過(guò)異常通信量監(jiān)控的分析，對(duì)各種異常分組的比例、
異常通信量的產(chǎn)生時(shí)間段的前3位、產(chǎn)生日期(星期幾)的前3位、全
部異常分組數(shù)和全部正常接收分組數(shù)的比例等進(jìn)行分析。
因此，根據(jù)本實(shí)施方式，不需要網(wǎng)絡(luò)管理者自己對(duì)通信量進(jìn)行分析、 或向?qū)I(yè)技術(shù)人員委托通信量分析，就能夠容易地把握各線路的狀態(tài)。 由此，能夠降低網(wǎng)絡(luò)管理者的負(fù)擔(dān)和網(wǎng)絡(luò)運(yùn)用費(fèi)用。
以上，參照附圖對(duì)本發(fā)明的優(yōu)選實(shí)施方式進(jìn)行了說(shuō)明，但是，本發(fā) 明當(dāng)然不限于所述例子。顯而易見，本領(lǐng)域技術(shù)人員能夠在權(quán)利要求范 圍所記載的范疇內(nèi)想到各種變更例或修正例，這些當(dāng)然也屬于本發(fā)明的 技術(shù)范圍內(nèi)。
權(quán)利要求
1. 一種通信量分析裝置，其對(duì)與網(wǎng)絡(luò)連接的接入網(wǎng)的通信量進(jìn)行分析，其特征在于，該通信量分析裝置具有實(shí)時(shí)監(jiān)控功能部，其從通信量收集裝置實(shí)時(shí)收集與網(wǎng)絡(luò)和接入網(wǎng)之間的通信數(shù)據(jù)有關(guān)的信息；報(bào)警條件設(shè)定部，其設(shè)定與從所述通信量收集裝置實(shí)時(shí)收集到的信息有關(guān)的報(bào)警條件；以及報(bào)警管理通知部，其根據(jù)所述報(bào)警條件，產(chǎn)生與網(wǎng)絡(luò)和接入網(wǎng)之間的通信量有關(guān)的報(bào)警。
2. 根據(jù)權(quán)利要求1所述的通信量分析裝置，其特征在于， 該通信量分析裝置具有通信量分析部，該通信量分析部關(guān)于從所述通信量收集裝置實(shí)時(shí)收集到的信息，根據(jù)每小時(shí)的波形、每天的波形或 每月的波形對(duì)通信量進(jìn)行分析。
3. 根據(jù)權(quán)利要求2所述的通信量分析裝置，其特征在于， 該通信量分析裝置具有分析報(bào)告生成部，該分析報(bào)告生成部根據(jù)所述通信量分析部的分析結(jié)果，生成報(bào)告。
4. 根據(jù)權(quán)利要求2所述的通信量分析裝置，其特征在于， 從所述通信量收集裝置實(shí)時(shí)收集到的信息包含由所述通信量收集裝置的分組過(guò)濾器收集到的信息、或作為異常通信量收集到的信息，所述通信量分析部進(jìn)行基于由所述分組過(guò)濾器收集到的信息的全部 接收分組的基本統(tǒng)計(jì)分析、基于由所述分組過(guò)濾器收集到的信息的特定 范圍的分組的統(tǒng)計(jì)分析、或所述異常通信量的分析。
5. —種通信量分析方法，其特征在于，該通信量分析方法包括以下 步驟從通信量收集裝置實(shí)時(shí)收集與網(wǎng)絡(luò)和接入網(wǎng)之間的通信數(shù)據(jù)有關(guān)的 信息的步驟；設(shè)定與從所述通信量收集裝置實(shí)時(shí)收集到的信息有關(guān)的報(bào)警條件的 步驟；以及根據(jù)所述報(bào)警條件，產(chǎn)生與網(wǎng)絡(luò)和接入網(wǎng)之間的通信量有關(guān)的報(bào)警 的步驟。
6. —種通信量分析系統(tǒng)，其連接有從與網(wǎng)絡(luò)連接的接入網(wǎng)收集通信 量信息的通信量收集裝置和對(duì)所述通信量信息進(jìn)行分析的通信量分析裝 置，其特征在于，所述通信量分析裝置具有-實(shí)時(shí)監(jiān)控功能部，其從所述通信量收集裝置實(shí)時(shí)收集與網(wǎng)絡(luò)和接入 網(wǎng)之間的通信數(shù)據(jù)有關(guān)的信息；報(bào)警條件設(shè)定部，其設(shè)定與從所述通信量收集裝置實(shí)時(shí)收集到的信 息有關(guān)的報(bào)警條件；以及報(bào)警管理通知部，其根據(jù)所述報(bào)警條件，產(chǎn)生與網(wǎng)絡(luò)和接入網(wǎng)之間 的通信量有關(guān)的報(bào)警。
全文摘要
本發(fā)明提供一種通信量分析裝置、通信量分析方法以及通信量分析系統(tǒng)，其可靠且高精度地對(duì)網(wǎng)絡(luò)的通信量進(jìn)行分析。對(duì)與網(wǎng)絡(luò)連接的接入網(wǎng)的通信量進(jìn)行分析的通信量分析裝置(700)具有實(shí)時(shí)統(tǒng)計(jì)信息設(shè)定管理部(704)和實(shí)時(shí)統(tǒng)計(jì)信息監(jiān)控部(706)，其從通信量收集裝置(100)實(shí)時(shí)收集與網(wǎng)絡(luò)和接入網(wǎng)之間的通信數(shù)據(jù)有關(guān)的信息；報(bào)警條件設(shè)定部(708)，其設(shè)定與從通信量收集裝置(100)實(shí)時(shí)收集的信息有關(guān)的報(bào)警條件；以及報(bào)警管理通知部(710)，其根據(jù)報(bào)警條件，產(chǎn)生與網(wǎng)絡(luò)和接入網(wǎng)之間的通信量有關(guān)的報(bào)警。
文檔編號(hào)H04L12/24GK101488882SQ20081017486
公開日2009年7月22日 申請(qǐng)日期2008年11月10日 優(yōu)先權(quán)日2008年1月18日
發(fā)明者陳如華 申請(qǐng)人:沖電氣工業(yè)株式會(huì)社