トラフィック集計装置、トラフィック集計方法及びトラフィック集計プログラム
【課題】リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできるトラフィック集計装置を提供する。
【解決手段】トラフィック集計手段８１は、単位時間ごとの通信トラフィックをリアルタイムに集計する。記録量判定手段８４は、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段８２に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する。第一の集計値登録手段８３は、記録量判定手段８４が通信トラフィックの集計量が記録可能閾値以下であると判定したときに、通信トラフィックの集計値を第一の集計値記憶手段８２に登録する。第二の集計値登録手段８６は、記録量判定手段８４が通信トラフィックの集計量が記録可能閾値よりも多いと判定したときに、通信トラフィックの集計値を第二の集計値記憶手段８５に登録する。
【解決手段】トラフィック集計手段８１は、単位時間ごとの通信トラフィックをリアルタイムに集計する。記録量判定手段８４は、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段８２に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する。第一の集計値登録手段８３は、記録量判定手段８４が通信トラフィックの集計量が記録可能閾値以下であると判定したときに、通信トラフィックの集計値を第一の集計値記憶手段８２に登録する。第二の集計値登録手段８６は、記録量判定手段８４が通信トラフィックの集計量が記録可能閾値よりも多いと判定したときに、通信トラフィックの集計値を第二の集計値記憶手段８５に登録する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上に流れる通信トラフィックを集計するトラフィック集計装置、トラフィック集計方法及びトラフィック集計プログラムに関し、特に大量トラフィックによる影響を受けにくいトラフィック集計装置、トラフィック集計方法及びトラフィック集計プログラムに関する。
【背景技術】
【０００２】
ネットワーク上の通信トラフィックを集計する一般的な集計装置が、特許文献１に記載されている。特許文献１に記載されたトラフィック集計装置は、統計処理部と格納処理部がそれぞれ平行に集計処理を行うことで、リアルタイム集計を実現している。具体的には、特許文献１に記載されたトラフィック集計装置は、集計キーおよびトラフィック種別を判定してトラフィックを分類し、さらにトラフィック情報内のトラフィック発生時刻に基づいて、連続する集計時間帯ごとにトラフィックの数を集計する。
【０００３】
なお、特許文献２には、データの信頼度が低下していることを補足表示したり、正しくデータを補正したりする統合モニタシステムが記載されている。特許文献２に記載された統合モニタシステムは、所定の単位の呼数を集計する際に基にしたＳＩＰサーバごと及びポイントごと及び５分ごとの呼数に欠損があった場合に、その所定の単位の呼数に対して欠損が存在する呼数であること示す欠損情報（欠損フラグがオンのデータ）を生成する。そして、上記統合モニタシステムは、１日に１回、前日の欠損フラグがオンのデータの再集計処理を行う。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−２４５０４９号公報（段落００３８〜００４１）
【特許文献２】特許第４１４２０３８号公報（段落００３２〜００３５）
【発明の概要】
【発明が解決しようとする課題】
【０００５】
様々な観点によるトラフィック集計をリアルタイムで行う場合、集計後の情報量が対象のトラフィックの内容によって増大することがある。例えば、大量トラフィックが発生すると集計後の情報量が増大し、それ以降のリアルタイム集計ができなくなる場合がある。これは、予期せぬ大量トラフィックが発生したことで集計後の情報量が多くなり過ぎ、集計単位時間内に集計結果の保存が終わらないからである。
【０００６】
例えば、単位時間あたりのトラフィック量を送信元ＩＰアドレスごとに集計し、その送信元ＩＰアドレスの種類の数に応じて集計結果を保存する場合について説明する。
【０００７】
コンピュータウイルスの一種であるボットなどのマルウェアにより、送信元ＩＰアドレスが分散するように偽装して一斉にアクセスが行われる（すなわち、トラフィックが発生する）と、送信元ＩＰアドレスの数がトラフィック量に近い数に及ぶことがある。
【０００８】
例えば、以下の参考文献には、あるインターネット定点観測において、通常時、送信元ＩＰアドレスの数が総トラフィックの１／５００〜１／１００程度であったものが、ＭＳ０８−０６７の脆弱性を利用したと思われるトラフィックにより、総トラフィック量が１０倍以上、送信元ＩＰアドレスの数が１０００倍以上に増大したことについて記載されている。ここで、ＭＳ０８−０６７とは、２００８年にＭｉｃｒｏｓｏｆｔ（登録商標）から発表されたＷｉｎｄｏｗｓ（登録商標）の脆弱性の識別名である。
【０００９】
［参考文献］
Microsoft、“MS08-067 Server サービスの脆弱性により、リモートでコードが実行される (958644) ” ［online］、［平成２２年１月２８日検索］、インターネット〈http://www.microsoft.com/japan/technet/security/bulletin/ms08-067.mspx〉
【００１０】
このようなケースでは、保存する集計結果の件数も１０００倍以上に増大し、集計単位時間内に集計結果の保存が終わらない現象が発生する。さらにこの状態が続くと、集計結果を一時保存する記憶容量の上限を超え、他の観点で行っているリアルタイムのトラフィック集計の集計結果の保存もできなくなる。
【００１１】
以下、データベースの更新時間が集計時間よりも多くの時間（例えば、１０倍の時間）を必要とする場合について説明する。例えば、一般的なコンピュータを用いた場合、５分以内に１０万件分のデータを更新することはハード性能によっては可能な場合がある。しかし、データ数の規模を２〜４桁あげた場合（すなわち、５分間に更新する対象のデータを、１０００万件にした場合）、一般的なコンピュータでは、時間内に更新処理を完了することは不可能である。
【００１２】
この場合、更新を試みた時点でＣＰＵとディスクＩ／Ｏ（Input/Output）に多大な負荷がかかり、同一ＯＳ（Operating System）上で動作する他の処理（集計処理を含む）にも多大な影響を及ぼしてしまうという問題がある。さらに、異なる集計の観点で同時に複数の集計処理をリアルタイムで行う場合、１つの観点での集計処理及びデータベースへの格納処理の遅延が、他の集計処理の処理遅延を引き起こしてしまうという問題もある。
【００１３】
特許文献１に記載された集計装置のように統計処理部と格納処理部を分けて平行に集計処理を行っていたとしても、このような状態になった場合には、記録が終わるまで順々に遅延が発生してしまう。さらに、一時保存可能な記憶容量の上限を超えた場合には、集計を続けることができなくなるという問題がある。
【００１４】
そこで、本発明は、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできるトラフィック集計装置、トラフィック集計方法及びトラフィック集計プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
本発明によるトラフィック集計装置は、単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計手段と、トラフィック集計手段が集計した通信トラフィックの集計値を第一の集計値記憶手段に登録する第一の集計値登録手段と、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定手段と、記録量判定手段が通信トラフィックの集計量が記録可能閾値よりも多いと判定したときに、通信トラフィックの集計値を第二の集計値記憶手段に登録する第二の集計値登録手段とを備え、第一の集計値登録手段が、記録量判定手段が通信トラフィックの集計量が記録可能閾値以下であると判定したときに、通信トラフィックの集計値を第一の集計値記憶手段に登録することを特徴とする。
【００１６】
本発明によるトラフィック集計方法は、単位時間ごとの通信トラフィックをリアルタイムに集計し、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定し、通信トラフィックの集計量が記録可能閾値よりも多いと判定されたときに、通信トラフィックの集計値を、第一の集計値記憶手段とは異なる第二の集計値記憶手段に登録し、通信トラフィックの集計量が記録可能閾値以下であると判定されたときに、通信トラフィックの集計値を第一の集計値記憶手段に登録することを特徴とする。
【００１７】
本発明によるトラフィック集計プログラムは、単位時間ごとの通信トラフィックの集計値を記憶する第一の集計値記憶手段と、単位時間ごとの通信トラフィックの集計値を記憶する第二の集計値記憶手段とを備えたコンピュータに適用されるトラフィック集計プログラムであって、コンピュータに、単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計処理、トラフィック集計処理で集計された通信トラフィックの集計値を第一の集計値記憶手段に登録する第一の集計値登録処理、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定処理、および、記録量判定処理で通信トラフィックの集計量が記録可能閾値よりも多いと判定されたときに、通信トラフィックの集計値を第二の集計値記憶手段に登録する第二の集計値登録処理を実行させ、第一の集計値登録処理で、記録量判定処理で通信トラフィックの集計量が記録可能閾値以下であると判定されたときに、通信トラフィックの集計値を第一の集計値記憶手段に登録させることを特徴とする。
【発明の効果】
【００１８】
本発明によれば、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできる。
【図面の簡単な説明】
【００１９】
【図１】本発明によるトラフィック集計装置の一実施形態を示すブロック図である。
【図２】リアルタイム集計処理の例を示すフローチャートである。
【図３】バッチ集計処理の例を示すフローチャートである。
【図４】バルク転送処理の例を示すフローチャートである。
【図５】集計データ参照処理の例を示すフローチャートである。
【図６】本発明によるトラフィック集計装置の最小構成の例を示すブロック図である。
【発明を実施するための形態】
【００２０】
以下、本発明の実施形態を図面を参照して説明する。
【００２１】
図１は、本発明によるトラフィック集計装置の一実施形態を示すブロック図である。本実施形態におけるトラフィック集計装置は、リアルタイム集計部１と、主参照集計部２と、トラフィックデータベース（以下、トラフィックＤＢと記す。）３と、参照部４とを備えている。
【００２２】
トラフィックＤＢ３は、トラフィック情報を記憶する記憶装置である。トラフィックＤＢ３には、例えば、通信モニタ装置（図示せず）により抽出されたトラフィック情報が記憶される。
【００２３】
リアルタイム集計部１は、逐次集計部１１と、記録部１２と、リアルタイムデータベース（以下、リアルタイムＤＢと記す。）１３と、バルク転送部１４とを備えている。
【００２４】
逐次集計部１１は、集計対象のトラフィック情報ごとに単位時間あたりの集計を行う。具体的には、逐次集計部１１は、例えば、通信モニタ装置（図示せず）が抽出した通信トラフィック情報をもとに、単位時間ごとの通信トラフィックをリアルタイムに集計する。以下の説明では、逐次集計部１１が集計したデータを、記録対象データと記し、逐次集計部１１が集計したデータ量を記録量と記す。
【００２５】
なお、上記説明では、通信モニタ装置（図示せず）が抽出したトラフィック情報を、逐次集計部１１に入力したり、トラフィックＤＢ３に記憶させたりする場合について説明した。ただし、トラフィック情報を逐次集計部１１に入力したり、トラフィックＤＢ３に記憶させたりする装置は、通信モニタ装置に限定されない。
【００２６】
例えば、通信モニタ装置と、リアルタイム集計部１（より詳しくは、逐次集計部１１）及びトラフィックＤＢ３との間に中継装置（図示せず）を設け、その中継装置がトラフィック情報を逐次集計部１１に入力したり、トラフィックＤＢ３に記憶させたりしてもよい。このようにすることで、リアルタイム集計部１（より詳しくは、逐次集計部１１）及びトラフィックＤＢ３は、通信モニタ装置の所在や数の影響を受けにくくすることができる。
【００２７】
また、リアルタイム集計部１（より詳しくは、逐次集計部１１）や、トラフィックＤＢ３にデータを記憶させるトラフィック情報登録手段（図示せず）が、トラフィック情報をＬＡＮなどのデータバスから抽出するようにしてもよい。
【００２８】
リアルタイムＤＢ１３は、リアルタイムに集計された単位時間ごとのトラフィック情報の集計値を記憶する。トラフィック情報の集計値は、後述のＤＢ更新部１２２によりリアルタイムＤＢ１３に記憶される。リアルタイムＤＢ１３は、例えば、トラフィック集計装置が備える磁気ディスク装置等によって実現される。
【００２９】
記録部１２は、記録量管理部１２１と、データベース更新部（以下、ＤＢ更新部と記す。）１２２と、欠損管理部１２３とを備えている。
【００３０】
記録量管理部１２１は、記録対象データのデータ量をもとにリアルタイムＤＢ１３へ記録する量を管理する。具体的には、記録量管理部１２１は、逐次集計部１１が単位時間ごとに集計した記録量が、その単位時間あたりに後述のＤＢ更新部１２２がリアルタイムＤＢ１３に記録できる記録量として予め定められた閾値（以下、記録可能閾値と記す。）よりも多いか否かを判定する。そして、記録量管理部１２１は、記録量が記録可能閾値よりも多い場合、リアルタイムＤＢ１３に記録対象データを記憶させず、欠損管理部１２３に記録対象データを通知する。なお、以下の説明では、記録量管理部１２１がリアルタイムＤＢ１３に記録対象データを記録させないことを記録放棄と記すこともある。
【００３１】
一方、記録量が記録可能閾値以下の場合、記録量管理部１２１は、リアルタイムＤＢ１３に記録対象データを記憶させる。具体的には、記録量管理部１２１は、ＤＢ更新部１２２に対し、リアルタイムＤＢ１３に記録対象データを記憶させるよう指示する。
【００３２】
以下、具体例を用いて説明する。例えば、ＤＢ更新部１２２がリアルタイムＤＢ１３に記録できる記録量として定められた閾値（すなわち、記録可能閾値）が、５分あたりｉｎｓｅｒｔ文１００万行であるものとする。すなわち、リアルタイムＤＢ１３が５分間にｉｎｓｅｒｔ文１００万行の記録を許容するものとする。
【００３３】
このとき、記録対象データが、集計対象のトラフィック情報の種類ごとに、例えば、ｉｎｓｅｒｔ文１０万行、ｉｎｓｅｒｔ文２０万行存在する場合、記録量の合計はｉｎｓｅｒｔ文３０万行分である。そのため、記録量管理部１２１は、ＤＢ更新部１２２に全ての記録対象データをリアルタイムＤＢ１３へ記憶させる。
【００３４】
一方、記録対象データが、集計対象のトラフィック情報の種類ごとに、例えば、ｉｎｓｅｒｔ文１５０万行、ｉｎｓｅｒｔ文３０万行存在する場合、記録量の合計はｉｎｓｅｒｔ文１８０万行分である。そのため、記録量管理部１２１は、ＤＢ更新部１２２に後者のｉｎｓｅｒｔ文３０万行の記録対象データだけをリアルタイムＤＢ１３へ記憶させる。
【００３５】
さらに、記録対象データが、集計対象のトラフィック情報の種類ごとに、例えば、ｉｎｓｅｒｔ文３０万行、ｉｎｓｅｒｔ文４０万行、及び、ｉｎｓｅｒｔ文５０万行存在する場合、記録量の合計はｉｎｓｅｒｔ文１２０万行分である。そのため、記録量管理部１２１は、ＤＢ更新部１２２に前者のｉｎｓｅｒｔ文３０万行及びｉｎｓｅｒｔ文４０万行の記録対象データだけをリアルタイムＤＢ１３へ記憶させる。
【００３６】
なお、記録量が記録可能閾値を超えた場合にリアルタイムＤＢ１３へ記憶させる記録対象データの選択方法は、上記方法に限定されない。記録量管理部１２１は、単位時間あたりにリアルタイムＤＢ１３に記録できる記録量が、記録可能閾値以下になるように記録対象データを選択すればよい。
【００３７】
ＤＢ更新部１２２は、記録量管理部１２１の指示に応じ、逐次集計部１１が集計した記録対象データをリアルタイムＤＢ１３へ記憶させる。すなわち、ＤＢ更新部１２２は、記録対象データをリアルタイムＤＢ１３へ登録するということができる。また、ＤＢ更新部１２２は、記録対象データをリアルタイムＤＢ１３へ記憶させる際にエラーが発生した場合には、そのエラー内容を欠損管理部１２３に通知する。
【００３８】
欠損管理部１２３は、記録放棄や記録エラーなどを管理する。具体的には、欠損管理部１２３は、記録量管理部１２１から記録対象データを受け取ると、その記録対象データを主参照集計部２が備える後述の集計値ＤＢ２１に記憶させる。また、欠損管理部１２３は、ＤＢ更新部１２２から記録エラーなどのエラー内容を受け取ると、エラーになった対象の記録対象データを集計値ＤＢ２１に記憶させる。具体的には、欠損管理部１２３は、主参照集計部２が集計値ＤＢ２１に記録対象データを記憶させるために必要な情報を主参照集計部２に送信する。
【００３９】
なお、以下の説明では、欠損管理部１２３が、記録量管理部１２１から受け取った記録対象データと、ＤＢ更新部１２２から受け取った記録対象データのいずれも集計値ＤＢ２１に記憶させる場合について説明する。ただし、欠損管理部１２３は、記録量管理部１２１から受け取った記録対象データのみを集計値ＤＢ２１に記憶させるようにしてもよい。
【００４０】
以下、欠損管理部１２３が主参照集計部２に送信する内容について説明する。欠損管理部１２３は、主参照集計部２がトラフィックＤＢ３に記憶されたトラフィック情報をもとに記録対象データの再集計を行うにあたり、記録対象データの集計対象を特定するために必要な情報をその記録対象データから生成し、生成した情報を主参照集計部２に送信する。
【００４１】
例えば、欠損管理部１２３は、記録量管理部１２１から受け取った記録対象データから「送信先アドレスが１０．１．１．０〜１０．１．１．２５５、プロトコルｔｃｐに対する、２０１０／０１／２６ １０：１０：００から５分間のポート番号ごとのパケット数」といった情報を生成し、この情報を主参照集計部２に送信してもよい。
【００４２】
また、欠損管理部１２３は、「通信モニタ装置Ｘが抽出したトラフィック情報のうち、送信先アドレスが１０．２．１．０〜１０．２．１．２５５）」であり、プロトコルｔｃｐに対する、２０１０／０１／２５ ００：００：００から１日間の送信元ＩＰアドレスのユニーク数」といった情報を記録対象データから生成してもよい。
【００４３】
以下、欠損管理部１２３が記録対象データから生成した集計対象を特定するために必要な情報を欠損情報と記す。このように、欠損管理部１２３は、記録対象データから集計対象を特定することから、欠損管理部１２３が抽出する欠損情報とは、逐次集計部１１が集計の対象とした通信トラフィックを特定する情報ということもできる。
【００４４】
なお、欠損管理部１２３が作成する欠損情報は、主参照集計部２がトラフィックＤＢ３に記憶されたトラフィック情報をもとに記録対象データの再集計できる内容であれば、上記内容に限定されない。
【００４５】
以下、欠損管理部１２３が記録対象データをもとに作成した欠損情報を主参照集計部２に送信する場合について説明する。なお、欠損管理部１２３は、欠損情報を作成せず、記録対象データをそのまま主参照集計部２に送信してもよい。ただし、記録対象データのデータ量は大きいため、記録対象データの集計対象を特定する欠損情報のみを送信する方が通信量を削減できるため、より好ましい。
【００４６】
以上のように、記録部１２は、全体（すなわち、記録量管理部１２１、ＤＢ更新部１２２及び欠損管理部１２３）として単位時間ごとに集計されたトラフィック情報の集計値の記録を管理する。
【００４７】
バルク転送部１４は、リアルタイムＤＢ１３からデータをまとめて取り出し、そのデータを主参照集計部２へ送信する。バルク転送部１４は、定期的（例えば、１時間に１度、もしくは、１日に１度）に、集計の単位時間より大きな単位でリアルタイムＤＢ１３からデータを読み取り、読み取ったデータを主参照集計部２へ送信する。なお、リアルタイムＤＢ１３から読み取るデータのデータ量は、予め定められていてもよく、リアルタイムＤＢ１３に記憶されているデータ量に応じて定められてもよい。
【００４８】
以上のように、リアルタイム集計部１では、リアルタイムに集計した結果を記録する。
【００４９】
主参照集計部２は、集計値ＤＢ２１と、欠損補完部２２と、バッチ集計部２３と、バルク更新部２４とを備えている。
【００５０】
集計値ＤＢ２１は、過去の集計結果を蓄積する。具体的には、集計値ＤＢ２１は、リアルタイムＤＢ１３と同様に、単位時間ごとのトラフィック情報の集計値を記憶する。ただし、集計値ＤＢ２１は、リアルタイムＤＢ１３とは異なる装置である。集計値ＤＢ２１は、例えば、トラフィック集計装置が備える磁気ディスク装置等によって実現される。
【００５１】
欠損補完部２２は、欠損管理部１２３から受け取った欠損情報から、リアルタイムＤＢ１３に記憶されなかった記録対象データ（以下、欠損部分と記すこともある。）の作成をバッチ集計部２３に対して指示する。
【００５２】
バッチ集計部２３は、欠損管理部１２３から受け取った欠損情報及びトラフィックＤＢ３に記憶されたトラフィック情報をもとに、単位時間あたりのトラフィック情報を一括で集計する。そして、バッチ集計部２３は、集計したトラフィック情報の集計値を集計値ＤＢ２１に記憶させる。すなわち、バッチ集計部２３は、集計値を集計値ＤＢ２１へ登録するということができる。
【００５３】
例えば、主参照集計部２が欠損管理部１２３から上述の「送信先アドレスが１０．１．１．０〜１０．１．１．２５５、プロトコルｔｃｐに対する、２０１０／０１／２６ １０：１０：００から５分間のポート番号ごとのパケット数」といった欠損情報を受け取ったものとする。このとき、バッチ集計部２３は、トラフィックＤＢ３から「送信先アドレスが１０．１．１．０〜１０．１．１．２５５、プロトコルｔｃｐに対する、２０１０／０１／２６ １０：１０：００〜１０：１４：５９」に該当するデータを読み取る。そして、バッチ集計部２３は、読み取ったトラフィック情報のパケット数をポート番号ごとに集計する。
【００５４】
なお、上記説明では、バッチ集計部２３が単位時間あたりのトラフィック情報を集計する場合について説明した。ただし、バッチ集計部２３が集計する内容は、単位時間あたりのトラフィック情報に限定されない。言い換えると、バッチ集計部２３は、欠損補完部２２の指示に従って、トラフィックＤＢ３に記憶されたトラフィック情報をもとに任意の集計を行い、その集計結果を集計値ＤＢ２１に記憶させるということができる。
【００５５】
このように、本実施形態では、逐次集計部１１で集計した集計結果をそのまま集計値ＤＢ２１に記憶させず、バッチ集計部２３が、記録対象データから作成された欠損情報を用いて再度集計処理を行い、集計値ＤＢ２１に集計結果を記録する。そのため、欠損管理部１２３から欠損補完部２２に伝送される情報量が欠損情報だけでよく、通信量を削減できる。特に、リアルタイム集計部１と主参照集計部２とが別装置であるような場合、両装置の間の通信量を削減できるため、上記効果は顕著に現れる。
【００５６】
バルク更新部２４は、バルク転送部１４から受け取ったデータをもとに集計値ＤＢ２１の内容を更新する。
【００５７】
以上のことから、主参照集計部２は、集計結果を蓄積していると言える。
【００５８】
参照部４は、集計値の参照を行う。具体的には、参照部４は、ユーザの指示に応じ、ユーザが抽出したい記録対象データを集計値ＤＢ２１もしくはリアルタイムＤＢ１３から読み取る。
【００５９】
逐次集計部１１と、記録部１２（より詳しくは、記録量管理部１２１と、ＤＢ更新部１２２と、欠損管理部１２３）と、バルク転送部１４と、欠損補完部２２と、バッチ集計部２３と、バルク更新部２４と、参照部４とは、プログラム（トラフィック集計プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、トラフィック集計装置の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、逐次集計部１１、記録部１２（より詳しくは、記録量管理部１２１、ＤＢ更新部１２２及び欠損管理部１２３）、バルク転送部１４、欠損補完部２２、バッチ集計部２３、バルク更新部２４及び参照部４として動作してもよい。
【００６０】
また、逐次集計部１１と、記録部１２（より詳しくは、記録量管理部１２１と、ＤＢ更新部１２２と、欠損管理部１２３）と、バルク転送部１４と、欠損補完部２２と、バッチ集計部２３と、バルク更新部２４と、参照部４とは、それぞれが専用のハードウェアで実現されていてもよい。
【００６１】
すなわち、上記説明では、１つのトラフィック集計装置にリアルタイム集計部１と主参照集計部２を備える場合について説明している。ただし、リアルタイム集計に影響を与える処理を分散させる（すなわち、欠損部分を欠損補完部２２、バッチ集計部２３、集計値ＤＢ２１等に補完させる）ことから、リアルタイム集計部１と主参照集計部２とは、異なるハードウェアで実現されることがより好ましい。
【００６２】
また、欠損管理部１２３が、作成した欠損情報を、その欠損情報及びトラフィックＤＢ３に記憶されたトラフィック情報をもとに単位時間あたりのトラフィック情報を一括で集計する装置（図示せず。以下、一括集計装置と記す。）に送信してもよい。そして、バッチ集計部２３が、その一括集計装置から受信した集計値を集計値ＤＢ２１に登録してもよい。このようにすることで、リアルタイム集計に影響を与える処理を分散させることができるため、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできる。
【００６３】
次に、動作について説明する。以下の説明では、トラフィック集計装置が行う処理を、リアルタイム集計処理、バッチ集計処理、バルク転送処理、集計データ参照処理の４つの処理に分けて説明する。なお、トラフィック集計装置行うこれら４つの処理は、それぞれ独立して行われる。以下、それぞれの処理について説明する。
【００６４】
初めに、リアルタイム集計処理について説明する。図２は、リアルタイム集計処理の例を示すフローチャートである。リアルタイム集計処理では、まず、逐次集計部１１は、単位時間あたりのトラフィック情報を集計する（ステップＡ１）。次に、集計結果（記録対象データ）をリアルタイムＤＢ１３に記録するため、逐次集計部１１は、記録対象データを記録部１２に渡す（ステップＡ２）。記録部１２では、記録量管理部１２１が、単位時間あたりの記録対象データのデータ量とＤＢ更新可能な記録量を確認する。すなわち、記録量管理部１２１は、記録放棄するか否かを判定する（ステップＡ３）。
【００６５】
記録対象データのデータ量がＤＢ更新可能な記録量よりも多い場合、記録量管理部１２１は、記録放棄すると判断し（ステップＡ３におけるＹｅｓ）、記録対象データを欠損管理部１２３に渡す。欠損管理部１２３は、記録量管理部１２１から受け取った記録対象データをもとに欠損情報を作成し、作成した欠損情報を欠損補完部２２に渡して（ステップＡ６）、リアルタイム集計処理を終了する。
【００６６】
一方、記録対象データのデータ量がＤＢ更新可能な記録量以下の場合、記録量管理部１２１は、記録放棄しないと判断し（ステップＡ３におけるＮｏ）、記録対象データをＤＢ更新部１２２に渡す。そして、ＤＢ更新部１２２は、記録対象データを用いてリアルタイムＤＢ１３を更新する（ステップＡ４）。
【００６７】
ここで、ＤＢ更新部１２２は、リアルタイムＤＢ１３への更新処理が成功したか否か判断する（ステップＡ５）。更新処理が成功した場合（ステップＡ５におけるＹｅｓ）、リアルタイム集計処理を終了する。一方、更新処理が成功しなかった場合（ステップＡ５におけるＮｏ）、ＤＢ更新部１２２は、記録対象データを欠損管理部１２３に渡す。そして、欠損管理部１２３は、ＤＢ更新部１２２から受け取った記録対象データをもとに欠損情報を作成し、作成した欠損情報を欠損補完部２２に渡して（ステップＡ６）、リアルタイム集計処理を終了する。
【００６８】
次に、バッチ集計処理について説明する。図３は、バッチ集計処理の例を示すフローチャートである。バッチ集計処理では、まず、欠損補完部２２が、欠損管理部１２３から受けとった欠損情報に基づき、バッチ集計部２３にバッチ集計の実行を指示する（ステップＢ１）。バッチ集計部２３は、トラフィックＤＢ３から対象期間の必要なトラフィック情報を取得し、集計を行う（ステップＢ２）。最後に、バッチ集計部２３は、集計結果をもとに集計値ＤＢ２１の更新処理を行い（ステップＢ３）、バッチ集計処理を終了する。
【００６９】
次に、バルク転送処理について説明する。図４は、バルク転送処理の例を示すフローチャートである。バルク転送処理では、まず、バルク転送部１４が、集計の単位時間より大きな任意の単位（例えば、１時間に１度や、１日に１度）で定期的に、リアルタイムＤＢ１３からデータを読み取る。そして、バルク転送部１４は、データを読み取れたことを確認し、データを読み取れた場合にはリアルタイムＤＢ１３から読み取ったデータを削除する（ステップＣ１）。なお、データが読み取れなかった場合には、バルク転送部１４は、処理を終了してもよく、再度データの読み取りを実行してもよい。
【００７０】
次に、バルク転送部１４は、読み取ったデータをバルク更新部２４に渡す（ステップＣ２）。最後に、バルク更新部２４は、受け取ったデータを集計値ＤＢ２１に反映し（ステップＣ３）、バルク転送処理を終了する。
【００７１】
なお、ステップＣ１でバルク転送部１４が、リアルタイムＤＢ１３からデータを読み取る際、読み取られるデータのデータ形式は、データベースのバックアップに用いられるデータ形式であってもよい。このように、データベースの内部データ形式のデータを用いることで、バルク転送部１４がバルク更新部２４にデータを渡す処理における通信量を削減することができる。さらに、このようなデータを用いることで、バルク更新部２４が集計値ＤＢ２１を更新する処理効率を向上させることができる。
【００７２】
次に、集計データ参照処理について説明する。図５は、集計データ参照処理の例を示すフローチャートである。集計データ参照処理では、まず、参照部４は、ユーザの指示に応じ、ユーザが抽出したい記録対象データを集計値ＤＢ２１から読み取る（ステップＤ１）。集計値ＤＢ２１から読み取った記録対象データよりも新しい（すなわち、後の時間の）データが必要な場合（ステップＤ２におけるＹｅｓ）、参照部４は、ユーザが抽出したい記録対象データ（集計データ）をリアルタイムＤＢ１３から読み取る（ステップＤ３）。
【００７３】
リアルタイムＤＢ１３から記録対象データを読み取ったあと、もしくは、集計値ＤＢ２１から読み取った記録対象データよりも新しい（すなわち、後の時間の）データが必要でない場合（ステップＤ２におけるＮｏ）、参照部４は、ユーザが他に読み取りたい（参照したい）データが存在するか否か判断する（ステップＤ４）。例えば、ユーザから、他に参照したいデータがあると指示された場合（ステップＤ４におけるＹｅｓ）、参照部４は、ステップＤ１以降の処理を繰り返す。一方、他に参照したいデータがないと指示された場合（ステップＤ４におけるＮｏ）、集計データ参照処理を終了する。
【００７４】
以上のように、本実施形態によれば、逐次集計部１１が、単位時間ごとの通信トラフィックをリアルタイムに集計する。そして、記録量管理部１２１が、単位時間ごとに集計された通信トラフィックの集計量が、上述の記録可能閾値よりも多いか否かを判定する。通信トラフィックの集計量が記録可能閾値よりも多いと判定されたときに、欠損管理部１２３が、通信トラフィックの集計値を集計値ＤＢ２１に登録する。一方、通信トラフィックの集計量が記録可能閾値以下であると判定されたときに、ＤＢ更新部１２２が、通信トラフィックの集計値をリアルタイムＤＢ１３に登録する。
【００７５】
具体的には、集計値ＤＢ２１に通信トラフィックの集計値を登録する際に、欠損管理部１２３が、集計対象情報を生成する。そして、バッチ集計部２３が、トラフィックＤＢ３に記憶された通信トラフィックから単位時間あたりの通信トラフィックを集計対象情報をもとに一括で集計し、集計された集計値を集計値ＤＢ２１に登録する。
【００７６】
そのような構成により、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできる。すなわち、大量トラフィックによる影響を受けにくく、リアルタイムに様々な観点でのトラフィック集計が可能になり、集計処理が出来なくなることを回避できる。
【００７７】
また、本実施形態によれば、リアルタイム集計を記録するデータベース（本実施形態では、リアルタイムＤＢ１３）と、集計値を記録するデータベース（本実施形態では集計値ＤＢ２１）とを別に用意している。そして、記録量管理部１２１が、単位時間以内にデータベースへの記録が難しいと判定したデータの登録を放棄（すなわち、欠損管理部１２３で記録対象データを通知）し、バルク転送部１４が、定期的にリアルタイム集計を記録するデータベースのデータを、集計値を記録するデータベースに移している。このような構成により、リアルタイム集計に影響する負荷を可能な限り少なくしている。また、データベースに対する記録処理が集計単位時間内に完了しないほどトラフィック量や集計結果の情報量が多くなった場合でも、リアルタイム集計を行い続けることができる。
【００７８】
一般に、リアルタイム集計では、単位時間ごとの集計値を一定の時間以内に記録する必要がある。ここで、時間内に記録することを妨げる障壁になるのが、データベースへのアクセス、特にディスクＩ／Ｏである。例えば、単位時間以内でＤＢに記録する集計データの記録量が多い処理が実行されると、ＤＢへの記録処理が完了する前に、次に記録すべき集計データが用意されることになる。集計の種類が少なく、記録量の増加が一時的なものであれば、データのキャッシングや、処理のキューイングなどを併用することにより対処可能なケースも存在する。ここで、集計の種類が多岐にわたる場合には、他の種類の集計処理も行われることになる。しかし、集計データの記録量が多い処理が実行されると、集計される記録量が少ない他の種類の集計処理も影響を受け、データベースへの記録処理が遅延したり、最悪の場合、集計自体が行えなくなってしまったりという現象も発生し得る。さらに、記録量の増加が暫く続き、キャッシングやキューイングが増え続けて許容量の限界を超えてしまうと、集計自体が行えない現象が発生することもある。
【００７９】
しかし、本実施形態によれば、記録量管理部１２１が、単位時間以内にデータベースへの記録が難しいと判定したデータの登録を放棄（すなわち、欠損管理部１２３で記録対象データを通知）する。そのため、ディスクＩ／Ｏの負荷が上昇することを抑え、他の集計結果をデータベースへ記録する際の影響を取り除くことができる。
【００８０】
言い換えると、本実施形態によれば、データベースへの更新を行う前に記録量を推定して、単位時間以内に終了しないことが予測される場合、リアルタイムＤＢ１３へのデータの格納処理（例えば、ＳＱＬ（Structured Query Language ）を用いたＲＤＢ（relational database ）への格納処理の場合、ｉｎｓｅｒｔ処理やｕｐｄａｔｅ処理など）を行わない。そのため、他の集計処理への影響を取り除くことができる。
【００８１】
また、欠損管理部１２３が、放棄したデータについての欠損情報を作成し、バッチ集計部２３が、リアルタイム集計という時間制約を受けない別のデータベース（本実施形態では、集計値ＤＢ２１）に、バッチ処理で欠損部分の集計および記録を行い、リアルタイムＤＢ１３に未登録の集計データを補完する。そのため、データ欠損を防ぐことができる。
【００８２】
さらに、バルク転送部１４及びバルク更新部２４が、リアルタイム集計用のデータベース（本実施形態では、リアルタイムＤＢ１３）から、別のデータベース（本実施形態では、集計値ＤＢ２１）へ定期的にデータを移すことで、リアルタイム集計用のデータベースに蓄積されるデータ量自体を抑えている。そのため、データベース更新に伴って発生するインデックスの更新を高速化でき、さらに、インデックスの更新に伴う負荷を低減できる。
【００８３】
また、長期間にわたる過去データの抽出処理や、複雑な条件によるデータ抽出処理は、データベースのＣＰＵ負荷やディスクＩ／Ｏ負荷を高くしてしまう。しかし、本実施形態によれば、過去のデータはリアルタイム集計用のデータベースではない別のデータベース側に蓄積されることになる。よって、上記抽出処理を行うような場合であっても、リアルタイム集計用のデータベースにおけるＣＰＵ負荷やディスクＩ／Ｏ負荷が高くなることを抑制できる。
【００８４】
さらに、本実施形態では、リアルタイムＤＢ１３と集計値ＤＢ２１とを分離させ、データベース間でデータを連携させる機能（具体的には、欠損管理部１２３、欠損補完部２２、バッチ集計部２３及びトラフィックＤＢ３）を備えている。そのため、トラフィック量や集計する種類の数、演算処理速度や記録処理速度などのマシンスペックなどに応じた、システム構成の変更が容易になる。
【００８５】
例えば、リアルタイム集計を行うコンピュータのマシンスペックが不足している場合や、多種多様な集計を行う場合、リアルタイム集計部１をｎ個（ｎは、ｎ＞１を満たす整数）に増やして処理を分散させることでマシンスペック不足を解決することができる。なお、なお、リアルタイム集計部１を増加させた場合において、リアルタイム集計部１の各バルク転送部１４が、各リアルタイムＤＢ１３から読み取ったデータを集計値ＤＢ２１へ定期的に移す場合には、バルク更新部２４は、各バルク転送部１４から受け取ったデータの内容をマージすればよい。また、主参照集計部２も集計の種類ごとに複数用意してもよい。
【００８６】
このように、集計の種類が増加した場合や、演算処理能力及び記録処理能力が不足した場合などにシステム構成を変更することで、リアルタイム集計を行い続けることが可能になる。
【００８７】
次に、本発明によるトラフィック集計装置の最小構成の例を説明する。図６は、本発明によるトラフィック集計装置の最小構成の例を示すブロック図である。本発明によるトラフィック集計装置は、単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計手段８１（例えば、逐次集計部１１）と、トラフィック集計手段８１が集計した通信トラフィックの集計値（例えば、記録対象データ）を第一の集計値記憶手段８２（例えば、リアルタイムＤＢ１３）に登録する第一の集計値登録手段８３（例えば、ＤＢ更新部１２２）と、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段８２に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定手段８４（例えば、記録量管理部１２１）と、記録量判定手段８４が通信トラフィックの集計量が記録可能閾値よりも多いと判定したときに、通信トラフィックの集計値を第二の集計値記憶手段８５（例えば、集計値ＤＢ２１）に登録する第二の集計値登録手段８６（例えば、欠損管理部１２３、欠損補完部２２、バッチ集計部２３、トラフィックＤＢ３）とを備えている。
【００８８】
第一の集計値登録手段８３は、記録量判定手段８４が通信トラフィックの集計量が記録可能閾値以下であると判定したときに、通信トラフィックの集計値を第一の集計値記憶手段８２に登録する。
【００８９】
そのような構成により、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできる。
【００９０】
また、本発明によるトラフィック集計装置は、通信トラフィックを記憶する通信トラフィック記憶手段（例えば、トラフィックＤＢ３）を備えていてもよい。そして、第二の集計値登録手段８６は、トラフィック集計手段８１が集計の対象とした通信トラフィックを特定する情報である集計対象情報（例えば、欠損情報）を生成する集計対象情報生成手段（例えば、欠損管理部１２３）、通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを集計対象情報をもとに一括で集計する一括集計手段（バッチ集計部２３）と、一括集計手段が集計した集計値を第二の集計値記憶手段８５に登録する一括集計値登録手段（バッチ集計部２３）とを含んでいてもよい。
【００９１】
そのような構成によっても、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできる。
【００９２】
なお、少なくとも以下に示すようなトラフィック集計装置も、上記に示すいずれかの実施形態に開示されている。
【００９３】
（１）単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計手段（例えば、逐次集計部１１）と、トラフィック集計手段が集計した通信トラフィックの集計値（例えば、記録対象データ）を第一の集計値記憶手段（例えば、リアルタイムＤＢ１３）に登録する第一の集計値登録手段（例えば、ＤＢ更新部１２２）と、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定手段（例えば、記録量管理部１２１）と、記録量判定手段が通信トラフィックの集計量が記録可能閾値よりも多いと判定したときに、通信トラフィックの集計値を第二の集計値記憶手段（例えば、集計値ＤＢ２１）に登録する第二の集計値登録手段（例えば、欠損管理部１２３、欠損補完部２２、バッチ集計部２３、トラフィックＤＢ３）とを備え、第一の集計値登録手段が、記録量判定手段が通信トラフィックの集計量が記録可能閾値以下であると判定したときに、通信トラフィックの集計値を第一の集計値記憶手段に登録するトラフィック集計装置。
【００９４】
（２）通信トラフィックを記憶する通信トラフィック記憶手段（例えば、トラフィックＤＢ３）を備え、第二の集計値登録手段が、トラフィック集計手段が集計の対象とした通信トラフィックを特定する情報である集計対象情報（例えば、欠損情報）を生成する集計対象情報生成手段（例えば、欠損管理部１２３）、通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを集計対象情報をもとに一括で集計する一括集計手段（バッチ集計部２３）と、一括集計手段が集計した集計値を第二の集計値記憶手段に登録する一括集計値登録手段（バッチ集計部２３）とを含むトラフィック集計装置。
【００９５】
（３）通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを集計対象情報をもとに一括で集計する装置である一括集計装置に、その集計対象情報を送信する集計対象情報送信手段（例えば、欠損管理部１２３）を備え、一括集計値登録手段（例えば、バッチ集計部２３）が、一括集計装置から受信した集計値を第二の集計値記憶手段に登録するトラフィック集計装置。
【００９６】
（４）第一の集計値記憶手段から所定の時間間隔でデータを抽出する集計値抽出手段（例えば、バルク転送部１４）と、集計値抽出手段が抽出したデータを第二の集計値記憶手段に更新する集計値更新手段（例えば、バルク更新部２４）とを備えたトラフィック集計装置。
【００９７】
（５）第一の集計値記憶手段または第二の集計値記憶手段に記憶された通信トラフィックの集計値を参照する集計値参照手段（例えば、参照部４）を備え、集計値参照手段が、第二の集計値記憶手段に記憶された集計値を参照し、その集計値よりも新しい集計値を第一の集計値記憶手段から参照するトラフィック集計装置。
【産業上の利用可能性】
【００９８】
本発明は、ネットワーク上に流れる通信トラフィックを集計する場合において、大量トラフィックによる影響を受けにくいトラフィック集計装置に好適に適用される。
【００９９】
なお、上記実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下の内容に限定されない。
【０１００】
（付記）通信トラフィックを記憶する通信トラフィック記憶手段を備えたコンピュータに適用されるトラフィック集計プログラムであって、前記コンピュータに、第二の集計値登録処理で、トラフィック集計処理で集計の対象とされた通信トラフィックを特定する情報である集計対象情報を生成する集計対象情報生成処理、前記通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを前記集計対象情報をもとに一括で集計する一括集計処理、および、前記一括集計処理で集計された集計値を第二の集計値記憶手段に登録する一括集計値登録処理を実行させるトラフィック集計プログラム。
【符号の説明】
【０１０１】
１ リアルタイム集計部
２ 主参照集計部
３ トラフィックＤＢ
４ 参照部
１１ 逐次集計部
１２ 記録部
１２１ 記録量管理部
１２２ ＤＢ更新部
１２３ 欠損管理部
１３ リアルタイムＤＢ
１４ バルク転送部
２１ 集計値ＤＢ
２２ 欠損補完部
２３ バッチ集計部
２４ バルク更新部
【技術分野】
【０００１】
本発明は、ネットワーク上に流れる通信トラフィックを集計するトラフィック集計装置、トラフィック集計方法及びトラフィック集計プログラムに関し、特に大量トラフィックによる影響を受けにくいトラフィック集計装置、トラフィック集計方法及びトラフィック集計プログラムに関する。
【背景技術】
【０００２】
ネットワーク上の通信トラフィックを集計する一般的な集計装置が、特許文献１に記載されている。特許文献１に記載されたトラフィック集計装置は、統計処理部と格納処理部がそれぞれ平行に集計処理を行うことで、リアルタイム集計を実現している。具体的には、特許文献１に記載されたトラフィック集計装置は、集計キーおよびトラフィック種別を判定してトラフィックを分類し、さらにトラフィック情報内のトラフィック発生時刻に基づいて、連続する集計時間帯ごとにトラフィックの数を集計する。
【０００３】
なお、特許文献２には、データの信頼度が低下していることを補足表示したり、正しくデータを補正したりする統合モニタシステムが記載されている。特許文献２に記載された統合モニタシステムは、所定の単位の呼数を集計する際に基にしたＳＩＰサーバごと及びポイントごと及び５分ごとの呼数に欠損があった場合に、その所定の単位の呼数に対して欠損が存在する呼数であること示す欠損情報（欠損フラグがオンのデータ）を生成する。そして、上記統合モニタシステムは、１日に１回、前日の欠損フラグがオンのデータの再集計処理を行う。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００１−２４５０４９号公報（段落００３８〜００４１）
【特許文献２】特許第４１４２０３８号公報（段落００３２〜００３５）
【発明の概要】
【発明が解決しようとする課題】
【０００５】
様々な観点によるトラフィック集計をリアルタイムで行う場合、集計後の情報量が対象のトラフィックの内容によって増大することがある。例えば、大量トラフィックが発生すると集計後の情報量が増大し、それ以降のリアルタイム集計ができなくなる場合がある。これは、予期せぬ大量トラフィックが発生したことで集計後の情報量が多くなり過ぎ、集計単位時間内に集計結果の保存が終わらないからである。
【０００６】
例えば、単位時間あたりのトラフィック量を送信元ＩＰアドレスごとに集計し、その送信元ＩＰアドレスの種類の数に応じて集計結果を保存する場合について説明する。
【０００７】
コンピュータウイルスの一種であるボットなどのマルウェアにより、送信元ＩＰアドレスが分散するように偽装して一斉にアクセスが行われる（すなわち、トラフィックが発生する）と、送信元ＩＰアドレスの数がトラフィック量に近い数に及ぶことがある。
【０００８】
例えば、以下の参考文献には、あるインターネット定点観測において、通常時、送信元ＩＰアドレスの数が総トラフィックの１／５００〜１／１００程度であったものが、ＭＳ０８−０６７の脆弱性を利用したと思われるトラフィックにより、総トラフィック量が１０倍以上、送信元ＩＰアドレスの数が１０００倍以上に増大したことについて記載されている。ここで、ＭＳ０８−０６７とは、２００８年にＭｉｃｒｏｓｏｆｔ（登録商標）から発表されたＷｉｎｄｏｗｓ（登録商標）の脆弱性の識別名である。
【０００９】
［参考文献］
Microsoft、“MS08-067 Server サービスの脆弱性により、リモートでコードが実行される (958644) ” ［online］、［平成２２年１月２８日検索］、インターネット〈http://www.microsoft.com/japan/technet/security/bulletin/ms08-067.mspx〉
【００１０】
このようなケースでは、保存する集計結果の件数も１０００倍以上に増大し、集計単位時間内に集計結果の保存が終わらない現象が発生する。さらにこの状態が続くと、集計結果を一時保存する記憶容量の上限を超え、他の観点で行っているリアルタイムのトラフィック集計の集計結果の保存もできなくなる。
【００１１】
以下、データベースの更新時間が集計時間よりも多くの時間（例えば、１０倍の時間）を必要とする場合について説明する。例えば、一般的なコンピュータを用いた場合、５分以内に１０万件分のデータを更新することはハード性能によっては可能な場合がある。しかし、データ数の規模を２〜４桁あげた場合（すなわち、５分間に更新する対象のデータを、１０００万件にした場合）、一般的なコンピュータでは、時間内に更新処理を完了することは不可能である。
【００１２】
この場合、更新を試みた時点でＣＰＵとディスクＩ／Ｏ（Input/Output）に多大な負荷がかかり、同一ＯＳ（Operating System）上で動作する他の処理（集計処理を含む）にも多大な影響を及ぼしてしまうという問題がある。さらに、異なる集計の観点で同時に複数の集計処理をリアルタイムで行う場合、１つの観点での集計処理及びデータベースへの格納処理の遅延が、他の集計処理の処理遅延を引き起こしてしまうという問題もある。
【００１３】
特許文献１に記載された集計装置のように統計処理部と格納処理部を分けて平行に集計処理を行っていたとしても、このような状態になった場合には、記録が終わるまで順々に遅延が発生してしまう。さらに、一時保存可能な記憶容量の上限を超えた場合には、集計を続けることができなくなるという問題がある。
【００１４】
そこで、本発明は、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできるトラフィック集計装置、トラフィック集計方法及びトラフィック集計プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
本発明によるトラフィック集計装置は、単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計手段と、トラフィック集計手段が集計した通信トラフィックの集計値を第一の集計値記憶手段に登録する第一の集計値登録手段と、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定手段と、記録量判定手段が通信トラフィックの集計量が記録可能閾値よりも多いと判定したときに、通信トラフィックの集計値を第二の集計値記憶手段に登録する第二の集計値登録手段とを備え、第一の集計値登録手段が、記録量判定手段が通信トラフィックの集計量が記録可能閾値以下であると判定したときに、通信トラフィックの集計値を第一の集計値記憶手段に登録することを特徴とする。
【００１６】
本発明によるトラフィック集計方法は、単位時間ごとの通信トラフィックをリアルタイムに集計し、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定し、通信トラフィックの集計量が記録可能閾値よりも多いと判定されたときに、通信トラフィックの集計値を、第一の集計値記憶手段とは異なる第二の集計値記憶手段に登録し、通信トラフィックの集計量が記録可能閾値以下であると判定されたときに、通信トラフィックの集計値を第一の集計値記憶手段に登録することを特徴とする。
【００１７】
本発明によるトラフィック集計プログラムは、単位時間ごとの通信トラフィックの集計値を記憶する第一の集計値記憶手段と、単位時間ごとの通信トラフィックの集計値を記憶する第二の集計値記憶手段とを備えたコンピュータに適用されるトラフィック集計プログラムであって、コンピュータに、単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計処理、トラフィック集計処理で集計された通信トラフィックの集計値を第一の集計値記憶手段に登録する第一の集計値登録処理、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定処理、および、記録量判定処理で通信トラフィックの集計量が記録可能閾値よりも多いと判定されたときに、通信トラフィックの集計値を第二の集計値記憶手段に登録する第二の集計値登録処理を実行させ、第一の集計値登録処理で、記録量判定処理で通信トラフィックの集計量が記録可能閾値以下であると判定されたときに、通信トラフィックの集計値を第一の集計値記憶手段に登録させることを特徴とする。
【発明の効果】
【００１８】
本発明によれば、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできる。
【図面の簡単な説明】
【００１９】
【図１】本発明によるトラフィック集計装置の一実施形態を示すブロック図である。
【図２】リアルタイム集計処理の例を示すフローチャートである。
【図３】バッチ集計処理の例を示すフローチャートである。
【図４】バルク転送処理の例を示すフローチャートである。
【図５】集計データ参照処理の例を示すフローチャートである。
【図６】本発明によるトラフィック集計装置の最小構成の例を示すブロック図である。
【発明を実施するための形態】
【００２０】
以下、本発明の実施形態を図面を参照して説明する。
【００２１】
図１は、本発明によるトラフィック集計装置の一実施形態を示すブロック図である。本実施形態におけるトラフィック集計装置は、リアルタイム集計部１と、主参照集計部２と、トラフィックデータベース（以下、トラフィックＤＢと記す。）３と、参照部４とを備えている。
【００２２】
トラフィックＤＢ３は、トラフィック情報を記憶する記憶装置である。トラフィックＤＢ３には、例えば、通信モニタ装置（図示せず）により抽出されたトラフィック情報が記憶される。
【００２３】
リアルタイム集計部１は、逐次集計部１１と、記録部１２と、リアルタイムデータベース（以下、リアルタイムＤＢと記す。）１３と、バルク転送部１４とを備えている。
【００２４】
逐次集計部１１は、集計対象のトラフィック情報ごとに単位時間あたりの集計を行う。具体的には、逐次集計部１１は、例えば、通信モニタ装置（図示せず）が抽出した通信トラフィック情報をもとに、単位時間ごとの通信トラフィックをリアルタイムに集計する。以下の説明では、逐次集計部１１が集計したデータを、記録対象データと記し、逐次集計部１１が集計したデータ量を記録量と記す。
【００２５】
なお、上記説明では、通信モニタ装置（図示せず）が抽出したトラフィック情報を、逐次集計部１１に入力したり、トラフィックＤＢ３に記憶させたりする場合について説明した。ただし、トラフィック情報を逐次集計部１１に入力したり、トラフィックＤＢ３に記憶させたりする装置は、通信モニタ装置に限定されない。
【００２６】
例えば、通信モニタ装置と、リアルタイム集計部１（より詳しくは、逐次集計部１１）及びトラフィックＤＢ３との間に中継装置（図示せず）を設け、その中継装置がトラフィック情報を逐次集計部１１に入力したり、トラフィックＤＢ３に記憶させたりしてもよい。このようにすることで、リアルタイム集計部１（より詳しくは、逐次集計部１１）及びトラフィックＤＢ３は、通信モニタ装置の所在や数の影響を受けにくくすることができる。
【００２７】
また、リアルタイム集計部１（より詳しくは、逐次集計部１１）や、トラフィックＤＢ３にデータを記憶させるトラフィック情報登録手段（図示せず）が、トラフィック情報をＬＡＮなどのデータバスから抽出するようにしてもよい。
【００２８】
リアルタイムＤＢ１３は、リアルタイムに集計された単位時間ごとのトラフィック情報の集計値を記憶する。トラフィック情報の集計値は、後述のＤＢ更新部１２２によりリアルタイムＤＢ１３に記憶される。リアルタイムＤＢ１３は、例えば、トラフィック集計装置が備える磁気ディスク装置等によって実現される。
【００２９】
記録部１２は、記録量管理部１２１と、データベース更新部（以下、ＤＢ更新部と記す。）１２２と、欠損管理部１２３とを備えている。
【００３０】
記録量管理部１２１は、記録対象データのデータ量をもとにリアルタイムＤＢ１３へ記録する量を管理する。具体的には、記録量管理部１２１は、逐次集計部１１が単位時間ごとに集計した記録量が、その単位時間あたりに後述のＤＢ更新部１２２がリアルタイムＤＢ１３に記録できる記録量として予め定められた閾値（以下、記録可能閾値と記す。）よりも多いか否かを判定する。そして、記録量管理部１２１は、記録量が記録可能閾値よりも多い場合、リアルタイムＤＢ１３に記録対象データを記憶させず、欠損管理部１２３に記録対象データを通知する。なお、以下の説明では、記録量管理部１２１がリアルタイムＤＢ１３に記録対象データを記録させないことを記録放棄と記すこともある。
【００３１】
一方、記録量が記録可能閾値以下の場合、記録量管理部１２１は、リアルタイムＤＢ１３に記録対象データを記憶させる。具体的には、記録量管理部１２１は、ＤＢ更新部１２２に対し、リアルタイムＤＢ１３に記録対象データを記憶させるよう指示する。
【００３２】
以下、具体例を用いて説明する。例えば、ＤＢ更新部１２２がリアルタイムＤＢ１３に記録できる記録量として定められた閾値（すなわち、記録可能閾値）が、５分あたりｉｎｓｅｒｔ文１００万行であるものとする。すなわち、リアルタイムＤＢ１３が５分間にｉｎｓｅｒｔ文１００万行の記録を許容するものとする。
【００３３】
このとき、記録対象データが、集計対象のトラフィック情報の種類ごとに、例えば、ｉｎｓｅｒｔ文１０万行、ｉｎｓｅｒｔ文２０万行存在する場合、記録量の合計はｉｎｓｅｒｔ文３０万行分である。そのため、記録量管理部１２１は、ＤＢ更新部１２２に全ての記録対象データをリアルタイムＤＢ１３へ記憶させる。
【００３４】
一方、記録対象データが、集計対象のトラフィック情報の種類ごとに、例えば、ｉｎｓｅｒｔ文１５０万行、ｉｎｓｅｒｔ文３０万行存在する場合、記録量の合計はｉｎｓｅｒｔ文１８０万行分である。そのため、記録量管理部１２１は、ＤＢ更新部１２２に後者のｉｎｓｅｒｔ文３０万行の記録対象データだけをリアルタイムＤＢ１３へ記憶させる。
【００３５】
さらに、記録対象データが、集計対象のトラフィック情報の種類ごとに、例えば、ｉｎｓｅｒｔ文３０万行、ｉｎｓｅｒｔ文４０万行、及び、ｉｎｓｅｒｔ文５０万行存在する場合、記録量の合計はｉｎｓｅｒｔ文１２０万行分である。そのため、記録量管理部１２１は、ＤＢ更新部１２２に前者のｉｎｓｅｒｔ文３０万行及びｉｎｓｅｒｔ文４０万行の記録対象データだけをリアルタイムＤＢ１３へ記憶させる。
【００３６】
なお、記録量が記録可能閾値を超えた場合にリアルタイムＤＢ１３へ記憶させる記録対象データの選択方法は、上記方法に限定されない。記録量管理部１２１は、単位時間あたりにリアルタイムＤＢ１３に記録できる記録量が、記録可能閾値以下になるように記録対象データを選択すればよい。
【００３７】
ＤＢ更新部１２２は、記録量管理部１２１の指示に応じ、逐次集計部１１が集計した記録対象データをリアルタイムＤＢ１３へ記憶させる。すなわち、ＤＢ更新部１２２は、記録対象データをリアルタイムＤＢ１３へ登録するということができる。また、ＤＢ更新部１２２は、記録対象データをリアルタイムＤＢ１３へ記憶させる際にエラーが発生した場合には、そのエラー内容を欠損管理部１２３に通知する。
【００３８】
欠損管理部１２３は、記録放棄や記録エラーなどを管理する。具体的には、欠損管理部１２３は、記録量管理部１２１から記録対象データを受け取ると、その記録対象データを主参照集計部２が備える後述の集計値ＤＢ２１に記憶させる。また、欠損管理部１２３は、ＤＢ更新部１２２から記録エラーなどのエラー内容を受け取ると、エラーになった対象の記録対象データを集計値ＤＢ２１に記憶させる。具体的には、欠損管理部１２３は、主参照集計部２が集計値ＤＢ２１に記録対象データを記憶させるために必要な情報を主参照集計部２に送信する。
【００３９】
なお、以下の説明では、欠損管理部１２３が、記録量管理部１２１から受け取った記録対象データと、ＤＢ更新部１２２から受け取った記録対象データのいずれも集計値ＤＢ２１に記憶させる場合について説明する。ただし、欠損管理部１２３は、記録量管理部１２１から受け取った記録対象データのみを集計値ＤＢ２１に記憶させるようにしてもよい。
【００４０】
以下、欠損管理部１２３が主参照集計部２に送信する内容について説明する。欠損管理部１２３は、主参照集計部２がトラフィックＤＢ３に記憶されたトラフィック情報をもとに記録対象データの再集計を行うにあたり、記録対象データの集計対象を特定するために必要な情報をその記録対象データから生成し、生成した情報を主参照集計部２に送信する。
【００４１】
例えば、欠損管理部１２３は、記録量管理部１２１から受け取った記録対象データから「送信先アドレスが１０．１．１．０〜１０．１．１．２５５、プロトコルｔｃｐに対する、２０１０／０１／２６ １０：１０：００から５分間のポート番号ごとのパケット数」といった情報を生成し、この情報を主参照集計部２に送信してもよい。
【００４２】
また、欠損管理部１２３は、「通信モニタ装置Ｘが抽出したトラフィック情報のうち、送信先アドレスが１０．２．１．０〜１０．２．１．２５５）」であり、プロトコルｔｃｐに対する、２０１０／０１／２５ ００：００：００から１日間の送信元ＩＰアドレスのユニーク数」といった情報を記録対象データから生成してもよい。
【００４３】
以下、欠損管理部１２３が記録対象データから生成した集計対象を特定するために必要な情報を欠損情報と記す。このように、欠損管理部１２３は、記録対象データから集計対象を特定することから、欠損管理部１２３が抽出する欠損情報とは、逐次集計部１１が集計の対象とした通信トラフィックを特定する情報ということもできる。
【００４４】
なお、欠損管理部１２３が作成する欠損情報は、主参照集計部２がトラフィックＤＢ３に記憶されたトラフィック情報をもとに記録対象データの再集計できる内容であれば、上記内容に限定されない。
【００４５】
以下、欠損管理部１２３が記録対象データをもとに作成した欠損情報を主参照集計部２に送信する場合について説明する。なお、欠損管理部１２３は、欠損情報を作成せず、記録対象データをそのまま主参照集計部２に送信してもよい。ただし、記録対象データのデータ量は大きいため、記録対象データの集計対象を特定する欠損情報のみを送信する方が通信量を削減できるため、より好ましい。
【００４６】
以上のように、記録部１２は、全体（すなわち、記録量管理部１２１、ＤＢ更新部１２２及び欠損管理部１２３）として単位時間ごとに集計されたトラフィック情報の集計値の記録を管理する。
【００４７】
バルク転送部１４は、リアルタイムＤＢ１３からデータをまとめて取り出し、そのデータを主参照集計部２へ送信する。バルク転送部１４は、定期的（例えば、１時間に１度、もしくは、１日に１度）に、集計の単位時間より大きな単位でリアルタイムＤＢ１３からデータを読み取り、読み取ったデータを主参照集計部２へ送信する。なお、リアルタイムＤＢ１３から読み取るデータのデータ量は、予め定められていてもよく、リアルタイムＤＢ１３に記憶されているデータ量に応じて定められてもよい。
【００４８】
以上のように、リアルタイム集計部１では、リアルタイムに集計した結果を記録する。
【００４９】
主参照集計部２は、集計値ＤＢ２１と、欠損補完部２２と、バッチ集計部２３と、バルク更新部２４とを備えている。
【００５０】
集計値ＤＢ２１は、過去の集計結果を蓄積する。具体的には、集計値ＤＢ２１は、リアルタイムＤＢ１３と同様に、単位時間ごとのトラフィック情報の集計値を記憶する。ただし、集計値ＤＢ２１は、リアルタイムＤＢ１３とは異なる装置である。集計値ＤＢ２１は、例えば、トラフィック集計装置が備える磁気ディスク装置等によって実現される。
【００５１】
欠損補完部２２は、欠損管理部１２３から受け取った欠損情報から、リアルタイムＤＢ１３に記憶されなかった記録対象データ（以下、欠損部分と記すこともある。）の作成をバッチ集計部２３に対して指示する。
【００５２】
バッチ集計部２３は、欠損管理部１２３から受け取った欠損情報及びトラフィックＤＢ３に記憶されたトラフィック情報をもとに、単位時間あたりのトラフィック情報を一括で集計する。そして、バッチ集計部２３は、集計したトラフィック情報の集計値を集計値ＤＢ２１に記憶させる。すなわち、バッチ集計部２３は、集計値を集計値ＤＢ２１へ登録するということができる。
【００５３】
例えば、主参照集計部２が欠損管理部１２３から上述の「送信先アドレスが１０．１．１．０〜１０．１．１．２５５、プロトコルｔｃｐに対する、２０１０／０１／２６ １０：１０：００から５分間のポート番号ごとのパケット数」といった欠損情報を受け取ったものとする。このとき、バッチ集計部２３は、トラフィックＤＢ３から「送信先アドレスが１０．１．１．０〜１０．１．１．２５５、プロトコルｔｃｐに対する、２０１０／０１／２６ １０：１０：００〜１０：１４：５９」に該当するデータを読み取る。そして、バッチ集計部２３は、読み取ったトラフィック情報のパケット数をポート番号ごとに集計する。
【００５４】
なお、上記説明では、バッチ集計部２３が単位時間あたりのトラフィック情報を集計する場合について説明した。ただし、バッチ集計部２３が集計する内容は、単位時間あたりのトラフィック情報に限定されない。言い換えると、バッチ集計部２３は、欠損補完部２２の指示に従って、トラフィックＤＢ３に記憶されたトラフィック情報をもとに任意の集計を行い、その集計結果を集計値ＤＢ２１に記憶させるということができる。
【００５５】
このように、本実施形態では、逐次集計部１１で集計した集計結果をそのまま集計値ＤＢ２１に記憶させず、バッチ集計部２３が、記録対象データから作成された欠損情報を用いて再度集計処理を行い、集計値ＤＢ２１に集計結果を記録する。そのため、欠損管理部１２３から欠損補完部２２に伝送される情報量が欠損情報だけでよく、通信量を削減できる。特に、リアルタイム集計部１と主参照集計部２とが別装置であるような場合、両装置の間の通信量を削減できるため、上記効果は顕著に現れる。
【００５６】
バルク更新部２４は、バルク転送部１４から受け取ったデータをもとに集計値ＤＢ２１の内容を更新する。
【００５７】
以上のことから、主参照集計部２は、集計結果を蓄積していると言える。
【００５８】
参照部４は、集計値の参照を行う。具体的には、参照部４は、ユーザの指示に応じ、ユーザが抽出したい記録対象データを集計値ＤＢ２１もしくはリアルタイムＤＢ１３から読み取る。
【００５９】
逐次集計部１１と、記録部１２（より詳しくは、記録量管理部１２１と、ＤＢ更新部１２２と、欠損管理部１２３）と、バルク転送部１４と、欠損補完部２２と、バッチ集計部２３と、バルク更新部２４と、参照部４とは、プログラム（トラフィック集計プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、トラフィック集計装置の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、逐次集計部１１、記録部１２（より詳しくは、記録量管理部１２１、ＤＢ更新部１２２及び欠損管理部１２３）、バルク転送部１４、欠損補完部２２、バッチ集計部２３、バルク更新部２４及び参照部４として動作してもよい。
【００６０】
また、逐次集計部１１と、記録部１２（より詳しくは、記録量管理部１２１と、ＤＢ更新部１２２と、欠損管理部１２３）と、バルク転送部１４と、欠損補完部２２と、バッチ集計部２３と、バルク更新部２４と、参照部４とは、それぞれが専用のハードウェアで実現されていてもよい。
【００６１】
すなわち、上記説明では、１つのトラフィック集計装置にリアルタイム集計部１と主参照集計部２を備える場合について説明している。ただし、リアルタイム集計に影響を与える処理を分散させる（すなわち、欠損部分を欠損補完部２２、バッチ集計部２３、集計値ＤＢ２１等に補完させる）ことから、リアルタイム集計部１と主参照集計部２とは、異なるハードウェアで実現されることがより好ましい。
【００６２】
また、欠損管理部１２３が、作成した欠損情報を、その欠損情報及びトラフィックＤＢ３に記憶されたトラフィック情報をもとに単位時間あたりのトラフィック情報を一括で集計する装置（図示せず。以下、一括集計装置と記す。）に送信してもよい。そして、バッチ集計部２３が、その一括集計装置から受信した集計値を集計値ＤＢ２１に登録してもよい。このようにすることで、リアルタイム集計に影響を与える処理を分散させることができるため、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできる。
【００６３】
次に、動作について説明する。以下の説明では、トラフィック集計装置が行う処理を、リアルタイム集計処理、バッチ集計処理、バルク転送処理、集計データ参照処理の４つの処理に分けて説明する。なお、トラフィック集計装置行うこれら４つの処理は、それぞれ独立して行われる。以下、それぞれの処理について説明する。
【００６４】
初めに、リアルタイム集計処理について説明する。図２は、リアルタイム集計処理の例を示すフローチャートである。リアルタイム集計処理では、まず、逐次集計部１１は、単位時間あたりのトラフィック情報を集計する（ステップＡ１）。次に、集計結果（記録対象データ）をリアルタイムＤＢ１３に記録するため、逐次集計部１１は、記録対象データを記録部１２に渡す（ステップＡ２）。記録部１２では、記録量管理部１２１が、単位時間あたりの記録対象データのデータ量とＤＢ更新可能な記録量を確認する。すなわち、記録量管理部１２１は、記録放棄するか否かを判定する（ステップＡ３）。
【００６５】
記録対象データのデータ量がＤＢ更新可能な記録量よりも多い場合、記録量管理部１２１は、記録放棄すると判断し（ステップＡ３におけるＹｅｓ）、記録対象データを欠損管理部１２３に渡す。欠損管理部１２３は、記録量管理部１２１から受け取った記録対象データをもとに欠損情報を作成し、作成した欠損情報を欠損補完部２２に渡して（ステップＡ６）、リアルタイム集計処理を終了する。
【００６６】
一方、記録対象データのデータ量がＤＢ更新可能な記録量以下の場合、記録量管理部１２１は、記録放棄しないと判断し（ステップＡ３におけるＮｏ）、記録対象データをＤＢ更新部１２２に渡す。そして、ＤＢ更新部１２２は、記録対象データを用いてリアルタイムＤＢ１３を更新する（ステップＡ４）。
【００６７】
ここで、ＤＢ更新部１２２は、リアルタイムＤＢ１３への更新処理が成功したか否か判断する（ステップＡ５）。更新処理が成功した場合（ステップＡ５におけるＹｅｓ）、リアルタイム集計処理を終了する。一方、更新処理が成功しなかった場合（ステップＡ５におけるＮｏ）、ＤＢ更新部１２２は、記録対象データを欠損管理部１２３に渡す。そして、欠損管理部１２３は、ＤＢ更新部１２２から受け取った記録対象データをもとに欠損情報を作成し、作成した欠損情報を欠損補完部２２に渡して（ステップＡ６）、リアルタイム集計処理を終了する。
【００６８】
次に、バッチ集計処理について説明する。図３は、バッチ集計処理の例を示すフローチャートである。バッチ集計処理では、まず、欠損補完部２２が、欠損管理部１２３から受けとった欠損情報に基づき、バッチ集計部２３にバッチ集計の実行を指示する（ステップＢ１）。バッチ集計部２３は、トラフィックＤＢ３から対象期間の必要なトラフィック情報を取得し、集計を行う（ステップＢ２）。最後に、バッチ集計部２３は、集計結果をもとに集計値ＤＢ２１の更新処理を行い（ステップＢ３）、バッチ集計処理を終了する。
【００６９】
次に、バルク転送処理について説明する。図４は、バルク転送処理の例を示すフローチャートである。バルク転送処理では、まず、バルク転送部１４が、集計の単位時間より大きな任意の単位（例えば、１時間に１度や、１日に１度）で定期的に、リアルタイムＤＢ１３からデータを読み取る。そして、バルク転送部１４は、データを読み取れたことを確認し、データを読み取れた場合にはリアルタイムＤＢ１３から読み取ったデータを削除する（ステップＣ１）。なお、データが読み取れなかった場合には、バルク転送部１４は、処理を終了してもよく、再度データの読み取りを実行してもよい。
【００７０】
次に、バルク転送部１４は、読み取ったデータをバルク更新部２４に渡す（ステップＣ２）。最後に、バルク更新部２４は、受け取ったデータを集計値ＤＢ２１に反映し（ステップＣ３）、バルク転送処理を終了する。
【００７１】
なお、ステップＣ１でバルク転送部１４が、リアルタイムＤＢ１３からデータを読み取る際、読み取られるデータのデータ形式は、データベースのバックアップに用いられるデータ形式であってもよい。このように、データベースの内部データ形式のデータを用いることで、バルク転送部１４がバルク更新部２４にデータを渡す処理における通信量を削減することができる。さらに、このようなデータを用いることで、バルク更新部２４が集計値ＤＢ２１を更新する処理効率を向上させることができる。
【００７２】
次に、集計データ参照処理について説明する。図５は、集計データ参照処理の例を示すフローチャートである。集計データ参照処理では、まず、参照部４は、ユーザの指示に応じ、ユーザが抽出したい記録対象データを集計値ＤＢ２１から読み取る（ステップＤ１）。集計値ＤＢ２１から読み取った記録対象データよりも新しい（すなわち、後の時間の）データが必要な場合（ステップＤ２におけるＹｅｓ）、参照部４は、ユーザが抽出したい記録対象データ（集計データ）をリアルタイムＤＢ１３から読み取る（ステップＤ３）。
【００７３】
リアルタイムＤＢ１３から記録対象データを読み取ったあと、もしくは、集計値ＤＢ２１から読み取った記録対象データよりも新しい（すなわち、後の時間の）データが必要でない場合（ステップＤ２におけるＮｏ）、参照部４は、ユーザが他に読み取りたい（参照したい）データが存在するか否か判断する（ステップＤ４）。例えば、ユーザから、他に参照したいデータがあると指示された場合（ステップＤ４におけるＹｅｓ）、参照部４は、ステップＤ１以降の処理を繰り返す。一方、他に参照したいデータがないと指示された場合（ステップＤ４におけるＮｏ）、集計データ参照処理を終了する。
【００７４】
以上のように、本実施形態によれば、逐次集計部１１が、単位時間ごとの通信トラフィックをリアルタイムに集計する。そして、記録量管理部１２１が、単位時間ごとに集計された通信トラフィックの集計量が、上述の記録可能閾値よりも多いか否かを判定する。通信トラフィックの集計量が記録可能閾値よりも多いと判定されたときに、欠損管理部１２３が、通信トラフィックの集計値を集計値ＤＢ２１に登録する。一方、通信トラフィックの集計量が記録可能閾値以下であると判定されたときに、ＤＢ更新部１２２が、通信トラフィックの集計値をリアルタイムＤＢ１３に登録する。
【００７５】
具体的には、集計値ＤＢ２１に通信トラフィックの集計値を登録する際に、欠損管理部１２３が、集計対象情報を生成する。そして、バッチ集計部２３が、トラフィックＤＢ３に記憶された通信トラフィックから単位時間あたりの通信トラフィックを集計対象情報をもとに一括で集計し、集計された集計値を集計値ＤＢ２１に登録する。
【００７６】
そのような構成により、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできる。すなわち、大量トラフィックによる影響を受けにくく、リアルタイムに様々な観点でのトラフィック集計が可能になり、集計処理が出来なくなることを回避できる。
【００７７】
また、本実施形態によれば、リアルタイム集計を記録するデータベース（本実施形態では、リアルタイムＤＢ１３）と、集計値を記録するデータベース（本実施形態では集計値ＤＢ２１）とを別に用意している。そして、記録量管理部１２１が、単位時間以内にデータベースへの記録が難しいと判定したデータの登録を放棄（すなわち、欠損管理部１２３で記録対象データを通知）し、バルク転送部１４が、定期的にリアルタイム集計を記録するデータベースのデータを、集計値を記録するデータベースに移している。このような構成により、リアルタイム集計に影響する負荷を可能な限り少なくしている。また、データベースに対する記録処理が集計単位時間内に完了しないほどトラフィック量や集計結果の情報量が多くなった場合でも、リアルタイム集計を行い続けることができる。
【００７８】
一般に、リアルタイム集計では、単位時間ごとの集計値を一定の時間以内に記録する必要がある。ここで、時間内に記録することを妨げる障壁になるのが、データベースへのアクセス、特にディスクＩ／Ｏである。例えば、単位時間以内でＤＢに記録する集計データの記録量が多い処理が実行されると、ＤＢへの記録処理が完了する前に、次に記録すべき集計データが用意されることになる。集計の種類が少なく、記録量の増加が一時的なものであれば、データのキャッシングや、処理のキューイングなどを併用することにより対処可能なケースも存在する。ここで、集計の種類が多岐にわたる場合には、他の種類の集計処理も行われることになる。しかし、集計データの記録量が多い処理が実行されると、集計される記録量が少ない他の種類の集計処理も影響を受け、データベースへの記録処理が遅延したり、最悪の場合、集計自体が行えなくなってしまったりという現象も発生し得る。さらに、記録量の増加が暫く続き、キャッシングやキューイングが増え続けて許容量の限界を超えてしまうと、集計自体が行えない現象が発生することもある。
【００７９】
しかし、本実施形態によれば、記録量管理部１２１が、単位時間以内にデータベースへの記録が難しいと判定したデータの登録を放棄（すなわち、欠損管理部１２３で記録対象データを通知）する。そのため、ディスクＩ／Ｏの負荷が上昇することを抑え、他の集計結果をデータベースへ記録する際の影響を取り除くことができる。
【００８０】
言い換えると、本実施形態によれば、データベースへの更新を行う前に記録量を推定して、単位時間以内に終了しないことが予測される場合、リアルタイムＤＢ１３へのデータの格納処理（例えば、ＳＱＬ（Structured Query Language ）を用いたＲＤＢ（relational database ）への格納処理の場合、ｉｎｓｅｒｔ処理やｕｐｄａｔｅ処理など）を行わない。そのため、他の集計処理への影響を取り除くことができる。
【００８１】
また、欠損管理部１２３が、放棄したデータについての欠損情報を作成し、バッチ集計部２３が、リアルタイム集計という時間制約を受けない別のデータベース（本実施形態では、集計値ＤＢ２１）に、バッチ処理で欠損部分の集計および記録を行い、リアルタイムＤＢ１３に未登録の集計データを補完する。そのため、データ欠損を防ぐことができる。
【００８２】
さらに、バルク転送部１４及びバルク更新部２４が、リアルタイム集計用のデータベース（本実施形態では、リアルタイムＤＢ１３）から、別のデータベース（本実施形態では、集計値ＤＢ２１）へ定期的にデータを移すことで、リアルタイム集計用のデータベースに蓄積されるデータ量自体を抑えている。そのため、データベース更新に伴って発生するインデックスの更新を高速化でき、さらに、インデックスの更新に伴う負荷を低減できる。
【００８３】
また、長期間にわたる過去データの抽出処理や、複雑な条件によるデータ抽出処理は、データベースのＣＰＵ負荷やディスクＩ／Ｏ負荷を高くしてしまう。しかし、本実施形態によれば、過去のデータはリアルタイム集計用のデータベースではない別のデータベース側に蓄積されることになる。よって、上記抽出処理を行うような場合であっても、リアルタイム集計用のデータベースにおけるＣＰＵ負荷やディスクＩ／Ｏ負荷が高くなることを抑制できる。
【００８４】
さらに、本実施形態では、リアルタイムＤＢ１３と集計値ＤＢ２１とを分離させ、データベース間でデータを連携させる機能（具体的には、欠損管理部１２３、欠損補完部２２、バッチ集計部２３及びトラフィックＤＢ３）を備えている。そのため、トラフィック量や集計する種類の数、演算処理速度や記録処理速度などのマシンスペックなどに応じた、システム構成の変更が容易になる。
【００８５】
例えば、リアルタイム集計を行うコンピュータのマシンスペックが不足している場合や、多種多様な集計を行う場合、リアルタイム集計部１をｎ個（ｎは、ｎ＞１を満たす整数）に増やして処理を分散させることでマシンスペック不足を解決することができる。なお、なお、リアルタイム集計部１を増加させた場合において、リアルタイム集計部１の各バルク転送部１４が、各リアルタイムＤＢ１３から読み取ったデータを集計値ＤＢ２１へ定期的に移す場合には、バルク更新部２４は、各バルク転送部１４から受け取ったデータの内容をマージすればよい。また、主参照集計部２も集計の種類ごとに複数用意してもよい。
【００８６】
このように、集計の種類が増加した場合や、演算処理能力及び記録処理能力が不足した場合などにシステム構成を変更することで、リアルタイム集計を行い続けることが可能になる。
【００８７】
次に、本発明によるトラフィック集計装置の最小構成の例を説明する。図６は、本発明によるトラフィック集計装置の最小構成の例を示すブロック図である。本発明によるトラフィック集計装置は、単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計手段８１（例えば、逐次集計部１１）と、トラフィック集計手段８１が集計した通信トラフィックの集計値（例えば、記録対象データ）を第一の集計値記憶手段８２（例えば、リアルタイムＤＢ１３）に登録する第一の集計値登録手段８３（例えば、ＤＢ更新部１２２）と、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段８２に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定手段８４（例えば、記録量管理部１２１）と、記録量判定手段８４が通信トラフィックの集計量が記録可能閾値よりも多いと判定したときに、通信トラフィックの集計値を第二の集計値記憶手段８５（例えば、集計値ＤＢ２１）に登録する第二の集計値登録手段８６（例えば、欠損管理部１２３、欠損補完部２２、バッチ集計部２３、トラフィックＤＢ３）とを備えている。
【００８８】
第一の集計値登録手段８３は、記録量判定手段８４が通信トラフィックの集計量が記録可能閾値以下であると判定したときに、通信トラフィックの集計値を第一の集計値記憶手段８２に登録する。
【００８９】
そのような構成により、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできる。
【００９０】
また、本発明によるトラフィック集計装置は、通信トラフィックを記憶する通信トラフィック記憶手段（例えば、トラフィックＤＢ３）を備えていてもよい。そして、第二の集計値登録手段８６は、トラフィック集計手段８１が集計の対象とした通信トラフィックを特定する情報である集計対象情報（例えば、欠損情報）を生成する集計対象情報生成手段（例えば、欠損管理部１２３）、通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを集計対象情報をもとに一括で集計する一括集計手段（バッチ集計部２３）と、一括集計手段が集計した集計値を第二の集計値記憶手段８５に登録する一括集計値登録手段（バッチ集計部２３）とを含んでいてもよい。
【００９１】
そのような構成によっても、リアルタイムでトラフィック集計を行う場合に、大量トラフィックが発生してもその影響を受けにくくできる。
【００９２】
なお、少なくとも以下に示すようなトラフィック集計装置も、上記に示すいずれかの実施形態に開示されている。
【００９３】
（１）単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計手段（例えば、逐次集計部１１）と、トラフィック集計手段が集計した通信トラフィックの集計値（例えば、記録対象データ）を第一の集計値記憶手段（例えば、リアルタイムＤＢ１３）に登録する第一の集計値登録手段（例えば、ＤＢ更新部１２２）と、単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定手段（例えば、記録量管理部１２１）と、記録量判定手段が通信トラフィックの集計量が記録可能閾値よりも多いと判定したときに、通信トラフィックの集計値を第二の集計値記憶手段（例えば、集計値ＤＢ２１）に登録する第二の集計値登録手段（例えば、欠損管理部１２３、欠損補完部２２、バッチ集計部２３、トラフィックＤＢ３）とを備え、第一の集計値登録手段が、記録量判定手段が通信トラフィックの集計量が記録可能閾値以下であると判定したときに、通信トラフィックの集計値を第一の集計値記憶手段に登録するトラフィック集計装置。
【００９４】
（２）通信トラフィックを記憶する通信トラフィック記憶手段（例えば、トラフィックＤＢ３）を備え、第二の集計値登録手段が、トラフィック集計手段が集計の対象とした通信トラフィックを特定する情報である集計対象情報（例えば、欠損情報）を生成する集計対象情報生成手段（例えば、欠損管理部１２３）、通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを集計対象情報をもとに一括で集計する一括集計手段（バッチ集計部２３）と、一括集計手段が集計した集計値を第二の集計値記憶手段に登録する一括集計値登録手段（バッチ集計部２３）とを含むトラフィック集計装置。
【００９５】
（３）通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを集計対象情報をもとに一括で集計する装置である一括集計装置に、その集計対象情報を送信する集計対象情報送信手段（例えば、欠損管理部１２３）を備え、一括集計値登録手段（例えば、バッチ集計部２３）が、一括集計装置から受信した集計値を第二の集計値記憶手段に登録するトラフィック集計装置。
【００９６】
（４）第一の集計値記憶手段から所定の時間間隔でデータを抽出する集計値抽出手段（例えば、バルク転送部１４）と、集計値抽出手段が抽出したデータを第二の集計値記憶手段に更新する集計値更新手段（例えば、バルク更新部２４）とを備えたトラフィック集計装置。
【００９７】
（５）第一の集計値記憶手段または第二の集計値記憶手段に記憶された通信トラフィックの集計値を参照する集計値参照手段（例えば、参照部４）を備え、集計値参照手段が、第二の集計値記憶手段に記憶された集計値を参照し、その集計値よりも新しい集計値を第一の集計値記憶手段から参照するトラフィック集計装置。
【産業上の利用可能性】
【００９８】
本発明は、ネットワーク上に流れる通信トラフィックを集計する場合において、大量トラフィックによる影響を受けにくいトラフィック集計装置に好適に適用される。
【００９９】
なお、上記実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下の内容に限定されない。
【０１００】
（付記）通信トラフィックを記憶する通信トラフィック記憶手段を備えたコンピュータに適用されるトラフィック集計プログラムであって、前記コンピュータに、第二の集計値登録処理で、トラフィック集計処理で集計の対象とされた通信トラフィックを特定する情報である集計対象情報を生成する集計対象情報生成処理、前記通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを前記集計対象情報をもとに一括で集計する一括集計処理、および、前記一括集計処理で集計された集計値を第二の集計値記憶手段に登録する一括集計値登録処理を実行させるトラフィック集計プログラム。
【符号の説明】
【０１０１】
１ リアルタイム集計部
２ 主参照集計部
３ トラフィックＤＢ
４ 参照部
１１ 逐次集計部
１２ 記録部
１２１ 記録量管理部
１２２ ＤＢ更新部
１２３ 欠損管理部
１３ リアルタイムＤＢ
１４ バルク転送部
２１ 集計値ＤＢ
２２ 欠損補完部
２３ バッチ集計部
２４ バルク更新部
【特許請求の範囲】
【請求項１】
単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計手段と、
前記トラフィック集計手段が集計した通信トラフィックの集計値を第一の集計値記憶手段に登録する第一の集計値登録手段と、
単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに前記第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定手段と、
前記記録量判定手段が通信トラフィックの集計量が記録可能閾値よりも多いと判定したときに、前記通信トラフィックの集計値を第二の集計値記憶手段に登録する第二の集計値登録手段とを備え、
前記第一の集計値登録手段は、前記記録量判定手段が通信トラフィックの集計量が記録可能閾値以下であると判定したときに、通信トラフィックの集計値を前記第一の集計値記憶手段に登録する
ことを特徴とするトラフィック集計装置。
【請求項２】
通信トラフィックを記憶する通信トラフィック記憶手段を備え、
第二の集計値登録手段は、
トラフィック集計手段が集計の対象とした通信トラフィックを特定する情報である集計対象情報を生成する集計対象情報生成手段と、
前記通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを前記集計対象情報をもとに一括で集計する一括集計手段と、
前記一括集計手段が集計した集計値を第二の集計値記憶手段に登録する一括集計値登録手段とを含む
請求項１記載のトラフィック集計装置。
【請求項３】
通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを前記集計対象情報をもとに一括で集計する装置である一括集計装置に、当該集計対象情報を送信する集計対象情報送信手段を備え、
一括集計値登録手段は、前記一括集計装置から受信した集計値を第二の集計値記憶手段に登録する
請求項２記載のトラフィック集計装置。
【請求項４】
第一の集計値記憶手段から所定の時間間隔でデータを抽出する集計値抽出手段と、
前記集計値抽出手段が抽出したデータを第二の集計値記憶手段に更新する集計値更新手段とを備えた
請求項１から請求項３のうちのいずれか１項に記載のトラフィック集計装置。
【請求項５】
第一の集計値記憶手段または第二の集計値記憶手段に記憶された通信トラフィックの集計値を参照する集計値参照手段を備え、
前記集計値参照手段は、
第二の集計値記憶手段に記憶された集計値を参照し、
前記集計値よりも新しい集計値を第一の集計値記憶手段から参照する
請求項１から請求項４のうちのいずれか１項に記載のトラフィック集計装置。
【請求項６】
単位時間ごとの通信トラフィックをリアルタイムに集計し、
単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定し、
通信トラフィックの集計量が前記記録可能閾値よりも多いと判定されたときに、前記通信トラフィックの集計値を、前記第一の集計値記憶手段とは異なる第二の集計値記憶手段に登録し、
通信トラフィックの集計量が前記記録可能閾値以下であると判定されたときに、前記通信トラフィックの集計値を前記第一の集計値記憶手段に登録する
ことを特徴とするトラフィック集計方法。
【請求項７】
第二の集計値記憶手段に通信トラフィックの集計値を登録する際に、
集計の対象とされた通信トラフィックを特定する情報である集計対象情報を生成し、
通信トラフィックを記憶する通信トラフィック記憶手段に記憶された当該通信トラフィックから単位時間あたりの通信トラフィックを前記集計対象情報をもとに一括で集計し、
集計された集計値を第二の集計値記憶手段に登録する
請求項６記載のトラフィック集計方法。
【請求項８】
通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを前記集計対象情報をもとに一括で集計する装置である一括集計装置に、当該集計対象情報を送信し、
第二の集計値記憶手段には、前記一括集計装置から受信した集計値を登録する
請求項７記載のトラフィック集計方法。
【請求項９】
第一の集計値記憶手段から所定の時間間隔でデータを抽出し、
抽出したデータを第二の集計値記憶手段に更新する
請求項７または請求項８記載のトラフィック集計方法。
【請求項１０】
単位時間ごとの通信トラフィックの集計値を記憶する第一の集計値記憶手段と、単位時間ごとの通信トラフィックの集計値を記憶する第二の集計値記憶手段とを備えたコンピュータに適用されるトラフィック集計プログラムであって、
前記コンピュータに、
単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計処理、
前記トラフィック集計処理で集計された通信トラフィックの集計値を前記第一の集計値記憶手段に登録する第一の集計値登録処理、
単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに前記第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定処理、および、
前記記録量判定処理で通信トラフィックの集計量が記録可能閾値よりも多いと判定されたときに、前記通信トラフィックの集計値を前記第二の集計値記憶手段に登録する第二の集計値登録処理を実行させ、
前記第一の集計値登録処理で、前記記録量判定処理で通信トラフィックの集計量が記録可能閾値以下であると判定されたときに、通信トラフィックの集計値を前記第一の集計値記憶手段に登録させる
ことを特徴とするトラフィック集計プログラム。
【請求項１】
単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計手段と、
前記トラフィック集計手段が集計した通信トラフィックの集計値を第一の集計値記憶手段に登録する第一の集計値登録手段と、
単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに前記第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定手段と、
前記記録量判定手段が通信トラフィックの集計量が記録可能閾値よりも多いと判定したときに、前記通信トラフィックの集計値を第二の集計値記憶手段に登録する第二の集計値登録手段とを備え、
前記第一の集計値登録手段は、前記記録量判定手段が通信トラフィックの集計量が記録可能閾値以下であると判定したときに、通信トラフィックの集計値を前記第一の集計値記憶手段に登録する
ことを特徴とするトラフィック集計装置。
【請求項２】
通信トラフィックを記憶する通信トラフィック記憶手段を備え、
第二の集計値登録手段は、
トラフィック集計手段が集計の対象とした通信トラフィックを特定する情報である集計対象情報を生成する集計対象情報生成手段と、
前記通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを前記集計対象情報をもとに一括で集計する一括集計手段と、
前記一括集計手段が集計した集計値を第二の集計値記憶手段に登録する一括集計値登録手段とを含む
請求項１記載のトラフィック集計装置。
【請求項３】
通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを前記集計対象情報をもとに一括で集計する装置である一括集計装置に、当該集計対象情報を送信する集計対象情報送信手段を備え、
一括集計値登録手段は、前記一括集計装置から受信した集計値を第二の集計値記憶手段に登録する
請求項２記載のトラフィック集計装置。
【請求項４】
第一の集計値記憶手段から所定の時間間隔でデータを抽出する集計値抽出手段と、
前記集計値抽出手段が抽出したデータを第二の集計値記憶手段に更新する集計値更新手段とを備えた
請求項１から請求項３のうちのいずれか１項に記載のトラフィック集計装置。
【請求項５】
第一の集計値記憶手段または第二の集計値記憶手段に記憶された通信トラフィックの集計値を参照する集計値参照手段を備え、
前記集計値参照手段は、
第二の集計値記憶手段に記憶された集計値を参照し、
前記集計値よりも新しい集計値を第一の集計値記憶手段から参照する
請求項１から請求項４のうちのいずれか１項に記載のトラフィック集計装置。
【請求項６】
単位時間ごとの通信トラフィックをリアルタイムに集計し、
単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定し、
通信トラフィックの集計量が前記記録可能閾値よりも多いと判定されたときに、前記通信トラフィックの集計値を、前記第一の集計値記憶手段とは異なる第二の集計値記憶手段に登録し、
通信トラフィックの集計量が前記記録可能閾値以下であると判定されたときに、前記通信トラフィックの集計値を前記第一の集計値記憶手段に登録する
ことを特徴とするトラフィック集計方法。
【請求項７】
第二の集計値記憶手段に通信トラフィックの集計値を登録する際に、
集計の対象とされた通信トラフィックを特定する情報である集計対象情報を生成し、
通信トラフィックを記憶する通信トラフィック記憶手段に記憶された当該通信トラフィックから単位時間あたりの通信トラフィックを前記集計対象情報をもとに一括で集計し、
集計された集計値を第二の集計値記憶手段に登録する
請求項６記載のトラフィック集計方法。
【請求項８】
通信トラフィック記憶手段に記憶された通信トラフィックから単位時間あたりの通信トラフィックを前記集計対象情報をもとに一括で集計する装置である一括集計装置に、当該集計対象情報を送信し、
第二の集計値記憶手段には、前記一括集計装置から受信した集計値を登録する
請求項７記載のトラフィック集計方法。
【請求項９】
第一の集計値記憶手段から所定の時間間隔でデータを抽出し、
抽出したデータを第二の集計値記憶手段に更新する
請求項７または請求項８記載のトラフィック集計方法。
【請求項１０】
単位時間ごとの通信トラフィックの集計値を記憶する第一の集計値記憶手段と、単位時間ごとの通信トラフィックの集計値を記憶する第二の集計値記憶手段とを備えたコンピュータに適用されるトラフィック集計プログラムであって、
前記コンピュータに、
単位時間ごとの通信トラフィックをリアルタイムに集計するトラフィック集計処理、
前記トラフィック集計処理で集計された通信トラフィックの集計値を前記第一の集計値記憶手段に登録する第一の集計値登録処理、
単位時間ごとに集計された通信トラフィックの集計量が、その単位時間あたりに前記第一の集計値記憶手段に記録できる記録量として予め定められた閾値である記録可能閾値よりも多いか否かを判定する記録量判定処理、および、
前記記録量判定処理で通信トラフィックの集計量が記録可能閾値よりも多いと判定されたときに、前記通信トラフィックの集計値を前記第二の集計値記憶手段に登録する第二の集計値登録処理を実行させ、
前記第一の集計値登録処理で、前記記録量判定処理で通信トラフィックの集計量が記録可能閾値以下であると判定されたときに、通信トラフィックの集計値を前記第一の集計値記憶手段に登録させる
ことを特徴とするトラフィック集計プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１１−１６６２７０（Ｐ２０１１−１６６２７０Ａ）
【公開日】平成２３年８月２５日（２０１１．８．２５）
【国際特許分類】
【出願番号】特願２０１０−２４１８２（Ｐ２０１０−２４１８２）
【出願日】平成２２年２月５日（２０１０．２．５）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２３年８月２５日（２０１１．８．２５）
【国際特許分類】
【出願日】平成２２年２月５日（２０１０．２．５）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]