パケットキャプチャーシステムおよびパケットキャプチャー方法
【課題】ネットワーク上を流れる高トラヒックのパケットデータに対して、オペレータが要求するパケットを欠落させることなくキャプチャーすることが出来なかった。
【解決手段】ネットワーク上を流れるパケットを一定時間キャプチャーし、それらのパケットを蓄積するパケット解析ＤＢとパケット解析ＤＢに格納されたパケット内部の分析を行ない、その中からもっとも頻繁に現れたパケットの傾向を抽出するプレパケットキャプチャー部と、その抽出されたパケットの傾向を元に当該条件に該当するパケットのみをキャプチャーするパケットキャプチャー装置と有するパケットキャプチャーシステムにより、解決できる。
【解決手段】ネットワーク上を流れるパケットを一定時間キャプチャーし、それらのパケットを蓄積するパケット解析ＤＢとパケット解析ＤＢに格納されたパケット内部の分析を行ない、その中からもっとも頻繁に現れたパケットの傾向を抽出するプレパケットキャプチャー部と、その抽出されたパケットの傾向を元に当該条件に該当するパケットのみをキャプチャーするパケットキャプチャー装置と有するパケットキャプチャーシステムにより、解決できる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワーク上を流れるパケットをキャプチャーするパケットキャプチャーシステムおよびパケットキャプチャー方法に関する。
【背景技術】
【０００２】
スマートフォンユーザの急激な増大に比例して、通信ネットワーク上を流れるトラヒックも急激に増大した。オペレータは、スマートフォンユーザがどのようなアプリケーションを使い、どのようなサービスを受けているか、そのサービスを利用するに当たり満足しているか等のモバイルサービスの品質について興味がある。
【０００３】
従来のモバイルネットワークにおいて、ｉモード（登録商標）およびＥｚＷｅｂ（登録商標）に代表されるようにオペレータがサーバを立ち上げてサービスを提供していた。そのため、オペレータがユーザ動向を把握することが可能であった。
【０００４】
しかし、スマートフォンの急増は、モバイルユーザに対して、上記ｉモードやＥｚＷｅｂのようなオペレータ内に閉じたサービスではなく、一般的なＩｎｔｅｒｎｅｔ網のサーバを用いたサービスを提供し始めた。そこで、オペレータは、パケットキャプチャー装置等を用いて、サービスの品質を判断しなければならなくなった。
【０００５】
従来、パケットキャプチャー装置は、通信ネットワーク上を流れるトラヒックを全てキャプチャーし、ハードディスク等のデータベース（ＤＢ）に書き込み、書き込まれたデータを解析者が解析し、サービスにどのような影響を与えているかを判断していた。また、全てのパケットをキャプチャーすることなく、事前に取り決めたフィルタールールに基づき通信ネットワーク上を流れるパケットをフィルターしてからＤＢに書き込むｓＦｌｏｗやＮｅｔＦｌｏｗのような装置もある。これらの方法は従来の１Ｇｂｉｔ／ｓの回線容量であれば問題なく使用することができたが、上述のようにトラヒックの急増に伴いバックボーンの回線容量も１０Ｇｂｉｔ／ｓの高速の回線が必要になり、結果、全てのパケットをキャプチャーすることが困難になってきた。
【０００６】
また、最近のスマートフォンでは、１台の端末で複数のセッションを用いるアプリケーションが多数存在する。そのため、１台の端末で複数のＩＰアドレスを使用することが頻繁に生じる。さらに、アプリケーションによっては、ＩＰアドレスだけではなくアプリケーションの版数の違いにより使用するポート番号を変更することもある。よって、端末のＩＰアドレスやポート番号によってパケットをフィルターし、キャプチャーしてもオペレータが必要とするパケットをキャプチャーすることが非常に困難になってきている。
【０００７】
オペレータが要求するパケットをキャプチャーすることが困難になっているにも関わらず、オペレータはユーザの利用状況を把握したいと考えている。
特許文献１、特許文献２は、オペレータのニーズに対して、ある特定のパケットパターンを事前に決めてそのパターンにマッチしたデータを解析するシステムを開示する。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１０−０７４７４４号公報
【特許文献２】特開２０１０−０４５７０４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
従来装置でパケットを取得もしくは廃棄する場合、パケットのパターンを事前に知り得て、それをパターン化する必要があった。そのため、パケットの中身がパターン化された内容と全く同じである場合以外、当該パケットを取得または廃棄することができなかった。このようにパケットの中身をマッチイングできなかった場合、その都度新しいパターンをキャプチャー装置にインプットしなければならなく非常に煩雑であった。つまり、パケットをフィルターする際、どのようなフィルターを適用するかどうかを解析者があらかじめトラフィックを分析する必要があった。
【００１０】
従来のモバイルネットワークにおいては、サーバ自体をオペレータが管理していたため、サーバや移動体端末のＩＰアドレスやポート番号等のサービスを識別するパラメータを容易に知ることができ、そのＩＰアドレスを元にフィルターパターンを生成することは可能であった。しかしながら、一般的なインターネット網にあるサーバに対してオペレータは上記パラメータを知ることが困難である。そのような状況において、解析者がパケットをキャプチャーするためにフィルターを生成することは非常に困難である。
【課題を解決するための手段】
【００１１】
本明細書において開示される発明の概要は次のような態様である。ネットワーク上を流れるパケットを一定時間キャプチャーし、それらのパケットを蓄積するためのパケット解析ＤＢとパケット解析ＤＢに格納されたパケット内部の分析を行ない、その中からもっとも頻繁に現れたパケットの傾向を抽出するプレパケットキャプチャー機能と、その抽出されたパケットの傾向を元に当該条件に該当するパケットのみをキャプチャーすることができるパケットキャプチャー装置と有するパケットキャプチャーシステムおよび、これらの装置ならびに機能によって実行されるパケットキャプチャーの方法である。
【発明の効果】
【００１２】
モバイルネットワーク機器に対して大量の基地局が接続されるようなモバイル用サービスネットワークにおいて本発明のパケットキャプチャーシステムを用いることで、モバイルネットワーク管理者が想定していないパケット種別およびデータ量の増加したパケットの情報が収集可能となる。
【図面の簡単な説明】
【００１３】
【図１】移動体ネットワークシステムのブロック図である。
【図２】パケットキャプチャーシステムのブロック図である。
【図３】パケット解析装置の動作を説明するフローチャートである。
【図４】パケットキャプチャー装置の動作を説明するフローチャートである。
【図５】パケット解析装置で最頻度集合を検索するフローチャートである。
【図６】パケット解析装置で最頻度集合を検索するためのサンプルパケットを説明する図である。
【図７】プレキャプチャーされたパケットからフィルターパターンの作成過程（第１段階）を説明する図である。
【図８】プレキャプチャーされたパケットからフィルターパターンの作成過程（第２段階）を説明する図である。
【図９】プレキャプチャーされたパケットからフィルターパターンの作成過程（最終形）を説明する図である。
【発明を実施するための形態】
【００１４】
以下、本発明の実施の形態について、実施例を用い図面を参照しながら詳細に説明する。なお、実質同一部位には同じ参照番号を振り、説明は繰り返さない。
まず、図１を参照して、キャプチャーシステムを実現するための移動体ネットワークシステムを説明する。図１において、移動体ネットワークシステム５００は、通信端末１００と、基地局１５０と、パケットキャプチャーシステム２００と、通信機器２５０と、インターネット３００とから構成されている。パケットキャプチャーシステム２００−１は、基地局１５０−１と通信機器２５０−１との間に配置されている。パケットキャプチャーシステム２００−２は、基地局１５０−２と通信機器２５０−１との間に配置されている。パケットキャプチャーシステム２００−２は、通信機器２５０−１と通信機器２５０−２との間に配置されている。
【００１５】
通信機器２５０は、呼処理やヘッダ変換等を行なう。通信機器２５０は、Ｌ２ＳＷやＬ３ＳＷならびにルータ等の機器も含まれる。これらの機器によって無線端末１００から発信された通信が可能となる。
【００１６】
図２を参照して、パケットキャプチャーシステム２００の構成を説明する。図２において、パケットキャプチャーシステム２００は、パケット解析装置２１０と、パケットキャプチャー装置２２０と、表示装置２３０とから構成されている。パケット解析装置２１０は、プレパケットキャプチャー部２１１と、パケット解析データベース（ＤＢ）２１２とから構成されている。
【００１７】
基地局１５０、通信機器２５０から転送されたパケットは、パケット解析装置２１０によって任意の時間、任意の数のパケットをサンプリングするためにキャプチャーする。パケット解析ＤＢ２１２は、取得したパケットを収集、格納する。プレパケットキャプチャー部２１１は、サンプリングしたパケットを解析する。
図２の構成は、装置ごと機器を分けることも可能であるし、サーバのような１台の装置によっても実現できる。
【００１８】
図３を参照して、パケット解析装置２１０の処理を説明する。図３において、パケット解析装置２１０は、パケットを取り込む（Ｓ３０１）。この段階で取り込むパケットは、ネットワーク上を流れる全てのパケットではなく、ある一定時間、具体的には、３０秒間、１分間といった特定の固定時間ネットワーク上を流れるパケットを取り込む。また、取り込み周期も、２４時間毎、１週間毎のように設定する。パケット解析装置２１０は、最も頻度の高いパケットパターンを抽出する（Ｓ３０２）。パケット解析装置２１０は、抽出したパケットパターンをパケット解析データベースに格納する（Ｓ３０３）。
【００１９】
図４を参照して、パケットキャプチャー装置の処理を説明する。図４において、パケットキャプチャー装置２２０は、パケット解析ＤＢからパケットフィルターパターンを読み込む（Ｓ３０４）。パケットキャプチャー装置２２０は、パケットを取り込む（Ｓ３０５）。パケットキャプチャー装置２２０は、パケットフィルターパターンに従ってフィルターに適合したパケットをキャプチャーする（Ｓ３０６）。パケットキャプチャー装置２２０は、キャプチャーしたパケットを表示装置に表示して（Ｓ３０７）、ステップ３０５に遷移する。
【００２０】
図５を参照して、パケット解析装置２１０によってキャプチャーされたパケットからキャプチャー装置２２０でキャプチャーするためのパケットを抽出する処理を説明する。図５において、パケット解析装置２１０が取得したパケットの中には、端末識別子、送信元アドレス、宛先アドレス、ポート番号、パケット長、パケット到着間隔時間などの情報が含まれている。それらの情報を元に、パケット解析装置２１０は、どのようなパケットのパターンが最も頻繁に出現したかを抽出する。
【００２１】
まず始めにパケット解析装置２１０は、頻度の閾値Ｓを決める（Ｓ４０１）。閾値Ｓは、取得したパケットの要素でＳ回以上現れている要素を抽出するための閾値である。つまりＳの値が大きければ、パケットキャプチャー装置２２０でキャプチャーするパケットは少なくすることができる。一方、Ｓの値が小さければパケットキャプチャー装置２２０でキャプチャーするパケットは多くなる。Ｓはパケットキャプチャー装置２２０でキャプチャーするパケットをどの程度に絞り込むかを決める値である。
【００２２】
パケット解析装置２１０は、Ｋ＝１、Ｙ（０）を全集合（Ω）とする（Ｓ４０２）。パケット解析装置２１０は、Ｙ（Ｋ−１）において、Ｓ回以上出現した要素の集合をＸ（Ｋ）とする（Ｓ４０３）。パケット解析装置２１０は、Ｘ（Ｋ）が空集合（Φ）か判定する（Ｓ４０４）。ＹＥＳのとき、パケット解析装置２１０は、Ｘ（Ｋ）を最頻度集合として（Ｓ４０７）、終了する。
【００２３】
ステップ４０４でＮＯのとき、パケット解析装置２１０は、Ｙ（Ｋ）＝｛Ｘ（Ｋ）の要素からのみ構成され、要素数Ｋ＋１の集合｝を作る（Ｓ４０５）。パケット解析装置２１０は、Ｋをインクリメントして（Ｓ４０６）、ステップ４０３に戻る。
【００２４】
図６ないし図９を参照して、図５の具体的な処理を説明する。図６において、プレキャプチャー部２１１に含まれている情報として、今、｛無線端末識別ＩＤ、送信元アドレス、宛先アドレス、ポート番号、パケット長｝５００を考える。パケット解析装置２１０は、これらの情報を含むパケット５０１〜５１０をキャプチャーしたとする。この中から図５に示す方法により、もっとも頻度が多い組み合わせを特定する。閾値Ｓはここでは４とする。つまり、各カテゴリで４回以上現れたら頻度が高いと判断する。
【００２５】
図６において４回以上現れた集合Ｘ１は、
Ｘ１＝｛１０１，Ａ，Ｂ，Ｃ，１０，２００｝
である。ここで選択される要素は元々属しているカテゴリ（無線端末識別ＩＤ、送信元アドレス、宛先アドレス等）は関係なく、図６に含まれる要素全ての中から頻繁に現れる要素を抽出する。
【００２６】
このＸ１要素からのみ構成され、要素数が２である集合Ｙ１を考える。
【００２７】
Ｙ１
＝｛｛１０１，Ａ｝，｛１０１，Ｂ｝，｛１０１，Ｃ｝，｛１０１，１０｝，｛１０１，２００｝，｛Ａ，Ｂ｝，｛Ａ，Ｃ｝，｛Ａ，１０｝，｛Ａ，２００｝，｛Ｂ，Ｃ｝，｛Ｂ，１０｝，｛Ｂ，２００｝，｛Ｃ，１０｝，｛Ｃ，２００｝，｛１０，２００｝｝
である。
【００２８】
図７において、Ｙ１の要素で閾値である４回以上現れている集合をＸ２とすると、Ｘ２の候補欄に○をつけた６０１、６０３、６０４、６０５、６０６、６０７、６０８、６０９の８個が該当する。
【００２９】
そして、Ｘ２は
Ｘ２
＝｛｛１０１，Ａ｝，｛１０１，Ｂ｝，｛１０１，１０｝，｛１０１，２００｝，｛Ａ，Ｂ｝，｛Ａ，１０｝，｛Ａ，２００｝，｛Ｂ，１０｝，｛Ｂ，２００｝，｛１０，２００｝｝
となる。
【００３０】
Ｘ２の要素からのみ構成され、要素数が３の集合Ｙ２を考える。
【００３１】
Ｙ２
＝｛｛１０１，Ａ，Ｂ｝，｛１０１，Ａ，１０｝，｛１０１，Ａ，２００｝，｛１０１，Ｂ，１０｝，｛１０１，Ｂ，２００｝，｛Ａ，Ｂ，１０｝，｛Ａ，Ｂ，２００｝，｛Ａ，１０，２００｝，｛Ｂ，１０，２００｝｝
である。
【００３２】
図８において、Ｙ２の要素で閾値である４回以上現れている集合をＸ３とすると、Ｘ３の候補欄に○をつけた７０１、７０３、７０６、７０９の４個が該当する。
【００３３】
そして、Ｘ３は
Ｘ３
＝｛｛１０１，Ａ，Ｂ｝，｛１０１，Ａ，１０｝，｛１０１，Ａ，２００｝，｛１０１，Ｂ，１０｝，｛１０１，Ｂ，２００｝，｛Ａ，Ｂ，１０｝，｛Ａ，Ｂ，２００｝，｛Ａ，１０，２００｝，｛Ｂ，１０，２００｝｝
となる。この場合、Ｘ３＝Ｙ２となっているが、必ずしもＸ３＝Ｙ２になるとは限らない。
【００３４】
さらに、Ｘ３の要素のみから構成され、要素数が４の集合Ｙ３を考える。
【００３５】
Ｙ３
＝｛｛１０１，Ａ，Ｂ，１０｝，｛１０１，Ａ，Ｂ，２００｝，｛１０１，Ａ，１０，２００｝，｛１０１，Ｂ，１０，２００｝｝
である。
【００３６】
図９において、Ｙ３の要素で閾値である４回以上現れている集合をＸ４とすると８０１、８０３、８０６、８０９の４個である。
【００３７】
そしてＸ４は
Ｘ４
＝Ｙ３
＝｛｛１０１，Ａ，Ｂ，１０｝，｛１０１，Ａ，Ｂ，２００｝，｛１０１，Ａ，１０，２００｝，｛１０１，Ｂ，１０，２００｝｝
となる。
【００３８】
最後に、Ｘ４の要素のみから構成され、要素数が５の集合Ｙ４を考える。
Ｙ４＝｛｛１０１，Ａ，Ｂ，１０，２００｝｝
Ｙ４の要素で閾値の４回以上現れている集合をＸ５とすると
Ｘ５
＝Ｙ４
＝｛｛１０１，Ａ，Ｂ，１０，２００｝｝
となる。
【００３９】
そして、Ｘ５の要素のみから構成され、要素数が６の集合Ｙ５を考えるが、要素数が６となる集合は存在しない。よって、Ｘ５の要素がキャプチャーしたパケットの中でもっとも頻繁に出現したヘッダ情報の組み合わせであることが分かる。
【００４０】
ここでもし、Ｘ５を満たす集合が存在しなければ、Ｘ４に含まれる要素がキャプチャーしたパケットの中でもっとも頻繁に出現したヘッダ情報の組み合わせとなる。この場合、もっとも頻繁に出現したヘッダ情報の組み合わせが複数存在することになるが、その場合、その中で一番頻繁現れた候補が最頻度の組み合わせとなる。
【００４１】
上述の実施例では最初のカテゴリを無線端末ＩＤ、送信元アドレス、宛先アドレス、ポート番号、パケット長の５つにしたが、カテゴリの数には依存しない。
【００４２】
図３のフローに従ってキャプチャーされたパケットは、事前にオペレータが要求したカテゴリにおいて、ある一定時間キャプチャーしたパケットを元に、ネットワーク上で最も頻繁に流れたパケットの集合である。これらのパケットは、オペレータの主観によってフィルターしたパケットではなく、ネットワーク上の特性を元に抽出したパケットである。また、パケットをフィルターすることによって、トラヒック量を激減させることが可能であり、キャプチャーパケットが欠落する確率を下げることが可能となる。
【００４３】
当該結果は、最も頻繁に使われた端末種別（例えばＡ社のＸＸＸという端末）であったり、最も頻繁にユーザ利用しているサービスやアプリケーション（例えばＶｏＩＰやＳＮＳへの書き込み）であったり、最も頻繁にネットワークを利用しているユーザであったりする。
【００４４】
キャプチャーされたパケットを表示した結果、第一の例のようにある特定の端末種別が頻繁に現れていれば、その端末種別の販売実績と照らし合わせることによって、その端末を利用しているユーザにデータに何らかの影響があることを予測できる。具体的には、販売台数が極端に多くない端末がキャプチャーしたパケットによって頻出しているのであれば、端末のバグ等によって再送を繰り返す処理が行なわれていることが考えられる。
【００４５】
また、キャプチャーされたパケットを表示した結果、第二の例のようにアプリケーションの種別が明示されると、そのアプリケーションのサービス品質を向上させることも逆に規制をかけることも可能となる。具体的には、キャプチャーしたパケットの結果、ＶｏＩＰのパケットが多く流れていた場合、オペレータはそれらのパケットの遅延や揺らぎの統計データを取得し、実際のサービスの品質向上に役立てることが可能となる。また、災害時には逆にこれらのパケットを規制し、ネットワーク全体を安定運用させることも可能とある。
【００４６】
ユーザまたはユーザ所属しているグループによるパケットが多い場合は、ごく少数の個人がネットワークを占有している可能性もあり、当該ユーザを拒絶することも、料金を上げること可能である。逆に特定のグループのユーザを囲い込み、優先的に高品質のサービスを提供するプランを作ることも可能となる。
【００４７】
本実施例のパケットキャプチャーシステムでは、パケットのパターンを予め設定する必要はなく、キャプチャーしたいデータのパターンを柔軟に変更修正すること可能である。また、事前に任意にキャプチャーしたパケットのヘッダ部にある情報を元に統計的に解析しているため、客観的な解析結果が得られる為、従来のキャプチャー装置ではアプリケ−ションを特定するためにはアプリケーション側にアプリケーションを特定する識別子をつけなければならなかったが、本実施例においては、特定のアプリケーションや特定のユーザ等を固定せずに、必要なパケットをキャプチャーすることができる。
【００４８】
モバイルネットワークにおいては、非常に多くの端末が複数のセッションを張りながら、かつ移動しながら通信を行なっている。そのため、端末の移動に伴い利用エリアの品質が変動する。家庭における光ネットワーク等の固定ネットワーク通信においても多数の端末は存在するが、端末が移動しないため、当該エリアの品質が極端に変動することもなく、ネットワークの品質を管理することは比較的容易である。しかしながら、モバイルネットワークは固定ネットワーク通信と異なり、エリアの品質を把握し、管理することは非常に困難である。そこで、本実施例によってキャプチャーされたパケットを元に、時々刻々変化するモバイルネットワークの品質を管理する指標、具体的には、使用している端末や使用しているアプリケーションの遅延、レスポンスタイム、揺らぎ等の統計情報、特定ユーザの位置や平均スループットなどを把握することができる。
【００４９】
様々な収集したキャプチャー情報を元に通信端末毎のアプリケーション使用状況や使用時間帯・利用場所を把握することが可能となり、時間や場所によるアプリケーションサービス向上や利用形態による通信端末契約内容の調整に利用することが可能となる。
【００５０】
また、ネットワーク機器の輻輳状態となった場合でも、輻輳原因となるパケット種別を収集したキャプチャー情報から瞬時に特定することが可能となり早急なネットワークの復旧作業にも利用可能である。
【符号の説明】
【００５１】
１００…通信端末、１５０…基地局、２００…パケットキャプチャーシステム、２１０…パケット解析装置、２１１…プレパケットキャプチャー部、２１２…パケット解析ＤＢ、２２０…パケットキャプチャー装置、２３０…表示装置、２５０…通信機器、３００…インターネット網、５００…移動体ネットワークシステム。
【技術分野】
【０００１】
本発明は、通信ネットワーク上を流れるパケットをキャプチャーするパケットキャプチャーシステムおよびパケットキャプチャー方法に関する。
【背景技術】
【０００２】
スマートフォンユーザの急激な増大に比例して、通信ネットワーク上を流れるトラヒックも急激に増大した。オペレータは、スマートフォンユーザがどのようなアプリケーションを使い、どのようなサービスを受けているか、そのサービスを利用するに当たり満足しているか等のモバイルサービスの品質について興味がある。
【０００３】
従来のモバイルネットワークにおいて、ｉモード（登録商標）およびＥｚＷｅｂ（登録商標）に代表されるようにオペレータがサーバを立ち上げてサービスを提供していた。そのため、オペレータがユーザ動向を把握することが可能であった。
【０００４】
しかし、スマートフォンの急増は、モバイルユーザに対して、上記ｉモードやＥｚＷｅｂのようなオペレータ内に閉じたサービスではなく、一般的なＩｎｔｅｒｎｅｔ網のサーバを用いたサービスを提供し始めた。そこで、オペレータは、パケットキャプチャー装置等を用いて、サービスの品質を判断しなければならなくなった。
【０００５】
従来、パケットキャプチャー装置は、通信ネットワーク上を流れるトラヒックを全てキャプチャーし、ハードディスク等のデータベース（ＤＢ）に書き込み、書き込まれたデータを解析者が解析し、サービスにどのような影響を与えているかを判断していた。また、全てのパケットをキャプチャーすることなく、事前に取り決めたフィルタールールに基づき通信ネットワーク上を流れるパケットをフィルターしてからＤＢに書き込むｓＦｌｏｗやＮｅｔＦｌｏｗのような装置もある。これらの方法は従来の１Ｇｂｉｔ／ｓの回線容量であれば問題なく使用することができたが、上述のようにトラヒックの急増に伴いバックボーンの回線容量も１０Ｇｂｉｔ／ｓの高速の回線が必要になり、結果、全てのパケットをキャプチャーすることが困難になってきた。
【０００６】
また、最近のスマートフォンでは、１台の端末で複数のセッションを用いるアプリケーションが多数存在する。そのため、１台の端末で複数のＩＰアドレスを使用することが頻繁に生じる。さらに、アプリケーションによっては、ＩＰアドレスだけではなくアプリケーションの版数の違いにより使用するポート番号を変更することもある。よって、端末のＩＰアドレスやポート番号によってパケットをフィルターし、キャプチャーしてもオペレータが必要とするパケットをキャプチャーすることが非常に困難になってきている。
【０００７】
オペレータが要求するパケットをキャプチャーすることが困難になっているにも関わらず、オペレータはユーザの利用状況を把握したいと考えている。
特許文献１、特許文献２は、オペレータのニーズに対して、ある特定のパケットパターンを事前に決めてそのパターンにマッチしたデータを解析するシステムを開示する。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１０−０７４７４４号公報
【特許文献２】特開２０１０−０４５７０４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
従来装置でパケットを取得もしくは廃棄する場合、パケットのパターンを事前に知り得て、それをパターン化する必要があった。そのため、パケットの中身がパターン化された内容と全く同じである場合以外、当該パケットを取得または廃棄することができなかった。このようにパケットの中身をマッチイングできなかった場合、その都度新しいパターンをキャプチャー装置にインプットしなければならなく非常に煩雑であった。つまり、パケットをフィルターする際、どのようなフィルターを適用するかどうかを解析者があらかじめトラフィックを分析する必要があった。
【００１０】
従来のモバイルネットワークにおいては、サーバ自体をオペレータが管理していたため、サーバや移動体端末のＩＰアドレスやポート番号等のサービスを識別するパラメータを容易に知ることができ、そのＩＰアドレスを元にフィルターパターンを生成することは可能であった。しかしながら、一般的なインターネット網にあるサーバに対してオペレータは上記パラメータを知ることが困難である。そのような状況において、解析者がパケットをキャプチャーするためにフィルターを生成することは非常に困難である。
【課題を解決するための手段】
【００１１】
本明細書において開示される発明の概要は次のような態様である。ネットワーク上を流れるパケットを一定時間キャプチャーし、それらのパケットを蓄積するためのパケット解析ＤＢとパケット解析ＤＢに格納されたパケット内部の分析を行ない、その中からもっとも頻繁に現れたパケットの傾向を抽出するプレパケットキャプチャー機能と、その抽出されたパケットの傾向を元に当該条件に該当するパケットのみをキャプチャーすることができるパケットキャプチャー装置と有するパケットキャプチャーシステムおよび、これらの装置ならびに機能によって実行されるパケットキャプチャーの方法である。
【発明の効果】
【００１２】
モバイルネットワーク機器に対して大量の基地局が接続されるようなモバイル用サービスネットワークにおいて本発明のパケットキャプチャーシステムを用いることで、モバイルネットワーク管理者が想定していないパケット種別およびデータ量の増加したパケットの情報が収集可能となる。
【図面の簡単な説明】
【００１３】
【図１】移動体ネットワークシステムのブロック図である。
【図２】パケットキャプチャーシステムのブロック図である。
【図３】パケット解析装置の動作を説明するフローチャートである。
【図４】パケットキャプチャー装置の動作を説明するフローチャートである。
【図５】パケット解析装置で最頻度集合を検索するフローチャートである。
【図６】パケット解析装置で最頻度集合を検索するためのサンプルパケットを説明する図である。
【図７】プレキャプチャーされたパケットからフィルターパターンの作成過程（第１段階）を説明する図である。
【図８】プレキャプチャーされたパケットからフィルターパターンの作成過程（第２段階）を説明する図である。
【図９】プレキャプチャーされたパケットからフィルターパターンの作成過程（最終形）を説明する図である。
【発明を実施するための形態】
【００１４】
以下、本発明の実施の形態について、実施例を用い図面を参照しながら詳細に説明する。なお、実質同一部位には同じ参照番号を振り、説明は繰り返さない。
まず、図１を参照して、キャプチャーシステムを実現するための移動体ネットワークシステムを説明する。図１において、移動体ネットワークシステム５００は、通信端末１００と、基地局１５０と、パケットキャプチャーシステム２００と、通信機器２５０と、インターネット３００とから構成されている。パケットキャプチャーシステム２００−１は、基地局１５０−１と通信機器２５０−１との間に配置されている。パケットキャプチャーシステム２００−２は、基地局１５０−２と通信機器２５０−１との間に配置されている。パケットキャプチャーシステム２００−２は、通信機器２５０−１と通信機器２５０−２との間に配置されている。
【００１５】
通信機器２５０は、呼処理やヘッダ変換等を行なう。通信機器２５０は、Ｌ２ＳＷやＬ３ＳＷならびにルータ等の機器も含まれる。これらの機器によって無線端末１００から発信された通信が可能となる。
【００１６】
図２を参照して、パケットキャプチャーシステム２００の構成を説明する。図２において、パケットキャプチャーシステム２００は、パケット解析装置２１０と、パケットキャプチャー装置２２０と、表示装置２３０とから構成されている。パケット解析装置２１０は、プレパケットキャプチャー部２１１と、パケット解析データベース（ＤＢ）２１２とから構成されている。
【００１７】
基地局１５０、通信機器２５０から転送されたパケットは、パケット解析装置２１０によって任意の時間、任意の数のパケットをサンプリングするためにキャプチャーする。パケット解析ＤＢ２１２は、取得したパケットを収集、格納する。プレパケットキャプチャー部２１１は、サンプリングしたパケットを解析する。
図２の構成は、装置ごと機器を分けることも可能であるし、サーバのような１台の装置によっても実現できる。
【００１８】
図３を参照して、パケット解析装置２１０の処理を説明する。図３において、パケット解析装置２１０は、パケットを取り込む（Ｓ３０１）。この段階で取り込むパケットは、ネットワーク上を流れる全てのパケットではなく、ある一定時間、具体的には、３０秒間、１分間といった特定の固定時間ネットワーク上を流れるパケットを取り込む。また、取り込み周期も、２４時間毎、１週間毎のように設定する。パケット解析装置２１０は、最も頻度の高いパケットパターンを抽出する（Ｓ３０２）。パケット解析装置２１０は、抽出したパケットパターンをパケット解析データベースに格納する（Ｓ３０３）。
【００１９】
図４を参照して、パケットキャプチャー装置の処理を説明する。図４において、パケットキャプチャー装置２２０は、パケット解析ＤＢからパケットフィルターパターンを読み込む（Ｓ３０４）。パケットキャプチャー装置２２０は、パケットを取り込む（Ｓ３０５）。パケットキャプチャー装置２２０は、パケットフィルターパターンに従ってフィルターに適合したパケットをキャプチャーする（Ｓ３０６）。パケットキャプチャー装置２２０は、キャプチャーしたパケットを表示装置に表示して（Ｓ３０７）、ステップ３０５に遷移する。
【００２０】
図５を参照して、パケット解析装置２１０によってキャプチャーされたパケットからキャプチャー装置２２０でキャプチャーするためのパケットを抽出する処理を説明する。図５において、パケット解析装置２１０が取得したパケットの中には、端末識別子、送信元アドレス、宛先アドレス、ポート番号、パケット長、パケット到着間隔時間などの情報が含まれている。それらの情報を元に、パケット解析装置２１０は、どのようなパケットのパターンが最も頻繁に出現したかを抽出する。
【００２１】
まず始めにパケット解析装置２１０は、頻度の閾値Ｓを決める（Ｓ４０１）。閾値Ｓは、取得したパケットの要素でＳ回以上現れている要素を抽出するための閾値である。つまりＳの値が大きければ、パケットキャプチャー装置２２０でキャプチャーするパケットは少なくすることができる。一方、Ｓの値が小さければパケットキャプチャー装置２２０でキャプチャーするパケットは多くなる。Ｓはパケットキャプチャー装置２２０でキャプチャーするパケットをどの程度に絞り込むかを決める値である。
【００２２】
パケット解析装置２１０は、Ｋ＝１、Ｙ（０）を全集合（Ω）とする（Ｓ４０２）。パケット解析装置２１０は、Ｙ（Ｋ−１）において、Ｓ回以上出現した要素の集合をＸ（Ｋ）とする（Ｓ４０３）。パケット解析装置２１０は、Ｘ（Ｋ）が空集合（Φ）か判定する（Ｓ４０４）。ＹＥＳのとき、パケット解析装置２１０は、Ｘ（Ｋ）を最頻度集合として（Ｓ４０７）、終了する。
【００２３】
ステップ４０４でＮＯのとき、パケット解析装置２１０は、Ｙ（Ｋ）＝｛Ｘ（Ｋ）の要素からのみ構成され、要素数Ｋ＋１の集合｝を作る（Ｓ４０５）。パケット解析装置２１０は、Ｋをインクリメントして（Ｓ４０６）、ステップ４０３に戻る。
【００２４】
図６ないし図９を参照して、図５の具体的な処理を説明する。図６において、プレキャプチャー部２１１に含まれている情報として、今、｛無線端末識別ＩＤ、送信元アドレス、宛先アドレス、ポート番号、パケット長｝５００を考える。パケット解析装置２１０は、これらの情報を含むパケット５０１〜５１０をキャプチャーしたとする。この中から図５に示す方法により、もっとも頻度が多い組み合わせを特定する。閾値Ｓはここでは４とする。つまり、各カテゴリで４回以上現れたら頻度が高いと判断する。
【００２５】
図６において４回以上現れた集合Ｘ１は、
Ｘ１＝｛１０１，Ａ，Ｂ，Ｃ，１０，２００｝
である。ここで選択される要素は元々属しているカテゴリ（無線端末識別ＩＤ、送信元アドレス、宛先アドレス等）は関係なく、図６に含まれる要素全ての中から頻繁に現れる要素を抽出する。
【００２６】
このＸ１要素からのみ構成され、要素数が２である集合Ｙ１を考える。
【００２７】
Ｙ１
＝｛｛１０１，Ａ｝，｛１０１，Ｂ｝，｛１０１，Ｃ｝，｛１０１，１０｝，｛１０１，２００｝，｛Ａ，Ｂ｝，｛Ａ，Ｃ｝，｛Ａ，１０｝，｛Ａ，２００｝，｛Ｂ，Ｃ｝，｛Ｂ，１０｝，｛Ｂ，２００｝，｛Ｃ，１０｝，｛Ｃ，２００｝，｛１０，２００｝｝
である。
【００２８】
図７において、Ｙ１の要素で閾値である４回以上現れている集合をＸ２とすると、Ｘ２の候補欄に○をつけた６０１、６０３、６０４、６０５、６０６、６０７、６０８、６０９の８個が該当する。
【００２９】
そして、Ｘ２は
Ｘ２
＝｛｛１０１，Ａ｝，｛１０１，Ｂ｝，｛１０１，１０｝，｛１０１，２００｝，｛Ａ，Ｂ｝，｛Ａ，１０｝，｛Ａ，２００｝，｛Ｂ，１０｝，｛Ｂ，２００｝，｛１０，２００｝｝
となる。
【００３０】
Ｘ２の要素からのみ構成され、要素数が３の集合Ｙ２を考える。
【００３１】
Ｙ２
＝｛｛１０１，Ａ，Ｂ｝，｛１０１，Ａ，１０｝，｛１０１，Ａ，２００｝，｛１０１，Ｂ，１０｝，｛１０１，Ｂ，２００｝，｛Ａ，Ｂ，１０｝，｛Ａ，Ｂ，２００｝，｛Ａ，１０，２００｝，｛Ｂ，１０，２００｝｝
である。
【００３２】
図８において、Ｙ２の要素で閾値である４回以上現れている集合をＸ３とすると、Ｘ３の候補欄に○をつけた７０１、７０３、７０６、７０９の４個が該当する。
【００３３】
そして、Ｘ３は
Ｘ３
＝｛｛１０１，Ａ，Ｂ｝，｛１０１，Ａ，１０｝，｛１０１，Ａ，２００｝，｛１０１，Ｂ，１０｝，｛１０１，Ｂ，２００｝，｛Ａ，Ｂ，１０｝，｛Ａ，Ｂ，２００｝，｛Ａ，１０，２００｝，｛Ｂ，１０，２００｝｝
となる。この場合、Ｘ３＝Ｙ２となっているが、必ずしもＸ３＝Ｙ２になるとは限らない。
【００３４】
さらに、Ｘ３の要素のみから構成され、要素数が４の集合Ｙ３を考える。
【００３５】
Ｙ３
＝｛｛１０１，Ａ，Ｂ，１０｝，｛１０１，Ａ，Ｂ，２００｝，｛１０１，Ａ，１０，２００｝，｛１０１，Ｂ，１０，２００｝｝
である。
【００３６】
図９において、Ｙ３の要素で閾値である４回以上現れている集合をＸ４とすると８０１、８０３、８０６、８０９の４個である。
【００３７】
そしてＸ４は
Ｘ４
＝Ｙ３
＝｛｛１０１，Ａ，Ｂ，１０｝，｛１０１，Ａ，Ｂ，２００｝，｛１０１，Ａ，１０，２００｝，｛１０１，Ｂ，１０，２００｝｝
となる。
【００３８】
最後に、Ｘ４の要素のみから構成され、要素数が５の集合Ｙ４を考える。
Ｙ４＝｛｛１０１，Ａ，Ｂ，１０，２００｝｝
Ｙ４の要素で閾値の４回以上現れている集合をＸ５とすると
Ｘ５
＝Ｙ４
＝｛｛１０１，Ａ，Ｂ，１０，２００｝｝
となる。
【００３９】
そして、Ｘ５の要素のみから構成され、要素数が６の集合Ｙ５を考えるが、要素数が６となる集合は存在しない。よって、Ｘ５の要素がキャプチャーしたパケットの中でもっとも頻繁に出現したヘッダ情報の組み合わせであることが分かる。
【００４０】
ここでもし、Ｘ５を満たす集合が存在しなければ、Ｘ４に含まれる要素がキャプチャーしたパケットの中でもっとも頻繁に出現したヘッダ情報の組み合わせとなる。この場合、もっとも頻繁に出現したヘッダ情報の組み合わせが複数存在することになるが、その場合、その中で一番頻繁現れた候補が最頻度の組み合わせとなる。
【００４１】
上述の実施例では最初のカテゴリを無線端末ＩＤ、送信元アドレス、宛先アドレス、ポート番号、パケット長の５つにしたが、カテゴリの数には依存しない。
【００４２】
図３のフローに従ってキャプチャーされたパケットは、事前にオペレータが要求したカテゴリにおいて、ある一定時間キャプチャーしたパケットを元に、ネットワーク上で最も頻繁に流れたパケットの集合である。これらのパケットは、オペレータの主観によってフィルターしたパケットではなく、ネットワーク上の特性を元に抽出したパケットである。また、パケットをフィルターすることによって、トラヒック量を激減させることが可能であり、キャプチャーパケットが欠落する確率を下げることが可能となる。
【００４３】
当該結果は、最も頻繁に使われた端末種別（例えばＡ社のＸＸＸという端末）であったり、最も頻繁にユーザ利用しているサービスやアプリケーション（例えばＶｏＩＰやＳＮＳへの書き込み）であったり、最も頻繁にネットワークを利用しているユーザであったりする。
【００４４】
キャプチャーされたパケットを表示した結果、第一の例のようにある特定の端末種別が頻繁に現れていれば、その端末種別の販売実績と照らし合わせることによって、その端末を利用しているユーザにデータに何らかの影響があることを予測できる。具体的には、販売台数が極端に多くない端末がキャプチャーしたパケットによって頻出しているのであれば、端末のバグ等によって再送を繰り返す処理が行なわれていることが考えられる。
【００４５】
また、キャプチャーされたパケットを表示した結果、第二の例のようにアプリケーションの種別が明示されると、そのアプリケーションのサービス品質を向上させることも逆に規制をかけることも可能となる。具体的には、キャプチャーしたパケットの結果、ＶｏＩＰのパケットが多く流れていた場合、オペレータはそれらのパケットの遅延や揺らぎの統計データを取得し、実際のサービスの品質向上に役立てることが可能となる。また、災害時には逆にこれらのパケットを規制し、ネットワーク全体を安定運用させることも可能とある。
【００４６】
ユーザまたはユーザ所属しているグループによるパケットが多い場合は、ごく少数の個人がネットワークを占有している可能性もあり、当該ユーザを拒絶することも、料金を上げること可能である。逆に特定のグループのユーザを囲い込み、優先的に高品質のサービスを提供するプランを作ることも可能となる。
【００４７】
本実施例のパケットキャプチャーシステムでは、パケットのパターンを予め設定する必要はなく、キャプチャーしたいデータのパターンを柔軟に変更修正すること可能である。また、事前に任意にキャプチャーしたパケットのヘッダ部にある情報を元に統計的に解析しているため、客観的な解析結果が得られる為、従来のキャプチャー装置ではアプリケ−ションを特定するためにはアプリケーション側にアプリケーションを特定する識別子をつけなければならなかったが、本実施例においては、特定のアプリケーションや特定のユーザ等を固定せずに、必要なパケットをキャプチャーすることができる。
【００４８】
モバイルネットワークにおいては、非常に多くの端末が複数のセッションを張りながら、かつ移動しながら通信を行なっている。そのため、端末の移動に伴い利用エリアの品質が変動する。家庭における光ネットワーク等の固定ネットワーク通信においても多数の端末は存在するが、端末が移動しないため、当該エリアの品質が極端に変動することもなく、ネットワークの品質を管理することは比較的容易である。しかしながら、モバイルネットワークは固定ネットワーク通信と異なり、エリアの品質を把握し、管理することは非常に困難である。そこで、本実施例によってキャプチャーされたパケットを元に、時々刻々変化するモバイルネットワークの品質を管理する指標、具体的には、使用している端末や使用しているアプリケーションの遅延、レスポンスタイム、揺らぎ等の統計情報、特定ユーザの位置や平均スループットなどを把握することができる。
【００４９】
様々な収集したキャプチャー情報を元に通信端末毎のアプリケーション使用状況や使用時間帯・利用場所を把握することが可能となり、時間や場所によるアプリケーションサービス向上や利用形態による通信端末契約内容の調整に利用することが可能となる。
【００５０】
また、ネットワーク機器の輻輳状態となった場合でも、輻輳原因となるパケット種別を収集したキャプチャー情報から瞬時に特定することが可能となり早急なネットワークの復旧作業にも利用可能である。
【符号の説明】
【００５１】
１００…通信端末、１５０…基地局、２００…パケットキャプチャーシステム、２１０…パケット解析装置、２１１…プレパケットキャプチャー部、２１２…パケット解析ＤＢ、２２０…パケットキャプチャー装置、２３０…表示装置、２５０…通信機器、３００…インターネット網、５００…移動体ネットワークシステム。
【特許請求の範囲】
【請求項１】
パケット解析装置と、パケットキャプチャー装置とからなるパケットキャプチャーシステムであって、
前記パケット解析装置は、ネットワーク上を流れるパケットを一定時間キャプチャーし、当該パケットを蓄積し、当該パケットを分析することによってもっとも頻繁に現れたパケットのパターンを抽出し、
前記パケットキャプチャー装置は、当該パケットパターンを元に、パケットをキャプチャーすることを特徴とするパケットキャプチャーシステム。
【請求項２】
パケット解析装置と、パケットキャプチャー装置とからなるパケットキャプチャーシステムにおけるパケットキャプチャー方法であって、
前記パケット解析装置における、ネットワーク上を流れるパケットを一定時間キャプチャーするステップと、当該パケットを蓄積し、当該パケットを分析することによってもっとも頻繁に現れたパケットパターンを抽出するステップと、
前記パケットキャプチャー装置における、当該パケットパターンを元に、パケットをキャプチャーするステップとからなるパケットキャプチャー方法。
【請求項１】
パケット解析装置と、パケットキャプチャー装置とからなるパケットキャプチャーシステムであって、
前記パケット解析装置は、ネットワーク上を流れるパケットを一定時間キャプチャーし、当該パケットを蓄積し、当該パケットを分析することによってもっとも頻繁に現れたパケットのパターンを抽出し、
前記パケットキャプチャー装置は、当該パケットパターンを元に、パケットをキャプチャーすることを特徴とするパケットキャプチャーシステム。
【請求項２】
パケット解析装置と、パケットキャプチャー装置とからなるパケットキャプチャーシステムにおけるパケットキャプチャー方法であって、
前記パケット解析装置における、ネットワーク上を流れるパケットを一定時間キャプチャーするステップと、当該パケットを蓄積し、当該パケットを分析することによってもっとも頻繁に現れたパケットパターンを抽出するステップと、
前記パケットキャプチャー装置における、当該パケットパターンを元に、パケットをキャプチャーするステップとからなるパケットキャプチャー方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１２−２５７１６６（Ｐ２０１２−２５７１６６Ａ）
【公開日】平成２４年１２月２７日（２０１２．１２．２７）
【国際特許分類】
【出願番号】特願２０１１−１３０２３８（Ｐ２０１１−１３０２３８）
【出願日】平成２３年６月１０日（２０１１．６．１０）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２４年１２月２７日（２０１２．１２．２７）
【国際特許分類】
【出願日】平成２３年６月１０日（２０１１．６．１０）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]