信息处理装置、信息处理方法和程序.pdf

微突发检测装置(100)从数据库(250)取得收集信息，该收集信息是从设备(201)收集的收集信息，设备(201)具有缓冲区(221)，并将接收到的分组(230)保存在缓冲区(221)中，所述收集信息表示设备(201)因缓冲区(221)的空闲区域不足而向分组的发送源请求停止发送分组的次数。此外，微突发检测装置(100)基于收集信息所示的分组发送停止请求次数，判定是否发生了针对设备(201)的突发业务。

权利要求书1.  一种信息处理装置，其特征在于，该信息处理装置具有：信息输入部，其输入收集信息，该收集信息是从通信装置收集到的收集信息，该通信装置具有缓冲区并将接收到的分组保存在所述缓冲区中，所述收集信息表示分组发送停止请求次数和分组丢弃数中的至少任意一个，其中，所述分组发送停止请求次数是所述通信装置因所述缓冲区的空闲区域不足而向分组的发送源请求停止发送分组的次数，所述分组丢弃数是所述通信装置因所述缓冲区的空闲区域不足而丢弃的分组的数量；以及突发业务判定部，其基于所述收集信息所示的分组发送停止请求次数和分组丢弃数中的至少任意一个，判定是否发生了针对所述通信装置的突发业务。2.  根据权利要求1所述的信息处理装置，其特征在于，在所述信息输入部输入了表示规定时间内的所述通信装置的分组发送停止请求次数的收集信息的情况下，所述突发业务判定部根据所述收集信息所示的规定时间内的分组发送停止请求次数，计算每单位时间的分组发送停止请求次数，对计算出的每单位时间的分组发送停止请求次数与规定的阈值进行比较，在每单位时间的分组发送停止请求次数超过所述阈值的情况下，判定为发生了针对所述通信装置的突发业务，在所述信息输入部输入了表示规定时间内的所述通信装置的分组丢弃数的收集信息的情况下，所述突发业务判定部根据所述收集信息所示的规定时间内的分组丢弃数，计算每单位时间的分组丢弃数，对计算出的每单位时间的分组丢弃数与规定的阈值进行比较，在每单位时间的分组丢弃数超过所述阈值的情况下，判定为发生了针对所述通信装置的突发业务。3.  根据权利要求1或2所述的信息处理装置，其特征在于，所述信息处理装置还具有警告通知部，在所述突发业务判定部判定为发生了针对所述通信装置的突发业务的情况下，该警告通知部输出警告发生了针对所述通信装置的突发业务的警告消息。4.  根据权利要求1～3中的任意一项所述的信息处理装置，其特征在于，所述信息输入部输入从包含在规定的网络中的多个通信装置分别收集的收集信息，所述突发业务判定部使用来自各通信装置的收集信息，按每一通信装置判定有无发生突发业务。5.  根据权利要求4所述的信息处理装置，其特征在于，所述信息处理装置还具有：连接关系信息存储部，其存储表示所述多个通信装置之间的连接关系的连接关系信息；以及关联装置估计部，在所述突发业务判定部判定为发生了针对任意一个通信装置的突发业务的情况下，所述关联装置估计部对所述连接关系信息进行分析，估计与该突发业务的发生相关联的通信装置。6.  根据权利要求5所述的信息处理装置，其特征在于，所述连接关系信息存储部存储相邻矩阵作为所述连接关系信息，在该相邻矩阵中，示出了所述多个通信装置之间的连接关系，在所述突发业务判定部判定为发生了针对任意一个通信装置的突发业务的情况下，所述关联装置估计部对所述相邻矩阵进行分析，估计与该突发业务的发生相关联的通信装置。7.  一种信息处理方法，其特征在于，在该信息处理方法中，计算机输入收集信息，该收集信息是从通信装置收集到的收集信息，该通信装置具有缓冲区并将接收到的分组保存在所述缓冲区中，所述收集信息表示分组发送停止请求次数和分组丢弃数中的至少任意一个，其中，所述分组发送停止请求次数是所述通信装置因所述缓冲区的空闲区域不足而向分组发送源请求停止发送分组的次数，所述分组丢弃数是所述通信装置因所述缓冲区的空闲区域不足而丢弃的分组的数量，所述计算机基于所述收集信息所示的分组发送停止请求次数和分组丢弃数中的至少任意一个，判定是否发生了针对所述通信装置的突发业务。8.  一种程序，其特征在于，该程序使计算机执行如下处理：信息输入处理，输入收集信息，该收集信息是从通信装置收集到的收集信息，该通信装置具有缓冲区并将接收到的分组保存在所述缓冲区中，所述收集信息表示分组发送停止请求次数和分组丢弃数中的至少任意一个，其中，所述分组发送停止请求次数是所述通信装置因所述缓冲区的空闲区域不足而向分组发送源请求停止发送分组的次数，所述分组丢弃数是所述通信装置因所述缓冲区的空闲区域不足而丢弃的分组 的数量；以及突发业务判定处理，基于所述收集信息所示的分组发送停止请求次数和分组丢弃数中的至少任意一个，判定是否发生了针对所述通信装置的突发业务。

说明书信息处理装置、信息处理方法和程序
技术领域
本发明涉及判定是否发生了突发业务(burst traffic)的技术。
背景技术
有时即使通过网络的业务监视取得的以秒为单位的业务量不存在异常，也会发生TCP连接失败、应答时间不稳定、影像、声音的中断等。
关于这些现象，其原因被认为是在分组集中于微小时间时产生的突发业务(以下，称作微突发(micro burst))。
如图13所示，在以秒为单位时，业务量的变化是稳定的，但在以毫秒为单位时，有时发生业务量突发性增加的微突发。
在现有的业务监视中，参照网络设备的计数器、平均流量(bit/Sec)等MIB(Management Information Base：管理信息库)，来监视平均的业务(例如专利文献1)。
此外，FLUKE networks公司的Network Time Machine以毫秒为单位统计捕捉到的分组，由此，能够检测微小时间中的微突发(例如非专利文献1)。
现有技术文献
专利文献
专利文献1：日本特开2005-286684号公报
[非专利文献]
非专利文献1：Network Time Machine http：//jp.flukenetworks.com/enterprise-network/network-monitoring/Network-Time-Machine
发明内容
发明要解决的问题
由于分组具有随机性，因此，分组的到达间隔不均等，分组的到达间隔越短，则发生微突发的概率越高。
因此，在使用现有的以秒为单位的平均值的业务监视中，存在不能捕捉分组以密集的间隔到达的情况这样的问题。
此外，在以小于秒的时间间隔来进行捕捉数据的统计的方法中，存在需要事先设置多个用于捕捉分组的探测器的问题。
本发明以解决这样的问题为主要目的，其主要目的在于，在不使用用于捕捉分组的探测器的情况下，检测微小时间中的突发业务。
用于解决问题的手段
本发明的信息处理装置的特征在于，具有：信息输入部，其输入收集信息，该收集信息是从通信装置收集到的收集信息，该通信装置具有缓冲区并将接收到的分组保存在所述缓冲区中，所述收集信息表示分组发送停止请求次数和分组丢弃数中的至少任意一个，其中，所述分组发送停止请求次数是所述通信装置因所述缓冲区的空闲区域不足而向分组的发送源请求停止发送分组的次数，所述分组丢弃数是所述通信装置因所述缓冲区的空闲区域不足而丢弃的分组的数量；以及突发业务判定部，其基于所述收集信息所示的分组发送停止请求次数和分组丢弃数中的至少任意一个，判定是否发生了针对所述通信装置的突发业务。
发明效果
在本发明中，输入收集信息，该收集信息表示通信装置因缓冲区的空闲区域不足而向分组的发送源请求停止发送分组的次数和通信装置因缓冲区的空闲区域不足而丢弃的分组的数量中的至少任意一个，基于收集信息所示的分组发送停止请求次数和分组丢弃数中的至少任意一个，判定是否发生了针对通信装置的突发业务。
因此，能够在不使用用于捕捉分组的探测器的情况下检测出微小时间中的突发业务。
附图说明
图1是示出实施方式1的设备组和微突发检测装置的图。
图2是示出实施方式1的微突发检测装置的结构例的图。
图3是示出实施方式1的微突发检测装置的动作例子的流程图。
图4是示出实施方式2的设备组和微突发检测装置的图。
图5是示出实施方式2的微突发检测装置的动作例的流程图。
图6是示出实施方式3的设备之间的连接例的图。
图7是示出实施方式3的微突发检测装置的结构例的图。
图8是示出实施方式3的相邻矩阵的例子的图。
图9是示出实施方式3的发生设备矩阵的例子的图。
图10是示出实施方式4的发生设备矩阵的例子的图。
图11是示出实施方式4的发生路径估计矩阵的例子的图。
图12是示出实施方式1～4的微突发检测装置的硬件结构例的图。
图13是对微突发进行说明的图。
具体实施方式
实施方式1.
在本实施方式和以后的实施方式中，对利用SNMP(Simple Network Management Protocol：简单网络管理协议)等现有的网络监视来检测微突发的结构进行说明。
图1示出了本实施方式的微突发检测装置100和作为微突发检测装置100进行微突发(突发业务)的检测对象的设备组。
在图1中，设备200、设备201和设备202分别是例如在网络系统中使用的交换机或路由器等设备。
设备200、设备201和设备202分别相当于通信装置的例子。
此外，在图1中，仅图示了设备200、设备201和设备202这3台设备，但设备的台数不限于3台。
网线210是连接设备200与设备201的网线，例如为LAN(Local Area Network：局域网)网线。
网线211是连接设备201与设备202的网线，例如为LAN网线。
缓冲区220是保存通过网线210从设备200接收到的分组230的存储区域。
缓冲区220中保存的分组230被发送到设备202。
缓冲区221是保存通过网线211从设备202接收到的分组230的存储区域。
缓冲区221中保存的分组230被发送到设备200。
在图1中，仅图示了设备201的缓冲区220和缓冲区221，但在设备200和设备202中，也设置有与缓冲区220和缓冲区221相当的缓冲区。
PAUSE命令240是在缓冲区220或缓冲区221的空闲区域不足时，从设备201向分组的发送源(设备200或设备202)发送的发送停止请求。
在图1中，仅图示了因缓冲区221的空闲区域不足而从设备201向设备202发送的PAUSE命令240，但在缓冲区220的空闲区域不足时，也从设备201向设备200发送PAUSE命令240。
此外，在设备200和设备202中，在缓冲区的空闲区域不足时，也向分组的发送源发送PAUSE命令240。
数据库250是记录发送PAUSE命令240的次数的MIB等数据库。
数据库250从各设备收集表示PAUSE命令240的发送次数的信息，并保存收集到的收集信息。
在图1中，示出了将来自设备201的PAUSE命令240的发送次数记录到数据库250中的情况，同样，来自设备200的PAUSE命令240的发送次数和来自设备202的PAUSE命令240的发送次数也被记录在数据库250中。
微突发检测装置100从数据库250输入关于PAUSE命令240的发送次数的收集信息，对收集信息所示的PAUSE命令240的发送次数进行分析，判定是否在对各设备的业务中发生了微突发。
微突发检测装置100相当于信息处理装置的例子。
图2示出了本实施方式的微突发检测装置100的结构例。
在图2中，数据取得部101通过SNMP等，从数据库250输入PAUSE命令240的发送次数的收集信息。
数据取得部101相当于信息输入部的例子。
微突发检测部102基于PAUSE命令240的发送次数、即从各设备向分组发送源请求停止发送分组的的次数，来检测针对各设备的发生了微突发。
更具体而言，微突发检测部102根据收集信息所示的规定时间内的PAUSE命令240的发送次数(分组发送停止请求次数)，计算每单位时间的PAUSE命令240的发送次数，对计算出的每单位时间的PAUSE命令240的发送次数与规定的阈值进行比较，在每单位时间的PAUSE命令240的发送次数超过阈值的情况下，判定为发生了对该设备的微突发(突发业务)。
微突发检测部102相当于突发业务判定部的例子。
在由微突发检测部102检测出发生了微突发的情况下，警告通知部103向外部输出警告发生了微突发的警告消息。
接下来，参照图3的流程图，对本实施方式的动作进行说明。
从设备200发送到设备201的分组被暂且保存在设备201的缓冲区220中。
缓冲区220中保存的分组以FIFO(First In First Out：先入先出)方式，逐渐通过网线211发送给设备202。
同样，从设备202发送到设备201的分组被暂且保存在设备201的缓冲区221中，缓冲区221中保存的分组以FIFO方式逐次通过网线210被发送到设备200。
例如，在设备202发送了分组时，如果设备201的缓冲区221的空闲容量变得紧张，则设备201向设备202发送PAUSE命令240。
该PAUSE命令240的发送次数被记录在数据库250中。
微突发检测装置100的数据取得部101定期地取得示出PAUSE命令240的发送次数的数据库250的收集信息(S301、S302)。
该取得是通过SNMP的GET等进行的。
接下来，微突发检测部102根据在S302中取得的收集信息，计算每单位时间的PAUSE命令240的发出次数(S303)。
更具体而言，微突发检测部102将本次取得的PAUSE命令240的发出次数的值与在上一周期中取得的PAUSE命令240的发出次数的值之差除以经过时间，由此求出每单位时间的PAUSE命令发出次数。
经过时间(S301的数据取得定时的周期)例如考虑10秒、30秒、1分钟、5分钟等。
关于单位时间，考虑1秒、1毫秒等。
接下来，微突发检测部102对在S303中计算出的每单位时间的PAUSE命令240的发出次数与预先设定的阈值进行比较(S304)。
进而，当在S303中计算出的每单位时间的PAUSE命令240的发出次数为阈值以下的情况下，返回到S301，进行下一周期的收集信息的数据取得。
另一方面，在超过阈值的情况下，微突发检测部102判断为在对该设备的业务中发生了微突发(S306)。
因此，微突发检测部102向警告通知部103通知发生了微突发。
警告通知部103生成警告发生了微突发的警告消息，并将生成的警告消息输出到位于微突发检测装置100外部的PC(Personal Computer：个人计算机)等设备(S307)。
如上所述，在本实施方式中，取得因分组数过多而发出PAUSE命令的次数，并进行评价。
因此，能够检测出仅靠通过的分组数的平均性评价而不能检测出的、作为突发性分组数过多的微突发。
此外，在本实施方式中，从数据库取得表示PAUSE命令的发出次数的收集信息，对取得的收集信息所示的PAUSE命令的发出次数进行评价，来检测微突发的发生。
因此，能够利用SNMP等现有的网络监视来检测微突发，不需要使用用于捕捉分组的探测器。
以上，在本实施方式中，对如下的微突发检测装置进行了说明：通过SNMP来收集构成网络的各设备的队列控制的PAUSE命令的发出次数，根据PAUSE命令的发出次数的时间差分，来检测微突发的发生。
实施方式2.
在以上的实施方式1中，对PAUSE命令的发出次数进行评价，而在本实施方式中，示出了在不进行基于PAUSE命令的流量控制的情况下对微突发进行检测的结构。
图4是本实施方式的系统结构。
在本实施方式中，在缓冲区没有空闲区域的情况下，各设备将不能保存到缓冲区的分组如分组231那样进行丢弃。
数据库251按每一设备记录这样的分组丢弃数。
进而，微突发检测装置100从数据库251输入表示每一设备的分组丢弃数的收集信息，对收集信息所示的分组丢弃数进行分析，判定是否在对各设备的业务中发生了微突发。
此外，本实施方式的微突发检测装置100也具有图2所示的内部结构。
接下来，参照图5的流程图，对本实施方式的动作进行说明。
在从设备202向设备201发送了分组时，如果设备201的缓冲区221中没有空闲，则将设备202发送的分组231丢弃。
此时，将发生丢弃的情况作为丢弃数记录到数据库251中。
微突发检测装置100的数据取得部101定期地取得表示分组丢弃数的数据库250 的收集信息(S501、S502)。
该取得是通过SNMP的GET等进行的。
接下来，微突发检测部102根据在S502中取得的收集信息，计算每单位时间的分组丢弃数(S503)。
更具体而言，微突发检测部102将本次取得的分组丢弃数的值与在前一周期中取得的分组丢弃数的值之差除以经过时间，由此求出每单位时间的分组丢弃数。
关于经过时间(S501的数据取得定时的周期)，例如考虑10秒、30秒、1分钟、5分钟等。
单位时间考虑1秒、1毫秒等。
接下来，微突发检测部102对在S503中计算出的每单位时间的分组丢弃数与预先设定的阈值进行比较(S504)。
进而，在S503中计算出的每单位时间的分组丢弃数为阈值以下的情况下，返回到S501，进行下一周期的收集信息的数据取得。
另一方面，在超过阈值的情况下，微突发检测部102判断为在对该设备的业务中发生了微突发(S506)。
因此，微突发检测部102向警告通知部103通知发生了微突发。
警告通知部103生成警告发生了微突发的警告消息，并将生成的警告消息输出到位于微突发检测装置100外部的PC等设备(S507)。
如上所述，在本实施方式中，对分组的丢弃数进行评价来进行判定，因此，即使在不进行流量控制的设备，也能够检测出发生了微突发。
以上，在本实施方式中，对如下的微突发检测装置进行了说明：通过SNMP收集构成网络的各设备的分组丢失次数，根据分组丢失次数的时间差分，检测发生了微突发的情况。
实施方式3.
在本实施方式中，对如下结构进行说明：在存在多个设备的情况下，估计发生了微突发的路径。
图6示出了本实施方式的系统结构。
在图6中，网络系统300是作为监视对象的网络系统，由设备a、设备b、设备c、设备d、设备e、设备f、设备g、设备h、设备i、设备j构成。
在图6中，设备a和设备b分别与设备c、设备d、设备e和设备f连接。
此外，设备c和设备d分别与设备a、设备b、设备g和设备h连接。
此外，设备e和设备f分别与设备a、设备b、设备i和设备j连接。
图7示出了本实施方式的微突发检测装置100的结构例。
与图2的结构相比，在图7的结构中，追加了相邻矩阵存储部104、发生设备矩阵维护部105和发生路径判定部106。
相邻矩阵存储部104、发生设备矩阵维护部105和发生路径判定部106以外的要素与在实施方式1中说明的相同，因此，省略说明。
相邻矩阵存储部104存储相邻矩阵。
相邻矩阵是示出网络系统300的多个设备之间的连接关系的矩阵。
具体而言，相邻矩阵存储部104针对图6的网络系统300的结构，存储图8所示的相邻矩阵500。
在相邻矩阵500中，在相连接的两个设备之间设定“1”，在不连接的两个设备之间设定“0”。
此外，相邻矩阵存储部104相当于连接关系信息存储部的例子。
发生设备矩阵维护部105在发生了微突发时，分析相邻矩阵500，生成图9的发生设备矩阵501。
在发生设备矩阵501中，在被估计为与发生了微突发相关联的设备之间设定“1”。
在图9的例子中，设备b(301)、设备c(302)、设备h(303)是被估计为与发生了微突发相关联的设备。
发生路径判定部106对发生设备矩阵501进行分析，判定微突发的发生路径。
此外，发生设备矩阵维护部105和发生路径判定部106相当于关联装置估计部的例子。
接下来，对本实施方式的动作进行说明。
由于来自设备h(303)的分组过多，因此，来自设备h(303)的分组所经由的设备c(302)、设备b(301)的负载变高而发生微突发。
此时，设备c(302)向设备h(303)发出PAUSE命令，设备b(301)向设备c(302)发出PAUSE命令，或者，在设备c(302)和设备b(301)中，发生了分组丢弃。
在微突发检测装置100中，与实施方式1和实施方式2同样地，数据取得部101取得PAUSE命令的发出次数或分组丢弃数。
进而，微突发检测部102判定有无发生微突发，在判定为发生了微突发的情况下，警告通知部103向发生设备矩阵维护部105通知发生了微突发。
发生设备矩阵维护部105对相邻矩阵500进行分析，检测发出PAUSE命令或进行了分组丢弃的设备和与该设备连接的设备，生成发生设备矩阵501。
在设备b(301)和设备c(302)的路径中发生了微突发，此外，在设备c(302)和设备h(303)的路径中发生了微突发。
发生路径判定部106扫描发生设备矩阵501，由此取得设备b-设备c、设备c-设备h的路径的状态，由此，能够估计出在设备b-设备c-设备h的路径中发生了微突发。
进而，发生路径判定部106将表示估计出的路径的信息输出到外部的PC等。
以上，在本实施方式中，对如下的微突发检测装置进行了说明：对PAUSE命令检测结果或分组丢弃的检测结果与结构信息进行核对，来确定微突发的发生设备，在从多个设备检测到微突发的情况下，确定发生了微突发的路径。
实施方式4.
在实施方式3中，能够根据微突发的发生路径确定PAUSE命令的发出目标及丢弃分组的发送源，而在本实施方式中，对在不能确定微突发的发生路径的情况下，估计发生了微突发的路径的方法进行说明。
图10的发生设备矩阵601是本实施方式的发生设备矩阵维护部105生成的矩阵。
图11的发生路径估计矩阵602是本实施方式的发生路径判定部106生成的矩阵，是关于被估计为与微突发相关联的设备的矩阵。
此外，在本实施方式中，微突发检测装置100的结构也与图7所示的结构相同。
接下来，对本实施方式的动作进行说明。
在本实施方式中，发生设备矩阵维护部105能够确定发送了PAUSE命令的设备或发生了分组丢弃的设备，但不能确定微突发的发生路径。
为此，发生设备矩阵维护部105生成关于发送了PAUSE命令的设备或丢弃了分组的设备的矩阵、即发生设备矩阵601。
在本实施方式中，与实施方式3同样地，设备b(301)和设备c(302)进行PAUSE命令的发出或分组的丢弃。
因此，在图10的例子中，关于设备b(301)和设备c(302)的行全部为“1”。
接下来，发生路径判定部106取发生设备矩阵601与相邻矩阵500的逻辑和。
通过逻辑和得到的结果为发生路径估计矩阵602。
发生路径判定部106按照发生路径估计矩阵602，提取设备b-设备c、设备b-设备d、设备b-设备e、设备b-设备f、设备c-设备a、设备c-设备b、设备c-设备g、设备c-设备h，来作为有可能发生微突发的路径。
由此，即使在不能以各设备为单位确定微突发的发生路径的情况下，也能够提取与微突发的发生相关的设备。
以上，在本实施方式中，对如下微突发检测装置进行了说明：对PAUSE命令检测结果或分组丢弃的检测结果与结构信息进行核对，来确定微突发的发生设备，在从多个设备检测出微突发的情况下，估计发生了微突发的路径。
最后，参照图12，对实施方式1～4所示的微突发检测装置100的硬件结构例进行说明。
微突发检测装置100是计算机，能够通过程序实现微突发检测装置100的各要素。
作为微突发检测装置100的硬件结构，在总线上，连接有运算装置901、外部存储装置902、主存储装置903、通信装置904和输入/输出装置905。
运算装置901是执行程序的CPU(Central Processing Unit：中央处理器)。
外部存储装置902例如为ROM(Read Only Memory：只读存储器)、闪速存储器或硬盘装置。
相邻矩阵存储部104例如由外部存储装置902实现。
主存储装置903是RAM(Random Access Memory：随机存取存储器)。
此外，数据取得部101使用通信装置904，从数据库250或从数据库251取得收集信息。
输入/输出装置905例如为鼠标、键盘、显示器装置等。
程序通常存储在外部存储装置902中，在加载到主存储装置903中的状态下，依次被读入到运算装置901中并执行。
程序是实现作为图1所示的“～部”(相邻矩阵存储部104除外，以下也相同)说明的功能的程序。
此外，外部存储装置902还存储有操作系统(OS)，将OS的至少一部分加载到 主存储装置903中，运算装置901执行OS，并执行实现图1所示的“～部”的功能的程序。
此外，在实施方式1～4的说明中，表示作为“～的判断”、“～的判定”、“～的取得”、“～的检测”、“～的提取”、“～的检测”、“～的比较”、“～的设定”、“～的登记”、“～的选择”、“～的生成”、“～的计算”、“～的输入”、“～的输出”等而说明的处理结果的信息、数据、信号值及变量值作为文件存储在主存储装置903中。
此外，加密密钥/解密密钥、随机值及参数也可以作为文件存储在主存储装置903中。
此外，图12的结构只是示出微突发检测装置100的硬件结构的一例，微突发检测装置100的硬件结构不限于图12所述的结构，也可以是其它结构。
此外，通过实施方式1～4所示的步骤，能够实现本发明的信息处理方法。
标号说明
100微突发检测装置、101数据取得部、102微突发检测部、103警告通知部、104相邻矩阵存储部、105发生设备矩阵维护部、106发生路径判定部、200设备、201设备、202设备、210网线、211网线、220缓冲区、221缓冲区、230分组、231分组、240PAUSE命令、250数据库、251数据库、300网络系统、500相邻矩阵、501发生设备矩阵、601发生设备矩阵、602发生路径估计矩阵。