За всеки нелогнат потребител, отговарящ на някво IP правиш запис в бд, който пази и последната активност.
Т.е. при всяко зареждане записваш $_SERVER['REMOTE_ADDR'] и time().
По-старите от 5 минути ги триеш и като искаш да изведеш колко гости онлайн имаш - извеждаш бройката на записите в бд.
