特許 7085429 ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-06-08

(45)【発行日】2022-06-16

(54)【発明の名称】ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラム

(51)【国際特許分類】

   H04L 43/04 20220101AFI20220609BHJP

   H04L 43/0888 20220101ALI20220609BHJP

【ＦＩ】

H04L43/04

H04L43/0888

【請求項の数】 7

(21)【出願番号】P 2018131777

(22)【出願日】2018-07-11

(65)【公開番号】P2020010261

(43)【公開日】2020-01-16

【審査請求日】2021-06-09

(73)【特許権者】

【識別番号】314005768

【氏名又は名称】ＰＨＣホールディングス株式会社

(74)【代理人】

【識別番号】110002952

【氏名又は名称】特許業務法人鷲田国際特許事務所

(72)【発明者】

【氏名】秋山 暢

(72)【発明者】

【氏名】高橋 泰浩

【審査官】佐々木 洋

(56)【参考文献】

【文献】特開２００６－２３８０４３（ＪＰ，Ａ）

【文献】特開２０１８－０９３４３２（ＪＰ，Ａ）

【文献】特開２００４－２２８８２８（ＪＰ，Ａ）

【文献】特開２０１３－２０７７４８（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４３／０４

Ｈ０４Ｌ ４３／０８８８

(57)【特許請求の範囲】

【請求項1】

制御部と記憶部とを備え、
前記制御部は、
ネットワーク中継装置におけるトラフィックの観測値を含むトラフィックログを生成し、前記記憶部に格納するトラフィックログ生成処理と、
前記トラフィックログを解析して、ネットワーク異常の検出に用いられるトラフィック解析情報を生成し、前記記憶部に格納するトラフィック解析処理と、
前記トラフィック解析情報に基づいて、ネットワーク異常の可能性を検出するネットワーク異常検出処理と、
を並列に実行し、
前記トラフィック解析処理は、第１のタイミングまでの複数の観測値を統計処理した統計観測値と、前記観測値の変動の傾向を示す変動値とを用いて、前記第１のタイミングよりも後の第２のタイミングにおける前記観測値の最大予測値を算出し、算出した最大予測値を前記トラフィック解析情報に含め、
前記ネットワーク異常検出処理は、前記第２のタイミングにおける前記観測値が、前記第２のタイミングに対応付けられている前記最大予測値よりも大きいか否かに応じて、前記ネットワーク異常の可能性を検出し、
前記統計観測値、前記変動値、および前記最大予測値は、共通の傾向を示す母集団に基づいて算出される、
ネットワーク監視装置。

【請求項2】

前記ネットワーク異常検出処理は、
前記第２のタイミングにおける前記観測値が、前記第２のタイミングに対応付けられている前記最大予測値よりも大きいことが、所定回数以上継続した場合、前記ネットワーク異常が発生した可能性があると判定する、
請求項１に記載のネットワーク監視装置。

【請求項3】

前記第１のタイミングと、前記第２のタイミングとは、日付の異なる同じ時刻である、
請求項１又は２に記載のネットワーク監視装置。

【請求項4】

前記第１のタイミングと、前記第２のタイミングとは、日付の異なる同じ曜日の同じ時刻である、
請求項１又は２に記載のネットワーク監視装置。

【請求項5】

前記ネットワーク中継装置は、インテリジェントＨＵＢであり、サンプリングベースでネットワークのトラフィックを監視するエージェントモジュールを有する、
請求項１から４の何れか１項に記載のネットワーク監視装置。

【請求項6】

ネットワーク中継装置におけるトラフィックの観測値を含むトラフィックログを生成し、
前記トラフィックログを解析して、ネットワーク異常の検出に用いられるトラフィック解析情報を生成し、
前記トラフィック解析情報に基づいて、ネットワーク異常の可能性を検出する、
ことを並列に行う、
ネットワーク監視方法であって、
前記トラフィック解析情報の生成は、第１のタイミングまでの複数の観測値を統計処理した統計観測値と、前記観測値の変動の傾向を示す変動値とを用いて、前記第１のタイミングよりも後の第２のタイミングにおける前記観測値の最大予測値を算出し、算出した最大予測値を前記トラフィック解析情報に含め、
前記ネットワーク異常の可能性の検出は、前記第２のタイミングにおける前記観測値が、前記第２のタイミングに対応付けられている前記最大予測値よりも大きいか否かに応じて、前記ネットワーク異常の可能性を検出し、
前記統計観測値、前記変動値、および前記最大予測値は、共通の傾向を示す母集団に基づいて算出される、
ネットワーク監視方法。

【請求項7】

ネットワーク中継装置におけるトラフィックの観測値を含むトラフィックログを生成する処理と、
前記トラフィックログを解析して、ネットワーク異常の検出に用いられるトラフィック解析情報を生成する処理と、
前記トラフィック解析情報に基づいて、ネットワーク異常の可能性を検出する処理と、
を並列にコンピュータに実行させる、
ネットワーク監視プログラムであって、
前記トラフィック解析情報を生成する処理は、第１のタイミングまでの複数の観測値を統計処理した統計観測値と、前記観測値の変動の傾向を示す変動値とを用いて、前記第１のタイミングよりも後の第２のタイミングにおける前記観測値の最大予測値を算出し、算出した最大予測値を前記トラフィック解析情報に含め、
前記ネットワーク異常の可能性を検出する処理は、前記第２のタイミングにおける前記観測値が、前記第２のタイミングに対応付けられている前記最大予測値よりも大きいか否かに応じて、前記ネットワーク異常の可能性を検出し、
前記統計観測値、前記変動値、および前記最大予測値は、共通の傾向を示す母集団に基づいて算出される、
ネットワーク監視プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、ネットワークの状態を監視するネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラムに関する。

【背景技術】

【0002】

従来、ネットワーク上のトラフィックを監視し、トラフィック異常を検出するネットワーク監視装置が知られている。例えば、特許文献１には、次のネットワーク監視装置が開示されている。各々の中継装置から、当該中継装置で動作するエージェントによってスイッチを通過するパケットがサンプリングされたヘッダサンプルを含むトラフィック情報を収集する。そして、収集されたトラフィック情報中のヘッダサンプルに含まれるＩＰヘッダデータ及びペイロードデータを抽出する。そして、抽出されたＩＰヘッダデータ又はペイロードを用いて、トラフィック異常を検出する。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１３－２５５１９６号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

ところで、近年のネットワーク性能の向上に伴い、伝送速度及びトラフィック量も高くなっている。そのため、ネットワーク異常の検出も、さらなる効率化が求められている。

【0005】

本開示の目的は、効率的にネットワーク異常の検出を行うネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラムを提供することにある。

【課題を解決するための手段】

【0006】

本開示の一態様に係るネットワーク監視装置は、制御部と記憶部とを備え、前記制御部は、ネットワーク中継装置におけるトラフィックの観測値を含むトラフィックログを生成し、前記記憶部に格納するトラフィックログ生成処理と、前記トラフィックログを解析して、ネットワーク異常の検出に用いられるトラフィック解析情報を生成し、前記記憶部に格納するトラフィック解析処理と、前記トラフィック解析情報に基づいて、ネットワーク異常の可能性を検出するネットワーク異常検出処理と、を並列に実行し、前記トラフィック解析処理は、第１のタイミングまでの複数の観測値を統計処理した統計観測値と、前記観測値の変動の傾向を示す変動値とを用いて、前記第１のタイミングよりも後の第２のタイミングにおける前記観測値の最大予測値を算出し、算出した最大予測値を前記トラフィック解析情報に含め、前記ネットワーク異常検出処理は、前記第２のタイミングにおける前記観測値が、前記第２のタイミングに対応付けられている前記最大予測値よりも大きいか否かに応じて、前記ネットワーク異常の可能性を検出し、前記統計観測値、前記変動値、および前記最大予測値は、共通の傾向を示す母集団に基づいて算出される。

【0007】

なお、これらの包括的または具体的な態様は、装置、方法、集積回路、コンピュータプログラム、または、記録媒体で実現されてもよく、システム、装置、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。

【発明の効果】

【0008】

本開示によれば、効率的にネットワーク異常の検出を行うことができる。

【図面の簡単な説明】

【0009】

【図1】本実施の形態に係るネットワーク監視システムの一例を示す図である。

【図2】本実施の形態に係るネットワーク監視装置の一例を示す図である。

【図3】トラフィックログの一例を示す図である。

【図4】トラフィック解析情報の一例を示す図である。

【図5】ネットワーク異常情報の一例を示す図である。

【図6】最大予測値の算出方法の一例を示す図である。

【図7】コレクタモジュールにおける処理の一例を示すフローチャートである。

【図8】ネットワーク異常検出処理の一例を示すフローチャートである。

【図9】本開示に係る各装置のハードウェア構成の一例を示す図である。

【発明を実施するための形態】

【0010】

以下、図面を適宜参照して、本発明の実施の形態について、詳細に説明する。但し、必要以上に詳細な説明は省略する場合がある。例えば、既によく知られた事項の詳細説明や実質的に同一の構成に対する重複説明を省略する場合がある。これは、以下の説明が不必要に冗長になるのを避け、当業者の理解を容易にするためである。

【0011】

なお、添付図面および以下の説明は、当業者が本開示を十分に理解するために提供されるのであって、これらにより特許請求の範囲に記載の主題を限定することは意図されていない。

【0012】

また、以下の実施の形態において、その構成要素（要素ステップなどを含む）は、特に明示した場合及び原理的に明らかに必須であると考えられる場合などを除き、必ずしも必須のものではない。

【0013】

（本実施の形態）
＜ネットワーク監視システム＞
図１は、本実施の形態に係るネットワーク監視システム１の構成例を示す。図１を参照して、本実施の形態の概要を説明する。なお、以下の説明において、ネットワークを「ＮＷ」と表記することがある。

【0014】

医療機関に備えられている複数の機器１０は、有線ＬＡＮ又は無線ＬＡＮを介して、インテリジェントＨＵＢ２０に接続されている。機器１０は、例えば、ＰＣ、複写機及びプリンタなどである。複数の機器１０は、インテリジェントＨＵＢ２０を介して、双方向にデータを送受信できる。なお、インテリジェントＨＵＢ２０は、ネットワークの中継装置の一例であり、スイッチングＨＵＢ、ネットワークスイッチ、ルータなどと読み替えられてもよい。また、医療機関は一例であり、本実施の形態は、企業、学校、役所など、様々な機関に適用可能である。

【0015】

ＮＷ監視装置１００は、有線ＬＡＮ又は無線ＬＡＮを介して、インテリジェントＨＵＢ（以下単に「ＨＵＢ」という）２０に接続されている。ＮＷ監視装置１００は、ＨＵＢ２０における通信のトラフィックを監視する。

【0016】

例えば、図１に示すように、ＨＵＢ２０ではエージェントモジュール２００が実行され、ＮＷ監視装置１００ではコレクタモジュール１１０が実行される。エージェントモジュール２００は、ＨＵＢ２０におけるトラフィックをサンプリングし、そのサンプリング結果を含むトラフィック情報を、コレクタモジュール１１０へ送信する。コレクタモジュール１１０は、エージェントモジュール２００からトラフィック情報を収集（受信）し、記憶する。なお、図１では、コレクタモジュール１１０は、１つのエージェントモジュール２００（つまり１つのＨＵＢ２０）からトラフィック情報を収集しているが、コレクタモジュール１１０は、複数のエージェントモジュール２００（つまり複数のＨＵＢ２０）のそれぞれから、トラフィック情報を収集してよい。

【0017】

トラフィック情報の収集は、ｓＦｌｏｗ（登録商標）、ＮｅｔＦｌｏｗ（登録商標）又はＩＰＦＩＸなどの技術に基づいて行われて良い。例えば、ｓＦｌｏｗを採用する場合、エージェントモジュール２００及びコレクタモジュール１１０は、それぞれ、ｓＦｌｏｗエージェント及びｓＦｌｏｗコレクタと呼ばれてもよい。

【0018】

ＮＷ監視装置１００は、コレクタモジュール１１０によって収集されたトラフィック情報に基づいて、ＮＷ異常が発生している可能性を判断する。本実施の形態では、ＮＷ異常が発生している可能性を効率的に判断できるＮＷ監視装置１００について説明する。

【0019】

＜ＮＷ監視装置＞
図２を参照して、本実施の形態に係るＮＷ監視装置１００を説明する。

【0020】

ＮＷ監視装置１００は、トラフィックログ生成処理１１１及びトラフィック解析処理１１２を含むコレクタモジュール１１０と、ＮＷ異常検出処理１２０と、記憶部１３０とを有する。

【0021】

コレクタモジュール１１０は、起動すると、トラフィックログ生成処理１１１のスレッドと、トラフィック解析処理１１２のスレッドとを生成する。すなわち、トラフィックログ生成処理１１１と、トラフィック解析処理１１２とは、並列に実行される。このように、トラフィックログ３００の生成処理と解析処理とを並列に実行することで、ＮＷ監視装置１００の処理を効率化している。

【0022】

トラフィックログ生成処理１１１は、ＨＵＢ２０のエージェントモジュール２００から、トラフィック情報を収集する。そして、トラフィックログ生成処理１１１は、収集したトラフィック情報の内容を、トラフィックログ３００として記憶部１３０に格納する。例えば、トラフィックログ生成処理１１１は、１日分のトラフィック情報の内容を、１つのトラフィックログ３００として記憶部１３０に格納する。なお、トラフィックログ３００の詳細については後述する（図３参照）。

【0023】

トラフィック解析処理１１２は、トラフィックログ３００を解析して、トラフィック解析情報３２０を生成し、記憶部１３０に格納する。なお、トラフィック解析情報３２０の詳細、及び、トラフィック解析処理１１２の詳細については後述する（図４及び図７参照）。

【0024】

ＮＷ異常検出処理１２０は、トラフィック解析情報３２０に基づいて、ＮＷ異常が発生している可能性を検出する。そして、ＮＷ異常検出処理１２０は、ＮＷ異常が発生している可能性を検出した場合、ＮＷ異常情報３４０を生成し、記憶部１３０に格納する。ＮＷ異常情報３４０は、ＮＷ障害担当者宛に電子メールで送信されてよい。或いは、ＮＷ異常情報３４０は、所定の障害管理サーバへ送信されてよい。なお、ＮＷ異常検出処理１２０の処理の詳細については後述する（図８参照）。

【0025】

＜トラフィックログ＞
図３を参照して、トラフィックログ３００を説明する。

【0026】

トラフィックログ３００には、観測日３０１、観測時刻３０２、ＩＰアドレス３０３、及び、データ３０４が含まれる。

【0027】

ＩＰアドレス３０３は、観測対象のＨＵＢ２０のＩＰアドレスである。

【0028】

データ３０４は、ＩＰアドレス３０３を有するＨＵＢ２０において観測（例えばサンプリング抽出）されたデータである。

【0029】

＜トラフィック解析情報＞
図４を参照して、トラフィック解析情報３２０を説明する。

【0030】

トラフィック解析情報３２０は、データ項目として、観測日３２１、観測時刻３２２、ＩＰアドレス３２３、観測値３２４、使用率３２５、統計観測値３２６、変動値３２７、及び最大予測値３２８を有する。

【0031】

ＩＰアドレス３２３は、図３で説明したＩＰアドレス３０３と同じである。

【0032】

観測値３２４は、ＩＰアドレス３２３を有するＨＵＢ２０において観測されたトラフィック量を示す値である。観測値３２４は、トラフィックログ３００を解析することによって、算出されてよい。

【0033】

使用率３２５は、ＩＰアドレス３０３を有するＨＵＢ２０における最大トラフィック量に対する、観測値３２４の割合を示す値である。使用率３２５の単位は、例えば「％」である。

【0034】

統計観測値３２６は、複数の観測値３２４に統計処理を施して算出される値である。例えば、統計観測値３２６は、複数の観測値３２４の平均値である。

【0035】

変動値３２７は、観測値３２４の変動の傾向を示す値である。例えば、変動値３２７が「正」の場合、観測値３２４は増加傾向にあることを示し、変動値３２７が「負」の場合、観測値３２４は減少傾向にあることを示す。

【0036】

最大予測値３２８は、観測値３２４が取り得ると予測される値（「予測値」という）のうちの最大値を示す。別言すると、ネットワークが正常な場合、観測値３２４は、最大予測値３２８よりも小さくなることが予測される。最大予測値３２８は、観測値３２４、統計観測値３２６及び変動値３２７に基づいて算出される。なお、最大予測値３２８は、必ずしも予測値のうちの最大値である必要はなく、予測値のうちの最大値よりも大きく（又は小さく）設定されてもよい。なお、最大予測値３２８の算出方法の詳細については後述する。

【0037】

例えば、図４の行３３０は、次のことを示す。ＩＰアドレス３２３が「１９２．１６８．１００．１３０」のＨＵＢ２０において、観測日３２１「２０１７年１２月４日」の観測時刻３２２「１０時００分００秒」のときの観測値３２４は「０．８Ｍｂｐｓ」であり、使用率３２５は「１０％」である。また、当該ＨＵＢ２０において、当該観測日３２１及び観測時刻３２２のときの統計観測値３２６は「１．０Ｍｂｐｓ」であり、変動値３２７は「＋１．０」であり、最大予測値３２８は「０．９Ｍｂｐｓ」である。

【0038】

なお、トラフィック解析情報３２０は、ＨＵＢ２０に流入したトラフィックの観測値と、ＨＵＢ２０から流出したトラフィックの観測値とを、別々のデータ項目として有してもよい。また、トラフィック解析情報３２０は、ＨＵＢ２０が備える各ポートの観測値及び／又は使用率を、別々のデータ項目として有してもよい。

【0039】

＜ＮＷ異常情報＞
図５を参照して、ＮＷ異常情報３４０を説明する。

【0040】

ＮＷ異常情報３４０は、データ項目として、観測日３４１、観測時刻３４２、ＩＰアドレス３４３、機器名３４４、異常ＩＤ３４５、及び異常内容３４６を有する。

【0041】

ＩＰアドレス３４３は、ＮＷ異常の可能性が検出されたＨＵＢ２０のＩＰアドレスである。

【0042】

機器名３４４は、ＩＰアドレス３４３のＨＵＢ２０の名称である。

【0043】

異常ＩＤ３４５は、検出されたＮＷ異常を識別するためのＩＤである。

【0044】

異常内容３４６は、検出されたＮＷ異常の内容を示す情報である。

【0045】

例えば、図５の行３５０は、次のことを示す。ＮＷ異常検出処理１２０が、観測日３４１「２０１７年１２月４日」の観測時刻３４２「１５時００分００秒」のときに、ＩＰアドレス３４３が「１９２．１６８．１００．１３０」、機器名３４４が「ＨＵＢ１」のＨＵＢ２０において、ＮＷ異常の可能性を検出した。その検出されたＮＷ異常の異常ＩＤは「１００１」であり、異常内容３４６は「ネットワーク使用率の超過」である。

【0046】

＜最大予測値の算出方法＞
図６を参照して、最大予測値の算出方法の詳細を説明する。なお、以下の説明は一例であり、最大予測値は、他の方法によって算出されてもよい。

【0047】

観測統計値Ｓ_ｍは、以下の式１に示すように、観測値Ｘ_ｍと、観測統計値Ｓ_ｍ－１と、変動値Ｄ_ｍ－１とに基づいて算出される。なお、ｍは、統計値を算出するための母集団における系列番号を示す０以上の整数である。
Ｓ_ｍ＝αＸ_ｍ＋（１－α）（Ｓ_ｍ－１＋Ｄ_ｍ－１） ・・・（式１）
ここで、αは、Ｘ_ｍと、（Ｓ_ｍ－１＋Ｄ_ｍ－１）との間の重みを調整するための係数である。また、ｍ＝０の場合、Ｘ_ｍ＝Ｓ_ｍとする。

【0048】

変動値Ｄ_ｍは、以下の式２に示すように、観測統計値Ｓ_ｍ－１と、観測統計値Ｓ_ｍと、変動値Ｄ_ｍ－１とに基づいて算出される。
Ｄ_ｍ＝β（Ｓ_ｍ－Ｓ_ｍ－１）＋（１－β）Ｄ_ｍ－１ ・・・（式２）
ここで、βは、（Ｓ_ｍ－Ｓ_ｍ－１）と、Ｄ_ｍ－１との間の重みを調整するための係数である。

【0049】

最大予測値Ｆ_ｍ＋１は、以下の式３に示すように、観測統計値Ｓ_ｍと、変動値Ｄ_ｍとに基づいて算出される。
Ｆ_ｍ＋１＝Ｓ_ｍ＋Ｄ_ｍ ・・・（式３）

【0050】

医療機関におけるＮＷトラフィックは、日々の同時刻において共通の傾向を示す場合が多い。例えば、日々の診療開始前の時刻である８時では、機器が一斉に起動し初期設定等を行うため、トラフィック量が大きくなる傾向がある。また、診療中の時刻である１０時では、機器が電子カルテの入力等に使用されるため、標準的なトラフィック量となる傾向がある。また、お昼の休診中の時刻である１２時３０分では、機器が未使用となるため、トラフィック量が小さくなる傾向がある。

【0051】

そこで、異なる日の同じ観測時刻ｔを１つの母集団とする。具体的には、当日の観測時刻ｔをｍ、前日の同じ観測時刻ｔをｍ－１、翌日の同じ観測時刻ｔをｍ＋１とする母集団を形成する。これにより、観測時刻ｔにおける観測統計値Ｓ_ｍ、変動値Ｄ_ｍ、及び最大予測値Ｆ_ｍは、共通の傾向を示す母集団に基づいて算出される。すなわち、最大予測値Ｆ_ｍは、観測時刻ｔの母集団の傾向によって異なり得る。よって、観測時刻ｔにおける観測値Ｘ_ｍと、同じ観測時刻ｔにおける最大予測値Ｆ_ｍとを比較することにより、ＮＷ異常の可能性を高い精度で検出できる。

【0052】

なお、医療機関におけるＮＷトラフィックが、同じ曜日の同じ観測時刻ｔにおいて共通の傾向を示す場合は、異なる週の同じ曜日の同じ観測時刻ｔを１つの母集団としてよい。具体的には、或る曜日の観測時刻ｔをｍ、前週の同じ曜日の同じ観測時刻ｔをｍ－１、翌週の同じ曜日の同じ観測時刻ｔをｍ＋１とする母集団を形成する。これにより、上記と同様、観測時刻ｔにおける観測統計値Ｓ_ｍ、変動値Ｄ_ｍ、及び最大予測値Ｆ_ｍは、共通の傾向を示す母集団に基づいて算出される。よって、観測時刻ｔにおける観測値Ｘ_ｍと、同じ観測時刻ｔにおける最大予測値Ｆ_ｍとを比較することにより、ＮＷ異常の可能性を高い精度で検出できる。

【0053】

また、医療機関におけるＮＷトラフィックが、当日の各観測時刻…、ｔ－２、ｔ－１、ｔ、…において共通の傾向を示す場合は、当日の異なる観測時刻…、ｔ－２、ｔ－１、ｔ、…を１つの母集団としてよい。具体的には、当日の観測時刻ｔをｍ、当日の１つ前の観測時刻ｔ－１をｍ－１、当日の１つ後の観測時刻ｔ＋１をｍ＋１とする母集団を形成する。これにより、上記と同様、観測時刻ｔにおける観測統計値Ｓ_ｍ、変動値Ｄ_ｍ、及び最大予測値Ｆ_ｍは、共通の傾向を示す母集団に基づいて算出される。よって、観測時刻ｔにおける観測値Ｘ_ｍと、同じ観測時刻ｔにおける最大予測値Ｆ_ｍとを比較することにより、ＮＷ異常の可能性を高い精度で検出できる。

【0054】

すなわち、共通の傾向を示す複数の観測時刻を母集団とすることにより、観測時刻ｔにおける観測値Ｘ_ｍと最大予測値Ｆ_ｍとを比較し、ＮＷ異常の可能性を高い精度で検出できる。

【0055】

＜コレクタモジュール＞
図７のフローチャートを参照して、コレクタモジュール１１０の処理を説明する。

【0056】

コレクタモジュール１１０は、起動すると、トラフィックログ生成処理１１１のスレッドと、トラフィック解析処理１１２のスレッドとを生成する。すなわち、トラフィックログ生成処理１１１と、トラフィック解析処理１１２とは、並列に実行される。

【0057】

＜＜トラフィックログ生成処理＞＞
トラフィックログ生成処理１１１は、ＨＵＢ２０のエージェントモジュール２００からトラフィック情報を受信するまで待機する（Ｓ１０１：ＮＯ）。或いは、トラフィックログ生成処理１１１は、ＨＵＢ２０のエージェントモジュール２００からトラフィック情報を取得するタイミングになるまで待機する。

【0058】

トラフィックログ生成処理１１１は、トラフィック情報を受信（又は取得）した場合（Ｓ１０１：ＹＥＳ）、そのトラフィック情報の内容を、トラフィックログ３００として記憶部１３０に格納する（Ｓ１０２）。そして、フローはＳ１０１へ戻る。

【0059】

トラフィックログ生成処理１１１の処理は、コレクタモジュール１１０が終了するまで繰り返される。以上の処理により、トラフィックログ３００が記憶部１３０に格納される。

【0060】

＜＜トラフィック解析処理＞＞
トラフィック解析処理１１２は、現在時刻が予め設定された観測時刻ｔになるまで待機する（Ｓ２０１：ＮＯ）。観測時刻ｔは、例えば９：００、９：３０、１０：００など、３０分間隔で設定されてよい。現在時刻が観測時刻ｔになった場合（Ｓ２０１：ＹＥＳ）、フローは、次のＳ２０２へ進む。

【0061】

トラフィック解析処理１１２は、トラフィックログ３００から、観測時刻３０２「ｔ」における観測値３２４及び使用率３２５を算出し、トラフィック解析情報３２０として記憶部１３０に格納する（Ｓ２０２）。

【0062】

トラフィック解析処理１１２は、例えば上記の式１及び式２に従って、観測時刻ｔにおける統計観測値Ｓ_ｍ及び変動値Ｄ_ｍを算出し、トラフィック解析情報３２０として記憶部１３０に格納する（Ｓ２０３）。

【0063】

トラフィック解析処理１１２は、例えば上記の式３に従って、観測時刻ｔに係る次回（ｍ＋１）の最大予測値Ｆ_ｍ＋１を算出し、トラフィック解析情報３２０として記憶部１３０に格納する（Ｓ２０４）。そしてフローは、Ｓ２０１へ戻る。

【0064】

例えば、観測時刻ｔをｍ、前日の同じ観測時刻ｔをｍ－１、翌日の同じ観測時刻ｔをｍ＋１とする母集団を形成した場合、トラフィック解析処理１１２は、Ｓ２０４として、トラフィック解析情報３２０における、観測日３２１が翌日で、観測時刻３２２が「ｔ」の行の最大予測値３２８に、その算出した最大予測値Ｆ_ｍ＋１を記録する。これにより、ＮＷ異常検出処理１２０は、翌日の同じ観測時刻ｔのタイミングにおいて、後述の図８のＳ３０５に示すように、算出済みの最大予測値を用いて、直ちに観測値と比較することができる。すなわち、効率的にＮＷ異常の検出を行うことができる。

【0065】

トラフィック解析処理１１２は、コレクタモジュール１１０が終了するまで繰り返される。以上の処理により、各観測時刻のトラフィック解析情報３２０が記憶部１３０に格納される。

【0066】

＜ＮＷ異常検出処理＞
図８のフローチャートを参照して、ＮＷ異常検出処理１２０を説明する。なお、ＮＷ異常検出処理１２０は、トラフィックログ生成処理１１１、及びトラフィック解析処理１１２と、並列に実行されてよい。

【0067】

ＮＷ異常検出処理１２０は、予め設定されたポーリング周期Ｔが経過するまで待機する（Ｓ３０１：ＮＯ）。ポーリング周期Ｔは、例えば３０分に設定されてよい。ポーリング周期Ｔが経過した場合（Ｓ３０１：ＹＥＳ）、ＮＷ異常検出処理１２０は、トラフィック解析情報３２０を取得する（Ｓ３０２）。

【0068】

ＮＷ異常検出処理１２０は、Ｓ３０２で取得したトラフィック解析情報３２０において、使用率が所定の閾値以上であるか否かを判定する（Ｓ３０３）。使用率が所定の閾値未満である場合（Ｓ３０３：ＮＯ）、フローはＳ３０５へ進む。

【0069】

使用率が所定の閾値以上である場合（Ｓ３０３：ＹＥＳ）、ＮＷ異常検出処理１２０は、観測時刻ｔにおいて、ＮＷの使用率が異常であることを示すＮＷ異常情報３４０を生成する（Ｓ３０４）。そして、フローはＳ３０５へ進む。

【0070】

ＮＷ異常検出処理１２０は、Ｓ３０２で取得したトラフィック解析情報３２０において、観測値が最大予測値を超えているか否かを判定する（Ｓ３０５）。

【0071】

観測値が最大予測値を超えていない場合（Ｓ３０５：ＮＯ）、ＮＷ異常検出処理１２０は、カウンタＣを０に初期化する（Ｓ３０６）。そして、フローはＳ３０１へ戻る。

【0072】

観測値が最大予測値を超えている場合（Ｓ３０５：ＹＥＳ）、ＮＷ異常検出処理１２０は、カウンタＣに１を加算する（Ｓ３０７）。

【0073】

そして、ＮＷ異常検出処理１２０は、カウンタＣが所定の閾値Ｎ以上であるか否かを判定する（Ｓ３０８）。すなわち、観測値が最大予測値を超える現象がＮ回以上続いているか否かを判定する。なお、Ｎは１以上の整数である。

【0074】

カウンタＣが閾値Ｎ未満である場合（Ｓ３０８：ＮＯ）、フローはＳ３０１へ戻る。

【0075】

カウンタＣが閾値Ｎ以上である場合（Ｓ３０８：ＹＥＳ）、ＮＷ異常検出処理１２０は、ＮＷ異常が発生している可能性を示すＮＷ異常情報３４０を生成する（Ｓ３０９）。そして、フローはＳ３０１へ戻る。

【0076】

観測値が最大予測値を超える現象がＮ回以上続いている場合に、ＮＷ異常が発生している可能性があると判定しているのは、次の理由による。例えば、ＨＵＢ２０に接続されている機器１０間で大きなファイルのやり取りが発生した場合など、一時的に観測値が最大予測値を超えることはあり得る。しかしながら、共通の傾向を示す母集団に基づいて算出した最大予測値を観測値が連続して超過する可能性は小さく、もし最大予測値を観測値が連続して超過する現象が発生した場合は、ＮＷに何らかの異常が発生している可能性が高いと考えられる。そこで、Ｎ回連続という条件を設定することにより、ＮＷ異常が誤検出される可能性を小さくし、ＮＷ異常の検出精度を高めている。

【0077】

なお、Ｎの値は、母集団の傾向に応じて設定されてよい。例えば、母集団に属する観測値Ｘ_ｍの分散値が大きいほど、Ｎの値を大きくしてよい。これにより、ＮＷ異常の検出と誤検出とのバランスを適切に調整できる。

【0078】

（本実施の形態のまとめ）
本実施の形態に係るネットワーク監視装置は、トラフィックログ３００を生成するトラフィックログ生成処理１１１と、トラフィックログ３００を解析して、トラフィック解析情報３２０を生成するトラフィック解析処理１１２と、トラフィック解析情報３２０に基づいて、ネットワーク異常の可能性を検出するネットワーク異常検出処理１２０と、を並列に実行する。

【0079】

これにより、トラフィックログ生成処理１１１、トラフィック解析処理１１２、及びＮＷ異常検出処理１２０は、それぞれ、他のブロックの処理完了を待たなくても良いため、効率的にＮＷ異常の検出を行うことができる。

【0080】

また、トラフィック解析処理は、第１のタイミング（ｍ）までの複数の観測値を用いて、当該第１のタイミング（ｍ）よりも後の第２のタイミング（ｍ＋１）における観測値の最大予測値を算出し、当該算出した最大予測値をトラフィック解析情報３２０に含める。ネットワーク異常検出処理１２０は、第２のタイミング（ｍ＋１）における観測値が、トラフィック解析情報３２０において第２のタイミング（ｍ＋１）に対応付けられている最大予測値よりも大きいか否かに応じてネットワーク異常の可能性を検出する。

【0081】

これにより、第２のタイミング（ｍ＋１）では、最大予測値を算出することなく、直ちに観測値と最大予測値とを比較できるため、効率的にＮＷ異常の検出を行うことができる。

【0082】

＜ハードウェア構成＞
以上、本開示に係る実施形態について図面を参照して詳述してきたが、上述したＮＷ監視装置１００の機能は、コンピュータプログラムにより実現され得る。

【0083】

図９は、ＮＷ監視装置１００の機能をプログラムにより実現するコンピュータのハードウェア構成を示す図である。このコンピュータ２１００は、キーボード又はマウス、タッチパッドなどの入力装置２１０１、ディスプレイ又はスピーカーなどの出力装置２１０２、ＣＰＵ（Central Processing Unit）２１０３、ＲＯＭ（Read Only Memory）２１０４、ＲＡＭ（Random Access Memory）２１０５、ハードディスク装置又はＳＳＤ（Solid State Drive）などの記憶装置２１０６、ＤＶＤ－ＲＯＭ（Digital Versatile Disk Read Only Memory）又はＵＳＢ（Universal Serial Bus）メモリなどの記録媒体から情報を読み取る読取装置２１０７、ネットワークを介して通信を行う送受信装置２１０８を備え、各部はバス２１０９により接続される。

【0084】

そして、読取装置２１０７は、上記各装置の機能を実現するためのプログラムを記録した記録媒体からそのプログラムを読み取り、記憶装置２１０６に記憶させる。あるいは、送受信装置２１０８が、ネットワークに接続されたサーバ装置と通信を行い、サーバ装置からダウンロードした上記各装置の機能を実現するためのプログラムを記憶装置２１０６に記憶させる。

【0085】

そして、ＣＰＵ２１０３が、記憶装置２１０６に記憶されたプログラムをＲＡＭ２１０５にコピーし、そのプログラムに含まれる命令をＲＡＭ２１０５から順次読み出して実行することにより、上記各装置の機能が実現される。

【0086】

例えば、図２に示す、コレクタモジュール１１０、トラフィックログ生成処理１１１、トラフィック解析処理１１２、及びＮＷ異常検出処理１２０は、ＮＷ監視装置１００が備えるＣＰＵ２１０３にて実行されるプログラムであってもよい。また、図２に示す記憶部１３０は、ＲＡＭ２１０５及び／又は記憶装置２１０６によって構成されてよい。

【0087】

上記の実施の形態の説明に用いた各機能ブロックは、典型的には集積回路であるＬＳＩとして実現される。これらは個別に１チップ化されてもよいし、一部または全てを含むように１チップ化されてもよい。ここでは、ＬＳＩとしたが、集積度の違いにより、ＩＣ、システムＬＳＩ、スーパーＬＳＩ、ウルトラＬＳＩと呼称されることもある。

【0088】

また、集積回路化の手法はＬＳＩに限るものではなく、専用回路または汎用プロセッサで実現してもよい。ＬＳＩ製造後に、プログラムすることが可能なＦＰＧＡ（Field Programmable Gate Array）、又は、ＬＳＩ内部の回路セルの接続や設定を再構成可能なリコンフィギュラブル・プロセッサーを利用してもよい。

【0089】

さらには、半導体技術の進歩または派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて機能ブロックの集積化を行ってもよい。バイオ技術の適用等が可能性としてありえる。

【産業上の利用可能性】

【0090】

本開示の一態様は、ネットワークを監視するシステム、装置、方法及びコンピュータプログラムなどに有用である。

【符号の説明】

【0091】

１ ネットワーク監視システム
１０ 機器
２０ インテリジェントＨＵＢ
１００ ネットワーク監視装置
１１０ コレクタモジュール
１１１ トラフィックログ生成処理
１１２ トラフィック解析処理
１２０ ネットワーク異常検出処理
１３０ 記憶部
２００ エージェントモジュール
３００ トラフィックログ
３２０ トラフィック解析情報
３４０ ネットワーク異常情報

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】