JP4089719B2 - 異常検出システム，異常管理装置，異常管理方法，プローブおよびそのプログラム - Google Patents

Description

本発明は，ネットワークの異常を管理する異常検出システム，異常管理装置，異常管理方法，プローブおよびそのプログラムに関する。

インターネット等のネットワークにおける情報の流通が頻繁に行われるようになった今日において，かかるネットワークのトラブルや切断は回避すべき重要な事項である。このようなネットワークのトラブルは，ネットワーク自身やそれに接続された電子機器間の不具合によっても生じ得るが，ワーム（Ｗｏｒｍ）等の人為的行為によって起こる場合もある。

このようなネットワークの異常を検出するため，各ネットワーク機器で取得した，自己の状態を外部に知らせるために公開する情報であるＭＩＢ（Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｂａｓｅ）を，上記ネットワーク機器を管理する管理装置に集め，ＭＩＢのそれぞれの平均値や最大値・最小値を用いて特性値を算出し，その差分が大きい場合に管理者に通知する技術が開示されている（例えば，特許文献１）。

また，ネットワークの任意の地点におけるトラフィックのフローを解析し，どのアプリケーションを，誰が，どの程度の頻度で利用しているか等を監視し，ネットワークまたはサイトに生じた問題を警告する技術も開示されている（例えば，特許文献２）。

特開２００２−１７１２５９号公報 特表２００３−５２４３１７号公報

しかし，上記ＭＩＢによる異常検出においては，ＭＩＢにより取得されたデータが全て管理装置に集められ，それぞれの値にフォーカスを当てて平均値を算出し，この平均値を用いた曖昧な分析が行われている。例えば，インターネットのトラフィックに関しては，通常のサンプリング方法を用いた場合であっても，常時同情報量のデータが処理されるのは希なので，誤検出が多くなり，実際の利用には課題が残る。

また，ネットワークのトラフィックを監視する上記の方法においては，トラフィック中に含まれるパケットをフローレベルで解析した後，アプリケーションを特定したり，利用ユーザとの対応付けをしたりするため，データを含むパケットのペイロード部の解析が必要となり，計算機の負荷が非常に高くなるという問題が生じる。また，ペイロード部の解析手法を実装したプログラムのバグを突く不正なパケットにより，異常検出に関する処理が誤動作する恐れがある。

本発明は，従来の異常検出が有する上記問題点に鑑みてなされたものであり，本発明の目的は，ネットワークにおける異常の発生規模を的確に把握し，その原因の早期の検出によって異常に対する迅速な対応が可能な，新規かつ改良された異常検出システム，異常管理装置，異常管理方法，プローブおよびそのプログラムを提供することである。

本発明は，ネットワークの任意の位置に配された複数のプローブと，該プローブにネットワークを介して接続された異常管理装置と，を含んでなる異常検出システムに関するものであり：上記プローブは，監視対象であるネットワークのトラフィックをモニタリングし，該トラフィックの異常度を算出する異常度算出部と；算出された上記異常度を上記異常管理装置に送信する異常度送信部と；を備え，上記異常管理装置は，上記複数のプローブで算出された異常度を受信する異常度受信部と；上記複数のプローブの異常度の平均値および平均値に対する偏差に基づいて，ネットワークにおける異常の規模を判断する異常解析部と；上記異常解析部で得られた結果を出力する結果出力部と；を備えることを特徴とする，異常検出システムに関するものである。

上記異常検出システムは，ネットワークに分散して配置され，トラフィックをモニタリングするプローブからの異常度に応じて，異常の発生規模を的確に把握できる異常検出システムである。かかる異常検出システムでは，ネットワークの局地的な異常と全体的な異常とを区別して，例えば，全体的な異常に対する対策を講じるなど，ネットワークの保全を目的としている。

また，上記異常検出システムは，各プローブにおける異常度そのものに加え，他のプローブの異常度に対する偏差，即ち，異常度の平均に対するバラツキを考慮することを特徴としている。

上記異常検出システムは，複数の装置の集合体で表されるが，各構成要素，機能モジュールがどの装置に属するかを限定しないとしても良く，また，それ自体が単体で存在するとしても良い。

また本発明は，ネットワークの異常を管理する異常管理装置にネットワークを介して接続され，ネットワークの任意の位置に配されるプローブにも関するものであり、：監視対象であるネットワークのトラフィックをモニタリングし，該トラフィックの所定のパラメータの値を検出するパラメータ検出部と；上記パラメータを利用して異常度を算出する異常度算出部と；算出された上記異常度およびパラメータの値を上記異常管理装置に送信する異常度送信部と；を備えることを特徴とする，プローブに関するものである。

ネットワークに分散されたプローブの上記の構成により，ネットワークのトラフィックに関する異常度および各パラメータのパラメータ値（パラメータ異常値）を検出することが可能となる。

上記課題を解決するために，本発明のある観点によれば，ネットワークの任意の位置に配された複数のプローブにネットワークを介して接続された異常管理装置であって：上記複数のプローブで算出された異常度を受信する異常度受信部と；上記複数のプローブの異常度の平均値および平均値に対する偏差に基づいて，ネットワークにおける異常の規模を判断する異常解析部と；上記異常解析部で得られた結果を出力する結果出力部と；を備えることを特徴とする，異常管理装置が提供される。

通常，プローブに監視されるネットワークの情報量は一定ではなく，かかる情報量に応じてトラフィックも変化する。従って，各プローブにおけるトラフィックから計算された異常度に，固定された評価基準を設けるのは困難である。本発明は，（１）複数のプローブにおける異常度の平均値と偏差によってネットワーク全体の異常の度合い（規模）を判断し，（２）１または２以上のどのパラメータが異常を示し，その異常の影響を受けているプローブがどの程度あるかを判断している。

上記異常度受信部に受信された異常度を記憶する異常度記憶部をさらに備えるとしても良い。かかる構成により，複数のプローブからそれぞれランダムなタイミングで受信される異常度を一旦保持し，異常解析部の所望するタイミングで異常を判断することができる。

上記異常度受信部は，上記プローブで算出された上記異常度と共に，上記プローブにおける複数のパラメータの値も受信しており，ネットワークに異常が発生したことを検知したとき，上記パラメータ毎のパラメータ値を，上記プローブを跨いで抜出して生成されたパラメータ毎の正規分布の任意の区間に，１または２以上の任意のパラメータ（パラメータ群）のパラメータ値が含まれるプローブの数をカウントし，（カウントされたプローブ数）／（全プローブ数）が所定の閾値以上のとき，上記パラメータ群に基づいた同じ原因による異常であると判断する原因解析部をさらに備えるとしても良い。

複数のプローブでは，異常度と複数のパラメータの値が検出されている。かかる構成では，プローブの任意のパラメータもしくは任意の組合せによるパラメータが，他のプローブのパラメータと比較して，パラメータ毎の任意の区間（信頼区間）に含まれているかどうかを計算する。そしてネットワークに異常が発生したと検知されたとき，上記のパラメータ群が正規分布の任意の区間に含まれているプローブが多いと，上記パラメータ群を原因とする異常であると判断できる。

上記異常度受信部は，上記異常度と共に，上記プローブにおける複数のパラメータの値も受信し，上記ネットワークに異常が発生したことを検知したとき，上記パラメータ毎のパラメータ値を，上記プローブを跨いで抜出して生成されたパラメータ毎の正規分布の任意の区間に，該パラメータに対応するパラメータ値が含まれる割合をプローブ毎に算出して，（該割合が所定の閾値以上であるプローブの数）／（全プローブ数）が所定の閾値以上のとき，同じ原因による異常であると判断する原因解析部をさらに備えるとしても良い。

ここでは，プローブの何割のパラメータが，他のプローブのパラメータと比較して，パラメータ毎の任意の区間（信頼区間）に含まれているかを計算する。そしてネットワークに異常を検知したとき，全パラメータのうち何割が正規分布の信頼区間に含まれているかによって，同じ原因による異常であるか相違する原因に依るものかを判断できる。

推測される攻撃パターンを記憶した攻撃パターン記憶部と；上記異常解析部で解析された，異常プローブ，異常パラメータ，および異常パラメータの値から導き出される攻撃パターンおよびその可能性を，上記攻撃パターン記憶部から抽出する攻撃パターン抽出部と；をさらに備えるとしても良い。

対策パターンを記憶した対策パターン記憶部と；上記攻撃パターン抽出部において抽出された攻撃パターンに対する対策パターンを，上記対策パターン記憶部から抽出する対策パターン抽出部と；をさらに備えるとしても良い。

上記課題を解決するために，本発明のある観点によれば，ネットワークの任意の位置に配された複数のプローブにネットワークを介して接続されたコンピュータ上で動作し，上記異常管理装置として機能するプログラムが提供される。

また，ネットワークの任意の位置に配された複数のプローブにネットワークを介して接続された異常管理装置において異常を管理する異常管理方法も提供される。

かかる異常管理装置は，プローブと一体に形成されるとしても良い。このとき異常管理装置は，他のプローブからの異常度の受信と自己のプローブの異常度の検出を行う。

以上説明したように本発明によれば，ネットワークにおける異常の発生規模を的確に把握することができ，その原因の早期の検出によって異常に対する迅速な対応が可能となる。また，その異常検出処理を容易にすることにより，処理負荷，処理能力，コストを軽減することができる。

以下に添付図面を参照しながら，本発明の好適な実施の形態について詳細に説明する。なお，本明細書及び図面において，実質的に同一の機能構成を有する構成要素については，同一の符号を付することにより重複説明を省略する。

（第１の実施形態：異常検出システム）
図１は，異常検出システムの概略的な構成を示したブロック図である。かかる異常検出システムは，ネットワーク１００の任意の位置に配された複数のプローブ１１０と，該プローブ１１０にネットワーク１００を介して接続された異常管理装置１２０とを含んで構成される。

上記ネットワーク１００は，インターネットやＬＡＮ等の通信網からなり，プローブ１１０と異常管理装置１２０との間の通信の経路にもなり得る。

上記プローブ１１０は，ネットワーク１００に接続され，該ネットワーク１００を流れるパケットを監視可能なネットワーク装置の総称であり，ルータ，ハブ，スイッチ等のネットワーク１００の分岐ポイントに配置することができる。また，プローブ１１０は，かかる場合に限られず，スイッチのミラーポートなどを用いて，パーソナルコンピュータで監視する等，様々な電子機器で実施することが可能である。プローブ１１０は，自己が配置された地点のネットワーク１００のトラフィックの異常度を算出する。また，その異常度の算出にも利用される各パラメータの値も検出できる。ここで，トラフィックとは，ネットワーク１００上を移動する音声や文書，画像などのデジタルデータや，ネットワーク１００上を移動する上記データの情報量のことを示す。

上記異常管理装置１２０は，ネットワーク１００を通じて受信した各プローブ１１０の異常度とパラメータから，各プローブ１１０が異常であるかどうか，および，複数のプローブ１１０で形成されるネットワーク１００が異常であるかどうかを判断する。また，ネットワーク１００全体が異常であると判断された場合，その原因がプローブ毎に相違するのか同じなのかをさらに判断する。かかる異常管理装置１２０は，サーバ，パーソナルコンピュータ，ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ），携帯電話，携帯型音声プレーヤ，家庭ゲーム機，情報家電で構成されるとしても良い。

このように，本実施形態による異常管理システムは，ネットワークに分散して配置され，トラフィックをモニタリングするプローブからの異常度に応じて，異常の発生規模を的確に把握できる。かかる異常検出システムでは，ネットワークの局地的な異常や全体的な異常を検知して，その異常に対する対策を講じるなど，ネットワークの保全を目的としている。

以下に，異常管理システムの構成要素であるプローブ１１０と異常管理装置１２０を詳述する。

（第２の実施形態：プローブ１１０）
図２は，プローブ１１０の概略的な構成を示したブロック図である。かかるプローブ１１０は，プローブ制御部２１０と，パラメータ検出部２１２と，異常度算出部２１４と，異常度送信部２１６とを含んで構成される。

上記プローブ制御部２１０は，中央処理装置（ＣＰＵ）を含む半導体集積回路によりプローブ１１０全体を管理および制御する。

上記パラメータ検出部２１２は，監視対象であるネットワーク１００のトラフィックをモニタリングし，該トラフィックの所定のパラメータの値を検出する。

上記異常度算出部２１４は，パラメータ検出部２１２で検出されたパラメータを利用して異常度を算出する。かかる異常度の算出は，パラメータ検出部２１２で検出されたパラメータの値の和をとったり，かかるパラメータの値に重み付けしたものの和をとったり等，既存の様々な方法を取り入れることができる。

上記異常度送信部２１６は，異常度算出部２１４で算出された異常度，もしくは，パラメータ検出部２１２で検出されるパラメータの値を異常管理装置１２０に送信する。

ネットワーク１００に分散されたプローブ１１０の上記の構成により，後述する異常管理装置１２０は，ネットワーク１００のトラフィックに関する異常度および各パラメータのパラメータ値（パラメータ異常値）を取得することが可能となる。

また，コンピュータを上記プローブとして機能させるプログラムやそのプログラムを記憶した記憶媒体も提供される。

（第３の実施形態：異常管理装置１２０）
図３は，異常管理装置１２０の概略的な構成を示したブロック図である。かかる異常管理装置１２０は，管理制御部３１０と，異常度受信部３１２と，異常度記憶部３１４，異常解析部３１６と，結果出力部３１８とを含んで構成される。

上記管理制御部３１０は，中央処理装置（ＣＰＵ）を含む半導体集積回路により異常管理装置１２０全体を管理および制御する。

上記異常度受信部３１２は，複数のプローブ１１０で算出された異常度を受信する。また，異常度と共に，複数のプローブ１１０で検出された複数のパラメータの値も受信できる。かかる異常度またはパラメータ値は，正確に言うと，異常度やパラメータ値の数値が記載されたデータもしくはファイルである。

また，かかる異常度の受信は，プローブ１１０と異常管理装置１２０のいずれかの装置が主体となって行われる。即ち，プローブ１１０から能動的に異常度を送信し，異常管理装置１２０において割り込み処理する場合と，異常管理装置１２０から定期的に異常度を取得する場合が考えられる。

異常度記憶部３１４は，異常度受信部３１２が受信した異常度やパラメータ値を記憶する。例えば，図３に示すように，プローブ１１０毎に異常度を記したデータを蓄積する。ここではプローブ１からｎまでのデータ３２０が記憶されている。かかる構成により，複数のプローブ１１０からそれぞれランダムなタイミングで受信される異常度を一旦保持し，後述する異常解析部３１６の所望するタイミングで異常判断ができる。本実施形態では，プローブの情報として異常度のみ利用するため，図３において，パラメータ値の記載を省略している。

異常解析部３１６は，複数のプローブ１００の異常度の平均値，異常度記憶部３１４に記憶されている全プローブの最新の異常度を抽出し，その平均値と，平均値に対する偏差（バラツキ）に基づいて，ネットワークにおける異常の規模を判断する。異常解析部３１６は，ネットワーク全体が異常であるか，もしくは局所的な異常であるかを判断することができる。例えば，異常解析部３１６は，異常度の平均値によってネットワーク全体の異常を判断する。このときの判断基準は，単に平均値と所定の閾値とを比較して行われるとしても良い。また，上記の異常に対して異常を修復する何らかの対応が必要であるかどうかも判断することができる。

また，判断基準は，複数のプローブ１１０それぞれにおける異常度を集めて生成される正規分布の任意の区間，例えば９５％区間に含まれるかどうかによって行われるとしても良い。

上記では，例えば，最新の異常度を抽出しているが，かかる場合に限られず，ある程度の時間範囲内において取得された異常度であれば，過去の異常度や，過去の異常度を含める最新の異常度によって異常判断するとしても良い。また，異常解析部３１６は，定期的に異常度記憶部３１４に問い合わせ，判断すべき異常度が揃ったときに解析を始めるとしても良いし，異常度記憶部３１４が異常度の集まり具合に応じて，異常解析部３１６に割り込みを発生させるとしても良い。

上記結果出力部３１８は，ディスプレイ等の表示部，プリンタ，電子メール，ブザーやＬＥＤ等のアラート（警告，警報）で表され，このように異常解析部３１６で得られた異常判断の結果を出力する。

以下，上記の構成による異常判断を詳細に説明する。先ず，異常度受信部３１２に受信されたプローブ１１０の異常度は，異常度記憶部３１４に格納される。

図４は，各プローブ１１０の異常度の履歴をまとめたデータを示した説明図である。かかる説明図における縦の項目には各プローブ１１０が記載され（プローブ１〜プローブｎ），横の項目には，異常度を取得した所定日時が記載されている。

例えば，プローブ１に関するＡ月Ｂ日ｘａ：ｙａ：ｚｃに取得した異常度のサンプル値は，３５．１５６２であり，Ａ月Ｂ日ｘａ：ｙａ：ｚｄに取得した異常度のサンプル値は，３８．４１２５である。他のプローブ１１０に関しても同様に考えることができる。図４では，図面右方向に向かって時系列にデータが並べられる。

異常解析部３１６は，このような複数のプローブ１１０（プローブ１〜プローブｎ）それぞれの最新の異常度の平均値，図４においては，Ａ月Ｂ日ｘａ：ｙａ：ｚｄにおける各プローブ１〜ｎの異常度である３８．４１２５，２０．４８６２，…，３０．１２１５の平均値２９．６７３４を計算する。

かかる平均値から，ネットワーク全体が異常であるかどうか判断することができる。また，異常度の平均値が高かったとしても，すぐにネットワーク全体の異常であると判断できない。これは，特定のプローブのみが局所的に異常である場合，そのプローブの異常度によって平均値が大きくなるからである。従って，ネットワーク全体が異常であると判断するために平均値からの偏差も考慮する必要がある。

図５は，上記のような異常の発生規模の判断基準を説明するための説明図である。ここではプローブ毎の異常度の偏差とプローブ全体の異常度の平均値が参照され，各対象と所定の閾値とが比較される。

ここで，ネットワーク全体が異常であるかどうかを判断するための所定の閾値を２５．００００とした場合，上記異常度の平均値は，２９．６７３４であるため図５における異常度の平均値は「異常」となる。また，各々のプローブの異常度を参照して異常度の偏差を計算すると，あまり偏差が大きくない「正常」の結果が導かれる。従って，図５に照らし合わせると「ネットワーク全体が異常」という結果が得られる。

上記の構成により，異常度のバラツキ，即ち，異常度の偏差によって各プローブの異常値のバラツキを判断し，異常度の平均値からネットワーク全体の異常の大きさを判断することが可能となり，ネットワークにおける異常の発生規模を的確に把握することができる。さらには，このような原因の早期の検出によって，異常に対する迅速な対応が可能となる。

また，コンピュータを上記異常管理装置として機能させるプログラムやそのプログラムを記憶した記憶媒体も提供される。

（第４の実施形態：異常管理装置）
図６は，異常管理装置１２０の他の実施形態における概略的な構成を示したブロック図である。かかる異常管理装置１２０は，管理制御部３１０と，異常度受信部３１２と，異常度記憶部３１４，異常解析部３１６と，結果出力部３１８と，原因解析部３５０とを含んで構成される。

第３の実施形態における構成要素として既に述べた管理制御部３１０と，異常度受信部３１２と，異常度記憶部３１４，異常解析部３１６と，結果出力部３１８とは実質的に機能が同一なので重複説明を省略し，ここでは，新たな機能を有する原因解析部３５０を主に説明する。

まず，異常度受信部３１２は，プローブ１１０で算出された異常度と共に，異常検出に関する複数のパラメータの値も受信し，異常度記憶部３１４は，プローブ１１０毎に異常度と複数のパラメータの値を保持する。

上記異常解析部３１６により各プローブ１１０の異常の大きさと，ネットワーク１００全体の異常の大きさが判断される。ここで，ネットワーク全体が異常であることが検出された場合，その異常の原因を解析するため原因解析部３５０が動作する。

上記原因解析部３５０は，異常度記憶部３１４に記憶されている複数のプローブ１１０それぞれにおける任意のパラメータの値を集め，その集めたパラメータ値毎に正規分布を生成する。こうして，パラメータ毎の分散を求めることができる。続いて，生成されたパラメータ毎の正規分布の任意の区間に，１または２以上の任意のパラメータ（パラメータ群）のパラメータ値が含まれるプローブの数をカウントし，（カウントされたプローブ数）／（全プローブ数）が所定の閾値以上のとき，上記１または２以上の任意のパラメータ群に基づく同じ原因による異常であると判断する。ここで，パラメータ群はプローブ内の全パラメータとすることもできる。

上述したように，複数のプローブでは，異常度と複数のパラメータの値が検出されている。かかる構成では，プローブ１１０の任意のパラメータもしくは任意の組合せによるパラメータが，他のプローブのパラメータと比較して，パラメータ毎の信頼区間に含まれているかどうかを計算する。ここでは，プローブ全体における任意のパラメータ値とそのパラメータにおける信頼区間（正規分布の任意の区間）との合致度を求めている。そしてネットワークに異常が発生したと検知したとき，任意のパラメータ群が正規分布の任意の区間に含まれているプローブが多いと，上記任意のパラメータ群を原因とした異常であると判断できる。

このようにして，プローブ全体が大きな異常値を示す原因となっていると考えられるいくつかのパラメータ（パラメータ群）を挙げ，そのパラメータ群を中心に各プローブ１１０のそれぞれのパラメータ値がパラメータ毎の信頼区間に含まれるかどうかを確認し，どれだけのプローブ１１０で，上記パラメータ群の組合せが同様に観測されているかにより，該当するパラメータ群を原因とする異常であると判断できる。こうして該異常の波及割合も判断できる。

以下，上記の構成による異常判断を詳細に説明する。先ず，異常度受信部３１２に受信されたプローブ１１０の異常度は，異常度記憶部３１４に格納される。そして，異常解析部３１６により，プローブ１１０全体に関する異常の規模が推定される。

かかる異常解析部３１６の判断で，ネットワーク全体が異常であると判断された場合，原因解析部３５０によって，異常の原因が何であるのか，どのパラメータに偏って異常が生じているのか，例えば，同ワームを原因とした異常ではないのか，が判断される。

図７は，各プローブ１１０の異常度およびパラメータ値の履歴をまとめたデータを示した説明図である。かかる説明図における縦の項目には各プローブ１１０が記載され（プローブ１〜プローブｎ），横の項目には，異常度（ここでは単にトラフィックを参照している。）とパラメータ１〜ｍが記載され，過去の同データが時間軸方向に重ねられて表現されている。

例えば，プローブ１に関しては，異常度が１５．４６５５，パラメータ１が１．４６５５，パラメータ２が０．４６５１となる。他のプローブ１１０に関しても同様に考えることができる。

異常解析部３１６は，このような複数のプローブ１１０（プローブ１〜プローブｎ）それぞれの最新の異常度の平均値，図７においては，異常度１５．４６５５，５．０４６５２，…，１０．４５６６の平均値１０．３２２９を計算する。

そして，プローブ１〜ｎ各々の，平均値１０．３２２９からの偏差を算出する。例えば，プローブ１の偏差は，１５．４６５５−１０．３２２９＝５．１４２６となる。ここで，全プローブ１１０の偏差の閾値を３．００００，平均値の閾値を１５．００００とすると，偏差は「異常」，平均値は「正常」と判断され，図５を参照して，局地的な異常が発生していることが導出される。図７に示される範囲で，かかる異常を検証すると，プローブ１の異常度は他のプローブより突出して大きい。プローブ１の各パラメータは，例えば，パラメータ１は，プローブｎとほぼ等しいが，パラメータ２に関しては，プローブ２や３のほぼ２倍の値を示している。この場合，プローブ１においてパラメータ２に関連した異常が発生していると示唆される。

図８は，図７と相違する状況における，各プローブ１１０の異常度およびパラメータ値の履歴をまとめたデータを示した説明図である。

例えば，プローブ１に関しては，異常度が２０４，１３４１，パラメータ１が２６．３４１２，パラメータ２が１．５１２３となる。他のプローブ１１０に関しても同様に考えることができる。

異常解析部３１６は，このような複数のプローブ１１０（プローブ１〜プローブｎ）それぞれの最新の異常度の平均値，図８においては，異常度２０４．１３４１，１９０．５１３９，…，２２２．４１４５，の平均値２０５．６８７５を計算する。

そして，プローブ１〜ｎ各々の，平均値２０５．６８７５からの偏差を算出する。例えば，プローブ１の偏差は，２０４．１３４１−２０５．６８７５＝−１．５５３４となる。ここで，全プローブ１１０の偏差の閾値を３０．００００，平均値の閾値を１５０．００００とすると，偏差は「正常」，平均値は「異常」と判断され，図５を参照して，ネットワーク全体で異常が発生していることが導出される。図８に示される範囲で，かかる異常を検証すると，全プローブにおいて異常度が高くなっている。ここで，プローブ毎に詳細に見てみると，パラメータ２のパラメータ値は全体的に低いが，パラメータ１に関しては，数値こそばらけていないものの，全体的に大きな値となっている。この場合，ネットワーク全体が異常を示し，さらにパラメータ１がその原因であると示唆される。

上記のようにネットワーク全体が異常であると判断された場合，異常管理装置１２０は，その原因を調査する。その準備として，原因解析部３５０は，異常度記憶部３１４に記憶されている複数のプローブ１１０それぞれにおける任意のパラメータの値を集め，その集めたパラメータ値毎に正規分布を生成する。例えば，任意のパラメータとしてパラメータ１を挙げた場合，そのパラメータ１に関するパラメータ値２６．３４１２，２４．１２４１，…，３０．４１２４の集合から分散を計算し，正規分布を求める。

続いて，生成されたパラメータ毎の正規分布の任意の区間に，該パラメータに対応する１つのプローブ１１０内の１または２以上の任意のパラメータのパラメータ値が含まれるかどうか判断する。例えば，任意のパラメータ，ここでは，パラメータ１のみに着目すると，原因解析部３５０は，プローブ１のパラメータ値２６．３４１２が，このパラメータに関して既に生成されている正規分布の任意の区間，例えば９５％に含まれているかどうかを判断する。そして，パラメータ１のパラメータ値が，そのパラメータの正規分布の任意の区間（信頼区間）に含まれているとき，そのプローブの数をカウントする。対象とするパラメータは，１または２以上の組合せによるパラメータでも良いし，全パラメータとすることもできる。

図９は，このような正規分布の任意の区間を説明するための模式図である。ここでは，パラメータ１の母集団が無限のサンプル値を含むとした場合の理想的な分散が表されている。この標準的な正規分布では，パラメータ１の平均値２６．９５９２は０として，標準偏差は１，全面積は１として見なすことができる。ここで，上記任意の区間９５％とは，平均値から左右対称となる領域の面積が０．９５になる区間を言い，図９では，偏差を変換した値が±１．９６内である範囲４００を言う。

例えば，図９において正規分布に変換した場合，「０．８」を指すパラメータ値４０２は９５％に含まれるとなり，「２．２」を示すパラメータ値４０４は含まれないとなる。

最後に，カウントされたプローブ数，例えば，１０を全プローブ数であるｎで除算して，所定の閾値と比較する。このとき，閾値が８０％で，ｎが１１であった場合，１０／１１＞０．８であることから，ネットワークは，そのパラメータ群による同じ原因による異常が生じていると判断できる。また，上記では，プローブの任意のパラメータ群を対象としたが，任意のパラメータや全パラメータによる異常原因を判断することも可能である。

（他の実施形態）
上述した原因解析部３５０は，平均値に対して近い値か遠い値かの２種に分けることのみを目的としていた。以下，判断要素をさらに細分化した他の実施形態を説明する。

他の実施形態における原因解析部３５０は，ネットワーク１００に異常が発生したことを検知したとき，パラメータ毎のパラメータ値を，プローブ１１０を跨いで抜出して正規分布を生成し，その後，生成されたパラメータ毎の正規分布の任意の区間に，該パラメータに対応するパラメータ値が含まれる割合をプローブ毎に算出する。そして，（該割合が所定の閾値以上であるプローブの数）／（全プローブ数）が所定の閾値以上のとき，同じ原因による異常であると判断する。

例えば，１つのプローブ１１０の各パラメータについて，先に生成されたパラメータ毎の正規分布と比較し，その正規分布の任意の区間に含まれるパラメータの数をカウントして，全パラメータ数で割る。かかる割合が大きいほど他のプローブと，多数のパラメータに関して異常の原因が等しい可能性が高くなる。従って，上記割合が所定の閾値以上であるプローブの数が所定数以上あれば，異常原因が等しいと判断できる。

上記各パラメータの比較を，プローブ全体が異常と判断したパラメータのみで行うことによって原因の切り分けができる。

以下，上記の構成による異常判断を詳細に説明する。上記異常解析部３１６において，ネットワーク全体が異常であると判断された場合，原因解析部３５０によって，異常の原因が何であるのか，どのパラメータに偏って異常が生じているのか，例えば，同ワームを原因とした異常ではないのか，が判断される。

まず，上述した原因解析部３５０同様に，図７のデータを参照して，パラメータ毎の正規分布を求める。その後，例えばプローブ１に着目して，プローブ１に属する全てのパラメータ値を抽出する。

図１０は，上記プローブ１の全パラメータ値をグラフ化した説明図である。図１０においてパラメータ数ｍは７である。このとき，パラメータ１の値４１０は１．４６５５，パラメータ２の値４１２は０．４６５１とする。このようなパラメータ値に上記で求めた正規分布の９５％範囲を重ねる。

図１１は，図１０のパラメータ値に各パラメータの正規分布９５％範囲を重畳した説明図である。このような９５％の範囲は，図１１上，両方向矢印で表される。例えば，プローブ１の場合，パラメータ１に関するパラメータ値４１０およびパラメータ２に関するパラメータ値４１２は，各々のパラメータに関する９５％範囲４１６に含まれている。同様に他のパラメータに関しても９５％の信頼区間に含まれており，プローブ１は，全てのパラメータが信頼区間中にあることとなる。

かかるパラメータ値が任意の区間に含まれるパラメータの全パラメータに対する割合（ここでは一致率という。）を計算する。例えば，任意のプローブにおいて信頼区間に含まれるパラメータの数が３，全パラメータ数が７となると，一致率は３／７＝４３％となる。このような一致率をプローブ１〜ｎ全てについて計算し，その一致率の分布をテーブルで表す。

また，上記図１０および図１１は，上述した，パラメータ毎の正規分布の任意の区間に，該パラメータに対応する１つのプローブ１１０内の全てのパラメータ値が含まれるかどうかを判断する場合にも適用される。かかる判断では，全てのパラメータが任意の区間に含まれる，即ち，一致率１００％のプローブのみがカウントされる点が特徴である。

図１２は，全てのプローブの一致率をテーブルで表した説明図である。ここでは，プローブ全てに対して上記のように一致率が計算され，その一致率に基づいて各プローブの割合を求めている。例えば，上記任意のプローブの一致率は４３％であり，図１２においては４０−４９％の領域４３０に対応する。図１２を参照すると，かかる４０−４９％の範囲に属するプローブが全プローブの３％であることが理解できる。

例えば，プローブの全数を１００，パラメータ数を１０とすると，ネットワークに異常が起こった際，プローブ全体のパラメータ値と各プローブ１１０を比較して，１０のパラメータ全てが信頼区間に収まるプローブ１１０は５０個であり，同様に９のパラメータが信頼区間に収まる，即ち，１のパラメータのみが信頼区間に収まらなかったプローブ１１０は５つであることが分かる。

次に，このようなテーブルを参照し，一致率が所定の閾値，例えば図１２においては８０％以上（図１２では太線４３２で表している。）であるプローブの数を全プローブ数で除算すると，６０％のプローブ割合であることが分かる。ネットワーク全体が異常であると判断され，上記のように６０％以上のプローブ１１０に被害が出ている場合をネットワーク全体の被害であるとすると，図１２から，６０％のプローブ１１０に被害を与えるパラメータはプローブ１１０中の８０％以上の一致が見られる点となる。従って，１０のパラメータのうち，８のパラメータが原因となり，ネットワーク全体（６０％）に被害を与えていると判断できる。

また，他の高度なクラスタリング手法を用いて，クラスタリングを行うことも可能である。かかる高度なクラスタリングによると，例えば，「Ａ原因による異常がｘ％」，「Ｂ原因による異常がｙ％」，「Ｃ原因による異常がｚ％」といったような出力が得られる。

図１３は，図１２と相違する状況における，全てのプローブの一致率をテーブルで表した説明図である。図１３は，一致率１００％と一致率３０−３９％のプローブ割合に関して図１２と相違する。

ここでは，１０のパラメータのうち３のパラメータのみで異常が確認されているとする。このとき，図１３を参照すると，１０のパラメータのうち，３のパラメータのみが信頼区間に合致する確率が非常に高くなっており，３つのパラメータがプローブ全体の信頼区間と一致するプローブの割合，即ち図１３における太線４３４以上の積算値は７９％になる。よって，この３つのパラメータが異常値を示したために，７９％のプローブが影響を受けていると判断できる。

そして，原因となるパラメータ数が決まれば，プローブ１１０をサンプリングしてパラメータ値を診ることで，原因を推測できる。また，パラメータの組合せに関する一致率を用いることにより，異常発生の原因となるパラメータの組合せを検出することも可能である。ここで，パラメータの組合せを全て考慮すると，パラメータの数に応じて膨大な組合せが考えられるので，一般的に考えられる組合せのみ用いるとしても良い。また，パラメータ毎に一致率を求め，一致率の高いパラメータを列挙する方法も考えられる。

上述したように，各プローブ１１０の一致率を参照することにより，個々のパラメータに関して詳細に原因追及することなく，異常発生の原因がおおよそ等しいかどうか，また，どのぐらいのパラメータを原因として以上が発生しているかを判断することができる。かかる簡略化の構成により，負荷やコストの軽減が図れる。

このように，ネットワーク上のプローブ１１０が，全く相違する原因で異常が起こっているのか，同一の原因で異常が起こっているのかを把握することによって，その異常に対する，なすべき適切な対応方法を選択することができる。

（第５の実施形態：異常管理装置）
図１４は，異常管理装置１２０の他の実施形態における概略的な構成を示したブロック図である。かかる異常管理装置１２０は，管理制御部３１０と，異常度受信部３１２と，異常度記憶部３１４，異常解析部３１６と，結果出力部３１８と，原因解析部３５０と，攻撃パターン記憶部４５２と，攻撃パターン抽出部４５４と，対策パターン記憶部４５６と，対策パターン抽出部４５８とを含んで構成される。

第４の実施形態における構成要素として既に述べた管理制御部３１０と，異常度受信部３１２と，異常度記憶部３１４，異常解析部３１６と，結果出力部３１８と，原因解析部３５０とは実質的に機能が同一なので重複説明を省略し，ここでは，新たな機能を有する攻撃パターン記憶部４５２と，攻撃パターン抽出部４５４と，対策パターン記憶部４５６と，対策パターン抽出部４５８を主に説明する。

第４の実施形態で説明したように，異常管理装置１２０は，ネットワークの異常規模を判断し，さらにその原因を抽出する。第５の実施形態ではさらにその異常に対して対策が講じられていることで第４の実施形態と相違する。ここで説明される攻撃パターン抽出部４５４，対策パターン抽出部４５８は，異常解析部３１６が異常を検出した場合にのみ動作するとして，負荷を軽減することも可能である。

上記攻撃パターン記憶部４５２は，推測される攻撃パターンを記憶し，上記攻撃パターン抽出部４５４は，異常解析部３１６で解析された，異常プローブ，異常パラメータ，および異常パラメータの値等から導き出される攻撃パターンおよびその可能性を，攻撃パターン記憶部４５２から抽出する。

上記対策パターン記憶部４５６は，このような攻撃パターンに対する対策パターンを記憶し，上記対策パターン抽出部４５８は，攻撃パターン抽出部４５４において抽出された攻撃パターンに対する対策パターンを，対策パターン記憶部４５６から抽出する。

上記攻撃パターンとして，例えば，ＴＣＰ１３９番ポートというパラメータのパラメータ値が大きくなり異常管理装置１２０が異常を検知し，さらに，ＩＣＭＰのホストエラーまたはサービスエラーなどのパラメータ値が大きくなり異常管理装置１２０が異常を検知した場合，ＴＣＰ１３９ポートを対象にしてスキャンをかけ，同ポートで提供されるプログラムの脆弱性を用いて増殖するワームプログラムが急増していると推測できる。このときの上記対策パターンとしてはＴＣＰ１３９番ポートを閉じる等が考えられる。このような攻撃パターンや対策パターンは既存のデータを利用でき，また，事後的に発生する攻撃等の解析により，さらに蓄積され得る。

かかる攻撃パターン抽出部４５４や対策パターン抽出部４５８によって，オペレータは，検出された異常に対する的確な対応をとることができる。また，単に異常のあるパラメータを出力する場合と比較して，インターネットプロトコルに関する詳しい知識を有していない場合においても，適切な指示が出力されるので，オペレータは，簡単なネットワーク機器の設定変更等の対応が可能となる。

（第６の実施形態：異常管理装置の具体的回路）
図１５は，第３，４，５の実施形態による異常管理装置１２０の概略的な構成を示した回路ブロック図である。ここでは，上述した異常管理装置１２０をさらに具体的な回路で表している。

上記異常管理装置１２０は，通信ドライバ４６０と，ＣＰＵ４６２と，ＲＯＭ４６４と，ＲＡＭ４６６と，ＨＤＤ４６８と，表示部４７０と，入力部４７２とを含んで構成される。

上記通信ドライバ４６０は，ネットワーク１００を通じて入力されるプローブ１１０からの異常度やパラメータ値を受信する。

上記ＣＰＵ４６２は，信号処理を行う半導体集積回路であって，異常管理装置１２０全体を管理および制御する。上記ＲＯＭ４６４は，ＣＰＵ４６２に読み込まれた異常管理装置１２０を制御するプログラムが予め記憶されている。上記ＲＡＭ４６６は，ＣＰＵ４６２が異常管理装置１２０として機能するための所定データを一時記憶したり，変数を格納したりする場所として利用される。上記ＨＤＤ４６８は，ＲＯＭ４６４同様に異常管理装置１２０を制御するプログラムや他のアプリケーションが記憶されている。

上記表示部４７０は，モノクロもしくはカラーのディスプレイで表され，結果出力部３１８として，異常判断の結果を表示する。上記入力部４７２は，キーボード，テンキー等のキー入力部（図示せず）で形成され，表示部４７０の表示機能を支援する。

（第７の実施形態：異常管理方法）
次に，ネットワーク１００の任意の位置に配された複数のプローブ１１０と，プローブ１１０にネットワーク１００を介して接続された異常管理装置１２０とによって，異常を管理する異常管理方法を説明する。

図１６は，プローブ１１０における異常検出方法の流れを示したフローチャートである。先ず，プローブ１１０は，監視対象であるネットワークのトラフィックをモニタリングし，該トラフィックの所定のパラメータの値を検出する（Ｓ５１０），そして，かかるパラメータを利用し，例えば，パラメータ値の和をとるなどして異常度を算出する（Ｓ５１２）。最後に，算出された異常度およびパラメータの値を異常管理装置１２０に送信する（Ｓ５１４）。

図１７は，異常管理装置１２０における異常管理方法の流れを示したフローチャートである。先ず，異常管理装置１２０は，複数のプローブ１１０で算出された異常度を受信し（Ｓ５５０），その受信された異常度を記憶する（Ｓ５５２）。このとき，異常度と共に，異常度の算出根拠となったパラメータ値を受信，記憶することもできる。

続いて，異常管理装置１２０は，複数のプローブ１１０の異常度の平均値および平均値に対する偏差に基づいて，ネットワークにおける異常の規模を判断する（Ｓ５５４）。このようにして，抽出された異常が局所的なものかネットワーク全体のものかが判断される。

次に，異常管理装置１２０は，パラメータ毎のパラメータ値を，プローブ１１０を跨いで抜出して生成されたパラメータ毎の正規分布の任意の区間に，１または２以上の任意のパラメータのパラメータ値が含まれるプローブの数をカウントし，（カウントされたプローブ数）／（全プローブ数）と所定の閾値とを比較する（Ｓ５５６）。かかる（カウントされたプローブ数）／（全プローブ数）が所定の閾値以上であれば，上記１または２以上の任意のパラメータ群による異常であると判断することができる。

また，この様な原因解析ステップ（Ｓ５５６）として，パラメータ毎のパラメータ値を，プローブ１１０を跨いで抜出して生成されたパラメータ毎の正規分布の任意の区間に，該パラメータに対応するパラメータ値が含まれる割合をプローブ１１０毎に算出して，（該割合が所定の閾値以上であるプローブの数）／（全プローブ数）と所定の閾値とを比較するとしても良い。かかる（該割合が所定の閾値以上であるプローブの数）／（全プローブ数）が所定の閾値以上のとき，同じ原因による異常であると判断する。

そして，異常管理装置１２０は，異常解析ステップ（Ｓ５５４）および原因解析ステップ（Ｓ５５６）で解析された，異常プローブ，異常パラメータ，および異常パラメータの値から導き出される攻撃パターンおよびその可能性を，データベースとしての攻撃パターン記憶部４５２から抽出する（Ｓ５５８）。また，抽出された攻撃パターンに対する対策パターンを，データベースとしての対策パターン記憶部４５６から抽出する（Ｓ５６０）。最後に，異常解析ステップ（Ｓ５５４），原因解析ステップ（Ｓ５５６），攻撃パターン抽出ステップ（Ｓ５５８），対策パターン抽出ステップ（Ｓ５６０）等で得られた結果を表示部やプリンタ等の出力部に出力する（Ｓ５６２）。

図１８，図１９は，上記原因解析ステップ（Ｓ５５６）の詳細な流れを表したフローチャートである。ここで，異常管理装置１２０に収集され，蓄積されているプローブをｎ個，パラメータをｍ個とする。異常管理装置１２０の原因解析部３５０は，先ず，異常度記憶部３１４に記憶されている複数のプローブ１１０それぞれにおける任意のパラメータの値を参照して，内側ループで，プローブ１〜ｎ，パラメータ値ｊをサンプル値として抽出し，任意のパラメータｊにおける正規分布を求める。この処理を外側ループにて，パラメータ１〜ｊの分だけ繰り返す（Ｓ６００）。

各パラメータ１〜ｊの正規分布が生成されると，同様のループにより，プローブｉパラメータｊの値が上記パラメータｊの正規分布の９５％に含まれるかどうか算出される（Ｓ６０２）。ここでは，全パラメータを対象として異常解析が行われている。かかる算出値が閾値以上である場合，ネットワーク全体の異常原因が同じであると判断される。

続いて，図１９に示すように，ｉとｊの順番を変更した同様のループにより，プローブｉパラメータｊの値が上記パラメータｊの正規分布の９５％に含まれるかどうか算出され，プローブｉ毎の一致率からテーブルが生成される（Ｓ６０４）。こうして，プローブ毎の異常評価（例えば，一致率８０％以上のプローブ割合６０％）がなされる。

以上，添付図面を参照しながら本発明の好適な実施形態について説明したが，本発明は係る例に限定されないことは言うまでもない。当業者であれば，特許請求の範囲に記載された範疇内において，各種の変更例または修正例に想到し得ることは明らかであり，それらについても当然に本発明の技術的範囲に属するものと了解される。

例えば，上記実施形態においては，異常度もしくはパラメータ値を参照する上で，現在または過去におけるほぼ同時点のプローブのデータを参照し正規分布を生成しているが，かかる場合に限られず，同プローブの異常度もしくは特定のパラメータの過去から現在までの値を積算して正規分布を生成することもできる。かかる構成により，過去から一定して高い異常度は，異常と見なさず，その異常度の偏差が定常値からかけ離れたとき異常と判断することができる。

なお，本明細書の異常管理方法における各工程は，必ずしもフローチャートとして記載された順序に沿って時系列に処理する必要はなく，並列的あるいは個別に実行される処理（例えば，並列処理あるいはオブジェクトによる処理）も含むとしても良い。

本発明は，ネットワークの異常を管理する異常検出システム，異常管理装置，異常管理方法，プローブおよびそのプログラムに適用可能である。

異常検出システムの概略的な構成を示したブロック図である。 プローブの概略的な構成を示したブロック図である。 異常管理装置の概略的な構成を示したブロック図である。 各プローブの異常度の履歴をまとめたデータを示した説明図である。 異常の発生規模の判断基準を説明するための説明図である。 異常管理装置の他の実施形態における概略的な構成を示したブロック図である。 各プローブの異常度およびパラメータ値の履歴をまとめたデータを示した説明図である。 各プローブの異常度およびパラメータ値の履歴をまとめたデータを示した説明図である。 正規分布の任意の区間を説明するための模式図である。 プローブの全パラメータ値をグラフ化した説明図である。 図１０のパラメータ値に各パラメータの正規分布９５％範囲を重畳した説明図である。 全てのプローブの一致率をテーブルで表した説明図である。 全てのプローブの一致率をテーブルで表した説明図である。 異常管理装置の他の実施形態における概略的な構成を示したブロック図である。 異常管理装置の概略的な構成を示した回路ブロック図である。 プローブにおける異常検出方法の流れを示したフローチャートである。 異常管理装置における異常管理方法の流れを示したフローチャートである。 原因解析ステップの詳細な流れを表したフローチャートである。 原因解析ステップの詳細な流れを表したフローチャートである。

符号の説明

１００ ネットワーク
１１０ プローブ
１２０ 異常管理装置
２１２ パラメータ検出部
２１４ 異常度算出部
２１６ 異常度送信部
３１２ 異常度受信部
３１４ 異常度記憶部
３１６ 異常解析部
３１８ 結果出力部
３５０ 原因解析部
４５２ 攻撃パターン記憶部
４５４ 攻撃パターン抽出部
４５６ 対策パターン記憶部
４５８ 対策パターン抽出部

Claims (9)

1. ネットワークの任意の位置に配された複数のプローブにネットワークを介して接続された異常管理装置であって：
   前記複数のプローブで算出された異常度および複数のパラメータの値を受信する異常度受信部と；
   前記複数のプローブの異常度の平均値および平均値に対する偏差に基づいて，ネットワークにおける異常の規模を判断する異常解析部と；
   前記ネットワークに異常が発生したことを検知したとき，前記パラメータ毎のパラメータ値を，前記プローブを跨いで抜出して生成されたパラメータ毎の正規分布の任意の区間に，１または２以上の任意のパラメータのパラメータ値が含まれるプローブの数をカウントし，（カウントされたプローブ数）／（全プローブ数）が所定の閾値以上のとき，前記１または２以上の任意のパラメータを原因とする異常であると判断する原因解析部と；
   前記異常解析部および前記原因解析部で得られた結果を出力する結果出力部と；
   を備えることを特徴とする，異常管理装置。
2. ネットワークの任意の位置に配された複数のプローブにネットワークを介して接続された異常管理装置であって：
   前記複数のプローブで算出された異常度および複数のパラメータの値を受信する異常度受信部と；
   前記複数のプローブの異常度の平均値および平均値に対する偏差に基づいて，ネットワークにおける異常の規模を判断する異常解析部と；
   前記ネットワークに異常が発生したことを検知したとき，前記パラメータ毎のパラメータ値を，前記プローブを跨いで抜出して生成されたパラメータ毎の正規分布の任意の区間に，該パラメータに対応するパラメータ値が含まれる割合をプローブ毎に算出して，（該割合が所定の閾値以上であるプローブの数）／（全プローブ数）が所定の閾値以上のとき，同じ原因による異常であると判断する原因解析部と；
   前記異常解析部および前記原因解析部で得られた結果を出力する結果出力部と；
   をさらに備えることを特徴とする，異常管理装置。
3. 推測される攻撃パターンを記憶した攻撃パターン記憶部と；
   前記異常解析部および前記原因解析部で解析された，異常プローブ，異常パラメータ，および異常パラメータの値から導き出される攻撃パターンおよびその可能性を，前記攻撃パターン記憶部から抽出する攻撃パターン抽出部と；
   をさらに備えることを特徴とする，請求項１または２のいずれかに記載の異常管理装置。
4. 対策パターンを記憶した対策パターン記憶部と；
   前記攻撃パターン抽出部において抽出された攻撃パターンに対する対策パターンを，前記対策パターン記憶部から抽出する対策パターン抽出部と；
   をさらに備えることを特徴とする，請求項３に記載の異常管理装置。
5. 前記異常度受信部に受信された異常度およびパラメータ値を記憶する異常度記憶部をさらに備えることを特徴とする，請求項１または２のいずれかに記載の異常管理装置。
6. ネットワークの任意の位置に配された複数のプローブにネットワークを介して接続されたコンピュータ上で動作するプログラムであって：
   前記コンピュータが，
   前記複数のプローブで算出された異常度および複数のパラメータを受信する異常度受信部と；
   前記複数のプローブの異常度の平均値および平均値に対する偏差に基づいて，ネットワークにおける異常の規模を判断する異常解析部と；
   前記ネットワークに異常が発生したことを検知したとき，前記パラメータ毎のパラメータ値を，前記プローブを跨いで抜出して生成されたパラメータ毎の正規分布の任意の区間に，１または２以上の任意のパラメータのパラメータ値が含まれるプローブの数をカウントし，（カウントされたプローブ数）／（全プローブ数）が所定の閾値以上のとき，前記１または２以上の任意のパラメータを原因とする異常であると判断する原因解析部と；
   前記異常解析部および前記原因解析部で得られた結果を出力する結果出力部と；
   として機能することを特徴とする、プログラム。
7. ネットワークの任意の位置に配された複数のプローブにネットワークを介して接続されたコンピュータ上で動作するプログラムであって：
   前記コンピュータが，
   前記複数のプローブで算出された異常度および複数のパラメータを受信する異常度受信部と；
   前記複数のプローブの異常度の平均値および平均値に対する偏差に基づいて，ネットワークにおける異常の規模を判断する異常解析部と；
   前記ネットワークに異常が発生したことを検知したとき，前記パラメータ毎のパラメータ値を，前記プローブを跨いで抜出して生成されたパラメータ毎の正規分布の任意の区間に，該パラメータに対応するパラメータ値が含まれる割合をプローブ毎に算出して，（該割合が所定の閾値以上であるプローブの数）／（全プローブ数）が所定の閾値以上のとき，同じ原因による異常であると判断する原因解析部と；
   前記異常解析部および前記原因解析部で得られた結果を出力する結果出力部と；
   とし機能することを特徴とする，プログラム。
8. ネットワークの任意の位置に配された複数のプローブにネットワークを介して接続された異常管理装置において異常を管理する異常管理方法であって：
   前記複数のプローブで算出された異常度および複数のパラメータを受信する異常度受信ステップと；
   前記複数のプローブの異常度の平均値および平均値に対する偏差に基づいて，ネットワークにおける異常の規模を判断する異常解析ステップと；
   前記ネットワークに異常が発生したことを検知したとき，前記パラメータ毎のパラメータ値を，前記プローブを跨いで抜出して生成されたパラメータ毎の正規分布の任意の区間に，１または２以上の任意のパラメータのパラメータ値が含まれるプローブの数をカウントし，（カウントされたプローブ数）／（全プローブ数）が所定の閾値以上のとき，前記１または２以上の任意のパラメータを原因とする異常であると判断する原因解析ステップと；
   前記異常解析ステップおよび前記原因解析ステップで得られた結果を出力する結果出力ステップと；
   を含むことを特徴とする，異常管理方法。
9. ネットワークの任意の位置に配された複数のプローブにネットワークを介して接続された異常管理装置において異常を管理する異常管理方法であって：
   前記複数のプローブで算出された異常度および複数のパラメータを受信する異常度受信ステップと；
   前記複数のプローブの異常度の平均値および平均値に対する偏差に基づいて，ネットワークにおける異常の規模を判断する異常解析ステップと；
   前記ネットワークに異常が発生したことを検知したとき，前記パラメータ毎のパラメータ値を，前記プローブを跨いで抜出して生成されたパラメータ毎の正規分布の任意の区間に，該パラメータに対応するパラメータ値が含まれる割合をプローブ毎に算出して，（該割合が所定の閾値以上であるプローブの数）／（全プローブ数）が所定の閾値以上のとき，同じ原因による異常であると判断する原因解析ステップと；
   前記異常解析ステップおよび前記原因解析ステップで得られた結果を出力する結果出力ステップと；
   を含むことを特徴とする，異常管理方法。

Images