JP2005236813A

JP2005236813A - ネットワーク装置の制御装置及び通信システム並びに異常検出方法

Info

Publication number: JP2005236813A
Application number: JP2004045398A
Authority: JP
Inventors: Akito Okura; 昭人大倉
Original assignee: NTT Docomo Inc
Current assignee: NTT Docomo Inc
Priority date: 2004-02-20
Filing date: 2004-02-20
Publication date: 2005-09-02

Abstract

【課題】トラヒックの監視を行う際に、ネットワークに与える負荷を低減することができるネットワーク装置の制御装置及び通信システム並びに異常検出方法を提供することを目的とする。
【解決手段】ネットワークで検出される正常運用時の正常トラヒックパターンを記憶する記憶手段と、ネットワークのトラヒック情報を収集するトラヒック収集手段と、正常トラヒックパターンに基づいて、収集されたトラヒック情報が異常か否かを判定する異常検出手段とを備える制御装置をネットワーク装置に備えることで達成される。
【選択図】図２

Description

本発明は、ＩＰネットワークにおけるネットワーク装置の制御装置及び通信システム並びに異常検出方法に関する。

ＳＮＭＰ (Simple Network Management Protocol)のようなトラヒック監視技術では、マネージャ（集中管理ノード）と例えばルータなどのネットワーク装置からなるエージェント間で通信が行われる。一般にＳＮＭＰでは、マネージャが定期的にＳＮＭＰメッセージをエージェントに送り、エージェントが指定された値を返すという処理が行われる。

しかし、定期的にマネージャが情報を収集するだけでは、例えば図１に示すようなトラヒックの急増などを検知できない場合がある。図１において、白丸はサンプリング周期毎に収集されたトラヒックである。

そこで、エージェント側からマネージャにメッセージを送信する仕組みとしてトラップが定義されている。トラップとは、ＳＮＭＰにおける通信で、ネットワーク上で発生した事象（イベント）をマネージャに通知することであり、ネットワーク機器で障害や状態変化などのイベントがあった場合、エージェントがそのイベントをマネージャに伝えるために利用される。このトラップの条件には、インタフェース障害やネットワーク機器のリブート（再起動）、認証されないメッセージの受信など様々な指定が可能であり、特定のしきい値を経過した場合にメッセージを送信させることができる。例えば、図１において、横軸に平行な点線で表したしきい値をトラヒック量が超えた場合に、エージェントに、このイベントをマネージャに通知させることができる（例えば、非特許文献１及び非特許文献２参照）。
Douglas R. Mauro、Kevin J. Schmidt著、土本康生監訳、福田剛士訳、「入門ＳＮＭＰ」、株式会社オライリー・ジャパン、２００２年７月 "RFC1157 A Simple Network Management Protocol (SNMP)"、[online]、１９９０年５月、インターネット、<URL: http://www.ietf.org/rfc/rfc1157.txt>

しかしながら、上述した背景技術には以下の問題がある。

トラヒック監視技術では、マネージャとエージェント間で通信が行われる。しかし、定期的にマネージャが情報を収集するだけでは、例えばトラヒックの急増等を検知できない問題がある。

また、トラヒック集中による通信品質の劣化を防ぐには、トラヒック監視が不可欠である。特に、近年トラヒックの種類に応じた制御が求められており、より詳細なトラヒック監視が要求されている。

しかし、従来の方式では、詳細なトラヒック情報を得るためにマネージャがエージェントに対して細かい周期で情報を収集すると、制御用の信号がネットワークに負荷を与えるという問題がある。

また、輻輳などを制御するためには、常に詳細な情報収集を行うことが必要であるが、逆にネットワークに負荷をかけることとなるため有効とはいえない。このため、エージェント側が必要に応じてトラヒックの情報をマネージャに伝える仕組みが必要になる。

しかし、エージェント側に送信する情報を制御する仕組みがない場合、トラヒック正常時にもトラヒック情報があふれネットワークに影響を与える問題がある。

また、エージェント側で非常に細かい時間間隔でトラップのメッセージを上げると、ネットワークの帯域を消費してしまい、通信に影響を与えるという問題がある。

そこで、本発明の目的は、トラヒックの監視を行う際に、ネットワークに与える負荷を低減することができるネットワーク装置の制御装置及び通信システム並びに異常検出方法を提供することにある。

上記課題を解決するため、本発明に係るネットワーク装置の制御装置は、ネットワークの監視を行うネットワーク管理装置にトラヒック情報を送信するネットワーク装置の制御装置であって、ネットワークで検出される正常運用時の正常トラヒックパターンを記憶する記憶手段と、ネットワークのトラヒック情報を収集するトラヒック収集手段と、正常トラヒックパターンに基づいて、収集されたトラヒック情報が異常か否かを判定する異常検出手段とを備えるものである。

さらに、記憶手段は所定のトラヒック量が収集される単位時間当たりの正常トラヒックパターンを記憶するようにしてもよい。

さらに、異常検出手段は、正常トラヒックパターンの時系列データを収集し、収集された時系列データからアトラクタを形成し、形成されたアトラクタを用いて正常トラヒックの状態を表すデータベースを作成し、作成されたデータベースを参照して、トラヒックの状態を判定するようにしてもよい。

また、本発明に係る通信システムは、ネットワークの監視を行うネットワーク管理装置とネットワーク管理装置にトラヒック情報を送信するネットワーク装置とを備える通信システムであって、ネットワーク装置の制御装置は、ネットワークで検出される正常運用時の正常トラヒックパターンを記憶する記憶手段と、ネットワークのトラヒック情報を収集するトラヒック収集手段と、正常トラヒックパターンに基づいて、収集されたトラヒック情報が異常か否かを判定する異常検出手段とを備えるものである。

また、本発明に係る異常検出方法は、ネットワークの監視を行うネットワーク管理装置とネットワーク管理装置にトラヒック情報を送信するネットワーク装置とを備える通信システムにおける異常検出方法であって、ネットワーク装置は、ネットワークで検出される正常運用時の正常トラヒックパターンを記憶するステップと、ネットワークのトラヒック情報を収集するステップと、正常トラヒックパターンに基づいて、収集されたトラヒック情報が異常か否かを判定するステップとを有する方法である。

本発明の実施例によれば、トラヒックの監視を行う際に、ネットワークに与える負荷を低減することができるネットワーク装置の制御装置及び通信システム並びに異常検出方法を実現することができる。

次に、本発明の実施例について図面を参照して説明する。

なお、実施例を説明するための全図において、同一機能を有するものは同一符号を用い、繰り返しの説明は省略する。

まず、本発明の第１の実施例に係る通信システムについて、図２を参照して説明する。

本実施例に係る通信システムは、異常検出装置（制御装置）１を備えるネットワーク装置と、ネットワーク装置とネットワーク(通信網)を介して接続されたネットワーク管理装置（マネージャ）２とを備える。

ネットワーク装置は、ルータなどからなるエージェントである。異常検出装置１は、トラヒック収集部１−１と、トラヒック収集部１−１と接続されたトラヒックカウンタ１−２及び異常検出部１−３と、異常検出部１−３と接続された記憶部１−４及びトラヒック通知部１−５とを備える。

トラヒック収集部１−１は、例えばネットワークを流れるトラヒックの時系列データを収集する。また、トラヒックカウンタ１−２の示す値に従って、ある単位となる単位トラヒック量が通過する毎に異常検出部１−３に、ある単位トラヒック量が流れる時間間隔に異常があるか否かを問い合わせる。例えば、フレーム単位で、ある単位となるトラヒック量を予め決めておくようにする。

異常検出部１−３は、単位トラヒック量が流れる時間間隔に異常があるか否かを判断する。例えば記憶部１−４に、図３（ａ）に示すような正常運用時に流れる単位トラヒック量を示す正常トラヒックパターンが保持され、図３（ｂ）に示すようなトラヒックパターンが観測された場合、異常検出部１−３は、この正常トラヒックパターンと観測されたトラヒックパターンの情報とを比較することにより、単位トラヒック量が流れる時間間隔の異常の有無を判断する。

異常検出部１−３による判断の結果、異常がない場合にはそれ以上の処理は行われない。一方、異常がある場合には、トラヒック通知部１−５を介して、その異常が検出された時間間隔及びトラヒックデータ等の異常トラヒック情報をネットワーク管理装置(マネージャ)２へ通知する。この場合、本実施例の異常検出装置１は、図３（ｄ）に示すように、通知するトラヒックデータとして、異常である部分のみの信号、即ち異常である部分のみのトラヒック情報を送信する。

このようにすることにより、図３（ｃ）に示すような従来のトラヒックに比例した信号を送信する場合に比較して、不必要な情報の伝達を防ぐことができ、ネットワークへの負荷を抑えることができる。

このように、本実施例では、ネットワーク装置内で詳細なトラヒック情報を収集するとともに、トラヒックの異常を検知する機能を持たせ、トラヒックが正常な場合にはトラヒック情報を送信せず、トラヒックが異常なときにのみネットワーク管理装置にトラヒック情報を送信するようにする。

次に、本実施例に係る通信システムにおける異常検出方法について、図４及び図５を参照して説明する。

本実施例では、図５（ｂ）に示すような正常運用時のトラヒック（通常のトラヒック）に対して、図５（ａ）に示すようなトラヒック（実際のトラヒック）が観測される場合について説明する。

ネットワーク管理装置（マネージャ）２は、ネットワーク装置（エージェント）１と、周期的（定期的）にメッセージをやりとりしてトラヒック情報の収集を行う。このトラヒック情報の収集により、図５（ｃ）の白丸印で示されるような情報が収集される。

異常検出装置１は、トラヒックの時系列データを収集し、ネットワークを流れるトラヒックを監視する(ステップＳ４０１)。具体的には、異常検出装置１のトラヒック収集部１−１は単位トラヒック量が到着するごとに、ネットワーク管理装置２にトラヒック情報を送信するか、又は異常検出部１−３に問い合わせを行うかの少なくとも一方を行う。例えば、トラヒック収集部１−１は、トラヒックカウンタ１−２に示されたトラヒックのカウント値を参照し、ある単位トラヒック量が通過する毎にその時間間隔の異常の有無を異常検出部１−３に問い合わせる。

時間周期ではなく、単位トラヒック量を基準に問い合わせを行うことにより、例えば、単位トラヒック量をあるトラヒッククラスに割り当てられた単位時間当たりの許容トラヒック量とすると、単位時間に２つのメッセージが届いた場合に、トラヒック量が許容範囲を超えていること等を知ることができる。

異常検出装置１の異常検出部１−３は、記憶部１−４に保持された所定のトラヒック量が収集される単位時間当たりの正常トラヒックパターンに基づいて、単位トラヒック量が通過する時間間隔の異常の有無を判定することによりトラヒックの判定を行う（ステップＳ４０２）。その結果、単位トラヒック量が流れる時間間隔が正常である場合、それ以上の処理を行わず、情報の通知は行わない（ステップＳ４０３）。

一方、単位トラヒック量が流れる時間間隔が異常である場合、その異常が検出された時間間隔やトラヒックデータ量などの異常トラヒック情報をマネージャに通知する（ステップＳ４０４）。即ち、トラヒック異常時にのみ、異常検出装置１は、ネットワーク管理装置２に詳細なトラヒック情報を送信する。

この通知により、図５（ｄ）の白丸印で示されるような、トラヒックの急増を示す情報が収集される。

このようにすることにより、ネットワーク管理装置２には、図５（ｃ）に示される周期的に収集する情報に加え、必要に応じて異常検出装置１から図５（ｄ）の白丸印で示される情報が通知される。このため、ネットワーク管理装置２は輻輳の予兆を検知する等、詳細なトラヒック情報を生かした高度な制御を実現することができる。

次に、本発明の第２の実施例に係る通信システムについて説明する。

本実施例に係る通信システムの異常検出装置の構成は第１の実施例において説明した異常検出装置１と同様であるが、トラヒック収集部１−１の機能が異なる。

本実施例に係る異常検出装置１のトラヒック収集部１−１は、ネットワーク管理装置２が異常検出装置１からトラヒック情報を収集する周期よりも細かい周期で、ネットワーク管理装置２にトラヒック情報を送信するか、又は異常検出部１−３に問い合わせを行うかの少なくとも一方を行う。

このようにすることにより、ネットワーク管理装置２がネットワーク装置のトラヒック情報を収集するサンプリング周期間のトラヒック情報を収集することができるため、より高精度にトラヒックの情報を収集でき、より高精度な制御を実現できる。

次に、第３の実施例に係る通信システムについて説明する。

本実施例に係る通信システムの異常検出装置の構成は第１の実施例において説明した異常検出装置１と同様であるが、異常検出部１−３の機能が異なる。

本実施例に係る異常検出装置１の異常検出部１−３は、正常運用時のトラヒックの時系列データから閉曲線、例えばアトラクタを生成し、このアトラクタを利用してトラヒックの状態を示すデータベースを作成して保持する。即ち、状態マップを作成することで、実際のトラヒックを基にしたトラヒックの状態を判定する。

本実施例に係る異常検出装置１の異常検出部１−３は、正常運用時のトラヒックの時系列データを記憶部１−４に保持し、必要に応じてデータの更新を行う。また、記憶部１−４に保持されている正常なトラヒックの時系列データを基に、アトラクタを再構成し、データベースを作成する。また、トラヒック収集部１−１から入力されたトラヒックデータを基に、データベースを参照し、トラヒックが異常か否かを判定する。

本実施例では、異常検出部１−３は、正常なトラヒックの時系列データからアトラクタを再構成し、その再構成されたアトラクタに基づきトラヒックの状態を表すデータベースを作成する。このデータベースは、例えば格子上に並べられたセルで構成されるメモリである。再構成されたアトラクタは、アドレスデータで任意のメモリセルを指定することで表現される。

以下、縦１２セル×横１９セル（長方形状）を得るメモリ領域が確保された場合を例として説明する。この場合、縦横軸の１セル毎のデータ範囲が異なる。

データベースの作成方法について、図６を参照して説明する。ここでは、２次元アトラクタについてのデータベースの作成方法について説明する。

まず、トラヒックの時系列データをｙ（ｔ）とし、ｙ（ｔ−１）を横軸、ｙ（ｔ）を縦軸としてアトラクタを再構成する（アトラクタ軌道を求める）。

次に、アトラクタと同次元のデータベースを定義し、アトラクタ軌道を収容するメモリ領域を確保する。この場合、大きさや１つのセルサイズは任意であるがアトラクタを含むようにする。

次に、アトラクタが存在するデータベースのセルに「正常」、存在しないセルに「異常」という値を設定し、アトラクタが横切るメモリを「正常」、それ以外のメモリを「異常」とする。このように、状態マップとなるデータベースを作成することにより、アトラクタから外れる異常トラヒックをメモリ参照により即座に検出することが可能である。

上述した実施例では、セルに「正常」、「異常」という値を設定する場合について説明したが、他の状態例えば輻輳状態等を定義して設定しても良い。また、このデータベース作成手順は次元が増加しても同様に作成することができる。

次に、作成されたデータベースを利用してトラヒックの状態を判定する動作について、図７及び図８を参照して説明する。

まず、異常検出部１−３は、記憶部１−４に保持されている正常運用時の時系列データ履歴を利用してトラヒックの時系列データｙ（ｔ）を収集する（ステップＳ７０１）。次に、収集した時系列データｙ（ｔ）からアトラクタを再構成する。このとき、ｙ（ｔ−ｄ）を横軸、ｙ（ｔ）を縦軸に２次元アトラクタを再構成し、データベースを作成する（ステップＳ７０２）。ここでは、アトラクタが存在するデータベースの黒四角セルを「正常データ」、白四角セルを「異常データ」として設定する（図８参照）。

次に、時刻ｔを表すパラメータｎが初期値（ｎ＝１）に設定される（ステップＳ７０３）。次に、時刻ｔ１においてデータｙ（ｔ１）を測定する（ステップＳ７０４）。トラヒック収集部１−１から入力されたトラヒックデータｙ（ｔ１）と時刻ｔ１−ｄにおけるデータｙ（ｔ１−ｄ）と共にデータベースを検索する（ステップＳ７０５）。ここで、ｄは時刻ｔに対する任意の時間遅れを表すパラメータである。次に、データｙ（ｔ１）とデータｙ（ｔ１−ｄ）を基にデータベースを参照し、データベースの値を判定する（ステップＳ７０６）。

ステップＳ７０６の判定の結果正常である場合には、ｎ＝ｎ＋１（ｎ＝２）にインクリメントされ、ステップＳ７０４に戻る。一方、ステップＳ７０６の判定の結果異常である場合には、トラヒックに異常があると判定され、その異常を通知する処理が行われる（ステップＳ７０８）。即ち、ステップＳ７０６での判定が正常である限り、時刻ｔがインクリメントされた後の測定データを新たなトラヒック状態の処理対象としてループ処理を行い、ステップＳ７０６の判定で異常と判定された場合は、ループ処理を抜けて、異常を通知する。

このように、異常検出部１−３は、ネットワークにおける正常運用時のトラヒックデータの時系列データからアトラクタを生成し、このアトラクタを利用してトラヒック状態を表すデータベースを作成して記憶部１−４に保持する。即ち、トラヒックの状態を判定するための状態マップを作成することにより、実トラヒックを基にしたトラヒック状態の判定を容易に行うことができる。

また、データベースを作成する方式には周期的時系列から再構成したアトラクタを利用しており、特定のモデルに依存することなく、周期的要素列全般に対し状態判定を行うことができる。従って、時系列データがしきい値や線形モデルでは予測不能な非線形性の変動をする場合でも、トラヒックの状態の判定を的確に行うことができる。

上述した実施例では、ネットワーク検出装置１の異常検出部１−３は、正常運用時のトラヒックパターン情報に基づいて異常検出を行う場合、アトラクタを利用してマップを作成し、そのマップに基づいて異常を検出する場合について説明したが、例えば正常トラヒックに関する情報をそのままモデルとして保持し、そのモデルに基づいて異常検出を行うようにしても良い。また、自己回帰モデルや移動平均モデル等の線形モデル、また非線形モデルを応用して、適用するようにしても良い。

また、本実施例に係る異常検出装置は、ルータに実装するようにしてもよいし、サーバにソフトとして実装するようにしても良い。

例えば、ソフトとして実装する場合には、コンピュータに、ネットワークで検出される正常運用時の正常トラヒックパターンを記憶する手順と、ネットワークのトラヒック情報を収集する手順と、収集されたトラヒック情報が正常トラヒックパターンとは異なる場合に異常と判定する手順とを実行させるプログラムをコンピュータにインストールすることにより実装する。

また、上述した実施例では、１台のネットワーク装置を１台のネットワーク管理装置が管理する場合について説明したが、２台以上のネットワーク装置についても、各ネットワーク装置に異常検出装置を実装することにより、１台のネットワーク管理装置でトラヒックの監視を行うことができる。

本発明に係る異常検出装置により、エージェントからマネージャにトラヒック情報を送信する際に、通常のトラヒック時にはトラヒックの大小によらず信号は発生せず、且つ異常が発生したときにのみトラヒックの情報を迅速に送信することが可能になる。その結果、マネージャは輻輳の予兆を検出するなど、詳細なトラヒック情報を生かした高度な制御を行うことが可能になる。

本発明に係るネットワーク装置の制御装置及び通信システム並びに異常検出方法は、ＩＰネットワークにおけるネットワーク装置に適用できる。

固定的なトラヒックの収集の問題点を説明するための説明図である。本発明の実施例に係る通信システムを説明するための構成図である。本発明の実施例に係る通信システムの異常検出装置の動作を説明するための説明図であり、（ａ）は正常トラヒックパターン、（ｂ）は観測トラヒック、（ｃ）は従来における異常である場合に送信される信号、（ｄ）本実施例における異常である場合に送信される信号である。本発明の実施例に係る通信システムにおける異常検出方法を示すフローチャートである。本発明の実施例に係る通信システムにおけるトラヒック情報の収集を説明するための説明図であり、（ａ）は実際のトラヒック、（ｂ）は通常のトラヒック、（ｃ）マネージャがエージェントから定期的に収集する情報、（ｄ）はエージェントがマネージャに通知する情報、（ｅ）本実施例におけるマネージャが収集する情報である。本発明の第３の実施例に係る通信システムにおける２次元アトラクタの場合のデータベース作成方法を示す説明図である。本発明の第３の実施例に係る通信システムにおける異常検出装置の動作を示すフローチャートである。本発明の第３の実施例に係る通信システムにおける正常、異常のトラヒック状態を設定したデータベースを利用してトラヒックの状態判定を行う場合を説明するための説明図である。

符号の説明

１異常検出装置
２ネットワーク管理装置

Claims

ネットワークの監視を行うネットワーク管理装置にトラヒック情報を送信するネットワーク装置の制御装置であって：
前記ネットワークで検出される正常運用時の正常トラヒックパターンを記憶する記憶手段；
前記ネットワークのトラヒック情報を収集するトラヒック収集手段；
前記正常トラヒックパターンに基づいて、収集されたトラヒック情報が異常か否かを判定する異常検出手段；
を備えることを特徴とするネットワーク装置の制御装置。
請求項１に記載のネットワーク装置の制御装置において：
前記記憶手段は所定のトラヒック量が収集される単位時間当たりの正常トラヒックパターンを記憶することを特徴とするネットワーク装置の制御装置。
請求項１又は２に記載のネットワーク装置の制御装置において：
前記異常検出手段は、前記正常トラヒックパターンの時系列データを収集し、収集された時系列データからアトラクタを形成し、形成されたアトラクタを用いて前記正常トラヒックの状態を表すデータベースを作成し、作成されたデータベースを参照して、トラヒックの状態を判定することを特徴とするネットワーク装置の制御装置。
ネットワークの監視を行うネットワーク管理装置と前記ネットワーク管理装置にトラヒック情報を送信するネットワーク装置とを備える通信システムであって：
前記ネットワーク装置の制御装置は、
前記ネットワークで検出される正常運用時の正常トラヒックパターンを記憶する記憶手段；
前記ネットワークのトラヒック情報を収集するトラヒック収集手段；
前記正常トラヒックパターンに基づいて、収集されたトラヒック情報が異常か否かを判定する異常検出手段；
を備えることを特徴とする通信システム。
ネットワークの監視を行うネットワーク管理装置と前記ネットワーク管理装置にトラヒック情報を送信するネットワーク装置とを備える通信システムにおける異常検出方法であって：
前記ネットワーク装置は、
前記ネットワークで検出される正常運用時の正常トラヒックパターンを記憶するステップ；
前記ネットワークのトラヒック情報を収集するステップ；
前記正常トラヒックパターンに基づいて、収集されたトラヒック情報が異常か否かを判定するステップ；
を有することを特徴とする異常検出方法。