JP2006261804A

JP2006261804A - ネットワーク監視装置およびネットワーク監視方法

Info

Publication number: JP2006261804A
Application number: JP2005073475A
Authority: JP
Inventors: Nobuyuki Tamura; 信之田村; Tomonori Gotou; 知範後藤; Kazunari Shioda; 一成汐田; 樹一 ▲杉▼谷; Juichi Sugitani; Ryuta Komatsu; 竜太小松
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2005-03-15
Filing date: 2005-03-15
Publication date: 2006-09-28
Anticipated expiration: 2025-03-15
Also published as: US20060209699A1; US7577098B2; EP1703671A1; JP4317828B2; EP1703671B1; DE602005025587D1

Abstract

【課題】複数のベンダの通信装置で構成されたネットワークにおいて、通信装置の仕様の相違の影響を受けずに、早期にネットワークの障害を発見することができるネットワーク監視装置およびネットワーク監視方法を提供すること。
【解決手段】ルータの間にネットワーク監視装置１０００ａ〜１０００ｅを設置し、これらの装置が自律的にネットワークの監視をおこなうように構成したので、仕様の異なる通信装置からなるネットワークにおいても、仕様の相違の影響を受けることなくネットワークの監視をおこなうことができる。また、障害を検出した場合にネットワークマネージャ５００に通知をおこなうように構成したので、障害に対する対応を早期におこなうことができる。
【選択図】図１

Description

この発明は、ネットワークの状態を監視するネットワーク監視装置およびネットワーク監視方法に関し、特に、複数のベンダの通信装置で構成されたネットワークにおいて、通信装置の仕様の相違の影響を受けずに、早期にネットワークの障害を発見することができるネットワーク監視装置およびネットワーク監視方法に関するものである。

近年、ネットワーク化の進展により、様々な業務がネットワークを介しておこなわれるようになっている。このような状況において、ネットワークの長時間の停止は、そのネットワークに依存している業務に重大な損害をもたらしかねない。そこで、ネットワークの障害を早期に発見し、迅速な対応を可能にするネットワーク監視システムが非常に重要視されるようになってきている。

一般的に、ネットワーク監視システムは、ＳＮＭＰ（Simple Network Management Protocol）エージェントを内蔵した通信装置と、ネットワーク監視システム全体を統合管理するネットワークマネージャ（統合管理装置）とから構成される。ＳＮＭＰエージェントは、自装置もしくは他の通信装置の状態をＭＩＢ（Management Information Base）と呼ばれるデータベースに保持し、ここに保持している情報をネットワークマネージャとやりとりする機能を備えている。

ＳＮＭＰエージェントを内蔵した通信装置とネットワークマネージャとから構成されるネットワーク監視システムに関する技術は、たとえば、特許文献１や特許文献２において開示されている。

特開２００１−１５１６０６号公報特開２００１−３３７８７３号公報

しかしながら、ＳＮＭＰエージェントには、ベンダによる仕様の相違の問題がある。ＳＮＭＰエージェントが保持するＭＩＢの内容は、基礎的な情報についてはＲＦＣ（Request For Comment）１２１３により標準化されているが、機器固有の情報はベンダが独自に定義したものとなっている。

したがって、ネットワークが複数のベンダの通信装置で構成されている場合、ネットワーク管理者が各ベンダの通信装置の仕様に精通していなければ、適切な監視業務をおこなうことができない。このことは、ネットワーク管理者の負担を大きくし、また、ネットワークの障害の発見を遅らせる原因となっている。

この発明は、上述した従来技術による問題点を解消するためになされたものであり、複数のベンダの通信装置で構成されたネットワークにおいて、通信装置の仕様の相違の影響を受けずに、早期にネットワークの障害を発見することができるネットワーク監視装置およびネットワーク監視方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、本発明は、ネットワークの状態を監視するネットワーク監視装置であって、監視対象のネットワークを通過するパケットを受信する受信手段と、前記受信手段が受信したパケットに対して、前記ネットワークの状態を解析するための処理を実行する実行手段と、前記実行手段が実行した処理の結果に基づいて、ネットワークに障害が発生したか否かを判定する判定手段とを備えたことを特徴とする。

また、本発明は、ネットワークの状態を監視するネットワーク監視方法であって、監視対象のネットワークを通過するパケットを受信する受信工程と、前記受信工程が受信したパケットに対して、前記ネットワークの状態を解析するための処理を実行する実行工程と、前記実行工程が実行した処理の結果に基づいて、ネットワークに障害が発生したか否かを判定する判定工程とを含んだことを特徴とする。

この発明によれば、ネットワーク監視装置が自律的にネットワークの監視をおこなうように構成したので、仕様の異なる通信装置からなるネットワークにおいても、仕様の相違の影響を受けることなくネットワークの監視をおこなうことができる。

また、本発明は、上記の発明において、前記判定手段がネットワークに障害が発生したと判定した場合に、統合管理装置にその旨を通知する通知手段をさらに備えたことを特徴とする。

この発明によれば、ネットワーク監視装置がネットワークの障害を検出した場合に統合管理装置に通知をおこなうように構成したので、障害に対する対応を早期におこなうことが可能になる。

また、本発明は、上記の発明において、予め記憶手段に記憶された第１のルールに基づいて、パケットから検索キーとなるデータを抽出する抽出手段と、前記抽出手段が抽出した検索キーをもちいて、予め記憶手段に記憶された第２のルールを検索し、この検索結果に基づいて、パケットの処理内容を選択する選択手段とをさらに備えたことを特徴とする。

この発明によれば、予め記憶手段に記憶させたルールの組み合わせに基づいて、ネットワークの状態の解析をおこなうように構成したので、ルールを変更するだけで解析の内容を柔軟に変更することができる。

また、本発明は、上記の発明において、前記実行手段は、経路制御に係るパケットの受信頻度を記録し、前記判定手段は、該受信頻度を基にしてネットワークに障害が発生したか否かを判定することを特徴とする。

この発明によれば、経路制御に係るパケットの受信頻度によってネットワークの障害を検出するように構成したので、ルータ等が正常に動作しているように見える場合であっても、障害を早期に発見することができる。

本発明によれば、ネットワーク監視装置が自律的にネットワークの監視をおこなうように構成したので、仕様の異なる通信装置からなるネットワークにおいても、仕様の相違の影響を受けることなくネットワークの監視をおこなうことができるという効果を奏する。

また、本発明によれば、ネットワーク監視装置がネットワークの障害を検出した場合に統合管理装置に通知をおこなうように構成したので、障害に対する対応を早期におこなうことが可能になるという効果を奏する。

また、本発明によれば、予め記憶手段に記憶させたルールの組み合わせに基づいて、ネットワークの状態の解析をおこなうように構成したので、ルールを変更するだけで解析の内容を柔軟に変更することができるという効果を奏する。

また、本発明によれば、経路制御に係るパケットの受信頻度によってネットワークの障害を検出するように構成したので、ルータ等が正常に動作しているように見える場合であっても、障害を早期に発見することができるという効果を奏する。

以下に添付図面を参照して、この発明に係るネットワーク監視装置およびネットワーク監視方法の好適な実施の形態を詳細に説明する。

まず、従来のネットワーク監視方法について説明する。図１２は、従来のネットワーク監視方法について説明するための説明図である。同図に示すネットワークは、ＩＰ（Internet Protocol）ネットワーク１０ａにルータ１００を接続し、ＩＰネットワーク１０ｂにルータ２００を接続し、ＩＰネットワーク１０ｃにルータ３００を接続し、ＩＰネットワーク１０ｄにルータ４００を接続し、さらに、ルータ１００〜４００をメッシュ接続した構成をとっている。

このネットワークを監視するため、ルータ１００〜４００は、ＳＮＭＰエージェント１１０〜４１０を備え、ＳＮＭＰエージェント１１０〜４１０を統合管理するために、ＩＰネットワーク１０ａにネットワークマネージャ５００が接続されている。ＳＮＭＰエージェント１１０〜４１０は、自装置の状態を取得してＭＩＢに保持する。そして、取得した情報が所定の条件を満たす場合には、その旨をネットワークマネージャ５００へ通知する。

ネットワークマネージャ５００は、定期的にＳＮＭＰエージェント１１０〜４１０に対して問合せをおこなって得た情報や、ＳＮＭＰエージェント１１０〜４１０から通知された情報を自身のＭＩＢに保持し、障害が発生したと判断した場合は、モニタにメッセージを表示する等してネットワーク管理者にその旨を伝える。障害の発生を知ったネットワーク管理者は、ネットワークマネージャ５００を操作して、障害の発生した装置のＳＮＭＰエージェントに障害の詳細を問合せ、その結果を基にして対処をおこなう。

ここで、ルータ１００〜４００がそれぞれ別のベンダの製品であった場合、ＳＮＭＰエージェント１１０〜４１０が保持するＭＩＢは、基礎的な部分を除いて異なったものとなる。したがって、ネットワーク管理者が、ＳＮＭＰエージェント１１０〜４１０に障害の詳細を問合せるには、各ＭＩＢの仕様を詳細に理解していることが必要となる。これは、ネットワーク管理者にとって大きな負担であり、また、障害の対応を遅らせ、損害を大きくする原因ともなり得る。

次に、本実施例に係るネットワーク監視方法について説明する。図１は、本実施例に係るネットワーク監視方法について説明するための説明図である。同図に示すように、本実施例に係るネットワーク監視方法においては、ルータ間にネットワーク装置を備えた構成をとる。図１に示したネットワークは、図１２に示したネットワークを基本として、ルータ１００と２００の間にネットワーク監視装置１０００ａを備え、ルータ２００と３００の間にネットワーク監視装置１０００ｂを備え、ルータ３００と４００の間にネットワーク監視装置１０００ｃを備え、ルータ４００と１００の間にネットワーク監視装置１０００ｄを備え、ルータ１００と３００の間にネットワーク監視装置１０００ｅを備えている。

ネットワーク監視装置１０００ａ〜１０００ｅは、ネットワーク信号を分岐させて取り出す装置であるタップを介してネットワーク回線と接続され、ネットワーク上を流れる全てのパケットを読み取る。そして、所定のルールに基づいてネットワークの状態の解析をおこない、一定の条件を満たした場合には、ネットワークマネージャ５００に対して障害が発生した旨の通知をおこなう。

障害の発生を知ったネットワーク管理者は、ネットワークマネージャ５００を操作して、障害の発生したネットワークに接続されているネットワーク監視装置に障害の詳細を問合せ、その結果を基にして対処をおこなう。ネットワーク監視装置１０００ａ〜１０００ｅは同一仕様の製品であるため、ルータ１００〜４００がそれぞれ別のベンダの製品であったとしても、システム管理者は容易に詳細の問合せをおこなうことができる。

次に、本実施例に係るネットワーク監視装置の構成について説明する。図２は、本実施例に係るネットワーク監視装置の構成を示す機能ブロック図である。ネットワーク監視装置１０００ａ〜１０００ｅは、いずれも同様の構成を有するため、ここでは、ネットワーク監視装置１０００ａを例にして説明をおこなう。

同図に示すように、ネットワーク監視装置１０００ａは、タップ２０００を介して双方向のネットワーク回線と接続される。タップ２０００は、ネットワーク回線を分岐させ、ネットワーク回線を流れるパケットを取り出す装置である。なお、本実施例では、タップ２０００がネットワーク監視装置１０００ａから独立した構成となっているが、ネットワーク監視装置１０００ａがタップ２０００を内蔵する構成であってもよい。

ネットワーク監視装置１０００ａは、タップ２０００が取り出したパケットを基にしてネットワークの解析をおこなう装置であり、インターフェース部１１００と、制御部１２００と、記憶部１３００とを有する。インターフェース部１１００は、タップ２０００が分岐させた回線に接続してパケットを読み取るためのインターフェースである。

制御部１２００は、ネットワーク監視装置１０００ａを全体制御する制御部であり、検索キー抽出部１２１０と、イベント選択部１２２０と、イベント実行部１２３０と、障害判定部１２４０と、通知部１２５０とを有する。

検索キー抽出部１２１０は、インターフェース部１１００が読み取ったパケットの一部を抽出する処理部である。抽出は、記憶部１３００の検索キー抽出ルール記憶部１３１０に記憶された検索キー抽出ルールに基づいておこなわれ、抽出されたデータは、当該のパケットをどのように処理するかを判断するための検索キーとして利用される。

ここで、検索キー抽出ルール記憶部１３００が記憶する検索キー抽出ルールについて説明しておく。図３は、検索キー抽出ルールの一例を示すサンプル図である。同図に示すように、検索キー抽出ルールは、複数のエントリからなり、各エントリは、種別と、オフセットと、サイズと、テーブル番号と、備考といった項目を有する。種別は、当該のエントリが対象とするパケットの種別を示し、ＩＰ／ＵＤＰ（User Datagram Protocol）／ＴＣＰ（Transmission Control Protocol）のいずれかの値をとる。

オフセットは、抽出するデータの開始位置を示し、サイズは、抽出するデータのビット数を示す。テーブル番号は、当該のパケットをどのように処理するかを選択するためのルールを識別するための識別番号を示す。読み取ったパケットの処理内容を選択するためのルールは、記憶部１３００のイベント選択ルール記憶部１３２０に複数に分かれて記憶されており、どのルールをもちいるのかをこのテーブル番号が決定する。備考は、エントリのコメントである。検索キー抽出ルールは、必要に応じてネットワーク管理者が編集することができる。

種別の値がＩＰの場合、当該のエントリは全てのＩＰパケットを対象とすることを意味し、オフセットは、ＩＰヘッダの先頭からの位置を示す。図４は、ＩＰヘッダのフォーマットを示す構造図である。たとえば、ＩＰヘッダの送信元ＩＰアドレス（Source Address）と送信先ＩＰアドレス（Destination Address）を抽出する場合、１番目のエントリのように、オフセットに９６を設定し、サイズに６４を設定すればよい。また、プロトコル番号を抽出したい場合は、２番目のエントリのように、オフセットに７２を設定し、サイズに８を設定すればよい。

種別の値がＵＤＰの場合、当該のエントリはＵＤＰのＩＰパケットのみを対象とすることを意味し、オフセットは、ＵＤＰヘッダの先頭からの位置を示す。図５は、ＵＤＰヘッダのフォーマットを示す構造図である。たとえば、送信先ポート番号（Destination Port）を抽出する場合、３番目のエントリのように、オフセットに１６を設定し、サイズに１６を設定すればよい。

種別の値がＴＣＰの場合、当該のエントリはＴＣＰのＩＰパケットのみを対象とすることを意味し、オフセットは、ＴＣＰヘッダの先頭からの位置を示す。図６は、ＴＣＰヘッダのフォーマットを示す構造図である。たとえば、送信先ポート番号（Destination Port）を抽出する場合、４番目のエントリのように、オフセットに１６を設定し、サイズに１６を設定すればよい。

このように、本実施例に係るネットワーク監視装置１０００ａは、監視対象とするＩＰパケットを柔軟に設定することができる。たとえば、特定のＩＰネットワーク間の通信状況を監視したい場合は、上述のように、種別にＩＰを設定し、オフセットとサイズに送信元ＩＰアドレスと送信先ＩＰアドレスの開始部分とサイズを設定すればよい。また、ＨＴＴＰ（HyperText Transfer Protocol）のような特定のプロトコルのＩＰパケットの状況を監視したい場合は、上述のように種別にＵＤＰかＴＣＰを設定し、オフセットとサイズに送信先ポート番号の開始部分とサイズを設定すればよい。

イベント選択部１２２０は、検索キー抽出部１２１０が抽出したデータを検索キーとして、パケットに対して実行するイベントを選択する処理部である。イベントとは、パケットを処理するための予め定められた一連の工程を意味する。イベントの選択は、記憶部１３００のイベント選択ルール記憶部１３２０に記憶されたイベント選択ルールに基づいておこなわれ、選択されたイベントは、イベント実行部１２３０において実行される。

ここで、イベント選択ルール記憶部１３２０が記憶するイベント選択ルールについて説明しておく。イベント選択ルールは、検索キー抽出ルールのエントリごとに分かれて存在する。図７〜１０は、イベント選択ルールの一例を示すサンプル図である。

図７は、図３に示した検索キー抽出ルールの１番目のエントリに対応するイベント選択ルールであり、送信元ＩＰアドレスと送信先ＩＰアドレスを抽出した検索キーによってイベントを選択するルールである。同図に示すように、イベント選択ルールは、複数のエントリからなり、各エントリは、マスクと、比較条件と、イベント名と、最終検出時刻といった項目を有する。イベント選択ルールは、最終検出時刻を除いて、必要に応じてネットワーク管理者が編集することができる。

マスクは、検索キーの一部をクリアするためのマスク値を設定する項目であり、ここに設定された値は検索キーと論理積をとるためにもちいられる。この値は、必要な場合のみ設定する。図７の例では、送信元ＩＰアドレスと送信先ＩＰアドレスの下位をクリアするためにマスクを利用している。このように、ＩＰアドレスの下位をクリアすることにより、送信元ＩＰアドレスと送信先ＩＰアドレスのうち、送信元のＩＰネットワークに共通する部分と送信先のＩＰネットワークに共通する部分を抽出することができる。

比較条件は、検索キーと比較されるデータである。イベント選択部１２２０は、先頭のエントリから比較条件と検索キーを比較していき、一致するエントリがあれば、そのエントリに設定されているイベントを選択する。イベント名は、実行するイベントの名前である。最終検出時刻は、最後に当該のエントリの比較条件と検索キーが一致した時刻を保持する。

このように、最終検出時刻を保持することにより、ネットワーク監視装置１０００ａが設置されたネットワーク回線を監視対象のＩＰパケットが最後にいつ通過したかが分かり、このことからネットワークの状態を知ることが可能になる。

たとえば、図１のようにＩＰネットワークがメッシュ接続されている場合、ネットワークマネージャ５００からは全てのＩＰネットワークが正常に動作しているように見えても、末端のＩＰネットワーク間の通信が疎通していない場合がある。このような場合、図７の例のように、イベント選択ルールに送信元のＩＰネットワークのアドレスと送信先のＩＰアドレスを比較条件としたエントリがあれば、各ネットワーク監視装置を比較し、どの区間でネットワークの遮断が発生しているのかを知ることができる。

また、最終検出時刻が所定の期間更新されない場合は、当該のエントリは不要なものとして削除するように構成することもできる。このように構成することで、イベント選択ルールの肥大化を防止することができる。

図７に示した例の１番目のエントリと２番目のエントリでは、イベント名にトラフィックカウントというイベントの名前を指定している。このイベントは、検索キーが当該のエントリの比較条件に一致したＩＰパケットの件数をカウントするものである。件数のカウントは、総件数をカウントすることも、所定の時間ごとの件数をカウントすることも可能である。

たとえば、ネットワークの一部の品質が低下し、トラフィックの減少が発生している場合、図７の例のように、イベント選択ルールに送信元のＩＰネットワークのアドレスと送信先のＩＰアドレスを比較条件としたエントリがあれば、各ネットワーク監視装置のカウンタの値を比較し、どの区間でネットワークの品質の低下が発生しているのかを知ることができる。

図７に示した例の最後のエントリは、比較条件にａｌｌという値を設定されているが、この値は全ての検索キーと一致する。したがって、他のエントリの比較条件が一致しなかった場合には、常にこのエントリのエベントが選択される。このエントリには、警告通知というイベント名が設定されているが、このイベントは、他のエントリに一致しないパケットを検出したことをネットワークマネージャ５００へ通知するものである。

このように、エントリの最後に警告通知のイベントを登録しておくことにより、想定外のＩＰパケットが検出された場合に、ネットワークマネージャ５００へ通知をおこなうことができる。たとえば、想定外のＩＰネットワークからのパケットを検出した場合や、使用を認めていないプロトコルが使用された場合に通知をおこなうことが可能である。

図８は、図３に示した検索キー抽出ルールの２番目のエントリに対応するイベント選択ルールであり、プロトコル番号を抽出した検索キーによってイベントを選択するルールである。同図の１番目のエントリは、ＯＳＰＦ（Open Shortest Path First）と呼ばれる経路制御プロトコルのＩＰパケットが検出された場合に、経路変更監視というイベントを選択することを指示している。このイベントは、経路制御プロトコルのＩＰパケットの頻度を記録し、頻度が所定の値を超えた場合にネットワークマネージャ５００へ通知するものである。

ネットワークが完全に遮断していないが、不安定な状態にある場合、ルータ間で経路変更が頻発し、経路制御プロトコルのＩＰパケットが頻繁にやりとりされるようになる。この現象を検出することで、障害の予兆を早期に発見することが可能になる。

図９は、図３に示した検索キー抽出ルールの３番目のエントリに対応するイベント選択ルールであり、ＵＰＤのＩＰパケットの送信先ポート番号を抽出した検索キーによってイベントを選択するルールである。同図の１番目のエントリは、ＲＩＰ（Routing Information Protocol）と呼ばれる経路制御プロトコルのＩＰパケットが検出された場合に、経路変更監視のイベントを選択することを指示している。また、２番目のエントリは、ＨＴＴＰのＩＰパケットが検出された場合に、トラフィックカウントのイベントを選択することを指示している。

図１０は、図３に示した検索キー抽出ルールの４番目のエントリに対応するイベント選択ルールであり、ＴＣＰのＩＰパケットの送信先ポート番号を抽出した検索キーによってイベントを選択するルールである。同図の１番目のエントリは、ＴＥＬＮＥＴと呼ばれるプロトコルのＩＰパケットが検出された場合に、キャプチャというイベントを選択することを指示している。このイベントは、ＩＰパケットをそのままの形で保存するものである。

このように、ＩＰパケットをそのままの形で保存しておくことにより、障害発生時の状況を詳細に知ることが可能になり、原因の把握と対処を早急におこなうことが可能になる。

図１０の２番目のエントリは、ＳＭＴＰ（Simple Mail Transfer Protocol）と呼ばれるプロトコルのＩＰパケットが検出された場合に、ゆらぎ検出というイベントを選択することを指示している。このイベントは、ＩＰパケットの伝達速度のぶれを監視し、ぶれが所定の値を超えた場合にネットワークマネージャ５００へ通知するものである。ＩＰパケットの伝達速度は、ＩＰパケットに記録された送信時間と現在時間を比較することで得ることができる。

ネットワークの品質が低下し、不安定な状態にある場合、ＩＰパケットの伝達速度にぶれが生じるようになる。この現象を検出することで、障害の予兆を早期に発見することが可能になる。

図２の説明に戻って、イベント実行部１２３０は、イベント選択部１２２０が選択したイベントを実行する処理部である。たとえば、イベント選択部１２２０が選択したイベントがキャプチャであれば、パケットを記憶部１３００のキャプチャバッファ１３４０へ保存する処理を実行する。

障害判定部１２４０は、イベント実行部１２３０が実行したイベントの結果に基づいて、ネットワークに障害が発生しているか否かを判定する処理部である。たとえば、イベント実行部１２３０が実行したイベントが経路制御プロトコルのパケットの頻度を記録するものであった場合、記録された頻度が所定の値を超えているかどうかを確認し、超えていた場合には障害が発生したものと判定する。通知部１２５０は、障害判定部１２４０がネットワークに障害が発生したと判定した場合に、ネットワークマネージャ５００に通知をおこなう処理部である。

なお、図２においては、ネットワーク監視装置１０００ａとネットワークマネージャ５００が情報をやりとりする手段が図示されていないが、これの手段は、どのように実現してもよい。たとえば、監視対象のネットワーク回線を通じて通信をおこなってもよいし、別の有線もしくは無線の回線を通じて通信をおこなってもよい。別の回線をもちいる場合は、監視対象のネットワークに障害が発生しても通信が可能なため、監視対象のネットワーク回線をもちいる場合よりも好ましい。

記憶部１３００は、メモリなどの記憶装置であり、検索キー抽出ルール記憶部１３１０と、イベント選択ルール記憶部１３２０と、カウンタ１３３０と、キャプチャバッファ１３４０と、設定情報記憶部１３５０とを有する。検索キー抽出ルール記憶部１３１０は、検索キー抽出ルールを記憶する記憶部であり、イベント選択ルール記憶部１３２０は、イベント選択ルールを記憶する記憶部である。

カウンタ１３３０は、トラフィックカウントのイベントを実行する場合に、ＩＰパケットの件数を記録していくカウンタである。キャプチャバッファ１３４０は、キャプチャのイベントを実行する場合に、ＩＰパケットを保存するバッファである。設定情報記憶部１３５０は、経路制御プロトコルのＩＰパケットの頻度が異常であるか否かを判定する閾値などの設定情報を記憶する記憶部である。

次に、図２に示したネットワーク監視装置１０００ａの処理手順について説明する。図１１は、図２に示したネットワーク監視装置１０００ａの処理手順を示すフローチャートである。同図に示すように、監視装置１０００ａは、インターフェース部１１００にてパケットを取得したならば（ステップＳ１０１）、検索キー抽出部１２１０にて検索キーを抽出する（ステップＳ１０２）。

ここで、抽出する検索キーがなければ（ステップＳ１０３否定）、処理を終了する。検索キーを抽出した場合は（ステップＳ１０３肯定）、イベント選択部１２２０において検索キーに対応するイベントを選択する（ステップＳ１０４）。検索キーに対応するイベントが存在しない場合は（ステップＳ１０５否定）、ステップＳ１０２に戻って、パケットから別の検索キーの抽出をおこなう。

検索キーに対応するイベントが存在する場合は（ステップＳ１０５肯定）、イベント実行部１２３０にてイベントを実行する。まず、カウンタの更新が必要であれば（ステップＳ１０６肯定）、カウンタ１３３０を更新する（ステップＳ１０７）。また、キャプチャが必要であれば（ステップＳ１０８肯定）、キャプチャバッファ１３４０にＩＰパケットを保存する（ステップＳ１０９）。

そして、イベント固有のその他の処理を実行し（ステップＳ１１０）、障害判定部１２４０がネットワークに障害が発生したと判定すれば（ステップＳ１１１肯定）、ネットワークマネージャ５００への通知部１２５０にて通知をおこなう（ステップＳ１１２）。以上の処理が完了したならば、ステップＳ１０２に戻って、パケットから別の検索キーの抽出をおこなう。

上述してきたように、本実施例では、ネットワーク監視装置１０００ａ〜１０００ｅが自律的にネットワークの監視をおこなうように構成したので、仕様の異なる通信装置からなるネットワークにおいても、仕様の相違の影響を受けることなくネットワークの監視をおこなうことができる。また、ネットワーク監視装置１０００ａ〜１０００ｅがネットワークの障害を検出した場合にネットワークマネージャ５００に通知をおこなうように構成したので、障害に対する対応を早期におこなうことができる。

（付記１）ネットワークの状態を監視するネットワーク監視装置であって、
監視対象のネットワークを通過するパケットを受信する受信手段と、
前記受信手段が受信したパケットに対して、前記ネットワークの状態を解析するための処理を実行する実行手段と、
前記実行手段が実行した処理の結果に基づいて、ネットワークに障害が発生したか否かを判定する判定手段と
を備えたことを特徴とするネットワーク監視装置。

（付記２）前記判定手段がネットワークに障害が発生したと判定した場合に、統合管理装置にその旨を通知する通知手段をさらに備えたことを特徴とする付記１に記載のネットワーク監視装置。

（付記３）予め記憶手段に記憶された第１のルールに基づいて、パケットから検索キーとなるデータを抽出する抽出手段と、
前記抽出手段が抽出した検索キーをもちいて、予め記憶手段に記憶された第２のルールを検索し、この検索結果に基づいて、パケットの処理内容を選択する選択手段と
をさらに備えたことを特徴とする付記１または２に記載のネットワーク監視装置。

（付記４）前記選択手段は、前記第２のルールに前期検索キーに対応するエントリが存在した場合に、該エントリに現在時刻を記録することを特徴とする付記３に記載のネットワーク監視装置。

（付記５）前記実行手段は、受信したパケットと同種のパケットの件数を記憶手段に記録することを特徴とする付記１〜３のいずれか一つに記載のネットワーク監視装置。

（付記６）前記実行手段は、経路制御に係るパケットの受信頻度を記録し、前記判定手段は、該受信頻度を基にしてネットワークに障害が発生したか否かを判定することを特徴とする付記１〜３のいずれか一つに記載のネットワーク監視装置。

（付記７）前記実行手段は、受信したパケットを記憶手段に保存することを特徴とする付記１〜３のいずれか一つに記載のネットワーク監視装置。

（付記８）前記実行手段は、パケットの伝送速度を記録し、前記判定手段は、該伝送速度のゆらぎを基にしてネットワークに障害が発生したか否かを判定することを特徴とする付記１〜３のいずれか一つに記載のネットワーク監視装置。

（付記９）前記通知手段は、前記選択手段が前記第２のルールから前記検索キーに該当するエントリを検索できなかった場合に、統合管理装置にその旨を通知することを特徴とする付記３に記載のネットワーク監視装置。

（付記１０）ネットワークの状態を監視するネットワーク監視方法であって、
監視対象のネットワークを通過するパケットを受信する受信工程と、
前記受信工程が受信したパケットに対して、前記ネットワークの状態を解析するための処理を実行する実行工程と、
前記実行工程が実行した処理の結果に基づいて、ネットワークに障害が発生したか否かを判定する判定工程と
を含んだことを特徴とするネットワーク監視方法。

以上のように、本発明に係るネットワーク監視装置およびネットワーク監視方法は、ネットワークの監視に有用であり、特に、複数のベンダの通信装置で構成されたネットワークにおいて、通信装置の仕様の相違の影響を受けずに、早期にネットワークの障害を発見することが必要な場合に適している。

本実施例に係るネットワーク監視方法について説明するための説明図である。本実施例に係るネットワーク監視装置の構成を示す機能ブロック図である。検索キー抽出ルールの一例を示すサンプル図である。ＩＰヘッダのフォーマットを示す構造図である。ＵＤＰヘッダのフォーマットを示す構造図である。ＴＣＰヘッダのフォーマットを示す構造図である。イベント選択ルールの一例を示すサンプル図である。イベント選択ルールの一例を示すサンプル図である。イベント選択ルールの一例を示すサンプル図である。イベント選択ルールの一例を示すサンプル図である。図２に示したネットワーク監視装置の処理手順を示すフローチャートである。従来のネットワーク監視方法について説明するための説明図である。

符号の説明

１０ａ、１０ｂ、１０ｃ、１０ｄＩＰネットワーク
１００、２００、３００、４００ルータ
１１０、２１０、３１０、４１０ＳＮＭＰエージェント
５００ネットワークマネージャ
１０００ａ、１０００ｂ、１０００ｃ、１０００ｄ、１０００ｅネットワーク監視装置
１１００インターフェース部
１２００制御部
１２１０検索キー抽出部
１２２０イベント選択部
１２３０イベント実行部
１２４０障害判定部
１２５０通知部
１３００記憶部
１３１０検索キー抽出ルール記憶部
１３２０イベント選択ルール記憶部
１３３０カウンタ
１３４０キャプチャバッファ
１３５０設定情報記憶部
２０００タップ

Claims

ネットワークの状態を監視するネットワーク監視装置であって、
監視対象のネットワークを通過するパケットを受信する受信手段と、
前記受信手段が受信したパケットに対して、前記ネットワークの状態を解析するための処理を実行する実行手段と、
前記実行手段が実行した処理の結果に基づいて、ネットワークに障害が発生したか否かを判定する判定手段と
を備えたことを特徴とするネットワーク監視装置。
前記判定手段がネットワークに障害が発生したと判定した場合に、統合管理装置にその旨を通知する通知手段をさらに備えたことを特徴とする請求項１に記載のネットワーク監視装置。
予め記憶手段に記憶された第１のルールに基づいて、パケットから検索キーとなるデータを抽出する抽出手段と、
前記抽出手段が抽出した検索キーをもちいて、予め記憶手段に記憶された第２のルールを検索し、この検索結果に基づいて、パケットの処理内容を選択する選択手段と
をさらに備えたことを特徴とする請求項１または２に記載のネットワーク監視装置。
前記実行手段は、経路制御に係るパケットの受信頻度を記録し、前記判定手段は、該受信頻度を基にしてネットワークに障害が発生したか否かを判定することを特徴とする請求項１〜３のいずれか一つに記載のネットワーク監視装置。
ネットワークの状態を監視するネットワーク監視方法であって、
監視対象のネットワークを通過するパケットを受信する受信工程と、
前記受信工程が受信したパケットに対して、前記ネットワークの状態を解析するための処理を実行する実行工程と、
前記実行工程が実行した処理の結果に基づいて、ネットワークに障害が発生したか否かを判定する判定工程と
を含んだことを特徴とするネットワーク監視方法。