JP2007104682A

JP2007104682A - ネットワーク内部の異常の、ネットワーク外部のトラフィックからの検出

Info

Publication number: JP2007104682A
Application number: JP2006273143A
Authority: JP
Inventors: Antonio Magnaghi; マグナギアントニオ; Takeo Hamada; 健生浜田
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2005-10-05
Filing date: 2006-10-04
Publication date: 2007-04-19
Also published as: US20070078589A1; EP1772993A1

Abstract

【課題】異常検出のための従来技術に関する欠点及び問題を軽減または解消することを目的とする。
【解決手段】異常検出は、あるネットワーク当事者に関連付けられたネットワークから許容トラフィックを受信することを含む。該許容トラフィックは当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信される。許容トラフィックは異常を有する異常トラフィックとの影響的相互作用によって影響されている。影響的相互作用は、許容トラフィックにある効果を与え、その効果が異常の存在を示す。許容トラフィックにおいて前記効果を検出するよう運用可能な特徴が監視される。その監視に反応して異常が検出される。
【選択図】図１

Description

本発明は、一般には通信分野に、より詳細にはネットワーク内部の異常の、ネットワーク外部のトラフィックからの検出に関する。

通信ネットワークは情報をパケットで通信しうる。ある種の状況では、異常がパケットの伝送に望ましくない効果を引き起こすことがある。異常の検出には既知の異常検出を使ってもよいが、既知の異常検出技法は条件によっては満足いくものでないことがある。ある種の状況において望ましい異常検出技法を有することが一般に望ましい。

本発明に従い、異常検出のための従来技術に関連する欠点および問題が軽減または解消されうる。

本発明のある実施形態では、異常検出は、あるネットワーク当事者に関連付けられたネットワークから許容トラフィックを受信することを含む。該許容トラフィックは当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信される。許容トラフィックは異常を有する異常トラフィックとの影響的相互作用によって影響されている。影響的相互作用は、許容トラフィックにある効果を与え、その効果が異常の存在を示す。許容トラフィックにおいて前記効果を検出するよう運用可能な特徴が監視される。その監視に反応して異常が検出される。

本発明のある種の実施形態は、一つまたは複数の技術的効果を提供しうる。ある実施形態の技術的効果は、異常を含むトラフィックへのアクセスなしで異常を検出しうるということでありうる。その代わり、異常は、その異常をもつトラフィックによって影響を受けた他のトラフィックから検出されうるのである。ある実施形態のもう一つの技術的効果は、さまざまな異なるタイプの異常が検出および識別されうるということでありうる。さまざまな異なるタイプの異常が検出および識別されうるのは、トラフィックのさまざまな異なる特徴を監視することによる。ある実施形態のもう一つの技術的効果は、ネットワーク内で生じる異常を検出するための異常検出器をネットワークの外部に置くことができるということでありうる。

本発明のある種の実施形態は、上記の技術的効果を一つも含まないこともあれば、一部を含むこともあれば、全部を含むこともある。一つまたは複数の他の技術的効果は、ここに含まれる図面、記述および請求項から、当業者には容易に明らかなこととなろう。

本発明およびその特徴および効果のより完全な理解のため、ここで以下の記述を付属の図面とともに参照する。

本発明の実施形態およびその効果については、図面の図１から図７を参照することによって最もよく理解される。同様な符号がさまざまな図の同様な部分および対応する部分に使われている。

図１は、異常検出器１４を含むネットワークシステム１０のある実施形態のブロック図である。この実施形態によれば、許容トラフィックは、異常をもつ異常トラフィックによって影響されうる。異常検出器１４は、許容トラフィックの諸特徴を監視して、該諸特徴の実際の値を得ることができる。異常検出器１４は次いでその実際の値を期待される値と比較し、双方の値の間に違いがあれば異常を検出できる。

図示した実施形態によれば、ネットワークシステム１０は、クライアント２０のような端点に、通信セッションのようなサービスを提供するよう動作する。通信セッションとは、端点から端点まで測った、端点間のアクティブな通信のことを指しうる。通信セッションの間に情報が通信される。情報とは、声、データ、テキスト、オーディオ、ビデオ、マルチメディア、制御、信号伝達、その他の情報または上記の任意の組み合わせのことを指しうる。ネットワークシステム１０は情報をパケットで通信しうる。パケットは、伝送のために特定の仕方で編成されたデータの束でありうる。フレームは、伝送のために特定の仕方で編成された一つまたは複数のパケットのペイロードでありうる。パケットを通信するためには、インターネット・プロトコル（IP: Internet Protocol）のようなパケットベースの通信プロトコルが使われうる。

ネットワークシステム１０は、通信セッションを提供するために通信プロトコルおよび通信技術を利用しうる。通信プロトコルおよび通信技術の例には、米国電気電子通信学会（IEEE: Institute of Electrical and Electronics Engineers, Inc.）、国際電気通信連合（ITU-T: International Telecommunications Union）、欧州電気通信標準化機関（ETSI: European Telecommunications Standards Institute）、インターネット技術特別調査委員会（IETF: Internet Engineering Task Force）またはその他の組織によって定められたものが含まれる。

ネットワークシステム１０は、デバイスのような構成要素を含んでいる。一般に、デバイスとは、その動作を実行するよう動作しうる諸構成要素のいかなる好適な構成をも含みうるものであり、論理、インターフェース、メモリ、その他の構成要素または上記のいかなる好適な組み合わせであってもよい。「論理」とは、ハードウェア、ソフトウェア、その他の論理または上記のいかなる好適な組み合わせをも指しうる。ある種の論理は、デバイスの動作を管理するものでありえ、たとえばプロセッサでありうる。「プロセッサ」とは、動作を実行するために命令を実行し、データを操作するよう動作しうるいかなる好適なデバイスをも指しうる。

「インターフェース」とは、当該デバイスのための入力を受け取り、当該デバイスから出力を送り出し、前記入力もしくは出力またはその両方の好適な処理を実行し、あるいは上記の任意の組み合わせを行うよう動作しうるデバイスの論理のことを指しうるものであり、一つまたは複数のポート、変換ソフトウェアまたはその両方を有しうる。「メモリ」とは、情報を保存し、その取得を容易にするよう動作しうる論理のことを指しうるものであり、ランダムアクセスメモリ（RAM: Random Access Memory）、読み出し専用メモリ（ROM: Read Only Memory）、磁気ドライブ、ディスクドライブ、コンパクトディスク（CD）ドライブ、デジタルビデオディスク（DVD）ドライブ、リムーバブルメディア記憶、その他任意の好適なデータ記憶媒体、または上記の任意のものの組み合わせでありうる。

図示した実施形態によれば、ネットワークシステム１０は一つまたは複数のクライアント２０ａ〜ｄ、一つまたは複数のネットワーク２４ａ〜ｅおよび監視ポイント１４を、図のように結合された形で含む。動作のある実施例によれば、クライアント２０ａが、許容パケット３２を含む許容トラフィックを通信する。トラフィックとは、試行、呼び出し、メッセージ、その他の型のパケットまたは上記の任意の組み合わせのパケットの流れのことを指しうる。許容トラフィックとは、通信のために良好と考えられるトラフィックのことを指しうる。たとえば、該トラフィックは、サービス契約、プロトコルまたは規格によって定められるトラフィック要件のような要件を満足するものでありうる。

クライアント２０ｂおよびクライアント２０ｃはクライアント２０ｄと通信する。異常イベント３６は、クライアント２０ｂ、２０ｃとクライアント２０ｄとの間の通信に影響する。異常イベントとは、一つまたは複数の異常を起こすイベントのことを指しうる。異常とは、許容トラフィックを許容できないものにする問題のことを指しうる。異常イベント３６の結果として、クライアント２０ｂは、異常バケット４０ａを含む異常トラフィックを送信し、クライアント２０ｃは異常パケット４０ｂを含む異常トラフィックを送信する。異常トラフィックとは、一つまたは複数の異常を含むトラフィックのことを指しうる。

異常トラフィックは許容トラフィックに影響的相互作用３８において影響する。影響的相互作用３８とは、異常トラフィックが許容トラフィックに影響して該許容トラフィックのうちに異常の存在を示す効果を生じる相互作用のことを指しうる。該効果は異常検出器１４によって検出されうる。影響的相互作用３８の間、許容パケット３２および許容パケット４０は共有バッファ４４でバッファリングされる。影響的相互作用３８ののち、許容パケット３２は異常検出器１４へと進む。異常検出器１４はイベント３６によって引き起こされた異常を、許容パケット３２と異常パケット４０との間の影響的相互作用３８から帰結する効果を検出することによって検出する。

図示した実施形態によれば、クライアント２０ａ〜２０ｄは、通信システムにより情報を通信するよう動作しうるいかなる好適なデバイスを表していてもよい。クライアント２０はたとえば、ラップトップ、サーバー、データベース、無線デバイス、電話のような音声通信デバイスまたはネットワークシステム１０により通信するよう動作しうる他のいかなるデバイスであってもよい。

ネットワーク２４ａ〜２４ｅは、クライアント２０のようなデバイスが他のデバイスと通信できるようにする通信ネットワークを表している。通信ネットワークは、公衆電話交換網（PSTN: public switched telephone network）、公衆または私設データネットワーク、構内ネットワーク（LAN: local area network）、都市圏ネットワーク（MAN: metropolitan area network）、広域ネットワーク（WAN: wide area network）、ローカルもしくは地域的もしくはインターネットのようなグローバルな通信もしくはコンピュータネットワーク、有線もしくは無線ネットワーク、企業イントラネット、その他の好適な通信リンクまたは上記のいかなる組み合わせであってもよい。

ある実施形態によれば、ネットワーク２４ａは、パケットベースの通信をサポートする、デバイスおよび伝送媒体の任意の好適な組み合わせおよび構成を表している。たとえば、ネットワーク２４ａは、イーサネット（登録商標）サブネットを形成するよう相互接続された任意の数のゲートウェイ、ルーター、スイッチ、ハブまたはリピーターを含んでいてもよい。

本実施形態によれば、異常検出器１４は、許容トラフィックの諸特徴を監視して、該諸特徴の実際の値を取得し、実際の値に従って異常を検出する。異常検出器については図２を参照しつつより詳細に述べる。

任意の好適な異常が検出されうる。異常の例としては、経路制御ループ（routing loop）異常、二重性ミスマッチ（duplexity mismatch）異常およびフィルタ構成不良（filtering misconfiguration）異常が含まれる。経路制御ループ異常は、パケットがループから抜けられなくなってしまい、その意図された宛先に到達できない状況を指しうる。経路制御ループ異常はパケット損失、スループット低下、端点間遅延、再送信時間切れ（RTO: retransmission time-out）、その他の問題または上記の任意の組み合わせを引き起こしうる。

二重性ミスマッチ異常は、同じ物理的通信媒体に結合されている隣り合うネットワーク装置どうしが互換性のない媒体アクセス制御（media access control）方式に従って動作する状況のことを指しうる。たとえば、デバイスの一方が半二重モードで動作し、他方が全二重モードで動作するようなことがありうる。半二重モードとは、IEEE-802.3規格によって定義されているような、衝突検出付きキャリアセンス多重アクセス（CSMA/CD: carrier sense multiple access with collision detection）プロトコルによって定義される通信を指しうる。全二重モードとは、IEEE-802.3x規格によって定義されているような、専用のポイント・ツー・ポイント回線通信のことを指しうる。二重性ミスマッチはパケット損失、スループット低下、その他の問題または上記の任意の組み合わせを引き起こしうる。さらに、トラフィックの破壊は、より高レベルの諸ネットワーク層に影響する波及効果を引き起こしうる。

フィルタ構成不良異常は、破棄すべきでないパケットを誤って破棄するフィルタ処理を指しうる。フィルタ構成不良は、パケット損失、スループット低下、端点間遅延、その他の問題または上記の任意の組み合わせを引き起こしうる。

ある実施形態によれば、ネットワーク２４ａの内部の異常を検出するための異常検出器１４は、ネットワーク２４ａの外部に置くことができる。ネットワーク２４ａの外部に置かれた検出器とは、ネットワーク２４ａからは監視目的のための特定のトラフィックしか受け取らないような検出器を指しうる。ネットワーク２４ａ内部の異常とは、ネットワーク２４ａ内の異常イベントに起源をもつ異常を指しうる。

本実施形態によれば、あるネットワーク当事者がネットワーク２４ａを運営し、監視当事者が異常検出器１４を運営するなどする。当事者とは、会社、企業、政府機関、研究機関またはその他の組織のことを指しうる。ネットワーク当事者は、監視当事者に対して、ネットワーク２４ａからの特定のトラフィックのみに監視目的のためにアクセスを提供しうる。監視当事者は異常検出器１４を使って、異常トラフィックにアクセスを有することなく該異常トラフィックの異常を検出しうる。

監視当事者は、ネットワーク当事者から該監視当事者に支払われる補償の見返りとして、ネットワーク当事者に監視サービスを提供しうる。監視当事者はそのサービスについていかなる好適な仕方で課金してもよい。たとえば、サービスはネットワーク２４ａが監視される時間の長さに基づいて、あるいは監視されるパケットの量に基づいて課金されてもよい。もう一つの例としては、前記サービスは、検出される異常の型および監視される前記諸特徴に基づいて課金されてもよい。

ネットワークシステム１０の一つまたは複数の構成要素は、一つまたは複数のコンピュータ上で動作しうるもので、適切な入力デバイス、出力デバイス、大容量記憶媒体、プロセッサ、メモリまたはネットワークシステム１０の動作に従って情報を受け取り、処理し、保存し、通信するためのその他の構成要素を含みうる。本稿で使うところでは、「コンピュータ」の用語は、入力を受け付け、所定の規則に従って該入力を処理し、出力を生成するよう動作しうるいかなる好適なデバイスをも指す。

ネットワークシステム１０には本発明の範囲から外れることなく修正、追加または省略を施すことができる。ネットワークシステム１０の構成要素は、特定の必要性に応じて統合したり分離したりしてもよい。さらに、ネットワークシステム１０の動作は、より多数の、より少数の、あるいは別のモジュールによって実行されてもよい。追加的に、ネットワークシステム１０の動作は任意の好適な論理を使って実行されうる。本稿で使うところでは、「おのおの」は集合のおのおのの要素または集合の部分集合のおのおのの要素を指す。

図２は、図１のネットワークシステム１０とともに使われうる異常検出器５０の一つの実施形態のブロック図である。異常検出器１４は、許容トラフィックの諸特徴を監視して、該諸特徴の実際の値を取得し、実際の値に基づいて異常を検出しうる。本実施形態によれば、異常検出器１４は、実際の値を期待される値と比較して、双方の値の間に違いがあれば異常を検出しうる。

図示した実施形態によれば、異常検出器５０はインターフェース（IF）５２、プロセッサ５４、メモリ５６、一つまたは複数のモニタ６０および解析器を図のように結合された形で含む。ある実施形態によれば、異常検出器５０は伝送制御プロトコル（TCP: transmission control protocol）の監視ポイントでありうる。インターフェース（IF）５２、プロセッサ５４およびメモリ５６は図１を参照して述べたとおりでありうる。

モニタ６０とは、監視される特徴を監視して実際の値を与えるよう動作するデバイスのことでありうる。監視される特徴とは、異常の検出、識別または検出および識別の両方をするのに使われうる特徴のことを指しうる。監視されるのはいかなる好適な特徴でもよく、たとえば周波数変調効果、転送スループット、パケット損失、アドレス利用、その他の特徴、あるいは上記の任意の組み合わせでありうる。

図示した実施形態では、モニタ６０は周波数変調モニタ７０、転送スループットモニタ７４、パケット損失モニタ７８およびアドレス利用モニタ８２を含む。周波数変調モニタ７０とは、トラフィックの周波数変調効果を監視するモニタのことを指しうる。周波数変調は、経路制御ループトラフィックの待ち行列プロセスによって起こりうる。ある実施形態によれば、周波数変調モニタ７０はTCPトラフィック信号を抽出し、該信号を高速フーリエ変換によりスペクトル領域で表現し、次いで該信号の周波数変調効果を監視しうる。

ある例によれば、周波数変調効果についての期待される値が許容トラフィックを監視することから生成されうる。期待される周波数変調値の例については、図３を参照しつつより詳細に述べる。

図３は、周波数変調効果についての期待される値の例を示すグラフ１５０である。この例によれば、期待される周波数変調値は図のようにピーク１５２および１５４を示す。周波数変調効果について期待される値の例としてグラフ１５０が呈示されているが、他の期待される周波数変調値を使ってもよい。

図２の参照に戻ると、周波数変調効果についての実際の値は期待される値から乖離しうる。実際の周波数変調値の例は図４を参照してより詳細に述べる。

図４は、周波数変調効果についての実際の値の例を示すグラフ１７０である。この例によれば、実際の周波数変調値は、図３に示したようなピーク１５２および１５４は示していない。周波数変調効果について実際の値の例としてグラフ１７０が呈示されているが、他の値が得られることもある。

図２の参照に戻ると、転送スループットモニタ７４がトラフィックの転送スループットを監視する。ある実施形態によれば、転送スループットモニタ７４は、TCPトラフィックを抽出して、トラフィックの平均転送スループットを計算しうる。ある例によれば、転送スループットについての期待される値が許容トラフィックを監視することから生成されうる。実際の転送スループット値は期待される値から乖離しうる。転送スループットが低すぎることは、経路制御ループ異常または二重性ミスマッチ異常を示しうる。転送スループットが高すぎることは、フィルタ構成不良異常を示しうる。

パケット損失モニタ７８とは、パケット損失を監視するモニタのことを指しうる。パケット損失を使って、時間につれてのパケット損失を記述するパケット損失パターンが生成されうる。例として、パケット損失パターンは、時間につれてのパケット損失の確率分布を記述しうる。ある実施形態によれば、パケット損失モニタ７８は、TCPトラフィックを抽出して、トラフィックの損失イベント間のタイミングを監視しうる。

ある例によれば、パケット損失パターンの期待される値が、輻輳などに起因する許容パケット損失を有する許容トラフィックを監視することから生成されうる。この例によれば、期待されるパケット損失パターン値はポワソン分布に従いうる。実際のパケット損失値は期待される値から乖離しうる。実際のパケット損失値の例は、図５および図６を参照しつつより詳細に述べる。

図５は、経路制御ループ異常を示しうるパケット損失についての実際の値の例を示すグラフ２００である。図示した例によれば、グラフ２００は、監視された損失間時間の累積分布関数（CDF: cumulative distribution function）を、時間に対するパケット損失の分布の確率によって示している。パケット損失についての実際の値の例としてグラフ２００が呈示されているが、他の値が得られることもある。

図６は、二重性ミスマッチ異常を示しうるパケット損失についての実際の値の例を示すグラフ２５０である。図示した例によれば、グラフ２５０は、監視された損失間時間の累積分布関数（CDF: cumulative distribution function）を、時間に対するパケット損失の分布の確率によって示している。パケット損失についての実際の値の例としてグラフ２５０が呈示されているが、他の値が得られることもある。

図２の参照に戻ると、アドレス利用モニタ８２が発信元アドレスおよび宛先アドレスのようなアドレスの利用を監視する。ある例によれば、アドレス利用についての期待される値が許容トラフィックを監視することから生成されうる。期待される分布から乖離するアドレス利用は、フィルタ構成不良のような異常を示しうる。

解析器６２は諸モニタ６０から実際の値を受け取り、その実際の値を期待される値と比較する。期待される値とは、許容トラフィックについての監視される特徴についての値のことを指しうる。期待される値は、個別の値として、あるいは値の範囲としてなどといったいかなる好適な仕方で表されてもよい。

実際の値と期待される値との間の差は異常の存在を示しうる。差が異常を示すためには、ある閾値を満たすことが必要であるとしてもよい。閾値は、実際の値が異常を示しているという十分な信頼レベルを取り入れうる。さらに、第一の監視される特徴についての閾値は、第二の監視される特徴の実際の値に依存しうる。たとえば、第一の監視される特徴についての実際の値がより厳しい閾値を満たしている場合、第二の監視される特徴の実際の値はより弱い閾値を満たすことしか要求されなくてもよい。

一つまたは複数の型の異常を検出および識別するために一つまたは複数の監視される特徴を使ってもよい。ある実施形態によれば、周波数変調効果、転送スループットおよび損失パターンの諸特徴は、経路制御ループ異常を検出するために使われうる。転送スループットおよび損失パターンの諸特徴は、二重性ミスマッチ異常を検出するために使われうる。転送スループットおよびアドレス利用の諸特徴がフィルタ構成不良異常を検出するために使われうる。

修正検出器５０には、本発明の範囲から外れることなく、修正、追加または省略を施しうる。インターフェース５２、プロセッサ５４、メモリ５６、諸モニタ６０および解析器６２は、特定の必要性に応じて統合されても分離されてもよい。たとえば、本発明はプロセッサ５４およびメモリ５６の両方の機能が単一のデバイスを使って提供されることを考えている。プロセッサ５４およびメモリ５６が分離される場合、インターフェース２０はバスまたはその他の好適なリンクを使ってプロセッサ５４に結合されうる。

さらに、異常検出器５０の動作は、より多数の、より少数の、あるいは別のモジュールによって実行されてもよい。たとえば、転送スループットモニタ７４およびパケット損失モニタ７８の動作が一つのモジュールによって実行されてもよいし、あるいは解析器６２の動作が二つ以上のモジュールによって実行されてもよい。追加的に、異常検出器５０の動作は、ソフトウェア、ハードウェア、その他の論理または上記の任意の好適な組み合わせを使って実行されうる。

図７は、異常を検出するための方法の一つの実施形態のフローチャートである。当該方法はステップ１００で、信号が受け取られることで始まる。信号は転送制御プロトコル（TCP）トレースを使って収集されうる。ステップ１０４で信号が分解される。信号は、特定の諸特徴について監視ができる信号のグループに分解される。ある例によれば、信号は損失イベントの諸信号と無損失の諸信号とに分解されうる。損失イベントの諸信号とは、パケット損失イベントを含む信号のことを指し、無損失の信号とはパケット損失イベントを含まない信号を含みうる。しかし、信号は、容易に解析されうるいかなる好適なグループを与えるよう分解されてもよい。

ステップ１０８で信号が監視され、監視される特徴について実際の値を与える。監視される特徴とは、異常の検出、識別または検出および識別の両方をするのに使われうる特徴のことを指しうる。ステップ１１２で、実際の値が監視される諸特徴について期待される値と比較される。期待される値とは、許容トラフィックについての監視される特徴の値を指しうる。

ステップ１１６で異常が検出されうる。実際の値と期待される値との間に差があれば異常が検出できる。異常が検出されない場合、当該方法はステップ１０８に戻って信号が監視される。異常が検出された場合には、当該方法はステップ１２０に進み、異常が識別される。異常は監視された特徴に従って識別されうる。異常を示す警告がステップ１２４で生成される。たとえば、警告は、識別された異常のことをシステム運営者に通知してもよい。別の例としては、警告は、識別された異常に反応して、サービス契約の義務を果たすためにサービスプロバイダーによって実行されるべきメンテナンス動作のような、取るべき特定の諸動作を作動させてもよい。警告を生成したのち、当該方法は終了する。

本発明の範囲から外れることなく、当該方法に修正、追加または省略を施すことができる。当該方法は、より多数の、より少数の、あるいは別のステップを含んでいてもよい。追加的に、諸ステップは本発明の範囲から外れることなくいかなる好適な順序で実行されてもよい。

本開示はある種の実施形態および一般的に関連する諸方法を用いて記載されてきたが、該実施形態および方法の変更および並べ替えは当業者には明らかであろう。したがって、上記の実施例の記述は本開示を制限するものではない。その他の変更、代替および改変も、請求項によって定義される本開示の精神および範囲から外れることなく可能である。

本願は具体的にはさまざまな形が考えられる。以下の付記はその一例である。
（付記１）
一つまたは複数の異常を検出する方法であって、
あるネットワーク当事者に関連付けられたネットワークから許容トラフィックを受信し、該許容トラフィックは当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信され、該許容トラフィックは一つまたは複数の異常を有する異常トラフィックとの影響的相互作用によって影響されており、影響的相互作用は該許容トラフィックにある効果を与え、その効果が前記一つまたは複数の異常の存在を示すものであり、
前記許容トラフィックにおいて前記効果を検出するよう運用可能な一つまたは複数の監視される特徴を監視し、
その監視に反応して前記一つまたは複数の異常を検出する、
ことを含むことを特徴とする方法。
（付記２）
前記ネットワーク当事者が前記監視当事者に対して前記許容トラフィックのみへのアクセスを提供することを特徴とする、付記１記載の方法。
（付記３）
前記ネットワーク当事者が前記監視当事者に対して前記一つまたは複数の異常を検出することへの見返りとして代価を提供することを特徴とする、付記１記載の方法。
（付記４）
前記一つまたは複数の異常が当該ネットワーク内の異常イベントから帰結することを特徴とする、付記１記載の方法。
（付記５）
付記１記載の方法であって、
前記許容トラフィックの前記一つまたは複数の監視される特徴を監視することがさらに、
一つまたは複数の実際の値を与えるための前記一つまたは複数の監視される特徴のそれぞれについて実際の値を生成することを含み、
前記監視に反応して前記一つまたは複数の異常を検出することがさらに、
前記一つまたは複数の実際の値を一つまたは複数の対応する期待される値と比較し、実際の値は前記監視される特徴に関連する期待される値に対応する監視される特徴について生成されるものであり、
前記一つまたは複数の実際の値のうちの少なくとも一つと前記一つまたは複数の対応する期待される値のうちの少なくとも一つとの間の少なくとも一つの相違を判別し、
前記少なくとも一つの相違に反応して前記一つまたは複数の異常を検出する、ことを含む、
ことを特徴とする方法。
（付記６）
付記１記載の方法であって、前記一つまたは複数の異常がさらに、
経路制御ループ異常、
二重性ミスマッチ異常、
フィルタ構成不良異常、
のうちの少なくとも一つを含んでいることを特徴とする方法。
（付記７）
付記１記載の方法であって、前記一つまたは複数の監視される特徴がさらに、
周波数変調分布特徴、
転送スループット特徴、
損失パターン特徴、
アドレス利用特徴、
のうちの少なくとも一つを含んでいることを特徴とする方法。
（付記８）
一つまたは複数の異常を検出するよう動作しうる異常検出器であって、
一つまたは複数の異常を有する異常トラフィックとの影響的相互作用により影響された、複数のパケットを有する許容トラフィックを、ネットワーク当事者に関連付けられたネットワークから、当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信するように動作しうるインターフェースであって、前記影響的相互作用が前記許容トラフィックにある効果を与え、その効果が前記一つまたは複数の異常の存在を示すものであるようなインターフェースと、
前記インターフェースに結合された一つまたは複数のモニタであって、前記許容トラフィックにおいて前記効果を検出するよう運用可能な一つまたは複数の監視される特徴を監視するよう動作しうるモニタと、
その監視に反応して前記一つまたは複数の異常を検出するよう動作しうる、前記一つまたは複数のモニタに結合された解析器、
とを有することを特徴とする異常検出器。
（付記９）
前記ネットワーク当事者が前記監視当事者に対して前記許容トラフィックのみへのアクセスを提供することを特徴とする、付記８記載の異常検出器。
（付記１０）
前記ネットワーク当事者が前記監視当事者に対して前記一つまたは複数の異常を検出することへの見返りとして代価を提供することを特徴とする、付記８記載の異常検出器。
（付記１１）
前記一つまたは複数の異常が当該ネットワーク内の異常イベントから帰結することを特徴とする、付記８記載の異常検出器。
（付記１２）
付記８記載の異常検出器であって、
前記一つまたは複数のモニタがさらに、
一つまたは複数の実際の値を与えるための前記一つまたは複数の監視される特徴のそれぞれについて実際の値を生成することによって前記許容トラフィックの前記一つまたは複数の監視される特徴を監視するよう動作でき、
前記解析器がさらに、
前記一つまたは複数の実際の値を一つまたは複数の対応する期待される値と比較し、実際の値は前記監視される特徴に関連する期待される値に対応する監視される特徴について生成されるものであり、
前記一つまたは複数の実際の値のうちの少なくとも一つと前記一つまたは複数の対応する期待される値のうちの少なくとも一つとの間の少なくとも一つの相違を判別し、
前記少なくとも一つの相違に反応して前記一つまたは複数の異常を検出する、
ことによって、前記監視に反応して前記一つまたは複数の異常を検出するよう動作できる、
ことを特徴とする異常検出器。
（付記１３）
付記８記載の異常検出器であって、前記一つまたは複数の異常がさらに、
経路制御ループ異常、
二重性ミスマッチ異常、
フィルタ構成不良異常、
のうちの少なくとも一つを含んでいることを特徴とする異常検出器。
（付記１４）
付記８記載の異常検出器であって、前記一つまたは複数の監視される特徴がさらに、
周波数変調分布特徴、
転送スループット特徴、
損失パターン特徴、
アドレス利用特徴、
のうちの少なくとも一つを含んでいることを特徴とする異常検出器。
（付記１５）
一つまたは複数の異常を検出する、媒体中にエンコードされた論理であって、
一つまたは複数の異常を有する異常トラフィックとの影響的相互作用により影響された、複数のパケットを有する許容トラフィックを、ネットワーク当事者に関連付けられたネットワークから、当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信し、該影響的相互作用は前記許容トラフィックにある効果を与え、その効果が前記一つまたは複数の異常の存在を示すものであり、
前記許容トラフィックにおいて前記効果を検出するよう運用可能な一つまたは複数の監視される特徴を監視し、
その監視に反応して前記一つまたは複数の異常を検出する、
よう動作しうることを特徴とする論理。
（付記１６）
前記ネットワーク当事者が前記監視当事者に対して前記許容トラフィックのみへのアクセスを提供することを特徴とする、付記１５記載の論理。
（付記１７）
前記ネットワーク当事者が前記監視当事者に対して前記一つまたは複数の異常を検出することへの見返りとして代価を提供することを特徴とする、付記１５記載の論理。
（付記１８）
前記一つまたは複数の異常が当該ネットワーク内の異常イベントから帰結することを特徴とする、付記１５記載の論理。
（付記１９）
付記１５記載の論理であって、さらに、
前記許容トラフィックの前記一つまたは複数の監視される特徴を監視することを、
一つまたは複数の実際の値を与えるための前記一つまたは複数の監視される特徴のそれぞれについて実際の値を生成することによって行い、
前記監視に反応して前記一つまたは複数の異常を検出することを、
前記一つまたは複数の実際の値を一つまたは複数の対応する期待される値と比較し、実際の値は前記監視される特徴に関連する期待される値に対応する監視される特徴について生成されるものであり、
前記一つまたは複数の実際の値のうちの少なくとも一つと前記一つまたは複数の対応する期待される値のうちの少なくとも一つとの間の少なくとも一つの相違を判別し、
前記少なくとも一つの相違に反応して前記一つまたは複数の異常を検出する、
ことによって行う、ことを特徴とする論理。
（付記２０）
付記１５記載の論理であって、前記一つまたは複数の異常がさらに、
経路制御ループ異常、
二重性ミスマッチ異常、
フィルタ構成不良異常、
のうちの少なくとも一つを含んでいることを特徴とする論理。
（付記２１）
付記１５記載の論理であって、前記一つまたは複数の監視される特徴がさらに、
周波数変調分布特徴、
転送スループット特徴、
損失パターン特徴、
アドレス利用特徴、
のうちの少なくとも一つを含んでいることを特徴とする論理。
（付記２２）
一つまたは複数の異常を検出するシステムであって、
一つまたは複数の異常を有する異常トラフィックとの影響的相互作用により影響された、複数のパケットを有する許容トラフィックを、ネットワーク当事者に関連付けられたネットワークから、当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信する手段であって、該影響的相互作用は前記許容トラフィックにある効果を与え、その効果が前記一つまたは複数の異常の存在を示すものであるような手段と、
前記許容トラフィックにおいて前記効果を検出するよう運用可能な一つまたは複数の監視される特徴を監視する手段と、
その監視に反応して前記一つまたは複数の異常を検出する手段、
とを有することを特徴とするシステム。
（付記２３）
一つまたは複数の異常を検出する方法であって、
当該方法は、一つまたは複数の異常を有する異常トラフィックとの影響的相互作用により影響された、複数のパケットを有する許容トラフィックを、ネットワーク当事者に関連付けられたネットワークから、当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信することを含んでおり、該影響的相互作用は前記許容トラフィックにある効果を与え、その効果は前記一つまたは複数の異常の存在を示すものであり、前記一つまたは複数の異常はさらに、
経路制御ループ異常、
二重性ミスマッチ異常、
フィルタ構成不良異常、
のうちの少なくとも一つを含んでおり、
当該方法は、前記許容トラフィックにおいて前記効果を検出するよう運用可能な一つまたは複数の監視される特徴を監視することを含んでおり、前記許容トラフィックの前記一つまたは複数の監視される特徴を監視することがさらに、
一つまたは複数の実際の値を与えるための前記一つまたは複数の監視される特徴のそれぞれについて実際の値を生成することを含み、前記一つまたは複数の監視される特徴がさらに、
周波数変調分布特徴、
転送スループット特徴、および
損失パターン特徴、
アドレス利用特徴、
のうちの少なくとも一つを含んでおり、
前記監視に反応して前記一つまたは複数の異常を検出するに際し、前記ネットワーク当事者が前記監視当事者に対して前記一つまたは複数の異常を検出することへの見返りとして代価を提供し、前記監視に反応して前記一つまたは複数の異常を検出することがさらに、
前記一つまたは複数の実際の値を一つまたは複数の対応する期待される値と比較し、実際の値は前記監視される特徴に関連する期待される値に対応する監視される特徴について生成されるものであり、
前記一つまたは複数の実際の値のうちの少なくとも一つと前記一つまたは複数の対応する期待される値のうちの少なくとも一つとの間の少なくとも一つの相違を判別し、
前記少なくとも一つの相違に反応して前記一つまたは複数の異常を検出する、
ことを含んでいる、
ことを特徴とする方法。

異常を検出するよう動作しうる異常検出器を含むネットワークシステムの一つの実施形態のブロック図である。図１のネットワークシステムとともに使われうる異常検出器の一つの実施形態のブロック図である。周波数変調効果についての期待される値の例を示すグラフである。周波数変調効果についての実際の値の例を示すグラフである。経路制御ループ異常を示しうるパケット損失についての実際の値の例を示すグラフである。二重性ミスマッチ異常を示しうるパケット損失についての実際の値の例を示すグラフである。異常検出法の一つの実施形態のフローチャートである。

符号の説明

５４プロセッサ
５６メモリ
６２解析器
７０周波数変調
７４転送スループット
７８パケット損失
８２アドレス利用
１００信号を受信
１０４信号を分解
１０８実際の値を与えるために信号を監視
１１２実際の値を期待される値と比較
１１６異常検出？
１２０異常を識別
１２４警告を生成

Claims

一つまたは複数の異常を検出する方法であって、
あるネットワーク当事者に関連付けられたネットワークから許容トラフィックを受信し、該許容トラフィックは当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信され、該許容トラフィックは一つまたは複数の異常を有する異常トラフィックとの影響的相互作用によって影響されており、影響的相互作用は該許容トラフィックにある効果を与え、その効果が前記一つまたは複数の異常の存在を示すものであり、
前記許容トラフィックにおいて前記効果を検出するよう運用可能な一つまたは複数の監視される特徴を監視し、
その監視に反応して前記一つまたは複数の異常を検出する、
ことを含むことを特徴とする方法。
請求項１記載の方法であって、
前記許容トラフィックの前記一つまたは複数の監視される特徴を監視することがさらに、
一つまたは複数の実際の値を与えるための前記一つまたは複数の監視される特徴のそれぞれについて実際の値を生成することを含み、
前記監視に反応して前記一つまたは複数の異常を検出することがさらに、
前記一つまたは複数の実際の値を一つまたは複数の対応する期待される値と比較し、実際の値は前記監視される特徴に関連する期待される値に対応する監視される特徴について生成されるものであり、
前記一つまたは複数の実際の値のうちの少なくとも一つと前記一つまたは複数の対応する期待される値のうちの少なくとも一つとの間の少なくとも一つの相違を判別し、
前記少なくとも一つの相違に反応して前記一つまたは複数の異常を検出する、ことを含む、
ことを特徴とする方法。
請求項１記載の方法であって、前記一つまたは複数の異常がさらに、
経路制御ループ異常、
二重性ミスマッチ異常、
フィルタ構成不良異常、
のうちの少なくとも一つを含んでいることを特徴とする方法。
請求項１記載の方法であって、前記一つまたは複数の監視される特徴がさらに、
周波数変調分布特徴、
転送スループット特徴、
損失パターン特徴、
アドレス利用特徴、
のうちの少なくとも一つを含んでいることを特徴とする方法。
一つまたは複数の異常を検出するよう動作しうる異常検出器であって、
一つまたは複数の異常を有する異常トラフィックとの影響的相互作用により影響された、複数のパケットを有する許容トラフィックを、ネットワーク当事者に関連付けられたネットワークから、当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信するように動作しうるインターフェースであって、前記影響的相互作用が前記許容トラフィックにある効果を与え、その効果が前記一つまたは複数の異常の存在を示すものであるようなインターフェースと、
前記インターフェースに結合された一つまたは複数のモニタであって、前記許容トラフィックにおいて前記効果を検出するよう運用可能な一つまたは複数の監視される特徴を監視するよう動作しうるモニタと、
その監視に反応して前記一つまたは複数の異常を検出するよう動作しうる、前記一つまたは複数のモニタに結合された解析器、
とを有することを特徴とする異常検出器。
前記ネットワーク当事者が前記監視当事者に対して前記許容トラフィックのみへのアクセスを提供することを特徴とする、請求項５記載の異常検出器。
前記ネットワーク当事者が前記監視当事者に対して前記一つまたは複数の異常を検出することへの見返りとして代価を提供することを特徴とする、請求項５記載の異常検出器。
前記一つまたは複数の異常が当該ネットワーク内の異常イベントから帰結することを特徴とする、請求項５記載の異常検出器。
請求項５記載の異常検出器であって、
前記一つまたは複数のモニタがさらに、
一つまたは複数の実際の値を与えるための前記一つまたは複数の監視される特徴のそれぞれについて実際の値を生成することによって前記許容トラフィックの前記一つまたは複数の監視される特徴を監視するよう動作でき、
前記解析器がさらに、
前記一つまたは複数の実際の値を一つまたは複数の対応する期待される値と比較し、実際の値は前記監視される特徴に関連する期待される値に対応する監視される特徴について生成されるものであり、
前記一つまたは複数の実際の値のうちの少なくとも一つと前記一つまたは複数の対応する期待される値のうちの少なくとも一つとの間の少なくとも一つの相違を判別し、
前記少なくとも一つの相違に反応して前記一つまたは複数の異常を検出する、
ことによって、前記監視に反応して前記一つまたは複数の異常を検出するよう動作できる、
ことを特徴とする異常検出器。
請求項５記載の異常検出器であって、前記一つまたは複数の異常がさらに、
経路制御ループ異常、
二重性ミスマッチ異常、
フィルタ構成不良異常、
のうちの少なくとも一つを含んでいることを特徴とする異常検出器。
請求項５記載の異常検出器であって、前記一つまたは複数の監視される特徴がさらに、
周波数変調分布特徴、
転送スループット特徴、
損失パターン特徴、
アドレス利用特徴、
のうちの少なくとも一つを含んでいることを特徴とする異常検出器。
一つまたは複数の異常を検出する、媒体中にエンコードされた論理であって、
一つまたは複数の異常を有する異常トラフィックとの影響的相互作用により影響された、複数のパケットを有する許容トラフィックを、ネットワーク当事者に関連付けられたネットワークから、当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信し、該影響的相互作用は前記許容トラフィックにある効果を与え、その効果が前記一つまたは複数の異常の存在を示すものであり、
前記許容トラフィックにおいて前記効果を検出するよう運用可能な一つまたは複数の監視される特徴を監視し、
その監視に反応して前記一つまたは複数の異常を検出する、
よう動作しうることを特徴とする論理。
前記ネットワーク当事者が前記監視当事者に対して前記許容トラフィックのみへのアクセスを提供することを特徴とする、請求項１２記載の論理。
前記ネットワーク当事者が前記監視当事者に対して前記一つまたは複数の異常を検出することへの見返りとして代価を提供することを特徴とする、請求項１２記載の論理。
前記一つまたは複数の異常が当該ネットワーク内の異常イベントから帰結することを特徴とする、請求項１２記載の論理。
請求項１２記載の論理であって、さらに、
前記許容トラフィックの前記一つまたは複数の監視される特徴を監視することを、
一つまたは複数の実際の値を与えるための前記一つまたは複数の監視される特徴のそれぞれについて実際の値を生成することによって行い、
前記監視に反応して前記一つまたは複数の異常を検出することを、
前記一つまたは複数の実際の値を一つまたは複数の対応する期待される値と比較し、実際の値は前記監視される特徴に関連する期待される値に対応する監視される特徴について生成されるものであり、
前記一つまたは複数の実際の値のうちの少なくとも一つと前記一つまたは複数の対応する期待される値のうちの少なくとも一つとの間の少なくとも一つの相違を判別し、
前記少なくとも一つの相違に反応して前記一つまたは複数の異常を検出する、
ことによって行う、ことを特徴とする論理。
請求項１２記載の論理であって、前記一つまたは複数の異常がさらに、
経路制御ループ異常、
二重性ミスマッチ異常、
フィルタ構成不良異常、
のうちの少なくとも一つを含んでいることを特徴とする論理。
請求項１２記載の論理であって、前記一つまたは複数の監視される特徴がさらに、
周波数変調分布特徴、
転送スループット特徴、
損失パターン特徴、
アドレス利用特徴、
のうちの少なくとも一つを含んでいることを特徴とする論理。
一つまたは複数の異常を検出するシステムであって、
一つまたは複数の異常を有する異常トラフィックとの影響的相互作用により影響された、複数のパケットを有する許容トラフィックを、ネットワーク当事者に関連付けられたネットワークから、当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信する手段であって、該影響的相互作用は前記許容トラフィックにある効果を与え、その効果が前記一つまたは複数の異常の存在を示すものであるような手段と、
前記許容トラフィックにおいて前記効果を検出するよう運用可能な一つまたは複数の監視される特徴を監視する手段と、
その監視に反応して前記一つまたは複数の異常を検出する手段、
とを有することを特徴とするシステム。
一つまたは複数の異常を検出する方法であって、
当該方法は、一つまたは複数の異常を有する異常トラフィックとの影響的相互作用により影響された、複数のパケットを有する許容トラフィックを、ネットワーク当事者に関連付けられたネットワークから、当該ネットワークの外部にある、監視当事者に関連付けられた異常検出器において受信することを含んでおり、該影響的相互作用は前記許容トラフィックにある効果を与え、その効果は前記一つまたは複数の異常の存在を示すものであり、前記一つまたは複数の異常はさらに、
経路制御ループ異常、
二重性ミスマッチ異常、
フィルタ構成不良異常、
のうちの少なくとも一つを含んでおり、
当該方法は、前記許容トラフィックにおいて前記効果を検出するよう運用可能な一つまたは複数の監視される特徴を監視することを含んでおり、前記許容トラフィックの前記一つまたは複数の監視される特徴を監視することがさらに、
一つまたは複数の実際の値を与えるための前記一つまたは複数の監視される特徴のそれぞれについて実際の値を生成することを含み、前記一つまたは複数の監視される特徴がさらに、
周波数変調分布特徴、
転送スループット特徴、および
損失パターン特徴、
アドレス利用特徴、
のうちの少なくとも一つを含んでおり、
前記監視に反応して前記一つまたは複数の異常を検出するに際し、前記ネットワーク当事者が前記監視当事者に対して前記一つまたは複数の異常を検出することへの見返りとして代価を提供し、前記監視に反応して前記一つまたは複数の異常を検出することがさらに、
前記一つまたは複数の実際の値を一つまたは複数の対応する期待される値と比較し、実際の値は前記監視される特徴に関連する期待される値に対応する監視される特徴について生成されるものであり、
前記一つまたは複数の実際の値のうちの少なくとも一つと前記一つまたは複数の対応する期待される値のうちの少なくとも一つとの間の少なくとも一つの相違を判別し、
前記少なくとも一つの相違に反応して前記一つまたは複数の異常を検出する、
ことを含んでいる、
ことを特徴とする方法。