JP2007525047A - ネットワーク経路指定を監視するための方法及びシステム - Google Patents

Abstract

開示した方法及びシステムは、複数のネットワーク・ルータ（１０８）から経路指定データを収集する段階と、ネットワークデータを入手するためルータ（１０４ａ、１０６ａ）及び時間にわたってこの経路指定データを収集する段階とを含む。このネットワークデータをユーザ（１１４）に実時間でストリーミングでき、ユーザ（１１４）はこのデータを対話的に照会できる。一実施形態では、ボーダーゲートウェイ・プロトコル（ＢＧＰ）（１１２）更新トラフィックのリポジトリを用いて対話的な経路指定分析、ドリルダウン、及び証拠性の確保を実行できる。選択した経路指定問題を検出するために警報を設定できる。警報の設定において、各ルータ（１０４、１０６）のメッセージデータはタイムスタンプ順に処理できる。各ルータ（１０４、１０６）からの現在のメッセージデータを以前のメッセージデータと比較して、条件状態を特定できる。条件状態が時間的相関基準及び／又は空間的相関基準に合致すると、警報を提供することができる。

Description

関連出願

本願は、２００３年３月１８日付けで提出された米国仮特許出願第６０／４５５，７２２号の開示全体の優先権を主張し、その開示全体はここに引用して援用する。

（１）技術分野
開示した方法及びシステムは、ネットワーク経路指定の監視に関するもので、詳細には、複数のネットワーク・ルータからのネットワークデータを監視し、収集し、分析し、ユーザに提供することに関する。
（２）背景技術

ほとんどのユーザには透過的だが、典型的にはインターネットやワールド・ワイド・ウェブ（ＷＷＷ）などのグローバル経路指定インフラストラクチャは完全に自動化されたシステムではない。これは、世界中の多数のネットワーク・オペレータやネットワーク技術者のたゆまぬ努力に依存している。偶発的な構成の誤りや故障は頻繁に発生し、インフラストラクチャに対する意図的な攻撃は常に存在する脅威である。外部ボーダーゲートウェイ・プロトコル（ＢＧＰ）経路指定に関わる問題は、エクストラネット、仮想私設ネットワーク（ＶＰＮ）、ポータル、ロジスティック・チェーン、ネットワーク配信サービス、及び他の分散形ＩＴシステムのシームレスな動作を脅かす。典型的には、既存のネットワーク監視ソリューションは、組織の内部ルータを監視するにとどまっている。こうした監視では、その組織のルータにアクセするためにネットワークの他のノードが採用する経路の動的変化を観察する機会が与えられない。

ＢＧＰ経路指定は、グローバル通信インフラストラクチャの極めて重要な部分である。ＢＧＰは経路指定情報のグローバル再分散の仕組みを提供するので、構成の誤り、ハードウェア問題、ルータ・ソフトウェアのバグ、及びネットワーク攻撃によるＢＧＰにおける障害はネットワーク接続された企業に深刻で手痛い影響を与えかねない。一般に、グローバルなインターネットは、ＢＧＰを用いて互いに結びつけられた複数の自律システム（ＡＳ）から構成されうる。これら自律システムは独立して管理されるＩＰネットワークを含むことができ、数千台の大型ルータを備えた世界的企業から単一のＰＣルータを持つ小さな事業体まで様々な規模にわたる。ＢＧＰルータのグローバル協調は行われていない。その代わり、ＢＧＰルータは、その隣接ルータから受信する経路指定メッセージに適用されるローカル管理ポリシーに従って経路を選択し、再通知する。一般に、このポリシー協調は隣接の自律システムに限られており、従って、ＢＧＰ経路は自律システムから自律システムへ区分的に構築される。上手く管理された自律システムは自分たちのポリシーを調整しているが、世界中に広がりかねない問題の発生源となりうる自律システムも存在する。

ＢＧＰ（バージョン４）の設計は１９９０年代初期のインターネット環境に基づいている。. １９９４年の６月に、約４００のアクティブな自律システムが存在し、完全なテーブルには約２０，０００のプレフィックスが存在し、これらプレフィックスはネットワーク上のノードのグループ分けを識別していた。最大の自律システムは約３０の隣接システムを備えていた。又、ネットワーク・アクセス・ポイント（ＮＡＰ）ルータは一ヶ月に１ギガバイト程度のＢＧＰメッセージを受信していたかもしれない。対照的に、２００２年の１２月時点では、約１７，０００のアクティブな自律システムが存在し、完全なテーブルには約１２０，０００のプレフィックスが存在し、１つの自律システムが３，０００を超える隣接システムを持つことがあった。経路指定トラフィックの大幅な増加に対応して、ベンダーはルータの速度及びＢＧＰ実装の質を向上させてきたが、経路指定の複雑さに対処又はそれを処理するツールの作成はそれほど発展してこなかった。今日では、ボーダー・ルータが交換するＢＧＰメッセージ・ストリームは急激に増減し且つ大量であり、更に、１つのインターネット交換局の単一ルータで一日当たり数ギガバイトを超えることがある。又、経路指定パターンは常に変化している。インターネット・トラフィックにグローバルな影響を与えるＢＧＰ経路指定に関わる問題はごく普通の問題となっている。

こうした問題には、ルータ構成上の誤り、リンク・レイヤ故障、ソフトウェア・バグ、並びに高速スキャン及びＤｏＳ攻撃からの付随被害を含む無数の原因がある。ＢＧＰの不安定性は頻繁にサービスの低下に繋がり、接続性が完全に失われることがある。ＢＧＰ経路変更の伝搬はネットワーク上で比較的遅くなることがあり、収束時間は数十秒から数分である。こうした経路変更は、一時的な到達不能性及びパケット・ドロップを引き起こすことがあり、これは今日の高速ネットワークにおける大量のトラフィック・フローに大きな影響を与えかねない。構成上の誤り又は攻撃は、事態が改善するまで長時間にわたることがある。経路指定問題は、経済的に大きな影響を及ぼしかねない。ＢＧＰ動作の正確性及び安定性は、エクストラネット、仮想私設ネットワーク（ＶＰＮ）、ポータル、サプライヤとプロバイダ間のロジスティック・チェーン、ネットワーク配信サービス、及び他の機密ＩＴシステムのシームレスな動作にとって必須となることがある。仮想ネットワークは、経路指定問題を解決するものとして頻繁に宣伝されているが、それ自身の管理範囲を越えた複数自律システムを横断する他の接続と同じ程度にＢＧＰ経路指定障害の影響を受けることがある。

企業トラフィックの戦略的に重要なネットワークへの経路指定を妨げるＢＧＰ障害は、その根本原因がリモート自律システムに存在する場合、特にいらだたしいものである。従って、グローバル通信の必要条件としては、迅速に問題を緩和するためにグローバル経路指定の健全性を監視する必要性が示唆される。しかし、適切なツールが欠如していることで、既存のネットワーク監視システムを単一自律システムの範囲に限定しかねない。ネットワーク・デバイス及び集約トラフィックを監視するための基本的な簡易ネットワーク管理プロトコル（ＳＮＭＰ）に基づくシステムは、ネットワーク接続された組織に普通に配置されている。こうしたシステムは、監視している自律システム内でのトラフィック・フローに関する重要な情報を提供できるが、一般にその自律システムを出たトラフィックに関する情報は提供できない。事実、外部アドレスへのトラフィックはその宛先に到着するまでに平均で３から４つの自律システムを通過する。組織のトラフィックに影響を与える経路指定問題が発生したことをその組織に迅速に知らせるグローバルＢＧＰ監視システムは、その問題がインターネットのどこから発しているかに関わらず、総合的ネットワーク管理、安全、又はサーベイランス・システムの重要な構成要素となりうる。

しかし、既存の典型的なネットワーク監視ソリューションは、組織の内部ルータに限定されることがある。こうしたソリューションは、ネットワークの管理境界を越えたところで生じる問題を解決できないし、問題が次のホップピア及び／又はプロバイダ・ネットワークを越えたところで生じる場合はとりわけ解決困難である。基本的には、単一ルータは、そして単一の自律システムすらも、インターネットを近視眼的にしか見ることができないと言える。すなわち、これらは自分自身から他の自律システムのネットワークへ発せられる経路を見ることはできるが、インターネットを横断する他の経路を見ることはできない。しかし、不可視ルータに基づいて挙動を相関させることで、ＢＧＰ問題を一局所に限定する助けとなりうる。

実時間のＢＧＰ経路指定警報の発生及びその根本原因の解決には、複数のルータ及び複数の自律システムを監視する必要がある。経路指定テーブルを定期的に分析することでは不十分であり、それはこうした定期分析が、時間的に固定したスナップショットを提供するのみであって、ネットワークを伝搬する経路指定変更の動的状態が欠けているからである。ＢＧＰ監視、トラブルシューティング、及びセキュリティー評価の現在の実施状態は、典型的には、自分自身のルータのＳＮＭＰに基づく監視と、インターネット・プロトコル（ＩＰ）ＢＧＰ出力を処理する様々な手段と、リモート・ルッキンググラス・ルータ内のルータの検査、北アメリカ・ネットワーク運営者グループ（ＮＡＮＯＧ）及び他の同様のメーリングリストなど様々な運営者グループから協同的助けを求めることの組合せに基づいている。こうしたアプローチは時間がかかり、労働集約的であり、高度の技能を備えた専門家を必要とする。
発明の概要

開示した方法及びシステムは、ネットワークにおける多数の眺望地点から見ることができる、ネットワークへの経路の進展を実時間で監視できるネットワーク監視サービスを含む。ボーダーゲートウェイ・プロトコル更新トラフィックの大規模なリポジトリを用いて、対話的な経路指定分析、ドリルダウン、及び証拠性の確保（原語：forensic）を実行できる。経路指定メッセージデータはネットワーク上の多数のルータから収集でき、複数のルータ及び時間にわたって相関できる。更に、リポジトリ内のデータは、経路指定レジストリデータ及び／又はドメイン名サービス（ＤＮＳ）データと相関できる。一実施形態では、このネットワークデータを実時間で（例えば、ＸＭＬ又は他のフォーマットで）ユーザにストリーミングでき、付加的に且つ／或いは随意選択で、ユーザはこのデータを対話的に照会できる。選択した経路指定問題を検出するために警報を設定できる。警報の設定において、ルータのメッセージデータはタイムスタンプ順に処理できる。ルータからの現在のメッセージデータを以前のメッセージデータと比較して条件状態を特定できる。条件状態が時間的相関基準及び／又は空間的相関基準を満たすと、警報を提供することができる。

本明細書では、警報を「作動する」という用語及び警報に関する「作動」の派生語は、警報の設定、確立、維持、及び／又は提供を含むものと理解でき、警報は音声、映像、及び／又は他のインジケータでよい。更に、開示した方法及びシステムでは、条件又は他の基準が「閾値を超えた」時に警報を作動させるが、こうした表現は、１つの値（例えばデータ）を別の値（例えば警報閾値）と比較し、この比較に基づいて警報を設定／作動させること、及び／又は警報を設定／作動させないことも含み且つそれを示すことは理解可能なはずである。本明細書では、警報の「一時休止」とは、それ以前に提供、設定、維持、且つ／又は確立されていた警報を設定解除、クリア、提供しない、維持しない、且つ／又は他の方法で除去することだと理解できる。

一実施形態では、開示した方法及びシステムは、コンピュータ可読媒体に具体的に格納されたコンピュータ・プログラムであって、コンピュータにネットワーク・トラフィックの監視を可能とさせるよう動作可能なコンピュータ・プログラムを含み、ネットワーク上の複数ルータから経路指定メッセージデータを収集し、これら経路指定メッセージデータを複数ルータ及び時間にわたって相関し、且つ経路指定パターンを得るためにこの相関データを分析する命令を含むことができる。この経路指定メッセージデータは、ボーダーゲートウェイ・プロトコルのメッセージデータとすることができる。データを収集する段階は、経路指定レジストリデータ及びドメイン名サービスデータを含む、ネットワークに関する構造情報の収集を含むことができる。この構造情報は、経路指定メッセージデータと相関可能である。経路指定パターンは、ネットワークを介して実時間でストリーミングできる。データを収集する段階は、収集ルータと地理的に多様な地点に位置したリモート・ピアルータとの間でセッションを確立する段階を含みうる。

このコンピュータ・プログラムは、経路指定パターンに基づいて１つ又は複数の警報（例えば、経路指定警報）を提供するための命令を含むことができる。経路指定警報を提供するには、このコンピュータ・プログラムは、ネットワーク・プレフィックスに付いてメッセージデータをタイムスタンプ順に処理し、プレフィックスに関する現在のメッセージデータをこのプレフィックスの以前のメッセージデータと比較して、このプレフィックスの警報条件の条件状態を特定し、この条件状態が時間的相関基準及び／又は空間的相関基準を満たす時に経路指定警報を作動するための命令を含むことができる。作動した経路指定警報のグラフをユーザに表示できる。

少なくとも１つの警報条件が所定の時間にわたり高となっていることを条件状態が示した時に、このコンピュータ・プログラムは、条件状態が時間的相関基準を満たしていると判断できる。又、同一の警報条件が高になっていることを所定数のプレフィックスの条件状態が示した時に、このコンピュータ・プログラムは、条件状態が空間的相関基準を満たしていると判断できる。更に、同一の警報条件が高となっていることを、指定した地理的分布を備えた所定数のプレフィックスの条件状態が示した時に、このコンピュータ・プログラムは、条件状態が空間的相関基準を満たしていると判断できる。

経路指定警報を提供するための命令は、経路指定警報に値を割り当てる命令と、それら値に処理スキームを適用する命令（例えば時間の経過と共に値を減少する）と、警報の値を所定値に比較すること（例えば、識別した経路指定警報が所定の値を下回った時）に基づいて識別した経路指定警報を除去する命令とを含むことができる。一組の警報は集約して、複合警報を得ることができる。集約するための命令は、経路指定警報を、ネットワーク・プレフィックス、ネットワーク上の自律システム、及び／又はネットワーク上のサブネットワークに基づいて組み合わせる命令を含むことができる。ネットワーク・プレフィックスに基づいて経路指定警報を組み合わせる命令は、より詳細なプレフィックスのリスト及び／又は起点自律システム・プレフィックスのリストを、より詳細なプレフィックスのネットワーク・プレフィックスのリストに関する経路指定メッセージデータに基づいて生成する命令と、それぞれのリストから選択したより詳細なプレフィックスに関する経路指定警報と起点自律システム・プレフィックスに関する経路指定警報とを組み合わせる命令とを含むことができる。

相関データを分析する命令は、１つ又は複数の時系列の相関データを処理する命令を含むことができる。この処理は、時系列の選択した部分にわたり類似パターンのメッセージデータを備えた複数ルータに対応した相関データ内の特徴を検出することにより実行する。特徴を検出する命令は、経路指定メッセージデータが閾値数のプレフィックスを上回ったのを示したことを、複数ルータに関する相関データが示した時を特定する命令を含むことができる。これら命令は、上述の特徴の相関データに対応するネットワーク上のサブネットワーク及び／又は自律システムを識別する命令と、上述した時系列の選択部分の時間スケールを変更する命令とを含むことができる。処理する命令は、特徴検出、相関、及びクラスタ技法を含む信号処理技法を適用する命令を含むことができ、こうした技法は、本明細書で記載したように複数の時間尺度にわって適用できる。

経路指定メッセージデータ及び／又は相関データのグラフをユーザに表示できる。ユーザは、グラフ表示に基づいてこうしたデータを対話的に照会できる。このコンピュータ・プログラムは、これら照会を処理し且つ照会に一致したデータをユーザに示すための命令を含むことができる。

一実施形態では、ネットワークデータを実時間で配信するための方法は、ネットワーク上の複数ルータから経路指定データを収集する段階と、ネットワークデータを得るため複数のルータ及び時間にわたってこの経路指定データを相関する段階と、ネットワークデータをユーザにネットワークを介してストリーミングする段階とを含む。経路指定データを相関する段階は、複数ネットワーク・メトリックのうち少なくとも１つを特定する段階を含むことができる。これらメトリックには、グローバルに到達可能なネットワーク・プレフィックスのメトリック、ネットワークの全経路指定メッセージ・トラフィックを示す強度メトリック、到達不能なネットワーク・メトリック、経路不安定性メトリック、経路不安定性の評価点分布メトリックが含まれる。

グローバルに到達可能なネットワーク・プレフィックスのメトリックを特定する段階は、所定の時間フレームにわたるデフォルトフリー（原語：default-free）の経路指定テーブルのサイズを特定する段階を含むことができ、よってこのメトリックは、接続性喪失及び劣化イベント並びにネットワークにおけるサイズの変化を反映する。強度メトリックを特定する段階は、全経路通知メッセージ・トラフィック及び全取り消しメッセージ・トラフィックを特定する段階を含むことができる。到達不能なネットワーク・メトリックを特定する段階は、一時的に到達不能と推測されるサブネットワークの数を追跡する段階を含むことができ、この段階は、予想レベルのサブネットワーク到着及び退去を補正するためにそれ以前の到達性にも随意選択で依存している。経路不安定性メトリックを特定する段階は、不安定性評価点を各プレフィックスへの経路に適用する段階と、時間の経過と共に各プレフィックスに関する不安定性評価点を累計的に計算する段階と、経路が安定化した後に不安定性評価点を抑制する段階とを含むことができる。経路不安定性の評価点の分散メトリックを特定する段階は、重大度及びプレフィックスのサイズに従って経路不安定性の内訳を表す一組のベクトル・メトリック（原語：vectoral
metrics）を特定する段階を含むことができる。

この方法は、異なる時間スケールにわたって、類似パターンのネットワーク・メトリックを備えた複数ルータの幾つかに対応するネットワークデータにおける特徴を検出する段階を含むことができる。特徴を検出する段階に含まれうる段階としては、幾つかのプレフィックスが少なくとも１つのメトリックに関して閾値数のプレフィックスを上回ったことを、上述の複数ルータの幾つかそれぞれに関するネットワークデータが示す時を特定する段階がある。この方法は、こうした特徴のネットワークデータに関連付けられたプレフィックスに対応したサブネットワーク及び／又は自律システムを識別する段階を含むことができる。

一実施形態では、ネットワークに関する経路指定警報を提供するための方法は、ネットワークに分散した複数のピア・ルータに関して、ボーダーゲートウェイ・プロトコル（ＢＧＰ）「更新」メッセージを、当該ＢＧＰ「更新」メッセージにおいて識別されたネットワーク・プレフィックスに付いて、タイムスタンプ順に処理する段階と、受信した現在のメッセージと受信した以前のメッセージの比較に基づいて、ネットワーク・プレフィックスに関して少なくとも１つの警報条件を設定する段階と、それら警報条件を時間及び複数ピア・ルータにわたって相関する段階と、これら警報条件の少なくとも１つが時間的相関基準及び／又は空間的相関基準を満たした時に、ネットワーク・プレフィックスに関する経路指定警報を作動する段階とを含むことができる。この警報条件が時間的相関基準を満たすのは、その条件が所定の期間にわたり設定されているときである。又、この警報条件が空間的相関基準を満たすのは、その条件が所定数のピア・ルータに関して設定されているか、特定した地理的分布を備えた所定数のピア・ルータに関して設定されているときである。

経路指定警報を提供する段階は、値をそれら経路指定警報に割り当てる段階と、処理スキームをそれら値に適用する段階と、識別された経路指定警報が所定の値となった時に、その経路指定警報を除去する段階とを含むことができる。こうした処理スキームは時間に基づいて値を減少可能だが、他の処理スキームを用いてもよい（例えば、時間に関わりなく一定なもの、固定及び減少スキームなど）。ネットワーク・プレフィックス、ネットワーク上の自律システム、及び／又はネットワーク上のサブネットワークに基づいて経路指定警報を組み合わせることによって、一組の経路指定警報を集約して、複合警報を得ることができる。この方法は、より詳細なプレフィックスのリスト及び／又は起点自律システム・プレフィックスのリストを、これらネットワーク・プレフィックスの経路指定メッセージデータに基づいて生成でき、更に、それぞれのリストから選択したより詳細なプレフィックスに関する経路指定警報と、起点自律システム・プレフィックスに関する経路指定警報とを組み合わせ可能である。

この方法は、様々な基準に基づいて様々な警報条件を設定できる。それらには、プレフィックスがアドバータイズされた時に、そのプレフィックスの「アドバータイズ済み」条件を高に設定すること、プレフィックスが１つ又は複数の異なるＢＧＰ属性を付きでアドバータイズされた時か、プレフィックスが取り消された時に、そのプレフィックスの「変更済み」条件を高に設定すること、プレフィックスがより長いＡＳＰＡＴＨ付きでアドバータイズされた時か、プレフィックスが取り消された時に、そのプレフィックスの「劣化」条件を高に設定すること、プレフィックスが取り消された時に、そのプレフィックスの「取り消し済み」条件を高に設定すること、プレフィックスが取り消されており、詳細性がより低いプレフィックスへの経路が存在しない時に、そのプレフィックスの「到達不能」条件を高に設定すること、未許可のより詳細なプレフィックスがアドバータイズされている時に、そのプレフィックスの「分解」条件を高に設定すること、プレフィックスがネットワーク上の未許可自律システムによりアドバータイズされている時か、ネットワーク上の自律システムが未許可プレフィックスをアドバータイズしている時に、そのプレフィックスの「起点」条件を高に設定することが含まれる。

全体的な理解を可能とするため、幾つかの例示的な実施形態を次に説明するが、通常の技能を備えた当業者であれば、本明細書に記載されたシステム及び方法を変更及び修正して、他の適切な応用例となるシステム及び方法を提供できることや、それ以外の追加及び修正が、本明細書に記載されたシステム及び方法の範囲から逸脱することなく可能であることは理解するはずである。

特記しない限り、ある実施形態の詳細を変える典型的な特徴の実現としてこれらの例示的な実施形態を理解できるはずである。従って、特記しない限り、実例の特徴、構成要素、モジュール、及び／又は様態を、開示したシステム又は方法から逸脱することなく、他の方法で、組み合わせたり、分離したり、交換したり、且つ／或いは再編成したりすることができる。加えて、構成要素の形状及びサイズも代表的なものであり、特記しない限り、本開示で記載した代表的システム又は方法に影響を与えることなく変更できる。

本開示は、ネットワークにおける多数の眺望地点から見ることができる、ネットワークへの経路の進展を監視できるネットワーク監視サービスに関する。一実施形態では、これら方法及びシステムは実質的に実時間で実行できる。経路指定メッセージデータはネットワーク上の多数のルータから収集でき、ボーダーゲートウェイ・プロトコル（ＢＧＰ）更新トラフィックのリポジトリに格納できる。リポジトリ内のデータは複数ルータ及び時間を横断して相関できる。更に、リポジトリ内のデータは、経路指定レジストリデータ及び／又はドメイン名サービス（ＤＮＳ）データと相関できる。収集したデータに対しては、対話式照会、経路指定分析、ドリルダウン、及び証拠性の確保を実行できる。更に、データ及び分析は、例えば実時間でユーザにストリーミングできる。選択した経路指定問題を検出する他の警報を提供且つ／又は設定できる。警報の設定において、ルータのメッセージデータはタイムスタンプ順に処理できる。ルータからの現在のメッセージデータを以前のメッセージデータと比較して条件状態を特定できる。条件状態が時間的相関基準及び／又は空間的相関基準を満たすと、警報を提供することができる。

便宜上そして説明を容易とするため、これらシステム及び方法は、本明細書ではグローバル・インターネット共に用いる代表的なシステム及び方法を参照して説明できる。ただし、本明細書に記載したシステム及び方法は開示した実施形態に限定されず、他の構成を備えた他のネットワークに応用可能であり、ネットワーク活動を監視するためにデータを収集する他の応用例及び／又は手段を含むことができる。更に、こうした他のネットワーク、構成、及び／又はデータに対応するための入力、処理、及び／又は出力の付加、修正、及び／又は他の変更も、本明細書に記載したシステム及び方法では考慮されており、当業者なら実行可能である。

図１を参照すると、本明細書で説明する方法及びシステムを組み込み可能なネットワーク１００が図示されている。ネットワーク１００は、多数の自律システム（ＡＳ）１０２及び／又はルータ１０４を含むことができるが、図１ではその内の少数のみを図示する。本明細書で上述したように、グローバル・インターネット上の自律システムの数は２０，０００に近づいている。本明細書では、自律システムとは、単一の明確に定義された経路指定ポリシーを備えた１つ又は複数のインターネット・プロトコル（ＩＰ）ネットワークの接続グループであって、単一の管理実体（例えば、大学、企業、企業の部門など）のために共通のネットワーク管理者（又は管理者のグループ）により管理され、且つ経路指定ドメインとして本明細書で呼ぶことができる接続グループとすることができる。所与のネットワーク上のノードは同一のネットワーク・プレフィックスを共有するが、一意のホスト番号を備えている。自律システムは、１つ又は複数の自律システム・ボーダー・ルータ１０６を含むことができ、ボーダーゲートウェイ・プロトコル（ＢＧＰ）を用いる他の自律システムと経路指定情報を共有できる。

幾つかの自律システム・ルータ１０６及び／又はルータ１０４（１０６ａ及び１０４ａの参照番号を付けた）は、収集ルータ１０８とのピアリング・セッションを維持できる。一般に、これらピアリング・セッションはサイレントだが、セッションには、自律システム・ルータ１０６ａ及びルータ１０４ａにデータを返信することを含みうる。ルータ１０４ａ及び自律システム・ルータ１０６ａは、ネットワーク１００における経路指定メッセージの全体像を提供するために、ネットワーク１００全体にわたり戦略的に配置されている。収集ルータ１０８は、自律システム・ルータ１０６ａ及びルータ１０４ａから経路指定メッセージデータを処理のため収集できる。収集ルータ１０８は他のルータに経路を通知することはなく、収集した経路指定メッセージデータはアクティブなネットワーク要素の経路指定メッセージデータを反映できる。説明を明確にするため、図１の収集ルータ１０８はネットワーク１００から分離して図示してある。現実には、収集ルータ１０８の一部又は全部をネットワーク１００内に分散できる。

収集ルータ１０８は、収集したメッセージデータを、このデータを格納又は保存できる１つ又は複数の分析サーバ１１０に転送できる（図１ではＢＧＰデータベース１１２により具現化して示した）。説明を明確且つ容易とするため、分析サーバ１１０及びデータベース１１２は本明細書では単一のものとして図示し、考慮できるが、複数の同期化したサーバ１１０及びデータベース１１２の使用も考慮されている。ネットワーク監視サービスを１つ又は複数のクライアント１１４に提供するため、１つ又は複数の分析サーバ１１０は、１つ又は複数のデータベース１１２からのメッセージデータを処理し、処理したデータにアクセスし、処理し、且つ／又は表示するためのツールをクライアント１１４に提供する。クライアント１１４は、ネットワーク１００における多数の眺望地点（収集ルータ１０８）から見える、自分のネットワークへの進展する経路（原語：evolving
routes）を監視できる。複数の分析サーバ１１０を用いる場合は、分析サーバ１１０は複数のデータベース１１２にわたり分散可能なデータを処理するため同期化できる。従って、更にこれらデータベース１１２を同期化でき、有線及び／又は無線通信プロトコル並びに／或いは技法を用いて通信できる。

データベース１１２は、ＢＧＰ「更新」メッセージデータ、経路指定レジストリデータ、ＤＮＳデータ、及び／又は当業者が取得可能且つ／或いは考慮可能な他のネットワークデータを含むことができる。ルータ１０４及び自律システム・ルータ１０６のようなＢＧＰスピーキング・ルータは、ＢＧＰ「更新」メッセージを隣接ルータに送信して、特定のネットワークへの最適な経路を通知するか、使用不可能となった経路を取り消す。隣接するＢＧＰスピーキング・ルータは、これら「更新」をその隣接ルータに伝搬し、それが繰り返される。こうした「更新」にはタイムスタンプが打刻され、プレフィックスの特徴を記述可能なＢＧＰ属性（本明細書では「属性」と呼ぶ）を保持できる。例えば、ＡＳＰＡＴＨ属性は、通過した一連の自律システムをそのプレフィックスの起点となる自律システムまで列挙する。他の属性には、これらに限定する訳ではないが、次のホップ、ｉＢＧＰ次のホップ、第三者次のホップ、原点、アグリゲータ、ローカル参照、マルチ・イグジット・ディスクリミネータ（ＭＥＤ）、ＭＥＤ及び内部ゲートウェイ・プロトコル（ＩＧＰ）メトリック、重み、コミュニティ、周知コミュニティ、及び非イクスポート・コミュニティなどが含まれる。イベント影響グローバル経路指定は、１つ又は複数のルータが根本原因経路指定イベント（例えばセッション開始、ルータ・シャットダウン、又はセッション喪失、セッション・リセット、及び／或いは内部ゲートウェイ・プロトコル（ＩＧＰ）到達性又は自律システム１０６への接続性の変更など）を検出した後に、概ね同時に一定数の「更新」メッセージを発することにより開始されうる。

「更新」は、ネットワーク１００のトポロジを移動する波面のようにＢＧＰスピーキング・ルータを伝搬していくのが分かる。当業者であれば、ルータ１０４ａ及び自律システム・ルータ１０６ａで受信された「更新」メッセージの相関分析により、経路指定問題を検出し、発生場所を突き止められることが理解できるであろう。これは、地理学的に格子状に分散したセンサからのデータを相関させることにより地震を検出し、震源を突き止められることに似ている。典型的には、「更新」は多くのルータにより発せられ、多くの根本原因を反映する。伝搬は波面の重ね合わせに例えることができる。図１の分析サーバ１１０は、個別のプレフィックスに関して「更新」を追跡、相関でき、且つ／又は異なる収集ルータ１０８に到着するプレフィックスを集約して、「更新」の発生原因となった経路指定イベントを見出し、診断する助けとする。処理技法には、特徴検出方式（例えば、ベイズ分類辞、ニューラル・ネットワークなど）、クラスタ化、及び／又は複数のセンサからの複数の時系列データを相関するための他の信号処理技法が含まれる。

上述の相関をデータベース１１２からのタイムスタンプ付きの更新データに適用することで、分析サーバ１１０は多くのネットワーク監視サービスをクライアント１１４に提供できる。これらサービスには、所与の時間帯／期間／間隔における経路指定分析と、監視データを（例えば実時間で）クライアント１１４へのストリーミングと、及びクライアント１１４にクライアントのネットワーク外部に起因するＢＧＰ経路指定問題を検出し、診断する能力を与えるための（例えば、実時間の）警報とが含まれる。

図２は、分析サーバ１１０が、ユーザ１１４にネットワーク１００経路指定の監視及び分析用に表示できる代表的なユーザインターフェース２００を示す。インターフェース２００は例示目的で示したもので、他のデータ配置並びにデータ操作及びビュー用の制御手段も考慮されている。インターフェース２００は、メニューバー２０４、ナビゲーション・ボタン２０６、及び探索フィールド２０８を含むことができる持続的ウィンドウ制御フレームワーク２０２を含むように構成できる。更に、ウィンドウ制御フレームワーク２０２は、カレンダー・ナビゲーション・ツール２１０、進行インディケータ２１２、プレフィックス・インディケータ２１４、リフレッシュ・セレクタ２１６、ツール・インディケータ２１８、及び／又は他のナビゲーション・ツール、選択ツール、インディケータなどを含むこともできる。ウィンドウ制御フレームワーク２０２に加え、インターフェース２００は、要求されたデータを表示するためのウィンドウ２２０を含むことができる。

メニューバー２０４は幾つかのプルダウン・メニューを備えることができる。図２は、ファイル、編集、ツール、ビューマーク、プレフィックス、警報、及びヘルプメニューを図示しているが、メニューの数はこれよりも多くても少なくてもよく、且つ／或いはこれ以外のメニュー配列も考慮できる。特に、ツールメニュー２２２は、利用可能データ表示、分析、及び警報ツールのリストを含むことができる。ツールメニュー２２２から任意のツールを選択すると、ウィンドウ２２０の内容が選択したツールの使用を反映して変化する。

ビューマーク・メニュー２２４では、ビューマークの作成と、ビューマークの取り出しとが可能で、そのビューマークが作成された時点でのウィンドウ２２０におけるデータビューへの参照を保存できる。ビューマークは、ウィンドウ２２０におけるデータビューに対応した拡張マーク付け言語（ＸＭＬ）レコードを含むことができる。ビューマークは、このデータビューの将来の取り出し及び／又はこのデータビューの共有（例えば、ビューマークを別のクライアント１１４に電子メールすることによる）のために使用できる。一例として、一連のビューマークをデータ分析時に作成して、これらビューマークを順に取り出すことで分析の時間的進行を表すことができる。ビューマーク・メニュー２２４は、ビューマークの作成及び追加、既存ビューマークのリストの表示、表示のためのビューマーク選択（現在のデータビューと取り替えるか、現在のデータビューに新しいデータビューを重ねることによる）、ビューマークのコピー、ビューマークの編集、及び／又はビューマークの削除を含むことができる。

プレフィックス・メニュー２２６では、プレフィックス固有分析ツールに直接リンクするために後に選択できるネットワーク・プレフィックスのリストを作成、選択、編集、且つ／或いは削除する諸機能が利用できる。警報メニュー２２８では、分析サーバ１１０による実時間警報の提供に関して本明細書で詳述するように、警報を作成且つ編集する諸機能が利用できる。

ナビゲーション・ボタン２０６では、選択及び設定変更の取り消し及び再実行、分析サーバ１１０からのデータ再ロード、最近利用可能となったデータの追跡、及び／又はデータ要求中止の諸機能が利用できる。探索ツール２０８は、データを取得するためにデータベース１１２の探索又は照会機能を提供できる。照会には、自律システム番号、プレフィックス名、ドメイン名、及び／又は他のネットワーク属性による照会が含まれるが、これらに限定されない。探索が終了すると、ウィンドウ２２０は、選択した自律システム、プレフィックス、及び／又はドメイン名に関係した接続性情報を表示できる。従って、探索ツール２０８は、データ表示用の多数のツールへの入口点となりうる。図２は、ネットワーク１００に関するより一般的性質の経路指定情報をクライアント１１４に提供できる、ウィンドウ２２０内の初期インターフェースを図示する。これら情報には、アクティブな自律システム及びプレフィックスの数、例えばＢＧＰ通知／取り消し、テーブルサイズ、到達不能ネットワーク、ブラックホール攻撃、不安定性の主要原因のリストなど全体的なネットワーク安定性メトリックが含まれる。

カレンダー・ナビゲーション・ツール２１０は、分析のためのデータの時間フレーム又は時間帯（例えば、時間間隔、期間など）の選択を可能とする。代表的なインターフェース２００に関しては、カレンダー・ナビゲーション・ツール２１０は、データウィンドウを開始するための日付及び時間を選択するカレンダー２３０と、集約ＢＧＰプレフィックス通知／取り消しレートのグラフ表示に重ね合わせた時間範囲スライダ２３２と、時間範囲スライダ２３２の広さを調節するためのスライダ制御手段２３４とを含むことができる。カレンダー２３０を介してデータウィンドウの開始を選択すると、時間範囲スライダ２３２の左端がセットされる。開始を調節するには、例えば、時間範囲スライダ２３２の左端をマウスでクリック／選択し且つ「ドラグ」する（例えば、操作、移動）などしてスライド２３２の左端を移動させればよい。このウィンドウの範囲を調整するには、時間範囲スライダ２３２の右端を移動させればよい。時間範囲スライダ２３２は、マウスでドラグすることにより左右に移動させ、範囲を変更することなく開始時間を変更できる。当業者であれば、インターフェース２００のカレンダー・ナビゲーション・ツール２１０に追加する或いはそれに代わる時間フレームを選択するための他のグラフ表示及び／又は手段を考慮できる。

進行インディケータ２１２は、クライアント１１４が要求するデータに関わる状態情報を表示できる。例えば、状態情報は、保留状態の要求のカウントと、保留状態の要求からどれだけの量のデータがダウンロードされたかの表示と、メモリ使用状態の表示とを含むことができる。プレフィックス・インディケータ２１４は、分析サーバ１１０がどのプレフィックスを処理しているかを示すことができる。リフレッシュ・セレクタ２１６により、クライアント１１４はリフレッシュ・レートを選択できる。この機能により、上述の選択した速度で最新データを追跡するためウィンドウ２２０が表示を更新できる。ツール・インディケータ２１８は、ツールメニュー２２２から選択したツールを表示できる。

図３は、クライアント１１４にグローバル経路指定レポートをウィンドウ３２０内で表示するための代表的なユーザインターフェース３００を示すが、これはツールメニュー３２２から選択され、ツール・インディケータ３１８により示す。一般的に、インターフェース３００は図２のインターフェース２００に対応しており、図２のウィンドウ制御フレームワーク２０２に似た持続的ウィンドウ制御フレームワーク３０２を備えている。従って、参照番号を１００ずらして類似の特徴を示した。インターフェース３００は例示目的で示したもので、他のデータ配置並びにデータ操作及びビュー用の制御手段も考慮されている。グローバル経路指定レポートツールは、選択した時間範囲に関してネットワーク１００内の経路指定アクティビティのビューを提供できる。ウィンドウ３２０に示したレポートは、ＢＧＰ通知３３６と、ＢＧＰ取り消し３３８と、経路指定テーブルサイズとの３つの別個のツールを含むことができる。

ＢＧＰ通知３３６及びＢＧＰ取り消し３３８は、それぞれカレンダー・ナビゲーション・ツール３１０により選択された時間フレームで記録された、ＢＧＰプレフィックス通知レート及び取り消しレートの、グローバルに相関した三次元プロットを提供できる。Ｘ軸は時間を示し、Ｚ軸はそれぞれプレフィックス通知／取り消しの数を示す。Ｙ軸にその目盛りを付けた平行な個別プロット線は、表示した組のルータ１０４ａ及び自律システム・ルータ１０６ａに対応し、収集ルータ１０８に関連付けられており、本明細書ではピア１０４ａ、１０６ａとも呼ぶ。

プロット３３６、３３８は、それぞれ別個のピア１０４ａ、１０６ａから受信したプレフィックス通知及び取り消しレートにおける時間的相関を観察可能にする。Ｙ軸に平行な波状或いはフェンス状の特徴は、表示したピア１０４ａ、１０６ａの殆どにより記録された経路指定イベントで、ネットワーク１００内でグローバルに伝搬するプレフィックス通知又は取り消しのサージを引き起こすイベントを示すことができる。単一のピア１０４ａ、１０６ａに関する単一のピーク及び／又は他の特徴は、経路指定不安定性を報告する単一の自律システム１０２又はルータ１０４を示すことができる。プロット３３６、３３８は、プロット軸を修正し、プロット中の特徴を拡大するための制御手段を含むことができる。例えば、クライアント１１４は、Ｘ軸にそって範囲を選択することで波状の特徴３４２を拡大できる。制御手段を用いると、選択した範囲に従ってプロットを再プロットできる。

経路指定テーブルサイズ３４０は、多数の収集ルータ１０８に関するＢＧＰ転送テーブルのサイズの二次元プロットを表示できる。Ｘ軸は時間を示し、プロットＢＧＰ通知３４６及びＢＧＰ取り消し３３８に示した範囲に一致する。Ｙ軸は別個の経路指定可能プレフィックスの数を示し、各プレフィックスが一度に列挙される。プロット３４０の各線は単一のＢＧＰ経路指定テーブルに対応する。プロット３４０は、例えば所与の時間間隔内で線が増加又は減少する際に、ネットワークにグローバルに影響を与える経路指定イベントを示すことができる。これはＢＧＰ通知３３６及びＢＧＰ取り消し３３８の特徴と相関可能である。経路指定テーブルサイズ３４０は、プロットの軸を修正するための制御手段を含むことができる。

プロット３３６乃至３４０に加え、ウィンドウ３２０は分析ボックス３４４を含むことができ、このボックス３４４は、プロット３３６乃至３４０で表示された選択データにおいて検出された重要な経路指定イベントに関する詳細情報を提供できる。分析ボックス３４４を表示する際に、分析サーバ１１０は、経路指定イベントを識別できる波状の特徴３４２などの選択データを相関に関して処理できる。プロット３３８においてタグ３４６、３４８で示したように、こうしたイベントはタグ付けできる。各タグに関して、分析ボックス３４４は関連付けたタブ３５０を含むことができる。タブを選択することで、分析サーバ１１０は関連付けられたイベントを分析して、検出したイベントの考えられる原因を特定できる。この分析結果は、プレフィックスを通知又は取り消した自律システム及びプレフィックスのリストとして分析ボックス３４４に表示できる。本明細書で詳述するように、分析ボックス３４４に表示された自律システム及びプレフィックスは、ツールメニュー２２２から自律システム近隣グラフ・ツール及びプリフィックス・ツールなどの他のツールにリンクできる。

上述のように、ツールメニュー２２２はプレフィックス・ツールを含むことができ、これらツールにより、分析サーバ１１０は、選択した期間にわたる選択した単一又は一群のプレフィックスに関してデータベース１１２からのＢＧＰ更新データを処理可能である。このデータは処理して、様々な形式でクライアント１１４に提示できる。これら形式には、経路指定サマリーと、生トラフィックのテーブルと、経路変更と、経路停止及び経路状態と、プロバイダ・マップとの形での選択したプレフィックスに関する経路指定アクティビティの概要を含む。

図４は、ツールメニュー４２２（図示しない）から選択された、クライアント１１４にプロバイダ・マップ４３６をウィンドウ４２０内で表示するための代表的なユーザインターフェース４００の一部を示す。このインターフェースでは、ツール・インディケータ４１８は選択したプレフィックスを示す。一般的に、インターフェース４００は図２のインターフェース２００に対応しており、図２のウィンドウ制御フレームワーク２０２に似た持続的ウィンドウ制御フレームワーク４０２を備えている。従って、参照番号を図２の参照番号から２００ずらして類似の特徴を示した。インターフェース４００は例示目的で示したもので、他のデータ配置並びにデータ操作及びビュー用の制御手段も考慮されている。

プロバイダ・マップ４３６は、起点自律システムと、ピア１０４ａ、１０６ａから選択した期間にわたり観察された選択したプレフィックスへの経路の近傍部分とを表示できる。従って、プロバイダ・マップ４３６は、ネットワークから選択したプレフィックスまでの経路の部分グラフと、これら経路が時間と共にどのように変化してきたかを示すことができる。プロバイダ・マップ４３６は、選択プレフィックスをカバーする１つ又は複数のプレフィックス４３８を識別できる。プレフィックス４３８は単一の選択プレフィックスを含むことができ、且つ／或いは図４の代表的なプロバイダ・マップ４３６に示したように、選択プレフィックスを含む１つ又は複数の集約（詳細性が低い）プレフィックスからなる列を含むこともできる。該当する場合は、分析サーバ１１０は複数の起点プレフィックスを検出、表示できる。

プレフィックスと自律システム４４０との間の接続、自律システム４４０と１つ又は複数のネットワーク・プロバイダ４４２との接続、及び／又は自律システム４４０とネットワーク・コア自律システム４４４との間の接続は、色分け、陰影付け、或いはそれ以外の方法で明確に表示して、様々な接続を区別可能とし、これら接続が通知されたパスか取り消したパスの何れを表すのかを区別できる。接続の太さは、プレフィックスを通知又は取り消しており且つそのＡＳＰＡＴＨが当該区分を含むピア１０４ａ、１０６ａの割合を質的に示す。

更に、図４は、プレフィックス固有データの時間進行を調べるための再生制御機構４６６を示している。ビデオ・カセット・レコーダの周知の制御手段と類似した再生制御機構４４６の早送り、巻き戻し、停止、一時停止、再生、又はその他の機能を選択することで、クライアント１１４は表示されている期間を連続的又は漸進的に変化させられる。プロバイダ・マップ４３６に関連して図示されているが、再生制御機構４４６は、上述の様々なプレフィックス・ツールに適用できる。再生制御機構４４６は、色分け、陰影付け、或いはそれ以外の方法で明確に表示したブロック・インディケータを備えた時間範囲表示４４８を備えることもできる。ブロック・インディケータは、通知又は取り消しの数を質的に示すようにサイズ決めされる。時間範囲表示４４８を拡張して多数のピア１０４ａ、１０６ａを表示できるが、これはアップストリームの自律システムによるフラップ・ダンピング及び他の経路指定イベントの識別並びに／又は追跡などで有用である。

図５は、ツールメニュー５２２から選択するか、探索ウィンドウ５０８から選択する、クライアント１１４に自律システム隣接グラフ５３６をウィンドウ５２０内で表示するための代表的なインターフェース５００を示す。代表的なユーザインターフェース５００に関しては、ツール・インディケータ５１８は、自律システム隣接グラフ５３６が自律システム探索の結果であることを表示する。一般的に、インターフェース５００は図２のインターフェース２００に対応しており、図２のウィンドウ制御フレームワーク２０２に似た持続的ウィンドウ制御フレームワーク５０２を備えている。従って、参照番号を図２の参照番号から３００ずらして類似の特徴を示した。インターフェース５００は例示目的で示したもので、他のデータ配置並びにデータ操作及びビュー用の制御手段も考慮されている。

自律システム隣接グラフ５３６は、当該自律システムの経路レジストリ情報５３８と、この自律システムが起点となるネットワーク・プレフィックスのリスト５４０と、近接グラフ５４２とを含むことができる。リスト５４０は、起点となる自律システムが採用する集約ポリシーのビューを提供するために、クラス無しドメイン間経路制御方式（ＣＩＤＲ）ツリーとして編成できる。こうしたツリー構造体で通常可能なように、このツリーは、プレフィックス近くのアイコンをクリック／選択することで拡大又は縮小できる。随意選択で、リスト５４０から１つ又は複数のプレフィックスを選択すると、クライアント１１４が使用可能なプレフィックス・ツールのリストを表示可能としてもよい。

近接グラフ５４２は、指定した自律システム（代表的なインターフェース５００では自律システム番号６８３０）を隣接自律システムの星状グラフの中心に表示する。自律システムは、隣接した自律システムの数に従って色付けしたり、それ以外の方法で区別したりできる。近接グラフ５４２は、クライアント１１４の選択に従って、アップストリーム隣接システム、ダウンストリーム隣接システム、又は両方を含むことができる。アップストリーム隣接システムは、指定した自律システムより、ＢＧＰメッセージのＡＳＰＡＴＨ属性において収集ルータ１０８により近く見えるシステムを含むことができ、ダウンストリーム隣接システムはより遠く見えるシステムである。したがって、アップストリーム隣接システムはプロバイダ・ネットワークである傾向がある一方、ダウンストリーム隣接システムは顧客ネットワークである傾向がある。しかし、アップストリーム隣接システムとダウンストリーム隣接システムとの他の関係も考慮できる。随意選択だが、近接グラフ５４２から何れかの自律システムを選択すると、選択したその自律システムの近接グラフ５３６を表示するようにしてもよい。随意選択だが、クライアント１１４は、タブ５４４で示したように、隣接システム情報を表形式でビューすることを選択できるようにしてもよく、この場合は、ＢＧＰメッセージにおいて最近現れた各隣接関係を示すことができる。

本明細書で記載した方法及びシステムは、随意選択で上述のように経路指定データ及び／又はデータベース１１２のデータの追加分析結果から得られたデータを、クライアント１１４にストリーミングできる。一般的に、ストリーミングは、グローバル・ネットワークＢＧＰ経路指定の状態及び安定性に関する、ＸＭＬ形式で配信されるレポートを（例えば実時間で）提供することを含むことができる。データは定期的に更新可能であり、更新時期はクライアント１１４が選択し、サンプリング・レートは表示対象のデータに合わせて選択できる。データストリームには、グローバルに到達可能なネットワーク・プレフィックスの数と、経路通知及び取り消しメッセージ・トラフィックの強度と、到達不能なネットワークの数と、経路不安定性の評価点と、経路不安定性の評価点の分散と、到達不能なネットワークの数の地理的分散と、ピア１０４ａ、１０６ａからなる組における経路変更の数が最も多いネットワークのリストと、数が最大か又は起点となる不安定なネットワークを備えた自律システムのリストと、クライアント１１４がデータベース１１２から要求できる他のデータとを含むことができる。

グローバルに到達可能なネットワーク・プレフィックスの数は、選択した期間においてデフォルトフリー（原語：default-free）の経路指定テーブルのサイズに基づくことができる。強度は、選択した期間における経路指定メッセージ・トラフィック全体を示すことができる。到達可能なネットワークの数は、一時的に到達不能と推測されるネットワークの数を追跡できるが、これは、経済的且つ工学的活動による通常レベルのネットワーク到着及び退去処理を補正するためにそれ以前の到達性にも依存している。経路不安定性の評価点は、不安定性の評価点を各ネットワーク・プレフィックスへの経路に適用することで不安定な経路の母集団を追跡できる。プレフィックスの不安定性の複数評価点を経時的に累積的に計算し、経路が安定化した後で抑制できる。

経路不安定性の評価点の分散には、重大度とネットワーク・プレフィックスのサイズに従って経路不安定性の内訳を表す一組のベクトル・メトリックを含むことができる。地理的分散は、接続性障害の影響を地理的に特定できる。不安定なネットワークと不安定な自律システムのリストも接続性障害の監視及び解決の助けとなりうる。

更に、上述のデータ表現もストリーミング・データ表現も、経路指定イベントの可能性及び／又は実際の発生の監視を含み、且つ／又はこうしたイベントの可能性及び／又は実際の発生をクライアント１１４に知らせるための経路指定警報を含むことができる。警報は、日常のネットワーク運営コストの引き下げを可能とする、ネットワーク関連問題を検出し、診断する機能を提供できる。経路指定警報は階層的に編成できる。最も下の階層の警報はアトミック警報と呼ぶことができ、後述するように、所与のネットワーク・プレフィックスへの経路が、定義した様態で変化したことが観察されると作動するものである。例えば、このプレフィックスが少なくとも一定の閾値数のピア１０４ａ、１０６ａから到達不能となった場合、又は無許可の起点自律システムを備えたプレフィックスへの経路がピア１０４ａ、１０６ａにより通知された時に作動するアトミック警報を構成できる。更に、本明細書に記載されたシステム及び方法を構成して、アトミック警報に応答してリモート・ネットワーク管理システムにより収集及び相関されるＳＮＭＰトラップを生成するようにしてもよい。

アトミック警報の上に位置した警報階層は複合警報又は警報グループと呼ぶことができ、一組の警報の状態を集約するものである。複合警報はプレフィックス警報を含むことができ、これらは、（１）プレフィックス（Ｐ）自身に関する一組のアトミック警報、及び（２）Ｐに含まれるクライアントが承認したより詳細なネットワーク・プレフィックスに関するプレフィックス警報の組である警報の２つの部分集合を組み合わせることができる。後者の組は、Ｐに関する承認されたより詳細なものが存在しない場合は空となりうる。プレフィックス警報の構成時に、本明細書で記載した方法及びシステムは、例えば４週間などの、以前の期間にわたりピア１０４ａ、１０６ａから受信したＢＧＰ「更新」の分析に基づいてより詳細なもののリストと起点自律システムのリストとを初期化できる。生成したリストはクライアント１１４が編集できる。

複合警報は更に自律システム警報を含むことができ、その要素には、所与の自律システムが起点となったプレフィックスに関するプレフィックス警報を含むことができる。所与の自律システムに関する自律システム警報の構成時に、本明細書で記載した方法及びシステムは、以前の期間にわたりピア１０４ａ、１０６ａから受信したＢＧＰ「更新」の分析に基づいてこの自律システムが起点となるプレフィックスのリストを初期化できる。このリストは、プレフィックスを追加及び削除することによりクライアント１１４が編集できる。他の複合警報をカスタム構成するには、既存のプレフィックス警報及び／又は複合警報をグループ分けすることで可能である。グループ分けには、ネットワークがどの組織に所有されているか、その物理的位置、及び／又はその戦略的重要性を反映させることができる。

これら警報は、実時間モード及び履歴モードを含む様々なモードで動作可能である。実時間モードでは、ＢＧＰ「更新」メッセージがピア１０４ａ、１０６ａから到着した時点で、これらメッセージに応答して警報を計算できる。履歴モードでは、上述した時間ナビゲーション・ツールを用いて選択した開始時間を始点として、データベース１１２内の記録保管済みＢＧＰ「更新」から警報を計算できる。履歴モードは「時間旅行」を提供でき、これによって、警報構成パラメータを微調整するにあたって、構成済み警報がどのように過去の経路指定イベントを検出できたはずであるかをユーザがビューできる。更に、履歴モードは証拠性確保の分析に役立ち、この場合は、特定のイベントが発生した時点で警報を作動させるように構成する、

上述のように、アトミック警報は単一の主要プレフィックスＰ及びトリガ条件を特徴とする。一定のトリガ条件に関して、アトミック警報は、承認されたより詳細なプレフィックスのリスト又はプレフィックスＰに関する承認された起点自律システムのリストを更なる特徴としてもよい。ピア１０４ａ、１０６ａのＢＧＰメッセージは分析サーバ１１０が分析して、警報状態又はピアに関する条件を特定できる。様々な警報タイプが、受信したＢＧＰ「更新」に基づいてアトミック警報をトリガできる。警報タイプは図１に示したものを含みうるが、当業者であればこれ以外のタイプの警報を考慮できるはずである。各警報タイプに関して、対応するピア警報条件タイプが存在しうる。

図６は、分析サーバ１１０が、受信したＢＧＰ「更新」メッセージに基づいてプレフィックスＰに関する条件状態を設定できる方法６００を示す。図１の分析サーバ１１０は、「更新」メッセージを受け取り（６０２）、「更新」メッセージのネットワーク層到達性情報（ＮＬＲＩ）フィールドに含まれているプレフィックスＰ又はある程度詳細なプレフィックスを特定する（６０４）。分析サーバ１１０は、特定したプレフィックスに関し、表１に示した条件の条件状態を設定又はクリアできる。図６は、条件状態を設定且つ／又はクリアするための代表的な方法を示すが、ここに示した動作は、当業者であれば開示した方法から逸脱することなく、これより多く或いは少ない動作でそれ以外の様態で組み合わせ、分離、交換、及び／又は再構成可能である。

図６の代表的な方法は、プレフィックスＰが「アドバータイズ」されているかを特定できる（６０６）。アドバータイズされていれば、「アドバータイズ済み」状態を高に設定し、必要に応じて「取り消し済み」及び「到達不能」状態をクリアする（６０８）。ステップ６１０で特定されるように、プレフィックスＰが１つ又は複数の異なる属性付きでアドバータイズされていれば、「変更」状態は高に設定される（６１２）。ステップ６１４で特定したように、プレフィックスＰがより長いＡＳＰＡＴＨ付きでアドバータイズされていれば、「劣化」状態が高に設定される（６１６）。ステップ６１８で特定するように、より詳細なプレフィックスだが、許可されたより詳細なプレフィックスのリストには載っていないプレフィックスがアドバータイズされている場合は、「分解」状態が高に設定される（６２０）。ステップ６２２で特定されるように、プレフィックスＰが未許可自律システムを起点とするとアドバータイズされているか、自律システムが未許可プレフィックスを通知している場合、「起点」状態は高に設定される（６２４）。ステップ６１０、６１４、６１８、又は６２２で特定した条件が満たされていない場合は、それぞれステップ６２６、６２８、６３０、又は６３２で示したように、「変更済み」状態、「劣化」状態、「分解」状態、又は「起点」状態がクリアされ、「Ａ」で示したように、方法６００はこれら条件状態の相関に進むことができる。

もしプレフィックスＰがステップ６０６で特定されたように「取り消され」ていれば、ステップ６３４で示したように「取り消し済み」、「変更済み」、及び「劣化」状態を高に設定でき、「アドバータイズ済み」、「分解」、及び「起点」状態をクリアできる。ステップ６３６で特定されたように、同一ピアから詳細性がより低いプレフィックスＰへの経路が存在しない場合は、「到達不能」状態を高に設定できる（６３８）。経路が存在する場合は、「到達不能」状態はクリアでき（６４０）、方法６００は、「Ａ」で示したように条件状態の相関に進むことができる。次は条件状態の設定の例を示すことができる。

第１の例では、ＢＧＰ「更新」がピア０から受信され（６０２）、プレフィックス192.168.0.0/16に関するものと特定される（６０４）。このメッセージは取り消しを含むと判断され（６０６）、ステップ６３４で示したように「取り消し済み」、「変更済み」、及び「劣化」状態を高に設定され、「アドバータイズ済み」、「分解」、及び「起点」状態がクリアされる。この例に関しては、ピア０は192.168.0.0/16への有効な経路を以前は備えていたが、同一ピアからＰの詳細性がより低いプレフィックスへの経路が存在せず、「到達不能」状態が高に設定される。後のＢＧＰ「更新」が192.168.0.0/16への経路のアドバータイズメント付きで同一ピアから受信されれば、ステップ６０８で示したように、「取り消し済み」及び「到達不能」条件状態はクリアできる。

第２の例では、ピア0からのＢＧＰ「更新」は、プレフィックス192.168.12.0/24の取り消しを含んでいる。上述したが、ステップ６３４で示したように「取り消し」、「変更済み」、及び「劣化」状態が高に設定され、同時に「アドバータイズ済み」、「分解」、及び「起点」状態がクリアされる。この例に関し、ピア０は192.168.0.0/16及び192.168.12.0.0/24への有効な経路を以前は備えていた。192.168.0.0/16への経路はまだ存在するので、より詳細なものには全く到達不能ではなく、「到達不能」条件状態はステップ６４０でクリアされる。

図７は、方法６００で特定された条件状態に基づいてアトミック警報をトリガできる方法７００を示す。方法７００は「Ａ」から開始でき、方法６００からの１つ又は複数の警報条件状態が高に設定されているかを特定する（７０２）。高に設定されている警報条件状態を、作動した警報条件と呼ぶこともできる。或いは逆に、警報条件が作動した時に、この警報条件状態が高に設定される。作動した各警報条件について、方法７００は作動の累積履歴を調べて、時間的及び／又は空間的相関基準が満たされているかを判断できる。

ピア警報状態条件は、作動時に（警報条件状態が高に設定される時に）タイムスタンプを打刻できる。更に、クライアントが構成可能な「最小」及び「最大」保持時間を、１つ又は複数の警報条件に関連付け可能である。警報条件を作動してからの時間が、少なくとも最小保持時間と同じで最大保持時間よりも長くなければ、ステップ７０４に示したように、時間的な相関基準は満たされる。一般に、最大保持時間はデフォルトでゼロに設定することができ、警報条件が作動と直後に報告される。又、最大保持時間はデフォルトで無限に設定することができ、最大保持時間はなくなる。

各ピア警報条件は、クライアントが構成可能なピア多様性閾値を含むことができる。この値はアトミック警報を作動させるための最小数のピア条件警報を示すことができる。ステッ７０６で特定されるように、所与の警報条件に付いて作動したピア条件警報の数が多様性閾値を上回る場合は、空間的な相関基準が満たされる。閾値数のピア警報条件が満たされる必要があるという要件により、１つ又は少数のピアによる「ノイズ」信号であって、大多数のルータが見るルータの挙動を反映しないことがある「ノイズ」信号を減らすことができる。多様性閾値は、地理的に離間したルータ及び／又は閾値数のルータを包含するように構成できる。例えば、多様性閾値を構成して、閾値数のピア条件が単一の地理的地点に集中するのでなく、一定の地理的領域に分散することを要求できる。

時間的な相関基準及び空間的な相関基準の何れかが所与の警報条件に関して満たされると、関連付けられたアトミック警報が作動でき（７０８）、或いは、関連付けられたアトミック警報が既に作動状態にある場合は作動状態を維持できる。時間的な相関基準及び空間的な相関基準の一方が所与の警報条件に関して満たされていない場合は、関連付けられたアトミック警報は非作動モードに維持され（７１０）、或いは、関連付けられたアトミック警報が既に作動状態にある場合は「一時休止」にできる。アトミック警報が作動すると、警戒を発することができ（７１２）、且つログに記録できる（７１４）。同様に、ログの入力は、いつ警報が一時休止したかを示すことができる。方法７００は、継続的に（７１６）方法６００から高い条件状態が受信されていないかをチェックできる。

図８は、作動したアトミック警報に関して追跡可能なオプションの追加基準を示す。方法７００の時間的及び空間的な相関基準に加えて、アトミック警報は警報状態を特徴とすることもできる。アトミック警報が作動すると、図８の方法８００は、ステップ８０２に示したようにこの警報の状態を一定の初期値に設定可能である。警報状態を時間の経過と共に変えることができる処理スキームを、警報状態に適用できる（８０４）。この関数に基づいた警報状態は（例えば５秒ごとで）定期的に特定できる（８０６）。ステップ８０８に示したように、処理スキームに基づいた警報状態がある閾値を満たすと、警報が一時休止して（８１０）、そのイベントをログに記録できる（８１２）。一実施形態では、この処理スキームは、クライアント１１４が指定した半減期をそなえた指数関数的減衰とすることができるが、他の処理スキームも使用できる。例えば、こうした処理スキームには、警報状態が一定の時間間隔にわたって実質的に変化しない段階関数、及び／又は時間に基づいて且つ／或いは時間の経過と共に変化可能な他の処理スキームを含むことができる。

アトミック警報に加え、本明細書で記載した方法及びシステムは、上述したように複合警報又は警報グループをサポートできる。警報グループは、クライアント１１４によって予め定義且つ／或いは構成できる。アトミック警報と違って、警報グループはイベント駆動型でなくてもよい。むしろ、警報グループは、定義した方法で自分自身の構成要素であるアトミック警報を組み合わせて自分自身の状態を計算可能である。警報表示用の限られたスペースを効率的に利用するため、複合警報を非常に大きな組の警報の代理として用いることもできる。階層管理を容易にするため、図２のメニューバー２０４の警報メニューは、表２に示した警報グループも含んだ予め定義した警報グループを提供できる。

警報グループは、それ自身に含まれる警報の個別状態に基づいて自身の状態を計算する。こうした状態の計算に用いる処理スキームは、そのグループの使用目的に従ってクライアント１１４が選択できる。代表的な処理スキームには、最大スキーム、平均スキーム、及び／又は重み付き平均スキームが含まれるが、必ずしもそれらには限定されない。最大スキームを用いるグループに関しては、この状態を、そのグループの構成要素内で最高及び／又は最大状態として計算できる。例えば、４つの警報からなるグループが{0.5,
0.2, 0.1, 0.0}という個別に計算した状態を持つとすると、このグループ全体の状態は最大値=0.5となるはずである。平均スキームを用いるグループに関しては、この状態を、そのグループ構成要素の状態の合計を構成要素の数で割ったものとして計算できる。例えば、４つの警報からなるグループが{0.5,
0.2, 0.1, 0.0}という個別に計算した状態を持つとすると、このグループの平均状態は(0.5+0.2+0.1)/4＝0.4となるはずである。

重み付き平均スキームを用いるグループに関してこの状態を計算するには、構成要素の状態に重みを適用し、重み付き状態を加算し、且つ正規化のため重みの合計で除算すればよい。重みはクライアント１１４が割り当てできる。例えば、１番目の警報が他より１０倍重要である４つの警報からなるグループにおいて、クライアント１１４は{10,
1, 1, 1}という重みを割り当てられる。ある時点においてこれら４つの警報が{0.5, 0.2, 0.1, 0.0}という状態を持つとすると、この警報グループ全体は、{10*0.5+1*0.2+1*0.1+1*0.0}/13=0.408となるはずである。平均スキームは、重みを等しくした重み付き平均スキームの特別な場合を含むことができることも注目されたい。様々な重み付けスキームが使用できる。

図９は、ツールメニュー９２２又は警報メニュー９２８から選択された、警報データを構成し、ウィンドウ９２０内でクライアント１１４にグラフ表示するための代表的なユーザインターフェース９００を示す。このインターフェースでは、ツール・インディケータ９１８は実時間警報監視モードを示す。一般的に、インターフェース９００は図２のインターフェース２００に対応しており、図２のウィンドウ制御フレームワーク２０２に似た持続的ウィンドウ制御フレームワーク９０２を備えている。従って、参照番号を図２の参照番号から７００ずらして類似の特徴を示した。インターフェース９００は例示目的で示したもので、他のデータ配置並びにデータ操作及びビュー用の制御手段も考慮されている。

代表的なインターフェース９００では、実時間又は履歴警報ツールがツールメニュー９２２又は警報メニュー９２８から起動された時に、構成済み警報を、グラフ９３８に隣接したツリー構造体９３６として表示できる。最初は、ツリー構造体９３６は、各最上レベル・プレフィックス警報と、各自律システム警報と、各名前付き警報グループとの何れかに関して１行を表示できる。クライアント１１４はこの表示を対話的に拡大して、個々の基本（すなわちアトミック）警報のレベルまで、グループ内の構成要素警報を調べることができる。対話的なツリー構造体９３６の最上レベルより下にある構成要素警報と、クライアント１１４が手動で不能にした警報との表示は抑制又はその他の方法で非表示とし、限られた画面スペースをより効率的に使用できる。これらの警報は、アクティブになった時点で順番どおりに表示できる。

グラフ９３８の線は、ツリー構造体９３６の隣接する線に一致できる。グラフ９３８の線は、ナビゲーション・ボタン及び／又はツール９０６、９１０を用いて選択できる期間における警報履歴の状態インディケータ９４０及びプロット９４２を含むことができる。様々な状態レベルを示すため、状態インディケータ９４０は色付け、陰影付け、或いはその他の方法で区別できる。実時間の警報監視については、代表的なインターフェース９００に示したように、ウィンドウ９２０を、分析サーバ１１０による処理に伴って最新の警報データで定期的に更新できる。上述のように、警報データは、経路指定データのストリーミングに類似した様態でストリーミングでき、クライアント１１４がリフレッシュ・セレクタ９１６を用いて更新時期を選択できる。

プロット９４２は、図６に関連して述べたように、相関のないピア警報「設定」及び「クリア」イベントの指定を含むことができる。表示したイベントの種類を示すため、これら指定は色付け、陰影付け、或いはその他の方法で区別できる。相関のない低レベルのイベントから、表示された最近の期間における各警報の進展状態に変化を引き起こす根本的な経路指定アクティビティがどのようなものかがよく分かる。設定／クリア表示又は指定は、構成要素の警報からそれらを含む警報グループまで「遡る」ことができる。従って、任意の警報グループに関する履歴コンテキスト・プロットは、その構成要素の低レベル設定／クリア・イベントと、再帰的に（原語：recursively）その構成要素の構成要素の低レベル設定／クリア・イベントとを表示できる。

プロット線は、経時的にプロットされたアトミック警報及び複合警報の現在の状態を示すことができる。警報が警戒状態にあるアトミック警報かどうかを示すため、これらプロット線は色付け、陰影付け、或いはその他の方法で区別できる。クライアント１１４がグラフ９３８から任意の警報を選択すると、ウィンドウ９２０の下方フレーム９４４が、選択した警報についての追加情報を表示できる。クライアント１１４は、図７に関連して述べたようにこの詳細警報と、図６に関連して述べたように観察した状態を発生した設定／クリア・イベントとを調べることができる。警報グループは、それら構成要素の警報からの警戒及び低レベル・イベントを、表示目的で融合し且つ／或いはその他の様態で組み合わせることができる。

警報情報を表示するだけでなく、警報メニュー９２８は警報の構成を作成且つ／又は編集するためのツールを含むこともできる。例えば、プレフィックス警報は、標準的なドット十進法表記法（例えば、10.1.2.0/24）で基本プレフィックスを入力することによって作成できる。本明細書に記載した方法及びシステムは、所定の時間フレームでデータベース１１２におけるプレフィックス・アドバータイズメント履歴データ内を探索して、より詳細性が低いプレフィックス及びより詳細なネットワークを識別できる。クライアント１１４は、こうした詳細性が低いプレフィックスに警報を出すよう選択でき、更に、より詳細なネットワーク情報を使って、基本プレフィックスの「分解」警報を予め構成し、所望なら集約プレフィックス警報に再帰的に取り込むことができる。

自律システム警報に関しては、クライアント１１４は自律システム番号を入力できる。すると、本明細書に記載した方法及びシステムは、所定の時間フレームでデータベース１１２におけるプレフィックス・アドバータイズメント履歴データ内を探索して、その自律システムを起点とするプレフィックスのリストを初期化できる。警報構成を編集するには、グラフ９３８及び／又はツリー構造体９３６から警報を選択し、編集ツールを選択すればよい。

代表的なユーザインターフェース２００、３００、４００、５００、および９００を含んだ、分析サーバ１１０がユーザ１１４に提供できるユーザインターフェースは、様々なインターフェース間をナビゲートするためのハイパーリンクを含むことができる。例えば、図２の不安定性の主要な起点のリストにおける自律システム番号及びアドレスには、それぞれ図５のインターフェース５００と図４のインターフェース４００とを含めることができる。図２のリストにあるASN
7137をクリック／選択することにより、図５のグラフ５３６に類似した、ASN 7137の自律システム隣接グラフをユーザ１１４に提示できる。他のユーザインターフェースからの別のデータを同様にハイパーリンクして、これら様々なインターフェース間でのナビゲーションを可能とし、よってユーザ１１４に対話的な照会機能を提供できる。

本明細書に記載したシステム構成要素、インターフェース、及び方法を構成する多くの方法があることは明らかである。開示した方法及びシステムは、ネットワークサーバ、パーソナル及びポータブル・コンピュータを含む便利なプロセッサ・プラットホーム、並びに他の処理プラットフォーム上にインストールできる。処理能力の向上に従って、携帯型情報端末、コンピュータ腕時計、携帯電話、及び／又は他の携帯装置を含む上記以外のプラットフォームも考慮できる。開示した方法及びシステムは、公知のネットワーク管理システム及び方法に統合できる。開示した方法及びシステムはＳＮＭＰエージェントとして動作でき、適合管理プラットフォームを実行するリモート・マシンのＩＰアドレスで構成できる。従って、開示した方法及びシステムの範囲は、本明細書に記載した例により限定されることはなく、特許請求の範囲及びその法律的均等物の全範囲を含む。

本明細書に記載した方法及びシステムは、特定のハードウェア又はソフトウェア構成に限定されるものでなく、多くの計算環境又は処理環境で応用可能である。これら方法及びシステムは、ハードウェア又はソフトウェア、或いはハードウェアとソフトウェアの組合せによっても実現可能である。これら方法及びシステムは１つ又は複数のコンピュータ・プログラムで実装できるが、コンピュータ・プログラムは１つ又は複数のプロセッサ実行可能命令を含むものと理解できる。こうした１つ又は複数のコンピュータ・プログラムは、１つ又は複数のプログラム可能プロセッサで実行可能であり、且つ、そのプロセッサが読み出し可能な１つ又は複数の記憶媒体（揮発性及び不揮発性記憶装置、並びに／或いは記憶素子）上に格納でき、１つ又は複数の入力装置、及び／又は１つ又は複数の出力装置を含むことができる。従って、このプロセッサは、入力データを得るために１つ又は複数の入力装置にアクセスでき、且つ出力データを通信するために１つ又は複数の出力装置にアクセスできる。こうした入力及び／又は出力装置は次の１つ又は複数を含むことができる。すなわち、ランダムアクセスムモリ（ＲＡＭ）、ディスクアレイ（ＲＡＩＤ）、フロッピー（登録商標）ドライブ、ＣＤ、ＤＶＤ、磁気ディスク、内部ハードドライブ、外部ハードドライブ、メモリスティック、又は、本明細書で記載したようにプロセッサがアクセス可能な他の記憶装置であるが、上述の例は、全てを網羅しているわけではなく、例示的であって限定的ではない。

これら１つ又は複数のプログラムは、コンピュータシステムと通信する１つ又は複数の高レベル手続き形言語又はオブジェクト指向プログラミング言語で実現できる。しかし、こうしたプログラムは、所望なら、アセンブリ言語又は機械言語で実装できる。この言語はコンパイルしても、解釈してもよい。

上述のように、これら１つ又は複数のプロセッサは、独立して或いはネットワーク環境で協同して動作可能な１つ又は複数の装置に埋め込まれていてもよく、このネットワークには、例えば、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）を含むことができ、更にイントラネット及び／又はインターネット及び／又は別のネットワークが含まれうる。こうした１つ又は複数のネットワークは、ケーブル接続若しくはワイヤレス接続されたもの又はそれらの組合せでもよく、更に、こうした異なるプロセッサ間の通信を促進する１つ又は複数の通信プロトコルを使用可能である。これらプロセッサは分散型処理用に構成することもでき、実施形態によっては、必要に応じてクライアント・サーバモデルを使用できる。従って、これら方法及びシステムは、複数のプロセッサ及び／又はプロセッサ装置を使用可能であり、これらプロセッサ命令は、こうした単一又は複数のプロセッサ／装置間で分割できる。

こうした１つ又は複数プロセッサを統合したこうした１つ又は複数の装置又はコンピュータシステムは、例えば、１つ又は複数のパーソナルコンピュータ、ワークステーション（例えば、Sun、ＨＰ）、個人情報機器（ＰＤＡ）、携帯電話、ラップトップ装置、手持ち型装置などの手持ち式装置、又は上述したように動作可能なプロセッサと統合可能な他の装置を含むことができる。従って、本明細書に記載の装置は全てを網羅したものでなく、限定目的でなく例示目的で記載されている。

「マイクロプロセッサ」及び「プロセッサ」又は「こうしたマイクロプロセッサ」及び「こうしたプロセッサ」の説明は、スタンドアロン及び／又は分散型環境において通信可能で、従って他のプロセッサと有線又は無線で通信するように構成可能な、１つ又は複数のマイクロプロセッサを含むと理解でき、こうした１つ又は複数のプロセッサは、互いに類似か異なる装置としてよい１つ又は複数のプロセッサ制御装置上で動作するように構成できる。従って、こうした「マイクロプロセッサ」又は「プロセッサ」という用語の使用は、中央演算処理装置、論理演算装置、専用集積回路（ＩＣ）、及び／又はタスクエンジンを含むと理解することもできるが、これらは限定目的でなく例示目的で列挙したものである。

更に、特に指定されていない限り、メモリという用語には、上述のプロセッサ制御装置の内部又は外部にあるプロセッサ可読且つアクセス可能な記憶素子及び／又は構成要素を含むことができ、様々な通信プロトコルを用いて有線又は無線ネットワークを介してアクセスでき、更に、特に指定がなければ、内部及び外部メモリ素子を含むように構成でき、又、こうしたメモリは使用例次第では隣接的且つ／或いは区分編成されていてもよい。従って、データベースという用語は、１つ又は複数のメモリ結合を含むと理解でき、こうした用語には、市販のデータベース製品（ＳＱＬ、インフォミックス、オラクル）及び所有権を主張できるデータベースを含むことができ、更に、メモリを、リンク、待ち行列、グラフ、ツリーなどに関連付ける他の構造も含むことができるが、こうした構造は限定目的でなく例示目的で述べたものである。

ネットワークについて言及したが、これはインターネット全体に限定するものでなく、その部分を含むことができる。マイクロプロセッサ命令又はマイクロプロセッサ実行可能命令の説明には、上述の記載に従って、プログラム可能ハードウェアが含まれると理解できる。

特に記載した場合を除き、「実質的に」という言葉は、厳密な関係、条件、構成、配向、及び／又は他の特徴並びに変更を含むが、こうした変更は、通常の技能を備えた当業者の理解では開示した方法及びシステムに著しく影響しない程度のものを言う。更に、実時間に関する本明細書での説明は、「実質的に実時間で」を省略したものと理解できる。これら方法及びシステムの例示した実施形態は、幾つかの局面が「実時間」であると説明しているが、こうした局面は他の様態でも提供できる。

本開示全体にわたり、冠詞「一つの（原語：ａ）」又は「一つの（原語：ａｎ）」を用いて名詞を修飾したが、特に記載した場合を除き、こうした冠詞の使用は便宜的なものであって１つ又は複数の修飾された名詞を含むものと理解できる。

これらの方法及びシステムは、特定の実施形態に関連して説明してきたが、それに限定されない。言うまでもなく、上述の教示を参考にすれば、多くの修正及び変更が可能なことが明らかとなることもあろう。

当業者であれば、本明細書で説明し図示した部材の詳細、材料、及び配列に多くの付加的変更を行うことができる。従って、本明細書に記載の方法及びシステムは開示された実施形態に限定されるものではなく、具体的に記載されたものとは異なる様態で実行可能であって、法律によって許された最大の範囲で解釈されるべきである。

本明細書で説明する方法及びシステムを組み込み可能なネットワーク環境を示す。 ネットワーク経路指定データの監視及び分析のための代表的なユーザインターフェースを示す。 グローバル経路指定レポート用の代表的なユーザインターフェースを示す。 プロバイダ・マップ用の代表的なユーザインターフェースを示す。 自律システム隣接グラフ用の代表的なユーザインターフェースを示す。 条件状態を設定するための方法に関するフローチャートを示す。 条件状態に基づいて警報をトリガするための方法に関するフローチャートを示す。 時間の経過と共に警報状態を変更するための方法に関するフローチャートを示す。 警報監視及び構成用の代表的なユーザインターフェースを示す。

Claims (48)

1. コンピュータ可読媒体上に具体的に格納されたコンピュータ・プログラムであって、
   複数のネットワーク・ルータから経路指定メッセージデータを収集するためのプロセッサ命令と、
   相関データを入手するため、複数ルータ及び時間にわたって前記経路指定メッセージデータを相関するためのプロセッサ命令とを含む、コンピュータ・プログラム。
2. 前記相関データに基づいて経路指定パターンを得るための命令を更に含む、請求項１に記載のコンピュータ・プログラム。
3. 経路指定メッセージデータを収集するための前記命令が、ボーダーゲートウェイ・プロトコルのメッセージデータを収集するための命令を含む、請求項１に記載のコンピュータ・プログラム。
4. 当該ネットワークに関する構造情報を収集するための命令を更に含む、請求項１に記載のコンピュータ・プログラム。
5. 構造情報を収集するための前記命令が、経路指定レジストリデータとドメイン名サービスデータとの少なくとも一方を収集するための命令を含む、請求項４に記載のコンピュータ・プログラム。
6. 相関するための前記命令が、前記構造情報を前記経路指定メッセージデータと相関するための命令を含む、請求項５に記載のコンピュータ・プログラム。
7. 前記経路指定パターンを実時間で前記ネットワークを介してストリーミングするための命令を更に含む、請求項１に記載のコンピュータ・プログラム。
8. 収集するための前記命令が、地理的に多様な地点に位置したルータ間でセッションを確立するための命令を更に含む、請求項１に記載のコンピュータ・プログラム。
9. 前記経路指定パターンに基づいて少なくとも１つの警報を提供するための命令を更に含む、請求項１に記載のコンピュータ・プログラム。
10. 少なくとも１つの警報を提供するための前記命令が、
    ネットワーク・プレフィックスに付いて前記メッセージデータをタイムスタンプ順に処理するための命令と、
    各プレフィックスに関する現在のメッセージデータを、当該プレフィックスの以前のメッセージデータと比較して、当該プレフィックスの警報条件の条件状態を特定するための命令と、
    前記条件状態と、時間的相関基準及び空間的相関基準のうち少なくとも１つとの比較に基づいて、前記プレフィックスの少なくとも１つの警報を提供するための命令とを含む、請求項９に記載のコンピュータ・プログラム。
11. 前記警報条件の少なくとも１つが所定の時間にわたって高となっていることを前記条件状態が示した時に、前記状態条件が前記時間的相関基準を満たしていると判断するための命令と、
    同一の警報条件が高になっていることを所定数のプレフィックスの条件状態が示した時に、前記条件状態が前記空間的相関基準を満たしている、と判断するための命令とを更に含む、請求項１０に記載のコンピュータ・プログラム。
12. 同一の警報条件が高となっていることを、指定した地理的分布を備えた所定数のプレフィックスの前記条件状態が示した時に、前記条件状態が前記空間的相関基準を満たしていると判断するための命令を更に含む、請求項１１に記載のコンピュータ・プログラム。
13. 少なくとも１つの警報を提供するための前記命令が、
    値を前記少なくとも１つの警報に割り当てるための命令と、
    時間に基づいて処理スキームを前記値に適用する段階と、
    前記少なくとも１つの警報の識別されたものを、当該識別された警報の前記値の所定値との比較に基づいて、除去するための命令とを含む、請求項１０に記載のコンピュータ・プログラム。
14. 複合警報を得るために、前記少なくとも１つの警報の組を集約する命令を更に含む、請求項１０に記載のコンピュータ・プログラム。
15. 前記集約する命令が、前記少なくとも１つの警報を、ネットワーク・プレフィックス、当該ネットワーク上の自律システム、及び当該ネットワーク上のサブネットワークの少なくとも１つに基づいて組み合わせるための命令を含む、請求項１４に記載のコンピュータ・プログラム。
16. ネットワーク・プレフィックスに基づいて前記少なくとも１つの警報を組み合わせるための命令が、
    より詳細なプレフィックスのリストと起点自律システム・プレフィックスのリストとの一方を、前記ネットワーク・プレフィックスの経路指定メッセージデータに基づいて生成するための命令と、
    それぞれのリストから選択した前記より詳細なプレフィックスに関する前記少なくとも１つの警報と、前記起点自律システム・プレフィックスに関する前記少なくとも１つの警報とを組み合わせるための命令とを含む、請求項１５に記載のコンピュータ・プログラム。
17. ユーザに前記少なくとも１つの警報のグラフを表示するための命令を更に含む、請求項１０に記載のコンピュータ・プログラム。
18. 経路指定パターンを得るための前記命令が、前記相関データの少なくとも一つの時系列を処理するための命令を含む、請求項２に記載のコンピュータ・プログラム。
19. 少なくとも一つの時系列を処理するための前記命令が、前記少なくとも１つの時系列の選択した部分にわたる、類似パターンのメッセージデータを備えたルータに対応した前記相関データ内の特徴を検出するための命令を含む、請求項１８に記載のコンピュータ・プログラム。
20. 特徴を検出するための前記命令は、前記経路指定メッセージデータが閾値数のプレフィックスを上回ったのを示したことを、前記各ルータに関する相関データが示した時を特定するための命令を含む、請求項１９に記載のコンピュータ・プログラム。
21. 前記特徴の前記相関データに対応した、前記ネットワーク上のサブネットワークと自律システムとの少なくとも一方を識別するための命令を更に含む、請求項２０に記載のコンピュータ・プログラム。
22. 前記少なくとも１つの時系列の前記選択部分の時間スケールを変化させるための命令を更に含む、請求項１９に記載のコンピュータ・プログラム。
23. 処理するための前記命令が、特徴検出、相関、及びクラスタ化を含む信号処理技法のリストから取られた処理技法を適用するための命令を含む、請求項１８に記載のコンピュータ・プログラム。
24. 前記経路指定メッセージデータと前記相関データとの少なくとも一方のグラフをユーザに表示するための命令を更に含む、請求項１に記載のコンピュータ・プログラム。
25. 表示するための前記命令が、
    ユーザ照会を前記グラフ表示に基づいて対話的に処理するための命令と、
    前記経路指定メッセージデータ及び前記相関データのうち、前記照会に一致するデータを前記ユーザに表示するための命令とを含む、請求項２４に記載のコンピュータ・プログラム。
26. 表示するための前記命令が、前記グラフ表示及びその関連づけられた経路指定データに対応したレコードを生成するための命令を含み、当該レコードを読み出すと前記関連付けられた経路指定データに従って前記グラフ表示が生成される、請求項２４に記載のコンピュータ・プログラム。
27. 前記レコードが、拡張マーク付け言語（ＸＭＬ）レコードである、請求項２６に記載のコンピュータ・プログラム。
28. 複数のネットワーク・ルータから経路指定データを収集する段階と、
    ネットワークデータを入手するため、ルータ及び時間にわたって前記経路指定データを相関する段階とを含む、方法。
29. 前記ネットワークデータをユーザに当該ネットワークを介してストリーミングする段階を更に含む、請求項２８に記載の方法。
30. 前記経路指定データを相関する前記段階が、少なくとも１つネットワーク・メトリックを特定する段階を含み、当該少なくとも１つのネットワーク・メトリックが、グローバルに到達可能なネットワーク・プレフィックスのメトリックと、前記ネットワークの全経路指定メッセージ・トラフィックを示す強度メトリックと、到達不能なネットワーク・メトリックと、経路不安定性メトリックと、経路不安定性の評価点分布メトリックとを含む、請求項２８に記載の方法。
31. 前記グローバルに到達可能なネットワーク・プレフィックスのメトリックを特定する前記段階が、所定の時間フレームにわたるデフォルトフリーの経路指定テーブルのサイズを特定する段階を含む、請求項３０に記載の方法。
32. 前記グローバルに到達可能なネットワーク・プレフィックスが、接続性喪失及び劣化イベント並びに前記ネットワークのサイズの変動を表す、請求項３０に記載の方法。
33. 前記強度メトリックを特定する前記段階が、全経路通知メッセージ・トラフィック及び全取り消しメッセージ・トラフィックを特定する段階を含む、請求項３０に記載の方法。
34. 前記到達不能なネットワーク・メトリックを特定する前記段階が、一時的に到達不能と推測されるサブネットワークの数を追跡する段階を含み、この段階は、予想レベルのサブネットワーク到着及び退去を補正するためにそれ以前の到達性にも随意選択で依存する、請求項３０に記載の方法。
35. 前記経路不安定性メトリックを特定する前記段階が、
    不安定性評価点を各プレフィックスに適用する段階と、
    時間ｔの経過と共に各プレフィックスへの経路の前記不安定性評価点を累計的に計算する段階と、
    経路が安定化した後に、前記不安定性評価点を抑制する段階とを含む、請求項３０に記載の方法。
36. 前記経路不安定性の評価点の分散メトリックを特定する前記段階が、重大度及びプレフィックスのサイズに従って経路不安定性の内訳を表す一組のベクトル・メトリックを特定する段階を含む、請求項３０に記載の方法。
37. 異なる時間スケールにわたって、類似パターンのネットワーク・メトリックを備えたルータに対応した前記ネットワークデータにおける特徴を検出する段階を更に含む、請求項３０に記載の方法。
38. 特徴を検出する前記段階は、幾つかのプレフィックスが少なくとも１つのメトリックに関して閾値数のプレフィックスを上回ったことを、前記ルータのそれぞれに関する前記ネットワークデータが示す時を特定する段階を含む、請求項３７に記載の方法。
39. 前記特徴の前記ネットワークデータに関連付けられたプレフィックスに一致したサブネットワークと自律システムとの少なくとも一方を識別する段階を更に含む、請求項３８に記載の方法。
40. ネットワークにおける複数のルータに関して、ボーダーゲートウェイ・プロトコル（ＢＧＰ）「更新」メッセージを、当該ＢＧＰ「更新」メッセージにおいて識別された各ネットワーク・プレフィックスに付いて、タイムスタンプ順に処理する段階と、
    受信した現在のメッセージと受信した以前のメッセージの比較に基づいて、各ネットワーク・プレフィックスに関して少なくとも１つの警報条件を設定する段階と、
    前記少なくとも１つの警報条件を時間及びルータにわたって相関する段階と、
    前記少なくとも１つの警報条件と、時間的相関基準と空間的相関基準とのうち少なくとも一方との比較に基づいて、ネットワーク・プレフィックスの少なくとも１つの警報を提供する段階とを含む、方法。
41. 少なくとも１つの警報を提供する前記段階が、
    前記少なくとも１つの警報条件が所定の期間にわたり設定されている時に、前記少なくとも１つの警報条件が前記時間的相関基準を満たすと判断する段階と、
    前記少なくとも１つの警報条件が所定数のルータに設定されている時に、前記少なくとも１つの警報条件が前記空間的相関基準を満たすと判断する段階とを含む、請求項４０に記載の方法。
42. 少なくとも１つの警報を提供する前記段階は、前記少なくとも１つの警報条件が、指定した地理的分布を備えた所定数のルータに設定されている時に、前記少なくとも１つの警報条件が前記空間的相関基準を満たすと判断する段階を含む、請求項４１に記載の方法。
43. 少なくとも１つの警報を提供する前記段階が、
    値を前記少なくとも１つの警報それぞれに割り当てる段階と、
    前記値を時間と共に変化させる処理スキームを、前記値に適用する段階と、
    前記少なくとも１つの警報のうち識別されたものを、当該識別された警報の前記値が所定値に達した時に除去する段階とを含む、請求項４０に記載の方法。
44. 処理スキームを適用する前記段階が、時間に基づいて前記値を減少させる段階と、時間に基づいて前記値を維持する段階と、時間に基づいて前記値を増加させる段階との少なくとも１つを含む、請求項４３に記載の方法。
45. 複合警報を得るために、前記少なくとも１つの警報の組を集約する段階を更に含む、請求項４０に記載の方法。
46. 集約する前記段階が、前記少なくとも１つの警報を、ネットワーク・プレフィックス、前記ネットワーク上の自律システム、及び前記ネットワーク上のサブネットワークの少なくとも一つに基づいて組み合わせる段階を含む、請求項４０に記載の方法。
47. 前記少なくとも１つの警報を、ネットワーク・プレフィックスに基づいて組み合わせる前記段階が、
    より詳細なプレフィックスのリストと起点自律システム・プレフィックスのリストとの少なくとも一方を、前記ネットワーク・プレフィックスの経路指定メッセージデータに基づいて生成する段階と、
    それぞれのリストから選択した前記より詳細なプレフィックスに関する前記少なくとも１つの警報と、前記起点自律システム・プレフィックスに関する前記少なくとも１つの警報とを組み合わせる段階とを含む、請求項４６に記載の方法。
48. 少なくとも１つの警報を設定する前記段階が、
    プレフィックスがアドバータイズされた時に、当該プレフィックスの「アドバータイズ済み」条件を高に設定する段階と、
    プレフィックスが少なくとも１つの異なる属性を付けてアドバータイズされた時に、当該プレフィックスの「変更済み」条件を高に設定する段階と、
    プレフィックスが取り消された時に、当該プレフィックスの前記「変更済み」条件を高に設定する段階と、
    プレフィックスがより長いＡＳＰＡＴＨ付きでアドバータイズされた時に、当該プレフィックスの「劣化」条件を高に設定する段階と、
    プレフィックスが取り消された時に、当該プレフィックスの前記「劣化」条件を高に設定する段階と、
    プレフィックスが取り消された時に、当該プレフィックスの「取り消し済み」条件を高に設定する段階と、
    プレフィックスが取り消されており、詳細性がより低いプレフィックスへの経路が存在しない時に、当該プレフィックスの「到達不能」条件を高に設定する段階と、
    未許可のより詳細なプレフィックスがアドバータイズされている時に、当該プレフィックスの「分解」条件を高に設定する段階と、
    プレフィックスが当該ネットワーク上の未許可自律システムによりアドバータイズされている時に、当該プレフィックスの「起点」条件を高に設定する段階と、
    当該ネットワーク上の自律システムが未許可プレフィックスをアドバータイズしている時に、当該プレフィックスの前記「起点」条件を高に設定する段階との少なくとも１つを含む、請求項４０に記載の方法。
    
    

Images