JP2008005118A - ネットワーク監視システム - Google Patents

Abstract

【課題】従来は、異常検出時に監視周期を短くしたり、自動的に所定の試験を行うが、これらは、通常監視より監視システムやネットワークに負荷をかけ、また異常時はシステムやネットワーク機器が高負荷の可能性があり、無制限な試験プログラムの実行や、短周期監視は状況を悪化させ、同時多発的アラーム発生時はその危険性が更に高い。
【解決手段】アラーム受信装置が受信した異常検出時における異常内容通知のアラームを、予めアラームの内容別に、実施内容を規定した診断内容データベースと診断処理管理装置が照合して、アラームと実施内容の規定を抽出し、抽出されたアラームと実施すべき診断内容の対を列挙して診断処理待ち行列に格納し、診断実施装置が診断処理待ち行列に登録された診断処理項目を順次実行する。
【選択図】図１

Description

この発明は、ネットワークに繋がれた機器が正常に動作しているか否かを監視するネットワーク監視システムに関する技術である。

ネットワークの運用管理業務では、たとえばIP(Internet Protocol)ネットワーク網では、管理下の機器に対してPing( Packet INternet Groper)を実行して、その応答により機器の生死を判断するとか、あるいは機器が一般的に持つMIB（Management Information Base）と呼ばれるデータベースからトラフィック量などの統計値を読み、所定の基準値に違反しないか判定することにより、ネットワークの診断を行っている。
ネットワーク監視システムは、一般的には上記のような処理を定期的かつ自動的に行う機能を持ち、ネットワークの運用管理者の作業をサポートする。

異常があった場合、監視システムは、一般にはアラームを生成して、監視システムの画面上で該当機器の色を変えるとか、音を鳴らすなどして、管理者に通知する機能を持っている。 管理者は、アラームの内容に基づき、原因究明や関連各方面への連絡など、所定の作業を行う。
原因究明のための作業としては、たとえばtracerouteコマンドを使って所定の経路を使っているかを検査したり、パケット廃棄量などエラーを示すMIB値を見たり、あるいは機器のログや設定内容を確認する、といった作業を行うこととなる。

このような分析作業は、管理者の経験や勘に基づき選択され実施することもあるが、予め業務上「どのアラームを受けたらなにをする」かが規定されている場合もある。その場合は、ネットワーク管理システムの中に当該処理の機能を組み込み、アラーム受信に伴い自動実行させることにより、管理者の負荷を軽減することが可能となる。

たとえば、特許3534067号公報では、通常はある周期にて管理下の機器を観測するが、ある時点で異常値が観測された場合、該当の機器に対しては、それ以降の一定期間は、より短周期で監視を行うシステムが提案されている。図８は、特許3534067号公報の図1においてこの特許3534067号発明によるネットワーク監視システムの構成例として示された図である。これによれば、第1の監視部１１ａが予め定められた時間間隔での監視を行い、判別部１１ｃにより異常が検出された場合には、第2の監視部１１ｂにより、より短周期での観測を行うこととされている。短周期での観測は、正常状態にもどったら停止することとされている。

また、特開2001-333010号公報では、アラーム発生時には予め規定しておいた試験を行うシステムが示されている。図９は、特開2001-333010号公報の図２においてこの特開2001-333010号公報に記載の発明の実施の形態における交換機の構成として示された図である。この図において、トラフィック観測部２５は、観測の結果異常と判断される機器等を判別し、その結果を試験制御部２６に送り、試験制御部２６が試験実行部２７に対して試験実行の指示を行うことにより、異常検出時に予め規定された試験を自動的に行うものとされている。

なお、ここでの説明においては、IPネットワークでの監視内容を例として説明したが、上記のように平時においては簡易な診断を行い、異常が疑われるときはより精密な診断や調査を行うことは、IPネットワークの運用管理以外、つまり非IPネットワークの運用管理においても一般的に行われていることと考えられる。

特許3534067号公報 特開2001-333010号公報

前述の文献（特許3534067号公報や特開2001-333010号公報）では、異常検出時に監視の周期を短くしたり、自動的に所定の試験を行うシステムについて言及されている。
このような手法は、異常の発生件数が少ないとか、ネットワークや監視システムが高負荷状態になっていない場合には有効な手法である。
しかし、一般に異常検知後の試験や情報収集の作業は、通常の監視内容よりも監視システムやネットワークに負荷をかける作業となる。また、異常検知時にはネットワーク上に輻輳があるなどして、システムおよび管理下のネットワーク機器がただでさえ高負荷状態になっている可能性がある。
このような場合には、異常が検出されたからといって、無制限に試験プログラムを走らせたり、短周期の監視を行うと、状況を悪化させることがありうる。同時多発的にアラームが発生している場合には、その危険性は更に高くなる。
この発明はこの点を解決し、異常検知時にはアラーム内容に応じて予め規定された診断作業を自動的に行うが、監視システムやネットワークには許容範囲以上の負荷をかけないネットワーク監視システムを得ることを目的とする。

この発明に係るネットワーク監視システムは、
ネットワーク機器の異常検出時には異常内容を通知するためのアラームを受信するアラーム受信装置と、アラームの内容別に、実施すべき診断内容を予め規定した診断内容データベースと、受信アラームと診断内容データベースを照合し、実施すべき診断内容を検索する診断処理管理装置と、診断処理管理装置が検索した実施すべき診断内容を受信アラームと対にした診断処理項目を列挙し格納しておく診断処理待ち行列と、診断処理待ち行列に格納された診断処理項目を所定基準内で順次実行する診断実施装置を備える。

この発明に係るネットワーク監視システムによれば、監視システムやネットワークに過度の負荷をかけずにアラーム受信時の診断を自動実行可能なネットワーク監視システムを得ることができる。

実施の形態１．
図１は、この発明の実施の形態１に基づくネットワーク監視システムの構成を示す図である。
図１において、１はネットワークでの異常発生時にアラームを受信するアラーム受信装置、２は受信したアラームに対応する診断内容を後述の診断処理待ち行列４に格納する診断処理管理装置、３はアラームとそのアラームの受信時に実施すべき診断内容との対応関係の表を格納する診断内容データベース、４はアラームの受信に伴い診断実行すべき処理を一時的に格納する診断処理待ち行列、５は診断処理待ち行列４に格納された診断項目を順次取り出し、そこに書かれた診断処理を実行する診断実施装置である。

なお、一般的にネットワーク監視システムの構成としては、上記のほかにも受信したアラームを一覧表示する機能や、管理下のネットワーク機器の接続をグラフィカルに表示する機能などを持つが、これらはこの発明に関与しないので、記述は省略する。

次に、診断内容データベース３について、これに格納されるデータの形式を図2を用いて説明する。
診断内容データベース３に格納されるデータは、たとえば図２の２１のように、アラーム毎に対応する診断内容を規定したデータや、あるいは２２のように、アラームとそれを発信した機器の組み合わせに対して、対応する診断内容が決まるようなデータにする。ただし、各組み合わせに対して１対1に診断内容を決める必要はなく、たとえば図2の２１の形式で言えば、アラームCとアラームDに対応する診断内容が同じものであってもよい。また、すべての具体的なアラームや機器を表に列挙する必要はなく、包括的な記法を使ってもよい。つまり、「“それ以外”のアラームの場合は“診断Z”を行う」といったように、列挙した以外の状態の場合に対応するための書き方も許可する。

診断内容は、具体的には自動実行可能なコンピュータプログラムの名称を指定するが、名称だけでなく引数も使えるようにする。引数としては「アラームの内容」、「アラームを発信した機器」、「アラーム発信時刻」など、受信したアラームから読み取れる情報を使えるようにする。

続いて、動作について説明する。
まず、アラーム受信装置１が、発生したアラームを受信する。アラーム受信装置１は、受信したアラームを診断処理管理装置２に転送する。診断処理管理装置２は、受信アラームに対応する診断内容を診断内容データベース３から検索し、取得した診断内容を診断処理待ち行列４に登録する。診断処理待ち行列４の中では、各診断内容は到着順に管理される。

診断実施装置５は、診断処理待ち行列４に登録された診断内容を順に実行する。この際、監視システムやネットワークに過度に負荷がかからないように、所定の制限のもとで各診断を行う。
制限の基準の例を下記にいくつか示す。
・同時に実行する診断をN個以内に制約する。
・監視システムのCPU使用率やメモリ使用率、実行中プロセス量などのリソースが所定の基準内である範囲で、できるだけ診断を実行する。
・診断対象となる機器のCPU使用率やメモリ使用率、実行中プロセス量などのリソース状況を確認し、所定の基準内であれば、診断を実行する。

上記の基準は、あくまでも例示であって、これ以外の基準を用いてもよいし、複数の基準の論理的な組み合わせにより判定してもよい。要は、診断処理は監視システムもしくはネットワークの負荷が所定の基準の範囲内において実行されるため、過度の負荷をかけないようにする。

ここで、基準値を超える状態となり、なおかつ診断処理待ち行列４にまだ診断すべき項目が残っている場合、診断実施装置５は所定の時間だけ待ち、その後改めて基準値以内になったか確認の上、残る診断を実施するようにする。

以上実施の形態１によれば、監視システムやネットワークに過度の負荷をかけずにアラーム受信時の診断を自動実行可能なネットワーク監視システムを得ることができる。
なお、この実施の形態は、管理対象であるネットワークの仕様には依存しない。たとえばIPネットワークでもよいし、非IPネットワークでもよい。いずれにしても、普段行われる監視の内容と、その監視の結果異常が疑われるときに追加で診断すべき内容が明確に規定されており、その診断内容が監視システムにより自動的に実行可能な形態になっていれば、この実施の形態が適用可能である。
なお、この実施の形態は、後述の各種の実施の形態と組み合わせて実施することも可能である。

実施の形態２．
この発明の実施の形態２に基づくネットワーク監視システムについて説明する。
この実施の形態におけるシステムの構成は、実施の形態１のものと同様である。ただし、診断の優先度に基づく処理を可能とするため、システムを構成する診断処理管理装置２、診断内容データベース３、診断処理待ち行列４、診断実施装置５の動作は異なるものとなる。以下、順に説明する。

まず、診断内容データベース３では、図３に示すように、実施する診断内容に対してその優先度を付記する。例では「優先」「一般」の２段階としているが、多段階としてもよい。診断処理待ち行列４は、図４に示すように内部の格納領域を２つに分け、「優先」の診断内容を格納する待ち行列と、「一般」の診断内容を格納する待ち行列を設ける。優先度を多段階にするときは段数に応じて待ち行列を設けることとする。

診断処理管理装置２は、実施の形態１と同様に、受信したアラームに対応する診断内容を診断内容データベース３から検索する。その後、得られた診断内容に規定された優先度に応じて、診断処理待ち行列４の対応する待ち行列に登録する。
診断実施装置５は、実施の形態１と同様に所定の基準の範囲内で診断を実行するが、その際、診断処理待ち行列４の、優先度の高い待ち行列に登録されている診断処理を優先的に実施し、優先度の低い待ち行列に登録されている処理は後回しにする。

以上この実施の形態２によれば、実施の形態1と同様に、監視システムやネットワークに過度の負荷をかけずにアラーム受信時の診断を自動実行可能でありつつ、優先度に応じた処理が可能なネットワーク監視システムを得ることができる。

なお、この実施の形態は、前述および後述の各種の実施の形態と組み合わせて実施することも可能である。

実施の形態３．
この発明の実施の形態３に基づくネットワーク監視システムについて説明する。
この実施の形態におけるシステムの構成は、実施の形態１のものと同様である。ただし、同一機器から同一のアラームが発生しているときの処理の重複を避けるため、診断処理管理装置２の動作は異なるものとなる。また、診断内容データベース３のデータ内容は、実施の形態１のそれよりも制約されたものとなる。つまり、同一機器で検出された同一のアラームであることを認識可能とするために、図２の２２の例のようにアラーム×機器の組み合わせで判別できる形式である必要がある。

この条件のもとで、診断処理管理装置２は、受信したアラームに該当する診断内容を診断内容データベース３から検索するが、これを直ちに診断処理待ち行列４に登録することはせず、すでに同内容の診断処理が診断処理待ち行列４に登録されていないか確認したうえで未登録の場合に登録するようにする。
また、管理者の判断などにより、一度受信したアラームが削除された場合には、アラーム受信装置１は削除された旨を診断処理管理装置２に通知する。診断処理管理装置２は、該当する診断内容を診断処理待ち行列４に登録していた場合は、これを削除する。

以上この実施の形態３によれば、同一の診断処理の重複登録や、削除されたアラームに関する無用な診断処理を避けることができ、診断のための負荷を軽減することが可能なネットワーク監視システムを得ることができる。

なお、既存のネットワーク管理ソフトウェアの中には、繰り返し同じアラームが発生する場合に最新のひとつだけを提示したり、複数のアラームが同時に発生した場合に、ネットワークの構成などと照合しつつ重要なアラームだけを提示することにより、管理者の負荷を軽減する機能を持つものがある（このような機能は「イベント集約機能」とか「Event Correlation 」等と呼ばれる）。この実施の形態をこのような機能を持つネットワーク管理ソフトウェアの拡張として実装すれば、より効果的に診断の負荷を削減することが可能となる。

なお、この実施の形態は、前述および後述の各種の実施の形態と組み合わせて実施することも可能である。

実施の形態４．
この発明の実施の形態４に基づくネットワーク監視システムについて説明する。
この実施の形態におけるシステムの構成は、実施の形態１のものと同様である。ただし、診断内容データベース３のデータは、図５に示すように、各診断作業には期限となる異常を検出してから診断を実施しなければならない時間を記載するように拡張する。
診断処理管理装置２は、受信時刻と診断実施までの時間から期限となる時刻を計算し、この期限時刻に従って診断処理待ち行列４への登録を行うようにする。
この結果、診断処理待ち行列４では、より喫緊に期限時刻がくる順に、各診断項目が並ぶようにする。
なお、多くのアラームが発生した結果、定められた期限内に診断を実行できなかった場合において、診断を無効とするか、あえて実行するかを規定できるように、診断内容データベース３の記述を更に拡張してもよい。

以上実施の形態４によれば、特に異常状態が短時間だけ続き正常に戻るようなアラームに対する診断を優先的に処理することが可能なネットワーク監視システムを得ることができる。

なお、この実施の形態は、前述および後述の各種の実施形態と組み合わせて実施することも可能である。

実施の形態５．
この発明の実施の形態５に基づくネットワーク監視システムについて説明する。
この実施の形態におけるシステムの構成は、実施の形態１のものと同等である。ただし、診断内容データベース３のデータは、図６に示すように、各診断作業には、診断を実施するための閾値となる値を付記するものとする。診断実施装置５が監視システムあるいはネットワークの負荷を計測して診断の実施／待ちを判定する際に、ここで書かれた値を参照し、記述された範囲に収まっていれば診断処理を実行するようにする。

閾値の記法は、原則的には診断実施装置５が行う負荷計測の単位に従うものとし、たとえば「CPU使用率」などパーセンテージで量れるものであればパーセンテージで規定するし、トラヒック量などのようにbit/secといった単位で計れるものはbit/secで記載するといったように、この実施の形態の実装に応じて規定することとなる。また、個別に規定しなくとも実施の形態1のように診断実施装置５が予め規定した値を閾値とするのであれば、「標準」といったマクロ的な記法を使えるようにする。同様に、負荷がどのような状態であっても実施したい診断があるのであれば、「無制限」といったマクロ記法を使えるようにする。

以上実施の形態５によれば、特にネットワークや監視システムの負荷が高い状態であっても実施したい重要な診断については処理することが可能となるネットワーク監視システムを得ることができる。

なお、この実施の形態は、前述および後述の各種の実施の形態と組み合わせて実施することも可能である。

実施の形態６．
この発明の実施の形態６に基づくネットワーク監視システムについて説明する。
図７は、この実施の形態に基づくネットワーク監視システムの構成を示す図である。実施の形態６は図1に示す実施の形態１の構成に対して、待ち行列編集装置７１を追加した構成となっている。その他の構成および機能は実施の形態1のものと同様である。したがって待ち行列編集装置７１についてのみ説明する。

待ち行列編集装置７１は、管理者の求めに応じて、現在の診断処理待ち行列４の内容を表示し、管理者による削除や順序変更といった編集機能を提供する装置である。この実装方法は、パソコン上のソフトウェアとしてデータ表示したり表示内容を編集するソフトウェアとして充当すればよく、この装置自体は公知の技術により作成できるものである。
この装置により、管理者は、所望の診断を優先的に実行するように順序を変更したり、あるいは、アラームを受信した理由が計画されたメンテナンス作業や工事であるなど、原因が明確で診断の必要がない場合などに、登録された診断処理を削除することが可能となる。

以上実施の形態６によれば、この発明に基づくネットワーク監視システムの処理により、診断処理待ち行列４に診断処理が登録された後でも、ユーザたる管理者の判断によりさらに実行順を変更したり不要な診断を行わないなどフレキシブルな運用が可能となるネットワーク監視システムを得ることができる。

なお、この実施の形態は、前述の各種の実施形態と組み合わせて実施することも可能である。

この発明に係るネットワーク監視システムは、各種ネットワーク管理システムへ適用されることで、監視システムやネットワークに過度の負荷をかけずに、アラーム受信時の診断が自動実行可能であり、ネットワーク運用管理者の作業をサポートできる。

この発明の実施の形態１によるネットワーク監視システムの構成図である。 この発明の実施の形態１における診断内容データベースの説明図である。 この発明の実施の形態２における診断内容データベースの説明図である。 この発明の実施の形態２における診断処理待ち行列の内部構成の説明図である。 この発明の実施の形態４における診断内容データベースの説明図である。 この発明の実施の形態５における診断内容データベースの説明図である。 この発明の実施の形態６によるネットワーク監視システムの構成図である。 従来のネットワーク監視システムの構成図である。 従来の移動通信システムにおける通信リソース自動試験を実施する交換機の構成図である。

符号の説明

１；アラーム受信装置、２；診断処理管理装置、３；診断内容データベース、４；診断処理待ち行列、５；診断実施装置、７１；待ち行列編集装置。

Claims (6)

1. ネットワーク機器の状態を監視するネットワーク監視システムにおいて、ネットワーク機器の異常検出時には異常内容を通知するためのアラームを受信するアラーム受信装置と、アラームの内容別に、実施すべき診断内容を予め規定したデータを保管する診断内容データベースと、受信アラームと診断内容データベースを照合し、実施すべき診断内容のデータを検索する診断処理管理装置と、診断処理管理装置が検索した実施すべき診断内容を受信アラームと対にしてなる診断処理項目を列挙し格納しておく診断処理待ち行列と、診断処理待ち行列に格納された診断処理項目を所定負荷基準内で順次実行する診断実施装置を備えたことを特徴とするネットワーク監視システム。
2. 診断内容データベースは、実施すべき診断内容のデータに予め優先度を付し、診断処理待ち行列は、診断処理管理装置が検索した診断内容と受信アラームを対にした診断処理項目を優先度別に異なる領域に格納することを特徴とする請求項１記載のネットワーク監視システム。
3. 診断内容データベースは、機器とアラームと診断内容とを対応付けた診断処理とし、
   診断処理管理装置は、受信したアラームに該当する診断処理を診断内容データベースから得、同一内容の診断処理が診断処理待ち行列に既登録か否かを確認し、未登録の時診断処理待ち行列に登録する構成にすることを特徴とする請求項１又は２に記載のネットワーク監視システム。
4. 診断内容データベースでは、異常検出から診断を実施しなければならない期限までの時間を記載し、診断処理待ち行列では、診断実施装置が期限の切迫している項目から診断できるように、上記期限を考慮した待ち行列を構成することを特徴とする請求項１記載のネットワーク監視システム。
5. 診断内容データベースは、各診断内容に診断を実施する閾値を付し、診断実施装置は診断の実施／待ちの判定を監視システムまたはネットワークの負荷を計測し、計測結果が診断内容データベースに格納された各診断内容の閾値に記述された範囲内の時、診断処理を実行する構成にすることを特徴とする請求項１記載のネットワーク監視システム。
6. 診断処理待ち行列の内容を表示し、順序変更など診断処理待ち行列の編集を許可する待ち行列編集装置をさらに備えたことを特徴とする請求項１乃至５の何れか１つに記載のネットワーク監視システム。

Images