JP2009199556A - 通信監視装置、通信監視方法、コンピュータプログラム、そのシステム - Google Patents

Abstract

【課題】ネットワーク上の通信障害を早期に把握する。
【解決手段】通信監視装置１００は、通信端末から通信サーバへの第一送信情報を検出し、第一送信情報に返信する返信情報を検出し、第一送信情報の検出から返信情報を検出までの応答時間を計測し、返信情報に対応する通信端末から通信サーバへの第二送信情報を検出する第二送信情報検出を備え、返信情報の検出から第二送信情報の検出までの応答時間を計測し、所定時間内に計測された複数の第一応答時間および複数の第二応答時間をそれぞれ蓄積し、複数の第一応答時間の累積結果と複数の第二応答時間の累積結果とを比較して通信端末と通信サーバとの間に発生している通信異常を検出する。
【選択図】図１

Description

本発明は、外部ネットワークを介して端末と接続するとともに、内部ネットワークを介してサーバと接続し、外部と内部との間のネットワーク通信を監視する通信監視装置および方法、この通信監視装置のためのコンピュータプログラム、その通信監視装置と端末とサーバとがデータ通信する通信監視システム、に関する。

TCP/IP(Transmission Control Protocol/Internet Protocol)のネットワーク環境において、ネットワーク性能管理に関する技術の向上が求められている。ネットワーク構成情報を自動生成する方法として、SNMP （Simple Network Management Protocol）を用いたネットワークシステムが存在する。このSNMP は、管理をするSNMP マネージャと、管理対象となるネットワーク機器上のSNMP エージェントとの間で、SNMP エージェントの管理するMIB(Management Information Base)を交換することにより機器の管理を行う。

一方、ネットワーク構成の増大やネットワーク機器の多様化／機能の高度化に伴い、収集される情報が膨大なものになってきている。また、ネットワーク構成は、広域で複雑になっている。そこで、ネットワークシステムの性能障害の原因をより正確に解析する技術について、各種の提案がなされている（例えば、特許文献１、２参照）。
特開２００６−１３９２０号公報 特開２００６−２４６１１８号公報

しかしながら、上記文献記載の技術は、以下の点で改善の余地を有していた。

たとえば、インターネット投票のサービスを提供するシステムにおいては、投票の締切間際にアクセスが集中するという特別の事情がある。そして、アクセス集中時にサービスがダウンすれば、莫大な金銭的損失が発生するだけでなく、ユーザからの信頼を損ねてしまうという問題がある。そのため、サービスを確実にダウンさせることを防止するシステムが求められる。

そこで、障害予兆となる原因を早期に把握できれば、サービス全体がダウンしてしまうことを防止することができることが考えられる。しかし、特許文献２に記載の技術では、あらかじめ設定した閾値との比較により通信障害を検出するため、迅速に障害予兆を把握する点で改善の余地がある。

また、このようにシステムを確実にダウンさせないという問題は、インターネット投票のサービスを提供するシステムに限定されず、一般的なネットワークの技術分野において、共通した課題である。

本発明は上述のような課題に鑑みてなされたものであり、ネットワーク上の通信障害をシステムがダウンする前に把握することができる通信監視装置および方法、その通信監視システム、その通信監視装置のためのコンピュータプログラム、を提供するものである。

本発明によれば、第一ネットワークで第一端末と接続されているとともに第二ネットワークで第二端末と接続されている通信監視装置であって、
前記第一端末から前記第二端末への第一送信情報を検出する第一送信情報検出手段と、
前記第一送信情報に返信する前記第二端末から前記第一端末への返信情報を検出する返信情報検出手段と、
前記第一送信情報の検出から返信情報の検出までの第一応答時間を計測する第一応答時間計測手段と、
前記返信情報にさらに返信する前記第一端末から前記第二端末への第二送信情報を検出する第二送信情報検出手段と、
前記返信情報の検出から前記第二送信情報の検出までの第二応答時間を計測する第二応答時間計測手段と、
所定時間内に計測された複数の前記第一応答時間および複数の前記第二応答時間をそれぞれ蓄積する蓄積手段と、
複数の前記第一応答時間の累積結果と複数の前記第二応答時間の累積結果とを比較して前記第一端末と前記第二端末との間に発生している通信異常を検出する異常検出手段と、
を有することを特徴とする通信監視装置
が提供される。

また、本発明によれば、第一ネットワークで第一端末と接続されているとともに第二ネットワークで第二端末と接続されている通信監視装置の通信監視方法であって、
前記第一端末から前記第二端末への第一送信情報を検出するステップと、
前記第一送信情報に返信する前記第二端末から前記第一端末への返信情報を検出するステップと、
前記第一送信情報の検出から前記返信情報の検出までの第一応答時間を計測するステップと、
前記返信情報にさらに返信する前記第一端末から前記第二端末への第二送信情報を検出するステップと、
前記返信情報の検出から前記第二送信情報の検出までの第二応答時間を計測するステップと、
所定時間内に計測された複数の前記第一応答時間および複数の前記第二応答時間をそれぞれ蓄積するステップと、
複数の前記第一応答時間の累積結果と複数の前記第二応答時間の累積結果とを比較して前記第一端末と前記第二端末との間に発生している通信異常を検出するステップと、
を含むことを特徴とする通信監視方法
が提供される。

また、本発明によれば、第一端末と前記第一端末と接続している第一ネットワークと、第二端末と前記第二端末と接続している第二ネットワークと、を接続している通信監視装置のためのコンピュータプログラムであって、
前記第一端末から前記第二端末への第一送信情報を検出する第一送信情報検出処理と、
前記第一送信情報に返信する前記第二端末から前記第一端末への返信情報を検出する返信情報検出処理と、
前記第一送信情報の検出から返信情報の検出までの第一応答時間を計測する第一応答時間計測処理と、
前記返信情報にさらに返信する前記第一端末から前記第二端末への第二送信情報を検出する第二送信情報検出処理と、
前記返信情報の検出から前記第二送信情報の検出までの第二応答時間を計測する第二応答時間計測処理と、
所定時間内に計測された複数の前記第一応答時間および複数の前記第二応答時間をそれぞれ蓄積する蓄積処理と、
複数の前記第一応答時間の累積結果と複数の前記第二応答時間の累積結果とを比較して前記第一端末と前記第二端末との間に発生している通信異常を検出する異常検出処理と、
を前記通信監視装置に実行させるためのコンピュータプログラム
が提供される。

さらに、本発明によれば、第一端末と、前記第一端末と接続する第一ネットワークと、第二端末と、前記第二端末と接続する第二ネットワークと、前記第一ネットワークと前記第二ネットワークとに接続する通信監視装置と、を有する通信監視システムであって、
前記通信監視装置は、
前記第一端末から前記第二端末への第一送信情報を検出する第一送信情報検出手段と、
前記第一送信情報に返信する前記第二端末から前記第一端末への返信情報を検出する返信情報検出手段と、
前記第一送信情報の検出から前記返信情報の検出までの第一応答時間を計測する第一応答時間計測手段と、
前記返信情報にさらに返信する前記第一端末から前記第二端末への第二送信情報を検出する第二送信情報検出手段と、
前記返信情報の検出から第二送信情報の検出までの第二応答時間を計測する第二応答時間計測手段と、
所定時間内に計測された複数の前記第一応答時間および複数の前記第二応答時間をそれぞれ蓄積する蓄積手段と、
複数の前記第一応答時間の累積結果と複数の前記第二応答時間の累積結果とを比較して前記第一端末と前記第二端末との間に発生している通信異常を検出する異常検出手段と、
を有することを特徴とする通信監視システム
が提供される。

なお、本発明の各種の構成要素は、その機能を実現するように形成されていればよく、例えば、所定の機能を発揮する専用のハードウェア、所定の機能がコンピュータプログラムにより付与された通信管理装置、コンピュータプログラムにより通信監視装置に実現された所定の機能、これらの任意の組み合わせ、等として実現することができる。

また、本発明の各種の構成要素は、個々に独立した存在である必要もなく、複数の構成要素が一個の部材として形成されていること、一つの構成要素が複数の部材で形成されていること、ある構成要素が他の構成要素の一部であること、ある構成要素の一部と他の構成要素の一部とが重複していること、等でよい。

また、本発明の通信監視方法には複数の工程を順番に記載してあるが、その記載の順番は複数の工程を実行する順番を限定するものではない。このため、本発明の通信監視方法を実施するときには、その複数の工程の順番は内容的に支障しない範囲で変更することができる。

さらに、本発明の通信監視方法の複数の工程は個々に相違するタイミングで実行されることに限定されない。このため、ある工程の実行中に他の工程が発生すること、ある工程の実行タイミングと他の工程の実行タイミングとの一部ないし全部が重複していること、等でもよい。

また、本発明で云う通信監視装置は、コンピュータプログラムを読み取って対応するデータ処理を実行できるように、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、Ｉ／Ｆ（Interface）ユニット、等の汎用デバイスで構築されたハードウェア、所定のデータ処理を実行するように構築された専用の論理回路、これらの組み合わせ、等として実施することができる。

なお、本発明でコンピュータプログラムに対応した各種動作を通信監視装置に実行させることは、各種デバイスをデータ処理装置に動作制御させることなども意味している。

例えば、通信監視装置に各種データを記憶させることは、通信監視装置に固定されているＨＤＤ（Hard Disc Drive）等の情報記憶媒体にＣＰＵが各種データを格納すること、通信監視装置に交換自在に装填されているＣＤ−Ｒ（Compact Disc-Recordable）等の情報記憶媒体にＣＰＵがＣＤドライブで各種データを格納すること、等でよい。

本発明によれば、ネットワーク上の通信異常の原因を検出することにより、ネットワーク上の通信障害をシステムがダウンする前に把握してサービス全体がダウンすることを防止することができる。

以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。

図２は、本実施の形態の通信監視システム１０００の構成を示す図である。通信監視システム１０００は、通信端末１０と、通信端末１０と接続する外部ネットワーク１と、通信サーバ２０と、通信サーバ２０と接続する内部ネットワーク２と、外部ネットワーク１と内部ネットワーク２とに接続する通信監視装置１００と、を有する。

図１は、通信監視装置１００の論理構造を示す模式的なブロック図である。通信監視装置１００は、通信端末１０と通信端末１０と接続している外部ネットワーク１と、通信サーバ２０と通信サーバ２０と接続している内部ネットワーク２と、を接続している。

通信監視装置１００は、通信端末１０から通信サーバ２０への第一送信情報を検出する第一送信情報検出部（端末情報検出部１０１）と、第一送信情報に返信する通信サーバ２０から通信端末１０への返信情報を検出する返信情報検出部（サーバ情報検出部１０３）と、第一送信情報の検出から返信情報の検出までの第一応答時間を計測する第一応答時間計測手段（内部応答時間計測部１０５）と、 返信情報にさらに返信する通信端末１０から通信サーバ２０への第二送信情報を検出する第二送信情報検出を備える端末情報検出部１０１と、返信情報の検出から第二送信情報の検出までの第二応答時間を計測する第二応答時間計測部（外部応答時間計測部１０７）と、所定時間内に計測された複数の第一応答時間および複数の第二応答時間をそれぞれ蓄積する蓄積部１０９と、複数の第一応答時間の累積結果と複数の第二応答時間の累積結果とを比較して通信端末１０と通信サーバ２０との間に発生している通信異常を検出する異常検出部１１０と、を有する。

外部ネットワーク１は、外部システム３０および内部システム４０を接続している。通信端末１０は、外部システム３０に備えられ、外部ネットワーク１および内部ネットワーク２を介して通信サーバ２０と接続している。通信端末１０は下位処理装置でありクライアント端末である。「外部」とは、外部ネットワーク１および外部システム３０から構成され、内部システム４０によって通信管理されない公共のネットワークシステムをいう。

また、内部システム４０は、内部ネットワーク２を介して通信監視装置１００と通信サーバ２０とを接続している。通信サーバ２０は上位処理装置でありデータベースサーバである。「内部」とは、内部システム４０から構成され、会社等が通信管理しているプライベートなネットワークシステムをいう。内部システム４０として、インターネット投票システムを例示することができる。インターネット投票システムは、選挙、競馬、競艇、競輪等における投票を電子的に実行することを可能とするサービスを提供するシステムである。

具体的には、外部ネットワーク１は、広域ネットワーク（Wide Area Network、ＷＡＮ）である。また内部ネットワーク２は、構内通信ネットワーク（Local Area Network、ＬＡＮ）である。通信端末１０は、携帯電話、ＰＨＳ、ＰＤＡ、パーソナルコンピュータ等、ネットワークと接続できるすべての端末を用いることができる。また、外部システム３０は、複数の通信端末１０から構成されてもよいし、複数の通信端末１０から構成されるＬＡＮを接続している構成も採用してもよい。通信サーバ２０は、通信端末１０に電子投票サービスを提供するサーバである。内部システム４０は、複数の通信サーバ２０から構成されていてもよい。

通信端末１０と、通信サーバ２０との間では、ＴＣＰのコネクション上でデータがやりとりされる。このTCPのコネクションの設定は、パケットデータの中にあるフラグを使ってすることができる。通信端末１０は通信サーバ２０とデータ通信を実行するため、ＴＣＰコネクションを設定する。具体的には、通信端末１０は、通信サーバ２０に対してSYNフラグをセットしたパケットデータ（ＳＹＮパケット）を送信する。通信サーバ２０は、通信端末１０からSYNパケットを受け取ると、通信端末１０に対してSYN/ACKフラグをセットしたパケットデータ（SYN/ACKパケット）を送信する。通信端末１０は、通信サーバ２０に対し、ACKフラグがセットされたパケットデータ（ＡＣＫパケット）を送信する。通信サーバ２０がＡＣＫパケットを受信することにより、ＴＣＰのコネクションが設定される 。

図１で示すように、具体的には、通信監視装置１００は、端末情報検出部１０１と、サーバ情報検出部１０３と、内部応答時間計測部１０５と、外部応答時間計測部１０７と、蓄積部１０９と、異常検出部１１０と、解析部１１１と、判定部１１３と、警告発信部１１５とを有する。

端末情報検出部１０１は、外部ネットワーク１に接続されている通信端末１０が、内部ネットワーク２に接続されているサーバに送信するＳＹＮパケットを端末情報として検出する。端末情報検出部１０１は、検出したパケットデータから送信元となる通信端末１０のＩＰアドレス、ポート番号およびＳＥＱ番号またはＡＣＫ番号を抽出する。

サーバ情報検出部１０３は、ＳＹＮパケットを受け付けた通信サーバ２０が通信端末１０に返信するＳＹＮ／ＡＣＫパケットをサーバ情報として検出する。このとき、サーバ情報検出部１０３は、送信元となる通信サーバ２０の通信端末１０のＩＰアドレス、ポート番号、ＳＥＱ番号およびＡＣＫ番号を抽出する。また、宛先となる通信端末１０のＩＰアドレス、ポート番号、ＳＥＱ番号およびＡＣＫ番号を抽出する。

また、端末情報検出部１０１は、サーバ情報を受け付けた通信端末１０が通信サーバ２０に返信するＡＣＫパケットを第二の端末情報として検出する第二情報検出手段を備える。ＡＣＫパケットを受け付けると、端末情報検出部１０１は、検出したパケットデータから宛先となる通信サーバ２０のＩＰアドレス、ポート番号およびＳＥＱ番号またはＡＣＫ番号を抽出する。

内部応答時間計測部１０５は、ＳＹＮパケットの検出からＳＹＮ／ＡＣＫパケットの検出までの内部応答時間を計測する。具体的には、端末情報検出部１０１がＳＹＮパケットを検出すると、時間計測を開始し、サーバ情報検出部１０３がＳＹＮ／ＡＣＫパケットを検出したとき、時間計測を終了する。得られた計測結果を内部応答時間として蓄積部１０９に格納する。つまり内部応答時間とは、通信サーバ２０が通信端末１０に向けて送信したＳＹＮパケットを検出したときから、検出されたＳＹＮパケットに呼応して通信サーバ２０が送信したＳＹＮ／ＡＣＫパケットを検出するまでの時間をいう。内部応答時間により、内部の通信状況を把握することができる。

より具体的には、内部応答時間計測部１０５は、端末情報検出部１０１がＳＹＮパケットを検出すると、送信元である通信端末１０のＩＰアドレス、ポート番号およびＳＥＱ番号またはＡＣＫ番号を計測開始時刻とともに蓄積部１０９に記憶する。サーバ情報検出部１０３がＳＹＮ／ＡＣＫパケットを検出したとき、蓄積部１０９を参照し、対応する通信端末１０のＩＰアドレス、ポート番号、ＳＥＱ番号およびＡＣＫ番号が記憶されているか否かを判断する。記憶されていたとき、計測終了時刻と、計測開始時刻の差から内部応答時間を求める。

外部応答時間計測部１０７は、ＳＹＮ／ＡＣＫパケットの検出からＡＣＫパケットの検出までの外部応答時間を計測する。具体的には、サーバ情報検出部１０３がＳＹＮ／ＡＣＫパケットを検出すると、時間計測を開始し、端末情報検出部１０１がＡＣＫパケットを検出したとき、時間計測を終了する。得られた計測結果を外部応答時間として通信端末１０ごとに蓄積部１０９に格納する。つまり外部応答時間とは、通信サーバ２０が通信端末１０に向けて送信したＳＹＮ／ＡＣＫパケットを検出したときから、検出されたＳＹＮ／ＡＣＫパケットに呼応して通信端末１０が送信したＡＣＫパケットを検出するまでの時間をいう。外部応答時間により、外部の通信状況を把握することができる。

より具体的には、外部応答時間計測部１０７は、サーバ情報検出部１０３がＳＹＮ／ＡＣＫパケットを検出すると、送信元である通信サーバ２０のＩＰアドレス、ポート番号およびＳＥＱ番号またはＡＣＫ番号を計測開始時刻とともに蓄積部１０９に記憶する。サーバ情報検出部１０３がＳＹＮ／ＡＣＫパケットを検出したとき、蓄積部１０９を参照し、対応する通信サーバ２０のＩＰアドレス、ポート番号、ＳＥＱ番号およびＡＣＫ番号が記憶されているか否かを判断する。記憶されていたとき、計測終了時刻と、計測開始時刻の差から外部応答時間を求める。

図３は、通信監視装置１００における通信管理方法のうち、通信端末１０と通信サーバ２０との間の通信時間を計測する方法を説明するフローチャートである。端末情報検出部１０１は、通信端末１０が通信サーバ２０に対して送信したＳＹＮパケットを検出すると（Ｓ１０１）、内部応答時間計測部１０５は、内部応答時間の計測を開始する（Ｓ１０３）。つづいて、サーバ情報検出部１０３がＳＹＮ／ＡＣＫパケットを検出すると（Ｓ１０５Ｙ）、内部応答時間計測部１０５は、内部応答時間の計測を終了し、得られた内部応答時間を蓄積部１０９に格納する（Ｓ１０７）。また、サーバ情報検出部１０３がＳＹＮ／ＡＣＫパケットを検出したとき（Ｓ１０５Ｙ）、外部応答時間計測部１０７は、外部応答時間の計測を開始する（Ｓ１１３）。端末情報検出部１０１がＡＣＫパケットを検出すると（Ｓ１１５Ｙ）、外部応答時間計測部１０７は、外部応答時間の計測を終了し、得られた外部応答時間を蓄積部１０９に格納する（Ｓ１１７）。

ここで、内部応答時間および外部応答時間は、あらかじめ設定された所定時間内計測するように設定されている。所定時間は端末情報検出部１０１がＳＹＮパケットを検出したときから計測が開始される。そこで、所定時間が経過したか否かを判断し（Ｓ１１９）、所定時間が経過していないと判断された場合（Ｓ１１９Ｎ）、Ｓ１０１に戻る。このように、所定時間を経過するまで内部応答時間および外部応答時間を計測し、計測結果を蓄積する。所定時間を終了する（Ｓ１１９Ｙ）。

このようにして、蓄積部１０９には、所定時間内に計測された複数の内部応答時間および複数の外部応答時間がそれぞれ蓄積されることとなる。

異常検出部１１０は、複数の内部応答時間の累積結果と複数の外部応答時間の累積結果とを比較して、内部と外部の少なくとも一方に発生している通信異常を検出する。内部応答時間は、ＳＹＮパケット及びＳＹＮ／ＡＣＫパケットの内部ネットワーク２の伝送時間と、ＳＹＮパケットを受け付けた通信サーバ２０がＳＹＮ／ＡＣＫパケットを送信するまでの通信サーバ２０の処理時間との和を示すといえる。したがって、内部応答時間が長くなると通信遅延が発生していることとなる。一方、外部応答時間は、ＳＹＮ／ＡＣＫパケットおよびＡＣＫパケットの外部ネットワーク１の伝送時間と、通信端末１０がＳＹＮ／ＡＣＫパケットを受信してＡＣＫパケットを送信するまでの通信端末１０の処理時間と、の和を示すといえる。したがって、内部応答時間の推移と、外部応答時間とを対比しつつ両者の推移を追うことにより、通信異常を検出することができる。

そこで、解析部１１１では、蓄積部１０９を参照し、複数の内部応答時間の累積結果および複数の外部応答時間の累積結果を求める。解析部１１１の行う統計処理は、種々の方法がある。たとえば、解析部１１１は複数の内部応答時間および複数の外部応答時間の平均、分散、標準偏差をそれぞれ計算する。異常検出部１１０は、両者のそれぞれの結果を比較して、内部と外部の少なくとも一方に発生している通信異常を検出する。両者の平均は理論上異なるが、通信状況が良好な場合は、両者の分散値や標準偏差はほぼ同一である。ところが、内部に通信異常が生じると、内部応答時間が長くなる。また、外部に異常が大きくなると、外部応答時間が長くなる。したがって、内部および外部のいずれかに通信異常が発生すると、通信異常の発生した側の分散値や標準偏差が大きくなる。よって、異常検出部１１０は、内部応答時間の分散値と外部応答時間の分散値とを比較し、一方の分散値が大きくなったとき、通信異常が発生したと判断する。同様に、内部応答時間の標準偏差と外部応答時間の標準偏差とを比較し、一方の標準偏差が大きくなったとき、異常検出部１１０は、通信異常が発生したと判断する。

また、解析部１１１は、内部応答時間および外部応答時間のそれぞれの度数分布を解析する。通信端末１０と通信サーバ２０との間の通信異常が検出されたとき、解析された度数分布に基づいて通信異常の原因が外部（外部システム３０および外部ネットワーク１のいずれか一方）にあるか又は内部システム４０（通信サーバ２０および内部ネットワーク２のいずれか一方）にあるかを判定する。

具体的には、解析部１１１は、蓄積部１０９を参照し、内部応答時間の度数分布表および外部応答時間の度数分布表を作成する。この度数分布表は、二つの時間（内部応答時間および外部応答時間）と度数との相関関係を示すものである。度数分布表の作成方法について説明すると、所定時間を一定幅に区切り、一定幅の範囲に含まれる内部応答時間または外部応答時間の個数（度数）をカウントする。横軸に時間を表し、縦軸に度数を表し、カウントした結果をそれぞれプロットする。こうすることにより度数分布表を作成することができる。図４は、解析部１１１が作成する度数分布表の一例である。図４で示す度数分布表では、所定時間として１０秒を設定し、１０秒間に収集した外部応答時間および内部応答時間を５０ｍｓｅｃで区切って各度数を棒グラフにより示している。図４では、内部応答時間の度数分布表と、外部応答時間の度数分布表とが対比して示されている。

解析部１１１が作成した度数分布は、図５のように表示することもできる。図４で表した棒の先端をベースとして近似曲線を引くことにより図５のグラフを作成することができる。図５では、応答時間を示す横軸を基準に、上側に内部応答時間の結果を示し、下側に外部応答時間の結果を示している。こうすることによりそれぞれの度数分布が対比可能な構成となっている。

このように解析部１１１が作成した内部応答時間および外部応答時間のそれぞれの度数分布表を作成し、異常検出部１１０がこれを対比して、通信端末１０と通信サーバ２０との間に発生している通信の異常を検出する。このとき、判定部１１３は、異常の原因が外部にあるか内部システム４０にあるかを判定する。

異常検出部１１０が通信の異常を検出する方法についてさらに具体的に説明する。前述のように、通信状態が良好な場合には、内部応答時間と外部応答時間とでは、平均値はそれぞれ異なるが、分散や標準偏差はほぼ同一である。つまり、通信状態が良好な場合には、応答時間にばらつきの発生は少なく分散は小さいといえる。そうすると、ばらつきが大きい場合は通信状態に異常が発生していると判断できる。したがって、たとえば図５の度数分布表を基準とし、近似曲線の形状が変化したことを検知して、通信の異常の発生を検出することができる。基準となる度数分布表は、たとえば、直近に作成した度数分布表を用いることができる。また、通信端末１０と通信サーバ２０との間の通信が平常であるときの度数分布表があらかじめ取得されている場合には、これを基準としてもよい。近似曲線の形状の変化は、任意の方法で検出することができるが、たとえば、近似曲線の相同性について、任意の値を設定し、設定された値を満たさないと判断したとき、近似曲線の形状が変化したと把握することができる。

つづいて、異常検出部１１０が通信異常の検出したとき、通信異常の原因が外部にあるか内部にあるかを判定する方法について説明する。判定部１１３は、遅延している内部応答時間の度数が多いとき、通信異常の原因が内部システム４０にあると判定し、遅延している外部応答時間の度数が多いとき、通信異常の原因が外部（通信端末１０および外部ネットワーク１のいずれか）にあると判定する。たとえば、内部応答時間の度数分布の近似曲線が基準より右にずれると、ＳＹＮパケットに対するＳＹＮ／ＡＣＫパケットの応答が遅くなっていることを把握することができる。一方、外部応答時間の度数分布は変化がない。したがって、異常箇所は内部にあるということを判定することができる。

図６は、通信異常が発生したときの度数分布表の一例を示す。実線が実測値、破線が基準値を示している。図６では示すように、外部応答時間の度数分布の近似曲線が基準より右にずれると、ＳＹＮ／ＡＣＫパケットに対するＡＣＫパケットの応答が遅いことを示している。一方、内部応答時間の度数分布は変化がない。そうすると、異常箇所は外部にあるということを判定することができる。

また、図７では、異常が発生したときの度数分布表の別の例を示す。実線が実測値、破線が基準値を示している。図７の例では、内部応答時間の近似曲線の形状が基準と同一の形状を保っているが、内部応答時間の一部に遅延がみられる。このことは、平均値、メディアンおよび分散が基準よりも大きいことを意味している。このように、内部応答時間に大きな変化が起こらないが、平均値、メディアンおよび分散が増大するときは、通信端末１０からの再送パケット（ＳＣＫパケット）やＲＳＴパケットが増加しているときに生じる。この場合、内部システム４０内の一部の機器の性能劣化による異常が発生していると考えることができる。したがって、判定部１１３は、異常の原因が内部システム４０にあると判定する。なお、再送パケットおよびＲＳＴパケットについては後述する。

上述のようなデータ処理装置の各部は、必要により各種のハードウェアを利用して実現される。しかし、データ処理装置が実装されているコンピュータプログラムに対応して機能することにより実現されている。このようなコンピュータプログラムは、例えば、第一端末から第二端末への第一送信情報を検出する第一送信情報検出処理、第一送信情報に返信する返信情報を検出する返信情報検出処理、第一送信情報の検出から第二端末から第一端末への返信情報の検出までの第一応答時間を計測する第一応答時間計測処理、返信情報に対応する第一端末から第二端末への第二送信情報を検出する第二送信情報検出処理、返信情報の検出から第二送信情報の検出までの第二応答時間を計測する第二応答時間計測処理、所定時間内に計測された複数の第一応答時間および複数の第二応答時間をそれぞれ蓄積する蓄積処理、複数の第一応答時間の累積結果と複数の第二応答時間の累積結果とを比較して第一端末と第二端末との間に発生している通信異常を検出する異常検出処理、等の処理動作をＣＰＵ１０１等に実行させるためのソフトウェアとしてＲＡＭ１０４等の情報記憶媒体に格納されている。

なお、判定部１１３が内部システム４０に通信異常の原因があると判定したとき、警告発信部１１５は、通信サーバ２０に警告を発信することができる。このとき、解析部１１１が作成した度数分布表を出力してもよい。

また、端末情報検出部１０１は、通信サーバ２０がＳＹＮ／ＡＣＫパケットを受け付けなかったとき通信端末１０から再送されたＳＹＮパケットを検出してもよい。このＳＹＮパケットは、一度ＳＹＮパケットを送信した通信端末１０が通信サーバ２０からＳＹＮ／ＡＣＫパケットを受け付けなかったために再送された再送パケットである。蓄積部１０９は、再送されたＳＹＮパケットの検出回数を単位時間ごとに蓄積することができる。判定部１１３は、単位時間ごとのＳＹＮパケットの検出回数が増加したとき、判定部１１３は、通信異常の原因が内部システム４０にあると判定することができる。

図３にもどり、内部応答時間の計測を開始した後（Ｓ１０３）、ＳＹＮ／ＡＣＫパケットを検出しなかった場合において（Ｓ１０５Ｎ）、ＳＹＮパケットを検出すると（Ｓ１０９Ｙ）、検出されたＳＹＮパケットの検出回数をカウントする（Ｓ１１１）。判定部１１３は、ＳＹＮパケットの計測回数を単位時間ごとに比較する。検出されたＳＹＮパケットが増加しているとき、判定部１１３は、異常が発生していると判定する。そして、この通信異常の原因は、内部ネットワーク２または内部システム４０にあると判定する。

また、サーバ情報検出部１０３は、通信端末１０がＳＹＮ／ＡＣＫパケットに呼応したＡＣＫパケットを受け付けなかったとき通信サーバ２０から再送されたＳＹＮ／ＡＣＫ情報を検出する。このとき検出されるＳＹＮ／ＡＣＫパケットは、一度ＳＹＮ／ＡＣＫパケットを送信した通信サーバ２０が通信端末１０からＡＣＫパケットを受け付けなかったために再送された再送パケットである。蓄積部１０９は、再送されたＳＹＮ／ＡＣＫパケットの検出回数を単位時間ごとに蓄積する。単位時間ごとのＳＹＮ／ＡＣＫパケットの検出回数が増加したとき、判定部１１３は、通信異常の原因が外部（外部システム３０および外部ネットワーク１のいずれか）にあると判定する。

図３で示すように、外部応答時間の計測を開始した後（Ｓ１１３）、ＡＣＫパケットを検出しなかった場合において（Ｓ１１５Ｎ）、ＳＹＮ／ＡＣＫパケットを検出すると（Ｓ１２１Ｙ）、検出されたＳＹＮ／ＡＣＫパケットの検出回数をカウントする（Ｓ１２１）。判定部１１３は、ＳＹＮパケットの計測回数を単位時間ごとに比較する。検出されたＳＹＮパケットが増加しているとき、判定部１１３は、異常が発生していると判定する。そして、この通信異常の原因は、外部ネットワーク１または外部システム３０にあると判定する。

端末情報検出部１０１は、通信端末１０から送信されたＲＳＴ（Reset）パケットを検出してもよい。また、サーバ情報検出部１０３は、通信サーバ２０から送信されたＲＳＴパケットを検出してもよい。 蓄積部１０９は、再送されたＲＳＴパケットの検出回数を単位時間ごとに蓄積する。

ここで、ＲＳＴパケットについて説明する。ＴＣＰでコネクションが確立されている際に、通常の流れではお互いにＦＩＮパケットを送り合いコネクションの開放を行う。しかし、コネクション確立の際に不測の事態、例えば、通信途中に通信端末１０または通信サーバ２０のいずれかがいきなりダウンしてしまったとすると、ＦＩＮパケットを送るような余裕がないため、他方はいなくなった相手に対してデータを送り続けることになる。このような場合、残った通信端末１０または通信サーバ２０はパケットを何度か再送し、それでも返事が返ってこなければあきらめてコネクションを切断する。しかし、あきらめるまでに相手が再起動した場合、前回確立されていたコネクションは覚えていないため、相手がわからないままパケットデータを受信することとなる。そこで、コネクションのリセットを要求するため、ＲＳＴパケットを送信する。したがって、ＲＳＴパケットは「強制切断用パケット」として機能する。

ＲＳＴパケットを検出すると、検出されたＲＳＴパケットの検出回数をカウントする。判定部１１３は、ＲＳＴパケットの計測回数を単位時間ごとに比較する。検出されたＲＳＴパケットが増加しているとき、判定部１１３は、異常が発生していると判定し、警告発信部１１５から警告を発信させる。

端末情報検出部１０１は、複数の通信端末１０が送信するＳＹＮパケットを検出して、蓄積部１０９に検出回数を蓄積してもよい。この場合、ＳＹＮパケットの検出回数は、単位時間ごとに蓄積される。単位時間ごとのＳＹＮパケットの検出回数を、以下、単位時間アクセス数ともいう。解析部１１１は、蓄積された外部応答時間と、単位時間アクセス数との検出回数との相関関係を解析することができる。判定部１１３は、解析された相関関係に基づいて、通信異常の原因が外部（外部システム３０および外部ネットワーク１のいずれか一方）にあるか又は内部システム４０のいずれか一方にあるかを判定する。

解析部１１１は、単位時間における内部応答時間の平均を縦軸にプロットし、単位時間アクセス数を横軸にプロットしてグラフを作成する。通信状況が良好なときは、一定の相関関係を示すグラフを得ることができる。作成されたグラフを基準とし、単位時間における内部応答時間の平均と、単位時間アクセス数との相関関係が大きく異なる結果が得られたとき、異常検出部１１０は、通信異常が発生したことを検出し、判定部１１３は、内部に通信異常が発生していると判別する。解析部１１１は、単位時間における内部応答時間の標準偏差を縦軸にプロットし、単位時間アクセス数を横軸にプロットしてグラフを作成する。こうすることにより、通信状況が良好なときは、同様に一定の相関関係を示すグラフを得ることができる。このような相関関係は、式１のように係数で表すことが可能である。

さらに、内部応答時間および外部応答時間にも一定の相関関係があると考えられる。解析部１１１は、蓄積部１０９を参照し、内部応答時間を横軸にプロットし、縦軸に外部応答時間をプロットする。こうすることにより、得られるグラフを図８に模式的に示す。領域Ａが通常状態とすると、領域Ｂにシフトしたとき、判定部１１３は、内部に通信異常が発生したと、判定することができる。一方、領域Ｃにシフトしたとき、外部に通信異常が発生したと判定することができる。

また、外部システム３０は複数備えることができる。このとき、通信端末１０のＩＰアドレスおよび通信サーバ２０のＩＰアドレスでグルーピングすることにより、外部システム３０を特定することも可能である。図９は、外部システム３０をグループＩ、ＩＩ、ＩＩＩに特定したときの相関関係の一例を示す。図９（ａ）で示すように、平常時は、いずれのグループも同じ集団を形成する。一方、内部システム４０は、ほぼ同じ応答速度を保つ。したがって、各グループの領域は外部応答時間の軸に並行する。一方、図９（ｂ）は、外部に異常が発生した例を示す。グループＩＩの領域についてのみ外部応答時間が遅延している。したがって、通信異常の原因がグループＩＩにあると判定することができる。また、図９（ｃ）は内部に異常が発生した例を示す。グループＩ、ＩＩ、ＩＩＩの領域すべてについて、内部応答時間が遅延している。したがって、通信異常の原因が内部システム４０にあると判定することができる。

つづいて、本実施形態の効果について説明する。本実施の形態の通信監視システム１０００によれば、外部に備えられた通信端末１０の端末情報（ＳＹＮパケット、ＡＣＫパケット）と、内部に備えられた通信サーバ２０のサーバ情報（ＳＹＮ／ＡＣＫパケット）とを検出して、内部応答時間および外部応答時間を計測する。複数の内部応答時間の累積結果と複数の外部応答時間の累積結果とを比較して内部と外部の少なくとも一方に発生している通信異常を検出する。これにより、応答時間の累積結果の相違からネットワーク上の通信障害を的確に把握することができる。したがって、内部システム４０全体がダウンする前に適切な処置を施してサービスの提供が停止してしまうことを防止することができる。

具体的には、内部応答時間および外部応答時間のそれぞれの度数分布を解析し、遅延している内部応答時間の度数が多いとき、通信異常の原因が内部にあると判定し、遅延している外部応答時間の度数が多いとき、通信異常の原因が外部にあると判定する。したがって、ネットワーク上の通信障害がどこにあるのかを的確に把握することができる。

また、本実施の形態の通信監視システム１０００によれば、常時監視することで統計的手法により収集したデータを元に異常状態を把握することができる。これにより、内部に異常があるときは、警報を発信することができる。したがって、内部システム４０の運用者に不足の事態への対処を促すことが可能となる。

以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。たとえば、本実施形態では、内部システム４０として、インターネット投票システムを例に挙げて説明した。しかしながら、本発明はこれに限定されるものではなく、一般的なネットワークの通信管理に適用することができる。

実施の形態の通信管理装置の論理構造を示す模式的なブロック図である。 実施の形態の通信監視システムの構成を示す図である。 実施の形態の通信管理装置における通信管理方法を説明するフローチャートである。 実施の形態の解析部が作成するデータの一例である。 実施の形態の解析部が作成するデータを説明する図である。 実施の形態の解析部が作成するデータを説明する図である。 実施の形態の解析部が作成するデータを説明する図である。 実施の形態の解析部が作成するデータを説明する図である。 実施の形態の解析部が作成するデータを説明する図である。

符号の説明

１ 外部ネットワーク
２ 内部ネットワーク
１０ 通信端末
２０ 通信サーバ
３０ 外部システム
４０ 内部システム
１００ 通信監視装置
１０１ 端末情報検出部
１０３ サーバ情報検出部
１０５ 内部応答時間計測部
１０７ 外部応答時間計測部
１０９ 蓄積部
１１０ 異常検出部
１１１ 解析部
１１３ 判定部
１１５ 警告発信部
１０００ 通信監視システム

Claims (10)

1. 第一ネットワークで第一端末と接続されているとともに第二ネットワークで第二端末と接続されている通信監視装置であって、
   前記第一端末から前記第二端末への第一送信情報を検出する第一送信情報検出手段と、
   前記第一送信情報に返信する前記第二端末から前記第一端末への返信情報を検出する返信情報検出手段と、
   前記第一送信情報の検出から返信情報の検出までの第一応答時間を計測する第一応答時間計測手段と、
   前記返信情報にさらに返信する前記第一端末から前記第二端末への第二送信情報を検出する第二送信情報検出手段と、
   前記返信情報の検出から前記第二送信情報の検出までの第二応答時間を計測する第二応答時間計測手段と、
   所定時間内に計測された複数の前記第一応答時間および複数の前記第二応答時間をそれぞれ蓄積する蓄積手段と、
   複数の前記第一応答時間の累積結果と複数の前記第二応答時間の累積結果とを比較して前記第一端末と前記第二端末との間に発生している通信異常を検出する異常検出手段と、
   を有することを特徴とする通信監視装置。
2. 前記第一応答時間および前記第二応答時間のそれぞれの度数分布を解析する解析手段と、
   前記第一端末と前記第二端末との間の通信異常が検出されたとき、解析された前記度数分布に基づいて前記通信異常の原因が前記第一端末および前記第一ネットワークのいずれか一方にあるか又は前記第二端末および前記第二ネットワークのいずれか一方にあるかを判定する判定手段と、
   を有する請求項１に記載の通信監視装置。
3. 前記判定手段は、遅延している前記第一応答時間の度数が多いとき、前記通信異常の原因が前記第二端末および前記第二ネットワークのいずれかにあると判定し、遅延している前記第二応答時間の度数が多いとき、前記通信異常の原因が前記第一端末および前記第一ネットワークのいずれかにあると判定する請求項２に記載の通信監視装置。
4. 前記判定手段が前記第二端末および前記第二ネットワークのいずれかに前記通信異常の原因があると判定したとき、前記第二端末に警告を発信する警告発信手段を有する請求項１乃至３いずれかに記載の通信監視装置。
5. 前記第一送信情報検出手段は、前記第二端末が前記第一送信情報を受け付けなかったとき前記第一端末から再送された前記第一送信情報を検出し、
   前記蓄積手段は、再送された前記第一送信情報の検出回数を単位時間ごとに蓄積し、
   前記単位時間ごとの前記第一送信情報の前記検出回数が増加したとき、前記判定手段は、前記通信異常の原因が前記第二端末および前記第二ネットワークにあると判定する請求項２乃至４いずれかに記載の通信監視装置。
6. 前記返信情報検出手段は、前記第一端末が前記返信情報に呼応した前記第二送信情報を受け付けなかったとき前記第二端末から再送された前記返信情報を検出し、
   前記蓄積手段は、再送された前記返信情報の検出回数を単位時間ごとに蓄積し、
   前記単位時間ごとの前記返信情報の検出回数が増加したとき、前記判定手段は、前記通信異常の原因が前記第一端末および前記第一ネットワークのいずれかにあると判定する請求項２乃至５いずれかに記載の通信監視装置。
7. 前記蓄積手段は、複数の前記第一端末が送信する前記第一送信情報の検出回数を単位時間ごとに蓄積し、
   前記解析手段は、蓄積された前記第二応答時間と、前記単位時間ごとの前記第一送信情報の前記検出回数との相関関係を解析し、
   前記判定手段は、解析された前記相関関係に基づいて、前記通信異常の原因が前記第一端末および前記第一ネットワークのいずれか一方にあるか又は前記第二端末および前記第二ネットワークのいずれか一方にあるかを判定する請求項５または６に記載の通信監視装置。
8. 第一ネットワークで第一端末と接続されているとともに第二ネットワークで第二端末と接続されている通信監視装置の通信監視方法であって、
   前記第一端末から前記第二端末への第一送信情報を検出するステップと、
   前記第一送信情報に返信する前記第二端末から前記第一端末への返信情報を検出するステップと、
   前記第一送信情報の検出から前記返信情報の検出までの第一応答時間を計測するステップと、
   前記返信情報にさらに返信する前記第一端末から前記第二端末への第二送信情報を検出するステップと、
   前記返信情報の検出から前記第二送信情報の検出までの第二応答時間を計測するステップと、
   所定時間内に計測された複数の前記第一応答時間および複数の前記第二応答時間をそれぞれ蓄積するステップと、
   複数の前記第一応答時間の累積結果と複数の前記第二応答時間の累積結果とを比較して前記第一端末と前記第二端末との間に発生している通信異常を検出するステップと、
   を含むことを特徴とする通信監視方法。
9. 第一端末と前記第一端末と接続している第一ネットワークと、第二端末と前記第二端末と接続している第二ネットワークと、を接続している通信監視装置のためのコンピュータプログラムであって、
   前記第一端末から前記第二端末への第一送信情報を検出する第一送信情報検出処理と、
   前記第一送信情報に返信する前記第二端末から前記第一端末への返信情報を検出する返信情報検出処理と、
   前記第一送信情報の検出から返信情報の検出までの第一応答時間を計測する第一応答時間計測処理と、
   前記返信情報にさらに返信する前記第一端末から前記第二端末への第二送信情報を検出する第二送信情報検出処理と、
   前記返信情報の検出から前記第二送信情報の検出までの第二応答時間を計測する第二応答時間計測処理と、
   所定時間内に計測された複数の前記第一応答時間および複数の前記第二応答時間をそれぞれ蓄積する蓄積処理と、
   複数の前記第一応答時間の累積結果と複数の前記第二応答時間の累積結果とを比較して前記第一端末と前記第二端末との間に発生している通信異常を検出する異常検出処理と、
   を前記通信監視装置に実行させるためのコンピュータプログラム。
10. 第一端末と、前記第一端末と接続する第一ネットワークと、第二端末と、前記第二端末と接続する第二ネットワークと、前記第一ネットワークと前記第二ネットワークとに接続する通信監視装置と、を有する通信監視システムであって、
    前記通信監視装置は、
    前記第一端末から前記第二端末への第一送信情報を検出する第一送信情報検出手段と、
    前記第一送信情報に返信する前記第二端末から前記第一端末への返信情報を検出する返信情報検出手段と、
    前記第一送信情報の検出から前記返信情報の検出までの第一応答時間を計測する第一応答時間計測手段と、
    前記返信情報にさらに返信する前記第一端末から前記第二端末への第二送信情報を検出する第二送信情報検出手段と、
    前記返信情報の検出から前記第二送信情報の検出までの第二応答時間を計測する第二応答時間計測手段と、
    所定時間内に計測された複数の前記第一応答時間および複数の前記第二応答時間をそれぞれ蓄積する蓄積手段と、
    複数の前記第一応答時間の累積結果と複数の前記第二応答時間の累積結果とを比較して前記第一端末と前記第二端末との間に発生している通信異常を検出する異常検出手段と、
    を有することを特徴とする通信監視システム。

Images