JP2011182011A - 中継装置及び通信システム及び異常検出方法及びプログラム - Google Patents

Abstract

【課題】静的なルールよりも幅広くネットワーク上の異常を検知する。
【解決手段】機器Ａ（２２２）〜Ｄ（２２５）間でパケットの中継を行う中継装置（２０１）において、機器動作推定部（２０５）が機器Ａ（２２２）〜Ｄ（２２５）から受信したパケットの受信順序及び受信間隔を監視し、受信状況に応じて所定の状態遷移定義に基づいて状態を遷移させ、機器Ａ〜Ｄがそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しない状態に遷移した場合に、障害検知部（２０８）に対して異常の発生を通知する。
【選択図】図１

Description

本発明は、複数の通信装置の間でデータの中継を行う中継装置等に関し、例えば、制御ネットワークにおいて複数の機器の間で制御用データの中継を行う中継装置等に関する。

標準的なＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）通信技術であるイーサネット（登録商標）を用いて、制御機器および被制御機器間の制御ネットワークを構築するシステムが普及し始めている。
これは、イーサネット（登録商標）機器の実装技術が進み、１００Ｍｂｐｓや１Ｇｂｐｓ等の、これまでの制御ネットワークと比べて高速な通信速度を持つものが安価に利用できるようになったこと、ＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔ）の第２層であるデータリンク層の中継装置であるイーサネット（登録商標）ハブが、スイッチングハブ（イーサネット（登録商標）スイッチ）となり、イーサネット（登録商標）フレームの衝突によるフレームの喪失の可能性がなくなり、高い信頼性が必要な制御用途に利用しやすくなってきたことなどが原因である。

例えば、産業用イーサネット（登録商標）プロトコルと呼ばれる、ＰＲＯＦＩＮＥＴやＥｔｈｅｒＮｅｔ（登録商標）／ＩＰは、イーサネット（登録商標）上に構築される制御ネットワーク向けのプロトコルである。
これら産業用イーサネット（登録商標）プロトコルには、イーサネット（登録商標）上で独自のプロトコルを構築しているものもあれば、イーサネット（登録商標）上にＴＣＰ／ＵＤＰ／ＩＰ等のイーサネット（登録商標）標準のプロトコルを使用し、これらＴＣＰ／ＵＤＰ／ＩＰプロトコル上でさらに独自のプロトコルを構築しているものもある。

このようなイーサネット（登録商標）による制御通信は、ＦＡ（Ｆａｃｔｏｒｙ Ａｕｔｏｍａｔｉｏｎ）、ＰＡ（Ｐｒｏｃｅｓｓ Ａｕｔｏｍａｔｉｏｎ）と呼ばれるような工場の機器制御だけでなく、航空機内の機器の制御（例えば、非特許文献１）や、列車上の機器の制御（特許文献１）にも用いられている。

このような制御システムにおいては、機器の制御、管理等を行う組込みネットワーク及び組み込みネットワークを使用するアプリケーションは慎重に設計、試験され、運用される。
しかし、試験で発見されなかったシステムに潜在する欠陥（ソフトウェアのバグ、設計の不具合、等）が顕在化し、障害を発生させてしまう場合がある。

あるいは、ひとつのネットワークを複数の制御機器−被制御機器間の通信に利用するため、ネットワーク内のいずれかの機器に障害が発生した場合には多数の機器にその影響が及ぶ可能性がある。
例えば、無駄な通信トラフィックが発生して他の正常な通信トラフィックの速度低下を招く、障害が発生した機器から想定外のメッセージが発信され、想定外のメッセージを受信した正常な機器が誤動作する、等である。

オフィスネットワークやインターネットアクセスのネットワークと比べて、これら制御ネットワークでは、機器を含むネットワーク上の障害を検知し、対処することが重要である。

ネットワークにおける障害（異常）の検知の例として、例えば、特許文献２に記載の技術がある。
特許文献２の技術では、ネットワークシステム上を流れるトラフィックフロー情報を収集し、収集されたトラフィックフロー情報を、予め用意されたトラフィックフロー特性に基づいて定義されたトラフィックルールと比較することで異常を検知するものである。
特許文献２では、トラフィックルールの例として、特定の送信元および送信先ＴＣＰポート番号の組の、ＴＣＰのトラフィックに対し、送信データサイズや応答データサイズ、送信頻度をルールとしている。

また、別の例として、アクセス制御（パケットフィルタリング）機能がある。
簡単な例として、ＵＤＰ通信を行わない機器に対しては、ＵＤＰの送信を認めない（破棄する）。
これは、ファイアウォールや、パーソナルファイアウォールなどとも呼ばれるパソコン上のファイアウォール、あるいはまたイーサネット（登録商標）スイッチやルータにおいて実現されている。

特開２００１−２７５２１１号公報 特開２００８−８５８１９号公報

Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２７ｔｈ Ａｎｎｕａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｆ ｔｈｅ ＩＥＥＥ Ｉｎｄｕｓｔｒｉａｌ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｏｃｉｅｔｙ（ＩＥＣＯＮ ’０１） ｐ．１５９３， Ｎｅｔｗｏｒｋ−Ｂａｓｅｄ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍｓ： Ａ Ｔｕｔｏｒｉａｌ

制御ネットワークに、しばしば共通的に見られる特徴として、ネットワーク上のトラフィックが、予測可能であることがある。

簡単な例を図２０に示す。
機器Ａから機器Ｄが中継装置（Ｌ２ＳＷ）を介して接続されている。
このネットワークでは機器の制御のため、主な制御用の通信として、パケット（Ｒｅｑ−Ａ）、パケット（Ｒｅｓ−Ａ−Ｂ）、パケット（Ｒｅｓ−Ａ−Ｃ）、パケット（Ｐｕｓｈ−Ｄ−Ａ）が送受信される。
パケット（Ｒｅｑ−Ａ）は、機器Ａが機器Ｂ、機器Ｃに対してマルチキャストで要求を行うパケットである。
パケット（Ｒｅｓ−Ａ−Ｂ）は、機器Ｂがパケット（Ｒｅｑ−Ａ）に対して応答を行うパケットである。
パケット（Ｒｅｓ−Ａ−Ｃ）は、機器Ｃがパケット（Ｒｅｑ−Ａ）に対して応答を行うパケットである。
パケット（Ｐｕｓｈ−Ｄ−Ａ）は、機器Ｄが自身の判断で機器Ａに対してプッシュ型のユニキャスト通信を行うパケットである。
なお、これらのパケットは、ＵＤＰ／ＩＰ上で行われるものとする。

Ｒｅｑ−Ａは１００ｍｓの定周期に行われ（結果としてＲｅｓ−Ａ−Ｂ、Ｒｅｓ−Ａ−Ｃも定周期となる）、Ｐｕｓｈ−Ｄ−Ａは、機器Ｄ内の何らかのイベントの発生により行われるものとする。
それ以外の通信、例えばＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）等が行われることがあるものの、機器上のアプリケーションが明示的に行う通信は、以上ですべてであるとする。
各パケットの中身における制御の内容（値）は変わることがあっても、上記の動作は一定である。

オフィスユースやインターネットアクセス等に用いられるネットワークと異なり、制御専用のネットワークにおける通信は、このように、ネットワーク上の通信を、そのネットワークを利用するアプリケーションの仕様、設計情報から、ある程度前もって知ることができる、あるいはより詳細に知ることができる可能性が高い。

図２０に示した例の場合、従来技術によってネットワークの異常（障害）を検知することが可能である。

特許文献２のトラフィックフロー情報を適用すれば、Ｒｅｑ−Ａ、Ｒｅｑ−Ａ−Ｂ、Ｒｅｑ−Ａ−Ｃは、それぞれ送信元、送信先のＩＰアドレス、ＵＤＰポート番号が分かっており、１００ｍｓに１パケットという頻度も分かっている。
したがって、例えば１秒毎に異常診断を行い、過去１秒あたりのパケット数が例えば１０±２個であれば異常ではないと判断できる（±２個は、タイマーのずれなどを考慮したマージンである）。

あるいは、アクセス制御（パケットフィルタリング）を適用すれば、Ｒｅｑ−Ａ、Ｒｅｑ−Ａ−Ｂ、Ｒｅｑ−Ａ−Ｃに加えて、Ｐｕｓｈ−Ｄ−Ａも、それぞれ送信元、送信先のＩＰアドレス、ＵＤＰポート番号が分かっている。
したがって、これらの情報を元にルールを作成できる。ルールに従わないパケットを発見した場合、異常が発生したと判断できる。

ところが、図２０の通信にある条件が加わったとする。機器Ａは、Ｐｕｓｈ−Ｄ−Ａを受信後、１秒間はＲｅｑ−Ａを送信しない、という制御アプリケーションの仕様が加わったとする。

この場合、上記のアクセス制御は、なお有効であるが、トラフィックフロー情報による異常検知は適用できなくなる。
Ｐｕｓｈ−Ｄ−Ａ受信後の１秒間は、Ｒｅｑ−Ａのトラフィック量は０となり、１０±２の範囲を超えるためである。

あるいはまた、Ｐｕｓｈ−Ｄ−Ａパケットが発生する確率が既知（１分に１度以下）であるとすれば、過去１秒あたりのパケット数で判断するのではなく、過去１分あたりのパケット数が６００±２０個であれば異常ではないと判断することもできるが、障害（異常）発生から、検出までの時間が長くなってしまう可能性が高い。

この発明は、上記のような課題を解決することを主な目的の一つとしており、静的なルールに代えて、あるいは静的なルールに追加して、各通信装置の動作アルゴリズムに基づいて生成されたルールを用いて、より幅広くネットワーク上の異常を検知することを主な目的とする。

本発明に係る中継装置は、
それぞれが既定の動作アルゴリズムに従って他の通信装置にパケットを送信する複数の通信装置に接続され、前記複数の通信装置の間でパケットの中継を行う中継装置であって、
前記複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信パターンが異常受信パターンとして定義されている異常検出情報を記憶する情報記憶部と、
各通信装置から送信されたパケットを順次受信する受信部と、
前記受信部によるパケットの受信状況を監視し、前記異常検出情報で定義されている異常受信パターンでパケットが受信された場合に、異常の発生を通知する受信状況監視部とを有することを特徴とする。

本発明によれば、複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しない異常受信パターンを参照しながらパケットの受信状況を監視し、異常受信パターンでパケットが受信された場合に、異常の発生を通知するため、静的なルールよりも幅広くネットワーク上の異常を検知することができる。

実施の形態１に係る中継装置の構成例を示す図。 実施の形態１に係るパケットチェック部のルールの例を示す図。 実施の形態１に係る機器動作推定部の例を示す図。 実施の形態１に係る状態遷移定義の対象となるパケット定義例を示す図。 実施の形態１に係る状態遷移定義の例を示す図。 実施の形態１に係る状態遷移の例を示す図。 実施の形態２に係る中継装置の構成例を示す図。 実施の形態２に係る機器動作推定部の例を示す図。 実施の形態２に係る統計情報チェック部のルールの例を示す図。 実施の形態２に係る状態遷移定義の例を示す図。 実施の形態２に係る状態遷移の例を示す図。 実施の形態３に係る中継装置の構成例を示す図。 実施の形態３に係る機器動作推定部の例を示す図。 実施の形態４に係るネットワークの構成例を示す図。 実施の形態４に係る機器動作推定部の例を示す図。 実施の形態４に係る拡張機器動作推定サーバ装置の例を示す図。 実施の形態１に係る中継装置の動作例を示すフローチャート図。 実施の形態１に係る中継装置の動作例を示すフローチャート図。 実施の形態１〜４に係る中継装置等のハードウェア構成例を示す図。 ネットワークの例を示す図。

実施の形態１．
本実施の形態及び以降の実施の形態では、イーサネット（登録商標）のスイッチングハブ、イーサネット（登録商標）のルータ等の中継装置において、中継装置の接続ポートに接続されている機器および機器上のアプリケーションによるネットワーク通信情報を既知の情報として使用して、静的なルールに基づく手法に代わって、あるいは追加して、より幅広くネットワーク上の故障を検知する技術を説明する。

図１に実施の形態１に係る中継装置の構成例を示す。
本実施の形態に係る中継装置（２０１）は、例えば、イーサネット（登録商標）スイッチである。
中継装置（２０１）は、ポート１（２１０）からポート４（２１３）までの４つのポートを備えている。
それぞれのポートに機器Ａ（２２２）〜機器Ｄ（２２５）が接続されている。
機器Ａ（２２２）〜機器Ｄ（２２５）は、それぞれ通信装置の例である。
中継装置（２０１）は、機器Ａ（２２２）〜機器Ｄ（２２５）の間でパケットの中継を行う。
また、機器Ａ（２２２）〜機器Ｄ（２２５）は、それぞれが既定の動作アルゴリズムに従って他の機器にパケットを送信する。

中継装置（２０１）は、例えば、イーサネット（登録商標）の物理層（ＰＨＹ（２１４）〜ＰＨＹ（２１７））が装備され、さらにイーサネット（登録商標）のＭＡＣ層（ＭＡＣ（２１８）〜ＭＡＣ（２２１））が装備される。
また、フレームの転送など、中継装置（２０１）としての機能を実現するため、各ＭＡＣはＭＡＣブリッジ（２０９）と接続される。

さらに、中継装置（２０１）において、各ポートのＭＡＣ層にパケット抽出部（２０４）等が接続される。
図１では図示を省略しているが、ポート２〜ポート４に対するＭＡＣ（ＭＡＣ（２１９）〜ＭＡＣ（２２１））にもそれぞれ個別に同様に、パケット抽出部（２０４）から障害検知部（２０８）に至る構成が配備される。
パケット抽出部（２０４）は、フレームから抽出したパケットの情報を渡すため、パケット特徴抽出部（２０３）と接続される。
機器動作推定部（２０５）、パケットチェック部（２０７）は、パケット特徴抽出部（２０３）より、パケット特徴情報を受け取る。
障害検知部（２０８）は、機器動作推定部（２０５）、パケットチェック部（２０７）より、異常通知を受け取る。
また、中継装置（２０１）の管理、設定等のため、ＲＳ−２３２−Ｃポート（２２６）が装備される。

障害検知部（２０８）は、機器動作推定部（２０５）などからの異常通知をうけて、障害として認識する手段であるが、例えば障害を検知すると、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）等を使用して異常通知を送信したり、障害を検知したポートを遮断したりする。

パケット抽出部（２０４）は、対応するＭＡＣから、パケットの一部、または全部を抽出する。
通常、イーサネット（登録商標）フレーム（パケット）の最大サイズは１５００バイト程度となるため、全部を取り出すと負荷が高くなってしまう可能性がある。
また、パケットの特徴の抽出において重要である、プロトコルのヘッダ情報はパケットの前方にかたまって配置されることが一般的である。
これらの理由により、パケット抽出部（２０４）は、フレームの先頭の６４バイト、あるいは１２８バイトに限定してパケットの特徴を抽出してもよい。

例えば、イーサネット（登録商標）上でＴＣＰ／ＵＤＰ／ＩＰを使用する場合、イーサネット（登録商標）フレームのヘッダは１４バイト、ＩＰヘッダはオプションがない場合で２０バイト、ＵＤＰヘッダは８バイト、ＴＣＰヘッダは２４バイトである。
ヘッダのデータサイズを合計すると、ＵＤＰの場合で４２バイト、ＴＣＰの場合で５８バイトとなり、６４バイト以内に収まる。

なお、ＰＨＹ（２１４）、ＭＡＣ（２１８）及びパケット抽出部（２０４）は受信部に相当する。
ポート２（２１１）〜ポート４（２１３）においても、ＰＨＹ（２１４）、ＭＡＣ（２１８）及びパケット抽出部（２０４）に対応する構成は受信部に相当する。
なお、受信には、中継装置２０１としての受信と、ＭＡＣにおける受信がある。
中継装置２０１としての受信は、中継装置２０１がポートより機器Ａ〜Ｄのいずれかからのフレームを受信することを意味する。
ＭＡＣにおける受信は、ＭＡＣがポートより機器Ａ〜Ｄのいずれかからのフレームを受信することと、ＭＡＣブリッジ２０９から機器への送信用パケットを受信すること（ＭＡＣブリッジ２０９から受信したデータが、機器へフレームとして送信される）の双方を含む。
例えば、後述する図４において、番号１は、ＭＡＣがポートより機器Ａからのフレームを受信することを意味しており、番号２〜４は、機器Ａ宛てのパケットをＭＡＣブリッジ２０９から受信する（機器Ａにフレームを送信する）ことを意味している。
なお、図４の詳細は後述する。

パケット特徴抽出部（２０３）は、上に挙げたヘッダ情報から、パケットに特徴的な情報を抽出する。
パケット特徴情報の例を示す。
なお、プロトコルポート番号は、ＴＣＰやＵＤＰのポート番号であり、中継装置（２０１）のポートの番号とは無関係である。
一般的には、これらの組み合わせで、通信に使用しているプロトコルや、セッション（一続きの通信）を区別できる。
送信元ＭＡＣアドレス
送信先ＭＡＣアドレス
送信元ＩＰアドレス
送信先ＩＰアドレス
ＩＰパケット長
プロトコル：ＡＲＰ、ＴＣＰまたはＵＤＰ
送信元プロトコルポート番号
送信先プロトコルポート番号
パケットの向き：ＩＮ（機器からスイッチへ）／ＯＵＴ（スイッチから機器へ）

パケットチェック部（２０７）は、従来技術におけるアクセス制御（パケットフィルタリング）のように、パケット特徴情報があらかじめ設定されたルールに従わない場合に、異常と判断する。

図２に、図２０のネットワークを適用した場合の、パケットチェック部（２０７）の持つ、ルール表の例を示す。
図２は、ポート１（２１０）に機器Ａ（２２２）が接続されているとした場合の、ポート１（２１０）に対する表である。
番号１はＲｅｑ−Ａ、番号２はＲｅｓ−Ａ−Ｂ、番号３はＲｅｓ−Ａ−Ｃ、番号４はＰｕｓｈ−Ｄ−Ａにそれぞれ対応している。
なお、ＡＲＰパケットにはプロトコルポート番号は存在しない。

図２は、許可されているパケットのルールであり、図２のルールに反するもの、すなわち許可されていないパケットが観測されると、パケットチェック部（２０７）は異常発生とみなして、障害検知部（２０８）に通知する。

なお、図１では省略したが、パケットチェック部（２０７）には図２の表を記憶するためのルール記憶部が装備され、また、中継装置（２０１）に装備されるシリアルポート（ＲＳ２３２Ｃ）や、ＩＰ通信によって、図２の表の設定を行うルール設定部が装備される。

機器動作推定部（２０５）は、機器Ａ（２２２）〜機器Ｄ（２２５）がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信パターンが異常受信パターンとして定義されている状態遷移定義（異常検出情報）を記憶する領域を有しており、パケットの受信状況を監視し、状態遷移定義で定義されている異常受信パターンでパケットが受信された場合に、異常の発生を通知する。
状態遷移定義には、パケットの異常受信パターンとして、各機器が正常に動作している場合には発生しないパケットの受信順序及び各機器が正常に動作している場合には発生しないパケットの受信間隔の範囲の少なくともいずれかが定義されている。
そして、機器動作推定部（２０５）は、状態遷移定義で定義されている受信順序でパケットが受信された場合及び状態遷移定義で定義されている受信間隔の範囲内でパケットが受信された場合の少なくともいずれかにおいて、異常の発生を通知する。

図３に機器動作推定部（２０５）の例を示す。
機器動作推定部（２０５）は、その中心的な存在として、状態遷移機械（４０２）を有する。
状態遷移機械入力フィルタ部（４０３）は、パケット特徴抽出部（２０３）からパケット特徴情報を得て、状態遷移機械（４０２）に必要なパケット特徴情報を選択して状態遷移機械（４０２）に出力する。
状態遷移機械（４０２）が異常を検知すると、異常通知部（４０５）に通知する。
なお、状態遷移機械入力フィルタ部（４０３）と状態遷移機械（４０２）は、受信状況監視部の例である。
異常通知部（４０５）は、障害検知部（２０８）に検出した異常を通知する。
状態遷移機械入力フィルタ部（４０３）、状態遷移機械（４０２）は、状態遷移定義記憶部（４０６）に記憶されている状態遷移定義を使用する。
状態遷移機械（４０２）は機器Ａ（２２２）〜Ｄ（２２５）から受信したパケットの受信順序及び受信間隔を監視し、受信状況に応じて状態遷移定義に基づいて状態を遷移させ、機器Ａ〜Ｄがそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しない状態に遷移した場合に、障害検知部（２０８）に対して異常の発生を通知する。
状態遷移定義記憶部（４０６）は情報記憶部の例である。
状態遷移定義管理部（４０４）は、状態遷移定義の格納処理、読み出し処理、更新処理等を行い、状態遷移定義を管理する。
状態遷移定義管理部（４０４）は、例えば、ＲＳ−２３２−Ｃポート等と接続され、設定情報を得て、状態遷移定義記憶部（４０６）に保存する。

以降では、図２０に示した通信に加えて、機器ＡはＰｕｓｈ−Ｄ−Ａを受信後１秒間はＲｅｑ−Ａを送信してはならない、という制御を行っていた場合の、機器Ａ（２２２）を接続するポート１（２１０）の機器動作推定部（２０５）を例にとって説明する。

図４は、状態遷移定義の対象となるパケットを定義する表を示す。
図５は、状態遷移定義の例を示す。
図６は理解を容易にするために図５の状態遷移定義を図示したものである。

図４の状態遷移定義の対象となるパケット定義例について説明する。
状態遷移機械入力フィルタ部（４０３）は、パケット特徴抽出部（２０３）から受け取ったパケット特徴情報を、本表のパケット特徴と比較する。
そして、状態遷移機械入力フィルタ部（４０３）は、本表の特徴に合致するパケットの表における番号をイベント番号として、状態遷移機械（４０２）の入力として出力する。
パケット番号１、２、３、４は、それぞれ図２０のＲｅｑ−Ａ、Ｒｅｓ−Ａ−Ｂ、Ｒｅｓ−Ａ−Ｃ、Ｐｕｓｈ−Ｄ−Ａに相当するパケットである。

状態遷移機械（４０２）は、図５に示した状態遷移定義にしたがって動作する。
図５の状態遷移定義は、上述のように状態遷移定義記憶部（４０６）において記憶されており、また、図５の状態遷移定義には機器Ａ（２２２）〜機器Ｄ（２２５）がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信パターンが異常受信パターンとして定義されている。
また、状態遷移機械（４０２）は、タイマー機能を有している。
これは、指定した長さの時間を期限とするタイマーであり、指定した時間が経過すると状態遷移機械（４０２）に対してイベントを発生させる。
また、状態遷移機械（４０２）からは、タイマーの経過時間を知ることができる。
状態遷移機械（４０２）は、タイマーにより発生したイベントに対しても状態遷移定義に従って状態を遷移させていく。

状態遷移機械（４０２）は、図５に示すように初期状態の他、Ｓ１からＳ８の８個の状態を持つ。
状態に遷移した場合には、動作ＩＮの動作を行う。
状態遷移機械（４０２）に対する入力イベントとして、上で述べたタイマーイベントの他、状態遷移機械入力フィルタ部（４０３）によって通知されるイベント番号（図４におけるパケット番号と同じ番号）がある。
機器Ａ（２２２）〜機器Ｄ（２２５）から図４のテーブルに一致するパケット受信がある度にイベントが発生し、状態遷移機械（４０２）は、発生したイベントに対して状態遷移定義に従って状態を遷移させていく。
状態遷移定義は、ある状態にある場合に、あるイベントが発生した場合、かつ、なんらかの条件が成立した場合に、動作ＯＵＴに示される動作を行って、遷移先に示される状態に遷移する、ということをあらわしており、状態遷移機械（４０２）は、状態遷移定義に従って動作する。

図５の例では、後述のように状態Ｓ８に遷移した際に異常の発生を通知することになっており、状態Ｓ８への状態遷移は機器Ａ（２２２）〜機器Ｄ（２２５）がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しない状態遷移であり、状態Ｓ８へ遷移するパケットの受信パターン（パケットの受信順序及びパケットの受信間隔）は異常受信パターンに相当する。
機器動作推定部（２０５）では、状態遷移機械入力フィルタ部（４０３）が、パケットが受信される度に、受信されたパケットを解析し、状態遷移機械（４０２）が、順次受信されたパケット（すなわち、パケット受信により発生したイベント）と状態遷移定義に従って、状態を遷移させて、状態Ｓ８に至った場合に異常の発生を通知する。

図５において、初期状態からＳ１状態へは自動的に遷移する。
必ずしも、機器Ａ（２２２）の通信の最初から観測できるとは限らないため、番号２、３のパケットは無視しており、番号１のパケットを受信すると状態Ｓ２に遷移する。
Ｓ２からＳ３、Ｓ５の流れは、Ｒｅｑ−Ａに対して、Ｒｅｓ−Ａ−Ｂ、Ｒｅｓ−Ａ−Ｃを順番に受信した際の遷移である。
一方、Ｓ２からＳ４、Ｓ６の流れは、Ｒｅｑ−Ａに対して、Ｒｅｓ−Ａ−Ｃ、Ｒｅｓ−Ａ−Ｂを順番に受信した際の遷移である。
Ｓ５、Ｓ６から、Ｒｅｑ−Ａを受信するとＳ２状態に戻る。

さらに、状態Ｓ２において、Ｒｅｑ−Ａ（番号１のパケット） を受信した場合、状態Ｓ３においてＲｅｓ−Ａ−Ｂを受信した場合、状態Ｓ４においてＲｅｓ−Ａ−Ｃを受信した場合、状態Ｓ５、Ｓ６においてＲｅｓ−Ａ−ＢやＲｅｓ−Ａ−Ｃを受信した場合は、状態Ｓ８に遷移し、異常通知を行っている。
図６に示した状態遷移の図は、抜粋であり、図の簡略化のため、省略している。
これらが、図２０に示したＲｅｑ−Ａ、Ｒｅｓ−Ａ−Ｂ、Ｒｅｓ−Ａ−Ｃに対応する状態遷移である。
なお、図６に示す状態Ｓ１〜Ｓ８は、図５に示す状態Ｓ１〜Ｓ８を表している。
また、図６に示す（１）〜（４）は、図５に示すイベント番号、図４に示すパケット番号を表している。

図５の状態遷移定義では、機器Ａ〜Ｄがそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信順序を各パケットの送信元と送信先を指定して定義している。
例えば、機器Ａが正常に動作していれば、機器Ａから機器Ｂ及び機器Ｃに対するＲｅｑ−Ａが送信された後に更に機器Ａから機器Ｂ及び機器Ｃに対するＲｅｑ−Ａが送信されることはないため、このような異常な順序で中継装置（２０１）がパケットを受信している場合には、異常の発生が通知される。
より具体的には、状態Ｓ１においてイベント１が発生すると状態Ｓ２に遷移し、状態Ｓ２においてイベント１が再度発生すると、状態Ｓ８に遷移する。
状態Ｓ８では、異常の発生が通知される。
イベント１は、図４のテーブルに示されるように、送信元が機器Ａであり、送信先が機器Ｂ及びＣであるＲｅｑ−Ａの受信である。

なお、本実施の形態では、状態遷移機械入力フィルタ部（４０３）において、図４に示したパケット定義以外のパケットを異常なパケットであるとのチェックは行っていない。
これは、パケットチェック部（２０７）によってチェックされることを想定している。

さらに、図２０の通信に加えて、Ｐｕｓｈ−Ｄ−Ａ受信によって１秒間、Ｒｅｑ−Ａを送信しないことに対応する状態遷移定義について説明する。
状態Ｓ１から状態Ｓ６の各状態において、番号４のパケット、すなわち、Ｐｕｓｈ−Ｄ−Ａを受信すると、状態Ｓ７に遷移する。
状態Ｓ７に遷移すると、既存のタイマーがあれば破棄し、０．９秒間（１秒間に対して余裕を見ている）のタイマーを開始する。
このように図５の状態遷移定義では、Ｐｕｓｈ−Ｄ−ＡとＲｅｑ−Ａとの間では１秒間という受信間隔が規定され、Ｐｕｓｈ−Ｄ−Ａは先行受信間隔規定パケットの例であり、Ｒｅｑ−Ａは後行受信間隔規定パケットの例である。
そして、状態Ｓ７へ遷移させるイベント４と対応付けられて図４のテーブルに先行受信間隔規定パケットであるＰｕｓｈ−Ｄ−Ａの送信元（機器Ｄ）と送信先（機器Ａ）が定義されている。
また、異常通知が行われる状態Ｓ８（後述）へ遷移させるイベント１と対応付けられて図４のテーブルに後行受信間隔規定パケットであるＲｅｑ−Ａの送信元（機器Ａ）と送信先（機器Ｂ及び機器Ｃ）が定義されている。
更に、図５の状態遷移定義では、機器Ａ〜Ｄがそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないＰｕｓｈ−Ｄ−ＡとＲｅｑ−Ａとの間の受信間隔の範囲（０．９秒以下）を定義している。

なお、状態Ｓ７においてＲｅｑ−Ａ（パケット番号１）を受信した場合、Ｐｕｓｈ−Ｄ−Ａの受信とほぼ同時に発生している場合も考えられるため、タイマー経過時間が０．２秒以上であれば、Ｓ８状態に遷移して異常通知を行い、そうでなければ、Ｓ７状態に止まる。

状態Ｓ７においてＲｅｓ−Ａ−Ｃ、Ｒｅｓ−Ａ−Ｂ（それぞれパケット番号２，３）を受信した場合、以前のＲｅｑ−Ａに対する応答である可能性があるため、無視する。
Ｐｕｓｈ−Ｄ−Ａ（パケット番号４）を受信した場合、再び状態Ｓ７に遷移し、０．９秒のタイマーを設定する。
また、状態遷移機械（４０２）は、既存のタイマーは破棄する。
状態Ｓ７において、タイマーが終了した場合、初期状態に遷移する。

状態Ｓ８に遷移した場合、状態遷移機械（４０２）は、異常通知部（４０５）を介して障害検知部（２０８）に異常の発生を通知する。
なお、実際のネットワークにおいては、何らかの原因によって、パケットが喪失することもあり得る。
したがって、機器動作推定部（２０５）から障害検知部（２０８）に対して異常が通知されても、すぐに障害発生とはみなさず、障害検知部（２０８）はオペレータに対して警告のみ送信し、所定の時間内に複数回の異常通知が行われた場合にのみ障害発生としてみなすなどの対応を行う場合もある。

次に、本実施の形態に係る中継装置（２０１）の動作例を図１７のフローチャートを参照して説明する。

まず、機器動作推定部（２０５）において、状態遷移機械（４０２）が状態遷移定義記憶部（４０６）から図５に例示した状態遷移定義を読み出す（Ｓ１７０１）（情報読み出しステップ）。
次に、いずれかのポートがいずれかの機器からフレームを受信した場合（Ｓ１７０２でＹＥＳ）（受信ステップ）、パケット抽出部（２０４）がＭＡＣ（２１８）からフレームを取得し、取得したフレームからパケットを抽出する（Ｓ１７０３）。
次に、パケット抽出部（２０４）がパケットをパケット特徴抽出部（２０３）に出力し、パケット特徴抽出部（２０３）がパケットから特徴情報を抽出する。
パケット特徴抽出部（２０３）は、抽出情報を機器動作推定部（２０５）とパケットチェック部（２０７）に出力し、パケットチェック部（２０７）は図３のルールに基づく検査を行い、機器動作推定部（２０５）は図５の状態遷移定義に基づく検査を行う（Ｓ１７０６）（受信状況監視ステップ）。

次に、図１８のフローチャートを参照して、Ｓ１７０６の詳細、つまり、機器動作推定部（２０５）による検査の詳細を説明する。

状態遷移機械入力フィルタ部（４０３）により状態遷移定義の対象となるパケットのみが選択され、状態遷移機械（４０２）は状態遷移定義の対象となるイベントの番号情報（図４のパケット番号）を状態遷移機械入力フィルタ部（４０３）から入力する（Ｓ１８０１）。
次に、状態遷移機械（４０２）は、現在の状態を確認する（Ｓ１８０２）。
現在の状態がＳ１〜Ｓ６のいずれかである場合は、状態遷移機械（４０２）は、状態遷移機械入力フィルタ部（４０３）から入力した番号情報に従って、フレーム受信により発生したイベントを特定する（Ｓ１８０３）。
そして、図５の状態遷移定義により、現在の状態とイベントから遷移先となる新しい状態を特定する（Ｓ１８０４）。
新しい状態がＳ７であれば（Ｓ１８０５）、状態遷移機械（４０２）は、状態Ｓ７の動作ＩＮにあるようにタイマーを起動し（Ｓ１８０６）、新しい状態（Ｓ７）を記憶する（Ｓ１８０７）。
また、新しい状態がＳ１〜Ｓ６のいずれかであれば（Ｓ１８０５）、新しい状態（Ｓ１〜Ｓ６のいずれか）を記憶する（Ｓ１８０７）。
新しい状態がＳ８の場合は、状態遷移機械（４０２）は異常通知部（４０５）に異常の発生を通知する（Ｓ１８１２）。
また、新しい状態がない場合（Ｓ１８０５）は、状態遷移機械（４０２）は動作を終了する。

一方で、ステップＳ１８０２において現在の状態を確認した結果、現在の状態がＳ７である場合には、状態遷移機械（４０２）は、状態遷移機械入力フィルタ部（４０３）から入力した番号情報に従って、フレーム受信により発生したイベントを特定する（Ｓ１８０８）。
イベント１以外のイベントの場合は、Ｓ１８０４に処理を移す。
一方、イベント１が発生している場合は、状態遷移機械（４０２）はタイマー起動（Ｓ１８０６）から０．２秒が経過しているか否かを判断し（Ｓ１８１０）、０．２秒を経過していない場合はＳ１８０４に処理を移す。
また、０．２秒を経過している場合は、状態遷移機械（４０２）は状態をＳ８に遷移させ（Ｓ１８１１）、異常通知部（４０５）に異常の発生を通知する（Ｓ１８１２）。
なお、ステップＳ１８０６においてタイマーが起動された後０．９秒が経過した時点でパケットの受信がない場合は、図１８のフローとは別にタイマー終了というイベント（図５のＳ７）が発生し、状態が初期状態に戻る。

このように、本実施の形態では、ネットワーク上の通信に関する既知の情報に基づいて構築された状態遷移定義を用いた機器動作推定部（２０５）によって、中継装置（２０１）が観測したパケットが、既知の情報通りであるか否かによって異常を検知する。
そして、機器動作推定部（２０５）によって、統計情報チェック、パケットチェックによって実現されているような、静的なルールに基づく異常検知では検知できなかった、幅広い範囲の異常検知を行うことができる。

換言すると、本実施の形態に係る中継装置では、複数の機器がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの異常受信パターンを定義し、各機器からのパケットの受信状況を監視し、定義されている異常受信パターンでパケットが受信された場合に異常の発生を通知するため、統計情報チェック、パケットチェック等の静的なルールに基づく異常検知では検知できなかった、幅広い範囲の異常検知を行うことができる。

統計情報チェック、パケットチェックは広く利用されている既存技術であるというだけでなく、状態遷移定義を用いた機器動作推定部（２０５）と比較して単純な方式によって異常を検知している。
これら既存技術と組み合わせることにより、検知できる異常の範囲を広くしながらも、全体として異常検知のための計算負荷を抑えることができるだけでなく、パケット抽出部（２０４）やパケット特徴抽出部（２０３）を共有することにより、負荷および実装コストの双方を抑えることができる。

なお、上記では、パケットチェック部（２０７）は、図４に示すパケット定義に示される全レコードについて常に一律にチェックしているが、これに代えて、レコードごとにチェックの要否を設定して、チェック要となっているレコードのみをチェックするようにしてもよい。
例えば、ある事象が発生した際に、図４の番号１のレコードのみをチェック対象とし、番号１のレコードについてのみチェックを行い、別の事象が発生した際には、図４の番号１のレコードをチェック対象から外すとともに番号２〜４のレコードをチェック対象とし、番号２〜４のレコードに対してのみチェックを行うようにしてもよい。

以上、本実施の形態では、
ネットワークを中継し、接続する装置であって、
各接続ポートに、
ポートを流れるパケットの一部または全体の情報を抽出するパケット抽出部、
パケット抽出部から得られるパケット情報から、パケットの特徴を抽出するパケット特徴抽出部、
状態遷移機械を備え、パケット特徴抽出部から得られるパケット特徴情報を状態遷移機械の入力とする、機器動作推定部を有し、
機器動作推定部の状態遷移機械は、
当該ポートに接続される機器上で動作するネットワークを使用するアプリケーションの、ネットワークに対する動作を既知の情報として構成される障害検知部を有し、
機器動作推定部は、想定通りの状態遷移が行われない場合に異常として障害検知部に通知するネットワーク中継装置を説明した。

また、本実施の形態に係るネットワーク中継装置は、
各接続ポートに、
パケット抽出部及びパケット特徴抽出部を機器動作推定部と共有し、抽出したパケット特徴情報を元に、当該パケットの特徴が事前に設定されたルールに従うか否か判断し、ルールに従わない場合に異常として障害検知部に通知するパケットチェック部を有することを説明した。

実施の形態２．
図７に実施の形態２の構成例を示す。
図７では、図１と比較して統計情報チェック部（８０２）が追加されている。
また、図７では、機器動作推定部（８０１）と、パケットチェック部（８０３）が図１の構成と異なっており、また、機器動作推定部（８０１）は、統計情報チェック部（８０２）とも接続される。
また、統計情報チェック部（８０２）は、受信頻度計測部の例である。
また、図７の他の構成要素は図１で示したものと同様であり、説明を省略する。

図８に、実施の形態２における機器動作推定部（８０１）の構成例を示す。
図８では図３と比較して、新たに、状態遷移機械（９０２）が統計情報チェック部（８０２）と接続され、状態遷移機械（９０２）の指示に従って、統計情報チェック部（８０２）におけるルールの有効、無効の制御を行う。
すなわち、状態遷移機械（９０２）は統計情報チェック部（８０２）への指示手段を装備し、統計情報チェック部（８０２）は状態遷移機械（９０２）からの指示受け手段を装備する。
なお、本実施の形態においても、状態遷移機械入力フィルタ部（９０３）と状態遷移機械（９０２）は、受信状況監視部の例である。

統計情報チェック部（８０２）は、従来技術におけるトラフィックフロー情報に基づく異常検知のように、パケット特徴情報から収集した情報から統計情報を作成し、当該統計情報があらかじめ設定されたルールに従わない場合に、異常と判断する。
換言すると、統計情報チェック部（８０２）は、受信頻度の計測対象となる計測対象パケットを１つ以上示すとともに計測対象パケットごとに所定の単位時間における適正受信頻度を示すルール情報（計測対象パケット情報）を参照し、ルール情報に示される計測対象パケットごとに、単位時間における受信頻度を計測する。
そして、統計情報チェック部（８０２）は、計測した受信頻度とルール情報に示される適正受信頻度との差異が所定レベル以上である場合に、異常の発生を通知する。
統計情報チェック部（８０２）は、受信頻度計測部の例である。
なお、パケットチェック部（８０３）と同様に、ルール記憶部やルール設定部は図７において省略されている。
また、ルール情報を記憶しているルール記憶部は情報記憶部の例である。

図９に図２０のネットワークを適用した場合の、機器Ａが接続されているポート１に関係する統計情報チェック部（８０２）の持つ、ルール情報の例を示す。
番号１はＲｅｑ−Ａ、番号２はＲｅｓ−Ａ−Ｂ、番号３はＲｅｓ−Ａ−Ｃにそれぞれ対応している。
これらＲｅｑ−Ａ、Ｒｅｓ−Ａ−Ｂ、Ｒｅｓ−Ａ−Ｃは計測対象パケットに相当する。
なお、Ｐｕｓｈ−Ｄ−Ａは、送信確率が不明であるとしてルール化されていない。
ルールとして、１秒あたりのパケット数（頻度）を使用する。

統計情報チェック部（８０２）は、パケット特徴抽出部（２０３）から得られるパケット特徴情報から、図９の番号１から３に相当する特徴のパケットについて、それぞれ、例えば、０．１秒毎に、過去１秒の頻度を統計情報として算出し、誤差が２０％を超えた場合に、異常発生とみなして、障害検知部（２０８）に通知する。

本実施の形態においては、上記機能に加えて、図９に示すようにルールの有効・無効を示す列がある。
ルールが有効の場合には１、無効の場合には０とする。
統計情報チェック部（８０２）は、状態遷移機械（９０２）からの指示を受けて、有効・無効を変更する手段を有し、上で述べたルールのチェックは、ルールが有効の場合にのみ行うものとする。

次に、状態遷移機械（９０２）の使用する状態遷移定義の例を図１０に示す。
また、図１０の表を図示したものを図１１に示す。
図１０の状態遷移定義のうちイベント番号は実施の形態１（図４のパケット番号）と同じである。
なお、本実施の形態における状態遷移定義による異常検知は、実施の形態１と比べて緩いものとなっている。

図１０の例では、初期状態の他、Ｓ１、Ｓ２の２つの状態を有する。
初期状態からＳ１状態には自動的に遷移する。
状態Ｓ１に遷移すると、図９に示した統計情報チェック部（８０２）のルール１、２、３をそれぞれ有効化する。
すなわち、状態遷移機械（９０２）は、統計情報チェック部（８０２）に対する指示手段を装備する。
状態Ｓ１において、図４に示したパケットの番号１、２、３のパケット、すなわち図２０でいうＲｅｑ−Ａ、Ｒｅｓ−Ａ−Ｂ、Ｒｅｓ−Ａ−Ｃのパケットを受信した場合、特に何もしない。
一方で、統計情報チェック部（８０２）は、上に示した通り、パケットの特徴が図９に示した特徴と合致するパケットにつき、その統計情報を算出するとともに、頻度と合致するか否かチェックし、異常を検知する。

状態Ｓ１において、パケットの番号４のパケット、すなわち、Ｐｕｓｈ−Ｄ−Ａを受信すると、状態Ｓ２に遷移する。
状態Ｓ２に遷移すると、１秒のタイマーを開始するとともに、図９に示した統計情報チェック部のルール１、２、３をそれぞれ無効化する。
状態Ｓ２において再びパケット番号４のパケットであるＰｕｓｈ−Ｄ−Ａを受信すると、状態Ｓ２に再び遷移する。
すなわち、既存のタイマーを破棄して、再度タイマーを設定し、ルール１、２、３を（既に無効化されているが）無効化する。
状態Ｓ２において１秒のタイマーが終了した場合、状態Ｓ１に遷移する。
状態Ｓ１に遷移すると、再びルール１、２、３が有効化される。

以上によって、状態Ｓ１、Ｓ２に応じて、統計情報に基づくチェックルールを適用するか否かを切り替え、静的には適用できない統計情報ルールによるチェックを適用することができ、アプリケーションの特性に応じた柔軟な異常検知を行うことができる。
また、パケットチェック部や統計情報チェック部などの既存の一般的な部を利用することにより、負荷や実装コストを抑えることができる。

なお、上記では、状態Ｓ２に遷移した際に、図９のルール１、２、３を無効化する例を説明したが、これに代えて、特定の状態に遷移した際に、いずれかのルールを有効化するようにしてもよい。
上記では、Ｐｕｓｈ−Ｄ−Ａの受信の際に定期周期通信を停止させるため、図９のルール１、２、３を無効化して、受信頻度の計測を停止させる。
これに対して、例えば、Ｐｕｓｈ−Ｄ−Ａをトリガーにして、機器Ａから機器Ｄに通信が１秒間行われるようなアルゴリズムの場合は、Ｐｕｓｈ−Ｄ−Ａの受信により状態Ｓ２に遷移した際に、機器Ａと機器Ｄとの間の通信頻度を計測するというルールを有効化することが考えられる。
また、ルールの有効化、無効化に加えて、特定のパケットの受信により、図９の頻度を変更するようにしてもよい。
例えば、Ｐｕｓｈ−Ｄ−Ａをトリガーにして機器Ａから機器Ｂ及び機器Ｃへの送信が２倍になるようなアルゴリズムの場合、状態Ｓ２への遷移があった際に、図９のルール１の頻度を、現在の「１０」から「２０」に変更するようにしてもよい。
また、ルール１の頻度の値を変更するのではなく、別のルールに切り替えて頻度を変更するようにしてもよい。
つまり、送信元ＩＰアドレス、送信先ＩＰアドレス、プロトコル、送信元ポート番号、送信先ポート番号、ＩＮ／ＯＵＴの項目はルール１と同じで、頻度の値だけが「２０」となっているルール４を設け、状態Ｓ２への遷移があるまでは、ルール１を有効にし、ルール４を無効にしておく。
そして、状態Ｓ２への遷移が発生した際に、ルール１を無効にし、ルール４を有効にして、ルール４の頻度「２０」に従って、機器Ａから機器Ｂ及び機器Ｃへのパケットの受信頻度を計測するようにしてもよい。

このように、本実施の形態では、
各接続ポートに、
パケット抽出部及びパケット特徴抽出部を機器動作推定部と共有し、
抽出したパケット特徴情報を元に、特定の特徴を持つパケットの統計情報を算出し、
統計情報が事前に設定されたルールに従うか否か判断し、
ルールに従わない場合に異常として障害検知部に通知する統計情報チェック部を有するネットワーク中継装置を説明した。

また、本実施の形態では、
機器動作推定部が装備する状態遷移機械は、
パケット特徴情報を入力とする状態遷移にともなって、パケットチェック部や統計情報チェック部のルールを変更することを説明した。

実施の形態３．
図１２に実施の形態３の構成例を示す。
実施の形態１や実施の形態２の構成例と同様であるが、機器動作推定部（１３０１）が異なる。
機器動作推定部（１３０１）の構成を図１３に示す。
図３に示した構成と同様であるが、状態遷移定義管理部（１７０４）が異なる。

図１２に戻ると、ＤＨＣＰ監視部（１３０５）が追加され、パケット抽出部（２０４）が抽出したパケットを解析し、ＤＨＣＰパケットを監視する。
ＤＨＣＰ監視部（１３０５）は、機器動作推定部（１３０１）中の状態遷移定義管理部（１７０４）に対して後述する機器タイプの情報を提供する機能を有する。
また、イーサネット（登録商標）接続ポート５（１３０２）が追加され、これに対応するＰＨＹ（１３０３）、ＭＡＣ（１３０４）が追加される。
ＭＡＣ（１３０４）は、機器動作推定部（１３０１）の状態遷移定義管理部（１７０４）と接続され、状態遷移定義管理部（１７０４）に対してイーサネット（登録商標）通信機能を提供する。
状態遷移定義管理部（１７０４）は、ＤＨＣＰ監視部（１３０５）から通知された機器タイプを接続ポート５（１３０２）から後述する外部の状態遷移定義提供サーバ装置に通知し、状態遷移定義提供サーバ装置から状態遷移定義を取得する。
そして、状態遷移定義記憶部（１７０６）は、状態遷移定義管理部（１７０４）が取得した状態遷移定義を記憶する。
なお、状態遷移定義提供サーバ装置は機器タイプ別に状態遷移定義を保有しており、情報保有装置の例である。
また、状態遷移定義管理部（１７０４）は情報取得部の例である。

ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）は、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）のＲＦＣ（Ｒｅｑｕｅｓｔ Ｆｏｒ Ｃｏｍｍｅｎｔ）２１３１で定義される、ＩＰアドレスなどのネットワークパラメータの設定を行うためのプロトコルである。
ＤＨＣＰに対しては、種々のネットワークパラメータの設定を可能とするため、ＲＦＣ２１３２で標準的なオプションパラメータが規定されると共に、他のＲＦＣによって追加的なオプションパラメータが規定されている。
本実施の形態では、機器Ａ〜機器Ｄは、ＩＰアドレス等の設定のため、ＤＨＣＰを使用するものとする。

ＤＨＣＰのオプションの中には、例えばオプション番号６１、Ｃｌｉｅｎｔ−ｉｄｅｎｔｉｆｉｅｒオプションがある。
これは、ＤＨＣＰを利用してＩＰアドレス他のパラメータを取得するクライアント（機器Ａ〜機器ＤはＤＨＣＰクライアントにあたる）に対する固有の識別子である。
例えば、ＤＨＣＰサーバは、この識別子を見て、識別子に応じたネットワークパラメータをＤＨＣＰクライアントに提供することができる。

ＤＨＣＰクライアントからＤＨＣＰサーバへのメッセージは、ＵＤＰを使用し、宛先ＵＤＰポート番号は６７であるとＲＦＣ２１３１によって決められている。
また、そのメッセージフォーマットも決められている。
したがって、パケット抽出部（２０４）から得られたパケット情報から、ＤＨＣＰ監視部（１３０５）は、当該パケットがＤＨＣＰクライアントのメッセージであるか否か確認し、ＤＨＣＰクライアントのメッセージである場合には、決められたメッセージフォーマットにしたがって、その内容を解析する。

本実施の形態においては、機器Ａ〜機器Ｄは、それぞれＤＨＣＰメッセージのｃｌｉｅｎｔ−ｉｄｅｎｔｉｆｉｅｒオプション中に１〜４の識別子を設定するものとする。
ＤＨＣＰ監視部（１３０５）は、接続ポートを流れるＤＨＣＰメッセージを解析してｃｌｉｅｎｔ−ｉｄｅｎｔｉｆｉｅｒを抽出し、機器動作推定部（１３０１）に、ｃｌｉｅｎｔ−ｉｄｅｎｔｉｆｉｅｒの値（１〜４）を渡す。
すなわちＤＨＣＰ監視部（１３０５）は、機器タイプ同定部の一つの実装であり、この例では機器タイプとして１〜４の識別子を使用している。

図１２の中継装置（２０１）が接続されたネットワーク上には、機器タイプに対応する状態遷移定義情報を記憶し、機器動作推定部（１３０１）に対して、例えばＨＴＴＰプロトコルによって提供する状態遷移定義提供サーバ装置が存在する。

ＤＨＣＰ監視部（１３０５）から機器タイプを受領した機器動作推定部（１３０１）中の状態遷移定義管理部（１７０４）は、ＨＴＴＰプロトコルによって、状態遷移定義提供サーバ装置に状態遷移定義情報の提供を依頼する。
そのため、状態遷移定義管理部（１７０４）は、状態遷移定義提供サーバ装置のＩＰアドレス（例えば、１０．１．１．２）を記憶している。
例えば、ｈｔｔｐ：／／１０．１．１．２／１を取得（ＨＴＴＰプロトコルのＧＥＴ）すると、状態遷移定義提供サーバ装置は、機器タイプ１、すなわち機器Ａに対する状態遷移定義情報を送信する。
状態遷移定義情報を受信した状態遷移定義管理部（１７０４）は、同情報を状態遷移定義記憶部（１７０６）中に状態遷移定義として保存する。
状態遷移機械（１７０２）は、状態遷移定義記憶部（１７０６）に保存された定義に従って動作する。
状態遷移機械（１７０２）の動作自体は実施の形態１又は２に示したものと同様であるため、説明を省略する。

このように、本実施の形態によれば、接続ポートを流れるパケットの情報から機器のタイプを特定し、そのタイプにしたがった状態遷移定義情報を設定することにより、個々の中継装置に手動で設定することが不要となり、機器動作推定部中の状態遷移定義の管理を容易にすることができる。

本実施の形態では、状態遷移機械の動作を定義する状態遷移定義をダウンロードする状態遷移ダウンロード部を有するネットワーク中継装置を説明した。

また、本実施の形態では、パケット情報から機器のタイプを抽出する機器タイプ同定部を有し、
当該タイプの機器に応じて状態遷移定義をダウンロードする状態遷移定義ダウンロード部を有するネットワーク中継装置を説明した。

実施の形態４．
本実施の形態に係るネットワークでは、図１４に示すように、拡張機器動作推定サーバ装置（２３０）が設置される。
拡張機器動作推定サーバ装置（２３０）は、異常検出装置の例である。
拡張機器動作推定サーバ装置（２３０）の構成は後述する。
中継装置（２０１）の構成は、図１２の場合と同様に、イーサネット（登録商標）接続ポートであるポート５とそれに対応するＰＨＹ、ＭＡＣを有し、ＭＡＣが機器動作推定部（１５０１）に接続される。
図１５に機器動作推定部（１５０１）の構成例を示す。
ポート５に対応するＭＡＣ（１３０４）が、状態遷移機械入力フィルタ部（１５０３）に接続される。
状態遷移機械入力フィルタ部（１５０３）は、中継装置（２０１）で受信した各パケットの属性が示される特徴情報を受信順序に従って、ポート５のＭＡＣ（１３０４）を介して拡張機器動作推定サーバ装置（２３０）に送信する。
状態遷移機械入力フィルタ部（１５０３）及びポート５のＭＡＣ（１３０４）は送信部の例である。

本実施の形態では、状態遷移定義は、実施の形態２と同じ定義を使用する。
実施の形態２の状態遷移定義は、実施の形態１と比べて簡単なものであった。
実施の形態２においては、Ｒｅｑ−Ａ、Ｒｅｓ−Ａ−Ｂ、Ｒｅｓ−Ａ−Ｃパケットの頻度のみをチェックしており、実施の形態１のように、Ｒｅｑ−Ａの送信後にＲｅｓ−Ａ−ＢやＲｅｓ−Ａ−Ｃが受信されるという順序関係はチェックしていなかった。
これは、実施の形態２では、検知できる異常の範囲が実施の形態１よりも狭いことを意味するが、同時に、実施の形態２では、状態遷移定義が小さいために、実施の形態１よりも省メモリで実現できるなど、負荷・コストが小さくなる可能性があることを示している。

すなわち、本実施の形態では、基本的に機器動作推定部（１５０１）は、実施の形態２と同様に動作する。
しかし、状態遷移機械入力フィルタ部（１５０３）は、状態遷移機械（１５０２）への出力と同じ内容をポート５を通して、拡張機器動作推定サーバ装置（２３０）に送信する。
状態遷移機械（１５０２）への出力１つ１つを送信してもよいが、いくつかの出力をまとめて送るほうが伝送効率がよく、状態遷移機械（１５０２）への出力内容に加えて、その出力が行われた時刻を示す時刻情報を合わせて送付する。
時刻情報は、中継装置（２０１）におけるパケットの受信順序を表す。
時刻情報の送信により、まとめて送ることや、ネットワーク上の送信時間のゆれによって、時間に関する情報の取り扱いが乱れることがなくなる。
本実施の形態では、１０秒分の情報をまとめて送付することとする。

拡張機器動作推定サーバ装置（２３０）の構成例を図１６に示す。
拡張機器動作推定サーバ装置（２３０）は、拡張機器動作推定部（１６０１）を有する。
拡張機器動作推定部（１６０１）の基本的な構成は、中継装置（２０１）上の機器動作推定部（１５０１）と同じである。
ただし、状態遷移機械入力フィルタ部（１５０３）に代わって、拡張状態遷移機械入力取得部（１６０３）を有する。
拡張状態遷移機械入力取得部（１６０３）は、通信部（１６１１）に接続されている。
通信部（１６１１）は、中継装置（２０１）の状態遷移機械入力フィルタ部（１５０３）から送信されるフィルタされたパケット特徴情報を、時刻情報とともに受信する。
通信部（１６１１）は受信部の例である。
拡張状態遷移機械入力取得部（１６０３）は、通信部（１６１１）からフィルタされたパケット特徴情報と時刻情報を取得する。
パケット特徴情報は、１０秒分まとめて送付されるため、拡張状態遷移機械入力取得部（１６０３）は、中継装置（２０１）から例えば２０秒遅れの時刻で動作するものと仮定し、時刻情報に従って、パケット特徴情報を１つずつ状態遷移機械（１６０２）に出力する。

状態遷移定義記憶部（１６０６）に記録される状態遷移定義（異常検出情報）の内容は、例えば、実施の形態１と同様である。
つまり、機器Ａ〜Ｄがそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信パターンが異常受信パターンとして定義されている。
状態遷移定義記憶部（１６０６）は、情報記憶部の例である。
また、状態遷移機械（１６０２）は、通信部（１６１１）により受信されたパケットの特徴情報及び時刻情報に基づき、状態遷移定義で定義されている異常受信パターンで中継装置（２０１）においてパケットが受信されている場合に、異常の発生を中継装置（２０１）に通知する。
より具体的には、状態遷移機械（１６０２）は、異常通知部（１６０５）、障害検知部（１６１２）を通じて中継装置（２０１）に異常の発生を通知する。
状態遷移機械（１６０２）の動作は、実施の形態１で示した中継装置（２０１）の状態遷移機械（４０２）の動作と同様であり、説明を省略する。
なお、態遷移機械（１６０２）は、受信状況監視部の例である。

このように、本実施の形態によれば、異常検知が遅れる（本実施の形態の例では約２０秒）という欠点は持つが、中継装置の負荷・コストを小さくし、中継装置と比べて比較的高い負荷に耐えることができる拡張機器動作推定サーバ装置と分担して、幅広い異常検知に対応することができる。

以上、本実施の形態では、
機器動作推定部は、
ネットワーク中継装置外にあって当該装置とネットワーク接続される拡張機器動作推定装置に対して、パケット特徴情報を送信するパケット特徴情報転送部を有することを説明した。

最後に、実施の形態１〜４に示した中継装置（２０１）及び拡張機器動作推定サーバ装置（２３０）（以下、中継装置（２０１）等と記す）のハードウェア構成例について説明する。
図１９は、実施の形態１〜４に示す中継装置（２０１）等のハードウェア資源の一例を示す図である。
なお、図１９の構成は、あくまでも中継装置（２０１）等のハードウェア構成の一例を示すものであり、中継装置（２０１）等のハードウェア構成は図１９に記載の構成に限らず、他の構成であってもよい。

図１９において、中継装置（２０１）等は、プログラムを実行するＣＰＵ１９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ１９１１は、バス１９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１９１４、通信ボード１９１５、磁気ディスク装置１９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ１９１１は、ＦＤＤ１９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置１９０５（ＣＤＤ）と接続していてもよい。また、磁気ディスク装置１９２０の代わりに、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ１９１４は、揮発性メモリの一例である。ＲＯＭ１９１３、ＦＤＤ１９０４、ＣＤＤ１９０５、磁気ディスク装置１９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
実施の形態１〜４で説明した「状態遷移定義記憶部」は、ＲＡＭ１９１４、磁気ディスク装置１９２０等により実現される。

通信ボード１９１５は、ネットワークに接続されている。通信ボード１９１５は、ＬＡＮ（ローカルエリアネットワーク）の他、例えば、インターネット、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などに接続されていても構わない。

磁気ディスク装置１９２０には、オペレーティングシステム１９２１（ＯＳ）、プログラム群１９２３、ファイル群１９２４が記憶されている。
プログラム群１９２３のプログラムは、ＣＰＵ１９１１がオペレーティングシステム１９２１を利用しながら実行する。

また、ＲＡＭ１９１４には、ＣＰＵ１９１１に実行させるオペレーティングシステム１９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ１９１４には、ＣＰＵ１９１１による処理に必要な各種データが格納される。

また、ＲＯＭ１９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置１９２０にはブートプログラムが格納されている。
中継装置（２０１）等の起動時には、ＲＯＭ１９１３のＢＩＯＳプログラム及び磁気ディスク装置１９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム１９２１が起動される。

上記プログラム群１９２３には、実施の形態１〜４の説明において「〜部」（「状態遷移定義記憶部」以外、以下同様）及び「状態遷移機械」として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ１９１１により読み出され実行される。

ファイル群１９２４には、実施の形態１〜４の説明において、「〜の判断」、「〜の抽出」、「〜の検査」、「〜の比較」、「〜の遷移」、「〜の更新」、「〜の設定」、「〜の登録」、「〜の選択」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。
「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ１９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１〜４で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ１９１４のメモリ、ＦＤＤ１９０４のフレキシブルディスク、ＣＤＤ１９０５のコンパクトディスク、磁気ディスク装置１９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。また、データや信号は、バス１９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、実施の形態１〜４の説明において「〜部」及び「状態遷移機械」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、実施の形態１〜４で説明したフローチャートに示すステップ、手順、処理により、本発明に係る異常検出方法を実現することができる。
また、「〜部」及び「状態遷移機械」として説明しているものは、ＲＯＭ１９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。
プログラムはＣＰＵ１９１１により読み出され、ＣＰＵ１９１１により実行される。
すなわち、プログラムは、実施の形態１〜４の「〜部」及び「状態遷移機械」としてコンピュータを機能させるものである。あるいは、実施の形態１〜４の「〜部」及び「状態遷移機械」の手順や方法をコンピュータに実行させるものである。

２０１ 中継装置、２０３ パケット特徴抽出部、２０４ パケット抽出部、２０５ 機器動作推定部、２０７ パケットチェック部、２０８ 障害検知部、２０９ ＭＡＣブリッジ、２１０ ポート１、２１１ ポート２、２１２ ポート３、２１３ ポート４、２１４ ＰＨＹ、２１５ ＰＨＹ、２１６ ＰＨＹ、２１７ ＰＨＹ、２１８ ＭＡＣ、２１９ ＭＡＣ、２２０ ＭＡＣ、２２１ ＭＡＣ、２２２ 機器Ａ、２２３ 機器Ｂ、２２４ 機器Ｃ、２２５ 機器Ｄ、２２６ ＲＳ−２３２−Ｃポート、２３０ 拡張機器動作推定サーバ装置、４０２ 状態遷移機械、４０３ 状態遷移機械入力フィルタ部、４０４ 状態遷移定義管理部、４０５ 異常通知部、４０６ 状態遷移定義記憶部、８０１ 機器動作推定部、８０２ 統計情報チェック部、８０３ パケットチェック部、９０２ 状態遷移機械、９０３ 状態遷移機械入力フィルタ部、９０４ 状態遷移定義管理部、９０５ 異常通知部、９０６ 状態遷移定義記憶部、１３０１ 機器動作推定部、１３０２ 接続ポート５、１３０３ ＰＨＹ、１３０４ ＭＡＣ、１３０５ ＤＨＣＰ監視部、１５０１ 機器動作推定部、１５０２ 状態遷移機械、１５０３ 状態遷移機械入力フィルタ部、１５０４ 状態遷移定義管理部、１５０５ 異常通知部、１５０６ 状態遷移定義記憶部、１６０１ 拡張機器動作推定部、１６０２ 状態遷移機械、１６０３ 拡張状態遷移機械入力取得部、１６０４ 状態遷移定義管理部、１６０５ 異常通知部、１６０６ 状態遷移定義記憶部、１６１１ 通信部、１６１２ 障害検知部、１７０２ 状態遷移機械、１７０３ 状態遷移機械入力フィルタ部、１７０４ 状態遷移定義管理部、１７０５ 異常通知部、１７０６ 状態遷移定義記憶部。

Claims (11)

1. それぞれが既定の動作アルゴリズムに従って他の通信装置にパケットを送信する複数の通信装置に接続され、前記複数の通信装置の間でパケットの中継を行う中継装置であって、
   前記複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信パターンが異常受信パターンとして定義されている異常検出情報を記憶する情報記憶部と、
   各通信装置から送信されたパケットを順次受信する受信部と、
   前記受信部によるパケットの受信状況を監視し、前記異常検出情報で定義されている異常受信パターンでパケットが受信された場合に、異常の発生を通知する受信状況監視部とを有することを特徴とする中継装置。
2. 前記情報記憶部は、
   パケットの異常受信パターンとして、前記複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信順序及び前記複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信間隔の範囲の少なくともいずれかが定義されている異常検出情報を記憶し、
   前記受信状況監視部は、
   前記異常検出情報で定義されている受信順序でパケットが受信された場合及び前記異常検出情報で定義されている受信間隔の範囲内でパケットが受信された場合の少なくともいずれかにおいて、異常の発生を通知することを特徴とする請求項１に記載の中継装置。
3. 前記情報記憶部は、
   前記複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信順序を各パケットの送信元と送信先を指定して定義する異常検出情報を記憶し、
   前記受信状況監視部は、
   前記受信部によりパケットが受信される度に、受信されたパケットの送信元と送信先を解析し、前記受信部により順次受信された各パケットの送信元と送信先が前記異常検出情報に示されている各パケットの送信元と送信先と一致する場合に、異常の発生を通知することを特徴とする請求項２に記載の中継装置。
4. 前記情報記憶部は、
   受信間隔が規定されている一対のパケットのうちの先行する先行受信間隔規定パケットの送信元と送信先を定義し、後行する後行受信間隔規定パケットの送信元と送信先を定義し、前記複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しない先行受信間隔規定パケットと後行受信間隔規定パケットとの間の受信間隔の範囲を定義する異常検出情報を記憶し、
   前記受信状況監視部は、
   前記受信部により受信されたパケットの送信元と送信先を解析し当該パケットが前記先行受信間隔規定パケットに該当する場合に、当該パケットが受信されてから次に前記受信部によりパケットが受信されるまでの受信間隔を計時し、次に受信されたパケットの送信元と送信先を解析し当該パケットが前記後行受信間隔規定パケットに該当する場合に、計時した受信間隔が前記異常検出情報に定義されている受信間隔の範囲内である場合に、異常の発生を通知することを特徴とする請求項２又は３に記載の中継装置。
5. 前記情報記憶部は、
   前記複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合に受信される適正パケットを１つ以上示すとともに、適正パケットごとに送信元と送信先を示すパケットチェック情報を記憶し、
   前記中継装置は、更に、
   前記受信部によりパケットが受信される度に、受信された受信パケットの送信元と送信先が前記パケットチェック情報に示される適正パケットの送信元と送信先に一致するか否かを判断し、いずれの適正パケットにも送信元と送信先が一致しない場合に異常の発生を通知するパケットチェック部を有することを特徴とする請求項１〜４のいずれかに記載の中継装置。
6. 前記情報記憶部は、
   受信頻度の計測対象となる計測対象パケットを１つ以上示すとともに、計測対象パケットごとに所定の単位時間における適正受信頻度を示す計測対象パケット情報を記憶し、
   前記中継装置は、更に、
   前記計測対象パケット情報に示される計測対象パケットごとに、前記単位時間における前記受信部による受信頻度を計測し、計測した受信頻度と前記計測対象パケット情報に示される適正受信頻度との差異が所定レベル以上である場合に、異常の発生を通知する受信頻度計測部を有することを特徴とする請求項１〜５のいずれかに記載の中継装置。
7. 受信頻度計測部は、
   計測対象パケット以外の特定種類のパケットが前記受信部により受信されるまでは、計測対象パケットの受信頻度を計測し、前記特定種類のパケットが前記受信部により受信された際に、計測対象パケットの受信頻度の計測を停止することを特徴とする請求項６に記載の中継装置。
8. 前記中継装置は、
   前記異常検出情報を保有する情報保有装置に接続され、
   前記中継装置は、更に、
   前記情報保有装置から前記異常検出情報を取得する情報取得部を有し、
   前記情報記憶部は、
   前記情報取得部により取得された前記異常検出情報を記憶することを特徴とする請求項１〜７のいずれかに記載の中継装置。
9. それぞれが既定の動作アルゴリズムに従って他の通信装置にパケットを送信する複数の通信装置に接続され、前記複数の通信装置の間でパケットの中継を行う中継装置と、
   前記中継装置と接続され、前記通信装置間のパケット送受信における異常を検出する異常検出装置とを有する通信システムであって、
   前記中継装置は、
   各通信装置から送信されたパケットを順次受信する受信部と、
   前記受信部により受信された各パケットの属性が示される特徴情報を前記受信部における受信順序に従って前記異常検出装置に送信する送信部とを有し、
   前記異常検出装置は、
   前記複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信パターンが異常受信パターンとして定義されている異常検出情報を記憶する情報記憶部と、
   前記中継装置から、パケットの特徴情報を受信する受信部と、
   前記受信部により受信されたパケットの特徴情報及び前記中継装置におけるパケットの受信順序に基づき、前記異常検出情報で定義されている異常受信パターンで前記中継装置においてパケットが受信されている場合に、異常の発生を前記中継装置に通知する受信状況監視部とを有することを特徴とする通信システム。
10. それぞれが既定の動作アルゴリズムに従って他の通信装置にパケットを送信する複数の通信装置に接続され、前記複数の通信装置の間でパケットの中継を行う中継装置が行う異常検出方法であって、
    前記中継装置が、前記複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信パターンが異常受信パターンとして定義されている異常検出情報を所定の記憶領域から読み出す情報読み出しステップと、
    前記中継装置が、各通信装置から送信されたパケットを順次受信する受信ステップと、
    前記中継装置が、前記受信ステップによるパケットの受信状況を監視し、前記異常検出情報で定義されている異常受信パターンでパケットが受信された場合に、異常の発生を通知する受信状況監視ステップとを有することを特徴とする異常検出方法。
11. それぞれが既定の動作アルゴリズムに従って他の通信装置にパケットを送信する複数の通信装置に接続され、前記複数の通信装置の間でパケットの中継を行う中継装置に、
    前記複数の通信装置がそれぞれの動作アルゴリズム通りに正常に動作している場合には発生しないパケットの受信パターンが異常受信パターンとして定義されている異常検出情報を所定の記憶領域から読み出す情報読み出し処理と、
    各通信装置から送信されたパケットを順次受信する受信処理と、
    前記受信処理によるパケットの受信状況を監視し、前記異常検出情報で定義されている異常受信パターンでパケットが受信された場合に、異常の発生を通知する受信状況監視処理とを実行させることを特徴とするプログラム。

Images