JP2017108292A - 監視支援装置、および、監視支援方法 - Google Patents

Abstract

【課題】ネットワーク装置によって提供されるサービスの正常性監視の誤判定を削減する。【解決手段】ネットワーク装置から取得した時系列データを用いてサービスの正常性の監視を支援する監視支援装置１は、時系列データから求められる監視値を入力する監視値入力部１１と、所定の全時間帯のうち監視値のスケールが相対的に小さい時間帯での監視値を小さくする補正関数を用いて、入力された監視値を補正する補正部（補正関数選択部１２，補正関数適用部１３）と、補正された監視値を出力する補正監視値出力部１４と、を備える、ことを特徴とする。【選択図】図１

Description

本発明は、ネットワーク装置によって提供されるサービスの正常性を監視する技術に関する。

ネットワークの運用管理において、現在提供中のサービスまたはネットワーク装置を監視することは非常に重要であり、異常な挙動をしているネットワーク装置を特定する方法が研究されている。

例えば、特許文献１には、「アクセスデータの異常を検出する感度レベル及び予め定められている応答基準値が記憶された異常検出基準データ記憶手段と、検出された異常データを蓄積して記憶するイベント蓄積データ記憶手段と、前記アクセスデータから算出された特徴量を前記異常検出基準データ記憶手段に記憶される前記感度レベルと比較し異常データを検出するとともに、検出された前記異常データを、前記イベント蓄積データ記憶手段に記憶させる異常データ検出手段と、前記イベント蓄積データ記憶手段に記憶される前記異常データの通知に対して受信した確認応答の頻度を確認応答頻度に基づいて、算出された確認応答頻度と前記応答基準値とを比較して前記感度レベルの補正指示を出力する頻度管理手段と、前記頻度管理手段の前記補正指示に基づいて、前記異常検出基準データ記憶手段で記憶されている前記感度レベルを補正するモデル補正手段と、を有することを特徴とする異常データ検出装置」が開示されている。

特開２００５−２９５２１２号公報（請求項１）

ネットワーク装置によって提供されるサービスには、例えば電話系サービスのように、日単位のトラフィック変動が大きなサービスがある。このようなサービスの正常性を監視する場合、トラフィック変動が大きいことに起因して、正常動作を異常動作と判定してしまう誤判定が頻出するおそれがある。トラフィック変動が大きいということは、トラフィック量のスケール（値の目盛の域に相当）が相対的に小さい時間帯（例：電話系サービスにおける夜間や早朝）が存在することを意味する。スケールの大小にかかわらずどの時間帯でもトラフィック量は一定程度の幅を持った微変動を示す。そのような時間帯での時系列データ（ここでは、例えば、トラフィック量や、トラフィック量を元に算出した異常度）の分散（ばらつき）は、スケールが相対的に大きい時間帯に比べて、前記微変動の影響を大きく受けるために大きな値を示す。このため、時系列データのスケールが小さい時間帯に小さな値を設定した閾値を超える時系列データの値が頻出する。その結果、本来は誤差範囲内の時系列データであり正常動作であると判定すべきところを、異常動作であると誤判定してしまう。特許文献１には、このような誤判定を解消する記載も示唆も無い。

そこで、本発明は、上記事情に鑑みて、ネットワーク装置によって提供されるサービスの正常性監視の誤判定を削減することを課題とする。

前記課題を解決するために、請求項１に記載の発明は、ネットワーク装置から取得した時系列データを用いてサービスの正常性の監視を支援する監視支援装置であって、前記時系列データから求められる監視値を入力する監視値入力部と、所定の全時間帯のうち前記監視値のスケールが相対的に小さい時間帯での前記監視値を小さくする補正関数を用いて、前記入力された監視値を補正する補正部と、前記補正された監視値を出力する補正監視値出力部と、を備える、ことを特徴とする。

また、請求項３に記載の発明は、ネットワーク装置から取得した時系列データを用いてサービスの正常性の監視を支援する監視支援装置における監視支援方法であって、前記監視支援装置が、前記時系列データから求められる監視値を入力する監視値入力ステップと、所定の全時間帯のうち前記監視値のスケールが相対的に小さい時間帯での前記監視値を小さくする補正関数を用いて、前記入力された監視値を補正する補正ステップと、前記補正された監視値を出力する補正監視値出力ステップと、を実行する、ことを特徴とする。

請求項１，３に記載の発明によれば、監視支援装置は、補正関数を用いて、時系列データの本来期待される値からの誤差を過小評価することで、サービスの正常性の判定に用いる閾値をみだりに超えてしまうことを回避することができる。
したがって、ネットワーク装置によって提供されるサービスの正常性監視の誤判定を削減することができる。

また、請求項２に記載の発明は、請求項１に記載の監視支援装置であって、前記補正部は、前記サービスの正常性を監視の手法ごとに用意されている補正関数設定ポリシに従って、複数種類の前記補正関数を記憶する補正関数レポジトリから１つの補正関数を選択する補正関数選択部と、前記補正関数選択部が選択した前記補正関数を前記監視値に適用する補正関数適用部と、をさらに備える、ことを特徴とする。

請求項２に記載の発明によれば、サービスの正常性を監視の手法ごとに、監視値の最適な補正を実行することができる。

本発明によれば、ネットワーク装置によって提供されるサービスの正常性監視の誤判定を削減することができる。

本実施形態の監視支援装置の構成図である。 監視支援装置による監視値の補正処理を示すフローチャートである。 具体例１の説明図（ａ）〜（ｄ）であり、（ａ）が２台の装置のトラフィック量の時系列データを示すグラフであり、（ｂ）が（ａ）のグラフのうち、トラフィック量のスケールの小さな部分の拡大図であり、（ｃ）が（ａ）に示す２つのトラフィック量の比として算出した異常度を示すグラフであり、（ｄ）が（ｃ）の異常度に補正関数を適用した後の異常度を示すグラフである。 具体例１で用いる補正関数の説明図である。 具体例２の説明図であり、（ａ）がＣＰＵ使用率を示すグラフであり、（ｂ）が（ａ）のＣＰＵ使用率に補正関数を適用した後のＣＰＵ使用率を示すグラフである。 補正関数が満たすべき条件式を示す図である。

本発明を実施するための形態（実施形態）について、図面を参照しながら詳細に説明する。

（全体構成）
図１に示す本実施形態の監視支援装置１は、所定のネットワークに配置されている１つまたは複数のネットワーク装置によって提供されるサービスの正常性を監視する監視システムを支援する装置である。ネットワーク装置とは、ルータ、ブリッジ、スイッチなどの中継装置や、光ファイバケーブルや電気信号を伝播するケーブルなどの伝送路や、所定のサービスを提供するためのアプリケーションが実装されているサーバなどの装置がある。サービスの正常性の監視は、例えば、ＳＮＭＰ（Simple Network Management Protocol）を用いて、前記の各ネットワーク装置からトラフィック量などの監視値（時系列データ等）を情報収集システムが収集し、該監視値を前記監視システムによって監視する、といった周知の方法を用いることによって行われる。監視支援装置１は、処理部１０と、通信部２０と、記憶部３０とを備えている。

通信部２０は、通信回線を介して情報を送受信する通信インターフェースによって構成され、内部バスなどを介して処理部１０および記憶部３０に接続されている。通信部２０を介して受信する情報には、例えば、オペレータの管理コンソールから入力される指令情報、ネットワーク装置の、所定の時刻ごとのトラフィック量や異常度などの時系列データなどがある。監視支援装置１は、ネットワーク装置の各々から時系列データを直接的に取得できるように通信部２０を構成することができる（この場合、情報収集システムは必須ではない）。また、監視支援装置１は、ネットワーク装置の各々から時系列データを収集する情報収集システムと接続しており、情報収集システムを介して時系列データを間接的に受信できるように通信部２０を構成することができる。一方、通信部２０を介して監視システムに送信する情報には、取得した時系列データを補正した時系列データなどがある。

なお、時系列データの詳細は、後記する。また、時系列データを用いてサービスの正常性を監視する手法はさまざまであり、例えば、似たような値の挙動を示す複数の時系列データの比を異常度とするバランス分析がある。監視システムは、それらの手法ごとに備えることができる。

処理部１０は、監視支援装置１が実行する処理の全体を司る。処理部１０は、例えば、記憶部３０が記憶するプログラムをＣＰＵ（Central Processing Unit）が記憶部３０のＲＡＭに展開して実行することによって実現される。処理部１０は、監視値入力部１１と、補正関数選択部１２（補正部の一部）と、補正関数適用部１３（補正部の一部）と、補正監視値出力部１４とを備える。

監視値入力部１１は、ネットワーク装置から取得した時系列データから求められる監視値を入力する。監視値は、例えば、ネットワーク装置から取得した時系列データそのものでもよいし、ネットワーク装置から取得した時系列データに所定の演算処理を行い算出した時系列データであってもよい。このような時系列データには、例えば、バランス分析で用いる異常度がある。

補正関数選択部１２は、監視値に作用させる複数種類の補正関数のうち１つを選択する。補正関数選択部１２による補正関数の選択は、後記の補正関数設定ポリシ３１に従う。

補正関数適用部１３は、補正関数選択部１２が選択した補正関数を監視値に適用する。補正関数は、さまざまな態様を用意することができるが、所定の全時間帯のうち監視値のスケールが相対的に小さい時間帯での監視値を小さくする特性を有する。補正関数の具体例は、後記する。

補正監視値出力部１４は、補正関数適用部１３によって、補正関数が適用された監視値を補正監視値として監視システムに出力する。監視システムは、補正監視値出力部１４から出力された補正監視値を用いてサービスの正常性を監視する。

記憶部３０は、例えば、ハードディスク、フラッシュメモリ、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）などの記憶装置である。記憶部３０は、時系列データを用いたサービス正常性監視の支援を実行するためのアプリケーションを記憶している（図示省略）。記憶部３０は、補正関数設定ポリシ３１と、補正関数レポジトリ３２とを備えている。

補正関数設定ポリシ３１は、監視システムの種別に応じて、補正関数選択部１２がどのようなポリシを選択するかを定めたポリシである。補正関数設定ポリシ３１は、監視システムの種別ごと、具体的には、時系列データを用いたサービス正常性監視の手法ごとに、用意されている。

補正関数レポジトリ３２は、補正関数選択部１２が選択し、補正関数適用部１３が監視値に適用する補正関数を複数種類格納する。

（処理）
図２を参照して、本実施形態の監視支援装置１による監視値の補正処理について説明する。図２に示すように、この処理は、ステップＳ１から開始する。

ステップＳ１にて、監視支援装置１は、使用する監視システムに対して、補正関数設定ポリシ３１を記憶部３０から抽出し、設定する。どのような補正関数設定ポリシ３１を抽出するかは、例えば、オペレータからの指令により決定することができる。

次に、ステップＳ２にて、監視支援装置１は、監視値入力部１１によって、ネットワーク装置から直接的または間接的に取得した監視値を入力する。入力先は、例えば、監視支援装置１のＲＡＭの演算作業領域とすることができる。

次に、ステップＳ３にて、監視支援装置１は、予め設定された補正関数設定ポリシ３１に基づいて、補正関数選択部１２によって、補正関数レポジトリ３２から補正関数を選択する。

次に、ステップＳ４にて、監視支援装置１は、補正関数選択部１２が選択した補正関数を、監視値入力部１１が入力した監視値に適用する。その結果、監視支援装置１は、補正監視値を取得することができる。

次に、ステップＳ５にて、監視支援装置１は、補正監視値出力部１４によって、補正監視値を監視システムに出力する。ステップＳ５の後、監視支援装置１による監視値の補正処理が終了する。

監視支援装置１による監視値の補正の具体例１，２について説明する。

［具体例１］
監視システムは、２台のネットワーク装置のトラフィック量の時系列データを用いる周知のバランス分析によって、サービス正常性監視を行うことができる。監視支援装置１の補正関数設定ポリシ３１は、この監視システム専用のポリシを予め設定している。サービスとして電話系サービスを採り上げ、電話系サービスを構成する多数のネットワーク装置のうち任意に選んだ装置Ａ１，Ａ２という２台のネットワーク装置のトラフィック量の時系列データのグラフは、例えば、図３（ａ）に示すものであるとする。図３（ａ）に示すように、装置Ａ１，Ａ２各々のトラフィック量は、日単位の周期で大きく変動し、昼間のトラフィック量は大きく夜間・早朝のトラフィック量は小さい傾向を示す。また、図３（ａ）の装置Ａ１，Ａ２各々のトラフィック量のグラフは滑らかな曲線ではなく、すなわち日単位の周期のみならず、より小さい周期で常に変動している。
なお、図３（ａ）〜（ｄ）のグラフの横軸に関して、例えば、「12-08 00」という表記は、１２月８日の午前０時を意味し、「12-08 12」という表記は、１２月８日の正午を意味する。

昼間の時間帯であれば、トラフィック量のスケールが大きいため、装置Ａ１，Ａ２間のトラフィック量の差分が顕著となる。しかし、図３（ａ）のグラフのうち、トラフィック量のスケールの小さな部分を拡大した図３（ｂ）に示すように、夜間・早朝の時間帯であれば、トラフィック量のスケールが小さいため、装置Ａ１，Ａ２間のトラフィック量の差分がそれほど顕著にならない。バランス分析では、装置Ａ１，Ａ２各々のトラフィック量の比を用いる。この比は、異常度とも、バランス値とも呼ばれ、監視値入力部１１が入力する時系列データの一種である。図３（ａ），（ｂ）に示すように、実用上は、装置Ａ１，Ａ２それぞれのトラフィック量の比は概ね一定になるとみなすことができる。

監視値入力部１１が入力する（２台のネットワーク装置から取得したトラフィック量から求めた）異常度のグラフは、図３（ｃ）に示すようになる。図３（ｃ）によれば、トラフィック量のスケールが大きい昼間の時間帯では、異常度の分散が小さく、トラフィック量のスケールが小さい夜間・早朝の時間帯では、異常度の分散が大きくなる傾向がある。このような傾向が発生する要因は、トラフィック量のスケールが小ささのため、ノイズの影響を大きく受けることにある。図３（ａ），（ｂ）に示すように、スケールの大小にかかわらずどの時間帯でもトラフィック量は一定程度の幅を持った微変動すなわちノイズを示す。よって、図３（ｃ）に示すように、夜間・早朝の時間帯において、異常度が、サービス正常性の判定に用いる閾値Ｌ１を超える頻度が多くなる（図３（ｃ）中の左下向き矢印を参照）。その結果、装置Ａ１，Ａ２にて何の故障も発生していないにもかかわらず、異常度が閾値Ｌ１を（頻繁に）超えたことで、故障が発生したと誤判定してしまう。なお、図３（ｃ）中の符号Ｌ２は、図３（ｃ）に示されている全期間に亘る平均値を表す平均値線である。また、閾値Ｌ１は、監視システムが記憶する。

そこで、監視支援装置１の補正関数選択部１２は、図４の式１に示す補正関数ｗ（ｔ）を選択する。式１の補正関数ｗ（ｔ）は、補正関数レポジトリ３２が格納している補正関数であり、補正関数選択部１２による式１の補正関数の選択は、設定された補正関数設定ポリシ３１に従う。式１の全体平均ｓは、例えば、図３に示す全期間に亘る時系列データの平均である。また、式１の移動平均は、全期間（例：１ヶ月間）よりも短い期間であって現時点から遡る期間（例：１週間）に亘る時系列データの平均である。式１の補正関数ｗ（ｔ）は、図４中のグラフｇ１として示される。

補正関数適用部１３による処理の結果は、図４の式２から求めることができる。ここで式２中のｂ（ｔ）は、図３（ｃ）の異常度に相当する時系列データであり、ｂ’（ｔ）は、補正後の時系列データである。式１の補正関数ｗ（ｔ）は、時系列データｂ（ｔ）に対する重み係数の役割を果たす。

時系列データｂ’（ｔ）で表わされる補正後の異常度のグラフは、図３（ｄ）に示すようになる。図３（ｄ）によれば、トラフィック量のスケールが小さい夜間・早朝の時間帯において、図３（ｃ）と比較して、異常度の分散が抑制されていることがわかる。よって、図３（ｃ）では確認された、異常度が閾値Ｌ１を超える現象が無くなる。その結果、監視支援装置１から補正後の時系列データｂ’（ｔ）を受信した監視システムは、トラフィック量のスケールが小さいために異常度の分散が大きくなってしまうことに起因する、装置Ａ１，Ａ２の故障の誤判定を回避することができる。
なお、トラフィック量のスケールが大きい昼間の時間帯における異常度は、スケールが小さい時間帯に比べれば全体の平均ｓに近い値であるため、補正前後で比較的大きく変更することはなく、補正関数ｗ（ｔ）による補正はなされていてもそれを受ける作用は小さいといえる。

［具体例２］
監視システムは、１台のネットワーク装置のトラフィック量の代替値などとしてＣＰＵ使用率の時系列データを監視し、所定の閾値を超えたことを以って異常と判定するサービス正常性監視を行うことができる。監視支援装置１の補正関数設定ポリシ３１は、この監視システム専用のポリシを予め設定している。サービスとして電話系サービスを採り上げ、電話系サービスを構成する多数のネットワーク装置のうち任意に選んだ１台のネットワーク装置のＣＰＵ使用率の時系列データのグラフは、例えば、図５（ａ）に示すものであるとする。図５（ａ）に示すように、このネットワーク装置のＣＰＵ使用率（ｃ（ｔ））は、具体例１と同様、日単位の周期で大きく変動し、昼間は大きく夜間・早朝は小さい傾向を示す。

図５（ａ）に示す閾値Ｌ３は、サービスの正常性の判定に用いる閾値であって、監視システムが記憶する。閾値Ｌ３は、昼夜の時間帯を問わず監視するために、昼間の時間帯は高くなるように、そして夜間・早朝は低くなるように適応的に算出する既知の手法を用いて設定されるか、あるいは時間帯に応じて適宜設定されている。しかし、図５（ａ）に示すように、夜間・早朝の時間帯のＣＰＵ使用率は、昼間の時間帯のＣＰＵ使用率と比較して、ＣＰＵ使用率のスケールが小さい。このため、昼間の時間帯では、ＣＰＵ使用率の分散が小さく、夜間・早朝の時間帯では、ＣＰＵ使用率の分散が大きくなる傾向がある。このような傾向が発生する要因は、ＣＰＵ使用率のスケールが小さいため、ノイズの影響を大きく受けることにある。よって、図５（ａ）に示すように、夜間・早朝の時間帯において、ＣＰＵ使用率が、サービス正常性の判定に用いる閾値Ｌ３を超える頻度が多くなる（図５（ａ）中の左下向き矢印を参照）。その結果、監視対象の装置にて何の故障も発生していないにもかかわらず、ＣＰＵ使用率が閾値Ｌ３を（頻繁に）超えたことで、故障が発生したと誤判定してしまう。

そこで、監視支援装置１の補正関数選択部１２は、補正関数ｆを選択する。補正関数ｆは、補正関数レポジトリ３２が格納している補正関数であり、補正関数選択部１２による補正関数ｆの選択は、設定された補正関数設定ポリシ３１に従う。例えば、図５の式３に示すように、補正関数ｆは、図４の式１に示す補正関数ｗ（ｔ）と同じとすることができるが、これに限定しない。補正関数適用部１３による処理の結果は、図５の式４から求めることができる。ここで式４中のｃ’（ｔ）は、補正後の時系列データである。

時系列データｃ’（ｔ）で表わされる補正後のＣＰＵ使用率のグラフは、図５（ｂ）に示すようになる。図５（ｂ）によれば、図５（ａ）と比較して、ＣＰＵ使用率のスケールが小さい夜間・早朝の時間帯において、ＣＰＵ使用率の分散が抑制されていることがわかる。よって、図５（ａ）では確認できた、ＣＰＵ使用率が閾値Ｌ３を超える現象が無くなる。その結果、監視支援装置１から補正後の時系列データｃ’（ｔ）を受信した監視システムは、ＣＰＵ使用率のスケールが小さいためにＣＰＵ使用率の分散が大きくなってしまうことに起因する、監視対象の装置の故障の誤判定を回避することができる。
具体例２に示すように、このような誤判定の回避は、閾値Ｌ３のように、時系列データに対して適応的に変化して設定される閾値に対しても当てはまる。
なお、ＣＰＵ使用率のスケールが大きい昼間の時間帯におけるＣＰＵ使用率は、補正前後で大きく変更することはなく、補正関数ｆによる補正はなされていてもその作用を受けていないといえる。

このように、本実施形態の監視支援装置１は、補正関数を用いて、時系列データの本来期待される値からの誤差を過小評価することで、サービスの正常性の判定に用いる閾値をみだりに超えてしまうことを回避することができる。
したがって、ネットワーク装置によって提供されるサービスの正常性監視の誤判定を削減することができる。

また、本実施形態の監視支援装置１は、補正関数選択部１２および補正関数適用部１３を備えることで、サービスの正常性を監視の手法ごとに、監視値の最適な補正を実行することができる。

（具体例１の変形例）
具体例１に関して、補正関数ｆは、図４に示すｗ（ｔ）に限られず、図６に示すように式５の条件を満たせば、任意の態様をとることができる。ここで、Ｄはバランス分析の対象とする装置数であり（すなわち具体例１ではＡ１とＡ２から成る２）、ｉ＝１，２，・・・，Ｄであり、ｂ_ｉ（ｔ）は、補正前のバランス分析による異常度の時系列データ（ｔは時間の変数）であり、μ_ｉは異常度の期待値であり、ｂ_ｉ’（ｔ）は、補正後の異常度の時系列データである。式５によれば、図６の式６に示す関係式が成立するため、補正関数ｆと、時系列データｂ_ｉ（ｔ）と、期待値μ_ｉとの間に、図６の式７、式８の関係式が成立することが補正関数ｆに求められるともいえる。

本実施形態では、サービスの正常性の監視に用いることができる物理量として、トラフィック量やＣＰＵ使用率を採り上げた。しかし、これらに限られず、例えば、呼処理数、メモリ使用量、ディスクＩ／Ｏ（Input/Output）量でもよい。

また、本実施形態では、具体例１において、閾値Ｌ１は、全時間帯に亘って固定していたが、具体例２の閾値Ｌ３のように適応的に変化するものであってもよい。また、本実施形態において、閾値Ｌ３のように全時間帯に亘って適応的に変化する閾値を用いる代わりに固定の閾値を用いてもよい。

本実施形態で説明した種々の技術を適宜組み合わせた技術を実現することもできる。
本実施形態で説明したソフトウェアをハードウェアとして実現することもでき、ハードウェアをソフトウェアとして実現することもできる。
その他、ハードウェア、ソフトウェア、フローチャートなどについて、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。

１ 監視支援装置
１０ 処理部
２０ 通信部
３０ 記憶部
１１ 監視値入力部
１２ 補正関数選択部（補正部の一部）
１３ 補正関数適用部（補正部の一部）
１４ 補正監視値出力部
３１ 補正関数設定ポリシ
３２ 補正関数レポジトリ

Claims (3)

1. ネットワーク装置から取得した時系列データを用いてサービスの正常性の監視を支援する監視支援装置であって、
   前記時系列データから求められる監視値を入力する監視値入力部と、
   所定の全時間帯のうち前記監視値のスケールが相対的に小さい時間帯での前記監視値を小さくする補正関数を用いて、前記入力された監視値を補正する補正部と、
   前記補正された監視値を出力する補正監視値出力部と、を備える、
   ことを特徴とする監視支援装置。
2. 前記補正部は、
   前記サービスの正常性の監視の手法ごとに用意されている補正関数設定ポリシに従って、複数種類の前記補正関数を記憶する補正関数レポジトリから１つの補正関数を選択する補正関数選択部と、
   前記補正関数選択部が選択した前記補正関数を前記監視値に適用する補正関数適用部と、をさらに備える、
   ことを特徴とする請求項１に記載の監視支援装置。
3. ネットワーク装置から取得した時系列データを用いてサービスの正常性の監視を支援する監視支援装置における監視支援方法であって、
   前記監視支援装置が、
   前記時系列データから求められる監視値を入力する監視値入力ステップと、
   所定の全時間帯のうち前記監視値のスケールが相対的に小さい時間帯での前記監視値を小さくする補正関数を用いて、前記入力された監視値を補正する補正ステップと、
   前記補正された監視値を出力する補正監視値出力ステップと、を実行する、
   ことを特徴とする監視支援方法。