JP2018207241A - 管理装置、管理方法及び管理プログラム - Google Patents

管理装置、管理方法及び管理プログラム Download PDF

Info

Publication number
JP2018207241A
JP2018207241A JP2017108724A JP2017108724A JP2018207241A JP 2018207241 A JP2018207241 A JP 2018207241A JP 2017108724 A JP2017108724 A JP 2017108724A JP 2017108724 A JP2017108724 A JP 2017108724A JP 2018207241 A JP2018207241 A JP 2018207241A
Authority
JP
Japan
Prior art keywords
traffic
network
value
learning
model
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2017108724A
Other languages
English (en)
Other versions
JP6863091B2 (ja
Inventor
中津川　恵一
Keiichi Nakatsugawa
恵一 中津川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2017108724A priority Critical patent/JP6863091B2/ja
Priority to US15/991,278 priority patent/US10965542B2/en
Publication of JP2018207241A publication Critical patent/JP2018207241A/ja
Application granted granted Critical
Publication of JP6863091B2 publication Critical patent/JP6863091B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/147—Network analysis or design for predicting network behaviour
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods
    • G06N3/084—Backpropagation, e.g. using gradient descent
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/16—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using machine learning or artificial intelligence
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/40—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using virtualisation of network functions or resources, e.g. SDN or NFV entities

Landscapes

  • Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Evolutionary Computation (AREA)
  • Artificial Intelligence (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Molecular Biology (AREA)
  • Computational Linguistics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Biophysics (AREA)
  • Data Mining & Analysis (AREA)
  • Health & Medical Sciences (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Environmental & Geological Engineering (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Databases & Information Systems (AREA)
  • Medical Informatics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

【課題】ネットワーク全体のトラフィックを大局的に分析すること。【解決手段】管理装置は、複数の通信装置を含むネットワークの外からネットワークの中へ入力される第１のトラフィックに基づいてネットワークの中からネットワークの外へ出力される第２のトラフィックを推定するモデルを記憶する記憶部と、第１のトラフィックの実測値を取得する取得部と、記憶部に記憶されたモデルへ取得部により取得された第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する比較部と、を有する。【選択図】図５

Description

本発明は、管理装置、管理方法及び管理プログラムに関する。
通信ネットワークを流れるトラフィックは、量および質の両面で多様化しつつある。すなわち、企業の拠点間接続による業務トラフィックなどに加え、クラウドサービスやビッグデータの収集や分析、ＩｏＴ（Internet of Things）による非ユーザ由来のトラフィックなどが増加している。また、通信ネットワーク自体も、多くのレイヤを含み、管理主体の異なる複数のドメインを経由するなど、大規模化、複雑化している。このため、通信ネットワークの運用管理も難しさを増している。
通信ネットワーク上を流れるトラフィックの監視は、一例として、通信装置の送信ポートまたは受信ポートにおける単位時間当たりの送信データ量または受信データ量などのトラフィックを定期的にモニタし、所定の閾値に達した場合にはネットワーク運用者へのアラームを通知するなどの方法で実施される。この閾値は、一例として、ネットワーク運用者により経験等に基づいて設定される。
ところが、トラフィックとの比較に固定の閾値を用いたのでは、通信ネットワークの規模や構成の複雑化に伴って複雑に変化するトラフィックに適切な閾値を設定することが困難な一面がある。
このことから、ニューラルネットワークを用いて、トラフィック量とその日付を対応付けて学習し、トラフィック量の変動の上限値を予測するトラフィック量予測装置が提案されている。
特開２００７−２２１６９９号公報 特開平７−６４９４４号公報
しかしながら、上記のトラフィック量予測装置は、ネットワークに含まれるポートやリンクを通過するトラフィックを局所的に分析するものに過ぎない。それ故、上記のトラフィック量予測装置では、ネットワーク全体のトラフィックを大局的に分析することができない場合がある。
１つの側面では、本発明は、ネットワーク全体のトラフィックを大局的に分析できる管理装置、管理方法及び管理プログラムを提供することを目的とする。
一態様では、管理装置は、複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルを記憶する記憶部と、前記第１のトラフィックの実測値を取得する取得部と、前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する比較部と、を有する。
ネットワーク全体のトラフィックを大局的に分析できる。
図１は、実施例１に係るネットワーク管理システムの構成例を示す図である。 図２は、トラフィックの変化の一例を示す図である。 図３は、トラフィックの変化の一例を示す図である。 図４は、トラフィックの学習方法の一例を示す図である。 図５は、実施例１に係るネットワーク管理装置の機能的構成を示すブロック図である。 図６は、実施例１に係る学習処理の手順を示すフローチャートである。 図７は、実施例１に係るトラフィックの監視処理の手順を示すフローチャートである。 図８は、トラフィックの学習方法の他の一例を示す図である。 図９は、トラフィックの学習方法の他の一例を示す図である。 図１０は、トラフィックの学習方法の他の一例を示す図である。 図１１は、レイヤ別のトラフィックの一例を示す図である。 図１２は、学習サンプル数および誤差の関係の一例を示す図である。 図１３は、応用例に係る学習処理の手順を示すフローチャートである。 図１４は、学習回数および誤差の関係の一例を示す図である。 図１５は、隠れ層およびニューロン数の変更例を示す図である。 図１６Ａは、トラフィックの一例を示す図である。 図１６Ｂは、トラフィックの一例を示す図である。 図１６Ｃは、トラフィックの一例を示す図である。 図１７は、トラフィックの追加の一例を示す図である。 図１８は、トラフィックの追加の一例を示す図である。 図１９Ａは、リンクの回線速度の一例を示す図である。 図１９Ｂは、第１のトラフィックの時間変化の一例を示す図である。 図１９Ｃは、ニューラルネットワークの一例を示す図である。 図２０は、応用例に係る学習処理の手順を示すフローチャートである。 図２１は、トラフィックの学習方法の他の一例を示す図である。 図２２は、実施例１及び実施例２に係る管理プログラムを実行するコンピュータのハードウェア構成例を示す図である。
以下に添付図面を参照して本願に係る管理装置、管理方法及び管理プログラムについて説明する。なお、この実施例は開示の技術を限定するものではない。そして、各実施例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。
［システム構成］
図１は、実施例１に係るネットワーク管理システムの構成例を示す図である。図１に示すネットワーク管理システム１は、通信事業者や企業の通信システム等の監視対象システム３に構築されるネットワークＮＷの管理を実現するネットワーク管理サービスを提供するものである。このネットワーク管理サービスの一環として、ネットワーク管理システム１は、ネットワーク全体のトラフィックを大局的に分析するトラフィック分析機能も提供する。
図１に示すように、ネットワーク管理システム１には、監視対象システム３と、ネットワーク管理装置１０と、クライアント端末５０とが含まれる。この監視対象システム３には、通信装置３０Ａ〜３０Ｃが収容される。以下では、通信装置３０Ａ〜３０Ｃのことを総称する場合に「通信装置３０」と記載する場合がある。
ここで、図１には、ユーザが使用する端末装置やサーバ装置などのエンドホストの図示を省略したが、監視対象システム３にエンドホストが含まれることを妨げない。また、図１には、あくまで一例として、監視対象システム３に３つの通信装置３０が収容される例を示したが、任意の数の通信装置が収容されることとしてもよい。さらに、図１には、ネットワークＮＷに接続される装置として、ネットワーク管理装置１０及び通信装置３０を示したが、これ以外の他の装置がネットワークＮＷに接続されることを妨げず、また、通信装置３０にも他の装置が接続されることとしてもかまわない。
ネットワーク管理装置１０は、上記のネットワーク管理サービスを提供するコンピュータである。このネットワーク管理装置１０は、管理装置の一例である。
一実施形態として、ネットワーク管理装置１０は、上記のネットワーク管理サービスを実現するパッケージソフトウェアやオンラインソフトウェアを所望のコンピュータにインストールさせることによってＳＤＮ（Software-Defined Networking）コントローラとして実装できる。ここでは、あくまで一例として、ネットワーク管理装置１０の一機能として上記のトラフィック分析機能が実装される場合を例示したが、上記のトラフィック分析機能は必ずしもネットワーク管理装置１０の一機能として実装されずともかまわない。例えば、ネットワーク管理装置１０の外部装置として、トラフィック分析機能を有する装置がネットワーク管理装置１０またはネットワークＮＷに接続されることとしてもかまわない。このネットワーク管理装置１０は、ネットワークＮＷの一例として、ＩＰ−ＶＰＮ（Internet Protocol Virtual Private Network）や広域イーサネット（登録商標）などのキャリアイーサネット（登録商標）の監視、設定や制御などを含む管理を実行することができる。このようにネットワーク管理装置１０により管理されるネットワークＮＷは、物理ネットワークに限定されず、ＳＤＮやＮＦＶ（Network Function Virtualization）などの技術により仮想化された仮想ネットワークであってもよい。
通信装置３０は、監視対象システム３のネットワークＮＷを形成する装置である。この通信装置３０には、一例として、イーサネット（登録商標）スイッチやＭＰＬＳ（Multi Protocol Label Switching）スイッチ、ＩＰ（Internet Protocol）ルータ、Ｌ（Layer）４スイッチ、Ｌ７スイッチなどが含まれる。
クライアント端末５０は、上記のネットワーク管理サービスの提供を受けるコンピュータである。このクライアント端末５０は、一例として、ネットワークＮＷを管理するネットワーク管理者等の関係者により使用される。ここで、上記のネットワーク管理サービスの提供により、クライアント端末５０は、必ずしもｔｅｌｎｅｔやＳＳＨ（Secure SHell）の動作環境を有さずともかまわない。このため、クライアント端末５０には、汎用のブラウザの動作環境を有する任意のコンピュータを採用することができる。またクライアント端末５０は、ネットワーク管理装置１０と物理的に同一の装置として構成されてもよい。
［課題の一側面］
ここで、上記の従来技術における課題の一側面について説明する。一般的に、ネットワークＮＷ上の数あるリンクやポートのトラフィックとの比較に固定の閾値が設定される運用管理が行われることがある。このような運用管理では、一側面として、ネットワークＮＷの規模や構成の複雑化に伴って複雑に変化するトラフィックに適切な閾値を設定できず、トラフィックの挙動を適切に監視することが困難である。
図２は、トラフィックの変化の一例を示す図である。図２には、ネットワークＮＷ上のあるリンク１のトラフィックの時間変化が示されている。図２に示すように、昼間はトラフィック量が多く、夜間はトラフィック量が少ないといった時間的変動に、さらに、ユーザ数や、ユーザが使用するアプリケーションやサービスの増加により時間経過とともにトラフィック量が全体的に徐々に増加する変化が重畳する傾向にあるリンク１で計測されるトラフィックが示されている。
このような場合、当初、運用者は、ピークのトラフィック量を元に閾値Ｔｈ１を設定し、ある時点までは、特に異常が無ければトラフィック急増などの変化が検知されることはない。ところが、トラフィック量が徐々に増加することによって、ある時点からピークのトラフィック量が閾値Ｔｈ１を超過し、トラフィック変化の検知が繰り返される状況が起こり得る。このような、定常的なユーザ数の増加等によるトラフィック量の増加は、異常の発生ではないものの、異常が発生する場合と同じように閾値超過のアラートＡＬ１及びＡＬ２が通知されるので、運用者にとっては誤検知として不要な調査や確認などの作業が発生する一因となる。
図３は、トラフィックの変化の一例を示す図である。図３には、ネットワークＮＷ上のあるリンク２のトラフィックの時間変化が示されている。図３に示すように、定常的に流れるトラフィック量は少ないものの、例えば、月曜の午前中にはソフトウェアアップデート、また、金曜午後にはストレージへのデータバックアップなどが定期的に予定されており、アップデートやバックアップが実行された時にだけトラフィック量が一時的に増加する傾向にあるリンク２で計測されるトラフィックが示されている。
このような場合、運用者は、定常的なトラフィック量を元に閾値Ｔｈ２を設定し、通常時は特に異常が無ければトラフィック急増などの変化が検知されることはないが、ソフトウェアアップデートやデータバックアップなど一時的なトラフィック量の増加によってトラフィック量が閾値Ｔｈ２を超過し、トラフィック変化の検知が繰り返される状況が起こり得る。このように意図的または計画的に起こり得るトラフィック量の増加は、異常の発生ではないものの、異常が発生する場合と同じように閾値超過のアラートＡＬ３及びＡＬ４が通知されるので、運用者にとっては誤検知として不要な調査や確認などの作業が発生する原因となる。また、これらの誤検知を回避するために、閾値Ｔｈ２を大きな値に設定すると、ソフトウェアアップデートやデータバックアップが行われる時間帯以外の通常時に、ネットワークＮＷにおいて異常が発生してトラフィックが急増する場合に、その異常が検知されなくなってしまう。
図２及び図３に示す通り、ネットワークＮＷの規模や構成の複雑化に伴って複雑に変化するトラフィックに固定の閾値を設定するのでは、トラフィックの挙動を適切に分析するのは困難であることがわかる。これを解決するために、一例として、閾値を動的に変更しようとしても、リンクやポートが異なればトラフィックの時間変化の傾向も異なるので、閾値を動的に変更するアルゴリズムも個別に調整することになる。
これを背景にして、ニューラルネットワークを用いて、トラフィック量とその日付を対応付けて学習し、トラフィック量の変動の上限値を予測するトラフィック量予測装置が提案されている。
しかしながら、上記のトラフィック量予測装置は、ネットワークに含まれるポートやリンクを通過するトラフィックを局所的に分析するものに過ぎない。それ故、上記のトラフィック量予測装置では、ネットワーク全体のトラフィックを大局的に分析することができない場合がある。
［トラフィック分析機能の一側面］
そこで、本実施例に係るネットワーク管理装置１０は、ネットワークＮＷの外からネットワークＮＷ内へ入力される第１のトラフィックに基づいてネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを推定するモデルを学習し、第２のトラフィックの推定値と実測値を比較する。
図４は、トラフィックの学習方法の一例を示す図である。図４に示すＴＲ１１、ＴＲ１２及びＴＲ１３は、いずれかのエンドホストから送信されてネットワークＮＷへ入力され、ネットワークＮＷ内で転送される第１のトラフィックを指す。また、図４に示すＴＲ２１、ＴＲ２２及びＴＲ２３は、ネットワークＮＷ内で転送され、最終的にいずれかのエンドホストへ向けて出力される第２のトラフィックを指す。
ネットワーク管理装置１０は、多層構造のニューラルネットワークを用いる深層学習、いわゆるディープラーニングの教師データとして、各時刻における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴を用いる。以下、各時刻における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴、トラフィックの実測値の時系列データのことを「データセット」と記載する場合がある。
すなわち、ネットワーク管理装置１０は、現在より前の各時刻における第１のトラフィックＴＲ１１〜ＴＲ１３、および、第２のトラフィックＴＲ２１〜ＴＲ２３のデータを、それぞれニューラルネットの入力層および出力層の値として用い、順伝播による出力値計算、誤差計算（例えば二乗誤差など）、誤差逆伝播法および重み係数の最適化手法（例えば確率的勾配降下法やＡｄａｍなど）による誤差の最小化などの計算を行う。これにより、ネットワークＮＷに対して第１のトラフィックＴＲ１１〜ＴＲ１３がある値で入力された場合に、普段の挙動として、第２のトラフィックＴＲ２１〜ＴＲ２３がそれぞれどのような値となるかが学習されることになる。
例えば、確率的勾配降下法が用いられる場合、ネットワーク管理装置１０は、ある時刻における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴を１サンプルとして用いる。すなわち、ネットワーク管理装置１０は、第１のトラフィックＴＲ１１、ＴＲ１２及びＴＲ１３の実測値をニューラルネットワークのモデルの入力層へ入力することにより、第２のトラフィックＴＲ２１〜ＴＲ２３を推定する。このように推定される第２のトラフィックＴＲ２１〜ＴＲ２３のことを「推定値」と記載する場合がある。その上で、ネットワーク管理装置１０は、モデルから出力される第２のトラフィックＴＲ２１〜ＴＲ２３の推定値と、第２のトラフィックＴＲ２１〜ＴＲ２３の実測値との誤差を最小化するモデルの学習を実行する。すなわち、ネットワーク管理装置１０は、誤差の勾配を用いて出力層から順に入力層へ向かって各層のニューロンごとに求められた重みの修正量にしたがって重みの修正が実施される。このような学習がデータセットのサンプルごとに実施される。なお、ここでは、正例のラベルが付与されたサンプルを学習に用いる場合を例示したが、負例のラベルが付与されたサンプルを学習に用いることができるのは言うまでもない。
このようにニューラルネットワークのモデル学習を実行した上で、ネットワーク管理装置１０は、モデル学習により重み係数の最適化が行われたニューラルネットに対して、現在の第１のトラフィックＴＲ１１〜ＴＲ１３の値を入力層へ入力し、モデルの出力層から出力される第２のトラフィックＴＲ２１〜ＴＲ２３の計算結果を得る。この計算結果は、第１のトラフィックＴＲ１１〜ＴＲ１３に対し、普段の挙動に基づいて推定される現在の第２のトラフィックＴＲ２１〜ＴＲ２３の推定値と言える。
その後、ネットワーク管理装置１０は、第２のトラフィックＴＲ２１〜ＴＲ２３の推定値が計算結果として得られる度に、第２のトラフィックＴＲ２１〜ＴＲ２３の推定値と、ネットワークＮＷの通信装置３０で計測された同時刻の第２のトラフィックＴＲ２１〜ＴＲ２３の実測値とを比較する。例えば、第２のトラフィックＴＲ２１の推定値と実測値の差、第２のトラフィックＴＲ２２の推定値と実測値の差、さらには、第２のトラフィックＴＲ２３の推定値と実測値の差が所定の閾値以上であるか否かを判定する。
この結果を通じて、ネットワーク管理装置１０は、第２のトラフィックＴＲ２１〜ＴＲ２３の実測値が普段と同じ傾向であるか、それとも異なる傾向であるかを分析し、普段と異なる挙動が発生しているかどうかを検知することができる。例えば、推定値と実測値の差が閾値以上である場合、ネットワーク管理装置１０は、推定値と実測値の大小関係を比較する。そして、実測値が推測値よりも大きい場合、普段とトラフィックの傾向が異なる上、普段では想定されないほどトラフィックが異常に多い挙動を示していることを検出できる。例えばこの場合には、ネットワークＮＷの外から中へ入力されたトラフィックが、いずれかの通信装置３０の先に接続された端末やサーバ装置へ集中している状況や、ネットワークの外から中へ入力されたトラフィックを送信している端末装置がコンピュータウィルス等に感染し、不特定多数の宛先に対してトラフィックを送信している状況が、発生している可能性があることが予想される。また、実測値が推定値よりも小さい場合、普段とトラフィックの傾向が異なる上、普段では想定されないほどトラフィックが異常に少ない挙動を示していることを検出できる。例えばこの場合には、ネットワークＮＷの外から中へ入力されたトラフィックは普段通りの傾向であるが、ネットワークＮＷの内部で通信装置や回線の障害が発生し、トラフィックの輻輳やパケットロスによりネットワークＮＷの中から外へ送信されるトラフィックが減少した可能性があることが予想される。これらの挙動のうち、ネットワーク管理装置１０は、少なくともいずれか一方のアラートをクライアント端末５０へ出力することができる。
このように、本実施例に係るネットワーク管理装置１０は、ネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを推定して推定値と実測値を比較するので、ネットワークＮＷ全体のトラフィックを大局的に分析できる。さらに、本実施例に係るネットワーク管理装置１０では、第２のトラフィックの推測値と実測値を比較するので、トラフィックと比較する閾値が固定化されず、ネットワークＮＷの規模や構成の複雑化に伴って複雑に変化するトラフィックの挙動を適切に分析できる。
［ネットワーク管理装置１０の構成］
図５は、実施例１に係るネットワーク管理装置１０の機能的構成を示すブロック図である。図５に示すように、ネットワーク管理装置１０は、通信Ｉ／Ｆ（interface）部１１と、記憶部１３と、制御部１５とを有する。なお、ネットワーク管理装置１０は、図５に示した機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイスなどの機能部を有することとしてもかまわない。
通信Ｉ／Ｆ部１１は、他の装置、例えば通信装置３０やクライアント端末５０との間で通信制御を行うインタフェースである。
一実施形態として、通信Ｉ／Ｆ部１１は、ＬＡＮ（Local Area Network）カードなどのネットワークインタフェースカードを採用できる。例えば、通信Ｉ／Ｆ部１１は、各種のコマンドを通信装置３０へ送信したり、通信装置３０から通信装置３０が記憶するＣｏｎｆｉｇ情報やＭＩＢ（Management Information Base）の全部またはその一部を受信したりする。また、通信Ｉ／Ｆ部１１は、クライアント端末５０からネットワークＮＷに対する各種の設定を受け付けたり、ネットワークＮＷのトラフィックの分析結果、例えば異常のアラートをクライアント端末５０へ送信したりする。
記憶部１３は、制御部１５で実行されるＯＳ（Operating System）を始め、上記のネットワーク管理サービスを実現するネットワーク管理プログラムなどの各種プログラムに用いられるデータを記憶する記憶デバイスである。
一実施形態として、記憶部１３は、ネットワーク管理装置１０における補助記憶装置に対応する。例えば、記憶部１３には、ＨＤＤ（Hard Disk Drive）、光ディスクやＳＳＤ（Solid State Drive）などを採用できる。この他、ＥＰＲＯＭ（Erasable Programmable Read Only Memory)などのフラッシュメモリも補助記憶装置に対応する。
記憶部１３は、制御部１５で実行されるプログラムに用いられるデータの一例として、トポロジ情報１３ａと、トラフィック情報１３ｂと、モデル情報１３ｃとを記憶する。これらトポロジ情報１３ａ、トラフィック情報１３ｂ及びモデル情報１３ｃ以外にも、他の電子データを併せて記憶することもできる。例えば、記憶部１３には、ネットワーク管理者等のユーザの権限を管理するために、ユーザごとに設定操作や閲覧を許可する通信装置３０または通信装置３０のグループが規定されたユーザ権限情報なども記憶することができる。なお、ここでは、ニューラルネットワークのモデルが学習される前から保存できるトポロジ情報１３ａの説明を先行して行い、トラフィック情報１３ｂ及びモデル情報１３ｃについては生成が行われる制御部１５の機能部の説明に合せて行うこととする。
トポロジ情報１３ａは、ネットワークＮＷの接続形状に関する情報である。このトポロジ情報１３ａには、デバイス情報１３ａ１、ポート情報１３ａ２及びリンク情報１３ａ３などが含まれる。
このうち、デバイス情報１３ａ１には、通信装置３０に関する情報が定義される。例えば、デバイス情報１３ａ１には、デバイスＩＤ（IDentification）やデバイス名、ＩＰアドレスなどの項目が対応付けられたデータを採用できる。ここで言う「デバイスＩＤ」とは、通信装置３０を識別する識別情報を指す。また、「デバイス名」とは、通信装置３０に定義された名称を指す。また、「ＩＰアドレス」は、言葉通りの意味であるが、ここでは、デバイスＩＤを持つ通信装置３０に割り当てられたＩＰアドレスを指し、例えば、ネットワークＮＷの構築時にＳＥ等により設定される。なお、ここでは、通信装置３０を定義する項目の一例として、デバイス名やＩＰアドレスを例示したが、この他にも通信装置３０の性能情報などの他の項目をデバイス情報１３ａ１にさらに含めることもできる。
また、ポート情報１３ａ２には、通信装置３０が有するポートに関する情報が定義される。例えば、ポート情報１３ａ２には、デバイスＩＤやポートＩＤ、インタフェース名、ＶＬＡＮ設定などの項目が対応付けられたデータを採用できる。ここで言う「デバイスＩＤ」は、デバイス情報１３ａ１に含まれるデバイスＩＤと同様に、通信装置３０の識別情報を指すが、ここでは、ポートＩＤで識別されるポートを有する通信装置３０のことを意味する。また、「ポートＩＤ」とは、通信装置３０が有するポートを識別する識別情報を指す。また、「インタフェース名」とは、ポートに定義されたインタフェースの名称を指す。また、「ＶＬＡＮ設定」とは、ポートベースＶＬＡＮやタグＶＬＡＮなどの設定を指す。
また、リンク情報１３ａ３は、通信装置３０のポート間を接続するリンクに関する情報が定義される。例えば、リンク情報１３ａ３には、リンクＩＤ、デバイスＩＤ１、ポートＩＤ１、デバイスＩＤ２及びポートＩＤ２などの項目が対応付けられたデータを採用できる。ここで言う「リンクＩＤ」とは、リンクを識別する識別情報を指す。また、「ポートＩＤ１」及び「ポートＩＤ２」は、ポート情報１３ａ２に含まれるポートＩＤと同様に、ポートの識別情報を指すが、ここでは、リンクＩＤで識別されるリンクを接続する２つのポートの識別情報を意味する。さらに、「デバイスＩＤ１」及び「デバイスＩＤ２」は、デバイス情報１３ａ１に含まれるデバイスＩＤと同様に、通信装置３０の識別情報を指すが、ここでは、ポートＩＤ１で識別されるポートを有する通信装置３０の識別情報と、ポートＩＤ２で識別されるポートを有する通信装置３０の識別情報のことを意味する。このように、リンク情報１３ａ３には、ポート情報１３ａ２に含まれるポートの中でも、結線済みのポートまたはリンクアップ後のポートが登録される。
制御部１５は、ネットワーク管理装置１０の全体制御を行う処理部である。
一実施形態として、制御部１５は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などのハードウェアプロセッサにより実装することができる。ここでは、プロセッサの一例として、ＣＰＵやＭＰＵを例示したが、汎用型および特化型を問わず、任意のプロセッサにより実装することができる。例えば、制御部１５は、ＧＰＧＰＵ（General-Purpose computing on Graphics Processing Units）等により実装することもできる。この他、制御部１５は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などのハードワイヤードロジックによって実現されることとしてもかまわない。
制御部１５は、図示しない主記憶装置として実装されるＤＲＡＭ（Dynamic Random Access Memory）やＳＲＡＭ（Static Random Access Memory）などのＲＡＭのワークエリア上に、上記のネットワーク管理サービスの機能を実現する管理プログラムを展開することにより、下記の処理部を仮想的に実現する。
制御部１５は、図５に示すように、取得部１５ａと、選択部１５ｂと、第１の設定部１５ｃと、第２の設定部１５ｄと、学習実行部１５ｅと、推定部１５ｆと、比較部１５ｇと、出力部１５ｈとを有する。
取得部１５ａは、通信装置３０から各種の情報を取得する処理部である。
一実施形態として、取得部１５ａは、ＳＮＭＰ（Simple Network Management Protocol）マネージャなどにより実装できる。例えば、取得部１５ａは、通信装置３０上で動作するＳＮＭＰエージェントにＳＮＭＰコマンドを所定の間隔、例えば５分間で送信することにより、各通信装置３０のＭＩＢ情報を定期的に取得する。このとき、取得部１５ａは、ＭＩＢ情報のうちインタフェース情報を取得するオブジェクトＩＤを指定してＳＮＭＰコマンドをＳＮＭＰエージェントへ送信することにより、ＳＮＭＰエージェントが指定するポートのトラフィック量を取得することができる。このようにポート単位で取得されるトラフィックの時系列データ、すなわちトラフィックの履歴がトラフィック情報１３ｂとして記憶部１３へ保存される。このトラフィック情報１３ｂがニューラルネットワークのモデルの学習に用いられる。また、ニューラルネットワークのモデルの学習後には、第２のトラフィックの推定を行うために、取得部１５ａにより取得された第２のトラフィックが推定部１５ｆへ入力される。
なお、ここでは、ＭＩＢ情報の取得によりトラフィック量を取得する場合を例示したが、他の方法によりトラフィック量を取得することもできる。例えば、通信装置３０にＳＳＨ接続を行って通信装置３０にログインした上でshow系のコマンドを送信する。これにより、通信装置３０から各ポートのトラフィック量などのインタフェース情報をコマンドの戻り値として取得することもできる。
選択部１５ｂは、学習対象とするトラフィックを選択する処理部である。
一実施形態として、選択部１５ｂは、クライアント端末５０から学習の実行指示を受け付けた場合、あるいはトラフィック情報１３ｂとして所定のサンプル数に対応するトラフィックの履歴が記憶部１３に蓄積された場合、次のような処理を実行する。すなわち、選択部１５ａは、記憶部１３に記憶されたトポロジ情報１３ａを参照して、ネットワークＮＷの外からネットワークＮＷ内へ入力される第１のトラフィックを受信する通信装置３０、及び、ネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを送信する通信装置３０を選択する。続いて、選択部１５ｂは、第１のトラフィックを受信する通信装置３０ごとに当該通信装置３０が有するポートのうち第１のトラフィックの受信に用いられるポートを選択すると共に、第２のトラフィックを送信する通信装置３０ごとに当該通信装置３０が有するポートのうち第２のトラフィックの送信に用いるポートを選択する。
第１の設定部１５ｃは、ニューラルネットワークのモデルの初期パラメータを設定する処理部である。
一実施形態として、第１の設定部１５ｃは、選択部１５ｂにより選択された第１のトラフィックの数および第２のトラフィックの数に基づいて、ニューラルネットにおける入力層の入力数および出力層の出力数を設定する。例えば、第１の設定部１５ｃは、モデルの入力層に第１のトラフィックの受信に用いるポートと同数のニューロンを設定すると共に、モデルの出力層に第２のトラフィックの送信に用いるポートと同数のニューロンを設定する。また、第１の設定部１５ｃは、隠れ層の層数、隠れ層の各層のニューロン数の初期値を設定する。この初期値は、一例として、ネットワークＮＷの規模によらず、固定値を用いることができる。この他、トポロジ情報１３ａに基づいて設定することができる。例えば、通信装置３０の数に応じて初期値を設定することができる。さらに、第１の設定部１５ｃは、学習実行部１５ｅによるモデル学習の実行後に誤差が所定の閾値以内に収束しない場合、隠れ層の層数、隠れ層の各層のニューロン数の設定を変更することができる。
第２の設定部１５ｄは、ニューラルネットワークのモデルの学習パラメータを設定する処理部である。
一実施形態として、第２の設定部１５ｄは、学習パラメータとして、モデルの学習に用いるサンプルの数やモデルの学習を実施する回数などを設定する。以下、モデルの学習に用いるサンプルの数のことを「学習サンプル数」と記載し、モデルの学習を実施する回数のことを「学習回数」と記載する場合がある。この学習パラメータには、一例として、上記の管理プログラムの開発者又は設計者等により設定された値を用いることができる他、ネットワーク管理者がリクエストする精度から逆算して設定することもできる。
学習実行部１５ｅは、多層構造のニューラルネットワークをモデルとして用いる深層学習、いわゆるディープラーニングを実行する処理部である。
一実施形態として、学習実行部１５ｅは、記憶部１３に記憶されたトラフィック情報１３ｂのうち、第１のトラフィックの受信に用いるポートで計測された第１のトラフィックおよび第２のトラフィックの送信に用いるポートで計測された第２のトラフィックを読み出す。このとき、学習実行部１５ｅは、一例として、学習が開始された時刻から遡って、第２の設定部１５ｄにより設定された学習サンプル数分の第１のトラフィック及び第２のトラフィックの履歴をデータセットとして記憶部１３から読み出す。
その上で、学習実行部１５ｅは、データセットに含まれるサンプルごとに、次のような処理を実行する。例えば、図４に示す例で言えば、学習実行部１５ｅは、第１のトラフィックＴＲ１１、ＴＲ１２及びＴＲ１３の実測値をニューラルネットワークのモデルの入力層へ入力することにより、第２のトラフィックＴＲ２１〜ＴＲ２３を推定する。その後、学習実行部１５ｅは、モデルから出力される第２のトラフィックＴＲ２１〜ＴＲ２３の推定値と、第２のトラフィックＴＲ２１〜ＴＲ２３の実測値との誤差、例えば平均二乗誤差や平均平方二乗誤差などを最小化するモデルの学習を実行する。すなわち、ネットワーク管理装置１０は、誤差の勾配を用いて出力層から順に入力層へ向かって各層のニューロンごとに求められた重みの修正量にしたがって重みの修正が実施される。このような学習をサンプルごとに実行した上で、学習実行部１５ｅは、第２の設定部１５ｄにより設定された学習回数にわたってデータセットの学習を繰り返し実行する。この結果として得られたモデルのパラメータ、すなわちニューラルネットワークを形成する入力層、隠れ層及び出力層の各層のニューロンやシナプスなどの層構造を始め、各層の重みやバイアスなどのパラメータなどがモデル情報１３ｃとして記憶部１３に保存される。
推定部１５ｆは、ニューラルネットワークのモデルを用いて、第２のトラフィックを推定する処理部である。
一実施形態として、推定部１５ｆは、記憶部１３にモデル情報１３ｃが保存された後、取得部１５ａにより入力層の各ニューロンに対応する第１のトラフィックが取得される度に、次のような処理を実行することができる。例えば、図４に示す例で言えば、推定部１５ｆは、取得部１５ａにより取得された入力層の各ニューロンに対応する第１のトラフィックＴＲ１１、ＴＲ１２及びＴＲ１３の実測値をモデル情報１３ｃにより定まるモデルの入力層へ入力する。これにより、モデルの出力層から第２のトラフィックＴＲ２１〜ＴＲ２３の計算結果、すなわち推定値が出力される。
比較部１５ｇは、第２のトラフィックの推定値と実測値を比較する処理部である。
一実施形態として、比較部１５ｇは、推定部１５ｆにより推定された第２のトラフィックの推定値と、取得部１５ａにより取得された第２のトラフィックの実測値とを比較する。例えば、図４に示す例で言えば、比較部１５ｇは、第２のトラフィックＴＲ２１の推定値と実測値の差、第２のトラフィックＴＲ２２の推定値と実測値の差、さらには、第２のトラフィックＴＲ２３の推定値と実測値の差が所定の閾値以上であるか否かを判定する。なお、ここでは、一例として、第２のトラフィックＴＲ２２の推定値と実測値を比較する場合を例示したが、第２のトラフィックの実測値の代わりに所定の閾値を用い、第２のトラフィックＴＲ２２の推定値と所定の閾値を比較することとしてもかまわない。
出力部１５ｈは、比較部１５ｇによる比較結果を出力する処理部である。
一実施形態として、出力部１５ｈは、比較部１５ｇにより第２のトラフィックの推定値と実測値が比較される度に、第２のトラフィックの推定値と実測値の差をクライアント端末５０へ出力することができる。この他、出力部１５ｈは、第２のトラフィックの推定値と実測値の差が閾値以上である場合、アラートをクライアント端末５０へ出力することができる。このとき、出力部１５ｈは、実測値が推測値よりも大きい場合に絞ってアラートを出力することもできるし、推測値が実測値よりも小さい場合に絞ってアラートを出力することもできる。なお、第２のトラフィックＴＲ２２の推定値が閾値以上である場合、アラートを出力することもできる。
［処理の流れ］
次に、本実施例に係るネットワーク管理装置１０の処理の流れについて説明する。ここでは、ネットワーク管理装置１０により実行される（１）学習処理を説明した後に、ネットワーク管理装置１０により実行される（２）トラフィックの監視処理を説明することとする。
（１）学習処理
図６は、実施例１に係る学習処理の手順を示すフローチャートである。この処理は、一例として、クライアント端末５０から学習の実行指示を受け付けた場合、あるいはトラフィック情報１３ｂとして所定のサンプル数に対応するトラフィックの履歴が記憶部１３に蓄積された場合に開始される。
図６に示すように、選択部１５ｂは、記憶部１３に記憶されたトポロジ情報１３ａを参照して、ネットワークＮＷの外からネットワークＮＷ内へ入力される第１のトラフィックを受信する通信装置３０、及び、ネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを送信する通信装置３０を選択する（ステップＳ１０１）。
続いて、選択部１５ｂは、ステップＳ１０１で第１のトラフィックを受信する通信装置３０として選択された通信装置３０が有するポートのうち第１のトラフィックの受信に用いられるポートを選択すると共に、ステップＳ１０１で第２のトラフィックを送信する通信装置３０として選択された通信装置３０が有するポートのうち第２のトラフィックの送信に用いるポートを選択する（ステップＳ１０２）。
そして、第１の設定部１５ｃは、ステップＳ１０２で選択された第１のトラフィックの数および第２のトラフィックの数に基づいて、ニューラルネットにおける入力層の入力数および出力層の出力数を設定する（ステップＳ１０３）。さらに、第２の設定部１５ｄは、モデルの学習に用いるサンプルの数やモデルの学習を実施する回数などの学習パラメータを設定する（ステップＳ１０４）。
その上で、学習実行部１５ｅは、ステップＳ１０４で設定された学習回数にわたってステップＳ１０４で設定された学習サンプル数に対応するデータセットに含まれるサンプルごとに次のような学習処理を実行する（ステップＳ１０５）。すなわち、学習実行部１５ｅは、ステップＳ１０２で選択された第１のトラフィックの受信ポートで計測される第１のトラフィックの実測値をステップＳ１０３で設定されたモデルの入力層へ入力することにより得られた第２のトラフィックの推定値と、第２のトラフィックの実測値との誤差を最小化するモデルの学習を実行する。
（２）トラフィックの監視処理
図７は、実施例１に係るトラフィックの監視処理の手順を示すフローチャートである。この処理は、一例として、記憶部１３にモデル情報１３ｃが保存された後に実行することができる。
図７に示すように、取得部１５ａにより入力層の各ニューロンに対応する第１のトラフィックの実測値が取得されると（ステップＳ２０１）、推定部１５ｆは、ステップＳ２０１で取得された入力層の各ニューロンに対応する第１のトラフィックの実測値をモデル情報１３ｃにより定まるモデルの入力層へ入力することにより、第２のトラフィックを推定する（ステップＳ２０２）。
続いて、比較部１５ｇは、取得部１５ａにより取得された出力層の各ニューロンに対応する第２のトラフィックの実測値と、ステップＳ２０２で推定された第２のトラフィックの推定値とを比較する（ステップＳ２０３）。
ここで、第２のトラフィックの推定値と実測値の差が閾値以上である場合（ステップＳ２０４Ｙｅｓ）、出力部１５ｈは、クライアント端末５０にアラートを出力し（ステップＳ２０５）、ステップＳ２０１へ移行する。一方、第２のトラフィックの推定値と実測値の差が閾値以上でない場合（ステップＳ２０４Ｎｏ）、ステップＳ２０５の処理をスキップし、ステップＳ２０１へ移行する。
［効果の一側面］
上述してきたように、本実施例に係るネットワーク管理装置１０は、ネットワークＮＷの外からネットワークＮＷ内へ入力される第１のトラフィックに基づいてネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを推定するモデルを学習し、第２のトラフィックの推定値と実測値を比較する。したがって、本実施例に係るネットワーク管理装置１０によれば、ネットワークＮＷ全体のトラフィックを大局的に分析できる。さらに、本実施例に係るネットワーク管理装置１０では、ネットワークＮＷの規模や構成の複雑化に伴って複雑に変化するトラフィックの挙動を適切に分析することもできる。
さて、これまで開示の装置に関する実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。
［第１のトラフィックの推定］
上記の実施例１では、第１のトラフィックの実測値から第２のトラフィックを推定するモデルを学習する場合を例示したが、第２のトラフィックの実測値から第１のトラフィックを推定するモデルを学習することもできる。
図８は、トラフィックの学習方法の他の一例を示す図である。図８に示すＴＲ１１、ＴＲ１２及びＴＲ１３は、いずれかのエンドホストから送信されてネットワークＮＷへ入力され、ネットワークＮＷ内で転送される第１のトラフィックを指す。また、図８に示すＴＲ２１、ＴＲ２２及びＴＲ２３は、ネットワークＮＷ内で転送され、最終的にいずれかのエンドホストへ向けて出力される第２のトラフィックを指す。
ここで、ネットワーク管理装置１０は、上記の実施例１と同様、多層構造のニューラルネットワークを用いる深層学習、いわゆるディープラーニングの教師データとして、各時刻における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴を用いるが、入力層に入力される入力データとして、第１のトラフィックＴＲ１１〜ＴＲ１３の実測値の代わりに第２のトラフィックＴＲ２１〜ＴＲ２３の実測値をモデルの入力層へ入力し、第１のトラフィックを推定する点が異なる。
例えば、確率的勾配降下法が用いられる場合、ネットワーク管理装置１０は、ある時刻における第２のトラフィックＴＲ２１〜ＴＲ２３の実測値および第１のトラフィックＴＲ１１〜ＴＲ１３の実測値の履歴を１サンプルとして用いる。すなわち、ネットワーク管理装置１０は、第２のトラフィックＴＲ２１、Ｔ２２及びＴＲ２３の実測値をニューラルネットワークのモデルの入力層へ入力することにより、第１のトラフィックＴＲ１１〜ＴＲ１３を推定する。その上で、ネットワーク管理装置１０は、モデルから出力される第１のトラフィックＴＲ１１〜ＴＲ１３の推定値と、第１のトラフィックＴＲ１１〜ＴＲ１３の実測値との誤差を最小化するモデルの学習を実行する。
このようにニューラルネットワークのモデル学習を実行した上で、ネットワーク管理装置１０は、モデル学習により重み係数の最適化が行われたニューラルネットに対して、現在の第２のトラフィックＴＲ２１〜ＴＲ２３の値を入力層へ入力し、モデルの出力層から出力される第１のトラフィックＴＲ１１〜ＴＲ１３の計算結果を得る。この計算結果は、第２のトラフィックＴＲ２１〜ＴＲ２３に対し、普段の挙動に基づいて推定される現在の第１のトラフィックＴＲ１１〜ＴＲ１３の推定値と言える。
その後、ネットワーク管理装置１０は、第１のトラフィックＴＲ１１〜ＴＲ１３の推定値が計算結果として得られる度に、第１のトラフィックＴＲ１１〜ＴＲ１３の推定値と、ネットワークＮＷの通信装置３０で計測された同時刻の第１のトラフィックＴＲ１１〜ＴＲ１３の実測値とを比較する。例えば、第１のトラフィックＴＲ１１の推定値と実測値の差、第１のトラフィックＴＲ１２の推定値と実測値の差、さらには、第１のトラフィックＴＲ１３の推定値と実測値の差が所定の閾値以上であるか否かを判定する。
この結果を通じて、ネットワーク管理装置１０は、第１のトラフィックＴＲ１１〜ＴＲ１３の実測値が普段と同じ傾向であるか、それとも異なる傾向であるかを分析し、普段と異なる挙動が発生しているかどうかを検知することができる。例えば、推定値と実測値の差が閾値以上である場合、ネットワーク管理装置１０は、推定値と実測値の大小関係を比較する。そして、実測値が推測値よりも大きい場合、ネットワークＮＷ外から入力されるトラフィックの傾向が普段と異なる上、普段では想定されないほどトラフィックが異常に多い挙動を示していることを検出できる。また、実測値が推測値よりも小さい場合、ネットワークＮＷ外から入力されるトラフィックの傾向が普段と異なる上、普段では想定されないほどトラフィックが異常に少ない挙動を示していることを検出できる。これらの挙動のうち、ネットワーク管理装置１０は、少なくともいずれか一方のアラートをクライアント端末５０へ出力することができる。
このように、ネットワーク管理装置１０は、ネットワークＮＷ外から入力されるトラフィックの挙動を分析することができる。さらに、ネットワーク管理装置１０は、上記の実施例１と組み合わせることにより、ネットワークＮＷ外から入力されるトラフィックの挙動およびネットワークＮＷ外へ出力されるトラフィックの挙動の両方を分析することもできる。
［ネットワークの利用情報を用いる学習］
ネットワーク管理装置１０は、第１のトラフィックの実測値および第２のトラフィックの実測値に加えて、ネットワークの利用情報をさらに用いて、第２のトラフィックを推定することもできる。
ここで、ネットワークの利用情報の一例として、エンドホスト、例えば端末装置やサーバ装置などの稼働日、いわゆる営業日に関するインデックスを採用することができる。図９は、トラフィックの学習方法の他の一例を示す図である。例えば、エンドホストが所属する事業者が企業や教育機関などの団体である場合、カレンダにおける曜日や祝日、およびその団体が規定する営業日や休業日、また営業時間や休業時間などにより、「０」、「１」、「０．５」などのインデックスを付与することができる。具体例を挙げれば、月曜から金曜までの平日などのように、午前および午後の終日にわたって営業が行われる日付に計測されるトラフィックには、「１」が付与される。また、午前または午後の半日の営業、いわゆる半ドンが行われる日付に計測されるトラフィックには、「０．５」が付与される。この他、日曜や祝祭日などの休業日に計測されるトラフィックには、「０」が付与される。
図９に示すように、上記のインデックスが付与されたインデックスデータＩｘ３１をさらに参照して、ネットワーク管理装置１０は、モデルの入力層にインデックス付きの第１のトラフィックの実測値を学習のサンプルとして入力することもできる。すなわち、モデルの入力層には、第１のトラフィックＴＲ１１〜ＴＲ１３に加えて、インデックスデータＩｘ３１に定義されたインデックスを入力するニューロンが追加して設定された上で、当該ニューロンには、インデックスデータＩｘ３１に定義されたインデックスにしたがって「０」、「０．５」または「１」が入力される。これにより、第２のトラフィックＴＲ２１〜ＴＲ２３の推定精度を高めることが可能になる。
［エッジに位置する通信装置のトラフィックを学習］
選択部１５ｂは、学習対象とするトラフィックとして、ネットワークＮＷのエッジに位置する通信装置３０が受信する第１のトラフィックまたはネットワークＮＷのエッジに位置する通信装置３０から送信される第２のトラフィックを選択することができる。
図１０は、トラフィックの学習方法の他の一例を示す図である。図１０には、ネットワークＮＷに含まれる９つの通信装置３０Ａ〜３０Ｉのトポロジが示されている。図１０には、説明の便宜上、通信装置３０間を接続するリンクを１つに集約して示しているが、必ずしも１つのリンクで接続されずともよく、アクセスポートで接続されるリンクやトランクポートで接続されるリンクが複数含まれていてもかまわない。
図１０に示すトポロジでネットワークＮＷが形成される場合、通信装置３０Ａ〜３０Ｆは、エンドホストやネットワークＮＷとは異なる他のネットワークに接続されており、ネットワークＮＷのエッジに位置していると識別できる。一方、通信装置３０Ｇ〜３０Ｉは、通信装置３０Ａ〜３０Ｆから転送されたパケットを中継しており、ネットワークＮＷにおいて内部に位置していると識別できる。
このような場合、選択部１５ｂは、学習対象として、通信装置３０Ａ〜３０Ｆを選択する。さらに、選択部１５ｂは、通信装置３０Ａ〜３０Ｆが有するポートのうち第１のトラフィックが受信されるポートおよび第２のトラフィックが送信されるポートを選択する。例えば、通信装置３０Ａを例に挙げれば、第１のトラフィックＴＲ１１を受信するポートと、第２のトラフィックＴＲ２１が送信されるポートとが学習対象として選択される。その上で、学習実行部１５ｅは、第１のトラフィックＴＲ１１〜ＴＲ１６の実測値をニューラルネットワークのモデルの入力層へ入力することにより、第２のトラフィックＴＲ２１〜ＴＲ２６を推定する。そして、学習実行部１５ｅは、モデルから出力される第２のトラフィックＴＲ２１〜ＴＲ２６の推定値と、第２のトラフィックＴＲ２１〜ＴＲ２６の実測値との誤差を最小化するモデルの学習を実行する。
これにより、ネットワーク管理装置１０は、多くの通信装置３０を含む大規模なネットワークＮＷであっても、モデル学習の計算量を低減することができる。なお、図１０では、通信装置３０Ａ〜３０Ｆにおいて、送信元または宛先のエンドホストと接続している側のポートで計測される第１のトラフィックＴＲ１１〜ＴＲ１６および第２のトラフィックＴＲ２１〜ＴＲ２６を学習に用いる場合を例示したが、通信装置３０Ｇ〜３０Ｉと接続している側のポートで計測される第１のトラフィックをモデル学習に用いることとしてもかまわない。なぜなら、通信装置３０Ａ〜３０Ｆにおいて、通信装置３０Ｇ〜３０Ｉと接続している側のポートで計測される第１のトラフィックの合計および第２のトラフィックの合計は、送信元または宛先のエンドホストと接続している側のポートで計測される第１のトラフィックＴＲ１１〜ＴＲ１６および第２のトラフィックＴＲ２１〜ＴＲ２６の合計とそれぞれ等価であるからである。
［指定されたレイヤのトラフィックの学習］
選択部１５ｂは、学習対象とするトラフィックとして、所定のレイヤに位置する通信装置３０で送受信されるトラフィックを選択することもできる。
図１１は、レイヤ別のトラフィックの一例を示す図である。図１１には、ネットワークＮＷに含まれる９つの通信装置３０Ａ〜３０Ｉのトポロジが示されている。図１１に示すように、ネットワークＮＷには、レイヤａおよびレイヤｂの２階層が含まれる。このうち、レイヤａには、イーサネット（登録商標）フレームを転送するイーサネット（登録商標）スイッチまたはＭＰＬＳスイッチなどにより実装される３つの通信装置３０Ｇ〜３０Ｉが含まれる。一方、レイヤｂには、レイヤａよりも上位のレイヤとして、ＩＰルーティングを行うルータなどにより実装される６つの通信装置３０Ａ〜３０Ｆが含まれる。
ここで、一例として、クライアント端末５０への入力操作を介してレイヤａが監視対象として選択されたとしたとき、ネットワーク管理装置１０は、レイヤａを学習対象として識別する。この場合、ネットワーク管理装置１０は、通信装置３０Ａ〜３０Ｆから送信され、通信装置３０Ｇ〜３０Ｉで受信される第１のトラフィックＴＲ１１〜ＴＲ１６をニューラルネットの入力層の値として用いるとともに、通信装置３０Ｇ〜３０Ｉによって宛先に応じて中継され、通信装置３０Ｇ〜３０Ｉから通信装置３０Ａ〜３０Ｆへ向けて送信される第２のトラフィックＴＲ２１〜ＴＲ２６をニューラルネットの出力層の値として用いて、前述の学習を行う。
すなわち、選択部１５ｂは、学習対象として、通信装置３０Ｇ〜３０Ｉを選択する。さらに、選択部１５ｂは、通信装置３０Ｇ〜３０Ｉが有するポートのうち通信装置３０Ａ〜３０Ｆの対向ポートから第１のトラフィックを受信するポートおよび通信装置３０Ａ〜３０Ｆの対向ポートへ第２のトラフィックを送信するポートを選択する。例えば、通信装置３０Ｇを例に挙げれば、第１のトラフィックＴＲ１１を受信するポート及び第１のトラフィックＴＲ１２を受信するポートと、第２のトラフィックＴＲ２１が送信されるポート及び第２のトラフィックＴＲ２２が送信されるポートとが学習対象として選択される。その上で、学習実行部１５ｅは、第１のトラフィックＴＲ１１〜ＴＲ１６の実測値をニューラルネットワークのモデルの入力層へ入力することにより、第２のトラフィックＴＲ２１〜ＴＲ２６を推定する。そして、学習実行部１５ｅは、モデルから出力される第２のトラフィックＴＲ２１〜ＴＲ２６の推定値と、第２のトラフィックＴＲ２１〜ＴＲ２６の実測値との誤差を最小化するモデルの学習を実行する。
これにより、ネットワークＮＷが多くの通信装置３０を含み、複数のレイヤを含む大規模なネットワークであっても、所望のレイヤに選択して普段と異なる挙動が発生しているかどうかを検知できる。
［学習サンプル数の決定］
通信ネットワークのトラフィックを学習する場合、必ずしも学習サンプル数が多いほどトラフィックの推定精度が向上するとは限らない。すなわち、通信ネットワークにおけるトラフィック特性は様々である。例えば、毎日同様のトラフィックの推移を繰り返すようなリンクもあれば、平日は毎日同じ推移であるが、週末は平日とは異なる推移となり、これが週毎に繰り返されるような特性を示すリンクもある。また、例えば、ある程度の期間が経つと、ユーザ数の増減やネットワーク構成の変更などが行われることにより、ある時点を境にトラフィックの特性が変わることも有る。
ニューラルネットによる学習およびパターン認識の例として、広く知られている手書き数字や動物の写真の認識のように、特徴が不変のデータパターンを学習する場合、学習サンプル数が多いほど推定精度がより向上することになる。しかし、通信ネットワークのトラフィックをニューラルネットにより学習する場合、トラフィック毎にトラフィック特性は異なり、しかも不変ではなく時間が経つと変化することがある。このため、通信ネットワークのトラフィックを学習する場合、教師データとして用いる過去のトラフィックの実測値は多い方が良いとは限らず、トラフィック特性が変わった時点よりも前の古いデータまで用いて学習させてしまうと、かえって誤差が大きくなってしまう場合がある。
図１２は、学習サンプル数および誤差の関係の一例を示す図である。図１２に示すグラフの縦軸は、誤差、例えば推定値と実測値の差分の平均二乗和を指し、横軸は、教師データとする学習サンプル数を指す。ここで例として、例えば学習サンプルが５分周期で計測された第１および第２トラフィックの実測値であった場合は、教師データ数が１０００であれば過去５分前から５０００分前までの実測データ、また教師データ数が２０００であれば過去５分前から１００００分前までの実測データ、を学習サンプルとして用いるということを意味する。図１２に示すように、学習サンプル数が５０００になるあたりまでは学習サンプル数が増加するほど誤差が小さくなる傾向にあるが、学習サンプル数が５０００を超えたあたりからその傾向には当てはまらなくなる。すなわち、学習サンプル数が７５００となったあたりで誤差が最小となり、学習サンプル数が７５００を超えると誤差が上昇する局面に入り、学習サンプル数が９０００になったあたりでは学習サンプル数が７５００である場合よりも誤差が上昇している。
このことから、第２の設定部１５ｄは、複数の学習サンプル数の候補ごとにトラフィックを学習し、最も誤差が少ない学習サンプル数の候補で学習されたモデルをトラフィックの推定に用いることができる。
例えば、ネットワーク管理装置１０は、教師データとして用いる過去のトラフィックの実測値の履歴の期間を変えることにより学習サンプル数を変更しながら、所定の学習回数で学習を試験的に行ってみて、誤差が最も小さくなる、あるいは所定の精度を満たす学習サンプル数を採用しても良い。例えば、過去１日分、過去５日分、過去７日分のトラフィックの実測値の履歴を教師データとして学習を行い、過去５日分の場合に最も誤差が小さくなる場合には、過去５日分の教師データを用いて次回以降の学習を行っても良い。
図１３は、応用例に係る学習処理の手順を示すフローチャートである。図１３には、図６に示すフローチャートと手順が異なるステップが抜粋して示されている。図１３に示すように、第１の設定部１５ｃによりニューラルネットにおける入力層の入力数および出力層の出力数が設定されると（ステップＳ１０３）、第２の設定部１５ｄは、複数の学習サンプル数の候補の間で同一の学習回数を設定する（ステップＳ３０１）。
その後、学習実行部１５ｅは、複数の学習サンプル数の候補のうち１つを選択する（ステップＳ３０２）。続いて、学習実行部１５ｅは、ステップＳ３０１で設定された学習回数にわたってステップＳ３０２で候補として選択された学習サンプル数に対応するデータセットに含まれるサンプルごとに学習処理を実行する（ステップＳ３０３）。
そして、全ての学習サンプル数の候補が選択されるまで（ステップＳ３０４Ｎｏ）、上記のステップＳ３０２及びステップＳ３０３の処理が繰り返し実行される。その後、全ての学習サンプル数の候補が選択された場合（ステップＳ３０４Ｙｅｓ）、学習実行部１５ｅは、学習サンプル数の候補ごとに学習が行われたモデルのうち誤差が最小である学習サンプル数の候補で学習が行われたモデルを選択し（ステップＳ３０５）、ステップＳ３０５で選択されたモデルのパラメータがモデル情報１３ｃとして記憶部１３に保存される。
これにより、学習に用いる教師データの数が過度に多くなることを抑制できる結果、トラフィックの推定精度を高めることができる。
［学習回数の決定］
前述の通り、通信ネットワークにおけるトラフィックの特性は様々である。また、通信ネットワークの規模、すなわち学習の対象となるトラフィックの数も様々である。例えば、毎日同様に、時間的な変化が少ない単調なトラフィック特性を示すリンクもあれば、日や時間帯によって複雑に変化するトラフィック特性を示すリンクもある。ニューラルネットにより学習を行う場合、計算回数は、前者のような単調なデータパターンを学習する場合よりも、後者のような複雑なデータパターンを学習する場合の方が、より多くの学習回数が要求される。このため、第２の設定部１５ｄは、学習回数を増加させながら誤差の収束を判定し、誤差が最小となる学習回数、誤差が所定の閾値以内となった学習回数、あるいは所定の推定精度を満たす学習回数を採用することができる。なお、誤差が閾値以内であろうと、あるいは推定精度を満たそうと、誤差が収束するまでは学習回数を増加させることができるのは言うまでもない。
図１４は、学習回数および誤差の関係の一例を示す図である。図１４に示すグラフの縦軸は、誤差を指し、横軸は、学習回数を指す。図１４には、１０００回から１００００回まで１０００ずつ学習回数を増加させながらトラフィックの学習が行われた例が示されている。図１４に示すように、８０００回以上では誤差がそれ以上小さくならずに収束する場合、学習実行部１５ｅは、８０００回の学習回数で学習が行われたモデルのパラメータがモデル情報１３ｃとして記憶部１３に保存する。この場合、次回以降の学習では、第２の設定部１５ｄは、学習回数を８０００回に設定することもできる。
これにより、所望の推定精度を満たしながら、学習のための計算回数が過度に多くなることを抑制し、モデル学習の計算量を削減することができる。
［モデルのパラメータの再設定］
第１の設定部１５ｃは、一定の回数、例えば８０００回にわたってデータセットの学習を繰り返しても誤差が所定の閾値以内に収束しない場合、モデルに含まれる隠れ層の数や隠れ層に含まれるニューロン数を増加させることもできる。すなわち、学習回数が誤差を収束されるのに十分であっても、誤差が閾値以内とならない状態で誤差が収束し、それ以上誤差が小さくならない場合がある。このような場合、学習しようとする複雑な入力および出力のデータパターンに対して、ニューラルネットの隠れ層の数やニューロン数が少なすぎることが一因と考えられる。このことから、第１の設定部１５ｃは、モデルに含まれる隠れ層の数または隠れ層に含まれるニューロン数を増加させることもできる。
図１５は、隠れ層およびニューロン数の変更例を示す図である。図１５には、一例として、第１のトラフィックＴＲ１１〜ＴＲ１３の３つを入力層に入力し、第２のトラフィックＴＲ２１〜ＴＲ２３の３つを出力層から出力するニューラルネットワークのモデルが示されている。例えば、第１の設定部１５ｃは、隠れ層が１層であり、隠れ層のニューロン数が４つであるモデルを用いても誤差が閾値以内に収束しない場合、図１５の左部に示すように、隠れ層の層数は１層のままで隠れ層のニューロン数を４つから６つに増加させることができる。これでも誤差が閾値以内に収束しない場合、第１の設定部１５ｃは、図１５の右部に示すように、隠れ層の数を１層から２層に増加させることもできる。なお、図１５には、ニューロン数が６つの隠れ層を２層設定する場合を例示しているが、ニューロン数は４つのまま隠れ層の数を２層に変更することとしても良い。また、隠れ層の数を３層以上に変更しても良く、各隠れ層のニューロン数は同じであっても異なっていても良い。
これにより、誤差が閾値以内となるまでモデル学習を継続させることができるので、所望の推定精度を満たすモデルを生成することができる。
［トラフィックの追加および削除］
図１０では、ネットワークＮＷのトポロジにおいて、エッジに位置する通信装置３０で送信および受信されるトラフィックを学習対象として選択する例を示したが、トラフィックの流れ方によっては、学習を行っても所定の精度で推定を行えない場合がある。
図１０に示された通信装置３０Ａ〜３０Ｃで受信され、ネットワークＮＷへ入力される第１のトラフィックＴＲ１１〜ＴＲ１３（例えば、各トラフィック量を１００とする）は、例えば宛先となるエンドホスト（サーバ等）が、負荷分散や仮想マシンのマイグレーションなどによって変更となり、通信装置３０Ｄ〜３０Ｆのいずれかに向けて転送され、第１のトラフィックＴＲ１１〜ＴＲ１３が合計された全てのトラフィックがエンドホストへ送信される場合を想定する。
図１６Ａ〜図１６Ｃは、トラフィックの一例を示す図である。図１６Ａ〜図１６Ｃには、第１のトラフィックＴＲ１１〜ＴＲ１３の各々が１００である場合が示されている。このうち、図１６Ａには、第１のトラフィックＴＲ１１〜ＴＲ１３の全てのトラフィックが通信装置３０Ｄから送信されるパターン１が示されている。また、図１６Ｂには、全てのトラフィックが通信装置３０Ｅから送信されるパターン２が示されている。さらに、図１６Ｃには、全てのトラフィックが通信装置３０Ｆから送信されるパターン３が示されている。
例えば、パターン１の場合、図１６Ａに示すように、全てのトラフィックが合計された第２のトラフィックＴＲ２１は３００となる。一方、通信装置３０Ｅおよび通信装置３０Ｆから送信される第２のトラフィックＴＲ２２および第２のトラフィックＴＲ２３は０となる。
また、パターン２の場合、図１６Ｂに示すように、全てのトラフィックが合計された第２のトラフィックＴＲ２２は３００となる。一方、通信装置３０Ｄおよび通信装置３０Ｆから送信される第２のトラフィックＴＲ２１および第２のトラフィックＴＲ２３は０となる。
また、パターン３の場合、図１６Ｃに示すように、全てのトラフィックが合計された第２のトラフィックＴＲ２３は３００となる。一方、通信装置３０Ｄおよび通信装置３０Ｅから送信される第２のトラフィックＴＲ２１および第２のトラフィックＴＲ２２は０となる。
このような状況では、第１のトラフィックＴＲ１１〜ＴＲ１３を入力層の値とし、第２のトラフィックＴＲ２１〜ＴＲ２３を出力層の値としてニューラルネットにより学習を行ったとしても、入力層へ入力されるサンプルの値は常に入力１＝１００、入力２＝１００、入力３＝１００の１種類しかないため、入力層へ入力されるサンプルに応じて出力層から出力される計算結果として、出力１＝３００、出力２＝０および出力３＝０のパターン１、出力１＝０、出力２＝３００及び出力３＝０のパターン２、さらには、出力１＝０、出力２＝０及び出力３＝３００のパターン３のいずれかの出力を得るように学習することは困難であり、モデルに推定値を計算させたとしても誤差が大きくなってしまう。
このような場合、入力層へ入力されるサンプルの値が多くのバリエーションを含むようにして学習が適切に行われるようにするため、学習対象として他のトラフィックを入力層のデータとして追加しても良い。
（１）転送量が最大であるトラフィックの追加
図１７は、トラフィックの追加の一例を示す図である。図１７には、ネットワークＮＷのエッジに位置しない通信装置３０Ｇ〜３０Ｉ、すなわち第１のトラフィックＴＲ１１〜ＴＲ１３を中継する通信装置３０Ｇ〜３０Ｉのうち、パターン１〜パターン３の各パターンの合計でより多くのトラフィックを中継する通信装置３０Ｇが選択された例が示されている。さらに、図１７には、通信装置３０Ｇが有するポートのうち、通信装置３０Ｈ側の対向ポートに接続されたポートが出力する第１のトラフィックＴＲ１５及び通信装置３０Ｉ側の対向ポートに接続されたポートが出力する第１のトラフィックＴＲ１６を学習対象として入力層のニューロンに追加する例が示されている。
このようなトラフィックの追加が行われた場合、各パターン１〜３の間で、第１のトラフィックＴＲ１５および第１のトラフィックＴＲ１６の組合せが同一の値の組合せとならず、少なくともいずれかで異なる値を含むことになる。
例えば、パターン１の場合、通信装置３０Ａから受信した第１のトラフィックＴＲ１１および通信装置３０Ｂから受信した第１のトラフィックＴＲ１２がそのまま通信装置３０Ｈへ転送される。このため、第１のトラフィックＴＲ１６が０となる一方で、第１のトラフィックＴＲ１５が２００となる。したがって、第１のトラフィックＴＲ１５を入力４、第１のトラフィックＴＲ１６を入力５とすると、入力層へ入力されるサンプルの値は、入力１＝１００、入力２＝１００、入力３＝１００、入力４＝２００、入力５＝０となる。
また、パターン２の場合、通信装置３０Ａから受信した第１のトラフィックＴＲ１１が通信装置３０Ｈへ転送される一方で、通信装置３０Ｂから受信した第１のトラフィックＴＲ１２が通信装置３０Ｉへ転送される。このため、第１のトラフィックＴＲ１５が１００となると共に、第１のトラフィックＴＲ１６も１００となる。したがって、入力層へ入力されるサンプルの値は、入力１＝１００、入力２＝１００、入力３＝１００、入力４＝１００、入力５＝１００となる。
また、パターン３の場合、通信装置３０Ａから受信した第１のトラフィックＴＲ１１および通信装置３０Ｂから受信した第１のトラフィックＴＲ１２がそのまま通信装置３０Ｉへ転送される。このため、第１のトラフィックＴＲ１５が０となると共に、第１のトラフィックＴＲ１６が２００となる。したがって、入力層へ入力されるサンプルの値は、入力１＝１００、入力２＝１００、入力３＝１００、入力４＝０、入力５＝２００となる。
このように、パターン１〜パターン３において第１のトラフィックＴＲ１１〜ＴＲ１３が同一の値である場合でも、パターン１〜パターン３ごとに第１のトラフィックＴＲ１５および第１のトラフィックＴＲ１６の値が異なる。それ故、パターン１〜パターン３の各パターンの間で値が異なる入力の組合せを入力層へ入力することができる。したがって、入力層のニューロンへパターン１の入力が行われた場合に出力１＝３００、出力２＝０および出力３＝０をモデルから出力し、入力層のニューロンへパターン２の入力が行われた場合に出力１＝０、出力２＝３００及び出力３＝０をモデルから出力し、さらには、入力層のニューロンへパターン３の入力が行われた場合に出力１＝０、出力２＝０及び出力３＝３００を出力するモデル学習を実現できる。
（２）ポート数が最大である通信装置のトラフィックの追加
図１８は、トラフィックの追加の一例を示す図である。図１８には、ネットワークＮＷのエッジに位置しない通信装置３０Ｇ〜３０Ｉ、すなわち第１のトラフィックＴＲ１１〜ＴＲ１３を中継する通信装置３０Ｇ〜３０Ｉのうち、ポート数が最大である通信装置３０Ｉが選択された例が示されている。さらに、図１８には、通信装置３０Ｉが有するポートのうち、通信装置３０Ｇ側の対向ポートに接続されたポートが受信する第１のトラフィックＴＲ１７および通信装置３０Ｈが有する対向ポートに接続されたポートが出力する第１のトラフィックＴＲ１８を学習対象として入力層のニューロンに追加する例が示されている。
このようなトラフィックの追加が行われた場合、図１７に示す例と同様、各パターン１〜３の間で、第１のトラフィックＴＲ１７および第１のトラフィックＴＲ１８の組合せが同一の値の組合せとならず、少なくともいずれかで異なる値を含むことになる。
したがって、パターン１〜パターン３において第１のトラフィックＴＲ１１〜ＴＲ１３が同一の値である場合でも、パターン１〜パターン３ごとに第１のトラフィックＴＲ１７および第１のトラフィックＴＲ１８の値が異なる。それ故、パターン１〜パターン３の各パターンの間で値が異なる入力の組合せを入力層へ入力することができる。したがって、入力層のニューロンへパターン１の入力が行われた場合に出力１＝３００、出力２＝０および出力３＝０をモデルから出力し、入力層のニューロンへパターン２の入力が行われた場合に出力１＝０、出力２＝３００及び出力３＝０をモデルから出力し、さらには、入力層のニューロンへパターン３の入力が行われた場合に出力１＝０、出力２＝０及び出力３＝３００を出力するモデル学習を実現できる。
（３）転送量が相対的に少ないトラフィックの削除
上記（１）及び上記（２）では、入力層のニューロンを追加する例を説明したが、これとは逆に、例として、エッジに位置する通信装置３０で送信および受信されるトラフィックを学習対象として選択し、学習を行うことによって所望の推定精度を満たす場合には、所望の推定精度を満たすことが可能な範囲で、学習対象からいずれかのトラフィックを除外し、モデル学習の計算量を削減することもできる。
図１９Ａは、リンクの回線速度の一例を示す図である。図１９Ａには、各通信装置３０Ａ〜３０Ｉを接続するリンクの回線速度が図示されている。図１９Ａに示すように、トラフィックの中継を行う通信装置３０Ｇ〜３０Ｈを相互に接続するリンクは５０Ｍｂｐｓである。また、通信装置３０Ａ〜３０Ｆが通信装置３０Ｇ〜３０Ｉのいずれかと相互に接続するリンクのうち、通信装置３０Ａおよび通信装置３０Ｇを接続するリンク、通信装置３０Ｂおよび通信装置３０Ｇを接続するリンク、通信装置３０Ｃおよび通信装置３０Ｉを接続するリンク、通信装置３０Ｄおよび通信装置３０Ｈを接続するリンク、さらには、通信装置３０Ｅおよび通信装置３０Ｈを接続するリンクの５つのリンクは、１０Ｍｂｐｓである。一方、通信装置３０Ｆおよび通信装置３０Ｉを接続するリンクは、１Ｍｂｐｓである。
このように、通信装置３０Ａ〜３０Ｅを介してネットワークＮＷの外からネットワークＮＷの中へ入力される第１のトラフィックＴＲ１１〜ＴＲ１５は、最大１０Ｍｂｐｓの速度で流れる。さらに、通信装置３０Ａ〜３０Ｅを介してネットワークＮＷの内からネットワークＮＷの外へ出力される第２のトラフィックＴＲ２１〜ＴＲ２５も、最大１０Ｍｂｐｓの速度で流れる。
一方、通信装置３０Ｆを介してネットワークＮＷの外からネットワークＮＷの中へ入力される第１のトラフィックＴＲ１６は、最大でも１Ｍｂｐｓの速度を超えることはなく、また、通信装置３０Ｆを介してネットワークＮＷの内からネットワークＮＷの外へ出力される第２のトラフィックＴＲ２６も、最大でも１Ｍｂｐｓの速度を超えることはない。
このように、第１のトラフィックＴＲ１６は、第１のトラフィックＴＲ１１〜ＴＲ１５に比べて非常に小さく、また、第２のトラフィックＴＲ２６も、第２のトラフィックＴＲ２１〜ＴＲ２５に比べて非常に小さい。そして、通信装置３０Ｆから入力される第１のトラフィックＴＲ１６は、宛先に応じて転送されることによって分岐し、通信装置３０Ａ〜３０Ｆから出力される第２のトラフィックＴＲ２１〜ＴＲ２６にそれぞれ含まれることになるが、そのトラフィック量は宛先に応じて分散するので、さらに小さくなる。
言い換えると、通信装置３０Ａ〜３０Ｆから出力される第２のトラフィックＴＲ２１〜ＴＲ２６の大部分は、元々は通信装置３０Ａ〜３０Ｅへ入力される第１のトラフィックＴＲ１１〜ＴＲ１５が分岐および／または合流することにより転送されたものであり、通信装置３０Ｆから入力される第１のトラフィックＴＲ１６が第２のトラフィックＴＲ２１〜ＴＲ２６のトラフィック量に関与している度合いは非常に小さいと言える。
このように第２のトラフィックへの寄与が他のリンクに比べて相対的に低いリンクは、一例として、ネットワークＮＷのエッジに位置する通信装置３０ごとに当該通信装置３０がネットワークＮＷの内部の通信装置３０と接続されるリンクの回線速度がネットワークＮＷに含まれる各リンクの回線速度の統計値の所定の割合、例えば１０分の１以下であるか否かを判定することにより検出することができる。なお、ここで言う「統計値」には、一例として、平均値や中央値、最頻値などを用いることができる。
このような状況の下、ネットワーク管理装置１０は、学習対象として、入力層から第１のトラフィックＴＲ１６についての入力を除外するように、ニューラルネットの構成を設定しても良い。図１９Ｂは、第１のトラフィックの時間変化の一例を示す図である。図１９Ｃは、ニューラルネットワークの一例を示す図である。図１９Ｂに示すように、第１の設定部１５ｃは、データセットから通信装置３０Ｆへ入力される第１のトラフィックＴＲ１６の実測値の履歴を除外する。さらに、図１９Ｃに示すように、第１の設定部１５ｃは、入力層から第１のトラフィックＴＲ１６に対応するニューロンを削除するモデルパラメータの変更を実施する。
これにより、所望の推定精度を満たしつつ、学習対象を削減することができる結果、より少ない計算量でモデル学習を行うことができる。
（４）トラフィックの追加および削除の手順
図２０は、応用例に係る学習処理の手順を示すフローチャートである。この処理も、図６に示す処理と同様、クライアント端末５０から学習の実行指示を受け付けた場合、あるいはトラフィック情報１３ｂとして所定のサンプル数に対応するトラフィックの履歴が記憶部１３に蓄積された場合に開始される。
図２０に示すように、選択部１５ｂは、記憶部１３に記憶されたトポロジ情報１３ａを参照して、ネットワークＮＷの外からネットワークＮＷ内へ入力される第１のトラフィックを受信する通信装置３０、及び、ネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを送信する通信装置３０を選択する（ステップＳ１０１）。
続いて、選択部１５ｂは、ステップＳ１０１で第１のトラフィックを受信する通信装置３０として選択された通信装置３０が有するポートのうち第１のトラフィックの受信に用いられるポートを選択すると共に、ステップＳ１０１で第２のトラフィックを送信する通信装置３０として選択された通信装置３０が有するポートのうち第２のトラフィックの送信に用いるポートを選択する（ステップＳ１０２）。
そして、第１の設定部１５ｃは、ステップＳ１０２で選択された第１のトラフィックの数および第２のトラフィックの数に基づいて、ニューラルネットにおける入力層の入力数および出力層の出力数を設定する（ステップＳ１０３）。さらに、第２の設定部１５ｄは、モデルの学習に用いるサンプルの数やモデルの学習を実施する回数などの学習パラメータを設定する（ステップＳ１０４）。
その上で、学習実行部１５ｅは、ステップＳ１０４で設定された学習回数にわたってステップＳ１０４で設定された学習サンプル数に対応するデータセットに含まれるサンプルごとに次のような学習処理を実行する（ステップＳ１０５）。すなわち、学習実行部１５ｅは、ステップＳ１０２で選択された第１のトラフィックの受信ポートで計測される第１のトラフィックの実測値をステップＳ１０３で設定されたモデルの入力層へ入力することにより得られた第２のトラフィックの推定値と、第２のトラフィックの実測値との誤差を最小化するモデルの学習を実行する。
ステップＳ１０５の学習の結果、学習実行部１５ｅは、誤差が所定の閾値以内に収束したか否かを判定する（ステップＳ４０１）。このとき、誤差が所定の閾値以内に収束しない場合（ステップＳ４０１Ｎｏ）、第１の設定部１５ｃは、図１７を用いて説明した転送量が最大である通信装置３０が有するポートまたは図１８を用いて説明したポート数が最大である通信装置３０が有するポートで計測される第１のトラフィックに対応するニューロンを入力層に追加するニューラルネットワークの設定変更を実行し（ステップＳ４０２）、ステップＳ１０５の処理へ移行して再度のモデル学習を行う。
また、誤差が所定の閾値以内に収束した場合（ステップＳ４０１Ｙｅｓ）、学習実行部１５ｅは、第２のトラフィックへの寄与が他のポートよりも相対的に小さいポートが存在するか否かを判定する（ステップＳ４０３）。ここで、第２のトラフィックへの寄与が小さいポートが存在する場合（ステップＳ４０３Ｙｅｓ）、第１の設定部１５ｃは、当該ポートで計測される第１のトラフィックに対応するニューロンを入力層から削除するニューラルネットワークの設定変更を実行し（ステップＳ４０４）、ステップＳ１０５の処理へ移行する。
［将来予測１］
上記の実施例１では、第１のトラフィックの実測値から第２のトラフィックを推定するモデルを学習する場合を例示したが、第１のトラフィックの実測値から当該実測値よりも先の時刻の第２のトラフィックの推定値、言い換えれば予測値を推定するモデルを学習することもできる。
図２１は、トラフィックの学習方法の他の一例を示す図である。図２１に示すＴＲ１１、ＴＲ１２及びＴＲ１３は、いずれかのエンドホストから送信されてネットワークＮＷへ入力され、ネットワークＮＷ内で転送される第１のトラフィックを指す。また、図２１に示すＴＲ２１、ＴＲ２２及びＴＲ２３は、ネットワークＮＷ内で転送され、最終的にいずれかのエンドホストへ向けて出力される第２のトラフィックを指す。
ここで、ネットワーク管理装置１０は、上記の実施例１と同様、多層構造のニューラルネットワークを用いる深層学習、いわゆるディープラーニングの教師データとして、各時刻における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴を用いるが、出力層から出力される出力データとして、第１のトラフィックＴＲ１１〜ＴＲ１３が計測された時点から所定時間後の第２のトラフィックＴＲ２１〜ＴＲ２３の予測値を推定する点が異なる。
例えば、確率的勾配降下法が用いられる場合、ネットワーク管理装置１０は、ある時刻ｔ１における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および時刻ｔ１から所定時間、例えばＮ分後の時刻ｔ２における第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴を１サンプルとして用いる。すなわち、ネットワーク管理装置１０は、第１のトラフィックＴＲ１１、ＴＲ１２及びＴＲ１３の実測値をニューラルネットワークのモデルの入力層へ入力することにより、時刻ｔ２における第２のトラフィックＴＲ２１〜ＴＲ２３を推定する。その上で、ネットワーク管理装置１０は、モデルから出力される第２のトラフィックＴＲ２１〜ＴＲ２３の予測値と、時刻ｔ２における第２のトラフィックＴＲ２１〜ＴＲ２３の実測値との誤差を最小化するモデルの学習を実行する。
このようにニューラルネットワークのモデル学習を実行した上で、ネットワーク管理装置１０は、モデル学習により重み係数の最適化が行われたニューラルネットに対して、現在の第１のトラフィックＴＲ１１〜ＴＲ１３の値を入力層へ入力し、モデルの出力層から出力されるＮ分後の第２のトラフィックＴＲ２１〜ＴＲ２３の計算結果を得る。この計算結果は、普段の挙動に基づいて推定されるＮ分後の第２のトラフィックＴＲ２１〜ＴＲ２３の予測値と言える。
その後、ネットワーク管理装置１０は、第２のトラフィックＴＲ２１〜ＴＲ２３の推定値が計算結果として得られる度に、Ｎ分後の第２のトラフィックＴＲ２１〜ＴＲ２３の予測値と、ネットワークＮＷの通信装置３０で時刻ｔ１のＮ分後に計測された第２のトラフィックＴＲ２１〜ＴＲ２３の実測値とを比較する。この他、ネットワーク管理装置１０は、Ｎ分後の第２のトラフィックＴＲ２１〜ＴＲ２３の予測値と、所定の閾値とを比較することもできる。これにより、現時刻である時刻ｔ１からＮ分後である時刻ｔ２でネットワークＮＷから出力されるトラフィックに異常があるか否かを検出することができる。そして、Ｎ分後の第２のトラフィックＴＲ２１〜ＴＲ２３の予測値が閾値を超える場合、クライアント端末５０にアラートを出力することができる。
このように、ネットワーク管理装置１０は、ネットワークＮＷ内からネットワークＮＷ外へ出力されるトラフィックの挙動を将来予測することができる。なお、当然のことながら、ネットワーク管理装置１０は、時刻ｔ１における第２のトラフィックＴＲ２１、Ｔ２２及びＴＲ２３の実測値をニューラルネットワークのモデルの入力層へ入力することにより、時刻ｔ１のＮ分後である時刻ｔ２における第１のトラフィックＴＲ１１〜ＴＲ１３を推定する。その上で、ネットワーク管理装置１０は、モデルから出力されるＮ分後の第１のトラフィックＴＲ１１〜ＴＲ１３の予測値と、時刻ｔ２における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値との誤差を最小化するモデルの学習を実行することもできる。これにより、Ｎ分後の第１のトラフィックＴＲ１１〜ＴＲ１３の予測値が閾値を超える場合、クライアント端末５０にアラートを出力することができる。このように、ネットワークＮＷ外からネットワークＮＷ内へ入力されるトラフィックの挙動を将来予測することもできる。
［分散および統合］
また、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されておらずともよい。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、取得部１５ａ、選択部１５ｂ、第１の設定部１５ｃ、第２の設定部１５ｄ、学習実行部１５ｅ、推定部１５ｆ、比較部１５ｇまたは出力部１５ｈをネットワーク管理装置１０の外部装置としてネットワーク経由で接続するようにしてもよい。また、取得部１５ａ、選択部１５ｂ、第１の設定部１５ｃ、第２の設定部１５ｄ、学習実行部１５ｅ、推定部１５ｆ、比較部１５ｇまたは出力部１５ｈを別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のネットワーク管理装置１０の機能を実現するようにしてもよい。また、記憶部１３に記憶されるトポロジ情報１３ａ、トラフィック情報１３ｂまたはモデル情報１３ｃの全部または一部を別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のネットワーク管理装置１０の機能を実現するようにしてもかまわない。
［管理プログラム］
また、上記の実施例で説明した各種の処理は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図２２を用いて、上記の実施例と同様の機能を有する管理プログラムを実行するコンピュータの一例について説明する。
図２２は、実施例１及び実施例２に係る管理プログラムを実行するコンピュータのハードウェア構成例を示す図である。図２２に示すように、コンピュータ１００は、操作部１１０ａと、スピーカ１１０ｂと、カメラ１１０ｃと、ディスプレイ１２０と、通信部１３０とを有する。さらに、このコンピュータ１００は、ＣＰＵ１５０と、ＲＯＭ１６０と、ＨＤＤ１７０と、ＲＡＭ１８０とを有する。これら１１０〜１８０の各部はバス１４０を介して接続される。
ＨＤＤ１７０には、図２２に示すように、上記の実施例１で示した取得部１５ａ、選択部１５ｂ、第１の設定部１５ｃ、第２の設定部１５ｄ、学習実行部１５ｅ、推定部１５ｆ、比較部１５ｇ及び出力部１５ｈと同様の機能を発揮する管理プログラム１７０ａが記憶される。この管理プログラム１７０ａは、図５に示した取得部１５ａ、選択部１５ｂ、第１の設定部１５ｃ、第２の設定部１５ｄ、学習実行部１５ｅ、推定部１５ｆ、比較部１５ｇ及び出力部１５ｈの各構成要素と同様、統合又は分離してもかまわない。すなわち、ＨＤＤ１７０には、必ずしも上記の実施例１で示した全てのデータが格納されずともよく、処理に用いるデータがＨＤＤ１７０に格納されればよい。
このような環境の下、ＣＰＵ１５０は、ＨＤＤ１７０から管理プログラム１７０ａを読み出した上でＲＡＭ１８０へ展開する。この結果、管理プログラム１７０ａは、図２２に示すように、管理プロセス１８０ａとして機能する。この管理プロセス１８０ａは、ＲＡＭ１８０が有する記憶領域のうち管理プロセス１８０ａに割り当てられた領域にＨＤＤ１７０から読み出した各種データを展開し、この展開した各種データを用いて各種の処理を実行する。例えば、管理プロセス１８０ａが実行する処理の一例として、図６や図７、図１３、図２０に示す処理などが含まれる。なお、ＣＰＵ１５０では、必ずしも上記の実施例１で示した全ての処理部が動作せずともよく、実行対象とする処理に対応する処理部が仮想的に実現されればよい。
なお、上記の管理プログラム１７０ａは、必ずしも最初からＨＤＤ１７０やＲＯＭ１６０に記憶されておらずともかまわない。例えば、コンピュータ１００に挿入されるフレキシブルディスク、いわゆるＦＤ、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」に管理プログラム１７０ａを記憶させる。そして、コンピュータ１００がこれらの可搬用の物理媒体から管理プログラム１７０ａを取得して実行するようにしてもよい。また、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ１００に接続される他のコンピュータまたはサーバ装置などに管理プログラム１７０ａを記憶させておき、コンピュータ１００がこれらから管理プログラム１７０ａを取得して実行するようにしてもよい。
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
（付記１）複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルを記憶する記憶部と、
前記第１のトラフィックの実測値を取得する取得部と、
前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する比較部と、
を有することを特徴とする管理装置。
（付記２）前記取得部は、前記第２のトラフィックの実測値をさらに取得し、
前記比較部は、前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、前記取得部により取得された前記第２のトラフィックの実測値とを比較することを特徴とする付記１に記載の管理装置。
（付記３）前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上である場合、アラートを出力する出力部をさらに有することを特徴とする付記２に記載の管理装置。
（付記４）前記出力部は、前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上であり、かつ前記第２のトラフィックの実測値が前記第２のトラフィックの推定値よりも小さい場合、アラートを出力することを特徴とする付記３に記載の管理装置。
（付記５）前記モデルの学習を実行する学習実行部をさらに有することを特徴とする付記１に記載の管理装置。
（付記６）前記学習実行部は、前記第１のトラフィックと共に、前記第１のトラフィックが計測された時間が営業状態、半営業状態または休業状態のいずれに対応するかを示す状態情報にさらに基づいて前記モデルを学習し、
前記取得部は、前記第１のトラフィックと共に前記第１のトラフィックが取得される時間に対応する状態情報をさらに取得し、
前記比較部は、前記モデルへ前記第１のトラフィックの実測値と共に前記状態情報を入力することにより得られる第２のトラフィックの推定値を比較に用いることを特徴とする付記５に記載の管理装置。
（付記７）前記学習実行部は、前記第１のトラフィックおよび前記第２のトラフィックとして、前記ネットワークのトポロジ上でエッジに位置する通信装置のポートが受信または送信を行うトラフィックを前記モデルの学習に用いることを特徴とする付記５に記載の管理装置。
（付記８）前記学習実行部は、前記ネットワークに含まれる複数のレイヤの中からレイヤの指定を受け付けた場合、前記指定を受け付けたレイヤに属する通信装置のポートが受信または送信を行うトラフィックを前記モデルの学習に用いることを特徴とする付記５に記載の管理装置。
（付記９）前記学習実行部は、前記モデルの学習に用いる前記第１のトラフィックおよび前記第２のトラフィックを含む学習サンプルの数の候補ごとに前記モデルの学習を実行し、最も誤差が少ない学習サンプル数の候補で学習されたモデルを選択することを特徴とする付記５に記載の管理装置。
（付記１０）前記モデルの学習が所定の学習回数にわたって実行される度に誤差が所定の閾値以内に収束したか否かを判定し、前記誤差が前記閾値以内に収束した学習回数を前記学習実行部が用いる学習パラメータとして設定する第１の設定部をさらに有することを特徴とする付記５に記載の管理装置。
（付記１１）前記学習実行部による前記モデルの学習時に誤差が所定の閾値以内になる前に収束する場合、前記モデルに設定された隠れ層の層数または隠れ層のニューロン数を増加させる設定変更を行う第２の設定部をさらに有することを特徴とする付記５に記載の管理装置。
（付記１２）前記学習実行部は、前記モデルの学習時に誤差が所定の閾値以内になる前に収束する場合、前記第１のトラフィックおよび前記第２のトラフィックとして、前記ネットワークのトポロジ上でエッジに位置する通信装置に加えて、前記エッジに位置しない通信装置のうち転送量またはポート数が最大である通信装置のポートが受信または送信を行うトラフィックを前記モデルの学習に用いることを特徴とする付記７に記載の管理装置。
（付記１３）前記学習実行部は、前記ネットワークのトポロジ上でエッジに位置する通信装置ごとに当該通信装置が前記ネットワークの内部の通信装置と接続されるリンクの回線速度が前記ネットワークに含まれる各リンクの回線速度の統計値の所定の割合以下であるか否かを判定し、前記統計値の所定の割合以下であるリンクを持つ通信装置を介して前記ネットワークの外から前記ネットワークの中へ入力される第１のトラフィックを除外して前記モデルの学習を実行することを特徴とする付記７に記載の管理装置。
（付記１４）前記記憶部は、前記第１のトラフィックが計測されてから所定時間後の第２のトラフィックを推定するモデルを記憶し、
前記比較部は、前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された所定時間後の第２のトラフィックの推定値と、所定の値とを比較することを特徴とする付記１に記載の管理装置。
（付記１５）複数の通信装置を含むネットワークの中から前記ネットワークの外へ出力される第２のトラフィックに基づいて前記ネットワークの外から前記ネットワークの中へ入力される第１のトラフィックを推定するモデルを記憶する記憶部と、
前記第２のトラフィックの実測値を取得する取得部と、
前記記憶部に記憶されたモデルへ前記取得部により取得された前記第２のトラフィックの実測値を入力することにより推定された第１のトラフィックの推定値と、所定の値とを比較する比較部と、
を有することを特徴とする管理装置。
（付記１６）複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックの実測値を取得し、
前記第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルに対し、取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する、
処理をコンピュータが実行することを特徴とする管理方法。
（付記１７）前記取得する処理は、前記第２のトラフィックの実測値をさらに取得し、
前記比較する処理は、前記モデルへ前記取得する処理で取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、前記取得する処理で取得された前記第２のトラフィックの実測値とを比較することを特徴とする付記１６に記載の管理方法。
（付記１８）前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上である場合、アラートを出力する処理を前記コンピュータがさらに実行することを特徴とする付記１７に記載の管理方法。
（付記１９）前記出力する処理は、前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上であり、かつ前記第２のトラフィックの実測値が前記第２のトラフィックの推定値よりも小さい場合、アラートを出力することを特徴とする付記１８に記載の管理方法。
（付記２０）複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックの実測値を取得し、
前記第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルに対し、取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する、
処理をコンピュータに実行させることを特徴とする管理プログラム。
１ ネットワーク管理システム
３ 監視対象システム
１０ ネットワーク管理装置
１１ 通信Ｉ／Ｆ部
１３ 記憶部
１３ａ トポロジ情報
１３ｂ トラフィック情報
１３ｃ モデル情報
１５ 制御部
１５ａ 取得部
１５ｂ 選択部
１５ｃ 第１の設定部
１５ｄ 第２の設定部
１５ｅ 学習実行部
１５ｆ 推定部
１５ｇ 比較部
１５ｈ 出力部
３０Ａ，３０Ｂ，３０Ｃ 通信装置
５０ クライアント端末

Claims (10)

  1. 複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルを記憶する記憶部と、
    前記第１のトラフィックの実測値を取得する取得部と、
    前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する比較部と、
    を有することを特徴とする管理装置。
  2. 前記取得部は、前記第２のトラフィックの実測値をさらに取得し、
    前記比較部は、前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、前記取得部により取得された前記第２のトラフィックの実測値とを比較することを特徴とする請求項１に記載の管理装置。
  3. 前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上である場合、アラートを出力する出力部をさらに有することを特徴とする請求項２に記載の管理装置。
  4. 前記出力部は、前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上であり、かつ前記第２のトラフィックの実測値が前記第２のトラフィックの推定値よりも小さい場合、アラートを出力することを特徴とする請求項３に記載の管理装置。
  5. 前記モデルの学習を実行する学習実行部をさらに有することを特徴とする請求項１〜４のいずれか１つに記載の管理装置。
  6. 前記学習実行部は、前記第１のトラフィックと共に、前記第１のトラフィックが計測された時間が営業状態、半営業状態または休業状態のいずれに対応するかを示す状態情報にさらに基づいて前記モデルを学習し、
    前記取得部は、前記第１のトラフィックと共に前記第１のトラフィックが取得される時間に対応する状態情報をさらに取得し、
    前記比較部は、前記モデルへ前記第１のトラフィックの実測値と共に前記状態情報を入力することにより得られる第２のトラフィックの推定値を比較に用いることを特徴とする請求項５に記載の管理装置。
  7. 前記学習実行部は、前記第１のトラフィックおよび前記第２のトラフィックとして、前記ネットワークのトポロジ上でエッジに位置する通信装置のポートが受信または送信を行うトラフィックを前記モデルの学習に用いることを特徴とする請求項５に記載の管理装置。
  8. 複数の通信装置を含むネットワークの中から前記ネットワークの外へ出力される第２のトラフィックに基づいて前記ネットワークの外から前記ネットワークの中へ入力される第１のトラフィックを推定するモデルを記憶する記憶部と、
    前記第２のトラフィックの実測値を取得する取得部と、
    前記記憶部に記憶されたモデルへ前記取得部により取得された前記第２のトラフィックの実測値を入力することにより推定された第１のトラフィックの推定値と、所定の値とを比較する比較部と、
    を有することを特徴とする管理装置。
  9. 複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックの実測値を取得し、
    前記第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルに対し、取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する、
    処理をコンピュータが実行することを特徴とする管理方法。
  10. 複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックの実測値を取得し、
    前記第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルに対し、取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する、
    処理をコンピュータに実行させることを特徴とする管理プログラム。
JP2017108724A 2017-05-31 2017-05-31 管理装置、管理方法及び管理プログラム Active JP6863091B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2017108724A JP6863091B2 (ja) 2017-05-31 2017-05-31 管理装置、管理方法及び管理プログラム
US15/991,278 US10965542B2 (en) 2017-05-31 2018-05-29 Management apparatus, management method and non-transitory computer-readable storage medium for storing management program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2017108724A JP6863091B2 (ja) 2017-05-31 2017-05-31 管理装置、管理方法及び管理プログラム

Publications (2)

Publication Number Publication Date
JP2018207241A true JP2018207241A (ja) 2018-12-27
JP6863091B2 JP6863091B2 (ja) 2021-04-21

Family

ID=64460133

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017108724A Active JP6863091B2 (ja) 2017-05-31 2017-05-31 管理装置、管理方法及び管理プログラム

Country Status (2)

Country Link
US (1) US10965542B2 (ja)
JP (1) JP6863091B2 (ja)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021103838A (ja) * 2019-12-25 2021-07-15 株式会社日立製作所 通信監視装置及び通信監視方法
WO2022259475A1 (ja) * 2021-06-10 2022-12-15 日本電信電話株式会社 パス制御装置、パス制御方法、及び、パス制御プログラム
WO2023026417A1 (ja) * 2021-08-25 2023-03-02 日本電信電話株式会社 経路制御方法および経路制御装置
US11616704B2 (en) 2021-03-08 2023-03-28 Fujitsu Limited Information processing method, storage medium, and information processing device
CN116319378A (zh) * 2023-05-16 2023-06-23 合肥工业大学 基于深度学习的网络流量矩阵估计、模型训练方法和系统
JP7382468B1 (ja) 2022-09-06 2023-11-16 ソフトバンク株式会社 通信監視装置、通信監視装置の制御方法、及び通信監視装置の制御プログラム

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7298343B2 (ja) * 2019-07-01 2023-06-27 日本電信電話株式会社 故障影響推定装置、故障影響推定方法、及びプログラム
CN110782550B (zh) * 2019-09-20 2021-08-31 腾讯科技（深圳）有限公司 一种数据采集方法、装置及设备
CN111064721A (zh) * 2019-12-11 2020-04-24 中国科学院深圳先进技术研究院 网络流量异常检测模型的训练方法及检测方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007221699A (ja) * 2006-02-20 2007-08-30 Kddi Corp トラヒック量変動の上限値を予測するトラヒック量予測装置、プログラム及び方法
JP2010511359A (ja) * 2006-11-29 2010-04-08 ウイスコンシン アラムナイ リサーチ フオンデーシヨン ネットワーク異常検出のための方法と装置
WO2015057119A1 (en) * 2013-10-18 2015-04-23 Telefonaktiebolaget L M Ericsson (Publ) Alarm prediction in a telecommunication network

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0764944A (ja) 1993-08-30 1995-03-10 Fuji Xerox Co Ltd ニューラルネットワークの学習方法
AU692369B2 (en) * 1995-02-02 1998-06-04 Aprisma Management Technologies, Inc. Method and apparatus for learning network behavior trends and predicting future behavior of communications networks
JP3430930B2 (ja) 1998-07-31 2003-07-28 日本電気株式会社 パケット交換ネットワーク網におけるトラフィック推定方法および装置
EP1250022A1 (en) * 2001-04-09 2002-10-16 Lucent Technologies Inc. Providing quality of service in a telecommunications system such as a UMTS or other third generation system
JP2004023114A (ja) 2002-06-12 2004-01-22 Nippon Telegr & Teleph Corp <Ntt> 通信トラヒック予測方法およびその装置
US7583587B2 (en) * 2004-01-30 2009-09-01 Microsoft Corporation Fault detection and diagnosis
US8676964B2 (en) * 2008-07-31 2014-03-18 Riverbed Technology, Inc. Detecting outliers in network traffic time series
EP2887590B1 (en) * 2012-09-25 2017-09-20 Huawei Technologies Co., Ltd. Flow control method, device and network
US8995249B1 (en) * 2013-02-13 2015-03-31 Amazon Technologies, Inc. Predicting route utilization and non-redundant failures in network environments
US9813321B2 (en) * 2014-10-01 2017-11-07 Viblast Ood Hybrid content delivery system
US9780909B2 (en) * 2014-12-29 2017-10-03 Juniper Networks, Inc. Network topology optimization with feasible optical paths
EP3041283B1 (en) * 2014-12-30 2019-05-29 Comptel Corporation Prediction of failures in cellular radio access networks and scheduling of preemptive maintenance
US10320825B2 (en) * 2015-05-27 2019-06-11 Cisco Technology, Inc. Fingerprint merging and risk level evaluation for network anomaly detection
US10070328B2 (en) * 2015-08-20 2018-09-04 International Business Mahcines Corporation Predictive network traffic management
CN106411934B (zh) * 2016-11-15 2017-11-21 平安科技（深圳）有限公司 DoS/DDoS攻击检测方法和装置
US11151471B2 (en) * 2016-11-30 2021-10-19 Here Global B.V. Method and apparatus for predictive classification of actionable network alerts
US10601768B2 (en) * 2017-04-10 2020-03-24 Verizon Digital Media Services Inc. Automated steady state traffic management

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007221699A (ja) * 2006-02-20 2007-08-30 Kddi Corp トラヒック量変動の上限値を予測するトラヒック量予測装置、プログラム及び方法
JP2010511359A (ja) * 2006-11-29 2010-04-08 ウイスコンシン アラムナイ リサーチ フオンデーシヨン ネットワーク異常検出のための方法と装置
WO2015057119A1 (en) * 2013-10-18 2015-04-23 Telefonaktiebolaget L M Ericsson (Publ) Alarm prediction in a telecommunication network

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021103838A (ja) * 2019-12-25 2021-07-15 株式会社日立製作所 通信監視装置及び通信監視方法
JP7409866B2 (ja) 2019-12-25 2024-01-09 株式会社日立製作所 通信監視装置及び通信監視方法
US11616704B2 (en) 2021-03-08 2023-03-28 Fujitsu Limited Information processing method, storage medium, and information processing device
WO2022259475A1 (ja) * 2021-06-10 2022-12-15 日本電信電話株式会社 パス制御装置、パス制御方法、及び、パス制御プログラム
WO2023026417A1 (ja) * 2021-08-25 2023-03-02 日本電信電話株式会社 経路制御方法および経路制御装置
JP7382468B1 (ja) 2022-09-06 2023-11-16 ソフトバンク株式会社 通信監視装置、通信監視装置の制御方法、及び通信監視装置の制御プログラム
CN116319378A (zh) * 2023-05-16 2023-06-23 合肥工业大学 基于深度学习的网络流量矩阵估计、模型训练方法和系统
CN116319378B (zh) * 2023-05-16 2023-07-21 合肥工业大学 基于深度学习的网络流量矩阵估计、模型训练方法和系统

Also Published As

Publication number Publication date
US20180351823A1 (en) 2018-12-06
US10965542B2 (en) 2021-03-30
JP6863091B2 (ja) 2021-04-21

Similar Documents

Publication Publication Date Title
JP6863091B2 (ja) 管理装置、管理方法及び管理プログラム
Rahman et al. Auto-scaling VNFs using machine learning to improve QoS and reduce cost
US20200236038A1 (en) Dynamic Deployment of Network Applications Having Performance and Reliability Guarantees in Large Computing Networks
US20210012239A1 (en) Automated generation of machine learning models for network evaluation
US10608901B2 (en) System and method for applying machine learning algorithms to compute health scores for workload scheduling
Verba et al. Modeling industry 4.0 based fog computing environments for application analysis and deployment
Singh et al. Machine-learning-based prediction for resource (re) allocation in optical data center networks
US11032150B2 (en) Automatic prediction of behavior and topology of a network using limited information
WO2018076791A1 (zh) 一种资源负载均衡控制方法及集群调度器
JP2021530067A (ja) データセンターハードウェアインスタンスネットワークのトレーニング
US10841173B2 (en) System and method for determining resources utilization in a virtual network
da Silva et al. Horizontal auto-scaling in edge computing environment using online machine learning
WO2020119627A1 (zh) 应用于分布式容器云平台的异常检测与定位方法及装置
Tuli et al. Carol: Confidence-aware resilience model for edge federations
KR20200126766A (ko) Ict 인프라의 운용 관리 장치 및 방법
JP6068296B2 (ja) 制御装置、計算資源管理方法及び計算資源管理プログラム
Hosamani et al. Elastic provisioning of Hadoop clusters on OpenStack private cloud
CN106406082B (zh) 一种系统控制方法、装置，控制器及控制系统
Xia et al. Learn to optimize: Adaptive VNF provisioning in mobile edge clouds
JP2016010124A (ja) 管理装置、管理プログラム及び情報処理システム
KR20210058468A (ko) 지능형 에지 네트워킹의 인공지능 운용자 지원 시스템 장치 및 방법
Nikbazm et al. KSN: Modeling and simulation of knowledge using machine learning in NFV/SDN-based networks
Miyazawa et al. Supervised learning based automatic adaptation of virtualized resource selection policy
Martinez-Julia et al. Explained intelligent management decisions in virtual networks and network slices
CN111327494B (zh) 一种多域sdn网络流量态势评估方法及系统

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20200310

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210128

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20210302

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20210315

R150 Certificate of patent or registration of utility model

Ref document number: 6863091

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150