JP2950642B2 - ネットワーク監視装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明は、ブロードキャストパ
ケットを利用するプロトコルを適用したＬＡＮシステム
におけるネットワーク障害監視に好適なネットワーク監
視装置に関する。

【０００２】

【従来の技術】一般に、ＣＳＭＡ／ＣＤ型のＬＡＮシス
テムにおいては、ブロードキャストパケットと呼ばれる
パケットを送信することが可能である。このブロードキ
ャストパケットは、ＬＡＮに接続される全ての機器（計
算機）を宛先としたパケットである。

【０００３】このような機能は、ＬＡＮにおける代表的
な上位プロトコルである例えばＴＣＰ／ＩＰ（Transmis
sion Control Protocol ／Internet Protocol ）では、
ＡＲＰ（Address Resolution Protocol ）、ＲＯＵＴＥ
Ｄ、ＲＷＨＯなどで必須の機能である。

【０００４】ＡＲＰは、ＴＣＰ／ＩＰにおけるネットワ
ークアドレス（ＴＣＰ／ＩＰ上で機器を識別するための
アドレス）であるインタネットアドレス（ＩＰアドレ
ス）からＬＡＮ上のアドレスであるＭＡＣ（メディアア
クセス制御）アドレスを求めるためのプロトコルであ
る。ＲＯＵＴＥＤは複数のＬＡＮの間でルーティングを
行うルータ間で経路制御情報を交換するプログラム（タ
スク）、ＲＷＨＯは計算機システムを利用しているユー
ザに関する情報を交換するプログラムである。

【０００５】このように便利なブロードキャストパケッ
トであるが、従来のＬＡＮシステムでは、ネットワーク
内での設定情報の不整合やプログラムの不具合によっ
て、ブロードキャストパケットが異常発生し、重大なネ
ットワーク障害が発生することが判明している。

【０００６】上記の障害には２種類あることが知られて
いる。１つはブロードキャストストームと呼ばれるもの
で、もう１つはメルトダウンと呼ばれるものである。ブ
ロードキャストストームは、ブロードキャストパケット
が一時的に異常発生することが要因となって、ＬＡＮ上
の転送性能が劣化したり、端末やＬＡＮに対する計算機
システムの応答が遅くなるなどの現象となって現れるも
のである。

【０００７】またメルトダウンは、ブロードキャストス
トームの更に進んだ状態、即ちパケットの送信が発振状
態になったものである。これがひとたび発生すると、計
算機システムからの応答がなくなり、ＬＡＮに接続され
る全ての計算機システムを再立上げしなければならな
い。現在、このような障害が発生するメカニズムは解明
されているものの、これを回避する有効な手段は見つか
っていない。

【０００８】

【発明が解決しようとする課題】上記したように、ブロ
ードキャストパケットを適用する従来のＣＳＭＡ／ＣＤ
型のＬＡＮシステムでは、ブロードキャストパケットが
異常発生し、ブロードキャストストームやメルトダウン
といったネットワーク障害を招くという問題があった。

【０００９】従来、このような障害発生のメカニズムは
解明されているものの、これを回避する有効な手段が見
つかっていないため、ひとたびネットワーク障害が発生
すると、ネットワークに接続された全計算機が大量の且
つ無意味なブロードキャストパケットを受信し廃棄する
処理を行わなければならず、その処理に計算能力を費や
し、本来の処理の性能劣化を余儀なくされるという問題
があった。

【００１０】また、ブロードキャストストームが発生し
てもしばらく経つと元の状態に戻るため、ブロードキャ
ストストームが発生している事実さえ把握できず、大規
模な障害が発生して初めてネットワーク障害が発生して
いることに気付くことが多かった。

【００１１】この発明は上記事情に鑑みてなされたもの
でその目的は、ブロードキャストパケットが異常発生す
るネットワーク障害が発生したとき、或いはその兆候が
あるときに、それを自動的に検出してネットワーク管理
者に通知すると共に、障害原因究明に必要な情報を与え
ることができるネットワーク監視装置を提供することに
ある。

【００１２】

【課題を解決するための手段】この発明は、ブロードキ
ャストパケットを利用するプロトコルを適用したＬＡＮ
システムにおいて、ネットワーク障害を発生させるパケ
ット（不正パケット）は限られており、そのようなパケ
ットに含まれるアドレスも限られていることに着目し、
ネットワーク上のパケットを監視して、予め定められた
アドレスを含んでおりネットワーク障害を発生させる特
定のパケット（不正パケット）を検出することにより、
ネットワーク障害を検出する障害検出手段と、この障害
検出手段によって監視された不正パケットを含むパケッ
ト群を障害解析情報として収集する情報収集手段と、障
害検出手段によって検出されたネットワーク障害を外部
に通知するための通知手段と、障害解析情報の提供を要
求するための要求入力手段と、障害解析情報の提供が要
求入力された場合に、要求された障害解析情報を提供す
る情報提供手段とを備えたことを特徴とするものであ
る。

【００１３】

【作用】上記の構成によれば、ネットワーク障害の発生
を招く虞のある、或いは招いているパケットは限られて
おり、そのようなパケットに含まれるアドレスも限られ
ているため、障害検出手段がネットワークを流れるパケ
ットを監視して、予め定められたアドレスを含むパケッ
トであるか否かに応じて、この種の特定パケット（不正
パケット）を検出することにより、ネットワーク障害の
発生、或いはその兆候を確実に検出することができる。

【００１４】また、ネットワーク障害の検出時にはその
旨が外部通知されるため、ネットワーク管理者は直ちに
ネットワーク障害を知ることができ、しかも、監視され
たパケット（不正パケットを含む）の記録が障害解析情
報として採られ、要求入力手段を操作してその情報の提
供が要求されると、その情報が情報提供手段によってネ
ットワーク管理者に提供されるので、ネットワーク障害
の原因を究明することや、ネットワーク障害を未然に防
ぐことが可能となる。

【００１５】

【実施例】図１はこの発明の一実施例に係るネットワー
ク監視装置の構成を示すブロック図である。同図におい
て、１は例えばＴＣＰ／ＩＰを適用するＣＳＭＡ／ＣＤ
型ＬＡＮ２の上を流れるパケットを監視し、特にブロー
ドキャストパケットによるネットワーク障害発生を検出
するためのネットワーク監視装置である。

【００１６】ネットワーク監視装置１は、ネットワーク
監視を司る監視装置本体１１と、同監視装置本体１１に
接続される表示入力装置１２および外部記憶装置１３と
を持つ。表示入力装置１２は、監視装置本体１１によっ
て検出されたネットワーク障害のネットワーク管理者へ
の通知、ネットワーク管理者による障害解析に必要な情
報の表示、更にはネットワーク管理者の操作による障害
解析情報提供要求等の監視装置本体１１への入力を行う
ためのものである。また外部記憶装置１３は、障害解析
に必要な情報を格納するためのものである。

【００１７】監視装置本体１１には、ＬＡＮ２を流れる
パケットをチェックし、ネットワーク障害が発生してい
ないか、不正パケットはないかを監視するための障害検
出部１４と、障害検出部１４の障害検出に応じて表示入
力装置１２にその旨のメッセージを表示し、ネットワー
ク管理者に障害を通知する管理者通知部１５とが設けら
れている。

【００１８】監視装置本体１１にはまた、メモリ１６
と、障害検出部１４によって監視されたパケットを障害
検出時の原因解析のためにメモリ１６に収集し、障害検
出部１４の障害検出時には、メモリ１６に収集しておい
たパケット群を含む障害解析情報を外部記憶装置１３に
格納する情報収集部１７とが設けられる。

【００１９】監視装置本体１１には更に、表示入力装置
１２から入力された障害解析情報提供要求に応じて、対
応する情報を外部記憶装置１３から取出して表示入力装
置１２に転送して表示する情報提供部１８と、ネットワ
ーク管理部１９とが設けられる。このネットワーク管理
部１９は、ネットワーク統計情報の収集機能など、従来
のネットワーク監視装置が一般に有する監視機能を実現
するためのネットワーク管理アプリケーションを実行す
るものである。

【００２０】図２は図１のＬＡＮ２上のＴＣＰ／ＩＰネ
ットワークにおけるブロードキャストストームを説明す
るための図である。同図において、２１〜２３はＬＡＮ
２に接続された計算機、例えばワークステーション（以
下、ＷＳと称する）である。なお、ＷＳ２１〜２３以外
の計算機（ＷＳ）については省略されている。

【００２１】さて、ＴＣＰ／ＩＰネットワークにおい
て、ブロードキャストパケットの宛先を示すアドレスは
ＩＰブロードキャストアドレスと呼ばれる。このＩＰブ
ロードキャストアドレスは２種に大別される。ＷＳ２１
〜２３は、使用するＩＰブロードキャストアドレスの違
いにより、タイプ１とタイプ２に分類される。このよう
なＩＰブロードキャストアドレスの違いは、ＷＳに搭載
されているプログラムの違い（不具合）に起因して生じ
るものである。なお、本実施例においては、ＷＳ２２，
２３はタイプ１、ＷＳ２１はタイプ２であるものとす
る。

【００２２】ここで、ＩＰブロードキャストアドレスに
ついて、図３のＩＰアドレスフォーマットを参照して説
明する。まず、ＴＣＰ／ＩＰにおけるネットワークアド
レスであるＩＰアドレス（インタネットアドレス）は、
図３（ａ）に示すように、ネットワークアドレスと、同
ネットワークアドレスで示されるネットワークに接続さ
れている機器（計算機）のアドレス（ホストアドレス）
とで構成されるのを基本とする。

【００２３】ＴＣＰ／ＩＰにおけるＩＰブロードキャス
トアドレスは、ホストアドレスが、図３（ｂ）に示すよ
うにオール“１”のＩＰアドレスと、図３（ｃ）に示す
ようにオール“０”のＩＰアドレスとに大別される。タ
イプ１のＷＳ２２，２３は図３（ｂ）に示すＩＰブロー
ドキャストアドレスを使用し、タイプ２のＷＳ２１は図
３（ｃ）に示すＩＰブロードキャストアドレスを使用す
る。

【００２４】なお、１つのネットワークが複数のサブネ
ットワークによって構成されるＬＡＮで適用され、ネッ
トワークアドレス、サブネットワークアドレス、および
ホストアドレスから構成されるＩＰアドレスも知られて
おり、このＩＰアドレスにおけるＩＰブロードキャスト
アドレスについても、上記と同様に、ホストアドレスが
オール“１”のものとオール“０”のものとの２種類が
ある。したがって、ＴＣＰ／ＩＰにおけるＩＰブロード
キャストアドレスは４種類ある。

【００２５】ここで、図２のＬＡＮシステムにおけるネ
ットワーク障害の発生メカニズムについて、説明する。 （１）まずタイプ１のＷＳ２３が、図３（ｂ）に示すＩ
Ｐブロードキャストアドレスを用いて、図２において符
号Ｓ１で示すようにＩＰブロードキャストパケットを発
信したものとする。

【００２６】（２）タイプ１のＷＳ２２は、ＷＳ２３と
同一のＩＰブロードキャストアドレスを使用しているの
で、ＷＳ２３からのパケットを受信すると、図２におい
て符号Ｓ２で示すようにＩＰブロードキャストパケット
として正しく認識し、正常に処理する。

【００２７】（３）これに対して、タイプ２のＷＳ２１
は、ＷＳ２３と異なるＩＰブロードキャストアドレスを
使用しているため、ＷＳ２３からのパケットをＩＰブロ
ードキャストパケットとして認識できず、図２において
符号Ｓ３で示すように、誤って他の計算機宛てのパケッ
トであると認識してしまう。このときＷＳ２３は、その
パケットをルーティングしようとする。

【００２８】（４）まずＷＳ２１は、相手宛先のＭＡＣ
アドレス（ＬＡＮアドレス）を求めるために、図２にお
いて符号Ｓ４で示すように、（誤って）他の計算機宛て
のパケットであると認識したパケットのＩＰアドレス
（実際には、ＩＰブロードキャストアドレス）を持つＡ
ＲＰ要求を、ＬＡＮ２上にＩＰブロードキャストパケッ
トを使用して送出する。このＡＲＰ要求（を示すＩＰブ
ロードキャストパケット）は、ＷＳ２１，２２など、Ｌ
ＡＮ２上の全ての計算機で受信される。

【００２９】しかし、ＩＰブロードキャストアドレスと
一致するアドレスを持っている計算機は存在しないた
め、どの計算機もＡＲＰ応答を返さない。このため、Ｗ
Ｓ２１はＡＲＰ要求を数回から数十回繰返し、エラーを
検出する。

【００３０】この無駄なＡＲＰ要求を、ＷＳ２１を初め
とするＬＡＮ２上の全てのタイプ２のＷＳ（即ち、ＷＳ
２３と異なるＩＰブロードキャストアドレスを使用する
全計算機）が繰返す。このため、ＬＡＮ２上には、意味
のないブロードキャストアドレスが吹き荒れることにな
る。これが、ブロードキャストストームである。

【００３１】（５）ＷＳ２１はＡＲＰ要求がエラーで終
了すると、エラーを、図２において符号Ｓ５で示すよう
にＩＣＭＰメッセージと呼ぶ特定のパケットに乗せて送
信元に返す。ところが、ＷＳ２１に搭載されているプロ
グラムに特定の不具合がある場合、ＷＳ２１は送信元で
はなく、誤って送信できなかったパケットの宛先にＩＣ
ＭＰパケットを乗せて送信してしまうことが知られてい
る。

【００３２】このようなＩＣＭＰパケット送信が行われ
た場合、宛先はＩＰブロードキャストアドレスであるか
ら、ＷＳ２１，２２など、ＬＡＮ２上の全ての計算機が
ＩＣＭＰパケットを受信してしまう。このパケットに対
して、またＷＳ２１のような（タイプ２の）ＷＳが存在
することにより、上記（３）以降が繰返される。つま
り、ブロードキャストストームが永久に続く状態にな
る。これがメルトダウンである。

【００３３】なお、メルトダウンに至る他のケースとし
ては、計算機のＭＡＣアドレス（個別アドレス）が誤っ
てブロードキャストアドレス（同報アドレス）になって
しまった場合がある。具体的には、図４に示すようにＭ
ＡＣアドレス中の個別アドレスと同報アドレスとを識別
するための個別／同報識別ビット（“０”で個別アドレ
ス、“１”で同報アドレス）が、誤って“０”から
“１”に変わってしまった場合である。

【００３４】このときには、当該計算機に対するパケッ
トの送信が全てＬＡＮ上のＩＰブロードキャストアドレ
スになってしまうため、上記（３）のルーティングを他
の全てのＷＳが始めてしまう。このルーティングはねず
み算的に増えていき、直ちに飽和状態に達し、永久に続
く状態となる。

【００３５】図１のネットワーク監視装置１は、上記し
たようなネットワーク障害を、その障害発生時、或いは
その兆候があるときに、それを自動的に検出するための
もので、その動作を図５のフローチャートを適宜参照し
て説明する。

【００３６】まずネットワーク監視装置１内の障害検出
部１４は、ＬＡＮ２上を流れるブロードキャストパケッ
トを監視し、図２を参照して説明したような、ＴＣＰ／
ＩＰネットワークにおいてブロードキャストストームや
メルトダウンなどのネットワーク障害の原因となるパケ
ット、或いはネットワーク障害が発生していることを示
すパケットの検出を次のように行う。

【００３７】まず障害検出部１４は、ＬＡＮ２上を流れ
るパケットを入力すると（ステップＡ）、その受信パケ
ットの発信元を示す図４に示すフォーマットのＭＡＣア
ドレスの先頭ビット（個別／同報識別ビット）をチェッ
クし（ステップＢ）、“０”（個別アドレス）であるこ
とを確認する。もし“１”なら、即ち発信元を示すＭＡ
Ｃアドレスが同報アドレスであるならば、障害検出部１
４は管理者通知部１５および情報収集部１７にメルトダ
ウンを通知し、情報収集部１７には更にその受信パケッ
トを渡す（ステップＧ）。

【００３８】障害検出部１４は、ステップＢにおいて発
信元を示すＭＡＣアドレスが個別アドレスであることを
確認すると、受信パケットがＡＲＰ要求パケットで、且
つパケット内のＩＰアドレス（インタネットアドレス）
がＩＰブロードキャストアドレスの１つであるかを調べ
（ステップＣ）、そうであるならば、管理者通知部１５
および情報収集部１７にネットワーク障害（ブロードキ
ャストストーム）を通知し、情報収集部１７には更にそ
の受信パケットを渡す（ステップＦ）。

【００３９】一方、ステップＣにおいて、受信パケット
がＡＲＰ要求パケットでないことを確認した場合には、
障害検出部１４は受信パケットがＩＣＭＰパケットで、
且つ宛先のＩＰアドレスがＩＰブロードキャストアドレ
スであるかを調べ（ステップＤ）、そうであるならば、
管理者通知部１５および情報収集部１７にネットワーク
障害（メルトダウン）を通知し、情報収集部１７には更
にその受信パケットを渡す（ステップＧ）。

【００４０】もし、ステップＤにおいて、受信パケット
がＩＣＭＰパケットでないか、或いはＩＣＭＰパケット
であっても宛先のＩＰアドレスがＩＰブロードキャスト
アドレスでないことを確認した場合には、即ちステップ
Ｂ〜Ｄのいずれにおいてもネットワーク障害が検出され
なかった場合には、障害検出部１４はネットワーク障害
の兆候もないものとして、その受信パケットをそのまま
情報収集部１７に渡し、更に上位のネットワーク管理部
１９にもその受信パケットを渡す（ステップＥ）。これ
によりネットワーク管理部１９は、従来と同様のネット
ワーク監視を行うことができ、したがってネットワーク
監視装置の既存機能モジュールの変更は不要である。

【００４１】さて情報収集部１７は、障害検出部１４か
らネットワーク障害が通知されない状態では、同障害検
出部１４から渡される受信パケットを、そのままメモリ
１６に順に書込む。このメモリ１６は循環バッファ（リ
ングバッファ）として用いられており、したがってメモ
リ１６が満杯になると、古い受信パケットから順に新た
な受信パケットに書換えられる。

【００４２】これに対し、障害検出部１４からメルトダ
ウンまたはブロードキャストストームが通知された場合
には、情報収集部１７はその際に障害検出部１４から渡
された受信パケットにその旨を付してメモリ１６に書込
む。そして情報収集部１７は、その時点までにメモリ１
６に書込まれていたパケット群（その時点においてメモ
リ１６上で最も古い受信パケットからネットワーク障害
検出内容が付された最新の受信パケットまでのパケット
群）を、障害解析情報としてハードディスク装置などの
外部記憶装置１３に保存する。

【００４３】一方、管理者通知部１５は、障害検出部１
４からメルトダウンまたはブロードキャストストームの
ネットワーク障害検出が通知されると、ネットワーク障
害発生を表示入力装置１２に表示し、ネットワーク管理
者に対し、ネットワークに障害が発生している（或い
は、その兆候がある）ため早急に対策を打つ必要がある
ことを通知する。

【００４４】ネットワーク管理者は、表示入力装置１２
の表示画面上でネットワーク障害発生を視認すると、表
示入力装置１２を操作し、ネットワーク障害の原因解析
のための情報（障害解析情報）の提供を要求するコマン
ド（障害解析情報提供要求）を入力する。

【００４５】この要求（要求コマンド）は表示入力装置
１２から情報提供部１８に渡される。これにより情報提
供部１８は、情報収集部１７によって外部記憶装置１３
に保存された受信パケット群を含む障害解析情報を取出
して表示入力装置１２に表示し、ＬＡＮ２上のパケット
を再現させる。これによりネットワーク管理者は、ネッ
トワーク障害が検出されるまでに、実際にどのようなパ
ケットがネットワークを流れていたかを知ることがで
き、障害の原因を究明し、対策を打つことができる。

【００４６】なお、前記実施例では、ＴＣＰ／ＩＰを上
位プロトコルとするネットワークに適用した場合につい
て説明したが、それ以外のプロトコルでも、ＬＡＮの提
供するブロードキャストパケットを利用するプロトコル
におけるネットワーク障害監視ならば、同様に適用する
ことができる。

【００４７】

【発明の効果】以上詳述したようにこの発明によれば、
ネットワーク障害の発生を招く虞のある、或いは招いて
いるパケットは限られており、そのようなパケットは、
アドレスも限られていることに着目し、ネットワークを
流れるパケットを監視して、予め定められたアドレスを
含むパケットであるか否かに応じて、この種の不正パケ
ットを検出することにより、ネットワーク障害の発生、
或いはその兆候を確実に検出することができる。

【００４８】また、この発明によれば、ネットワーク障
害を直ちにネットワーク管理者に通知することができ、
しかもネットワークを流れた不正パケットを含むパケッ
ト群を収集して、ネットワーク管理者に提供することが
できるため、障害原因究明作業が容易になる。

【図面の簡単な説明】

【図１】この発明の一実施例に係るネットワーク監視装
置の構成を示すブロック図。

【図２】図１のＬＡＮ２上のＴＣＰ／ＩＰネットワーク
におけるブロードキャストストームを説明するための
図。

【図３】ＩＰブロードキャストアドレスの種類を説明す
るための図。

【図４】ＭＡＣアドレスのフォーマットを説明するため
の図。

【図５】図１のネットワーク監視装置１内の障害検出部
１４の動作を説明するためのフローチャート。

【符号の説明】

１…ネットワーク監視装置、２…ＬＡＮ（ＣＳＭＡ／Ｃ
Ｄ型ＬＡＮ）、１１…監視装置本体、１２…表示入力装
置、１３…外部記憶装置、１４…障害検出部、１５…管
理者通知部、１６…メモリ、１７…情報収集部、１８…
情報提供部、１９…ネットワーク管理部、２１〜２３…
ＷＳ（計算機）。

Claims (1)

(57)【特許請求の範囲】
1. 【請求項１】 ブロードキャストパケットを利用するプ
   ロトコルを適用したＬＡＮシステムのネットワーク監視
   装置において、 ネットワーク上のパケットを監視し、予め定められたア
   ドレスを含んでおりネットワーク障害を発生させる不正
   パケットを検出することにより、ネットワーク障害を検
   出する障害検出手段と、 この障害検出手段によって監視された不正パケットを含
   むパケット群を、障害解析情報として収集する情報収集
   手段と、 上記障害検出手段によるネットワーク障害検出に応じ、
   ネットワーク障害を外部に通知するための通知手段と、 上記情報収集手段によって収集された障害解析情報の提
   供を要求するための要求入力手段と、 この要求入力手段からの要求入力に応じ、上記情報収集
   手段によって収集された障害解析情報を外部に提供する
   情報提供手段と、 を具備することを特徴とするネットワーク監視装置。