JP4922992B2

JP4922992B2 - ネットワークログ取得解析システム

Info

Publication number: JP4922992B2
Application number: JP2008133511A
Authority: JP
Inventors: 健一郎丸田; 良幸佐藤; 久幸丸山
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2008-05-21
Filing date: 2008-05-21
Publication date: 2012-04-25
Anticipated expiration: 2028-05-21
Also published as: JP2009282707A

Description

本発明は、ネットワークログ取得解析システムにかかり、特に、ネットワークの障害発生時にネットワークログを取得して障害原因を解析するネットワークログ取得解析システムに関する。

ネットワークに障害が発生した場合、その原因究明等のためネットワークログが取得される。ネットワークログを取得する代表的な手法としては、ホストに入ってくるＩＰパケットなどを表示するLinux（登録商標）のtcpdumpコマンドがある。このコマンドはネットワーク障害発生時における対応に際して、保守員がしばしば利用する。しかし、このコマンドで取得したネットワークログを別地点のコンピュータに送信するためには、ｆｔｐコマンドを利用して送信する等の手動操作が必要となる。このため、若干の手間がかかる。

図２は、中継装置２０を用いてネットワークログを取得する方式を説明する図である。この例では、中継装置２０はホストおよび端末が接続される７つのポート５０（ｅｔｈ１〜ｅｔｈ７）を備える。保守員は、解析用ノートＰＣ４０を中継装置２０の各々のポート５０にハブ６０を介して接続し、例えば、一般のネットワークログ取得ソフトを用いてネットワークログを取得する。

この方式は解析対象の中継装置２０が少数であれば、負担は軽い。しかしながら、前記中継装置が広範囲に分散配置されている場合は、作業負担が増大し、また分散配置された中継装置までの交通費等が必要となりコストが増大する
一方、別地点からリモート操作で取得希望のログ情報が格納されたログファイルを指定し、該ファイルを受信する方式が知られている。この方法では、保守員は、ホスト計算機を操作してログ情報採取コマンドを入力し、指定された中継装置の記憶装置に記憶されているログ情報を採取し、採取した情報をホスト計算機に転送する。これによりホスト計算機は転送されたログ情報を解析することができる（特許文献１参照）。
特開平１１−８５５７２号公報

ところで、前記ログ情報等の保守情報を遠隔操作で採取する従来方式の場合、ログ情報などを格納したファイルが中継装置に存在していたとしても、前記ファイルはネットワーク障害が原因で解析する側のホストまで転送されないことがある。このような場合には、必要な情報が取得ができず、深刻な事態に陥いることになる。

本発明は、これらの問題点に鑑みてなされたもので、ネットワークログファイルに含まれるメッセージを利用し全体の障害内容を速やかに表示することのできるネットワークログ解析システムを提供するものである。

本発明は上記課題を解決するため、次のような手段を採用した。

ホスト計算機に複数の端末を中継装置を介して接続し、前記端末のログ情報をホスト計算機で取得して解析し、解析結果を前記ホスト計算機あるいは前記中継装置の表示装置に表示するネットワークログ取得解析システムにおいて、前記中継装置は、コマンド入力を受け付けるコマンド入力手段、コマンド入力手段で受け付けたコマンドで指定された端末のログ情報を取得し、取得したログ情報をホスト計算機に送信する送信手段を備え、さらに前記取得したログ情報にＩＣＭＰメッセージが含まれている場合、ＩＣＭＰメッセージのＩＣＭＰタイプ値あるいはメッセージコードをもとに対応する障害情報を表示装置に表示する。

本発明は、以上の構成を備えるため、ネットワークログファイルに含まれるメッセージを利用し全体の障害内容を速やかに表示することのできるネットワークログ解析システムを提供することができる。

以下、最良の実施形態を添付図面を参照しながら説明する。図１は、本実施形態にかかるネットワークログ解析システムが適用されるネットワークの概要を説明する図である。このシステムは、ホスト１００、ホスト１００に接続された複数の中継装置２００，及び前記中継装置２００に接続される複数の端末装置３００を備える。中継装置２００は、後述するように、コマンド入力を受け付けるコマンド入力手段、コマンド入力手段で受け付けたコマンドで指定された端末のログ情報を取得し、取得したログ情報をホスト計算機に送信する送信手段、前記取得したログ情報にＩＣＭＰ（Internet Control Message Protocol）メッセージが含まれている場合、ＩＣＭＰメッセージのＩＣＭＰタイプ値あるいはメッセージコードをもとに対応する障害情報を表示画面に表示する表示装置９００を備える。

このようにログ情報に含まれるＩＣＭＰメッセージを表示画面に表示するので、保守員は前記メッセージを参照するのみで、すなわちログ情報のホストによる解析を待つことなく障害内容を把握することができる。

図３は、中継装置２００を用いてネットワークログを取得する方式を説明する図である。この図の例では、中継装置２００はホスト１００および複数の端末３００が接続される７つのポート５００（ｅｔｈ１〜ｅｔｈ７）を備える。
中継装置２００は、コマンド入力を受け付けるコマンド入力手段、コマンド入力手段で受け付けたコマンドで指定された端末３００のログ情報を取得し、取得したログ情報をホスト計算機１００に送信する送信手段を備える。また、前記取得したログ情報にＩＣＭＰメッセージが含まれている場合、ＩＣＭＰメッセージのＩＣＭＰタイプ値あるいはメッセージコードををもとに対応する障害情報を表示画面に表示する表示装置９００を備える。

なお、上記手段は中継装置の磁気ディスクＨＤＤに格納されたプログラムにより実現することができる。

これにより、保守員は、例えばホスト計算機１００を操作して、中継装置２００にリモート操作でログインし、メニュー画面に表示される機能を利用することで、ネットワークログファイル７００をホスト１００に自動送信し、ホスト１００は送信されたネットワークログファイルをもとに障害解析することが可能になる。

また、保守員は、中継装置２００まで出向き、前記と同様に中継装置２００にログインし、メニュー画面に表示される機能を利用することで、ネットワークログファイル７００をホスト１００に自動送信し、ホスト１００は送信されたネットワークログファイルをもとに障害解析することが可能になる。

なお、ファイルの自動送信に際しては、中継装置２００により特定フォルダに取得したネットワークログファイル７００を中継装置に格納された汎用ミドルウェアにより自動送信することができる。なお、ネットワークログファイル７００にＩＣＭＰメッセージを含む場合は、該メッセージに含まれる障害内容を中継装置の表示装置に画面表示する。これにより保守員は障害内容を速やかに把握することができる。

ネットワークログの解析（障害内容の解析）に際しては、ネットワークログの内容を目視するだけで即座に障害内容を判断できるものと、ネットワークログの内容自体は正常であっても（正常なメッセージが記述されていても）、その場の状況から異常と判断しなければならない場合の二種類がある。このため、ネットワークログから障害内容を自動的に解析することは難しい。

そこで、本システムでは、ネットワークログの内容から明らかに異常と判断できるＩＣＭＰメッセージの内容については、自動的にこれを表示する。一方、システム構成等の背景を意識して考察しながら障害原因を特定しなければならない障害解析については、ネットワークログファイル７００をホスト１００に自動送信し、ホスト１００側で解析を行う。

図４は、中継装置の処理（ネットワークログ取得解析システムを構成するプログラムの処理）を説明する図である。まず、システムを起動すると、前記表示装置の起動画面に、『ネットワークログ取得開始』、『ネットワークログ取得終了』、および『システム停止』を表すメニュー画面を表示して、システムの利用者（保守員）にいずれかを選択することを促す（ステップＳ１）。

保守員が『ネットワークログ取得開始』を選択した場合は、ネットワークログが取得できるポートを表示して利用者にその選択を促す（ステップＳ２）。利用者が選択すると、選択の結果を画面に表示して利用者に、本当に実行して良いかの最終確認を求める（ステップＳ３）。その後、ネットワークログ取得開始コマンドを実行してネットワークログの取得を開始する（ステップＳ４）。

ネットワークログ取得開始コマンド実行直後に、起動プロセス番号を一時ファイルに取得する。これにより、後述する『ネットワークログ取得終了』の際に一時ファイルを参照することで、『ネットワークログ取得終了』の対象となるリストを画面に表示することができる。

ここで、『ネットワークログ取得終了』の対象リストを表示する方法として、単純にネットワークログの取得を終了させる時点で起動している取得開始コマンドのプロセスを表示するのではなく、取得開始コマンド実行直後にプロセス番号を取得した一時ファイルを参照するようにしたのは、仮に本システム以外の手段、例えば手動あるいはリモート操作などの手段により取得開始コマンドを実行しても、『ネットワークログ取得終了』の画面に表示させないためである。つまり、本システムを利用した取得開始コマンド実行のプロセスと、別手段を利用した取得開始コマンド実行のプロセスとの混同を回避するためである（ステップＳ５）。

次に、利用者が選択したポートの全てのネットワークログの取得を開始したか否かを判別し、全てをネットワークログの取得を開始していない場合はステップＳ４に進み、全てのネットワークログの取得を開始し終えた場合はステップ１に戻る。

続いて、ステップ１のシステム起動直後のメニュー画面で『ネットワークログ取得終了』を選択した場合は、まず前記一時ファイルを読み、本システムを用いて起動したネットワークログ取得開始コマンドに対応するプロセスがあるか否かを確認する。本システムを用いた取得開始コマンドに対応するプロセスがなければ、システム起動直後のメニュー画面（ステップＳ１）に戻る。一方、本システムを用いた取得開始コマンドに対応するプロセスがある場合は、ポート選択画面（ステップＳ９）に移行する（ステップＳ８）。

利用者は、ネットワークログの取得を終了したいポートを選択し（ステップＳ９）、続いて取得終了コマンド実行の最終確認を行う（ステップＳ１０）。最終確認の結果ネットワークログの取得を終了する場合には、ネットワークログ取得の終了を実施し（ステップＳ１１）、その直後に取得し終えたネットワークログファイル７００をホスト１００に送信する（ステップＳ１２）。

利用者が選択したポートの全てのネットワークログの取得を終了したか否かを判別し、全てをネットワークログを取得終了していない場合はステップＳ１１に進み、全てのネットワークログの取得を終了した場合はステップ１に戻る。

ステップＳ１において、『システム停止』が選択されたときは処理を停止する。

図５は、図４示す処理に際して中継装置２００あるいはホスト計算機１００の表示画面に表示されるユーザインタフェースの例を示す図である。この例では、中継装置２００は３つのポートｅｔｈ１，ｅｔｈ２，ｅｔｈ３を備えている。また、図において「Select ＮＯ．＝」の部分は利用者が入力する部分である。

図５において、（１）の画面が表示された状態において、ネットワークログの取得を開始するため、１＜Ｅｎｔｅｒ＞を押下する。続く（２）の画面では、利用者はネットワークログを取得したいポートを選択する。ここでは、ｅｔｈ２及びｅｔｈ３を選択することとし、２３＜Ｅｎｔｅｒ＞を押下する。（３）の画面では、入力した項目で本当に良いか確認を求められるので、正しければｙ＜Ｅｎｔｅｒ＞、間違っていればｎ＜Ｅｎｔｅｒ＞を押下する（ｙ：Ｙｅｓ、ｎ：Ｎｏ）。（４）の画面では、ネットワークログ取得中のメッセージが表示されるのでこれを確認する。

（４）の画面において、＜Ｅｎｔｅｒ＞キーを押下すると、（５）に示す画面（（１）の画面）が表示される。このとき、ネットワークログの取得を止めるために２＜Ｅｎｔｅｒ＞を押下すると、（６）に示す画面（ネットワークログ取得を開始したｅｔｈ２とｅｔｈ３を表示した画面）が表示される。

ここでは、ネットワークログの取得を終了するポートを一つだけ選択することにし、２＜Ｅｎｔｅｒ＞を押下する。（７）に示す画面において、入力した項目で本当に良いか確認を求められるので、正しければｙ＜Ｅｎｔｅｒ＞、間違っていればｎ＜Ｅｎｔｅｒ＞を押下する。（８）に示す画面においてネットワークログ取得終了のメッセージを確認する。

この段階で、ディスクの特定フォルダに格納されたネットワークログファイルが、ホストに自動送信される。次に（８）に示すメッセージが表示されたときに＜Ｅｎｔｅｒ＞を押下すると、（９）に示す画面（（１）に示す画面）が表示される。

なお、中継装置は、端末から取得したネットワークログファイルを日付ごとにソートし、日付ごとに圧縮してからホストに送信できるようにするための圧縮コマンド、中継装置のディスクに格納したネットワークログファイルを消去するための削除コマンド、あるいはネットワークログ取得状況を随時確認するためのプロセス番号表示コマンド等の項番を用意しておくと利用者にとってさらに使いやすいものとなる。

図６は、後述する図７から図１０で用いるマークを説明する図である。なお、ＩＣＭＰメッセージ表示のマークは、直接中継装置を操作している場合、およびリモート操作で中継装置を操作している場合にかかわらず、その時点で利用者が操作しているコンピュータの画面における表示である。また、安心度は、あくまで図７から図１０における説明を理解し易くするための目安を表示したにぎない。

図７は、ホスト１００と該ホストに接続される中継装置２００間のネットワークが正常で、かつ中継装置２００において利用者ががネットワークログを取得する場合を説明する図である。

この例の場合、中継装置２００を操作する保守員８００は、取得したネットワークログファイル７００にＩＣＭＰメッセージが含まれている場合は、ＩＣＭＰメッセージが画面表示されるので障害の概要を把握できる。また、ネットワークログ取得終了と同時にホスト１００にネットワークログファイル７００が自動送信される。ホスト１００はネットワークログファイル７００を受信すると、ログファイルに含まれるＩＣＭＰメッセージをホスト１００側の画面に表示する。このため、ホスト１００側の保守員８００もネットワークログの解析を実施する前に、ＩＣＭＰメッセージをもとに大まかな障害内容を把握することができる。

この例の場合は、中継装置２００の保守員８００はネットワークの概要を把握できる。また、ホスト１００の保守員８００は障害原因を早急に認知することができる。

図８は、ホスト１００と該ホストに接続される中継装置２００間のネットワークが正常で、保守員８００がホスト１００からリモート操作でネットワークログを取得する場合を説明する図である。この場合は、ホスト１００の保守員は、システム操作で簡単にネットワークログを取得できる。また、ネットワークログにＩＣＭＰメッセージが含まれている場合には障害内容が画面に表示されるため、障害内容を早急に把握することができる。

このように、リモート操作方式であっても従来方式と比べて、保守員８００が障害内容を早急に把握することができる。

図９は、ホスト１００と該ホストに接続される中継装置２００間のネットワークが異常で、かつ中継装置２００で保守員８００がネットワークログを取得する場合を説明する図である。この場合は、中継装置２００の保守員８００はホスト１００へネットワークログを送信できない。

しかし、ネットワークログにＩＣＭＰメッセージが含まれている場合にＩＣＭＰメッセージに含まれる障害内容が中継装置２００の表示画面に画面表示される。このため、中継装置２００の保守員８００は障害内容を把握し、障害対策を実施することができる。このように、ＩＣＭＰメッセージから障害内容を把握し、障害対策を実施することができる。すなわち、全く障害内容が分からず何もできない従来方式に比して、本方式の利点は顕著である。

図１０は、ホスト１００と該ホストに接続される中継装置２００間のネットワークが異常で、保守員８００がホスト１００からリモート操作でネットワークログを取得する場合を説明する図である。

図１０の破線の左側に示すように、ホスト１００からリモートログインができないない場合は障害内容を把握できない。このことは従来方式を適用した場合でも同様である。

しかし、破線の右側に示すように、中継装置２００からホスト１００へネットワークログファイル７００を送信することはできないが、ホスト１００から中継装置にリモートログインができる場合においては、従来方式も本方式も障害内容の把握はできる。そして、この場合も図８で説明したように、ホスト１００の保守員は、システム操作で簡単にネットワークログを取得できる。また、ネットワークログにＩＣＭＰメッセージが含まれている場合には障害内容の画面に表示されるため、障害内容を早急に把握することができる。

このように、リモート操作方式であっても従来方式と比べて、保守員８００が障害内容をより早急に把握することができる。

図１１は、ＩＣＭＰが通知・報告するエラーと制御状態をまとめた図である。取得したネットワークログファイル７００にＩＣＭＰタイプ値が記載されていた場合、説明の箇所に記載されたメッセージが画面表示される。

図１２から図１５は、図１１のメッセージをさらに細かく分類したものである。取得したネットワークログファイル７００にコード値が記載されていた場合、説明の箇所に記載されたメッセージが画面表示される。

なお、図１２はＩＣＭＰタイプ値が３の場合の詳細メッセージを記載したもの、図１３はＩＣＭＰタイプ値が５の場合の詳細メッセージを記載したもの、図１４はＩＣＭＰタイプ値が１１の場合の詳細メッセージを記載したもの、図１５はＩＣＭＰタイプ値が１２の場合の詳細メッセージを記載したものである。

以上説明したように、本実施形態によれば、ネットワークログ取得対象である中継装置２００を用いて保守員８００が直接ネットワークログを取得しても、ホスト１００からTelnetコマンド等を用いて中継装置２００にリモートログインした状態でネットワークログを取得しても、ホスト１００にネットワークログファイル７００を送信することが可能である。その際に、ＩＣＭＰメッセージがネットワークログファイル７００に含まれている場合はシステム操作をしたホスト１００もしくは中継装置２００の画面に障害内容を表示することができる。

特に中継装置２００でシステム操作したときには、中継装置２００の画面だけでなく、取得したネットワークログファイル７００をホスト１００に送信し、ホスト１００が受信したとき、ホスト１００の表示画面にも障害内容が表示されることになる。

したがって、取得したネットワークログファイル７００にＩＣＭＰメッセージが含まれていた場合は、ホスト１００側の保守員８００はネットワークログの解析を始めるまえに、全体的な障害内容を把握できるようになる。

さらに、中継装置２００の保守員８００がネットワークログを取得したが、ネットワーク障害のためにホスト１００にネットワークログファイル７００を送信できない場合において、ログファイルにＩＣＭＰメッセージが含まれていた場合、中継装置２００の画面に障害内容を表示することができる。このため、保守員８００はネットワーク障害の原因を容易に把握できる。このように、中継装置の保守員は障害対応が可能となるため、緊急時にホスト１００がログ情報を取得できない場合においても、ネットワークが深刻な事態に陥ることを避けることができる。また、ネットワーク障害でホスト１００にネットワークログファイル７００を送信できない場合、もしくは送信できても、ホスト１００がネットワークログを解析するのに手間取った場合でも、システム操作した保守員８００は即座にＩＣＭＰメッセージを把握することができ障害対策を実施することが可能になる。また、ＩＣＭＰメッセージを含むネットワークログファイル７００をホスト１００が受信したときに、ホスト１００側の保守員８００はネットワークログの解析を始めるまえに、予め大まかな障害内容を即座に把握することが可能になる。

なお、ネットワークログを取得するソフトはいくつか存在するが、複数ポート５００のネットワークログを同時に取得するものはない。アプリケーションを複数回起動することで実現できることもあるが、取得開始や取得終了に時間差が発生し、効率は良くない。しかし、本実施形態によれば、番号付けされた希望のポート５００を、予めシステム画面にキー入力しておくことにより、１回のキー入力で複数ポートのネットワークログの取得をほぼ同時に開始できる。取得終了の場合も同様である。

また、ネットワークログ取得開始コマンドの実行をループ処理で連続化させることにより、複数ポートのネットワークログ取得開始を、１回のキー入力をトリガに実現できる。また、ネットワークログ取得終了コマンドの実行をループ処理で連続化させることにより複数ポートのネットワークログ取得終了を、１回のキー入力をトリガーに実現できる。

また、ネットワークログを取得し終えると同時に、取得したネットワークログファイル７００をホスト１００へ送信することができる。前述のように取得したネットワークログファイル７００にＩＣＭＰメッセージが含まれる場合は、システム操作を行なった装置（ホストあるいは中継装置）の画面に障害内容を表示することができる。特にシステム操作を行なったコンピュータが中継装置２００で、ネットワークログファイル７００をホスト１００が受信したときは、ホスト１００の画面にも障害内容を表示することで、システム操作を行なった保守員８００と、ネットワークログファイル７００を取得したホスト１００側の保守員８００が障害内容を容易に把握できる。

ネットワークの概要を説明する図である。従来の中継装置を用いてネットワークログを取得する方式を説明する図である。中継装置を用いてネットワークログを取得する方式を説明する図である。中継装置の処理を説明する図である。ユーザインタフェースの例を示す図である。図７から図１０で用いるマークを説明する図である。中継装置において保守員がネットワークログを取得する場合を説明する図である。保守員がホストからリモート操作でネットワークログを取得する場合を説明する図である。中継装置において保守員がネットワークログを取得する場合を説明する図である。保守員がホストからリモート操作でネットワークログを取得する場合を説明する図である。ＩＣＭＰで通知・報告されるエラーと制御状態をまとめた図である。図１１のメッセージをさらに細かく分類して説明する図である。図１１のメッセージをさらに細かく分類して説明する図である。図１１のメッセージをさらに細かく分類して説明する図である。図１１のメッセージをさらに細かく分類して説明する図である。

符号の説明

１００ホスト
２００中継装置
３００端末
５００ポート
７００ネットワークログファイル
８００保守員
９００表示装置

Claims

ホスト計算機に複数の端末を中継装置を介して接続し、前記端末のログ情報をホスト計算機で取得して解析し、解析結果を前記ホスト計算機あるいは前記中継装置の表示装置に表示するネットワークログ取得解析システムにおいて、
前記中継装置は、コマンド入力を受け付けるコマンド入力手段、コマンド入力手段で受け付けたコマンドで指定された端末のログ情報を取得し、取得したログ情報をホスト計算機に送信する送信手段を備え、さらに前記取得したログ情報にＩＣＭＰメッセージが含まれている場合、ＩＣＭＰメッセージのＩＣＭＰタイプ値あるいはメッセージコードをもとに対応する障害情報を表示装置に表示することを特徴とするネットワークログ取得解析システム。
請求項１記載のネットワークログ取得解析システムにおいて、
コマンド入力手段は、単数または複数の端末を前記表示画面に表示して、ログ情報を同時に取得する端末の選択を促す選択表示画面を表示することを特徴とするネットワークログ取得解析システム。
請求項１記載のネットワークログ取得解析システムにおいて、
前記中継装置は、ネットワークログ取得開始およびネットワークログ取得終了のコマンドに応答可能であり、操作手順においてコマンドが番号付けされたメニュー画面で、希望の番号をユーザがキー入力して処理を進めるシステムであり、
ネットワークログ取得開始が選択された場合は、続いてどのポートのネットワークログを対象とするかを前記ポートを表す番号で受付け、最後に実行確認のキー入力を受け付けたときネットワークログ取得の処理を実行し、
さらにネットワークログ取得終了が選択された場合は、その時点で前記システムを用いてネットワークログ取得中になっているポート番号を画面表示し、その中からネットワークログ取得を終了させたいポートの番号入力を受け付け、最後に実行確認のキー入力を受付けたときネットワークログ取得処理を終了し、取得したネットワークログファイルをホスト計算機に送信することを特徴とするネットワークログ取得解析システム。