JP5498440B2 - ネットワーク異常検出装置およびネットワーク異常検出方法 - Google Patents
ネットワーク異常検出装置およびネットワーク異常検出方法 Download PDFInfo
- Publication number
- JP5498440B2 JP5498440B2 JP2011127309A JP2011127309A JP5498440B2 JP 5498440 B2 JP5498440 B2 JP 5498440B2 JP 2011127309 A JP2011127309 A JP 2011127309A JP 2011127309 A JP2011127309 A JP 2011127309A JP 5498440 B2 JP5498440 B2 JP 5498440B2
- Authority
- JP
- Japan
- Prior art keywords
- reference vector
- vector
- network
- temporary reference
- abnormality
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
方法Aは、SyslogやSNMP Trap(Simple Network Management Protocol Trap)等を用いて、ネットワークの装置から自発的に送信される警報を利用するものである。方法Aでは、装置内の自装置監視プログラムが温度の上昇やリンク断といった異常を検出したときにのみ警報が発出される。したがって、方法Aは、トラフィックが徐々に減少する事象等、自装置監視プログラムに設定されていない異常を検出することはできない。
方法Bは、Ping(Packet Internet Grouper)やSNMP Request等を用いて、装置に対して問い合わせて得た情報を解析して、障害を検出するものである。方法Bでは、装置に対して問い合わせて得たCPU(Central Processing Unit)温度やトラフィック情報等の種々の情報を収集可能であるが、収集した情報を別途分析することで正常/異常を判定することになるため、分析スキルが必要とされる。
はじめに、本実施形態のネットワーク異常検出装置を含むネットワーク異常検出システムの構成およびネットワーク異常検出装置の動作概要について、図1(a)(b)(c)を用いて説明する。
なお、一時基準ベクトル(Vec-Refd-*)の数は、1つに限られず複数であっても構わない。例えば、第1(c)に示す例では、異常が発生したと判定された第1のベクトルおよび異常状態が遷移したと判定された第2のベクトルがそれぞれ一時基準ベクトル(Vec-Refd-*)となることができる。なお、以下の説明では、基準ベクトル(Vec-Ref)および一時基準ベクトル(Vec-Refd-*)をまとめて総称する場合に、参照ベクトルと称している。また、*印は、複数の一時基準ベクトルの集合内のいずれかの一時基準ベクトルを指すものとする。
ここで、ネットワーク異常検出装置100の構成について説明する前に、準備として、一時基準ベクトルを複数設定した場合において、考慮する処理内容(機能)について説明する。
ネットワーク11では、ルーティングの切り替えや切り戻しの繰り返しが実施される場合がある。この場合には、直近の状態と現時点の状態との間を行き来するような異常状態が発生する。また、装置が老朽化した場合、その装置は他の装置よりも故障が起きやすくなっており、似たような故障を繰り返す場合が起きる。さらに、ネットワーク11の状態は、構成変更や使用状況等によって、時々刻々と変化する(状態a)。
さらに、基準ベクトル(Vec-Ref)および一時基準ベクトル(Vec-Refd-*)を現状のネットワーク11の状態に合わせるために、学習処理を実行した場合、学習処理後の基準ベクトル(Vec-Ref)および一時基準ベクトル(Vec-Refd-*)同士が接近してくる場合が想定される(状態c)。
(1)参照ベクトルの異常スコアすべてが閾値より大きい場合には、その時の現在ベクトル(Vec-Now)を、新しい一時基準ベクトル(Vec-Refd-*)として参照ベクトルに追加する処理(前記状態aに対応)
(2)所定時間にわたって異常スコアが閾値以下の一時基準ベクトル(Vec-Refd-*)と基準ベクトル(Vec-Ref)とを交換する処理(前記状態aに対応)
(3)生成時期から所定時間以上経過した一時基準ベクトル(Vec-Refd-*)を削除する処理(前記状態bに対応)
(4)学習処理によって、基準ベクトル(Vec-Ref)と一時基準ベクトル(Vec-Refd-*)とが類似してきた場合、両者を統合する処理(前記状態cに対応)
ネットワーク異常検出装置100の構成について、図2を用いて説明する(適宜、図1,8参照)。ネットワーク異常検出装置100は、図2に示すように、処理部110、記憶部120、通信部130、および出力部140を備えている。
処理部110は、さらに、行列生成部111、固有ベクトル算出部112、参照ベクトル学習処理部113、状態判定部114、および参照ベクトル変更部115を備える。処理部110は、図示しないCPUおよびメインメモリによって構成され、記憶部120に記憶されているアプリケーションプログラムをメインメモリに展開して、行列生成部111、固有ベクトル算出部112、参照ベクトル学習処理部113、状態判定部114、および参照ベクトル変更部115を具現化する。
固有ベクトル算出部112は、行列生成部111によって生成された行列の固有ベクトル(図8参照)を算出する機能を有する。また、固有ベクトル算出部112は、算出した固有ベクトルを、後記する固有ベクトルDB121(図3参照)に記憶する機能を有する。
出力部140は、表示装置を接続する出力インタフェースであって、処理部110の処理結果等の情報を出力する。
生成時期(生成時刻)の欄には、参照ベクトルが生成されたときの時刻が、参照ベクトル変更部115によって格納される。生成時期(生成時刻)は、参照ベクトル変更部115が、生成時期から所定時間以上経過した一時基準ベクトル(Vec-Refd-*)を、参照ベクトルDB122から削除するときに参照される。
学習期間の欄には、更新フラグが1(ON;学習する)に設定されている期間が参照ベクトル学習処理部113によって格納される。そして、更新フラグが1(ON;学習する)に設定された参照ベクトルが、学習処理の対象となる。
学習処理とは、例えば、参照ベクトルDB122に示す一時基準ベクトル2(Vec-Refd-2)の場合には、更新フラグが1(ON;学習する)となっている間、学習期間の欄に格納されているt(n−b2)からt(n−c2)までの期間の固有ベクトル(Vec-Past)を固有ベクトルDB121から読み出して、その読み出した固有ベクトル(Vec-Past)と現在ベクトル(Vec-Now)とを用いて所定の処理を実行し、当該処理の結果であるベクトルで既に参照ベクトルDB122に記憶してある一時基準ベクトル2(Vec-Refd-2)を上書き(更新)する処理である。所定の処理とは、例えば、移動平均等である。基準ベクトル(Vec-Ref)についても、前記した一時基準ベクトル(Vec-Refd-*)の場合と同様に、更新フラグが1(ON;学習する)となっている間、学習期間の欄に格納されている期間の固有ベクトル(Vec-Past)を固有ベクトルDB121から読み出して、その読み出した固有ベクトル(Vec-Past)と現在ベクトル(Vec-Now)とを用いて所定の処理を実行し、既に参照ベクトルDB122に記憶してある基準ベクトル(Vec-Ref)を上書き(更新)する。
具体的には、参照ベクトル学習処理部113は、更新フラグが1(ON;学習する)となっている参照ベクトルに対して、学習処理を実行し、参照ベクトルDB122のベクトル成分の欄を、学習処理後のベクトル成分に書き換える。
また、参照ベクトル学習処理部113は、更新フラグが1(ON)とされた時期を、学習期間に記憶する。
なお、学習処理に用いる固有ベクトル(Vec-Past)は、その数に上限(例えば、k個以下)を設ける、または、当該固有ベクトルの生成された生成時期が現在から所定時間以内に入っているものに限定する、ようにしても構わない。
次に、ネットワーク異常検出装置100の処理フロー例について、図5を用いて説明する(適宜、図2,3,4参照)。
ステップS501では、処理部110の行列生成部111は、通信部130を介して、ネットワーク11内の装置10からトラフィック流量等の情報を取得し、トラフィック流量を要素とする行列を生成する。行列の生成は、所定の周期またはネットワーク11の管理者もしくは保守者等に指示されたときに行われる。
ステップS507では、状態判定部114は、正常を示す情報を出力部140に出力する。ステップS507の処理後の処理は、ステップS514へ進む。
そして、ステップS511では、状態判定部114は、異常が検出された(障害が検出された)情報、および、参照ベクトルDB122を参照して、異常スコアが最小となる一時基準ベクトル(Vec-Refd-*)に関連付けられた備考の欄に格納されている情報を出力部140に出力する。ステップS511の処理後の処理は、ステップS514へ進む。
なお、ステップS513の処理後のステップS511では、状態判定部114は、新しい異常状態が検出された情報を出力部140に出力する。
図6は、基準ベクトル(Vec-Ref)Rと、一時基準ベクトル(Vec-Refd-*)Cとが存在している状態を表している。基準ベクトル(Vec-Ref)Rおよび一時基準ベクトル(Vec-Refd-*)Cは、それぞれ、更新フラグが1(ON)のときに学習処理を実行される。そのため、基準ベクトル(Vec-Ref)Rと一時基準ベクトル(Vec-Refd-*)Cとが接近してくる場合が起こる。
この場合に対応するために、図6に示すように、基準ベクトル(Vec-Ref)Rと一時基準ベクトル(Vec-Refd-*)Cとの間のベクトル間距離を、例えば、ユークリッド距離で定義する。そして、参照ベクトル変更部115は、ベクトル間距離を所定距離と比較し、ベクトル間距離が所定距離以下の場合、基準ベクトル(Vec-Ref)Rと一時基準ベクトル(Vec-Refd-*)Cとを統合し、統合後のベクトルを新しい基準ベクトル(Vec-Ref)R1として、参照ベクトルDB122を更新する。なお、統合処理は、例えば、基準ベクトル(Vec-Ref)の学習処理および一時基準ベクトル(Vec-Refd-*)の学習処理に用いた固有ベクトルを用いて、新しい基準ベクトル(Vec-Ref)を生成する学習処理を実行するか、または、基準ベクトル(Vec-Ref)と一時基準ベクトル(Vec-Refd-*)との移動平均によって算出する。
10(10A,10B,10C) 装置
11 ネットワーク
100 ネットワーク異常検出装置
110 処理部
111 行列生成部
112 固有ベクトル算出部
113 参照ベクトル学習処理部(学習処理部)
114 状態判定部
115 参照ベクトル変更部(変更部)
120 記憶部
121 固有ベクトルDB
122 参照ベクトルDB
130 通信部
140 出力部
Claims (8)
- 正常な状態のときのネットワーク内の装置間の状態を示す行列から算出される固有ベクトルを基準ベクトルとして記憶し、異常な状態のときのネットワーク内の装置間の状態を示す行列から算出された固有ベクトルを一時基準ベクトルとして複数の前記一時基準ベクトルを記憶している記憶部と、
現時点のネットワーク内の装置間の状態を示す行列から固有ベクトルを算出し、当該算出した固有ベクトルを現在ベクトルとする固有ベクトル算出部と、
前記基準ベクトルと前記現在ベクトルとの角度差を算出して当該角度差を第1の異常スコアとして求め、前記一時基準ベクトルと前記現在ベクトルとの角度差を算出して当該角度差を第2の異常スコアとして求め、前記第1の異常スコアが閾値より大きいか否かを判定し、当該第1の異常スコアが前記閾値以下の場合にネットワークを正常と判定し、当該第1の異常スコアが前記閾値より大きい場合に異常と判定し、異常と判定した場合に、前記第2の異常スコアの中で前記第2の異常スコアが前記閾値以下でかつ最小となる一時基準ベクトルを抽出する抽出処理を実行し、当該抽出処理によって抽出した今回の一時基準ベクトルと今回の直前に抽出された一時基準ベクトルとが異なるか否かを判定し、前記今回の一時基準ベクトルと前記今回の直前に抽出された一時基準ベクトルとが異なる場合、異常状態が遷移したと判定する状態判定部と
を備えることを特徴とするネットワーク異常検出装置。 - 前記第1および前記第2の異常スコアすべてが前記閾値より大きい場合、前記現在ベクトルを新しい一時基準ベクトルとして前記記憶部に追加して記憶する変更部
をさらに備えることを特徴とする請求項1に記載のネットワーク異常検出装置。 - 前記記憶部は、前記一時基準ベクトルと前記第2の異常スコアが前記閾値以下となって継続している時間を示す継続時間とを関連付けて記憶しており、
前記変更部は、前記継続時間と閾値である第1の所定時間とを比較し、前記継続時間が前記第1の所定時間以上となっている前記一時基準ベクトルを前記基準ベクトルに変更し、当該基準ベクトルを前記一時基準ベクトルに変更する
ことを特徴とする請求項2に記載のネットワーク異常検出装置。 - 前記記憶部は、前記一時基準ベクトルと当該一時基準ベクトルが生成された時期を示す生成時期とを関連付けて記憶しており、
前記変更部は、現在から前記生成時期までの第1の時間と閾値である第2の所定時間とを比較し、前記第1の時間が前記第2の所定時間以上となっている前記一時基準ベクトルを前記記憶部から削除する
ことを特徴とする請求項2または請求項3に記載のネットワーク異常検出装置。 - 前記記憶部は、前記固有ベクトル算出部によって過去に算出された前記固有ベクトルを記憶しており、
前記第1の異常スコアが前記閾値以下の場合、過去に正常と判定されたときの前記過去に算出された固有ベクトルと前記現在ベクトルとを用いて基準ベクトルを算出する学習処理を実行して、当該算出した基準ベクトルで前記記憶部に記憶していた基準ベクトルを上書きする処理、または、前記現在ベクトルと前記今回の一時基準ベクトルと同じ一時基準ベクトルが前記抽出処理によって過去に抽出されたときに現在ベクトルであった前記過去に算出された固有ベクトルとを用いて一時基準ベクトルを算出する学習処理を実行して、当該学習処理によって算出した一時基準ベクトルで前記記憶部に記憶していた一時基準ベクトルを上書きする処理、を実行する学習処理部
をさらに備えることを特徴とする請求項2ないし請求項4のいずれか一項に記載のネットワーク異常検出装置。 - 前記変更部は、前記基準ベクトルと前記一時基準ベクトルとの間の距離を算出し、前記距離と所定距離とを比較し、前記距離が前記所定距離以下となった場合、前記基準ベクトルの前記学習処理および当該一時基準ベクトルの前記学習処理に用いた前記過去に算出された固有ベクトルを用いて、新しい基準ベクトルを生成する所定の処理を実行し、前記新しい基準ベクトルで前記記憶部に記憶してある前記基準ベクトルを上書きする
ことを特徴とする請求項5に記載のネットワーク異常検出装置。 - 正常な状態のときのネットワーク内の装置間の状態を示す行列から算出される固有ベクトルを基準ベクトルとして記憶し、異常な状態のときのネットワーク内の装置間の状態を示す行列から算出された固有ベクトルを一時基準ベクトルとして1つ記憶している記憶部と、
現時点のネットワーク内の装置間の状態を示す行列から固有ベクトルを算出し、当該算出した固有ベクトルを現在ベクトルとする固有ベクトル算出部と、
前記基準ベクトルと前記現在ベクトルとの角度差を算出して当該角度差を第1の異常スコアとして求め、前記一時基準ベクトルと前記現在ベクトルとの角度差を算出して当該角度差を第2の異常スコアとして求め、前記第1の異常スコアが閾値より大きいか否かを判定し、当該第1の異常スコアが前記閾値以下の場合にネットワークを正常と判定し、当該第1の異常スコアが前記閾値より大きい場合に異常と判定し、異常と判定した場合に、前記第2の異常スコアが前記閾値より大きいか否かを判定し、前記第2の異常スコアが前記閾値より大きい場合、異常状態が遷移したと判定する状態判定部と
を備えることを特徴とするネットワーク異常検出装置。 - ネットワーク内の異常を検出するネットワーク異常検出装置のネットワーク異常検出方法であって、
前記ネットワーク異常検出装置は、
正常な状態のときのネットワーク内の装置間の状態を示す行列から算出される固有ベクトルを基準ベクトルとして記憶し、異常な状態のときのネットワーク内の装置間の状態を示す行列から算出された固有ベクトルを一時基準ベクトルとして複数の前記一時基準ベクトルを記憶している記憶部を備え、
現時点のネットワーク内の装置間の状態を示す行列から固有ベクトルを算出し、当該算出した固有ベクトルを現在ベクトルとする固有ベクトル算出ステップと、
前記基準ベクトルと前記現在ベクトルとの角度差を算出して当該角度差を第1の異常スコアとして求め、前記一時基準ベクトルと前記現在ベクトルとの角度差を算出して当該角度差を第2の異常スコアとして求め、前記第1の異常スコアが閾値より大きいか否かを判定し、当該第1の異常スコアが前記閾値以下の場合にネットワークを正常と判定し、当該第1の異常スコアが前記閾値より大きい場合に異常と判定し、異常と判定した場合に、前記第2の異常スコアの中で前記第2の異常スコアが前記閾値以下でかつ最小となる一時基準ベクトルを抽出する処理を実行し、当該抽出する処理によって抽出した今回の一時基準ベクトルと今回の直前に抽出された一時基準ベクトルとが異なるか否かを判定し、前記今回の一時基準ベクトルと前記今回の直前に抽出された一時基準ベクトルとが異なる場合、異常状態が遷移したと判定する状態判定ステップと
を実行することを特徴とするネットワーク異常検出方法。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2011127309A JP5498440B2 (ja) | 2011-06-07 | 2011-06-07 | ネットワーク異常検出装置およびネットワーク異常検出方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2011127309A JP5498440B2 (ja) | 2011-06-07 | 2011-06-07 | ネットワーク異常検出装置およびネットワーク異常検出方法 |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2012256961A JP2012256961A (ja) | 2012-12-27 |
JP5498440B2 true JP5498440B2 (ja) | 2014-05-21 |
Family
ID=47528129
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2011127309A Expired - Fee Related JP5498440B2 (ja) | 2011-06-07 | 2011-06-07 | ネットワーク異常検出装置およびネットワーク異常検出方法 |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP5498440B2 (ja) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR102054394B1 (ko) * | 2018-08-17 | 2019-12-10 | 주식회사 케이티 | 선로 장애 감지 방법, 그 시스템 및 망 관제 시스템 |
-
2011
- 2011-06-07 JP JP2011127309A patent/JP5498440B2/ja not_active Expired - Fee Related
Cited By (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR102054394B1 (ko) * | 2018-08-17 | 2019-12-10 | 주식회사 케이티 | 선로 장애 감지 방법, 그 시스템 및 망 관제 시스템 |
WO2020036431A1 (ko) * | 2018-08-17 | 2020-02-20 | 주식회사 케이티 | 선로 장애 감지 방법, 그 시스템 및 망 관제 시스템 |
US11876669B2 (en) | 2018-08-17 | 2024-01-16 | Kt Corporation | Communication line detection method, system therefor, and network control system |
Also Published As
Publication number | Publication date |
---|---|
JP2012256961A (ja) | 2012-12-27 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US20200304523A1 (en) | System for monitoring and managing datacenters | |
JP5767617B2 (ja) | ネットワーク障害検出システムおよびネットワーク障害検出装置 | |
US20110270957A1 (en) | Method and system for logging trace events of a network device | |
US20180041400A1 (en) | Network configuration predictive analytics engine | |
JP2022500963A (ja) | ネットワークのセキュリティモニタリング方法、ネットワークのセキュリティモニタリング装置及びシステム | |
JP5975037B2 (ja) | 通信システム、通信装置、障害通知方法、及びプログラム | |
JP4128974B2 (ja) | レイヤ2ループ検知システム | |
US11190390B2 (en) | Alarm information processing method and apparatus, system, and computer storage medium | |
US8274911B2 (en) | Network monitoring system and path extracting method | |
US20150319032A1 (en) | Method and system for detecting changes in a network using simple network management protocol polling | |
US20160182541A1 (en) | Method for detecting intrusion in network | |
JP5711675B2 (ja) | ネットワーク異常検出装置およびネットワーク異常検出方法 | |
JP2007189615A (ja) | ネットワーク監視支援装置、ネットワーク監視支援方法およびネットワーク監視支援プログラム | |
CN110932976A (zh) | 基于气象灾害的电网故障业务的恢复方法、装置及设备 | |
JP4612525B2 (ja) | ネットワーク障害部位特定装置および方法 | |
WO2016161760A1 (zh) | 告警的测试处理方法及装置 | |
Jiang et al. | A quantitative framework for network resilience evaluation using Dynamic Bayesian Network | |
JP6711452B2 (ja) | 抽出装置、抽出方法、及びプログラム | |
JP5498440B2 (ja) | ネットワーク異常検出装置およびネットワーク異常検出方法 | |
WO2016082509A1 (zh) | 一种检测标签交换路径连通性的方法及装置 | |
JP6068296B2 (ja) | 制御装置、計算資源管理方法及び計算資源管理プログラム | |
JP6418377B2 (ja) | 管理対象装置、管理装置及びネットワーク管理システム | |
JP2019514315A (ja) | 異種混在アラートのグラフベース結合 | |
JP6378653B2 (ja) | サービス影響原因推定装置、サービス影響原因推定プログラム、及びサービス影響原因推定方法 | |
JP2015082131A (ja) | 監視システム、監視方法、監視プログラム及び監視装置 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20130201 |
|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20130725 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20140221 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20140304 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20140307 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 5498440 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
LAPS | Cancellation because of no payment of annual fees |