JP6259379B2 - トラフィック異常検出装置およびブログラム - Google Patents
トラフィック異常検出装置およびブログラム Download PDFInfo
- Publication number
- JP6259379B2 JP6259379B2 JP2014177882A JP2014177882A JP6259379B2 JP 6259379 B2 JP6259379 B2 JP 6259379B2 JP 2014177882 A JP2014177882 A JP 2014177882A JP 2014177882 A JP2014177882 A JP 2014177882A JP 6259379 B2 JP6259379 B2 JP 6259379B2
- Authority
- JP
- Japan
- Prior art keywords
- traffic
- vector
- time
- balance data
- generated
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
本発明は、トラフィックの異常を検出する技術に関する。
ＩＰ（Internet Protocol）ネットワーク環境の装置故障を検知する方法の一つとして、トラフィック量を監視する方法がある。
ＩＰネットワーク通信で用いられる装置の各ＩＦ（Interface）の流通トラフィック量（以降、単にトラフィック量と称す。）は、各装置のＭＩＢ（Management Information Base）情報に記憶され、ＳＮＭＰ（Simple Network Management Protocol）マネージャにより、リンクのＩＦ毎に収集可能である（非特許文献１，２）。
ＩＰネットワーク通信で用いられる装置の各ＩＦ（Interface）の流通トラフィック量（以降、単にトラフィック量と称す。）は、各装置のＭＩＢ（Management Information Base）情報に記憶され、ＳＮＭＰ（Simple Network Management Protocol）マネージャにより、リンクのＩＦ毎に収集可能である（非特許文献１，２）。
トラフィック量を監視する場合、ＳＮＭＰマネージャを使用して作成したトラフィックグラフを用いることがある。そのトラフィックグラフを目視で確認して、普段と違う挙動を見つけることによって、異常を検知することが行われている。
また、目視によらない方法が、特許文献１に開示されている。特許文献１に記載の技術では、複数リンクのトラフィックの異常を検出するために、リンク間の、送信トラフィック量の差分、受信トラフィック量の差分または送受信トラフィック量の差分が算出される。そして、比較基準とする時刻ｔ１における差分と、任意の時刻ｔ２（＞ｔ１）における差分とが比較される。時刻ｔ１における差分と時刻ｔ２における差分との間に差異があると判定された場合、警報が出力される。
RFC 1213、"Management Information Base for Network Management of TCP/IP-based internets: MIB-II" 、［online］、［平成２６年７月１８日検索］、インターネット＜URL:https://www.ietf.org/rfc/rfc1213.txt＞
RFC 3411、"An Architecture for Describing Simple Network Management Protocol (SNMP) Management Frameworks"、［online］、［平成２６年７月１８日検索］、インターネット＜URL: https://www.ietf.org/rfc/rfc3411.txt＞
トラフィックグラフを目視確認する方法は、トラフィック量の時間変動を考慮できるが、ＩＦ毎に作成されたグラフをすべて目視確認することになるため、手間がかかる上、非効率になるという問題がある。
また、特許文献１に記載の技術は、トラフィック量が時間変動することにともなってトラフィック量の差分が時間変動する場合には、比較基準の差分を定めることが困難である。具体的には、比較基準の差分を、時刻ｔ１の値に定めた場合と、時刻ｔ３（≠ｔ１）の値に定めた場合とでは異なってしまうので、差異判定が揺らいでしまうという問題がある。
また、特許文献１に記載の技術は、トラフィック量が時間変動することにともなってトラフィック量の差分が時間変動する場合には、比較基準の差分を定めることが困難である。具体的には、比較基準の差分を、時刻ｔ１の値に定めた場合と、時刻ｔ３（≠ｔ１）の値に定めた場合とでは異なってしまうので、差異判定が揺らいでしまうという問題がある。
そこで、本発明は、トラフィック量が時間変動する場合において、ＩＦのトラフィック量の異常を検出するトラフィック異常検出装置およびプログラムを提供することを課題とする。
前記した課題を解決するため、本発明のトラフィック異常検出装置は、ネットワーク通信で用いられる１以上の装置のインタフェースにおけるトラフィック量を所定の時間ごとに取得し、その取得したトラフィック量に比例する値を要素とするベクトルを生成し、前記生成したベクトルを記憶部に記憶するトラフィックバランスデータ演算部と、前記記憶部に記憶されているベクトルに基づいて基準ベクトルを生成し、今回生成したベクトルと前記基準ベクトルとの類似度を演算するトラフィックバランスデータ類似度演算部と、前記類似度に基づいて、トラフィックの異常の有無を判定する異常判定部とを備え、前記トラフィックバランスデータ演算部は、トラフィック量の時間変動の周期が等しい前記インタフェースにおけるトラフィック量に基づいて、前記ベクトルを生成し、前記トラフィックバランスデータ類似度演算部は、前記トラフィック量を前記インタフェースから取得し、その取得した時間を前記周期内の時間に変換し、その変換後の時間に対応する時間の前記記憶されているベクトルに基づいて、前記基準ベクトルを生成することを特徴とする。
このような構成によれば、トラフィック異常検出装置は、トラフィック量に比例する値を要素とするベクトルを生成し、過去のベクトルに基づいて生成した基準ベクトルと生成したベクトルとの類似度を演算する。そして、トラフィック異常検出装置は、類似度に基づいてトラフィックの異常の有無を判定する。したがって、トラフィック異常検出装置は、トラフィック量が時間変動する場合であっても、過去のベクトルに基づいて生成された基準ベクトルを比較対照としているので、ＩＦのトラフィック量の異常を検出することができる。
また、トラフィック異常検出装置は、トラフィック量の時間変動の周期が等しいものをまとめて、ベクトルで表現しているので、トラフィック量が周期的に時間変動する場合において、ＩＦのトラフィック量の異常を検出することができる。
さらに、トラフィック異常検出装置は、トラフィック量の時間変動の周期性を利用して、トラフィック量の取得した１周期内の時間と同じ時間の記憶済のベクトルに基づいて基準ベクトルを生成することができる。つまり、トラフィック量が周期的に時間変動する場合において、周期変動の時間を合わせて基準ベクトルを生成することができるので、ＩＦのトラフィック量の異常を検出することができる。
また、前記トラフィック異常検出装置の前記トラフィックバランスデータ類似度演算部は、前記今回生成したベクトルと前記基準ベクトルとをコサイン類似度に適用して、類似度を演算することを特徴とする。
このような構成によれば、トラフィック異常検出装置は、コサイン類似度によって、今回生成したベクトルと基準ベクトルとの類似度を演算することができる。したがって、トラフィック異常検出装置は、定量的に、ＩＦのトラフィック量の異常を検出することができる。
また、前記トラフィック異常検出装置の前記トラフィックバランスデータ類似度演算部は、前記生成したベクトルが多変量正規分布に従うと仮定して、前記生成したベクトルの平均値と分散行列とを生成し、前記今回生成したベクトル、当該平均値および当該分散行列を用いてマハラノビス距離を演算し、前記異常判定部が、前記マハラノビス距離に基づいてトラフィックの異常の有無を判定することを特徴とする。
このような構成によれば、トラフィック異常検出装置は、今回生成したベクトルと多変量正規分布を仮定して生成される分散行列とベクトルの平均値とを用いてマハラノビス距離を演算することができる。このマハラノビス距離は、トラフィック量の異常判定に用いることができる。つまり、トラフィック異常検出装置は、トラフィック量が時間変動する場合において、ＩＦのトラフィック量の異常を検出することができる。
なお、プログラムについては、前記したトラフィック異常検出装置と同様の技術的特徴を備えており、前記トラフィック異常検出装置と同様の効果を有しているので、「課題を解決するための手段」においての記載を省略する。
本発明によれば、トラフィック量が時間変動する場合において、ＩＦのトラフィック量の異常を検出することができる。
本発明を実施するための形態（以降、「本実施形態」と称す。）について、適宜図面を参照しながら詳細に説明する。
（概要）
はじめに、本発明の概要について、図１を用いて説明する。本発明では、トラフィック量の周期変動に着目して、トラフィックの異常を検出する。
図１（ａ）はトラフィック量の時間変動を表し、図１（ｂ）は現在ベクトルを表し、図１（ｃ）は基準ベクトルを表し、図１（ｄ）は判定結果を表している。
はじめに、本発明の概要について、図１を用いて説明する。本発明では、トラフィック量の周期変動に着目して、トラフィックの異常を検出する。
図１（ａ）はトラフィック量の時間変動を表し、図１（ｂ）は現在ベクトルを表し、図１（ｃ）は基準ベクトルを表し、図１（ｄ）は判定結果を表している。
図１（ａ）は、縦軸にトラフィック量を表し、横軸を時間で表して、各ＩＦのトラフィック量の時間変動特性を示したものである。各ＩＦのトラフィック量を表す実線２０の特性、破線２１の特性および点線２２の特性は、相互には異なっているものの、いずれも同じ周期Ｔで繰り返す傾向を有している。したがって、例えば、実線２０のトラフィック量は、１周期Ｔ内の先頭からの経過時間がｔ１において、つまり、時間ｔ１、Ｔ＋ｔ1、２Ｔ＋ｔ１では、ほぼ等しくなっている。本発明では、図１（ａ）に示すように、トラフィック量の時間変動特性が異なっていても、周期Ｔが同じとなるＩＦを同じグループとしてまとめて扱う。
トラフィック量の時間変動特性は、複数の物理リンクでトラフィック量を等分するリンクアグリゲーション間、特定のＩＳＰ（Internet Service Provider）と特定のＩＳＰとの間、特定のＩＳＰとそれ以外のＩＳＰとの間、ネットワークを構成する物理装置間、加入者収容ルータと加入者設備との間、および加入者収容ルータからのトラフィックを集約して上位のコアルータに転送する集約ルータと加入者収容ルータとの間、でそれぞれ特徴を有している。例えば、ビジネスに使用されているトラフィックの場合、一般的に、図１（ａ）の実線２０の特性、破線２１の特性および点線２２の特性で表されるように、日中はトラフィック量が大きくなり、夜間は小さくなる傾向がある。
図１（ｂ）には、現在ベクトル１０を記載している。現在ベクトル１０は、ネットワーク通信で用いられる１以上の装置から取得したトラフィック量に比例（線形、非線形を問わない。）する値を要素とし、周期Ｔが同じとなるＩＦをまとめて生成される。例えば、図１（ａ）に示す実線２０、破線２１および点線２２は、周期が同じであるので、現在ベクトル１０は、同じ時間の各トラフィック量に比例する値を要素として生成される。図１（ｂ）では、時間ｔ１，ｔ２，ｔ３，Ｔ＋ｔ１，Ｔ＋ｔ２，Ｔ＋ｔ３，２Ｔ＋ｔ１におけるベクトルが現在ベクトル１０として記載されている。
なお、図１（ｂ）に示す現在ベクトル１０の中では、時間ｔ１および時間Ｔ＋ｔ1の現在ベクトル１０はほぼ同じであり、時間ｔ２および時間Ｔ＋ｔ２の現在ベクトル１０はほぼ同じであり、時間ｔ３および時間Ｔ＋ｔ３の現在ベクトル１０はほぼ同じである。
しかし、時間ｔ１の現在ベクトル１０と、時間２Ｔ＋ｔ１の現在ベクトル１０とは、異なっている。この理由は、図１（ａ）の図において、時間２Ｔ＋ｔ１付近では、点線２２のトラフィック量の時間変動特性が、時間ｔ１付近の特性とは異なっているためである。
しかし、時間ｔ１の現在ベクトル１０と、時間２Ｔ＋ｔ１の現在ベクトル１０とは、異なっている。この理由は、図１（ａ）の図において、時間２Ｔ＋ｔ１付近では、点線２２のトラフィック量の時間変動特性が、時間ｔ１付近の特性とは異なっているためである。
また、図１（ｃ）には、基準ベクトル１１を記載している。基準ベクトル１１は、ＩＦに障害が無く、周期性が保たれているときの過去の現在ベクトル１０から生成される。すなわち、基準ベクトル１１は、現在ベクトル１０が異常か否かを判定するための比較基準である。
図１（ｄ）には、現在ベクトル１０と基準ベクトル１１との比較結果１２が表されている。時間ｔ１，ｔ２，ｔ３，Ｔ＋ｔ１，Ｔ＋ｔ２，Ｔ＋ｔ３では、現在ベクトル１０と基準ベクトル１１とは、差異がないと判定されるため、「正常」と表される。しかし、時間２Ｔ＋ｔ１では、現在ベクトル１０と基準ベクトル１１とは、差異があると判定されるため、「異常」と表される。
なお、本発明では、トラフィック量の時間変動の周期Ｔが同じとなる（または、等しいと見なせる）ＩＦを同じグループとしてまとめて扱うため、ベクトルでトラフィック量を表現している。なお、周期が同じとは、異なるＩＦ間の周期の差分が所定の閾値以下の場合とする。ただし、グループ化されたＩＦが１つしかない場合には、当該ＩＦ以外のベクトルの要素を固定の値（例えば、０）に設定するようにする。
また、ＩＦをグループ化する利点は、変動傾向をＩＦごとに個別に設定しなくてよいことである。例えば、周期が１日であった場合、平日と休日とではトラフィックの総量や変動傾向が異なるので、カレンダの入力が必要になる。その場合、ＩＦをグループ化することによって、カレンダの入力をＩＦごとに個別に行う必要が無くなるという利点がある。
（トラフィック異常検出装置）
次に、トラフィック異常検出装置２００の機能例について、図２を用いて説明する（適宜、図１参照）。
次に、トラフィック異常検出装置２００の機能例について、図２を用いて説明する（適宜、図１参照）。
トラフィック異常検出装置２００は、記憶部２１０、処理部２２０および送受信部２３０を備える。
記憶部２１０は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、フラッシュメモリ等の記憶媒体から構成される。記憶部２１０には、処理部２２０によって算出された現在ベクトル１０（以降、トラフィックバランスデータとも称する。）、比較結果１２、ユーザによって操作される入力装置２４１（マウスやキーボード等）から入力される各種設定情報等が記憶される。
記憶部２１０は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、フラッシュメモリ等の記憶媒体から構成される。記憶部２１０には、処理部２２０によって算出された現在ベクトル１０（以降、トラフィックバランスデータとも称する。）、比較結果１２、ユーザによって操作される入力装置２４１（マウスやキーボード等）から入力される各種設定情報等が記憶される。
記憶部２１０には、ＩＦグループ保存部２１１、周期時間保存部２１２、データ点数保存部２１３、忘却係数保存部２１４、トラフィックバランスデータ保存部２１５、閾値保存部２１６、判定結果保存部２１７が備えられている。
ＩＦグループ保存部２１１は、グループ化したＩＦの情報を記憶している。
周期時間保存部２１２は、グループ化したＩＦごとに１周期の時間長を記憶している。
周期時間保存部２１２は、グループ化したＩＦごとに１周期の時間長を記憶している。
データ点数保存部２１３は、１周期内で算出する現在ベクトル１０の数をデータ点数として記憶している。例えば、１周期が１日で、３０分ごとに現在ベクトル１０を算出する場合には、データ点数は、４８である。
忘却係数保存部２１４は、過去の入力に対する重みを忘却係数として記憶している。忘却係数は、基準ベクトル１１を算出する際に用いられる。
忘却係数保存部２１４は、過去の入力に対する重みを忘却係数として記憶している。忘却係数は、基準ベクトル１１を算出する際に用いられる。
トラフィックバランスデータ保存部２１５は、処理部２２０によって算出された現在ベクトル１０（以降、トラフィックバランスデータとも称す。）を記憶している。
閾値保存部２１６は、現在ベクトル１０と基準ベクトル１１とに差異があるか否か、すなわち異常か否か、を判定するための閾値を記憶している。
判定結果保存部２１７は、現在ベクトル１０と基準ベクトル１１とに差異があるか否か、すなわち異常か正常か、についての判定結果を記憶している。
閾値保存部２１６は、現在ベクトル１０と基準ベクトル１１とに差異があるか否か、すなわち異常か否か、を判定するための閾値を記憶している。
判定結果保存部２１７は、現在ベクトル１０と基準ベクトル１１とに差異があるか否か、すなわち異常か正常か、についての判定結果を記憶している。
処理部２２０は、記憶部２１０に記憶された各種情報を参照して、トラフィックの異常を検出する処理を実行する機能を有する。また、処理部２２０は、トラフィック異常検出装置２００が備えるＣＰＵ（Central Processing Unit）によるプログラム実行処理や、専用回路等により実現される。なお、処理部２２０の機能をプログラム実行処理により実現する場合、記憶部２１０には、この処理部２２０の機能を実現するためのプログラムが格納される。
処理部２２０は、トラフィックバランスデータ演算部２２１、トラフィックバランスデータ類似度演算部２２２、異常判定部２２３を備える。
トラフィックバランスデータ演算部２２１は、トラフィックバランスデータを算出する機能を有する。具体的には、トラフィックバランスデータ演算部２２１は、ネットワーク２４２を構成する１以上の装置から、トラフィック情報受信部２３２を介して、所定の時間（一定時間の場合を含む。）ごとにトラフィック量の情報を取得する。次に、トラフィックバランスデータ演算部２２１は、取得したトラフィック量に比例（線形、非線形を問わない。）する値を要素とするトラフィックバランスデータ（現在ベクトル１０）を、グループ化したＩＦごとに生成する。そして、トラフィックバランスデータ演算部２２１は、生成したトラフィックバランスデータとトラフィック量が取得された時間とを関連付けて、双方をトラフィックバランスデータ保存部２１５に記憶する。
トラフィックバランスデータ演算部２２１は、トラフィックバランスデータを算出する機能を有する。具体的には、トラフィックバランスデータ演算部２２１は、ネットワーク２４２を構成する１以上の装置から、トラフィック情報受信部２３２を介して、所定の時間（一定時間の場合を含む。）ごとにトラフィック量の情報を取得する。次に、トラフィックバランスデータ演算部２２１は、取得したトラフィック量に比例（線形、非線形を問わない。）する値を要素とするトラフィックバランスデータ（現在ベクトル１０）を、グループ化したＩＦごとに生成する。そして、トラフィックバランスデータ演算部２２１は、生成したトラフィックバランスデータとトラフィック量が取得された時間とを関連付けて、双方をトラフィックバランスデータ保存部２１５に記憶する。
トラフィックバランスデータ類似度演算部２２２は、トラフィックバランスデータの周期性を類似度で評価する機能を有する。具体的には、トラフィックバランスデータ類似度演算部２２２は、トラフィックバランスデータ保存部２１５に記憶されている、最新のトラフィック量が取得された時間と、当該時間のトラフィックバランスデータとを読み出す。また、トラフィックバランスデータ類似度演算部２２２は、読み出した最新のトラフィック量が取得された時間を、１周期内の時間（１周期の先頭からの経過時間）に変換後の時間に対応するトラフィックバランスデータを、トラフィックバランスデータ保存部２１５から読み出す。例えば、最新のトラフィック量の取得された時間が４Ｔ＋ｔ１（ただし、Ｔは周期を表す。）であった場合、トラフィックバランスデータ類似度演算部２２２は、トラフィックバランスデータ保存部２１５に記憶されている時間ｔ１、Ｔ＋ｔ１、２Ｔ＋ｔ１、３Ｔ＋ｔ１のトラフィックバランスデータを読み出す。そして、トラフィックバランスデータ類似度演算部２２２は、図１に示す基準ベクトル１１（以降、基準トラフィックバランスデータと称すことがある。）を算出する。次に、トラフィックバランスデータ類似度演算部２２２は、トラフィックバランスデータと基準トラフィックバランスデータとを用いて、双方の類似度を算出する。なお、類似度の算出方法の詳細については、後記する。
異常判定部２２３は、トラフィックバランスデータが異常か否かを判定する機能を有する。具体的には、異常判定部２２３は、トラフィックバランスデータ類似度演算部２２２が算出した類似度を取得し、閾値保存部２１６から閾値を読み出す。次に、異常判定部２２３は、取得した類似度に基づいて、異常度を算出する。ここで、異常度は、類似度が高くなるに従って低くなる特性を有するように算出される。そして、異常判定部２２３は、算出した異常度と閾値とを比較し、異常度が閾値以上の場合、異常と判定して警報を送信し、異常度が閾値未満の場合、正常と判定する。異常判定部２２３は、判定結果（図１に示す比較結果１２）を判定結果保存部２１７に記憶する。
送受信部２３０は、入力受信部２３１、トラフィック情報受信部２３２、送信部２３３を備える。
入力受信部２３１は、ユーザによって操作される入力装置２４１（マウスやキーボード等）から入力される各種設定情報を受信し、記憶部２１０に記憶する機能を有する。
トラフィック情報受信部２３２は、ネットワーク２４２を構成する各装置からトラフィック量の情報を受信し、受信した情報を処理部２２０のトラフィックバランスデータ演算部２２１に出力する機能を有する。
送信部２３３は、異常判定部２２３によって生成された判定結果や警報を表示装置２４３に送信する機能を有する。
入力受信部２３１は、ユーザによって操作される入力装置２４１（マウスやキーボード等）から入力される各種設定情報を受信し、記憶部２１０に記憶する機能を有する。
トラフィック情報受信部２３２は、ネットワーク２４２を構成する各装置からトラフィック量の情報を受信し、受信した情報を処理部２２０のトラフィックバランスデータ演算部２２１に出力する機能を有する。
送信部２３３は、異常判定部２２３によって生成された判定結果や警報を表示装置２４３に送信する機能を有する。
入力装置２４１は、ユーザによって操作されるマウスやキーボード等の入力機器であり、入力された情報を出力する機能を有する。
ネットワーク２４２は、不図示の装置（ルータ等）によって構成されている。そして、当該装置には、ＭＩＢに基づいてトラフィック量が記憶されている。
表示装置２４３は、ディスプレイ等であり、処理部２２０から出力される情報を表示する機能や、警報を出力する機能を有する。
ネットワーク２４２は、不図示の装置（ルータ等）によって構成されている。そして、当該装置には、ＭＩＢに基づいてトラフィック量が記憶されている。
表示装置２４３は、ディスプレイ等であり、処理部２２０から出力される情報を表示する機能や、警報を出力する機能を有する。
（類似度）
次に、類似度の算出例として、２つの実施例について説明する。
（第１の算出例）
周期性を持つトラフィック変動の１周期の時間長をＴとする。ここで、図１（ａ）のグラフの横軸のように、時間を０から開始して累積していく場合、時間ｔ＝ｘにおけるトラフィックバランスデータはｂ（ｘ）と表し、基準トラフィックバランスデータをＢ（ｘ％％Ｔ）と表わす。ただし、ｘ％％Ｔは、ｘをＴで割ったときの余りとする。
次に、類似度の算出例として、２つの実施例について説明する。
（第１の算出例）
周期性を持つトラフィック変動の１周期の時間長をＴとする。ここで、図１（ａ）のグラフの横軸のように、時間を０から開始して累積していく場合、時間ｔ＝ｘにおけるトラフィックバランスデータはｂ（ｘ）と表し、基準トラフィックバランスデータをＢ（ｘ％％Ｔ）と表わす。ただし、ｘ％％Ｔは、ｘをＴで割ったときの余りとする。
第１の算出例では、コサイン類似度を用いて、トラフィックバランスデータｂ（ｘ）と基準トラフィックバランスデータＢ（ｘ％％Ｔ）との類似度を次式（１）のように定義する。
類似度＝ｂ（ｘ）・Ｂ（ｘ％％Ｔ）／（｜ｂ（ｘ）｜×｜Ｂ（ｘ％％Ｔ）｜）
・・式（１）
なお、「・」は、内積を表す。
・・式（１）
なお、「・」は、内積を表す。
なお、基準トラフィックバランスデータＢ（ｘ％％Ｔ）は、推定値を用いてもよく、また過去のｂ（ｘ）の値から算出してもよい。例えば、基準トラフィックバランスデータＢ（ｘ％％Ｔ）は、トラフィックバランスデータ保存部２１５に記憶されている、各周期内の先頭からの時間ｔ＝Ｔ×ｎ＋ｘ％％Ｔ（ｎ＝０，１，２，・・）における過去のｂ（ｔ）の値の平均値や中央値であってもよい。
（第２の算出例）
第２の算出例では、トラフィックバランスデータｂ（ｔ）が多変量正規分布に従うと仮定し、マハラノビス距離を異常度とするケースについて説明する。
まず、時間ｔ＝ｘにおけるトラフィックバランスデータｂ（ｘ）の１周期内の同時間の、例えば１日周期の場合には、時間が朝９時であれば朝９時の、多変量正規分布を推定する。ａｎ＝ｔ＋Ｔ×ｎ（ｎ＝０，１，２，・・）という時間の配列を考え、ｂ（ａｎ）の多変量正規分布を推定する。例えば、ａｎは、ｎ＝０であれば０日目の朝、ｎ＝１であれば１日目の朝ということを示す。忘却係数ｒを設定し、逐次的に更新させるようにすると、平均値μ(ｎ)と分散行列Ｃｉｊ(ｎ)とは、それぞれ式（２）、式（３）のように表せる。
第２の算出例では、トラフィックバランスデータｂ（ｔ）が多変量正規分布に従うと仮定し、マハラノビス距離を異常度とするケースについて説明する。
まず、時間ｔ＝ｘにおけるトラフィックバランスデータｂ（ｘ）の１周期内の同時間の、例えば１日周期の場合には、時間が朝９時であれば朝９時の、多変量正規分布を推定する。ａｎ＝ｔ＋Ｔ×ｎ（ｎ＝０，１，２，・・）という時間の配列を考え、ｂ（ａｎ）の多変量正規分布を推定する。例えば、ａｎは、ｎ＝０であれば０日目の朝、ｎ＝１であれば１日目の朝ということを示す。忘却係数ｒを設定し、逐次的に更新させるようにすると、平均値μ(ｎ)と分散行列Ｃｉｊ(ｎ)とは、それぞれ式（２）、式（３）のように表せる。
μ(ｎ)＝(１−ｒ)μ(ｎ−１)＋ｒｂ(ａｎ) ・・式（２）
Ｃｉｊ(ｎ)＝(１−ｒ)Ｃｉｊ(ｎ−１)
＋ｒ(ｂｉ(ａｎ)−μｉ(ｎ))(ｂｊ(ａｎ)−μｊ(ｎ)) ・・式（３）
ここで、ｉ，ｊは、ＩＦを識別する記号を表している。
Ｃｉｊ(ｎ)＝(１−ｒ)Ｃｉｊ(ｎ−１)
＋ｒ(ｂｉ(ａｎ)−μｉ(ｎ))(ｂｊ(ａｎ)−μｊ(ｎ)) ・・式（３）
ここで、ｉ，ｊは、ＩＦを識別する記号を表している。
そして、トラフィックバランスデータｂ（ａｎ）、平均値μ(ｎ)および分散行列Ｃｉｊを用いて、マハラノビス距離ＤＭ(ｂ(ａｎ))を算出し、ｂ（ａｎ）の異常度とする。なお、マハラノビス距離ＤＭ(ｂ(ａｎ))は、次式（４）のように表せる。
ＤＭ(ｂ(ａｎ))＝
｛ (μ(ｎ)−ｂ(ａｎ))ＴＣｉｊ(ｎ)−１(μ(ｎ)−ｂ(ａｎ)) ｝１／２
・・式（４）
ただし、Ｔは転置を表し、−１は逆行列を表す。
｛ (μ(ｎ)−ｂ(ａｎ))ＴＣｉｊ(ｎ)−１(μ(ｎ)−ｂ(ａｎ)) ｝１／２
・・式（４）
ただし、Ｔは転置を表し、−１は逆行列を表す。
式（４）に示すマハラノビス距離が大きいほど、異常度が高いと判定する。
（処理フロー）
次に、トラフィック異常検出装置２００の処理フロー例について、図３を用いて説明する（適宜、図２参照）。
ステップＳ３０１では、トラフィックバランスデータ演算部２２１は、所定の時間（一定時間の場合を含む。）ごとに、ネットワーク２４２を構成する１以上の装置から、トラフィック情報受信部２３２を介して、トラフィック量の情報を取得する。
次に、トラフィック異常検出装置２００の処理フロー例について、図３を用いて説明する（適宜、図２参照）。
ステップＳ３０１では、トラフィックバランスデータ演算部２２１は、所定の時間（一定時間の場合を含む。）ごとに、ネットワーク２４２を構成する１以上の装置から、トラフィック情報受信部２３２を介して、トラフィック量の情報を取得する。
ステップＳ３０２では、トラフィックバランスデータ演算部２２１は、トラフィック量の情報を、未受信のＩＦがあるか否かを判定する。具体的には、トラフィックバランスデータ演算部２２１は、記憶部２１０のＩＦグループ保存部２１１を参照して、記憶されているＩＦについてトラフィック量が取得されたか否かを判定する。
未受信のＩＦがあると判定した場合（ステップＳ３０２でＹｅｓ）、処理はステップＳ３０１へ戻り、未受信のＩＦがないと判定した場合（ステップＳ３０２でＮｏ）、処理はステップＳ３０３へ進む。
未受信のＩＦがあると判定した場合（ステップＳ３０２でＹｅｓ）、処理はステップＳ３０１へ戻り、未受信のＩＦがないと判定した場合（ステップＳ３０２でＮｏ）、処理はステップＳ３０３へ進む。
ステップＳ３０３では、トラフィックバランスデータ演算部２２１は、トラフィックバランスデータ（図１に示す現在ベクトル１０）を演算する。
ステップＳ３０４では、トラフィックバランスデータ演算部２２１は、演算したトラフィックバランスデータを記憶部２１０のトラフィックバランスデータ保存部２１５に記憶する。
ステップＳ３０５では、トラフィックバランスデータ演算部２２１は、記憶したトラフィックバランスデータが初回か否かを判定する。初回である場合には基準トラフィックバランスデータを演算できないため、この判定処理が実行される。
初回であると判定した場合（ステップＳ３０５でＹｅｓ）、処理は終了し、初回でないと判定した場合（ステップＳ３０５でＮｏ）、処理はステップＳ３０６へ進む。
初回であると判定した場合（ステップＳ３０５でＹｅｓ）、処理は終了し、初回でないと判定した場合（ステップＳ３０５でＮｏ）、処理はステップＳ３０６へ進む。
ステップＳ３０６では、トラフィックバランスデータ類似度演算部２２２は、記憶部２１０のトラフィックバランスデータ保存部２１５から過去のトラフィックバランスデータを読み出して、基準トラフィックバランスデータ（図１に示す基準ベクトル１０）を演算する。具体的には、第１の算出例では、式（１）で用いた基準トラフィックバランスデータＢ（ｘ％％Ｔ）が演算される。また、第２の算出例では、式（２）に示す平均値μ(ｎ)が演算される。
ステップＳ３０７では、トラフィックバランスデータ類似度演算部２２２は、トラフィックバランスデータと基準トラフィックバランスデータとの類似度を演算する。具体的には、第１の算出例では、式（１）に示す類似度が演算される。また、第２の算出例では、式（３）に示す分散行列が演算される。
ステップＳ３０８では、異常判定部２２３は、異常度を演算する。具体的には、第１の算出例では、異常度は、類似度が高くなるに従って低くなる特性を有するように演算される。また、第２の算出例では、異常度は、式（４）に示すマハラノビス距離ＤＭ(ｂ(ａｎ))が演算される。
ステップＳ３０９では、異常判定部２２３は、異常度が、記憶部２１０の閾値保存部２１６から読み出された閾値以上か否かを判定する。
閾値以上と判定した場合（ステップＳ３０９でＹｅｓ）、処理はステップＳ３１０へ進み、閾値未満と判定した場合（ステップＳ３０９でＮｏ）、処理は終了する。
閾値以上と判定した場合（ステップＳ３０９でＹｅｓ）、処理はステップＳ３１０へ進み、閾値未満と判定した場合（ステップＳ３０９でＮｏ）、処理は終了する。
ステップＳ３１０では、異常判定部２２３は、異常を示す警報を、送信部２３３を介して表示装置２４３に送信する。そして、処理は終了する。
以上、本実施形態のトラフィック異常検出装置２００は、トラフィックバランスデータ演算部２２１によって、ネットワーク通信で用いられる装置のインタフェースにおけるトラフィック量を所定の時間ごとに取得し、そのトラフィック量に比例する値を要素とするベクトル（トラフィックバランスデータ）を生成し、生成したベクトルを記憶部２１０に記憶する。また、トラフィックバランスデータ類似度演算部２２２が、記憶部２１０に記憶されているベクトルに基づいて基準ベクトル１１（基準トラフィックバランスデータ）を生成し、今回生成したベクトル（現在ベクトル１０）と基準ベクトル１１との類似度を演算する。そして、異常判定部２２３が、類似度に基づいて、トラフィックの異常の有無を判定する。このような構成を備えているので、トラフィック異常検出装置２００は、トラフィック量が時間変動する場合において、ＩＦのトラフィック量の異常を検出することができる。
１０ 現在ベクトル
１１ 基準ベクトル
２００ トラフィック異常検出装置
２１０ 記憶部
２２０ 処理部
２２１ トラフィックバランスデータ演算部
２２２ トラフィックバランスデータ類似度演算部
２２３ 異常判定部
２３０ 送受信部
２３１ 入力受信部
２３２ トラフィック情報受信部
２３３ 送信部
２４１ 入力装置
２４２ ネットワーク
２４３ 表示装置
Ｔ 周期
１１ 基準ベクトル
２００ トラフィック異常検出装置
２１０ 記憶部
２２０ 処理部
２２１ トラフィックバランスデータ演算部
２２２ トラフィックバランスデータ類似度演算部
２２３ 異常判定部
２３０ 送受信部
２３１ 入力受信部
２３２ トラフィック情報受信部
２３３ 送信部
２４１ 入力装置
２４２ ネットワーク
２４３ 表示装置
Ｔ 周期
Claims (4)
- ネットワーク通信で用いられる１以上の装置のインタフェースにおけるトラフィック量を所定の時間ごとに取得し、その取得したトラフィック量に比例する値を要素とするベクトルを生成し、前記生成したベクトルを記憶部に記憶するトラフィックバランスデータ演算部と、
前記記憶部に記憶されているベクトルに基づいて基準ベクトルを生成し、今回生成したベクトルと前記基準ベクトルとの類似度を演算するトラフィックバランスデータ類似度演算部と、
前記類似度に基づいて、トラフィックの異常の有無を判定する異常判定部とを備え、
前記トラフィックバランスデータ演算部は、トラフィック量の時間変動の周期が等しい前記インタフェースにおけるトラフィック量に基づいて、前記ベクトルを生成し、
前記トラフィックバランスデータ類似度演算部は、前記トラフィック量を前記インタフェースから取得し、その取得した時間を前記周期内の時間に変換し、その変換後の時間に対応する時間の前記記憶されているベクトルに基づいて、前記基準ベクトルを生成する
ことを特徴とするトラフィック異常検出装置。 - 前記トラフィックバランスデータ類似度演算部は、前記今回生成したベクトルと前記基準ベクトルとをコサイン類似度に適用して、類似度を演算する
ことを特徴とする請求項１に記載のトラフィック異常検出装置。 - 前記トラフィックバランスデータ類似度演算部は、前記生成したベクトルが多変量正規分布に従うと仮定して、前記生成したベクトルの平均値と分散行列とを生成し、前記今回生成したベクトル、当該平均値および当該分散行列を用いてマハラノビス距離を演算し、
前記異常判定部は、前記マハラノビス距離に基づいてトラフィックの異常の有無を判定する
ことを特徴とする請求項１に記載のトラフィック異常検出装置。 - コンピュータに、
ネットワーク通信で用いられる装置のインタフェースにおけるトラフィック量を所定の時間ごとに取得し、その取得したトラフィック量に比例する値を要素とするベクトルを生成し、前記生成したベクトルを記憶手段に記憶するトラフィックバランスデータ演算手順と、
前記記憶手段に記憶されているベクトルに基づいて基準ベクトルを生成し、今回生成したベクトルと前記基準ベクトルとの類似度を演算するトラフィックバランスデータ類似度演算手順と、
前記類似度に基づいて、トラフィックの異常の有無を判定する異常判定手順とを実行させ、
前記トラフィックバランスデータ演算手順において、トラフィック量の時間変動の周期が等しい前記インタフェースにおけるトラフィック量に基づいて、前記ベクトルを生成し、
前記トラフィックバランスデータ類似度演算手順において、前記トラフィック量を前記インタフェースから取得し、その取得した時間を前記周期内の時間に変換し、その変換後の時間に対応する時間の前記記憶されているベクトルに基づいて、前記基準ベクトルを生成する
ことを特徴とするプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014177882A JP6259379B2 (ja) | 2014-09-02 | 2014-09-02 | トラフィック異常検出装置およびブログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014177882A JP6259379B2 (ja) | 2014-09-02 | 2014-09-02 | トラフィック異常検出装置およびブログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2016052086A JP2016052086A (ja) | 2016-04-11 |
| JP6259379B2 true JP6259379B2 (ja) | 2018-01-10 |
Family
ID=55659286
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2014177882A Active JP6259379B2 (ja) | 2014-09-02 | 2014-09-02 | トラフィック異常検出装置およびブログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6259379B2 (ja) |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP5403698B2 (ja) * | 2010-11-02 | 2014-01-29 | 日本電信電話株式会社 | トラヒック判別装置及びトラヒック判別装置における閾値の更新方法 |
| JP5711675B2 (ja) * | 2012-01-18 | 2015-05-07 | 日本電信電話株式会社 | ネットワーク異常検出装置およびネットワーク異常検出方法 |
-
2014
- 2014-09-02 JP JP2014177882A patent/JP6259379B2/ja active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2016052086A (ja) | 2016-04-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5831558B2 (ja) | 運用管理装置、運用管理方法、及びプログラム | |
| JP6658540B2 (ja) | システム分析装置、システム分析方法およびプログラム | |
| WO2016147656A1 (ja) | 情報処理装置、情報処理方法、及び、記録媒体 | |
| JP6055285B2 (ja) | データ保全装置およびその方法、システム | |
| US20160217022A1 (en) | Anomaly detection using circumstance-specific detectors | |
| US10346756B2 (en) | Machine discovery and rapid agglomeration of similar states | |
| JP2018513457A5 (ja) | ||
| US11115295B2 (en) | Methods and systems for online monitoring using a variable data | |
| US20200034730A1 (en) | Machine Discovery of Aberrant Operating States | |
| JP2016173782A (ja) | 故障予測システム、故障予測方法、故障予測装置、学習装置、故障予測プログラム及び学習プログラム | |
| JP2018195929A (ja) | トラフィック管理装置、トラフィック管理方法およびプログラム | |
| US9524223B2 (en) | Performance metrics of a computer system | |
| JP4232828B2 (ja) | アプリケーション分類方法、ネットワーク異常検知方法、アプリケーション分類プログラム、ネットワーク異常検知プログラム、アプリケーション分類装置、ネットワーク異常検知装置 | |
| JP5711675B2 (ja) | ネットワーク異常検出装置およびネットワーク異常検出方法 | |
| JP2007173907A (ja) | 異常トラヒック検出方法及び装置 | |
| JP5971395B2 (ja) | システム分析装置、及び、システム分析方法 | |
| US10360249B2 (en) | System and method for creation and detection of process fingerprints for monitoring in a process plant | |
| JP6259379B2 (ja) | トラフィック異常検出装置およびブログラム | |
| JP4559500B2 (ja) | 異常トラヒック検出方法及び装置 | |
| JP6627258B2 (ja) | システムモデル生成支援装置、システムモデル生成支援方法、及び、プログラム | |
| CN110543965B (zh) | 基线预测方法、基线预测装置、电子设备和介质 | |
| JP2017224181A (ja) | 監視対象システムを監視する分析装置 | |
| JP6488868B2 (ja) | 表示処理方法、表示処理プログラム及び表示処理装置 | |
| JP5907225B2 (ja) | イベント推定装置、イベント推定方法、及び、イベント推定プログラム | |
| JP6592411B2 (ja) | データ分析装置及びデータ分析方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20160926 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20170821 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20170905 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20171101 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20171205 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20171208 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6259379 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |