JP6577893B2 - 同期判定装置及び同期判定プログラム - Google Patents

Description

本発明は、ネットワークの監視装置に関する。例えば、管理対象のネットワーク間に存在する他社のネットワークのように、自社からは直接には監視していない機器群で構成されるネットワークの状態を監視する装置に関する。

ネットワーク状態の監視は、ネットワークを構成する機器のＭＩＢ（Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｂａｓｅ）情報を定期的に取得したり、あるいは計測用のトラフィックを流して、それらの結果を用いる。

特許文献１は、対向インタフェース間に所定の形式の「制御パケット」を発信し、その送受時刻を計測することで、ネットワーク間の遅延時間を推定する。特許文献１は、算出した遅延時間を遅延モデルとし、実トラフィックの遅延と比較することで、ネットワーク間の状態を判定する。

特許第３６９６８０６号公報

管理対象のネットワーク間に管理対象外のネットワークがある場合に、管理対象外のネットワーク内でのパケット廃棄を簡易に検知したい場合、特許文献１では、算出された遅延時間を元に、入出力のパケット数を比較することでパケット廃棄の推測がある程度は可能である。しかし、遅延時間は状況により異なり、遅延モデルによる判定が常に正しいとは限らないという課題がある。

本発明は、管理対象のネットワーク間に、管理対象外のネットワークがある場合に、管理対象外のネットワーク内でのパケット廃棄を簡易な構成で、正しく検知する手段の提供を目的とする。

この発明の同期判定装置は、
管理対象となっていない管理対象外ネットワークに向かって出力される出力パケットの時間経過に伴う累積値を示す出力パケット累積値と、
前記管理対象外ネットワークから出力されるパケットであって、他のネットワークに入力されるパケットである入力パケットの時間経過に伴う累積値を示す入力パケット累積値とを同じタイミングに設定されたそれぞれの定期的な取得時刻で取得し、
前回の取得時刻における出力パケット累積値に対する今回の取得時刻における出力パケット累積値の増分値を示す出力パケット増分値と、
前回の取得時刻における入力パケット累積値に対する今回の取得時刻における入力パケット累積値の増分値を示す入力パケット増分値と
を計算する計算部と、
今回の取得時刻の順に連続する複数の出力パケット増分値からなる出力パケット時系列データと、
今回の取得時刻の順に連続する複数の入力パケット増分値からなる入力パケット時系列データとを比較することにより、
前記管理対象外ネットワークへの前記出力パケットの出力状態と、前記管理対象外ネットワークから前記他のネットワークに入力される前記入力パケットの入力状態とが一致する同期状態が、いずれかの今回の取得時刻で発生しているかどうかを判定し、同期状態が発生していると判定した場合に、同期状態が発生した今回の取得時刻を同期時刻として抽出する同期判定部と
を備えることを特徴とする。

前記同期判定部は、
前記出力パケット時系列データと、前記入力パケット時系列データとのそれぞれに、値がゼロであり今回の取得時刻を同じくする増分値が存在するかどうかを確認し、存在する場合に、増分値がゼロである今回の取得時刻で前記同期状態が発生していると判定することを特徴とする。

前記同期判定部は、
前記出力パケット時系列データと、前記入力パケット時系列データとのそれぞれに、
今回の取得時刻を同じくする一つの増分値どうしが同じ値である増分値同一状態と、
連続する複数の同じ個数の増分値からなる組であって、連続する今回の取得時刻が組どうしで同じであり、複数の増分値の和が組どうしで等しい和同一状態と
のいずれかの状態である択一発生状態が、連続して２回以上存在するかどうかを確認し、
存在する場合に、連続して存在する前記択一発生状態のいずれかの今回の取得時刻で、前記同期状態が発生していると判定することを特徴とする。

前記同期判定装置は、さらに、
パケット廃棄を確認する確認時刻を挟む、前記確認時刻よりも以前の第１の同期時刻と前記確認時刻よりも以後の第２の同期時刻とを選択し、前記第２の同期時刻における前記出力パケット累積値から前記第１の同期時刻における前記出力パケット累積値を引いた値と、前記第２の同期時刻における前記入力パケット累積値から前記第１の同期時刻における前記入力パケット累積値を引いた値とを比較し、比較結果から、前記確認時刻におけるパケット廃棄の有無を検出するパケット廃棄検出部を備えることを特徴とする。

前記管理対象外ネットワークは、
第１のネットワークと、前記第１のネットワークと対向通信を行う前記他のネットワークである第２のネットワークとによって接続されることを特徴とする。

前記管理対象外ネットワークは、
前記他のネットワークである複数のネットワークによって接続される、広域ネットワークであることを特報とする。

前記出力パケット累積値は、
ユニキャストパケットと、マルチキャストパケットと、ブロードキャストパケットとの少なくもいずれかであり、
前記入力パケット累積値は、
前記出力パケット累積値として計測されたパケットと同じ種類のパケットであることを特徴とする。

この発明の同期判定プログラムは、
コンピュータに、
管理対象となっていない管理対象外ネットワークに向かって出力される出力パケットの時間経過に伴う累積値を示す出力パケット累積値と、
前記管理対象外ネットワークから出力されるパケットであって、他のネットワークに入力されるパケットである入力パケットの時間経過に伴う累積値を示す入力パケット累積値と
を同じタイミングに設定されたそれぞれの定期的な取得時刻で取得し、
前回の取得時刻における出力パケット累積値に対する今回の取得時刻における出力パケット累積値の増分値を示す出力パケット増分値と、
前回の取得時刻における入力パケット累積値に対する今回の取得時刻における入力パケット累積値の増分値を示す入力パケット増分値と
を計算する処理と、
今回の取得時刻の順に連続する複数の出力パケット増分値からなる出力パケット時系列データと、
今回の取得時刻の順に連続する複数の入力パケット増分値からなる入力パケット時系列データとを比較することにより、
前記管理対象外ネットワークへの前記出力パケットの出力状態と、前記管理対象外ネットワークから前記他のネットワークに入力される前記入力パケットの入力状態とが一致する同期状態が、いずれかの今回の取得時刻で発生しているかどうかを判定し、同期状態が発生していると判定した場合に、同期状態が発生した今回の取得時刻を同期時刻として抽出する処理と
を実行させることを特徴とする。

本発明のネットワーク監視装置によれば、管理対象外ネットワーク内におけるパケット廃棄を検知して、管理対象外ネットワーク内での異常を把握できる。

実施の形態１の図で、ネットワーク監視装置の構成図。 実施の形態１の図で、ネットワーク監視装置の動作を示すフローチャート。 実施の形態１の図で、トラフィックの計測結果テーブル１２ａを示す図。 実施の形態１の図で、同期判定方法１の同期判定を説明する図。 実施の形態１の図で、図４を表形式で説明する図。 実施の形態１の図で、同期情報テーブル１４ａを示す図。 実施の形態１の図で、同期判定方法２の同期判定を説明する図。 実施の形態１の図で、図７を表形式で説明する図。 実施の形態１の図で、広域ネットワークに適用する場合を説明する図。 実施の形態２の図で、ネットワーク監視装置のハードウェア構成を示す図。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１〜図９を参照して実施の形態１のネットワーク監視装置１０を説明する。ネットワーク監視装置１０は、管理対象のネットワーク間に管理対象外のネットワークがある場合に、管理対象外のネットワーク内でのパケット廃棄を検知する装置である。なお、ネットワーク監視装置１０は、同期判定装置９０である。
図１は、ネットワーク監視装置１０を含むネットワーク監視システム１００の構成を示す。図１は、対向通信を示す図である。図１に示す、ルータＲａと管理対象外ネットワークＸとの間の実線、及びルータＲｂと管理対象外ネットワークＸとの間の実線は、物理的な接続を示す。図１に示す、破線矢印は、データの取得、蓄積、参照のフローを示す。図１に示す、実線矢印は、処理のフローである。

ネットワーク監視装置１０は、パケット計測部１１、計測結果蓄積部１２、同期判定部１３、同期情報蓄積部１４、パケット廃棄検出部１５、状況提示部１６を備えている。パケット計測部１１は計算部９１である。
（１）パケット計測部１１は、管理対象外ネットワークＸに接続している管理対象機器のインタフェース（ネットワーク接続機器）のトラフィック情報を計測する。トラフィック情報については後述する。実施の形態１では、図１に示すようにパケット計測部１１は、ネットワーク接続機器であるルータＲａ，Ｒｂからパケットのトラフィック情報を取得する。
（２）計測結果蓄積部１２は、パケット計測部１１の計測結果を蓄積する。
（３）同期判定部１３は、パケット計測部１１の計測結果について、後述する同期判定方法１、同期判定方法２に基づき入出力パケットの同期状態を判定する。「同期状態」については後述する。
（４）同期情報蓄積部１４は、同期判定部１３の判定した同期判定結果が蓄積される。
（５）パケット廃棄検出部１５は、同期情報蓄積部１４の同期判定結果を用いて、管理対象外ネットワークＸ内でのパケット廃棄の有無を検出する。
（６）状況提示部１６は、管理対象外ネットワークＸにおける、パケット廃棄の発生有無を提示する。

（パケット計測部１１）
パケット計測部１１は、各種機器のＭＩＢ情報、その他、機器が持つトラフィック統計情報を定期的に取得する。それぞれの機器から取得するトラフィック量の単位は、機器の起動以来、入出力されたパケット数となる（「生データ」と呼ぶ）。また、パケット計測部１１は前回計測結果からの増分値（後述の出力パケット増分値、入力パケット増分値）を算出する。ただし、機器が持つカウンタの桁数は有限であるから、カウンタ値は機器最大値からオーバーフローして、再度ゼロからカウントアップする場合がある。その場合、パケット計測部１１は、増分値の算出の際には、オーバーフローの補正処理を合わせて有する。

（同期判定部１３）
同期判定部１３は、ネットワーク監視装置１０の特徴点である。同期判定部１３は、パケット計測部１１の計測結果に対し、同期判定方法１、同期判定方法２を実行する。なお、同期判定方法１、同期判定方法２については後述の動作の説明で詳しく述べる。

＜同期判定方法１＞
同期判定部１３は、以下の（ａ）または（ｂ）の状況が２回以上続く場合に、同期状態が発生したと判定する。つまり、時間軸に対して、（ａ）（ａ）、（ｂ）（ｂ）、（ａ）（ｂ）、（ｂ）（ａ）のいずれかの状態が発生した場合に、同期判定部１３は同期状態と判定する。
（ａ）ある計測タイミングにおいて、比較すべき出力トラフィックの増分値と、入力トラフィックの増分値が一致する場合である。
（ｂ）ある連続する複数の観測期間の、比較すべき出力トラフィックの増分値と、入力トラフィックの増分値のそれぞれの合計が一致する。

＜同期判定方法２＞
特殊ケースとしては、同期判定方法２として、同期判定部１３は、ある計測タイミングにおいて、比較すべき出力トラフィックの増分値と、入力トラフィックの増分値が、共に０（ゼロ）である場合に同期状態と判定する。この場合は、１回の計測のみで同期と判定できる。

（パケット廃棄検出部１５）
パケット廃棄検出部１５は、同期判定部１３の同期検出結果を受けて、同期時刻で挟まれた入出力パケット数を比較する。入出力パケット数に差異があれば、パケット廃棄検出部１５は管理対象外ネットワークＸ内でのパケット廃棄有と判定する。

（状況提示部１６）
状況提示部１６は、ユーザに対し、パケット廃棄の有無を提示する機能である。これは、パケット廃棄の有無をグラフ等で表示するのでも、メールやＳＮＭＰトラップ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）でユーザや他の監視装置に通知するものとしても良い。

計測結果蓄積部１２、同期情報蓄積部１４は、データ蓄積手段であり、データベースやファイルで実現される。

＊＊＊同期判定方法１の動作の説明＊＊＊
図２は、ネットワーク監視装置１０の動作を示すフローチャートである。図２を参照して、ネットワーク監視装置１０（同期判定部１３）が同期判定方法１を実行する場合を説明する。

ステップＳ１０において、パケット計測部１１は、管理対象ネットワークＡ、Ｂ内のルータＲａ，Ｒｂから、入出力トラフィック量（パケット数、あるいはバイト数。以下では、パケット数を採用したとして記述する）の情報を定期的に計測する。図１に示すように、ルータＲａがパケットの送信元であり、ルータＲｂがパケットの宛先である。

パケット計測部１１は、出力パケット累積値と、入力パケット累積値とを同じタイミングに設定されたそれぞれの定期的な取得時刻で取得する。出力パケット累積値の取得時刻が００：４５：２０（ゼロ時４５分２０秒）の設定であれば、出力パケット累積値の取得時刻も００：４５：２０である。
ここで「出力パケット累積値」とは、ルータＲａから管理対象外ネットワークＸに向かって出力されるすべての出力パケットの時間経過に伴う、その取得時刻における累積値を示す値である。
また「入力パケット累積値」とは、ルータＲｂに入力したパケットであって、管理対象ネットワークＢ（他のネットワーク）にルータＲｂを介して入力されるすべての入力パケットの時間経過に伴う、その取得時刻における累積値を示す値である。
ここで「出力パケット累積値」は、後述の、ユニキャストパケットと、マルチキャストパケットと、ブロードキャストパケットとの少なくもいずれかの統計情報であり、「入力パケット累積値」は、出力パケット累積値として計測されたパケットと同じ種類のパケットの統計情報である。

パケット計測部１１の使用する計測手段は、ＳＮＭＰでのＭＩＢ取得、リモートログインしてルータＲａが持つ出力パケット累積値，ルータＲｂが持つ入力パケット累積値を表示させて読み出す、あるいはトラフィック量情報開示における機器固有の機能を使用してもよい。出力パケット累積値及び入力パケット累積値は、ルータＲａ，Ｒｂのカウンタ値である。
ここで、既存監視システムの統計情報について解説する。ルータなどネットワーク機器に搭載されている統計情報（ＭＩＢ）のうち、インタフェーストラフィックに関するものとして、以下の（１）〜（４）がある。
（１）積算入力および積算出力バイト数
（２）積算入力および積算出力ユニキャストパケット数
（３）積算入力および積算出力マルチキャストパケット数
（４）積算入力および積算出力ブロードキャストパケット数
これら（１）〜（４）は単純な積算値であるため、一般的に、一定間隔で取得して前回取得した値との差分を取得時刻の測定結果としている。
なお（１）〜（４）のうち（２）のユニキャストパケット数は有効である。

パケット計測部１１は、前回の取得時刻における出力パケット累積値に対する今回の取得時刻における出力パケット累積値の増分値を示す出力パケット増分値を計算する。出力パケット増分値とは次のようである。出力パケット累積値の取得時刻が００：４５：２０であり、値が１１０、次の出力パケット累積値の取得時刻が００：４５：３０であり、値が１２０の場合、出力パケット増分値は「１２０−１１０＝１０」である。この場合、前回取得時刻は００：４５：２０であり、今回取得時刻は００：４５：３０である。また、００：４５：３０の次の出力パケット累積値の取得時刻が００：４５：４０であり、値が１２５の場合、出力パケット増分値は「１２５−１２０＝５」である。この場合、前回取得時刻は００：４５：３０であり、今回取得時刻は００：４５：４０である。

同様に、パケット計測部１１は、前回の取得時刻における入力パケット累積値に対する今回の取得時刻における入力パケット累積値の増分値を示す入力パケット増分値を計算する。入力パケット累積値の取得時刻が００：４５：２０であり、値が１１２、次の入力パケット累積値の取得時刻が００：４５：３０であり、値が１２２の場合、入力パケット増分値は「１２２−１１２＝１０」である。この場合、前回取得時刻は００：４５：２０であり、今回取得時刻は００：４５：３０である。また、００：４５：３０の次の入力パケット累積値の取得時刻が００：４５：４０であり、値が１２７の場合、入力パケット増分値は「１２７−１２２＝５」である。この場合、前回取得時刻は００：４５：３０であり、今回取得時刻は００：４５：４０である。

図３は、パケット計測部１１の計測した計測結果テーブル１２ａである。計測結果蓄積部１２は、計測結果テーブル１２ａのレコード（行）として、パケット計測部１１の計測結果を蓄積する。計測結果は、少なくとも、計測した時刻（今回の取得時刻）、対象の機器（ルータＲａ，Ｒｂの別）およびインタフェース、前回の計測結果からの増分値を含む。増分値は、ルータＲａであれば出力パケット増分値であり、ルータＲｂであれば入力パケット増分値である。

（同期判定部１３の動作）
ステップＳ２０において、同期判定部１３は同期状態の有無を判定する。以下では、同期判定部１３が同期判定方法１を用いて同期状態の有無を判定する場合の動作を説明する。

上記で述べた同期判定方法１（ａ）（ｂ）は次のようである。
（ａ）管理対象外ネットワークＸの両端で計測される入出力トラフィック量（増分値）において、隣接する二回の計測結果の増分値がそれぞれ一致すれば、両端機器のカウンタ値が同期できていると見なす。
（ｂ）ここで、「増分値がそれぞれ一致する」という条件は、連続する複数の計測結果それぞれの和が一致する場合でも良い。上記で述べたように、同期判定方法１において「同期状態」と判定されるには、時間的に連続して
（ａ）（ａ）、（ｂ）（ｂ）、（ａ）（ｂ）、（ｂ）（ａ）のいずれかが発生していると認められる場合である。同期とは、上記（ａ）（ａ）等が発生することであるが、これは、つまり「同期状態」とは、「管理対象外ネットワークＸへのルータＲａからの出力パケットのルータＲａにおけるカウント済のパケットと、管理対象外ネットワークＸからルータＲｂに入力される入力パケットのルータＲｂにおけるカウント済のパケットとが過不足なく一致している状態」である。より具体的に述べれば、カウント対象としたパケットが「過不足なく一致」とは、カウント対象のルータＲａにおける出力パケットと、カウント対象のルータＲｂにおける入力パケットとが同じものであることを意味する。

このように、同期判定部１３は、今回の取得時刻の順に連続する複数の出力パケット増分値からなる出力パケット時系列データと、今回の取得時刻の順に連続する複数の入力パケット増分値からなる入力パケット時系列データとを比較することにより、「同期状態」が、いずれかの今回の取得時刻で発生しているかどうかを判定する。同期判定部１３は、同期状態が発生していると判定した場合に、同期状態が発生した今回の取得時刻を同期時刻として抽出する。

図４は、同期判定部１３の処理における同期判定を説明するための模式図である。図４の上部は、管理対象外ネットワークＸの一端に接続されるルータＲａにおける出力パケットの出力状況と、パケット計測部１１による計測タイミングを示す時系列グラフの模式図である。図４の下部は、管理対象外ネットワークＸの他端に接続されるルータＲｂにおける入力パケットの入力状況と、パケット計測部１１による計測タイミングを示す時系列グラフの模式図である。図４において横軸は時間、縦軸はルータＲａから管理対象外ネットワークＸへ出力される出力パケット量を示す。四角の破線で囲んだ部分の三角形状のグラフの面積が時刻（Ｔ２）から時刻（Ｔ３）の間に管理対象外ネットワークＸへ出力された出力パケットを示す。つまり、この三角形状のグラフの面積が、「時刻（Ｔ３）の出力パケット累積値」−「時刻（Ｔ２）の出力パケット累積値」＝「時刻（Ｔ３）における出力パケット増分値」である。図４の下部についても同様である。

図４の時刻Ｔ１〜時刻Ｔ６を用いて、同期判定を説明する。「同期」の判定には、管理対象外ネットワークＸの両端での入力パケット増分値と、出力パケット増分値が、同じ値として計測される「今回の取得時刻」を用いる。このことを具体的に説明する。図４において、時刻Ｔ１では、まず、最初の計測データとして、最初の出力パケット累積値及び入力パケット累積値を得る。
時刻Ｔ２では、時刻Ｔ１に続く出力パケット累積値及び入力パケット累積値を得る。ここで、時刻Ｔ２の時刻における時刻Ｔ１に対する増分値は、入出力共に
“時刻Ｔ２の計測データ（累積値）”−“時刻Ｔ１の計測データ（累積値）”
として得られる。
しかし、時刻Ｔ１の計測タイミングのずれの期間にトラフィックが流れているため、一致は望めない。時刻Ｔ２の計測データは一致しない。ここで「計測タイミングのずれ」とは、次の意味である。パケット計測部１１は、出力パケット累積値及び入力パケット累積値を「同一のタイミング」（同一の取得時刻）で取得するように設定されているが、実際には完全同一にはならない。「計測タイミングのずれ」とはこの意味である。

時刻Ｔ３では、計測タイミングのずれの期間にトラフィックが流れておらず、時刻Ｔ２においても同様である。このため、時刻Ｔ２から時刻Ｔ３における出力パケット増分値と入力パケット増分値とは一致する。

時刻Ｔ４では、時刻Ｔ２と同様に計測タイミングのずれの期間にトラフィックが流れているため、時刻Ｔ３から時刻Ｔ４における、出力パケット増分値と入力パケット増分値とは一致しない可能性が大きい。

時刻Ｔ５では、時刻Ｔ２や時刻Ｔ３と同様に計測タイミングのずれの期間にトラフィックが流れていない。しかし、差分をとる時刻Ｔ４においてトラフィックが流れているため、時刻Ｔ４から時刻Ｔ５における、出力パケット増分値と入力パケット増分値とは一致しない可能性が大きい。

時刻Ｔ６では、計測タイミングのずれの期間にトラフィックが流れておらず、差分をとる時刻Ｔ５においても流れていない。このため、時刻Ｔ５から時刻Ｔ６における、出力パケット増分値と入力パケット増分値とは一致する。

ここで、時刻Ｔ３から時刻Ｔ５の入出力トラフィックの増分を考えると、時刻Ｔ３と時刻Ｔ５のずれの期間にトラフィックが流れていない。つまり、時刻Ｔ３から時刻Ｔ４、時刻Ｔ４から時刻Ｔ５の入出力トラフィックそれぞれの増分値の和は一致する。
「時刻Ｔ３から時刻Ｔ４の出力トラフィック＋時刻Ｔ４から時刻Ｔ５の出力トラフィック」
＝
「時刻Ｔ３から時刻Ｔ４入力トラフィック＋時刻Ｔ４から時刻Ｔ５の入力トラフィック」
である。
また、
「時刻Ｔ２から時刻Ｔ３の出力トラフィック＝時刻Ｔ２から時刻Ｔ３の入力トラフィック」
である。
この例では、時刻Ｔ３および時刻Ｔ５の測定結果をもって同期判定方法１の（ａ）（ｂ）の条件を満たしたと判断することができる。
時刻Ｔ３の測定結果は、増分値が入出力で一致するという条件（ａ）に相当し、
時刻Ｔ５の測定結果は、複数の連続する増分値の和が入出力でそれぞれ一致するという条件（ｂ）に相当する。
従って、同期判定部１３は、時刻Ｔ５で取得した入出力のカウンタ値（生データ）は同期が取れていると判定する。

なお、図４において、時刻Ｔ１ではなく時刻Ｔ３から計測が開始されたとしても、時刻Ｔ３から時刻Ｔ５の増分値、および時刻Ｔ５から時刻Ｔ６の増分値の計測によって、同期判定部１３は同期状態ありを判定する。つまり、同期判定部１３は連続する複数（図４の例では時刻Ｔ３〜Ｔ４、Ｔ４〜Ｔ５）の増分の和が一致するという条件（ｂ）と、１つの増分がそのまま一致するという条件（ａ）との、（ｂ）（ａ）が成立していることを検出し、同期状態が成立と判定する。

図５は、図４を表形式で説明する図である。図５において、「計測時刻」は、「今回の取得時刻」である。「２０１５１１２３ ００：４５：２０」はルータＲａの出力パケット増分値及びルータＲｂの入力パケット増分値を計算するための今回の取得時刻である。他の計測時間も同様である。出力パケット増分値の列は、今回の取得時刻の順に連続する複数の出力パケット増分値からなる出力パケット時系列データである。入力パケット増分値の列は、今回の取得時刻の順に連続する複数の入力パケット増分値からなる入力パケット時系列データである。「増分の一致」は、同期判定方法１の（ａ）の成立を示す。「連続する増分データの和の一致」は、同期判定方法１の（ｂ）の成立を示す。「同期判定可」における星印は、同期判定が可能なことを示す。つまり、同期判定方法１の（ａ）（ａ）、（ｂ）（ｂ）、（ａ）（ｂ）、（ｂ）（ａ）のいずれかが成立することを示す。

（同期判定条件（ａ）（ｂ））
０時４５分の４つの各時刻では、各時刻に示された時刻Ｔ１等は図４の時刻Ｔ１等に対応している。０時４５分３０秒の出力、入力の増分値が一致し、続く０時４５分４０秒から０時４５分５０秒までの出力、入力の増分値の和がそれぞれ３９５（２０２＋１９３＝２３０＋１６５）となって一致し同期判定条件（ａ）（ｂ）が成立し、同期判定が可能となる。

（同期判定条件（ａ）（ａ））
２時４９分のデータでは、２時４９分３０秒の出力、入力の増分値と、これに続く２時４９分４０秒の出力、入力の増分値がそれぞれ一致し同期判定条件（ａ）（ａ）が成立している。よって、同期判定部１３は同期判定が可能となる。

（同期判定条件（ｂ）（ｂ））
３時２３分のデータでは、３時２３分４０秒から３時２４分００秒までの出力、入力の増分値の和がそれぞれ４５４（１０９＋２８２＋６３、＝１１４＋２６６＋７４）となって一致し、続く３時２４分１０秒から３時２４分２０秒までの出力、入力の増分値の和がそれぞれ７２（３３＋３９、４３＋２９）となって一致し同期判定条件（ｂ）（ｂ）、同期判定が可能となる。

（同期判定条件（ｂ）（ａ））
図５では、同期判定条件（ｂ）（ａ）を示していないが、同期判定条件（ｂ）（ａ）でもよいのは、図４の時刻Ｔ３〜Ｔ５の入出力トラフィックの和の一致、時刻Ｔ５〜Ｔ６の入出力のトラフィックの値の一致で説明したとおりである。
図６は、同期情報テーブル１４ａを示す。同期情報テーブル１４ａのレコード（行）が同期情報である。同期判定部１３によって判定された同期結果は、同期情報として、同期判定部１３が、同期時刻、送信元（ルータＲａ），宛先（ルータＲｂ）の組合せで、同期情報蓄積部１４に蓄積する。ここで同期時刻とは「今回の取得時刻」である。

上記の説明では条件（ａ）あるいは条件（ｂ）が二回続く場合を説明したが、（ａ）あるいは（ｂ）が二回ではなく、三回連続して同期と判定するようにすることも可能である。二回よりも三回、あるいはさらに多い方が、同期判定の信頼性は増す。なおこの場合は同期判定に至った最後の「今回の取得時刻」を同期時刻とする。
同期判定部１３は、以下のように同期状態を判定してよい。同期判定部１３は、出力パケット時系列データと、入力パケット時系列データとのそれぞれに、「今回の取得時刻」を同じくする一つの増分値どうしが同じ値である「増分値同一状態」（上記（ａ）に該当）と、連続する複数の同じ個数の増分値からなる組であって、連続する「今回の取得時刻」が組どうしで同じであり、複数の増分値の和が組どうしで等しい「和同一状態」（上記（ｂ）に該当）とのいずれかの状態である択一発生状態が、連続して２回以上存在するかどうかを確認する。同期判定部１３は、存在する場合に、連続して存在する択一発生状態のいずれかの「今回の取得時刻」で、同期状態が発生していると判定してよい。なお上記の説明では、同期判定に至った最後の「今回の取得時刻」を同期時刻とするものと説明したが、これに限らず、連続して存在する択一発生状態のいずれかの「今回の取得時刻」を同期時刻としてよい。
これを具体的に記載すれば、同期判定部１３が、出力パケット時系列データと入力パケット時系列データとに、
「（ａ）または（ｂ）」，「（ａ）または（ｂ）」，「（ａ）または（ｂ）」・・・と択一発生状態が連続して続くことを検出する。この場合、出力パケット時系列データで「（ａ）」，「（ｂ）」，「（ｂ）」，・・・と続くのであれば、入力パケット時系列データも出力パケット時系列データと同じ並びで「（ａ）」，「（ｂ）」，「（ｂ）」，・・・と続く。

ステップＳ３０において、パケット廃棄検出部１５は、以下の動作によって管理対象外ネットワークＸにおけるパケットの廃棄の有無を検出する。パケット廃棄検出部１５は、障害連絡があった障害発生時刻（確認時刻）を取得した場合、障害発生時刻を挟む２つの同期時刻を同期情報蓄積部１４から選択する。２つの同期時刻のうち障害発生時刻よりも以前のものを第１の同期時刻、障害発生時刻よりも以後の時刻を第２の同期時刻とする。パケット廃棄検出部１５は、第２の同期時刻における出力パケット累積値から第１の同期時刻における出力パケット累積値を引いた値と、第２の同期時刻における入力パケット累積値から第１の同期時刻における入力パケット累積値を引いた値とを比較する。パケット廃棄検出部１５は、比較結果から、障害発生時刻におけるパケット廃棄の有無を検出する。具体的にはパケット廃棄検出部１５は、第２の同期時刻における出力パケット累積値から第１の同期時刻における出力パケット累積値を引いた値と、第２の同期時刻における入力パケット累積値から第１の同期時刻における入力パケット累積値を引いた値とを比較し、出力が大きい場合にパケット廃棄があったと判定する。

ステップＳ４０において、状況提示部１６が状況を提示する。このステップは、状況提示部１６が、パケット廃棄検出部１５によるパケット廃棄の検出結果をユーザに提示する。状況提示部１６の動作は以下のようである。
（１）ユーザが、所定の区間を選択して、その区間の廃棄有無をグラフや表で提示する。（２）ネットワーク構成図を表示し、そこに、各区間における廃棄有無を表示する。
（３）パケット廃棄検出部１５による判定結果を算出次第、ユーザにメールで通知したり、ＳＮＭＰトラップを別の監視システムに発信する。

次に、同期判定部１３が同期判定方法２を実行する場合を説明する。
これは、図２のステップＳ２０で同期判定部１３が同期判定方法２を実行する場合である。
図７は、同期判定方法２を説明する図である。
図８は、図７を表形式で説明する図である。図８は図５と同様であり、図８において、「計測時刻」は、「今回の取得時刻」であり、出力パケット増分値の列は、出力パケット時系列データであり、入力パケット増分値の列は、入力パケット時系列データである。また「増分の一致」の二重丸は、後述の「両方の増分値が０」の成立を示す。「同期判定」における星印は、同期判定方法２により同期判定が可能なことを示す。

図７、図８を参照して、同期判定部１３による同期判定方法２を説明する。

図７の時刻Ｔ１〜時刻Ｔ６を用いて、同期判定部１３による同期判定方法２を説明する。同期判定方法２では、ルータＲａ、ルータＲｂにおける出力、入力トラフィック量の増分値が、今回の取得時刻において、ともに０（ゼロ）として計測されるタイミングを用いる。

図７において、
（１）時刻Ｔ２では、ルータＲａの出力、ルータＲｂの入力の「両方の増分値が０」とはなっていない。よって同期としない。
（２）時刻Ｔ３では、ルータＲａの出力、ルータＲｂの入力の「両方の増分値が０」とはなっていない。よって同期としない。
（３）時刻Ｔ４では、ルータＲａの出力、ルータＲｂの入力の「両方の増分値が０」となっている。この今回の取得時刻を同期と判定する。
（４）時刻Ｔ５では、ルータＲａの出力、ルータＲｂの入力の「両方の増分値が０」とはなっていない。よって同期としない。
（５）時刻Ｔ６では、ルータＲａの出力、ルータＲｂの入力の「両方の増分値が０」とはなっていない。よって同期としない。

図７では、以上により、時刻Ｔ４の時刻を同期タイミングとして判定する。図７の具体的な増分値を図８によれば次のようである。図８の時刻Ｔ１等は図７の時刻Ｔ１等に対応する。時刻Ｔ３から時刻Ｔ４の増分値は入出力共に０であり、つまり今回の取得時刻Ｔ４において増分値は出力、入力ともに０であり、同期判定部１３は、この測定結果からカウンタが同期したと判定可能である。続く時刻Ｔ５の増分値が一致しているが、時刻Ｔ４における同期判定とは無関係である。

このように同期判定部１３は、出力パケット時系列データと、入力パケット時系列データとのそれぞれに、値がゼロであり今回の取得時刻を同じくする増分値が存在するかどうかを確認する。同期判定部１３は、存在する場合に、増分値がゼロである今回の取得時刻（４時４５分４０秒）で同期状態が発生していると判定する。

（同期判定方法１、同期判定方法２の適用）
以上では、同期判定方法１、同期判定方法２を説明したが、同期判定部１３は同期判定方法１のみを採用して同期判定してもよいし、同期判定方法２のみを採用して同期判定してもよいし、同期判定方法１と同期判定方法２との両方を採用して同期判定を行ってもよい。

上記に説明したネットワーク監視装置１０は、対向通信の場合に限らず、管理対象外ネットワークＸが、他のネットワークである複数のネットワークによって接続される、広域ネットワークである場合にも適用できる。
図９は、管理対象外ネットワークＸが広域ネットワークである場合を示す図である。拠点Ａ、Ｂ，Ｃのネットワークは管理対象である。管理対象外ネットワークＸが広域ネットワークである場合、同期判定部１３が同期判定方法１を用いる場合は、全拠点の入出力それぞれの合計値を用いる。つまり、図５の「ルータＲａ、出力パケット増分値」及び「ルータＲｂ、入力パケット増分値」の項目（列）には、それぞれ図９のルータＡ、ルータＢ、ルータＣの合計値（出力パケット累積値、入力パケット累積値）から計算された増分値が使用される。また同期判定方法２を使う場合は、同期判定部１３は、全拠点（ルータＡ、ルータＢ、ルータＣのすべて）において増分値がゼロである場合を以て、同期と判定する。

つまり、管理対象外ネットワークＸが広域ネットワークであっても対向通信のネットワークであっても、ネットワーク監視装置１０は同様の処理を実行する。すなわち、パケット計測部１１は、管理対象となっていない管理対象外ネットワークに向かって出力される出力パケット累積値と、管理対象外ネットワークから出力される入力パケット累積値とを同じタイミングに設定されたそれぞれの定期的な取得時刻で取得する。そして、パケット計測部１１は、出力パケット増分値と、入力パケット増分値とを計算する。同期判定部１３は、出力パケット時系列データと、入力パケット時系列データとを比較することにより、同期状態が、いずれかの今回の取得時刻で発生しているかどうかを判定する。同期判定部１３は、同期状態が発生していると判定した場合に、同期状態が発生した今回の取得時刻を同期時刻として抽出する。

（＊＊＊実施の形態１の効果の説明＊＊＊）
以上のように、ネットワーク監視装置１０は同期判定部１３を備えたので、管理対象外ネットワークＸにおけるパケット廃棄を、簡易な構成で外部から検知することができる。
また対向ネットワーク及び広域ネットワークの両方でパケットの廃棄を簡易な構成で、かつ、正確に検出できる。なお、管理対象外ネットワークとしては、他社ネットワークの例としては、広域イーサネット（登録商標）サービスやクラウドサービスなどがある。

なお、以上の実施の形態では、同期判定方法１の場合は、出力トラフィック、入力トラフィックでパケット数が同一、あるいは和が同一の場合を説明したが、「同一」とは、完全同一の他、例えば、対比する出力トラフィック、入力トラフィックとにおいて、一度に発生するパケット廃棄数の実績値などを元に、一方の値が他方の値の９５％以上の場合に、「同一」とみなすように設定してもよい。「９５％」の値は、運用するシステムにおいて適宜、設定するものとする。また、同期判定方法２の場合は、「トラフィックがゼロ」としたが、ある閾値を設定してこき、トラフィックがゼロでなくとも、その閾値以下（あるいは未満）の場合に、「トラフィックがゼロ」とみなすようにしてもよい。一度に発生するパケット廃棄数の、観測開始以降の実績値が１０００以上であるとき、１００程度までは誤差としてもまず問題ないからである。

実施の形態２．
実施の形態２は、ネットワーク監視装置１０のハードウェア構成を説明する。
図１０は、コンピュータであるネットワーク監視装置１０のハードウェア構成を示す図ある。

ネットワーク監視装置１０は、プロセッサ８１、メモリ８２、通信装置８３、ディスプレイ８４、補助記憶装置８５を備える。プロセッサ８１は、プログラムを実行する。補助記憶装置８５は、計測結果蓄積部１２、同期情報蓄積部１４等を実現する。メモリ８２には、図１に示すパケット計測部１１、同期判定部１３、パケット廃棄検出部１５、状況提示部１６等の機能を実現するプログラムが記憶されている。そして、プロセッサ８１がプログラムを実行してパケット計測部１１等の動作を実行する。通信装置８３は、パケット計測部１１、状況提示部１６のインタフェースとして機能する。プロセッサ８１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ８１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等である。図１０に示すメモリ８２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等である。また図１０に示す補助記憶装置８５は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等である。メモリ８２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ
Ｓｙｓｔｅｍ）も記憶されている。そして、ＯＳの少なくとも一部がプロセッサ８１により実行される。

パケット計測部１１等の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。また、「〜部」は、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）といった電子回路により実現されてもよい。なお、プロセッサ及び上記の電子回路を総称してプロセッシングサーキットリーともいう。

Ａ 管理対象ネットワーク、Ｂ 管理対象ネットワーク、Ｘ 管理対象外ネットワーク、Ｒａ ルータ、Ｒｂ ルータ、１０ ネットワーク監視装置、１１ パケット計測部、１２ 計測結果蓄積部、１２ａ 計測結果テーブル、１３ 同期判定部、１４ 同期情報蓄積部、１４ａ 同期情報テーブル、１５ パケット廃棄検出部、１６ 状況提示部、８１ プロセッサ、８２ メモリ、８３ 通信装置、８４ ディスプレイ、８５ 補助記憶装置、９０ 同期判定装置、９１ 計算部、１００ ネットワーク監視システム。

Claims (8)

1. 管理対象となっていない管理対象外ネットワークに向かって出力される出力パケットの時間経過に伴う累積値を示す出力パケット累積値と、
   前記管理対象外ネットワークから出力されるパケットであって、他のネットワークに入力されるパケットである入力パケットの時間経過に伴う累積値を示す入力パケット累積値と
   を同じタイミングに設定されたそれぞれの定期的な取得時刻で取得し、
   前回の取得時刻における出力パケット累積値に対する今回の取得時刻における出力パケット累積値の増分値を示す出力パケット増分値と、
   前回の取得時刻における入力パケット累積値に対する今回の取得時刻における入力パケット累積値の増分値を示す入力パケット増分値と
   を計算する計算部と、
   今回の取得時刻の順に連続する複数の出力パケット増分値からなる出力パケット時系列データと、
   今回の取得時刻の順に連続する複数の入力パケット増分値からなる入力パケット時系列データとを比較することにより、
   前記管理対象外ネットワークへの前記出力パケットの出力状態と、前記管理対象外ネットワークから前記他のネットワークに入力される前記入力パケットの入力状態とが一致する同期状態が、いずれかの今回の取得時刻で発生しているかどうかを判定し、同期状態が発生していると判定した場合に、同期状態が発生した今回の取得時刻を同期時刻として抽出する同期判定部と
   を備える同期判定装置。
2. 前記同期判定部は、
   前記出力パケット時系列データと、前記入力パケット時系列データとのそれぞれに、値がゼロであり今回の取得時刻を同じくする増分値が存在するかどうかを確認し、存在する場合に、増分値がゼロである今回の取得時刻で前記同期状態が発生していると判定する請求項１に記載の同期判定装置。
3. 前記同期判定部は、
   前記出力パケット時系列データと、前記入力パケット時系列データとのそれぞれに、
   今回の取得時刻を同じくする一つの増分値どうしが同じ値である増分値同一状態と、
   連続する複数の同じ個数の増分値からなる組であって、連続する今回の取得時刻が組どうしで同じであり、複数の増分値の和が組どうしで等しい和同一状態と
   のいずれかの状態である択一発生状態が、連続して２回以上存在するかどうかを確認し、
   存在する場合に、連続して存在する前記択一発生状態のいずれかの今回の取得時刻で、前記同期状態が発生していると判定する請求項１または請求項２に記載の同期判定装置。
4. 前記同期判定装置は、さらに、
   パケット廃棄を確認する確認時刻を挟む、前記確認時刻よりも以前の第１の同期時刻と前記確認時刻よりも以後の第２の同期時刻とを選択し、前記第２の同期時刻における前記出力パケット累積値から前記第１の同期時刻における前記出力パケット累積値を引いた値と、前記第２の同期時刻における前記入力パケット累積値から前記第１の同期時刻における前記入力パケット累積値を引いた値とを比較し、比較結果から、前記確認時刻におけるパケット廃棄の有無を検出するパケット廃棄検出部を備える請求項１から請求項３のいずれか一項に記載の同期判定装置。
5. 前記管理対象外ネットワークは、
   第１のネットワークと、前記第１のネットワークと対向通信を行う前記他のネットワークである第２のネットワークとによって接続される請求項１から請求項４のいずれか一項に記載の同期判定装置。
6. 前記管理対象外ネットワークは、
   前記他のネットワークである複数のネットワークによって接続される、広域ネットワークである請求項１から請求項４のいずれか一項に記載の同期判定装置。
7. 前記出力パケット累積値は、
   ユニキャストパケットと、マルチキャストパケットと、ブロードキャストパケットとの少なくもいずれかであり、
   前記入力パケット累積値は、
   前記出力パケット累積値として計測されたパケットと同じ種類のパケットである請求項１から請求項６のいずれか一項に記載の同期判定装置。
8. コンピュータに、
   管理対象となっていない管理対象外ネットワークに向かって出力される出力パケットの時間経過に伴う累積値を示す出力パケット累積値と、
   前記管理対象外ネットワークから出力されるパケットであって、他のネットワークに入力されるパケットである入力パケットの時間経過に伴う累積値を示す入力パケット累積値と
   を同じタイミングに設定されたそれぞれの定期的な取得時刻で取得し、
   前回の取得時刻における出力パケット累積値に対する今回の取得時刻における出力パケット累積値の増分値を示す出力パケット増分値と、
   前回の取得時刻における入力パケット累積値に対する今回の取得時刻における入力パケット累積値の増分値を示す入力パケット増分値と
   を計算する処理と、
   今回の取得時刻の順に連続する複数の出力パケット増分値からなる出力パケット時系列データと、
   今回の取得時刻の順に連続する複数の入力パケット増分値からなる入力パケット時系列データとを比較することにより、
   前記管理対象外ネットワークへの前記出力パケットの出力状態と、前記管理対象外ネットワークから前記他のネットワークに入力される前記入力パケットの入力状態とが一致する同期状態が、いずれかの今回の取得時刻で発生しているかどうかを判定し、同期状態が発生していると判定した場合に、同期状態が発生した今回の取得時刻を同期時刻として抽出する処理と
   を実行させるための同期判定プログラム。

Images