JP7347534B2 - ネットワーク監視装置、方法およびプログラム - Google Patents

Description

この発明の一態様は、ネットワーク装置から発生される障害イベントをもとにネットワークの障害発生要因となる箇所を推定するネットワーク監視装置、方法およびプログラムに関する。

近年、通信ネットワークには、ＩｏＴ（Internet of Things）等の進展に伴い、ゲートウェイやルータ、各種サーバ等の多数のネットワーク装置が接続されるようになっている。このため、ネットワーク装置等で障害が発生した場合に、その発生箇所を推定することは通信ネットワークを安定的に運用する上できわめて重要である。

そこで従来では、例えば複数のネットワーク装置から発生される多種多様な障害イベントの発生パターンを抽出して、この発生パターンをもとに障害発生要因箇所を判定するためのルールを作成し、以後発生した障害イベントの発生パターンを上記ルールと照合することで障害発生要因となる箇所を推定する技術が提案されている（特許文献１を参照）。

日本国特開２０１８－０２８７７８号公報

ところが、障害発生要因となる箇所を推定する従来の技術は、時系列上で発生する過去の単一の障害イベント情報をもとに障害発生要因となる箇所を推定するものとなっている。従って、例えばネットワーク装置がリンクダウン（Link Down）とリンクアップ（Link Up）を繰り返す、いわゆるフラッピングと呼ばれる事象が発生した場合には、Link Downのイベント情報のみにより障害が推定される。このため、その後Link Upして障害が回復しているにもかかわらず、ネットワーク障害として誤った推定が行われてしまう場合がある。

この発明は、上記事情に着目してなされたもので、フラッピング等のようにネットワーク装置の動作が不安定になる事象が発生した場合でも、高精度の障害推定を可能にする技術を提供しようとするものである。

この発明の一態様に係るネットワーク監視装置、方法またはプログラムは、ネットワークにおいて発生される複数のイベント情報を収集し、収集された前記複数のイベント情報の集合から照合対象となる複数のイベント情報の組合せを抽出し、抽出された前記複数のイベント情報の組合せを予め設定された組合せルールと照合することにより、抽出された前記複数のイベント情報の組合せが、同一のネットワーク装置において単位時間内に時間を置いて発生するリンクダウンとリンクアップとの組合せであるか否かを判定し、前記複数のイベント情報の組合せが、前記リンクダウンとリンクアップとの組合せであると判定された場合に、前記リンクダウンとリンクアップとの組合せを自然復旧を表す新たなイベント情報に変更するように構成されたものである。

この発明の一態様によれば、フラッピング等のようにネットワーク装置の動作が不安定になる事象が発生した場合でも、高精度の障害推定を可能にする技術を提供することができる。

図１は、この発明の一実施態様に係るネットワーク監視装置を備えるネットワークシステムの概略構成図である。 図２は、図１に示したネットワーク監視装置のハードウェア構成を示すブロック図である。 図３は、図１に示したネットワーク監視装置のソフトウェア構成を示すブロック図である。 図４は、図３に示したネットワーク監視装置によるイベント監視制御の処理手順と処理内容を示すフローチャートである。 図５は、ネットワークログの一例を示す図である。 図６Ａは、過去のイベント情報に新たなイベント情報を追加する場合の一例を示す図である。 図６Ｂは、過去のイベント情報を新たなイベント情報に置換する場合の一例を示す図である。 図７は、監視対象となるイベント情報の組み合わせの一例と、このイベント情報の組み合わせが検出された場合に生成される新たなイベント情報の一例を示す図である。

以下、図面を参照してこの発明に係わる実施形態を説明する。
［一実施形態］
（構成例）
（１）システム
図１は、この発明の一実施形態に係るネットワーク監視装置を備えるネットワークシステムの全体構成を示す図である。このネットワークシステムは、複数のネットワーク装置Ｄ１～Ｄｎを含むネットワークＮＷにおいて、ネットワーク監視装置ＳＶを設け、このネットワーク監視装置ＳＶにより上記複数のネットワーク装置Ｄ１～Ｄｎの障害を監視するようにしたものである。

ネットワーク装置Ｄ１～Ｄｎは、例えば、ゲートウェイやルータからなり、ＬＡＮ（Local Area Network）をインターネット等の上位ネットワーク（ＷＡＮ（World Wide Network）に接続する。なお、ネットワーク装置としては、上記したネットワーク間を接続する装置に限らず、ネットワーク内に設けられる中継装置やネットワークに接続されるサーバ装置等も含まれる。

（２）ネットワーク監視装置
図２および図３は、それぞれネットワーク監視装置ＳＶのハードウェア構成およびソフトウェア構成を示すブロック図である。
ネットワーク監視装置ＳＶは、例えばサーバコンピュータまたはパーソナルコンピュータコンピュータからなる。ネットワーク監視装置ＳＶは、中央処理ユニット（Central Processing Unit：ＣＰＵ）等のハードウェアプロセッサを有する制御部１を備え、この制御部１に対しバス６を介してプログラム記憶部２、データ記憶部３、入出力インタフェース（入出力Ｉ／Ｆ）４および通信インタフェース（通信Ｉ／Ｆ）５を接続したものとなっている。

プログラム記憶部２は、例えば、主記憶媒体としてＨＤＤ（Hard Disk Drive）またはＳＳＤ（Solid State Drive）等の随時書込みおよび読出しが可能な不揮発性メモリを使用したもので、その記憶領域にはＯＳ（Operating System）等のミドルウェアに加えて、この発明の一実施形態に係る各種処理を実行するプログラムが格納される。なお、記憶媒体は、上記ＨＤＤ又はＳＳＤとＲＯＭ（Read Only Memory）とを組み合わせて構成してもよい。

データ記憶部３は、例えば、ＨＤＤまたはＳＳＤとＲＡＭ（Random Access Memory）とを組み合わせたもので、記憶領域にはこの発明の一実施形態において使用される、組合せルール記憶部３１と、ネットワークログ記憶部３２とが設けられている。

組合せルール記憶部３１は、監視対象となる複数のイベント情報の組合せを、変更先となる新たなイベント情報に変更するための組合せルールを記憶する。組合せルールは、例えば、一つまたは複数のネットワーク装置Ｄ１～Ｄｎを監視対象とし、これらのネットワーク装置Ｄ１～Ｄｎにおいて予め設定された単位時間Ｔ内の異なる時刻または同時刻に発生される特定の複数のイベント情報の組合せを選択し、選択された上記複数のイベント情報の組合せに対し当該イベント情報の組合せの変更先となる新たなイベント情報を対応付けたものである。なお、上記複数のイベント情報の組合せには、イベント情報の内容と発生順序を表す情報が含まれる。

ネットワークログ記憶部３２は、上記複数のネットワーク装置Ｄ１～Ｄｎから収集された複数のイベント情報を、それぞれその発生時刻と対応付けて時系列に記憶する。イベント情報は、例えばネットワーク装置Ｄ１～Ｄｎの故障や誤動作等に伴う各種アラームや、装置のLink DownおよびLink Up等のような装置の動作状態の遷移を表す情報を含む。なお、以後これらのイベント情報の集合を、ネットワークログと称する。

入出力Ｉ／Ｆ４には、入出力デバイス７が接続される。入出力デバイス７は、例えばキーボード等の入力デバイス、データが記憶された記憶デバイス、および表示デバイスまたは印刷デバイス等の複数のマン・マシンインタフェースデバイスを含む。入出力Ｉ／Ｆ４は、ネットワーク管理者が作成した複数のイベント情報の組合せルールを、上記入力デバイスまたは記憶デバイスから取得して制御部１に渡す。また入出力Ｉ／Ｆ４は、制御部１から出力された表示データまたは印刷データをそれぞれ表示デバイスまたは印刷デバイスへ出力し、表示または印刷させる。

通信Ｉ／Ｆ５は、制御部１の制御の下、ネットワークＮＷを介して上記ネットワーク装置Ｄ１～Ｄｎからイベント情報を受信するもので、例えば有線ネットワーク用のインタフェースが用いられる。

制御部１は、この発明の一実施形態に係る処理機能として、組合せルール登録部１１と、イベント情報収集部１２と、イベント情報組合せ抽出部１３と、イベント情報組合せ照合部１４と、イベント情報変更部１５を備えている。これらの処理部１１～１５は、何れもプログラム記憶部２内に格納されたプログラムをハードウェアプロセッサに実行させることにより実現される。

組合せルール登録部１１は、ネットワーク管理者が作成したイベント情報の組合せルールを、キーボードまたは記憶媒体等の入出力デバイス７から入出力Ｉ／Ｆ４を介して受け取り、組合せルール記憶部３１に記憶させる処理を行う。

イベント情報収集部１２は、各ネットワーク装置Ｄ１～Ｄｎからそれぞれ送信される、障害に関するイベント情報を通信Ｉ／Ｆ５を介して受信し、受信された各イベント情報を、当該イベント情報に含まれるイベント発生時刻をもとに時系列にネットワークログ記憶部３２に記憶させる処理を行う。

イベント情報組合せ抽出部１３は、上記ネットワークログ記憶部３２に記憶された各イベント情報をもとに、予め設定された時間長を有する単位時間Ｔごとに、当該各期間Ｔ内において発生時刻が異なるまたは同時刻の複数のイベント情報の組合せを抽出する処理を行う。

イベント情報組合せ照合部１４は、上記イベント情報組合せ抽出部１３により生成されたイベント情報の複数の組合せを、組合せルール記憶部３１に記憶されている組合せルールに含まれる監視対象のイベント情報の組合せとそれぞれ照合する。そして、イベント情報の組合せと当該各イベント情報の発生順序が一致するか否かを判定する処理を行う。

イベント情報変更部１５は、上記イベント情報組合せ照合部１４により組合せルールと一致するイベント情報の組合せが検出された場合に、上記組合せルールに含まれる変更候補の新たなイベント情報を上記検出されたイベント情報の組合せに追加するか、または上記新たなイベント情報を上記検出されたイベント情報の組合せに置換する処理を行う。

（動作例）
次に、以上のように構成されたネットワーク監視装置の動作を説明する。
図４はネットワーク監視装置ＳＶの処理手順および処理内容を示すフローチャートである。
（１）組合せルールの登録
監視対象となるイベント情報の組合せルールの作成方法には、ネットワーク管理者が手動で作成し登録する方法と、ネットワーク監視装置ＳＶが自動作成し登録する方法とがある。

手動で作成する方法は、例えばネットワーク管理者が、各ネットワーク装置Ｄ１～Ｄｎから過去に発生されたイベント情報や自身の経験等に基づいて作成する。具体的には、ネットワーク管理者は、過去のイベント発生履歴を参照して、Link DownとLink Upを繰り返す「フラッピング」等の事象に対応するイベント情報の組合せを抽出し、抽出したイベント情報の組合せと、当該イベント情報の組合せの変更候補となる新たなイベント情報とからなる組合せルールを作成する。そして、ネットワーク管理者は、作成した上記組合せルールを、入出力デバイス７のキーボードまたは記憶媒体を用いてネットワーク監視装置ＳＶに登録する。

ネットワーク監視装置ＳＶは、組合せルール登録部１１の制御の下、ステップＳ１０において組合せルールの登録要求を監視している。この状態で、入出力デバイス７から登録要求が入力されると、組合せルール登録部１１は、ステップＳ１２において、上記入出力デバイス７から入力された組合せルールを表す情報を入出力Ｉ／Ｆ４を介して取得し、取得された組合せルールを表す情報を組合せルール記憶部３１に記憶させる。

一方、自動作成する方法は、例えばネットワーク監視装置ＳＶの制御部１が学習モデルを用いて機械学習を行うことにより、監視対象とすべき複数のイベント情報の組合せルールを作成する。例えば、ネットワーク管理者の推定および対処の事例を参考データとして用い、ネットワークＮＷにおける障害発生箇所の検知およびその対処により得られた複数のイベント情報とその原因との組合せをもとに機械学習を行って組合せルールを作成する。この結果、例えば「フラッピング」や「冗長系機器の両系故障」等の事象に対応するイベント情報の組合せと、当該組合せの変更候補となる新たなイベント情報とからなる組合せルールが作成される。作成された組合せルールを表す情報は、組合せルール登録部１１の制御の下で組合せルール記憶部３１に記憶される。

なお、この場合ネットワーク監視装置ＳＶは、例えば過去のイベント情報の発生履歴を学習モデルに入力して監視対象となる複数のイベント情報の組合せを検出してもよいし、ネットワークシステムの運用中に発生されるイベント情報を学習モデルに入力して監視対象となるイベント情報の組合せを検出するようにしてもよい。

（２）イベント情報の収集
以上のように監視対象となる障害イベントの組合せルールが登録された状態で、ネットワーク監視装置ＳＶは、イベント情報収集部１２の制御の下、ステップＳ１１においてイベント情報の発生を監視している。この状態で、ネットワーク装置Ｄ１～Ｄｎから障害に関するイベント情報が送られると、イベント情報収集部１２はステップＳ１３において上記イベント情報を通信Ｉ／Ｆ５を介して受信する。そして、受信された上記イベント情報を、当該イベント情報に含まれる障害の発生時刻を表す情報に従いイベント発生順にネットワークログ記憶部３２に記憶させる。

図５は、上記ネットワークログ記憶部３２に記憶されたイベント情報の一例を示すものである。図５では、ネットワーク装置Ｄ１において、時刻10:05～10:23に障害Ａ（Link Down）が発生し、その後時刻11:26～12:33に障害Ｂ（Link Up）が発生した場合を例示している。

（３）イベント組合せの抽出
上記ネットワークログ記憶部３２にイベント情報が記憶されると、ネットワーク監視装置ＳＶは、続いてイベント情報組合せ抽出部１３の制御の下、ステップＳ１４において、ネットワークログ記憶部３２に記憶されたネットワークログ、つまり複数のイベント情報の集合から、単位時間Ｔ内に発生した複数のイベント情報の組合せを抽出する。例えば、図５において単位時間Ｔを３時間とすると、イベント情報組合せ抽出部１３は、直近の12:33以前の３時間に発生されたイベント情報Ａ，Ｂを抽出し、このイベント情報Ａ，Ｂの組合せをイベント情報組合せ照合部１４に渡す。

（４）イベント情報組合せの照合
ネットワーク監視装置ＳＶは、次にイベント情報組合せ照合部１４の制御の下、ステップＳ１５において、抽出された上記イベント情報Ａ，Ｂの組合せを、組合せルール記憶部３１に記憶されている組合せルールと照合する。このとき、イベント情報の照合は発生順序が対応するもの同士で行われる。

なお、上記イベント情報の組合せが複数組ある場合には、このイベント情報の複数の組合せがそれぞれ組合せルールと照合される。さらに、組合せルールも複数ある場合には、上記イベント情報の複数の組合せが上記複数の組合せルールのすべてと照合される。

そして、イベント情報組合せ照合部１４は、抽出された上記イベント情報の組合せの中に、組合せルールに含まれる監視対象のイベント情報の組合せとその内容および発生順序が一致するものがあるか否かを、ステップＳ１６で判定する。そして、一致すると判定されたイベント情報の組合せがあった場合には、その結果をイベント情報変更部１５に通知する。なお、イベント情報の内容が一致してもその発生順序が逆の場合には、イベント情報組合せ照合部１４はイベント情報の組合せが組合せルールと一致したと判定しない。

（５）イベント情報の組合せの変更
上記イベント情報組合せ照合部１４から上記一致の判定結果が通知されると、ネットワーク監視装置ＳＶはイベント情報変更部１５の制御の下、先ずステップＳ１７において、上記組合せルール記憶部３１から、上記組合せルールに含まれる変更候補の新イベント情報を読み出す。イベント情報変更部１５は、次にステップＳ１８において、読み出された上記新イベント情報を、上記抽出されたイベント情報Ａ，Ｂの組合せに追加するか、または上記抽出されたイベント情報Ａ，Ｂの組合せを上記新イベント情報に置き換える。

図６Ａは、抽出されたイベント情報Ａ（Link Down）とイベント情報Ｂ（Link Up）との組合せに、上記変更候補の新イベント情報である「自然復旧」が追加された場合を例示している。

図６Ｂは、抽出された上記イベント情報Ａ（Link Down）とイベント情報Ｂ（Link Up）との組合せが、変更候補の新イベント情報「自然復旧」に置換された場合を例示している。

すなわち、同一のネットワーク装置において、単位時間Ｔ内でLink DownとLink Upが時間を置いて発生した場合には、イベント情報組合せ照合部１４は上記発生されたイベント情報の組合せが監視対象のイベント情報の組合せと一致する。このため、当該イベント情報の組合せに変更候補の新イベント情報を追加するか、または当該イベント情報の組合せを変更候補の新イベント情報に置き換える。そして、イベント情報変更部１５は、ネットワークログ記憶部３２に記憶されている対応するイベント情報の組合せを更新する。

図７は、上記イベント情報の組合せの他の変更例を示すものである。図７に示す例では、単位時間Ｔ内の時刻ｔ1 で発生されたイベント情報（device_a,log_x）と、同じ単位時間Ｔ内の時刻ｔ2 で発生されたイベント情報（device_b,log_y）との組合せが、新イベント情報（device_c,log_z）に置換される。

すなわち、異なる複数のネットワーク装置でそれぞれ発生したイベント情報の組合せが、組合せルールで定義されている監視対象のイベント情報の組合せと一致する場合も、新イベント情報に置換される。

（効果）
以上詳述したように一実施形態では、ネットワーク監視装置ＳＶにおいて、監視対象となる複数のイベント情報の組合せとその変更先となる新イベント情報とから構成される組合せルールを、組合せルール記憶部３１に事前に登録しておく。この状態でネットワーク装置からイベント情報を収集し、収集された複数のイベント情報の中から単位時間内に発生されたイベント情報の組合せを抽出して、これを上記組合せルールで定義されている監視対象のイベント情報の組合せと照合する。そして、イベント情報の内容および発生順序が一致した場合に、上記抽出されたイベント情報の組合せに上記組合せルールの新イベント情報を追加するか、または上記抽出されたイベント情報の組合せを新イベント情報に置換するようにしている。

従って、ネットワーク装置Ｄ１～Ｄｎにおいて、Link DownとLink Upが繰り返される「フラッピング」等の事象が発生した場合に、このときのイベント情報がそのまま障害イベントとしてネットワークログ記憶部３２に記憶されないようにすることができる。この結果、ネットワークログをもとに障害発生箇所を推移する際に、「フラッピング」等の影響を受けることなく、障害発生箇所を精度良く推定することが可能となる。

（他の実施形態）
（１）一実施形態では、ネットワーク監視装置ＳＶに組合せルール記憶部３１を設けた場合を例にとって説明した。しかし、組合せルール記憶部３１を例えばネットワーク管理者が使用する端末やデータベースサーバ等の他の装置に設け、ネットワーク監視装置ＳＶが上記他の装置から組合せルールを取得するようにしてもよい。

（２）一実施形態では、ネットワーク監視装置ＳＶをネットワーク装置Ｄ１～Ｄｎとは別に設けた場合を例にとって説明した。しかし、ネットワーク監視装置ＳＶが備えるこの発明に係る各機能を、ネットワーク装置Ｄ１～Ｄｎのいずれかまたは全てに設けるようにしてもよい。

（３）一実施形態では、ネットワーク監視装置ＳＶが、ネットワーク装置Ｄ１～Ｄｎからそれぞれイベント情報を収集する場合を例にとって説明した。しかし、ネットワークがネットワーク装置Ｄ１～Ｄｎから発生されるイベント情報を収集するサーバ装置を備えている場合、ネットワーク監視装置ＳＶがこのサーバ装置からイベント情報を取得するようにしてもよい。

（４）一実施形態では、変更候補となる新たなイベント情報を、対応する組合せルールに含めて記憶した場合を例にとって説明した。しかし、それに限らず、イベント情報組合せ照合部１４による照合結果に基づいて、組合せルールと一致したイベント情報の組合せに対し変更候補として適当なイベント情報を生成するようにしてもよい。

（５）その他、ネットワーク監視装置の構成や処理手順および処理内容、単位時間Ｔの長さ、ネットワークおよびネットワーク装置の種類、監視対象となる障害イベントの種類とその組合せ等については、この発明の要旨を逸脱しない範囲で種々に変形して実施することができる。

すなわち、この発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

ＳＶ…ネットワーク監視装置
Ｄ１～Ｄｎ…ネットワーク装置
ＮＷ…ネットワーク
１…制御部
２…プログラム記憶部
３…データ記憶部
４…入出力インタフェース（入出力Ｉ／Ｆ）
５…通信インタフェース（通信Ｉ／Ｆ）
６…バス
７…入出力デバイス
１１…組合せルール登録部
１２…イベント情報収集部
１３…イベント情報組合せ抽出部
１４…イベント情報組合せ照合部
１５…イベント情報変更部
３１…組合せルール記憶部
３２…ネットワークログ記憶部

Claims (5)

1. ネットワークにおいて発生される複数のイベント情報を収集する収集部と、
   収集された前記複数のイベント情報の集合から、照合対象となる複数のイベント情報の組合せを抽出する抽出部と、
   抽出された前記複数のイベント情報の組合せを、予め設定された組合せルールと照合し、抽出された前記複数のイベント情報およびそれらの発生順序が、前記組合せルールにより表される監視対象となる複数のイベント情報とそれらの発生順序と一致するか否かを判定する判定部と、
   前記判定部により一致すると判定された場合に、抽出された前記複数のイベント情報を新たなイベント情報に変更する変更部と
   を具備し、
   前記判定部は、抽出された前記複数のイベント情報の組合せが、同一のネットワーク装置において単位時間内に時間を置いて発生するリンクダウンとリンクアップとの組合せであるか否かを判定し、
   前記変更部は、前記複数のイベント情報の組合せが、前記リンクダウンとリンクアップとの組合せであると判定された場合に、前記リンクダウンとリンクアップとの組合せを自然復旧を表す新イベント情報に変更する
   ネットワーク監視装置。
2. 前記変更部は、前記複数のイベント情報の組合せが、前記リンクダウンとリンクアップとの組合せであると判定された場合に、前記リンクダウンとリンクアップとの組合せに前記自然復旧を表す新イベント情報を追加する
   請求項１に記載のネットワーク監視装置。
3. 前記変更部は、前記複数のイベント情報の組合せが、前記リンクダウンとリンクアップとの組合せであると判定された場合に、前記リンクダウンとリンクアップとの組合せを前記自然復旧を表す新イベント情報に置換する
   請求項１に記載のネットワーク監視装置。
4. プロセッサおよび記憶媒体を備える情報処理装置が実行するネットワーク監視方法であって、
   ネットワークにおいて発生される複数のイベント情報を収集する過程と、
   収集された前記複数のイベント情報の集合から複数のイベント情報の組合せを抽出する過程と、
   抽出された前記複数のイベント情報の組合せを、予め設定された組合せルールと照合し、抽出された前記複数のイベント情報およびそれらの発生順序が、前記組合せルールにより表される監視対象となる複数のイベント情報とそれらの発生順序と一致するか否かを判定する過程と、
   前記判定する過程において一致すると判定された場合に、抽出された前記複数のイベント情報を新たなイベント情報に変更する過程と
   を具備し、
   前記判定する過程は、抽出された前記複数のイベント情報の組合せが、同一のネットワーク装置において単位時間内に時間を置いて発生するリンクダウンとリンクアップとの組合せであるか否かを判定し、
   前記変更する過程は、前記複数のイベント情報の組合せが、前記リンクダウンとリンクアップとの組合せであると判定された場合に、前記リンクダウンとリンクアップとの組合せを自然復旧を表す新イベント情報に変更する
   ネットワーク監視方法。
5. 請求項１乃至３のいずれかに記載のネットワーク監視装置が具備する前記各部の処理を、前記ネットワーク監視装置が備えるプロセッサに実行させるプログラム。

Images