KR100333083B1 - 공장 제어 네트워크 및 그 접속 시스템의 트래픽 모니터링 장치 - Google Patents

Abstract

본 발명은 복수의 피측정 시스템들이 제어 LAN상에 접속되어 있을 때 전송중인 트래픽을 실시간으로 수집하여 LAN 및 접속 시스템의 상태를 감시하고 분석하기 위한 트래픽 모니터링 장치를 제공하는데 목적이 있다.

상기의 목적을 달성하기 위해서 본 발명은 고속으로 전송되는 LAN상의 모든 트래픽을 실시간으로 수집하여 여러가지 통계자료를 구하는 트래픽 통계처리수단과, 제어 LAN상의 트래픽중에서 대부분을 차지하는 PLC와 DCS(Distribute Control System)와 DDC(Direct Digital Controller) 등의 제어기기들이 주기적으로 발생시키는 주기성 트래픽의 추출수단과, 주기성 트래픽을 이용하여 효율적인 모니터링을 하기 위한 자료구조와 패킷이 전달될 때마다 자료구조를 검색하여 피측정 시스템을 감시하는 수단과, 상기 감시수단에서 구한 피측정 시스템의 모니터링 결과 및 트래픽 특성치를 실시간으로 사용자와 인터페이스하여 문자 및 그래픽 등을 이용하여 모니터를 통해 표출시키는 묘사사용자 인터페이스(GUI)기능을 수행하는 트래픽 표출수단과, 사용자가 특정 패킷의 전송여부를 확인하기 위해 필터링 정보를 주었을 경우 해당 패킷의 내용부분을 보여주는 수단을 포함한다.

Description

공장 제어 네트워크 및 그 접속 시스템의 트래픽 모니터링 장치

본 발명은 복수의 피측정 시스템들이 제어 네트워크(LAN)상에 접속되어 있을 때 전송중인 트래픽을 실시간으로 수집하여 LAN 및 그 접속시스템의 상태를 감시하고 분석하기 위한 공장제어 네트워크 및 그 접속시스템의 트래픽 모니터링 장치에 관한 것이다.

일반적인 네트워크 모니터링 장치들은 범용 시스템으로써 네트워크상의 모든 트래픽을 수집하고 이를 통계적으로 분석하기 위한 여러 요소들로 구성된다.

패킷으로부터 얻을 수 있는 정보로는 발신지와 착신지 주소, 프로토콜 타입 및 패킷 길이 등이 있는데, 모니터링 장치는 하나의 패킷을 수신할 때마다 패킷 정보를 분류하고 분석하여 다양한 통계정보를 관리자에게 제공하게 된다.

그렇지만 이러한 정보들은 실제 설비들을 제어하는 네트워크 상에서 개개의 제어 시스템을 실시간으로 일시에 모니터링할 수가 없을 뿐만아니라 네트워크 상의 트래픽 상황도 실시간에서 파악하기 곤란하다는 문제점이 있다.

본 발명은 상기와 같은 문제점을 해결하기 위하여 제어시스템에서 발생시키는 트래픽을 분석하여 시스템의 장애 여부를 감시하고 네트워크의 장애를 조기에 찾아낼 수 있으며, 또한 원하는 트래픽을 선택적으로 수집 및 분석하는 것을 통하여 시스템 및 네트워크를 하나의 화면에서 동시에 모니터링 하는 것을 가능하게 하는 공장제어 네트워크 및 그 접속시스템의 트래픽 모니터링 장치를 제공하는데 그 목적이 있다.

도 1은 본 발명 장치의 개념도이다.

도 2는 본 발명 장치의 전체적인 시스템 블록 구성도이다.

도 3은 본 발명 장치의 통계처리부의 동작흐름 설명도이다.

도 4는 본 발명 장치에서 모니터링 기준시간이 트래픽 발생주기보다 큰 경우의 모니터링 주기 설명도이다.

도 5는 본 발명 장치에서 모니터링 기준시간이 트래픽 발생주기보다 짧은 경우의 모니터링 주기 설명도이다.

도 6은 본 발명 장치에서의 정규분포의 확률밀도 함수 그래프이다.

도 7은 본 발명 패킷 수집부의 예시적인 내부 블록구성을 나타낸다.

*도면의 주요부분에 대한 부호의 설명*

1 : 패킷수집부 2 : 프로세스간 통신처리부

3 : 통계처리부 4 : 트래픽 모니터링부

5 : 특정패킷수집부 6 ; 주소변환부

7 : 트래픽표출부 8 : 제어부

9 : 네트워크(LAN)접속장치 10 : 패킷필터

11 : 주기성 데이타메모리 12 : 트래픽 데이타메모리

13 : 로그파일부 14 : 데이타저장부

15 : 주소맵핑 테이블 16 : 주기성트래픽 입력부

20 : 트래픽모니터링장치 30,32 : 피측정장치

상기의 목적을 달성하기 위한 본 발명은 감시대상 시스템으로부터 패킷을 받아 도착시간에 관련된 패킷정보를 생성하는 패킷 필터와 네트워크 접속장치를 포함하는 패킷수집 수단과, 상기 패킷 수집 수단의 도착시간 패킷 정보를 각부분에 분산 공급하는 메시지 큐 메모리 수단과, 고속으로 전송되는 LAN 상의 모든 트래픽을 실시간으로 수집하여 여러 가지 통계자료를 구하는 트래픽 통계처리수단과, 제어 LAN 상의 트래픽중에서 대부분을 차지하는 PLC(Programmable Logic Controller)와 DDC(Direct Digital Controller) 등의 제어기기들이 주기적으로 발생시키는 주기성 트래픽의 추출수단과, 주기성 트래픽을 이용하여 효율적인 모니터링을 위해 자료구조와 패킷이 전달될 때마다 자료구조를 검색하여 피측정 시스템에 대해 모니터링을 실시하는 수단과, 상기 모니터링 수단에서 구한 피측정 시스템의 모니터링 결과 및 트래픽 특성치를 실시간으로 사용자와 인터페이스하여 문자 및 그래픽으로 모니터를 통해 표출시키는 묘사사용자 인터페이스(GUI)기능의 트래픽 표출수단과, 사용자가 특정 패킷의 전송여부를 확인하기 위해 필터링 정보를 주었을 경우 해당 패킷의 내용부분을 보여주는 수단을 포함한다.

첨부한 도면을 참조하여 본 발명의 실시예를 상세히 설명한다.

도 1은 본 발명이 적용되는 피측정 장치와 피측정 네트워크상에서 설치되는 트래픽 모니터링 장치의 접속관계 개념을 나타낸 것으로, 트래픽 모니터링 장치(20)는 피측정 시스템과 동일한 물리계층 구조를 갖고 패킷의 도착을 인지할 수 있는 기능을 이용하여 임의의 피측정 장치(30,32)간에 통신중인 트래픽 또는 다른 피측정장치 간의 트래픽을 LAN 접속장치(31,33)를 통하여 상기 모니터링 트래픽 장치(20)의 LAN 접속장치(9)에 접속되게 함으로서 네트워크 상에서 추출된 트래픽을 분석할 수 있도록 구성한 것을 보이고 있다.

도 2는 본 발명 장치의 트래픽 모니터링 장치(20)의 상세한 구성도로써, 여기에서 보이고 있는 바와 같이, 트래픽 모니터링 장치는 피측정 트래픽을 수집하는 패킷 수집부(1)와, 수집된 패킷을 상위 프로세스에게 전달하는 프로세스간 통신처리부(2)와, 수집된 트래픽을 통계처리하는 통계처리부(3)와, 피측정 시스템 및 네트워크에 대해 감시하는 기능의 트래픽 모니터링부(4)와, 특정 패킷만을 수집할 경우 처리하는 특정패킷 수집부(5)와, 이더넷 주소를 사용자가 정의하는 이름으로 변환하는 주소변환부(6)와, 처리된 트래픽 데이타를 표출하는 기능을 수행하는 트래픽 표출부(7)와, 트래픽 측정요구 및 전체 동작을 제어하는 제어부(8)를 구비한다.

상기 패킷수집부(1)는 트래픽 모니터링부(4)에서 요구하거나 특정패킷수집부 (5)에서 지정한 패킷을 지정된 개수 만큼 트래픽을 수집하여 버퍼에 저장한다.

패킷수집부(1)는 네트워크 접속장치(9)와 패킷필터(10)로 구성되고 있는데, 이를 구체적으로 살펴보면, 도 7로부터 참고되는 바와 같이 네트워크 접속장치(9)는 디바이스 드라이버(9-1)를 가지고 있으며 필터(10-1) 및 버퍼(10-2)를 포함하는 패킷필터(10)를 거쳐 프로세스간 통신처리부(2)에 접속되고 또한 프로토콜 스택(9-2)에 접속되어 구성된다.

이에 따라 상기 네트워크 접속장치(9)는 디바이스 드라이버(9-1)를 이용하여 패킷필터(10)로 복사하여 주고 이때 필터(10-1)에서는 복사할 데이타의 양을 줄이기 위해 패킷을 사용자가 지정한 길이로 절단하거나 특정패킷 수집부등에서 요구한 패킷만을 수집하고 여기에 커널에서 부여하는 현재시각과 절단 전후의 패킷길이가 포함된 헤더를 원래의 패킷에다 캡슐화하여 패킷필터 내의 버퍼(10-2)에 저장하게 된다.

프로세스간 통신처리부(2)는 상기의 패킷수집부(1)에서 저장된 데이타를 상위의 여러 응용처리부에서 사용하기 위하여 프로세스간 통신을 효율적으로 수행하고 메모리상의 커널 내부에서 링크된 리스트로 구성되는 메시지 큐 메모리(17)에 기록하고 이를 상위 계층인 트래픽 모니터링부(4)와 트래픽 통계처리부(3)와 특정 패킷수집부(5)에 도착시각 및 패킷정보로 제공한다.

메시지 큐의 길이와 한 큐당 바이트수는 사용자가 정할 수 있다.

트래픽 통계처리부(3)에서는 트래픽 모니터링부(4)의 요구에 의해 패킷수집부(1)가 패킷을 수집하면 프로세스간 통신처리부(2)에서 생성한 메시지 큐 메모리(17)로부터 발신지,착신지,패킷사이즈, 현재시각 정보가 포함된 패킷들을 수집하여 발신지,착신지,패킷사이스 순으로 정렬(쏘팅)한 후 트래픽데이타 메모리(12)에 임시화일로 저장하고, 다음으로 생성된 임시화일을 차례로 읽어가면서 통계량을 계산한다(도 3 참조). 이렇게 계산되어 파일에 저장되는 트래픽 데이타의 내용은 다음과 같다.

· 발신지 : 트래픽을 발생시킨 시스템의 주소

· 착신지 : 트래픽의 목적지 주소

· 패킷 사이즈 : 패킷의 크기

· 패킷수 : 발신지,착신지,패킷사이즈별 패킷수

· 인터어라이벌 타임(interarrival time) : 정렬한 패킷간의 도착간격 시간

· 분산 : 패킷간 인터어라이벌 타임의 분산값

· 표준편차 : 상기의 분산에 대한 평방근값

· 최소치 : 패킷간 인터어라이벌 타임의 최소값

· 최대치 : 패킷간 인터어라이벌 타임의 최대치

· 네트워크 부하 : 트래픽 수집기간동안 평균 네트워크 부하

위에서 구한 트래픽 데이터에서 수집한 데이타의 표준편차가 사용자가 지정한 값 이내이고 평균주기×(패킷수+1)이 실제 패킷수집기간 보다 크거나 같으면 주기성 트래픽으로 간주하고 이를 주기성 데이터 메모리(11)에 파일로 저장한다.

주기성 데이터 메모리(11)에 기존에 생성된 주기성 데이타가 있을 경우에는 관련 파일을 선택한후 트래픽 모니터링부(4)를 호출하여 모니터링을 실시한다.

트래픽 모니터링부(4)에서는 모니터링을 위한 기준정보 즉, 트래픽 폭주현상 판단을 위한 네트워크 부하 및 폭주 지속시간에 대한 임계치와 피측정시스템에 대한 비정상 작동여부를 판단하는 임계치, 모니터링 포인트값을 제어부(8)로부터 받고 피측정 시스템들을 빠르고 정확하게 감시하기 위해 메모리상에 자료구조를 생성한 후 주기성 데이터 메모리(11)를 읽어 각 패킷에 대한 정보를 논리적인 자료구조의 형태로 메모리에 채운다. 또한, 실시간으로 트래픽을 수집하기 위해 패킷수집부(1)에 지시정보를 보낸다.

프로세스간 통신처리부(2)에서는 패킷수집부(1)로부터 패킷을 받으면 패킷의 내용을 메시지 큐 메모리(17)에 수록하고 트래픽 모니터링부(4)에서는 이를 전달받아 자료구조내에 있는 해당패킷의 내용부분을 찾아 갱신하고 일정주기별로 자료구조를 검색하여 패킷의 주기적 도착여부를 체크함으로써 피측정시스템을 모니터링한다.

감시의 기본이 되는 자료구조는 패킷이 도착할 때마다 발신지,착신지,패킷사이즈로 구성된 모든 키를 검색하여 해당되는 키의 패킷수를 갱신해주기 위해 검색시간이 상수인 해싱(Hashing)알고리즘을 이용하고 일정기간(모니터링 포인트)별로 전체의 주기성 데이타를 차례대로 검색하면서 패킷의 주기적 도착여부를 확인하기 위해 연결 리스트(linked list)를 이용는 두가지 방식을 모니터링 특성상 혼합하여 사용한다.

이와같은 자료구조에 주기성 데이타 메모리(11)의 파일을 읽어 네트워크 평균부하와 각 키별로 인터어라이벌 타임에 대한 평균과 표준편차를 해쉬테이블과 연결 리스트에 채운다.

링크드 리스트로 구성된 자료구조는 전체 트래픽의 수와 네트워크 평균부하, 패킷을 가르키는 트래픽 자료구조와 각 패킷에 대한 내용을 구체적으로 언급하고있는 패킷 자료구조, 피측정 시스템의 내용을 관리하는 호스트 자료구조로 이루어져 있다.

앞의 패킷 자료구조는 발신지와 착신지에 대한 자세한 정보와 발신지 시스템에 대한 트래픽 과다 및 과소발생과 작동여부를 판단하기 위한 발신지 상태 표시정보, 모니터링 인터벌 타임을 가르키는 모니터링 포인터 및 모니터링 포인터가 경과한 회수, 해당 패킷의 평균 인터어라이벌 타임, 인터어라이벌 타임에 대한 표준편차, 가장 최근 패킷의 도착시간, 수집된 패킷의 개수, 경고회수, 패킷의 데이타 부분, 다른 패킷 자료구조를 가르키는 링크부분, 해쉬 테이블에서는 다음 패킷 링크부분으로 구성된다.

호스트 자료구조는 발신지와 착신지에 대한 사용자 부여 이름과 IP(Internet Protocol)어드레스와 시스템 하드웨어 어드레스로 구성된다.

특정 시스템에 대한 감시를 빠짐없이 효율적으로 수행하고 검색부하를 줄이기 위해 감시하는 시점은 다음의 2가지를 병행하여 사용한다. 그중 하나는 주기가 짧은 패킷에 대해서는 이 보다 주기가 큰 특정 기준시간(monitoring point)을 두어 주기적으로 감시하는 것이고, 다른 하나는 주기가 큰 패킷에 대해서는 패킷이 도착할 때 마다 주기내에 패킷이 도착했는지를 체크하는 것이다.

이를 자세히 설명하면 다음과 같다.

트래픽 발생주기가 기준시간보다 적을 경우에는 도 4에서 참고되는 바와 같이, 기준시간 동안 실제 발생해야 할 트래픽은 기준시간을 트래픽 발생주기로 나누어 소수점 미만을 제외한 값보다 크거나 같게 된다.

따라서 이와같은 방법을 이용하여 패킷의 주기적 발생상황을 감시하는데 경고 상황은 오동작을 하지 않으면서 가능한한 빨리 나타내는 것이 좋으므로, 첫 기준구간에서 트래픽의 누락이 발생하고 둘째 구간에서 트래픽 발생이 전혀없거나 또는 기준 구간별로 트래픽의 누락이 연속3회 발생하면 경고를 한다.

이와 같은 상황으로 인하여 경고가 발생되면 트래픽 모니터링부(4)는 다음과 같은 내용으로 로그화일(13)을 생성한다.

·발신지

·착신지

·패킷 사이즈

·패킷 도착시간

·발생이 안된 트래픽의 갯수.

경고가 발생한 시스템에서 정상적인 통계치의 패킷이 발생되면 경고를 해제하고 로그화일의 생성을 중단한다.

트래픽 발생주기가 기준시간보다 클 경우에는 도 5에서 참고되는 바와 같이, 기본적으로는 패킷이 도착할 때마다 패킷이 해당 주기내에 도착했는지를 체크한다.

그러나 특정의 현시점(예를들면 기준시간)에서 가장 최근 패킷의 도착시간을 빼서 자료 구조내 해당 패킷의 실제 트래픽 주기보다 작을 경우에는 경고상태를 체크하지 않는다.

패킷이 도착할 때마다 주기내의 도착여부를 결정하기 위하여 평균 인터어라이벌 타임을 비교하는 것이 아니라 산포의 특성을 이용한다. 즉, 데이타의 수가 어느정도 많아지면 대부분 정규분포를 이루는데, 도 6에서 보이고 있는 것처럼, 정규분포의 확률 밀도 함수를 보면 평균 μ에 대해 좌우 대칭이고 산포의 정도는 σ에 의해 결정되며 범위의 면적은 다음과 같이 나타나게 된다.

P[μ- σ<×<μ+ σ]=0.683

P[μ-2σ<×<μ+2σ]=0.954

P[μ-3σ<×<μ+3σ]=0.997

따라서 대부분의 데이타는

에 포함된다고 할수 있으므로 특정 패킷이 정상상태에서 생성한 주기성데이타 메모리(11)에서 자신의 평균주기

이내에 도착하면 주기내에 도착한 것으로 간주한다.

경고발생 및 로그파일의 생성은 트래픽 발생주기가 기준시간보다 적을 경우와 동일하다. 만일, 위에서 차이값이 주기보다 클 경우 그 차이 값을 해당주기로 나눈 값이 3이상 발생할 경우, 즉 주기성 트래픽이 3번이상 발생하지 않으면 경고를 발생시킨다.

트래픽 모니터링부(4)의 다른 기능은 현재의 네트워크 부하를 실시간으로 체크하여 네트워크의 상태를 감시하는 것이다.

센서나 시스템, 네트워크 케이블의 이상으로 트래픽이 폭주하는 상태가 발생하면 전체 네트워크의 부하증가로 통신장애가 발생하게된다. 이러한 상태가 발생하면 가급적 빠른 시간내에 이를 감지하여 해당기기를 찾아 제거하는 것이 필요하다.

트래픽의 폭주현상을 판단하는 기준은 정상상태에서의 네트워크 부하보다 임계값 이상의 트래픽이 임계기간 이상 계속되는 경우로 설정하며, 상기 임계값과 그 임계기간은 사용자가 네트워크 환경에 맞게 설정할 수 있다.

폭주현상이 발생되면 트래픽 모니터링부(4)는 트래픽 표출부(7)로 즉시 경고 신호를 보내고 트래픽 폭주시점부터의 모든 패킷에 대한 내용을 로그화일로 관리한다.

상기 로그화일의 내용은 발신지, 착신지, 패킷 사이즈, 센서ID, 패킷 도착시간으로 구성되며, 네트워크의 부하가 예전의 상태로 회복하면 트래픽 폭주현상을 해제한다.

트래픽 표출부(7)는 트래픽 모니터링부(4)와 특정패킷 수집부(5)에서 구한 여러 가지의 트래픽 특성 데이타중에서 발신지 및 착신지 하드웨어 주소는 주소(어드레스)매핑 테이블(15)에서 해당하는 시스템 이름으로 변환하고 패킷 사이즈나 데이타 부분은 그대로 사용자와 인터페이스시킴 으로서 그래픽 등을 이용하여 모니터를 통해 표출시키는 묘사 사용자 인터페이스(GUI:Graphic User Interface)기능을 수행한다.

특히, 트래픽 모니터링부(4)에서 처리한 정보를 주기성 시스템 리스트와 주기성 시스템중에서 비정상 상황이 발생하는 시스템에 대해 비정상인 시스템의 리스트를 실시간으로 한화면에 동시에 표시하고 각각의 비정상 시스템에 대한 특성 데이타를 상세히 나타내어 준다.

또한 모니터링이 경과한 시간과 모니터링 시작이후 지금까지 수신한 총 패킷수와 스트립 챠트를 이용한 네트워크 부하를 1초단위로 표시하여 준다.

특정패킷 수집부(5)는 제어부(8)로부터 불려졌을 때 피측정 데이타의 어드레스 정보를 패킷수집부(1)에 보내 패킷필터(10)에서 수신된 패킷의 헤더정보와 비교하여 동일한 경우 해당 패킷을 지정된 갯수 만큼 수집하여 트래픽 표출부(7)로 보내개 된다.

이때 수집되는 패킷은 발신지, 착신지, 패킷 사이즈 등의 패킷 헤더외에 데이타 부분도 포함한다. 만일, 특정 패킷을 지정하지 않으면 모든 패킷을 수집하게 된다.

주소변환부(6)는 패킷의 착신지, 발신지의 주소가 16진수로 구성된 시스템의 하드웨어 주소를 사용하므로 사용자가 확인하기 쉬운 이름으로 바꾸어 줄 수 있도록 주소변환 기능을 한다.

여기에서 생성되는 주소 맵핑테이블(15)에는 다음의 내용이 수록된다.

·공장이름 : 네트워크 및 시스템 설치 공장이름

·하드웨어 어드레스 : 16진수의 시스템 하드웨어 주소

·이름 : 사용자가 부여하는 시스템 이름

제어부(8)는 트래픽 수집요구 및 모니터링을 위해 주기성 트래픽 입력부(16)와 트래픽 모니터링부(4)와 특정패킷수집부(5)와 주소변환부(6)를 제어하는 기능을 수행한다.

모니터링을 실시하는 방법에 따라 피측정 시스템에 대한 주기성 데이타를 확보하고 있을 경우에는 주기성 트래픽 입력부(16)를 호출하고 주기성 트래픽에 대한 정보가 없을 경우에는 트래픽 모니터링부(4)를 호출하여 주기성 트래픽을 생성한후 이를 이용하여 모니터링을 수행하도록 한다.

특정 패킷만을 수집하고자 할 경우에는 특정패킷수집부(5)를 공장별 피측정 시스템의 이름을 입력 또는 수정시에는 주소변환부(6)를 제어하는 기능을 수행한다.

이상에서 설명한 바와 같은 본 발명은 네트워크로부터 트래픽을 수집하여 시스템 및 네트워크의 상태와 주기성 데이타를 이용하여 시스템의 상태를 실시간으로 모니터링 함으로써 PLC, DCS, DDC등의 제어기기와 상하간의 제어기기를 연결해주는 게이트 웨이, MMI(Man Machine Interface), 프로세스 컴퓨터등으로 구성되어 있는 공장제어 LAN등에 적용되어 네트워크 및 시스템 장애 발생시에 예상되는 비용손실을 최소화하고 시스템을 안정적으로 유지하고 관리할 수 있으며, 또한 이동형 컴퓨터에 적재하여 간편한 트래픽 측정장치로 활용할 수 있고 GUI등을 이용하여 트래픽 특성을 화면으로 표출시킬 수 있어 시스템의 감시 및 분석이 용이하게 되는 특유의 효과를 가져온다.

Claims (1)

1. LAN에 접속된 복수의 피측정 시스템에 접속되어 네트워크상에 전송중인 트래픽을 실시간으로 수집하여 처리하기 위한 모니터링 장치에 있어서, 감시대상 시스템으로부터 피측정 트래픽을 수집하는 패킷 수집부(1)와, 수집된 패킷을 상위 프로세스측에 전달하는 프로세스간 통신처리부(2)와, 수집된 트래픽을 통계처리하는 통계처리부(3)와, 피측정 시스템 및 네트워크에 대해 감시하는 기능의 트래픽 모니터링부(4)와, 특정 패킷만을 수집할 경우 처리하는 특정패킷 수집부(5)와, 이더넷 주소를 사용자가 정의하는 이름으로 변환하는 주소변환부(6)와, 처리된 트래픽 데이타를 표출하는 기능을 수행하는 트래픽 표출부(7)와, 트래픽 측정요구 및 전체 동작을 제어하는 제어부(8)와, 상기 패킷수집부의 도착시간 패킷정보를 통계처리부와 트래픽 모니터링부와 특정패킷수집부에 분산 공급하는 메시지 큐 메모리(17)를 포함하는 것을 특징으로 하는 공장제어 네트워크 및 그 접속 시스템의 트래픽 모니터링 장치.

Images