(57)【要約】【課題】伝搬遅延を考慮した適切なＲＴＴの閾値を決定することができる、ネットワーク障害検出システムおよびネットワーク障害検出装置を提供する。【解決手段】ネットワーク障害検出装置１００は、平常時（正常時）において取得した、各監視対象装置２００のＲＴＴに基づき、類似したＲＴＴ値となる監視対象装置２００をグルーピングする。そして、ネットワーク障害検出装置１００は、グループ毎にＲＴＴ値の分布を生成し、生成したＲＴＴ値の分布からそのグループのＲＴＴの閾値を決定する。【選択図】図１
2014068283.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを構成する複数の監視対象装置と、前記複数の監視対象装置に対し監視用メッセージを送信し、前記監視対象装置それぞれから受信した応答メッセージに基づくＲＴＴ（Round Trip Time）を用いて、前記ネットワークの障害を検出するネットワーク障害検出装置と、を備えるネットワーク障害検出システムであって、
前記ネットワーク障害検出装置は、
前記監視対象装置のＲＴＴのばらつきを解析するために使用する分布を示す分布情報と、前記分布におけるばらつき度合の所定値に対応するＲＴＴの値を、前記監視対象装置を異常と判定する閾値として決定する閾値決定ロジックと、正常時において前記複数の監視対象装置それぞれから受信した前記応答メッセージに基づく監視結果として、前記監視対象装置の識別情報および当該監視対象装置の前記ＲＴＴを示す試験結果情報と、を記憶する記憶部と、
前記複数の監視対象装置それぞれの前記正常時の試験結果情報を取得し、所定のグルーピング手法を用いて、前記ＲＴＴが類似する監視対象装置をグルーピングし、グルーピングにより生成された複数のグループ毎に、当該グループに属する各監視対象装置のＲＴＴの分布を前記分布情報に示される分布により生成するグルーピング処理部と、
前記グループ毎に生成された分布それぞれにおいて、前記閾値決定ロジックに基づき前記分布におけるばらつき度合の所定値に対応するＲＴＴの値を、前記グループ毎の閾値に決定する閾値決定部と、
を備えることを特徴とするネットワーク障害検出システム。
【請求項２】
前記ネットワーク障害検出装置の前記記憶部には、前記グルーピング処理部が生成した複数のグループそれぞれに対応付けて、前記閾値決定部が決定した当該グループの閾値を格納したグループ閾値情報と、前記複数の監視対象装置それぞれに対する監視実行時の前記試験結果情報と、がさらに記憶されており、
前記ネットワーク障害検出装置は、
前記複数の監視対象装置それぞれの前記監視実行時の試験結果情報を取得し、前記監視実行時の試験結果情報に含まれる前記監視対象装置の識別情報を用いて、前記グループ閾値情報を参照し、当該監視対象装置の属する前記グループの閾値を抽出し、前記抽出した前記グループの閾値を、前記監視実行時の試験結果情報に含まれる当該監視対象装置のＲＴＴが超えるか否かを判定し、判定結果を閾値判定結果情報として出力する閾値判定部を、さらに備えること
を特徴とする請求項１に記載のネットワーク障害検出システム。
【請求項３】
前記ネットワーク障害検出装置は、
前記閾値判定結果情報を参照し、前記グループ毎に前記判定結果を抽出し、当該グループの閾値を超えたＲＴＴをもつ監視対象装置の数を計算し、当該グループに属する監視対象装置の全体数に対する当該数の割合を計算し、前記グループ毎の前記計算した割合を示す閾値超過原因情報を出力する閾値超過原因判別部を、さらに備えること
を特徴とする請求項２に記載のネットワーク障害検出システム。
【請求項４】
前記閾値超過原因判別部は、
前記計算した割合が所定の割合を超えるか否かを前記グループ毎に判別し、前記所定の割合を超える場合に、ネットワーク異常を示す警告情報を出力すること
を特徴とする請求項３に記載のネットワーク障害検出システム。
【請求項５】
ネットワークを構成する複数の監視対象装置と、前記複数の監視対象装置に対し監視用メッセージを送信し、前記監視対象装置それぞれから受信した応答メッセージに基づくＲＴＴ（Round Trip Time）を用いて、前記ネットワークの障害を検出するネットワーク障害検出装置と、を備えるネットワーク障害検出システムの前記ネットワーク障害検知装置であって、
前記監視対象装置のＲＴＴのばらつきを解析するために使用する分布を示す分布情報と、前記分布におけるばらつき度合の所定値に対応するＲＴＴの値を、前記監視対象装置を異常と判定する閾値として決定する閾値決定ロジックと、正常時において前記複数の監視対象装置それぞれから受信した前記応答メッセージに基づく監視結果として、前記監視対象装置の識別情報および当該監視対象装置の前記ＲＴＴを示す試験結果情報と、を記憶する記憶部と、
前記複数の監視対象装置それぞれの前記正常時の試験結果情報を取得し、所定のグルーピング手法を用いて、前記ＲＴＴが類似する監視対象装置をグルーピングし、グルーピングにより生成された複数のグループ毎に、当該グループに属する各監視対象装置のＲＴＴの分布を前記分布情報に示される分布により生成するグルーピング処理部と、
前記グループ毎に生成された分布それぞれにおいて、前記閾値決定ロジックに基づき前記分布におけるばらつき度合の所定値に対応するＲＴＴの値を、前記グループ毎の閾値に決定する閾値決定部と、
を備えることを特徴とするネットワーク障害検出装置。
【請求項６】
前記記憶部には、前記グルーピング処理部が生成した複数のグループそれぞれに対応付けて、前記閾値決定部が決定した当該グループの閾値を格納したグループ閾値情報と、前記複数の監視対象装置それぞれに対する監視実行時の前記試験結果情報と、がさらに記憶されており、
前記複数の監視対象装置それぞれの前記監視実行時の試験結果情報を取得し、前記監視実行時の試験結果情報に含まれる前記監視対象装置の識別情報を用いて、前記グループ閾値情報を参照し、当該監視対象装置の属する前記グループの閾値を抽出し、前記抽出した前記グループの閾値を、前記監視実行時の試験結果情報に含まれる当該監視対象装置のＲＴＴが超えるか否かを判定し、判定結果を閾値判定結果情報として出力する閾値判定部を、さらに備えること
を特徴とする請求項５に記載のネットワーク障害検出装置。
【請求項７】
前記閾値判定結果情報を参照し、前記グループ毎に前記判定結果を抽出し、当該グループの閾値を超えたＲＴＴをもつ監視対象装置の数を計算し、当該グループに属する監視対象装置の全体数に対する当該数の割合を計算し、前記グループ毎の前記計算した割合を示す閾値超過原因情報を出力する閾値超過原因判別部を、さらに備えること
を特徴とする請求項６に記載のネットワーク障害検出装置。
【請求項８】
前記閾値超過原因判別部は、
前記計算した割合が所定の割合を超えるか否かを前記グループ毎に判別し、前記所定の割合を超える場合に、ネットワーク異常を示す警告情報を出力すること
を特徴とする請求項７に記載のネットワーク障害検出装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに発生する障害を検出する、ネットワーク障害検出システムおよびネットワーク障害検出装置に関する。
【背景技術】
【０００２】
ネットワークの監視において、監視拠点（監視端末）から監視対象装置に監視用メッセージを送り、その応答の有無や応答内容、応答に要する時間（ＲＴＴ：Round Trip Time）等から、装置の正常、異常を判定する手法が一般的に用いられている（非特許文献１、非特許文献２参照）。
【０００３】
また、この応答に要する時間（ＲＴＴ）は、システムの状態評価の一般的な指標として用いられている。例えば、システム負荷が増大等している場合は、外部から送信されたメッセージへの応答処理が遅延し応答時間が増大する。そこで、平常時の応答時間を記憶しておき、現時点の応答時間と平常時の応答時間の乖離度を監視することにより、システムの負荷増大が検知可能となる。乖離度の監視については、所定の閾値を予め設定しておき、この閾値の超過を検出する方法が用いられる場合が多い（例えば、非特許文献３参照）。
【０００４】
図７は、従来のＲＴＴを用いた、監視対象装置２００の正常、異常を判定する手法の例を示す図である。
図７（ａ）に示すように、正常時において、監視端末１０は、送信した監視用メッセージ（例えば、ｐｉｎｇ等）に対する応答を、監視対象装置２００から所定の閾値以下の時間（ＲＴＴ値）で受信する。一方、図７（ｂ）に示すように、監視対象装置２００が負荷増大等により応答に時間を要すると、監視端末１０が受信する応答のＲＴＴ値が増大し、所定の閾値を超過する。これにより、監視端末１０は、監視対象装置２００に異常が発生したと判定する。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】“INTERNET CONTROL MESSAGE PROTOCOL”,[online], September 1981, IETF RFC792, ［平成２４年９月７日検索］,インターネット<URL:http://www.ietf.org/rfc/rfc792.txt>
【非特許文献２】“An Architecture for Describing Simple Network Management Protocol (SNMP) Management Frameworks”,[online], December 2002, IETF RFC3411, ［平成２４年９月７日検索］,インターネット<URL:http://www.ietf.org/rfc/rfc3411.txt>
【非特許文献３】「NetKids iMark V3 Ping版」，［online］，株式会社アイ・エス・ティ，［平成２４年９月７日検索］，インターネット<URL:http://www.istinc.co.jp/product/net/NKI3Ping_pre120201.pdf>
【発明の概要】
【発明が解決しようとする課題】
【０００６】
監視用メッセージにおけるＲＴＴは、監視対象装置のメッセージ処理時間と、監視拠点・監視対象装置間の伝搬遅延との合計値に相当する。１監視拠点から広範囲のネットワークを監視する場合は、監視拠点・監視対象装置間の伝搬遅延が監視対象装置によって、大幅に異なる場合がある。このとき、ＲＴＴの閾値をネットワーク全体で１つのみとすると、監視拠点に近い装置は負荷が大きく増大してメッセージ処理時間が大幅に伸びても閾値を超過しない一方で、監視拠点から遠い装置は、少しの負荷増大でも閾値を超過するなど、監視対象によって異なる事象が検出される問題が起こる。
【０００７】
図８に示すように、監視端末１０が、至近地の監視対象装置２００（２１０）と、遠隔地の監視対象装置２００（２２０）の正常、異常の判定を行う場合において、ＲＴＴの閾値が１つであり、至近地の監視対象装置２００（２１０）と、遠隔地の監視対象装置２００（２２０）とが、同じＣＰＵ（Central Processing Unit）やメモリ等の性能を持ち、同じプログラムで同一の処理を実行していたとする。この場合において、至近地の監視対象装置２００（２１０）では、正常であるときのＲＴＴ値が小さくなるため、閾値に対してマージンが大きく、重大異常が発生してもＲＴＴ値が閾値を超過せず、異常を検出しない場合がある。一方、遠隔地の監視対象装置２００（２２０）では、正常であるときのＲＴＴ値が大きくなり、閾値に対してマージンが小さいため、軽微な異常でもＲＴＴ値が閾値を超過し、異常と判定してしまう場合がある。よって、至近地の監視対象装置２００（２１０）と遠隔地の監視対象装置２００（２２０）とで、たとえ、同じ異常が発生していたとしても、正常、異常の判定において異なる結果となることが起こり得る。
【０００８】
また、ＲＴＴの増大については、監視対象装置の負荷増大のほか、ネットワークの経路変更等の異常（以下、「ネットワーク異常」という。）が原因となることがある。このネットワーク異常は、例えば、ネットワーク内の装置の故障・点検等に伴う経路変更や、中継装置等の処理負荷の増大に伴う遅延等がある。しかしながら、従来のＲＴＴによる監視手法では、ＲＴＴ値の増大が、監視対象装置の負荷増大等に起因するものか、ネットワーク異常に起因するものか、を区別することができない。
【０００９】
図９（ａ）は、監視対象装置２００の負荷増大等に起因し、応答処理に時間がかかったため、ＲＴＴ値が所定の閾値を超えた例を示している。一方、図９（ｂ）は、ネットワーク異常に起因し、監視用メッセージが監視端末１０と監視対象装置２００との間での送信に正常時に比べ遅延が発生したため、ＲＴＴ値が所定の閾値を超えた例を示している。ここでは、両者ともＲＴＴ値が所定の閾値を超えており、異常が発生していることは判定できるが、このような監視端末１０から１つの監視対象装置２００毎にＲＴＴを監視する手法では、その異常の原因について、監視対象装置２００の負荷増大等に起因するものか、ネットワーク異常に起因するものなのかを区別することはできなかった。
【００１０】
このような背景に鑑みて本発明がなされたのであり、本発明は、伝搬遅延を考慮した適切なＲＴＴの閾値を設定することができる、ネットワーク障害検出システムおよびネットワーク障害検出装置を提供することを課題とする。
【課題を解決するための手段】
【００１１】
前記した課題を解決するため、請求項１に記載の発明は、ネットワークを構成する複数の監視対象装置と、前記複数の監視対象装置に対し監視用メッセージを送信し、前記監視対象装置それぞれから受信した応答メッセージに基づくＲＴＴ（Round Trip Time）を用いて、前記ネットワークの障害を検出するネットワーク障害検出装置と、を備えるネットワーク障害検出システムであって、前記ネットワーク障害検出装置が、前記監視対象装置のＲＴＴのばらつきを解析するために使用する分布を示す分布情報と、前記分布におけるばらつき度合の所定値に対応するＲＴＴの値を、前記監視対象装置を異常と判定する閾値として決定する閾値決定ロジックと、正常時において前記複数の監視対象装置それぞれから受信した前記応答メッセージに基づく監視結果として、前記監視対象装置の識別情報および当該監視対象装置の前記ＲＴＴを示す試験結果情報と、を記憶する記憶部と、前記複数の監視対象装置それぞれの前記正常時の試験結果情報を取得し、所定のグルーピング手法を用いて、前記ＲＴＴが類似する監視対象装置をグルーピングし、グルーピングにより生成された複数のグループ毎に、当該グループに属する各監視対象装置のＲＴＴの分布を前記分布情報に示される分布により生成するグルーピング処理部と、前記グループ毎に生成された分布それぞれにおいて、前記閾値決定ロジックに基づき前記分布におけるばらつき度合の所定値に対応するＲＴＴの値を、前記グループ毎の閾値に決定する閾値決定部と、を備えることを特徴とするネットワーク障害検出システムとした。
【００１２】
また、請求項５に記載の発明は、ネットワークを構成する複数の監視対象装置と、前記複数の監視対象装置に対し監視用メッセージを送信し、前記監視対象装置それぞれから受信した応答メッセージに基づくＲＴＴ（Round Trip Time）を用いて、前記ネットワークの障害を検出するネットワーク障害検出装置と、を備えるネットワーク障害検出システムの前記ネットワーク障害検知装置であって、前記監視対象装置のＲＴＴのばらつきを解析するために使用する分布を示す分布情報と、前記分布におけるばらつき度合の所定値に対応するＲＴＴの値を、前記監視対象装置を異常と判定する閾値として決定する閾値決定ロジックと、正常時において前記複数の監視対象装置それぞれから受信した前記応答メッセージに基づく監視結果として、前記監視対象装置の識別情報および当該監視対象装置の前記ＲＴＴを示す試験結果情報と、を記憶する記憶部と、前記複数の監視対象装置それぞれの前記正常時の試験結果情報を取得し、所定のグルーピング手法を用いて、前記ＲＴＴが類似する監視対象装置をグルーピングし、グルーピングにより生成された複数のグループ毎に、当該グループに属する各監視対象装置のＲＴＴの分布を前記分布情報に示される分布により生成するグルーピング処理部と、前記グループ毎に生成された分布それぞれにおいて、前記閾値決定ロジックに基づき前記分布におけるばらつき度合の所定値に対応するＲＴＴの値を、前記グループ毎の閾値に決定する閾値決定部と、を備えることを特徴とするネットワーク障害検出装置とした。
【００１３】
このようにすることで、ネットワーク障害検出装置を備えるネットワーク障害検出システムは、正常時において類似したＲＴＴをもつ監視対象装置をグルーピングし、グループ毎に閾値を決定することができる。よって、ネットワークにおける伝搬遅延を考慮した適切なＲＴＴの閾値を設定することができる。
【００１４】
請求項２に記載の発明は、前記ネットワーク障害検出装置の前記記憶部には、前記グルーピング処理部が生成した複数のグループそれぞれに対応付けて、前記閾値決定部が決定した当該グループの閾値を格納したグループ閾値情報と、前記複数の監視対象装置それぞれに対する監視実行時の前記試験結果情報と、がさらに記憶されており、前記ネットワーク障害検出装置が、前記複数の監視対象装置それぞれの前記監視実行時の試験結果情報を取得し、前記監視実行時の試験結果情報に含まれる前記監視対象装置の識別情報を用いて、前記グループ閾値情報を参照し、当該監視対象装置の属する前記グループの閾値を抽出し、前記抽出した前記グループの閾値を、前記監視実行時の試験結果情報に含まれる当該監視対象装置のＲＴＴが超えるか否かを判定し、判定結果を閾値判定結果情報として出力する閾値判定部を、さらに備えることを特徴とする請求項１に記載のネットワーク障害検出システムとした。
【００１５】
また、請求項６に記載の発明は、前記記憶部には、前記グルーピング処理部が生成した複数のグループそれぞれに対応付けて、前記閾値決定部が決定した当該グループの閾値を格納したグループ閾値情報と、前記複数の監視対象装置それぞれに対する監視実行時の前記試験結果情報と、がさらに記憶されており、前記複数の監視対象装置それぞれの前記監視実行時の試験結果情報を取得し、前記監視実行時の試験結果情報に含まれる前記監視対象装置の識別情報を用いて、前記グループ閾値情報を参照し、当該監視対象装置の属する前記グループの閾値を抽出し、前記抽出した前記グループの閾値を、前記監視実行時の試験結果情報に含まれる当該監視対象装置のＲＴＴが超えるか否かを判定し、判定結果を閾値判定結果情報として出力する閾値判定部を、さらに備えることを特徴とする請求項５に記載のネットワーク障害検出装置とした。
【００１６】
このようにすることで、ネットワーク障害検出装置は、監視実行時における監視対象装置が正常か異常かの判定を、当該監視対象装置が属するグループに設定された閾値を用いて実行することができる。よって、ネットワークにおける伝搬遅延を考慮した適切な監視対象装置の正常、異常の判定をすることができる。
【００１７】
請求項３に記載の発明は、前記ネットワーク障害検出装置が、前記閾値判定結果情報を参照し、前記グループ毎に前記判定結果を抽出し、当該グループの閾値を超えたＲＴＴをもつ監視対象装置の数を計算し、当該グループに属する監視対象装置の全体数に対する当該数の割合を計算し、前記グループ毎の前記計算した割合を示す閾値超過原因情報を出力する閾値超過原因判別部を、さらに備えることを特徴とする請求項２に記載のネットワーク障害検出システムとした。
【００１８】
また、請求項７に記載の発明は、前記閾値判定結果情報を参照し、前記グループ毎に前記判定結果を抽出し、当該グループの閾値を超えたＲＴＴをもつ監視対象装置の数を計算し、当該グループに属する監視対象装置の全体数に対する当該数の割合を計算し、前記グループ毎の前記計算した割合を示す閾値超過原因情報を出力する閾値超過原因判別部を、さらに備えることを特徴とする請求項６に記載のネットワーク障害検出装置とした。
【００１９】
このように、ネットワーク障害検出装置は、グループ毎に、そのグループの閾値を超えたＲＴＴをもつ監視対象装置の数を計算し、当該グループに属する監視対象装置の全体数に対する割合を計算し、閾値超過原因情報として出力することができる。
【００２０】
請求項４に記載の発明は、前記閾値超過原因判別部が、前記計算した割合が所定の割合を超えるか否かを前記グループ毎に判別し、前記所定の割合を超える場合に、ネットワーク異常を示す警告情報を出力することを特徴とする請求項３に記載のネットワーク障害検出システムとした。
【００２１】
また、請求項８に記載の発明は、前記閾値超過原因判別部が、前記計算した割合が所定の割合を超えるか否かを前記グループ毎に判別し、前記所定の割合を超える場合に、ネットワーク異常を示す警告情報を出力することを特徴とする請求項７に記載のネットワーク障害検出装置とした。
【００２２】
このように、ネットワーク障害検出装置は、そのグループの閾値を超えたＲＴＴをもつ監視対象装置の割合が、所定の割合を超える場合に、ネットワーク異常を示す警告情報を、閾値超過原因情報に付して出力することができる。
【発明の効果】
【００２３】
本発明によれば、伝搬遅延を考慮した適切なＲＴＴの閾値を設定する、ネットワーク障害検出システムおよびネットワーク障害検出装置を提供することができる。
【図面の簡単な説明】
【００２４】
【図１】本実施形態に係るネットワーク障害検出システムによる、ＲＴＴの閾値決定処理の概要を説明するための図である。
【図２】本実施形態に係るネットワーク障害検出システムによる、ＲＴＴ値増大の異常原因判別処理を説明するための図である。
【図３】本実施形態に係るネットワーク障害検出装置の構成例を示す機能ブロック図である。
【図４】本実施形態に係るグループ閾値情報のデータ構成例を示す図である。
【図５】本実施形態に係るネットワーク障害検出装置による、グルーピング閾値決定処理の流れを示すフローチャートである。
【図６】本実施形態に係るネットワーク障害検出装置による、閾値判定処理およびＲＴＴ値増大の異常原因判別処理の流れを示すフローチャートである。
【図７】従来のＲＴＴを用いた監視対象装置の正常、異常を判定する手法の例を示す図である。
【図８】ネットワーク全体で１つの閾値とする場合の問題を説明するための図である。
【図９】ＲＴＴ値増大の原因を説明するための図である。
【発明を実施するための形態】
【００２５】
次に、本発明を実施するための形態（以下、「本実施形態」という。）におけるネットワーク障害検出システム１等について説明する。
【００２６】
＜概要＞
まず、本実施形態に係るネットワーク障害検出システム１が実行する処理の概要について説明する。
【００２７】
図１は、本実施形態に係るネットワーク障害検出システム１による、ＲＴＴの閾値決定処理の概要を説明するための図である。
図１に示すように、本実施形態に係るネットワーク障害検出システム１は、ネットワーク障害検出装置１００と、そのネットワーク障害検出装置１００にネットワークを介して接続される複数の監視対象装置２００とを含んで構成される。なお、図１においては、一例として、監視対象装置２００が、ネットワーク障害検出装置１００の至近地に設置されている監視対象装置２００（２１１，２１２，２１３）と、ネットワーク障害検出装置１００の遠隔地に設置されている監視対象装置２００（２２１，２２２，２２３）とを含んで構成されるものとする。そして、ネットワーク障害検出装置１００が、各監視対象装置２００に対し、監視用メッセージを送信してその応答メッセージを受信し、ＲＴＴの所定の閾値を超過するか否かにより、各監視対象装置２００の正常、異常を判定する。
【００２８】
まず、ネットワーク障害検出装置１００は、平常時（正常時）において取得した、各監視対象装置２００のＲＴＴ値に基づき、類似したＲＴＴ値となる監視対象装置２００をグルーピングする（ステップＳ１）。これにより、例えば、図１に示すように、至近地に設置されている監視対象装置２００（２１１，２１２，２１３）のグループや、遠隔地に設置されている監視対象装置２００（２２１，２２２，２２３）のグループのように、各監視対象装置２００について、類似したＲＴＴ値をとるようにグルーピングしておく。
【００２９】
次に、ネットワーク障害検出装置１００は、グループ毎にＲＴＴ値の分布を生成する（ステップＳ２）。そして、ネットワーク障害検出装置１００は、生成したＲＴＴ値の分布から、所定の確率ラインとなる値をそのグループの閾値として設定する（ステップＳ３）。この確率ラインは、例えば、ＲＴＴ値の分布（正規分布）において、ばらつき度合の所定値としての３σ（９９．７％）（σ：標準偏差）に対応するＲＴＴ値を、所定の閾値として設定する。
図１においては、至近地に設置されている監視対象装置２００（２１１，２１２，２１３）のグループの閾値として「ａ」が設定される。また、遠隔地に設置されている監視対象装置２００（２２１，２２２，２２３）のＲＴＴの閾値として、閾値「ａ」よりも長い時間のＲＴＴ値である閾値「ｂ」が設定される。
【００３０】
このように、平常時（正常時）において類似するＲＴＴ値をもつ監視対象装置２００のグループ毎にＲＴＴの閾値を設定し、監視対象装置２００のＲＴＴ値が、その監視対象装置２００が属するグループの閾値を超えるか否かを判定することにより、各監視対象装置２００の異常を適切に検出することができる。
【００３１】
図２は、本実施形態に係るネットワーク障害検出システム１による、ＲＴＴ値増大の異常原因判別処理を説明するための図である。
図２においては、ある同一グループ内の監視対象装置２００（２０１，２０２，２０３，２０４）が、ネットワーク障害検出装置１００により、監視されているものとする。
【００３２】
平常時（正常時）のＲＴＴ値が類似する同一グループに属する各監視対象装置２００（２０１，２０２，２０３，２０４）において、そのグループに設定した閾値を超えるＲＴＴ値の監視対象装置２００がある場合、その閾値超過の原因がその監視対象装置２００自体にあるときは、当該監視対象装置２００のみが閾値を超過する一方で、閾値超過の原因がネットワーク異常（経路変更等）の場合は、グルーピングした監視対象装置２００において多くの装置で閾値を超過することとなる。これは、監視用メッセージに対する応答メッセージ（応答パケット）が、ネットワークの異常個所を通過する各監視対象装置２００において、同様に遅延が発生するためである。このように、閾値を超過する監視対象装置２００が少ないか多いかの相違を判定することで、ＲＴＴ値増大の原因が、監視対象装置２００自体の負荷増大等に起因するものか、ネットワーク異常に起因するものなのかを判別する。
【００３３】
具体的には、ネットワーク障害検出システム１は、グループ毎にそのグループに属する各監視対象装置２００を抽出し、そのグループに設定された閾値を超えるＲＴＴ値をもつ監視対象装置２００の数を計算し、そのグループの全体数に占める割合を計算する。そして、図２（ａ）に示すように、例えば、１つの監視対象装置２００（２０４）のみがそのグループに設定された閾値を超過する場合、グループ内で所定の割合を超える数の監視対象装置２００がＲＴＴの閾値を超えていることに該当せず、ネットワーク障害検出装置１００は、異常がその監視対象装置２００側に起因すると判別する。一方、図２（ｂ）に示すように、ネットワーク障害検出装置１００は、グループ内で所定の割合を超える数の監視対象装置２００がＲＴＴの閾値を超えている場合には、異常がネットワーク側に起因すると判別する。
【００３４】
このようにすることにより、ネットワーク障害検出装置１００は、ＲＴＴの閾値を超える異常が発生した原因が、監視対象装置２００の負荷増大等に起因するものか、ネットワーク異常に起因するものなのか判別することができる。
【００３５】
＜ネットワーク障害検出装置＞
図３は、本実施形態に係るネットワーク障害検出装置１００の構成例を示す機能ブロック図である。
ネットワーク障害検出装置１００は、各監視対象装置２００から受信した監視用メッセージに対する応答メッセージのＲＴＴ値に基づき、ネットワークやそのネットワーク内の監視対象装置２００の障害を検出する装置であり、入出力部１１０と、制御部１２０と、記憶部１３０とを備える。
【００３６】
入出力部１１０（出力部）は、各監視対象装置２００や不図示のネットワーク管理装置等との間の情報の入出力を行う。また、この入出力部１１０は、通信回線を介して情報の送受信を行う通信インタフェースと、不図示のキーボード等の入力手段やモニタ等の出力手段等との間で入出力を行う入出力インタフェースとから構成される。
【００３７】
制御部１２０は、ネットワーク障害検出装置１００全体の制御を司り、入力処理部１２１と、監視処理部１２２と、グルーピング処理部１２３と、閾値決定部１２４と、閾値判定部１２５と、閾値超過原因判別部１２６と、出力処理部１２７とを含んで構成される。
【００３８】
入力処理部１２１は、入出力部１１０を介して、各監視対象装置２００やネットワーク管理装置（不図示）等から、情報の入力を受け付ける。
具体的には、入力処理部１２１は、後記するグルーピング処理に必要となる、使用する分布の情報（以下、「分布情報」という。）や、閾値決定ロジック等を取得し、パラメータ情報１３１として記憶部１３０に記憶する。
ここで、分布情報とは、グルーピング処理部１２３が、各監視対象装置２００のＲＴＴ値のばらつきを解析しグルーピングするために使用する、正規分布や、対数正規分布、ガンマ分布等の分布を示す情報（確率密度関数）である。なお、ここでは、分布情報として正規分布を用いる例として説明する。また、閾値決定ロジックとは、分布におけるばらつき度合の所定値に対応するＲＴＴ値を、閾値に設定する情報を意味する。例えば、正規分布において、ばらつき度合の所定値としての３σ（９９．７％）に対応するＲＴＴ値を、閾値に設定することを意味する。
さらに、入力処理部１２１は、不図示のネットワーク管理装置等から、入出力部１１０を介して、各監視対象装置２００の情報（各監視対象装置２００に固有な識別情報とそのアドレス情報等）を監視対象装置情報１３２として取得し、記憶部１３０に記憶する。
また、入力処理部１２１は、各監視対象装置２００から、入出力部１１０を介して、監視用メッセージに対する応答メッセージを受信し、監視処理部１２２に引き渡す。
【００３９】
監視処理部１２２は、記憶部１３０に記憶された監視対象装置情報１３２を参照して、各監視対象装置２００に対し、監視用メッセージを送信し、その応答メッセージを受信することにより、ＲＴＴを検出する試験を実行する。そして、監視処理部１２２は、監視対象装置２００の識別情報とそのＲＴＴ値とのペアを試験結果として取得し、試験結果情報１３３として記憶部１３０に記憶する。
【００４０】
グルーピング処理部１２３は、平常時（正常時）において、監視処理部１２２が各監視対象装置２００に対し試験を実行した結果である試験結果情報１３３を取得し、任意のグルーピング手法に基づき、ＲＴＴ値が類似する監視対象装置２００をグルーピングし、監視対象装置２００群が属する複数のグループで構成されるグループ情報を生成する。このグループ情報は、本ネットワーク障害検出システム１においてグループ毎に固有な識別情報（グループＩＤ）と、当該グループに属する監視対象装置２００それぞれの識別情報（監視対象装置ＩＤ）とで構成される。
このグルーピング処理部１２３が実行するグルーピング手法には、例えば、階層型クラスタリング（最短距離法、群平均化法）や、分割最適化クラスタリング（K-means法）等を適用することができる。
【００４１】
閾値決定部１２４は、パラメータ情報１３１として記憶部１３０に記憶した、分布情報および閾値決定ロジックと、グルーピング処理部１２３が生成したグループ情報とを取得する。そして、閾値決定部１２４は、グループ情報に示されるグループ毎にＲＴＴ値の分布を生成し、閾値決定ロジックに基づき、そのグループの閾値を決定する。例えば、閾値決定部１２４は、グループ情報に示されるグループ毎にＲＴＴ値の正規分布を生成し、正規分布において、ばらつき度合の所定値としての３σ（９９．７％）に対応するＲＴＴ値をそのグループの閾値として決定する。
そして、閾値決定部１２４は、グループ情報にそのグループの閾値を対応付けたグループ閾値情報１３４を生成し、記憶部１３０に記憶する。
【００４２】
図４は、本実施形態に係るグループ閾値情報１３４のデータ構成例を示す図である。
図４に示すように、グループ閾値情報１３４は、グループＩＤに対応づけて、そのグループに属する各監視対象装置２００の監視対象装置ＩＤ、および、閾値決定部１２４が決定したそのグループのＲＴＴの閾値（グループ閾値）が記憶される。
例えば、図４の１行目のグループＩＤが「Ｇ００１」のグループは、監視対象装置ＩＤが「２１１」「２１２」「２１３」…等の監視対象装置２００で構成され、このグループのＲＴＴの閾値（グループ閾値）が「ａ」であることを示している。
【００４３】
図３に戻り、閾値判定部１２５は、監視処理部１２２が試験を実行した結果である試験結果情報１３３を取得する。この試験結果情報１３３は、前記したように、監視対象装置２００の識別情報とそのＲＴＴ値とを含む情報である。なお、閾値判定部１２５による以下に説明する処理は、グルーピング処理部１２３および閾値決定部１２４の処理の結果、記憶部１３０にグループ閾値情報１３４が記憶された後（監視実行時）に実行される。
閾値判定部１２５は、試験結果情報１３３を取得すると、グループ閾値情報１３４を参照して、その監視対象装置２００が属するグループに設定された閾値（グループ閾値）に基づき、その監視対象装置２００のＲＴＴ値が閾値を超過するか否かを判定する。そして、閾値判定部１２５は、各監視対象装置２００のＲＴＴ値の閾値の判定結果を、閾値判定結果情報１３５として記憶部１３０に記憶するとともに、その閾値を超過した監視対象装置２００の情報を、出力処理部１２７を介して、ネットワーク管理装置（不図示）等に出力する。
【００４４】
閾値超過原因判別部１２６は、閾値判定結果情報１３５を参照して、グループ毎にそのグループに属する各監視対象装置２００を抽出し、そのグループに設定された閾値（グループ閾値）を超えるＲＴＴ値をもつ監視対象装置２００の数を計算し、そのグループの全体数に占める割合を計算する。そして、閾値超過原因判別部１２６は、その各グループの計算結果を、閾値超過原因情報１３６として記憶部１３０に記憶するとともに、出力処理部１２７を介して、ネットワーク管理装置（不図示）等に出力する。
このとき、閾値超過原因判別部１２６は、所定の割合を超えるグループについて、ネットワーク異常の発生を示す警告を付して、ネットワーク管理装置等に出力するようにしてもよい。
この所定の割合は、例えば、グループに属する監視対象装置２００の総数のうちのＮ割（例えば、３割）にように設定する。なお、この所定の割合の設定値は、予め、パラメータ情報１３１に含め記憶部１３０に記憶しておく。
【００４５】
出力処理部１２７は、入出力部１１０を介して、各監視対象装置２００やネットワーク管理装置（不図示）等に対し、情報を出力する。
例えば、出力処理部１２７は、監視処理部１２２の処理により、監視用メッセージを各監視対象装置２００に送信する。また、出力処理部１２７は、閾値判定部１２５が生成した閾値判定結果情報１３５や、閾値超過原因判別部１２６が生成した閾値超過原因情報１３６を、ネットワーク管理装置等に出力する。
【００４６】
記憶部１３０は、ＲＡＭ（Random Access Memory）や、ＨＤＤ（Hard Dick Drive）、フラッシュメモリ等の記憶媒体から構成され、前記した、パラメータ情報１３１、監視対象装置情報１３２、試験結果情報１３３、グループ閾値情報１３４、閾値判定結果情報１３５および閾値超過原因情報１３６が記憶される。
【００４７】
なお、このネットワーク障害検出装置１００をプログラム実行処理により実現する場合、記憶部１３０には、ネットワーク障害検出装置１００の制御部１２０の機能を実現するためのプログラムが格納される。そして、制御部１２０は、記憶部１３０に記憶されたプログラムを、不図示のＣＰＵが、ＲＡＭ等に展開し実行することで実現される。
【００４８】
また、このネットワーク障害検出装置１００は、監視処理機能を備えた従来の監視端末１０（図７〜図９参照）に接続される別装置として実現してもよい。その場合、ネットワーク障害検出装置１００は、監視処理部１２２（図３参照）を備えず、その替わりに、監視端末１０が各監視対象装置２００に対して実行した監視処理の結果である試験結果情報１３３を、監視端末１０から受信してネットワーク障害検出装置１００の記憶部１３０に記憶するようにすればよい。
【００４９】
＜処理の流れ＞
次に、本実施形態に係るネットワーク障害検出システム１の処理の流れについて説明する。本実施形態に係るネットワーク障害検出システム１（ネットワーク障害検出装置１００）は、（１）平常時（正常時）において、監視対象装置２００のグルーピングを実行し、そのグループ毎のＲＴＴの閾値を決定する処理（以下、「グルーピング閾値決定処理」という。）と、（２）グループ毎のＲＴＴの閾値を用いて、監視対象装置２００の正常、異常を判定する処理（以下、「閾値判定処理」という。）とを実行する。具体的には、ネットワーク障害検出装置１００が、平常時（正常時）において、グルーピング閾値決定処理を実行しておき、その後、各監視対象装置２００に関して、例えば、所定の時間間隔毎の監視実行時に閾値判定処理を実行することにより、ネットワークの障害を検出する。
さらに、ネットワーク障害検出システム１（ネットワーク障害検出装置１００）は、各グループ内において、ＲＴＴの閾値を超過する監視対象装置２００の割合を計算することにより、ＲＴＴ値増大の異常原因判別処理を実行する。
【００５０】
≪グルーピング閾値決定処理≫
図５は、本実施形態に係るネットワーク障害検出装置１００による、グルーピング閾値決定処理の流れを示すフローチャートである。
なお、ここでは、ネットワーク障害検出装置１００の入力処理部１２１により、分布情報として正規分布を用いること、および、閾値決定ロジックとして正規分布におけるばらつき度合の所定値である３σ（９９．７％）に対応するＲＴＴ値を閾値に設定すること、がパラメータ情報１３１として既に記憶部１３０に記憶されるとともに、各監視対象装置２００に関する監視対象装置情報１３２が記憶部１３０に記憶されているものとする。また、監視処理部１２２により、平常時（正常時）において、各監視対象装置２００に対し試験が実行され、平常時（正常時）における試験結果情報１３３が記憶部１３０に記憶されているものする。
【００５１】
まず、ネットワーク障害検出装置１００のグルーピング処理部１２３は、平常時（正常時）における試験結果情報１３３を、記憶部１３０から取得する（ステップＳ１０）。この試験結果情報１３３には、監視対象装置２００の識別情報とそのＲＴＴ値のペアが、監視を実行する各監視対象装置２００に関して記憶されている。
【００５２】
次に、グルーピング処理部１２３は、平常時における試験結果情報１３３に記憶された各監視対象装置２００のＲＴＴ値を参照し、所定のグルーピング手法を用いて、ＲＴＴ値が類似する監視対象装置２００をグルーピングし（ステップＳ１１）、監視対象装置２００群が属するグループが複数で構成されるグループ情報を生成する。
【００５３】
続いて、ネットワーク障害検出装置１００の閾値決定部１２４は、閾値計算の対象となるｉ番目のグループ（以下、「グループｉ」とする。）のグループ番号ｉ＝１（初期化）を設定する（ステップＳ１２）。
【００５４】
そして、閾値決定部１２４は、グループｉに属する監視対象装置２００のＲＴＴ値の分布（正規分布）を生成する（ステップＳ１３）。
【００５５】
続いて、閾値決定部１２４は、パラメータ情報１３１として設定された閾値決定ロジック（正規分布におけるばらつき度合の所定値である３σ（９９．７％）に対応するＲＴＴ値を閾値に設定）に基づき、そのグループｉの閾値を決定する（ステップＳ１４）。
【００５６】
次に、閾値決定部１２４は、ステップＳ１１で生成したグループ情報の該当グループに、決定した閾値（グループ閾値）を対応付けてグループ閾値情報１３４（図４参照）として記憶部１３０に記憶する（ステップＳ１５）。
【００５７】
そして、閾値決定部１２４は、ステップＳ１１で生成したすべてのグループについて処理を終えたか否かを判定する（ステップＳ１６）。ここで、まだ、すべてのグループについて処理を終えていない場合は（ステップＳ１６→Ｎｏ）、「ｉ」に「１」を加えて（ステップＳ１７）、ステップＳ１３に戻る。
一方、閾値決定部１２４は、すべてのグループの処理を終えている場合は（ステップＳ１６→Ｙｅｓ）、グルーピング閾値決定処理を終了する。
【００５８】
このようにすることで、ネットワーク障害検出装置１００は、類似したＲＴＴ値をもつ監視対象装置２００のグループ毎に、閾値（グループ閾値）を決定することができる。
【００５９】
≪閾値判定処理およびＲＴＴ値増大の異常原因判別処理≫
図６は、本実施形態に係るネットワーク障害検出装置１００による、閾値判定処理およびＲＴＴ値増大の異常原因判別処理の流れを示すフローチャートである。
なお、ここでは、監視処理部１２２により、図５に示したグルーピング閾値決定処理の後、各監視対象装置２００に対し試験が実行され、監視実行時の試験結果として、監視対象装置２００の識別情報とそのＲＴＴ値のペアとで構成される試験結果情報１３３が記憶部１３０に記憶されているものする。
【００６０】
まず、ネットワーク障害検出装置１００の閾値判定部１２５は、記憶部１３０に記憶された監視実行時の試験結果情報１３３を取得する（ステップＳ２０）。
【００６１】
次に、閾値判定部１２５は、記憶部１３０に記憶されたグループ閾値情報１３４を取得する（ステップＳ２１）。
【００６２】
続いて、閾値判定部１２５は、ステップＳ２０で取得した試験結果情報１３３において、閾値判定を実行するｊ番目の監視対象装置２００について、初期化（ｊ＝１）する（ステップＳ２２）。
【００６３】
そして、閾値判定部１２５は、ｊ番目の監視対象装置２００について、グループ閾値情報１３４（図４参照）に基づき、その監視対象装置２００が属するグループの閾値（グループ閾値）を抽出し、試験結果であるその監視対象装置２００のＲＴＴ値と比較する（ステップＳ２３）。
【００６４】
次に、閾値判定部１２５は、ステップＳ２３の比較の結果、試験結果のＲＴＴ値がその監視対象装置２００が属するグループの閾値（グループ閾値）を超過しているか否かを判定する（ステップＳ２４）。
【００６５】
そして、閾値判定部１２５は、試験結果のＲＴＴ値が閾値（グループ閾値）を超えている場合に（ステップＳ２４→Ｙｅｓ）、その判定結果を閾値判定結果情報１３５として記憶部１３０に記憶するとともに、出力処理部１２７を介して、ネットワーク管理装置（不図示）等に出力する（ステップＳ２５）。そして、次のステップＳ２７に進む。
一方、閾値判定部１２５は、試験結果のＲＴＴ値が閾値以下の場合に（ステップＳ２４→Ｎｏ）、その判定結果を閾値判定結果情報１３５として記憶部１３０に記憶する（ステップＳ２６）。そして、次のステップＳ２７に進む。
【００６６】
ステップＳ２７において、閾値判定部１２５は、監視対象装置２００の閾値判定処理をすべて終了したか否か判定する。ここで、まだ、閾値判定処理を実行していない監視対象装置２００がある場合には（ステップＳ２７→Ｎｏ）、「ｊ」に「１」を加えて（ステップＳ２８）、ステップＳ２３に戻る。一方、閾値判定部１２５は、監視対象装置２００の閾値判定処理をすべて終了している場合には（ステップＳ２７→Ｙｅｓ）、次のステップＳ２９に進む。
【００６７】
なお、このステップＳ２０〜Ｓ２８が閾値判定処理であり、以下に説明するステップＳ２９〜Ｓ３３が、ＲＴＴ値増大の異常原因判別処理である。
【００６８】
ステップＳ２９において、閾値超過原因判別部１２６は、閾値超過原因の判別対象となるｉ番目のグループ（グループｉ）のグループ番号ｉ＝１（初期化）を設定する。
【００６９】
そして、閾値超過原因判別部１２６は、そのグループｉの閾値超過原因の判別処理を実行する（ステップＳ３０）。具体的には、閾値超過原因判別部１２６は、そのグループｉに属する監視対象装置２００全体のうち、そのグループのＲＴＴの閾値（グループ閾値）を超過した監視対象装置２００の数を計算し、そのグループの全体数に対するＲＴＴの閾値を超過した監視対象装置２００の数の割合を計算する。
【００７０】
続いて、閾値超過原因判別部１２６は、ステップＳ３０において計算した、そのグループにおけるＲＴＴの閾値を超過した監視対象装置２００の割合を示す閾値超過原因情報１３６を生成し、記憶部１３０に記憶するとともに、出力処理部１２７を介して、ネットワーク管理装置（不図示）等に出力する（ステップＳ３１）。そして、次のステップＳ３１に進む。
なお、閾値超過原因情報１３６を生成したとき、閾値超過原因判別部１２６は、計算した割合が所定の割合（Ｎ割）を超えているか否かを判定する。そして、閾値超過原因判別部１２６は、所定の割合（Ｎ割）を超えたグループについては、ネットワーク異常を示す警報情報を付して出力するようにしてもよい。また、閾値超過原因判別部１２６は、所定の割合（Ｎ割）以下のグループの判別結果については、ネットワーク管理装置等に出力せず、所定の割合（Ｎ割）を超えたグループについてのみ、判別結果を出力するようにしてもよい。
【００７１】
ステップＳ３２において、閾値超過原因判別部１２６は、すべてのグループについて処理を終えたか否かを判定する。ここで、まだ、すべてのグループについて処理を終えていない場合は（ステップＳ３２→Ｎｏ）、「ｉ」に「１」を加えて（ステップＳ３３）、ステップＳ３０に戻る。
一方、閾値超過原因判別部１２６は、すべてのグループについて処理を終えている場合は（ステップＳ３２→Ｙｅｓ）、処理を終了する。
【００７２】
このように、ネットワーク障害検出装置１００は、閾値判定処理により、監視実行時における監視対象装置２００が正常か異常かの判定を、当該監視対象装置２００が属するグループに設定された閾値（グループ閾値）を用いて実行することができる。よって、ネットワークにおける伝搬遅延を考慮した適切な監視対象装置２００の正常、異常の判定を行うことができる。
また、ネットワーク障害検出装置１００は、ＲＴＴ値増大の異常原因判別処理により、グループ毎に、そのグループの閾値を超えたＲＴＴをもつ監視対象装置２００の数を計算し、当該グループに属する監視対象装置２００の全体数に対する割合を計算し、閾値超過原因情報１３６として出力することができる。この閾値超過原因情報１３６に基づき、閾値を超える異常が発生した原因が、監視対象装置２００の負荷増大等に起因するものか、ネットワーク異常に起因するものなのかを判別することが可能となる。
【００７３】
以上説明したように、本実施形態に係る、ネットワーク障害検出システム１およびネットワーク障害検出装置１００によれば、伝搬遅延を考慮した適切なＲＴＴの閾値を設定することができる。そして、閾値を超える異常が発生した原因が、監視対象装置２００の負荷増大等に起因するものか、ネットワーク異常に起因するものなのかを判別することが可能となる。
【００７４】
なお、ネットワーク障害検出装置１００は、類似したＲＴＴ値をもつ監視対象装置２００のグループ毎に閾値を決定することにより、各監視対象装置２００に対し個別に閾値を設定するよりも少ない稼動（処理負荷）で、適切なＲＴＴの閾値の設定が可能となる。
また、ネットワーク障害検出装置１００は、閾値決定のために使用する分布を示す分布情報と、当該分布におけるばらつき度合の所定値に対応するＲＴＴ値を閾値として決定する閾値決定ロジックとを、記憶部１３０に記憶しておく。これにより、ネットワーク障害検出装置１００の閾値決定部１２４は、グルーピング処理部１２３が生成した複数のグループについて、自動的に各グループの閾値を決定することができる。よって、ネットワーク管理者が手動で各グループの閾値を設定する必要をなくすことができる。
【符号の説明】
【００７５】
１      ネットワーク障害検出システム
１０    監視端末
１００  ネットワーク障害検出装置
１１０  入出力部（出力部）
１２０  制御部
１２１  入力処理部
１２２  監視処理部
１２３  グルーピング処理部
１２４  閾値決定部
１２５  閾値判定部
１２６  閾値超過原因判別部
１２７  出力処理部
１３０  記憶部
１３１  パラメータ情報
１３２  監視対象装置情報
１３３  試験結果情報
１３４  グループ閾値情報
１３５  閾値判定結果情報
１３６  閾値超過原因情報
２００  監視対象装置
【図１】
2014068283.tif 000003
【図２】
2014068283.tif 000004
【図３】
2014068283.tif 000005
【図４】
2014068283.tif 000006
【図５】
2014068283.tif 000007
【図６】
2014068283.tif 000008
【図７】
2014068283.tif 000009
【図８】
2014068283.tif 000010
【図９】
2014068283.tif 000011