(57)【要約】【課題】ネットワーク全体のトラフィックを大局的に分析すること。【解決手段】管理装置は、複数の通信装置を含むネットワークの外からネットワークの中へ入力される第１のトラフィックに基づいてネットワークの中からネットワークの外へ出力される第２のトラフィックを推定するモデルを記憶する記憶部と、第１のトラフィックの実測値を取得する取得部と、記憶部に記憶されたモデルへ取得部により取得された第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する比較部と、を有する。【選択図】図５
2018207241.tif 000002
【特許請求の範囲】
【請求項１】
複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルを記憶する記憶部と、
前記第１のトラフィックの実測値を取得する取得部と、
前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する比較部と、
を有することを特徴とする管理装置。
【請求項２】
前記取得部は、前記第２のトラフィックの実測値をさらに取得し、
前記比較部は、前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、前記取得部により取得された前記第２のトラフィックの実測値とを比較することを特徴とする請求項１に記載の管理装置。
【請求項３】
前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上である場合、アラートを出力する出力部をさらに有することを特徴とする請求項２に記載の管理装置。
【請求項４】
前記出力部は、前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上であり、かつ前記第２のトラフィックの実測値が前記第２のトラフィックの推定値よりも小さい場合、アラートを出力することを特徴とする請求項３に記載の管理装置。
【請求項５】
前記モデルの学習を実行する学習実行部をさらに有することを特徴とする請求項１〜４のいずれか１つに記載の管理装置。
【請求項６】
前記学習実行部は、前記第１のトラフィックと共に、前記第１のトラフィックが計測された時間が営業状態、半営業状態または休業状態のいずれに対応するかを示す状態情報にさらに基づいて前記モデルを学習し、
前記取得部は、前記第１のトラフィックと共に前記第１のトラフィックが取得される時間に対応する状態情報をさらに取得し、
前記比較部は、前記モデルへ前記第１のトラフィックの実測値と共に前記状態情報を入力することにより得られる第２のトラフィックの推定値を比較に用いることを特徴とする請求項５に記載の管理装置。
【請求項７】
前記学習実行部は、前記第１のトラフィックおよび前記第２のトラフィックとして、前記ネットワークのトポロジ上でエッジに位置する通信装置のポートが受信または送信を行うトラフィックを前記モデルの学習に用いることを特徴とする請求項５に記載の管理装置。
【請求項８】
複数の通信装置を含むネットワークの中から前記ネットワークの外へ出力される第２のトラフィックに基づいて前記ネットワークの外から前記ネットワークの中へ入力される第１のトラフィックを推定するモデルを記憶する記憶部と、
前記第２のトラフィックの実測値を取得する取得部と、
前記記憶部に記憶されたモデルへ前記取得部により取得された前記第２のトラフィックの実測値を入力することにより推定された第１のトラフィックの推定値と、所定の値とを比較する比較部と、
を有することを特徴とする管理装置。
【請求項９】
複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックの実測値を取得し、
前記第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルに対し、取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する、
処理をコンピュータが実行することを特徴とする管理方法。
【請求項１０】
複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックの実測値を取得し、
前記第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルに対し、取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する、
処理をコンピュータに実行させることを特徴とする管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、管理装置、管理方法及び管理プログラムに関する。
【背景技術】
【０００２】
通信ネットワークを流れるトラフィックは、量および質の両面で多様化しつつある。すなわち、企業の拠点間接続による業務トラフィックなどに加え、クラウドサービスやビッグデータの収集や分析、ＩｏＴ（Internet  of  Things）による非ユーザ由来のトラフィックなどが増加している。また、通信ネットワーク自体も、多くのレイヤを含み、管理主体の異なる複数のドメインを経由するなど、大規模化、複雑化している。このため、通信ネットワークの運用管理も難しさを増している。
【０００３】
通信ネットワーク上を流れるトラフィックの監視は、一例として、通信装置の送信ポートまたは受信ポートにおける単位時間当たりの送信データ量または受信データ量などのトラフィックを定期的にモニタし、所定の閾値に達した場合にはネットワーク運用者へのアラームを通知するなどの方法で実施される。この閾値は、一例として、ネットワーク運用者により経験等に基づいて設定される。
【０００４】
ところが、トラフィックとの比較に固定の閾値を用いたのでは、通信ネットワークの規模や構成の複雑化に伴って複雑に変化するトラフィックに適切な閾値を設定することが困難な一面がある。
【０００５】
このことから、ニューラルネットワークを用いて、トラフィック量とその日付を対応付けて学習し、トラフィック量の変動の上限値を予測するトラフィック量予測装置が提案されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００７−２２１６９９号公報
【特許文献２】特開平７−６４９４４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記のトラフィック量予測装置は、ネットワークに含まれるポートやリンクを通過するトラフィックを局所的に分析するものに過ぎない。それ故、上記のトラフィック量予測装置では、ネットワーク全体のトラフィックを大局的に分析することができない場合がある。
【０００８】
１つの側面では、本発明は、ネットワーク全体のトラフィックを大局的に分析できる管理装置、管理方法及び管理プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
一態様では、管理装置は、複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルを記憶する記憶部と、前記第１のトラフィックの実測値を取得する取得部と、前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する比較部と、を有する。
【発明の効果】
【００１０】
ネットワーク全体のトラフィックを大局的に分析できる。
【図面の簡単な説明】
【００１１】
【図１】図１は、実施例１に係るネットワーク管理システムの構成例を示す図である。
【図２】図２は、トラフィックの変化の一例を示す図である。
【図３】図３は、トラフィックの変化の一例を示す図である。
【図４】図４は、トラフィックの学習方法の一例を示す図である。
【図５】図５は、実施例１に係るネットワーク管理装置の機能的構成を示すブロック図である。
【図６】図６は、実施例１に係る学習処理の手順を示すフローチャートである。
【図７】図７は、実施例１に係るトラフィックの監視処理の手順を示すフローチャートである。
【図８】図８は、トラフィックの学習方法の他の一例を示す図である。
【図９】図９は、トラフィックの学習方法の他の一例を示す図である。
【図１０】図１０は、トラフィックの学習方法の他の一例を示す図である。
【図１１】図１１は、レイヤ別のトラフィックの一例を示す図である。
【図１２】図１２は、学習サンプル数および誤差の関係の一例を示す図である。
【図１３】図１３は、応用例に係る学習処理の手順を示すフローチャートである。
【図１４】図１４は、学習回数および誤差の関係の一例を示す図である。
【図１５】図１５は、隠れ層およびニューロン数の変更例を示す図である。
【図１６Ａ】図１６Ａは、トラフィックの一例を示す図である。
【図１６Ｂ】図１６Ｂは、トラフィックの一例を示す図である。
【図１６Ｃ】図１６Ｃは、トラフィックの一例を示す図である。
【図１７】図１７は、トラフィックの追加の一例を示す図である。
【図１８】図１８は、トラフィックの追加の一例を示す図である。
【図１９Ａ】図１９Ａは、リンクの回線速度の一例を示す図である。
【図１９Ｂ】図１９Ｂは、第１のトラフィックの時間変化の一例を示す図である。
【図１９Ｃ】図１９Ｃは、ニューラルネットワークの一例を示す図である。
【図２０】図２０は、応用例に係る学習処理の手順を示すフローチャートである。
【図２１】図２１は、トラフィックの学習方法の他の一例を示す図である。
【図２２】図２２は、実施例１及び実施例２に係る管理プログラムを実行するコンピュータのハードウェア構成例を示す図である。
【発明を実施するための形態】
【００１２】
以下に添付図面を参照して本願に係る管理装置、管理方法及び管理プログラムについて説明する。なお、この実施例は開示の技術を限定するものではない。そして、各実施例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。
【実施例１】
【００１３】
［システム構成］
図１は、実施例１に係るネットワーク管理システムの構成例を示す図である。図１に示すネットワーク管理システム１は、通信事業者や企業の通信システム等の監視対象システム３に構築されるネットワークＮＷの管理を実現するネットワーク管理サービスを提供するものである。このネットワーク管理サービスの一環として、ネットワーク管理システム１は、ネットワーク全体のトラフィックを大局的に分析するトラフィック分析機能も提供する。
【００１４】
図１に示すように、ネットワーク管理システム１には、監視対象システム３と、ネットワーク管理装置１０と、クライアント端末５０とが含まれる。この監視対象システム３には、通信装置３０Ａ〜３０Ｃが収容される。以下では、通信装置３０Ａ〜３０Ｃのことを総称する場合に「通信装置３０」と記載する場合がある。
【００１５】
ここで、図１には、ユーザが使用する端末装置やサーバ装置などのエンドホストの図示を省略したが、監視対象システム３にエンドホストが含まれることを妨げない。また、図１には、あくまで一例として、監視対象システム３に３つの通信装置３０が収容される例を示したが、任意の数の通信装置が収容されることとしてもよい。さらに、図１には、ネットワークＮＷに接続される装置として、ネットワーク管理装置１０及び通信装置３０を示したが、これ以外の他の装置がネットワークＮＷに接続されることを妨げず、また、通信装置３０にも他の装置が接続されることとしてもかまわない。
【００１６】
ネットワーク管理装置１０は、上記のネットワーク管理サービスを提供するコンピュータである。このネットワーク管理装置１０は、管理装置の一例である。
【００１７】
一実施形態として、ネットワーク管理装置１０は、上記のネットワーク管理サービスを実現するパッケージソフトウェアやオンラインソフトウェアを所望のコンピュータにインストールさせることによってＳＤＮ（Software-Defined  Networking）コントローラとして実装できる。ここでは、あくまで一例として、ネットワーク管理装置１０の一機能として上記のトラフィック分析機能が実装される場合を例示したが、上記のトラフィック分析機能は必ずしもネットワーク管理装置１０の一機能として実装されずともかまわない。例えば、ネットワーク管理装置１０の外部装置として、トラフィック分析機能を有する装置がネットワーク管理装置１０またはネットワークＮＷに接続されることとしてもかまわない。このネットワーク管理装置１０は、ネットワークＮＷの一例として、ＩＰ−ＶＰＮ（Internet  Protocol  Virtual  Private  Network）や広域イーサネット（登録商標）などのキャリアイーサネット（登録商標）の監視、設定や制御などを含む管理を実行することができる。このようにネットワーク管理装置１０により管理されるネットワークＮＷは、物理ネットワークに限定されず、ＳＤＮやＮＦＶ（Network  Function  Virtualization）などの技術により仮想化された仮想ネットワークであってもよい。
【００１８】
通信装置３０は、監視対象システム３のネットワークＮＷを形成する装置である。この通信装置３０には、一例として、イーサネット（登録商標）スイッチやＭＰＬＳ（Multi  Protocol  Label  Switching）スイッチ、ＩＰ（Internet  Protocol）ルータ、Ｌ（Layer）４スイッチ、Ｌ７スイッチなどが含まれる。
【００１９】
クライアント端末５０は、上記のネットワーク管理サービスの提供を受けるコンピュータである。このクライアント端末５０は、一例として、ネットワークＮＷを管理するネットワーク管理者等の関係者により使用される。ここで、上記のネットワーク管理サービスの提供により、クライアント端末５０は、必ずしもｔｅｌｎｅｔやＳＳＨ（Secure  SHell）の動作環境を有さずともかまわない。このため、クライアント端末５０には、汎用のブラウザの動作環境を有する任意のコンピュータを採用することができる。またクライアント端末５０は、ネットワーク管理装置１０と物理的に同一の装置として構成されてもよい。
【００２０】
［課題の一側面］
ここで、上記の従来技術における課題の一側面について説明する。一般的に、ネットワークＮＷ上の数あるリンクやポートのトラフィックとの比較に固定の閾値が設定される運用管理が行われることがある。このような運用管理では、一側面として、ネットワークＮＷの規模や構成の複雑化に伴って複雑に変化するトラフィックに適切な閾値を設定できず、トラフィックの挙動を適切に監視することが困難である。
【００２１】
図２は、トラフィックの変化の一例を示す図である。図２には、ネットワークＮＷ上のあるリンク１のトラフィックの時間変化が示されている。図２に示すように、昼間はトラフィック量が多く、夜間はトラフィック量が少ないといった時間的変動に、さらに、ユーザ数や、ユーザが使用するアプリケーションやサービスの増加により時間経過とともにトラフィック量が全体的に徐々に増加する変化が重畳する傾向にあるリンク１で計測されるトラフィックが示されている。
【００２２】
このような場合、当初、運用者は、ピークのトラフィック量を元に閾値Ｔｈ１を設定し、ある時点までは、特に異常が無ければトラフィック急増などの変化が検知されることはない。ところが、トラフィック量が徐々に増加することによって、ある時点からピークのトラフィック量が閾値Ｔｈ１を超過し、トラフィック変化の検知が繰り返される状況が起こり得る。このような、定常的なユーザ数の増加等によるトラフィック量の増加は、異常の発生ではないものの、異常が発生する場合と同じように閾値超過のアラートＡＬ１及びＡＬ２が通知されるので、運用者にとっては誤検知として不要な調査や確認などの作業が発生する一因となる。
【００２３】
図３は、トラフィックの変化の一例を示す図である。図３には、ネットワークＮＷ上のあるリンク２のトラフィックの時間変化が示されている。図３に示すように、定常的に流れるトラフィック量は少ないものの、例えば、月曜の午前中にはソフトウェアアップデート、また、金曜午後にはストレージへのデータバックアップなどが定期的に予定されており、アップデートやバックアップが実行された時にだけトラフィック量が一時的に増加する傾向にあるリンク２で計測されるトラフィックが示されている。
【００２４】
このような場合、運用者は、定常的なトラフィック量を元に閾値Ｔｈ２を設定し、通常時は特に異常が無ければトラフィック急増などの変化が検知されることはないが、ソフトウェアアップデートやデータバックアップなど一時的なトラフィック量の増加によってトラフィック量が閾値Ｔｈ２を超過し、トラフィック変化の検知が繰り返される状況が起こり得る。このように意図的または計画的に起こり得るトラフィック量の増加は、異常の発生ではないものの、異常が発生する場合と同じように閾値超過のアラートＡＬ３及びＡＬ４が通知されるので、運用者にとっては誤検知として不要な調査や確認などの作業が発生する原因となる。また、これらの誤検知を回避するために、閾値Ｔｈ２を大きな値に設定すると、ソフトウェアアップデートやデータバックアップが行われる時間帯以外の通常時に、ネットワークＮＷにおいて異常が発生してトラフィックが急増する場合に、その異常が検知されなくなってしまう。
【００２５】
図２及び図３に示す通り、ネットワークＮＷの規模や構成の複雑化に伴って複雑に変化するトラフィックに固定の閾値を設定するのでは、トラフィックの挙動を適切に分析するのは困難であることがわかる。これを解決するために、一例として、閾値を動的に変更しようとしても、リンクやポートが異なればトラフィックの時間変化の傾向も異なるので、閾値を動的に変更するアルゴリズムも個別に調整することになる。
【００２６】
これを背景にして、ニューラルネットワークを用いて、トラフィック量とその日付を対応付けて学習し、トラフィック量の変動の上限値を予測するトラフィック量予測装置が提案されている。
【００２７】
しかしながら、上記のトラフィック量予測装置は、ネットワークに含まれるポートやリンクを通過するトラフィックを局所的に分析するものに過ぎない。それ故、上記のトラフィック量予測装置では、ネットワーク全体のトラフィックを大局的に分析することができない場合がある。
【００２８】
［トラフィック分析機能の一側面］
そこで、本実施例に係るネットワーク管理装置１０は、ネットワークＮＷの外からネットワークＮＷ内へ入力される第１のトラフィックに基づいてネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを推定するモデルを学習し、第２のトラフィックの推定値と実測値を比較する。
【００２９】
図４は、トラフィックの学習方法の一例を示す図である。図４に示すＴＲ１１、ＴＲ１２及びＴＲ１３は、いずれかのエンドホストから送信されてネットワークＮＷへ入力され、ネットワークＮＷ内で転送される第１のトラフィックを指す。また、図４に示すＴＲ２１、ＴＲ２２及びＴＲ２３は、ネットワークＮＷ内で転送され、最終的にいずれかのエンドホストへ向けて出力される第２のトラフィックを指す。
【００３０】
ネットワーク管理装置１０は、多層構造のニューラルネットワークを用いる深層学習、いわゆるディープラーニングの教師データとして、各時刻における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴を用いる。以下、各時刻における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴、トラフィックの実測値の時系列データのことを「データセット」と記載する場合がある。
【００３１】
すなわち、ネットワーク管理装置１０は、現在より前の各時刻における第１のトラフィックＴＲ１１〜ＴＲ１３、および、第２のトラフィックＴＲ２１〜ＴＲ２３のデータを、それぞれニューラルネットの入力層および出力層の値として用い、順伝播による出力値計算、誤差計算（例えば二乗誤差など）、誤差逆伝播法および重み係数の最適化手法（例えば確率的勾配降下法やＡｄａｍなど）による誤差の最小化などの計算を行う。これにより、ネットワークＮＷに対して第１のトラフィックＴＲ１１〜ＴＲ１３がある値で入力された場合に、普段の挙動として、第２のトラフィックＴＲ２１〜ＴＲ２３がそれぞれどのような値となるかが学習されることになる。
【００３２】
例えば、確率的勾配降下法が用いられる場合、ネットワーク管理装置１０は、ある時刻における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴を１サンプルとして用いる。すなわち、ネットワーク管理装置１０は、第１のトラフィックＴＲ１１、ＴＲ１２及びＴＲ１３の実測値をニューラルネットワークのモデルの入力層へ入力することにより、第２のトラフィックＴＲ２１〜ＴＲ２３を推定する。このように推定される第２のトラフィックＴＲ２１〜ＴＲ２３のことを「推定値」と記載する場合がある。その上で、ネットワーク管理装置１０は、モデルから出力される第２のトラフィックＴＲ２１〜ＴＲ２３の推定値と、第２のトラフィックＴＲ２１〜ＴＲ２３の実測値との誤差を最小化するモデルの学習を実行する。すなわち、ネットワーク管理装置１０は、誤差の勾配を用いて出力層から順に入力層へ向かって各層のニューロンごとに求められた重みの修正量にしたがって重みの修正が実施される。このような学習がデータセットのサンプルごとに実施される。なお、ここでは、正例のラベルが付与されたサンプルを学習に用いる場合を例示したが、負例のラベルが付与されたサンプルを学習に用いることができるのは言うまでもない。
【００３３】
このようにニューラルネットワークのモデル学習を実行した上で、ネットワーク管理装置１０は、モデル学習により重み係数の最適化が行われたニューラルネットに対して、現在の第１のトラフィックＴＲ１１〜ＴＲ１３の値を入力層へ入力し、モデルの出力層から出力される第２のトラフィックＴＲ２１〜ＴＲ２３の計算結果を得る。この計算結果は、第１のトラフィックＴＲ１１〜ＴＲ１３に対し、普段の挙動に基づいて推定される現在の第２のトラフィックＴＲ２１〜ＴＲ２３の推定値と言える。
【００３４】
その後、ネットワーク管理装置１０は、第２のトラフィックＴＲ２１〜ＴＲ２３の推定値が計算結果として得られる度に、第２のトラフィックＴＲ２１〜ＴＲ２３の推定値と、ネットワークＮＷの通信装置３０で計測された同時刻の第２のトラフィックＴＲ２１〜ＴＲ２３の実測値とを比較する。例えば、第２のトラフィックＴＲ２１の推定値と実測値の差、第２のトラフィックＴＲ２２の推定値と実測値の差、さらには、第２のトラフィックＴＲ２３の推定値と実測値の差が所定の閾値以上であるか否かを判定する。
【００３５】
この結果を通じて、ネットワーク管理装置１０は、第２のトラフィックＴＲ２１〜ＴＲ２３の実測値が普段と同じ傾向であるか、それとも異なる傾向であるかを分析し、普段と異なる挙動が発生しているかどうかを検知することができる。例えば、推定値と実測値の差が閾値以上である場合、ネットワーク管理装置１０は、推定値と実測値の大小関係を比較する。そして、実測値が推測値よりも大きい場合、普段とトラフィックの傾向が異なる上、普段では想定されないほどトラフィックが異常に多い挙動を示していることを検出できる。例えばこの場合には、ネットワークＮＷの外から中へ入力されたトラフィックが、いずれかの通信装置３０の先に接続された端末やサーバ装置へ集中している状況や、ネットワークの外から中へ入力されたトラフィックを送信している端末装置がコンピュータウィルス等に感染し、不特定多数の宛先に対してトラフィックを送信している状況が、発生している可能性があることが予想される。また、実測値が推定値よりも小さい場合、普段とトラフィックの傾向が異なる上、普段では想定されないほどトラフィックが異常に少ない挙動を示していることを検出できる。例えばこの場合には、ネットワークＮＷの外から中へ入力されたトラフィックは普段通りの傾向であるが、ネットワークＮＷの内部で通信装置や回線の障害が発生し、トラフィックの輻輳やパケットロスによりネットワークＮＷの中から外へ送信されるトラフィックが減少した可能性があることが予想される。これらの挙動のうち、ネットワーク管理装置１０は、少なくともいずれか一方のアラートをクライアント端末５０へ出力することができる。
【００３６】
このように、本実施例に係るネットワーク管理装置１０は、ネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを推定して推定値と実測値を比較するので、ネットワークＮＷ全体のトラフィックを大局的に分析できる。さらに、本実施例に係るネットワーク管理装置１０では、第２のトラフィックの推測値と実測値を比較するので、トラフィックと比較する閾値が固定化されず、ネットワークＮＷの規模や構成の複雑化に伴って複雑に変化するトラフィックの挙動を適切に分析できる。
【００３７】
［ネットワーク管理装置１０の構成］
図５は、実施例１に係るネットワーク管理装置１０の機能的構成を示すブロック図である。図５に示すように、ネットワーク管理装置１０は、通信Ｉ／Ｆ（interface）部１１と、記憶部１３と、制御部１５とを有する。なお、ネットワーク管理装置１０は、図５に示した機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイスなどの機能部を有することとしてもかまわない。
【００３８】
通信Ｉ／Ｆ部１１は、他の装置、例えば通信装置３０やクライアント端末５０との間で通信制御を行うインタフェースである。
【００３９】
一実施形態として、通信Ｉ／Ｆ部１１は、ＬＡＮ（Local  Area  Network）カードなどのネットワークインタフェースカードを採用できる。例えば、通信Ｉ／Ｆ部１１は、各種のコマンドを通信装置３０へ送信したり、通信装置３０から通信装置３０が記憶するＣｏｎｆｉｇ情報やＭＩＢ（Management  Information  Base）の全部またはその一部を受信したりする。また、通信Ｉ／Ｆ部１１は、クライアント端末５０からネットワークＮＷに対する各種の設定を受け付けたり、ネットワークＮＷのトラフィックの分析結果、例えば異常のアラートをクライアント端末５０へ送信したりする。
【００４０】
記憶部１３は、制御部１５で実行されるＯＳ（Operating  System）を始め、上記のネットワーク管理サービスを実現するネットワーク管理プログラムなどの各種プログラムに用いられるデータを記憶する記憶デバイスである。
【００４１】
一実施形態として、記憶部１３は、ネットワーク管理装置１０における補助記憶装置に対応する。例えば、記憶部１３には、ＨＤＤ（Hard  Disk  Drive）、光ディスクやＳＳＤ（Solid  State  Drive）などを採用できる。この他、ＥＰＲＯＭ（Erasable  Programmable  Read  Only  Memory)などのフラッシュメモリも補助記憶装置に対応する。
【００４２】
記憶部１３は、制御部１５で実行されるプログラムに用いられるデータの一例として、トポロジ情報１３ａと、トラフィック情報１３ｂと、モデル情報１３ｃとを記憶する。これらトポロジ情報１３ａ、トラフィック情報１３ｂ及びモデル情報１３ｃ以外にも、他の電子データを併せて記憶することもできる。例えば、記憶部１３には、ネットワーク管理者等のユーザの権限を管理するために、ユーザごとに設定操作や閲覧を許可する通信装置３０または通信装置３０のグループが規定されたユーザ権限情報なども記憶することができる。なお、ここでは、ニューラルネットワークのモデルが学習される前から保存できるトポロジ情報１３ａの説明を先行して行い、トラフィック情報１３ｂ及びモデル情報１３ｃについては生成が行われる制御部１５の機能部の説明に合せて行うこととする。
【００４３】
トポロジ情報１３ａは、ネットワークＮＷの接続形状に関する情報である。このトポロジ情報１３ａには、デバイス情報１３ａ１、ポート情報１３ａ２及びリンク情報１３ａ３などが含まれる。
【００４４】
このうち、デバイス情報１３ａ１には、通信装置３０に関する情報が定義される。例えば、デバイス情報１３ａ１には、デバイスＩＤ（IDentification）やデバイス名、ＩＰアドレスなどの項目が対応付けられたデータを採用できる。ここで言う「デバイスＩＤ」とは、通信装置３０を識別する識別情報を指す。また、「デバイス名」とは、通信装置３０に定義された名称を指す。また、「ＩＰアドレス」は、言葉通りの意味であるが、ここでは、デバイスＩＤを持つ通信装置３０に割り当てられたＩＰアドレスを指し、例えば、ネットワークＮＷの構築時にＳＥ等により設定される。なお、ここでは、通信装置３０を定義する項目の一例として、デバイス名やＩＰアドレスを例示したが、この他にも通信装置３０の性能情報などの他の項目をデバイス情報１３ａ１にさらに含めることもできる。
【００４５】
また、ポート情報１３ａ２には、通信装置３０が有するポートに関する情報が定義される。例えば、ポート情報１３ａ２には、デバイスＩＤやポートＩＤ、インタフェース名、ＶＬＡＮ設定などの項目が対応付けられたデータを採用できる。ここで言う「デバイスＩＤ」は、デバイス情報１３ａ１に含まれるデバイスＩＤと同様に、通信装置３０の識別情報を指すが、ここでは、ポートＩＤで識別されるポートを有する通信装置３０のことを意味する。また、「ポートＩＤ」とは、通信装置３０が有するポートを識別する識別情報を指す。また、「インタフェース名」とは、ポートに定義されたインタフェースの名称を指す。また、「ＶＬＡＮ設定」とは、ポートベースＶＬＡＮやタグＶＬＡＮなどの設定を指す。
【００４６】
また、リンク情報１３ａ３は、通信装置３０のポート間を接続するリンクに関する情報が定義される。例えば、リンク情報１３ａ３には、リンクＩＤ、デバイスＩＤ１、ポートＩＤ１、デバイスＩＤ２及びポートＩＤ２などの項目が対応付けられたデータを採用できる。ここで言う「リンクＩＤ」とは、リンクを識別する識別情報を指す。また、「ポートＩＤ１」及び「ポートＩＤ２」は、ポート情報１３ａ２に含まれるポートＩＤと同様に、ポートの識別情報を指すが、ここでは、リンクＩＤで識別されるリンクを接続する２つのポートの識別情報を意味する。さらに、「デバイスＩＤ１」及び「デバイスＩＤ２」は、デバイス情報１３ａ１に含まれるデバイスＩＤと同様に、通信装置３０の識別情報を指すが、ここでは、ポートＩＤ１で識別されるポートを有する通信装置３０の識別情報と、ポートＩＤ２で識別されるポートを有する通信装置３０の識別情報のことを意味する。このように、リンク情報１３ａ３には、ポート情報１３ａ２に含まれるポートの中でも、結線済みのポートまたはリンクアップ後のポートが登録される。
【００４７】
制御部１５は、ネットワーク管理装置１０の全体制御を行う処理部である。
【００４８】
一実施形態として、制御部１５は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などのハードウェアプロセッサにより実装することができる。ここでは、プロセッサの一例として、ＣＰＵやＭＰＵを例示したが、汎用型および特化型を問わず、任意のプロセッサにより実装することができる。例えば、制御部１５は、ＧＰＧＰＵ（General-Purpose  computing  on  Graphics  Processing  Units）等により実装することもできる。この他、制御部１５は、ＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）などのハードワイヤードロジックによって実現されることとしてもかまわない。
【００４９】
制御部１５は、図示しない主記憶装置として実装されるＤＲＡＭ（Dynamic  Random  Access  Memory）やＳＲＡＭ（Static  Random  Access  Memory）などのＲＡＭのワークエリア上に、上記のネットワーク管理サービスの機能を実現する管理プログラムを展開することにより、下記の処理部を仮想的に実現する。
【００５０】
制御部１５は、図５に示すように、取得部１５ａと、選択部１５ｂと、第１の設定部１５ｃと、第２の設定部１５ｄと、学習実行部１５ｅと、推定部１５ｆと、比較部１５ｇと、出力部１５ｈとを有する。
【００５１】
取得部１５ａは、通信装置３０から各種の情報を取得する処理部である。
【００５２】
一実施形態として、取得部１５ａは、ＳＮＭＰ（Simple  Network  Management  Protocol）マネージャなどにより実装できる。例えば、取得部１５ａは、通信装置３０上で動作するＳＮＭＰエージェントにＳＮＭＰコマンドを所定の間隔、例えば５分間で送信することにより、各通信装置３０のＭＩＢ情報を定期的に取得する。このとき、取得部１５ａは、ＭＩＢ情報のうちインタフェース情報を取得するオブジェクトＩＤを指定してＳＮＭＰコマンドをＳＮＭＰエージェントへ送信することにより、ＳＮＭＰエージェントが指定するポートのトラフィック量を取得することができる。このようにポート単位で取得されるトラフィックの時系列データ、すなわちトラフィックの履歴がトラフィック情報１３ｂとして記憶部１３へ保存される。このトラフィック情報１３ｂがニューラルネットワークのモデルの学習に用いられる。また、ニューラルネットワークのモデルの学習後には、第２のトラフィックの推定を行うために、取得部１５ａにより取得された第２のトラフィックが推定部１５ｆへ入力される。
【００５３】
なお、ここでは、ＭＩＢ情報の取得によりトラフィック量を取得する場合を例示したが、他の方法によりトラフィック量を取得することもできる。例えば、通信装置３０にＳＳＨ接続を行って通信装置３０にログインした上でshow系のコマンドを送信する。これにより、通信装置３０から各ポートのトラフィック量などのインタフェース情報をコマンドの戻り値として取得することもできる。
【００５４】
選択部１５ｂは、学習対象とするトラフィックを選択する処理部である。
【００５５】
一実施形態として、選択部１５ｂは、クライアント端末５０から学習の実行指示を受け付けた場合、あるいはトラフィック情報１３ｂとして所定のサンプル数に対応するトラフィックの履歴が記憶部１３に蓄積された場合、次のような処理を実行する。すなわち、選択部１５ａは、記憶部１３に記憶されたトポロジ情報１３ａを参照して、ネットワークＮＷの外からネットワークＮＷ内へ入力される第１のトラフィックを受信する通信装置３０、及び、ネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを送信する通信装置３０を選択する。続いて、選択部１５ｂは、第１のトラフィックを受信する通信装置３０ごとに当該通信装置３０が有するポートのうち第１のトラフィックの受信に用いられるポートを選択すると共に、第２のトラフィックを送信する通信装置３０ごとに当該通信装置３０が有するポートのうち第２のトラフィックの送信に用いるポートを選択する。
【００５６】
第１の設定部１５ｃは、ニューラルネットワークのモデルの初期パラメータを設定する処理部である。
【００５７】
一実施形態として、第１の設定部１５ｃは、選択部１５ｂにより選択された第１のトラフィックの数および第２のトラフィックの数に基づいて、ニューラルネットにおける入力層の入力数および出力層の出力数を設定する。例えば、第１の設定部１５ｃは、モデルの入力層に第１のトラフィックの受信に用いるポートと同数のニューロンを設定すると共に、モデルの出力層に第２のトラフィックの送信に用いるポートと同数のニューロンを設定する。また、第１の設定部１５ｃは、隠れ層の層数、隠れ層の各層のニューロン数の初期値を設定する。この初期値は、一例として、ネットワークＮＷの規模によらず、固定値を用いることができる。この他、トポロジ情報１３ａに基づいて設定することができる。例えば、通信装置３０の数に応じて初期値を設定することができる。さらに、第１の設定部１５ｃは、学習実行部１５ｅによるモデル学習の実行後に誤差が所定の閾値以内に収束しない場合、隠れ層の層数、隠れ層の各層のニューロン数の設定を変更することができる。
【００５８】
第２の設定部１５ｄは、ニューラルネットワークのモデルの学習パラメータを設定する処理部である。
【００５９】
一実施形態として、第２の設定部１５ｄは、学習パラメータとして、モデルの学習に用いるサンプルの数やモデルの学習を実施する回数などを設定する。以下、モデルの学習に用いるサンプルの数のことを「学習サンプル数」と記載し、モデルの学習を実施する回数のことを「学習回数」と記載する場合がある。この学習パラメータには、一例として、上記の管理プログラムの開発者又は設計者等により設定された値を用いることができる他、ネットワーク管理者がリクエストする精度から逆算して設定することもできる。
【００６０】
学習実行部１５ｅは、多層構造のニューラルネットワークをモデルとして用いる深層学習、いわゆるディープラーニングを実行する処理部である。
【００６１】
一実施形態として、学習実行部１５ｅは、記憶部１３に記憶されたトラフィック情報１３ｂのうち、第１のトラフィックの受信に用いるポートで計測された第１のトラフィックおよび第２のトラフィックの送信に用いるポートで計測された第２のトラフィックを読み出す。このとき、学習実行部１５ｅは、一例として、学習が開始された時刻から遡って、第２の設定部１５ｄにより設定された学習サンプル数分の第１のトラフィック及び第２のトラフィックの履歴をデータセットとして記憶部１３から読み出す。
【００６２】
その上で、学習実行部１５ｅは、データセットに含まれるサンプルごとに、次のような処理を実行する。例えば、図４に示す例で言えば、学習実行部１５ｅは、第１のトラフィックＴＲ１１、ＴＲ１２及びＴＲ１３の実測値をニューラルネットワークのモデルの入力層へ入力することにより、第２のトラフィックＴＲ２１〜ＴＲ２３を推定する。その後、学習実行部１５ｅは、モデルから出力される第２のトラフィックＴＲ２１〜ＴＲ２３の推定値と、第２のトラフィックＴＲ２１〜ＴＲ２３の実測値との誤差、例えば平均二乗誤差や平均平方二乗誤差などを最小化するモデルの学習を実行する。すなわち、ネットワーク管理装置１０は、誤差の勾配を用いて出力層から順に入力層へ向かって各層のニューロンごとに求められた重みの修正量にしたがって重みの修正が実施される。このような学習をサンプルごとに実行した上で、学習実行部１５ｅは、第２の設定部１５ｄにより設定された学習回数にわたってデータセットの学習を繰り返し実行する。この結果として得られたモデルのパラメータ、すなわちニューラルネットワークを形成する入力層、隠れ層及び出力層の各層のニューロンやシナプスなどの層構造を始め、各層の重みやバイアスなどのパラメータなどがモデル情報１３ｃとして記憶部１３に保存される。
【００６３】
推定部１５ｆは、ニューラルネットワークのモデルを用いて、第２のトラフィックを推定する処理部である。
【００６４】
一実施形態として、推定部１５ｆは、記憶部１３にモデル情報１３ｃが保存された後、取得部１５ａにより入力層の各ニューロンに対応する第１のトラフィックが取得される度に、次のような処理を実行することができる。例えば、図４に示す例で言えば、推定部１５ｆは、取得部１５ａにより取得された入力層の各ニューロンに対応する第１のトラフィックＴＲ１１、ＴＲ１２及びＴＲ１３の実測値をモデル情報１３ｃにより定まるモデルの入力層へ入力する。これにより、モデルの出力層から第２のトラフィックＴＲ２１〜ＴＲ２３の計算結果、すなわち推定値が出力される。
【００６５】
比較部１５ｇは、第２のトラフィックの推定値と実測値を比較する処理部である。
【００６６】
一実施形態として、比較部１５ｇは、推定部１５ｆにより推定された第２のトラフィックの推定値と、取得部１５ａにより取得された第２のトラフィックの実測値とを比較する。例えば、図４に示す例で言えば、比較部１５ｇは、第２のトラフィックＴＲ２１の推定値と実測値の差、第２のトラフィックＴＲ２２の推定値と実測値の差、さらには、第２のトラフィックＴＲ２３の推定値と実測値の差が所定の閾値以上であるか否かを判定する。なお、ここでは、一例として、第２のトラフィックＴＲ２２の推定値と実測値を比較する場合を例示したが、第２のトラフィックの実測値の代わりに所定の閾値を用い、第２のトラフィックＴＲ２２の推定値と所定の閾値を比較することとしてもかまわない。
【００６７】
出力部１５ｈは、比較部１５ｇによる比較結果を出力する処理部である。
【００６８】
一実施形態として、出力部１５ｈは、比較部１５ｇにより第２のトラフィックの推定値と実測値が比較される度に、第２のトラフィックの推定値と実測値の差をクライアント端末５０へ出力することができる。この他、出力部１５ｈは、第２のトラフィックの推定値と実測値の差が閾値以上である場合、アラートをクライアント端末５０へ出力することができる。このとき、出力部１５ｈは、実測値が推測値よりも大きい場合に絞ってアラートを出力することもできるし、推測値が実測値よりも小さい場合に絞ってアラートを出力することもできる。なお、第２のトラフィックＴＲ２２の推定値が閾値以上である場合、アラートを出力することもできる。
【００６９】
［処理の流れ］
次に、本実施例に係るネットワーク管理装置１０の処理の流れについて説明する。ここでは、ネットワーク管理装置１０により実行される（１）学習処理を説明した後に、ネットワーク管理装置１０により実行される（２）トラフィックの監視処理を説明することとする。
【００７０】
（１）学習処理
図６は、実施例１に係る学習処理の手順を示すフローチャートである。この処理は、一例として、クライアント端末５０から学習の実行指示を受け付けた場合、あるいはトラフィック情報１３ｂとして所定のサンプル数に対応するトラフィックの履歴が記憶部１３に蓄積された場合に開始される。
【００７１】
図６に示すように、選択部１５ｂは、記憶部１３に記憶されたトポロジ情報１３ａを参照して、ネットワークＮＷの外からネットワークＮＷ内へ入力される第１のトラフィックを受信する通信装置３０、及び、ネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを送信する通信装置３０を選択する（ステップＳ１０１）。
【００７２】
続いて、選択部１５ｂは、ステップＳ１０１で第１のトラフィックを受信する通信装置３０として選択された通信装置３０が有するポートのうち第１のトラフィックの受信に用いられるポートを選択すると共に、ステップＳ１０１で第２のトラフィックを送信する通信装置３０として選択された通信装置３０が有するポートのうち第２のトラフィックの送信に用いるポートを選択する（ステップＳ１０２）。
【００７３】
そして、第１の設定部１５ｃは、ステップＳ１０２で選択された第１のトラフィックの数および第２のトラフィックの数に基づいて、ニューラルネットにおける入力層の入力数および出力層の出力数を設定する（ステップＳ１０３）。さらに、第２の設定部１５ｄは、モデルの学習に用いるサンプルの数やモデルの学習を実施する回数などの学習パラメータを設定する（ステップＳ１０４）。
【００７４】
その上で、学習実行部１５ｅは、ステップＳ１０４で設定された学習回数にわたってステップＳ１０４で設定された学習サンプル数に対応するデータセットに含まれるサンプルごとに次のような学習処理を実行する（ステップＳ１０５）。すなわち、学習実行部１５ｅは、ステップＳ１０２で選択された第１のトラフィックの受信ポートで計測される第１のトラフィックの実測値をステップＳ１０３で設定されたモデルの入力層へ入力することにより得られた第２のトラフィックの推定値と、第２のトラフィックの実測値との誤差を最小化するモデルの学習を実行する。
【００７５】
（２）トラフィックの監視処理
図７は、実施例１に係るトラフィックの監視処理の手順を示すフローチャートである。この処理は、一例として、記憶部１３にモデル情報１３ｃが保存された後に実行することができる。
【００７６】
図７に示すように、取得部１５ａにより入力層の各ニューロンに対応する第１のトラフィックの実測値が取得されると（ステップＳ２０１）、推定部１５ｆは、ステップＳ２０１で取得された入力層の各ニューロンに対応する第１のトラフィックの実測値をモデル情報１３ｃにより定まるモデルの入力層へ入力することにより、第２のトラフィックを推定する（ステップＳ２０２）。
【００７７】
続いて、比較部１５ｇは、取得部１５ａにより取得された出力層の各ニューロンに対応する第２のトラフィックの実測値と、ステップＳ２０２で推定された第２のトラフィックの推定値とを比較する（ステップＳ２０３）。
【００７８】
ここで、第２のトラフィックの推定値と実測値の差が閾値以上である場合（ステップＳ２０４Ｙｅｓ）、出力部１５ｈは、クライアント端末５０にアラートを出力し（ステップＳ２０５）、ステップＳ２０１へ移行する。一方、第２のトラフィックの推定値と実測値の差が閾値以上でない場合（ステップＳ２０４Ｎｏ）、ステップＳ２０５の処理をスキップし、ステップＳ２０１へ移行する。
【００７９】
［効果の一側面］
上述してきたように、本実施例に係るネットワーク管理装置１０は、ネットワークＮＷの外からネットワークＮＷ内へ入力される第１のトラフィックに基づいてネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを推定するモデルを学習し、第２のトラフィックの推定値と実測値を比較する。したがって、本実施例に係るネットワーク管理装置１０によれば、ネットワークＮＷ全体のトラフィックを大局的に分析できる。さらに、本実施例に係るネットワーク管理装置１０では、ネットワークＮＷの規模や構成の複雑化に伴って複雑に変化するトラフィックの挙動を適切に分析することもできる。
【実施例２】
【００８０】
さて、これまで開示の装置に関する実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施例を説明する。
【００８１】
［第１のトラフィックの推定］
上記の実施例１では、第１のトラフィックの実測値から第２のトラフィックを推定するモデルを学習する場合を例示したが、第２のトラフィックの実測値から第１のトラフィックを推定するモデルを学習することもできる。
【００８２】
図８は、トラフィックの学習方法の他の一例を示す図である。図８に示すＴＲ１１、ＴＲ１２及びＴＲ１３は、いずれかのエンドホストから送信されてネットワークＮＷへ入力され、ネットワークＮＷ内で転送される第１のトラフィックを指す。また、図８に示すＴＲ２１、ＴＲ２２及びＴＲ２３は、ネットワークＮＷ内で転送され、最終的にいずれかのエンドホストへ向けて出力される第２のトラフィックを指す。
【００８３】
ここで、ネットワーク管理装置１０は、上記の実施例１と同様、多層構造のニューラルネットワークを用いる深層学習、いわゆるディープラーニングの教師データとして、各時刻における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴を用いるが、入力層に入力される入力データとして、第１のトラフィックＴＲ１１〜ＴＲ１３の実測値の代わりに第２のトラフィックＴＲ２１〜ＴＲ２３の実測値をモデルの入力層へ入力し、第１のトラフィックを推定する点が異なる。
【００８４】
例えば、確率的勾配降下法が用いられる場合、ネットワーク管理装置１０は、ある時刻における第２のトラフィックＴＲ２１〜ＴＲ２３の実測値および第１のトラフィックＴＲ１１〜ＴＲ１３の実測値の履歴を１サンプルとして用いる。すなわち、ネットワーク管理装置１０は、第２のトラフィックＴＲ２１、Ｔ２２及びＴＲ２３の実測値をニューラルネットワークのモデルの入力層へ入力することにより、第１のトラフィックＴＲ１１〜ＴＲ１３を推定する。その上で、ネットワーク管理装置１０は、モデルから出力される第１のトラフィックＴＲ１１〜ＴＲ１３の推定値と、第１のトラフィックＴＲ１１〜ＴＲ１３の実測値との誤差を最小化するモデルの学習を実行する。
【００８５】
このようにニューラルネットワークのモデル学習を実行した上で、ネットワーク管理装置１０は、モデル学習により重み係数の最適化が行われたニューラルネットに対して、現在の第２のトラフィックＴＲ２１〜ＴＲ２３の値を入力層へ入力し、モデルの出力層から出力される第１のトラフィックＴＲ１１〜ＴＲ１３の計算結果を得る。この計算結果は、第２のトラフィックＴＲ２１〜ＴＲ２３に対し、普段の挙動に基づいて推定される現在の第１のトラフィックＴＲ１１〜ＴＲ１３の推定値と言える。
【００８６】
その後、ネットワーク管理装置１０は、第１のトラフィックＴＲ１１〜ＴＲ１３の推定値が計算結果として得られる度に、第１のトラフィックＴＲ１１〜ＴＲ１３の推定値と、ネットワークＮＷの通信装置３０で計測された同時刻の第１のトラフィックＴＲ１１〜ＴＲ１３の実測値とを比較する。例えば、第１のトラフィックＴＲ１１の推定値と実測値の差、第１のトラフィックＴＲ１２の推定値と実測値の差、さらには、第１のトラフィックＴＲ１３の推定値と実測値の差が所定の閾値以上であるか否かを判定する。
【００８７】
この結果を通じて、ネットワーク管理装置１０は、第１のトラフィックＴＲ１１〜ＴＲ１３の実測値が普段と同じ傾向であるか、それとも異なる傾向であるかを分析し、普段と異なる挙動が発生しているかどうかを検知することができる。例えば、推定値と実測値の差が閾値以上である場合、ネットワーク管理装置１０は、推定値と実測値の大小関係を比較する。そして、実測値が推測値よりも大きい場合、ネットワークＮＷ外から入力されるトラフィックの傾向が普段と異なる上、普段では想定されないほどトラフィックが異常に多い挙動を示していることを検出できる。また、実測値が推測値よりも小さい場合、ネットワークＮＷ外から入力されるトラフィックの傾向が普段と異なる上、普段では想定されないほどトラフィックが異常に少ない挙動を示していることを検出できる。これらの挙動のうち、ネットワーク管理装置１０は、少なくともいずれか一方のアラートをクライアント端末５０へ出力することができる。
【００８８】
このように、ネットワーク管理装置１０は、ネットワークＮＷ外から入力されるトラフィックの挙動を分析することができる。さらに、ネットワーク管理装置１０は、上記の実施例１と組み合わせることにより、ネットワークＮＷ外から入力されるトラフィックの挙動およびネットワークＮＷ外へ出力されるトラフィックの挙動の両方を分析することもできる。
【００８９】
［ネットワークの利用情報を用いる学習］
ネットワーク管理装置１０は、第１のトラフィックの実測値および第２のトラフィックの実測値に加えて、ネットワークの利用情報をさらに用いて、第２のトラフィックを推定することもできる。
【００９０】
ここで、ネットワークの利用情報の一例として、エンドホスト、例えば端末装置やサーバ装置などの稼働日、いわゆる営業日に関するインデックスを採用することができる。図９は、トラフィックの学習方法の他の一例を示す図である。例えば、エンドホストが所属する事業者が企業や教育機関などの団体である場合、カレンダにおける曜日や祝日、およびその団体が規定する営業日や休業日、また営業時間や休業時間などにより、「０」、「１」、「０．５」などのインデックスを付与することができる。具体例を挙げれば、月曜から金曜までの平日などのように、午前および午後の終日にわたって営業が行われる日付に計測されるトラフィックには、「１」が付与される。また、午前または午後の半日の営業、いわゆる半ドンが行われる日付に計測されるトラフィックには、「０．５」が付与される。この他、日曜や祝祭日などの休業日に計測されるトラフィックには、「０」が付与される。
【００９１】
図９に示すように、上記のインデックスが付与されたインデックスデータＩｘ３１をさらに参照して、ネットワーク管理装置１０は、モデルの入力層にインデックス付きの第１のトラフィックの実測値を学習のサンプルとして入力することもできる。すなわち、モデルの入力層には、第１のトラフィックＴＲ１１〜ＴＲ１３に加えて、インデックスデータＩｘ３１に定義されたインデックスを入力するニューロンが追加して設定された上で、当該ニューロンには、インデックスデータＩｘ３１に定義されたインデックスにしたがって「０」、「０．５」または「１」が入力される。これにより、第２のトラフィックＴＲ２１〜ＴＲ２３の推定精度を高めることが可能になる。
【００９２】
［エッジに位置する通信装置のトラフィックを学習］
選択部１５ｂは、学習対象とするトラフィックとして、ネットワークＮＷのエッジに位置する通信装置３０が受信する第１のトラフィックまたはネットワークＮＷのエッジに位置する通信装置３０から送信される第２のトラフィックを選択することができる。
【００９３】
図１０は、トラフィックの学習方法の他の一例を示す図である。図１０には、ネットワークＮＷに含まれる９つの通信装置３０Ａ〜３０Ｉのトポロジが示されている。図１０には、説明の便宜上、通信装置３０間を接続するリンクを１つに集約して示しているが、必ずしも１つのリンクで接続されずともよく、アクセスポートで接続されるリンクやトランクポートで接続されるリンクが複数含まれていてもかまわない。
【００９４】
図１０に示すトポロジでネットワークＮＷが形成される場合、通信装置３０Ａ〜３０Ｆは、エンドホストやネットワークＮＷとは異なる他のネットワークに接続されており、ネットワークＮＷのエッジに位置していると識別できる。一方、通信装置３０Ｇ〜３０Ｉは、通信装置３０Ａ〜３０Ｆから転送されたパケットを中継しており、ネットワークＮＷにおいて内部に位置していると識別できる。
【００９５】
このような場合、選択部１５ｂは、学習対象として、通信装置３０Ａ〜３０Ｆを選択する。さらに、選択部１５ｂは、通信装置３０Ａ〜３０Ｆが有するポートのうち第１のトラフィックが受信されるポートおよび第２のトラフィックが送信されるポートを選択する。例えば、通信装置３０Ａを例に挙げれば、第１のトラフィックＴＲ１１を受信するポートと、第２のトラフィックＴＲ２１が送信されるポートとが学習対象として選択される。その上で、学習実行部１５ｅは、第１のトラフィックＴＲ１１〜ＴＲ１６の実測値をニューラルネットワークのモデルの入力層へ入力することにより、第２のトラフィックＴＲ２１〜ＴＲ２６を推定する。そして、学習実行部１５ｅは、モデルから出力される第２のトラフィックＴＲ２１〜ＴＲ２６の推定値と、第２のトラフィックＴＲ２１〜ＴＲ２６の実測値との誤差を最小化するモデルの学習を実行する。
【００９６】
これにより、ネットワーク管理装置１０は、多くの通信装置３０を含む大規模なネットワークＮＷであっても、モデル学習の計算量を低減することができる。なお、図１０では、通信装置３０Ａ〜３０Ｆにおいて、送信元または宛先のエンドホストと接続している側のポートで計測される第１のトラフィックＴＲ１１〜ＴＲ１６および第２のトラフィックＴＲ２１〜ＴＲ２６を学習に用いる場合を例示したが、通信装置３０Ｇ〜３０Ｉと接続している側のポートで計測される第１のトラフィックをモデル学習に用いることとしてもかまわない。なぜなら、通信装置３０Ａ〜３０Ｆにおいて、通信装置３０Ｇ〜３０Ｉと接続している側のポートで計測される第１のトラフィックの合計および第２のトラフィックの合計は、送信元または宛先のエンドホストと接続している側のポートで計測される第１のトラフィックＴＲ１１〜ＴＲ１６および第２のトラフィックＴＲ２１〜ＴＲ２６の合計とそれぞれ等価であるからである。
【００９７】
［指定されたレイヤのトラフィックの学習］
選択部１５ｂは、学習対象とするトラフィックとして、所定のレイヤに位置する通信装置３０で送受信されるトラフィックを選択することもできる。
【００９８】
図１１は、レイヤ別のトラフィックの一例を示す図である。図１１には、ネットワークＮＷに含まれる９つの通信装置３０Ａ〜３０Ｉのトポロジが示されている。図１１に示すように、ネットワークＮＷには、レイヤａおよびレイヤｂの２階層が含まれる。このうち、レイヤａには、イーサネット（登録商標）フレームを転送するイーサネット（登録商標）スイッチまたはＭＰＬＳスイッチなどにより実装される３つの通信装置３０Ｇ〜３０Ｉが含まれる。一方、レイヤｂには、レイヤａよりも上位のレイヤとして、ＩＰルーティングを行うルータなどにより実装される６つの通信装置３０Ａ〜３０Ｆが含まれる。
【００９９】
ここで、一例として、クライアント端末５０への入力操作を介してレイヤａが監視対象として選択されたとしたとき、ネットワーク管理装置１０は、レイヤａを学習対象として識別する。この場合、ネットワーク管理装置１０は、通信装置３０Ａ〜３０Ｆから送信され、通信装置３０Ｇ〜３０Ｉで受信される第１のトラフィックＴＲ１１〜ＴＲ１６をニューラルネットの入力層の値として用いるとともに、通信装置３０Ｇ〜３０Ｉによって宛先に応じて中継され、通信装置３０Ｇ〜３０Ｉから通信装置３０Ａ〜３０Ｆへ向けて送信される第２のトラフィックＴＲ２１〜ＴＲ２６をニューラルネットの出力層の値として用いて、前述の学習を行う。
【０１００】
すなわち、選択部１５ｂは、学習対象として、通信装置３０Ｇ〜３０Ｉを選択する。さらに、選択部１５ｂは、通信装置３０Ｇ〜３０Ｉが有するポートのうち通信装置３０Ａ〜３０Ｆの対向ポートから第１のトラフィックを受信するポートおよび通信装置３０Ａ〜３０Ｆの対向ポートへ第２のトラフィックを送信するポートを選択する。例えば、通信装置３０Ｇを例に挙げれば、第１のトラフィックＴＲ１１を受信するポート及び第１のトラフィックＴＲ１２を受信するポートと、第２のトラフィックＴＲ２１が送信されるポート及び第２のトラフィックＴＲ２２が送信されるポートとが学習対象として選択される。その上で、学習実行部１５ｅは、第１のトラフィックＴＲ１１〜ＴＲ１６の実測値をニューラルネットワークのモデルの入力層へ入力することにより、第２のトラフィックＴＲ２１〜ＴＲ２６を推定する。そして、学習実行部１５ｅは、モデルから出力される第２のトラフィックＴＲ２１〜ＴＲ２６の推定値と、第２のトラフィックＴＲ２１〜ＴＲ２６の実測値との誤差を最小化するモデルの学習を実行する。
【０１０１】
これにより、ネットワークＮＷが多くの通信装置３０を含み、複数のレイヤを含む大規模なネットワークであっても、所望のレイヤに選択して普段と異なる挙動が発生しているかどうかを検知できる。
【０１０２】
［学習サンプル数の決定］
通信ネットワークのトラフィックを学習する場合、必ずしも学習サンプル数が多いほどトラフィックの推定精度が向上するとは限らない。すなわち、通信ネットワークにおけるトラフィック特性は様々である。例えば、毎日同様のトラフィックの推移を繰り返すようなリンクもあれば、平日は毎日同じ推移であるが、週末は平日とは異なる推移となり、これが週毎に繰り返されるような特性を示すリンクもある。また、例えば、ある程度の期間が経つと、ユーザ数の増減やネットワーク構成の変更などが行われることにより、ある時点を境にトラフィックの特性が変わることも有る。
【０１０３】
ニューラルネットによる学習およびパターン認識の例として、広く知られている手書き数字や動物の写真の認識のように、特徴が不変のデータパターンを学習する場合、学習サンプル数が多いほど推定精度がより向上することになる。しかし、通信ネットワークのトラフィックをニューラルネットにより学習する場合、トラフィック毎にトラフィック特性は異なり、しかも不変ではなく時間が経つと変化することがある。このため、通信ネットワークのトラフィックを学習する場合、教師データとして用いる過去のトラフィックの実測値は多い方が良いとは限らず、トラフィック特性が変わった時点よりも前の古いデータまで用いて学習させてしまうと、かえって誤差が大きくなってしまう場合がある。
【０１０４】
図１２は、学習サンプル数および誤差の関係の一例を示す図である。図１２に示すグラフの縦軸は、誤差、例えば推定値と実測値の差分の平均二乗和を指し、横軸は、教師データとする学習サンプル数を指す。ここで例として、例えば学習サンプルが５分周期で計測された第１および第２トラフィックの実測値であった場合は、教師データ数が１０００であれば過去５分前から５０００分前までの実測データ、また教師データ数が２０００であれば過去５分前から１００００分前までの実測データ、を学習サンプルとして用いるということを意味する。図１２に示すように、学習サンプル数が５０００になるあたりまでは学習サンプル数が増加するほど誤差が小さくなる傾向にあるが、学習サンプル数が５０００を超えたあたりからその傾向には当てはまらなくなる。すなわち、学習サンプル数が７５００となったあたりで誤差が最小となり、学習サンプル数が７５００を超えると誤差が上昇する局面に入り、学習サンプル数が９０００になったあたりでは学習サンプル数が７５００である場合よりも誤差が上昇している。
【０１０５】
このことから、第２の設定部１５ｄは、複数の学習サンプル数の候補ごとにトラフィックを学習し、最も誤差が少ない学習サンプル数の候補で学習されたモデルをトラフィックの推定に用いることができる。
【０１０６】
例えば、ネットワーク管理装置１０は、教師データとして用いる過去のトラフィックの実測値の履歴の期間を変えることにより学習サンプル数を変更しながら、所定の学習回数で学習を試験的に行ってみて、誤差が最も小さくなる、あるいは所定の精度を満たす学習サンプル数を採用しても良い。例えば、過去１日分、過去５日分、過去７日分のトラフィックの実測値の履歴を教師データとして学習を行い、過去５日分の場合に最も誤差が小さくなる場合には、過去５日分の教師データを用いて次回以降の学習を行っても良い。
【０１０７】
図１３は、応用例に係る学習処理の手順を示すフローチャートである。図１３には、図６に示すフローチャートと手順が異なるステップが抜粋して示されている。図１３に示すように、第１の設定部１５ｃによりニューラルネットにおける入力層の入力数および出力層の出力数が設定されると（ステップＳ１０３）、第２の設定部１５ｄは、複数の学習サンプル数の候補の間で同一の学習回数を設定する（ステップＳ３０１）。
【０１０８】
その後、学習実行部１５ｅは、複数の学習サンプル数の候補のうち１つを選択する（ステップＳ３０２）。続いて、学習実行部１５ｅは、ステップＳ３０１で設定された学習回数にわたってステップＳ３０２で候補として選択された学習サンプル数に対応するデータセットに含まれるサンプルごとに学習処理を実行する（ステップＳ３０３）。
【０１０９】
そして、全ての学習サンプル数の候補が選択されるまで（ステップＳ３０４Ｎｏ）、上記のステップＳ３０２及びステップＳ３０３の処理が繰り返し実行される。その後、全ての学習サンプル数の候補が選択された場合（ステップＳ３０４Ｙｅｓ）、学習実行部１５ｅは、学習サンプル数の候補ごとに学習が行われたモデルのうち誤差が最小である学習サンプル数の候補で学習が行われたモデルを選択し（ステップＳ３０５）、ステップＳ３０５で選択されたモデルのパラメータがモデル情報１３ｃとして記憶部１３に保存される。
【０１１０】
これにより、学習に用いる教師データの数が過度に多くなることを抑制できる結果、トラフィックの推定精度を高めることができる。
【０１１１】
［学習回数の決定］
前述の通り、通信ネットワークにおけるトラフィックの特性は様々である。また、通信ネットワークの規模、すなわち学習の対象となるトラフィックの数も様々である。例えば、毎日同様に、時間的な変化が少ない単調なトラフィック特性を示すリンクもあれば、日や時間帯によって複雑に変化するトラフィック特性を示すリンクもある。ニューラルネットにより学習を行う場合、計算回数は、前者のような単調なデータパターンを学習する場合よりも、後者のような複雑なデータパターンを学習する場合の方が、より多くの学習回数が要求される。このため、第２の設定部１５ｄは、学習回数を増加させながら誤差の収束を判定し、誤差が最小となる学習回数、誤差が所定の閾値以内となった学習回数、あるいは所定の推定精度を満たす学習回数を採用することができる。なお、誤差が閾値以内であろうと、あるいは推定精度を満たそうと、誤差が収束するまでは学習回数を増加させることができるのは言うまでもない。
【０１１２】
図１４は、学習回数および誤差の関係の一例を示す図である。図１４に示すグラフの縦軸は、誤差を指し、横軸は、学習回数を指す。図１４には、１０００回から１００００回まで１０００ずつ学習回数を増加させながらトラフィックの学習が行われた例が示されている。図１４に示すように、８０００回以上では誤差がそれ以上小さくならずに収束する場合、学習実行部１５ｅは、８０００回の学習回数で学習が行われたモデルのパラメータがモデル情報１３ｃとして記憶部１３に保存する。この場合、次回以降の学習では、第２の設定部１５ｄは、学習回数を８０００回に設定することもできる。
【０１１３】
これにより、所望の推定精度を満たしながら、学習のための計算回数が過度に多くなることを抑制し、モデル学習の計算量を削減することができる。
【０１１４】
［モデルのパラメータの再設定］
第１の設定部１５ｃは、一定の回数、例えば８０００回にわたってデータセットの学習を繰り返しても誤差が所定の閾値以内に収束しない場合、モデルに含まれる隠れ層の数や隠れ層に含まれるニューロン数を増加させることもできる。すなわち、学習回数が誤差を収束されるのに十分であっても、誤差が閾値以内とならない状態で誤差が収束し、それ以上誤差が小さくならない場合がある。このような場合、学習しようとする複雑な入力および出力のデータパターンに対して、ニューラルネットの隠れ層の数やニューロン数が少なすぎることが一因と考えられる。このことから、第１の設定部１５ｃは、モデルに含まれる隠れ層の数または隠れ層に含まれるニューロン数を増加させることもできる。
【０１１５】
図１５は、隠れ層およびニューロン数の変更例を示す図である。図１５には、一例として、第１のトラフィックＴＲ１１〜ＴＲ１３の３つを入力層に入力し、第２のトラフィックＴＲ２１〜ＴＲ２３の３つを出力層から出力するニューラルネットワークのモデルが示されている。例えば、第１の設定部１５ｃは、隠れ層が１層であり、隠れ層のニューロン数が４つであるモデルを用いても誤差が閾値以内に収束しない場合、図１５の左部に示すように、隠れ層の層数は１層のままで隠れ層のニューロン数を４つから６つに増加させることができる。これでも誤差が閾値以内に収束しない場合、第１の設定部１５ｃは、図１５の右部に示すように、隠れ層の数を１層から２層に増加させることもできる。なお、図１５には、ニューロン数が６つの隠れ層を２層設定する場合を例示しているが、ニューロン数は４つのまま隠れ層の数を２層に変更することとしても良い。また、隠れ層の数を３層以上に変更しても良く、各隠れ層のニューロン数は同じであっても異なっていても良い。
【０１１６】
これにより、誤差が閾値以内となるまでモデル学習を継続させることができるので、所望の推定精度を満たすモデルを生成することができる。
【０１１７】
［トラフィックの追加および削除］
図１０では、ネットワークＮＷのトポロジにおいて、エッジに位置する通信装置３０で送信および受信されるトラフィックを学習対象として選択する例を示したが、トラフィックの流れ方によっては、学習を行っても所定の精度で推定を行えない場合がある。
【０１１８】
図１０に示された通信装置３０Ａ〜３０Ｃで受信され、ネットワークＮＷへ入力される第１のトラフィックＴＲ１１〜ＴＲ１３（例えば、各トラフィック量を１００とする）は、例えば宛先となるエンドホスト（サーバ等）が、負荷分散や仮想マシンのマイグレーションなどによって変更となり、通信装置３０Ｄ〜３０Ｆのいずれかに向けて転送され、第１のトラフィックＴＲ１１〜ＴＲ１３が合計された全てのトラフィックがエンドホストへ送信される場合を想定する。
【０１１９】
図１６Ａ〜図１６Ｃは、トラフィックの一例を示す図である。図１６Ａ〜図１６Ｃには、第１のトラフィックＴＲ１１〜ＴＲ１３の各々が１００である場合が示されている。このうち、図１６Ａには、第１のトラフィックＴＲ１１〜ＴＲ１３の全てのトラフィックが通信装置３０Ｄから送信されるパターン１が示されている。また、図１６Ｂには、全てのトラフィックが通信装置３０Ｅから送信されるパターン２が示されている。さらに、図１６Ｃには、全てのトラフィックが通信装置３０Ｆから送信されるパターン３が示されている。
【０１２０】
例えば、パターン１の場合、図１６Ａに示すように、全てのトラフィックが合計された第２のトラフィックＴＲ２１は３００となる。一方、通信装置３０Ｅおよび通信装置３０Ｆから送信される第２のトラフィックＴＲ２２および第２のトラフィックＴＲ２３は０となる。
【０１２１】
また、パターン２の場合、図１６Ｂに示すように、全てのトラフィックが合計された第２のトラフィックＴＲ２２は３００となる。一方、通信装置３０Ｄおよび通信装置３０Ｆから送信される第２のトラフィックＴＲ２１および第２のトラフィックＴＲ２３は０となる。
【０１２２】
また、パターン３の場合、図１６Ｃに示すように、全てのトラフィックが合計された第２のトラフィックＴＲ２３は３００となる。一方、通信装置３０Ｄおよび通信装置３０Ｅから送信される第２のトラフィックＴＲ２１および第２のトラフィックＴＲ２２は０となる。
【０１２３】
このような状況では、第１のトラフィックＴＲ１１〜ＴＲ１３を入力層の値とし、第２のトラフィックＴＲ２１〜ＴＲ２３を出力層の値としてニューラルネットにより学習を行ったとしても、入力層へ入力されるサンプルの値は常に入力１＝１００、入力２＝１００、入力３＝１００の１種類しかないため、入力層へ入力されるサンプルに応じて出力層から出力される計算結果として、出力１＝３００、出力２＝０および出力３＝０のパターン１、出力１＝０、出力２＝３００及び出力３＝０のパターン２、さらには、出力１＝０、出力２＝０及び出力３＝３００のパターン３のいずれかの出力を得るように学習することは困難であり、モデルに推定値を計算させたとしても誤差が大きくなってしまう。
【０１２４】
このような場合、入力層へ入力されるサンプルの値が多くのバリエーションを含むようにして学習が適切に行われるようにするため、学習対象として他のトラフィックを入力層のデータとして追加しても良い。
【０１２５】
（１）転送量が最大であるトラフィックの追加
図１７は、トラフィックの追加の一例を示す図である。図１７には、ネットワークＮＷのエッジに位置しない通信装置３０Ｇ〜３０Ｉ、すなわち第１のトラフィックＴＲ１１〜ＴＲ１３を中継する通信装置３０Ｇ〜３０Ｉのうち、パターン１〜パターン３の各パターンの合計でより多くのトラフィックを中継する通信装置３０Ｇが選択された例が示されている。さらに、図１７には、通信装置３０Ｇが有するポートのうち、通信装置３０Ｈ側の対向ポートに接続されたポートが出力する第１のトラフィックＴＲ１５及び通信装置３０Ｉ側の対向ポートに接続されたポートが出力する第１のトラフィックＴＲ１６を学習対象として入力層のニューロンに追加する例が示されている。
【０１２６】
このようなトラフィックの追加が行われた場合、各パターン１〜３の間で、第１のトラフィックＴＲ１５および第１のトラフィックＴＲ１６の組合せが同一の値の組合せとならず、少なくともいずれかで異なる値を含むことになる。
【０１２７】
例えば、パターン１の場合、通信装置３０Ａから受信した第１のトラフィックＴＲ１１および通信装置３０Ｂから受信した第１のトラフィックＴＲ１２がそのまま通信装置３０Ｈへ転送される。このため、第１のトラフィックＴＲ１６が０となる一方で、第１のトラフィックＴＲ１５が２００となる。したがって、第１のトラフィックＴＲ１５を入力４、第１のトラフィックＴＲ１６を入力５とすると、入力層へ入力されるサンプルの値は、入力１＝１００、入力２＝１００、入力３＝１００、入力４＝２００、入力５＝０となる。
【０１２８】
また、パターン２の場合、通信装置３０Ａから受信した第１のトラフィックＴＲ１１が通信装置３０Ｈへ転送される一方で、通信装置３０Ｂから受信した第１のトラフィックＴＲ１２が通信装置３０Ｉへ転送される。このため、第１のトラフィックＴＲ１５が１００となると共に、第１のトラフィックＴＲ１６も１００となる。したがって、入力層へ入力されるサンプルの値は、入力１＝１００、入力２＝１００、入力３＝１００、入力４＝１００、入力５＝１００となる。
【０１２９】
また、パターン３の場合、通信装置３０Ａから受信した第１のトラフィックＴＲ１１および通信装置３０Ｂから受信した第１のトラフィックＴＲ１２がそのまま通信装置３０Ｉへ転送される。このため、第１のトラフィックＴＲ１５が０となると共に、第１のトラフィックＴＲ１６が２００となる。したがって、入力層へ入力されるサンプルの値は、入力１＝１００、入力２＝１００、入力３＝１００、入力４＝０、入力５＝２００となる。
【０１３０】
このように、パターン１〜パターン３において第１のトラフィックＴＲ１１〜ＴＲ１３が同一の値である場合でも、パターン１〜パターン３ごとに第１のトラフィックＴＲ１５および第１のトラフィックＴＲ１６の値が異なる。それ故、パターン１〜パターン３の各パターンの間で値が異なる入力の組合せを入力層へ入力することができる。したがって、入力層のニューロンへパターン１の入力が行われた場合に出力１＝３００、出力２＝０および出力３＝０をモデルから出力し、入力層のニューロンへパターン２の入力が行われた場合に出力１＝０、出力２＝３００及び出力３＝０をモデルから出力し、さらには、入力層のニューロンへパターン３の入力が行われた場合に出力１＝０、出力２＝０及び出力３＝３００を出力するモデル学習を実現できる。
【０１３１】
（２）ポート数が最大である通信装置のトラフィックの追加
図１８は、トラフィックの追加の一例を示す図である。図１８には、ネットワークＮＷのエッジに位置しない通信装置３０Ｇ〜３０Ｉ、すなわち第１のトラフィックＴＲ１１〜ＴＲ１３を中継する通信装置３０Ｇ〜３０Ｉのうち、ポート数が最大である通信装置３０Ｉが選択された例が示されている。さらに、図１８には、通信装置３０Ｉが有するポートのうち、通信装置３０Ｇ側の対向ポートに接続されたポートが受信する第１のトラフィックＴＲ１７および通信装置３０Ｈが有する対向ポートに接続されたポートが出力する第１のトラフィックＴＲ１８を学習対象として入力層のニューロンに追加する例が示されている。
【０１３２】
このようなトラフィックの追加が行われた場合、図１７に示す例と同様、各パターン１〜３の間で、第１のトラフィックＴＲ１７および第１のトラフィックＴＲ１８の組合せが同一の値の組合せとならず、少なくともいずれかで異なる値を含むことになる。
【０１３３】
したがって、パターン１〜パターン３において第１のトラフィックＴＲ１１〜ＴＲ１３が同一の値である場合でも、パターン１〜パターン３ごとに第１のトラフィックＴＲ１７および第１のトラフィックＴＲ１８の値が異なる。それ故、パターン１〜パターン３の各パターンの間で値が異なる入力の組合せを入力層へ入力することができる。したがって、入力層のニューロンへパターン１の入力が行われた場合に出力１＝３００、出力２＝０および出力３＝０をモデルから出力し、入力層のニューロンへパターン２の入力が行われた場合に出力１＝０、出力２＝３００及び出力３＝０をモデルから出力し、さらには、入力層のニューロンへパターン３の入力が行われた場合に出力１＝０、出力２＝０及び出力３＝３００を出力するモデル学習を実現できる。
【０１３４】
（３）転送量が相対的に少ないトラフィックの削除
上記（１）及び上記（２）では、入力層のニューロンを追加する例を説明したが、これとは逆に、例として、エッジに位置する通信装置３０で送信および受信されるトラフィックを学習対象として選択し、学習を行うことによって所望の推定精度を満たす場合には、所望の推定精度を満たすことが可能な範囲で、学習対象からいずれかのトラフィックを除外し、モデル学習の計算量を削減することもできる。
【０１３５】
図１９Ａは、リンクの回線速度の一例を示す図である。図１９Ａには、各通信装置３０Ａ〜３０Ｉを接続するリンクの回線速度が図示されている。図１９Ａに示すように、トラフィックの中継を行う通信装置３０Ｇ〜３０Ｈを相互に接続するリンクは５０Ｍｂｐｓである。また、通信装置３０Ａ〜３０Ｆが通信装置３０Ｇ〜３０Ｉのいずれかと相互に接続するリンクのうち、通信装置３０Ａおよび通信装置３０Ｇを接続するリンク、通信装置３０Ｂおよび通信装置３０Ｇを接続するリンク、通信装置３０Ｃおよび通信装置３０Ｉを接続するリンク、通信装置３０Ｄおよび通信装置３０Ｈを接続するリンク、さらには、通信装置３０Ｅおよび通信装置３０Ｈを接続するリンクの５つのリンクは、１０Ｍｂｐｓである。一方、通信装置３０Ｆおよび通信装置３０Ｉを接続するリンクは、１Ｍｂｐｓである。
【０１３６】
このように、通信装置３０Ａ〜３０Ｅを介してネットワークＮＷの外からネットワークＮＷの中へ入力される第１のトラフィックＴＲ１１〜ＴＲ１５は、最大１０Ｍｂｐｓの速度で流れる。さらに、通信装置３０Ａ〜３０Ｅを介してネットワークＮＷの内からネットワークＮＷの外へ出力される第２のトラフィックＴＲ２１〜ＴＲ２５も、最大１０Ｍｂｐｓの速度で流れる。
【０１３７】
一方、通信装置３０Ｆを介してネットワークＮＷの外からネットワークＮＷの中へ入力される第１のトラフィックＴＲ１６は、最大でも１Ｍｂｐｓの速度を超えることはなく、また、通信装置３０Ｆを介してネットワークＮＷの内からネットワークＮＷの外へ出力される第２のトラフィックＴＲ２６も、最大でも１Ｍｂｐｓの速度を超えることはない。
【０１３８】
このように、第１のトラフィックＴＲ１６は、第１のトラフィックＴＲ１１〜ＴＲ１５に比べて非常に小さく、また、第２のトラフィックＴＲ２６も、第２のトラフィックＴＲ２１〜ＴＲ２５に比べて非常に小さい。そして、通信装置３０Ｆから入力される第１のトラフィックＴＲ１６は、宛先に応じて転送されることによって分岐し、通信装置３０Ａ〜３０Ｆから出力される第２のトラフィックＴＲ２１〜ＴＲ２６にそれぞれ含まれることになるが、そのトラフィック量は宛先に応じて分散するので、さらに小さくなる。
【０１３９】
言い換えると、通信装置３０Ａ〜３０Ｆから出力される第２のトラフィックＴＲ２１〜ＴＲ２６の大部分は、元々は通信装置３０Ａ〜３０Ｅへ入力される第１のトラフィックＴＲ１１〜ＴＲ１５が分岐および／または合流することにより転送されたものであり、通信装置３０Ｆから入力される第１のトラフィックＴＲ１６が第２のトラフィックＴＲ２１〜ＴＲ２６のトラフィック量に関与している度合いは非常に小さいと言える。
【０１４０】
このように第２のトラフィックへの寄与が他のリンクに比べて相対的に低いリンクは、一例として、ネットワークＮＷのエッジに位置する通信装置３０ごとに当該通信装置３０がネットワークＮＷの内部の通信装置３０と接続されるリンクの回線速度がネットワークＮＷに含まれる各リンクの回線速度の統計値の所定の割合、例えば１０分の１以下であるか否かを判定することにより検出することができる。なお、ここで言う「統計値」には、一例として、平均値や中央値、最頻値などを用いることができる。
【０１４１】
このような状況の下、ネットワーク管理装置１０は、学習対象として、入力層から第１のトラフィックＴＲ１６についての入力を除外するように、ニューラルネットの構成を設定しても良い。図１９Ｂは、第１のトラフィックの時間変化の一例を示す図である。図１９Ｃは、ニューラルネットワークの一例を示す図である。図１９Ｂに示すように、第１の設定部１５ｃは、データセットから通信装置３０Ｆへ入力される第１のトラフィックＴＲ１６の実測値の履歴を除外する。さらに、図１９Ｃに示すように、第１の設定部１５ｃは、入力層から第１のトラフィックＴＲ１６に対応するニューロンを削除するモデルパラメータの変更を実施する。
【０１４２】
これにより、所望の推定精度を満たしつつ、学習対象を削減することができる結果、より少ない計算量でモデル学習を行うことができる。
【０１４３】
（４）トラフィックの追加および削除の手順
図２０は、応用例に係る学習処理の手順を示すフローチャートである。この処理も、図６に示す処理と同様、クライアント端末５０から学習の実行指示を受け付けた場合、あるいはトラフィック情報１３ｂとして所定のサンプル数に対応するトラフィックの履歴が記憶部１３に蓄積された場合に開始される。
【０１４４】
図２０に示すように、選択部１５ｂは、記憶部１３に記憶されたトポロジ情報１３ａを参照して、ネットワークＮＷの外からネットワークＮＷ内へ入力される第１のトラフィックを受信する通信装置３０、及び、ネットワークＮＷの内からネットワークＮＷ外へ出力される第２のトラフィックを送信する通信装置３０を選択する（ステップＳ１０１）。
【０１４５】
続いて、選択部１５ｂは、ステップＳ１０１で第１のトラフィックを受信する通信装置３０として選択された通信装置３０が有するポートのうち第１のトラフィックの受信に用いられるポートを選択すると共に、ステップＳ１０１で第２のトラフィックを送信する通信装置３０として選択された通信装置３０が有するポートのうち第２のトラフィックの送信に用いるポートを選択する（ステップＳ１０２）。
【０１４６】
そして、第１の設定部１５ｃは、ステップＳ１０２で選択された第１のトラフィックの数および第２のトラフィックの数に基づいて、ニューラルネットにおける入力層の入力数および出力層の出力数を設定する（ステップＳ１０３）。さらに、第２の設定部１５ｄは、モデルの学習に用いるサンプルの数やモデルの学習を実施する回数などの学習パラメータを設定する（ステップＳ１０４）。
【０１４７】
その上で、学習実行部１５ｅは、ステップＳ１０４で設定された学習回数にわたってステップＳ１０４で設定された学習サンプル数に対応するデータセットに含まれるサンプルごとに次のような学習処理を実行する（ステップＳ１０５）。すなわち、学習実行部１５ｅは、ステップＳ１０２で選択された第１のトラフィックの受信ポートで計測される第１のトラフィックの実測値をステップＳ１０３で設定されたモデルの入力層へ入力することにより得られた第２のトラフィックの推定値と、第２のトラフィックの実測値との誤差を最小化するモデルの学習を実行する。
【０１４８】
ステップＳ１０５の学習の結果、学習実行部１５ｅは、誤差が所定の閾値以内に収束したか否かを判定する（ステップＳ４０１）。このとき、誤差が所定の閾値以内に収束しない場合（ステップＳ４０１Ｎｏ）、第１の設定部１５ｃは、図１７を用いて説明した転送量が最大である通信装置３０が有するポートまたは図１８を用いて説明したポート数が最大である通信装置３０が有するポートで計測される第１のトラフィックに対応するニューロンを入力層に追加するニューラルネットワークの設定変更を実行し（ステップＳ４０２）、ステップＳ１０５の処理へ移行して再度のモデル学習を行う。
【０１４９】
また、誤差が所定の閾値以内に収束した場合（ステップＳ４０１Ｙｅｓ）、学習実行部１５ｅは、第２のトラフィックへの寄与が他のポートよりも相対的に小さいポートが存在するか否かを判定する（ステップＳ４０３）。ここで、第２のトラフィックへの寄与が小さいポートが存在する場合（ステップＳ４０３Ｙｅｓ）、第１の設定部１５ｃは、当該ポートで計測される第１のトラフィックに対応するニューロンを入力層から削除するニューラルネットワークの設定変更を実行し（ステップＳ４０４）、ステップＳ１０５の処理へ移行する。
【０１５０】
［将来予測１］
上記の実施例１では、第１のトラフィックの実測値から第２のトラフィックを推定するモデルを学習する場合を例示したが、第１のトラフィックの実測値から当該実測値よりも先の時刻の第２のトラフィックの推定値、言い換えれば予測値を推定するモデルを学習することもできる。
【０１５１】
図２１は、トラフィックの学習方法の他の一例を示す図である。図２１に示すＴＲ１１、ＴＲ１２及びＴＲ１３は、いずれかのエンドホストから送信されてネットワークＮＷへ入力され、ネットワークＮＷ内で転送される第１のトラフィックを指す。また、図２１に示すＴＲ２１、ＴＲ２２及びＴＲ２３は、ネットワークＮＷ内で転送され、最終的にいずれかのエンドホストへ向けて出力される第２のトラフィックを指す。
【０１５２】
ここで、ネットワーク管理装置１０は、上記の実施例１と同様、多層構造のニューラルネットワークを用いる深層学習、いわゆるディープラーニングの教師データとして、各時刻における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴を用いるが、出力層から出力される出力データとして、第１のトラフィックＴＲ１１〜ＴＲ１３が計測された時点から所定時間後の第２のトラフィックＴＲ２１〜ＴＲ２３の予測値を推定する点が異なる。
【０１５３】
例えば、確率的勾配降下法が用いられる場合、ネットワーク管理装置１０は、ある時刻ｔ１における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値および時刻ｔ１から所定時間、例えばＮ分後の時刻ｔ２における第２のトラフィックＴＲ２１〜ＴＲ２３の実測値の履歴を１サンプルとして用いる。すなわち、ネットワーク管理装置１０は、第１のトラフィックＴＲ１１、ＴＲ１２及びＴＲ１３の実測値をニューラルネットワークのモデルの入力層へ入力することにより、時刻ｔ２における第２のトラフィックＴＲ２１〜ＴＲ２３を推定する。その上で、ネットワーク管理装置１０は、モデルから出力される第２のトラフィックＴＲ２１〜ＴＲ２３の予測値と、時刻ｔ２における第２のトラフィックＴＲ２１〜ＴＲ２３の実測値との誤差を最小化するモデルの学習を実行する。
【０１５４】
このようにニューラルネットワークのモデル学習を実行した上で、ネットワーク管理装置１０は、モデル学習により重み係数の最適化が行われたニューラルネットに対して、現在の第１のトラフィックＴＲ１１〜ＴＲ１３の値を入力層へ入力し、モデルの出力層から出力されるＮ分後の第２のトラフィックＴＲ２１〜ＴＲ２３の計算結果を得る。この計算結果は、普段の挙動に基づいて推定されるＮ分後の第２のトラフィックＴＲ２１〜ＴＲ２３の予測値と言える。
【０１５５】
その後、ネットワーク管理装置１０は、第２のトラフィックＴＲ２１〜ＴＲ２３の推定値が計算結果として得られる度に、Ｎ分後の第２のトラフィックＴＲ２１〜ＴＲ２３の予測値と、ネットワークＮＷの通信装置３０で時刻ｔ１のＮ分後に計測された第２のトラフィックＴＲ２１〜ＴＲ２３の実測値とを比較する。この他、ネットワーク管理装置１０は、Ｎ分後の第２のトラフィックＴＲ２１〜ＴＲ２３の予測値と、所定の閾値とを比較することもできる。これにより、現時刻である時刻ｔ１からＮ分後である時刻ｔ２でネットワークＮＷから出力されるトラフィックに異常があるか否かを検出することができる。そして、Ｎ分後の第２のトラフィックＴＲ２１〜ＴＲ２３の予測値が閾値を超える場合、クライアント端末５０にアラートを出力することができる。
【０１５６】
このように、ネットワーク管理装置１０は、ネットワークＮＷ内からネットワークＮＷ外へ出力されるトラフィックの挙動を将来予測することができる。なお、当然のことながら、ネットワーク管理装置１０は、時刻ｔ１における第２のトラフィックＴＲ２１、Ｔ２２及びＴＲ２３の実測値をニューラルネットワークのモデルの入力層へ入力することにより、時刻ｔ１のＮ分後である時刻ｔ２における第１のトラフィックＴＲ１１〜ＴＲ１３を推定する。その上で、ネットワーク管理装置１０は、モデルから出力されるＮ分後の第１のトラフィックＴＲ１１〜ＴＲ１３の予測値と、時刻ｔ２における第１のトラフィックＴＲ１１〜ＴＲ１３の実測値との誤差を最小化するモデルの学習を実行することもできる。これにより、Ｎ分後の第１のトラフィックＴＲ１１〜ＴＲ１３の予測値が閾値を超える場合、クライアント端末５０にアラートを出力することができる。このように、ネットワークＮＷ外からネットワークＮＷ内へ入力されるトラフィックの挙動を将来予測することもできる。
【０１５７】
［分散および統合］
また、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されておらずともよい。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、取得部１５ａ、選択部１５ｂ、第１の設定部１５ｃ、第２の設定部１５ｄ、学習実行部１５ｅ、推定部１５ｆ、比較部１５ｇまたは出力部１５ｈをネットワーク管理装置１０の外部装置としてネットワーク経由で接続するようにしてもよい。また、取得部１５ａ、選択部１５ｂ、第１の設定部１５ｃ、第２の設定部１５ｄ、学習実行部１５ｅ、推定部１５ｆ、比較部１５ｇまたは出力部１５ｈを別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のネットワーク管理装置１０の機能を実現するようにしてもよい。また、記憶部１３に記憶されるトポロジ情報１３ａ、トラフィック情報１３ｂまたはモデル情報１３ｃの全部または一部を別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のネットワーク管理装置１０の機能を実現するようにしてもかまわない。
【０１５８】
［管理プログラム］
また、上記の実施例で説明した各種の処理は、予め用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図２２を用いて、上記の実施例と同様の機能を有する管理プログラムを実行するコンピュータの一例について説明する。
【０１５９】
図２２は、実施例１及び実施例２に係る管理プログラムを実行するコンピュータのハードウェア構成例を示す図である。図２２に示すように、コンピュータ１００は、操作部１１０ａと、スピーカ１１０ｂと、カメラ１１０ｃと、ディスプレイ１２０と、通信部１３０とを有する。さらに、このコンピュータ１００は、ＣＰＵ１５０と、ＲＯＭ１６０と、ＨＤＤ１７０と、ＲＡＭ１８０とを有する。これら１１０〜１８０の各部はバス１４０を介して接続される。
【０１６０】
ＨＤＤ１７０には、図２２に示すように、上記の実施例１で示した取得部１５ａ、選択部１５ｂ、第１の設定部１５ｃ、第２の設定部１５ｄ、学習実行部１５ｅ、推定部１５ｆ、比較部１５ｇ及び出力部１５ｈと同様の機能を発揮する管理プログラム１７０ａが記憶される。この管理プログラム１７０ａは、図５に示した取得部１５ａ、選択部１５ｂ、第１の設定部１５ｃ、第２の設定部１５ｄ、学習実行部１５ｅ、推定部１５ｆ、比較部１５ｇ及び出力部１５ｈの各構成要素と同様、統合又は分離してもかまわない。すなわち、ＨＤＤ１７０には、必ずしも上記の実施例１で示した全てのデータが格納されずともよく、処理に用いるデータがＨＤＤ１７０に格納されればよい。
【０１６１】
このような環境の下、ＣＰＵ１５０は、ＨＤＤ１７０から管理プログラム１７０ａを読み出した上でＲＡＭ１８０へ展開する。この結果、管理プログラム１７０ａは、図２２に示すように、管理プロセス１８０ａとして機能する。この管理プロセス１８０ａは、ＲＡＭ１８０が有する記憶領域のうち管理プロセス１８０ａに割り当てられた領域にＨＤＤ１７０から読み出した各種データを展開し、この展開した各種データを用いて各種の処理を実行する。例えば、管理プロセス１８０ａが実行する処理の一例として、図６や図７、図１３、図２０に示す処理などが含まれる。なお、ＣＰＵ１５０では、必ずしも上記の実施例１で示した全ての処理部が動作せずともよく、実行対象とする処理に対応する処理部が仮想的に実現されればよい。
【０１６２】
なお、上記の管理プログラム１７０ａは、必ずしも最初からＨＤＤ１７０やＲＯＭ１６０に記憶されておらずともかまわない。例えば、コンピュータ１００に挿入されるフレキシブルディスク、いわゆるＦＤ、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」に管理プログラム１７０ａを記憶させる。そして、コンピュータ１００がこれらの可搬用の物理媒体から管理プログラム１７０ａを取得して実行するようにしてもよい。また、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ１００に接続される他のコンピュータまたはサーバ装置などに管理プログラム１７０ａを記憶させておき、コンピュータ１００がこれらから管理プログラム１７０ａを取得して実行するようにしてもよい。
【０１６３】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
【０１６４】
（付記１）複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルを記憶する記憶部と、
前記第１のトラフィックの実測値を取得する取得部と、
前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する比較部と、
を有することを特徴とする管理装置。
【０１６５】
（付記２）前記取得部は、前記第２のトラフィックの実測値をさらに取得し、
前記比較部は、前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、前記取得部により取得された前記第２のトラフィックの実測値とを比較することを特徴とする付記１に記載の管理装置。
【０１６６】
（付記３）前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上である場合、アラートを出力する出力部をさらに有することを特徴とする付記２に記載の管理装置。
【０１６７】
（付記４）前記出力部は、前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上であり、かつ前記第２のトラフィックの実測値が前記第２のトラフィックの推定値よりも小さい場合、アラートを出力することを特徴とする付記３に記載の管理装置。
【０１６８】
（付記５）前記モデルの学習を実行する学習実行部をさらに有することを特徴とする付記１に記載の管理装置。
【０１６９】
（付記６）前記学習実行部は、前記第１のトラフィックと共に、前記第１のトラフィックが計測された時間が営業状態、半営業状態または休業状態のいずれに対応するかを示す状態情報にさらに基づいて前記モデルを学習し、
前記取得部は、前記第１のトラフィックと共に前記第１のトラフィックが取得される時間に対応する状態情報をさらに取得し、
前記比較部は、前記モデルへ前記第１のトラフィックの実測値と共に前記状態情報を入力することにより得られる第２のトラフィックの推定値を比較に用いることを特徴とする付記５に記載の管理装置。
【０１７０】
（付記７）前記学習実行部は、前記第１のトラフィックおよび前記第２のトラフィックとして、前記ネットワークのトポロジ上でエッジに位置する通信装置のポートが受信または送信を行うトラフィックを前記モデルの学習に用いることを特徴とする付記５に記載の管理装置。
【０１７１】
（付記８）前記学習実行部は、前記ネットワークに含まれる複数のレイヤの中からレイヤの指定を受け付けた場合、前記指定を受け付けたレイヤに属する通信装置のポートが受信または送信を行うトラフィックを前記モデルの学習に用いることを特徴とする付記５に記載の管理装置。
【０１７２】
（付記９）前記学習実行部は、前記モデルの学習に用いる前記第１のトラフィックおよび前記第２のトラフィックを含む学習サンプルの数の候補ごとに前記モデルの学習を実行し、最も誤差が少ない学習サンプル数の候補で学習されたモデルを選択することを特徴とする付記５に記載の管理装置。
【０１７３】
（付記１０）前記モデルの学習が所定の学習回数にわたって実行される度に誤差が所定の閾値以内に収束したか否かを判定し、前記誤差が前記閾値以内に収束した学習回数を前記学習実行部が用いる学習パラメータとして設定する第１の設定部をさらに有することを特徴とする付記５に記載の管理装置。
【０１７４】
（付記１１）前記学習実行部による前記モデルの学習時に誤差が所定の閾値以内になる前に収束する場合、前記モデルに設定された隠れ層の層数または隠れ層のニューロン数を増加させる設定変更を行う第２の設定部をさらに有することを特徴とする付記５に記載の管理装置。
【０１７５】
（付記１２）前記学習実行部は、前記モデルの学習時に誤差が所定の閾値以内になる前に収束する場合、前記第１のトラフィックおよび前記第２のトラフィックとして、前記ネットワークのトポロジ上でエッジに位置する通信装置に加えて、前記エッジに位置しない通信装置のうち転送量またはポート数が最大である通信装置のポートが受信または送信を行うトラフィックを前記モデルの学習に用いることを特徴とする付記７に記載の管理装置。
【０１７６】
（付記１３）前記学習実行部は、前記ネットワークのトポロジ上でエッジに位置する通信装置ごとに当該通信装置が前記ネットワークの内部の通信装置と接続されるリンクの回線速度が前記ネットワークに含まれる各リンクの回線速度の統計値の所定の割合以下であるか否かを判定し、前記統計値の所定の割合以下であるリンクを持つ通信装置を介して前記ネットワークの外から前記ネットワークの中へ入力される第１のトラフィックを除外して前記モデルの学習を実行することを特徴とする付記７に記載の管理装置。
【０１７７】
（付記１４）前記記憶部は、前記第１のトラフィックが計測されてから所定時間後の第２のトラフィックを推定するモデルを記憶し、
前記比較部は、前記記憶部に記憶されたモデルへ前記取得部により取得された前記第１のトラフィックの実測値を入力することにより推定された所定時間後の第２のトラフィックの推定値と、所定の値とを比較することを特徴とする付記１に記載の管理装置。
【０１７８】
（付記１５）複数の通信装置を含むネットワークの中から前記ネットワークの外へ出力される第２のトラフィックに基づいて前記ネットワークの外から前記ネットワークの中へ入力される第１のトラフィックを推定するモデルを記憶する記憶部と、
前記第２のトラフィックの実測値を取得する取得部と、
前記記憶部に記憶されたモデルへ前記取得部により取得された前記第２のトラフィックの実測値を入力することにより推定された第１のトラフィックの推定値と、所定の値とを比較する比較部と、
を有することを特徴とする管理装置。
【０１７９】
（付記１６）複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックの実測値を取得し、
前記第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルに対し、取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する、
処理をコンピュータが実行することを特徴とする管理方法。
【０１８０】
（付記１７）前記取得する処理は、前記第２のトラフィックの実測値をさらに取得し、
前記比較する処理は、前記モデルへ前記取得する処理で取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、前記取得する処理で取得された前記第２のトラフィックの実測値とを比較することを特徴とする付記１６に記載の管理方法。
【０１８１】
（付記１８）前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上である場合、アラートを出力する処理を前記コンピュータがさらに実行することを特徴とする付記１７に記載の管理方法。
【０１８２】
（付記１９）前記出力する処理は、前記第２のトラフィックの推定値および前記第２のトラフィックの実測値の差が所定の閾値以上であり、かつ前記第２のトラフィックの実測値が前記第２のトラフィックの推定値よりも小さい場合、アラートを出力することを特徴とする付記１８に記載の管理方法。
【０１８３】
（付記２０）複数の通信装置を含むネットワークの外から前記ネットワークの中へ入力される第１のトラフィックの実測値を取得し、
前記第１のトラフィックに基づいて前記ネットワークの中から前記ネットワークの外へ出力される第２のトラフィックを推定するモデルに対し、取得された前記第１のトラフィックの実測値を入力することにより推定された第２のトラフィックの推定値と、所定の値とを比較する、
処理をコンピュータに実行させることを特徴とする管理プログラム。
【符号の説明】
【０１８４】
１    ネットワーク管理システム
３    監視対象システム
１０    ネットワーク管理装置
１１    通信Ｉ／Ｆ部
１３    記憶部
１３ａ  トポロジ情報
１３ｂ  トラフィック情報
１３ｃ  モデル情報
１５    制御部
１５ａ  取得部
１５ｂ  選択部
１５ｃ  第１の設定部
１５ｄ  第２の設定部
１５ｅ  学習実行部
１５ｆ  推定部
１５ｇ  比較部
１５ｈ  出力部
３０Ａ，３０Ｂ，３０Ｃ  通信装置
５０    クライアント端末
【図１】
2018207241.tif 000003
【図２】
2018207241.tif 000004
【図３】
2018207241.tif 000005
【図４】
2018207241.tif 000006
【図５】
2018207241.tif 000007
【図６】
2018207241.tif 000008
【図７】
2018207241.tif 000009
【図８】
2018207241.tif 000010
【図９】
2018207241.tif 000011
【図１０】
2018207241.tif 000012
【図１１】
2018207241.tif 000013
【図１２】
2018207241.tif 000014
【図１３】
2018207241.tif 000015
【図１４】
2018207241.tif 000016
【図１５】
2018207241.tif 000017
【図１６Ａ】
2018207241.tif 000018
【図１６Ｂ】
2018207241.tif 000019
【図１６Ｃ】
2018207241.tif 000020
【図１７】
2018207241.tif 000021
【図１８】
2018207241.tif 000022
【図１９Ａ】
2018207241.tif 000023
【図１９Ｂ】
2018207241.tif 000024
【図１９Ｃ】
2018207241.tif 000025
【図２０】
2018207241.tif 000026
【図２１】
2018207241.tif 000027
【図２２】
2018207241.tif 000028