(57)【要約】【課題】ＩＭ−ＶＩＳを用いて探し当てた障害箇所を起点とした障害の範囲を自動的に探索できる障害範囲探索方法、障害範囲探索装置、及びプログラムを提供することを目的とする。【解決手段】本発明に係る障害範囲探索方法及び装置は、ＩＭ−ＶＩＳでネットワーク状態を表す統合図をいくつか用意し、対象の障害に類似するか否かを予めオペレータが判定して教師データとしておく。そして、対象の障害のパラメータの近傍のパラメータを用いてＩＭ−ＶＩＳで統合図を作成し、教師データと比較して類似する統合図をピックアップし、ピックアップした統合図のパラメータからネットワーク障害を発生させるパラメータの範囲を検出する。【選択図】図５
2019050456.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークの障害範囲を自律的に探索する障害範囲探索方法であって、
任意の起点障害を特定する時刻及びパラメータと前記起点障害に関連する時刻及びパラメータを用いて１以上のネットワーク状態の統合図をネットワーク状態可視化装置（ＩＭ−ＶＩＳ）で生成する教師データ生成手順と、
前記起点障害を特定する時刻及びパラメータの少なくとも一方を変化させ、複数のネットワーク状態の統合図を前記ＩＭ−ＶＩＳで生成するサンプルデータ生成手順と、
前記教師データ生成手順で生成した統合図を教師データとし、前記サンプルデータ生成手順で生成した複数の統合図について前記起点障害の統合図との類似性判定を行い、前記複数の統合図のうち前記起点障害の統合図との類似度が高いと判定された統合図に対応する時刻またはパラメータ値の範囲を求める探索手順と、
を行うことを特徴とする障害範囲探索方法。
【請求項２】
前記教師データ生成手順では、前記起点障害に関連する時刻及びパラメータをランダムに設定することを特徴とする請求項１に記載の障害範囲探索方法。
【請求項３】
前記探索手順で行った類似性判定を行った統合図も教師データとして追加し、以降の前記探索手順で類似性判定に利用することを特徴とする請求項１又は２に記載の障害範囲探索方法。
【請求項４】
ネットワークの障害範囲を自律的に探索する障害範囲探索装置であって、
与えられた時刻及びパラメータからネットワーク状態の統合図を生成するＩＭ−ＶＩＳと、
教師データとして、任意の起点障害を特定する時刻及びパラメータと前記起点障害に関連する時刻及びパラメータを用いて１以上のネットワーク状態の統合図を前記ＩＭ−ＶＩＳに生成させ、
サンプルデータとして、前記起点障害を特定する時刻及びパラメータの少なくとも一方を変化させて複数のネットワーク状態の統合図を前記ＩＭ−ＶＩＳに生成させ、
前記ＩＭ−ＶＩＳに生成させた教師データの統合図を用いて、前記ＩＭ−ＶＩＳに生成させたサンプルデータの複数の統合図について前記起点障害の統合図との類似性判定を行い、前記複数の統合図のうち前記起点障害の統合図との類似度が高いと判定された統合図に対応する時刻またはパラメータ値の範囲を求める探索制御部と、
を備えることを特徴とする障害範囲探索装置。
【請求項５】
前記探索制御部は、
前記起点障害に関連する時刻及びパラメータをランダムに設定することを特徴とする請求項４に記載の障害範囲探索装置。
【請求項６】
前記探索制御部は、
前記類似性判定を行った統合図も教師データとして追加し、以降の前記類似性判定に利用することを特徴とする請求項４又は５に記載の障害範囲探索装置。
【請求項７】
請求項１から３のいずれかの障害範囲探索方法をコンピュータに実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、ネットワーク状態可視化装置（ＩＭ−ＶＩＳ）を用いてネットワークの障害範囲を探索する障害範囲探索方法、障害範囲探索装置、及びプログラムに関する。
【背景技術】
【０００２】
広域ネットワークの挙動解析は、トラフィク量の変化のみだけでなく、複数の視点での様々な解析が、ネットワーク設計、管理のための基礎データとして重要である。また、観測対象のＡＳ（Ａｕｔｏｎｏｍｏｕｓ  Ｓｙｓｔｅｍ）内ネットワークの状況のみでなく、他のＡＳからの影響を考慮しながら、その振舞を解析する必要がある。
【０００３】
しかしながら、ネットワーク状態を表すデータは多種多様かつ膨大であり、また提案されている様々な統計解析手法も個別の障害事例に対応したもので多種多様であり、どのデータセット、どの解析手法を用いるのかが、解析の初期段階では不明である。網羅的な解析手順を予め準備することも困難である。
【０００４】
現在のネットワーク管理では、ルータのインタフェースなどのトラフィックカウンタを用いることも多いが、その量だけでは振舞解析には不十分であることが知られている。また、ネットワーク管理者の経験的な知見とアドホックな方法に頼る部分も少なくないが、ＳＤＮ／ＮＦＶ環境のような柔軟なネットワーク構成が現実になるに従って、その複雑さは増している。
【０００５】
また解析結果の解釈を与えるためには、計算量の問題だけでなく、稼働するアプリケーション毎の動作ロジックや特質、更には解析対象である個別のネットワークの管理ポリシーや個別の事情を解釈して解析する必要があるため、一般的な統計手法を用いたアプローチだけではカバーしきれないことが多く、個別事情を知る人間のオペレータの解釈を解析自体に加える必要がある。これは、特定の適用する解析手法の選択や与えるパラメータ値の選択を事前に行うことの困難さも意味する。
【０００６】
これらの状況に対応するため、さまざまなレイヤの情報を統合し、管理するオペレータの解釈を入れながら複数の視点から解析する体系的手法を構築し、このフレームワークを通じ、アプリケーションレイヤのユーザの意図などを解析に組み込み、単なるカウンタの量や、統計量の大小では埋もれてしまいがちな、意味的に重要な情報を効率的に取り出すことが重要である。
【０００７】
さまざまなレイヤの情報を統一した方法で統合して可視化し、オペレータが対話的に順次解析を進める手法により解析を行うフレームワークが提案され、それを実現するネットワーク状態可視化装置ＩＭ−ＶＩＳ（例えば、非特許文献１、２を参照。）がある。図１は、ＩＭ−ＶＩＳの概要を説明する図である。
【０００８】
ＩＭ−ＶＩＳは、観測したＢＧＰ（Ｂｏｒｄｅｒ  Ｇａｔｅｗａｙ  Ｐｒｏｔｏｃｏｌ）の時系列情報から構成したＢＧＰトポロジ情報（ノードをＡＳ、ＢＧＰピアをエッジとして表現）上に、さまざまなネットワーク状態を表す情報を柔軟に統合して可視化する。情報の統合には、フィルタと呼ばれるネットワークの状態を指定する条件、それに与えるパラメータ群を適用する。フィルタは複数、順次適用可能であり、条件にマッチしたＡＳを可視化したり、着色することが可能である。複数の色付け条件がマッチした場合、複数の色が同心円状に表現される。
【０００９】
例えば、管理する自ＡＳにとって重要な外部ＡＳであるが、同時に、悪意のあるユーザが存在し、攻撃パケットを多く発するなど、問題のある挙動をしているＡＳを調べたいとする。自分が管理するＡＳにとって重要なＡＳは、自ＡＳと通信するトラフィック量の多いＡＳと考えるならば、トラフィック量があるスレッシュホールド値より大きいＡＳを選択して、可視化してＡＳトポロジマップとして表示する。次に、ある時間範囲において、攻撃パケットを送ってきたＡＳを探し出す処理を考える。攻撃は、観測用に設定されているダークネットのデータを用い、そこに対してＴＣＰ  ＳＹＮパケットを送ってきた送り元ＡＳということで認識される。従って、ある時刻と時間範囲を与え、あるＡＳを送り元とするＴＣＰ  ＳＹＮパケット数がスレッシュホールド値以上のものを選択すればいい。この選択したＡＳが、作成したＡＳトポロジ上にある場合、そのＡＳを例えば赤く色を付けて可視化するように指定する。
【００１０】
図２は、ＩＭ−ＶＩＳで作成したある時点ｔ１のＢＧＰ情報から作成したＢＧＰトポロジ図である。観測される全ＡＳ数は４６，０００を超えるため、ネットフロー情報から、その時点ｔ１から過去３０分以内に１００以上のフローが観測された送信元ＡＳのみを表示する条件を設定した。また、パケットフォワードのインターネットレベルでの安定性を示す指標の一つである、ＢＧＰの経路広報が不安定なＡＳを赤で表示した。
【００１１】
本フィルタを適用した結果、表示されるＡＳは６８であった。また、同じくフロー数がその時点から過去３０分以内に２００以上観測したＡＳを青、３００以上観測したＡＳを緑で色を付ける条件を順次適用した。色付け条件が複数回適用された場合は、同心円状に色が表示される。グラフのノードであるＡＳの表示・非表示、色付け、検索条件を規定するパラメータ値は、作成過程で実際の統合図を見ながら、対話的に設定した。
【００１２】
図２では、更にＤａｒｋｎｅｔで観測された攻撃パケットの情報を重畳表示した。これは、時刻ｔ１から過去３０分以内に、３０以上のＴＣＰ  ＳＹＮを送ってきた送り元ＡＳを黄色で表示した。フローの多い送り元ＡＳが、同じくアタックパケットの主要な送り元であるＡＳが６つほど観測される（ａ１〜ａ６）。そのうち、３つはフロー数が過去３０分で３００以上観測されており（ａ２、ａ３、ａ６）、更にそのうち１つ（ａ６）は不安定な経路広報元となっていることが観測される。
【先行技術文献】
【非特許文献】
【００１３】
【非特許文献１】明石修、水谷后宏、福田健介、漆谷重雄大、“規模ネットワークの挙動解析に向けた一考察”、ｖｏｌ．１１４、ｎｏ．６、ＮＳ２０１４−１５、ｐｐ．７７−８２、２０１４年４月、信学技報
【非特許文献２】明石修、水谷后宏、間野暢、井上武、福田健介、漆谷重雄、“複数レイヤ情報を用いた大規模ネットワークの対話的挙動解析”、ｖｏｌ．１１５、ｎｏ．４８２、ＩＡ２０１５−１０４、ｐｐ．２１５−２２０、２０１６年３月、信学技報
【発明の概要】
【発明が解決しようとする課題】
【００１４】
ＩＭ−ＶＩＳのように複数の異なるレイヤの情報を統合し、対話的に条件と付随するパラメータ値を指定して可視化し、その図の結果に基いて順次解析をすすめる手法は、広域インターネットの挙動解析に有効である。一方、このような手法を用いて発見されるのは、ある時刻ｔｉのネットワークの状態を、指定した条件関数群Ｆとパラメータ値群Ｘｉとで指定した事象の断面であるスナップショットである。従って、これがどのような時間範囲、あるいはパラメータ値の範囲で異常であるのかが、同一障害に由来する障害が発生しているとしても不明である。
（パラメータ定義）
・条件関数群Ｆは、条件関数ｆｉ（ｉ＝１，・・・，ｍ）で構成される。ＩＭ−ＶＩＳにおいてはフィルタ群である。
・パラメータ値群Ｘｉ（ｉ＝１，・・・，ｍ）は、パラメータ値ｘｉ，ｊ（ｊ＝１，・・・，ｎ）で構成され、条件関数ｆｉに付与される。
【００１５】
時間的な範囲探索においては、時間パラメータ以外は同一条件関数・同一パラメータ値に限れば、時間軸にそって、ｔｉ周辺を順次繰り返すことで条件に応じた状態を表す図は作成することは可能であるが、作成される図は時間とともに推移するものであるため、同一のものではなく、それが異常かどうかを改めて判断する必要がある。すなわち、異常かそうでないかの判断に本質的な曖昧さを含む。時刻パラメータｔｉ以外のその他のパラメータ値を順次変化させていく探査手法においても、状況は同じである。またスレッシュホールド値を設定してその値の大小で判断する、という手法も、スレッシュホールド値そのものの設定が難しい。なぜならば、時間・パラメータ値の探索範囲の設定に関しては、条件を規定する関数・パラメータ値のスレッシュホールド値は障害毎・環境毎に異なり、あらかじめ設定することは不可能である。従って、単なる繰り返し処理では異常範囲の探索は不可能である。
【００１６】
例えば、図２で説明した、自ＡＳとトラフィックが多く、かつアタックが多いＡＳを探す作業では、トラフィック量に関するスレッシュホールド値を下げ過ぎれば、表示されるＡＳマップに含まれるＡＳ数が膨大となり、状況把握が不可能となる。逆にスレッシュホールド値を上げ過ぎれば、表示されるＡＳが少なくなりすぎ、場合よっては、ゼロとなる。同様に、アタックパケット数に関するスレッシュホールド値も、上げ過ぎれば該当するＡＳがなくなり、また下げ過ぎれば、すべてが該当してＡＳマップ上の全ＡＳが着色されて表示されることになり意味をなさない。
【００１７】
従って、パラメータ値を事前に付与することは困難である。また数値で設定しても、それが妥当か否かは作図してオペレータが判断しなければならない。以上のことから、ＩＭ−ＶＩＳを用いて探し当てた障害箇所（Ｚ）を規定する条件とパラメータ値が与えられたとしても、単純な繰り返し探索では、障害箇所（Ｚ）を起点とした障害の範囲を探索することは困難である。
【００１８】
そこで、本発明は、ＩＭ−ＶＩＳを用いて探し当てた障害箇所を起点とした障害の範囲を自動的に探索できる障害範囲探索方法、障害範囲探索装置、及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１９】
上記目的を達成するために、本発明は、オペレータの知見で外観から判断する機能を探索に組み込み、その判断と類似性判定を行うこととした。
【００２０】
具体的には、本発明に係る障害範囲探索方法は、ネットワークの障害範囲を自律的に探索する障害範囲探索方法であって、
任意の起点障害を特定する時刻及びパラメータと前記起点障害に関連する時刻及びパラメータを用いて１以上のネットワーク状態の統合図をネットワーク状態可視化装置（ＩＭ−ＶＩＳ）で生成する教師データ生成手順と、
前記起点障害を特定する時刻及びパラメータの少なくとも一方を変化させ、複数のネットワーク状態の統合図を前記ＩＭ−ＶＩＳで生成するサンプルデータ生成手順と、
前記教師データ生成手順で生成した統合図を教師データとし、前記サンプルデータ生成手順で生成した複数の統合図について前記起点障害の統合図との類似性判定を行い、前記複数の統合図のうち前記起点障害の統合図との類似度が高いと判定された統合図に対応する時刻またはパラメータ値の範囲を求める探索手順と、
を行うことを特徴とする。
【００２１】
本発明に係る障害範囲探索装置は、ネットワークの障害範囲を自律的に探索する障害範囲探索装置であって、
与えられた時刻及びパラメータからネットワーク状態の統合図を生成するＩＭ−ＶＩＳと、
教師データとして、任意の起点障害を特定する時刻及びパラメータと前記起点障害に関連する時刻及びパラメータを用いて１以上のネットワーク状態の統合図を前記ＩＭ−ＶＩＳに生成させ、
サンプルデータとして、前記起点障害を特定する時刻及びパラメータの少なくとも一方を変化させて複数のネットワーク状態の統合図を前記ＩＭ−ＶＩＳに生成させ、
前記ＩＭ−ＶＩＳに生成させた教師データの統合図を用いて、前記ＩＭ−ＶＩＳに生成させたサンプルデータの複数の統合図について前記起点障害の統合図との類似性判定を行い、前記複数の統合図のうち前記起点障害の統合図との類似度が高いと判定された統合図に対応する時刻またはパラメータ値の範囲を求める探索制御部と、
を備えることを特徴とする。
【００２２】
本障害範囲探索方法及び装置は、ＩＭ−ＶＩＳでネットワーク状態を表す統合図をいくつか用意し、対象の障害に類似するか否かを予めオペレータが判定して教師データとしておく。そして、対象の障害のパラメータの近傍のパラメータを用いてＩＭ−ＶＩＳで統合図を作成し、教師データと比較して類似する統合図をピックアップし、ピックアップした統合図のパラメータからネットワーク障害を発生させるパラメータの範囲を検出する。
【００２３】
従って、本発明は、ＩＭ−ＶＩＳを用いて探し当てた障害箇所を起点とした障害の範囲を自動的に探索できる障害範囲探索方法及び装置を提供することができる。
【００２４】
本発明に係る障害範囲探索方法及び装置は、前記起点障害に関連する時刻及びパラメータをランダムに設定することが好ましい。
【００２５】
本発明に係る障害範囲探索方法及び装置は、前記類似性判定を行った統合図も教師データとして追加し、以降の前記類似性判定に利用することが好ましい。
【００２６】
本発明に係るプログラムは、前記障害範囲探索方法をコンピュータに実行させるためのプログラムである。本発明に係る障害範囲探索方法はコンピュータとプログラムによっても実現でき、プログラムを記録媒体に記録することも、ネットワークを通して提供することも可能である。
【発明の効果】
【００２７】
本発明は、ＩＭ−ＶＩＳを用いて探し当てた障害箇所を起点とした障害の範囲を自動的に探索できる障害範囲探索方法、障害範囲探索装置、及びプログラムを提供することができる。
【図面の簡単な説明】
【００２８】
【図１】ＩＭ−ＶＩＳを説明する図である。ＩＭ−ＶＩＳは、複数ネットワーク情報を統合して対話的操作可能なトポロジマップを形成でき、直観的な情報絞り込みが可能である。そして、ＩＭ−ＶＩＳは任意の時間・場所・情報のトポロジマップを表示可能である。
【図２】ＩＭ−ＶＩＳで作成したある時点のＢＧＰ情報に基づくＢＧＰトポロジマップである。
【図３】本発明に係る障害範囲探索方法を説明するフローチャートである。
【図４】本発明に係る障害範囲探索方法を説明するフローチャートである。
【図５】本発明に係る障害範囲探索装置を説明するブロック図である。
【発明を実施するための形態】
【００２９】
添付の図面を参照して本発明の実施形態を説明する。以下に説明する実施形態は本発明の実施例であり、本発明は、以下の実施形態に制限されるものではない。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。
【００３０】
図３及び図４は、本実施形態の障害範囲探索方法を説明するフローチャートである。本障害範囲探索方法は、ネットワークの障害範囲を自律的に探索する障害範囲探索方法であって、
任意の起点障害を特定する時刻及びパラメータと前記起点障害に関連する時刻及びパラメータを用いて１以上のネットワーク状態の統合図をネットワーク状態可視化装置（ＩＭ−ＶＩＳ）で生成する教師データ生成手順と、
前記起点障害を特定する時刻及びパラメータの少なくとも一方を変化させ、複数のネットワーク状態の統合図を前記ＩＭ−ＶＩＳで生成するサンプルデータ生成手順と、
前記教師データ生成手順で生成した統合図を教師データとし、前記サンプルデータ生成手順で生成した複数の統合図について前記起点障害の統合図との類似性判定を行い、前記複数の統合図のうち前記起点障害の統合図との類似度が高いと判定された統合図に対応する時刻またはパラメータ値の範囲を求める探索手順と、
を行うことを特徴とする。
図３及び図４において、ステップＳ０１〜Ｓ０８が教師データ生成手順、ステップＳ０９がサンプルデータ生成手順、ステップＳ１０〜Ｓ１８が探索手順に相当する。
【００３１】
本障害範囲探索方法は、オペレータの知見で外観から判断する機能として、最初にオペレータが可視化を用いて発見した障害箇所（Ｚ０）と対応する統合図を起点として、その図に対する類似性を、自動探索した結果の判断に用いる。
【００３２】
同一障害に由来する連続領域であれば、類似度の高い図は、同じ原因による異常であるはずであり、類似度の高い図の範囲を探索することで障害範囲を特定する。すなわち、本障害範囲探索方法は、機械学習の枠組みを用いて図の類似性を用いて判定し、その類似性判定結果を用いて自律的に探索する。
【００３３】
（ステップＳ０１〜Ｓ０４）
時刻ｔの障害箇所（起点障害Ｚ０）を特定した、条件関数群Ｆ０およびパラメータ群ＸｉをＩＭ−ＶＩＳに入力し障害Ｚ０の統合図を出力させる。障害のパラメータが不明な場合は、統合図を基にパラメータ値を調整し、所望の障害の統合図を出力させる。これを正解の教師データとしてデータベースに格納する。
ステップＳ０１〜Ｓ０３はオペレータの動作である。
【００３４】
（ステップＳ０５〜Ｓ０８）
一方、起点障害Ｚ０は一点であるから、正解データの数を増やし、システム実行初期における判定誤差を少なくする。障害Ｚ０の条件関数群Ｆ０およびパラメータ群Ｘｉに対しランダムに値を変えて障害Ｚ０に関するデータＺｉ（ｉ＝１，・・・，ｌ）を作成し、ＩＭ−ＶＩＳに入力してデータＺｉの統合図を出力させる。これらの統合図に対してオペレータが正解か不正解かの判断を与えることにより、障害Ｚ０に対して類似度の高い正解データと類似度の低い不正解データの教師データを増やす。
ステップＳ０６はオペレータの動作である。
【００３５】
（ステップＳ０９、Ｓ１０、Ｓ１４、Ｓ１７、Ｓ１８）
同一障害の範囲探索する場合、起点を障害Ｚ０とする。起点の時刻ｔを基準として、時間に関しては、ｔの周辺を順次探索すればいい。またパラメータ探索においては、ｘｉ，ｊのｉ＝１，・・・，ｍに関して順次ｊ＝１，・・・，ｎで指定したパラメータ値を増減させながら、ＩＭ−ＶＩＳで統合図を作成する。障害範囲探索装置は、ここで作成された統合図に対して教師データを基に類似性判定を行い、パラメータの連続領域を探索する。
【００３６】
（ステップＳ１１、Ｓ１２、Ｓ１３、Ｓ１５、Ｓ１６）
障害範囲探索装置が統合図に対して類似性判定を行った結果も新たな教師データ（正解データ又は不正解データ）として利用することができる。また、障害範囲探索装置が探索の実行中に、統合図に対して類似性判定が曖昧と機械学習のフレームワークで判定されたものは、随時オペレータが判断し入力することにより、判定誤りを減少させ、同時に正解データを増やすことができる。
ステップＳ１１はオペレータの動作である。
【００３７】
図５は、本実施形態の障害範囲探索装置を説明するブロック図である。本障害範囲探索装置は、ＩＭ−ＶＩＳのような対話型解析部１０１と探索制御部１０２とを備える。具体的には、本障害範囲探索装置は、ネットワークの障害範囲を自律的に探索する障害範囲探索装置であって、
与えられた時刻及びパラメータからネットワーク状態の統合図を生成するＩＭ−ＶＩＳ１０１と、
教師データとして、任意の起点障害を特定する時刻及びパラメータと前記起点障害に関連する時刻及びパラメータを用いて１以上のネットワーク状態の統合図をＩＭ−ＶＩＳ１０１に生成させ、
サンプルデータとして、前記起点障害を特定する時刻及びパラメータの少なくとも一方を変化させて複数のネットワーク状態の統合図をＩＭ−ＶＩＳ１０１に生成させ、
ＩＭ−ＶＩＳ１０１に生成させた教師データの統合図を用いて、ＩＭ−ＶＩＳ１０１に生成させたサンプルデータの複数の統合図について前記起点障害の統合図との類似性判定を行い、前記複数の統合図のうち前記起点障害の統合図との類似度が高いと判定された統合図に対応する時刻またはパラメータ値の範囲を求める探索制御部１０２と、
を備える。
【００３８】
ＩＭ−ＶＩＳ１０１は、時刻ｔ、条件関数群Ｆ０、パラメータ値群Ｘｉを入力として、統合図Ｚ０を出力する。対話型解析部は、ＩＭ−ＶＩＳ１０１のフレームワークをそのまま用いる。
【００３９】
探索制御部１０２は、ｔ、ｆｉ、ｘｉ，ｊ、ＩＭ−ＶＩＳ１０１からの統合図Ｚを入力とする。探索制御部１０２は、入力されたｔ、ｘｉ，ｊの部分に乱数発生器１３を用いて新たなパラメータをｔ′、ｘｉ，ｊ′をｌ個作成してＩＭ−ＶＩＳ１０１に渡す。ＩＭ−ＶＩＳ１０１にて作成された起点障害Ｚ０に対するデータＺｉ（ｉ＝１，・・・，ｌ）の統合図を機能１１を用いてオペレータに提示する。探索制御部１０２は、その正誤判定を入力として受け取り、教師データとしてデータベース１０３に保管する。
【００４０】
次に、探索制御部１０２は、近傍探索機能１４を用いて、起点障害Ｚ０の時刻ｔの周辺、および、ｘｉ，ｊに関して、ｉ＝１，・・・，ｍに関して順次、ｊ＝１，・・・，ｎで指定したパラメータ値を増減させながら、ＩＭ−ＶＩＳ１０１に統合図を作成させる。そして、探索制御部１０２は、機能１２を用いて、Ｍ−ＶＩＳ１０１が作成した統合図とデータベース１３に保管した正解データ及び不正解データとを比較し、類似性判定を行う。判定が曖昧な部分が出た場合は、機能１１がオペレータに再度判断の入力を求め、新たな教師データとしてデータベース１３に加える。
【００４１】
最終的に、探索制御部１０２は、ｔｌ、ｔｈ（ｔｌ≦ｔ≦ｔｈ）、ｘｌｉ，ｊ、ｘｈｉ，ｊ（ｘｌｉ，ｊ＜ｘｉ，ｊ＜ｘｈｉ，ｊ）を出力し、起点障害Ｚ０と同様の障害が、どの範囲で観測されるのかをデータベース１０４に報告する。
【００４２】
〔発明のポイント〕
あるネットワーク状態Ｘを規定するための、スレッシュホールド値ｙ１以上ｙ２以下を予め定め、それを満たすＡＳ数がスレッシュホールド値ｘ１以上ｘ２以下の場合を探索する、という基本的な解析を行う際に、ｙｉ、ｘｉのような特徴量を表す数値を予め与えることが困難であった。このため、本発明は、図の類似性を用いて、ネットワークの状態が状態Ｘに類似するか否かで判定する。
【００４３】
図の類似性は、機械学習のフレームワークで解決可能であり、正解となる教師データは、ＩＭ−ＶＩＳと組み合わせ、起点となるＺ０、および、起点に関する類似データＺｉ（ｉ＝１，・・・，ｌ）を生成し、その動作過程でも順次正解データを生成していくことで、対応可能である。
【００４４】
〔効果〕  
ＩＭ−ＶＩＳのように複数の異なるレイヤの情報を統合し、対話的に条件と付随するパラメータ値を指定して可視化し、その図の結果に基いて順次解析をすすめる手法は、広域インターネットの挙動解析に有効である。一方、このような手法を用いて発見されるのは、ある時刻ｔｉのネットワークの状態の事象の断面であるスナップショットである。本発明を用いれば、これがどのような時間範囲、あるいはパラメータ値の範囲で異常であるのかが、同一障害に由来する障害の範囲として、同定可能となる。
【符号の説明】
【００４５】
１１、１２：機能
１３：乱数発生器
１４：近傍探索機能
１０１：対話型解析部（ＩＭ−ＶＩＳ）
１０２：探索制御部
１０３、１０４：データベース
【図１】
2019050456.tif 000003
【図２】
2019050456.tif 000004
【図３】
2019050456.tif 000005
【図４】
2019050456.tif 000006
【図５】
2019050456.tif 000007