(57)【要約】【課題】複数のスイッチから構成されるネットワークにおいてスイッチの異常を検知するシステムを迅速に導入できるようにすること。【解決手段】スイッチ異常検知装置は、ネットワークに含まれる複数のスイッチの内部状態を示す情報を収集する情報収集部と、複数のスイッチの一のスイッチの内部状態を他のスイッチの内部状態と比較して特徴付ける特徴量を、収集された情報を用いて算出する特徴量算出部と、算出された特徴量に基づいて前記一のスイッチを診断する異常判定部と、を備えている。【選択図】図１
2019024146.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに含まれる複数のスイッチの内部状態を示す情報を収集する情報収集部と、
前記複数のスイッチの一のスイッチの内部状態を他のスイッチの内部状態と比較して特徴付ける特徴量を、前記収集された情報を用いて算出する特徴量算出部と、
前記算出された特徴量に基づいて前記一のスイッチを診断する異常判定部と、を備える、
ことを特徴とするスイッチ異常検知装置。
【請求項２】
前記収集された情報を正規化する前処理部を備え、
前記特徴量算出部は、前記正規化された情報を用いて前記一のスイッチの特徴量を算出する、
請求項１に記載のスイッチ異常検知装置。
【請求項３】
前記情報収集部は、前記複数のスイッチが保持する転送ルールを、前記内部状態を示す情報として収集する、
請求項２に記載のスイッチ異常検知装置。
【請求項４】
前記特徴量算出部は、正規化された転送ルールに含まれるエントリの出現回数に応じて前記エントリの重みを求め、求めた重みと前記出現回数を用いて前記一のスイッチの特徴量を算出する、
請求項３に記載のスイッチ異常検知装置。
【請求項５】
前記前処理部は、前記転送ルールに含まれるマッチおよびアクションにおける物理ポート番号をワイルドカードに置換する、
請求項３または４に記載のスイッチ異常検知装置。
【請求項６】
前記前処理部は、前記転送ルールに含まれる統計情報を削除する、
請求項３ないし５のいずれか１項に記載のスイッチ異常検知装置。
【請求項７】
前記異常判定部は、前記一のスイッチの特徴量が所定の閾値より大きい場合、前記一のスイッチが異常であると判定する、
請求項１ないし６のいずれか１項に記載のスイッチ異常検知装置。
【請求項８】
コンピュータが、ネットワークに含まれる複数のスイッチの内部状態を示す情報を収集するステップと、
前記複数のスイッチの一のスイッチの内部状態を他のスイッチの内部状態と比較して特徴付ける特徴量を、前記収集された情報を用いて算出するステップと、
前記算出された特徴量に基づいて前記一のスイッチを診断するステップと、を含む、
ことを特徴とするスイッチ異常検知方法。
【請求項９】
前記コンピュータが、前記収集された情報を正規化するステップと、
前記正規化された情報を用いて前記一のスイッチの特徴量を算出するステップと、を含む、
請求項８に記載のスイッチ異常検知方法。
【請求項１０】
ネットワークに含まれる複数のスイッチの内部状態を示す情報を収集する処理と、
前記複数のスイッチの一のスイッチの内部状態を他のスイッチの内部状態と比較して特徴付ける特徴量を、前記収集された情報を用いて算出する処理と、
前記算出された特徴量に基づいて前記一のスイッチを診断する処理と、をコンピュータに実行させる、
ことを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はスイッチ異常検知装置、スイッチ異常検知方法、および、プログラムに関し、特にネットワークに含まれるスイッチの異常を検知するスイッチ異常検知装置、スイッチ異常検知方法、および、プログラムに関する。
【背景技術】
【０００２】
複数のスイッチから構成されるネットワークの異常を検知するための方法が提案されている。
【０００３】
非特許文献１に開示されたネットワークモニタリングツールにおいては、期待するネットワークの正常動作をチェック項目リストとして入力し、モニタリングツールがネットワーク内のスイッチとホストをリモート監視した結果と、チェック項目リストを比較することで、異常を発見することを可能にする。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】Nagios、［online］、［平成２７年７月６日検索］、インターネット〈URL：http://www.nagios.org/〉
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記非特許文献１の全開示内容は、本書に引用をもって繰り込み記載されているものとする。以下の分析は、本発明者によってなされたものである。
【０００６】
非特許文献１に記載されたモニタリング装置では、期待するネットワークの動作を予めチェック項目として記述しておくことで、ネットワークの異常を発見可能にするものである。
【０００７】
かかる方法によると、例えばデータセンターなどの大規模なネットワークでは、大量のチェック項目リストを予め準備する必要がある。このとき、正しい設定を行うには、監視対象となるネットワークに固有の高度な知識が必要とされる。また、モニタリング装置を導入するために、長い準備期間が必要とされる。
【０００８】
そこで、ネットワークの異常検知に必要とされるチェック項目リストを省くことで単純化し、ネットワーク固有の高度な知識やチェック項目リストの作成といった導入コストを削減することが要望される。特に、複数のスイッチから構成されるネットワークにおいてスイッチの異常を検知するシステムを迅速に導入できるようにすることが課題となる。
【０００９】
本発明の目的は、かかる課題解決に寄与するスイッチ異常検知装置、スイッチ異常検知方法およびプログラムを提供することにある。
【課題を解決するための手段】
【００１０】
本発明の第１の態様に係るスイッチ異常検知装置は、ネットワークに含まれる複数のスイッチの内部状態を示す情報を収集する情報収集部と、前記複数のスイッチの一のスイッチの内部状態を他のスイッチの内部状態と比較して特徴付ける特徴量を、前記収集された情報を用いて算出する特徴量算出部と、前記算出された特徴量に基づいて前記一のスイッチを診断する異常判定部と、を備えている。
【００１１】
本発明の第２の態様に係るスイッチ異常検知方法は、コンピュータが、ネットワークに含まれる複数のスイッチの内部状態を示す情報を収集するステップと、前記複数のスイッチの一のスイッチの内部状態を他のスイッチの内部状態と比較して特徴付ける特徴量を、前記収集された情報を用いて算出するステップと、前記算出された特徴量に基づいて前記一のスイッチを診断するステップと、を含む。
【００１２】
本発明の第３の態様に係るプログラムは、ネットワークに含まれる複数のスイッチの内部状態を示す情報を収集する処理と、前記複数のスイッチの一のスイッチの内部状態を他のスイッチの内部状態と比較して特徴付ける特徴量を、前記収集された情報を用いて算出する処理と、前記算出された特徴量に基づいて前記一のスイッチを診断する処理と、をコンピュータに実行させる。なお、プログラムは、非一時的なコンピュータ可読記録媒体（non-transitory computer-readable storage medium）に記録されたプログラム製品として提供することもできる。
【発明の効果】
【００１３】
本発明に係るスイッチ異常検知装置、スイッチ異常検知方法、および、プログラムによると、複数のスイッチから構成されるネットワークにおいてスイッチの異常を検知するシステムを迅速に導入することができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の一実施形態に係るスイッチ異常検知装置の構成を例示するブロック図である。
【図２】本発明の第１の実施形態に係るスイッチ異常検知装置の構成を例示するブロック図である。
【図３】転送ルールを例示する図である。
【図４】転送ルールの正規化動作を例示する図である。
【図５】log-entropy重み付けの計算式を例示する図である。
【図６】特徴量の計算式を例示する図である。
【図７】本発明の第１の実施形態に係るスイッチ異常検知装置の動作を例示するフローチャートである。
【発明を実施するための形態】
【００１５】
はじめに、一実施形態の概要について説明する。なお、この概要に付記する図面参照符号は、専ら理解を助けるための例示であり、本発明を図示の態様に限定することを意図するものではない。
【００１６】
図１は、一実施形態に係るスイッチ異常検知装置１の構成を例示するブロック図である。図１を参照すると、スイッチ異常検知装置１は、ネットワークに含まれる複数のスイッチ（例えば図２のスイッチ６）の内部状態を示す情報（例えば、図２のスイッチ６が保持する図３に示す転送ルール）を収集する情報収集部７と、複数のスイッチの一のスイッチの内部状態を他のスイッチの内部状態と比較して特徴付ける特徴量を、収集された情報を用いて算出する特徴量算出部４と、算出された特徴量に基づいて前記一のスイッチを診断する異常判定部５と、を備えている。
【００１７】
かかるスイッチ異常検知装置１によると、複数のスイッチから構成されるネットワークにおいてスイッチの異常を検知するシステムを迅速に導入することができる。なぜなら、スイッチ異常検知装置１によると、スイッチから収集した内部状態を示す情報に基づいて特徴量を算出し、算出した特徴量に応じてスイッチを診断することができ、異常検知のためのチェック項目リストを予め用意する必要がなくなるからである。
【００１８】
また、特徴量算出部４は、収集された情報を正規化（例えば図４に示すように、転送ルールに含まれるマッチおよびアクションにおける物理ポート番号をワイルドカードに置換し、統計情報を削除する正規化等）した情報を用いて、前記一のスイッチの特徴量を算出してもよい。
【００１９】
さらに、特徴量算出部４は、正規化された転送ルールに含まれるエントリの出現回数に応じて前記エントリの重み（例えば、図５に示すエントリiの重みg(i)）を求め、求めた重みと前記出現回数を用いて前記一のスイッチの特徴量（例えば、図６に示すスイッチjの特徴量|xj|）を算出してもよい。
【００２０】
また、異常判定部５は、スイッチの特徴量が所定の閾値より大きい場合、一のスイッチが異常であると判定してもよい。
【００２１】
本発明のさらなる展開形態は、特にデータセンターのコアスイッチなどの同等の設定を持つ複数のスイッチから構成されるネットワークについて、スイッチの内部状態から算出できる特徴量を他のスイッチの特徴量と比較することで異常なスイッチを発見することを可能とするスイッチ異常検知装置、スイッチ異常検知方法およびプログラムに関する。
【００２２】
図２を参照すると、展開形態に係るスイッチ異常検知装置１は、ネットワークを構成するスイッチ６の内部状態として転送ルールを収集する転送ルール収集部２と、収集した転送ルールを正規化する転送ルール前処理部３と、スイッチごとの特徴量を正規化された転送ルールから算出する特徴量算出部４と、特徴量から異常なスイッチを判定する異常判定部５とを備えている。
【００２３】
かかるスイッチ異常検知装置１によると、スイッチごとに算出した特徴量を算出することで、異常検知のためのチェック項目リストを用意することなく、特徴量の比較だけで異常なスイッチを推測することができる。また、スイッチ異常検知装置１によれば、複数のスイッチのうち設定情報が誤っているものを検出することも可能となる。
【００２４】
＜実施形態１＞
次に、本発明の第１の実施形態に係るスイッチ異常検知装置について、図面を参照して詳細に説明する。
【００２５】
［構成］
図２は、本実施形態のスイッチ異常検知装置１の構成を例示するブロック図である。図２を参照すると、スイッチ異常検知装置１は、転送ルール収集部２、転送ルール前処理部３、特徴量算出部４、および、異常判定部５を備えている。
【００２６】
転送ルール収集部２は、ネットワークを構成するスイッチ６が持つ転送ルールを定期的に収集する。また、転送ルール収集部２は、収集した転送ルールを転送ルール前処理部３への入力とする。
【００２７】
図３は、転送ルール収集部２が収集する転送ルールを例示する。転送ルールは、スイッチ６ごとに複数のエントリを持ち、それぞれのエントリは、属性としてマッチ、アクション、プライオリティ、および、統計情報を持つ。
【００２８】
マッチには、スイッチ６に入るパケットを処理するかどうかという判定条件が含まれる。例えば"VlanID = 10"というマッチでは、パケットのVlanIDフィールドが10である場合にのみ、アクション属性で示す処理をパケットに行う。アクション属性には、マッチに当てはまったパケットに対して行う処理が含まれる。例えば、"FWD port = 5"の場合、スイッチの５番ポートにパケットを転送する。プライオリティはエントリごとの優先順位であり、優先順位の高いエントリから順にマッチ判定が行われる。統計情報には、エントリに従って処理されたパケット転送量が記録される。
【００２９】
転送ルール前処理部３は、収集された転送ルールについて、マッチおよびアクションに含まれる物理ポート番号の部分をワイルドカードに置換し、また、統計情報を削除することで各転送ルールエントリを正規化する。転送ルールを正規化することにより、物理ポート番号のみが異なる類似の転送ルールエントリを、同一のエントリとみなすことができる。また、転送ルール前処理部３は、正規化した転送ルールを特徴量算出部４への入力とする。
【００３０】
図４は、転送ルール前処理部３による転送ルール正規化の動作を例示する。転送ルール前処理部３は、マッチのうちの物理ポート番号が含まれる"InPort = 5"の部分をワイルドカードに変更し、"InPort = *"に変換する。また、転送ルール前処理部３は、アクションのうちの物理ポート番号が含まれる"FWD port = 5"、"FWD port = 4"を、それぞれ同様に"FWD port = *"に変換する。さらに、転送ルール前処理部３は、統計情報を削除する。
【００３１】
特徴量算出部４は、正規化された転送ルールからスイッチ６ごとの特徴量を算出する。まず、特徴量算出部４は、転送ルール内の各エントリiについて、図５に示すlog-entropyを用いた重みg(i)を求め、求めた重みg(i)により０から１の間で重み付けを行う。特徴量算出部４は、例えば、すべてのネットワークに含まれるエントリiに重み0（g(i) = 0）を付与し、特定のスイッチ１台のみに含まれるエントリiに重み1（g(i) = 1）を付与する。各スイッチの設定が同等であると仮定すると、log-entropyによる重みg(i)が大きいエントリiは設定ミスや故障などの何らかの異常があることを示している。
【００３２】
なお、図５に示すエントリiに対する重みg(i)は例示にすぎず、本発明においてエントリiに対する重み付けに適用可能な重みは図５に示す具体的な関数に限定されない。
【００３３】
さらに、特徴量算出部４はスイッチ６ごとにエントリiの重みg(i)と出現回数x(i, j)から、図６に示す式を用いて、j番目のスイッチ６に対する特徴量|xj|を算出する。ここで、x(i, j)はj番目のスイッチjの転送ルールにおける正規化されたエントリiが出現する回数を表す。特徴量算出部４は、特徴量|xj|の大きいスイッチ６ほど他のスイッチと比較して何らかの異常が発生している可能性が高いものと推測する。
【００３４】
なお、図６に示すj番目のスイッチ６に対する特徴量|xj|は例示にすぎない。本発明においてスイッチ６を特徴付ける特徴量は、図６に示す具体的な関数に限定されず、g(i)とx(i,j)のそれぞれの単調増加関数であればよい。
【００３５】
異常判定部５は、予め設定した閾値よりも大きい特徴量|xj|を持つスイッチ６の一覧を管理者に提示する。
【００３６】
［動作］
次に、図７のフローチャートを参照して、本実施形態のスイッチ異常検知装置１の動作について詳細に説明する。
【００３７】
ステップＳ１において、転送ルール収集部２はネットワークを構成するスイッチ６が持つ転送ルールを収集する。
【００３８】
ステップＳ２において、転送ルール前処理部３は収集された転送ルールについて、マッチおよびアクションに現れる物理ポート番号の部分をワイルドカードとし、また、統計情報を削除することで、各転送ルールエントリを正規化する。
【００３９】
ステップＳ３において、特徴量算出部４はスイッチごとに、正規化された転送ルールから特徴量を算出する。
【００４０】
ステップＳ４において、異常判定部５は予め設定した閾値よりも大きい特徴量を持つスイッチ６があるかどうかを判定する。
【００４１】
異常判定部５は、閾値よりも大きい特徴量を持つスイッチ６が存在する場合（ステップＳ４のＹｅｓ）、ステップＳ５において、かかるスイッチの一覧を異常スイッチの候補として管理者に提示する。
【００４２】
次に、本実施形態の効果について説明する。本実施形態によれば、特にデータセンターのコアスイッチなど同等の設定を持つ大量のスイッチから構成されるネットワークについて、スイッチの内部状態から算出できる特徴量を他のスイッチの特徴量と比較することで、異常検知のためのチェック項目リストを用意することなく、特徴量の比較だけで異常なスイッチを推測することができる。
【００４３】
本発明のスイッチ異常検知装置は、一例として同等の設定を持つスイッチから構成されるネットワークの管理に適用することができる。
【００４４】
なお、本発明において、下記の形態が可能である。
［形態１］
上記第１の態様に係るスイッチ異常検知装置のとおりである。
［形態２］
前記収集された情報を正規化する前処理部を備え、
前記特徴量算出部は、前記正規化された情報を用いて前記一のスイッチの特徴量を算出する、
形態１に記載のスイッチ異常検知装置。
［形態３］
前記情報収集部は、前記複数のスイッチが保持する転送ルールを、前記内部状態を示す情報として収集する、
形態２に記載のスイッチ異常検知装置。
［形態４］
前記特徴量算出部は、正規化された転送ルールに含まれるエントリの出現回数に応じて前記エントリの重みを求め、求めた重みと前記出現回数を用いて前記一のスイッチの特徴量を算出する、
形態３に記載のスイッチ異常検知装置。
［形態５］
前記前処理部は、前記転送ルールに含まれるマッチおよびアクションにおける物理ポート番号をワイルドカードに置換する、
形態３または４に記載のスイッチ異常検知装置。
［形態６］
前記前処理部は、前記転送ルールに含まれる統計情報を削除する、
形態３ないし５のいずれか一に記載のスイッチ異常検知装置。
［形態７］
前記異常判定部は、前記一のスイッチの特徴量が所定の閾値より大きい場合、前記一のスイッチが異常であると判定する、
形態１ないし６のいずれか一に記載のスイッチ異常検知装置。
［形態８］
上記第２の態様に係るスイッチ異常検知方法のとおりである。
［形態９］
前記コンピュータが、前記収集された情報を正規化するステップと、
前記正規化された情報を用いて前記一のスイッチの特徴量を算出するステップと、を含む、
形態８に記載のスイッチ異常検知方法。
［形態１０］
前記コンピュータは、前記複数のスイッチが保持する転送ルールを、前記内部状態を示す情報として収集する、
形態９に記載のスイッチ異常検知方法。
［形態１１］
前記コンピュータが、正規化された転送ルールに含まれるエントリの出現回数に応じて前記エントリの重みを求めるステップと、
求めた重みと前記出現回数を用いて前記一のスイッチの特徴量を算出するステップと、を含む、
形態１０に記載のスイッチ異常検知方法。
［形態１２］
前記コンピュータが、前記転送ルールに含まれるマッチおよびアクションにおける物理ポート番号をワイルドカードに置換するステップを含む、
形態１０または１１に記載のスイッチ異常検知方法。
［形態１３］
前記コンピュータが、前記転送ルールに含まれる統計情報を削除するステップを含む、
形態１０ないし１２のいずれか一に記載のスイッチ異常検知方法。
［形態１４］
前記コンピュータが、前記一のスイッチの特徴量が所定の閾値より大きい場合、前記一のスイッチが異常であると判定するステップを含む、
形態８ないし１３のいずれか一に記載のスイッチ異常検知方法。
［形態１５］
上記第３の態様に係るプログラムのとおりである。
［形態１６］
前記収集された情報を正規化する処理と、
前記正規化された情報を用いて前記一のスイッチの特徴量を算出する処理と、を前記コンピュータに実行させる、
形態１５に記載のプログラム。
［形態１７］
前記複数のスイッチが保持する転送ルールを、前記内部状態を示す情報として収集する処理を前記コンピュータに実行させる、
形態１６に記載のプログラム。
［形態１８］
正規化された転送ルールに含まれるエントリの出現回数に応じて前記エントリの重みを求める処理と、
求めた重みと前記出現回数を用いて前記一のスイッチの特徴量を算出する処理と、を前記コンピュータに実行させる、
形態１７に記載のプログラム。
［形態１９］
前記転送ルールに含まれるマッチおよびアクションにおける物理ポート番号をワイルドカードに置換する処理を前記コンピュータに実行させる、
形態１７または１８に記載のプログラム。
［形態２０］
前記転送ルールに含まれる統計情報を削除する処理を前記コンピュータに実行させる、
形態１７ないし１９のいずれか一に記載のプログラム。
［形態２１］
前記一のスイッチの特徴量が所定の閾値より大きい場合、前記一のスイッチが異常であると判定する処理を前記コンピュータに実行させる、
形態１５ないし２０のいずれか一に記載のプログラム。
【００４５】
なお、上記非特許文献の全開示内容は、本書に引用をもって繰り込み記載されているものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。
【符号の説明】
【００４６】
１    スイッチ異常検知装置
２    転送ルール収集部
３    転送ルール前処理部
４    特徴量算出部
５    異常判定部
６    スイッチ
７    情報収集部
【図１】
2019024146.tif 000003
【図２】
2019024146.tif 000004
【図３】
2019024146.tif 000005
【図４】
2019024146.tif 000006
【図５】
2019024146.tif 000007
【図６】
2019024146.tif 000008
【図７】
2019024146.tif 000009