(57)【要約】      （修正有）【課題】接続されたデバイスの異常について、きめ細かな情報での判定を可能にするパケット転送装置を提供する。【解決手段】PoEポートを有するパケット転送装置において、PoEポートへの電力供給を制御し、供給電力量を測定する電力供給部と、PoEポートと前記パケット転送装置の他のポートを経由してパケットを転送し、PoEポートの通信量を測定するパケットスイッチング部と、PoEポートに接続されるデバイスの正常な動作領域を、供給電力量と通信量の相関のマップで表すプロファイルを保持するプロファイル保持部と、電力供給部が測定した供給電力量と、パケットスイッチング部が測定した通信量と、プロファイル保持部が保持するプロファイルとに基づいて、前記デバイスが異常であるかを判定する相関解析部と、相関解析部の異常であるとの判定に基づいて、対策動作するCPU部と、を備える。【選択図】図１
2019057780.tif 000002
【特許請求の範囲】
【請求項１】
PoEポートを有するパケット転送装置において、
前記PoEポートへの電力供給を制御し、供給電力量を測定する電力供給部と、
前記PoEポートと前記パケット転送装置の他のポートを経由してパケットを転送し、前記PoEポートの通信量を測定するパケットスイッチング部と、
前記PoEポートに接続されるデバイスの正常な動作領域を供給電力量と通信量の相関のマップで表すプロファイルを保持するプロファイル保持部と、
前記電力供給部が測定した供給電力量と、前記パケットスイッチング部が測定した通信量と、前記プロファイル保持部が保持するプロファイルとに基づいて、前記デバイスが異常であるかを判定する相関解析部と、
前記パケット転送装置の各部を制御し、前記相関解析部の異常であるとの判定に基づいて、対策動作するCPU部と、を備えたこと
を特徴とするパケット転送装置。
【請求項２】
請求項１に記載のパケット転送装置において、
前記プロファイル保持部は、
正常な動作領域に含まれる各ビットの値が正常な動作を示し、正常な動作領域以外に含まれるビットの値が異常な動作を示すビットマップで表すプロファイルを保持し、
前記相関解析部は、
前記電力供給部が測定した供給電力量と、前記パケットスイッチング部が測定した通信量から、ビットマップのビット位置を算出し、算出されたビット位置のビットの値を読み出し、前記デバイスが異常であるかを判定すること
を特徴とするパケット転送装置。
【請求項３】
請求項２に記載のパケット転送装置において、
前記CPU部は、
SNMPのtrap発行、syslog情報の送信、メールでの情報通知、通信の遮断、異常であると判定されたポートへの電力供給の停止、あるいは異常であると判定されたポートに関わる通信の別ポートへのミラーリングの中で１つまたは複数の選択された対策動作を、前記相関解析部の異常であるとの判定に基づいて、実行すること
を特徴とするパケット転送装置。
【請求項４】
請求項３に記載のパケット転送装置において、
前記パケット転送装置は、
前記電力供給部が測定した供給電力量と、前記パケットスイッチング部が測定した通信量とに基づいて、線形関数あるいはｎ次関数を算出し、算出された線形関数あるいはｎ次関数に基づいてビットマップを作成することによりプロファイルを作成するプロファイル作成部をさらに備えたこと
を特徴とするパケット転送装置。
【請求項５】
請求項３に記載のパケット転送装置において、
前記パケット転送装置は、
前記電力供給部が測定した供給電力量を時刻とともに記録する供給電力情報記録部と、
前記パケットスイッチング部が測定した通信量を時刻とともに記録する通信量情報記録部と、をさらに備え、
前記相関解析部は、
前記供給電力情報記録部が記録した供給電力量の時刻に対する変化量を算出し、前記通信量情報記録部が記録した通信量の時刻に対する変化量を算出し、算出された供給電力量の変化量と算出された通信量の変化量から、ビットマップのビット位置を算出し、算出されたビット位置のビットの値を読み出し、前記デバイスが異常であるかを判定すること
を特徴とするパケット転送装置。
【請求項６】
請求項３に記載のパケット転送装置において、
前記プロファイル保持部は、
前記デバイスの正常な動作領域として、前記デバイスの電源on実行時の動作領域と、通常運用での動作領域と、電源off実行時の動作領域を含むこと
を特徴とするパケット転送装置。
【請求項７】
請求項３に記載のパケット転送装置において、
前記プロファイル保持部は、
プロファイルをそれぞれ表す複数のビットマップを保持し、
前記相関解析部は、
前記複数のビットマップの中から使用するビットマップを時間に応じて変更し、使用するビットマップにおける算出されたビット位置のビットの値を読み出すこと
を特徴とするパケット転送装置。
【請求項８】
ポートを有するパケット転送装置を含むパケット転送システムにおいて、
前記パケット転送システムは、
前記ポートに接続されるデバイスの正常な動作領域を供給電力量と通信量の相関のマップで表すプロファイルを保持し、受信した供給電力量と、受信した通信量と、保持したプロファイルとに基づいて、前記デバイスが異常であるかを判定するサーバと、
前記デバイスへの電力供給を制御し、供給電力量を測定して送信する電力供給部と、をさらに備え、
前記パケット転送装置は、
前記ポートと前記パケット転送装置の他のポートを経由してパケットを転送し、前記ポートの通信量を測定するパケットスイッチング部と、
前記パケット転送装置の各部を制御し、前記パケットスイッチング部が測定した通信量を前記サーバへ送信するCPU部と、を備えること
を特徴とするパケット転送システム。
【請求項９】
請求項８に記載のパケット転送システムにおいて、
前記電力供給部は、
前記パケット転送装置に備えられ、
前記ポートを経由しての前記デバイスへの電力供給を制御し、
前記CPU部を経由して、測定した供給電力量を前記CPU部へ送信し、
前記CPU部は、
前記電力供給部が送信した供給電力量を前記サーバへさらに送信すること
を特徴とするパケット転送システム。
【請求項１０】
請求項８に記載のパケット転送システムにおいて、
前記電力供給部は、
前記パケット転送装置の外に配置され、
測定した供給電力量を前記サーバへ送信すること
を特徴とするパケット転送システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケット転送装置およびパケット転送システムに関する。
【背景技術】
【０００２】
IoT（Internet of Things）の推進に伴い、ネットワークの大規模化がますます加速されている。また、ネットワークへ接続されるデバイスも多様化しており、ネットワークへ接続されたデバイスの管理に必要な業務が、質と量の両面で大きく変化しており、非常に大きな課題となっている。
【０００３】
ネットワークへ接続されたデバイスの管理をサポートする目的で、様々な手法が用いられている。例えば、デバイスにエージェントをインストールし、ネットワーク上に設置されるマネージャと相互に情報をやり取りする方法がある。
【０００４】
この方法では、管理するデバイスの情報を直接取得することが可能なため、デバイスのCPU（Central Processing Unit）やメモリの利用率、起動中のプロセス一覧、マルウェアへの感染状態、ユーザのログイン状況などの情報を使った、細やかな管理が可能になる。
【０００５】
その一方で、エージェントをインストールすることが可能なデバイスはOS（Operating System）やハードウェアの種別によって限られるケースが多く、導入できないケースも多い。今後、より多様なデバイスがネットワークに接続されてくることを考えると、このようなケースはさらに増加する。
【０００６】
さらに、デバイスがマルウェア等に感染したり、故障したりするような状況では、そもそもデバイスが正常に動作しないため、エージェントが適切に稼動しない可能性もあり、デバイス外からの間接的な管理と併用することが効果的である。
【０００７】
デバイス外からの間接的な管理方法には、デバイスの通信量をネットワーク機器で測定し、想定外の通信量になっていた場合にはマルウェア等に感染した可能性があると判断する方法、デバイスの消費電力を測定し、想定外の消費電力の場合にはデバイスが期待外の動作をしていると判断する方法、他には、管理対象のデバイスにデバイス外の機器から特定のコマンド(ping、httpのgetメソッドなど)を送り、正常な反応が無い場合にはデバイスの故障や特定のプロセスがダウンしていると判断する方法などがある。
【０００８】
これらのデバイス外からの間接的な管理方法では、CPUの状態や稼動しているプロセスの一覧のようなデバイス内部の詳細な情報を取れる訳ではないが、デバイスの状態に左右されずに安定して監視が可能というメリットがある。
【０００９】
デバイス外にて測定可能な情報から、デバイスの状態を推定することが、間接的な管理方法の本質である。前述のように、デバイス外にて測定可能な情報としては、ネットワーク機器における通信量、PoE（Power over Ethernet：Ethernetは登録商標）給電が可能なネットワーク機器もしくはUPS(Uninterruptible Power Supply)における消費電力、温度計などによる温度情報などがある。
【００１０】
管理システムにおいては、これらの情報は単体で評価する方法が一般的であり、例えば温度が非常に高い、消費電力が普段と比べて非常に多いといった場合には想定しない不正なプロセスの稼動や、ハードウェア故障の可能性があると判断している。
【００１１】
特許文献１には、送信データ量と供給電力量を測定および記録する手段を持つPoEスイッチにおいて、測定されたデータと記録されたデータを予め定められた判定条件に従って比較することで、接続されたデバイスの異常の可能性を判定する技術が開示されている。
【先行技術文献】
【特許文献】
【００１２】
【特許文献１】特開２０１４−１３８３６９号公報
【発明の概要】
【発明が解決しようとする課題】
【００１３】
引用文献１に開示された技術を用いれば、送信データ量と供給電力量に基づいてデバイスの異常の可能性を判定できる。しかしながら、正常時に送信データ量と供給電力量とが相関を維持しつつ大きく変化するデバイスも有り、そのようなデバイスに対して、送信データ量と供給電力量の正常な範囲を単純に設定してしまうと、単純な正常な範囲に異常な状態が多く含まれて、異常を正常と誤判定してしまう可能性が大きくなる。
【００１４】
本発明の目的は、接続されたデバイスの異常について、きめ細かな情報での判定を可能にするパケット転送装置を提供することにある。
【課題を解決するための手段】
【００１５】
本発明に係る代表的なパケット転送装置は、PoEポートを有するパケット転送装置であって、前記PoEポートへの電力供給を制御し、供給電力量を測定する電力供給部と、前記PoEポートと前記パケット転送装置の他のポートを経由してパケットを転送し、前記PoEポートの通信量を測定するパケットスイッチング部と、前記PoEポートに接続されるデバイスの正常な動作領域を供給電力量と通信量の相関のマップで表すプロファイルを保持するプロファイル保持部と、前記電力供給部が測定した供給電力量と、前記パケットスイッチング部が測定した通信量と、前記プロファイル保持部が保持するプロファイルとに基づいて、前記デバイスが異常であるかを判定する相関解析部と、前記パケット転送装置の各部を制御し、前記相関解析部の異常であるとの判定に基づいて、対策動作するCPU部と、を備えたことを特徴とする。
【発明の効果】
【００１６】
本発明によれば、接続されたデバイスの異常について、きめ細かな情報での判定を可能にするパケット転送装置を提供できる。
【図面の簡単な説明】
【００１７】
【図１】接続デバイスの正常性を判定しPoE機能を持つパケット転送装置の例を示すブロック図である。
【図２】通信量および供給電力量に基づいたプロファイルと判定の例を示す図である。
【図３】通信量の例を示す図である。
【図４】プロファイルを生成するパケット転送装置の例を示すブロック図である。
【図５】線形関数に基づいて生成されたプロファイルの例を示す図である。
【図６】通信量および供給電力量の変化量に基づいたプロファイルの例を示す図である。
【図７】サーバと連携するパケット転送装置の例を示すブロック図である。
【図８】UPSと連携するパケット転送装置の例を示すブロック図である。
【図９】サーバおよびUPSと連携するパケット転送装置の例を示すブロック図である。
【発明を実施するための形態】
【実施例１】
【００１８】
実施例１について、図１および図２を用いて説明する。実施例１では、PoE機能を持つパケット転送装置において、接続されるデバイスの正常性確認を予め設定されたプロファイルに従って実施する。
【００１９】
図１は、接続されるPoEデバイスの正常性を確認可能なPoE機能を持つパケット転送装置100の例を示すブロック図である。パケット転送装置100は、一般的なPoE機能を持つパケット転送装置と同じように、PoEデバイスが接続され、PoE機能にて電力を供給するPoEポート110、および上位のネットワーク装置が接続されるEtherポート120を有する。
【００２０】
PoEポート110は例えばダウンリンクであり、Etherポート120は例えばアップリンクである。なお、PoEポート110-1からPoEポート110-nのいずれかを、どれかを特定せずに代表的に表す場合は、PoEポート110と表現し、Etherポート120も同じ表現とする。Etherポート120は、Ethernet以外のプロトコルの通信ポートであっても良く、パケット転送装置100がプロトコルを変換しても良い。
【００２１】
また、パケット転送装置100は、PoEポート110とEtherポート120とのポート間のパケットを転送および遮断するパケットスイッチング部130、PoEポート110への電力供給を制御するPoE電力供給部140、および制御端末と接続され、パケット転送装置100内の各部を制御するプロセッサであるCPU部150を有する。
【００２２】
さらに、パケット転送装置100は、各PoEポート110の通信量を記録する通信量情報記録部160、各PoEポート110へ供給している電力量を記録する供給電力情報記録部170、PoEポートに接続されるデバイスの通信量と電力量の相関関係を記述したプロファイルを保持するプロファイル保持部180、およびプロファイルと記録された通信量および電力量の相関関係とからデバイスの異常を検出する相関解析部190を有する。
【００２３】
PoEポート110には、IP（Internet Protocol）電話や監視カメラのようなデバイスが接続され、デバイスはPoEポート110経由で電力の供給を受けるとともに通信を行う。PoEポート110で受信されたパケットは、パケットスイッチング部130にてヘッダ情報から出力ポートが決定され、決定された出力ポートから送信が行なわれる。また、パケットの通過可能な条件が設定されることで、条件を満たさないパケットが破棄されても良い。
【００２４】
Etherポート120で受信されたパケットが、パケットスイッチング部130にてヘッダ情報からPoEポート110が決定され、決定されたPoEポート110から送信が行なわれてもよい。Etherポート120においても、パケットの通過可能な条件が設定されることで、条件を満たさないパケットが破棄されても良い。パケットスイッチング部130は、通過するパケットにより発生する通信の通信量を測定する。破棄されたパケットは、測定の対象から外されても良い。
【００２５】
PoE電力供給部140は、CPU部150の制御に基づき、各PoEポート110への電力供給を制御し、PoEポート110毎の供給電力量を測定する。また、PoE電力供給部140あるいはパケットスイッチング部130が、各PoEポート110経由でPoEデバイスの識別子などの情報を取得し、CPU部150へ通知しても良い。
【００２６】
通信量情報記録部160は、パケットスイッチング部130からPoEポート110毎の通信量を取得し、単位時間あたりの通信量をタイムスタンプとともに記録する。一方、供給電力情報記録部170は、PoE電力供給部140からPoEポート110毎の供給電力量（PoEポート110に接続されたデバイスの消費電力量）を取得し、単位時間あたりの供給電力量をタイムスタンプとともに記録する。
【００２７】
ここで、通信量を取得する単位時間と供給電力量を取得する単位時間とは同じ時間であることが好ましく、通信量のタイムスタンプと供給電力量のタイムスタンプとは共通であることが好ましい。
【００２８】
プロファイル保持部180は、CPU部150経由でパケット転送装置100外部の制御端末から各PoEポート110で適用する通信量と供給電力量の相関を記述したプロファイルを受け取り、保存する。各PoEポート110で適用する通信量と供給電力量の相関は、各PoEポート110に接続されたデバイスに適用する通信量と供給電力量の相関であっても良い。
【００２９】
相関解析部190は、各PoEポート110に関して、通信量情報記録部160からの情報と、供給電力情報記録部170からの情報と、これらの情報に対応するプロファイル保持部180からのプロファイルとを受け取り、これらの情報がプロファイルに規定された正常の範囲に収まっているか判定する。
【００３０】
相関解析部190が正常な範囲外すなわち異常であると判定した場合には、CPU部150に通知し、CPU部150はSNMP（Simple Network Management Protocol）のtrap発行、syslog情報の送信、あるいはメールでの情報通知のほか、パケットスイッチング部130へのACL（Access Control List）記述の設定を行っても良い。
【００３１】
また、CPU部150は、異常であると判定されたPoEポート110に対して、無効化、通信の遮断、あるいは電力供給の停止をするように、パケットスイッチング部130あるいはPoE電力供給部140を制御しても良いし、異常であると判定されたPoEポート110に関わる通信の別のEtherポート120へのミラーリングするようにパケットスイッチング部130を制御しても良い。
【００３２】
相関解析部190から異常でるとの判定の通知を受けたCPU部150は、以上の対策動作（アクション）の中から１つまたは複数を選択して対策動作しても良く、どの対策動作を選択するかは、制御端末から予め設定されていても良い。
【００３３】
図２は、プロファイルと判定の例を示す図である。プロファイルは、例えば縦軸が供給電力量であり、横軸が通信量であるグラフである。図２の例では、正常と判定する値を円201、202、203で囲っており、PoEポート110に接続されるデバイスが監視カメラの場合、低解像度、中解像度、高解像度の３つの動作モードに対応する。
【００３４】
監視カメラが低解像度の動作モードである場合は通信量と消費電力量が低いため、円201のような相関となり、監視カメラが高解像度の動作モードである場合は通信量と消費電力量が高いため、円203のような相関となり、監視カメラが中解像度の動作モードである場合は円201と円203の中間の円202のような相関となる。
【００３５】
図２のプロファイルの例において、例えば記録された供給電力量と通信量とが相関212の場合には正常と判定され、相関211の場合には異常と判定されるものである。相関211の状態は、供給電力量の視点では中解像度の範囲、通信量の視点では低解像度の範囲に収まっており、それぞれ別々に判定されていたら正常と判定されてしまう。
【００３６】
これに対して、本実施例のように、供給電力量と通信量とを組み合わせた相関関係で判定することで、相関211の場合であっても異常を検出することが可能になる。プロファイルは、前もって、PoEポート110に接続される予定の複数種類のデバイスのプロファイルがプロファイル保持部180に保存されても良い。
【００３７】
相関解析部190では、保存された複数種類のデバイスのプロファイルの中からどれを用いるか指定されても良いし、各PoEポート110に接続されたPoEデバイスの種類を取得し、取得したPoEデバイスに種類に応じてプロファイルを用いても良い。保持されるプロファイルはデバイスメーカからスペックなどとして提供を受けても良いし、管理者により作成されても良い。
【００３８】
PoEポート110に接続されたPoEデバイス側で、PoEデバイスの電源のonとoffが可能な場合、正常と判定する値の円204がプロファイルに設けられても良い。円204により、PoEデバイスの電源がoffにされた場合に、異常であると誤判定されることを回避できる。
【００３９】
プロファイルの情報は例えばビットマップのデータであっても良い。このため、領域223はビット220やビット221のようなビットで構成されても良い。この例では、ビット220のような「０」が異常と判定される値であり、ビット221のような「１」が正常と判定される値である。相関212はビット231に対応し、値が「１」であるから正常と判定され、相関211はビット230に対応し、値が「０」であるから異常と判定される。
【００４０】
図２の例では、理解しやすいように２次元のグラフに対応してビットマップを２次元で表現したが、ビットマップは２次元に限定されるものではなく、供給電力量と通信量の情報からビットの位置が算出可能であれば、どのようなビットマップであっても良い。
【００４１】
プロファイルをビットマップとすることで、円201、202、203を自由な形状としたり、個数を増やしたりすることも可能となり、PoEポート110に接続されるPoEデバイスの特性を精密に表すことが可能となる。
【００４２】
なお、PoEデバイスの特性を精密に表すことが可能であれば、プロファイルの情報は、ビットマップに限定されるものではなく、２次元のマップであり、とりうる範囲を２次元の空間で表現できるデータであっても良い。
【００４３】
同じPoEデバイスあるいは同じ種類のPoEデバイスに適用されるプロファイルが複数あっても良い。例えば、オフィス内のIP電話は、業務時間であるか否かで、利用頻度も大きく変わる。そこで、プロファイル保持部180が業務時間中のプロファイルと業務時間外のプロファイルを予め保持し、プロファイル保持部180あるいは相関解析部190が時間に応じて判定基準となるプロファイルを変更する。このように条件が限定されることで、より精度の高い判定が可能になる。
【００４４】
図３は、通信量の例を示す図である。既に説明したように、通信量情報記録部160は、単位時間あたりの通信量をタイムスタンプとともに記録する。単位時間はパケットスイッチング部130あるいはPoEポート110で規定されていても良く、図３では単位時間301である。
【００４５】
単位時間301あたりの通信量は、パケットスイッチング部130を通過するPoEポート110を出力または入力とするパケット数あるいはパケットのデータバイト数であっても良いし、PoEポート110を通過するパケット数あるいはパケットのデータバイト数であっても良い。また、破棄されたパケットは通信量から除外されても良い。
【００４６】
通信量情報記録部160は、単位時間301あたりの通信量を、単位時間301毎にタイムスタンプとともに記録しても良いし、複数の単位時間301を含む時刻302-1から時刻302-2までの単位時間301あたりの通信量の合計を、時刻302-2のタイムスタンプとともに記録しても良い。
【００４７】
また、単位時間301あたりの通信量を、単位時間301毎にタイムスタンプとともに記録する場合、相関解析部190は、単位時間301毎に判定しても良いし、複数の単位時間301を間隔に含む時刻302-1と時刻302-2などのタイミングで判定を行っても良い。
【００４８】
複数の単位時間301を含む時刻302-1から時刻302-2までの単位時間301あたりの通信量の合計を、時刻302-2のタイムスタンプとともに記録する場合、相関解析部190は、時刻302-2のタイミングで判定を行っても良いし、時刻302-1から時刻302-2までの周期よりも長周期のタイミングで判定を行っても良い。
【００４９】
タイムスタンプの記録される周期よりも判定の周期が長い場合、相関解析部190は、判定の周期の中の予め設定されたタイミングと一致するタイムスタンプとともに記録された通信量が選択し、選択した通信量を判定の対象としても良い。
【００５０】
判定の１つの周期の中で複数のタイミングが予め設定された場合、相関解析部190は、設定された複数のタイミングと一致するタイムスタンプとともに記録された通信量を選択し、選択した複数の通信量を判定して、複数の判定結果の中で１つでも異常であると判定すると、CPU部150に異常として通知しても良い。
【００５１】
図３の例では、特に通信量と時間との関係について説明したが、供給電力量と時間との関係も、通信量と時間との関係と一致するため、詳しい説明を省略する。
【００５２】
以上で説明したように、異常の判定に使用されるプロファイルを２次元のマップで設定することが可能となるため、きめ細かなプロファイルの設定が可能になる。特に、プロファイルをビットマップで設定することもできるため、ビットに対応したきめ細かなプロファイルの設定が可能になる。
【００５３】
これにより、接続されたPoEデバイスが複数の動作モードを有するのでれば、各動作モードに応じた内容をプロファイルに含ませることが可能になる。そして、別の動作モードでは正常と判断されてしまうような供給電力量であっても、誤判定することなく、異常と判定できる。また、異常と判定した場合に、多様な対策動作を行うことも可能になる。
【実施例２】
【００５４】
実施例２について、図４および図５を用いて説明する。実施例２では、PoE機能を持つパケット転送装置において、接続されるPoEデバイスの正常性を確認する基準となるプロファイルをパケット転送装置内で作成する。
【００５５】
図４は、接続されるPoEデバイスの正常性を確認可能で、装置内で判断基準となるプロファイルを生成可能なPoE機能を持つパケット転送装置400の例を示すブロック図である。パケット転送装置400は、図１で示したパケット転送装置100を基本とし、装置内でプロファイルを作成するプロファイル作成部410が追加されているところが変更点となる。その他は、図１を用いて説明したとおりであるので、図１と同じ符号を付けて説明を省略する。
【００５６】
プロファイル作成部410は、通信量情報記録部160および供給電力情報記録部170から情報を受け取り、機械学習などの技術を利用し、図２で示したようなプロファイルを作成する。ここで、プロファイルを作成する期間、すなわち正常性の基準が確定するまでの期間を学習期間とし、学習期間中は正常性の判定を行わない。学習期間を経て、正常性の判定が行える期間を運用期間とし、学習期間と運用期間の動作は管理者によってCPU部450経由で切り替える。
【００５７】
プロファイル作成部410で作成されたプロファイルは、プロファイル保持部180に格納される。相関解析部190は、プロファイル保持部180から、プロファイルを読み込み、デバイスの正常性の判定を行う。また、作成されたプロファイルはプロファイル保持部180にて管理され、必要に応じてCPU部450経由で管理者によって修正が加えられても良い。
【００５８】
図５は、図２とは異なる内容で作成されたプロファイルの例を示す図である。プロファイル作成部410は、学習期間中に、通信量情報記録部160から通信量の情報を受け取り、供給電力情報記録部170から供給電力量の情報を受け取り、同じタイムスタンプの通信量と供給電力量とを相関501のように記録する。
【００５９】
作成する装置は異なるものの、図５に示すプロファイルの構造は、図２と同じであり、図５ではグラフで表したが、データとしてビットマップであっても良いし、数式などであっても良い。学習期間中に記録された相関501は、図５に示したように例えば帯状に分布する。このために、デバイスが監視カメラの場合、学習期間中、通信量が変化するように、監視カメラの動作モードが変更されたり、監視カメラの撮像対象がいろいろと変更されたりしても良い。
【００６０】
学習期間が終了すると、プロファイル作成部410は、記録した複数の相関501を最小二乗法などにより回帰直線511に変換し、回帰直線511と同じ傾きの直線であって、各通信量において複数の相関501より供給電力量が高い上限直線512を算出し、回帰直線511と同じ傾きの直線であって、各通信量において複数の相関501より供給電力量が低い下限直線513を算出する。
【００６１】
そして、プロファイル作成部410は、上限直線512と下限直線513とで囲まれた範囲を正常と判定されるプロファイルとして作成する。このプロファイルは、上限直線512と下限直線513とで囲まれた範囲が「１」であり、それ以外は「０」であるビットマップであっても良いし、数式であっても良い。
【００６２】
プロファイルが数式の場合、数式は、上限直線512の数式と下限直線513の数式であっても良いし、回帰直線511の数式と回帰直線511を中心とした範囲を表す値であっても良い。プロファイルが回帰直線511と範囲を表す値の場合、プロファイル作成部410は、上限直線512と下限直線513を算出しなくても良い。
【００６３】
さらに、プロファイル作成部410は、回帰直線511に近い直線が教師データとして予め設定されていて、教師データを基にして複数の相関501により上限直線512と下限直線513を学習しても良い。直線となるような線形関数ではなく、ｎ次関数のプロファイルが作成されても良い。
【００６４】
以上で説明したように、供給電力量と通信量との相関に線形関数やｎ次関数に近い特性をPoEデバイスが有する場合、パケット転送装置400がプロファイルを作成することが可能となる。これにより、プロファイルを作成する手間が省けるとともに、実際のPoEデバイスの特性に則したプロファイルとなり、異常の判定の精度を向上できる。
【実施例３】
【００６５】
実施例３について、図６を用いて説明する。実施例３では、実施例１、２で判定基準として用いられているプロファイルの尺度とは異なる尺度を使用する。実施例１、２では、プロファイルの評価軸は図２あるいは図５に示したように、単位時間あたりの通信量および供給電力量としていた。
【００６６】
実施例３では、評価軸を図６で示すように、単位時間あたりの通信量の変化量と単位時間あたりの供給電力量の変化量とする。PoE機能を持つパケット転送装置の構成は、図１もしくは図４を用いて説明したとおりであるので、同じ符号を付けて説明を省略する。また、プロファイルのデータは、２次元のマップであり、図２を用いてい説明したとおりである。
【００６７】
図６は、変化量のプロファイルの例を示す図である。図６の例でも、正常と判定する値を円601、602、603で囲っているが、動作モードの違いを表すものではなく、PoEポート110に接続されるPoEデバイスの電源がonされたときと、電源がoffされたときと、電源がonの状態で通常運用しているときの各状態に対応する。
【００６８】
円601は、PoEデバイスの電源on実行時の動作領域に対応するものである。PoEデバイスは、電源がonされると、供給電力量はon前のゼロからon直後の初期化などによる高い状態に変化し、通信量もon前のゼロからon後の通信する状態に変化するため、円601のような範囲となる。
【００６９】
円602は、通常運用での動作領域に対応するものである。PoEデバイスは、PoEデバイスの電源がonされた後、PoEデバイスの動作が安定すると定常状態となり、PoEデバイスの細かな動作の変化に応じた通信量および供給電力量の変化が生じるため、円602のような範囲となる。なお、PoEデバイスの電源がoffされた状態も、通信量および供給電力量がゼロを維持するため、円602の範囲に収まる。
【００７０】
円603は、PoEデバイスの電源off実行時の動作領域に対応するものである。PoEデバイスは、電源がoffされると、通信量および供給電力量はoff後にゼロへ変化するため、円603のような範囲となる。
【００７１】
なお、単位時間あたりの通信量の変化量は、図３において、例えば時刻302-1と時刻302-2とを変化量の算出の基準とし、時刻302-1における通信量と時刻302-2における通信量との差分であっても良い。単位時間あたりの供給電力量の変化量も、通信量と同じ基準での差分であっても良い。
【００７２】
このように、単位時間あたりの通信量の変化量と、単位時間あたりの供給電力量の変化量を取得するため、相関解析部190は、通信量情報記録部160に記録された通信量の中からと、供給電力情報記録部170に記録された供給電力量の中から、時刻302-1と時刻302-2に相当するタイムスタンプの通信量と供給電力量を取得し、差分を算出しても良い。
【００７３】
通信量および供給電力量の変化量に着目することで、デバイスが乗っ取られ、通信量は増加しないが不正な動作を繰り返すことで消費する電力が増えてしまうケースなどを検知することが可能になる。
【実施例４】
【００７４】
実施例４について、図７を用いて説明する。実施例１〜３では、PoE機能を持つパケット転送装置内にあったプロファイル保持部180、プロファイル作成部410、および相関解析部190を、実施例４では、PoE機能を持つパケット転送装置700外のサーバ780に配置する。
【００７５】
図７は、接続されるPoEデバイスの正常性を確認するためにサーバ780と連携するPoE機能を持つパケット転送装置700の例を示すブロック図である。サーバ780に関する構成以外は、図１〜６を用いて説明したとおりであるので、同じ符号を付けて説明を省略する。
【００７６】
パケット転送装置700は、装置内で測定し記録した通信量および供給電力量をCPU部750とEtherポート720経由で、外部のサーバ780に送信する。この際、通信量および供給電力量は、どのパケット転送装置700のどのPoEポート110に関する情報であるかの識別子とともに送信される。PoEポート110に接続されたPoEデバイスの識別情報が得られるのであれば、PoEデバイスの識別情報も送信されても良い。
【００７７】
外部のサーバ780では、受信した情報に基づき、予めプロファイルが設定されていなければプロファイルの作成を行う。プロファイルの作成の処理は、実施例２で説明したとおりである。サーバ780は、作成あるいは予め設定されたプロファイルを保持し、プロファイルと受信する通信量および供給電力量の情報から、正常性の判定を行う。正常性の判定の処理は、実施例１〜３で説明したとおりである。
【００７８】
判定の結果として、異常を検出した場合に、サーバ780はパケット転送装置700に異常が発生したことと、異常であると判定されたPoEポート110の識別子を通知する。この通知をEtherポート720経由でCPU部750は受け取り、実施例１で説明したとおりのアクションをとる。
【００７９】
なお、１台のサーバ780が、複数のパケット転送装置のプロファイル管理および正常性確認のタスクを担っても良い。また、制御端末はサーバ780に含まれても良い。また、パケット転送装置700とサーバ780をまとめてパケット転送システムと呼んでも良い。
【００８０】
以上で説明したように、プロファイル保持部と相関解析部などの処理をサーバ780が実行するため、パケット転送装置100、400よりパケット転送装置700の処理負荷を下げることが可能になり、安価なハードウェアで実現できる。また、サーバ780が処理することで、プロファイルの作成において、パケット転送装置400より複雑な処理も可能となる。
【実施例５】
【００８１】
実施例５について、図８および図９を用いて説明する。実施例５では、パケット転送装置にPoE機能を持たず、パケット転送装置800外にUPS840（電力供給部）を配置し、デバイスへはUPS840から給電する。
【００８２】
図８は、UPS840と連携し、接続されるデバイスの正常性を確認可能なパケット転送装置800の例を示すブロック図である。パケット転送装置800は、図４で示したパケット転送装置400を基本とし、装置内にPoE電力供給部を備えておらず、CPU部850がUPS840と接続されているところが変更点となる。
【００８３】
また、パケット転送装置800は、PoE電力供給部を備えていないため、ダウンリンクとしてPoEポートの代わりにEtherポート810を備え、デバイスが接続される。その他は、図４を用いて説明したとおりであるので、図４と同じ符号を付けて説明を省略する。
【００８４】
UPS840は、デバイスへ給電し、供給電力量を測定する。このため、UPS840をPoE電力供給部140の代替に利用する。UPS840は、測定された供給電力量の情報を、測定のタイムスタンプと、給電対象のデバイスの識別子とともにCPU部850へ送信する。なお、図８の例でUPS840は、１つのデバイスへ給電しているが、複数のデバイスへ給電しても良い。
【００８５】
CPU部850は、供給電力量に関する情報を受信すると、PoE電力供給部140の代わりに、受信された供給電力量に関する情報を供給電力情報記録部170へ送り、以降は実施例２で説明したとおりの動作である。なお、パケット転送装置800とUPS840をまとめてパケット転送システムと呼んでも良い。
【００８６】
図９は、UPS840およびサーバ980と連携するパケット転送装置900の例を示すブロック図である。パケット転送装置900は、図７で示したパケット転送装置700を基本とし、装置内にPoE電力供給部と供給電力情報記録部を備えておらず、サーバ980がUPS840と接続されているところが変更点となる。その他は、図７、８を用いて説明したとおりのものは、図７、８と同じ符号を付けて説明を省略する。
【００８７】
UPS840は、測定された供給電力量の情報を、測定のタイムスタンプと、給電対象のデバイスの識別子とともにサーバ980へ送信する。サーバ980は、CPU部950とEtherポート720経由で、装置内で測定されて記録された通信量に関する情報を受け取り、図７に示したサーバ780と同じ処理を行う。なお、パケット転送装置900とサーバ980とUPS840をまとめてパケット転送システムと呼んでも良い。
【００８８】
以上で説明したように、PoEデバイス以外のデバイスを接続することが可能となり、UPS840からデバイスへ電力供給をしても、プロファイルの作成や正常性の判定が可能となる。
【符号の説明】
【００８９】
100  パケット転送装置
110  PoEポート
140  PoE電力供給部
150  CPU部
160  通信量情報記録部
170  供給電力情報記録部
180  プロファイル保持部
190  相関解析部
【図１】
2019057780.tif 000003
【図２】
2019057780.tif 000004
【図３】
2019057780.tif 000005
【図４】
2019057780.tif 000006
【図５】
2019057780.tif 000007
【図６】
2019057780.tif 000008
【図７】
2019057780.tif 000009
【図８】
2019057780.tif 000010
【図９】
2019057780.tif 000011