監視装置、監視方法及びプログラム
【課題】従来技術より処理時間が短く、かつ、経験者によりあらかじめ作成する“ルール”等を必要としない監視装置を提供する。
【解決手段】監視装置は、各装置から警報又は警告メッセージを取得する監視装置であって、取得したメッセージを、該メッセージの送信元アドレスごとのメッセージテーブルに保存するグループ化手段と、メッセージテーブル内の重複したメッセージを１つに集約する圧縮手段と、各メッセージテーブルの互いに関連するメッセージを、メッセージに含まれる内容情報に基づき判定し、判定した互いに関連する一連のメッセージをクラスタにグループ化するクラスタリング手段と、各クラスタに含まれる警報メッセージの内、最下位のレイヤの警報メッセージを原因警報として判定する原因分析手段とを備えている。
【解決手段】監視装置は、各装置から警報又は警告メッセージを取得する監視装置であって、取得したメッセージを、該メッセージの送信元アドレスごとのメッセージテーブルに保存するグループ化手段と、メッセージテーブル内の重複したメッセージを１つに集約する圧縮手段と、各メッセージテーブルの互いに関連するメッセージを、メッセージに含まれる内容情報に基づき判定し、判定した互いに関連する一連のメッセージをクラスタにグループ化するクラスタリング手段と、各クラスタに含まれる警報メッセージの内、最下位のレイヤの警報メッセージを原因警報として判定する原因分析手段とを備えている。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークの監視技術に関し、より詳しくは、ネットワークの各構成装置から取得する多数のメッセージ間の相関を判定して障害原因を通知しているメッセージを特定し、さらに、障害原因の警報メッセージに付随する警告メッセージに基づき、障害の発生を予測する監視装置に関する。
【背景技術】
【０００２】
管理対象のネットワーク規模が大きくなるにつれて、ある障害が発生したときに、監視装置がネットワーク内の各装置から受信する警報メッセージや警告メッセージの数は膨大なものとなるが、障害に対する対応を行うためには、受信した各メッセージの相互関係を判定し、根本的な障害原因を示しているメッセージを判断することが必要となり、このための種々の方法が提案されている（例えば、非特許文献１〜１１、参照。）。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】Ｈａｎｅｍａｎｎ Ａ， ｅｔ ａｌ．，“Ａｌｇｏｒｉｔｈｍ Ｄｅｓｉｇｎ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎ ｏｆ Ｓｅｒｖｉｃｅ−ｏｒｉｅｎｔｅｄ Ｅｖｅｎｔ Ｃｏｒｒｅｌａｔｉｏｎ”、３ｒｄ ＩＥＥＥ／ＩＦＩＰ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ，２００８年４月，ｐｐ． ６１−７０
【非特許文献２】Ｒｉｓｔｏ，ｅｔ ａｌ．，“Ｔｏｏｌｓ ａｎｄ Ｔｅｃｈｎｉｑｕｅｓ ｆｏｒ Ｅｖｅｎｔ Ｌｏｇ Ａｎａｌｙｓｉｓ”，ＰｈＤ ｔｈｅｓｉｓ、Ｔａｌｌｉｎｎ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ、Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｅｓｔｏｎｉａ，２００５年６月
【非特許文献３】Ｂａｎｅｒｊｅｅ Ｄ，ｅｔ ａｌ．，“Ａ Ｆｒａｍｅｗｏｒｋ ｆｏｒ Ｄｉｓｔｒｉｂｕｔｅｄ Ｍｏｎｉｔｏｒｉｎｇ ａｎｄ Ｒｏｏｔ Ｃａｕｓｅ Ａｎａｌｙｓｉｓ ｆｏｒ Ｌａｒｇｅ ＩＰ Ｎｅｔｗｏｒｋｓ”，２８ｔｈ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｒｅｌｉａｂｌｅ Ｄｉｓｔｒｉｂｕｔｅｄ Ｓｙｓｔｅｍｓ，２００９年９月，ｐｐ．２４６−２５５
【非特許文献４】Ｗｈｉｔｅ Ｐａｐｅｒ，“Ａｕｔｏｍａｔｉｎｇ Ｒｏｏｔ−Ｃａｕｓｅ Ａｎａｌｙｓｉｓ：ＥＭＣ Ｉｏｎｉｘ Ｃｏｄｅｂｏｏｋ Ｃｏｒｒｅｌａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ ｖｓ． Ｒｕｌｅｓ−ｂａｓｅｄ Ａｎａｌｙｓｉｓ”，２０００年１１月
【非特許文献５】Ｑｉｕｈｕａ Ｚｈｅｎｇ ｅｔ ａｌ．，“Ａｎ Ｅｖｅｎｔ Ｃｏｒｒｅｌａｔｉｏｎ Ａｐｐｒｏａｃｈ Ｂａｓｅｄ ｏｎ ｔｈｅ Ｃｏｍｂｉｎａｔｉｏｎ ｏｆ ＩＨＵ ａｎｄ Ｃｏｄｅｂｏｏｋ”，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，２００５年，Ｖｏｌ．３８０２，ｐｐ．７５７−７６３
【非特許文献６】Ｍ． Ｓｔｅｉｎｄｅｒ ｅｔ ａｌ．，“Ａ Ｓｕｒｖｅｙ ｏｆ Ｆａｕｌｔ Ｌｏｃａｌｉｚａｔｉｏｎ Ｔｅｃｈｎｉｑｕｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｎｅｔｗｏｒｋｓ”，Ｓｃｉｅｎｃｅ ｏｆ Ｃｏｍｐｕｔｅｒ Ｐｒｏｇｒａｍｍｉｎｇ，Ｓｐｅｃｉａｌ Ｅｄｉｔｉｏｎ ｏｎ Ｔｏｐｉｃｓ ｉｎ Ｓｙｓｔｅｍ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ，２００４年１１月，Ｖｏｌ．５３，ｐｐ．１６５−１９４
【非特許文献７】ＡＬ−ＭＡＭＯＲＹ Ｓａｆａａ Ｏ，ｅｔ ａｌ．，“Iｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ａｌａｒｍｓ Ｒｅｄｕｃｔｉｏｎ ＵｓｉｎｇＲｏｏｔ Ｃａｕｓｅ Ａｎａｌｙｓｉｓ ａｎｄ Ｃｌｕｓｔｅｒｉｎｇ”，Ｊｏｕｒｎａｌ ｏｆ Ｃｏｍｐｕｔｅｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，，２００９年２月，Ｖｏｌ．３２，Ｎｏ．２，ｐｐ．４１９−４３０
【非特許文献８】Ｊｕｋｉｃ ｅｔ ａｌ．，“ＬｏｇｉｃａｌＩｎｖｅｎｔｏｒｙ Ｄａｔａｂａｓｅ Ｉｎｔｅｇｒａｔｉｏｎ ｉｎｔｏ Ｎｅｔｗｏｒｋ Ｐｒｏｂｌｅｍｓ Ｆｒｅｑｕｅｎｃｙ Ｄｅｔｅｃｔｉｏｎ Ｐｒｏｃｅｓｓ”，ＣｏｎＴＥＬ ２００９，２００９年６月，ｐｐ．３６１−３６５
【非特許文献９】Ｗｕ Ｊｉａｎ，ｅｔ ａｌ，“Ａ Ｎｏｖｅｌ Ａｌｇｏｒｉｔｈｍ ｆｏｒ Ｄｙｎａｍｉｃ Ｍｉｎｉｎｇ ｏｆ Ａｓｓｏｃｉａｔｉｏｎ Ｒｕｌｅｓ”，Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ ｏｎ Ｋｎｏｗｌｅｄｇｅ Ｄｉｓｃｏｖｅｒｙ ａｎｄ Ｄａｔａ Ｍｉｎｉｎｇ，２００８年１月,ＰＰ．９４−９９
【非特許文献１０】Ｑｉｎｇｇｕｏ Ｚｈｅｎｇ，ｅｔ ａｌ．，“Ｉｎｔｅｌｌｉｇｅｎｔ Ｓｅａｒｃｈ ｏｆ Ｃｏｒｒｅｌａｔｅｄ Ａｌａｒｍｓ ｆｒｏｍ Ｄａｔａｂａｓｅ Ｃｏｎｔａｉｎｉｎｇ Ｎｏｉｓｅ Ｄａｔａ”，Ｎｅｔｗｏｒｋ Ｏｐｅｒａｔｉｏｎｓ ａｎｄ Ｍａｎａｇｅｍｅｎｔ Ｓｙｍｐｏｓｉｕｍ,２００２年４月,ｐｐ．４０５−４１９
【非特許文献１１】Ｒｉｓｔｏ Ｖａａｒａｎｄｉ，“Ａ Ｄａｔａ Ｃｌｕｓｔｅｒｉｎｇ Ａｌｇｏｒｉｔｈｍ ｆｏｒ Ｍｉｎｉｎｇ Ｐａｔｔｅｒｎｓ ｆｒｏｍ Ｅｖｅｎｔ Ｌｏｇｓ”，ＩＰＯＭ ２００３，２００３年１０月，ｐｐ．１１９−１２６
【発明の概要】
【発明が解決しようとする課題】
【０００４】
非特許文献１、２、３及び６には、あらかじめ定めた“ルール”に基づきメッセージ間の相関を判定することが、非特許文献１、４、５及び６には、あらかじめ定めた“コードブック”に基づきメッセージ間の相関を判定することが、非特許文献１及び６には、“事例”に基づきメッセージ間の相関を判定することが記載されている。しかしながら、“ルール”、“コードブック”、“事例”の作成においては、それらを作成する者の経験や能力に依存する部分が大きく、判定の精度は、作成された“ルール”等により大きく変動するという問題がある。
【０００５】
また、非特許文献７〜１１には、データマイニング技術を利用して、根本的な障害原因を示すメッセージを判定する構成が記載されている。しかしながら、提案されているデータマイニング・アルゴリズムは、いずれもその処理に時間がかかり、受信した多数のメッセージから直ちに障害原因を判定することはできないという問題がある。
【０００６】
したがって、本発明は、従来技術より処理時間が短く、かつ、経験者によりあらかじめ作成する“ルール”等を必要としない監視装置、監視方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明における監視装置によれば、
各装置から警報及び警告メッセージを取得する監視装置であって、取得したメッセージを、該メッセージの送信元アドレスに基づき分類し、送信元アドレスごとのメッセージテーブルに保存するグループ化手段と、メッセージテーブル内の重複したメッセージを１つに集約する圧縮手段と、各メッセージテーブルの互いに関連するメッセージを、メッセージに含まれる内容情報に基づき判定し、判定した互いに関連する一連のメッセージをクラスタにグループ化するクラスタリング手段と、各クラスタに含まれるメッセージの内、最下位のレイヤの警報メッセージを原因警報として判定する原因分析手段とを備えていることを特徴とする。
【０００８】
本発明における監視装置の他の実施形態によると、
原因警報として判定した警報メッセージの警報内容と、前記警報メッセージと同一クラスタの警告メッセージのうち、前記警報メッセージの発生時刻との差が所定時間以内である警告メッセージの警告内容に基づき、警報内容と、該警報内容で特定される障害が発生する際に付随して発生する可能性が高い警告内容の組合せを示す頻発イベントテーブルを作成するパターン分析手段を、さらに、備えており、前記圧縮手段は、メッセージテーブルに含まれる警告メッセージの警告内容が、前記頻発イベントテーブルの警告内容の組合せと所定数以上一致する場合、前記所定数以上一致する頻発イベントテーブル内の警告内容の組合せに対応する警報内容が示す障害の発生を警告する予備警告を出力することも好ましい。
【０００９】
また、本発明における監視装置の他の実施形態によると、
前記クラスタリング部は、同一クラスタに含まれるメッセージのうち、送信元アドレスは異なるが、内容情報は同じであるメッセージを１つに集約することも好ましい。
【００１０】
本発明における監視方法によれば、
グループ化部が、各装置から取得したメッセージを送信元アドレスにより分類し、該メッセージを、送信元アドレスごとのメッセージテーブルに保存する第１のステップと、圧縮部が、メッセージテーブル内の重複したメッセージを１つに集約する第２のステップと、クラスタリング部が、各メッセージテーブルの互いに関連するメッセージを、メッセージに含まれる内容情報に基づき判定し、判定した互いに関連する一連のメッセージをクラスタにグループ化する第３のステップと、原因分析部が、各クラスタに含まれるメッセージの内、最下位のレイヤの警報メッセージを原因警報として出力する第４のステップとを備えていることを特徴とする。
【００１１】
本発明におけるプログラムによれば、コンピュータを前記監視装置として機能させることを特徴とする。
【発明の効果】
【００１２】
本発明による監視装置は、“ルール”、“コードブック”、“事例”等をあらかじめ作成する必要がなく、さらに、複雑なアルゴリズムを使用するものではなく、よって、素早く障害原因を判定することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明による監視装置の概略的な構成図である。
【図２】メッセージテーブルを示す図である。
【図３】圧縮後のメッセージテーブルを示す図である。
【図４】クラスタテーブルへの変換を説明する図である。
【図５】クラスタテーブルを示す図である。
【図６】圧縮後のクラスタテーブルを示す図である。
【図７】本発明による監視方法を実行するシステム構成図である。
【図８】図７の構成において発生するメッセージを示す図である。
【図９】図８に示すメッセージ取得時のメッセージテーブルを示す図である。
【図１０】図８に示すメッセージ取得時のクラスタテーブルを示す図である。
【図１１】図８に示すメッセージ取得時の圧縮後のクラスタテーブルを示す図である。
【図１２】図８に示すメッセージ取得時の原因警報リストを示す図である。
【図１３】図８に示すメッセージ取得時のイベントセットを示す図である。
【発明を実施するための形態】
【００１４】
本発明を実施するための形態について、以下では図面を用いて詳細に説明する。なお、本発明において、警報メッセージとはネットワークの監視対象である端点や機能が停止していることを通知するメッセージであり、警告メッセージとはネットワークの監視対象である端点や機能が停止している訳ではないが、不安定な状況又は異常な状態にあることを通知するメッセージであり、警報メッセージと警告メッセージを区別する必要がない場合には単にメッセージと呼ぶものとする。また、メッセージには、そのメッセージを生成した装置のＩＰアドレスの他に、メッセージが生成された時刻（タイムスタンプ）や、警報内容（警報メッセージの場合）又は警告内容（警告メッセージの場合）を示す内容情報が含まれており、監視装置は、内容情報から障害／異常状態が生じているレイヤを判定できるものとする。
【００１５】
なお、内容情報は、その警告又は警報内容に他の装置が関係する場合には、当該他の装置を示す対向装置情報も含んでいる。例えば、あるＷｅｂサーバで、Ｐｏｒｔ８０ Ｄｏｗｎ警報が発生した場合、このＷｅｂサーバと通信している他のノード装置は、Ｗｅｂ Ｅｒｒｏｒをその内容とするメッセージを生成するが、このメッセージの内容情報には、前記Ｗｅｂサーバを示す対向装置情報が含まれることになる。なお、レイヤは、本実施形態においては、下位側から順に、システム、リンク、ネットワーク、トランスポート、アプリケーションの５つとする。なお、システム・レイヤとは、ＣＰＵやメモリ等、装置共通部分のことである。
【００１６】
図１は、本発明による監視装置の概略的な構成図である。図１に示す様に、監視装置は、グループ化部１と、圧縮部２と、クラスタリング部３と、原因分析部４と、通知部５と、パターン分析部６と、記憶部７とを備えている。また、記憶部７は、メッセージテーブル７１と、クラスタテーブル７２と、原因警報リスト７３と、多発イベントテーブル（ＦＥＴ）７４とを保存している。
【００１７】
グループ化部１は、ネットワーク内の各装置からメッセージを取得し、取得メッセージを、送信元ＩＰアドレスとレイヤに基づき分類し、送信元ＩＰアドレスに対応するメッセージテーブル７１に保存する。図２は、メッセージテーブル７１を示す図である。図２には、例えば、ＩＰアドレスがＡである装置から、リンクレイヤにおいては、メッセージＭＬ１とＭＬ２を、それぞれ、１回と４回受信していることが示されている。
【００１８】
圧縮部２は、メッセージ内のタイムスタンプ以外が全く同じであるメッセージを１つのメッセージに集約する。つまり、重複して受信したメッセージを１つに集約する。図３は、図２のメッセージテーブル７１を、圧縮部２が集約した状態を示している。例えば、トランスポートレイヤにおいては、メッセージＭＴ１を３回、メッセージＭＴ２を２回受信していたが、それぞれ、１つに集約されている。
【００１９】
また、ＦＥＴ７４は、ある警報内容を示す警報メッセージが発出されるときに、付随して発出される可能性が高い警告メッセージの警告内容の組合せを示すテーブルであり、圧縮部２は、ＦＥＴ７４が保持する警告内容の組合せに、集約後のメッセージテーブル７１の警告メッセージの警告内容の組合せと相関が高いものがある場合には、相関が高い組合せに対応する警報内容が示す障害が発生する可能性が高いと判定し、図示しない表示部及び／又はネットワーク管理装置に予備警告を出力する。
【００２０】
クラスタリング部３は、各ＩＰアドレスに対して設けられた集約後のメッセージテーブル７１の各メッセージから、ネットワーク構成に基づき互いに関連するメッセージを判定し、関連する一連のメッセージをクラスタとして、グループ化する。例えば、図４に示す様に、リンク＃２が断となった場合、リンク＃２に接続するルータのみならず、このリンク＃２を経由した通信を行っている両端の装置においてもネットワークレイヤや、トランスポートレイヤの障害を検出してメッセージを監視装置に送信することになるが、クラスタリング部３は、メッセージの内容情報及び／又はネットワーク構成に基づき、例えば、図２の両端の装置からのネットワークレイヤや、トランスポートレイヤのメッセージは、ルータからのリンク＃２の障害を示すメッセージと同じクラスタに属するものと判定する。なお、監視装置が監視するネットワークの構成に関する情報は、ネットワーク内で既知であるものとし、監視装置のクラスタリング部３は、例えば、ネットワークの構成に関する情報を保持している装置にアクセスしてこれら情報を取得する。
【００２１】
クラスタリング部３は、同じクラスタに属すると判定したメッセージ群を、クラスタテーブル７２として保存する。なお、通知されている内容情報は同一であるが、送信元のＩＰアドレスが違うメッセージについては１つに集約する。例えば、各メッセージテーブルから互いに関連するメッセージを抜き出して図５に示すクラスタテーブルが作成されたとする。図５に示す様に、アプリケーションレイヤにおいては、ＩＰアドレスＡの装置から受信したメッセージＭＡ１と、ＩＰアドレスＢ、Ｃ、Ｄの装置からそれぞれ受信したメッセージＭＡ５が含まれているが、メッセージＭＡ５は、送信元の装置が異なるがメッセージが示す内容は同じであるため、図６に示す様に１つに集約する。
【００２２】
原因分析部４は、各クラスタテーブルにおいて最下位のレイヤにある警報メッセージを根本原因として、これらを原因警報リスト７３として記憶部７に出力し、通知部５は、原因警報リスト７３を図示しない表示部に出力及び／又はネットワーク管理装置等に送信する。また、原因分析部４は、クラスタテーブルの警告メッセージの警告内容と、当該クラスタの根本原因として選択した警報メッセージの警報内容をイベントセットとしてパターン分析部６に出力し、パターン分析部６は、既に作成したＦＥＴ７４と新たなイベントセットから、例えば、アプリオリ・アルゴリズム等を使用してＦＥＴ７４を更新する。なお、イベントセットには、根本原因として選択した警報メッセージのタイムスタンプとの時間差が所定値以内の警告メッセージの内容のみを含めるものとする。
【００２３】
続いて、本発明による監視方法の具体例を以下に説明する。図７は、以下の説明に使用するシステム構成図であり、ルータ＃Ａ、＃Ｂ及び＃Ｃが相互に接続し、Ｗｅｂサーバ＃Ｄ及び＃Ｅがルータ＃Ｂと接続し、ノード＃１及び＃２がルータ＃Ｃと接続している。また、プローブ装置とは、他の各装置に反復してアクセスして、各装置の障害や状態に関するメッセージを取得する装置である。なお、本例において、本発明による監視装置は、プローブ装置と同じコンピュータ上に実現されているものとするが、例示であり、本発明による監視装置を、プローブ装置とは異なる装置として実現し、プローブ装置を含むネットワークの各装置から、メッセージを受信する形態であっても良い。
【００２４】
図７に示す構成において、ルータ＃Ａそのものと、Ｗｅｂサーバ＃Ｄのサーバ機能が障害により停止し、監視装置は、図８に示すメッセージを取得したものとする。なお、プローブ装置は、反復して各装置の状態を監視しており、例えば、ルータ＃ＡのＣＰＵ Ｗａｒｎｉｎｇ等、ルータ＃Ａが停止する以前のメッセージも監視装置は取得している。図８において、例えば、“Ｗｅｂ Ｅｒｒｏｒ （＃Ｄ）”は内容情報であり、その内の（＃Ｄ）は対向装置情報である。
【００２５】
図８に示すメッセージを取得した場合における、グループ化部１及び圧縮部２による集約後のメッセージテーブルを図９に示す。図９は、図８に示すメッセージを、その送信元のＩＰアドレス、よって、装置別に分類し、さらに、内容情報から判定したレイヤ別に記録したものである。続いて、クラスタリング部３は、図９に示すメッセージテーブルから図１０に示すクラスタテーブルを作成する。例えば、ノード＃１及びノード＃２のＷｅｂ Ｅｒｒｏｒ（＃Ｄ）メッセージは、そのメッセージの内容情報からＷｅｂサーバ＃Ｄに対するものであることが判明するため、Ｗｅｂサーバ＃ＤのＰｏｒｔ８０ ＤｏｗｎメッセージとＷｅｂ Ｅｒｒｏｒ（＃Ｄ）メッセージは、同一のクラスタに属するものと判定できる。なお、リンクレイヤとネットワークレイヤ間の関係は、上述した様に、ネットワークの構成情報を参照して判定する。
【００２６】
図１０に示すクラスタテーブルにおいて、例えば、クラスタ＃１のルータ＃Ａに対するＤｅｖｉｃｅ Ｕｎｒｅａｃｈａｂｌｅ（＃Ａ）メッセージは、それぞれ、ルータ＃Ｂと＃Ｃから通知されているが、これらは、送信元が異なるが同じ内容情報を有するメッセージであるから、クラスタリング部３は、これらを集約して１つに纏める。よって、クラスタリング部３は、図１１に示すクラスタリングテーブルを最終的に記憶部７に出力する。
【００２７】
原因分析部４は、各クラスタの警報メッセージのうち、一番下位のレイヤにあるものを根本原因として抽出する。したがって図１２に示す原因警報リスト７３を記憶部７に出力する。また、原因分析部４は、各クラスタの警告メッセージの内、当該クラスタの原因警報の発生時刻に対して所定の時間差で発生した警告メッセージの警告内容を、原因警報の警報内容と共に、イベントセットとしてパターン分析部６に出力する。図１３は、本例において原因分析部４が出力するイベントセットを示している。
【００２８】
最後に、圧縮部２における予備警告の出力について説明を行う。例えば、ＦＥＴ７４に、警報内容Ｘに対してＭ個の警告内容が特定されているものとする。この場合において、ある装置（ＩＰアドレス）に対応するメッセージテーブル内に、その警告内容が所定の割合又は数以上一致する警告メッセージが存在する場合、圧縮部２は、その割合又は数に応じた内容の予備警告を出力する。
【００２９】
具体的には、警報内容Ｘに対応するものとして警告内容Ｗ１〜Ｗ６がＦＥＴ７４において特定されており、３つの一致でＷａｒｎｉｎｇを、４つ以上の一致でＣｒｉｔｉｃａｌを出力するものとする。この場合、あるメッセージテーブル内の警告メッセージが、警告内容Ｗ１、Ｗ２、Ｗ７、Ｗ９、Ｗ１０を示していたとしても、一致する警告内容の数はＷ１、Ｗ２の２つであり予備警告は発出されない。これに対して、メッセージテーブル内の警告メッセージが、警告内容Ｗ１、Ｗ２、Ｗ３、Ｗ７、Ｗ９を示している場合には、Ｗ１、Ｗ２、Ｗ３の３つの警告内容が一致し、よって、警報内容Ｘで特定される障害が、当該メッセージテーブルのＩＰアドレスに対応する装置に発生する可能性を警告するＷａｒｎｉｎｇメッセージが出力される。さらに、メッセージテーブル内の警告メッセージが、警告内容Ｗ１、Ｗ２、Ｗ３、Ｗ４、Ｗ５、Ｗ７、Ｗ９、Ｗ１０を示している場合には、Ｗ１、Ｗ２、Ｗ３、Ｗ４の４つの警告内容が一致し、よって、警報内容Ｘで特定される障害が、当該メッセージテーブルのＩＰアドレスに対応する装置に発生する可能性を警告するＣｒｉｔｉｃａｌメッセージが出力される。
【００３０】
以上、本発明による監視装置は、“ルール”、“コードブック”、“事例”等をあらかじめ作成する必要がなく、さらに、複雑なアルゴリズムを使用するものではなく、よって、素早く障害原因を判定することができる。
【００３１】
なお、上述した実施形態は、ＴＣＰ／ＩＰネットワークに対して本発明を適用するものであったが、本発明は上述した実施形態に限定されるものではなく、センサネットワークや、ホームネットワークや、クラウドネットワーク等、レイヤ構造を有する総てのネットワークに対して適用可能である。
【００３２】
なお、本発明による監視装置は、コンピュータを図１の各部として機能させるプログラムにより実現することができる。これらコンピュータプログラムは、コンピュータが読み取り可能な記憶媒体に記憶されて、又は、ネットワーク経由で配布が可能なものである。さらに、本発明は、ハードウェア及びソフトウェアの組合せによっても実現可能である。
【符号の説明】
【００３３】
１ グループ化部
２ 圧縮部
３ クラスタリング部
４ 原因分析部
５ 通知部
６ パターン分析部
７ 記憶部
７１ メッセージテーブル
７２ クラスタテーブル
７３ 原因警報リスト
７４ 多発イベントテーブル
【技術分野】
【０００１】
本発明は、ネットワークの監視技術に関し、より詳しくは、ネットワークの各構成装置から取得する多数のメッセージ間の相関を判定して障害原因を通知しているメッセージを特定し、さらに、障害原因の警報メッセージに付随する警告メッセージに基づき、障害の発生を予測する監視装置に関する。
【背景技術】
【０００２】
管理対象のネットワーク規模が大きくなるにつれて、ある障害が発生したときに、監視装置がネットワーク内の各装置から受信する警報メッセージや警告メッセージの数は膨大なものとなるが、障害に対する対応を行うためには、受信した各メッセージの相互関係を判定し、根本的な障害原因を示しているメッセージを判断することが必要となり、このための種々の方法が提案されている（例えば、非特許文献１〜１１、参照。）。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】Ｈａｎｅｍａｎｎ Ａ， ｅｔ ａｌ．，“Ａｌｇｏｒｉｔｈｍ Ｄｅｓｉｇｎ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎ ｏｆ Ｓｅｒｖｉｃｅ−ｏｒｉｅｎｔｅｄ Ｅｖｅｎｔ Ｃｏｒｒｅｌａｔｉｏｎ”、３ｒｄ ＩＥＥＥ／ＩＦＩＰ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ，２００８年４月，ｐｐ． ６１−７０
【非特許文献２】Ｒｉｓｔｏ，ｅｔ ａｌ．，“Ｔｏｏｌｓ ａｎｄ Ｔｅｃｈｎｉｑｕｅｓ ｆｏｒ Ｅｖｅｎｔ Ｌｏｇ Ａｎａｌｙｓｉｓ”，ＰｈＤ ｔｈｅｓｉｓ、Ｔａｌｌｉｎｎ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ、Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｅｓｔｏｎｉａ，２００５年６月
【非特許文献３】Ｂａｎｅｒｊｅｅ Ｄ，ｅｔ ａｌ．，“Ａ Ｆｒａｍｅｗｏｒｋ ｆｏｒ Ｄｉｓｔｒｉｂｕｔｅｄ Ｍｏｎｉｔｏｒｉｎｇ ａｎｄ Ｒｏｏｔ Ｃａｕｓｅ Ａｎａｌｙｓｉｓ ｆｏｒ Ｌａｒｇｅ ＩＰ Ｎｅｔｗｏｒｋｓ”，２８ｔｈ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｒｅｌｉａｂｌｅ Ｄｉｓｔｒｉｂｕｔｅｄ Ｓｙｓｔｅｍｓ，２００９年９月，ｐｐ．２４６−２５５
【非特許文献４】Ｗｈｉｔｅ Ｐａｐｅｒ，“Ａｕｔｏｍａｔｉｎｇ Ｒｏｏｔ−Ｃａｕｓｅ Ａｎａｌｙｓｉｓ：ＥＭＣ Ｉｏｎｉｘ Ｃｏｄｅｂｏｏｋ Ｃｏｒｒｅｌａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ ｖｓ． Ｒｕｌｅｓ−ｂａｓｅｄ Ａｎａｌｙｓｉｓ”，２０００年１１月
【非特許文献５】Ｑｉｕｈｕａ Ｚｈｅｎｇ ｅｔ ａｌ．，“Ａｎ Ｅｖｅｎｔ Ｃｏｒｒｅｌａｔｉｏｎ Ａｐｐｒｏａｃｈ Ｂａｓｅｄ ｏｎ ｔｈｅ Ｃｏｍｂｉｎａｔｉｏｎ ｏｆ ＩＨＵ ａｎｄ Ｃｏｄｅｂｏｏｋ”，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，２００５年，Ｖｏｌ．３８０２，ｐｐ．７５７−７６３
【非特許文献６】Ｍ． Ｓｔｅｉｎｄｅｒ ｅｔ ａｌ．，“Ａ Ｓｕｒｖｅｙ ｏｆ Ｆａｕｌｔ Ｌｏｃａｌｉｚａｔｉｏｎ Ｔｅｃｈｎｉｑｕｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｎｅｔｗｏｒｋｓ”，Ｓｃｉｅｎｃｅ ｏｆ Ｃｏｍｐｕｔｅｒ Ｐｒｏｇｒａｍｍｉｎｇ，Ｓｐｅｃｉａｌ Ｅｄｉｔｉｏｎ ｏｎ Ｔｏｐｉｃｓ ｉｎ Ｓｙｓｔｅｍ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ，２００４年１１月，Ｖｏｌ．５３，ｐｐ．１６５−１９４
【非特許文献７】ＡＬ−ＭＡＭＯＲＹ Ｓａｆａａ Ｏ，ｅｔ ａｌ．，“Iｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ａｌａｒｍｓ Ｒｅｄｕｃｔｉｏｎ ＵｓｉｎｇＲｏｏｔ Ｃａｕｓｅ Ａｎａｌｙｓｉｓ ａｎｄ Ｃｌｕｓｔｅｒｉｎｇ”，Ｊｏｕｒｎａｌ ｏｆ Ｃｏｍｐｕｔｅｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，，２００９年２月，Ｖｏｌ．３２，Ｎｏ．２，ｐｐ．４１９−４３０
【非特許文献８】Ｊｕｋｉｃ ｅｔ ａｌ．，“ＬｏｇｉｃａｌＩｎｖｅｎｔｏｒｙ Ｄａｔａｂａｓｅ Ｉｎｔｅｇｒａｔｉｏｎ ｉｎｔｏ Ｎｅｔｗｏｒｋ Ｐｒｏｂｌｅｍｓ Ｆｒｅｑｕｅｎｃｙ Ｄｅｔｅｃｔｉｏｎ Ｐｒｏｃｅｓｓ”，ＣｏｎＴＥＬ ２００９，２００９年６月，ｐｐ．３６１−３６５
【非特許文献９】Ｗｕ Ｊｉａｎ，ｅｔ ａｌ，“Ａ Ｎｏｖｅｌ Ａｌｇｏｒｉｔｈｍ ｆｏｒ Ｄｙｎａｍｉｃ Ｍｉｎｉｎｇ ｏｆ Ａｓｓｏｃｉａｔｉｏｎ Ｒｕｌｅｓ”，Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ ｏｎ Ｋｎｏｗｌｅｄｇｅ Ｄｉｓｃｏｖｅｒｙ ａｎｄ Ｄａｔａ Ｍｉｎｉｎｇ，２００８年１月,ＰＰ．９４−９９
【非特許文献１０】Ｑｉｎｇｇｕｏ Ｚｈｅｎｇ，ｅｔ ａｌ．，“Ｉｎｔｅｌｌｉｇｅｎｔ Ｓｅａｒｃｈ ｏｆ Ｃｏｒｒｅｌａｔｅｄ Ａｌａｒｍｓ ｆｒｏｍ Ｄａｔａｂａｓｅ Ｃｏｎｔａｉｎｉｎｇ Ｎｏｉｓｅ Ｄａｔａ”，Ｎｅｔｗｏｒｋ Ｏｐｅｒａｔｉｏｎｓ ａｎｄ Ｍａｎａｇｅｍｅｎｔ Ｓｙｍｐｏｓｉｕｍ,２００２年４月,ｐｐ．４０５−４１９
【非特許文献１１】Ｒｉｓｔｏ Ｖａａｒａｎｄｉ，“Ａ Ｄａｔａ Ｃｌｕｓｔｅｒｉｎｇ Ａｌｇｏｒｉｔｈｍ ｆｏｒ Ｍｉｎｉｎｇ Ｐａｔｔｅｒｎｓ ｆｒｏｍ Ｅｖｅｎｔ Ｌｏｇｓ”，ＩＰＯＭ ２００３，２００３年１０月，ｐｐ．１１９−１２６
【発明の概要】
【発明が解決しようとする課題】
【０００４】
非特許文献１、２、３及び６には、あらかじめ定めた“ルール”に基づきメッセージ間の相関を判定することが、非特許文献１、４、５及び６には、あらかじめ定めた“コードブック”に基づきメッセージ間の相関を判定することが、非特許文献１及び６には、“事例”に基づきメッセージ間の相関を判定することが記載されている。しかしながら、“ルール”、“コードブック”、“事例”の作成においては、それらを作成する者の経験や能力に依存する部分が大きく、判定の精度は、作成された“ルール”等により大きく変動するという問題がある。
【０００５】
また、非特許文献７〜１１には、データマイニング技術を利用して、根本的な障害原因を示すメッセージを判定する構成が記載されている。しかしながら、提案されているデータマイニング・アルゴリズムは、いずれもその処理に時間がかかり、受信した多数のメッセージから直ちに障害原因を判定することはできないという問題がある。
【０００６】
したがって、本発明は、従来技術より処理時間が短く、かつ、経験者によりあらかじめ作成する“ルール”等を必要としない監視装置、監視方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明における監視装置によれば、
各装置から警報及び警告メッセージを取得する監視装置であって、取得したメッセージを、該メッセージの送信元アドレスに基づき分類し、送信元アドレスごとのメッセージテーブルに保存するグループ化手段と、メッセージテーブル内の重複したメッセージを１つに集約する圧縮手段と、各メッセージテーブルの互いに関連するメッセージを、メッセージに含まれる内容情報に基づき判定し、判定した互いに関連する一連のメッセージをクラスタにグループ化するクラスタリング手段と、各クラスタに含まれるメッセージの内、最下位のレイヤの警報メッセージを原因警報として判定する原因分析手段とを備えていることを特徴とする。
【０００８】
本発明における監視装置の他の実施形態によると、
原因警報として判定した警報メッセージの警報内容と、前記警報メッセージと同一クラスタの警告メッセージのうち、前記警報メッセージの発生時刻との差が所定時間以内である警告メッセージの警告内容に基づき、警報内容と、該警報内容で特定される障害が発生する際に付随して発生する可能性が高い警告内容の組合せを示す頻発イベントテーブルを作成するパターン分析手段を、さらに、備えており、前記圧縮手段は、メッセージテーブルに含まれる警告メッセージの警告内容が、前記頻発イベントテーブルの警告内容の組合せと所定数以上一致する場合、前記所定数以上一致する頻発イベントテーブル内の警告内容の組合せに対応する警報内容が示す障害の発生を警告する予備警告を出力することも好ましい。
【０００９】
また、本発明における監視装置の他の実施形態によると、
前記クラスタリング部は、同一クラスタに含まれるメッセージのうち、送信元アドレスは異なるが、内容情報は同じであるメッセージを１つに集約することも好ましい。
【００１０】
本発明における監視方法によれば、
グループ化部が、各装置から取得したメッセージを送信元アドレスにより分類し、該メッセージを、送信元アドレスごとのメッセージテーブルに保存する第１のステップと、圧縮部が、メッセージテーブル内の重複したメッセージを１つに集約する第２のステップと、クラスタリング部が、各メッセージテーブルの互いに関連するメッセージを、メッセージに含まれる内容情報に基づき判定し、判定した互いに関連する一連のメッセージをクラスタにグループ化する第３のステップと、原因分析部が、各クラスタに含まれるメッセージの内、最下位のレイヤの警報メッセージを原因警報として出力する第４のステップとを備えていることを特徴とする。
【００１１】
本発明におけるプログラムによれば、コンピュータを前記監視装置として機能させることを特徴とする。
【発明の効果】
【００１２】
本発明による監視装置は、“ルール”、“コードブック”、“事例”等をあらかじめ作成する必要がなく、さらに、複雑なアルゴリズムを使用するものではなく、よって、素早く障害原因を判定することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明による監視装置の概略的な構成図である。
【図２】メッセージテーブルを示す図である。
【図３】圧縮後のメッセージテーブルを示す図である。
【図４】クラスタテーブルへの変換を説明する図である。
【図５】クラスタテーブルを示す図である。
【図６】圧縮後のクラスタテーブルを示す図である。
【図７】本発明による監視方法を実行するシステム構成図である。
【図８】図７の構成において発生するメッセージを示す図である。
【図９】図８に示すメッセージ取得時のメッセージテーブルを示す図である。
【図１０】図８に示すメッセージ取得時のクラスタテーブルを示す図である。
【図１１】図８に示すメッセージ取得時の圧縮後のクラスタテーブルを示す図である。
【図１２】図８に示すメッセージ取得時の原因警報リストを示す図である。
【図１３】図８に示すメッセージ取得時のイベントセットを示す図である。
【発明を実施するための形態】
【００１４】
本発明を実施するための形態について、以下では図面を用いて詳細に説明する。なお、本発明において、警報メッセージとはネットワークの監視対象である端点や機能が停止していることを通知するメッセージであり、警告メッセージとはネットワークの監視対象である端点や機能が停止している訳ではないが、不安定な状況又は異常な状態にあることを通知するメッセージであり、警報メッセージと警告メッセージを区別する必要がない場合には単にメッセージと呼ぶものとする。また、メッセージには、そのメッセージを生成した装置のＩＰアドレスの他に、メッセージが生成された時刻（タイムスタンプ）や、警報内容（警報メッセージの場合）又は警告内容（警告メッセージの場合）を示す内容情報が含まれており、監視装置は、内容情報から障害／異常状態が生じているレイヤを判定できるものとする。
【００１５】
なお、内容情報は、その警告又は警報内容に他の装置が関係する場合には、当該他の装置を示す対向装置情報も含んでいる。例えば、あるＷｅｂサーバで、Ｐｏｒｔ８０ Ｄｏｗｎ警報が発生した場合、このＷｅｂサーバと通信している他のノード装置は、Ｗｅｂ Ｅｒｒｏｒをその内容とするメッセージを生成するが、このメッセージの内容情報には、前記Ｗｅｂサーバを示す対向装置情報が含まれることになる。なお、レイヤは、本実施形態においては、下位側から順に、システム、リンク、ネットワーク、トランスポート、アプリケーションの５つとする。なお、システム・レイヤとは、ＣＰＵやメモリ等、装置共通部分のことである。
【００１６】
図１は、本発明による監視装置の概略的な構成図である。図１に示す様に、監視装置は、グループ化部１と、圧縮部２と、クラスタリング部３と、原因分析部４と、通知部５と、パターン分析部６と、記憶部７とを備えている。また、記憶部７は、メッセージテーブル７１と、クラスタテーブル７２と、原因警報リスト７３と、多発イベントテーブル（ＦＥＴ）７４とを保存している。
【００１７】
グループ化部１は、ネットワーク内の各装置からメッセージを取得し、取得メッセージを、送信元ＩＰアドレスとレイヤに基づき分類し、送信元ＩＰアドレスに対応するメッセージテーブル７１に保存する。図２は、メッセージテーブル７１を示す図である。図２には、例えば、ＩＰアドレスがＡである装置から、リンクレイヤにおいては、メッセージＭＬ１とＭＬ２を、それぞれ、１回と４回受信していることが示されている。
【００１８】
圧縮部２は、メッセージ内のタイムスタンプ以外が全く同じであるメッセージを１つのメッセージに集約する。つまり、重複して受信したメッセージを１つに集約する。図３は、図２のメッセージテーブル７１を、圧縮部２が集約した状態を示している。例えば、トランスポートレイヤにおいては、メッセージＭＴ１を３回、メッセージＭＴ２を２回受信していたが、それぞれ、１つに集約されている。
【００１９】
また、ＦＥＴ７４は、ある警報内容を示す警報メッセージが発出されるときに、付随して発出される可能性が高い警告メッセージの警告内容の組合せを示すテーブルであり、圧縮部２は、ＦＥＴ７４が保持する警告内容の組合せに、集約後のメッセージテーブル７１の警告メッセージの警告内容の組合せと相関が高いものがある場合には、相関が高い組合せに対応する警報内容が示す障害が発生する可能性が高いと判定し、図示しない表示部及び／又はネットワーク管理装置に予備警告を出力する。
【００２０】
クラスタリング部３は、各ＩＰアドレスに対して設けられた集約後のメッセージテーブル７１の各メッセージから、ネットワーク構成に基づき互いに関連するメッセージを判定し、関連する一連のメッセージをクラスタとして、グループ化する。例えば、図４に示す様に、リンク＃２が断となった場合、リンク＃２に接続するルータのみならず、このリンク＃２を経由した通信を行っている両端の装置においてもネットワークレイヤや、トランスポートレイヤの障害を検出してメッセージを監視装置に送信することになるが、クラスタリング部３は、メッセージの内容情報及び／又はネットワーク構成に基づき、例えば、図２の両端の装置からのネットワークレイヤや、トランスポートレイヤのメッセージは、ルータからのリンク＃２の障害を示すメッセージと同じクラスタに属するものと判定する。なお、監視装置が監視するネットワークの構成に関する情報は、ネットワーク内で既知であるものとし、監視装置のクラスタリング部３は、例えば、ネットワークの構成に関する情報を保持している装置にアクセスしてこれら情報を取得する。
【００２１】
クラスタリング部３は、同じクラスタに属すると判定したメッセージ群を、クラスタテーブル７２として保存する。なお、通知されている内容情報は同一であるが、送信元のＩＰアドレスが違うメッセージについては１つに集約する。例えば、各メッセージテーブルから互いに関連するメッセージを抜き出して図５に示すクラスタテーブルが作成されたとする。図５に示す様に、アプリケーションレイヤにおいては、ＩＰアドレスＡの装置から受信したメッセージＭＡ１と、ＩＰアドレスＢ、Ｃ、Ｄの装置からそれぞれ受信したメッセージＭＡ５が含まれているが、メッセージＭＡ５は、送信元の装置が異なるがメッセージが示す内容は同じであるため、図６に示す様に１つに集約する。
【００２２】
原因分析部４は、各クラスタテーブルにおいて最下位のレイヤにある警報メッセージを根本原因として、これらを原因警報リスト７３として記憶部７に出力し、通知部５は、原因警報リスト７３を図示しない表示部に出力及び／又はネットワーク管理装置等に送信する。また、原因分析部４は、クラスタテーブルの警告メッセージの警告内容と、当該クラスタの根本原因として選択した警報メッセージの警報内容をイベントセットとしてパターン分析部６に出力し、パターン分析部６は、既に作成したＦＥＴ７４と新たなイベントセットから、例えば、アプリオリ・アルゴリズム等を使用してＦＥＴ７４を更新する。なお、イベントセットには、根本原因として選択した警報メッセージのタイムスタンプとの時間差が所定値以内の警告メッセージの内容のみを含めるものとする。
【００２３】
続いて、本発明による監視方法の具体例を以下に説明する。図７は、以下の説明に使用するシステム構成図であり、ルータ＃Ａ、＃Ｂ及び＃Ｃが相互に接続し、Ｗｅｂサーバ＃Ｄ及び＃Ｅがルータ＃Ｂと接続し、ノード＃１及び＃２がルータ＃Ｃと接続している。また、プローブ装置とは、他の各装置に反復してアクセスして、各装置の障害や状態に関するメッセージを取得する装置である。なお、本例において、本発明による監視装置は、プローブ装置と同じコンピュータ上に実現されているものとするが、例示であり、本発明による監視装置を、プローブ装置とは異なる装置として実現し、プローブ装置を含むネットワークの各装置から、メッセージを受信する形態であっても良い。
【００２４】
図７に示す構成において、ルータ＃Ａそのものと、Ｗｅｂサーバ＃Ｄのサーバ機能が障害により停止し、監視装置は、図８に示すメッセージを取得したものとする。なお、プローブ装置は、反復して各装置の状態を監視しており、例えば、ルータ＃ＡのＣＰＵ Ｗａｒｎｉｎｇ等、ルータ＃Ａが停止する以前のメッセージも監視装置は取得している。図８において、例えば、“Ｗｅｂ Ｅｒｒｏｒ （＃Ｄ）”は内容情報であり、その内の（＃Ｄ）は対向装置情報である。
【００２５】
図８に示すメッセージを取得した場合における、グループ化部１及び圧縮部２による集約後のメッセージテーブルを図９に示す。図９は、図８に示すメッセージを、その送信元のＩＰアドレス、よって、装置別に分類し、さらに、内容情報から判定したレイヤ別に記録したものである。続いて、クラスタリング部３は、図９に示すメッセージテーブルから図１０に示すクラスタテーブルを作成する。例えば、ノード＃１及びノード＃２のＷｅｂ Ｅｒｒｏｒ（＃Ｄ）メッセージは、そのメッセージの内容情報からＷｅｂサーバ＃Ｄに対するものであることが判明するため、Ｗｅｂサーバ＃ＤのＰｏｒｔ８０ ＤｏｗｎメッセージとＷｅｂ Ｅｒｒｏｒ（＃Ｄ）メッセージは、同一のクラスタに属するものと判定できる。なお、リンクレイヤとネットワークレイヤ間の関係は、上述した様に、ネットワークの構成情報を参照して判定する。
【００２６】
図１０に示すクラスタテーブルにおいて、例えば、クラスタ＃１のルータ＃Ａに対するＤｅｖｉｃｅ Ｕｎｒｅａｃｈａｂｌｅ（＃Ａ）メッセージは、それぞれ、ルータ＃Ｂと＃Ｃから通知されているが、これらは、送信元が異なるが同じ内容情報を有するメッセージであるから、クラスタリング部３は、これらを集約して１つに纏める。よって、クラスタリング部３は、図１１に示すクラスタリングテーブルを最終的に記憶部７に出力する。
【００２７】
原因分析部４は、各クラスタの警報メッセージのうち、一番下位のレイヤにあるものを根本原因として抽出する。したがって図１２に示す原因警報リスト７３を記憶部７に出力する。また、原因分析部４は、各クラスタの警告メッセージの内、当該クラスタの原因警報の発生時刻に対して所定の時間差で発生した警告メッセージの警告内容を、原因警報の警報内容と共に、イベントセットとしてパターン分析部６に出力する。図１３は、本例において原因分析部４が出力するイベントセットを示している。
【００２８】
最後に、圧縮部２における予備警告の出力について説明を行う。例えば、ＦＥＴ７４に、警報内容Ｘに対してＭ個の警告内容が特定されているものとする。この場合において、ある装置（ＩＰアドレス）に対応するメッセージテーブル内に、その警告内容が所定の割合又は数以上一致する警告メッセージが存在する場合、圧縮部２は、その割合又は数に応じた内容の予備警告を出力する。
【００２９】
具体的には、警報内容Ｘに対応するものとして警告内容Ｗ１〜Ｗ６がＦＥＴ７４において特定されており、３つの一致でＷａｒｎｉｎｇを、４つ以上の一致でＣｒｉｔｉｃａｌを出力するものとする。この場合、あるメッセージテーブル内の警告メッセージが、警告内容Ｗ１、Ｗ２、Ｗ７、Ｗ９、Ｗ１０を示していたとしても、一致する警告内容の数はＷ１、Ｗ２の２つであり予備警告は発出されない。これに対して、メッセージテーブル内の警告メッセージが、警告内容Ｗ１、Ｗ２、Ｗ３、Ｗ７、Ｗ９を示している場合には、Ｗ１、Ｗ２、Ｗ３の３つの警告内容が一致し、よって、警報内容Ｘで特定される障害が、当該メッセージテーブルのＩＰアドレスに対応する装置に発生する可能性を警告するＷａｒｎｉｎｇメッセージが出力される。さらに、メッセージテーブル内の警告メッセージが、警告内容Ｗ１、Ｗ２、Ｗ３、Ｗ４、Ｗ５、Ｗ７、Ｗ９、Ｗ１０を示している場合には、Ｗ１、Ｗ２、Ｗ３、Ｗ４の４つの警告内容が一致し、よって、警報内容Ｘで特定される障害が、当該メッセージテーブルのＩＰアドレスに対応する装置に発生する可能性を警告するＣｒｉｔｉｃａｌメッセージが出力される。
【００３０】
以上、本発明による監視装置は、“ルール”、“コードブック”、“事例”等をあらかじめ作成する必要がなく、さらに、複雑なアルゴリズムを使用するものではなく、よって、素早く障害原因を判定することができる。
【００３１】
なお、上述した実施形態は、ＴＣＰ／ＩＰネットワークに対して本発明を適用するものであったが、本発明は上述した実施形態に限定されるものではなく、センサネットワークや、ホームネットワークや、クラウドネットワーク等、レイヤ構造を有する総てのネットワークに対して適用可能である。
【００３２】
なお、本発明による監視装置は、コンピュータを図１の各部として機能させるプログラムにより実現することができる。これらコンピュータプログラムは、コンピュータが読み取り可能な記憶媒体に記憶されて、又は、ネットワーク経由で配布が可能なものである。さらに、本発明は、ハードウェア及びソフトウェアの組合せによっても実現可能である。
【符号の説明】
【００３３】
１ グループ化部
２ 圧縮部
３ クラスタリング部
４ 原因分析部
５ 通知部
６ パターン分析部
７ 記憶部
７１ メッセージテーブル
７２ クラスタテーブル
７３ 原因警報リスト
７４ 多発イベントテーブル
【特許請求の範囲】
【請求項１】
各装置から警報及び警告メッセージを取得する監視装置であって、
取得したメッセージを、該メッセージの送信元アドレスに基づき分類し、送信元アドレスごとのメッセージテーブルに保存するグループ化手段と、
メッセージテーブル内の重複したメッセージを１つに集約する圧縮手段と、
各メッセージテーブルの互いに関連するメッセージを、メッセージに含まれる内容情報に基づき判定し、判定した互いに関連する一連のメッセージをクラスタにグループ化するクラスタリング手段と、
各クラスタに含まれるメッセージの内、最下位のレイヤの警報メッセージを原因警報として判定する原因分析手段と、
を備えている監視装置。
【請求項２】
原因警報として判定した警報メッセージの警報内容と、前記警報メッセージと同一クラスタの警告メッセージのうち、前記警報メッセージの発生時刻との差が所定時間以内である警告メッセージの警告内容に基づき、警報内容と、該警報内容で特定される障害が発生する際に付随して発生する可能性が高い警告内容の組合せを示す頻発イベントテーブルを作成するパターン分析手段を、さらに、備えており、
前記圧縮手段は、メッセージテーブルに含まれる警告メッセージの警告内容が、前記頻発イベントテーブルの警告内容の組合せと所定数以上一致する場合、前記所定数以上一致する頻発イベントテーブル内の警告内容の組合せに対応する警報内容が示す障害の発生を警告する予備警告を出力する、
請求項１に記載の監視装置。
【請求項３】
前記クラスタリング手段は、同一クラスタに含まれるメッセージのうち、送信元アドレスは異なるが、内容情報は同じであるメッセージを１つに集約する、
請求項１又は２に記載の監視装置。
【請求項４】
グループ化部が、各装置から取得したメッセージを送信元アドレスにより分類し、該メッセージを、送信元アドレスごとのメッセージテーブルに保存する第１のステップと、
圧縮部が、メッセージテーブル内の重複したメッセージを１つに集約する第２のステップと、
クラスタリング部が、各メッセージテーブルの互いに関連するメッセージを、メッセージに含まれる内容情報に基づき判定し、判定した互いに関連する一連のメッセージをクラスタにグループ化する第３のステップと、
原因分析部が、各クラスタに含まれるメッセージの内、最下位のレイヤの警報メッセージを原因警報として出力する第４のステップと、
を備えている監視方法。
【請求項５】
請求項１から３のいずれか１項に記載の監視装置としてコンピュータを機能させるプログラム。
【請求項１】
各装置から警報及び警告メッセージを取得する監視装置であって、
取得したメッセージを、該メッセージの送信元アドレスに基づき分類し、送信元アドレスごとのメッセージテーブルに保存するグループ化手段と、
メッセージテーブル内の重複したメッセージを１つに集約する圧縮手段と、
各メッセージテーブルの互いに関連するメッセージを、メッセージに含まれる内容情報に基づき判定し、判定した互いに関連する一連のメッセージをクラスタにグループ化するクラスタリング手段と、
各クラスタに含まれるメッセージの内、最下位のレイヤの警報メッセージを原因警報として判定する原因分析手段と、
を備えている監視装置。
【請求項２】
原因警報として判定した警報メッセージの警報内容と、前記警報メッセージと同一クラスタの警告メッセージのうち、前記警報メッセージの発生時刻との差が所定時間以内である警告メッセージの警告内容に基づき、警報内容と、該警報内容で特定される障害が発生する際に付随して発生する可能性が高い警告内容の組合せを示す頻発イベントテーブルを作成するパターン分析手段を、さらに、備えており、
前記圧縮手段は、メッセージテーブルに含まれる警告メッセージの警告内容が、前記頻発イベントテーブルの警告内容の組合せと所定数以上一致する場合、前記所定数以上一致する頻発イベントテーブル内の警告内容の組合せに対応する警報内容が示す障害の発生を警告する予備警告を出力する、
請求項１に記載の監視装置。
【請求項３】
前記クラスタリング手段は、同一クラスタに含まれるメッセージのうち、送信元アドレスは異なるが、内容情報は同じであるメッセージを１つに集約する、
請求項１又は２に記載の監視装置。
【請求項４】
グループ化部が、各装置から取得したメッセージを送信元アドレスにより分類し、該メッセージを、送信元アドレスごとのメッセージテーブルに保存する第１のステップと、
圧縮部が、メッセージテーブル内の重複したメッセージを１つに集約する第２のステップと、
クラスタリング部が、各メッセージテーブルの互いに関連するメッセージを、メッセージに含まれる内容情報に基づき判定し、判定した互いに関連する一連のメッセージをクラスタにグループ化する第３のステップと、
原因分析部が、各クラスタに含まれるメッセージの内、最下位のレイヤの警報メッセージを原因警報として出力する第４のステップと、
を備えている監視方法。
【請求項５】
請求項１から３のいずれか１項に記載の監視装置としてコンピュータを機能させるプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１１−１７６５５４（Ｐ２０１１−１７６５５４Ａ）
【公開日】平成２３年９月８日（２０１１．９．８）
【国際特許分類】
【出願番号】特願２０１０−３８４５６（Ｐ２０１０−３８４５６）
【出願日】平成２２年２月２４日（２０１０．２．２４）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２１年度、総務省、「セキュアクラウドネットワーキング技術の研究開発」委託事業、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（５９９１０８２６４）株式会社ＫＤＤＩ研究所 (233)
【Ｆターム（参考）】
【公開日】平成２３年９月８日（２０１１．９．８）
【国際特許分類】
【出願日】平成２２年２月２４日（２０１０．２．２４）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２１年度、総務省、「セキュアクラウドネットワーキング技術の研究開発」委託事業、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（５９９１０８２６４）株式会社ＫＤＤＩ研究所 (233)
【Ｆターム（参考）】
[ Back to top ]