JP7368762B2

JP7368762B2 - 警報監視システム、警報監視方法、及びプログラム

Info

Publication number: JP7368762B2
Application number: JP2021575156A
Authority: JP
Inventors: 亮介佐藤
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2020-02-05
Filing date: 2020-02-05
Publication date: 2023-10-25
Anticipated expiration: 2040-02-05
Also published as: US11695617B2; JPWO2021156971A1; US20230086040A1; WO2021156971A1

Description

本発明は、ネットワーク装置群の運用を監視する警報監視システム、警報監視方法、及びプログラムに関する。

ネットワーク装置群の運用監視において、装置が故障した場合に、故障した装置から警報（主要因アラーム）が発せられる。その警報に加えて、ネットワークの周辺装置から関連した警報が波及的に多数発せられる（波及アラーム）。一般的に警報は、アラームと称される場合があるがここでは警報の文言に統一する。

故障対応の際には多くの場合、故障した装置から発せられる警報について対処する必要がある。つまり、波及警報を、対応する警報と関連させて消し込む必要があるが、多数の警報の中から対象の警報を区別するには、オペレータに経験的な高いスキルが求められる。

この警報を区別する作業を支援する目的で、警報間の関係付けの判断ルールを事前に定義するルールベースの手法、過去の警報の発生パターンを学習する統計ベースの手法、及び学習結果をもとに判断ルールを自動生成する手法（例えば特許文献１）などが検討されて来ている。

特開２０１８－２８７７８号公報

しかしながら、統計及び生成された判断ルールは、ブラックボックス化し易いという問題がある。また、ルールベースによる手法は、故障時の警報間の共起関係を事前にルールに定義し、警報受信時にルールに従って関係する警報を検索するが、柔軟なルールを定義することができず、波及警報を正確に区別することができないという問題もある。その結果、警報の区別に正確性を欠くとともに、区別した根拠の説明が求められても説明ができない場合があるという課題がある。

本発明は、この課題に鑑みてなされたものであり、オペレータに経験的な高いスキルが無い場合でも対処すべき対象の警報を正しく区別でき、区別した根拠の説明ができる警報監視システム、警報監視方法、及びプログラムを提供することを目的とする。

本発明の一態様に係る警報監視システムは、ネットワークを構成する装置が発する装置名を含む警報と該警報を因として生じる波及警報を受信し、前記警報及び前記波及警報に含まれるメッセージからそれぞれの種別を判別し、前記警報及び前記波及警報と前記種別を対応付けた警報情報を生成する警報情報生成部と、前記ネットワークの構成情報を蓄積したネットワーク構成データベースと、前記種別によって異なる前記波及警報の発生態様を表す事前ルールを備え、前記事前ルールで定められた対象情報と前記装置名をキーに前記ネットワーク構成データベースを検索して具体的な接続先情報を取得し、前記警報と前記波及警報を関係付ける相互関係分析部とを備えることを要旨とする。

また、本発明の一態様に係る警報監視方法は、上記の警報監視システムが行う警報監視方法であって、ネットワークを構成する装置が発する装置名を含む警報と該警報を因として生じる波及警報を受信し、前記警報及び前記波及警報に含まれるメッセージからそれぞれの種別を判別し、前記警報及び前記波及警報と前記種別を対応付けた警報情報を生成する警報情報生成ステップと、前記種別によって異なる前記波及警報の発生態様を表す事前ルールを備え、前記事前ルールで定められた対象情報と前記装置名をキーに前記ネットワークの構成情報を蓄積したネットワーク構成データベースを検索して具体的な接続先情報を取得し、前記警報と前記波及警報を関係付ける相互関係分析ステップとを含むことを要旨とする。

また、本発明の一態様に係るプログラムは、上記の警報監視システムとしてコンピュータを機能させるためのプログラムであることを要旨とする。

本発明によれば、オペレータに経験的な高いスキルが無い場合でも対処すべき対象の警報を正しく区別できる。また、対処すべき対象の警報と波及警報を関係付けるので区別した根拠の説明も容易にできる。

本発明の実施形態に係る警報監視システムの機能構成例を示すブロック図である。図１に示す警報監視システムの動作例を説明する動作説明図である。警報の構成例を示す図である。図１に示す相互関係分析部が備える事前ルールの例を示す図である。図１に示すネットワーク構成ＤＢのレコードの例を模式的に示す図である。図１に示す警報監視システムの他の動作例を説明する動作説明図である。ネットワークの異なる階層で生じた故障の様子を模式的に示す図である。事前ルールに記述されたラベル情報を模式的に示す図である。図１に示す警報監視システムが行う警報監視方法の処理手順を示すフローチャートを示す図である。図９に示す警報監視方法で関係情報を生成した例を示す図である。汎用的なコンピュータシステムの構成例を示すブロック図である。

以下、本発明の実施形態について図面を用いて説明する。複数の図面中同一のものには同じ参照符号を付し、説明は繰り返さない。

図１は、本発明の実施形態に係る警報監視システムの機能構成例を示すブロック図である。図１に示す警報監視システム１００は、ネットワークを構成する各装置（図示せず）と制御線で接続され、各装置から発せられる警報を監視し、対処すべき対象の警報とそれ以外の波及警報とを関係付けるシステムである。

警報監視システム１００は、警報情報生成部１０、相互関係分析部２０、ネットワーク構成データベース３０、及び警報構造データベース４０を備える。以降、データベースはＤＢと表記する。

図２は、警報監視システム１００の動作例を説明する動作説明図である。図２は、図１に示すブロック図に主要な情報の流れを記載した図である。図２と他の図を参照して警報監視システム１００が、対処すべき警報と、その警報を原因（主）として波及的に生じる波及警報（従）とを関係付ける例の動作を説明する。

（関係付けの一例）
警報情報生成部１０は、ネットワークを構成する各装置から警報を受信する。図２では、Host_A（装置）が故障したことを表す警報EQPを生じさせた後に、その警報EQPを原因としてHost_B（装置）に波及警報linkdownが生じた例を模式的に示す。

警報情報生成部１０は、警報を受信して警報情報を生成する。警報は、例えば警報EQPと波及警報linkdownを発したそれぞれの装置を識別する装置名と、警報EQP及び波及警報linkdownの種別を表すメッセージとを含む。また、警報情報生成部１０は、受信した警報を警報構造ＤＢ４０に記録する。図２の警報構造ＤＢ４０内に、記録したEQPとPort 1/2 linkdownを示す。

図３は、警報の構成例を示す図である。左から一列目は装置名、二列目はメッセージを示す。一行目はHost_Aが発した警報EQPである。三行目はHost_Bが発した警報linkdownである。なお、メッセージの文字列は、装置のベンダーによって異なる。

警報情報生成部１０は、警報に含まれるメッセージの文字列を認識してその警報の種別を判別する。警報の種別とは、装置本体故障、部位故障、物理リンク故障、及び論理リンク故障等のことである。

警報情報生成部１０は、判別した種別と警報を対応付けた警報情報を相互関係分析部２０に出力する。なお、その際、警報情報は警報構造ＤＢ４０に記録するようにしても良い。

相互関係分析部２０は、種別によって異なる波及警報の発生態様を表す事前ルールを備え、事前ルールで定められた対象情報と装置名をキーにネットワーク構成ＤＢ３０を検索して具体的な接続先情報を取得する。そして、警報と波及警報を関係付ける。事前ルールは予め人が設定する。なお、装置の特定のポートの接続先の装置を取得したい場合などは、装置名に加えてポート番号等を追加の検索パラメータとして用いても良い。

図４は事前ルールの例を示す。図４の左から一列目は装置故障の種別を示し、二列目は種別に対応する事前ルールを示す。図４に示すように事前ルールは、警報の種別に対応させて、その警報によって異なる波及警報の発生態様を表したものである。

警報情報生成部１０において、警報EQPは、そのメッセージから装置本体故障と判別される（図３の上から2行目）。装置本体故障の場合の事前ルールは「物理接続先の装置から波及警報linkdownが生じる」である。また、物理リンク故障の場合の事前ルールは「物理接続先の装置から波及警報linkdownが生じる」である。また、論理リンク故障の場合の事前ルールは「論理接続先の装置から波及警報LOCが生じる」である。

対象情報は、ネットワーク構成ＤＢ３０を検索するキーであり、検索する対象によって異なる情報である。例えば、物理接続先を検索する場合の対象情報は「物理接続先」である。また、論理接続先を検索する場合の対象情報は「論理接続先」である。

相互関係分析部２０は、事前ルールに定められた対象情報（この場合は物理接続先）と装置名（この場合Host_A）をキーにネットワーク構成ＤＢ３０を検索して具体的な接続先情報を取得する。なお、検索キーには装置部位名を用いることもできる。以下同様である。

図５は、ネットワーク構成ＤＢ３０のレコードの例を示す図である。図５の左から一列目（装置名）と二列目（対象情報）は検索キーである。三列目はその検索キーで検索されるデータである。

装置名（Host_A）と物理接続先をキーにネットワーク構成ＤＢ３０を検索すると、Host_B、スロット1、ポート2の接続先情報が得られる。よって、事前ルールによれば、その接続先から波及警報linkdownが生じることとなる。

相互関係分析部２０は、警報情報生成部１０が波及警報linkdownを受信した場合、又は波及警報linkdownを既に受信済みの場合に、その波及警報linkdownの原因となった警報EQP（この場合、Host_A）と波及警報linkdownを関係付ける。関係付けは、例えばそれぞれをノード（節）で表してそれぞれのノードをエッジ（辺）で接続させたデータ構造で表すことで行う。

警報と波及警報の関係を表す関係情報は、警報構造ＤＢ３０に記録するようにしても良い。図２に示す警報構造ＤＢ４０内に関係情報の例を示す。

図２に例示する関係情報は、警報EQP（Host_A，EQP）をノード1、波及警報linkdown（Host_B Port1/2 linkdown）をノード2とし、ノード1とノード2をエッジ1で接続させたものである。エッジ1は方向性を持ち、例えば図２に示す”edge1で始まる文字列で表せる。Srcは波及警報を生じさせる主要因である警報であることを表し、dstはその警報（主要因）を原因として生じる波及警報であることを表す。

このように、警報と波及警報の関係情報は、警報と波及警報のそれぞれを表すノードと、該ノードのそれぞれを接続されるエッジとで表される。これにより、主要因である警報とその以外の波及警報の区別が容易になる。

（関係付けの他の一例）
警報と波及警報の関係付けは、装置間の物理接続に関するものに限られない。例えば論理的な接続に対しても行える。

図６は、中継装置を介して2つの装置が論理的に接続され、中継装置又は通信線が故障したことによって、Host_Aに通信切断を意味する警報LOCが生じ、続けてその論理接続先のHost_Bに警報LOCが生じる場合を示す。

警報情報生成部１０は、Host_Aに生じた警報LOCに含まれるメッセージの文字列（LOC）を認識してその警報の種別を判別する。判別した種別はこの例では「論理リンク故障」である。判別した種別を含む警報情報は、警報構造ＤＢ４０に記録する。

相互関係分析部２０は、警報情報生成部１０で判別した種別を含む警報情報を入力とし、その種別に対応する事前ルールを参照する。論理リンク故障の場合の事前ルールは「論理接続先の装置から波及警報LOCが生じる」である。

この場合、相互関係分析部２０は、「Host_A」と「論理接続先」をキーにネットワーク構成ＤＢ３０を検索する。ネットワーク構成ＤＢ３０は、Host_Aの論理接続先としてHost_Bを記録している。

相互関係分析部２０は、この場合の具体的な接続先情報としてHost_Bを取得する。その後、警報情報生成部１０が波及警報LOCを受信すると、その波及警報LOCと、その原因となった警報LOC（この場合、Host_A）を関係付ける。

LOC同士の関係付けは、2つのノードを双方向の矢印で接続させて行う。警報情報生成部１０がHost_Aから受信した警報LOCは、中継装置の故障によって生じた波及警報である。また、その次にHost_Bから受信した警報LOCも波及警報である。

このように警報の種別が物理リンク故障、論理リンク故障等の場合は、2つの警報間でそれぞれの他方を波及警報と区別した結果、2つの警報は双方向の矢印で関係付けられる。なお、警報情報生成部１０が受信する警報の順番は、Host_A→Host_Bの順番に限られない。ネットワークの通信状況によっては順番が逆転する場合もあり得る。

警報情報生成部１０が受信する警報の順番が入れ替わるのは、主要因の警報と波及警報の組合せの場合も同じである。警報linkdpownを先に受信し、その後に警報EQPを受信する場合もある。

警報linkdownを受信した場合、警報情報生成部１０はその警報の種別を「物理リンク故障（図３の4行目）」と判別する。種別が「物理リンク故障」の場合の相互関係分析部２０の事前ルールは「物理接続先の装置から波及警報linkdownが生じる（図４の4行目）」である。

その後、警報情報生成部１０は、Host_Aから警報EQPを受信する。警報EQPの事前ルールは「物理接続先の装置から波及警報linkdownが生じる（図４の2行目）」である。よって、ネットワーク構成ＤＢ３０を参照することで、既に受信済みの波及警報linkdownとHost_Aから受信した警報EQPを関係付けることができる。

このように、ネットワークの通信状況によって、警報EQPと警報linkdownの順番が入れ替わっても主要因の警報と波及的に生じる波及警報に区別して関係付けることができる。要するに、警報情報生成部１０は、主要因の警報と波及警報のどちらを先に受信しても良い。また、波及警報だけを受信しても波及警報同士を関係付けることができる。

以上説明したように本実施形態に係る警報監視システムは、ネットワークを構成する装置が発する装置名を含む警報と該警報を因として生じる波及警報を受信し、警報及び波及警報に含まれるメッセージからそれぞれの種別を判別し、警報及び波及警報と種別を対応付けた警報情報を生成する警報情報生成部１０と、ネットワークの構成情報を蓄積したネットワーク構成ＤＢ３０と、種別によって異なる波及警報の発生態様を表す事前ルールを備え、事前ルールで定められた対象情報と装置名をキーにネットワーク構成ＤＢ３０を検索して具体的な接続先情報を取得し、警報と波及警報を関係付ける相互関係分析部２０と、警報と波及警報の関係を表す関係情報を蓄積する警報構造ＤＢ４０とを備える。これにより、オペレータに経験的な高いスキルが無い場合でも対処すべき対象の警報を区別できる。また、対処すべき対象の警報と波及警報を関係付けるので区別した根拠の説明も容易に行える。

上記の実施形態では、「装置本体故障」、「論理リンク故障」、及び「物理リンク故障」の種別の警報について説明したが、これ以外の種別の警報についても事前ルールを適切に設定することで、対処すべき警報とそれ以外の警報を区別することができる。また、2個以上の複数の警報についても、それぞれの警報を例えば上記の有向グラフで関係付けることが可能である。したがって、2個以上の複数の警報の中から対処すべき対象の警報を区別することができる。なお、警報構造ＤＢ４０は、関係情報を表示装置（図示せず）又は印刷装置（図示せず）に出力するようにすれば無くても構わない。

（ネットワークの階層を跨る警報の関係付け）
警報の関係付けは、複数の事前ルールを適用することで行われる。よって、ネットワークの異なる階層で発生した警報についても関係付けることが可能である。

図７は、ネットワーク層（ＩＰレイヤ）とデータリンク層（伝送レイヤ）を跨って警報が生じる場合の例を模式的に示す図である。図７（ａ）に示すブロックは装置を表す。各装置の近くに表記した文字列は警報を表す。ＩＰレイヤのHost_CとHost_Dのそれぞれに警報linkdownが発生し、伝送レイヤのHost_Bに警報linkdownが発生し、同じ伝送レイヤのHost_Aに警報EQPが発生する例を示す。

図７（ａ）に示すように警報が発生した場合、本実施形態に係る警報監視システム１００によれば、上記の説明済みの動作を行って各警報を有向グラフで関係付けることができる。

図７（ｂ）は、図７（ａ）に示す警報を有向グラフで関係付けた図である。各ノード（警報）を結ぶ有向グラフによって主要因の警報を特定することができる。

図７に示すように警報EQPは、自己の方向に矢印が向いているエッジが存在しないので主要因の警報であると特定する。逆に、方向が自己に向けられたエッジを含むノードは波及警報に区別される。

警報を有向グラフで関係付ける方法は、各ノードに対するエッジの向きが判明しないと主要因の警報であるのか波及警報であるのかを区別することができない。よって、区別するまでに時間を要してしまう場合がある。

区別する時間を短縮する方法としては、関係の属性から主要因を判定する方法が考えられる。例えば、事前ルールに、結果として生じる波及警報とその原因となる警報情の関係を表すラベル情報を含める。ラベル情報は、原因から結果を関係付けても、結果から原因を関係付けてもどちらでも構わない。

例えば、図２で説明した警報linkdownが生じる場合、その警報linkdownが結果として生じる警報EQPは主要因であるとして、事前ルールに例えばSTORE_ROOTのラベル情報を含ませる。

この他に、因果関係はあるが主要因であるか否かの判定はしないSTORE、関係はあるが主従の関係が無いCONNET等のラベル情報を事前ルールに含める。これらのラベル情報を事前ルールに含めることで、事前ルールによって主要因の警報であることを特定することが可能である。つまり、警報と波及警報は、ラベル情報に基づいて区別しても良い。これにより、主要因の警報であるのか波及警報であるのかを区別するのに要する時間を短縮することができる。

（警報監視方法）
図９は、本実施形態に係る警報監視システム１００が行う警報監視方法の処理手順を示すフローチャートである。

警報情報生成部１０は、ネットワークを構成する装置が発する警報と該警報を因として生じる波及警報のそれぞれを識別する装置名と警報及び波及警報の種別を表すメッセージとを含む警報を受信する（ステップＳ１）。

次に、警報情報生成部１０は、受信したメッセージの文字列を認識して警報の種別を判定する（ステップＳ２）。警報の種別は、装置本体故障、部位故障、物理リンク故障、論理リンク故障等に判別される。

相互関係分析部２０は、警報の種別によって異なる波及警報の発生態様を表す事前ルールを備え、事前ルールで定められた対象情報と装置名をキーにネットワーク構成ＤＢ３０を検索して具体的な接続先情報を取得する（ステップＳ３）。警報情報の種別が例えば「装置本体故障」の場合は、事前ルールは「物理接続先の装置から波及警報linkdownが生じる」である。

この場合、Host_Aと「物理接続先」をキーにネットワーク構成ＤＢ３０を検索して具体的な接続先情報を含む応答情報（Host_b Port 1/2 linkdown）を取得する（ステップＳ３）。

そして、相互関係分析部２０は、対象情報と応答情報から、警報と波及警報を関係付ける関係情報を生成する（ステップＳ４）。

関係情報は、警報情報ＤＢ４０に記録される（ステップＳ５）。関係情報は、例えば、図２に”edge1…で示される文字列で表される。

なお、関係情報を記録するステップＳ５は行わなくても構わない。生成した関係情報を外部（表示装置又は印刷装置）に出力するだけでも良い。

図１０は、本実施形態の警報監視方法で関係情報を生成した例を示す図である。図１０の左から一列目は受信順序、二列目と三列目は警報、四列目は関係情報を示す。この例は、ネットワーク構成の表記は省略するが、Host_A、Host_B、及びHost_Cが通信線で接続され、Host_CとHost_Dは制御線のみで接続された場合を示す。

図１０に示す受信順序で警報が発生したと仮定すると、通信線で接続された装置から発生する警報は、主要因の警報と波及警報に区別される。図１０の上から二行目の1/主要因の1/は、警報群のグループに割り振られるＩＤ（識別子）である。

図１０の四行目と五行目の1/波及は、1/主要因の警報によって生じた波及警報であることを示す。オペレータは、関係情報（図１０）を見ることで主要因の警報と、その警報によって生じた波及警報を容易に区別することができる。

以上説明したように本実施形態に係る警報監視方法は、警報監視システム１００が行う警報監視方法であって、ネットワークを構成する装置が発する装置名を含む警報と該警報を因として生じる波及警報を受信し、警報及び波及警報に含まれるメッセージからそれぞれの種別を判別し、警報及び波及警報と種別を対応付けた警報情報を生成する警報情報生成ステップ（Ｓ１，Ｓ２）と、種別によって異なる波及警報の発生態様を表す事前ルールを備え、事前ルールで定められた対象情報と装置名をキーにネットワークの構成情報を蓄積したネットワーク構成ＤＢを検索して具体的な接続先情報を取得し、警報と波及警報を関係付ける相互関係分析ステップ（Ｓ３，Ｓ４）とを含む。これにより、ネットワークを監視するオペレータに高いスキルが無くても、対処すべき対象の警報と対処の不要な波及警報を正しく区別することができる。

警報監視システム１００は、図１１に示す汎用的なコンピュータシステムで実現することができる、例えば、ＣＰＵ９０、メモリ９１、ストレージ９２、通信部９３、入力部９４、及び出力部９５を備える汎用的なコンピュータシテムにおいて、ＣＰＵ９０がメモリ９１上にロードされた所定のプログラムを実行することにより、警報監視システム１００の各機能が実現される。所定のプログラムは、HDD、SSD、USBメモリ、CD-ROM、DVD-ROM、MOなどのコンピュータ読取り可能な記録媒体に記録することも、ネットワークを介して配信することもできる。なお、警報監視システム１００の各機能部は、それぞれをコンピュータシステム（サーバ）で構成しても構わない。

本発明は、上記の実施形態に限定されるものではなく、その要旨の範囲内で変形が可能である。例えば、警報情報生成部１０は、警報を受信して警報情報を生成する例で説明したが、この例に限定されない。受信と警報情報生成は、それぞれの作用を分けて構成しても構わない。また、ネットワーク構成ＤＢ３０のデータ形式は上記の例に限定されない。例えばリレーショナルＤＢ及びグラフＤＢ等でも良い。また、警報情報生成部１０は、相互関係分析部２０に警報情報と種別を対応付けた構造化データで引き渡すことができれば、警報を受信するプロトコルは何でも構わない。

このように、本発明はここでは記載していない様々な実施形態等を含むことは勿論である。したがって、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

１０：警報情報生成部
２０：相互関係分析部
３０：ネットワーク構成データベース
４０：警報構造データベース
１００：警報監視システム

Claims

ネットワークを構成する装置が発する装置名を含む警報と該警報を因として生じる波及警報を受信し、前記警報及び前記波及警報に含まれるメッセージからそれぞれの種別を判別し、前記警報及び前記波及警報と前記種別を対応付けた警報情報を生成する警報情報生成部と、
前記ネットワークの構成情報を蓄積したネットワーク構成データベースと、
前記種別によって異なる前記波及警報の発生態様を表す事前ルールを備え、前記事前ルールで定められた対象情報と前記装置名をキーに前記ネットワーク構成データベースを検索して具体的な接続先情報を取得し、前記警報と前記波及警報を関係付ける相互関係分析部と
を備える警報監視システム。
前記関係情報は、前記警報と前記波及警報のそれぞれを表すノードと、該ノードのそれぞれを接続させるエッジとで表される
請求項１に記載の警報監視システム。
前記事前ルールは、前記警報と前記波及警報の関係を表すラベル情報を含み、前記関係は該ラベル情報に基づいて区別される
請求項１又は２に記載の警報監視システム。
方向が自己に向けられた前記エッジを含む前記ノードは前記波及警報に区別される
請求項２に記載の警報監視システム。
警報監視システムが行う警報監視方法であって、
ネットワークを構成する装置が発する装置名を含む警報と該警報を因として生じる波及警報を受信し、前記警報及び前記波及警報に含まれるメッセージからそれぞれの種別を判別し、前記警報及び前記波及警報と前記種別を対応付けた警報情報を生成する警報情報生成ステップと、
前記種別によって異なる前記波及警報の発生態様を表す事前ルールを備え、前記事前ルールで定められた対象情報と前記装置名をキーに前記ネットワークの構成情報を蓄積したネットワーク構成データベースを検索して具体的な接続先情報を取得し、前記警報と前記波及警報を関係付ける相互関係分析ステップとを含む警報監視方法。
請求項１乃至４の何れかに記載の警報監視システムとしてコンピュータを機能させるためのプログラム。