JP5454355B2 - ログデータ欠落検知用のネットワーク管理システム、管理方法、及び管理プログラム - Google Patents

Description

本発明は、ネットワークの管理に関し、特に、ログデータの欠落を検知するネットワーク管理システム、管理方法及び管理プログラムに関する。

ＵＤＰ（Ｕser Ｄatagram Ｐrotocol）上で動作するＳyslogやＳＮＭＰを使用して、ログ監視対象端末からログ管理端末へログデータを送信するようなログ管理システムにおいては、通信のためのプロトコルとしてＵＤＰを使用している。ＵＤＰを使用する場合、そのプロトコルの仕様上、ＴＣＰ（Ｔransmision Ｃontrol Ｐrotocol）のようなパケットの到達確認機能、再送制御機能等は装備されていない。そのため、異なるコンピュータネットワーク間、即ち、パケットの送信元から送信先へのネットワーク経路上に配置されるルータ等のネットワーク機器へ過大なネットワーク負荷がかかり、輻輳が発生するとネットワーク機器上でパケットを廃棄することが知られている。パケットが廃棄された場合、その事実は、パケットの送信元や送信先へは通知されないため、ＳyslogやＳＮＭＰを使用している場合、ログデータが欠落していることに気付かずログデータが不完全なものとなってしまう虞があった。

この不具合を解決するためには、ログデータを通知するプロトコルをＵＤＰからＴＣＰに変更することや、ログデータを通知するＵＤＰ自体に再送フラグ、順序番号を付与して再送制御機能を設けること等、ログ監視対象端末およびログ管理端末のプログラム変更やネットワーク構成の変更等を行う必要がある。

例えば、ログデータの到達性を保証する手段として、ＳＮＭＰやＳyslogを利用したイベント情報の通知に関して、ＨＴＴＰプロトコルを使用しイベント蓄積サーバに送信することでパケットの到達性を保証する、つまりＨＴＴＰヘッダの下にＳyslog、ＳＮＭＰを埋め込むという技術が提案されている（特許文献１）。

また、この他に関連する通信管理システムとして、例えば、分散システム環境でオブジェクト同士がメッセージを交換するためのＣＯＲＢＡ方式に基づく分散システムにおいてメカトロニクス機器を制御する技術が提案されている（特許文献２）。この技術によれば、クライアントマシンから複数のサーバマシンにデータが送信されるとその送信ログが記録され、各サーバマシンでデータが受信されるとその受信ログが記録され、これらの送信ログと受信ログとを照合して内容の不一致があれば通信障害が発生したものと判別し、各サーバマシンの当該データによる処理結果を無効にする。

また、複数のネットワークが中継装置を通じて接続されており、独自の監視方法で監視対象を監視し、各監視システムが有する監視情報を要求すると共に、受け取った監視情報に基づいて統合的な解析処理を行なう監視情報解析システムの技術が提案されている（特許文献３）。この技術によれば、中継装置を通過する全通信パケットを収集プローブ装置のパケット取得部によって捕捉・保持するように構成されている。

また、パケットの送信端とパケットの受信端とを接続するパケット通信回線としてＵＤＰ／ＩＰ伝送プロトコル・インタフェースを含むパケット通信方式を用い、送信端末は連続性を検出するためのシーケンス番号を付与して送信パケットを受信端末に送信し、受信端末は受信パケットのシーケンス番号に欠落があることを検出するとその欠落情報を送信端末に送信し、送信端末はその欠落情報に基づき欠落したパケットを再送信するようにした通信方式の技術が提案されている（特許文献４）。

また、送信機と受信機とが複数の網によって接続されているマルチパス環境で各網内でのパケットの順序逆転が発生しない場合においてパケットロスが発生したときは全ての網の順序バッファにパケットが格納される特性に着目し、網毎に設置した順序保証バッファへのパケット滞留状態を監視することによりパケットロスを検出するようにした通信装置の技術が提案されている（特許文献５）。欠落検出部は、取出制御部からパケット取出完了の通知を受けると、パケットロスの有無を確認する。もしパケットロスを発見した場合は、ＡＣＫ送信部に対して再送要求を行う。

また、ストリーム全体を適正に認証／検証するために、受信したトランスポートストリームのうち選び出したトランスポートストリームパケットからハッシュ値を生成し、次の検証パケットに含まれるハッシュ値と、前記生成されたハッシュ値とが一致しない場合には、当該区間でパケットロスが存在し不正区間であると判定して当該区間を署名検証区間から除外するように構成した受信装置の技術が提案されている（特許文献６）。

特開２００９−１１１６５５号公報 特開２００２−２７８８５３号公報 特開２００８−２４４６４０号公報 特開平１０−０５６４７９号公報 特開２００９−０５５４１９号公報 特開２００９−０８１５６４号公報

しかしながら、特許文献１に開示された技術では、ＴＣＰを使用しているためイベント毎のＴＣＰセッションネゴシエーションやＴＣＰの再送制御機能の通信によりトラフィック増加を招き、さらなるネットワーク帯域の消費を招くこととなって、ネットワークの輻輳によるルータ等のネットワーク機器上でのパケット廃棄の可能性が高くなる。また、ログ監視対象の端末へエージェントを導入する必要があるため、既存システムに対する追加作業および追加コストは、ログ監視対象端末に比例して増大するという問題があった。
また、特許文献２から６に開示されたそれぞれの技術においても、ネットワークの輻輳によりネットワーク機器上でパケットが廃棄されることがあり、そのデータの欠落を確実に検出できない可能性、あるいは欠落したデータを取得して補完できない可能性もあった。

［発明の目的］
そこで、本発明は、このような事情に鑑みてなされたものであり、ネットワーク間におけるログデータの到達性を確保できると共に、その導入コストの抑制を可能とするログデータ欠落検知用のネットワーク管理システム、管理方法、及び管理プログラムの提供を目的とするものである。

上記課題を解決するために、本発明に係るログデータ欠落検知用のネットワーク管理システムは、ネットワークに接続されているログ監視対象端末からログ管理端末へトランスポート層のＵＤＰ上で管理プロトコルとして動作するＳyslogやＳＮＭＰ等を使用してログデータの送信を行い、当該送信における前記ログ監視対象端末とログ管理端末との間で欠落したログデータを検知するログデータ欠落検知用のネットワーク管理システムであって、
前記ログ監視対象端末が接続されているネットワークの当該ログ監視対象端末が送信するログデータのパケットを監視できる位置に接続される監視装置と、
前記ログ管理端末が接続されているネットワークの当該ログ管理端末が受信するログデータのパケットを監視できる位置に接続される監視センター装置とを備え、
前記監視センター装置は、
前記監視装置が監視した前記ログ監視対象端末の送信パケットからなる送信側監視データリストと当該監視センター装置が監視した前記ログ監視対象端末から送信されて前記ログ管理端末が受信した受信パケットからなる受信側監視データリストとを比較して送受信間のパケットの欠落の有無を判定する監視データリスト比較処理部と、
前記監視データリスト比較処理部による判定の結果、パケットの欠落が有ると判定された場合には、当該欠落したパケットを前記ログ管理端末に送信する欠落データ送信処理部とを備えていることを特徴とするものである。

また、上記課題を解決するために、本発明に係るログデータ欠落検知用のネットワーク管理方法は、ネットワークに接続されているログ監視対象端末からログ管理端末へトランスポート層のＵＤＰ上で管理プロトコルとして動作するＳyslogやＳＮＭＰ等を使用してログデータの送信を行い、当該送信における前記ログ監視対象端末とログ管理端末との間で欠落したログデータを検知するログデータ欠落検知用のネットワーク管理システムにあって、
前記ログ監視対象端末が接続されているネットワークに接続された監視装置が、当該ログ監視対象端末から送信されるログデータのパケットを監視し、
前記ログ管理端末が接続されているネットワークに接続された監視センター装置が、前記ログ監視対象端末から送信されて当該ログ管理端末に受信されるログデータのパケットを監視し、
前記監視センター装置に装備された監視データリスト比較処理部が、前記監視装置が監視した前記ログ監視対象端末の送信パケットからなる送信側監視データリストと当該監視センター装置が監視した前記ログ監視対象端末から送信されて前記ログ管理端末が受信した受信パケットからなる受信側監視データリストとを比較して送受信間のパケットの欠落の有無を判定し、
前記監視データリスト比較処理部による判定の結果、パケットの欠落が有ると判定された場合には、前記監視センター装置に装備された欠落データ送信処理部が、当該欠落したパケットを前記ログ管理端末に送信するようにしたことを特徴とするものである。

また、上記課題を解決するために、本発明に係るログデータ欠落検知用のネットワーク管理プログラムは、ネットワークに接続されているログ監視対象端末からログ管理端末へトランスポート層のＵＤＰ上で管理プロトコルとして動作するＳyslogやＳＮＭＰ等を使用してログデータの送信を行い、当該送信における前記ログ監視対象端末とログ管理端末との間で欠落したログデータを検知するログデータ欠落検知用のネットワーク管理システムにあって、
前記ログ監視対象端末から送信されて当該ログ管理端末に受信されるログデータのパケットを監視するログ管理端末パケット監視機能、
前記監視装置が監視した前記ログ監視対象端末から送信されるログデータのパケットからなる送信側監視データリストと前記監視センター装置が監視した前記ログ管理端末に受信されたパケットからなる受信側監視データリストとを比較して送受信間のパケットの欠落の有無を判定する監視データリスト比較判定機能、
前記監視データリスト比較判定機能による比較判定の結果、パケットの欠落が有ると判定された場合に、当該欠落したパケットを前記監視センター装置に要求し当該監視センター装置から送信されてきた前記欠落したパケットを前記ログ管理端末に送信する欠落データ送信機能を設け、
これらの機能をコンピュータに実現させるようにしたことを特徴とするものである。

本発明によれば、送受信されたログデータを比較して欠落検知されたデータのみを取得・補完しているのでネットワーク間のトラフィックの増加を抑えつつログデータの到達性を保証することができる。また、ログデータの送受信を監視する装置をデータ監視可能な位置に接続するのみで通信方法あるいはネットワーク構成を変更する必要が無いためその導入コストの削減を確保することができる。

本発明に係るネットワーク管理システムの実施形態を示すブロック図である。 監視センター装置の内部構成を示す図である。 監視装置の内部構成を示す図である。 ログデータ欠落検知の基本動作の順序を示す図である。 データ記憶部に監視対象のログデータを格納する動作を示すフローチャートである。 データ記憶部に格納された実データとハッシュ値を示す図である。 監視センター装置におけるログデータ欠落検知処理の状態遷移を示す図である。 ログデータ欠落検知処理開始時の動作を示すフローチャートである。 監視データリスト要求コマンドに対する監視装置の返信処理動作を示すフローチャートである。 監視データリスト返信コマンド処理の動作を示すフローチャートである。 監視データリストの比較による欠落検知処理の動作を示すフローチャートである。 欠落データ要求コマンドに対する監視装置の返信処理の動作を示すフローチャートである。 欠落データ送信処理の動作を示すフローチャートである。 監視データ削除要求コマンドに対する監視装置の返信処理の動作を示すフローチャートである。 監視データ削除処理の動作を示すフローチャートである。

以下、本発明に係るネットワーク管理システム１の実施形態を添付図面に基づいて説明する。
図１はネットワーク管理システムの全体構成を示している。ネットワーク管理システム１は、複数のネットワーク（ネットワークＡ１０〜ネットワークＤ４０）を含み構成されている。ネットワークＡ、Ｂ等に接続されているログ監視対象端末１２，１３、２１〜２３等からネットワークＣに接続されているログ管理端末３１へ、トランスポート層のプロトコルであるＵＤＰ上で管理プロトコルとして動作するＳyslogやＳＮＭＰ等を使用してログデータの送信を行い、当該送信の際に生じるログ監視対象端末とログ管理端末との間でログデータの欠落を検知する。

ネットワークＡ１０には、監視の対象とされるログ監視対象端末１１及び１２と、ログ監視対象端末１１及び１２から送信されてくるパケットを監視する監視装置１５が接続されている。ネットワークＢ２０には、監視の対象とされるログ監視対象端末２１、２２、及び２３と、これらのログ監視対象端末２１、２２、及び２３から送信されてくるパケットを監視する監視装置２５が接続されている。また、ネットワークＣ３０には、監視の対象とされるログ管理端末３１と、上記各ログ監視対象端末１１、１２、２１〜２３からログ管理端末３１に送信されてくるパケットを監視する監視センター装置３５が接続されている。そして、ネットワークＤ４０は、ネットワークＡ１０又はネットワークＢ２０とネットワークＣ３０とを接続する機能を有しており、ネットワークＡ１０又はネットワークＢ２０からネットワークＣ３０への通信はネットワークＤ４０を経由して行われる。

ネットワークＣ３０の監視センター装置３５は、ネットワークＡ１０、Ｂ２０の監視装置１５、２５に対し制御コマンド要求によって、送信されてくるログデータの欠落を検知する処理に必要なデータを要求し、その要求に応じて監視装置１５、２５から送信されてくるデータに基づいてログデータ欠落検知処理を実行する。監視装置１５、２５は、上記監視センター装置３５からの制御コマンド要求に対して必要なデータを監視装置１５、２５内のデータ記憶部（図２参照）から読出し、制御コマンド返信を行う。

ネットワークＡ１０の監視装置１５は、ログ監視対象端末１１，１２から送信されるパケットを監視できる位置、ネットワークＢ２０の監視装置２５は、ログ監視対象端末２１〜２３から送信されるパケットを監視できる位置、例えば、ネットワークスイッチのミラーリングポート（データの入出力をそのまま得られるように設定されたポート）等に接続されており、各ログ監視対象端末から送信されるパケットを監視している。監視装置１５、２５には、予め監視装置内にＩＰアドレス、送信先ポート番号等のログ監視対象端末１１，１２、２１〜２３に関する識別情報が設定されている。この識別情報に基づいて、監視したパケット（各ログ監視対象端末から送信されたパケット）を監視装置１５、２５内に設けられているデータベースに記憶する。また、監視装置１５、２５は、監視したパケットを入力としてハッシュ値を計算し、その値も合わせてデータベースに記憶している。

ログ管理端末３１側のネットワークＣ３０の監視センター装置３５は、ログ監視対象端末１１，１２、２１〜２３からログ監理端末３１に送信されてくるパケットを監視できる位置、例えば、ネットワークスイッチのミラーリングポート等に接続されており、ログ監視端末３１に送信されてくるパケットを監視している。監視センター装置３５には、予め監視センター装置内にＩＰアドレス、送信先ポート番号等のログ監視対象端末１１，１２、２１〜２３に関する識別情報が設定されている。この識別情報に基づいて、監視したパケット（ログ管理端末に送信されてきたパケット）を監視センター装置３５内に設けられているデータベースに記憶する。また、監視センター装置３５は、監視したパケットを入力としてハッシュ値を計算し、その値も合わせてデータベースに記憶している。

また、監視センター装置３５は、監視対象のログ監視対象端末１１，１２、２１〜２３のいずれかのログ監視対象端末に関する監視データリスト（送信側監視データリスト）を、上記識別情報に基づいて監視装置１５又は２５へ要求する。監視装置１５又は２５は、その要求に応じたログ監視対象端末の監視データリスト（例えば、監視データリストＬＡとする）を監視センター装置３５に送信する。ここで、監視データリストとは、パケットデータを入力として計算し求められたハッシュ値のリストのことをいう。

さらに、監視センター装置３５は、監視センター装置内のデータベースに記憶されたデータから監視データリストＬＣ（パケットデータを入力として計算し求められたハッシュ値のリスト）を作成する。そして、この監視データリスト（受信側監視データリスト）ＬＣのハッシュ値と上記監視装置１５又は２５から送信された監視データリスト（受信側監視データリスト）ＬＡのハッシュ値とを比較する。比較の結果、監視データリストＬＡに存在して、監視データリストＬＣに存在しないハッシュ値が検出された場合には、監視センター装置３５は、その存在しないハッシュ値の基となったパケットデータを欠落したパケットであると判断し、そのパケットデータを監視装置１５又は２５に要求する。

要求を受けた監視装置１５又は２５は、その要求されたパケットデータを監視センター装置へ送信する。そのパケットデータを受信した監視センター装置３５は、そのパケットデータのハッシュ値を計算すると共に比較し、自己が要求したパケットデータと合致するか否かを確認する。そして、合致すると確認された場合には、ログ管理端末３１へそのパケットデータを送信する。

監視データリストＬＡにリストされているデータは以下のように処理される。
（１）監視データリストＬＡに存在するハッシュ値が、監視データリストＬＣにも存在している場合には、そのハッシュ値を有するパケットは、ログ監視対象端末１１，１２、２１〜２３からログ管理端末間のネットワークを正常に到達したと判断され、本装置１５、２５、３５における処理は実行されない。

（２）監視データリストＬＡに存在するハッシュ値が、監視データリストＬＣに存在しない場合には、そのハッシュ値を有するパケットは、ログ監視対象端末１１，１２、２１〜２３からログ管理端末間のネットワークで欠落した（例えば、廃棄された）と判断される。この場合、監視センター装置３５側から監視装置１５又は２５に対して、欠落したハッシュ値を有するパケットデータを送信するように要求される。監視センター装置３５は、その要求に対する返信データからパケットデータを抽出し、ログ管理端末３１へ送信する。

（３）監視データリストＬＡに存在しないハッシュ値が、監視データリストＬＣに存在する場合には、監視センター装置３５側から要求するログデータの範囲外のデータ、即ち、監視データリストＬＡの範囲外のハッシュ値が存在している可能性があるため、次タイミングのログデータ欠落検出処理において、同じログデータ欠落検出処理を再度、実行して判断する。

以上により、監視装置１５又は２５の監視データリストと監視センター装置３５の監視データリストとを比較することによりパケットの欠落の有無を検知する。そして、パケットが欠落していると検知された場合には、その欠落したパケットを監視装置１５又は２５から入手し、入手したパケットをログ管理端末３１へ送信する。これにより、ログデータの欠落検知と欠落したログデータの補完を実現することができる。

次に、図２に基づいて、監視センター装置３５の内部構成を説明する。
設定情報部１１５は予め設定された監視センター装置の各情報が記録されている情報部であり、具体的には、ログ監視対象端末１１，１２、２１〜２３の識別情報（ＩＰアドレス、ポート番号等）、ログデータ欠落検知処理部１１２が動作を開始するタイマー情報、及びログ欠落検知処理を実行するログデータの個数等が記述されている。

監視系ＬＡＮインタフェース１０１は、ログ管理端末３１に送信されてくるログデータを受信する機能を有しており、送信されてくるログデータが監視できる位置、例えば、スイッチのミラーリングポート等に接続されている。

パケット監視処理部１０３は、受信したログデータのパケットを判別する監視パケットフィルタ処理部１０４と、ハッシュ値を算出する監視データリスト作成処理部１０５とを含み構成されている。監視パケットフィルタ処理部１０４は、設定情報１１５に予め設定されているログ監視対象端末１１，１２、２１〜２３のＩＰアドレスやポート番号等の識別子を用いて監視系ＬＡＮインタフェース１０１で受信したパケットを検査し、検査したパケットがデータ記憶部１０６に格納すべきデータ（ログ監視対象のパケット）であるか否かを判別する。尚、ログ監視の対象ではないパケットはここで廃棄される。

ログ監視の対象であると判別されたパケットは、監視データリスト作成処理部１０５に送られる。監視データリスト作成処理部１０５は、パケットのＩＰヘッダ以下を入力として、ＳＨＡ−１、ＳＨＡ−２等のハッシュ計算アルゴリズム関数を用いてハッシュ値を計算する。

データ記憶部１０６は、パケット監視処理部１０３で処理されたデータを格納する記憶部であり、受信した順番を示す受信インデックス番号と実データ（ハッシュ値に変換されていないログ監視対象のパケットのデータ）を実データ記憶部１０７に、受信インデックス番号とハッシュ値を監視データリスト記憶部１０８へ格納する。

制御系ＬＡＮインタフェース１０２は、コマンド制御処理部１０９からの要求コマンドを監視装置１５又は２５へ送信する機能を有するほか、監視装置１５又は２５側から返信されてくる返信コマンドをコマンド制御処理部１０９へ送る機能を有している。

コマンド制御処理部１０９は、後述する監視データリスト要求コマンド処理部１１１、監視データ削除要求コマンド処理部１１３、欠落データ要求コマンド処理部１１４からの要求コマンドを制御系ＬＡＮインタフェース１０２へ送る機能、それぞれの要求コマンドに対する返信コマンドを各コマンド処理部１１１、１１３、１１４へ送る機能を有している。

ログデータ欠落検知処理部１１２は、設定情報１１５に記述されているタイマー情報に基づき起動し、監視装置１５又は２５に対して行う監視データ要求コマンドの送信要求を監視データリスト要求コマンド処理部１１１に対して実行する。

監視データリスト要求コマンド処理部１１１は、監視装置１５又は２５が保持している監視データリストを要求するコマンドを作成し、作成した要求コマンドをコマンド制御部１０９へ送る。また、監視データリスト要求コマンド処理部１１１は、コマンド制御部１０９から返信されてくる監視データリスト返信コマンドを受信した後、そのコマンド内から監視データリストを抽出し、抽出した監視データリストをログデータ欠落検知処理部１１２へ送る。

ログデータ欠落検知処理部（監視データリスト比較処理部）１１２は、監視データリスト要求コマンド処理部１１１から送られた監視装置１５又は２５側の監視データリストと、自装置（監視センター装置３５）内の監視データリスト記憶部１０８から読み出した監視データリストとの比較処理（監視データリスト比較処理）を行い、送信されてきた監視データリストに欠落がないか否かのログデータ欠落検知処理を実行する。そして、ログデータ欠落検知処理によって欠落しているログデータを検知した場合には、その欠落していると判断されたログデータを欠落データ要求コマンド処理部１１４へ送る。

また、ログデータ欠落検知処理部１１２は、ログデータ欠落検知処理において、監視センター装置３５側の監視データリストの中に監視装置１５又は２５側の監視データリストに存在しないログデータを確認した場合には、その確認されたログデータを削除する要求コマンドを監視データ削除要求コマンド処理部１１３に送る。

欠落データ要求コマンド処理部１１４は、ログデータ欠落検知処理部１１２からの要求に応じて欠落データ要求コマンドを作成し、その作成したコマンドをコマンド制御部１０９へ送る。また、欠落データ要求コマンド処理部１１４は、コマンド制御部１０９から返信されてきた欠落データ返信コマンドを受信した後に、受信した欠落データの中から実データを抽出し、抽出した実データを欠落データ送信処理部１１０へ送る。

欠落データ送信処理部１１０は、欠落データ要求コマンド処理部１１４から送られた実データを制御系ＬＡＮインタフェース１０２へ送る。制御系ＬＡＮインタフェース１０２は、欠落データ送信処理部１１０から送られた実データをログ管理端末３１へ送信する。

監視データ削除要求コマンド処理部１１３は、ログデータ欠落検知処理部１１２からの要求に応じて監視データ削除要求コマンドを作成し、その作成したコマンドをコマンド制御部１０９へ送る。また、監視データ削除要求コマンド処理部１１３は、コマンド制御部１０９から返信されてきた監視データ削除完了コマンドを受信した後、実データ記憶部１０７及び監視データリスト記憶部１０８に記憶されているデータの中から該当するログデータを削除する。

次に、図３に基づいて、監視装置１５、２５の内部構成を説明する。
設定情報部２１３は予め設定された監視装置の各情報が記録されている情報部であり、具体的には、ログ監視対象端末１１，１２、２１〜２３の識別情報（ＩＰアドレス、ポート番号等）等が記述されている。

監視系ＬＡＮインタフェース２０１は、ログ監視対称端末１１，１２、２１〜２３からログ管理端末３１に送信されるログデータを受信する機能を有しており、送信されてくるログデータを監視できる位置、例えば、スイッチのミラーリングポート等に接続されている。

パケット監視処理部２０３は、受信したログデータのパケットを判別する監視パケットフィルタ処理部２０４と、ハッシュ値を算出する監視データリスト作成処理部２０５とを含み構成されている。監視パケットフィルタ処理部２０４は、設定情報２１３に予め設定されているログ監視対象端末１１，１２、２１〜２３のＩＰアドレスやポート番号等の識別子を用いて監視系ＬＡＮインタフェース２０１で受信したパケットを検査し、検査したパケットがデータ記憶部２０６に格納すべきデータ（ログ監視対象のパケット）であるか否かを判別する。尚、ログ監視の対象ではないパケットはここで廃棄される。

ログ監視の対象であると判別されたパケットは、監視データリスト作成処理部２０５に送られる。監視データリスト作成処理部２０５は、パケットのＩＰヘッダ以下を入力として、ＳＨＡ−１、ＳＨＡ−２等のハッシュ計算アルゴリズム関数を用いてハッシュ値を計算する。

データ記憶部２０６は、パケット監視処理部２０３で処理されたデータを格納する記憶部であり、受信インデックス番号と実データ（ハッシュ値に変換されていないログ監視対象のパケットのデータ）を実データ記憶部２０７に、受信インデックス番号とハッシュ値を監視データリスト記憶部２０８に格納する。

制御系ＬＡＮインタフェース２０２は、監視センター装置３５から送信された要求コマンドをコマンド制御処理部２０９へ送る機能を有するほか、要求コマンドに対するコマンド制御処理部２０９からの返信コマンドを監視センター装置３５へ送信する機能を有している。

コマンド制御処理部２０９は、後述する監視データリスト要求コマンド返信処理部２１０、監視データ削除要求コマンド返信処理部２１１、欠落データ要求コマンド返信処理部２１２からの要求コマンドを制御系ＬＡＮインタフェース２０２へ送る機能、及びそれぞれの要求コマンドに対する返信コマンドを各コマンド返却処理部２１０、２１１、２１２へ送る機能を有している。

監視データリスト要求コマンド返信処理部２１０は、監視センター装置３５から送信された監視データリスト要求コマンドを受信した後、この要求コマンドを分析して、指定・要求されたログデータに関する監視データリストを監視データリスト記憶部２０８から読み出す。その後、読み出した監視データリストを含んだ監視データリスト返信コマンドを作成し、作成したこの返信コマンドをコマンド制御処理部２０９に送る。

監視データ削除要求コマンド返信処理部２１１は、監視センター装置３５から送信された監視データ削除要求コマンドを受信した後、この要求コマンドを分析して、指定・要求されたログデータに関する監視データリストを監視データリスト記憶部２０８から削除する。併せて、指定・要求されたログデータに関する実データを実データ記憶部２０７から削除する。また、データの削除完了後に、監視データ削除返信コマンドを作成し、作成したこの返信コマンドをコマンド制御処理部２０９に送る。

欠落データ要求コマンド返信処理部２１２は、監視センター装置３５から送信された欠落データ要求コマンドを受信した後、この要求コマンドを分析して、指定・要求されたログデータに関する実データを実データ記憶部２０７から読み出す。そして、読み出した実データを含んだ欠落データ返信コマンドを作成し、作成したこの返信コマンドをコマンド制御処理部２０９に送る。

次に、図４に基づいて、ログデータの欠落を検知する基本動作シーケンスについて説明する。尚、ここでは図１に示す監視装置１５と監視センター装置３５との間でログデータ欠落検知処理を実行する場合について説明する。

ログ監視対象端末１１からログ管理端末３１にログデータが送信されている。この送信は定期的なものではなく不定期に行われる。ログデータがネットワークＡ１０からネットワークＣ３０に到達するためには、ネットワークＤ４０を経由するものとする。即ち、ログ監視対象端末とログ管理端末との間の通信は、両端末がそれぞれ接続されているネットワークにそれぞれ接続された別のネットワークを経由して行われている。

ログ監視対象端末１１から送信されたログデータは、同じネットワークＡ１０に接続されている監視装置１５によってそのトラフィックが常時監視されており、監視されたログデータは監視装置１５内のデータ記憶部２０６に蓄積されている（ステップＳ１０１）。

また、ログ監視対象端末１１からログ管理端末３１へ送信されたログデータは監視センター装置３５によってそのトラフィックが常時監視されており、監視されたログデータは監視センター装置３５内のデータ記憶部１０６に蓄積されている（ステップＳ１０２）。

ログ監視対象端末１１から送信されたログデータの一部がネットワークＤ４０の経路上で欠落し、ネットワークＣ３０に接続されているログ管理端末３１に到達しなかった場合（ステップＳ１０３）、以下の順序でログデータ欠落検知処理が実行される。

先ず、監視センター装置３５においてログデータの欠落検知処理が開始される（ステップＳ１０４）。監視センター装置３５は“監視データリスト要求コマンド”を監視装置１５へ送信する。

監視センター装置３５からの上記要求コマンドを受信した監視装置１５は、監視データリストの返却処理を行う（ステップＳ１０５）。監視装置１５は、要求された監視データリストを自装置内のデータ記憶部２０６から読み出し、読み出したデータを含む“監視データリスト返信コマンド”を作成して、それを監視センター装置３５へ送信する。

続いて、監視センター装置３５は、自装置内のデータ記憶部１０６から監視データリストを読み出すと共に、当該読み出した監視データリストと上記ステップＳ１０５で返信されてきた監視装置１５の監視データリストとを比較してログデータに欠落があるか否かのログデータ欠落検知処理を実行する（ステップＳ１０６）。

ステップＳ１０６の結果、ログデータ欠落ありと判別された場合（分岐ＹＥＳの場合）には、監視センター装置１５は、“欠落データ要求コマンド”作成しその要求コマンドを監視装置１５へ送信する。これに対して、ステップＳ１０６の結果、ログデータ欠落なしと判別された場合（分岐ＮＯの場合）には、“監視データ削除要求コマンド”を作成しその要求コマンドを監視装置１５に送信する。

監視センター装置１５からの欠落データ要求コマンドを受信した監視装置１５は、欠落データの返却処理を行う（ステップＳ１０７）。監視装置１５は、要求された欠落データを自装置内のデータ記憶部２０６から読み出し、読み出したデータを含む“欠落データ返信コマンド”を監視センター装置３５に返信する。

監視センター装置３５は、返信されてきた欠落データ返信コマンドから欠落データを抽出する（ステップＳ１０８）。監視センター装置３５は、抽出した欠落データをログ管理端末３１へ送信する。欠落データの送信後にステップＳ１０６に戻り、ログデータに欠落があるか否かの検知処理を実行する。

上記したようにステップＳ１０６の結果、ログデータ欠落なしと判別された場合には、監視センター装置３５は、“監視データ削除要求コマンド”を作成し、その要求コマンドを監視装置１５に送信する。

監視装置１５は、監視センター装置３５から要求された監視データを自装置内のデータ記憶部２０６から削除する（ステップＳ１０９）。監視装置１５はデータを削除した後に、監視データ削除返信コマンドを監視センター装置３５に送信する。

監視センター装置３５は、監視装置１５に対して削除要求したデータと同じデータを自装置内のデータ記憶部１０６から削除する（ステップＳ１１０）。

以上でログデータ欠落検知の一連の動作を終了し、次のログデータ欠落検知処理開始時間になったら、再びステップＳ１０４からの処理動作を実行する。

次に、図４に示す動作手順における監視装置１５（２５）及び監視センター装置３５の各内部処理について説明する。
図５は、自装置内に装備するデータ記憶部１０６、２０６に監視対象のログデータを格納する処理のフローチャートを示している。この格納処理は監視装置１５と監視センター装置３５とで共通の処理内容である。以下、監視装置１５を例にとって説明する。

監視系ＬＡＮインタフェース２０１で受信された監視データをここでデータＤ1とおく。データＤ1は、受信したパケットのＩＰヘッダ以下のデータ（パケットＤ1）であるとする。パケットＤ1の受信によりこの処理が開始される（ステップＳ２０１）。

パケット監視処理部２０３は、受信したデータＤ1が監視対象データであるか否かを、予め設定されているログ監視対象端末１１，１２の識別情報（ＩＰアドレス、ポート番号等）に基づいて判別する（ステップＳ２０２）。データＤ1を監視対象データではないと判別した場合、パケット監視処理部２０３はデータＤ1を廃棄する（ステップＳ２０３）。

これに対して、データＤ1を監視対象データであると判別した場合には、パケット監視処理部２０３は、データＤ1を入力とするハッシュ値Ｈ（Ｄ1）を算出する（ステップＳ２０４）。ここで、ハッシュ値を算出するために使用するハッシュ関数は、ＳＨＡ−１、ＳＨＡ−２等の既知のアルゴリズムを使用することができる。あるいは、独自に考案したアルゴリズムを使用してもよい。但し、監視装置１５（２５）と監視センター装置３５とで使用するハッシュ関数は同じアルゴリズムを使用しなければならない。

パケット監視処理部２０３は、データＤ1と算出したハッシュ値Ｈ（Ｄ1）とを、データ記憶部２０６の実データ記憶部２０７と監視データリスト記憶部２０８とに格納する（ステップＳ２０５）。

図６は、データ記憶部２０６に格納されたデータＤ1とハッシュ値Ｈ（Ｄ1）を示す。データ記憶部と監視データリストのデータベーステーブル構造である。データテーブルは、監視対象ＩＰアドレス２０７Ａとポート番号２０７Ｂの組み合わせ毎に保持される。順序番号２０８Ａは、監視装置１５、２５または監視センター装置３５が受信したパケットの順番を示している。順序番号とデータ番号（Ｄ1、2、3・・・）が相違するのは、監視装置１５、２５側のネットワークから送信されたパケットの順番と、監視センター装置３５側のネットワークに到達するパケットの順番とは異なる可能性があるためである。

データ記憶部２０６は、実データ記憶部２０７と、監視データリスト記憶部２０８とから構成されている。また、監視対象となる監視対象端末１５のＩＰアドレス２０７Ａ、ポート番号２０７Ｂ、データＤ1（ＩＰヘッダ以降のデータ）２０７Ｃ、受信した順番を示すインデックス番号２０８Ａ、及びハッシュ値Ｈ（Ｄ1）２０８Ｂの組み合わせを格納している。

ここで、監視データリストとは、データ記憶部から監視データリスト記憶部のデータを読み出したリストである。
以降の処理においても制御コマンドの送受信が発生するが、制御コマンドに関する通信は、すべて監視センター装置３５の制御系ＬＡＮインタフェース１０２と、監視装置１５の制御系ＬＡＮインタフェース２０２の間で送受信が行われる。
また、監視センター装置３５から送信される制御コマンドの送受信状態により、ログデータ欠落検知処理は状態遷移するが、その状態リストは図７に示すとおりである。尚、監視装置１５は、監視センター装置３５からの制御コマンド（要求コマンド）に対してそれぞれ適切な処理を実行した後にその返信コマンドを送信するのみであり、状態遷移は発生しない。

図８は、監視センター装置３５におけるログデータ欠落検知の処理開始時のフローチャートである。
監視センター装置３５においてログデータ欠落検知処理を実行する時間になったとき、ログデータ欠落検知処理部１１２は監視データリスト要求コマンドの処理を開始する（ステップＳ３０１）。この処理は、図４におけるステップＳ１０４に該当する。尚、ログデータ欠落検知処理の開始時間のタイミングはタイマー処理等を用いることができる。

処理が開始されると、ログデータ欠落検知処理自体の状態遷移が発生し、“イベント待ち（状態Ｅ）”から“監視データリスト要求コマンドを送信可能状態（状態Ａ０）”に遷移する（ステップＳ３０２：状態遷移は図７参照）。

続いて、監視センター装置３５は、要求する監視データリストの監視対象ログデータのレコード個数Ｘを指定する。そして、監視データリストＬＡを要求する“監視データリスト要求コマンド”を作成し監視装置１５又は２５へ送信する（ステップＳ３０３）。

これにより、ログデータ欠落検知処理の状態遷移が発生し、“監視データリスト要求コマンドを送信可能状態（状態Ａ０）”から“監視データリスト返信受信待ち（状態Ａ１）”に遷移する（ステップＳ３０４）。

図９は、監視データリスト要求コマンドに対する監視装置１５（２５）の返信処理のフローチャートである。
監視センター装置３５からの“監視データリスト要求コマンド”を受信したとき、監視装置１５（２５）は返信処理を開始する（ステップＳ４０１）。

受信した“監視データリスト要求コマンド”を分析し、そのコマンド中に記述されている要求データのＸ個のデータについて監視データリスト記憶部２０８からデータを読出し、監視データリストＬＡを作成する（ステップＳ４０２）。この処理は、図４におけるステップＳ１０５に該当する。

続いて、監視装置１５（２５）は、監視データリストＬＡを含む“監視データリスト返信コマンド”を作成し、作成したこの返信コマンドを監視センター装置３５へ送信する（ステップＳ４０３）。

図１０は、監視センター装置３５における監視データリスト返信コマンド処理のフローチャートである。
この処理は、監視センター装置３５が監視装置１５（２５）からの“監視データリスト返信コマンド”を受信したときに開始される。監視センター装置３５は受信した“監視データリスト返信コマンド”を分析し、返信コマンドの中から監視データリストＬＡを抽出する（ステップＳ３１２）。

続いて、抽出した監視データリストＬＡに基づいて、データ比較欠落検知処理が開始される（ステップＳ３１３）。

図１１は、監視センター装置３５における監視データリストの比較による欠落検知処理のフローチャートである。
データ比較欠落検知処理では、監視装置１５（２５）から取得した監視データリストＬＡと監視センター装置３５内に格納されている監視データリストＬＣとの比較処理が実行される（ステップＳ３１３）。

監視装置１５（２５）の監視データリストＬＡ２２０は、ｎ個のレコードを有しており、ハッシュ値をＨ（ＡX）、Ｘ＝１〜ｎとする（ステップＳ３２１、３２２）。これに対して、監視センター装置３５の監視データリストＬＣ１２０は、ｍ個のレコードを有しており、ハッシュ値をＨ（ＣY）、Ｙ＝１〜ｍとする（ステップＳ３２３、３２４）。

Ｘ＝１〜ｎに対して、式Ｈ（ＡX）==Ｈ（ＣY）（Ｙ＝１〜ｍ）を評価する（ステップＳ３２５、３２６）。

Ｈ（ＡX）に等しいハッシュ値が監視データリストＬＣ中に見つからなかった場合には、Ｈ（ＡX）を欠落したデータであると判定して“欠落データ要求コマンド”に書き込む（ステップＳ３２７）。そして欠落データ要求フラグを有効（ＯＮ）にする（ステップＳ３２８）。

上記の処理をＸ=１〜ｎに対して繰り返し実行することにより、“欠落データ要求コマンド”には、監視データリストＬＡに存在して監視データリストＬＣに存在しないデータのハッシュ値が書き込まれることになる（ステップＳ３２９〜３３２）。この処理によって、ネットワークＡに接続されている監視装置１５によって監視されたログデータが、ネットワークＣに接続されている監視センター装置３５によっては監視されなかったと判定し、ログデータが欠落したと判定する。

監視データリストトＬＡと監視データリストＬＣとの比較処理を終了した後において、欠落データ要求送信フラグが有効（ＯＮ）か否かの判定を行う（ステップＳ３３３）。判定の結果、欠落データ要求送信フラグが有効（ＯＮ）の場合には、“欠落データ要求コマンド”を作成し、作成したこの要求コマンドを監視センター装置３５から監視装置１５へ送信する（ステップＳ３３４）。これによりログデータ欠落検知処理の状態遷移が発生し、“監視データリスト返信受信待ち（状態Ａ１）”から“欠落データ返信 受信待ち（状態Ｂ）”に遷移する（ステップＳ３３５）。

これに対してステップＳ３３３の判定結果、欠落データ要求フラグが無効（ＯＦＦ）の場合には、ステップＳ３１２（図１０）の処理で取得している監視データリストＬＡに含まれるデータと同じデータに対する“監視データ削除要求コマンド”を作成し、監視センター装置３５から監視装置１５へ送信する（ステップＳ３３６）。これによりログデータ欠落検知処理の状態遷移が発生し、“監視データリスト返信受信待ち（状態Ａ１）”から“監視データ削除返信 受信待ち（状態Ｃ）”に遷移する（ステップＳ３３７）。

図１２は、欠落データ要求コマンドに対する監視装置１５（２５）の返信処理のフローチャートである。
この処理は、監視装置１５（２５）が、監視センター装置３５からの“欠落データ要求コマンド”を受信したときに処理が開始される（ステップＳ４１１）。

監視装置１５（２５）は、受信した“欠落データ要求コマンド”を分析し、分析したこの要求コマンドからハッシュ値を抽出して、要求されたハッシュ値を有するログデータを実データ記憶部２０７から読み出す。さらに要求されているログデータを全て読み出す（ステップＳ４１２）。

続いて、監視装置１５（２５）は、読み出したデータから“欠落データ返信コマンド”を作成し、作成した“欠落データ返信コマンド”を監視センター装置３５へ送信する（ステップＳ４１３）。この処理は図４のステップＳ１０７に該当する。

図１３は、監視センター装置３５における欠落データ送信処理のフローチャートである。
この処理は、監視センター装置３５が監視装置１５（２５）から“欠落データ返信コマンド”を受信したときに開始される（ステップＳ３４１）。受信した“欠落データ返信コマンド”を分析し、分析したこの返信コマンドからログデータＤを抽出する（ステップＳ３４３）。この処理は図４のステップＳ１０８に該当する。

監視センター装置３５は、抽出したログデータＤをログ管理端末３１へ送信する（ステップＳ３４４）。欠落データ返信コマンド内にある全ての欠落データをログ管理端末３１に送信したか判別し、送信していない場合には、再度、欠落データ返信コマンドからログデータＤを抽出しログ管理端末３１へ送信する処理を繰り返す（ステップＳ３４２からＳ３４５）。

欠落データ返信コマンドに含まれている全てのログデータをログ管理端末３１に送信し終えたら、ステップＳ３１２（図１０）で取得した監視データリストＬＡに含まれるデータと同じデータに対する“監視データ削除要求コマンド”を作成し、作成したこの削除要求コマンドを監視センター装置３５から監視装置１５（２５）へ送信する（ステップＳ３４６）。これによりログデータ欠落検知処理の状態遷移が発生し、“欠落データ返信受信待ち（状態Ｂ）”から“監視データ削除返信 受信待ち（状態Ｃ）”に遷移する（ステップＳ３４７）。

図１４は、監視データ削除要求コマンドに対する監視装置１５（２５）の返信処理のフローチャートである。
この処理は、監視装置１５（２５）が監視センター装置３５からの“監視データ削除要求コマンド”を受信したときに開始される（ステップＳ４２１）。

監視装置１５（２５）は、受信した“監視データ削除要求コマンド”を分析し、削除の要求をされているログデータをデータ記憶部２０６から削除する（ステップＳ４２２）。この処理は図４のステップＳ１０９に該当する。

続いて、監視装置１５（２５）は、“監視データ削除返信コマンド”を作成し、作成したこの削除返信コマンドを監視センター装置３５へ送信する（ステップＳ４２３）。

図１５は、監視センター装置３５における監視データ削除処理のフローチャートである。
この処理は、監視センター装置３５が、監視装置１５（２５）から監視データの削除を完了したことを示す“監視データ削除返信コマンド”を受信したときに開始される（ステップＳ４２３）。

監視センター装置３５は、ステップＳ３３６（図１１）及びステップＳ３４６（図１３）の処理における“監視データ削除要求コマンド”で監視装置１５（２５）に対して削除要求したログデータと同じデータを監視センター装置３５内のデータ記憶部１０６から削除する（ステップＳ３５２）。この処理は図４のステップＳ１１０に該当する。

これによりログデータ欠落検知処理の状態遷移が発生し、“監視データ削除返信 受信待ち（状態Ｃ）”から“イベント待ち（状態Ｅ）”に遷移する（ステップＳ３５３）。

以上の処理をログデータ欠落検知処理のタイミングにより繰り返すことにより、ログ監視対象端末１１，１２、２１〜２３からログ管理端末３１へのログデータの到達性を保証できる。

このような構成を有する実施形態によれば、ＵＤＰを使用してログ管理を行っているシステムにおいて既存ネットワークへのトラフィックの増加を抑えつつログデータの到達性を保証することができる。これは、監視装置および監視センター装置によってログデータに関する通信を監視し、それぞれの装置におけるログデータの監視状況を比較して、ログデータの欠落検知処理を実行しているからである。また、ログデータのサイズは大小様々でありログデータ欠落検知処理時に実ログデータを送受信すると過大なトラフィックが発生してしまうため、本実施形態ではデータ比較にハッシュ値を用いており、これにより監視装置と監視センター装置間のトラフィックを抑制できるからである。そして、欠落したデータのみ(必要なデータのみ)を監視装置から取得し、そのログデータをログ管理端末へ送信してログデータを補完しているからである。

また、既存のログ管理システムへの通信方法やネットワーク構成の変更が困難な場合、あるいは、監視しているログ監視対象端末の台数が非常に多いログ管理システムを使用している場合にその導入コスト削減を期待することができる。これは、監視装置はログ監視対象端末の通信を監視できる位置に、監視センター装置はログ管理端末の通信を監視できる位置にそれぞれ接続するだけでよく、既存のログ監視対象端末およびログ管理端末の通信方法の変更やネットワーク構成の変更の必要がないため、システム管理者の作業を軽減することができるからである。

ここで、本発明の実施の形態に係るネットワーク用通信管理装置の各構成部分が実行する機能の一部又は全部を他の実現方式としてプログラム化し、そのプログラムをコンピュータに実行させるようにしてもよい。その場合にも上記実施の形態で記載した効果と同様の効果を得ることができる。

上述した各実施形態については、その新規な技術的内容の要点をまとめると、以下のようになる。尚、上記実施形態の一部又は全部は、新規な技術として以下のようになるが、本発明は必ずしもこれに限定されるものではない。

（付記１）ネットワークに接続されているログ監視対象端末からログ管理端末へトランスポート層のＵＤＰ上で管理プロトコルとして動作するＳyslogやＳＮＭＰ等を使用してログデータの送信を行い、当該送信における前記ログ監視対象端末とログ管理端末との間で欠落したログデータを検知するログデータ欠落検知用のネットワーク管理システムであって、
前記ログ監視対象端末が接続されているネットワークの当該ログ監視対象端末が送信するログデータのパケットを監視できる位置に接続される監視装置と、
前記ログ管理端末が接続されているネットワークの当該ログ管理端末が受信するログデータのパケットを監視できる位置に接続される監視センター装置とを備え、
前記監視センター装置は、
前記監視装置が監視した前記ログ監視対象端末の送信パケットからなる送信側監視データリストと当該監視センター装置が監視した前記ログ監視対象端末から送信されて前記ログ管理端末が受信した受信パケットからなる受信側監視データリストとを比較して送受信間のパケットの欠落の有無を判定する監視データリスト比較処理部と、
前記監視データリスト比較処理部による判定の結果、パケットの欠落が有ると判定された場合には、当該欠落したパケットを前記ログ管理端末に送信する欠落データ送信処理部とを備えていることを特徴とするログデータ欠落検知用のネットワーク管理システム。

（付記２）付記１に記載のログデータ欠落検知用のネットワーク管理システムにおいて、
さらに、前記監視センター装置は、
前記監視データリスト比較処理部の比較処理に必要な前記送信側監視データリストを前記監視装置に対して要求する監視データリスト要求コマンド処理部と、
前記パケットの欠落が有ると判定された場合に、当該欠落したパケットを前記監視装置に対して要求すると共に、当該要求に応じて前記監視装置から返信された欠落パケットを受信し当該受信した欠落パケットを前記欠落データ送信処理部に送信する欠落データ要求コマンド処理部とを備えていることを特徴とするログデータ欠落検知用のネットワーク管理システム。

（付記３）付記２に記載のログデータ欠落検知用のネットワーク管理システムにおいて、
前記監視装置は、
前記監視データリスト要求コマンド処理部から要求される送信側監視データリストを予め記憶しておいた記憶部から読み出すと共に当該読み出した送信側監視データリストを前記監視センター装置に返信する監視データリスト要求コマンド返信処理部と、
前記欠落データ要求コマンド処理部から要求される欠落パケットを予め記憶しておいた記憶部から読み出すと共に当該読み出した欠落パケットを前記監視センター装置に返信する欠落データ要求コマンド返信処理部とを備えていることを特徴とするログデータ欠落検知用のネットワーク管理システム。

（付記４）付記１から３のいずれか１つに記載のログデータ欠落検知用のネットワーク管理システムにおいて、
前記監視装置及び監視センター装置は、前記各ネットワークに設けられたネットワークスイッチのミラーリングポートに接続されていることを特徴とするログデータ欠落検知用のネットワーク管理システム。

（付記５）付記１から４のいずれか１つに記載のログデータ欠落検知用のネットワーク管理システムにおいて、
前記送信側監視データリスト及び受信側監視データリストは、前記ログ監視対象端末が送信したパケットのデータ及び前記ログ管理端末が受信したパケットのデータを入力として算出したハッシュ値のリストであり、当該ハッシュ値を算出するための監視データリスト作成処理部が前記監視装置及び監視センター装置に設けられていることを特徴とするログデータ欠落検知用のネットワーク管理システム。

（付記６）ネットワークに接続されているログ監視対象端末からログ管理端末へトランスポート層のＵＤＰ上で管理プロトコルとして動作するＳyslogやＳＮＭＰ等を使用してログデータの送信を行い、当該送信における前記ログ監視対象端末とログ管理端末との間で欠落したログデータを検知するログデータ欠落検知用のネットワーク管理システムにあって、
前記ログ監視対象端末が接続されているネットワークに接続された監視装置が、当該ログ監視対象端末から送信されるログデータのパケットを監視し、
前記ログ管理端末が接続されているネットワークに接続された監視センター装置が、前記ログ監視対象端末から送信されて当該ログ管理端末に受信されるログデータのパケットを監視し、
前記監視センター装置に装備された監視データリスト比較処理部が、前記監視装置が監視した前記ログ監視対象端末の送信パケットからなる送信側監視データリストと当該監視センター装置が監視した前記ログ監視対象端末から送信されて前記ログ管理端末が受信した受信パケットからなる受信側監視データリストとを比較して送受信間のパケットの欠落の有無を判定し、
前記監視データリスト比較処理部による判定の結果、パケットの欠落が有ると判定された場合には、前記監視センター装置に装備された欠落データ送信処理部が、当該欠落したパケットを前記ログ管理端末に送信するようにしたことを特徴とするログデータ欠落検知用のネットワーク管理方法。

（付記７）付記６に記載のログデータ欠落検知用のネットワーク管理方法において、
前記監視センター装置に装備された監視データリスト要求コマンド処理部が、前記監視データリスト比較処理部の比較処理に必要な前記送信側監視データリストを前記監視装置に対して要求し、
前記監視データリスト比較処理部による判定の結果、パケットの欠落が有ると判定された場合には、当該欠落したパケットを前記監視装置に対して要求し、当該要求に応じて前記監視装置から返信された欠落したパケットを前記欠落データ送信処理部に送信する、当該要求、及び送信の各処理動作を前記監視センター装置に装備された欠落データ要求コマンド処理部が実行するようにしたことを特徴とするログデータ欠落検知用のネットワーク管理方法。

（付記８）付記７に記載のログデータ欠落検知用のネットワーク管理方法において、
前記監視データリスト要求コマンド処理部から要求される送信側監視データリストを予め記憶しておいた記憶部から読み出し、当該読み出した送信側監視データリストを前記監視センター装置に返信する、当該読み出し、及び返信する各動作処理を前記監視装置に装備された監視データリスト要求コマンド返信処理部が実行し、
前記欠落データ要求コマンド処理部から要求される欠落したパケットを予め記憶しておいた記憶部から読み出し、当該読み出した欠落したパケットを前記監視センター装置に返信する、当該読み出し、及び返信する各動作処理を前記監視装置に装備された欠落データ要求コマンド返信処理部が実行するようにしたことを特徴とするログデータ欠落検知用のネットワーク管理方法。

（付記９）ネットワークに接続されているログ監視対象端末からログ管理端末へトランスポート層のＵＤＰ上で管理プロトコルとして動作するＳyslogやＳＮＭＰ等を使用してログデータの送信を行い、当該送信における前記ログ監視対象端末とログ管理端末との間で欠落したログデータを検知するログデータ欠落検知用のネットワーク管理システムにあって、
前記ログ監視対象端末から送信されて当該ログ管理端末に受信されるログデータのパケットを監視するログ管理端末パケット監視機能、
前記監視装置が監視した前記ログ監視対象端末から送信されるログデータのパケットからなる送信側監視データリストと前記監視センター装置が監視した前記ログ管理端末に受信されたパケットからなる受信側監視データリストとを比較して送受信間のパケットの欠落の有無を判定する監視データリスト比較判定機能、
前記監視データリスト比較判定機能による比較判定の結果、パケットの欠落が有ると判定された場合に、当該欠落したパケットを前記監視センター装置に要求し当該監視センター装置から送信されてきた前記欠落したパケットを前記ログ管理端末に送信する欠落データ送信機能を設け、
これらの機能をコンピュータに実現させるようにしたことを特徴とするログデータ欠落検知用のネットワーク管理プログラム。

例えば、ＵＤＰを使用したログ管理システム等のデータ到達性を保証する必要があるシステムへの用途に利用可能である。

１ （ログデータの欠落を検知する）ネットワーク管理システム
１０ ネットワークＡ
１１，１２，２１〜２３ ログ監視対称端末
１５，２５ 監視装置
２０ ネットワークＢ
３０ ネットワークＣ
３１ ログ管理端末
３５ 監視センター装置
４０ ネットワークＤ
１０３，２０３ パケット監視処理部
１０６，２０６ データ記憶部
１１２ ログデータ欠落検知処理部（監視データリスト比較処理部）

Claims (9)

1. ネットワークに接続されているログ監視対象端末からログ管理端末へトランスポート層のＵＤＰ上で管理プロトコルとして動作するＳyslogやＳＮＭＰ等を使用してログデータの送信を行い、当該送信における前記ログ監視対象端末とログ管理端末との間で欠落したログデータを検知するログデータ欠落検知用のネットワーク管理システムであって、
   前記ログ監視対象端末が接続されているネットワークの当該ログ監視対象端末が送信するログデータのパケットを監視できる位置に接続される監視装置と、
   前記ログ管理端末が接続されているネットワークの当該ログ管理端末が受信するログデータのパケットを監視できる位置に接続される監視センター装置とを備え、
   前記監視センター装置は、
   前記監視装置が監視した前記ログ監視対象端末の送信パケットからなる送信側監視データリストと当該監視センター装置が監視した前記ログ監視対象端末から送信されて前記ログ管理端末が受信した受信パケットからなる受信側監視データリストとを比較して送受信間のパケットの欠落の有無を判定する監視データリスト比較処理部と、
   前記監視データリスト比較処理部による判定の結果、パケットの欠落が有ると判定された場合には、当該欠落したパケットを前記ログ管理端末に送信する欠落データ送信処理部とを備えていることを特徴とするログデータ欠落検知用のネットワーク管理システム。
2. 請求項１に記載のログデータ欠落検知用のネットワーク管理システムにおいて、
   さらに、前記監視センター装置は、
   前記監視データリスト比較処理部の比較処理に必要な前記送信側監視データリストを前記監視装置に対して要求する監視データリスト要求コマンド処理部と、
   前記パケットの欠落が有ると判定された場合に、当該欠落したパケットを前記監視装置に対して要求すると共に、当該要求に応じて前記監視装置から返信された欠落パケットを受信し当該受信した欠落パケットを前記欠落データ送信処理部に送信する欠落データ要求コマンド処理部とを備えていることを特徴とするログデータ欠落検知用のネットワーク管理システム。
3. 請求項２に記載のログデータ欠落検知用のネットワーク管理システムにおいて、
   前記監視装置は、
   前記監視データリスト要求コマンド処理部から要求される送信側監視データリストを予め記憶しておいた記憶部から読み出すと共に当該読み出した送信側監視データリストを前記監視センター装置に返信する監視データリスト要求コマンド返信処理部と、
   前記欠落データ要求コマンド処理部から要求される欠落パケットを予め記憶しておいた記憶部から読み出すと共に当該読み出した欠落パケットを前記監視センター装置に返信する欠落データ要求コマンド返信処理部とを備えていることを特徴とするログデータ欠落検知用のネットワーク管理システム。
4. 請求項１から３のいずれか１項に記載のログデータ欠落検知用のネットワーク管理システムにおいて、
   前記監視装置及び監視センター装置は、前記各ネットワークに設けられたネットワークスイッチのミラーリングポートに接続されていることを特徴とするログデータ欠落検知用のネットワーク管理システム。
5. 請求項１から４のいずれか１項に記載のログデータ欠落検知用のネットワーク管理システムにおいて、
   前記送信側監視データリスト及び受信側監視データリストは、前記ログ監視対象端末が送信したパケットのデータ及び前記ログ管理端末が受信したパケットのデータを入力として算出したハッシュ値のリストであり、当該ハッシュ値を算出するための監視データリスト作成処理部が前記監視装置及び監視センター装置に設けられていることを特徴とするログデータ欠落検知用のネットワーク管理システム。
6. ネットワークに接続されているログ監視対象端末からログ管理端末へトランスポート層のＵＤＰ上で管理プロトコルとして動作するＳyslogやＳＮＭＰ等を使用してログデータの送信を行い、当該送信における前記ログ監視対象端末とログ管理端末との間で欠落したログデータを検知するログデータ欠落検知用のネットワーク管理システムにあって、
   前記ログ監視対象端末が接続されているネットワークに接続された監視装置が、当該ログ監視対象端末から送信されるログデータのパケットを監視し、
   前記ログ管理端末が接続されているネットワークに接続された監視センター装置が、前記ログ監視対象端末から送信されて当該ログ管理端末に受信されるログデータのパケットを監視し、
   前記監視センター装置に装備された監視データリスト比較処理部が、前記監視装置が監視した前記ログ監視対象端末の送信パケットからなる送信側監視データリストと当該監視センター装置が監視した前記ログ監視対象端末から送信されて前記ログ管理端末が受信した受信パケットからなる受信側監視データリストとを比較して送受信間のパケットの欠落の有無を判定し、
   前記監視データリスト比較処理部による判定の結果、パケットの欠落が有ると判定された場合には、前記監視センター装置に装備された欠落データ送信処理部が、当該欠落したパケットを前記ログ管理端末に送信するようにしたことを特徴とするログデータ欠落検知用のネットワーク管理方法。
7. 請求項６に記載のログデータ欠落検知用のネットワーク管理方法において、
   前記監視センター装置に装備された監視データリスト要求コマンド処理部が、前記監視データリスト比較処理部の比較処理に必要な前記送信側監視データリストを前記監視装置に対して要求し、
   前記監視データリスト比較処理部による判定の結果、パケットの欠落が有ると判定された場合には、当該欠落したパケットを前記監視装置に対して要求し、当該要求に応じて前記監視装置から返信された欠落したパケットを前記欠落データ送信処理部に送信する、当該要求、及び送信の各処理動作を前記監視センター装置に装備された欠落データ要求コマンド処理部が実行するようにしたことを特徴とするログデータ欠落検知用のネットワーク管理方法。
8. 請求項７に記載のログデータ欠落検知用のネットワーク管理方法において、
   前記監視データリスト要求コマンド処理部から要求される送信側監視データリストを予め記憶しておいた記憶部から読み出し、当該読み出した送信側監視データリストを前記監視センター装置に返信する、当該読み出し、及び返信する各動作処理を前記監視装置に装備された監視データリスト要求コマンド返信処理部が実行し、
   前記欠落データ要求コマンド処理部から要求される欠落したパケットを予め記憶しておいた記憶部から読み出し、当該読み出した欠落したパケットを前記監視センター装置に返信する、当該読み出し、及び返信する各動作処理を前記監視装置に装備された欠落データ要求コマンド返信処理部が実行するようにしたことを特徴とするログデータ欠落検知用のネットワーク管理方法。
9. ネットワークに接続されているログ監視対象端末からログ管理端末へトランスポート層のＵＤＰ上で管理プロトコルとして動作するＳyslogやＳＮＭＰ等を使用してログデータの送信を行い、当該送信における前記ログ監視対象端末とログ管理端末との間で欠落したログデータを検知するログデータ欠落検知用のネットワーク管理システムにあって、
   前記ログ監視対象端末から送信されて当該ログ管理端末に受信されるログデータのパケットを監視するログ管理端末パケット監視機能、
   前記監視装置が監視した前記ログ監視対象端末から送信されるログデータのパケットからなる送信側監視データリストと前記監視センター装置が監視した前記ログ管理端末に受信されたパケットからなる受信側監視データリストとを比較して送受信間のパケットの欠落の有無を判定する監視データリスト比較判定機能、
   前記監視データリスト比較判定機能による比較判定の結果、パケットの欠落が有ると判定された場合に、当該欠落したパケットを前記監視センター装置に要求し当該監視センター装置から送信されてきた前記欠落したパケットを前記ログ管理端末に送信する欠落データ送信機能を設け、
   これらの機能をコンピュータに実現させるようにしたことを特徴とするログデータ欠落検知用のネットワーク管理プログラム。

Images