JP6134437B2 - データ転送監視システム、データ転送監視方法、および拠点システム - Google Patents

Description

本発明はデータを転送するシステムを監視する技術に関する。

多数のセンサやネットワーク装置等から逐次生み出される大量な時系列データをネットワーク越しに高速に転送するために、細かな複数のデータを纏めて一度に転送する技術が知られている。例えば、特許文献１には、データ転送要求を受信しても、データをすぐに転送せずに、一定期間待機し、当該期間内に他のデータ転送要求を受信した場合、それらデータ転送要求のデータをまとめて一度に送信する技術が開示されている。

ＵＳ２００９／０００６４２１Ａ１、“Ｍｅｔｈｏｄｓ ａｎｄ Ｓｙｓｔｅｍｓ ｆｏｒ Ｒａｐｉｄ Ｄａｔａ Ａｃｑｕｉｓｉｔｉｏｎ ｏｖｅｒ Ｔｈｅ Ｉｎｔｅｒｎｅｔ”，Ａｐｐｌｅ Ｉｎｃ．（２００９）

大量な時系列データをネットワーク越しに送信する場合、ユーザもしくはアプリケーションが所望するデータのみをまとめて一度に効率よく送信することが望ましい。特許文献１の先行技術を時系列データで効果的に用いるには、なるべく時系列データを細かく格納しておき、ユーザの要求に応じて当該細かく刻んだデータをひとまとめにして一度に送信すれば良い。しかし、大量に発生する時系列データをファイルとして保存する場合、ファイルサーバに格納できるファイル数の上限により正しくデータを保存できないケースが発生する。

また、一般的に、時系列データに異常が発生すると、当該異常発生の前後一定時間内のデータは、当該異常との関係性が高いため、一度に転送することが望ましい。しかし、時間が遠くなるほど関連性が低くなる。また、大量のセンサや機器が設置されている環境では、なるべく無駄なデータは収集したくない。そのため、当該異常発生の前後のデータについて、少しずつ収集したいというニーズもある。

本発明の目的は、データの記憶容量と転送容量を抑制しつつ、監視のための所望のデータを転送することを可能にする技術を提供することである。

本発明の一態様によるデータ転送監視システムは、データの記録および送受信を行う拠点システムと、前記拠点システムとネットワークを介して接続され、前記拠点システムを監視するセンタシステムと、を有し、前記拠点システムは、送受信するデータに対するリアルタイム分析でアラートを検知し、アラート発生時刻を含む所定の収集対象時間内にあるデータである収集対象データを特定するインデックスを生成し、前記収集対象データと前記インデックスを関連付けて時系列データテーブルに記録し、アラート識別情報と前記インデックスを関連付けてインデックス特定テーブルに格納し、前記アラート識別情報を前記センタシステムに送信し、前記センタシステムは、前記アラート識別情報を受信すると、前記アラート識別情報を指定して、収集対象データを要求するためのデータ要求を前記拠点システムに送信し、前記拠点システムは、前記データ要求を受信すると、指定された前記アラート識別情報に関連付いたインデックスを前記インデックス特定テーブルの検索により取得し、前記インデックスで特定される収集対象データを前記時系列データテーブルから取得して前記センタシステムに送信し、前記センタシステムは、前記収集対象データを受信すると、前記収集対象データを記録する。

本発明によれば、データ転送を監視するシステムにおいて、データの記憶容量と転送容量を抑制しつつ、監視のための所望のデータを転送することが可能になる。

データ転送システムの概要ブロック図である。 拠点およびネットワーク監視センタの内部構成を示すブロックである。 拠点に蓄積される時系列データのテーブルの一例を示す図である。 拠点で計測されるメトリックデータのテーブルの一例を示す図である。 拠点で生成されるアラートテーブルの一例を示す図である。 拠点で生成されるインデックス特定テーブルの一例を示す図である。 ネットワーク監視センタに保持される拠点−機器テーブルの一例を示す図である。 データ収集サーバ２００のタイムレンジ入力部２０８によって提供されるタイムレンジ入力画面８００の一例を示す図である。 インデックス算出処理の一例を示すフローチャートである。 ブロックアクセスデータを対象としたインデックス算出処理のフローチャートである。 ネットワーク監視センタ２０内のデータ収集サーバ２００と、各拠点１０内のデータ送信サーバ１２０によるファイル収集処理を示すフローチャートである。 ファイルアクセスデータを対象としたインデックス算出処理のフローチャートである。拠点１０にファイルアクセスのストレージが用いられている場合が想定される。 各拠点１０のインデックス算出サーバ１１０によるタイムレンジ変更処理の一例を示すフローチャートである。 アラームを検知した拠点１０と異なる拠点１０においても同じタイムレンジでパケットデータを取得できるようにする処理を示すフローチャートである。 アラートを検知した複数の拠点１０におけるタイムレンジを整合させてパケットデータを取得できるようにする処理を示すフローチャートである。

以下、図面を参照しながら、本発明の実施例について説明する。

なお、以後の説明では、「ａａａテーブル」等の表現にて情報を説明することがあるが、これらの情報は必ずしもテーブル等のデータ構造である必要はなく、それ以外の形式で表現されていてもよい。データ構造に依存しないことを示すために、「ａａａテーブル」等を「ａａａ情報」等と呼ぶことがある。また、各情報の内容を説明する際に、「番号」、「名称」という表現の識別情報が採用されるが、これは一例であり、他の種類の識別情報が使用されて良い。

また、これ以後の説明では、「ｂｂ部」を主語として説明を行う場合がある。しかし、これら機能部は、プロセッサがメモリ及び通信ポート（ネットワークインタフェース）を用いながら処理を実行することで実現されるものであるため、同じことを、プロセッサを主語とした説明することもできる。また、これら機能部を主語として説明される処理は、監視システム等の計算機が行う処理といってもよい。

また、これら機能部の一部または全ては、専用ハードウェアによって実現されてもよい。また、各種機能部は、プログラム配布サーバあるいは計算機が読み取り可能な記憶媒体によって、各計算機にインストールされるソフトウェアプログラムで実現されてもよい。その場合、各種機能部およびサーバが１つの同じ計算機にインストールされ、実行されても良いし、それらが複数の計算機に分けてインストールされ、実行されても良い。

また、これ以後の説明では、複数の同種の要素の参照符号は、同一の親番号と異なる子符号の組合せで示す。同種の要素を区別しないで説明する場合には、参照符号のうちの親番号のみを用いて説明し、同種の要素を区別して説明する場合には、参照符号を用いて説明することがある。

なお、以下の全ての実施形態および実施例において、ネットワークパケットデータを時系列データとして採用し、当該ネットワークパケットを監視するユースケースに沿って説明する。しかし、これら実施形態または実施例は、本発明の説明のための例示であり、本発明の範囲をそれらの実施形態または実施例のみに限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。

まず、本発明の実施形態の概略について説明する。

図１は、データ転送システムの概要ブロック図である。

図２は、拠点およびネットワーク監視センタの内部構成を示すブロックである。

図１を参照すると、ネットワーク監視センタ２０がＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）３０によって複数の拠点１０と接続されている。ＷＡＮ３０は、例えば、インターネット網、専用線、又はそれらの組み合わせである。このような環境において、ネットワーク監視センタ２０が複数の拠点１０を監視する。また、図１には、ある拠点１０において、ネットワーク応答時間が閾値を超えてアラートが発生する様子が示されている。

図２を参照すると、拠点１０には、インデックスが付された時系列データを蓄積する時系列データテーブル３００、各種のメトリックを蓄積するメトリックテーブル４００、検知されたアラートのアラートＩＤを蓄積するアラートテーブル５００、およびアラートＩＤからインデックスを特定するためのインデックス特定テーブル６００が配置されている。

各拠点１０から他の拠点１０に向けて大量のパケットデータが逐次送信されている。各拠点１０では、時系列データテーブル３００に、パケットデータの送受信の履歴が時系列に蓄積される。

また、各拠点１０では、パケットデータの送受信において、応答時間、エラー率、スループットなどの各種メトリックの値が算出され、メトリックテーブル４００に記録される。

図１に示すように、各拠点１０では、このメトリックデータの値はしきい値と比較される。メトリックの値がしきい値を超えると、拠点１０はアラートを生成し、アラートテーブル５００に記録するとともに、ネットワーク監視センタ２０に通知する。

ネットワーク監視センタ２０は、ＷＡＮ３０の健全性を監視しており、拠点１０からアラートを受信すると、当該アラートが発生した原因の分析を行う。その際、アラートの原因分析を行うために、各拠点１０が送受信したパケットデータを収集する必要がある。そのとき、必要な分のパケットデータを、できるだけ短時間に収集するのが好ましい。

本実施形態では、アラート発生前後のネットワークパケットのデータをアラート発生日時からの時間に応じて分類する。

アラートの発生時刻の直前および直後の所定時間内のデータはアラートとの関係が強い可能性が高いため、必ず収集すべきと考えられる。図１において、アラート発生時刻ｔ０の前後の時間ｔ１内のデータは、必ず収集すべき必須収集データである。必須収集データは一度にまとめて収集される。

必須収集データと比べるとアラート発生時刻ｔ０から遠いがアラート発生時刻ｔ０の前後の時間ｔ３内である時刻のデータは、必要に応じて選択的に収集すべきと考えられる。図１において、時間ｔ３内のデータが選択収集データである。選択収集データは、必須収集データに比べるとアラートとの関係が弱いため、無駄とならないように、必要に応じて時間ｔ２の単位で収集される。

選択収集データよりもアラート発生時刻ｔ０から遠い時刻、すなわちアラート発生時刻ｔ０から時間（ｔ１＋ｔ３）よりも遠い時刻のデータは、アラートとの関係が極めて弱いため、アラートの原因分析のために収集する必要が無い。

なお、時間ｔ１、ｔ２、ｔ３は、データ収集サーバ２００に表示される画面のひとつであるタイムレンジ入力画面からユーザが入力することにしてもよく、あるいは外部アプリケーションから入力することにしてもよい。

拠点１０あるいはネットワーク監視センタ２０にそれぞれ設けられた装置群の物理構成は特に限定されない。いずれの装置といずれの装置が物理的に一体的な構成であってもよい。ここでは、拠点１０に配置された複数の装置をまとめて拠点システム１０とも称し、ネットワーク監視センタ２０に配置された複数の装置をまとめてセンタシステム２０とも称することにする。

拠点システム１０は、送受信するデータに対するリアルタイム分析でアラートを検知し、アラート発生時刻を含む所定の収集対象時間内にあるデータである収集対象データを特定するインデックスを生成する。インデックスの形式は特に限定されないが、ストレージ内のアドレスに相当する値を付与することにしてもよい。それにより、インデックスをアドレスに用いてストレージ内からデータを容易に見つけることが可能となる。

更に、拠点システム１０は、収集対象データとインデックスを関連付けて時系列データテーブル３００に登録し、アラート識別情報とインデックスを関連付けてインデックス特定テーブル６００に格納し、アラート識別情報をセンタシステム２０に送信する。

センタシステム２０は、アラート識別情報を受信すると、アラート識別情報を指定して、収集対象データを要求するためのデータ要求を拠点システム１０に送信する。

拠点システム１０は、データ要求を受信すると、指定されたアラート識別情報に関連付いたインデックスをインデックス特定テーブル６００の検索により取得し、インデックスで特定される収集対象データを時系列データテーブル３００から取得してセンタシステム２０に送信する。

センタシステム２０は、収集対象データを受信すると、その収集対象データを記録する。

本実施形態によれば、拠点システム１０において、アラート検出時にアラート発生時刻を含む収集対象時間内のデータをインデックスと共に記録しておき、センタシステム２０からの要求に応じて、データをインデックスにより取り出してセンタシステム２０に送信するので、収集対象となるデータだけを効率よく記録し、収集することが可能となる。

また本実施形態では、拠点システム１０は、収集対象データとして、アラート発生時刻を含む必須収集対象時間（図１において時刻ｔ０±時間ｔ１の時間）内にあるデータである必須収集データと、必須収集対象時間の前および／または後にある選択対象時間（図１において、時刻ｔ０−時間ｔ１−時間ｔ３から時刻ｔ０−時間ｔ１までの時間と、時刻ｔ０＋時間ｔ１から時刻ｔ０＋時間ｔ１＋時間ｔ３までの時間）内にあるデータである選択収集データと分け、それぞれにインデックスを生成する。そして、拠点システム１０は、センタシステム２０からデータ要求を受信すると必須収集データをセンタシステム２０に送信し、センタシステム２０から更に選択収集データを要求するデータ要求を受信すると選択収集データをセンタシステム２０に送信する。

これにより、まずアラート分析に重要な必須収集データを収集し、その後、必要に応じて要求をすることで、必須収集データの前および後にある選択収集データを収集することで、必要なデータだけを効率良く収集することができる。

また、本実施形態では、拠点システム１０は、選択収集対象時間を複数の収集単位時間（時間ｔ２）に分けて、それぞれの収集単位時間のデータである選択収集単位データにそれぞれインデックスを生成する。そして、センタシステム２０は、選択収集対象データを取得するとき、選択収集単位データを指定したデータ要求を送信する。拠点システム１０は、そのデータ要求を受信すると、データ要求にて指定された選択収集単位データをセンタシステム２０に送信する。

これによれば、選択収集データを必要な分だけ指定して収集することができるので、必要なデータを効率よく収集することができる。

この種のデータ転送システムでは、データへのアクセスの仕方としてブロックアクセスとファイルアクセスとがある。

本実施形態では、ブロックアクセスの場合、拠点システム１０は、送受信するデータにおいて、収集対象データを含むファイルに非収集対象データが含まれる場合、そのファイルから非収集対象データを削除し、得られたファイルに対してインデックスを生成する。ファイルに収集対象データと被収集対象データが含まれる可能性があるが、上述のようにすることで、非収集対象データを削除して、収集対象データのみを効率よく収集することが可能となる。

また、本実施形態では、ファイルアクセスの場合、拠点システム１０は、送受信するデータにおいて、一度に送信すべき収集対象データが複数のファイルに分かれている場合、それら複数のファイルを結合し、得られた１つのファイルに対してインデックスを生成する。収集対象データが複数のファイルにわたる可能性があるが、上述のようにすることで、それら複数のファイルを結合して１つのファイルとして収集することが可能となる。

また、この種のシステムでは、共通の原因によって短い時間に複数のアラートが発生する場合がある。そのような場合を想定して、本実施形態では、拠点システム１０は、検知したアラートのアラート発生時刻の収集対象時間内に他のアラートを検知した場合、その収集対象時間を、他のアラートのアラート発生時刻に基づいて拡張する。これにより、近い時間に複数のアラートが発生した場合にそれらを関連づけて、ひとまとまりの収集対象データとして効率よく取得することができ、またアラート分析を適切に行うことが可能となる。

更に、この種のシステムでは、アラートの原因として複数の拠点システム１０が関与している場合がある。そのような場合を想定して、本実施形態では、ある拠点システム（ここでは第１の拠点システムと称する）１０は、アラートを検知すると、他の拠点システム（ここでは第２の拠点システムと称する）１０に、アラート識別情報と収集対象時間を送信する。そして、第２の拠点システム１０は、受信したアラート識別情報と収集対象時間を自身に適用し、時系列データテーブル３００およびインデックス特定テーブル６００を更新する。これにより、アラートについて、関連する複数の拠点１０からデータを収集することができ、複数の拠点１０が関与した可能性のあるアラートの分析を適切に行うことが可能となる。

また、この種のシステムでは、共通原因などにより短時間に複数の拠点システム１０でアラートが発生する場合がある。そのような場合を想定して、本実施形態では、第１の拠点システム１０は、アラートを検知すると、第２の拠点システム１０に、アラート識別情報とアラート発生時刻と収集対象時間を送信する。第２の拠点システム１０は、自身が検知したアラートの収集対象時間内に第１の拠点システム１０が検知したアラートのアラート発生時刻があれば、自身の収集対象時間を第１の拠点システム１０のアラート発生時刻に基づいて拡張し、拡張した収集対象時間を第１の拠点システム１０に送信する。第１の拠点システム１０は、第２の拠点システム１０から受信した拡張した収集対象時間と自身の収集対象時間との中で最大の収集対象時間を特定し、最大の収集対象時間を自身に適用するとともに、第２の拠点システム１０に、その最大の収集対象時間を適用することを要求する。これによれば、複数の拠点システム１０で発生したアラートについて、それらアラームをひとまとめで分析できるような、最大の収集対象時間のデータを複数の拠点システム１０から収集することができ、複数の拠点システム１０が関与した可能性のあるアラートの分析を適切に行うことが可能となる。

以下、より具体的な実施例について説明する。

図２に示したように、各拠点１０には、リアルタイム処理サーバ１００、インデックス算出サーバ１１０、データ送信サーバ１２０、およびデータストア１３０が配置されている。リアルタイム処理サーバ１００、インデックス算出サーバ１１０、およびデータ送信サーバ１２０は、ＬＡＮ１４０に接続されている。データストア１３０はリアルタイム処理サーバ１００、インデックス算出サーバ１１０、およびデータ送信サーバ１２０からアクセス可能である。

ネットワーク監視センタ２０には、データ収集サーバ２００およびデータストア２１０が配置されている。データ収集サーバ２００はＬＡＮ２２０に接続されており、データストア２１０はデータ収集サーバ２００からアクセス可能である。

リアルタイム処理サーバ１００は、アラート送信部１０１、リアルタイム分析部１０２、データ取得部１０３、ＣＰＵ１０４、通信Ｉ／Ｆ（インタフェース）１０５、主記憶装置１０６、および外部記憶装置Ｉ／Ｆ１０７を有する。

アラート送信部１０１は、リアルタイム分析部１０２により算出された応答時間やエラー率などのメトリックの値が予め設定されたしきい値を超えたか否か判定する。メトリックの値がしきい値を超えた場合、アラート送信部１０１は、アラートを検知し、そのアラート情報をインデックス算出サーバ１１０及びネットワーク監視センタ２０に対して送信すると共に、アラートテーブル５００にアラート情報を格納する。

リアルタイム分析部１０２は、データ取得部１０３が取得し時系列データテーブル３００に記載したパケットデータに基づいて、メトリックデータ４０３（本実施例ではネットワーク応答時間）の値を算出し、メトリックテーブル４００に記載する。

具体的なネットワーク応答時間の算出方法は、図３に示すような時系列データテーブル３００の、シーケンスＩＤ３０２と、送信元識別情報３０３と、送信先識別情報３０４と、ネクストシーケンスＩＤ３０５とを参照し、パケットデータＡの送信元識別情報３０３とパケットデータＢの送信先識別情報３０４が同じで、かつパケットデータＡの送信先識別情報３０４とパケットデータＢの送信元識別情報３０３が同じであり、かつパケットデータＡのネクストシーケンスＩＤ３０５とパケットデータＢのシーケンスＩＤ３０２が同じであるパケットデータＡ、Ｂの組み合わせを探索する。

パケットデータＡ、Ｂの組み合わせを発見すると、パケットデータＢの時刻３０１からパケットＡの時刻３０１を減算した時間を応答時間として算出する。そして、メトリックテーブル４００に対して、パケットデータＡの送信元識別情報３０３をアクセス元識別情報４０１とし、送信先識別情報３０４をアクセス先識別情報４０２とし、算出した応答時間をメトリックデータ４０３として格納する。パケットデータＡ、Ｂの組み合わせが複数存在する場合、算出した複数の応答時間の平均値を算出し、その平均値を応答時間４０３として格納する。

データ取得部１０３は、通信Ｉ／Ｆ１０５にて送受信されるパケットデータを取得し、外部記憶Ｉ／Ｆ１０７を介して時系列データテーブル３００に格納すると共に、リアルタイム分析部１０２に通知する。

ＣＰＵ１０４は、コンピュータプログラム（以下「プログラム」という）を実行する。ＣＰＵ１０４がプログラムを実行することにより、リアルタイム処理サーバ１００の有する様々な機能が実現される。

通信Ｉ／Ｆ１０５は、リアルタイム処理サーバ１００をＬＡＮ１４０及びＷＡＮ３０に接続するためのインタフェースである。

主記憶装置１０６は、プログラムおよびデータ等を記憶する記憶装置である。主記憶装置１０６は、例えば、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等で構成される。主記憶装置１０６に記憶されたプログラムおよびデータはＣＰＵ１０４、通信Ｉ／Ｆ１０５、外部記憶装置Ｉ／Ｆ１０７からアクセスできる。

外部記憶装置Ｉ／Ｆ１０７は、リアルタイム処理サーバ１００とデータストア１３０を接続するためのインタフェースである。

インデックス算出サーバ１１０は、アラート情報取得部１１１、インデックス算出部１１２、タイムレンジ変更部１１３、タイムレンジ通知部１１４、通信Ｉ／Ｆ１１５、ＣＰＵ１１６、主記憶装置１１７、外部記憶装置Ｉ／Ｆ１１８を有する。

アラート情報取得部１１１は、リアルタイム処理サーバ１００のアラート送信部１０１から送信されたアラート情報を受信し、受信したアラート情報をインデックス算出部１１２に通知する。

インデックス算出部１１２は、アラート情報をアラート情報取得部１１１から受信すると、図９に示すインデックス算出処理を実行し、算出したインデックスのリストをアラートＩＤおよび検索ＩＤと共に、インデックス特定テーブル６００に格納する。

タイムレンジ変更部１１３は、ネットワークパケットのデータ取得のタイムレンジに関する処理において、必要に応じて、外部のアプリケーションや、データ収集サーバ２００のタイムレンジ入力画面を介してユーザが入力した時間ｔ１〜ｔ３を設定または変更する。また、タイムレンジ変更部１１３は、時間ｔ１〜ｔ３を変更した後、インデックス算出部１１２にインデックスの算出を命令する。

タイムレンジ通知部１１４は、現在の時間ｔ０〜ｔ３の設定値を他の拠点１０もしくはネットワーク監視センタ２０に通知する。

通信Ｉ／Ｆ１１５、ＣＰＵ１１６、主記憶装置１１７、外部記憶装置Ｉ／Ｆ１１８は、上述した通信Ｉ／Ｆ１０５、ＣＰＵ１０４、主記憶装置１０６、外部記憶装置Ｉ／Ｆ１０７と同じ機能および構成であるため説明を割愛する。

データ送信サーバ１２０は、データ要求受信部１２１、データ収集部１２２、データ送信部１２３、ＣＰＵ１２４、通信Ｉ／Ｆ１２５、主記憶装置１２６、および外部記憶装置Ｉ／Ｆ１２７を有する。

データ要求受信部１２１は、ネットワーク監視センタ２０からデータ収集要求を受け付け、そのデータ収集要求における要求内容をデータ収集部１２２に送信する。

データ収集部１２２は、データ要求受信部１２１から受信したデータ収集要求の要求内容に基づき、ネットワーク監視センタ２０に送信すべきパケットデータ（収集対象データ）をデータストア１３０から取得し、データ送信部１２３に送信する。

データ送信部１２３は、データ収集部１２２で収集されたパケットデータをネットワーク監視センタ２０に送信する。

ＣＰＵ１２４、通信Ｉ／Ｆ１２５、主記憶装置１２６、外部記憶装置Ｉ／Ｆ１２７は、上述したＣＰＵ１０４、通信Ｉ／Ｆ１０５、主記憶装置１０６、外部記憶装置Ｉ／Ｆ１０７と同じ機能および構成であるため説明を割愛する。

ネットワーク監視センタ２０は、データ収集サーバ２００およびデータストア２１０を有し、データ収集サーバ２００がＬＡＮ２２０に接続されている。

データ収集サーバ２００は、アラート受信部２０１、データ取得部２０２、ＣＰＵ２０３、通信Ｉ／Ｆ２０４、データ表示部２０５、主記憶装置２０６、データ要求送信部２０７、タイムレンジ入力部２０８、および外部記憶装置Ｉ／Ｆ２０９を有する。

アラート受信部２０１は、各拠点１０のリアルタイム処理サーバ１００のアラート送信部１０１からアラートを受信する。

データ取得部２０２は、各拠点１０のデータ送信サーバ１２０のデータ送信部１２３から送信される収集すべきパケットデータを取得し、データ表示部２０５に送信する。

データ表示部２０５は、データ取得部２０２が取得したパケットデータを画面上に表示する。

データ要求送信部２０７は、アラート受信部２０１で受信されたアラートをキーとして、各拠点１０のデータ送信サーバ１２０のデータ要求受信部１２１に、そのアラートに関連するパケットデータ（収集対象データ）を要求する。

タイムレンジ入力部２０８は、収集すべきパケットデータの収集範囲およびデータ収集先を定義または変更できるように、時間ｔ１〜ｔ３のタイムレンジを入力したり、及びデータ収集先拠点情報を入力したりするインタフェースをユーザあるいはアプリケーションに提供する。また、タイムレンジ入力部２０８は、入力された時間ｔ１〜ｔ３およびデータ収集先拠点情報を各拠点１０のインデックス算出サーバ１１０のタイムレンジ変更部１１３に送信する。

ＣＰＵ２０３、通信Ｉ／Ｆ２０４、主記憶装置２０６、外部記憶装置Ｉ／Ｆ２０９は、上述したＣＰＵ１０４、通信Ｉ／Ｆ１０５、主記憶装置１０６、外部記憶装置Ｉ／Ｆ１０７と同じ機能および構成であるため説明を割愛する。

図３は、拠点に蓄積される時系列データのテーブルの一例を示す図である。

時系列データテーブル３００には、拠点１０にて送受信されるデータについて、時刻３０１、シーケンスＩＤ３０２、送信元識別情報３０３、送信先識別情報３０４、ネクストシーケンスＩＤ３０５、およびインデックス３０６が記録される。

時刻３０１はパケットデータの送信または受信の時刻を示す。

シーケンスＩＤ３０２は、送信元識別情報３０３で一意に特定される送信元と送信先識別情報３０４で一意に特定される送信先の間で送受信されたパケットデータを一意に特定する通し番号である。

送信元識別情報３０３は、パケットデータを送信した機器を一意に特定する識別情報であり、例えばＩＰアドレスやホスト名などである。当該送信元識別情報３０３の情報により、当該パケットデータが、メトリックテーブル４００のアクセス元識別情報４０１により特定されるメトリックデータ、およびアラートテーブル５００のアクセス元識別情報５０３により特定されるアラートと関連付けられる。また、当該送信元識別情報３０３の情報により、当該パケットデータが、拠点-機器テーブル７００の機器識別情報７０２で特定される拠点と関連づけられる。

送信先識別情報３０４は、パケットデータの送信先の機器を一意に特定する識別情報であり、例えばＩＰアドレスやホスト名などである。当該送信先識別情報３０４の情報により、当該パケットデータが、メトリックテーブル４００のアクセス先識別情報４０２により特定されるメトリックデータ、およびアラートテーブル５００のアクセス先識別情報５０４により特定されるアラートと関連付けられる。また、当該送信先識別情報３０４の情報により、当該パケットデータが、拠点-機器テーブル７００の機器識別情報７０２で特定される拠点と関連づけられる。

ネクストシーケンスＩＤ３０５は、現在のパケットデータの次に送信元もしくは送信先から送信されるパケットデータのシーケンスＩＤ３０２を示す。例えば、パケットデータＡのネクストシーケンスＩＤ３０５が２であるとすると、次にパケットデータＡの送信先からパケットデータＡの送信元に送られるパケットデータのシーケンスＩＤ３０２は必ず２となる。すなわち、送信元識別情報３０３と、送信先識別情報３０４と、シーケンスＩＤ３０２とでパケットデータが一意に特定でき、これにネクストシーケンスＩＤ３０５で示す情報を加えると、当該パケットデータと他のパケットデータとの関連性や送受信順序などが一意に特定できる。本仕様はＴＣＰ／ＩＰなど一般的なネットワークプロトコルで採用されている。

インデックス３０６は、データストア１３０内のパケットデータの格納場所を一意に特定する識別情報であり、例えば、ストレージ内のブロックＩＤ、ファイルストレージ内のファイルのフルパス、クラウドストレージ内のファイルのＵＲＩなどである。当該インデックス３０６により、当該パケットデータを、インデックス特定テーブル６００のインデックスリスト６０３内のインデックスが示すアラートＩＤ６０１と関連付けられる。

各拠点１０のリアルタイム処理サーバ１００のデータ取得部１０３が収集したパケットデータが時系列データテーブル３００に格納される。

図４は、拠点で計測されるメトリックデータのテーブルの一例を示す図である。

メトリックテーブル４００には、メトリックのそれぞれについて、アクセス元識別情報４０１、アクセス先識別情報４０２、およびメトリックデータ４０３が記録される。図４の例では、アクセス元およびアクセス先の組についてアクセスの応答時間が記録されている。

アクセス元識別情報４０１は、パケットデータの送信元の識別情報を示し、時系列データテーブル３００の送信元識別情報３０３と同じ識別情報が格納される。

アクセス先識別情報４０２は、パケットデータの送信先の識別情報を示し、時系列データテーブル３００の送信先識別情報３０４と同じ識別情報が格納される。

メトリックデータ４０３は、当該アクセス元識別情報４０１で示されるアクセス元と当該アクセス先識別情報４０２で示されるアクセス先の間で送受信されたパケットデータの所定の性能値がメトリックとして格納される。代表的なメトリックとしては、応答時間、エラー率、スループット等があり、上述のように、本実施例では応答時間をメトリックデータとして記録している。この応答時間は、上述のようにリアルタイム処理サーバ１００のリアルタイム分析部１０２で算出される。各拠点１０において、メトリックデータ４０３は、リアルタイム処理サーバ１００のリアルタイム分析部１０２で算出され、メトリックテーブル４００に格納される。なお、本実施例では、一種類のメトリックデータ（応答時間）だけを監視しているが、複数種類のメトリックデータを算出し、監視対象としても良い。

図５は、拠点で生成されるアラートテーブルの一例を示す図である。

アラートテーブル５００には、検知されたアラートのそれぞれについて、アラートＩＤ５０１、発生日時５０２、アクセス元識別情報５０３、アクセス先識別情報５０４、およびアラート内容５０５が記録される。

アラートＩＤ５０１は、各拠点１０において、アラートを一意に特定するための識別情報である。当該アラートＩＤ５０１により、当該アラートが、同一拠点１０内のインデックス特定テーブル６００のアラートＩＤ６０１が示すインデックスリスト６０３、および当該インデックスリスト６０３内のインデックスと関連付けられる。

発生日時５０２は、リアルタイム処理サーバ１００のアラート送信部１０１がアラートを検出した時刻を格納する。

アクセス元識別情報５０３には、当該アラートの検出に用いられたメトリックテーブル４００に記載のメトリックデータのアクセス元識別情報４０１及び時系列データテーブル３００に記載されたパケットデータの送信元識別情報３０３と同じ識別情報が格納される。当該アクセス元識別情報５０３により、当該アラートが、メトリックテーブル４００のアクセス元識別情報４０１から特定されるメトリックデータ４０３、および時系列データテーブル３００の送信元識別情報３０３から特定されるパケットデータと関連付けられる。

アクセス先識別情報５０４には、当該アラートの検出に用いられたメトリックテーブル４００に記載されたメトリックデータのアクセス先識別情報４０２、及び時系列データテーブル３００に記載されたパケットデータの送信先識別情報３０４と同じ識別情報が格納される。当該アクセス先識別情報５０４により、当該アラートが、メトリックテーブル４００のアクセス先識別情報４０２から特定されるメトリックデータ４０３、および時系列データテーブル３００の送信先識別情報３０４から特定されるパケットデータと関連付けられる。

アラート内容５０５はアラートの内容を示す。本実施例では、監視対象とするメトリック４０３が応答時間であるため、アラート内容５０５として主に遅延や無応答などが記録される。

各拠点１０において、リアルタイム処理サーバ１００のアラート送信部１０１がアラートを検出し、アラートテーブル５００に当該アラートの各情報を格納する。

図６は、拠点で生成されるインデックス特定テーブルの一例を示す図である。

インデックス特定テーブル６００は、収集対象のパケットデータの収集単位毎に、アラートＩＤ６０１、検索ＩＤ６０２、およびインデックスリスト６０３が記録される。

アラートＩＤ６０１は、各拠点１０において検知されたアラートを一意に特定するためのＩＤである。当該アラートＩＤ６０１により、収集単位のパケットデータが、同一拠点１０内のアラートテーブル５００のアラートＩＤ５０１が示すアラート情報と関連づけられる。

検索ＩＤ６０２は、ネットワーク監視センタ２０が拠点１０にアラートＩＤ６０１をキーとしてパケットデータの取得を要求するとき、あるいは拠点１０からネットワーク監視センタ２０にパケットデータを送信するとき、アラートＩＤ６０１についてのパケットデータの収集単位を一意に特定するための識別情報である。当該検索ＩＤの絶対値は、アラートの発生日時５０２に近いほど小さくなり、アラートの発生日時５０２から遠いほど大きくなる。

インデックスリスト６０３は、各パケットデータに付与されたインデックスのリスト情報である。このインデックスにより、アラートＩＤ６０１のアラートが発生した、時系列データテーブル３００に記載のパケットデータについて、データストア１３０内の格納場所を一意に特定することができる。当該インデックスリスト６０３に記載のインデックスにより、収集単位のパケットデータが、時系列データテーブル３００のインデックス３０６が示すパケットデータと関連付けられる。

各拠点１０のインデックス特定テーブル６００の情報は、その拠点１０のインデックス算出サーバ１１０のインデックス算出部１１２が、図９の処理を実行することで、格納される。

図７は、ネットワーク監視センタに保持される拠点−機器テーブルの一例を示す図である。

拠点−機器テーブル７００には、各拠点について拠点識別情報７０１と機器識別情報７０２が記録される。

拠点識別情報７０１は、拠点名、地名、支店番号など、各拠点１０を一意に特定する識別情報である。

機器識別情報７０２は、各拠点１０においてパケットデータを送受信する機器を一意に特定するための識別情報であり、例えばＩＰアドレスやホスト名などである。当該機器識別情報７０２により、当該拠点の当該機器が、同一拠点内のアラートテーブル５００のアクセス元識別情報５０３もしくはアクセス先識別情報５０４で特定されるアラートと関連付けられる。

拠点−機器テーブル７００に記載される情報は、ユーザもしくは構成管理ソフトウェアや資産管理ツールなどから入力される。

図８は、データ収集サーバ２００のタイムレンジ入力部２０８によって提供されるタイムレンジ入力画面８００の一例を示す図である。

タイムレンジ入力画面８００は、ｔ１入力欄８０１、ｔ２入力欄８０２、ｔ３入力欄８０３、タイムレンジ適用拠点範囲指定欄８０４、アラート関連づけ指定欄８０５を有する。

ｔ１入力欄８０１は、ネットワーク監視センタ２０からアラートＩＤ５０１をキーとして時系列データテーブル３００に格納されているパケットデータを、一度にデータを収集する時間ｔ１を入力するためのインタフェースである。ユーザもしくはアプリケーションは、アラートの発生日時５０２を起点として前後ｔ１時間分のパケットデータを一度に収集できる。

ｔ２入力欄８０２は、主に時間ｔ１で指定した範囲のパケットデータ（必須収集データ）を収集した後に追加で、その必須収集データの前および／または後のパケットデータ（選択収集データ）を収集する際に、１回の操作でデータを収集する時間単位を入力するためのインタフェースである。ユーザもしくはアプリケーションは、監視画面の表示時間幅に見合ったパケットデータのみの収集や、オンデマンドで少量のパケットデータのみの収集によって、不要なデータ転送を避けることが可能となる。

ｔ３入力欄８０３は、選択収集データの時間を設定するためのインタフェースである。

タイムレンジ適用拠点範囲指定欄８０４は、入力した時間ｔ１〜ｔ３の適用先の拠点１０を指定するインタフェースである。具体的には、アラートが発生した拠点１０のみに適用するか、当該アラートが発生した拠点１０だけでなく当該アラートに関連する複数の拠点１０に適用するかを選択するインタフェースである。

アラート関連づけ指定欄８０５は、検知したアラームのアラートの発生日時５０２の前および後の時間ｔ１内に発生した他のアラートを、関連するアラートとすることを指定するインタフェースである。具体的に、それらのアラートを互いに関連づけるかどうかを選択する。

図９は、インデックス算出処理の一例を示すフローチャートである。

インデックスサーバ１１０のアラート情報取得部１１１は、アラートテーブル５００に記載のアラートＡ０を受信すると（ｓ１０１）、時間ｔ０をアラートの発生日時５０２に設定し、インデックス算出部１１２に対して下記の処理を実行するように命令する。

インデックス算出部１１２は、監視対象となる拠点１０が複数あるか否かを判定する（ｓ１０２）。具体的には、ネットワーク監視センタ２０のタイムレンジ入力部２０８及びタイムレンジ入力画面８００のタイムレンジ適用拠点範囲指定欄８０４を介して入力されたタイムレンジ適用拠点範囲指定情報が、通信Ｉ／Ｆ２０４を介して拠点１０のインデックス算出サーバ１１０に送信される。インデックス算出部１０２は、タイムレンジ適用拠点範囲指定情報が有効化されているか否かにより、監視対象の拠点１０が複数か否か判定する。

インデックス算出部１１２は、タイムレンジ適用拠点範囲指定情報が有効化されている場合（すなわち、アラート発生元の拠点１０のみではなく、その拠点１０と関連する複数の拠点も含む場合、ｓ１０２：Ｙ）には、ｓ１０３ａに進み、タイムレンジ適用拠点範囲指定情報が無効化されている場合（すなわち、アラート発生元の拠点１０のみである場合、ｓ１０２：Ｎ）、ｓ１３０ｂに進む。

インデックス算出部１１２は、タイムレンジ適用拠点範囲指定情報が有効化されている場合（ｓ１０２：Ｙ）には、拠点１０のアラートテーブル５００に記載されたアラート及び拠点１０に関連する他の拠点のアラートテーブル５００に記載されたアラートを対象に、アラートＡ０のアラートの発生日時５０２の前後の時間ｔ１内に発生した他のアラートＡ１を、アラートＡ０に関連すると定義するか否かを判定する（ｓ１０３ａ）。具体的には、ネットワーク監視センタ２０のタイムレンジ入力部２０８及びタイムレンジ入力画面８００のアラート関連づけ指定欄８０５を介して入力されたアラート関連づけ情報が、通信Ｉ／Ｆ２０４を介して拠点１０のインデックス算出サーバ１１０に送信される。インデックス算出部１０２は、アラート関連づけ情報が有効化されているか否かで判定する。

インデックス算出部１１２は、そのアラート関連づけ情報が有効化されている場合（すなわち、アラートＡ０の発生日時５０２の前後の時間ｔ１内に発生した他のアラートＡ１をＡ０に関連するアラートと定義する場合、ｓ１０３ａ：Ｙ）、ｓ１０４ａに進み、アラート関連づけ情報が無効化されている場合（すなわち、アラートＡ０の発生日時５０２の前後の時間ｔ１内に発生した他のアラートＡ１をそれぞれ独立の異なったアラートと定義する場合、ｓ１０３ａ：Ｎ）、ｓ１０４ｂに進む。

インデックス算出部１１２は、アラート関連づけ情報が有効化されている場合（ｓ１０３ａ：Ｙ）、タイムレンジ変更部１１３に、後述する図１５に記載のｓ１５０１からｓ１５０５までの処理を実行するように命令する（ｓ１０４ａ）。

また、インデックス算出部１１２は、アラート関連づけ情報が無効化されている場合（ｓ１０３ａ：Ｎ）、タイムレンジ変更部１１３に後述する図１４のｓ１４０１からｓ１４０４までの処理を実行するように命令する（ｓ１０４ｂ）。

インデックス算出部１１２は、タイムレンジ適用拠点範囲指定情報が無効化されている場合（ｓ１０２：Ｎ）、当該拠点１０のみのアラートテーブル５００に記載されたアラートを対象に、ｓ１０３ａの処理と同じ処理を実行する（ｓ１０３ｂ）。ただし、アラート関連づけ情報が有効化されている場合（ｓ１０３：Ｙ）、ｓ１０４ｃに進み、アラート関連づけ情報が無効化されている場合（ｓ１０３ｂ：Ｎ）、ｓ１０５に進む。

インデックス算出部１１２は、アラート関連づけ情報が有効化されている場合（ｓ１０３ｂ：Ｙ）、タイムレンジ変更部１１３に後述するｓ１３０１からｓ１３０５までの処理を実行するように命令する（ｓ１０４ｃ）。

インデックス算出部１１２は、アラート関連づけ情報が無効化されている場合（ｓ１０３ｂ：Ｎ）、時系列データテーブル５００が格納されているデータストア１３０のストレージ種別がファイルアクセスストレージかブロックアクセスストレージかを判定する（ｓ１０５）。

インデックス算出部１１２は、データストア１３０のストレージ種別がファイルアクセスストレージである場合（ｓ１０５：Ｙ）、ｓ１０６ａに進み、データストア１３０のストレージ種別がブロックアクセスストレージである場合（ｓ１０５：Ｎ）、ｓ１０６ｂに進む。

インデックス算出部１１２は、データストア１３０のストレージ種別がファイルアクセスストレージである場合（ｓ１０５：Ｙ）、後述する図１２に記載のｓ１２０１からｓ１２０８までの処理を実行する（ｓ１０６ａ）。

一方、インデックス算出部１１２は、データストア１３０のストレージ種別がブロックアクセスストレージである場合（ｓ１０５：Ｎ）、図１０に記載のｓ１１０１からｓ１１０５までの処理を実行する（ｓ１０６ｂ）。

図１０は、ブロックアクセスデータを対象としたインデックス算出処理のフローチャートである。

インデックス算出サーバ１１０には、リアルタイム処理サーバ１００から、アラートＩＤを含むアラート情報が通知される。インデックス算出サーバ１１０のインデックス算出部１１２は、検索ＩＤ６０２として用いる変数ｍ、ｎについて、ｍ＝０、ｎ＝０と設定し、データストア１３０の時系列データテーブル３００から、Ｔ１（１）≦時刻３０１≦Ｔ１（２）を満足するパケットデータのインデックス３０６を取得し、取得したインデックス３０６をまとめてインデックスリストｉ＿ｌｉｓｔ１を作成し、当該インデックスリストｉ＿ｌｉｓｔ１に、通知されたアラートのアラートＩＤ５０１と、検索ＩＤ：０とを紐付け、インデックス特定テーブル６００に格納する（ｓ１１０１）。

Ｔ１（１）およびＴ１（２）は時系列データテーブル３００に記載のパケットデータの取得範囲の下限と上限を表す時刻であり、ここでは、Ｔ１（１）＝ｔ０−ｔ１、Ｔ１（２）＝ｔ０＋ｔ１である。

次に、インデックス算出部１１２は、ｍ＝ｍ＋１とし、Ｔ２（ｍ）≦時刻３０１＜Ｔ２（ｍ−１）を満足するパケットデータのインデックス３０６をデータストア１３０の時系列データテーブル３００から取得し、取得したインデックス３０６をまとめてインデックスリストｉ＿ｌｉｓｔ２（ｍ）を作成し、当該インデックスリストｉ＿ｌｉｓｔ２（ｍ）に、通知されたアラートのアラートＩＤ５０１と、検索ＩＤ：−ｍとを紐付け、インデックス特定テーブル６００に格納する（ｓ１１０２）。

Ｔ２（ｍ）およびＴ２（ｍ−１）は時系列データテーブル３００に記載のパケットデータの取得範囲の下限と上限を表す時刻であり、ここでは、Ｔ２（ｍ）＝Ｔ２（ｍ−１）−ｔ２であり、Ｔ２（０）＝Ｔ１（１）である。

インデックス算出部１１２は、Ｔ２（ｍ）が、通知されたアラートの発生日時５０２から時間ｔ３を減算した値以下であるか否か判定する（ｓ１１０３）。インデックス算出部１１２は、Ｔ２（ｍ）がアラートの発生日時５０２から時間ｔ３を減算した値よりも大きい場合（ｓ１１０３：Ｎ）、ｓ１１０２に戻り、Ｔ２（ｍ）がアラートの発生日時５０２から時間ｔ３を減算した値以下の場合（ｓ１１０３：Ｙ）、ｓ１１０４へ進む。

インデックス算出部１１２は、Ｔ２（ｍ）の値がアラートの発生日時５０２から時間ｔ３を減算した値以下の場合（ｓ１２０７：Ｙ）、ｎ＝ｎ＋１とし、Ｔ３（ｎ−１）＜時刻３０１≦Ｔ３（ｎ）を満足するパケットデータのインデックス３０６を、データストア１３０の時系列データテーブル３００から取得し、取得したインデックス３０６をまとめてインデックスリストｉ＿ｌｉｓｔ３（ｎ）を作成し、当該インデックスリストｉ＿ｌｉｓｔ３（ｎ）に、アラートのアラートＩＤ５０１と、検索ＩＤ：ｎとを紐付け、インデックス特定テーブル６００に格納する（ｓ１１０４）。

Ｔ３（ｎ）およびＴ３（ｎ−１）は、時系列データテーブル３００に記載のパケットデータの取得範囲の上限と下限を表し、ここでは、Ｔ３（ｎ）＝Ｔ３（ｎ−１）＋ｔ２であり、Ｔ３（０）＝Ｔ１（２）である。

続いて、インデックス算出部１１２は、Ｔ３（ｎ）がアラートの発生日時５０２に時間ｔ３を加算した値以上であるか否かを判定する（ｓ１１０５）。インデックス算出部１１２は、Ｔ３（ｎ）がアラートの発生日時５０２に時間ｔ３を加算した値よりも小さい場合（ｓ１１０５：Ｎ）、ｓ１１０４に戻り、Ｔ３（ｎ）がアラートの発生日時５０２に時間ｔ３を加算した値以上の場合（ｓ１１０５：Ｙ）、処理を終了する。

図１１は、ネットワーク監視センタ２０内のデータ収集サーバ２００と、各拠点１０内のデータ送信サーバ１２０によるファイル収集処理を示すフローチャートである。

ネットワーク監視センタ２０のデータ収集サーバ２００のデータ要求送信部２０７は、ユーザもしくはアプリケーションから、指定するアラートＩＤ５０１を含むデータ収集要求を受信すると（ｓ２０１）、以下の処理を実行する。データ送信要求は、取得対象となるパケットデータの取得の開始点と終了点が指定されている場合と、指定されていない場合がある。

データ要求送信部２０７は、受信したデータ送信要求において取得対象となるパケットデータの取得の開始点と終了点が指定されているか否か判断する（ｓ２０２）。データ要求送信部２０７は、開始点と終了点が指定されていない場合（ｓ２０２：Ｎ）、ｓ２０３に進み、開始点と終了点が指定されている場合（ｓ２０２：Ｙ）、ｓ２０４に進む。開始点及び終了点は、インデックス特定テーブル６００の検索ＩＤ６０２に記載された識別情報と同様のデータである。開始点及び終了点は、ユーザもしくはアプリケーションからネットワーク監視センタ２０のデータ収集サーバ２００に与えられるデータ取得要求の一部である。

データ要求送信部２０７は、開始点と終了点が記載されていない場合（ｓ２０２：Ｎ）、パケットデータの取得の開始点と終了点を共に０に設定する（ｓ２０３）。これは必須取得データの取得を要求することを意味する。これにより、ネットワーク監視センタ２０のデータ収集サーバ２００は、アラートの発生日時５０２の前後の時間ｔ１内における、拠点１０の時系列データテーブル３００に記載されたパケットデータを収集できる。

データ要求送信部２０７は、開始点と終了点が記載されている場合（ｓ２０２：Ｙ）、またはｓ２０３の処理を終えた後、データ送信要求に、パケットデータを収集する対象の拠点１０の拠点識別情報７０１が指定されているか否かを判断する（ｓ２０４）。データ要求送信部２０７は、拠点１０の拠点識別情報７０１が指定されている場合（ｓ２０４：Ｙ）、ｓ２０５ａに進み、拠点１０の拠点識別情報７０１が指定されていない場合（ｓ２０４：Ｎ）、ｓ２０５ｂに進む。

データ要求送信部２０７は、パケットデータを収集する対象の拠点１０の拠点識別情報７０１が指定されている場合（ｓ２０４：Ｙ）、アラートＩＤ５０１と、パケットデータ取得の開始点（すなわち検索ＩＤ６０２）及び終了点（すなわち検索ＩＤ６０２）とを含むデータ取得要求を、拠点識別情報７０１で指定されている拠点１０のデータ送信サーバ１２０のデータ要求受信部１２１に対して送信する（ｓ２０５ａ）。この場合、通信プロトコルは例えばＴＣＰ／ＩＰが用いられる。

データ要求送信部２０７は、パケットデータを収集する対象の拠点１０の拠点識別情報７０１が指定されていない場合（ｓ２０４：Ｎ）、アラートＩＤ５０１と、パケットデータ取得の開始点及び終了点とを含むデータ取得要求を、全ての拠点１０のデータ送信サーバ１２０のデータ要求受信部１２１に対してブロードキャストで送信する（ｓ２０５ｂ）。この場合、通信プロトコルは例えばＵＤＰが用いられる。

データ取得要求を受信した各拠点１０のデータ送信サーバ１２０のデータ要求受信部１２１は、自身の拠点１０内のデータ収集部１２２に対して、受信したアラートＩＤ５０１と開始点および終了点とをキーとして与え、インデックス特定テーブル６００を検索するよう要求する。検索を要求されたデータ収集部１２２は、与えられたアラートＩＤ５０１と開始点および終了点とをキーとして、インデックス特定テーブル６００を検索し、収集対象のパケットデータのインデックスリスト６０３を取得する（ｓ２０６）。このとき、受信したアラートＩＤ５０１はインデックス特定テーブル６００のアラートＩＤ６０１と照合され、開始点および終了点は共に検索ＩＤ６０２と照合される。

データ収集部１２２は、ｓ２０６の処理で取得したインデックスリスト６０３内の各インデックスをキーとして、時系列データテーブル３００を検索し、パケットデータを取得する。そして、データ収集部１２２は、取得されたパケットデータをネットワーク監視センタ２０へ送信するように、データ送信部１２３に対して命令する。命令を受けたデータ送信部１２３は、その取得されたたパケットデータを、ネットワーク監視センタ２０のデータ収集サーバ２００に送信し（ｓ２０７）、処理を終了する。

以上の処理により、ネットワーク監視センタ２０のデータ収集サーバ２００は、ユーザもしくはアプリケーションが所望する範囲の時系列のパケットデータのみを一度に効率よく収集することができる。また、そのパケットデータを収集するとき、拠点１０のデータ送信サーバ１２０は。パケットデータの内容を参照する必要がないため、データ収集に要する時間を短縮できる。

図１２は、ファイルアクセスデータを対象としたインデックス算出処理のフローチャートである。拠点１０にファイルアクセスのストレージが用いられている場合が想定される。

ファイルアクセスの場合、各拠点１０のインデックスサーバ１１０のインデックス算出部１１２は、図１０に示したｓ１１０１からｓ１１０５までの処理の代わりに、図１２に示すｓ１２０１からｓ１２０９の処理を実行する。

インデックス算出部１１２は、検索ＩＤ６０２として用いる変数ｍ、ｎについて、ｍ＝０、ｎ＝０と設定し、Ｔ１（１）≦時刻３０１≦Ｔ１（２）を満足するパケットデータが含まれる単数もしくは複数のファイルを、データストア１３０の時系列データテーブル３００からコピーする（ｓ１２０１）。Ｔ１（１）およびＴ１（２）は、時系列データテーブル３００からパケットデータを取得する範囲の下限と上限を表し、ここでは、Ｔ１（１）＝ｔ０−ｔ１、Ｔ１（２）＝ｔ０＋ｔ１である。

次に、インデックス算出部１１２は、コピーした各ファイルを読み込み、（時刻３０１＜Ｔ１（１））または、（Ｔ１（２）＜時刻３０１）を満足するパケットデータが記載されている行を含むファイルがあれば、そのファイルからその行を削除する（ｓ１２０２）。

続いて、インデックス算出部１１２は、コピーしたファイルが複数存在するか否かを判定し（ｓ１２０３）、ファイルが複数存在する場合（ｓ１２０３：Ｙ）、ｓ１２０４に進み、ファイルが１つの場合（ｓ１２０３：Ｎ）、ｓ１２０４をスキップしてｓ１２０５へ進む。

ｓ１２０４では、インデックス算出部１１２は、コピーしたファイルが複数存在する場合（ｓ１２０３：Ｙ）、各ファイルを読み込み、それらファイルのデータを結合し、ファイルのパケットデータを、時刻３０１をキーとして昇順にソートし、得られた１つのファイルを出力する（ｓ１２０４）。

ｓ１２０５では、インデックス算出部１１２は、そのファイルのパケットデータのインデックスをインデックスリスト６０３に、検知されたアラートのアラートＩＤを６０１に、検索ＩＤ：０を検索ＩＤ６０２に、それぞれ紐付けてインデックス特定テーブル６００に格納する（ｓ１２０５）。

次に、インデックス算出部１１２は、ｍ＝ｍ＋１と設定し、Ｔ２（ｍ）≦時刻３０１＜Ｔ２（ｍ−１）を満足する、時系列データテーブル３００に記載されているパケットデータを含む単数もしくは複数のファイルに対して、上述したｓ１２０１からｓ１２０４までの処理を実行する（ｓ１２０６）。ただし、そのとき検索ＩＤ６０２は−ｍであり、Ｔ２（ｍ）＝Ｔ２（ｍ−１）−ｔ２、Ｔ２（０）＝Ｔ１（１）である。

インデックス算出部１１２は、Ｔ２（ｍ）の値が、検知されたアラートの発生日時５０２から時間ｔ３を減算した値以下であるかどうか判定し（ｓ１２０７）、Ｔ２（ｍ）の値がアラートの発生日時５０２から時間ｔ３を減算した値よりも大きい場合（ｓ１２０７：Ｎ）、ｓ１２０６に戻り、Ｔ２（ｍ）の値がアラートの発生日時５０２から時間ｔ３を減算した値以下の場合（ｓ１２０７：Ｙ）、ｓ１２０８に進む。

ｓ１２０８では、インデックス算出部１１２は、Ｔ２（ｍ）の値がアラートの発生日時５０２から時間ｔ３を減算した値以下の場合（ｓ１２０７：Ｙ）、ｎ＝ｎ＋１と設定し、Ｔ３（ｎ−１）＜時刻３０１≦Ｔ３（ｎ）を満足する、時系列データテーブル３００に記載されたパケットデータが含まれる単数もしくは複数のファイルに対して、ｓ１２０１からｓ１２０４までの処理を実行する（ｓ１２０８）。ただし、そのとき検索ＩＤ６０２はｎであり、Ｔ３（ｎ）＝Ｔ３（ｎ−１）＋ｔ２であり、Ｔ３（０）＝Ｔ１（２）である。

続いて、インデックス算出部１１２は、Ｔ３（ｎ）の値がアラートの発生日時５０２に時間ｔ３を加算した値以上であるか否かを判定し（ｓ１２０９）、Ｔ３（ｎ）の値がアラートの発生日時５０２に時間ｔ３を加算した値よりも小さい場合（ｓ１２０９：Ｎ）、ｓ１２０８に戻り、Ｔ３（ｎ）の値がアラートの発生日時５０２に時間ｔ３を加算した値以上の場合（ｓ１２０９：Ｙ）、処理を終了する。

以上の処理により、ファイルアクセスのストレージを対象にした場合でも、まず拠点１０にて取得対象範囲の時系列データのみを取得単位毎のファイルとして出力し、そのファイルのデータにインデックスを付与しておくことで、ネットワーク監視センタ２０からの要求で、ユーザもしくはアプリケーションが所望する範囲の時系列データのみを効率よく収集することが可能であり、かつ時系列データ収集の際にデータ送信サーバ１２０がデータの内容を参照する必要がないため、データ収集に要する時間を短縮できる。

なお、あるアラートの発生日時５０２の前後の時間ｔ１内に、他のアラートが発生したとき、それぞれのアラートを独立に扱うことにしてもよいが、本実施例では、複数のアラートを関連づけ、それらアラートに関連する可能性のあるパケットデータを一度に収集するため、時刻ｔ０および時間ｔ１を変更できるようにしている。以下、その点について説明する。

図１３は、各拠点１０のインデックス算出サーバ１１０によるタイムレンジ変更処理の一例を示すフローチャートである。

各拠点１０のインデックスサーバ１１０のタイムレンジ変更部１１３は、新規に他のアラートを検出したか否かを判定し（ｓ１３０１）、新規のアラートを検出した場合（ｓ１３０１：Ｙ）、ｓ１３０２に進み、新規のアラートを検出しなかった場合（ｓ１３０１：Ｎ）、ｓ１３０３に進む。

ｓ１３０２では、タイムレンジ変更部１１３は、新規のアラートを検出すると、検出した新規のアラートの発生時刻を格納する変数ｔ０’に、その検出した新規のアラートの発生時刻を格納する（ｓ１３０２）。

ｓ１３０３では、タイムレンジ変更部１１３は、新規のアラートを検出しなかった場合、検出した新規アラートの発生時刻を格納する変数ｔ０’に、現在の時刻を格納する（ｓ１３０３）。

続いて、タイムレンジ変更部１１３は、ｓ１３０２あるいはｓ１３０３で設定した変数ｔ０’から時刻ｔ０を減算し、減算で得られた値が時間ｔ１よりも大きいか否か判定し（ｓ１３０４）、減算で得られた値が時間ｔ１よりも大きい場合（ｓ１３０４：Ｙ）、処理を終了し、減算で得られた値が時間ｔ１以下の場合（ｓ１３０４：Ｎ）、ｓ１３０５に進む。

タイムレンジ変更部１１３は、時刻ｔ０と、上述の新規のアラートの発生時刻ｔ０’の中心時刻をアラートの発生日時５０２と設定し、また、時間ｔ１に、時刻ｔ０とその中心時刻との差を加算し、得られた時間を新たなｔ１とする。具体的には、ｔ０には（ｔ０’＋ｔ０）／２を格納し、ｔ１には（ｔ０’−ｔ０）／２を加算して、ｓ１３０１の処理に戻る（ｓ１３０５）。

図９に示したように、図１３の処理（図９におけるｓ１０４ｂの処理）の後、図１０に示したインデックス算出処理（図９におけるｓ１０６ｂの処理）、または図１２に示したインデックス算出処理（図９におけるｓ１０６ａの処理）が実行される。

図１３の処理により、近い時刻に発生した複数のアラートを互いに関連づけて、それらアラートの原因に関連する時系列のパケットデータをまとめて収集することができ、アラートの分析がし易くなるとともに、データ収集に要する時間が短縮できる。

図１４は、アラームを検知した拠点１０と異なる拠点１０においても同じタイムレンジでパケットデータを取得できるようにする処理を示すフローチャートである。

本実施例では、個々の拠点１が、アラートを検知すると、自身のタイムレンジでパケットデータを時系列データテーブル３００に格納し、ネットワーク監視センタ２０からデータ収集要求を受信すると、その格納した時系列データテーブル３００内のパケットデータをネットワーク監視センタ２０に送信してもよい。しかし、ここでは、拠点１０では、アラートを検知すると、関連する拠点１０にパケットデータを取得するタイムレンジを通知し、通知を受けた拠点１０でも、通知されたタイムレンジでパケットデータを取得することにしている。

アラートを検知した拠点１０のタイムレンジ通知部１１４は、時系列データテーブル３００を検索し、Ｔ１（１）≦時刻３０１≦Ｔ１（２）を満足するパケットデータを取得する。ただし、Ｔ１（１）＝ｔ０−ｔ１、Ｔ１（２）＝ｔ０＋ｔ１とする（ｓ１４０１）。

続いて、タイムレンジ通知部１１４は、取得したパケットデータの通信先識別情報３０４をキーとして、拠点−機器テーブル７００の機器識別情報７０２に、取得したパケットの通信先識別情報３０４と同じ識別情報が格納されている各拠点１０の拠点識別情報７０１を取得する（ｓ１４０２）。

更に、タイムレンジ通知部１１４は、取得した拠点識別情報７０１に記載された各拠点１０のインデックス算出サーバ１１０のタイムレンジ変更部１１３に対して、自装置に設定されている時刻ｔ０、時間ｔ１、ｔ２、ｔ３と、検知したアラームのアラートＩＤ５０１と、を含むタイムレンジ変更要求を送信する（ｓ１４０３）。

そのタイムレンジ変更要求を受信した拠点１０のインデックスサーバ１１０のタイムレンジ変更部１１３は、自装置の時刻ｔ０、時間ｔ１、ｔ２、ｔ３、およびアラートＩＤ５０１を、受信した時刻ｔ０、時間ｔ１、ｔ２、ｔ３、およびアラームＩＤに変更し（ｓ１４０４）、処理を終了する。

図９に示したように、図１４の処理（図９におけるｓ１０４ｃの処理）の後には、図１０に示したインデックス算出処理（図９におけるｓ１０６ｂの処理）、または図１２に示したインデックス算出処理（図９におけるｓ１０６ａの処理）が実行される。

このような図１４の処理により、いずれかの拠点１０で検知されたアラートに関連する、もしくはそのアラートにより影響を受ける可能性がある他の拠点１０に格納されているパケットデータも同じタイムレンジで収集でき、アラートの原因分析の利便性が向上する。

図１５は、アラートを検知した複数の拠点１０におけるタイムレンジを整合させてパケットデータを取得できるようにする処理を示すフローチャートである。

図１４の処理は、ある拠点１０が検知したアラートに関連する他の拠点１０の時刻ｔ０及び時間ｔ１を強制的に更新したため、他の拠点１０でもアラートを検知したとしても、それらのアラートは互いに独立のアラートとして定義されるものであった。一方、図１３の処理は、１つの拠点１０で近い時刻に検知された複数のアラートを関連付け、それらの分析が可能な範囲のパケットデータを取得するようにした。

これらに対して、図１５の処理では、ある拠点１０で検知されたアラートと、近い時刻に他の拠点１０で検知されたアラートとを関連付け、それらの分析が可能な範囲のデータを、それら複数の拠点１０で収集できるようにする。

図１５を参照すると、アラームを検知した、ある拠点１０＿Ａでは、図１４に示したｓ１４０１からｓ１４０３までの処理と同様の処理を実行する（ｓ１５０１）。この拠点１０＿Ａでの処理によって送信されたタイムレンジ変更要求を受信した各拠点１０＿Ｂにおいて、図１３に示したｓ１３０１からｓ１３０５までの処理と同様の処理を実行する（ｓ１５０２）。

その後、各拠点１０＿Ｂのインデックス算出サーバ１１０のタイムレンジ通知部１１４は、拠点１０＿Ａのインデックス算出サーバ１１０のタイムレンジ変更部１１３に対して、拠点１０＿Ｂの拠点識別情報７０１と、拠点１０＿Ｂで使用している時刻ｔ０及び時間ｔ１とを送信する（ｓ１５０３）。

拠点１０＿Ａのインデックス算出サーバ１１０のタイムレンジ変更部１１３は、各拠点１０＿Ｂから受信した時間ｔ１が最大値を示す時刻ｔ０と時間ｔ１との組み合わせを特定し、その特定した時刻ｔ０および時間ｔ１を含むタイムレンジ変更要求を、各拠点１０＿Ｂに対して送信する（ｓ１５０４）。

そのタイムレンジ変更要求を受信した各拠点１０＿Ｂと、拠点１０＿Ａでは、インデックス算出サーバ１１０のタイムレンジ変更部１１３は、拠点１０内の時刻ｔ０及び時間ｔ１の設定を、タイムレンジ変更要求とともに受信した時刻ｔ０および時間ｔ１に変更し（ｓ１５０５）、処理を終了する。

この図１５の処理により、第１番目に発生したアラートの発生日時の前後の時間ｔ１以内に複数の関連する拠点１０で発生した複数のアラートを互いに関連づけ、それら複数のアラートの原因分析に用いるパケットデータを一度に収集することができる。

図９に示したように、図１５の処理（図９におけるｓ１０４ａの処理）の後には、図１０に示したインデックス算出処理（図９におけるｓ１０６ｂの処理）、または図１２に示したインデックス算出処理（図９におけるｓ１０６ａの処理）が実行される。

以上、本発明の実施形態および実施例を説明したが、これらは本発明の説明のための例示であり、本発明の範囲をそれらの実施例にのみ限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。

１０…拠点(拠点システム)、１００…リアルタイム処理サーバ、１０１…アラート送信部、１０２…リアルタイム分析部、１０３…データ取得部、１０４…ＣＰＵ、１０５…通信Ｉ／Ｆ、１０６…主記憶装置、１０７…外部記憶装置Ｉ／Ｆ、１１０…インデックス算出サーバ、１１１…アラート情報取得部、１１２…インデックス算出部、１１３…タイムレンジ変更部、１１４…タイムレンジ通知部、１１５…通信Ｉ／Ｆ、１１６…ＣＰＵ、１１７…主記憶装置、１１８…外部記憶装置Ｉ／Ｆ、１２０…データ送信サーバ、１２１…データ要求受信部、１２２…データ収集部、１２３…データ送信部、１２４…ＣＰＵ、１２５…通信Ｉ／Ｆ、１２６…主記憶装置、１２７…外部記憶装置Ｉ／Ｆ、１３０…データストア、１４０…ＬＡＮ、２０…ネットワーク監視センタ(センタシステム)、２００…データ収集サーバ、２０１…アラート受信部、２０２…データ取得部、２０３…ＣＰＵ、２０４…通信Ｉ／Ｆ、２０５…データ表示部、２０６…主記憶装置、２０７…データ要求送信部、２０８…タイムレンジ入力部、２０９…外部記憶装置Ｉ／Ｆ、２１０…データストア、２２０…ＬＡＮ、３０…ＷＡＮ、３００…時系列データテーブル、３０１…時刻、３０２…シーケンスＩＤ、３０３…送信元識別情報、３０４…送信先識別情報、３０５…ネクストシーケンスＩＤ、３０６…インデックス、４００…メトリックテーブル、４０１…アクセス元識別情報、４０２…アクセス先識別情報、４０３…メトリックデータ（応答時間）、５００…アラートテーブル、５０１…アラートＩＤ、５０２…発生日時、５０３…アクセス元識別情報、５０４…アクセス先識別情報、５０５…アラート内容、６００…インデックス特定テーブル、６０１…アラートＩＤ、６０２…検索ＩＤ、６０３…インデックスリスト、７００…機器テーブル、７０１…拠点識別情報、７０２…機器識別情報、８００…タイムレンジ入力画面、８０１…入力欄、８０２…入力欄、８０３…入力欄、８０４…タイムレンジ適用拠点範囲指定欄、８０５…指定欄

Claims (13)

1. データの記録および送受信を行う拠点システムと、
   前記拠点システムとネットワークを介して接続され、前記拠点システムを監視するセンタシステムと、を有し、
   前記拠点システムは、送受信するデータに対するリアルタイム分析でアラートを検知し、アラート発生時刻を含む所定の収集対象時間内にあるデータである収集対象データを特定するインデックスを生成し、前記収集対象データと前記インデックスを関連付けて時系列データテーブルに記録し、アラート識別情報と前記インデックスを関連付けてインデックス特定テーブルに格納し、前記アラート識別情報を前記センタシステムに送信し、
   前記センタシステムは、前記アラート識別情報を受信すると、前記アラート識別情報を指定して、収集対象データを要求するためのデータ要求を前記拠点システムに送信し、
   前記拠点システムは、前記データ要求を受信すると、指定された前記アラート識別情報に関連付いたインデックスを前記インデックス特定テーブルの検索により取得し、前記インデックスで特定される収集対象データを前記時系列データテーブルから取得して前記センタシステムに送信し、
   前記センタシステムは、前記収集対象データを受信すると、前記収集対象データを記録する、
   データ転送監視システム。
2. 前記拠点システムは、前記収集対象データとして、前記アラート発生時刻を含む必須収集対象時間内にあるデータである必須収集データと、前記必須収集対象時間の前および／または後にある選択対象時間内にあるデータである選択収集データと、にそれぞれ前記インデックスを生成し、前記センタシステムから前記データ要求を受信すると前記必須収集データを前記センタシステムに送信し、前記センタシステムから更に前記選択収集データを要求するデータ要求を受信すると前記選択収集データを前記センタシステムに送信する、
   請求項１に記載のデータ転送監視システム。
3. 前記拠点システムは、前記選択収集対象時間を複数の収集単位時間に分けて、それぞれの収集単位時間のデータである選択収集単位データにそれぞれインデックスを生成し、
   前記センタシステムは、前記選択収集単位データを指定したデータ要求を送信し、
   前記拠点システムは、前記データ要求を受信すると、前記データ要求にて指定された選択収集単位データを前記センタシステムに送信する、
   請求項２に記載のデータ転送監視システム。
4. 前記拠点システムは、前記送受信するデータにおいて、前記収集対象データを含むファイルに非収集対象データが含まれる場合、前記ファイルから前記非収集対象データを削除し、得られた前記ファイルに対して前記インデックスを生成する、
   請求項１に記載のデータ転送監視システム。
5. 前記拠点システムは、前記送受信するデータにおいて、一度に送信すべき収集対象データが複数のファイルに分かれている場合、前記複数のファイルを結合し、得られた１つのファイルに対してインデックスを生成する、
   請求項１に記載のデータ転送監視システム。
6. 前記拠点システムは、前記検知したアラートのアラート発生時刻の収集対象時間内に他のアラートを検知した場合、前記収集対象時間を、前記他のアラートのアラート発生時刻に基づいて拡張する、請求項１に記載のデータ転送監視システム。
7. 前記拠点システムが複数あり、
   第１の拠点システムは、アラートを検知すると、他の拠点システムである第２の拠点システムに、アラート識別情報と収集対象時間を送信し、
   前記第２の拠点システムは、受信した前記アラート識別情報と前記収集対象時間を適用し、時系列データテーブルおよびインデックス特定テーブルを更新する、
   請求項１に記載のデータ転送監視システム。
8. 前記拠点システムが複数あり、
   第１の拠点システムは、アラートを検知すると、他の拠点システムである第２の拠点システムに、アラート識別情報とアラート発生時刻と収集対象時間を送信し、
   前記第２の拠点システムは、自身が検知したアラートの収集対象時間内に前記第１の拠点システムが検知したアラートのアラート発生時刻があれば、自身の前記収集対象時間を前記第１の拠点システムのアラート発生時刻に基づいて拡張し、前記拡張した収集対象時間を前記第１の拠点システムに送信し、
   前記第１の拠点システムは、前記第２の拠点システムから受信した前記拡張した収集対象時間と自身の前記収集対象時間との中で最大の収集対象時間を特定し、前記最大の収集対象時間を自身に適用するとともに、前記第２の拠点システムに前記最大の収集対象時間を適用することを要求する、
   請求項１に記載のデータ転送監視システム。
9. 前記拠点システムは、リアルタイム処理サーバと、インデックス算出サーバと、データ送信サーバとを有し、
   前記リアルタイム処理サーバが、前記送受信するデータに対するリアルタイム分析でアラートを検知し、
   前記インデックス算出サーバが、前記収集対象データを特定するインデックスを生成し、
   前記リアルタイム処理サーバが、前記収集対象データと前記インデックスを関連付けて時系列データテーブルに記録し、
   前記インデックス算出サーバが、アラート識別情報と前記インデックスを関連付けてインデックス特定テーブルに格納し、
   前記リアルタイム処理サーバが、前記アラート識別情報を前記センタシステムに送信し、
   前記データ送信サーバが、前記センタシステムから前記データ要求を受信すると、指定された前記アラート識別情報に関連付いたインデックスを前記インデックス特定テーブルの検索により取得し、前記インデックスで特定される収集対象データを前記時系列データテーブルから取得して前記センタシステムに送信する、
   請求項１に記載のデータ転送監視システム。
10. データの記録および送受信を行う拠点システムを、前記拠点システムとネットワークを介して接続され、前記拠点システムを監視するセンタシステムにより監視するためのデータ転送監視方法であって、
    前記拠点システムは、
    送受信するデータに対するリアルタイム分析でアラートを検知し、
    アラート発生時刻を含む所定の収集対象時間内にあるデータである収集対象データを特定するインデックスを生成し、
    前記収集対象データと前記インデックスを関連付けて時系列データテーブルに記録し、
    アラート識別情報と前記インデックスを関連付けてインデックス特定テーブルに格納し、
    前記アラート識別情報を前記センタシステムに送信し、
    前記センタシステムは、
    前記アラート識別情報を受信すると、
    前記アラート識別情報を指定して、収集対象データを要求するためのデータ要求を前記拠点システムに送信し、
    前記拠点システムは、
    前記データ要求を受信すると、
    指定された前記アラート識別情報に関連付いたインデックスを前記インデックス特定テーブルの検索により取得し、
    前記インデックスで特定される収集対象データを前記時系列データテーブルから取得して前記センタシステムに送信し、
    前記センタシステムは、
    前記収集対象データを受信すると、前記収集対象データを記録する、
    データ転送監視方法。
11. 前記拠点システムは、
    前記収集対象データとして、前記アラート発生時刻を含む必須収集対象時間内にあるデータである必須収集データと、前記必須収集対象時間の前および／または後にある選択対象時間内にあるデータである選択収集データと、にそれぞれ前記インデックスを生成し、
    前記センタシステムから前記データ要求を受信すると前記必須収集データを前記センタシステムに送信し、
    前記センタシステムから更に前記選択収集データを要求するデータ要求を受信すると前記選択収集データを前記センタシステムに送信する、
    請求項１０に記載のデータ転送監視方法。
12. 前記拠点システムは、前記選択収集対象時間を複数の収集単位時間に分けて、それぞれの収集単位時間のデータである選択収集単位データにそれぞれインデックスを生成し、
    前記センタシステムは、前記選択収集単位データを指定したデータ要求を送信し、
    前記拠点システムは、前記データ要求を受信すると、前記データ要求にて指定された選択収集単位データを前記センタシステムに送信する、
    請求項１１に記載のデータ転送監視方法。
13. データの記録および送受信を行う拠点システムと、前記拠点システムとネットワークを介して接続され、前記拠点システムを監視するセンタシステムと、を有するデータ転送監視システムにおける拠点システムであって、
    リアルタイム処理サーバと、
    インデックス算出サーバと、
    データ送信サーバとを有し、
    前記リアルタイム処理サーバが、送受信するデータに対するリアルタイム分析でアラートを検知し、
    前記インデックス処理サーバが、アラート発生時刻を含む所定の収集対象時間内にあるデータである収集対象データを特定するインデックスを生成し、
    前記リアルタイム処理サーバが、前記収集対象データと前記インデックスを関連付けて時系列データテーブルに記録し、
    前記インデックス算出サーバが、アラート識別情報と前記インデックスを関連付けてインデックス特定テーブルに格納し、
    前記リアルタイム処理サーバが、前記アラート識別情報を前記センタシステムに送信し、
    前記データ送信サーバが、前記センタシステムから、前記アラート識別情報を指定した、収集対象データを要求するためのデータ要求を受信すると、指定された前記アラート識別情報に関連付いたインデックスを前記インデックス特定テーブルの検索により取得し、前記インデックスで特定される収集対象データを前記時系列データテーブルから取得して前記センタシステムに送信する、
    拠点システム。