JP2006295576A - フロークラス推定方法およびその装置 - Google Patents

Abstract

【課題】予め定めたクラスに対して、新たに到来したフローがどのクラスに属するかを動的に、かつ高精度に推定することができ、過去に存在しないような属性の組み合わせを持つフローに対してもクラスを推定する。
【解決手段】フロー統計管理部１１１は、当該リンク（あるいは複数リンク）を通過するフローの計測を実施するか、あるいは、別途設置されたフロー計測器からフロー統計を取得し、取得したフロー統計データをフロー管理テーブル１１２に登録する。また、フロー学習部１１３は、フロー管理テーブル１１２に登録された情報を元に、フローが持つ属性とそのフローが属するクラスとの確率的な関係を算出し、学習データ１１４に記録する。フロークラス推定部１１５は、前記学習データを元に、新たに到来したフローの属性からそのフローが属するクラスをナイーブベイズ分類器を用いることにより、確率的に推定する。
【選択図】図２

Description

本発明は、通信網におけるあるリンクを経由するフローのクラスを推定し、フローを管理するフロークラス推定方法ならびにその装置に関する。

ＩＰネットワークが広く利用されてくるに伴い、ネットワークトラヒック管理技術の重要性が高まってきている。特に、トラヒックの単位としてフローを利用することにより、木目の細かいネットワーク管理を実現することができる。フローは、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）のコネクションや発着ホストのペアなど、共通の特徴を持ったパケットの集合として定義される。

ネットワークに到来するフローを監視し、フローが到来すると同時に、そのフローの特性が把握できれば有用である。例えば、回線を圧迫するような巨大なフロー（異常フロー）を、その到来と共に迅速に特定できれば、そのフローの送信レートを速やかに制限することにより、回線が輻輳状態に陥ることを回避できる。
このように、フローの特性（例えば、正常フロー・異常フロー等）に応じてフローのクラス分けを行い、クラスに応じた制御を行うことにより、効果的なネットワーク管理が可能となる。

上述のようなフローの迅速なクラス分けを実現する方法として、予め定められた規則に基づいて、静的にクラス分けを行う手法がある。例えば、優先すべきフローに対して、送信元がそのフローを構成するパケットのヘッダ等（例えば、ＴｏＳ（Ｔｙｐｅ ｏｆ Ｓｅｒｖｉｃｅ）フィールド等）にクラスの情報を記しておくことにより、迅速なクラス分けが可能となる。

しかしながら、このような方法は、全ての送信元にクラスを通知する機構を備えることが必要であり、異なる管理下にある多数の自律ネットワークから構成される現在のインターネットでは、そのような仕組みが存在せず、また、そのような仕組みをネットワーク全体に導入することは実現の可能性が極めて低いという問題がある。
さらに、クラスの決定は、送信元において静的に行われるため、例えば異常トラヒックのように突発的に発生するフローに対して動的にクラス分けをすることができない、という問題があった。

このように、全ての送信元にクラスを通知する機構を備えれば、送信先において動的にフローのクラス分けを行うことができるが、異なる管理下にある多数の自律ネットワークから構成される現在のインターネットでは、このような仕組みをネットワーク全体に導入することは実現不可能である。
また、クラスの決定は、送信元において静的に行われるため、異常トラヒックのように突発的に発生するフローに対して動的にクラス分けをすることができない。

（目的）
本発明の目的は、このような従来の課題を解決し、予め定めたクラスに対して、新たに到来したフローがどのクラスに属するかを動的に、かつ高精度に推定することができ、過去に存在しないような属性の組み合わせを持つフローに対してもクラスを推定することが可能なフロークラス推定方法およびその装置を提供することにある。

本発明のフロー推定方法では、ナイーブベイズ分類器という統計的手法を利用し、過去に学習したフローの属性とそのクラスとの確率的な関係を元に、新たに到来したフローの属性を元に、そのフローが属するクラスを確率的に推定する。ナイーブベイズ分類器を用いることにより、過去に存在しないような属性の組み合わせを持つフローに対しても、尤もらしいクラスを推定することができ、これによりロバストな推定が可能となる。

本発明の第１のフロークラス推定方法では、フロー統計管理部は、当該リンク（あるいは複数リンク）を通過するフローの計測を実施するか、あるいは、別途設置されたフロー計測器からフロー統計を取得し、取得したフロー統計データをフロー管理テーブルに登録する。また、フロー学習部は、前記のフロー管理テーブルに登録された情報を元に、フローが持つ属性とそのフローが属するクラスとの確率的な関係を算出し、学習データに記録する。また、フロークラス推定部は、前記学習データを元に、新たに到来したフローの属性からそのフローが属するクラスをナイーブベイズ分類器を用いることにより、確率的に推定する。

本発明の第２のフロークラス推定方法では、フロー管理テーブルの管理は、１）対象となるリンクを通過するパケットのヘッダ部を参照・計数することで得られた情報をフロー管理テーブルに保持することにより実施するか、あるいは、２）当該リンクに対して別途設置されたフロー計測装置が出力する統計値を取得し、フロー管理テーブルに登録することによって実施する。

本発明の第３のフロークラス推定方法では、フロー管理テーブルは、予め定めた計測期間において、フローを構成するパケットが最初に到着した時刻、最後に到着した時刻、累積送信パケット数、累積送信バイト数、発着インタフェース、フロー属性等から成る。
また、前記フロー属性は、例えば当該フローを構成するパケットのヘッダに記載の発着ＩＰアドレス、発着ＡＳ番号、発着プレフィックス、発着ポート番号、プロトコル種別、ＴＴＬ（Ｔｉｍｅ−ｔｏ−ｌｉｖｅ）、ＴＣＰフラグ、ＴＣＰウィンドウサイズ、ウィンドウスケールオプションの有無、および、その他の値やそれらの値の統計値などのフローについて計測し得るデータのあらゆる組み合わせによって定めることができ、さらに、これらの統計値をハッシュ関数などの手段により集約した形によっても記録することが可能である。ハッシュ関数を用いることにより、管理するデータ数を低減することができる。

本発明の第４のフロークラス推定方法では、フロー学習部は、予め定めた期間において、フロー管理テーブルに記載のフロー統計値を参照し、予め定めた閾値を用いるか、あるいは、統計値の平均値、標準偏差などの値を用いるか、その他任意の統計的手法によって、各フローをクラスＣｉ（Ｃ１，Ｃ２，Ｃ３，・・・Ｃｎ）（ｎ個のクラス）に分類する。

本発明の第５のフロークラス推定方法では、フロー学習部は、フローが分類されるクラスＣｉ、各フローが持つ属性Ａ＝｛Ａ１，Ａ２，Ａ３，・・・，Ａｍ｝（ｍ個の属性）、各属性Ａｊの取り得る値をＡｊ＝ａｊｋとし、
フロー管理テーブルを参照し、クラスｉが生起した回数ｎｉ、およびクラスｉに分類されたフローが属性ａｊｋを有する回数ｎｉｊｋを計数し、
これらの値ｎｉ，ｎｉｊｋを用いてクラスＣｉが生起した条件の下で属性Ａｊが属性値ａｊｋを有する確率をＰ（Ａｊ＝ａｊｋ｜Ｃｉ）＝ｎｉｊｋ／ｎｉのように算出し、学習データに記録する。

本発明の第６のフロークラス推定方法では、第５のフロークラス推定方法におけるフロー学習部における確率Ｐ（Ａｊ＝ａｊｋ｜Ｃｉ）の算出において、クラスＣｉと属性Ａｊがフロー管理テーブル内において同時に存在しない場合を考慮して、フロー管理テーブルに存在するフローの数ｎ、およびその逆数ｆ＝１／ｎ、属性ｊが取り得る値の数をｎｊとし、Ｌａｐｌａｃｅの補正によって、（Ａｊ＝ａｊｋ｜Ｃｉ）＝（ｎｉｊｋ＋ｆ）／（ｎｉ＋ｆ＊ｎｊ）のように算出する。また、補正の方法は、前記Ｌａｐｌａｃｅの補正には限らない。

本発明の第７のフロークラス推定方法では、フロークラス推定部は、リンクの計測、あるいは別途設置されたフロー計測機器からの出力に基づき、新たに到来したフロー毎にその属性Ａを取得し、第５，第６のフロークラス推定方法の学習データに記録された確率Ｐ（Ａｊ＝ａｊｋ｜Ｃｉ）、およびクラスＣｉが生起する確率Ｐ（Ｃｉ）＝ｎｉ／ｎ、を用いて、判別関数ｆ（Ｃｉ）＝Ｐ（Ｃｉ）＊ΠｊＰ（Ａｊ＝ａｊｋ｜Ｃｉ）（なお、Πｊは全てのｊについて以降に続く項を乗算する演算を示す）を全てのクラスＣｉに対して算出し、その内判別関数の最大値を与えるＣｉを当該フローのクラスとして（ナイーブベイズ分類器）推定する。

本発明の第８のフロークラス推定方法では、フロークラスの推定は、全てのフローが到来する毎に実施してもよいし、サンプリングやフィルタリングなどの手法によって、推定を実施するフローを限定することも可能である。

本発明によれば、予め定めたクラスに対して、新たに到来したフローがどのクラスに属するかを動的に、かつ高精度に推定することができる。また、ナイーブベイズ分類器という統計的手法を利用して、過去に学習したフローの属性とそのクラスとの確率的な関係を元に、新たに到来したフローの属性を元にそのそのフローが属するクラスを確率的に推定することができる。その結果、過去に存在しないような属性の組み合わせを持つフローに対しても、クラスを推定できるので、ロバストな推定が可能である。

以下、図面により本発明の実施例を説明する。
なお、実施例では、簡単のために、１）フロー統計をフロークラス推定装置自身が取得し、２）フローは、同一の発着ＩＰアドレス、発着ポート番号、プロトコル種別を有するパケットの場合として定義し、３）フロークラスはフローサイズの大小によって定める２クラスである場合を例に説明するが、本発明の適用範囲はこの実施例に限定されるものではない。

図１は、本発明が適用されるＩＰネットワークの基本構成の一例を示す構成図である。
図１に示すように、フロークラス推定装置１１は、ネットワークの主要なリンク１２を構成するルータ１０等のノードに併設する形態で利用される。
フロークラス推定装置１１は、ルータ１０上を経由するトラヒックを、以下のような方法のいずれかにより計測することができる。
１）リンク１２上を光カプラやタップ等のデバイスを用いることにより、リンク１２上を流れる全てのパケットをフロークラス推定装置１１に向けて分岐される。
２）ルータ１０におけるポートミラーリング機能などを用い、ルータ１０を経由する全てのパケットをフロークラス推定装置１１にコピーする。

フロークラス測定装置１１は、前記１）または２）のような手法により、図１におけるリンク１２上に発生する全てのフローの統計を構成し、取得することができるが、その方法は、前記に挙げた方法に限定されるものではなく、例えば、フロークラス推定装置１１そのものに光カプラもしくはタップの機能を組み込むことにより、当該回線に対して挿入するような形態で利用することも可能である。

図２は、本発明の一実施例に係るフロークラス推定装置の構成図である。
フロークラス推定装置１１にパケットが到着すると、まずフロー統計管理部１１１に入力する。フローを管理するために必要な処理を行った後、フロー管理テーブル１１２に必要事項を書き込む。フロー学習部１１３は、書き込まれたフロー管理テーブル１１２の内容を読み込んで、これを解析し、学習データ１１４に一旦書き込んだ後、フロークラス推定部１１５に転送して、フロークラスを推定させる。
本実施例では、フロークラス推定装置１１への入力は、上記１）あるいは２）等の手段により取得したパケットのヘッダ情報であるが、他の例として、Ｃｉｓｃｏ社が提供しているＮｅｔＦｌｏｗ等の別途リンク上に設置されたフロー計測装置が出力するデータであっても構わない。

図３は、本発明の一実施例に係るフロー管理テーブルの構成図である。
図３では、簡単のためにフロー属性として発着ＩＰアドレス、発着ポート番号、プロトコル種別を用い、フロー統計値として累積送信バイト数のみを用いた例を示している。それ以外に、最初に到着した時刻、最後に到着した時刻も記録される。

図４は、本発明において構成する学習データの一例を示す図である。
図４の上図のデータベースでは、クラスＣｉに属するフロー数、およびクラスＣｉかつ属性Ａｊが値ａｊｋを持つフローの数を記録する。
また、図４の下図のデータベースでは、上図のデータおよびＬａｐｌａｃｅの補正を用いてクラスＣｉであるフローが属性Ａを持つ確率を算出している。
この例では、簡単のために、属性を２つ（Ａ１，Ａ２）とし、それぞれが取り得る値を図中に示したように（ａ１１，ａ１２，・・・ａ２４）、４個ずつに限定した例を示している。例えば、図から、クラスＣ１に属するフローの総数はｎ１＝３７であり、クラスＣ２かつその属性Ａ２の値が，Ａ２＝ａ２３となったフローの数はｎ２２３＝４である。

図５は、本発明の一実施例に係るフロークラス推定部がクラスを決定する際の手順を示すフローチャートである。
図２に示した通り、フロークラス推定装置１１にパケットが到着すると（ステップ１０１）、フロー統計管理部１１１において、ヘッダに記載された値を読み込み、フロー毎に統計値をフロー管理テーブル１１２に記録し、更新する。図５では、統計値の例として、最初にパケットが到着した時刻、最後にパケットが到着した時刻、累積バイト数を示している。フロー統計管理部１１１は、フロー管理テーブル１１２に登録されていない新たなフローが到来する毎に新たに登録し、既にフロー管理テーブル１１２に登録されているフローが到来したならば、その統計値を更新する。

フロー管理テーブル１１２は、１）そのメモリの容量に空きがある限りエントリを増やしても良いし、２）予め定めたタイミングやルールに従って一部のフロー統計を随時消去することも可能である。例えば、１）のような場合、あるタイミングでメモリの容量が限界に達した時点で、その時のエントリされたフロー情報を全て消去する。また、２）の場合、例えば、フロー毎に、最後に到着したパケットの時刻を管理し、その時刻と現在の時刻との差が予め定めることのできるタイムアウト値＝Ｔ秒以上になった時点や、その他のタイミングやルールに従って、該当するフローの統計値を消去することにより、同時に保持するフロー数を適切に管理することができる。

フロー学習部１１３は、予め任意の値に定めることのできる時間的周期ないしはタイミングが到来する毎にフロー学習データを構築する。すなわち、予め定めた規則に基づいて、フロー管理テーブル１１２に登録された全てのフローをクラス毎に分類し、また各々のフローが持つ属性の値を用いて学習データにｎｉ、およびｎｉｊｋを記録する。その例を、図４の上図に示している。
フロー学習部１１３は、さらに学習データに記録されたデータを元に、確率Ｐ（Ｃｉ）およびＰ（Ａｊ＝ａｊｋ｜Ｃｉ）を算出する。

この際に、フロー学習部１１３は、フロー管理テーブル１１２に存在するフローの総数をｎとし、その逆数ｆ＝１／ｎ、属性ｊが取り得る値の数をｎｊとし、Ｌａｐｌａｃｅの補正によって、Ｐ（Ａｊ＝ａｊｋ｜Ｃｉ）＝（ｎｉｊｋ＋ｆ）／（ｎｉ＋ｆ＊ｎｊ）のように算出する。
その例を、図４の下図に示している。

フロークラス推定部１１５は、リンクの計測、あるいは別途設置されたフロー計測機器からの出力に基づき、新たに到来したフロー毎にその属性Ａを取得し、その属性Ａを調べる（ステップ１０２）。すなわち、学習データ１１４に記録された確率Ｐ（Ａｊ＝ａｊｋ｜Ｃｉ）、およびクラスＣｉが生起する確率Ｐ（Ｃｉ）＝ｎｉ／ｎを用いて、判別関数ｆ（Ｃｉ）＝Ｐ（Ｃｉ）＊ΠｊＰ（Ａｊ＝ａｊｋ｜Ｃｉ）（Πｊは全てのｊについて以降に続く項を乗算する演算を示す）を全てのクラスＣｉに対して算出し（ステップ１０３）、そのうち判別関数の最大値を与えるＣｉを当該フローのクラスとして推定する（ステップ１０４）。

本実施例では、図２に示すフロークラス推定装置１１のフロー統計管理部１１１は、フロー管理テーブル１１２に情報を書き込むか、またはテーブル１１２から読み出す読み書き制御回路を備えており、また、フロー学習部１１３は到来したフローの情報がフロー管理テーブル１１２に登録される毎に、これを読み出して、演算回路により算出することにより、学習データ１１４に記録する。また、フロークラス推定部１１５は、該フローが属するクラスを確率的に推定するために、ナイーブベイズ分類器を備えている。
そして、本発明のフロークラス推定装置１１は、コンピュータの制御により処理を実施する。

図５に示すフロー到来による処理の手順を、プログラム化してＣＤ−ＲＯＭなどの記録媒体に格納しておけば、この記録媒体をルータに接続されたフロークラス推定装置のコンピュータに装着して、コンピュータにプログラムをインストールし、実行させることで、本発明によるフロークラスの推定方法を容易に実現することができる。また、ネットワークを介して上記コンピュータからユーザの希望者にダウンロードすることで、上記プログラムの汎用化が実現可能となる。

本発明が適用されるＩＰネットワークの基本構成の一例を示す構成図である。 本発明の一実施例に係るフロークラス推定装置の構成図である。 本発明の一実施例に係るフロー管理テーブルの構成図である。 本発明の一実施例に係るフロー学習部が処理した学習データの説明図である。 本発明の一実施例に係るフロークラス推定部の処理手順を示すフローチャートである。

符号の説明

１０：ルータ
１１：フロークラス推定装置
１２：リンク
１１１：フロー統計管理部
１１２：フロー管理テーブル
１１３：フロー学習部
１１４：学習データ
１１５：フロークラス推定部

Claims (9)

1. コンピュータの制御により、通信網における１ないし複数のリンクを経由するフローのクラスを確率的に推定する装置であって、
   当該１ないし複数のリンクを通過するフローをそれぞれ計測して、計測値を読み出すことで取得するか、あるいは、別途設置されたフロー計測器からフロー統計値を読み出すことで取得し、取得したフロー統計データをフロー管理テーブルに登録するフロー統計管理部と、
   前記フロー管理テーブルに登録された情報を元に、フローが持つ属性と該フローが属するクラスとの確率的な関係を演算回路により算出し、算出結果を学習データに記録するフロー学習部と、
   前記学習データを元に新たに到来したフローの属性から、ナイーブベイズ分類器を用いて該分類器の分類結果を読み取ることにより、該フローが属するクラスを確率的に推定するフロークラス推定部と
   を有することを特徴とするフロークラス推定装置。
2. コンピュータの制御により、通信網における１ないし複数のリンクを経由するフローのクラスを確率的に推定する方法であって、
   フロー統計管理部は、当該１ないし複数のリンクを通過するフローをそれぞれ計測して、計測値を読み出すことで取得するか、あるいは、別途設置されたフロー計測器からフロー統計値を読み出すことで取得し、取得したフロー統計データをフロー管理テーブルに書き込むことにより登録し、
   フロー学習部は、前記フロー管理テーブルに登録された情報を読み出し、該情報に基づいてフローが持つ属性と該フローが属するクラスとの確率的な関係を演算回路により算出し、算出結果を学習データに記録し、
   フロー推定部は、前記学習データを元に新たに到来したフローの属性から、ナイーブベイズ分類器を用いて該分類器の分類結果を読み取ることにより、該フローが属するクラスを確率的に推定する
   ことを特徴とするフロークラス推定方法。
3. 請求項２に記載のフロークラス推定方法において、
   前記フロー統計管理部は、フロー管理テーブルを管理するために、１）当該リンクを通過するパケットのヘッダ部を参照し、計数することにより得られた情報をフロー管理テーブルに保持することにより実施するか、あるいは、２）当該リンクに対して別途設置された他のフロー計測装置を用いて、前記別途設置されたフロー計測装置が出力する統計値を取得し、前記フロー管理テーブルに登録することにより実施する
   ことを特徴とするフロークラス推定方法。
4. 請求項２に記載のフロークラス推定方法において、
   前記フロー管理テーブルは、予め定めた計測期間において、少なくともフローを構成するパケットが最初に到着した時刻、最後に到着した時刻、累積送信パケット数、累積送信バイト数、発着インタフェース、フロー属性から成り、
   前記フロー属性は、例えば当該フローを構成するパケットのヘッダに記載の発着ＩＰアドレス、発着ＡＳ番号、発着プリフィックス、発着ポート番号、プロトコル種別、ＴＴＬ、ＴＣＰフラグ、ＴＣＰウィンドウサイズ、ウィンドウスケールオプションの有無、および、その他の値やそれらの統計値を含むものから、フローについて計測し得るデータの任意の組み合わせにより定め、さらに該統計値をハッシュ関数などの方法により集約した形によっても記録する
   ことを特徴とするフロークラス推定方法。
5. 請求項２に記載のフロークラス推定方法において、
   前記フロー学習部は、予め定めた期間において、フロー管理テーブルに記載のフローサイズ等のフロー統計値を参照し、予め定めた閾値を用いるか、あるいは、統計値の平均値、標準偏差などの値を用いるか、あるいは、その他の任意の統計的手法によって、各フローを複数個のクラスに分類する
   ことを特徴とするフロークラス推定方法。
6. 請求項２に記載のフロークラス推定方法において、
   前記フロー学習部は、フローが分類されるクラスＣｉ、各フローが持つ属性Ａ＝｛Ａ１，Ａ２，Ａ３，・・，Ａｍ｝（ｍ個の属性）、各属性Ａｊの取り得る値をＡｊ＝ａｊｋ（ｋ＝１，２，・・）とし、
   フロー管理テーブルを参照して、クラスｉが生起した回数ｎｉ、およびクラスｉに分類されたフローが属性ａｊｋを持つ回数ｎｉｊｋを計数し、
   前記の値ｎｉ，ｎｉｊｋを用いて、クラスＣｉが生起した条件の下で属性Ａｊが属性値ａｊｋを有する確率をＰ（Ａｊ＝ａｊｋ｜Ｃｉ）＝ｎｉｊｋ／ｎｉのように算出し、
   学習データに記録する
   ことを特徴とするフロークラス推定方法。
7. 請求項６に記載のフロークラス推定方法において、
   前記フロー学習部における確率Ｐ（Ａｊ＝ａｊｋ｜Ｃｉ）の算出は、クラスＣｉと属性Ａｊがフロー管理テーブル内において同時に存在しない場合を考慮して、該フロー管理テーブルに存在するフローの数ｎ、および、その逆数ｆ＝１／ｎ、属性ｊが取り得る値の数をｎｊとし、Ｌａｐｌａｃｅの補正によって、
   Ｐ（Ａｊ＝ａｊｋ｜Ｃｉ）＝（ｎｉｊｋ＋ｆ）／（ｎｉ＋ｆ×ｎｊ）
   のように算出するか、あるいは、
   補正の方法は前記Ｌａｐｌａｃｅの補正に限らない
   ことを特徴とするフロークラス推定方法。
8. 請求項２，５または６のいずれかに記載のフロークラス推定方法において、
   前記フロークラス推定部は、リンクの計測、あるいは別途設置されたフロー計測機器からの出力に基づき、新たに到来したフロー毎にその属性Ａを取得し、
   請求項５または６に記載した学習データに記録された確率Ｐ（Ａｊ＝ａｊｋ｜Ｃｉ）、および、クラスＣｉが生起する確率Ｐ（Ｃｉ）＝ｎｉ／ｎを用いて、判別関数ｆ（Ｃｉ）＝Ｐ（Ｃｉ）×ΠｊＰ（Ａｊ＝ａｊｋ｜Ｃｉ）（Πｊは全てのｊについて以降に続く項を乗算する演算を示す）を全てのクラスＣｉに対して算出し、
   そのうち前記判別関数の最大値を与えるＣｉを当該フローのクラスとして、ナイーブベイズ分類器により推定する
   ことを特徴とするフロークラス推定方法。
9. 請求項８に記載のフロークラス推定方法において、
   前記フロークラス推定部は、全てのフローが到来する毎に実施するか、あるいは、サンプリングやフィルタリングなどの手法により、推定を実施するフローを限定する
   ことを特徴とするフロークラス推定方法。

Images