JP2011176387A - トラヒック変化原因集約フロー属性値特定方法およびシステム - Google Patents

Abstract

【課題】ツリーのノード組み合わせを全て列挙することなくトラヒック変化原因として特定すべき集約フロー属性値の組み合わせを特定する。
【解決手段】フロー属性値抽出部３０３がトラヒック量変化後のトラヒックに観測されるフロー属性値を抽出する。集約フロー属性ツリー生成部３０４がフロー属性値からフロー属性値を集約したツリーを生成し、ツリーの各ノードに対してトラヒック量変化前後のトラヒックからトラヒック変化原因を表現するパラメータ値を計算する。トラヒック変化原因集約フロー属性値特定部３０５がツリーからノードの組み合わせを全てのノード組み合わせを生成することなく生成し、当該ノード組み合わせに対してパラメータ値からトラヒック変化原因度合いを表現する予め与えられた評価式によって評価値を計算し、評価値が最大となるノード組み合わせをトラヒック変化原因集約フロー属性値として特定する。
【選択図】図３

Description

本発明は、トラヒック分析方法に係わり、特に、トラヒック量が変化した際にそのトラヒック変化原因を少ない記憶領域を用いて迅速に提示することにより、監視者が迅速に対応策の判断を行うことが可能となる技術に関する。

ＤＤｏＳ攻撃などの特定サーバに対する大量トラヒック送信によるサイバー攻撃対策として、この攻撃トラヒックをネットワークにおいて遮断する手法があるが、このとき当該サーバに対する正常トラヒックを遮断せず、攻撃トラヒックのみを遮断する必要がある。このため、攻撃トラヒックによってトラヒック量が急増した後にのみ特徴的に出現するフロー属性値を特定し、そのフロー属性値に属するトラヒックのみを遮断する必要がある。

従来は攻撃後に発生したトラヒックを監視、分析し、トラヒック量上位Ｎ個の送信元ＩＰアドレスを特定する手法が一般的であった。この手法では、それら送信元ＩＰアドレスからのトラヒックが攻撃発生前に存在していたか不明であり、かつ数千台に上る多数の端末から攻撃トラヒックを送信された場合にすべて特定し、かつネットワーク機器にそれら遮断設定を行うことは困難という課題があった。

一方、トラヒックを監視しプロファイリングする手法として、個々のＩＰアドレスを提示するのではなく、ＩＰアドレスをツリー表現し、ツリーの上位ノードとなる少数のＩＰアドレスプレフィックスに集約し、提示する手法が提案されている。図１にＩＰアドレスツリーの例を示す。この場合、例えば対象トラヒック中に１０．１０．１０．１、１０．１０．１０．２、…、１０．１０．１０．２４０のＩＰアドレスが出現した場合、個々のＩＰアドレスを提示するのではなく、ＩＰアドレスプレフィックス１０．１０．１０．０／２４に集約し提示することにより、少数の集約フロー属性値で特徴を捉えることが可能となる。非特許文献１では、ある期間のトラヒックに出現するＩＰアドレスをツリー表現し、かつ少数のＩＰアドレスプレフィックスに集約、提示する手法において、ツリーのノード数を一定数以下に抑えるためにＩＰアドレスプレフィックスを自動的に集約する手法を提案している。また、非特許文献２においても、ある期間のトラヒックをツリー表現し、可視化する手法が提案されている。ツリーのサイズを抑えるために、ノードのトラヒックが一定量以上となるよう自動的に集約するほか、ＩＰアドレスのみならずプロトコル番号などのフロー属性についても対象とし、最終的に複数の集約フロー属性値の組を特定する。しかしながらこれらの手法においては、ある期間のトラヒックに含まれる特徴的なトラヒックを特定するのみであり、トラヒック量変化前後の比較を行っていないため、攻撃トラヒックのみを特定することはできない。

非特許文献３は非特許文献２の手法を応用し、ＤＤｏＳ攻撃トラヒックの遮断ルールを生成することを目的に、トラヒック量変化後にのみ出現する送信元ＩＰアドレスプレフィックスを遮断ルールとして特定する手法を提案している。同文献では、遮断ルール数が予め定めた閾値以下、トラヒック量変化後に生成したルールに該当するトラヒック量が予め定めた閾値以上となる二つの制約を満たす範囲内で、トラヒック量変化前に該当するトラヒック量が最小化するようなＩＰアドレスプレフィックスを特定する。また、特許文献１では、ＩＰアドレスのみならず、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート、宛先ポート、ＴＴＬ（Time To Live）、送信元ＡＳ番号、宛先ＡＳ番号、転送に用いられるルータインタフェース番号、経由ルータのフロー属性を対象に、トラヒック量変化後にのみ出現するフロー属性値を集約し、少数の集約フロー属性値として特定、提示する手法を提案している。非特許文献３におけるＩＰアドレス、ＩＰアドレスプレフィックスが特許文献１のフロー属性値、集約フロー属性値に対応する。同手法では、集約フロー属性値数の最小化、トラヒック量変化前に、集約フロー属性値に該当するトラヒック量の最小化、およびトラヒック量変化後にのみ発生したトラヒック量のうち集約フロー属性値に該当するトラヒック量の最大化の三目的を同時に満たすために、これら三パラメータからなる評価式の最大値をとる集約フロー属性値を特定する。

このとき、集約フロー属性値の特定において、非特許文献３および特許文献１のどちらも、全ての集約フロー属性値の組み合わせを列挙し、その組み合わせに対して、トラヒック量変化前のトラヒック量、もしくは評価値を計算し、その最小値、もしくは最大値をとる組み合わせをトラヒック変化原因集約フロー属性値として特定する。例えば特許文献１においてフロー属性として、トラヒック量変化後のトラヒックに特徴的に含まれるＩＰアドレスプレフィックスを特定する場合、トラヒック量変化前後の差分トラヒックに出現するＩＰアドレスをツリー表現したものを図１とすると、特許文献１の手法では、ルートノードである｛０．０．０．０／０｝から開始し、｛０．０．０．０／０｝、｛０．０．０．０／１｝、｛１２８．０．０．０／１｝、｛０．０．０．０／１，１２８．０．０．０／１｝、｛０．０．０．０／２｝、｛６４．０．０．０／２｝、｛０．０．０．０／２，６４．０．０．０／２｝、｛０．０．０．０／２，１２８．０．０．０／１｝、｛６４．０．０．０／２，１２８．０．０．０／１｝、｛０．０．０．０／２，６４．０．０．０／２，１２８．０．０．０／１｝、…とツリーにおいて上下関係の重複のない全てのノード組み合わせを列挙し、そのノード組み合わせに対して評価値を計算し、評価値が最大となるノード組み合わせを特定する。

K. Cho、 R. Kaizaki, and A. Kato， "An Aggregation Technique for Traffic Monitoring，" IPSJ／IEEE SAINT2002， Jan. 2002. C. Estan, S. Savage， G. Varghese， "Automatically Inferring Patterns of Resource Consumption in Network Traffic，" ACM SIGCOMM’03， Aug. 2003. G. Pack， J. Yoon， E. Collins and C. Estan， "On Filtering of DDoS Attacks Based on Source Address Prefixes，" UW CS technical report 1547， December 2005. 近藤毅，石橋圭介，"正常・異常時の差分特定による異常トラフィック特定手法，"電子情報通信学会技術研究報告 ＩＮ２００７−６２，２００７年９月．

特開２００９−０４４５０１号公報「トラフィック量変化原因特定方法、システム、プログラム、及び記録媒体」

しかしながら、この場合、ツリーのノード数が増えるとそのノード組み合わせ数が爆発的に増大するという問題がある。図２にツリーが完全二分木の（親ノードが必ず２個の子ノードを持つ）場合の、末端ノード数に対するノード組み合わせ数を計算したグラフを示す。縦軸は対数であり、指数関数的に増大することがわかる。非特許文献３および特許文献１では、処理可能なノード組み合わせ数に押さえるために、ツリーを集約された上位ノードのみに制限して評価する対処がとられているが、この場合、詳細な特定ができないという問題が発生する。

本発明は上記課題を鑑みてなされたもので、本発明の目的は、トラヒック量変化時においてそのトラヒック変化原因となったトラヒックを集約フロー属性値の形式で提示する際に、指数関数的に増大しうる、フロー属性値から構成されるツリーのノード組み合わせを全て列挙することなく、トラヒック変化原因として特定すべき集約フロー属性値の組み合わせを特定する手段を提供することにある。このため、ノード組み合わせを生成する際に、評価値を計算するためのパラメータ値が閾値を超えており評価値最大ノード組み合わせとなる可能性が非常に小さい組み合わせを生成しない、もしくは、全体ツリーのノード組み合わせでなく、まず部分ツリーのノード組み合わせ中の評価値最大ノード組み合わせを選択し、全体ツリーのノード組み合わせとしては、部分ツリーで評価値最大となったノード組み合わせのみを用いる動的計画法を用いることを特徴とする。

本明細書において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。

第１の発明は、ネットワーク上のトラヒック量が変化した場合に、その変化の原因となった集約フロー属性値の一つまたは複数の組み合わせを特定するトラヒック変化原因集約フロー属性値特定システムにおけるトラヒック変化原因集約フロー属性値特定方法であって、前記トラヒック変化原因集約フロー属性値特定システムは、フロー属性値抽出部と集約フロー属性ツリー生成部とトラヒック変化原因集約フロー属性値特定部とを備え、前記フロー属性値抽出部が、トラヒック量変化後のトラヒックにおいて観測されるフロー属性値を抽出するステップと、前記集約フロー属性ツリー生成部が、前記フロー属性値抽出部により抽出されたフロー属性値から、フロー属性値を集約したツリーを生成し、ツリーの各ノードに対して、トラヒック量変化前後のトラヒックからトラヒック変化原因を表現する一つまたは複数のパラメータ値を計算するステップと、前記トラヒック変化原因集約フロー属性値特定部が、前記集約フロー属性ツリー生成部が生成したツリーからノードの組み合わせを生成し、当該ノード組み合わせに対して、前記一つまたは複数のパラメータ値からトラヒック変化原因度合いを表現する予め与えられた評価式によって、評価値を計算し、最終的にツリーから生成した全てのノード組み合わせのうち、評価値が最大となるノード組み合わせをトラヒック変化原因集約フロー属性値として特定するステップとを含み、前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、最終的にツリーから生成した全てのノード組み合わせを生成することなく、評価式最大値をとるノード組み合わせを特定することを特徴とする。

第２の発明は、第１の発明において、前記トラヒック変化原因集約フロー属性値特定システムは、変化検出時刻取得部と変化前後トラヒック取得部とを備え、前記変化検出時刻取得部が、トラヒック量変化時刻を取得するステップと、前記変化前後トラヒック取得部が、トラヒック量変化前後のトラヒック情報を取得するステップとを含み、前記変化前後トラヒック取得部が取得したトラヒック情報を前記フロー属性値抽出部と前記集約フロー属性ツリー生成部が用いることを特徴とする。

第３の発明は、第１または第２の発明において、前記一つまたは複数のパラメータは、変化前後のトラヒック量の差のうち、当該ノード組み合わせのトラヒック量変化が占める割合を示す寄与率、変化前のトラヒック量のうち、当該ノード組み合わせのトラヒック量が占める割合を示す巻き添え率、ノード組み合わせに含まれるノード組み合わせ数、ノード組み合わせが属するフロー属性の全属性値数に占める当該ノード組み合わせの属性値数を示す範囲率、の全てまたは一つまたは複数を含むことを特徴とする。

第４の発明は、第１〜３の発明において、前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、前記一つまたは複数のパラメータに閾値を設け、閾値を超過するノード組み合わせを生成しないことにより、または、部分ツリーのノード組み合わせ中の評価値最大ノード組み合わせを選択し、全体ツリーのノード組み合わせとしては、部分ツリーで評価値最大となったノード組み合わせのみを用いる動的計画法を用いることにより、最終的にツリーから生成した全ノード組み合わせを生成しないことを特徴とする。

第５の発明は、第１〜３の発明において、前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、ノード組み合わせ数に対して予め閾値を設定し、閾値以上となるノード組み合わせを生成しないことにより、最終的にツリーから生成した全ノード組み合わせを生成しないことを特徴とする。

第６の発明は、第１〜３の発明において、前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、寄与率に対して予め閾値を設定し、閾値以上となり得ないノード組み合わせを生成しないことにより、最終的にツリーから生成した全ノード組み合わせを生成しないことを特徴とする。

第７の発明は、第１〜第３の発明において、前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、ノード組み合わせ数および寄与率に対して予め閾値を設定し、ノード組み合わせ数閾値以上となり、かつ寄与率閾値以上となり得ないノード組み合わせを生成しないことにより、最終的にツリーから生成した全ノード組み合わせを生成しないことを特徴とする。

第８の発明は、第１〜第３の発明において、前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、末端ノードを含む部分ツリー内で評価式最大値をとるノード組み合わせを特定し、当該ノード組み合わせを部分ツリーの代表ノード組み合わせとして、部分ツリーを含むツリーのノード組み合わせ特定時には、代表ノード組み合わせの組み合わせを用いて再帰的に評価式最大値のノード組み合わせを特定する動的計画法を適用することにより、最終的にツリーから生成した全ノード組み合わせを生成しないことを特徴とする。

第９の発明は、ネットワーク上のトラヒック量が変化した場合に、その変化の原因となった集約フロー属性値の一つまたは複数の組み合わせを特定するトラヒック変化原因集約フロー属性値特定システムであって、トラヒック量変化後のトラヒックにおいて観測されるフロー属性値を抽出するフロー属性値抽出部と、前記フロー属性値抽出部により抽出されたフロー属性値から、フロー属性値を集約したツリーを生成し、ツリーの各ノードに対して、トラヒック量変化前後のトラヒックからトラヒック変化原因を表現する一つまたは複数のパラメータ値を計算する集約フロー属性ツリー生成部と、前記集約フロー属性ツリー生成部が生成したツリーからノードの組み合わせを生成し、当該ノード組み合わせに対して、前記一つまたは複数のパラメータ値からトラヒック変化原因度合いを表現する予め与えられた評価式によって、評価値を計算し、最終的にツリーから生成した全てのノード組み合わせのうち、評価値が最大となるノード組み合わせをトラヒック変化原因集約フロー属性値として特定するトラヒック変化原因集約フロー属性値特定部とを備え、前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、最終的にツリーから生成した全てのノード組み合わせを生成することなく、評価式最大値をとるノード組み合わせを特定することを特徴とする。

本発明により、トラヒック量変化時においてそのトラヒック変化原因となったトラヒックを集約フロー属性値の形式で提示する際に、指数関数的に増大しうる、フロー属性値から構成されるツリーのノード組み合わせを全て列挙することなく、トラヒック変化原因として特定すべき集約フロー属性値の組み合わせを特定することができる。

ＩＰアドレスツリーの例を示す図である。 ツリーが完全二分木の場合の、末端ノード数に対するノード組み合わせ数を計算したグラフである。 本発明の実施例のトラヒック変化原因集約フロー属性値特定システムの構成を示すブロック図である。 変化前後トラヒック取得部のフローチャートである。 フロー属性抽出部のフローチャートである。 抽出後のフロー属性値リストの例を示す図である。 集約フロー属性ツリー生成部のフローチャートである。 フロー属性値が送信元・送信先ＡＳ番号の場合の例を示す図である。 フロー属性値が送信元ＩＰアドレス逆引きドメイン名、送信先ＩＰアドレス逆引きドメイン名の場合の例を示す図である。 トラヒック変化原因集約フロー属性値特定部（方式１）のフローチャート（その１）である。 トラヒック変化原因集約フロー属性値特定部（方式１）のフローチャート（その２）である。 ツリーの上下関係の重複のないノード組み合わせ全リストの生成方法の一つを説明するための図である。 子ノード置き換えによる寄与率上昇上限値およびノード置き換え作業停止を説明するための図である。 トラヒック変化原因集約フロー属性値特定部（方式２）のフローチャートである。 動的計画法を用いた評価式最大となるノード組み合わせ特定を説明するための図である。

以下、図面を参照して本発明の実施例を詳細に説明する。

図３は本発明の実施例のトラヒック変化原因集約フロー属性値特定システムの構成を示すブロック図である。

図３において、３００はトラヒック変化原因集約フロー属性値特定システム、３０１は変化検出時刻取得部、３０２は変化前後トラヒック取得部、３０３はフロー属性値抽出部、３０４は集約フロー属性ツリー生成部、３０５はトラヒック変化原因集約フロー属性値特定部、３１１はＤＮＳ（Domain Name System）サーバ、３１２は経路情報、３１３は蓄積トラヒック情報、３１４はトラヒック量変化検出システム、３１５、３１６は監視者である。

トラヒック変化原因集約フロー属性値特定システム３００は、変化検出時刻取得部３０１、変化前後トラヒック取得部３０２、フロー属性値抽出部３０３、集約フロー属性ツリー生成部３０４、およびトラヒック変化原因集約フロー属性値特定部３０５を備える。トラヒック変化原因集約フロー属性値特定システム３００は、コンピュータとプログラムで構成できる。そのプログラムの一部または全部をハードウェアで構成することもできる。経路情報３１２、蓄積トラヒック情報３１３は記憶装置に記憶されている。

図３に示す構成において、変化検出時刻取得部３０１は外部のトラヒック量変化検出システム３１４から変化時刻を取得する。トラヒック量変化検出システム３１４が変化検出時にトラヒック変化原因集約フロー属性値特定システム３００にアラート情報を送信し、トラヒック変化原因集約フロー属性値特定システム３００がアラート受信時刻を変化時刻として使用してもよい。またトラヒック量変化を手動で検出した監視者３１５が検出時刻を入力する形態でもよい。

変化前後トラヒック取得部３０２は、変化検出時刻前後のトラヒックを蓄積トラヒック情報３１３から取得する。図４に変化前後トラヒック取得部３０２のフローチャートを示す。

図４に示すように、変化前後トラヒック取得部３０２は、変化前トラヒック取得時間と変化後トラヒック取得時間を取得し（Ｓ４０１）、蓄積トラヒック情報３１３からトラヒックレコードを取得する（Ｓ４０２）。取得トラヒックレコードが（１）変化前トラヒック取得時間のレコードか、（２）変化後トラヒック取得時間のレコードか、（３）いずれでもないかの判断を行い（Ｓ４０３）、（１）変化前トラヒック取得時間のレコードの場合は変化前トラヒックレコードとして蓄積してＳ４０６に進み（Ｓ４０４）、（２）変化後トラヒック取得時間のレコードの場合は変化後トラヒックレコードとして蓄積してＳ４０６に進み（Ｓ４０５）、（３）いずれでもない場合はＳ４０６に進む。全ての蓄積トラヒック情報の処理を終了していない場合はＳ４０２に戻り（Ｓ４０６）、全ての蓄積トラヒック情報の処理を終了した場合は全ての変化前トラヒックレコード、変化後トラヒックレコードを出力する（Ｓ４０７）。

ここで変化検出時刻前後としてトラヒックを取得する時間は予め定めた値でもよいし、監視者が入力した値でもよい。トラヒック情報としては、ネットワーク上転送されているパケットをネットワーク中のリンクでタッピング、もしくはスイッチ等からミラーリングしたパケット情報でもよいし、ネットワーク中のルータ等から出力されるフロー情報でもよい。以下、これら個々のパケット情報、フロー情報をトラヒックレコードと呼ぶ。

フロー属性値抽出部３０３は、予め指定された一つ、または複数のフロー属性に対し、変化前後トラヒック取得部３０２において取得されたトラヒックレコードのうち、トラヒック量変化後のトラヒックレコードにおいて観測されるフロー属性値を抽出し、かつ抽出された属性値毎に、トラヒック量変化前後のパケット数、バイト数等のトラヒック量情報を付与し、フロー属性値リストを生成する。図５にフロー属性抽出部３０３のフローチャートを示す。

図５に示すように、フロー属性値抽出部３０３は、抽出属性情報を取得し（Ｓ５０１）、変化後トラヒックレコードを取得し（Ｓ５０２）、トラヒックレコードの属性値を抽出し（Ｓ５０３）、抽出属性値が既に属性値リストに存在する場合はＳ５０６に進み（Ｓ５０４）、存在しない場合は属性値リストに当該抽出属性値を追加してＳ５０６に進み（Ｓ５０５）、当該トラヒックレコードのトラヒック量を属性値のトラヒック量に加算し（Ｓ５０６）、全ての変化トラヒックレコードの処理が終了していない場合はＳ５０２に戻り（Ｓ５０７）、全ての変化トラヒックレコードの処理が終了した場合はフロー属性値リストを出力する（Ｓ５０８）。

フロー属性値の例としては、送信元ＩＰアドレス、送信先ＩＰアドレス、プロトコル、送信元ポート番号、送信先ポート番号、送信元ＡＳ番号、送信先ＡＳ番号、送信元ＩＰアドレス逆引きドメイン名、送信先ＩＰアドレス逆引きドメイン名、経由ネットワーク装置のインターフェースの全てもしくはいずれかの一つ以上の組み合わせとなる。ここで送信元ＡＳ番号、送信先ＡＳ番号が蓄積トラヒック情報３１３として蓄積されていない場合には、それぞれ送信元ＩＰアドレス、送信先ＩＰアドレスから外部経路情報を参照し、送信元ＡＳ番号、送信先ＡＳ番号に変換してもよい。同様に、送信元ＩＰアドレス逆引きドメイン名、送信先ＩＰアドレス逆引きドメイン名が蓄積トラヒック情報として蓄積されていない場合には、外部ＤＮＳサーバ３１１を参照し、送信元ＩＰアドレス、送信先ＩＰアドレスからドメイン名を逆引きしてもよい。図６に抽出後のフロー属性値リストの例を示す。

図６において、６０１はフロー属性値が送信元ＩＰアドレスの場合のフロー属性値リストの例であり、フロー属性値である送信元ＩＰアドレス毎にトラヒック量変化前後のトラヒック情報（送信前パケット数、変化前バイト数、変化後パケット数、変化後バイト数）が記録されている。６０２はフロー属性値がポート番号の場合のフロー属性値リスト、６０３はフロー属性値がプロトコル番号の場合のフロー属性値リスト、６０４はフロー属性値がドメイン名の場合のフロー属性値リスト、６０５はフロー属性値が送信元ＡＳ番号の場合のフロー属性値リストの例である。

集約フロー属性ツリー生成部３０４は、フロー属性値抽出部３０３によって抽出されたフロー属性値を集約した、集約フロー属性値をノードとしたツリーを生成する。図７に集約フロー属性ツリー生成部３０４のフローチャートを示す。括弧内はフロー属性値が送信元ＩＰｖ４アドレスの場合の説明である。

図７に示すように、集約フロー属性ツリー生成部３０４は、フロー属性値リストの全ての属性値（ＩＰアドレス）を、ツリー末端ノードとして登録し、トラヒック変化量パラメータとして、寄与率、巻き添え率、および範囲率を計算し、登録する（Ｓ７０１）。ツリー生成処理対象階層を作成し、ツリーの最下位層とする（ツリー生成処理対象ＩＰアドレスプリフィックス長を３２とする）（Ｓ７０２）。対象階層に未処理ノードが存在するかどうかを判断し（Ｓ７０３）、存在する場合は未処理ノード（ＩＰアドレスプリフィックス）を１つ選択し（Ｓ７０４）、当該ノードの（ＩＰアドレスプリフィックス）から、階層が１つ上位の集約ノード（プリフィックス長が１つ短いＩＰアドレスプリフィックス）を生成する（Ｓ７０５）。集約ノードのトラヒック変化量パラメータとして、当該ノードのトラヒック変化量パラメータを加算し、集約ノードと当該ノードをツリーのエッジで接続し、当該ノードを処理済みとする（Ｓ７０６）。対象階層の未処理ノードに、当該未処理ノードの集約ノードが前ステップで生成した集約ノードと一致するものが存在する場合はＳ７０６に戻り、存在しない場合はＳ７０３に戻る（Ｓ７０７）。Ｓ７０３の判断で対象階層に未処理ノードが存在しない場合は対象階層を１上昇（処理対象ＩＰアドレスプリフィックス長を１減少）させ（Ｓ７０８）、対象階層がルートノード（プレフィックス長が０）でない場合はＳ７０３に戻る（Ｓ７０９）。対象階層がルートノード（プレフィックス長が０）であれば集約フロー属性値ツリーを出力する（Ｓ７１０）。

フロー属性値が送信元ＩＰアドレス、送信先ＩＰアドレス、プロトコル、送信元ポート番号、送信先ポート番号の場合、その集約、およびツリー生成は特許文献１に示される方法と同様である。フロー属性値が送信元・送信先ＩＰアドレスの場合のツリーは、ＩＰｖ４の例を図１に示したとおり、ルートノードをプレフィックス長が０の０．０．０．０／０（ＩＰｖ６の場合は：：／０）、末端ノードをプレフィックス長が３２（ＩＰｖ６の場合は１２８）の個々のアドレス、中間ノードはそれらをさらに集約し、プレフィックス長がより短いアドレスプレフィックスとなる。末端ノードは寄与率閾値以上となるように個々のアドレスを集約したアドレスプレフィックスでもよい。

フロー属性値がプロトコルの場合は、ルートノードが全プロトコル、末端ノードがＴＣＰやＵＤＰの個々のプロトコルとなる。中間ノードは存在しなくてもよい。

フロー属性値が送信元・送信先ポート番号の場合は、ルートノードが全ポート番号、末端ノードはＳＭＴＰ２５番、ＨＴＴＰ８０番などの個々のポート番号となる。中間ノードは存在しなくてもよい。

フロー属性値が送信元・送信先ＡＳ番号の場合は、図８に例示する通り、当該送信元ＡＳ番号を末端ノードとし、トラヒックを観測している自ＡＳ番号をルートノードとするＡＳパスツリーを生成する。生成にはＡＳ間経路制御プロトコルであるＢＧＰ（Boarder Gateway Protocol）の経路情報を用いることができる。ＢＧＰ経路情報には経路制御単位となるアドレスプレフィックス毎に送信元ＡＳから自ＡＳまでのＡＳパス情報が含まれる。観測トラヒック毎にそのアドレスを含むアドレスプレフィックスのＡＳパス情報を参照することによって、図８のＡＳパスツリーを生成することができる。

フロー属性値が送信元ＩＰアドレス逆引きドメイン名、送信先ＩＰアドレス逆引きドメイン名の場合には図９に例示する、当該ドメイン名を末端ノードとし、通常“．”（ドット）で表記されるルートドメインをルートノードとするドメインツリーを生成する。

さらに集約フロー属性ツリー生成部３０４は、ツリーの各ノードに対して、トラヒック量変化前後のトラヒックからトラヒック変化原因を表現する一つもしくは複数のパラメータ値を計算する。

以下、「ノード組み合わせ」を「ノード組」、「ノード組み合わせに含まれるノード組み合わせ数」を「ノード組数」と略記することがある。

パラメータの例としては、変化前後のトラヒック量の差のうち当該ノード組のトラヒック量変化が占める割合を示す寄与率、変化前のトラヒック量のうち、当該ノード組のトラヒック量が占める割合を示す巻き添え率、ノード組に含まれるノード組数、ノード組が属するフロー属性の全属性値数に占める当該ノード組の属性値数を示す範囲率、の全てもしくはいずれかの一つ以上の組み合わせとなる。

ここで寄与率、巻き添え率、ノード組数の計算方法は、特許文献１に示される方法と同様である。範囲率については、当該ノードが含む末端ノード数が、出現しうる全末端ノード数に占める割合となり、例えば図１におけるノード、１０．１０．１０．０／２４が含む末端ノードであるＩＰｖ４アドレス数は２＾８であり、出現しうる全末端ノード数は、総ＩＰｖ４アドレス数の２＾３２であるため、範囲率は両者の比をとって２＾８／２＾３２＝１／２＾２４と計算される。

トラヒック変化原因集約フロー属性値特定部３０５は、集約フロー属性ツリー生成部３０４が生成した集約フロー属性値ツリーの上下関係の重複のない全ノード組み合わせから、前記パラメータ値から計算されるトラヒック変化原因度合いを示す評価式に対して最大値をとるノード組をトラヒック変化原因集約フロー属性値として特定する。

評価式は、あるノード組み合わせの寄与率に対して単調増加、巻き添え率、に対して単調減少である関数をとることによって、当該ノード組み合わせが、トラヒック量変化後にのみ出現している場合に評価値を高くすることができる。また、ノード組数、範囲率に対して単調減少とすることによって、少数の小さいノード組でトラヒック量変化原因を特定することが可能となる。このような評価式として例えば数式１に示される評価式が考えられる。

ここでＣｏｖ、Ｃｏｌｌ、ｒ、ｎはそれぞれ寄与率、巻き添え率、範囲率、ノード数であり、α、β、γ、εはそれぞれパラメータに対する重み付け定数である。

ここで非特許文献３および特許文献１においては、集約フロー属性ツリー生成部３０４が生成した集約フロー属性値ツリーの上下関係の重複のない全ノード組み合わせを予め生成し、その全組み合わせに対して評価式を適用する。しかしこのような組み合わせの数はノード数に対して爆発的に増加するという問題がある。

本実施例の方式１では、評価式入力パラメータに閾値を設け、閾値を超過するノード組み合わせを評価式が最大値をとり得ないようなノード組み合わせとして生成しないようにすることでこの問題を回避する。すなわち、方式１では、トラヒック変化原因集約フロー属性値特定部３０５は、ノード組み合わせ生成において、一つまたは複数のパラメータに閾値を設け、閾値を超過するノード組み合わせを生成しないことにより、最終的にツリーから生成した全ノード組み合わせを生成しない。

以下、本実施例の方式１について説明する。図１０にフローチャートを図示する。

図１０―１、図１０−２に示すように、トラヒック変化原因集約フロー属性値特定部３０５は、集約フロー属性ツリー生成部３０４が出力した集約フロー属性値ツリーを入力し（Ｓ１００１）、ノード組み合わせリストを空で初期化する（Ｓ１００２）。ツリーのルートノードを、単一ノードからなるノード組み合わせとしてノード組み合わせリストに追加し、ノード組み合わせのトラヒック変化量パラメータとしてルートノードのトラヒック量変化パラメータを登録する（Ｓ１００３）。ルートノードを処理対象ノードとして選択し（Ｓ１００４）、ノード組み合わせリストからノード組み合わせを一つ選択する（Ｓ１００５）。当該ノード組み合わせに処理対象ノードが含まれていない場合はＳ１００５に戻り、含まれている場合はＳ１００７に進む（Ｓ１００６）。対象ノードの子ノードから生成される全ての組み合わせのリストを生成する（Ｓ１００７）。生成した子ノード組み合わせリストから子ノード組み合わせを一つ選択し（Ｓ１００８）、ノード組み合わせ中の選択ノードを、生成した子ノード組み合わせと置き換えたノード組み合わせを生成し、ノード組み合わせのトラヒック変化量パラメータとしてノードのノード組み合わせのトラヒック変化量パラメータの和を登録する（Ｓ１００９）。置き換えて生成したノード組み合わせのトラヒック変化量パラメータ値が閾値を超過している場合はＳ１００８に戻る（Ｓ１０１０）。閾値を超過していない場合は生成したノード組み合わせをノード組み合わせリストに追加する（Ｓ１０１１）。子ノード組み合わせリスト中の子ノード組み合わせを全て処理していない場合はＳ１００８に戻る（Ｓ１０１２）。全て処理している場合は子ノードを一つ対象ノードとして選択する（Ｓ１０１３）。対象ノードに子ノードが存在していない場合はＳ１００５に戻る（Ｓ１０１４）。対象ノードに子ノードが存在している場合は、全ての子ノードを対象ノードとして選択していない場合はＳ１０１３に戻る（Ｓ１０１５）。全ての子ノードを対象ノードとして選択している場合は、ノード組み合わせリストの全ての組み合わせを処理していない場合はＳ１００５に戻る（Ｓ１０１６）。ノード組み合わせリストの全ての組み合わせを処理している場合はノード組み合わせリストを出力する（Ｓ１０１７）。評価値最大ノード組を空で初期化する（Ｓ１０１８）。ノード組み合わせリストからノード組み合わせを一つ取得し（Ｓ１０１９）、当該ノード組み合わせの評価値を計算し（Ｓ１０２０）、評価値が評価値最大ノード組の評価値より大きい場合は（Ｓ１０２１）、評価値最大ノード組を当該ノードで置き換え、Ｓ１０２３に進む（Ｓ１０２２）。Ｓ１０２１で大きくない場合はＳ１０２３に進む。ノード組み合わせリストが空でない場合はＳ１０１９に戻る（Ｓ１０２３）。ノード組み合わせリストが空である場合は評価値最大ノード組を出力する（Ｓ１０２４）。

ツリーの上下関係の重複のないノード組み合わせ全リストの生成方法の一つとして、ルートノードからスタートし、子ノードと置き換えたノード組み合わせをリストに追加する作業を繰り返すことによって、組み合わせを生成する方法がある。例えば図１１に示すツリーの場合、Ｒｏｏｔからスタートし、Ｒｏｏｔを子ノードに置き換えた、｛Ａ｝、｛Ｂ｝、｛Ｃ｝、｛Ａ，Ｂ｝、｛Ａ，Ｃ｝、｛Ｂ，Ｃ｝、｛Ａ，Ｂ，Ｃ｝の七つの組み合わせをリストに追加する。さらにこのリスト中のＡを含む組み合わせに対して、Ａの子ノードである｛ａ１｝、｛ａ２｝、｛ａ１，ａ２｝で置き換えた、｛ａ１｝、｛ａ２｝、｛ａ１，ａ２｝、｛ａ１，Ｂ｝、｛ａ２，Ｂ｝、｛ａ１，ａ２，Ｂ｝、｛ａ１，Ｃ｝、｛ａ２，Ｃ｝、｛ａ１，ａ２，Ｃ｝、｛ａ１，Ｂ，Ｃ｝、｛ａ２，Ｂ，Ｃ｝、｛ａ１，ａ２，Ｂ，Ｃ｝をリストに追加する。この作業を再帰的に繰り返すことによって全ノード組み合わせを生成できる。

ノード数が多いノード組み合わせは評価式が低いため、予めノード数に閾値を設けておき、ノード数閾値以上となるノード組み合わせを評価対象外としたとしても、評価式最大値となるノード組み合わせは評価対象外とならない確率が高い。また、ノード組み合わせの子ノード置き換えによってノード組み合わせ内のノード数は減ることはない。

従って、本実施例の方式１−１では、あるノード組み合わせのノード数が閾値以上となった時点で子ノード置き換え作業を停止する。すなわち、方式１―１では、トラヒック変化原因集約フロー属性値特定部３０５は、ノード組み合わせ生成において、ノード組み合わせ数に対して予め閾値を設定し、閾値以上となるノード組み合わせを生成しないことにより、最終的にツリーから生成した全ノード組み合わせを生成しない。この方式により全ノード組み合わせリストを生成することなく、効率的に評価式最大値となるノード組み合わせを特定することが可能となる。

同様に寄与率が低いノード組み合わせは評価式が低いため、予め寄与率に閾値を設けておき、寄与率閾値未満となるノード組み合わせを評価対象外としたとしても、評価式最大値となるノード組み合わせは評価対象外とならない確率が高い。寄与率についても通常はノード組み合わせの子ノード置き換えによってノード組み合わせの寄与率が上昇することは少なく、かつ寄与率が上昇するとしてもその上限値が計算できる。

従って、本実施例の方式１−２では、あるノード組み合わせの寄与率が子ノード置き換えで閾値以上とならないことが決定した時点で子ノード置き換え作業を停止する。すなわち、方式１−２では、トラヒック変化原因集約フロー属性値特定部３０５は、ノード組み合わせ生成において、寄与率に対して予め閾値を設定し、閾値以上となり得ないノード組み合わせを生成しないことにより、最終的にツリーから生成した全ノード組み合わせを生成しない。

ここで子ノード置き換えによる寄与率上昇上限値およびノード置き換え作業停止について図１２を用いて説明する。観測トラヒック、親ノードＰ、子ノードＣ、子ノードＣ’の変化前トラヒック量をそれぞれＴｂ、Ｐｂ、Ｃｂ、Ｃ’ｂ、変化後のトラヒック量をそれぞれＴａ、Ｐａ、Ｃａ、Ｃ’ａとする。このとき親ノードの寄与率Ｃｏｖ（Ｐ）＝（Ｐａ−Ｐｂ）／（Ｔａ−Ｔｂ）、巻き添え率Ｃｏｌｌ（Ｐ）＝Ｐｂ／Ｔｂ、子ノードＣの寄与率Ｃｏｖ（Ｃ）＝（Ｃａ−Ｃｂ）／（Ｔａ−Ｔｂ）と計算される。子ノードＣの寄与率Ｃｏｖ（Ｃ）が最大値をとるのはＣ’ａ＝Ｃｂ＝０のとき（子ノードＣ’の寄与率Ｃｏｖ（Ｃ’）は最小値（負値）をとる）であり、この最大値はＰａ／（Ｔａ−Ｔｂ）＝Ｃｏｖ（Ｐ）＋Ｐｂ／（Ｔａ−Ｔｂ）＝Ｃｏｖ（Ｐ）＋Ｃｏｌｌ（Ｐ）＊Ｔｂ／（Ｔａ−Ｔｂ）と計算される。従ってあるノードＰの置き換え処理において、その寄与率Ｃｏｖ（Ｐ）に加え、巻き添え値から計算される値Ｃｏｌｌ（Ｐ）＊Ｔｂ／（Ｔａ−Ｔｂ）を加えたものが寄与率閾値を下回った場合には、子ノード置き換えで閾値を再び上回ることはないので置き換え処理を中断することにより、この方式により全ノード組み合わせリストを生成することなく、効率的に評価式最大値となるノード組み合わせを特定することが可能となる。

本実施例の方式１−３では、方式１−１のノード数閾値と方式１−２の寄与率閾値の双方に対してノード組生成を停止する。すなわち、方式１−３では、トラヒック変化原因集約フロー属性値特定部３０５は、ノード組み合わせ生成において、ノード組み合わせ数および寄与率に対して予め閾値を設定し、ノード組み合わせ数閾値以上となり、かつ寄与率閾値以上となり得ないノード組み合わせを生成しないことにより、最終的にツリーから生成した全ノード組み合わせを生成しない。

図１０のフローチャートの図中、パターンで塗りつぶした処理（Ｓ１０１０）が上記説明した方式１、方式１−１、方式１−２、方式１−３に関係する処理であり、閾値超過ノード組み合わせに対して子ノード置き換えによるノード組み合わせ生成を停止している。

本実施例の方式２では、本実施例の方式１と異なり、評価式を入力パラメータに対して線形とすることによって、動的計画法を用いて全組み合わせを生成することなく評価式最大となるノード組み合わせを特定する。すなわち、方式２では、トラヒック変化原因集約フロー属性値特定部３０５は、ノード組み合わせ生成において、部分ツリーのノード組み合わせ中の評価値最大ノード組み合わせを選択し、全体ツリーのノード組み合わせとしては、部分ツリーで評価値最大となったノード組み合わせのみを用いる動的計画法を用いることにより、最終的にツリーから生成した全ノード組み合わせを生成しない。図１３にフローチャートを図示する。

図１３に示すように、トラヒック変化原因集約フロー属性値特定部３０５は、集約フロー属性ツリー生成部３０４が出力した集約フロー属性値ツリーを入力し（Ｓ１３０１）、ノード属性値として配下最適ノード組み合わせを設定し、全端末ノードの配下最適ノード組み合わせとして自身のノードで初期化し、他のノードの配下最適ノード組み合わせは空で初期化する（Ｓ１３０２）。ツリーのノード内、子ノードとして末端ノードのみを持つノードが存在するかどうか判断する（Ｓ１３０３）。存在する場合は子ノードとして末端ノードのみを持つノードを一つ選択し（Ｓ１３０４）、当該ノード、および子ノードから生成される全てのノード組み合わせを生成する（Ｓ１３０５）。生成したノード組み合わせ中、評価値最大となるノード組み合わせを選択し、評価に用いるトラヒック変化量パラメータは、子ノードの配下最適ノード組み合わせ、および当該ノードのトラヒック量変化パラメータを利用する（Ｓ１３０６）。当該ノードの配下最適ノード組み合わせを評価値最大となるノード組み合わせと設定し、当該ノードの子ノードへのリンクを切断し、当該ノードを末端ノードとし、Ｓ１３０３に戻る（Ｓ１３０８）。Ｓ１３０３でツリーのノード内、子ノードとして末端ノードのみを持つノードが存在しない場合は末端ノードとして残っているルートノードの配下最適ノード組み合わせを評価最大ノード組として出力する（Ｓ１３０８）。

動的計画法を用いる場合は、評価式としてパラメータの線形式である必要があり、そのような評価式として例えば数式２に示される評価式が考えられる。ここで変数は数式１と同様である。

動的計画法を用いた評価式最大となるノード組み合わせ特定は、末端ノードから出発し、末端ノードおよびその親ノード、当該親ノードの他の子ノードからなるノード組み合わせのうち評価式最大となるノード組み合わせを特定し、そのノード組み合わせを親ノードと置き換え当該親ノードを末端ノードとし、さらに同じ手続きを再帰的に繰り返すことによって実施される。

従って、本実施例の方式２−１では、トラヒック変化原因集約フロー属性値特定部３０５は、ノード組み合わせ生成において、末端ノードを含む部分ツリー内で評価式最大値をとるノード組み合わせを特定し、当該ノード組み合わせを部分ツリーの代表ノード組み合わせとして、部分ツリーを含むツリーのノード組み合わせ特定時には、代表ノード組み合わせの組み合わせを用いて再帰的に評価式最大値のノード組み合わせを特定する動的計画法を適用することにより、最終的にツリーから生成した全ノード組み合わせを生成しない。

この手続きを図１４を用いて例示する。末端ノードｈに対し、親ノードｄ、およびｄの他の子ノードｉからなる、｛ｄ｝、｛ｈ｝、｛ｉ｝、｛ｈ，ｉ｝の４つの組に対してそれぞれ評価式を計算する。仮に｛ｈ，ｉ｝が最大値となったとするとノードｄをノード組み合わせ｛ｈ，ｉ｝と置き換える。さらに再帰的に｛ｈ，ｉ｝の親ノードｂ、および他の子ノードｃからなる、｛ｂ｝、｛ｃ｝、｛ｈ，ｉ｝、｛ｃ，｛ｈ，ｉ｝｝の４つの組に対してそれぞれ評価式を計算する。ここで、｛ｈ，ｉ｝の一部を用いた｛ｃ，ｈ｝などのノード組み合わせを評価する必要はない。なぜなら評価式が線形のため、ノード組み合わせ｛ｃ，ｈ｝の評価値はノード組み合わせ｛ｃ｝とノード組み合わせ｛ｈ｝の評価値の和であり、ノード組み合わせ｛ｃ，ｈ，ｉ｝の評価値はノード組み合わせ｛ｃ｝とノード組み合わせ｛ｈ、ｉ｝の評価値の和であるが、ノード組み合わせ｛ｈ｝よりも｛ｈ，ｉ｝の方が評価式が高いため、ノード組み合わせ｛ｃ，ｈ｝の評価値はノード組み合わせ｛ｃ，ｈ，ｉ｝の評価値より低いからである。この処理を再帰的に繰り返し、最終的にルートノードを親ノードとして評価式最大となるノード組み合わせが、ツリーの全てのノード組み合わせの内、評価式最大となる組み合わせとして得られる。

以上説明したように、本実施例のトラヒック変化原因集約フロー属性値特定システムによれば、ノード組み合わせを生成する際に、評価値を計算するためのパラメータ値が閾値を超えており評価値最大ノード組み合わせとなる可能性が非常に小さい組み合わせを生成しない、もしくは、全体ツリーのノード組み合わせでなく、まず部分ツリーのノード組み合わせ中の評価値最大ノード組み合わせを選択し、全体ツリーのノード組み合わせとしては、部分ツリーで評価値最大となったノード組み合わせのみを用いる動的計画法を用いることにより、指数的に増大するノード組み合わせを全て生成することなく、トラヒック量変化時にその変化をもたらした、ＩＰアドレスプレフィックスなどの集約フロー属性値を少ない記憶容量で高速に特定することができ、監視者による迅速なトラヒック量変化原因特定、対策を容易にすることができる。

以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

３００…トラヒック変化原因集約フロー属性値特定システム、３０１…変化検出時刻取得部、３０２…変化前後トラヒック取得部、３０３…フロー属性値抽出部、３０４…集約フロー属性ツリー生成部、３０５…トラヒック変化原因集約フロー属性値特定部、３１１…ＤＮＳサーバ、３１２…経路情報、３１３…蓄積トラヒック情報、３１４…トラヒック量変化検出システム、３１５、３１６…監視者

Claims (9)

1. ネットワーク上のトラヒック量が変化した場合に、その変化の原因となった集約フロー属性値の一つまたは複数の組み合わせを特定するトラヒック変化原因集約フロー属性値特定システムにおけるトラヒック変化原因集約フロー属性値特定方法であって、
   前記トラヒック変化原因集約フロー属性値特定システムは、フロー属性値抽出部と集約フロー属性ツリー生成部とトラヒック変化原因集約フロー属性値特定部とを備え、
   前記フロー属性値抽出部が、トラヒック量変化後のトラヒックにおいて観測されるフロー属性値を抽出するステップと、
   前記集約フロー属性ツリー生成部が、前記フロー属性値抽出部により抽出されたフロー属性値から、フロー属性値を集約したツリーを生成し、ツリーの各ノードに対して、トラヒック量変化前後のトラヒックからトラヒック変化原因を表現する一つまたは複数のパラメータ値を計算するステップと、
   前記トラヒック変化原因集約フロー属性値特定部が、前記集約フロー属性ツリー生成部が生成したツリーからノードの組み合わせを生成し、当該ノード組み合わせに対して、前記一つまたは複数のパラメータ値からトラヒック変化原因度合いを表現する予め与えられた評価式によって、評価値を計算し、最終的にツリーから生成した全てのノード組み合わせのうち、評価値が最大となるノード組み合わせをトラヒック変化原因集約フロー属性値として特定するステップとを含み、
   前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、最終的にツリーから生成した全てのノード組み合わせを生成することなく、評価式最大値をとるノード組み合わせを特定することを特徴とするトラヒック変化原因集約フロー属性値特定方法。
2. 請求項１記載のトラヒック変化原因集約フロー属性値特定方法であって、
   前記トラヒック変化原因集約フロー属性値特定システムは、変化検出時刻取得部と変化前後トラヒック取得部とを備え、
   前記変化検出時刻取得部が、トラヒック量変化時刻を取得するステップと、
   前記変化前後トラヒック取得部が、トラヒック量変化前後のトラヒック情報を取得するステップとを含み、
   前記変化前後トラヒック取得部が取得したトラヒック情報を前記フロー属性値抽出部と前記集約フロー属性ツリー生成部が用いることを特徴とするトラヒック変化原因集約フロー属性値特定方法。
3. 請求項１または２に記載のトラヒック変化原因集約フロー属性値特定方法であって、
   前記一つまたは複数のパラメータは、変化前後のトラヒック量の差のうち、当該ノード組み合わせのトラヒック量変化が占める割合を示す寄与率、変化前のトラヒック量のうち、当該ノード組み合わせのトラヒック量が占める割合を示す巻き添え率、ノード組み合わせに含まれるノード組み合わせ数、ノード組み合わせが属するフロー属性の全属性値数に占める当該ノード組み合わせの属性値数を示す範囲率、の全てまたは一つまたは複数を含むことを特徴とするトラヒック変化原因集約フロー属性値特定方法。
4. 請求項１ないし３のうちいずれか１項に記載のトラヒック変化原因集約フロー属性値特定方法であって、
   前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、前記一つまたは複数のパラメータに閾値を設け、閾値を超過するノード組み合わせを生成しないことにより、または、部分ツリーのノード組み合わせ中の評価値最大ノード組み合わせを選択し、全体ツリーのノード組み合わせとしては、部分ツリーで評価値最大となったノード組み合わせのみを用いる動的計画法を用いることにより、最終的にツリーから生成した全ノード組み合わせを生成しないことを特徴とするトラヒック変化原因集約フロー属性値特定方法。
5. 請求項１ないし３のうちいずれか１項に記載のトラヒック変化原因集約フロー属性値特定方法であって、
   前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、ノード組み合わせ数に対して予め閾値を設定し、閾値以上となるノード組み合わせを生成しないことにより、最終的にツリーから生成した全ノード組み合わせを生成しないことを特徴とするトラヒック変化原因集約フロー属性値特定方法。
6. 請求項１ないし３のうちいずれか１項に記載のトラヒック変化原因集約フロー属性値特定方法であって、
   前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、寄与率に対して予め閾値を設定し、閾値以上となり得ないノード組み合わせを生成しないことにより、最終的にツリーから生成した全ノード組み合わせを生成しないことを特徴とするトラヒック変化原因集約フロー属性値特定方法。
7. 請求項１ないし３のうちいずれか１項に記載のトラヒック変化原因集約フロー属性値特定方法であって、
   前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、ノード組み合わせ数および寄与率に対して予め閾値を設定し、ノード組み合わせ数閾値以上となり、かつ寄与率閾値以上となり得ないノード組み合わせを生成しないことにより、最終的にツリーから生成した全ノード組み合わせを生成しないことを特徴とするトラヒック変化原因集約フロー属性値特定方法。
8. 請求項１ないし３のうちいずれか１項に記載のトラヒック変化原因集約フロー属性値特定方法であって、
   前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、末端ノードを含む部分ツリー内で評価式最大値をとるノード組み合わせを特定し、当該ノード組み合わせを部分ツリーの代表ノード組み合わせとして、部分ツリーを含むツリーのノード組み合わせ特定時には、代表ノード組み合わせの組み合わせを用いて再帰的に評価式最大値のノード組み合わせを特定する動的計画法を適用することにより、最終的にツリーから生成した全ノード組み合わせを生成しないことを特徴とするトラヒック変化原因集約フロー属性値特定方法。
9. ネットワーク上のトラヒック量が変化した場合に、その変化の原因となった集約フロー属性値の一つまたは複数の組み合わせを特定するトラヒック変化原因集約フロー属性値特定システムであって、
   トラヒック量変化後のトラヒックにおいて観測されるフロー属性値を抽出するフロー属性値抽出部と、
   前記フロー属性値抽出部により抽出されたフロー属性値から、フロー属性値を集約したツリーを生成し、ツリーの各ノードに対して、トラヒック量変化前後のトラヒックからトラヒック変化原因を表現する一つまたは複数のパラメータ値を計算する集約フロー属性ツリー生成部と、
   前記集約フロー属性ツリー生成部が生成したツリーからノードの組み合わせを生成し、当該ノード組み合わせに対して、前記一つまたは複数のパラメータ値からトラヒック変化原因度合いを表現する予め与えられた評価式によって、評価値を計算し、最終的にツリーから生成した全てのノード組み合わせのうち、評価値が最大となるノード組み合わせをトラヒック変化原因集約フロー属性値として特定するトラヒック変化原因集約フロー属性値特定部とを備え、
   前記トラヒック変化原因集約フロー属性値特定部は、ノード組み合わせ生成において、最終的にツリーから生成した全てのノード組み合わせを生成することなく、評価式最大値をとるノード組み合わせを特定することを特徴とするトラヒック変化原因集約フロー属性値特定システム。

Images