JP7444247B2 - バーストトラフィック検出装置、バーストトラフィック検出方法およびバーストトラフィック検出プログラム - Google Patents

Description

本発明は、フローごとにバースト発生を検出するためのバーストトラフィック検出技術に関する。

近年、データセンタやクラウドシステムでは、監視対象となる対象通信回線において、一時的に大量のデータが流れるバーストトラフィックのうち、極めて短い時間内（例えば１ｍｓ以下の時間内）にトラフィックが瞬間的に集中することで、ネットワーク遅延やパケットロスを引き起こすマイクロバースト（microburst）が問題視されている。

特に、遅延やジッタの影響を受けやすい映像配信サービスやＶｏＩＰ（Voice over Internet Protocol）サービスなどでは、その影響はより顕著である。例えば、データセンタの仮想計算基盤上で映像配信サービスを運用する場合を考えると、個々の配信サーバは処理する仮想マシン（ＶＭ：Virtual Machine）の割り当てを極小時間で切り替えながら間欠的に映像を配信するため、配信タイミングが重なるとマイクロバーストが発生する。

吉田周平 他，「ハードウェアアクセラレータ内蔵仮想化対応トラフィック監視システム（４）～高効率マイクロバーストパケットキャプチャ手法の提案～」，２０２０年電子情報通信学会総合大会Ｂ－６－６９，２０２０年３月

マイクロバーストの原因解析のためには、マイクロバーストを検出するだけでなく、どのフロー（何らかの共通項を持ったパケットの集合）がバーストを引き起こしているかを特定することが必要である。
非特許文献１では監視対象ネットワークのトラフィック量を常時モニタリングし、１ｍｓといった短周期で閾値を超えるか判定することでマイクロバーストの検出を実現しているが、どのフローがバーストの要因かは特定できない。また、非特許文献１では、トラフィック全体だけでなくフローごとの閾値による検出機能も設けているが、固定的な閾値による検出のため、フローごとのトラフィック量が長期的に大きく変動する場合、正しく検出できない場合がある。

図８は、マイクロバーストの検出例を示す説明図である。図８に示すように、フローＢのトラフィック量の変動を考慮して閾値が高めに設定されている場合、トラフィック量が全体的に上昇している時刻Ｔ１のような状態では、フローＢでのマイクロバーストが発生した場合、トラフィック量がフローＢ閾値を超えるため、マイクロバーストを検出できる。しかし、トラフィック量が全体的に低下している時刻Ｔ２のような状態では、フローＢでマイクロバーストが発生してもフローＢの閾値を超えないため、結果としてマイクロバーストを検出できない。したがって、全体トラフィックに対する閾値は、例えばネットワーク帯域上限の９０％といったように静的に決定することができる一方、フローごとに対する適切な閾値は、トラフィックの変動に依存するため、状況に応じた閾値設定が必要となる。

また、非特許文献１と同様にパケットが入力される度に、パケット数やバイト数といった統計情報をフローごとに蓄積し、一定の検出周期で設定した閾値を超えるかを判定することでバーストトラフィックを検出する方法が提案されている。この方法では、検出数が多い場合は閾値の値を増加させ、少ない場合は減少させることで、閾値を動的に更新する。

しかし、検出数が多い場合は閾値の値を増加させ、少ない場合は減少させる方法では、バーストが発生していない場合でも、検出数が少ないと判定して閾値を徐々に減少させてしまうため、バーストでないトラフィックでも超過するような閾値の値となる瞬間がある。その後、検出数が増加していき逆に閾値を増加させるが、また検出数が少なくなるため、閾値を徐々に減少させるというループになる。以上のように、この方法では、バーストが発生していない安定したネットワークに対して適用した場合でも、定期的に（上記ループのため）バーストでないトラフィックをバーストトラフィックと誤検出してしまうという問題がある。

本発明はこのような課題を解決するためのものであり、フローのトラフィック量が長期的に大きく変動する場合でも、フローごとにフローバーストを正確に検出できるバーストトラフィック検出技術を提供することを目的としている。

このような目的を達成するために、本発明にかかるバーストトラフィック検出装置は、対象通信回線を流れるパケットに基づいて、前記対象通信回線に関するトラフィック量をフローごとに計数することにより、それぞれのフローで発生したバーストを検出する制御部とを備え、前記制御部は、前記対象通信回線から取得したパケットごとに、当該パケットのヘッダを解析するように構成されたヘッダ解析部と、前記ヘッダ解析部で得られたヘッダ解析結果に基づいて、前記パケットが属するフローを識別するように構成されたフロー識別部と、前記フロー識別部で得られたフロー識別結果に基づいて、それぞれのフローのトラフィック量を計数し、得られた計数結果に基づいて、当該フローで発生したバーストを検出するように構成されたフローバースト検出部とを含み、前記フローバースト検出部は、前記フローごとに、当該フローのトラフィック量の長期的な変動に応じて動的に変化するフロー閾値を計算し、前記フロー閾値と当該フローのトラフィック量とを比較することにより、当該フローで発生したバーストを検出するようにしたものである。

また、本発明にかかるバーストトラフィック検出方法は、対象通信回線を流れるパケットに基づいて、前記対象通信回線に関するトラフィック量をフローごとに計数することにより、それぞれのフローで発生したバーストを検出する制御部とを備えるバーストトラフィック検出装置で用いられるバーストトラフィック検出方法であって、前記制御部が、前記対象通信回線から取得したパケットごとに、当該パケットのヘッダを解析するヘッダ解析ステップと、前記制御部が、前記ヘッダ解析ステップで得られたヘッダ解析結果に基づいて、前記パケットが属するフローを識別するフロー識別ステップと、前記制御部が、前記フロー識別ステップで得られたフロー識別結果に基づいて、それぞれのフローのトラフィック量を計数し、得られた計数結果に基づいて、当該フローで発生したバーストを検出するフローバースト判定ステップとを備え、前記フローバースト判定ステップは、前記フローごとに、当該フローのトラフィック量の長期的な変動に応じて動的に変化するフロー閾値を計算し、前記フロー閾値と当該フローのトラフィック量とを比較することにより、当該フローで発生したバーストを検出するステップを含んでいる。

また、本発明にかかるバーストトラフィック検出プログラムは、上記のバーストトラフィック検出方法をコンピュータに実行させる。

本発明によれば、フローのトラフィック量が長期的に大きく変動しても、その変動にフロー閾値ＴＨｉを追従させることができ、フローごとにフローバースト発生を正確に検出することが可能となる。

図１は、バーストトラフィック検出装置の構成を示すブロック図である。 図２は、フローにおけるバースト発生状況を示すグラフである。 図３は、移動平均値の計算過程を示す説明図である。 図４は、フロー識別情報の登録例を示す説明図である。 図５は、長期トラフィックカウンタでの計数例を示す説明図である。 図６は、バーストトラフィック検出処理を示すフローチャートである。 図７は、判定結果の出力例を示す説明図である。 図８は、マイクロバーストの検出例を示す説明図である。

次に、本発明の一実施の形態について図面を参照して説明する。
［バーストトラフィック検出装置］
まず、図１を参照して、本実施の形態にかかるバーストトラフィック検出装置１０について説明する。図１は、バーストトラフィック検出装置の構成を示すブロック図である。
このバーストトラフィック検出装置１０は、全体としてサーバ装置などの情報処理装置からなり、インターネットなどの通信網ＮＷのうち、監視対象となる対象通信回線から取得したパケットに基づいて、対象通信回線を流れるフロー（データフロー）ごとに、当該フローでのバースト発生を検出する装置である。

［本発明の原理］
図２は、フローにおけるバースト発生状況を示すグラフであり、横軸は時間を示し、縦軸はトラフィック量を示している。本発明において、トラフィック量は、単位時間当たりに流れるデータ量で表すものとし、単位時間の時間長は、アプリケーションに応じて決定される。例えば、マイクロバーストを検出するようなアプリケーションでは１ｍｓｅｃ前後の単位時間を用いればよく、マイクロバーストよりバースト時間長が長いバーストトラフィックを検出するようなアプリケーションでは、１０ｍｓｅｃ～１ｓｅｃ程度の単位時間を用いればよい。また、データ量については、バイト数のほか、ビット数やパケット数が用いられる。

図２に示すように、フローＦのトラフィック量Ｎは、通常時には一定の変動幅Ｗに収まっており、バースト発生時にはその変動幅Ｗを超えて大きく変動する性質を有している。この際、変動幅ＷはフローＦのトラフィック量Ｎが大きく脈動しても、その長期的な変動、例えばフローＦの平均トラフィック量Ｍを中心としてほぼ一定幅であることが分かる。

本発明は、このようなフローＦのトラフィック量Ｎの長期的な変動とバースト発生時のトラフィック量Ｆとの関係に着目し、フローＦｉごとにトラフィック量Ｎｉの長期的な変動に応じて動的に変化するフロー閾値ＴＨｉを計算して、フローＦｉのトラフィック量Ｎｉと比較することにより、フローＦｉで発生したバーストを検出するようにしたものである。これにより、図２に示すように、トラフィック量Ｎｉが全体的に上昇している時刻Ｔ１のような状態だけでなく、トラフィック量Ｎｉが全体的に低下している時刻Ｔ２のような状態であっても、フローバースト発生を正確に検出することが可能となる。

また、本発明は、予め設定されている一定時間長を有する検出区間Ｔｄごとに、フローＦｉの短期的なトラフィック量を示す短期フロートラフィック量Ｎｉを計数するとともに、連続する複数の検出区間Ｔｄからなる計算区間Ｔｃごとに、フローＦｉの長期的なトラフィック量を示す長期フロートラフィック量Ｌｉを計数し、長期フロートラフィック量Ｌｉから計算した検出区間Ｔｄ当たりの平均トラフィック量Ｍｉから、フローＦｉのトラフィック量Ｎｉの長期的な変動を示す指標、すなわちフロー閾値ＴＨｉを計算し、このフロー閾値ＴＨｉと短期フロートラフィック量Ｎｉとを比較するようにしたものである。なお、本発明において、フローＦｉのトラフィック量Ｎｉを短期フロートラフィック量Ｎｉと云うこともあり、両者は同一である。

また、平均トラフィック量Ｍｉの計算方法については、短期フロートラフィック量Ｎｉの移動平均値を用いればよい。この際、具体的には、単純移動平均（ＳＭＡ：Simple Moving Average）、加重移動平均（ＷＭＡ：Weighted Moving Average）、あるいは指数移動平均（ＥＭＡ：Exponential Moving Average）などの公知の移動平均計算手法を用いて、平均トラフィック量Ｍｉを計算すればよい。

図３は、移動平均値の計算過程を示す説明図である。移動平均値は、検出対象時刻ｔ_iから遡った直前のｎ（ｎは２以上の整数）個の検出区間Ｔｄ分に相当する計算区間Ｔｃにおける、トラフィック量Ｎｉの平均値で求められる。具体的には、バースト出時刻ｔ_iの１検出区間Ｔｄだけ遡った時刻ｔ_i-1からｎ検出区間Ｔｄまで遡った時刻ｔ_i-nまでのｎ個の検出区間Ｔｄ分を対象とし、これらｎ個の検出区間Ｔｄ分相当する計算区間Ｔｃにおけるトラフィック量Ｎｉの平均値、すなわち検出区間Ｔｄ当たりトラフィック量を、平均トラフィック量Ｍｉとして計算すればよい。なお、図３では、移動平均値を計算する際に、ｎ個の検出区間Ｔｄ毎のトラフィック量を用いたが、移動平均値を計算する際のｎ個の区間それぞれの区間幅は、必ずしも検出区間Ｔｄと同一である必要はない。

［バーストトラフィック検出装置の構成］
次に、図１を参照して、本実施の形態にかかるバーストトラフィック検出装置１０の構成について、詳細に説明する。
図１に示すように、本実施の形態にかかるバーストトラフィック検出装置１０は、主な回路構成として、網Ｉ／Ｆ１１、操作入力回路１２、画面表示回路１３、記憶回路１４、および制御部１５を備えている。

［網Ｉ／Ｆ］
網Ｉ／Ｆ１１は、通信網ＮＷとデータ通信を行うことにより、監視対象となる対象通信回線を流れるパケット（フレーム）を取得（キャプチャ）して、制御部１５へ出力する回路である。
［操作入力回路］
操作入力回路１２は、全体としてキーボード、マウス、タッチパネルなどの操作入力装置からなり、オペレータの操作を検出して制御部１５へ出力する回路である。
［画面表示回路］
画面表示回路１３は、全体としてＬＣＤなどの画面表示装置からなり、制御部１５からの出力された、メニュー画面、設定画面、検出状況画面、検出結果画面などの各種画面データを画面表示する回路である。

［記憶回路］
記憶回路１４は、全体としてハードディスクや半導体メモリなどの記憶装置からなり、制御部１５でのバースト検出処理で用いる各種処理データやプログラム１４Ｐを記憶する回路である。プログラム１４Ｐは、制御部１５のＣＰＵと協働することにより、制御部１５でのバーストトラフィック検出処理に用いられる各種の処理部を実現するバーストバーストトラフィック検出プログラムである。バースト検出プログラムは、バーストトラフィック検出装置１０に接続された外部装置や記録媒体から、予め読み出されて記憶回路１４に保存される。

［制御部］
制御部１５は、ＣＰＵとその周辺回路を有し、記憶回路１４のプログラムを読み込んでＣＰＵで実行して、ＣＰＵとプログラム１４Ｐとを協働させることにより、バースト検出処理に用いられる各種の処理部を実現する。なお、以下では、制御部１５が主にＣＰＵから構成されている場合を例として説明するがこれに限定されるものではない。例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field-Programmable Gate Array）で、バースト検出処理に特化した回路を制御部１５として用いてもよい。また、本発明のバーストトラフィック検出装置１０は、コンピュータとプログラムによっても実現でき、プログラムを記録媒体に記録することも、ネットワークを通して提供することも可能である。

図１に示すように、制御部１５には、主な処理部として、パケット受信部１５Ａ、ヘッダ解析部１５Ｂ、フロー識別部１５Ｃ、フロー情報保持部１５Ｄ、判定結果出力部１５Ｅ、全体バースト検出部２０、およびフローバースト検出部３０が設けられている。

［パケット受信部］
パケット受信部１５Ａは、網Ｉ／Ｆ１１を介して通信網ＮＷから取得した、監視対象となる対象通信回線を流れるパケット（フレーム）を受信するように構成されている。
［ヘッダ解析部］
ヘッダ解析部１５Ｂは、パケット受信部１５Ａで受信したパケットごとに、当該パケットのヘッダを解析し、得られたヘッダ解析結果を当該パケットとともに出力するように構成されている。
［フロー識別部］
フロー識別部１５Ｃは、ヘッダ解析部１５Ｂで得られた解析結果に基づいて、各パケットが予め登録されているフローのうち、どのフローとマッチするパケットであるかを識別し、識別フローと対応するフローバースト検出部３０に当該パケットを出力するように構成されている。

［フロー情報保持部］
フロー情報保持部１５Ｄは、全体として半導体メモリからなり、フロー識別部１５Ｃでのフロー識別処理に用いるフロー識別情報を保持するように構成されている。フロー識別情報は、予めアプリケーションに合わせて、例えば操作入力回路１２や画面表示回路１３を用いてオペレータにより登録される。
図４は、フロー識別情報の登録例を示す説明図である。図４に示すように、フロー識別情報には、フローを識別するためのフローＩＤごとに、当該フローを流れるパケットに関する、送信元ＭＡＣアドレス、送信先ＭＡＣアドレス、送信元ＩＰアドレス、送信先ＩＰアドレスなどの各種のヘッダ情報が、識別ルールとして登録されている。

［全体バースト検出部］
全体バースト検出部２０は、パケット受信部１５Ａで受信したパケットのデータ量を、予め設定されている検出区間Ｔｄごとに全体トラフィック量Ｎａとして計数し、予め設定されている全体閾値ＴＨａと比較することにより、各フローをまとめた全体トラフィックでのバースト発生を検出するように構成されている。
全体バースト検出部２０には、主な処理部として、全体トラフィックカウンタ２１と全体バースト判定部２２とが設けられている。

［全体トラフィックカウンタ］
全体トラフィックカウンタ２１は、パケット受信部１５Ａで受信した各フローのパケットに関するデータ量を、予め設定されている検出区間Ｔｄごとに計数し、バースト検出時点における全体トラフィック量Ｎａとして出力するように構成されている。
［全体バースト判定部］
全体バースト判定部２２は、検出区間Ｔｄごとに、全体トラフィックカウンタ２１で得られたバースト検出時点における全体トラフィック量Ｎａを、予め設定されている全体閾値ＴＨａと比較し、全体トラフィック量Ｎａが全体閾値ＴＨａを上回った場合、全体トラフィックでのバースト発生ありと判定し、全体トラフィック量Ｎａが全体閾値ＴＨａ以下である場合、全体トラフィックでのバースト発生なしと判定するように構成されている。

［フローバースト検出部］
フローバースト検出部３０は、フローＦｉごとに設けられて、フロー識別部１５Ｃで得られたフロー識別結果に基づいて、対応するフローＦｉのパケットに関するデータ量を、予め設定されている検出区間Ｔｄごとにフロートラフィック量Ｎｉとして計数し、フロートラフィック量Ｎｉと当該フローの平均トラフィック量Ｍｉから計算したフロー閾値ＴＨｉと比較することにより、当該フローＦｉにおけるバースト発生の有無を判定するように構成されている。
各フローバースト検出部３０には、主な処理部として、短期トラフィックカウンタ３１、長期トラフィックカウンタ３２、平均トラフィック量計算部３３、閾値計算部３４、およびフローバースト判定部３５が設けられている。

［短期トラフィックカウンタ］
短期トラフィックカウンタ３１は、フロー識別部１５Ｃで得られた識別結果に基づいて、対応するフローＦｉとして識別されたパケットに関するデータ量を、予め設定されている検出区間Ｔｄごとに計数し、フロー検出時点における短期フロートラフィック量Ｎｉとして出力するように構成されている。

［長期トラフィックカウンタ］
長期トラフィックカウンタ３２は、フロー識別部１５Ｃで得られた識別結果に基づいて、対応するフローＦｉとして識別されたパケットに関するデータ量を、予め設定されている計算区間Ｔｃごとに計数し、フロー検出時点における長期フロートラフィック量Ｌｉとして出力するように構成されている。

図５は、長期トラフィックカウンタでの計数例を示す説明図である。長期トラフィックカウンタ３２において、長期フロートラフィック量Ｌｉをメモリで保持する際、図５に示すように、ｎ個のアドレス空間に対して、先頭から順に受信パケットのデータ量、例えばパケット数やバイト数を累計していくものとし、その累計先を検出区間Ｔｄごとに遷移させるようにしてもよい。これにより、これらｎ個のアドレス空間で保持しているデータ量を合計することにより、常に、直近ｎ区間分の累計値、すなわち長期フロートラフィック量Ｌｉを得ることが可能となる。なお、図３と同様に、図５においても、トラフィックの累積値を計算する際の区間幅についても、必ずしも検出区間Ｔｄと同一である必要はない。

［平均トラフィック量計算部］
平均トラフィック量計算部３３は、長期トラフィックカウンタ３２で得られた長期フロートラフィック量Ｌｉに基づいて、例えば単純移動平均（ＳＭＡ：Simple Moving Average）、加重移動平均（ＷＭＡ：Weighted Moving Average）、あるいは指数移動平均（ＥＭＡ：Exponential Moving Average）などの公知の計算手法により、計算区間Ｔｃにおける平均トラフィック量Ｍｉを計算するように構成されている。

［閾値計算部］
閾値計算部３４は、平均トラフィック量計算部３３で計算された平均トラフィック量Ｍｉに、予め設定されているオフセット値αｉを加算して、対応するフローＦｉに関するフロー閾値ＴＨｉを計算するように構成されている。この際、平均トラフィック量Ｍｉに対するオフセット値αｉの加算に代えて、平均トラフィック量Ｍｉにオフセット値αｉを乗算することにより、平均トラフィック量Ｍｉのうち予め設定されている比率分だけ加算するようにしてもよい。オフセット値αｉについては、それぞれのアプリケーションに応じて経験的に得られた値を設定すればよい。以下では、オフセット値αｉが、フローＦｉごとに個別に設定されている場合を例として説明するが、これに限定されるものではなく、全フローに対して共通して設定してもよい。

［フローバースト判定部］
フローバースト判定部３５は、短期トラフィックカウンタ３１で計数された短期フロートラフィック量Ｎｉを、閾値計算部３４で計算されたフロー閾値ＴＨｉと比較し、短期フロートラフィック量Ｎｉがフロー閾値ＴＨｉを上回った場合、対応するフローＦｉでのバースト発生ありと判定し、短期フロートラフィック量Ｎｉがフロー閾値ＴＨｉ以下である場合、対応するフローＦｉでのバースト発生なしと判定するように構成されている。

［判定結果出力部］
判定結果出力部１５Ｅは、全体バースト検出部２０から出力された全体トラフィックに関するバースト発生有無と、各フローＦｉのフローバースト検出部３０から出力されたそれぞれのフローＦｉに関するバースト発生有無とに基づいて、対象通信回線におけるバースト発生状況を出力するように構成されている。バースト発生状況については、画面表示回路１３で画面表示してもよく、ファイル化して記憶回路１４に保存し、あるいは、網Ｉ／Ｆ１１から通信網ＮＷを介して指定された上位装置（図示せず）へ送信してもよい。

［本実施の形態の動作］
次に、図６を参照して、本実施の形態にかかるバーストトラフィック検出装置１０におけるバーストトラフィック検出方法の動作について説明する。図６は、バーストトラフィック検出処理を示すフローチャートである。制御部１５は、通信網ＮＷの対象通信回線から網Ｉ／Ｆ１１がパケットを取得するごとに、図６のバーストトラフィック検出処理を実行する。以下ではトラフィック量の計数に用いるパケットのデータ量としてバイト数を用いる場合を例として説明するが、これに限定されるものではなく、例えばビット数やパケット数など、他のデータ量を用いてもよい。

まず、パケット受信部１５Ａは、網Ｉ／Ｆ１１が取得したパケットを受信し（ステップＳ１００）、受信したパケットを、全体バースト検出部２０およびヘッダ解析部１５Ｂへ出力する。これにより、トラフィック全体に関する全体バースト発生検出処理（ステップＳ１０１）と、フローバースト発生検出処理（ステップＳ１０２）とが、並列的に実行される。

［全体バースト発生検出処理］
全体バースト発生検出処理（ステップＳ１０１）では、まず、全体バースト検出部２０において、全体トラフィックカウンタ２１が、パケット受信部１５Ａから出力されたパケットのバイト数を順次累計することにより、対象通信回線の全フローに関する全体トラフィック量Ｎａを計数する（ステップＳ１１０）。
この後、全体バースト判定部２２は、検出区間Ｔｄが満了したか確認し（ステップＳ１１１）、検出区間Ｔｄが満了していない場合（ステップＳ１１１：ＮＯ）、一連の全体バースト発生検出処理（ステップＳ１０１）を終了して、後述のステップＳ１０３へ移行する。

また、ステップＳ１１１において、検出区間Ｔｄが満了した場合（ステップＳ１１１：ＹＥＳ）、全体バースト判定部２２は、全体トラフィックカウンタ２１で得られた全体トラフィック量Ｎａを、予め設定されている全体閾値ＴＨａと比較することにより、全体バースト発生の有無を判定する（ステップＳ１１２）。この際、Ｎａ＞ＴＨａの場合には全体バースト発生ありと判定され、Ｎａ≦ＴＨａの場合には全体バースト発生なしと判定される。これにより、例えば全体バースト発生ありを示す判定結果は、判定結果出力部１５Ｅにより、画面表示回路１３に出力されて画面表示されることになる。

この後、全体トラフィックカウンタ２１は、全体トラフィック量Ｎａをクリアし（ステップＳ１１３）、一連の全体バースト発生検出処理（ステップＳ１０１）を終了して、後述のステップＳ１０３へ移行する。

［フローバースト発生検出処理］
一方、フローバースト発生検出処理（ステップＳ１０２）では、まず、ヘッダ解析部１５Ｂが、パケット受信部１５Ａで受信したパケットのヘッダを解析する（ステップＳ１２０）。これにより、ＭＡＣアドレスやＩＰアドレスなど、当該パケットが属するフローを識別するための各種識別情報がヘッダから抽出され、当該パケットともに解析結果としてフロー識別部１５Ｃに出力される。

続いて、フロー識別部１５Ｃは、ヘッダ解析部１５Ｂで得られた解析結果に含まれる各種識別情報を、フロー情報保持部１５Ｄに保持されているフロー識別情報と照合することにより、受信したパケットが予め登録されているどのフローＦｉとマッチするか識別する（ステップＳ１２１）。これにより、当該パケットは、フロー識別部１５Ｃにおいて、マッチしたフローＦｉと対応するフローバースト検出部３０に割り振られることになる。

次に、フローＦｉと対応するフローバースト検出部３０において、短期トラフィックカウンタ３１は、フロー識別部１５Ｃから出力されたパケットのバイト数を順次累計することにより、対象通信回線のうち対応するフローＦｉに関する短期フロートラフィック量Ｎｉを計数する（ステップＳ１２２）。
この後、フローバースト判定部３５は、検出区間Ｔｄが満了したか確認し（ステップＳ１２３）、検出区間Ｔｄが満了していない場合（ステップＳ１２３：ＮＯ）、一連の全体バースト発生検出処理（ステップＳ１０２）を終了して、後述のステップＳ１０３へ移行する。

また、ステップＳ１２３において、検出区間Ｔｄが満了した場合（ステップＳ１２３：ＹＥＳ）、フローバースト判定部３５は、短期トラフィックカウンタ３１で計数された短期フロートラフィック量Ｎｉを、閾値計算部３４で計算されたフローＦｉのフロー閾値ＴＨｉと比較することにより、フローＦｉに関するフローバースト発生の有無を判定する（ステップＳ１２４）。この際、Ｎｉ＞ＴＨｉの場合には全体バースト発生ありと判定され、Ｎｉ≦ＴＨｉの場合には全体バースト発生なしと判定される。これにより、フローＦｉに関するフロー全体バースト発生ありを示す判定結果は、判定結果出力部１５Ｅにより、例えば画面表示回路１３に出力されて画面表示されることになる。

この後、長期トラフィックカウンタ３２は、短期トラフィックカウンタ３１で計数された短期フロートラフィック量Ｎｉを、長期フロートラフィック量Ｌｉとして集計する（ステップＳ１２５）。
続いて、短期トラフィックカウンタ３１は、短期フロートラフィック量Ｎｉをクリアし（ステップＳ１２６）、一連の全体バースト発生検出処理（ステップＳ１０２）を終了して、後述のステップＳ１０３へ移行する。

このようにして、全体バースト発生検出処理（ステップＳ１０１）と、フローバースト発生検出処理（ステップＳ１０２）とが終了した後、全てのフローバースト検出部３０において、閾値計算処理（ステップＳ１０３）が実行される。

閾値計算処理（ステップＳ１０３）において、各フローバースト検出部３０では、まず、平均トラフィック量計算部３３が、計算区間Ｔｃが満了したか確認し（ステップＳ１３０）、計算区間Ｔｃが満了していない場合（ステップＳ１３０：ＮＯ）、一連の閾値計算処理（ステップＳ１０３）を終了した後、前述したステップＳ１００）に戻って、次のパケット受信まで待機する。

一方、計算区間Ｔｃが満了した場合（ステップＳ１３０：ＹＥＳ）、平均トラフィック量計算部３３は、長期トラフィックカウンタ３２で計数された長期フロートラフィック量Ｌｉに基づいて、検出区間Ｔｄ当たりのトラフィック量を平均トラフィック量Ｍｉとして計算する（ステップＳ１３１）。
次に、閾値計算部３４は、平均トラフィック量計算部３３で得られた平均トラフィック量Ｍｉに、予め設定されているフローＦｉのオフセット値αｉを加算することにより、フロー閾値ＴＨｉを計算し（ステップＳ１３２）、一連の閾値計算処理（ステップＳ１０３）を終了した後、前述したステップＳ１００）に戻って、次のパケット受信まで待機する。

図７は、判定結果の出力例を示す説明図である。判定結果出力部１５Ｅは、全体バースト検出部２０および各フローバースト検出部３０から出力された判定結果を、履歴情報としてまとめて出力してもよい。図７には、履歴情報として、バーストを検出した検出日時ごとに、当該検出日時において検出したバーストの回数が、発生元、すなわち全体およびフローＦｉごとに示されている。これにより、どの時点での全体あるいはどのフローでバーストが何回発生したかを、極めて容易に確認することが可能となる。

［本実施の形態の効果］
このように、本実施の形態は、制御部１５において、フローバースト検出部３０は、フローＦｉごとに、当該フローＦｉのトラフィック量Ｎｉの長期的な変動に応じて動的に変化するフロー閾値ＴＨｉを計算し、フロー閾値ＴＨｉと当該フローＦｉのトラフィック量Ｎｉとを比較することにより、当該フローＦｉで発生したバーストを検出するようにしたものである。
これにより、トラフィック量Ｎｉが長期的に大きく変動しても、その変動にフロー閾値ＴＨｉを追従させることができ、フローＦｉごとにフローバースト発生を正確に検出することが可能となる。

また、本実施の形態において、フローバースト検出部３０の具体的構成として、短期トラフィックカウンタ３１が、一定時間長を有する検出区間ＴｄごとにフローＦｉのデータ量を集計することにより、フローＦｉの短期フロートラフィック量Ｎｉを計数し、長期トラフィックカウンタ３２が、検出区間Ｔｄより長い一定時間長からなる計算区間ＴｃごとにフローＦｉのデータ量を集計することにより、フローＦｉの長期フロートラフィック量Ｌｉを計数し、平均トラフィック量計算部３３が、長期フロートラフィック量Ｌｉから、検出区間Ｔｄ当たりの平均トラフィック量Ｍｉを計算し、閾値計算部３４が、平均トラフィック量Ｍｉに基づいてフロー閾値ＴＨｉを計算し、フローバースト判定部３５が、検出区間Ｔｄごとに、短期フロートラフィック量Ｎｉとフロー閾値ＴＨｉとを比較することにより、フローＦｉでのバースト発生有無を判定するようにしてもよい。これにより、比較的簡素な構成および処理でフローバーストを検出することが可能となる。したがって、パケットが高速で流れる対象通信回線であっても、正確にフローバーストを検出することが可能となる。

また、本実施の形態において、計算区間Ｔｃを、連続するｎ（ｎは２以上の整数）個の検出区間Ｔｄごとに割り当て、長期トラフィックカウンタ３２は、計算区間Ｔｃが満了するごとに、計算区間Ｔｃ内に集計した長期フロートラフィック量Ｌｉを出力するようにしてもよい。これにより、比較的簡素な構成および処理で長期フロートラフィック量Ｌｉを得ることが可能となる。

［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。

１０…バーストトラフィック検出装置、１１…網Ｉ／Ｆ、１２…操作入力回路、１３…画面表示回路、１４…記憶回路、１５…制御部、１５Ａ…パケット受信部、１５Ｂ…ヘッダ解析部、１５Ｃ…フロー識別部、１５Ｄ…フロー情報保持部、１５Ｅ…判定結果出力部、２０…全体バースト検出部、３０…フローバースト検出部、３１…短期トラフィックカウンタ、３２…長期トラフィックカウンタ、３３…平均トラフィック量計算部、３４…閾値計算部、３５…フローバースト判定部、Ｔｄ…検出区間、Ｔｃ…計算区間、Ｎａ…全体トラフィック量、ＴＨａ…全体閾値、Ｆｉ…フロー、Ｎｉ…フロートラフィック量（短期フロートラフィック量）、Ｌｉ…長期フロートラフィック量、Ｍｉ…平均トラフィック量、ＴＨｉ…フロー閾値。

Claims (7)

1. 対象通信回線を流れるパケットに基づいて、前記対象通信回線に関するトラフィック量をフローごとに計数することにより、それぞれのフローで発生したバーストを検出する制御部とを備え、
   前記制御部は、
   前記対象通信回線から取得したパケットごとに、当該パケットのヘッダを解析するように構成されたヘッダ解析部と、
   前記ヘッダ解析部で得られたヘッダ解析結果に基づいて、前記パケットが属するフローを識別するように構成されたフロー識別部と、
   前記フロー識別部で得られたフロー識別結果に基づいて、それぞれのフローのトラフィック量を計数し、得られた計数結果に基づいて、当該フローで発生したバーストを検出するように構成されたフローバースト検出部とを含み、
   前記フローバースト検出部は、前記フローごとに、当該フローのトラフィック量の長期的な変動に応じて動的に変化するフロー閾値を計算し、前記フロー閾値と当該フローのトラフィック量とを比較することにより、当該フローで発生したバーストを検出する
   ことを特徴とするバーストトラフィック検出装置。
2. 請求項１に記載のバーストトラフィック検出装置において、
   前記フローバースト検出部は、
   一定時間長を有する検出区間ごとに前記フローのデータ量を集計することにより、前記フローの短期フロートラフィック量を計数するように構成された短期トラフィックカウンタと、
   前記検出区間より長い一定時間長からなる計算区間ごとに前記フローのデータ量を集計することにより、前記フローの長期フロートラフィック量を計数するように構成された長期トラフィックカウンタと、
   前記長期トラフィックカウンタで計数した前記長期フロートラフィック量から、前記検出区間当たりの平均トラフィック量を計算するように構成された平均トラフィック量計算部と、
   前記平均トラフィック量計算部で計算した前記平均トラフィック量に基づいて、前記フロー閾値を計算するように構成された閾値計算部と、
   前記検出区間ごとに、前記短期トラフィックカウンタで計数した前記短期フロートラフィック量と、前記閾値計算部で計算した前記フロー閾値とを比較することにより、前記フローでのバースト発生有無を判定するように構成されたフローバースト判定部と
   を含むことを特徴とするバーストトラフィック検出装置。
3. 請求項２に記載のバーストトラフィック検出装置において、
   前記計算区間は、前記検出区間ごとに、当該検出区間の直前から遡って連続するｎ（ｎは２以上の整数）個の前記検出区間に割り当てられており、
   前記長期トラフィックカウンタは、前記検出区間ごとに、前記計算区間内から集計した前記長期フロートラフィック量を出力する
   ことを特徴とするバーストトラフィック検出装置。
4. 請求項２または請求項３に記載のバーストトラフィック検出装置において、
   前記平均トラフィック量計算部は、単純移動平均、加重移動平均、あるいは指数移動平均のいずれか１つの計算手法を用いて、前記平均トラフィック量を計算することを特徴とするバーストトラフィック検出装置。
5. 請求項２～請求項４のいずれかに記載のバーストトラフィック検出装置において、
   前記閾値計算部は、前記平均トラフィック量計算部で計算した前記平均トラフィック量に、予め設定されているオフセット値を加算することにより、あるいは、前記平均トラフィック量のうち予め設定されている比率分だけ加算することにより、前記フロー閾値を計算することを特徴とするバーストトラフィック検出装置。
6. 対象通信回線を流れるパケットに基づいて、前記対象通信回線に関するトラフィック量をフローごとに計数することにより、それぞれのフローで発生したバーストを検出する制御部とを備えるバーストトラフィック検出装置で用いられるバーストトラフィック検出方法であって、
   前記制御部が、前記対象通信回線から取得したパケットごとに、当該パケットのヘッダを解析するヘッダ解析ステップと、
   前記制御部が、前記ヘッダ解析ステップで得られたヘッダ解析結果に基づいて、前記パケットが属するフローを識別するフロー識別ステップと、
   前記制御部が、前記フロー識別ステップで得られたフロー識別結果に基づいて、それぞれのフローのトラフィック量を計数し、得られた計数結果に基づいて、当該フローで発生したバーストを検出するフローバースト判定ステップとを備え、
   前記フローバースト判定ステップは、前記フローごとに、当該フローのトラフィック量の長期的な変動に応じて動的に変化するフロー閾値を計算し、前記フロー閾値と当該フローのトラフィック量とを比較することにより、当該フローで発生したバーストを検出するステップを含む
   ことを特徴とするバーストトラフィック検出方法。
7. 請求項６に記載のバーストトラフィック検出方法を、コンピュータに実行させるためのバーストトラフィック検出プログラム。

Images