WO2024252478A1 - リクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システム - Google Patents

リクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システム Download PDF

Info

Publication number
WO2024252478A1
WO2024252478A1 PCT/JP2023/020842 JP2023020842W WO2024252478A1 WO 2024252478 A1 WO2024252478 A1 WO 2024252478A1 JP 2023020842 W JP2023020842 W JP 2023020842W WO 2024252478 A1 WO2024252478 A1 WO 2024252478A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
request
unit
authentication
request packet
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2023/020842
Other languages
English (en)
French (fr)
Inventor
雄貴 赤松
高 原田
文彦 澤崎
和樹 岩佐
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2025525454A priority Critical patent/JPWO2024252478A1/ja
Priority to PCT/JP2023/020842 priority patent/WO2024252478A1/ja
Publication of WO2024252478A1 publication Critical patent/WO2024252478A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/50—Queue scheduling

Definitions

  • the present invention relates to a device for regulating the number of simultaneous connections of request packets, a method for regulating the number of simultaneous connections, a control program, and a system for regulating the number of simultaneous connections.
  • the telecommunications carrier providing the communication service must authenticate that each user using the communication service is a legitimate, specific user who has been registered in advance before connecting the communication line.
  • Telecommunications carriers have EPC (Evolved Packet Core: non-patent document 1) and 5GC (5G Core: non-patent document 2) facilities as their core networks.
  • the core network is the core part of the network owned by a telecommunications carrier, and is communications equipment that connects switches to each other and provides connections to the Internet and the communications networks of other telecommunications carriers.
  • an authentication request packet is sent from the core network to authenticate each user.
  • the authentication device of the telecommunications carrier compares the authentication request packet sent from the core network with pre-registered user information and performs user authentication for each user.
  • the telecommunications carrier can connect a communication line to users who have been successfully authenticated.
  • the core network may send a large number of authentication request packets to authenticate each different user.
  • the authentication device of the telecommunications carrier must constantly process a large number of authentication request packets, but there is a limit to the authentication processing capacity. Therefore, when a large number of authentication request packets are input to the authentication device almost simultaneously, the response time from when the request is made until the processing result is returned, that is, the time required for authentication processing, increases. Furthermore, if the response time increases beyond a certain level, the core network will enter a state where it will resend the same authentication request packet. If a resend occurs when the processing load on the authentication device is high, the resend of the same authentication request packet and the authentication processing will be repeated, and the abnormal operating state may continue for a long time.
  • a load balancer e.g., NGINX in Non-Patent Document 3
  • NGINX in Non-Patent Document 3
  • a cloud service may be used as a request processor that processes authentication request packets input to the authentication device.
  • a cloud service it is possible to dynamically allocate multiple request processors.
  • Non-Patent Document 4 mentions automatically scaling the number of Pods in a controller based on observed CPU usage.
  • Figure 1 shows an example of the configuration of a typical user authentication system 100 used by a telecommunications carrier that provides communication services to various pre-registered users.
  • the user authentication system 100 shown in Figure 1 includes a request packet transmission unit 10, a packet regulation unit 20, a request processing unit 30, and a data storage unit 40.
  • the request packet transmission unit 10 belongs to the core network of EPC or 5GC. For example, when each user starts using a communication service, the system on the telecommunications carrier side needs to authenticate each corresponding user, so an authentication request packet generated by the core network is transmitted from the request packet transmission unit 10 and input to the packet regulation unit 20.
  • the packet regulation unit 20 is equipped with a load balancer and can regulate the number of simultaneous connection requests.
  • the packet regulation unit 20 transmits the authentication request packet received from the request packet transmission unit 10 to the request processing unit 30.
  • the request processing unit 30 executes the authentication process requested for the authentication request packet received from the packet regulation unit 20.
  • the data storage unit 40 holds the database required for this authentication process. That is, there is an authentication database that contains the user ID, password, telephone number, etc. as personal information of each user registered in advance.
  • the request processing unit 30 commands the data storage unit 40 to search for the information required for authentication for each authentication request packet input.
  • the data storage unit 40 executes a search process using a database according to the command input from the request processing unit 30, and transmits the processing result to the request processing unit 30.
  • the request processing unit 30 transmits the search processing result received from the data storage unit 40 to the packet regulation unit 20 as the request processing result. This request processing result is transmitted from the packet regulation unit 20 to the request packet transmission unit 10.
  • the request processing result is sent from the packet regulation unit 20 to the request packet sending unit 10 within a relatively short time after the request packet sending unit 10 sends the authentication request packet.
  • the processing load on the request processing unit 30 etc. increases, causing delays.
  • the time required from when the request packet sending unit 10 sends the authentication request packet until the processing result is returned may be longer than the predetermined retransmission interval.
  • the request packet transmission unit 10 executes a retransmission of the previously transmitted authentication request packet.
  • the same authentication request packet request may be input to the request processing unit 30 multiple times before the processing of each authentication request packet is completed, which is expected to result in an abnormal operating state.
  • the packet regulating unit 20 therefore uses a predefined regulating value to restrict the number of simultaneous connection requests at the inlet, preventing a large number of request packets from being input at the same time. This allows the packet regulating unit 20 to suppress an increase in the processing load on downstream request processing units 30 and the like, and therefore allows the time required to process each request packet to be kept within the retransmission interval of the request packet transmitting unit 10. As a result, the request packet transmitting unit 10 will no longer retransmit the same request packet, and the request processing unit 30 can maintain a normal processing state.
  • FIG. 2 shows an example of the configuration of a general user authentication system 100A that is assumed when using cloud services.
  • the user authentication system 100A in FIG. 2 has a request packet transmission unit 10, a data storage unit 40, a packet regulation and distribution unit 20A, and multiple independent n request processing units 30-1, 30-2, ... 30-n.
  • the packet regulation and distribution unit 20A has the function of appropriately distributing each authentication request packet input from the request packet transmission unit 10 to one of the multiple request processing units 30-1 to 30-n.
  • Non-Patent Document 4 Assuming the technology of Non-Patent Document 4, the number n of the multiple request processing units 30-1 to 30-n that are actually allocated is automatically scaled based on the observed CPU usage rate. Furthermore, when using a cloud, various application software share the CPU, memory, and other hardware on a common server, so the performance of the hardware resources available to each of the multiple request processing units 30-1 to 30-n may fluctuate significantly. Furthermore, the number of request processing units 30-1 to 30-n that are actually operating may decrease due to the occurrence of a failure.
  • the packet regulation and distribution unit 20A can limit the number of simultaneous connections of request packets flowing in from the request packet transmission unit 10 to a predetermined regulation value.
  • the packet regulation and sorting unit 20A may not regulate the number of simultaneous connection requests.
  • the restriction value for the number of simultaneous connections of request packets in the packet restriction/sorting unit 20A is set to a relatively large value
  • the following situations (1) and (2) occur.
  • (1) When a large number of authentication request packets are generated in bursts at almost the same time in the request packet transmission unit 10A, the response time until each request is processed and the result is returned becomes longer, and the number of times the request packet transmission unit 10A retransmits the same authentication request packet increases, resulting in a long time being required to complete the processing of all generated authentication request packets.
  • (2) When a malfunction occurs in the system and the total number of request processing units 30-1 to 30-n that are operating normally decreases, the overall processing performance of the request processing units 30-1 to 30-n decreases.
  • the response time from when the request packet transmitting unit 10A transmits an authentication request packet until the processing result is returned becomes longer than the retransmission interval of the request packet transmitting unit 10A. Therefore, a situation occurs in which the request packet transmitting unit 10A retransmits the same authentication request packet in the middle of processing one authentication request packet, making it impossible to continue normal operation.
  • the restriction value for the number of simultaneous connections of request packets in the packet restriction/sorting unit 20A is set to a relatively small value, the following situation (3) occurs.
  • (3) In a steady state where the frequency of authentication request packets generated by the request packet transmitting unit 10A is relatively low, even though the overall processing capacity of the request processing units 30-1 to 30-n is sufficient, the packet regulating and sorting unit 20A regulates some of the incoming authentication request packets due to the regulation value. As a result, the processing capacity of the user authentication system 100A does not increase.
  • the present invention has been made in consideration of the above situation, and aims to provide a device for regulating the number of simultaneous connections of request packets, a method for regulating the number of simultaneous connections, a control program, and a system for regulating the number of simultaneous connections, which are capable of constantly maintaining the system in an appropriate operating state even in a situation where a relatively large dynamic change occurs in the overall processing capacity of multiple request processing units.
  • the device for regulating the number of simultaneous connections of request packets comprises: a request packet transmitting unit for transmitting an authentication request packet generated in the core network; A plurality of request processing units that can be dynamically allocated according to circumstances; a packet distribution unit that distributes an authentication request packet sent by the request packet transmission unit to a plurality of routes and provides the packet to any one of the plurality of request processing units; a control unit for controlling the number of simultaneous connections of authentication request packets to be authenticated by the plurality of request processing units, The control unit is configured to collect feature data representing the operating status of at least one of the packet distribution unit and the request processing unit, and dynamically control a limit value for the number of simultaneous connections of authentication request packets processed by the packet distribution unit based on the collected feature data.
  • the device, method, control program, and system for regulating the number of simultaneous connections of request packets of the present invention make it possible to constantly maintain the system in an appropriate operating state even in a situation where a relatively large dynamic change occurs in the overall processing capacity of multiple request processing units.
  • the results of collecting the actual operating status of the system as feature data are used to dynamically control the regulated value for the number of simultaneous connections of authentication request packets processed by the packet sorting unit, making it easy to maintain the regulated value in an optimal state.
  • FIG. 1 is a block diagram showing an example of the configuration of a general user authentication system.
  • FIG. 1 is a block diagram showing a configuration example of a user authentication system that utilizes a cloud.
  • 1 is a block diagram showing an example of the configuration of a user authentication system according to an embodiment of the present invention.
  • FIG. 4 is a block diagram showing main components in each block shown in FIG. 3 .
  • 11 is a schematic diagram showing an example of the configuration of main management information handled by a request packet control unit;
  • FIG. FIG. 4 is a schematic diagram showing a specific example of feature amount data.
  • 13 is a flowchart showing an operation example-1 of a request packet control unit.
  • 13 is a flowchart showing a second operation example of a request packet control unit.
  • 13 is a flowchart showing an operation example 3 of a request packet control unit.
  • FIG. 3 An example of the configuration of a user authentication system 100B according to an embodiment of the present invention is shown in Fig. 3. Also, main components in each block shown in Fig. 3 are shown in Fig. 4.
  • the user authentication system 100B shown in FIG. 3 is configured as a facility managed by a telecommunications carrier that provides services such as telephone call services and Internet communication connection services to a large number of registered users who have signed up in advance.
  • the user authentication system 100B shown in FIG. 3 includes a request packet transmission unit 10, a packet regulation and distribution unit 20B, a number of request processing units 30B-1, 30B, ..., 30B-n, a data storage unit 40, and a request packet control unit 50.
  • the request packet transmission unit 10 belongs to the core network of EPC or 5GC. For example, when each user starts using a communication service, the system on the telecommunications carrier side needs to authenticate each corresponding user, so an authentication request packet generated by the core network is transmitted from the request packet transmission unit 10 and input to the packet regulation and distribution unit 20B. All authentication request packets transmitted by the request packet transmission unit 10 contain personal information of the corresponding user, such as a user ID, password, and telephone number.
  • the request packet sending unit 10 includes a packet sending unit 11, a processing result packet receiving unit 12, and a packet retransmission processing unit 13.
  • the packet sending unit 11 has a function of sending authentication request packets generated by the core network for each user to the packet regulation and sorting unit 20B.
  • the processing result packet receiving unit 12 has a function of receiving packets that are the processing result of the authentication request packets that have been sent.
  • the packet retransmission processing unit 13 has a function of retransmitting the corresponding authentication request packet to the packet regulation and sorting unit 20B if the processing result does not arrive within a certain time (retransmission interval) after the request packet transmission unit 10 transmits an authentication request packet.
  • the retransmission interval is determined in advance as a fixed value.
  • the packet regulation and distribution unit 20B includes a transmission packet distribution processing unit 21, a simultaneous connection number regulation unit 22, a processing result packet receiving unit 23, and a processing result packet transmitting unit 24.
  • the transmission packet distribution processing unit 21 appropriately distributes and transmits each authentication request packet input from the request packet transmission unit 10 to one of the multiple request processing units 30B-1 to 30B-n.
  • the simultaneous connection number restriction unit 22 has a load balancer function that restricts the number of simultaneous connections of authentication request packets flowing in from the request packet transmission unit 10 at the entrance of the packet restriction and distribution unit 20B so that it does not exceed a "restriction value".
  • the simultaneous connection number restriction unit 22 can be configured using NGINX, which is a type of Web server software.
  • the "restriction value" of the simultaneous connection number restriction unit 22 is not a fixed value but is dynamically controlled by the request packet control unit 50.
  • the processing result packet receiver 23 has a function of receiving from the request processors 30B-1 to 30B-n a processing result packet for an authentication request packet that the packet regulation and distribution unit 20B has sent to one of the request processors 30B-1 to 30B-n.
  • the processing result packet transmitter 24 has a function of transmitting the processing result packet received by the processing result packet receiver 23 to the request packet transmitter 10.
  • the multiple request processing units 30B-1 to 30B-n shown in FIG. 3 are configured using cloud services.
  • the number n of the multiple request processing units 30B-1 to 30B-n may change dynamically depending on the situation. For example, when using the Pod Autoscaler technology in Non-Patent Document 4, it is expected that the number n of the request processing units 30B-1 to 30B-n will change dynamically depending on the observed CPU usage rate.
  • Each of the request processing units 30B-1 to 30B-n includes a request packet receiving unit 31, a packet authentication instruction unit 32, and a processing result packet sending unit 33, like the request processing unit 30B shown in FIG. 4.
  • This request processing unit 30B is realized by software that processes a user authentication protocol, for example, RADIUS (Remote Authentication Dial In User Service), and authenticates users on the network.
  • This software is executed by, for example, a server computer (not shown).
  • the request packet receiving unit 31 receives each authentication request packet sent from the packet regulation and distribution unit 20B.
  • the packet authentication instruction unit 32 instructs the execution of user authentication processing for each authentication request packet received by the request packet receiving unit 31.
  • the processing result packet sending unit 33 detects the result of the authentication processing processed by the data storage unit 40 in response to the instruction of the packet authentication instruction unit 32, and sends it to the packet regulation and distribution unit 20B as a processing result packet.
  • the data storage unit 40 includes a user authentication information holding unit 41 and a user authentication processing unit 42.
  • the user authentication information holding unit 41 holds personal information required for authentication, such as user ID, password, and telephone number, as a database for each of a large number of users registered in advance.
  • the user authentication processing unit 42 executes user authentication for each authentication request packet in accordance with instructions from each request processing unit 30B-1 to 30B-n. That is, it searches for personal information in the database held by the user authentication information holding unit 41 and identifies whether the user of each authentication request packet matches a specific user that has been registered.
  • the database of the user authentication information holding unit 41 can be configured using, for example, PostgreSQL, which is one of the open source relational database management systems (RDBMS).
  • the request packet control unit 50 is a special component provided to automatically control the "limit value" of the number of simultaneous connections of request packets in the packet regulation and sorting unit 20B. As shown in FIG. 4, this request packet control unit 50 includes a live status monitoring unit 51, a feature collection and storage unit 52, a feature learning processing unit 53, an optimization limit value calculation unit 54, and a simultaneous connection limit value control unit 55.
  • the alive state monitoring unit 51 has a function of constantly monitoring the alive state of each of the n request processing units 30B-1 to 30B-n to grasp the situation.
  • the feature amount collecting and accumulating unit 52 has a function of collecting information on a plurality of feature amounts necessary for the control of the request packet control unit 50 and accumulating the data.
  • the feature amount collecting and accumulating unit 52 collects each of the feature amounts Da, Db, Dc, and Dd described below.
  • the feature amount Da can be obtained from the request packet transmitting unit 10.
  • the feature amount Db can be obtained from the packet regulating and sorting unit 20B.
  • the feature amounts Dc and Dd can be obtained from each of the request processing units 30B-1 to 30B-n.
  • the feature amount learning processing unit 53 learns the correlations between the multiple feature amounts Da, Db, Dc, and Dd based on the data collected and stored by the feature amount collecting and storing unit 52 .
  • the optimization restriction value calculation unit 54 has a function of calculating an optimal value of the restriction value of the number of simultaneous connections of request packets restricted by the simultaneous connection number restriction unit 22 of the packet restriction and distribution unit 20B. Note that the restriction value of the simultaneous connection number restriction unit 22 may be changed using a result obtained by adding a constant for a margin or the like to the optimal restriction value calculated by the optimization restriction value calculation unit 54.
  • the simultaneous connection number limit value control unit 55 has the function of monitoring the response time of the request processing units 30B-1 to 30B-n, and changing the limit value of the simultaneous connection number limit unit 22 as needed based on the optimal limit value calculated by the optimization limit value calculation unit 54.
  • Each function of the request packet control unit 50 can be configured by a server including computer hardware consisting of a CPU, memory, communication interface, etc., and software that realizes each function.
  • ⁇ Configuration of management information> 5 shows an example of the configuration of the main management information 60 handled by the request packet control unit 50. Also, a specific example of feature amount data 64 is shown in Fig. 6. In the example shown in Fig. 5, the management information 60 includes a large amount of learning data 65 each including user information 61, packet transmission time 62, result packet reception time 63, and feature amount data 64.
  • User information 61 consists of a user ID, password, telephone number, etc.
  • Packet transmission time 62 indicates the time or period when each authentication request packet is transmitted by request packet transmission unit 10.
  • Result packet reception time 63 indicates the time or period when each processing result of the transmitted authentication request packet is received by request packet transmission unit 10 from packet regulation and distribution unit 20B.
  • the time required for each request processing unit 30B-1 to 30B-n to process each authentication request packet i.e., the response time
  • the response time can be understood as the difference between the value of packet transmission time 62 and the value of result packet reception time 63.
  • feature Da is the number of requests being processed simultaneously in packet regulation and sorting unit 20B.
  • This number of requests being processed simultaneously represents the number of requests that are currently being processed by packet regulation and sorting unit 20B after it has accepted an authentication request packet from request packet sending unit 10 and has not yet returned the processing result to request packet sending unit 10, and this number is limited to within a "limit value" by simultaneous connection number regulation unit 22.
  • the characteristic quantity Db shown in FIG. 6 is the utilization rate of the hardware resources (CPU and memory) used by each of the request processing units 30B-1 to 30B-n at each point in time.
  • the characteristic quantity Dc is the total number of request processing units 30 currently operating among all the request processing units 30B-1 to 30B-n allocated by the cloud service.
  • the characteristic quantity Dd is the response time equivalent to the time required for the request processing units 30B-1 to 30B-n to process each authentication request packet.
  • the feature quantities Da, Db, Dc, and Dd shown in FIG. 6 affect each other.
  • the response time of the request processing units 30B-1 to 30B-n i.e., the feature quantity Dd
  • the feature quantity Dd changes dynamically due to the influence of each of the feature quantities Da, Db, and Dc. Therefore, if the correlations of the learning data 65 of the many feature quantities Da to Dd collected and accumulated in the past are learned, it is possible to identify the feature quantities Da, Db, and Dc required to bring the response time corresponding to the feature quantity Dd closer to a certain reference value.
  • the feature quantities Db and Dc change dynamically, the latest values can be identified by observation. Therefore, based on the identified feature quantities Db, Dc, and Dd and the learned correlations, it is possible to calculate an appropriate feature quantity Da, i.e., the optimal regulation value that the simultaneous connection number regulation unit 22 should regulate.
  • FIG. 7 An operation example 1 of the request packet control unit 50 is shown in Fig. 7. The operation shown in Fig. 7 will be described below.
  • the learning data 65 shown in FIGS. 5 and 6 is collected in advance and stored in a predetermined storage device, and the operation of FIG. 7 is executed after the request packet control unit 50 is in a state where it can grasp the correlations among the feature quantities Da to Dd of the feature quantity data 64 through learning.
  • step S11 the request packet control unit 50 specifies a retransmission interval T1 of the authentication request packet in the request packet transmission unit 10.
  • the retransmission interval of the request packet transmission unit 10 is fixed at 2.0 seconds (sec), so in step S11, the retransmission interval T1 is determined to be 2.0 seconds.
  • step S12 the request packet control unit 50 grasps the response time of each of the request processing units 30B-1 to 30Bn as T2 .
  • This response time T2 corresponds to the time required from when the request packet transmission unit 10 transmits one authentication request packet until the processing result is returned from the packet regulation/distribution unit 20B to the request packet transmission unit 10. Therefore, the request packet control unit 50 can obtain information on the actual latest response time T2 by successively communicating with the request packet transmission unit 10. Note that this response time T2 means information equivalent to the feature amount Dd shown in FIG. 6.
  • step S13 the request packet control unit 50 determines a reference value T2ref of the response time and a threshold value T2th of the response time so as to satisfy the condition of the following formula (1).
  • T2ref ⁇ T2th ⁇ T1 ...(1) it is determined as follows.
  • T 2ref 1.8 [sec]
  • T 2th 1.9 [sec]
  • step S14 the request packet control unit 50 communicates with the request packet transmission unit 10, the packet regulation and distribution unit 20B, and the request processing units 30B-1 to 30B-n to obtain information on the latest feature quantities Da, Db, Dc, and Dd.
  • the request packet control unit 50 monitors the fluctuation of the response time T2 in step S15, and compares the response time T2 with a threshold value T2th in step S16. If the response time T2 exceeds the threshold value T2th , the process proceeds from step S16 to step S17.
  • the request packet control unit 50 calculates an appropriate feature Da (T 2ref ) under the condition that the feature Dd matches the reference value T 2ref of the response time, based on the learning results of the correlation between the features Da to Dd of the feature data 64 previously acquired and accumulated and the latest values of the features Db and Dc (step S17).
  • the request packet control unit 50 uses the feature amount Da (T 2ref ) calculated in step S17 to automatically change the number of simultaneous processing requests of the packet regulation and distribution unit 20B, i.e., the regulation value, in step S18 in response to the regulation value change instruction SG1 shown in FIG.
  • the operation shown in Fig. 7 is executed repeatedly at a fixed cycle, for example.
  • the processing load of the request processing units 30B-1 to 30B-n increases, and the response time T2 becomes longer.
  • the response time T2 is corrected by the request packet control unit 50 so that it approaches a reference value T2ref that is smaller than the current value, that is, so that the restriction value of the number of simultaneously processed requests of the packet restriction/sorting unit 20B becomes smaller.
  • the response time T2 can be brought closer to the reference value T2ref .
  • the response time T2 becomes longer.
  • a feature amount Da ( T2ref ) reflecting the change in the feature amount Dc is calculated in step S17, and the restriction value of the number of simultaneously processed requests of the packet restriction and distribution unit 20B is corrected in step S18. Therefore, the response time T2 can be brought closer to the reference value T2ref .
  • FIG. 8 An operation example 2 of the request packet control unit 50 is shown in Fig. 8. The operation shown in Fig. 8 will be described below.
  • the learning data 65 shown in FIGS. 5 and 6 is collected and stored in advance, and the operation of FIG. 8 is executed after the request packet control unit 50 is in a state where it can grasp the correlations among the feature quantities Da to Dd of the feature quantity data 64 through learning.
  • step S11 the request packet control unit 50 specifies a retransmission interval T1 of the authentication request packet in the request packet transmission unit 10.
  • the retransmission interval of the request packet transmission unit 10 is fixed at 2.0 seconds (sec), so in step S11, the retransmission interval T1 is determined to be 2.0 seconds.
  • step S12 the request packet control unit 50 grasps the response time of each of the request processing units 30B-1 to 30B-n as T2 .
  • This response time T2 corresponds to the time required from when the request packet transmission unit 10 transmits one authentication request packet until the processing result is returned from the packet regulation/distribution unit 20B to the request packet transmission unit 10. Therefore, the request packet control unit 50 can obtain information on the actual latest response time T2 by successively communicating with the request packet transmission unit 10. Note that this response time T2 means information equivalent to the feature amount Dd shown in FIG. 6.
  • step S13A the request packet control unit 50 determines a reference value T2ref of the response time and a threshold value T2th2 of the response time so as to satisfy the condition of the following formula (2).
  • T 2th2 ⁇ T 2ref ⁇ T 1 ...(2) it is determined as follows.
  • T 2ref 1.8 [sec]
  • T 2th2 1.7 [sec]
  • step S14 the request packet control unit 50 communicates with the request packet transmission unit 10, the packet regulation and distribution unit 20B, and the request processing units 30B-1 to 30B-n to obtain information on the latest feature quantities Da, Db, Dc, and Dd.
  • the request packet control unit 50 monitors the fluctuation of the response time T2 in step S15, and compares the response time T2 with its threshold value T2th2 in step S16A. If the response time T2 is smaller than the threshold value T2th2 , the process proceeds from step S16A to S17.
  • the request packet control unit 50 calculates an appropriate feature Da (T 2ref ) under the condition that the feature Dd matches the reference value T 2ref of the response time, based on the learning results of the correlation between the features Da to Dd of the feature data 64 previously acquired and accumulated and the latest values of the features Db and Dc (step S17).
  • the request packet control unit 50 uses the feature amount Da (T 2ref ) calculated in step S17 to automatically change the number of simultaneous processing requests of the packet regulation and distribution unit 20B, i.e., the regulation value, in step S18 in response to the regulation value change instruction SG1 shown in FIG.
  • the operation shown in FIG. 8 is executed repeatedly at a constant cycle, for example.
  • the performance of the entire user authentication system 100B cannot be improved. However, by executing the operation shown in FIG. 8, the performance of the entire user authentication system 100B can be improved.
  • the response time T2 is controlled by the restriction value change instruction SG1 of the request packet control unit 50 so as to approach a reference value T2ref that is larger than the current value, that is, so that the restriction value of the number of simultaneously processed requests of the packet restriction and distribution unit 20B is increased.
  • steps S16A, S17, and S18 are executed. Then, the restriction value of the number of simultaneous processing requests of the packet restriction/sorting unit 20B is corrected to a larger value so that the response time T2 approaches the reference value T2ref of 1.8 seconds. This increases the number of authentication request packets that the user authentication system 100B can simultaneously process, improving performance.
  • FIG. 9 shows a third operation example of the request packet control unit 50.
  • the operation shown in Fig. 9 is a modified example of the operation shown in Fig. 8, and represents an operation in which the restriction value of the number of simultaneous processing requests of the packet restriction/distribution unit 20B is adjusted in stages by repeating the same operation multiple times.
  • the operation shown in Fig. 9 will be described below.
  • the request packet control unit 50 determines the response time reference value T2ref and the response time threshold value T2th2 to be predetermined values in step S13B of Fig. 9.
  • the response time reference value T2ref is set to 1.6 seconds
  • the response time threshold value T2th2 is set to 1.5 seconds.
  • step S20 of Fig. 9 the request packet control unit 50 executes the same process as in Fig. 8 as the first process, except that instead of step S13A in Fig. 8, the values of the parameters (T 2ref , T 2th2 ) determined in step S13B of Fig. 9 are adopted.
  • the request packet control unit 50 changes the response time reference value T2ref and the response time threshold value T2th2 in step S13C of Fig. 9. Specifically, the response time reference value T2ref is set to 1.7 seconds, and the response time threshold value T2th2 is set to 1.6 seconds.
  • step S21 of Fig. 9 the request packet control unit 50 executes the same process as in Fig. 8 as the second process, except that the values of the parameters (T 2ref , T 2th2 ) determined in step S13C of Fig. 9 are adopted instead of step S13A in Fig. 8.
  • the request packet control unit 50 changes the response time reference value T2ref and the response time threshold value T2th2 in step S13D of Fig. 9. Specifically, the response time reference value T2ref is set to 1.8 seconds, and the response time threshold value T2th2 is set to 1.7 seconds.
  • step S22 of Fig. 9 the request packet control unit 50 executes the same process as in Fig. 8 as the third process, except that instead of step S13A in Fig. 8, the values of the parameters (T 2ref , T 2th2 ) determined in step S13D of Fig. 9 are adopted.
  • the response time reference value T2ref and the response time threshold value T2th2 are changed stepwise little by little, so that the restriction value of the number of simultaneously processed requests in the packet restriction/distribution unit 20B is also adjusted stepwise little by little.
  • Priority 1 User information search time of the data storage unit 40
  • Priority 2 CPU and memory usage rate of the data storage unit 40
  • Priority 3 Number of request processing units 30B operating normally
  • Priority 4 CPU and memory usage rate of the request processing unit 30B
  • a request packet transmission unit (10) that transmits an authentication request packet generated in a core network; A plurality of request processing units (30B-1 to 30B-n) that can be dynamically assigned according to circumstances; a packet distribution unit (packet regulation and distribution unit 20B) for distributing an authentication request packet sent by the request packet transmission unit to a plurality of routes and providing the packet to one of the plurality of request processing units; a control unit (request packet control unit 50) for controlling the number of simultaneous connections of authentication request packets to be authenticated by the plurality of request processing units, the control unit collects feature data (feature amounts Da, Db, Dc, Dd) representing an operating status of at least one of the packet sorting unit and the request processing unit, and dynamically controls a restriction value of the number of simultaneous connections of authentication request packets processed by the packet sorting unit based on the collected feature data (see FIGS. 7 to 9 ); A device for regulating the number of simultaneous connection requests.
  • feature data feature amounts Da, Db, Dc, Dd
  • the regulation value is automatically adjusted to an appropriate value by the control of the control unit. This makes it possible to reduce the number of times the request packet transmission unit resends the authentication request packet. In addition, it becomes unnecessary to provide more leeway than necessary in the regulation value, thereby improving the processing capacity of the entire system.
  • the feature data includes at least a first feature (feature Da) representing the number of requests being simultaneously processed, a second feature (feature Dd) representing a response time from when each request packet is transmitted until a processing result is returned, and a third feature (feature Db, Dc, Dd) related to processing performance of the plurality of request processing units,
  • the control unit calculates a reference value (Da(T 2ref )) of the number of simultaneous connections of authentication request packets based on the correlation of the feature amount data (learning data 65) recorded in the past (S17), and reflects the reference value in the restriction value in the packet sorting unit (S18).
  • a device for regulating the number of simultaneous connections of request packets according to the above [1].
  • the request packet simultaneous connection number regulation device configured as in [2] above understands the correlation between multiple feature quantities from previously recorded feature quantity data and uses this to calculate the reference value, so that the regulation value can be quickly changed to an appropriate value with at least one processing run. This makes it easy to realize a control system with a high response speed.
  • the control unit detects that the response time approaches the retransmission interval ( T1 ) of packets in the request packet transmission unit and the response time ( T2 ) from when each request packet is transmitted until the processing result is returned (S16), the control unit calculates a reference value (Da( T2ref)) for the number of simultaneous connections of authentication request packets based on a first response time reference value (T2ref ) that is smaller than the latest response time and a correlation between the feature amount data recorded in the past (S17), and reflects the reference value in the restriction value in the packet distribution unit (S18).
  • a reference value Da( T2ref)
  • the request packet simultaneous connection number regulation device having the configuration of [3] above can automatically reduce the regulation value when the response time approaches the retransmission interval so that retransmissions in the request packet transmission unit are less likely to occur. This can prevent an extension in the time required to complete the processing of all authentication request packets when, for example, a large number of authentication request packets are generated in a burst in the request packet transmission unit.
  • the control unit detects that the response time has a margin for the retransmission interval ( T1 ) based on the packet retransmission interval (T2) in the request packet transmission unit and the response time ( T2 ) from when each request packet is transmitted until the processing result is returned (S16A)
  • the control unit calculates a reference value (Da( T2ref )) for the number of simultaneous connections of authentication request packets based on a second response time reference value ( T2ref ) that is greater than the latest response time and smaller than the retransmission interval and a correlation between the feature amount data recorded in the past (S17), and reflects the reference value in the restriction value in the packet distribution unit (S18).
  • a device for regulating the number of simultaneous connections of request packets according to [2] above.
  • the request packet simultaneous connection number restriction device having the configuration of [4] above can automatically increase the restriction value when the response time has more leeway than necessary for the retransmission interval. This makes it possible to improve the actual authentication processing performance within the range of the overall system processing capacity.
  • control unit When the control unit detects that the response time has a margin for the retransmission interval based on the retransmission interval ( T1 ) and the response time ( T2 ), the control unit gradually updates the second response time reference value (S20, S21, S22), calculates a reference value for the number of simultaneous connections of authentication request packets for each of the updated second response time reference values, and reflects the reference value in the restriction value in the packet sorting unit (S18).
  • S20, S21, S22 calculates a reference value for the number of simultaneous connections of authentication request packets for each of the updated second response time reference values, and reflects the reference value in the restriction value in the packet sorting unit (S18).
  • the request packet simultaneous connection number regulation device configured as in [5] above gradually updates the regulation value, making it possible to avoid sudden changes in the operation of the control system. This makes it easy to respond appropriately to large fluctuations in the frequency of authentication request packets generated by the request packet transmission unit.
  • An authentication processing device having a request packet transmission unit (10) that transmits an authentication request packet generated in a core network, a plurality of request processing units (30B-1 to 30B-n) that can be dynamically assigned according to circumstances, and a packet distribution unit (packet regulation and distribution unit 20B) that distributes the authentication request packet sent by the request packet transmission unit to a plurality of routes and provides it to one of the plurality of request processing units, is used to control the number of simultaneous connections of authentication request packets that are subjected to authentication processing by the plurality of request processing units, Collecting feature data (learning data 65) representing an operation status of at least one of the packet sorting unit and the request processing unit; Based on the collected feature amount data, a limit value of the number of simultaneous connections of authentication request packets processed by the packet sorting unit is dynamically controlled (see FIGS. 7 to 9 ); A method for regulating the number of simultaneous connection request packets.
  • the regulating value can be adjusted to an appropriate value. This makes it possible to reduce the number of times the request packet sending unit resends the authentication request packet. In addition, it becomes unnecessary to provide more leeway than necessary in the regulating value, thereby improving the processing capacity of the entire system.
  • a control program executable by a computer for an authentication device having a request packet transmission unit (10) that transmits an authentication request packet generated in a core network, a plurality of request processing units (30B-1 to 30B-n) that can be dynamically assigned according to a situation, a packet distribution unit (packet regulation and distribution unit 20B) that distributes an authentication request packet sent by the request packet transmission unit to a plurality of routes and provides the packet to one of the plurality of request processing units, and a control unit (request packet control unit 50) that controls the number of simultaneous connections of authentication request packets that are subjected to authentication processing by the plurality of request processing units, A procedure for collecting feature amount data (learning data 65) representing an operation status of at least one of the packet sorting unit and the request processing unit; A procedure for dynamically controlling a limit value of the number of simultaneous connections of authentication request packets processed by the packet sorting unit based on the collected feature data (see FIGS. 7 to 9 ); A control program comprising:
  • the restriction value is automatically adjusted to an appropriate value by the control of the control unit. This makes it possible to reduce the number of times the request packet sending unit resends an authentication request packet. In addition, it becomes unnecessary to provide more leeway than necessary in the restriction value, and the processing capacity of the entire system can be improved.
  • a request packet transmission unit 10 for transmitting an authentication request packet generated in a core network; A plurality of request processing units (30B-1 to 30B-n) that can be dynamically assigned according to circumstances; a packet distribution unit (packet regulation and distribution unit 20B) for distributing an authentication request packet sent by the request packet transmission unit to a plurality of routes and providing the packet to one of the plurality of request processing units; a data storage unit (data storage unit 40) for storing in advance personal information necessary for user authentication of each of the authentication request packets; a control unit (request packet control unit 50) for controlling the number of simultaneous connections of authentication request packets to be authenticated by the plurality of request processing units, the control unit collects feature data representing an operation status of at least one of the packet sorting unit and the request processing unit, and dynamically controls a limit value of the number of simultaneous connections of authentication request packets processed by the packet sorting unit based on the collected feature data.
  • the regulation value is automatically adjusted to an appropriate value by the control of the control unit. This makes it possible to reduce the number of times the request packet sending unit resends the authentication request packet. In addition, it becomes unnecessary to provide more leeway than necessary in the regulation value, thereby improving the processing capacity of the entire system.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

複数のリクエスト処理部の全体の処理能力に大きな変化が発生する状況でも、システムを適切な動作状態に維持可能にする。リクエストパケット送信部１０と、動的に割り当て可能な複数のリクエスト処理部３０Ｂ－１～３０Ｂ－ｎと、前記リクエストパケット送信部が送出する認証リクエストパケットを複数経路に振り分けて前記複数のリクエスト処理部のいずれかに与えるパケット振り分け部２０Ｂと、前記複数のリクエスト処理部が認証処理する認証リクエストパケットの同時接続数を制御する制御部５０とを備える。前記制御部５０は、前記パケット振り分け部および前記リクエスト処理部の少なくとも一方から特徴量データを収集し、収集した前記特徴量データの相関関係に基づき算出した基準値を用いて、前記パケット振り分け部２０Ｂが処理する認証リクエストパケットの同時接続数の規制値を規制値変更指示ＳＧ１で動的に制御する。

Description

リクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システム
　本発明は、リクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システムに関する。
　例えば、様々なユーザがスマートホンなどの携帯端末を利用して電話をかけるような場合には、通信サービスを提供する通信事業者は、通信サービスを利用する各ユーザが事前に登録された正規の特定ユーザであることを認証してから通信回線の接続を実行する必要がある。
　通信事業者は、コアネットワークとして、ＥＰＣ (Evolved Packet Core:非特許文献１)や５ＧＣ (5G Core:非特許文献２)の設備を有している。コアネットワークは、通信事業者の保有するネットワークの中核部分であり、交換機同士を結び、インターネットや他の通信事業者の通信網と接続するための通信設備である。
　例えば各ユーザが通信サービスの利用を開始する際には、それぞれのユーザを認証するために、認証リクエストパケットがコアネットワークから送信される。通信事業者の認証装置は、コアネットワークから送信される認証リクエストパケットについて、事前に登録されたユーザ情報と比較してそれぞれのユーザ認証を実行する。通信事業者は、ユーザ認証に成功したユーザに対して通信回線の接続を行うことができる。
　実際には、事前に登録された膨大な数のユーザがそれぞれ不定期で通信サービスを利用するので、コアネットワークはそれぞれ異なるユーザを認証するために大量の認証リクエストパケットを送信する可能性がある。そして、通信事業者の認証装置は大量の認証リクエストパケットを常時処理する必要があるが、認証処理の能力には限界がある。そのため、認証装置に大量の認証リクエストパケットがほぼ同時に入力された場合は、リクエストの発生からその処理結果が戻るまでの応答時間、すなわち認証処理の所要時間が増大する。また、応答時間が所定以上に増大すると、コアネットワークは同じ認証リクエストパケットを再送する状態になる。認証装置における処理負荷が大きい状態で再送が発生すると、同じ認証リクエストパケットの再送とその認証処理とが繰り返されて、異常な動作状態が長時間継続する可能性がある。
　そこで、認証装置の入口にロードバランサ（例えば、非特許文献３のNGINX）を配置して、コアネットワークから認証装置に入力される認証リクエストパケットの同時接続数を規制することが一般的に行われている。
　また、認証装置に入力された認証リクエストパケットを処理するリクエスト処理部としてクラウドサービスを活用する場合もある。また、クラウドサービスを活用する場合には、複数のリクエスト処理部を動的に配置することが可能である。例えば非特許文献４は、コントローラ内のＰｏｄの数を観測されたＣＰＵ使用率に基づいて自動的にスケーリングすることに言及している。
M. Mealling, "A Uniform Resource Name Namespace for the EPC global Electronic Product Code (EPC) and Related Standards", RFC 5134, The EPC URN, January 2008、インターネット<URL:https://datatracker.ietf.org/doc/html/rfc5134> D.Allan,et al, RFC 8822, "5G Wireless Wireline Convergence User Plane Encapsulation (5WE)", April 2021、インターネット<URL:https://datatracker.ietf.org/doc/html/rfc8822> NGINX、インターネット<URL:https://nginx.org/en/> "Horizontal pod autoscale walkthrough"、インターネット<URL:https://kubernetes.io/ja/docs/tasks/run-application/horizontal-pod-autoscale-walkthrough/>
　事前に登録した様々なユーザに通信サービスを提供する通信事業者が使用する一般的なユーザ認証システム１００の構成例を図１に示す。図１に示したユーザ認証システム１００はリクエストパケット送信部１０、パケット規制部２０、リクエスト処理部３０、及びデータ保存部４０を備えている。
　リクエストパケット送信部１０は、ＥＰＣや５ＧＣのコアネットワークに属している。例えば、各ユーザが通信サービスの利用を開始する時には、通信事業者側のシステムは該当するそれぞれのユーザを認証する必要があるので、コアネットワークが生成した認証リクエストパケットがリクエストパケット送信部１０から送信されパケット規制部２０に入力される。
　パケット規制部２０はロードバランサを備え、リクエストの同時接続数を規制することができる。パケット規制部２０は、リクエストパケット送信部１０から受信した認証リクエストパケットをリクエスト処理部３０に送信する。リクエスト処理部３０は、パケット規制部２０から受信した認証リクエストパケットについて要求された認証処理を実行する。この認証処理に必要なデータベースをデータ保存部４０が保持している。すなわち、事前に登録した各ユーザの個人情報として、ユーザＩＤ、パスワード、電話番号などを含む認証用のデータベースがある。
　リクエスト処理部３０は、入力された認証リクエストパケット毎に、認証に必要な情報の検索を行うようにデータ保存部４０に命令する。データ保存部４０はリクエスト処理部３０から入力された命令に従い、データベースを用いて検索処理を実行し、その処理結果をリクエスト処理部３０に送信する。
　リクエスト処理部３０は、データ保存部４０から受け取った検索処理の結果を、リクエスト処理結果としてパケット規制部２０に送信する。このリクエスト処理結果は、パケット規制部２０からリクエストパケット送信部１０に送信される。
　通常であれば、リクエストパケット送信部１０が認証リクエストパケットを送信してから比較的短い時間内に、リクエスト処理結果がパケット規制部２０からリクエストパケット送信部１０に送信される。しかし、大量の認証リクエストパケットがバースト的にほぼ同時に発生したような場合は、リクエスト処理部３０などにおける処理負荷が増大して遅延が発生する。その場合、リクエストパケット送信部１０が認証リクエストパケットを送信してからその処理結果が返ってくるまでの所要時間が事前に定めた再送間隔よりも長くなる可能性がある。
　事前に指定した再送間隔の時間内に処理結果がリクエストパケット送信部１０に返らない場合は、リクエストパケット送信部１０は前に送信した認証リクエストパケットの再送を実行する。これにより、各々の認証リクエストパケットの処理が終了する前に同じ認証リクエストパケットの要求がリクエスト処理部３０に重複して入力される可能性があり、異常な動作状態になることが予想される。
　そこで、パケット規制部２０は、事前に定めた規制値を用いてリクエストパケットの同時接続数を入口で制限し、大量のリクエストパケットが集中的に入力されるのを防止する。これにより、パケット規制部２０は下流側のリクエスト処理部３０等における処理負荷の増大を抑制できるので、各リクエストパケットの処理に要する所要時間をリクエストパケット送信部１０の再送間隔以内に維持できる。その結果、リクエストパケット送信部１０が同じリクエストパケットを再送しなくなり、リクエスト処理部３０は正常な処理状態を維持できる。
　一方、クラウドサービスを活用する場合に想定される、一般的なユーザ認証システム１００Ａの構成例を図２に示す。図２のユーザ認証システム１００Ａは、リクエストパケット送信部１０、データ保存部４０、パケット規制・振り分け部２０Ａと、独立した複数のｎ個のリクエスト処理部３０－１、３０－２、・・・３０－ｎとを有している。パケット規制・振り分け部２０Ａは、リクエストパケット送信部１０から入力された各認証リクエストパケットを複数のリクエスト処理部３０－１～３０－ｎのいずれかに適切に振り分ける機能を有している。
　ここで、非特許文献４の技術を想定した場合、実際に割り当てられる複数のリクエスト処理部３０－１～３０－ｎの台数ｎは、観測されたＣＰＵ使用率に基づいて自動的にスケーリングされる。また、クラウドを利用する場合は共通のサーバ上のハードウェアであるＣＰＵ、メモリなどを様々なアプリケーションソフトウェアが共有するので、複数のリクエスト処理部３０－１～３０－ｎのそれぞれが利用可能なハードウェアリソースの性能が大きく変動する可能性もある。また、故障の発生により実際に稼働しているリクエスト処理部３０－１～３０－ｎの台数が減少する可能性もある。
　したがって、図２のユーザ認証システム１００Ａにおいて、複数のリクエスト処理部３０－１～３０－ｎの全体の処理能力は状況に応じて動的に大きく変動することが予想される。ここで、パケット規制・振り分け部２０Ａはリクエストパケット送信部１０から流入するリクエストパケットの同時接続数を事前に定めた規制値に制限することができる。
　しかしながら、複数のリクエスト処理部３０－１～３０－ｎの全体の処理能力が動的に大きく変動する場合には、パケット規制・振り分け部２０Ａにおけるリクエストパケットの同時接続数の規制が適切な状態にならない可能性がある。
　例えば、パケット規制・振り分け部２０Ａにおけるリクエストパケットの同時接続数の規制値を比較的大きい値に定めてある場合は、以下の（１）、（２）のような状況になる。
（１）リクエストパケット送信部１０Ａにおいてほぼ同時に大量の認証リクエストパケットがバースト的に発生した場合、各リクエストの処理が終了して結果が返るまでの応答時間が長くなり、リクエストパケット送信部１０Ａが同じ認証リクエストパケットを再送する回数が増える。その結果、発生した認証リクエストパケットの全ての処理が完了するまでに長い時間が必要になる。
（２）システムに不具合が発生して正常に動作しているリクエスト処理部３０－１～３０－ｎの総数が減少した場合には、リクエスト処理部３０－１～３０－ｎの全体の処理性能が低下する。そして、リクエストパケット送信部１０Ａが認証リクエストパケットを送信してからその処理結果が返るまでの応答時間がリクエストパケット送信部１０Ａの再送間隔よりも長くなる。したがって、１つの認証リクエストパケットの処理の途中で同じ認証リクエストパケットをリクエストパケット送信部１０Ａが再送する状況が発生し、正常な動作を継続できない状況になる。
　一方、パケット規制・振り分け部２０Ａにおけるリクエストパケットの同時接続数の規制値を比較的小さい値に定めてある場合は、以下の（３）のような状況になる。
（３）リクエストパケット送信部１０Ａで発生する認証リクエストパケットの発生頻度が比較的小さい定常状態において、リクエスト処理部３０－１～３０－ｎの全体の処理能力に余裕があるにもかかわらず、パケット規制・振り分け部２０Ａが規制値により流入する認証リクエストパケットの一部を規制してしまう。したがって、ユーザ認証システム１００Ａの処理能力が上がらない。
　本発明は、上記の状況に鑑みてなされたものであり、複数のリクエスト処理部全体の処理能力に比較的大きな動的変化が発生する状況であっても、システムを適切な動作状態に常時維持することが可能なリクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システムを提供することを目的とする。
（１）本発明のリクエストパケットの同時接続数規制装置は、
　コアネットワークで生成された認証リクエストパケットを送信するリクエストパケット送信部と、
　状況に応じて動的に割り当て可能な複数のリクエスト処理部と、
　前記リクエストパケット送信部が送出する認証リクエストパケットを複数経路に振り分けて前記複数のリクエスト処理部のいずれかに与えるパケット振り分け部と、
　前記複数のリクエスト処理部が認証処理する認証リクエストパケットの同時接続数を制御する制御部とを有し、
　前記制御部は、前記パケット振り分け部および前記リクエスト処理部の少なくとも一方における動作状況を表す特徴量データを収集し、収集した前記特徴量データに基づいて、前記パケット振り分け部が処理する認証リクエストパケットの同時接続数の規制値を動的に制御するように構成する。
　本発明のリクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システムによれば、複数のリクエスト処理部全体の処理能力に比較的大きな動的変化が発生する状況であっても、システムを適切な動作状態に常時維持することが可能になる。すなわち、システムの実際の動作状況を特徴量データとして収集した結果を利用して、前記パケット振り分け部が処理する認証リクエストパケットの同時接続数の規制値を動的に制御するので、前記規制値を最適な状態に維持することが容易になる。
一般的なユーザ認証システムの構成例を示すブロック図である。 クラウドを活用したユーザ認証システムの構成例を示すブロック図である。 本発明の実施形態におけるユーザ認証システムの構成例を示すブロック図である。 図３に示した各ブロック内の主要な構成要素を示すブロック図である。 リクエストパケット制御部が扱う主要な管理情報の構成例を示す模式図である。 特徴量データの具体例を示す模式図である。 リクエストパケット制御部の動作例－１を示すフローチャートである。 リクエストパケット制御部の動作例－２を示すフローチャートである。 リクエストパケット制御部の動作例－３を示すフローチャートである。
　本発明の実施形態について各図を参照しながら以下に説明する。
＜システムの構成＞
　本発明の実施形態におけるユーザ認証システム１００Ｂの構成例を図３に示す。また、図３に示した各ブロック内の主要な構成要素を図４に示す。
　図３に示したユーザ認証システム１００Ｂは、例えば電話の通話サービスやインターネット通信の接続サービスなどを事前に契約した多数の登録済みユーザにそれぞれ提供する通信事業者が管理する設備として構成される。
　図３に示したユーザ認証システム１００Ｂは、リクエストパケット送信部１０、パケット規制・振り分け部２０Ｂ、複数のリクエスト処理部３０Ｂ－１、３０Ｂ、・・・、３０Ｂ－ｎ、データ保存部４０、及びリクエストパケット制御部５０を備えている。
　リクエストパケット送信部１０は、ＥＰＣや５ＧＣのコアネットワークに属している。例えば、各ユーザが通信サービスの利用を開始する時には、通信事業者側のシステムは該当するそれぞれのユーザを認証する必要があるので、コアネットワークが生成した認証リクエストパケットがリクエストパケット送信部１０から送信されパケット規制・振り分け部２０Ｂに入力される。リクエストパケット送信部１０が送信する全ての認証リクエストパケットは、それぞれ該当するユーザの個人情報、例えばユーザＩＤ、パスワード、電話番号などを含んでいる。
　リクエストパケット送信部１０は、図４に示すようにパケット送信部１１、処理結果パケット受信部１２、及びパケット再送処理部１３を備えている。パケット送信部１１は、ユーザ毎にコアネットワークが生成した認証リクエストパケットをそれぞれパケット規制・振り分け部２０Ｂに送信する機能を有する。処理結果パケット受信部１２は、送信した認証リクエストパケットに対する処理結果のパケットを受信する機能を有する。
　パケット再送処理部１３は、リクエストパケット送信部１０が１つの認証リクエストパケットを送信してから一定時間（再送間隔）以内にその処理結果が届かない場合に、該当する認証リクエストパケットをパケット規制・振り分け部２０Ｂに再送する機能を有する。再送間隔の時間は固定値として事前に決定される。
　パケット規制・振り分け部２０Ｂは、図４に示すように送信パケット振り分け処理部２１、同時接続数規制部２２、処理結果パケット受信部２３、及び処理結果パケット送信部２４を備えている。
　送信パケット振り分け処理部２１は、リクエストパケット送信部１０から入力された各認証リクエストパケットを、複数のリクエスト処理部３０Ｂ－１～３０Ｂ－ｎのいずれか１つに適切に振り分けて送信する。
　同時接続数規制部２２は、パケット規制・振り分け部２０Ｂの入口でリクエストパケット送信部１０から流入する認証リクエストパケットの同時接続数が「規制値」を超えないように規制するロードバランサの機能を有する。例えば、Ｗｅｂサーバソフトウェアの１つであるＮＧＩＮＸを用いて同時接続数規制部２２を構成できる。本実施形態では、同時接続数規制部２２の「規制値」は一定値ではなくリクエストパケット制御部５０により動的に制御される。
　処理結果パケット受信部２３は、パケット規制・振り分け部２０Ｂがリクエスト処理部３０Ｂ－１～３０Ｂ－ｎのいずれかに送信した認証リクエストパケットに対する処理結果のパケットをリクエスト処理部３０Ｂ－１～３０Ｂ－ｎから受信する機能を有する。処理結果パケット送信部２４は、処理結果パケット受信部２３が受信した処理結果のパケットをリクエストパケット送信部１０に対して送信する機能を有する。
　図３中に示した複数のリクエスト処理部３０Ｂ－１～３０Ｂ－ｎは、クラウドサービスを活用して構成してある。複数のリクエスト処理部３０Ｂ－１～３０Ｂ－ｎの台数ｎは、状況に応じて動的に変化する可能性がある。例えば、非特許文献４のＰｏｄオートスケーラの技術を採用する場合には、観測されたＣＰＵ使用率に応じて、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎの台数ｎが動的に変化することが予想される。
　各リクエスト処理部３０Ｂ－１～３０Ｂ－ｎは、図４中に示したリクエスト処理部３０Ｂのように、リクエストパケット受信部３１、パケット認証指示部３２、及び処理結果パケット送信部３３を備えている。
　このリクエスト処理部３０Ｂは、例えばRADIUS（Remote Authentication Dial In User Service）のユーザー認証プロトコルを処理するソフトウェアにより実現され、ネットワーク上でユーザを認証する。このソフトウェアは、例えば図示しないサーバのコンピュータにより実行される。
　リクエストパケット受信部３１は、パケット規制・振り分け部２０Ｂから送信される各認証リクエストパケットを受信する。パケット認証指示部３２は、リクエストパケット受信部３１が受信した認証リクエストパケットのそれぞれについて、ユーザ認証処理の実行を指示する。処理結果パケット送信部３３は、パケット認証指示部３２の指示に対してデータ保存部４０が処理した認証処理の結果を検出し、処理結果パケットとしてパケット規制・振り分け部２０Ｂに送信する。
　データ保存部４０は、図４に示すようにユーザ認証情報保持部４１及びユーザ認証処理部４２を備えている。ユーザ認証情報保持部４１は、事前に登録した多数のユーザのそれぞれについて、認証に必要な個人情報、例えばユーザＩＤ、パスワード、電話番号などをデータベースとして保持している。ユーザ認証処理部４２は、各リクエスト処理部３０Ｂ－１～３０Ｂ－ｎからの指示に従い、それぞれの認証リクエストパケットのユーザ認証を実行する。すなわち、ユーザ認証情報保持部４１が保持しているデータベース内の個人情報を検索し、各認証リクエストパケットのユーザが登録されている特定ユーザと一致するか否かを識別する。
　ユーザ認証情報保持部４１のデータベースは、例えばオープンソースのリレーショナルデータベース管理システム（RDBMS）の１つであるPostgreSQLを用いて構成できる。
　リクエストパケット制御部５０は、パケット規制・振り分け部２０Ｂにおけるリクエストパケットの同時接続数の「規制値」を自動的に制御するために設けられた特別な構成要素である。このリクエストパケット制御部５０は、図４に示すように生存状態監視部５１、特徴量収集蓄積部５２、特徴量学習処理部５３、適正化規制値算出部５４、及び同時接続数規制値制御部５５を備えている。
　生存状態監視部５１は、ｎ個のリクエスト処理部３０Ｂ－１～３０Ｂ－ｎのそれぞれの生存状態を常時監視して状況を把握する機能を有する。
　特徴量収集蓄積部５２は、リクエストパケット制御部５０の制御に必要な複数の特徴量の情報を収集してそのデータを蓄積する機能を有する。本実施形態では、特徴量収集蓄積部５２は後述する各特徴量Ｄａ、Ｄｂ、Ｄｃ、Ｄｄを収集する。特徴量Ｄａはリクエストパケット送信部１０から取得できる。特徴量Ｄｂはパケット規制・振り分け部２０Ｂから取得できる。特徴量Ｄｃ、Ｄｄは各リクエスト処理部３０Ｂ－１～３０Ｂ－ｎから取得できる。
　特徴量学習処理部５３は、特徴量収集蓄積部５２が収集し蓄積したデータに基づいて、複数の特徴量Ｄａ、Ｄｂ、Ｄｃ、Ｄｄの間の相関関係を学習する。
　適正化規制値算出部５４は、パケット規制・振り分け部２０Ｂの同時接続数規制部２２が規制するリクエストパケットの同時接続数の規制値の最適な値を算出する機能を有する。なお、適正化規制値算出部５４が算出した最適な規制値に余裕分の定数などを加算した結果を用いて同時接続数規制部２２の規制値を変更してもよい。
　同時接続数規制値制御部５５は、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎの応答時間を監視し、適正化規制値算出部５４が算出した最適な規制値に基づいて同時接続数規制部２２の規制値を随時変更する機能を有する。
　リクエストパケット制御部５０の各機能は、ＣＰＵ、メモリ、通信インタフェース等で構成されるコンピュータのハードウェアと各機能を実現するソフトウェアとを含むサーバにより構成できる。
＜管理情報の構成＞
　リクエストパケット制御部５０が扱う主要な管理情報６０の構成例を図５に示す。また、特徴量データ６４の具体例を図６に示す。図５に示した例では、管理情報６０はユーザ情報６１、パケット送信時間６２、結果パケット受信時間６３、及び特徴量データ６４をそれぞれ含む多数の学習データ６５を備えている。
　ユーザ情報６１は、ユーザＩＤ、パスワード、電話番号などで構成される。パケット送信時間６２は、それぞれの認証リクエストパケットをリクエストパケット送信部１０が送信した時刻又は時間を表す。結果パケット受信時間６３は、送信した認証リクエストパケットのそれぞれの処理結果をリクエストパケット送信部１０がパケット規制・振り分け部２０Ｂから受信した時刻又は時間を表す。
　したがって、各リクエスト処理部３０Ｂ－１～３０Ｂ－ｎが各認証リクエストパケットの処理に要した所要時間、すなわち応答時間は、パケット送信時間６２の値と結果パケット受信時間６３の値との差分として把握できる。
　図６に示した例では、特徴量Ｄａはパケット規制・振り分け部２０Ｂにおける同時処理リクエスト数である。この同時処理リクエスト数は、パケット規制・振り分け部２０Ｂがリクエストパケット送信部１０からの認証リクエストパケットの入力を受け付けてからその処理結果をリクエストパケット送信部１０に返していない現在処理中のリクエスト数を表し、この数は同時接続数規制部２２により「規制値」以内に制限される。
　また、図６に示した特徴量Ｄｂは、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎのそれぞれが利用している各時点でのハードウェアリソース（ＣＰＵやメモリ）の利用率である。また、特徴量Ｄｃは、クラウドサービスが割り当てた全てのリクエスト処理部３０Ｂ－１～３０Ｂ－ｎの中で現在稼働しているリクエスト処理部３０の総数である。特徴量Ｄｄは、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎが各認証リクエストパケットの処理に要した所要時間に相当する応答時間である。
　ここで、図６に示した各特徴量Ｄａ、Ｄｂ、Ｄｃ、Ｄｄはお互いに影響を及ぼす。例えば、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎの応答時間、すなわち特徴量Ｄｄは各特徴量Ｄａ、Ｄｂ、Ｄｃのそれぞれの影響を受けて動的に変化する。したがって、過去に収集し蓄積した多数の特徴量Ｄａ～Ｄｄの学習データ６５の相関関係を学習しておけば、特徴量Ｄｄに相当する応答時間をある基準値に近づけるために必要な各特徴量Ｄａ、Ｄｂ、Ｄｃを特定できる。また、各特徴量Ｄｂ、Ｄｃは動的に変化するが観測により最新の値を特定できる。したがって、特定した各特徴量Ｄｂ、Ｄｃ、Ｄｄと、学習した相関関係とに基づいて、適切な特徴量Ｄａ、すなわち同時接続数規制部２２が規制すべき最適な規制値を算出できる。
＜リクエストパケット制御部の動作＞
－＜動作例－１＞
　リクエストパケット制御部５０の動作例－１を図７に示す。図７に示した動作について以下に説明する。
　なお、図５、図６に示した学習データ６５は事前に収集され所定の記憶装置上に蓄積されており、リクエストパケット制御部５０が特徴量データ６４の特徴量Ｄａ～Ｄｄ間の相関関係を学習により把握できる状態になった後で図７の動作が実行される。
　リクエストパケット制御部５０は、ステップＳ１１でリクエストパケット送信部１０における認証リクエストパケットの再送間隔Ｔ１を特定する。本実施形態では、リクエストパケット送信部１０の再送間隔を２．０秒（ｓｅｃ）に固定した場合を想定しているので、ステップＳ１１で再送間隔Ｔ１を２．０秒に決定する。
　リクエストパケット制御部５０は、ステップＳ１２で各リクエスト処理部３０Ｂ－１～３０Ｂｎの応答時間をＴ２として把握する。この応答時間Ｔ２は、リクエストパケット送信部１０が１つの認証リクエストパケットを送信してからその処理結果がパケット規制・振り分け部２０Ｂからリクエストパケット送信部１０に返るまでの所要時間に相当する。したがって、リクエストパケット制御部５０はリクエストパケット送信部１０と逐次通信することで実際の最新の応答時間Ｔ２の情報を取得できる。なお、この応答時間Ｔ２は図６中に示した特徴量Ｄｄに相当する情報を意味する。
　リクエストパケット制御部５０は、ステップＳ１３で応答時間の基準値Ｔ２ｒｅｆ及び応答時間の閾値Ｔ２ｔｈを決定する。但し、以下の式（１）の条件を満たすように決定する。
Ｔ２ｒｅｆ＜Ｔ２ｔｈ＜Ｔ１・・・（１）
　本実施形態では、以下のように決定する。
Ｔ２ｒｅｆ＝１．８［ｓｅｃ］
Ｔ２ｔｈ　＝１．９［ｓｅｃ］
　リクエストパケット制御部５０は、ステップＳ１４でリクエストパケット送信部１０、パケット規制・振り分け部２０Ｂ、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎのそれぞれと通信し、最新の特徴量Ｄａ、Ｄｂ、Ｄｃ、Ｄｄの情報を取得する。
　リクエストパケット制御部５０は、ステップＳ１５で応答時間Ｔ２の変動を監視し、ステップＳ１６で応答時間Ｔ２とその閾値Ｔ２ｔｈとを比較する。そして、応答時間Ｔ２が閾値Ｔ２ｔｈを超えるとステップＳ１６からＳ１７に進む。
　リクエストパケット制御部５０は、過去に取得し蓄積している特徴量データ６４の特徴量Ｄａ～Ｄｄの相関の学習結果と最新の特徴量Ｄｂ、Ｄｃの値とに基づき、特徴量Ｄｄが応答時間の基準値Ｔ２ｒｅｆと一致する条件における適切な特徴量Ｄａ（Ｔ２ｒｅｆ）を算出する（ステップＳ１７）。
　リクエストパケット制御部５０は、ステップＳ１７で算出した特徴量Ｄａ（Ｔ２ｒｅｆ）を用いて、ステップＳ１８で図３中に示した規制値変更指示ＳＧ１によりパケット規制・振り分け部２０Ｂの同時処理リクエスト数、すなわち規制値を自動的に変更する。
　図７に示した動作は、例えば一定の周期で繰り返し実行される。例えば、リクエストパケット送信部１０においてバースト的に大量の認証リクエストパケットが集中発生すると、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎの処理負荷が増大して、応答時間Ｔ２が長くなる。そして、応答時間Ｔ２が再送間隔Ｔ１に近づくと、応答時間Ｔ２が現在よりも小さい基準値Ｔ２ｒｅｆに近づくように、つまりパケット規制・振り分け部２０Ｂの同時処理リクエスト数の規制値が小さくなるように、リクエストパケット制御部５０により修正される。
　また、例えば各リクエスト処理部３０Ｂ－１～３０Ｂ－ｎにおけるＣＰＵ利用率やメモリ利用率が増大すると、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎ全体の処理能力が低下するため応答時間Ｔ２が長くなる。そのような場合は、特徴量Ｄｂの変化を反映した特徴量Ｄａ（Ｔ２ｒｅｆ）がステップＳ１７で算出され、ステップＳ１８でパケット規制・振り分け部２０Ｂの同時処理リクエスト数の規制値が修正される。したがって、応答時間Ｔ２を基準値Ｔ２ｒｅｆに近づけることができる。
　また、例えば各リクエスト処理部３０Ｂ－１～３０Ｂ－ｎの１つ以上に故障が発生し、稼働しているリクエスト処理部３０Ｂ－１～３０Ｂ－ｎの個数が減少した場合も、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎ全体の処理能力が低下し、応答時間Ｔ２が長くなる。そのような場合は、特徴量Ｄｃの変化を反映した特徴量Ｄａ（Ｔ２ｒｅｆ）がステップＳ１７で算出され、ステップＳ１８でパケット規制・振り分け部２０Ｂの同時処理リクエスト数の規制値が修正される。したがって、応答時間Ｔ２を基準値Ｔ２ｒｅｆに近づけることができる。
－＜動作例－２＞
　リクエストパケット制御部５０の動作例－２を図８に示す。図８に示した動作について以下に説明する。
　なお、図５、図６に示した学習データ６５は事前に収集され蓄積されており、リクエストパケット制御部５０が特徴量データ６４の特徴量Ｄａ～Ｄｄ間の相関関係を学習により把握できる状態になった後で図８の動作が実行される。
　リクエストパケット制御部５０は、ステップＳ１１でリクエストパケット送信部１０における認証リクエストパケットの再送間隔Ｔ１を特定する。本実施形態では、リクエストパケット送信部１０の再送間隔を２．０秒（ｓｅｃ）に固定した場合を想定しているので、ステップＳ１１で再送間隔Ｔ１を２．０秒に決定する。
　リクエストパケット制御部５０は、ステップＳ１２で各リクエスト処理部３０Ｂ－１～３０Ｂ－ｎの応答時間をＴ２として把握する。この応答時間Ｔ２は、リクエストパケット送信部１０が１つの認証リクエストパケットを送信してからその処理結果がパケット規制・振り分け部２０Ｂからリクエストパケット送信部１０に返るまでの所要時間に相当する。したがって、リクエストパケット制御部５０はリクエストパケット送信部１０と逐次通信することで実際の最新の応答時間Ｔ２の情報を取得できる。なお、この応答時間Ｔ２は図６中に示した特徴量Ｄｄに相当する情報を意味する。
　リクエストパケット制御部５０は、ステップＳ１３Ａで応答時間の基準値Ｔ２ｒｅｆ及び応答時間の閾値Ｔ２ｔｈ２を決定する。但し、以下の式（２）の条件を満たすように決定する。
Ｔ２ｔｈ２＜Ｔ２ｒｅｆ＜Ｔ１・・・（２）
　本実施形態では、以下のように決定する。
Ｔ２ｒｅｆ＝１．８［ｓｅｃ］
Ｔ２ｔｈ２＝１．７［ｓｅｃ］
　リクエストパケット制御部５０は、ステップＳ１４でリクエストパケット送信部１０、パケット規制・振り分け部２０Ｂ、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎのそれぞれと通信し、最新の特徴量Ｄａ、Ｄｂ、Ｄｃ、Ｄｄの情報を取得する。
　リクエストパケット制御部５０は、ステップＳ１５で応答時間Ｔ２の変動を監視し、ステップＳ１６Ａで応答時間Ｔ２とその閾値Ｔ２ｔｈ２とを比較する。そして、応答時間Ｔ２が閾値Ｔ２ｔｈ２よりも小さい場合はステップＳ１６ＡからＳ１７に進む。
　リクエストパケット制御部５０は、過去に取得し蓄積している特徴量データ６４の特徴量Ｄａ～Ｄｄの相関の学習結果と最新の特徴量Ｄｂ、Ｄｃの値とに基づき、特徴量Ｄｄが応答時間の基準値Ｔ２ｒｅｆと一致する条件における適切な特徴量Ｄａ（Ｔ２ｒｅｆ）を算出する（ステップＳ１７）。
　リクエストパケット制御部５０は、ステップＳ１７で算出した特徴量Ｄａ（Ｔ２ｒｅｆ）を用いて、ステップＳ１８で図３中に示した規制値変更指示ＳＧ１によりパケット規制・振り分け部２０Ｂの同時処理リクエスト数、すなわち規制値を自動的に変更する。
　図８に示した動作は、例えば一定の周期で繰り返し実行される。
　例えば、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎの処理能力に十分な余裕があり、リクエストパケット送信部１０に発生する認証リクエストパケットの頻度も小さい状況で、パケット規制・振り分け部２０Ｂの規制値が小さい場合は、応答時間Ｔ２と再送間隔Ｔ１との乖離が大きくなる。そして、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎの処理能力に余裕があるにもかかわらず、パケット規制・振り分け部２０Ｂで入力を規制されるリクエストが発生する。このような状況が継続すると、ユーザ認証システム１００Ｂ全体の性能を上げることができない。しかし、図８に示した動作を実行することで、ユーザ認証システム１００Ｂ全体の性能を向上できる。
　すなわち、再送間隔Ｔ１に比べて応答時間Ｔ２の余裕が大きすぎる場合には、図８中のステップＳ１６Ａの条件を満たす状態になり、各ステップＳ１７、Ｓ１８が実行される。その結果、応答時間Ｔ２が現在よりも大きい基準値Ｔ２ｒｅｆに近づくように、つまりパケット規制・振り分け部２０Ｂの同時処理リクエスト数の規制値が大きくなるようにリクエストパケット制御部５０の規制値変更指示ＳＧ１により制御される。
　図８中に示した条件では、例えば最新の応答時間Ｔ２が１．６秒になると、基準値Ｔ２ｒｅｆ２よりも小さいので各ステップＳ１６Ａ、Ｓ１７、Ｓ１８が実行される。そして、応答時間Ｔ２を基準値Ｔ２ｒｅｆの１．８秒に近づけるように、パケット規制・振り分け部２０Ｂの同時処理リクエスト数の規制値が大きな値に修正される。これにより、ユーザ認証システム１００Ｂが同時に処理可能な認証リクエストパケットの数が増え、性能が向上する。
－＜動作例－３＞
　リクエストパケット制御部５０の動作例－３を図９に示す。
　図９に示した動作は図８に示した動作の変形例であり、同様の動作を複数回繰り返すことで、パケット規制・振り分け部２０Ｂの同時処理リクエスト数の規制値を段階的に調整する場合の動作を表している。図９に示した動作について以下に説明する。
　リクエストパケット制御部５０は、図９のステップＳ１３Ｂで、応答時間の基準値Ｔ２ｒｅｆ及び応答時間の閾値Ｔ２ｔｈ２を事前に定めた値に決定する。図９の例では、応答時間の基準値Ｔ２ｒｅｆを１．６秒に定め、応答時間の閾値Ｔ２ｔｈ２を１．５秒に定めている。
　リクエストパケット制御部５０は、図９のステップＳ２０で、１回目の処理として図８と同様の処理を実行する。但し、図８中のステップＳ１３Ａの代わりに、図９のステップＳ１３Ｂで決定した各パラメータ（Ｔ２ｒｅｆ、Ｔ２ｔｈ２）の値を採用する。
　リクエストパケット制御部５０は、図９のステップＳ１３Ｃで、応答時間の基準値Ｔ２ｒｅｆ及び応答時間の閾値Ｔ２ｔｈ２を変更する。具体的には、応答時間の基準値Ｔ２ｒｅｆを１．７秒に定め、応答時間の閾値Ｔ２ｔｈ２を１．６秒に定める。
　リクエストパケット制御部５０は、図９のステップＳ２１で、２回目の処理として図８と同様の処理を実行する。但し、図８中のステップＳ１３Ａの代わりに、図９のステップＳ１３Ｃで決定した各パラメータ（Ｔ２ｒｅｆ、Ｔ２ｔｈ２）の値を採用する。
　リクエストパケット制御部５０は、図９のステップＳ１３Ｄで、応答時間の基準値Ｔ２ｒｅｆ及び応答時間の閾値Ｔ２ｔｈ２を変更する。具体的には、応答時間の基準値Ｔ２ｒｅｆを１．８秒に定め、応答時間の閾値Ｔ２ｔｈ２を１．７秒に定める。
　リクエストパケット制御部５０は、図９のステップＳ２２で、３回目の処理として図８と同様の処理を実行する。但し、図８中のステップＳ１３Ａの代わりに、図９のステップＳ１３Ｄで決定した各パラメータ（Ｔ２ｒｅｆ、Ｔ２ｔｈ２）の値を採用する。
　リクエストパケット制御部５０が図９に示した動作を実行する場合には、応答時間の基準値Ｔ２ｒｅｆ及び応答時間の閾値Ｔ２ｔｈ２を段階的に少しずつ変更するので、パケット規制・振り分け部２０Ｂにおける同時処理リクエスト数の規制値も段階的に少しずつ調整される。
＜実施形態の変形の可能性＞
　上述の実施形態では４種類の特徴量Ｄａ、Ｄｂ、Ｄｃ、Ｄｄのデータを収集して利用する場合を想定しているが、使用する特徴量の種類や数は必要に応じて増減することができる。また、例えばデータ保存部４０においてユーザ情報の検索に要する時間の長さは、リクエスト処理部３０Ｂ－１～３０Ｂ－ｎの処理能力（応答時間）に大きな影響を及ぼすので、この時間を新たな特徴量として追加して管理してもよいし、この時間を他の特徴量に含めて、或いは他の特徴量の代わりに管理してもよい。
　また、制御の結果に対する影響度の違いを考慮して、比較的優先順位の高い特徴量だけをリクエストパケット制御部５０の制御に反映しても良い。各特徴量の実際の優先順位については、例えば以下のように定めることが考えられる。
優先順位１：データ保存部４０のユーザ情報検索時間
優先順位２：データ保存部４０のＣＰＵ・メモリ使用率
優先順位３：正常に稼働しているリクエスト処理部３０Ｂの数
優先順位４：リクエスト処理部３０ＢのＣＰＵ・メモリ使用率
＜ユーザ認証システムの特徴＞
　本発明のリクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システムに関する特徴的な事項について、以下の［１］～［８］に列挙する。
［１］　コアネットワークで生成された認証リクエストパケットを送信するリクエストパケット送信部（１０）と、
　状況に応じて動的に割り当て可能な複数のリクエスト処理部（３０Ｂ－１～３０Ｂ－ｎ）と、
　前記リクエストパケット送信部が送出する認証リクエストパケットを複数経路に振り分けて前記複数のリクエスト処理部のいずれかに与えるパケット振り分け部（パケット規制・振り分け部２０Ｂ）と、
　前記複数のリクエスト処理部が認証処理する認証リクエストパケットの同時接続数を制御する制御部（リクエストパケット制御部５０）とを有し、
　前記制御部は、前記パケット振り分け部および前記リクエスト処理部の少なくとも一方における動作状況を表す特徴量データ（特徴量Ｄａ、Ｄｂ、Ｄｃ、Ｄｄ）を収集し、収集した前記特徴量データに基づいて、前記パケット振り分け部が処理する認証リクエストパケットの同時接続数の規制値を動的に制御する（図７～図９参照）、
　リクエストパケットの同時接続数規制装置。
　上記［１］の構成のリクエストパケットの同時接続数規制装置によれば、前記複数のリクエスト処理部等における処理能力の変動に伴って応答時間が変化し、前記パケット振り分け部における同時接続数の規制制御が不適切な状態に変化した場合に、前記制御部の制御により前記規制値が適切な値に自動的に調整される。これにより、前記リクエストパケット送信部が認証リクエストパケットを再送する回数を減らすことができる。また、前記規制値に必要以上の余裕を持たせる必要がなくなり、システム全体の処理能力を向上できる。
［２］　前記特徴量データは、少なくとも同時処理しているリクエスト数を表す第１特徴量（特徴量Ｄａ）と、各リクエストパケットを送信してからその処理結果が戻るまでの応答時間を表す第２特徴量（特徴量Ｄｄ）と、前記複数のリクエスト処理部の処理性能と関連のある第３特徴量（特徴量Ｄｂ、Ｄｃ、Ｄｄ）とを含み、
　前記制御部は、過去に記録した前記特徴量データ（学習データ６５）の相関関係に基づき、認証リクエストパケットの同時接続数の基準値（Ｄａ（Ｔ２ｒｅｆ））を算出し（Ｓ１７）、前記基準値を前記パケット振り分け部における前記規制値に反映する（Ｓ１８）、
　上記［１］に記載のリクエストパケットの同時接続数規制装置。
　上記［２］の構成のリクエストパケットの同時接続数規制装置によれば、過去に記録した特徴量データから複数の特徴量の間の相関関係を把握して前記基準値の計算に利用するので、最低１回の処理だけで前記規制値を適切な値に素早く変更できる。したがって、応答速度の速い制御系を容易に実現できる。
［３］　前記制御部は、前記リクエストパケット送信部におけるパケットの再送間隔（Ｔ１）と、各リクエストパケットを送信してからその処理結果が戻るまでの応答時間（Ｔ２）とに基づき、前記応答時間が前記再送間隔に近づいたことを検知した時に（Ｓ１６）、最新の前記応答時間よりも小さい第１の応答時間基準値（Ｔ２ｒｅｆ）と、過去に記録した前記特徴量データの相関関係とに基づき、認証リクエストパケットの同時接続数の基準値（Ｄａ（Ｔ２ｒｅｆ））を算出し（Ｓ１７）、前記基準値を前記パケット振り分け部における前記規制値に反映する（Ｓ１８）、
　上記［２］に記載のリクエストパケットの同時接続数規制装置。
　上記［３］の構成のリクエストパケットの同時接続数規制装置によれば、前記応答時間が前記再送間隔に近づいた時に、前記リクエストパケット送信部における再送が生じにくくなるように、前記規制値を自動的に小さくすることができる。これにより、例えば大量の認証リクエストパケットがバースト的に前記リクエストパケット送信部で発生した場合に、全ての認証リクエストパケットの処理が完了するまでの所要時間が延びるのを防止できる。
［４］　前記制御部は、前記リクエストパケット送信部におけるパケットの再送間隔（Ｔ１）と、各リクエストパケットを送信してからその処理結果が戻るまでの応答時間（Ｔ２）とに基づき、前記応答時間が前記再送間隔に対して余裕があることを検知した時に（Ｓ１６Ａ）、最新の前記応答時間よりも大きく且つ前記再送間隔よりも小さい第２の応答時間基準値（Ｔ２ｒｅｆ）と、過去に記録した前記特徴量データの相関関係とに基づき、認証リクエストパケットの同時接続数の基準値（Ｄａ（Ｔ２ｒｅｆ））を算出し（Ｓ１７）、前記基準値を前記パケット振り分け部における前記規制値に反映する（Ｓ１８）、
　上記［２］に記載のリクエストパケットの同時接続数規制装置。
　上記［４］の構成のリクエストパケットの同時接続数規制装置によれば、前記応答時間が前記再送間隔に対して必要以上に余裕がある時に、前記規制値を自動的に大きくすることができる。これにより、システム全体の処理能力の範囲内で、実際の認証処理性能を向上することが可能である。
［５］　前記制御部は、前記再送間隔（Ｔ１）と、前記応答時間（Ｔ２）とに基づき、前記応答時間が前記再送間隔に対して余裕があることを検知した時に、前記第２の応答時間基準値を段階的に更新し（Ｓ２０、Ｓ２１、Ｓ２２）、更新した前記第２の応答時間基準値のそれぞれについて、認証リクエストパケットの同時接続数の基準値を算出し、前記基準値を前記パケット振り分け部における前記規制値に反映する（Ｓ１８）、
　上記［４］に記載のリクエストパケットの同時接続数規制装置。
　上記［５］の構成のリクエストパケットの同時接続数規制装置によれば、前記規制値を段階的に更新するので、制御系の動作に急激な変化が生じるのを避けることができる。これにより、前記リクエストパケット送信部で発生する認証リクエストパケットの発生頻度の大きな変動に対して適切な対応が容易になる。
［６］　コアネットワークで生成された認証リクエストパケットを送信するリクエストパケット送信部（１０）と、状況に応じて動的に割り当て可能な複数のリクエスト処理部（３０Ｂ－１～３０Ｂ－ｎ）と、前記リクエストパケット送信部が送出する認証リクエストパケットを複数経路に振り分けて前記複数のリクエスト処理部のいずれかに与えるパケット振り分け部（パケット規制・振り分け部２０Ｂ）とを有する認証処理装置（ユーザ認証システム１００Ｂ）を用いて、前記複数のリクエスト処理部が認証処理する認証リクエストパケットの同時接続数を制御対象とし、
　前記パケット振り分け部および前記リクエスト処理部の少なくとも一方における動作状況を表す特徴量データ（学習データ６５）を収集し、
　収集した前記特徴量データに基づいて、前記パケット振り分け部が処理する認証リクエストパケットの同時接続数の規制値を動的に制御する（図７～図９参照）、
　リクエストパケットの同時接続数規制方法。
　上記［６］の手順のリクエストパケットの同時接続数規制方法によれば、前記複数のリクエスト処理部等における処理能力の変動に伴って応答時間が変化し、前記パケット振り分け部における同時接続数の規制制御が不適切な状態に変化した場合に、前記規制値を適切な値に調整可能である。これにより、前記リクエストパケット送信部が認証リクエストパケットを再送する回数を減らすことができる。また、前記規制値に必要以上の余裕を持たせる必要がなくなり、システム全体の処理能力を向上できる。
［７］　コアネットワークで生成された認証リクエストパケットを送信するリクエストパケット送信部（１０）と、状況に応じて動的に割り当て可能な複数のリクエスト処理部（３０Ｂ－１～３０Ｂ－ｎ）と、前記リクエストパケット送信部が送出する認証リクエストパケットを複数経路に振り分けて前記複数のリクエスト処理部のいずれかに与えるパケット振り分け部（パケット規制・振り分け部２０Ｂ）と、前記複数のリクエスト処理部が認証処理する認証リクエストパケットの同時接続数を制御する制御部（リクエストパケット制御部５０）とを有する認証装置（ユーザ認証システム１００Ｂ）のコンピュータが実行可能な制御プログラムであって、
　前記パケット振り分け部および前記リクエスト処理部の少なくとも一方における動作状況を表す特徴量データ（学習データ６５）を収集する手順と、
　収集した前記特徴量データに基づいて、前記パケット振り分け部が処理する認証リクエストパケットの同時接続数の規制値を動的に制御する手順（図７～図９参照）と、
　を備える制御プログラム。
　上記［７］の構成の制御プログラムによれば、前記複数のリクエスト処理部等における処理能力の変動に伴って応答時間が変化し、前記パケット振り分け部における同時接続数の規制制御が不適切な状態に変化した場合に、前記制御部の制御により前記規制値が適切な値に自動的に調整される。これにより、前記リクエストパケット送信部が認証リクエストパケットを再送する回数を減らすことができる。また、前記規制値に必要以上の余裕を持たせる必要がなくなり、システム全体の処理能力を向上できる。
［８］　コアネットワークで生成された認証リクエストパケットを送信するリクエストパケット送信部（１０）と、
　状況に応じて動的に割り当て可能な複数のリクエスト処理部（３０Ｂ－１～３０Ｂ－ｎ）と、
　前記リクエストパケット送信部が送出する認証リクエストパケットを複数経路に振り分けて前記複数のリクエスト処理部のいずれかに与えるパケット振り分け部（パケット規制・振り分け部２０Ｂ）と、
　前記各認証リクエストパケットのユーザ認証に必要な個人情報を事前に保持するデータ保存部（データ保存部４０）と、
　前記複数のリクエスト処理部が認証処理する認証リクエストパケットの同時接続数を制御する制御部（リクエストパケット制御部５０）とを有し、
　前記制御部は、前記パケット振り分け部および前記リクエスト処理部の少なくとも一方における動作状況を表す特徴量データを収集し、収集した前記特徴量データに基づいて、前記パケット振り分け部が処理する認証リクエストパケットの同時接続数の規制値を動的に制御する、
　リクエストパケットの同時接続数規制システム。
　上記［８］の構成のリクエストパケットの同時接続数規制システムによれば、前記複数のリクエスト処理部等における処理能力の変動に伴って応答時間が変化し、前記パケット振り分け部における同時接続数の規制制御が不適切な状態に変化した場合に、前記制御部の制御により前記規制値が適切な値に自動的に調整される。これにより、前記リクエストパケット送信部が認証リクエストパケットを再送する回数を減らすことができる。また、前記規制値に必要以上の余裕を持たせる必要がなくなり、システム全体の処理能力を向上できる。
　１０　リクエストパケット送信部
　１１　パケット送信部
　１２　処理結果パケット受信部
　１３　パケット再送処理部
　２０　パケット規制部
　２０Ａ，２０Ｂ　パケット規制・振り分け部
　２１　送信パケット振り分け処理部
　２２　同時接続数規制部
　２３　処理結果パケット受信部
　２４　処理結果パケット送信部
　３０，３０Ｂ　リクエスト処理部
　３１　リクエストパケット受信部
　３２　パケット認証指示部
　３３　処理結果パケット送信部
　４０　データ保存部
　４１　ユーザ認証情報保持部
　４２　ユーザ認証処理部
　５０　リクエストパケット制御部
　５１　生存状態監視部
　５２　特徴量収集蓄積部
　５３　特徴量学習処理部
　５４　適正化規制値算出部
　５５　同時接続数規制値制御部
　６０　管理情報
　６１　ユーザ情報
　６２　パケット送信時間
　６３　結果パケット受信時間
　６４　特徴量データ
　６５　学習データ
　１００，１００Ａ，１００Ｂ　ユーザ認証システム
　Ｄａ，Ｄｂ，Ｄｃ，Ｄｄ　特徴量
　ＳＧ１　規制値変更指示
　Ｔ１　再送間隔
　Ｔ２　応答時間
　Ｔ２ｒｅｆ　応答時間の基準値
　Ｔ２ｔｈ，Ｔ２ｔｈ２　応答時間の閾値

Claims (8)

  1. 　コアネットワークで生成された認証リクエストパケットを送信するリクエストパケット送信部と、
    　状況に応じて動的に割り当て可能な複数のリクエスト処理部と、
    　前記リクエストパケット送信部が送出する認証リクエストパケットを複数経路に振り分けて前記複数のリクエスト処理部のいずれかに与えるパケット振り分け部と、
    　前記複数のリクエスト処理部が認証処理する認証リクエストパケットの同時接続数を制御する制御部とを有し、
    　前記制御部は、前記パケット振り分け部および前記リクエスト処理部の少なくとも一方における動作状況を表す特徴量データを収集し、収集した前記特徴量データに基づいて、前記パケット振り分け部が処理する認証リクエストパケットの同時接続数の規制値を動的に制御する、
    　リクエストパケットの同時接続数規制装置。
  2. 　前記特徴量データは、少なくとも同時処理しているリクエスト数を表す第１特徴量と、各リクエストパケットを送信してからその処理結果が戻るまでの応答時間を表す第２特徴量と、前記複数のリクエスト処理部の処理性能と関連のある第３特徴量とを含み、
    　前記制御部は、過去に記録した前記特徴量データの相関関係に基づき、認証リクエストパケットの同時接続数の基準値を算出し、前記基準値を前記パケット振り分け部における前記規制値に反映する、
    　請求項１に記載のリクエストパケットの同時接続数規制装置。
  3. 　前記制御部は、前記リクエストパケット送信部におけるパケットの再送間隔と、各リクエストパケットを送信してからその処理結果が戻るまでの応答時間とに基づき、前記応答時間が前記再送間隔に近づいたことを検知した時に、最新の前記応答時間よりも小さい第１の応答時間基準値と、過去に記録した前記特徴量データの相関関係とに基づき、認証リクエストパケットの同時接続数の基準値を算出し、前記基準値を前記パケット振り分け部における前記規制値に反映する、
    　請求項２に記載のリクエストパケットの同時接続数規制装置。
  4. 　前記制御部は、前記リクエストパケット送信部におけるパケットの再送間隔と、各リクエストパケットを送信してからその処理結果が戻るまでの応答時間とに基づき、前記応答時間が前記再送間隔に対して余裕があることを検知した時に、最新の前記応答時間よりも大きく且つ前記再送間隔よりも小さい第２の応答時間基準値と、過去に記録した前記特徴量データの相関関係とに基づき、認証リクエストパケットの同時接続数の基準値を算出し、前記基準値を前記パケット振り分け部における前記規制値に反映する、
    　請求項２に記載のリクエストパケットの同時接続数規制装置。
  5. 　前記制御部は、前記再送間隔と、前記応答時間とに基づき、前記応答時間が前記再送間隔に対して余裕があることを検知した時に、前記第２の応答時間基準値を段階的に更新し、更新した前記第２の応答時間基準値のそれぞれについて、認証リクエストパケットの同時接続数の基準値を算出し、前記基準値を前記パケット振り分け部における前記規制値に反映する、
    　請求項４に記載のリクエストパケットの同時接続数規制装置。
  6. 　コアネットワークで生成された認証リクエストパケットを送信するリクエストパケット送信部と、状況に応じて動的に割り当て可能な複数のリクエスト処理部と、前記リクエストパケット送信部が送出する認証リクエストパケットを複数経路に振り分けて前記複数のリクエスト処理部のいずれかに与えるパケット振り分け部とを有する認証処理装置を用いて、前記複数のリクエスト処理部が認証処理する認証リクエストパケットの同時接続数を制御対象とし、
    　前記パケット振り分け部および前記リクエスト処理部の少なくとも一方における動作状況を表す特徴量データを収集し、
    　収集した前記特徴量データに基づいて、前記パケット振り分け部が処理する認証リクエストパケットの同時接続数の規制値を動的に制御する、
    　リクエストパケットの同時接続数規制方法。
  7. 　コアネットワークで生成された認証リクエストパケットを送信するリクエストパケット送信部と、状況に応じて動的に割り当て可能な複数のリクエスト処理部と、前記リクエストパケット送信部が送出する認証リクエストパケットを複数経路に振り分けて前記複数のリクエスト処理部のいずれかに与えるパケット振り分け部と、前記複数のリクエスト処理部が認証処理する認証リクエストパケットの同時接続数を制御する制御部とを有する認証装置のコンピュータが実行可能な制御プログラムであって、
    　前記パケット振り分け部および前記リクエスト処理部の少なくとも一方における動作状況を表す特徴量データを収集する手順と、
    　収集した前記特徴量データに基づいて、前記パケット振り分け部が処理する認証リクエストパケットの同時接続数の規制値を動的に制御する手順と、
    　を備える制御プログラム。
  8. 　コアネットワークで生成された認証リクエストパケットを送信するリクエストパケット送信部と、
    　状況に応じて動的に割り当て可能な複数のリクエスト処理部と、
    　前記リクエストパケット送信部が送出する認証リクエストパケットを複数経路に振り分けて前記複数のリクエスト処理部のいずれかに与えるパケット振り分け部と、
    　前記各認証リクエストパケットのユーザ認証に必要な個人情報を事前に保持するデータ保存部と、
    　前記複数のリクエスト処理部が認証処理する認証リクエストパケットの同時接続数を制御する制御部とを有し、
    　前記制御部は、前記パケット振り分け部および前記リクエスト処理部の少なくとも一方における動作状況を表す特徴量データを収集し、収集した前記特徴量データに基づいて、前記パケット振り分け部が処理する認証リクエストパケットの同時接続数の規制値を動的に制御する、
    　リクエストパケットの同時接続数規制システム。
PCT/JP2023/020842 2023-06-05 2023-06-05 リクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システム Ceased WO2024252478A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2025525454A JPWO2024252478A1 (ja) 2023-06-05 2023-06-05
PCT/JP2023/020842 WO2024252478A1 (ja) 2023-06-05 2023-06-05 リクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2023/020842 WO2024252478A1 (ja) 2023-06-05 2023-06-05 リクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システム

Publications (1)

Publication Number Publication Date
WO2024252478A1 true WO2024252478A1 (ja) 2024-12-12

Family

ID=93795132

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/020842 Ceased WO2024252478A1 (ja) 2023-06-05 2023-06-05 リクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システム

Country Status (2)

Country Link
JP (1) JPWO2024252478A1 (ja)
WO (1) WO2024252478A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010199759A (ja) * 2009-02-23 2010-09-09 Kddi Corp 通信セッション規制装置
JP2018088041A (ja) * 2016-11-28 2018-06-07 富士通株式会社 接続数制御プログラム、振り分け装置および接続数制御方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010199759A (ja) * 2009-02-23 2010-09-09 Kddi Corp 通信セッション規制装置
JP2018088041A (ja) * 2016-11-28 2018-06-07 富士通株式会社 接続数制御プログラム、振り分け装置および接続数制御方法

Also Published As

Publication number Publication date
JPWO2024252478A1 (ja) 2024-12-12

Similar Documents

Publication Publication Date Title
US11558302B2 (en) Data transmission method and apparatus
EP2306677B1 (en) System and method for optimizing network communication in response to network conditions
US10404558B2 (en) Adaptive allocation for dynamic reporting rates of log events to a central log management server from distributed nodes in a high volume log management system
US20100274893A1 (en) Methods and apparatus for detecting and limiting focused server overload in a network
CN106792835B (zh) 一种无线设备共享带宽的控制方法及系统
CN111245630B (zh) 一种局域网内多设备同时升级的方法
JPWO2006087817A1 (ja) 通信制御システム
WO2019218480A1 (zh) 一种推送服务的重连方法及设备
US9960960B2 (en) Remote management systems and apparatuses for CWMP and methods for improving performance of remote management thereof
CN114286391B (zh) 处理多个精细定时测量测距请求
Montazerolghaem et al. A load scheduler for SIP proxy servers: design, implementation and evaluation of a history weighted window approach
CN104683259A (zh) Tcp拥塞控制方法及装置
CN114553886B (zh) 数据传输方法和通信装置
CN113228776B (zh) 用于不受管理的通信链接的资源分配
US8396057B2 (en) Method and apparatus for traffic regulation in a communication network
CN119697126B (zh) Sip信令传输及流量控制方法、装置及计算机设备
WO2014208617A1 (ja) プッシュ型情報送信装置、プッシュ型情報送信方法及びプログラム
WO2024252478A1 (ja) リクエストパケットの同時接続数規制装置およびその同時接続数規制方法、制御プログラム、同時接続数規制システム
CN113542324B (zh) 一种消息推送方法和装置
CN108540581A (zh) 基于多web服务器的服务系统及服务方法、储存介质
CN119520677A (zh) 请求方法、装置、电子设备以及可读存储介质
JP6233141B2 (ja) データベースシステム、データベースサーバ、データベースサーバプログラム、データベースクライアント及びデータベースクライアントプログラム
CN111327604B (zh) 数据处理系统及其方法
CN116455985A (zh) 一种分布式服务系统、方法、计算机设备和存储介质
Guduru Priority queuing strategy for self-overload control in SIP servers

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23940585

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2025525454

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE