並列サンプリング装置および制御プログラム
【課題】フローサンプリングとパケットサンプリングを並列して適用することにより、フローサイズ分布推定の精度向上をさせる。
【解決手段】トラヒックを複製し、２つの同一内容のトラヒックを出力するミラーリング装置１１と、いずれか一方のトラヒックに対して、フローサンプリングを行なうフローサンプリング装置１３と、フローサンプリング結果をフローデータに変換するフローサンプリングデータ解析部１３ａと、いずれか他方のトラヒックに対して、パケットサンプリングを行なうパケットサンプリング装置１４と、パケットサンプリング結果をフローデータに変換するパケットサンプリングデータ解析部１４ａと、フローサンプリングデータ解析部１３ａの出力およびパケットサンプリングデータ解析部１４ａの出力を合成して元のフローサイズ分布を推定する合成推定部１６と、を備える。
【解決手段】トラヒックを複製し、２つの同一内容のトラヒックを出力するミラーリング装置１１と、いずれか一方のトラヒックに対して、フローサンプリングを行なうフローサンプリング装置１３と、フローサンプリング結果をフローデータに変換するフローサンプリングデータ解析部１３ａと、いずれか他方のトラヒックに対して、パケットサンプリングを行なうパケットサンプリング装置１４と、パケットサンプリング結果をフローデータに変換するパケットサンプリングデータ解析部１４ａと、フローサンプリングデータ解析部１３ａの出力およびパケットサンプリングデータ解析部１４ａの出力を合成して元のフローサイズ分布を推定する合成推定部１６と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置および制御プログラムに関する。
【背景技術】
【０００２】
近年、ネットワークを流れるトラヒックが増加してきている。このため、大容量トラヒックをキャプチャし、迅速な解析を行なうためにサンプリング技術の必要性が高まってきている。トラヒックのサンプリング技術には大きく分けて、パケットサンプリングとフローサンプリングの２種類が存在する。パケットサンプリングは、パケット毎にサンプリングを行ない、フローサンプリングは、フロー毎にサンプリングを行なう。ここでいうフローとは、パケットヘッダ内の特定のフィールド、例えば５−ｔｕｐｌｅ（送信元／宛先ＩＰアドレス、送信元／宛先ポート番号、プロトコル番号）が同じパケット群およびその終了条件によって定義される。
【０００３】
ここで、インターネットトラヒックで見受けられるヘビーテールなフローサイズ分布のトラヒックに対してサンプリングを施すと、フローサンプリングによって元の分布に従った、サイズの小さなフローが抽出されやすい傾向がある。一方、パケットサンプリングはサイズの大きなフローが偏って抽出されやすいという傾向がある。このような特徴を有する各種サンプリング技術を、それぞれを単体で用いる手法では、元のフローサイズ分布の推定精度に限界があり、精度向上のため、フローサンプリングとパケットサンプリングを併用する研究が行なわれている（非特許文献１〜３）。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】L.Yang and G.Michailidis, "Sampled Based Estimation of Network Traffic Flow Characteristics," Proc. IEEE Infocom,2007.
【非特許文献２】R.R.Kompella and C.Estan, "The Power of Slicing in Internet Flow Measurement," Proc. IMC, 2005.
【非特許文献３】P.Tune and D.Veitch, "Towards optimal sampling for flow size estimation," Proc. IMC, 2008.
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記の非特許文献１および非特許文献２では、フローサンプリングとパケットサンプリングを直列に適用する。これらのうち、非特許文献１では、最初にフローサンプリングを施し、次にパケットサンプリングを施す。一方、非特許文献２では、最初にパケットサンプリングを施し、次にフローサンプリングを施す。これらの手法は、各種サンプリング方法を直列に用いている。その結果、非特許文献１では、サイズの大きなフローが抽出されにくく、非特許文献２では、元のフロー内パケットが完全に抽出されることは稀であるため、直列適用に起因する推定精度の限界がある。
【０００６】
非特許文献３では、２種類のパケットサンプリングを並列に適用する。一つはＴＣＰのＳＹＮ（synchronize）パケットサンプリング用であり、もう一つは通常のパケットサンプリング用である。ＴＣＰプロトコル情報の利用が前提であるため、ＴＣＰ以外のトラヒックには適用できない。
【０００７】
本発明は、このような事情に鑑みてなされたものであり、フローサンプリングとパケットサンプリングを並列して適用することにより、フローサイズ分布推定の精度向上をさせることができる並列サンプリング装置および制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
（１）上記の目的を達成するために、本発明は、以下のような手段を講じた。すなわち、本発明の並列サンプリング装置は、サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置であって、前記トラヒックを複製し、２つの同一内容のトラヒックを出力するミラーリング装置と、いずれか一方の前記トラヒックに対して、フローサンプリングを行なうフローサンプリング装置と、前記フローサンプリング結果をフローデータに変換するフローサンプリングデータ解析部と、いずれか他方の前記トラヒックに対して、パケットサンプリングを行なうパケットサンプリング装置と、前記パケットサンプリング結果をフローデータに変換するパケットサンプリングデータ解析部と、前記フローサンプリングデータ解析部の出力および前記パケットサンプリングデータ解析部の出力を合成して元のフロー特性を推定する合成推定部と、を備えることを特徴としている。
【０００９】
このように、フローサンプリングとパケットサンプリングとを並列して行ない、フローサンプリング解析結果とパケットサンプリング解析結果とを合成して元のフロー特性を推定するので、それぞれのサンプリングレートを十分小さくしたとしても、各方式の利点を組み合わせることができる。これにより、それぞれを単独で適用する手法や、従来から知られている手法よりも元のフロー特性の再現性を向上させることが可能となる。
【００１０】
（２）また、本発明の並列サンプリング装置において、前記合成推定部は、前記トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、前記フローサンプリング結果のフローデータを採用し、前記閾値よりも大きい値のフローサイズについては、前記パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定することを特徴としている。
【００１１】
このように、トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、フローサンプリング結果のフローデータを採用し、閾値よりも大きい値のフローサイズについては、パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定するので、それぞれのサンプリング方法のデメリットが少なくなり、元のフローサイズ分布の再現性を向上させることが可能となる。
【００１２】
（３）また、本発明の並列サンプリング装置において、前記合成推定部は、前記閾値とサイズが最大のフローデータとを補間することによって、前記パケットサンプリングの結果のフローデータを算出することを特徴としている。
【００１３】
このように、閾値とサイズが最大のフローデータとを補間することによって、パケットサンプリングの結果のフローデータを算出するので、フローサイズ分布をＣＣＤＦ（Complementary Cumulative Distribution Function）に基づいて定義し、フローサイズＦＺおよびＣＣＤＦに基づいて推定する手法を採ることができる。
【００１４】
（４）また、本発明の制御プログラムは、サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置の制御プログラムであって、ミラーリング装置において、前記トラヒックを複製し、２つの同一内容のトラヒックを出力する処理と、フローサンプリング装置において、いずれか一方の前記トラヒックに対して、フローサンプリングを行なう処理と、フローサンプリングデータ解析部において、前記フローサンプリング結果をフローデータに変換する処理と、パケットサンプリング装置において、いずれか他方の前記トラヒックに対して、パケットサンプリングを行なう処理と、パケットサンプリングデータ解析部において、前記パケットサンプリング結果をフローデータに変換する処理と、合成推定部において、前記フローサンプリングデータ解析部の出力および前記パケットサンプリングデータ解析部の出力を合成して元のフロー特性を推定する処理と、の一連の処理を、コンピュータに読み取り可能および実行可能にコマンド化したことを特徴としている。
【００１５】
このように、フローサンプリングとパケットサンプリングとを並列して行ない、フローサンプリング解析結果とパケットサンプリング解析結果とを合成して元のフロー特性を推定するので、それぞれのサンプリングレートを十分小さくしたとしても、各方式の利点を組み合わせることができる。これにより、それぞれを単独で適用する手法や、従来から知られている手法よりも元のフロー特性の再現性を向上させることが可能となる。
【００１６】
（５）また、本発明の制御プログラムは、前記合成推定部において、前記トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、前記フローサンプリング結果のフローデータを採用し、前記閾値よりも大きい値のフローサイズについては、前記パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定する処理を行なうことを特徴としている。
【００１７】
このように、トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、フローサンプリング結果のフローデータを採用し、閾値よりも大きい値のフローサイズについては、パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定するので、それぞれのサンプリング方法のデメリットが少なくなり、元のフローサイズ分布の再現性を向上させることが可能となる。
【００１８】
（６）また、本発明の制御プログラムは、前記合成推定部において、前記閾値とサイズが最大のフローデータとを補間することによって、前記パケットサンプリングの結果のフローデータを算出する処理を行なうことを特徴としている。
【００１９】
このように、閾値とサイズが最大のフローデータとを補間することによって、パケットサンプリングの結果のフローデータを算出するので、フローサイズ分布をＣＣＤＦ（Complementary Cumulative Distribution Function）に基づいて定義し、フローサイズＦＺおよびＣＣＤＦに基づいて推定する手法を採ることができる。
【発明の効果】
【００２０】
本発明によれば、フローサンプリングとパケットサンプリングとを並列して適用するので、それぞれのサンプリングレートを十分小さくしたとしても、各方式の利点を組み合わせることができる。これにより、それぞれを単独で適用する手法や、従来から知られている手法よりも元のフロー特性の再現性を向上させることが可能となる。
【図面の簡単な説明】
【００２１】
【図１】本実施形態に係る並列サンプリング装置の概略構成を示す図である。
【図２】フローサイズＦＺとＣＣＤＦとの関係を示す図である。
【図３】並列サンプリング装置の動作を示すフローチャートである。
【発明を実施するための形態】
【００２２】
図１は、本実施形態に係る並列サンプリング装置の概略構成を示す図である。また、図２は、フローサイズＦＺとＣＣＤＦとの関係を示す図である。この並列サンプリング装置では、高速回線などの監視対象となるトラヒックに対し、タップ装置１０によりトラヒックの観測が可能となっている。このトラヒックは、プロトコル／アプリケーションに偏っておらず、また、一般的なインターネットトラヒック特性であるヘビーテールに従っているものとする。図１に示すように、キャリアのバックボーン等、タップ装置１０が設置されている環境において、ミラーリング装置１１を使って対象トラヒックを２つにコピーし、それぞれを並列サンプリング装置１２に入力する。そして、各トラヒックをフローサンプリング装置１３およびパケットサンプリング装置に入力し、サンプリングを行なう。ここで、フローサイズとは、例えば、フロー内パケット数、フロー内バイト数、フロー持続時間のいずれかを意味する。ただし、フローの大きさを表わすパラメータであれば、この限りではない。
【００２３】
フローサンプリング装置１３は、確率ＦＲで、フローベースでランダムにサンプリングする装置である。パケットサンプリング装置１４は、確率ＰＲで、パケットベースでランダムにサンプリングする装置である。確率ＦＲとは、Ｎフローに１フローを抽出することを意味し、確率ＰＲとは、Ｎパケットに１パケットを抽出することを意味する。
【００２４】
解析装置１５は、フローサンプリングの結果をフローデータに変換するフローサンプリングデータ解析部１３ａ、パケットサンプリングの結果をフローデータに変換するパケットサンプリングデータ解析部１４ａ、および、両結果を合成して元のフローサイズ分布を推定する合成推定部１６から構成されている。合成推定部１６は、フローサイズが小さい分布を推定するためにフローサンプリングの結果を利用し、フローサイズが大きい分布を推定するためにパケットサンプリングの結果を利用する。合成方法に関しては様々な方法が考えられるが、本実施形態では、一例として、フローサイズ分布を、ＣＣＤＦ（Complementary Cumulative Distribution Function）に基づいて定義し、フローサイズＦＺおよびＣＣＤＦに基づいて推定する（図２参照）。
【００２５】
次に、以上のように構成された本実施形態に係る並列サンプリング装置の動作について説明する。
【００２６】
まず、フローサンプリングデータ解析部１３ａにより、フローサンプリング結果からのフローサイズ分布を算出する（ステップＳ１）。このフローサイズ分布は、式（１）で表わされる。
【００２７】
【数１】
このとき、得られたＣＣＤＦの０より大きい最小のＣＣＤＦを式（２）で表わすものとする。
【００２８】
【数２】
次に、パケットサンプリングデータ解析部１４ａにより、パケットサンプリング結果のフローデータを算出する（ステップＳ２）。このデータにおけるフローサイズが最大のフローを式（３）で表わすものとする。
【００２９】
【数３】
次に、元のフロー群における、フローサイズが最大のＦＺを式（４）、ＣＣＤＦを式（５）としてそれぞれ推定する（ステップＳ３）。
【００３０】
【数４】
【００３１】
【数５】
次に、式（６）および式（７）を、冪乗則を仮定し、式（８）で表わされる補間式を生成する（ステップＳ４）。
【００３２】
【数６】
【００３３】
【数７】
【００３４】
【数８】
式（８）のａおよびｂは、データフィッティングにより得られる係数である。
【００３５】
次に、ステップＳ１で得られたフローサンプリング結果、ステップＳ４で得られた式（８）を用いて、元のフローサイズ分布を推定する。
【００３６】
以上説明したように、本実施形態に係る並列サンプリング装置によれば、フローサンプリングとパケットサンプリングとを並列して適用するので、それぞれのサンプリングレートを十分小さくしたとしても、各方式の利点を組み合わせることができる。これにより、それぞれを単独で適用する手法や、従来から知られている手法よりも元のフローサイズ分布の再現性を向上させることが可能となる。
【００３７】
以上のような本発明の特徴的な動作は、制御プログラムをコンピュータに実行させることによっても実現することが可能である。すなわち、本発明の制御プログラムは、サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置の制御プログラムであって、ミラーリング装置において、前記トラヒックを複製し、２つの同一内容のトラヒックを出力する処理と、フローサンプリング装置において、いずれか一方の前記トラヒックに対して、フローサンプリングを行なう処理と、フローサンプリングデータ解析部において、前記フローサンプリング結果をフローデータに変換する処理と、パケットサンプリング装置において、いずれか他方の前記トラヒックに対して、パケットサンプリングを行なう処理と、パケットサンプリングデータ解析部において、前記パケットサンプリング結果をフローデータに変換する処理と、合成推定部において、前記フローサンプリングデータ解析部の出力および前記パケットサンプリングデータ解析部の出力を合成して元のフローサイズ分布を推定する処理と、の一連の処理を、コンピュータに読み取り可能および実行可能にコマンド化したことを特徴としている。
【００３８】
このように、フローサンプリングとパケットサンプリングとを並列して行ない、フローサンプリング解析結果とパケットサンプリング解析結果とを合成して元のフローサイズ分布を推定するので、それぞれのサンプリングレートを十分小さくしたとしても、各方式の利点を組み合わせることができる。これにより、それぞれを単独で適用する手法や、従来から知られている手法よりも元のフローサイズ分布の再現性を向上させることが可能となる。
【００３９】
また、本発明の制御プログラムは、前記合成推定部において、前記トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、前記フローサンプリング結果のフローデータを採用し、前記閾値よりも大きい値のフローサイズについては、前記パケットサンプリング結果のフローデータを採用する処理を行なうことを特徴としている。このように、トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、フローサンプリング結果のフローデータを採用し、閾値よりも大きい値のフローサイズについては、パケットサンプリング結果のフローデータを採用するので、それぞれのサンプリング方法のデメリットが少なくなり、元のフローサイズ分布の再現性を向上させることが可能となる。
【００４０】
また、本発明の制御プログラムは、前記合成推定部において、前記閾値とサイズが最大のフローデータとを補間することによって、前記パケットサンプリングの結果のフローデータを算出する処理を行なうことを特徴としている。このように、閾値とサイズが最大のフローデータとを補間することによって、パケットサンプリングの結果のフローデータを算出するので、フローサイズ分布をＣＣＤＦ（Complementary Cumulative Distribution Function）に基づいて定義し、フローサイズＦＺおよびＣＣＤＦに基づいて推定する手法を採ることができる。
【符号の説明】
【００４１】
１０ タップ装置
１１ ミラーリング装置
１２ 並列サンプリング装置
１３ フローサンプリング装置
１３ａ フローサンプリングデータ解析部
１４ パケットサンプリング装置
１４ａ パケットサンプリングデータ解析部
１５ 解析装置
１６ 合成推定部
【技術分野】
【０００１】
本発明は、サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置および制御プログラムに関する。
【背景技術】
【０００２】
近年、ネットワークを流れるトラヒックが増加してきている。このため、大容量トラヒックをキャプチャし、迅速な解析を行なうためにサンプリング技術の必要性が高まってきている。トラヒックのサンプリング技術には大きく分けて、パケットサンプリングとフローサンプリングの２種類が存在する。パケットサンプリングは、パケット毎にサンプリングを行ない、フローサンプリングは、フロー毎にサンプリングを行なう。ここでいうフローとは、パケットヘッダ内の特定のフィールド、例えば５−ｔｕｐｌｅ（送信元／宛先ＩＰアドレス、送信元／宛先ポート番号、プロトコル番号）が同じパケット群およびその終了条件によって定義される。
【０００３】
ここで、インターネットトラヒックで見受けられるヘビーテールなフローサイズ分布のトラヒックに対してサンプリングを施すと、フローサンプリングによって元の分布に従った、サイズの小さなフローが抽出されやすい傾向がある。一方、パケットサンプリングはサイズの大きなフローが偏って抽出されやすいという傾向がある。このような特徴を有する各種サンプリング技術を、それぞれを単体で用いる手法では、元のフローサイズ分布の推定精度に限界があり、精度向上のため、フローサンプリングとパケットサンプリングを併用する研究が行なわれている（非特許文献１〜３）。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】L.Yang and G.Michailidis, "Sampled Based Estimation of Network Traffic Flow Characteristics," Proc. IEEE Infocom,2007.
【非特許文献２】R.R.Kompella and C.Estan, "The Power of Slicing in Internet Flow Measurement," Proc. IMC, 2005.
【非特許文献３】P.Tune and D.Veitch, "Towards optimal sampling for flow size estimation," Proc. IMC, 2008.
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記の非特許文献１および非特許文献２では、フローサンプリングとパケットサンプリングを直列に適用する。これらのうち、非特許文献１では、最初にフローサンプリングを施し、次にパケットサンプリングを施す。一方、非特許文献２では、最初にパケットサンプリングを施し、次にフローサンプリングを施す。これらの手法は、各種サンプリング方法を直列に用いている。その結果、非特許文献１では、サイズの大きなフローが抽出されにくく、非特許文献２では、元のフロー内パケットが完全に抽出されることは稀であるため、直列適用に起因する推定精度の限界がある。
【０００６】
非特許文献３では、２種類のパケットサンプリングを並列に適用する。一つはＴＣＰのＳＹＮ（synchronize）パケットサンプリング用であり、もう一つは通常のパケットサンプリング用である。ＴＣＰプロトコル情報の利用が前提であるため、ＴＣＰ以外のトラヒックには適用できない。
【０００７】
本発明は、このような事情に鑑みてなされたものであり、フローサンプリングとパケットサンプリングを並列して適用することにより、フローサイズ分布推定の精度向上をさせることができる並列サンプリング装置および制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
（１）上記の目的を達成するために、本発明は、以下のような手段を講じた。すなわち、本発明の並列サンプリング装置は、サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置であって、前記トラヒックを複製し、２つの同一内容のトラヒックを出力するミラーリング装置と、いずれか一方の前記トラヒックに対して、フローサンプリングを行なうフローサンプリング装置と、前記フローサンプリング結果をフローデータに変換するフローサンプリングデータ解析部と、いずれか他方の前記トラヒックに対して、パケットサンプリングを行なうパケットサンプリング装置と、前記パケットサンプリング結果をフローデータに変換するパケットサンプリングデータ解析部と、前記フローサンプリングデータ解析部の出力および前記パケットサンプリングデータ解析部の出力を合成して元のフロー特性を推定する合成推定部と、を備えることを特徴としている。
【０００９】
このように、フローサンプリングとパケットサンプリングとを並列して行ない、フローサンプリング解析結果とパケットサンプリング解析結果とを合成して元のフロー特性を推定するので、それぞれのサンプリングレートを十分小さくしたとしても、各方式の利点を組み合わせることができる。これにより、それぞれを単独で適用する手法や、従来から知られている手法よりも元のフロー特性の再現性を向上させることが可能となる。
【００１０】
（２）また、本発明の並列サンプリング装置において、前記合成推定部は、前記トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、前記フローサンプリング結果のフローデータを採用し、前記閾値よりも大きい値のフローサイズについては、前記パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定することを特徴としている。
【００１１】
このように、トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、フローサンプリング結果のフローデータを採用し、閾値よりも大きい値のフローサイズについては、パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定するので、それぞれのサンプリング方法のデメリットが少なくなり、元のフローサイズ分布の再現性を向上させることが可能となる。
【００１２】
（３）また、本発明の並列サンプリング装置において、前記合成推定部は、前記閾値とサイズが最大のフローデータとを補間することによって、前記パケットサンプリングの結果のフローデータを算出することを特徴としている。
【００１３】
このように、閾値とサイズが最大のフローデータとを補間することによって、パケットサンプリングの結果のフローデータを算出するので、フローサイズ分布をＣＣＤＦ（Complementary Cumulative Distribution Function）に基づいて定義し、フローサイズＦＺおよびＣＣＤＦに基づいて推定する手法を採ることができる。
【００１４】
（４）また、本発明の制御プログラムは、サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置の制御プログラムであって、ミラーリング装置において、前記トラヒックを複製し、２つの同一内容のトラヒックを出力する処理と、フローサンプリング装置において、いずれか一方の前記トラヒックに対して、フローサンプリングを行なう処理と、フローサンプリングデータ解析部において、前記フローサンプリング結果をフローデータに変換する処理と、パケットサンプリング装置において、いずれか他方の前記トラヒックに対して、パケットサンプリングを行なう処理と、パケットサンプリングデータ解析部において、前記パケットサンプリング結果をフローデータに変換する処理と、合成推定部において、前記フローサンプリングデータ解析部の出力および前記パケットサンプリングデータ解析部の出力を合成して元のフロー特性を推定する処理と、の一連の処理を、コンピュータに読み取り可能および実行可能にコマンド化したことを特徴としている。
【００１５】
このように、フローサンプリングとパケットサンプリングとを並列して行ない、フローサンプリング解析結果とパケットサンプリング解析結果とを合成して元のフロー特性を推定するので、それぞれのサンプリングレートを十分小さくしたとしても、各方式の利点を組み合わせることができる。これにより、それぞれを単独で適用する手法や、従来から知られている手法よりも元のフロー特性の再現性を向上させることが可能となる。
【００１６】
（５）また、本発明の制御プログラムは、前記合成推定部において、前記トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、前記フローサンプリング結果のフローデータを採用し、前記閾値よりも大きい値のフローサイズについては、前記パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定する処理を行なうことを特徴としている。
【００１７】
このように、トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、フローサンプリング結果のフローデータを採用し、閾値よりも大きい値のフローサイズについては、パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定するので、それぞれのサンプリング方法のデメリットが少なくなり、元のフローサイズ分布の再現性を向上させることが可能となる。
【００１８】
（６）また、本発明の制御プログラムは、前記合成推定部において、前記閾値とサイズが最大のフローデータとを補間することによって、前記パケットサンプリングの結果のフローデータを算出する処理を行なうことを特徴としている。
【００１９】
このように、閾値とサイズが最大のフローデータとを補間することによって、パケットサンプリングの結果のフローデータを算出するので、フローサイズ分布をＣＣＤＦ（Complementary Cumulative Distribution Function）に基づいて定義し、フローサイズＦＺおよびＣＣＤＦに基づいて推定する手法を採ることができる。
【発明の効果】
【００２０】
本発明によれば、フローサンプリングとパケットサンプリングとを並列して適用するので、それぞれのサンプリングレートを十分小さくしたとしても、各方式の利点を組み合わせることができる。これにより、それぞれを単独で適用する手法や、従来から知られている手法よりも元のフロー特性の再現性を向上させることが可能となる。
【図面の簡単な説明】
【００２１】
【図１】本実施形態に係る並列サンプリング装置の概略構成を示す図である。
【図２】フローサイズＦＺとＣＣＤＦとの関係を示す図である。
【図３】並列サンプリング装置の動作を示すフローチャートである。
【発明を実施するための形態】
【００２２】
図１は、本実施形態に係る並列サンプリング装置の概略構成を示す図である。また、図２は、フローサイズＦＺとＣＣＤＦとの関係を示す図である。この並列サンプリング装置では、高速回線などの監視対象となるトラヒックに対し、タップ装置１０によりトラヒックの観測が可能となっている。このトラヒックは、プロトコル／アプリケーションに偏っておらず、また、一般的なインターネットトラヒック特性であるヘビーテールに従っているものとする。図１に示すように、キャリアのバックボーン等、タップ装置１０が設置されている環境において、ミラーリング装置１１を使って対象トラヒックを２つにコピーし、それぞれを並列サンプリング装置１２に入力する。そして、各トラヒックをフローサンプリング装置１３およびパケットサンプリング装置に入力し、サンプリングを行なう。ここで、フローサイズとは、例えば、フロー内パケット数、フロー内バイト数、フロー持続時間のいずれかを意味する。ただし、フローの大きさを表わすパラメータであれば、この限りではない。
【００２３】
フローサンプリング装置１３は、確率ＦＲで、フローベースでランダムにサンプリングする装置である。パケットサンプリング装置１４は、確率ＰＲで、パケットベースでランダムにサンプリングする装置である。確率ＦＲとは、Ｎフローに１フローを抽出することを意味し、確率ＰＲとは、Ｎパケットに１パケットを抽出することを意味する。
【００２４】
解析装置１５は、フローサンプリングの結果をフローデータに変換するフローサンプリングデータ解析部１３ａ、パケットサンプリングの結果をフローデータに変換するパケットサンプリングデータ解析部１４ａ、および、両結果を合成して元のフローサイズ分布を推定する合成推定部１６から構成されている。合成推定部１６は、フローサイズが小さい分布を推定するためにフローサンプリングの結果を利用し、フローサイズが大きい分布を推定するためにパケットサンプリングの結果を利用する。合成方法に関しては様々な方法が考えられるが、本実施形態では、一例として、フローサイズ分布を、ＣＣＤＦ（Complementary Cumulative Distribution Function）に基づいて定義し、フローサイズＦＺおよびＣＣＤＦに基づいて推定する（図２参照）。
【００２５】
次に、以上のように構成された本実施形態に係る並列サンプリング装置の動作について説明する。
【００２６】
まず、フローサンプリングデータ解析部１３ａにより、フローサンプリング結果からのフローサイズ分布を算出する（ステップＳ１）。このフローサイズ分布は、式（１）で表わされる。
【００２７】
【数１】
このとき、得られたＣＣＤＦの０より大きい最小のＣＣＤＦを式（２）で表わすものとする。
【００２８】
【数２】
次に、パケットサンプリングデータ解析部１４ａにより、パケットサンプリング結果のフローデータを算出する（ステップＳ２）。このデータにおけるフローサイズが最大のフローを式（３）で表わすものとする。
【００２９】
【数３】
次に、元のフロー群における、フローサイズが最大のＦＺを式（４）、ＣＣＤＦを式（５）としてそれぞれ推定する（ステップＳ３）。
【００３０】
【数４】
【００３１】
【数５】
次に、式（６）および式（７）を、冪乗則を仮定し、式（８）で表わされる補間式を生成する（ステップＳ４）。
【００３２】
【数６】
【００３３】
【数７】
【００３４】
【数８】
式（８）のａおよびｂは、データフィッティングにより得られる係数である。
【００３５】
次に、ステップＳ１で得られたフローサンプリング結果、ステップＳ４で得られた式（８）を用いて、元のフローサイズ分布を推定する。
【００３６】
以上説明したように、本実施形態に係る並列サンプリング装置によれば、フローサンプリングとパケットサンプリングとを並列して適用するので、それぞれのサンプリングレートを十分小さくしたとしても、各方式の利点を組み合わせることができる。これにより、それぞれを単独で適用する手法や、従来から知られている手法よりも元のフローサイズ分布の再現性を向上させることが可能となる。
【００３７】
以上のような本発明の特徴的な動作は、制御プログラムをコンピュータに実行させることによっても実現することが可能である。すなわち、本発明の制御プログラムは、サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置の制御プログラムであって、ミラーリング装置において、前記トラヒックを複製し、２つの同一内容のトラヒックを出力する処理と、フローサンプリング装置において、いずれか一方の前記トラヒックに対して、フローサンプリングを行なう処理と、フローサンプリングデータ解析部において、前記フローサンプリング結果をフローデータに変換する処理と、パケットサンプリング装置において、いずれか他方の前記トラヒックに対して、パケットサンプリングを行なう処理と、パケットサンプリングデータ解析部において、前記パケットサンプリング結果をフローデータに変換する処理と、合成推定部において、前記フローサンプリングデータ解析部の出力および前記パケットサンプリングデータ解析部の出力を合成して元のフローサイズ分布を推定する処理と、の一連の処理を、コンピュータに読み取り可能および実行可能にコマンド化したことを特徴としている。
【００３８】
このように、フローサンプリングとパケットサンプリングとを並列して行ない、フローサンプリング解析結果とパケットサンプリング解析結果とを合成して元のフローサイズ分布を推定するので、それぞれのサンプリングレートを十分小さくしたとしても、各方式の利点を組み合わせることができる。これにより、それぞれを単独で適用する手法や、従来から知られている手法よりも元のフローサイズ分布の再現性を向上させることが可能となる。
【００３９】
また、本発明の制御プログラムは、前記合成推定部において、前記トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、前記フローサンプリング結果のフローデータを採用し、前記閾値よりも大きい値のフローサイズについては、前記パケットサンプリング結果のフローデータを採用する処理を行なうことを特徴としている。このように、トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、フローサンプリング結果のフローデータを採用し、閾値よりも大きい値のフローサイズについては、パケットサンプリング結果のフローデータを採用するので、それぞれのサンプリング方法のデメリットが少なくなり、元のフローサイズ分布の再現性を向上させることが可能となる。
【００４０】
また、本発明の制御プログラムは、前記合成推定部において、前記閾値とサイズが最大のフローデータとを補間することによって、前記パケットサンプリングの結果のフローデータを算出する処理を行なうことを特徴としている。このように、閾値とサイズが最大のフローデータとを補間することによって、パケットサンプリングの結果のフローデータを算出するので、フローサイズ分布をＣＣＤＦ（Complementary Cumulative Distribution Function）に基づいて定義し、フローサイズＦＺおよびＣＣＤＦに基づいて推定する手法を採ることができる。
【符号の説明】
【００４１】
１０ タップ装置
１１ ミラーリング装置
１２ 並列サンプリング装置
１３ フローサンプリング装置
１３ａ フローサンプリングデータ解析部
１４ パケットサンプリング装置
１４ａ パケットサンプリングデータ解析部
１５ 解析装置
１６ 合成推定部
【特許請求の範囲】
【請求項１】
サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置であって、
前記トラヒックを複製し、２つの同一内容のトラヒックを出力するミラーリング装置と、
いずれか一方の前記トラヒックに対して、フローサンプリングを行なうフローサンプリング装置と、
前記フローサンプリング結果をフローデータに変換するフローサンプリングデータ解析部と、
いずれか他方の前記トラヒックに対して、パケットサンプリングを行なうパケットサンプリング装置と、
前記パケットサンプリング結果をフローデータに変換するパケットサンプリングデータ解析部と、
前記フローサンプリングデータ解析部の出力および前記パケットサンプリングデータ解析部の出力を合成して元のフロー特性を推定する合成推定部と、を備えることを特徴とする並列サンプリング装置。
【請求項２】
前記合成推定部は、前記トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、前記フローサンプリング結果のフローデータを採用し、前記閾値よりも大きい値のフローサイズについては、前記パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定することを特徴とする請求項１記載の並列サンプリング装置。
【請求項３】
前記合成推定部は、前記閾値とサイズが最大のフローデータとを補間することによって、前記パケットサンプリングの結果のフローデータを算出することを特徴とする請求項２記載の並列サンプリング装置。
【請求項４】
サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置の制御プログラムであって、
ミラーリング装置において、前記トラヒックを複製し、２つの同一内容のトラヒックを出力する処理と、
フローサンプリング装置において、いずれか一方の前記トラヒックに対して、フローサンプリングを行なう処理と、
フローサンプリングデータ解析部において、前記フローサンプリング結果をフローデータに変換する処理と、
パケットサンプリング装置において、いずれか他方の前記トラヒックに対して、パケットサンプリングを行なう処理と、
パケットサンプリングデータ解析部において、前記パケットサンプリング結果をフローデータに変換する処理と、
合成推定部において、前記フローサンプリングデータ解析部の出力および前記パケットサンプリングデータ解析部の出力を合成して元のフロー特性を推定する処理と、の一連の処理を、コンピュータに読み取り可能および実行可能にコマンド化したことを特徴とする制御プログラム。
【請求項５】
前記合成推定部において、前記トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、前記フローサンプリング結果のフローデータを採用し、前記閾値よりも大きい値のフローサイズについては、前記パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定する処理を行なうことを特徴とする請求項４記載の制御プログラム。
【請求項６】
前記合成推定部において、前記閾値とサイズが最大のフローデータとを補間することによって、前記パケットサンプリングの結果のフローデータを算出する処理を行なうことを特徴とする請求項５記載の制御プログラム。
【請求項１】
サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置であって、
前記トラヒックを複製し、２つの同一内容のトラヒックを出力するミラーリング装置と、
いずれか一方の前記トラヒックに対して、フローサンプリングを行なうフローサンプリング装置と、
前記フローサンプリング結果をフローデータに変換するフローサンプリングデータ解析部と、
いずれか他方の前記トラヒックに対して、パケットサンプリングを行なうパケットサンプリング装置と、
前記パケットサンプリング結果をフローデータに変換するパケットサンプリングデータ解析部と、
前記フローサンプリングデータ解析部の出力および前記パケットサンプリングデータ解析部の出力を合成して元のフロー特性を推定する合成推定部と、を備えることを特徴とする並列サンプリング装置。
【請求項２】
前記合成推定部は、前記トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、前記フローサンプリング結果のフローデータを採用し、前記閾値よりも大きい値のフローサイズについては、前記パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定することを特徴とする請求項１記載の並列サンプリング装置。
【請求項３】
前記合成推定部は、前記閾値とサイズが最大のフローデータとを補間することによって、前記パケットサンプリングの結果のフローデータを算出することを特徴とする請求項２記載の並列サンプリング装置。
【請求項４】
サンプリング対象とするトラヒックに対して、フローサンプリングとパケットサンプリングとを並列に行なう並列サンプリング装置の制御プログラムであって、
ミラーリング装置において、前記トラヒックを複製し、２つの同一内容のトラヒックを出力する処理と、
フローサンプリング装置において、いずれか一方の前記トラヒックに対して、フローサンプリングを行なう処理と、
フローサンプリングデータ解析部において、前記フローサンプリング結果をフローデータに変換する処理と、
パケットサンプリング装置において、いずれか他方の前記トラヒックに対して、パケットサンプリングを行なう処理と、
パケットサンプリングデータ解析部において、前記パケットサンプリング結果をフローデータに変換する処理と、
合成推定部において、前記フローサンプリングデータ解析部の出力および前記パケットサンプリングデータ解析部の出力を合成して元のフロー特性を推定する処理と、の一連の処理を、コンピュータに読み取り可能および実行可能にコマンド化したことを特徴とする制御プログラム。
【請求項５】
前記合成推定部において、前記トラフィック量に依存するフローサイズの閾値よりも小さい値のフローサイズについては、前記フローサンプリング結果のフローデータを採用し、前記閾値よりも大きい値のフローサイズについては、前記パケットサンプリング結果のフローデータを採用して、元のフローサイズ分布を推定する処理を行なうことを特徴とする請求項４記載の制御プログラム。
【請求項６】
前記合成推定部において、前記閾値とサイズが最大のフローデータとを補間することによって、前記パケットサンプリングの結果のフローデータを算出する処理を行なうことを特徴とする請求項５記載の制御プログラム。
【図１】
【図２】
【図３】
【図２】
【図３】
【公開番号】特開２０１１−５５０４０（Ｐ２０１１−５５０４０Ａ）
【公開日】平成２３年３月１７日（２０１１．３．１７）
【国際特許分類】
【出願番号】特願２００９−１９９３５７（Ｐ２００９−１９９３５７）
【出願日】平成２１年８月３１日（２００９．８．３１）
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
【公開日】平成２３年３月１７日（２０１１．３．１７）
【国際特許分類】
【出願日】平成２１年８月３１日（２００９．８．３１）
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
[ Back to top ]