(57)【要約】早期警戒決定方法、ノード、及びシステムが、本出願において提供される。方法は、以下の動作、同一サーバにおいて対象とされるサービス要求の一部のフロー分析結果を取得することと、フロー分析結果によって示されるフロー、及び現在の分散型ノードの重みに基づいて、サーバにおいて対象とされる全てのサービス要求のフロー量を計算することであって、重みが、現在の分散型ノードによって取得されるフロー分析結果によって示されるフロー量を占める、サーバにおいて対象とされる全てのサービス要求の重みである、計算することと、サーバにおいて対象とされる全てのサービス要求のフロー量を、異常フロー閾値と比較することと、サーバ上で後続の処理を実行する命令を送信するかどうかを、比較結果に基づいて判断することと、を含む。ＤＤｏＳ早期警戒決定システムの信頼性及びセキュリティは、本出願の解決方法に基づいて改善される。
2018535612.tif 000002
【特許請求の範囲】
【請求項１】
早期警戒決定を実行する種々の分散型ノードにおいて適用される早期警戒決定方法であって、
同一サーバにおいて対象とされるサービス要求の一部のフロー分析結果を取得することと、
前記フロー分析結果によって示されるフロー量、及び現在の分散型ノードの重みに基づいて、前記サーバにおいて対象とされる全ての前記サービス要求のフロー量を計算することであって、前記重みが、前記現在の分散型ノードによって取得される前記フロー分析結果によって示される前記フロー量を占める、前記サーバにおいて対象とされる全ての前記サービス要求の重みである、前記計算することと、
前記サーバにおいて対象とされる全ての前記サービス要求のフロー量を、異常フロー閾値と比較することと、
前記サーバについての後続の処理の実行命令を送信するかどうかを、比較結果に基づいて判断することと、を含む前記方法。
【請求項２】
前記サーバ上で前記後続の処理を実行する命令を送信するかどうかを、前記比較結果に基づいて判断することが、
前記比較結果が予め定義された条件を満たすときに、前記サーバについての前記後続の処理の前記実行命令を送信するように判断することと、
前記比較結果がそれ以外のときに、前記サーバについての前記後続の処理の前記実行命令を送信しないように判断することと、を含み、
前記予め定義された条件が、比較される前記フロー量が前記異常フロー閾値よりも大きいことであるか、または、前記予め定義された条件が、比較される前記フロー量が前記異常フロー閾値よりも小さくないことである、請求項１に記載の方法。
【請求項３】
前記サーバにおいて対象とされる前記サービス要求の前記一部についての前記フロー分析結果によって示されるフロー量を、前記異常フロー閾値と比較することと、
比較結果が前記予め定義された条件を満たす場合に、前記サーバについての前記後続の処理の前記実行命令を送信することと、をさらに含み、
前記フロー分析結果によって示される前記フロー量と、前記現在の分散型ノードの前記重みとに基づいて、前記サーバにおいて対象とされる全ての前記サービス要求の前記フロー量を計算することが、前記比較結果が前記予め定義された条件を満たさないという前提で実施される、請求項２に記載の方法。
【請求項４】
前記現在の分散型ノードの前記重みを、予め定義された重み調整期間に従って調整することをさらに含む、請求項１〜３のいずれか１項に記載の方法。
【請求項５】
前記現在の分散型ノードの前記重みを、前記予め定義された重み調整期間に従って調整することが、
各重み調整期間において、他の分散型ノードによって現在の重み調整期間内の時間セグメント範囲内に取得される、前記サーバにおいて対象とされるサービス要求のそれぞれの部分についてのフロー分析結果によって示されるフロー量を判断することと、
各重み調整期間において、全ての前記分散型ノードによって前記時間セグメント範囲内に取得される、前記サーバにおいて対象とされる前記サービス要求の前記それぞれの部分についての前記フロー分析結果によって示される前記フロー量に基づいて、前記時間セグメント範囲内に前記サーバにおいて対象とされる全ての前記サービス要求のフロー量を計算することと、
各重み調整期間において、前記現在の分散型ノードによって前記時間セグメント範囲内に取得される、前記サーバにおいて対象とされる前記サービス要求の一部についてのフロー分析結果によって示されるフロー量を占める、前記サーバにおいて対象とされる全ての前記サービス要求の前記フロー量の重みに少なくとも基づいて、次の重み調整期間についての前記現在の分散型ノードの重みを調整することと、を含む、請求項４に記載の方法。
【請求項６】
前記同一サーバにおいて対象とされる前記サービス要求の前記一部の前記フロー分析結果を取得することが、前記同一サーバにおいて対象とされる前記サービス要求の前記一部の前記フロー分析結果を、負荷分散デバイスから取得することを含む、請求項１〜３のいずれか１項に記載の方法。
【請求項７】
前記サーバにおいて対象とされる前記サービス要求の前記一部を、負荷分散デバイスから取得することをさらに含み、
前記同一サーバにおいて対象とされる前記サービス要求の前記一部の前記フロー分析結果を取得することが、前記サービス要求の前記一部のフロー分析を実行して、前記サーバにおいて対象とされる前記サービス要求の前記一部についての前記フロー分析結果を取得することを含む、請求項１〜３のいずれか１項に記載の方法。
【請求項８】
前記フロー分析結果によって示される前記フロー量と、前記現在の分散型ノードの前記重みとに基づいて、前記サーバにおいて対象とされる全ての前記サービス要求の前記フローを計算することが、前記フロー分析結果によって示される前記フローサイズと、前記現在の分散型ノードの前記重みとに基づいて、前記サーバにおいて対象とされる全ての前記サービス要求のフローサイズを計算することを含み、
前記サーバにおいて対象とされる全ての前記サービス要求の前記フロー量を、前記異常フロー閾値と比較することが、前記サーバにおいて対象とされる全ての前記サービス要求の前記フローサイズを、前記異常フロー閾値と比較することを含み、
前記サーバにおいて対象とされる前記サービス要求の前記一部についての前記フロー分析結果によって示される前記フロー量を、前記異常フロー閾値と比較することが、前記サーバにおいて対象とされる前記サービス要求の前記一部についての前記フロー分析結果によって示される前記フローサイズを、前記異常フロー閾値と比較することを含む、請求項３に記載の方法。
【請求項９】
前記サーバにおいて対象とされる前記サービス要求の前記一部についての前記フロー分析結果によって示される前記フロー量を、前記異常フロー閾値と比較することが、前記サーバにおいて対象とされる前記サービス要求の前記一部についての前記フロー分析結果によって示されるフローコンポーネントに対応するフローサイズを、前記フローコンポーネントに対応する異常フロー閾値と個々に比較することを含み、
前記フロー分析結果によって示される前記フローと、前記現在の分散型ノードの前記重みとに基づいて、前記サーバにおいて対象とされる全ての前記サービス要求の前記フロー量を計算することが、前記フロー分析結果によって示される対象フローコンポーネントに対応するフローサイズと、前記対象フローコンポーネントに対応する前記現在の分散型ノードの重みとに基づいて、前記サーバにおいて対象とされる全ての前記サービス要求の対象フローコンポーネントのフローサイズを個々に計算することを含み、前記対象フローコンポーネントが、前記予め定義された条件を満たさないフローコンポーネントであり、
前記サーバにおいて対象とされる全ての前記サービス要求の前記フロー量を、前記異常フロー閾値と比較することが、前記サーバにおいて対象とされる全ての前記サービス要求の前記対象フローコンポーネントの前記フローサイズを、前記対象フローコンポーネントに対応する前記異常フロー閾値と個々に比較することを含む、請求項３に記載の方法。
【請求項１０】
前記比較結果が前記予め定義された条件を満たす場合に、前記サーバについての前記後続の処理の前記実行命令を送信することが、それぞれの比較結果が前記サーバについての前記予め定義された条件を満たすフローコンポーネント上の、後続の処理の実行命令を送信することを含む、請求項９に記載の方法。
【請求項１１】
前記後続の処理が、フロークリーニング、クリーニングブラックホール、またはフロー分析を含む、請求項１〜３、及び１０のいずれか１項に記載の方法。
【請求項１２】
早期警戒決定ノードであって、前記ノードが、分散型ノードであり、前記ノードが、以下のモジュール、
同一サーバにおいて対象とされるサービス要求の一部のフロー分析結果を取得するために使用される、フロー分析結果取得モジュールと、
前記フロー分析結果によって示されるフロー量、及び現在の分散型ノードの重みに基づいて、前記サーバにおいて対象とされる全ての前記サービス要求のフロー量を計算するために使用される、完全フロー推定モジュールであって、前記重みが、前記現在の分散型ノードによって取得される前記フロー分析結果によって示される前記フロー量を占める、前記サーバにおいて対象とされる全ての前記サービス要求の重みである、前記完全フロー推定モジュールと、
前記サーバにおいて対象とされる全ての前記サービス要求のフロー量を、異常フロー閾値と比較するために使用される、閾値比較モジュールと、
前記サーバ上で後続の処理を実行する命令を送信するかどうかを、比較結果に基づいて判断するために使用される、判断及び制御モジュールと、を備える、前記早期警戒決定ノード。
【請求項１３】
前記閾値比較モジュールが、
前記比較結果が予め定義された条件を満たすときに、前記サーバについての前記後続の処理の前記実行命令を送信するように判断し、
前記比較結果がそれ以外のときに、前記サーバについての前記後続の処理の前記実行命令を送信しないように判断するために使用され、
前記予め定義された条件が、比較される前記フロー量が前記異常フロー閾値よりも大きいことであるか、または、前記予め定義された条件が、比較される前記フロー量が前記異常フロー閾値よりも小さくないことである、請求項１２に記載のノード。
【請求項１４】
前記閾値比較モジュールが、
前記サーバにおいて対象とされる前記サービス要求の前記一部についての前記フロー分析結果によって示されるフロー量を、前記異常フロー閾値と比較し、
比較結果が前記予め定義された条件を満たす場合に、前記サーバについての前記後続の処理の前記実行命令を送信するためにさらに使用され、
前記フロー分析結果によって示される前記フロー量と、前記現在の分散型ノードの前記重みとに基づいて、前記サーバにおいて対象とされる全ての前記サービス要求の前記フロー量を計算することが、前記比較結果が前記予め定義された条件を満たさないという前提で実施される、請求項１２に記載のノード。
【請求項１５】
前記現在の分散型ノードの前記重みを、予め定義された重み調整期間に従って調整するために使用される、重み調整モジュールをさらに備える、請求項１２〜１４のいずれか１項に記載のノード。
【請求項１６】
前記重み調整モジュールが、
各重み調整期間において、他の分散型ノードによって現在の重み調整期間内の時間セグメント範囲内に取得される、前記サーバにおいて対象とされるサービス要求のそれぞれの部分についてのフロー分析結果によって示されるフロー量を判断し、
各重み調整期間において、全ての前記分散型ノードによって前記時間セグメント範囲内に取得される、前記サーバにおいて対象とされる前記サービス要求の前記それぞれの部分についての前記フロー分析結果によって示される前記フロー量に基づいて、前記時間セグメント範囲内に前記サーバにおいて対象とされる全ての前記サービス要求のフロー量を計算し、
各重み調整期間において、前記現在の分散型ノードによって前記時間セグメント範囲内に取得される、前記サーバにおいて対象とされる前記サービス要求の一部についてのフロー分析結果によって示されるフロー量を占める、前記サーバにおいて対象とされる全ての前記サービス要求の前記フロー量の重みに少なくとも基づいて、次の重み調整期間についての前記現在の分散型ノードの重みを調整するために使用される、請求項１５に記載のノード。
【請求項１７】
前記フロー分析結果取得モジュールが、前記同一サーバにおいて対象とされる前記サービス要求の前記一部の前記フロー分析結果を、負荷分散デバイスから取得するために使用される、請求項１２〜１４のいずれか１項に記載のノード。
【請求項１８】
前記ノードが、前記サーバにおいて対象とされる前記サービス要求の前記一部を負荷分散デバイスから取得するために使用される、サービス要求取得モジュールをさらに備え、
前記フロー結果取得モジュールが、前記サービス要求の前記一部のフロー分析を実行して、前記サーバにおいて対象とされる前記サービス要求の前記一部についての前記フロー分析結果を取得するために使用される、請求項１２〜１４のいずれか１項に記載のノード。
【請求項１９】
前記完全フロー推定モジュールが、前記サーバにおいて対象とされる全ての前記サービス要求のフローサイズを、前記フロー分析結果によって示される前記フローサイズと、前記現在の分散型ノードの前記重みとに基づいて計算するために使用され、
前記閾値比較モジュールが、前記サーバにおいて対象とされる前記サービス要求の前記一部についての前記フロー分析結果によって示される前記フローサイズを、前記異常フロー閾値と比較し、前記比較結果が前記予め定義された条件を満たさないときに、前記サーバにおいて対象とされる全ての前記サービス要求の前記フローサイズを前記異常フロー閾値と比較するために使用される、請求項１４に記載のノード。
【請求項２０】
前記閾値比較モジュールが、前記サーバにおいて対象とされる前記サービス要求の前記一部についての前記フロー分析結果によって示されるフローコンポーネントに対応するフローサイズを、前記フローコンポーネントに対応する異常フロー閾値と個々に比較し、複数のフローコンポーネントのフローサイズと、対応する異常フロー閾値との比較結果が、前記予め定義された条件を満たさないときに、前記サーバにおいて対象とされる全ての前記サービス要求の対象フローコンポーネントのフローサイズを、前記対象フローコンポーネントに対応する異常フロー閾値と個々に比較するために使用され、前記対象フローコンポーネントが、前記予め定義された条件を満たさないフローコンポーネントであり、
前記完全フロー推定モジュールが、前記サーバにおいて対象とされる全ての前記サービス要求の対象フローコンポーネントのフローサイズを、前記フロー分析結果によって示される対象フローコンポーネントに対応する前記フローサイズと、前記対象フローコンポーネントに対応する前記現在の分散型ノードの前記重みとに基づいて計算するために使用される、請求項１４に記載のノード。
【請求項２１】
前記命令送信モジュールが、それぞれの比較結果が前記サーバについての前記予め定義された条件を満たすフローコンポーネント上での、後続の処理の実行命令を送信するために使用される、請求項２０に記載のノード。
【請求項２２】
前記後続の処理が、フロークリーニング、クリーニングブラックホール、またはフロー分析を含む、請求項１２、１３、及び２１のいずれか１項に記載の方法。
【請求項２３】
請求項１２〜２２のいずれか１項に記載の複数の早期警戒決定ノードと、複数のフロー分析ノードと、第１の負荷分散デバイスと、第２の負荷分散デバイスと、を備え、
前記第１の負荷分散デバイスが、前記複数のフロー分析ノードのサービス要求を分配するために使用され、
前記フロー分析ノードが、前記サービス要求を受信し、フロー分析結果を前記第２の負荷分散デバイスに報告し、
前記第２の負荷分散デバイスが、前記フロー分析結果を前記複数の早期警戒ノードに分配し、及び割り当てる、早期警戒決定システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、その全体が参照により本明細書に組み込まれる、２０１５年１１月２７日に出願された「Ｅａｒｌｙ−Ｗａｒｎｉｎｇ  Ｄｅｃｉｓｉｏｎ  Ｍｅｔｈｏｄ，  Ｎｏｄｅ  ａｎｄ  Ｓｕｂ−Ｓｙｓｔｅｍ」と題する中国特許出願第２０１５１０８４６４３３．３号の優先権を主張する。
【０００２】
本発明は、分散型サービス拒否（ＤＤｏＳ）の早期警戒の技術分野に関し、詳細には、早期警戒決定方法、ノード、及びサブシステムに関する。
【背景技術】
【０００３】
ＤＤｏＳ攻撃は、通常、大量のネットワークリソースを占拠して、多数のサービス要求を通じてネットワークを麻痺させるという目的を達成する。ＤＤｏＳ攻撃に取り組むために、それに関連するフローを分析することによって、ＤＤｏＳ攻撃が識別され得る。ＤＤｏＳ攻撃を識別すると、攻撃的な、または異常なサービス要求を除去するために、フロークリーニングが行われる。
【０００４】
例として、図１に示されるようなＤＤｏＳ早期警戒システムが、使用される。
【０００５】
アクセスされるコンピュータ室内のサーバの要求データは、インターネットサービスプロバイダ（ＩＳＰ）のネットワークデバイスを通してコンピュータ室のアクセスネットワークデバイス（例えば、ルータ）に到達する。さらに、コンピュータ室のアクセスネットワークデバイスに入るサービス要求は、その全体がＩＳＰのネットワークデバイスからミラーリング手法によって負荷分散デバイスに到達し、負荷分散デバイスを通して種々の分散型フロー分析デバイスに割り当てられる。フロー分析デバイスは、デバイスに割り当てられるサービス要求のフロー分析を周期的に実行する。具体的には、ＩＰアドレスに従って、各フロー分析期間内のサービス要求のコンポーネント及びフローサイズについて、統計が行われる。フロー分析デバイスは、次いで、それぞれのフロー分析結果を決定デバイスに送信し、決定デバイスは、コンピュータ室のサーバに異常が存在するかどうかを、集められたフロー分析結果に基づいて判断する。あるサーバのフローが異常である場合、ＤＤｏＳ攻撃が存在する可能性がある。この場合、クリーニングデバイスは、コンピュータ室のアクセスネットワークデバイスに到達するサービス要求を導くように通知され、サービス要求は、クリーニング完了後にコンピュータ室のアクセスネットワークデバイスに流し戻される。異常なフローがサーバに存在しない場合、処理は行われない。
【０００６】
ＤＤｏＳ攻撃がない場合、サービス要求は、上記処理に基づいて、コンピュータ室のアクセスネットワークデバイスを通してコンピュータ室のサーバに正常に送信される。ＤＤｏＳ攻撃の場合、サービス要求がコンピュータ室のアクセスネットワークデバイスに到達した後、サービス要求は、まず、フローダイレクトによってフロークリーニングデバイスに送信される。フロークリーニング完了後、サービス要求がコンピュータ室のアクセスネットワークデバイスに流し戻され、サービス要求は、次いで、コンピュータ室のサーバに送信される。
【０００７】
既存のＤＤｏＳ早期警戒システムは、ただ１つの決定デバイスを有する。この決定デバイスが、ある理由（例えば、故障の発生）に起因して適切に動作することができないとき、コンピュータ室のネットワーク防御全体が機能しなくなる。したがって、既存のＤＤｏＳ早期警戒システムの信頼性及びセキュリティは、比較的不十分である。
【発明の概要】
【０００８】
本出願の目的は、既存のＤＤｏＳ早期警戒システムの不十分な信頼性及びセキュリティの問題を解決する、早期警戒決定のための方法、ノード、及びサブシステムを提供することである。
【０００９】
本出願の態様によれば、早期警戒決定方法が提供される。早期警戒決定方法は、実施態様についての早期警戒決定を実行する種々の分散型ノードにおいて使用される。方法は、以下の動作、同一サーバにおいて対象とされるサービス要求の一部のフロー分析結果を取得することと、フロー分析結果によって示されるフロー量、及び現在の分散型ノードの重みに基づいて、サーバにおいて対象とされる全てのサービス要求のフロー量を計算することであって、重みが、現在の分散型ノードによって取得されるフロー分析結果によって示されるフロー量を占める、サーバにおいて対象とされる全てのサービス要求の重みである、計算することと、サーバにおいて対象とされる全てのサービス要求のフロー量を、異常フロー閾値と比較することと、サーバ上で後続の処理を実行する命令を送信するかどうかを、比較結果に基づいて判断することと、を含む。
【００１０】
本出願の別の態様によれば、早期警戒決定ノードもまた、提供される。ノードは、分散型ノードである。ノードは、以下のモジュール、同一サーバにおいて対象とされるサービス要求の一部のフロー分析結果を取得するために使用される、フロー分析結果取得モジュールと、フロー分析結果によって示されるフロー量、及び現在の分散型ノードの重みに基づいて、サーバにおいて対象とされる全てのサービス要求のフロー量を計算するために使用される、完全フロー推定モジュールであって、重みが、現在の分散型ノードによって取得されるフロー分析結果によって示されるフロー量を占める、サーバにおいて対象とされる全てのサービス要求の重みである、完全フロー推定モジュールと、サーバにおいて対象とされる全てのサービス要求のフロー量を、異常フロー閾値と比較するために使用される、閾値比較モジュールと、サーバ上で後続の処理を実行する命令を送信するかどうかを、比較結果に基づいて判断するために使用される、判断及び制御モジュールと、を含む。
【００１１】
本出願の別の態様によれば、早期警戒決定システムもまた、提供される。早期警戒決定システムは、上述したような複数の早期警戒決定ノードと、複数のフロー分析ノードと、第１の負荷分散デバイスと、第２の負荷分散デバイスと、を含む。
【００１２】
第１の負荷分散デバイスは、複数のフロー分析ノードのサービス要求を分配するために使用される。
【００１３】
フロー分析ノードは、サービス要求を受信し、フロー分析結果を第２の負荷分散デバイスに報告する。
【００１４】
第２の負荷分散デバイスが、フロー分析結果を複数の早期警戒ノードに分配し、割り当てる。
【００１５】
既存技術と比較して、本出願は、以下の利点を有する。既存のＤＤｏＳ早期警戒システムは、ただ１つの決定デバイスを有する。決定デバイスが、ある理由（例えば、決定デバイスが適切に動作できない故障の発生、もしくは単一の決定デバイスの処理ケイパビリティの制限）に起因して適切に動作できないとき、または決定デバイスが正常に動作できないような、処理される必要があるデータの量が決定デバイスの処理ケイパビリティを超えるとき、コンピュータ室のネットワーク防御全体が機能しなくなる。本出願の実施形態によって提供される解決方法は、分散型フレームワークを使用して早期警戒決定を実行する。早期警戒決定を実行するノードが適切に動作できなくとも、他の正常に動作されるノードが、早期警戒決定を実行することができる。このようにして、ＤＤｏＳ早期警戒システムの信頼性及びセキュリティは、効果的に改善される。さらに、早期警戒決定を実行するための分散型フレームワークを使用することによって、単一の決定デバイスと比較して処理ケイパビリティが極めて改善される。具体的には、早期警戒決定を実行する各分散型ノードは、それについての重みを有しており、この重みが、それぞれの分散型ノードにより取得されるフロー分析結果によって示されるフロー量を占める、関連サーバにおいて対象とされる全てのサービス要求の重みである。さらに、各分散型ノードについて、同一サーバにおいて対象とされる全てのサービス要求のフロー量が、それについての重みと、同一サーバにおいて対象とされるサービス要求の一部のフロー分析結果によって示されるフロー量とに基づいて推定され得る。推定されたフロー量を異常フロー閾値と比較することによって、早期警戒決定が実施され得る。この種の方法を使用して、単一の分散型ノードが、その重みを用いて全てのサービス要求のフロー量を推定することができ、それによって、サービス要求の一部のフロー量が取得されることを前提として早期警戒決定を実施することができる。このように、上述の分散型ノードのそれぞれが、早期警戒決定を実行することができる。早期警戒決定を実行する分散型ノードが、正常に動作することができないときに、早期警戒決定を実行する他の分散型ノードは、依然として正常に動作することができ、よって、ＤＤｏＳ早期警戒システムの信頼性及びセキュリティが改善され、システムの処理ケイパビリティが改善される。
【００１６】
本出願の他の特徴、目的、及び利点は、以下の添付図面と共に、非限定的な実施形態の詳細な説明を読むこと及び参照することによってさらに明らかとなり得る。
【図面の簡単な説明】
【００１７】
【図１】既存技術における、ＤＤｏＳ早期警戒システムの概略図である。
【図２】本出願の実施形態による、方法のフローチャートである。
【図３】本出願の別の実施形態による、ＤＤｏＳ早期警戒システムの概略図である。
【図４】本出願の別の実施形態による、方法のフローチャートである。
【図５】本出願の別の実施形態による、ノードの概略図である。
【発明を実施するための形態】
【００１８】
添付図面中の同一または類似の図面符号は、同一または類似の構成要素を表す。
【００１９】
例示的な実施形態についてさらに詳細に説明する前に、いくつかの例示的な実施形態は、フローチャートに示されるプロセスまたは方法として説明されることに留意すべきである。フローチャートは、種々の動作を順番に説明するが、いくつかの動作は、並行して、一斉に、または同時に実行され得る。さらに、動作の順序は、再配列され得る。プロセスは、その動作が完了するときに終了されてもよく、添付図面に含まれない追加の動作も存在してもよい。プロセスは、方法、関数、手続き、サブルーチン、サブプログラムなどに対応し得る。
【００２０】
文脈における「ノード」及び「負荷分散デバイス」は、一種のコンピューティングデバイスであり、予め定義されたプログラムまたはコマンドを実行することによって、デジタル計算及び／または論理計算などの予め定義された処理手続きを実行するインテリジェント電子デバイスをいい、それは、プロセッサ及び記憶デバイスを含み得る。プロセッサは、記憶デバイスに予め記憶された既存の命令を実行して、予め定義された処理手続きを行う。代替的には、予め定義された処理手続きは、ＡＳＩＣ、ＦＰＧＡ、ＤＳＰなどのハードウェアによって実行され得る。代替的には、これらの２種類が、実装のために組み合わされ得る。
【００２１】
コンピューティングデバイスは、単なる一例であることに留意すべきである。他の既存のコンピューティングデバイス、または将来出現し得るコンピューティングデバイスが、本出願に適用可能であり、本出願の保護の範囲に含まれるべきであり、それは、組み込みによって含まれる。
【００２２】
以下で説明される方法（そのいくつかはフローチャートを通して説明される）は、ハードウェア、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、ハードウェア記述言語、またはこれらの任意の組み合わせを通して実施され得る。ソフトウェア、ファームウェア、ミドルウェア、またはマイクロコードが、実施のために使用されるとき、必要なタスクを実装するために使用されるプログラムコードまたはコードセグメントが、マシンまたはコンピュータ可読媒体（記憶媒体など）に記憶され得る。（１つまたは複数の）プロセッサは、必要なタスクを実行し得る。
【００２３】
本明細書に開示される特定の構造及び機能の詳細は、単なる代表例であり、本出願の例示的な実施形態の目的を説明するために使用される。しかしながら、本出願は、いくつかの代替のやり方によって実施されてもよく、本明細書で説明される実施形態に限定されるように解釈されるべきではない。
【００２４】
モジュールが、他のモジュールと「接続される」、または「連結される」と言われるとき、モジュールは、別のモジュールと直接接続されるか、もしくは連結されてもよく、または中間モジュールが存在してもよいことに留意すべきである。これに対して、モジュールが、別のモジュールと「直接接続される」、または「直接連結される」と言われるとき、中間モジュールは存在しない。モジュール間の関係性を説明するために使用される他の言い回し（例えば、「〜の間に直接」に対する「〜の間に」、「〜に直接隣接する」に対する「〜に隣接する」など）は、同様に解釈されるべきである。
【００２５】
本明細書で使用される用語は、単に特定の実施形態を説明するために使用され、例示的な実施形態を限定するように意図されるものではない。文脈において明示的に示されない限り、本明細書で使用される単数形の「ａ」及び「ｏｎｅ（１つの）」もまた、複数形を含むように意図される。本明細書で使用される「ｉｎｃｌｕｄｅ（含む）」及び／または「ｃｏｎｔａｉｎ（含む）」という用語は、特徴、整数、ステップ、動作、ユニット、及び／またはコンポーネントの存在を定義し、１つまたは複数の他の特徴、整数、ステップ、動作、ユニット、コンポーネント、及び／またはこれらの組み合わせの存在または追加を排除するものではないと、さらに理解されるべきである。
【００２６】
いくつかの代替的な実施態様において説明される機能／動作は、添付図面によって示されるものとは異なる順序に従って発生し得ることに留意すべきである。例えば、関係する機能／動作によっては、２つの連続的な図が、実際に、及び基本的には同時に実行されてもよく、または逆の順序で実行されることがあってもよい。
【００２７】
本出願は、添付図面と併せて、以下でさらに詳細に説明される。
【００２８】
図２は、本出願の実施形態による、早期警戒決定方法のプロセスフローチャートである。
【００２９】
本実施形態の方法は、主に、コンピューティングデバイスを通して実施され、特に、ＤＤｏＳ早期警戒システムにおいて早期警戒決定を実行する種々の分散型ノードにおける使用に適している。ＤＤｏＳ早期警戒システムにおいて、フロー分析デバイスは、サービス要求内のＩＰアドレス（１つのサーバに対応する１つのＩＰアドレス）に基づいて、各ＩＰアドレスのフローのコンポーネント及びフローサイズを分析する。フロー分析デバイスのフロー分析結果は、早期警戒決定を実行する種々の分散型ノードに送信される。当業者は、ＤＤｏＳ早期警戒システムにおいて早期警戒決定を実行するための分散型フレームワークの導入を考え得るが、当業者は、ＤＤｏＳ攻撃の特性に基づいて早期警戒決定を実行するために、サーバにおいて対象とされる全てのサービス要求のフローを取得し、知る必要がある。本出願の実施形態によって提供される技術的解決方法は、早期警戒決定を実行する種々の分散型ノードを使用して、同一サーバにおいて対象とされる全てのサービス要求のフロー量を計算し、それによって、サーバにおいて対象とされるサービス要求の一部について取得されるフロー分析結果によって示されるフロー量と、それについての重みとに基づいて早期警戒決定を実行する。このように、本出願の実施形態によって提供される技術的解決方法では、各分散型ノードが、断片化されたデータに基づいて早期警戒決定を実行することができる。したがって、早期警戒決定を実行する分散型ノードが正常に動作できないときに、他の正常に動作している分散型ノードが、依然として早期警戒決定を実行することができ、それによって、ＤＤｏＳ早期警戒システムの信頼性及びセキュリティが改善される。さらに、複数の分散型ノードの処理ケイパビリティは、単一の決定デバイスの処理ケイパビリティよりも高い。したがって、本出願の実施形態により提供される技術的解決方法によって、さらに、システムの処理ケイパビリティが改善される。
【００３０】
本実施形態による方法は、動作Ｓ１１０〜Ｓ１４０を含む。
【００３１】
Ｓ１１０において、同一サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果が取得される。
【００３２】
任意で、Ｓ１１０において、現在のフロー分析期間内の、同一サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果が取得される。
【００３３】
Ｓ１２０において、サーバにおいて対象とされるサービス要求の全てのフロー量が、フロー分析結果によって示されるフロー量と、現在の分散型ノードの重みとに基づいて計算される。
【００３４】
任意で、Ｓ１２０において、現在のフロー分析期間内の、サーバにおいて対象とされるサービス要求の全てのフロー量が、フロー分析結果によって示されるフロー量と、現在の分散型ノードの重みとに基づいて計算される。
【００３５】
分散型ノードに関連付けられた重みは、少なくとも、分散型ノードにより取得されるフロー分析結果によって示されるフロー量を占める、サーバにおいて対象とされる全てのサービス要求のフロー量の重みである。特に、分散型ノードに関連付けられた重みは、フロー分析期間内に分散型ノードによって取得されるフロー分析結果によって示されるフロー量を占める、サーバにおいて対象とされる全てのサービス要求のフロー量の重みである。分散型ノードによって取得されるフロー分析結果は、サーバにおいて対象とされるサービス要求の一部のフロー分析結果である。
【００３６】
Ｓ１３０において、サーバにおいて対象とされる全てのサービス要求のフロー量が、異常フロー閾値と比較される。
【００３７】
任意で、Ｓ１３０において、現在のフロー分析期間内の、サーバにおいて対象とされる全てのサービス要求のフロー量が、異常フロー閾値と比較される。
【００３８】
本出願の実施形態では、異常フロー閾値は、実際の条件に従って決定される。本出願は、それについての特定の値に対するいかなる限定も有しない。
【００３９】
Ｓ１４０において、サーバについての後続の処理を実行する命令が送信されるかどうかについての判断が、比較結果に基づいて行われる。
【００４０】
本出願の実施形態は、後続の処理に対するいかなる限定も有しない。実施例は、例えば、フロークリーニング、フローブラックホール、またはフロー分析などの後続の処理を含む。
【００４１】
本出願の実施形態において、Ｓ１１０において取得される、同一サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果は、断片化されたデータである。早期警戒決定を実施するために、Ｓ１２０において、サーバにおいて対象とされるサービス要求の全てのフロー量が、フロー分析結果によって示されるフロー量と、現在の分散型ノードの重みとに基づいて計算される。具体的には、Ｓ１３０において、推定されたフロー量が、異常フロー閾値と比較され、Ｓ１４０において、サーバについての後続の処理を実行する命令が送信されるかどうかについての判断が、比較結果に基づいて行われる。それによって、ＤＤｏＳ早期警戒システムの信頼性及びセキュリティが改善され、システムの処理ケイパビリティも、改善される。
【００４２】
当業者は、ＤＤｏＳ早期警戒システムにおいて早期警戒決定を実行するための分散型フレームワークの導入を考え得るが、各分散型ノードによって取得される、アクセスフローの一部のみに関連付けられたフロー分析結果によって示されるフロー（即ち、データ断片化）と断片化されたデータに基づいて早期警戒決定を実行する方法は、当業者によりいかなる創造的努力も行うことなく知られることはできない。
【００４３】
本発明の実施形態では、Ｓ１４０は、具体的には、比較結果が予め定義された条件を満たすときに、サーバについての後続の処理を実行する命令が送信されると判断すること、または、そうでない場合に、サーバについての後続の処理を実行する命令が送信されないと判断することを含んでもよく、予め定義された条件は、比較されるフロー量が異常フロー閾値よりも大きいことであるか、または、予め定義された条件は、比較されるフロー量が異常フロー閾値よりも小さくないことである。
【００４４】
予め定義された条件は、比較されるフロー量が、異常フロー閾値よりも大きいということである。代替的には、予め定義された条件は、比較されるフロー量が、異常フロー閾値よりも小さくないということである。
【００４５】
比較結果が、予め定義された条件を満たさないとき、このことは、ＤＤｏＳ攻撃が存在せず、サーバについての後続の処理を実行する命令が送信される必要がないことを示すことに留意すべきである。
【００４６】
処理効率をさらに改善するために、任意で、Ｓ１１０の後、サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果が、異常フロー閾値と比較される。比較結果が、上述のような予め定義された条件を満たす場合、サーバについての後続の処理のための命令が送信される。これに対応して、Ｓ１２０は、（サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフロー量と、異常フロー閾値との比較についての）比較結果が、予め定義された閾値を満たさないときに実行される。
【００４７】
上記任意の実施態様では、同一サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果が取得された後、このフロー分析結果によって示されるフロー量は、まず、異常フロー閾値と比較される。比較結果が予め定義された閾値を満たす場合、サーバについての後続の処理を実行する命令が直接送信され、プロセスのその後の動作は、もはや実行されない。それによって、処理効率がさらに改善される。
【００４８】
例えば、異常フロー閾値は、１０ＭＢｐｓである。取得される、現在のフロー分析期間内の同一サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフローサイズが、２０ＭＢｐｓである場合、フロー分析結果によって示されるフロー量が異常フロー閾値よりも大きいと判断した後、サーバについての後続の処理を実行する命令が、送信される。取得される、現在のフロー分析期間内の同一サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフローサイズが、８ＭＢｐｓである場合、現在のフロー分析期間内のサーバにおいて対象とされるサービス要求の全てのフロー量が、現在の分散型ノードの重みを用いてさらに推定される必要がある。推定されたフロー量が、異常フロー閾値と比較され、サーバについての後続の処理を実行する命令が送信されるかどうかについての判断が行われる。
【００４９】
上記方法の実施形態のうちのいずれかに基づいて、本出願の実施形態によって提供される方法は、フロー分析デバイスにおいて実施されてもよく、また、独立したデバイスによって実施されてもよい。
【００５０】
独立したデバイスによって実施される場合、負荷分散デバイスは、フロー分析デバイスによって取得されるフロー分析結果を、早期警戒決定を実行する種々の分散型ノードに分配し、送信する。これに対応して、Ｓ１１０において、同一サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果が、負荷分散デバイスから取得される。
【００５１】
フロー分析デバイスによって実施される場合、分散される各フロー分析デバイスが、上述のようにサーバにおいて対象とされるサービス要求の一部を負荷分散デバイスから取得し、サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果、即ち、現在のデバイスによるフロー分析の実行後に取得されるフロー分析結果を取得するために、サービス要求の一部に対してフロー分析を実行する。
【００５２】
上記方法の実施形態のうちのいずれかに基づいて、任意で、本出願の実施形態は、さらに、推定される結果の精度を保証するために、現在の分散型ノードの重みを予め定義された重み調整期間に従って調整する。
【００５３】
本出願の実施形態では、現在の分散型ノードの重みを調整する、いくつかの種類の実施態様が存在する。
【００５４】
任意で、各重み調整期間において、現在の重み調整期間内の時間セグメント範囲内（例えば、重み調整期間が６０秒であり、各フロー分析期間が１秒である場合、各重み調整期間内の最後の２つのフロー分析期間のみ、即ち最後の２秒のみが取られる）に他の分散型ノードによって取得される、サーバにおいて対象とされるサービス要求のそれぞれの部分についてのフロー分析結果によって示されるフロー量が、判断される。各重み調整期間において、全ての分散型ノードによって時間セグメント範囲内に取得される、サーバにおいて対象とされるサービス要求のそれぞれの部分についてのフロー分析結果によって示されるフロー量に基づいて、時間セグメント範囲内にサーバにおいて対象とされる全てのサービス要求のフロー量が、計算される。各重み調整期間において、現在の分散型ノードの重みは、現在の分散型ノードによって時間セグメント範囲内に取得される、サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフロー量を占める、サーバにおいて対象とされる全てのサービス要求のフロー量の重みに少なくとも基づいて、次の重み調整期間について調整される。
【００５５】
例えば、フロー分析期間が１秒であり、重み調整期間が６０秒である場合、重みは、６０秒ごとに調整される。
【００５６】
インタラクションは、他の分散型ノードと行われてもよく、それによって、現在の重み調整期間内の時間セグメント範囲内に早期警戒決定を実行する他の分散型ノードによって取得される、サーバにおいて対象とされるサービス要求のそれぞれの部分についてのフロー分析結果によって示されるフロー量が、判断される。インタラクションは、負荷分散デバイスと行われてもよく、それによって、現在の重み調整期間内の時間セグメント範囲内に早期警戒決定を実行する他の分散型ノードによって取得される、サーバにおいて対象とされるサービス要求のそれぞれの部分についてのフロー分析結果によって示されるフロー量が、判断される。
【００５７】
現在の分散型ノードの重みも、重み調整のための予め定義された重み調整期間に従って、負荷分散デバイスから取得され得ることに留意すべきである。
【００５８】
少なくともフローサイズが、フロー分析結果によって示される。任意で、各フローを形成するコンポーネントのフローサイズが示される。これに対応して、上記方法の実施形態のうちのいずれかに基づいて、早期警戒決定が、フローのコンポーネントに基づいて実行されてもよく、または、早期警戒決定が、フローサイズのみに基づいて実行されてもよい。
【００５９】
早期警戒決定が、フローサイズのみに基づいて実行され得る場合、Ｓ１２０において、サーバにおいて対象とされる全てのサービス要求のフローサイズが、フロー分析結果によって示されるフローサイズと、現在の分散型ノードの重みとに基づいて計算される。これに対応して、Ｓ１３０において、サーバにおいて対象とされる全てのサービス要求のフローサイズが、異常フロー閾値と比較される。サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフローも、異常フロー閾値と比較される場合、サーバにおいて対象とされる全てのサービス要求のフローサイズが、異常フロー閾値と比較される。
【００６０】
フローのコンポーネントに基づいて早期警戒決定が実行され得る場合、及びサーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフローもまた、異常フロー閾値と比較される場合、サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示される、各フローのコンポーネントに対応するフローサイズが、それぞれのフローのコンポーネントに対応する異常フロー閾値と個々に比較される。これに対応して、Ｓ１１０において、サーバにおいて対象とされる全てのサービス要求の対象フローコンポーネントのフローサイズは、フロー分析結果によって示される対象フローコンポーネントに対応するフローサイズと、対象フローコンポーネントに対応する現在の分散型ノードの重みとに基づいて、個々に計算される。Ｓ１３０において、サーバにおいて対象とされる全てのサービス要求の対象フローコンポーネントのフローサイズは、対象フローコンポーネントに対応する異常フロー閾値と個々に比較され、対象フローコンポーネントは、予め定義された条件を満たさないフローコンポーネントである。サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフローが、異常フロー閾値と比較されない場合、これに対応してＳ１１０において、サーバにおいて対象とされる全てのサービス要求のフローコンポーネントのフローサイズが、フロー分析結果によって示されるフローコンポーネントに対応するフローサイズと、フローコンポーネントに対応する現在の分散型ノードの重みとに基づいて個々に計算される。Ｓ１３０において、サーバにおいて対象とされる全てのサービス要求のフローコンポーネントのフローサイズは、フローコンポーネントに対応する異常フロー閾値と個々に比較される。
【００６１】
それに基づいて、任意で、どの比較が用いられるかに関わらず、比較結果が予め定義された条件を満たすとき、サーバについての後続の処理を実行する命令を送信する動作は、サーバについてのフローコンポーネントの後続の処理を実行する命令を送信することを含む。
【００６２】
比較結果が予め定義された条件を満たすとき、特定のフローコンポーネントを区別することなく、サーバについての後続の処理を実行する命令が、また、送信され得ることに留意すべきである。
【００６３】
本出願の実施形態によって提供される方法が、以下のような特定の適用シナリオと併せてさらに詳細に説明される。
【００６４】
電子商取引を行うサーバについてＤＤｏＳ早期警戒決定を実行するためのシステムにおいて、コンピュータ室のサーバは、図３に示されるように、電子商取引サービス要求を処理するために使用される。具体的には、コンピュータ室のサーバに訪れる要求データは、ＩＳＰネットワークデバイスを通してコンピュータ室のアクセスネットワークデバイスに入る。ＩＳＰネットワークデバイスからコンピュータ室のアクセスネットワークデバイスに入るサービス要求は、その全体がミラーリング手法によって第１の負荷分散デバイスに到達することとなる。第１の負荷分散デバイスは、サービス要求を種々の分散型フロー分析デバイスに割り当て、分配する。サービス要求は、対象サーバのＩＰアドレス、及びアクセス時間を含む。フロー分析デバイスは、ＩＰアドレス及びアクセス時間に基づいて、同一サーバにおいて対象とされるフローコンポーネント、及び１秒毎のフローコンポーネントのサイズについての統計を行う。例えば、フロー分析デバイスＡは、受信されるサービス要求に対する分析を行い、ＩＰアドレスがサーバＢ、及びアクセス時間が１８時１０分２０秒であるアクセス要求の取得されるフローサイズは、２０ＭＢｐｓと表され、また、３つのフローコンポーネントａ、ｂ、及びｃに分割され得る。フローコンポーネントａに対応するフローサイズは、１０ＭＢｐｓであり、フローコンポーネントｂに対応するフローサイズは、８ＭＢｐｓであり、フローコンポーネントｃに対応するフローサイズは、２ＭＢｐｓである。フロー分析デバイスは、それぞれのフロー分析結果を第２の負荷分散デバイスに送信する。第２の負荷分散デバイスは、受信されたフロー分析結果を、早期警戒決定を実行する種々の分散型ノードに割り当て、分配する。フロー分析結果は、フローコンポーネント及び対応するフローサイズを含み、対象サーバ（複数可）のＩＰアドレス（複数可）及びアクセス時間（複数可）をさらに含む。例えば、負荷分散デバイスは、同一のＩＰアドレス及び同一のアクセス時間を有する１００個のフロー分析結果を受信し、早期警戒決定を実行する分散型ノードの数は、５０である。したがって、これらの１００個のフロー分析結果は、これら５０の分散型ノードにも割り当てられる。ある分散型ノードが、正常に動作できないとき、第２の負荷分散デバイスは、いかなるフロー分析結果もその分散型ノードに割り当てることはなく、正常に動作している分散型ノードにフロー分析結果を均等に割り当てることに留意すべきである。
【００６５】
図４に示されるように、早期警戒決定を実行する分散型ノードは、以下の動作を実行する。
【００６６】
Ｓ２１０：１秒以内に同一サーバにおいて対象とされるサービス要求の一部のフロー分析結果が、取得される。
【００６７】
フロー分析結果は、サーバのＩＰアドレス及びアクセス時間、ならびにフローコンポーネントのフローサイズを含む。
【００６８】
例えば、１８時１０分２０秒にサーバＢにアクセスするフローコンポーネントの数は３つである。フローコンポーネントａに対応するフローサイズは、１０ＭＢｐｓであり、フローコンポーネントｂに対応するフローサイズは、８ＭＢｐｓであり、フローコンポーネントｃに対応するフローサイズは、２ＭＢｐｓである。
【００６９】
Ｓ２２０：各フローコンポーネントのフローサイズが、それぞれのフローコンポーネントに対応する異常フロー閾値と個々に比較される。Ｓ２３０は、比較結果が予め定義された条件を満たさないフローコンポーネントについて実行される。Ｓ２５０は、比較結果が予め定義された条件を満たすフローコンポーネントについて実行される。
【００７０】
フローコンポーネントの数は制限され、予め知られ得るため、各フローコンポーネントに対応する異常フロー閾値は、予め決定され得る。
【００７１】
例えば、全部で５種類のフローコンポーネントが、予め知られている。フローコンポーネントａに対応する異常フロー閾値は、８ＭＢｐｓである。フローコンポーネントｂに対応する異常フロー閾値は、２０ＭＢｐｓである。フローコンポーネントｃに対応する異常フロー閾値は、２ＭＢｐｓである。他の２つのコンポーネントは、本出願の実施形態に関係しないため、説明されない。
【００７２】
Ｓ２３０：それぞれの比較結果が予め定義された条件を満たさないフローコンポーネントに対応するフローサイズと、現在の分散型ノードの対応する重みとに基づいて、サーバにおいて対象とされる全てのサービス要求に関連付けられる（それぞれの比較結果が、上述のように１秒以内に予め定義された条件を満たさない）フローコンポーネントのフローサイズが、個々に推定される。
【００７３】
例えば、予め定義された条件は、フローサイズが異常フロー閾値より小さくないことである。したがって、フローコンポーネントｂのフローサイズ（８ＭＢｐｓ）と、フローコンポーネントｂに対応する現在の分散型ノードの重み（０．５）とに基づくと、上述のように１秒以内にサーバにおいて対象とされる全てのサービス要求におけるフローコンポーネントｂのフローサイズは、１６ＭＢｐｓである。
【００７４】
Ｓ２４０：推定されたフローサイズは、フローコンポーネントに対応する異常フロー閾値と比較される。予め定義された条件を満たさないそれぞれの比較結果を有するコンポーネントに対しては、処理が実行されない。Ｓ２５０は、予め定義された条件を満たすそれぞれの比較結果を有するコンポーネントに対して実行される。
【００７５】
Ｓ２５０：サーバについて予め定義された条件を満たすそれぞれの比較結果を有するコンポーネントをクリーニングする命令が、送信される。
【００７６】
言い換えると、サーバＢについてのフローコンポーネントａ及びｃをクリーニングする命令が送信される。
【００７７】
命令受信後、クリーニングデバイスは、コンピュータ室のアクセスネットワークデバイスに到達するサービス要求のクリーニングを実行し、フローコンポーネントｂのサービス要求（通常の電子商取引サービス要求）を保持しつつ、フローコンポーネントａ及びｃのサービス要求をフィルタリング除去し、クリーニングされたサービス要求をコンピュータ室のアクセスネットワークデバイスに戻す。
【００７８】
コンピュータ室のアクセスネットワークデバイスは、ＩＰアドレスに従って、コンピュータ室の対応するサーバにサービス要求を送信する。
【００７９】
上記プロセスでは、説明のため、フロー分析期間の例として１秒が使用されている。フロー分析期間の長さは、現実の適用では実際の必要に応じて設定され得ることに留意すべきである。
【００８０】
上記プロセスでは、負荷分散デバイスは、フロー分析結果を種々の正常動作している分散型ノードに均等に割り当て、分配する。負荷分散デバイスは、現実の適用ではフロー分析結果の割り当て及び分配を実行するための異なる方針を用いて構成され得ることに留意すべきである。
【００８１】
図５は、本出願の実施形態による、早期警戒決定ノード５である。ノード５は、分散型ノードであり、以下のモジュール、
同一サーバにおいて対象とされるサービス要求の一部のフロー分析結果を取得するために使用される、フロー分析結果取得モジュール５０１と、
フロー分析結果によって示されるフロー量、及び現在の分散型ノードの重みに基づいて、サーバにおいて対象とされる全てのサービス要求のフローを計算するために使用される、完全フロー推定モジュール５０２であって、重みが、現在の分散型ノードによって取得されるフロー分析結果によって示されるフローを占める、サーバにおいて対象とされる全てのサービス要求の重みである、完全フロー推定モジュール５０２と、
サーバにおいて対象とされる全てのサービス要求のフローを、異常フロー閾値と比較するために使用される、閾値比較モジュール５０３と、
サーバ上で後続の処理を実行する命令を送信するかどうかを、比較結果に基づいて判断するために使用される、判断及び制御モジュール５０４と、を含む。
【００８２】
任意で、閾値比較モジュールは、比較結果が予め定義された条件を満たすときに、サーバについての後続の処理を実行する命令が送信されると判断し、またはそうでない場合に、サーバについての後続の処理を実行する命令が送信されないと判断するためにさらに使用され、予め定義された条件は、比較されるフローが異常フロー閾値よりも大きいことであるか、または、予め定義された条件は、比較されるフローが異常フロー閾値よりも小さくないことである。
【００８３】
任意で、閾値比較モジュールが、サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフローを、異常フロー閾値と比較し、フロー分析結果によって示されるフローと、現在の分散型ノードの前記重みとに基づいて、サーバにおいて対象とされる全てのサービス要求のフローを計算することが、比較結果が予め定義された条件を満たさないことに応じて実施される、
【００８４】
任意で、重み調整モジュールがさらに含まれ、重み調整モジュールは、現在の分散型ノードの重みを、予め定義された重み調整期間に従って調整するために使用される。
【００８５】
任意で、重み調整モジュールは、
各重み調整期間において、他の分散型ノードによって現在の重み調整期間内の時間セグメント範囲内に取得される、サーバにおいて対象とされるサービス要求のそれぞれの部分についてのフロー分析結果によって示されるフローを判断し、
各重み調整期間において、全ての分散型ノードによって時間セグメント範囲内に取得される、サーバにおいて対象とされるサービス要求のそれぞれの部分についてのフロー分析結果によって示されるフローに基づいて、時間セグメント範囲内にサーバにおいて対象とされる全てのサービス要求のフローを計算し、
各重み調整期間において、現在の分散型ノードによって時間セグメント範囲内に取得される、サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフローを占める、サーバにおいて対象とされる全てのサービス要求のフローの重みに少なくとも基づいて、次の重み調整期間についての現在の分散型ノードの重みを調整するために使用される。
【００８６】
任意で、フロー分析結果取得モジュールは、同一サーバにおいて対象とされるサービス要求の一部のフロー分析結果を、負荷分散デバイスから取得するために使用される。
【００８７】
任意で、ノードは、サービス要求取得モジュールをさらに含み、サービス要求取得モジュールは、サーバにおいて対象とされるサービス要求の一部を、負荷分散デバイスから取得するために使用される。
【００８８】
フロー結果取得モジュールは、サービス要求の一部のフロー分析を実行して、サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果を取得するために使用される。
【００８９】
任意で、完全フロー推定モジュールは、サーバにおいて対象とされる全てのサービス要求のフローサイズを、フロー分析結果によって示されるフローサイズと、現在の分散型ノードの重みとに基づいて計算するために使用される。
【００９０】
閾値比較モジュールは、サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフローサイズを、異常フロー閾値と比較し、比較結果が予め定義された条件を満たさないときに、サーバにおいて対象とされる全てのサービス要求のフローサイズを異常フロー閾値と比較するために使用される。
【００９１】
任意で、閾値比較モジュールは、サーバにおいて対象とされるサービス要求の一部についてのフロー分析結果によって示されるフローコンポーネントに対応するフローサイズを、フローコンポーネントに対応する異常フロー閾値と個々に比較し、いくつかのフローコンポーネント（複数可）に対応するフローサイズ（複数可）と、対応する異常フロー閾値（複数可）との比較結果（複数可）が、予め定義された条件を満たさないことに応じて、サーバにおいて対象とされる全てのサービス要求の対象フローコンポーネント（複数可）のフローサイズ（複数可）を、対象フローコンポーネント（複数可）に対応する異常フロー閾値（複数可）と個々に比較するために使用され、対象フローコンポーネント（複数可）は、予め定義された条件を満たさないフローコンポーネント（複数可）である。
【００９２】
完全フロー推定モジュールは、サーバにおいて対象とされる全てのサービス要求の対象フローコンポーネント（複数可）のフローサイズ（複数可）を、フロー分析結果によって示される対象フローコンポーネント（複数可）のフローサイズ（複数可）と、対象フローコンポーネント（複数可）に対応する現在の分散型ノードの重み（複数可）とに基づいて、個々に計算するために使用される。
【００９３】
任意で、命令送信モジュールは、それぞれの比較結果がサーバについての予め定義された条件を満たすフローコンポーネント上での、後続の処理の実行命令を送信するために使用される。
【００９４】
上記ノードの実施形態のうちのいずれかに基づいて、任意で、後続の処理は、フロークリーニング、フローブラックホール、またはフロー分析を含む。
【００９５】
本出願の実施形態は、早期警戒決定システムをさらに提供する。システムは、上述のような早期警戒決定を行う複数のノードを含む。
【００９６】
任意で、複数のフロー分析ノードと、第１の負荷分散デバイスと、第２の負荷分散デバイスとが、さらに含まれる。
【００９７】
第１の負荷分散デバイスは、サービス要求を複数のフロー分析ノードに分配するために使用される。
【００９８】
フロー分析ノードは、サービス要求を受信し、フロー分析結果を第２の負荷分散デバイスに報告する。
【００９９】
第２の負荷分散デバイスは、フロー分析結果を複数の早期警戒決定ノードに分配する。
【０１００】
本出願が、ソフトウェア、ならびに／またはソフトウェア及びハードウェアの組み合わせで実施され得ることに留意すべきである。例えば、本出願の種々の装置は、特定用途向け集積回路（ＡＳＩＣ）、または任意の他の類似のハードウェアを使用して実施され得る。実施形態において、本出願のソフトウェアプログラムは、前述の文書において説明されるような動作または機能を、プロセッサ（複数可）を通して実施することができる。同様に、本出願の（関連するデータ構造（複数可）を含む）ソフトウェアプログラムは、ＲＡＭ記憶デバイス、磁気もしくは光ドライブ、フロッピーディスク、または類似のデバイスなどの、コンピュータ可読記録媒体に記憶され得る。さらに、本出願のいくつかの動作または機能が、ハードウェア、例えば、種々の動作または機能を実行するプロセッサと協調される回路によって実施され得る。
【０１０１】
当業者には、本出願が、前述の例示的な実施形態の詳細に限定されないことは明らかである。本出願は、本出願の思想または基本的特徴を逸脱することなく、他の形態で実施され得る。したがって、いずれの観点にも関わらず、実施形態は、例示的なものとして見られるべきであり、限定するものではない。本出願の範囲は、上記説明ではなく添付の特許請求の範囲によって定義される。したがって、特許請求の範囲の均等な要素の意味及び範囲に入る全ての修正物は、本出願によって包含されるように意図される。特許請求の範囲の任意の図面符号は、関係する特許請求の範囲を限定するものとして扱われるべきでない。さらに、「ｉｎｃｌｕｄｅ（含む）」という用語は、他のユニットまたは動作を明らかに除外せず、単数形は、複数形を除外しない。システムクレームに記載されるユニットまたは装置は、ソフトウェアまたはハードウェアを通して単一のユニットまたは装置によって、実施され得る。「第１の」及び「第２の」などの用語は、名前を表すために使用され、いかなる特定の順序も示していない。
【０１０２】
例示的な実施形態が、上記において具体的に示され、説明されたが、当業者であれば、特許請求の範囲の思想及び範囲を逸脱することなく、変更が、その形態及び詳細において存在し得ると理解すべきである。
【図１】
2018535612.tif 000003
【図２】
2018535612.tif 000004
【図３】
2018535612.tif 000005
【図４】
2018535612.tif 000006
【図５】
2018535612.tif 000007
【国際調査報告】
2018535612.tif 000008
2018535612.tif 000009
2018535612.tif 000010
2018535612.tif 000011