"フローキーsrcIP,dstIP,srcPort,dstPort,Protocolの5つ組みを同じくするパケット群をフローと定義し、フロー毎の状態を管理するネットワーク装置において必要となるフローエントリ数を見積もるための同時フロー数変動量推定方法であって、フロー管理手段が、ネットワーク内を通過する、フローキーisrcIP,dstIP,srcPort,dstPort,Protocol,フローiの開始時刻Tfirstiと終了時刻Tlasti、及び、それらから計算されるフロー持続時間diTlastiTfirstiを含むフローiの情報を、予め定めた測定期間Tの間、N本収集し、記憶手段に格納するフロー収集ステップと、フロー統計情報収集手段が、前記フロー収集ステップで収集されたN本のdi0となるフローについて、フロー持続時間の平均をavgdΣdiNにより求め、前記記憶手段に格納されている前記フローの中から、ランダムに2つのフローiとjを選択し、Hminminとする処理を、これを予め定めた回数M回実施し、m番目の試行におけるHminの値をHminとし、その平均を、avgHminΣHminMにより計算する平均算出ステップと、前記フロー統計情報収集手段が、前記記憶手段に格納されている前記フロー情報を用いて、srcIPx毎の発生フロー数に関する統計情報を求め、単位時間当たりの到着srcIP数Aを、ANTEにより求める統計情報算出ステップと、同時フロー数分散推定手段が、同時フロー数の分散VarLを、VarLA××avgHminA×E×avgdにより、算出する同時フロー数分散推定ステップと、を行い、前記統計情報算出ステップにおいて、前記測定期間Tを、該Tより小さい測定周期τで分割し区間がTτL個生成される、k番目の測定区間における、srcIPxからの発生フロー数をFとし、該発生フロー数Fを用いて、あるsrcIPから生成されるフロー数の平均Eと分散Vを計算することを特徴とする同時フロー数変動量推定方法。前記統計情報算出ステップにおいて、前記フロー数の平均Eと分散Vを計算する際に、出現srcIPの集合をwsとしたとき、x∈wsかつk∈1Lに対し収集された発生フロー数Fのうち、F0を満たすものだけを抽出し、抽出されたFの数をLWとし、前記平均Eを、EΣFLW,VΣF2LWE2により計算することを特徴とする請求項1記載の同時フロー数変動量推定方法。前記統計情報算出ステップにおいて、将来の単位時間当たりの到着srcIP数Aが、予め定めたAになると仮定したときの、同時フロー数の分散をVarLA××avgHminA×E×avgdにより求めることを特徴とする請求項1記載の同時フロー数変動量推定方法。前記同時フロー数分散推定ステップにおいて、前記同時フロー数の分散を推定する際に、推定に用いるフロー情報のうち、宛先ポート番号が特定の番号スキャンなどの異常トラヒックに多く見られるポート番号であるフローを除外してから、分散の推定を行うことを特徴とする請求項1または3記載の同時フロー数変動量推定方法。前記同時フロー数分散推定ステップにおいて、前記フロー情報の収集対象となるユーザ数をZとして、仮に収容ユーザ数をZとしたときの同時フロー数の分散を、VarLAZ×Z××avgHminAZ×Z×E×avgdにより求めることを特徴とする請求項1記載の同時フロー数変動量推定方法。前記フロー情報収集ステップにおいて、前記測定期間Tよりも短い測定期間Tにおいてフロー情報を収集し、前記平均算出ステップにおいて、前記平均avgdとavgHminを用いてαavgHminavgdを計算し、前記統計情報算出ステップにおいて、前記フロー情報を用いて、srcIPx毎の発生フロー数に関する統計情報を求め、前記測定期間Tにおける同時フロー数の平均avgLを収集フロー情報より算出し、前記同時フロー数分散推定ステップにおいて、前記同時フロー数の分散VarLをVarLA××avgL×αavgLにより推定し、前記統計情報算出ステップにおいて、前記測定期間Tを、Tより小さい測定周期τで分割し区間がTτL個生成される、k番目の測定区間における、srcIPxからの発生フロー数をFし、該発生フロー数Fを用いて、あるsrcIPから生成されるフロー数の平均Eと分散Vを計算し、単位時間当たりの到着srcIP数Aを、A=NTEにより計算する請求項1記載の同時フロー数変動量推定方法。フローキーsrcIP,dstIP,srcPort,dstPort,Protocolの5つ組みを同じくするパケット群をフローと定義し、フロー毎の状態を管理するネットワーク装置において必要となるフローエントリ数を見積もるための同時フロー数変動量推定装置であって、ネットワーク内を通過する、フローキーisrcIP,dstIP,srcPort,dstPort,Protocol,フローiの開始時刻Tfirstiと終了時刻Tlasti、及び、それらから計算されるフロー持続時間diTlastiTfirstiを含むフローiの情報を、予め定めた測定期間Tの間、N本収集し、記憶手段に格納するフロー管理手段と、前記フロー管理手段で収集されたN本のdi0となるフローについて、フロー持続時間の平均をavgdΣdiNにより求め、前記記憶手段に格納されている前記フローの中から、ランダムに2つのフローiとjを選択し、Hminminとする処理を、これを予め定めた回数M回実施し、m番目の試行におけるHminの値をHminとし、その平均を、avgHminΣHminMにより計算する平均算出手段と、前記記憶手段に格納されている前記フロー情報を用いて、srcIPx毎の発生フロー数に関する統計情報を求め、単位時間当たりの到着srcIP数Aを、ANTEにより求めるフロー統計情報収集手段と、同時フロー数の分散VarLを、VarLA××avgHminA×E×avgdにより、算出する同時フロー数分散推定手段と、を有し、前記統計情報算出手段は、前記測定期間Tを、該Tより小さい測定周期τで分割し区間がTτL個生成される、k番目の測定区間における、srcIPxからの発生フロー数をFとし、該発生フロー数Fを用いて、あるsrcIPから生成されるフロー数の平均Eと分散Vを計算する手段を含むことを特徴とする同時フロー数変動量推定装置。しかしながら、上記の非特許文献5~7においては、1ホスト当りの生成フロー数分布に関する報告、あるいは、その結果、全ホストを多重したときに平均して1ホスト当り何フロー生成しているかといった分析を行っているだけである。一方、フロー管理テーブルのサイズを設計するには、複数のホストを多重していったときに、フローテーブルにおけるエントリ数同時フロー数の変動量、つまり分散がどのようになるかを把握する必要がある。例えば、ホストを多重したときの同時フロー数の平均が100本であったとしても、その分散が100なのか10000なのかで必要となるフローテーブルサイズは大きく異なるからである。分散が100の場合、標準偏差はその平方根である10となり、例えば、同時フロー数の変動を考慮して、平均3×標準偏差=130エントリ分のテーブルを用意すれば、同時フロー数が正規分布に従う場合にはエントリ成功率は9987とできる。一方、分散が10000の場合には、同じ成功率を達成するためには、平均3×標準偏差=400エントリ用意する必要がある。以上のように、同時フロー数の変動量分散を正しく見積もる必要があるという課題があった。本発明の目的は、上述の問題点に鑑み、ネットワーク内で測定可能な統計量を用いて、フロー状態を管理するネットワーク装置内にて必要となるフローテーブルのサイズを決定するための、同時フロー数の変動量分散を推定するための同時フロー数変動量推定方法及び装置を提供することにある。本発明の第1の方法においては、srcIP,dstIP,srcPort,dstPort,Protocolの5つ組みを同じくするパケット群をフローと定義し、フロー毎の状態を管理するネットワーク装置において必要となるフローエントリ数を見積もるために、ネットワーク内を通過するフローiの情報を、予め定めた測定期間Tの間、収集して記憶手段に格納する。ここで、フローiの情報とは、フローキーisrcIP,dstIP,srcPort,dstPort,Protocol、フローiの開始時刻Tfirstiと終了時刻Tlasti、およびそれらから計算されるフロー持続時間diTlastiTfirstiとなる。ここでdi0となるフローがN本収集されたとし、フロー持続時間の平均をavgdΣdiNとする。これら収集されたフローの中から、ランダムに2つのフローiとjを選択し、Hminminとし、これを予め定めた回数M回実施する。m番目の試行におけるHminの値をHminとし、その平均avgHminΣHminMにより計算する。次に、フロー情報を用いて、srcIPx毎の発生フロー数に関する統計情報を求める。具体的には、まず、測定期間Tを、Tより小さい測定周期τで分割し区間がTτL個生成される、k番目の測定区間における、srcIPxからの発生フロー数をFとする。Fを用いて、あるsrcIPから生成されるフロー数の平均Eと分散Vを計算する。そして、単位時間当たりの到着srcIP数Aを、A=NTEにより計算する。以上の準備の下、同時フロー数の分散VarLを以下の式で算出することを特徴とする。VarLA××avgHminA×E×avgd1本発明の第2の方法においては、第1の方法におけるEとVを計算する方法として、出現srcIPの集合をwsとしたとき、x∈wsかつk∈1Lに対し収集されたFのうち、F0を満たすものだけを抽出する。そして抽出されたFの数をLWとし、EΣFLW,VΣF2LWE2により計算することを特徴とする。本発明の第3の方法においては、第1の方法では、収集フロー情報からAを計算していたのに対して、将来時点でのAが予め定めたAになると仮定したときの、同時フロー数の分散をVarLA××avgHminA×E×avgdにより見積もることを特徴とする。本発明の第4の方法においては、第1または3の方法で、同時フロー数の分散を推定する際に、推定に用いるフロー情報のうち、宛先ポート番号が特定の番号スキャンなどの異常トラヒックに多く見られるポート番号であるフローを除外してから、分散の推定を行うことを特徴とする。本発明の第5の方法においては、第1の方法では、収集フロー情報からAを計算していたのに対して、フロー情報の収集対象となるユーザ数をZとして、仮に収容ユーザ数をZとしたときの同時フロー数の分散をVarLAZ×Z××avgHminAZ×Z×E×avgdにより見積もることを特徴とする。本発明の第6の方法においては、第1の方法におけるavgdとavgHminを用いてαavgHminavgdを計算しておき、別途、第1の方法における測定期間Tよりも短い測定期間Tにおいて収集されたフロー情報があったとする。このとき、該フロー情報を用いて、srcIPx毎の発生フロー数に関する統計情報を求める。具体的には、まず、測定期間Tを、Tより小さい測定周期τで分割し区間がTτL個生成される、k番目の測定区間における、srcIPxからの発生フロー数をFとする。Fを用いて、あるsrcIPから生成されるフロー数の平均Eと分散Vを計算する。また、単位時間当たりの到着srcIP数Aを、A=NTEにより計算する。また、測定期間Tにおける同時フロー数の平均avgLを収集フロー情報より算出しておく。以上の準備の元、同時フロー数の分散VarLを以下の式で推定することを特徴とする。VarLA××avgL×αavgL以上説明したように、本発明によれば、ネットワーク内で測定可能な統計量を用いて、フロー状態を管理するネットワーク装置内にて必要となるフローテーブルのサイズを決定するための、同時フロー数の変動量分散を推定することが可能になる。以下図面と共に、本発明の実施の形態を説明する。第1の実施の形態図3は本発明が適用されるIPネットワークの基本構成図であり、その一例を示す。図3に示すように本推定装置10はノード1,2間のリンクに挿入される形態で利用される。あるいは、ノードスイッチやルータにおいて、パケットをポートへミラーして、そのポートの先に本推定装置を設置してもよい。あるいは、パケットを図3の構成で一旦キャプチャしておき、後処理でパケットを先頭から読み出して本実施の形態に記載の手順以下に記載を実施してもよい。図4は、本発明の第1の実施の形態における推定装置の構成を示す。同図に示す推定装置10は、前述の第1の方法で同時フロー数の分散を推定し、さらに第2の方法でその推定に必要となるホスト当りの発生フロー数の平均と分散を計算する装置であり、パケット解析部11、フロー管理部12、フロー統計情報収集部13、同時フロー数分散推定部14から構成される。また、当該推定装置のフロー管理テーブル管理の動作のフローを図5に示す。図4において、前段ノード1からパケットが到着したら、パケット解析部11において、そのパケットのフローキー=srcIPi,dstIPi,srcPorti,dstPorti,Protocoliを読み出し、フロー管理部12にフローキーを通知する。その後、パケットを後段ノード2に転送する図5のステップ101。フロー管理部12では、フロー管理テーブル図示せずを内部または外部に用意し、そのテーブルでは、フローキーi=srcIPi,dstIPi,srcPorti,dstPorti,Protocoli、および最初ならびに最後にパケットが到着した時刻Tfirsti,Tlasti,の2つを記憶しておく。該パケットのフローキーi=srcIPi,dstIPi,srcPorti,dstPorti,Protocoliが、フロー管理テーブルに既にエントリされているかチェックする図5のステップ102。新規であれば、パケットがTCPかつFINまたはRSTにフラグが立っていたら図5のステップ103何もしない。FINかつRSTでなければ、フロー管理テーブルに新規にエントリして、Tfirsti←Tnow、Tlasti←Tnowに設定する図5のステップ104。既出と判定されたら図5のステップ102、Yes、パケットがTCPかつFINまたはRSTにフラグが立っているかチェックする図5のステップ105。もしフラグが立っていれば図5のステップ105、Yes、Tlasti←Tnowと更新してから、該フローの情報つまり、フローキーiと、Tfirsti,Tlastiをフロー統計情報収集部に出力し、フロー管理テーブルから該情報を削除する図5のステップ106。もし、フラグが立っていなければ図5のステップ105、No、現在の時刻Tnowと、Tlastiに予め定めたタイマー値Toutを足したものTlastiToutを比較する図5のステップ107。もしTnowの方が大きければ図5のステップ107、Yes、フロー管理テーブルのTlastiをTlastiToutに更新してから、該フローの情報つまり、フローキーiと、Tfirsti,Tlastiをフロー統計情報収集部13に出力し、フロー管理テーブルから該情報を削除する図5のステップ108。フロー管理部12は、以上を測定期間Tの間実施する。測定期間終了時点でフロー管理テーブルに残っているフロー情報はフロー統計情報収集部13に出力する。ただし、このときのTlastiは,TlastiTout0となるフローがN本収集されたとし、フロー持続時間の平均をavgdΣdiNとする。これら収集されたフローの中から、ランダムに2つのフローiとjを選択し、Hminminとし、これを予め定めた回数M回実施する。m番目の試行におけるHminの値をHminとし、その平均を、avgHminΣHminMにより計算し、メモリ図示せずに格納する。次に、フロー統計情報収集部13は、フロー情報を用いて、srcIPx毎の発生フロー数に関する統計情報を求める。具体的には、まず、測定期間Tを、Tより小さい測定周期τで分割し区間がTτL個生成される、k番目の測定区間における、srcIPxからの発生フロー数をFとする。同時フロー数分散推定部14は、当該フロー数Fを用いて、あるsrcIPから生成されるフロー数の平均Eと分散Vを計算する。そして、単位時間当たりの到着srcIP数Aを、A=NTEにより計算する。以上の準備の下、同時フロー数分散推定部14は、同時フロー数の分散VarLを以下の式で算出する。VarLA××avgHminA×E×avgdここで上記数式について説明する。そのために、図6の実験結果についてまず説明する。これは本発明者らによる先行研究文献1:RKawaharaTMoriTYadaAnalysisofimpactoftrafficonlargescaleNATIEICETechnicalReportvol110no224IN201078pp7580Oct2010における結果である。図6のグラフのうち、Poissonというラインは、フローの発生が、ポアソン過程と呼ばれるトラヒック理論でよく用いられる確率過程に従うと仮定して、同時フロー数の標準偏差=分散の平方根を見積もった結果である。それに対して、図中のdatasetA、datasetBは、あるインターネットトラヒックの実測データを用いて、同時フロー数の平均と標準偏差をプロットした値である。これより、ポアソンを仮定したラインと、実測値の結果は大きくずれていることが分かる。単位時間当たりの到着フロー数をλ、フローの持続時間Hの平均をEHと置くと、同時フロー数Lの平均ELは、ELλ×EHで与えられる。これはフローの発生がポアソンかどうかに依らず成立し、リトルの公式と呼ばれる文献2:滝根,伊藤,西尾,ネットワーク設計理論,岩波講座参照。一方、フローの発生がポアソンに従う場合、待ち行列モデルにおけるMG∞を適用すると系内滞在客数つまり同時フロー数の分散VarLは、VarLELとなる。つまり、標準偏差はsqrtとなる。従って、図6のPoissonのラインは、ysqrtのラインということになる。図6のように、実測値が理論値と大きく乖離する理由の一つとして、フローがポアソン過程に従わず、同時に複数のフローが発生することが考えられる。実際、前述の非特許文献2では、最近のアプリケーションが同時に何十本ものフローを生成することを指摘している。そこで本発明では、フローの集団到着モデルを考える。具体的には、MxG∞という集団到着モデルの適用を考える。この場合、各ホストがポアソンで到着し、ホスト到着時に同時に複数のフローが発生するモデルとなる。このとき、同時フロー数の分散VarLは、次式で計算される文献3:JKeilsonandASeidmannMG∞withbatcharrivalsOperationsResearchLettersOct1988参照。VarLλEKEminEL2ここで、Kはあるホストが到着した際に生成するフロー数、H1,H2はフローの持続時間、を表す確率変数である。本発明においては、この式の、EK,Eminをネットワークで測定可能な統計量から決定している。具体的には、収集されたフロー情報から、フローiの持続時間diを計算し、これらフローの中から、ランダムに2つのフローiとjを選択し、Hminminとし、これを予め定めた回数M回実施する。m番目の試行におけるHminの値をHminとし、その平均をavgHminΣHminMにより計算する。そして上記の数式におけるEminを、avgHminにより推定する。次に、測定期間Tを、Tより小さい測定周期τで分割し区間がTτL個生成される、k番目の測定区間における、srcIPxからの発生フロー数をFとし、Fを用いて、あるsrcIPから生成されるフロー数の平均Eと分散Vを計算する。そして数式におけるEKをEとVを用いて、VE2Eにより推定する。これは、EKEK2EKVarKEK2EKとなるからである。数式におけるELは、リトルの公式ELλ×EHより、到着ホスト数の平均Aにホスト到着当りの発生フロー数の平均EをかけたものA×Eを到着フロー数λの推定値とし、それと持続時間の平均davgを用いて、A×E×davgによりELを推定している。第2の実施の形態第1の実施の形態では、図3のように、ノード1,2間に挿入する形で本推定装置を構成したが、図7に示すように、ネットワーク内の各ルータ3からフロー情報を出力させて、それを収集する形態でもよい。なお、推定装置の構成自体は、図4と同様であり、推定装置の処理も第1の実施の形態と略同様であるが、一般的なルータのフロー出力機能においてはフロー持続時間di0となるフロー例えば、1パケットだけからなるフローで、そのパケットがTCPのFINまたはRSTが付与されているも存在するため、di0となるフローのみを対象とする必要がある。[第3の実施の形態]本実施の形態における推定装置の構成は図4と同様である。第1の実施の形態における平均Eと分散Vを計算する方法として、本実施の形態では、同時フロー数分散推定部14において、出現srcIPの集合をwsとしたとき、x∈wsかつk∈1Lに対し収集されたFのうち、F0を満たすものだけを抽出する。そして抽出されたFの数をLWとし、平均Eと分散Vを、EΣFLW,VΣF2LWE2により計算する。[第4の実施の形態]本実施の形態における推定装置の構成は図4と同様であるが、同時フロー数分散推定部14の動作が異なる。第1の実施の形態において、収集フロー情報からAを計算していたのに対して、本実施の形態では、同時フロー数分散推定部14において、将来時点でのAが予め定めたAになると仮定したときの、同時フロー数の分散をVarLA××avgHminA×E×avgdにより見積もる。こうすることで、将来時点での需要Aに対して、同時フロー数の変動量を見積もることが可能となる。なお、需要がAに変化したときの同時フロー数の平均は、A×E×davgにより算出される。[第5の実施の形態]本実施の形態における推定装置の構成は図4と同様であるが、同時フロー分散推定部14の動作が第1、第4の実施の形態と異なる。第1の実施の形態及び第4の実施の形態に記載の方法で、同時フロー数分散推定部14において、本実施の形態では、同時フロー数の分散を推定する際に、推定に用いるフロー情報のうち、宛先ポート番号が特定の番号スキャンなどの異常トラヒックに多く見られるポート番号であるフローを除外してから、分散の推定を行う。文献1に記載のように、フローを大量に生成するホストからのトラヒックの中には、スキャンなどの異常トラヒックが含まれていることがある。そこで、そのようなトラヒックを除去する機能をLSNに設けることで、そのようなトラヒックを除いた後のトラヒックに対して適切なフロー管理テーブルのサイズを設計する必要がある。そこで、ポート番号135,445といったスキャントラヒックを除去した後に、同時フロー数の変動量を推定することを提案している。第6の実施の形態本実施の形態における推定装置の構成は図4と同様であるが、同時フロー分散推定部14の動作が第1の実施の形態と異なる。第1の実施の形態では、収集フロー情報から単位時間当たりの到着srcIP数Aを計算していたのに対して、本実施の形態では、同時フロー数分散推定部14において、フロー情報の収集対象となるユーザ数をZとして、仮に収容ユーザ数をZとしたときの同時フロー数の分散をVarLAZ×Z××avgHminAZ×Z×E×avgdにより見積もる。なお、ユーザ数Zについては、監視対象としているネットワークにおける収容ユーザ数を用いるか、あるいは、収集されたフロー情報から、出現するsrcIP数をカウントし、それをZとして用いてもよい。第7の実施の形態本実施の形態における推定装置の構成は図4と同様であるが、フロー情報収集部13、同時フロー数分散推定部14の動作が異なる。第1の実施の形態におけるフロー持続時間の平均avgdとavgHminを用いてαavgHminavgdを計算しておき、別途、第1の実施の形態における測定期間Tよりも短い測定期間Tにおいて収集されたフロー情報があったとする。本実施の形態では、このとき、フロー統計情報収集部13は、該フロー情報を用いて、srcIPx毎の発生フロー数に関する統計情報を求める。具体的には、まず、測定期間Tを、Tより小さい測定周期τで分割し区間がTτL個生成される、k番目の測定区間における、srcIPxからの発生フロー数をFとする。同時フロー数分散推定部14は、Fを用いて、あるsrcIPから生成されるフロー数の平均Eと分散Vを計算する。また、単位時間当たりの到着srcIP数Aを、A=NTEにより計算する。また、測定期間Tにおける同時フロー数の平均avgLを、図4のフロー統計情報収集部13において収集されたフロー情報を用いて算出しておく。その手順について述べる。測定期間Tのデータについて、便宜上、時刻0から時刻Tまでのデータとして説明する。Tを測定周期τで分割したとし、時点kτに対して、TfirstikτTlastiを満たすフローiの数をカウントし、それを時点kτでの同時フロー数Lとし、avgLΣLLと計算する。以上の準備の元、同時フロー数分散推定部14は、同時フロー数の分散VarLを以下の式で推定する。VarLA××avgL×αavgL上記の方法について補足説明する。ここでは、測定期間Tにおけるデータを用いて同時フロー数の平均avgLは直接算出している。一方、期間Tが分散を出すのには測定期間長が不十分である場合を想定し、上記の式で分散は推定している。その際に、上記の式の右辺第一項において、第1の実施の形態ではavgHminの値を用いていたが、avgHminはそのときのavgdフロー持続時間の平均に依存して決まるため、現在のつまり期間Tにおけるフロー持続時間の平均が、別途測定されているそれつまりavgdと異なる可能性がある。そこで、本実施の形態では、現在の同時フロー数の平均avgLから、現在のフロー持続時間の平均を、リトルの公式を用いて、avgLにより推定し、その値にαをかけることで、現在のavgHminの値を推定している。また、上記の第1~7の実施の形態における推定装置の構成要素の動作をプログラムとして構築し、推定装置として利用されるコンピュータにインストールして実行させることが可能である。なお、本発明は上記の実施の形態に限定されることなく、特許請求の範囲内において種々変更、応用が可能である。"