# 時系列トラフィックパターン検知 ## 定義 時系列トラフィックパターン検知(Time-series Traffic Pattern Detection)は、単一期間のフロー統計(パケット数・ヘビーヒッター・カーディナリティ等)ではなく、複数の測定期間にまたがるフロー頻度の変化系列から、バースト・ウェーブ・promising(持続的上昇トレンド)といった動的な挙動パターンを識別するネットワーク計測タスクである。ステルス攻撃の検知、ネットワークエンジニアリングにおける一過性の性能問題の診断、E コマースにおけるホットスポットの把握などに用いられる。プログラマブルスイッチ(例: Intel Tofino)上でこれを線速(line rate)で実行する場合、オンチップのメモリ・計算資源が厳しく制限される点が課題となる。(Source: [[@2026__EuroSys__PatternSketch - General and Runtime Reconfigurable Time-series Network Traffic Pattern Detection]] §1) [[PatternSketch]] は、多様な時系列パターンの定義が「隣接2期間間の変化」を表す少数の**マイクロパターン**(Sudden Increase / Sudden Decrease / Gradual Increase / Gradual Decrease / Stable)の系列として統一的に抽象化できるという観察に基づき、パターン検知を有限状態オートマトン(Pattern Automaton)による系列マッチング問題へ帰着させる。これにより、パターンごとに専用スケッチを用意する既存アプローチとは異なり、単一のスケッチで複数パターンを同時検知できる。(Source: [[@2026__EuroSys__PatternSketch - General and Runtime Reconfigurable Time-series Network Traffic Pattern Detection]] §3.2) ## 横断的知見 - **PatternSketch(2026年)がプログラマブルスイッチ上で線速自動検知しようとするマイクロパターン(Sudden Increase等)は、『ウェブオペレーション』9章(2011年)が報告する実務者による目視でのパターン識別と同じ発想を、機構の両極で先取りしている**: 9章のdealnews.comは、2006年のトラフィック急増に際して「ページビューレポート」というグラフ(図9-1・図9-2)で当日・前日・1週間前の3系列を並べて表示し、当日の系列が過去の同時間帯から跳ね上がっているかどうかを目視で確認するという運用を行っていた。この「同じ時間帯の系列を並べて急激な変化を見つける」という考え方は、PatternSketchのマイクロパターン抽象化(Sudden Increase / Gradual Increase 等、隣接する期間間の変化を系列として捉える)と構造的に同じ問題——時系列の変化パターンをどう識別するか——に対する解であるが、9章は人間の目によるグラフ比較という2006年当時の実務解であるのに対し、PatternSketchはこれをプログラマブルスイッチ上でのスケッチアルゴリズムとして自動化・線速化しようとする。同じ問題意識が、15年以上を隔てて「人間が定期的にグラフを見比べる運用」から「ハードウェア上で自動検知する研究」へと展開されたことを示す一事例である。(Source: [[@2011__OReillyJapan__ウェブオペレーション - Chapter 9 予期しないトラフィック急増への対応]] §9.2, §9.4, [[@2026__EuroSys__PatternSketch - General and Runtime Reconfigurable Time-series Network Traffic Pattern Detection]] §1, §3.2) - **9章のNagios監視は、時系列パターンではなく単一時点の閾値超過(データベースサーバの無応答)をトリガーとした検知であり、PatternSketchが対象とする「複数期間にまたがる変化系列」の検知とは異なるタスクである**: 9章の最初の異常検知は、Nagiosがメインのデータベースサーバから応答がないことを通知したという、単一時点でのサービス無応答という二値の異常検知であった。これはPatternSketchが定義する時系列パターン検知(バースト・ウェーブ・持続的上昇トレンドといった複数期間にまたがる動的な挙動の識別)とは異なり、単一時点のヘルスチェックに基づく従来型の監視である。9章の実例は、時系列パターンの目視確認(図9-1・図9-2)と単一時点の閾値監視(Nagios)という2種類の異常検知手法が、同じインシデント対応の中で併用されていたことを示しており、PatternSketchが目指す自動化はこのうち前者(時系列パターン)にのみ対応する。(Source: 同 §9.2, [[@2026__EuroSys__PatternSketch - General and Runtime Reconfigurable Time-series Network Traffic Pattern Detection]] §1) ## 未解決の問い - 既存の単一パターン特化型システム(BurstSketch・Pontus・ScoutSketch・X-Sketch)は、それぞれ異なる検知アルゴリズムと理論保証を持つ。これらを PatternSketch のマイクロパターン抽象化に統一した際、各手法固有の理論的精度保証(誤差上界など)はどの程度保存されるか、または劣化するか。 - Pattern Automaton は単変量のトラフィック頻度のみを扱い、多変量パターン(例: 金融のローソク足パターンに類する複数指標の同時変化)は将来課題として明示的に除外されている。多変量への拡張はマイクロパターンの次元をどう増やすことで可能になるか。 - 期間をまたぐバースト(across-period burst、BurstDetector が対象とする)は PatternSketch の対象外とされている。Pattern Automaton の状態設計を拡張してこれを取り込めるか、それとも別のオートマトン設計が必要か。 - サブポピュレーション(多次元フローデータの任意の部分集合)にまたがる時系列パターン検知は、Hydra・OmniSketch がサブポピュレーション分析を提供する一方、異常/時系列パターン検知はできないという限界が指摘されている(§8)。両者を統合する設計はどのようなメモリ・精度のトレードオフを持つか。 ## 関連 - ソース: [[@2026__EuroSys__PatternSketch - General and Runtime Reconfigurable Time-series Network Traffic Pattern Detection]] / [[@2011__OReillyJapan__ウェブオペレーション - Chapter 9 予期しないトラフィック急増への対応]](§9.2, §9.4 実務者による目視でのグラフ比較・Nagiosによる閾値監視) - エンティティ: [[Intel Tofino]] / [[Soochow University]] / [[Yang Du]] / [[He Huang]] / [[Yu-E Sun]] - 関連手法(source 内で言及、entity 未作成): BurstSketch(バースト検知)、Pontus(ウェーブ検知)、ScoutSketch(promising 検知)、X-Sketch(simplex パターン)、UnivMon・Hydra(オフライン分析型の対比対象) - 関連概念: [[バイトレベルスケッチ計測]](同じく P4 プログラマブルスイッチ上のスケッチ設計だが、対象がフローのバイトサイズ推定である点で異なる) ## 出典 - [[@2026__EuroSys__PatternSketch - General and Runtime Reconfigurable Time-series Network Traffic Pattern Detection]] §1(モチベーション)、§2.2(既存研究の限界)、§3.2(Pattern Automaton の定義)、§8(future work) - ブライアン・ムーン, 「9章 予期しないトラフィック急増への対応」, 『ウェブオペレーション ―サイト運用管理の実践テクニック』, オライリー・ジャパン, 2011, §9.2, §9.4(当日・前日・1週間前のグラフ比較による目視でのトラフィックパターン識別)。