(57)【特許請求の範囲】
【請求項１】
通信網から収集した入力パケット列に基づいて前記通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいて前記フローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムで用いられるフロー分類方法であって、
特徴量データベースが、前記サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴量を記憶する記憶ステップと、
トラヒックデータ収集部が、前記入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算するトラヒックデータ収集ステップと、
分類処理部が、前記各同時フローについて、前記サービスカテゴリごとに、当該同時フローに含まれる前記各短時間フローのフロー特徴量と当該サービスカテゴリの前記代表特徴量とに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、前記最高類似度が前記有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理ステップと
を備えることを特徴とするフロー分類方法。
【請求項２】
請求項１に記載のフロー分類方法において、
前記記憶ステップは、前記代表特徴量として、当該サービスカテゴリに含まれる短時間フローのフロー特徴量をクラスタリングして得られたクラスタごとに、当該クラスタに含まれる前記フロー特徴量を代表する代表値を記憶し、
前記分類処理ステップは、前記代表特徴量を構成する前記代表値ごとに、前記各フロー特徴量との差分の最小値を求め、これら最小差分を統計処理することにより前記類似度を計算する
ことを特徴とするフロー分類方法。
【請求項３】
請求項１または請求項２に記載のフロー分類方法において、
前記記憶ステップは、前記サービスカテゴリごとに、複数の異なる特徴種別のそれぞれについて前記代表特徴量を記憶し、
前記トラヒックデータ収集ステップは、前記短時間フローごとに、前記特徴種別のそれぞれについて前記フロー特徴量を計算し、
前記分類処理ステップは、前記同時フローと前記サービスカテゴリとの類似度に代えて、前記特徴種別ごとに種別類似度を計算し、これら種別類似度を統計処理することにより前記類似度を計算する
ことを特徴とするフロー分類方法。
【請求項４】
請求項１〜請求項３のいずれか１つに記載のフロー分類方法において、
サービスカテゴリ作成部が、対応するアプリケーションがパケットごとにそれぞれ既知である教師パケット列について、前記入力パケット列と同様にして生成した短時間フローごとに前記フロー特徴量を計算し、前記アプリケーションのうちから選択した２つの異なるアプリケーションごとに、これらアプリケーションに属する前記フロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比が判定しきい値より小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリをそれぞれ作成するサービスカテゴリ作成ステップと、
特徴量計算部が、前記サービスカテゴリ作成ステップで作成した前記サービスカテゴリごとに、当該サービスカテゴリに分類された前記アプリケーションに属する前記フロー特徴量から、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴量を計算して、前記特徴量データベースへ保存する特徴量計算ステップと
をさらに備えることを特徴とするフロー分類方法。
【請求項５】
請求項４に記載のフロー分類方法において、
前記特徴量計算ステップは、当該サービスカテゴリに分類された前記アプリケーションに属する前記フロー特徴量をクラスタリングし、得られたクラスタごとに、当該クラスタに属する前記フロー特徴量を代表する代表値を計算し、これら代表値を当該サービスカテゴリの前記代表特徴量として前記特徴量データベースへ保存することを特徴とするフロー分類方法。
【請求項６】
通信網から収集した入力パケット列に基づいて前記通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいて前記フローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムであって、
前記サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴量を記憶する特徴量データベースと、
前記入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算するトラヒックデータ収集部と、
前記各同時フローについて、前記サービスカテゴリごとに、当該同時フローに含まれる前記各短時間フローのフロー特徴量と当該サービスカテゴリの前記代表特徴量とに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、前記最高類似度が前記有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理部と
を備えることを特徴とするフロー分類システム。
【請求項７】
請求項６に記載のフロー分類システムにおいて、
対応するアプリケーションがパケットごとにそれぞれ既知である教師パケット列について、前記入力パケット列と同様にして生成した短時間フローごとに前記フロー特徴量を計算し、前記アプリケーションのうちから選択した２つの異なるアプリケーションごとに、これらアプリケーションに属する前記フロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比が判定しきい値より小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリをそれぞれ作成するサービスカテゴリ作成部と、
前記サービスカテゴリ作成部で作成した前記サービスカテゴリごとに、当該サービスカテゴリに分類された前記アプリケーションに属する前記フロー特徴量から、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴量を計算して、前記特徴量データベースへ保存する特徴量計算部と
をさらに備えることを特徴とするフロー分類システム。
【請求項８】
コンピュータに、請求項１〜請求項５のいずれか１つに記載したフロー分類方法の各ステップを実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信管理技術に関し、特に通信網上のフローに含まれる各種フローをアプリケーション種別に基で分類するフロー分類技術に関する。
【背景技術】
【０００２】
データ通信を行うアプリケーションのアプリケーション種別により、通信網上のトラヒックに含まれる各種フローを分類するフロー分類技術として、特定のビット列など、分類対象であるアプリケーションが有する動作上の特徴に注目し、その特徴付けられる動作が発生することを監視することで、当該アプリケーションに関するフローを検出するという技術が提案されている（例えば、非特許文献１など参照）。この技術は、主にＰ２Ｐ型アプリケーションによって送出されるフローを検出することに適用されているが、パケットのペイロード情報から当該アプリケーションに特有の文字列などからなる特徴量を抽出しているため、プライバシーやセキュリティの面で問題があった。
【０００３】
これに対して、従来、通信網上を流れるトラヒックをフローごとに、パケットサイズの平均等、パケットのヘッダ情報から得られる統計量からなる特徴量を用いて、データマイニング処理により分析することで、特定のフローを検出する技術が提案されている。この技術は、複数の特徴量を１つの識別器で分析する、複数識別器の統合手法の一手段であるフィーチャーレベルのマルチモーダル手法がよく用いられている。
また，複数識別器の統合手法は従来技術により複数の特徴量それぞれで各アプリケーションとの類似度を求めたあと、類似度から再び識別器にかけることにより高精度な分析を実施するスコアレベルのマルチモーダル手法も一般的である。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】八木、和泉、角田、根本、「ネットワークアプリケーション弁別のためのペイロード長の遷移パタンの評価方法に関する一検討」、信学技報、TM2007-34、社団法人電子情報通信学会、2007-11
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、このような従来技術では、識別対象となるフロー単位でパケットを統計処理して当該フローの特徴量を計算し、これら特徴量をデータマイニング処理して当該フローを分類しているため、フロー内における時間的変化が一纏めにされてしまい、フロー内に含まれるパケットの周期性を特徴量として把握することができず、分類精度が低いという問題点があった。
また、分類対象としていなかったアプリケーションが新たに出現した場合に，無理やり既存のアプリケーションのどれかに分類してしまうため、結果として、誤分類が検知できないまま、品質要件が異なるアプリケーションに分類されてしまい、適切でない帯域制御がされるという問題点があった。
【０００６】
本発明はこのような課題を解決するためのものであり、高い分類精度が得られるとともに、新たなアプリケーションのフローも正確に分類できるフロー分類技術を提供することを目的としている。
【課題を解決するための手段】
【０００７】
このような目的を達成するために、本発明にかかるフロー分類方法は、通信網から収集した入力パケット列に基づいて通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいてフローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムで用いられるフロー分類方法であって、特徴量データベースが、サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴量を記憶する記憶ステップと、トラヒックデータ収集部が、入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算するトラヒックデータ収集ステップと、分類処理部が、各同時フローについて、サービスカテゴリごとに、当該同時フローに含まれる各短時間フローのフロー特徴量と当該サービスカテゴリの代表特徴量とに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、最高類似度が有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理ステップとを備えている。
【０００８】
この際、記憶ステップで、代表特徴量として、当該サービスカテゴリに含まれる短時間フローのフロー特徴量をクラスタリングして得られたクラスタごとに、当該クラスタに含まれるフロー特徴量を代表する代表値を記憶し、分類処理ステップで、代表特徴量を構成する代表値ごとに、各フロー特徴量との差分の最小値を求め、これら最小差分を統計処理することにより類似度を計算するようにしてもよい。
【０００９】
また、記憶ステップで、サービスカテゴリごとに、複数の異なる特徴種別のそれぞれについて代表特徴量を記憶し、トラヒックデータ収集ステップで、短時間フローごとに、特徴種別のそれぞれについてフロー特徴量を計算し、分類処理ステップで、同時フローとサービスカテゴリとの類似度に代えて、特徴種別ごとに種別類似度を計算し、これら種別類似度を統計処理することにより類似度を計算するようにしてもよい。
【００１０】
また、サービスカテゴリ作成部が、対応するアプリケーションがパケットごとにそれぞれ既知である教師パケット列について、入力パケット列と同様にして生成した短時間フローごとにフロー特徴量を計算し、アプリケーションのうちから選択した２つの異なるアプリケーションごとに、これらアプリケーションに属するフロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比が判定しきい値より小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリをそれぞれ作成するサービスカテゴリ作成ステップと、特徴量計算部が、サービスカテゴリ作成ステップで作成したサービスカテゴリごとに、当該サービスカテゴリに分類されたアプリケーションに属するフロー特徴量から、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴量を計算して、特徴量データベースへ保存する特徴量計算ステップとをさらに備えてもよい。
【００１１】
この際、特徴量計算ステップで、当該サービスカテゴリに分類されたアプリケーションに属するフロー特徴量をクラスタリングし、得られたクラスタごとに、当該クラスタに属するフロー特徴量を代表する代表値を計算し、これら代表値を当該サービスカテゴリの代表特徴量として特徴量データベースへ保存するようにしてもよい。
【００１２】
また、本発明にかかるフロー分類システムは、通信網から収集した入力パケット列に基づいて通信網上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいてフローをデータ通信サービスのサービスカテゴリごとに分類するフロー分類システムであって、サービスカテゴリごとに、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴量を記憶する特徴量データベースと、入力パケット列に含まれるパケットのうち、当該パケットから取得した分類用の識別情報が同一のパケットであって、かつ到着間隔が基準到着間隔以下である複数のパケットを、１つのフローとして統合し、これらフローのうち、当該フローに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔以下である複数のフローを、１つの同時フローとして統合し、これら同時フローごとに、当該同時フローに含まれるパケットのうち、単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとに、当該短時間フローに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローの特徴を示すフロー特徴量を計算するトラヒックデータ収集部と、各同時フローについて、サービスカテゴリごとに、当該同時フローに含まれる各短時間フローのフロー特徴量と当該サービスカテゴリの代表特徴量とに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度が得られたサービスカテゴリに分類し、最高類似度が有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類する分類処理部とを備えている。
【００１３】
この際、対応するアプリケーションがパケットごとにそれぞれ既知である教師パケット列について、入力パケット列と同様にして生成した短時間フローごとにフロー特徴量を計算し、アプリケーションのうちから選択した２つの異なるアプリケーションごとに、これらアプリケーションに属するフロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比が判定しきい値より小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリをそれぞれ作成するサービスカテゴリ作成部と、サービスカテゴリ作成部で作成したサービスカテゴリごとに、当該サービスカテゴリに分類されたアプリケーションに属するフロー特徴量から、当該サービスカテゴリに分類されるフローの特徴を示す代表特徴量を計算して、特徴量データベースへ保存する特徴量計算部とをさらに備えてもよい。
【００１４】
また、本発明にかかるプログラムは、コンピュータに、前述したいずれか１つのフロー分類方法の各ステップを実行させるためのプログラムである。
【発明の効果】
【００１５】
本発明によれば、同時フロー内に含まれるパケットの周期性を抽出することができ、高い分類精度を得ることができる。また、サービスカテゴリごとの類似性のうち、最も高い類似性を示す類似度が有意範囲に含まれない場合には、新たなサービスカテゴリに分類するようにしたので、既存サービスカテゴリでは含まれていない新たなアプリケーションのフローについても、正確に分類することができる。このため、いずれか類似性の低いサービスカテゴリに分類してしまうような誤分類の発生を抑止することが可能となる。
【００１６】
したがって、本実施の形態をデータ通信サービスのネットワーク管理に適用すれば、映像フローのような品質条件が厳しいフローに対して優先制御を行う等のトラヒック制御を用いることで、同じ設備量でよりユーザ満足度の高いネットワークを提供することができる。また、アプリケーションごとのトラヒック需要量を正確に把握できるため、高精度なトラヒック需要の予測を行うことができ、結果として、ユーザ満足度の更なる向上を実現することが可能となる。
【図面の簡単な説明】
【００１７】
【図１】第１の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【図２】特徴量データベースの構成例である。
【図３】トラヒックデータ収集部の構成を示すブロック図である。
【図４】サービスカテゴリ分類部の構成を示すブロック図である。
【図５】フロー生成処理を示すフローチャートである。
【図６】同時フロー生成処理を示すフローチャートである。
【図７】短時間フロー生成処理を示すフローチャートである。
【図８】特徴量計算処理を示すフローチャートである。
【図９】入力パケット列の構成例である。
【図１０】同時フローの構成例である。
【図１１】短時間フローの構成例である。
【図１２】トラヒックデータ収集部の動作例を示すシーケンス図である。
【図１３】類似度計算処理を示すフローチャートである。
【図１４】類似度計算処理を示す説明図である。
【図１５】分類判定処理を示すフローチャートである。
【図１６】分類判定処理を示す説明図である。
【図１７】第２の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【図１８】学習処理部の構成を示すブロック図である。
【図１９】サービスカテゴリ作成処理を示すフローチャートである。
【図２０】代表特徴量計算処理を示すフローチャートである。
【発明を実施するための形態】
【００１８】
次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかるフロー分類システムについて説明する。図１は、第１の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【００１９】
このフロー分類システム１０は、全体として、１つまたは複数の、サーバ装置やパーソナルコンピュータなどの情報処理装置から構成されて、通信網３０から収集した入力パケット列に基づいて通信網３０上のトラヒックに含まれるフローごとに当該フローの特徴を示す特徴量を計算し、これら特徴量に基づいて当該トラヒックをデータ通信サービスのサービスカテゴリごとに分類し、その分類結果を管理端末２０へ出力して表示するシステムである。
【００２０】
本実施の形態は、入力パケット列に含まれる各パケットの送信先ＩＰアドレスと到着時刻に基づいて、これらパケットを同時フローとして統合するとともに、これら同時フローを短時間フローに分割して、短時間フローごとに当該短時間フローの特徴を示すフロー特徴量を計算し、同時フローとサービスカテゴリとの組み合わせごとに、当該同時フローに含まれる各短時間フローのフロー特徴量と当該サービスカテゴリの代表特徴量とに基づいて、当該同時フローと当該サービスカテゴリとの類似性を示す類似度を計算し、これら類似度のうち最も高い類似性を示す最高類似度が所定の有意範囲に含まれる場合には、当該同時フローを当該最高類似度のサービスカテゴリに分類し、最高類似度が有意範囲に含まれない場合には、当該同時フローを新たなサービスカテゴリに分類するようにしたものである。
【００２１】
［フロー分類システム］
次に、図１を参照して、本実施の形態にかかるフロー分類システムの構成について詳細に説明する。
【００２２】
フロー分類システム１０には、主な機能部として、トラヒックデータ収集部１１、特徴量データベース（以下、特徴量ＤＢという）１２、およびサービスカテゴリ分類部１３が設けられている。
これら機能部のうち、トラヒックデータ収集部１１およびサービスカテゴリ分類部１３は、ＣＰＵなどのマイクロプロセッサで記憶部（図示せず）から読み出したプログラムを実行することにより各機能部を実現する演算処理部で実現されており、特徴量ＤＢ１２は、ハードディスクなどの記憶装置で実現されている。
【００２３】
トラヒックデータ収集部１１は、通信網３０から収集した時系列の入力パケット列に含まれる各パケットの送信先ＩＰアドレスと到着時刻に基づいて、入力パケット列に含まれるフローＦを同時フローＦＣとして統合する機能と、これら同時フローＦＣから複数の短時間フローＦＳを生成する機能と、各同時フローＦＣｉの短時間フローＦＳｉｊごとに、当該短時間フローＦＳｉｊの特徴を示すフロー特徴量ＲＳｉｊを計算する機能を有している。
【００２４】
特徴量ＤＢ１２は、フローを分類するサービスカテゴリＸごとに、当該サービスカテゴリＸｍに分類されるフローの特徴を示す代表特徴量Ｒｍを記憶する機能を有している。
図２は、特徴量データベースの構成例である。ここでは、各種のサービスカテゴリＸごとに、各特徴種別Ｙとその代表特徴量Ｒとが組として登録されている。
【００２５】
このうち、サービスカテゴリＸとしては、ＦＴＰ、電子メール送信・受信、チャット、オンラインゲーム、動画など、各種アプリケーションに対応したデータ通信サービスが登録されている。また、特徴種別Ｙとしては、パケット総数、パケットサイズの合計・平均値・標準偏差、パケット到着間隔の合計・平均値・標準偏差など、短時間フローＦＳに含まれるパケットに関するパケット数、パケットサイズ、または到着間隔を統計処理して得られる特徴種別が登録されている。また、代表特徴量Ｒとしては、当該特徴種別Ｙの特徴量をクラスタリングして得られた各クラスタ１，クラスタ２，…ごとに、当該クラスタの中心値など、各クラスタに属する短時間フローＦＳの特徴量を代表する値が登録されている。
【００２６】
サービスカテゴリ分類部１３は、トラヒックデータ収集部１１で生成された、分類対象となる同時フローＦＣｉについて、特徴量ＤＢ１２に登録されているサービスカテゴリＸｍごとに、当該同時フローＦＣｉに含まれる各短時間フローＦＳｉｊのフロー特徴量ＲＳｉｊと、特徴量ＤＢ１２から取得した当該サービスカテゴリＸｍの代表特徴量Ｒｍとに基づいて、当該同時フローＦＣｉと当該サービスカテゴリＸｍとの類似性を示す類似度Ｓｉｍを計算する機能と、これら類似度Ｓｉｍのうち最も高い類似性を示す最高類似度Ｓｉｈが所定の有意範囲に含まれる場合には、当該同時フローＦＣｉを当該最高類似度Ｓｉｈが得られたサービスカテゴリＸｍに分類し、最高類似度Ｓｉｈが有意範囲に含まれない場合には、当該同時フローＦＣｉを新たなサービスカテゴリＸｎｅｗに分類する機能とを有している。
【００２７】
［トラヒックデータ収集部］
次に、図３を参照して、トラヒックデータ収集部１１の構成について詳細に説明する。図３は、トラヒックデータ収集部の構成を示すブロック図である。
トラヒックデータ収集部１１には、主な処理部として、フロー生成部１１Ａ、同時フロー生成部１１Ｂ、短時間フロー生成部１１Ｃ、特徴量計算部１１Ｄ、およびトラヒック情報データベース（以下、トラヒック情報ＤＢという）１１Ｅが設けられている。
【００２８】
フロー生成部１１Ａは、通信網３０から収集した入力パケット列のうち、当該パケットから取得したフロー分類用の識別情報が同一のパケットであって、かつパケット到着間隔が基準到着間隔以下である複数のパケットを、１つのフローＦとして統合することにより、通信網３０から収集した入力パケット列からフローＦを生成する機能を有している。
【００２９】
同時フロー生成部１１Ｂは、フロー生成部１１Ａで生成されたフローＦのうち、当該フローＦに含まれるパケットの送信先ＩＰアドレスが同一のフローであって、かつフロー開始間隔が基準開始間隔ｔｃ以下である複数のフローを、１つの同時フローＦＣｉとして統合することにより、フロー生成部１１Ａで生成されたフローから同時フローＦＣを生成する機能を有している。
【００３０】
短時間フロー生成部１１Ｃは、同時フロー生成部１１Ｂで生成された同時フローＦＣごとに、当該同時フローＦＣｉに含まれるパケットのうち、単位到着間隔ｔｓ内に続けて到着したパケットを、１つの短時間フローＦＳｉｊとして統合することにより、同時フロー生成部１１Ｂで生成された同時フローＦＣｉのそれぞれから短時間フローＦＳｉｊを生成する機能を有している。
【００３１】
特徴量計算部１１Ｄは、短時間フロー生成部１１Ｃで生成された短時間フローＦＳｉｊごとに、当該短時間フローＦＳｉｊに含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することにより、当該短時間フローＦＳｉｊの特徴を示すフロー特徴量ＲＳｉｊを計算する機能を有している。
【００３２】
［サービスカテゴリ分類部］
次に、図４を参照して、サービスカテゴリ分類部１３の構成について詳細に説明する。図４は、サービスカテゴリ分類部の構成を示すブロック図である。
サービスカテゴリ分類部１３には、主な処理部として、類似度計算部１３Ａ−１３Ｎ、類似度統合部１３Ｐ、および分類判定部１３Ｑが設けられている。
【００３３】
類似度計算部１３Ａ−１３Ｎは、特徴量ＤＢ１２に登録されている特徴種別Ｙｎ（ｎ＝Ａ…Ｎ）ごとに設けられて、トラヒックデータ収集部１１で生成された同時フローＦＣｉと、特徴量ＤＢ１２に登録されているサービスカテゴリＸｍとの組み合わせごとに、当該同時フローＦＣｉに含まれる各短時間フローＦＳｉｊのフロー特徴量ＲＳｉｊと当該サービスカテゴリＸｍの代表特徴量Ｒｍとに基づいて、特徴種別Ｙｎに関する当該同時フローＦＣｉと当該サービスカテゴリＸｍとの類似性を示す類似度Ｓｉｍｎをそれぞれ計算する機能を有している。
【００３４】
類似度統合部１３Ｐは、各同時フローＦＣｉとサービスカテゴリＸｍとの組み合わせごとに、類似度計算部１３Ａ−１３Ｎでそれぞれ計算した特徴種別Ｙｎに関する類似度Ｓｉｍｎを、１つのカテゴリ類似度Ｓｉｍに統合する機能を有している。
【００３５】
分類判定部１３Ｑは、各同時フローＦＣｉについて、類似度統合部１３Ｐで当該同時フローＦＣｉとサービスカテゴリＸｍとの組み合わせごとに得られた類似度Ｓｉｍのうち、最も高い類似性を示す最高類似度Ｓｉｈと有意範囲とを比較する機能と、最高類似度Ｓｉｈが所定の有意範囲に含まれる場合には、当該同時フローＦＣｉを当該最高類似度ＳｉｈのサービスカテゴリＸｍに分類し、最高類似度Ｓｉｈが有意範囲に含まれない場合には、当該同時フローＦＣｉを新たなサービスカテゴリＸｎｅｗに分類する機能とを有している。
【００３６】
［第１の実施の形態の動作］
次に、本実施の形態にかかるフロー分類システム１０の動作について詳細に説明する。
【００３７】
［フロー生成動作］
まず、図５を参照して、本実施の形態にかかるトラヒックデータ収集部１１におけるフロー生成動作について説明する。図５は、フロー生成処理を示すフローチャートである。
トラヒックデータ収集部１１のフロー生成部１１Ａは、通信網３０から収集した入力パケット列からフローを生成する際、図５のフロー生成処理を実行する。
【００３８】
フロー生成部１１Ａは、まず、通信網３０から収集した入力パケット列を取得し（ステップ１００）、この入力パケット列の先頭から、いずれのフローにも統合していない未処理のパケットを１つ選択し（ステップ１０１）、当該パケットから取得したフロー分類用の識別情報が、統合処理中フローのいずれかと一致するか確認する（ステップ１０２）。この際、フロー分類用の識別情報としては、送信元・送信先のＩＰアドレス、送信元・送信先のポート番号、プロトコル種別などを組み合わせて用いればよい。
【００３９】
ここで、識別情報が一致する処理中フローが存在しない場合（ステップ１０２：ＮＯ）、フロー生成部１１Ａは、新たなフロー番号を当該選択パケットに付加して新たなフローを生成し、当該新たなフロー番号のフローを処理中フローとする（ステップ１０３）。
一方、識別情報が一致する処理中フローが存在する場合（ステップ１０２：ＹＥＳ）、フロー生成部１１Ａは、当該処理中フローの最後尾パケットと選択パケットとの到着間隔を基準到着間隔ｔｆとを比較する（ステップ１０４）。
【００４０】
ここで、最後尾パケットと選択パケットとの到着間隔が基準到着間隔ｔｆより大きかった場合（ステップ１０４：ＮＯ）、フロー生成部１１Ａは、当該処理中フローが終了したと判定して処理中フローから除外した後（ステップ１０５）、ステップ１０３に移行して、新たなフロー番号を当該選択パケットに付加して新たなフローを生成し、当該新たなフロー番号のフローを処理中フローとする。
一方、最後尾パケットと選択パケットとの到着間隔が基準到着間隔ｔｆ以内であった場合（ステップ１０４：ＹＥＳ）、フロー生成部１１Ａは、当該処理中フローのフロー番号を選択パケットに付加する（ステップ１０６）。
【００４１】
このようにして、選択パケットにフロー番号を付加することによりフローＦを生成した後、フロー生成部１１Ａは、選択パケットをフラグなどにより処理済みとし（ステップ１０７）、入力パケット列のうち全てのパケットについて処理が終了したか確認する（ステップ１０８）。
ここで、未処理のパケットが存在する場合（ステップ１０８：ＮＯ）、ステップ１０１に戻って次のパケットの処理を繰り返し実行する。また、全てのパケットについて処理が終了している場合（ステップ１０８：ＹＥＳ）、フロー生成部１１Ａは、個々のパケットにフロー番号を付加した入力パケット列を出力し（ステップ１０９）、一連のフロー生成処理を終了する。
【００４２】
［同時フロー生成動作］
次に、図６を参照して、本実施の形態にかかるトラヒックデータ収集部１１における同時フロー生成動作について説明する。図６は、同時フロー生成処理を示すフローチャートである。
【００４３】
トラヒックデータ収集部１１の同時フロー生成部１１Ｂは、フロー生成部１１Ａで生成されたフローから同時フローを生成する際、図６の同時フロー生成処理を実行する。
【００４４】
同時フロー生成部１１Ｂは、まず、フロー生成部１１Ａで生成されたフロー番号付き入力パケット列を取得し（ステップ１１０）、この入力パケット列から、いずれの同時フローにも統合していない未処理のフローＦｔを１つ選択する（ステップ１１１）。
次に、同時フロー生成部１１Ｂは、選択フローＦｔのパケットから送信先ＩＰアドレスを取得し、他の未処理のフローＦのうち、送信先ＩＰアドレスが選択フローＦｔと同じフローの有無を確認する（ステップ１１２）。
【００４５】
ここで、送信先ＩＰアドレスが選択フローＦｔと同じフローを確認した場合（ステップ１１２：ＹＥＳ）、同時フロー生成部１１Ｂは、これら確認フローＦｃのうちから、選択フローＦｔとのフロー開始間隔（絶対値）が基準開始間隔ｔｃ以下のフローＦａを抽出し（ステップ１１３）、これら抽出フローＦａと選択フローＦｔの両方のパケットに、新たな同時フロー番号を付加して新たな同時フローＦＣｉを生成し（ステップ１１４）、これらフローＦｔ，Ｆａをフラグなどにより処理済みとする（ステップ１１５）。
【００４６】
一方、送信先ＩＰアドレスが選択フローＦｔと同じフローＦを確認できなかった場合（ステップ１１２：ＮＯ）、同時フロー生成部１１Ｂは、選択フローＦｔのパケットのそれぞれに、新たな同時フロー番号を付加して新たな同時フローＦＣｉを生成し（ステップ１１６）、選択フローＦｔをフラグなどにより処理済みとする（ステップ１１７）。
【００４７】
このようにして、選択フローＦｔや抽出フローＦａに同時フロー番号を付加することにより同時フローＦＣｉを生成した後、同時フロー生成部１１Ｂは、入力パケット列のうち全てのフローＦについて処理が終了したか確認する（ステップ１１８）。
ここで、未処理のフローＦが存在する場合（ステップ１１８：ＮＯ）、ステップ１１１に戻って次のフローＦの処理を繰り返し実行する。また、全てのフローについて処理が終了している場合（ステップ１１８：ＹＥＳ）、同時フロー生成部１１Ｂは、個々のパケットに同時フロー番号を付加した入力パケット列を出力し（ステップ１１９）、一連の同時フロー生成処理を終了する。
【００４８】
［短時間フロー生成動作］
次に、図７を参照して、本実施の形態にかかるトラヒックデータ収集部１１における短時間フロー生成動作について説明する。図７は、短時間フロー生成処理を示すフローチャートである。
【００４９】
トラヒックデータ収集部１１の短時間フロー生成部１１Ｃは、同時フロー生成部１１Ｂで生成された同時フローから短時間フローを生成する際、図７の同時フロー生成処理を実行する。
【００５０】
短時間フロー生成部１１Ｃは、まず、同時フロー生成部１１Ｂで生成された同時フロー番号付き入力パケット列を取得し（ステップ１２０）、この入力パケット列から、短時間フローを生成していない未処理の同時フローＦＣｉを１つ選択し（ステップ１２１）、この選択同時フローＦＣｉの先頭から、短時間フロー番号を付加していない未処理のパケットを１つ選択する（ステップ１２２）。
次に、短時間フロー生成部１１Ｃは、選択同時フローＦＣｉに含まれる他のパケットのうち、選択パケットとの到着間隔が単位到着間隔ｔｓ内に到着した近接パケットが存在するか確認する（ステップ１２３）。
【００５１】
ここで、近接パケットの存在を確認した場合（ステップ１２３：ＹＥＳ）、短時間フロー生成部１１Ｃは、これら近接パケットと選択パケットの両方に、同一の新たな短時間フロー番号を付加することにより新たな短時間フローＦＳｉｊを生成し（ステップ１２４）、これらパケットをフラグなどにより処理済みとする（ステップ１２５）。
一方、近接パケットの存在を確認できなかった場合（ステップ１２３：ＮＯ）、短時間フロー生成部１１Ｃは、選択パケットに新たな短時間フロー番号を付加することにより新たな短時間フローＦＳｉｊを生成し（ステップ１２６）、ステップ１２５へ移行して、選択パケットをフラグなどにより処理済みとする。
【００５２】
このようにして、近接パケットおよび選択パケット、または選択パケットに短時間フロー番号を付加した後、短時間フロー生成部１１Ｃは、選択同時フローのうち全てのパケットについて処理が終了したか確認する（ステップ１２７）。
ここで、選択同時フローに未処理のパケットが存在する場合（ステップ１２７：ＮＯ）、ステップ１２２に戻って次のパケットの処理を繰り返し実行する。また、選択同時フローの全てのパケットについて処理が終了している場合（ステップ１２７：ＹＥＳ）、短時間フロー生成部１１Ｃは、入力パケット列のうち全ての同時フローＣについて処理が終了したか確認する（ステップ１２８）。
【００５３】
ここで、未処理の同時フローが存在する場合（ステップ１２８：ＮＯ）、短時間フロー生成部１１Ｃは、ステップ１２１に戻って次の同時フローＦＣの処理を繰り返し実行する。また、全ての同時フローＦＣについて処理が終了している場合（ステップ１２８：ＹＥＳ）、短時間フロー生成部１１Ｃは、個々のパケットに短時間フロー番号と同時フロー番号を付加した入力パケット列を出力し（ステップ１２９）、一連の短時間フロー生成処理を終了する。
【００５４】
［特徴量計算動作］
次に、図８を参照して、本実施の形態にかかるトラヒックデータ収集部１１における特徴量計算動作について説明する。図８は、特徴量計算処理を示すフローチャートである。
【００５５】
トラヒックデータ収集部１１の特徴量計算部１１Ｄは、短時間フロー生成部１１Ｃで生成された短時間フローについてフロー特徴量を計算する際、図８の特徴量計算処理を実行する。
【００５６】
特徴量計算部１１Ｄは、まず、短時間フロー生成部１１Ｃで生成された短時間フローと同時フロー番号を付加した入力パケット列を取得し（ステップ１３０）、この入力パケット列から、特徴量を計算していない未処理の同時フローＦＣｉを１つ選択し（ステップ１３１）、この選択同時フローＦＣｉの先頭から、特徴量を計算していない未処理の短時間フローＦＳｉｊを１つ選択する（ステップ１３２）。
【００５７】
次に、特徴量計算部１１Ｄは、選択短時間フローＦＳｉｊに含まれる各パケットについて、前述の図２に示した特徴種別Ｙごとにフロー特徴量ＲＳｉｊを計算し（ステップ１３３）、選択短時間フローＦＳｉｊをフラグなどにより処理済みとする（ステップ１３４）。
この後、特徴量計算部１１Ｄは、選択同時フローＦＣｉのうち全ての短時間フローＦＳｉｊについて処理が終了したか確認する（ステップ１３５）。
【００５８】
ここで、未処理の短時間フローＦＳｉｊが存在する場合（ステップ１３５：ＮＯ）、ステップ１３２へ戻って次の短時間フローＦＳｉｊの処理を繰り返し実行する。また、全ての短時間フローＦＳについて処理が終了している場合（ステップ１３５：ＹＥＳ）、特徴量計算部１１Ｄは、入力パケット列のうち全ての同時フローＦＣについて処理が終了したか確認する（ステップ１３６）。
【００５９】
ここで、未処理の同時フローＦＣｉが存在する場合（ステップ１３６：ＮＯ）、ステップ１３１に戻って次の同時フローＦＣの処理を繰り返し実行する。また、全ての同時フローＦＣについて処理が終了している場合（ステップ１３６：ＹＥＳ）、特徴量計算部１１Ｄは、同時フロー番号ごとに、各短時間フローＦＳｉｊのフロー特徴量ＲＳｉｊを出力し（ステップ１３７）、一連の特徴量計算処理を終了する。
【００６０】
［トラヒックデータ収集部の動作例］
次に、図９〜図１２を参照して、本実施の形態にかかるトラヒックデータ収集部１１の動作例について説明する。図９は、入力パケット列の構成例である。図１０は、同時フローの構成例である。図１１は、短時間フローの構成例である。図１２は、トラヒックデータ収集部の動作例を示すシーケンス図である。
【００６１】
トラヒックデータ収集部１１では、まず、フロー生成部１１Ａにより、通信網３０から収集した入力パケット列から、フローＦが生成される。この動作例では、送信元・送信先のＩＰアドレス、送信元・送信先のポート番号、プロトコル種別の組み合わせにより、フローＦが識別されている。
ここで、基準到着間隔ｔｆ＝６０秒の場合、入力パケット列のうち、送信先ＩＰアドレスが「１９２．１６８．１．１００」であるパケットＰ１〜Ｐ４について到着間隔が確認され、図１２のように、Ｐ１，Ｐ４からなるフローＦ１、Ｐ２からなるフローＦ２、Ｐ３からなるフローＦ３の合わせて３つのフローが生成されたものとする。
【００６２】
次に、同時フロー生成部１１Ｂにより、同一送信先ＩＰアドレスであるこれらフローＦ１〜Ｆ３について、同時フローＦＣへの統合可否が確認される。ここで、基準開始間隔ｔｃ＝５秒とした場合、Ｆ１の先頭パケットＰ１とＦ２の先頭パケットＦ２との到着間隔ｔｃ１２が１秒であり、ｔ１２＜ｔｃであることから、Ｆ１とＦ２は１つの同時フローＦＣ１に統合される。また、Ｆ３の先頭パケットＦ２との到着間隔ｔ１３が４秒であり、ｔ１３＜ｔｃであることから、Ｆ３も同時フローＦＣ１に統合される。これにより、Ｆ１〜Ｆ３がＦＣ１に統合されたことになる。
【００６３】
次に、短時間フロー生成部１１Ｃにより、同時フローＦＣ１について短時間フローＦＳの生成可否が確認される。ここで、単位到着間隔ｔｓ＝１秒とした場合、Ｐ１とＰ２の到着間隔ｔ１２が１秒であり、ｔ１２≦ｔｓであることから、Ｐ１とＰ２が１つの短時間フローＦＳ１１に統合される。また、Ｐ２とＰ３の到着間隔ｔ２３が３秒であり、ｔ２３＞ｔｓであることから、Ｐ２，Ｐ３は１つの短時間フローとして統合されず、Ｐ２は新たな短時間フローＦＳ１２となる。また、Ｐ３とＰ４の到着間隔ｔ３４が５秒であり、ｔ３４＞ｔｓであることから、Ｐ３，Ｐ４は１つの短時間フローとして統合されず、Ｐ３，Ｐ４はそれぞれ新たな短時間フローＦＳ１３，ＦＳ１４となる。
【００６４】
［類似度計算処理］
次に、図１３および図１４を参照して、本実施の形態にかかるサービスカテゴリ分類部１３における類似度計算動作について説明する。図１３は、類似度計算処理を示すフローチャートである。図１４は、類似度計算処理を示す説明図である。
【００６５】
サービスカテゴリ分類部１３の類似度計算部１３Ａ〜１３Ｎは、短時間フローＦＳｉｊのフロー特徴量ＲＳｉｊを計算する際、図１３の類似度計算処理を実行する。ここでは、類似度計算部１３Ａにおいて、特徴種別Ｙのうち特徴種別Ｙｎに関する種別類似度Ｓｉｍｎを計算する場合を例として説明する。なお、類似度計算部１３Ａ〜１３Ｎでの類似度計算処理は、入力パケット列から生成された、分類対象となるすべての同時フローＦＣに含まれるすべての短時間フローＦＳについて、繰り返し実行される。
【００６６】
類似度計算部１３Ａは、まず、特徴量ＤＢ１２から、各サービスカテゴリＸに関する特徴種別Ｙｎの代表特徴量Ｒをそれぞれ取得し（ステップ１４０）、分類対象となる同時フローＦＣｉに含まれる各短時間フローＦＳｉｊのうち特徴種別Ｙｎのフロー特徴量ＲＳｉｊｎをそれぞれ取得する（ステップ１４１）。
続いて、類似度計算部１３Ａは、各サービスカテゴリＸのうちから種別類似度Ｓｉｍｎを計算していない未処理のサービスカテゴリＸｍを１つ選択し（ステップ１４２）、その代表特徴量Ｒｍに含まれる各クラスタｋに関する最小差分保存用の変数である最小差分Ｄｋ＿ｍｉｎを、例えば無限大∞を示す初期値に初期化する（ステップ１４３）。
【００６７】
次に、類似度計算部１３Ａは、分類対象となる同時フローＦＣｉのうちから種別類似度Ｓｉｍｎの計算していない未処理の短時間フローＦＳｉｊを１つ選択し（ステップ１４４）、代表特徴量Ｒｍに含まれるクラスタｋごとに、選択短時間フローＦＳｉｊのフロー特徴量ＲＳｉｊｎと、代表特徴量Ｒｍｋｎとの差分Ｄｋ＝｜ＲＳｉｊｎ−Ｒｍｋｎ｜を計算し、得られた差分Ｄｋが最小差分Ｄｋ＿ｍｉｎより小さい場合には、差分Ｄｋで最小差分Ｄｋ＿ｍｉｎを更新する（ステップ１４５）。
【００６８】
この後、類似度計算部１３Ａは、選択短時間フローＦＳｉｊをフラグなどにより処理済みとし（ステップ１４６）、分類対象となる同時フローＦＣｉに含まれる全ての短時間フローＦＳｉｊについて処理が終了したか確認する（ステップ１４７）。
【００６９】
ここで、未処理の短時間フローＦＳｉｊが存在する場合（ステップ１４７：ＮＯ）、ステップ１４４へ戻って次の短時間フローＦＳｉｊの処理を繰り返し実行する。また、全ての短時間フローＦＳｉｊについて処理が終了している場合（ステップ１４７：ＹＥＳ）、類似度計算部１３Ａは、これら最小差分Ｄｋ＿ｍｉｎに基づいて、分類対象となる同時フローＦＣｉと選択サービスカテゴリＸｍとの、特徴種別Ｙｎに関する種別類似度Ｓｉｍｎを計算する（ステップ１４８）。この種別類似度Ｓｉｍｎについては、例えば、これら最小差分Ｄｋ＿ｍｉｎの合計値などを用いてもよく、他の計算方法を用いてもよい。
【００７０】
この後、類似度計算部１３Ａは、選択サービスカテゴリＸｍについてフラグなどにより処理済みとし（ステップ１４９）、全てのサービスカテゴリＸについて処理済みか確認する（ステップ１５０）。
ここで、未処理のサービスカテゴリが存在する場合（ステップ１５０：ＮＯ）、ステップ１４２に戻って次のサービスカテゴリＸｍの処理を繰り返し実行する。また、全てのサービスカテゴリＸについて処理が終了している場合（ステップ１５０：ＹＥＳ）、類似度計算部１３Ａは、同時フローＦＣｉと各サービスカテゴリＸｍとの、特徴種別Ｙｎに関する、種別類似度Ｓｉｍｎを出力し（ステップ１５１）、一連の類似度計算処理を終了する。
【００７１】
［分類判定処理］
次に、図１５および図１６を参照して、本実施の形態にかかるサービスカテゴリ分類部１３における分類判定動作について説明する。図１５は、分類判定処理を示すフローチャートである。図１６は、分類判定処理を示す説明図である。
【００７２】
サービスカテゴリ分類部１３の類似度統合部１３Ｐと分類判定部１３Ｑは、分類対象となる同時フローＦＣｉをサービスカテゴリＸのいずれかに分類する際、図１５の類似度計算処理を実行する。ここでは、類似度統合部１３Ｐと分類判定部１３Ｑにおいて、入力パケット列から生成された任意の同時フローＦＣｉの分類判定を行う場合を例として説明する。なお、類似度統合部１３Ｐと分類判定部１３Ｑでの分類判定処理は、入力パケット列から生成された、分類対象となるすべての同時フローＦＣについて、繰り返し実行される。
【００７３】
類似度統合部１３Ｐは、まず、類似度計算部１３Ａ〜１３Ｎから、すべての特徴種別Ｙについて、サービスカテゴリＸ別の種別類似度Ｓｉｍｎを取得して（ステップ１６０）、サービスカテゴリＸｍごとに、例えば種別類似度Ｓｉｍｎの合計値など、これら種別類似度Ｓｉｍｎを統計処理することにより、すべての特徴種別Ｙを考慮した、同時フローＦＣｉに関する、サービスカテゴリＸｍごとのカテゴリ類似度Ｓｉｍを計算する（ステップ１６１）。
【００７４】
次に、分類判定部１３Ｑは、類似度統合部１３Ｐで得られたサービスカテゴリＸｍごとのカテゴリ類似度Ｓｉｍのうちから、その最小値、すなわち最も類似性の高い最高類似度Ｓｉｈを選択し（ステップ１６２）、最高類似度Ｓｉｈと有意しきい値Ｓｔｈとを比較することにより、有意範囲に含まれているか確認する（ステップ１６３）。
ここで、最高類似度Ｓｉｈが有意しきい値Ｓｔｈより小さく、有意範囲に含まれている場合（ステップ１６３：ＹＥＳ）、分類判定部１３Ｑは、分類対象となる同時フローＦＣｉに対して、最高類似度Ｓｉｈと対応するサービスカテゴリＸｍを付加することにより、同時フローＦＣｉをサービスカテゴリＸｍに分類する（ステップ１６４）。
【００７５】
一方、最高類似度Ｓｉｈが有意しきい値Ｓｔｈ以上で、有意範囲に含まれていない場合（ステップ１６３：ＮＯ）、分類判定部１３Ｑは、分類対象となる同時フローＦＣｉに対して、新たなサービスカテゴリＸｎｅｗを付加することにより、同時フローＦＣｉを既存のサービスカテゴリではなく、新たなサービスカテゴリＸｎｅｗに分類する（ステップ１６５）。
このようにして、分類対象となる同時フローＦＣｉをいずれかのサービスカテゴリＸに分類した後、分類判定部１３Ｑは、分類したサービスカテゴリＸに対応して登録されているサービスカテゴリ名と、入力パケット列から取得した当該同時フローＦＣｉに関する送信先アドレスや、入力パケット列から計算したトラヒック量などのトラヒック情報とを管理端末２０へ出力して画面表示し（ステップ１６６）、一連の分類判定処理を終了する。
【００７６】
［第１の実施の形態の効果］
このように、本実施の形態では、一定期間内に発生した複数のフローを１つの同時フローとして統合し、さらに１つの同時フローに含まれる、一定の単位到着間隔内に到着した複数のパケットを、１つの短時間フローとして統合し、これら短時間フローごとにフロー特徴量を計算して、既存のサービスカテゴリとの類似性を判定するようにしたので、同時フロー内に含まれるパケットの周期性を抽出することができ、高い分類精度を得ることができる。
【００７７】
また、サービスカテゴリごとの類似性のうち、最も高い類似性を示す類似度が有意範囲に含まれない場合には、新たなサービスカテゴリに分類するようにしたので、既存サービスカテゴリでは含まれていない新たなアプリケーションのフローについても、正確に分類することができる。このため、いずれか類似性の低いサービスカテゴリに分類してしまうような誤分類の発生を抑止することが可能となる。
【００７８】
したがって、本実施の形態をデータ通信サービスのネットワーク管理に適用すれば、映像フローのような品質条件が厳しいフローに対して優先制御を行う等のトラヒック制御を用いることで、同じ設備量でよりユーザ満足度の高いネットワークを提供することができる。また、アプリケーションごとのトラヒック需要量を正確に把握できるため、高精度なトラヒック需要の予測を行うことができ、結果として、ユーザ満足度の更なる向上を実現することが可能となる。
【００７９】
また、本実施の形態によれば、各フローを同時フローへ統合する際、パケットの送信先ＩＰアドレスが同一のフローを同時フローへ統合するようにしたので、映像データ、メタデータ、プレイヤーを異なるサーバから受信するような映像配信サービスであっても、当該フローを、対応するサービスカテゴリへ正確に分類できる。
【００８０】
また、本実施の形態によれば、各短時間フローのフロー特徴量を計算する際、パケットのヘッダ情報に含まれるパケットのパケット数、パケットサイズ、または到着間隔を統計処理することによりフロー特徴量を計算するようにしたので、パケットのペイロード部に格納されているユーザ情報を解析する必要がない。このため、プライバシーやセキュリティの面でも高い安全性が得られるとともに、ペイロード部が暗号化されているフローについても精度良く分類することが可能となる。
【００８１】
［第２の実施の形態］
次に、図１７を参照して、本発明の第２の実施の形態にかかるフロー分類システム１０について説明する。図１７は、第２の実施の形態にかかるフロー分類システムの構成を示すブロック図である。
【００８２】
本実施の形態は、第１の実施の形態と比較して、学習処理部１４が追加されている。
学習処理部１４は、サービスカテゴリＸが既知である、複数の短時間フローＦＳに関するフロー特徴量ＲＳや、サービスカテゴリ分類部１３で得られた分類判定後のフロー特徴量ＲＳからなる学習データに基づいて、各サービスカテゴリＸｍごとに、特徴種別Ｙｎの代表特徴量Ｒｍｎを計算して、特徴量ＤＢ１２へ登録する機能を有している。
【００８３】
図１８は、学習処理部の構成を示すブロック図である。
学習処理部１４には、主な処理部として、教師データ記憶部１４Ａ、サービスカテゴリ作成部１４Ｂ、および代表特徴量計算部１４Ｃが設けられている。
【００８４】
教師データ記憶部１４Ａは、ハードディスクなどの記憶装置からなり、短時間フローＦＳｉｊを構成する教師パケット列と、当該短時間フローＦＳｉｊの分類先となるアプリケーションとの組が、教師データとして登録されている。
この教師データとしては、サービスカテゴリ分類部１３の分類判定部１３Ｑで分類した分類判定後の短時間フローとそのサービスカテゴリとを用いてもよい。
【００８５】
サービスカテゴリ作成部１４Ｂは、教師データ記憶部１４Ａから読み出した教師パケットについて、トラヒックデータ収集部１３での入力パケット列と同様にして、短時間フローＦＳを生成するとともに、当該短時間フローＦＳのフロー特徴量ＲＳを、特徴種別Ｙごとに計算する機能と、これら教師データに含まれるアプリケーションのうちから選択した２つのアプリケーションごとに、これらアプリケーションに関するフロー特徴量の分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散σｗ2とクラス間分散σｂ2との分散比Ｊを、特徴種別Ｙごとに計算する機能と、得られた分散比Ｊの最小値Ｊｍｉｎが判定しきい値Ｊｔｈより小さい場合には、これらアプリケーションを同一サービスカテゴリに分類し、得られた分散比が判定しきい値以上の場合には、これらアプリケーションを別個のサービスカテゴリに分類することにより、サービスカテゴリＸを作成する機能とを有している。
【００８６】
代表特徴量計算部１４Ｃは、サービスカテゴリ作成部１４Ｂで作成された各サービスカテゴリＸｍについて、当該サービスカテゴリＸｍに分類されたアプリケーションのフロー特徴量ＲＳから、当該サービスカテゴリＸｍに分類されるフローの特徴を示す代表特徴量Ｒｍを、特徴種別Ｙごとに計算して、特徴量ＤＢ１２へ保存する機能とを有している。
【００８７】
［サービスカテゴリ作成動作］
次に、図１９を参照して、本実施の形態にかかる学習処理部１４におけるサービスカテゴリ作成動作について説明する。図１９は、サービスカテゴリ作成処理を示すフローチャートである。
【００８８】
学習処理部１４のサービスカテゴリ作成部１４Ｂは、教師データからサービスカテゴリを作成する際、図１９のサービスカテゴリ作成処理を実行する。ここでは、サービスカテゴリ作成部１４Ｂにおいて、教師データ記憶部１４Ａの教師パケット列からの短時間フローＦＳの生成とそのフロー特徴量ＲＳの計算がすでに実行されて、教師データ記憶部１４Ａに登録されていることを前提として、特徴種別Ｙのうち特徴種別ＹｎについてサービスカテゴリＸを作成する場合を例として説明する。
【００８９】
サービスカテゴリ作成部１４Ｂは、まず、教師データ記憶部１４Ａから、アプリケーション別で、各短時間フローＦＳのフロー特徴量ＲＳを取得して（ステップ２００）、サービスカテゴリ作成処理を実行していない未処理の特徴種別Ｙｎを１つ選択し（ステップ２０１）、これらアプリケーションの２つの組のうちから、サービスカテゴリ作成処理を実行していない未処理のアプリケーション組を１つ選択する（ステップ２０２）。
【００９０】
次に、サービスカテゴリ作成部１４Ｂは、選択アプリケーション組であるそれぞれのアプリケーションについて、当該アプリケーションに分類されている各短時間フローＦＳのフロー特徴量ＲＳから、その分散、平均値、および要素数に基づいて、当該アプリケーション間のクラス内分散σｗ2とクラス間分散σｂ2とその分散比Ｊを計算する（ステップ２０３）。
【００９１】
この際、アプリケーションｘに関するフロー特徴量ＲＳの分散をσｘ、要素数をωｘ、平均値をｍｘとし、アプリケーションｙに関するフロー特徴量ＲＳの分散をσｙ、要素数をωｙ、平均値をｍｙとした場合、アプリケーションｘ，ｙのクラス内分散σｗ2、クラス間分散σｂ2、およびこれらクラス内分散σｗ2とクラス間分散σｂ2の分散比Ｊは、次の式（１）、式（２）、および式（３）で計算される。
【数１】
0005476643.tif 000002
【数２】
0005476643.tif 000003
【数３】
0005476643.tif 000004
【００９２】
この後、サービスカテゴリ作成部１４Ｂは、選択アプリケーション組についてフラグなどにより処理済みとし（ステップ２０４）、全てのアプリケーション組について処理済みか確認する（ステップ２０５）。
ここで、未処理のアプリケーション組が存在する場合（ステップ２０５：ＮＯ）、ステップ２０２に戻って次のサービスカテゴリＸｍの処理を繰り返し実行する。
【００９３】
また、全てのアプリケーション組について処理が終了している場合（ステップ２０５：ＹＥＳ）、サービスカテゴリ作成部１４Ｂは、アプリケーション組ごとに計算した分散比Ｊのうちから最小分散比Ｊｍｉｎ選択し、予め設定されている判定しきい値Ｊｔｈと比較する（ステップ２０６）。
ここで、最小分散比Ｊｍｉｎが判定しきい値Ｊｔｈより小さい場合（ステップ２０６：ＹＥＳ）、サービスカテゴリ作成部１４Ｂは、最小分散比Ｊｍｉｎが得られたアプリケーション組の２つのアプリケーションを１つのアプリケーションに統合し（ステップ２０７）、ステップ２０２へ移行して、次のアプリケーション組の処理を繰り返し実行する。
【００９４】
一方、最小分散比Ｊｍｉｎが判定しきい値Ｊｔｈ以上の場合（ステップ２０６：ＮＯ）、サービスカテゴリ作成部１４Ｂは、選択アプリケーション組の２つのアプリケーションを別個のサービスカテゴリと判定し、アプリケーションの統合は行わない。
【００９５】
このようにして、各アプリケーション組についてアプリケーションの統合可否を判定した後、サービスカテゴリ作成部１４Ｂは、選択特徴種別Ｙｎについてフラグなどにより処理済みとし（ステップ２０７）、全ての特徴種別Ｙについて処理済みか確認する（ステップ２０８）。
ここで、未処理の特徴種別Ｙｎが存在する場合（ステップ２０８：ＮＯ）、ステップ２０１に戻って次の特徴種別Ｙｎの処理を繰り返し実行する。
【００９６】
また、全ての特徴種別Ｙｎについて処理が終了している場合（ステップ２０８：ＹＥＳ）、サービスカテゴリ作成部１４Ｂは、統合されたアプリケーションおよび統合できなかったアプリケーションごとに、サービスカテゴリをそれぞれ作成する（ステップ２０９）。この後、サービスカテゴリ作成部１４Ｂは、これらサービスカテゴリ別で、各短時間フローＦＳのフロー特徴量ＲＳを出力し（ステップ２１０）、一連のサービスカテゴリ作成処理を終了する。
【００９７】
［代表特徴量計算動作］
次に、図２０を参照して、本実施の形態にかかる学習処理部１４における代表特徴量計算動作について説明する。図２０は、代表特徴量計算処理を示すフローチャートである。
【００９８】
学習処理部１４の代表特徴量計算部１４Ｃは、サービスカテゴリ作成部１３Ｂで作成された各サービスカテゴリの代表特徴量を計算する際、図２０の代表特徴量計算処理を実行する。
【００９９】
代表特徴量計算部１４Ｃは、まず、サービスカテゴリ作成部１３Ｂから、サービスカテゴリ別で、各短時間フローＦＳのフロー特徴量ＲＳを取得し（ステップ２２０）、代表特徴量計算処理を実行していない未処理のサービスカテゴリＸｍを１つ選択し（ステップ２２１）、代表特徴量計算処理を実行していない未処理の特徴種別Ｙｎを１つ選択する（ステップ２２２）。
【０１００】
次に、代表特徴量計算部１４Ｃは、取得したフロー特徴量ＲＳのうちから、選択サービスカテゴリＸｍで選択特徴種別Ｙｎに関するフロー特徴量ＲＳｍｎを選択し（ステップ２２３）、これら選択フロー特徴量を、例えばＬＢＧ（Linde-Buzo-Gray）＋ｓｐｌｉｔｔｉｎｇアルゴリズムなどのベクトル量子化処理を用いて、Ｋ個のクラスタにクラスタリングした後、これらクラスタｋごとに、当該クラスタに属するフロー特徴量ＲＳｍｋｎから、例えば当該クラスタの中心値などからなる代表特徴量Ｒｍｋｎを計算する（ステップ２２４）。
【０１０１】
この後、代表特徴量計算部１４Ｃは、選択特徴種別Ｙｎについてフラグなどにより処理済みとし（ステップ２２５）、全ての特徴種別Ｙについて処理済みか確認する（ステップ２２６）。
ここで、未処理の特徴種別Ｙｎが存在する場合（ステップ２２６：ＮＯ）、ステップ２２２に戻って次の特徴種別Ｙｎの処理を繰り返し実行する。また、全ての特徴種別Ｙｎについて処理が終了している場合（ステップ２２６：ＹＥＳ）、代表特徴量計算部１４Ｃは、選択サービスカテゴリＸｍについてフラグなどにより処理済みとし（ステップ２２７）、全てのサービスカテゴリＸについて処理済みか確認する（ステップ２２８）。
【０１０２】
ここで、未処理のサービスカテゴリＸｍが存在する場合（ステップ２２８：ＮＯ）、ステップ２２１に戻って次のサービスカテゴリＸｍの処理を繰り返し実行する。また、全てのサービスカテゴリＸｍについて処理が終了している場合（ステップ２２８：ＹＥＳ）、代表特徴量計算部１４Ｃは、サービスカテゴリＸｍ別で、各特徴種別Ｙｎに関する代表特徴量Ｒｍｎを特徴量ＤＢ１２へ登録し（ステップ２２９）、一連の代表特徴量計算処理を終了する。
【０１０３】
［第２の実施の形態の効果］
このように、本実施の形態によれば、各種データ通信サービスのうち、ＦＴＰとファイル転送や、メール受信とメール送信、あるいはチャットとメッセンジャーなど、ほぼ同様の機能を持つデータ通信サービスを提供する複数のアプリケーションが１つのサービスカテゴリに統合されるため、元々トラヒック特性が近しいアプリケーションを、１つのサービスカテゴリとして分類することができ、通信網の設計・運用・管理において、極めて有用な分類結果を得ることができる。
【０１０４】
また、本実施の形態では、サービスカテゴリ作成部１４Ｂで、２つのアプリケーションごとに、これらアプリケーションのフロー特徴量から、当該アプリケーション間のクラス内分散とクラス間分散との分散比を計算し、得られた分散比に応じてアプリケーションの統合可否を判定するようにしたので、極めて高い精度でアプリケーションを統合することができる。
【０１０５】
また、本実施の形態では、代表特徴量計算部１４Ｃで、当該サービスカテゴリに分類されたアプリケーションのフロー特徴量をクラスタリングし、得られたクラスタごとに計算した、当該クラスタに属するフロー特徴量を代表する代表値を代表特徴量として用いるようにしたので、極めて高い精度で入力パケット列に含まれる各フローをサービスアプリケーションに分類できる。
【０１０６】
［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
【符号の説明】
【０１０７】
１０…フロー分類システム、１１…トラヒックデータ収集部、１１Ａ…フロー生成部、１１Ｂ…同時フロー生成部、１１Ｃ…短時間フロー生成部、１１Ｄ…特徴量計算部、１１Ｅ…トラヒック情報ＤＢ、１２…特徴量ＤＢ、１３…サービスカテゴリ分類部、１３Ａ〜１３Ｎ…類似度算出部、１３Ｐ…類似度統合部、１３Ｑ…分類判定部、１４…学習処理部、１４Ａ…教師データ記憶部、１４Ｂ…サービスカテゴリ作成部、１４Ｃ…代表特徴量計算部、２０…管理端末、３０…通信網、Ｆ…フロー、ＦＣ，ＦＣｉ…同時フロー、ＦＳ，ＦＳｉｊ…短時間フロー、ｔｆ…基準到着間隔、ｔｃ…基準開始間隔、ｔｓ…単位到着間隔、ＲＳ，ＲＳｉｊ，ＲＳｉｊｎ…フロー特徴量、Ｘ，Ｘｍ，Ｘｎｅｗ…サービスカテゴリ、Ｙ，Ｙｎ…特徴種別、Ｒ，Ｒｍｎ，Ｒｍｋｎ…代表特徴量、Ｄ，Ｄｋ…差分、Ｄｋ＿ｍｉｎ…最小差分、Ｓ，Ｓｉｍ，Ｓｉｍｎ…類似度、Ｓｉｈ…最高類似度、Ｓｔｈ…有意しきい値、σｘ，σｙ…分散（フロー特徴量）、ωｘ，ωｙ…要素数（フロー特徴量）、ｍｘ，ｍｙ…平均値（フロー特徴量）、σｗ2…クラス内分散、σｂ2…クラス間分散、Ｊ…分散比、Ｊｔｈ…判定しきい値。
【図１】
0005476643.tif 000005
【図２】
0005476643.tif 000006
【図３】
0005476643.tif 000007
【図４】
0005476643.tif 000008
【図５】
0005476643.tif 000009
【図６】
0005476643.tif 000010
【図７】
0005476643.tif 000011
【図８】
0005476643.tif 000012
【図９】
0005476643.tif 000013
【図１０】
0005476643.tif 000014
【図１１】
0005476643.tif 000015
【図１２】
0005476643.tif 000016
【図１３】
0005476643.tif 000017
【図１４】
0005476643.tif 000018
【図１５】
0005476643.tif 000019
【図１６】
0005476643.tif 000020
【図１７】
0005476643.tif 000021
【図１８】
0005476643.tif 000022
【図１９】
0005476643.tif 000023
【図２０】
0005476643.tif 000024