(57)【要約】【課題】  ネットワーク上の任意の測定地点で採取された通信ログを元に、特定の通信プロトコルに限定することなく、ユーザの行動による通信と機械的起因の通信を区別する。【解決手段】  本発明は、通信データ記憶手段から連続する二つの通信データXn，Xn+1を取得して、該通信データXn，Xn+1の時間間隔が所定の閾値Tc以上場合は、該二つの通信データはそれぞれ別の通信クラスタであるとし、該通信データXn+1を代表的通信とし、該閾値Tcより小さい場合は、同一通信クラスタであり、該Xn+1は従属的通信と判定し、代表的通信となった通信データXn+1の次の通信データXn+2を通信データ記憶手段から取得して、該通信データXn+2と該通信データXn+1の差が所定の代表的通信識別閾値Tfより小さい場合は、該通信データXn+1を従属的通信とし、分類結果を、該通信データを一意に示す通信識別子と共に分類結果記憶手段に格納する。【選択図】  図４
2014154888.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上を流れる多種多様な通信から、ユーザの操作に直接的に起因する通信（以下、「代表的通信」と記す）と、それに連動して機械的に送信される通信（以下、「従属的通信」と記す）とに分類するための通信分類装置であって、
ネットワーク上を流れる通信をキャプチャすることにより得られた通信データ、または、収集された通信ログが入力されると、入力順に通信データ記憶手段に格納する入力手段と、
前記通信データ記憶手段から連続する二つの通信データXn，Xn+1を取得して、該通信データXn，Xn+1の時間間隔が所定の閾値Tc以上場合は、該二つの通信データはそれぞれ別の通信クラスタであるとし、該通信データXn+1を代表的通信とし、該閾値Tcより小さい場合は、同一通信クラスタであり、該Xn+1は従属的通信と判定する時間間隔比較手段と、
前記代表的通信となった前記通信データXn+1の次の通信データXn+2を前記通信データ記憶手段から取得して、該通信データXn+2と該通信データXn+1の差が所定の代表的通信識別閾値Tfより小さい場合は、該通信データXn+1を従属的通信とする代表的通信識別手段と、
前記時間間隔比較手段及び前記代表的通信識別手段の分類結果を、該通信データを一意に示す通信識別子と共に分類結果記憶手段に格納する結果格納手段と、
を有することを特徴とする通信分類装置。
【請求項２】
前記分類結果記憶手段の通信クラスタに代表的通信が欠落している不完全クラスタがある場合、該分類結果記憶手段の他の通信クラスタの従属的通信群の類似度が所定の閾値を超え、かつ、最も類似度が高い完全な通信クラスタの代表的通信を、該不完全クラスタの代表的通信とする通信分類補完手段を更に有する
請求項１記載の通信分類装置。
【請求項３】
前記通信データ記憶手段は、
ユーザ毎の通信データが一定時間以上観測されない場合には、削除する手段を含む
請求項１記載の通信分類装置。
【請求項４】
ネットワーク上を流れる多種多様な通信から、ユーザの操作に直接的に起因する通信（以下、「代表的通信」と記す）と、それに連動して機械的に送信される通信（以下、「従属的通信」と記す）とに分類するための通信分類方法であって、
入力手段、時間間隔比較手段、代表的通信識別手段、結果格納手段を有する装置において、
前記入力手段が、ネットワーク上を流れる通信をキャプチャすることにより得られた通信データ、または、収集された通信ログが入力されると、入力順に通信データ記憶手段に格納する入力ステップと、
前記時間間隔比較手段が、前記通信データ記憶手段から連続する二つの通信データXn，Xn+1を取得して、該通信データXn，Xn+1の時間間隔が所定の閾値Tc以上場合は、該二つの通信データはそれぞれ別の通信クラスタであるとし、該通信データXn+1を代表的通信とし、該閾値Tcより小さい場合は、同一通信クラスタであり、該Xn+1は従属的通信と判定する時間間隔比較ステップと、
前記代表的通信識別手段が、前記代表的通信となった前記通信データXn+1の次の通信データXn+2を前記通信データ記憶手段から取得して、該通信データXn+2と該通信データXn+1の差が所定の代表的通信識別閾値Tfより小さい場合は、該通信データXn+1を従属的通信とする代表的通信識別ステップと、
前記時間間隔比較ステップ及び前記代表的通信識別ステップの分類結果を、該通信データを一意に示す通信識別子と共に分類結果記憶手段に格納する結果格納ステップと、
を行うことを特徴とする通信分類方法。
【請求項５】
通信分類補完手段が、前記分類結果記憶手段の通信クラスタに代表的通信が欠落している不完全クラスタがある場合、該分類結果記憶手段の他の通信クラスタの従属的通信群の類似度が所定の閾値を超え、かつ、最も類似度が高い完全な通信クラスタの代表的通信を、該不完全クラスタの代表的通信とする通信分類補完ステップを更に行う
請求項４記載の通信分類方法。
【請求項６】
前記入力ステップにおいて、
ユーザ毎の通信データが一定時間以上観測されない場合には、通信データ記憶手段のデータを削除する
請求項４記載の通信分類方法。
【請求項７】
コンピュータを、
請求項１乃至３のいずれか１項に記載の通信分類装置の各手段として機能させるための通信分類プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信分類装置及び方法及びプログラムに係り、特にネットワーク上を流れる多種多様な通信から、ユーザの操作に直接的に起因する通信と、それに連動して機械的に送出される通信を分類するための通信分類装置及び方法及びプログラムに関する。
【０００２】
詳しくは、利用者が通信の分析において、同一ユーザから発せられる複数の通信を集約し、それらを分類することでユーザ単位の通信分析を容易にする技術に関わる。
【背景技術】
【０００３】
近年、多様化した通信トラフィックを効率よく解析するために、解析の用途に応じた様々な通信の分類手法が考案されている。
【０００４】
一般的な通信の集約の例として、同一の送信元と宛先アドレスを持つパケットを集約するフローや、TCPに代表される、プロトコルの状態遷移の開始から終了に至る双方向の通信ノードでやりとりされた一連パケットをセッションという形で集約する方式が存在する。 これらの方式はプロトコルの性質に基づき、パケットをより有意義な通信単位に集約をする。それにより特定の解析処理を簡易化し、通信ログを保存する際のストレージ・サイズを削減することができる。一方でフローやセッションの生成個数は、通信ソフトウェアや通信先のネットワークやコンテンツの構造の影響で大きく変動する。したがって、ユーザの行動分析などより高次元の分析を試みる場合は、さらに通信を集約する必要が生じる。
【０００５】
非特許文献１の技術は、Webサーバの通信ログとユーザの行動パターンに着目して、より高次な通信の集約を試みている。具体的には、Webサーバのログに記録された時刻情報とユーザのIPアドレスやアクセス対象コンテンツの情報を元に、各ユーザの連続的なアクセスがどの程度継続するかの測定を実施する。そして、ユーザ毎のWebセッションの継続時間およびセッションの境界を検出し、ユーザのセッションに基づく通信の集約を試みている。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】D He, A Goker, "Detecting session boundaries from web user logs", Proceedings of the BCS-IRSG 22nd annual colloquium on information retrieval research, pp.57--66, 2000.
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記の非特許文献１の技術には、以下の3点の指摘事項がある。
【０００８】
１）この先行研究において、 時間間隔を用いてセッションを切り分ける目的は、セッションの継続時間を計測することである。本発明が提案する通信クラスタは、複数の通信を通信クラスタとして集約することで、通信同士の関係性を可視化することが目的であり、通信の継続時間を得ることが目的ではない。単純に時間間隔を用いて通信を区別するという点において、本発明と先行研究では目的が異なる。
【０００９】
２）この先行研究では、ユーザごとの各セッションを区別する基準として、 隣接する通信ログの時間間隔のみを用いている。「各セッションがどの通信をきっかけに生じたのか」という判断に基づく通信の切り分けは行っていない。この先行研究の手法では、セッションのきっかけとなる通信が識別できないため、ユーザが実際に操作したことによる通信と、それに伴い発生したソフトウェアによる機械的起因の通信を区別することができない。
【００１０】
３）この先行研究はWebサーバのログを用いることから、通信の測定箇所はネットワークの末端に設置されたサーバでなければならない。そのため、ネットワークの中間ノードでの測定には応用できず、また測定対象のプロトコルはHTTP(Hyper Text Transfer Protocol)/HTTPS(Hyper Transfer Protocol over Secure Socket Layer)に限定されるため、対象プロトコルの汎用性に乏しい。
【００１１】
本発明は、上記の点に鑑みなされたもので、ネットワーク上の任意の測定地点で採取された通信ログを元に、特定の通信プロトコルに限定することなく、ユーザの行動による通信と機械的起因の通信を区別し、複数の通信を集約することで、ユーザの行動分析に適した通信の分類結果を得ることが可能な通信分類装置及び方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記の課題を解決するため、本発明（請求項１）は、ネットワーク上を流れる多種多様な通信から、ユーザの操作に直接的に起因する通信（以下、「代表的通信」と記す）と、それに連動して機械的に送信される通信（以下、「従属的通信」と記す）とに分類するための通信分類装置であって、
ネットワーク上を流れる通信をキャプチャすることにより得られた通信データ、または、収集された通信ログが入力されると、入力順に通信データ記憶手段に格納する入力手段と、
前記通信データ記憶手段から連続する二つの通信データXn，Xn+1を取得して、該通信データXn，Xn+1の時間間隔が所定の閾値Tc以上場合は、該二つの通信データはそれぞれ別の通信クラスタであるとし、該通信データXn+1を代表的通信とし、該閾値Tcより小さい場合は、同一通信クラスタであり、該Xn+1は従属的通信と判定する時間間隔比較手段と、
前記代表的通信となった前記通信データXn+1の次の通信データXn+2を前記通信データ記憶手段から取得して、該通信データXn+2と該通信データXn+1の差が所定の代表的通信識別閾値Tfより小さい場合は、該通信データXn+1を従属的通信とする代表的通信識別手段と、
前記時間間隔比較手段及び前記代表的通信識別手段の分類結果を、該通信データを一意に示す通信識別子と共に分類結果記憶手段に格納する結果格納手段と、を有する。
【００１３】
また、本発明（請求項２）は、前記分類結果記憶手段の通信クラスタに代表的通信が欠落している不完全クラスタがある場合、該分類結果記憶手段の他の通信クラスタの従属的通信群の類似度が所定の閾値を超え、かつ、最も類似度が高い完全な通信クラスタの代表的通信を、該不完全クラスタの代表的通信とする通信分類補完手段を更に有する。
【００１４】
また、本発明（請求項３）は、前記通信データ記憶手段において、
ユーザ毎の通信データが一定時間以上観測されない場合には、削除する手段を含む。
【発明の効果】
【００１５】
上述のように本発明によれば、ネットワーク上の任意の測定地点で採取された通信ログを元に、特定の通信プロトコルに限定することなく、ユーザの行動による通信と機械的起因の通信を区別し、複数の通信を集約することで、ユーザの行動分析に適した通信の分類結果を得る技術に適用することが可能になる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施の形態における通信解析方法の概要１を示す図である。
【図２】本発明の一実施の形態における通信解析方法の概要２を示す図である。
【図３】本発明の一実施の形態における通信解析方法の概要３を示す図である。
【図４】本発明の一実施の形態における通信分類装置の構成例である。
【図５】本発明の一実施の形態における通信分類部の動作のフローチャートである。
【図６】本発明の一実施の形態における通信分類部及び通信分類補完部の出力データ例である。
【発明を実施するための形態】
【００１７】
以下、図面と共に本発明の実施の形態を説明する。
【００１８】
まず、本発明の概要を説明する。
【００１９】
本発明が適用可能な通信は、ある特定のユーザから送出される通信に着目した際に、特定の通信をきっかけとして、それに続く形で、通信が連続的かつ集中的に発生していることが認められる通信である。例えば、TCP(Transmission Control Protocol)通信におけるコネクション要求やDNS(Delivery Status Notification)クエリ要求パケット、HTTPのセッション等が該当する。
【００２０】
本発明は、あるユーザが特定の目的を達成するために発生させる一連の通信の中で、最初のきっかけとなる通信と、その通信に対して従属的に生じる通信を識別することである。
【００２１】
対象とする通信がステートフルなプロトコルである場合、各セッションを行使する一連のパケットにおける、最初の通信開始要求パケットを抽出して、本発明のシステムへの入力とする。例えば、TCP通信の場合はsynフラグのパケット、HTTP通信の場合は、GET要求パケットである。
【００２２】
対象とする通信がステートレスなプロトコルである場合、ユーザがサーバに要求するパケットそれぞれを、本発明のシステムへの入力とする。例えば、DNS通信の場合、DNSクエリ要求パケットとなる。
【００２３】
次に、本発明の通信の分類方法について説明する。
【００２４】
図１は、本発明の一実施の形態における通信解析方法の概要を示す。
【００２５】
同一のユーザによる同一の目的を持った連続的な一連の通信において、最初のきっかけとなる通信を「代表的通信」、それに続く従属的な通信は「従属的通信」と表記する。
【００２６】
同図の通信クラスタとは、１つの代表的通信と、複数の従属的通信で構成される。本発明は通信ログから通信クラスタを正確に分類することが最終目的となる。
【００２７】
図１におけるＡ１からＡ３までの通信に着目した場合、Ａ１の通信が行われた後で、連続的に、Ａ２，Ａ３の通信が発生しているため、Ａ１が代表的通信、Ａ２，Ａ３が従属的通信となる。Ｃ１からＣ３の通信についても同様である。
【００２８】
通信Ｂ１は、前後の通信と連続しておらず、かつ前後と通信と十分な時間が空いているため、独立した通信クラスタ（通信クラスタＢ）に１つの代表的通信が属している形となる。ここでの「十分な時間」は通信クラスタを分類するための重要なパラメータとなる。これについては、図２にて後述する。
【００２９】
Ｄ１からＤ４のように、全ての通信を従属的通信とみなす場合が存在する。その場合の当該クラスタは不完全な通信クラスタとする。このようなケースの詳細は図の説明で述べる。また、不完全クラスタを用いた応用技術については後述する。
【００３０】
［１］通信分類方法：
以下に、通信分類方法について説明する。
【００３１】
図２は、本発明の一実施の形態における通信解析方法の概要２を示す。同図において、太線矢印は代表的通信を示し、破線矢印は従属的通信を示す。
【００３２】
図２では、X１からX１０までの通信に対して、通信間の間隔をそれぞれt1からt9まで示している。各通信が属する通信クラスタはまだ不明な状態であると仮定する。
【００３３】
（１）通信クラスタへの分類：
通信の通信クラスタの分類にあたり、通信クラスタ間閾値Tcをパラメータとしてそれぞれ設定する。Tcは２つの連続する通信において、それぞれの通信クラスタが異なると見做す最小時間間隔を表す。
【００３４】
また、任意の連続する２通信の時間間隔がTcより大きい場合は、その２通信はそれぞれ別の通信クラスタであると見做す。例えば、図２において、t1≧Tcとなる場合は、X１とX２は別の通信と見做す。一方で、t2＜Tcとなる場合は、X２とX３は同一の通信クラスタに属すると見做す。
【００３５】
上記の方法では、あるユーザが同時並行で複数の通信を行っていた場合、１つの通信クラスタに当該ユーザの複数の異なる種類の通信が紛れ込み、通信クラスタを正しく判別できない場合がある。上記手法では、通信間の時間差情報を用いて通信の大雑把な分類結果を得ることであり、通信分類の確実な精度を保証するものではない。従って誤った通信クラスタの分類判定は、本発明の範囲ではなく、本発明を用いた上位の分析システムで考慮するものとする。
【００３６】
（２）代表的通信の検出：
通信クラスタの分類にあたり、代表的通信識別閾値Tfをパラメータとしてそれぞれ設定する。Tfは時間間隔であり、代表的通信が存在しない通信クラスタを検出するために用いる。但し、Tf＜Tcである。
【００３７】
原則として、上記の（１）通信クラスタへの分類の手法で得られた各通信クラスタの先頭の通信を代表的通信と見做す。例えば、図２の通信クラスタＢにおいて、X２は最初に出現した通信なので、代表的通信と見做す。X３以降は従属的通信となる。代表的通信が存在しないと見做す例外については次項で述べる。
【００３８】
代表的通信と従属的通信の時間間隔が閾値Tfより小さい場合は、代表的通信が欠落していると見做し、代表的通信を従属的通信に変更する。加えて、当該通信クラスタを不完全クラスタとする。例えば、図２の通信クラスタＣにおいて、t7＜Tfである場合は、X７は従属的通信と見做す。この理由については、図３にて後述する。
【００３９】
（３）パラメータの選択方法：
閾値Tc及びTfは、測定対象とするネットワーク環境やプロトコルに応じて、通信クラスタまたは代表的通信が適切に分類される最適値を、事前の試行により決定する。Tc及びTfは必ずしも固定値である必要はない。一定の学習期間を設けて最適なTcまたはTfを学習して動的に決定することも可能である。
【００４０】
［２］代表的通信の補完方法：
次に、上記の技術の拡張として、代表的通信が観測されなかった場合の補完手法について説明する。
【００４１】
図３は、本発明の一実施の形態における通信解析方法の概要３を示す。同図において、黒丸は代表的通信を示し、白丸は従属的通信を示す。
【００４２】
通信には、図１及び図２の手法では代表的通信を選べないケースが存在する。そのケースとは、本来発信されるべき通信が発信者側でキャッシュされているために発信されないケースである。具体的には、例えば、DNS通信において問い合わせるレコードが発信者側のローカルキャッシュに既に存在した場合は、DNS問い合わせが行われないようなケースである。
【００４３】
代表的通信が失われることで生じるデメリットは、通信クラスタを発生させるきっかけとなった特徴的な通信が欠落することで、該通信クラスタの属性を判断することが困難になることである。
【００４４】
図３に従って代表的通信を補完する手順を説明する。図３において、上半分の通信クラスタは代表クラスタが欠落した不完全通信クラスタ、同図下半分の３つの通信クラスタは、代表的クラスタが検出できた完全な通信クラスタである。
【００４５】
１）代表的通信が欠落している場合、当該通信クラスタの別の従属的通信群と、他の通信クラスタの従属的通信群の類似度を判定する。ここで、代表的通信が欠落しているか否かについては、代表的通信を従属的通信に変更する操作時に代表的通信の有無を記録しており、当該情報を参照することにより判定できる。
【００４６】
２）その結果、類似度が一定の閾値を超え、かつ最も類似度が高い完全な通信クラスタの代表的通信を、不完全通信クラスタの仮の代表的通信と見做す。
【００４７】
以下に、本発明の通信分類装置について説明する。
【００４８】
図４は、本発明の一実施の形態における通信分類装置の構成例を示す。
【００４９】
同図に示す通信分類装置１０は、通信分類部１１、メモリ１２Ａ、１２Ｂ、通信ログデータベース１３、分類結果データベース１４、通信分類補完部１５を有する。
【００５０】
通信分類装置１０へのデータの入力方法として、ネットワーク上を流れる通信を通信キャプチャ装置１からリアルタイムに入力する方法、または、既に採取された通信もしくは通信ログを入力データとする方法がある。
【００５１】
メモリ１２Ａには、一時的に、入力されたユーザ毎の通信データ（例えば、送信元アドレス）を格納し、メモリ１２Ｂには、予め、通信クラスタ間閾値Tcと代表的通信識別閾値Tfのパラメータ、及び、通信分類部１１の処理による分類結果を格納する。
【００５２】
通信分類部１１では、前述した方法により、入力データから通信を通信クラスタに分類し、その分類結果を通信識別子と共に分類結果データベース１４に格納する。その際、ユーザの送信元アドレス(IPアドレス等)はメモリ１２Ａに一定期間保持しておき、ユーザ毎の通信の分類を実現する。なお、ここで、「通信識別子」とは、対象とする通信のプロトコルにより異なり、通信を一意に識別できる情報のタプルである。また、メモリ１２上に保存するユーザ毎の通信は、当該ユーザの通信が一定時間観測されない場合に、メモリ１２上から削除するものとする。この時間は対象となるネットワークの通信量やシステムの性能も考慮して決定する。
【００５３】
図５は、本発明の一実施の形態における通信分類部の動作のフローチャートである。
【００５４】
通信キャプチャ装置１から通信キャプチャデータ、または、外部の装置から通信ログが入力され、メモリ１２Ａに格納されると（ステップ１０１）、通信分類部１１は、メモリ１２Ａに通信データがある場合は（ステップ１０２、No）は、当該通信データを通信ログデータベース１３に格納すると共に、当該メモリ１２Ａから２つの連続する通信データXn、Xn+1を取り出す(ステップ１０３)。なお、通信ログデータベース１３に格納する際に、少なくとも当該通信を一意に識別することが可能な通信識別子及び時刻情報を付与するものとする。２つの通信データの時間間隔（Xn+1−Xn）が、メモリ１２Ｂに格納されている通信クラスタ間閾値Tcより小さければ（ステップ１０４、No）、XnとXn+1は同一の通信クラスタと判定し、Xn+1を従属的通信とし（ステップ１０５）、当該分類結果をメモリ１２Ｂに格納する（ステップ１１０）。
【００５５】
一方、２つの通信データの時間間隔（Xn+1−Xn）が、メモリ１２Ｂに格納されている通信クラスタ間閾値Tc以上であれば（ステップ１０４、Yes）、XnとXn+1は別の通信クラスタと判定し、Xn+1を代表的通信と判定する（ステップ１０６）。次に、メモリ１２ＡからXn+1の次のデータX n+2を取り出し（ステップ１０７）、Xn+2−Xn+1の値が代表的通信識別閾値Tfより小さければ（ステップ１０８、Yes）、ステップ１０６で代表的通信と判定されているXn+1を「従属的通信」に変更し、メモリ１２Ｂの分類結果を更新する（ステップ１１０）。一方、Xn+2−Xn+1の値が代表的通信識別閾値Tf以上であれば（ステップ１０８、No）、ステップ１０６で判断された「代表的通信」をメモリ１２Ｂに格納する（ステップ１１０）。ｎの値を１インクリメントし、ステップ１０２に移行する（ステップ１１１）。メモリ１２Ａに読み込むべき通信キャプチャデータまたはログデータがない場合には（ステップ１０２、Yes）、メモリ１２Ｂに格納されている分類結果を分類結果データベース１４に格納し（ステップ１１２）、処理を終了する。
【００５６】
通信分類補完部１５は、分類結果データベース１４を参照して代表的通信が存在しないレコードを抽出し、当該不完全通信クラスタに対して、当該通信の送信ユーザの別の通信クラスタ、ないしは、別のユーザの通信クラスタから、欠落した代表的通信を補完する。
【００５７】
欠落した代表的通信の補完手順を図６の例を用いて示す。図６は通信分類部の出力結果(A)と、通信補完部の出力(B)のデータ例をそれぞれ示している。通信分類部(A)の出力において、通信クラスタAは通信X0, X1, … Xnで構成されており、通信クラスタB, Cも同様である。ただし、通信クラスタBに関しては、「[1]（２）代表的通信の検出」において前述した手順により、代表的通信Y0が欠落していると判断された状態であると仮定する。ここで、通信補完部は、代表的通信が欠落している通信クラスタBの各通信を他の通信クラスタの通信と比較する。
【００５８】
次に通信クラスタ間の比較方法について述べる。通信の比較に用いる指標として、通信先のサーバが同一でユーザが異なる場合でも共通して出現するパラメータを選択する。ここで比較に用いる指標をPn (n: 各指標の番号)とおく。指標の例としては、各通信の送信先アドレスや通信バイト数、または通信クラスタの代表的通信を除くすべての通信の合計通信データ量、合計通信個数である。これらの指標を P1〜Pnとしたとき、各指標に対応する重み(W1〜Wn)を定義する。通信クラスタ間の類似度をSと定める時、類似度は各指標の比較結果に重みを掛け合わせた値の合計値として表現される。通信クラスタaと通信クラスタbの類似度Sabは以下のように導出される。
【００５９】
【数１】
2014154888.tif 000003
ここで、指標の数はNであり、Pkaは通信クラスタaにおける指標kの値を表す。またEqは与えられた2つの指標が一致していた場合は１，そうでなければ0とする関数であり、Wは指標kに対応する重みである。
通信クラスタBと、他の通信クラスタとのそれぞれの類似度Sを求めた結果、Sが一定閾値(任意に定める)以上であり、かつ複数の通信クラスタが該当した場合はSが最も大きい通信クラスタを、補完元通信クラスタとして選択する。いずれのSも閾値を超えなかった場合は、類似した代表的通信が存在しないと見なす。図6において通信クラスタCが補完元通信クラスタとして選択されたと仮定した場合、通信クラスタCの代表的通信Z0を通信クラスタBの代表的通信Y0として補完する。
【００６０】
上記の通信分類補完部１５において、欠落した代表的通信が、欠落した通信とは直接的に関係ない通信で誤って補完される可能性があるが、これに対しては、上述の類似度が一定に満たない場合は、不完全通信クラスタをその後の解析処理（本発明の範囲外）では破棄し、他の通信クラスタに影響しない方法で対応するものとする。
【００６１】
なお、上記の図４に示す通信分類装置の構成要素の動作をプログラムとして構築し、通信分類装置として利用されるコンピュータにインストールして実行させる、または、ネットワークを介して流通させることが可能である。
【００６２】
また、本発明は上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。
【符号の説明】
【００６３】
１  通信キャプチャ装置
１０  通信分類装置
１１  通信分類部
１２Ａ，１２Ｂ  メモリ
１３  通信ログデータベース
１４  分類結果データベース
１５  通信分類補完部
【図１】
2014154888.tif 000004
【図２】
2014154888.tif 000005
【図３】
2014154888.tif 000006
【図４】
2014154888.tif 000007
【図５】
2014154888.tif 000008
【図６】
2014154888.tif 000009