(57)【要約】【課題】逸脱トラフィックの存在を、容易に検知する。【解決手段】トラフィック量取得部２１は、ネットワークからの各時刻t'のトラフィックのトラフィック量X'(t')を取得し、統計情報算出部２４は、トラフィック量X'(t')の変動量を表す変動情報の統計的な情報である統計情報を算出する。一方、理想モデル記憶部２６は、輻輳制御がされたトラフィックの統計的なモデルである統計モデルを記憶しており、比較判定部２５は、その統計モデルと、理想モデル記憶部２６に記憶された統計情報とに基づいて、ネットワークからのトラフィックの中に、輻輳制御がされていないトラフィックである逸脱トラフィックが存在するかどうかを判定する。本発明は、例えば、ルータなどに適用できる。【選択図】図１８
2006340252.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークからのトラフィックを処理する情報処理装置において、
輻輳制御がされたトラフィックの統計的なモデルである統計モデルを記憶する統計モデル記憶手段と、
ネットワークからのトラフィックのトラフィック量を取得するトラフィック量取得手段と、
前記トラフィック量の変動量を表す変動情報の統計的な情報である変動量統計情報を算出する変動量統計情報算出手段と、
前記統計モデルと、前記変動量統計情報とに基づいて、前記ネットワークからのトラフィックの中に、前記輻輳制御がされていないトラフィックである逸脱トラフィックが存在するかどうかを判定する判定手段と
を備えることを特徴とする情報処理装置。
【請求項２】
前記変動情報は、第１の時刻のトラフィック量と、第２の時刻のトラフィック量との比である
ことを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記変動量統計情報算出手段は、前記第１の時刻のトラフィック量と、前記第２の時刻のトラフィック量との比の分布特性を示す指数を、前記変動量統計情報として算出する
ことを特徴とする請求項２に記載の情報処理装置。
【請求項４】
前記第１の時刻のトラフィック量と、前記第２の時刻のトラフィック量との比の分布特性を示す指数は、前記第１の時刻のトラフィック量と、前記第２の時刻のトラフィック量との比の平均値、分散、最大値、最小値、最頻値、または中央値である
ことを特徴とする請求項３に記載の情報処理装置。
【請求項５】
前記判定手段において前記逸脱トラフィックが存在すると判定された場合、トラフィックを制御するトラフィック制御手段に、前記ネットワークからのトラフィックを供給する供給手段をさらに備える
ことを特徴とする請求項１に記載の情報処理装置。
【請求項６】
ネットワークからのトラフィックを処理する情報処理方法において、
ネットワークからのトラフィックのトラフィック量を取得するトラフィック量取得ステップと、
前記トラフィック量の変動量を表す変動情報の統計的な情報である変動量統計情報を算出する変動量統計情報算出ステップと、
輻輳制御がされたトラフィックの統計的なモデルである統計モデルと、前記変動量統計情報とに基づいて、前記ネットワークからのトラフィックの中に、前記輻輳制御がされていないトラフィックである逸脱トラフィックが存在するかどうかを判定する判定ステップと
を含むことを特徴とする情報処理方法。
【請求項７】
ネットワークからのトラフィックの処理を、コンピュータに実行させるプログラムにおいて、
ネットワークからのトラフィックのトラフィック量を取得するトラフィック量取得ステップと、
前記トラフィック量の変動量を表す変動情報の統計的な情報である変動量統計情報を算出する変動量統計情報算出ステップと、
輻輳制御がされたトラフィックの統計的なモデルである統計モデルと、前記変動量統計情報とに基づいて、前記ネットワークからのトラフィックの中に、前記輻輳制御がされていないトラフィックである逸脱トラフィックが存在するかどうかを判定する判定ステップと
を含むことを特徴とする処理をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、情報処理方法、およびプログラムに関し、特に、輻輳制御がされていないトラフィックである逸脱トラフィックの存在を、容易に検知することができるようにする情報処理装置、情報処理方法、およびプログラムに関する。
【背景技術】
【０００２】
例えば、インターネットのネットワーク資源は、不特性多数のユーザが共有して使用する共有資源であり、また、有限の資源でもあるから、インターネット全体のスループット（性能）を向上させることが重要である。
【０００３】
即ち、ある特定のフローが、インターネットのネットワーク資源（例えば、通信に使用することができる帯域（周波数帯域）など）を占有するような不公平な事態が生じることを防止し、インターネット全体のスループットを向上させることが要求される。
【０００４】
ここで、フローとは、同一のパケット属性を有する一連のパケット（パケット群）、またはそのような一連のパケットの流れを意味する。また、パケット属性とは、例えば、送信元や宛先を特定する情報（送信元アドレスや宛先アドレス）、送信元のポート、宛先のポート、プロトコル番号などを意味し、その他、いわゆるパケットヘッダに配置される情報が含まれる。
【０００５】
さらに、インターネット全体のスループットとは、ある単位時間内に、インターネットに入るトラフィックのトラフィック量に対して、その単位時間内に、インターネットから出てくるトラフィックのトラフィック量を意味し、例えば、ある送信元からある宛先に対し、インターネットを介して、データを送信した場合に、単位時間内に、宛先側で正常受信することができるデータ量に相当する。
【０００６】
なお、トラフィックとは、ネットワーク上のデータ、またはデータの流れを意味し、トラフィック量とは、ネットワーク上を流れるデータのデータ量を意味する。ネットワーク上のデータ（の流れ）の全体であっても、その一部であっても、トラフィックに該当する。フローも、ネットワーク上のデータ（の流れ）であるから、トラフィックに含まれる。
【０００７】
インターネットのような多数のフローが流れるネットワークにおいて、特定のフローが、貪欲にネットワーク資源を使用すると、いわゆるパケットロス率が急激に上昇し、その結果、ネットワークが輻輳状態となって、ネットワーク資源の利用効率が悪くなる。最悪の場合には、ルータ等のフローを中継する中継装置が過負荷となって処理を行うことができなくなり、いわゆる輻輳崩壊のおそれが生じる。
【０００８】
このため、インターネットでは、インターネットに対する負荷の状態に応じて、トラフィック量を調整する輻輳制御が行われる。
【０００９】
ここで、図１は、ネットワークに対する負荷と、ネットワークのスループットとの関係を示している。
【００１０】
なお、ネットワークに対する負荷とは、ある単位時間に、送信元からネットワークに与えられる（トラフィックの）トラフィック量に相当し、ネットワークのスループットとは、その単位時間に、ネットワークを介して宛先に到着するトラフィック量に相当する。
【００１１】
ネットワークにおいて輻輳制御が行われていない場合、スループットは、負荷に応じ、ネットワークの帯域幅（最大帯域）に向かって上昇していくが、負荷がある値以上となると、スループットは、急激に下降していく。負荷がある値以上となると、ネットワーク内の中継装置において捨てられるパケット（ロスパケット）が多くなり、負荷がさらに上昇すると、中継装置は、パケットを捨てる処理に、その能力の殆どを消費してしまい、本来行うべき中継を行うことができなくなってしまうからである。
【００１２】
一方、ネットワークにおいて輻輳制御が行われている場合、スループットは、ネットワークにおいて輻輳制御が行われていない場合と同様に、負荷に応じ、ネットワークの帯域幅に向かって上昇していくが、その上昇の具合（程度）が、負荷が増加するにつれて緩やかになっていく。
【００１３】
ところで、インターネットにおいて、例えば、webページの閲覧に使用されるプロトコルであるHTTP(Hyper Text Transfer Protocol)や、ファイル転送に使用されるプロトコルであるFTP(File Transfer Protocol)などの多くのアプリケーションで利用される、トランスポート層のプロトコルであるTCP(Transmission Control Protocol)は、輻輳制御を行う機能を有している。
【００１４】
しかしながら、インターネットにおいて、輻輳制御を行うことは、インターネットのユーザに対して、規則として義務づけられているわけではなく、マナーとして守るべきとされている事項の１つにすぎない。
【００１５】
このため、輻輳制御の機能を有しない、いわばマナーの悪いフローが少なからず存在するのが現状である。そして、輻輳制御をしないマナーの悪いフローは、図２に示すように、不当に広い帯域を占有するから、輻輳制御を行う、いわばマナーを守っているフローが利用することができる帯域が本当に制限されることになる。
【００１６】
ここで、輻輳制御の機能を有しないマナーの悪いフローとしては、例えば、DoS(Denial of Service)攻撃やDDos(Distributed Denial of Service)攻撃を目的とした、いわば悪意のあるフローがある。さらに、例えば、UDP(User Datagram Protocol)のうちの、TCPに適応する輻輳制御がされるUDPのフロー（適応型UDPのフロー）ではない非適応型UDPのフロー、あるいは自己中心的なフロー制御（例えば、特定のフローのみが多くの帯域を占有するようなフロー制御）が行われるフローなども、マナーの悪いフローに該当する。
【００１７】
また、輻輳制御の機能を有するTCPのフローであっても、マナーの悪いフローになり得る。
【００１８】
即ち、TCPの改造（改変）は容易であり、TCPのフローは、このため、悪意のあるユーザによる改造によって、容易に、マナーの悪いフローになり得る。
【００１９】
具体的には、例えば、図３左側は、FreeBSD(Berkeley Software Distribution)に実装されているTCPのリストの一部を示している。
【００２０】
図３左側のリストの中段にある文「win = min(tp->snd_wnd, tp->snd_cwnd) / 2 / tp->t_maxseg;」は、いわゆるスロースタートに利用される、TCPパケットのサイズを表す輻輳ウインドウ(congestion window)を制御する文である。この文「win = min(tp->snd_wnd, tp->snd_cwnd) / 2 / tp->t_maxseg;」によれば、輻輳等に起因して、TCPパケットの再送を行うときに、図３右側に示すように、輻輳ウインドウのサイズcwndが、現在のサイズの1/2(=50%)にされ、これにより、輻輳の解消が図られる。
【００２１】
上述のように、TCPパケットの再送を行うときに、輻輳ウインドウのサイズcwndを、現在のサイズの1/2にすることは、文「win = min(tp->snd_wnd, tp->snd_cwnd) / 2 / tp->t_maxseg;」における数字「2」にしたがって行われる。従って、この数字「2」を、例えば、図２下側に示すように、「(10/9)」と書き換えると、TCPパケットの再送を行うときに、輻輳ウインドウのサイズcwndは、図３右側に示すように、現在のサイズの9/10(=90%)にしかされない。その結果、輻輳の解消が遅れ、あるいは困難となる。
【００２２】
そして、現状では、以上のようなマナーの悪いフローを流すユーザ、つまり、マナーに違反するユーザをとがめることは困難である。
【００２３】
一方、輻輳制御の機能を有しないUDPなどの、TCPでないフロー（以下、適宜、非TCPのフローという）に対して、輻輳制御の機能を有するTCPのフローとの親和性を持たせて輻輳制御を行う方法については、図４に示すように、従来より、例えば、TCP-Friendlyや、Congestion Managerと呼ばれる方法などが提案されている。
【００２４】
ここで、TCP-Friendlyと呼ばれる方法では、TCPと親和性のある単位時間あたりの転送量が数学的なモデルにより計算され、その転送量に応じて、輻輳制御の機能を有しないフローが制御される。また、Congestion Managerと呼ばれる方法では、トランスポート層のプロトコルから輻輳制御の機能を分離した、輻輳制御専用のモジュールを実装し、そのモジュールによってフローが制御される。
【００２５】
TCP-Friendly、およびCongestion Managerのいずれの方法も、フローを流すユーザ（フローを流す端末を操作するエンドユーザ）側において、それらの方法が実装されることによって輻輳制御が行われる。しかしながら、現実的には、輻輳制御を行う方法を、積極的に実装しようとするユーザは少なく、TCP-Friendly、およびCongestion Managerのいずれの方法も、広く普及するには至っていない。
【００２６】
なお、最近、インターネットにおいて広く使用されているTCPとUDPとを、いわば統合したトランスポート層のプロトコルとして、SCTP(Stream Control Transport Protocol)が、RFC(Request For Comments)2960に規定された。
【００２７】
TCPによる輻輳制御、その他、現在提案されている輻輳制御は、ネットワーク上の端末を使用するユーザのマナー意識に依存する。即ち、ネットワーク上のすべての端末において、同一の輻輳制御のアルゴリズムが実装され、輻輳制御のための処理が協調して行われることで、公平かつ効果的な輻輳制御が実現される。
【００２８】
しかしながら、ユーザのマナー意識を前提として（マナー意識に依存して）輻輳制御が行われるネットワークは、マナーを守らないユーザによるフロー（マナーに違反するフロー）によって、輻輳がいつ起こるか分からない非常に不安定なネットワークであり、インターネットも、その１つである。そして、そのようなネットワークに接続する接続サービスを提供する、例えば、ISP(Internet Service Provider)からすれば、ユーザのマナー意識を育成し、信用することも重要ではあるが、秩序ある通信環境によって、安定した通信を可能とする接続サービスを提供することが、より重要であり、そのためには、ネットワーク上のフローを監視して、マナーに違反するフローを制限する技術が必要となってくる。
【００２９】
そこで、従来より、ネットワーク上のフローを監視して、マナーに違反するフローを制限する技術の研究が行われている。
【００３０】
そのような技術としては、例えば、AQM(Active Queue Managment)がある。ここで、従来の中継装置の１つである、例えばルータでは、FIFO(First In First Out)と呼ばれる単純なキューイング方法が実装されているが、AQMは、特別なキューイング方法とスケジューリング方法をルータに実装することによって、公平性（ネットワーク資源の公平な利用）を実現し、さらには、QoS(Quality of Service)制御といった付加価値を提供することができる。
【００３１】
図５は、AQMを適用したルータ（以下、適宜、AQMルータという）の構成例を示している。なお、図５では、AQMルータの構成部分のうちの、ネットワーク上のフローを監視して、マナーに違反するフローを制限する部分であるフロー制御部の構成例を示してある。
【００３２】
AQMルータでは、マナーに違反するフローが、ネットワーク資源、即ち、例えば、帯域を不当に占有することを防止するために、公平な帯域割り当てを行うキューイングが行われる。
【００３３】
即ち、AQMルータでは、分類部１が、AQMルータの入力リンク（AQMルータに送信されてきたパケットを受信したネットワークインタフェース）から供給されるパケットを、そのパケットヘッダに配置された情報、即ち、例えば、送信元アドレス、宛先アドレス、送信元のポート、宛先のポートで分類（識別）する分類処理(classification)を行い、パケットを、その分類結果とともに、処理部２に供給する。ここで、パケットがIP(Internet Protocol)パケットである場合には、送信元アドレスと宛先アドレスは、IPアドレスである。
【００３４】
処理部２は、分類部１によるパケットの分類結果にしたがい、分類部１からのパケットを、同一のフローごとに、別々のキュー（パケットを一時的に記憶するバッファ）にキューイング（格納）する。さらに、処理部２は、各キューにキューイングされたパケットに対して、公平な重み付けをし、その重みに基づき、各キューにキューイングされたパケットを、出力リンク（パケットを送信すべきネットワークインタフェース）から送信する送信スケジュールをたてるスケジューリング処理(scheduling)を行う。そして、処理部２は、送信スケジュールにしたがい、各キューにキューイングされたパケットを、出力リンクから送信する。
【００３５】
以上のようなAQMルータにおいては、分類部１には、フロー毎に分類処理を行う場合、フローの数nに比例したオーダで分類処理のためのキューが要求されることになる。さらに、処理部２にも、スケジューリング処理という重い負荷の処理(heavy processing)を行うことが要求される。
【００３６】
従って、ISPでは、いわゆるテラビット(Tera Bit)ルータを使用して、例えば、１秒間に、数１０億以上などの膨大な数のパケットが処理されるが、このようなテラビットルータに、AQMルータを採用することは、処理量の観点から困難である（スケールしない）。
【００３７】
さらに、AQMルータでは、DDoS攻撃のように、複数の送信元アドレスが存在するトラフィックや、パケットヘッダを偽ったトラフィックを、同一のフローに分類することが困難である。
【００３８】
そこで、DDoS攻撃やパケットヘッダを偽った悪質なトラフィックに対処する技術として、例えば、IDS(Intrusion Detection System)がある。
【００３９】
IDSを適用したルータは、図５に示したAQMルータと同様に構成され、分類部１において分類処理が行われる点は、AQMルータと共通している。
【００４０】
但し、処理部２には、DDoS攻撃などの悪質なトラフィックのパケット（のコンテンツ（中身））のパターン（攻撃内容）である不正パターンがあらかじめ登録されており、処理部２は、分類部１からのパケットと、不正パターンとのマッチングを行うパターンマッチング処理(pattern matching)を行うことにより、悪質なトラフィックのパケットを検知する。そして、処理部２は、悪質なトラフィックのパケットを検知した場合には、そのパケットを、例えば破棄する。
【００４１】
なお、IDSでは、その他、通常のトラフィックの各パケットを利用するアプリケーションの割合などの、通常のトラフィックの特徴（例えば、トラフィックにおいて、HTTPやFTPなどの各アプリケーションのパケットが、それぞれどの程度の割合で存在するのかといった特徴）を学習してモデル化し、そのモデルに一致（合致）しない状況を、悪質なトラフィックが存在する状況として検知する仕組みがある。
【００４２】
しかしながら、IDSでは、パケットの中身（ペイロード）を対象とした処理を行う必要があり、AQMの処理よりも重い負荷がルータにかかる。従って、IDSを適用したルータを、ISPのバックボーンにおいて、パケットのルーティングの主力となるコアルータとして採用することは、やはり、処理量の観点から困難である。
【００４３】
さらに、IDSでは、不正パターンをあらかじめ登録しておかなければならないため、未知の攻撃、つまり、登録されている不正パターンに一致しない悪質なトラフィックのパケットに対処することが困難である。
【００４４】
なお、IPSによって、DoS攻撃に対処する方法については、例えば、特許文献１に記載されている。
【００４５】
【特許文献１】特開2004-356906号公報
【発明の開示】
【発明が解決しようとする課題】
【００４６】
いま、輻輳制御がされていないトラフィックを、逸脱トラフィックと呼ぶこととすると、ネットワーク上のフローを監視して、マナーに違反するフローを制限する従来の技術では、ネットワーク上のトラフィックの中から、DoS攻撃のパケットその他の逸脱トラフィックを検知するのに、重い負荷の処理が必要であった。
【００４７】
本発明は、このような状況に鑑みてなされたものであり、逸脱トラフィックの存在を、容易に（軽い負荷の処理で）検知することができるようにするものである。
【課題を解決するための手段】
【００４８】
本発明は、ネットワークからのトラフィックのトラフィック量を取得するトラフィック量取得手段／ステップと、トラフィック量の変動量を表す変動情報の統計的な情報である変動量統計情報を算出する変動量統計情報算出手段／ステップと、輻輳制御がされたトラフィックの統計的なモデルである統計モデルと、変動量統計情報とに基づいて、ネットワークからのトラフィックの中に、輻輳制御がされていないトラフィックである逸脱トラフィックが存在するかどうかを判定する判定手段／ステップとを含むことを特徴とする。
【００４９】
本発明においては、ネットワークからのトラフィックのトラフィック量が取得され、トラフィック量の変動量を表す変動情報の統計的な情報である変動量統計情報が算出される。そして、輻輳制御がされたトラフィックの統計的なモデルである統計モデルと、変動量統計情報とに基づいて、ネットワークからのトラフィックの中に、輻輳制御がされていないトラフィックである逸脱トラフィックが存在するかどうかが判定される。
【００５０】
従って、トラフィック量の変動量を表す変動情報の統計的な情報（変動量統計情報）と、統計モデルとによって、逸脱トラフィックの存在を検知することができる。
【発明の効果】
【００５１】
本発明によれば、逸脱トラフィックの存在を、容易に検知することができる。
【発明を実施するための最良の形態】
【００５２】
以下に本発明の実施の形態を説明するが、特許請求の範囲に記載の構成要件と、発明の実施の形態における具体例との対応関係を例示すると、次のようになる。この記載は、特許請求の範囲に記載されている発明をサポートする具体例が、発明の実施の形態に記載されていることを確認するためのものである。従って、発明の実施の形態中には記載されているが、構成要件に対応するものとして、ここには記載されていない具体例があったとしても、そのことは、その具体例が、その構成要件に対応するものではないことを意味するものではない。逆に、具体例が構成要件に対応するものとしてここに記載されていたとしても、そのことは、その具体例が、その構成要件以外の構成要件には対応しないものであることを意味するものでもない。
【００５３】
さらに、この記載は、発明の実施の形態に記載されている具体例に対応する発明が、特許請求の範囲に全て記載されていることを意味するものではない。換言すれば、この記載は、発明の実施の形態に記載されている具体例に対応する発明であって、この出願の特許請求の範囲には記載されていない発明の存在、すなわち、将来、分割出願されたり、補正により追加される発明の存在を否定するものではない。
【００５４】
請求項１に記載の情報処理装置は、
ネットワークからのトラフィックを処理する情報処理装置（例えば、図６のルータ）において、
輻輳制御がされたトラフィックの統計的なモデルである統計モデルを記憶する統計モデル記憶手段（例えば、図１８の理想モデル記憶部２６）と、
ネットワークからのトラフィックのトラフィック量を取得するトラフィック量取得手段（例えば、図１８のトラフィック量取得部２１）と、
前記トラフィック量の変動量を表す変動情報の統計的な情報である変動量統計情報を算出する変動量統計情報算出手段（例えば、図１８の統計情報算出部２４）と、
前記統計モデルと、前記変動量統計情報とに基づいて、前記ネットワークからのトラフィックの中に、前記輻輳制御がされていないトラフィックである逸脱トラフィックが存在するかどうかを判定する判定手段（例えば、図１８の比較判定部２５）と
を備えることを特徴とする。
【００５５】
請求項５に記載の情報処理装置は、
前記判定手段において前記逸脱トラフィックが存在すると判定された場合、トラフィックを制御するトラフィック制御手段（例えば、図６の分類部１および処理部２）に、前記ネットワークからのトラフィックを供給する供給手段（例えば、図１８の選択部２７）をさらに備える
ことを特徴とする。
【００５６】
請求項６に記載の情報処理方法は、
ネットワークからのトラフィックを処理する情報処理方法において、
ネットワークからのトラフィックのトラフィック量を取得するトラフィック量取得ステップ（例えば、図１９のステップＳ１４）と、
前記トラフィック量の変動量を表す変動情報の統計的な情報である変動量統計情報を算出する変動量統計情報算出ステップ（例えば、図２０のステップＳ３３）と、
輻輳制御がされたトラフィックの統計的なモデルである統計モデルと、前記変動量統計情報とに基づいて、前記ネットワークからのトラフィックの中に、前記輻輳制御がされていないトラフィックである逸脱トラフィックが存在するかどうかを判定する判定ステップ（例えば、図２０のステップＳ３５およびＳ３６）と
を含むことを特徴とする。
【００５７】
なお、請求項７に記載のプログラムの各ステップが対応する具体例は、請求項６に記載の情報処理方法の各ステップが対応する具体例と同様である。
【００５８】
以下、図面を参照して、本発明の実施の形態について説明する。
【００５９】
図６は、本発明の一実施の形態のルータの構成例を示している。なお、図中、図５のAQMルータと対応する部分については、同一の符号を付してあり、以下では、その説明は、適宜省略する。即ち、図６のルータは、分類部１および処理部２（からなるフロー制御部）が設けられている点で、図５のAQMルータと共通するが、逸脱トラフィック検知部１１が新たに設けられている点で、図５のAQMルータと相違する。
【００６０】
さらに、図５のAQMルータでは、入力リンクから供給されるパケットが、必ず、分類部１に供給され、分類部１および処理部２の処理を経て、出力リンクから送信されるようになっているが、図６のルータでは、入力リンクから供給されるパケットが、逸脱トラフィック検知部１１に供給されるようになっている。そして、逸脱トラフィック検知部１１において、パケットを、分類部１に供給するか、または分類部１および処理部２をバイパスして、出力リンクから送信するかが選択される。
【００６１】
即ち、逸脱トラフィック検知部１１は、入力リンクからのトラフィック（ネットワークからのトラフィック）の中に、逸脱トラフィックが存在するかどうかを判定することによって、逸脱トラフィックの存在を検知する。そして、逸脱トラフィック検知部１１は、逸脱トラフィックの存在を検知している間は、入力リンクからのトラフィックを、分類部１に供給する。また、逸脱トラフィック検知部１１は、逸脱トラフィックの存在を検知していない間は、入力リンクからのトラフィックを、分類部１および処理部２をバイパスして、出力リンクに供給する。
【００６２】
従って、図６のルータでは、逸脱トラフィック検知部１１が、逸脱トラフィックが存在すると判定している間、つまり、逸脱トラフィックの存在を検知している間だけ、入力リンクからのトラフィックが、分類部１および処理部２の処理の対象となり、逸脱トラフィック検知部１１が、逸脱トラフィックが存在しないと判定している間、つまり、逸脱トラフィックの存在を検知していない間は、入力リンクからのトラフィックが、分類部１および処理部２の処理の対象とならず、出力リンクから出力される。
【００６３】
その結果、図６のルータによれば、図５のAQMルータに比較して、分類部１および処理部２の処理に要する負荷を、飛躍的に軽減することができる。
【００６４】
次に、逸脱トラフィック検知部１１は、上述のように、逸脱トラフィックの存在を検知するが、その検知の方法（以下、適宜、逸脱トラフィック検知法という）について説明する。
【００６５】
図７は、ネットワーク上のトラフィックのトラフィック量（トラフィック総量）の時間変化を、模式的に示している。
【００６６】
即ち、図７左側は、輻輳制御がされた、例えば、TCPのフロー、つまり、マナーを守っているフローと、輻輳制御がされていない、例えば、CBR(Constant Bit Rate)のフロー、つまり逸脱トラフィックとが混在したネットワーク上のトラフィックのトラフィック量の時間変化を示しており、図７右側は、マナーを守っているフローのみが存在するネットワーク上のトラフィックのトラフィック量の時間変化を示している。
【００６７】
図７では、逸脱トラフィック（CBRのフロー）のトラフィック量を、マナーを守っているトラフィック（フロー）と区別することができるように図示してあるため、逸脱トラフィックの存在の有無を認識することができる。しかしながら、現実には、ネットワーク上のトラフィックのトラフィック量（の時間変化）は、逸脱トラフィックのトラフィック量と区別して観察することはできない。従って、ネットワーク上のトラフィックのトラフィック量を観察しても、逸脱トラフィックの存在を検知することができないように思われる。
【００６８】
しかしながら、本件発明者は、ネットワーク上のトラフィックのトラフィック量を、統計的に解析することにより、マナーを守っているトラフィック（フロー）のみが存在するネットワーク上のトラフィックのトラフィック量の統計的な特性と、マナーを守っているトラフィックと逸脱トラフィックとが混在したネットワーク上のトラフィックのトラフィック量の統計的な特性との間に差異があることを見いだした。逸脱トラフィック検知法は、この差異を利用して、逸脱トラフィックの存在を検知する方法である。
【００６９】
そこで、まず、マナーを守っているトラフィックのみが存在するネットワーク上のトラフィックのトラフィック量の統計的な特性について説明する。
【００７０】
図８は、WIDEプロジェクトで計測されている、インターネットのバックボーン上のある地点の実トラフィック（実際のトラフィック）のトラフィック量の時間変化を示している。
【００７１】
いま、図９に示すように、トラフィック量の時間変化の時間軸を、例えば、500ms(milli-second)などの一定時間の帯（時間帯）に区切り、ある時間帯から、その左隣の時間帯までの時間を1とする。この場合、ある時間帯の時刻（を表す変数）をtとすると、その左隣の時間帯の時刻はt+1となる。
【００７２】
ここで、時刻tの時間帯内のトラフィック量、つまり、時刻ｔの時間帯内で計測（観測）されたトラフィック量の総和（積分値）を、トラフィック量X(t)と表す。
【００７３】
上述の図８は、連続した37.5時間分のトラフィック量の時間変化を示しており、その時間軸を、500msの時間帯に区切ることにより、約270,000(≒37.5時間/500ms)の各時刻のトラフィック量X(t)のサンプルを得ることができる。
【００７４】
いま、図８の実トラフィックのトラフィック量の時間変化から得られた約270,000の各時刻のトラフィック量X(t)について、時刻t（第１の時刻）のトラフィック量X(t)と、その1時刻だけ後の時刻t+1（第２の時刻）のトラフィック量X(t+1)との比であるトラフィック比X(t+1)/X(t)をプロットすると、図１０に示すようになる。
【００７５】
即ち、図１０は、トラフィック量X(t)と、トラフィック比X(t+1)/X(t)との関係（以下、適宜、トラフィック比特性という）を示している。
【００７６】
なお、図１０において、x軸（横軸）は、トラフィック量X(t)を表しており、y軸（縦軸）は、トラフィック比X(t+1)/X(t)を表している。
【００７７】
ここで、図１０を含め、以下において、トラフィック比特性を図示した図面においては、y軸のスケールの都合上、トラフィック比X(t+1)/X(t)を、その自然対数をとった値log(X(t+1)/X(t))で示している。トラフィック比X(t+1)/X(t)の自然対数をとった値log(X(t+1)/X(t))も、トラフィック比という。
【００７８】
いま、x座標がトラフィック量X(t)で表され、y座標がトラフィック比log(X(t+1)/X(t))で表されるxy平面上の点(X(t),log(X(t+1)/X(t)))を、トラフィック比点ということとすると、実トラフィックのトラフィック量から得られたトラフィック比点は、ある領域内に集中する。
【００７９】
即ち、実トラフィックのトラフィック量から得られたトラフィック比点は、図１１において斜線を付して示す領域（閉領域）R内に集中する。
【００８０】
ここで、実トラフィックのトラフィック量から得られたトラフィック比点が集中する領域Rを、以下、適宜、トラフィック比点集中領域Rという。
【００８１】
実トラフィックにおいては、マナーを守っているトラフィックがほとんどであると推定され、また、図１１のトラフィック比点集中領域Rは、実トラフィックを、37.5時間という長時間観察することによって得られたトラフィック比点が集中する領域である。従って、図１１のトラフィック比点集中領域Rは、マナーを守っているトラフィックのみが存在する場合に、そのトラフィックを観察したならば得られたであろうトラフィック比点が集中する領域とみなすことができる。
【００８２】
図１１のトラフィック比集中領域Rでは、その右上部分に、右下がりの直線Lにほぼ沿った境界が現れている。この右下がりの直線Lに沿った境界は、ネットワーク（トラフィックを観測したインターネットのバックボーン）の最大帯域に起因して現れる。
【００８３】
即ち、最大帯域、つまり、ネットワーク上を流すことができるトラフィック量の最大値を、100%として、トラフィック量X(t)を考えると、ある時刻tのトラフィック量X(t)が、例えば、最大帯域に等しい100%であれば、次の時刻t+1のトラフィック量X(t+1)が100%を越えることはない。従って、トラフィック差X(t)が100%である場合のトラフィック比log(X(t+1)/X(t))(=log(100/100))の最大値は0であり、トラフィック量X(t)が最大帯域(100%)に等しい場合に、トラフィック比log(X(t+1)/X(t))が0を越えることはない。
【００８４】
さらに、ある時刻tのトラフィック量X(t)にかかわらず、次の時刻t+1のトラフィック量X(t+1)が100%を越えることはない。従って、ある時刻tのトラフィック量X(t)が、例えば、80%であれば、トラフィック比log(X(t+1)/X(t))が、log1.25(=log(100/80))を越えることはなく、また、ある時刻tのトラフィック量X(t)が、例えば、60%であれば、トラフィック比log(X(t+1)/X(t))が、log1.66・・・(=log(100/60))を越えることはない。
【００８５】
トラフィック比集中領域Ｒの右上における、右下がりの直線Ｌに沿った境界は、以上のように、トラフィック量X(t+1)が最大帯域(100%)を超えることがないことに起因して現れる。
【００８６】
さらに、図１１のトラフィック比集中領域Rのy座標は、約-0.5から約+0.5までの範囲に集中する。このようにy座標が集中するのは、実トラフィックを計測したインターネット（を流れるフロー）で標準的に採用されている輻輳制御の方法に起因する。
【００８７】
即ち、インターネットでは、AIMD(Additive Increase Multiple Decrease)と呼ばれる原理を利用した輻輳制御の方法が標準的に採用されている。AIMDは、長年の研究の末、特に、不特定多数のフローが共有するネットワーク（帯域）の性能を最大限に発揮させる最善の輻輳制御の仕組みとして導き出された、輻輳制御の、いわば基本原理である。
【００８８】
かかるAIMDでは、輻輳が検知されていない場合、図１２に示すように、フローの伝送レートを、例えば、現在の伝送レートに、その現在の伝送レートを加算した値に増加させる（足し算で増加させる）アディティブインクリース(additive increase)が行われる。また、AIMDでは、輻輳が検知された場合、図１２に示すように、伝送レートを、例えば、現在の伝送レートの1/2に減少させる（割り算で減少させる）マルチプルディクリース(multiple decrease)が行われる。
【００８９】
トラフィック量X(t)およびX(t+1)は、複数のフローが混在するトラフィックのトラフィック量ではあるが、その複数のフローのそれぞれにおいて、AIMDが採用されているので、トラフィック量X(t)とX(t+1)との関係は、AIMDによる伝送レートの制御の制約を受ける。即ち、トラフィック量X(t+1)の最大値は、その直前の時刻tのトラフィック量X(t)に、そのトラフィック量X(t)を加算した値2X(t)に制限される。また、トラフィック量X(t+1)の最小値は、その直前の時刻tのトラフィック量X(t)の1/2であるX(t)/2に制限される。
【００９０】
従って、トラフィック比X(t+1)/X(t)の最大値は、2(=2X(t)/X(t))に制限され、トラフィック比X(t+1)/X(t)の最小値は、0.5(=(X(t)/2)/X(t))に制限される。
【００９１】
そして、トラフィック比X(t+1)/X(t)の最大値である２の自然対数をとったlog2は約+0.693であり、トラフィック比X(t+1)/X(t)の最小値である０．５の自然対数をとったlog0.5は約-0.693であるから、トラフィック比集中領域Rのy座標、即ち、トラフィック比log(X(t+1)/X(t))は、上述したように、y座標が、約-0.5(≒-0.693)から約+0.5(≒+0.693)までの範囲に集中する。
【００９２】
なお、図１０においては、トラフィック比集中領域Rの外側に存在するトラフィック比点が、少数ではあるが存在する。これは、次のような理由による。
【００９３】
即ち、インターネットにおいては、新しいフローがほぼ同一の時期に大量に発生し、あるいは大量のフローがほぼ同一の時期に終了することがあり、これにより、突発的なトラフィック量の変動が、AIMDによる輻輳制御とは関係なく生じる。また、ここでは、時刻tのトラフィック量X(t)を観測する時間帯を500msとしたが、インターネットの帯域が比較的空いている場合（トラフィック量が少ない場合）には、500msの間に、AIMDによるアディティブインクリースが、何度も行われ、フローの伝送レートが急速に高くなり、これにより、500msの間に、突発的なトラフィック量の変動が生じることがある。
【００９４】
以上のような突発的なトラフィック量の変動に起因して、トラフィック比点が、トラフィック比集中領域Rの外側に現れる。
【００９５】
本件発明者が、インターネットのバックボーン上の複数の地点の実トラフィックのトラフィック量それぞれについて、上記と同様の解析を行ったところ、それらのすべてについて、トラフィック比点が集中する領域として、図１１のトラフィック比集中領域Rが得られた。
【００９６】
ここで、インターネットのバックボーン上の、図１０に示したトラフィック比特性が得られた地点とは別の地点の実トラフィックのトラフィック量を解析して得られたトラフィック比特性を、図１３に示す。
【００９７】
即ち、図１３は、インターネットのバックボーン上の、図１０に示したトラフィック比特性が得られた地点とは別の地点の、連続した24時間分のトラフィック量から求められたトラフィック比特性を示している。
【００９８】
図１３のトラフィック特性からも、図１０のトラフィック比特性と同様に、図１１のトラフィック比集中領域Rが得られることが分かる。
【００９９】
実トラフィックのトラフィック量、ひいては、マナーを守っているフロー、つまり、適切な輻輳制御がされたフローのみが存在するトラフィック（以下、適宜、理想トラフィックという）のトラフィック量から得られるトラフィック比点が、トラフィック比集中領域Rに集中する分布となることは、上述したように、インターネットにおける輻輳制御の方法で利用されている輻輳制御の原理であるAIMDから説明することができる。
【０１００】
従って、理想トラフィックのトラフィック量から得られるトラフィック比点の分布（の形態）は、輻輳制御の原理によって決まり、輻輳制御の原理として、AIMDを採用する限りは、図１１に示したトラフィック比集中領域Rに集中する分布となる。
【０１０１】
また、理想トラフィックのトラフィック量から得られるトラフィック比点の分布は、理想トラフィックに含まれるフローが、例えば、HTTPのフローであるか、FTPのフローであるかに関係なく、つまり、フローのアプリケーションに関係なく、輻輳制御の原理として、AIMDを採用する限りは、図１１に示したトラフィック比集中領域Rに集中する分布となる。
【０１０２】
従って、将来、新しいアプリケーションが登場し、そのような新しいアプリケーションのフローがネットワーク（インターネット）上を流れることとなっても、理想トラフィックのトラフィック量から得られるトラフィック比点の分布は、輻輳制御の原理として、AIMDを採用する限りは、トラフィック比集中領域Rに集中する分布となる。即ち、理想トラフィックのトラフィック量から得られるトラフィック比点の分布は、アプリケーションとは独立している。
【０１０３】
次に、図１４は、理想トラフィックのトラフィック量から得られるトラフィック比点の分布の統計的な解析結果を示している。
【０１０４】
即ち、図１４上側は、図１０に示したトラフィック比点の分布（トラフィック比特性）を示している。
【０１０５】
さらに、図１４下側の左側は、同図上側のトラフィック比点の分布の横軸、つまり、トラフィック量X(t)の軸を、等間隔の幾つかの帯に分割し、各帯ごとに求めた、各帯内に分布するトラフィック比点のトラフィック比log(X(t+1)/X(t))の平均値を示している。
【０１０６】
ここで、トラフィック比点の分布の横軸（トラフィック量X(t)の軸）を、等間隔の幾つかの帯に分割したときの、その帯を、以下、適宜、ビン(bin)ともいう。図１４では、トラフィック比点の分布の横軸（トラフィック量X(t)の0乃至100%）が、３０個のビンに分割されている。なお、幾つのビンに分割するかは、特に限定されるものではない。
【０１０７】
また、図１４下側の右側は、同図上側のトラフィック比点の分布の、各ビンに分布するトラフィック比点のトラフィック比log(X(t+1)/X(t))の分散を示している。
【０１０８】
なお、図１４下側の左側において、横軸はビン、ひいては、ある時刻tのトラフィック量X(t)を表し、縦軸はトラフィック比点のトラフィック比log(X(t+1)/X(t))の平均値を表す。また、図１４下側の右側において、横軸はビン、ひいては、ある時刻tのトラフィック量X(t)を表し、縦軸はトラフィック比点のトラフィック比log(X(t+1)/X(t))の分散を表す。
【０１０９】
理想トラフィックのトラフィック量から得られるトラフィック比点の分布に関し、ビンごとのトラフィック比点のトラフィック比log(X(t+1)/X(t))の平均値は、図１４下側の左側において太線で表される特徴（傾向）を有し、ビンごとのトラフィック比点のトラフィック比log(X(t+1)/X(t))の分散は、図１４下側の右側において太線で表される特徴を有する。
【０１１０】
即ち、理想トラフィックのトラフィック量から得られるビンごとのトラフィック比点のトラフィック比log(X(t+1)/X(t))の平均値、つまり、トラフィック量X(t)に対するトラフィック比log(X(t+1)/X(t))の平均値は、図１４下側の左側に示すように、トラフィック量X(t)が比較的大きな値である場合には、トラフィック量X(t)の増加とともに減少し、負の値となる。
【０１１１】
また、トラフィック量X(t)に対するトラフィック比log(X(t+1)/X(t))の平均値は、トラフィック量X(t)が比較的小さな値である場合には、正の値になっており、トラフィック量X(t)の減少とともに増加する。
【０１１２】
さらに、トラフィック量X(t)に対するトラフィック比log(X(t+1)/X(t))の平均値は、トラフィック量X(t)が小さくもなく、かつ大きくもない中間の値である場合には、ほぼ平坦に推移する。
【０１１３】
以上のようなトラフィック比log(X(t+1)/X(t))の平均値の特徴は、理想トラフィックでは、時刻tのトラフィック量X(t)が大きいと、つまり、ネットワークの残りの帯域（空きの帯域）が少ないと、輻輳制御によって、次の時刻t+1のトラフィック量X(t+1)が減少する傾向があり、逆に、時刻tのトラフィック量X(t)が小さいと、つまり、ネットワークの空きの帯域が多いと、アディティブインクリース等によって、次の時刻t+1のトラフィック量X(t+1)が増加する傾向があることを表している。
【０１１４】
一方、理想トラフィックのトラフィック量から得られるビンごとのトラフィック比点のトラフィック比log(X(t+1)/X(t))の分散、つまり、トラフィック量X(t)に対するトラフィック比log(X(t+1)/X(t))の分散は、図１４下側の右側に示すように、トラフィック量X(t)が小さな値である場合には、比較的大きな値となり、急激に変動する。さらに、トラフィック量X(t)に対するトラフィック比log(X(t+1)/X(t))の分散は、トラフィック量X(t)が小さな値でない場合には、緩やかなに傾斜に沿って変動する。
【０１１５】
以上のようなトラフィック比log(X(t+1)/X(t))の分散の特徴は、理想トラフィックでは、時刻tのトラフィック量X(t)が小さいと、つまり、ネットワークの空きの帯域が多いと、次の時刻t+1のトラフィック量X(t+1)が、上述したフローの発生や終了等による突発的なトラフィック量の変動の影響を大きく受ける傾向があることを表している。
【０１１６】
次に、図１５は、理想トラフィックのトラフィック量から得られるトラフィック比点の分布と、逸脱トラフィックとしての、例えば、輻輳制御がされていないフローを含むトラフィック（以下、適宜、非理想トラフィックという）のトラフィック量から得られるトラフィック比点の分布とのシミュレーション結果を示している。
【０１１７】
即ち、図１５は、シミュレーションにより、理想トラフィックと非理想トラフィックを発生し、その理想トラフィックと非理想トラフィックのそれぞれのトラフィック量から得られたトラフィック比点の分布を示している。
【０１１８】
ここで、シミュレーションでは、オープンソースのネットワークシミュレータとして知られているns-2(network simulator 2)を用い、３台のノードが１台のルータを介して接続されたネットワークを想定した。そして、理想トラフィックとしては、３台のノードから、ランダムに、送信元ノードと宛先ノードとを選択し、4500本のTCPのフローを、指数分布の間隔で、4000秒間発生させた。また、1本のTCPのフローは、１個が1KB(Kiro-Byte)のパケットを１個以上の個数だけ用いて構成し、その個数は、平均値が100個のPareto分布にしたがって決定した。
【０１１９】
一方、非理想トラフィックとしては、理想トラフィックと同様に、TCPのフローを4000秒間発生させた上で、さらに、その4000秒間のうちの、1000秒から3000秒までの間、ネットワークの帯域（最大帯域）を占有するCBRのフロー（逸脱トラフィック）を発生させた。
【０１２０】
図１５は、以上のような理想トラフィックと非理想トラフィックを発生し、ルータの、１つの入力リンクに入力するトラフィック量から得られたトラフィック比点の分布を示している。
【０１２１】
ここで、図１５左側は、理想トラフィックのトラフィック量から得られたトラフィック比点の分布を示しており、図１５右側は、非理想トラフィックのトラフィック量から得られたトラフィック比点の分布を示している。
【０１２２】
なお、シミュレーションに用いたTCPのフローは、そのパケットのサイズが1KBと小さいために、生存時間が短く、このフローの生存時間の短さに起因して、トラフィック比点の分布は、図１５に示すように、理想トラフィックであっても、また、非理想トラフィックであっても、トラフィック量X(t)が小さい部分で広範囲に分散している（分散が大になっている）。
【０１２３】
図１５のトラフィック比点の分布の統計的な解析結果は、図１６に示すようになる。
【０１２４】
即ち、図１６左側は、理想トラフィックと非理想トラフィックそれぞれについての、ビンごとのトラフィック比点のトラフィック比log(X(t+1)/X(t))の平均値を示している。
【０１２５】
また、図１６右側は、理想トラフィックと非理想トラフィックそれぞれの、ビンごとのトラフィック比点のトラフィック比log(X(t+1)/X(t))の分散を示している。
【０１２６】
なお、図１６において、■印が、理想トラフィックについてのトラフィック比log(X(t+1)/X(t))の平均値または分散を示しており、●印が、非理想トラフィックについてのトラフィック比log(X(t+1)/X(t))の平均値または分散を示している。
【０１２７】
図１６左側の、理想トラフィックについてのトラフィック比log(X(t+1)/X(t))の平均値（■印）は、図１４で説明したように、トラフィック量X(t)が比較的大きな値である場合に、トラフィック量X(t)の増加とともに減少し、負の値となっている（負の値に大きく落ち込んでいる）。
【０１２８】
これに対し、図１６左側の、非理想トラフィックについてのトラフィック比log(X(t+1)/X(t))の平均値（●印）は、トラフィック量X(t)が比較的大きな値である場合に、負の値になることもあるが、理想トラフィックについての平均値と異なり、0に近い値を推移している。
【０１２９】
一方、図１６右側の、理想トラフィックについてのトラフィック比log(X(t+1)/X(t))の分散（■印）は、トラフィック量X(t)の増加とともに、緩やかなに傾斜に沿って0に近づくものの、トラフィック量X(t)がネットワークの最大帯域に近い値付近において、ある程度の大きさの値を維持している。
【０１３０】
これに対し、図１６右側の、理想トラフィックについてのトラフィック比log(X(t+1)/X(t))の分散（●印）は、トラフィック量X(t)がネットワークの最大帯域に近い値付近において、ほぼ0になっている。
【０１３１】
以上のような理想トラフィックについての平均値と非理想トラフィックについての平均値との差異、および理想トラフィックについての分散と非理想トラフィックについての分散との差異は、理想トラフィックでは、輻輳を回避すべく、輻輳制御が充分機能しているのに対して、非理想トラフィックでは、ネットワーク上のトラフィックのトラフィック量が、ネットワークの最大帯域に近い値となって、輻輳が生じていても、そのトラフィック量を減少させる輻輳制御の機能が充分働いていないことに起因する。
【０１３２】
以上のように、マナーを守っているトラフィック（フロー）のみが存在するネットワーク上のトラフィック（理想トラフィック）のトラフィック量の統計的な特性と、逸脱トラフィックが存在するネットワーク上のトラフィック（非理想トラフィック）のトラフィック量の統計的な特性との間には差異があり、図６の逸脱トラフィック検知部１１は、この差異を利用した逸脱トラフィック検知法によって、逸脱トラフィックの存在を検知する。
【０１３３】
次に、図１７を参照して、逸脱トラフィック検知法について、さらに説明する。
【０１３４】
逸脱トラフィック検知法では、まず、理想トラフィックの統計的なモデル、つまり、理想トラフィックのトラフィック量の統計的な特性を表す統計モデル（以下、適宜、理想モデル(comfortable traffic model)という）を、あらかじめ作成しておく。
【０１３５】
ここで、理想トラフィックのトラフィック量の統計的な特性を表す統計モデルである理想モデルは、理想トラフィックのトラフィック量から得られるトラフィック比点の分布を、統計的に解析することによって求める。
【０１３６】
具体的には、図１４で説明したように、理想トラフィックのトラフィック量から得られるトラフィック比点の分布について、各トラフィック量X(t)（ビン）に対するトラフィック比log(X(t+1)/X(t))の平均値と分散とを、理想モデルとして求め、保持しておく。
【０１３７】
なお、実トラフィックを長時間観察して得られるトラフィック量から得られるトラフィック比点が集中するトラフィック比点集中領域R（図１１）は、上述したように、マナーを守っているトラフィックのみが存在する場合に、そのトラフィックを観察したならば得られたであろうトラフィック比点が集中する領域とみなすことができるので、理想モデルは、逸脱トラフィックの存在を検知しようとするネットワーク上の実トラフィックを長時間観察して得られるトラフィック量から作成することができる。
【０１３８】
その他、理想モデルは、例えば、ネットワークシミュレータにおいて、マナーを守っているトラフィックのみを生成し、そのトラフィックから作成しても良い。
【０１３９】
また、理想モデルとしての、各トラフィック量X(t)に対するトラフィック比log(X(t+1)/X(t))の平均値および分散は、LUT(Look Up Table)の形で保持することもできるし、トラフィック量X(t)の関数として近似して保持することもできる。
【０１４０】
逸脱トラフィックの存在を検知法する場合には、逸脱トラフィックの存在を検知しようとするネットワーク上のトラフィックのトラフィック量を、時間△kの間隔で観察する。
【０１４１】
ここで、逸脱トラフィックの存在を検知しようとするネットワーク上のトラフィックについて、時間△kの間に観測されたトラフィック量を、時刻（を表す変数）t'を用いて、X'(t')と表す。この場合、次の時間△kの間に観測されたトラフィック量は、X'(t'+1)と表される。
【０１４２】
なお、トラフィック量X'(t')を観察する時間△kは、例えば、理想モデルを作成するのに用いるトラフィック量X(t)を観測する時間帯（本実施の形態では、上述したように500ms）に等しくする。
【０１４３】
逸脱トラフィック検知法では、上述のように、時間△kごとにトラフィック量X'(t')を観測する一方、時間△kよりも長い時間△t（例えば、1分など）の間隔で、その時間△tの間に観測されたトラフィック量X'(t')から得られるトラフィック比点の分布を、統計的に解析する。
【０１４４】
ここで、以下、適宜、時間△tを、解析単位時間という。また、解析単位時間△tの間に観測されたトラフィック量X'(t')から得られるトラフィック比点を、解析対象サンプルという。
【０１４５】
逸脱トラフィック検知法では、解析対象サンプルの分布を統計的に解析し、その解析対象サンプルのトラフィック量X'(t')の統計的な情報である統計情報（変動量統計情報）として、例えば、そのトラフィック量X'(t')の平均値を求める。さらに、解析対象サンプルの、時刻t'（第１の時刻）のトラフィック量X'(t')と、その次の時刻t'+1（第２の時刻）のトラフィック量X'(t'+1)との比（トラフィック比）log(X'(t'+1)/X'(t'))（またはX'(t'+1)/X'(t')）の統計的な情報である統計情報として、そのトラフィック比log(X'(t'+1)/X'(t'))の平均値と分散を求める。
【０１４６】
また、逸脱トラフィック検知法では、理想モデルから、トラフィック量X'(t')の平均値に等しいトラフィック量X(t)に対するトラフィック比log(X(t+1)/X(t))の平均値と分散を求める。
【０１４７】
そして、逸脱トラフィック検知法では、理想モデルから求められたトラフィック比log(X(t+1)/X(t))の平均値および分散と、逸脱トラフィックの存在を検知しようとするネットワーク上のトラフィックのトラフィック量を観測することによって得られたトラフィック比log(X'(t'+1)/X'(t'))の平均値および分散とを用いて、理想トラフィックにおいて、トラフィック量X'(t')の平均値に等しいトラフィック量X(t)に対するトラフィック比log(X(t+1)/X(t))の集合と、逸脱トラフィックの存在を検知しようとするネットワーク上のトラフィックのトラフィック量を観測することによって得られたトラフィック比log(X'(t'+1)/X'(t'))の集合とを比較し、それらの集合の間に統計的な差異があるかどうかによって、ネットワーク上のトラフィックの中に、逸脱トラフィックが存在するかどうかを判定する。
【０１４８】
なお、上述の逸脱トラフィック検知法の説明では、トラフィック比として、X(t+1)/X(t)（X'(t'+1)/X'(t')）の自然対数をとった値log(X(t+1)/X(t))を採用したが、逸脱トラフィック検知法を実装する場合には、演算量の軽減の観点から、トラフィック比としては、X(t+1)/X(t)を（自然対数をとらずに）そのまま用いるのが望ましい。以下では、自然対数をとらないトラフィック比X(t+1)/X(t)（X'(t'+1)/X'(t')）を用いて説明する。
【０１４９】
図１８は、以上のような逸脱トラフィック検知法によって、逸脱トラフィックの存在を検知する図６の逸脱トラフィック検知部１１の構成例を示している。
【０１５０】
トラフィック量取得部２１は、図６のルータに接続されているネットワークからのトラフィックのトラフィック量X'(t')を、時間△kごとに取得し、トラフィック量記憶部２２に順次供給する。
【０１５１】
ここで、ルータでは、例えば、そのルータが有する各ネットワークインタフェースを通過したトラフィックのトラフィック量の累積値が、MIB(Management Information Base)と呼ばれるデータベースに記憶されていることがある。この場合、トラフィック量取得部２１では、MIBから、ネットワークインタフェースに接続されているネットワークからのトラフィックのトラフィック量の累積値を取得し（読み出し）、その累積値から、時間△kごとのトラフィック量X'(t')を算出することにより、そのトラフィック量X'(t')を取得することができる。
【０１５２】
なお、トラフィック量取得部２１では、その他、例えば、ネットワークインタフェースに接続されているネットワークからのトラフィックを自ら観測し、時間△kごとのトラフィック量X'(t')を求めることもできる。
【０１５３】
トラフィック量記憶部２２は、トラフィック量取得部２１から時間△kごとに供給されるトラフィック量X'(t')を順次記憶する。
【０１５４】
なお、トラフィック量記憶部２２は、例えば、解析単位時間△tの間に、トラフィック量取得部２１から供給されるトラフィック量X'(t')を記憶することができるだけの記憶容量を、少なくとも有している。
【０１５５】
解析対象サンプル取得部２３は、トラフィック量記憶部２２に記憶されたトラフィック量X'(t')、即ち、解析単位時間△tの間に得られた（トラフィック量取得部２１から供給された）トラフィック量X'(t')の集合から、解析対象サンプルとしてのトラフィック比点(X'(t'),X'(t'+1)/X'(t'))の集合を取得し、統計情報算出部２４に供給する。
【０１５６】
即ち、解析対象サンプル取得部２３は、解析単位時間△tの間に得られたトラフィック量X'(t')のそれぞれについて、そのトラフィック量X'(t')と、その次の時刻t'+1のトラフィック量X'(t'+1)との比であるトラフィック比X'(t'+1)/X'(t')を求め、そのトラフィック量X'(t')と、トラフィック比X'(t'+1)/X'(t')とのセットであるトラフィック比点(X'(t'),X'(t'+1)/X'(t'))を、統計情報算出部２４に供給する。
【０１５７】
統計情報算出部２４は、解析対象サンプル取得部２３から供給される、解析単位時間△tの間に得られたトラフィック量X'(t')について求められた解析対象サンプルとしてのトラフィック比点(X'(t'),X'(t'+1)/X'(t'))の集合の統計情報を求め（算出し）、比較判定部２５に供給する。
【０１５８】
比較判定部２５は、理想モデル記憶部２６に記憶された理想モデルと、統計情報算出部２４から供給された解析対象サンプルとしてのトラフィック比点(X'(t'),X'(t'+1)/X'(t'))の集合の統計情報とを用いて、理想モデルと、統計情報算出部２４から供給された解析対象サンプルとを比較し、その比較結果に基づいて、解析単位時間△tの間にトラフィック量X'(t')を得たトラフィックの中に、逸脱トラフィックが存在するかどうかを判定する。
【０１５９】
さらに、比較判定部２５は、解析単位時間△tの間にトラフィック量X'(t')を得たトラフィックの中に、逸脱トラフィックが存在すると判定した場合、逸脱トラフィックの存在を検知したとして、その旨（検知情報）を、選択部２７に供給する。また、比較判定部２５は、解析単位時間△tの間にトラフィック量X'(t')を得たトラフィックの中に、逸脱トラフィックが存在しないと判定した場合、逸脱トラフィックの存在を検知しなかったとして、その旨（検知情報）を、選択部２７に供給する。
【０１６０】
理想モデル記憶部２６は、理想トラフィックの統計的なモデルである統計モデルを記憶している。即ち、理想モデル記憶部２６は、例えば、図６のルータが接続されるネットワーク上の実トラフィックのトラフィック量を長時間観測することによって、あらかじめ作成された、上述した理想モデルを記憶している。
【０１６１】
選択部２７は、比較判定部２５から供給される検知情報に応じて、図６のルータに接続されたネットワークからのトラフィック（の各パケット）の取り扱い（出力先）を選択し、その選択結果にしたがい、ネットワークからのトラフィックを、トラフィックを制御するトラフィック制御手段としての分類部１および処理部２をバイパスして出力リンクから送信し、または、トラフィック制御手段としての分類部１および処理部２で処理するために分類部１に供給する。
【０１６２】
計時部２８は、所定のクロック信号をカウントすることにより、時刻を計時し、制御部２９に供給する。制御部２９は、トラフィック検知部１１を構成する各ブロックを制御する。
【０１６３】
以上のように構成される逸脱トラフィック検知部１１では、上述した逸脱トラフィック検知法によって、逸脱トラフィックを検知する逸脱トラフィック検知処理が行われる。この逸脱トラフィック検知処理は、ネットワークからのトラフィックのトラフィック量を収集する収集処理と、そのトラフィック量を統計的に解析して、逸脱トラフィックの存在の有無を判定する解析処理とに、大きく分かれる。
【０１６４】
そこで、まず、図１９のフローチャートを参照して、ネットワークからのトラフィックのトラフィック量を収集する収集処理について説明する。
【０１６５】
収集処理では、図１８の逸脱トラフィック検知部１１の制御部２９が、ステップＳ１１において、図６のルータに接続されているネットワークからのトラフィックのトラフィック量X'(t')を収集する時間△k（以下、適宜、トラフィック量収集時間△kという）を設定し、計時部２８に、そのトラフィック量収集時間△kの計時を開始させて、ステップＳ１２に進む。ここで、トラフィック量収集時間△kは、例えば、上述したように、500msなどに設定される。
【０１６６】
ステップＳ１２では、制御部２９は、計時部２８が計時している時刻を参照して、直前のステップＳ１１で計時部２８にトラフィック量収集時間△kの計時を開始させてから、トラフィック量収集時間△kが経過したかどうかを判定する。ステップＳ１２において、トラフィック量収集時間△kが経過していないと判定された場合、ステップＳ１２に戻り、トラフィック量収集時間△kが経過するまで、待ち時間がおかれる。
【０１６７】
また、ステップＳ１２において、トラフィック量収集時間△kが経過したと判定された場合、ステップＳ１３に進み、トラフィック量取得部２１は、ルータ（図６）の１つの入力リンク（ネットワークインタフェース）を経由してルータが受信した、ネットワークからのトラフィックのトラフィック量の累積値T(t')を、MIBから取得し、ステップＳ１４に進む。
【０１６８】
ステップＳ１４では、トラフィック量取得部２１は、直前のステップＳ１３で取得したトラフィック量の累積値T(t')から、その前のステップＳ１３で取得したトラフィック量の累積値T(t'-1)を減算することにより、その減算結果を、時刻t'のトラフィック量X'(t')として取得し、トラフィック量記憶部２２に供給して記憶させる。
【０１６９】
そして、ステップＳ１４からステップＳ１５に進み、制御部２９は、時刻（を表す変数)t'を1だけインクリメントして、ステップＳ１１に戻り、以下、同様の処理が繰り返される。
【０１７０】
図１９の収集処理によれば、トラフィック量収集時間△kの間に、ルータがネットワークから受信したトラフィックのトラフィック量X'(t')が、トラフィック量収集時間△kごとに求められる。
【０１７１】
なお、ステップＳ１３およびＳ１４の処理は、ルータ（図６）が有する入力リンクごとに行われ、従って、図１９の収集処理では、ルータが有する入力リンクごとに、その入力リンクを通過するネットワークからのトラフィックのトラフィック量X'(t')が求められる。
【０１７２】
また、時刻t'は、後述する図２０の解析処理において計時される解析単位時間△tが経過するごとに、初期値としての、例えば0にリセットされる。
【０１７３】
次に、図２０のフローチャートを参照して、トラフィック量X'(t')を統計的に解析して、逸脱トラフィックの存在の有無を判定する解析処理について説明する。
【０１７４】
なお、解析処理は、図１９の収集処理でトラフィック量X'(t')を収集する、ルータが有する入力リンクごとに行われる。ここでは、ルータが有する入力リンクのうちの１つに注目し、その注目している入力リンク（以下、適宜、注目リンクという）を対象に行われる解析処理について説明する。
【０１７５】
解析処理では、図１８の逸脱トラフィック検知部１１の制御部２９が、ステップＳ３１において、トラフィック量X'(t')の解析を行う周期である解析単位時間△tを設定し、計時部２８に、その解析単位時間△tの計時を開始させて、ステップＳ３２に進む。ここで、解析単位時間△tは、上述したように、トラフィック量収集時間△kよりも長い時間であり、例えば、1分などに設定される。
【０１７６】
ステップＳ３２では、制御部２９は、計時部２８が計時している時刻を参照して、直前のステップＳ３１で計時部２８に解析単位時間△tの計時を開始させてから、解析単位時間△tが経過したかどうかを判定する。ステップＳ３２において、解析単位時間△tが経過していないと判定された場合、ステップＳ３２に戻り、解析単位時間△tが経過するまで、待ち時間がおかれる。
【０１７７】
また、ステップＳ３２において、解析単位時間△tが経過したと判定された場合、即ち、図１９の収集処理が、解析単位時間△tだけ行われることによって、注目リンク（のトラフィック）について、[△t/△k]（[]は、小数点以下切り捨てを表す）だけの個数のトラフィック量X'(t')（X'(0)乃至X'([△t/△k]-1)）が、トラフィック量記憶部２２に記憶された場合、ステップＳ３３に進み、解析対象サンプル取得部２３は、制御部２９から、解析単位時間△tとトラフィック量収集時間△kとを得て、トラフィック量記憶部２２に記憶された、解析単位時間△tの間に得られた注目リンクについてのトラフィック量X'(t')の個数[△t/△k]を求める（算出する）。
【０１７８】
さらに、ステップＳ３３では、解析対象サンプル取得部２３は、トラフィック量記憶部２２に記憶された、解析単位時間△tの間に得られた注目リンクについての[△t/△k]個のトラフィック量X'(t')（X'(0)乃至X'([△t/△k]-1)）を用いて、各トラフィック量X'(t')と、その次の時刻t'+1のトラフィック量X'(t'+1)との比であるトラフィック比X'(t'+1)/X'(t')を、[△t/△k]-1個だけ求める（算出する）。これにより、解析対象サンプル取得部２３は、トラフィック量X'(t')と、トラフィック比X'(t'+1)/X'(t')とのセットであるトラフィック比点(X(t),X'(t'+1)/X'(t'))を、[△t/△k]-1サンプルだけ得て、その[△t/△k]-1サンプルのトラフィック比点(X(t),X'(t'+1)/X'(t'))を、解析対象サンプルとして、そのサンプル数[△t/△k]-1とともに、統計情報算出部２４に供給する。
【０１７９】
また、ステップＳ３３では、統計情報算出部２４は、解析対象サンプル取得部２３から供給された解析対象サンプルの統計情報、つまり、[△t/△k]-1サンプルのトラフィック比点(X'(t'),X'(t'+1)/X'(t'))の統計情報（トラフィック比点(X'(t'),X'(t'+1)/X'(t'))の集合の統計情報）を求め（取得し）、比較判定部２５に供給する。
【０１８０】
即ち、統計情報算出部２４は、解析対象サンプル取得部２３から供給された[△t/△k]-1サンプルのトラフィック比点(X'(t'),X'(t'+1)/X'(t'))について、トラフィック量X'(t')の統計情報として、例えば、[△t/△k]-1個のトラフィック量X'(t')の平均値を求める。
【０１８１】
さらに、統計情報算出部２４は、解析対象サンプル取得部２３から供給された[△t/△k]-1サンプルのトラフィック比点(X'(t'),X'(t'+1)/X'(t'))について、トラフィック比X'(t'+1)/X'(t')の統計情報として、例えば、[△t/△k]-1個のトラフィック比X'(t'+1)/X'(t')の平均値と分散を求める。
【０１８２】
そして、統計情報算出部２４は、トラフィック比点(X'(t'),X'(t'+1)/X'(t'))の統計情報、即ち、トラフィック量X'(t')の平均値、およびトラフィック比X'(t'+1)/X'(t')の平均値と分散、さらには、トラフィック比X'(t'+1)/X'(t')の数であるサンプル数[△t/△k]-1を、比較判定部２５に供給する。
【０１８３】
その後、ステップＳ３３からステップＳ３４に進み、比較判定部２５は、理想モデル記憶部２６に記憶された理想モデルを参照して、理想モデルにおいて、トラフィック量X(t)が統計情報算出部２４から供給されたトラフィック量X'(t')の平均値に等しいトラフィック比X(t+1)/X(t)の平均値と分散を、理想トラフィックのトラフィック量のトラフィック比の統計的な情報（以下、適宜、理想統計情報という）として求める。
【０１８４】
さらに、ステップＳ３４では、比較判定部２５は、理想モデルにおいて、トラフィック量X(t)が統計情報算出部２４から供給されたトラフィック量X'(t')の平均値に等しいトラフィック比点(X(t),X(t+1)/X(t))のサンプル数を取得し、ステップＳ３５に進む。
【０１８５】
なお、理想モデル記憶部２６には、理想モデル、即ち、理想トラフィックのトラフィック量から得られたトラフィック比点(X(t),X(t+1)/X(t))の分布における、各トラフィック量X(t)（ビン）に対するトラフィック比X(t+1)/X(t)の平均値と分散を、その各トラフィック量X(t)（ビン）のトラフィック比点(X(t),X(t+1)/X(t))のサンプル数とともに記憶させておくことができる。この場合、比較判定部２５は、理想モデルにおいて、トラフィック量X(t)が統計情報算出部２４から供給されたトラフィック量X'(t')の平均値に等しいトラフィック比点(X(t),X(t+1)/X(t))のサンプル数を、理想モデル記憶部２６から取得する。
【０１８６】
また、理想モデルを作成するときに用いられた、各トラフィック量X(t)（ビン）のトラフィック比点(X(t),X(t+1)/X(t))のサンプル数が、充分多い数（例えば、10000程度以上の数）である場合には、理想モデル記憶部２６には、ある大きな固定値（例えば、10000など）を記憶させておき、比較判定部２５では、その固定値を、各トラフィック量X(t)（ビン）のトラフィック比点(X(t),X(t+1)/X(t))のサンプル数として取得する（理想モデル記憶部２６から読み出す）ようにすることができる。
【０１８７】
この場合、比較判定部２５がサンプル数として取得する固定値は、トラフィック量X(t)が統計情報算出部２４から供給されたトラフィック量X'(t')の平均値に等しいトラフィック比点(X(t),X(t+1)/X(t))のサンプル数の正確な値ではないが、このサンプル数は、後述するウェルチ検定に用いられるだけであり、ある程度大きな値であれば、正確な値でなくても、問題はない。
【０１８８】
ステップＳ３５では、比較判定部２５は、理想モデルから得られた理想統計情報と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の統計情報とを用い、理想トラフィックにおいて、トラフィック量X(t)が統計情報算出部２４から供給されたトラフィック量X'(t')の平均値に等しいトラフィック比点(X(t),X(t+1)/X(t))のトラフィック比X(t+1)/X(t)の集合（以下、適宜、理想トラフィックのトラフィック比X(t+1)/X(t)の集合という）と、解析対象サンプルとしてのトラフィック比点(X(t),X'(t'+1)/X'(t'))のトラフィック比X'(t'+1)/X'(t')の集合（以下、適宜、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合という）とを比較して、ステップＳ３６に進み、比較判定部２５は、その比較結果に基づき、理想トラフィックのトラフィック比X(t+1)/X(t)の集合と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合との間に統計的な差異があるかどうかを判定する。
【０１８９】
ここで、理想トラフィックのトラフィック比X(t+1)/X(t)の集合と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合との比較には、例えば、理想統計情報としての理想トラフィックのトラフィック比X(t+1)/X(t)の集合の平均値または分散と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合の統計情報としての、そのトラフィック比X'(t'+1)/X'(t')の集合の平均値または分散との差を求めるといった、いわば単純な比較の方法を採用する他、統計的な検定を採用することができる。
【０１９０】
ここでは、統計的な検定のうちの、例えば、パラメトリック検定の１つであるウェルチ検定を、理想トラフィックのトラフィック比X(t+1)/X(t)の集合と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合との比較に採用することとする。
【０１９１】
この場合、比較判定部２５は、理想トラフィックのトラフィック比X(t+1)/X(t)の集合（分布）m1と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合m2とが一致する（差異がない）とする仮説(hypothesis)H0:m1=m2をたてるとともに、理想トラフィックのトラフィック比X(t+1)/X(t)の集合m1と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合m2とが異なる（差異がある）とする、仮説H0とは反対の仮説H1:m1≠m2をたてる。
【０１９２】
さらに、比較判定部２５は、式（１）で表されるパラメータ|t0|、式（２）で表されるパラメータfを求める。
【０１９３】
【数１】
2006340252.tif 000003
・・・（１）
【０１９４】
【数２】
2006340252.tif 000004
・・・（２）
【０１９５】
ここで、n1は、理想トラフィックのトラフィック比X(t+1)/X(t)の集合m1の、そのトラフィック比X(t+1)/X(t)の数であり、上述したように、比較判定部２５において、トラフィック量X(t)が統計情報算出部２４から供給されたトラフィック量X'(t')の平均値に等しいトラフィック比点(X(t),X(t+1)/X(t))のサンプル数として取得される。
【０１９６】
また、x1とs1は、それぞれ、理想トラフィックのトラフィック比X(t+1)/X(t)の集合m1の理想統計情報としての平均値と分散であり、上述したように、比較判定部２５において、理想モデル記憶部２６に記憶された理想モデルから求められる。
【０１９７】
さらに、n2は、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合m2の、そのトラフィック比X'(t'+1)/X'(t')の数であり、上述したように、サンプル数[△t/△k]-1として、統計情報算出部２４から比較判定部２５に供給される。
【０１９８】
また、x2とs2は、それぞれ、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合m2の統計情報としての平均値と分散であり、上述したように、統計情報算出部２４から比較判定部２５に供給される。
【０１９９】
さらに、式（２）のcは、式（３）で求められる値である。
【０２００】
【数３】
2006340252.tif 000005
・・・（３）
【０２０１】
その後、比較判定部２５は、式（２）で求められるパラメータfより小さい最大の整数f0を、自由度として求め、さらに、t分布表（T分布表）において、自由度がf0で、危険率（有意水準）αが、例えば、0.05の値t(f0,α)を求める。
【０２０２】
そして、比較判定部２５は、式（１）のパラメータ|t0|が、値t(f0,α)以上であれば、仮説H1が正しい、つまり、理想トラフィックのトラフィック比X(t+1)/X(t)の集合m1と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合m2とが（統計的に）異なるという比較結果が得られたとする。また、比較判定部２５は、式（１）のパラメータ|t0|が、値t(f0,α)未満であれば、仮説H0が正しい、つまり、理想モデルのトラフィック比X(t+1)/X(t)の集合m1と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合m2とが（統計的に）一致するという比較結果が得られたとする。
【０２０３】
ステップＳ３５において、仮説H0が正しいという比較結果が得られた場合、ステップＳ３６では、その比較結果に基づき、理想トラフィックのトラフィック比X(t+1)/X(t)の集合と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合との間に統計的な差異がないと判定され、ステップＳ３７に進む。
【０２０４】
ステップＳ３７では、比較判定部２５は、注目リンクのトラフィックの中に、逸脱トラフィックが存在しないと判定し、逸脱トラフィックの存在を検知していない旨の検知情報を、選択部２７に供給して、ステップＳ３１に戻る。
【０２０５】
この場合、選択部２７は、注目リンクのトラフィックを、分類部１および処理部２をバイパスして出力リンクから送信されるように処理する。従って、この場合、分類部１および処理部２において、前述したような重い負荷の処理を行う必要がない。
【０２０６】
一方、ステップＳ３５において、仮説H1が正しいという比較結果が得られた場合、ステップＳ３６では、その比較結果に基づき、理想トラフィックのトラフィック比X(t+1)/X(t)の集合と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合との間に統計的な差異があると判定され、ステップＳ３８に進む。
【０２０７】
ステップＳ３８では、比較判定部２５は、注目リンクのトラフィックの中に、逸脱トラフィックが存在すると判定し、逸脱トラフィックの存在を検知した旨の検知情報を、選択部２７に供給して、ステップＳ３１に戻る。
【０２０８】
この場合、選択部２７は、注目リンクのトラフィックを、分類部１および処理部２で処理されるように、分類部１に供給する。即ち、逸脱トラフィックの存在が検知されている間だけ、分類部１および処理部２は、注目リンクのトラフィックを処理する。
【０２０９】
ここで、図２１は、FreeBSD上に、逸脱トラフィック検知法を実装して行った解析処理のシミュレーションで得られたある瞬間のスクリーンショットを示している。
【０２１０】
図２１では、横軸を、トラフィック量X'(t')とするとともに、縦軸を、トラフィック比log(X'(t'+1)/X'(t'))として、ある解析単位時間△tにおいて得られたトラフィック比点(X'(t'),log(X'(t'+1)/X'(t')))をプロットしてある。
【０２１１】
図２１のスクリーンショットでは、トラフィック比X'(t'+1)/X'(t')の平均値と分散が、それぞれ-0.008と0.077になっており、さらに、式（１）のパラメータ|t0|が、0.820になっている。
【０２１２】
また、シミュレーションでは、スクリーンショット上に、パラメータ|t0|が値2×t(f0,α)以上である場合にはマークM1を、パラメータ|t0|が値t(f0,α)以上である場合にはマークM2を、パラメータ|t0|が値t(f0,α)未満である場合にはマークM3を、それぞれ表示するようにしており、図２１のスクリーンショットでは、マークM3が表示されている。従って、図２１のスクリーンショットでは、パラメータ|t0|が値t(f0,α)未満になっている。
【０２１３】
以上のように、逸脱トラフィック検知法では、ネットワークのトラフィックのある時刻t'のトラフィック量X'(t')と、その次の時刻t'+1のX'(t'+1)との比の統計情報を算出し、その統計情報と、あらかじめ作成された理想モデルとに基づいて、即ち、理想モデルを参照して、統計情報を統計的に解析することによって、ネットワークからのトラフィックの中に、逸脱トラフィックが存在するかどうかを判定し、これにより、逸脱トラフィックの存在を検知するので、従来のように、分類処理や、スケジューリング処理、パターンマッチング処理などの重い負荷の処理を行わずに、容易に、逸脱トラフィックの存在を検知することができる。
【０２１４】
さらに、逸脱トラフィック検知法において処理の対象となるのは、ネットワークのトラフィックのトラフィック量X'(t')であり、このトラフィック量X'(t')は、ネットワークのトラフィックのパケットの数nに関係がない。従って、逸脱トラフィック検知法では、トラフィックのパケットの数nが幾つであっても、その数nに関係のないオーダの処理量O(1)の処理を行うだけで良く、よって、逸脱トラフィック検知法は、例えば、ISPのバックボーンのコアルータや、テラビットルータなどの、広帯域のネットワークに接続されるルータその他のネットワーク機器に採用しうるスケーラビリティの高い方法であるということができる。
【０２１５】
また、逸脱トラフィック検知法において用いられる理想モデルは、ネットワークにおいて採用する輻輳制御の原理によって決まり、アプリケーションとは関係がない（独立している）ので、ネットワークにおいて採用されている輻輳制御の原理にしたがった輻輳制御がされていない、マナーに違反するパケット（フロー）が、どのようなアプリケーションのパケットであっても、そのようなパケットを含むトラフィックについては、逸脱トラフィックの存在を検知することができる。
【０２１６】
なお、本実施の形態では、ネットワークのトラフィックのトラフィック量X'(t')の変動量を表す変動情報として、時刻t'のトラフィック量X'(t')と、その次の時刻t'+1のトラフィック量X'(t'+1)との比（トラフィック比）X'(t'+1)/X'(t')を採用したが、トラフィック量X'(t')の変動情報としては、その他、例えば、時刻t'のトラフィック量X'(t')と、時刻t'+2のトラフィック量X'(t'+2)または時刻t'+3のトラフィック量X'(t'+3)等との比や、トラフィック量X'(t')とX'(t'+1)との差分X'(t'+1)-X'(t')の、トラフィック量X'(t')に対する割合(X'(t'+1)-X'(t'))/X'(t')等を採用することが可能である。
【０２１７】
また、本実施の形態では、１つの理想モデルを、理想モデル記憶部２６に記憶させておくようにしたが、ネットワークにおいて、複数の原理の輻輳制御が採用されている場合には、その複数の原理それぞれに対して理想モデルを作成し、その複数の理想モデルを、理想モデル記憶部２６に記憶させることができる。なお、この場合、比較判定部２５では、理想モデル記憶部２６に記憶された複数の理想モデルそれぞれに対して、図２０の解析処理を行うことになる。但し、複数の理想モデルを、理想モデル記憶部２６に記憶させる場合には、その複数の理想モデルのうちの１つまたは２つ以上を選択して、その選択した理想モデルだけを用いて、図２０の解析処理を行うようにしても良い。
【０２１８】
さらに、本実施の形態では、トラフィック量X'(t')の変動情報としてのトラフィック比X'(t'+1)/X'(t')の統計的な情報である統計情報として、トラフィック比X'(t'+1)/X'(t')の平均値と分散を採用したが、統計情報としては、トラフィック比X'(t'+1)/X'(t')の平均値と分散の両方ではなく、平均値だけや分散だけを採用することが可能である。また、統計情報としては、その他、トラフィック比X'(t'+1)/X'(t')の標準偏差、あるいはトラフィック比X'(t'+1)/X'(t')の最大値、最小値、最頻値、中央値などといったトラフィック比X'(t'+1)/X'(t')の（集合の）分布特性を示す指数（指標）を採用することが可能である。
【０２１９】
さらに、本実施の形態では、理想トラフィックのトラフィック比X(t+1)/X(t)の集合と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合とを比較するにあたって、統計的な検定の１つであるウェルチ検定を採用したが、その他の統計的な検定を採用することが可能である。また、理想トラフィックのトラフィック比X(t+1)/X(t)の集合と、解析対象サンプルのトラフィック比X'(t'+1)/X'(t')の集合との比較は、統計的な手法以外の手法によって行うことも可能である。
【０２２０】
次に、上述した図１９の収集処理や、図２０の解析処理、さらには、理想モデルを作成する処理などの一連の処理は、専用のハードウェアにより行うこともできるし、ソフトウェアにより行うこともできる。一連の処理をソフトウェアによって行う場合には、そのソフトウェアを構成するプログラムが、汎用のコンピュータや、ルータを構成するマイクロコンピュータ、その他のプログラムを実行することができるコンピュータにインストールされる。
【０２２１】
そこで、図２２は、上述した一連の処理を実行するプログラムがインストールされるコンピュータの一実施の形態の構成例を示している。
【０２２２】
プログラムは、コンピュータに内蔵されている記録媒体としてのハードディスク１０５やＲＯＭ１０３に予め記録しておくことができる。
【０２２３】
あるいはまた、プログラムは、フレキシブルディスク、CD-ROM(Compact Disc Read Only Memory)，MO(Magneto Optical)ディスク，DVD(Digital Versatile Disc)、磁気ディスク、半導体メモリなどのリムーバブル記録媒体１１１に、一時的あるいは永続的に格納（記録）しておくことができる。このようなリムーバブル記録媒体１１１は、いわゆるパッケージソフトウエアとして提供することができる。
【０２２４】
なお、プログラムは、上述したようなリムーバブル記録媒体１１１からコンピュータにインストールする他、ダウンロードサイトから、ディジタル衛星放送用の人工衛星を介して、コンピュータに無線で転送したり、LAN(Local Area Network)、インターネットといったネットワークを介して、コンピュータに有線で転送し、コンピュータでは、そのようにして転送されてくるプログラムを、通信部１０８で受信し、内蔵するハードディスク１０５にインストールすることができる。
【０２２５】
コンピュータは、CPU(Central Processing Unit)１０２を内蔵している。CPU１０２には、バス１０１を介して、入出力インタフェース１１０が接続されており、CPU１０２は、入出力インタフェース１１０を介して、ユーザによって、キーボードや、マウス、マイク等で構成される入力部１０７が操作等されることにより指令が入力されると、それにしたがって、ROM(Read Only Memory)１０３に格納されているプログラムを実行する。あるいは、また、CPU１０２は、ハードディスク１０５に格納されているプログラム、衛星若しくはネットワークから転送され、通信部１０８で受信されてハードディスク１０５にインストールされたプログラム、またはドライブ１０９に装着されたリムーバブル記録媒体１１１から読み出されてハードディスク１０５にインストールされたプログラムを、RAM(Random Access Memory)１０４にロードして実行する。これにより、CPU１０２は、上述したフローチャートにしたがった処理、あるいは上述したブロック図の構成により行われる処理を行う。そして、CPU１０２は、その処理結果を、必要に応じて、例えば、入出力インタフェース１１０を介して、LCD(Liquid Crystal Display)やスピーカ等で構成される出力部１０６から出力、あるいは、通信部１０８から送信、さらには、ハードディスク１０５に記録等させる。
【０２２６】
ここで、本明細書において、コンピュータに各種の処理を行わせるためのプログラムを記述する処理ステップは、必ずしもフローチャートとして記載された順序に沿って時系列に処理する必要はなく、並列的あるいは個別に実行される処理（例えば、並列処理あるいはオブジェクトによる処理）も含むものである。
【０２２７】
また、プログラムは、１のコンピュータにより処理されるものであっても良いし、複数のコンピュータによって分散処理されるものであっても良い。
【図面の簡単な説明】
【０２２８】
【図１】ネットワークに対する負荷と、ネットワークのスループットとの関係を示す図である。
【図２】輻輳制御をしないフローがネットワークの帯域幅を占有し、輻輳制御を行うフローが利用することができる帯域幅が制限される様子を示す図である。
【図３】輻輳ウインドウのサイズの制御を説明するための図である。
【図４】TCPでないフローに対して、TCPのフローとの親和性を持たせて輻輳制御を行う方法の提案状況を示す図である。
【図５】従来のルータの一例の構成を示すブロック図である。
【図６】本発明の一実施の形態のルータの構成例を示すブロック図である。
【図７】ネットワーク上のトラフィックのトラフィック量の時間変化を模式的に示す図である。
【図８】実トラフィックのトラフィック量の時間変化を示す図である。
【図９】時刻tのトラフィック量X(t)を説明するための図である。
【図１０】トラフィック量X(t)と、トラフィック比X(t+1)/X(t)との関係（トラフィック比特性）を示す図である。
【図１１】トラフィック比点集中領域Rを示す図である。
【図１２】AIMDを説明するための図である。
【図１３】トラフィック比特性を示す図である。
【図１４】理想トラフィックのトラフィック量から得られるトラフィック比点の分布の統計的な解析結果を示す図である。
【図１５】理想トラフィックと非理想トラフィックのトラフィック量それぞれから得られるトラフィック比点の分布のシミュレーション結果を示す図である。
【図１６】理想トラフィックと非理想トラフィックのトラフィック量それぞれから得られるトラフィック比点の分布の統計的な解析結果を示す図である。
【図１７】逸脱トラフィック検知法を説明するための図である。
【図１８】逸脱トラフィック検知部１１の構成例を示すブロック図である。
【図１９】収集処理を説明するフローチャートである。
【図２０】解析処理を説明するフローチャートである。
【図２１】解析処理のシミュレーションで得られたスクリーンショットを示す図である。
【図２２】本発明の一実施の形態のコンピュータの構成例を示すブロック図である。
【符号の説明】
【０２２９】
１  分類部，  ２  処理部，  １１  逸脱トラフィック検知部，  ２１  トラフィック量取得部，  ２２  トラフィック量記憶部，  ２３  解析対象サンプル取得部，  ２４  統計情報算出部，  ２５  比較判定部，  ２６  理想モデル記憶部，  ２７  選択部，  ２８  計時部，  ２９  制御部，  １０１  バス，  １０２  CPU，  １０３  ROM，  １０４  RAM，  １０５  ハードディスク，  １０６  出力部，  １０７  入力部，  １０８  通信部，  １０９  ドライブ，  １１０  入出力インタフェース，  １１１  リムーバブル記録媒体
【図１】
2006340252.tif 000006
【図２】
2006340252.tif 000007
【図３】
2006340252.tif 000008
【図４】
2006340252.tif 000009
【図５】
2006340252.tif 000010
【図６】
2006340252.tif 000011
【図７】
2006340252.tif 000012
【図８】
2006340252.tif 000013
【図９】
2006340252.tif 000014
【図１０】
2006340252.tif 000015
【図１１】
2006340252.tif 000016
【図１２】
2006340252.tif 000017
【図１３】
2006340252.tif 000018
【図１４】
2006340252.tif 000019
【図１５】
2006340252.tif 000020
【図１６】
2006340252.tif 000021
【図１７】
2006340252.tif 000022
【図１８】
2006340252.tif 000023
【図１９】
2006340252.tif 000024
【図２０】
2006340252.tif 000025
【図２１】
2006340252.tif 000026
【図２２】
2006340252.tif 000027