(57)【要約】【課題】  通信環境等の変化に関わらずに、効率的に通信状態を判別できる通信解析装置を提供する。【解決手段】  本発明の通信解析装置は、フローデータを記憶する記憶部と、前記記憶部に記憶されるフローのパケット数が、フロー開始点から解析パケット数となったタイミングで通知を行う駆動割り込み部と、前記駆動割り込み部から通知を受けた場合に、解析するフローの開始点から前記解析パケット数分の前記フローデータを取得し、取得した前記フローデータを時系列に分割して、前記フロー開始点から各分割点までの複数の算出区間内のデータに対する特徴値を算出する区間分割及び特徴値算出部と、前記区間分割及び特徴値算出部により算出した特徴値のデータ集合の全部又は一部と、予め学習した教師データとの類似性を元に、フロー種別を判別するフロー種別判別部とを有することを特徴とする。【選択図】      図１
2018033106.tif 000002
【特許請求の範囲】
【請求項１】
第１の通信ネットワークと第２の通信ネットワークの間に配置され、これら２つのネットワーク間で送受信されるパケットの集合体であるフローを解析する通信解析装置において、
フロー毎のフローデータを記憶する記憶部と、
前記記憶部に記憶される解析するフローのパケット数が、フロー開始点からフローを解析する所定のパケット数である解析パケット数となったタイミングで通知を行う駆動割り込み部と、
前記駆動割り込み部から通知を受けた場合に、解析するフローの開始点から前記解析パケット数分の前記フローデータを取得し、取得した前記フローデータを時系列に分割して、前記フロー開始点から各分割点までの複数の算出区間内のデータに対する特徴値を算出する区間分割及び特徴値算出部と、
前記区間分割及び特徴値算出部により算出した特徴値のデータ集合の全部又は一部と、予め学習した教師データとの類似性を元に、フロー種別を判別するフロー種別判別部と
を有することを特徴とする通信解析装置。
【請求項２】
前記区間分割及び特徴値算出部は、前記フロー開始点から各分割点までの各区間におけるデータの任意のパーセンタイル値を特徴値として算出することを特徴とする請求項１に記載の通信解析装置。
【請求項３】
前記区間分割及び特徴値算出部は、前記記憶部から取得した前記フローデータの内、前記第２の通信ネットワークから前記第１の通信ネットワークに向かう第１方向のデータと、前記第１の通信ネットワークから前記第２の通信ネットワークに向かう第２方向のデータと、両ネットワークで送受信される双方向のデータに対する特徴値を算出することを特徴とする請求項１又は２に記載の通信解析装置。
【請求項４】
前記区間分割及び特徴値算出部が特徴値を算出する前記算出区間は、前記記憶部から取得した前記フローデータを時系列に分割した各区間であることを特徴とする請求項１〜３のいずれかに記載の通信解析装置。
【請求項５】
前記駆動割り込み部は、前記記憶部に記憶される解析するフローの開始点から所定の時間が経過した解析経過時間となったタイミングで通知を行い、
前記区間分割及び特徴値算出部は、前記駆動割り込み部から通知を受けた場合に、解析するフローの開始点から前記解析経過時間までに前記記憶部に記憶された最終パケットまでの前記フローデータを取得することを特徴とする請求項１〜４のいずれかに記載の通信解析装置。
【請求項６】
前記区間分割及び特徴値算出部で算出する特徴値は、パケットサイズ及びパケット到着間隔に関する特徴値であることを特徴とする請求項１〜５のいずれかに記載の通信解析装置。
【請求項７】
前記記憶部は、前記フローデータに対して、統計計算可能なデータベースであり、
前記区間分割及び特徴値算出部は、前記記憶部に対して、前記駆動割り込み部から通知を受けた場合に、解析するフローの開始点から前記解析パケット数分の前記フローデータを時系列に分割し、前記フロー開始点から各分割点までの複数の算出区間内のデータに対する特徴値を算出する問い合わせ文を発行し、
前記区間分割及び特徴値算出部は、前記記憶部から前記問い合わせ文に対する結果である、前記フロー開始点から各分割点までの複数の算出区間内のデータに対する特徴値を取得する
ことを特徴とする請求項１〜６のいずれかに記載の通信解析装置。
【請求項８】
前記記憶部は、前記フローデータに対して、統計計算可能なデータベースであり、
前記記憶部は、前記フローデータが記憶されたタイミングで、フローの開始点から現時点までのパケット数分の前記フローデータを時系列に分割し、前記フロー開始点から各分割点までの複数の算出区間内のデータに対する特徴値を算出し、算出した特徴値を特徴値データとして記憶し、
前記区間分割及び特徴値算出部は、前記駆動割り込み部から通知を受けた場合に、前記記憶部から、解析するフローの開始点から前記解析パケット数分の前記フローデータに対応する前記特徴値データを取得する
ことを特徴とする請求項１〜６のいずれかに記載の通信解析装置。
【請求項９】
第１の通信ネットワークと第２の通信ネットワークの間に配置され、これら２つのネットワーク間で送受信されるパケットの集合体であるフローを解析する通信解析装置に搭載されるコンピュータを、
フロー毎のフローデータを記憶する記憶部と、
前記記憶部に記憶される解析するフローのパケット数が、フロー開始点からフローを解析する所定のパケット数である解析パケット数となったタイミングで通知を行う駆動割り込み部と、
前記駆動割り込み部から通知を受けた場合に、解析するフローの開始点から前記解析パケット数分の前記フローデータを取得し、取得した前記フローデータを時系列に分割して、前記フロー開始点から各分割点までの複数の算出区間内のデータに対する特徴値を算出する区間分割及び特徴値算出部と、
前記区間分割及び特徴値算出部により算出した特徴値のデータ集合の全部又は一部と、予め学習した教師データとの類似性を元に、フロー種別を判別するフロー種別判別部と
して機能させることを特徴とする通信解析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信解析装置及び通信解析プログラムに関し、例えば、通信機器の通信情報を収集して通信状態を解析・判別するフロー種別判別装置に適用し得る。
【背景技術】
【０００２】
一般的に、従来の通信解析・判別装置は、任意のタイミングで通信フローから得られる特徴（パケットサイズ、パケット到着間隔転送時間、転送パケット数、転送バイト数）の統計的な特徴値（最小値（０％値）、中央値（５０％値）、最大値（１００％値）、平均値、分散値）を算出し、計測環境と同様の環境で事前に学習した特徴植との近似度を基にした判別を行う判別器を用いて、通信状態を判別するものであった（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１５−５０４７３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、上記構成の装置では、フロー判別精度を高めるために予め最も判別率が高いことが見込まれるタイミングを調整したり、転送するデータ種別やデータサイズ等のコンテンツに依存する転送時間、転送パケット数、転送バイト数等の値、及び通信環境に応じて変化するＲＴＴ（Ｒｏｕｎｄ  Ｔｒｉｐ  Ｔｉｍｅ；往復遅延時間）等の値を用いて判別するように設計して、事前の学習データを準備することが必要であった。
【０００５】
しかしながら、上記構成の装置では、パケットロス等の影響によって通信の再送が発生するなどで任意のタイミングで取得するデータがずれた場合に判別精度が下がる場合や、広告種別やユーザ毎の操作の差によって特徴値が変わる可能性のある特徴値によって判別精度が下がる場合や、通信回線の変更やインターネット内の経路変更等のネットワーク特性が変化する場合に学習した特徴値と外れるために判別制度が下がる場合等があった。
【０００６】
また、上記構成の装置は、特徴値として統計値で多く使われる４分値（０％、２５％、５０％、７５％、１００％）を利用していたが、この粒度では特徴値を計算するタイミングによって、特に２５％、５０％、７５％値の値が急激に変化することがあり、判別精度が下がる問題もあった。
【０００７】
そのため、通信環境やユーザ環境等の変化に関わらず、効率的に通信状態を判別できる通信解析装置及び通信解析プログラムが望まれている。
【課題を解決するための手段】
【０００８】
第１の本発明の通信解析装置は、第１の通信ネットワークと第２の通信ネットワークの間に配置され、これら２つのネットワーク間で送受信されるパケットの集合体であるフローを解析する通信解析装置において、（１）フロー毎のフローデータを記憶する記憶部と、（２）前記記憶部に記憶される解析するフローのパケット数が、フロー開始点からフローを解析する所定のパケット数である解析パケット数となったタイミングで通知を行う駆動割り込み部と、（３）前記駆動割り込み部から通知を受けた場合に、解析するフローの開始点から前記解析パケット数分の前記フローデータを取得し、取得した前記フローデータを時系列に分割して、前記フロー開始点から各分割点までの複数の算出区間内のデータに対する特徴値を算出する区間分割及び特徴値算出部と、（４）前記区間分割及び特徴値算出部により算出した特徴値のデータ集合の全部又は一部と、予め学習した教師データとの類似性を元に、フロー種別を判別するフロー種別判別部とを有することを特徴とする。
【０００９】
第２の本発明の通信解析プログラムは、第１の通信ネットワークと第２の通信ネットワークの間に配置され、これら２つのネットワーク間で送受信されるパケットの集合体であるフローを解析する通信解析装置に搭載されるコンピュータを、（１）フロー毎のフローデータを記憶する記憶部と、（２）前記記憶部に記憶される解析するフローのパケット数が、フロー開始点からフローを解析する所定のパケット数である解析パケット数となったタイミングで通知を行う駆動割り込み部と、（３）前記駆動割り込み部から通知を受けた場合に、解析するフローの開始点から前記解析パケット数分の前記フローデータを取得し、取得した前記フローデータを時系列に分割して、前記フロー開始点から各分割点までの複数の算出区間内のデータに対する特徴値を算出する区間分割及び特徴値算出部と、（４）前記区間分割及び特徴値算出部により算出した特徴値のデータ集合の全部又は一部と、予め学習した教師データとの類似性を元に、フロー種別を判別するフロー種別判別部として機能させることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、通信環境やユーザ環境等の変化に関わらずに、効率的に通信状態を判別できる。
【図面の簡単な説明】
【００１１】
【図１】実施形態に係るフロー種別判別装置の機能的構成について示したブロック図である。
【図２】実施形態に係るフロー種別判別装置周辺の接続構成の例について示したブロック図である。
【図３】実施形態に係るルータを介して、端末と通信装置との間で送受信されるパケットの一例を示した図である。
【図４】実施形態に係るフロー特徴値算出区間の一例を示した図である。
【図５】実施形態に係る区間分割パラメータを用いて分割した特徴値算出区間の一例を示した図である。
【図６】実施形態に係るパケットサイズ、及びパケット到着間隔の特徴値算出のイメージを示した図である。
【図７】他の実施形態に係るフロー特徴値算出区間の一例を示した図である。
【図８】他の実施形態に係る区間分割パラメータを用いて分割した特徴値算出区間の一例を示した図である。
【発明を実施するための形態】
【００１２】
（Ａ）主たる実施形態
以下、本発明による通信解析装置及び通信解析プログラムの一実施形態を、図面を参照しながら詳述する。以下では、本発明の通信解析装置及び通信解析プログラムをフロー種別判別装置に適用した例について説明する。
【００１３】
（Ａ−１）実施形態の構成
図２は、実施形態に係るフロー種別判別装置周辺の接続構成の例について示したブロック図である。
【００１４】
図２に示すように、この実施形態のフロー種別判別装置１０は、ルータ３０からネットワークトラフィックに関する情報を取得し解析処理を行う。
【００１５】
図２に示すように、ルータ３０は、ネットワークＮ１とネットワークＮ２との間を中継するゲートウェイであるものとする。図２に示すように、ネットワークＮ１には、１台の端末２０が接続されているものとする。また、図２に示すように、ネットワークＮ２には、１台の通信装置４０が接続されているものとする。なお、ネットワークＮ１、Ｎ２に接続される装置の数は限定されないものである。また、ルータ３０から端末２０へのネットワーク構成、及びルータ３０から各通信装置４０へのネットワーク構成については限定されないものである。
【００１６】
端末２０は、通信装置４０に接続するアプリケーションがインストールされたコンピュータ（例えば、ＰＣ、タブレット、スマートホン等）であるものとする。端末２０にインストールされるアプリケーションの数や種類については限定されないものである。端末２０は、例えば、通信事業者に接続するユーザ（加入者）が利用する端末である。
【００１７】
フロー種別判別装置１０は、端末２０を１つのユーザとみなしてネットワーク監視（通信トラフィックの解析）を行うものとする。
【００１８】
通信装置４０は、端末２０との通信を行う装置である。通信装置４０の構成については限定されないものであるが、例えば、端末２０に対して種々のサービス（例えば、Ｗｅｂサービスやデータベースサービス等）を提供するサーバ（コンピュータ）や、端末２０と電話通信するＩＰ電話端末等が該当する。
【００１９】
この実施形態では、ルータ３０は、少なくとも３つのインタフェース３１、３２、３３を備えているものとする。インタフェース３１、３２、３３の仕様は限定されていないものであり、例えば、種々のイーサネット（登録商標）インタフェースを適用することができる。この実施形態の例では、ルータ３０において、インタフェース３１は端末２０側のネットワークと接続するインタフェースであり、インタフェース３２は通信装置４０側と接続するインタフェースであり、インタフェース３３はフロー種別判別装置１０と接続するインタフェースであるものとする。なお、図２では、説明を簡易とするため、ルータ３０が中継するトラフィックとして、端末２０と通信装置４０との間の通信のみを図示しているが、ルータ３０はその他のノード間の通信を中継する構成であってもよいことは当然である。
【００２０】
そして、この実施形態では、ルータ３０に対して、ミラーリング機能等により、インタフェース３１（又はインタフェース３２）のトラフィック（パケット）を、インタフェース３３にリアルタイムでコピー出力するようにする設定（例えば、ポートミラーリング機能による設定）がなされているものとする。これにより、フロー種別判別装置１０は、ルータ３０（インタフェース３１、インタフェース３２）のトラフィック（パケット）のデータを取得することが可能となる。なお、フロー種別判別装置１０がトラフィックのデータを取得するための構成については図２の構成に限定されないものである。例えば、フロー種別判別装置１０を、ルータ３０の前段（ルータ３０と端末２０との間）に配置して、ルータ３０（インタフェース３１）で入出力されるトラフィック（パケット）をコピーするようにしてもよいし、タップ（スプリッタ）等により端末２０側からルータ３０に供給される信号を分岐して、フロー種別判別装置１０にルータ３０（インタフェース３１）で入出力されるトラフィック（パケット）を供給するようにしてもよい。また、ルータ３０とフロー種別判別装置１０の間のインタフェースは、イーサネットでなくてもよく、フロー種別判別装置１０の機能が組み込めるルータ３０であれば、ソフトウェアとしてルータ３０の内部に実装して、フローデータをルータのメモリ上で受け取っても良い。
【００２１】
次に、フロー種別判別装置１０の内部構成について図１を用いて説明する。
【００２２】
フロー種別判別装置１０は、受信部１１、フローデータ一時保管部１２、エンジン駆動割り込み部１３、区間分割及び特徴値算出部１４、フロー種別判別部１５、及び送信部１６を有している。
【００２３】
フロー種別判別装置１０は、例えば、プロセッサ及びメモリを有するコンピュータに、プログラム（実施形態に係る通信解析プログラムを含む）をインストールすることにより実現するようにしてもよい。また、フロー種別判別装置１０において、一部又は全部の処理をハードウェア（例えば、専用の半導体チップ等）により実現するようにしてもよい。
【００２４】
受信部１１は、ルータ３０のトラフィック（パケット）を受信する通信部である。
【００２５】
フローデータ一時保管部１２は、受信部１１が受信したパケットを一時的に記憶（保管）するデータベースである。なお、フローデータ一時保管部１２は、データ本体部（ペイロード）を含むパケットデータを記憶しても良いし、パケットの通信情報だけを記憶しても良い。
【００２６】
エンジン駆動割り込み部１３は、フローデータ一時保管部１２の更新を監視し、フローデータ一時保管部１２に所定パケット数が記憶されたタイミングで、区間分割及び特徴値算出部１４に通知を行う。エンジン駆動割り込み部１３は、時系列のフローを分割するパラメータである区間分割パラメータｍ、及びｎ分値の粒度を定める粒度パラメータｎを有する。両パラメータの詳細については動作の項で明らかにする。
【００２７】
なお、エンジン駆動割り込み部１３は、区間分割及び特徴値算出部１４への通知に際し、フローを一意に特定する、例えば、５ｔｕｐｌｅｓ（送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコル）等のパラメータ、区間分割パラメータｍ、及び粒度パラメータｎを送付する。
【００２８】
区間分割及び特徴値算出部１４は、エンジン駆動割り込み部１３から取得したパラメータを基に、フローデータ一時保管部１２からフローの開始から割り込みタイミングまでのパケットのフロー情報（フローデータ）を取得する。区間分割及び特徴値算出部１４は、３方向（双方向、上り方向、下り方向）の各フローについて、区間分割パラメータｍを用いて分割し、各区間の特徴（この実施形態では、パケットサイズ、及びパケット到着間隔を用いるが、他の特徴を用いても良い）の特徴値（ｎ分値、平均値、分散値）を算出する。区間分割及び特徴値算出部１４は、算出した特徴値のデータ集合（データセット）をフロー種別判別部１５に送付する。なお、区間分割及び特徴値算出部１４の詳しい動作については、動作の項で詳述する。
【００２９】
また、区間分割及び特徴値算出部１４は、フローデータ一時保管部１２に統計計算能力がある場合（上述の区間分割及び特徴値算出部１４の機能を有する場合）には、上記で計算したい情報をフローデータ一時保管部１２に問い合わせて特徴値を受け取っても良い。あるいは、計算する統計値が変動しない場合等には、フローデータ一時保管部１２にデータが投入された際に同時に計算してそれぞれの特徴値をデータとして保持し、区間分割及び特徴値算出部１４は、そのデータを収集してフロー種別判別部１５に送付しても良い。
【００３０】
フロー種別判別部１５は、区間分割及び特徴値算出部１４から取得したデータセットと、事前に学習した教師データとに基づき、最も類似するフロー種別を特定する。
【００３１】
送信部１６は、フロー種別判別部１５の判定結果を図示しない他装置に送信する通信部である。
【００３２】
（Ａ−２）実施形態の動作
次に、以上のような構成を有する第１の実施形態のフロー種別判別装置１０の動作を説明する。
【００３３】
図１、図２を用いて、フロー種別判別装置１０の動作について説明する。
【００３４】
以下では、端末２０でユーザの操作によりアプリケーションが動作し、端末２０と通信装置４０との間でトラフィック（パケットの送受信）が発生したものとする。図３は、ルータ３０を介して、端末２０と通信装置４０との間で送受信されるパケットの一例を示している。図３では、端末２０から通信装置４０へ送信される上りパケットＰｕ（Ｐｕ１〜Ｐｕ９）と、通信装置４０から端末２０へ送信される下りパケットＰｄ（Ｐｄ１〜Ｐｄ１７）を示している。なお、上りパケットＰｕと下りパケットＰｄの数は一例であって、これに限定されるものでは無い。
【００３５】
端末２０と通信装置４０との間でトラフィックが発生すると、ルータ３０（端末２０側と接続するインタフェース３１）のトラフィック（パケット）がインタフェース３３を介して、フロー種別判別装置１０（受信部１１）に供給されることになる。
【００３６】
トラフィックが供給されるとフロー種別判別装置１０の受信部１１は、そのトラフィック（パケット）を、フローデータ一時保管部１２に供給する。フローデータ一時保管部１２は、供給されたパケットを記憶する。
【００３７】
エンジン駆動割り込み部１３は、フローデータ一時保管部１２の更新情報を参照し、フローの状態を監視している。
【００３８】
エンジン駆動割り込み部１３は、フローデータ一時保管部１２に新たに保管されたフローを順次解析対象とし、解析するフローのパケット数が任意の数となった場合（又は所定時間が経過した場合）には、フローを一意に特定できる５−ｔｕｐｌｅｓ等のフロー特定パラメータ、並びに、区間分割パラメータｍ、及び粒度パラメータｎ（設定パラメータ）を区間分割及び特徴値算出部１４に送付する。
【００３９】
区間分割及び特徴値算出部１４は、エンジン駆動割り込み部１３から取得したフロー特定パラメータ、及び設定パラメータを基に、フローデータ一時保管部１２から、任意の数（ｘ）のパケットの集合体であるフローデータを取得する。
【００４０】
区間分割及び特徴値算出部１４は、取得したフローデータを時系列のデータ（図４）として取り扱い、３方向（双方向、上り方向、下り方向）のフローについて、特徴値（統計値）を算出する。
【００４１】
図４において、タイミングｔ１は、双方向フロー（上りフロー）の特徴値を算出する区間（双方向フロー特徴値算出区間Ｉ１、上りフロー特徴値算出区間Ｉ２）の開始地点である。また、タイミングｔ１は、ルータ３０（フロー種別判別装置１０）に、当該フローの初めてのパケットである上りパケットＰｕ１が供給されたタミングでもある。タイミングｔ２は、下りフローの特徴値を算出する区間（下りフロー特徴値算出区間Ｉ３）の開始地点である。また、タイミングｔ２は、ルータ３０（フロー種別判別装置１０）に、下り方向の初めてのパケットである下りパケットＰｄ１が供給されたタミングでもある。
【００４２】
タイミングｔ３は、上りフロー特徴値算出区間Ｉ２の終了地点（図４の例では、上りパケットＰｕａが供給されたタミング）である。また、タイミングｔ４は、双方向フロー特徴値算出区間Ｉ１（下りフロー特徴値算出区間Ｉ３）の終了地点（図４の例では、下りパケットＰｄ（ｘ−ａ）が供給されたタミング）である。
【００４３】
双方向フロー特徴値算出区間Ｉ１内では、ａ個の上りパケットＰｕと、ｘ−ａ個の下りパケットＰｄの合計値であるｘパケットが特徴値の算出対象である。また、上りフロー特徴値算出区間Ｉ２内では、ａ個の上りパケットＰｕが特徴値の算出対象である。さらに、下りフロー特徴値算出区間Ｉ３内では、ｘ−ａ個の下りパケットＰｄが特徴値の算出対象である。
【００４４】
区間分割及び特徴値算出部１４は、双方向フロー特徴値算出区間Ｉ１、上りフロー特徴値算出区間Ｉ２、及び下りフロー特徴値算出区間Ｉ３内を、区間分割パラメータｍを用いて細分化する。
【００４５】
図５は、区間分割パラメータｍを用いて分割した特徴値算出区間の一例を示す図である。なお、図５（Ａ）において、特徴値算出区間Ｉは、先述の双方向フロー特徴値算出区間Ｉ１、上りフロー特徴値算出区間Ｉ２、及び下りフロー特徴値算出区間Ｉ３のいずれかが該当する。また、図５では、ｙ個のパケットが図示されているが、ｙの値は、双方向フローのｘ、上りフローのａ、下りフローのｘ−ａのいずれかが該当する。
【００４６】
図５（Ａ）では、特徴値算出区間Ｉ（１パケット目（Ｐ♯１）からｙパケット目（Ｐ♯ｙ）までの区間）を、ｍ個に分割した例が示されている。また、図５（Ｂ）では、特徴値算出区間Ｉ内の特徴値を算出する区間Ｓ１〜区間Ｓｍ（ｍ個の区間）を図示している。例えば、区間Ｓ１の算出区間は、１〜ｙ／ｍであり、区間Ｓｍの算出区間は、1〜ｙである。
【００４７】
ここまでの区間分割及び特徴値算出部１４の処理により、フローデータ一時保管部１２から取得したフロー（フローデータ）の特徴値は、３（３方向のフロー）＊ｍ（ｍ区間）個のバリエーションを持つことになる。
【００４８】
さらに、区間分割及び特徴値算出部１４は、３＊ｍ個のバリエーションについて、パケットサイズ、及びパケット到着間隔の特徴値を、粒度パラメータｎを用いて算出する。
【００４９】
図６は、パケットサイズ、及びパケット到着間隔の特徴値算出のイメージを示す説明図である。図６（Ａ）は、特徴値として算出するパケットサイズ、及びパケット到着間隔のデータ集合のイメージを示している。
【００５０】
図６（Ｂ）は、パケットサイズ、及びパケット到着間隔の特徴値であるｎ分値、平均値、分散値を示している。図６（Ｂ）において、ｎ分値のｎの値は、設定された粒度パラメータｎの値によって定まる。
【００５１】
例えば、粒度パラメータｎ＝２０のとき、ｎ分値は、０％値（最小値）、５％値、１０％値、１５％値、…、５０％値（中央値）、…、９０％値、９５％値、１００％値（最大値）となる。なお、粒度パラメータｎの値が、１００で割り切れない文位数、例えばｎ＝１２のときには、ｎ分値は、０％値（最小値）、１２％値、２４％値、３６％値、・・・、７２％値、８４％値、９６％値等としても良く、対応する学習データがあれば値に関係なく適用できる。
【００５２】
ここまで、粒度パラメータｎを用いることにより、パケットサイズとパケット到着間隔に対して、（ｎ＋１（０％〜１００％値（若しくは、一番近い値））＋２（平均値、分散値））＊２（パケットサイズ、パケット到着間隔）の要素が特徴値として算出されることになる。
【００５３】
そして、区間分割及び特徴値算出部１４は、最終的に、フロー３方向のｍ分割されたデータに対して、ｎ分値等を求めることになるので、図６（Ｃ）に示すように、（ｎ＋１（０％〜１００％値）＋２（平均値、分散値）＊２（パケットサイズ、パケット到着間隔）＊ｍ（区間数）＊２＊（パケットサイズ、パケット到着間隔）＊３（フロー方向））の要素が特徴値として算出されることになる。
【００５４】
区間分割及び特徴値算出部１４は、算出した特徴値（パラメータ）の全部又は一部の集合体（データセット）をフロー種別判別部１５に送付する。
【００５５】
フロー種別判別部１５は、区間分割及び特徴値算出部１４より取得したデータセットと、予め学習してあるデータセット（教師データ）との近似度を計算し、尤も近いと考えられるフローの種別を判別する。
【００５６】
フロー種別判別部１５は、送信部１６を介して、フローの種別の判別結果を他装置に送信する。また、フロー種別判別部１５は、自装置を操作するオペレータや解析者等に情報を提供するためにディスプレイ等のユーザインタフェースに当該判別結果を提供してもよい。
【００５７】
（Ａ−３）実施形態の効果
この実施形態によれば、以下のような効果を奏することができる。
【００５８】
フロー種別判別装置１０は、区間分割及び特徴値算出部１４を設けることにより、ｍ個に分割された時系列フローデータの各分割点における特徴値データセットと統計的なｎ分値の特徴値データセットを新たに生成し、フローの判別を行うことが可能となった。これは、従来の環境依存性の高いデータセットや接続先のウェブサーバやユーザ毎の動作の違いに影響を受けるコンテンツ依存のデータセットを利用することなく、パケットサイズとパケット到着間隔のみを用いて判別が可能となることを意味する。この実施形態のフロー種別判別装置１０は、特定の環境や利用方法に依存しない汎用的なフロー種別の識別を可能とするという効果が得られる。
【００５９】
また、従来、フロー種別判別装置と同様の機能を持つ機器を設置した後、その環境下において、学習データセットを十分な量だけ学習させる必要があったが、この実施形態では、そのような環境に応じた学習が不要となる効果も得られる。
【００６０】
（Ｂ）他の実施形態
本発明は、上記実施形態に限定されるものではなく、以下に例示するような変形実施形態も挙げることができる。
【００６１】
（Ｂ−１）上記実施形態では、区間分割及び特徴値算出部１４は、先述の図４で示したように、フロー特徴値算出区間を双方向フローのタイミングで合わせていた。言い換えれば、区間分割及び特徴値算出部１４は、ルータ３０（フロー種別判別装置１０）が受信する上りパケットＰｕと下りパケットＰｄの合計がｘパケット目となるタイミングでフロー特徴値算出区間を調整していた。変形例として、区間分割及び特徴値算出部１４は、３方向（双方向、上り方向、下り報告）のそれぞれについて、ｘパケット目となるタイミングで各フロー特徴値算出区間を調整し、ｘパケットのフローとして処理しても良い。図７は、他の実施形態に係るフロー特徴値算出区間の一例を示す説明図である。
【００６２】
図７において、双方向フロー特徴値算出区間Ｉ１は、フロー開始点（双方向）であるタイミングｔ１から、ａ個の上りパケットＰｕと、ｂ個の下りパケットＰｄの合計であるｘパケットを受信したタイミング（タイミングｔ３）までが特徴値の算出対象である。また、上りフロー特徴値算出区間Ｉ２は、フロー開始点（上り）であるタイミングｔ１から、ｘ個の上りパケットＰｕを受信したタイミング（タイミングｔ５）までが特徴値の算出対象である。さらに、下りフロー特徴値算出区間Ｉ３は、フロー開始点（下り）であるタイミングｔ２から、ｘ個の下りパケットＰｄを受信したタイミング（タイミングｔ４）までが特徴値の算出対象である。
【００６３】
（Ｂ−２）また、上記実施形態では、区間分割及び特徴値算出部１４は、先述の図５で示したように、フロー特徴値算出区間内の区間算出方法について、１パケット目からｍ分割した各点までを算出区間としていた。変形例として、区間分割及び特徴値算出部１４は、ｍ分割した各区間内を特徴値の算出区間としても良い。図８は、他の実施形態に係る区間分割パラメータｍを用いて分割した特徴値算出区間の一例を示す説明図である。図８（Ｂ）では、特徴値算出区間Ｉ内の特徴値を算出する区間Ｓ１〜区間Ｓｍ（ｍ個の区間）を図示している。例えば、区間Ｓ１の算出区間は、１〜ｙ／ｍであり、区間Ｓ２の算出区間は、ｙ／ｍ〜２ｙ／ｍである。
【符号の説明】
【００６４】
１０…フロー種別判別装置、１１…受信部、１２…フローデータ一時保管部、１３…エンジン駆動割り込み部、１４…特徴値算出部、１５…フロー種別判別部、１６…送信部、２０…端末、３０…ルータ、３１〜３３…インタフェース、
４０…通信装置、Ｉ（Ｉ１〜Ｉ３）…特徴値算出区間、Ｉ１…双方向フロー特徴値算出区間、Ｎ１、Ｎ２…ネットワーク、Ｐｕ…上りパケット、Ｐｄ…下りパケット、Ｐｕ…上りパケット、ｍ…区間分割パラメータ。ｎ…粒度パラメータ、ｔ…タイミング。
【図１】
2018033106.tif 000003
【図２】
2018033106.tif 000004
【図３】
2018033106.tif 000005
【図４】
2018033106.tif 000006
【図５】
2018033106.tif 000007
【図６】
2018033106.tif 000008
【図７】
2018033106.tif 000009
【図８】
2018033106.tif 000010